P7_TA(2014)0212

Ochrana fyzických osôb pri spracúvaní osobných údajov ***I

Legislatívne uznesenie Európskeho parlamentu z 12. marca 2014 o návrhu nariadenia Európskeho parlamentu a Rady o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov (všeobecné nariadenie o ochrane údajov) (COM(2012)0011 – C7-0025/2012 – 2012/0011(COD))

(Riadny legislatívny postup: prvé čítanie)

(2017/C 378/55)

Európsky parlament,

so zreteľom na odôvodnené stanoviská, ktoré predložili v rámci protokolu č. 2 o uplatňovaní zásad subsidiarity a proporcionality belgická Poslanecká snemovňa, nemecká Spolková rada, francúzsky Senát, talianska Poslanecká snemovňa a švédsky parlament, v ktorých sa uvádza, že návrh legislatívneho aktu nie je v súlade so zásadou subsidiarity,

(1) Ú. v. EÚ C 229, 31.7.2012, s. 90.

(2) Ú. v. EÚ C 192, 30.6.2012, s. 7.

P7_TC1-COD(2012)0011

Pozícia Európskeho parlamentu prijatá v prvom čítaní 12. marca 2014 na účely prijatia nariadenia Európskeho parlamentu a Rady (EÚ) č. …/2014 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov (všeobecné nariadenie o ochrane údajov)

(Text s významom pre EHP)

EURÓPSKY PARLAMENT A RADA EURÓPSKEJ ÚNIE,

so zreteľom na Zmluvu o fungovaní Európskej únie, a najmä na jej článok 16 ods. 2 a článok 114 ods. 1,

so zreteľom na návrh Európskej komisie,

po postúpení návrhu legislatívneho aktu národným parlamentom,

so zreteľom na stanovisko Európskeho hospodárskeho a sociálneho výboru (1),

po porade s Výborom regiónov,

so zreteľom na stanovisko európskeho dozorného úradníka pre ochranu údajov (2)

konajúc v súlade s riadnym legislatívnym postupom (3),

keďže:

(1) Ochrana fyzických osôb v súvislosti so spracúvaním osobných údajom patrí medzi základné práva. V článku 8 ods. 1 Charty základných práv Európskej únie (ďalej len „charta“) a v článku 16 ods. 1 zmluvy sa stanovuje zásada, že každý má právo na ochranu osobných údajov, ktoré sa ho týkajú.

(2) Spracovávanie údajov je určené k tomu, aby slúžilo človeku; zásady a pravidlá ochrany fyzických osôb pri spracúvaní ich osobných údajov by bez ohľadu na štátnu príslušnosť alebo bydlisko fyzických osôb mali rešpektovať základné práva a slobody, najmä ich právo na ochranu osobných údajov. Mali by prispieť k dokončeniu budovania priestoru slobody, bezpečnosti a spravodlivosti a hospodárskej únie, k hospodárskemu a sociálnemu pokroku, k posilneniu konvergencie ekonomík v rámci vnútorného trhu a ku prospechu fyzických osôb.

(3) Úlohou smernice Európskeho parlamentu a Rady 95/46/ES (4) je harmonizovať ochranu základných práv a slobôd fyzických osôb v súvislosti so spracúvaním údajov a zabezpečiť voľný tok osobných údajov medzi členskými štátmi.

(4) Hospodárska a sociálna integrácia, ktorá je dôsledkom fungovania vnútorného trhu, viedla k značnému nárastu cezhraničných tokov. Výmena údajov medzi hospodárskymi a sociálnymi, verejnými a súkromnými aktérmi v Únii vzrástla. Vnútroštátne orgány v členských štátoch sú na základe právnych predpisov Únie povinné spolupracovať a vymieňať si osobné údaje, aby mohli vykonávať svoje povinnosti a úlohy v mene orgánu iného členského štátu.

(5) Rýchly technologický rozvoj so sebou priniesol nové výzvy v oblasti ochrany osobných údajov. Rozsah zdieľania a zhromažďovania údajov sa výrazne zväčšil. Technológia umožňuje súkromným podnikom a verejným orgánom pri výkone ich činností využívať osobné údaje v doteraz bezprecedentnom rozsahu. Fyzické osoby vo väčšej miere zverejňujú svoje osobné údaje, a to aj v globálnom meradle. Technológia transformovala hospodársky aj sociálny život a žiada si ďalšie zjednodušenie voľného toku údajov v rámci Únie a prenosu do tretích krajín a medzinárodným organizáciám pri súčasnom zabezpečení vysokej úrovne ochrany osobných údajov.

(6) Táto situácia si vyžaduje vytvorenie silného a súdržnejšieho rámca ochrany údajov v Únii, ktorý sa bude intenzívne presadzovať vzhľadom na význam vybudovania dôvery, ktorá umožní rozvoj digitálnej ekonomiky v rámci vnútorného trhu. Fyzické osoby by mali mať kontrolu nad svojimi vlastnými osobnými údajmi a mala by sa posilniť právna a praktická istota pre fyzické osoby, hospodárskych aktérov a verejné orgány.

(7) Ciele a zásady smernice 95/46/ES zostávajú platné, nepodarilo sa však zabrániť rozdielnosti implementácie ochrany údajov v Únii, právnej neistote a rozšírenému vnímaniu verejnosti, že v súvislosti s ochranou údajov v prípade fyzických osôb existujú značné riziká, najmä v online prostredí. Rozdiely, ktoré existujú v členských štátoch, pokiaľ ide o úroveň ochrany práv a slobôd fyzických osôb pri spracúvaní osobných údajov, konkrétne práva na ochranu osobných údajov, môžu brániť vo voľnom toku osobných údajov v Únii. Tieto rozdiely preto môžu predstavovať prekážku pri vykonávaní množstva hospodárskych činností na úrovni Únie, narúšať hospodársku súťaž a brániť orgánom v plnení úloh, ktoré majú vykonávať na základe práva Únie. Tento rozdiel v úrovni ochrany je spôsobený existenciou rozdielov vo vykonávaní a uplatňovaní smernice 95/46/ES.

(8) Aby sa zabezpečila konzistentná a vysoká úroveň ochrany fyzických osôb a odstránili sa prekážky tokov osobných údajov, musí byť úroveň ochrany osobných práv a slobôd pri spracovávaní týchto údajov rovnaká vo všetkých členských štátoch. Konzistentné a jednotné uplatňovanie pravidiel ochrany základných práv a slobôd fyzických osôb pri spracúvaní osobných údajov by malo byť zabezpečené v rámci celej Únie.

(9) Účinná ochrana osobných údajov v rámci Únie si vyžaduje posilnenie a spresnenie práv dotknutých osôb a povinností tých, ktorí osobné údaje spracúvajú a o ich spracovaní rozhodujú, no vyžaduje si aj zodpovedajúce právomoci na monitorovanie a zabezpečenie súladu s pravidlami ochrany osobných údajov a zodpovedajúce sankcie voči tým, ktorí v členských štátoch tieto pravidlá porušujú.

(10) Podľa článku 16 ods. 2 zmluvy má Európsky parlament a Rada právomoc stanovovať pravidlá týkajúce sa ochrany fyzických osôb pri spracúvaní osobných údajov a pravidiel týkajúcich s voľného pohybu osobných údajov.

(11) Aby sa zabezpečila konzistentná úroveň ochrany fyzických osôb v Únii a zabránilo sa rozdielom, ktoré sú prekážkou voľného pohybu údajov v rámci vnútorného trhu, je potrebné prijať nariadenie, ktoré by poskytlo právnu istotu a bolo by transparentné pre hospodárskych aktérov vrátane mikropodnikov a malých a stredných podnikov, ktoré by fyzickým osobám vo všetkých členských štátoch poskytlo rovnakú úroveň práv vymáhateľných právnymi prostriedkami a prevádzkovateľom a sprostredkovateľom uložilo povinnosti a zodpovednosti, ktoré by zabezpečilo konzistentné monitorovanie a spracovávanie osobných údajov a ktoré by stanovovalo zodpovedajúce sankcie vo všetkých členských štátoch, ako aj účinnú spoluprácu dozorných orgánov rozličných členských štátov. Aby sa zohľadnila osobitná situácia mikropodnikov a malých a stredných podnikov, toto nariadenie obsahuje aj niekoľko výnimiek. Okrem toho sú inštitúcie a orgány Únie, členské štáty a ich dozorné orgány nabádané k tomu, aby pri uplatňovaní tohto nariadenia zohľadňovali osobitné potreby mikropodnikov a malých a stredných podnikov. Pojem mikropodniky a malé a stredné podniky vychádza z odporúčania Komisie 2003/361/ES (5).

(12) Ochrana, ktorú toto nariadenie poskytuje, sa týka fyzických osôb bez ohľadu na ich štátnu príslušnosť alebo bydlisko a vzťahuje sa na spracúvanie osobných údajov. Pokiaľ ide o spracúvanie údajov týkajúcich sa právnických osôb a najmä podnikov vystupujúcich ako právnické osoby vrátane názvu, formy a kontaktných údajov právnickej osoby, takéto právnické osoby sa nemôžu domáhať ochrany poskytovanej týmto nariadením. Toto pravidlo sa uplatňuje aj vtedy, ak názov právnickej osoby obsahuje mená jedného alebo viacerých fyzických osôb.

(13) Ochrana fyzických osôb by mala byť technologicky neutrálna a nemala by sa odvíjať od použitých techník, inak by vznikalo závažné riziko obchádzania predpisov. Ochrana fyzických osôb by sa mala vzťahovať na spracúvanie osobných údajov automatizovaným spôsobom, ako aj na ručné spracovávanie, ak sú údaje uchované v informačnom systéme alebo doň majú byť uložené. Súbory alebo komplexy súborov ako aj ich hlavičky, ktoré nie sú štruktúrované podľa špecifických kritérií, nebudú patriť do pôsobnosti tejto smernice.

(14) Toto nariadenie sa netýka otázok ochrany základných práv a slobôd alebo voľného toku údajov týkajúcich sa činností, ktoré nepatria do pôsobnosti práva Únie, a netýka sa ani spracúvania osobných údajov inštitúciami, orgánmi, úradmi a agentúrami Únie, na ktoré sa vzťahuje. Nariadenie Európskeho parlamentu a Rady (ES) č. 45/2001 (6) , či spracúvania osobných údajov členskými štátmi pri vykonávaní činností v súvislosti so spoločnou zahraničnou a bezpečnostnou politikou Únie by sa malo uviesť do súladu s týmto nariadením a uplatňovať v súlade s týmto nariadením . [PN 1]

(15) Toto nariadenie by sa nemalo uplatňovať na spracovávanie osobných údajov fyzickou osobou, ktoré je výlučne osobnej , rodinnej či súkromnej povahy, ako je korešpondencia a uchovávanie adries alebo súkromný predaj , a ktoré je bez akéhokoľvek zárobkového motívu, a teda nesúvisí so žiadnou profesionálnou alebo komerčnou činnosťou. Výnimka by sa mala uplatňovať aj na prevádzkovateľov a sprostredkovateľov, ktorí poskytujú prostriedky pre spracovávanie osobných údajov na takéto osobné či súkromné činnosti. Toto nariadenie by sa však malo uplatňovať na prevádzkovateľov a sprostredkovateľov, ktorí poskytujú prostriedky na spracovávanie osobných údajov na takéto osobné či súkromné činnosti. [PN 2]

(16) Ochrana fyzických osôb pri spracúvaní osobných údajov príslušnými orgánmi na účely predchádzania trestným činom, ich vyšetrovania, odhaľovania alebo stíhania alebo na účely výkonu trestných sankcií a voľný pohyb takýchto údajov podlieha pôsobnosti osobitného právneho nástroja na úrovni Únie. Toto nariadenie by sa teda nemalo uplatňovať pri spracovávaní na takéto účely. Na údaje spracované verejnými orgánmi podľa tohto nariadenia, ak sa používajú na účely predchádzania trestným činom, ich vyšetrovania, odhaľovania alebo stíhania alebo na výkon trestov, by sa mal vzťahovať špecifickejší právny nástroj na úrovni Únie (smernica Európskeho parlamentu a Rady 2014/…/EÚ o ochrane fyzických osôb pri spracúvaní osobných údajov príslušnými orgánmi na účely predchádzania trestným činom, ich vyšetrovania, odhaľovania alebo stíhania alebo na účely výkonu trestných sankcií a o voľnom pohybe takýchto údajov).

(17) Týmto nariadením by nemalo byť dotknuté uplatňovanie smernice Európskeho parlamentu a Rady 2000/31/ES (7), najmä povinnosť poskytovateľov sprostredkovateľských služieb uvedená v článkoch 12 až 15 uvedenej smernice.

(18) Toto nariadenie umožňuje, aby sa princíp verejného prístupu k oficiálnym dokumentom zohľadnil pri uplatňovaní ustanovení tohto nariadenia. Osobné údaje v dokumentoch v držbe verejného orgánu alebo verejného subjektu môže tento orgán alebo subjekt sprístupniť súlade s právom Únie alebo členského štátu o prístupe verejnosti k úradným dokumentom, ktoré zosúlaďuje právo na ochranu údajov s právom na prístup verejnosti k úradným dokumentom a predstavuje spravodlivú rovnováhu rôznych zúčastnených záujmov. [PN 3]

(19) Každé spracovanie osobných údajov v súvislosti s činnosťami zariadenia prevádzkovateľa alebo sprostredkovateľa v Únii by sa malo vykonávať v súlade s týmto nariadením bez ohľadu na to, či sa samotné spracovanie realizuje v Únii alebo nie. Zariadenie znamená efektívny a skutočný výkon činnosti. Právna forma takéhoto zariadenia, či už ide o pobočku alebo dcérsku spoločnosť s právnou subjektivitou, nie je v tomto ohľade určujúcim faktorom.

(20) Aby sa zabezpečilo, že fyzické osoby nebudú zbavené ochrany, na ktorú majú na základe tohto nariadenia právo, toto nariadenie by sa malo uplatňovať na spracovanie osobných údajov dotknutých osôb s bydliskom v Únii vykonávané prevádzkovateľom, ktorý nemá sídlo v Únii, ak spracovanie súvisí s ponukou tovaru alebo služieb bez ohľadu na to, či sa spája s platbami alebo nie, týmto dotknutým osobám alebo so sledovaním správania týchto dotknutých osôb. Aby bolo možné určiť, či takýto prevádzkovateľ ponúka tovar alebo služby takýmto dotknutým osobám v Únii, malo by sa zistiť, či je zrejmé, že prevádzkovateľ počíta s ponukou služieb dotknutým osobám v jednom alebo viacerých členských štátoch v Únii. [PN 4]

(21) Na určenie toho, či spracúvanie údajov možno pokladať za „sledovanie správania dotknutých osôb “dotknutej osoby, malo by sa zistiť, či je pohyb fyzických osôb na internete sledovaný prostredníctvom techník , bez ohľadu na pôvod údajov, alebo sa o nich zbierajú iné údaje vrátane z verejných registrov a oznámení Únie, ktoré sú prístupné mimo Únie, vrátane úmyslu použiť alebo potenciálne následne použiť techniky spracovania údajov, pomocou ktorých je fyzickej osobe pridelený „profil“ na účely prijatia rozhodnutia týkajúceho sa tejto osoby alebo na účely analýzy či predvídania osobných preferencií, správania a zvykov tejto osoby. [PN 5]

(22) Ak sa podľa medzinárodného práva uplatňujú vnútroštátne právne predpisy niektorého členského štátu, toto nariadenie by sa malo uplatniť aj na prevádzkovateľa, ktorý nemá sídlo v Únii, napríklad na diplomatickom zastúpení alebo konzuláte členského štátu.

(23) Zásady ochrany údajov by sa mali uplatňovať na všetky informácie týkajúce sa určenej alebo určiteľnej fyzickej osoby. Na určenie toho, či je osoba určiteľná, by sa mali brať do úvahy všetky prostriedky, pri ktorých existuje primeraná pravdepodobnosť, že ich využije prevádzkovateľ alebo ľubovoľná iná osoba na identifikáciu alebo vyčlenenie príslušnej osoby. priamo alebo nepriamo . S cieľom zistiť, či v prípade prostriedkov existuje primeraná pravdepodobnosť, že budú použité na identifikáciu jednotlivca, mali by sa vziať do úvahy všetky objektívne faktory, ako sú náklady a množstvo času potrebné na identifikáciu, pričom sa berú do úvahy dostupné technológie a technologický rozvoj v čase spracovania. Zásady ochrany údajov by sa preto nemali uplatňovať na anonymné údaje, ktoré sú považované za anonymizované takým spôsobom, že dotknutá osoba už nie je určiteľná , čiže informácie, ktoré sa netýkajú určenej alebo určiteľnej fyzickej osoby . Toto nariadenie sa preto netýka spracovania takýchto anonymných údajov vrátane údajov na štatistické a výskumné účely . [PN 6]

(24) Pri používaní online služieb môžu byť fyzickým osobám pridelené online Toto nariadenie by sa malo vzťahovať na spracovanie zahŕňajúce identifikátory, ktoré sú generované prístrojmi, aplikáciami, nástrojmi a protokolmi, ako je sú IP adresa alebo cookies týchto služieb. Tieto môžu zanechávať stopy, ktoré môžu byť v kombinácii s jedinečnými identifikátormi a inými informáciami získanými zo serverov použité na vytvorenie profilov fyzických osôb a na ich identifikáciu. Vyplýva z toho, že identifikačné čísla, lokalizačné údaje, online identifikátory alebo iné osobitné faktory nemusia byť nutne ako také pokladané za všetkých okolností za osobné údaje a štítky na rádiofrekvenčnú identifikáciu, ak sa tieto identifikátory netýkajú určenej alebo určiteľnej fyzickej osoby . [PN 7]

(25) Súhlas by mal byť daný výslovne pomocou vhodnej metódy, ktorá umožňuje slobodne poskytnúť špecifické a informované vyjadrenie o želaní dotknutej osoby, a to buď vo forme stanoviska alebo prostredníctvom výslovného prejavu vôle na základe rozhodnutia dotknutej osoby, a ktorá zabezpečuje, že jednotlivci sú si vedomí, že dávajú súhlas na spracovanie osobných údajov – prostredníctvom zakliknutia . Výslovný prejav vôle by mohol zahŕňať zakliknutie rámika pri návšteve internetovej stránky alebo podaním podanie iného vyjadrenia alebo vykonaním vykonanie inej činnosti, ktorá v tomto kontexte jasne znamená, že dotknutá osoba súhlasí s navrhovaným spracovaním jej osobných údajov. Nereagovanie , samotné použitie služby alebo nečinnosť sa preto nepokladajú za vyslovenie súhlasu. Súhlas by sa mal vzťahovať na každé spracovanie vykonávané na ten istý účel alebo účely. Ak má dotknutá osoba vyjadriť súhlas na základe elektronickej požiadavky, požiadavka musí byť jasná, stručná a bez zbytočného prerušenia používania služby, na ktorú sa poskytuje. [PN 8]

(26) Osobné údaje týkajúce sa zdravia by mali zahŕňať najmä všetky údaje týkajúce sa zdravotného stavu dotknutej osoby, informácie o registrácii fyzickej osoby na poskytovanie zdravotníckych služieb, informácie o platbách alebo nároku na zdravotnú starostlivosť týkajúce sa fyzickej osoby, číslo, symbol alebo osobitný údaj, ktorý bol fyzickej osobe priradený na individuálnu identifikáciu fyzickej osoby na zdravotné účely, všetky informácie získané o fyzickej osobe počas poskytovania zdravotníckych služieb, informácie získané na základe vykonávania testov alebo prehliadok častí organizmu alebo telesných substancií vrátane biologických vzoriek, identifikácia osoby ako poskytovateľa zdravotnej starostlivosti fyzickej osobe, alebo akékoľvek informácie napr. o chorobe, zdravotnom postihnutí, riziku ochorenia, lekárskej anamnéze, klinickej liečbe, alebo o aktuálnom fyziologickom alebo biomedickom stave dotknutej osoby bez ohľadu na zdroj týchto informácií, či už pochádzajú od lekára alebo zdravotníka, z nemocnice, zo zdravotného prístroja alebo z vykonania diagnostického testu in vitro.

(27) Hlavné zariadenie prevádzkovateľa v Únii by sa malo určiť podľa objektívnych kritérií a malo by zahŕňať efektívne a skutočné vykonávanie riadiacich činností stanovujúcich hlavné rozhodnutia týkajúce sa účelu, podmienok a prostriedkov spracúvania na trvalom základe. Toto kritérium by nemalo byť závislé od toho, či sa spracúvanie osobných údajov skutočne vykonáva na tomto mieste, existencia a použitie technických prostriedkov a technológií spracúvania osobných údajov alebo spracovateľských činností nepredstavujú sami osebe takéto hlavné ústredie a preto nie sú určujúcimi kritériami pre hlavné ústredie. Ústredím sprostredkovateľa by malo byť miesto jeho administratívneho sídla v Únii.

(28) Skupina podnikov by mala pozostávať z kontrolujúceho podniku a ním kontrolovaných podnikov, pričom kontrolujúci podnik by mal byť podnikom, ktorý môže vykonávať dominantný vplyv na podniky napr. v dôsledku toho, že ich vlastní, v dôsledku finančnej účasti alebo pravidiel upravujúcich činnosť podniku alebo v dôsledku právomoci implementovať pravidlá ochrany osobných údajov.

(29) Osobitnú ochranu osobných údajov si zasluhujú deti, keďže si môžu byť v menšej miere vedomé rizík, dôsledkov, záruk a práv súvisiacich so spracovávaním osobných údajov. Na určenie toho, kedy sa fyzická osoba pokladá za dieťa, by toto nariadenie malo prevziať definíciu stanovenú v Dohovore OSN o právach dieťaťa. Ak sa spracovanie údajov v súvislosti s ponukou tovarov alebo služieb adresovanej priamo dieťaťu zakladá na súhlase dotknutej osoby, u dieťaťa mladšieho ako 13 rokov by mal udeliť súhlas alebo ho schváliť rodič dieťaťa či jeho zákonný zástupca. Ak je zamýšľaný adresát dieťa, mal by sa použiť jazyk primeraný jeho veku. Iné dôvody zákonného spracovania, ako je verejný záujem, by mali zostať v platnosti, napríklad na spracovanie v rámci preventívnych alebo poradenských služieb, ktoré sú ponúkané priamo dieťaťu. [PN 9]

(30) Každé spracovanie osobných údajov musí byť zákonné, spravodlivé a transparentné vo vzťahu k dotknutým fyzickým osobám. Najmä osobitné dôvody, pre ktoré sa údaje spracúvajú, by mali byť presné a legitímne a stanovené už v čase zhromažďovania údajov. Údaje by mali byť primerané, relevantné a obmedzené na minimum nevyhnutné na účely, na ktoré sa údaje spracúvajú; to si vyžaduje najmä zabezpečenie, aby množstvo zhromaždených údajov nebolo neúmerné a aby obdobie, počas ktorého sa tieto údaje uchovávajú, bolo obmedzené na prísne minimum. Osobné údaje by mali byť spracované len vtedy, ak účel spracovania nebolo možné dosiahnuť inými prostriedkami. Mali by sa prijať všetky primerané opatrenia, aby sa zabezpečilo vymazanie alebo oprava nepresných údajov. Prevádzkovateľ by mal stanoviť lehoty na výmaz alebo pravidelné prehodnotenie, aby sa zabezpečilo, že údaje nebudú uchovávané dlhšie, než je to nutné.

(31) Aby bolo spracúvanie zákonné, osobné údaje by sa mali spracúvať na základe súhlasu dotknutej osoby alebo na nejakom inom legitímnom základe, ktorý je stanovený v právnych predpisoch, a to buď v tomto nariadení alebo v iných právnych predpisoch Únie alebo príslušného členského štátu, ako je to uvedené v tomto nariadení. V prípade dieťaťa alebo osoby, ktorá nená právnu spôsobilosť, mali by sa podmienky, za ktorých táto osoba vyjadruje alebo schvaľuje súhlas, určiť podľa príslušných právnych predpisov Únie alebo členského štátu. [PN 10]

(32) Ak je spracovanie založené na súhlase dotknutej osoby, malo by byť povinnosťou prevádzkovateľa preukázať, že dotknutá osoba vyjadrila súhlas s operáciami spracovania údajov. Najmä v súvislosti s písomným vyhlásením v inej záležitosti by záruky mali zabezpečovať, že dotknutá osoba si je vedomá, že dáva súhlas a v akom rozsahu ho udeľuje. Na dodržanie zásady minimalizácie údajov by sa dôkazné bremeno okrem nevyhnutných prípadov nemalo chápať ako požiadavka na pozitívnu identifikáciu dotknutých osôb. Podobne ako v prípade podmienok občianskeho práva (napr. smernica Rady 93/13/EHS (8) ), postupy v oblasti ochrany údajov by mali byť čo najzreteľnejšie a najtransparentnejšie. Nemali by obsahovať skryté ani znevýhodňujúce ustanovenia. Nemožno poskytnúť súhlas na spracovanie osobných údajov tretích osôb. [PN 11]

(33) Aby sa zabezpečilo, že vyjadrenie súhlasu bude dobrovoľné, malo by sa ozrejmiť, že súhlas neposkytuje platný právny základ, ak fyzická osoba nemohla vykonať riadnu a slobodnú voľbu, a teda následne nemôže odmietnuť alebo odvolať súhlas bez nepriaznivých následkov. Je to tak najmä v prípade, keď prevádzkovateľ je orgán verejnej moci, ktorý môže z úradnej moci uložiť povinnosť a súhlas tak nemožno pokladať za dobrovoľne udelený. Použitie predvolených možností, ktoré musí dotknutá osoba zmeniť, ak chce voči spracovaniu údajov namietať, ako sú napríklad vopred zaškrtnuté políčka, nevyjadruje dobrovoľne udelený súhlas. Súhlas so spracovaním dodatočných osobných údajov, ktoré nie sú nevyhnutné na poskytovanie služby, by sa na používanie služby nemal vyžadovať. Ak sa súhlas vezme späť, môže sa tým umožniť ukončenie alebo nevykonávanie služby, ktorá od údajov závisí. V prípade, že ukončenie zamýšľaného účelu nie je jasné, prevádzkovateľ by mal v pravidelných intervaloch poskytovať dotknutej osobe informácie o spracúvaní a požiadať o opätovné potvrdenie jej súhlasu. [PN 12]

(34) Súhlas by nemal byť platným právnym dôvodom na spracovanie osobných údajov, ak medzi postavením dotknutej osoby a prevádzkovateľa existuje jednoznačný nepomer. Týka sa to najmä situácie, keď je dotknutá osoba závislá od prevádzkovateľa, okrem iného, keď osobné údaje zamestnancov sú spracúvané zamestnávateľom v súvislosti s ich zamestnávaním. Ak je prevádzkovateľom verejný orgán, nepomer by nastal iba pri určitých operáciách spracovania údajov, pri ktorých verejný orgán môže uložiť zo svojej úradnej moci povinnosť a súhlas tak nemožno pokladať za dobrovoľne udelený z hľadiska záujmov dotknutej osoby. [PN 13]

(35) Spracovanie by malo byť zákonné, ak je potrebné v súvislosti s plnením zmluvy alebo s úmyslom uzatvoriť zmluvu.

(36) Ak sa spracúvanie údajov vykonáva v súlade so zákonnými povinnosťami, ktoré má prevádzkovateľ, alebo ak spracovanie je potrebné na splnenie úlohy vykonávanej vo verejnom záujme alebo na výkon úradnej moci, právny základ pre spracovanie by mal existovať v práve Únie alebo v práve niektorého členského štátu, a tento právny základ by mal spĺňať požiadavky charty týkajúce sa obmedzenia práv a slobôd. Mali by v tom byť zahrnuté aj kolektívne zmluvy, ktoré by mohli byť podľa vnútroštátneho práva uznané za zmluvy so všeobecnou platnosťou. V právnych predpisoch Únie alebo vo vnútroštátnych právnych predpisoch by malo byť takisto stanovené, či prevádzkovateľom vykonávajúcim úlohu vo verejnom záujme alebo z úradnej moci by mala byť verejná správa, alebo iná fyzická alebo právnická osoba, na ktorú sa vzťahuje verejné alebo súkromné právo, ako napríklad profesijné združenie. [PN 14]

(37) Spracovanie osobných údajov sa musí považovať za rovnako zákonné tam, kde je potrebné na účely ochrany záujmu, ktorý je zásadný pre život dotknutej osoby.

(38) Oprávnené záujmy prevádzkovateľa alebo v prípade zverejnenia tretej strany, ktorej sa údaje poskytujú, môžu poskytnúť právny základ pre spracovanie údajov, ak spĺňajú primerané očakávania dotknutej osoby na základe jej vzťahu s prevádzkovateľom a ak nad nimi neprevažujú záujmy alebo základné práva a slobody dotknutej osoby. Tu by bolo potrebné vykonávať podrobnejšie posúdenie, najmä ak je dotknutou osobou dieťa, keďže deti majú nárok na osobitnú ochranu. Ak záujmy alebo základné práva a slobody dotknutej osoby neprevažujú, malo by sa predpokladať, že spracovanie obmedzené na pseudonymné údaje spĺňa primerané očakávania dotknutej osoby založené na jej vzťahu s prevádzkovateľom. Dotknutá osoba by mala mať právo bezplatne namietať voči spracovaniu z dôvodov jej konkrétnej situácie. Aby sa zabezpečila transparentnosť, prevádzkovateľ by mal byť povinný výslovne informovať dotknutú osobu o oprávnených záujmoch, ktoré spracúvaním sleduje, a o jej práve namietať, a mal by byť takisto povinný zdokumentovať tieto oprávnené záujmy. Záujmy a základné práva dotknutej osoby by mohli byť nadradené záujmom prevádzkovateľa údajov najmä vtedy, ak sa osobné údaje spracúvajú za okolností, keď dotknuté osoby primerane neočakávajú ďalšie spracúvanie. Keďže je úlohou zákonodarcu stanoviť pre verejné orgány v právnych predpisoch právny základ pre spracovanie údajov, tento právny základ by sa nemal vzťahovať na spracúvanie verejnými orgánmi pri plnení ich úloh. [PN 15]

(39) Spracúvane údajov v rozsahu nevyhnutne potrebnom a primeranom na účely zaistenia siete informačnej bezpečnosti, t. j. schopnosti siete alebo informačného systému s daným stupňom spoľahlivosti zabezpečiť, že sieť alebo systém odolá odolať poruchám alebo nezákonnému úmyselnému narušeniu, ktoré ovplyvňujú disponibilitu, autenticitu, integritu a dôvernosť uložených alebo prenesených údajov, spolu s bezpečnosťou súvisiacich služieb ponúkaných alebo dostupných prostredníctvom týchto sietí a systémov verejnými orgánmi, jednotkami reakcie na núdzové počítačové situácie (CERTs), jednotkami pre riešenie počítačových incidentov (CSIRTs), poskytovateľmi elektronických komunikačných sietí a služieb a poskytovateľmi bezpečnostných technológií a služieb predstavuje oprávnený záujem dotknutého prevádzkovateľa údajov. Takýto oprávnený záujem by mohol spočívať napríklad v zabránení v neoprávnenom prístupe k elektronickým komunikačným sieťam, v zabránení šíreniu poškodzujúcich programových kódov, v zastavení útokov vo forme cieleného preťaženia serverov („denial of service“), ako aj v zabránení poškodzovaniu počítačových a elektronických komunikačných systémov. Táto zásada sa uplatňuje aj na spracúvanie osobných údajov s cieľom obmedziť zneužívanie prístupu k verejne prístupným sieťovým alebo informačným systémom a ich využívanie, ako je napríklad zverejnenie elektronických identifikátorov na čiernej listine. [PN 16]

(39a) Ak záujmy alebo základné práva a slobody dotknutej osoby neprevažujú, malo by sa predpokladať, že prevencia alebo obmedzenie škôd na strane prevádzkovateľa údajov sa vykonali v oprávnenom záujme prevádzkovateľa údajov, alebo v prípade zverejnenia v oprávnenom záujme tretej strany, ktorej sa údaje poskytli, a že boli splnené primerané očakávania dotknutej osoby založené na jej vzťahu s prevádzkovateľom. Rovnaká zásada sa uplatňuje aj pri presadzovaní právnych nárokov voči dotknutej osobe, ako je napríklad vymáhanie dlhov, náhrada škody a náprava. [PN 17]

(39b) Ak záujmy alebo základné práva a slobody dotknutej osoby neprevažujú, malo by sa predpokladať, že spracovanie osobných údajov na účely priameho marketingu vlastných alebo podobných produktov a služieb, alebo na účely priameho poštového marketingu by sa mali vykonať v oprávnenom záujme prevádzkovateľa, alebo v prípade zverejnenia v oprávnenom záujme tretej strany, ktorej sa údaje poskytli, a že boli splnené primerané očakávania dotknutej osoby založené na jej vzťahu s prevádzkovateľom, ak bola poskytnutá jasne viditeľná informácia o práve vzniesť námietku a o zdroji osobných údajov. Malo by sa všeobecne mať za to, že spracovanie kontaktných obchodných údajov sa vykonalo v oprávnenom záujme prevádzkovateľa, alebo v prípade zverejnenia v oprávnenom záujme tretej strany, ktorej sa údaje poskytli, a že boli splnené primerané očakávania dotknutej osoby založené na jej vzťahu s prevádzkovateľom. To isté by malo platiť pre spracovanie osobných údajov, ktoré zjavne zverejnila dotknutá osoba. [PN 18]

(40) Spracúvanie osobných údajov na iné účely by malo byť povolené len vtedy, ak je toto spracúvanie v súlade s účelmi, na ktoré boli údaje pôvodne zhromaždené, najmä ak spracúvanie je potrebné na historické, štatistické alebo vedeckovýskumné účely. V prípadoch, v ktorých tento iný účel nie je v súlade s pôvodným účelom, na ktorý boli údaje zhromaždené, prevádzkovateľ by mal získať súhlas dotknutej osoby na tejto iný účel alebo by mal spracovanie vykonať na základe iného legitímneho dôvodu zákonného spracúvania, a to najmä ak je takýto dôvod stanovený v práve Únie alebo v práve členského štátu, ktorému prevádzkovateľ podlieha. V každom prípade by sa malo zabezpečiť uplatnenie zásad stanovených v tomto nariadení a najmä povinnosti informovať dotknutú osobu o týchto iných účeloch. [PN 19]

(41) Osobitnú ochranu je potrebné poskytnúť pri osobných údajoch, ktoré sú svojou povahou zvlášť citlivé a exponované v súvislosti so základnými právami alebo právom na súkromie. Takéto údaje by sa nemali spracúvať, pokým k tomu dotknutá osoba nedá výslovne súhlas. Mali by sa však stanoviť výslovné výnimky z tohto zákazu v súvislosti s osobitnými potrebami, najmä ak sa spracúvanie vykonáva v rámci legitímnych činností určitými združeniami alebo nadáciami, ktoré sa zasadzujú o základné slobody. [PN 20]

(42) Výnimka zo zákazu spracúvania citlivých kategórií údajov by sa mala povoliť aj v prípade, že existujú pre to zákonné dôvody – s výhradou primeraných záruk ochrany osobných údajov a iných základných práv – ak takéto konanie je odôvodnené verejným záujmom a najmä na zdravotné účely vrátane verejného zdravia, sociálnej ochrany a riadenia poskytovania zdravotníckych služieb, zvlášť ak sa takto zabezpečí kvalita a nákladová efektívnosť postupov používaných pri uplatňovaní nárokov v rámci systému zdravotného poistenia, alebo na účely historické, štatistické a vedeckovýskumné alebo pre archivárske služby . [PN 21]

(43) Okrem toho, spracovanie osobných údajov oficiálnymi orgánmi na dosiahnutie cieľov oficiálne uznaných náboženských združení – cieľov stanovených v ústave alebo v medzinárodnom verejnom práve – sa vykonáva z dôvodov verejného záujmu.

(44) Tam, kde si počas volebných aktivít fungovanie demokratického systému v niektorom členskom štáte vyžaduje, aby politické strany zhromažďovali údaje o politických názoroch ľudí, môže byť spracovanie týchto údajov povolené z dôvodov verejného záujmu, a to za predpokladu, že sú poskytnuté náležité záruky.

(45) Ak údaje spracúvané prevádzkovateľom nedovoľujú prevádzkovateľovi identifikovať fyzickú osobu, prevádzkovateľ nie je povinný získať dodatočné informácie na identifikovanie dotknutej osoby výlučne na to, aby dosiahol súlad s niektorým ustanovením tohto nariadenia. V prípade žiadosti o prístup k údajom má mať prevádzkovateľ právo žiadať dotknutú osobu o ďalšie informácie, ktoré mu umožnia lokalizovať osobné údaje, ktoré táto osoba hľadá. Ak je možné, aby dotknutá osoba takéto údaje poskytla, prevádzkovatelia by nemali mať možnosť dovolávať sa nedostatku informácií ako dôvodu zamietnutia žiadosti o prístup. [PN 22]

(46) Zásada transparentnosti si vyžaduje, aby všetky informácie určené verejnosti alebo dotknutej osobe boli ľahko prístupné a ľahko pochopiteľné a napísané jasne a jednoducho. Týka sa to najmä situácií, ako je online reklama, v ktorých veľký počet účastníkov a technologická komplexnosť sťažujú dotknutej osobe zistiť a pochopiť, či osobné údaje, ktoré sa jej týkajú, boli zhromaždené, kým a na aké účely. Keďže deťom prislúcha osobitná ochrana, všetky informácie a každá komunikácia, pri ktorej sa spracovanie zameriava osobitne na dieťa, by mali byť napísané jasne a jednoducho, aby ich dieťa mohlo jednoducho pochopiť.

(47) Mali by sa stanoviť spôsoby, ktoré by dotknutej osobe uľahčili uplatnenie jej práv stanovených v tomto nariadení, vrátane mechanizmov pre vyžiadanie si na získanie bezplatného prístupu k údajom, ich opravu, výmaz a na uplatnenie práva namietať. Prevádzkovateľ by mal byť povinný odpovedať na žiadosť dotknutej osoby v stanovenej primeranej lehote a uviesť dôvody v prípade, že nemôže vyhovieť žiadosti dotknutej osoby. [PN 23]

(48) Zásady spravodlivého a transparentného spracúvania vyžadujú, aby dotknutá osoba bola informovaná najmä o existencii operácie spracovania a je jej účeloch, o tom, ako dlho budú údaje na každý účel pravdepodobne uchované , ak sa údaje majú poslať tretím stranám alebo do tretích krajín, o existencii opatrení na podávanie námietok a práva na prístup, opravu a výmaz a o práve namietať. Ak sa údaje zhromažďujú od dotknutej osoby, dotknutá osoba by mala byť informovaná aj o tom, či je povinná údaje poskytnúť, a o následkoch v prípade, že tieto údaje neposkytne. Tieto informácie by sa mali poskytovať – čo môže tiež znamenať ľahko sprístupňovať – dotknutej osobe po poskytnutí zjednodušených informácií vo forme štandardizovaných piktogramov. Malo by to tiež znamenať, že osobné údaje sa spracúvajú spôsobom, ktorý dotknutej osobe efektívne umožňuje uplatňovať svoje práva. [PN 24]

(49) Informácie súvisiace so spracúvaním osobných údajov týkajúcich sa dotknutej osoby by sa dotknutej osobe mali poskytnúť v čase zhromaždenia údajov alebo, ak údaje nie sú zhromaždené od dotknutej osoby, v primeranej lehote v závislosti od okolností prípadu. Ak možno údaje legitímne poskytnúť inému príjemcovi, dotknutá osoba by mala byť informovaná o tom, kedy boli údaje prvýkrát poskytnuté tomuto príjemcovi.

(50) Nie je však potrebné túto povinnosť uložiť, ak dotknutá osoba už tieto informácie má pozná , ak uloženie alebo poskytnutie údajov je výslovne stanovené v právnych predpisoch, alebo ak poskytnutie informácií dotknutej osobe nie je možné alebo by si vyžiadalo vynaloženie neprimeraného úsilia. Posledná situácia by sa mohla týkať najmä spracovania na historické, štatistické alebo vedeckovýskumné účely; v tejto súvislosti možno zohľadniť počet dotknutých osôb, vek údajov a všetky prijaté kompenzačné opatrenia. [PN 25]

(51) Každá osoba by mala mať právo na prístup k údajom, ktoré boli o nej zhromaždené, a toto právo aj jednoducho uplatňovať, aby si bola vedomá zákonnosti spracovania a mohla si ju overiť. Každá dotknutá osoba by preto mala mať právo vedieť a byť informovaná najmä o účeloch spracúvania údajov, akú dlhú odhadovanú dobu budú uchovávané, ktorí príjemcovia údajov ich dostanú, aká je všeobecná logika spracúvania údajov a aké môžu byť následky takéhoto spracovania, aspoň v prípadoch, v ktorých sa spracovania opiera o profilovanie. Toto právo by sa nemalo nepriaznivo dotknúť práv a slobôd iných, ani obchodných tajomstiev alebo práv duševného vlastníctva a najmä , napríklad autorských práv týkajúcich sa ochrany softvéru. Výsledkom týchto obáv by však nemalo byť odmietnutie poskytnutia akýchkoľvek informácií dotknutej osobe. [PN 26]

(52) Prevádzkovateľ by mal použiť všetky primerané opatrenia na overenie totožnosti dotknutej osoby žiadajúcej o prístup k údajom, najmä v súvislosti s online službami a online identifikátormi. Prevádzkovateľ by nemal uchovávať osobné údaje len preto, aby bol schopný reagovať na prípadné žiadosti.

(53) Každá osoba by mala mať právo nechať opraviť osobné údaje, ktoré sa jej týkajú, a právo byť zabudnutá na výmaz , ak uchovávanie takýchto údajov nie je v súlade s týmto nariadením. Dotknuté osoby by mali mať najmä právo, aby ich osobné údaje boli vymazané a už viac neboli spracúvané, ak údaje už nie sú potrebné v súvislosti s účelmi, na ktoré boli zhromaždené alebo inak spracúvané, ak dotknuté osoby stiahli svoj súhlas s ich spracovaním, ak namietajú voči spracovaniu osobných údajov, ktoré sa ich týkajú, alebo ak spracovanie ich osobných údajov nie je v súlade s týmto nariadením z iných dôvodov. Toto právo je relevantné hlavné v situácii, v ktorej dotknutá osoba dala súhlas ako dieťa, teda v tom čase si ešte nebola plne vedomá rizík spojených so spracúvaním, a neskôr chce takéto osobné údaje odstrániť, najmä z internetu. Ďalšie uchovávanie údajov by malo byť povolené v prípadoch, ak je potrebné na historické, štatistické a vedeckovýskumné účely, z dôvodu verejného záujmu v oblasti verejného zdravia, na uplatnenie slobody prejavu, ak sa to vyžaduje v právnych predpisoch alebo ak existuje dôvod pre na obmedzenie spracúvania údajov namiesto ich vymazania. Právo na výmaz by sa taktiež nemalo uplatňovať v prípade, ak je uchovávanie osobných údajov potrebné na plnenie zmluvy s dotknutou osobou, alebo ak existuje zákonná povinnosť tieto údaje uchovávať. [PN 27]

(54) Aby sa posilnilo právo byť zabudnutý na výmaz v online prostredí, malo by sa rozšíriť právo na výmaz, a to tak, že by prevádzkovateľ, ktorý osobné údaje zverejnil bez zákonného opodstatnenia , bol povinný informovať tretie strany, ktoré takéto údaje spracúvajú, o tom, že dotknutá osoba ich žiada, aby vymazali akékoľvek odkazy na tieto osobné údaje, ich kópie alebo replikácie. Aby sa táto informácia zabezpečila, prevádzkovateľ by mal prijať všetky primerané kroky vrátane technických opatrení v súvislosti s údajmi určenými na zverejnenie, za ktoré je tento prevádzkovateľ zodpovedný. V súvislosti so zverejnením osobných údajov treťou stranou by sa mal za zodpovedného za toto zverejnenie pokladať prevádzkovateľ, ak prevádzkovateľ takéto zverejnenie treťou stranou povolil prijať všetky potrebné kroky na vymazanie údajov, a to aj tretími stranami, bez toho, aby bolo dotknuté právo dotknutej osoby žiadať náhradu . [PN 28]

(54a) Údaje, ktoré napadla dotknutá osoba a ktorých presnosť alebo nepresnosť sa nedá určiť, by sa mali blokovať, kým sa problém nevyrieši. [PN 29]

(55) Na ďalšie posilnenie kontroly nad údajmi dotknutej osoby a práva na prístup by dotknutá osoba tam, kde sa osobné údaje spracúvajú elektronickými prostriedkami a štruktúrovaným spôsobom v bežne používanom formáte, mala mať právo získať kópiu údajov, ktoré sa jej týkajú, a to v bežne používanom elektronickom formáte. Dotknutá osoba by takisto mala mať právo prenášať tieto údaje, ktoré poskytla, z jednej automatizovanej aplikácie, ako je sociálna sieť, do inej. Prevádzkovatelia údajov by sa mali nabádať, aby vyvinuli interoperabilné formáty, ktoré umožnia prenositeľnosť údajov. Tento postup by sa mal uplatniť, ak dotknutá osoba poskytla údaje do automatizovaného systému spracovania na základe jej súhlasu alebo v rámci plnenia zmluvy. Poskytovatelia služieb informačnej spoločnosti by nemali prevod týchto údajov stanoviť ako povinnú podmienku poskytovania svojich služieb. [PN 30]

(56) V prípade, že by osobné údaje mohli byť zákonne spracované na ochranu životných záujmov dotknutej osoby alebo z dôvodu verejného záujmu, pri výkone úradnej moci alebo na základe oprávnených záujmov prevádzkovateľa, dotknutá osoba by mala mať aj v takom prípade právo namietať proti spracovaniu akýchkoľvek údajov, ktoré sa jej týkajú , a to bezplatne a spôsobom, ktorý možno ľahko a účinne odvolať . Dôkazné bremeno by malo spočívať na prevádzkovateľovi a ten by mal preukázať oprávnené záujmy, ktoré môžu prevažovať nad záujmami alebo základnými právami a slobodami dotknutej osoby. [PN 31]

(57) Ak sa osobné údaje spracúvajú na účely priameho marketingu, má dotknutá osoba by mala mať právo namietať proti takému spracovaniu, a to bezplatne a jednoduchým a účinným spôsobom prevádzkovateľ by to mal dotknutej osobe výslovne ponúknuť zrozumiteľným spôsobom a formou, pričom použije jasný a jednoduchý jazyk a mal by to jasne odlíšiť od ostatných informácií . [PN 32]

(58) Bez toho, aby bola dotknutá zákonnosť spracovania údajov, každá fyzická osoba by mala mať právo, aby sa na ňu nevzťahovalo opatrenie založené na profilovaní prostredníctvom automatizovaného spracovania. Takéto opatrenie namietať proti profilovaniu. Profilovanie, ktoré vedie k opatreniam s právnymi dôsledkami týkajúcimi sa dotknutej osoby, alebo podobne významne ovplyvňuje záujmy, práva alebo slobody dotknutej osoby, by však malo byť povolené len vtedy , ak je výslovne povolené v právnych predpisoch, vykonáva sa v rámci uzatvorenia alebo plnenia zmluvy alebo ak dotknutá osoba dala svoj súhlas. V každom prípade by takéto spracúvanie malo podliehať primeraným zárukám vrátane povinnosti výslovného informovania dotknutej osoby, práva vymôcť zásah posúdenie ľudského činiteľa a pravidla, že takéto opatrenie by sa nemalo týkať detí. Takéto opatrenia by nemali viesť k diskriminácii jednotlivcov z dôvodu rasy alebo etnického pôvodu, politických názorov, náboženstva alebo presvedčenia, členstva v odboroch, sexuálnej orientácie alebo rodovej identity. [PN 33]

(58a) Profilovanie založené výhradne na spracovaní pseudonymných údajov by nemalo významne ovplyvniť záujmy, práva alebo slobody dotknutej osoby. Ak profilovanie, či už na základe jedného zdroja pseudonymných údajov alebo skupiny pseudonymných údajov z rôznych zdrojov, umožňuje prevádzkovateľovi priradiť pseudonymné údaje ku konkrétnej dotknutej osobe, spracované údaje by sa už nemali považovať za pseudonymné. [PN 34]

(59) Únia alebo členské štáty môžu zaviesť obmedzenia osobitných zásad a práva na informovanie, na prístup, opravu a výmaz alebo práva na prenosnosť prístup a získanie údajov, práva namietať, opatrení založených na profilovaní práva spojeného s profilovaním , ako aj oznámení dotknutej osobe o porušení ochrany osobných údajov a určitých povinností prevádzkovateľa, pokiaľ je to potrebné a v demokratickej spoločnosti primerané na zaistenie verejnej bezpečnosti vrátane ochrany zdravia ľudí – najmä v reakcii na prírodné alebo človekom zapríčinené katastrofy – pokiaľ je potrebné predchádzať trestným činom alebo porušovaniu etiky v regulovaných profesiách, vyšetrovať ich a stíhať, alebo ak je to potrebné pre iné špecifické a presne vymedzené verejné záujmy Únie alebo niektorého členského štátu, najmä ak ide o dôležitý hospodársky alebo finančný záujem Únie alebo niektorého členského štátu, alebo ak je to dôležité pre ochranu dotknutej osoby alebo práv a slobôd iných. Tieto obmedzenia by mali byť v súlade s požiadavkami stanovenými v charte a Európskom dohovore o ochrane ľudských práv a základných slobôd. [PN 35]

(60) Mala by sa stanoviť celková zodpovednosť a povinnosť prevádzkovateľa týkajúca sa akéhokoľvek spracúvania osobných údajov vykonávaného prevádzkovateľom alebo v jeho mene, najmä pokiaľ ide o dokumentáciu, bezpečnosť údajov, posúdenie vplyvu, úradníka pre ochranu údajov a dohľad orgánov na ochranu údajov . Prevádzkovateľ by mal najmä zabezpečiť a mal by mať povinnosť byť schopný preukázať súlad každej operácie spracovania údajov s týmto nariadením. Mali by to overiť nezávislí interní alebo externí audítori. [PN 36]

(61) Ochrana práv a slobôd dotknutých osôb v súvislosti so spracúvaním osobných údajov si vyžaduje prijatie primeraných technických a organizačných opatrení v čase prípravy spracúvania a aj v čase samotného spracúvania, aby sa zabezpečilo splnenie požiadaviek uvedených v tomto nariadení. Aby sa zabezpečil a preukázal súlad s týmto nariadením, prevádzkovateľ by mal prijať interné pravidlá a uplatniť primerané opatrenia, ktoré budú rešpektovať najmä zásady ochrany údajov špecificky navrhnutej a ochrany údajov štandardne určenej. Zásada špecificky navrhnutej ochrany údajov vyžaduje začlenenie ochrany údajov do celého životného cyklu technológie, a to už od začiatočnej etapy návrhu až po jeho konečné uskutočnenie, používanie a konečnú likvidáciu. Malo by to zahŕňať aj zodpovednosť za produkty a služby, ktoré využíva prevádzkovateľ alebo sprostredkovateľ. Zásada štandardne určenej ochrany údajov vyžaduje také nastavenia v oblasti súkromia v súvislosti so službami a produktmi, ktoré by štandardne spĺňali všeobecné zásady ochrany údajov, ako je minimalizácia množstva údajov a obmedzenie účelu. [PN 37]

(62) Ochrana práv a slobôd dotknutých osôb, ako aj zodpovednosť a povinnosť prevádzkovateľov a sprostredkovateľa, a to aj v súvislosti s monitorovaním zo strany dozorných orgánov a ich opatreniami, si vyžaduje jasné priradenie zodpovednosti podľa tohto nariadenia vrátane prípadov, v ktorých prevádzkovateľ určuje účely, podmienky a prostriedky spracovania spoločne s inými prevádzkovateľmi alebo v prípadoch, v ktorých sa operácia spracovania vykonáva v mene prevádzkovateľa. Vzájomné usporiadanie medzi spoločnými prevádzkovateľmi by malo odzrkadľovať konkrétne úlohy a vzťahy spoločných prevádzkovateľov. Spracovanie osobných údajov by podľa tohto nariadenia malo zahŕňať povolenie pre prevádzkovateľa na prenos údajov spoločnému prevádzkovateľovi alebo sprostredkovateľovi na spracovanie údajov v jeho mene. [PN 38]

(63) Ak prevádzkovateľ, ktorý nemá sídlo v Únii, spracúva osobné údaje dotknutej osoby s bydliskom v Únii, pričom jeho spracúvanie súvisí s ponukou tovaru a služieb takýmto dotknutým osobám alebo so sledovaním ich správania, prevádzkovateľ by mal určiť zástupcu, pokiaľ ak jeho sídlo nie je v tretej krajine, ktorá zabezpečuje primeranú úroveň ochrany, pokiaľ nie je malým alebo stredným podnikom či alebo sa spracovanie týka menej ako 5 000 dotknutých osôb v priebehu 12 po sebe idúcich mesiacov a nespracúvajú sa osobitné kategórie osobných údajov, alebo je orgánom verejnej moci alebo verejným subjektom, alebo pokiaľ tento prevádzkovateľ neponúka tovar a služby dotknutým osobám iba príležitostne. Zástupca by mal konať v mene prevádzkovateľa a môže sa na neho obracať ktorýkoľvek dozorný orgán. [PN 39]

(64) Aby bolo možné určiť, či prevádzkovateľ ponúka tovar a služby dotknutým osobám s bydliskom v Únii iba príležitostne, je potrebné uistiť sa, či je z celkovej činnosti prevádzkovateľa zjavné, že ponuka tovaru a služieb takýmto dotknutým osobám je vedľajšou činnosťou vykonávanou popri jeho hlavnej činnosti. [PN 40]

(65) Aby sa preukázal mohol prevádzkovateľ alebo sprostredkovateľ preukázať súlad s týmto nariadením, mal by prevádzkovateľ alebo sprostredkovateľ zdokumentovať každú operáciu spracovania uchovávať potrebnú dokumentáciu, aby tým splnil požiadavky stanovené v tomto nariadení . Každý prevádzkovateľ a sprostredkovateľ by mal byť povinný spolupracovať s dozorným orgánom a na požiadanie mu sprístupniť svoju dokumentáciu tak, aby tento orgán mohol vykonávať monitorovanie týchto operácií spracovania údajov posúdiť súlad s týmto nariadením . Rovnaký dôraz a význam by sa však mal klásť na osvedčené postupy a dodržiavanie predpisov, nielen na vypĺňanie dokumentácie . [PN 41]

(66) Aby sa zachovala bezpečnosť a aby sa predišlo spracúvaniu údajov v rozpore s týmto nariadením, prevádzkovateľ alebo sprostredkovateľ by mali posúdiť riziká súvisiace so spracovaním a uplatniť opatrenia na zmiernenie týchto rizík. Tieto opatrenia by mali zabezpečiť primeranú úroveň bezpečnosti pri zohľadnení najnovšieho stavu techniky a nákladov na jej zavedenie v súvislosti s rizikami a povahou osobných údajov, ktoré sa majú chrániť. Pri stanovovaní technických noriem a organizačných opatrení na zaistenie bezpečnosti spracúvania by Komisia sa mala podporovať technologickú neutralitu, interoperabilitu technologická neutralita, interoperabilita a inovácie, a prípadne by sa mala povzbudzovať spoluprácu spolupráca s tretími krajinami. [PN 42]

(67) Ak nie je porušenie ochrany osobných údajov vhodne a včas riešené, môže spôsobiť značné hospodárske straty a sociálne škody vrátane krádeže totožnosti dotknutej fyzickej osoby. Preto hneď ako by mal prevádzkovateľ zistí, že došlo k porušeniu ochrany údajov, bez zbytočného odkladu oznámi oznámiť toto porušenie dozornému orgánu, pokiaľ možno do 24 čo by nemalo byť neskôr ako do 72 hodín. Ak túto skutočnosť nie je možné oznámiť do 24 hodín, k oznámeniu je potrebné V prípade potreby by s malo priložiť k oznámeniu vysvetlenie dôvodov omeškania. Fyzické osoby, ktorých osobné údaje by mohli byť nepriaznivo ovplyvnené takýmto porušením, by o tejto skutočnosti mali byť bez zbytočného odkladu informované, aby sa im umožnilo podniknúť potrebné kroky. Porušenie by sa malo pokladať za udalosť nepriaznivo ovplyvňujúcu ochranu osobných údajov alebo súkromia, ak by mohlo mať za následok napríklad krádež totožnosti alebo podvod, fyzickú ujmu, veľké poníženie alebo poškodenie dobrého mena. V informácii by mal byť opísaný charakter porušenia ochrany osobných údajov a mali by tu byť formulované odporúčania pre dotknutú osobu, ako zmierniť možné nepriaznivé dôsledky. Informovanie dotknutých osôb by malo realizovať čo možno najskôr, v úzkej spolupráci s dozorným orgánom a pri dodržaní usmernenia, ktoré tento orgán alebo iný relevantný orgán (napr. orgány presadzovania práva) poskytol. Napríklad možnosť pre dotknutú osobu zmierniť okamžité riziko ujmy si vyžaduje promptné informovanie dotknutých osôb, avšak v prípade, že je potrebné zaviesť primerané opatrenia na zabránenie pokračovaniu alebo výskytu podobných poručení ochrany údajov, môže byť opodstatnená aj dlhšia lehota. [PN 43]

(68) Na určenie toho, či porušenie osobných údajov bolo oznámené dozornému orgánu a dotknutej osobe bez zbytočného odkladu, je potrebné uistiť sa, že prevádzkovateľ uplatnil a použil primeranú technologickú ochranu a organizačné opatrenia na bezodkladné zistenie, či došlo k porušeniu ochrany osobných údajov, a na promptné informovanie dozorného orgánu a dotknutej osoby skôr, než príde k poškodeniu osobných a ekonomických záujmov, a zohľadniť pritom najmä povahu a závažnosť porušenia ochrany osobných údajov, dôsledky tohto porušenia a nepriaznivé vplyvy pre dotknutú osobu.

(69) Pri stanovovaní podrobných pravidiel týkajúcich sa formátu a postupov uplatniteľných na oznámenia o porušení ochrany osobných údajov je potrebné venovať veľkú pozornosť okolnostiam porušenia, ako aj tomu, či osobné údaje boli alebo neboli chránené primeranými technickými ochrannými opatreniami, ktoré účinne obmedzujú pravdepodobnosť podvodu alebo inej formy zneužitia. Takéto pravidlá a postupy by okrem toho mali zohľadňovať aj oprávnené záujmy orgánov presadzovania práva v prípadoch, v ktorých by predčasné zverejnenie informácií mohlo ľahko poškodiť vyšetrovanie okolností porušenia ochrany údajov.

(70) V smernici 95/46/ES bola stanovená všeobecná povinnosť oznamovať spracúvanie osobných údajov dozorným orgánom. Keďže táto povinnosť spôsobovala administratívnu a finančnú záťaž, neprispela vždy k zlepšeniu ochrany osobných údajov. Takáto nerozlišujúca všeobecná oznamovacia povinnosť by preto mala byť zrušená a nahradená efektívnymi postupmi a mechanizmami zameranými namiesto toho na tie operácie spracovania, ktoré môžu predstavovať osobitné riziko pre práva a slobody dotknutých osôb z dôvodu ich povahy, rozsahu alebo účelu, na ktorý sa vykonávajú. V takých prípadoch by prevádzkovateľ alebo sprostredkovateľ mali pred spracovaním informácií vykonať posúdenie vplyvu na ochranu údajov, ktoré by malo zahŕňať najmä uvedenie plánovaných opatrení, záruky a mechanizmy zabezpečenia ochrany osobných údajov a mal by sa takisto preukázať súlad s týmto nariadením.

(71) Tento postup by sa mal uplatniť najmä pri novozaložených rozsiahlych informačných systémoch, ktorých cieľom je spracovávať značný objem osobných údajov na regionálnej, vnútroštátnej alebo nadnárodnej úrovni a ktoré by mohli ovplyvniť veľký počet dotknutých osôb.

(71a) Posúdenia vplyvu sú dôležitým základom každého udržateľného rámca ochrany údajov, keďže zaisťujú, aby si podniky od začiatku uvedomovali všetky možné dôsledky svojich operácií spracúvania údajov. Ak sú posúdenia vplyvu dôkladné, pravdepodobnosť akéhokoľvek porušenia ochrany údajov alebo operácie zasahujúce do súkromia možno podstatne obmedziť. Posúdenia vplyvu na ochranu údajov by preto mali zohľadňovať správu osobných údajov počas celého životného cyklu od zberu cez spracovanie až po vymazanie, pričom by mali podrobne opisovať plánované operácie spracovania, riziká ohrozujúce práva a slobody dotknutých osôb, opatrenia plánované na riešenie rizík, ochranné prvky, bezpečnostné opatrenia a mechanizmy na zabezpečenie dodržiavania tohto nariadenia. [PN 44]

(71b) Prevádzkovatelia by sa mali zameriavať na ochranu osobných údajov počas celého životného cyklu údajov od zberu cez spracovanie až po vymazanie tak, že od počiatku investujú do udržateľného systému správy údajov a spoja ho s komplexným mechanizmom dodržiavania predpisov. [PN 45]

(72) Existujú okolnosti, za ktorých môže byť vhodné a ekonomické, aby sa predmet posúdenia vplyvu na ochranu údajov nevzťahoval len na jeden projekt, ale bol širší, napríklad ak verejné orgány alebo subjekty zamýšľajú vytvoriť spoločnú aplikáciu či spracovateľskú platformu alebo ak niekoľko prevádzkovateľov zamýšľa zaviesť spoločnú aplikáciu či spracovateľské prostredie v rámci odvetvia alebo segmentu alebo na široko rozvetvenú horizontálnu činnosť.

(73) Posúdenie vplyvu na ochranu údajov by mal vykonávať verejný orgán alebo verejný subjekt, ak takéto posúdenie nebolo vykonané už v súvislosti s prijímaním vnútroštátneho zákona, na ktorom je založené vykonávanie úloh verejného orgánu alebo verejného subjektu a ktorý reguluje osobitnú operáciu spracovania alebo súbor takýchto operácií. [PN 46]

(74) Ak z posúdenia vplyvu na ochranu údajov vyplýva, že operácie spracovania údajov sú sprevádzané vysokým stupňom osobitných rizík pre práva a slobody dotknutých osôb, ako je napríklad vylúčenie jednotlivcov z uplatňovania ich práva, alebo v dôsledku použitia osobitných nových technológií, mal by byť malo by sa ešte pred začiatkom operácií kontaktovaný dozorný orgán a informovaný spracúvania konzultovať s úradníkom pre ochranu údajov alebo dozorným orgánom o riskantnom spracúvaní, ktoré nemusí byť v súlade s týmto nariadením, a mali by byť navrhnuté možnosti nápravy tejto situácie. Takéto Konzultácie s dozorným orgánom by sa mali rovnako vykonávať aj počas prípravy buď opatrenia prijatého vnútroštátnym parlamentom alebo opatrenia založeného na takomto legislatívnom opatrení, ktoré definuje povahu spracúvania a stanovuje náležité záruky. [PN 47]

(74a) Posúdenia vplyvu môžu byť užitočné len v prípade, ak prevádzkovatelia zabezpečia dodržiavanie sľubov, ktoré v nich pôvodne dali. Prevádzkovatelia údajov by preto mali uskutočňovať pravidelné kontroly dodržiavania predpisov v oblasti ochrany údajov, ktoré by mali preukázať, že zavedené mechanizmy spracovania údajov sú v súlade so zárukami uvedenými v posúdení vplyvu na ochranu údajov. Okrem toho by mali preukázať schopnosť prevádzkovateľa údajov plniť nezávislé rozhodnutia dotknutých osôb. Navyše v prípade, že sa pri kontrole zistí nedôsledné dodržiavanie, malo by sa to zdôrazniť a predložiť odporúčania, ako dosiahnuť plnohodnotné dodržiavanie. [PN 48]

(75) Ak sa spracúvanie vykonáva vo verejnoprávnom sektore, alebo ak sa v súkromnom sektore vykonáva spracúvanie veľký podnik týka viac než 5 000 dotknutých osôb za 12 mesiacov , alebo ak hlavné činnosti podniku, bez ohľadu na jeho veľkosť, zahŕňajú operácie spracovania citlivých údajov , alebo operácie spracovania , ktoré si vyžaduje vyžadujú pravidelné a systematické monitorovanie, prevádzkovateľovi alebo sprostredkovateľovi by mala nejaká osoba pomáhať monitorovať vnútorné dodržiavanie tohto nariadenia. Takýto Pri určovaní, či sa spracúvajú údaje o veľkom počte dotknutých osôb, nemali by sa brať do úvahy archivované údaje, ktoré sú obmedzené tak, že sa na ne nevzťahuje bežný prístup k údajom a bežné činnosti spracovania prevádzkovateľom a už ich nemožno meniť. Takíto úradníci pre ochranu údajov, či už sú alebo nie sú zamestnancami prevádzkovateľa, a či vykonávajú túto činnosť na plný pracovný úväzok alebo nie, by mali byť schopní mať možnosť vykonávať svoje povinnosti a úlohy nezávisle a byť osobitne chránení pred prepustením . Konečnú zodpovednosť by však malo aj naďalej niesť vedenie organizácie. Pred vypracovaním návrhu, obstaraním, vývojom a zavedením systémov automatického spracovania osobných údajov by sa malo konzultovať najmä s úradníkom pre ochranu údajov, aby sa zabezpečili zásady špecificky navrhnutej a štandardne určenej ochrany súkromia . [PN 49]

(75a) Úradník pre ochranu údajov by mal mať aspoň tieto kvalifikácie: rozsiahle znalosti o obsahu a uplatňovaní právnych predpisov o ochrane údajov vrátane technických a organizačných opatrení a postupov; znalosť technických požiadaviek špecificky navrhnutej a štandardne určenej ochrany súkromia a bezpečnosti údajov; špecifické znalosti z odvetvia v závislosti od veľkosti prevádzkovateľa alebo sprostredkovateľa a od citlivosti údajov, ktoré sa majú spracovať; schopnosť vykonávať kontroly, konzultácie, dokumentáciu a analýzu zaregistrovaných a odoslaných súborov (log file); a schopnosť pracovať so zástupcami zamestnancov. Prevádzkovateľ by mal úradníkovi pre ochranu údajov umožniť zúčastňovať sa na školeniach o moderných postupoch, aby mal aktuálne špecializované vedomosti potrebné na plnenie jeho úloh. Vykonávanie činnosti úradníka pre ochranu údajov nemusí nevyhnutne vyžadovať prácu príslušného zamestnanca na plný úväzok. [PN 50]

(76) Združenia alebo iné orgány zastupujúce kategórie prevádzkovateľov by sa mali po konzultácii so zástupcami zamestnancov podnecovať k tomu, aby vypracovali kódy správania v rámci ustanovení tohto nariadenia, aby sa uľahčilo účinné uplatňovanie tohto nariadenia, pričom by sa zohľadnili osobitné črty spracúvania v určitých odvetviach. Takéto kódexy by mali príslušnému odvetviu uľahčiť dodržiavanie súladu s týmto nariadením. [PN 51]

(77) Aby sa zlepšila transparentnosť a posilnil súlad s týmto nariadením, malo by sa podporiť zavádzanie mechanizmov certifikácie, plomb a štandardizovaných značiek pre potreby ochrany údajov, aby sa dotknutým osobám umožnilo rýchlo , spoľahlivo a overiteľne posúdiť úroveň ochrany údajov v prípade relevantných produktov a služieb. Mala by sa zaviesť „európska pečať ochrany údajov“, ktorej účelom by bolo vytvoriť dôveru medzi dotknutými osobami, právnu istotu pre prevádzkovateľov a zároveň exportovať európske normy na ochranu údajov tým, že sa neeurópskym spoločnostiam po certifikácii umožní ľahšie vstúpiť na európske trhy. [PN 52]

(78) Cezhraničné toky osobných údajov sú potrebné pre rozmach medzinárodného obchodu a medzinárodnej spolupráce. Zvyšovanie týchto tokov so sebou prinieslo nové výzvy a obavy týkajúce sa ochrany osobných údajov. Avšak ani v prípade, keď sú osobné údaje prenášané z Únie do tretích krajín alebo medzinárodným organizáciám, úroveň ochrany údajov fyzických osôb zaručovaná Úniou na základe tohto nariadenia by nemala byť oslabená. V každom prípade by prenos do tretích krajín mal byť vykonávaný v úplnom súlade s týmto nariadením.

(79) Toto nariadenie sa nedotýka medzinárodných dohôd uzatvorených medzi Úniou a tretími krajinami, ktoré upravujú prenos osobných údajov a poskytujú náležité záruky pre dotknuté osoby , pričom zabezpečujú primeranú úroveň ochrany základných práv občanov . [PN 53]

(80) Komisia môže rozhodnúť s účinkom pre celú Úniu, že určité tretie krajiny, územie, sektor spracovania v niektorej tretej krajine alebo medzinárodná organizácia zaručujú primeranú úroveň ochrany údajov, čím poskytne právnu istotu a jednotnosť pre celú Úniu, pokiaľ ide o tretie krajiny alebo medzinárodné organizácie pokladané za krajiny a organizácie poskytujúce takúto úroveň ochrany. V takýchto prípadoch sa prenosy osobných údajov do týchto krajín môžu uskutočňovať bez potreby získania ďalšieho povolenia. Komisia sa môže potom, ako to tretej krajine oznámi a v plnom rozsahu odôvodní, rozhodnúť takéto rozhodnutie odvolať. [PN 54]

(81) V súlade so základnými hodnotami, na ktorých je založená Únia, najmä pokiaľ ide o ochranu ľudských práv, by Komisia pri posudzovaní tretej krajiny mala zohľadniť skutočnosť, ako daná tretia krajina dodržiava zásady právneho štátu, prístupu k spravodlivosti, ako aj medzinárodné normy a štandardy v oblasti ľudských práv.

(82) Komisia môže rovnako usúdiť, že tretia krajina, územie, sektor spracovania v tretej krajine alebo medzinárodná organizácia nezabezpečujú primeranú úroveň ochrany údajov. Všetky právne predpisy, ktoré ustanovujú extrateritoriálny prístup k osobným údajom spracúvaným v Únii bez povolenia podľa práva Únie alebo práva členských štátov, by sa mali považovať za neprimerané. V dôsledku toho by sa mal prenos osobných údajov do tejto tretej krajiny zakázať. V takomto prípade treba prijať ustanovenie o konzultácii medzi Komisiou a takýmito tretími krajinami alebo medzinárodnými organizáciami. [PN 55]

(83) Pri absencii rozhodnutia o primeranosti by prevádzkovateľ a sprostredkovateľ mali prijať opatrenia na kompenzáciu za nedostatočnú ochranu údajov v tretej krajine prostredníctvom náležitých záruk pre dotknutú osobu. Takéto náležité záruky môžu spočívať v uplatnení záväzných firemných pravidiel, štandardných ustanovení o ochrane údajov prijatých Komisiou, štandardných ustanovení o ochrane údajov prijatých dozorným orgánom, alebo zmluvných ustanovení iných vhodných a primeraných opatrení opodstatnených všetkými okolnosťami operácie prenosu údajov alebo súboru operácií prenosu údajov a povolených dozorným orgánom. Uvedené náležité záruky by mali zabezpečiť adekvátne dodržiavanie práv dotknutých osôb ako v prípade spracovania v rámci Únie, a to najmä pokiaľ ide o obmedzenie účelu, právo na prístup, nápravu, výmaz a uplatňovanie odškodnenia. Uvedené záruky by mali konkrétne zaručiť dodržiavanie zásad spracovania osobných údajov, ochranu práv dotknutej osoby, a zabezpečiť účinný mechanizmus nápravy, zabezpečiť dodržiavanie zásad špecificky navrhnutej i štandardne určenej ochrany údajov a zaručiť existenciu úradníka pre ochranu údajov. [PN 56]

(84) Možnosť pre prevádzkovateľa alebo sprostredkovateľa uplatniť štandardné ustanovenia o ochrane údajov prijaté Komisiou alebo dozorným orgánom by prevádzkovateľom ani sprostredkovateľom nemali brániť v tom, aby zahrnuli štandardné doložky o ochrane údajov do širšej zmluvy alebo k nim pridali ďalšie ustanovenia alebo doplňujúce záruky , pokiaľ nie sú priamo alebo nepriamo kontradiktórne vo vzťahu k štandardným zmluvným doložkám prijatým Komisiou alebo dozorným orgánom alebo pokiaľ sa nedotýkajú základných práv a slobôd dotknutých osôb. Štandardné ustanovenia o ochrane údajov prijaté Komisiou by mohli zahŕňať rôzne situácie, konkrétne prenosy od prevádzkovateľov usadených v Únii prevádzkovateľom usadeným mimo Únie a od prevádzkovateľov usadených v Únii sprostredkovateľom vrátane subdodávateľských sprostredkovateľov usadeným mimo Únie. Prevádzkovatelia a sprostredkovatelia by sa mali nabádať, aby poskytovali ešte rozsiahlejšie záruky prostredníctvom dodatočných zmluvných záväzkov, ktoré doplnia štandardné ustanovenia o ochrane údajov [PN 57]

(85) Každá skupina podnikov by mala byť schopná uplatňovať záväzné firemné pravidlá pri svojich medzinárodných prenosoch z Únie organizáciám v rámci tej istej skupiny podnikov, pokiaľ takéto firemné pravidlá zahŕňajú všetky hlavné zásady a vymáhateľné práva na zabezpečenie náležitých záruk pre prenosy alebo kategórie prenosov osobných údajov. [PN 58]

(86) Mali by byť prijaté ustanovenia o možnosti prenosov za určitých okolností, ak dotknutá osoba dala súhlas, ak je prenos potrebný v súvislosti so zmluvným alebo právnym nárokom, ak si to vyžadujú dôležité dôvody verejného záujmu stanoveného Úniou alebo členským štátom alebo ak je prenos realizovaný z registra vytvoreného na základe zákona alebo určeného na nahliadanie zo strany verejnosti alebo osôb s oprávneným záujmom. V poslednom uvedenom prípade by tento prenos nemal zahŕňať úplné údaje alebo celé kategórie údajov obsiahnutých v registri a ak je register učený na nahliadanie zo strany osôb s oprávneným záujmom, prenos by sa mal vykonať len na požiadanie takýchto osôb alebo vtedy, ak sú takéto osoby príjemcami údajov , pričom sa vezmú plne do úvahy záujmy a základné práva dotknutej osoby . [PN 59]

(87) Tieto výnimky by sa mali uplatňovať najmä pri prenosoch údajov požadovaných a potrebných na ochranu dôležitých dôvodov verejného záujmu, napríklad v prípadoch medzinárodných prenosov medzi orgánmi hospodárskej súťaže, daňovými alebo colnými správami, orgánmi finančného dohľadu, medzi útvarmi zodpovednými za otázky sociálneho zabezpečenia alebo verejného zdravia alebo medzi príslušnými orgánmi verejnej moci na účely predchádzania trestným činom, ich vyšetrovania, odhaľovania a stíhania vrátane predchádzania praniu špinavých peňazí a boja proti financovaniu terorizmu . Prenos osobných údajov by sa mal rovnako považovať za zákonný tam, kde je potrebný na ochranu záujmu, ktorý má zásadný význam pre život dotknutej alebo inej osoby, a to v prípade, ak dotknutá osoba nie je schopná dať súhlas. Prenos osobných údajov z takýchto významných dôvodov verejného záujmu by sa mal využívať len príležitostne. V každom jednotlivom prípade by sa mali dôkladne posúdiť všetky okolnosti prenosu . [PN 60]

(88) Možno vykonávať aj prenosy, ktoré nemožno označiť za časté alebo hromadné, a to na účely oprávnených záujmov prevádzkovateľa alebo sprostredkovateľa, ak posúdili všetky okolnosti prenosu údajov. Na účely spracúvania Pri spracúvaní na historické, štatistické a vedeckovýskumné účely by sa mali zohľadniť legitímne očakávania spoločnosti týkajúce sa prehĺbenia znalostí. [PN 61]

(89) V každom prípade, v ktorom Komisia neprijala rozhodnutie o primeranej úrovni ochrany údajov v niektorej tretej krajine, prevádzkovateľ alebo sprostredkovateľ by mali využiť riešenia, ktoré dotknutým osobám poskytujú právne záväzné záruky, že budú aj naďalej môcť uplatňovať základné práva a záruky, pokiaľ ide o spracúvanie ich údajov v Únii, keď budú tieto údaje prenesené , ak spracúvanie nie je masové, opakované ani štrukturálne . Záruka by mala zahŕňať finančné odškodnenie v prípade straty údajov, neoprávneného prístupu k nim alebo ich spracovania a povinnosť poskytovať bez ohľadu na vnútroštátne právne predpisy podrobné informácie o všetkých prístupoch orgánov verejnej moci tretej krajiny k údajom . [PN 62]

(90) Niektoré tretie krajiny prijímajú zákony, nariadenia alebo iné legislatívne nástroje, ktoré priamo regulujú spracúvanie údajov fyzických a právnických osôb v rámci jurisdikcie členských štátov. Extrateritoriálne uplatňovanie týchto zákonov, nariadení a iných legislatívnych nástrojov môže byť v rozpore s medzinárodným právom a môže ohroziť ochranu fyzických osôb garantovanú Úniou v tomto nariadení. Prenosy by mali byť povolené len za podmienok uvedených v tomto nariadení pre prenosy do tretích krajín. Môže ísť okrem iného o prípad, keď zverejnenie je potrebné z dôležitého dôvodu verejného záujmu uznaného v právnych predpisoch Únie alebo v právnych predpisoch členských štátov, ktorým prevádzkovateľ podlieha. Podmienky, za ktorých existuje dôležitý dôvod verejného záujmu, by mala Komisia ďalej špecifikovať v delegovanom akte. V prípadoch, keď prevádzkovatelia alebo sprostredkovatelia čelia navzájom si odporujúcim požiadavkám na dodržiavanie predpisov medzi jurisdikciou Únie na jednej strane a jurisdikciou tretej krajiny na strane druhej, Komisia by mala zabezpečiť, aby malo právo Únie vždy prednosť. Komisia by mala prevádzkovateľovi a sprostredkovateľovi poskytovať usmernenia a pomoc a mala by sa snažiť vyriešiť jurisdikčný spor s príslušnou treťou krajinou. [PN 63]

(91) Pri pohybe osobných údajov za hranice sa môže zvýšiť riziko z hľadiska možnosti fyzických osôb uplatniť práva ochrany údajov, a to najmä pokiaľ ide o ich schopnosť chrániť sa pred nezákonným využitím alebo zverejnením týchto informácií. Zároveň dozorné orgány môžu zistiť, že nie sú schopné riešiť sťažnosti alebo vykonávať vyšetrovanie týkajúce sa činností vykonávaných za ich hranicami. Prekážkou v ich úsilí spolupracovať v cezhraničnom kontexte môžu byť aj nedostatočné preventívne alebo nápravné právomoci, nekonzistentné právne režimy a praktické prekážky, napríklad nedostatočné zdroje. Preto je tu potreba podporovať užšiu spoluprácu medzi dozornými orgánmi pre ochranu údajov s cieľom pomôcť im pri výmene informácií a pri vyšetrovaniach vykonávaných v spolupráci s ich medzinárodnými partnermi.

(92) Zriadenie dozorných orgánov v členských štátoch a vykonávanie ich funkcií v úplnej nezávislosti je zásadným prvkom ochrany fyzických osôb v súvislosti so spracúvaním ich osobných údajov. Členské štáty môžu zriadiť viac ako jeden dozorný orgán, aby zohľadnili svoju ústavnú, organizačnú a správnu štruktúru. Orgán má primerané finančné a personálne zdroje na plné vykonávanie svojich úloh, pričom sa zohľadňuje počet obyvateľov a množstvo spracúvaných osobných údajov. [PN 64]

(93) Ak niektorý členský štát zriadi viacero dozorných orgánov, mal by v zákone stanoviť mechanizmy na zabezpečenie efektívnej účasti týchto dozorných orgánov na mechanizme konzistentnosti. Takéto členské štáty by mali najmä určiť dozorný orgán, ktorý bude fungovať ako jediné kontaktné miesto pre efektívnu účasť týchto orgánov na uvedenom mechanizme s cieľom zabezpečiť rýchlu a bezproblémovú spoluprácu s ostatnými dozornými orgánmi, Európskym výborom pre ochranu údajov a Komisiou.

(94) Každý dozorný orgán by mal mať k dispozícii dostatok personálnych a finančných zdrojov, pričom sa osobitná pozornosť venuje zabezpečeniu primeraných technických a právnych znalostí zamestnancov, priestory a infraštruktúru, ktoré sú potrebné na účinné plnenie úloh vrátane tých, ktoré sa týkajú vzájomnej pomoci a spolupráce s ostatnými dozornými orgánmi v rámci Únie. [PN 65]

(95) Všeobecné podmienky pre členov dozorného orgánu by mal každý členský štát stanoviť zákonným predpisom, kde by malo byť najmä stanovené, že členovia by mali byť menovaní vymenovaní parlamentom alebo vládou členského štátu, pričom sa náležitá pozornosť venuje minimalizácii možnosti politického zasahovania, a mali by tu byť uvedené pravidlá o osobnej kvalifikácii členov , zabránení konfliktom záujmov a pozícii týchto členov. [PN 66]

(96) Dozorné orgány by mali monitorovať uplatňovanie ustanovení podľa tohto nariadenia a prispievať k jeho konzistentnému uplatňovaniu v rámci Únie, aby sa chránili fyzické osoby v súvislosti so spracúvaním ich osobných údajov a uľahčil sa voľný tok osobných údajov v rámci vnútorného trhu. Na tento účel by dozorné orgány mali spolupracovať navzájom, ako aj s Komisiou.

(97) Ak sa spracovanie osobných údajov v rámci činnosti zariadenia prevádzkovateľa alebo sprostredkovateľa v Únii vykonáva vo viac ako jednom členskom štáte, pre monitorovanie činností prevádzkovateľa iba jeden dozorný orgán by mal vystupovať ako jednotné kontaktné miesto a vedúci orgán zodpovedný za dohľad nad prevádzkovateľom alebo sprostredkovateľa sprostredkovateľom v Únii a za prijímanie súvisiacich rozhodnutí by mal byť príslušný iba jeden dozorný orgán, aby sa posilnilo konzistentné uplatňovanie pravidiel, poskytla sa právna istota a znížilo sa administratívne zaťaženie pre takýchto prevádzkovateľov a sprostredkovateľov. [PN 67]

(98) Príslušným Vedúcim orgánom, ktorý je takýmto jediným kontaktným miestom, by mal byť dozorný orgán členského štátu, v ktorom má prevádzkovateľ alebo sprostredkovateľ svoje ústredie alebo zastúpenie . Európsky výbor pre ochranu údajov môže v určitých prípadoch určiť prostredníctvom mechanizmu konzistentnosti vedúci orgán na žiadosť príslušného orgánu . [PN 68]

(98a) Dotknuté osoby, ktorých osobné údaje spracúva prevádzkovateľ údajov alebo sprostredkovateľ v inom členskom štáte, by mali mať možnosť podať sťažnosť dozornému orgánu podľa vlastného výberu. Vedúci orgán pre ochranu údajov by mal koordinovať svoju činnosť s činnosťou ostatných zapojených orgánov. [PN 69]

(99) Hoci sa toto nariadenie uplatňuje aj na činnosti vnútroštátnych súdov, príslušnosť dozorných orgánov by sa nemala vzťahovať na spracúvanie osobných údajov v prípadoch, v ktorých konajú súdy na základe ich súdnej právomoci, aby sa takto zaručila nezávislosť sudcov pri výkone ich sudcovských úloh. Táto výnimka by mala byť prísne obmedzená výlučne na sudcovské činnosti v rámci súdnych konaní a nemala by sa uplatňovať na iné činnosti, do ktorých môžu byť sudcovia zapojení v súlade s vnútroštátnym právom.

(100) Aby sa zabezpečilo konzistentné monitorovanie a uplatňovanie tohto nariadenia v rámci Únie, dozorné orgány by mali mať vo všetkých členských štátoch rovnaké povinnosti a účinné právomoci vrátane právomoci vykonávať vyšetrovania, právomoci robiť právne záväzné úkony, prijímať rozhodnutia a ukladať sankcie, a to najmä v prípadoch sťažností od fyzických osôb, a právomoci zapájať sa do súdnych konaní. Vyšetrovacie právomoci dozorných orgánov, pokiaľ ide o prístup do priestorov, by sa mali uplatňovať v súlade s právnymi predpismi Únie a s vnútroštátnymi právnymi predpismi. Týka sa to najmä požiadavky získať povolenie súdu vopred.

(101) Každý dozorný orgán by sa mal prejednať sťažnosti podané zaoberať sťažnosťou podanou ktoroukoľvek dotknutou osobou alebo združeniami konajúcimi vo verejnom záujme a vyšetriť predmetnú záležitosť. Vyšetrovanie na základe sťažnosti by sa malo vykonávať, s výhradou preskúmania veci súdom, v rozsahu primeranom pre konkrétny prípad. Dozorný orgán by mal informovať dotknutú osobu alebo združenie o pokroku pri vybavovaní sťažnosti a o výsledku sťažnosti v rámci primeranej lehoty. Ak si predmetná záležitosť vyžaduje ďalšie vyšetrovanie alebo koordináciu s iným dozorným orgánom, dotknutej osobe by sa mala poskytnúť priebežná informácia. [PN 70]

(102) Aktivity dozorných orgánov zamerané na zvyšovanie informovanosti a adresované verejnosti by mali zahŕňať špecifické opatrenia určené prevádzkovateľom a sprostredkovateľom vrátane malých a stredných podnikov, ako aj dotknutým osobám.

(103) Dozorné orgány by si mali navzájom pomáhať pri výkone svojich povinností a poskytovať vzájomnú pomoc s cieľom zabezpečiť konzistentné uplatňovanie a presadzovanie tohto nariadenia na vnútornom trhu.

(104) Každý dozorný orgán by mal mať právo zúčastňovať sa na spoločných operáciách medzi dozornými orgánmi. Požiadaný dozorný orgán by mal mať povinnosť odpovedať na žiadosť v rámci vymedzenej časovej lehoty.

(105) S cieľom zabezpečiť konzistentné uplatňovanie tohto nariadenia v celej Únii by sa mal zriadiť mechanizmus konzistentnosti pre spoluprácu medzi dozornými orgánmi navzájom a medzi nimi a Komisiou. Tento mechanizmus by sa mal uplatňovať najmä vtedy, keď dozorný orgán mieni prijať opatrenie týkajúce sa operácií spracovania, ktoré súvisia s ponukou tovaru alebo služieb dotknutým osobám v niekoľkých členských štátoch, alebo so sledovaním správania takýchto dotknutých osôb, alebo ktoré by mohli podstatne ovplyvniť voľný pohyb osobných údajov. Mal by sa takisto uplatniť vtedy, keď niektorý dozorný orgán alebo Komisia žiadajú, aby sa predmetná záležitosť riešila v rámci mechanizmu konzistentnosti. Okrem toho by mali mať dotknuté osoby právo dosiahnuť konzistentnosť, ak sa domnievajú, že opatrenie orgánu pre ochranu údajov členského štátu toto kritérium nesplnilo. Týmto mechanizmom by nemali byť dotknuté žiadne opatrenia, ktoré by Komisia mohla prijať pri výkone svojich právomocí v zmysle zmlúv. [PN 71]

(106) Pri uplatňovaní mechanizmu konzistentnosti by Európsky výbor pre ochranu údajov mal v rámci vymedzenej časovej lehoty vydať stanovisko, ak o tom rozhodne jednoduchá väčšina jeho členov, alebo ak o to požiada niektorý dozorný orgán alebo Komisia.

(106a) Na zabezpečenie jednotného uplatňovania tohto nariadenia môže Európsky výbor pre ochranu údajov prijať v jednotlivých prípadoch rozhodnutie, ktoré je pre príslušné dozorné orgány záväzné. [PN 72]

(107) S cieľom zabezpečiť súlad s týmto nariadením môže Komisia prijať stanovisko k tejto veci alebo rozhodnutie, ktorým požiada dozorný orgán o pozastavenie jeho návrhu opatrenia. [PN 73]

(108) Môže sa vyskytnúť naliehavá potreba konať kvôli ochrane záujmov dotknutých osôb, najmä ak existuje nebezpečenstvo, že by uplatňovanie práva dotknutej osoby mohlo byť podstatne sťažené. Dozorný orgán by preto mal mať možnosť pri uplatňovaní mechanizmu konzistentnosti prijímať dočasné opatrenia s vymedzenou dobou platnosti.

(109) Uplatňovanie tohto mechanizmu by malo byť podmienkou právoplatnosti a vymáhania príslušného rozhodnutia dozorným orgánom. V iných prípadoch s cezhraničnou pôsobnosťou by sa vzájomná pomoc a spoločné vyšetrovanie mohli vykonávať medzi dotknutými dozornými orgánmi na dvojstrannom alebo viacstrannom základe bez uvedenia mechanizmu konzistentnosti do činnosti.

(110) Na úrovni Únie by sa mal zriadiť Európsky výbor pre ochranu údajov. Mal by nahradiť pracovnú skupinu pre ochranu jednotlivcov so zreteľom na spracovanie osobných údajov, zriadenú smernicou 95/46/ES. Mal by pozostávať z vedúcich predstaviteľov dozorných orgánov, a to po jednom z každého členského štátu, a európskeho dozorného úradníka pre ochranu údajov. Na jeho činnosti by sa mala podieľať aj Komisia. Európsky výbor pre ochranu údajov by mal prispievať ku konzistentnému uplatňovaniu tohto nariadenia v rámci celej Únie, a to aj poskytovaním poradenstva Komisii inštitúciám Únie a podporou spolupráce medzi dozornými orgánmi v rámci celej Únie vrátane koordinácie spoločných operácií . Európsky výbor pre ochranu údajov by mal pri výkone svojich úloh konať nezávisle. Európsky výbor pre ochranu údajov by mal posilniť dialóg s príslušnými zainteresovanými stranami, ako sú združenia dotknutých osôb, spotrebiteľské organizácie, prevádzkovatelia údajov a iné relevantné zainteresované strany a experti. [PN 74]

(111) Každá dotknutá osoba Dotknuté osoby by mala mali mať právo podať sťažnosť u dozorného orgánu v ktoromkoľvek členskom štáte a mať právo na účinné súdne prostriedky nápravy v súlade s článkom 47 charty , ak usúdi usúdia , že jej ich práva ustanovené týmto nariadením sa porušujú, alebo ak dozorný orgán nereaguje na sťažnosť alebo nekoná v prípade, že takéto konanie je nevyhnutné na ochranu práv dotknutej osoby. [PN 75]

(112) Všetky orgány, organizácie či združenia, ktorých cieľom je ochrana práv a záujmov dotknutých osôb súvisiaca s ochranou ich údajov a konajúce vo verejnom záujme, ktoré sú zriadené podľa právnych predpisov niektorého členského štátu, by mali mať právo podať sťažnosť u dozorného orgánu v mene dotknutých osôb a s ich súhlasom alebo využiť právo na súdny opravný prostriedok v mene dotknutých osôb , ak ich poverila dotknutá osoba, alebo nezávisle od sťažnosti niektorej dotknutej osoby podať vlastnú sťažnosť v prípade, že usúdia, že došlo k porušeniu ochrany osobných údajov tohto nariadenia . [PN 76]

(113) Každá fyzická či právnická osoba by mala mať právo na súdne prostriedky nápravy voči rozhodnutiam dozorného orgánu, ktoré sa jej týka. Návrh na začatie konania voči dozornému orgánu by sa mal podať na súde členského štátu, v ktorom má dozorný orgán sídlo.

(114) S cieľom posilniť súdnu ochranu dotknutých osôb v situáciách, keď príslušný dozorný orgán má sídlo v inom členskom štáte, než je štát, v ktorom má dotknutá osoba bydlisko, dotknutá osoba môže požiadať poveriť ktorýkoľvek z orgánov, organizácií či združení, ktorých cieľom je ochrana práv a záujmov dotknutých osôb súvisiaca s ochranou ich osobných údajov, podať v mene dotknutej osoby ktoré konajú vo verejnom záujme, aby podali návrh na začatie konania voči dozornému orgánu na príslušnom súde v tomto druhom členskom štáte. [PN 77]

(115) V situáciách, keď príslušný dozorný orgán so sídlom v inom členskom štáte nekoná alebo neprijal dostatočné opatrenia vo veci sťažnosti, dotknutá osoba môže požiadať dozorný orgán v členskom štáte jej obvyklého pobytu, aby tento podal návrh na začatie konania voči predmetnému dozornému orgánu na príslušnom súde v tomto druhom členskom štáte. Neplatí to pre obyvateľov krajín mimo Únie. Požiadaný dozorný orgán môže rozhodnúť, s výhradou preskúmania súdom, či je vhodné danej žiadosti vyhovieť alebo nie. [PN 78]

(116) Pri konaniach voči prevádzkovateľovi alebo sprostredkovateľovi by žalobca mal mať možnosť podať návrh na začatie konania na súde členského štátu, v ktorom má prevádzkovateľ alebo sprostredkovateľ príslušné zariadenie v činnosti v prípade obyvateľov Únie , alebo kde má dotknutá osoba bydlisko, s výnimkou prípadov, keď prevádzkovateľom je orgán verejnej moci v Únii alebo členskom štáte konajúci v rámci výkonu svojich verejných právomocí. [PN 79]

(117) Ak existujú náznaky, že sa na súdoch iných členských štátov vedú súbežné konania, príslušné súdy by mali mať povinnosť navzájom sa kontaktovať. Súdy by mali mať možnosť pozastaviť konanie vo veci v prípade, že sa v inom členskom štáte vedie súbežné konanie. Členské štáty by mali zabezpečiť, aby súdne opatrenia umožňovali v záujme ich účinnosti urýchlené prijatie opatrení na nápravu alebo na predchádzanie porušeniu tohto nariadenia.

(118) Prevádzkovateľ alebo sprostredkovateľ by mali mal nahradiť akúkoľvek škodu , či finančnú alebo inú , ktorú určitá osoba utrpela v dôsledku nezákonného spracovania, avšak môžu môže byť zbavení zbavený tejto zodpovednosti, len ak poskytnú poskytne dôkaz o tom, že nenesú nenesie zodpovednosť za škodu, a to najmä vtedy, keď zistia zistí pochybenie dotknutej osoby, alebo v prípade vyššej moci. [PN 80]

(119) Každej osobe, ktorá nedodrží toto nariadenie, by sa mali uložiť sankcie bez ohľadu na to, či podlieha súkromnému alebo verejnému právu. Členské štáty by mali zabezpečiť, aby sankcie boli účinné, primerané a odrádzajúce a prijať všetky opatrenia na vymáhanie týchto sankcií. Na pravidlá týkajúce sa sankcií by sa mali vzťahovať náležité procesné záruky v súlade so všeobecnými zásadami práva Únie a charty vrátane tých, ktoré sa týkajú práva na účinný súdny prostriedok nápravy, riadny proces a dodržiavanie zásady ne bis in idem. [PN 81]

(119a) Pri uplatňovaní sankcií by členské štáty mali plne rešpektovať náležité procesné záruky vrátane práva na účinný súdny prostriedok nápravy, riadny proces a dodržiavanie zásady ne bis in idem. [PN 82]

(120) S cieľom posilniť a harmonizovať správne sankcie za porušovanie tohto nariadenia by každý dozorný orgán mal mať právomoc sankcionovať správne priestupky. V tomto nariadení by sa mali uviesť tieto priestupky a horná hranica príslušných správnych pokút, ktoré by sa mali stanoviť v každom jednotlivom prípade úmerne ku konkrétnej situácii s náležitým zreteľom najmä na povahu, závažnosť a trvanie porušenia. Mechanizmus konzistentnosti by sa mal využiť aj na riešenie rozdielností pri uplatňovaní správnych sankcií.

(121) Spracúvanie osobných údajov vykonávané výlučne na žurnalistické účely alebo na účely umeleckej alebo literárnej tvorby by malo byť predmetom výnimky Vo všetkých náležitých prípadoch by sa mali stanoviť výnimky z požiadaviek určitých ustanovení tohto nariadenia alebo odchýlky od nich, pokiaľ ide o spracúvanie osobných údajov, s cieľom zosúladiť právo na ochranu osobných údajov s právom slobody prejavu, konkrétne s právom dostávať nestranné informácie, ako sú zaručené najmä článkom 11 charty. Malo by sa to vzťahovať najmä na spracúvanie osobných údajov v audiovizuálnej oblasti a v archívoch spravodajstva a tlače. Členské štáty by preto mali prijať legislatívne opatrenia, ktorými sa určia výnimky a odchýlky nevyhnutné na vyvážené zabezpečenie týchto základných práv. Takéto výnimky a odchýlky by členské štáty mali prijať, pokiaľ ide o všeobecné zásady, práva dotknutej osoby, prevádzkovateľa a sprostredkovateľa, prenos údajov do tretích krajín alebo medzinárodným organizáciám, nezávislé dozorné orgány, spoluprácu a konzistentnosť a osobitné situácie spracúvania údajov . Nemalo by to však viesť k tomu, aby členské štáty stanovovali výnimky z iných ustanovení tohto nariadenia. S cieľom zohľadniť dôležitosť práva slobody prejavu v každej demokratickej spoločnosti je nevyhnutné pojmy súvisiace s touto slobodou, napríklad žurnalistiku, vykladať v širšom zmysle. Členské štáty by preto mali určiť kategórie „žurnalistických“ činností na účely výnimiek a odchýlok, ktoré sa majú určiť na základe tohto nariadenia, ak cieľom týchto činností je, aby sa pokryli všetky činnosti, ktorých cieľom je zverejňovanie informácií, názorov alebo námetov bez ohľadu na médium používané na ich prenos , s prihliadnutím aj na technologický rozvoj . Tieto činnosti by nemali byť obmedzené výlučne na mediálne podniky a malo by byť možné využívať ich na ziskové aj neziskové účely. [PN 83]

(122) Spracúvanie osobných údajov týkajúcich sa zdravia ako osobitnej kategórie údajov, ktoré si zasluhujú vyšší stupeň ochrany, môže byť často opodstatnené celým radom legitímnych dôvodov v záujme fyzických osôb a spoločnosti ako celku, najmä v súvislosti so zabezpečením kontinuity cezhraničnej zdravotnej starostlivosti. Týmto nariadením by sa preto mali vytvoriť harmonizované podmienky pre spracúvanie osobných údajov týkajúcich sa zdravia s výhradou špecifických a vhodných záruk s cieľom chrániť základné práva a osobné údaje fyzických osôb. K tomu patrí aj právo fyzických osôb na prístup k ich osobným údajov týkajúcim sa ich zdravia, napríklad k údajom v ich lekárskych záznamoch obsahujúcich informácie ako diagnóza, výsledky vyšetrení, posudky ošetrujúcich lekárov a akákoľvek poskytnutá terapia alebo uskutočnené zákroky.

(122a) Odborník, ktorý spracúva osobné údaje týkajúce sa zdravia, by mal podľa možností dostať anonymizované alebo pseudonymizované údaje, pričom vedomosť o totožnosti by mal mať len všeobecný lekár alebo špecialista, ktorý si takéto spracovanie údajov vyžiadal. [PN 84]

(123) Spracúvanie osobných údajov týkajúcich sa zdravia bez súhlasu dotknutej osoby môže byť potrebné z dôvodov verejného záujmu v oblasti verejného zdravia. V tejto súvislosti by sa malo „verejné zdravie“ vykladať v zmysle nariadenia Európskeho parlamentu a Rady (ES) č. 1338/2008 (9) zo 16. decembra 2008 o štatistikách Spoločenstva v oblasti verejného zdravia a bezpečnosti a ochrany zdravia pri práci, teda malo by zahŕňať všetky prvky súvisiace so zdravím, konkrétne zdravotný stav vrátane chorobnosti a zdravotného postihnutia, faktory ovplyvňujúce tento zdravotný stav, potreby zdravotnej starostlivosti, zdroje pridelené na zdravotnú starostlivosť, poskytovanie zdravotnej starostlivosti a jej všeobecnú dostupnosť, ako aj výdavky na zdravotnú starostlivosť a jej financovanie a príčiny smrti. Takéto spracúvanie osobných údajov týkajúcich sa zdravia z dôvodov verejného záujmu by nemalo viesť k spracúvaniu osobných údajov na iné účely tretími stranami, napríklad zamestnávateľmi či poisťovacími a bankovými spoločnosťami. [PN 85]

(123a) Spracovanie osobných údajov z oblasti zdravia ako osobitnej kategórie údajov môže byť potrebné na historický, štatistický alebo vedecký výskum. Preto sa v tomto nariadení predpokladá výnimka z požiadavky súhlasu v prípadoch výskumu, ktorý slúži dôležitému verejnému záujmu. [PN 86]

(124) Všeobecné zásady ochrany fyzických osôb pri spracúvaní osobných údajov by sa mali uplatňovať aj v súvislosti so zamestnaním a sociálnym zabezpečením . Preto s cieľom Členské štáty by mali mať možnosť upraviť spracúvanie osobných údajov zamestnancov v súvislosti so zamestnaním by členské štáty mali mať možnosť v medziach tohto nariadenia prijať špecifické zákonné pravidlá spracúvania a spracúvanie osobných údajov v oblasti zamestnanosti sociálneho zabezpečenia v súlade s pravidlami a minimálnymi normami stanovenými v tomto nariadení . Ak v danom členskom štáte existuje právny základ na úpravu záležitostí zamestnania na základe dohody medzi zástupcami zamestnancov a vedením podniku alebo podniku kontrolujúceho skupinu podnikov (kolektívna zmluva) alebo podľa smernice Európskeho parlamentu a Rady 2009/38/EC (10) , spracúvanie osobných údajov v súvislosti so zamestnaním sa môže tiež upravovať takouto dohodou . [PN 87]

(125) Spracúvanie osobných údajov na historické, štatistické alebo vedeckovýskumné účely by malo v záujme zákonnosti takisto rešpektovať ďalšie relevantné právne predpisy, napríklad predpisy o klinických skúškach.

(125a) Osobné údaje môžu následne spracovávať aj archívne služby, ktorých hlavnou alebo povinnou úlohou je zhromažďovať, ochraňovať, využívať a šíriť archivované údaje vo verejnom záujme a poskytovať o nich informácie. Právne predpisy členských štátov by mali zladiť právo na ochranu osobných údajov s pravidlami o archívoch a o verejnom prístupe k administratívnym informáciám. Členské štáty by mali podporovať najmä Skupinu európskych archívov, aby vypracovala pravidlá, ktoré zaručia dôverný charakter údajov voči tretím stranám, ako aj autenticitu, integritu a riadnu ochranu údajov. [PN 88]

(126) Vedecký výskum na účely tohto nariadenia by mal zahŕňať základný výskum, aplikovaný výskum a výskum financovaný zo súkromných zdrojov a okrem toho by mal zohľadňovať cieľ Únie stanovený v článku 179 ods. 1 Zmluvy o fungovaní Európskej únie, ktorým je vytvorenie európskeho výskumného priestoru. Spracovanie osobných údajov na historické, štatistické a vedecko-výskumné účely by nemalo mať za následok spracúvanie osobných údajov na iné účely, ak to nie je so súhlasom dotknutej osoby alebo na základe právnych predpisov Únie alebo členského štátu. [PN 89]

(127) Pokiaľ ide o právomoci dozorných orgánov získať od prevádzkovateľa alebo sprostredkovateľa prístup k osobným údajom a prístup do ich prevádzkových priestorov, členské štáty môžu prijať formou zákona a v medziach tohto nariadenia osobitné pravidlá s cieľom zaručiť plnenie povinností týkajúcich sa služobného tajomstva alebo inej rovnocennej povinnosti zachovávať mlčanlivosť, ak je to potrebné na zosúladenie práva na ochranu osobných údajov s povinnosťou zachovávať služobné tajomstvo.

(128) V zmysle článku 17 Zmluvy o fungovaní Európskej únie sa týmto nariadením rešpektuje a zároveň ním nie je dotknuté postavenie, ktoré majú cirkvi a náboženské združenia alebo spoločenstvá v členských štátoch podľa vnútroštátneho práva. Z toho vyplýva, že ak určitá cirkev v niektorom členskom štáte v čase nadobudnutia účinnosti tohto nariadenia uplatňuje komplexné primerané pravidlá ochrany fyzických osôb pri spracúvaní osobných údajov, tieto pravidlá by sa mali aj naďalej uplatňovať za podmienky, že sa zosúladia s týmto nariadením. Od takýchto cirkví a náboženských združení by sa malo vyžadovať, aby zabezpečili zriadenie úplne nezávislého dozorného orgánu a budú uznané za vyhovujúce predpisom . [PN 90]

(129) Aby sa splnili S cieľom splniť ciele tohto nariadenia, konkrétne ochrana ochranu základných práv a slobôd fyzických osôb, najmä ich právo na ochranu osobných údajov, ako aj zabezpečenie voľného pohybu osobných údajov v rámci Únie, Komisii by sa mala mala by sa na Komisiu delegovať právomoc prijímať akty v súlade s článkom 290 Zmluvy o fungovaní Európskej únie. Delegované akty by sa mali predovšetkým prijímať, pokiaľ ide o: zákonnosť spracovania; určenie kritérií a podmienok súhlasu dieťaťa; spracúvanie osobitných kategórií osobných údajov; určenie kritérií a podmienok pre konštatovanie zjavne neprimeraných žiadostí a poplatkov za výkon práv dotknutej osoby; kritériá a požiadavky súvisiace s informáciami pre dotknutú osobu a s jej prístupovým právom; právo byť zabudnutý a podmienky spôsobu poskytovania informácií s využitím piktogramov; právo na výmaz; opatrenia založené na profilovaní; kritériá a požiadavky týkajúce sa zodpovednosti prevádzkovateľa a ochrany údajov špecificky navrhnutej a štandardne určenej; sprostredkovateľa; kritériá a požiadavky na dokumentáciu a bezpečnosť spracovania; kritériá a požiadavky pre konštatovanie porušenia ochrany osobných údajov, jeho oznamovanie dozornému orgánu a okolnosti, kedy porušenie ochrany osobných údajov môže nepriaznivo ovplyvniť dotknutú osobu; kritériá a požiadavky na operácie spracovania; pri ktorých sa vyžaduje posúdenie vplyvu na ochranu údajov; kritériá a požiadavky pre konštatovanie vysokého stupňa osobitných rizík, pri ktorých sa vyžaduje konzultácia vopred; určenie a úlohy úradníka pre ochranu údajov; vyhlásenie, že kódexy správania sú v súlade s týmto nariadením ; kritériá a požiadavky na certifikačné mechanizmy; primeraný stupeň ochrany ponúkaný treťou krajinou alebo medzinárodnou organizáciou; kritériá a požiadavky na prenosy prostredníctvom záväzných firemných pravidiel; odchýlky od pravidiel pri prenose; správne sankcie; spracúvanie údajov na zdravotnícke účely; a spracúvanie v súvislosti so zamestnaním a spracúvanie na historické, štatistické a vedeckovýskumné účely. Je mimoriadne dôležité, aby Komisia viedla náležité konzultácie v priebehu prípravných prác vrátane konzultácií na expertnej úrovni , najmä s Európskym výborom pre ochranu údajov . Pri príprave a vypracúvaní delegovaných aktov by Komisia mala zabezpečiť súbežné, včasné a vhodne riešené predkladanie príslušných dokumentov Európskemu parlamentu a Rade. [PN 91]

(130) S cieľom zabezpečiť jednotné podmienky uplatňovania vykonávania tohto nariadenia by sa na Komisiu mali preniesť vykonávacie právomoci, pokiaľ ide o: určenie štandardných formulárov pre špecifické metódy na získanie overiteľného súhlasu pre potreby spracúvania osobných údajov dieťaťa; štandardné postupy a formuláre pre výkon práv na informovanie dotknutých osôb o uplatňovaní ich práv ; štandardné formuláre pre informácie pre dotknutú osobu; štandardné formuláre a postupy týkajúce sa prístupového práva, právo na prenosnosť údajov vrátane na oznamovanie osobných údajov dotknutej osobe ; štandardné formuláre týkajúce sa zodpovednosti prevádzkovateľa za ochranu osobných údajov špecificky navrhnutú a štandardne určenú a formuláre týkajúce sa dokumentácie , ktorú má uchovávať prevádzkovateľ a sprostredkovateľ ; osobitné požiadavky na bezpečnosť spracovania; štandardný formát a postupy pre formulár na oznámenie porušenia ochrany osobných údajov dozornému orgánu a pre informovanie dotknutej osoby o porušení na zdokumentovanie porušenia ochrany osobných údajov; normy a postupy pre posúdenie vplyvu na ochranu osobných údajov; formuláre a postupy týkajúce sa povolenia vopred a konzultácie vopred; technické normy a certifikačné mechanizmy; primeranú úroveň ochrany poskytovanú treťou krajinou alebo územím, alebo sektorom spracovania v tretej krajine alebo medzinárodnou organizáciou; sprístupňovanie údajov, ktoré právne predpisy Únie nepovoľujú; vzájomnú pomoc; spoločné operácie a rozhodnutia v rámci mechanizmu konzistentnosti a informovania dozorného orgánu vopred . Tieto právomoci by sa mali vykonávať v súlade s nariadením Európskeho parlamentu a Rady (EÚ) č. 182/2011 zo 16. februára 2011, ktorým sa ustanovujú pravidlá a všeobecné zásady mechanizmu, na základe ktorého členské štáty kontrolujú vykonávanie vykonávacích právomocí Komisie (11). Komisia by pritom mala zvážiť osobitné opatrenia pre mikropodniky a malé a stredné podniky. [PN 92]

(131) Postup preskúmania by sa mal použiť v prípadoch, keď ide o: určenie prijatie štandardných formulárov pre vyjadrenie súhlasu : pre špecifické metódy na získanie overiteľného súhlasu v súvislosti so spracovaním osobných údajov dieťaťa; štandardné postupy a formuláre pre výkon práv dotknutých osôb; štandardné formuláre na informovanie dotknutej osoby o uplatňovaní jej práv; informácií pre dotknutú osobu; štandardné formuláre a postupy týkajúce sa prístupového práva; právo na prenosnosť údajov; štandardné formuláre , a to aj na oznamovanie osobných údajov dotknutej osobe; týkajúce sa zodpovednosti prevádzkovateľa za ochranu osobných údajov špecificky navrhnutú a štandardne určenú a formuláre týkajúce sa dokumentácie; osobitné požiadavky na bezpečnosť spracovania; štandardný formát a postupy pre dokumentácie, ktorú má uchovávať prevádzkovateľ a sprostredkovateľ; na oznámenie porušenia ochrany osobných údajov dozornému orgánu a pre informovanie dotknutej osoby o porušení na zdokumentovanie porušenia ochrany osobných údajov; normy a postupy pre posúdenie vplyvu na ochranu osobných údajov; formuláre a postupy týkajúce sa povolenia vopred a konzultácie vopred; technické normy a certifikačné mechanizmy; primeranú úroveň ochrany poskytovanú treťou krajinou alebo územím, alebo sektorom spracovania v tretej krajine alebo medzinárodnou organizáciou; sprístupňovanie údajov, ktoré právne predpisy Únie nepovoľujú; vzájomnú pomoc; spoločné operácie a rozhodnutia v rámci mechanizmu konzistentnosti, a informovania dozorného orgánu vopred, keďže tieto akty majú všeobecnú pôsobnosť. [PN 93]

(132) Pokiaľ si to vyžadujú vážne a naliehavé dôvody, Komisia by mala prijať okamžite uplatniteľné akty, ak ide o riadne odôvodnené prípady týkajúce sa tretej krajiny alebo územia, alebo sektora spracúvania či medzinárodnej organizácie, ktoré nezabezpečujú náležitú úroveň ochrany a dozorné orgány riešia tieto prípady v rámci mechanizmu konzistentnosti. [PN 94]

(133) Keďže ciele tohto nariadenia, a to zabezpečiť rovnocennú úroveň ochrany fyzických osôb a voľný tok údajov v rámci celej Únie, nie je možné uspokojivo dosiahnuť na úrovni jednotlivých členských štátov, ale z dôvodov jeho rozsahu a dôsledkov ho možno lepšie dosiahnuť na úrovni Únie, môže Únia prijať opatrenia v súlade so zásadou subsidiarity podľa článku 5 Zmluvy o Európskej únii. V súlade so zásadou proporcionality podľa uvedeného článku toto nariadenie neprekračuje rámec nevyhnutný na dosiahnutie týchto cieľov.

(134) Smernica 95/46/ES by sa mala týmto nariadením zrušiť. Rozhodnutia, ktoré Komisia prijala, a povolenia, ktoré dozorné orgány vydali na základe smernice 95/46/ES, však zostávajú v platnosti. Rozhodnutia Komisie a povolenia dozorného orgánu týkajúce sa prenosu osobných údajov do tretích krajín podľa článku 41 ods. 8 by mali zostať v platnosti v prechodnom období piatich rokov po nadobudnutí účinnosti tohto nariadenia, ak ho Komisia pred uplynutím tejto lehoty nezmení, nenahradí alebo nezruší. [PN 95]

(135) Toto nariadenie sa uplatňuje na všetky záležitosti týkajúce sa ochrany základných práv a slobôd pri spracúvaní osobných údajov, ktoré nepodliehajú osobitným povinnostiam uvedeným v smernici Európskeho parlamentu a Rady 2002/58/ES (12) s rovnakým cieľom, vrátane povinností prevádzkovateľa a práv fyzických osôb. S cieľom spresniť vzťah medzi týmto nariadením a smernicou 2002/58/ES by sa uvedená smernica mala zodpovedajúcim spôsobom zmeniť.

(136) Pokiaľ ide o Island a Nórsko, toto nariadenie predstavuje vývoj ustanovení schengenského acquis do tej miery, že sa uplatňuje na spracúvanie osobných údajov orgánmi, ktoré sú zapojené do uplatňovania tohto acquis v zmysle Dohody uzatvorenej medzi Radou Európskej únie a Islandskou republikou a Nórskym kráľovstvom o pridružení týchto dvoch štátov pri vykonávaní, uplatňovaní a rozvoji schengenského acquis (13).

(137) Pokiaľ ide o Švajčiarsko, toto nariadenie predstavuje vývoj ustanovení schengenského acquis do tej miery, že sa uplatňuje na spracúvanie osobných údajov orgánmi, ktoré sú zapojené do uplatňovania tohto acquis v zmysle Dohody medzi Európskou úniou, Európskym spoločenstvom a Švajčiarskou konfederáciou o pridružení Švajčiarskej konfederácie k vykonávaniu, uplatňovaniu a vývoju schengenského acquis (14).

(138) Pokiaľ ide o Lichtenštajnsko, toto nariadenie predstavuje vývoj ustanovení schengenského acquis do tej miery, že sa uplatňuje na spracúvanie osobných údajov orgánmi, ktoré sú zapojené do uplatňovania tohto acquis v zmysle Protokolu medzi Európskou úniou, Európskym spoločenstvom, Švajčiarskou konfederáciou a Lichtenštajnským kniežatstvom o pristúpení Lichtenštajnského kniežatstva k Dohode medz