EURÓPSKA KOMISIA V Bruseli14. 10. 2022 COM(2022) 530 final OZNÁMENIE KOMISIE EURÓPSKEMU PARLAMENTU A RADE Prvá správa o uplatňovaní nariadenia o ochrane údajov pri spracúvaní inštitúciami, orgánmi, úradmi a agentúrami Európskej únie (nariadenie 2018/1725)



Obsah 1 Úvod 2 Samostatné pravidlá ochrany údajov pre inštitúcie, orgány, úrady a agentúry EÚ zosúladené v právnymi predpismi EÚ v oblasti ochrany údajov 3 Vykonávanie EUDPR v inštitúciách, orgánoch, úradoch a agentúrach EÚ 3.1 Úloha inštitúcií, orgánov, úradov a agentúr EÚ ako prevádzkovateľov 3.2 Výkon práv dotknutých osôb 3.3 Obmedzenie práv dotknutých osôb prostredníctvom interných predpisov 3.4 Zodpovedné osoby 3.5 Posúdenia vplyvu na ochranu údajov 3.6 Medzinárodné prenosy údajov 4 Činnosti EDPS 4.1 EDPS ako dozorný orgán pre ochranu údajov pre inštitúcie, orgány, úrady a agentúry EÚ 4.2 EDPS ako poradca zákonodarcu EÚ 4.3 Spolupráca medzi EDPS a vnútroštátnymi orgánmi pre ochranu údajov 4.4 Zdroje EDPS 5 Využívanie právomocí Komisie prijímať delegované a vykonávacie akty 6 Pravidlá ochrany údajov pre orgány a agentúry zaoberajúce sa policajnou spoluprácou a justičnou spoluprácou v trestných veciach 6.1 Rozšírenie uplatňovania kapitoly o presadzovaní práva EUDPR

6.2 Objasnenie uplatniteľnosti niektorých ustanovení EUDPR na spracúvanie operačných údajov 6.3 Právomoci EDPS v dozorných orgánoch a agentúrach EÚ 7 Ďalší postup PRÍLOHA

1Úvod Nariadenie o ochrane údajov pri spracúvaní inštitúciami, orgánmi, úradmi a agentúrami Európskej únie (ďalej len „EUDPR“) predstavuje hlavný rámec ochrany údajov pre inštitúcie, orgány, úrady a agentúry EÚ pri spracúvaní osobných údajov ako prevádzkovatelia alebo sprostredkovatelia. Toto nariadenie predstavuje pilier dobrej správy a dobrého úradného postupu na úrovni EÚ. Uplatňuje sa od 11. decembra 2018, keď sa ním zrušil a nahradil jeho predchodca, nariadenie (ES) č. 45/2001. V tomto oznámení sa predkladá prvá správa o uplatňovaní EUDPR v súlade s článkom 97 uvedeného nariadenia. Okrem toho sa v ňom skúmajú právne akty prijaté na základe zmlúv, ktorými sa upravuje spracúvanie operačných osobných údajov orgánmi, úradmi alebo agentúrami EÚ pri vykonávaní činností v rámci policajnej spolupráce a justičnej spolupráce v trestných veciach, v súlade s článkom 98 EUDPR. Komisia zhromaždila informácie o uplatňovaní EUDPR prostredníctvom prieskumu spusteného v októbri 2021, v ktorom boli inštitúcie, orgány, úrady a agentúry EÚ vyzvané, aby sa podelili o svoje skúsenosti pri uplatňovaní EUDPR. Odpovede poskytlo spolu 56 inštitúcií, orgánov, úradov a agentúr EÚ a štatistiky týkajúce sa inštitúcií, orgánov, úradov a agentúr EÚ uvedené v správe sú založené na týchto odpovediach. Európskemu dozornému úradníkovi pre ochranu údajov (EDPS) sa ako dozornému orgánu zaslala samostatná žiadosť o poskytnutie príspevku. A napokon Komisia okrem toho uverejnila výzvu na predkladanie podkladov, čím sa umožnilo vyjadriť názor aj verejnosti. Táto správa sa zaoberá problémami, na ktoré sa upozornilo v tých niekoľkých príspevkoch, ktoré boli doručené v reakcii na výzvu na predkladanie podkladov. V tejto správe sa EUDPR zasadzuje do rámca právnych predpisov EÚ v oblasti ochrany údajov, prezentuje sa jeho uplatňovanie inštitúciami, orgánmi, úradmi a agentúrami EÚ a činnosti EDPS a analyzuje sa uplatňovanie kapitoly uplatniteľnej na orgány a agentúry EÚ, ktoré vykonávajú činnosti v rámci policajnej spolupráce a justičnej spolupráce v trestných veciach. V závere správy sa uvádza ďalší postup. 2Samostatné pravidlá ochrany údajov pre inštitúcie, orgány, úrady a agentúry EÚ zosúladené v právnymi predpismi EÚ v oblasti ochrany údajov Hlavnými nástrojmi na ochranu údajov v EÚ sú všeobecné nariadenie o ochrane údajov, smernica o presadzovaní práva a smernica o súkromí a elektronických komunikáciách. Nevzťahujú sa však na spracúvanie osobných údajov inštitúciami, orgánmi, úradmi a agentúrami EÚ. Preto sú potrebné samostatné, ale zosúladené pravidlá ochrany údajov pre inštitúcie, orgány, úrady a agentúry EÚ. V EUDPR sa stanovujú tieto pravidlá. S cieľom zabezpečiť konzistentný prístup k ochrane osobných údajov a ich voľný pohyb v EÚ je EUDPR v najväčšej možnej miere zosúladené s pravidlami ochrany údajov prijatými pre verejný sektor, ako sú stanovené vo všeobecnom nariadení o ochrane údajov a v smernici o presadzovaní práva. Vždy, keď sa v EUDPR uplatňujú rovnaké zásady ako vo všeobecnom nariadení o ochrane údajov, by sa toto nariadenie malo vykladať rovnako, keďže by sa malo chápať ako rovnocenné so všeobecným nariadením o ochrane údajov. To isté možno predpokladať v súvislosti s pravidlami zosúladenými so smernicou o presadzovaní práva. EUDPR je prispôsobené osobitnej situácii inštitúcií, orgánov, úradov a agentúr EÚ, ako sa opisuje ďalej. ·Keďže jeho rozsah uplatňovania sa vzťahuje výlučne na inštitúcie, orgány, úrady a agentúry EÚ ako verejné orgány, vynechali sa viaceré ustanovenia zo všeobecného nariadenia o ochrane údajov, ktoré sa týkajú len verejného sektora. V EUDPR napríklad neexistuje možnosť spracúvania spoliehaním sa na právny základ „oprávnených záujmov“ prevádzkovateľa. ·Niektoré právomoci Komisie na prijímanie vykonávacích alebo delegovaných aktov sa ako také neopakujú, ale namiesto toho sa v EUDPR odkazuje na všeobecné nariadenie o ochrane údajov alebo smernicu o presadzovaní práva. Napríklad EUDPR neobsahuje mechanizmus na prijímanie rozhodnutí o primeranosti v prípade medzinárodných prenosov, inštitúcie, orgány, úrady a agentúry EÚ sa však takisto môžu spoliehať na rozhodnutia o primeranosti prijaté podľa všeobecného nariadenia o ochrane údajov alebo smernice o presadzovaní práva. ·V EUDPR sa okrem toho priamo zriaďuje EDPS, pričom sa stanovujú jeho úlohy, právomoci a postupy vymenovania. V súlade so všeobecným nariadením o ochrane údajov a smernicou o presadzovaní práva sa príslušné dozorné orgány zriaďujú podľa vnútroštátneho práva v súlade s požiadavkami týchto dvoch aktov. ·Kapitola EUDPR uplatniteľná na orgány a agentúry EÚ v oblasti presadzovania práva v trestných veciach je z funkčného hľadiska rovnocenná so smernicou o presadzovaní práva, pokiaľ ide o uvedené orgány a agentúry. Keďže však ide o priamo uplatniteľné nariadenie, jej znenie je odlišné. Stanovuje sa v nej, že všeobecné pravidlá sa v prípade potreby doplnia osobitnými ustanoveniami v zriaďujúcich aktoch orgánov a agentúr, ktoré pôsobia v tejto oblasti. Stanovuje sa v nej prispôsobený režim pre spracúvanie operačných osobných údajov, pričom sa prihliada na osobitnú povahu tohto sektora, napríklad na pravidlá informovania dotknutých osôb, ktorými sa zaručuje ochrana vyšetrovania. 3Vykonávanie EUDPR v inštitúciách, orgánoch, úradoch a agentúrach EÚ

3.1Úloha inštitúcií, orgánov, úradov a agentúr EÚ ako prevádzkovateľov Zo všeobecnej spätnej väzby od inštitúcií, orgánov, úradov a agentúr EÚ vyplýva, že prvé roky uplatňovania EUDPR úspešne prispeli k posilneniu všeobecnej kultúry ochrany údajov. V tejto súvislosti 94 % inštitúcií, orgánov, úradov a agentúr EÚ uviedlo, že nadobudnutím účinnosti EUDPR sa povedomie v ich organizácii, pokiaľ ide o pravidlá ochrany údajov, zvýšilo do určitej miery alebo do veľkej miery. Inštitúcie, orgány, úrady a agentúry EÚ vo všeobecnosti uviedli, že EUDPR malo pozitívny vplyv na ich politiky ochrany údajov a zamestnanci inštitúcií, orgánov, úradov a agentúr EÚ si rozšírili povedomie o zodpovednosti ich organizácie ako prevádzkovateľa a o požiadavkách na spracúvanie osobných údajov. Inštitúcie, orgány, úrady a agentúry EÚ spomenuli vykonávanie posúdení vplyvu na ochranu údajov, identifikáciu a riadenie prípadov porušenia ochrany údajov a zohľadňovanie špecificky navrhnutej a štandardnej ochrany údajov ako hlavné vplyvy EUDPR v porovnaní so zrušeným nariadením č. 45/2001. Vďaka EUDPR je možnosť spoločného prevádzkovania – viaceré organizácie, ktoré spoločne vymedzujú účely a prostriedky spracúvania osobných údajov – zreteľnejšia, tak ako je to v prípade všeobecného nariadenia o ochrane údajov. EDPS poskytol usmernenia k tejto téme a Komisia vypracovala interné vzory dohôd o spoločnom prevádzkovaní. Zatiaľ čo dodatočné požiadavky na zodpovednosť potrebné na preukázanie súladu s EUDPR pre inštitúcie, orgány, úrady a agentúry EÚ boli vo všeobecnosti vítané, niektoré inštitúcie, orgány, úrady a agentúry EÚ konštatovali, že pravidlá EUDPR viedli k zvýšeniu pracovnej záťaže. Okrem toho poukázali na to, že v EUDPR sa stanovujú pomerne zložité pravidlá, čo znamená, že v inštitúciách, orgánoch, úradoch a agentúrach EÚ sa vyžadujú väčšie odborné znalosti, a to aj medzi ich zodpovednými osobami, ako aj v sieťach koordinátorov pre ochranu údajov v uvedených inštitúciách, orgánoch, úradoch a agentúrach EÚ, ktoré majú takéto siete. Všetky inštitúcie, orgány, úrady a agentúry EÚ s výnimkou dvoch uchovávajú záznamy o spracovateľských operáciách v centrálnom registri. Hoci to nie je osobitná požiadavka podľa EUDPR, ide o osvedčený postup, ktorý odporúča aj EDPS. Okrem toho 72 % inštitúcií, orgánov, úradov a agentúr EÚ transformovalo na záznamy všetky svoje oznámenia zodpovednej osobe podľa predchádzajúceho nariadenia. Inštitúcie, orgány, úrady a agentúry EÚ, ktoré si ešte nesplnili túto úlohu, by mali preskúmať a aktualizovať svoju dokumentáciu spracovateľských operácií s cieľom zabezpečiť jej úplnosť a aktuálnosť. 3.2Výkon práv dotknutých osôb EUDPR poskytuje dotknutým osobám široký súbor práv v oblasti spracúvania ich osobných údajov, ktoré sú konzistentné so všeobecným nariadením o ochrane údajov. Inštitúcie, orgány, úrady a agentúry EÚ majú osobitnú povinnosť uľahčovať výkon týchto práv. V dôsledku toho 96 % inštitúcií, orgánov, úradov a agentúr EÚ uviedlo, že vykonali činnosti zamerané na zvyšovanie povedomia, ako je aktualizácia verejne dostupných informácií o ich spracovateľských operáciách, informačné správy alebo usmernenia pre dotknuté osoby. Viaceré inštitúcie, orgány, úrady a agentúry EÚ, ako je Komisia, Európska centrálna banka a Európska služba pre vonkajšiu činnosť, oznámili jednoznačný nárast žiadostí, ktoré im doručili fyzické osoby v rokoch 2018 až 2021. V prípade ďalších inštitúcií, orgánov, úradov a agentúr EÚ, ako je Súdny dvor Európskej únie, Európsky hospodársky a sociálny výbor a Agentúra Európskej únie pre azyl, bol však ich počet stabilný alebo sa menil bez jasného trendu. Zatiaľ nie je možné určiť jasný trend počtu žiadostí od dotknutých osôb po nadobudnutí účinnosti EUDPR vzhľadom na to, že spôsob zaznamenávania rôznych druhov žiadostí sa v jednotlivých inštitúciách, orgánoch, úradoch a agentúrach EÚ líši. 3.3Obmedzenie práv dotknutých osôb prostredníctvom interných predpisov Podobne ako vo všeobecnom nariadení o ochrane údajov sa v EUDPR stanovuje možnosť obmedziť určité práva dotknutých osôb. Môže sa to vykonať legislatívnymi aktmi a prostredníctvom interných predpisov. Na takéto vnútorné predpisy sa uplatňujú prísne kritériá. Musia byť jasné a presné a ich uplatňovanie musí byť predvídateľné pre osoby, na ktoré sa vzťahujú. Uvedené predpisy sa musia uverejniť v úradnom vestníku a byť v súlade s požiadavkami stanovenými v Charte základných práv a v Európskom dohovore o ochrane ľudských práv a základných slobôd. Obmedzenia založené na interných predpisoch sa môžu vzťahovať len na fungovanie inštitúcií, orgánov, úradov a agentúr EÚ. Musia rešpektovať základné práva, predstavovať potrebné a primerané opatrenia v demokratickej spoločnosti a mať za cieľ zaručiť jeden z cieľov osobitne uvedených v EUDPR. Každá dotknutá osoba, ktorej práva boli obmedzené, má právo podať sťažnosť EDPS. Veľká väčšina (84 %) inštitúcií, orgánov, úradov a agentúr EÚ prijala interné predpisy. Takéto predpisy boli napríklad zavedené s cieľom umožniť odloženie poskytnutia informácií osobe, ktorá je predmetom interného administratívneho vyšetrovania. V ostatných inštitúciách, orgánoch, úradoch a agentúrach EÚ bolo cieľom takýchto predpisov zabezpečiť účinnú priebežnú spoluprácu s členskými štátmi v oblastiach, v ktorých sa činnosti inštitúcií, orgánov, úradov a agentúr EÚ opierajú o informácie prijaté od príslušných orgánov členských štátov. Napríklad interné predpisy prijaté Komisiou pre spracúvanie osobných údajov pri jej činnostiach v oblasti hospodárskej súťaže, boja proti podvodom a vnútorného auditu zahŕňajú možnosť zavedenia obmedzení práv dotknutých osôb v prípadoch, keď sú osobné údaje získané od príslušných orgánov členských štátov. Týmito predpismi sa stanovuje možnosť uložiť podobné obmedzenia v prípadoch, keď vnútroštátne orgány uložili obmedzenia na základe legislatívneho opatrenia možného podľa všeobecného nariadenia o ochrane údajov alebo smernice o presadzovaní práva. Ak inštitúcie, orgány, úrady a agentúry EÚ prijali interné predpisy, ktorými sa umožňuje obmedzenie práv dotknutých osôb, obvykle sa uplatňujú v závislosti od prípadu, ako sa to vyžaduje v ich príslušných interných predpisoch. 69 % inštitúcií, orgánov, úradov a agentúr EÚ, ktoré majú zavedené predpisy podľa článku 25, však oznámilo, že ich dosiaľ nevyužili. Tie, ktoré ich využili, oznámili menej ako desať prípadov obmedzení, s výnimkou Európskeho parlamentu a Komisie. Potreba obmedzení vznikala častejšie pri činnostiach úradu OLAF, konkrétne v súvislosti s odložením poskytnutia informácií o spracúvaní ich osobných údajov dotknutým osobám, keď je vyšetrovanie ešte len v počiatočnej fáze, aby nebolo dotknuté zhromažďovanie dôkazov. Úrad OLAF uplatnil aj viaceré obmedzenia týkajúce sa žiadostí o prístup k vlastným osobným údajom predložených dotknutými osobami, ktoré boli zamietnuté výlučne s cieľom ochrany práv a slobôd iných osôb, napr. keď by sa poskytnutím údajov informátor vystavil riziku odvetného opatrenia. V interných predpisoch sa inštitúciám, orgánom, úradom a agentúram EÚ obvykle ukladá povinnosť informovať svoje zodpovedné osoby o všetkých uplatňovaných obmedzeniach a poskytnúť zodpovedným osobám prístup k záznamu a všetkým dokumentom súvisiacim s týmito obmedzeniami. 3.4Zodpovedné osoby Povinnosť, aby mala každá inštitúcia, orgán, úrad a agentúra EÚ zodpovednú osobu, sa stanovila už v predchádzajúcom nariadení č. 45/2001. V EUDPR sa táto úloha zviditeľnila zavedením zásady zodpovednosti. To znamená, že prevádzkovateľ je zodpovedný za dodržiavanie pravidiel ochrany údajov a musí byť schopný ho preukázať. V 46 % inštitúcií, orgánov, úradov a agentúr EÚ sú zodpovedné osoby podporované sieťami koordinátorov pre ochranu údajov alebo podobnými štruktúrami. Vo veľkých inštitúciách, orgánoch, úradoch a agentúrach EÚ je vyššia pravdepodobnosť existencie takýchto sietí [napr. Európsky parlament, Generálny sekretariát Rady, Komisia a Európska služba pre vonkajšiu činnosť (ESVČ)]. ESVČ okrem toho organizuje a udržiava sieť spravodajcov pre ochranu údajov v delegáciách EÚ. Viaceré inštitúcie, orgány, úrady a agentúry EÚ konštatovali nárast zodpovedností a pracovnej záťaže ich zodpovedných osôb (a v širšom zmysle koordinátorov pre ochranu údajov). Uznali potrebu poskytnúť zodpovedným osobám (a koordinátorom pre ochranu údajov) viac zdrojov s cieľom zabezpečiť, aby mohli účinne vykonávať politiky ochrany údajov vo svojich inštitúciách, orgánoch, úradoch a agentúrach EÚ. Uviedli aj potrebu zabezpečiť nezávislosť zodpovedných osôb. V tejto súvislosti existujú dva trendy: Na jednej strane sa v EUDPR kladie väčší dôraz na zodpovednosť prevádzkovateľa, napr. odstránením postupu predbežnej kontroly, ktorý existoval podľa predchádzajúceho nariadenia č. 45/2001, čím sa znižuje administratívna záťaž. Na druhej strane prevádzkovatelia žiadajú o podrobnejšie usmernenie od zodpovedných osôb/koordinátorov pre ochranu údajov o tom, ako čo najlepšie dodržiavať súlad s EUDPR. V tejto súvislosti sa konštatovalo, že sieť zodpovedných osôb v inštitúciách, orgánoch, úradoch a agentúrach EÚ poskytla dôležité fórum na diskusiu o určitých právnych a technických aspektoch špecifických pre spracúvanie údajov inštitúciami, orgánmi, úradmi a agentúrami EÚ a ich objasnenie. Táto sieť poskytuje platformu na výmeny medzi zodpovednými osobami a EDPS a medzi samotnými zodpovednými osobami. Spolupracuje na priebežnom základe a obvykle sa stretáva dvakrát ročne. Viac než polovica (54 %) inštitúcií, orgánov, úradov a agentúr EÚ poskytla viac zdrojov svojim zodpovedným osobám a všeobecnejšie funkciám ochrany údajov. Väčšina (84 %) inštitúcií, orgánov, úradov a agentúr EÚ prispôsobila svoje interné procesy s cieľom zabezpečiť, aby ich zamestnanci informovali zodpovedné osoby o nových operáciách spracúvania osobných údajov a konzultovali ich s nimi. Obvykle sa to vykonáva zahrnutím zodpovedných osôb napríklad do procesov riadenia zmien alebo riadiacich výborov projektu.

3.5Posúdenia vplyvu na ochranu údajov Najviac posúdení vplyvu na ochranu údajov vykonala Európska centrálna banka, Európska investičná banka a Komisia. V porovnaní s predchádzajúcim systémom „predbežnej kontroly“ podľa nariadenia č. 45/2001 sa počet vecí zaslaných EDPS významne znížil. Bol to očakávaný dôsledok tejto zmeny a menšieho počtu konzultácií s EDPS o administratívnych spracovateľských operáciách, ako je hodnotenie zamestnancov. V tabuľke 1 prílohy sa poskytuje prehľad o posúdeniach vplyvu na ochranu údajov, ktoré vykonali inštitúcie, orgány, úrady a agentúry EÚ v rokoch 2019 až 2021. Takmer všetky (94 %) inštitúcie, orgány, úrady a agentúry EÚ sa zhodli, že v prípade, keď musia vykonať posúdenia vplyvu na ochranu údajov, kritériá EUDPR primerane pokrývajú vysokorizikové spracovateľské operácie. Tie, ktoré nesúhlasili, zdôraznili potrebu, aby EDPS pri výklade uvedených kritérií zohľadnil technologický vývoj. Napríklad cloud computing už nie je „novou“ technológiou a malo by sa to zohľadniť pri posudzovaní toho, či je potrebné vykonať posúdenia vplyvu na ochranu údajov. Inštitúcie, orgány, úrady a agentúry EÚ, ktoré nastolili tento problém, sa obvykle domnievajú, že samotný právny text je dostatočne jasný a že je to vecou výkladu EDPS. EUDPR neobsahuje žiadnu osobitnú povinnosť uverejňovať výsledky posúdení vplyvu na ochranu údajov. Veľká väčšina (84 %) inštitúcií, orgánov, úradov a agentúr EÚ neuverejňuje vykonané posúdenia vplyvu na ochranu údajov, zatiaľ čo 14 % ich uverejňuje ako súčasť zhrnutia, pričom odstraňuje informácie, ktoré by mohli ohroziť prijaté bezpečnostné záruky. Len jedna z inštitúcií, orgánov, úradov a agentúr EÚ uviedla, že uverejňuje plné znenie svojich posúdení vplyvu na ochranu údajov. Uverejňovanie posúdení vplyvu na ochranu údajov, z ktorých sa v prípade potreby odstraňujú informácie, ktoré by ohrozili bezpečnosť spracovateľských operácií, prispieva k zvýšeniu transparentnosti, pokiaľ ide o dodržiavanie súladu s pravidlami EUDPR zo strany inštitúcií, orgánov, úradov a agentúr EÚ, a predstavuje osvedčený postup odporúčaný EDPS. 3.6Medzinárodné prenosy údajov Takmer všetky (91 %) inštitúcie, orgány, úrady a agentúry EÚ oznámili, že ich činnosti zahŕňajú medzinárodné prenosy osobných údajov. Zahŕňa to prenosy údajov do krajín mimo EÚ/EHP, ako aj medzinárodným organizáciám. Viaceré inštitúcie, orgány, úrady a agentúry EÚ však uviedli, že tieto prenosy sú zriedkavé a týkajú sa len obmedzeného množstva osobných údajov. Pokiaľ ide o používané nástroje prenosu, inštitúcie, orgány, úrady a agentúry EÚ zväčša odkazovali na rozhodnutia o primeranosti (prijaté podľa všeobecného nariadenia o ochrane údajov alebo smernice o presadzovaní práva) a zmluvné nástroje, napríklad v prípade prenosov údajov súkromným spoločnostiam. Pokiaľ ide o prenosy údajov verejným orgánom, používajú sa aj iné nástroje, ako sú právne záväzné dohody a správne dojednania. Okrem toho 51 % inštitúcií, orgánov, úradov a agentúr EÚ uviedlo, že vykonali obmedzené, príležitostné prenosy, napríklad s cieľom zorganizovať odbornú prípravu, na základe zákonných dôvodov na prenosy údajov (ďalej len „výnimky“). V praxi prenosy údajov obvykle nevykonávajú priamo inštitúcie, orgány, úrady a agentúry EÚ, ale ich sprostredkovatelia (ktorí nie sú inštitúciami, orgánmi, úradmi a agentúrami EÚ) konajúci v ich mene. Komisia preto osobitne riešila tento scenár v štandardných zmluvných doložkách prijatých podľa všeobecného nariadenia o ochrane údajov v júni 2021, a to s cieľom pomôcť prevádzkovateľom a sprostredkovateľom pri plnení požiadaviek všeobecného nariadenia o ochrane údajov, ako aj EUDPR. Konkrétne sprostredkovatelia v Európskom hospodárskom priestore (EHP) majú možnosť zahrnúť tieto štandardné zmluvné doložky pre medzinárodné prenosy údajov do zmlúv s ich ďalšími sprostredkovateľmi v tretích krajinách. Zabezpečuje sa tým dodržiavanie pravidiel EUDPR týkajúcich sa zapojenia ďalších sprostredkovateľov v mene inštitúcií, orgánov, úradov a agentúr EÚ, pokiaľ sú povinnosti v oblasti ochrany údajov zosúladené v zmluvách medzi: i) inštitúciou, orgánom, úradom a agentúrou EÚ a ii) sprostredkovateľom a jeho ďalším sprostredkovateľom. Konkrétne inštitúcie, orgány, úrady a agentúry EÚ môžu zabezpečiť takéto zosúladenie použitím štandardných zmluvných doložiek, ktoré Komisia prijala, pokiaľ ide o vzťah medzi prevádzkovateľmi a sprostredkovateľmi. S cieľom poskytnúť dodatočné nástroje, ktorými sa zabezpečia primerané záruky pre priame prenosy údajov z inštitúcií, orgánov, úradov a agentúr EÚ do tretích krajín (t. j. bez zapojenia sprostredkovateľa z EÚ/EHP), Komisia v súčasnosti vypracúva štandardné zmluvné doložky podľa článku 48 ods. 2 písm. b) EUDPR. Tieto doložky sa v najväčšej možnej miere zosúladia s existujúcimi doložkami prijatými podľa všeobecného nariadenia o ochrane údajov. A napokon vzhľadom na osobitné otázky, ktoré vyvstávajú pri prenose osobných údajov medzinárodným organizáciám (napríklad z dôvodu štatútu medzinárodných organizácií a uplatniteľných výsad a imunít), Komisia spolupracuje so zodpovednými osobami inštitúcií, orgánov, úradov a agentúr EÚ na vývoji osobitných nástrojov (napr. administratívnych dojednaní), ktoré sú prispôsobené takýmto prenosom. 4Činnosti EDPS 4.1EDPS ako dozorný orgán pre ochranu údajov pre inštitúcie, orgány, úrady a agentúry EÚ EDPS je nezávislý dozorný orgán pre ochranu údajov pre inštitúcie, orgány, úrady a agentúry EÚ, čo odráža úlohu národných dozorných orgánov pre ochranu údajov zriadených podľa všeobecného nariadenia o ochrane údajov a smernice o presadzovaní práva. V tabuľke 2 prílohy sa poskytuje prehľad o dozorných činnostiach EDPS v rokoch 2018 až 2021. Od nadobudnutia účinnosti EUDPR 11. decembra 2018 údaje za rok 2018 poskytujú základný scenár pre porovnanie so situáciou podľa predchádzajúceho nariadenia č. 45/2001. EDPS konštatoval prechod k hlavnej obchodnej činnosti inštitúcií, orgánov, úradov a agentúr EÚ v predmetoch konzultácií, ktoré boli od nich získané od nadobudnutia účinnosti EUDPR. Znamená to prechod k otázkam týkajúcim sa spracúvania osobných údajov na plnenie úloh pridelených inštitúciám, orgánom, úradom a agentúram EÚ vo verejnom záujme a odklon od „administratívnych“ tém, ako je riadenie zamestnancov. Počet neprípustných sťažností doručených EDPS v rokoch 2019 až 2021 narástol. Väčšina sťažností, ktoré sa považovali za neprípustné, boli namierené proti prevádzkovateľom v členských štátoch, nad ktorými nevykonáva dozor EDPS, ale ich vnútroštátne orgány pre ochranu údajov. Vyšší počet za rok 2018 bol pravdepodobne dôsledkom nadobudnutia účinnosti všeobecného nariadenia o ochrane údajov. Viedlo to k vyššiemu povedomiu o pravidlách ochrany údajov medzi obyvateľmi, ale aj k nárastu neprípustných sťažností. EDPS môže takisto uzavrieť prípustné sťažnosti, ak sa urovnali formou zmieru. Pokiaľ ide o kontroly a audity, v roku 2019 sa zaznamenal nárast v porovnaní so základným scenárom za rok 2018, potom v rokoch 2020 a 2021 nasledoval pokles. Možno to vysvetliť pandémiou ochorenia COVID-19, ktorá sťažila kontroly na mieste a spôsobila ich nahradenie auditmi na diaľku. EDPS posudzuje riziká s cieľom rozhodnúť, ktoré inštitúcie, orgány, úrady a agentúry EÚ treba skontrolovať. Zohľadňuje sa v tom napríklad počet predložených konzultácií, najmä v prípade, keď sa v rámci obchodných činností inštitúcie, orgánu, úradu a agentúry EÚ spracúvajú osobitné kategórie údajov. EDPS sa okrem toho môže rozhodnúť uskutočniť vyšetrovania z vlastnej iniciatívy, napr. v súvislosti s využívaním poskytovateľov cloudových služieb inštitúciou, orgánom, úradom a agentúrou EÚ. Pokiaľ ide o porušenia ochrany údajov, EDPS oznámil, že vo väčšine prípadov bola základnou príčinou chyba spôsobená človekom, po ktorej nasledovali technické chyby a externé útoky. EDPS využil väčšinu svojich právomocí podľa EUDPR, a to napríklad aj pri ukladaní dočasného zákazu spracovateľských operácií. Dosiaľ nevyužil svoju novú právomoc ukladať správne pokuty, čo je podľa EUDPR opatrenie v krajnom prípade. EDPS vo svojom príspevku k tejto správe poukázal aj na to, že investoval do činností v oblasti zvyšovania povedomia, ako je odborná príprava, pričom v roku 2019 po nadobudnutí účinnosti EUDPR sa do nej podľa odhadov zapojil najvyšší počet účastníkov, ktorých bolo viac ako 4 600. Hoci počet účastníkov v rokoch 2020 a 2021 v porovnaní s uvedeným vrcholom klesol, stále je výrazne vyšší ako základný scenár predpokladaných 1 000 účastníkov v roku 2018.

Inštitúcie, orgány, úrady a agentúry EÚ poskytli prevažne pozitívnu spätnú väzbu o interakciách s EDPS a ním poskytnutých usmerneniach, pričom 86 % uviedlo, že odpovede boli vždy alebo väčšinou ľahko zrozumiteľné. Inštitúcie, orgány, úrady a agentúry EÚ takisto ocenili intenzívnejšie kontakty EDPS so sieťou zodpovedných osôb. Niektoré inštitúcie, orgány, úrady a agentúry EÚ však konštatovali, že EDPS im niekedy poskytol poradenstvo príliš neskoro. Zdôraznili význam nepretržitej podpory a poradenstva EDPS a vyzvali na včasné a praktické usmernenia o určitých otázkach týkajúcich sa ochrany údajov. Tieto otázky zahŕňajú vykonávanie prístupu založeného na rizikách pre prevádzkovateľov, medzinárodné prenosy a vzťah medzi prevádzkovateľmi (vrátane spoločných prevádzkovateľov) a ich sprostredkovateľmi. 4.2EDPS ako poradca zákonodarcu EÚ Komisia uskutočňuje formálne konzultácie s EDPS, najmä o legislatívnych návrhoch s dosahom na spracúvanie osobných údajov, po ich prijatí kolégiom. EDPS odpovedá na tieto konzultácie formou stanovísk alebo pripomienok. EDPS takisto vydáva stanoviská z vlastnej iniciatívy, ako napríklad jeho predbežné stanovisko k európskemu priestoru pre zdravotné údaje. Ak je návrh osobitne dôležitý z hľadiska ochrany údajov, Komisia môže konzultovať aj s Európskym výborom pre ochranu údajov (EDPB). V takom prípade by EDPS a EDPB mali vydať spoločné stanovisko s cieľom zabezpečiť, aby sa zákonodarcovi EÚ poskytlo konzistentné poradenstvo. Komisia okrem toho uskutočňuje neformálne konzultácie s EDPS pred tým, ako kolégium prijme akty podliehajúce požiadavkám na konzultácie. V odpovedi na takéto konzultácie EDPS poskytuje neformálne pripomienky Komisii. Táto možnosť pomáha zabezpečiť úplný súlad aktov Komisie s pravidlami ochrany údajov pred ich prijatím. Neformálne konzultácie sa využívajú najmä v prípade aktov, ktoré sú citlivej povahy alebo ktoré majú významnejší dosah na ochranu údajov. Činnosť EDPS ako poradcu zákonodarcu EÚ závisí od počtu nových návrhov vypracovaných Komisiou. Po nižšom počte v poslednom roku odchádzajúcej Komisie je značný nárast formálnych pripomienok v roku 2021 dôsledkom vyššieho počtu legislatívnych návrhov a úsilia Komisie zabezpečiť konzistentné vykonávanie povinnosti konzultovať s EDPS. Zahŕňa to vykonávacie a delegované akty, ktoré sa týkajú spracúvania osobných údajov. Po nadobudnutí účinnosti EUDPR Generálny sekretariát Komisie vypracoval postupy a zvýšil povedomie útvarov o požiadavke konzultovať s EDPS. Viedlo to k systematickejším konzultáciám, a to aj v prípade vykonávacích a delegovaných aktov. EDPS a útvary Komisie na účely plánovania organizujú každoročné zasadnutia o nadchádzajúcom pracovnom programe a návrhoch, ktoré si budú vyžadovať konzultácie. 4.3Spolupráca medzi EDPS a vnútroštátnymi orgánmi pre ochranu údajov EDPS je členom EDPB a poskytuje preň sekretariát. Okrem toho spolupracuje s národnými dozornými orgánmi pri vykonávaní ich príslušných úloh inými spôsobmi. Patrí sem napríklad postúpenie sťažností príslušnému dozornému orgánu pre ochranu údajov alebo veci týkajúce sa externých poskytovateľov služieb, ktoré využívajú inštitúcie, orgány, úrady a agentúry EÚ, ako aj prevádzkovatelia, na ktorých sa vzťahuje všeobecné nariadenie o ochrane údajov. EDPS zároveň aktívne prispieva k práci EDPB tým, že zastáva napríklad úlohu hlavného spravodajcu alebo spoluspravodajcu pre usmernenia, prípadne inak prispieva k jeho práci. Viaceré rozsiahle informačné systémy a agentúry zriadené podľa práva EÚ si vyžadujú, aby EDPS a národné dozorné orgány v rámci svojich príslušných právomocí aktívne spolupracovali s cieľom zabezpečiť koordinovaný dozor. V minulosti zriaďujúce akty každého systému alebo agentúry zahŕňali osobitné ustanovenia na tento účel. V EUDPR sa vytvára harmonizovaný systém na túto koordináciu dozoru, na čo sa môže odkazovať v iných aktoch. Týka sa to informačného systému o vnútornom trhu, systému ECRIS-TCN, Eurojustu a najnovšie Europolu. Iné systémy stále majú koordinačné skupiny pre dozor s podrobnými pravidlami uvedenými v ich zriaďujúcich aktoch alebo podrobnými odkazmi na zasadnutia v rámci EDPB. EDPS okrem toho prispieva k schengenskému hodnotiacemu mechanizmu zriadenému podľa nariadenia Rady č. 1053/2013. Podľa uvedeného nariadenia Komisia môže vyzvať EDPS na určenie pozorovateľa, aby sa zúčastnil na kontrole na mieste týkajúcej sa oblasti patriacej do pôsobnosti jeho mandátu, t. j. na hodnoteniach ochrany údajov. Zodpovedá to možnosti agentúry Frontex a Europolu určiť pozorovateľov na účely hodnotení riadenia hraníc a policajnej spolupráce. Komisia sa domnieva, že odborné znalosti pozorovateľov z EDPS predstavujú cenný prínos k hodnoteniam ochrany údajov. 4.4Zdroje EDPS Počet zamestnancov EDPS (vrátane sekretariátu EDPB) počas obdobia podávania správ stabilne rástol, čo odráža všeobecný trend v národných dozorných orgánoch pre ochranu údajov. Činnosti sekretariátu EDPB sa v priebehu času zintenzívnili, pričom sa zvýšil počet usmernení, odporúčaní, stanovísk EDPB a iných dokumentov, ku ktorým sekretariát prispieva. Poskytnutie dostatočných zdrojov pre sekretariát EDPB je zásadné vzhľadom na silnejšie postavenie, ktoré má mať pri účinnom presadzovaní všeobecného nariadenia o ochrane údajov. Týka sa to najmä cieľa EDPB rozvíjať užšiu spoluprácu v oblasti strategickej práce a používať nové nástroje na podporu spolupráce medzi orgánmi pre ochranu údajov. Konkrétne silný sekretariát s dobrými zdrojmi na podporu práce EDPB je nevyhnutný na zaistenie plnenia požadovaných úloh EDPB, najmä v rámci mechanizmu konzistentnosti, ktorý by sa mal využívať čoraz častejšie. EDPS vo svojom príspevku k tejto správe usúdil, že predovšetkým by sa mu mali zveriť dodatočné úlohy, napr. ako orgánu dohľadu nad trhom podľa legislatívneho návrhu o umelej inteligencii by sa mu mali poskytnúť zodpovedajúce dodatočné zdroje. 5Využívanie právomocí Komisie prijímať delegované a vykonávacie akty EUDPR obsahuje viaceré právomoci Komisie prijímať delegované a vykonávacie akty a stanovujú sa v ňom štandardné doložky, ako aj krížové odkazy na právomoci podľa všeobecného nariadenia o ochrane údajov. EUDPR obsahuje ustanovenia, ktorými sa Komisii zveruje právomoc stanoviť štandardné zmluvné doložky o ochrane údajov v prípade zmlúv medzi prevádzkovateľmi a sprostredkovateľmi, ktorá zodpovedá právomoci stanovenej vo všeobecnom nariadení o ochrane údajov. Komisia využila túto právomoc a v júni 2021 prijala štandardné zmluvné doložky týkajúce sa vzťahov medzi prevádzkovateľmi a sprostredkovateľmi, ktoré sa vzťahujú tak na všeobecné nariadenie o ochrane údajov, ako aj EUDPR. Tieto doložky poskytujú prevádzkovateľom ľahko použiteľné nástroje na účinné riadenie vzťahov s ich sprostredkovateľmi. V EUDPR sa Komisii okrem toho zveruje právomoc prijímať štandardné zmluvné doložky o ochrane údajov s cieľom poskytnúť primerané záruky na prenos osobných údajov mimo EÚ/EHP. Komisia v súčasnosti pripravuje takéto doložky. 6Pravidlá ochrany údajov pre orgány a agentúry zaoberajúce sa policajnou spoluprácou a justičnou spoluprácou v trestných veciach Kapitola IX EUDPR obsahuje pravidlá spracúvania operačných osobných údajov inštitúciami, orgánmi, úradmi a agentúrami EÚ pri vykonávaní činností v rámci policajnej spolupráce a justičnej spolupráce v trestných veciach (ďalej len „kapitola o presadzovaní práva“). Jej cieľom je znížiť fragmentáciu: ·medzi režimami ochrany údajov uplatniteľnými na spracúvanie operačných údajov agentúrami EÚ v tejto oblasti,

·v prípade režimu ochrany údajov uplatniteľným na vnútroštátne činnosti presadzovania práva v trestných veciach podľa smernice o presadzovaní práva. Na tento účel sa v kapitole o presadzovaní práva EUDPR stanovuje súbor horizontálnych pravidiel na základe smernice o presadzovaní práva. Tieto pravidlá možno v prípade potreby doplniť osobitnými pravidlami v zriaďujúcich aktoch agentúr v závislosti od ich príslušných mandátov a osobitnej povahy ich úloh a operácií spracúvania údajov. V EUDPR sa uvádza potreba zabezpečiť jednotnú a konzistentnú ochranu fyzických osôb pri spracúvaní ich osobných údajov. Na tento účel sa v ňom výslovne poukazuje na cieľ rozšíriť uplatňovanie kapitoly o presadzovaní práva EUDPR na agentúry, ktoré mali pri prijatí EUDPR vo svojich zriaďujúcich aktoch samostatné rámce ochrany údajov, konkrétne Europol a Európska prokuratúra. Odkazuje sa v ňom aj na možnú zmenu kapitoly o presadzovaní práva, ak je to potrebné. 6.1Rozšírenie uplatňovania kapitoly o presadzovaní práva EUDPR V čase vypracúvania tejto správy sa kapitola o presadzovaní práva EUDPR uplatňuje na spracúvanie operačných osobných údajov: ·Eurojustom, pričom ju dopĺňajú osobitné pravidlá zahrnuté v nariadení o Eurojuste, ·Europolom, pričom ju dopĺňajú osobitné pravidlá zahrnuté v nariadení o Europole, ktoré bolo zmenené po nadobudnutí účinnosti EUDPR, ·agentúrou Frontex v prípade malej časti jej činností, ktoré sú súčasťou presadzovania práva v trestných veciach. Kapitola o presadzovaní práva EUDPR sa však ešte neuplatňuje na Európsku prokuratúru, ktorej zriaďujúce nariadenie bolo prijaté skôr ako EUDPR. V nariadení o Európskej prokuratúre sa stanovuje samostatný režim pre spracúvanie operačných údajov. Má to dva dôsledky: Po prvé niektoré ustanovenia nariadenia o Európskej prokuratúre sa vo svojej podstate líšia od kapitoly o presadzovaní práva EUDPR, ako je spracúvanie „obmedzených“ osobných údajov. Po druhé niektoré ustanovenia nariadenia o Európskej prokuratúre, hoci sú v podstate podobné, majú odlišné znenie než kapitola o presadzovaní práva EUDPR, čo by mohlo viesť k odlišnému výkladu. V záujme konzistentnosti a v súlade so všeobecným cieľom minimalizácie fragmentácie pravidiel ochrany údajov by sa v prípade Európskej prokuratúry mal dodržiavať podobný prístup ako v prípade Eurojustu a Europolu. Cieľom je zabezpečiť priamu uplatniteľnosť kapitoly o presadzovaní práva EUDPR na Európsku prokuratúru, pričom v nariadení o Európskej prokuratúre by sa zachovali len potrebné špecifikácie. Zároveň vzhľadom na to, že Európska prokuratúra funguje len jeden rok, je v krátkodobom horizonte stále potrebné získať podrobnejší prehľad o praktickom uplatňovaní režimu ochrany údajov Európskej prokuratúry. Tým sa umožní presná identifikácia týchto špecifikácií, pričom sa zohľadní povaha Európskej prokuratúry ako nezávislej prokuratúry EÚ. 6.2Objasnenie uplatniteľnosti niektorých ustanovení EUDPR na spracúvanie operačných údajov V EUDPR sa uvádza, že „[n]a spracúvanie operačných osobných údajov […] sa uplatňujú iba článok 3 [vymedzenie pojmov] a kapitola IX [kapitola o presadzovaní práva] tohto nariadenia“. Kapitola o presadzovaní práva obsahuje vecné ustanovenia zodpovedajúce väčšine ustanovení kapitol II až V EUDPR (všeobecné zásady, práva dotknutých osôb, určité povinnosti prevádzkovateľov a sprostredkovateľov, medzinárodné prenosy údajov) s niektorými rozdielmi s cieľom zohľadniť osobitnú povahu presadzovania práva (napr. pravidlá týkajúce sa informovania dotknutých osôb a ich práva na prístup k svojim údajom). Zmenou EUDPR treba objasniť, že v kapitole o presadzovaní práva sa stanovujú osobitné pravidlá len pre zodpovedajúce ustanovenia iných kapitol EUDPR, ktoré majú priamy ekvivalent v kapitole o presadzovaní práva. Preto, ak zákonodarca nezahrnie osobitné pravidlá do zriaďujúceho aktu agentúry, ustanovenia v kapitolách iných ako kapitola o presadzovaní práva, ktoré nemajú priamy ekvivalent v tejto kapitole, sa uplatňujú na spracúvanie operačných údajov. Touto zmenou by sa zlepšila právna istota a poskytol ucelený rámec (napr. pokiaľ ide o postavenie zodpovedných osôb, spoluprácu s národnými dozornými orgánmi pre ochranu údajov), a to aj pre všetky budúce agentúry v tejto oblasti. Takýto ucelený rámec by okrem toho prispel k zníženiu rizík fragmentácie. 6.3Právomoci EDPS v dozorných orgánoch a agentúrach EÚ V súčasnosti nariadenia, ktorými sa zriaďuje Európska prokuratúra, Eurojust a Europol, obsahujú osobitné ustanovenia o právomociach EDPS. V aktualizovanom nariadení o Europole sa EDPS poskytujú právomoci, ktoré sú zosúladené s právomocami podľa článku 58 EUDPR. Platí to najmä v prípade právomoci ukladať správne pokuty a právomoci nariadiť prevádzkovateľovi alebo sprostredkovateľovi, aby svoje spracovateľské operácie podľa potreby určeným spôsobom a v rámci určenej lehoty zosúladili. V prípade Európskej prokuratúry sú však právomoci EDPS formulované inak než v EUDPR. EDPS nedisponuje týmito dvoma právomocami uvedenými v predchádzajúcom texte. Nariadenie o agentúre Frontex, pričom malá časť činností agentúry Frontex podlieha kapitole o presadzovaní práva, nezahŕňa žiadne osobitné ustanovenia o právomociach EDPS, čo vedie k neistote týkajúcej sa týchto právomocí.

EDPS by sa mohla poskytnúť celá škála právomocí stanovených podľa článku 58 EUDPR dodržaním týchto dvoch krokov: 1.Objasnením, že v EUDPR sa ako štandardná možnosť EDPS poveruje dozorom nad kapitolou o presadzovaní práva a zverujú sa mu právomoci udelené podľa článku 58 EUDPR. To si vyžaduje zmenu EUDPR, ako sa navrhuje v predchádzajúcom oddiele. Riešila by sa tým aj medzera v nariadení o agentúre Frontex. 2.Vypustením ustanovení o právomociach EDPS zo zriaďujúcich aktov agentúr a orgánov by sa na Eurojust a Európsku prokuratúru priamo uplatňovala celá škála právomocí EDPS podľa zmeneného EUDPR. Cieľom je zosúladiť ich v najväčšej možnej miere, aby sa znížila fragmentácia pravidiel ochrany údajov. 7Ďalší postup Celkovo EUDPR funguje dobre a je vhodné na daný účel. Komisia v tejto fáze nenavrhne zmeny tých častí, ktoré sú rovnocenné so zodpovedajúcimi pravidlami vo všeobecnom nariadení o ochrane údajov, čím sa zachová najužšie možné zosúladenie medzi EUDPR a všeobecným nariadením o ochrane údajov. Možné zmeny posúdené v tejto správe sa týkajú iných častí, konkrétne vzťahu medzi kapitolou o presadzovaní práva EUDPR a inými ustanoveniami tohto nariadenia. Na jar 2022 Komisia navrhla pravidlá na posilnenie bezpečnosti informácií v inštitúciách, orgánoch, úradoch a agentúrach EÚ, čo bude mať pozitívny vplyv na bezpečnosť informácií, ako aj na ochranu osobných údajov. Cieľom uvedeného návrhu je ďalej zlepšiť odolnosť inštitúcií, orgánov, úradov a agentúr EÚ a ich schopnosť reagovať na incidenty, keď čelia kybernetickobezpečnostným hrozbám. Komisia okrem toho podnikne kroky uvedené v ďalších bodoch: -zabezpečiť pri aktualizácii zriaďujúcich aktov rozsiahlych informačných systémov, ktoré stále zahŕňajú podrobné pravidlá týkajúce sa modelu koordinovaného dozoru, aby sa uplatňoval model koordinovaného dozoru EUDPR s cieľom zjednodušiť postupy, -zvážiť zmeny EUDPR s cieľom: ozlepšiť právnu istotu a doplniť rámec pre spracúvanie operačných údajov tým, že sa v článku 2 ods. 2 objasní, že všeobecné ustanovenia EUDPR sa uplatňujú aj na spracúvanie operačných osobných údajov, pokiaľ kapitola o presadzovaní práva neobsahuje osobitné ustanovenia (ako je právo na prístup). Poskytol by sa tým aj hotový rámec pre všetky budúce agentúry v oblasti justičnej spolupráce v trestných veciach a policajnej spolupráce, ozabezpečiť účasť EDPS ako pozorovateľa pri všetkých hodnoteniach ochrany údajov podľa schengenského hodnotiaceho mechanizmu, -následne zvážiť zmenu nariadení o Európskej prokuratúre a Eurojuste v budúcej revízii, aby sa zaručilo úplné uplatňovanie pravidiel týkajúcich sa spracúvania operačných osobných údajov v zmenenom EUDPR, pričom sa zohľadní osobitná povaha týchto orgánov. Povedie to zároveň k harmonizácii právomocí EDPS nad týmito orgánmi a agentúrami s právomocami, ktoré má nad inými inštitúciami, orgánmi, úradmi a agentúrami EÚ, -navrhnúť štandardné zmluvné doložky pre medzinárodné prenosy osobných údajov pre inštitúcie, orgány, úrady a agentúry EÚ, -pokračovať v úzkej spolupráci s EDPS (a v prípade potreby s EDPB), aby sa zaručila včasná a cielená konzultácia o nových návrhoch, a takisto pokračovať v neformálnych konzultáciách s EDPS o dôležitých textoch pred ich prijatím.



EDPS sa vyzýva, aby: -poskytol dodatočné a včasné praktické usmernenia pre inštitúcie, orgány, úrady a agentúry EÚ, a to aj k medzinárodným prenosom údajov, -pokračoval v zvyšovaní povedomia prevádzkovateľov a sprostredkovateľov o ich povinnostiach podľa EUDPR, ako aj v poskytovaní poradenstva zodpovedným osobám,

-zintenzívnil úsilie s cieľom účinne presadzovať EUDPR, aby sa zaručila úplná ochrana dotknutých osôb. Inštitúcie, orgány, úrady a agentúry EÚ sa vyzývajú, aby: -pokračovali v úsilí o zvyšovanie povedomia a v prípade potreby ho zintenzívnili, aby sa zabezpečila dostatočná úroveň interných odborných znalostí v oblasti pravidiel EUDPR, -zvážili uverejňovanie posúdení vplyvu na ochranu údajov s výnimkou informácií, ktoré by mohli ohroziť bezpečnostné záruky prijaté v prípade potreby, -zabezpečili, aby mali zodpovedné osoby (ako aj koordinátori pre ochranu údajov) dostatočné zdroje a postavenie v rámci inštitúcií, orgánov, úradov a agentúr EÚ, ktoré im umožňujú vykonávať úlohy efektívne a nezávisle, -ukončili transformáciu svojich zostávajúcich oznámení podľa predchádzajúceho nariadenia o ochrane údajov na záznamy o ochrane údajov.



PRÍLOHA Tabuľka 1 – Posúdenia vplyvu na ochranu údajov a predchádzajúce konzultácie vykonané inštitúciami, orgánmi, úradmi a agentúrami EÚ 2019 2020 2021 Prijaté zvyškové riziko 30 50 77 Predchádzajúca konzultácia s EDPS 3 3 5 Zrušený projekt 2 2 0 Tabuľka 2 – Dozorné činnosti EDPS 2018 2019 2020 2021 Konzultácie 50 75 59 52 Predchádzajúce konzultácie 0 0 1 4 Oprávnenia na prenos 0 1 0 4 Doručené prípustné žiadosti 58 59 43 44 Rozhodnutia o prípustných sťažnostiach 23 48 35 22 Doručené neprípustné žiadosti 240 151 203 269 Vykonané kontroly/audity 5 9 4 4 Uskutočnené formálne vyšetrovania 0 4 1 2 Doručené oznámenia porušenia ochrany údajov 7 95 121 82



Tabuľka 3 – Poradné činnosti EDPS 2018 2019 2020 2021 Pripomienky 13 3 19 72 Stanoviská 7 6 8 12 Stanoviská z vlastnej iniciatívy 1 1 2 0 Spoločné stanoviská s EDPB 0 1 0 5 Neformálne pripomienky 33 16 13 25 Tabuľka 4 – Zdroje EDPS