Predlog UREDBA EVROPSKEGA PARLAMENTA IN SVETA o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov (Splošna uredba o varstvu podatkov) /* COM/2012/011 final - 2012/0011 (COD) */





OBRAZLOŽITVENI MEMORANDUM 1. OZADJE PREDLOGA Ta obrazložitveni memorandum podrobneje predstavlja predlagani novi pravni okvir za varstvo osebnih podatkov v EU, kakor je določen v Sporočilu COM(2012) 9 final[1]. Predlagani novi pravni okvir sestavljata dva zakonodajna predloga: – predlog uredbe Evropskega parlamenta in Sveta o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov (Splošna uredba o varstvu podatkov) ter – predlog direktive Evropskega parlamenta in Sveta o varstvu posameznikov pri obdelavi osebnih podatkov, ki jih pristojni organi obdelujejo za namene preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj ali izvrševanja kazenskih sankcij, in o prostem pretoku takih podatkov[2]. Ta obrazložitveni memorandum se nanaša na zakonodajni predlog za Splošno uredbo o varstvu podatkov. Osrednji dokument veljavne zakonodaje EU o varstvu osebnih podatkov, tj. Direktiva 95/46/ES[3], je bil sprejet leta 1995 z dvema ciljema: varstvo temeljne pravice do varstva podatkov in zagotovitev prostega pretoka osebnih podatkov med državami članicami. Dopolnil jo je Okvirni sklep 2008/977/PNZ kot splošni pravni akt na ravni Unije za varstvo osebnih podatkov na področju policijskega in pravosodnega sodelovanja v kazenskih zadevah[4]. Hiter tehnološki razvoj je prinesel nove izzive za varstvo osebnih podatkov. Obseg izmenjave in zbiranja podatkov se je bistveno povečal. Tehnologija zasebnim podjetjem in javnim organom omogoča, da osebne podatke uporabljajo za svoje dejavnosti v obsegu, kakršnega še ni bilo. Posamezniki vedno bolj dajejo osebne podatke na razpolago tako javno kot globalno. Tehnologija je spremenila gospodarstvo in družbeno življenje. Ustvarjanje zaupanja v spletno okolje je ključ do gospodarskega razvoja. Zaradi pomanjkanja zaupanja potrošniki oklevajo pri spletnih nakupih in sprejemanju novih storitev. To lahko vpliva na upočasnitev razvoja inovativnih uporab novih tehnologij. Varstvo osebnih podatkov ima zato osrednjo vlogo v Evropski digitalni agendi[5] in bolj splošno v strategiji Evropa 2020[6]. Člen 16(1) Pogodbe o delovanju Evropske unije (PDEU), kakor je bil uveden z Lizbonsko pogodbo, določa načelo, da ima vsakdo pravico do varstva osebnih podatkov, ki se nanašajo nanj. Poleg tega je Lizbonska pogodba s členom 16(2) PDEU uvedla posebno pravno podlago za sprejetje predpisov o varstvu osebnih podatkov. Člen 8 Listine EU o temeljnih pravicah zagotavlja varstvo osebnih podatkov kot temeljno pravico. Evropski svet je Komisijo pozval, naj oceni delovanje pravnih aktov EU o varstvu podatkov ter po potrebi predstavi nadaljnje zakonodajne in nezakonodajne pobude[7]. Evropski parlament je v resoluciji o stockholmskem programu[8] pozdravil celovit sistem varstva podatkov v EU in med drugim pozval k pregledu Okvirnega sklepa. Komisija je v akcijskem načrtu izvajanja stockholmskega programa[9] poudarila potrebo po zagotavljanju, da se temeljna pravica do varstva osebnih podatkov dosledno uporablja v okviru vseh politik EU. Komisija je v sporočilu „Celovit pristop k varstvu osebnih podatkov v Evropski uniji“[10] ugotovila, da EU potrebuje celovitejšo in skladnejšo politiko o temeljni pravici do varstva osebnih podatkov. Kar se tiče ciljev in načel, veljavni okvir še vedno velja, vendar ni preprečil razdrobljenosti na področju izvajanja varstva osebnih podatkov v Uniji, pravne negotovosti in razširjenega javnega mnenja, da so precejšnja tveganja povezana zlasti s spletno dejavnostjo[11]. Zato je čas za trdnejši in skladnejši okvir za varstvo podatkov v EU, podprt z doslednim izvajanjem, ki bo digitalnemu gospodarstvu omogočil, da se razvije na notranjem trgu, dal posameznikom nadzor nad lastnimi podatki ter okrepil pravno in praktično varnost gospodarskih subjektov in javnih organov. 2. REZULTATI POSVETOVANJ Z ZAINTERESIRANIMI STRANMI IN OCENA UČINKA Ta pobuda je rezultat obsežnih posvetovanj z vsemi pomembnimi zainteresiranimi stranmi o veljavnem pravnem okviru varstva osebnih podatkov, ki so potekala več kot dve leti, obsegala pa so tudi konferenco na visoki ravni maja 2009[12] in dve fazi javnih posvetovanj: – od 9. julija do 31. decembra 2009 je potekalo posvetovanje o pravnem okviru za temeljno pravico do varstva osebnih podatkov. Komisija je prejela 168 odgovorov, od tega jih je bilo 127 od posameznikov, poslovnih organizacij in združenj, 12 pa od javnih organov[13]; – od 4. novembra 2010 do 15. januarja 2011 pa je potekalo posvetovanje o celovitem pristopu Komisije k varstvu osebnih podatkov v Evropski uniji. Komisija je prejela 305 odgovorov, od tega 54 od državljanov, 31 od javnih organov in 220 od zasebnih organizacij, zlasti poslovnih združenj in nevladnih organizacij[14]. Usmerjena posvetovanja so bila opravljena tudi s ključnimi zainteresiranimi stranmi, junija in julija 2010 pa so bili z organi držav članic in zainteresiranimi stranmi zasebnega sektorja, pa tudi organizacijami za varovanje zasebnosti, za varovanje podatkov in za potrošnike organizirani posebni dogodki[15]. Novembra 2010 je podpredsednica Evropske komisije Viviane Reding organizirala okroglo mizo o reformi varstva podatkov. Evropska komisija in Svet Evrope sta 28. januarja 2011 (dan varstva podatkov) skupaj organizirala konferenco na visoki ravni, na kateri so razpravljali o vprašanjih, povezanih z reformo pravnega okvira EU in potrebo po skupnih standardih za varstvo podatkov po vsem svetu[16]. Dve konferenci o varstvu podatkov sta 16. in 17. junija 2011 oziroma 21. septembra 2011 organizirala madžarsko in poljsko predsedstvo Sveta. V letu 2011 so bile organizirane posebne delavnice in seminarji o posebnih vprašanjih. Agencija ENISA[17] je januarja organizirala delavnico na temo obveščanja o kršitvah varnosti podatkov v Evropi[18]. Februarja je Komisija z organi držav članic pripravila delavnico, na kateri so razpravljali o vprašanjih varstva podatkov na področju policijskega sodelovanja in pravosodnega sodelovanja v kazenskih zadevah, vključno z izvajanjem Okvirnega sklepa, Agencija za temeljne pravice pa je organizirala posvetovalno srečanje z zainteresiranimi stranmi o varstvu podatkov in zasebnosti. Razprava o ključnih vprašanjih reforme je potekala 13. julija 2011 z nacionalnimi organi za varstvo podatkov. Posvetovanje z državljani EU je potekalo prek raziskave Eurobarometra novembra in decembra 2010[19]. Izvedenih je bilo tudi več študij[20]. Delovna skupina iz člena 29[21] je Komisiji predložila več mnenj in koristne prispevke[22]. Evropski nadzornik za varstvo podatkov je izdal celovito mnenje o vprašanjih, ki jih je Komisija izpostavila v sporočilu iz novembra 2010[23]. Evropski parlament je z resolucijo z dne 6. julija 2011 odobril poročilo, ki je podprlo pristop Komisije k reformi okvira za varstvo podatkov[24]. Svet Evropske unije je 24. februarja 2011 sprejel sklepe, v katerih je na splošno podprl namen Komisije za reformo okvira varstva osebnih podatkov, in se strinjal z več elementi pristopa Komisije. Tudi Evropski ekonomsko-socialni odbor je podprl namen Komisije, da se zagotovita doslednejša uporaba pravil EU o varstvu podatkov[25] v vseh državah članicah in ustrezen pregled Direktive 95/46/ES[26]. Med posvetovanji o celovitem pristopu se je velika večina zainteresiranih strani strinjala, da splošna načela veljajo še naprej, vendar obstaja potreba po spremembi veljavnega okvira, da bi se lahko bolje odzvali na izzive, ki sta jih prinesla hiter razvoj novih tehnologij (zlasti na spletu) in vedno večja globalizacija, obenem pa ohranili tehnološko nevtralnost pravnega okvira. Trenutna razdrobljenost varstva osebnih podatkov v Uniji je bila ostro kritizirana, zlasti s strani gospodarskih akterjev, ki so zahtevali večjo pravno varnost in uskladitev predpisov o varstvu osebnih podatkov. Po njihovem mnenju zapletenost predpisov o mednarodnem prenosu osebnih podatkov precej ovira njihovo poslovanje, saj morajo osebne podatke iz EU redno prenašati v druge dele sveta. Komisija je v skladu s svojo politiko „boljše pravne ureditve“ opravila oceno učinka možnosti politike. Ocena učinka je temeljila na treh ciljih politike, in sicer izboljšanju razsežnosti notranjega trga pri varstvu podatkov, povečanju učinkovitosti uveljavljanja pravic do varstva podatkov za posameznike ter oblikovanju celovitega in skladnega okvira, ki zajema vsa področja pristojnosti Unije, vključno s policijskim sodelovanjem in pravosodnim sodelovanjem v kazenskih zadevah. Ocenjene so bile tri možnosti politike z različnimi stopnjami posredovanja: prvo možnost so sestavljale najmanjše možne zakonodajne spremembe ter uporaba razlagalnih sporočil in podpornih ukrepov politike, kot so programi financiranja in tehnična orodja; drugo možnost je sestavljal sveženj zakonodajnih določb, ki obravnavajo vsako od vprašanj, opredeljenih v analizi; tretja možnost pa je bila združitev varstva podatkov na ravni EU s pomočjo natančnih in podrobnih predpisov za vse sektorje ter ustanovitev agencije EU za spremljanje in izvrševanje določb. V skladu z uveljavljeno metodologijo Komisije je bila s pomočjo medresorske usmerjevalne skupine vsaka možnost politike ocenjena glede na učinkovitost pri doseganju ciljev politike, gospodarski učinek na zainteresirane strani (vključno z učinkom na proračun institucij EU), družbeni vpliv in učinek na temeljne pravice. Okoljski vplivi niso bili obravnavani. Na podlagi analize splošnega učinka je bila oblikovana najprimernejša možnost politike, ki temelji na drugi možnosti z nekaj elementi drugih dveh možnosti in je vključena v ta predlog. V skladu z oceno učinka bo izvajanje te možnosti med drugim prineslo precejšnje izboljšanje pravne varnosti za upravljavce podatkov in državljane, zmanjšanje upravnega bremena, dosledno izvrševanje predpisov o varstvu podatkov v Uniji, učinkovito možnost posameznikov za uveljavljanje njihovih pravic do varstva podatkov na področju varstva osebnih podatkov v EU ter učinkovit nadzor in izvrševanje varstva podatkov. Izvajanje najprimernejše možnosti politike naj bi pripomoglo tudi k cilju Komisije glede poenostavitve in zmanjšanja upravnega bremena ter k ciljem Evropske digitalne agende, akcijskega načrta izvajanja stockholmskega programa in strategije Evropa 2020. Odbor za oceno učinka je 9. septembra 2011 podal mnenje o osnutku ocene učinka. V skladu z mnenjem odbora so bile v oceno učinka vnesene naslednje spremembe: – pojasnjeni so bili cilji veljavnega pravnega okvira (v kolikšni meri so bili oziroma niso bili doseženi) in cilji predvidene reforme; – v oddelek o opredelitvi problema so bili dodani več dokazov in dodatne razlage/pojasnila; – dodan je bil oddelek o sorazmernosti; – vsi izračuni in ocene, povezani z upravnim bremenom v osnovnem scenariju in v najprimernejši možnosti, so bili v celoti pregledani in popravljeni, pojasnjena pa je bila tudi povezava med stroški obveščanja in splošnimi stroški zaradi razdrobljenosti (vključno s Prilogo 10); – bolje so bili opredeljeni učinki na mikro-, mala in srednje velika podjetja, zlasti uradnih oseb za varstvo podatkov in ocen učinka o varstvu podatkov. Poročilo o oceni učinka in povzetek sta objavljena skupaj s predlogi. 3. PRAVNI ELEMENTI PREDLOGA 3.1. Pravna podlaga Predlog temelji na členu 16 PDEU, ki je nova pravna podlaga za sprejetje predpisov o varstvu podatkov, uvedenih z Lizbonsko pogodbo. Ta določba omogoča sprejetje pravil o varstvu posameznikov pri obdelavi osebnih podatkov s strani držav članic, ko izvajajo dejavnosti s področja uporabe prava Unije. Omogoča tudi sprejetje pravil o prostem pretoku osebnih podatkov, vključno z osebnimi podatki, ki jih obdelujejo države članice ali zasebni subjekti. Uredba je najprimernejši pravni akt za določitev okvira za varstvo osebnih podatkov v Uniji. Zaradi neposredne uporabe Uredbe v skladu s členom 288 PDEU se bo zmanjšala pravna razdrobljenost in zagotovila večja pravna varnost z uvedbo usklajenega sklopa temeljnih pravil, ki bodo izboljšala varstvo temeljnih pravic posameznikov in pripomogla k delovanju notranjega trga. Sklicevanje na člen 114(1) PDEU je potrebno samo zaradi spremembe Direktive 2002/58/ES, ker ta direktiva zagotavlja tudi zaščito pravnih interesov naročnikov, ki so pravne osebe. 3.2. Subsidiarnost in sorazmernost V skladu z načelom subsidiarnosti (člen 5(3) PEU) se ukrepi na ravni Unije sprejmejo le, če in kolikor ciljev predlaganih ukrepov ni mogoče zadovoljivo doseči na ravni držav članic, temveč se zaradi njihovega obsega ali učinkov laže dosežejo na ravni Unije. Ob upoštevanju opisanih težav analiza subsidiarnosti kaže na nujnost ukrepanja na ravni EU, ker: – pravica do varstva osebnih podatkov iz člena 8 Listine o temeljnih pravicah zahteva enako raven varstva podatkov v celotni Uniji. Zaradi pomanjkanja skupnih predpisov EU bi se lahko pojavile različne ravni varstva v državah članicah, nastale pa bi tudi omejitve čezmejnega prenosa osebnih podatkov med državami članicami z različnimi standardi; – prenos osebnih podatkov čez nacionalne meje, tako notranje kot zunanje, zelo hitro narašča. Poleg tega obstajajo praktični izzivi glede izvajanja zakonodaje o varstvu podatkov in potreba po sodelovanju med državami članicami in njihovimi organi, ki ga je treba organizirati na ravni EU, da se zagotovi enotna uporaba zakonodaje Unije. EU je tudi v najboljšem položaju, da učinkovito in dosledno zagotovi enako raven varstva posameznikov pri prenosu njihovih osebnih podatkov v tretje države; – države članice ne morejo same zmanjšati težav v trenutnih razmerah, zlasti tistih, ki so posledica razdrobljenosti v nacionalnih zakonodajah. Zato obstaja posebna potreba po vzpostavitvi usklajenega in skladnega okvira, ki omogoča nemoten čezmejni prenos osebnih podatkov v EU, obenem pa zagotavlja učinkovito varstvo za vse posameznike v EU; – bodo predlagani zakonodajni ukrepi EU zaradi narave in obsega težav, ki niso omejene na eno državo članico ali več držav članic, učinkovitejši od podobnih ukrepov na ravni držav članic. V skladu z načelom sorazmernosti mora biti vsako posredovanje ciljno usmerjeno in ne sme presegati okvirov, ki so potrebni za dosego ciljev. Na tem načelu je temeljila priprava tega predloga od opredelitve in ocenjevanja drugih možnosti politike do osnutka zakonodajnega predloga. 3.3. Povzetek vprašanj temeljnih pravic Pravica do varstva osebnih podatkov je določena v členu 8 Listine in členu 16 PDEU ter v členu 8 Evropske konvencije o varstvu človekovih pravic in temeljnih svoboščin. Kot je poudarilo Sodišče EU[27], pravica do varstva osebnih podatkov ni absolutna, temveč jo je treba obravnavati glede na vlogo, ki jo ima v družbi[28]. Varstvo podatkov je tesno povezano s spoštovanjem zasebnega in družinskega življenja, ki ga varuje člen 7 Listine. To odraža člen 1(1) Direktive 95/46/ES, ki določa, da države članice varujejo temeljne pravice in svoboščine fizičnih oseb in predvsem njihovo pravico do zasebnosti pri obdelavi osebnih podatkov. Druge temeljne pravice iz Listine, na katere bo Uredba morda vplivala, so: svoboda izražanja (člen 11 Listine), svoboda gospodarske pobude (člen 16), lastninska pravica in zlasti varstvo intelektualne lastnine (člen 17(2)), prepoved vsakršne diskriminacije, med drugim na podlagi rase, etničnega porekla, genetskih značilnosti, vere ali prepričanja, političnega ali drugega mnenja, invalidnosti ali spolne usmerjenosti (člen 21), pravice otroka (člen 24), pravica do visoke ravni varovanja zdravja ljudi (člen 35), pravica dostopa do dokumentov (člen 42), pravica do učinkovitega pravnega sredstva in nepristranskega sodišča (člen 47). 3.4. Podrobna obrazložitev predloga 3.4.1. POGLAVJE I – SPLOŠNE DOLOČBE Člen 1 določa vsebino Uredbe in, kakor v členu 1 Direktive 95/46/ES, dva cilja Uredbe. Člen 2 določa stvarno področje uporabe Uredbe. Člen 3 določa ozemeljsko področje uporabe Uredbe. Člen 4 vsebuje opredelitve pojmov, ki se uporabljajo v tej uredbi. Medtem ko so nekatere opredelitve prevzete iz Direktive 95/46/ES, so druge spremenjene, dopolnjene z dodatnimi elementi ali pa so na novo uvedene („kršitev varnosti osebnih podatkov“ temelji na členu 2(h) Direktive o e-zasebnosti 2002/58/ES,[29] kakor je bila spremenjena z Direktivo 2009/136/ES[30], „genetski podatki“, „biometrični podatki“, „podatki o zdravstvenem stanju“, „glavni sedež“, „predstavnik“, „podjetje“, „povezane družbe“, „zavezujoča poslovna pravila“ in „otrok“, ki temelji na Konvenciji Združenih narodov o otrokovih pravicah[31], ter „nadzorni organ“). Pri opredelitvi pojma privolitev je dodano merilo „izrecna“, da bi se izognili nejasni vzporednosti z „nedvoumno“ privolitvijo in da bi imeli eno samo in dosledno opredelitev pojma privolitev, s čimer je zagotovljeno zavedanje posameznika, na katerega se nanašajo osebni podatki, da daje privolitev in čemu jo daje. 3.4.2. POGLAVJE II – NAČELA Člen 5 določa načela v zvezi z obdelavo osebnih podatkov, ki ustrezajo načelom iz člena 6 Direktive 95/46/ES. Dodatni novi elementi so zlasti načelo preglednosti, pojasnilo načela zmanjšanja količine podatkov ter uvedba celovite pristojnosti in odgovornosti upravljavca. Člen 6, ki temelji na členu 7 Direktive 95/46/ES, določa merila zakonite obdelave, ki so nadalje opredeljena glede ravnovesja med merilom interesa ter skladnostjo s pravnimi obveznostmi in javnim interesom. Člen 7 pojasnjuje pogoje, pod katerimi je privolitev veljavna kot pravna podlaga za zakonito obdelavo. Člen 8 določa nadaljnje pogoje za zakonitost obdelave osebnih podatkov otrok v zvezi s storitvami informacijske družbe, ki se neposredno zagotavljajo otrokom. Člen 9 določa splošno prepoved obdelave posebnih vrst osebnih podatkov in izjeme od tega splošnega pravila, pri čemer se opira na člen 8 Direktive 95/46/ES. Člen 10 pojasnjuje, da upravljavec ni zavezan k pridobivanju dodatnih informacij, da bi določil posameznika, na katerega se nanašajo osebni podatki, samo zaradi skladnosti s katero koli določbo te uredbe. 3.4.3. POGLAVJE III – PRAVICE POSAMEZNIKA, NA KATEREGA SE NANAŠAJO OSEBNI PODATKI 3.4.3.1. Oddelek 1 – Preglednost in načini Člen 11 uvaja obveznost za upravljavce, da zagotovijo pregledne in enostavno dostopne ter razumljive informacije, ki temelji zlasti na Madridski resoluciji o mednarodnih standardih varstva osebnih podatkov in zasebnosti[32]. Člen 12 upravljavca zavezuje, da zagotovi postopke in mehanizme za uveljavljanje pravic posameznikov, na katere se nanašajo osebni podatki, vključno s sredstvi za elektronske zahteve, za katere je potreben odgovor na zahtevo posameznika v določenem roku, in razlogi za zavrnitev. Člen 13, ki temelji na členu 12(c) Direktive 95/46/ES, določa pravice glede prejemnikov, ki so razširjene na vse prejemnike, vključno s skupnimi upravljavci in obdelovalci. 3.4.3.2. Oddelek 2 – Informacije in dostop do podatkov Člen 14 podrobneje določa obveznost upravljavca glede informiranja posameznika, na katerega se nanašajo osebni podatki, pri čemer se opira na člena 10 in 11 Direktive 95/46/ES, in sicer zagotavljanje dodatnih informacij posamezniku, vključno z obdobjem shranjevanja, pravico do vložitve pritožbe, informacijami glede mednarodnih prenosov in vira, od koder izhajajo podatki. Ohranja tudi morebitna odstopanja iz Direktive 95/46/ES, npr. te obveznosti ni, če je zbiranje oziroma posredovanje izrecno določeno z zakonom. To bi lahko veljalo na primer v postopkih organov za varstvo konkurence, davčnih ali carinskih uprav ali služb, pristojnih za zadeve na področju socialne varnosti. Člen 15 določa pravico posameznika, na katerega se nanašajo osebni podatki, do dostopa do svojih osebnih podatkov, pri čemer temelji na členu 12(a) Direktive 95/46/ES, dodaja pa tudi nove elemente, npr. glede obveščanja posameznika, na katerega se nanašajo osebni podatki, o obdobju shranjevanja ter o pravici do popravka, izbrisa in vložitve pritožbe. 3.4.3.3. Oddelek 3 – Popravek in izbris Člen 16 določa pravico posameznika, na katerega se nanašajo osebni podatki, do popravka, temelji pa na členu 12(b) Direktive 95/46/ES. Člen 17 določa pravico posameznika, na katerega se nanašajo osebni podatki, biti pozabljen in pravico do izbrisa. Nadalje razširja in določa pravico do izbrisa iz člena 12(b) Direktive 95/46/ES in določa pogoje za pravico biti pozabljen, vključno z obveznostjo upravljavca, ki je osebne podatke objavil, da tretje osebe obvesti o zahtevi posameznika, na katerega se nanašajo osebni podatki, da izbrišejo morebitne povezave do teh osebnih podatkov ali njihove kopije. Obsega tudi pravico do omejitve obdelave v določenih primerih, pri čemer se izogiba dvoumnemu pojmu „blokiranje“. Člen 18 uvaja pravico posameznika, na katerega se nanašajo osebni podatki, do prenosljivosti podatkov, tj. da podatke prenese iz enega elektronskega sistema za obdelavo v drugega, ne da bi mu upravljavec to preprečil. Kot predpogoj in za nadaljnje izboljšanje dostopa posameznikov do njihovih osebnih podatkov določa pravico, da posameznik od upravljavca te podatke pridobi v strukturirani elektronski obliki v splošni rabi. 3.4.3.4. Oddelek 4 – Pravica do ugovora in oblikovanje profilov Člen 19 določa pravice posameznika, na katerega se nanašajo osebni podatki, do ugovora. Temelji na členu 14 Direktive 95/46/ES, uvedene pa so bile nekatere spremembe, tudi glede dokaznega bremena in njegove uporabe za neposredno trženje. Člen 20 se nanaša na pravico posameznika, na katerega se nanašajo osebni podatki, da ni predmet ukrepa na podlagi oblikovanja profilov. Opira se na člen 15(1) Direktive 95/46/ES o avtomatiziranih posamičnih odločitvah, v katerega so bile dodane spremembe in dodatni zaščitni ukrepi, upošteva pa tudi priporočilo Sveta Evrope o oblikovanju profilov[33]. 3.4.3.5. Oddelek 5 – Omejitve Člen 21 pojasnjuje pooblastilo Unije ali držav članic glede ohranjanja ali uvedbe omejitev načel iz člena 5 in pravic posameznika, na katerega se nanašajo osebni podatki, iz členov 11 do 20 in člena 32. Ta določba temelji na členu 13 Direktive 95/46/ES ter zahtevah iz Listine o temeljnih pravicah in Evropske konvencije o varstvu človekovih pravic in temeljnih svoboščin, kakor jih razlagata Sodišče EU in Evropsko sodišče za človekove pravice. 3.4.4. POGLAVJE IV – UPRAVLJAVEC IN OBDELOVALEC 3.4.4.1. Oddelek 1 – Splošne obveznosti Člen 22 upošteva razpravo o „načelu odgovornosti“ in podrobno opisuje obveznost odgovornosti upravljavca, da deluje v skladu s to uredbo in to skladnost tudi dokaže, vključno s sprejetjem notranjih politik in mehanizmov za zagotavljanje take skladnosti. Člen 23 določa obveznosti upravljavca, ki izhajajo iz načel vgrajenega varstva podatkov. Člen 24 o skupnih upravljavcih pojasnjuje odgovornosti skupnih upravljavcev glede njihove notranje povezave in nasproti posamezniku, na katerega se nanašajo osebni podatki. Člen 25 upravljavce, ki nimajo sedeža v Uniji, v primerih, v katerih se Uredba nanaša na njihove dejavnosti obdelave, pod določenimi pogoji obvezuje, da v Uniji določijo predstavnika. Člen 26 pojasnjuje položaj in obveznost obdelovalcev, deloma pa temelji na členu 17(2) Direktive 95/46/ES ter dodaja nove elemente, vključno s tem, da se obdelovalec, ki podatke obdeluje na način, ki presega navodila upravljavca, šteje za skupnega upravljavca. Člen 27 o obdelavi pod vodstvom upravljavca in obdelovalca temelji na členu 16 Direktive 95/46/ES. Člen 28 uvaja obveznost upravljavcev in obdelovalcev, da ohranijo dokumentacijo postopkov obdelave pod njihovo odgovornostjo, namesto splošnega uradnega obveščanja nadzornega organa, ki ga zahtevata člen 18(1) in člen 19 Direktive 95/46/ES. Člen 29 pojasnjuje obveznosti upravljavca in obdelovalca v zvezi s sodelovanjem z nadzornim organom. 3.4.4.2. Oddelek 2 – Varnost podatkov Člen 30 obvezuje upravljavca in obdelovalca k izvajanju ustreznih ukrepov za varnost obdelave, kar temelji na členu 17(1) Direktive 95/46/ES, to obveznost pa razširja na obdelovalce, ne glede na pogodbo z upravljavcem. Člena 31 in 32 uvajata dolžnost obveščanja o kršitvi varnosti osebnih podatkov, temeljita pa na obveščanju o kršitvi varnosti osebnih podatkov iz člena 4(3) Direktive o e-zasebnosti 2002/58/ES. 3.4.4.3. Oddelek 3 – Ocena učinka o varstvu podatkov in predhodna odobritev Člen 33 uvaja obveznost upravljavcev in obdelovalcev glede izvedbe ocene učinka o varstvu podatkov pred tveganimi postopki obdelave. Člen 34 se nanaša na primere, v katerih sta pred obdelavo obvezna odobritev s strani nadzornega organa in posvetovanje z njim, kar temelji na predhodnem preverjanju iz člena 20 Direktive 95/46/ES. 3.4.4.4. Oddelek 4 – Uradna oseba za varstvo podatkov Člen 35 uvaja obveznost imenovanja uradne osebe za varstvo podatkov za javni sektor, v zasebnem sektorju pa za velika podjetja ali za primere, v katerih temeljne dejavnosti upravljavca ali obdelovalca obsegajo postopke obdelave, ki jih je treba redno in sistematično spremljati. To temelji na členu 18(2) Direktive 95/46/ES, ki državam članicam daje možnost, da tako zahtevo uvedejo namesto splošne zahteve po uradnem obveščanju. Člen 36 določa položaj uradne osebe za varstvo podatkov. Člen 37 določa temeljne naloge uradne osebe za varstvo podatkov. 3.4.4.5. Oddelek 5 – Pravila ravnanja in potrjevanje Člen 38, ki temelji na členu 27(1) Direktive 95/46/ES, se nanaša na pravila ravnanja, pojasnjuje vsebino pravil ravnanja in postopke ter določa pooblastitev Komisije za odločanje o splošni veljavnosti pravil ravnanja. Člen 39 uvaja možnost vzpostavitve mehanizmov potrjevanja ter pečatov in označb za varstvo podatkov. 3.4.5. POGLAVJE V – PRENOS OSEBNIH PODATKOV V TRETJE DRŽAVE ALI MEDNARODNE ORGANIZACIJE Člen 40 kot splošno načelo določa, da je izpolnjevanje pogojev iz tega poglavja obvezno za vse prenose osebnih podatkov v tretje države ali mednarodne organizacije, vključno z nadaljnjimi prenosi. Člen 41 določa merila, pogoje in postopke za sprejetje sklepa Komisije o ustreznosti, kar temelji na členu 25 Direktive 95/46/ES. Merila, ki se upoštevajo pri oceni Komisije glede ustrezne ali neustrezne ravni varstva, izrecno vključujejo pravno državo, sodno varstvo in neodvisni nadzor. Ta člen zdaj zagotavlja možnost Komisije, da oceni raven varstva, ki jo v tretji državi zagotavlja ozemeljska enota ali sektor za obdelavo. Člen 42 glede prenosov v tretje države, pri katerih Komisija ni sprejela sklepa o ustreznosti, zahteva navedbo ustreznih zaščitnih ukrepov, zlasti standardnih določil o varstvu podatkov, zavezujočih poslovnih pravil in pogodbenih določil. Možnost uporabe standardnih določil Komisije o varstvu podatkov temelji na členu 26(4) Direktive 95/46/ES. Na novo je uvedena možnost, da taka standardna določila o varstvu podatkov sprejme nadzorni organ, Komisija pa jih nato razglasi za splošno veljavna. Zavezujoča poslovna pravila so zdaj v pravnem besedilu posebej navedena. Možnost uporabe pogodbenih določil upravljavcu ali obdelovalcu daje določeno prožnost, vendar jo morajo nadzorni organi prej odobriti. Člen 43 podrobno opisuje pogoje za prenose na podlagi zavezujočih poslovnih pravil, ki temeljijo na veljavnih praksah in zahtevah nadzornih organov. Člen 44 določa in pojasnjuje odstopanja od zahtev za prenos podatkov, temelji pa na veljavnih določbah člena 26 Direktive 95/46/ES. To velja zlasti za prenose podatkov, ki so zahtevani in potrebni za varstvo pomembnega javnega interesa, kot v primerih mednarodnih prenosov podatkov med organi za varstvo konkurence, davčnimi ali carinskimi upravami ali pa med službami, pristojnimi za zadeve na področju socialne varnosti ali upravljanje ribištva. Poleg tega je lahko prenos podatkov pod določenimi okoliščinami upravičen na podlagi pravnega interesa upravljavca ali obdelovalca, vendar šele po oceni in dokumentiranju okoliščin tega prenosa. Člen 45 izrecno določa uvedbo mehanizmov mednarodnega sodelovanja za varstvo osebnih podatkov med Komisijo in nadzornimi organi tretjih držav, zlasti tistih mehanizmov, za katere se šteje, da zagotavljajo ustrezno raven varstva, pri čemer se upošteva Priporočilo Organizacije za gospodarsko sodelovanje in razvoj (OECD) o čezmejnem sodelovanju pri izvajanju predpisov o varstvu zasebnosti z dne 12. junija 2007. 3.4.6. POGLAVJE VI – NEODVISNI NADZORNI ORGANI 3.4.6.1. Oddelek 1– Status neodvisnosti Člen 46 na podlagi člena 28(1) Direktive 95/46/ES države članice zavezuje, da ustanovijo nadzorne organe, nalogo nadzornih organov pa razširja na sodelovanje med njimi in s Komisijo. Člen 47 pojasnjuje pogoje za neodvisnost nadzornih organov, ki izvajajo sodno prakso Sodišča Evropske unije[34], zgleduje pa se tudi po členu 44 Uredbe (ES) št. 45/2001[35]. Člen 48 določa splošne pogoje za člane nadzornega organa, ki izvajajo ustrezno sodno prakso[36], zgleduje pa se tudi po členu 42(2) do (6) Uredbe (ES) št. 45/2001. Člen 49 določa, da morajo države članice z zakonom določiti pravila o ustanovitvi nadzornega organa. Člen 50 o poklicni molčečnosti članov in uslužbencev nadzornega organa temelji na členu 28(7) Direktive 95/46/ES. 3.4.6.2. Oddelek 2 – Naloge in pooblastila Člen 51 določa pristojnost nadzornih organov. Splošno pravilo na podlagi člena 28(6) Direktive 95/46/ES (pristojnost na ozemlju lastne države članice) je dopolnjeno z novo pristojnostjo nadzornega organa kot vodilnega organa, da v primeru, ko ima upravljavec ali obdelovalec sedež v več državah članicah, zagotovi enotnost uporabe („vse na enem mestu“). Sodišča so, kadar delujejo kot sodni organ, izvzeta iz spremljanja s strani nadzornega organa, vendar morajo uporabljati materialne določbe varstva podatkov. Člen 52 določa naloge nadzornega organa, vključno z obravnavanjem in preiskovanjem pritožb ter spodbujanjem ozaveščenosti javnosti o tveganju, pravilih, zaščitnih ukrepih in pravicah. Člen 53 določa pooblastila nadzornega organa, pri čemer deloma temelji na členu 28(3) Direktive 95/46/ES in členu 47 Uredbe (ES) št. 45/2001, dodaja pa tudi nekaj novih elementov, vključno s pooblastilom za kaznovanje upravnih kršitev. Člen 54, ki temelji na členu 28(5) Direktive 95/46/ES, od nadzornih organov zahteva, da pripravijo letna poročila o dejavnostih. 3.4.7. POGLAVJE VII – SODELOVANJE IN SKLADNOST 3.4.7.1. Oddelek 1 – Sodelovanje Člen 55 uvaja pravila o obvezni medsebojni pomoči, vključno s posledicami neizpolnjevanja zahteve drugega nadzornika, pri čemer temelji na drugem pododstavku člena 28(6) Direktive 95/46/ES. Člen 56 uvaja pravila o skupnem ukrepanju, pri čemer se zgleduje po členu 17 Sklepa Sveta 2008/615/PNZ[37], vključno s pravico nadzornih organov, da sodelujejo pri takem ukrepanju. 3.4.7.2. Oddelek 2 – Skladnost Člen 57 uvaja mehanizem za skladnost, ki zagotavlja enotnost uporabe glede obdelav, ki so lahko povezane s posamezniki, na katere se nanašajo osebni podatki, v več državah članicah. Člen 58 določa postopke in pogoje za mnenje Evropskega odbora za varstvo podatkov. Člen 59 se nanaša na mnenja Komisije o zadevah, ki se obravnavajo v okviru mehanizma za skladnost, s katerimi lahko Komisija bodisi potrdi mnenje Evropskega odbora za varstvo podatkov ali izrazi nestrinjanje s tem mnenjem, in na osnutek ukrepa nadzornega organa. Kadar na zadevo opozori Evropski odbor za varstvo podatkov na podlagi člena 58(3), se lahko pričakuje, da bo Komisija izvajala svojo diskrecijsko pravico in po potrebi podala mnenje. Člen 60 se nanaša na sklepe Komisije, s katerimi od pristojnega organa zahteva, da osnutek ukrepa začasno prekliče, če je to potrebno zaradi zagotavljanja pravilne uporabe te uredbe. Člen 61 določa možnost sprejetja začasnih ukrepov z nujnim postopkom. Člen 62 določa zahteve za izvedbene akte Komisije v okviru mehanizma za skladnost. Člen 63 določa obveznost izvrševanja ukrepov nadzornega organa v vseh zadevnih državah članicah, določa pa tudi, da je uvedba mehanizma za skladnost predpogoj za pravno veljavnost in izvajanje zadevnega ukrepa. 3.4.7.3. Oddelek 3 – Evropski odbor za varstvo podatkov Člen 64 ustanavlja Evropski odbor za varstvo podatkov, ki ga sestavljajo vodje nadzornih organov vsake države članice in Evropski nadzornik za varstvo podatkov. Evropski odbor za varstvo podatkov nadomešča delovno skupino za varstvo posameznikov pri obdelavi osebnih podatkov iz člena 29 Direktive 95/46/ES. Pojasnjeno je, da Komisija ni članica Evropskega odbora za varstvo podatkov, vendar ima pravico do sodelovanja v dejavnostih in do zastopanosti. Člen 65 poudarja in pojasnjuje neodvisnost Evropskega odbora za varstvo podatkov. Člen 66, ki temelji na členu 30(1) Direktive 95/46/ES, opisuje naloge Evropskega odbora za varstvo podatkov in določa dodatne elemente, ki odražajo povečan obseg dejavnosti Evropskega odbora za varstvo podatkov, v Uniji in drugod. Da bi lahko Komisija v nujnih primerih ukrepala, ji zagotavlja možnost, da zaprosi za mnenje v določenem roku. Člen 67 od Evropskega odbora za varstvo podatkov zahteva, da letno poroča o svojih dejavnostih, pri čemer se opira na člen 30(6) Direktive 95/46/ES. Člen 68 določa postopke odločanja Evropskega odbora za varstvo podatkov, vključno z obveznostjo sprejetja poslovnika, ki mora obsegati tudi način delovanja. Člen 69 vsebuje določbe o predsedniku in namestnikih predsednika Evropskega odbora za varstvo podatkov. Člen 70 določa naloge predsednika. Člen 71 določa, da sekretariat Evropskega odbora za varstvo podatkov zagotovi Evropski nadzornik za varstvo podatkov, in navaja naloge sekretariata. Člen 72 določa pravila o zaupnosti. 3.4.8. POGLAVJE VIII – PRAVNA SREDSTVA, ODGOVORNOST IN SANKCIJE Člen 73 določa pravico vsakega posameznika, na katerega se nanašajo osebni podatki, da pri nadzornem organu vloži pritožbo, kar temelji na členu 28(4) Direktive 95/46/ES. Določa tudi organe, organizacije ali združenja, ki lahko vložijo pritožbo v imenu posameznika, na katerega se nanašajo osebni podatki, in tudi neodvisno od pritožbe posameznika, na katerega se nanašajo osebni podatki, v primeru kršitve varnosti osebnih podatkov. Člen 74 se nanaša na pravico do pravnega sredstva v sodnem postopku zoper nadzorni organ. Temelji na splošni določbi člena 28(3) Direktive 95/46/ES. Določa pravno sredstvo, na podlagi katerega je nadzorni organ zavezan k ukrepanju v zvezi s pritožbo, in pojasnjuje pristojnost sodišč držav članic, v katerih je nadzorni organ ustanovljen. Omogoča tudi možnost, da nadzorni organ države članice, v kateri je stalno prebivališče posameznika, na katerega se nanašajo osebni podatki, v imenu posameznika, na katerega se nanašajo osebni podatki, začne postopek pred sodiščem druge države članice, v kateri je sedež pristojnega nadzornega organa. Člen 75 se nanaša na pravico do pravnega sredstva v sodnem postopku zoper upravljavca ali obdelovalca, pri čemer temelji na členu 22 Direktive 95/46/ES, in zagotavlja možnost sprožitve postopka pred sodiščem države članice, v kateri ima obtoženec sedež ali v kateri prebiva posameznik, na katerega se nanašajo osebni podatki. Če se postopki glede iste zadeve obravnavajo v mehanizmu za skladnost, lahko sodišče, razen v nujnem primeru, svoje postopke ustavi. Člen 76 določa splošna pravila za sodne postopke, vključno s pravicami organov, organizacij ali združenj, da posameznike, na katere se nanašajo osebni podatki, zastopajo pred sodišči, pravico nadzornih organov, da sodelujejo v pravnem postopku, informacijami sodišč o vzporednih postopkih v drugi državi članici in možnostjo sodišč, da v takem primeru postopke ustavijo[38]. Države članice morajo zagotoviti hitro ukrepanje sodišča[39]. Člen 77 določa pravico do odškodnine in odgovornost. Temelji na členu 23 Direktive 95/46/ES, pri čemer razširja to pravico v primeru škode, ki jo povzročijo obdelovalci, ter pojasnjuje odgovornost skupnih upravljavcev in skupnih obdelovalcev. Člen 78 države članice zavezuje, da določijo kazenske sankcije, sankcionirajo kršitve Uredbe in zagotovijo izvajanje določb Uredbe. Člen 79 zavezuje vsak nadzorni organ, da kaznuje upravne kršitve, navedene v katalogih iz te določbe, in pri tem ob upoštevanju okoliščin vsakega posameznega primera določi kazni do najvišjega zneska. 3.4.9. POGLAVJE IX – DOLOČBE O POSEBNIH PRIMERIH OBDELAVE PODATKOV Člen 80 države članice zavezuje, da sprejmejo izjeme in odstopanja od posebnih določb Uredbe, če je to potrebno zaradi uskladitve pravice do varstva osebnih podatkov s pravico do svobode izražanja. Temelji na členu 9 Direktive 95/46/ES, kot ga razlaga Sodišče EU[40]. Člen 81 države članice zavezuje, poleg pogojev za posebne vrste podatkov, da zagotovijo posebne zaščitne ukrepe za obdelavo v zdravstvene namene. Člen 82 določa pooblastilo držav članic, da sprejmejo posebne zakone za obdelavo osebnih podatkov v okviru zaposlitve. Člen 83 določa posebne pogoje za obdelavo osebnih podatkov v zgodovinske, statistične in znanstvenoraziskovalne namene. Člen 84 države članice pooblašča, da sprejmejo posebne predpise o dostopu nadzornih organov do osebnih podatkov in prostorov v primerih, v katerih za upravljavce velja obveznost molčečnosti. Člen 85 ob upoštevanju člena 17 Pogodbe o delovanju Evropske unije omogoča nadaljnjo uporabo veljavnih celovitih pravil cerkva o varstvu podatkov, če se uskladijo s to uredbo. 3.4.10. POGLAVJE X – DELEGIRANI IN IZVEDBENI AKTI Člen 86 vsebuje standardne določbe o prenosu pooblastil v skladu s členom 290 PDEU. Zakonodajnemu organu to omogoča, da na Komisijo prenese pooblastilo za sprejemanje nezakonodajnih aktov, ki se splošno uporabljajo in dopolnjujejo ali spreminjajo nekatere nebistvene elemente zakonodajnega akta (kvazi zakonodajni akti). Člen 87 vsebuje določbo o postopku v odboru, ki je potreben za prenos izvedbenih pooblastil na Komisijo, kadar so v skladu s členom 291 PDEU potrebni enotni pogoji za izvajanje pravno zavezujočih aktov Unije. Uporablja se postopek pregleda. 3.4.11. POGLAVJE XI – KONČNE DOLOČBE Člen 88 razveljavlja Direktivo 95/46/ES. Člen 89 pojasnjuje povezavo z Direktivo o e-zasebnosti 2002/58/ES in navedeno direktivo spreminja. Člen 90 določa obveznost Komisije, da oceni izvajanje Uredbe in o tem poroča. Člen 91 določa dan začetka veljavnosti Uredbe in prehodno obdobje glede dneva začetka uporabe. 4. PRORAČUNSKE POSLEDICE Posebne proračunske posledice predloga so povezane z nalogami Evropskega nadzornika za varstvo podatkov, kot so opredeljene v oceni finančnih posledic zakonodajnega predloga, ki je priložena temu predlogu. Te posledice zahtevajo spremembo razdelka 5 finančne perspektive. Predlog nima posledic za odhodke iz poslovanja. Ocena finančnih posledic zakonodajnega predloga, ki je priložena temu predlogu uredbe, obsega proračunske posledice te uredbe in direktive o varstvu podatkov na področjih policije in kazenskega pravosodja. 2012/0011 (COD) Predlog UREDBA EVROPSKEGA PARLAMENTA IN SVETA o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov (Splošna uredba o varstvu podatkov) (Besedilo velja za EGP) EVROPSKI PARLAMENT IN SVET EVROPSKE UNIJE STA – ob upoštevanju Pogodbe o delovanju Evropske unije, zlasti členov 16(2) in 114(1) Pogodbe, ob upoštevanju predloga Evropske komisije, po posredovanju osnutka zakonodajnega akta nacionalnim parlamentom, ob upoštevanju mnenja Evropskega ekonomsko-socialnega odbora[41], po posvetovanju z Evropskim nadzornikom za varstvo podatkov[42], v skladu z rednim zakonodajnim postopkom, ob upoštevanju naslednjega: (1) Varstvo fizičnih oseb pri obdelavi osebnih podatkov je temeljna pravica. Člen 8(1) Listine Evropske unije o temeljnih pravicah in člen 16(1) Pogodbe določata, da ima vsakdo pravico do varstva osebnih podatkov, ki se nanašajo nanj. (2) Obdelava osebnih podatkov je namenjena temu, da služi človeku; načela in predpisi o varstvu posameznikov pri obdelavi njihovih osebnih podatkov morajo ne glede na državljanstvo ali prebivališče fizičnih oseb spoštovati njihove temeljne pravice in svoboščine, predvsem pravico do varstva osebnih podatkov. Prispevati mora k oblikovanju območja svobode, varnosti in pravice ter gospodarske unije, h gospodarskemu in družbenemu napredku, krepitvi in uskladitvi gospodarstev na notranjem trgu ter blaginji posameznikov. (3) Direktiva Evropskega parlamenta in Sveta 95/46/ES z dne 24. oktobra 1995 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov[43] je namenjena uskladitvi varstva temeljnih pravic in svoboščin fizičnih oseb pri dejavnostih obdelave in zagotavljanju prostega pretoka osebnih podatkov med državami članicami. (4) Gospodarsko in socialno povezovanje, ki izhaja iz delovanja notranjega trga, je prineslo občutno povečanje čezmejnih prenosov. Izmenjava podatkov med gospodarskimi in družbenimi, javnimi in zasebnimi akterji v Uniji se je povečala. Nacionalni organi držav članic so na podlagi prava Unije pozvani k sodelovanju in izmenjavi osebnih podatkov, da bi lahko opravljali svoje dolžnosti ali izvajali naloge v imenu organa v drugi državi članici. (5) Hiter tehnološki razvoj in globalizacija sta prinesla nove izzive za varstvo osebnih podatkov. Obseg izmenjave in zbiranja podatkov se je bistveno povečal. Tehnologija zasebnim podjetjem in javnim organom omogoča, da osebne podatke uporabljajo za izvajanje svojih dejavnosti v obsegu, kakršnega še ni bilo. Posamezniki vedno bolj dajejo osebne podatke na razpolago tako javno kot globalno. Tehnologija je spremenila gospodarstvo in družbeno življenje ter zahteva nadaljnje lajšanje prostega pretoka podatkov v Uniji ter prenosa v tretje države in mednarodne organizacije, pri čemer je treba zagotoviti visoko raven varstva osebnih podatkov. (6) Zato je treba oblikovati trden in skladnejši okvir za varstvo podatkov v Uniji, podprt z doslednim izvajanjem; bistvenega pomena je, da se oblikuje zaupanje, ki bo digitalnemu gospodarstvu omogočilo razvoj na notranjem trgu. Posamezniki morajo imeti nadzor nad lastnimi osebnimi podatki, pravna in praktična varnost posameznikov, gospodarskih subjektov in javnih organov pa morata biti okrepljeni. (7) Cilji in načela Direktive 95/46/ES še vedno veljajo, vendar to ni preprečilo razdrobljenosti na področju izvajanja varstva osebnih podatkov v Uniji, pravne negotovosti in razširjenega javnega mnenja, da so precejšnje nevarnosti za varstvo posameznikov povezane zlasti s spletno dejavnostjo. Različne ravni varstva pravic in svoboščin posameznikov, zlasti pravice do varstva osebnih podatkov pri obdelavi osebnih podatkov v državah članicah, lahko preprečijo prosti pretok osebnih podatkov v Uniji. Te razlike lahko predstavljajo oviro pri izvajanju gospodarskih dejavnosti na ravni Unije, izkrivljajo konkurenco in ovirajo organe pri izpolnjevanju njihovih obveznosti na podlagi prava Unije. Te različne ravni varstva izhajajo iz različnega izvajanja in uporabe Direktive 95/46/ES. (8) Za zagotovitev dosledne in visoke ravni varstva posameznikov in odstranitev ovir za prenos osebnih podatkov bi morala biti raven varstva pravic in svoboščin posameznikov pri obdelavi osebnih podatkov enaka v vseh državah članicah. V vsej Uniji bi bilo treba zagotoviti dosledno in enotno uporabo pravil za varstvo temeljnih pravic in svoboščin fizičnih oseb pri obdelavi osebnih podatkov. (9) Za učinkovito varstvo osebnih podatkov v Uniji je treba okrepiti in podrobneje opredeliti pravice posameznikov, na katere se nanašajo osebni podatki, ter obveznosti tistih, ki obdelujejo osebne podatke in določajo postopke obdelave, pa tudi enakovredna pooblastila za spremljanje in zagotavljanje skladnosti s pravili varstva osebnih podatkov ter enake sankcije za kršitelje v državah članicah. (10) Člen 16(2) Pogodbe Evropski parlament in Svet pooblašča, da določita pravila o varstvu posameznikov pri obdelavi osebnih podatkov in pravila o prostem pretoku osebnih podatkov. (11) Za zagotovitev skladne ravni varstva posameznikov v vsej Uniji in preprečitev, da bi razlike ovirale prosti pretok podatkov na notranjem trgu, je potrebna uredba, ki bo gospodarskim subjektom, vključno z mikro-, malimi in srednje velikimi podjetji, zagotovila pravno varnost in preglednost, posameznikom v vseh državah članicah zagotovila enako raven pravno izvršljivih pravic, določila enake obveznosti in odgovornosti upravljavcev in obdelovalcev ter zagotovila dosledno spremljanje obdelave osebnih podatkov, enakovredne sankcije v vseh državah članicah in učinkovito sodelovanje nadzornih organov različnih držav članic. Za upoštevanje posebnega položaja mikro-, malih in srednje velikih podjetij ta uredba vsebuje številna odstopanja. Poleg tega se institucije in organi Unije, države članice in njihovi nadzorni organi spodbujajo, da posebne potrebe mikro-, malih in srednje velikih podjetij upoštevajo pri uporabi te uredbe. Pojem mikro-, malih in srednje velikih podjetij bi moral temeljiti na Priporočilu Komisije 2003/361/ES z dne 6. maja 2003 o opredelitvi mikro-, malih in srednje velikih podjetij. (12) Varstva, zagotovljenega s to uredbo, bi morale biti v zvezi z obdelavo osebnih podatkov deležne fizične osebe, ne glede na njihovo državljanstvo ali stalno prebivališče. Pravne osebe in zlasti podjetja, ustanovljena kot pravne osebe, katerih podatki, vključno z imenom in obliko ter kontaktnimi podatki pravne osebe, se obdelujejo, ne bi smele zahtevati varstva iz te uredbe. To bi moralo veljati tudi, kadar ime pravne osebe vsebuje ime ene ali več fizičnih oseb. (13) Varstvo posameznikov bi moralo biti tehnološko nevtralno in neodvisno od uporabljenih metod, sicer bi to ustvarilo resno tveganje izogibanja izpolnjevanju obveznosti. Varstvo posameznikov bi moralo veljati za obdelavo osebnih podatkov s samodejnimi sredstvi in za ročno obdelavo, če podatki sestavljajo del zbirke ali so namenjeni oblikovanju dela zbirke. Zapisi ali nizi zapisov in njihove naslovnice, ki niso strukturirani v skladu s posebnimi merili, ne bi smeli spadati na področje uporabe te uredbe. (14) Ta uredba ne obravnava vprašanj varstva temeljnih pravic in svoboščin ali prostega pretoka podatkov, povezanih z dejavnostmi, ki ne sodijo na področje uporabe prava Unije, prav tako pa ne zajema obdelave osebnih podatkov s strani institucij, organov, uradov in agencij Unije, za katere se uporablja Uredba (ES) št. 45/2001[44], ali obdelave osebnih podatkov s strani držav članic pri izvajanju dejavnosti v zvezi s skupno zunanjo in varnostno politiko Unije. (15) Ta uredba se ne bi smela uporabljati za obdelavo osebnih podatkov s strani fizične osebe, ki so izključno osebni ali domači, kot sta korespondenca in seznam naslovov, in brez pridobitnega interesa ter s tem brez kakršne koli povezave s poklicno ali komercialno dejavnostjo. Ta izjema se prav tako ne bi smela uporabljati za upravljavce ali obdelovalce, ki zagotavljajo sredstva za obdelavo osebnih podatkov za take osebne ali domače dejavnosti. (16) Za varstvo posameznikov pri obdelavi osebnih podatkov s strani pristojnih organov za namene preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj ali izvrševanja kazenskih sankcij in prosti pretok takih podatkov se uporablja posebni pravni akt na ravni Unije. Zato se ta uredba ne bi smela uporabljati za dejavnosti obdelave v te namene. Vendar mora obdelavo osebnih podatkov s strani javnih organov na podlagi te uredbe, kadar se uporablja za namene preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj ali izvrševanja kazenskih sankcij, urejati bolj poseben pravni akt na ravni Unije (Direktiva XX/YYY). (17) Ta uredba ne bi smela posegati v uporabo Direktive 2000/31/ES, zlasti predpisov o odgovornosti posrednih ponudnikov storitev iz členov 12 do 15 navedene direktive. (18) Ta uredba omogoča upoštevanje načela dostopa javnosti do uradnih dokumentov pri uporabi določb iz te uredbe. (19) Vsaka obdelava osebnih podatkov v okviru dejavnosti ustanovitve upravljavca ali obdelovalca v Uniji bi morala biti izvedena v skladu s to uredbo, ne glede na to, ali sama obdelava poteka v Uniji ali ne. Ustanovitev pomeni učinkovito in dejansko izvajanje dejavnosti prek ustaljenih režimov. Pravna oblika take ustanovitve, ki je bodisi izpostava ali podružnica, ki je pravna oseba, v tem pogledu ni odločujoči dejavnik. (20) Za zagotovitev, da posamezniki niso prikrajšani za varstvo, do katerega so upravičeni na podlagi te uredbe, bi morala biti obdelava osebnih podatkov posameznikov, na katere se nanašajo osebni podatki in ki stalno prebivajo v Uniji, s strani upravljavca, ki nima sedeža v Uniji, predmet te uredbe, kadar so postopki obdelave povezani z nudenjem blaga ali storitev takim posameznikom, na katere se nanašajo osebni podatki, ali spremljanjem vedenja takih posameznikov. (21) Za ugotovitev, ali se za dejavnost obdelave lahko šteje, da „spremlja vedenje“ posameznikov, na katere se nanašajo osebni podatki, bi bilo treba preveriti, ali se posameznikom sledi na internetu s tehnikami obdelave podatkov, ki obsegajo določanje „profila“ posameznika, zlasti z namenom sprejemanja odločitev o zadevni osebi oziroma za analiziranje ali predvidevanje osebnega okusa in vedenja zadevne osebe. (22) Kadar se zakonodaja države članice uporablja na podlagi mednarodnega javnega prava, bi morala ta uredba veljati tudi za upravljavca, ki nima sedeža v Uniji, na primer v diplomatskem ali konzularnem predstavništvu države članice. (23) Načela varstva bi se morala uporabljati za katere koli informacije v zvezi z določeno ali določljivo osebo. Za odločitev, ali je oseba določljiva, je treba upoštevati vsa sredstva, za katera se pričakuje, da jih bo za določitev posameznika uporabil bodisi upravljavec bodisi katera koli druga oseba. Načela varstva podatkov se ne bi smela uporabljati za podatke, ki so anonimizirani na tak način, da posameznik, na katerega se nanašajo osebni podatki, ni več določljiv. (24) Pri uporabi spletnih storitev so lahko posamezniki povezani s spletnimi identifikatorji, ki jih zagotovijo njihove naprave, aplikacije, orodja in protokoli, kot so naslovi internetnega protokola ali identifikatorji piškotkov. To lahko pusti sledi, ki se lahko skupaj z edinstvenimi identifikatorji in drugimi informacijami, ki jih prejmejo strežniki, uporabijo za oblikovanje profilov posameznikov in njihovo identifikacijo. Iz tega sledi, da identifikacijskih številk, podatkov o lokaciji, spletnih identifikatorjev ali drugih posebnih dejavnikov ni treba vedno šteti za osebne podatke v vseh okoliščinah. (25) Privolitev bi morala biti dana izrecno s katero koli ustrezno metodo, ki omogoča prostovoljno dano posebno in informirano izjavo volje posameznika, na katerega se nanašajo osebni podatki, tj. z izjavo ali jasnim pritrdilnim dejanjem takega posameznika, kar zagotavlja, da posamezniki vedo, da dajejo privolitev za obdelavo osebnih podatkov, vključno s tem, da ob obisku spletne strani na internetu označijo okence, ali katero koli drugo izjavo ali ravnanjem, ki s tem v zvezi jasno kaže privolitev takega posameznika v predlagano obdelavo njegovih osebnih podatkov. Molk ali nedejavnost zato ne bi smela pomeniti privolitve. Privolitev bi morala zajemati vse dejavnosti obdelave, izvedene v isti namen ali namene. Če je privolitev posameznika, na katerega se nanašajo osebni podatki, dana na podlagi elektronske zahteve, mora biti zahteva jasna in natančna, prav tako pa ne sme biti po nepotrebnem moteča za uporabo storitve, za katero se zagotavlja. (26) Osebni podatki v zvezi z zdravjem bi morali obsegati zlasti vse podatke v zvezi z zdravstvenim stanjem posameznika, na katerega se nanašajo osebni podatki, informacije o registraciji posameznika za zagotavljanje zdravstvenih storitev, informacije o plačilih ali upravičenosti posameznika do zdravstvenega varstva, številko, znak ali posebno oznako, dodeljeno posamezniku za njegovo enolično identifikacijo v zdravstvene namene, vse informacije o posamezniku, zbrane med nudenjem zdravstvenih storitev posamezniku, informacije, pridobljene s testiranjem ali preiskavo dela telesa ali telesne snovi, vključno z biološkimi vzorci, istovetnost osebe, ki posamezniku nudi storitve zdravstvenega varstva, ali vse informacije, npr. o bolezni, invalidnosti, tveganju za nastanek bolezni, zdravstveni anamnezi, kliničnem zdravljenju ali o dejanskem fiziološkem ali biomedicinskem stanju posameznika, na katerega se nanašajo osebni podatki, ne glede na vir teh podatkov, kot je npr. zdravnik ali drug zdravstveni delavec, bolnišnica, medicinski pripomoček ali diagnostični preskus in vitro. (27) Glavni sedež upravljavca v Uniji bi moral biti določen v skladu z objektivnimi merili ter bi moral pomeniti učinkovito in dejansko izvajanje dejavnosti upravljanja, ki glavne odločitve glede namenov, pogojev in sredstev za obdelavo določajo prek ustaljenih režimov. To merilo ne bi smelo biti odvisno od tega, ali se obdelava osebnih podatkov v tem kraju dejansko izvaja; prisotnost in uporaba tehničnih sredstev in tehnologij za obdelavo osebnih podatkov ali dejavnosti obdelave sami po sebi ne pomenijo glavnega sedeža in zato niso odločujoče merilo za matično podjetje. Glavni sedež obdelovalca bi moral biti kraj njegove osrednje uprave v Uniji. (28) Povezana družba bi morala zajemati obvladujočo družbo in njene odvisne družbe, pri čemer mora biti obvladujoča družba družba, ki lahko izvršuje prevladujoč vpliv nad drugimi družbami z, na primer, lastništvom, finančnim deležem ali pravili, ki urejajo njeno delovanje, ali pooblastilom za izvajanje predpisov o varstvu osebnih podatkov. (29) Otroci potrebujejo posebno varstvo njihovih osebnih podatkov, saj se morda manj zavedajo nevarnosti in posledic ter slabše poznajo zaščitne ukrepe in pravice v zvezi z obdelavo osebnih podatkov. Za določitev, kdaj je posameznik otrok, bi morala ta uredba uporabiti opredelitev iz Konvencije ZN o otrokovih pravicah. (30) Vsaka obdelava osebnih podatkov bi morala biti zakonita, poštena in pregledna glede na zadevne posameznike. Zlasti posebni nameni, za katere se podatki obdelujejo, bi morali biti jasno določeni in zakoniti ter določeni v času zbiranja podatkov. Podatki bi morali biti primerni, ustrezni in omejeni na nujno potrebne za namene, za katere se obdelujejo; zato je treba zlasti zagotoviti, da zbrani podatki niso čezmerni in da je obdobje shranjevanja omejeno na najkrajše možno. Osebni podatki se lahko obdelujejo samo, če namena obdelave ni bilo mogoče doseči z drugimi sredstvi. Sprejeti bi se morali vsi smiselni ukrepi za popravek ali izbris netočnih osebnih podatkov. Za zagotovitev, da se podatki hranijo le toliko časa, kolikor je potrebno, bi moral upravljavec določiti roke za izbris ali občasno preverjanje. (31) Da bi bila obdelava zakonita, morajo biti osebni podatki obdelani na podlagi privolitve zadevne osebe ali na kakršni koli drugi pravni podlagi, določeni z zakonom, bodisi v tej uredbi ali drugi zakonodaji Unije ali zakonodaji držav članic, kot je navedeno v tej uredbi. (32) Kadar obdelava temelji na privolitvi posameznika, na katerega se nanašajo osebni podatki, bi moral upravljavec dokazati, da je posameznik, na katerega se nanašajo osebni podatki, privolil v postopek obdelave. Zlasti v okviru pisne izjave o drugi zadevi bi morali zaščitni ukrepi zagotoviti, da se posameznik, na katerega se nanašajo osebni podatki, zaveda, da daje privolitev in v kakšnem obsegu. (33) Za zagotovitev prostovoljne privolitve bi bilo treba pojasniti, da privolitev ne pomeni veljavne pravne podlage, če posameznik nima dejanske in prostovoljne izbire in zato privolitve ne more zavrniti ali preklicati brez škode. (34) Privolitev ne bi smela pomeniti veljavne pravne podlage za obdelavo osebnih podatkov, če obstaja očitno neravnovesje med posameznikom, na katerega se nanašajo osebni podatki, in upravljavcem. To velja zlasti, kadar je posameznik, na katerega se nanašajo osebni podatki, odvisen od upravljavca, med drugim, kadar osebne podatke zaposlenega v okviru zaposlitve obdeluje delodajalec. Kadar je upravljavec javni organ, bi neravnovesje obstajalo samo v primeru posebnih postopkov obdelave podatkov, ko lahko javni organ s svojimi zadevnimi javnimi pooblastili uvede obveznost in se ob upoštevanju interesa posameznika, na katerega se nanašajo osebni podatki, za privolitev ne more šteti, da je dana prostovoljno. (35) Obdelava bi morala biti zakonita, kadar je to potrebno na podlagi pogodbe ali predvidene sklenitve pogodbe. (36) Kadar se obdelava izvaja v skladu z zakonsko obveznostjo, ki velja za upravljavca, ali če je obdelava potrebna za izvajanje naloge v javnem interesu ali pri izvajanju javne oblasti, mora biti pravna podlaga za obdelavo zakonodaja Unije ali zakonodaja držav članic, ki izpolnjuje zahteve Listine Evropske unije o temeljnih pravicah glede omejevanja pravic in svoboščin. Prav tako je naloga zakonodaje Unije ali zakonodaje držav članic, da določi, ali naj bo upravljavec, ki nalogo izvaja v javnem interesu ali pri izvajanju javne oblasti, državna uprava ali druga fizična ali pravna oseba, ki jo ureja javno pravo, ali pa fizična ali pravna oseba, ki jo ureja zasebno pravo, kot na primer poklicno združenje. (37) Obdelava osebnih podatkov bi se morala prav tako šteti za zakonito, kadar je potrebna za zaščito interesa, ki je bistven za življenje posameznika, na katerega se nanašajo osebni podatki. (38) Pravni interesi upravljavca lahko pomenijo pravno podlago za obdelavo, če ne prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki. Glede tega bi bila skrbna ocena potrebna zlasti, če je tak posameznik otrok, saj otroci potrebujejo posebno varstvo. Posameznik, na katerega se nanašajo osebni podatki, bi moral imeti pravico, da brezplačno ugovarja obdelavi na podlagi razlogov, povezanih z njegovim posebnim položajem. Za zagotovitev preglednosti bi moral biti upravljavec zavezan, da posameznika, na katerega se nanašajo osebni podatki, izrecno obvesti o pravnih interesih, za katere si prizadeva, in o pravici do ugovora, prav tako pa bi moral te pravne interese dokumentirati. Glede na to, da mora zakonodajalec z zakonom določiti pravno podlago za obdelavo podatkov s strani javnih organov, ta pravna podlaga ne bi smela veljati za obdelavo s strani javnih organov pri izvajanju njihovih nalog. (39) Obdelava podatkov v obsegu, nujno potrebnem za zagotovitev varnosti omrežja in informacij, tj. zmožnosti omrežja ali informacijskega sistema, da na dani ravni zaupanja prepreči slučajne dogodke ali nezakonita ali zlonamerna dejanja, ki ogrožajo dostopnost, avtentičnost, celovitost in zaupnost shranjenih ali prenesenih podatkov ter varnost s tem povezanih storitev, ki jih ponujajo ali so dostopne preko teh omrežij in sistemov, s strani javnih organov, skupin za odzivanje na računalniške grožnje (CERT), skupin za odzivanje na računalniške varnostne incidente (CSIRT), ponudnikov elektronskih komunikacijskih omrežij in storitev ter ponudnikov varnostnih tehnologij in storitev pomeni pravni interes zadevnega upravljavca podatkov. To bi lahko vključevalo na primer preprečevanje nepooblaščenega dostopa do elektronskih komunikacijskih omrežij, širjenja zlonamernih kod, napadov, ki povzročajo zavrnitev storitve, ter škode na računalniških in elektronskih komunikacijskih sistemih. (40) Obdelava osebnih podatkov v druge namene bi morala biti dovoljena le, če je skladna s tistimi nameni, za katere so bili podatki prvotno zbrani, zlasti kadar je obdelava potrebna v zgodovinske, statistične ali znanstvenoraziskovalne namene. Če ta drugi namen ni skladen s prvotnim namenom, za katerega so podatki zbrani, bi moral upravljavec za ta drugi namen pridobiti privolitev posameznika, na katerega se nanašajo osebni podatki, ali pa bi moral obdelavo utemeljiti na drugi zakoniti podlagi za zakonito obdelavo, zlasti kadar to določa zakonodaja Unije ali zakonodaja držav članic, ki velja za upravljavca. V vsakem primeru bi morala biti zagotovljena uporaba načel iz te uredbe in zlasti obveščanje posameznika, na katerega se nanašajo osebni podatki, o teh drugih namenih. (41) Osebne podatke, ki so po svoji naravi še zlasti občutljivi in ranljivi glede temeljnih pravic ali zasebnosti, je treba še posebej varovati. Taki podatki se brez izrecne privolitve posameznika, na katerega se nanašajo osebni podatki, ne smejo obdelovati. Vendar morajo biti odstopanja od te prepovedi izrecno predvidena glede posebnih potreb, zlasti kadar se obdelava izvaja v okviru zakonitih dejavnosti nekaterih združenj ali ustanov, katerih namen je omogočati uveljavljanje temeljnih svoboščin. (42) Odstopanje od prepovedi obdelave občutljivih vrst podatkov bi moralo biti dovoljeno tudi, če to določa zakon, in ob upoštevanju ustreznih zaščitnih ukrepov, da se zaščitijo osebni podatki in druge temeljne pravice, kadar to upravičuje javni interes in zlasti v zdravstvene namene, vključno z javnim zdravjem in socialnim varstvom ter upravljanjem storitev zdravstvenega varstva, predvsem za zagotavljanje kakovosti in stroškovne učinkovitosti postopkov, ki se uporabljajo za reševanje zahtevkov za dajatve in storitve v sistemu zdravstvenega zavarovanja, ali v zgodovinske, statistične in znanstvenoraziskovalne namene. (43) Poleg tega se obdelava osebnih podatkov uradno priznanih verskih skupnosti s strani državnih organov za doseganje ciljev, ki so določeni v ustavnem pravu ali mednarodnem javnem pravu, izvaja zaradi javnega interesa. (44) Kadar med volilnimi dejavnostmi delovanje demokratičnega sistema v državi članici zahteva, da politične stranke zberejo podatke o političnem prepričanju ljudi, se lahko obdelava takih podatkov dovoli zaradi javnega interesa, če so vzpostavljeni ustrezni zaščitni ukrepi. (45) Če podatki, ki jih upravljavec obdeluje, upravljavcu ne omogočajo identifikacije fizične osebe, upravljavec podatkov ne bi smel biti zavezan k pridobivanju dodatnih informacij, da bi ugotovil istovetnost posameznika, na katerega se nanašajo osebni podatki, samo zaradi skladnosti s katero koli določbo te uredbe. V primeru zahteve po dostopu bi moral upravljavec imeti pravico, da od posameznika, na katerega se nanašajo osebni podatki, zahteva dodatne informacije, ki bodo upravljavcu podatkov omogočile, da najde osebne podatke, ki jih ta oseba išče. (46) Načelo preglednosti zahteva, da so vse informacije, ki se nanašajo na javnost ali posameznika, na katerega se nanašajo osebni podatki, lahko dostopne in razumljive ter izražene v jasnem in preprostem jeziku. To je še zlasti pomembno, kadar v primerih, kot je spletno oglaševanje, posameznik, na katerega se nanašajo osebni podatki, zaradi velikega števila akterjev in tehnološke zapletenosti težko ve in razume, ali se zbirajo osebni podatki, kdo jih zbira in v kakšen namen. Glede na to, da otroci potrebujejo posebno varstvo, bi morale biti vse informacije in vsa komunikacija, pri katerih se obdelava nanaša posebej na otroka, v tako jasnem in preprostem jeziku, da ga lahko otrok zlahka razume. (47) Zagotoviti bi bilo treba načine za olajšanje uveljavljanja pravic posameznika, na katerega se nanašajo osebni podatki, ki jih zagotavlja ta uredba, vključno z mehanizmi, s katerimi se brezplačno zahtevajo zlasti dostop do podatkov, popravek, izbris in uveljavljanje pravice do ugovora. Upravljavec bi moral biti zavezan, da na zahtevo posameznika, na katerega se nanašajo osebni podatki, odgovori v določenem roku in da v primeru neizpolnitve zahteve posameznika navede razloge za to. (48) Načeli poštene in pregledne obdelave zahtevata, da je treba posameznika, na katerega se nanašajo osebni podatki, obvestiti zlasti o obstoju postopka obdelave in njegovih namenih, o času trajanja shranjevanja podatkov, o obstoju pravice do dostopa, popravka ali izbrisa in o pravici do vložitve pritožbe. Kadar se podatki zberejo od posameznika, na katerega se nanašajo osebni podatki, ga je treba obvestiti tudi o tem, ali je dolžan predložiti podatke, in o posledicah, če takih podatkov ne predloži. (49) Posameznikom, na katere se nanašajo osebni podatki, bi bilo treba informacije v zvezi z obdelavo osebnih podatkov, ki se nanje nanašajo, posredovati ob zbiranju podatkov ali, kadar se podatki ne pridobijo od posameznika, v primernem roku in odvisno od okoliščin primera. Kadar se lahko podatki zakonito posredujejo drugemu prejemniku, bi moral biti posameznik, na katerega se nanašajo osebni podatki, obveščen, ko se podatki prvič posredujejo prejemniku. (50) Vendar pa izvajanje te obveznosti ni nujno, če ima posameznik, na katerega se nanašajo osebni podatki, te informacije že na voljo ali če je beleženje ali posredovanje izrecno določeno z zakonom ali če bi se zagotavljanje informacij posamezniku, na katerega se nanašajo osebni podatki, izkazalo za nemogoče ali bi vključevalo nesorazmeren napor. Do slednjega bi lahko prišlo zlasti, kadar se obdelava izvaja v zgodovinske, statistične ali znanstvenoraziskovalne namene; v zvezi s tem se lahko upošteva število posameznikov, na katere se nanašajo osebni podatki, starost podatkov in vsi sprejeti nadomestni ukrepi. (51) Vsaka oseba bi morala imeti pravico dostopa do podatkov, ki so bili zbrani v zvezi z njo, in do enostavnega uveljavljanja te pravice, da bi se seznanila z obdelavo in preverila njeno zakonitost. Zato bi moral vsak posameznik, na katerega se nanašajo osebni podatki, imeti pravico do seznanitve s sporočilom in njegove pridobitve, zlasti o namenih obdelave podatkov, obdobju obdelave, prejemnikih podatkov, logiki podatkov, ki se obdelujejo, in možnih posledicah obdelave, vsaj v primerih, kadar podatki temeljijo na oblikovanju profilov. Ta pravica ne bi smela škodljivo vplivati na pravice in svoboščine drugih, vključno s poslovnimi skrivnostmi ali intelektualno lastnino, in predvsem na avtorske pravice, ki ščitijo programsko opremo. Vendar pa to ne sme povzročiti, da se posamezniku, na katerega se nanašajo osebni podatki, zavrnejo vse informacije. (52) Upravljavec bi moral uporabiti vse primerne ukrepe za preverjanje istovetnosti posameznika, na katerega se nanašajo osebni podatki in ki zahteva dostop, zlasti v okviru spletnih storitev in spletnih identifikatorjev. Upravljavec ne bi smel hraniti osebnih podatkov samo zato, da se lahko odzove na morebitno zahtevo. (53) Vsaka oseba bi morala imeti pravico do popravka osebnih podatkov v zvezi z njo in „pravico biti pozabljen“, kadar hramba takih podatkov ni v skladu s to uredbo. Posamezniki, na katere se nanašajo osebni podatki, bi morali imeti zlasti pravico do tega, da se njihovi osebni podatki izbrišejo in se več ne obdelujejo, kadar podatki niso več potrebni zaradi namenov, za katere so zbrani ali kako drugače obdelani, kadar so posamezniki preklicali svojo privolitev v obdelavo ali kadar nasprotujejo obdelavi osebnih podatkov, ki se nanje nanašajo, ali kadar obdelava njihovih osebnih podatkov kako drugače ni v skladu s to uredbo. Ta pravica je zlasti pomembna, kadar je posameznik, na katerega se nanašajo osebni podatki, dal svojo privolitev kot otrok, ko se ni v celoti zavedal nevarnosti, povezanih z obdelavo, in želi pozneje take osebne podatke odstraniti, zlasti z interneta. Vendar pa bi morala biti nadaljnja hramba podatkov dovoljena, če je to potrebno v zgodovinske, statistične in znanstvenoraziskovalne namene, zaradi javnega interesa na področju javnega zdravja, za uveljavljanje pravice do svobode izražanja, kadar to zahteva zakon ali če obstaja razlog za omejitev obdelave podatkov namesto njihovega izbrisa. (54) Za okrepitev „pravice biti pozabljen“ v spletnem okolju bi morala biti pravica do izbrisa razširjena tako, da mora upravljavec, ki je osebne podatke objavil, tretje osebe, ki take podatke obdelujejo, obvestiti, da posameznik, na katerega se nanašajo osebni podatki, zahteva izbris morebitnih povezav do teh osebnih podatkov ali kopij osebnih podatkov. Da bi upravljavec zagotovil te informacije, mora glede podatkov, za objavo katerih je odgovoren, sprejeti vse primerne ukrepe, vključno s tehničnimi. Glede objave osebnih podatkov s strani tretje osebe se upravljavec šteje za odgovornega, če je odobril objavo s strani tretje osebe. (55) Za okrepitev nadzora nad lastnimi podatki in pravice do dostopa bi morali imeti posamezniki, na katere se nanašajo osebni podatki, pravico, da v primerih, kadar so osebni podatki obdelani z elektronskimi sredstvi in v strukturirani obliki v splošni rabi, pridobijo kopijo podatkov, ki se nanje nanašajo, tudi v elektronski obliki v splošni rabi. Posamezniku, na katerega se nanašajo osebni podatki, bi moralo biti dovoljeno tudi prenašanje podatkov, ki jih je predložil, iz ene avtomatizirane aplikacije, na primer družabnega omrežja, v drugo. To bi moralo veljati, kadar je posameznik, na katerega se nanašajo osebni podatki, na podlagi svoje privolitve ali pri izvajanju pogodbe zagotovil podatke avtomatiziranemu sistemu za obdelavo. (56) V primerih, v katerih se lahko osebni podatki zakonito obdelujejo zaradi zaščite življenjskih interesov posameznika ali zaradi javnega interesa, izvajanja javne oblasti ali zaradi pravnih interesov upravljavca, bi moral imeti vsak posameznik, na katerega se nanašajo osebni podatki, pravico do ugovora glede obdelave vseh podatkov, ki so z njim povezani. Upravljavec bi moral dokazati, da njegovi pravni interesi prevladujejo nad interesi ali temeljnimi pravicami in svoboščinami posameznika, na katerega se nanašajo osebni podatki. (57) Kadar se osebni podatki obdelujejo zaradi neposrednega trženja, bi moral imeti posameznik, na katerega se nanašajo osebni podatki, pravico, da taki obdelavi ugovarja brezplačno in na način, ki ga je mogoče enostavno in učinkovito uveljavljati. (58) Vsaka fizična oseba bi morala imeti pravico, da ni predmet ukrepa, ki temelji na oblikovanju profilov s samodejno obdelavo. Vendar bi moral biti tak ukrep dovoljen, kadar ga izrecno dovoljuje zakon, kadar je sprejet med sklepanjem ali izvrševanjem pogodbe ali kadar je posameznik, na katerega se nanašajo osebni podatki, dal privolitev. V vsakem primeru bi morali za take postopke veljati ustrezni zaščitni ukrepi, vključno s posebnim obveščanjem posameznika, na katerega se nanašajo osebni podatki, in pravico do človeškega posredovanja, veljati pa bi moralo tudi, da se tak ukrep ne sme nanašati na otroka. (59) Omejitve posebnih načel in pravic do obveščenosti, dostopa, popravka in izbrisa ali pravice do prenosljivosti podatkov, pravice do ugovora, ukrepov, ki temeljijo na oblikovanju profilov, sporočanja o kršitvi varnosti osebnih podatkov posamezniku, na katerega se nanašajo osebni podatki, in določenih s tem povezanih obveznosti upravljavcev se lahko uvedejo z zakonodajo Unije ali zakonodajo držav članic, če je to v demokratični družbi potrebno in sorazmerno zaradi zaščite javne varnosti, vključno z zaščito človeškega življenja, zlasti pri odzivu na naravne nesreče ali nesreče, ki jih povzroči človek, preprečevanja, preiskovanja in pregona kaznivih dejanj ali kršitev etike za zakonsko urejene poklice, drugih javnih interesov Unije ali države članice, vključno s pomembnim gospodarskim ali finančnim interesom, ali varstva posameznika, na katerega se nanašajo osebni podatki, oziroma pravic in svoboščin drugih. Te omejitve morajo biti skladne z zahtevami iz Listine Evropske unije o temeljnih pravicah in Evropske konvencije o varstvu človekovih pravic in temeljnih svoboščin. (60) Uvesti bi bilo treba celovito pristojnost in odgovornost upravljavca glede vsake obdelave osebnih podatkov, ki jo izvede upravljavec ali je izvedena v njegovem imenu. Upravljavec bi moral zlasti zagotoviti in biti k temu zavezan, da dokaže skladnost vsakega postopka obdelave s to uredbo. (61) Varstvo pravic in svoboščin posameznikov, na katere se nanašajo osebni podatki, pri obdelavi osebnih podatkov zahteva, da se sprejmejo ustrezni tehnični in organizacijski ukrepi, tako med načrtovanjem obdelave kot med samo obdelavo, in tako zagotovi, da so zahteve iz te uredbe izpolnjene. Za zagotovitev in dokaz skladnosti s to uredbo bi moral upravljavec sprejeti notranje politike in izvesti ustrezne ukrepe, ki izpolnjujejo zlasti načeli vgrajenega varstva podatkov. (62) Varstvo pravic in svoboščin posameznikov, na katere se nanašajo osebni podatki, pa tudi pristojnost in odgovornost upravljavca in obdelovalca, tudi v povezavi s spremljanjem in ukrepi nadzornih organov, zahtevajo jasno razdelitev odgovornosti na podlagi te uredbe, tudi kadar upravljavec namene, pogoje in sredstva obdelave določi skupaj z drugimi upravljavci ali kadar je postopek obdelave izveden v imenu upravljavca. (63) Kadar upravljavec, ki nima sedeža v Uniji, obdeluje osebne podatke posameznikov, na katere se nanašajo osebni podatki in ki stalno prebivajo v Uniji, ter se dejavnosti obdelave upravljavca nanašajo na nudenje blaga ali storitev takim posameznikom ali na spremljanje njihovega vedenja, bi moral upravljavec imenovati predstavnika, razen, če je sedež upravljavca v tretji državi, ki zagotavlja ustrezno raven varstva, oziroma je upravljavec malo ali srednje veliko podjetje ali javni organ, ali pa upravljavec takim posameznikom blago ali storitve nudi samo občasno. Predstavnik bi moral delovati v imenu upravljavca in nanj se lahko obrne kateri koli nadzorni organ. (64) Za ugotovitev, ali upravljavec posameznikom, na katere se nanašajo osebni podatki, blago in storitve nudi samo občasno, bi bilo treba preveriti, ali je iz splošnih dejavnosti upravljavca razvidno, da je nudenje blaga in storitev takim posameznikom samo njegova postranska dejavnost. (65) Za dokaz skladnosti s to uredbo bi moral upravljavec ali obdelovalec dokumentirati vsak postopek obdelave. Vsak upravljavec in obdelovalec bi moral biti zavezan k sodelovanju z nadzornimi organi in na zahtevo omogočiti dostop do te dokumentacije, da bi tako lahko služila spremljanju postopkov obdelave. (66) Za ohranitev varnosti in preprečitev obdelave s kršitvijo te uredbe bi moral upravljavec ali obdelovalec oceniti tveganje, povezano z obdelavo, in izvesti ukrepe za ublažitev tega tveganja. Ti ukrepi bi morali zagotoviti ustrezno raven varnosti ob upoštevanju najsodobnejše tehnologije in stroškov njihovega izvajanja glede na tveganja in na naravo osebnih podatkov, ki jih je treba varovati. Pri določanju tehničnih standardov in organizacijskih ukrepov za zagotavljanje varnosti obdelave bi morala Komisija spodbujati tehnološko nevtralnost, interoperabilnost in inovativnost ter po potrebi sodelovati s tretjimi državami. (67) Kršitev varnosti osebnih podatkov lahko, če se ne obravnava ustrezno in pravočasno, zadevnemu posamezniku povzroči veliko gospodarsko izgubo in družbeno škodo, vključno z zlorabo identitete. Zato bi moral upravljavec, ko ugotovi, da je prišlo do take kršitve, o tej kršitvi nemudoma, po možnosti v 24 urah, obvestiti nadzorni organ. Če tega ni mogoče storiti v 24 urah, je treba obvestilu priložiti pojasnilo razlogov za zamudo. Posameznike, pri katerih bi take kršitve lahko škodljivo vplivale na njihove osebne podatke, bi bilo treba o tem nemudoma obvestiti, da bi lahko sprejeli potrebne varnostne ukrepe. Za kršitev je treba domnevati, da škodljivo vpliva na osebne podatke ali zasebnost posameznika, na katerega se nanašajo osebni podatki, kadar lahko vodi na primer do kraje ali zlorabe identitete, fizične škode, hudega poniževanja ali okrnitve ugleda. Obvestilo bi moralo vsebovati opis narave kršitve varnosti osebnih podatkov in priporočila za zadevnega posameznika za ublažitev morebitnih škodljivih učinkov. Posamezniki, na katere se nanašajo osebni podatki, bi morali biti obveščeni, kakor hitro je to razumno mogoče, v tesnem sodelovanju z nadzornim organom in ob upoštevanju smernic, ki jih je podal nadzorni organ ali drugi ustrezni organi (npr. organi kazenskega pregona). Da bi lahko posamezniki, na katere se nanašajo osebni podatki, ublažili neposredno nevarnost nastanka škode, je treba take posameznike obvestiti nemudoma, potreba po izvajanju ustreznih ukrepov za preprečevanje nadaljnjih ali podobnih kršitev varnosti osebnih podatkov pa bi lahko upravičila daljšo zamudo. (68) Za ugotovitev, ali sta nadzorni organ in posameznik, na katerega se nanašajo osebni podatki, obveščena nemudoma, bi bilo treba preveriti, ali je upravljavec izvedel in uporabil ustrezne ukrepe tehnološke zaščite in organizacijske ukrepe, s katerimi bi takoj ugotovil, ali je prišlo do kršitve varnosti osebnih podatkov, ter o tem nemudoma obvestil nadzorni organ in posameznika, na katerega se nanašajo osebni podatki, preden bi to škodovalo osebnim in gospodarskim interesom, ob upoštevanju zlasti narave in teže kršitve varnosti osebnih podatkov ter njenih posledic in škodljivih učinkov za posameznika, na katerega se nanašajo osebni podatki. (69) Pri določanju podrobnih pravil o obliki zapisa in postopkih, ki se uporabljajo za obvestilo o kršitvi varnosti osebnih podatkov, bi bilo treba ustrezno upoštevati okoliščine kršitve, vključno s tem, ali so bili osebni podatki zaščiteni z ustreznimi tehničnimi zaščitnimi ukrepi, ki učinkovito zmanjšujejo verjetnost zlorabe identitete ali drugih oblik zlorabe. Poleg tega bi bilo treba pri takih pravilih in postopkih upoštevati pravni interes organov kazenskega pregona, če bi zgodnje razkritje lahko po nepotrebnem oviralo preiskavo okoliščin kršitve. (70) Direktiva 95/46/ES je določala splošno obveznost glede obveščanja nadzornih organov o obdelavi osebnih podatkov. Ta obveznost je prinesla upravna in finančna bremena, ni pa v vseh primerih pripomogla k izboljšanju varstva osebnih podatkov. Zato bi bilo treba tako nerazlikovalno splošno obveznost obveščanja odpraviti ter nadomestiti z učinkovitimi postopki in mehanizmi, ki se namesto tega osredotočajo na tiste postopke obdelave, ki bodo zaradi svoje narave, obsega ali namenov verjetno predstavljali posebno nevarnost za pravice in svoboščine posameznikov, na katere se nanašajo osebni podatki. V takih primerih bi moral upravljavec ali obdelovalec pred obdelavo izvesti oceno učinka o varstvu podatkov, ki bi morala obsegati zlasti načrtovane ukrepe, zaščitne ukrepe in mehanizme za zagotavljanje varstva osebnih podatkov in za dokazovanje skladnosti s to uredbo. (71) To bi moralo veljati zlasti za novoustanovljene obsežne zbirke, ki so namenjene obdelavi precejšnje količine osebnih podatkov na regionalni, nacionalni ali nadnacionalni ravni in ki bi lahko vplivale na številne posameznike, na katere se nanašajo osebni podatki. (72) V nekaterih okoliščinah je razumno in gospodarno, da je predmet ocene učinka o varstvu podatkov obširnejši in ne obsega samo enega projekta, na primer kadar nameravajo javni organi vzpostaviti skupno platformo za uporabo ali obdelavo ali kadar namerava več upravljavcev uvesti skupno aplikacijo ali okolje za obdelavo v celotnem industrijskem sektorju ali njegovem delu ali za horizontalno dejavnost v široki rabi. (73) Ocene učinka o varstvu podatkov mora izvajati javni organ, če taka ocena še ni bila izvedena v okviru sprejetja nacionalne zakonodaje, na kateri temelji opravljanje nalog javnega organa in ki ureja zadevne posebne postopke obdelave ali nize postopkov. (74) Kadar ocena učinka o varstvu podatkov pokaže, da je s postopki obdelave povezana visoka raven posebnih tveganj za pravice in svoboščine posameznikov, na katere se nanašajo osebni podatki, na primer izključevanje posameznikov iz pravice, ali na podlagi uporabe posebnih novih tehnologij, bi moralo biti pred začetkom postopka opravljeno posvetovanje z nadzornim organom o tvegani obdelavi, ki morda ni v skladu s to uredbo, s strani nadzornega organa pa podani predlogi za ureditev takega položaja. Tako posvetovanje bi moralo prav tako potekati med pripravo bodisi ukrepa nacionalnega parlamenta bodisi ukrepa, temelječega na takem zakonodajnem ukrepu, ki opredeljuje naravo obdelave in predpisuje ustrezne zaščitne ukrepe. (75) Kadar se obdelava izvaja v javnem sektorju ali kadar v zasebnem sektorju obdelavo izvaja velika družba ali kadar njene temeljne dejavnosti, ne glede na velikost družbe, obsegajo postopke obdelave, ki jih je treba redno in sistematično spremljati, bi moral upravljavcu ali obdelovalcu nekdo pomagati pri spremljanju notranje skladnosti s to uredbo. Taka uradna oseba za varstvo podatkov bi morala svoje dolžnosti in naloge izvajati neodvisno, ne glede na to, ali je pri upravljavcu zaposlena ali ne. (76) Združenja ali druge organe, ki predstavljajo vrste upravljavcev, bi bilo treba spodbujati, da v okviru omejitev iz te uredbe in ob upoštevanju posebnih značilnosti obdelave, ki se izvaja na nekaterih področjih, pripravijo pravila ravnanja za pospeševanje učinkovite uporabe te uredbe. (77) Za povečanje preglednosti in skladnosti s to uredbo bi bilo treba spodbujati uvedbo mehanizmov potrjevanja ter pečatov in označb za varstvo podatkov, ki bi posameznikom, na katere se nanašajo osebni podatki, omogočili, da hitro ocenijo raven varstva podatkov zadevnih proizvodov in storitev. (78) Čezmejni prenosi osebnih podatkov so potrebni za razvoj mednarodne trgovine in mednarodnega sodelovanja. Povečanje teh prenosov je prineslo nove izzive in zaskrbljenost glede varstva osebnih podatkov. Vendar pa v primeru, ko se osebni podatki prenašajo iz Unije v tretje države ali mednarodne organizacije, raven varstva posameznikov, ki jo v Uniji zagotavlja ta uredba, ne bi smela biti ogrožena. V vsakem primeru se lahko prenosi v tretje države izvajajo samo v popolni skladnosti s to uredbo. (79) Ta uredba ne posega v mednarodne sporazume, ki so sklenjeni med Unijo in tretjimi državami ter urejajo prenos osebnih podatkov, vključno z ustreznimi zaščitnimi ukrepi za posameznike, na katere se nanašajo osebni podatki. (80) Komisija lahko sprejme sklep, da določena tretja država ali ozemeljska enota ali sektor za obdelavo v tretji državi ali mednarodna organizacija nudi ustrezno raven varstva podatkov, s čimer zagotavlja pravno varnost in enotnost v Uniji v zvezi s tretjimi državami ali mednarodnimi organizacijami, za katere se šteje, da zagotavljajo tako raven varstva, pri čemer tak sklep Komisije velja za celotno Unijo. V teh primerih za prenose osebnih podatkov v te države dodatno pooblastilo ni potrebno. (81) Komisija bi morala v skladu s temeljnimi vrednotami, na katerih temelji Unija, zlasti z varstvom človekovih pravic, v svoji oceni tretje države upoštevati, v kolikšni meri tretja država spoštuje načelo pravne države, dostop do pravnega varstva ter mednarodna pravila in standarde človekovih pravic. (82) Komisija lahko tudi ugotovi, da tretja država ali ozemeljska enota ali sektor za obdelavo v tretji državi ali mednarodna organizacija ne nudi ustrezne ravni varstva podatkov. Posledično bi moral biti prenos osebnih podatkov v navedeno tretjo državo prepovedan. V takem primeru bi moralo biti predvideno posvetovanje med Komisijo in takimi tretjimi državami ali mednarodnimi organizacijami. (83) Če sklep o ustreznosti ni sprejet, bi moral upravljavec ali obdelovalec sprejeti ukrepe, ki bodo pomanjkanje varstva podatkov v tretji državi nadomestili z ustreznimi zaščitnimi ukrepi za posameznika, na katerega se nanašajo osebni podatki. Taki ustrezni zaščitni ukrepi so lahko sestavljeni iz uporabe zavezujočih poslovnih pravil, standardnih določil Komisije o varstvu podatkov, standardnih določil nadzornega organa o varstvu podatkov ali pogodbenih določil, ki jih je odobril nadzorni organ, ali drugih ustreznih in sorazmernih ukrepov, ki so ob upoštevanju vseh okoliščin postopka za prenos podatkov ali niza postopkov za prenos podatkov upravičeni in jih odobri nadzorni organ. (84) Možnost, ki jo ima upravljavec ali obdelovalec glede uporabe standardnih določil Komisije ali nadzornega organa o varstvu podatkov, upravljavcu ali obdelovalcu ne bi smela preprečiti, da standardne določbe o varstvu podatkov vključi v obsežnejšo pogodbo ali doda druge določbe, če le-te neposredno ali posredno ne nasprotujejo standardnim določilom Komisije ali nadzornega organa o varstvu podatkov ali posegajo v temeljne pravice ali svoboščine posameznikov, na katere se nanašajo osebni podatki. (85) Skupina podjetij bi morala imeti možnost, da za svoje mednarodne prenose iz Unije v organizacije znotraj iste skupine podjetij uporabi odobrena zavezujoča poslovna pravila, če ta poslovna pravila obsegajo bistvena načela in izvršljive pravice za zagotavljanje ustreznih zaščitnih ukrepov za prenos ali niz prenosov osebnih podatkov. (86) Predvidena bi morala biti možnost prenosov v določenih okoliščinah, kadar je posameznik, na katerega se nanašajo osebni podatki, dal svojo privolitev, kadar je prenos potreben zaradi pogodbe ali pravnega zahtevka, kadar to zahtevajo pomembni javni interesi, določeni z zakonodajo Unije ali zakonodajo držav članic, ali kadar je prenos izveden iz registra, vzpostavljenega z zakonodajo, ki je namenjen za uporabo s strani javnosti ali oseb s pravnim interesom. V slednjem primeru tak prenos ne bi smel vključevati celotnih podatkov ali celotnih vrst podatkov, ki jih vsebuje register, in kadar je register namenjen vpogledu oseb, ki imajo pravni interes, bi bilo treba prenos opraviti samo na zahtevo teh oseb ali če bodo te osebe prejemniki. (87) Ta odstopanja bi morala veljati zlasti za prenose podatkov, ki so zahtevani in potrebni za varstvo pomembnega javnega interesa, kot v primerih mednarodnih prenosov podatkov med organi za varstvo konkurence, davčnimi ali carinskimi upravami, finančnimi nadzornimi organi, med službami, pristojnimi za zadeve na področju socialne varnosti, ali organi, pristojnimi za preprečevanje, preiskovanje, odkrivanje in pregon kaznivih dejanj. (88) Prenosi, ki jih ni mogoče šteti za pogoste ali množične, bi lahko bili po oceni vseh okoliščin, povezanih s prenosom podatkov, mogoči tudi zaradi pravnih interesov upravljavca ali obdelovalca. Pri obdelavi v zgodovinske, statistične in znanstvenoraziskovalne namene bi bilo treba upoštevati legitimna pričakovanja družbe po večjem znanju. (89) V vsakem primeru bi moral upravljavec ali obdelovalec, če Komisija ni sprejela sklepa o ustrezni ravni varstva podatkov v tretji državi, uporabiti rešitve, ki posameznikom, na katere se nanašajo osebni podatki, zagotavljajo, da zanje po prenosu teh podatkov še vedno veljajo temeljne pravice in zaščitni ukrepi glede obdelave njihovih podatkov v Uniji. (90) Nekatere tretje države sprejemajo zakone, predpise in druge zakonodajne akte, ki neposredno urejajo dejavnosti obdelave podatkov fizičnih in pravnih oseb, ki so pod sodno pristojnostjo držav članic. Zunajozemeljska uporaba teh zakonov, predpisov in drugih zakonodajnih aktov lahko krši mednarodno pravo in ovira doseganje varstva posameznikov, ki ga v Uniji zagotavlja ta uredba. Prenosi bi smeli biti dovoljeni samo, kadar so pogoji te uredbe za prenos v tretje države izpolnjeni. To je lahko med drugim v primerih, kadar je razkritje potrebno zaradi pomembnega javnega interesa, priznanega v zakonodaji Unije ali zakonodaji držav članic, ki velja za upravljavca. Pogoje, pod katerimi obstaja pomemben javni interes, bi morala Komisija natančneje določiti z delegiranim aktom. (91) Pri čezmejnem prenosu osebnih podatkov se lahko poveča tveganje v zvezi z zmožnostjo posameznikov pri uveljavljanju pravic do varstva podatkov, da se zaščitijo pred nezakonito uporabo ali razkritjem navedenih podatkov. Hkrati lahko nadzorni organi ugotovijo, da ne morejo obravnavati pritožb ali izvesti preiskav v zvezi z dejavnostmi zunaj svojih meja. Njihova prizadevanja za čezmejno sodelovanje lahko ovirajo tudi nezadostna pooblastila za preprečevanje kršitev ali njihovo odpravo, neskladne pravne ureditve in praktične ovire, na primer omejitev sredstev. Zato obstaja potreba po spodbujanju tesnejšega sodelovanja med nadzornimi organi za varstvo podatkov za pomoč pri izmenjavi informacij in izvajanju preiskav s tujimi nadzornimi organi za varstvo podatkov. (92) Ustanovitev nadzornih organov v državah članicah, ki popolnoma neodvisno opravljajo svoje naloge, je bistveni del varstva posameznikov pri obdelavi njihovih osebnih podatkov. Državam članicam bi morala biti omogočena ustanovitev več kot enega nadzornega organa zaradi umestitve v njihovo ustavno, organizacijsko in upravno strukturo. (93) Če država članica ustanovi več nadzornih organov, bi morala z zakonom vzpostaviti mehanizme za zagotavljanje učinkovitega sodelovanja teh nadzornih organov v mehanizmu za skladnost. Za zagotovitev hitrega in neoviranega sodelovanja z ostalimi nadzornimi organi, Evropskim odborom za varstvo podatkov in Komisijo bi morala ta država članica imenovati zlasti nadzorni organ, ki deluje kot enotna kontaktna točka za učinkovito sodelovanje teh organov v mehanizmu. (94) Vsakemu nadzornemu organu bi bilo treba zagotoviti zadostne finančne in človeške vire, prostore in infrastrukturo, ki so potrebni za učinkovito opravljanje njihovih nalog, vključno z nalogami v zvezi z medsebojno pomočjo in sodelovanjem z drugimi nadzornimi organi v vsej Uniji. (95) Vsaka država članica bi morala predpisati splošne pogoje za člane nadzornega organa, ki bi morali zlasti določati, da te člane imenuje parlament ali vlada države članice, ter vsebovati pravila o osebnih kvalifikacijah in položaju teh članov. (96) Nadzorni organi bi morali spremljati uporabo določb v skladu s to uredbo in prispevati k njeni dosledni uporabi v vsej Uniji, da bi varovali fizične osebe pri obdelavi njihovih osebnih podatkov in olajšali prosti pretok osebnih podatkov na notranjem trgu. Zato bi morali nadzorni organi sodelovati med seboj in s Komisijo. (97) Kadar obdelava osebnih podatkov v okviru dejavnosti ustanovitve upravljavca ali obdelovalca v Uniji poteka v več kot eni državi članici, bi moral biti en sam nadzorni organ pristojen za spremljanje dejavnosti upravljavca ali obdelovalca v vsej Uniji in sprejemati s tem povezane odločitve, da bi povečal doslednost uporabe, zagotovil pravno varnost in za take upravljavce in obdelovalce zmanjšal upravno breme. (98) Pristojni organ, ki zagotavlja „vse na enem mestu“, bi moral biti nadzorni organ države članice, v kateri ima upravljavec ali obdelovalec glavni sedež. (99) Čeprav se ta uredba uporablja tudi za dejavnosti nacionalnih sodišč, pa pristojnost nadzornih organov ne bi smela obsegati obdelave osebnih podatkov, kadar sodišča delujejo kot sodni organ, da se zaščiti neodvisnost sodnikov pri opravljanju njihovih sodnih nalog. Vendar bi morala biti ta izjema omejena na dejanska sodna opravila v sodnih postopkih in se ne bi smela uporabljati za druge dejavnosti, v katere bi lahko bili vključeni sodniki v skladu z nacionalno zakonodajo. (100) Za zagotovitev doslednega spremljanja in izvajanja te uredbe v vsej Uniji bi morali biti naloge in učinkovita pooblastila nadzornih organov v vseh državah članicah enaki, vključno s pooblastili za preiskovanje, pravno zavezujoče posredovanje, izdajo odločb in naložitev sankcij, zlasti v primerih pritožb posameznikov, ter za sodelovanje v sodnem postopku. Preiskovalna pooblastila nadzornih organov glede dostopa v prostore bi bilo treba izvajati v skladu z zakonodajo Unije in nacionalno zakonodajo. To se nanaša zlasti na zahtevo glede predhodnega sodnega dovoljenja. (101) Vsak nadzorni organ bi moral obravnavati pritožbe, ki jih vloži kateri koli posameznik, na katerega se nanašajo osebni podatki, in preiskati zadevo. Preiskavo na podlagi pritožbe bi bilo treba izvesti v obsegu, ki je v posamezni zadevi ustrezen, saj je lahko odločba nadzornega organa predmet sodne presoje. Nadzorni organ bi moral posameznika, na katerega se nanašajo osebni podatki, v primernem roku obvestiti o stanju zadeve in odločitvi o pritožbi. Če mora nadzorni organ zadevo podrobneje proučiti ali se uskladiti z drugim nadzornim organom, bi bilo treba posamezniku, na katerega se nanašajo osebni podatki, posredovati informacije o stanju zadeve med postopkom. (102) Dejavnosti nadzornih organov, ki so namenjene ozaveščanju javnosti, bi morale obsegati posebne ukrepe, usmerjene na upravljavce in obdelovalce, vključno z mikro-, malimi in srednje velikimi podjetji, pa tudi posameznike, na katere se nanašajo osebni podatki. (103) Nadzorni organi bi si morali medsebojno pomagati pri opravljanju svojih dolžnosti in zagotoviti medsebojno pomoč, da se zagotovita dosledna uporaba in izvajanje te uredbe na notranjem trgu. (104) Vsak nadzorni organ bi moral imeti pravico do sodelovanja pri skupnem ukrepanju nadzornih organov. Zaprošeni nadzorni organ bi moral na zahtevo odgovoriti v določenem roku. (105) Za zagotovitev dosledne uporabe te uredbe v vsej Uniji bi bilo treba vzpostaviti mehanizem za skladnost za sodelovanje med nadzornimi organi in s Komisijo. Ta mehanizem bi se moral uporabljati zlasti v primerih, ko namerava nadzorni organ ukrepati glede postopkov obdelave, ki so povezani z nudenjem blaga ali storitev posameznikom, na katere se nanašajo osebni podatki, v več državah članicah ali s spremljanjem takih posameznikov, ali pa v primerih, ki bi lahko znatno vplivali na prosti pretok osebnih podatkov. Uporabljati bi se moral tudi, kadar nadzorni organ ali Komisija zahteva, da se zadeva obravnava v mehanizmu za skladnost. Ta mehanizem ne bi smel posegati v noben ukrep, ki ga lahko Komisija sprejme pri izvajanju svojih pooblastil na podlagi Pogodb. (106) Pri uporabi mehanizma za skladnost bi moral Evropski odbor za varstvo podatkov v določenem roku podati mnenje, če tako odloči navadna večina članov ali če to zahteva kateri koli nadzorni organ ali Komisija. (107) Za zagotovitev skladnosti s to uredbo lahko Komisija o tem sprejme mnenje ali sklep, ki od nadzornega organa zahteva, da svoj osnutek ukrepa začasno prekliče. (108) Lahko se pojavi nujna potreba po ukrepanju za zaščito interesov posameznikov, na katere se nanašajo osebni podatki, zlasti kadar obstaja nevarnost, da bi lahko bilo uveljavljanje pravice posameznika, na katerega se nanašajo osebni podatki, močno ovirano. Zato bi moral nadzorni organ imeti možnost, da pri uporabi mehanizma za skladnost sprejme začasne ukrepe z določenim obdobjem veljavnosti. (109) Uporaba tega mehanizma bi morala biti pogoj za pravno veljavnost in izvajanje zadevne odločitve nadzornega organa. V drugih primerih čezmejnega pomena se lahko medsebojna pomoč in skupno ukrepanje med zadevnimi nadzornimi organi izvajata na dvostranski ali večstranski podlagi, ne da bi pri tem sprožili mehanizem za skladnost. (110) Na ravni Unije bi bilo treba ustanoviti Evropski odbor za varstvo podatkov. Moral bi nadomestiti delovno skupino o varstvu posameznikov pri obdelavi osebnih podatkov, ustanovljeno z Direktivo 95/46/ES. Sestavljati bi ga morali vodje nadzornega organa vsake države članice in Evropski nadzornik za varstvo podatkov. Komisija bi morala sodelovati pri dejavnostih odbora. Evropski odbor za varstvo podatkov bi moral prispevati k dosledni uporabi te uredbe v vsej Uniji, vključno s svetovanjem Komisiji in spodbujanjem sodelovanja nadzornih organov v vsej Uniji. Evropski odbor za varstvo podatkov mora pri opravljanju svojih nalog delovati neodvisno. (111) Vsak posameznik, na katerega se nanašajo osebni podatki, bi moral imeti pravico do vložitve pritožbe pri nadzornem organu v kateri koli državi članici in pravico do pravnega sredstva v sodnem postopku, če meni, da so njegove pravice iz te uredbe kršene, ali če nadzorni organ ne obravnava pritožbe ali ne ukrepa, kadar je tak ukrep potreben za zaščito pravic posameznika, na katerega se nanašajo osebni podatki. (112) Vsak organ, organizacija ali združenje, katerega namen je varstvo pravic in interesov posameznikov, na katere se nanašajo osebni podatki, v zvezi z varstvom njihovih podatkov in ki je ustanovljen v skladu z nacionalno zakonodajo države članice, bi moral imeti pravico do vložitve pritožbe pri nadzornem organu ali uveljavitve pravice do pravnega sredstva v sodnem postopku v imenu posameznikov, na katere se nanašajo osebni podatki, ali do vložitve lastne pritožbe, neodvisno od pritožbe posameznika, na katerega se nanašajo osebni podatki, če meni, da je prišlo do kršitve varnosti osebnih podatkov. (113) Vsaka fizična ali pravna oseba bi morala imeti pravico do pravnega sredstva v sodnem postopku zoper odločbo nadzornega organa v zvezi z njo. Za postopke zoper nadzorni organ bi morala biti pristojna sodišča države članice, v kateri ima nadzorni organ sedež. (114) Za okrepitev sodnega varstva posameznika, na katerega se nanašajo osebni podatki, kadar je pristojni nadzorni organ ustanovljen v drugi državi članici kot tisti, v kateri prebiva posameznik, na katerega se nanašajo osebni podatki, lahko tak posameznik od katerega koli organa, organizacije ali združenja, katerega namen je varstvo pravic in interesov posameznikov pri obdelavi njihovih podatkov, zahteva, da v njegovem imenu pred pristojnim sodiščem v drugi državi članici začne postopek zoper navedeni nadzorni organ. (115) V primerih, kadar se pristojni nadzorni organ s sedežem v drugi državi članici ne odzove ali ne sprejme zadostnih ukrepov v zvezi s pritožbo, lahko posameznik, na katerega se nanašajo osebni podatki, od nadzornega organa države članice njegovega običajnega prebivališča zahteva, da pred pristojnim sodiščem v drugi državi članici začne postopek zoper navedeni nadzorni organ. Zaprošeni nadzorni organ se lahko odloči, ali je primerno ugoditi zahtevi; odločitev je lahko predmet sodne presoje. (116) V postopkih zoper upravljavca ali obdelovalca bi moral imeti tožnik možnost, da postopek začne pred sodiščem države članice, v kateri ima upravljavec ali obdelovalec sedež, ali pred sodiščem države članice, v kateri prebiva posameznik, na katerega se nanašajo osebni podatki, razen če je upravljavec javni organ, ki izvaja svoja javna pooblastila. (117) Kadar obstajajo dokazi, da pred sodišči v različnih državah članicah potekajo vzporedni postopki, bi morala biti sodišča zavezana, da med seboj navežejo stik. Sodišča bi morala imeti možnost, da v primeru, ko je v drugi državi članici v obravnavi vzporedna zadeva, postopek ustavijo. Države članice bi morale zagotoviti učinkovite sodne postopke z možnostjo hitrega sprejetja ukrepov za odpravo ali preprečevanje kršitev te uredbe. (118) Vso škodo, ki jo oseba lahko utrpi zaradi nezakonite obdelave, bi moral povrniti upravljavec ali obdelovalec, vendar mu tega ni treba storiti, če dokaže, da ni odgovoren za škodo, predvsem kadar ugotovi napako na strani posameznika, na katerega se nanašajo osebni podatki, ali v primeru višje sile. (119) Kaznovati bi bilo treba vsako osebo, za katero velja zasebno ali javno pravo in ki ne ravna v skladu s to uredbo. Države članice bi morale zagotoviti, da so kazenske sankcije učinkovite, sorazmerne in odvračilne, ter sprejeti vse ukrepe za izvršitev kazenskih sankcij. (120) Za okrepitev in uskladitev upravnih sankcij za kršitve te uredbe bi moral imeti vsak nadzorni organ pooblastila za kaznovanje upravnih kršitev. Ta uredba bi morala navajati te kršitve in zgornjo mejo s tem povezanih upravnih kazni, ki bi morale biti v vsakem posameznem primeru določene sorazmerno s posebnimi okoliščinami in ob upoštevanju zlasti narave, teže in trajanja kršitve. Mehanizem za skladnost se lahko uporabi tudi za kritje razlik pri uporabi upravnih sankcij. (121) Za obdelavo osebnih podatkov, ki se izvaja zgolj v novinarske namene ali zaradi umetniškega ali literarnega izražanja, bi morala veljati izjema od zahtev nekaterih določb te uredbe, da se uskladi pravica do varstva osebnih podatkov s pravico do svobode izražanja in predvsem pravico do sprejemanja in širjenja informacij, kot je zagotovljeno zlasti v členu 11 Listine Evropske unije o temeljnih pravicah. To bi moralo veljati zlasti za obdelavo osebnih podatkov na avdiovizualnem področju ter v arhivih novic in medijskih arhivih. Zato bi morale države članice sprejeti zakonodajne ukrepe, ki bi morali določati izjeme in odstopanja, potrebne za uravnoteženje teh temeljnih pravic. Take izjeme in odstopanja bi države članice morale sprejeti glede splošnih načel, pravic posameznika, na katerega se nanašajo osebni podatki, upravljavca in obdelovalca, prenosa podatkov v tretje države ali mednarodne organizacije, neodvisnih nadzornih organov ter sodelovanja in skladnosti. Vendar pa države članice ne bi smele določati izjem od drugih določb te uredbe. Za upoštevanje pomena pravice do svobode izražanja v vsaki demokratični družbi je treba pojme, povezane s to svobodo, kot je