SL Uradni list Evropske unije C 159/83

Utemeljitev Sveta: Stališče Sveta (EU) št. 6/2016 v prvi obravnavi z namenom sprejetja uredbe Evropskega parlamenta in Sveta o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov)

(2016/C 159/02)

I. UVOD

Komisija je 25. januarja 2012 predlagala celovito reformo na področju varstva podatkov, ki jo sestavljata:

— navedeni predlog splošne uredbe o varstvu podatkov, ki naj bi nadomestila direktivo o varstvu podatkov iz leta 1995 (nekdanji prvi steber);

— predlog direktive o varstvu posameznikov pri obdelavi osebnih podatkov, ki jih pristojni organi obdelujejo za namene preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj ali izvrševanja kazenskih sankcij, in o prostem pretoku takih podatkov, ki naj bi nadomestila okvirni sklep o varstvu podatkov iz leta 2008 (nekdanji tretji steber).

Evropski parlament je stališče v prvi obravnavi o predlagani splošni uredbi o varstvu podatkov sprejel 12. marca 2014 (dok. 7427/14).

Svet je 15. junija 2015 dosegel dogovor o splošnem pristopu, s čimer je predsedstvu podelil pogajalski mandat za začetek trialogov z Evropskim parlamentom (dok. 9565/15).

Dogovor o kompromisnem besedilu, pripravljenem na podlagi pogajanj v okviru trialogov, je Evropski parlament na ravni Odbora za državljanske svoboščine, pravosodje in notranje zadeve potrdil 17. decembra 2015, Svet na ravni Odbora stalnih predstavnikov pa dan pozneje.

Svet je na seji 12. februarja 2016 dosegel politični dogovor glede osnutka uredbe (dok. 5455/15). Nato je 8. aprila 2016 sprejel stališče v prvi obravnavi, ki je v celoti usklajeno s kompromisnim besedilom o uredbi, o katerem sta se na neformalnih pogajanjih dogovorila Svet in Evropski parlament.

Ekonomsko-socialni odbor je mnenje o uredbi predložil leta 2012 (UL C 229, 31.7.2012, str. 90).

Odbor regij je predložil mnenje o uredbi (UL C 391, 18.12.2012, str. 127).

Potekalo je posvetovanje z Evropskim nadzornikom za varstvo podatkov, ki je prvo mnenje predložil leta 2012 (UL C 192, 30.6.2012, str. 7), drugo pa leta 2015 (UL C 301, 12.9.2015, str. 1–8).

Agencija za temeljne pravice je mnenje predložila 1. oktobra 2012.

II. CILJ

S splošno uredbo o varstvu podatkov se harmonizirajo pravila o varstvu podatkov v Evropski uniji. Namen uredbe je okrepiti pravice posameznikov do varstva podatkov, spodbuditi prosti pretok osebnih podatkov na enotnem trgu in zmanjšati upravno breme.

III. ANALIZA STALIŠČA SVETA V PRVI OBRAVNAVI

A. Splošne ugotovitve

Glede na cilj Evropskega sveta, da se do konca leta 2015 doseže dogovor o reformi na področju varstva podatkov, sta se Evropski parlament in Svet udeležila neformalnih pogajanj, da bi približala svoji stališči. Besedilo stališča Sveta v prvi obravnavi o splošni uredbi o varstvu podatkov v celoti odraža kompromis, ki sta ga ob pomoči Evropske komisije dosegla sozakonodajalca.

Stališče Sveta v prvi obravnavi ohranja cilja Direktive 95/46/ES, ki sta varstvo pravice do varstva podatkov in prosti pretok podatkov. Hkrati poskuša prilagoditi trenutno veljavna pravila o varstvu podatkov, saj se zaradi tehnoloških sprememb in globalizacije obdeluje vedno večja količina osebnih podatkov. Da bi bila uredba uporabna tudi v prihodnje, so pravila o varstvu podatkov v stališču Sveta v prvi obravnavi tehnološko nevtralna.

Da se zagotovi dosledna raven varstva posameznikov po vsej Uniji in se preprečijo razhajanja, ki ovirajo prosti pretok osebnih podatkov na notranjem trgu, je v stališču Sveta v prvi obravnavi večinoma določen enoten nabor pravil, ki se neposredno uporabljajo po vsej Uniji. Ta harmonizacija bo odpravila razdrobljenost, ki je posledica različnih zakonov držav članic, s katerimi se izvaja Direktiva 95/46. Da pa bi se upoštevale zahteve specifičnih razmer na področju obdelave podatkov, tudi za javni sektor, je v stališču Sveta v prvi obravnavi predvidena možnost, da države članice v nacionalnem pravu dodatno opredelijo uporabo pravil o varstvu podatkov iz uredbe.

Varstvo osebnih podatkov je temeljna pravica, zapisana v členu 8(1) Listine Evropske unije o temeljnih pravicah. V členu 16 Pogodbe o delovanju Evropske unije je tudi navedeno, da ima vsakdo pravico do varstva osebnih podatkov, ki se nanašajo nanj, ne glede na državljanstvo ali prebivališče, ter da bi bilo treba določiti tozadevna pravila ter pravila o prostem pretoku osebnih podatkov. Stališče Sveta v prvi obravnavi zato določa načela in pravila o varstvu posameznikov pri obdelavi njihovih osebnih podatkov.

Da bi dosegli cilje uredbe, stališče Sveta v prvi obravnavi nalaga večjo odgovornost upravljavcem (odgovornim za določanje namenov in sredstev obdelave osebnih podatkov) in obdelovalcem (odgovornim za obdelavo osebnih podatkov v imenu upravljavca), s čimer naj bi se spodbudila resnična kultura varstva podatkov. Glede na to je v vseh delih uredbe uporabljen pristop na podlagi tveganja, ki omogoča, da se obveznosti upravljavca in obdelovalca prilagajajo glede na tveganje v zvezi z obdelavo podatkov, ki jo izvajata. Tudi kodeksi ravnanja in mehanizmi potrjevanja prispevajo k izpolnjevanju pravil o varstvu podatkov. Ta pristop preprečuje preveč preskriptivna pravila in zmanjšuje upravno breme, ne da bi zmanjšal stopnjo skladnosti s pravili. Poleg tega odvračilna narava morebitnih kazni, ki se lahko naložijo, pri upravljavcih ustvarja spodbude za spoštovanje te uredbe.

Nova pravila o varstvu podatkov iz stališča Sveta v prvi obravnavi prinašajo tudi več pravic za državljane, ki so lažje izvršljive. Posamezniki bodo lahko bolje nadzirali svoje osebne podatke, kar bo povečalo zaupanje v čezmejne spletne storitve in posledično okrepilo enotni digitalni trg. Otroci potrebujejo posebno varstvo, saj se lahko manj zavedajo tveganj v zvezi z obdelavo osebnih podatkov ter svojih pravic.

Stališče Sveta v prvi obravnavi določa tudi večjo neodvisnost nadzornih organov ob hkratni harmonizaciji njihovih nalog in pooblastil. Pravila o sodelovanju med nadzornimi organi in, če je to ustrezno, s Komisijo v čezmejnih primerih (mehanizem za skladnost) bodo prispevala k dosledni uporabi te uredbe po vsej Evropski uniji. To bo povečalo pravno varnost in zmanjšalo upravno breme. Poleg tega bo mehanizem „vse na enem mestu“ upravljavcem in obdelovalcem zagotovil enotnega sogovornika v zvezi z njihovo čezmejno obdelavo, vključno z zavezujočimi odločitvami novo ustanovljenega Evropskega odbora za varstvo podatkov v primeru sporov. Zaradi tega mehanizma se bo uredba dosledneje uporabljala. Poleg tega bo pravna varnost večja, upravno breme pa manjše.

Stališče Sveta v prvi obravnavi prav tako določa celovit okvir za prenose osebnih podatkov iz Evropske unije prejemnikom v tretjih državah ali mednarodnih organizacijah, ki v primerjavi z Direktivo 95/46/ES zagotavlja nova orodja.

B. Ključna vprašanja

Svet in Evropski parlament sta ob pomoči Evropske komisije v okviru neformalnih pogajanj zbližala svoji stališči, ki sta opredeljeni v splošnem pristopu Sveta oziroma stališču Parlamenta v prvi obravnavi. Stališče Sveta v prvi obravnavi o splošni uredbi o varstvu podatkov v celoti odraža doseženi kompromis. Ključna vprašanja iz stališča Sveta v prvi obravnavi so opredeljena v nadaljevanju.

1. Področje uporabe

1.1. Področje uporabe uredbe in razmejitev v razmerju do direktive o kazenskem pregonu

Stališče Sveta v prvi obravnavi navaja, da se splošna uredba o varstvu podatkov uporablja za obdelavo osebnih podatkov v celoti ali delno z avtomatiziranimi sredstvi in za drugačno obdelavo kakor z avtomatiziranimi sredstvi za osebne podatke, ki so del vsakega strukturiranega niza osebnih podatkov, ki je dostopen v skladu s posebnimi merili, ali so namenjeni oblikovanju dela takega strukturiranega niza. Področje uporabe splošne uredbe o varstvu podatkov in področje uporabe direktive o varstvu podatkov na področju kazenskega pregona se medsebojno izključujeta. Določeno je, da se uredba ne uporablja za obdelavo osebnih podatkov s strani pristojnih organov za namene preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj, izvrševanja kazenskih sankcij, vključno z varovanjem pred grožnjami javni varnosti in njihovim preprečevanjem. Na podlagi te razmejitve lahko organi kazenskega pregona, zlasti policija, praviloma uporabljajo ureditev na področju varstva podatkov iz direktive, hkrati pa zagotavljajo dosledno in visoko raven varstva osebnih podatkov posameznikov, ki se kazensko preganjajo.

1.2. Institucije in organi EU

Za zagotovitev enotnega in doslednega varstva posameznikov, na katere se nanašajo osebni podatki, kar zadeva obdelavo njihovih osebnih podatkov, je v stališču Sveta v prvi obravnavi navedeno, da bi bilo treba po sprejetju splošne uredbe o varstvu podatkov ustrezno prilagoditi Uredbo (ES) št. 45/2001, ki se uporablja za institucije, organe, urade in agencije Unije, da bi se lahko uporabljali sočasno.

1.3. Izjema za gospodinjstva

Da bi se izognili pravilom, ki bi ustvarila nepotrebno breme za posameznike, stališče Sveta v prvi obravnavi določa, da se uredba ne uporablja za obdelavo osebnih podatkov s strani fizične osebe v okviru popolnoma osebne ali domače dejavnosti, ki tako ni povezana s poklicno ali komercialno dejavnostjo.

1.4. Ozemeljska veljavnost

Stališče Sveta v prvi obravnavi ustvarja enake konkurenčne pogoje za upravljavce in obdelovalce v smislu ozemeljske veljavnosti, saj so zajeti vsi upravljavci in obdelovalci, ne glede na to, ali imajo sedež v Uniji ali ne.

Prvič, uredba določa, da se pravila o varstvu podatkov uporabljajo za obdelavo osebnih podatkov v okviru dejavnosti sedeža upravljavca ali obdelovalca v Uniji, ne glede na to, ali obdelava poteka v Uniji ali ne. Drugič, za zagotovitev, da posamezniki ne bi ostali brez varstva svojih podatkov, uredba se uporablja za obdelavo osebnih podatkov posameznikov, na katere se nanašajo osebni podatki in ki so v Uniji, tudi če upravljavec ali obdelovalec nima sedeža v Uniji, vendar so njegove dejavnosti obdelave povezane z nudenjem blaga ali storitev takim posameznikom, na katere se nanašajo osebni podatki, v Uniji ter s spremljanjem njihovega vedenja, če slednje poteka v Evropski uniji. Določitev ozemeljske veljavnosti na tak način poleg tega krepi pravno varnost za upravljavce in posameznike, na katere se nanašajo osebni podatki (osebe, katerih osebni podatki se obdelujejo).

Stališče Sveta v prvi obravnavi zagotavlja tudi, da imajo posamezniki, na katere se nanašajo osebni podatki, in nadzorni organi kontaktno točko v EU, če upravljavci ali obdelovalci nimajo sedeža v Uniji, a jih področje uporabe uredbe zadeva, saj morajo pisno imenovati predstavnika v Uniji. Da bi se izognili nepotrebnemu upravnemu bremenu, ta obveznost ne velja za obdelavo, ki verjetno ne bo povzročila tveganja za pravice in svoboščine posameznikov, in za obdelavo s strani javnega organa ali telesa tretje države.

2. Načela v zvezi z obdelavo osebnih podatkov

Načela varstva podatkov se uporabljajo za vse informacije v zvezi z določljivo ali določeno fizično osebo, tudi informacije, ki jih ni več mogoče pripisati specifičnemu posamezniku, na katerega se nanašajo osebni podatki, brez uporabe dodatnih informacij, če se take dodatne informacije hranijo ločeno ter zanje veljajo tehnični in organizacijski ukrepi za zagotavljanje nepripisovanja določeni ali določljivi fizični osebi („psevdonimizacija“). Uredba v primerjavi z Direktivo 95/46 v veliki meri zagotavlja kontinuiteto, kar zadeva načela v zvezi z obdelavo osebnih podatkov. Hkrati je prilagojeno načelo „zmanjšanja količine podatkov“, da bi se upoštevala digitalna realnost in bi se vzpostavilo ravnovesje med varstvom osebnih podatkov na eni strani in možnostmi upravljavcev, da obdelujejo podatke, na drugi strani.

3. Zakonitost obdelave

3.1. Pogoji zakonitosti

Zaradi zagotavljanja pravne varnosti je stališče Sveta v prvi obravnavi oprto na Direktivo 95/46 in v njem je določeno, da je obdelava osebnih podatkov zakonita le, če je izpolnjen vsaj eden od naslednjih pogojev:

— privolitev posameznika, na katerega se nanašajo osebni podatki, za enega ali več namenov;

— pogodba;

— zakonska obveznost;

— zaščita življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

— naloga, opravljena v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

— zakoniti interesi, za katere si prizadeva upravljavec ali tretja oseba.

Pojasniti bi bilo treba dva pogoja: privolitev in zakonite interese, za katere si prizadeva upravljavec ali tretja oseba.

3.1.1. Privolitev

Posameznik, na katerega se nanašajo osebni podatki, lahko obdelavo svojih osebnih podatkov dovoli, če da svojo privolitev. To stori z jasnim pritrdilnim dejanjem, ki pomeni, da je prostovoljno, specifično, ozaveščeno in nedvoumno izrazil soglasje k obdelavi osebnih podatkov v zvezi z njim. Taka privolitev zajema vse dejavnosti obdelave, izvedene v isti namen ali namene. Kadar je obdelava večnamenska, je treba privolitev dati za vse namene obdelave. Poleg tega mora biti upravljavec zmožen dokazati, da je posameznik, na katerega se nanašajo osebni podatki, dal privolitev za obdelavo. Molk, vnaprej označena okenca ali nedejavnost zato ne pomenijo privolitve. Opredelitev pojma privolitve zagotavlja kontinuiteto s pravnim redom, ki se je v zvezi z uporabo tega pojma oblikoval na podlagi Direktive 95/46/ES, hkrati pa prispeva k enotnemu razumevanju in uporabi instrumenta privolitve po vsej Evropski uniji.

Poleg tega je zaradi varstva pravice posameznika, na katerega se nanašajo osebni podatki, do varstva njegovih osebnih podatkov, določeno naslednje: če je posameznik, na katerega se nanašajo osebni podatki, privolitev dal v pisni izjavi, ki se nanaša tudi na druge zadeve, noben del izjave, ki pomeni kršitev te uredbe, ni zavezujoč. Hkrati je treba pri oceni tega, ali je privolitev dana prostovoljno, v največji mogoči meri upoštevati, ali je med drugim izvajanje pogodbe pogojeno s privolitvijo v obdelavo, ki ni potrebna za izvedbo zadevne pogodbe.

Da se omogočijo odstopanja od splošne prepovedi obdelave posebnih vrst osebnih podatkov, je v stališču Sveta v prvi obravnavi za obdelavo posebnih vrst osebnih podatkov določen višji prag kot za druge obdelave, saj mora posameznik, na katerega se nanašajo osebni podatki, dati izrecno privolitev za obdelavo takih občutljivih osebnih podatkov.

Kar zadeva otroke, je v stališču Sveta v prvi obravnavi določen poseben varstveni režim za privolitev otrok v zvezi z zagotavljanjem storitev informacijske družbe. Obdelava osebnih podatkov otroka, mlajšega od 16 let, je zakonita, če je ob upoštevanju razpoložljive tehnologije razumno mogoče preveriti, da je takšno privolitev dal ali odobril nosilec starševske odgovornosti za otroka. Države članice, ki menijo, da je ta starost previsoka, lahko določijo nižjo starost, vendar ne manj kot 13 let.

3.1.2. Zakoniti interes upravljavca

Obdelava osebnih podatkov je lahko zakonita, če je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba. Vendar zakoniti interesi niso zadosten razlog za zakonito obdelavo, kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

Za ugotovitev obstoja zakonitega interesa je potrebna ocena, tudi tega, ali posameznik, na katerega se nanašajo osebni podatki, lahko v času pridobivanja osebnih podatkov in v njegovem okviru razumno pričakuje, da se bodo ti obdelali v zadevni namen. Obdelava osebnih podatkov za neposredno trženje se lahko šteje za zakoniti interes. Glede na to, da mora zakonodajalec z zakonom določiti pravno podlago za obdelavo osebnih podatkov s strani javnih organov, to ne velja za obdelavo osebnih podatkov s strani javnih organov pri opravljanju njihovih nalog.

3.2. Specifična pravila držav članic za prilagoditev uporabe uredbe

V stališču Sveta v prvi obravnavi je predvidena možnost, da države članice ohranijo ali uvedejo bolj specifične določbe, s katerimi se prilagodi uporaba pravil iz uredbe, če se osebni podatki obdelujejo zaradi izpolnjevanja zakonske obveznosti ali je obdelava podatkov potrebna za opravljanje naloge, ki se izvaja v javnem interesu, ali pri izvajanju javne oblasti, ki je bila dodeljena upravljavcu. Odstopanja, posebne zahteve in drugi ukrepi so predvideni tudi v zvezi s posebnimi postopki obdelave, s katerimi države članice uskladijo pravico do varstva osebnih podatkov s pravico do svobode izražanja in obveščanja, dostopom javnosti do uradnih dokumentov, obdelavo nacionalnih identifikacijskih številk, obdelavo v kontekstu zaposlovanja in obdelavo v namene arhiviranja v javnem interesu, v znanstvene ali zgodovinskoraziskovalne namene ali statistične namene.

3.3. Nadaljnja obdelava

Stališče Sveta v prvi obravnavi določa, da je obdelava za drug namen, kot za namen, za katerega so bili osebni podatki prvotno pridobljeni, zakonita le, če je nadaljnja obdelava združljiva z nameni, za katere so bili osebni podatki prvotno obdelani. Če pa je posameznik, na katerega se nanašajo osebni podatki, privolil v obdelavo ali če obdelava temelji na pravu Unije ali države članice, kar je nujen in sorazmeren ukrep v demokratični družbi za varovanje zlasti pomembnih ciljev v splošnem javnem interesu, je upravljavcu dovoljeno, da nadalje obdeluje osebne podatke, ne glede na združljivost namenov. V primeru nadaljnje obdelave ima posameznik, na katerega se nanašajo osebni podatki, več pravic, zlasti kar zadeva pravico do informacij in pravico do ugovora zoper takšno nadaljnjo obdelavo, če ni potrebna za opravljanje naloge, ki se izvaja v javnem interesu.

Za ugotovitev, ali je namen nadaljnje obdelave združljiv z namenom, za katerega so bili osebni podatki prvotno pridobljeni, mora upravljavec med drugim upoštevati morebitno povezavo med prvotnimi nameni in nameni načrtovane nadaljnje obdelave, okoliščine, v katerih so bili osebni podatki pridobljeni, zlasti razumna pričakovanja posameznika, na katerega se nanašajo osebni podatki, o nadaljnji uporabi teh podatkov ob upoštevanju njegovega razmerja z upravljavcem, naravo osebnih podatkov, posledice načrtovane nadaljnje obdelave za posameznika, na katerega se nanašajo osebni podatki, in obstoj ustreznih zaščitnih ukrepov, tako pri prvotnih kot pri načrtovanih nadaljnjih postopkih obdelave.

3.4. Obdelava posebnih vrst osebnih podatkov

Posebno varstvo si zaslužijo osebni podatki, ki so po svoji naravi posebej občutljivi, saj bi okoliščine njihove obdelave lahko resno ogrožale temeljne pravice in svoboščine posameznikov. Stališče Sveta v prvi obravnavi zato praviloma ohranja pristop iz Direktive 95/46 in prepoveduje obdelavo posebnih vrst osebnih podatkov.

Kot odstopanje od tega pravila je obdelava občutljivih podatkov dovoljena v nekaterih izčrpno navedenih primerih, na primer če je posameznik, na katerega se nanašajo osebni podatki, dal izrecno privolitev, če je obdelava potrebna iz bistvenih razlogov v javnem interesu ali če je obdelava potrebna za druge namene, med drugim na področju zdravstva.

Stališče Sveta v prvi obravnavi navaja tudi, da lahko države članice določijo dodatne pogoje glede obdelave genetskih ali biometričnih podatkov ali podatkov o zdravstvenem stanju, vključno z omejitvami. Ti dodatni pogoji pa ne smejo ovirati prostega pretoka podatkov v Uniji.

4. Krepitev položaja posameznikov, na katere se nanašajo osebni podatki

4.1. Uvod

Stališče Sveta v prvi obravnavi krepi položaj posameznikov, na katere se nanašajo osebni podatki, saj jim zagotavlja večje pravice glede varstva podatkov in uvaja obveznosti na strani upravljavcev. Pravice posameznikov, na katere se nanašajo osebni podatki, vključujejo pravico do informacij, do dostopa do osebnih podatkov, do popravka, do izbrisa osebnih podatkov, vključno s pravico do pozabe, do omejitve obdelave, do prenosljivosti podatkov, do ugovora in do neveljavnosti odločitve, ki temelji zgolj na avtomatizirani obdelavi, vključno z oblikovanjem profilov. Pravice, ki so v primerjavi z Direktivo 95/46 znatno spremenjene, so pojasnjene v nadaljevanju.

Upravljavci so dolžni omogočati lažje uresničevanje pravic posameznikov, na katere se nanašajo osebni podatki, in osebne podatke obdelovati v skladu z načelom preglednosti, zlasti z zagotovitvijo informacij o obdelavi osebnih podatkov, ki jo izvajajo.

Če pa upravljavec na podlagi osebnih podatkov, ki jih obdeluje, ne more identificirati posameznika, na katerega se nanašajo osebni podatki, upravljavec podatkov ni zavezan pridobiti dodatnih informacij, da bi identificiral posameznika, na katerega se nanašajo osebni podatki, samo zaradi skladnosti s katero koli določbo te uredbe.

Ne glede na te pravice posameznikov, na katere se nanašajo osebni podatki, in te obveznosti upravljavcev stališče Sveta v prvi obravnavi ohranja pristop iz Direktive 95/46 in dovoljuje omejitve splošnih načel in pravic posameznikov, če taka omejitev temelji na pravu Unije ali države članice. Take omejitve morajo upoštevati bistvo temeljnih pravic in svoboščin ter biti nujne in sorazmerne v demokratični družbi za varovanje nekaterih javnih interesov.

4.2. Preglednost

V skladu z načelom preglednosti morajo upravljavci informacije in sporočila, povezana z obdelavo osebnih podatkov, posredovati v berljivi, pregledni, razumljivi in lahko dostopni obliki ter jasnem in preprostem jeziku, kar velja zlasti za vse informacije, namenjene otroku. Informacije je treba posredovati v pisni obliki ali z drugimi – po potrebi elektronskimi – sredstvi.

Stališče Sveta v prvi obravnavi določa tudi roke glede zahtev po informacijah, sporočilu ali katerem koli drugem ukrepu upravljavca, ki jih je treba načeloma zagotoviti brezplačno. Vendar če so zahteve posameznika, na katerega se nanašajo osebni podatki, očitno neutemeljene ali čezmerne, zlasti ker se ponavljajo, lahko upravljavec zaračuna razumno pristojbino, pri čemer upošteva upravne stroške posredovanja informacij ali sporočila oziroma izvajanja zahtevanega ukrepa, ali pa zavrne ukrepanje v zvezi z zahtevo. V teh primerih upravljavec nosi breme dokazovanja očitne neutemeljenosti ali čezmernosti zahteve.

4.3. Informacije in sporočila, ki jih zagotovi upravljavec

Za uravnoteženje potrebe, da se posameznikom, na katere se nanašajo osebni podatki, zagotovijo zadostne informacije o obdelavi njihovih osebnih podatkov, ter potrebe, da se hkrati izognemo obremenjujočim obveznostim upravljavcev, je v stališču Sveta v prvi obravnavi določen dvodelni pristop, ki zagotavlja, da so posamezniki, na katere se nanašajo osebni podatki, ustrezno obveščeni tako v primerih, ko so osebni podatki pridobljeni od njih samih, kot v nasprotnih primerih. Prvič, upravljavec mora posamezniku, na katerega se nanašajo osebni podatki, ob pridobitvi osebnih podatkov zagotoviti informacije, navedene v uredbi. Drugič, zagotoviti mora dodatne informacije, navedene v uredbi, ki so potrebne za zagotovitev poštene in učinkovite obdelave. Upravljavci posameznike, na katere se nanašajo osebni podatki, obvestijo tudi, če nameravajo osebne podatke nadalje obdelovati za drugačen namen od tistega, za katerega so bili prvotno pridobljeni.

Upravljavec pa ni dolžen zagotoviti informacij, navedenih v prvem ali drugem koraku, če ima posameznik, na katerega se nanašajo osebni podatki, te informacije že na voljo. Če osebni podatki niso bili pridobljeni od posameznika, na katerega se nanašajo osebni podatki, upravljavec posamezniku, na katerega se nanašajo osebni podatki, ne da nobenih informacij, če je shranjevanje ali razkritje osebnih podatkov drugim stranem izrecno določeno z zakonom ali če bi se zagotavljanje informacij posamezniku, na katerega se nanašajo osebni podatki, izkazalo za nemogoče ali bi vključevalo nesorazmeren napor.

Upravljavec je dolžen tudi, da vsakemu prejemniku, ki so mu bili osebni podatki razkriti, sporoči vse popravke, izbrise ali omejitve obdelave, razen če se to izkaže za nemogoče ali vključuje nesorazmeren napor. Posameznika, na katerega se nanašajo osebni podatki, mora poleg tega obvestiti o teh prejemnikih, če ta posameznik tako zahteva.

4.4. Ikone

Načela pregledne obdelave zahtevajo, da se posameznik, na katerega se nanašajo osebni podatki, obvesti o obstoju obdelave in njenih namenih. Glede na to je v stališču Sveta v prvi obravnavi določeno, da lahko informacije, ki se predložijo posamezniku, na katerega se nanašajo osebni podatki, spremljajo standardizirane ikone. Upravljavci se lahko prostovoljno odločijo, ali bi bila uporaba teh standardiziranih ikon koristna za obdelavo osebnih podatkov, ki jo izvajajo. Ikone bi morale v jasno razvidni, razumljivi in berljivi obliki zagotoviti smiseln pregled načrtovane obdelave. Ikone je treba uporabiti skupaj z navedbo informacij. Če so ikone navedene v elektronski obliki, morajo biti strojno berljive. Da bi prispevali k standardizirani rabi ikon v EU, uredba na Komisijo prenaša pooblastilo za sprejetje delegiranih aktov, s katerimi se določijo informacije, ki bi morale biti navedene v ikonah, in postopki za določitev standardiziranih ikon. Evropski odbor za varstvo podatkov je dolžan dati mnenje o ikonah, ki jih predlaga Komisija. Možnost sprejetja delegiranih aktov Evropskemu odboru za varstvo podatkov ne preprečuje, da bi izdal smernice, mnenja in najboljše prakse v zvezi z ikonami.

4.5. Pravica do dostopa

Posameznik, na katerega se nanašajo osebni podatki, ima pravico od upravljavca dobiti potrditev, ali se v zvezi z njim obdelujejo osebni podatki, in, če se taki osebni podatki obdelujejo, dostop do informacij, navedenih v uredbi. V uredbi je tako določeno, da mora upravljavec brezplačno zagotoviti kopijo osebnih podatkov, ki se obdelujejo. Za dodatne kopije, ki jih zahteva posameznik, na katerega se nanašajo osebni podatki, lahko upravljavec zaračuna razumno pristojbino ob upoštevanju upravnih stroškov. Pravica do pridobitve kopije ne sme negativno vplivati na pravice in svoboščine drugih.

4.6. Pravica do izbrisa („pravica do pozabe“)

Stališče Sveta v prvi obravnavi določa, da imajo posamezniki, na katere se nanašajo osebni podatki, pravico doseči, da se osebni podatki v zvezi z njimi izbrišejo, če obdelava takih podatkov ni v skladu z uredbo ali pravom Unije ali države članice, ki velja za upravljavca.

S sklicevanjem na „pravico do pozabe“ je priznana tudi potreba po prilagoditvi pravice do izbrisa, zlasti v digitalnem okolju. Upravljavec, ki je objavil osebne podatke, za katere posameznik, na katerega se nanašajo osebni podatki, želi, da se pozabijo, mora ob upoštevanju razpoložljive tehnologije in stroškov izvajanja sprejeti razumne ukrepe, vključno s tehničnimi, da obvesti upravljavce, ki obdelujejo osebne podatke, ki so predmet zahteve posameznika, na katerega se nanašajo osebni podatki, po izbrisu povezav do teh podatkov ali njihovih kopij. Evropski odbor za varstvo podatkov lahko izda smernice, priporočila in najboljše prakse v zvezi s postopki za izbris povezav do osebnih podatkov ali njihovih kopij z javno dostopnih komunikacijskih storitev.

Pravica do izbrisa in obveznost upravljavca, da o zahtevi po izbrisu obvesti druge upravljavce, se ne uporabljata, če je obdelava osebnih podatkov potrebna za namene, izčrpno navedene v uredbi, kot je pravica do svobode izražanja in obveščanja.

4.7. Pravica do prenosljivosti podatkov

Stališče Sveta v prvi obravnavi določa, da bi moral posameznik, na katerega se nanašajo osebni podatki, kadar se obdelava osebnih podatkov izvaja z avtomatiziranimi sredstvi, imeti možnost, da v strukturirani, splošno uporabljani, strojno berljivi in interoperabilni obliki prejme osebne podatke v zvezi z njim, ki jih je posredoval upravljavcu, in te podatke posreduje drugemu upravljavcu. Poleg tega imajo posamezniki, na katere se nanašajo osebni podatki, pravico do tega, da se osebni podatki posredujejo neposredno od enega upravljavca drugemu, če je to tehnično izvedljivo. Tako imajo posamezniki, na katere se nanašajo osebni podatki, še večji nadzor nad svojimi podatki, spodbuja pa se tudi konkurenca med upravljavci.

Vendar pa se pravica do prenosljivosti podatkov ne uporablja za obdelavo, potrebno za opravljanje naloge, ki se izvaja v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu. Če poleg tega določen niz osebnih podatkov zadeva več kot enega posameznika, na katerega se ti podatki nanašajo, pravica tega posameznika do prejetja osebnih podatkov ne posega v pravice in svoboščine drugih.

4.8. Pravica do ugovora

V primerih, ko se lahko osebni podatki zakonito obdelujejo, ker je obdelava potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, ki je bila dodeljena upravljavcu, ali zaradi zakonitih interesov upravljavca ali tretje osebe, ima posameznik, na katerega se nanašajo osebni podatki, pravico ugovarjati obdelavi osebnih podatkov, povezanih z njegovim posebnim položajem. V tem primeru upravljavec ne sme več obdelovati osebnih podatkov, razen če dokaže tehtne zakonite razloge za obdelavo, ki prevladajo nad interesi, pravicami in svoboščinami posameznika, na katerega se nanašajo osebni podatki, ali za uveljavljanje, izvajanje ali obrambo pravnih zahtevkov.

Kadar se osebni podatki obdelujejo za namene neposrednega trženja, ima posameznik, na katerega se nanašajo osebni podatki, pravico, da kadar koli ugovarja obdelavi osebnih podatkov v zvezi z njim. To vključuje oblikovanje profilov, kolikor je povezano s takšnim neposrednim trženjem. Oblikovanje profilov pomeni vsako obliko avtomatizirane obdelave osebnih podatkov, ki vključuje uporabo teh podatkov za ocenjevanje osebnih vidikov v zvezi s fizično osebo, zlasti za analizo ali predvidevanje njene uspešnosti pri delu, ekonomskega položaja, zdravja, osebnega okusa, interesov, zanesljivosti, vedenja, lokacije ali gibanja. Če posameznik, na katerega se nanašajo osebni podatki, ugovarja obdelavi za namene neposrednega trženja, se osebni podatki ne smejo več obdelovati v te namene. Poleg tega je treba posameznika, na katerega se nanašajo osebni podatki, na to pravico izrecno in jasno opozoriti, najpozneje takrat, ko upravljavec osebnih podatkov prvič komunicira z njim.

V stališču Sveta v prvi obravnavi je poleg tega posredno omenjena spletna funkcija „Ne sledi“, saj je določeno, da lahko posameznik, na katerega se nanašajo osebni podatki, v okviru koriščenja storitev informacijske družbe na podlagi tehničnih specifikacij uresničuje pravico do ugovora z avtomatiziranimi sredstvi.

4.9. Avtomatizirano sprejemanje posameznih odločitev, vključno z oblikovanjem profilov

Posameznik, na katerega se nanašajo osebni podatki, ima pravico, da zanj ne velja odločitev, ki temelji zgolj na avtomatizirani obdelavi, vrednoti osebne vidike v zvezi z njim in ima pravne učinke v zvezi z njim ali nanj podobno znatno vpliva. Primer so avtomatska zavrnitev spletne prošnje za posojilo ali prakse zaposlovanja prek spleta brez človeškega posredovanja. Taka avtomatizirana obdelava lahko vključuje oblikovanje profilov. Vendar pa ta pravica ne velja, če je avtomatizirana obdelava:

— nujna za sklenitev ali izvajanje pogodbe med posameznikom, na katerega se nanašajo osebni podatki, in upravljavcem,

— dovoljena v pravu Unije ali države članice, ki velja za upravljavca in določa tudi ustrezne ukrepe za zaščito pravic in svoboščin ter zakonitih interesov posameznika, na katerega se nanašajo osebni podatki, na primer spremljanje goljufij in davčnih utaj, ali

— utemeljena z izrecno privolitvijo posameznika, na katerega se nanašajo osebni podatki.

— Razen v drugem primeru, ko je obdelava dovoljena na podlagi prava Unije ali države članice, mora upravljavec, ki izvaja obdelavo z avtomatiziranimi sredstvi, sprejeti ustrezne ukrepe za zaščito pravic in svoboščin ter zakonitih interesov posameznikov, na katere se nanašajo osebni podatki. Ti zaščitni ukrepi morajo vključevati vsaj pravico do osebnega posredovanja upravljavca ter možnost, da posameznik, na katerega se nanašajo osebni podatki, izrazi svoje stališče in izpodbija odločitev. Za zagotovitev poštene in pregledne obdelave bi morali upravljavci poleg tega uporabiti ustrezne matematične in statistične postopke za oblikovanje profilov ter ukrepe, ki zmanjšujejo morebitna tveganja za interese posameznikov, na katere se nanašajo osebni podatki.

Posameznik, na katerega se nanašajo osebni podatki, ima še več pravic, saj mu je – če je to potrebno za zagotovitev poštene in pregledne obdelave – upravljavec dolžan predložiti informacije o obstoju avtomatiziranega sprejemanja odločitev, vključno z oblikovanjem profila, in vsaj v teh primerih smiselne informacije o razlogih zanj, pa tudi pomen in predvidene posledice take obdelave za posameznika, na katerega se nanašajo osebni podatki.

Avtomatizirano sprejemanje odločitev in oblikovanje profilov na podlagi posebnih vrst osebnih podatkov je poleg tega dovoljeno le pod posebnimi pogoji, vključno s pravico posameznika, na katerega se nanašajo osebni podatki, do ugovora takšni obdelavi, če se ti osebni podatki nadalje obdelujejo v znanstvene ali zgodovinskoraziskovalne namene ali statistične namene, razen če je obdelava potrebna za opravljanje naloge v javnem interesu.

Evropski odbor za varstvo podatkov lahko izda smernice, priporočila in najboljše prakse za dodatno opredelitev meril in pogojev za odločitve, ki temeljijo na oblikovanju profilov.

5. Upravljavec in obdelovalec

5.1. Uvod

Stališče Sveta v prvi obravnavi vzpostavlja pravni okvir za pristojnost in odgovornost upravljavca glede vsake obdelave osebnih podatkov, ki jo izvede upravljavec ali jo obdelovalec izvede v njegovem imenu. V skladu z načelom odgovornosti je upravljavec dolžan izvajati ustrezne tehnične in organizacijske ukrepe ter mora biti zmožen dokazati skladnost dejavnosti obdelave z uredbo. Zato uredba določa pravila o odgovornostih upravljavca glede ocen učinka, vodenja evidence obdelav, kršitev varstva podatkov, imenovanja uradne osebe za varstvo podatkov, kodeksov ravnanja in mehanizmov potrjevanja.

5.2. Ocene učinka

Upravljavec je odgovoren za izvedbo ocene učinka v zvezi z varstvom podatkov, s katero oceni, kdaj bi obdelava verjetno pomenila veliko tveganje za pravice in svoboščine posameznikov. V stališču Sveta v prvi obravnavi so navedeni primeri, ko je ocena učinka v zvezi z varstvom podatkov še posebej potrebna, na primer pri nekaterih specifičnih obsežnih postopkih obdelave. Kadar se na podlagi tovrstne ocene učinka ugotovi, da postopki obdelave pomenijo veliko tveganje, ki ga upravljavec ne more ublažiti z ustreznimi ukrepi v smislu razpoložljive tehnologije in stroškov izvajanja, se je treba pred obdelavo posvetovati z nadzornim organom. Nadzorni organ lahko nato svetuje upravljavcu in uporabi katero koli od svojih pooblastil.

Evropski odbor za varstvo podatkov lahko izda smernice za postopke obdelave, za katere je verjetno, da bodo pomenili veliko tveganje za pravice in svoboščine posameznikov, ter navede, kateri ukrepi bi v takih primerih lahko zadostovali za obravnavanje morebitnega tveganja.

5.3. Evidenca dejavnosti obdelave

Da bi nadzorni organ lahko naknadno izvajal nadzor, mora upravljavec ali predstavnik upravljavca, če obstaja, ali obdelovalec voditi evidenco dejavnosti obdelave, za katere je odgovoren, tudi o kršitvah varstva podatkov. Da bi se zmanjšalo upravno breme, obveznost vodenja evidence ne velja za podjetja ali organizacije, ki zaposlujejo manj kot 250 oseb, razen če je verjetno, da bo obdelava, ki jo izvajajo, pomenila tveganje za pravice in svoboščine posameznikov, na katere se nanašajo osebni podatki, in ni občasna, ali če obdelava vključuje občutljive podatke ali podatke v zvezi s kazenskimi obsodbami in prekrški.

5.4. Kršitve varstva podatkov

Kršitev varstva osebnih podatkov lahko posameznikom povzroči fizično, materialno ali nematerialno škodo, kot je izguba nadzora nad njihovimi osebnimi podatki ali omejitev njihovih pravic, diskriminacija, kraja ali zloraba identitete, finančna izguba, neodobrena reverzija psevdonimizacije, okrnitev ugleda, izguba zaupnosti podatkov, zaščitenih s poklicno skrivnostjo, ali katera koli druga gospodarska ali socialna škoda. V stališču Sveta v prvi obravnavi je določeno, da morajo upravljavci o kršitvah varstva podatkov uradno obvestiti nadzorne organe, razen če ni verjetno, da bi kršitev varstva podatkov pomenila tveganje za pravice in svoboščine posameznikov. Zadevne posameznike, na katere se nanašajo osebni podatki, morajo tudi obvestiti o tistih kršitvah, ki bodo verjetno pomenile veliko tveganje. Nadzorni organi bodo na podlagi uradnega obvestila lahko posredovali, če bo to potrebno. Poleg tega bo zadevni posameznik, na katerega se nanašajo osebni podatki, na podlagi obvestila lahko sprejel previdnostne ukrepe.

Da bi se zmanjšalo upravno breme, so v stališču Sveta v prvi obravnavi določeni različni pogoji za uradna obvestila nadzornim organom in obvestila zadevnim posameznikom, na katere se nanašajo osebni podatki, pri čemer so pogoji za obveščanje posameznikov manj strogi kot za uradno obveščanje. Upravljavci morajo takoj, ko so seznanjeni s kršitvijo varstva osebnih podatkov, brez nepotrebnega odlašanja, po možnosti pa najpozneje v 72 urah po seznanitvi, o njej uradno obvestiti pristojni nadzorni organ. Upravljavcem ni treba uradno obvestiti nadzornega organa, če lahko dokažejo, da ni verjetno, da bi kršitev varstva osebnih podatkov pomenila tveganje za pravice in svoboščine posameznikov. Razen nekaterih izjem so upravljavci dolžni brez nepotrebnega odlašanja obvestiti posameznike, na katere se nanašajo osebni podatki, o kršitvi varstva podatkov, če je verjetno, da bi kršitev varstva osebnih podatkov prinesla veliko tveganje za pravice in svoboščine teh posameznikov.

Evropski odbor za varstvo podatkov lahko izdaja smernice, priporočila in najboljše prakse za ugotavljanje kršitev varstva podatkov in opredelitev izraza „nepotrebno odlašanje“, potem ko je bil upravljavec seznanjen s kršitvijo, in za posebne okoliščine, v katerih se od upravljavca zahteva, da predloži uradno obvestilo o kršitvi varstva osebnih podatkov, pa tudi za okoliščine, v katerih je verjetno, da bi kršitev varstva osebnih podatkov prinesla veliko tveganje za pravice in svoboščine posameznikov.

5.5. Uradna oseba za varstvo podatkov

Namen imenovanja uradne osebe za varstvo podatkov je zagotoviti večjo skladnost z uredbo. Zato mora imeti uradna oseba za varstvo podatkov strokovno znanje o pravu in praksah na področju varstva podatkov ter mora upravljavcu ali obdelovalcu pomagati pri spremljanju notranje skladnosti s to uredbo. Ta oseba je lahko član osebja upravljavca ali obdelovalca ali pa naloge opravlja na podlagi pogodbe o storitvah. Ena sama uradna oseba za varstvo podatkov se lahko določi tudi za povezano družbo ali v primeru, da je upravljavec ali obdelovalec javni organ. Stališče Sveta v prvi obravnavi določa, da je treba osebo za varstvo podatkov obvezno imenovati, kadar:

— obdelavo opravlja javni organ, razen sodišč ali neodvisnih pravosodnih organov, kadar delujejo kot sodni organ,

— temeljne dejavnosti upravljavca ali obdelovalca zajemajo postopke obdelave, ki zaradi svoje narave, obsega in/ali namenov zahtevajo redno in sistematično obsežno spremljanje posameznikov, na katere se nanašajo osebni podatki, ali

— temeljne dejavnosti upravljavca ali obdelovalca zajemajo obsežno obdelavo občutljivih podatkov ter podatkov v zvezi s kazenskimi obsodbami in prekrški.

5.6. Kodeksi ravnanja in mehanizmi potrjevanja

V stališču Sveta v prvi obravnavi se spodbuja uporaba kodeksov ravnanja, pa tudi splošna uporaba mehanizmov potrjevanja za varstvo podatkov ter pečatov in označb za varstvo podatkov. Ta pristop prispeva k spoštovanju pravil o varstvu podatkov, hkrati pa preprečuje preveč preskriptivna pravila in zmanjšuje stroške za javne organe, pristojne za izvrševanje. Poleg tega lahko kodeksi ravnanja upoštevajo posebne značilnosti obdelave, ki se izvaja v nekaterih sektorjih, ter potrebe mikro-, malih in srednjih podjetij. Mehanizmi potrjevanja ter pečati in označbe za varstvo podatkov prispevajo k večji skladnosti z uredbo, saj lahko posamezniki, na katere se nanašajo osebni podatki, enostavno ocenijo raven varstva podatkov zadevnih proizvodov in storitev.

Stališče Sveta v prvi obravnavi vsebuje širok nabor pravil o kodeksih ravnanja in mehanizmih potrjevanja ter pečatih in označbah za varstvo podatkov, ki omogočajo zasebno pobudo, hkrati pa z vključitvijo nadzornih organov ščitijo standarde varstva podatkov.

5.6.1. Kodeksi ravnanja

Nadzorni organ lahko odobri kodeks ravnanja, njegove spremembe ali njegovo razširitev. Kadar se osnutek kodeksa ravnanja nanaša na dejavnosti obdelave v več državah članicah, mora pristojni nadzorni organ osnutek kodeksa, njegovo spremembo ali razširitev pred odobritvijo predložiti v mnenje Evropskemu odboru za varstvo podatkov.

Komisija lahko sprejme izvedbene akte, s katerimi sklene, da so novi kodeksi ravnanja in spremembe ali razširitve veljavnih kodeksov ravnanja, ki so jih odobrili pristojni nadzorni organi, v Uniji splošno veljavni.

Evropski odbor za varstvo podatkov bi moral spodbujati pripravo kodeksov ravnanja. Vse odobrene kodekse ravnanja in spremembe teh kodeksov mora tudi zbrati v registru in jih na ustrezne načine objaviti.

5.6.2. Mehanizmi potrjevanja, pečati in označbe za varstvo podatkov

V stališču Sveta v prvi obravnavi je določeno, da mora vsaka država članica navesti, ali je organe za potrjevanje pooblastil nadzorni organ ali nacionalni akreditacijski organ. Pooblaščeni organi za potrjevanje lahko izdajo potrdilo upravljavcem in obdelovalcem na podlagi meril, ki jih odobri pristojni nadzorni organ ali – v skladu z mehanizmom za skladnost – Evropski odbor za varstvo podatkov. V slednjem primeru je lahko rezultat meril, ki jih odobri Evropski odbor za varstvo podatkov, skupno potrjevanje, tj. evropski pečat za varstvo podatkov. Potrdilo se upravljavcu ali obdelovalcu izda za največ tri leta in se lahko podaljša. Organ za potrjevanje mora nadzornemu organu utemeljiti dodelitev ali preklic zahtevanega potrdila. To pomeni, da lahko nadzorni organ takšno potrdilo zavrne ali razveljavi.

Komisija je pristojna za sprejemanje delegiranih aktov, s katerimi določi zahteve, ki se upoštevajo za mehanizme potrjevanja za varstvo podatkov. Evropski odbor za varstvo podatkov mora dati mnenje o teh zahtevah. Komisija lahko sprejme tudi izvedbene akte o tehničnih standardih za mehanizme potrjevanja ter pečate in označbe za varstvo podatkov ter mehanizme za spodbujanje uporabe in priznavanje mehanizmov potrjevanja ter pečatov in označb za varstvo podatkov.

Evropski odbor za varstvo podatkov bi moral spodbujati vzpostavljanje mehanizmov potrjevanja za varstvo podatkov ter pečatov in označb za varstvo podatkov.

6. Prenos osebnih podatkov v tretje države ali mednarodne organizacije

6.1. Uvod

Čezmejni prenosi osebnih podatkov v države zunaj Unije in mednarodne organizacije ter iz njih so ključni za svetovno trgovino in čezmejno digitalno ekonomijo. Raven varstva, ki jo zagotavlja Unija, ne sme biti ogrožena, ko se osebni podatki državljanov EU prenašajo zunaj Unije.

Na splošno velja, da se osebni podatki lahko prenesejo v tretjo državo ali mednarodno organizacijo le, če upravljavci in obdelovalci spoštujejo pravila uredbe. V stališču Sveta v prvi obravnavi je v celoti upoštevana sodna praksa Sodišča Evropske unije, vključno z njegovo sodbo v zadevi C-362/14 z dne 6. oktobra 2015. V stališču Sveta so ohranjeni različni načini, ki omogočajo čezmejne prenose osebnih podatkov, hkrati pa so v njem boljša zagotovila, da bodo pravice do varstva podatkov spoštovane. Ti različni načini za prenos osebnih podatkov so sklepi o ustreznosti, ustrezni zaščitni ukrepi in odstopanja.

V stališču Sveta v prvi obravnavi je pojasnjeno, da se lahko sodba sodišča in odločba upravnega organa tretje države, ki od upravljavca ali obdelovalca zahteva prenos ali razkritje osebnih podatkov, prizna ali izvrši na kateri koli način le, če temelji na mednarodnem sporazumu, sklenjenem med tretjo državo prosilko in Unijo ali državo članico. Poleg tega je v stališču Sveta v prvi obravnavi izrecno določeno, da takšni mednarodni sporazumi ne posegajo v druge razloge za čezmejne prenose, ki jih predvideva uredba.

6.2. Sklepi o ustreznosti

Mednarodni prenosi se lahko izvedejo na podlagi sklepa Komisije o ustreznosti, da zadevna tretja država, ozemlje, eden ali več določenih sektorjev v tej tretji državi ali mednarodna organizacija zagotavlja raven varstva podatkov, ki je v osnovi enakovredna tisti, zagotovljeni v Uniji. S tem sta zagotovljeni pravna varnost in enotnost po vsej Uniji.

Komisija lahko, potem ko tretjo državo ali mednarodno organizacijo uradno obvesti in ji zadevo v celoti obrazloži, odloči, da sklep o ustreznosti razveljavi. Komisija sprejme sklepe o ustreznosti in sklepe o razveljavitvi tovrstnih sklepov v obliki izvedbenih aktov. V izvedbenih aktih mora biti določen mehanizem za redni pregled vsaj vsaka štiri leta. Komisija mora spremljati razvoj dogodkov v tretjih državah in mednarodnih organizacijah, ki bi lahko vplival na izvajanje sklepov o ustreznosti. Komisija bi morala za namene spremljanja in izvajanja rednih pregledov upoštevati stališča in ugotovitve Evropskega parlamenta in Sveta ter drugih ustreznih organov in virov. V kontekstu vrednotenja in pregleda uredbe mora Komisija tudi redno poročati Svetu in Evropskemu parlamentu. Evropski odbor za varstvo podatkov mora Komisiji predložiti mnenje, v katerem oceni ustreznost ravni varstva v tretji državi ali mednarodni organizaciji, pa tudi, ali se še zagotavlja ustrezna raven varstva.

Sklepi, ki jih je Komisija sprejela na podlagi člena 25(6) Direktive 95/46/ES, ostanejo veljavni, dokler jih Komisija s sklepom ne spremeni, nadomesti ali razveljavi. Podobno dovoljenja države članice ali nadzornega organa na podlagi člena 26(2) Direktive 95/46/ES in sklepi, ki jih je Komisija sprejela na podlagi člena 26(4) Direktive 95/46/ES, ostanejo veljavni, dokler jih zadevni nadzorni organ oziroma sklep Komisije ne spremeni, nadomesti ali razveljavi, če je to potrebno. Stališče Sveta v prvi obravnavi zagotavlja kontinuiteto, s tem pa pravno varnost.

6.3. Ustrezni zaščitni ukrepi

Čezmejni prenosi se poleg s sklepi o ustreznosti lahko izvedejo tudi, če je upravljavec ali obdelovalec sprejel ustrezne zaščitne ukrepe, s katerimi nadomesti nezadostno varstvo podatkov v tretji državi ali mednarodni organizaciji. Taki zaščitni ukrepi lahko obsegajo pravno zavezujoče in izvršljive instrumente med javnimi organi, zavezujoča poslovna pravila, standardna določila Komisije o varstvu podatkov, standardna določila nadzornega organa o varstvu podatkov ali pogodbena določila, ki jih je odobril nadzorni organ. Upravljavci ali obdelovalci v tretji državi lahko prav tako zagotovijo ustrezne zaščitne ukrepe za prenose osebnih podatkov v tretje države ali mednarodne organizacije. To lahko storijo z odobrenim kodeksom ravnanja skupaj z zavezujočimi in izvršljivimi zavezami, da se bodo ustrezni zaščitni ukrepi uporabljali prek pogodbenih ali drugih pravno zavezujočih instrumentov, tudi glede pravic posameznikov, na katere se nanašajo osebni podatki. To lahko storijo tudi z mehanizmom potrjevanja, ki ga odobri pristojni nadzorni organ, ter zavezujočimi in izvršljivimi zavezami upravljavca ali obdelovalca v tretji državi, da bo uporabljal ustrezne zaščitne ukrepe, tudi glede pravic posameznikov, na katere se nanašajo osebni podatki.

6.4. Odstopanja

Če ni sklepa o ustreznosti ali ustreznih zaščitnih ukrepov, se lahko prenos ali niz prenosov osebnih podatkov v tretjo državo ali mednarodno organizacijo izvede na podlagi odstopanj, ki so izčrpno navedena v uredbi. Eno od teh odstopanj zadeva zakonite interese upravljavca, če interesi ali pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ne prevladajo nad takšnimi interesi. Da bi zagotovili zadostne zaščitne ukrepe za čezmejne prenose osebnih podatkov, so zakoniti interesi upravljavca strogo omejeni in se je na njih mogoče sklicevati le v skrajnem primeru. Zaradi dosledne uporabe uredbe mora Evropski nadzornik za varstvo podatkov na lastno pobudo ali na zahtevo Komisije izdati in pregledati smernice, priporočila in najboljše prakse za dodatno opredelitev meril in pogojev za prenos podatkov, ko ni sklepa o ustreznosti ali ustreznih zaščitnih ukrepov.

7. Nadzorni organi

7.1. Neodvisnost

Da se zaščitijo temeljne pravice in svoboščine posameznikov v zvezi z obdelavo njihovih osebnih podatkov ter olajša prost pretok osebnih podatkov v Uniji, mora vsaka država članica določiti, da je eden ali več neodvisnih javnih organov pristojnih za spremljanje uporabe te uredbe na njenem ozemlju. Vsi nadzorni organi in njihovi člani morajo pri opravljanju nalog in izvajanju pooblastil, ki so bila posameznemu nadzornemu organu in njegovim članom zaupana, ravnati popolnoma neodvisno in neoporečno.

Vsak nadzorni organ mora prispevati k dosledni uporabi te uredbe v vsej Uniji. V ta namen morajo nadzorni organi sodelovati med seboj in z Evropskim odborom za varstvo podatkov, pa tudi s Komisijo. Dosledna uporaba uredbe se zagotovi tudi z določitvijo pristojnosti nadzornih organov ter z opredelitvijo nalog in najmanjšega obsega pooblastil za preiskovanje, pooblastil za sprejemanje korektivnih ukrepov ter pooblastil v zvezi z odobritvami in svetovanjem, ki jih morajo imeti nadzorni organi.

7.2. Poklicna skrivnost

Stališče Sveta v prvi obravnavi za nadzorne organe in njihove člane določa pravila o poklicni skrivnosti. Član oziroma člani in osebje posameznega nadzornega organa morajo biti v skladu s pravom Unije ali države članice tako med svojim mandatom kot po njem dolžni varovati poklicno skrivnost v zvezi z vsemi zaupnimi informacijami, s katerimi so se seznanili med opravljanjem svojih nalog ali izvajanjem svojih pooblastil. Nadalje je določeno, da v času njihovega mandata ta dolžnost varovanja poklicne skrivnosti velja zlasti za poročanje posameznikov o kršitvah te uredbe. Poleg tega ima Evropski odbor za varstvo podatkov nalogo, da izdaja smernice, priporočila in najboljše prakse, s katerimi določi skupne postopke za poročanje posameznikov o kršitvah te uredbe.

8. Sodelovanje in skladnost

8.1. Evropski odbor za varstvo podatkov

S stališčem Sveta v prvi obravnavi se ustanavlja Evropski odbor za varstvo podatkov kot organ Unije, ki je pravna oseba, da bi zagotavljal pravilno in dosledno uporabo te uredbe. Odbor v svojih prispevkih zlasti daje mnenja, sprejema zavezujoče odločitve v okviru reševanja sporov med nadzornimi organi ali izdaja smernice v zvezi s kakršnim koli vprašanjem, ki zadeva uporabo te uredbe, da se zagotovi usklajeno izvrševanje uredbe.

Evropski odbor za varstvo podatkov sestavljajo vodje enega nadzornega organa iz vsake države članice in Evropski nadzornik za varstvo podatkov ali njihovi predstavniki. Komisija ima pravico, da sodeluje pri dejavnostih in na sestankih Evropskega odbora za varstvo podatkov, nima pa glasovalne pravice. Kot je določeno v poslovniku Evropskega odbora za varstvo podatkov, so razprave odbora, kadar ta meni, da je to potrebno, zaupne.

Če Evropski odbor za varstvo podatkov sprejme zavezujočo odločitev v okviru reševanja sporov, ima Evropski nadzornik za varstvo podatkov glasovalno pravico le pri odločitvah v zvezi z načeli in pravili, ki se uporabljajo za institucije, organe, urade in agencije Unije ter po vsebini ustrezajo načelom in pravilom iz te uredbe.

8.2. Mehanizem za skladnost

V primeru čezmejne obdelave osebnih podatkov, v katero je vključen več kot en nadzorni organ, je z mehanizmom za skladnost zagotovljeno, da bo sprejeta ena sama odločitev, ki bo veljala v vsej Evropski uniji, hkrati pa bodo upoštevana mnenja različnih zadevnih nadzornih organov. Mehanizem za skladnost torej zbližuje posameznike, na katere se nanašajo osebni podatki, in nadzorni organ, ki sprejema odločitve, z vključitvijo „lokalnih“ nadzornih organov v postopek odločanja. Poleg tega je v sporih med nadzornimi organi iz različnih držav članic za sprejemanje zavezujočih odločitev pristojen novoustanovljeni Evropski odbor za varstvo podatkov.

Pravila o mehanizmu za skladnost se ne uporabljajo, kadar obdelavo izvajajo javni organi ali zasebna telesa, ki delujejo v javnem interesu. V takih primerih je edini nadzorni organ, pristojen za izvajanje pooblastil, nadzorni organ države članice, v kateri je sedež zadevnega javnega organa ali zasebnega subjekta.

V stališču Sveta v prvi obravnavi je določeno, da bo uporaba mehanizma za sodelovanje in skladnost pregledana v okviru vrednotenja uredbe s strani Komisije.

9. Pravna sredstva, odgovornost in kazni

V stališču Sveta v prvi obravnavi je določen širok nabor pravil, ki posameznikom, na katere se nanašajo osebni podatki, omogočajo več pravnih sredstev, vključno z zahtevo po odškodnini zaradi škode, ki je posledica kršitve uredbe.

9.1. Pravica do vložitve pritožbe in pravica do pravnega sredstva

V stališču Sveta v prvi obravnavi je določeno, da ima vsak posameznik, na katerega se nanašajo osebni podatki, pravico, da vloži pritožbo pri nadzornem organu, če meni, da obdelava osebnih podatkov v zvezi z njim ni skladna s to uredbo. Poleg tega ima vsak posameznik, na katerega se nanašajo osebni podatki, pravico do učinkovitega pravnega sredstva zoper pravno zavezujočo odločitev nadzornega organa v zvezi z njim. Pravico do učinkovitega pravnega sredstva ima tudi, če nadzorni organ ne obravnava pritožbe ali če ne zagotovi informacij o napredku glede pritožbe ali odločitvi o pritožbi.

Vsak posameznik, na katerega se nanašajo osebni podatki, ima prav tako pravico do učinkovitega pravnega sredstva, če meni, da so bile njegove pravice iz te uredbe kršene zaradi obdelave njegovih osebnih podatkov, ki ni skladna z uredbo.

Bližina med posameznikom, na katerega se nanašajo osebni podatki, in nacionalnim sodiščem je zagotovljena, saj je posameznik, na katerega se nanašajo osebni podatki, upravičen do tega, da odločitev njegovega organa za varstvo podatkov preizkusi njegovo nacionalno sodišče, ne glede na to, v kateri državi članici ima upravljavec ali obdelovalec sedež. Za postopke zoper upravljavca ali obdelovalca so pristojna sodišča države članice, v kateri ima upravljavec ali obdelovalec sedež. Alternativno so za takšne postopke pristojna tudi sodišča države članice, v kateri ima posameznik, na katerega se nanašajo osebni podatki, svoje običajno prebivališče, razen če je upravljavec ali obdelovalec javni organ države članice, ki izvaja svoja javna pooblastila.

Vsaka fizična ali pravna oseba ima tudi pravico, da pod pogoji iz člena 263 PDEU pred Sodiščem Evropske unije vloži zahtevek za razveljavitev odločitev Evropskega odbora za varstvo podatkov.

9.2. Zastopanje posameznikov, na katere se nanašajo osebni podatki

Posameznik, na katerega se nanašajo osebni podatki, ima pravico, da organe, organizacije ali združenja, ki izpolnjujejo določena merila, kot je, da so nepridobitne narave in dejavni na področju varstva osebnih podatkov, pooblasti, da v njegovem imenu vložijo pritožbo, v njegovem imenu uresničujejo pravico do pravnega sredstva in v njegovem imenu uresničujejo pravico do odškodnine, če je to določeno v nacionalnem pravu. Namen teh specifičnih meril je preprečiti razvoj kulture komercialnih zahtevkov na področju varstva podatkov. Poleg tega lahko države članice določijo, da ima kateri koli organ, organizacija ali združenje neodvisno od pooblastila posameznika, na katerega se nanašajo osebni podatki, v tej državi članici pravico, da vloži pritožbo pri pristojnem nadzornem organu in da uresničuje pravice v zvezi s pravnim sredstvom, če meni, da so pravice posameznika, na katerega se nanašajo osebni podatki, kršene zaradi obdelave osebnih podatkov, ki ni skladna s to uredbo.

9.3. Začasna ustavitev postopka

Da se prepreči, da bi na različnih sodiščih tekel postopek v zvezi z enako vsebino, kar zadeva obdelavo s strani istega upravljavca ali obdelovalca, lahko katero koli pristojno sodišče, razen sodišča, pred katerim se je postopek najprej začel, začasno ustavi postopek ali se na zahtevo ene od strank izreče za nepristojno.

9.4. Pravica do odškodnine in odgovornost

V stališču Sveta v prvi obravnavi je določeno, da ima vsak posameznik, na katerega se nanašajo osebni podatki, ki je utrpel materialno ali nematerialno škodo zaradi kršitve uredbe, pravico, da od upravljavca ali obdelovalca dobi odškodnino. Da bi imeli posamezniki, na katere se nanašajo osebni podatki, možnost zahtevati odškodnino zaradi škode in da se obenem zagotovi pravna varnost upravljavcem in obdelovalcem, uredba določa njihovo odgovornost. Vsak upravljavec, vključen v obdelavo, je odgovoren za škodo, ki jo povzroči. Obdelovalec je odgovoren le, kadar ne izpolnjuje obveznosti iz te uredbe, ki so posebej določene za obdelovalce, ali je prekoračil zakonita navodila upravljavca ali ravnal v nasprotju z njimi. Upravljavec ali obdelovalec pa ni odgovoren, če dokaže, da v nobenem primeru ni odgovoren za dogodek, ki povzroči škodo.

Kadar so v isto obdelavo vključeni več kot en upravljavec ali obdelovalec ali sta vključena upravljavec in obdelovalec in kadar so ti odgovorni za katero koli škodo, nastalo zaradi obdelave, je vsak upravljavec ali obdelovalec odgovoren za celotno škodo, da se zagotovi, da posameznik, na katerega se nanašajo osebni podatki, prejme učinkovito odškodnino. Kadar pa je upravljavec ali obdelovalec plačal celotno odškodnino za nastalo škodo, je ta upravljavec ali obdelovalec upravičen, da od drugih upravljavcev ali obdelovalcev, vključenih v isto obdelavo, zahteva povračilo tistega dela odškodnine, ki ustreza njihovemu delu odgovornosti za škodo.

9.5. Kazni

Da bi zagotovili spoštovanje uredbe, je v stališču Sveta v prvi obravnavi določeno, da nadzorni organi lahko naložijo upravne globe. Te globe morajo biti učinkovite, sorazmerne in odvračilne. Država članica lahko določi, če in v kakšnem obsegu se lahko upravne globe naložijo javnim organom in telesom s sedežem v zadevni državi članici. Nadzorni organi lahko poleg naložitve upravnih glob uporabijo tudi pooblastila za sprejemanje drugih korektivnih ukrepov, kot so opozorila in graje. Zaradi večje harmonizacije mora Evropski odbor za varstvo podatkov pripraviti smernice za nadzorne organe v zvezi z uporabo pooblastil nadzornega organa za korektivne ukrepe in določitvijo upravnih glob.

Stališče Sveta v prvi obravnavi vsebuje seznam meril za nadzorni organ pri odločanju o tem, ali se naloži upravna globa, in o višini upravne globe. Ta merila med drugim zadevajo naravo, težo in trajanje kršitve uredbe ter dejstvo, ali je kršitev namerna ali posledica malomarnosti. V uredbi so navedene kršitve in ustrezne najvišje upravne globe. V okviru teh najvišjih upravnih glob mora nadzorni organ določiti ustrezno višino glede na okoliščine posamezne kršitve. Da bi zagotovili pravno varnost upravljavcem in obdelovalcem ter večjo harmonizacijo upravnih glob v Uniji, hkrati pa nadzornim organom zagotovili določeno diskrecijsko pravico, so te kršitve razdeljene v tri kategorije. Kršitve v prvi kategoriji, ki zadeva obveznosti upravljavcev in obdelovalcev, se lahko kaznujejo z upravno globo do 10 000 000 EUR, v primeru podjetja pa do 2 % skupnega svetovnega letnega prometa v preteklem proračunskem letu, odvisno od tega, kateri znesek je višji. Druga kategorija kršitev, ki zadeva pravice posameznikov, na katere se nanašajo osebni podatki, in splošna načela, se kaznuje z največ 20 000 000 EUR ali 4 % prometa. Tretja kategorija kršitev zadeva neupoštevanje odredbe, ki jo izda nadzorni organ, in se prav tako kaznuje z globo v znesku največ 20 000 000 EUR ali 4 % prometa.

10. Posebni primeri obdelave podatkov

10.1. Obdelava osebnih podatkov ter svoboda izražanja in obveščanja

Države članice morajo z zakonom uskladiti pravico do varstva osebnih podatkov s pravico do svobode izražanja in obveščanja, vključno z obdelavo osebnih podatkov v novinarske namene in zaradi akademskega, umetniškega ali književnega izražanja. Da se zagotovi preglednost glede usklajenosti teh pravic, mora vsaka država članica Komisijo uradno obvestiti o zadevnih določbah zakonov in spremembah teh določb, pa tudi o zadevnih novih določbah.

10.2. Obdelava v okviru zaposlitve

Države članice lahko v zakonu ali kolektivnih pogodbah določijo podrobnejša pravila za zagotovitev varstva pravic in svoboščin v zvezi z obdelavo osebnih podatkov zaposlenih v okviru zaposlitve.

Ta pravila morajo vključevati ustrezne in posebne ukrepe za zaščito človeškega dostojanstva, zakonitih interesov in temeljnih pravic posameznika, na katerega se nanašajo osebni podatki. Vsaka država članica mora Komisijo uradno obvestiti o zadevnih določbah zakonov in spremembah teh določb, pa tudi o zadevnih novih določbah.

10.3. Zaščitni ukrepi in odstopanja pri obdelavi osebnih podatkov v namene arhiviranja v javnem interesu, v znanstvene ali zgodovinskoraziskovalne namene ali statistične namene

V stališču Sveta v prvi obravnavi so določena posebna pravila za obdelavo osebnih podatkov v namene arhiviranja v javnem interesu, v znanstvene ali zgodovinskoraziskovalne namene ali statistične namene. Cilj teh pravil je uskladitev po eni strani interesa, da so na voljo osebni podatki za arhive, da se zagotavljajo statistični podatki in omogoči raziskovalno delo, ter po drugi strani pravic do varstva podatkov.

Pri obdelavi osebnih podatkov v namene arhiviranja v javnem interesu, v znanstvene ali zgodovinskoraziskovalne namene ali statistične namene je treba zagotoviti ustrezne zaščitne ukrepe za pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, v skladu z uredbo. Državam članicam se dovoli, da pod določenimi pogoji in ob upoštevanju ustreznih zaščitnih ukrepov za posameznike, na katere se nanašajo osebni podatki, določijo specifikacije in odstopanja v zvezi z zahtevami po informacijah in pravicami do popravka, izbrisa, pozabe, omejitve obdelave in prenosljivosti podatkov ter do ugovora pri obdelavi osebnih podatkov v namene arhiviranja v javnem interesu, v znanstvene ali zgodovinskoraziskovalne namene ali statistične namene.

Stališče Sveta v prvi obravnavi omogoča tudi odstopanje od prepovedi obdelave občutljivih osebnih podatkov v primeru obdelave v namene arhiviranja v javnem interesu, v znanstvene ali zgodovinskoraziskovalne namene ali statistične namene. Takšno odstopanje je dovoljeno, če zadevna obdelava temelji na pravu Unije ali nacionalnem pravu, ki mora biti sorazmerno z zastavljenim ciljem, spoštovati bistvo pravice do varstva podatkov ter zagotavljati ustrezne in posebne ukrepe za zaščito temeljnih pravic in interesov posameznika, na katerega se nanašajo osebni podatki.

11. Predhodno sklenjeni sporazumi

V stališču Sveta v prvi obravnavi je določeno, da mednarodni sporazumi, ki vključujejo prenos osebnih podatkov v tretje države ali mednarodne organizacije in ki so jih države članice sklenile pred začetkom veljavnosti te uredbe ter so skladni s pravom Unije, ki se je uporabljalo pred začetkom veljavnosti te uredbe, ostanejo veljavni, dokler niso spremenjeni, nadomeščeni ali razveljavljeni. S tem bo zagotovljena pravna varnost upravljavcem in preprečeno nepotrebno upravno breme za države članice. S tem pa je upoštevano tudi, da so države članice odvisne od pripravljenosti tretjih držav ali mednarodnih organizacij za spremembo veljavnih sporazumov.

IV. SKLEP

Stališče Sveta v prvi obravnavi odraža kompromis, ki je bil ob pomoči Komisije dosežen v neuradnih pogajanjih med Svetom in Evropskim parlamentom. Svet poziva Evropski parlament, naj uradno odobri stališče Sveta v prvi obravnavi brez sprememb, da bo mogoče vzpostaviti nov zakonodajni okvir EU za varstvo podatkov, ki bo okrepil pravice do varstva podatkov, obenem pa olajšal pretok osebnih podatkov na digitalnem trgu.