EVROPSKA KOMISIJA Bruselj, 25.7.2022 COM(2022) 364 final SPOROČILO KOMISIJE EVROPSKEMU PARLAMENTU IN SVETU Prvo poročilo o uporabi in delovanju Direktive (EU) 2016/680 o varstvu podatkov pri preprečevanju, odkrivanju in preiskovanju kaznivih dejanj



SPOROČILO KOMISIJE EVROPSKEMU PARLAMENTU IN SVETU Prvo poročilo o uporabi in delovanju Direktive (EU) 2016/680 o varstvu podatkov pri preprečevanju, odkrivanju in preiskovanju kaznivih dejanj Kazalo 1 Direktiva (EU) 2016/680 kot glavni instrument za zagotavljanje varstva podatkov v varnostni politiki Evropske unije 1.1 Ključni element skladnega okvira Evropske unije za varstvo podatkov 1.2 Bistven prispevek k trdni varnostni politiki v Evropski uniji 1.3 Pomembni premisleki v zvezi s pripravo poročila 2 Kljub zadovoljivemu prenosu v nacionalno zakonodajo številna vprašanja še vedno nerešena 2.1 Prenos v nacionalno zakonodajo na splošno popoln, vendar z nekaterimi težavami v zvezi s posebnimi določbami 2.2 Prednostne naloge pri ocenjevanju skladnosti 2.2.1 Področje uporabe Direktive (EU) 2016/680 2.2.2 Upravljanje in pooblastila nadzornih organov za varstvo podatkov 2.2.3 Pravna sredstva 2.2.4 Rok hrambe in pregled 2.2.5 Pravna podlaga za obdelavo, vključno s posebnimi vrstami osebnih podatkov 2.2.6 Avtomatizirano sprejemanje odločitev 2.2.7 Pravice posameznikov, na katere se nanašajo osebni podatki

2.2.8 Nekatere pomembne določbe, specifične za Direktivo (EU) 2016/680 3 Prva spoznanja, pridobljena pri uporabi in delovanju Direktive (EU) 2016/680 3.1 Pritožbe in pozitiven vpliv na pravice posameznikov, na katere se nanašajo osebni podatki 3.2 Večja ozaveščenost pristojnih organov o varstvu podatkov 3.3 Boljša varnost podatkov, a razlike v obvestilih o kršitvi varnosti podatkov 3.4 Nadzor s strani nadzornih organov za varstvo podatkov 3.4.1 Viri nadzornih organov za varstvo podatkov 3.4.2 Uporaba pooblastil 3.4.3 Sodni nadzor nad ukrepi nadzornih organov za varstvo podatkov 3.4.4 Smernice EOVP 3.4.5 Medsebojna pomoč 3.5 Prožen instrument za mednarodne prenose podatkov 3.5.1 Sklepi o ustreznosti 3.5.2 Ustrezni zaščitni ukrepi 3.5.3 Uporaba odstopanj 3.5.4 Učinkovito čezmejno policijsko in pravosodno sodelovanje 4 Nadaljnji koraki



1Direktiva (EU) 2016/680 kot glavni instrument za zagotavljanje varstva podatkov v varnostni politiki Evropske unije

To sporočilo vsebuje prvo poročilo Evropske komisije o oceni in pregledu Direktive (EU) 2016/680 o varstvu podatkov pri preprečevanju, odkrivanju in preiskovanju kaznivih dejanj (v nadaljnjem besedilu: Direktiva (EU) 2016/680) v skladu s členom 62(1) Direktive (EU) 2016/680. Poročilo proučuje zlasti uporabo in delovanje pravil Direktive (EU) 2016/680 o prenosu osebnih podatkov v tretje države in mednarodne organizacije v skladu z zahtevami Direktive (EU) 2016/680, uporablja pa tudi širši pristop. Direktivo (EU) 2016/680 umešča v okvira prava EU o varstvu osebnih podatkov in prava EU, ki ureja obdelavo osebnih podatkov za namene preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj in izvrševanja kazenskih sankcij, vključno z varovanjem pred grožnjami javni varnosti in njihovim preprečevanjem (v nadaljnjem besedilu: izvrševanje kazenskega prava) . Poročilo vsebuje pregled prenosa Direktive (EU) 2016/680 v nacionalno zakonodajo s strani držav članic, predstavlja prve izkušnje, pridobljene pri njeni uporabi in delovanju, ter opredeljuje nadaljnje korake. 1.1Ključni element skladnega okvira Evropske unije za varstvo podatkov Direktiva (EU) 2016/680 je eden od treh stebrov okvira EU, ki zagotavlja temeljno pravico do varstva osebnih podatkov. Druga dva sta splošna uredba o varstvu podatkov (v nadaljnjem besedilu: GDPR) ter uredba o varstvu podatkov za institucije in organe EU (v nadaljnjem besedilu: EUDPR) . Temeljna pravica varstva osebnih podatkov je določena v členu 8 Listine Evropske unije o temeljnih pravicah (v nadaljnjem besedilu: Listina) in členu 16 Pogodbe o delovanju Evropske unije (PDEU). Direktiva (EU) 2016/680 je začela veljati 6. maja 2016, države članice pa so jo morale v nacionalno zakonodajo prenesti do 6. maja 2018 . Direktiva (EU) 2016/680 je prvi zakonodajni akt EU s celovitim pristopom do varstva osebnih podatkov s strani pristojnih organov (tj. pravosodnih in policijskih organov ter drugih organov za preprečevanje, odkrivanje in preiskovanje kaznivih dejanj, kot so določeni v členu 3(7) Direktive (EU) 2016/680) za namene izvrševanja kazenskega prava. Direktiva (EU) 2016/680 v primerjavi z Okvirnim sklepom Sveta 2008/977/PNZ, ki ga je razveljavila in nadomestila, pomeni velik napredek pri zagotavljanju dosledne uporabe pravil o varstvu podatkov po vsej EU. Prvič, Direktiva (EU) 2016/680 uvaja celovit sklop pravil za obdelavo osebnih podatkov na čezmejni in nacionalni ravni za namene izvrševanja kazenskega prava, Okvirni sklep Sveta pa je zajemal le čezmejno obdelavo. Drugič, Direktiva (EU) 2016/680 določa obsežen in horizontalen sklop pravil, v prejšnjem pristopu pa je bil vsak sektorski akt EU, ki je določal obdelavo osebnih podatkov na področju izvrševanja kazenskega prava, urejen z lastnimi pravili o varstvu podatkov. GDPR, EUDPR in Direktiva (EU) 2016/680 temeljijo na podobnih konceptih in načelih, zaradi česar sta razlaga in uporaba pravil EU o varstvu podatkov skladni. Imajo skupne opredelitve pojmov ter vsebujejo podobne obveznosti za upravljavce in obdelovalce podatkov. Vendar pa Direktiva (EU) 2016/680 tudi posebej obravnava tveganja, povezana z obdelavo osebnih podatkov na področju izvrševanja kazenskega prava. Ustrezne določbe zajemajo obveznosti (i) razlikovanja med različnimi kategorijami posameznikov, na katere se nanašajo osebni podatki, (ii) razlikovanja med osebnimi podatki, ki temeljijo na dejstvih, in osebnimi podatki, ki temeljijo na osebni oceni, ter (iii) vodenja dnevnika uporabe osebnih podatkov in izpolnjevanja posebnih varnostnih zahtev. Glede na posebno naravo pravosodnega sodelovanja v kazenskih zadevah in policijskega sodelovanja se je zdelo, da je treba na teh področjih sprejeti posebna pravila za varstvo in prost pretok osebnih podatkov. Zaradi občutljivosti področja pravosodnega sodelovanja v kazenskih zadevah in policijskega sodelovanja ter zapletenih nacionalnih pravnih okvirov, ki urejajo izvrševanje kazenskega prava, se je direktiva štela kot najboljši instrument za dosego visoke ravni varstva podatkov na tem področju. Direktiva (EU) 2016/680 državam članicam tudi daje potrebno prožnost pri izvajanju načel, pravil in izjem na nacionalni ravni. Prvo poročilo o izvajanju GDPR je Komisija objavila 24. junija 2020. Splošno stališče je bilo, da so cilji GDPR izpolnjeni, zlasti s tem, da je bil državljanom zagotovljen močan sklop izvršljivih pravic ter da je bil vzpostavljen nov sistem upravljanja in izvrševanja EU. V poročilu je bil določen seznam ukrepov, ki jih je treba sprejeti, da bi se vsem deležnikom nadalje olajšala uporaba GDPR ter da bi se spodbudila in nadalje razvijala kultura varstva podatkov v EU, pa tudi odločno izvajanje. To poročilo je nadaljevanje pregleda pravnih aktov, ki jih je sprejela EU in ki urejajo obdelavo podatkov s strani pristojnih organov za namene preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj ali izvrševanja kazenskih sankcij. Namen tega pregleda je bil oceniti potrebo po uskladitvi zadevnih pravnih aktov z Direktivo (EU) 2016/680 . Komisija je 24. junija 2020 to obveznost izpolnila s sprejetjem sporočila z naslovom Nadaljnji koraki pri usklajevanju pravnega reda nekdanjega tretjega stebra s pravili o varstvu podatkov. Opredelila je deset pravnih aktov, ki bi jih bilo treba uskladiti z Direktivo (EU) 2016/680, in določila časovni načrt tega dela. To poročilo je bilo pripravljeno sočasno s poročilom Komisije o uporabi EUDPR. Pomemben element EUDPR je pregled pravil iz poglavja IX te uredbe o obdelavi operativnih osebnih podatkov, ki jih obdelujejo organi, uradi ali agencije EU pri opravljanju dejavnosti, ki spadajo na področje policijskega in pravosodnega sodelovanja v kazenskih zadevah (v nadaljnjem besedilu: agencije na področju pravosodja in notranjih zadev). Zadevna pravila v veliki meri temeljijo na Direktivi (EU) 2016/680. V skladu s členom 98 EUDPR mora Komisija pregledati pravne akte, ki urejajo obdelavo operativnih osebnih podatkov s strani agencij na področju pravosodja in notranjih zadev, ter lahko predloži ustrezne zakonodajne predloge, zlasti za zagotovitev, da se pravila iz poglavja IX uredbe uporabljajo za Europol in Evropsko javno tožilstvo, pa tudi predlaga potrebne spremembe tega poglavja. 1.2Bistven prispevek k trdni varnostni politiki v Evropski uniji Komisija dosledno poudarja, da je mogoče učinkovito in resnično varno EU oblikovati le na podlagi popolnega spoštovanja temeljnih pravic, kot so določene v Listini in sekundarni zakonodaji EU. Direktiva (EU) 2016/680 ključno prispeva k varnostni politiki EU z zagotavljanjem ustreznega varstva osebnih podatkov žrtev, prič in osumljencev kaznivih dejanj. Z uskladitvijo pravil o varstvu osebnih podatkov, ki jih obdelujejo pristojni organi v EU in schengenskih državah, prav tako prispeva k povečanju zaupanja in varnosti podatkov, ki si jih izmenjujejo organi za namene izvrševanja kazenskega prava, ter tako olajšuje čezmejno sodelovanje v boju proti kriminalu in terorizmu. Direktiva (EU) 2016/680 je tudi ključna pri spodbujanju skladnosti kulture varstva podatkov med pristojnimi organi. V strategiji za varnostno unijo je nadalje poudarjeno, da bi lahko bile nove tehnologije, kot je umetna inteligenca, močno orodje za boj proti kriminalu. Uresničitev tega potenciala tudi pomeni zagotavljanje najvišjih standardov spoštovanja temeljnih pravic. Zakonodaja o varstvu podatkov, vključno z Direktivo (EU) 2016/680, zagotavlja podlago, na kateri lahko temelji sektorska zakonodaja. S predlaganim aktom o umetni inteligenci bi se na primer nadalje uredila uporaba osebnih podatkov pri biometrični identifikaciji na daljavo na javnih mestih za namene preprečevanja, odkrivanja in preiskovanja kaznivih dejanj. Kriminal (ter kibernetska kriminaliteta in zlasti druga kibernetsko omogočena kazniva dejanja) so v medsebojno povezanem svetu vse bolj čezmejne narave. Pristojni organi se tudi pri preiskovanju nacionalnih primerov vse pogosteje znajdejo v „čezmejnih situacijah“, ker se informacije hranijo v elektronski obliki v tretji državi. Zato se na strani organov držav članic in organov EU, kot sta Europol in Eurojust, povečuje potreba po mednarodnem sodelovanju v kazenskih preiskavah. Tako sodelovanje, zlasti zbiranje in izmenjava elektronskih dokazov, pogosto zajema prenos osebnih podatkov. Zato so bistveni močni zaščitni ukrepi za varstvo podatkov. Taki zaščitni ukrepi tudi povečujejo zaupanje med organi za preprečevanje, odkrivanje in preiskovanje kaznivih dejanj, saj omogočajo hitrejšo in učinkovitejšo izmenjavo informacij ter krepijo pravno varnost, ko se informacije nato uporabijo v kazenskih postopkih. Direktiva (EU) 2016/680 v zvezi s tem uvaja posodobljen nabor orodij za olajšanje takih prenosov osebnih podatkov iz EU v tretjo državo ali mednarodno organizacijo (na primer Interpol), obenem pa tudi še naprej zagotavlja visoko raven varstva osebnih podatkov. Komisija in države članice od začetka veljavnosti Direktive (EU) 2016/680 uporabljajo celoten nabor orodij, s čimer se potrjuje, da je dovolj širok in prožen, da omogoči učinkovito mednarodno policijsko in pravosodno sodelovanje. 1.3Pomembni premisleki v zvezi s pripravo poročila Komisija je pri pripravi tega poročila zbrala informacije in povratne informacije iz različnih virov in s ciljno usmerjenimi posvetovalnimi dejavnostmi. V skladu s členom 62 Direktive (EU) 2016/680 je upoštevala prispevke in stališča Evropskega parlamenta, Sveta, Evropskega odbora za varstvo podatkov (EOVP) in nacionalnih nadzornih organov za varstvo podatkov. Dodatne povratne informacije je pridobila z vprašalnikom, naslovljenim na organizacije civilne družbe (prek Agencije Evropske unije za temeljne pravice (FRA)), in iz odgovorov na javni poziv k predložitvi dokazov . Komisija je proučila tudi pripombe strokovne skupine držav članic za GDPR in Direktivo (EU) 2016/680, ter pripombe nemškega predsedstva Sveta. Prav tako je upoštevala analizo nacionalnih ukrepov za prenos in majhno število pritožb, prejetih v zvezi s tem. Medtem ko se Direktiva (EU) 2016/680 uporablja za vse države članice in vse schengenske države (saj pomeni razvoj schengenskega pravnega reda ), to poročilo zajema le države članice EU. Na pripravo tega poročila so vplivali trije dejavniki. Prvič, dve tretjini držav članic nista upoštevali roka za prenos Direktive (EU) 2016/680 v nacionalno zakonodajo, tj. maj 2018. Vendar pa je večina držav članic Direktivo (EU) 2016/680 v nacionalno zakonodajo prenesla do leta 2019, potem ko je Komisija začela postopke za ugotavljanje kršitev. Zato so izkušnje z njeno uporabo dokaj omejene, na kar opozarjata tudi EOVP in Svet. Drugič, zbiranje statističnih podatkov o uporabi Direktive (EU) 2016/680 se je v primerjavi z GDPR izkazalo za težje. Nekateri nadzorni organi za varstvo podatkov statističnih podatkov o dejavnostih nadzora ne zbirajo ločeno za Direktivo (EU) 2016/680 in GDPR. Tako je na primer v zvezi z obvestili in pritožbami o kršitvah varnosti podatkov na podlagi Direktive (EU) 2016/680, zaradi česar je te določbe na podlagi Direktive (EU) 2016/680 včasih težko natančno poznati . Tretjič, upoštevati je treba, da se sodna praksa v zvezi z uporabo Direktive (EU) 2016/680 šele začenja razvijati. Trenutno pred Sodiščem Evropske unije (v nadaljnjem besedilu: Sodišče) poteka več zadev o razlagi ključnih določb Direktive (EU) 2016/680, kot so pravica do dostopa posameznika, na katerega se nanašajo osebni podatki, in pravica do učinkovitega pravnega sredstva. Te sodbe bodo zagotovile več jasnosti in prispevale k bolj usklajenemu pristopu med državami članicami.

2Kljub zadovoljivemu prenosu v nacionalno zakonodajo številna vprašanja še vedno nerešena Komisija je vzpostavila strokovno skupino držav članic, ki je državam članicam pomagala prenesti Direktivo (EU) 2016/680 v nacionalno zakonodajo. Skupina olajšuje razprave in izmenjavo izkušenj o pravilih o varstvu podatkov med državami članicami in Komisijo. Med sprejetjem Direktive (EU) 2016/680 leta 2016 in rokom za prenos v nacionalno zakonodajo maja 2018 se je redno sestajala, njeno delo pa se je nadaljevalo leta 2021. V nadaljevanju predstavljen pregled prenosa v nacionalno zakonodajo je osredotočen na glavna vprašanja, opredeljena do zdaj. V glavnem temelji na analizi informacij, ki jo je izvedla Komisija in so jih države članice zagotovile ob priglasitvi nacionalnih ukrepov, sprejetih za prenos Direktive (EU) 2016/680 v nacionalno zakonodajo. Ta analiza je bila podprta z zunanjo študijo, ki jo je izvedel zunanji izvajalec. Komisija je tudi sodelovala v dvostranskih izmenjavah z več državami članicami. 2.1Prenos v nacionalno zakonodajo na splošno popoln, vendar z nekaterimi težavami v zvezi s posebnimi določbami Komisija je julija 2018 začela postopke za ugotavljanje kršitev proti 19 državam članicam, ker do izteka roka maja 2018 niso sprejele zakonov za prenos Direktive (EU) 2016/680 v nacionalno zakonodajo in je o tem prenosu niso ustrezno obvestile. Še en postopek je bil julija 2019 začet proti drugi državi članici, ki Direktive (EU) 2016/680 ni v celoti prenesla v nacionalno zakonodajo. Večina držav članic je Komisijo posledično naknadno obvestila o nacionalni zakonodaji za prenos, ta pa je leta 2019 (leta 2020 za eno državo članico) postopoma končala postopke za ugotavljanje kršitev proti njim. Komisija je tožbo zaradi kršitve proti Španiji leta 2021 predložila Sodišču, saj ta Direktive (EU) 2016/680 še vedno ni prenesla v nacionalno zakonodajo in je obvestila o ukrepih za prenos. Sodišče je ob upoštevanju resnosti in trajanja kršitve Španiji prvič naložilo pavšalni znesek in tudi denarno kazen . Komisija je po odkritju vrzeli pri prenosu Direktive (EU) 2016/680 v nacionalno zakonodajo, ki se je nanašala na dejavnosti nemške zvezne policije, aprila 2022 prav tako začela postopek za ugotavljanje kršitev proti Nemčiji. Komisija bo še naprej ocenjevala prenos Direktive (EU) 2016/680 v nacionalno zakonodajo v državah članicah in sprejemala potrebne ukrepe za odpravo vrzeli. 2.2Prednostne naloge pri ocenjevanju skladnosti Komisija tudi preverja, ali so se z nacionalnimi določbami držav članic pravilno prenesle zahteve iz Direktive (EU) 2016/680 (preverjanje skladnosti). Države članice so pri prenosu Direktive (EU) 2016/680 v nacionalno zakonodajo spremenile prejšnjo zakonodajo o varstvu podatkov ali jo razveljavile in nadomestile z novimi horizontalnimi akti o varstvu podatkov. V številnih primerih je bila Direktiva (EU) 2016/680 z nacionalnimi predpisi prenesena s sklicem na isto ali enakovredno določbo GDPR (npr. v zvezi z opredelitvami pojmov, obvestili o kršitvi varnosti podatkov, imenovanjem pooblaščene osebe za varstvo podatkov in določbami o organizaciji, statusu, pristojnostih, nalogah in pooblastilih nacionalnih nadzornih organov za varstvo podatkov). Številne določbe Direktive (EU) 2016/680 so bile v nacionalno zakonodajo prenesene z novimi določbami v, na primer, splošno upravno pravo, upravno procesno pravo ali kazensko procesno pravo. Nekaj držav članic je številne določbe Direktive (EU) 2016/680 preneslo tudi v sektorsko zakonodajo, ki ureja delovanje in pooblastila posebnih pristojnih organov. Pri ugotavljanju, ali je bila Direktiva (EU) 2016/680 v določeni državi članici pravilno prenesena v nacionalno zakonodajo ali ne, je treba torej upoštevati različne nacionalne pravne akte. Nacionalna zakonodaja na splošno v veliki meri odraža načela in temeljne določbe Direktive (EU) 2016/680. Vendar je bilo ugotovljenih več težav, od katerih so najpomembnejše opisane v naslednjih oddelkih. Komisija je že začela več postopkov za ugotavljanje kršitev proti državam članicam . Postopek pregleda še poteka, če nacionalni ukrepi za prenos ne bodo skladni z Direktivo (EU) 2016/680, pa bo Komisija še naprej uporabljala vsa razpoložljiva orodja, vključno s postopki za ugotavljanje kršitev. Sodna praksa o Direktivi (EU) 2016/680 je še v povojih. Sodišče je začelo izdajati sodbe o razlagi Direktive (EU) 2016/680, tudi v zadevah WS/Bundesrepublik Deutschland in B/Latvijas Republikas Saeima. Med pripravo tega poročila Sodišče še obravnava nekaj predhodnih odločb (kot je navedeno v naslednjih oddelkih). 2.2.1Področje uporabe Direktive (EU) 2016/680 Strokovna skupina držav članic za GDPR in Direktivo (EU) 2016/680 ter EOVP sta opozorila na zaskrbljujoče vprašanje, tj. težavo pri razmejevanju področja uporabe Direktive (EU) 2016/680 in GDPR. Nekateri nadzorni organi za varstvo podatkov so tudi poudarili, da imajo lahko pristojni organi pri tem težave . Področje uporabe Direktive (EU) 2016/680 opredeljujeta dva ključna elementa: pojem pristojnega organa (osebno področje uporabe) in pojem kaznivega dejanja (stvarno področje uporabe). Kar zadeva osebno področje uporabe, spada obdelava podatkov na področje Direktive (EU) 2016/680, prvič, ko jo opravi pristojni organ in, drugič, ko se osebni podatki obdelujejo za namene Direktive (EU) 2016/680 (tj. preprečevanje, preiskovanje, odkrivanje ali pregon kaznivih dejanj ali izvrševanje kazenskih sankcij, vključno z varovanjem pred grožnjami javni varnosti in njihovim preprečevanjem). Po mnenju Komisije so „pristojni organi“, kot so opredeljeni v Direktivi (EU) 2016/680, bodisi državni organi bodisi zasebni subjekti, ki jim zakonodaja podeljuje posebne pristojnosti, ki presegajo pristojnosti, ki izhajajo iz običajnih pravil, uporabljenih pri odnosih med posamezniki, in/ali z možnostjo pooblastila za uporabo prisile. Ti organi so pristojni organi na podlagi Direktive (EU) 2016/680, ko (čeprav le občasno in/ali v posameznih primerih) obdelujejo podatke za namene preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj ali izvrševanja kazenskih sankcij (vključno z varovanjem pred grožnjami javni varnosti in njihovim preprečevanjem). To na primer pomeni, da obdelava osebnih podatkov s strani takih organov za namene, ki se ne nanašajo na Direktivo (EU) 2016/680 (npr. človeške vire ali druge upravne namene, kot je obdelava osebnih podatkov na podlagi zakonodaje o preprečevanju pranja denarja s strani finančnih obveščevalnih enot), spada na področje uporabe GDPR in ne Direktive (EU) 2016/680. Pri določanju, ali obdelava podatkov spada na področje uporabe Direktive (EU) 2016/680 ali ne, je osrednjega pomena pojem „kaznivo dejanje“. Kot je navedlo Sodišče, so pri presoji kazenskopravne narave kršitve upoštevna tri merila: opredelitev kršitve v nacionalnem pravu kot kaznivo dejanje, narava kršitve in stopnja strogosti sankcije, ki se lahko izreče kršitelju . Avtonomnost pojma kaznivo dejanje iz uvodne izjave 13 Direktive (EU) 2016/680 med drugim pomeni, da države članice narave kršitve ne morejo opredeliti kot „kazenske“ izključno za namen uporabe Direktive (EU) 2016/680. V nekaterih državah članicah se je pojavilo vprašanje, kako razmejiti področji uporabe GDPR in Direktive (EU) 2016/680, kar zadeva razmejitev področij kaznivih dejanj in prekrškov. Zlasti v nekaterih nacionalnih zakonodajah za prenos se sklicujejo na namene obdelave osebnih podatkov, ki niso navedeni v členu 1 Direktive (EU) 2016/680 (npr. ogrožanje javnega reda ali javne varnosti). Navedeno vprašanje se pojavlja tudi, ker nekaj držav članic meni, da številni upravni organi (npr. navedene finančne obveščevalne enote) izvajajo naloge, ki spadajo na področje Direktive (EU) 2016/680. Večina zakonodaj držav članic celovito zajema vsak pristojni organ, ki obdeluje podatke za namene Direktive (EU) 2016/680. Nekatere države članice pa so se, nasprotno, odločile, da v svoji nacionalni zakonodaji izčrpno naštejejo pristojne organe na podlagi Direktive (EU) 2016/680. Nekaj držav članic je zagotovilo tudi odstopanje za obdelavo s strani določenih vrst pristojnih organov ali določenih vrst podatkov. Vprašanje področja uporabe Direktive (EU) 2016/680 je predmet vprašanja za predhodno odločanje pred Sodiščem. Sodišče Landesverwaltungsgericht Tirol (Avstrija) je postavilo vprašanje o področju uporabe Direktive (EU) 2016/680, kadar pristojni organ neuspešno poskuša pridobiti dostop do zaseženega telefona (razlaga člena 2 Direktive (EU) 2016/680). Zadeva se nanaša tudi na pogoje takega dostopa. 2.2.2Upravljanje in pooblastila nadzornih organov za varstvo podatkov

Vse države članice, razen dveh (Belgija in Švedska), so izvajanje Direktive (EU) 2016/680 zaupale nadzornemu organu, pristojnemu tudi za izvajanje GDPR. Belgija je nadzor nad policijskimi organi za namene Direktive (EU) 2016/680 zaupala drugemu pristojnemu organu. Na Švedskem pa si nadzor nad določenimi pristojnimi organi, vključno s policijskimi, delita nadzorni organ, pristojen za GDPR, in drug pristojni organ. V skladu z Direktivo (EU) 2016/680 niso vsi nadzorni organi za varstvo podatkov pristojni za nadzor sodišč, ko delujejo kot sodni organ. Kar zadeva določbe Direktive (EU) 2016/680 o neodvisnosti nadzornih organov za varstvo podatkov, so vse države članice v svojih zakonodajah za prenos določile, da ti organi pri opravljanju nalog delujejo neodvisno. Vanje je vključena tudi zahteva, da člani njihovih nadzornih organov za varstvo podatkov niso izpostavljeni zunanjemu vplivu in nikogar ne prosijo za navodila niti jih od nikogar ne sprejemajo. Nadzor skladnosti s strani nadzornih organov za varstvo podatkov je bistven in določen v členu 8(3) Listine. Direktiva (EU) 2016/680 od držav članic zahteva, da nadzornim organom za varstvo podatkov podelijo preiskovalna, popravljalna in svetovalna pooblastila, ki morajo biti učinkovita. To je osnovni pogoj, da se pravila o varstvu podatkov pravilno izvršujejo in tako doseže namen Direktive (EU) 2016/680, ki je visoka raven varstva temeljnih pravic, zlasti kar zadeva pravico do varstva osebnih podatkov, ter zagotovi prosti pretok podatkov v EU. Nadzorni organi za varstvo podatkov morajo imeti po vsej EU enakovredna pooblastila, da lahko opravljajo naloge, kot se zahtevajo z Direktivo (EU) 2016/680. Vse države članice so svojim organom podelile preiskovalna pooblastila, določena v Direktivi (EU) 2016/680, večina držav članic pa jim je podelila tudi druga pooblastila (npr. za opravljanje revizij, vstop v prostore, kopiranje podatkov in zaseg predmetov). Posledično so skoraj vsi nadzorni organi za varstvo podatkov ugotovili, da imajo učinkovita preiskovalna pooblastila. Skoraj vse države članice so podelile popravljalna pooblastila, določena v Direktivi (EU) 2016/680. Številne so to storile z natančnim upoštevanjem besedila Direktive (EU) 2016/680, nekatere pa so uporabile zelo široko ubeseditev, ki jo je mogoče razumno razlagati tako, kot da zajema vsa pooblastila iz Direktive (EU) 2016/680. Poleg tega večina zakonodaj držav članic nadzornim organom za varstvo podatkov podeljuje pooblastilo za nalaganje upravnih glob. Vse države članice pa nadzornih organov za varstvo podatkov niso pooblastile za opozarjanje pravosodnih organov o kršitvah nacionalnih predpisov, sprejetih za prenos Direktive (EU) 2016/680 v nacionalno zakonodajo, ter za sprožitev pravnih postopkov ali drugačno sodelovanje v njih. Tako pooblastilo je pomembno in dopolnjuje druga sredstva, ki jih imajo ti organi na voljo za učinkovito visoko raven varstva temeljnih pravic posameznikov in zlasti njihove pravice do varstva njihovih osebnih podatkov. 2.2.3Pravna sredstva Vse države članice so določile pravico do vložitve pritožbe pri ustreznem nadzornem organu. V večini nacionalnih zakonodaj je določen rok za vložitev take pritožbe. Ta rok ne sme ovirati pravice posameznika, na katerega se nanašajo osebni podatki, v zvezi s tem. Vse države članice so v skladu z Direktivo (EU) 2016/680 brez poseganja v katero koli drugo upravno ali izvensodno sredstvo, ki je na voljo v njihovih pravnih sistemih, določile pravno sredstvo zoper odločitve nadzornega organa. Pravno sredstvo je na voljo v vseh državah članicah, razen dveh, kadar nadzorni organ ne obravnava pritožbe ali če posameznika, na katerega se nanašajo osebni podatki, v treh mesecih ne obvesti o stanju zadeve ali odločitvi o pritožbi. Večina držav članic je tudi določila pravno sredstvo zoper upravljavca ali obdelovalca v primeru domnevne kršitve Direktive (EU) 2016/680. Več nacionalnih zakonodaj za prenos pa ne določa pravice posameznika, na katerega se nanašajo osebni podatki, da pooblasti neprofitno organizacijo, organizacijo ali združenje, da v njegovem imenu vloži pritožbo pri nadzornem organu ali pravno sredstvo. 2.2.4Rok hrambe in pregled Pristopi držav članic k prenosu rokov za hrambo in pregled osebnih podatkov iz Direktive (EU) 2016/680 v nacionalno zakonodajo se močno razlikujejo. Večina nacionalnih zakonov o varstvu podatkov, s katerimi se Direktiva (EU) 2016/680 prenaša v nacionalno zakonodajo, izpolnjuje le splošne zahteve iz člena 5 Direktive (EU) 2016/680. To pomeni, da je treba roke za izbris osebnih podatkov ali reden pregled potrebe po shranjevanju osebnih podatkov dejansko določiti v sektorski zakonodaji. Nekaj držav članic je določbo v nacionalno zakonodajo preneslo z določitvijo rokov v sektorski zakonodaji. V nekaterih državah članicah pa zakonodaja določitev rokov prepušča pristojnim organom. V nekaterih primerih zakonodaja ne določa meril za reden pregled niti ne zahteva, da morajo taka merila določati drugi predpisi, in/ali ne določa, da morajo biti v nacionalni zakonodaji določeni tudi postopki, s katerimi se zagotovi spoštovanje rokov. Opozoriti je treba, da je bolgarsko vrhovno upravno sodišče pred kratkim zaprosilo Sodišče, da odgovori na vprašanje za predhodno odločanje o razlagi člena 5 Direktive (EU) 2016/680 glede rokov za hrambo podatkov . 2.2.5Pravna podlaga za obdelavo, vključno s posebnimi vrstami osebnih podatkov Večina držav članic je z uporabo besedila, ki se pogosto zelo ujema s členom 8 Direktive (EU) 2016/680, določila, da mora biti pravna podlaga za obdelavo določena v zakonodaji EU ali države članice. Vendar nekateri nacionalni zakoni o varstvu podatkov, s katerimi se Direktiva (EU) 2016/680 prenaša v nacionalno zakonodajo, ne izražajo zahteve, da je treba osebne podatke, ki se obdelajo, in namene obdelave določiti v zakonodaji. Drugi nacionalni zakoni o varstvu podatkov, s katerimi se Direktiva (EU) 2016/680 prenaša v nacionalno zakonodajo, ne vsebujejo vseh določb, ki ustrezajo členu 8. Nacionalna zakonodaja mora določati podlago za obdelavo in spoštovati zahteve iz člena 8. Poleg tega zgolj ponovitve splošnih zahtev iz člena 8 Direktive (EU) 2016/680 v nacionalni zakonodaji ni mogoče šteti za zadostno pravno podlago za posebno dejanje obdelave: v nacionalni zakonodaji morajo biti določeni organ, pristojen za obdelavo osebnih podatkov, javne naloge, ki jih opravlja in ki utemeljujejo tako obdelavo, ter namen obdelave. Večina držav članic glede obdelave posebne vrste osebnih podatkov zahteva, da je osnovni pogoj za njihovo obdelavo stroga nujnost. Večina držav članic je prav tako določila enako pravno podlago za obdelavo občutljivih podatkov, kot je določena v členu 10 Direktive (EU) 2016/680 (obdelava, ki jo dovoljuje pravo, je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali drugega posameznika, ali je povezana s podatki, ki jih posameznik, na katerega se nanašajo osebni podatki, sam objavi). V nekaj državah članicah zakonodaja za prenos določa nekatere dodatne razloge za obdelavo podatkov (npr. ko je obdelava takih podatkov potrebna, da bi se nevarnosti, ki neposredno ogroža življenje, telesno celovitost ali sredstva oseb, izognili ali jo preprečili ter da bi zaščitili zdravje ali interese posameznika, na katerega se nanašajo osebni podatki, ali druge osebe). Če potrebni zaščitni ukrepi za pravice in svoboščine posameznikov, na katere se nanašajo osebni podatki, niso določeni v nacionalnem zakonu o varstvu podatkov, s katerim se Direktiva (EU) 2016/680 prenaša v nacionalno zakonodajo (kot velja v nekaterih državah članicah), jih je treba določiti v sektorski zakonodaji. Nekaj nacionalnih zakonodaj za prenos se v zvezi z obdelavo osebnih podatkov, vključno z obdelavo posebnih vrst osebnih podatkov, sklicuje na privolitev. Čeprav državam članicam nič ne preprečuje, da bi v nacionalni zakonodaji določile, da se lahko posamezniki, na katere se nanašajo osebni podatki, strinjajo z obdelavo osebnih podatkov za namene Direktive (EU) 2016/680, je pomembno poudariti, da je mogoče to privolitev obravnavati le kot zaščitni ukrep, ne more pa pomeniti pravne podlage za tako obdelavo. Iz razprav o tem vprašanju je razvidno, da bi bilo koristnih več smernic o vlogi privolitve pri obdelavi osebnih podatkov za namene izvrševanja kazenskega prava. 2.2.6Avtomatizirano sprejemanje odločitev

V vse zakonodaje držav članic za prenos so vključene določbe, ki prepovedujejo sprejemanje odločitev izključno na podlagi avtomatizirane obdelave, razen če je to zakonsko določeno. Večina zakonodaj držav članic za prenos vsebuje zahtevo, naj take odločitve ne temeljijo na posebnih vrstah osebnih podatkov, razen če so vzpostavljeni ustrezni zaščitni ukrepi. Prepovedujejo tudi oblikovanje profilov, ki ima za posledico diskriminacijo. Nekatere nacionalne zakonodaje pa se v primerih avtomatiziranega sprejemanja odločitev, ki je zakonsko določeno, ne sklicujejo na ustrezne zaščitne ukrepe za pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki. Natančneje, nekatere države članice niso določile pravice do osebnega posredovanja s strani upravljavca ali ne zahtevajo ustreznih ukrepov za zaščito pravic in/ali svoboščin in zakonitih interesov posameznika, na katerega se nanašajo osebni podatki. 2.2.7Pravice posameznikov, na katere se nanašajo osebni podatki Vse države članice so se odločile uporabiti možnost iz Direktive (EU) 2016/680, da posamezniku, na katerega se nanašajo osebni podatki, omejijo pravico do dostopa do njegovih osebnih podatkov. Večina držav članic je določila tudi omejitve drugih pravic posameznikov, na katere se nanašajo osebni podatki. Nacionalni zakoni o varstvu podatkov, s katerimi se Direktiva (EU) 2016/680 prenaša v nacionalno zakonodajo, pogosto le uporabljajo splošni jezik te direktive, ne da bi nadalje opredelili okoliščine ali pogoje, v katerih bi morale veljati omejitve. V teh primerih je treba te okoliščine in pogoje opredeliti v sektorski zakonodaji, sicer bi imeli upravljavci podatkov pri uporabi teh omejitev diskrecijsko pravico. Večina držav članic je upoštevala zahtevo iz Direktive (EU) 2016/680, da posameznikom, na katere se nanašajo osebni podatki, omogoči uresničevanje njihovih pravic prek nadzornega organa za varstvo podatkov. Večina držav članic je uporabila možnost določitve, da je treba pravice posameznika, na katerega se nanašajo osebni podatki, uresničevati v skladu z nacionalnim pravom v okviru nacionalnih kazenskih preiskav in postopkov. Več zakonodaj držav članic za prenos ne izraža vseh posebnih zahtev iz Direktive (EU) 2016/680 o načinu, na katerega se bodo uresničevale pravice posameznika, na katerega se nanašajo osebni podatki (npr. oblika odgovorov in komunikacijska sredstva zanje, neplačilo takse). Nemško sodišče je podalo vprašanje za predhodno odločanje o razlagi omejitev pravice posameznika, na katerega se nanašajo osebni podatki, do dostopa do njegovih podatkov (člen 15 Direktive (EU) 2016/680 glede na člen 54 Direktive (EU) 2016/680) ter pravice do učinkovitega pravnega sredstva iz člena 47 Listine in svobode izbire poklica iz člena 15 Listine, ki je v obravnavi. 2.2.8Nekatere pomembne določbe, specifične za Direktivo (EU) 2016/680 Nekatere določbe Direktive (EU) 2016/680 so specifične za okvir izvrševanja kazenskega prava in v GDPR nimajo ustreznice. Kategorije posameznikov, na katere se nanašajo osebni podatki V skladu z Direktivo (EU) 2016/680 morajo države članice od upravljavca podatkov, če je primerno in kolikor je mogoče, zahtevati, da razlikuje med različnimi kategorijami posameznikov, na katere se nanašajo osebni podatki, in navede primere teh kategorij (npr. oseba, v zvezi s katero obstaja utemeljen sum, da je storila kaznivo dejanje ali ga namerava storiti (v nadaljnjem besedilu: osumljenec)). Nekatere zakonodaje držav članic (do neke mere ali sploh) ne določajo kategorij iz Direktive (EU) 2016/680. Nekatere nacionalne zakonodaje pri opredeljevanju kategorije „osumljenec“ ne vsebujejo zahteve o obstoju utemeljenega suma, da so osebe storile kaznivo dejanje ali ga nameravajo storiti. Prihodnja sodna odločba Sodišča v nerešeni zadevi Ministerstvo na vatreshnite raboti/B.C. bo nadalje pojasnila razlago Direktive (EU) 2016/680 v zvezi s kategorijami posameznikov, na katere se nanašajo osebni podatki, vključno z zahtevo, da bi bilo treba take posameznike med osumljence uvrstiti, če „obstaja utemeljen sum, da so storili kaznivo dejanje ali ga nameravajo storiti“ . Razlikovanje med razredi osebnih podatkov in preverjanje njihove kakovosti Države članice morajo določiti, da se osebni podatki, ki temeljijo na dejstvih, v največji možni meri razločijo od osebnih podatkov, ki temeljijo na osebnih ocenah. Prav tako morajo z ukrepi zagotoviti, da se osebni podatki, ki so netočni, nepopolni ali neposodobljeni, ne posredujejo ali dajo na voljo. Če se posredujejo nepravilni podatki, je treba prejemnike nemudoma uradno obvestiti in osebne podatke v takih primerih popraviti, izbrisati ali omejiti njihovo obdelavo. Čeprav je večina držav članic to zahtevo prenesla v nacionalno zakonodajo, zahtevani posebni ukrepi v več nacionalnih zakonodajah za prenos niso izrecno določeni. Vodenje dnevnikov Skupno je 12 držav članic izkoristilo možnost, da so uskladitev avtomatiziranih sistemov obdelave z zahtevami za vodenje dnevnikov preložile do maja 2023. Večina držav članic je določila, da se vodijo dnevniki o dejanjih obdelave v avtomatiziranih sistemih obdelave. Nekatere nacionalne zakonodaje ne vsebujejo zahteve, da je treba voditi dnevnik o vseh vrstah dejanj. Direktiva (EU) 2016/680 določa minimalne vrste informacij, ki jih morajo vsebovati dnevniki. Nekatere nacionalne zakonodaje niso vključile vseh zahtevanih vrst informacij (npr. razlog za vpogled ali razkritje osebnih podatkov). 3Prva spoznanja, pridobljena pri uporabi in delovanju Direktive (EU) 2016/680 3.1Pritožbe in pozitiven vpliv na pravice posameznikov, na katere se nanašajo osebni podatki Direktiva (EU) 2016/680 varuje temeljne pravice in svoboščine posameznikov, zlasti pa njihovo pravico do varstva podatkov. Zagotavlja celovit okvir za pravice posameznika, na katerega se nanašajo osebni podatki, in način njihovega uresničevanja, vključno s pravicami do obveščenosti, dostopa do, popravka ali izbrisa osebnih podatkov, ter določa omejitev obdelave. Direktiva (EU) 2016/680 je omogočila, da posamezniki, na katere se nanašajo osebni podatki, bolje razumejo svoje pravice in načine njihovega uresničevanja, kar se kaže v večjem številu zahtev, vloženih pri pristojnih organih. Glede na prakso se posamezniki, na katere se nanašajo osebni podatki, med pravicami, ki jim jih podeljuje Direktiva (EU) 2016/680, pri pristojnih organih najpogosteje sklicujejo na pravici do dostopa in izbrisa . V skladu z Direktivo (EU) 2016/680 je za določene pravice (pravica do dostopa in pravica do popravka ali izbrisa) in informacije, ki jih mora upravljavec podatkov zagotoviti posamezniku, na katerega se nanašajo osebni podatki, v zvezi z obdelanimi osebnimi podatki, mogoče določiti omejitve. Posamezniki, na katere se nanašajo osebni podatki, lahko od nadzornih organov za varstvo podatkov zahtevajo, naj pregledajo omejitev zadevne pravice pristojnega organa, ali jih prosijo, naj preverijo, ali je bila omejitev izvedena v skladu z Direktivo (EU) 2016/680 (posredno uresničevanje pravice) . O prejemu take zahteve je poročala približno polovica nadzornih organov za varstvo podatkov. Praksa kaže, da se lahko število prejetih zahtev precej razlikuje (npr. na Hrvaškem je bila prejeta ena taka zahteva, v Franciji pa več kot 1 500). Čeprav so nadzorni organi za varstvo podatkov po preverjanju ali pregledu teh pritožb ugotovili, da je bila večina zahtev nedopustnih, je bilo upravljavcem podatkov v več primerih naročeno, naj osebne podatke popravijo ali izbrišejo oziroma omejijo njihovo obdelavo, s čimer se je zagotovila pravilna uporaba omejitev. Direktiva (EU) 2016/680 določa, da lahko v imenu posameznika, na katerega se nanašajo osebni podatki, pritožbo vloži neprofitno telo, organizacija ali združenje. Vendar se to zdi premalo uporabljeno (le štirje nadzorni organi za varstvo podatkov so poročali, da so od predstavniškega organa prejeli take pritožbe). Organizacije civilne družbe so podobno poročale o le majhnem številu zahtevkov za vložitev take pritožbe.

Posamezniki prav tako vse bolj uporabljajo pravico do vložitve pritožbe pri nadzornih organih za varstvo podatkov, tudi takrat, ko pristojni organi omejijo uresničevanje pravic posameznikov, na katere se nanašajo osebni podatki. Več kot tretjina nadzornih organov za varstvo podatkov je poročala, da se je v njihovih državah članicah po prenosu Direktive (EU) 2016/680 v nacionalno zakonodajo povečalo število prejetih pritožb . Nekatere od najpogostejših pritožb, ki so jih ti organi prejeli, so se nanašale na omejitev pravice do dostopa , pravice do popravka ali izbrisa in pravice do obveščenosti in omejitev, ki veljajo zanjo . Sledile so pritožbe, povezane z načelom omejitve hrambe, v skladu s katerim morajo pristojni organi osebne podatke hraniti le toliko časa, kot je potrebno, in s pravico do obveščenosti. 3.2Večja ozaveščenost pristojnih organov o varstvu podatkov Države članice poročajo o pomembnem vplivu, ki ga je in ga bo še naprej imela uvedba Direktive (EU) 2016/680 na ozaveščenost pristojnih organov o pomenu varstva podatkov. Več nadzornih organov za varstvo podatkov meni, da je Direktiva (EU) 2016/680 najbolj vplivala na večjo ozaveščenost o vprašanjih varstva podatkov in pravicah posameznikov, na katere se nanašajo osebni podatki, in osredotočenost nanje . To se je kazalo tudi v izmenjavah med nadzornimi organi za varstvo podatkov in pristojnimi organi na področju pravic posameznikov, na katere se nanašajo osebni podatki, in načinih za njihovo uresničevanje . Nekateri pristojni organi so poročali, da so varstvu podatkov zato namenili več sredstev . To je zajemalo vlaganje v uvedbo načela vgrajene in privzete zasebnosti v njihove sisteme IT, opredelitev obdobij hrambe podatkov, uporabo načela najmanjšega obsega podatkov ter poročanje o kršitvah. Pozneje se je poročalo o izboljšanju splošne varnosti obdelave podatkov . K pravilnemu izvajanju Direktive (EU) 2016/680 prispevajo tudi dejavnosti usposabljanja in ozaveščanja s strani nadzornih organov za varstvo podatkov, katerih naloga je ozaveščati upravljavce in obdelovalce podatkov o njihovih obveznostih v skladu z Direktivo (EU) 2016/680. Mnogi nadzorni organi za varstvo podatkov ozaveščajo z objavljanjem smernic. Med temami, ki jih obravnavajo različni nadzorni organi za varstvo podatkov, so: pomoč sodnim organom, tožilstvu in policijskim organom pri spoštovanju načela odgovornosti, izmenjava osebnih podatkov s policijo, imenovanje pooblaščene osebe za varstvo podatkov, izvedba ocene učinka v zvezi z varstvom podatkov, obdelava podatkov na kazenskih področjih, kot sta organizirani kriminal in terorizem, vodenje evidenc o dejavnostih obdelave in vodenju dnevnikov, izvedba video nadzora, zagotavljanje informacij posameznikom, na katere se nanašajo osebni podatki, obveščanje o kršitvah varnosti podatkov, obveznosti upravljavcev in uresničevanje pravic s strani posameznikov. Osem nadzornih organov za varstvo podatkov pa smernic in/ali praktičnih orodij za pomoč pristojnim organom in obdelovalcem pri izpolnjevanju njihovih obveznosti še ni izdalo. Poleg tega 12 nadzornih organov za varstvo podatkov za pristojne organe ali obdelovalce ni zagotovilo dejavnosti usposabljanja ali ozaveščanja na podlagi Direktive (EU) 2016/680. Najpogostejše teme dejavnosti tistih nadzornih organov, ki so take dejavnosti izvedli, so vključevale: obdelavo podatkov s strani policijskih organov, tožilstev, sodnih organov in zavodov za prestajanje zapornih kazni, opredelitev ustreznih področij uporabe GDPR in Direktive (EU) 2016/680, uporabo osebnih podatkov iz omrežij družbenih medijev, obdelavo podatkov v policijskih spisih, tehnike video nadzora in masovne podatke, obravnavanje pravic posameznika, na katerega se nanašajo osebni podatki, in obdelavo osebnih podatkov zapornikov . Še ena novost Direktive (EU) 2016/680 je zahteva, da upravljavci podatkov imenujejo pooblaščeno osebo za varstvo podatkov, katere naloge med drugim zajemajo obveščanje in svetovanje o zahtevah za varstvo podatkov, spremljanje skladnosti z Direktivo (EU) 2016/680, svetovanje o ocenah učinka v zvezi z varstvom podatkov ter spremljanje njene uspešnosti. Posledica tega je, da so pristojni organi vse bolj ozaveščeni o obveznostih glede varstva podatkov in da to pozitivno vpliva na skladnost teh organov s pravili o varstvu podatkov, kar je priznal tudi Svet . Vlagati je treba v razvoj in povečanje strokovnega znanja in izkušenj pooblaščenih oseb za varstvo podatkov, da bi lahko pristojni organi dosledno uporabljali Direktivo (EU) 2016/680. Zato je Komisija vzpostavila in omogoča mrežo pooblaščenih oseb za varstvo podatkov pristojnih organov, agencij na področju pravosodja in notranjih zadev ter Evropskega javnega tožilstva. Mreža je stalna pobuda, osredotočena na to, kako pristojni organi držav članic uporabljajo Direktivo (EU) 2016/680. Zagotoviti poskuša platformo za sodelovanje in izmenjavo strokovnega znanja in izkušenj med pooblaščenimi osebami za varstvo podatkov držav članic. Mreža strokovnjakov o varstvu podatkov Europola (EDEN) in nacionalne mreže pooblaščenih oseb za varstvo podatkov so pomembne pobude, ki pooblaščenim osebam za varstvo podatkov pristojnih organov pomagajo spodbujati izmenjavo dobrih praks in informacij o uporabi Direktive (EU) 2016/680. 3.3Boljša varnost podatkov, a razlike v obvestilih o kršitvi varnosti podatkov Direktiva (EU) 2016/680 je izboljšala varnost osebnih podatkov s tem, da je od pristojnih organov zahtevala, da morajo sprejeti ukrepe za dosego posebnih varnostnih ciljev. Od pristojnih organov na primer zahteva izvedbo ocen učinka v zvezi z varstvom podatkov, ko bi dejavnost obdelave podatkov verjetno povzročila veliko tveganje za pravice in svoboščine posameznikov, na katere se nanašajo osebni podatki. Ocene učinka obsegajo opredelitev tveganj in ukrepe za njihovo zmanjšanje. Ta zahteva, pa tudi pogojevanje spoštovanja načela vgrajene in privzete zasebnosti varstva podatkov in zahteve o obvestilih o kršitvi varnosti podatkov, so prispevale k boljši varnosti obdelave osebnih podatkov . To je priznal tudi Svet, ki je ugotovil, da se je zaradi Direktive (EU) 2016/680 izboljšala raven varnosti podatkov, tudi z varnostnimi načrti, posodobitvijo sistemov IT in organizacijskih ukrepov, ocenami učinka v zvezi z varstvom podatkov in zahtevo, da morajo pristojni organi voditi dnevnike za posamezna dejanja obdelave. Direktiva (EU) 2016/680 določa okoliščine, v katerih morajo upravljavci podatkov nadzorne organe za varstvo podatkov in zadevnega posameznika, na katerega se nanašajo osebni podatki, obvestiti o kršitvi varnosti osebnih podatkov. Kljub tej obveznosti so v kršitvah varnosti podatkov, o katerih so bili od uvedbe Direktive (EU) 2016/680 obveščeni nadzorni organi za varstvo podatkov, velike razlike . Šest nadzornih organov za varstvo podatkov je poročalo, da niso prejeli nobenih obvestil o kršitvah varnosti podatkov , več drugih pa, da so prejeli le zelo malo takih obvestil. Italijanski organi so na primer poročali o le treh obvestilih o kršitvah varnosti podatkov, francoski o osmih, nizozemski pa o več kot 500. Ta razlika v številu obvestil o kršitvah varnosti podatkov, o katerih se je poročalo, (po upoštevanju dejavnikov, kot je število prebivalcev) kaže, da imajo pristojni organi držav članic različne prakse glede tega, kaj se obravnava kot kršitev in kdaj je treba o njej poročati nadzornemu organu za varstvo podatkov. Na to je opozorila tudi Komisija v poročilu o GDPR. EOVP je nedavno objavil smernice o kršitvah na podlagi GDPR . Čeprav se te smernice ne uporabljajo neposredno za kršitve varstva podatkov na podlagi Direktive (EU) 2016/680, so zanje prav tako pomembne. Zato bi morale prispevati k enotnejšemu pristopu k obravnavanju kršitev varnosti podatkov na podlagi Direktive (EU) 2016/680 v državah članicah. 3.4Nadzor s strani nadzornih organov za varstvo podatkov 3.4.1Viri nadzornih organov za varstvo podatkov Zagotavljanje potrebnih človeških, tehničnih in finančnih virov, prostorov ter infrastrukture vsakemu organu za varstvo podatkov je osnovni pogoj za učinkovito opravljanje njihovih nalog in izvajanje pooblastil ter s tem bistven pogoj za njihovo neodvisnost. Komisija dosledno poudarja dejstvo, da morajo države članice nadzornim organom za varstvo podatkov dodeliti dovolj človeških, finančnih in tehničnih virov. Tudi Svet je posebej pozval države članice, naj nadzornim organom za varstvo podatkov dodelijo dovolj človeških, finančnih in tehničnih virov. Vendar se zdi, da splošno povečanje števila zaposlenih v nadzornih organih za varstvo podatkov v zadnjih letih ni povezano z nalogami v zvezi z Direktivo (EU) 2016/680. Število zaposlenih, ki se ukvarjajo z Direktivo (EU) 2016/680, se v polovici nadzornih organov ni spremenilo ali se je celo zmanjšalo. Kakršno koli povečanje števila zaposlenih je bilo zelo skromno, in sicer v povprečju manj kot dva zaposlena v ekvivalentu polnega delovnega časa (EPDČ). V skoraj polovici nadzornih organov za varstvo podatkov (vključno s tistimi, v katerih skupno število zaposlenih presega 100 zaposlenih v EPDČ) se je z Direktivo (EU) 2016/680 ukvarjalo od manj kot 1 % do 7 % skupnega števila zaposlenih. V absolutnih številkah so bili za naloge v zvezi z Direktivo (EU) 2016/680 v približno polovici nadzornih organov za varstvo podatkov dodeljeni od ena do štirje zaposleni v EPDČ, v osmih pa od sedem do petnajst zaposlenih v EPDČ. V enem nadzornem organu za varstvo podatkov se je z Direktivo (EU) 2016/680 ukvarjalo 53 zaposlenih v EPDČ. Sekretariat EOVP je za zadeve v zvezi z Direktivo (EU) 2016/680 dodelil manj kot 1,5 zaposlenega v EPDČ. Čeprav je deset nadzornih organov za varstvo podatkov navedlo, da imajo dovolj finančnih, človeških in tehničnih virov, to stanje ni zadovoljivo. Po drugi strani pa je 16 nadzornih organov za varstvo podatkov ugotovilo, da nimajo dovolj virov. Od teh organov jih je nekaj navedlo, da je to negativno vplivalo na njihove preiskave na lastno pobudo, obravnavanje pritožb, inšpekcijske preglede obsežnih informacijskih sistemov (SIS, VIS) in izdajanje mnenj na lastno pobudo. Zaradi posebnih značilnosti sektorja so za učinkovito izvajanje Direktive (EU) 2016/680 dejansko potrebni sistematični inšpekcijski pregledi dejavnosti obdelave, ki so pogosto kompleksni, ni namreč dovolj, da bi se zanašali na posamezne pritožbe (ki jih je precej manj kot za GDPR). Poleg tega so nadzorni organi za varstvo podatkov opozorili na pomanjkanje strokovnega znanja na področju IT za obravnavanje čedalje kompleksnejših informacijskih tehnologij, ki se uporabljajo na področju preprečevanja, odkrivanja in preiskovanja kaznivih dejanj.

3.4.2Uporaba pooblastil Uporaba popravljalnih pooblastil Svoja preiskovalna pooblastila je uporabilo skupaj 19 nadzornih organov za varstvo podatkov, bodisi na lastno pobudo ali na podlagi pritožbe. Ti organi so o težavah poročali le zelo redko (npr. ko upravljavec podatkov ni zagotovil vseh ustreznih informacij ali je zavrnil dostop do informacij). Istih 19 nadzornih organov za varstvo podatkov je uporabilo tudi svoja popravljalna pooblastila. Daleč najpogosteje uporabljeno pooblastilo je bilo izdajanje odredb za uskladitev obdelave z zakonodajo, vključno z odredbami za popravek ali izbris osebnih podatkov ali omejitev njihove obdelave. Nadzorni organi za varstvo podatkov so to pooblastilo uporabili v 114 primerih. Dejstvo, da je bilo to pooblastilo o odreditvi začasne ali dokončne omejitve (vključno s prepovedjo) obdelave uporabljeno le v štirih primerih, kaže, da so nadzorni organi za varstvo podatkov ta pooblastila uporabljali previdno. Uporaba svetovalnih pooblastil Sistematična predhodna posvetovanja z nadzornimi organi za varstvo podatkov in zaprosila teh organov za mnenje o osnutkih zakonodajnih in upravnih ukrepov sta učinkoviti sredstvi, da se zagotovi visoka raven varstva pravice do varstva osebnih podatkov ter zmanjša število naknadnih pritožb. Pri uporabi novih tehnologij, ki lahko pomembno vplivajo na temeljne pravice, je predhodno posvetovanje z nadzornimi organi za varstvo podatkov še posebej pomembno. Polovica nadzornih organov za varstvo podatkov je poročala, da so bila z njimi opravljena posvetovanja o ocenah učinka v zvezi z varstvom podatkov. Število predhodnih posvetovanj med državami članicami se razlikuje. Z nekaterimi organi so bila opravljena posvetovanja le enkrat, z drugim organom pa je bilo opravljenih 59 predhodnih posvetovanj. Nadzorni organi za varstvo podatkov so v večini teh primerov zagotovili pisne nasvete, v nekaterih primerih pa so uporabili popravljalna pooblastila v zvezi z obdelavo, izdali so zlasti opozorila ali odredili ukrepe za uskladitev obdelave podatkov z zakonodajo. V enem primeru je nadzorni organ za varstvo podatkov podal negativno mnenje, kar je imelo enak učinek kot prepoved obdelave. Poleg tega se zdi, da nadzorni organi za varstvo podatkov obravnavajo tudi zahteve za svetovanje zunaj postopka predhodnega posvetovanja. Pristojni organi so se na nadzorne organe za varstvo podatkov najpogosteje obračali za svetovanje v zvezi s posebnimi vrstami obdelave (zlasti uporabo novih tehnologij, mehanizmov ali postopkov, čemur so tesno sledili ustrezni varnostni ukrepi, obdelava posebnih vrst osebnih podatkov, določitev pravne podlage za obdelavo, načelo omejitve hrambe in ustrezni roki). Poleg tega je 22 nadzornih organov za varstvo podatkov izdalo mnenja za nacionalne parlamente in vlade o zakonodajnih in upravnih ukrepih v zvezi z obdelavo osebnih podatkov. Več jih je navedlo, da se z njimi občasno opravijo posvetovanja. 3.4.3Sodni nadzor nad ukrepi nadzornih organov za varstvo podatkov Skoraj polovica nadzornih organov za varstvo podatkov je navedla, da so bili v majhnem številu primerov v zvezi z njihovimi odločitvami ali neukrepanjem začeti sodni postopki. Postopke so večinoma sprožili posamezniki, na katere se nanašajo osebni podatki, v redkih primerih pa pristojni organi. Več zadev so sodišča razglasila za nedopustne ali so jih vložniki umaknili. Sodišče je odločitve nadzornega organa za varstvo podatkov v večini preostalih zadev potrdilo, v nekaterih zadevah pa jih je razveljavilo (druge zadeve so še potekale). Zaradi majhnega števila dosedanjih sodb še ni mogoče odkriti jasnega trenda. 3.4.4Smernice EOVP Doslednost in visoka raven varstva med državami članicami sta bistvenega pomena za zagotovitev učinkovitega pravosodnega sodelovanja v kazenskih zadevah in policijskega sodelovanja. Direktiva (EU) 2016/680 določa, da mora EOVP (na lastno pobudo ali na zahtevo Komisije) izdajati smernice, priporočila in dobre prakse, da bi jo države članice dosledno uporabljale. EOVP je pripravil posebne smernice za Direktivo (EU) 2016/680, ki se nanašajo na poglavje V (mednarodni prenosi), priporočila o uporabi tehnologij za prepoznavanje obraza in (v svoji nekdanji vlogi Delovne skupine iz člena 29) mnenje o nekaterih ključnih vprašanjih Direktive (EU) 2016/680. Številne smernice EOVP o GDPR se nanašajo tudi na Direktivo (EU) 2016/680, saj temeljijo na skupnih načelih ali tehnologijah. Med njimi so smernice o pojmih upravljavec in obdelovalec, o pravicah posameznika, na katerega se nanašajo osebni podatki, o obveščanju o kršitvi varnosti osebnih podatkov, o ocenah učinka v zvezi z varstvom podatkov, o vgrajenem in privzetem varstvu podatkov ter o avtomatiziranem sprejemanju posameznih odločitev. Veliko dela in virov se vloži v pripravo celovitih in praktičnih smernic, ki pa so bistvenega pomena (kot je navedel tudi Svet). Zato je zelo pozitivno, da je EOVP navedel, da bo kmalu zagotovil dodatne smernice, tudi o pojmih preiskovalna in popravljana pooblastila nadzornih organov za varstvo podatkov ter o mednarodnih prenosih, za katere veljajo ustrezni zaščitni ukrepi. S smernicami EOVP se lahko tudi zmanjša delovna obremenitev nadzornih organov za varstvo podatkov (na primer pri nalogah, kot so svetovanje upravljavcem podatkov ali obravnavanje pritožb). Ena od najpogostejših zadev, glede katerih so pristojni organi nadzorne organe za varstvo podatkov zaprosili za svetovanje, je na primer več zadev, obravnavanih v mnenju Delovne skupine iz člena 29 o nekaterih ključnih vprašanjih Direktive (EU) 2016/680 (kot so ustrezni roki, pravna podlaga za obdelavo, pogoji za obdelavo posebnih vrst podatkov). 3.4.5Medsebojna pomoč Nadzorni organi za varstvo podatkov morajo za zagotovitev dosledne uporabe Direktive (EU) 2016/680 medsebojno sodelovati. To zajema pomoč v obliki zahtev za informacije ter zahtev za posvetovanja, preglede in preiskave. Vendar je bila medsebojna pomoč do zdaj zelo redko uporabljena. Uporabilo jo je le šest nadzornih organov za varstvo podatkov, v glavnem kot odgovor na zahteve za informacije, prejete od drugih nadzornih organov za varstvo podatkov. Večina nadzornih organov za varstvo podatkov je navedla, da je prejela le eno zahtevo za informacije. Vsi od njih so poročali, da so prejeto zahtevo izpolnili. Uporabila se ni niti prostovoljna izmenjava v okviru medsebojne pomoči, ki nima zakonsko določenega roka ali stroge dolžnosti odgovora. EOVP je navedel, da bo objavil smernice o okviru medsebojne pomoči na podlagi GDPR in Direktive (EU) 2016/680. 3.5Prožen instrument za mednarodne prenose podatkov

Poglavje V Direktive (EU) 2016/680 zajema prenose osebnih podatkov pristojnim organom v tretjih državah in mednarodnih organizacijah. To poglavje predvsem zagotavlja neprekinjeno varstvo pri prenosu osebnih podatkov iz države članice v tretjo državo ali mednarodno organizacijo za namene preprečevanja, odkrivanja in preiskovanja kaznivih dejanj. Kot je navedeno zgoraj, je tako neprekinjeno varstvo pomemben pogoj za hitro, učinkovito in pravno varno sodelovanje na področju preprečevanja, odkrivanja in preiskovanja kaznivih dejanj med zaupanja vrednimi partnerji. Mednarodni prenosi med pristojnimi organi v smislu Direktive (EU) 2016/680 morajo v skladu z ustreznimi pravili te direktive temeljiti zlasti na enem od različnih orodij za prenos iz členov 36 do 38 Direktive (EU) 2016/680 (če podatki izvirajo iz druge države članice, je za prenos potrebno tudi predhodno dovoljenje te države članice). Med temi orodji so sklepi o ustreznosti, prenosi, za katere se uporabljajo ustrezni zaščitni ukrepi, in uporaba odstopanj v posebnih primerih. Člen 39 Direktive (EU) 2016/680 dovoljuje tudi, da se v posameznih in posebnih primerih ter pod določenimi pogoji podatki neposredno prenesejo uporabnikom, ki niso organi za preprečevanje, odkrivanje in preiskovanje kaznivih dejanj, s sedežem v tretjih državah. 3.5.1Sklepi o ustreznosti Komisija je pospešila prizadevanja za doseganje polnega potenciala orodij, ki so na voljo na podlagi Direktive (EU) 2016/680. To je vključevalo sprejetje prvega „sklepa o ustreznosti“, ki je zajemal dejavnosti obdelave podatkov za namene preprečevanja, odkrivanja in preiskovanja kaznivih dejanj v skladu s členom 36 Direktive (EU) 2016/680, z Združenim kraljestvom junija 2021 . Ta sklep o ustreznosti omogoča varen in prost pretok osebnih podatkov pristojnim organom v zadevni tretji državi, ne da bi bili potrebni dodatni zaščitni ukrepi ali posebno dovoljenje (razen če mora prenos dovoliti druga država članica, iz katere so bili podatki pridobljeni ). Sklep o ustreznosti za Združeno kraljestvo iz junija 2021 je bistvena podlaga za policijsko in pravosodno sodelovanje po brexitu, ki glede na sporazum o trgovini in sodelovanju med EU in Združenim kraljestvom temelji „na dolgotrajni zavezanosti pogodbenic k zagotavljanju visoke ravni varstva osebnih podatkov“ . Komisija v skladu s členom 36(4) Direktive (EU) 2016/680 spremlja razvoj dogodkov v pravnem okviru Združenega kraljestva, ki bi lahko vplival na izvajanje tega sklepa o ustreznosti. Ta sklep o ustreznosti z Združenim kraljestvom bo veljal štiri leta od začetka njegove veljavnosti in se lahko načeloma podaljša za dodatna štiri leta, če se na podlagi spremljanja, ki ga izvaja Komisija, potrdi, da Združeno kraljestvo še vedno ohranja ustrezno raven varstva . EOVP je poleg tega tudi prispeval k razvoju tega instrumenta, tako da je pravni standard pojasnil s smernicami o elementih, ki jih je treba upoštevati pri ocenjevanju ustreznosti v okviru preprečevanja, odkrivanja in preiskovanja kaznivih dejanj, z izdajo referenčnega dokumenta o ustreznosti v skladu z Direktivo (EU) 2016/680 . Tretja država mora zagotoviti zlasti izvršljive pravice posameznika, učinkovita pravna sredstva in neodvisen nadzor. Komisija dejavno spodbuja možnost ugotovitev o ustreznosti z drugimi ključnimi mednarodnimi partnericami, zlasti tistimi državami, s katerimi je potrebno tesno in hitro sodelovanje v boju proti kriminalu in terorizmu ter s katerimi se že izmenjujejo precejšnje količine osebnih podatkov. Do zdaj še ni bil sprejet noben drug sklep o ustreznosti, v glavnem zato, ker je bil ta instrument uveden šele pred kratkim. Poleg tega se za razliko od obdelave podatkov s strani komercialnih upravljavcev svetovno zbliževanje pravil o varstvu podatkov na področju izvrševanja kazenskega prava šele zdaj začenja razvijati (spodbujajo ga na primer večstranski sporazumi, kot je posodobljena konvencija Sveta Evrope št. 108 ali Drugi dodatni protokol h Konvenciji o kibernetski kriminaliteti). Vseeno pa bodo izkušnje, pridobljene pri sprejetju sklepa o ustreznosti z Združenim kraljestvom, omogočile podobne pobude v prihodnjih letih. Komisija bo v okviru mednarodne strategije proučila druge morebitne kandidatke za prihodnje sklepe o ustreznosti na podlagi Direktive (EU) 2016/680, pri čemer bo neposredno sodelovala z drugimi ustreznimi institucijami in organi EU. Zato bo v skladu z uvodno izjavo 68 Direktive (EU) 2016/680 posebej pozorna na mednarodne zaveze držav, ki se ocenjujejo, v zvezi z varstvom osebnih podatkov, vključno s pristopom k navedenim večstranskim sporazumom ali drugim instrumentom za preprečevanje, odkrivanje in preiskovanje kaznivih dejanj, ki zagotavljajo ustrezne zaščitne ukrepe za varstvo podatkov. 3.5.2Ustrezni zaščitni ukrepi V Direktivi (EU) 2016/680 so poleg celovite rešitve v obliki sklepa o ustreznosti še drugi instrumenti za prenos. Prožnost tega „nabora orodij“ je razvidna iz člena 37 Direktive (EU) 2016/680, ki ureja prenose podatkov na podlagi „ustreznih zaščitnih ukrepov“ v zvezi z varstvom osebnih podatkov. Taki ustrezni zaščitni ukrepi se lahko zagotovijo s pravno zavezujočim aktom ali če upravljavec na podlagi vseh okoliščin v zvezi s prenosom ugotovi, da obstajajo ustrezni zaščitni ukrepi (tako imenovana „samoocena“ za prenose). Komisija se je v prvih letih veljavnosti Direktive (EU) 2016/680 ukvarjala zlasti z zavezujočimi pravnimi akti v obliki mednarodnih sporazumov, ki so zagotavljali ustrezne zaščitne ukrepe. Taki sporazumi imajo pomembno vlogo v okviru „tradicionalnega“ sodelovanja (tj. sodelovanje med pristojnimi organi) ter drugih oblik sodelovanja na področju preprečevanja, odkrivanja in preiskovanja kaznivih dejanj (tj. sodelovanje, ki vključuje tretje osebe, kot so zasebna podjetja). Uporabljajo se lahko tudi kot podlaga za prenose podatkov s strani Europola in Eurojusta na podlagi njunih ustreznih pravnih okvirov, katerih pravila o mednarodnih prenosih so zelo podobna pravilom na podlagi Direktive (EU) 2016/680. Komisija, kar zadeva tradicionalne oblike sodelovanja na področju preprečevanja, odkrivanja in preiskovanja kaznivih dejanj, pregleduje mednarodne sporazume, sprejete pred začetkom veljavnosti Direktive (EU) 2016/680, da bi zagotovila skladnost s posodobljeno ureditvijo varstva podatkov . Prvič, Komisija ocenjuje določbe o varstvu podatkov iz veljavnih sporazumov o sodelovanju med Europolom in tretjimi državami, sklenjenih pred 1. majem 2017, kot je določeno v Uredbi (EU) 2016/794 o Agenciji Evropske unije za sodelovanje na področju preprečevanja, odkrivanja in preiskovanja kaznivih dejanj (v nadaljnjem besedilu: uredba o Europolu) . V skladu s členom 9 Protokola št. 36 k Pogodbi o Evropski uniji in PDEU (o prehodni ureditvi) sporazumi ohranijo pravni učinek, dokler se ne razveljavijo, razglasijo za nične ali spremenijo . Komisija bo Evropski parlament in Svet obvestila o rezultatu te ocene, po potrebi pa bo lahko Svetu predložila priporočilo za sklep o odobritvi za začetek pogajanj za spremembo ustreznih mednarodnih sporazumov v skladu s členom 218 PDEU. To je zapletena naloga, ki zajema oceno 18 sporazumov, ki pa je bila odložena zaradi motenj, ki jih je povzročila pandemija COVID-19. Komisija pričakuje, da bo oceno dokončala v drugi polovici leta 2022. Komisija pri pogajanjih o novih sporazumih za prenos osebnih podatkov s strani Europola v tretje države ali mednarodne organizacije upošteva tudi vodilno načelo usklajenosti vseh mehanizmov za sodelovanje na področju preprečevanja, odkrivanja in preiskovanja kaznivih dejanj s pravili Direktive (EU) 2016/680. Člen 218 PDEU je bil od začetka veljavnosti veljavne uredbe o Europolu leta 2017 pravna podlaga za take mednarodne sporazume, ki je zagotavljala ustrezne zaščitne ukrepe. Svet je leta 2018 in leta 2019 sprejel devet mandatov za Komisijo, da v imenu Unije začne pogajanja s tretjimi državami. Komisija je prejela tudi pooblastilo, da z Interpolom začne pogajanja o sporazumu o sodelovanju, ki bi zajemal izmenjavo podatkov z več agencijami in organi EU. Svet je Komisiji v vseh teh primerih predložil pogajalske smernice zaradi vključitve potrebnih zaščitnih ukrepov za varstvo osebnih podatkov in drugih temeljnih pravic in svoboščin posameznikov. Komisija je na osnovi tega že zaključila pogajanja z Novo Zelandijo, na podlagi česar je bil 30. junija 2022 podpisan sporazum o sodelovanju. Poleg tega je bil dosežen napredek pri pogajanjih z Izraelom. Pogajanja s Turčijo so v napredni fazi, vendar se ne morejo zaključiti, dokler ta država ne sprejme potrebnih reform v zakonodaji o varstvu podatkov. Podobna pooblastila so bila odobrena marca 2021 za pogajanja o sporazumih o sodelovanju, da bi se omogočila izmenjava podatkov med Europolom in 13 tretjimi državami. Drugič, Komisija izvaja prvi skupni pregled Sporazuma med Združenimi državami Amerike in Evropsko unijo o varstvu osebnih podatkov pri preprečevanju, preiskovanju, odkrivanju in pregonu kaznivih dejanj (v nadaljnjem besedilu: krovni sporazum). Ta sporazum, ki je začel veljati februarja 2017, vsebuje celovit in usklajen sklop pravil o varstvu podatkov, ki se uporabljajo pri vseh čezatlantskih izmenjavah med pristojnimi organi. Dopolnjuje veljavne sporazume med organi za preprečevanje, odkrivanje in preiskovanje kaznivih dejanj EU in ZDA ter držav članic EU in ZDA, določa standard visoke ravni varstva za prihodnje sporazume na tem področju ter krepi sodelovanje na področju preprečevanja, odkrivanja in preiskovanja kaznivih dejanj z olajšanjem izmenjave informacij. S skupnim pregledom se poskuša oceniti učinkovito izvajanje krovnega sporazuma, zlasti glede določb o nadaljnjih prenosih, pravicah posameznikov in pravnih sredstvih. Na časovni okvir za skupni pregled so vplivale motnje v zvezi s pandemijo COVID-19, pa tudi vzporedna pogajanja za Drugi dodatni protokol h Konvenciji o kibernetski kriminaliteti . Komisija pričakuje, da bo oceno dokončala v drugi polovici leta 2022. Krovni sporazum je kot prvi dvostranski mednarodni sporazum s celovitim naborom pravic in obveznosti v zvezi z varstvom podatkov referenčna točka za pogajanja o podobnih okvirnih sporazumih s pomembnimi partnericami na področju izvrševanja kazenskega prava. Komisija bo pri tem upoštevala tudi ustrezen razvoj, vključno s smernicami EOVP, sodno prakso Sodišča in izidom mednarodnih pogajanj o zaščitnih ukrepih za varstvo podatkov na tem področju (kot je na primer Drugi dodatni protokol h Konvenciji o kibernetski kriminaliteti ali sporazum Europola z Novo Zelandijo). Tretjič, Komisija je sporazum o medsebojni pravni pomoči v kazenskih zadevah med Evropsko unijo in Japonsko , ki ureja obdelavo podatkov (prenose) za namene izvrševanja kazenskega prava, opredelila kot akt EU, ki ga je treba spremeniti, da bi se zagotovili ustrezni zaščitni ukrepi za varstvo podatkov v skladu z Direktivo (EU) 2016/680. Po tem, ko je Svet sprejel sklep o pooblastilu za začetek pogajanj o Sporazumu o medsebojni pravni pomoči v kazenskih zadevah med Evropsko unijo in Japonsko, je Komisija stalno v stiku z japonskimi organi, da bi čim prej začela pogajanja. Poleg tega se zdaj vse bolj upoštevajo tudi druge oblike sodelovanja, prilagojenega posebnim izzivom in potrebam kazenskih preiskav v sodobnem digitalnem gospodarstvu. Te se v glavnem nanašajo na okrepljeno sodelovanje na področju kibernetske kriminalitete in zbiranje dokazov o kaznivih dejanjih v elektronski obliki. To sodelovanje vključuje neposredno sodelovanje z zasebnimi subjekti pri dostopu do elektronskih dokazov. Komisija je z mednarodnimi partnericami sodelovala tudi zato, da se lahko te druge (pomembne) oblike sodelovanja omogočijo na podlagi ustreznih zaščitnih ukrepov za varstvo podatkov. Komisija je v okviru Sveta Evrope zastopala EU med pogajanji o Drugem dodatnem protokolu h Konvenciji o kibernetski kriminaliteti . Protokol, ki ga je 17. novembra 2021 odobril Odbor ministrov Sveta Evrope, vsebuje stroge zaščitne ukrepe za varstvo temeljnih pravic, vključno s členom s podrobnimi določbami o varstvu osebnih podatkov, ki se prenesejo na podlagi Protokola. Te določbe zajemajo vsa bistvena načela varstva podatkov, pravic in obveznosti, ki jih priznava pravo EU. Ta jamstva dopolnjuje določba o spremljanju in možnost začasne ustavitve prenosov podatkov v primeru sistematične ali bistvene kršitve zaščitnih ukrepov iz Protokola, kot na primer neobstoj učinkovitega pravnega sredstva. S temi določbami zagotavlja ustrezne zaščitne ukrepe v skladu z zahtevami iz člena 37(1), točka (a), Direktive (EU) 2016/680 . Glede na raznolikost članstva v Konvenciji o kibernetski kriminaliteti, ki ima trenutno 66 držav pogodbenic z različnimi pravnimi podlagami in tradicijami, je to pomemben dosežek. Omogočil bo, da bodo pristojni organi držav članic udeleženi v učinkovitem čezmejnem sodelovanju v boju proti kibernetski kriminaliteti, in hkrati zagotovil spoštovanje vrednot EU, kot so izražene v Listini EU o temeljnih pravicah, pogodbah EU in sekundarni zakonodaji EU. Glede na številne pogodbenice Konvencije o kibernetski kriminaliteti, med katerimi so trenutno države s celega sveta, bo Protokol tudi prispeval k spodbujanju visoke ravni varstva podatkov pri njihovi obdelavi na področju izvrševanja kazenskega prava na svetovni ravni. Protokol je bil na voljo za podpis 12. maja 2022, podpisalo pa ga je že skupno 22 pogodbenic Konvencije o kibernetski kriminaliteti (vključno s 13 državami članicami EU). Komisija je z Združenimi državami Amerike začela pogajanja o dvostranskem sporazumu o čezmejnem dostopu do elektronskih dokazov za pravosodno sodelovanje v kazenskih zadevah. Ta sporazum zajema elektronske dokaze v obliki neosebnih in osebnih podatkov, tudi podatke o prometu in vsebini. Poudariti je treba, da pogajanja zajemajo tudi vključitev dodatnih zaščitnih ukrepov za varstvo podatkov, ki bi dopolnjevala tiste iz krovnega sporazuma, pri čemer se zlasti upoštevajo občutljivost zadevnih vrst podatkov in zahteve za neposredni prenos elektronskih dokazov s strani ponudnikov storitev. Napredek pri teh pogajanjih bo močno odvisen od napredka tekočega zakonodajnega postopka o svežnju EU o elektronskih dokazih . Te različne pobude Komisije za razvoj mednarodnih instrumentov, ki olajšujejo sodelovanje na področju preprečevanja, odkrivanja in preiskovanja kaznivih dejanj z mednarodnimi partnericami ter hkrati zagotavljajo ustrezne zaščitne ukrepe za varstvo podatkov, podpira delo EOVP in ENVP. To delo zajema izjavo EOVP o osnutku Drugega dodatnega protokola h Konvenciji o kibernetski kriminaliteti in mnenja ENVP o osnutkih pogajalskih mandatov za mednarodne sporazume na podlagi člena 218 PDEU, kar bi Europolu in Eurojustu omogočilo izmenjavo osebnih podatkov s tretjimi državami ali mednarodnimi organizacijami . EOVP je izdal tudi izjavo, v kateri je države članice pozval, naj ocenijo in po potrebi pregledajo mednarodne sporazume, ki vključujejo mednarodne prenose osebnih podatkov . Izjava, ki se nanaša na sporazume, sklenjene pred 6. majem 2016 (tudi na področju izvrševanja kazenskega prava), države članice poziva, naj ugotovijo, ali je potrebno nadaljnje usklajevanje z veljavno zakonodajo EU in sodno prakso o varstvu podatkov.

Člen 37 Direktive (EU) 2016/680 tudi dovoljuje prenose mednarodnih podatkov na podlagi samoocene, ki jo pristojni organ izvede v zvezi s tem, ali ima tretja država (ali mednarodna organizacija) ustrezne zaščitne ukrepe za varstvo podatkov. Organ mora v takih primerih dokumentirati prenos (vključno z datumom in uro, podatki o organu prejemniku, utemeljitvijo prenosa in prenesenimi osebnimi podatki), dokumentacija pa mora biti na zahtevo na voljo nadzornemu organu (člen 37(3) Direktive (EU) 2016/680). Iz povratnih informacij držav članic je razvidno, da je bilo to orodje redko uporabljeno. Da bi lahko države članice v celoti uporabile nabor orodij za prenos Direktive (EU) 2016/680, je pomembno, da EOVP okrepi tekoče delo v zvezi z različnimi mehanizmi prenosa. Med drugim bi moral podati smernice o mehanizmih, vključenih v člen 37(1) Direktive (EU) 2016/680, zlasti o prenosih na podlagi samoocen s strani pristojnih organov. To potrebo je poudaril tudi Svet. 3.5.3Uporaba odstopanj Tako imenovana odstopanja zagotavljajo pomembno podlago za prenose pod določenimi pogoji iz člena 38 Direktive (EU) 2016/680. S temi pogoji se vzpostavlja ravnovesje med pomisleki glede zasebnosti in operativnimi potrebami pristojnih organov. Zlasti člen 38(1) dovoljuje prenose, in celo kategorije prenosov, osebnih podatkov, če je prenos potreben za preprečitev neposredne in resne grožnje javni varnosti ali v posameznih primerih za namene preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj. V nasprotju z odstopanji na podlagi člena 49 uredbe GDPR za zdaj ne obstajajo smernice za odstopanja na podlagi člena 38 Direktive (EU) 2016/680. 3.5.4Učinkovito čezmejno policijsko in pravosodno sodelovanje Direktiva (EU) 2016/680 je postala mednarodna referenčna točka za varstvo podatkov na področju preprečevanja, odkrivanja in preiskovanja kaznivih dejanj ter je države po svetu spodbudila k uvedbi sodobnih pravil o varovanju zasebnosti na tem področju. Ta zelo pozitiven razvoj prinaša nove možnosti za boljše varstvo posameznikov v EU, kadar se njihovi podatki prenašajo v tujino za namene preprečevanja, odkrivanja in preiskovanja kaznivih dejanj, hkrati pa olajšuje pretoke podatkov, ki lahko pomagajo v boju proti kriminalu. Bolj na splošno je pomembno zagotoviti, da lahko podjetja, ki delujejo na evropskem trgu, ko prejmejo neposredne zahteve za sodelovanje za namene preprečevanja, odkrivanja in preiskovanja kaznivih dejanj, to storijo brez tveganja kolizije zakonov in ob polnem spoštovanju temeljnih pravic EU . Za izboljšanje takih prenosov se je Komisija zavezala, da bo z mednarodnimi partnericami razvila ustrezne pravne okvire za preprečevanje kolizije zakonov in podpirala učinkovite oblike sodelovanja, zlasti z določitvijo potrebnih zaščitnih ukrepov za varstvo podatkov, s tem pa prispevala k učinkovitejšemu boju proti kriminalu. Glede na navedeno je začela Komisija na dvostranski, regionalni in večstranski ravni dejavno spodbujati mednarodno zbliževanje standardov za varstvo podatkov za sodelovanje na področju izvrševanja kazenskega prava. Službe Komisije so med dialogi o reformah zakonodaje o varstvu podatkov, ki se izvajajo, na različne načine (npr. s prispevki v odziv na javna posvetovanja, sodelovanjem v parlamentarnih obravnavah ter namenskimi srečanji s predstavniki vlad in oblikovalci politike) sodelovale z več tujimi državami partnericami pri pripravi pravil o obdelavi osebnih podatkov s strani pristojnih organov. Komisija na regionalni in večstranski ravni na primer podpira projekte krepitve zmogljivosti v okviru izvajanja Konvencije Sveta Evrope o kibernetski kriminaliteti . Med temi projekti so program GLACY+ za okrepitev zmogljivosti držav za uporabo zakonodaje o kibernetski kriminaliteti ter povečanje njihove zmogljivosti za učinkovito mednarodno sodelovanje v skladu s Konvencijo o kibernetski kriminaliteti in njenimi dodatnimi protokoli. To zajema tudi pripravo zakonodaje o varstvu podatkov za obdelavo podatkov na tem področju. Program za zdaj zagotavlja podporo 17 prednostnim državam in državam vozliščem v afriški, azijsko-pacifiški, latinsko-ameriški in karibski regiji. Komisija je pri pripravi okvira za varstvo podatkov sodelovala tudi z Ameripolom, organizacijo za policijsko sodelovanje, ki združuje 18 držav Latinske Amerike, z namenom izmenjave informacij med Ameripolom in njegovimi državami članicami. To sodelovanje poteka prek projekta EL PAcCTO: Support to Ameripol (EL PAcCTO: podpora Ameripolu), katerega namen je izboljšati raven mednarodnega sodelovanja med policijskimi in pravosodnimi organi in tožilstvi partnerskih držav v boju proti organiziranemu kriminalu. Komisija tudi spodbuja posodobljeno Konvencijo o varstvu posameznikov glede na avtomatsko obdelavo osebnih podatkov (znano kot Konvencija št. 108+), ki se prav tako uporablja pri dejavnostih obdelave podatkov za namene izvrševanja kazenskega prava. Ta konvencija, h kateri lahko pristopijo tudi nečlanice Sveta Evrope, je pomembna ne le zato, ker je edini zavezujoč večstranski sporazum o varstvu podatkov, temveč tudi zato, ker v okviru odbora, vzpostavljenega s Konvencijo, omogoča forum za izmenjavo dobrih praks in določanje svetovnih standardov . Komisija v okviru mednarodne strategije o pretoku podatkov spodbuja pristop tretjih držav h Konvenciji št. 108+. Nazadnje, Komisija spodbuja večje zbliževanje na mednarodni ravni s tem, da si s partnericami izmenjuje izkušnje o vidikih varstva podatkov pri sodelovanju na področju izvrševanja kazenskega prava. Ključno orodje pri tem prizadevanju je platforma „Akademija za varstvo podatkov“ Komisije, ki je del projekta „International Digital Cooperation - Enhanced Data Protection and Data Flows“ (Mednarodno digitalno sodelovanje – okrepljena varstvo in pretok podatkov), financiranega v okviru instrumenta zunanje politike. Akademija je bila ustanovljena za pospeševanje izmenjav med regulativnimi organi EU in tretjih držav ter izboljšanje sodelovanja na terenu. Njene dejavnosti zajemajo vse vidike nadzora nad varstvom podatkov, tudi na področju preprečevanja, odkrivanja in preiskovanja kaznivih dejanj. 4Nadaljnji koraki Komisija bo za zagotovitev učinkovite varnostne politike EU, ki v celoti spoštuje temeljne pravice pri varstvu osebnih podatkov, še naprej preverjala, da so države članice Direktivo (EU) 2016/680 pravilno prenesle v nacionalno zakonodajo, in spremljala uporabo njenih določb. Direktiva (EU) 2016/680 je znatno prispevala k bolj usklajeni in višji ravni varstva pravic posameznikov ter skladnejšemu pravnemu okviru za pristojne organe. Kljub na splošno zadovoljivemu prenosu Direktive (EU) 2016/680 v nacionalno zakonodajo je bilo ugotovljenih več težav. Komisija je že začela postopke za ugotavljanje kršitev v zvezi z neprenosom in neskladnostjo nacionalne zakonodaje z Direktivo (EU) 2016/680. Še naprej si bo prizadevala za popoln in pravilen prenos v nacionalno zakonodajo. Zaradi Direktive (EU) 2016/680 se je povečala ozaveščenost pristojnih nacionalnih organov o varstvu podatkov in njihova osredotočenost nanje, tudi glede varnosti obdelave podatkov. Za izpolnitev ciljev Direktive (EU) 2016/680 v praksi je ključen dejaven nadzor s strani nadzornih organov za varstvo podatkov. Zato je treba tem organom zagotoviti vse vrste pooblastil, ki se zahtevajo v Direktivi (EU) 2016/680, in ustrezna sredstva. Na tej stopnji bi se bilo treba osredotočiti na uresničitev celotnega potenciala Direktive (EU) 2016/680. Komisija v tem okviru in glede na omejene izkušnje s temi novimi pravili meni, da je za razmislek o reviziji Direktive (EU) 2016/680 prezgodaj. Komisija bo še naprej dejavno sodelovala z vsemi ustreznimi stranmi z vidika naslednje ocene, ki naj bi bila opravljena leta 2026. Medtem si bo še naprej prizadevala zagotavljati skladnost z drugo zakonodajo EU, ki je pomembna za obdelavo osebnih podatkov za namene izvrševanja kazenskega prava.

Pravni okvir Komisija bo: -še naprej ocenjevala, kako so države članice Direktivo (EU) 2016/680 prenesle v nacionalno zakonodajo, in po potrebi sprejemala ustrezne ukrepe (vključno z začetkom postopkov za ugotavljanje kršitev), -izvajala dvostranske izmenjave z državami članicami in -zagotavljala skladnost prihodnjih zakonodajnih predlogov z Direktivo (EU) 2016/680. Države članice: -na nacionalni ravni zagotovijo popoln in pravilen prenos Direktive (EU) 2016/680 v nacionalno zakonodajo, vključno z določitvijo potrebnih zahtev iz Direktive (EU) 2016/680, če tega ne zagotavljajo nacionalni zakoni o varstvu podatkov, s katerimi se Direktiva (EU) 2016/680 prenaša v nacionalno zakonodajo. Nadzor s strani nadzornih organov za varstvo podatkov Države članice: -nadzornim organom za varstvo podatkov zagotovijo dovolj virov, da lahko opravljajo naloge, povezane z izvajanjem Direktive (EU) 2016/680, -zagotovijo, da lahko nadzorni organi za varstvo podatkov izvajajo vse vrste pooblastil iz Direktive (EU) 2016/680, in -se z nadzornimi organi za varstvo podatkov sistematično posvetujejo o osnutkih splošno uporabljenih zakonodajnih in upravnih ukrepov, ki se nanašajo na varstvo osebnih podatkov, ter ustrezno upoštevajo njihova mnenja (zlasti v primeru novih tehnologij). Nadzorni organi za varstvo podatkov so pozvani, da: -v celoti izkoristijo preiskovalna pooblastila, vključno z izvedbo preiskav na lastno pobudo, -zbirajo posebne statistične podatke v zvezi s svojimi dejavnostmi nadzora na podlagi Direktive (EU) 2016/680 ter -uporabljajo orodja medsebojne pomoči in pripravijo praktične ukrepe za olajšanje prošenj za pomoč, tudi z načrtovanimi smernicami EOVP. EOVP je pozvan, da: -razširi nabor strokovnjakov za podporo za naloge v zvezi z Direktivo (EU) 2016/680. Podpora pristojnim organom Komisija bo:

-olajšala razprave in izmenjavo izkušenj med državami članicami in Komisijo v strokovni skupini držav članic za Direktivo (EU) 2016/680 ter -olajšala izmenjavo mnenj med pooblaščenimi osebami za varstvo podatkov prek mreže pooblaščenih oseb za varstvo podatkov. Države članice so pozvane, da: -si še naprej prizadevajo izvajati usposabljanja o zahtevah za varstvo podatkov za pristojne organe, tudi v zvezi z novimi tehnologijami. EOVP in nadzorni organi za varstvo podatkov so pozvani, da: -krepijo svoja prizadevanja za sprejemanje ustreznih smernic (npr. o vlogi privolitve pri obdelavi osebnih podatkov za namene izvrševanja kazenskega prava in o pravicah posameznikov, na katere se nanašajo osebni podatki, vključno z njihovimi morebitnimi omejitvami), tako da sprejmejo nove, samostojne smernice ali dopolnijo smernice, že sprejete za GDPR. Čezmejni prenosi podatkov Komisija namerava: -dejavno spodbujati morebitne nove sklepe o ustreznosti s ključnimi mednarodnimi partnericami, -izvesti pogajanja o novih sporazumih o sodelovanju med Europolom in Eurojustom na eni strani ter tretjimi državami na drugi. Po potrebi si bo prizadevala za ponovna pogajanja o obstoječih sporazumih Europola o sodelovanju, da bodo vključevali ustrezne zaščitne ukrepe za varstvo podatkov, -začeti pogajanja z Japonsko, da bi spremenila veljavni sporazum o medsebojni pravni pomoči med EU in Japonsko zaradi zagotovitve ustreznih zaščitnih ukrepov za varstvo podatkov, -izvesti in zaključiti pogajanja z Združenimi državami Amerike o dvostranskem sporazumu o čezmejnem dostopu do elektronskih dokazov za pravosodno sodelovanje v kazenskih zadevah, vključno z dopolnitvijo zaščitnih ukrepov za varstvo podatkov, zagotovljenih s krovnim sporazumom med EU in ZDA, da bi se upošteval posebni okvir neposrednega sodelovanja med organi za preprečevanje, odkrivanje in preiskovanje kaznivih dejanj in ponudniki storitev, ter -proučiti možnost sklenitve okvirnih sporazumov o varstvu podatkov s pomembnimi partnericami na področju izvrševanja kazenskega prava za obdelavo podatkov na področju izvrševanja kazenskega prava po zgledu krovnega sporazuma med ZDA in EU. EOVP je pozvan, da: -sprejme smernice za dodatno pojasnilo pojma „ustrezni zaščitni ukrepi“ in njegove vsebine (člen 37 Direktive (EU) 2016/680) ter uporabe odstopanj (člen 38 Direktive (EU) 2016/680). Spodbujanje zbliževanja in razvoj mednarodnega sodelovanja Komisija bo: -razširila sodelovanje z mednarodnimi partnericami za okrepitev zbliževanja pravil o varstvu podatkov na področju izvrševanja kazenskega prava, tudi s spodbujanjem pristopa h Konvenciji št. 108+ kot edinemu zavezujočemu svetovnemu sporazumu o varstvu podatkov, in -spodbujala dvostransko, regionalno in večstransko sodelovanje ter podpirala projekte krepitve zmogljivosti na področju varstva podatkov in policijskega sodelovanja. To bo zajemalo usposabljanje ter izmenjavo znanja in dobrih praks prek Akademije za varstvo podatkov. Države članice so pozvane, da: