CELEX: 
Language: lt
Date: 2016-04-06
Title: Per pimąjį svarstymą priimta Tarybos pozicija siekiant priimti EUROPOS PARLAMENTO IR TARYBOS REGLAMENTĄ dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas)

Europos Sąjungos
                  Taryba
                                                       Briuselis, 2016 m. balandžio 6 d.
                                                       (OR. en)

                                                       5419/16
          Tarpinstitucinė byla:
            2012/0011 (COD)

                                                       DATAPROTECT 2
                                                       JAI 38
                                                       MI 25
                                                       DIGIT 21
                                                       DAPIX 9
                                                       FREMP 4
                                                       CODEC 52

TEISĖS AKTAI IR KITI DOKUMENTAI
Dalykas:             Per pimąjį svarstymą priimta Tarybos pozicija siekiant priimti EUROPOS
                     PARLAMENTO IR TARYBOS REGLAMENTĄ dėl fizinių asmenų apsaugos
                     tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo
                     panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos
                     reglamentas)

5419/16                                                            JV/rzi
                                            DGD 2                                      LT
 ---pagebreak---                            EUROPOS PARLAMENTO IR TARYBOS
                                 REGLAMENTAS (ES) 2016/…

                                           … m. … … d.

                                   dėl fizinių asmenų apsaugos
                                    tvarkant asmens duomenis
                               ir dėl laisvo tokių duomenų judėjimo
                           ir kuriuo panaikinama Direktyva 95/46/EB
                           (Bendrasis duomenų apsaugos reglamentas)

                                      (Tekstas svarbus EEE)

EUROPOS PARLAMENTAS IR EUROPOS SĄJUNGOS TARYBA,

atsižvelgdami į Sutartį dėl Europos Sąjungos veikimo, ypač į jos 16 straipsnį,

atsižvelgdami į Europos Komisijos pasiūlymą,

teisėkūros procedūra priimamo akto projektą perdavus nacionaliniams parlamentams,

atsižvelgdami į Europos ekonomikos ir socialinių reikalų komiteto nuomonę 1,

atsižvelgdami į Regionų komiteto nuomonę 2,

laikydamiesi įprastos teisėkūros procedūros 3,

1
       OL C 229, 2012 7 31, p. 90.
2
       OL C 391, 2012 12 18, p. 127.
3
       2014 m. kovo 12 d. Europos Parlamento pozicija (OL …) ir … Tarybos pozicija. … m. …
       … d. Europos Parlamento pozicija ir … m. … … d. Tarybos sprendimas.

5419/16                                                                  JV/rzi              1
                                                 DGD 2                                 LT
 ---pagebreak--- kadangi:

(1)        fizinių asmenų apsauga tvarkant asmens duomenis yra pagrindinė teisė. Europos Sąjungos
           pagrindinių teisių chartijos (toliau – Chartija) 8 straipsnio 1 dalyje ir Sutarties dėl Europos
           Sąjungos veikimo (toliau – SESV) 16 straipsnio 1 dalyje numatyta, kad kiekvienas asmuo
           turi teisę į savo asmens duomenų apsaugą;

(2)        fizinių asmenų apsaugos tvarkant jų asmens duomenis principais ir taisyklėmis turėtų būti
           paisoma fizinių asmenų pagrindinių teisių ir laisvių, visų pirma jų teisės į asmens duomenų
           apsaugą, neatsižvelgiant į jų pilietybę ar gyvenamąją vietą. Šiuo reglamentu siekiama
           padėti užbaigti kurti laisvės, saugumo ir teisingumo erdvę ir ekonominę sąjungą, skatinti
           ekonominę ir socialinę pažangą, stiprinti valstybių narių ekonomiką ir siekti jų ekonomikos
           konvergencijos vidaus rinkoje ir fizinių asmenų gerovės;

(3)        Europos Parlamento ir Tarybos direktyva 95/46/EB 1 siekiama suderinti fizinių asmenų
           pagrindinių teisių ir laisvių apsaugą vykdant duomenų tvarkymo veiklą ir užtikrinti laisvą
           asmens duomenų judėjimą tarp valstybių narių;

1
      1995 m. spalio 24 d. Europos Parlamento ir Tarybos direktyva 95/46/EB dėl asmenų
      apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo (OL L 281,
      1995 11 23, p. 31).

5419/16                                                                       JV/rzi                     2
                                                   DGD 2                                              LT
 ---pagebreak--- (4)       asmens duomenys turėtų būti tvarkomi taip, kad tai pasitarnautų žmonijai. Teisė į asmens
          duomenų apsaugą nėra absoliuti; ji turi būti vertinama atsižvelgiant į jos visuomeninę
          paskirtį ir derėti su kitomis pagrindinėmis teisėmis, remiantis proporcingumo principu.
          Šiuo reglamentu paisoma visų Chartijoje pripažintų ir Sutartyse įtvirtintų pagrindinių teisių
          ir laisvių bei principų, visų pirma teisės į privatų ir šeimos gyvenimą, būsto neliečiamybę ir
          komunikacijos slaptumą, teisės į asmens duomenų apsaugą, minties, sąžinės ir religijos
          laisvės, saviraiškos ir informacijos laisvės, laisvės užsiimti verslu, teisės į veiksmingą
          teisinę gynybą ir teisingą bylos nagrinėjimą ir kultūrų, religijų ir kalbų įvairovės;

(5)       dėl ekonominės ir socialinės integracijos, kuri yra vidaus rinkos veikimo rezultatas, labai
          išaugo tarpvalstybinis asmens duomenų judėjimas. Sąjungoje daugiau keičiamasi asmens
          duomenimis tarp viešojo ir privačiojo sektoriaus subjektų, įskaitant fizinius asmenis,
          asociacijas ir įmones. Sąjungos teisėje valstybių narių nacionalinės institucijos raginamos
          bendradarbiauti ir keistis asmens duomenimis, kad galėtų atlikti savo pareigas arba vykdyti
          užduotis kitos valstybės narės valdžios institucijos vardu;

5419/16                                                                     JV/rzi                      3
                                                  DGD 2                                                LT
 ---pagebreak--- (6)       dėl sparčios technologinės plėtros ir globalizacijos kyla naujų asmens duomenų apsaugos
          sunkumų. Žymiai išaugo asmens duomenų rinkimo ir keitimosi jais mastas. Technologijos
          leidžia privačioms bendrovėms ir valdžios institucijoms vykdant savo veiklą naudotis
          asmens duomenimis precedento neturinčiu mastu. Fiziniai asmenys vis dažniau viešina
          asmeninę informaciją pasaulio mastu. Technologijos pakeitė ekonominį ir socialinį
          gyvenimą ir turėtų sudaryti dar palankesnes sąlygas laisvam asmens duomenų judėjimui
          Sąjungoje ir jų perdavimui į trečiąsias valstybes bei tarptautinėms organizacijoms, kartu
          užtikrinant aukštą asmens duomenų apsaugos lygį;

(7)       dėl tų pokyčių Sąjungoje reikia tvirtos ir geriau suderintos duomenų apsaugos sistemos,
          paremtos griežtu vykdymo užtikrinimu, kadangi svarbu sukurti pasitikėjimą, kuris sudarys
          sąlygas skaitmeninei ekonomikai vystytis vidaus rinkoje. Fiziniai asmenys turėtų
          kontroliuoti savo asmens duomenis ir turėtų būti užtikrintas didesnis teisinis ir praktinis
          tikrumas fiziniams asmenims, ekonominės veiklos vykdytojams ir valdžios institucijoms;

(8)       kai šiuo reglamentu numatoma galimybė valstybės narės teisėje konkrečiau apibrėžti
          reglamento taisykles ar numatyti jų apribojimus, valstybės narės, kiek tai būtina
          suderinamumui užtikrinti ir siekiant, kad nacionalinės nuostatos būtų suprantamos
          asmenims, kuriems jos taikomos, gali į savo nacionalinę teisę įtraukti šio reglamento
          elementus;

5419/16                                                                     JV/rzi                      4
                                                 DGD 2                                             LT
 ---pagebreak--- (9)       Direktyvos 95/46/EB tikslai ir principai tebėra pagrįsti, tačiau ji neužkirto kelio
          suskaidytam duomenų apsaugos įgyvendinimui Sąjungoje, teisiniam netikrumui ar plačiai
          paplitusiai viešajai nuomonei, kad fizinių asmenų apsaugai kyla didelių pavojų, visų pirma
          dėl veiklos internete. Dėl skirtingo fizinių asmenų teisių ir laisvių, visų pirma teisės į
          asmens duomenų apsaugą tvarkant asmens duomenis, apsaugos lygio valstybėse narėse
          gali būti trikdomas laisvas asmens duomenų judėjimas Sąjungoje. Todėl tokie skirtumai
          gali kliudyti užsiimti ekonomine veikla Sąjungos lygmeniu, iškreipti konkurenciją ir
          trukdyti valdžios institucijoms vykdyti savo pareigas pagal Sąjungos teisę. Tokią skirtingo
          lygio apsaugą lemia nevienodas Direktyvos 95/46/EB įgyvendinimas ir taikymas;

5419/16                                                                      JV/rzi                     5
                                                  DGD 2                                                LT
 ---pagebreak--- (10)      siekiant užtikrinti vienodo ir aukšto lygio fizinių asmenų apsaugą ir pašalinti asmens
          duomenų judėjimo Sąjungoje kliūtis, visose valstybėse narėse turėtų būti užtikrinama
          lygiavertė asmenų teisių ir laisvių apsauga tvarkant tokius duomenis. Visoje Sąjungoje
          turėtų būti užtikrintas nuoseklus ir vienodas taisyklių, kuriomis reglamentuojama fizinių
          asmenų pagrindinių teisių ir laisvių apsauga tvarkant asmens duomenis, taikymas. Kalbant
          apie asmens duomenų tvarkymą siekiant laikytis teisinės prievolės, užduoties, vykdomos
          dėl viešojo intereso arba vykdant duomenų valdytojui pavestas viešosios valdžios
          funkcijas, atlikimui valstybėms narėms turėtų būti leidžiama išlaikyti arba nustatyti
          nacionalines nuostatas, kuriomis konkrečiau apibrėžiamas šiame reglamente nustatytų
          taisyklių taikymas. Kartu su bendraisiais ir horizontaliaisiais teisės aktais dėl duomenų
          apsaugos, kuriais įgyvendinama Direktyva 95/46/EB, valstybės narės turi keletą
          konkretiems sektoriams skirtų teisės aktų srityse, kuriose reikia konkretesnių nuostatų.
          Šiuo reglamentu valstybėms narėms taip pat suteikiama tam tikra veiksmų laisvė nustatyti
          savo taisykles, be kita ko, dėl specialių kategorijų asmens duomenų (neskelbtini
          duomenys) tvarkymo. Todėl šiuo reglamentu neužkertamas kelias taikyti valstybės narės
          teisę, kurioje nustatomos konkrečių duomenų tvarkymo atvejų aplinkybės, be kita ko,
          tiksliau apibrėžiant sąlygas, kuriomis duomenų tvarkymas yra teisėtas;

5419/16                                                                    JV/rzi                     6
                                                 DGD 2                                             LT
 ---pagebreak--- (11)      siekiant veiksmingos asmens duomenų apsaugos visoje Sąjungoje, reikia ne tik sustiprinti
          ir išsamiai nustatyti duomenų subjektų teises ir asmens duomenis tvarkančių ir jų tvarkymą
          nustatančių subjektų prievoles, bet ir valstybėse narėse suteikti lygiaverčius įgaliojimus
          stebėti ir užtikrinti asmens duomenų apsaugos taisyklių laikymąsi ir nustatyti lygiavertes
          sankcijas dėl pažeidimų;

(12)      SESV 16 straipsnio 2 dalimi Europos Parlamentas ir Taryba įgaliojami nustatyti fizinių
          asmenų apsaugos tvarkant asmens duomenis taisykles ir laisvo asmens duomenų judėjimo
          taisykles;

5419/16                                                                    JV/rzi                      7
                                                 DGD 2                                             LT
 ---pagebreak--- (13)      siekiant užtikrinti vienodo lygio fizinių asmenų apsaugą visoje Sąjungoje ir neleisti
          atsirasti skirtumams, kurie kliudo laisvam asmens duomenų judėjimui vidaus rinkoje,
          reikia priimti reglamentą, kuriuo būtų užtikrintas teisinis tikrumas ir skaidrumas
          ekonominės veiklos vykdytojams, įskaitant labai mažas, mažąsias ir vidutines įmones,
          kuriuo fiziniams asmenims visose valstybėse narėse būtų užtikrintos vienodo lygio
          teisiškai įgyvendinamos teisės, o duomenų valdytojams ir duomenų tvarkytojams būtų
          nustatytos vienodo lygio prievolės bei atsakomybė, ir kuriuo būtų užtikrinta nuosekli
          asmens duomenų tvarkymo stebėsena ir lygiavertės sankcijos visose valstybėse narėse, taip
          pat veiksmingas skirtingų valstybių narių priežiūros institucijų bendradarbiavimas. Tam,
          kad vidaus rinka veiktų tinkamai, reikia užtikrinti, kad laisvas asmens duomenų judėjimas
          Sąjungoje nebūtų ribojamas ar draudžiamas dėl priežasčių, susijusių su fizinių asmenų
          apsauga tvarkant asmens duomenis. Kad būtų atsižvelgta į ypatingą labai mažų, mažųjų ir
          vidutinių įmonių padėtį, šiame reglamente įrašų laikymo atžvilgiu organizacijoms, kuriose
          dirba mažiau kaip 250 darbuotojų, numatyta nukrypti leidžianti nuostata. Be to, Sąjungos
          institucijos ir įstaigos, valstybės narės ir jų priežiūros institucijos raginamos taikant šį
          reglamentą atsižvelgti į specialius labai mažų, mažųjų ir vidutinių įmonių poreikius. Labai
          mažų, mažųjų ir vidutinių įmonių sąvoka turėtų būti grindžiama Komisijos
          rekomendacijos 2003/361/EB 1 priedo 2 straipsniu;

1
       2003 m. gegužės 6 d. Komisijos rekomendacija dėl labai mažų, mažųjų ir vidutinių įmonių
       sampratos (C(2003) 1422) (OL L 124, 2003 5 20, p. 36).

5419/16                                                                       JV/rzi                      8
                                                   DGD 2                                                 LT
 ---pagebreak--- (14)      šiuo reglamentu užtikrinama apsauga turėtų būti taikoma fiziniams asmenims tvarkant jų
          asmens duomenis, neatsižvelgiant į jų pilietybę ar gyvenamąją vietą. Šis reglamentas
          neapimama juridinių asmenų ir visų pirma su juridinio asmens statusą turinčių įmonių
          duomenų, įskaitant juridinio asmens pavadinimą, teisinę formą ir kontaktinius duomenis,
          tvarkymo;

(15)      siekiant, kad būtų išvengta rimtos teisės aktų apėjimo grėsmės, fizinių asmenų apsauga
          turėtų būti neutrali technologijų atžvilgiu ir turėtų nepriklausyti nuo taikomų metodų.
          Fizinių asmenų apsauga turėtų būti taikoma asmens duomenis tvarkant tiek
          automatizuotomis priemonėmis, tiek rankiniu būdu, jeigu asmens duomenys laikomi arba
          juos ketinama laikyti susistemintame rinkinyje. Šis reglamentas neturėtų būti taikomas
          pagal specialius kriterijus nesusistemintiems rinkiniams ar jų grupėms, taip pat jų
          tituliniams lapams;

(16)      šis reglamentas netaikomas nei pagrindinių teisių ir laisvių apsaugai ar laisvo duomenų,
          susijusių su Sąjungos teisės nereglamentuojama veikla, pavyzdžiui, su nacionaliniu
          saugumu susijusia veikla, judėjimo klausimams. Šis reglamentas netaikomas asmens
          duomenų tvarkymui, kai asmens duomenis tvarko valstybės narės, vykdydamos su
          Sąjungos bendra užsienio ir saugumo politika susijusią veiklą;

5419/16                                                                    JV/rzi                    9
                                                DGD 2                                               LT
 ---pagebreak--- (17)      asmens duomenų tvarkymui Sąjungos institucijose, įstaigose, tarnybose ir agentūrose
          taikomas Europos Parlamento ir Tarybos reglamentas (EB) Nr. 45/2001 1.
          Reglamentas (EB) Nr. 45/2001 ir kiti Sąjungos teisės aktai, taikytini tokiam asmens
          duomenų tvarkymui, turėtų būti pataisyti pagal šiame reglamente nustatytus principus ir
          taisykles ir taikomi atsižvelgiant į šį reglamentą. Siekiant užtikrinti tvirtą ir suderintą
          duomenų apsaugos sistemą Sąjungoje, priėmus šį reglamentą turėtų būti atitinkamai
          pataisytas Reglamentas (EB) Nr. 45/2001, kad jį būtų galima taikyti tuo pačiu metu, kaip ir
          šį reglamentą;

(18)      šis reglamentas netaikomas tais atvejais, kai asmens duomenis fizinis asmuo tvarko
          vykdydamas grynai asmeninę ar namų ūkio priežiūros veiklą ir nesusiedamas to su
          profesine ar komercine veikla. Asmeninę ar namų ūkio priežiūros veiklą gali sudaryti, be
          kita ko, susirašinėjimas ir adresų saugojimas arba naudojimasis socialiniais tinklais ir
          internetinė veikla, vykdoma atliekant tokią veiklą. Tačiau šis reglamentas taikomas
          duomenų valdytojams arba duomenų tvarkytojams, kurie suteikia priemones asmens
          duomenų tvarkymui vykdant tokią asmeninę ar namų ūkio priežiūros veiklą;

1
       2000 m. gruodžio 18 d. Europos Parlamento ir Tarybos reglamentas (EB) Nr. 45/2001 dėl
       asmenų apsaugos Bendrijos institucijoms ir įstaigoms tvarkant asmens duomenis ir laisvo
       tokių duomenų judėjimo (OL L 8, 2001 1 12, p. 1).

5419/16                                                                       JV/rzi                    10
                                                  DGD 2                                                 LT
 ---pagebreak--- (19)      fizinių asmenų apsauga kompetentingoms valdžios institucijoms tvarkant asmens
          duomenis nusikalstamų veikų prevencijos, tyrimo, nustatymo ar traukimo baudžiamojon
          atsakomybėn už jas arba baudžiamųjų sankcijų vykdymo tikslais, įskaitant apsaugą nuo
          grėsmių visuomenės saugumui ir jų prevenciją, ir laisvas tokių duomenų judėjimas
          reglamentuojami specialiu Sąjungos teisės aktu. Todėl šis reglamentas neturėtų būti
          taikomas duomenų tvarkymo veiklai tokiais tikslais. Tačiau kai asmens duomenys, kuriuos
          valdžios institucijos tvarko pagal šį reglamentą, naudojami tais tikslais, jų tvarkymas turėtų
          būti reglamentuojamas konkretesniu Sąjungos teisės aktu, tai yra Europos Parlamento ir
          Tarybos direktyva (ES) 2016/… 1∗. Valstybės narės gali kompetentingoms valdžios
          institucijoms, kaip apibrėžta Direktyvoje (ES) 2016/… ∗∗, pavesti užduotis, kurios nebūtinai
          atliekamos nusikalstamų veikų prevencijos, tyrimo, nustatymo ar traukimo baudžiamojon
          atsakomybėn už jas arba baudžiamųjų sankcijų vykdymo tikslais, įskaitant apsaugą nuo
          grėsmių visuomenės saugumui ir jų prevenciją, kad tais kitais tikslais atliekamas asmens
          duomenų tvarkymas tiek, kiek jis patenka į Sąjungos teisės taikymo sritį, patektų į šio
          reglamento taikymo sritį.

1
       … m. … … d. Europos Parlamento ir Tarybos direktyva (ES) 2016/… dėl fizinių asmenų
       apsaugos kompetentingoms institucijoms tvarkant asmens duomenis nusikalstamų veikų
       prevencijos, tyrimo, nustatymo ar traukimo baudžiamojon atsakomybėn už jas arba
       baudžiamųjų sankcijų vykdymo tikslais ir dėl laisvo tokių duomenų judėjimo ir kuriuo
       panaikinamas Tarybos pamatinis sprendimas 2008/977/TVR (OL L …).
∗
       OL: prašom įrašyti dokumente st 5418/16 esančios direktyvos numerį ir paskelbimo
       nuorodą.
∗∗
       OL: prašom įrašyti dok. st 5418/16 esančios direktyvos numerį.

5419/16                                                                    JV/rzi                    11
                                                 DGD 2                                              LT
 ---pagebreak---           Kalbant apie tų kompetentingų valdžios institucijų atliekamą asmens duomenų tvarkymą
          tikslais, patenkančiais į šio reglamento taikymo sritį, valstybės narės galėtų palikti arba
          nustatyti konkretesnes nuostatas šio reglamento taisyklių taikymui pritaikyti. Tokiomis
          nuostatomis gali būti tiksliau apibrėžti konkretūs reikalavimai dėl tais kitais tikslais tų
          kompetentingų valdžios institucijų atliekamo asmens duomenų tvarkymo, atsižvelgiant į
          atitinkamos valstybės narės konstitucinę, organizacinę ir administracinę struktūrą. Kai šis
          reglamentas taikomas privačioms įstaigoms tvarkant asmens duomenis, šiame reglamente
          valstybėms narėms turėtų būti numatyta galimybė konkrečiomis sąlygomis teisės aktais
          apriboti tam tikras prievoles ir teises, kai toks apribojimas yra būtina ir proporcinga
          priemonė demokratinėje visuomenėje siekiant apsaugoti konkrečius svarbius interesus,
          įskaitant visuomenės saugumą ir nusikalstamų veikų prevenciją, tyrimą, nustatymą ir
          traukimą baudžiamojon atsakomybėn už jas arba baudžiamųjų sankcijų vykdymą, įskaitant
          apsaugą nuo grėsmių visuomenės saugumui ir jų prevenciją. Tai aktualu, pavyzdžiui,
          kovojant su pinigų plovimu ar vykdant kriminalinių tyrimų laboratorijų veiklą;

5419/16                                                                      JV/rzi                     12
                                                  DGD 2                                                 LT
 ---pagebreak--- (20)      nors šis reglamentas inter alia taikomas ir teismų bei kitų teisminių institucijų veiklai,
          Sąjungos ar valstybės narės teisėje galėtų būti nurodytos duomenų tvarkymo operacijos ir
          duomenų tvarkymo procedūros tvarkant asmens duomenis teismuose bei kitose teisminėse
          institucijose. Siekiant apsaugoti teisminių institucijų nepriklausomumą vykdant jų
          teismines užduotis, įskaitant jų sprendimų priėmimo nepriklausomumą, priežiūros
          institucijų kompetencijai neturėtų priklausyti asmens duomenų tvarkymas teismams
          vykdant jų teismines funkcijas. Tokių duomenų tvarkymo operacijų priežiūrą turėtų būti
          galima pavesti konkrečioms valstybės narės teismų sistemos įstaigoms; visų pirma jos
          turėtų užtikrinti, kad būtų laikomasi šiame reglamente nustatytų taisyklių, skatinti
          teisminių institucijų narių informuotumą apie jų prievoles pagal šį reglamentą ir nagrinėti
          su tokiomis duomenų tvarkymo operacijomis susijusius skundus;

(21)      šiuo reglamentu nedaromas poveikis Europos Parlamento ir Tarybos
          direktyvos 2000/31/EB 1, visų pirma jos 12–15 straipsniuose įtvirtintų tarpinių paslaugų
          teikėjų atsakomybės nuostatų, taikymui. Ta direktyva siekiama prisidėti prie tinkamo
          vidaus rinkos veikimo užtikrinant laisvą informacinės visuomenės paslaugų judėjimą tarp
          valstybių narių;

1
       2000 m. birželio 8 d. Europos Parlamento ir Tarybos direktyva 2000/31/EB dėl kai kurių
       informacinės visuomenės paslaugų, ypač elektroninės komercijos, teisinių aspektų vidaus
       rinkoje (Elektroninės komercijos direktyva) (OL L 178, 2000 7 17, p. 1).

5419/16                                                                     JV/rzi                     13
                                                 DGD 2                                                 LT
 ---pagebreak--- (22)      bet koks asmens duomenų tvarkymas, kai asmens duomenis Sąjungoje vykdydama savo
          veiklą tvarko duomenų valdytojo arba duomenų tvarkytojo buveinė, turėtų vykti pagal šį
          reglamentą, neatsižvelgiant į tai, ar pati tvarkymo operacija atliekama Sąjungoje. Buveinė
          reiškia, kad per stabilias struktūras vykdoma veiksminga ir reali veikla. Teisinė tokių
          struktūrų forma, neatsižvelgiant į tai, ar tai filialas ar patronuojamoji bendrovė, turinti
          juridinio asmens statusą, tuo požiūriu nėra lemiamas veiksnys;

(23)      kad fiziniams asmenims būtų užtikrinta apsauga, į kurią jie turi teisę pagal šį reglamentą,
          šis reglamentas turėtų būti taikomas Sąjungoje esančių duomenų subjektų asmens
          duomenų, kuriuos tvarko Sąjungoje neįsisteigęs duomenų valdytojas arba duomenų
          tvarkytojas, tvarkymui, kai duomenų tvarkymo veikla yra susijusi su prekių ar paslaugų
          siūlymu tokiems duomenų subjektams, neatsižvelgiant į tai, ar tai susiję su mokėjimu.
          Siekiant nustatyti, ar toks duomenų valdytojas arba duomenų tvarkytojas siūlo prekes ar
          paslaugas Sąjungoje esantiems duomenų subjektams, turėtų būti įsitikinta, ar akivaizdu,
          kad tas duomenų valdytojas arba duomenų tvarkytojas numato teikti paslaugas duomenų
          subjektams vienoje ar keliose valstybėse narėse Sąjungoje. Kadangi vien tik to, kad
          Sąjungoje yra prieinami duomenų valdytojo, duomenų tvarkytojo ar tarpininko interneto
          svetainė ar el. pašto adresas, ir kiti kontaktiniai duomenys arba kad vartojama kalba, kuri
          paprastai vartojama trečiojoje valstybėje, kurioje yra įsisteigęs duomenų valdytojas,
          nepakanka įsitikinti, kad esama tokio ketinimo, tokie veiksniai kaip kalbos ar valiutos,
          paprastai vartojamų (naudojamų) vienoje ar keliose valstybėse narėse, vartojimas
          (naudojimas) su galimybe užsisakyti prekes ir paslaugas ta kita kalba, arba Sąjungoje
          esančių vartotojų ar naudotojų minėjimas gali būti aspektai, iš kurių aišku, kad duomenų
          valdytojas numato siūlyti prekes ar paslaugas duomenų subjektams Sąjungoje;

5419/16                                                                      JV/rzi                     14
                                                  DGD 2                                                 LT
 ---pagebreak--- (24)      šis reglamentas taip pat turėtų būti taikomas Sąjungoje esančių duomenų subjektų asmens
          duomenų, kuriuos tvarko Sąjungoje neįsisteigęs duomenų valdytojas arba duomenų
          tvarkytojas, tvarkymui, kai duomenų tvarkymas susijęs su tokių duomenų subjektų elgesio
          tiek, kiek jų elgesys vyksta Sąjungoje, stebėsena. Siekiant nustatyti, ar duomenų tvarkymo
          veikla gali būti laikoma duomenų subjektų elgesio stebėsena, reikėtų įsitikinti, ar fiziniai
          asmenys internete atsekami, be kita ko, vėliau galbūt taikant asmens duomenų tvarkymo
          metodus, kuriais fiziniam asmeniui suteikiamas profilis, ypač siekiant priimti su juo
          susijusius sprendimus arba išnagrinėti ar prognozuoti jo asmeninius pomėgius, elgesį ir
          požiūrius;

(25)      kai pagal tarptautinę viešąją teisę taikoma valstybės narės teisė, pavyzdžiui, valstybių narių
          diplomatinėse atstovybėse ar konsulinėse įstaigose, šis reglamentas taip pat turėtų būti
          taikomas Sąjungoje neįsisteigusiems duomenų valdytojams;

5419/16                                                                     JV/rzi                       15
                                                 DGD 2                                               LT
 ---pagebreak--- (26)      duomenų apsaugos principai turėtų būti taikomi bet kokiai informacijai apie fizinį asmenį,
          kurio asmens tapatybė yra nustatyta arba gali būti nustatyta. Asmens duomenys, kuriems
          suteikti pseudonimai ir kurie galėtų būti priskirti fiziniam asmeniui pasinaudojus
          papildoma informacija, turėtų būti laikomi informacija apie fizinį asmenį, kurio tapatybė
          gali būti nustatyta. Sprendžiant, ar galima nustatyti fizinio asmens tapatybę, reikėtų
          atsižvelgti į visas priemones, pavyzdžiui, išskyrimą, kurias asmens tapatybei tiesiogiai ar
          netiesiogiai nustatyti, pagrįstai tikėtina, galėtų naudoti duomenų valdytojas ar kitas asmuo.
          Įsitikinant, ar tam tikros priemonės, pagrįstai tikėtina, galėtų būti naudojamos siekiant
          nustatyti fizinio asmens tapatybę, reikėtų atsižvelgti į visus objektyvius veiksnius,
          pavyzdžiui, sąnaudas ir laiko trukmę, kurių prireiktų tapatybei nustatyti, turint omenyje
          duomenų tvarkymo metu turimas technologijas bei technologinę plėtrą. Todėl duomenų
          apsaugos principai neturėtų būti taikomi anonimiškai informacijai, t. y. informacijai, kuri
          nėra susijusi su fiziniu asmeniu, kurio tapatybė yra nustatyta arba gali būti nustatyta, arba
          asmens duomenims, kurių anonimiškumas užtikrintas taip, kad duomenų subjekto tapatybė
          negali arba nebegali būti nustatyta. Todėl šis reglamentas netaikomas tokios anonimiškos
          informacijos tvarkymui, įskaitant statistiniais ar tyrimų tikslais;

(27)      šis reglamentas netaikomas mirusių asmenų asmens duomenims. Valstybės narės gali
          numatyti mirusių asmenų asmens duomenų tvarkymo taisykles;

(28)      pseudonimų suteikimas asmens duomenims gali sumažinti atitinkamiems duomenų
          subjektams kylančius pavojus ir padėti duomenų valdytojams ir duomenų tvarkytojams
          įvykdyti savo duomenų apsaugos prievoles. Šiame reglamente aiškiai numatytu
          pseudonimų suteikimu neketinama kliudyti taikyti kitas duomenų apsaugos priemones;

5419/16                                                                         JV/rzi                  16
                                                  DGD 2                                               LT
 ---pagebreak--- (29)      siekiant sukurti paskatas, kad tvarkant asmens duomenis būtų suteikiami pseudonimai,
          turėtų būti galima pas tą patį duomenų valdytoją taikyti pseudonimų suteikimo asmens
          duomenims priemones, tuo pat metu sudarant sąlygas atlikti bendrą analizę, kai tas
          duomenų valdytojas yra ėmęsis techninių ir organizacinių priemonių, būtinų užtikrinti, kad
          atitinkamo duomenų tvarkymo atžvilgiu būtų įgyvendinamas šis reglamentas, ir
          užtikrinant, kad papildoma informacija, naudojama priskiriant asmens duomenis
          konkrečiam duomenų subjektui, būtų laikoma atskirai. Asmens duomenis tvarkantis
          duomenų valdytojas turėtų nurodyti įgaliotus asmenis pas tą patį duomenų valdytoją;

(30)      fiziniai asmenys gali būti susieti su savo įrenginių, taikomųjų programų, priemonių ir
          protokolų interneto identifikatoriais, pavyzdžiui, IP adresais, slapukų identifikatoriais, arba
          kitais identifikatoriais, pavyzdžiui, radijo dažninio atpažinimo žymenimis. Taip gali likti
          pėdsakų, kurie visų pirma kartu su unikaliais identifikatoriais ir kita serverių gauta
          informacija gali būti panaudoti fizinių asmenų profiliams kurti ir jiems identifikuoti;

(31)      valdžios institucijos, kurioms asmens duomenys atskleidžiami laikantis teisinės prievolės,
          kad jos galėtų vykdyti oficialias savo funkcijas kaip, pavyzdžiui, mokesčių institucijos ar
          muitinės, finansinių tyrimų padaliniai, nepriklausomos administracinės valdžios
          institucijos ar finansų rinkų institucijos, atsakingos už vertybinių popierių rinkų
          reguliavimą ir priežiūrą, neturėtų būti laikomos asmens duomenų gavėjais, jei jos gauna
          duomenis, kurie yra būtini konkrečiam tyrimui atlikti pagal bendrą interesą, vadovaujantis
          Sąjungos arba valstybės narės teise. Valdžios institucijų prašymai atskleisti duomenis
          visada turėtų būti pateikiami raštu, būti pagrįsti ir nereguliarūs ir neturėtų būti susiję su
          visu susistemintu rinkiniu ar dėl jų susisteminti rinkiniai neturėtų būti susiejami
          tarpusavyje. Tos valdžios institucijos asmens duomenis turėtų tvarkyti laikydamosi
          taikomų duomenų apsaugos taisyklių, atsižvelgiant į duomenų tvarkymo tikslus;

5419/16                                                                       JV/rzi                      17
                                                  DGD 2                                               LT
 ---pagebreak--- (32)      sutikimas turėtų būti duodamas aiškiu aktu patvirtinant, kad yra suteiktas laisva valia,
          konkretus, informacija pagrįstas ir vienareikšmis nurodymas, kad duomenų subjektas
          sutinka, kad būtų tvarkomi su juo susiję asmens duomenys, pavyzdžiui raštiškas, įskaitant
          elektroninėmis priemonėmis,, arba žodinis pareiškimas. Tai galėtų būti atliekama pažymint
          langelį interneto svetainėje, pasirenkant informacinės visuomenės paslaugų techninius
          parametrus arba kitu pareiškimu arba poelgiu, iš kurio aiškiai matyti tame kontekste, kad
          duomenų subjektas sutinka su siūlomu jo asmens duomenų tvarkymu. Todėl tyla, iš anksto
          pažymėti langeliai arba neveikimas neturėtų būti laikomi sutikimu. Sutikimas turėtų apimti
          visą duomenų tvarkymo veiklą, vykdomą tuo pačiu tikslu ar tais pačiais tikslais. Kai
          duomenys tvarkomi ne vienu tikslu, sutikimas turėtų būti duotas dėl visų duomenų
          tvarkymo tikslų. Jeigu duomenų subjekto sutikimo prašoma elektroniniu būdu, prašymas
          turi būti aiškus, glaustas ir bereikalingai nenutraukiantis naudojimosi paslauga, dėl kurios
          prašoma sutikimo;

(33)      dažnai būna neįmanoma asmens duomenų rinkimo metu galutinai nustatyti, kad duomenys
          bus tvarkomi mokslinių tyrimų tikslais. Todėl duomenų subjektai turėtų turėti galimybę
          duoti sutikimą dėl tam tikrų mokslinių tyrimų sričių, laikantis pripažintų mokslinių tyrimų
          srities etikos standartų. Duomenų subjektai turėtų turėti galimybę duoti sutikimą tik dėl
          tam tikrų tyrimų sričių arba tyrimų projektų dalių tiek, kiek tai leidžiama pagal numatytą
          tikslą;

5419/16                                                                    JV/rzi                      18
                                                 DGD 2                                               LT
 ---pagebreak--- (34)      genetiniai duomenys turėtų būti apibrėžiami kaip fizinio asmens duomenys, susiję su
          asmens paveldėtomis ar įgytomis genetinėmis savybėmis, kurios nustatytos išanalizavus
          biologinį atitinkamo fizinio asmens mėginį, ypač išanalizavus chromosomas ir
          dezoksiribonukleino rūgštį (DNR) arba ribonukleino rūgštį (RNR), arba kitus elementus, iš
          kurių galima gauti lygiavertę informaciją;

(35)      prie asmens sveikatos duomenų turėtų būti priskirti visi duomenys apie duomenų subjekto
          sveikatos būklę, kurie atskleidžia informaciją apie duomenų subjekto buvusią, esamą ar
          būsimą fizinę ar psichinę sveikatą. Tai apima informaciją apie fizinį asmenį, surinktą
          registruojantis sveikatos priežiūros paslaugoms gauti ar jas teikiant tam fiziniam asmeniui,
          kaip nurodyta Europos Parlamento ir Tarybos direktyvoje 2011/24/ES 1; fiziniam asmeniui
          priskirtą numerį, simbolį ar žymę, pagal kurią galima konkrečiai nustatyti fizinio asmens
          tapatybę sveikatos priežiūros tikslais; informaciją, gautą atliekant kūno dalies ar medžiagos
          tyrimus ar analizę, įskaitant genetinius duomenis ir biologinius mėginius; ir bet kurią
          informaciją apie, pavyzdžiui, ligą, negalią, riziką susirgti, sveikatos istoriją, klinikinį
          gydymą arba duomenų subjekto fiziologinę ar biomedicininę būklę, neatsižvelgiant į
          informacijos šaltinį, pavyzdžiui, ar ji būtų gauta iš gydytojo, ar iš kito sveikatos priežiūros
          specialisto, ligoninės, medicinos priemonės ar in vitro diagnostinio tyrimo;

1
       2011 m. kovo 9 d. Europos Parlamento ir Tarybos direktyva 2011/24/ES dėl pacientų teisių į
       tarpvalstybines sveikatos priežiūros paslaugas įgyvendinimo (OL L 88, 2011 4 4, p. 45).

5419/16                                                                       JV/rzi                    19
                                                  DGD 2                                                 LT
 ---pagebreak--- (36)      duomenų valdytojo pagrindinė buveinė Sąjungoje turėtų būti jo centrinės administracijos
          vieta Sąjungoje, išskyrus atvejus, kai sprendimai dėl asmens duomenų tvarkymo tikslų ir
          priemonių priimami kitoje duomenų valdytojo buveinėje Sąjungoje; tokiu atveju ta kita
          buveinė turėtų būti laikoma pagrindine buveine. Duomenų valdytojo pagrindinė buveinė
          Sąjungoje turėtų būti nustatoma pagal objektyvius kriterijus, be to, per stabilias struktūras
          ji turėtų vykdyti veiksmingą ir realią valdymo veiklą, priimdama pagrindinius sprendimus
          dėl duomenų tvarkymo tikslų ir priemonių. Pagal tą kriterijų neturėtų būti svarbu, ar
          asmens duomenys faktiškai tvarkomi toje vietoje. Asmens duomenų tvarkymo techninių
          priemonių ir technologijų buvimas ir naudojimas arba duomenų tvarkymo veikla savaime
          nereiškia, kad buveinė yra pagrindinė ir todėl nėra esminiai pagrindinės buveinės
          nustatymo kriterijai. Duomenų tvarkytojo pagrindinė buveinė turėtų būti jo centrinės
          administracijos vieta Sąjungoje, o jeigu jis neturi centrinės administracijos Sąjungoje –
          vieta, kurioje Sąjungoje vykdoma pagrindinė duomenų tvarkymo veikla. Tais atvejais,
          kurie yra susiję tiek su duomenų valdytoju, tiek su duomenų tvarkytoju, kompetentinga
          vadovaujanti priežiūros institucija turėtų ir toliau būti valstybės narės, kurioje yra duomenų
          valdytojo pagrindinė buveinė, priežiūros institucija, o duomenų tvarkytojo priežiūros
          institucija turėtų būti laikoma susijusia priežiūros institucija ir ta priežiūros institucija
          turėtų dalyvauti šiuo reglamentu numatytoje bendradarbiavimo procedūroje. Bet kuriuo
          atveju valstybės narės arba valstybių narių, kuriose yra viena ar kelios duomenų tvarkytojo
          buveinės, priežiūros institucijos neturėtų būti laikomos susijusiomis priežiūros
          institucijomis, kai sprendimo projektas yra susijęs tik su duomenų valdytoju. Kai duomenis
          tvarko įmonių grupė, tos įmonių grupės pagrindine buveine turėtų būti laikoma
          kontroliuojančiosios įmonės pagrindinė buveinė, išskyrus atvejus, kai duomenų tvarkymo
          tikslus ir priemones nustato kita įmonė;

5419/16                                                                        JV/rzi                     20
                                                   DGD 2                                                  LT
 ---pagebreak--- (37)      įmonių grupę turėtų sudaryti kontroliuojančioji įmonė ir jos kontroliuojamos įmonės, o
          kontroliuojančioji įmonė turėtų būti įmonė, galinti daryti lemiamą poveikį kitoms
          įmonėms, pavyzdžiui, dėl nuosavybės, finansinio dalyvavimo arba įmonės veiklą
          reglamentuojančių taisyklių, arba įgaliojimo įgyvendinti asmens duomenų apsaugos
          taisykles. Įmonė, kuri kontroliuoja asmens duomenų tvarkymą su ja susijusiose įmonėse,
          su tomis įmonėmis turėtų būtų laikoma „įmonių grupe“;

(38)      vaikams reikia ypatingos jų asmens duomenų apsaugos, nes jie gali nepakankamai suvokti
          su asmens duomenų tvarkymu susijusius pavojus, pasekmes ar apsaugos priemones ir savo
          teises. Tokia ypatinga apsauga visų pirma turėtų būti vaikų asmens duomenų naudojimui
          rinkodaros, virtualios asmenybės ar vartotojo profilio sukūrimo tikslais ir su vaikais
          susijusių asmens duomenų rinkimui naudojantis vaikui tiesiogiai pasiūlytomis
          paslaugomis. Tėvų pareigų turėtojo sutikimo neturėtų būti reikalaujama tiesiogiai vaikui
          teikiant prevencijos ar konsultavimo paslaugas;

5419/16                                                                    JV/rzi                    21
                                                 DGD 2                                             LT
 ---pagebreak--- (39)      bet kuris asmens duomenų tvarkymas turėtų būti teisėtas ir sąžiningas. Taikant skaidrumo
          principą, fiziniams asmenims turėtų būti aišku, kaip su jais susiję asmens duomenys yra
          renkami, naudojami, su jais susipažįstama arba jie yra kitaip tvarkomi, taip pat kokiu mastu
          tie asmens duomenys yra ar bus tvarkomi. Pagal skaidrumo principą informacija ir
          pranešimai, susiję su tų asmens duomenų tvarkymu, turi būti lengvai prieinami ir
          suprantami, pateikiami aiškia ir paprasta kalba. Tas principas visų pirma susijęs su
          duomenų subjektų informavimu apie duomenų valdytojo tapatybę ir duomenų tvarkymo
          tikslus, taip pat su tolesniu informavimu, kad būtų užtikrintas sąžiningas ir skaidrus
          duomenų tvarkymas atitinkamų fizinių asmenų atžvilgiu, jų teise gauti patvirtinimą dėl su
          jais susijusių asmens duomenų tvarkymo ir teise tuos duomenis gauti. Fiziniai asmenys
          turėtų būti informuoti apie su asmens duomenų tvarkymu susijusius pavojus, taisykles,
          apsaugos priemones bei teises ir apie tai, kaip naudotis savo teisėmis tokio asmens
          duomenų tvarkymo srityje. Visų pirma konkretūs tikslai, kuriais tvarkomi asmens
          duomenys, turėtų būti aiškūs, teisėti ir nustatyti duomenų rinkimo metu. Asmens
          duomenys turėtų būti tinkami, susiję su tikslais, kuriais jie tvarkomi, ir riboti pagal tai, kiek
          jų yra būtina turėti atsižvelgiant į tikslus, kuriais jie tvarkomi; tam pirmiausia reikia
          užtikrinti, kad asmens duomenų saugojimo laikotarpis būtų tikrai minimalus. Asmens
          duomenys turėtų būti tvarkomi tik tuomet, jei asmens duomenų tvarkymo tikslo pagrįstai
          negalima pasiekti kitomis priemonėmis. Siekiant užtikrinti, kad duomenys nebūtų laikomi
          ilgiau nei būtina, duomenų valdytojas turėtų nustatyti duomenų ištrynimo arba periodinės
          peržiūros terminus. Reikėtų imtis visų pagrįstų priemonių, siekiant užtikrinti, kad netikslūs
          asmens duomenys būtų ištaisyti arba ištrinti. Asmens duomenys turėtų būti tvarkomi taip,
          kad būtų užtikrintas tinkamas asmens duomenų saugumas ir konfidencialumas, be kita ko,
          užkertant kelią neteisėtai prieigai prie asmens duomenų ir jų tvarkymui skirtos įrangos ar
          neteisėtam jų naudojimui;

5419/16                                                                       JV/rzi                    22
                                                  DGD 2                                               LT
 ---pagebreak--- (40)      kad duomenų tvarkymas būtų teisėtas, asmens duomenys turėtų būti tvarkomi gavus
          atitinkamo duomenų subjekto sutikimą arba remiantis kitu teisėtu teisiniu pagrindu,
          nustatytu šiame reglamente arba – kai šiame reglamente nurodoma – kitame Sąjungos
          teisės akte ar valstybės narės teisėje, įskaitant būtinybę, kad duomenų valdytojas vykdytų
          jam tenkančią teisinę prievolę, arba būtinybę vykdyti sutartį, kurios šalis yra duomenų
          subjektas, arba siekiant imtis priemonių duomenų subjekto prašymu prieš sudarant sutartį;

(41)      kai šiame reglamente nurodomas teisinis pagrindas arba teisėkūros priemonė, tai nebūtinai
          reiškia, kad parlamentas turi priimti teisėkūros procedūra priimamą aktą, nedarant poveikio
          reikalavimams, taikomiems pagal atitinkamos valstybės narės konstitucinę tvarką. Tačiau
          toks teisinis pagrindas ar teisėkūros priemonė turėtų būti aiškūs ir tikslūs, o jų taikymas
          turėtų būti numatomas tiems asmenims, kuriems jie turi būti taikomi, pagal Europos
          Sąjungos Teisingumo Teismo (toliau – Teisingumo Teismas) ir Europos Žmogaus Teisių
          Teismo praktiką;

5419/16                                                                     JV/rzi                      23
                                                 DGD 2                                              LT
 ---pagebreak--- (42)      kai duomenys tvarkomi gavus duomenų subjekto sutikimą, duomenų valdytojas turėtų
          galėti įrodyti, kad duomenų subjektas sutiko su duomenų tvarkymo operacija. Visų pirma
          kai rašytinis pareiškimas teikiamas kitu klausimu, apsaugos priemonėmis turėtų būti
          užtikrinta, kad duomenų subjektas suvoktų, kad jis duoda sutikimą ir dėl ko jis jį duoda.
          Laikantis Tarybos direktyvos 93/13/EEB 1, duomenų valdytojo iš anksto suformuluotas
          sutikimo pareiškimas turėtų būti pateiktas suprantama ir lengvai prieinama forma, aiškia ir
          paprasta kalba, jame neturėtų būti nesąžiningų sąlygų. Kad sutikimas būtų grindžiamas
          informacija, duomenų subjektas turėtų bent žinoti duomenų valdytojo tapatybę ir
          planuojamo asmens duomenų tvarkymo tikslus. Sutikimas neturėtų būti laikomas duotas
          laisva valia, jei duomenų subjektas faktiškai neturi laisvo pasirinkimo ar negali atsisakyti
          sutikti arba sutikimo atšaukti, nepatirdamas žalos;

(43)      siekiant užtikrinti, kad sutikimas būtų duotas laisva valia, sutikimas neturėtų būti laikomas
          pagrįstu asmens duomenų tvarkymo teisiniu pagrindu konkrečiu atveju, kai yra aiškus
          duomenų subjekto ir duomenų valdytojo padėties disbalansas, ypač kai duomenų
          valdytojas yra valdžios institucija ir dėl to nėra tikėtina, kad sutikimas, atsižvelgiant į visas
          to konkretaus atvejo aplinkybes, buvo duotas laisva valia. Laikoma, kad sutikimas nebuvo
          duotas laisva valia, jeigu neleidžiama duoti atskiro sutikimo atskiroms asmens duomenų
          tvarkymo operacijoms, nors tai ir tikslinga atskirais atvejais, arba jeigu sutarties vykdymas,
          įskaitant paslaugos teikimą, priklauso nuo sutikimo, nepaisant to, kad toks sutikimas nėra
          būtinas tokiam vykdymui;

1
       1993 m. balandžio 5 d. Tarybos direktyva 93/13/EEB dėl nesąžiningų sąlygų sutartyse su
       vartotojais (OL L 95, 1993 4 21, p. 29).

5419/16                                                                       JV/rzi                     24
                                                  DGD 2                                               LT
 ---pagebreak--- (44)      duomenų tvarkymas turėtų būti laikomas teisėtu, kai jis būtinas siekiant vykdyti sutartį
          arba ketinant ją sudaryti;

(45)      kai duomenų valdytojas duomenis tvarko vykdydamas jam tenkančią teisinę prievolę arba
          kai duomenis būtina tvarkyti siekiant atlikti užduotį, vykdomą dėl viešojo intereso arba
          vykdant viešosios valdžios funkcijas, duomenų tvarkymo pagrindas turėtų būti įtvirtintas
          Sąjungos arba valstybės narės teisėje. Šiuo reglamentu nereikalaujama kiekvienu atskiru
          duomenų tvarkymo atveju specialaus teisės o Kelioms duomenų tvarkymo operacijoms
          gali užtekti vieno teisės akto, kai duomenų valdytojas duomenis tvarko vykdydamas jam
          tenkančią teisinę prievolę arba kai duomenis būtina tvarkyti siekiant atlikti užduotį,
          vykdomą dėl viešojo intereso arba vykdant viešosios valdžios funkcijas. Be to, Sąjungos ar
          valstybės narės teisėje turėtų būti nustatytas asmens duomenų tvarkymo tikslas. Be to,
          šiame pagrinde galėtų būti nurodytos bendrosios šio reglamento sąlygos, kuriomis
          reglamentuojamas asmens duomenų tvarkymo teisėtumas, nustatytos asmens duomenų
          valdytojo, tvarkytinų asmens duomenų rūšies, atitinkamų duomenų subjektų, subjektų,
          kuriems asmens duomenys gali būti atskleisti, tikslų apribojimų, saugojimo laikotarpio ir
          kitų priemonių, kuriomis užtikrinamas teisėtas ir sąžiningas duomenų tvarkymas,
          specifikacijos. Sąjungos arba valstybės narės teisėje taip pat turėtų būti nustatyta, ar
          duomenų valdytojas, atlikdamas užduotį, vykdomą dėl viešojo intereso arba vykdant
          viešosios valdžios funkcijas, turėtų būti valdžios institucija arba kitas viešosios teisės
          reglamentuojamas fizinis ar juridinis asmuo arba, kai tai pateisinama viešuoju interesu,
          įskaitant sveikatos apsaugos tikslais, tokiais kaip visuomenės sveikata ir socialinė apsauga
          bei sveikatos priežiūros paslaugų valdymas, privatinės teisės reglamentuojamas asmuo,
          toks kaip profesinė asociacija;

5419/16                                                                      JV/rzi                    25
                                                  DGD 2                                                LT
 ---pagebreak--- (46)      asmens duomenų tvarkymas taip pat turėtų būti laikomas teisėtu, kai jis būtinas norint
          apsaugoti gyvybinį duomenų subjekto ar kito fizinio asmens interesą. Asmens duomenys
          remiantis kito fizinio asmens gyvybiniu interesu turėtų būti tvarkomi tik iš esmės kai
          duomenų tvarkymas negali būti akivaizdžiai grindžiamas kitu teisiniu pagrindu. Kai kurių
          rūšių duomenų tvarkymas gali būti reikalingas tiek dėl svarbių viešojo intereso priežasčių,
          tiek dėl duomenų subjekto gyvybinių interesų, pavyzdžiui, kai duomenis būtina tvarkyti
          humanitariniais tikslais, be kita ko, siekiant stebėti epidemiją ir jos paplitimą arba
          susidarius ekstremaliajai humanitarinei situacijai, visų pirma, gaivalinių ir žmogaus sukeltų
          nelaimių atvejais;

5419/16                                                                      JV/rzi                 26
                                                  DGD 2                                            LT
 ---pagebreak--- (47)      teisėti duomenų valdytojo, įskaitant duomenų valdytoją, kuriam gali būti atskleisti asmens
          duomenys, arba trečiosios šalies interesai gali būti teisiniu duomenų tvarkymo pagrindu,
          jeigu duomenų subjekto interesai arba pagrindinės teisės ir laisvės nėra viršesni,
          atsižvelgiant į pagrįstus duomenų subjektų lūkesčius jų santykių su duomenų valdytoju
          pagrindu. Toks teisėtas interesas galėtų būti, pavyzdžiui, kai egzistuoja susijęs ir
          atitinkamas santykis tarp duomenų subjekto ir duomenų valdytojo, pavyzdžiui, kai
          duomenų subjektas yra duomenų valdytojo klientas arba dirba duomenų valdytojo
          tarnyboje. Bet kuriuo atveju reikėtų atidžiai įvertinti, ar esama teisėto intereso, be kita ko,
          siekiant nustatyti, ar duomenų subjektas gali tuo metu, kai renkami asmens duomenys, arba
          asmens duomenų rinkimo kontekste tikėtis, kad duomenys gali būti tvarkomi tuo tikslu.
          Duomenų subjekto interesai ir pagrindinės teisės gali visų pirma būti viršesni už duomenų
          valdytojo interesus, kai asmens duomenys tvarkomi tokiomis aplinkybėmis, kuriomis
          duomenų subjektai pagrįstai nesitiki tolesnio tvarkymo. Atsižvelgiant į tai, kad teisinį
          asmens duomenų tvarkymo pagrindą valdžios institucijoms teisės aktu turi sukurti teisės
          aktų leidėjas, tas teisinis pagrindas neturėtų būti taikomas tais atvejais, kai valdžios
          institucijos duomenis tvarko vykdydamos savo funkcijas. Asmens duomenų tvarkymas tik
          tiek, kiek tai yra būtina sukčiavimo prevencijos tikslais, yra ir atitinkamo. Asmens
          duomenų tvarkymas tiesioginės rinkodaros tikslais gali būti vertinamas kaip atliekamas
          vadovaujantis teisėtu interesu;

5419/16                                                                      JV/rzi                     27
                                                  DGD 2                                              LT
 ---pagebreak--- (48)      duomenų valdytojai, priklausantys įmonių grupėms arba įstaigoms, susijusioms su
          pagrindine įstaiga, gali turėti teisėtą interesą vidaus administraciniais tikslais, įskaitant
          klientų ar darbuotojų asmens duomenų tvarkymą, įmonių grupėje persiųsti asmens
          duomenis. Tuo nedaromas poveikis bendriesiems principams, reglamentuojantiems asmens
          duomenų perdavimą įmonių grupės viduje trečiojoje valstybėje esančiai įmonei;

(49)      valdžios institucijų, kompiuterinių incidentų tyrimo tarnybų, kompiuterių saugumo
          incidentų tyrimo tarnybų, elektroninių ryšių tinklų bei paslaugų teikėjų ir saugumo
          technologijų bei paslaugų teikėjų atliekamas asmens duomenų tvarkymas tik tiek, kiek tai
          yra būtina ir proporcinga siekiant užtikrinti tinklo ir informacijos saugumą, t. y. tinklo ar
          informacinės sistemos nustatyto patikimumo laipsnio atsparumą trikdžiams arba
          neteisėtiems ar tyčiniams veiksmams, kuriais pažeidžiamas saugomų ar persiunčiamų
          asmens duomenų prieinamumas, autentiškumas, vientisumas ir konfidencialumas, ir
          susijusių paslaugų, kurias teikia tie tinklai ir sistemos arba kurios per juos prieinamos,
          saugumą, laikomas teisėtu atitinkamo duomenų valdytojo interesu. Tai galėtų, pavyzdžiui,
          užkirsti kelią neteisėtai prieigai prie elektroninių ryšių tinklų ir kenkimo programų kodų
          platinimui, taip pat sustabdyti atkirtimo nuo paslaugos atakas ir neleisti pakenkti
          kompiuterių bei elektroninių ryšių sistemoms;

5419/16                                                                       JV/rzi                      28
                                                   DGD 2                                                  LT
 ---pagebreak--- (50)      asmens duomenų tvarkymas kitais tikslais nei tais, kuriais iš pradžių buvo rinkti asmens
          duomenys, turėtų būti leidžiamas tik tuomet, kai duomenų tvarkymas suderinamas su
          tikslais, kuriais iš pradžių buvo rinkti asmens duomenys. Tokiu atveju nereikalaujama
          atskiro teisinio pagrindo, užtenka to pagrindo, kuriuo remiantis leidžiama rinkti asmens
          duomenis. Jeigu duomenų tvarkytojui tvarkyti duomenis būtina siekiant atlikti užduotį,
          vykdomą dėl viešojo intereso arba vykdant viešosios valdžios funkcijas, Sąjungos arba
          valstybės narės teisėje galima apibrėžti ir sukonkretinti užduotis ir tikslus, kuriais tolesnis
          duomenų tvarkymas turėtų būti laikomas suderinamu ir teisėtu. Tolesnis duomenų
          tvarkymas archyvavimo tikslais viešojo intereso labui, mokslinių ar istorinių tyrimų
          tikslais arba statistiniais tikslais turėtų būti laikomas suderinamomis teisėtomis duomenų
          tvarkymo operacijomis. Sąjungos ar valstybės narės teisėje numatytas asmens duomenų
          tvarkymo teisinis pagrindas taip pat gali būti tolesnio duomenų tvarkymo teisinis
          pagrindas. Tam, kad įsitikintų, ar tolesnio duomenų tvarkymo tikslas suderinamas su
          tikslu, kuriuo iš pradžių duomenys buvo rinkti, duomenų valdytojas po to, kai įvykdo visus
          reikalavimus dėl pradinio asmens duomenų tvarkymo teisėtumo, turėtų atsižvelgti, inter
          alia, į sąsajas tarp tų tikslų ir numatomo tolesnio asmens duomenų tvarkymo tikslų,
          aplinkybes, kuriomis asmens duomenys buvo surinkti, visų pirma pagrįstus duomenų
          subjektų lūkesčius jų santykių su duomenų valdytoju pagrindu dėl tolesnio duomenų
          naudojimo; asmens duomenų pobūdį; numatomo tolesnio duomenų tvarkymo pasekmes
          duomenų subjektams ir tinkamų apsaugos priemonių buvimą tiek pradinėse, tiek
          numatomose tolesnėse duomenų tvarkymo operacijose.

5419/16                                                                      JV/rzi                     29
                                                  DGD 2                                              LT
 ---pagebreak---           Jei duomenų subjektas yra davęs sutikimą arba duomenų tvarkymas yra grindžiamas
          Sąjungos arba valstybės narės teise, o tai demokratinėje visuomenėje yra būtina ir
          proporcinga priemonė siekiant apsaugoti visų pirma svarbius bendro viešojo intereso
          tikslus, asmens duomenų valdytojui turėtų būti leidžiama toliau tvarkyti duomenis
          neatsižvelgiant į tikslų suderinamumą. Bet kuriuo atveju turėtų būti užtikrinta, kad būtų
          taikomi šiame reglamente nustatyti principai, visų pirma, kad duomenų subjektas būtų
          informuotas apie tuos kitus tikslus ir apie savo teises, įskaitant teisę nesutikti. Kai
          duomenų valdytojas nurodo galimas nusikalstamas veikas arba grėsmes viešajam
          saugumui ir persiunčia susijusius atskirų atvejų arba kelių atvejų, susijusių su ta pačia
          nusikalstama veika arba grėsmėmis visuomenės saugumui, asmens duomenis
          kompetentingai institucijai, laikoma, kad tai atitinka duomenų valdytojo teisėtą interesą.
          Tačiau toks duomenų persiuntimas dėl duomenų valdytojo teisėto intereso arba tolesnis
          asmens duomenų tvarkymas turėtų būti draudžiamas, jei duomenų tvarkymas yra
          nesuderinamas su teisine, profesine ar kita įpareigojančia prievole saugoti paslaptį;

5419/16                                                                      JV/rzi                    30
                                                  DGD 2                                               LT
 ---pagebreak--- (51)      asmens duomenims, kurie pagal savo pobūdį yra ypač neskelbtini pagrindinių teisių ir
          laisvių atžvilgiu, turi būti užtikrinta ypatinga apsauga, kadangi atsižvelgiant į jų tvarkymo
          kontekstą galėtų kilti didelis pavojus pagrindinėms teisėms ir laisvėms. Tie asmens
          duomenys turėtų apimti asmens duomenis, kuriais atskleidžiama rasinė ar etninė kilmė,
          tačiau termino „rasinė kilmė“ vartojimas šiame reglamente nereiškia, kad Sąjunga pritaria
          teorijoms, kuriomis siekiama apibrėžti atskirų žmonių rasių egzistavimą. Nuotraukų
          tvarkymas neturėtų būti laikomas sisteminiu specialių kategorijų asmens duomenų
          tvarkymu, nes nuotraukoms biometrinių duomenų apibrėžtis taikoma tik tuo atveju, kai jos
          tvarkomos taikant specialias technines priemones, leidžiančias konkrečiai nustatyti fizinio
          asmens tapatybę ar tapatumą. Tokie asmens duomenys neturėtų būti tvarkomi, išskyrus
          atvejus, kai juos tvarkyti leidžiama šiame reglamente nurodytais konkrečiais atvejais,
          atsižvelgiant į tai, kad valstybių narių teisėje gali būti numatytos konkrečios nuostatos dėl
          duomenų apsaugos, siekiant pritaikyti šiame reglamente nustatytų taisyklių dėl teisinės
          prievolės įvykdymo arba užduoties, vykdomos dėl viešojo intereso arba vykdant duomenų
          valdytojui pavestas viešosios valdžios funkcijas, atlikimo taikymą. Kartu su konkrečiais
          tokio duomenų tvarkymo reikalavimais turėtų būti taikomi šiame reglamente numatyti
          bendrieji principai ir kitos taisyklės, visų pirma, susijusios su teisėto duomenų tvarkymo
          sąlygomis. Turėtų būti aiškiai nustatytos nuostatos, leidžiančios nukrypti nuo bendro
          draudimo tvarkyti tokių specialių kategorijų asmens duomenis, inter alia, kai duomenų
          subjektas su tuo aiškiai sutinka arba specialių poreikių atveju, visų pirma, kai vykdydamos
          teisėtą veiklą duomenis tvarko tam tikros asociacijos ar fondai, kurių tikslas – užtikrinti
          galimybę naudotis pagrindinėmis laisvėmis;

5419/16                                                                     JV/rzi                      31
                                                 DGD 2                                             LT
 ---pagebreak--- (52)      nukrypti nuo draudimo tvarkyti neskelbtinų kategorijų asmens duomenis turėtų būti
          leidžiama ir tais atvejais, kai tai numatoma Sąjungos ar valstybėje narėje teisėje ir laikantis
          tinkamų apsaugos priemonių, kad būtų apsaugoti asmens duomenys ir kitos pagrindinės
          teisės, kai tai pateisinama viešuoju interesu, visų pirma tvarkant asmens duomenis darbo
          teisės, socialinės apsaugos teisės, įskaitant pensijas, srityje ir sveikatos saugumo,
          stebėsenos ir įspėjimo tikslais, užtikrinant užkrečiamųjų ligų ir kitų rimtų grėsmių sveikatai
          prevenciją ar kontrolę. Tokia nukrypti leidžianti nuostata gali būti taikoma sveikatos
          apsaugos tikslais, įskaitant visuomenės sveikatą ir sveikatos priežiūros paslaugų valdymą,
          ypač siekiant užtikrinti sveikatos draudimo sistemoje taikomų prašymų dėl išmokų ir
          paslaugų nagrinėjimo procedūrų kokybę ir sąnaudų efektyvumą, arba archyvavimo tikslais
          viešojo intereso labui, mokslinių ar istorinių tyrimų tikslais arba statistiniais tikslais. Pagal
          nukrypti leidžiančią nuostatą taip pat turėtų būti leidžiama tvarkyti tokius asmens
          duomenis, jei tai būtina siekiant pareikšti, vykdyti ar ginti teisinius reikalavimus, nesvarbu,
          ar pagal teisminę, administracinę arba kitą neteisminę procedūrą;

5419/16                                                                       JV/rzi                     32
                                                  DGD 2                                               LT
 ---pagebreak--- (53)      specialių kategorijų asmens duomenys, kuriems taikytina aukštesnio lygio apsauga, galėtų
          būti tvarkomi tik su sveikata susijusiais tikslais, kai būtina pasiekti tuos tikslus fizinių
          asmenų ir visos visuomenės labui, visų pirma valdant sveikatos apsaugos arba socialinės
          rūpybos paslaugas ir sistemas, be kita ko, kai tokius duomenis tvarko valdymo ir centrinės
          nacionalinės sveikatos apsaugos institucijos kokybės kontrolės, valdymo informacijos ir
          sveikatos apsaugos arba socialinės rūpybos sistemos bendros priežiūros nacionaliniu ir
          vietos lygiu tikslais, ir užtikrinant sveikatos apsaugos arba socialinės rūpybos ir
          tarpvalstybinės sveikatos priežiūros tęstinumą arba sveikatos saugumo, stebėsenos ir
          įspėjimo tikslais, arba archyvavimo tikslais viešojo intereso labui, mokslinių ar istorinių
          tyrimų tikslais arba statistiniais tikslais, remiantis Sąjungos arba valstybės narės teise,
          pagal kuriuos reikia pasiekti viešojo intereso tikslą, taip pat dėl viešojo intereso atliekant
          tyrimus visuomenės sveikatos srityje. Todėl šiame reglamente turėtų būti numatytos
          suderintos specialių kategorijų asmens sveikatos duomenų tvarkymo sąlygos, atsižvelgiant
          į specialius poreikius, visų pirma kai tokius duomenis tam tikrais su sveikata susijusiais
          tikslais tvarko asmenys, kuriems taikoma teisinė prievolė saugoti profesinę paslaptį.
          Sąjungos ar valstybės narės teisėje turėtų būti numatytos konkrečios ir tinkamos priemonės
          fizinių asmenų pagrindinėms teisėms ir asmens duomenims apsaugoti. Valstybėms narėms
          turėtų būti leidžiama išlaikyti arba nustatyti papildomas sąlygas, įskaitant apribojimus,
          taikomas genetinių duomenų, biometrinių duomenų ar sveikatos duomenų tvarkymui.
          Tačiau šias sąlygas taikant tarpvalstybiniam tokių asmens duomenų tvarkymui neturėtų
          būti trikdomas laisvas duomenų judėjimas Sąjungoje;

5419/16                                                                       JV/rzi                       33
                                                  DGD 2                                                  LT
 ---pagebreak--- (54)      visuomenės sveikatos srityje gali reikėti specialių kategorijų asmens duomenis dėl viešojo
          intereso priežasčių tvarkyti be duomenų subjekto sutikimo. Tokie duomenys turėtų būti
          tvarkomi taikant tinkamas ir specialias priemones, kad būtų apsaugotos fizinių asmenų
          teisės ir laisvės. Todėl sąvoka „visuomenės sveikata“ turėtų būti aiškinama, kaip apibrėžta
          Europos Parlamento ir Tarybos reglamente (EB) Nr. 1338/2008 1 ir reikšti visus elementus,
          susijusius su sveikata, t. y. sveikatos būklę, įskaitant sergamumą ir neįgalumą, veiksnius,
          darančius poveikį tai sveikatos būklei, sveikatos priežiūros poreikius, sveikatos priežiūrai
          skirtus išteklius, sveikatos priežiūros paslaugų teikimą ir jų visuotinį prieinamumą, taip pat
          sveikatos priežiūros išlaidos ir finansavimą, taip pat mirtingumo priežastis. Dėl to, kad
          sveikatos duomenys tvarkomi dėl viešojo intereso priežasčių, trečiosios šalys, pavyzdžiui,
          darbdaviai ar draudimo bendrovės ir bankai, neturėtų tvarkyti asmens duomenų kitais
          tikslais;

(55)      be to, siekiant oficialiai pripažintų religinių asociacijų tikslų, išdėstytų konstitucinėje
          teisėje arba tarptautinėje viešojoje teisėje, valdžios institucijos asmens duomenis tvarko
          viešojo intereso pagrindais;

(56)      kai, vykstant rinkimams, demokratinės sistemos veikimui valstybėje narėje užtikrinti
          būtina, kad politinės partijos surinktų asmens duomenis apie asmenų politines pažiūras, dėl
          viešojo intereso priežasčių gali būti leista tvarkyti tokius duomenis su sąlyga, kad yra
          nustatytos tinkamos apsaugos priemonės;

1
       2008 m. gruodžio 16 d. Europos Parlamento ir Tarybos reglamentas (EB) Nr. 1338/2008 dėl
       Bendrijos statistikos apie visuomenės sveikatą ir sveikatą bei saugą darbe (OL L 354,
       2008 12 31, p. 70).

5419/16                                                                       JV/rzi                    34
                                                  DGD 2                                                 LT
 ---pagebreak--- (57)      jeigu asmens duomenų valdytojas pagal tvarkomus duomenis negali nustatyti fizinio
          asmens tapatybės, duomenų valdytojas neturėtų būti įpareigojamas gauti papildomos
          informacijos duomenų subjektui nustatyti vien tam, kam būtų laikomasi kurios nors šio
          reglamento nuostatos. Tačiau duomenų valdytojas neturėtų atsisakyti priimti papildomos
          informacijos, kurią duomenų subjektas pateikia, kad pagrįstų naudojimąsi savo teisėmis.
          Tapatybės nustatymas turėtų apimti duomenų subjekto tapatybės nustatymą
          skaitmeninėmis priemonėmis, pavyzdžiui, pasitelkiant tokį tapatumo nustatymo
          mechanizmą kaip tie patys kredencialai, kuriuos duomenų subjektas naudoja, kad
          prisijungtų prie internetinės paslaugos, kurią siūlo duomenų valdytojas;

(58)      pagal skaidrumo principą visuomenei arba duomenų subjektui skirta informacija turi būti
          glausta, lengvai prieinama ir suprantama, pateikiama aiškia ir paprasta kalba ir, be to,
          prireikus naudojamas vizualizavimas. Tokia informacija galėtų būti pateikta elektronine
          forma, pavyzdžiui, interneto svetainėje, kai ji skirta viešai paskelbti. Tai ypač svarbu tais
          atvejais, kai dėl dalyvių gausos ir naudojamų technologijų sudėtingumo duomenų subjektui
          sunku suvokti ir pastebėti, ar jo asmens duomenys renkami, kas juos renka ir kokiu tikslu,
          kaip antai reklama internete. Atsižvelgiant į tai, kad vaikams turi būti užtikrinta ypatinga
          apsauga, informacija ir pranešimai, kai duomenų tvarkymas orientuotas į vaiką, turėtų būti
          suformuluoti vaikui lengvai suprantama aiškia ir paprasta kalba;

5419/16                                                                     JV/rzi                        35
                                                 DGD 2                                               LT
 ---pagebreak--- (59)      turėtų būti sudarytos sąlygos palengvinti duomenų subjekto naudojimąsi savo teisėmis
          pagal šį reglamentą, įskaitant mechanizmus, kaip prašyti ir atitinkamais atvejais visų pirma
          nemokamai gauti galimybę susipažinti su asmens duomenimis ir juos ištaisyti ar ištrinti bei
          pasinaudoti teise nesutikti. Duomenų valdytojas taip pat turėtų sudaryti sąlygas pateikti
          prašymus elektroniniu būdu, ypač tais atvejais, kai asmens duomenys tvarkomi
          elektroniniu būdu. Duomenų valdytojas turėtų būti įpareigotas į duomenų subjekto
          prašymus atsakyti nepagrįstai nedelsdamas ir ne vėliau kaip per vieną mėnesį ir nurodyti
          priežastis, kai jis neketina patenkinti bet kurių tokių prašymų;

(60)      pagal sąžiningo ir skaidraus duomenų tvarkymo principus duomenų subjektui pranešama
          apie vykdomą duomenų tvarkymo operaciją ir jos tikslus. Duomenų valdytojas turėtų
          pateikti duomenų subjektui visą papildomą informaciją, kuri būtina tam, kad būtų
          užtikrintas sąžiningas ir skaidrus duomenų tvarkymas, atsižvelgiant į konkrečias asmens
          duomenų tvarkymo aplinkybes ir kontekstą. Be to, duomenų subjektas turėtų būti
          informuotas apie tai, kad vykdomas profiliavimas, ir apie tokio profiliavimo pasekmes. Kai
          asmens duomenys renkami iš duomenų subjekto, duomenų subjektas taip pat turėtų būti
          informuojamas, ar jis privalo pateikti asmens duomenis, taip pat apie tokių duomenų
          nepateikimo pasekmes. Ta informacija gali būti pateikiama kartu su standartizuotomis
          piktogramomis, siekiant lengvai matomai, suprantamai ir aiškiai įskaitomai pateikti
          prasmingą numatomo tvarkymo apžvalgą. Jei piktogramos pateikiamos elektronine forma,
          jos turėtų būti kompiuterio skaitomos;

5419/16                                                                      JV/rzi                   36
                                                 DGD 2                                            LT
 ---pagebreak--- (61)      informacija apie duomenų subjekto asmens duomenų tvarkymą turėtų būti jam suteikta
          duomenis renkant arba, kai asmens duomenys gaunami ne iš duomenų subjekto, o iš kito
          šaltinio, per pagrįstą laikotarpį, priklausomai nuo konkretaus atvejo aplinkybių. Kai
          asmens duomenis galima teisėtai atskleisti kitam duomenų gavėjui, duomenų subjektas
          apie tai turėtų būti informuojamas pirmo asmens duomenų atskleidimo jų gavėjui metu.
          Jeigu asmens duomenų valdytojas ketina tvarkyti duomenis kitu tikslu nei tikslas, kuriuo
          jie buvo renkami, prieš taip toliau tvarkydamas duomenis, duomenų valdytojas turėtų
          pateikti duomenų subjektui informaciją apie tą kitą tikslą ir kitą būtiną informaciją. Tais
          atvejais, kai asmens duomenų kilmė duomenų subjektui negali būti nurodyta dėl to, kad
          buvo naudoti įvairūs šaltiniai, turėtų būti pateikta bendro pobūdžio informacija;

(62)      tačiau prievolės suteikti informaciją nebūtina nustatyti tais atvejais, kai duomenų subjektas
          jau buvo apie tai informuotas arba kai asmens duomenų įrašymas ar atskleidimas aiškiai
          įtvirtintas įstatyme, arba kai pateikti informaciją duomenų subjektui pasirodo neįmanoma
          arba tai pareikalautų neproporcingai didelių pastangų. Pastarajam atvejui ypač būtų galima
          priskirti duomenų tvarkymą archyvavimo tikslais viešojo intereso labui, mokslinių ar
          istorinių tyrimų tikslais arba statistiniais tikslais. Tokioje situacijoje turėtų būti
          atsižvelgiama į duomenų subjektų skaičių, duomenų senumą ir bet kokias patvirtintas
          tinkamas apsaugos priemones;

5419/16                                                                        JV/rzi                   37
                                                   DGD 2                                           LT
 ---pagebreak--- (63)      duomenų subjektas turėtų turėti teisę susipažinti su apie jį surinktais asmens duomenimis ir
          galimybę ta teise lengvai ir pagrįstais laiko tarpais pasinaudoti, kad žinotų apie duomenų
          tvarkymą ir galėtų patikrinti jo teisėtumą. Tai apima duomenų subjektų teisę susipažinti su
          duomenimis apie savo sveikatą, pavyzdžiui, su medicinos kortelės duomenimis, kuriuose
          pateikta tokia informacija kaip diagnozė, tyrimų rezultatai, gydančių gydytojų išvados ir
          paskirtas gydymas ar intervencijos. Todėl kiekvienas duomenų subjektas turėtų turėti teisę
          žinoti ir būti informuotas visų pirma apie tai, kokiais tikslais asmens duomenys tvarkomi,
          jei įmanoma – kokiu laikotarpiu jie tvarkomi, kas yra duomenų gavėjai, pagal kokią logiką
          asmens duomenys tvarkomi automatiškai ir kokios galėtų būti tokio asmens duomenų
          tvarkymo pasekmės bent jau tais atvejais, kai duomenų tvarkymas grindžiamas
          profiliavimu. Kai įmanoma, duomenų valdytojas turėtų galėti suteikti nuotolinę prieigą prie
          saugios sistemos, kurioje duomenų subjektas gali tiesiogiai prieiti prie savo asmens
          duomenų. Ta teisė neturėtų turėti neigiamo poveikio kitų asmenų teisėms ar laisvėms,
          įskaitant komercines paslaptis arba intelektinės nuosavybės teises, ypač autorių teises,
          kuriomis saugoma programinė įranga. Tačiau tai neturėtų lemti, kad duomenų subjektui
          būtų atsisakyta suteikti visą informaciją. Tais atvejais, kai duomenų valdytojas tvarko
          didelį informacijos, susijusios su duomenų subjektu, kiekį, jis turėtų galėti prieš teikdamas
          informaciją paprašyti duomenų subjekto nurodyti, dėl kokios informacijos ar duomenų
          tvarkymo veiklos pateiktas prašymas;

5419/16                                                                    JV/rzi                      38
                                                 DGD 2                                               LT
 ---pagebreak--- (64)      duomenų valdytojas turėtų naudotis visomis pagrįstomis priemonėmis, kad patikrintų
          prašančio leisti susipažinti su duomenimis duomenų subjekto tapatybę, ypač kai tai susiję
          su interneto paslaugomis ir interneto identifikatoriais. Duomenų valdytojas neturėtų
          saugoti asmens duomenų vien tam, kad galėtų atsakyti į galimus prašymus;

(65)      duomenų subjektas turėtų turėti teisę reikalauti ištaisyti jo asmens duomenis ir teisę būti
          pamirštam, kai tokių duomenų saugojimas pažeidžia šį reglamentą arba Sąjungos ar
          valstybės narės teisę, kuri taikoma duomenų valdytojui. Visų pirma duomenų subjektas
          turėtų turėti teisę reikalauti, kad jo asmens duomenys būtų ištrinti ir toliau nebetvarkomi,
          kai asmens duomenų nebereikia tiems tikslams, kuriais jie buvo renkami ar kitaip
          tvarkomi, kai duomenų subjektas atšaukė savo sutikimą ar nesutinka, kad jo asmens
          duomenys būtų tvarkomi, arba kai jo asmens duomenų tvarkymas dėl kitų priežasčių
          neatitinka šio reglamento. Ta teisė ypač svarbi tais atvejais, kai duomenų subjektas savo
          sutikimą išreiškė būdamas vaikas ir nevisiškai suvokdamas su duomenų tvarkymu
          susijusius pavojus, o vėliau nori, kad tokie – ypač internete saugomi – asmens duomenys
          būtų pašalinti. Duomenų subjektas turėtų galėti naudotis ta teise, nepaisant to, kad jis
          nebėra vaikas. Tačiau turėtų būti teisėta toliau saugoti asmens duomenis, jei tai būtina
          naudojimosi teise į saviraiškos ir informacijos laisvę, siekiant įvykdyti teisinę prievolę,
          atlikti užduotį, vykdomą dėl viešojo intereso arba vykdant duomenų valdytojui pavestas
          viešosios valdžios funkcijas, dėl viešojo intereso priežasčių visuomenės sveikatos srityje,
          archyvavimo tikslais viešojo intereso labui, mokslinių ar istorinių tyrimų tikslais arba
          statistiniais tikslais, arba siekiant pareikšti, vykdyti arba apginti teisinius reikalavimus;

5419/16                                                                       JV/rzi                      39
                                                  DGD 2                                               LT
 ---pagebreak--- (66)      siekiant sustiprinti teisę būti pamirštam internetinėje aplinkoje, teisė prašyti ištrinti
          duomenis turėtų būti išplėsta taip, kad duomenų valdytojas, kuris asmens duomenis
          paskelbė viešai, būtų įpareigotas informuoti tokius asmens duomenis, tvarkančius
          duomenų valdytojus, kad jie ištrintų visus saitus į tuos asmens duomenis, jų kopijas ar
          dublikatus. Tai darydamas, duomenų valdytojas, atsižvelgdamas į turimas technologijas ir
          jam prieinamas priemones, įskaitant technines priemones, turėtų imtis pagrįstų veiksmų,
          kad apie duomenų subjekto prašymą informuotų duomenis tvarkančius asmens duomenų
          valdytojus;

(67)      būdai, kuriais ribojamas asmens duomenų tvarkymas, galėtų, inter alia, būti tokie: laikinai
          perkelti atrinktus duomenis į kitą tvarkymo sistemą, padaryti atrinktus asmens duomenis
          neprieinamus naudotojams arba laikinai išimti paskelbtus duomenis iš interneto svetainės.
          Automatiniuose susistemintuose rinkiniuose duomenų tvarkymo ribojimas iš esmės turėtų
          būti užtikrinamas techninėmis priemonėmis taip, kad asmens duomenys nebūtų toliau
          tvarkomi ir jų nebebūtų galima pakeisti. Tai, kad asmens duomenų tvarkymas yra
          apribotas, sistemoje turėtų būti aiškiai nurodyta;

5419/16                                                                       JV/rzi                  40
                                                   DGD 2                                              LT
 ---pagebreak--- (68)      kad duomenų subjektai galėtų geriau kontroliuoti savo duomenis, tais atvejais, kai asmens
          duomenys tvarkomi automatizuotomis priemonėmis, duomenų subjektui taip pat turėtų būti
          leidžiama gauti su juo susijusius asmens duomenis, kuriuos jis pateikė duomenų
          valdytojui, susistemintu, paprastai naudojamu, kompiuterio skaitomu ir sąveikiu formatu ir
          persiųsti juos kitam duomenų valdytojui. Reikėtų skatinti duomenų valdytojus kurti
          sąveikius formatus, kad būtų užtikrinamas duomenų perkeliamumas. Ta teisė turėtų būti
          taikoma tais atvejais, kai duomenų subjektas asmens duomenis pateikė savo sutikimu arba
          tvarkyti asmens duomenis reikia vykdant sutartį. Ji neturėtų būti taikoma, jeigu duomenų
          tvarkymas grindžiamas teisiniu pagrindu nei sutikimas ar sutartis. Dėl pačios tos teisės
          esmės ja neturėtų būti naudojamasi prieš duomenų valdytojus, kurie asmens duomenis
          tvarko vykdydami savo viešąsias pareigas. Todėl ši teisė neturėtų būti taikoma tais atvejais,
          kai asmens duomenų tvarkymas yra būtinas duomenų valdytojui siekiant laikytis jam
          nustatytos teisinės prievolės arba siekiant atlikti užduotį, vykdomą dėl viešojo intereso arba
          vykdant duomenų valdytojui pavestas viešosios valdžios funkcijas. Duomenų subjekto
          teisė persiųsti arba gauti savo asmens duomenis neturėtų sukurti duomenų valdytojams
          prievolės nustatyti ar išlaikyti duomenų tvarkymo sistemas, kurios yra techniškai
          suderinamos. Jei su tam tikru asmens duomenų rinkiniu yra susijęs daugiau nei vienas
          duomenų subjektas, teise gauti asmens duomenis neturėtų būti daromas poveikis kitų
          duomenų subjektų teisėms ir laisvėms pagal šį reglamentą. Be to, ta teise neturėtų būti
          daromas poveikis duomenų subjekto teisei pasiekti, kad asmens duomenys būtų ištrinti, ir
          tos teisės apribojimams, kaip nustatyta šiame reglamente; visų pirma tai neturėtų reikšti,
          kad gali būti ištrinti su duomenų subjektu susiję asmens duomenys, kuriuos jis pateikė
          sutarties vykdymo tikslu, jeigu tie duomenys būtini tai sutarčiai vykdyti ir tol, kol tie
          asmens duomenys tam yra būtini. Kai techniškai įmanoma, duomenų subjektas turėtų turėti
          teisę pasiekti, kad vienas duomenų valdytojas asmens duomenis tiesiogiai persiųstų kitam
          duomenų valdytojui;

5419/16                                                                     JV/rzi                     41
                                                  DGD 2                                               LT
 ---pagebreak--- (69)      kai asmens duomenys galėtų būti teisėtai tvarkomi, kadangi duomenis tvarkyti būtina
          siekiant atlikti užduotį, vykdomą dėl viešojo intereso arba vykdant duomenų valdytojui
          pavestas viešosios valdžios funkcijas, arba vadovaujantis duomenų valdytojo arba
          trečiosios šalies teisėtais interesais, duomenų subjektas vis tiek turėtų turėti teisę nesutikti
          su bet kokių su jo konkrečiu atveju susijusių asmens duomenų tvarkymu. Pareiga įrodyti,
          kad įtikinamas teisėtas duomenų valdytojo interesas yra viršesnis už duomenų subjekto
          interesus arba pagrindines teises ir laisves, turėtų tekti duomenų valdytojui;

(70)      jeigu asmens duomenys tvarkomi tiesioginės rinkodaros tikslais, duomenų subjektas turėtų
          turėti teisę bet kada nemokamai nesutikti su tokiu duomenų tvarkymu, įskaitant
          profiliavimą tiek, kiek jis susijęs su tokia tiesiogine rinkodara, nesvarbu, ar tai yra pirminis
          ar tolesnis duomenų tvarkymas. Apie tą teisę turėtų būti aiškiai informuojamas duomenų
          subjektas ir ši informacija pateikiama aiškiai ir atskirai nuo visos kitos informacijos;

5419/16                                                                       JV/rzi                     42
                                                  DGD 2                                               LT
 ---pagebreak--- (71)      duomenų subjektas turėtų turėti teisę į tai, kad jam nebūtų taikomas sprendimas, kuriame
          gali būti numatyta priemonė, kuria vertinami su juo susiję asmeniniai aspektai, kuri
          grindžiama tik automatizuotu duomenų tvarkymu, ir kuri jo atžvilgiu turi teisinių pasekmių
          arba jam daro panašų didelį poveikį, tokį kaip automatinio internetinės kredito paraiškos
          atmetimas ar elektroninio įdarbinimo praktika be žmogaus įsikišimo. Toks duomenų
          tvarkymas apima „profiliavimą“, kurį sudaro bet kokios formos automatizuotas asmens
          duomenų tvarkymas, kurį vykdant vertinami su fiziniu asmeniu susiję asmeniniai aspektai,
          visų pirma siekiant analizuoti arba numatyti aspektus, susijusius su duomenų subjekto
          darbo rezultatais, ekonomine padėtimi, sveikatos būkle, asmeniniais pomėgiais ar
          interesais, patikimumu arba elgesiu, vieta arba judėjimu, kai tai jo atžvilgiu sukelia teisinių
          pasekmių arba jam daro panašų didelį poveikį. Tačiau tokiu duomenų tvarkymu, įskaitant
          profiliavimą, grindžiamas sprendimų priėmimas turėtų būti leidžiamas, kai jis yra aiškiai
          leidžiamas Sąjungos ar valstybės narės teisėje, kuri taikoma duomenų valdytojui, be kita
          ko, sukčiavimo ir mokesčių slėpimo stebėsenos ir prevencijos tikslais, laikantis Sąjungos
          institucijų ar nacionalinių priežiūros įstaigų taisyklių, standartų ir rekomendacijų, ir
          siekiant užtikrinti duomenų valdytojo suteiktos paslaugos saugumą ir patikimumą, arba kai
          tai būtina sudarant arba vykdant duomenų subjekto ir duomenų valdytojo sutartį, arba tada,
          kai duomenų subjektas yra davęs aiškų sutikimą. Bet kuriuo atveju tokiam duomenų
          tvarkymui turėtų būti taikomos tinkamos apsaugos priemonės, įskaitant konkrečios
          informacijos duomenų subjektui suteikimą ir teisę reikalauti žmogaus įsikišimo, pareikšti
          savo požiūrį, gauti sprendimo, priimto atlikus šį vertinimą, paaiškinimą ir teisę ginčyti tą
          sprendimą. Tokia priemonė negali būti susijusi su vaiku.

5419/16                                                                      JV/rzi                      43
                                                  DGD 2                                              LT
 ---pagebreak---           Tam, kad būtų užtikrintas sąžiningas ir skaidrus su duomenų subjektu susijusių duomenų
          tvarkymas, atsižvelgiant į konkrečias aplinkybes ir kontekstą, kuriame tvarkomi asmens
          duomenys, duomenų valdytojas profiliavimui turėtų naudoti tinkamas matematines ar
          statistines procedūras, įgyvendinti technines ir organizacines priemones, tinkamas visų
          pirma užtikrinti, kad veiksniai, dėl kurių atsiranda asmens duomenų netikslumų, būtų
          ištaisyti, o klaidų rizika būtų kuo labiau sumažinta, apsaugoti asmens duomenis taip, kad
          būtų atsižvelgiama į galimus pavojus, kylančius duomenų subjekto interesams ir teisėms, ir
          būtų išvengta, inter alia, diskriminacinio poveikio fiziniams asmenims dėl rasės ar etninės
          kilmės, politinių pažiūrų, religijos ar tikėjimo, priklausymo profesinei sąjungai, genetinės
          arba sveikatos būklės ar seksualinės orientacijos arba tokį poveikį turinčių priemonių
          atsiradimo. Automatizuotas sprendimų priėmimas ir tam tikromis asmens duomenų
          kategorijomis grindžiamas profiliavimas turėtų būti leidžiamas tik konkrečiomis
          sąlygomis;

(72)      profiliavimui taikomos šio reglamento taisyklės, kuriomis reglamentuojamas asmens
          duomenų tvarkymas, kaip antai teisiniai duomenų tvarkymo pagrindai ar duomenų
          apsaugos principai. Šiuo reglamentu įkurta Europos duomenų apsaugos valdyba (toliau –
          Valdyba) turėtų galėti išleisti gaires ta tema;

5419/16                                                                    JV/rzi                     44
                                                  DGD 2                                            LT
 ---pagebreak--- (73)      Sąjungos arba valstybės narės teisėje gali būti nustatyti apribojimai, kuriais suvaržomi
          konkretūs principai ir teisė gauti informaciją, teisė susipažinti su duomenimis ir teisė
          reikalauti ištaisyti ar ištrinti asmens duomenis ar teisė į duomenų perkeliamumą, teisė
          nesutikti, profiliavimu grindžiami sprendimai, taip pat duomenų subjekto informavimas
          apie asmens duomenų saugumo pažeidimą ir kai kurios susijusios duomenų valdytojų
          prievolės, jeigu toks ribojimas būtinas ir proporcingas demokratinėje visuomenėje siekiant
          užtikrinti visuomenės saugumą, įskaitant žmonių gyvybių apsaugą, ypač reaguojant į
          gaivalines ar žmogaus sukeltas nelaimes, nusikalstamų veikų prevenciją, tyrimą ir
          patraukimą baudžiamojon atsakomybėn už jas ar baudžiamųjų sankcijų vykdymą, įskaitant
          apsaugą nuo grėsmių visuomenės saugumui, reglamentuojamųjų profesijų etikos taisyklių
          pažeidimų, kitų Sąjungos arba valstybės narės svarbių bendrųjų viešųjų interesų, visų
          pirma svarbaus Sąjungos arba valstybės narės ekonominio arba finansinio intereso,
          pažeidimų ir jų prevenciją, teisę turėti viešus registrus bendrojo viešojo intereso tikslais,
          toliau tvarkyti suarchyvuotus asmens duomenis siekiant pateikti konkrečią informaciją,
          susijusią su politine elgsena buvusių totalitarinių valstybės režimų metu, arba užtikrinti
          duomenų subjekto apsaugą arba kitų asmenų teisių ir laisvių apsaugą, įskaitant socialinę
          apsaugą, visuomenės sveikatą ir humanitarinius tikslus. Tie apribojimai turėtų atitikti
          Chartijoje ir Europos žmogaus teisių ir pagrindinių laisvių apsaugos konvencijoje
          nustatytus reikalavimus;

5419/16                                                                      JV/rzi                       45
                                                  DGD 2                                              LT
 ---pagebreak--- (74)      turėtų būti nustatyta duomenų valdytojo atsakomybė už bet kokį duomenų valdytojo arba
          jo vardu vykdomą asmens duomenų tvarkymą. Duomenų valdytojas visų pirma turėtų būti
          įpareigotas įgyvendinti tinkamas ir veiksmingas priemones ir galėti įrodyti, kad duomenų
          tvarkymo veikla atitinka šį reglamentą, įskaitant priemonių veiksmingumą. Tomis
          priemonėmis turėtų būti atsižvelgta į duomenų tvarkymo pobūdį, aprėptį, kontekstą ir
          tikslus, taip pat į pavojų fizinių asmenų teisėms ir laisvėms;

(75)      įvairios tikimybės ir rimtumo pavojus fizinių asmenų teisėms ir laisvėms gali kilti dėl tokio
          asmens duomenų tvarkymo, kurio metu galėtų būti padarytas kūno sužalojimas, turtinė ar
          neturtinė žala, visų pirma kai dėl tvarkymo gali kilti diskriminacija, būti pavogta ar
          suklastota tapatybė, būti padaryta finansinių nuostolių, pakenkta reputacijai, prarastas
          asmens duomenų, kurie saugomi profesine paslaptimi, konfidencialumas, neleistinai
          panaikinti pseudonimai arba padaryta kita didelė ekonominė ar socialinė žala; kai duomenų
          subjektai gali netekti galimybės naudotis savo teisėmis ir laisvėmis ar jiems užkertamas
          kelias kontroliuoti savo asmens duomenis; kai tvarkomi asmens duomenys, kurie
          atskleidžia rasinę arba etninę kilmę, politines pažiūras, religiją ar filosofinius įsitikinimus,
          priklausymą profesinėms sąjungoms, taip pat tvarkant genetinius duomenis , sveikatos
          duomenis ar duomenis apie lytinį gyvenimą, arba apkaltinamuosius nuosprendžius ir
          nusikalstamas veikas, arba susijusias saugumo priemones; kai siekiant sukurti arba naudoti
          asmens profilį vertinami asmeniniai aspektai, visų pirma nagrinėjami arba numatomi su
          asmens darbo rezultatais, ekonomine situacija, sveikatos būkle, asmeniniais pomėgiais ar
          interesais, patikimumu arba elgesiu, vieta arba judėjimu susiję aspektai; kai tvarkomi
          pažeidžiamų fizinių asmenų, visų pirma vaikų, asmens duomenys; arba kai duomenų
          tvarkymas apima didelį kiekį asmens duomenų ir daro poveikį daugeliui duomenų
          subjektų;

5419/16                                                                      JV/rzi                     46
                                                  DGD 2                                               LT
 ---pagebreak--- (76)      pavojaus duomenų subjekto teisėms ir laisvėms tikimybė ir rimtumas turėtų būti nustatomi
          atsižvelgiant į duomenų tvarkymo pobūdį, aprėptį, kontekstą ir tikslus. Pavojus turėtų būti
          vertinamas remiantis objektyviu įvertinimu, kurio metu nustatoma, ar duomenų tvarkymo
          operacijos yra susijusios su pavojumi arba dideliu pavojumi;

(77)      duomenų valdytojo arba duomenų tvarkytojo atliekamo tinkamų priemonių įgyvendinimo
          ir šio reglamento laikymosi įrodymo gairės, ypač dėl su duomenų tvarkymu susijusio
          pavojaus nustatymo, kilmės, pobūdžio, tikimybės ir rimtumo įvertinimo, taip pat geriausios
          patirties mažinant tą pavojų nustatymo, galėtų būti pateiktos visų pirma patvirtintuose
          elgesio kodeksuose, patvirtintuose sertifikatuose, Valdybos pateiktose gairėse arba
          duomenų apsaugos pareigūno pateiktuose nurodymuose. Valdyba taip pat gali skelbti
          gaires dėl duomenų tvarkymo operacijų, kurias vykdant neturėtų kilti didelio pavojaus
          fizinių asmenų teisėms bei laisvėms, ir nurodyti, kokių priemonių gali pakakti norint
          tokiais atvejais panaikinti tokį pavojų;

5419/16                                                                   JV/rzi                    47
                                                 DGD 2                                              LT
 ---pagebreak--- (78)      siekiant užtikrinti fizinių asmenų teisių ir laisvių apsaugą tvarkant asmens duomenis reikia
          imtis tinkamų techninių ir organizacinių priemonių siekiant užtikrinti, kad būtų laikomasi
          šio reglamento reikalavimų. Kad galėtų įrodyti, jog laikosi šio reglamento, duomenų
          valdytojas turėtų priimti vidaus nuostatas ir įgyvendinti priemones, kuriomis visų pirma
          būtų paisoma pritaikytosios ir standartizuotosios duomenų apsaugos principų. Tokios
          priemonės galėtų apimti, inter alia, kuo mažesnės apimties asmens duomenų tvarkymą,
          kuo skubesnį pseudonimų suteikimą asmens duomenims, funkcijų ir asmens duomenų
          tvarkymo skaidrumą, galimybės stebėti duomenų tvarkymą suteikimą duomenų subjektui,
          galimybės kurti ir tobulinti apsaugos priemones suteikimą duomenų valdytojui. Plėtojant,
          kuriant, atrenkant ir naudojant taikomąsias programas, paslaugas ir produktus, kurie
          grindžiami asmens duomenų tvarkymu arba kurių atveju asmens duomenys yra tvarkomi
          siekiant įvykdyti tam tikrą užduotį, tokių produktų, paslaugų ir taikomųjų programų
          gamintojai, kurdami tokius produktus, paslaugas ir taikomąsias programas, turėtų būti
          skatinami atsižvelgti į teisę į duomenų apsaugą ir, tinkamai atsižvelgiant į techninių
          galimybių išsivystymo lygį, turėtų būti skatinami užtikrinti, kad duomenų valdytojai ir
          duomenų tvarkytojai galėtų vykdyti savo duomenų apsaugos prievoles. Vykdant viešuosius
          konkursus turėtų būti taip pat atsižvelgiama į pritaikytosios ir standartizuotosios duomenų
          apsaugos principus;

(79)      atsižvelgiant į duomenų subjektų teisių bei laisvių apsaugą ir duomenų valdytojų bei
          duomenų tvarkytojų atsakomybę, taip pat priežiūros institucijų vykdomos stebėsenos ir
          taikomų priemonių atžvilgiu, reikia aiškiai paskirstyti atsakomybę pagal šį reglamentą, be
          kita ko, tais atvejais, kai duomenų valdytojas kartu su kitais duomenų valdytojais nustato
          duomenų tvarkymo tikslus ir priemones arba kai duomenų tvarkymo operacija atliekama
          duomenų valdytojo vardu;

5419/16                                                                    JV/rzi                      48
                                                 DGD 2                                              LT
 ---pagebreak--- (80)      kai Sąjungoje esančių duomenų subjektų asmens duomenis tvarko Sąjungoje neįsisteigęs
          duomenų valdytojas arba duomenų tvarkytojas, kurio duomenų tvarkymo veikla susijusi su
          prekių ar paslaugų siūlymu, tokiems duomenų subjektams Sąjungoje, nepaisant to, ar
          reikalaujama, kad duomenų subjektas atliktų mokėjimą, arba jų elgesio, jei jie veikia
          Sąjungoje, stebėsenai vykdyti, duomenų valdytojas arba duomenų tvarkytojas turėtų
          paskirti atstovą, nebent duomenų tvarkymas yra nereguliarus, neapima specialių kategorijų
          asmens duomenų tvarkymo dideliu mastu ar asmens duomenų apie apkaltinamuosius
          nuosprendžius ir nusikalstamas veikas tvarkymo ir dėl jo neturėtų kilti pavojaus fizinių
          asmenų teisėms ir laisvėms, atsižvelgiant į duomenų tvarkymo pobūdį, kontekstą, aprėptį ir
          tikslus arba jei duomenų valdytojas yra valdžios institucija ar įstaiga. Atstovas turėtų veikti
          duomenų valdytojo arba duomenų tvarkytojo vardu ir į jį gali kreiptis bet kuri priežiūros
          institucija. Atstovą duomenų valdytojas arba duomenų tvarkytojas turėtų aiškiai paskirti
          rašytiniu įgaliojimu veikti jo vardu vykdant jo prievoles pagal šį reglamentą. Paskiriant
          tokį atstovą nedaromas poveikis duomenų valdytojo ar duomenų tvarkytojo atsakomybei
          pagal šį reglamentą. Toks atstovas turėtų vykdyti užduotis pagal iš duomenų valdytojo ar
          duomenų tvarkytojo gautą įgaliojimą, be kita ko, bendradarbiauti su kompetentingomis
          priežiūros institucijomis imantis bet kokių veiksmų, kad būtų užtikrintas šio reglamento
          laikymasis. Paskirtam atstovui turėtų būti taikomi reikalavimų laikymosi užtikrinimo
          veiksmai tais atvejais, kai duomenų valdytojas ar duomenų tvarkytojas nesilaiko
          reikalavimų;

5419/16                                                                     JV/rzi                    49
                                                 DGD 2                                              LT
 ---pagebreak--- (81)      siekiant užtikrinti, kad būtų laikomasi šio reglamento reikalavimų dėl duomenų tvarkymo,
          kurį duomenų tvarkytojas atlieka duomenų valdytojo vardu, duomenų valdytojas,
          patikėdamas duomenų tvarkytojui tvarkymo veiklą, turėtų pasitelkti tik tokius duomenų
          tvarkytojus, kurie suteikia pakankamų garantijų, susijusių visų pirma su ekspertinėmis
          žiniomis, patikimumu ir ištekliais, kad būtų įgyvendintos techninės ir organizacinės
          priemonės, kurios atitiks šio reglamento reikalavimus, įskaitant dėl tvarkymo saugumo.
          Tuo, kad duomenų tvarkytojas laikosi patvirtinto elgesio kodekso arba patvirtinto
          sertifikavimo mechanizmo, gali būti remiamasi kaip vienu iš aspektų siekiant įrodyti, kad
          duomenų valdytojas vykdo prievoles. Duomenų tvarkytojo atliekamas duomenų tvarkymas
          turėtų būti reglamentuojamas sutartimi ar kitu teisės aktu pagal Sąjungos arba valstybės
          narės teisę, kuriais nustatomi duomenų tvarkytojo įsipareigojimai duomenų valdytojui,
          duomenų tvarkymo dalykas bei trukmė, duomenų tvarkymo pobūdis ir tikslai, asmens
          duomenų rūšis ir duomenų subjektų kategorijos, ir atsižvelgiant į duomenų tvarkytojo
          konkrečias užduotis ir pareigas atliekant duomenų tvarkymą, taip pat į pavojų duomenų
          subjekto teisėms ir laisvėms. Duomenų valdytojas ir duomenų tvarkytojas gali pasirinkti
          naudoti atskirą sutartį arba standartines sutarčių sąlygas, kurias patvirtina tiesiogiai
          Komisija arba priežiūros institucija pagal nuoseklumo užtikrinimo mechanizmą, o vėliau
          patvirtina Komisija. Užbaigęs duomenų tvarkymą duomenų valdytojo vardu, duomenų
          tvarkytojas turėtų pagal duomenų valdytojo sprendimą grąžinti arba ištrinti asmens
          duomenis, išskyrus atvejus, kai pagal Sąjungos arba valstybės narės teisę, kuri yra taikoma
          asmens duomenų tvarkytojui, yra nustatytas reikalavimas šiuos duomenis saugoti;

5419/16                                                                      JV/rzi                  50
                                                  DGD 2                                              LT
 ---pagebreak--- (82)      kad įrodytų, jog laikosi šio reglamento, duomenų valdytojas arba duomenų tvarkytojas
          turėtų tvarkyti tvarkymo veiklos, už kurią yra atsakingas, įrašus. Kiekvienas duomenų
          valdytojas ir duomenų tvarkytojas turėtų būti įpareigotas bendradarbiauti su priežiūros
          institucija ir jos prašymu pateikti tuos įrašus, kad pagal juos būtų galima stebėti tas
          duomenų tvarkymo operacijas;

(83)      siekiant užtikrinti saugumą ir užkirsti kelią šį reglamentą pažeidžiančiam duomenų
          tvarkymui, duomenų valdytojas arba duomenų tvarkytojas turėtų įvertinti su duomenų
          tvarkymu susijusius pavojus ir įgyvendinti jo mažinimo priemones, pavyzdžiui, šifravimą.
          Šiomis priemonėmis turėtų būti užtikrintas tinkamo lygio saugumas, įskaitant
          konfidencialumą, atsižvelgiant į techninių galimybių išsivystymo lygį ir įgyvendinimo
          sąnaudas pavojų ir saugotinų asmens duomenų pobūdžio atžvilgiu. Vertinant pavojų
          duomenų saugumui, reikėtų atsižvelgti į pavojus, kurie kyla tvarkant asmens duomenis,
          pavyzdžiui, į tai, kad persiųsti, saugomi ar kitaip tvarkomi duomenys gali būti netyčia arba
          neteisėtai sunaikinti, prarasti, pakeisti, be leidimo atskleisti arba be leidimo prie jų gauta
          prieiga, ir dėl to visų pirma gali būti padarytas kūno sužalojimas, turtinė ar neturtinė žala;

5419/16                                                                      JV/rzi                        51
                                                  DGD 2                                               LT
 ---pagebreak--- (84)      siekiant užtikrinti, kad šio reglamento būtų geriau laikomasi, kai vykdant duomenų
          tvarkymo operacijas gali kilti didelis pavojus fizinių asmenų teisėms ir laisvėms, duomenų
          valdytojas turėtų būti atsakingas už poveikio duomenų apsaugai vertinimo atlikimą, kad
          būtų įvertinta visų pirma to pavojaus kilmė, pobūdis, specifika ir rimtumas. Į šio vertinimo
          rezultatus turėtų būti atsižvelgta nustatant tinkamas priemones, kurių būtų imtasi siekiant
          įrodyti, kad asmens duomenų tvarkymas vykdomas laikantis šio reglamento. Kai iš
          poveikio duomenų apsaugai vertinimo paaiškėja, kad duomenų tvarkymo operacijos
          susijusios su dideliu pavojumi, kurio duomenų valdytojas negali sumažinti tinkamomis
          priemonėmis, atsižvelgiant į turimas technologijas ir įgyvendinimo sąnaudas, prieš
          pradedant duomenų tvarkymą turėtų būti konsultuojamasi su priežiūros institucija;

5419/16                                                                    JV/rzi                   52
                                                DGD 2                                             LT
 ---pagebreak--- (85)      dėl asmens duomenų saugumo pažeidimo, jei dėl jo laiku nesiimama tinkamų priemonių,
          fiziniai asmenys gali patirti kūno sužalojimą, turtinę ar neturtinę žalą, pavyzdžiui, prarasti
          savo asmens duomenų kontrolę, patirti teisių apribojimą, diskriminaciją, gali būti pavogta
          ar suklastota jo asmens tapatybė, jam padaryta finansinių nuostolių, neleistinai panaikinti
          pseudonimai, gali būti pakenkta jo reputacijai, prarastas asmens duomenų, kurie saugomi
          profesine paslaptimi, konfidencialumas arba padaryta kita ekonominė ar socialinė žala
          atitinkamam fiziniam asmeniui. Todėl, vos sužinojęs, kad padarytas asmens duomenų
          saugumo pažeidimas, duomenų valdytojas turėtų pranešti kompetentingai priežiūros
          institucijai nepagrįstai nedelsdamas ir, jei įmanoma, nuo to laiko, kai apie tai buvo
          sužinota, praėjus ne daugiau kaip 72 valandoms, apie asmens duomenų saugumo
          pažeidimą, nebent duomenų valdytojas gali pagal atskaitomybės principą įrodyti, kad
          asmens duomenų saugumo pažeidimas neturėtų kelti pavojaus fizinių asmenų teisėms ir
          laisvėms. Kai to neįmanoma pranešti per 72 valandas, pranešant turėtų būti pateiktos
          vėlavimo priežastys ir informacija gali būti pateikiama etapais daugiau nepagrįstai
          nedelsiant;

5419/16                                                                     JV/rzi                     53
                                                 DGD 2                                              LT
 ---pagebreak--- (86)      duomenų valdytojas nepagrįstai nedelsdamas turėtų pranešti duomenų subjektui apie
          asmens duomenų saugumo pažeidimą, kai dėl to asmens duomenų saugumo pažeidimo gali
          kilti didelis pavojus fizinio asmens teisėms ir laisvėms, kad jis galėtų imtis reikiamų
          priemonių užkirsti tam kelią. Pranešime turėtų būti aprašytas asmens duomenų saugumo
          pažeidimo pobūdis ir pateiktos atitinkamam fiziniam asmeniui skirtos rekomendacijos,
          kaip sumažinti galimą neigiamą poveikį. Tokie pranešimai duomenų subjektams turėtų būti
          pateikti kuo greičiau ir glaudžiai bendradarbiaujant su priežiūros institucija, laikantis jos ar
          kitų atitinkamų valdžios institucijų, tokių kaip teisėsaugos institucijos, pateiktų nurodymų.
          Pavyzdžiui, siekiant sumažinti tiesioginį žalos pavojų, reikėtų nedelsiant apie tai pranešti
          duomenų subjektams, o ilgesnį pranešimo terminą būtų galima pateisinti būtinybe
          įgyvendinti tinkamas priemones, kuriomis siekiama užkirsti kelią besikartojantiems ar
          panašiems asmens duomenų saugumo pažeidimams;

(87)      turėtų būti įsitikinta, ar įgyvendintos visos tinkamos technologinės apsaugos ir
          organizacinės priemonės, kad nedelsiant būtų nustatyta, ar buvo padarytas asmens
          duomenų saugumo pažeidimas, ir skubiai apie tai būtų informuoti priežiūros institucija ir
          duomenų subjektas. Turėtų būti nustatytas faktas, kad pranešimas buvo pateiktas
          nepagrįstai nedelsiant, atsižvelgiant visų pirma į asmens duomenų saugumo pažeidimo
          pobūdį ir sunkumą, jo pasekmes ir neigiamus padarinius duomenų subjektui. Dėl tokio
          pranešimo priežiūros institucija gali imtis intervencinių veiksmų vykdydama šiame
          reglamente nustatytas užduotis ir įgaliojimus;

5419/16                                                                      JV/rzi                      54
                                                  DGD 2                                              LT
 ---pagebreak--- (88)      nustatant išsamias pranešimo apie asmens duomenų saugumo pažeidimus formos ir tvarkos
          taisykles, turėtų būti tinkamai atsižvelgiama į to pažeidimo aplinkybes, įskaitant tai, ar
          asmens duomenys buvo apsaugoti tinkamomis techninėmis apsaugos priemonėmis,
          veiksmingai ribojančiomis tapatybės klastojimo arba kitokio neteisėto duomenų naudojimo
          tikimybę. Be to, nustatant tokias taisykles ir tvarką reikėtų atsižvelgti į teisėtus teisėsaugos
          institucijų interesus, kai ankstyvas informacijos atskleidimas galėtų bereikalingai pakenkti
          asmens duomenų pažeidimo aplinkybių tyrimui;

(89)      Direktyvoje 95/46/EB numatyta bendra prievolė pranešti priežiūros institucijoms apie
          asmens duomenų tvarkymą. Ta prievolė susijusi su administracine ir finansine našta, tačiau
          ji ne visada padėdavo gerinti asmens duomenų apsaugą. Todėl tokias bendras visuotines
          pranešimo prievoles reikėtų panaikinti ir jas pakeisti veiksmingomis procedūromis ir
          mechanizmais, kurie būtų labiau orientuoti į tų rūšių duomenų tvarkymo operacijas, dėl
          kurių pobūdžio, aprėpties, konteksto ir tikslų gali kilti didelis pavojus fizinių asmenų
          teisėms ir laisvėms. Tokios duomenų tvarkymo operacijų rūšys gali būti tos rūšys, kurios
          visų pirma apima naujų technologijų naudojimą arba yra naujos rūšies operacijos ir kurių
          atveju duomenų valdytojas anksčiau nėra atlikęs poveikio duomenų apsaugai vertinimo,
          arba kurios tapo būtinos atsižvelgiant į nuo pirminio duomenų tvarkymo praėjusį laiką;

5419/16                                                                      JV/rzi                     55
                                                  DGD 2                                                LT
 ---pagebreak--- (90)      tokiais atvejais duomenų valdytojas, kad įvertintų didelio pavojaus konkrečią tikimybę ir
          rimtumą, atsižvelgdamas į duomenų tvarkymo pobūdį, aprėptį, kontekstą ir tikslus bei
          pavojaus šaltinius, prieš pradėdamas tvarkyti duomenis, turėtų atlikti poveikio duomenų
          apsaugai vertinimą. Tame poveikio įvertinime visų pirma turėtų būti nurodytos numatomos
          priemonės, apsaugos priemonės ir mechanizmai, kuriais tas pavojus būtų sumažinamas,
          užtikrinama asmens duomenų apsauga ir parodoma, kad laikomasi šio reglamento;

5419/16                                                                  JV/rzi                       56
                                                DGD 2                                            LT
 ---pagebreak--- (91)      tai visų pirma turėtų būti taikoma didelio masto duomenų tvarkymo operacijoms, kuriomis
          siekiama regioniniu, nacionaliniu ar viršnacionaliniu lygmeniu tvarkyti didelį kiekį asmens
          duomenų, kurios galėtų daryti poveikį daugeliui duomenų subjektų ir kurios gali kelti
          didelį pavojų, pavyzdžiui, dėl jų jautraus pobūdžio, kai atsižvelgiant į pasiektą
          technologinių žinių lygį nauja technologija yra naudojama dideliu mastu, taip pat taikoma
          kitoms duomenų tvarkymo operacijoms, kurios kelia didelį pavojų duomenų subjektų
          teisėms ir laisvėms, visų pirma, kai duomenų subjektams dėl šių operacijų yra sunkiau
          naudotis savo teisėmis. Poveikio duomenų apsaugai vertinimas taip pat turėtų būti atliktas
          tais atvejais, kai asmens duomenys yra tvarkomi siekiant priimti sprendimus dėl konkrečių
          fizinių asmenų atlikus su fiziniais asmenimis susijusį sistemingą ir plataus masto
          asmeninių aspektų įvertinimą, remiantis tų duomenų profiliavimu, arba atlikus specialių
          kategorijų asmens duomenų, biometrinių duomenų ar duomenų apie apkaltinamuosius
          nuosprendžius ir nusikalstamas veikas ar susijusias saugumo priemones tvarkymą.
          Poveikio duomenų apsaugai vertinimo taip pat reikalaujama siekiant vykdyti viešų vietų
          stebėjimą dideliu mastu, ypač naudojant optinius elektroninius prietaisus, arba vykdant
          kitas operacijas, kurių atveju kompetentinga priežiūros institucija laikosi nuomonės, kad
          tvarkant duomenis gali kilti didelis pavojus duomenų subjektų teisėms ir laisvėms, visų
          pirma dėl to, kad jas vykdant duomenų subjektams užkertamas kelias naudotis savo
          teisėmis, paslaugomis arba sudaryti sutartis, arba dėl to, kad jos yra vykdomos sistemingai
          dideliu mastu. Asmens duomenų tvarkymas neturėtų būti laikomas didelio masto duomenų
          tvarkymu, jei tai yra atskirų gydytojų, kitų sveikatos priežiūros specialistų pacientų arba
          teisininko klientų asmens duomenų tvarkymas. Tokiais atvejais neturėtų būti privaloma
          atlikti poveikio duomenų apsaugai vertinimo;

5419/16                                                                    JV/rzi                       57
                                                 DGD 2                                             LT
 ---pagebreak--- (92)      tam tikromis aplinkybėmis gali būti protinga ir ekonomiška atlikti platesnio masto
          poveikio duomenų apsaugai vertinimą, o ne susieti jį su vienu konkrečiu projektu,
          pavyzdžiui, kai valdžios institucijos ar įstaigos siekia sukurti bendrą taikomąją programą ar
          duomenų tvarkymo platformą arba kai keli duomenų valdytojai ketina tam tikroje
          pramonės šakoje, jos sektoriuje arba plačiai paplitusioje horizontalioje veikloje pradėti
          taikyti bendrą taikomąją programą ar duomenų tvarkymo aplinką;

(93)      priimant valstybės narės įstatymą, kurio pagrindu valdžios institucija ar viešoji įstaiga
          vykdo savo užduotis ir kuriuo reglamentuojama atitinkama konkreti duomenų tvarkymo
          operacija ar jų seka, valstybės narės gali nuspręsti, kad prieš imantis duomenų tvarkymo
          veiklos būtina atlikti tokį vertinimą;

5419/16                                                                     JV/rzi                    58
                                                   DGD 2                                              LT
 ---pagebreak--- (94)      kai iš poveikio duomenų apsaugai vertinimo paaiškėja, kad, nesant apsaugos priemonių,
          saugumo priemonių ir mechanizmų, skirtų pavojui mažinti, dėl duomenų tvarkymo kiltų
          didelis pavojus fizinių asmenų teisėms ir laisvėms, ir duomenų valdytojas laikosi
          nuomonės, jog šis pavojus negali būti sumažintas pagrįstomis priemonėmis atsižvelgiant į
          turimas technologijas ir įgyvendinimo sąnaudas, prieš pradedant duomenų tvarkymo veiklą
          turėtų būti konsultuojamasi su priežiūros institucija. Toks didelis pavojus gali kilti vykdant
          tam tikros rūšies duomenų tvarkymo veiklą ir tam tikros apimties bei dažnumo duomenų
          tvarkymo veiklą, dėl kurios taip pat gali būti padaryta žala arba pakenkta fizinio asmens
          teisėms ir laisvėms. Priežiūros institucija į prašymą suteikti konsultaciją turėtų atsakyti per
          nustatytą laikotarpį. Tačiau tai, kad priežiūros institucija nesureagavo per tą laikotarpį,
          neturėtų turėti poveikio priežiūros institucijos intervenciniams veiksmams jai vykdant
          šiame reglamente nustatytas užduotis ir įgaliojimus, įskaitanti įgaliojimą uždrausti
          duomenų tvarkymo operacijas. Vykdant tą konsultavimosi procesą, priežiūros institucijai
          gali būti pateikti svarstomo duomenų tvarkymo atžvilgiu atlikto poveikio duomenų
          apsaugai vertinimo rezultatai, visų pirma priemonės, kuriomis numatoma sumažinti pavojų
          fizinių asmenų teisėms ir laisvėms;

(95)      duomenų tvarkytojas prireikus arba gavęs prašymą turėtų padėti duomenų valdytojui
          užtikrinti, kad būtų vykdomos prievolės, atsirandančios atliekant poveikio duomenų
          apsaugai vertinimus ir iš anksto konsultuojantis su priežiūros institucija;

5419/16                                                                      JV/rzi                     59
                                                  DGD 2                                             LT
 ---pagebreak--- (96)      konsultacijos su priežiūros institucija taip pat turėtų vykti rengiant teisėkūros arba
          reguliavimo priemones, kuriomis numatomas asmens duomenų tvarkymas, siekiant
          užtikrinti, kad numatytas duomenų tvarkymas atitiktų šį reglamentą, visų pirma būtų
          sumažintas duomenų subjektams kylantis pavojus;

(97)      kai duomenis tvarko valdžios institucija, išskyrus teismus ar nepriklausomas teismines
          institucijas, vykdančias savo teisminius įgaliojimus, kai privačiajame sektoriuje duomenis
          tvarko duomenų valdytojas, kurio pagrindinę veiklą sudaro duomenų tvarkymo operacijos,
          kurioms atlikti reikia reguliariai ir sistemingai stebėti duomenų subjektus dideliu mastu,
          arba kai duomenų valdytojo arba duomenų tvarkytojo pagrindinė veikla yra specialių
          kategorijų duomenų tvarkymas dideliu mastu ir duomenų apie apkaltinamuosius
          nuosprendžius ir nusikalstamas veikas tvarkymas, duomenų valdytojui ar duomenų
          tvarkytojui stebėti, kaip viduje laikomasi šio reglamento, turėtų padėti asmuo, turintis
          ekspertinių duomenų apsaugos teisės ir praktikos žinių. Privačiajame sektoriuje duomenų
          valdytojo pagrindinė veikla yra susijusi su jo svarbiausia veikla ir nesusijusi su asmens
          duomenų tvarkymu kaip papildoma veikla. Būtinas ekspertinių žinių lygis turėtų būti
          nustatomas visų pirma atsižvelgiant į atliekamas duomenų tvarkymo operacijas ir duomenų
          valdytojo arba duomenų tvarkytojo tvarkomų asmens duomenų reikiamą apsaugą. Tokie
          duomenų apsaugos pareigūnai, nepriklausomai nuo to, ar jie yra duomenų valdytojo
          darbuotojai, savo pareigas ir užduotis turėtų galėti atlikti nepriklausomai;

5419/16                                                                     JV/rzi                     60
                                                  DGD 2                                              LT
 ---pagebreak--- (98)      asociacijos ar kitos įstaigos, atstovaujančios įvairių kategorijų duomenų valdytojams arba
          duomenų tvarkytojams, turėtų būti skatinamos neviršijant šio reglamento nuostatų parengti
          elgesio kodeksus, kad palengvintų veiksmingą šio reglamento taikymą, atsižvelgiant į tam
          tikruose sektoriuose atliekamo duomenų tvarkymo ypatumus ir konkrečius labai mažų,
          mažųjų ir vidutinių įmonių poreikius. Tokiuose elgesio kodeksuose visų pirma galėtų būti
          nustatomos duomenų valdytojų ir duomenų tvarkytojų prievolės, atsižvelgiant į pavojų,
          kuris tvarkant duomenis gali kilti fizinių asmenų teisėms ir laisvėms;

(99)      rengdamos elgesio kodeksą arba jį iš dalies keisdamos ar išplėsdamos, asociacijos ir kitos
          įstaigos, atstovaujančios įvairių kategorijų duomenų valdytojams arba duomenų
          tvarkytojams, turėtų konsultuotis su atitinkamais suinteresuotaisiais subjektais, be kita ko,
          jei įmanoma – su duomenų subjektais, ir atsižvelgti į tokių konsultacijų metu gautus
          atsakymus ir pareikštas nuomones;

(100)     siekiant didesnio skaidrumo ir geresnio šio reglamento laikymosi, reikėtų skatinti nustatyti
          sertifikavimo mechanizmus ir duomenų apsaugos ženklus bei žymenis, kad duomenų
          subjektai galėtų greitai įvertinti konkretaus produkto ar paslaugos duomenų apsaugos lygį;

5419/16                                                                    JV/rzi                     61
                                                 DGD 2                                             LT
 ---pagebreak--- (101)     asmens duomenų judėjimas į Sąjungai nepriklausančias valstybes ir tarptautines
          organizacijas ir iš jų reikalingas tarptautinės prekybos plėtrai ir tarptautiniam
          bendradarbiavimui. Išaugus tokiam judėjimui, atsirado naujų asmens duomenų apsaugos
          sunkumų ir rūpesčių. Tačiau kai asmens duomenys iš Sąjungos perduodami duomenų
          valdytojams, duomenų tvarkytojams ar kitiems gavėjams trečiosiose valstybėse arba
          tarptautinėms organizacijoms, neturėtų sumažėti Sąjungoje šiuo reglamentu fiziniams
          asmenims garantuojamos apsaugos lygis, be kita ko, tais atvejais, kai asmens duomenys
          toliau perduodami iš tos trečiosios valstybės ar tarptautinės organizacijos duomenų
          valdytojams, duomenų tvarkytojams toje pačioje arba kitoje trečiojoje valstybėje ar kitai
          tarptautinei organizacijai. Bet kuriuo atveju duomenys į trečiąsias valstybes ir
          tarptautinėms organizacijoms gali būti perduodami tik visapusiškai laikantis šio
          reglamento. Duomenys galėtų būti perduodami tik tuo atveju, jei duomenų valdytojas arba
          duomenų tvarkytojas įvykdo šio reglamento nuostatose, susijusiose su asmens duomenų
          perdavimu trečiosioms šalims ar tarptautinėms organizacijoms, nustatytas sąlygas,
          atsižvelgiant į kitas šio reglamento nuostatas;

(102)     šiuo reglamentu nedaromas poveikis Sąjungos ir trečiųjų valstybių sudarytiems
          tarptautiniams susitarimams, kuriais reglamentuojamas asmens duomenų perdavimas,
          įskaitant tinkamas duomenų subjektų apsaugos priemones. Valstybės narės gali sudaryti
          tarptautinius susitarimus, apimančius asmens duomenų perdavimą į trečiąsias valstybes ar
          tarptautinėms organizacijoms, jeigu tokie susitarimai neturi poveikio šiam reglamentui
          arba kitoms Sąjungos teisės nuostatoms ir jais numatoma tinkamo lygio duomenų subjektų
          pagrindinių teisių apsauga;

5419/16                                                                      JV/rzi                   62
                                                  DGD 2                                          LT
 ---pagebreak--- (103)     Komisija gali nuspręsti, sprendimui galiojant visoje Sąjungoje, kad trečioji valstybė,
          teritorija arba nurodytas sektorius trečiojoje valstybėje, arba tarptautinė organizacija
          užtikrina tinkamą duomenų apsaugos lygį, ir taip garantuoti teisinį tikrumą ir vienodą
          teisės taikymą visoje Sąjungoje, kiek tai susiję su trečiąja valstybe ar tarptautine
          organizacija, kurios laikomos užtikrinančiomis tokį apsaugos lygį. Šiais atvejais asmens
          duomenys į tokią trečią valstybę gali būti perduodami be papildomo leidimo. Komisija,
          įspėjusi trečiąją valstybę ar tarptautinę organizaciją ir pateikusi jai išsamias priežastis, taip
          pat gali nuspręsti tokį sprendimą atšaukti;

5419/16                                                                       JV/rzi                     63
                                                  DGD 2                                               LT
 ---pagebreak--- (104)     atsižvelgdama į pagrindines vertybes, kuriomis grindžiama Sąjunga, visų pirma į žmogaus
          teisių apsaugą, Komisija, vertindama trečiąją šalį arba teritoriją, arba nurodytą sektorių
          trečiojoje šalyje, turėtų atsižvelgti į tai, kaip atitinkama trečioji šalis laikosi teisinės
          valstybės, teisės kreiptis į teismą principų, tarptautinių žmogaus teisių normų ir standartų,
          taip pat savo bendros ir sektorių teisės, įskaitant visuomenės saugumą, gynybą ir
          nacionalinį saugumą reglamentuojančius teisės aktus, ir viešosios tvarkos bei
          baudžiamosios teisės. Priimant teritorijai arba nurodytam sektoriui trečiojoje šalyje skirtą
          sprendimą dėl tinkamumo turėtų būti atsižvelgiama į aiškius ir objektyvius kriterijus,
          pavyzdžiui, konkrečią duomenų tvarkymo veiklą ir trečiojoje šalyje taikytinų teisinių
          standartų bei galiojančių teisės aktų taikymo sritį. Trečioji šalis turėtų suteikti garantijas,
          kuriomis būtų užtikrinama atitinkamo lygio apsauga, iš esmės lygiavertė Sąjungoje
          garantuojamai apsaugai, visų pirma tada, kai asmens duomenys tvarkomi viename ar
          keliuose nurodytuose sektoriuose. Visų pirma trečioji valstybė turėtų užtikrinti veiksmingą
          nepriklausomą duomenų apsaugos priežiūrą ir turėtų nustatyti bendradarbiavimo su
          valstybių narių duomenų apsaugos institucijomis mechanizmus, o duomenų subjektams
          turėtų būti užtikrintos veiksmingos bei įgyvendinamos teisės ir galimybė naudotis
          veiksmingomis administracinėmis ir teisminėmis teisių gynimo priemonėmis;

5419/16                                                                         JV/rzi                      64
                                                    DGD 2                                                LT
 ---pagebreak--- (105)     Komisija turėtų atsižvelgti ne tik į trečiosios valstybės arba tarptautinės organizacijos
          prisiimtus tarptautinius įsipareigojimus, bet ir į įsipareigojimus, kylančius dėl trečiosios
          valstybės arba tarptautinės organizacijos dalyvavimo daugiašalėse ar regioninėse
          sistemose, visų pirma susijusio su asmens duomenų apsauga, ir į tokių įsipareigojimų
          įgyvendinimą. Visų pirma reikėtų atsižvelgti į trečiosios valstybės prisijungimą prie
          1981 m. sausio 28 d. Europos Tarybos konvencijos dėl asmenų apsaugos ryšium su asmens
          duomenų automatizuotu tvarkymu ir jos papildomo protokolo. Vertindama apsaugos lygį
          trečiosiose valstybėse ar tarptautinėse organizacijose, Komisija turėtų konsultuotis su
          Valdyba;

5419/16                                                                     JV/rzi                       65
                                                  DGD 2                                               LT
 ---pagebreak--- (106)     Komisija turėtų stebėti, kaip vykdomi sprendimai dėl apsaugos lygio trečiojoje valstybėje
          ar teritorijoje arba nurodytame sektoriuje trečiojoje valstybėje, arba tarptautinėje
          organizacijoje, ir stebėti sprendimų, priimtų remiantis Direktyvos 95/46/EB 25 straipsnio
          6 dalimi arba 26 straipsnio 4 dalimi, vykdymą. Komisija sprendimuose dėl tinkamumo
          turėtų numatyti jų vykdymo periodinės peržiūros mechanizmą. Ta periodinė peržiūra turėtų
          būti atliekama konsultuojantis su atitinkama trečiąja valstybe ar tarptautine organizacija ir
          atsižvelgiant į visus atitinkamus pokyčius trečiojoje valstybėje ar tarptautinėje
          organizacijoje. Stebėsenos ir periodinių peržiūrų tikslais Komisija turėtų atsižvelgti į
          Europos Parlamento ir Tarybos, taip pat kitų svarbių įstaigų ir šaltinių nuomones ir
          išvadas. Komisija turėtų per pagrįstą laikotarpį įvertinti pastarųjų sprendimų vykdymą ir
          atitinkamas išvadas pateikti komitetui, kaip apibrėžta Europos Parlamento ir Tarybos
          reglamente (ES) Nr. 182/2011 1 ir kaip nustatyta šiuo reglamentu, Europos Parlamentui ir
          Tarybai;

1
        2011 m. vasario 16 d. Europos Parlamento ir Tarybos reglamentas (ES) Nr. 182/2011,
        kuriuo nustatomos valstybių narių vykdomos Komisijos naudojimosi įgyvendinimo
        įgaliojimais kontrolės mechanizmų taisyklės ir bendrieji principai (OL L 55, 2011 2 28,
        p. 13).

5419/16                                                                     JV/rzi                    66
                                                 DGD 2                                               LT
 ---pagebreak--- (107)     Komisija gali pripažinti, kad trečioji valstybė, teritorija arba nurodytas sektorius trečiojoje
          valstybėje, arba tarptautinė organizacija nebeužtikrina tinkamo lygio duomenų apsaugos.
          Todėl perduoti asmens duomenis tai trečiajai šaliai arba tarptautinei organizacijai turėtų
          būti draudžiama, išskyrus atvejus, kai įvykdomi šiame reglamente nustatyti reikalavimai,
          susiję su perdavimu taikant tinkamas apsaugos priemones, įskaitant įmonei privalomas
          taisykles ir nukrypti leidžiančias nuostatas konkrečiais atvejais. Tokiu atveju turėtų būti
          numatyta, kad Komisija konsultuojasi su tokiomis trečiosiomis valstybėmis arba
          tarptautinėmis organizacijomis. Komisija turėtų laiku informuoti trečiąją valstybę arba
          tarptautinę organizaciją apie priežastis ir pradėti su ja konsultacijas, kad ji galėtų ištaisyti
          padėtį;

5419/16                                                                       JV/rzi                     67
                                                   DGD 2                                               LT
 ---pagebreak--- (108)     jei sprendimas dėl tinkamumo nepriimtas, duomenų valdytojas arba duomenų tvarkytojas
          turėtų duomenų subjektams numatyti tinkamas apsaugos priemones nepakankamai
          duomenų apsaugai trečiojoje valstybėje kompensuoti. Tokios tinkamos apsaugos
          priemonės galėtų būti rėmimasis įmonei privalomomis taisyklėmis, Komisijos priimtomis
          standartinėmis duomenų apsaugos sąlygomis, priežiūros institucijos priimtomis
          standartinėmis duomenų apsaugos sąlygomis arba priežiūros institucijos pripažintomis
          sutarties sąlygomis. Tomis apsaugos priemonėmis turėtų būti užtikrinama, kad būtų
          laikomasi duomenų apsaugos reikalavimų, ir užtikrinamos tvarkant duomenis Sąjungoje
          tinkamos duomenų subjektų teisės, įskaitant galimybes naudotis vykdytinomis duomenų
          subjekto teisėmis ir veiksmingomis teisių gynimo priemonėmis, be kita ko, naudotis
          veiksmingomis administracinėmis ar teisminėmis teisių gynimo priemonėmis ir reikalauti
          kompensacijos Sąjungoje ar trečiojoje valstybėje. Jos turėtų būti susijusios visų pirma su
          bendrųjų asmens duomenų tvarkymo principų, pritaikytosios ir standartizuotosios
          duomenų apsaugos principų laikymųsi. Valdžios institucijos ar įstaigos taip pat gali
          perduoti duomenis valdžios institucijoms ar įstaigoms trečiosiose valstybėse arba
          tarptautinėms organizacijoms, turinčioms atitinkamas pareigas ar atliekančioms
          atitinkamas funkcijas, be kita ko, remdamosi nuostatomis, kurios turi būti įtrauktos į
          administracinius susitarimus, pavyzdžiui, susitarimo memorandumą, kuriais numatomos
          vykdytinos ir veiksmingos duomenų subjektų teisės. Kai apsaugos priemonės yra
          nustatytos teisiškai neprivalomuose administraciniuose susitarimuose, turėtų būti gautas
          kompetentingos priežiūros institucijos leidimas;

5419/16                                                                    JV/rzi                      68
                                                DGD 2                                              LT
 ---pagebreak--- (109)     galimybė duomenų valdytojui arba duomenų tvarkytojui remtis Komisijos ar priežiūros
          institucijos priimtomis standartinėmis duomenų apsaugos sąlygomis neturėtų užkirsti kelio
          duomenų valdytojams arba duomenų tvarkytojams standartines duomenų apsaugos sąlygas
          įtraukti į platesnes sutartis, tokias kaip duomenų tvarkytojo sutartis su kitais duomenų
          tvarkytojais, ar jas papildyti kitomis sąlygomis ar papildomomis apsaugos sąlygomis, jei
          jos tiesiogiai ar netiesiogiai neprieštarauja Komisijos ar priežiūros institucijos priimtoms
          standartinėms sutarčių sąlygoms ar nedaro poveikio duomenų subjektų pagrindinėms
          teisėms ir laisvėms. Duomenų valdytojai ir duomenų tvarkytojai turėtų būti skatinami
          taikyti dar griežtesnes apsaugos priemones numatant sutartinius įsipareigojimus,
          papildančius standartines duomenų apsaugos sąlygas;

(110)     įmonių grupė arba bendrą ekonominę veiklą vykdanti įmonių grupė turėtų galėti remtis
          patvirtintomis įmonėms privalomomis taisyklėmis, taikomomis tarptautiniam duomenų
          perdavimui iš Sąjungos organizacijoms toje pačioje įmonių grupėje arba bendrą ekonominę
          veiklą vykdančioje įmonių grupėje, jei tokiose įmonių taisyklėse įtvirtinti visi svarbiausi
          principai ir vykdytinos teisės, kuriais užtikrinamos tinkamos asmens duomenų perdavimo
          ar atskirų kategorijų duomenų perdavimo apsaugos priemonės;

5419/16                                                                     JV/rzi                       69
                                                 DGD 2                                               LT
 ---pagebreak--- (111)     turėtų būti numatyta galimybė duomenis perduoti tam tikromis aplinkybėmis, kai duomenų
          subjektas yra davęs aiškų sutikimą, kai duomenų perdavimas atliekamas nereguliariai ir yra
          būtinas dėl sutarties ar ieškinio, nepaisant to, ar jis pareikštas teisminėje ar
          administracinėje, ar bet kokioje kitoje neteisminėje procedūroje, įskaitant procedūras
          reguliavimo organuose. Taip pat turėtų būti numatyta galimybė perduoti duomenis, kai tai
          reikalinga dėl svarbių Sąjungos ar valstybės narės teisėje įtvirtintų viešojo intereso
          priežasčių, arba kai duomenys perduodami iš teisės aktu įsteigto registro, kuris skirtas
          naudoti visuomenei ar teisėtų interesų turintiems asmenims. Šiuo pastaruoju atveju
          neturėtų būti perduodama registre sukauptų asmens duomenų visuma arba ištisos jų
          kategorijos, o jeigu registras skirtas naudoti teisėtų interesų turintiems asmenims,
          duomenys turėtų būti perduodami tiktai tų asmenų prašymu arba jei jie yra duomenų
          gavėjai, visapusiškai atsižvelgiant į duomenų subjekto interesus ir pagrindines teises;

5419/16                                                                       JV/rzi                 70
                                                  DGD 2                                              LT
 ---pagebreak--- (112)     šios nukrypti leidžiančios nuostatos pirmiausia turėtų būti taikomos tais atvejais, kai
          duomenis reikalaujama ir būtina perduoti siekiant dėl svarbių viešojo intereso priežasčių,
          pavyzdžiui, tarptautinio keitimosi duomenimis tarp konkurencijos institucijų, mokesčių
          arba muitų administracijų, tarp finansų priežiūros institucijų, tarp kompetentingų socialinės
          apsaugos ar visuomenės sveikatos tarnybų atvejais, pavyzdžiui, kontakto atveju siekiant
          atsekti užkrečiamas ligas arba siekiant sumažinti ir (arba) panaikinti dopingą sporte.
          Asmens duomenų perdavimas taip pat turėtų būti laikomas teisėtu, kai duomenis perduoti
          būtina norint apsaugoti gyvybinius duomenų subjekto ar kito asmens interesus, įskaitant
          fizinę neliečiamybę arba gyvybę, jei duomenų subjektas negali duoti sutikimo. Jei
          sprendimas dėl tinkamumo nepriimtas, Sąjungos arba valstybės narės teisėje dėl svarbių
          viešojo intereso priežasčių gali būti aiškiai nustatytos konkrečių kategorijų duomenų
          perdavimo į trečiąją valstybę ar tarptautinei organizacijai ribos. Valstybės narės apie tokias
          nuostatas turėtų pranešti Komisijai. Duomenų subjekto, kuris dėl fizinių ar teisinių
          priežasčių negali duoti sutikimo, asmens duomenų perdavimas tarptautinei humanitarinei
          organizacijai, kad būtų vykdoma pagal Ženevos konvencijas privaloma atlikti užduotis
          arba taikoma tarptautinė humanitarinė teisė, taikoma ginkluotų konfliktų metu, galėtų būti
          laikomas būtinu dėl svarbios viešojo intereso priežasties arba gyvybiškai svarbiu duomenų
          subjektui;

5419/16                                                                    JV/rzi                    71
                                                 DGD 2                                              LT
 ---pagebreak--- (113)     duomenų perdavimas, kurį galima laikyti nepasikartojančiu ir kuris yra susijęs tik su tam
          tikru duomenų subjektų skaičiumi, taip pat galėtų būti galimas, kai duomenų valdytojas
          vadovaujasi įtikinamais teisėtais interesais, jeigu tų interesų neviršija duomenų subjekto
          interesai ar teisės ir laisvės ir jeigu duomenų valdytojas įvertino visas su duomenų
          perdavimu susijusias aplinkybes. Duomenų valdytojas turėtų atsižvelgti visų pirma į
          asmens duomenų pobūdį, siūlomos duomenų tvarkymo operacijos ar operacijų tikslą ir
          trukmę, taip pat padėtį kilmės šalyje, trečiojoje valstybėje ir galutinės paskirties šalyje ir
          turėtų būti nustatytos su asmens duomenų tvarkymu susijusios tinkamos fizinių asmenų
          pagrindinių teisių ir laisvių apsaugos priemonės. Toks duomenų perdavimas turėtų būti
          galimas tik likusiais atvejais, kai nėra taikytinos jokios kitos duomenų perdavimo
          priežastys. Tai darant mokslinių ar istorinių tyrimų tikslais arba statistiniais tikslais turėtų
          būti atsižvelgiama į teisėtus visuomenės lūkesčius, susijusius su žinių bazės didinimu.
          Duomenų valdytojas apie duomenų perdavimą turėtų informuoti priežiūros instituciją ir
          duomenų subjektą;

(114)     bet kuriuo atveju, kai Komisija nėra priėmusi sprendimo dėl tinkamo duomenų apsaugos
          lygio trečiojoje valstybėje, duomenų valdytojas arba duomenų tvarkytojas turėtų rinktis
          tokias galimybes, kuriomis duomenų subjektams užtikrinamos vykdytinos ir veiksmingos
          teisės jų duomenų tvarkymo Sąjungoje atžvilgiu, kai tie duomenys yra perduoti, kad jie ir
          toliau galėtų naudotis pagrindinėmis teisėmis ir apsaugos priemonėmis;

5419/16                                                                       JV/rzi                       72
                                                  DGD 2                                               LT
 ---pagebreak--- (115)     kai kurios trečiosios valstybės yra priėmusios įstatymus ir kitus teisės aktus, kuriais
          siekiama tiesiogiai reguliuoti valstybių narių jurisdikcijai priklausančią fizinių ir juridinių
          asmenų duomenų tvarkymo veiklą. Tai gali apimti teismų sprendimus arba administracinės
          valdžios institucijų trečiosiose valstybėse sprendimus, kuriais reikalaujama, kad duomenų
          valdytojas arba duomenų tvarkytojas perduotų ar atskleistų asmens duomenis, ir kurie nėra
          pagrįsti prašymą pateikusios trečiosios valstybės ir Sąjungos arba valstybės narės
          galiojančiu tarptautiniu susitarimu, kaip antai savitarpio teisinės pagalbos sutartis.
          Eksteritorialiu šių įstatymų ir kitų teisės aktų taikymu gali būti pažeista tarptautinė teisė ir
          trukdoma užtikrinti šiuo reglamentu Sąjungoje garantuojamą asmenų apsaugą. Perduoti
          duomenis turėtų būti leidžiama tik jeigu įvykdytos duomenų perdavimui į trečiąsias
          valstybes taikomos šiame reglamente nustatytos sąlygos. Taip inter alia gali būti, jeigu
          atskleisti duomenis būtina dėl svarbios Sąjungos ar valstybės narės teisėje, taikytinoje
          duomenų valdytojui, pripažintos viešojo intereso priežasties;

5419/16                                                                       JV/rzi                     73
                                                  DGD 2                                               LT
 ---pagebreak--- (116)     kai asmens duomenys perduodami iš vienos valstybės į kitą už Sąjungos ribų, asmenims
          gali būti daug sunkiau pasinaudoti teisėmis į duomenų apsaugą, visų pirma apsisaugoti nuo
          neteisėto tų duomenų naudojimo arba atskleidimo. Be to, priežiūros institucijos gali
          nesugebėti nagrinėti skundų ar vykdyti tyrimų, susijusių su veikla už jų valstybės sienų. Jų
          pastangoms bendradarbiauti tarpvalstybiniu mastu taip pat gali kliudyti nepakankami
          įgaliojimai imtis prevencinių ar taisomųjų veiksmų, nenuoseklus teisinis reglamentavimas
          ir praktinės kliūtys, pavyzdžiui, riboti ištekliai. Todėl reikia skatinti glaudesnį duomenų
          apsaugos priežiūros institucijų bendradarbiavimą siekiant padėti joms keistis informacija
          su užsienio kolegomis ir kartu su jais atlikti tyrimus. Siekiant sukurti tarptautinius
          bendradarbiavimo mechanizmus, kuriais būtų palengvinama ir teikiama tarptautinė
          savitarpio pagalba asmens duomenų apsaugai skirtų teisės aktų įgyvendinimo užtikrinimo
          srityje, Komisija ir priežiūros institucijos turėtų keistis informacija ir bendradarbiauti su
          kompetentingomis valdžios institucijomis trečiosiose valstybėse vykdant su jų įgaliojimų
          įgyvendinimu susijusią veiklą, remiantis abipusiškumo principu ir laikantis šio reglamento;

(117)     priežiūros institucijų, įgaliotų visiškai nepriklausomai atlikti savo užduotis ir vykdyti savo
          įgaliojimus, įsteigimas valstybėse narėse yra viena iš esminių fizinių asmenų apsaugos
          tvarkant jų asmens duomenis dalių. Valstybės narės turėtų galėti įsteigti daugiau nei vieną
          priežiūros instituciją atsižvelgdamos į savo konstitucinę, organizacinę ir administracinę
          sandarą;

5419/16                                                                      JV/rzi                       74
                                                  DGD 2                                              LT
 ---pagebreak--- (118)     priežiūros institucijų nepriklausomumas neturėtų reikšti, kad toms priežiūros institucijoms
          negali būti taikomi jų finansinių išlaidų kontrolės ar stebėsenos mechanizmai arba
          vykdoma teisminė peržiūra;

(119)     jeigu valstybė narė įsteigia kelias priežiūros institucijas, ji teisės priemonėmis turėtų
          nustatyti tvarką, kuria būtų užtikrintas veiksmingas tų priežiūros institucijų dalyvavimas
          nuoseklumo užtikrinimo mechanizme. Ta valstybė narė turėtų visų pirma paskirti
          priežiūros instituciją, kuri vykdytų vieno bendro informacinio punkto funkciją, kad tos
          institucijos veiksmingai dalyvautų mechanizme, siekiant užtikrinti greitą ir sklandų
          bendradarbiavimą su kitomis priežiūros institucijomis, Valdyba ir Komisija;

(120)     kiekvienai priežiūros institucijai turėtų būti suteikta finansinių ir žmogiškųjų išteklių,
          patalpos ir infrastruktūra, kurie joms yra reikalingi siekiant veiksmingai vykdyti jų
          užduotis, įskaitant su savitarpio pagalba ir bendradarbiavimu su kitomis priežiūros
          institucijomis visoje Sąjungoje susijusias užduotis. Kiekviena priežiūros institucija turėtų
          turėti atskirą metinį viešą biudžetą, kuris gali būti viso valstybės ar nacionalinio biudžeto
          dalis;

5419/16                                                                      JV/rzi                    75
                                                  DGD 2                                                LT
 ---pagebreak--- (121)     kiekvienoje valstybėje narėje teisės aktais turėtų būti nustatyti bendrieji reikalavimai
          priežiūros institucijos nariui arba nariams ir visų pirma turėtų būti numatyta, kad tie nariai
          būtų skiriami, taikant skaidrią procedūrą, valstybės narės parlamento, vyriausybės arba
          valstybės vadovo, remiantis vyriausybės arba vyriausybės nario, parlamento, parlamento
          rūmų pasiūlymu, arba nepriklausoma įstaiga, paskirta pagal valstybės narės teisę Siekiant
          užtikrinti priežiūros institucijos nepriklausomumą, narys arba nariai turėtų veikti
          sąžiningai, nesiimti jokių su jų pareigomis nesuderinamų veiksmų ir kadencijos metu
          neturėtų dirbti jokio nesuderinamo – mokamo ar nemokamo – darbo. Priežiūros institucija
          turėtų turėti savo darbuotojus, kuriuos parinktų priežiūros institucija arba pagal valstybės
          narės teisę įsteigta nepriklausoma įstaiga, ir kurie turėtų vadovautis tik priežiūros
          institucijos nario ar narių nurodymais;

(122)     kiekviena priežiūros institucija savo valstybės narės teritorijoje turėtų turėti kompetenciją
          naudotis pagal šį reglamentą jai suteiktais įgaliojimais ir vykdyti pagal šį reglamentą jai
          pavestas užduotis. Visų pirma tai turėtų apimti duomenų tvarkymą, kai duomenų valdytojo
          arba duomenų tvarkytojo buveinė vykdo veiklą jo valstybės narės teritorijoje, asmens
          duomenų tvarkymą, kurį atlieka viešajam interesui atstovaujančios valdžios institucijos
          arba privačios įstaigos, duomenų tvarkymą, darantį poveikį duomenų subjektams jos
          teritorijoje, arba duomenų tvarkymą, kurį atlieka Sąjungoje neįsisteigęs duomenų
          valdytojas ar duomenų tvarkytojas, kai imasi veiksmų jos teritorijoje gyvenančių duomenų
          subjektų atžvilgiu. Taip turėtų būti nagrinėjami duomenų subjekto pateikti skundai,
          atliekami tyrimai dėl šio reglamento taikymo, ir skatinamas visuomenės informuotumas
          apie su asmens duomenų tvarkymu susijusius pavojus, taisykles, apsaugos priemones ir
          teises;

5419/16                                                                     JV/rzi                      76
                                                 DGD 2                                               LT
 ---pagebreak--- (123)     priežiūros institucijos turėtų stebėti, kaip taikomos nuostatos pagal šį reglamentą, ir padėti
          jas nuosekliai taikyti visoje Sąjungoje, kad būtų apsaugoti fiziniai asmenys tvarkant jų
          asmens duomenis ir sudarytos palankesnės sąlygos laisvam asmens duomenų judėjimui
          vidaus rinkoje. Šiuo tikslu priežiūros institucijos turėtų bendradarbiauti tarpusavyje ir su
          Komisija, nereikalaujant, kad valstybės narės sudarytų susitarimą dėl savitarpio pagalbos
          teikimo arba dėl tokio bendradarbiavimo;

5419/16                                                                     JV/rzi                       77
                                                 DGD 2                                               LT
 ---pagebreak--- (124)     jeigu asmens duomenys yra tvarkomi, kai duomenų valdytojo arba duomenų tvarkytojo
          buveinė vykdo veiklą Sąjungoje ir duomenų valdytojas ar duomenų tvarkytojas yra
          įsisteigęs daugiau nei vienoje valstybėje narėje, arba jeigu duomenų tvarkymas duomenų
          valdytojo arba duomenų tvarkytojo vienintelei buveinei vykdant veiklą Sąjungoje daro
          didelį poveikį arba gali padaryti didelį poveikį duomenų subjektams daugiau nei vienoje
          valstybėje narėje, duomenų valdytojo ar duomenų tvarkytojo pagrindinės buveinės arba
          duomenų valdytojo ar duomenų tvarkytojo vienintelės buveinės priežiūros institucija turėtų
          veikti kaip vadovaujanti institucija. Ji turėtų bendradarbiauti su kitomis susijusiomis
          institucijomis dėl to, kad jų valstybės narės teritorijoje yra duomenų valdytojo ar duomenų
          tvarkytojo buveinė, kad jų teritorijoje gyvenantiems duomenų subjektams daromas didelis
          poveikis arba kad joms buvo pateiktas skundas. Be to, jeigu skundą pateikė duomenų
          subjektas, kuris negyvena toje valstybėje narėje, priežiūros institucija, kuriai buvo
          pateiktas toks skundas, taip pat turėtų būti susijusi priežiūros institucija. Vykdydama savo
          užduotį skelbti gaires bet kuriuo klausimu, susijusiu su šio reglamento taikymu, Valdyba
          turėtų galėti paskelbti gaires visų pirma dėl kriterijų, į kuriuos turi būti atsižvelgta siekiant
          įsitikinti, ar atitinkamas duomenų tvarkymas daro didelį poveikį duomenų subjektams
          daugiau nei vienoje valstybėje narėje, ir dėl to, kas laikoma tinkamu ir pagrįstu
          prieštaravimu;

5419/16                                                                       JV/rzi                     78
                                                  DGD 2                                                LT
 ---pagebreak--- (125)     vadovaujanti institucija turėtų būti kompetentinga priimti privalomus sprendimus dėl
          priemonių, taikydama pagal šį reglamentą jai suteiktus įgaliojimus. Vykdydama
          vadovaujančios institucijos funkcijas, priežiūros institucija turėtų į sprendimo priėmimo
          procesą aktyviai įtraukti susijusias priežiūros institucijas ir koordinuoti jų veiklą. Kai
          nusprendžiama visiškai arba iš dalies atmesti duomenų subjekto skundą, tą sprendimą
          turėtų priimti ta priežiūros institucija, kuriai skundas buvo pateiktas;

(126)     dėl sprendimo turėtų kartu susitarti vadovaujanti priežiūros institucija ir susijusios
          priežiūros institucijos; jis turėtų būti taikomas duomenų valdytojo arba duomenų
          tvarkytojo pagrindinei arba vienintelei buveinei ir būti privalomas duomenų valdytojui ir
          duomenų tvarkytojui. Duomenų valdytojas arba duomenų tvarkytojas turėtų imtis būtinų
          priemonių siekdami užtikrinti, kad būtų laikomasi šio reglamento ir būtų įgyvendintas
          sprendimas dėl duomenų tvarkymo veiklos Sąjungoje, kurį vadovaujanti priežiūros
          institucija pranešė duomenų valdytojo arba duomenų tvarkytojo pagrindinei buveinei;

5419/16                                                                      JV/rzi                    79
                                                  DGD 2                                                LT
 ---pagebreak--- (127)     kiekviena priežiūros institucija, kuri veikia ne kaip vadovaujanti priežiūros institucija,
          turėtų būti kompetentinga nagrinėti atvejus vietoje, kai duomenų valdytojas arba duomenų
          tvarkytojas yra įsisteigęs daugiau kaip vienoje valstybėje narėje, tačiau konkretaus
          duomenų tvarkymo atvejo dalykas yra susijęs su tik su vienoje valstybėje narėje atliekamu
          asmens duomenų tvarkymu ir su duomenų subjektais tik toje vienoje valstybėje narėje,
          pavyzdžiui, kai dalykas yra susijęs su darbuotojų duomenų tvarkymu konkrečiame su
          darbo santykiais susijusiame kontekste valstybėje narėje. Tokiais atvejais priežiūros
          institucija turėtų nedelsdama apie šį dalyką informuoti vadovaujančią priežiūros instituciją.
          Gavusi šią informaciją, vadovaujanti priežiūros institucija turėtų nuspręsti, ar atvejį ji
          nagrinės pagal nuostatą dėl vadovaujančios priežiūros institucijos bendradarbiavimo su
          kitomis susijusiomis priežiūros institucijomis, (vieno langelio mechanizmas) ar ją
          informavusi priežiūros institucija turėtų tą atvejį nagrinėti vietos lygiu. Priimdama
          sprendimą, ar ji nagrinės atvejį, vadovaujanti priežiūros institucija turėtų atsižvelgti į tai, ar
          ją informavusios priežiūros institucijos valstybėje narėje yra duomenų valdytojo arba
          duomenų tvarkytojo buveinė, siekiant užtikrinti veiksmingą sprendimo vykdymą duomenų
          valdytojo arba duomenų tvarkytojo atžvilgiu. Tai atvejais, kai vadovaujanti priežiūros
          institucija nusprendžia atvejį nagrinėti, ją informavusi priežiūros institucija turėtų turėti
          galimybę pateikti sprendimo projektą, į kurį vadovaujanti priežiūros institucija turėtų kuo
          labiau atsižvelgti rengdama savo sprendimo projektą pagal tą vieno langelio mechanizmą;

5419/16                                                                       JV/rzi                      80
                                                  DGD 2                                                LT
 ---pagebreak--- (128)     taisyklės dėl vadovaujančios priežiūros institucijos ir vieno langelio mechanizmo neturėtų
          būti taikomos, jeigu duomenis tvarko viešajam interesui atstovaujančios valdžios
          institucijos arba privačios įstaigos. Tokiais atvejais vienintelė priežiūros institucija,
          kompetentinga naudotis jai pagal šį reglamentą suteiktais įgaliojimais, turėtų būti valstybės
          narės, kurioje yra įsisteigusi ta valdžios institucija arba privati įstaiga, priežiūros
          institucija;

5419/16                                                                       JV/rzi                  81
                                                   DGD 2                                              LT
 ---pagebreak--- (129)     siekiant užtikrinti nuoseklią šio reglamento taikymo stebėseną ir jo vykdymą visoje
          Sąjungoje, priežiūros institucijos kiekvienoje valstybėje narėje turėtų vykdyti tas pačias
          užduotis ir naudotis tais pačiais veiksmingais įgaliojimais, įskaitant tyrimo įgaliojimus,
          įgaliojimus imtis taisomųjų veiksmų ir skirti sankcijas, taip pat leidimų išdavimo ir
          patariamuosius įgaliojimus, visų pirma tais atvejais, kai gaunami skundai iš fizinių asmenų,
          ir, nedarant poveikio baudžiamojo persekiojimo institucijų įgaliojimams pagal valstybės
          narės teisę, atkreipti teisminių institucijų dėmesį į šio reglamento pažeidimus ir (arba) būti
          teismo proceso šalimi. Tokie įgaliojimai turėtų apimti ir įgaliojimą nustatyti laikiną arba
          galutinį duomenų tvarkymo apribojimą, įskaitant jo draudimą. Valstybės narės gali
          nustatyti kitas užduotis, susijusias su asmens duomenų apsauga pagal šį reglamentą.
          Priežiūros institucijų įgaliojimais turėtų būti naudojamasi laikantis atitinkamų procedūrinių
          apsaugos priemonių, nustatytų Sąjungos ir valstybės narės teisėje, nešališkai, sąžiningai ir
          per pagrįstą laikotarpį. Visų pirma kiekviena priemonė turėtų būti tinkama, būtina ir
          proporcinga siekiant užtikrinti šio reglamento laikymąsi, atsižvelgiant į kiekvieno
          konkretaus atvejo aplinkybes, ja turėtų būti gerbiama kiekvieno asmens teisė būti
          išklausytam prieš imantis konkrečios priemonės, kuri jam padarytų neigiamą poveikį, ir
          taikoma taip, kad atitinkami asmenys nepatirtų bereikalingų išlaidų ir pernelyg didelių
          nepatogumų. Tyrimo įgaliojimais, susijusiais su leidimu patekti į patalpas, turėtų būti
          naudojamasi laikantis valstybės narės proceso teisėje nustatytų konkrečių reikalavimų,
          pavyzdžiui, reikalavimo iš anksto gauti teismo leidimą. Kiekviena teisiškai privaloma
          priežiūros institucijos priemonė turėtų būti parengta raštu, būti aiški ir nedviprasmiška, joje
          turėtų būti nurodyta priemonę paskelbusi priežiūros institucija, priemonės paskelbimo data,
          ją turėtų būti pasirašęs priežiūros institucijos vadovas arba jo įgaliotas priežiūros
          institucijos narys, turėtų būti išdėstytos priemonės priežastys ir nurodyta teisė į veiksmingą
          teisių gynimo priemonę. Tai neturėtų kliudyti taikyti papildomų reikalavimų pagal
          valstybės narės proceso teisę. Tai, kad priimamas teisiškai privalomas sprendimas, reiškia,
          kad juo remiantis gali būti vykdoma teisminė peržiūra sprendimą priėmusios priežiūros
          institucijos valstybėje narėje;

5419/16                                                                      JV/rzi                     82
                                                  DGD 2                                             LT
 ---pagebreak--- (130)     jeigu priežiūros institucija, kuriai pateiktas skundas, nėra vadovaujanti priežiūros
          institucija, vadovaujanti priežiūros institucija turėtų glaudžiai bendradarbiauti su ta
          priežiūros institucija, kuriai buvo pateiktas skundas, laikantis šiame reglamente išdėstytų
          nuostatų dėl bendradarbiavimo ir nuoseklumo. Tokiais atvejais vadovaujanti priežiūros
          institucija, imdamasi priemonių, galinčių turėti teisinių padarinių, be kita ko, nustatydama
          administracines baudas, turėtų kuo labiau atsižvelgti į priežiūros institucijos, kuriai buvo
          pateiktas skundas ir kuri turėtų išlikti kompetentinga atlikti tyrimus jos valstybės narės
          teritorijoje bendradarbiaujant su vadovaujančia priežiūros institucija, nuomonę;

(131)     kai kita priežiūros institucija turėtų veikti kaip duomenų valdytojo arba duomenų
          tvarkytojo vykdomos duomenų tvarkymo veiklos vadovaujanti priežiūros institucija, tačiau
          konkretus skundo dalykas arba galimas pažeidimas yra susijęs tik su duomenų valdytojo
          arba duomenų tvarkytojo vykdoma duomenų tvarkymo veikla toje valstybėje narėje,
          kurioje buvo pateiktas skundas arba nustatytas galimas pažeidimas, ir tas dalykas nedaro
          arba negalėtų daryti didelio poveikio duomenų subjektams kitose valstybėse narėse,
          priežiūros institucija, kuri gauna skundą dėl situacijų, kurių atveju galbūt yra pažeistas šis
          reglamentas, arba nustato tokias situacijas, arba yra kitu būdu apie jas informuojama,
          turėtų siekti draugiško susitarimo su duomenų valdytoju, o jeigu tai nepavyktų –
          pasinaudoti visais savo įgaliojimais. Tai turėtų apimti: konkretų duomenų tvarkymą,
          atliekamą priežiūros institucijos valstybės narės teritorijoje arba tos valstybės narės
          teritorijoje esančių duomenų subjektų atžvilgiu; duomenų tvarkymą, kuris atliekamas, kai
          siūlomos prekės ar paslaugos, konkrečiai skirtos duomenų subjektams priežiūros
          institucijos valstybės narės teritorijoje; ar duomenų tvarkymą, kuris turi būti įvertintas
          atsižvelgiant į susijusias teisines prievoles pagal valstybės narės teisę;

5419/16                                                                      JV/rzi                      83
                                                  DGD 2                                                LT
 ---pagebreak--- (132)     priežiūros institucijų vykdoma visuomenės informuotumo didinimo veikla turėtų apimti
          konkrečias priemones, taikomas duomenų valdytojams ir duomenų tvarkytojams, įskaitant
          labai mažas, mažąsias ir vidutines įmones, ir fiziniams asmenims, ypač švietimo kontekste;

(133)     priežiūros institucijos turėtų viena kitai padėti vykdyti savo užduotis ir teikti savitarpio
          pagalbą, siekiant užtikrinti, kad šis reglamentas būtų nuosekliai taikomas ir vykdomas
          vidaus rinkoje. Savitarpio pagalbos prašymą pateikusi priežiūros institucija gali patvirtinti
          laikinąją priemonę, jei ji negauna jokio atsakymo dėl savitarpio pagalbos prašymo per
          vieną mėnesį nuo to kitos priežiūros institucijos prašymo gavimo dienos;

(134)     kiekviena priežiūros institucija atitinkamais atvejais turėtų dalyvauti bendrose operacijose
          su kitomis priežiūros institucijomis. Prašymą gavusi priežiūros institucija turėtų būti
          įpareigota į prašymą atsakyti per nustatytą terminą;

(135)     siekiant užtikrinti, kad šis reglamentas būtų nuosekliai taikomas visoje Sąjungoje, turėtų
          būti sukurtas nuoseklumo užtikrinimo mechanizmas, pagal kurį priežiūros institucijos
          bendradarbiautų tarpusavyje. Tas mechanizmas visų pirma turėtų būti taikomas, kai
          priežiūros institucija siekia patvirtinti priemonę, galinčią turėti teisinių padarinių, susijusią
          su duomenų tvarkymo operacijomis, kuriomis daromas didelis poveikis daugeliui duomenų
          subjektų keliose valstybėse narėse. Be to, jis turėtų būti taikomas, kai kuri nors atitinkama
          priežiūros institucija arba Komisija prašo, kad toks klausimas būtų nagrinėjamas pagal
          nuoseklumo užtikrinimo mechanizmą. Tas mechanizmas neturėtų daryti poveikio
          priemonėms, kurių Komisija gali imtis naudodamasi savo įgaliojimais pagal Sutartis;

5419/16                                                                       JV/rzi                     84
                                                  DGD 2                                               LT
 ---pagebreak--- (136)     taikydama nuoseklumo užtikrinimo mechanizmą, Valdyba turėtų per nustatytą terminą
          pateikti nuomonę, jeigu taip nusprendžia jos narių dauguma arba to prašo bet kuri susijusi
          priežiūros institucija arba Komisija. Be to, Valdybai turėtų būti suteikti įgaliojimai priimti
          teisiškai privalomus sprendimus, jeigu tarp priežiūros institucijų kyla ginčų. Šiais tikslais ji
          turėtų iš esmės dviejų trečdalių jos narių dauguma priimti teisiškai privalomus sprendimus
          aiškiai apibrėžtais atvejais, kai priežiūros institucijų nuomonės dėl tam tikro atvejo esmės
          yra prieštaringos, visų pirma, kai taikomas vadovaujančios priežiūros institucijos ir
          susijusių priežiūros institucijų bendradarbiavimo mechanizmas, visų pirma sprendžiant
          klausimą, ar buvo pažeistas šis reglamentas;

(137)     gali kilti būtinybė veikti skubiai, kad būtų apsaugotos duomenų subjektų teisės ir laisvės,
          ypač kai kyla pavojus, kad galėtų būti labai apsunkintos duomenų subjekto galimybės
          naudotis savo teise. Todėl priežiūros institucija savo teritorijoje turėtų galėti priimti
          deramai pagrįstas laikinąsias priemones, galiojančias konkretų laikotarpį, kuris neturėtų
          viršyti trijų mėnesių;

(138)     tais atvejais, kai tokio mechanizmo taikymas yra privalomas, priežiūros institucijos
          priemonė, galinti turėti teisinių padarinių, laikoma teisėta tik tuo atveju, jeigu buvo taikytas
          šis mechanizmas. Kitais tarpvalstybinės svarbos atvejais turėtų būti taikomas
          vadovaujančios priežiūros institucijos ir susijusių priežiūros institucijų bendradarbiavimo
          mechanizmas, o susijusios priežiūros institucijos gali teikti savitarpio pagalbą ir vykdyti
          bendras operacijas dvišaliu arba daugiašaliu pagrindu, nesinaudodamos nuoseklumo
          užtikrinimo mechanizmu;

5419/16                                                                      JV/rzi                     85
                                                  DGD 2                                               LT
 ---pagebreak--- (139)     kad būtų skatinama nuosekliai taikyti šį reglamentą, Valdyba turėtų būti įsteigta kaip
          nepriklausoma Sąjungos įstaiga. Kad Valdyba galėtų įgyvendinti savo tikslus, ji turėtų
          turėti juridinio asmens statusą. Valdybai turėtų atstovauti jos pirmininkas. Ji turėtų pakeisti
          Direktyva 95/46/EB įsteigtą Darbo grupę asmenų apsaugai tvarkant asmens duomenis. Ją
          turėtų sudaryti visų valstybių narių priežiūros institucijų vadovai ir Europos duomenų
          apsaugos priežiūros pareigūnas arba atitinkami jų atstovai. Komisija turėtų dalyvauti
          Valdybos veikloje be balsavimo teisių, o Europos duomenų apsaugos priežiūros pareigūnas
          turėtų turėti specialias balsavimo teises. Valdyba turėtų padėti nuosekliai taikyti šį
          reglamentą visoje Sąjungoje, be kita ko, patarti Komisijai, visų pirma dėl apsaugos lygio
          trečiosiose valstybėse arba tarptautinėse organizacijose, ir skatinti priežiūros institucijų
          bendradarbiavimą visoje Sąjungoje. Vykdydama savo užduotis Valdyba turėtų veikti
          nepriklausomai;

(140)     Valdybai turėtų padėti Europos duomenų apsaugos priežiūros pareigūno sekretoriatas. Su
          šiuo reglamentu Valdybai pavestų užduočių vykdymu susiję Europos duomenų apsaugos
          priežiūros pareigūno darbuotojai savo užduotis turėtų atlikti laikydamiesi išmintinai tik
          Valdybos pirmininko nurodymų ir būdami jam atskaitingi;

5419/16                                                                      JV/rzi                      86
                                                  DGD 2                                              LT
 ---pagebreak--- (141)     kiekvienas duomenų subjektas turėtų turėti teisę pateikti skundą vienai priežiūros
          institucijai, visų pirma valstybėje narėje, kurioje yra jo įprastinė gyvenamoji vieta, ir turėti
          teisę į veiksmingą teisminę teisių gynimo priemonę pagal Chartijos 47 straipsnį, jeigu
          duomenų subjektas mano, kad jo teisės pagal šį reglamentą yra pažeistos arba jeigu
          priežiūros institucija nesiima veiksmų dėl skundo, iš dalies arba visiškai atmeta skundą
          arba jo nepriima, arba nesiima veiksmų, kai tokie veiksmai yra būtini duomenų subjekto
          teisėms apsaugoti. Tyrimas gavus skundą turėtų būti vykdomas, atliekant teisminę
          peržiūrą, tiek, kiek tai yra tikslinga konkrečiu atveju. Priežiūros institucija per pagrįstą
          laikotarpį turėtų informuoti duomenų subjektą apie skundo tyrimo eigą ir rezultatą. Jeigu
          konkrečiu atveju reikia tęsti tyrimą arba derinti veiksmus su kita priežiūros institucija,
          duomenų subjektui turėtų būti suteikta tarpinė informacija. Kad būtų lengviau teikti
          skundus, kiekviena priežiūros institucija turėtų imtis priemonių, pavyzdžiui, pateikti
          skundo pateikimo formą, kurią būtų galima taip pat užpildyti elektroniniu būdu,
          neatmesdama galimybių naudotis ir kitomis ryšio priemonėmis;

5419/16                                                                      JV/rzi                      87
                                                  DGD 2                                                  LT
 ---pagebreak--- (142)     jeigu duomenų subjektas mano, kad jo teisės pagal šį reglamentą yra pažeistos, jis turėtų
          turėti teisę įgalioti ne pelno įstaigą, organizaciją arba asociaciją, kuri yra įsteigta pagal
          valstybės narės teisę, kurios įstatais nustatyti tikslai atitinka viešąjį interesą ir kuri veikia
          asmens duomenų apsaugos srityje, pateikti skundą priežiūros institucijai jo vardu,
          pasinaudoti teise į teisminę teisių gynimo priemonę duomenų subjektų vardu arba
          pasinaudoti teise gauti kompensaciją duomenų subjektų vardu, jei ši kompensacija
          numatyta valstybės narės teisėje Valstybė narė gali numatyti, kad tokia įstaiga,
          organizacija arba asociacija turi teisę, nepriklausomai nuo duomenų subjekto įgaliojimų,
          toje valstybėje narėje pateikti skundą ir turėti teisę į veiksmingą teisminę teisių gynimo
          priemonę, kai ji turi priežasčių manyti, kad buvo pažeistos duomenų subjektų teisės, nes
          tvarkant asmens duomenis buvo pažeistas šis reglamentas. Tai įstaigai, organizacijai ar
          asociacijai gali būti neleidžiama duomenų subjekto vardu reikalauti kompensacijos
          nesiremiant duomenų subjekto suteiktais įgaliojimais;

5419/16                                                                        JV/rzi                         88
                                                   DGD 2                                                  LT
 ---pagebreak--- (143)     bet kuris fizinis arba juridinis asmuo turi teisę SESV 263 straipsnyje numatytomis
          sąlygomis Teisingumo Teisme pareikšti ieškinį dėl Valdybos sprendimų panaikinimo.
          Susijusios priežiūros institucijos, kurioms tokie sprendimai skirti ir kuriuos jos nori
          užginčyti, turi pareikšti ieškinį per du mėnesius nuo tada, kai joms pranešama apie tuos
          sprendimus, laikantis SESV 263 straipsnio. Tuo atveju, jei Valdybos sprendimai yra
          tiesiogiai ir konkrečiai susiję su duomenų valdytoju, duomenų tvarkytoju ar skundo
          pateikėju, pastarasis gali pateikti ieškinį dėl tų sprendimų panaikinimo per du mėnesius
          nuo jų paskelbimo Valdybos interneto svetainėje, laikantis SESV 263 straipsnio. Nedarant
          poveikio šiai teisei pagal SESV 263 straipsnį, kiekvienas fizinis ar juridinis asmuo turėtų
          turėti galimybę kompetentingame nacionaliniame teisme imtis veiksmingų teisminių teisių
          gynimo priemonių priežiūros institucijos sprendimo, turinčio tam asmeniui teisinių
          padarinių, atžvilgiu. Toks sprendimas yra susijęs visų pirma su priežiūros institucijos
          naudojimusi tyrimo įgaliojimais, įgaliojimais imtis taisomųjų veiksmų ir leidimų išdavimo
          įgaliojimais arba skundų nepriėmimu ar atmetimu. Tačiau ši teisė imtis veiksmingų
          teisminių teisių gynimo priemonių neapima kitų priežiūros institucijų priemonių, kurios
          nėra teisiškai privalomos, pavyzdžiui, priežiūros institucijos pateiktų nuomonių ar
          patarimų. Procesas prieš priežiūros instituciją turėtų būti pradedamas valstybės narės,
          kurioje priežiūros institucija yra įsisteigusi, teismuose ir turėtų vykti laikantis tos valstybės
          narės proceso teisės. Tie teismai turėtų turėti visapusišką jurisdikciją, kuri turėtų apimti
          jurisdikciją nagrinėti visus faktinius ir teisinius klausimus, susijusius su ginču, dėl kurio į
          juos kreiptasi.

5419/16                                                                       JV/rzi                     89
                                                  DGD 2                                               LT
 ---pagebreak---           Jeigu priežiūros institucija atmetė skundą arba jo nepriėmė, skundo pateikėjas gali iškelti
          bylą tos pačios valstybės narės teismuose. Taikant su šio reglamento taikymu susijusias
          teismines teisių gynimo priemones, nacionaliniai teismai, manantys, kad sprendimui
          priimti reikia nutarimo šiuo klausimu, gali arba SESV 267 straipsnyje numatytu atveju
          privalo prašyti Teisingumo Teismo prejudicinio sprendimo dėl Sąjungos teisės, įskaitant šį
          reglamentą, aiškinimo. Be to, jeigu priežiūros institucijos sprendimas, kuriuo
          įgyvendinamas Valdybos sprendimas, užginčijamas nacionaliniame teisme ir sprendžiamas
          to Valdybos sprendimo galiojimo klausimas, tas nacionalinis teismas neturi įgaliojimų
          paskelbti Valdybos sprendimo negaliojančiu, bet privalo pateikti klausimą dėl galiojimo
          Teisingumo Teismui pagal SESV 267 straipsnį, kaip išaiškino Teisingumo Teismas,
          kiekvienu atveju, kai teismas mano, kad sprendimas negalioja. Tačiau nacionalinis teismas
          negali pateikti klausimo dėl Valdybos sprendimo galiojimo fizinio arba juridinio asmens,
          kuris turėjo galimybę pateikti ieškinį dėl to sprendimo panaikinimo, prašymu, ypač tuo
          atveju, kai tas sprendimas buvo su juo tiesiogiai ir konkrečiai susijęs, bet per SESV
          263 straipsnyje nustatytą laikotarpį to nepadarė;

5419/16                                                                    JV/rzi                       90
                                                DGD 2                                             LT
 ---pagebreak--- (144)     kai teismas, kuriame iškelta byla dėl priežiūros institucijos sprendimo, turi pagrindo
          manyti, kad kitos valstybės narės kompetentingame teisme yra iškelta byla dėl to paties
          duomenų tvarkymo atvejo, pavyzdžiui, esama to paties dalyko, susijusio su to paties
          duomenų valdytojo ar duomenų tvarkytojo, arba remiamasi tuo pačiu ieškinio pagrindu, jis
          turėtų susisiekti su tuo teismu, kad būtų patvirtintas tokios susijusios bylos egzistavimas.
          Jei susijusi byla nagrinėjama kitos valstybės narės teisme, bet kuris teismas, išskyrus
          teismą, į kurį kreiptasi pirmiausia, gali sustabdyti bylos nagrinėjimą arba vienos iš šalių
          prašymu atsisakyti jurisdikcijos teismo, į kurį kreiptasi pirmiausia, naudai, jei tas teismas
          turi jurisdikciją atitinkamos bylos atžvilgiu ir pagal jo teisę leidžiama tokias susijusias
          bylas sujungti. Bylos laikomos susijusiomis, kai jos yra taip glaudžiai susijusios, kad jas
          tikslinga nagrinėti ir spręsti kartu, siekiant išvengti galimo atskirose bylose priimtų teismo
          sprendimų nesuderinamumo;

(145)     ieškinio duomenų valdytojui arba duomenų tvarkytojui atveju ieškovas turėtų turėti
          galimybę jį pareikšti valstybės narės, kurioje duomenų valdytojas arba duomenų
          tvarkytojas turi buveinę arba kurioje duomenų subjektas gyvena, teismuose, nebent
          duomenų valdytojas yra valstybės narės valdžios institucija, vykdanti savo viešuosius
          įgaliojimus;

5419/16                                                                      JV/rzi                      91
                                                  DGD 2                                                 LT
 ---pagebreak--- (146)     bet kokią žalą, kurią asmuo gali patirti dėl duomenų tvarkymo pažeidžiant šį reglamentą,
          turėtų atlyginti duomenų valdytojas arba duomenų tvarkytojas. Duomenų valdytojas arba
          duomenų tvarkytojas turėtų būti atleisti nuo atsakomybės, jeigu jie įrodo, kad jokiu būdu
          nėra atsakingi už žalą. Žalos sąvoka turėtų būti aiškinama plačiai, atsižvelgiant į
          Teisingumo Teismo praktiką, taip, kad būtų visapusiškai atspindėti šio reglamento tikslai.
          Tai nedaro poveikio jokiems reikalavimams dėl žalos atlyginimo, kurie pareiškiami dėl
          kitų taisyklių, nustatytų Sąjungos ar valstybės narės teisėje, pažeidimo. Duomenų
          tvarkymas pažeidžiant šį reglamentą taip pat apima duomenų tvarkymą pažeidžiant
          deleguotuosius ir įgyvendinimo aktus, priimtus pagal šį reglamentą, ir šį reglamentą
          tikslinančias valstybėje narės teisėje nustatytas taisykles. Duomenų subjektai už patirtą
          žalą turėtų gauti visą ir veiksmingą kompensaciją. Kai duomenų valdytojai ar duomenų
          tvarkytojai yra susiję su tuo pačiu duomenų tvarkymo atveju, turėtų būti laikoma, kad
          kiekvienas duomenų valdytojas arba duomenų tvarkytojas yra atsakingas už visą žalą.
          Tačiau kai jie yra įtraukti į tą pačią teismo bylą laikantis valstybės narės teisės,
          kompensacija gali būti proporcingai padalyta pagal kiekvieno duomenų valdytojo arba
          duomenų tvarkytojo atsakomybę už žalą, padarytą tvarkant asmens duomenis, su sąlyga,
          kad užtikrinama visa ir veiksminga kompensacija žalą patyrusiam duomenų subjektui. Bet
          kuris duomenų valdytojas ar duomenų tvarkytojas, kuris sumokėjo visą kompensaciją, gali
          vėliau pareikšti atgręžtinį reikalavimą kitiems su tuo pačiu duomenų tvarkymo atveju
          susijusiems duomenų valdytojams arba duomenų tvarkytojams;

5419/16                                                                      JV/rzi                   92
                                                  DGD 2                                           LT
 ---pagebreak--- (147)     kai šiame reglamente yra nustatytos konkrečios jurisdikcijos taisyklės, visų pirma dėl
          ieškinių duomenų valdytojui ar duomenų tvarkytojui, kuriais siekiama teisminės teisių
          gynimo priemonės, įskaitant kompensaciją, bendrąją jurisdikciją reglamentuojančios
          taisyklės, pavyzdžiui, nustatytos Europos Parlamento ir Tarybos reglamente (ES)
          Nr. 1215/2012 1, neturėtų daryti poveikio tokių konkrečių taisyklių taikymui;

(148)     siekiant užtikrinti, kad šio reglamento taisyklės būtų geriau įgyvendinamos, už šio
          reglamento pažeidimus kartu su atitinkamomis priemonėmis, kurias priežiūros institucija
          nustatė pagal šį reglamentą, arba vietoj jų turėtų būti skiriamos sankcijos, įskaitant
          administracines baudas. Nedidelio pažeidimo atveju arba jeigu bauda, kuri gali būti skirta,
          sudarytų neproporcingą naštą fiziniam asmeniui, vietoj baudos gali būti pareikštas
          papeikimas. Vis dėlto reikėtų tinkamai atsižvelgti į pažeidimo pobūdį, sunkumą ir trukmę,
          tai, ar pažeidimas buvo tyčinis, veiksmus, kurių imtasi patirtai žalai sumažinti,
          atsakomybės mastą arba į bet kokius svarbius ankstesnius pažeidimus, tai, kaip apie
          pažeidimą sužinojo priežiūros institucija, ar buvo laikomasi tam duomenų valdytojui arba
          duomenų tvarkytojui taikytų priemonių, ar buvo laikomasi elgesio kodekso, ir visus kitus
          sunkinančius ar švelninančius veiksnius. Sankcijos, įskaitant administracines baudas,
          turėtų būti skiriamos atsižvelgiant į atitinkamas procedūrines apsaugos priemones ir
          laikantis Sąjungos teisės ir Chartijos bendrųjų principų, įskaitant veiksmingą teisminę
          apsaugą ir tinkamą procesą;

1
        2012 m. gruodžio 12 d. Europos Parlamento ir Tarybos reglamentas (ES) Nr. 1215/2012 dėl
        jurisdikcijos ir teismo sprendimų civilinėse ir komercinėse bylose pripažinimo ir vykdymo
        (OL L 351, 2012 12 20, p. 1).

5419/16                                                                     JV/rzi                  93
                                                 DGD 2                                              LT
 ---pagebreak--- (149)     valstybės narės turėtų galėti nustatyti taisykles dėl baudžiamųjų sankcijų už šio reglamento
          pažeidimus, be kita ko, už nacionalinių taisyklių, priimtų pagal šį reglamentą ir neviršijant
          jo nuostatų, pažeidimus. Tomis baudžiamosiomis sankcijomis taip pat gali būti leidžiama
          konfiskuoti pelną, gautą pažeidus šį reglamentą. Tačiau nustatant baudžiamąsias sankcijas
          už tokių nacionalinių taisyklių pažeidimus ir nustatant administracines sankcijas neturėtų
          būti pažeistas ne bis in idem principas, kaip jį aiškina Teisingumo Teismas;

5419/16                                                                    JV/rzi                    94
                                                 DGD 2                                             LT
 ---pagebreak--- (150)     siekiant sugriežtinti ir suvienodinti administracines sankcijas už šio reglamento
          pažeidimus, kiekvienai priežiūros institucijai turėtų būti suteikti įgaliojimai skirti
          administracines baudas. Šiame reglamente turėtų būti nurodyti pažeidimai ir nustatyti
          didžiausi susijusių administracinių baudų dydžiai ir tų baudų nustatymo kriterijai; baudas
          kiekvienu konkrečiu atveju turėtų nustatyti kompetentinga priežiūros institucija,
          atsižvelgdama į visas reikšmingas konkrečios situacijos aplinkybes ir deramai
          atsižvelgdama visų pirma į pažeidimo pobūdį, sunkumą, trukmę ir pasekmes, taip pat į
          priemones, kurių imtasi siekiant, kad būtų laikomasi šiame reglamente nustatytų prievolių,
          ir siekiant užkirsti kelią pažeidimo pasekmėms arba jas sumažinti. Jei administracinės
          baudos skiriamos įmonei, tais tikslais įmonė turėtų būti suprantama kaip įmonė, apibrėžta
          SESV 101 ir 102 straipsniuose. Jei administracinės baudos skiriamos asmenims, kurie nėra
          įmonė, svarstydama, koks būtų tinkamas baudos dydis, priežiūros institucija turėtų
          atsižvelgti į bendrą pajamų lygį valstybėje narėje ir į ekonominę to asmens padėtį. Siekiant
          skatinti nuoseklų administracinių baudų taikymą taip pat gali būti naudojamas nuoseklumo
          užtikrinimo mechanizmas. Ar administracinės baudos turėtų būti skiriamos valdžios
          institucijoms ir kokiu mastu, turėtų nustatyti valstybės narės. Skiriant administracinę baudą
          ar teikiant įspėjimą nedaromas poveikis priežiūros institucijų kitų įgaliojimų ar kitų
          sankcijų pagal šį reglamentą taikymui;

5419/16                                                                      JV/rzi                 95
                                                  DGD 2                                            LT
 ---pagebreak--- (151)     Danijos ir Estijos teisinėse sistemose neleidžiama skirti administracinių baudų, kaip
          nustatyta šiame reglamente. Administracines baudas reglamentuojančios taisyklės gali būti
          taikomos taip, kad Danijoje baudą, kaip baudžiamąją sankciją, skirtų kompetentingi
          nacionaliniai teismai, o Estijoje pagal nusižengimų procedūrą baudą skirtų priežiūros
          institucija su sąlyga, kad toks taisyklių taikymas tose valstybėse narėse turėtų priežiūros
          institucijų skiriamoms administracinėms baudoms lygiavertį poveikį. Todėl kompetentingi
          nacionaliniai teismai turėtų atsižvelgti į baudą inicijuojančios priežiūros institucijos
          rekomendaciją. Bet kuriuo atveju skiriamos baudos turi būti veiksmingos, proporcingos ir
          atgrasomos;

(152)     kai šiuo reglamentu administracinės sankcijos nėra suderintos arba kai tai yra būtina kitais
          atvejais, pavyzdžiui, didelių šio reglamento pažeidimų atvejais, valstybės narės turėtų
          įgyvendinti sistemą, kuria numatomos veiksmingos, proporcingos ir atgrasomos sankcijos.
          Tokių sankcijų – baudžiamųjų ar administracinių – pobūdis turėtų būti nustatytas valstybės
          narės teisėje;

5419/16                                                                      JV/rzi                     96
                                                  DGD 2                                              LT
 ---pagebreak--- (153)     valstybių narių teisėje saviraiškos ir informacijos laisvę, įskaitant žurnalistinę, akademinę,
          meninę ir (arba) literatūrinę saviraišką, reglamentuojančios taisyklės turėtų būti suderintos
          su teise į asmens duomenų apsaugą pagal šį reglamentą. Asmens duomenų tvarkymui vien
          žurnalistiniais tikslais arba akademinės, meninės ar literatūrinės saviraiškos tikslais
          prireikus turėtų būti taikomos nuo tam tikrų šio reglamento nuostatų nukrypti leidžiančios
          nuostatos arba išimtys, kad teisė į asmens duomenų apsaugą būtų suderinta su teise į
          saviraiškos ir informacijos laisvę, kuri yra įtvirtinta Chartijos 11 straipsnyje. Tai visų pirma
          turėtų būti taikoma asmens duomenų tvarkymui audiovizualinėje srityje ir žinių bei
          spaudos archyvuose. Todėl valstybės narės turėtų priimti teisėkūros priemones, kuriomis
          būtų nustatytos išimtys ir nukrypti leidžiančios nuostatos, reikalingos toms pagrindinėms
          teisėms suderinti. Valstybės narės turėtų priimti tokias išimtis ir nukrypti leidžiančias
          nuostatas bendrųjų principų, duomenų subjekto teisių, duomenų valdytojų ir duomenų
          tvarkytojų, duomenų perdavimo į trečiąsias valstybes ar tarptautinėms organizacijoms,
          nepriklausomų priežiūros institucijų, bendradarbiavimo, nuoseklaus teisės taikymo
          atžvilgiu ir konkretiems asmens duomenų tvarkymo atvejams. Kai tokios išimtys ar
          nukrypti leidžiančios nuostatos valstybėse narėse yra skirtingos, turėtų būti taikoma
          duomenų valdytojui taikytina valstybės narės teisė. Kad būtų atsižvelgta į teisės į
          saviraiškos laisvę svarbą demokratinėje visuomenėje, su šia laisve susijusias sąvokas, kaip
          antai žurnalistika, būtina aiškinti plačiai;

5419/16                                                                     JV/rzi                     97
                                                   DGD 2                                              LT
 ---pagebreak--- (154)     šiuo reglamentu sudaroma galimybė taikant šį reglamentą atsižvelgti į visuomenės teisės
          susipažinti su oficialiais dokumentais principą. Visuomenės teisė susipažinti su oficialiais
          dokumentais gali būti laikoma viešuoju interesu. Valdžios institucija ar viešoji įstaiga savo
          turimuose dokumentuose esančius asmens duomenis turėtų turėti galimybę viešai atskleisti
          tada, kai toks atskleidimas yra numatytas Sąjungos ar valstybės narės teisėje, kuri yra
          taikoma tai valdžios institucijai ar viešajai įstaigai. Tokiuose teisės aktuose visuomenės
          teisė susipažinti su oficialiais dokumentais ir viešojo sektoriaus informacijos pakartotinis
          naudojimas turėtų būti suderinti su teise į asmens duomenų apsaugą, taigi, jais gali būti
          užtikrintas būtinas suderinimas su asmens duomenų apsauga pagal šį reglamentą. Nuoroda
          į valdžios institucijas ir įstaigas tame kontekste turėtų apimti visas valdžios institucijas ar
          kitas įstaigas, kurioms taikomi valstybės narės teisės aktai dėl visuomenės teisės
          susipažinti su dokumentais. Europos Parlamento ir Tarybos direktyva 2003/98/EB 1
          nekeičiama fizinių asmenų apsauga tvarkant asmens duomenis pagal Sąjungos ir valstybės
          narės teisės nuostatas ir ji neturi jokios įtakos tokiai apsaugai, visų pirma ja nekeičiamos
          šiame reglamente nustatytos prievolės ir teisės. Visų pirma ta direktyva neturėtų būti
          taikoma dokumentams, su kuriais susipažinti neleidžiama arba tokia galimybė ribojama dėl
          asmens duomenų apsaugos priežasčių pagal susipažinimo su dokumentais taisykles, taip
          pat dokumentų dalims, su kuriomis susipažinti galima pagal tas taisykles, kai jose yra
          asmens duomenų, kurių pakartotinis naudojimas pagal teisės aktus yra nesuderinamas su
          teisės aktu dėl fizinių asmenų apsaugos tvarkant asmens duomenis;

1
        2003 m. lapkričio 17 d. Europos Parlamento ir Tarybos direktyva 2003/98/EB dėl viešojo
        sektoriaus informacijos pakartotinio naudojimo (OL L 345, 2003 12 31, p. 90).

5419/16                                                                      JV/rzi                      98
                                                  DGD 2                                               LT
 ---pagebreak--- (155)     valstybės narės teisėje ar kolektyvinėse sutartyse, įskaitant darbo sutartis, gali būti
          numatytos specialios taisyklės, kuriomis reglamentuojamas darbuotojų asmens duomenų
          tvarkymas su darbo santykiais susijusiame kontekste, visų pirma sąlygos, kuriomis asmens
          duomenys su darbo santykiais susijusiame kontekste gali būti tvarkomi remiantis
          darbuotojo sutikimu, siekiant įdarbinti, vykdyti darbo sutartį, įskaitant teisės aktais arba
          kolektyvinėmis sutartimis nustatytų prievolių vykdymą, darbo administravimą, planavimą
          ir organizavimą, lygybę ir įvairovę darbo vietoje, darbuotojų saugą ir sveikatą, taip pat
          siekiant naudotis su darbo santykiais susijusiomis individualiomis ir kolektyvinėmis
          teisėmis ir išmokomis, taip pat siekiant nutraukti darbo santykius;

5419/16                                                                      JV/rzi                      99
                                                  DGD 2                                             LT
 ---pagebreak--- (156)     tvarkant asmens duomenis archyvavimo tikslais viešojo intereso labui, mokslinių ar
          istorinių tyrimų tikslais arba statistiniais tikslais, turėtų būti taikomos tinkamos duomenų
          subjektų teisių ir laisvių apsaugos priemonės pagal šį reglamentą. Tomis apsaugos
          priemonėmis turėtų būti užtikrinama, kad būtų įgyvendintos techninės ir organizacinės
          priemonės siekiant užtikrinti visų pirma duomenų kiekio mažinimo principą. Asmens
          duomenys archyvavimo tikslais viešojo intereso labui, mokslinių ar istorinių tyrimų tikslais
          arba statistiniais tikslais turi būti toliau tvarkomi po to, kai asmens duomenų valdytojas
          įvertina galimybes pasiekti šiuos tikslus tvarkant duomenis, kai negalima arba nebegalima
          nustatyti duomenų subjektų, su sąlyga, kad galioja tinkamos apsaugos priemonės (tokios,
          kaip pavyzdžiui pseudonimų suteikimas asmens duomenims). Valstybės narės turėtų
          numatyti tinkamas apsaugos priemones, taikomas tvarkant asmens duomenis archyvavimo
          tikslais viešojo intereso labui, mokslinių ar istorinių tyrimų tikslais, arba statistiniais
          tikslais. Valstybėms narėms turėtų būti leidžiama konkrečiomis aplinkybėmis ir esant
          tinkamoms duomenų subjektų apsaugos priemonėms numatyti specifikacijas ir nukrypti
          leidžiančias nuostatas dėl informacijos reikalavimų ir teisių į asmens duomenų ištaisymą ar
          ištrynimą, būti pamirštam, į duomenų tvarkymo apribojimą, duomenų perkeliamumą ir
          nesutikti su asmens duomenų tvarkymu archyvavimo tikslais viešojo intereso labui,
          mokslinių ar istorinių tyrimų tikslais arba statistiniais tikslais. Dėl minėtų sąlygų ir
          apsaugos priemonių gali tekti nustatyti specialias procedūras duomenų subjektams, kad jie
          galėtų naudotis tomis teisėmis, jeigu tai tikslinga atsižvelgiant į konkretaus tvarkymo
          tikslus, ir technines bei organizacines priemones, kurių tikslas – kuo labiau sumažinti
          asmens duomenų tvarkymo apimtį, laikantis proporcingumo ir būtinumo principų.
          Tvarkant asmens duomenis moksliniais tikslais taip pat turėtų būti laikomasi kitų
          atitinkamų teisės aktų, pavyzdžiui, susijusių su klinikiniais tyrimais;

5419/16                                                                       JV/rzi                    100
                                                   DGD 2                                                LT
 ---pagebreak--- (157)     susiedami registrų informaciją, tyrėjai gali gauti naujų itin vertingų žinių, susijusių su
          tokiomis plačiai paplitusiomis ligomis, kaip širdies ir kraujagyslių ligos, vėžys ir depresija.
          Tyrimų rezultatai, gauti naudojant registrus, gali tapti dar vertingesni, kadangi jie remiasi
          didesnio gyventojų skaičiaus duomenimis. Socialinių mokslų srityje tyrėjai, atlikę tyrimą
          naudodami registrus, gali gauti esminių žinių apie ilgalaikę kai kurių socialinių sąlygų,
          tokių kaip nedarbas ir švietimas, atitiktį kitoms gyvenimo sąlygoms. Tyrimų rezultatai,
          gauti naudojant registrus, teikia patikimas, kokybiškas žinias, kuriomis galima remtis
          formuojant ir įgyvendinant žiniomis grįstą politiką, gerinant tam tikrų žmonių gyvenimo
          kokybę bei socialinių paslaugų veiksmingumą. Siekiant sudaryti palankesnes sąlygas
          moksliniams tyrimams, asmens duomenys gali būti tvarkomi mokslinių tyrimų tikslais,
          laikantis Sąjungos arba valstybės narės teisėje nustatytų atitinkamų sąlygų ir apsaugos
          priemonių;

(158)     kai asmens duomenys tvarkomi archyvavimo tikslais, šis reglamentas taip pat turėtų būti
          taikomas tokiam tvarkymui, atsižvelgiant į tai, kad šis reglamentas neturėtų būti taikomas
          mirusiems asmenims. Valdžios institucijos arba viešosios ar privačios įstaigos, kurios
          saugoja viešojo intereso įrašus, turėtų būti tarnybos, kurios pagal Sąjungos ar valstybės
          narės teisę turėti teisinę prievolę įgyti, saugoti, įvertinti, suorganizuoti, apibūdinti, pranešti,
          propaguoti, skleisti ir teikti prieigą prie ilgalaikę vertę turinčių bendrojo viešojo intereso
          įrašų. Be to, valstybėms narėms turėtų būti leidžiama numatyti, kad asmens duomenis
          galima toliau tvarkyti archyvavimo tikslais, pavyzdžiui, siekiant teikti konkrečią
          informaciją, susijusią su politine elgsena buvusių totalitarinių valstybės režimų metu,
          genocidu, nusikaltimais žmoniškumui, visų pirma holokaustu, ar karo nusikaltimais;

5419/16                                                                        JV/rzi                    101
                                                   DGD 2                                               LT
 ---pagebreak--- (159)     jei asmens duomenys tvarkomi mokslinių tyrimų tikslais, šis reglamentas taip pat turėtų
          būti taikomas tokiam tvarkymui. Šio reglamento tikslais asmens duomenų tvarkymas
          mokslinių tyrimų tikslais turėtų būti aiškinamas plačiai, įskaitant, pavyzdžiui, technologinę
          plėtrą ir demonstravimą, fundamentinius tyrimus, taikomuosius mokslinius tyrimus ir
          privačiojo sektoriaus lėšomis finansuojamus mokslinius tyrimus. Taip tvarkant duomenis
          taip pat turėtų būti atsižvelgta į SESV 179 straipsnio 1 dalyje nustatytą Sąjungos tikslą
          sukurti Europos mokslinių tyrimų erdvę. Mokslinių tyrimų tikslai taip pat turėtų apimti
          viešojo intereso labui atliekamus tyrimus visuomenės sveikatos srityje. Kad būtų įvykdyti
          asmens duomenų tvarkymo mokslinių tyrimų tikslais specifiniai reikalavimai, turėtų būti
          taikomos specialios sąlygos visų pirma dėl skelbimo arba, kitais atvejais, dėl asmens
          duomenų atskleidimo mokslinių tyrimų tikslų kontekste. Jeigu mokslinių tyrimų rezultatai,
          visų pirma sveikatos srityje, sudaro prielaidas imtis tolesnių priemonių duomenų subjekto
          interesų labui, tokių priemonių atžvilgiu turėtų būti taikomos šio reglamento bendros
          taisyklės;

(160)     jei asmens duomenys tvarkomi istorinių tyrimų tikslais, šis reglamentas taip pat turėtų būti
          taikomas tokiam tvarkymui. Tai taip pat turėtų apimti istorinius tyrimus ir geneologinius
          tyrimus, atsižvelgiant į tai, kad šis reglamentas neturėtų būti taikomas mirusiems
          asmenims;

(161)     sutikimo dalyvauti mokslinių tyrimų veikloje atliekant klinikinius tyrimus tikslais turėtų
          būti taikomos atitinkamos Europos Parlamento ir Tarybos reglamento (ES) Nr. 536/2014 1
          nuostatos;

1
        2014 m. balandžio 16 d. Europos Parlamento ir Tarybos reglamentas (ES) Nr. 536/2014 dėl
        žmonėms skirtų vaistų klinikinių tyrimų, kuriuo panaikinama Direktyva 2001/20/EB
        (OL L 158, 2014 5 27, p. 1).

5419/16                                                                    JV/rzi                     102
                                                 DGD 2                                            LT
 ---pagebreak--- (162)     jei asmens duomenys tvarkomi statistiniais tikslais, šis reglamentas turėtų būti taikomas
          tokiam tvarkymui. Sąjungos arba valstybės narės teisėje, neviršijant šio reglamento
          nuostatų, turėtų būti nustatytas statistikos turinys, prieigos kontrolė, asmens duomenų
          tvarkymo statistiniais tikslais specifikacijos ir tinkamos priemonės duomenų subjekto
          teisėms ir laisvėms apsaugoti ir statistinių duomenų konfidencialumui užtikrinti.
          Statistiniai tikslai reiškia bet kokią asmens duomenų, būtinų atliekant statistinius tyrimus
          arba rengiant statistinius rezultatus, rinkimo ir tvarkymo operaciją. Tie statistiniai rezultatai
          gali būti naudojami toliau įvairiais tikslais, įskaitant mokslinių tyrimų tikslą. Statistinis
          tikslas reiškia, kad duomenų tvarkymo statistiniais tikslais rezultatas nėra asmens
          duomenys, o agreguotieji asmens duomenys, ir kad tas rezultatas arba asmens duomenys
          nenaudojami priimant priemones ar sprendimus dėl fizinio asmens;

(163)     konfidenciali informacija, kurią Sąjungos ir nacionalinės statistikos institucijos renka
          oficialiai Europos ir oficialiai nacionalinei statistikai rengti, turėtų būti apsaugota. Europos
          statistika turėtų būti plėtojama, rengiama ir skleidžiama laikantis statistikos principų,
          nustatytų SESV 338 straipsnio 2 dalyje, o nacionalinė statistika taip pat turėtų atitikti
          valstybės narės teisę. Europos Parlamento ir Tarybos reglamente (EB) Nr. 223/2009 1
          pateikiama papildoma patikslinta informacija apie Europos statistikos konfidencialumą;

1
        2009 m. kovo 11 d. Europos Parlamento ir Tarybos reglamentas (EB) Nr. 223/2009 dėl
        Europos statistikos, panaikinantis Europos Parlamento ir Tarybos reglamentą (EB,
        Euratomas) Nr. 1101/2008 dėl konfidencialių statistinių duomenų perdavimo Europos
        Bendrijų statistikos tarnybai, Tarybos reglamentą (EB) Nr. 322/97 dėl Bendrijos statistikos
        ir Tarybos sprendimą 89/382/EEB, Euratomas, įsteigiantį Europos Bendrijų statistikos
        programų komitetą (OL L 87, 2009 3 31, p. 164).

5419/16                                                                       JV/rzi                      103
                                                  DGD 2                                               LT
 ---pagebreak--- (164)     kiek tai susiję su priežiūros institucijų įgaliojimais reikalauti, kad duomenų valdytojai ar
          tvarkytojai leistų susipažinti su asmens duomenimis ir įsileistų į savo patalpas, valstybės
          narės, neviršydamos šio reglamento nuostatų, gali priimti teisės aktus, kuriuose įtvirtintų
          specialias profesinės paslapties ar kitų lygiaverčių prievolių saugoti paslaptį taisykles,
          jeigu to reikia teisei į asmens duomenų apsaugą ir prievolei saugoti profesinę paslaptį
          suderinti. Tai neturi poveikio esamoms valstybių narių prievolėms priimti taisykles dėl
          profesinės paslapties, jei to reikalaujama pagal Sąjungos teisę;

(165)     šiuo reglamentu gerbiamas ir nepažeidžiamas pagal galiojančią konstitucinę teisę
          nustatytas valstybių narių bažnyčių ir religinių asociacijų ar bendruomenių statusas, kaip
          pripažįstama SESV 17 straipsniu;

(166)     siekiant įgyvendinti šio reglamento tikslus, t. y. apsaugoti fizinių asmenų pagrindines teises
          ir laisves, visų pirma jų teisę į asmens duomenų apsaugą, ir užtikrinti laisvą asmens
          duomenų judėjimą Sąjungoje, pagal SESV 290 straipsnį Komisijai turėtų būti deleguoti
          įgaliojimai priimti aktus. Visų pirma deleguotieji aktai turėtų būti priimti dėl sertifikavimo
          mechanizmų kriterijų ir reikalavimų, standartizuotomis piktogramomis pateikiamos
          informacijos ir tokių piktogramų pateikimo tvarkos. Ypač svarbu, kad atlikdama
          parengiamąjį darbą Komisija tinkamai konsultuotųsi, taip pat ir su ekspertais. Atlikdama su
          deleguotaisiais aktais susijusį parengiamąjį darbą ir rengdama jų tekstus Komisija turėtų
          užtikrinti, kad atitinkami dokumentai būtų vienu metu, laiku ir tinkamai perduodami
          Europos Parlamentui ir Tarybai;

5419/16                                                                      JV/rzi                    104
                                                 DGD 2                                                 LT
 ---pagebreak--- (167)     siekiant užtikrinti vienodas šio reglamento įgyvendinimo sąlygas, Komisijai turėtų būti
          suteikti įgyvendinimo įgaliojimai, kai tai numatyta šiuo reglamentu. Tais įgaliojimais
          turėtų būti naudojamasi pagal Europos Parlamento ir Tarybos reglamentą (ES)
          Nr. 182/2011. Tame kontekste Komisija turėtų svarstyti konkrečias labai mažoms,
          mažosioms ir vidutinėms įmonėms skirtas priemones;

(168)     nagrinėjimo procedūra turėtų būti taikoma siekiant priimti įgyvendinimo aktus dėl
          standartinių sutarčių sąlygų tarp duomenų valdytojų ir duomenų tvarkytojų ir tarp
          duomenų tvarkytojų; elgesio kodeksų; techninių standartų ir sertifikavimo mechanizmų;
          tinkamo apsaugos lygio, kurį užtikrina trečioji valstybė, teritorija arba nurodytas sektorius
          toje trečiojoje valstybėje, arba tarptautinė organizacija; standartinių duomenų apsaugos
          sąlygų; duomenų valdytojų, duomenų tvarkytojų ir priežiūros institucijų keitimosi
          informacija apie įmonei privalomas taisykles formato ir procedūrų; savitarpio pagalbos; ir
          keitimosi informacija tarp priežiūros institucijų, taip pat tarp priežiūros institucijų ir
          Valdybos elektroninėmis priemonėmis tvarkos;

(169)     Komisija turėtų priimti nedelsiant taikytinus įgyvendinimo aktus, kai iš turimų įrodymų
          matyti, kad trečioji valstybė, teritorija arba nurodytas sektorius toje trečiojoje valstybėje,
          arba tarptautinė organizacija neužtikrina tinkamo apsaugos lygio ir yra priežasčių, dėl
          kurių privaloma skubėti;

5419/16                                                                       JV/rzi                   105
                                                  DGD 2                                                LT
 ---pagebreak--- (170)     kadangi šio reglamento tikslo, t. y. užtikrinti lygiavertį fizinių asmenų apsaugos lygį ir
          laisvą asmens duomenų judėjimą Sąjungoje, valstybės narės negali deramai pasiekti, o dėl
          siūlomo veiksmo masto arba poveikio tų tikslų būtų geriau siekti Sąjungos lygmeniu,
          laikydamasi Europos Sąjungos sutarties (toliau – ES sutartis) 5 straipsnyje nustatyto
          subsidiarumo principo Sąjunga gali patvirtinti priemones. Pagal tame straipsnyje nustatytą
          proporcingumo principą šiuo reglamentu neviršijama to, kas būtina nurodytam tikslui
          pasiekti;

(171)     Direktyva 95/46/EB turėtų būti panaikinta šiuo reglamentu. Šio reglamento taikymo
          pradžios dieną jau atliekamas duomenų tvarkymas turėtų būti suderintas su šiuo
          reglamentu per dvejų metų laikotarpį, po kurio šis reglamentas įsigalioja. Kai duomenų
          tvarkymas grindžiamas sutikimu pagal Direktyvą 95/46/EB, duomenų subjektui nebūtina
          dar kartą duoti savo susitikimo, jei sutikimas duotas šio reglamento sąlygas atitinkančiu
          būdu, kad duomenų valdytojas galėtų tęsti tokį duomenų tvarkymą po šio reglamento
          taikymo pradžios dienos. Remiantis Direktyva 95/46/EB priimti Komisijos sprendimai ir
          priežiūros institucijų suteikti leidimai toliau galioja tol, kol iš dalies pakeičiami, pakeičiami
          naujais arba panaikinami;

(172)     pagal Reglamento (EB) Nr. 45/2001 28 straipsnio 2 dalį buvo pasikonsultuota su Europos
          duomenų apsaugos priežiūros pareigūnu, kuris 2012 m. kovo 7 d. pateikė nuomonę 1;

1
        OL C 192, 2012 6 30, p. 7.

5419/16                                                                      JV/rzi                    106
                                                  DGD 2                                                LT
 ---pagebreak--- (173)     šis reglamentas turėtų būti taikomas visiems su pagrindinių teisių ir laisvių apsauga
          tvarkant asmens duomenis susijusiems klausimams, kuriems negalioja Europos Parlamento
          ir Tarybos direktyvoje 2002/58/EB 1 nustatytos konkrečios prievolės, kuriomis siekiama to
          paties tikslo, įskaitant duomenų valdytojo prievoles ir fizinių asmenų teises. Siekiant
          aiškiai apibrėžti šio reglamento ir Direktyvos 2002/58/EB santykį, ta direktyva turėtų būti
          atitinkamai iš dalies pakeista. Kai šis reglamentas bus priimtas, turėtų būti atlikta
          Direktyvos 2002/58/EB peržiūra, visų pirma siekiant užtikrinti jos ir šio reglamento
          suderinamumą,

PRIĖMĖ ŠĮ REGLAMENTĄ:

1
        2002 m. liepos 12 d. Europos Parlamento ir Tarybos direktyva 2002/58/EB dėl asmens
        duomenų tvarkymo ir privatumo apsaugos elektroninių ryšių sektoriuje (Direktyva dėl
        privatumo ir elektroninių ryšių) (OL L 201, 2002 7 31, p. 37).

5419/16                                                                     JV/rzi                  107
                                                 DGD 2                                              LT
 ---pagebreak---                                            I SKYRIUS
                             BENDROSIOS NUOSTATOS

                                             1 straipsnis
                                          Dalykas ir tikslai

1.        Šiuo reglamentu nustatomos taisyklės, susijusios su fizinių asmenų apsauga tvarkant jų
          asmens duomenis, ir taisyklės, susijusios su laisvu asmens duomenų judėjimu.

2.        Šiuo reglamentu saugomos fizinių asmenų pagrindinės teisės ir laisvės, visų pirma jų teisė į
          asmens duomenų apsaugą.

3.        Laisvas asmens duomenų judėjimas Sąjungoje nėra nei ribojamas, nei draudžiamas dėl su
          fizinių asmenų apsauga tvarkant jų asmens duomenis susijusių priežasčių.

                                             2 straipsnis
                                      Materialinė taikymo sritis

1.        Šis reglamentas taikomas asmens duomenų tvarkymui, visiškai arba iš dalies atliekamam
          automatizuotomis priemonėmis, ir asmens duomenų, kurie sudaro susisteminto rinkinio
          dalį ar yra skirti ją sudaryti, tvarkymui ne automatizuotomis priemonėmis.

5419/16                                                                   JV/rzi                   108
                                                DGD 2                                            LT
 ---pagebreak--- 2.        Šis reglamentas netaikomas asmens duomenų tvarkymui, kai:

          a)    duomenys tvarkomi vykdant veiklą, kuriai Sąjungos teisė netaikoma;

          b)    duomenis tvarko valstybės narės, vykdydamos veiklą, kuriai taikomas ES sutarties
                V antraštinės dalies 2 skyrius;

          c)    duomenis tvarko fizinis asmuo, užsiimdamas išimtinai asmenine ar namų ūkio
                veikla;

          d)    duomenis tvarko kompetentingos valdžios institucijos nusikalstamų veikų
                prevencijos, tyrimo, nustatymo ar patraukimo baudžiamojon atsakomybėn už jas,
                baudžiamųjų sankcijų vykdymo, įskaitant apsaugą nuo grėsmių visuomenės
                saugumui ir jų prevenciją, tikslais.

3.        Sąjungos institucijų, įstaigų, tarnybų ir agentūrų atliekamam asmens duomenų tvarkymui
          taikomas Reglamentas (EB) Nr. 45/2001. Reglamentas (EB) Nr. 45/2001 ir kiti Sąjungos
          teisės aktai, taikytini tokiam asmens duomenų tvarkymui, pagal 98 straipsnį pritaikomi
          pagal šio reglamento principus ir taisykles.

4.        Šis reglamentas nedaro poveikio Direktyvos 2000/31/EB, visų pirma tos direktyvos
          12–15 straipsniuose nustatytų taisyklių dėl tarpininkavimo paslaugų teikėjų atsakomybės,
          taikymui.

5419/16                                                                  JV/rzi                    109
                                                  DGD 2                                        LT
 ---pagebreak---                                                  3 straipsnis
                                        Teritorinė taikymo sritis

1.        Šis reglamentas taikomas asmens duomenų tvarkymui, kai asmens duomenis Sąjungoje
          tvarko duomenų valdytojo arba duomenų tvarkytojo buveinė, vykdydama savo veiklą,
          neatsižvelgiant į tai, ar duomenys tvarkomi Sąjungoje, ar ne.

2.        Šis reglamentas taikomas asmens duomenų tvarkymui, kai Sąjungoje esančių duomenų
          subjektų asmens duomenis tvarko Sąjungoje neįsisteigęs duomenų valdytojas arba
          duomenų tvarkytojas ir duomenų tvarkymo veikla yra susijusi su:

          a)    prekių arba paslaugų siūlymu tokiems duomenų subjektams Sąjungoje, nepaisant to,
                ar už šias prekes arba paslaugas duomenų subjektui reikia mokėti; arba

          b)    elgesio, kai jie veikia Sąjungoje, stebėsena.

3.        Šis reglamentas taikomas asmens duomenų tvarkymui, kai asmens duomenis tvarko
          duomenų valdytojas, įsisteigęs ne Sąjungoje, o vietoje, kurioje pagal viešąją tarptautinę
          teisę taikoma valstybės narės teisė.

5419/16                                                                   JV/rzi                      110
                                                   DGD 2                                          LT
 ---pagebreak---                                               4 straipsnis
                                               Apibrėžtys

Šiame reglamente:

1)        asmens duomenys – bet kokia informacija apie fizinį asmenį, kurio tapatybė nustatyta arba
          kurio tapatybę galima nustatyti (duomenų subjektas); fizinis asmuo, kurio tapatybę galima
          nustatyti, yra asmuo, kurio tapatybę tiesiogiai arba netiesiogiai galima nustatyti, visų pirma
          pagal identifikatorių, kaip antai vardą ir pavardę, asmens identifikavimo numerį, buvimo
          vietos duomenis ir interneto identifikatorių arba pagal vieną ar kelis to fizinio asmens
          fizinės, fiziologinės, genetinės, psichinės, ekonominės, kultūrinės ar socialinės tapatybės
          požymius;

2)        duomenų tvarkymas – bet kokia automatizuotomis arba neautomatizuotomis priemonėmis
          su asmens duomenimis ar asmens duomenų rinkiniais atliekama operacija ar operacijų
          seka, kaip antai rinkimas, įrašymas, rūšiavimas, sisteminimas, saugojimas, adaptavimas ar
          keitimas, išgava, susipažinimas, naudojimas, atskleidimas persiunčiant, platinant ar kitu
          būdu sudarant galimybę jais naudotis, taip pat sugretinimas ar sujungimas su kitais
          duomenimis, apribojimas, ištrynimas arba sunaikinimas;

3)        duomenų tvarkymo apribojimas – saugomų asmens duomenų žymėjimas siekiant apriboti
          jų tvarkymą ateityje;

4)        profiliavimas – bet kokios formos automatizuotas asmens duomenų tvarkymas, kai asmens
          duomenys naudojami siekiant įvertinti tam tikrus su fiziniu asmeniu susijusius asmeninius
          aspektus, visų pirma siekiant išanalizuoti ar numatyti aspektus, susijusius su to fizinio
          asmens darbo rezultatais, ekonomine situacija, sveikatos būkle, asmeniniais pomėgiais,
          interesais, patikimumu, elgesiu, buvimo vieta arba judėjimu;

5419/16                                                                     JV/rzi                    111
                                                 DGD 2                                                LT
 ---pagebreak--- 5)        pseudonimų suteikimas – asmens duomenų tvarkymas taip, kad asmens duomenys
          nebegalėtų būti priskirti konkrečiam duomenų subjektui nesinaudojant papildoma
          informacija, jeigu tokia papildoma informacija yra saugoma atskirai ir jos atžvilgiu
          taikomos techninės bei organizacinės priemonės siekiant užtikrinti asmens duomenų
          nepriskyrimą fiziniam asmeniui, kurio tapatybė yra nustatyta arba kurio tapatybę galima
          nustatyti;

6)        susistemintas rinkinys – bet kuris susistemintas pagal specialius kriterijus prieinamų
          asmens duomenų rinkinys, kuris gali būti centralizuotas, decentralizuotas arba suskirstytas
          funkciniu ar geografiniu pagrindu;

7)        duomenų valdytojas – fizinis arba juridinis asmuo, valdžios institucija, agentūra ar kita
          įstaiga, kuris vienas ar drauge su kitais nustato duomenų tvarkymo tikslus ir priemones; kai
          tokio duomenų tvarkymo tikslai ir priemonės nustatyti Sąjungos arba valstybės narės
          teisės, duomenų valdytojas arba konkretūs jo skyrimo kriterijai gali būti nustatyti Sąjungos
          arba valstybės narės teise;

8)        duomenų tvarkytojas – fizinis arba juridinis asmuo, valdžios institucija, agentūra ar kita
          įstaiga, kuri duomenų valdytojo vardu tvarko asmens duomenis;

9)        duomenų gavėjas – fizinis arba juridinis asmuo, valdžios institucija, agentūra ar kita
          įstaiga, kuriai atskleidžiami asmens duomenys, nesvarbu, ar tai trečioji šalis ar ne. Tačiau
          valdžios institucijos, kurios pagal Sąjungos arba valstybės narės teisę gali gauti asmens
          duomenis vykdydamos konkretų tyrimą, nelaikomos duomenų gavėjais; tvarkydamos tuos
          duomenis, tos valdžios institucijos laikosi taikomų duomenų tvarkymo tikslus atitinkančių
          duomenų apsaugos taisyklių;

5419/16                                                                    JV/rzi                      112
                                                 DGD 2                                             LT
 ---pagebreak--- 10)       trečioji šalis – fizinis arba juridinis asmuo, valdžios institucija, agentūra ar kita įstaiga, kuri
          nėra duomenų subjektas, duomenų valdytojas, duomenų tvarkytojas, arba asmenys,
          kuriems tiesioginiu duomenų valdytojo ar duomenų tvarkytojo įgaliojimu leidžiama
          tvarkyti asmens duomenis;

11)       duomenų subjekto sutikimas – bet koks laisva valia duotas, konkretus ir nedviprasmiškas
          tinkamai informuoto duomenų subjekto valios išreiškimas pareiškimu arba vienareikšmiais
          veiksmais kuriais jis sutinka, kad būtų tvarkomi su juo susiję asmens duomenys;

12)       asmens duomenų saugumo pažeidimas – saugumo pažeidimas, dėl kurio netyčia arba
          neteisėtai sunaikinami, prarandami, pakeičiami, be leidimo atskleidžiami persiųsti,
          saugomi arba kitaip tvarkomi asmens duomenys arba prie jų be leidimo gaunama prieiga;

13)       genetiniai duomenys – asmens duomenys, susiję su paveldėtomis ar įgytomis fizinio
          asmens genetinėmis savybėmis, suteikiančiomis unikalios informacijos apie to fizinio
          asmens fiziologiją ar sveikatą, ir kurie gauti visų pirma analizuojant biologinį atitinkamo
          fizinio asmens mėginį;

14)       biometriniai duomenys –po specialaus techninio apdorojimo gauti asmens duomenys,
          susiję su fizinio asmens fizinėmis, fiziologinėmis arba elgesio savybėmis, pagal kurias
          galima konkrečiai nustatyti arba patvirtinti to fizinio asmens tapatybę, kaip antai veido
          atvaizdai arba daktiloskopiniai duomenys;

5419/16                                                                        JV/rzi                    113
                                                   DGD 2                                               LT
 ---pagebreak--- 15)       sveikatos duomenys – asmens duomenys, susiję su fizine ar psichine fizinio asmens
          sveikata, įskaitant duomenis apie sveikatos priežiūros paslaugų teikimą, atskleidžiantys
          informaciją apie to fizinio asmens sveikatos būklę;

16)       pagrindinė buveinė –

          a)    duomenų valdytojo, turinčio buveinių daugiau kaip vienoje valstybėje narėje,
                atveju – jo centrinės administracijos vieta Sąjungoje, išskyrus atvejus, kai sprendimai
                dėl asmens duomenų tvarkymo tikslų ir priemonių priimami kitoje duomenų
                valdytojo buveinėje Sąjungoje ir ta buveinė turi įgaliojimus nurodyti, kad tokie
                sprendimai būtų įgyvendinti; tokiu atveju tokius sprendimus priėmusi buveinė
                laikoma pagrindine buveine;

          b)    duomenų tvarkytojo, turinčio buveinių daugiau kaip vienoje valstybėje narėje,
                atveju – jo centrinės administracijos vieta Sąjungoje, arba jeigu duomenų tvarkytojas
                neturi centrinės administracijos Sąjungoje – duomenų tvarkytojo buveinė Sąjungoje,
                kurioje vykdoma pagrindinė duomenų tvarkymo veikla, kai duomenų tvarkytojo
                buveinė vykdydama savo veiklą tvarko duomenis tiek, kiek duomenų tvarkytojui
                taikomos konkrečios prievolės pagal šį reglamentą;

17)       atstovas – Sąjungoje įsisteigęs, duomenų valdytojo arba duomenų tvarkytojo raštu pagal
          27 straipsnį paskirtas fizinis arba juridinis asmuo, kuris, kiek tai susiję su jų atitinkamomis
          prievolėmis pagal šį reglamentą, atstovauja duomenų valdytojui arba duomenų tvarkytojui;

5419/16                                                                     JV/rzi                    114
                                                 DGD 2                                              LT
 ---pagebreak--- 18)       įmonė – bet kokios teisinės formos ekonomine veikla užsiimantis fizinis arba juridinis
          asmuo, įskaitant reguliaria ekonomine veikla užsiimančias ūkines bendrijas arba
          susivienijimus;

19)       įmonių grupė – kontroliuojančioji įmonė ir jos kontroliuojamos įmonės;

20)       įmonei privalomos taisyklės – asmens duomenų apsaugos politikos nuostatos, kurių
          valstybės narės teritorijoje įsisteigęs duomenų valdytojas arba duomenų tvarkytojas laikosi,
          perduodamas asmens duomenis arba atlikdamas perdavimų seką vienos ar daugiau trečiųjų
          valstybių duomenų valdytojui arba duomenų tvarkytojui, priklausančiam tai pačiai įmonių
          grupei arba bendrą ekonominę veiklą vykdančių įmonių grupei;

21)       priežiūros institucija – valstybės narės pagal 51 straipsnį įsteigta nepriklausoma valdžios
          institucija;

22)       susijusi priežiūros institucija – priežiūros institucija, kuri yra susijusi su asmens duomenų
          tvarkymu dėl to, kad:

          a)    duomenų valdytojas arba duomenų tvarkytojas yra įsisteigęs tos priežiūros
                institucijos valstybės narės teritorijoje,

          b)    duomenų tvarkymas daro arba gali padaryti didelį poveikį tos priežiūros institucijos
                valstybėje narėje gyvenantiems duomenų subjektams; arba

          c)    skundas buvo pateiktas tai priežiūros institucijai;

5419/16                                                                     JV/rzi                   115
                                                   DGD 2                                           LT
 ---pagebreak--- 23)       tarpvalstybinis duomenų tvarkymas – vienas iš toliau nurodytų:

          a)    asmens duomenų tvarkymas vykdomas Sąjungoje, kai veiklą vykdo duomenų
                valdytojo arba duomenų tvarkytojo buveinės daugiau kaip vienoje valstybėje narėje,
                ir duomenų valdytojas arba duomenų tvarkytojas yra įsisteigęs daugiau kaip vienoje
                valstybėje narėje; arba

          b)    asmens duomenų tvarkymas vykdomas Sąjungoje, kai veiklą vykdo duomenų
                valdytojo arba duomenų tvarkytojo vienintelė buveinė, kuris daro arba gali padaryti
                didelį poveikį duomenų subjektams daugiau nei vienoje valstybėje narėje;

24)       tinkamas ir pagrįstas prieštaravimas: prieštaravimas dėl to, ar buvo padarytas šio
          reglamento pažeidimas, arba, ar numatomas veiksmas, susijęs su duomenų valdytoju arba
          duomenų tvarkytoju, atitinka šį reglamentą, kuris aiškiai parodo sprendimo projekto
          keliamų pavojų duomenų subjektų pagrindinėms teisėms ir laisvėms ir, kai taikoma,
          laisvam asmens duomenų judėjimui Sąjungoje, reikšmingumą;

25)       informacinės visuomenės paslauga – paslauga, kaip apibrėžta Europos Parlamento ir
          Tarybos direktyvos (ES) 2015/1535 1 1 straipsnio 1 dalies b punkte;

26)       tarptautinė organizacija – organizacija ir jai pavaldžios įstaigos, kurių veiklą reglamentuoja
          tarptautinė viešoji teisė, ar bet kuri kita įstaiga, įsteigta dviejų ar daugiau valstybių
          susitarimu arba remiantis tokiu susitarimu.

1
      2015 m. rugsėjo 9 d. Europos Parlamento ir Tarybos direktyva (ES) 2015/1535, kuria
      nustatoma informacijos apie techninius reglamentus ir informacinės visuomenės paslaugų
      taisykles teikimo tvarka (OL 241, 2015 9 17, p. 1).

5419/16                                                                       JV/rzi                  116
                                                   DGD 2                                              LT
 ---pagebreak---                                            II SKYRIUS
                                           PRINCIPAI

                                              5 straipsnis
                            Su asmens duomenų tvarkymu susiję principai

1.        Asmens duomenys turi būti:

          a)   duomenų subjekto atžvilgiu tvarkomi teisėtu, sąžiningu ir skaidriu būdu (teisėtumo,
               sąžiningumo ir skaidrumo principas);

          b)   renkami nustatytais, aiškiai apibrėžtais bei teisėtais tikslais ir toliau netvarkomi su
               tais tikslais nesuderinamu būdu; tolesnis duomenų tvarkymas archyvavimo tikslais
               viešojo intereso labui, mokslinių ar istorinių tyrimų tikslais arba statistiniais tikslais
               pagal 89 straipsnio 1 dalį nėra laikomas nesuderinamu su pirminiais tikslais (tikslo
               apribojimo principas);

          c)   adekvatūs, tinkami ir tik tokie, kurių reikia siekiant tikslų, dėl kurių jie tvarkomi
               (duomenų kiekio mažinimo principas);

          d)   tikslūs ir prireikus atnaujinami; turi būti imamasi visų pagrįstų priemonių užtikrinti,
               kad asmens duomenys, kurie nėra tikslūs, atsižvelgiant į jų tvarkymo tikslus, būtų
               nedelsiant ištrinami arba ištaisomi (tikslumo principas);

5419/16                                                                      JV/rzi                    117
                                                 DGD 2                                                 LT
 ---pagebreak---           e)    laikomi tokia forma, kad duomenų subjektų tapatybę būtų galima nustatyti ne ilgiau,
                nei tai yra būtina tais tikslais, kuriais asmens duomenys yra tvarkomi; asmens
                duomenis galima saugoti ilgesnius laikotarpius, jeigu asmens duomenys bus
                tvarkomi tik archyvavimo tikslais viešojo intereso labui, mokslinių ar istorinių
                tyrimų tikslais arba statistiniais tikslais pagal 89 straipsnio 1 dalį, įgyvendinus
                atitinkamas technines ir organizacines priemones, kurių reikalaujama šiuo
                reglamentu siekiant apsaugoti duomenų subjekto teises ir laisves (saugojimo trukmės
                apribojimo principas);

          f)    tvarkomi tokiu būdu, kad taikant atitinkamas technines ar organizacines priemones
                būtų užtikrintas tinkamas asmens duomenų saugumas, įskaitant apsaugą nuo
                duomenų tvarkymo be leidimo arba neteisėto duomenų tvarkymo ir nuo netyčinio
                praradimo, sunaikinimo ar sugadinimo (vientisumo ir konfidencialumo principas).

2.        Duomenų valdytojas yra atsakingas už tai, kad būtų laikomasi 1 dalies, ir turi sugebėti
          įrodyti, kad jos laikomasi (atskaitomybės principas).

                                                6 straipsnis
                                          Tvarkymo teisėtumas

1.        Duomenų tvarkymas yra teisėtas tik tuo atveju, jeigu taikoma bent viena iš šių sąlygų, ir tik
          tokiu mastu, kokiu ji yra taikoma:

          a)    duomenų subjektas davė sutikimą, kad jo asmens duomenys būtų tvarkomi vienu ar
                keliais konkrečiais tikslais;

5419/16                                                                      JV/rzi                   118
                                                  DGD 2                                               LT
 ---pagebreak---           b)    tvarkyti duomenis būtina siekiant įvykdyti sutartį, kurios šalis yra duomenų
                subjektas, arba siekiant imtis veiksmų duomenų subjekto prašymu prieš sudarant
                sutartį;

          c)    tvarkyti duomenis būtina, kad būtų įvykdyta duomenų valdytojui taikoma teisinė
                prievolė;

          d)    tvarkyti duomenis būtina siekiant apsaugoti gyvybinius duomenų subjekto ar kito
                fizinio asmens interesus;

          e)    tvarkyti duomenis būtina siekiant atlikti užduotį, vykdomą viešojo intereso labui arba
                vykdant duomenų valdytojui pavestas viešosios valdžios funkcijas;

          f)    tvarkyti duomenis būtina siekiant teisėtų duomenų valdytojo arba trečiosios šalies
                interesų, išskyrus atvejus, kai tokie duomenų subjekto interesai arba pagrindinės
                teisės ir laisvės, dėl kurių būtina užtikrinti asmens duomenų apsaugą, yra už juos
                viršesni, ypač kai duomenų subjektas yra vaikas.

          Šios pastraipos f punktas netaikomas duomenų tvarkymui, kurį valdžios institucijos atlieka
          vykdydamos savo užduotis.

2.        Valstybės narės gali toliau taikyti arba nustatyti konkretesnes nuostatas šio reglamento
          taisyklių taikymui pritaikyti, kiek tai susiję su duomenų tvarkymu, kad būtų laikomasi
          1 dalies c ir e punktų, tiksliau nustatydamos konkrečius duomenų tvarkymui keliamus
          reikalavimus ir kitas teisėto ir sąžiningo duomenų tvarkymo užtikrinimo priemones,
          įskaitant kitais specialiais IX skyriuje numatytais duomenų tvarkymo atvejais.

5419/16                                                                   JV/rzi                     119
                                                DGD 2                                               LT
 ---pagebreak--- 3.        1 dalies c ir e punktuose nurodytas duomenų tvarkymo pagrindas nustatomas:

          a)    Sąjungos teisėje; arba

          b)    duomenų valdytojui taikomoje valstybės narės teisėje.

          Duomenų tvarkymo tikslas nustatomas tame teisiniame pagrinde arba, 1 dalies e punkte
          nurodyto duomenų tvarkymo atveju, yra būtinas, siekiant atlikti užduotį, vykdomą viešojo
          intereso labui arba vykdant duomenų valdytojui pavestas viešosios valdžios funkcijas.
          Tame teisiniame pagrinde galėtų būti išdėstytos konkrečios nuostatos pagal šį reglamentą
          taikomų taisyklių pritaikymui, įskaitant bendrąsias sąlygas, reglamentuojančias duomenų
          valdytojo atliekamo duomenų tvarkymo teisėtumą, tvarkytinų duomenų rūšis, atitinkamus
          duomenų subjektus, subjektus, kuriems asmens duomenys gali būti atskleisti ir tikslus dėl
          kurių asmens duomenys gali būti atskleisti, tikslo apribojimo principą, saugojimo
          laikotarpius ir duomenų tvarkymo operacijas bei duomenų tvarkymo procedūras, įskaitant
          priemones, kuriomis būtų užtikrintas teisėtas ir sąžiningas duomenų tvarkymas, kaip antai
          tas, kitiems specialiems IX skyriuje numatytiems duomenų tvarkymo atvejams. Sąjungos
          arba valstybės narės teisė atitinka viešojo intereso tikslą ir yra proporcinga teisėtam tikslui,
          kurio siekiama.

5419/16                                                                      JV/rzi                   120
                                                  DGD 2                                              LT
 ---pagebreak--- 4.        Kai duomenų tvarkymas kitu tikslu nei tas dėl kurio duomenys buvo surinkti, nėra
          grindžiamas duomenų subjekto sutikimu arba Sąjungos ar valstybės narės teise, kuri yra
          demokratinėje visuomenėje būtina ir proporcinga priemonė 23 straipsnio 1 dalyje
          nurodytiems tikslams apsaugoti, duomenų valdytojas siekdamas įsitikinti, ar duomenų
          tvarkymas kitu tikslu yra suderinamas su tikslu, dėl kurio iš pradžių asmens duomenys
          buvo surinkti, atsižvelgia, inter alia į:

          a)    visas sąsajas tarp tikslų, kuriais asmens duomenys buvo surinkti, ir numatomo
                tolesnio duomenų tvarkymo tikslų;

          b)    aplinkybes, kuriomis asmens duomenys buvo surinkti, visų pirma susijusias su
                duomenų subjektų ir duomenų valdytojo tarpusavio santykiu;

          c)    asmens duomenų pobūdį, visų pirma ar tvarkomi specialių kategorijų asmens
                duomenys pagal 9 straipsnį, ar tvarkomi asmens duomenys apie apkaltinamuosius
                nuosprendžius ir veikas pagal 10 straipsnį;

          d)    numatomo tolesnio duomenų tvarkymo galimas pasekmes duomenų subjektams;

          e)    tinkamų apsaugos priemonių, kurios gali apimti šifravimą ar pseudonimų suteikimą,
                buvimą.

5419/16                                                                 JV/rzi                    121
                                                      DGD 2                                     LT
 ---pagebreak---                                                 7 straipsnis
                                             Sutikimo sąlygos

1.        Kai duomenys tvarkomi remiantis sutikimu, duomenų valdytojas turi galėti įrodyti, kad
          duomenų subjektas davė sutikimą, kad būtų tvarkomi jo asmens duomenys.

2.        Jeigu duomenų subjekto sutikimas duodamas rašytiniu pareiškimu, susijusiu ir su kitais
          klausimais, prašymas duoti sutikimą pateikiamas tokiu būdu, kad jis būtų aiškiai atskirtas
          nuo kitų klausimų, pateiktas suprantama ir lengvai prieinama forma, aiškia ir paprasta
          kalba. Jokia tokio pareiškimo dalis, kuria pažeidžiamas šis reglamentas, nėra privaloma.

3.        Duomenų subjektas turi teisę bet kuriuo metu atšaukti savo sutikimą. Sutikimo atšaukimas
          nedaro poveikio sutikimu pagrįsto duomenų tvarkymo, atlikto iki sutikimo atšaukimo,
          teisėtumui. Duomenų subjektas apie tai informuojamas prieš jam duodant sutikimą.
          Atšaukti sutikimą turi būti taip pat lengva kaip jį duoti.

4.        Vertinant, ar sutikimas duotas laisva valia, labiausiai atsižvelgiama į tai, ar, inter alia,
          sutarties vykdymui, įskaitant paslaugos teikimą, yra nustatyta sąlyga, kad turi būti duotas
          sutikimas tvarkyti asmens duomenis, kurie nėra būtini tai sutarčiai vykdyti.

5419/16                                                                       JV/rzi                     122
                                                  DGD 2                                                  LT
 ---pagebreak---                                               8 straipsnis
                                        Sąlygos, taikomos vaiko,
                      kuriam siūlomos informacinės visuomenės paslaugos, sutikimui

1.        Kai taikomas 6 straipsnio 1 dalies a punktas, kai tai susiję su informacinės visuomenės
          paslaugų tiesioginiu siūlymu vaikui, vaiko asmens duomenų tvarkymas yra teisėtas tik tuo
          atveju, jei vaikas yra bent 16 metų amžiaus. Kai vaikas yra jaunesnis nei 16 metų, toks
          tvarkymas yra teisėtas tik tuo atveju, jeigu tą sutikimą davė arba tvarkyti duomenis leido
          vaiko tėvų pareigų turėtojas, ir tokiu mastu, kokiu duotas toks sutikimas ar leidimas.

          Valstybės narės tais tikslais įstatymu gali numatyti jaunesnio amžiaus ribą su sąlyga, kad
          toks jaunesnis amžius reiškia ne mažiau nei 13 metų.

2.        Duomenų valdytojas, atsižvelgdamas į turimas technologijas, deda pagrįstas pastangas, kad
          tokiais atvejais patikrintų, ar yra gautas vaiko tėvų pareigų turėtojo sutikimas arba
          leidimas.

3.        1 dalis nedaro poveikio bendrajai valstybių narių sutarčių teisei, kaip antai taisyklėms dėl
          su vaiku sudaromos sutarties galiojimo, sudarymo arba poveikio.

5419/16                                                                     JV/rzi                  123
                                                 DGD 2                                             LT
 ---pagebreak---                                                9 straipsnis
                              Specialių kategorijų asmens duomenų tvarkymas

1.        Draudžiama tvarkyti asmens duomenis, atskleidžiančius rasinę ar etninę kilmę, politines
          pažiūras, religinius ar filosofinius įsitikinimus ar narystę profesinėse sąjungose, taip pat
          tvarkyti genetinius duomenis, biometrinius duomenis, siekiant konkrečiai nustatyti fizinio
          asmens tapatybę, sveikatos duomenis arba duomenis apie fizinio asmens lytinį gyvenimą ir
          lytinę orientaciją.

2.        1 dalis netaikoma, jei taikoma viena iš toliau nurodytų sąlygų:

          a)    duomenų subjektas aiškiai sutiko, kad tokie asmens duomenys būtų tvarkomi vienu
                ar keliais nurodytais tikslais, išskyrus atvejus, kai Sąjungos arba valstybės narės
                teisėje numatyta, kad 1 dalyje nurodyto draudimo duomenų subjektas negali
                panaikinti;

          b)    tvarkyti duomenis būtina, kad duomenų valdytojas arba duomenų subjektas galėtų
                įvykdyti prievoles ir naudotis specialiomis teisėmis darbo ir socialinės apsaugos
                teisės srityje, kiek tai leidžiama Sąjungos arba valstybės narės teisėje arba pagal
                valstybės narės teisę sudaryta kolektyvine sutartimi, kuriuose nustatytos tinkamos
                duomenų subjekto pagrindinių teisių ir interesų apsaugos priemonės;

5419/16                                                                     JV/rzi                       124
                                                  DGD 2                                               LT
 ---pagebreak---           c)   tvarkyti duomenis būtina, kad būtų apsaugoti gyvybiniai duomenų subjekto arba kito
               fizinio asmens interesai, kai duomenų subjektas dėl fizinių ar teisinių priežasčių
               negali duoti sutikimo;

          d)   duomenis tvarko politinių, filosofinių, religinių ar profesinių sąjungų tikslų siekiantis
               fondas, asociacija ar kita pelno nesiekianti organizacija, vykdydama teisėtą veiklą ir
               taikydama tinkamas apsaugos priemones, ir su sąlyga, kad tvarkomi tik tos
               organizacijos narių ar buvusių narių arba asmenų, kurie reguliariai palaiko ryšius su
               ja dėl jos siekiamų tikslų, duomenys ir kad asmens duomenys neatskleidžiami už
               organizacijos ribų be duomenų subjektų sutikimo;

          e)   tvarkomi asmens duomenys, kuriuos duomenų subjektas yra akivaizdžiai paskelbęs
               viešai;

          f)   tvarkyti duomenis būtina siekiant pareikšti, vykdyti arba apginti teisinius
               reikalavimus arba tuo atveju, kai teismai vykdo savo teisminius įgaliojimus;

          g)   tvarkyti duomenis būtina dėl svarbaus viešojo intereso priežasčių, remiantis Sąjungos
               arba valstybės narės teise, kurie turi būti proporcingi tikslui, kurio siekiama,
               nepažeisti esminių teisės į duomenų apsaugą nuostatų ir kuriuose turi būti numatytos
               tinkamos ir konkrečios duomenų subjekto pagrindinių teisių ir interesų apsaugos
               priemonės;

5419/16                                                                    JV/rzi                   125
                                                DGD 2                                               LT
 ---pagebreak---           h)   tvarkyti duomenis būtina profilaktinės arba darbo medicinos tikslais, siekiant
               įvertinti darbuotojo darbingumą, medicininę diagnozę, teikti sveikatos priežiūros
               arba socialinės rūpybos paslaugas ar gydymą arba valdyti sveikatos priežiūros ar
               socialinės rūpybos sistemas ir paslaugas remiantis Sąjungos arba valstybės narės
               teise arba pagal sutartį su sveikatos priežiūros specialistu, taikant 3 dalyje nurodytas
               sąlygas ir apsaugos priemones;

          i)   tvarkyti duomenis būtina dėl viešojo intereso priežasčių visuomenės sveikatos
               srityje, pavyzdžiui, siekiant apsisaugoti nuo rimtų tarpvalstybinio pobūdžio grėsmių
               sveikatai arba užtikrinti aukštus sveikatos priežiūros ir vaistų arba medicinos
               priemonių kokybės ir saugos standartus, remiantis Sąjungos arba valstybės narės
               teise, kurioje numatomos tinkamos ir konkrečios priemonės duomenų subjekto
               teisėms ir laisvėms apsaugoti, visų pirma profesinė paslaptis; arba

          j)   tvarkyti duomenis būtina archyvavimo tikslais viešojo intereso labui, mokslinių ar
               istorinių tyrimų tikslais arba statistiniais tikslais pagal 89 straipsnio 1 dalį, remiantis
               Sąjungos arba valstybės narės teise, kurie turi būti proporcingi tikslui, kurio
               siekiama, nepažeisti esminių teisės į duomenų apsaugą nuostatų ir kuriuose turi būti
               numatytos tinkamos ir konkrečios duomenų subjekto pagrindinių teisių ir interesų
               apsaugos priemonės.

5419/16                                                                      JV/rzi                    126
                                                 DGD 2                                                LT
 ---pagebreak--- 3.        1 dalyje nurodyti asmens duomenys gali būti tvarkomi 2 dalies h punkte nurodytais
          tikslais, kai tuos duomenis tvarko specialistas, kuriam pagal Sąjungos arba valstybės narės
          teisę arba nacionalinių kompetentingų įstaigų nustatytas taisykles taikoma pareiga saugoti
          profesinę paslaptį, arba duomenys tvarkomi jo atsakomybe, arba kitas asmuo, kuriam pagal
          Sąjungos arba valstybės narės teisę arba nacionalinių kompetentingų įstaigų nustatytas
          taisykles taip pat taikoma pareiga saugoti paslaptį.

4.        Valstybės narės gali toliau taikyti arba nustatyti papildomas sąlygas, įskaitant apribojimus,
          genetinių duomenų, biometrinių duomenų arba sveikatos duomenų tvarkymui.

                                              10 straipsnis
                   Asmens duomenų, susijusių su apkaltinamaisiais nuosprendžiais
                              ir nusikalstamosiomis veikomis, tvarkymas

Asmens duomenys apie apkaltinamuosius nuosprendžius ir nusikalstamas veikas arba susijusias
saugumo priemones remiantis 6 straipsnio 1 dalimi tvarkomi tik prižiūrint valdžios institucijai arba
kai duomenų tvarkymas leidžiamas Sąjungos arba valstybės narės teise, kurioje nustatytos tinkamos
duomenų subjektų teisių ir laisvių apsaugos priemonės. Bet kuris išsamus apkaltinamųjų
nuosprendžių duomenų registras tvarkomas tik prižiūrint valdžios institucijai.

5419/16                                                                    JV/rzi                   127
                                                 DGD 2                                            LT
 ---pagebreak---                                              11 straipsnis
                    Duomenų tvarkymas, kai asmens tapatybės nustatyti nereikia

1.        Jeigu dėl tikslų, kuriais duomenų valdytojas tvarko asmens duomenis, duomenų valdytojui
          nebūtina ar nebėra būtina nustatyti duomenų subjekto tapatybės, duomenų valdytojas nėra
          įpareigojamas laikyti, gauti ar tvarkyti papildomą informaciją duomenų subjekto tapatybei
          nustatyti vien tam, kam būtų laikomasi šio reglamento.

2.        Kai šio straipsnio 1 dalyje nurodytais atvejais duomenų valdytojas gali įrodyti, kad neturi
          galimybės nustatyti duomenų subjekto tapatybės, duomenų valdytojas, jei įmanoma,
          informuoja apie tai duomenų subjektą. Tokiais atvejais 15–20 straipsniai netaikomi,
          išskyrus atvejus, kai duomenų subjektas, siekdamas pasinaudoti pagal tuos straipsnius jam
          suteiktomis teisėmis, pateikia papildomos informacijos, leidžiančios nustatyti jo tapatybę.

5419/16                                                                   JV/rzi                   128
                                                DGD 2                                             LT
 ---pagebreak---                                           III SKYRIUS
                           DUOMENŲ SUBJEKTO TEISĖS

                                              1 SKIRSNIS
                                    SKAIDRUMAS IR SĄLYGOS

                                              12 straipsnis
                                  Skaidrus informavimas, pranešimas
                        ir duomenų subjekto naudojimosi savo teisėmis sąlygos

1.        Duomenų valdytojas imasi tinkamų priemonių, kad visą 13 ir 14 straipsniuose nurodytą
          informaciją ir visus pranešimus pagal 15–22 ir 34 straipsnius, susijusius su duomenų
          tvarkymu, duomenų subjektui pateiktų glausta, skaidria, suprantama ir lengvai prieinama
          forma, aiškia ir paprasta kalba, ypač jei informacija yra konkrečiai skirta vaikui.
          Informacija pateikiama raštu arba kitomis priemonėmis, įskaitant, prireikus, elektronine
          forma. Duomenų subjekto prašymu informacija gali būti suteikta žodžiu, jeigu duomenų
          subjekto tapatybė įrodoma kitomis priemonėmis.

2.        Duomenų valdytojas sudaro palankesnes sąlygas naudotis 15–22 straipsniuose
          nustatytomis duomenų subjekto teisėmis. 11 straipsnio 2 dalyje nurodytais atvejais
          duomenų valdytojas neatsisako imtis veiksmų pagal duomenų subjekto prašymą
          pasinaudoti teisėmis pagal 15–22 straipsnius, nebent duomenų valdytojas įrodo, kad jis
          negali nustatyti duomenų subjekto tapatybės.

5419/16                                                                     JV/rzi                 129
                                                 DGD 2                                           LT
 ---pagebreak--- 3.        Duomenų valdytojas nepagrįstai nedelsdamas, tačiau bet kuriuo atveju ne vėliau kaip per
          vieną mėnesį nuo prašymo gavimo, pateikia duomenų subjektui informaciją apie veiksmus,
          kurių imtasi gavus prašymą pagal 15–22 straipsnius. Tas laikotarpis prireikus gali būti
          pratęstas dar dviem mėnesiams, atsižvelgiant į prašymų sudėtingumą ir skaičių. Duomenų
          valdytojas per vieną mėnesį nuo prašymo gavimo informuoja duomenų subjektą apie tokį
          pratęsimą kartu pateikdamas vėlavimo priežastis. Kai duomenų subjektas prašymą pateikia
          elektroninės formos priemonėmis, informacija jam taip pat pateikiama, jei įmanoma,
          elektroninėmis priemonėmis, išskyrus atvejus, kai duomenų subjektas paprašo ją pateikti
          kitaip.

4.        Jei duomenų valdytojas nesiima veiksmų pagal duomenų subjekto prašymą, duomenų
          valdytojas nedelsdamas, tačiau ne vėliau kaip per vieną mėnesį nuo prašymo gavimo,
          informuoja duomenų subjektą apie neveikimo priežastis ir apie galimybę pateikti skundą
          priežiūros institucijai bei pasinaudoti teisių gynimo priemone.

5.        Pagal 13 ir 14 straipsnius teikiama informacija ir visi pranešimai bei visi veiksmai pagal
          15–22 ir 34 straipsnius yra nemokami. Kai duomenų subjekto prašymai yra akivaizdžiai
          nepagrįsti arba neproporcingi, visų pirma dėl jų pasikartojančio turinio, duomenų
          valdytojas gali arba:

          a)    imti pagrįstą mokestį, atsižvelgdamas į informacijos teikimo arba pranešimų ar
                veiksmų, kurių prašoma, administracines išlaidas; arba

          b)    gali atsisakyti imtis veiksmų pagal prašymą.

          Duomenų valdytojui tenka pareiga įrodyti, kad prašymas yra akivaizdžiai nepagrįstas arba
          neproporcingas.

5419/16                                                                     JV/rzi                  130
                                                DGD 2                                               LT
 ---pagebreak--- 6.        Nedarant poveikio 11 straipsniui, kai duomenų valdytojas turi pagrįstų abejonių dėl
          15–21 straipsniuose nurodytą prašymą pateikusio fizinio asmens tapatybės, duomenų
          valdytojas gali paprašyti pateikti papildomos informacijos, reikalingos norint patvirtinti
          duomenų subjekto tapatybę.

7.        Informacija, kuri duomenų subjektams turi būti teikiama pagal 13 ir 14 straipsnius, gali
          būti teikiama su standartizuotomis piktogramomis siekiant, kad numatomas duomenų
          tvarkymas būtų prasmingai apibendrintas lengvai matomu, suprantamu ir aiškiai įskaitomu
          būdu. Kai piktogramos pateikiamos elektronine forma, jos turi būti kompiuterio skaitomos.

8.        Komisijai pagal 92 straipsnį suteikiami įgaliojimai priimti deleguotuosius aktus, kuriais
          siekiama nustatyti, kokia informacija turi būti pateikta piktogramomis, ir nustatyti
          standartizuotų piktogramų pateikimo procedūras.

                                             2 SKIRSNIS
               INFORMAVIMAS IR TEISĖ SUSIPAŽINTI SU ASMENS DUOMENIMIS

                                             13 straipsnis
     Informacija, kuri turi būti pateikta, kai asmens duomenys renkami iš duomenų subjekto

1.        Kai iš duomenų subjekto renkami asmens duomenys, duomenų valdytojas asmens
          duomenų gavimo metu duomenų subjektui pateikia visą šią informaciją:

          a)    duomenų valdytojo ir, jeigu taikoma, duomenų valdytojo atstovo tapatybę ir
                kontaktinius duomenis;

5419/16                                                                    JV/rzi                      131
                                                 DGD 2                                            LT
 ---pagebreak---           b)   duomenų apsaugos pareigūno, jeigu taikoma, kontaktinius duomenis;

          c)   duomenų tvarkymo tikslus dėl kurių ketinama tvarkyti asmens duomenis, taip pat
               duomenų tvarkymo teisinį pagrindą;

          d)   kai duomenų tvarkymas atliekamas pagal 6 straipsnio 1 dalies f punktą, teisėtus
               duomenų valdytojo arba trečiosios šalies interesus;

          e)   jei yra, asmens duomenų gavėjus arba asmens duomenų gavėjų kategorijas

          f)   kai taikoma, apie duomenų valdytojo ketinimą asmens duomenis perduoti į trečiąją
               valstybę arba tarptautinei organizacijai ir Komisijos sprendimo dėl tinkamumo
               buvimą ar nebuvimą, arba 46 ar 47 straipsniuose arba 49 straipsnio 1 dalies antroje
               pastraipoje nurodytų perdavimų atveju – tinkamas arba pritaikytas apsaugos
               priemones ir būdus, kaip gauti jų kopiją arba kur suteikiama galimybė su jais
               susipažinti;

2.        Be 1 dalyje nurodytos informacijos duomenų valdytojas asmens duomenų gavimo metu
          duomenų subjektui pateikia toliau nurodytą papildomą informaciją, būtiną duomenų
          tvarkymo sąžiningumui ir skaidrumui užtikrinti:

          a)   asmens duomenų saugojimo laikotarpį arba, jei tai neįmanoma, kriterijus, taikomus
               tam laikotarpiui nustatyti;

5419/16                                                                 JV/rzi                   132
                                               DGD 2                                             LT
 ---pagebreak---           b)    teisę prašyti, kad duomenų valdytojas leistų susipažinti su duomenų subjekto asmens
                duomenimis ir juos ištaisytų arba ištrintų, arba apribotų duomenų tvarkymą, arba
                teisę nesutikti, kad duomenys būtų tvarkomi, taip pat teisę į duomenų perkeliamumą;

          c)    kai duomenų tvarkymas grindžiamas 6 straipsnio 1 dalies a punktu arba 9 straipsnio
                2 dalies a punktu, teisę bet kuriuo metu atšaukti sutikimą, nedarant poveikio sutikimu
                grindžiamo duomenų tvarkymo iki sutikimo atšaukimo teisėtumui;

          d)    teisę pateikti skundą priežiūros institucijai;

          e)    tai, ar asmens duomenų pateikimas yra teisės aktais arba sutartyje numatytas
                reikalavimas, ar reikalavimas, kurį būtina įvykdyti norint sudaryti sutartį, taip pat tai,
                ar duomenų subjektas privalo pateikti asmens duomenis, ir informaciją apie galimas
                tokių duomenų nepateikimo pasekmes;

          f)    tai, kad esama 22 straipsnio 1 ir 4 dalyse nurodyto automatizuoto sprendimų
                priėmimo, įskaitant profiliavimą, ir, bent tais atvejais, prasmingą informaciją apie
                loginį jo pagrindimą, taip pat tokio duomenų tvarkymo reikšmę ir numatomas
                pasekmes duomenų subjektui.

3.        Jeigu duomenų valdytojas ketina toliau tvarkyti asmens duomenis kitu tikslu nei tas, kuriuo
          asmens duomenys buvo renkami, prieš taip toliau tvarkydamas duomenis duomenų
          valdytojas pateikia duomenų subjektui informaciją apie tą kitą tikslą ir visą kitą atitinkamą
          papildomą informaciją, kaip nurodyta 2 dalyje.

5419/16                                                                      JV/rzi                    133
                                                  DGD 2                                              LT
 ---pagebreak--- 4.        1, 2 ir 3 dalys netaikomos, jeigu duomenų subjektas jau turi informaciją, ir tiek, kiek tos
          informacijos jis turi.

                                              14 straipsnis
     Informacija, kuri turi būti pateikta, kai asmens duomenys yra gauti ne iš duomenų subjekto

1.        Kai asmens duomenys yra gauti ne iš duomenų subjekto, duomenų valdytojas pateikia
          duomenų subjektui šią informaciją:

          a)    duomenų valdytojo ir duomenų valdytojo atstovo, jeigu jis yra, tapatybę ir
                kontaktinius duomenis;

          b)    duomenų apsaugos pareigūno, jei taikoma, kontaktinius duomenis;

          c)    duomenų tvarkymo tikslus, kuriais ketinama tvarkyti asmens duomenis, taip pat
                duomenų tvarkymo teisinį pagrindą;

          d)    atitinkamų asmens duomenų kategorijas;

          e)    jei taikoma, asmens duomenų gavėjus arba asmens duomenų gavėjų kategorijas;

          f)    kai taikoma, apie duomenų valdytojo ketinimą asmens duomenis perduoti gavėjui
                trečiojoje valstybėje arba tarptautinei organizacijai ir Komisijos sprendimo dėl
                tinkamumo buvimą ar nebuvimą, o 46 ar 47 straipsniuose arba 49 straipsnio 1 dalies
                antroje pastraipoje nurodytų perdavimų atveju – tinkamas arba pritaikytas apsaugos
                priemones ir būdus, kaip gauti jų kopiją arba kur suteikiama galimybė su jais
                susipažinti.

5419/16                                                                    JV/rzi                   134
                                                 DGD 2                                             LT
 ---pagebreak--- 2.        Be 1 dalyje nurodytos informacijos duomenų valdytojas pateikia duomenų subjektui toliau
          nurodytą papildomą informaciją, būtiną tvarkymo sąžiningumui ir skaidrumui duomenų
          subjekto atžvilgiu užtikrinti:

          a)    asmens duomenų saugojimo laikotarpį arba, jei tai neįmanoma, kriterijus, taikomus
                tam laikotarpiui nustatyti;

          b)    kai duomenų tvarkymas atliekamas pagal 6 straipsnio 1 dalies f punktą, teisėtus
                duomenų valdytojo arba trečiosios šalies interesus;

          c)    teisę prašyti, kad duomenų valdytojas leistų susipažinti su duomenų subjekto asmens
                duomenimis ir juos ištaisytų arba ištrintų, arba apribotų duomenų tvarkymą, ir teisę
                nesutikti, kad duomenys būtų tvarkomi, taip pat teisę į į duomenų perkeliamumą;

          d)    kai duomenų tvarkymas grindžiamas 6 straipsnio 1 dalies a punktu arba 9 straipsnio
                2 dalies a punktu, teisę bet kuriuo metu atšaukti sutikimą, nedarant poveikio sutikimu
                grindžiamo duomenų tvarkymo iki sutikimo atšaukimo teisėtumui;

          e)    teisę pateikti skundą priežiūros institucijai;

          f)    koks yra asmens duomenų kilmės šaltinis, ir, jei taikoma, ar duomenys gauti iš viešai
                prieinamų šaltinių;

          g)    tai, kad esama 22 straipsnio 1 ir 4 dalyse nurodyto automatizuoto sprendimų
                priėmimo, įskaitant profiliavimą, ir, bent tais atvejais, prasmingą informaciją apie
                loginį jo pagrindimą, taip pat tokio duomenų tvarkymo reikšmę ir numatomas
                pasekmes duomenų subjektui.

5419/16                                                                    JV/rzi                      135
                                                  DGD 2                                           LT
 ---pagebreak--- 3.        Duomenų valdytojas 1 ir 2 dalyse nurodytą informaciją pateikia:

          a)    per pagrįstą laikotarpį nuo asmens duomenų gavimo, bet ne vėliau kaip per vieną
                mėnesį, atsižvelgiant į konkrečias asmens duomenų tvarkymo aplinkybes;

          b)    jeigu asmens duomenys bus naudojami ryšiams su duomenų subjektu palaikyti – ne
                vėliau kaip pirmą kartą susisiekiant su tuo duomenų subjektu; arba

          c)    jeigu numatoma asmens duomenis atskleisti kitam duomenų gavėjui – ne vėliau kaip
                atskleidžiant duomenis pirmą kartą.

4.        Kai duomenų valdytojas ketina toliau tvarkyti asmens duomenis kitu tikslu nei tas, kuriuo
          asmens duomenys buvo gauti, prieš toliau tvarkydamas tuos duomenis duomenų valdytojas
          pateikia duomenų subjektui informaciją apie tą kitą tikslą ir visą papildomą atitinkamą
          informaciją, kaip nurodyta 2 dalyje.

5.        1–4 dalys netaikomos, jeigu ir tiek, kiek:

          a)    duomenų subjektas jau turi informacijos;

5419/16                                                                   JV/rzi                    136
                                                 DGD 2                                          LT
 ---pagebreak---           b)   tokios informacijos pateikimas yra neįmanomas arba tam reikėtų neproporcingų
               pastangų, visų pirma kai duomenys tvarkomi archyvavimo tikslais viešojo intereso
               labui, mokslinių ar istorinių tyrimų tikslais arba statistiniais tikslais laikantis
               89 straipsnio 1 dalyje nurodytų sąlygų ir apsaugos priemonių arba jeigu dėl šio
               straipsnio 1 dalyje nurodytos pareigos gali tapti neįmanoma arba ji gali labai
               sukliudyti pasiekti to tvarkymo tikslus. Tokiais atvejais duomenų valdytojas imasi
               tinkamų priemonių duomenų subjekto teisėms ir laisvėms ir teisėtiems interesams
               apsaugoti, įskaitant viešą informacijos paskelbimą;

          c)   duomenų gavimas ar atskleidimas aiškiai nustatytas Sąjungos arba valstybės narės
               teisėje, ir kurie taikomi duomenų valdytojui ir kuriuose nustatytos tinkamos teisėtų
               duomenų subjekto interesų apsaugos priemonės; arba

          d)   kai asmens duomenys privalo išlikti konfidencialūs laikantis Sąjungos ar valstybės
               narės teise reglamentuojamos profesinės paslapties prievolės, įskaitant įstatais
               nustatytą prievolę saugoti paslaptį.

5419/16                                                                      JV/rzi                  137
                                                 DGD 2                                               LT
 ---pagebreak---                                               15 straipsnis
                          Duomenų subjekto teisė susipažinti su duomenimis

1.        Duomenų subjektas turi teisę iš duomenų valdytojo gauti patvirtinimą, ar su juo susiję
          asmens duomenys yra tvarkomi, o jei tokie asmens duomenys yra tvarkomi, turi teisę
          susipažinti su asmens duomenimis ir toliau nurodyta informacija:

          a)   duomenų tvarkymo tikslai;

          b)   atitinkamų asmens duomenų kategorijos;

          c)   duomenų gavėjai arba duomenų gavėjų kategorijos, kuriems buvo arba bus atskleisti
               asmens duomenys, visų pirma duomenų gavėjai trečiosiose valstybėse arba
               tarptautinės organizacijos;

          d)   kai įmanoma, numatomas asmens duomenų saugojimo laikotarpis arba, jei
               neįmanoma, kriterijai, taikomi tam laikotarpiui nustatyti;

          e)   teisė prašyti duomenų valdytojo ištaisyti arba ištrinti asmens duomenis ar apriboti su
               duomenų subjektu susijusių asmens duomenų tvarkymą arba nesutikti su tokiu
               tvarkymu;

          f)   teisė pateikti skundą priežiūros institucijai;

          g)   kai asmens duomenys renkami ne iš duomenų subjekto, visa turima informacija apie
               jų šaltinius;

5419/16                                                                     JV/rzi                 138
                                                 DGD 2                                             LT
 ---pagebreak---           h)    tai, kad esama 22 straipsnio 1 ir 4 dalyse nurodyto automatizuoto sprendimų
                priėmimo, įskaitant profiliavimą, ir, bent tais atvejais, prasminga informacija apie
                loginį jo pagrindimą, taip pat tokio duomenų tvarkymo reikšmę ir numatomas
                pasekmes duomenų subjektui.

2.        Kai asmens duomenys perduodami į trečiąją valstybę arba tarptautinei organizacijai,
          duomenų subjektas turi teisę būti informuotas apie tinkamas su duomenų perdavimu
          susijusias apsaugos priemones pagal 46 straipsnį.

3.        Duomenų valdytojas pateikia tvarkomų asmens duomenų kopiją. Už kitas papildomas
          duomenų subjekto prašomas kopijas duomenų valdytojas gali imti pagrįstą mokestį,
          nustatomą pagal administracines išlaidas. Kai duomenų subjektas prašymą pateikia
          elektroninėmis priemonėmis ir išskyrus atvejus, kai duomenų subjektas paprašo ją pateikti
          kitaip, informacija pateikiama įprastai naudojama elektronine forma.

4.        3 dalyje nurodyta teisė gauti kopiją negali daryti neigiamo poveikio kitų teisėms ir
          laisvėms.

5419/16                                                                    JV/rzi                      139
                                                 DGD 2                                            LT
 ---pagebreak---                                                3 SKIRSNIS
                              DUOMENŲ IŠTAISYMAS IR IŠTRYNIMAS

                                               16 straipsnis
                                    Teisė reikalauti ištaisyti duomenis

Duomenų subjektas turi teisę reikalauti, kad duomenų valdytojas nepagrįstai nedelsdamas ištaisytų
netikslius su juo susijusius asmens duomenis. Atsižvelgiant į tikslus, kuriais duomenys buvo
tvarkomi, duomenų subjektas turi teisę reikalauti, kad būtų papildyti neišsamūs asmens duomenys,
be kita ko, pateikdamas papildomą pareiškimą.

                                               17 straipsnis
                        Teisė reikalauti ištrinti duomenis („teisė būti pamirštam“)

1.        Duomenų subjektas turi teisę reikalauti, kad duomenų valdytojas nepagrįstai nedelsdamas
          ištrintų su juo susijusius asmens duomenis, o duomenų valdytojas yra įpareigotas
          nepagrįstai nedelsdamas ištrinti asmens duomenis, jei tai galima pagrįsti viena iš šių
          priežasčių:

          a)    asmens duomenys nebėra reikalingi, kad būtų pasiekti tikslai, kuriais jie buvo
                renkami arba kitaip tvarkomi;

          b)    asmens duomenų subjektas atšaukia sutikimą, kuriuo pagal 6 straipsnio 1 dalies
                a punktą arba 9 straipsnio 2 dalies a punktą grindžiamas duomenų tvarkymas, ir nėra
                jokio kito teisinio pagrindo tvarkyti duomenis;

5419/16                                                                     JV/rzi                 140
                                                  DGD 2                                            LT
 ---pagebreak---           c)    asmens duomenų subjektas nesutinka su duomenų tvarkymu pagal 21 straipsnio
                1 dalį ir nėra viršesnių teisėtų priežasčių tvarkyti duomenis arba duomenų subjektas
                nesutinka su duomenų tvarkymu pagal 21 straipsnio 2 dalį;

          d)    asmens duomenys buvo tvarkomi neteisėtai;

          e)    asmens duomenys turi būti ištrinti laikantis Sąjungos arba valstybės narės teisėje ,
                kuri taikoma duomenų valdytojui, nustatytos teisinės prievolės;

          f)    asmens duomenys buvo surinkti 8 straipsnio 1 dalyje nurodyto informacinės
                visuomenės paslaugų siūlymo kontekste.

2.        Kai duomenų valdytojas viešai paskelbė asmens duomenis ir pagal 1 dalį privalo asmens
          duomenis ištrinti, duomenų valdytojas, atsižvelgdamas į turimas technologijas ir
          įgyvendinimo sąnaudas, imasi pagrįstų veiksmų, įskaitant technines priemones, kad
          informuotų duomenis tvarkančius duomenų valdytojus, jog duomenų subjektas paprašė,
          kad tokie duomenų valdytojai ištrintų visas nuorodas į tuos asmens duomenis arba jų
          kopijas ar dublikatus.

3.        1 ir 2 dalys netaikomos, jeigu duomenų tvarkymas yra būtinas:

          a)    siekiant pasinaudoti teise į saviraiškos ir informacijos laisvę;

          b)    siekiant laikytis Sąjungos ar valstybės narės teise, kuri taikoma duomenų valdytojui,
                nustatytos teisinės prievolės, kuria reikalaujama tvarkyti duomenis, arba siekiant
                atlikti užduotį, vykdomą viešojo intereso labui, arba vykdant duomenų valdytojui
                pavestas viešosios valdžios funkcijas;

5419/16                                                                     JV/rzi                   141
                                                 DGD 2                                            LT
 ---pagebreak---           c)   dėl viešojo intereso priežasčių visuomenės sveikatos srityje pagal 9 straipsnio
               2 dalies h bei i punktus ir 9 straipsnio 3 dalį;

          d)   archyvavimo tikslais viešojo intereso labui, mokslinių ar istorinių tyrimų tikslais arba
               statistiniais tikslais laikantis 89 straipsnio 1 dalies, jeigu dėl 1 dalyje nurodytos teisės
               gali tapti neįmanoma arba ji gali labai sukliudyti pasiekti to tvarkymo tikslus; arba

          e)   siekiant pareikšti, vykdyti arba apginti teisinius reikalavimus.

                                              18 straipsnis
                                    Teisė apriboti duomenų tvarkymą

1.        Duomenų subjektas turi teisę reikalauti, kad duomenų valdytojas apribotų duomenų
          tvarkymą kai taikomas vienas iš šių atvejų:

          a)   asmens duomenų subjektas užginčija duomenų tikslumą tokiam laikotarpiui, per kurį
               duomenų valdytojas gali patikrinti asmens duomenų tikslumą;

          b)   asmens duomenų tvarkymas yra neteisėtas ir duomenų subjektas nesutinka, kad
               duomenys būtų ištrinti, ir vietoj to prašo apriboti jų naudojimą;

          c)   duomenų valdytojui nebereikia asmens duomenų duomenų tvarkymo tikslais, tačiau
               jų reikia duomenų subjektui siekiant pareikšti, vykdyti arba apginti teisinius
               reikalavimus; arba

5419/16                                                                      JV/rzi                    142
                                                 DGD 2                                                LT
 ---pagebreak---           d)    duomenų subjektas pagal 21 straipsnio 1 dalį paprieštaravo duomenų tvarkymui, kol
                bus patikrinta, ar duomenų valdytojo teisėtos priežastys yra viršesnės už duomenų
                subjekto priežastis.

2.        Kai duomenų tvarkymas yra apribotas pagal 1 dalį, tokius asmens duomenis galima
          tvarkyti, išskyrus saugojimą, tik gavus duomenų subjekto sutikimą arba siekiant pareikšti,
          vykdyti arba apginti teisinius reikalavimus, arba apsaugoti kito fizinio ar juridinio asmens
          teises, arba dėl svarbaus Sąjungos arba valstybės narės viešojo intereso priežasčių.

3.        Duomenų subjektą, kuris pasiekė, kad būtų apribotas duomenų tvarkymas pagal 1 dalį,
          duomenų valdytojas informuoja prieš panaikinant apribojimą tvarkyti duomenis.

                                             19 straipsnis
                    Prievolė pranešti apie asmens duomenų ištaisymą ar ištrynimą
                                  arba duomenų tvarkymo apribojimą

Kiekvienam duomenų gavėjui, kuriam buvo atskleisti asmens duomenys, duomenų valdytojas
praneša apie bet kokį asmens duomenų ištaisymą, ištrynimą arba tvarkymo apribojimą vykdomą
pagal 16 straipsnį, 17 straipsnio 1 dalį ir 18 straipsnį, nebent to padaryti nebūtų įmanoma arba tai
pareikalautų neproporcingų pastangų. Duomenų subjektui paprašius, duomenų valdytojas
informuoja duomenų subjektą apie tuos duomenų gavėjus.

5419/16                                                                    JV/rzi                  143
                                                 DGD 2                                            LT
 ---pagebreak---                                              20 straipsnis
                                    Teisė į duomenų perkeliamumą

1.        Duomenų subjektas turi teisę gauti su juo susijusius asmens duomenis, kuriuos jis pateikė
          duomenų valdytojui susistemintu, įprastai naudojamu ir kompiuterio skaitomu formatu, ir
          turi teisę persiųsti tuos duomenis kitam duomenų valdytojui, o duomenų valdytojas,
          kuriam asmens duomenys buvo pateikti, turi nesudaryti tam kliūčių, kai:

          a)   duomenų tvarkymas yra grindžiamas sutikimu pagal 6 straipsnio 1 dalies a punktą
               arba 9 straipsnio 2 dalies a punktą arba sutartimi pagal 6 straipsnio 1 dalies b punktą;
               ir

          b)   duomenys yra tvarkomi automatizuotomis priemonėmis.

2.        Naudodamasis savo teise į duomenų perkeliamumą pagal 1 dalį, duomenų subjektas turi
          teisę, kad vienas duomenų valdytojas asmens duomenis tiesiogiai persiųstų kitam, kai tai
          techniškai įmanoma.

3.        Šio straipsnio 1 dalyje nurodyta teise naudojamasi nedarant poveikio 17 straipsniui. Ta
          teisė netaikoma, kai tvarkyti duomenis būtina siekiant atlikti užduotį, vykdomą viešojo
          intereso labui arba vykdant duomenų valdytojui pavestas viešosios valdžios funkcijas.

4.        1 dalyje nurodyta teisė negali daryti neigiamo poveikio kitų teisėms ir laisvėms.

5419/16                                                                   JV/rzi                    144
                                                DGD 2                                             LT
 ---pagebreak---                                                4 SKIRSNIS
      TEISĖ NESUTIKTI IR AUTOMATIZUOTAS ATSKIRŲ SPRENDIMŲ PRIĖMIMAS

                                               21 straipsnis
                                              Teisė nesutikti

1.        Duomenų subjektas turi teisę dėl su jo ar jos konkrečiu atveju susijusių priežasčių bet
          kuriuo metu nesutikti, kad su juo ar ja susiję asmens duomenys būtų tvarkomi, kai toks
          duomenų tvarkymas vykdomas pagal 6 straipsnio 1 dalies e arba f punktus, įskaitant
          profiliavimą remiantis tomis nuostatomis. Duomenų valdytojas nebetvarko asmens
          duomenų, išskyrus atvejus, kai duomenų valdytojas įrodo, kad duomenys tvarkomi dėl
          įtikinamų teisėtų priežasčių, kurios yra viršesnės už duomenų subjekto interesus, teises ir
          laisves, arba siekiant pareikšti, vykdyti ar apginti teisinius reikalavimus.

2.        Kai asmens duomenys tvarkomi tiesioginės rinkodaros tikslais, duomenų subjektas turi
          teisę bet kuriuo metu nesutikti, kad su juo susiję asmens duomenys būtų tvarkomi tokios
          rinkodaros tikslais, įskaitant profiliavimą, kiek jis susijęs su tokia tiesiogine rinkodara.

3.        Kai duomenų subjektas prieštarauja duomenų tvarkymui tiesioginės rinkodaros tikslais,
          asmens duomenys tokiais tikslais nebetvarkomi.

4.        Duomenų subjektas apie 1 ir 2 dalyse nurodytą teisę aiškiai informuojamas ne vėliau kaip
          pirmą kartą susisiekiant su duomenų subjektu, ir ši informacija pateikiama aiškiai ir
          atskirai nuo visos kitos informacijos.

5419/16                                                                      JV/rzi                      145
                                                   DGD 2                                             LT
 ---pagebreak--- 5.        Naudojimosi informacinės visuomenės paslaugomis atveju, nepaisant
          Direktyvos 2002/58/EB, duomenų subjektas gali naudotis savo teise nesutikti
          automatizuotomis priemonėmis, kurioms naudojamos techninės specifikacijos.

6.        Kai asmens duomenys yra tvarkomi mokslinių ar istorinių tyrimų arba statistiniais tikslais
          pagal 89 straipsnio 1 dalį, duomenų subjektas dėl su jo konkrečiu atveju susijusių
          priežasčių turi teisę nesutikti, kad su juo susiję asmens duomenys būtų tvarkomi, išskyrus
          atvejus, kai duomenis tvarkyti yra būtina siekiant atlikti užduotį, vykdomą dėl viešojo
          intereso priežasčių.

                                             22 straipsnis
                 Automatizuotas atskirų sprendimų priėmimas, įskaitant profiliavimą

1.        Duomenų subjektas turi teisę, kad jam nebūtų taikomas tik automatizuotu duomenų
          tvarkymu, įskaitant profiliavimą, grindžiamas sprendimas, dėl kurio jam kyla teisinės
          pasekmės arba kuris jam panašiu būdu daro didelį poveikį.

2.        1 dalis netaikoma, jeigu sprendimas:

          a)    yra būtinas siekiant sudaryti arba vykdyti sutartį tarp duomenų subjekto ir duomenų
                valdytojo;

          b)    yra leidžiamas Sąjungos arba valstybės narės teisėje, kurie taikomi duomenų
                valdytojui ir kuriais taip pat nustatomos tinkamos priemonės duomenų subjekto
                teisėms bei laisvėms ir teisėtiems interesams apsaugoti; arba

          c)    yra pagrįstas aiškiu duomenų subjekto sutikimu.

5419/16                                                                   JV/rzi                    146
                                                 DGD 2                                              LT
 ---pagebreak--- 3.        2 dalies a ir c punktuose nurodytais atvejais duomenų valdytojas įgyvendina tinkamas
          priemones, kad būtų apsaugotos duomenų subjekto teisės bei laisvės ir teisėti interesai,
          bent teisė iš duomenų valdytojo reikalauti žmogaus įsikišimo, pareikšti savo požiūrį ir
          užginčyti sprendimą.

4.        2 dalyje nurodyti sprendimai negrindžiami 9 straipsnio 1 dalyje nurodytais specialių
          kategorijų asmens duomenimis, nebent taikomi 9 straipsnio 2 dalies a arba g punktai ir yra
          nustatytos tinkamos priemonės duomenų subjekto teisėms bei laisvėms ir teisėtiems
          interesams apsaugoti.

                                              5 SKIRSNIS
                                            APRIBOJIMAI

                                              23 straipsnis
                                              Apribojimai

1.        Sąjungos ar valstybės narės teise, kuri taikoma duomenų valdytojui arba duomenų
          tvarkytojui, teisėkūros priemone gali būti apribotos 12–22 straipsniuose ir 34 straipsnyje,
          taip pat 5 straipsnyje tiek, kiek jo nuostatos atitinka 12–22 straipsniuose numatytas teises ir
          prievoles, nustatytos prievolės ir teisės, kai tokiu apribojimu gerbiama pagrindinių teisių ir
          laisvių esmė ir jis demokratinėje visuomenėje yra būtina ir proporcinga priemonė siekiant
          užtikrinti:

          a)    nacionalinį saugumą;

5419/16                                                                     JV/rzi                   147
                                                 DGD 2                                              LT
 ---pagebreak---           b)   gynybą;

          c)   visuomenės saugumą;

          d)   nusikalstamų veikų prevenciją, tyrimą, nustatymą ar patraukimą už jas baudžiamojon
               atsakomybėn arba baudžiamųjų sankcijų vykdymą, įskaitant apsaugą nuo grėsmių
               visuomenės saugumui ir jų prevenciją;

          e)   kitus Sąjungos ar valstybės narės svarbius tikslus, susijusius su bendrais viešaisiais
               interesais, visų pirma svarbiu ekonominiu ar finansiniu Sąjungos ar valstybės narės
               interesu, įskaitant pinigų, biudžeto bei mokesčių klausimus, visuomenės sveikatą ir
               socialinę apsaugą;

          f)   teismų nepriklausomumo ir teismo proceso apsaugą;

          g)   reglamentuojamųjų profesijų etikos pažeidimų prevenciją, tyrimą, nustatymą ir
               patraukimą baudžiamojon atsakomybėn už juos;

          h)   stebėsenos, tikrinimo ar reguliavimo funkciją, kuri (net jeigu tik kartais) yra susijusi
               su viešosios valdžios funkcijų vykdymu a, b, c, d, e ir g punktuose nurodytais
               atvejais;

          i)   duomenų subjekto apsaugą arba kitų asmenų teisių ir laisvių apsaugą;

          j)   civilinių ieškinių vykdymo užtikrinimą.

5419/16                                                                    JV/rzi                   148
                                                DGD 2                                              LT
 ---pagebreak--- 2.        Visų pirma visose 1 dalyje nurodytose teisėkūros priemonėse pateikiamos konkrečios
          nuostatos, susijusios tam tikrais atvejais bent su:

          a)    duomenų tvarkymo tikslais arba duomenų tvarkymo kategorijomis,

          b)    asmens duomenų kategorijomis,

          c)    nustatytų apribojimų apimtimi,

          d)    apsaugos priemonėmis, kuriomis siekiama užkirsti kelią piktnaudžiavimui arba
                neteisėtam susipažinimui su duomenimis ar jų perdavimui,

          e)    duomenų valdytojo arba duomenų valdytojų kategorijų apibūdinimu,

          f)    saugojimo laikotarpiais ir taikytinomis apsaugos priemonėmis, atsižvelgiant į
                duomenų tvarkymo arba duomenų tvarkymo kategorijų pobūdį, aprėptį ir tikslus,

          g)    pavojais duomenų subjektų teisėms ir laisvėms, ir

          h)    duomenų subjektų teise būti informuotiems apie apribojimą, nebent tai pakenktų
                apribojimo tikslui.

5419/16                                                                  JV/rzi                  149
                                                  DGD 2                                          LT
 ---pagebreak---                                          IV SKYRIUS
     DUOMENŲ VALDYTOJAS IR DUOMENŲ TVARKYTOJAS

                                            1 SKIRSNIS
                                    BENDROSIOS PRIEVOLĖS

                                            24 straipsnis
                                   Duomenų valdytojo atsakomybė

1.        Atsižvelgdamas į duomenų tvarkymo pobūdį, aprėptį, kontekstą bei tikslus, taip pat į
          įvairios tikimybės ir rimtumo pavojus fizinių asmenų teisėms ir laisvėms, duomenų
          valdytojas įgyvendina tinkamas technines ir organizacines priemones, kad užtikrintų ir
          galėtų įrodyti, kad duomenys tvarkomi laikantis šio reglamento. Tos priemonės prireikus
          peržiūrimos ir atnaujinamos.

2.        Kai tai proporcinga duomenų tvarkymo veiklos atžvilgiu, 1 dalyje nurodytos priemonės
          apima duomenų valdytojo įgyvendinamą atitinkamą duomenų apsaugos politiką.

3.        Tuo, kad laikomasi patvirtintų elgesio kodeksų, kaip nurodyta 40 straipsnyje, arba
          patvirtintų sertifikavimo mechanizmų, kaip nurodyta 42 straipsnyje, gali būti remiamasi
          kaip vienu iš elementų, kuriuo siekiama įrodyti, kad duomenų valdytojas vykdo prievoles.

5419/16                                                                  JV/rzi                    150
                                                DGD 2                                            LT
 ---pagebreak---                                              25 straipsnis
                 Pritaikytoji duomenų apsauga ir standartizuotoji duomenų apsauga

1.        Atsižvelgdamas į techninių galimybių išsivystymo lygį, įgyvendinimo sąnaudas bei
          duomenų tvarkymo pobūdį, aprėptį, kontekstą ir tikslus, taip pat į duomenų tvarkymo
          keliamus įvairios tikimybės ir rimtumo pavojus fizinių asmenų teisėms ir laisvėms,
          duomenų valdytojas, tiek nustatydamas duomenų tvarkymo priemones, tiek paties
          duomenų tvarkymo metu, įgyvendina tinkamas technines ir organizacines priemones, kaip
          antai pseudonimų suteikimą, kuriomis siekiama veiksmingai įgyvendinti duomenų
          apsaugos principus, kaip antai duomenų kiekio mažinimo principą, ir į duomenų tvarkymą
          integruoti būtinas apsaugos priemones, kad jis atitiktų šio reglamento reikalavimus ir
          apsaugotų duomenų subjektų teises.

2.        Duomenų valdytojas įgyvendina tinkamas technines ir organizacines priemones, kuriomis
          užtikrina, kad standartizuotai būtų tvarkomi tik tie asmens duomenys, kurie yra būtini
          kiekvienam konkrečiam duomenų tvarkymo tikslui. Ta prievolė taikoma surinktų asmens
          duomenų kiekiui, jų tvarkymo apimčiai, jų saugojimo laikotarpiui ir jų prieinamumui. Visų
          pirma tokiomis priemonėmis užtikrinama, kad standartizuotai be fizinio asmens įsikišimo
          su asmens duomenimis negalėtų susipažinti neribotas fizinių asmenų skaičius.

3.        Patvirtintu sertifikavimo mechanizmu pagal 42 straipsnį gali būti remiamasi kaip vienu iš
          elementų siekiant įrodyti, kad laikomasi šio straipsnio 1 ir 2 dalyse nustatytų reikalavimų.

5419/16                                                                    JV/rzi                  151
                                                 DGD 2                                             LT
 ---pagebreak---                                               26 straipsnis
                                        Bendri duomenų valdytojai

1.        Kai du ar daugiau duomenų valdytojų kartu nustato duomenų tvarkymo tikslus ir
          priemones, jie yra bendri duomenų valdytojai. Jie tarpusavio susitarimu skaidriu būdu
          nustato savo atitinkamas atsakomybes už pagal šį reglamentą nustatytų prievolių, visų
          pirma susijusių su duomenų subjekto naudojimusi savo teisėmis ir jų atitinkamomis
          pareigomis pateikti 13 ir 14 straipsniuose nurodytą informaciją, vykdymą, išskyrus atvejus,
          kai atitinkamos duomenų valdytojų atsakomybės yra nustatytos Sąjungos arba valstybės
          narės teisėje, kurie yra taikomi duomenų valdytojams, ir tokiu mastu, kokiu jos yra
          nustatytos. Susitarimu gali būti paskirtas duomenų subjektų informavimo punktas.

2.        1 dalyje numatytame susitarime tinkamai apibrėžiamos atitinkamos faktinės bendrų
          duomenų valdytojų funkcijos bei santykiai duomenų subjektų atžvilgiu. Duomenų
          subjektui sudaroma galimybė susipažinti su esminėmis šio susitarimo nuostatomis.

3.        Nepaisant 1 dalyje nurodyto susitarimo sąlygų, duomenų subjektas gali naudotis savo
          teisėmis pagal šį reglamentą kiekvieno iš duomenų valdytojų atžvilgiu.

                                              27 straipsnis
             Sąjungoje neįsisteigusių duomenų valdytojų ar duomenų tvarkytojų atstovai

1.        Jeigu taikoma 3 straipsnio 2 dalis, duomenų valdytojas arba duomenų tvarkytojas raštu
          paskiria atstovą Sąjungoje.

5419/16                                                                  JV/rzi                   152
                                                 DGD 2                                            LT
 ---pagebreak--- 2.        Ši prievolė netaikoma:

          a)    jei duomenų tvarkymas yra nereguliarus, neapima specialių kategorijų duomenų
                tvarkymo, kaip nurodyta 9 straipsnio 1 dalyje, dideliu mastu ar 10 straipsnyje
                nurodyto asmens duomenų apie apkaltinamuosius nuosprendžius ir nusikalstamas
                veikas tvarkymo ir dėl jo neturėtų kilti pavojus fizinių asmenų teisėms ir laisvėms,
                atsižvelgiant į duomenų tvarkymo pobūdį, kontekstą, aprėptį ir tikslus; arba

          b)    valdžios institucijai arba įstaigai.

3.        Atstovas turi būti įsisteigęs vienoje iš tų valstybių narių, kuriose yra duomenų subjektai ir
          kurių asmens duomenys yra tvarkomi prekių ar paslaugų siūlymo jiems tikslais arba kurių
          elgesys yra stebimas.

4.        Duomenų valdytojas arba duomenų tvarkytojas įgalioja atstovą, kad visų pirma priežiūros
          institucijos ir duomenų subjektai galėtų kreiptis ne tik į duomenų valdytoją ar duomenų
          tvarkytoją, bet ir į atstovą, arba tik į atstovą visais klausimais, susijusiais su duomenų
          tvarkymu, siekiant užtikrinti, kad būtų laikomasi šio reglamento.

5.        Tai, kad duomenų valdytojas arba duomenų tvarkytojas paskiria atstovą, nedaro poveikio
          teisiniams veiksmams, kurių galėtų būti imtasi prieš patį duomenų valdytoją arba duomenų
          tvarkytoją.

5419/16                                                                      JV/rzi                    153
                                                   DGD 2                                               LT
 ---pagebreak---                                              28 straipsnis
                                         Duomenų tvarkytojas

1.        Kai duomenys turi būti tvarkomi duomenų valdytojo vardu, duomenų valdytojas pasitelkia
          tik tuos duomenų tvarkytojus, kurie pakankamai užtikrina, kad tinkamos techninės ir
          organizacinės priemonės bus įgyvendintos tokiu būdu, kad duomenų tvarkymas atitiktų šio
          reglamento reikalavimus ir būtų užtikrinta duomenų subjekto teisių apsauga.

2.        Duomenų tvarkytojas nepasitelkia kito duomenų tvarkytojo be išankstinio konkretaus arba
          bendro rašytinio duomenų valdytojo leidimo. Bendro rašytinio leidimo atveju duomenų
          tvarkytojas informuoja duomenų valdytoją apie visus planuojamus pakeitimus, susijusius
          su kitų duomenų tvarkytojų pasitelkimu ar pakeitimu, ir tokiu būdu suteikdamas duomenų
          valdytojui galimybę nesutikti su tokiais pakeitimais.

3.        Duomenų tvarkytojo atliekamas duomenų tvarkymas reglamentuojamas sutartimi ar kitu
          teisės aktu pagal Sąjungos arba valstybės narės teisę, kurie yra privalomi duomenų
          tvarkytojui duomenų valdytojo atžvilgiu ir kurioje nustatomi duomenų tvarkymo dalykas ir
          trukmė, duomenų tvarkymo pobūdis ir tikslas, asmens duomenų rūšis ir duomenų subjektų
          kategorijos bei duomenų valdytojo prievolės ir teisės. Toje sutartyje ar kitame teisės akte
          visų pirma nustatoma, kad duomenų tvarkytojas:

          a)    tvarko asmens duomenis tik pagal duomenų valdytojo dokumentais įformintus
                nurodymus, įskaitant, susijusius su asmens duomenų perdavimu į trečiąją valstybę ar
                tarptautinei organizacijai, išskyrus atvejus, kai tai daryti reikalaujama Sąjungos arba
                valstybės narės teise, kuri yra taikoma duomenų tvarkytojui; tokiu atveju duomenų
                tvarkytojas prieš pradėdamas tvarkyti duomenis praneša apie tokį teisinį reikalavimą
                duomenų valdytojui, išskyrus atvejus, kai pagal tą teisę toks pranešimas yra
                draudžiamas dėl svarbių viešojo intereso priežasčių;

5419/16                                                                    JV/rzi                   154
                                                 DGD 2                                             LT
 ---pagebreak---           b)   užtikrina, kad asmens duomenis tvarkyti įgalioti asmenys būtų įsipareigoję užtikrinti
               konfidencialumą arba jiems būtų taikoma atitinkama įstatais nustatyta
               konfidencialumo prievolė;

          c)   imasi visų priemonių, kurių reikalaujama pagal 32 straipsnį;

          d)   laikosi 2 ir 4 dalyse nurodytų kito duomenų tvarkytojo pasitelkimo sąlygų;

          e)   atsižvelgdamas į duomenų tvarkymo pobūdį, padeda duomenų valdytojui taikydamas
               tinkamas technines ir organizacines priemones, kiek tai įmanoma, kad būtų įvykdyta
               duomenų valdytojo prievolė atsakyti į prašymus pasinaudoti III skyriuje nustatytomis
               duomenų subjekto teisėmis;

          f)   padeda duomenų valdytojui užtikrinti 32–36 straipsniuose nustatytų prievolių
               laikymąsi, atsižvelgdamas į duomenų tvarkymo pobūdį ir duomenų tvarkytojo turimą
               informaciją;

          g)   pagal duomenų valdytojo pasirinkimą, užbaigus teikti su duomenų tvarkymu
               susijusias paslaugas, ištrina arba grąžina duomenų valdytojui visus asmens duomenis
               ir ištrina esamas jų kopijas, išskyrus atvejus, kai Sąjungos ar valstybės narės teise
               reikalaujama asmens duomenis saugoti;

5419/16                                                                    JV/rzi                      155
                                                DGD 2                                              LT
 ---pagebreak---           h)    pateikia duomenų valdytojui visą informaciją, būtiną siekiant įrodyti, kad vykdomos
                šiame straipsnyje nustatytos prievolės, ir sudaro sąlygas bei padeda duomenų
                valdytojui arba kitam duomenų valdytojo įgaliotam auditoriui atlikti auditą, įskaitant
                patikrinimus.

          Pirmos pastraipos h punkto atžvilgiu duomenų tvarkytojas nedelsdamas informuoja
          duomenų valdytoją, jei, jo nuomone, nurodymas pažeidžia šį reglamentą ar kitas Sąjungos
          ar valstybės narės duomenų apsaugos nuostatas.

4.        Kai duomenų tvarkytojas konkrečiai duomenų tvarkymo veiklai duomenų valdytojo vardu
          atlikti pasitelkia kitą duomenų tvarkytoją, sutartimi ar kitu teisės aktu pagal Sąjungos ar
          valstybės narės teisę tam kitam duomenų tvarkytojui nustatomos tos pačios duomenų
          apsaugos prievolės, kaip ir prievolės, nustatytos 3 dalyje nurodytoje duomenų valdytojo ir
          duomenų tvarkytojo sutartyje ar kitame teisės akte, visų pirma prievolė pakankamai
          užtikrinti, kad tinkamos techninės ir organizacinės priemonės bus įgyvendintos tokiu būdu,
          kad duomenų tvarkymas atitiktų šio reglamento reikalavimus. Kai tas kitas duomenų
          tvarkytojas nevykdo duomenų apsaugos prievolių, pirminis duomenų tvarkytojas išlieka
          visiškai atsakingas duomenų valdytojui už to kito duomenų tvarkytojo prievolių vykdymą.

5.        Tuo, kad duomenų tvarkytojas laikosi patvirtinto elgesio kodekso, kaip nurodyta
          40 straipsnyje, arba patvirtinto sertifikavimo mechanizmo, kaip nurodyta 42 straipsnyje,
          gali būti remiamasi kaip vienu iš elementų, kuriuo siekiama įrodyti pakankamą
          užtikrinimą, kaip nurodyta šio straipsnio 1 ir 4 dalyse.

5419/16                                                                     JV/rzi                  156
                                                 DGD 2                                             LT
 ---pagebreak--- 6.        Nedarant poveikio atskirai duomenų valdytojo ir duomenų tvarkytojo sutarčiai, šio
          straipsnio 3 ir 4 dalyse nurodyta sutartis ar kitas teisės aktas visas arba iš dalies gali būti
          grindžiamas standartinėmis sutarčių sąlygomis, nurodytomis šio straipsnio 7 ir 8 dalyse,
          įskaitant, kai jos yra pagal 42 ir 43 straipsnius duomenų valdytojui ar duomenų tvarkytojui
          suteikiamo sertifikavimo dalis.

7.        Komisija šio straipsnio 3 ir 4 dalyse nurodytais klausimais gali nustatyti standartines
          sutarčių sąlygas laikydamasi 93 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.

8.        Priežiūros institucija šio straipsnio 3 ir 4 dalyse nurodytais klausimais gali nustatyti
          standartines sutarčių sąlygas taikydama 63 straipsnyje nurodytą nuoseklumo užtikrinimo
          mechanizmą.

9.        3 ir 4 dalyse nurodyta sutartis ar kitas teisės aktas sudaromas raštu, įskaitant elektronine
          forma.

10.       Nedarant poveikio 82, 83 ir 84 straipsniams, jei duomenų tvarkytojas nustatydamas
          duomenų tvarkymo tikslus ir priemones pažeidžia šį reglamentą, to duomenų tvarkymo
          atžvilgiu duomenų tvarkytojas yra laikomas duomenų valdytoju.

                                               29 straipsnis
     Duomenų valdytojui ar duomenų tvarkytojui pavaldžių asmenų atliekamas duomenų tvarkymas

Duomenų tvarkytojas ir bet kuris duomenų valdytojui arba duomenų tvarkytojui pavaldus asmuo,
galintis susipažinti su asmens duomenimis, negali tų duomenų tvarkyti, išskyrus atvejus, kai
duomenų valdytojas duoda nurodymus juos tvarkyti, nebent tai daryti reikalaujama pagal Sąjungos
ar valstybės narės teisę.

5419/16                                                                       JV/rzi                    157
                                                   DGD 2                                               LT
 ---pagebreak---                                              30 straipsnis
                                  Duomenų tvarkymo veiklos įrašai

1.        Kiekvienas duomenų valdytojas ir, kai taikoma, duomenų valdytojo atstovas tvarko
          duomenų tvarkymo veiklos, už kurią jis atsako, įrašus. Tame įraše pateikiama visa toliau
          nurodyta informacija:

          a)   duomenų valdytojo ir, jei taikoma, bendro duomenų valdytojo, duomenų valdytojo
               atstovo ir duomenų apsaugos pareigūno vardas bei pavardė (pavadinimas) ir
               kontaktiniai duomenys;

          b)   duomenų tvarkymo tikslai;

          c)   duomenų subjektų kategorijų ir asmens duomenų kategorijų aprašymas;

          d)   duomenų gavėjų, kuriems buvo arba bus atskleisti asmens duomenys, įskaitant
               duomenų gavėjus trečiosiose valstybėse ar tarptautines organizacijas, kategorijos;

          e)   kai taikoma, asmens duomenų perdavimai trečiajai valstybei arba tarptautinei
               organizacijai, įskaitant tos trečiosios valstybės arba tarptautinės organizacijos
               pavadinimą, ir 49 straipsnio 1 dalies antroje pastraipoje nurodytais duomenų
               perdavimų atvejais tinkamų apsaugos priemonių dokumentai;

          f)   kai įmanoma, numatomi įvairių kategorijų duomenų ištrynimo terminai;

          g)   kai įmanoma, bendras 32 straipsnio 1 dalyje nurodytų techninių ir organizacinių
               saugumo priemonių aprašymas.

5419/16                                                                    JV/rzi                   158
                                                DGD 2                                              LT
 ---pagebreak--- 2.        Kiekvienas duomenų tvarkytojas ir, jei taikoma, duomenų tvarkytojo atstovas tvarko su
          visų kategorijų su duomenų tvarkymo veikla, vykdoma duomenų valdytojo vardu,
          susijusius įrašus, kuriuose nurodoma:

          a)    duomenų tvarkytojo ar duomenų tvarkytojų ir kiekvieno duomenų valdytojo, kurio
                vardu veikia duomenų tvarkytojas, taip pat, jei taikoma, duomenų valdytojo ar
                duomenų tvarkytojo atstovo ir duomenų apsaugos pareigūno vardas bei pavardė
                (pavadinimas) ir kontaktiniai duomenys;

          b)    kiekvieno duomenų valdytojo vardu atliekamo duomenų tvarkymo kategorijos;

          c)    kai taikoma, asmenų duomenų perdavimai trečiajai valstybei arba tarptautinei
                organizacijai, be kita ko, nurodant tą trečiąją valstybę arba tarptautinę organizaciją,
                ir, 49 straipsnio 1 dalies antroje pastraipoje nurodytų duomenų perdavimų atveju,
                tinkamų apsaugos priemonių dokumentai;

          d)    kai įmanoma, bendras 32 straipsnio 1 dalyje nurodytų techninių ir organizacinių
                saugumo priemonių aprašymas.

3.        1 ir 2 dalyse nurodyti įrašai tvarkomi raštu, įskaitant elektronine forma.

4.        Duomenų valdytojas ar duomenų tvarkytojas ir, jei taikoma, duomenų valdytojo arba
          duomenų tvarkytojo atstovas pateikia įrašą priežiūros institucijai, gavę prašymą.

5419/16                                                                     JV/rzi                   159
                                                  DGD 2                                             LT
 ---pagebreak--- 5.        1 ir 2 dalyse nurodytos prievolės netaikomos įmonei arba organizacijai, kurioje dirba
          mažiau kaip 250 darbuotojų, išskyrus atvejus, kai dėl jos vykdomo duomenų tvarkymo gali
          kilti pavojus duomenų subjektų teisėms ir laisvėms, duomenų tvarkymas nėra nereguliarus
          arba duomenų tvarkymas apima specialių kategorijų asmens duomenis, kaip nurodyta
          9 straipsnio 1 dalyje, arba tvarkomi asmens duomenys apie apkaltinamuosius
          nuosprendžius ir nusikalstamas veikas, kaip nurodyta 10 straipsnyje.

                                              31 straipsnis
                               Bendradarbiavimas su priežiūros institucija

Duomenų valdytojas ir duomenų tvarkytojas, taip pat, jei taikoma, jų atstovai, gavę prašymą
bendradarbiauja su priežiūros institucija jai vykdant savo užduotis.

                                              2 SKIRSNIS
                                    ASMENS DUOMENŲ SAUGUMAS

                                              32 straipsnis
                                       Duomenų tvarkymo saugumas

1.        Atsižvelgdamas į techninių galimybių išsivystymo lygį, įgyvendinimo sąnaudas bei
          duomenų tvarkymo pobūdį, aprėptį, kontekstą ir tikslus, taip pat duomenų tvarkymo
          keliamus įvairios tikimybės ir rimtumo pavojus fizinių asmenų teisėms ir laisvėms,
          duomenų valdytojas ir duomenų tvarkytojas įgyvendina tinkamas technines ir
          organizacines priemones, kad būtų užtikrintas pavojų atitinkančio lygio saugumas,
          įskaitant inter alia, jei reikia:

          a)    pseudonimų suteikimą asmens duomenims ir jų šifravimą;

5419/16                                                                      JV/rzi               160
                                                 DGD 2                                            LT
 ---pagebreak---           b)    gebėjimą užtikrinti nuolatinį duomenų tvarkymo sistemų ir paslaugų
                konfidencialumą, vientisumą, prieinamumą ir atsparumą;

          c)    gebėjimą laiku atkurti sąlygas ir galimybes naudotis asmens duomenimis fizinio ar
                techninio incidento atveju;

          d)    reguliarų techninių ir organizacinių priemonių, kuriomis užtikrinamas duomenų
                tvarkymo saugumas, tikrinimo, vertinimo ir veiksmingumo vertinimo procesą.

2.        Nustatant tinkamo lygio saugumą visų pirma atsižvelgiama į pavojus, kurie kyla dėl
          duomenų tvarkymo, visų pirma dėl netyčinio arba neteisėto persiųstų, saugomų ar kitaip
          tvarkomų duomenų sunaikinimo, praradimo, pakeitimo, atskleidimo be leidimo ar
          neteisėtos prieigos prie jų.

3.        Tuo, kad laikomasi patvirtinto elgesio kodekso, kaip nurodyta 40 straipsnyje, arba
          patvirtinto sertifikavimo mechanizmo, kaip nurodyta 42 straipsnyje, gali būti remiamasi
          kaip vienu iš elementų, kuriuo siekiama įrodyti, kad laikomasi šio straipsnio 1 dalyje
          nustatytų reikalavimų.

4.        Duomenų valdytojas ir duomenų tvarkytojas imasi priemonių siekdami užtikrinti, kad bet
          kuris duomenų valdytojui arba duomenų tvarkytojui pavaldus fizinis asmuo, galintis
          susipažinti su asmens duomenimis, jų netvarkytų, išskyrus atvejus, kai duomenų valdytojas
          duoda nurodymus juos tvarkyti, nebent tas asmuo privalo tai daryti pagal Sąjungos arba
          valstybės narės teisę.

5419/16                                                                   JV/rzi                   161
                                                DGD 2                                              LT
 ---pagebreak---                                               33 straipsnis
               Pranešimas priežiūros institucijai apie asmens duomenų saugumo pažeidimą

1.        Asmens duomenų saugumo pažeidimo atveju duomenų valdytojas nepagrįstai nedelsdamas
          ir, jei įmanoma, praėjus ne daugiau kaip per 72 valandoms nuo tada, kai jis sužino apie
          asmens duomenų saugumo pažeidimą, apie tai praneša priežiūros institucijai, kuri yra
          kompetentinga pagal 55 straipsnį, nebent asmens duomenų saugumo pažeidimas neturėtų
          kelti pavojaus fizinių asmenų teisėms ir laisvėms. Jeigu priežiūros institucijai apie asmens
          duomenų saugumo pažeidimą nepranešama per 72 valandas, prie pranešimo pridedamos
          vėlavimo priežastys.

2.        Duomenų tvarkytojas, sužinojęs apie asmens duomenų saugumo pažeidimą, nepagrįstai
          nedelsdamas apie tai praneša duomenų valdytojui.

3.        1 dalyje nurodytame pranešime turi būti bent:

          a)     aprašytas asmens duomenų saugumo pažeidimo pobūdis, įskaitant, jeigu įmanoma,
                 atitinkamų duomenų subjektų kategorijas ir apytikslį skaičių, taip pat atitinkamų
                 asmens duomenų įrašų kategorijas ir apytikslį skaičių;

          b)     nurodyta duomenų apsaugos pareigūno arba kito kontaktinio asmens, galinčio
                 suteikti daugiau informacijos, vardas bei pavardė (pavadinimas) ir kontaktiniai
                 duomenys;

          c)     aprašytos tikėtinos asmens duomenų saugumo pažeidimo pasekmės;

          d)     aprašytos priemonės, kurių ėmėsi arba pasiūlė imtis duomenų valdytojas, kad būtų
                 pašalintas asmens duomenų saugumo pažeidimas, įskaitant, kai tinkama, priemones
                 galimoms neigiamoms jo pasekmėms sumažinti.

5419/16                                                                    JV/rzi                    162
                                                 DGD 2                                               LT
 ---pagebreak--- 4.        Kai ir jeigu informacijos neįmanoma pateikti tuo pačiu metu, informacija toliau nepagrįstai
          nedelsiant gali būti teikiama etapais.

5.        Duomenų valdytojas dokumentuoja visus asmens duomenų saugumo pažeidimus, įskaitant
          su asmens duomenų saugumo pažeidimu susijusius faktus, jo poveikį ir taisomuosius
          veiksmus, kurių buvo imtasi. Remdamasi tais dokumentais priežiūros institucija turi galėti
          patikrinti, ar laikomasi šio straipsnio.

                                               34 straipsnis
               Pranešimas duomenų subjektui apie asmens duomenų saugumo pažeidimą

1.        Kai dėl asmens duomenų saugumo pažeidimo gali kilti didelis pavojus duomenų fizinių
          asmenų teisėms ir laisvėms, duomenų valdytojas nepagrįstai nedelsdamas praneša apie
          asmens duomenų saugumo pažeidimą duomenų subjektui.

2.        Šio straipsnio 1 dalyje nurodytame pranešime duomenų subjektui aiškia ir paprasta kalba
          aprašomas asmens duomenų saugumo pažeidimo pobūdis ir pateikiama bent 33 straipsnio
          3 dalies b, c ir d punktuose nurodyta informacija ir rekomendacijos.

3.        1 dalyje nurodyto pranešimo duomenų subjektui nereikalaujama, jeigu įvykdomos bet
          kurios toliau nurodytos sąlygos:

          a)    duomenų valdytojas įgyvendino tinkamas technines ir organizacines apsaugos
                priemones ir tos priemonės taikytos asmens duomenims, kuriems asmens duomenų
                saugumo pažeidimas turėjo poveikio, visų pirma tas priemones, kuriomis
                užtikrinama, kad asmeniui, neturinčiam leidimo susipažinti su asmens duomenimis,
                jie būtų nesuprantami, pavyzdžiui, šifravimo priemones;

5419/16                                                                   JV/rzi                 163
                                                     DGD 2                                      LT
 ---pagebreak---           b)    duomenų valdytojas vėliau ėmėsi priemonių, kuriomis užtikrinama, kad nebegalėtų
                kilti 1 dalyje nurodytas didelis pavojus duomenų subjektų teisėms ir laisvėms;

          c)    tai pareikalautų neproporcingai daug pastangų. Tokiu atveju vietoj to apie tai viešai
                paskelbiama arba taikoma panaši priemonė, kuria duomenų subjektai būtų
                informuojami taip pat efektyviai.

4.        Jeigu duomenų valdytojas dar nėra pranešęs duomenų subjektui apie asmens duomenų
          saugumo pažeidimą, priežiūros institucija, apsvarsčiusi, kokia yra tikimybė, kad dėl
          asmens duomenų saugumo pažeidimo kils didelis pavojus, gali pareikalauti, kad jis tą
          padarytų, arba gali nuspręsti, kad įvykdyta bet kuri iš 3 dalyje nurodytų sąlygų.

                                             3 SKIRSNIS
     POVEIKIO DUOMENŲ APSAUGAI VERTINIMAS IR IŠANKSTINĖS KONSULTACIJOS

                                             35 straipsnis
                                Poveikio duomenų apsaugai vertinimas

1.        Tais atvejais, kai dėl duomenų tvarkymo rūšies, visų pirma, kai naudojamos naujos
          technologijos, ir atsižvelgiant į duomenų tvarkymo pobūdį, aprėptį, kontekstą ir tikslus,
          fizinių asmenų teisėms bei laisvėms gali kilti didelis pavojus, duomenų valdytojas, prieš
          pradėdamas tvarkyti duomenis, atlieka numatytų duomenų tvarkymo operacijų poveikio
          asmens duomenų apsaugai vertinimą. Panašius didelius pavojus keliančių duomenų
          tvarkymo operacijų sekai išnagrinėti galima atlikti vieną vertinimą.

5419/16                                                                    JV/rzi                     164
                                                DGD 2                                             LT
 ---pagebreak--- 2.        Atlikdamas poveikio duomenų apsaugai vertinimą duomenų valdytojas konsultuojasi su
          duomenų apsaugos pareigūnu, jei toks yra paskirtas.

3.        1 dalyje nurodytas poveikio duomenų apsaugai vertinimas visų pirma turi būti atliekamas
          šiuo atveju:

          a)    sistemingas ir išsamus su fiziniais asmenimis susijusių asmeninių aspektų vertinimas,
                kuris yra grindžiamas automatizuotu tvarkymu, įskaitant profiliavimą, ir kuriuo
                remiantis priimami sprendimai, kuriais padaromas su fiziniu asmeniu susijęs teisinis
                poveikis arba kurie daro panašų didelį poveikį fiziniam asmeniui;

          b)    9 straipsnio 1 dalyje nurodytų specialių kategorijų duomenų arba 10 straipsnyje
                nurodytų asmens duomenų apie apkaltinamuosius nuosprendžius ir nusikalstamas
                veikas tvarkymas dideliu mastu; arba

          c)    sistemingas viešos vietos stebėjimas dideliu mastu.

4.        Priežiūros institucija sudaro ir viešai paskelbia tų rūšių duomenų tvarkymo operacijų,
          kurioms taikomas reikalavimas atlikti poveikio duomenų apsaugai vertinimą pagal 1 dalį,
          sąrašą. Priežiūros institucija šiuos sąrašus pateikia 68 straipsnyje nurodytai Valdybai.

5.        Priežiūros institucija taip pat gali sudaryti ir viešai paskelbti tų rūšių duomenų tvarkymo
          operacijų, kurioms netaikomas reikalavimas atlikti poveikio duomenų apsaugai vertinimą,
          sąrašą. Priežiūros institucija šiuos sąrašus pateikia Valdybai.

5419/16                                                                     JV/rzi                   165
                                                 DGD 2                                               LT
 ---pagebreak--- 6.        Prieš patvirtindama 4 ir 5 dalyse nurodytus sąrašus, kompetentinga priežiūros institucija
          taiko 63 straipsnyje nurodytą nuoseklumo užtikrinimo mechanizmą, kai tokiuose sąrašuose
          nurodoma duomenų tvarkymo veikla, kuri yra susijusi su prekių ar paslaugų siūlymu
          duomenų subjektams arba su duomenų subjektų elgesio stebėjimu keliose valstybėse
          narėse, arba kurią vykdant gali būti padarytas didelis poveikis laisvam asmens duomenų
          judėjimui Sąjungoje.

7.        Įvertinime pateikiama bent jau:

          a)   sistemingas numatytų duomenų tvarkymo operacijų aprašymas ir duomenų tvarkymo
               tikslai, įskaitant, kai taikoma, teisėtus interesus, kurių siekia duomenų valdytojas;

          b)   duomenų tvarkymo operacijų reikalingumo ir proporcingumo, palyginti su tikslais,
               vertinimas;

          c)   1 dalyje nurodytas duomenų subjektų teisėms ir laisvėms kylančių pavojų
               vertinimas; ir

          d)   pavojams pašalinti numatytos priemonės, įskaitant apsaugos priemones, saugumo
               priemones ir mechanizmus, kuriais užtikrinama asmens duomenų apsauga ir
               įrodoma, kad laikomasi šio reglamento, atsižvelgiant į duomenų subjektų ir kitų
               susijusių asmenų teises ir teisėtus interesus.

5419/16                                                                    JV/rzi                      166
                                                DGD 2                                              LT
 ---pagebreak--- 8.        Vertinant duomenų valdytojų ir duomenų tvarkytojų vykdomų duomenų tvarkymo
          operacijų poveikį, visų pirma atliekant poveikio duomenų apsaugai vertinimą, deramai
          atsižvelgiama į tai, ar atitinkami duomenų valdytojai ir duomenų tvarkytojai laikosi
          40 straipsnyje nurodytų patvirtintų elgesio kodeksų.

9.        Atitinkamais atvejais duomenų valdytojas siekia išsiaiškinti duomenų subjektų ar jų
          atstovų nuomonę apie numatytą duomenų tvarkymą, nepažeisdamas komercinių ar viešųjų
          interesų apsaugos arba duomenų tvarkymo operacijų saugumo reikalavimų.

10.       Jeigu duomenų tvarkymas pagal 6 straipsnio 1 dalies c arba e punktą turi teisinį pagrindą
          Sąjungos arba valstybės narės teisėje, kuri yra taikoma duomenų valdytojui, ir tokia teisė
          reglamentuoja atitinkamą konkrečią duomenų tvarkymo operaciją ar operacijų seką, o
          poveikio duomenų apsaugai vertinimas jau buvo atliktas kaip dalis bendro poveikio
          vertinimo priimant tą teisinį pagrindą, 1–7 dalys netaikomos, išskyrus atvejus, kai
          valstybės narės mano, kad prieš pradedant duomenų tvarkymo veiklą būtina atlikti tokį
          vertinimą.

11.       Prireikus duomenų valdytojas atlieka peržiūrą, kad įvertintų, ar duomenys tvarkomi
          laikantis poveikio duomenų apsaugai vertinimo, bent tais atvejais, kai pakinta tvarkymo
          operacijų keliamas pavojus.

5419/16                                                                   JV/rzi                  167
                                                DGD 2                                            LT
 ---pagebreak---                                                36 straipsnis
                                        Išankstinės konsultacijos

1.        Duomenų valdytojas, prieš pradėdamas tvarkyti duomenis, konsultuojasi su priežiūros
          institucija, jeigu pagal 35 straipsnį poveikio duomenų apsaugai vertinime nurodyta, kad
          tvarkant duomenis kiltų didelis pavojus, jei duomenų valdytojas nesiimtų priemonių
          pavojui sumažinti.

2.        Jeigu priežiūros institucija laikosi nuomonės, kad 1 dalyje nurodytas numatytas duomenų
          tvarkymas pažeistų šį reglamentą, visų pirma tais atvejais, kai duomenų valdytojas
          nepakankamai nustatė arba nepakankamai sumažino pavojų, priežiūros institucija ne vėliau
          kaip per aštuonias savaites nuo prašymo dėl konsultacijos gavimo, raštu pateikia duomenų
          valdytojui ir, kai taikoma, duomenų tvarkytojui, rekomendacijas ir gali pasinaudoti bet
          kuriais 58 straipsnyje nurodytais įgaliojimais. Tas laikotarpis gali būti pratęstas šešioms
          savaitėms, atsižvelgiant į numatyto duomenų tvarkymo sudėtingumą. Priežiūros institucija
          informuoja duomenų valdytoją ir, kai taikoma, duomenų tvarkytoją, apie bet kokį tokį
          pratesimą per vieną mėnesį nuo prašymo dėl konsultacijos gavimo, kartu su vėlavimo
          priežastimis. Tie laikotarpiai gali būti sustabdyti iki priežiūros institucija gavus
          informaciją, kurios ji buvo paprašiusi konsultacijų tikslais.

3.        Konsultuodamasis su priežiūros institucija pagal 1 dalį, duomenų valdytojas priežiūros
          institucijai nurodo:

          a)    kai taikoma, atitinkamas duomenų tvarkymo procese dalyvaujančio duomenų
                valdytojo, bendrų duomenų valdytojų ir duomenų tvarkytojų atsakomybės sritis, visų
                pirma, kai duomenys tvarkomi įmonių grupėje;

5419/16                                                                      JV/rzi                 168
                                                  DGD 2                                            LT
 ---pagebreak---           b)    numatyto duomenų tvarkymo tikslus ir priemones;

          c)    nustatytas priemones bei apsaugos priemones duomenų subjektų teisėms ir laisvėms
                apsaugoti pagal šį reglamentą;

          d)    kai taikoma, duomenų apsaugos pareigūno kontaktinius duomenis;

          e)    35 straipsnyje numatytą poveikio duomenų apsaugai vertinimą; ir

          f)    bet kokią kitą priežiūros institucijos prašomą informaciją.

4.        Valstybės narės, rengdamos pasiūlymą dėl teisėkūros priemonės, kurią turi priimti
          nacionalinis parlamentas, arba tokia teisėkūros priemone grindžiamos reguliavimo
          priemonės, susijusios su duomenų tvarkymu, konsultuojasi su priežiūros institucija.

5.        Nepaisant 1 dalies, pagal valstybės narės teisę gali būti reikalaujama, kad duomenų
          valdytojai konsultuotųsi su priežiūros institucija ir gautų jos išankstinį leidimą dėl
          duomenų valdytojo atliekamo duomenų tvarkymo siekiant atlikti užduotį, kurią duomenų
          valdytojas vykdo dėl viešojo intereso, įskaitant duomenų tvarkymą socialinės apsaugos ir
          visuomenės sveikatos srityje.

5419/16                                                                       JV/rzi               169
                                                  DGD 2                                            LT
 ---pagebreak---                                               4 SKIRSNIS
                               DUOMENŲ APSAUGOS PAREIGŪNAS

                                              37 straipsnis
                                Duomenų apsaugos pareigūno skyrimas

1.        Duomenų valdytojas ir duomenų tvarkytojas paskiria duomenų apsaugos pareigūną, kai:

          a)    duomenis tvarko valdžios institucija arba įstaiga, išskyrus teismus, kai jie vykdo savo
                teismines funkcijas;

          b)    duomenų valdytojo arba duomenų tvarkytojo pagrindinė veikla yra duomenų
                tvarkymo operacijos, dėl kurių pobūdžio, aprėpties ir (arba) tikslų būtina reguliariai
                ir sistemingai dideliu mastu stebėti duomenų subjektus; arba

          c)    duomenų valdytojo arba duomenų tvarkytojo pagrindinė veikla yra specialių
                kategorijų duomenų tvarkymas dideliu mastu pagal 9 straipsnį ir 10 straipsnyje
                nurodytų asmens duomenų apie apkaltinamuosius nuosprendžius ir nusikalstamas
                veikas tvarkymas dideliu mastu.

2.        Įmonių grupė gali paskirti vieną duomenų apsaugos pareigūną, jeigu su duomenų apsaugos
          pareigūnu lengva susisiekti iš kiekvienos buveinės.

3.        Jeigu duomenų valdytojas arba duomenų tvarkytojas yra valdžios institucija ar įstaiga,
          vienas duomenų apsaugos pareigūnas gali būti skiriamas kelioms tokioms institucijoms
          arba įstaigoms, atsižvelgiant į jų organizacinę struktūrą ir dydį.

5419/16                                                                        JV/rzi               170
                                                 DGD 2                                             LT
 ---pagebreak--- 4.        Kitais 1 dalyje nenurodytais atvejais duomenų valdytojas arba duomenų tvarkytojas, arba
          asociacijos ir kitos įstaigos, atstovaujančios įvairių kategorijų duomenų valdytojams arba
          duomenų tvarkytojams, gali paskirti arba, jei to reikalaujama Sąjungos ar valstybės narės
          teisėje, paskiria duomenų apsaugos pareigūną. Duomenų pareigūnas gali veikti tokių
          asociacijų ir kitų įstaigų, atstovaujančių duomenų valdytojams arba duomenų
          tvarkytojams, vardu.

5.        Duomenų apsaugos pareigūnas paskiriamas remiantis profesinėmis savybėmis, visų pirma
          duomenų apsaugos teisės ir praktikos ekspertinėmis žiniomis, taip pat gebėjimu atlikti
          39 straipsnyje nurodytas užduotis.

6.        Duomenų apsaugos pareigūnas gali būti duomenų valdytojo arba duomenų tvarkytojo
          personalo narys arba atlikti užduotis pagal paslaugų teikimo sutartį.

7.        Duomenų valdytojas arba duomenų tvarkytojas paskelbia duomenų apsaugos pareigūno
          kontaktinius duomenis ir praneša juos priežiūros institucijai.

                                               38 straipsnis
                                 Duomenų apsaugos pareigūno statusas

1.        Duomenų valdytojas ir duomenų tvarkytojas užtikrina, kad duomenų apsaugos pareigūnas
          būtų tinkamai ir laiku įtraukiamas į visų su asmens duomenų apsauga susijusių klausimų
          nagrinėjimą.

5419/16                                                                    JV/rzi                  171
                                                  DGD 2                                            LT
 ---pagebreak--- 2.        Duomenų valdytojas ir duomenų tvarkytojas padeda duomenų apsaugos pareigūnui atlikti
          39 straipsnyje nurodytas užduotis suteikdamas toms užduotims atlikti būtinus išteklius, taip
          pat suteikdamas galimybę susipažinti su asmens duomenimis, dalyvauti duomenų
          tvarkymo operacijose ir išlaikyti savo ekspertines žinias.

3.        Duomenų valdytojas ir duomenų tvarkytojas užtikrina, kad duomenų apsaugos pareigūnas
          negautų jokių nurodymų dėl tų užduočių vykdymo. Duomenų valdytojas arba duomenų
          tvarkytojas negali jo atleisti arba bausti dėl jam nustatytų užduočių atlikimo. Duomenų
          apsaugos pareigūnas tiesiogiai atsiskaito duomenų valdytojo arba duomenų tvarkytojo
          aukščiausio lygio vadovybei.

4.        Duomenų subjektai gali kreiptis į duomenų apsaugos pareigūną visais klausimais,
          susijusiais jų asmeninių duomenų tvarkymu ir naudojimusi savo teisėmis pagal šį
          reglamentą.

5.        Duomenų apsaugos pareigūnas privalo užtikrinti slaptumą arba konfidencialumą, susijusį
          su jo užduočių vykdymu, laikydamasis Sąjungos ar valstybės narės teisės.

6.        Duomenų apsaugos pareigūnas gali vykdyti kitas užduotis ir pareigas. Duomenų valdytojas
          arba duomenų tvarkytojas užtikrina, kad dėl bet kokių tokių užduočių ir pareigų nekiltų
          interesų konfliktas.

5419/16                                                                   JV/rzi                    172
                                                 DGD 2                                           LT
 ---pagebreak---                                              39 straipsnis
                               Duomenų apsaugos pareigūno užduotys

1.        Duomenų apsaugos pareigūnas atlieka bent šias užduotis:

          a)   informuoja duomenų valdytoją arba duomenų tvarkytoją ir duomenis tvarkančius
               darbuotojus apie jų prievoles pagal šį reglamentą ir kitus Sąjungos arba valstybės
               narės apsaugos nuostatas ir konsultuoja juos šiais klausimais;

          b)   stebi, kaip laikomasi šio reglamento, kitų Sąjungos arba nacionalinės duomenų
               apsaugos nuostatų ir duomenų valdytojo arba duomenų tvarkytojo politikos asmens
               duomenų apsaugos srityje, įskaitant pareigų pavedimą, duomenų tvarkymo
               operacijose dalyvaujančių darbuotojų informuotumo didinimą bei mokymą ir
               susijusius auditus;

          c)   paprašius konsultuoja dėl poveikio duomenų apsaugai vertinimo ir stebi jo atlikimą
               pagal 35 straipsnį;

          d)   bendradarbiauja su priežiūros institucija;

          e)   atlieka kontaktinio asmens funkcijas priežiūros institucijai kreipiantis su duomenų
               tvarkymu susijusiais klausimais, įskaitant 36 straipsnyje nurodytas išankstines
               konsultacijas, ir prireikus konsultuoja visais kitais klausimais.

5419/16                                                                    JV/rzi                   173
                                                DGD 2                                            LT
 ---pagebreak--- 2.        Duomenų apsaugos pareigūnas, vykdydamas savo užduotis, tinkamai įvertina su duomenų
          tvarkymo operacijomis susijusį pavojų, atsižvelgdamas į duomenų tvarkymo pobūdį,
          aprėptį, kontekstą ir tikslus.

                                             5 SKIRSNIS
                              ELGESIO KODEKSAI IR SERTIFIKAVIMAS

                                             40 straipsnis
                                           Elgesio kodeksai

1.        Valstybės narės, priežiūros institucijos, Valdyba ir Komisija skatina parengti elgesio
          kodeksus, kuriais būtų siekiama padėti tinkamai taikyti šį reglamentą, atsižvelgiant į
          konkrečius įvairių su duomenų tvarkymu susijusių sektorių ypatumus ir į konkrečius labai
          mažų, mažųjų ir vidutinių įmonių poreikius.

2.        Asociacijos ir kitos įstaigos, atstovaujančios įvairių kategorijų duomenų valdytojams arba
          duomenų tvarkytojams, gali parengti elgesio kodeksus arba iš dalies pakeisti ar išplėsti
          tokius kodeksus siekdamos nustatyti, kaip turi būti taikomas šis reglamentas,
          atsižvelgiant į:

          a)    sąžiningą ir skaidrų duomenų tvarkymą;

          b)    teisėtus interesus, kuriais konkrečiomis aplinkybėmis vadovaujasi duomenų
                valdytojai;

5419/16                                                                    JV/rzi                    174
                                                DGD 2                                              LT
 ---pagebreak---           c)   asmens duomenų rinkimą;

          d)   pseudonimų suteikimą asmens duomenims;

          e)   visuomenės ir duomenų subjektų informavimą;

          f)   naudojimąsi duomenų subjektų teisėmis;

          g)   vaikų informavimą ir apsaugą, taip pat būdą gauti vaikų tėvų pareigų turėtojų
               sutikimą;

          h)   24 ir 25 straipsniuose nurodytas priemones bei procedūras ir priemones, kuriomis
               užtikrinamas 32 straipsnyje nurodytas duomenų tvarkymo saugumas;

          i)   pranešimą apie asmens duomenų saugumo pažeidimus priežiūros institucijoms ir
               pranešima apie tokius asmens duomenų saugumo pažeidimus duomenų subjektams;

          j)   asmens duomenų perdavimą į trečiąsias valstybes ir tarptautinėms organizacijoms; ar

          k)   neteisminio ginčų nagrinėjimą ir kitų ginčų sprendimo procedūras, pagal kurias
               sprendžiami su duomenų tvarkymu susiję duomenų valdytojų ir duomenų subjektų
               ginčai, nedarant poveikio duomenų subjektų teisėms pagal 77 ir 79 straipsnius.

5419/16                                                                 JV/rzi                    175
                                               DGD 2                                            LT
 ---pagebreak--- 3.        Pagal šio straipsnio 5 dalį patvirtintų ir pagal šio straipsnio 9 dalį visuotinai galiojančių
          elgesio kodeksų gali laikytis ne tik duomenų valdytojai arba duomenų tvarkytojai, kuriems
          taikomas šis reglamentas, bet ir duomenų valdytojai ir duomenų tvarkytojai, kuriems pagal
          3 straipsnį šis reglamentas netaikomas, kad užtikrintų asmens duomenų perdavimo į
          trečiąsias valstybes arba tarptautinėms organizacijoms tinkamas apsaugos priemones, kaip
          numatyta 46 straipsnio 2 dalies e punkte. Tokie duomenų valdytojai arba duomenų
          tvarkytojai gali prisiimti privalomus ir vykdytinus įsipareigojimus taikyti šias tinkamas
          apsaugos priemones, be kita ko, duomenų subjektų teisių atžvilgiu, naudodamiesi
          sutartinėmis arba kitomis teisiškai privalomomis priemonėmis.

4.        Šio straipsnio 2 dalyje nurodytame elgesio kodekse numatomi mechanizmai, leidžiantys
          41 straipsnio 1 dalyje nurodytai įstaigai vykdyti privalomą duomenų valdytojų arba
          duomenų tvarkytojų, kurie įsipareigoja taikyti kodeksą, šio kodekso nuostatų laikymosi
          stebėseną, nedarant poveikio priežiūros institucijoms, kurios yra kompetentingos pagal
          55 arba 56 straipsnį, užduotimis ir įgaliojimams.

5.        Šio straipsnio 2 dalyje nurodytos asociacijos ir kitos įstaigos, ketinančios parengti elgesio
          kodeksą arba iš dalies pakeisti ar išplėsti galiojantį kodeksą, pateikia kodekso projektą,
          pakeitimą ar išplėtimą priežiūros institucijai, kuri yra kompetentinga pagal 55 straipsnį.
          Priežiūros institucija pateikia nuomonę dėl to, ar kodekso projektas, pakeitimas ar
          išplėtimas atitinka šį reglamentą, ir patvirtina tokį kodekso projektą, pakeitimą ar
          išplėtimą, jei nustato, kad jame numatytos pakankamos tinkamos apsaugos priemonės.

5419/16                                                                      JV/rzi                       176
                                                  DGD 2                                               LT
 ---pagebreak--- 6.        Jeigu pagal 5 dalį patvirtinamas elgesio kodekso projektas ar pakeitimas arba išplėtimas, ir
          jei atitinkamas elgesio kodeksas nėra susijęs su keliose valstybėse narėse vykdoma
          duomenų tvarkymo veikla, priežiūros institucija užregistruoja ir paskelbia kodeksą.

7.        Jeigu elgesio kodekso projektas yra susijęs su keliose valstybėse narėse vykdoma duomenų
          tvarkymo veikla, priežiūros institucija, kuri yra kompetentinga pagal 55 straipsnį, prieš
          patvirtindama kodekso projektą, pakeitimą ar išplėtimą, taikydama 63 straipsnyje nurodytą
          procedūrą, pateikia jį Valdybai, kuri pateikia nuomonę dėl to, ar kodekso projektas,
          pakeitimas ar išplėtimas atitinka šį reglamentą, arba, esant 3 dalyje nurodytai situacijai, ar
          jame nustatytos tinkamos apsaugos priemonės.

8.        Jeigu 7 dalyje nurodytoje nuomonėje patvirtinama, kad kodekso projektas, pakeitimas ar
          išplėtimas atitinka šį reglamentą, arba, esant 3 dalyje nurodytai situacijai, jame nustatytos
          tinkamos apsaugos priemonės, Valdyba pateikia savo nuomonę Komisijai.

9.        Komisija įgyvendinimo aktais gali nuspręsti, kad pagal 8 dalį jai pateiktas patvirtinti
          elgesio kodeksas, pakeitimas ar išplėtimas visuotinai galioja Sąjungoje. Tie įgyvendinimo
          aktai priimami laikantis 93 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.

10.       Komisija užtikrina, kad patvirtinti kodeksai, kurie sprendimu pagal 9 dalį pripažinti
          visuotinai galiojančiais, būtų tinkamai skelbiami viešai.

5419/16                                                                     JV/rzi                    177
                                                 DGD 2                                              LT
 ---pagebreak--- 11.       Valdyba įtraukia į registrą visus patvirtintus elgesio kodeksus, pakeitimus ir išplėtimus ir
          padaro juos viešai prieinamus naudodamasi atitinkamomis priemonėmis.

                                              41 straipsnis
                                 Patvirtintų elgesio kodeksų stebėsena

1.        Nedarant poveikio kompetentingos priežiūros institucijos užduotims ir įgaliojimams pagal
          57 ir 58 straipsnius, elgesio kodekso laikymosi stebėseną pagal 40 straipsnį gali atlikti
          įstaiga, turinti tinkamo lygio ekspertinių žinių kodekso dalyko srityje ir tuo tikslu
          akredituota kompetentingos priežiūros institucijos.

2.        Įstaiga, kaip nurodyta 1 dalyje, gali būti akredituota stebėti elgesio kodekso laikymąsi,
          jeigu ta įstaiga:

          a)    kompetentingai priežiūros institucijai įtikinamai įrodė savo nepriklausomumą ir
                ekspertines žinias kodekso dalyko srityje;

          b)    nustatė procedūras, kurios jai suteikia galimybę vertinti atitinkamų duomenų
                valdytojų ir duomenų tvarkytojų tinkamumą taikyti kodeksą, stebėti, kaip jie laikosi
                kodekso nuostatų, ir periodiškai peržiūrėti kodekso veikimą;

5419/16                                                                     JV/rzi                    178
                                                 DGD 2                                                LT
 ---pagebreak---           c)    nustatė procedūras ir struktūras, skirtas skundams dėl kodekso pažeidimų arba dėl to,
                kaip duomenų valdytojas arba duomenų tvarkytojas įgyvendino ar įgyvendina
                kodeksą, nagrinėti, užtikrindama, kad tos procedūros ir struktūros būtų skaidrios
                duomenų subjektams ir visuomenei; ir

          d)    kompetentingai priežiūros institucijai įtikinamai įrodė, kad dėl jos užduočių ir
                pareigų nekyla interesų konfliktas.

3.        Kompetentinga priežiūros institucija pateikia įstaigos, kaip nurodyta šio straipsnio 1 dalyje,
          akreditavimo kriterijų projektą Valdybai, taikydama 63 straipsnyje nurodytą nuoseklumo
          užtikrinimo mechanizmą.

4.        Nedarant poveikio kompetentingos priežiūros institucijos užduotims ir įgaliojimams ir
          VIII skyriaus nuostatoms, įstaiga, kaip nurodyta 1 dalyje, jeigu taikomos tinkamos
          apsaugos priemonės, imasi atitinkamų veiksmų tais atvejais, kai duomenų valdytojas arba
          duomenų tvarkytojas pažeidžia kodeksą, įskaitant atitinkamo duomenų valdytojo arba
          duomenų tvarkytojo teisės užsiimti su kodeksu susijusia veikla sustabdymą ar jų
          nušalinimą nuo su kodeksu susijusių pareigų. Apie tokius veiksmus ir jų vykdymo
          priežastis ji informuoja kompetentingą priežiūros instituciją.

5.        Kompetentinga priežiūros institucija panaikina įstaigos akreditaciją, kaip nurodyta
          1 dalyje, jeigu akreditavimo sąlygos nevykdomos arba nebevykdomos, arba jeigu
          veiksmai, kurių imasi ta įstaiga, pažeidžia šį reglamentą.

6.        Šis straipsnis netaikomas valdžios institucijų ir įstaigų atliekamam duomenų tvarkymui.

5419/16                                                                    JV/rzi                   179
                                                 DGD 2                                              LT
 ---pagebreak---                                              42 straipsnis
                                            Sertifikavimas

1.        Valstybės narės, priežiūros institucijos, Valdyba ir Komisija skatina nustatyti – visų pirma
          Sąjungos lygmeniu – duomenų apsaugos sertifikavimo mechanizmus ir duomenų apsaugos
          ženklus bei žymenis, kad būtų galima įrodyti, jog duomenų valdytojai ir duomenų
          tvarkytojai, vykdydami duomenų tvarkymo operacijas, laikosi šio reglamento.
          Atsižvelgiama į konkrečius labai mažų, mažųjų ir vidutinių įmonių poreikius.

2.        Pagal šio straipsnio 5 dalį patvirtintus duomenų apsaugos sertifikavimo mechanizmus ir
          duomenų apsaugos ženklus bei žymenis galima nustatyti ne tik siekiant įrodyti, kad
          duomenų valdytojai arba duomenų tvarkytojai laikosi jo nuostatų, bet ir siekiant įrodyti,
          kad duomenų valdytojai ir duomenų tvarkytojai, kuriems pagal 3 straipsnį šis reglamentas
          netaikomas, perduodant asmens duomenis į trečiąsias valstybes arba tarptautinėms
          organizacijoms užtikrina atitinkamas apsaugos priemones, kaip numatyta 46 straipsnio
          2 dalies f punkte. Tokie duomenų valdytojai arba duomenų tvarkytojai gali prisiimti
          privalomus ir vykdytinus įsipareigojimus taikyti šias tinkamas apsaugos priemones, be kita
          ko, susijusias su duomenų subjektų teisėmis, naudodamiesi sutartinėmis arba kitomis
          teisiškai privalomomis priemonėmis.

3.        Sertifikavimas yra savanoriškas ir prieinamas taikant skaidrų procesą.

5419/16                                                                   JV/rzi                   180
                                                DGD 2                                             LT
 ---pagebreak--- 4.        Sertifikavimu pagal šį straipsnį nesumažinama duomenų valdytojo arba duomenų
          tvarkytojo atsakomybė už šio reglamento laikymąsi ir nedaromas poveikis priežiūros
          institucijos, kurios yra kompetentingos pagal 55 arba 56 straipsnį, užduotims ir
          įgaliojimams.

5.        Sertifikatus pagal šį straipsnį išduoda 43 straipsnyje nurodytos sertifikavimo įstaigos arba
          kompetentinga priežiūros institucija, remdamosi kompetentingos priežiūros institucijos ar
          Valdybos patvirtintais kriterijais pagal 58 straipsnio 3 dalį arba, pagal 63 straipsnį. Jei
          kriterijai yra patvirtinti Valdybos, gali būti išduodamas bendras sertifikatas – Europos
          duomenų apsaugos ženklas.

6.        Duomenų valdytojas arba duomenų tvarkytojas, kuris kreipiasi, kad jo atliekamam
          duomenų tvarkymui būtų taikomas sertifikavimo mechanizmas, pateikia 43 straipsnyje
          nurodytai sertifikavimo įstaigai arba, kai taikoma, kompetentingai priežiūros institucijai,
          visą informaciją ir suteikia galimybę susipažinti su jo atliekama duomenų tvarkymo veikla,
          kad būtų galima atlikti sertifikavimo procedūrą.

7.        Duomenų valdytojui arba duomenų tvarkytojui sertifikatas išduodamas ne ilgesniam kaip
          3 metų laikotarpiui ir gali būti atnaujintas tomis pačiomis sąlygomis, jei ir toliau vykdomi
          atitinkami reikalavimai. Jei sertifikavimo reikalavimai nevykdomi arba nebevykdomi, kai
          taikoma, 43 straipsnyje nurodytos sertifikavimo įstaigos arba kompetentinga priežiūros
          institucija sertifikavimą panaikina.

8.        Valdyba įtraukia į registrą visus sertifikavimo mechanizmus ir duomenų apsaugos ženklus
          bei žymenis ir padaro juos viešai prieinamus naudodamasi atitinkamomis priemonėmis.

5419/16                                                                      JV/rzi                     181
                                                  DGD 2                                                 LT
 ---pagebreak---                                               43 straipsnis
                                         Sertifikavimo įstaigos

1.        Nedarant poveikio kompetentingos priežiūros institucijos užduotims ir įgaliojimams pagal
          57 ir 58 straipsnius, sertifikavimo įstaigos, turinčios tinkamo lygio ekspertinių žinių
          duomenų apsaugos srityje, informavusios priežiūros instituciją, kad ji prireikus galėtų
          pasinaudoti savo įgaliojimais pagal 58 straipsnio 2 dalies h punktą, išduoda ir atnaujina
          sertifikatus. Valstybės narės užtikrina, kad tos sertifikavimo įstaigos yra akredituotos
          vienos ar abiejų toliau nurodytų subjektų:

          a)    priežiūros institucijos, kompetentingos pagal 55 arba 56 straipsnį;

          b)    nacionalinės akreditavimo įstaigos, paskelbtos pagal Europos Parlamento ir Tarybos
                reglamentą (EB) Nr. 765/2008 1, laikantis EN-ISO/IEC 17065/2012 ir papildomų
                reikalavimų, kuriuos nustatė priežiūros institucija, kompetentinga pagal 55 arba
                56 straipsnį.

2.        1 dalyje nurodytos sertifikavimo įstaigos akredituojamos pagal 1 dalį tik tuo atveju, jei:

          a)    yra kompetentingai priežiūros institucijai įtikinamai įrodžiusios savo
                nepriklausomumą ir ekspertines žinias sertifikavimo dalyko srityje;

1
      2008 m. liepos 9 d. Europos Parlamento ir Tarybos reglamentas (EB) Nr. 765/2008
      nustatantis su gaminių prekyba susijusius akreditavimo ir rinkos priežiūros reikalavimus ir
      panaikinantis Reglamentą (EEB) Nr. 339/93 (OL L 218, 2008 8 13, p. 30).

5419/16                                                                     JV/rzi                     182
                                                 DGD 2                                               LT
 ---pagebreak---           b)    įsipareigojo laikytis 42 straipsnio 5 dalyje nurodytų ir priežiūros institucijos, kuri yra
                kompetentinga pagal 55 arba 56 straipsnį, arba, laikantis 63 straipsnio, Valdybos
                patvirtintų kriterijų;

          c)    yra nustačiusi duomenų apsaugos sertifikatų, ženklų ir žymenų išdavimo, periodinės
                peržiūros ir panaikinimo procedūras;

          d)    yra nustačiusi procedūras ir struktūras, skirtas skundams dėl sertifikavimo pažeidimų
                arba dėl to, kaip duomenų valdytojas ar duomenų tvarkytojas įgyvendino ar
                įgyvendina sertifikavimą, nagrinėti, užtikrindama, kad tos procedūros ir struktūros
                būtų skaidrios duomenų subjektams ir visuomenei; ir

          e)    kompetentingai priežiūros institucijai įtikinamai įrodė, kad dėl jų užduočių ir pareigų
                nekyla interesų konfliktas.

3.        Sertifikavimo įstaigų akreditavimas, kaip nurodyta 1 ir 2 dalyse, vykdomas remiantis
          priežiūros institucijos, kuri yra kompetentinga pagal 55 arba 56 straipsnį, arba, Valdybos
          laikantis 63 straipsnyje patvirtintais kriterijais. Jei akreditavimas vykdomas pagal šio
          straipsnio 1 dalies b punktą, tais reikalavimais papildomi Reglamente (EB) Nr. 765/2008
          numatyti reikalavimai ir techninės taisyklės, kuriomis apibūdinami sertifikavimo įstaigų
          metodai ir procedūros.

5419/16                                                                      JV/rzi                   183
                                                  DGD 2                                              LT
 ---pagebreak--- 4.        1 dalyje nurodytos sertifikavimo įstaigos atsako už tai, kad būtų atliktas tinkamas
          vertinimas, kuriuo remiantis toks sertifikatas būtų išduodamas arba panaikinamas, nedarant
          poveikio duomenų valdytojo arba duomenų tvarkytojo atsakomybei už šio reglamento
          laikymąsi. Akreditacija suteikiama ne ilgesniam kaip penkerių metų laikotarpiui ir gali būti
          pratęsta tomis pačiomis sąlygomis, jei sertifikavimo įstaiga ir toliau vykdo šiame
          straipsnyje nustatytus reikalavimus.

5.        1 dalyje nurodytos sertifikavimo įstaigos kompetentingoms priežiūros institucijoms nurodo
          priežastis, kodėl prašomas sertifikavimas buvo suteiktas arba panaikintas.

6.        Priežiūros institucija šio straipsnio 3 dalyje nurodytus reikalavimus ir 42 straipsnio 5 dalyje
          nurodytus kriterijus padaro lengvai viešai prieinamus. Priežiūros institucijos tuos
          reikalavimus ir kriterijus taip pat pateikia Valdybai. Valdyba įtraukia į registrą visus
          sertifikavimo mechanizmus ir duomenų apsaugos ženklus ir padaro juos viešai prieinamus
          naudodamasi atitinkamomis priemonėmis.

7.        Nedarant poveikio VIII skyriui, kompetentinga priežiūros institucija arba nacionalinė
          akreditavimo įstaiga panaikina pagal šio straipsnio 1 dalį sertifikavimo įstaigai suteiktą
          akreditaciją, jeigu akreditavimo sąlygos nevykdomos arba nebevykdomos, arba jeigu
          veiksmai, kurių imasi sertifikavimo įstaiga, pažeidžia šį reglamentą.

8.        Komisijai pagal 92 straipsnį suteikiami įgaliojimai priimti deleguotuosius aktus siekiant
          nustatyti reikalavimus, į kuriuos turi būti atsižvelgta 42 straipsnio 1 dalyje nurodytuose
          duomenų apsaugos sertifikavimo mechanizmuose.

5419/16                                                                     JV/rzi                     184
                                                 DGD 2                                               LT
 ---pagebreak--- 9.        Komisija gali priimti įgyvendinimo aktus, kuriais nustatomi techniniai sertifikavimo
          mechanizmai ir duomenų apsaugos ženklų bei žymenų standartai, taip pat tų sertifikavimo
          mechanizmų, ženklų bei žymenų propagavimo ir pripažinimo mechanizmus. Tie
          įgyvendinimo aktai priimami laikantis 93 straipsnio 2 dalyje nurodytos nagrinėjimo
          procedūros.

                                            V SKYRIUS
ASMENS DUOMENŲ PERDAVIMAS Į TREČIĄSIAS VALSTYBES
               ARBA TARPTAUTINĖMS ORGANIZACIJOMS

                                              44 straipsnis
                                Bendras duomenų perdavimo principas

Asmens duomenys, kurie yra tvarkomi arba kuriuos ketinama tvarkyti juos perdavus į trečiąją
valstybę arba tarptautinei organizacijai, perduodami tik tuo atveju, jei duomenų valdytojas ir
duomenų tvarkytojas, laikydamiesi kitų šio reglamento nuostatų, laikosi šiame skyriuje nustatytų
sąlygų, be kita ko, susijusių su tolesniu asmens duomenų perdavimu iš tos trečiosios valstybės ar
tarptautinės organizacijos į kitą trečiąją šalį ar kitai tarptautinei organizacijai. Visos šio skyriaus
nuostatos taikomos siekiant užtikrinti, kad nebūtų pakenkta šiuo reglamentu garantuojamam fizinių
asmenų apsaugos lygiui.

5419/16                                                                      JV/rzi                       185
                                                  DGD 2                                               LT
 ---pagebreak---                                               45 straipsnis
                      Duomenų perdavimas remiantis sprendimu dėl tinkamumo

1.        Perduoti asmens duomenis į trečiąją valstybę arba tarptautinei organizacijai galima, jeigu
          Komisija nusprendė, kad atitinkama trečioji valstybė, teritorija arba vienas ar daugiau
          nurodytų sektorių toje trečiojoje valstybėje, arba atitinkama tarptautinė organizacija
          užtikrina tinkamo lygio apsaugą. Tokiam duomenų perdavimui specialaus leidimo
          nereikia.

2.        Vertindama apsaugos lygio tinkamumą, Komisija visų pirma atsižvelgia į šiuos aspektus:

          a)    teisinės valstybės principą, pagarbą žmogaus teisėms ir pagrindinėms laisvėms,
                atitinkamus bendruosius ir atskiriems sektoriams skirtus teisės aktus, įskaitant
                susijusius su visuomenės saugumu, gynyba, nacionaliniu saugumu, baudžiamąja teise
                ir valdžios institucijų prieiga prie asmens duomenų, taip pat tokių teisės aktų
                įgyvendinimą, duomenų apsaugos taisykles, profesines taisykles ir saugumo
                priemones, įskaitant taisykles dėl tolesnio asmens duomenų perdavimo į kitą trečiąją
                valstybę ar kitai tarptautinei organizacijai, kurių laikomasi toje valstybėje arba kurių
                laikosi ta tarptautinė organizacija, teismų praktikos precedentus, taip pat veiksmingas
                ir vykdytinas duomenų subjektų teises ir veiksmingas administracines bei teismines
                duomenų subjektų, kurių asmens duomenys yra perduodami, teisių gynimo
                priemones;

5419/16                                                                     JV/rzi                   186
                                                 DGD 2                                              LT
 ---pagebreak---           b)    tai, ar yra ir ar veiksmingai veikia viena ar kelios nepriklausomos priežiūros
                institucijos trečiojoje šalyje arba kurioms yra pavaldi tarptautinė organizacija ir kurių
                atsakomybė yra užtikrinti, kad būtų laikomasi duomenų apsaugos taisyklių ir jos būtų
                vykdomos, įskaitant tinkamus vykdymo įgaliojimus padėti duomenų subjektams
                naudotis savo teisėmis ir patarti, kaip tai daryti, ir bendradarbiauti su valstybių narių
                priežiūros institucijomis; ir

          c)    atitinkamos trečiosios valstybės arba tarptautinės organizacijos prisiimtus
                tarptautinius įsipareigojimus ar kitus įsipareigojimus, atsirandančius dėl teisiškai
                privalomų konvencijų ar priemonių, taip pat dėl jų dalyvavimo daugiašalėse ar
                regioninėse sistemose, visų pirma kiek tai susiję su asmens duomenų apsauga.

3.        Komisija, įvertinusi apsaugos lygio tinkamumą, gali nuspręsti, priimdama įgyvendinimo
          aktą, kad trečioji valstybė, teritorija arba vienas ar daugiau nurodytų sektorių toje trečiojoje
          valstybėje, arba tarptautinė organizacija užtikrina tinkamo lygio apsaugą, kaip apibrėžta šio
          straipsnio 2 dalyje. Įgyvendinimo akte numatomas periodinės peržiūros, atliekamos bent
          kas ketverius metus, kuria atsižvelgiama į visus atitinkamus pokyčius trečiojoje valstybėje
          ar tarptautinėje organizacijoje, mechanizmas. Įgyvendinimo akte nustatoma jo teritorinė ir
          sektorinė taikymo sritis ir, kai taikoma, nurodoma šio straipsnio 2 dalies b punkte nurodyta
          priežiūros institucija ar institucijos. Įgyvendinimo aktas priimamas laikantis 93 straipsnio
          2 dalyje nurodytos nagrinėjimo procedūros.

5419/16                                                                      JV/rzi                    187
                                                  DGD 2                                              LT
 ---pagebreak--- 4.        Komisija nuolat stebi pokyčius trečiosiose valstybėse ir tarptautinėse organizacijose, kurie
          galėtų daryti poveikį pagal šio straipsnio 3 dalį priimtų sprendimų ir pagal
          Direktyvos 95/46/EB 25 straipsnio 6 dalį priimtų sprendimų veikimui.

5.        Komisija nusprendžia, kad trečioji valstybė, teritorija arba nurodytas vienas ar keli
          sektoriai trečiojoje valstybėje, arba tarptautinė organizacija nebeužtikrina tinkamo lygio
          apsaugos, kaip apibrėžta šio straipsnio 2 dalyje, jei tai paaiškėja iš turimos informacijos,
          visų pirma atlikus šio straipsnio 3 dalyje nurodytą peržiūrą, reikiamu mastu įgyvendinimo
          aktais panaikina arba iš dalies pakeičia šio straipsnio 3 dalyje nurodytą sprendimą, arba
          sustabdo jo galiojimą nustatydama, kad tai netaikoma atgaline data. Tie įgyvendinimo
          aktai priimami laikantis 93 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.

          Ypatingos skubos atvejais Komisija priima iš karto taikomus įgyvendinimo aktus laikantis
          93 straipsnio 3 dalyje nurodytos procedūros.

6.        Komisija pradeda konsultacijas su trečiąja valstybe arba tarptautine organizacija,
          siekdama, kad padėtis, dėl kurios buvo priimtas sprendimas pagal 5 dalį, būtų ištaisyta.

7.        Sprendimas pagal šio straipsnio 5 dalį nedaro poveikio asmens duomenų perdavimui į
          atitinkamą trečiąją valstybę, teritoriją arba nurodytą sektorių toje trečiojoje valstybėje, arba
          atitinkamai tarptautinei organizacijai pagal 46–49 straipsnius.

5419/16                                                                      JV/rzi                   188
                                                  DGD 2                                              LT
 ---pagebreak--- 8.        Komisija Europos Sąjungos oficialiajame leidinyje ir savo interneto svetainėje paskelbia
          trečiųjų valstybių, teritorijų ir nurodyto vieno ar kelių sektorių trečiojoje valstybėje, taip
          pat tarptautinių organizacijų, kurios, kaip ji nusprendė, užtikrina tinkamą apsaugos lygį
          arba jo nebeužtikrina, sąrašą.

9.        Sprendimai, kuriuos Komisija priėmė remdamasi Direktyvos 95/46/EB 25 straipsnio
          6 dalimi, lieka galioti tol, kol Komisijos sprendimu, priimtu pagal šio straipsnio 3 ar 5 dalį,
          jie bus iš dalies pakeisti, pakeisti naujais sprendimais arba panaikinti.

                                               46 straipsnis
                     Duomenų perdavimas taikant tinkamas apsaugos priemones

1.        Jeigu nėra priimtas sprendimas pagal 45 straipsnio 3 dalį, duomenų valdytojas arba
          duomenų tvarkytojas gali perduoti asmens duomenis į trečiąją valstybę arba tarptautinei
          organizacijai tik tuo atveju, jeigu duomenų valdytojas arba duomenų tvarkytojas yra
          nustatęs tinkamas apsaugos priemones, su sąlyga, kad suteikiama galimybė naudotis
          vykdytinomis duomenų subjektų teisėmis ir veiksmingomis duomenų subjektų teisių
          gynimo priemonėmis.

2.        1 dalyje nurodytos tinkamos apsaugos priemonės, nereikalaujant specialaus priežiūros
          institucijos leidimo, gali būti nustatomos:

          a)    teisiškai privalomu ir vykdytinu valdžios institucijų arba įstaigų tarpusavio
                dokumentu;

          b)    įmonėms privalomomis taisyklėmis pagal 47 straipsnį;

          c)    standartinėmis duomenų apsaugos sąlygomis, kurias Komisija priima laikydamasi
                93 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros;

5419/16                                                                       JV/rzi                   189
                                                  DGD 2                                               LT
 ---pagebreak---           d)    standartinėmis duomenų apsaugos sąlygomis, kurias priima priežiūros institucija ir
                pagal 93 straipsnio 2 dalyje nurodytą nagrinėjimo procedūrą patvirtina Komisija;

          e)    patvirtintu elgesio kodeksu pagal 40 straipsnį kartu su privalomais ir vykdytinais
                duomenų valdytojo arba duomenų tvarkytojo trečiojoje valstybėje įsipareigojimais
                taikyti tinkamas apsaugos priemones, be kita ko, susijusias su duomenų subjektų
                teisėmis; arba

          f)    patvirtintu sertifikavimo mechanizmu pagal 42 straipsnį kartu su privalomais ir
                vykdytinais duomenų valdytojo arba duomenų tvarkytojo trečiojoje valstybėje
                įsipareigojimais taikyti tinkamas apsaugos priemones, be kita ko, susijusias su
                duomenų subjektų teisėmis.

3.        Gavus kompetentingos priežiūros institucijos leidimą, 1 dalyje nurodytos tinkamos
          apsaugos priemonės taip pat gali būti nustatomos, visų pirma:

          a)    duomenų valdytojo arba duomenų tvarkytojo ir duomenų valdytojo, duomenų
                tvarkytojo arba asmens duomenų gavėjo trečiojoje valstybėje arba tarptautinės
                organizacijos sutarčių sąlygomis; arba

          b)    nuostatomis, kurios turi būti įtrauktos į valdžios institucijų arba įstaigų tarpusavio
                administracinius susitarimus, kuriais numatomos vykdytinos ir veiksmingos
                duomenų subjektų teisės.

4.        Šio straipsnio 3 dalyje nurodytais atvejais priežiūros institucija taiko 63 straipsnyje
          nurodytą nuoseklumo užtikrinimo mechanizmą.

5419/16                                                                     JV/rzi                       190
                                                 DGD 2                                              LT
 ---pagebreak--- 5.        Leidimai, kuriuos valstybė narė arba priežiūros institucija suteikė remdamasi
          Direktyvos 95/46/EB 26 straipsnio 2 dalimi, lieka galioti tol, kol ta priežiūros institucija
          prireikus juos iš dalies pakeis, pakeis naujais leidimais arba panaikins. Sprendimai, kuriuos
          Komisija priėmė remdamasi Direktyvos 95/46/EB 26 straipsnio 4 dalimi, lieka galioti tol,
          kol Komisijos sprendimu, priimtu pagal šio straipsnio 2 dalį, jie bus prireikus iš dalies
          pakeisti, pakeisti naujais sprendimais arba panaikinti.

                                               47 straipsnis
                                      Įmonei privalomos taisyklės

1.        Kompetentinga priežiūros institucija patvirtina įmonei privalomas taisykles pagal
          63 straipsnyje nustatytą nuoseklumo užtikrinimo mechanizmą, jeigu:

          a)    jos yra teisiškai privalomos ir taikomos visiems atitinkamiems įmonių grupės arba
                bendrą ekonominę veiklą vykdančių įmonių grupės nariams, įskaitant jų darbuotojus,
                ir jie užtikrina jų vykdymą;

          b)    jomis duomenų subjektams aiškiai suteikiamos vykdytinos teisės, susijusios su jų
                asmens duomenų tvarkymu; ir

          c)    jos atitinka 2 dalyje nustatytus reikalavimus.

2.        1 dalyje nurodytose įmonei privalomose taisyklėse nurodoma bent:

          a)    įmonių grupės arba bendrą ekonominę veiklą vykdančių įmonių grupės ir kiekvieno
                jos nario struktūra bei kontaktiniai duomenys;

5419/16                                                                     JV/rzi                    191
                                                  DGD 2                                               LT
 ---pagebreak---           b)   duomenų perdavimai arba duomenų perdavimų seka, įskaitant asmens duomenų
               kategorijas, duomenų tvarkymo rūšį ir jo tikslus, duomenų subjektų, kuriems
               daromas poveikis, rūšį ir atitinkamą trečiąją valstybę arba valstybes;

          c)   tai, kad jos yra teisiškai privalomos tiek vidaus, tiek išorės lygiu;

          d)   tai, kad taikomi bendrieji duomenų apsaugos principai, visų pirma tikslų apribojimo,
               duomenų kiekio mažinimo, ribotų duomenų saugojimo laikotarpių, duomenų
               kokybės, pritaikytosios ir standartizuotosios duomenų apsaugos, duomenų tvarkymo
               teisinio pagrindo, specialių kategorijų asmens duomenų tvarkymo principai,
               duomenų saugumo užtikrinimo priemonės ir reikalavimai dėl tolesnio duomenų
               perdavimo įstaigoms, kurios neprivalo laikytis įmonei privalomų taisyklių;

          e)   duomenų subjektų teisės, susijusios su duomenų tvarkymu, ir naudojimosi tomis
               teisėmis priemonės, įskaitant teisę į tai, kad nebūtų taikomi tik automatizuotu
               duomenų tvarkymu, įskaitant profiliavimą, grindžiami sprendimai pagal 22 straipsnį,
               teisę pateikti skundą kompetentingai priežiūros institucijai bei kompetentingiems
               valstybių narių teismams pagal 79 straipsnį ir teisę naudotis teisių gynimo
               priemonėmis ir, kai tinkama, reikalauti atlyginti žalą už įmonei privalomų taisyklių
               pažeidimą;

          f)   tai, kad duomenų valdytojas arba duomenų tvarkytojas, įsisteigęs valstybės narės
               teritorijoje, prisiima atsakomybę už visus bet kurio Sąjungoje neįsisteigusio
               atitinkamo nario padarytus įmonei privalomų taisyklių pažeidimus; duomenų
               valdytojas arba duomenų tvarkytojas visiškai ar iš dalies atleidžiamas nuo tos
               atsakomybės tik tuo atveju, jei jis įrodo, kad tas narys nėra atsakingas už įvykį, dėl
               kurio patirta žala;

5419/16                                                                     JV/rzi                  192
                                                 DGD 2                                            LT
 ---pagebreak---           g)   kaip informacija apie įmonei privalomas taisykles, visų pirma apie šios dalies d, e ir
               f punktuose nurodytas nuostatas, teikiama duomenų subjektams, be to, kas numatyta
               13 ir 14 straipsniuose;

          h)   pagal 37 straipsnį paskirto bet kurio duomenų apsaugos pareigūno arba bet kurio kito
               asmens ar subjekto, atsakingo už stebėseną, ar įmonių grupėje arba bendrą
               ekonominę veiklą vykdančių įmonių grupėje laikomasi įmonei privalomų taisyklių,
               taip pat mokymo ir skundų nagrinėjimo stebėseną, užduotys;

          i)   skundų nagrinėjimo procedūros;

          j)   įmonių grupėje arba bendrą ekonominę veiklą vykdančių įmonių grupėje taikomi
               mechanizmai, kuriais siekiama užtikrinti, kad būtų tikrinama, ar laikomasi įmonei
               privalomų taisyklių. Tokie mechanizmai apima duomenų apsaugos auditą ir metodus,
               kuriais užtikrinami taisomieji veiksmai siekiant apsaugoti duomenų subjekto teises.
               Tokio patikrinimo rezultatai turėtų būti perduoti h punkte nurodytam asmeniui arba
               subjektui ir įmonių grupę kontroliuojančiosios įmonės arba bendrą ekonominę veiklą
               vykdančios įmonių grupės valdybai ir paprašius turėtų būti pateikti kompetentingai
               priežiūros institucijai;

          k)   ataskaitų teikimo ir taisyklių pakeitimų registravimo, taip pat pranešimo apie tuos
               pakeitimus priežiūros institucijai mechanizmai;

5419/16                                                                   JV/rzi                     193
                                                DGD 2                                            LT
 ---pagebreak---           l)   bendradarbiavimo su priežiūros institucija mechanizmas, kuriuo siekiama užtikrinti,
               kad visi įmonių grupės arba bendrą ekonominę veiklą vykdančių įmonių grupės
               nariai laikytųsi įmonei privalomų taisyklių, visų pirma priežiūros institucijai teikiant
               j punkte nurodyto priemonių patikrinimo rezultatus;

          m)   mechanizmas, pagal kurį kompetentingai priežiūros institucijai teikiamos ataskaitos
               apie visus teisinius reikalavimus, taikomus įmonių grupės arba bendrą ekonominę
               veiklą vykdančių įmonių grupės nariui trečiojoje šalyje, galinčius turėti esminį
               neigiamą poveikį įmonei privalomomis taisyklėmis užtikrinamoms garantijoms; ir

          n)   atitinkami mokymai duomenų apsaugos srityje darbuotojams, kurie turi teisę nuolat
               ar reguliariai susipažinti su asmens duomenimis.

3.        Komisija gali nustatyti duomenų valdytojų, duomenų tvarkytojų ir priežiūros institucijų
          keitimosi informacija apie įmonei privalomas taisykles, kaip apibrėžta šiame straipsnyje,
          formatą ir procedūras. Tie įgyvendinimo aktai priimami laikantis 93 straipsnio 2 dalyje
          nurodytos nagrinėjimo procedūros.

5419/16                                                                    JV/rzi                   194
                                                DGD 2                                              LT
 ---pagebreak---                                              48 straipsnis
                 Sąjungos teisėje neleidžiamas duomenų perdavimas ar atskleidimas

Bet kuris teismo sprendimas ir bet kuris trečiosios valstybės administracinės institucijos
sprendimas, kuriuo reikalaujama, kad duomenų valdytojas arba duomenų tvarkytojas perduotų ar
atskleistų asmens duomenis, gali būti bet kuriuo būdu pripažįstamas arba vykdytinas, tik jei jis
grindžiamas tarptautiniu susitarimu, pavyzdžiui, galiojančia prašymą pateikusios trečiosios
valstybės ir Sąjungos arba valstybės narės savitarpio teisinės pagalbos sutartimi, nedarant poveikio
kitiems perdavimo pagrindams pagal šį skyrių.

                                             49 straipsnis
                         Nukrypti leidžiančios nuostatos konkrečiais atvejais

1.        Jeigu nepriimtas sprendimas dėl tinkamumo pagal 45 straipsnio 3 dalį arba nenustatytos
          tinkamos apsaugos priemonės pagal 46 straipsnį, įskaitant įmonei privalomas taisykles,
          asmens duomenų perdavimas į trečiąją valstybę arba tarptautinei organizacijai arba tokių
          perdavimų seka atliekami tik su viena iš šių sąlygų:

          a)   duomenų subjektas aiškiai sutiko su siūlomu duomenų perdavimu po to, kai buvo
               informuotas apie galimus tokių perdavimų pavojus duomenų subjektui dėl to, kad
               nepriimtas sprendimas dėl tinkamumo ir nenustatytos tinkamos apsaugos priemonės;

          b)   duomenų perdavimas yra būtinas duomenų subjekto ir duomenų valdytojo sutarčiai
               vykdyti arba ikisutartinėms priemonėms, kurių imtasi duomenų subjekto prašymu,
               įgyvendinti;

5419/16                                                                   JV/rzi                   195
                                                DGD 2                                              LT
 ---pagebreak---           c)   duomenų perdavimas yra būtinas, kad būtų sudaryta arba įvykdyta duomenų subjekto
               interesais sudaroma duomenų valdytojo ir kito fizinio ar juridinio asmens sutartis;

          d)   duomenų perdavimas yra būtinas dėl svarbių viešojo intereso priežasčių;

          e)   duomenų perdavimas yra būtinas siekiant pareikšti, vykdyti ar ginti teisinius
               reikalavimus;

          f)   duomenų perdavimas yra būtinas, kad būtų apsaugoti gyvybiniai duomenų subjekto
               arba kitų asmenų interesai, jeigu duomenų subjektas dėl fizinių ar teisinių priežasčių
               negali duoti sutikimo;

          g)   duomenys perduodami iš registro, pagal Sąjungos arba valstybės narės teisę skirto
               teikti informaciją visuomenei, su kuria gali susipažinti plačioji visuomenė arba bet
               kuris asmuo, galintis įrodyti teisėtą interesą, tačiau tik tiek, kiek konkrečiu atveju
               laikomasi Sąjungos arba valstybės narės teisėje nustatytų susipažinimo su tokiame
               registre esančia informacija sąlygų.

5419/16                                                                     JV/rzi                      196
                                                 DGD 2                                              LT
 ---pagebreak---           Kai perdavimas negali būti grindžiamas 45 arba 46 straipsnių nuostata, įskaitant nuostatas
          dėl įmonei privalomų taisyklių, ir netaikoma jokia konkrečioje situacijoje pagal šios
          pastraipos a–g punktus nukrypti leidžianti nuostata, perdavimas nėra kartojamas, yra
          susijęs tik su ribotu duomenų subjektų skaičiumi, yra būtinas įtikinamų duomenų valdytojo
          ginamų teisėtų interesų, kai nėra už juos viršesnių duomenų subjekto interesų ar teisių ir
          laisvių, tikslais, jeigu duomenų valdytojas yra įvertinęs visas su duomenų perdavimu
          susijusias aplinkybes ir, remdamasis tuo vertinimu, yra nustatęs tinkamas su asmens
          duomenų apsauga susijusias apsaugos priemones. Duomenų valdytojas praneša priežiūros
          institucijai apie duomenų perdavimą. Be 13 ir 14 straipsniuose nurodytos informacijos,
          duomenų valdytojas praneša duomenų subjektui apie duomenų perdavimą ir apie
          įtikinamus ginamus teisėtus interesus.

2.        Jeigu duomenys perduodami pagal 1 dalies g punktą, negali būti perduodami visi registre
          esantys asmens duomenys arba visi registre esantys tam tikrų kategorijų asmens duomenys.
          Jeigu registras yra skirtas tam, kad su jame esančia informacija susipažintų teisėtų interesų
          turintys asmenys, duomenys perduodami tik tų asmenų prašymu arba jeigu tie asmenys bus
          tų duomenų gavėjai.

3.        1 dalies pirmos pastraipos a, b ir c punktai bei antra pastraipa netaikomi veiklai, kurią
          valdžios institucijos atlieka vykdydamos savo viešuosius įgaliojimus.

4.        1 dalies d punkte nurodytas viešasis interesas turi būti pripažintas Sąjungos teise arba
          duomenų valdytojui taikomos valstybės narės teise.

5419/16                                                                     JV/rzi                    197
                                                   DGD 2                                              LT
 ---pagebreak--- 5.        Jei sprendimas dėl tinkamumo nepriimtas, Sąjungos arba valstybės narės teisėje dėl svarbių
          viešojo intereso priežasčių gali būti aiškiai nustatytos konkrečių kategorijų asmens
          duomenų perdavimo į trečiąją valstybę ar tarptautinei organizacijai ribos. Valstybės narės
          tokias nuostatas praneša Komisijai.

6.        Duomenų valdytojas arba duomenų tvarkytojas 30 straipsnyje nurodytuose įrašuose
          dokumentais pagrindžia vertinimą ir šio straipsnio 1 dalies antroje pastraipoje nurodytas
          tinkamas apsaugos priemones.

                                              50 straipsnis
                  Tarptautinis bendradarbiavimas asmens duomenų apsaugos srityje

Komisija ir priežiūros institucijos imasi tinkamų veiksmų trečiųjų valstybių ir tarptautinių
organizacijų atžvilgiu, kuriais siekiama:

a)        sukurti tarptautinius bendradarbiavimo mechanizmus, kad būtų sudarytos palankesnės
          sąlygos veiksmingai užtikrinti asmens duomenų apsaugos teisės aktų vykdymą;

b)        teikti tarptautinę savitarpio pagalbą užtikrinant asmens duomenų apsaugos teisės aktų
          vykdymą, be kita ko, teikiant pranešimus, perduodant nagrinėti skundus, padedant atlikti
          tyrimus ir keičiantis informacija, jeigu taikomos su asmens duomenų bei kitų pagrindinių
          teisių ir laisvių apsauga susijusios tinkamos apsaugos priemonės;

c)        atitinkamus suinteresuotuosius subjektus įtraukti į diskusijas ir veiklą, kurių tikslas –
          prisidėti prie tarptautinio bendradarbiavimo užtikrinant asmens duomenų apsaugos teisės
          aktų vykdymą;

d)        skatinti keistis asmens duomenų apsaugos teisės aktais bei šios srities praktikos
          pavyzdžiais ir juos dokumentuoti, be kita ko, jurisdikcijos konfliktų su trečiosiomis
          valstybėmis klausimais.

5419/16                                                                     JV/rzi                    198
                                                  DGD 2                                               LT
 ---pagebreak---                                            VI SKYRIUS
            NEPRIKLAUSOMOS PRIEŽIŪROS INSTITUCIJOS

                                              1 SKIRSNIS
                                   NEPRIKLAUSOMAS STATUSAS

                                              51 straipsnis
                                          Priežiūros institucija

1.        Kiekviena valstybė narė užtikrina, kad viena arba kelios nepriklausomos valdžios
          institucijos yra atsakingos už šio reglamento taikymo stebėseną, kad būtų apsaugotos
          fizinių asmenų pagrindinės teisės ir laisvės tvarkant duomenis ir sudarytos palankesnės
          sąlygos laisvam asmens duomenų judėjimui Sąjungoje.

2.        Kiekviena priežiūros institucija prisideda prie nuoseklaus šio reglamento taikymo visoje
          Sąjungoje. Tuo tikslu priežiūros institucijos bendradarbiauja tarpusavyje ir su Komisija
          vadovaudamosi VII skyriumi.

3.        Jeigu valstybėje narėje įsteigta daugiau nei viena priežiūros institucija, ta valstybė narė
          paskiria priežiūros instituciją, kuri turi atstovauti toms institucijoms Valdyboje, ir nustato
          mechanizmą, kuriuo būtų užtikrinta, kad kitos institucijos laikytųsi su 63 straipsnyje
          nurodytu nuoseklumo užtikrinimo mechanizmu susijusių taisyklių.

5419/16                                                                      JV/rzi                     199
                                                  DGD 2                                             LT
 ---pagebreak--- 4.        Kiekviena valstybė narė ne vėliau kaip … [dveji metai nuo šio reglamento įsigaliojimo
          datos]. praneša Komisijai apie teisės aktų nuostatas, kurias ji priima pagal šį skyrių, ir
          nedelsdama praneša apie visus vėlesnius toms nuostatoms įtakos turinčius pakeitimus.

                                               52 straipsnis
                                            Nepriklausomumas

1.        Atlikdama savo užduotis pagal šį reglamentą ir naudodamasi savo įgaliojimais, kiekviena
          priežiūros institucija veikia visiškai nepriklausomai.

2.        Kiekvienos priežiūros institucijos narys arba nariai, atlikdami savo užduotis ir
          naudodamiesi savo įgaliojimais pagal šį reglamentą, nepatiria nei tiesioginės, nei
          netiesioginės išorės įtakos ir neprašo bei nepriima jokių nurodymų.

3.        Priežiūros institucijos narys ar nariai nesiima jokių su jų pareigomis nesuderinamų
          veiksmų ir kadencijos metu negali dirbti jokio nesuderinamo – mokamo ar nemokamo –
          darbo.

4.        Kiekviena valstybė narė užtikrina, kad kiekvienai priežiūros institucijai būtų suteikti
          žmogiškieji, techniniai ir finansiniai ištekliai, patalpos ir infrastruktūra, kurie yra būtini,
          kad ji veiksmingai atliktų savo užduotis ir naudotųsi savo įgaliojimais, įskaitant užduotis ir
          įgaliojimus, vykdytinus savitarpio pagalbos srityje, bendradarbiaujant ir dalyvaujant
          Valdybos veikloje.

5419/16                                                                       JV/rzi                    200
                                                   DGD 2                                               LT
 ---pagebreak--- 5.        Kiekviena valstybė narė užtikrina, kad kiekviena priežiūros institucija rinktųsi ir turėtų
          savo darbuotojus, kuriems išimtinai vadovauja atitinkamos priežiūros institucijos narys ar
          nariai.

6.        Kiekviena valstybė narė užtikrina, kad kiekviena priežiūros institucija būtų finansiškai
          kontroliuojama nedarant poveikio jos nepriklausomumui ir kad turėtų atskirą viešą metinį
          biudžetą, kuris gali būti viso valstybės ar nacionalinio biudžeto dalis.

                                               53 straipsnis
                          Bendrieji reikalavimai priežiūros institucijos nariams

1.        Valstybės narės užtikrina, kad kiekvienas jų priežiūros institucijos narys turi būti skiriamas
          taikant skaidrią procedūrą; jį skiria:

          –     jų parlamentas;

          –     jų vyriausybė;

          –     jų valstybės vadovas; arba

          –     nepriklausoma įstaiga, kuriai pagal valstybės narės teisę pavesta skirti narius.

2.        Kiekvienas narys turi turėti kvalifikaciją, patirtį ir gebėjimus, visų pirma asmens duomenų
          apsaugos srityje, kurie yra būtini, kad jie galėtų atlikti savo pareigas ir naudotis savo
          įgaliojimais.

5419/16                                                                      JV/rzi                    201
                                                   DGD 2                                              LT
 ---pagebreak--- 3.        Narys nustoja eiti pareigas, kai pasibaigia jo kadencija, jis atsistatydina arba privalo išeiti į
          pensiją, laikantis atitinkamos valstybės narės teisės.

4.        Narys gali būti atleistas iš pareigų tik sunkaus nusižengimo atveju arba jeigu narys
          nebeatitinka jo pareigoms atlikti keliamų reikalavimų.

                                               54 straipsnis
                                Priežiūros institucijos įsteigimo taisyklės

1.        Kiekviena valstybė narė teisės aktais nustato visus šiuos elementus:

          a)    kiekvienos priežiūros institucijos įsteigimą;

          b)    kiekvienos priežiūros institucijos nario pareigoms užimti būtiną kvalifikaciją ir
                taikomus tinkamumo reikalavimus;

          c)    kiekvienos priežiūros institucijos nario ar narių skyrimo taisykles ir procedūras;

          d)    kiekvienos priežiūros institucijos nario arba narių kadencijos trukmę, kuri negali būti
                trumpesnė kaip ketveri metai, išskyrus dalį pirmųjų narių, skiriamų po … [šio
                reglamento įsigaliojimo data], kurių kadencija gali būti trumpesnė, jeigu siekiant
                išsaugoti priežiūros institucijos nepriklausomumą nariai turi būti skiriami keliais
                etapais;

5419/16                                                                       JV/rzi                   202
                                                  DGD 2                                               LT
 ---pagebreak---           e)    tai, ar kiekvienos priežiūros institucijos nario arba narių kadencija gali būti
                atnaujinama, ir jei taip – kelioms kadencijoms;

          f)    sąlygas, reglamentuojančias kiekvienos priežiūros institucijos nario arba narių ir
                darbuotojų prievoles, draudimą kadencijos metu ir jai pasibaigus imtis su tomis
                prievolėmis nesuderinamų veiksmų, dirbti darbą ir gauti išmokas ir darbo nutraukimą
                reglamentuojančias taisykles.

2.        Kiekvienos priežiūros institucijos narys arba nariai ir darbuotojai įpareigojami kadencijos
          metu ir jai pasibaigus pagal Sąjungos ar valstybės narės teisę saugoti profesinę paslaptį,
          susijusią su bet kokia konfidencialia informacija, kurią jie sužinojo atlikdami savo užduotis
          arba naudodamiesi savo įgaliojimais. Jų kadencijos metu tas įpareigojimas saugoti
          profesinę paslaptį visų pirma taikomas fizinių asmenų teikiamiems parnešimams apie šio
          reglamento pažeidimus.

                                              2 SKIRSNIS
                          KOMPETENCIJA, UŽDUOTYS IR ĮGALIOJIMAI

                                              55 straipsnis
                                              Kompetencija

1.        Kiekviena priežiūros institucija turi kompetenciją savo valstybės narės teritorijoje vykdyti
          pagal šį reglamentą jai pavestas užduotis ir naudotis pagal šį reglamentą jai suteiktais
          įgaliojimais.

5419/16                                                                      JV/rzi                    203
                                                 DGD 2                                               LT
 ---pagebreak--- 2.        Jeigu duomenis tvarko valdžios institucijos arba privačios įstaigos, veikiančios pagal
          6 straipsnio 1 dalies c arba e punktus, kompetenciją turi atitinkamos valstybės narės
          priežiūros institucija. Tokiais atvejais 56 straipsnis netaikomas.

3.        Priežiūros institucijos nėra kompetentingos prižiūrėti duomenų tvarkymo operacijų, kurias
          atlieka teismai, vykdydami savo teismines funkcijas.

                                              56 straipsnis
                         Vadovaujančios priežiūros institucijos kompetencija

1.        Nedarant poveikio 55 straipsniui, duomenų valdytojo arba duomenų tvarkytojo pagrindinės
          buveinės arba vienintelės buveinės priežiūros institucija turi kompetenciją veikti kaip
          vadovaujanti priežiūros institucija, kai tas duomenų valdytojas arba duomenų tvarkytojas
          vykdo tarpvalstybinį duomenų tvarkymą, vadovaujantis 60 straipsnyje nustatyta procedūra.

2.        Nukrypstant nuo 1 dalies, kiekviena priežiūros institucija turi kompetenciją nagrinėti jai
          pateiktą skundą arba galimą šio reglamento pažeidimą, jeigu dalykas yra susijęs tik su
          buveine jos valstybėje narėje arba daro didelį poveikį duomenų subjektams tik jos
          valstybėje narėje.

3.        Šio straipsnio 2 dalyje nurodytais atvejais priežiūros institucija tuo klausimu nedelsdama
          informuoja vadovaujančią priežiūros instituciją. Per tris savaites nuo informacijos gavimo
          vadovaujanti priežiūros institucija nusprendžia, ar ji nagrinės šį atvejį vadovaudamasi
          60 straipsnyje numatyta procedūra, ar ne, atsižvelgdama į tai, ar ją informavusios
          priežiūros institucijos valstybėje narėje yra duomenų valdytojo arba duomenų tvarkytojo
          buveinė.

5419/16                                                                        JV/rzi               204
                                                 DGD 2                                              LT
 ---pagebreak--- 4.        Tuo atveju, jei vadovaujanti priežiūros institucija nusprendžia atvejį nagrinėti, taikoma
          60 straipsnyje numatyta procedūra. Vadovaujančią priežiūros instituciją informavusi
          priežiūros institucija gali vadovaujančiai priežiūros institucijai pateikti sprendimo projektą.
          Rengdama 60 straipsnio 3 dalyje nurodytą sprendimo projektą vadovaujanti priežiūros
          institucija kuo labiau atsižvelgia į pirmiau minėtą projektą.

5.        Tuo atveju, jei vadovaujanti priežiūros institucija nusprendžia šio atvejo nenagrinėti,
          vadovaujančią priežiūros instituciją informavusi priežiūros institucija atvejį nagrinėja
          vadovaudamasi 61 ir 62 straipsniais.

6.        Vadovaujanti priežiūros institucija yra vienintelė institucija, su kuria duomenų valdytojas
          arba duomenų tvarkytojas palaiko ryšius, kai jie vykdo tarpvalstybinį duomenų tvarkymą.

                                              57 straipsnis
                                                 Užduotys

1.        Nedarant poveikio kitoms pagal šį reglamentą nustatytoms užduotims, kiekviena priežiūros
          institucija savo teritorijoje:

          a)    stebi, kaip taikomas šis reglamentas, ir užtikrina, kad jis būtų taikomas;

          b)    skatina visuomenės informuotumą apie su duomenų tvarkymu susijusius pavojus,
                taisykles, apsaugos priemones ir teises bei jų supratimą. Veiklai, konkrečiai susijusiai
                su vaikais, skiriamas ypatingas dėmesys;

5419/16                                                                     JV/rzi                    205
                                                  DGD 2                                              LT
 ---pagebreak---           c)   laikydamasi valstybės narės teisės, pataria nacionaliniam parlamentui, vyriausybei ir
               kitoms institucijoms bei įstaigoms teisėkūros ir administracinių priemonių, susijusių
               su fizinių asmenų teisių ir laisvių apsauga tvarkant duomenis, klausimais;

          d)   skatina duomenų valdytojų ir duomenų tvarkytojų informuotumą apie jų prievoles
               pagal šį reglamentą;

          e)   bet kurio duomenų subjekto prašymu suteikia jam informaciją apie naudojimąsi
               šiame reglamente nustatytomis jo teisėmis ir prireikus tuo tikslu bendradarbiauja su
               kitų valstybių narių priežiūros institucijomis;

          f)   nagrinėja skundus, kuriuos pagal 80 straipsnį pateikė duomenų subjektas arba įstaiga,
               organizacija ar asociacija, ir tinkamu mastu tiria skundo dalyką, taip pat per pagrįstą
               laikotarpį informuoja skundo pateikėją apie skundo tyrimo pažangą ir rezultatus, visų
               pirma tais atvejais, kai būtina tęsti tyrimą arba derinti veiksmus su kita priežiūros
               institucija;

          g)   bendradarbiauja su kitomis priežiūros institucijomis, be kita ko, dalijasi informacija
               ir teikia joms savitarpio pagalbą siekiant užtikrinti, kad šis reglamentas būtų
               taikomas ir vykdomas nuosekliai;

          h)   atlieka tyrimus šio reglamento taikymo srityje, be kita ko, remiantis iš kitos
               priežiūros institucijos arba kitos valdžios institucijos gauta informacija;

5419/16                                                                    JV/rzi                      206
                                                DGD 2                                              LT
 ---pagebreak---           i)   stebi susijusius įvykius, jei jie turi įtakos asmens duomenų apsaugai, visų pirma
               informacinių ir ryšių technologijų, taip pat komercinės praktikos raidą;

          j)   priima standartines sutarčių sąlygas, nurodytas 28 straipsnio 8 dalyje ir 46 straipsnio
               2 dalies d punkte;

          k)   sudaro ir tvarko sąrašą, susijusį su poveikio duomenų apsaugai vertinimo
               reikalavimu pagal 35 straipsnio 4 dalį;

          l)   teikia konsultacijas dėl 36 straipsnio 2 dalyje nurodytų duomenų tvarkymo operacijų;

          m)   skatina rengti elgesio kodeksus pagal 40 straipsnį, teikia nuomonę ir patvirtina tokius
               elgesio kodeksus, kuriais užtikrinama pakankamai apsaugos priemonių, pagal
               40 straipsnio 5 dalį;

          n)   skatina nustatyti duomenų apsaugos sertifikavimo mechanizmus ir duomenų
               apsaugos ženklus bei žymenis pagal 42 straipsnio 1 dalį ir patvirtina sertifikavimo
               kriterijus pagal 42 straipsnio 5 dalį;

          o)   kai taikoma, periodiškai atlieka išduotų sertifikatų peržiūrą pagal 42 straipsnio 7 dalį;

          p)   parengia ir paskelbia už elgesio kodeksų stebėseną atsakingos įstaigos akreditacijos
               pagal 41 straipsnį ir sertifikavimo įstaigos akreditacijos pagal 43 straipsnį kriterijus;

5419/16                                                                     JV/rzi                   207
                                                 DGD 2                                              LT
 ---pagebreak---           q)    vykdo už elgesio kodeksų stebėseną atsakingos įstaigos akreditaciją pagal
                41 straipsnį ir sertifikavimo įstaigos akreditaciją pagal 43 straipsnį;

          r)    duoda leidimą taikyti sutarčių sąlygas ir nuostatas, nurodytas 46 straipsnio 3 dalyje;

          s)    tvirtina įmonei privalomas taisykles pagal 47 straipsnį;

          t)    prisideda prie Valdybos veiklos;

          u)    tvarko vidaus įrašus apie šio reglamento pažeidimus ir apie priemones, kurių buvo
                imtasi pagal 58 straipsnio 2 dalį; ir

          v)    vykdo visas kitas su asmens duomenų apsauga susijusias užduotis.

2.        Kiekviena priežiūros institucija palengvina 1 dalies f punkte nurodytų skundų pateikimą,
          pavyzdžiui, pateikdama skundo pateikimo formą, kurią taip pat galima užpildyti
          elektroniniu būdu, suteikdama galimybę naudotis ir kitomis ryšio priemonėmis.

3.        Kiekviena priežiūros institucija savo užduotis duomenų subjekto ir, jei taikoma, duomenų
          apsaugos pareigūno atžvilgiu vykdo nemokamai.

4.        Jeigu prašymai yra akivaizdžiai nepagrįsti arba neproporcingi, visų pirma dėl jų
          pasikartojančio turinio, priežiūros institucija gali imti mokestį, nustatomą atsižvelgiant į
          administracines išlaidas, arba atsisakyti imtis veiksmų pagal prašymą. Priežiūros
          institucijai tenka pareiga įrodyti, kad prašymas yra akivaizdžiai nepagrįstas arba
          neproporcingas.

5419/16                                                                      JV/rzi                  208
                                                  DGD 2                                             LT
 ---pagebreak---                                                58 straipsnis
                                               Įgaliojimai

1.        Kiekviena priežiūros institucija turi visus šiuos tyrimo įgaliojamus:

          a)    nurodyti duomenų valdytojui ir duomenų tvarkytojui ir, kai taikoma, duomenų
                valdytojo arba duomenų tvarkytojo atstovui pateikti visą jos užduotims atlikti
                reikalingą informaciją;

          b)    atlikti tyrimus, kurie atliekami duomenų apsaugos audito forma;

          c)    atlikti išduotų sertifikatų peržiūrą pagal 42 straipsnio 7 dalį;

          d)    pranešti duomenų valdytojui arba duomenų tvarkytojui apie įtariamą šio reglamento
                pažeidimą;

          e)    iš duomenų valdytojo ir duomenų tvarkytojo gauti leidimą susipažinti su visais
                asmens duomenimis ir visa informacija, kurie būtini jos užduotims atlikti;

          f)    laikantis Sąjungos arba valstybės narės proceso teisės, gauti leidimą patekti į visas
                duomenų valdytojo ir duomenų tvarkytojo patalpas, įskaitant prieigą prie visos
                duomenų tvarkymo įrangos ir priemonių.

2.        Kiekviena priežiūros institucija turi visus šiuos įgaliojimus imtis taisomųjų veiksmų:

          a)    įspėti duomenų valdytoją arba duomenų tvarkytoją, kad numatomomis duomenų
                tvarkymo operacijomis gali būti pažeistos šio reglamento nuostatos;

5419/16                                                                      JV/rzi                 209
                                                  DGD 2                                            LT
 ---pagebreak---           b)   pareikšti papeikimus duomenų valdytojui arba duomenų tvarkytojui, kai duomenų
               tvarkymo operacijomis buvo pažeistos šio reglamento nuostatos;

          c)   nurodyti duomenų valdytojui arba duomenų tvarkytojui patenkinti duomenų subjekto
               prašymus pasinaudoti savo teisėmis pagal šį reglamentą;

          d)   nurodyti duomenų valdytojui arba duomenų tvarkytojui suderinti duomenų tvarkymo
               operacijas su šio reglamento nuostatomis, tam tikrais atvejais – nustatytu būdu ir per
               nustatytą laikotarpį;

          e)   nurodyti duomenų valdytojui pranešti duomenų subjektui apie asmens duomenų
               saugumo pažeidimą;

          f)   nustatyti laikiną arba galutinį duomenų tvarkymo apribojimą, įskaitant tvarkymo
               draudimą;

          g)   nurodyti ištaisyti arba ištrinti asmens duomenis arba apriboti jų tvarkymą pagal 16,
               17 ir 18 straipsnius ir pranešti apie tokius veiksmus duomenų gavėjams, kuriems
               asmens duomenys buvo atskleisti, pagal 17 straipsnio 2 dalį ir 19 straipsnį;

          h)   atšaukti sertifikatą arba nurodyti sertifikavimo įstaigai atšaukti pagal 42 ir
               43 straipsnius išduotą sertifikatą, arba nurodyti sertifikavimo įstaigai neišduoti
               sertifikato, jei nevykdomi arba nebevykdomi sertifikavimo reikalavimai;

5419/16                                                                     JV/rzi                  210
                                                DGD 2                                               LT
 ---pagebreak---           i)   skirti administracinę baudą pagal 83 straipsnį, kartu taikydama šioje dalyje nurodytas
               priemones arba vietoj jų, atsižvelgiant į kiekvieno konkretaus atvejo aplinkybes;

          j)   nurodyti sustabdyti duomenų srautus duomenų gavėjui trečiojoje valstybėje arba
               tarptautinei organizacijai.

3.        Kiekviena priežiūros institucija turi visus šiuos leidimo išdavimo ir patariamuosius
          įgaliojimus:

          a)   patarti duomenų valdytojui pagal 36 straipsnyje nurodytą išankstinių konsultacijų
               procedūrą;

          b)   savo iniciatyva arba gavus prašymą teikti nuomones nacionaliniam parlamentui,
               valstybės narės vyriausybei arba, vadovaujantis valstybės narės teise, kitoms
               institucijoms ir įstaigoms, taip pat visuomenei, visais su asmens duomenų apsauga
               susijusiais klausimais;

          c)   suteikti leidimą atlikti 36 straipsnio 5 dalyje nurodytą duomenų tvarkymą, jei pagal
               valstybės narės teisės aktus reikalaujama tokio išankstinio leidimo;

          d)   teikti nuomonę ir tvirtinti elgesio kodeksų projektus pagal 40 straipsnio 5 dalį;

          e)   akredituoti sertifikavimo įstaigas pagal 43 straipsnį;

          f)   išduoti sertifikatus ir patvirtinti sertifikavimo kriterijus pagal 42 straipsnio 5 dalį;

5419/16                                                                      JV/rzi                       211
                                                 DGD 2                                                LT
 ---pagebreak---           g)    patvirtinti 28 straipsnio 8 dalies ir 46 straipsnio 2 dalies d punkte nurodytas
                standartines duomenų apsaugos sąlygas;

          h)    duoti leidimą taikyti 46 straipsnio 3 dalies a punkte nurodytas sutarčių sąlygas;

          i)    duoti leidimą taikyti 46 straipsnio 3 dalies b punkte nurodytus administracinius
                susitarimus;

          j)    patvirtinti įmonei privalomas taisykles pagal 47 straipsnį.

4.        Naudojimuisi pagal šį straipsnį priežiūros institucijai suteiktais įgaliojimais taikomos
          atitinkamos apsaugos priemonės, įskaitant veiksmingą apskundimą teismine tvarka ir
          tinkamą procesą, kaip nustatyta Sąjungos ir valstybės narės teisėje, laikantis Chartijos.

5.        Kiekviena valstybė narė teisės aktais nustato, kad jos priežiūros institucija turi įgaliojimus
          atkreipti teisminių institucijų dėmesį į šio reglamento pažeidimus ir tam tikrais atvejais
          pradėti teismo procesą arba kitaip dalyvauti teismo procese siekiant užtikrinti šio
          reglamento nuostatų vykdymą.

6.        Kiekviena valstybė narė teisės aktais gali nustatyti, kad jos priežiūros institucija be 1, 2 ir
          3 dalyse nurodytų įgaliojimų turi papildomų įgaliojimų. Naudojimasis tais įgaliojimais
          neturi pakenkti veiksmingam VII skyriaus veikimui.

5419/16                                                                       JV/rzi                   212
                                                  DGD 2                                               LT
 ---pagebreak---                                                59 straipsnis
                                            Veiklos ataskaitos

Kiekviena priežiūros institucija parengia metinę savo veiklos ataskaitą, į kurią gali būti įtrauktas
pažeidimų, apie kuriuos pranešta, rūšių ir priemonių, kurių imtasi pagal 58 straipsnio 2 dalį, rūšių
sąrašas. Tos ataskaitos perduodamos nacionaliniam parlamentui, vyriausybei ir kitoms
institucijoms, kaip nurodyta valstybės narės teisės aktuose. Jos pateikiamos visuomenei, Komisijai
ir Valdybai.

                                           VII SKYRIUS
                BENDRADARBIAVIMAS IR NUOSEKLUMAS

                                               1 SKIRSNIS
                                        BENDRADARBIAVIMAS

                                               60 straipsnis
                                  Vadovaujančios priežiūros institucijos
                         ir kitų susijusių priežiūros institucijų bendradarbiavimas

1.        Vadovaujanti priežiūros institucija pagal šį straipsnį bendradarbiauja su kitomis
          susijusiomis priežiūros institucijomis stengdamasi rasti konsensusą. Vadovaujanti
          priežiūros institucija ir susijusios priežiūros institucijos tarpusavyje keičiasi visa atitinkama
          informacija.

5419/16                                                                      JV/rzi                    213
                                                  DGD 2                                              LT
 ---pagebreak--- 2.        Vadovaujanti priežiūros institucija bet kuriuo metu gali paprašyti kitų susijusių priežiūros
          institucijų teikti savitarpio pagalbą pagal 61 straipsnį ir gali vykdyti bendras operacijas
          pagal 62 straipsnį, visų pirma atliekant tyrimus arba stebint su kitoje valstybėje narėje
          įsisteigusiu duomenų valdytoju ar duomenų tvarkytoju susijusios priemonės įgyvendinimą.

3.        Vadovaujanti priežiūros institucija nedelsdama perduoda atitinkamą informaciją šiuo
          klausimu kitoms susijusioms priežiūros institucijoms. Ji nedelsdama pateikia sprendimo
          projektą kitoms susijusioms priežiūros institucijoms, kad jos pateiktų savo nuomonę, ir
          deramai atsižvelgia į jų nuomones.

4.        Jeigu bet kuri iš kitų susijusių priežiūros institucijų per keturias savaites nuo tada, kai su ja
          pagal šio straipsnio 3 dalį buvo konsultuotasi, pareiškia tinkamą ir pagrįstą prieštaravimą
          dėl sprendimo projekto, vadovaujanti priežiūros institucija, jeigu ji neatsižvelgia į susijusį
          ir pagrįstą prieštaravimą arba laikosi nuomonės, kad jis nėra tinkamas ir pagrįstas, pateikia
          klausimą spręsti pagal 63 straipsnyje nurodytą nuoseklumo užtikrinimo mechanizmą.

5.        Jeigu vadovaujanti priežiūros institucija ketina atsižvelgti į pareikštą susijusį ir pagrįstą
          prieštaravimą, ji pateikia kitoms susijusioms priežiūros institucijoms peržiūrėtą sprendimo
          projektą, kad jos pateiktų savo nuomonę. Tam peržiūrėtam sprendimo projektui per dviejų
          savaičių laikotarpį taikoma 4 dalyje nurodyta procedūra.

5419/16                                                                       JV/rzi                      214
                                                  DGD 2                                               LT
 ---pagebreak--- 6.        Jeigu per 4 ir 5 dalyse nurodytą laikotarpį jokia kita susijusi priežiūros institucija
          nepareiškė prieštaravimo vadovaujančios priežiūros institucijos pateiktam sprendimo
          projektui, laikoma, kad vadovaujanti priežiūros institucija ir susijusios priežiūros
          institucijos tam sprendimo projektui pritaria ir jis joms yra privalomas.

7.        Vadovaujanti priežiūros institucija priima sprendimą ir praneša jį atitinkamai duomenų
          valdytojo arba duomenų tvarkytojo pagrindinei buveinei arba vienintelei buveinei ir
          informuoja kitas susijusias priežiūros institucijas bei Valdybą apie atitinkamą sprendimą,
          be kita ko, pateikdama atitinkamų faktų ir priežasčių santrauką. Priežiūros institucija,
          kuriai buvo pateiktas skundas, apie sprendimą informuoja skundo pateikėją.

8.        Nukrypstant nuo 7 dalies, jeigu skundas nepriimamas arba atmetamas, priežiūros
          institucija, kuriai skundas buvo pateiktas, priima sprendimą, praneša jį skundo pateikėjui ir
          informuoja apie tai duomenų valdytoją.

9.        Jeigu vadovaujanti priežiūros institucija ir susijusios priežiūros institucijos sutinka, kad
          tam tikros skundo dalys turi būti nepriimtos arba atmestos, o dėl kitų to skundo dalių reikia
          imtis veiksmų, dėl kiekvienos iš tų skundo dalių priimami atskiri sprendimai. Vadovaujanti
          priežiūros institucija priima sprendimą dėl skundo dalies dėl su duomenų valdytoju
          susijusių veiksmų, praneša jį duomenų valdytojo arba duomenų tvarkytojo pagrindinei
          buveinei arba vienintelei buveinei savo valstybės narės teritorijoje ir apie tai informuoja
          skundo pateikėją, o skundo pateikėjo priežiūros institucija priima sprendimą, susijusį su to
          skundo dalies nepriėmimu arba atmetimu, ir praneša jį tam skundo pateikėjui, taip pat apie
          tai informuoja duomenų valdytoją arba duomenų tvarkytoją.

5419/16                                                                      JV/rzi                      215
                                                  DGD 2                                              LT
 ---pagebreak--- 10.       Duomenų valdytojas arba duomenų tvarkytojas, pagal 7 ir 9 dalis gavęs pranešimą apie
          vadovaujančios priežiūros institucijos sprendimą, imasi būtinų priemonių, kad užtikrintų
          sprendimo laikymąsi vykdant duomenų tvarkymo veiklą visose Sąjungoje esančiose jo
          buveinėse. Duomenų valdytojas arba duomenų tvarkytojas praneša vadovaujančiai
          priežiūros institucijai apie priemones, kurių imtasi, kad būtų laikomasi sprendimo, o ši
          institucija informuoja kitas susijusias priežiūros institucijas.

11.       Tais atvejais, kai, išimtinėmis aplinkybėmis, susijusi priežiūros institucija turi priežasčių
          manyti, kad reikia skubiai imtis veiksmų duomenų subjektų interesams apsaugoti, taikoma
          66 straipsnyje nurodyta skubos procedūra.

12.       Vadovaujanti priežiūros institucija ir kitos susijusios priežiūros institucijos pagal šį
          straipsnį privalomą informaciją viena kitai teikia elektroninėmis priemonėmis,
          naudodamosi standartizuota forma.

                                               61 straipsnis
                                           Savitarpio pagalba

1.        Priežiūros institucijos teikia viena kitai reikšmingą informaciją ir savitarpio pagalbą, kad
          šis reglamentas būtų įgyvendintas ir taikomas nuosekliai, ir diegia veiksmingo tarpusavio
          bendradarbiavimo priemones. Savitarpio pagalba visų pirma yra susijusi su informacijos
          prašymais ir priežiūros priemonėmis, kaip antai prašymais suteikti išankstinius leidimus ir
          vykdyti konsultacijas, patikrinimus ir tyrimus.

5419/16                                                                      JV/rzi                   216
                                                  DGD 2                                              LT
 ---pagebreak--- 2.        Kiekviena priežiūros institucija imasi visų būtinų tinkamų priemonių, kad atsakytų į kitos
          priežiūros institucijos prašymą nepagrįstai nedelsdama ir ne vėliau kaip per vieną mėnesį
          nuo jo gavimo. Tokios priemonės visų pirma gali būti reikšmingos informacijos apie
          tyrimo eigą persiuntimas.

3.        Pagalbos prašymuose nurodoma visa būtina informacija, įskaitant prašymo tikslą ir
          priežastis. Informacija, kuria pasikeista, naudojama tik tam tikslui, kuriam jos buvo
          prašoma.

4.        Prašymą gavusi priežiūros institucija negali atsisakyti prašymo patenkinti, išskyrus atvejus,
          kai:

          a)     ji nėra kompetentinga prašymo dalyko arba priemonių, kurias jos prašoma vykdyti,
                 srityje; arba

          b)     prašymo patenkinimas pažeistų šį reglamentą arba Sąjungos ar valstybės narės teisę,
                 kuri taikoma prašymą gaunančiai priežiūros institucijai.

5.        Prašymą gavusi priežiūros institucija informuoja prašymą pateikusią priežiūros instituciją
          apie rezultatus arba, atitinkamai, pažangą arba priemones, kurių imtasi siekiant į jį atsakyti.
          Prašymą gavusi priežiūros institucija bet kurio atsisakymo pagal 4 dalį atveju pateikia
          atsisakymo patenkinti prašymą priežastis.

6.        Prašymą gavusi priežiūros institucijos paprastai teikia kitų priežiūros institucijų prašomą
          informaciją elektroninėmis priemonėmis, naudodamosi standartizuota forma.

5419/16                                                                     JV/rzi                   217
                                                 DGD 2                                              LT
 ---pagebreak--- 7.        Prašymą gavusios priežiūros institucijos už veiksmus, kurių imamasi gavus savitarpio
          pagalbos prašymą, mokesčio neima. Priežiūros institucijos gali dėl taisyklių,
          reglamentuojančių viena kitai mokamą kompensaciją už konkrečias išlaidas, patirtas dėl
          savitarpio pagalbos teikimo išimtinėmis aplinkybėmis.

8.        Jeigu priežiūros institucija nepateikia 5 dalyje nurodytos informacijos per vieną mėnesį
          nuo kitos priežiūros institucijos prašymo gavimo, prašymą pateikusi priežiūros institucija
          gali pagal 55 straipsnio 1 dalį patvirtinti laikinąją priemonę savo valstybės narės
          teritorijoje. Tuo atveju laikoma, kad patenkinamos 66 straipsnio 1 dalyje numatytos
          būtinybės imtis skubių veiksmų sąlygos ir reikalingas skubus privalomas Valdybos
          sprendimas pagal 66 straipsnio 2 dalį.

9.        Komisija gali įgyvendinimo aktais nustatyti šiame straipsnyje nurodytos savitarpio
          pagalbos formą ir procedūras ir priežiūros institucijų tarpusavio, taip pat priežiūros
          institucijų ir Valdybos keitimosi informacija elektroninėmis priemonėmis tvarką, visų
          pirma šio straipsnio 6 dalyje nurodytą standartizuotą formą. Tie įgyvendinimo aktai
          priimami laikantis 93 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.

                                              62 straipsnis
                                Priežiūros institucijų bendros operacijos

1.        Priežiūros institucijos tam tikrais atvejais vykdo bendras operacijas, įskaitant bendrus
          tyrimus ir bendras vykdymo užtikrinimo priemones, kuriose dalyvauja kitų valstybių narių
          priežiūros institucijų nariai arba darbuotojai.

5419/16                                                                     JV/rzi                   218
                                                   DGD 2                                             LT
 ---pagebreak--- 2.        Kai duomenų valdytojas arba duomenų tvarkytojas turi buveinių keliose valstybėse narėse
          arba kai duomenų tvarkymo operacijomis gali būti daromas didelis poveikis daugeliui
          duomenų subjektų daugiau nei vienoje valstybėje narėje, kiekvienos iš tų valstybių narių
          priežiūros institucija turi teisę dalyvauti vykdant bendras operacijas. Priežiūros institucija,
          kuri yra kompetentinga pagal 56 straipsnio 1 dalį arba 56 straipsnio 4 dalį, pakviečia
          kiekvienos iš tų valstybių narių priežiūros instituciją dalyvauti vykdant bendras operacijas
          ir nedelsdama atsako į priežiūros institucijos prašymą dėl dalyvavimo.

3.        Priežiūros institucija, laikydamasi valstybės narės teisės ir komandiruojančiajai priežiūros
          institucijai leidus, gali suteikti įgaliojimus, be kita ko, tyrimo įgaliojimus,
          komandiruojančiosios priežiūros institucijos nariams arba darbuotojams, dalyvaujantiems
          vykdant bendras operacijas, arba, jeigu tai leidžiama priimančiosios priežiūros institucijos
          valstybės narės teisės aktais, leisti komandiruojančiosios priežiūros institucijos nariams
          arba darbuotojams naudotis savo tyrimo įgaliojimais pagal komandiruojančiosios
          priežiūros institucijos valstybės narės teisės aktus. Tokiais tyrimo įgaliojimais gali būti
          naudojamasi tik vadovaujant priimančiosios priežiūros institucijos nariams arba
          darbuotojams ir jiems dalyvaujant. Komandiruojančiosios priežiūros institucijos nariams
          arba darbuotojams taikoma priimančiosios priežiūros institucijos valstybės narės teisė.

4.        Tais atvejais, kai pagal 1 dalį komandiruojančiosios priežiūros institucijos darbuotojai
          vykdo veiklą kitoje valstybėje narėje, priimančiosios priežiūros institucijos valstybė narė
          prisiima atsakomybę už jų veiksmus, įskaitant atsakomybę už bet kokią jiems vykdant
          veiklą padarytą žalą, pagal valstybės narės, kurios teritorijoje jie vykdo veiklą, teisę.

5419/16                                                                       JV/rzi                    219
                                                  DGD 2                                               LT
 ---pagebreak--- 5.        Valstybė narė, kurios teritorijoje buvo padaryta žala, ją atlygina tokiomis pačiomis
          sąlygomis, kuriomis atlygintų savo darbuotojų padarytą žalą. Komandiruojančiosios
          priežiūros institucijos, kurios darbuotojai kitos valstybės narės teritorijoje padarė žalą bet
          kuriam asmeniui, valstybė narė grąžina tai kitai valstybei narei visas sumas, jos sumokėtas
          jų vardu teisę jas gauti turintiems asmenims.

6.        Nedarant poveikio naudojimuisi savo teisėmis trečiųjų šalių atžvilgiu ir išskyrus 5 dalyje
          nurodytą atvejį, 1 dalyje numatytu atveju nė viena valstybė narė nereikalauja kitos
          valstybės narės atlyginti jos patirtą žalą, nurodytą 4 dalyje.

7.        Jeigu ketinama vykdyti bendrą operaciją ir priežiūros institucija per vieną mėnesį neįvykdo
          šio straipsnio 2 dalies antrame sakinyje nustatytos prievolės, kitos priežiūros institucijos
          gali pagal 55 straipsnį patvirtinti laikinąją priemonę savo valstybės narės teritorijoje. Tuo
          atveju laikoma, kad patenkinamos 66 straipsnio 1 dalyje numatytos būtinybės skubiai imtis
          veiksmų sąlygos ir reikalinga skubi Valdybos nuomonė arba skubus privalomas
          sprendimas pagal 66 straipsnio 2 dalį.

5419/16                                                                      JV/rzi                   220
                                                   DGD 2                                             LT
 ---pagebreak---                                               2 SKIRSNIS
                                           NUOSEKLUMAS

                                              63 straipsnis
                                Nuoseklumo užtikrinimo mechanizmas

Siekdamos padėti nuosekliai taikyti šį reglamentą visoje Sąjungoje, priežiūros institucijos
bendradarbiauja tarpusavyje ir tam tikrais atvejais su Komisija pagal šiame skirsnyje nustatytą
nuoseklumo užtikrinimo mechanizmą.

                                              64 straipsnis
                                          Valdybos nuomonė

1.        Valdyba pateikia nuomonę visais atvejais, kai kompetentinga priežiūros institucija ketina
          patvirtinti bet kurią iš toliau nurodytų priemonių. Tuo tikslu kompetentinga priežiūros
          institucija pateikia Valdybai sprendimo projektą, kai:

          a)    juo siekiama priimti duomenų tvarkymo operacijų, kurioms pagal 35 straipsnio 4 dalį
                taikomas poveikio duomenų apsaugai vertinimo reikalavimas, sąrašą;

          b)    jis yra susijęs su klausimu pagal 40 straipsnio 7 dalį dėl to, ar elgesio kodekso
                projektas arba elgesio kodekso keitimas ar išplėtimas atitinka šį reglamentą;

5419/16                                                                     JV/rzi                  221
                                                 DGD 2                                              LT
 ---pagebreak---           c)    juo siekiama patvirtinti įstaigos akreditacijos pagal 41 straipsnio 3 dalį arba
                sertifikavimo įstaigos akreditacijos pagal 43 straipsnio 3 dalį kriterijus;

          d)    juo siekiama nustatyti 46 straipsnio 2 dalies d punkte ir 28 straipsnio 8 dalyje
                nurodytas standartines duomenų apsaugos sąlygas;

          e)    juo siekiama duoti leidimą taikyti sutarčių sąlygas, nurodytas 46 straipsnio 3 dalies
                a punkte; arba

          f)    juo siekiama patvirtinti įmonei privalomas taisykles, kaip apibrėžta 47 straipsnyje.

2.        Bet kuri priežiūros institucija, Valdybos pirmininkas arba Komisija gali prašyti, kad
          Valdyba išnagrinėtų bet kurį bendro pobūdžio klausimą arba klausimą, kuris daro poveikį
          daugiau nei vienoje valstybėje narėje, ir kad ji pateiktų nuomonę, visų pirma tais atvejais,
          kai kompetentinga priežiūros institucija nesilaiko su savitarpio pagalba susijusių prievolių
          pagal 61 straipsnį arba su bendromis operacijomis susijusių prievolių pagal 62 straipsnį.

3.        1 ir 2 dalyse nurodytais atvejais Valdyba pateikia nuomonę dėl jai pateikto klausimo,
          išskyrus atvejus, kai ji tuo pačiu klausimu jau yra pateikusi nuomonę. Ta nuomonė
          priimama per aštuonias savaites Valdybos narių paprasta balsų dauguma. Tas laikotarpis
          gali būti pratęstas dar šešioms savaitėms atsižvelgiant į dalyko sudėtingumą. 1 dalyje
          nurodyto sprendimo projekto, išplatinto valdybos nariams pagal 5 dalį, atžvilgiu laikoma,
          kad narys, per pirmininko nurodytą pagrįstą laikotarpį nepareiškęs prieštaravimų, pritaria
          sprendimo projektui.

5419/16                                                                      JV/rzi                 222
                                                 DGD 2                                             LT
 ---pagebreak--- 4.        Priežiūros institucijos ir Komisija nepagrįstai nedelsdamos, naudodamosi standartizuota
          forma, elektroninėmis priemonėmis Valdybai pateikia bet kokią reikšmingą informaciją,
          įskaitant, tam tikrais atvejais, faktų santrauką, sprendimo projektą, priežastis, dėl kurių
          būtina taikyti tokią priemonę, ir kitų susijusių priežiūros institucijų nuomones.

5.        Valdybos pirmininkas nepagrįstai nedelsdamas elektroninėmis priemonėmis:

          a)    Valdybos nariams ir Komisijai pateikia bet kokią reikšmingą informaciją, kuri jam
                buvo pateikta naudojantis standartizuota forma. Valdybos sekretoriatas prireikus
                pateikia reikšmingos informacijos vertimą; ir

          b)    tam tikrais atvejais 1 ir 2 dalyse nurodytai priežiūros institucijai ir Komisijai pateikia
                nuomonę ir ją paskelbia.

6.        Kompetentinga priežiūros institucija per 3 dalyje nurodytą laikotarpį nepriima savo
          sprendimo projekto, nurodyto 1 dalyje.

7.        1 dalyje nurodyta priežiūros institucija kuo labiau atsižvelgia į Valdybos nuomonę ir per
          dvi savaites nuo nuomonės gavimo elektroninėmis priemonėmis praneša Valdybos
          pirmininkui apie tai, ar ji nekeičia sprendimo projekto, ar jį iš dalies pakeis, ir jei jį iš
          dalies pakeičia, pateikia iš dalies pakeistą sprendimo projektą, naudodamasi standartizuota
          forma.

8.        Jeigu susijusi priežiūros institucija per šio straipsnio 7 dalyje nurodytą laikotarpį
          informuoja Valdybos pirmininką, kad ji neketina visiškai arba iš dalies atsižvelgti į
          valdybos nuomonę, pateikdama atitinkamas priežastis, taikoma 65 straipsnio 1 dalis.

5419/16                                                                        JV/rzi                     223
                                                   DGD 2                                                  LT
 ---pagebreak---                                              65 straipsnis
                      Europos duomenų apsaugos valdybos sprendžiami ginčai

1.        Siekiant užtikrinti tinkamą ir nuoseklų šio reglamento taikymą atskirais atvejais, Valdyba
          priima privalomą sprendimą šiais atvejais:

          a)   jeigu, 60 straipsnio 4 dalyje nurodytu atveju, susijusi priežiūros institucija yra
               pareiškusi tinkamą ir pagrįstą prieštaravimą vadovaujančios institucijos sprendimo
               projektui arba vadovaujanti institucija yra atmetusi prieštaravimą kaip netinkamą
               arba nepagrįstą. Privalomas sprendimas turi būti susijęs su visais klausimais, dėl
               kurių pateiktas tinkamas ir pagrįstas prieštaravimas, visų pirma dėl to, ar
               pažeidžiamas šis reglamentas;

          b)   jeigu esama prieštaringų nuomonių dėl to, kuri iš susijusių priežiūros institucijų yra
               kompetentinga pagrindinės buveinės atžvilgiu;

          c)   jeigu kompetentinga priežiūros institucija neprašo Valdybos pateikti nuomonę
               64 straipsnio 1 dalyje nurodytais atvejais arba nesilaiko pagal 64 straipsnį pateiktos
               Valdybos nuomonės. Tuo atveju bet kuri susijusi priežiūros institucija arba Komisija
               gali pranešti apie šį klausimą Valdybai.

5419/16                                                                     JV/rzi                  224
                                                DGD 2                                               LT
 ---pagebreak--- 2.        1 dalyje nurodytas sprendimas dviejų trečdalių valdybos narių balsų dauguma priimamas
          per vieną mėnesį nuo dalyko pateikimo. Dėl dalyko sudėtingumo šis laikotarpis gali būti
          pratęstas dar vienam mėnesiui. 1 dalyje nurodytas sprendimas turi būti pagrįstas, skirtas
          vadovaujančiai priežiūros institucijai bei visoms susijusioms priežiūros institucijoms ir
          joms privalomas.

3.        Jei valdybai nepavyko priimti sprendimo per 2 dalyje nurodytus laikotarpius, ji sprendimą
          priima paprasta valdybos narių balsų dauguma per dvi savaites nuo 2 dalyje nurodyto
          antrojo mėnesio pabaigos. Jei valdybos narių balsai pasidalija po lygiai, sprendimą lemia
          jos pirmininko balsas.

4.        Per 2 ir 3 dalyse nurodytus laikotarpius susijusios priežiūros institucijos nepriima
          sprendimo dėl pagal 1 dalį valdybai pateikto dalyko.

5.        Valdybos pirmininkas nepagrįstai nedelsdamas praneša 1 dalyje nurodytą sprendimą
          susijusioms priežiūros institucijoms. Apie tai jis informuoja Komisiją. Po to, kai priežiūros
          institucija praneša 6 dalyje nurodytą galutinį sprendimą, sprendimas nedelsiant
          paskelbiamas Valdybos interneto svetainėje.

5419/16                                                                    JV/rzi                     225
                                                 DGD 2                                            LT
 ---pagebreak--- 6.        Vadovaujanti priežiūros institucija arba, tam tikrais atvejais, priežiūros institucija, kuriai
          pateiktas skundas, nepagrįstai nedelsdama ir ne vėliau kaip per vieną mėnesį nuo tos
          dienos, kai Valdyba praneša savo sprendimą, priima galutinį sprendimą remdamasi šio
          straipsnio 1 dalyje nurodytu sprendimu. Vadovaujanti priežiūros institucija arba, tam
          tikrais atvejais, priežiūros institucija, kuriai pateiktas skundas, praneša Valdybai jos
          galutinio sprendimo pranešimo atitinkamai duomenų valdytojui arba duomenų tvarkytojui
          ir duomenų subjektui datą. Susijusių priežiūros institucijų galutinis sprendimas priimamas
          laikantis 60 straipsnio 7, 8 ir 9 dalyse išdėstytų sąlygų. Galutiniame sprendime daroma
          nuoroda į šio straipsnio 1 dalyje nurodytą sprendimą ir nurodoma, kad toje dalyje
          nurodytas sprendimas pagal šio straipsnio 5 dalį bus paskelbtas Valdybos interneto
          svetainėje. Prie galutinio sprendimo pridedamas šio straipsnio 1 dalyje nurodytas
          sprendimas.

                                               66 straipsnis
                                            Skubos procedūra

1.        Išimtinėmis aplinkybėmis, jeigu susijusi priežiūros institucija mano, jog būtina imtis
          skubių veiksmų, kad būtų apsaugotos duomenų subjektų teisės ir laisvės, ji, nukrypdama
          nuo 63, 64 ir 65 straipsnyje nurodyto nuoseklumo užtikrinimo mechanizmo arba
          60 straipsnyje nurodytos procedūros, gali nedelsdama priimti konkretų ne ilgiau kaip tris
          mėnesius trunkantį laikotarpį galiojančias laikinąsias priemones, galinčias turėti teisinių
          padarinių jos pačios valstybės narės teritorijoje. Priežiūros institucija tas priemones ir jų
          patvirtinimo priežastis nedelsdama pateikia kitoms susijusioms priežiūros institucijoms,
          Valdybai ir Komisijai.

5419/16                                                                      JV/rzi                    226
                                                  DGD 2                                              LT
 ---pagebreak--- 2.        Jeigu priežiūros institucija ėmėsi priemonės pagal 1 dalį ir mano, kad būtina skubiai
          patvirtinti galutines priemones, ji gali prašyti, kad Valdyba skubiai pateiktų nuomonę arba
          skubiai priimtų privalomą sprendimą, nurodydama prašymo pateikti tokią nuomonę ar
          priimti tokį sprendimą priežastis.

3.        Bet kuri priežiūros institucija gali prašyti Valdybos atitinkamai skubiai pateikti nuomonę
          arba skubiai priimti privalomą sprendimą, jeigu kompetentinga priežiūros institucija
          nesiėmė tinkamos priemonės tuo atveju, kai būtina imtis skubių veiksmų, kad būtų
          apsaugotos duomenų subjektų teisės ir laisvės, nurodydama prašymo pateikti tokią
          nuomonę ar priimti tokį sprendimą priežastis, be kita ko, susijusias su būtinybe imtis
          skubių veiksmų.

4.        Nukrypstant nuo 64 straipsnio 3 dalies ir 65 straipsnio 2 dalies, šio straipsnio 2 ir 3 dalyse
          nurodyta skubi nuomonė arba skubus privalomas sprendimas per dvi savaites priimami
          Valdybos narių paprasta balsų dauguma.

                                               67 straipsnis
                                         Keitimasis informacija

Komisija gali priimti bendro pobūdžio įgyvendinimo aktus, tam kad būtų nustatyti priežiūros
institucijų tarpusavio, taip pat priežiūros institucijų ir Valdybos keitimosi informacija
elektroninėmis priemonėmis tvarka, visų pirma 64 straipsnyje nurodyta standartizuota forma.

Tie įgyvendinimo aktai priimami laikantis 93 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.

5419/16                                                                     JV/rzi                   227
                                                  DGD 2                                             LT
 ---pagebreak---                                               3 SKIRSNIS
                           EUROPOS DUOMENŲ APSAUGOS VALDYBA

                                              68 straipsnis
                                  Europos duomenų apsaugos valdyba

1.        Europos duomenų apsaugos valdyba (toliau - Valdyba) įsteigiama kaip Sąjungos įstaiga,
          turinti juridinio asmens statusą.

2.        Valdybai atstovauja jos pirmininkas.

3.        Valdybą sudaro kiekvienos valstybės narės vienos priežiūros institucijos vadovai ir
          Europos duomenų apsaugos priežiūros pareigūnas arba jų atitinkami atstovai.

4.        Jeigu valstybėje narėje už nuostatų taikymo stebėseną pagal šį reglamentą yra atsakinga
          daugiau kaip viena priežiūros institucija, pagal tos valstybės narės teisę paskiriamas
          bendras atstovas.

5.        Komisija turi teisę dalyvauti Valdybos veikloje bei posėdžiuose be balsavimo teisės.
          Komisija paskiria atstovą. Valdybos pirmininkas praneša Komisijai apie Valdybos veiklą.

5419/16                                                                    JV/rzi                  228
                                                 DGD 2                                             LT
 ---pagebreak--- 6.        Su 65 straipsnyje nurodytais atvejais Europos duomenų apsaugos priežiūros pareigūnas
          balsavimo teisę turi priimant tik tuos sprendimus, kurie yra susiję su Sąjungos
          institucijoms, įstaigoms organams ir agentūroms taikomais principais ir taisyklėmis, kurie
          iš esmės atitinka šiame reglamente nustatytus principus ir taisykles.

                                             69 straipsnis
                                          Nepriklausomumas

1.        Atlikdama savo užduotis arba naudodamasi savo įgaliojimais pagal 70 ir 71 straipsnius
          Valdyba veikia nepriklausomai.

2.        Nedarant poveikio Komisijos galimybei teikti 70 straipsnio 1 dalies b punkte ir
          70 straipsnio 2 dalyje nurodytus prašymus, Valdyba, atlikdama savo užduotis arba
          naudodamasi savo įgaliojimais, neprašo ir nepriima jokių nurodymų.

                                             70 straipsnis
                                           Valdybos užduotys

1.        Valdyba užtikrina, kad šis reglamentas būtų taikomas nuosekliai. Šiuo tikslu Valdyba savo
          iniciatyva arba tam tikrais atvejais Komisijos prašymu visų pirma:

          a)    stebi ir užtikrina tinkamą šio reglamento taikymą 64 ir 65 straipsniuose nurodytais
                atvejais, nedarant poveikio nacionalinių priežiūros institucijų užduotims;

5419/16                                                                    JV/rzi                 229
                                                DGD 2                                            LT
 ---pagebreak---           b)   konsultuoja Komisiją visais su asmens duomenų apsauga Sąjungoje susijusiais
               klausimais, be kita ko, dėl siūlomų šio reglamento pakeitimų;

          c)   konsultuoja Komisiją dėl duomenų valdytojų, duomenų tvarkytojų ir priežiūros
               institucijų keitimosi informacija apie įmonei privalomas taisykles formato ir
               procedūrų;

          d)   teikia gaires, rekomendacijas ir geriausios praktikos pavyzdžius, susijusius su
               procedūromis, kaip ištrinti asmens duomenų saitus, kopijas ar dublikatus iš viešai
               prieinamų ryšių paslaugų, kaip nurodyta 17 straipsnio 2 dalyje;

          e)   savo iniciatyva, vieno iš savo narių prašymu arba Komisijos prašymu nagrinėja
               klausimus, susijusius su šio reglamento taikymu, ir teikia gaires, rekomendacijas ir
               geriausios praktikos pavyzdžius, kad paskatintų šį reglamentą taikyti nuosekliai;

          f)   pagal šios dalies e punktą teikia gaires, rekomendacijas ir geriausios praktikos
               pavyzdžius, kad labiau patikslintų profiliavimu grindžiamų sprendimų pagal
               22 straipsnio 2 dalį kriterijus ir sąlygas;

          g)   pagal šios dalies e punktą teikia gaires, rekomendacijas ir gerosios praktikos
               pavyzdžius dėl 33 straipsnio 1 ir 2 dalyse nurodyto asmens duomenų saugumo
               pažeidimo ir nepagrįsto delsimo nustatymo, taip pat konkrečių aplinkybių, kuriomis
               duomenų valdytojas arba duomenų tvarkytojas turi pranešti apie asmens duomenų
               pažeidimą;

5419/16                                                                   JV/rzi                    230
                                                 DGD 2                                             LT
 ---pagebreak---           h)   pagal šios dalies b punktą teikia gaires, rekomendacijas ir gerosios praktikos
               pavyzdžius, susijusius su tokiomis aplinkybėmis, kai dėl asmens duomenų saugumo
               pažeidimo gali kilti didelis pavojus fizinių asmenų teisėms ir laisvėms, kaip nurodyta
               34 straipsnio 1 dalyje;

          i)   pagal šios dalies e punktą teikia gaires, rekomendacijas ir gerosios praktikos
               pavyzdžius, kad labiau patikslintų kriterijus ir reikalavimus, taikomus asmens
               duomenų perdavimams, kurie grindžiami įmonei privalomomis taisyklėmis, kurių
               laikosi duomenų valdytojai, ir įmonei privalomomis taisyklėmis, kurių laikosi
               duomenų tvarkytojai, ir kitais būtinais reikalavimais, kuriais siekiama užtikrinti
               atitinkamų duomenų subjektų asmens duomenų apsaugą, kaip nurodyta
               47 straipsnyje;

          j)   pagal šios dalies e punktą teikia gaires, rekomendacijas ir gerosios praktikos
               pavyzdžius, kad labiau patikslintų asmens duomenų perdavimo remiantis
               49 straipsnio 1 dalimi kriterijus ir reikalavimus;

          k)   rengia priežiūros institucijoms skirtas gaires dėl 58 straipsnio 1, 2 ir 3 dalyse
               nurodytų priemonių taikymo ir administracinių baudų pagal 83 straipsnį nustatymo;

          l)   peržiūri e ir f punktuose nurodytų gairių, rekomendacijų ir geriausios praktikos
               pavyzdžių praktinį taikymą;

5419/16                                                                     JV/rzi                  231
                                                 DGD 2                                              LT
 ---pagebreak---           m)   pagal šios e punktą teikia gaires, rekomendacijas ir geriausios praktikos pavyzdžius
               siekiant nustatyti bendrą fizinių asmenų teikiamų pranešimų apie šio reglamento
               pažeidimus pagal 54 straipsnio 2 dalį tvarką;

          n)   skatina rengti elgesio kodeksus ir nustatyti duomenų apsaugos sertifikavimo
               mechanizmus bei duomenų apsaugos ženklus ir žymenis pagal 40 ir 42 straipsnius;

          o)   vykdo sertifikavimo įstaigų akreditavimą ir jo periodinę peržiūrą pagal 43 straipsnį ir
               tvarko viešą akredituotų įstaigų registrą pagal 43 straipsnio 6 dalį ir viešą trečiosiose
               valstybėse įsisteigusių akredituotų duomenų valdytojų ar duomenų tvarkytojų
               registrą pagal 42 straipsnio 7 dalį;

          p)   tiksliai apibūdina 43 straipsnio 3 dalyje nurodytus reikalavimus siekiant akredituoti
               sertifikavimo įstaigas pagal 42 straipsnį;

          q)   pateikia Komisijai nuomonę dėl 43 straipsnio 8 dalyje nurodytų sertifikavimo
               reikalavimų;

          r)   pateikia Komisijai nuomonę dėl 12 straipsnio 7 dalyje nurodytų piktogramų;

5419/16                                                                    JV/rzi                    232
                                                 DGD 2                                             LT
 ---pagebreak---           s)   pateikia Komisijai nuomonę dėl apsaugos lygio trečiojoje valstybėje arba
               tarptautinėje organizacijoje tinkamumo įvertinimo, įskaitant įvertinimą, ar trečioji
               valstybė, teritorija arba tarptautinė organizacija ar nurodytas vienas ar keli sektoriai
               toje trečiojoje valstybėje nebeužtikrina tinkamo apsaugos lygio. Tuo tikslu Komisija
               pateikia Valdybai visus būtinus dokumentus, įskaitant korespondenciją su trečiosios
               valstybės vyriausybe, dėl tos trečiosios šalies, teritorijos ar nurodyto sektoriaus, arba
               su tarptautine organizacija;

          t)   teikia nuomones dėl priežiūros institucijų sprendimų projektų pagal 64 straipsnio
               1 dalyje nurodytą nuoseklumo užtikrinimo mechanizmą ir dėl klausimų, pateiktų
               pagal 64 straipsnio 2 dalį, ir priima privalomus sprendimus pagal 65 straipsnį,
               įskaitant 66 straipsnyje nurodytus atvejus;

          u)   skatina priežiūros institucijų bendradarbiavimą ir veiksmingą dvišalį bei daugiašalį
               keitimąsi informacija ir geriausios praktikos pavyzdžiais;

          v)   skatina vykdyti bendras mokymo programas ir palengvina priežiūros institucijų
               darbuotojų mainus, ir tam tikrais atvejais darbuotojų mainus su trečiųjų valstybių
               priežiūros institucijomis arba su tarptautinėmis organizacijomis ;

          w)   skatina keistis žiniomis ir dokumentais apie duomenų apsaugos teisės aktus ir
               praktiką su duomenų apsaugos priežiūros institucijomis visame pasaulyje;

5419/16                                                                     JV/rzi                    233
                                                DGD 2                                              LT
 ---pagebreak---           x)    teikia nuomones dėl pagal 40 straipsnio 4 dalį Sąjungos lygmeniu parengtų elgesio
                kodeksų; ir

          y)    tvarko viešai prieinamą priežiūros institucijų ir teismų sprendimų dėl klausimų,
                nagrinėtų taikant nuoseklumo užtikrinimo mechanizmą, elektroninį registrą.

2.        Jeigu Komisija prašo Valdybos konsultacijos, ji gali nurodyti terminą, atsižvelgdama į
          klausimo skubumą.

3.        Valdyba savo nuomones, gaires, rekomendacijas ir geriausios praktikos pavyzdžius teikia
          Komisijai bei 93 straipsnyje nurodytam komitetui ir skelbia juos viešai.

4.        Valdyba tam tikrais atvejais konsultuojasi su suinteresuotosiomis šalimis ir suteikia joms
          galimybę per pagrįstą laikotarpį pateikti pastabų. Nedarant poveikio 76 straipsniui,
          Valdyba viešai paskelbia konsultavimosi procedūros rezultatus.

                                              71 straipsnis
                                               Ataskaitos

1.        Valdyba parengia metinę ataskaitą dėl fizinių asmenų apsaugos tvarkant duomenis
          Sąjungoje ir tam tikrais atvejais trečiosiose valstybėse bei tarptautinėse organizacijose.
          Ataskaita skelbiama viešai ir perduodama Europos Parlamentui, Tarybai ir Komisijai.

5419/16                                                                     JV/rzi                     234
                                                 DGD 2                                             LT
 ---pagebreak--- 2.        Toje metinėje ataskaitoje apžvelgiamas 70 straipsnio 1 dalies l punkte nurodytų gairių,
          rekomendacijų ir geriausios praktikos pavyzdžių, taip pat 65 straipsnyje nurodytų
          privalomų sprendimų praktinis taikymas.

                                             72 straipsnis
                                              Procedūra

1.        Valdyba sprendimus priima paprasta savo narių balsų dauguma, nebent šiame reglamente
          būtų nurodyta kitaip.

2.        Valdyba savo darbo tvarkos taisykles priima dviejų trečdalių savo narių balsų dauguma ir
          pati nustato savo darbo tvarką.

                                             73 straipsnis
                                             Pirmininkas

1.        Valdyba paprasta balsų dauguma iš savo narių renka pirmininką ir du jo pavaduotojus.

2.        Pirmininko ir jo pavaduotojų kadencija yra penkeri metai; ji gali būti atnaujinta vieną
          kartą.

5419/16                                                                   JV/rzi                    235
                                                DGD 2                                               LT
 ---pagebreak---                                              74 straipsnis
                                          Pirmininko užduotys

1.        Pirmininko užduotys yra šios:

          a)   šaukti Valdybos posėdžius ir rengti jų darbotvarkę;

          b)   pranešti pagal 65 straipsnį Valdybos priimtus sprendimus vadovaujančiai priežiūros
               institucijai ir susijusioms priežiūros institucijoms;

          c)   užtikrinti, kad Valdyba laiku atliktų savo užduotis, visų pirma susijusias su
               63 straipsnyje nurodytu nuoseklumo užtikrinimo mechanizmu.

2.        Valdyba savo darbo tvarkos taisyklėse nustato, kaip paskirstomos pirmininko ir jo
          pavaduotojų užduotys.

                                             75 straipsnis
                                             Sekretoriatas

1.        Valdyba turi sekretoriatą, kurio paslaugas teikia Europos duomenų apsaugos priežiūros
          pareigūno įstaiga.

2.        Sekretoriatas vykdo savo užduotis laikydamasis išmintinai Valdybos pirmininko
          nurodymų.

5419/16                                                                   JV/rzi                  236
                                                 DGD 2                                         LT
 ---pagebreak--- 3.        Vykdant šiuo reglamentu Valdybai pavestas užduotis dalyvaujantys Europos duomenų
          apsaugos priežiūros pareigūno įstaigos darbuotojai atsiskaito skirtingiems vadovams, nei
          darbuotojai, vykdantys Europos duomenų apsaugos priežiūros pareigūnui pavestas
          užduotis.

4.        Tam tikrais atvejais Valdyba ir Europos duomenų apsaugos priežiūros pareigūnas parengia
          ir paskelbia susitarimo memorandumą, kuriuo įgyvendinamas šis straipsnis; jame
          apibrėžiamos jų bendradarbiavimo sąlygos ir jis taikomas Europos duomenų apsaugos
          priežiūros pareigūno įstaigos darbuotojams, dalyvaujantiems vykdant šiuo reglamentu
          Valdybai pavestas užduotis.

5.        Sekretoriatas Valdybai teikia analitinę, administracinę ir logistinę paramą.

6.        Sekretoriatas visų pirma atsako už:

          a)    Valdybos kasdienę veiklą;

          b)    Valdybos narių, jos pirmininko ir Komisijos tarpusavio ryšius;

          c)    ryšius su kitomis institucijomis ir visuomene;

          d)    elektroninių priemonių naudojimą vidaus ir išorės ryšiams palaikyti;

          e)    reikšmingos informacijos vertimą;

          f)    Valdybos posėdžių rengimą ir su jais susijusią tolesnę veiklą;

          g)    su Valdybos priimamomis nuomonėmis, sprendimais dėl priežiūros institucijų ginčų
                išsprendimo ir kitais tekstais susijusį parengiamąjį darbą, jų rengimą ir paskelbimą.

5419/16                                                                    JV/rzi                  237
                                                 DGD 2                                            LT
 ---pagebreak---                                              76 straipsnis
                                           Konfidencialumas

1.        Valdybos diskusijos yra konfidencialios, jei valdybos nuomone tai yra būtina, kaip
          nustatyta jos darbo tvarkos taisyklėse.

2.        Galimybė susipažinti su Valdybos nariams, ekspertams ir trečiųjų šalių atstovams
          pateiktais dokumentais reglamentuojama Europos Parlamento ir Tarybos reglamentu (EB)
          Nr. 1049/2001 1.

                                         VIII SKYRIUS
    TEISIŲ GYNIMO PRIEMONĖS, ATSAKOMYBĖ IR SANKCIJOS

                                             77 straipsnis
                              Teisė pateikti skundą priežiūros institucijai

1.        Neapribojant galimybių imtis kitų administracinių arba teisminių teisių gynimo priemonių,
          kiekvienas duomenų subjektas turi teisę pateikti skundą priežiūros institucijai, visų pirma
          valstybėje narėje, kurioje yra jo nuolatinė gyvenamoji vieta, darbo vieta arba vieta, kurioje
          padarytas įtariamas pažeidimas, jeigu tas duomenų subjektas mano, kad su juo susijęs
          asmens duomenų tvarkymas atliekamas pažeidžiant šį reglamentą.

1
       2001 m. gegužės 30 d. Europos Parlamento ir Tarybos reglamentas (EB) Nr. 1049/2001 dėl
       galimybės visuomenei susipažinti su Europos Parlamento, Tarybos ir Komisijos
       dokumentais (OL L 145, 2001 5 31, p. 43).

5419/16                                                                       JV/rzi                238
                                                    DGD 2                                         LT
 ---pagebreak--- 2.        Priežiūros institucija, kuriai pateiktas skundas, informuoja skundo pateikėją apie skundo
          nagrinėjimo pažangą ir rezultatus, be kita ko, apie galimybę imtis teisminių teisių gynimo
          priemonių pagal 78 straipsnį.

                                              78 straipsnis
      Teisė imtis veiksmingų teisminių teisių gynimo priemonių prieš priežiūros instituciją

1.        Nedarant poveikio galimybei imtis kitų administracinių arba neteisminių teisių gynimo
          priemonių, kiekvienas fizinis ar juridinis asmuo turi teisę imtis veiksmingų teisminių teisių
          gynimo priemonių prieš priežiūros institucijos dėl jo priimtą teisiškai privalomą
          sprendimą.

2.        Nedarant poveikio galimybei imtis kitų administracinių arba neteisminių teisių gynimo
          priemonių, kiekvienas duomenų subjektas turi teisę imtis veiksmingų teisminių teisių
          gynimo priemonių, jeigu priežiūros institucija, kuri yra kompetentinga pagal 55 straipsnį ir
          56 straipsnį, skundo nenagrinėja arba per tris mėnesius nepraneša duomenų subjektui apie
          pagal 77 straipsnį pateikto skundo nagrinėjimo pažangą arba rezultatus.

3.        Byla priežiūros institucijai keliama valstybės narės, kurioje priežiūros institucija yra
          įsisteigusi, teismuose.

4.        Kai byla iškelta dėl priežiūros institucijos sprendimo, kuris buvo priimtas po to, kai
          Valdyba pateikė nuomonę ar priėmė sprendimą pagal nuoseklumo užtikrinimo
          mechanizmą, priežiūros institucija perduoda teismui tą nuomonę ar sprendimą.

5419/16                                                                     JV/rzi                   239
                                                 DGD 2                                               LT
 ---pagebreak---                                               79 straipsnis
                       Teisė imtis veiksmingų teisminių teisių gynimo priemonių
                          prieš duomenų valdytoją arba duomenų tvarkytoją

1.        Nedarant poveikio galimybei imtis bet kokių galimų administracinių arba neteisminių
          teisių gynimo priemonių, įskaitant teisę pateikti skundą priežiūros institucijai pagal
          77 straipsnį, kiekvienas duomenų subjektas turi teisę imtis veiksmingų teisminių teisių
          gynimo priemonių, jeigu mano, kad šiuo reglamentu nustatytos jo teisės buvo pažeistos,
          nes jo asmens duomenys buvo tvarkomi pažeidžiant šį reglamentą.

2.        Byla duomenų valdytojui arba duomenų tvarkytojui keliama valstybės narės, kurioje yra
          duomenų valdytojo arba duomenų tvarkytojo buveinė, teismuose. Kitu atveju tokia byla
          gali būti keliama valstybės narės, kurioje yra nuolatinė duomenų subjekto gyvenamoji
          vieta, teismuose, išskyrus atvejus, kai duomenų valdytojas arba duomenų tvarkytojas yra
          valstybės narės valdžios institucija, vykdanti savo viešuosius įgaliojimus.

5419/16                                                                    JV/rzi                   240
                                                 DGD 2                                             LT
 ---pagebreak---                                                80 straipsnis
                                   Atstovavimas duomenų subjektams

1.        Duomenų subjektas turi teisę įgalioti ne pelno įstaigą, organizaciją ar asociaciją, kuri
          tinkamai įsteigta pagal valstybės narės teisę ir kurios įstatais nustatyti tikslai atitinka viešąjį
          interesą, kuri veikia duomenų subjekto teisių bei laisvių apsaugos srityje, kiek tai susiję su
          jų asmens duomenų apsauga, jo vardu pateikti skundą ir jo vardu naudotis teisėmis,
          nurodytomis 77, 78 bei 79 straipsniuose, jo vardu naudotis 82 straipsnyje nurodyta teise
          gauti kompensaciją, jei taip numatyta valstybės narės teisėje.

2.        Valstybės narės gali nustatyti, kad bet kuri šio straipsnio 1 dalyje nurodyta įstaiga,
          organizacija ar asociacija, nepriklausomai nuo duomenų subjekto įgaliojimų, toje
          valstybėje narėje turi teisę pateikti skundą priežiūros institucijai, kuri yra kompetentinga
          pagal 77 straipsnį, ir turi teisę naudotis 78 ir 79 straipsniuose nurodytomis teisėmis, jei
          mano, kad tvarkant duomenis duomenų subjekto teisės pagal šį reglamentą buvo pažeistos.

5419/16                                                                       JV/rzi                    241
                                                   DGD 2                                               LT
 ---pagebreak---                                                81 straipsnis
                                     Bylos nagrinėjimo sustabdymas

1.        Kai valstybės narės kompetentingas teismas turi informacijos apie kitos valstybės narės
          teisme nagrinėjamą bylą dėl to paties dalyko, susijusio su to paties duomenų valdytojo arba
          duomenų tvarkytojo vykdomu duomenų tvarkymu, jis susisiekia su tuo kitos valstybės
          narės teismu, kad būtų patvirtintas tokios bylos egzistavimas.

2.        Kai kitos valstybės narės teisme yra nagrinėjama byla dėl to paties dalyko, susijusio su to
          paties duomenų valdytojo arba duomenų tvarkytojo vykdomu duomenų tvarkymu, bet
          kuris kompetentingas teismas, išskyrus teismą, į kurį kreiptasi pirmiausia, gali sustabdyti
          tos bylos nagrinėjimą.

3.        Kai ta byla nagrinėjama pirmosios instancijos teisme, bet kuris teismas, išskyrus teismą, į
          kurį kreiptasi pirmiausia, taip pat gali vienos iš šalių prašymu atsisakyti jurisdikcijos, jei
          teismas, į kurį kreiptasi pirmiausia, turi jurisdikciją atitinkamų ieškinių atžvilgiu ir pagal jo
          teisės aktus leidžiama tuos ieškinius sujungti.

                                               82 straipsnis
                                   Teisė į kompensaciją ir atsakomybė

1.        Bet kuris asmuo, patyręs materialinę ar nematerialinę žalą dėl šio reglamento pažeidimo,
          turi teisę iš duomenų valdytojo arba duomenų tvarkytojo gauti kompensaciją už patirtą
          žalą.

5419/16                                                                      JV/rzi                    242
                                                  DGD 2                                               LT
 ---pagebreak--- 2.        Tvarkant duomenis dalyvaujantis duomenų valdytojas atsako už žalą, padarytą dėl vykdyto
          duomenų tvarkymo pažeidžiant šį reglamentą. Duomenų tvarkytojas už dėl duomenų
          tvarkymo sukeltą žalą atsako tik tuo atveju, jei jis nesilaikė šiame reglamente konkrečiai
          duomenų tvarkytojams nustatytų prievolių arba jei jis veikė nepaisydamas teisėtų duomenų
          valdytojo nurodymų arba juos pažeisdamas.

3.        Duomenų valdytojas arba duomenų tvarkytojas atleidžiami nuo atsakomybės pagal 2 dalį,
          jeigu jis įrodo, kad jokiu būdu nėra atsakingas už įvykį, dėl kurio patirta žala.

4.        Jei tame pačiame duomenų tvarkymo procese dalyvauja daugiau nei vienas duomenų
          valdytojas ar duomenų tvarkytojas arba dalyvauja abu - duomenų valdytojas ir duomenų
          tvarkytojas - ir kai jie pagal 2 ir 3 dalis yra atsakingi už bet kokią dėl tokio tvarkymo
          sukeltą žalą, laikoma, kad kiekvienas duomenų valdytojas arba duomenų tvarkytojas yra
          atsakingi už visą žalą, kad būtų užtikrinta veiksminga kompensacija duomenų subjektui.

5.        Kai duomenų valdytojas arba duomenų tvarkytojas pagal 4 dalį sumokėjo visą
          kompensaciją už patirtą žalą, tas duomenų valdytojas arba duomenų tvarkytojas turi teisę
          reikalauti iš kitų tame pačiame duomenų tvarkymo procese dalyvavusių duomenų
          valdytojų arba duomenų tvarkytojų, kad jie sugrąžintų jam kompensacijos dalį, atitinkančią
          jų atsakomybės dalį, laikantis 2 dalyje išdėstytų sąlygų.

6.        Bylos dėl naudojimosi teise gauti kompensaciją iškeliamos pagal valstybės narės valstybės
          narės teisės aktus kompetentinguose teismuose, kaip nurodyta 79 straipsnio 2 dalyje.

5419/16                                                                     JV/rzi                    243
                                                  DGD 2                                               LT
 ---pagebreak---                                               83 straipsnis
                          Bendrosios administracinių baudų skyrimo sąlygos

1.        Kiekviena priežiūros institucija užtikrina, kad pagal šį straipsnį skiriamos administracinės
          baudos už 4, 5 ir 6 dalyse nurodytus šio reglamento pažeidimus kiekvienu konkrečiu atveju
          būtų veiksmingos, proporcingos ir atgrasomos.

2.        Administracinės baudos, atsižvelgiant į kiekvieno konkretaus atvejo aplinkybes, skiriamos
          kartu su 58 straipsnio 2 dalies a–h punktuose ir j punkte nurodytomis priemonėmis arba
          vietoj jų. Sprendžiant dėl to, ar skirti administracinę baudą, ir sprendžiant dėl
          administracinės baudos dydžio kiekvienu konkrečiu atveju deramai atsižvelgiama į šiuos
          dalykus:

          a)    pažeidimo pobūdį, sunkumą ir trukmę, atsižvelgiant į atitinkamo duomenų tvarkymo
                pobūdį, aprėptį ar tikslą, taip pat į nukentėjusių duomenų subjektų skaičių ir jų
                patirtos žalos dydį;

          b)    tai, ar pažeidimas padarytas tyčia, ar dėl aplaidumo;

          c)    bet kuriuos veiksmus, kurių duomenų valdytojas arba duomenų tvarkytojas ėmėsi,
                kad sumažintų duomenų subjektų patirtą žalą;

          d)    duomenų valdytojo arba duomenų tvarkytojo atsakomybės dydį, atsižvelgiant į jų
                pagal 25 ir 32 straipsnius įgyvendintas technines ir organizacines priemones;

5419/16                                                                     JV/rzi                  244
                                                 DGD 2                                              LT
 ---pagebreak---           e)   bet kuriuos to duomenų valdytojo arba duomenų tvarkytojo svarbius ankstesnius
               pažeidimus;

          f)   bendradarbiavimo su priežiūros institucija siekiant atitaisyti pažeidimą ir sumažinti
               galimą neigiamą jo poveikį laipsnį;

          g)   asmens duomenų, kuriems pažeidimas turi poveikį, kategorijas;

          h)   tai, kokiu būdu priežiūros institucija sužinojo apie pažeidimą, visų pirma tai, ar
               duomenų valdytojas arba duomenų tvarkytojas pranešė apie pažeidimą (jei taip –
               kokiu mastu);

          i)   jei atitinkamam duomenų valdytojui arba duomenų tvarkytojui dėl to paties dalyko
               anksčiau buvo taikytos 58 straipsnio 2 dalyje nurodytos priemonės – ar laikytasi tų
               priemonių;

          j)   ar laikomasi patvirtintų elgesio kodeksų pagal 40 straipsnį arba patvirtintų
               sertifikavimo mechanizmų pagal 42 straipsnį; ir

          k)   kitus sunkinančius ar švelninančius veiksnius, susijusius su konkretaus atvejo
               aplinkybėmis, pavyzdžiui, finansinę naudą, kuri buvo gauta, arba nuostolius, kurių
               buvo išvengta, tiesiogiai ar netiesiogiai dėl pažeidimo;

3.        Jei duomenų valdytojas arba duomenų tvarkytojas, atlikdamas tą pačią tvarkymo operaciją
          ar susijusias tvarkymo operacijas, tyčia ar dėl aplaidumo pažeidžia kelias šio reglamento
          nuostatas, bendra administracinės baudos suma nėra didesnė nei suma, kuri nustatyta už
          rimčiausią pažeidimą.

5419/16                                                                   JV/rzi                    245
                                                DGD 2                                               LT
 ---pagebreak--- 4.        Pažeidus toliau išvardytas nuostatas, pagal 2 dalį skiriamos administracinės baudos iki
          10 000 000 EUR arba, įmonės atveju – iki 2 % jos ankstesnių finansinių metų bendros
          metinės pasaulinės apyvartos, atsižvelgiant į tai, kuri suma yra didesnė:

          a)    duomenų valdytojo ir duomenų tvarkytojo prievoles 8, 11, 25, 26, 27, 28, 29, 30, 31,
                32, 33, 34, 35, 36, 37, 38, 39, 42 ir 43 straipsnius;

          b)    sertifikavimo įstaigos prievoles pagal 42 ir 43 straipsnius;

          c)    stebėsenos įstaigos prievoles pagal 41 straipsnio 4 dalį;

5.        Pažeidus toliau išvardytas nuostatas, pagal 2 dalį skiriamos administracinės baudos iki
          20 000 000 EUR arba, įmonės atveju – iki 4 % jos ankstesnių finansinių metų bendros
          metinės pasaulinės apyvartos, atsižvelgiant į tai, kuri suma yra didesnė:

          a)    pagrindinius duomenų tvarkymo principus, įskaitant sutikimo sąlygas, pagal 5, 6, 7 ir
                9 straipsnius;

          b)    duomenų subjekto teises pagal 12–22 straipsnius;

          c)    asmens duomenų perdavimą duomenų gavėjui trečiojoje valstybėje arba tarptautinei
                organizacijai pagal 44–49 straipsnius;

5419/16                                                                        JV/rzi               246
                                                  DGD 2                                             LT
 ---pagebreak---           d)    prievoles pagal valstybės narės teisės aktus, priimtus pagal IX skyrių;

          e)    jei nesilaikoma priežiūros institucijos nurodymo arba laikino ar nuolatinio duomenų
                tvarkymo apribojimo arba duomenų srautų sustabdymo pagal 58 straipsnio 2 dalį
                arba nesuteikiama prieigos galimybė pažeidžiant 58 straipsnio 1 dalį;

6.        Jei nesilaikoma 58 straipsnio 2 dalyje nurodyto priežiūros institucijos nurodymo, pagal šio
          straipsnio 2 dalį skiriamos administracinės baudos iki 20 000 000 EUR arba, įmonės
          atveju – iki 4 % jos ankstesnių finansinių metų bendros metinės pasaulinės apyvartos,
          atsižvelgiant į tai, kuri suma yra didesnė.

7.        Nedarant poveikio priežiūros institucijų įgaliojimams imtis taisomųjų veiksmų pagal
          58 straipsnio 2 dalį, kiekviena valstybė narė gali nustatyti taisykles, reglamentuojančias tai,
          ar ir kokiu mastu administracinės baudos gali būti skiriamos valdžios institucijomis ir
          įstaigoms, įsisteigusioms toje valstybėje narėje.

8.        Priežiūros institucijos naudojimuisi įgaliojimais pagal šį straipsnį taikomos atitinkamos
          procedūrinės garantijos laikantis Sąjungos teisės aktų ir valstybės narės teisės aktų,
          įskaitant veiksmingas teismines teisių gynimo priemones ir tinkamą procesą.

5419/16                                                                     JV/rzi                    247
                                                  DGD 2                                             LT
 ---pagebreak--- 9.        Jei valstybės narės teisės sistemoje nenumatoma administracinių baudų, šis straipsnis gali
          būti taikomas taip, kad baudą inicijuotų kompetentinga priežiūros institucija, o ją skirtų
          kompetentingi nacionaliniai teismai, kartu užtikrinant, kad tos teisių gynimo priemonės
          būtų veiksmingos ir turėtų priežiūros institucijų skiriamoms administracinėms baudoms
          lygiavertį poveikį. Bet kuriuo atveju skiriamos baudos turi būti veiksmingos, proporcingos
          ir atgrasomos. Tos valstybės narės ne vėliau kaip … [dveji metai nuo šio reglamento
          įsigaliojimo dienos] praneša Komisijai savo teisės aktų nuostatas, kurias jos priima pagal
          šią dalį, ir nedelsdamos praneša vėlesnius tas nuostatas keičiančius teisės aktus ar su jomis
          susijusius pakeitimus.

                                              84 straipsnis
                                               Sankcijos

1.        Valstybės narės nustato taisykles dėl kitų sankcijų, taikytinų už šio reglamento pažeidimus,
          visų pirma pažeidimus, dėl kurių netaikomos administracinės baudos pagal 83 straipsnį, ir
          imasi visų būtinų priemonių užtikrinti, kad jos būtų įgyvendinamos. Tokios sankcijos yra
          veiksmingos, proporcingos ir atgrasomos.

2.        Kiekviena valstybė narė ne vėliau kaip … [dveji metai nuo šio reglamento įsigaliojimo
          dienos] praneša Komisijai savo teisės aktų nuostatas, kurias ji priima pagal 1 dalį, ir
          nedelsdama praneša vėlesnius su tomis nuostatomis susijusius pakeitimus.

5419/16                                                                     JV/rzi                     248
                                                 DGD 2                                              LT
 ---pagebreak---                                            IX SKYRIUS
                             NUOSTATOS, SUSIJUSIOS SU
          KONKREČIAIS DUOMENŲ TVARKYMO ATVEJAIS

                                              85 straipsnis
                       Duomenų tvarkymas ir saviraiškos ir informacijos laisvė

1.        Valstybės narės teisėje teisė į asmens duomenų apsaugą pagal šį reglamentą turi būti
          suderinta su teise į saviraiškos ir informacijos laisvę, įskaitant duomenų tvarkymą
          žurnalistikos tikslais ir akademinės, meninės ar literatūrinės saviraiškos tikslais.

2.        Duomenų tvarkymui žurnalistikos arba akademinės, meninės ar literatūrinės saviraiškos
          tikslais valstybės narės numato II skyriaus (principai), III skyriaus (duomenų subjekto
          teisės), IV skyriaus (duomenų valdytojas ir duomenų tvarkytojas), V skyriaus (asmens
          duomenų perdavimas į trečiąsias valstybes arba tarptautinėms organizacijoms), VI skyriaus
          (nepriklausomos priežiūros institucijos), VII skyriaus (bendradarbiavimas ir nuoseklumas)
          ir IX skyriaus (specialūs duomenų tvarkymo atvejai) išimtis arba nuo jų nukrypti
          leidžiančias nuostatas, jei jos yra būtinos, kad teisė į asmens duomenų apsaugą būtų
          suderinta su saviraiškos ir informacijos laisve.

5419/16                                                                      JV/rzi                 249
                                                  DGD 2                                             LT
 ---pagebreak--- 3.        Kiekviena valstybė narė praneša Komisijai savo teisės aktų nuostatas, kurias ji priėmė
          pagal 2 dalį, ir nedelsdama praneša visus vėlesnius tas nuostatas keičiančius teisės aktus ar
          su jomis susijusius pakeitimus.

                                              86 straipsnis
            Duomenų tvarkymas ir visuomenės teisė susipažinti su oficialiais dokumentais

Valdžios institucijos arba viešosios įstaigos ar privačios įstaigos turimuose oficialiuose
dokumentuose, reikalinguose užduočiai, vykdomai dėl viešojo intereso, atlikti, esantys asmens
duomenys šios institucijos arba įstaigos gali būti atskleisti laikantis Sąjungos ar valstybės narės
teisės, kuri taikoma tai valdžios institucijai arba įstaigai, siekiant visuomenės teisę susipažinti su
oficialiais dokumentais suderinti su teise į asmens duomenų apsaugą pagal šį reglamentą.

                                              87 straipsnis
                       Nacionalinio asmens identifikavimo numerio tvarkymas

Valstybės narės gali tiksliau apibrėžti konkrečias sąlygas, kuriomis tvarkomas nacionalinis asmens
identifikavimo numeris ar bet kuris kitas bendro taikymo identifikatorius. Tuo atveju nacionalinis
asmens identifikavimo numeris ar bet kuris kitas bendro taikymo identifikatorius naudojamas tik jei
laikomasi tinkamų duomenų subjekto teisių ir laisvių apsaugos priemonių pagal šį reglamentą.

5419/16                                                                     JV/rzi                       250
                                                 DGD 2                                                LT
 ---pagebreak---                                               88 straipsnis
                    Duomenų tvarkymas su darbo santykiais susijusiame kontekste

1.        Valstybės narės gali teisėje ar kolektyvinėse sutartyse numatyti konkretesnes taisykles,
          kuriomis siekiama užtikrinti teisių ir laisvių apsaugą tvarkant darbuotojų asmens duomenis
          su darbo santykiais susijusiame kontekste, visų pirma juos įdarbinant, vykdant darbo
          sutartį, įskaitant teisės aktais arba kolektyvinėmis sutartimis nustatytų prievolių vykdymą,
          užtikrinant darbo administravimą, planavimą ir organizavimą, lygybę ir įvairovę darbo
          vietoje, darbuotojų saugą ir sveikatą, darbdavio ar kliento turto apsaugą, taip pat siekiant
          pasinaudoti su darbo santykiais susijusiomis individualiomis ir kolektyvinėmis teisėmis ir
          išmokomis, taip pat siekiant nutraukti darbo santykius.

2.        Tos taisyklės apima tinkamas ir konkrečias priemones, kuriomis siekiama apsaugoti
          duomenų subjekto žmogiškąjį orumą, teisėtus interesus ir pagrindines teises, ypatingą
          dėmesį skiriant duomenų tvarkymo skaidrumui, asmens duomenų perdavimui įmonių
          grupėje arba bendrą ekonominę veiklą vykdančių įmonių grupėje ir stebėsenos sistemoms
          darbo vietoje.

3.        Kiekviena valstybė narė ne vėliau kaip … [dveji metai nuo šio reglamento įsigaliojimo
          dienos] praneša Komisijai tas savo teisės aktų nuostatas, kurias ji priima pagal 1 dalį, ir
          nedelsdama praneša vėlesnius su tomis nuostatomis susijusius pakeitimus.

5419/16                                                                     JV/rzi                      251
                                                 DGD 2                                              LT
 ---pagebreak---                                                89 straipsnis
                        Apsaugos priemonės ir nukrypti leidžiančios nuostatos,
             susijusios su duomenų tvarkymu archyvavimo tikslais viešojo intereso labui,
                     mokslinių ar istorinių tyrimų tikslais arba statistiniais tikslais

1.        Duomenų tvarkymui archyvavimo tikslais viešojo intereso labui, mokslinių ar istorinių
          tyrimų tikslais arba statistiniais tikslais pagal šį reglamentą taikomos tinkamos duomenų
          subjekto teisių ir laisvių apsaugos priemonės. Tomis apsaugos priemonėmis užtikrinama,
          kad būtų įdiegtos techninės ir organizacinės priemonės, visų pirma siekiant užtikrinti, kad
          būtų laikomasi duomenų kiekio mažinimo principo. Tos priemonės gali apimti pseudonimų
          suteikimą, jeigu tie tikslai gali būti pasiekti tuo būdu. Visais atvejais, kai tuos tikslus
          galima pasiekti toliau tvarkant duomenis, iš kurių negalima arba nebegalima nustatyti
          duomenų subjektų tapatybės, tų tikslų siekiama tuo būdu.

2.        Kai asmens duomenys tvarkomi mokslinių ar istorinių tyrimų tikslais arba statistiniais
          tikslais, Sąjungos arba valstybės narės teisės aktais gali būti nustatytos nukrypti
          leidžiančios nuostatos, susijusios su 15, 16, 18 ir 21 straipsniuose nurodytomis teisėmis, jei
          taikomos šio straipsnio 1 dalyje nurodytos sąlygos ir apsaugos priemonės, tokiu mastu,
          kokiu dėl tokių teisių gali tapti neįmanoma pasiekti konkrečių tikslų arba jos gali tapti
          rimta kliūtimi jiems pasiekti, ir norint pasiekti tuos tikslus yra būtinos tokios nukrypti
          leidžiančios nuostatos.

5419/16                                                                       JV/rzi                    252
                                                   DGD 2                                                LT
 ---pagebreak--- 3.        Kai asmens duomenys tvarkomi archyvavimo tikslais viešojo intereso labui, Sąjungos arba
          valstybės narės teisės aktais gali būti nustatytos nukrypti leidžiančios nuostatos, susijusios
          su 15, 16, 18, 19, 20 ir 21 straipsniuose nurodytomis teisėmis, jei taikomos šio straipsnio
          1 dalyje nurodytos sąlygos ir apsaugos priemonės, tokiu mastu, kokiu dėl tokių teisių gali
          tapti neįmanoma pasiekti konkrečių tikslų arba jos gali tapti rimta kliūtimi jiems pasiekti, ir
          norint pasiekti tuos tikslus yra būtinos tokios nukrypti leidžiančios nuostatos.

4.        Kai 2 ir 3 dalyse nurodytas tvarkymas tuo pat metu padeda siekti kito tikslo, nukrypti
          leidžiančias nuostatas galima taikyti tik duomenų tvarkymui tose dalyse nurodytais tikslais.

                                               90 straipsnis
                                        Prievolės saugoti paslaptį

1.        Valstybės narės gali priimti specialias taisykles ir jose išdėstyti 58 straipsnio 1 dalies e ir
          f punktuose nustatytus priežiūros institucijų įgaliojimus dėl duomenų valdytojų arba
          duomenų tvarkytojų, kuriems pagal Sąjungos arba valstybės narės teisę arba nacionalinių
          kompetentingų įstaigų nustatytas taisykles taikoma prievolė saugoti profesinę paslaptį arba
          kitos lygiavertės prievolės saugoti paslaptį, jeigu tai būtina ir proporcinga siekiant suderinti
          teisę į asmens duomenų apsaugą su prievole saugoti paslaptį. Tos taisyklės taikomos tik
          asmens duomenims, kuriuos duomenų valdytojas arba duomenų tvarkytojas gavo arba įgijo
          vykdydamas veiklą, kuriai taikoma ta prievolė saugoti paslaptį.

5419/16                                                                       JV/rzi                   253
                                                  DGD 2                                               LT
 ---pagebreak--- 2.        Kiekviena valstybė narė ne vėliau kaip … [dveji metai nuo šio reglamento įsigaliojimo
          dienos] praneša Komisijai taisykles, kurias ji priima pagal 1 dalį, ir nedelsdama praneša
          vėlesnius su tomis taisyklėmis susijusius pakeitimus.

                                               91 straipsnis
              Galiojančios bažnyčių ir religinių asociacijų duomenų apsaugos taisyklės

1.        Jeigu įsigaliojant šiam reglamentui valstybėje narėje bažnyčios ir religinės asociacijos arba
          bendruomenės taiko visapusiškas taisykles dėl asmenų apsaugos tvarkant duomenis, tokios
          taisyklės gali būti toliau taikomos, jeigu jos yra suderintos su šiuo reglamentu.

2.        Bažnyčias ir religines asociacijas, taikančias išsamias taisykles pagal 1 dalį, prižiūri
          nepriklausoma priežiūros institucija, kuri gali būti specialaus pobūdžio, tačiau ji turi atitikti
          šio reglamento VI skyriuje nustatytas sąlygas.

5419/16                                                                      JV/rzi                    254
                                                  DGD 2                                              LT
 ---pagebreak---                                            X SKYRIUS
          DELEGUOTIEJI AKTAI IR ĮGYVENDINIMO AKTAI

                                             92 straipsnis
                                        Įgaliojimų delegavimas

1.        Įgaliojimai priimti deleguotuosius aktus Komisijai suteikiami šiame straipsnyje
          nustatytomis sąlygomis.

2.        12 straipsnio 8 dalyje ir 43 straipsnio 8 dalyje nurodyti įgaliojimai priimti deleguotuosius
          aktus Komisijai suteikiami neribotam laikotarpiui nuo …[šio reglamento įsigaliojimo
          datos].

3.        Europos Parlamentas arba Taryba gali bet kada atšaukti 12 straipsnio 8 dalyje ir
          43 straipsnio 8 dalyje nurodytus deleguotuosius įgaliojimus. Sprendimu dėl įgaliojimų
          atšaukimo nutraukiami tame sprendime nurodyti įgaliojimai priimti deleguotuosius aktus.
          Jis įsigalioja kitą dieną po jo paskelbimo Europos Sąjungos oficialiajame leidinyje arba
          vėlesnę jame nurodytą dieną. Jis nedaro poveikio jau galiojančių deleguotųjų aktų
          galiojimui.

4.        Apie priimtą deleguotąjį aktą Komisija nedelsdama vienu metu praneša Europos
          Parlamentui ir Tarybai.

5419/16                                                                    JV/rzi                    255
                                                 DGD 2                                             LT
 ---pagebreak--- 5.        Pagal 12 straipsnio 8 dalį ir 43 straipsnio 8 dalį priimtas deleguotasis aktas įsigalioja tik
          tuo atveju, jeigu per tris mėnesius nuo pranešimo Europos Parlamentui ir Tarybai apie šį
          aktą dienos nei Europos Parlamentas, nei Taryba nepareiškia prieštaravimų arba jeigu dar
          nepasibaigus šiam laikotarpiui ir Europos Parlamentas, ir Taryba praneša Komisijai, kad
          prieštaravimų nereikš. Europos Parlamento arba Tarybos iniciatyva šis laikotarpis
          pratęsiamas trim mėnesiais.

                                               93 straipsnis
                                           Komiteto procedūra

1.        Komisijai padeda komitetas. Tas komitetas – tai komitetas, kaip nustatyta Reglamente (ES)
          Nr. 182/2011.

2.        Kai daroma nuoroda į šią dalį, taikomas Reglamento (ES) Nr. 182/2011 5 straipsnis.

3.        Kai daroma nuoroda į šią dalį, taikomas Reglamento (ES) Nr. 182/2011 8 straipsnis kartu
          su jo 5 straipsniu.

5419/16                                                                      JV/rzi                       256
                                                  DGD 2                                              LT
 ---pagebreak---                                          XI SKYRIUS
                           BAIGIAMOSIOS NUOSTATOS

                                             94 straipsnis
                                 Direktyvos 95/46/EB panaikinimas

1.        Direktyva 95/46//EB panaikinama nuo … [dveji metai nuo šio reglamento įsigaliojimo
          dienos].

2.        Nuorodos į panaikintą direktyvą laikomos nuorodomis į šį reglamentą. Nuorodos į
          Direktyvos 95/46/EB 29 straipsniu įsteigtą Darbo grupę asmenų apsaugai tvarkant asmens
          duomenis laikomos nuorodomis į šiuo reglamentu įsteigtą Europos duomenų apsaugos
          valdybą.

                                             95 straipsnis
                                   Ryšys su Direktyva 2002/58/EB

Šiuo reglamentu fiziniams arba juridiniams asmenims nenustatoma papildomų prievolių, susijusių
su duomenų tvarkymu Sąjungoje viešaisiais ryšių tinklais teikiant viešai prieinamas elektroninių
ryšių paslaugas, kiek tai susiję su klausimais, kuriais jiems taikomos Direktyvoje 2002/58/EB
nustatytos specialios prievolės, kuriomis siekiama to paties tikslo.

5419/16                                                                 JV/rzi                     257
                                                DGD 2                                           LT
 ---pagebreak---                                                96 straipsnis
                               Ryšys su anksčiau sudarytais susitarimais

Tarptautiniai susitarimai, kuriuose numatomas asmens duomenų perdavimas į trečiąsias valstybes
arba tarptautinėms organizacijoms, kuriuos valstybės narės sudarė prieš … [šio reglamento
įsigaliojimo diena] ir kurie atitinka Sąjungos teisę, taikytiną prieš … [šio reglamento įsigaliojimo
diena], lieka galioti tol, kol bus iš dalies pakeisti, pakeisti naujais susitarimais arba panaikinti.

                                               97 straipsnis
                                          Komisijos ataskaitos

1.        Ne vėliau kaip … [4 metai po šio reglamento įsigaliojimo] ir vėliau kas ketverius metus
          Komisija teikia Europos Parlamentui ir Tarybai šio reglamento vertinimo ir peržiūros
          ataskaitas. Ataskaitos skelbiamos viešai.

2.        Atlikdama 1 dalyje nurodytus įvertinimus ir peržiūras, Komisija visų pirma išnagrinėja,
          kaip taikomos ir kaip veikia:

          a)   V skyriaus nuostatos dėl asmens duomenų perdavimo į trečiąsias valstybes arba
               tarptautinėms organizacijoms, ypatingą dėmesį skiriant sprendimams, priimtiems
               pagal šio reglamento 45 straipsnio 3 dalį, ir sprendimams, priimtiems remiantis
               Direktyvos 95/46/EB 25 straipsnio 6 dalimi;

          b)   VII skyriaus nuostatos dėl bendradarbiavimo ir nuoseklumo.

5419/16                                                                       JV/rzi                    258
                                                  DGD 2                                                 LT
 ---pagebreak--- 3.        1 dalies tikslu Komisija gali prašyti valstybių narių ir priežiūros institucijų pateikti
          informaciją.

4.        Atlikdama 1 ir 2 dalyse nurodytą vertinimą ir peržiūrą, Komisija atsižvelgia į Europos
          Parlamento, Tarybos, taip pat kitų svarbių įstaigų ar šaltinių nuomones ir išvadas.

5.        Prireikus Komisija pateikia tinkamus pasiūlymus iš dalies pakeisti šį reglamentą, visų
          pirma atsižvelgdama į informacinių technologijų raidą ir informacinės visuomenės
          pažangą.

                                               98 straipsnis
                         Kitų Sąjungos duomenų apsaugos teisės aktų peržiūra

Prireikus Komisija teikia pasiūlymus dėl teisėkūros procedūra priimamų aktų, kuriais siekiama iš
dalies pakeisti kitas Sąjungos teisės aktus asmens duomenų apsaugos srityje, siekiant užtikrinti
vienodą ir nuoseklią fizinių asmenų apsaugą tvarkant duomenis. Tai visų pirma taikoma taisyklėms,
susijusioms su fizinių asmenų apsauga Sąjungos institucijoms, įstaigoms, tarnyboms ir agentūroms
tvarkant duomenis, ir taisyklėms, susijusioms su laisvu tokių duomenų judėjimu.

5419/16                                                                      JV/rzi                  259
                                                  DGD 2                                              LT
 ---pagebreak---                                             99 straipsnis
                                      Įsigaliojimas ir taikymas

1.        Šis reglamentas įsigalioja dvidešimtą dieną po jo paskelbimo Europos Sąjungos
          oficialiajame leidinyje.

2.        Jis taikomas nuo … [dveji metai nuo šio reglamento įsigaliojimo dienos].

Šis reglamentas privalomas visas ir tiesiogiai taikomas visose valstybėse narėse.

Priimta …

Europos Parlamento vardu                                    Tarybos vardu
Pirmininkas                                                 Pirmininkas

5419/16                                                                   JV/rzi          260
                                               DGD 2                                      LT