32001R0045
L 008/1
ОФИЦИАЛЕН ВЕСТНИК НА ЕВРОПЕЙСКИЯ СЪЮЗ
РЕГЛАМЕНТ (ЕО) № 45/2001 НА ЕВРОПЕЙСКИЯ ПАРЛАМЕНТ И НА СЪВЕТА
от 18 декември 2000 година
относно защитата на лицата по отношение на обработката на лични данни от институции и органи на Общността и за свободното движение на такива данни
ЕВРОПЕЙСКИЯТ ПАРЛАМЕНТ И СЪВЕТЪТ НА ЕВРОПЕЙСКИЯ СЪЮЗ,
като взеха предвид Договора за създаване на Европейската общност, и по-специално член 286 от него,
като взеха предвид предложението на Комисията (1),
като взеха предвид становището на Икономическия и социален комитет (2),
в съответствие с процедурата, предвидена в член 251 от Договора (3),
като имат предвид, че:
(1)
Член 286 от Договора изисква актовете на Общността относно защитата на лицата по отношение на обработката на лични данни и свободното движение на такива данни да се прилагат спрямо институциите и органите на Общността.
(2)
Една напълно функционална система за защита на личните данни изисква да се определят не само права за субектите на данни и задължения за онези, които обработват лични данни, но и подходящи санкции за нарушителите и за наблюдение и контрол от страна на независим надзорен орган.
(3)
Член 286, параграф 2 от Договора изисква създаването на независим надзорен орган, който да отговаря за наблюдението и контрола върху прилагането на тези актове на Общността спрямо институциите и органите на Общността.
(4)
Член 286, параграф 2 от Договора изисква приемането по целесъобразност на всякакви други свързани с това разпоредби.
(5)
Необходим е регламент, който да осигурява на физическите лица законно приложими права, да определя свързаните с обработката на данни задължения на контролните органи в рамките на институциите и органите на Общността и да създаде независим надзорен орган, който да отговаря за наблюдението и контрола на обработката на лични данни от институциите и органите на Общността.
(6)
Проведени са консултации с работната група за защита на лицата по отношение на обработката на лични данни, която е сформирана съгласно член 29 от Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 г. за защита на физическите лица по отношение на обработката на лични данни и за свободното движение на такива данни (4).
(7)
Лицата, които ще бъдат обект на защита са онези, чиито лични данни при каквито и да е обстоятелства се обработват от институции или органи на Общността, например поради това, че са служители на тези институции или органи.
(8)
Принципите за защита на данните следва да се прилагат по отношение на всяка информация, която се отнася за идентифицирано или идентифицируемо лице. За да се определи, дали може да се установи самоличността на дадено лице, следва да се вземат предвид всички приемливи средства, с които може да си послужи контролиращия орган или което и да е друго лице с оглед идентифицирането на посоченото лице. Принципите за защита не следва да се прилагат по отношение на данни с анонимен характер по такъв начин, че субектът на данните не е повече идентифицируем.
(9)
Директива 95/46/ЕО изисква от държавите-членки да защитават основните права и свободи на физическите лица, и по-специално правото им на личен живот по отношение на обработката на лични данни, за да се гарантира свободно движение на лични данни в Общността.
(10)
Директива 97/66/ЕО на Европейския парламент и на Съвета от 15 декември 1997 г. относно обработката на лични данни и защитата на личния живот в телекомуникационния сектор (5) уточнява и допълва Директива 95/46/ЕО по отношение на обработката на лични данни в телекомуникационния сектор.
(11)
Различни други мерки на Общността, в т.ч. мерки за взаимопомощ между националните органи и Комисията, също са предназначени да уточняват и допълват Директива 95/46/ЕО в секторите, за които се отнасят.
(12)
Необходимо е да се гарантира последователно и еднакво прилагане на територията на цялата Общност на правилата за защита на основните права и свободи на физическите лица по отношение на обработката на лични данни.
(13)
Целта е едновременно да се гарантира ефективно спазване на правилата, които уреждат защитата на основните права и свободи на отделните лица и свободното движение на лични данни между държавите-членки и институциите и органите на Общността или между институциите и органите на Общността във връзка с упражняването на съответните им компетенции.
(14)
За целта следва да се приемат мерки, които да са задължителни за институциите и органите на Общността. Тези мерки следва да се прилагат за всички обработки на лични данни от страна на всички институции и органи на Общността дотолкова, доколкото се извършват при упражняване на дейности, които изцяло или частично попадат в обхвата на правото на Общността.
(15)
Когато тази обработка се извършва от институции или органи на Общността при упражняване на дейности, попадащи извън обхвата на настоящия регламент, по-специално посочените в дялове V и VI от Договора за Европейския съюз, защитата на основните права и свободи на отделните лица се гарантира при надлежно съблюдаване на разпоредбите на член 6 от Договора за Европейския съюз. Достъпът до документи, включително и условията за достъп до документи, съдържащи лични данни, се урежда от правилата, които са приети въз основа на член 255 от Договора за създаване на Европейската общност, чийто обхват включва дялове V и VI от Договора за Европейския съюз.
(16)
Мерките не следва да се прилагат спрямо органи, които са установени извън рамките на Общността, а Европейският надзорен орган по защита на данните не следва да е компетентен да наблюдава и контролира обработката на лични данни от такива органи.
(17)
Ефективността на защитата на лицата по отношение на обработката на лични данни в Съюза предполага последователност на съответните правила и процедури, които са приложими за дейности, принадлежащи към различен правен контекст. Разработването на основни принципи за защита на личните данни в областта на правното сътрудничество по наказателни въпроси и полицейското и митническо сътрудничество, както и създаването на секретариат за съвместните надзорни органи, учредени от конвенцията за Европол, Конвенцията за използване на информационни технологии за митнически цели и Шенгенската конвенция представляват първа стъпка в тази посока.
(18)
Настоящият регламент не следва да засяга правата и задълженията на държавите-членки съгласно Директиви 95/46/ЕО и 97/66/ЕО. В съответствие с Протокола за привилегиите и имунитетите на Европейските общности и международното право той няма за цел да променя законно прилагани от държавите-членки действащи процедури и практики в областта на националната сигурност, предотвратяването на безредици или предотвратяването, разкриването, разследването и съдебното преследване на престъпни деяния.
(19)
Институциите и органите на Общността следва да информират компетентните власти на държавите-членки, когато считат, че трябва да се извърши подслушване на съобщения по техните телекомуникационни мрежи при съблюдаване на приложимите национални разпоредби.
(20)
Приложимите разпоредби спрямо институциите и органите на Общността следва да съответстват на разпоредбите, които са предвидени във връзка с хармонизирането на националните законодателства или осъществяването на други политика на Общността, предимно в сферата на взаимната помощ. Все пак, когато става въпрос за гарантиране на защита в случая на обработката на лични данни от институции и органи на Общността, може да се наложи уточняване и допълване на тези разпоредби.
(21)
Същото важи и за правата на лицата, чиито данни се обработват, за задълженията на извършващите обработката институции и органи на Общността и за правомощията, които следва да се предоставят на независимия надзорен орган, който ще отговаря за правилното прилагане на настоящия регламент.
(22)
Предоставените на субекта на данни права и тяхното упражняване не трябва да влияят на наложените на контролиращия орган задължения.
(23)
Независимият надзорен орган следва да упражнява надзорните си функции в съответствие с Договора и при съблюдаване на правата на човека и основните свободи. Той следва да провежда своите разследвания в съответствие с Протокола за привилегиите и имунитетите, Правилника за служителите на Европейските общности и с приложимите условия за наемане на работа на други служители на Общностите.
(24)
Следва да се приемат необходимите технически мерки, които да позволяват достъп чрез независимия надзорен орган до водените от длъжностните лица за защита на данните регистри за извършените операции по обработка на лични данни.
(25)
Решенията на независимия надзорен орган относно отмяната на разпоредби, гаранциите, разрешенията и условията във връзка с операциите по обработка на данни, както са определени в настоящия регламент, следва да се публикуват в отчет за дейността. Независимо от публикуването на годишен отчет за дейността, независимият надзорен орган може да публикува отчети по конкретни теми.
(26)
Някои свързани с обработката на данни операции, които биха могли да крият конкретни опасности по отношение на правата и свободите на субектите на данни, се подлагат на предварителна проверка от независимия надзорен орган. Даденото в контекста на такава предварителна проверка становище, включително и становището, произтичащо от отсъствие на отговор в рамките на определен срок, не засяга последващото упражняване от страна на независимия надзорен орган на неговите правомощия по отношение на въпросната операция по обработка на данни.
(27)
Обработката на лични данни за осъществяване на задачите, които институциите и органи на Общността изпълняват в интерес на обществото, включва обработка на лични данни, които са необходими за управлението и функционирането на тези институции и органи.
(28)
В някои случаи обработката на данни следва да бъде разрешена от разпоредби на Общността или актове, които въвеждат разпоредби на Общността. Въпреки това, през преходния период, по време на който не съществуват такива разпоредби, и докато те бъдат приети, Европейският надзорен орган по защита на данните може да разрешава обработката на такива данни, при условие че бъдат приети подходящи гаранции. В тази връзка той/тя следва да отчита приетите от държавите-членки разпоредби за подобни случаи.
(29)
Тези случаи касаят обработката на данни, разкриващи расов или етнически произход, политически възгледи, религиозни или философски убеждения или членство в синдикални организации и обработката на данни, касаещи здравето или сексуалния живот, които са необходими за спазването на конкретните права и задължения на контролния орган в областта на трудовото законодателство или по причини от значителен обществен интерес. Те касаят и обработката на данни, свързани с нарушения, присъди или мерки за сигурност и разрешение за прилагане спрямо субекта на данните на решение, което създава правни ефекти за него/нея или значително го/я засяга и което се основава единствено на автоматизирана обработка на данни, предназначени за оценяване на определени аспекти на неговата/нейната личност.
(30)
Може да е необходимо да се наблюдават и контролират компютърните мрежи, които се експлоатират под контрола на институциите и органите на Общността с цел предотвратяване на неразрешено използване. Европейският надзорен орган по защита на данните следва да определи, дали и при какви условия е възможно това.
(31)
Отговорността, която произтича от нарушаване на разпоредбите на настоящия регламент, е уредена в член 288, втори параграф от Договора.
(32)
Във всяка институция или орган на Общността трябва да има едно или повече длъжностни лица за защита на данните, които да гарантират прилагането на разпоредбите на настоящия регламент и да съветват контролиращите органи по изпълнението на техните задължения.
(33)
Съгласно член 21 от Регламент (ЕО) № 322/97 на Съвета от 17 февруари 1997 г. относно статистиката на Общността (6), регламентът трябва да се прилага, без да се засягат разпоредбите на Директива 95/46/ЕО.
(34)
Съгласно член 8, параграф 8 от Регламент (ЕО) № 2533/98 на Съвета от 23 ноември 1998 г. относно събирането на статистическа информация от Европейската централна банка (7), регламентът трябва да се прилага, без да се засягат разпоредбите на Директива 95/46/ЕО.
(35)
Съгласно член 1, параграф 2 от Регламент (Евратом, ЕИО) № 1588/90 на Съвета от 11 юни 1990 г. относно изпращането в Статистическата служба на Европейските общности на данни, които са обект на статистическа тайна (8), регламентът не прави изключение от специалните общностни или национални разпоредби във връзка със защитата на поверителна информация, различна от статистическа тайна.
(36)
В съответствие с член 249 от Договора настоящият регламент няма за цел да ограничава свободата на действие на държавите-членки в съставянето на националните им закони за защита на данните, съгласно член 32 от Директива 95/46/ЕО,
ПРИЕХА НАСТОЯЩИЯ РЕГЛАМЕНТ:
ГЛАВА I
ОБЩИ РАЗПОРЕДБИ
Член 1
Предмет на регламента
1. В съответствие с настоящия регламент институциите и органите, които са създадени от или въз основа на Договорите за създаване на Европейските общности, оттук нататък наричани „институции или органи на Общността“, защитават основните права и свободи на физическите лица, и по-специалноправото им на личен живот по отношение на обработката на лични данни, както и не ограничават или забраняват свободното движение на лични данни помежду си или до получатели, спрямо които се прилага националното право на държавите-членки, които изпълняват Директива 95/46/ЕО.
2. Учреденият с настоящия регламент независим надзорен орган, оттук нататък наричан „Европейски надзорен орган по защита на данните“, наблюдава и контролира прилагането на разпоредбите на настоящия регламент по отношение на всички операции по обработка на лични данни, извършвани от институция или орган на Общността.
Член 2
Определения
По смисъла на настоящия регламент:
а)
„лични данни“ означава всяка информация, свързана с физическо лице с установена или подлежаща на установяване самоличност, оттук нататък наричано „субект на данни“; лице с подлежаща на установяване самоличност е лице, чиято самоличност може пряко или косвено да се установи, по-специално по идентификационен номер или по един или повече специфични фактора за неговата/нейната физическа, психологическа, психична, икономическа, културна или социална самоличност;
б)
„обработка на лични данни“, оттук нататък наричана „обработка“, означава всяка операция или съвкупност от операции, които се извършват с или без автоматични средства по отношение на личните данни, като събиране, записване, организиране, съхранение, адаптиране или промяна, извличане, справка, използване, разкриване чрез изпращане, разпространение или другояче предоставяне, подреждане или комбиниране, блокиране, заличаване или унищожаване;
в)
„система за архивиране на лични данни“, оттук нататък наричана „архивираща система“, означава всяка структурирана съвкупност от лични данни, достъпът до която се осъществява по специфични критерии, независимо дали тази съвкупност е централизирана, децентрализирана или разделена по функционален или географски принцип;
г)
„контролиращ орган“ означава институцията или органът на Общността, Генералната дирекция, звеното или всяка друга организационна структура, която самостоятелно или съвместно с други определя целите и средствата за обработка на лични данни; когато целите и средствата за обработка са определени със специфичен акт на Общността, с този акт на Общността може да се посочи контролиращият орган или специфичните критерии за неговото определяне.
д)
„обработващо лице“ означава физическо или юридическо лице, публична власт, агенция или всеки друг орган, който извършва обработка на лични данни от името на контролиращия орган;
е)
„трета страна“ означава физическо или юридическо лице, обществен орган, агенция или орган, различен от субекта на данни, контролиращия орган, обработващото лице и лицата, които са упълномощени да обработват данните под прекия контрол на контролиращия орган или обработващото лице;
ж)
„получател“ означава физическо или юридическо лице, публична власт, агенция или друг орган, пред който се разкриват данните, независимо дали той е или не е трета страна; все пак органите, които могат да получават данни в рамките на конкретно следствие не се считат за получатели;
з)
„съгласие на субекта на данни“ означава всеки свободно даден, конкретен и информиран израз на воля, с която той/тя изразява съгласието си да бъдат обработвани личните му/ѝ данни.
Член 3
Обхват
1. Настоящият регламент се прилага за обработката на данни от всички институции и органи на Общността дотолкова, доколкото тази обработка се извършва при упражняване на дейности, които изцяло или частично попадат в обхвата на правото на Общността.
2. Настоящият регламент се прилага за обработката на данни, която изцяло или частично се извършва чрез автоматични средства, както и за неавтоматичната обработка на лични данни, които съставляват част от архивираща система или са предназначени да бъдат част от архивираща система.
ГЛАВА II
ОБЩИ ПРАВИЛА ЗА ЗАКОНОСЪОБРАЗНОСТ НА ОБРАБОТКАТА НА ЛИЧНИ ДАННИ
РАЗДЕЛ 1
ПРИНЦИПИ ОТНОСНО КАЧЕСТВОТО НА ДАННИТЕ
Член 4
Качество на данните
1. Личните данни трябва да бъдат:
а)
безпристрастно и законно обработвани;
б)
събирани за конкретни, изрично указани и законни цели и да не бъдат впоследствие обработвани по несъвместим с тези цели начин. Последващата обработка за исторически, статистически или научни цели не се счита за несъвместима, при условие че контролиращият орган предвиди подходящи защитни мерки, с които по-конкретно да се гарантира, че данните няма да бъдат обработвани за никакви други цели или няма да бъдат използвани в подкрепа на мерки или решения, засягащи конкретно физическо лице;
в)
достатъчни, уместни и не повече от необходимото предвид целите, за които се събират и/или обработват впоследствие;
г)
точни и при необходимост актуализирани; трябва да се предприемат всички разумни стъпки, за да се гарантира заличаването или коригирането на неточни или непълни данни предвид целите, за които те се събират или обработват впоследствие;
д)
съхранявани по начин, който позволява установяване на самоличността на субектите на данни в продължение на период, който не надвишава необходимото за целите, за които се събират или впоследствие обработват данните. Институцията или органът на Общността регламентират съхраняването на лични данни, които трябва да се пазят за по-дълги периоди за исторически, статистически или научни цели да се извършва само в анонимна форма или, ако това не е възможно, само с кодиране на самоличността на субектите на данни. Във всички случаи данните не се използват за никакви други, освен исторически, статистически или научни цели.
2. Контролиращият орган е длъжен да гарантира спазването на разпоредбите на параграф 1.
РАЗДЕЛ 2
КРИТЕРИИ ЗА ЛЕГИТИМНА ОБРАБОТКА НА ДАННИ
Член 5
Законосъобразност на обработката
Лични данни могат да се обработват само ако:
а)
обработката е необходима за изпълнението на задача, която в интерес на обществото въз основа на Договорите за създаване на Европейските общности или други приети въз основа на тях юридически актове или при легитимно упражняване на официални правомощия, предоставени на институцията или органа на Общността или на трета страна, пред която се разкриват данните, или
б)
обработката е необходима за съобразяване със законно задължение, което се прилага спрямо контролиращия орган, или
в)
обработката е необходима за изпълнението на договор, по който субектът на данни е страна или за предприемане на стъпки по искане на субекта на данните преди сключването на договор, или
г)
субектът на данните недвусмислено е дал своето съгласие, или
д)
обработката е необходима за защита на жизнените интереси на субекта на данните.
Член 6
Промяна на целта
Без да се засягат разпоредбите на членове 4, 5 и 10:
1.
Лични данни се обработват за цели, различни от тези, за които са били събрани само ако промяната на целта е изрично разрешена от вътрешния правилник на институцията или органа на Общността.
2.
Лични данни, които са събрани изключително за гарантиране на сигурността или контрола на обработващите системи или операцаци, не се използват за никакви други цели, с изключение на такива, свързани с предотвратяване, разследване, разкриване и съдебно преследване на тежки криминални престъпления.
Член 7
Предаване на лични данни вътрешно или между институции или органи на Общността
Без да се засягат разпоредбите на членове 4, 5, 6 и 10:
1.
Лични данни се предават вътрешно или на други институции или органи на Общността само ако данните са необходими за законното изпълнение на задачи от компетенциите на получателя.
2.
Когато данните се предават по молба на получателя, контролиращият орган и получателят едновременно носят отговорност за легитимността на предаването.
Контролиращият орган е длъжен да провери компетенциите на получателя и да извърши предварителна оценка на необходимостта от предаване на данните. В случай на възникнали съмнения относно тази необходимост, контролиращият орган изисква допълнителна информация от получателя.
Получателят гарантира, че необходимостта от предаване на данните може да бъде впоследствие проверена.
3.
Получателят обработва личните данни само за целите, за които те са предадени.
Член 8
Предаване на лични данни на получатели, които са различни от институции и органи на Общността и спрямо които се прилагат разпоредбите на Директива 95/46/ЕО
Без да се засягат разпоредбите на членове 4, 5, 6 и 10, лични данни се предават на получатели, които са подчинени на разпоредбите на национално законодателство, прието в изпълнение на Директива 95/46/ЕО само ако:
а)
получателят удостовери, че данните са необходими за изпълнението на задача, която се осъществява в интерес на обществото или е предмет на упражняване на публична власт, или
б)
получателят удостовери необходимостта от предаване на данните, и ако няма основания да се предполага, че биха могли да бъдат засегнати легитимните интереси на субекта на данните.
Член 9
Предаване на лични данни на получатели, които са различни от институции и органи на Общността, спрямо които не се прилагат разпоредбите на Директива 95/46/ЕО
1. Лични данни се предават на получатели, които са различни от институции и органи на Общността и не са подчинени на разпоредбите на национално право, прието съобразно Директива 95/46/ЕО само ако в страната на получателя или в рамките на международната организация-получател е гарантирана достатъчно ниво на защита и данните се предават единствено с оглед изпълнение на задачи, които са от компетенциите на контролиращия орган.
2. Достатъчното ниво на защита, която се гарантира от съответната трета страна или международна организация се оценява в светлината на всички обстоятелства около дадена операция или съвкупност от операции по предаване на данни; особено внимание се обръща на естеството на данните, целта и продължителността на предлаганата операция или операции по предаване, третата страна-получател или международната организация-получател, действащите в съответната трета страна или международна организация общи и отраслови правни правила и професионалните правила и мерки за сигурност, които се спазват в тази трета страна или международна организация.
3. Институциите и органите на Общността информират Комисията и Европейския надзорен орган по защита на данните за случаи, в които те считат, че съответната трета страна или международна организация не гарантира достатъчно ниво на защита по смисъла на параграф 2.
4. Комисията информира държавите-членки за всички случаи по параграф 3.
5. Институциите и органите на Общността предприемат необходимите мерки, за да се съобразят с взетите от Комисията решения, когато съгласно член 25, параграфи 4 и 6 от Директива 95/46/ЕО тя установява, че дадена трета страна или международна организация гарантира или не достатъчно ниво на защита.
6. Чрез дерогация от разпоредбите на параграфи 1 и 2, институцията или органът на Общността може да предава лични данни, ако:
а)
субектът на данните е дал недвусмислено съгласие за предлаганото предаване, или
б)
предаването е необходимо за изпълнението на договор между субекта на данните и контролиращия орган или за изпълнението на мерки преди сключването на договор в отговор на молба от страна на субекта на данните, или
в)
предаването е необходимо за сключването или изпълнението на договор, който е сключен между контролиращия орган и трета страна в интерес на субекта на данните, или
г)
предаването е необходимо или установено по закон на основания, свързани с важен обществен интерес или за установяването, упражняването или защитата на правни искове, или
д)
предаването е необходимо за защита на жизнените интереси на субекта на данните, или
е)
предаването се извършва от регистър, който съгласно правото на Общността е предназначен за предоставяне на информация на обществеността и е открит за извършване на справки от обществеността въобще или от всяко лице, което явно покаже легитимен интерес, при условие че в конкретния случай са изпълнени предвидените в правото на Общността условия за извършване на справки.
7. Без да се засягат разпоредбите на параграф 6, Европейският надзорен орган по защита на данните може да разрешава предаване или съвкупност от предавания на лични данни на трета страна или международна организация, която не гарантира достатъчно ниво на защита по смисъла на параграфи 1 и 2, когато контролиращият орган дава достатъчни гаранции по отношение на защитата на личния живот и основните права и свободи на физическите лица и по отношение на упражняването на съответните права; по-специално, тези гаранции могат да произтичат от подходящи договорни клаузи.
8. Институциите и органите на Общността информират Европейския надзорен орган по защита на данните за категориите случаи, в които са приложили разпоредбите на параграфи 6 и 7.
РАЗДЕЛ 3
СПЕЦИАЛНИ КАТЕГОРИИ ОБРАБОТКА
Член 10
Обработка на специални категории данни
1. Забранява се обработката на лични данни, разкриващи расов или етнически произход, политически възгледи, религиозни или философски убеждения, членство в синдикални организации, както и данни, свързани със здравето или сексуалния живот.
2. Разпоредбите на параграф 1 не се прилагат, когато:
а)
субектът на данните е дал своето изрично съгласие за обработка на такива данни, освен в случаите, когато вътрешният правилник на институцията или органа на Общността предвижда, че посочената в параграф 1 забрана не може да се отменя чрез даването на съгласие от страна на субекта на данните, или
б)
обработката е необходима, с цел съобразяване със специфични права и задължения на контролиращия орган в областта на трудовото право дотолкова, доколкото това е разрешено от Договорите за създаване на Европейските общности или други приети въз основа на тях правни актове или при необходимост дотолкова, доколкото това е съгласувано с Европейския надзорен орган по защита на данните при условията на осигуряване на достатъчни мерки за защита, или
в)
обработката е необходима за защита на жизнените интереси на субекта на данните или на друго лице, когато субектът на данните е физически или юридически неспособен да даде своето съгласие, или
г)
обработката касае данни, които са публично обявени от субекта на данните, или ако е необходима за установяване, упражняване или защита на правни искове, или
д)
обработката се извършва в хода на легитимно упражняваните дейности и при подходящи мерки за защита от орган с нестопанска цел, който представлява интегрирана в дадена институция или орган на Общността структура, която по силата на член 4 от Директива 95/46/ЕО не е подчинена на разпоредбите на национално законодателство за защита на данните, както и когато се извършва с политическа, философска, религиозна или синдикална цел и при условие че обработката касае единствено членове на този орган или лица, които редовно контактуват с него във връзка с неговите цели и че данните не се разкриват пред трета страна без съгласието на субектите на данните.
3. Разпоредбите на параграф 1 не се прилагат, когато обработката на данните е необходима за медицински цели, свързани с профилактика, диагностициране, осигуряване на здравна помощ или лечение или управление на здравни служби, и когато тези данни се обработват от здравен специалист, който е обвързан със задължение за опазване на професионална тайна или от друго лице, което също е обвързано с равностойно задължение за опазване на тайна.
4. При условие че са осигурени подходящи гаранции и по съображения от значителен обществен интерес, освен предвидените в параграф 2 изключения, при необходимост с решение на Европейския надзорен орган по защита на данните могат да се предвидят допълнителни изключения, които са предвидени от Договорите за създаване на Европейските общности или други приети въз основа на тях правни актове.
5. Обработката на данни, свързани с престъпления, присъди или мерки за сигурност може да се извършва само ако това е разрешено от Договорите за създаване на Европейските общности или други приети въз основа на тях правни актове или, при необходимост, от Европейския надзорен орган по защита на данните, при условие че са осигурени подходящи специфични гаранции.
6. Европейският надзорен орган по защита на данните определя условията, при които личен номер или друг идентификатор може да се обработва от институция или орган на Общността.
РАЗДЕЛ 4
ИНФОРМАЦИЯ, КОЯТО СЕ ПРЕДОСТАВЯ НА СУБЕКТА НА ДАННИТЕ
Член 11
Информация, която се предоставя в случаи, когато данните са получени от техния субект
1. Контролиращият орган предоставя на субекта на данните, от когото са получени свързаните с него данни, най-малко следната информация, освен ако той/тя вече не разполага с нея:
а)
данните за самоличност на контролиращия орган;
б)
целите на процесът по обработка, за който са предназначени данните;
в)
получатели или категории получатели на данните;
г)
дали отговарянето на въпросите е задължително или доброволно, както и възможните последствия при липса на отговор;
д)
наличието на право на достъп до и право на коригиране на касаещите го/я данни;
е)
всякаква друга допълнителна информация, като:
i)
правното основание на обработката, за която са предназначени данните,
ii)
сроковете за съхранение на данните,
iii)
правото да се обръща по всяко време към европейския контрольор за защита на данните,
дотолкова, доколкото такава допълнителна информация е необходима предвид конкретните обстоятелства, при които са събрани данните, за да се гарантира безпристрастност на обработката спрямо субекта на данните.
2. Чрез дерогация от разпоредбите на параграф 1 предоставянето на информация или част от нея, с изключение на информацията, посочена в параграф 1, букви а), б) и г), може да се отлага за времето, което е необходимо за статистически цели. Информацията трябва да се предостави веднага, след като престанат да съществуват причините да нейното задържане.
Член 12
Информация, която се предоставя в случаи, когато данните не са получени от техния субект
1. Когато данните не са получени от техния субект, при започване на записването на личните данни, или когато се предвижда те да бъдат разкрити пред трета страна и не по-късно от времето, когато данните се разкриват за първи път, контролиращият орган предоставя на субекта на данните най-малко следната информация, освен ако той/тя вече не разполага с нея:
а)
данните за самоличност на контролиращия орган;
б)
цели на процесът на обработка;
в)
съответните категории данни;
г)
получатели или категории получатели;
д)
наличието на право на достъп до и право на коригиране на касаещите го/я данни;
е)
всякаква друга допълнителна информация, като:
i)
правното основание на обработката, за която са предназначени данните,
ii)
сроковете за съхранение на данните,
iii)
правото да се обръща по всяко време към европейския контрольор за защита на данните,
iv)
произхода на данните, с изключение на случаите, когато контролиращият орган не може да разкрие тази информация от съображения за професионална тайна,
дотолкова, доколкото такава допълнителна информация е необходима предвид специфичните обстоятелства, при които се обработват данните, за да се гарантира безпристрастност на обработката спрямо субекта на данните.
2. Разпоредбите на параграф 1 не се прилагат по-конкретно при обработката за статистически цели или за целите на исторически или научни изследвания, когато предоставянето на такава информация е невъзможно или би било свързано с несъразмерни усилия или ако записването или разкриването на данни е изрично предвидено от правото на Общността. В тези случаи институцията или органът на Общността предвиждат подходящи гаранции, след консултация с Европейския надзорен орган по защита на данните.
РАЗДЕЛ 5
ПРАВА НА СУБЕКТА НА ДАННИ
Член 13
Право на достъп
В срок от три месеца след получаване на запитването субектът на данните има право безплатно, без ограничения и по всяко време да получи от контролиращия орган:
а)
потвърждение, дали свързаните с него/нея данни се обработват;
б)
информация най-малко за целите на обработката, съответните категории данни и получателите или категориите получатели, пред които се разкриват данните;
в)
съобщение в разбираема форма за данните, които са в процес на обработка и всякаква налична информация за техния източник;
г)
информация за логиката на всеки автоматизиран процес на решение, който го/я касае.
Член 14
Коригиране
Субектът на данните има право да получи от контролиращия орган незабавно коригиране на неточни или непълни лични данни.
Член 15
Блокиране
1. Субектът на данните има право да получи от контролиращия орган блокиране на данните, когато:
а)
точността им се оспорва от субекта на данните за срок, който позволява на контролиращия орган да провери точността, включително и пълнотата на данните, или
б)
контролиращият орган вече не се нуждае от тях за изпълнение на своите задачи, но те трябва да бъдат запазени за доказателствени цели, или
в)
обработката им е незаконна и субектът на данните не желае те да бъдат заличени, а изисква да бъдат блокирани.
2. При автоматизирани архивиращи системи блокирането по принцип се осигурява чрез технически средства. Фактът, че личните данни са блокирани се указва в системата по начин, който ясно да показва, че личните данни не могат да се ползват.
3. Блокираните съгласно разпоредбите на настоящия член лични данни, с изключение на съхранението им, се обработват единствено за доказателствени цели или със съгласието на субекта на данните, или с оглед защита на правата на трета страна.
4. Преди данните да бъдат блокирани, контролиращият орган информира субекта на данните, който е поискал и получил блокиране на неговите/нейните данни.
Член 16
Заличаване
Субектът на данните има право да получи от контролиращия орган заличаване на данните, ако тяхната обработка е незаконна, особено когато са нарушени разпоредбите на раздели 1, 2 и 3 от глава II.
Член 17
Нотифициране на трети страни
Субектът на данните има право да получи от контролиращия орган нотифициране на трети страни, пред които са били разкрити данните за всяка корекция, заличаване или блокиране по силата на членове от 13 до 16, освен ако това е невъзможно или свързано с несъразмерно големи усилия.
Член 18
Право на възражение от страна на субекта на данните
Субектът на данните има право:
а)
по всяко време на непреодолими легитимни основания, свързани с конкретното му/ѝ положение да възразява срещу обработката на свързани с него/нея данни, освен в случаите по член 5, букви б), в) и г). При наличие на основателно възражение съответните данни не могат повече да бъдат обект на обработка;
б)
да бъде информиран преди личните данни да бъдат разкрити за първи път пред трети страни или преди да бъдат използвани от тях за преки маркетингови цели, както и изрично да му бъде предоставено право на безплатно възражение срещу такова разкриване или използване.
Член 19
Автоматизирани индивидуални решения
Субектът на данните има право да не бъде обект на решение, което има правни последици за него/нея или значително го/я засяга, и което се основава единствено на автоматизирана обработка на данни, които са предназначени за оценка на някои аспекти на неговата/нейната личност, като изпълнение на професионалните му/ѝ задължения, надеждност или поведение, освен ако решението не е изрично разрешено по силата на национално или общностно законодателство или, при необходимост, от Европейския надзорен орган по защита на данните. И в двата случая трябва да се вземат мерки за защита на законните интереси на субекта на данните така че той/тя да може да изразява собствената си гледна точка.
РАЗДЕЛ 6
ИЗКЛЮЧЕНИЯ И ОГРАНИЧЕНИЯ
Член 20
Изключения и ограничения
1. Институциите и органите на Общността могат да ограничават прилагането на член 4, параграф 1, член 11, член 12, параграф 1, членове от 13 до 17 и член 37, параграф 1, когато това ограничение представлява необходима мярка за гарантиране на:
а)
предотвратяването, разследването, разкриването и съдебното преследване на престъпни деяния;
б)
важен икономически или финансов интерес на дадена държава-членка или на Европейските общности, в т.ч. валутни, бюджетни и данъчни въпроси;
в)
защитата на субекта на данни или на правата и свободите на други лица;
г)
националната сигурност, обществената безопасност или отбраната на държавите-членки;
д)
наблюдение и контрол, инспекция или регулативна функция, която е свързана, макар и случайно, с упражняването на официални правомощия в случаите по букви а) и б).
2. Разпоредбите на членове от 13 до 16 не се прилагат, когато данните се обработват единствено с цел научни изследвания или се съхраняват под формата на лични данни в продължение на период, който не надвишава необходимия период за съставяне единствено на статистика, при условие че очевидно не съществува опасност от нарушаване на личния живот на субекта на данните и че контролиращият орган предвиди подходящи правни гаранции, с които по-специално да се гарантира, че данните не се използват за вземане на мерки или решения, касаещи конкретни физически лица.
3. В случай на наложено ограничение по параграф 1, съгласно правото на Общността субектът на данните се информира за основните причини за налагане на ограничението и за правото му/ѝ да се обърне към Европейския надзорен орган по защита на данните.
4. В случай на наложено ограничение по параграф 1, основаващо се на отказ за предоставяне на субекта на достъп до данните, които го касаят, при разглеждане на жалбата Европейският надзорен орган по защита на данните го/я информира единствено за това, дали данните са били правилно обработени и, ако не са, дали са извършени необходимите корекции.
5. Предоставянето на посочената в параграфи 3 и 4 информация може да се отлага за такъв период от време, през който информацията би лишила от ефект наложеното ограничение по параграф 1.
РАЗДЕЛ 7
ПОВЕРИТЕЛНОСТ И СИГУРНОСТ НА ОБРАБОТКАТА
Член 21
Поверителност на обработката
Лице, наето на работа в институция или орган на Общността или самата институция или орган на Общността, който действа в качеството на обработващо лице, имащо достъп до лични данни, ги обработва само по нареждане на контролиращия орган, освен ако по силата на националното право или правото на Общността не се изисква друго.
Член 22
Сигурност на обработката
1. Предвид достиженията на техническия прогрес и разходите за тяхното прилагане, контролиращият орган прилага подходящи технически и организационни мерки, за да гарантира подходящо ниво на сигурност по отношение на свързаните с обработката рискове и естеството на подлежащите на защита лични данни.
По-специално такива мерки се предприемат за предотвратяване на неразрешено разкриване или достъп, случайно или незаконно унищожаване, или случайна загуба или промяна, както и за предотвратяване на всякакви други незаконни форми на обработка.
2. Когато личните данни се обработват с помощта на автоматизирани средства, се вземат подходящи мерки в зависимост от рисковете, по-конкретно с цел:
а)
предотвратяване на достъпа на неупълномощени лица до компютърните системи, с които се обработват лични данни;
б)
предотвратяване на всякаква неразрешена форма на четене, копиране, промяна или отстраняване на носители на данни;
в)
предотвратяване на всякакво неразрешено въвеждани на данни в паметта, както и всякаква форма на неразрешено разкриване, промяна или заличаване на съхранени лични данни;
г)
предотвратяване на използването на системи за обработка на данни от страна на неупълномощени лица чрез устройства за предаване на данни;
д)
гарантиране, че упълномощените потребители на дадена система за обработка на данни не могат да имат достъп до никакви други лични данни, освен тези, за които се отнася правото им на достъп;
е)
записване кои лични данни са били съобщени, кога и на кого;
ж)
гарантиране, че впоследствие е възможно да се провери кои лични данни са били обработени, кога и от кого;
з)
гарантиране, че обработваните от трети страни лични данни могат да се обработват единствено по начина, който е предписан от институцията или органа възложител;
и)
гарантиране, че по време на съобщаване на лични данни и по време на транспортиране на носители на данни не могат да се четат, копират или заличават данни без разрешение;
й)
структуриране на вътрешната организация на институциите или органите, така че да отговаря на специалните изисквания за защита на данните.
Член 23
Обработка на лични данни от името на контролиращ органи
1. Когато дадена обработка се извършва от негово име, контролиращият орган избира обработващо лице, което предоставя достатъчни гаранции по отношение на техническите и организационни мерки за сигурност, които се изискват от член 22 и гарантира тяхното спазване.
2. Извършването на обработка чрез обработващо лице се урежда с договор или юридически акт, който обвързва обработващото лице спрямо контролиращия орган и който по-специално постановява, че:
а)
обработващото лице действа единствено по указания на контролиращия орган;
б)
обработващото лице подлежи и на задълженията, които са посочени в членове 21 и 22, освен ако по силата на член 16 или член 17, параграф 3, второ тире от Директива 95/46/ЕО вече не е обвързан със задължения за поверителност и опазване на тайна, които са предвидени от националното право на една от държавите-членки.
3. За доказателствени цели частите от договора или юридическия акт във връзка със защитата на данни и изискванията във връзка с посочените в член 22 мерки са в писмена или друга равностойна форма.
РАЗДЕЛ 8
ДЛЪЖНОСТНО ЛИЦЕ ЗА ЗАЩИТА НА ДАННИТЕ
Член 24
Назначаване и задачи на длъжностното лице за защита на данните
1. Всяка институция и орган на Общността назначава най-малко едно длъжностно лице за защита на данните, което има следните задачи:
а)
да гарантира, че контролиращ органите и субектите на данните са информирани за техните права и задължения съгласно настоящия регламент;
б)
да отговаря на запитвания от страна на Европейския надзорен орган по защита на данните и в рамките на своите компетенции да сътрудничи с Европейския надзорен орган по защита на данните по искане по последния или по своя собствена инициатива;
в)
по независим начин да гарантира вътрешното прилагане на разпоредбите на настоящия регламент;
г)
да води регистър на извършените от контролиращия орган операции по обработка, който да съдържа информацията, посочена в член 25, параграф 2;
д)
да нотифицира Европейския надзорен орган по защита на данните за операциите по обработка, които има вероятност да представляват конкретна опасност по смисъла на член 27.
По този начин това лице гарантира, че операциите по обработка няма вероятност да засегнат неблагоприятно правата и свободите на субектите на данни.
2. Длъжностното лице за защита на данните се подбира въз основа на неговите/нейните лични и професионални качества и по-специално въз основа на експертните му/ѝ познания в областта на защитата на данни.
3. Изборът на длъжностно лице за защита на данните не трябва да води до конфликт на интереси между неговите/нейните задължения като длъжностно лице за защита на данните и всякакви други служебни задължения, особено по отношение на прилагането на разпоредбите на настоящия регламент.
4. Длъжностното лице за защита на данните се назначава за срок между две и пет години. Той/тя може да бъде преназначаван(а), като общата продължителност на мандата му/ѝ не може да надвишава десет години. Той/тя може да бъде освобождаван(а) от длъжността длъжностно лице за защита на данните от институцията или органа на Общността, който го/я е назначил само със съгласието на европейския контрольор за защита на данните, ако престане да отговаря на необходимите условия за изпълнение на своите задължения.
5. След назначаване на длъжностното лице за защита на данните, институцията или органът, който го/я е назначил го/я регистрира при европейския контрольор за защита на данните.
6. Институцията или органът на Общността, който е назначил длъжностното лице за защита на данните му/ѝ осигурява необходимия персонал и средства за изпълнение на неговите/нейните задължения.
7. Длъжностното лице за защита на данните не може да получава никакви инструкции по отношение на изпълнението на своите задължения.
8. Всяка институция или орган на Общността приема допълнителни правила по изпълнение във връзка с длъжностното лице за защита на данните, в съответствие с разпоредбите на приложението. Нормите за изпълнение касаят по-специално задачите, задълженията и правомощията на длъжностното лице за защита на данните.
Член 25
Нотифициране на длъжностното лице за защита на данните
1. Контролиращият орган предварително нотифицира длъжностното лице за защита на данните за всяка операция по обработка или съвкупност от такива операции, които са предназначени да обслужват една единствена или няколко свързани цели.
2. Информацията, която следва да се предоставя включва:
а)
име и адрес на контролиращия орган и посочване на организационните части на дадена институция или орган, на които е поверена обработката на лични данни за конкретна цел;
б)
цел или цели на обработката;
в)
описание на категорията или категориите субекти на данни и на свързаните с тях данни или категории данни;
г)
правното основание на обработката, за която са предназначени данните;
д)
получатели или категории получатели, пред които биха могли да бъдат разкрити данните;
е)
общо указване на сроковете за блокиране и заличаване на различните категории данни;
ж)
предлагано предаване на данни на трети страни или международни организации;
з)
общо описание, позволяващо извършването на предварителна оценка на целесъобразността на предприетите мерки съгласно член 22 за гарантиране на сигурност на обработката.
3. Длъжностното лице за защита на данните своевременно се уведомява за всяка промяна, засягаща информацията по параграф 2.
Член 26
Регистър
Всяко длъжностно лице за защита на данните води регистър за съобщените в съответствие с член 25 операции по обработка.
Регистрите съдържат най-малко информацията, която е посочена в член 25, параграф 2, букви от а) до ж). Справки в регистрите могат да се правят пряко или косвено от всяко лице чрез европейския контрольор за защита на данните.
РАЗДЕЛ 9
ПРЕДВАРИТЕЛНА ПРОВЕРКА ОТ СТРАНА НА ЕВРОПЕЙСКИЯ НАДЗОРЕН ОРГАН ПО ЗАЩИТА НА ДАННИТЕ И ЗАДЪЛЖЕНИЕ ЗА СЪТРУДНИЧЕСТВО
Член 27
Предварителна проверка
1. Операции по обработка, които поради своето естество, обхват или цели има вероятност да представляват специфични опасности за правата и свободите на субектите на данни, се подлагат на предварителна проверка от страна на Европейския надзорен орган по защита на данните.
2. Такава опасност могат да представляват следните операции:
а)
обработка на данни, свързани със здравето и предполагаеми престъпления, престъпления, присъди или мерки за неотклонение;
б)
операции по обработка, които са предназначени за оценка на аспекти на личността на субекта на данните, включително неговите/нейните способности, ефективност и поведение;
в)
операции по обработка, позволяващи връзки между данни, които се обработват за различни цели и които не са предвидени в националното или общностно законодателство;
г)
операции по обработка с цел изключване на лица от право, облага или договор.
3. Предварителните проверки се извършват от Европейския надзорен орган по защита на данните след получаване на нотификация от длъжностното лице за защита на данните, което в случай на съмнение относно необходимостта от извършване на предварителна проверка се консултира с Европейския надзорен орган по защита на данните.
4. Европейският надзорен орган по защита на данните представя становището си в срок от два месеца след получаване на нотификацията. Изтичането на този срок може временно да се прекрати, докато Европейският надзорен орган по защита на данните получи всякаква евентуално поискана от него/нея допълнителна информация. Когато сложността на въпроса го изисква, този срок може с решение на Европейския надзорен орган по защита на данните да се удължи с още два месеца. Това решение се нотифицира на контролиращия орган преди изтичане на първоначалния двумесечен срок.
При отсъствие на представено становище до края на двумесечния или евентуално удължен срок, становището се счита за положително.
Ако становището на Европейския надзорен орган по защита на данните е, че нотифицираната обработка може да включва нарушаване на някоя от разпоредбите на настоящия регламент, при необходимост, той прави предложения за избягване на такова нарушение. Когато контролиращият орган не извърши съответни промени в операцията по обработка, Европейският надзорен орган по защита на данните може да упражни правомощията, които са му/ѝ дадени по силата на член 47, параграф 1.
5. Европейският надзорен орган по защита на данните води регистър на всички операции по обработка, за които е бил(а) уведомен(а) съгласно параграф 2. Регистърът съдържа посочената в член 25 информация и е обществено достъпен за справки.
Член 28
Консултация
1. Институциите и органите на Общността информират Европейския надзорен орган по защита на данните при съставяне на административни мерки във връзка с обработката на лични данни, в която самостоятелно или съвместно с други участва институция или орган на Общността.
2. При приемане на законодателно предложение във връзка със защитата на правата и свободите на лицата по отношение на обработката на лични данни, Комисията провежда консултации с Европейския надзорен орган по защита на данните.
Член 29
Задължение за предоставяне на информация
Институциите и органите на Общността информират Европейския надзорен орган по защита на данните за предприетите мерки вследствие на негови/нейни решения или разрешения съгласно член 46, буква з).
Член 30
Задължение за сътрудничество
По искане на Европейския надзорен орган по защита на данните, контролиращият орган го/я подпомага в изпълнението на неговите/нейните задължения, по-специално чрез предоставяне на информацията по член 47, параграф 2, буква а) и чрез предоставяне на предвидения в член 47, параграф 2, буква б) достъп.
Член 31
Задължение за реагиране на твърдения
В отговор на упражняване на правомощията по член 47, параграф 1, буква б) от страна на Европейския надзорен орган по защита на данните, контролиращият орган информира надзорния орган за становището си в рамките на приемлив срок, който се определя от надзорния орган. Отговорът включва и описание на предприетите мерки, ако има такива, в отговор на отправените от Европейския надзорен орган по защита на данните забележки.
ГЛАВА III
СРЕДСТВА ЗА СЪДЕБНА ЗАЩИТА
Член 32
Средства за съдебна защита
1. Съдът на Европейските общности е компетентен да разглежда всички спорове във връзка с разпоредбите на настоящия регламент, включително искове за вреди.
2. Без да се засягат средствата за съдебна защита, всеки субект на данни може да подаде жалба до Европейския надзорен орган по защита на данните, ако счита, че са нарушени правата му/ѝ по член 286 от Договора, вследствие на обработка на негови/нейни лични данни от институция или орган на Общността.
При отсъствие на отговор от Европейския надзорен орган по защита на данните в срок от шест месеца, жалбата се счита за отхвърлена.
3. Решенията на Европейския надзорен орган по защита на данните се обжалват пред Съда на Европейските общности.
4. Всяко лице, което е претърпяло вреда в резултат на незаконна операция по обработка или всякакво несъвместимо с настоящия регламент действие, има право на обезщетение за нанесените вреди в съответствие с член 288 от Договора.
Член 33
Жалби от служители на Общността
Всяко лице, което е наето на работа в институция или орган на Общността може да подаде жалба до Европейския надзорен орган по защита на данните, без да следва официална процедура, във връзка с предполагаемо нарушение на разпоредбите на настоящия регламент, който урежда обработката на лични данни. Никой не става обект на предубеждения, заради подадена до Европейския надзорен орган по защита на данните молба, в която се твърди за нарушение на разпоредбите, които уреждат обработката на лични данни.
ГЛАВА IV
ЗАЩИТА НА ЛИЧНИТЕ ДАННИ И ЛИЧНИЯ ЖИВОТ В КОНТЕКСТА НА ВЪТРЕШНИТЕ ТЕЛЕКОМУНИКАЦИОННИ МРЕЖИ
Член 34
Обхват
Без да се засягат останалите разпоредби на настоящия регламент, разпоредбите на настоящата глава важат за обработката на лични данни във връзка с използването на телекомуникационни мрежи или терминално оборудване, които се експлоатират под контрола на институция или орган на Общността.
По смисъла на настоящата глава „потребител“ означава всяко физическо лице, което използва телекомуникационна мрежа или терминално оборудване, което се експлоатира под контрола на институция или орган на Общността.
Член 35
Сигурност
1. Институциите и органите на Общността предприемат подходящи технически и организационни мерки за гарантиране на сигурността при използването на телекомуникационните мрежи и терминално оборудване, при необходимост съвместно с доставчиците на обществени телекомуникационни услуги или доставчиците на обществени телекомуникационни мрежи. Предвид достиженията на техническия прогрес и разходите за тяхното прилагане, тези мерки осигуряват подходящо за съществуващите опасности ниво на сигурност.
2. В случай на конкретна опасност от нарушаване на сигурността на мрежата и терминалното оборудване съответната институция или орган на Общността информира потребителите за съществуването на такава опасност и за възможните средства за правна защита и алтернативни средства за комуникация.
Член 36
Поверителност на комуникациите
Институциите и органите на Общността осигуряват поверителност на комуникациите с помощта на телекомуникационни мрежи и терминално оборудване в съответствие с общите принципи на правото на Общността.
Член 37
Данни за трафика и сметките
1. Без да се засягат разпоредбите на параграфи 2, 3 и 4, свързаните с потребителите данни за трафика, които се обработват и съхраняват за установяване на обажданията и други форми на свързване по телекомуникационните мрежи се изтриват или стават анонимни при приключване на обаждането или друга форма на свързване.
2. При необходимост, данните за трафика, съгласно съгласуван с Европейския надзорен орган по защита на данните списък, могат да се обработват за целите на управлението на телекомуникационния бюджет и трафик, включително проверка за разрешено използване на телекомуникационните системи. Тези данни се изтриват или правят анонимни при първа възможност, но не по-късно от шест месеца след събирането им, освен ако не е необходимо да се съхраняват за по-дълъг период от време за установяване, упражняване или защита на право в случай на заведен съдебен иск.
3. Обработката на данни за трафика и сметките се извършва само от лица, отговарящи за управлението на сметките, трафика или бюджета.
4. Потребителите на телекомуникационните мрежи имат право да получават неподробни сметки или други документи за проведените обаждания.
Член 38
Указатели на потребителите
1. Личните данни, които се съдържат в печатни или електронни указатели на потребителите, и достъпът до тези указатели се ограничава до строго необходимото за специфичните цели на указателя.
2. Институциите и органите на Общността предприемат всички необходими мерки за предотвратяване на използването за преки маркетингови цели на съдържащите се в тези указатели лични данни, независимо дали те са или не са обществено достъпни.
Член 39
Изписване и ограничаване на идентификацията на търсещата и търсената линия
1. Когато се предлага услугата изписване на идентификацията на търсещата линия, търсещият потребител има възможност лесно и безплатно да дезактивира изписването на идентификацията на търсещата линия.
2. Когато се предлага услугата изписване на идентификацията на търсещата линия, търсеният потребител има възможност лесно и безплатно да дезактивира изписването на идентификацията на входящите повиквания.
3. Когато се предлага услугата изписване на идентификацията на търсената линия, търсеният потребител има възможност лесно и безплатно да дезактивира изписването на идентификацията на търсената линия при търсещия потребител.
4. Когато се предлага услугата изписване на търсещата или търсената линия, институциите и органите на Общността информират потребителите за тези услуги и за посочените в параграфи 1, 2 и 3 възможности.
Член 40
Дерогиране
Институциите и органите на Общността гарантират наличието на прозрачни процедури, уреждащи начина, по който те могат да отменят дезактивирането на изписването на идентификацията на търсещата линия:
а)
временно, при представяне на молба от потребител, искащ проследяване на злонамерени или досадни обаждания;
б)
за определени линии, при организационни структури, които отговарят на спешни повиквания с оглед отговарянето на такива повиквания.
ГЛАВА V
НЕЗАВИСИМ НАДЗОРЕН ОРГАН: ЕВРОПЕЙСКИ НАДЗОРЕН ОРГАН ПО ЗАЩИТА НА ДАННИТЕ
Член 41
Европейски надзорен орган по защита на данните
1. Създава се независим надзорен орган, наричан Европейски надзорен орган по защита на данните.
2. По отношение на обработката на лични данни, задачата на Европейския надзорен орган по защита на данните е да гарантира спазването от страна на институциите и органите на Общността на основните права и свободи на физическите лица, и по-специално правото им на личен живот.
Европейският надзорен орган по защита на данните отговаря за наблюдението и гарантирането на прилагането на разпоредбите на настоящия регламент и всеки друг акт на Общността, който се отнася за защитата на основните права и свободи на физическите лица по отношение на обработката на лични данни от институция или орган на Общността, както и за предоставянето на консултации на институциите и органите на Общността и субектите на данни по всички въпроси, свързани с обработката на лични данни. За целта той/тя изпълнява предвидените в член 46 задължения и упражнява дадените му/ѝ по силата на член 47 правомощия.
Член 42
Назначаване
1. Европейският надзорен орган по защита на данните се назначава с общо съгласие от Европейския парламент и Съвета за срок от пет години въз основа на съставен от Комисията списък след публично отправена покана за представяне на кандидатури.
По същата процедура и за същия срок се назначава помощник надзорен орган, който подпомага надзорния орган в изпълнението на неговите/нейните задължения и действа като негов/неин заместник, когато надзорният орган отсъства или е възпрепятстван да изпълнява задълженията си.
2. Европейският надзорен орган по защита на данните се избира измежду лица, чиято независимост не подлежи на съмнение и за които е признато, че притежават необходимите опит и умения, за да изпълняват функциите на Европейски надзорен орган по защита на данните, например поради това, че принадлежат или са принадлежали към контролните органи, посочени в член 28 от Директива 95/46/ЕО.
3. Европейският надзорен орган по защита на данните може да се назначава повторно.
4. Освен в случаите на нормална смяна или смърт, задълженията на Европейския надзорен орган по защита на данните приключват при подаване на оставка или принудително освобождаване в съответствие с параграф 5.
5. Европейският надзорен орган по защита на данните може да бъде освободен или лишен от правото на пенсия или други заместващи пенсията облаги от Съда на Европейските общности по искане на Европейския парламент, Съвета или Комисията, ако престане да отговаря на необходимите условия за изпълнение на своите задължения или в случай на тежко провинение.
6. В случай на нормална смяна или доброволна оставка Европейският надзорен орган по защита на данните въпреки всичко продължава да заема длъжността си, докато бъде сменен(а).
7. Разпоредбите на членове от 12 до 15 и член 18 от Протокола за привилегиите и имунитетите на Европейските общности се прилагат и за Европейския надзорен орган по защита на данните.
8. За помощник надзорния орган се прилагат разпоредбите на параграфи от 2 до 7.
Член 43
Правилник и общи условия за изпълнение на задълженията на Европейския надзорен орган по защита на данните, персонал и финансови средства
1. Европейският парламент, Съветът и Комисията с общо съгласие определят правилника и общите условия за изпълнение на задълженията на Европейския надзорен орган по защита на данните и по-специално неговата/нейната заплата, надбавки и всякакви други заместващи възнаграждения.
2. Бюджетният орган гарантира осигуряването на Европейския надзорен орган по защита на данните на необходимите за изпълнение на неговите/нейните задачи човешки и финансови ресурси.
3. Бюджетът на Европейския надзорен орган по защита на данните фигурира в отделна бюджетна позиция в раздел VIII на общия бюджет на Европейския съюз.
4. Европейският надзорен орган по защита на данните се подпомага от секретариат. Служителите и останалият персонал на секретариата се назначават от Европейския надзорен орган по защита на данните, който/която е техен висшестоящ ръководител, на когото те са изключително подчинени. Числеността на персонала се решава всяка година като част от бюджетната процедура.
5. Спрямо служителите и останалия персонал на Европейския надзорен орган по защита на данните се прилагат правилници и наредбите за длъжностните лица и останалия лица, наети на работа в Европейските общности.
6. По въпроси, касаещи секретарския персонал Европейският надзорен орган по защита на данните има същия статут, както институциите по смисъла на член 1 от Правилника за длъжностните лица на Европейските общности.
Член 44
Независимост
1. Европейският надзорен орган по защита на данните е напълно независим при изпълнение на своите задължения.
2. При изпълнение на своите задължения Европейският надзорен орган по защита на данните не търси и не получава инструкции от никого.
3. Европейският надзорен орган по защита на данните се въздържа от всякакви несъвместими със задълженията му/ѝ действия и по време на своя мандат не упражнява никакви други дейности, независимо дали срещу възнаграждение или безвъзмездно.
4. След приключване на мандата Европейският надзорен орган по защита на данните има почтено и дискретно поведение при приемането на назначения и облаги.
Член 45
Професионална тайна
По време и след приключване на мандата Европейският надзорен орган по защита на данните и неговият/нейният персонал подлежат на задължение за опазване на професионалната тайна по отношение на всякаква поверителна информация, която е стигнала до тяхното знание в хода на изпълнение на служебните им задължения.
Член 46
Задължения
Европейският надзорен орган по защита на данните:
а)
разглежда и разследва жалби и в разумен срок информира субекта на данните за техния изход;
б)
провежда разследвания по своя инициатива или въз основа на жалба и в разумен срок информира субекта на данните за техния изход;
в)
наблюдава и гарантира прилагането на разпоредбите на настоящия регламент и на всеки друг акт на Общността, който касае защитата на физически лица по отношение на обработката на лични данни от институция или орган на Общността, с изключение на Съда на Европейските общности при изпълнение на съдебните му функции;
г)
по своя инициатива или в отговор на отправена молба за консултация съветва всички институции и органи на Общността по всички въпроси, касаещи обработката на лични данни, по-специално преди те да съставят своите вътрешни правилници във връзка със защитата на основните права и свободи по отношение на обработката на лични данни;
д)
наблюдава развитието по-специално в областта на информационните и комуникационни технологии дотолкова, доколкото те имат въздействие върху защитата на личните данни;
е)
i)
сътрудничи с посочените в член 28 от Директива 95/46/ЕО национални контролни органи в страните, в които се прилага тази директива до необходимата степен за изпълнение на съответните им задължения, по-специално чрез обмен на полезна информация, чрез отправяне на искане към такъв орган да упражни правомощията си или чрез отговаряне на отправено от такъв орган искане;
ii)
сътрудничи и с контролните органи за защита на данните, които са учредени съгласно дял VI от Договора за Европейския съюз, по-специално с оглед подобряване на последователността в прилагането на правилата и процедурите, за чието спазване те съответно отговарят;
ж)
участва в дейността на създадената по силата на член 29 от Директива 95/46/ЕО работна група за защита на физическите лица по отношение на обработката на лични данни;
з)
определя, мотивира и огласява изключенията, гаранциите, разрешенията и условията, които са споменати в член 10, параграф 2, буква б), параграфи 4, 5 и 6, член 12, параграф 2, член 19 и член 37, параграф 2;
и)
води регистър на операциите по обработка, за които е уведомен(а) по силата на член 27, параграф 2 и които са регистрирани в съответствие с член 27, параграф 5, както и осигурява средства за достъп до водените от длъжностните лица за защита на данните регистри съгласно член 26;
й)
извършва предварителна проверка на обработката, за която е уведомен(а);
к)
определя своя процедурен правилник.
Член 47
Правомощия
1. Европейският надзорен орган по защита на данните може:
а)
да дава съвети на субектите на данни при упражняване на техните права;
б)
да сезира контролиращия орган при твърдение за нарушение на разпоредбите, уреждащи обработката на лични данни, и при необходимост да отправя предложения за изправяне на това нарушение и за подобряване на защитата на субектите на данни;
в)
да разпорежда удовлетворяването на молби за упражняване на определени права във връзка с данни, когато такива молби са били отхвърлени в нарушение на разпоредбите на членове от 13 до 19;
г)
да отправя предупреждения и мъмрене до контролиращия орган;
д)
да разпорежда коригиране, блокиране, заличаване или унищожаване на всички данни, които са били обработени в нарушение на разпоредбите, уреждащи обработката на лични данни, както и уведомяване за тези действия на трети страни, пред които са били разкрити данните;
е)
да налага временна или постоянна забрана за обработка;
ж)
да сезира съответната институция или орган на Общността, а при необходимост и до Европейския парламент, Съвета и Комисията;
з)
да сезира Съда на Европейските общности при предвидените в Договора условия;
и)
да взема участие в заведени пред Съда на Европейските общности дела.
2. Европейският надзорен орган по защита на данните има правомощия:
а)
да получава от контролиращ орган или институция или орган на Общността цялата информация, която е необходима за неговите/нейните разследвания;
б)
да получава достъп до всички помещения, в които контролиращ орган или институция или орган на Общността осъществява своята дейност, когато са налице основателни причини да се предполага, че в тях се осъществява дейност, която е предмет на настоящия регламент.
Член 48
Отчет за дейността
1. Европейският надзорен орган по защита на данните представя годишен отчет за дейността си пред Европейския парламент, Съвета и Комисията, който същевременно се огласява публично.
2. Европейският надзорен орган по защита на данните изпраща отчет за дейността си на другите институции и органи на Общността, които могат да представят коментари с оглед на евентуалното разглеждане на отчета в Европейския парламент, по-специално по отношение на описанието на предприетите мерки в отговор на отправените съгласно член 31 забележки от европейския контрольор за защита на данните.
ГЛАВА VI
ЗАКЛЮЧИТЕЛНИ РАЗПОРЕДБИ
Член 49
Санкции
Всяко неспазване на задължения съгласно настоящия регламент от страна на служител или друго длъжностно лице на Европейските общности, независимо дали преднамерено или по непредпазливост, води до дисциплинарни санкции в съответствие с правилата и процедурите, които са предвидени в Правилника за длъжностните лица на Европейските общности или в съответствие с приложимите за други длъжностни лица условия за наемане на работа.
Член 50
Преходен период
Институциите и органите на Общността гарантират, че операциите по обработка, които вече са в ход в деня на влизане в сила на настоящия регламент, ще бъдат приведени в съответствие с настоящия регламент в срок от една година от тази дата.
Член 51
Влизане в сила
Настоящият регламент влиза в сила на двадесетия ден след публикуването му в Официален вестник на Европейските общности.
Настоящият регламент е задължителен в своята цялост и се прилага пряко във всички държави-членки.
Съставено в Брюксел на 18 декември 2000 година.
Verordening (EG) nr. 45/2001 van het Europees Parlement en de Raad
van 18 december 2000
betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door de communautaire instellingen en organen en betreffende het vrije verkeer van die gegevens
HET EUROPEES PARLEMENT EN DE RAAD VAN DE EUROPESE UNIE,
Gelet op het Verdrag tot oprichting van de Europese Gemeenschap, inzonderheid op artikel 286,
Gezien het voorstel van de Commissie(1),
Gezien het advies van het Economisch en Sociaal Comité(2),
Overeenkomstig de procedure van artikel 251 van het Verdrag(3),
Overwegende hetgeen volgt:
(1) In artikel 286 van het Verdrag is bepaald dat de besluiten van de Gemeenschap inzake de bescherming van personen met betrekking tot de inwerkingtreding en het vrije verkeer van persoonsgegevens op de communautaire instellingen en organen van toepassing moeten zijn.
(2) Een volledig systeem voor de bescherming van persoonsgegevens vergt niet alleen de vaststelling van rechten voor de betrokkenen en van plichten voor de verwerkers van persoonsgegevens, maar ook passende sancties voor overtreders en toezicht door een onafhankelijke toezichthoudende autoriteit.
(3) In artikel 286, lid 2, van het Verdrag is bepaald dat er een onafhankelijk controleorgaan moet worden ingesteld dat met het toezicht op de toepassing van die besluiten van de Gemeenschap op de communautaire instellingen en organen wordt belast.
(4) Krachtens artikel 286, lid 2, van het Verdrag moeten zo nodig andere bepalingen terzake worden vastgesteld.
(5) Er is een verordening nodig om aan natuurlijke personen wettelijk afdwingbare rechten toe te kennen, om de verplichtingen van de verantwoordelijken voor de verwerking binnen de communautaire instellingen en organen met betrekking tot de verwerking van gegevens vast te stellen en om een onafhankelijke toezichthoudende autoriteit op te richten die wordt belast met het toezicht op de verwerking van persoonsgegevens door communautaire instellingen en organen.
(6) De Groep voor de bescherming van personen in verband met de verwerking van persoonsgegevens die is opgericht bij artikel 29 van Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens(4), is geraadpleegd.
(7) Voor bescherming komen in aanmerking diegenen wier persoonsgegevens om welke reden ook door de communautaire instellingen of organen worden verwerkt, bijvoorbeeld omdat zij bij deze instellingen of organen werkzaam zijn.
(8) De gegevensbeschermingsbeginselen moeten voor elk gegeven betreffende een geïdentificeerde of identificeerbare persoon gelden. Om te bepalen of een persoon identificeerbaar is, moeten alle middelen in aanmerking worden genomen waarvan redelijkerwijs te verwachten valt dat zij door degene die voor de verwerking verantwoordelijk is, of door ieder ander worden gebruikt om de eerstgenoemde persoon te identificeren. De beschermingsbeginselen zijn niet van toepassing op gegevens die zodanig anoniem zijn gemaakt dat de persoon op wie die gegevens betrekking hebben, niet meer identificeerbaar is.
(9) Bij Richtlijn 95/46/EG wordt de lidstaten de verplichting opgelegd om in verband met de verwerking van persoonsgegevens de fundamentele rechten en vrijheden van natuurlijke personen, en met name hun recht op persoonlijke levenssfeer, te beschermen, teneinde het vrije verkeer van persoonsgegevens in de Gemeenschap te waarborgen.
(10) Bij Richtlijn 97/66/EG van het Europees Parlement en de Raad van 15 december 1997 betreffende de verwerking van persoonsgegevens en de bescherming van de persoonlijke levenssfeer in de telecommunicatiesector(5) wordt Richtlijn 95/46/EG gespecificeerd en aangevuld met betrekking tot de verwerking van persoonsgegevens in de telecommunicatiesector.
(11) Voorts strekken verscheidene andere communautaire maatregelen, waaronder die betreffende de wederzijdse bijstand tussen de nationale autoriteiten en de Commissie, eveneens ertoe in de desbetreffende sectoren waarop die maatregelen betrekking hebben, Richtlijn 95/46/EG te specificeren en aan te vullen.
(12) Er moet gezorgd worden voor een in de gehele Gemeenschap coherente en homogene toepassing van de regels inzake de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens.
(13) Doel is zorg te dragen voor zowel doeltreffende naleving van de regels inzake de bescherming van de fundamentele rechten en vrijheden van natuurlijke personen als het vrije verkeer van persoonsgegevens tussen de lidstaten en de communautaire instellingen en organen of tussen die instellingen en organen onderling, voor met de uitoefening van hun respectieve bevoegdheden verband houdende doeleinden.
(14) Hiertoe dienen maatregelen te worden vastgesteld die voor de communautaire instellingen en organen bindend zijn. Die maatregelen moeten van toepassing zijn op elke verwerking van persoonsgegevens door de communautaire instellingen en organen voorzover die verwerking plaatsvindt ten behoeve van de uitvoering van werkzaamheden die geheel of gedeeltelijk binnen het toepassingsgebied van het Gemeenschapsrecht vallen.
(15) Als de verwerking door de communautaire instellingen of organen plaatsvindt ten behoeve van de uitvoering van werkzaamheden die buiten het toepassingsgebied van deze verordening vallen, inzonderheid die welke zijn bedoeld in de titels V en VI van het Verdrag betreffende de Europese Unie, wordt de bescherming van de fundamentele rechten en vrijheden van personen gewaarborgd met inachtneming van artikel 6 van het Verdrag betreffende de Europese Unie. De toegang tot documenten, met inbegrip van de voorwaarden voor de toegang tot documenten die persoonsgegevens bevatten, valt onder regelingen die zijn vastgesteld op grond van artikel 255 van het Verdrag, waarvan het toepassingsgebied ook de titels V en VI van het Verdrag betreffende de EU bestrijkt.
(16) De maatregelen mogen niet van toepassing zijn op organen buiten het communautaire kader en de Europese Toezichthouder voor gegevensbescherming mag niet bevoegd zijn tot het uitoefenen van toezicht op de verwerking van persoonsgegevens door dergelijke organen.
(17) De bescherming van personen ten aanzien van de verwerking van persoonsgegevens in de Unie kan alleen dan doeltreffend zijn, als er samenhang is tussen de regels en procedures voor werkzaamheden die binnen verschillende juridische kaders vallen. Een eerste stap in die richting is gezet met de uitwerking van basisbeginselen voor de bescherming van persoonsgegevens op het gebied van de justitiële samenwerking in strafzaken, de politiële samenwerking en de samenwerking op douanegebied, en met de oprichting van een secretariaat voor de gemeenschappelijke controleautoriteiten die zijn ingesteld door de Overeenkomst tot oprichting van een Europese Politiedienst, de Overeenkomst inzake het gebruik van informatica op douanegebied en de Overeenkomst ter uitvoering van het in Schengen gesloten akkoord betreffende de afschaffing van de controles aan de gemeenschappelijke grenzen.
(18) Deze verordening heeft geen gevolgen voor de rechten en verplichtingen van de lidstaten uit hoofde van de Richtlijnen 95/46/EG en 97/66/EG. Zij beoogt niet de wijziging van de geldende procedures en praktijken die legaal door de lidstaten worden toegepast op het gebied van nationale veiligheid, handhaving van de orde, preventie, opsporing, onderzoek en vervolging van strafbare feiten, met inachtneming van het Protocol betreffende de voorrechten en immuniteiten van de Europese Gemeenschappen en met inachtneming van het internationaal recht.
(19) Wanneer de communautaire instellingen en organen van oordeel zijn dat er op de telecommunicatienetten van de lidstaten communicaties moeten worden afgetapt, treden zij overeenkomstig de toepasselijke nationale bepalingen in verbinding met de bevoegde autoriteiten van de lidstaten.
(20) De op de communautaire instellingen en organen toepasselijke maatregelen moeten overeenstemmen met de bepalingen die zijn vastgesteld in verband met de harmonisatie van de nationale wettelijke bepalingen of in verband met de uitvoering van andere onderdelen van communautair beleid, met name inzake wederzijdse bijstand. Het kan evenwel noodzakelijk zijn die bepalingen te specificeren en aan te vullen waar het bescherming betreft bij de verwerking van persoonsgegevens door de communautaire instellingen of organen.
(21) Dit geldt voor de rechten van de natuurlijke personen wier gegevens worden verwerkt, voor de verplichtingen van de communautaire instellingen of organen die de gegevens verwerken, en voor de aan de onafhankelijke, met het toezicht op de correcte toepassing van deze verordening belaste toezichthoudende autoriteit toe te kennen bevoegdheden.
(22) De rechten van de betrokkene en de uitoefening van deze rechten doen geen afbreuk aan de verplichtingen die op de verantwoordelijke voor de verwerking rusten.
(23) De onafhankelijke toezichthoudende autoriteit voert haar controletaken uit in overeenstemming met het Verdrag en met eerbiediging van de mensenrechten en de fundamentele vrijheden. Zij neemt bij haar onderzoeken het protocol inzake de voorrechten en immuniteiten alsmede het statuut van de ambtenaren en andere personeelsleden van de Europese Gemeenschappen in acht.
(24) Er zullen technische maatregelen moeten worden vastgesteld die toegang, via de onafhankelijke toezichthoudende autoriteit, tot de door de functionarissen voor gegevensbescherming bijgehouden verwerkingsregisters mogelijk maken.
(25) In het activiteitenverslag worden de besluiten van de onafhankelijke toezichthoudende autoriteit met betrekking tot uitzonderingen, garanties, machtigingen en voorwaarden betreffende de verwerking van in de verordening gedefinieerde gegevens bekendgemaakt. Naast de jaarlijkse publicatie van een activiteitenverslag kan de onafhankelijke toezichthoudende autoriteit rapporten over specifieke onderwerpen publiceren.
(26) Bepaalde verwerkingen met die bijzondere risico's voor de rechten en vrijheden van de betrokkenen worden aan de voorafgaande controle van de onafhankelijke toezichthoudende autoriteit onderworpen. Een in het kader van deze voorafgaande controle gegeven advies, met inbegrip van het uitblijven van antwoord binnen de vastgestelde termijn, laat latere uitoefening door de onafhankelijke toezichthoudende autoriteit van haar bevoegdheden met betrekking tot die verwerking onverlet.
(27) De verwerking van persoonsgegevens voor de vervulling van de taken die door de communautaire instellingen of organen in het algemeen belang worden verricht, omvat de verwerking van de voor het beheer en de werking van die instellingen en organen benodigde persoonsgegevens.
(28) Voor een aantal gevallen wordt bepaald dat de verwerking van gegevens moet worden geregeld middels communautaire bepalingen of besluiten tot omzetting van communautaire bepalingen. Bij gebreke van dergelijke bepalingen en in afwachting van de aanneming daarvan kan de Europese Toezichthouder voor gegevensbescherming bij wijze van overgangsmaatregel de verwerking van dergelijke gegevens toestaan, mits er passende garanties worden geboden. Daarbij houdt hij met name rekening met de bepalingen die door de lidstaten zijn aangenomen om soortgelijke gevallen te regelen.
(29) Deze gevallen hebben betrekking op de verwerking van gegevens over raciale of etnische afkomst, politieke opvattingen, godsdienstige of levensbeschouwelijke overtuigingen, vakbondslidmaatschap, alsmede de verwerking van gegevens over gezondheid en seksueel gedrag die noodzakelijk zijn vanwege de eerbiediging van de specifieke verplichtingen en rechten van de voor de verwerking verantwoordelijke op het gebied van het arbeidsrecht, of vanwege zwaarwegend algemeen belang. Hieronder vallen tevens de verwerking van gegevens inzake strafbare feiten, strafrechtelijke veroordelingen of veiligheidsmaatregelen, en de toestemming de betrokkene te onderwerpen aan een besluit waaraan voor hem rechtsgevolgen zijn verbonden of dat hem verregaand treft en dat uitsluitend op een geautomatiseerde gegevensverwerking berust die bestemd is om bepaalde aspecten van zijn persoonlijkheid te beoordelen.
(30) Het kan ter voorkoming van onbevoegd gebruik noodzakelijk zijn om toezicht uit te oefenen op de computernetwerken die onder zeggenschap van de communautaire instellingen of organen worden geëxploiteerd. De Europese Toezichthouder voor gegevensbescherming dient te bepalen of en onder welke voorwaarden dit mogelijk is.
(31) De aansprakelijkheid bij overtreding van deze verordening wordt geregeld overeenkomstig artikel 288, tweede alinea, van het Verdrag.
(32) Een of meer functionarissen voor gegevensbescherming dragen binnen elke instelling of elk communautair orgaan zorg voor de toepassing van de bepalingen van deze verordening en adviseren de verantwoordelijken voor de verwerking bij het nakomen van hun verplichtingen.
(33) Verordening (EG) nr. 322/97 van de Raad van 17 februari 1997 betreffende de communautaire statistiek(6) is krachtens haar artikel 21 onverminderd Richtlijn 95/46/EG van toepassing.
(34) Verordening (EG) nr. 2533/98 van de Raad van 23 november 1998 met betrekking tot het verzamelen van statistische gegevens door de Europese Centrale Bank(7) is van toepassing luidens artikel 8, lid 8, ervan, onverminderd Richtlijn 95/46/EG.
(35) Verordening (Euratom, EEG) nr. 1588/90 van de Raad van 11 juni 1990 betreffende de toezending van onder de statistische geheimhoudingsplicht vallende gegevens aan het Bureau voor de Statistiek van de Europese Gemeenschappen(8) houdt krachtens haar artikel 1, lid 2, geen afwijking in van de bijzondere communautaire of nationale bepalingen betreffende andere dan statistische geheimhouding.
(36) Deze verordening beoogt niet de beperking van de speelruimte van de lidstaten bij de uitwerking van hun nationale wetgeving op het gebied van gegevensbescherming krachtens artikel 32 van Richtlijn 95/46/EG, overeenkomstig artikel 249 van het Verdrag,
HEBBEN DE VOLGENDE VERORDENING VASTGESTELD:
HOOFDSTUK I
ALGEMENE BEPALINGEN
Artikel 1
Voorwerp van de verordening
1. De instellingen en organen die bij of krachtens de Verdragen tot oprichting van de Europese Gemeenschappen zijn of worden ingesteld, hierna "communautaire instellingen of organen" genoemd, beschermen met betrekking tot de verwerking van persoonsgegevens, overeenkomstig deze verordening, de fundamentele rechten en vrijheden van natuurlijke personen, en met name hun recht op persoonlijke levenssfeer, en zij beperken noch verbieden het vrije verkeer van persoonsgegevens tussen hen of naar ontvangers die vallen onder de nationale wetgeving van lidstaten ter uitvoering van die Richtlijn 95/46/EG.
2. De bij deze verordening ingestelde onafhankelijke toezichthoudende autoriteit, hierna "de Europese Toezichthouder voor gegevensbescherming" genoemd, houdt toezicht op de toepassing van deze verordening op alle door een communautaire instelling of een communautair orgaan verrichte verwerkingen.
Artikel 2
Definities
Voor de doeleinden van deze verordening wordt verstaan onder:
a) "persoonsgegevens", iedere informatie betreffende een geïdentificeerde of identificeerbare natuurlijke persoon, hierna "betrokkene" genoemd; als identificeerbaar wordt beschouwd een persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificatienummer of van een of meer specifieke elementen die voor zijn fysieke, fysiologische, psychische, economische, culturele of sociale identiteit kenmerkend zijn;
b) "verwerking van persoonsgegevens", hierna "verwerking" genoemd, elke bewerking, respectievelijk elk geheel van bewerkingen met betrekking tot persoonsgegevens, al dan niet uitgevoerd met behulp van geautomatiseerde procédés, zoals het verzamelen, vastleggen, ordenen, bewaren, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorgifte, verspreiden of op enigerlei andere wijze ter beschikking stellen, samenbrengen, met elkaar in verband brengen, alsmede het afschermen, wissen of vernietigen van gegevens;
c) "bestand van persoonsgegevens", hierna "bestand" genoemd, elk gestructureerd geheel van persoonsgegevens die volgens bepaalde criteria toegankelijk zijn, ongeacht of dit geheel gecentraliseerd dan wel gedecentraliseerd is of verspreid op een functioneel of geografisch bepaalde wijze;
d) "verantwoordelijke voor de verwerking", de communautaire instelling of het communautaire orgaan, het directoraat-generaal, de eenheid of enig andere organisatieafdeling, die, alleen of tezamen met andere(n), het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt; wanneer het doel van en de middelen voor de verwerking bij een bijzonder communautair besluit worden vastgesteld, kan bij dat communautair besluit de verantwoordelijke voor de verwerking worden aangewezen of de specifieke criteria voor diens benoeming worden vastgesteld;
e) "verwerker", de natuurlijke of rechtspersoon, de overheidsinstantie, de dienst of enige andere instelling die voor rekening van de verantwoordelijke voor de verwerking persoonsgegevens verwerkt;
f) "derde", een natuurlijke of rechtspersoon, een overheidsinstantie, een dienst of enige andere instelling, niet zijnde de betrokkene, noch de verantwoordelijke voor de verwerking, noch de verwerker, noch de personen die onder rechtstreeks gezag van de verantwoordelijke voor de verwerking of de verwerker gemachtigd zijn om de gegevens te verwerken;
g) "ontvanger", de natuurlijke of rechtspersoon, de overheidsinstantie, de dienst of enig ander lichaam aan wie, respectievelijk waaraan de gegevens worden meegedeeld, ongeacht of het al dan niet een derde betreft; instanties waaraan gegevens in het raam van een bijzondere onderzoekopdracht kunnen worden meegedeeld, worden evenwel niet als ontvangers beschouwd;
h) "toestemming van de betrokkene", elke vrije, specifieke en op informatie berustende wilsuiting waarmee de betrokkene aangeeft te aanvaarden dat hem betreffende persoonsgegevens worden verwerkt.
Artikel 3
Werkingssfeer
1. De bepalingen van deze verordening zijn van toepassing op de verwerking van persoonsgegevens door alle communautaire instellingen of organen, voorzover die verwerking plaatsvindt ten behoeve van de uitvoering van werkzaamheden die geheel of gedeeltelijk onder het toepassingsgebied van het Gemeenschapsrecht vallen.
2. De bepalingen van deze verordening zijn van toepassing op de geheel of gedeeltelijk geautomatiseerde, alsmede op de niet-geautomatiseerde verwerking van persoonsgegevens die in een bestand zijn opgenomen of die zijn bestemd daarin te worden opgenomen.
HOOFDSTUK II
ALGEMENE VOORWAARDEN VOOR DE RECHTMATIGHEID VAN DE VERWERKING VAN PERSOONSGEGEVENS
AFDELING 1
BEGINSELEN BETREFFENDE DE KWALITEIT VAN DE GEGEVENS
Artikel 4
Kwaliteit van de gegevens
1. De persoonsgegevens:
a) moeten eerlijk en rechtmatig worden verwerkt;
b) moeten voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verkregen en mogen vervolgens niet op een met die doeleinden onverenigbare wijze worden verwerkt. Verdere verwerking van de gegevens voor historische, statistische of wetenschappelijke doeleinden wordt niet als onverenigbaar beschouwd, mits de verantwoordelijke voor de verwerking passende garanties biedt, met name om te waarborgen dat de gegevens niet voor andere doeleinden zullen worden verwerkt en dat zij niet gebruikt zullen worden ter ondersteuning van maatregelen of besluiten betreffende een bepaalde persoon;
c) moeten, uitgaande van de doeleinden waarvoor zij worden verzameld of vervolgens worden verwerkt, adequaat, terzake dienend en niet buitensporig zijn;
d) moeten nauwkeurig zijn en zo nodig worden bijgewerkt; alle redelijke maatregelen moeten worden getroffen om de gegevens die, uitgaande van de doeleinden waarvoor zij worden verzameld of vervolgens worden verwerkt, onnauwkeurig of onvolledig zijn, te wissen of te corrigeren;
e) mogen in een vorm die het mogelijk maakt de betrokkenen te identificeren, niet langer worden bewaard dan noodzakelijk is voor de verwezenlijking van de doeleinden waarvoor zij worden verzameld of vervolgens worden verwerkt. De communautaire instellingen of organen zorgen ervoor dat persoonsgegevens die voor historische, statistische of wetenschappelijke doeleinden langer dan de bedoelde periode moeten worden bewaard, ofwel alleen zo worden bewaard, dat zij anoniem worden, ofwel, indien zulks niet mogelijk is, alleen worden bewaard op voorwaarde dat de identiteit van de betrokkenen versleuteld wordt. De gegevens mogen in geen geval gebruikt worden voor andere dan historische, statistische of wetenschappelijke doeleinden.
2. Op de verantwoordelijke voor de verwerking rust de plicht er zorg voor te dragen dat lid 1 wordt nageleefd.
AFDELING 2
BEGINSELEN BETREFFENDE DE TOELAATBAARHEID VAN GEGEVENSVERWERKING
Artikel 5
Rechtmatige verwerking
Verwerking van persoonsgegevens mag slechts geschieden indien:
a) het noodzakelijk is voor de vervulling, op grond van de verdragen tot oprichting van de Europese Gemeenschappen of andere, op basis van die verdragen vastgestelde wetgevingsbesluiten, van een taak van algemeen belang of voor de rechtmatige uitoefening van het aan de communautaire instelling of aan het communautaire orgaan of aan de derde aan wie de gegevens worden bekendgemaakt, opgedragen openbaar gezag, of
b) het noodzakelijk is om een wettelijke verplichting na te komen waaraan de verantwoordelijke voor de verwerking is onderworpen, of
c) het noodzakelijk is voor de uitvoering van een overeenkomst waarbij de betrokkene partij is of voor het nemen van precontractuele maatregelen naar aanleiding van een verzoek van de betrokkene, of
d) de betrokkene daarvoor ondubbelzinnig toestemming heeft gegeven, of
e) het noodzakelijk is ter bescherming van een vitaal belang van de betrokkene.
Artikel 6
Wijziging van doeleinden
Onverminderd de artikelen 4, 5 en 10 geldt het volgende:
1. Persoonsgegevens mogen voor andere doeleinden dan die waarvoor zij zijn verzameld, slechts worden verwerkt indien de wijziging van doel uitdrukkelijk is toegestaan door de interne regels van de communautaire instelling of van het communautaire orgaan.
2. Uitsluitend met het oog op de beveiliging van en het toezicht op de verwerkingssystemen of -verrichtingen verzamelde persoonsgegevens mogen voor geen enkel ander doel worden gebruikt, behalve voor preventie, onderzoek, opsporing en vervolging van ernstige strafbare feiten.
Artikel 7
Doorgifte van persoonsgegevens binnen of tussen communautaire instellingen of organen
Onverminderd de artikelen 4, 5, 6 en 10 geldt het volgende:
1. Persoonsgegevens mogen binnen of tussen communautaire instellingen of organen slechts worden doorgegeven indien die gegevens noodzakelijk voor de rechtmatige uitoefening onder de bevoegdheid van de ontvanger begrepen taken zijn.
2. Indien de gegevens op verzoek van de ontvanger worden doorgegeven, zijn zowel de verantwoordelijke voor de verwerking als de ontvanger verantwoordelijk voor de rechtmatigheid van de doorgifte.
De verantwoordelijke voor de verwerking gaat de bevoegdheid van de ontvanger na en geeft een voorlopig oordeel over de noodzaak van de doorgifte van de gegevens. Bij twijfel over de noodzaak vraagt de verantwoordelijke voor de verwerking de ontvanger om nadere toelichting.
De ontvanger draagt er zorg voor dat de noodzaak van de doorgifte van de gegevens achteraf kan worden geverifieerd.
3. De ontvanger verwerkt de persoonsgegevens uitsluitend voor de doeleinden waarvoor ze werden doorgegeven.
Artikel 8
Doorgifte van persoonsgegevens aan ontvangers die onder Richtlijn 95/46/EG vallen, maar geen communautaire instellingen of organen zijn
Onverminderd de artikelen 4, 5, 6 en 10 worden persoonsgegevens slechts aan onder de nationale wetgeving ter uitvoering van Richtlijn 95/46/EG vallende ontvangers doorgegeven,
a) indien de ontvanger aantoont dat de gegevens nodig zijn voor de uitvoering van een taak die wordt verricht in het algemeen belang of ter uitoefening van het openbaar gezag, of
b) indien de ontvanger de noodzaak van de doorgifte aantoont en er geen reden bestaat om aan te nemen dat de rechtmatige belangen van de betrokkene worden geschaad.
Artikel 9
Doorgifte van persoonsgegevens aan ontvangers die geen communautaire instelling of orgaan zijn en niet onder Richtlijn 95/46/EG vallen
1. Persoonsgegevens worden slechts doorgegeven aan ontvangers die geen communautaire instelling of orgaan zijn en niet vallen onder de nationale wetgeving ter uitvoering van Richtlijn 95/46/EG, indien in het land van de ontvanger of in de ontvangende internationale organisatie een passend beschermingsniveau wordt gewaarborgd, en de gegevens strikt binnen het raam van de onder de bevoegdheid van de verantwoordelijke voor de verwerking vallende taken worden doorgegeven.
2. Of het door het betrokken derde land of door de betrokken internationale organisatie geboden beschermingsniveau passend is, wordt beoordeeld in het licht van alle omstandigheden rond een doorgifte van gegevens of van een geheel van gegevens; in het bijzonder wordt aandacht geschonken aan de aard van de gegevens, aan het doel en de duur van de voorgenomen verwerking(en), aan het derde land of de internationale organisatie waarvoor de gegevens uiteindelijk bestemd zijn, aan de zowel algemene als sectorale rechtsregels die in het betrokken derde land of bij de betrokken internationale organisatie gelden en aan de voorschriften inzake beroepsethiek en geheimhouding die in het betrokken derde land of bij de betrokken internationale organisatie worden nageleefd.
3. De communautaire instellingen of organen stellen de Commissie en de Europese Toezichthouder voor gegevensbescherming in kennis van alle gevallen waarvoor zij van oordeel zijn dat het betrokken derde land, respectievelijk de betrokken internationale organisatie geen passend beschermingsniveau in de zin van lid 2 waarborgt.
4. De Commissie stelt de lidstaten in kennis van de in lid 3 bedoelde gevallen.
5. De communautaire instellingen of organen nemen de nodige maatregelen om te voldoen aan de besluiten waarbij de Commissie krachtens artikel 25, lid 4 en lid 6, van Richtlijn 95/46/EG vaststelt dat een derde land of een internationale organisatie al dan niet een passend beschermingsniveau waarborgt.
6. In afwijking van de leden 1 en 2 kan de communautaire instelling of het communautaire orgaan persoonsgegevens doorgeven indien:
a) de betrokkene daarvoor ondubbelzinnig toestemming heeft gegeven, of
b) de doorgifte noodzakelijk is voor de uitvoering van een overeenkomst tussen de betrokkene en de verantwoordelijke voor de verwerking of voor de uitvoering van op verzoek van de betrokkene genomen precontractuele maatregelen, of
c) de doorgifte noodzakelijk is voor de sluiting of de uitvoering van een in het belang van de betrokkene gesloten overeenkomst tussen de verantwoordelijke voor de verwerking en een derde, of
d) de doorgifte noodzakelijk of wettelijk verplicht is vanwege zwaarwegend algemeen belang of voor de vaststelling, de uitoefening of de verdediging van een recht in rechte, of
e) de doorgifte ter bescherming van het vitale belang van de betrokkene noodzakelijk is, of
f) de doorgifte vanuit een register geschiedt dat krachtens de communautaire wetgeving is bedoeld om het publiek voor te lichten en dat door het publiek in het algemeen of door eenieder die zich op een rechtmatig belang kan beroepen, kan worden geraadpleegd, voorzover in het gegeven geval aan de in de communautaire wetgeving neergelegde voorwaarden voor raadpleging wordt voldaan.
7. Onverminderd lid 6 kan de Europese Toezichthouder voor gegevensbescherming toestemming geven voor één of meer doorgiften van persoonsgegevens naar een derde land of een internationale organisatie waar geen passend beschermingsniveau in de zin van de leden 1, 2 en 3 is gewaarborgd, wanneer de verantwoordelijke voor de verwerking voldoende waarborgen biedt voor de bescherming van de persoonlijke levenssfeer, de fundamentele rechten en vrijheden van personen, en voor de uitoefening van de daarmee samenhangende rechten; deze waarborgen kunnen met name voortvloeien uit passende contractuele clausules.
8. De communautaire instellingen of organen stellen de Europese Toezichthouder voor gegevensbescherming in kennis van categorieën gevallen waarin zij de leden 6 en 7 hebben toegepast.
AFDELING 3
BIJZONDERE CATEGORIEËN VAN VERWERKING
Artikel 10
Verwerking van bijzondere categorieën van gegevens
1. De verwerking van persoonsgegevens waaruit de raciale of etnische afkomst, de politieke opvattingen, de godsdienstige of levensbeschouwelijke overtuiging, of het lidmaatschap van een vakvereniging blijkt, alsook de verwerking van gegevens die de gezondheid of het seksueel gedrag betreffen, is verboden.
2. Lid 1 is niet van toepassing wanneer:
a) de betrokkene uitdrukkelijk in een dergelijke verwerking heeft toegestemd, tenzij in de interne regels van de communautaire instelling of van het communautair orgaan is bepaald dat het in lid 1 bedoelde verbod niet door toestemming van de betrokkene ongedaan kan worden gemaakt, of
b) de verwerking noodzakelijk is met het oog op de uitvoering van de verplichtingen en de specifieke rechten van de verantwoordelijke voor de verwerking op het gebied van arbeidsrechtelijke verhoudingen, voorzover dit bij de Verdragen tot oprichting van de Europese Gemeenschappen of andere, op basis van die Verdragen vastgestelde wetgevingsbesluiten wordt toegestaan, of, indien nodig, voorzover de Europese Toezichthouder voor gegevensbescherming daarmee heeft ingestemd, en adequate garanties worden geboden, of
c) de verwerking noodzakelijk is ter bescherming van de vitale belangen van de betrokkene of van een ander indien de betrokkene lichamelijk of juridisch niet in staat is zijn toestemming te geven, of
d) de verwerking betrekking heeft op duidelijk door de betrokkene openbaar gemaakte gegevens of noodzakelijk is voor de vaststelling, de uitoefening of de verdediging van een recht in rechte, of
e) de verwerking wordt uitgevoerd in het raam van de gerechtvaardigde activiteiten en met passende garanties van een organisatie zonder winstoogmerk, die een in een communautaire instelling of in een communautair orgaan geïntegreerde entiteit vormt en niet onderworpen is aan nationale wetgeving inzake de bescherming van persoonsgegevens krachtens artikel 4 van Richtlijn 95/46/EG, en waarvan de doelstelling op politiek, levensbeschouwelijk, godsdienstig of op vakbondsgebied gelegen is, mits de verwerking uitsluitend betrekking heeft op de leden van deze organisatie of op de personen die in verband met haar doelstellingen regelmatig contact met haar onderhouden, en de gegevens niet zonder toestemming van de betrokkenen aan derden worden bekendgemaakt.
3. Lid 1 is niet van toepassing wanneer verwerking van de gegevens noodzakelijk is voor doeleinden van preventieve geneeskunde, medische diagnose, zorgverstrekking, behandeling of het beheer van gezondheidsdiensten en wanneer die gegevens worden verwerkt door een aan het beroepsgeheim onderworpen gezondheidswerker of door een ander voor wie een gelijkwaardige geheimhoudingsplicht geldt.
4. Mits passende waarborgen worden geboden, kunnen om redenen van zwaarwegend algemeen belang nog andere afwijkingen dan die van lid 2 worden vastgesteld bij het Verdrag tot oprichting van de Europese Gemeenschappen of andere, op basis van die Verdragen vastgestelde wetgevingsbesluiten, of, indien nodig, bij besluit van de Europese Toezichthouder voor gegevensbescherming.
5. Verwerkingen van gegevens inzake overtredingen, strafrechtelijke veroordelingen of veiligheidsmaatregelen mogen slechts worden uitgevoerd, indien het Verdrag tot oprichting van de Europese Gemeenschappen of andere, op basis van die Verdragen vastgestelde wetgevingsbesluiten het toestaan of, indien nodig, indien de Europese Toezichthouder voor gegevensbescherming daarin toestemt, mits er gezorgd is voor passende bijzondere waarborgen.
6. De Europese Toezichthouder voor gegevensbescherming bepaalt de voorwaarden waaronder een persoonsnummer of een ander algemeen toegepast identificatiemiddel door een communautaire instelling of een communautair orgaan mag worden verwerkt.
AFDELING 4
MEDEDELING AAN DE BETROKKENE
Artikel 11
Mee te delen informatie in geval van gegevensverzameling bij de betrokkene
1. De verantwoordelijke voor de verwerking deelt de betrokkene, bij wie hij gegevens over de betrokkene zelf verzamelt, ten minste de volgende informatie mee, tenzij de betrokkene daarover reeds beschikt:
a) de identiteit van de verantwoordelijke voor de verwerking;
b) de doeleinden van de verwerking waarvoor de gegevens bestemd zijn;
c) de gegevensontvangers of categorieën gegevensontvangers;
d) of antwoorden op de vragen verplicht of vrijwillig is en de eventuele gevolgen van niet-beantwoording;
e) het bestaan van het recht van toegang tot de eigen persoonsgegevens en op rectificatie van die gegevens;
f) verdere informatie zoals:
i) de rechtsgrondslag van de verwerking waarvoor de gegevens bestemd zijn,
ii) de termijn gedurende welke de gegevens worden bewaard,
iii) het recht om de Europese Toezichthouder voor gegevensbescherming te allen tijde aan te zoeken;
voorzover die verdere informatie, met inachtneming van de bijzondere omstandigheden waaronder de gegevens worden verzameld, nodig is om tegenover de betrokkene eerlijke verwerking te waarborgen.
2. In afwijking van lid 1 mag mededeling van informatie of van een deel ervan, met uitzondering van de informatie bedoeld in lid 1, punten a), b) en d) worden uitgesteld zolang dit noodzakelijk is voor statistische doeleinden. De informatie wordt meegedeeld zodra de reden waarom zij werd achtergehouden, niet meer bestaat.
Artikel 12
Mee te delen informatie in geval van niet bij de betrokkene verzamelde gegevens
1. Indien de gegevens niet bij de betrokkene werden verzameld, deelt de verantwoordelijke voor de verwerking, op het tijdstip van registratie van de persoonsgegevens of wanneer verstrekking van de gegevens aan een derde wordt overwogen, aan de betrokkene uiterlijk op het tijdstip van de eerste verstrekking van de gegevens ten minste de volgende informatie mee, tenzij de betrokkene deze reeds bezit:
a) de identiteit van de verantwoordelijke voor de verwerking;
b) de doeleinden van de verwerking;
c) de betrokken gegevenscategorieën;
d) de gegevensontvangers of categorieën gegevensontvangers;
e) het bestaan van het recht van toegang tot de eigen persoonsgegevens en op rectificatie van die gegevens;
f) verdere informatie zoals:
i) de rechtsgrondslag van de verwerking waarvoor de gegevens bestemd zijn,
ii) de termijn gedurende welke de gegevens worden bewaard,
iii) het recht om de Europese Toezichthouder voor gegevensbescherming te allen tijde aan te zoeken,
iv) de oorsprong van de gegevens, behalve wanneer de verantwoordelijke voor de verwerking deze informatie wegens beroepsgeheim niet kan vrijgeven,
voorzover die verdere informatie, met inachtneming van de bijzondere omstandigheden waaronder de gegevens worden verzameld, nodig is om tegenover de betrokkene eerlijke verwerking te waarborgen.
2. Lid 1 is niet van toepassing indien, met name voor statistische doeleinden of voor historisch of wetenschappelijk onderzoek, de mededeling van dergelijke informatie onmogelijk blijkt of onevenredig veel moeite kost of indien registratie of vrijgave uitdrukkelijk door het Gemeenschapsrecht is voorgeschreven. In die gevallen draagt de communautaire instelling of het communautaire orgaan zorg voor passende waarborgen na raadpleging van de Europese Toezichthouder voor gegevensbescherming.
AFDELING 5
RECHTEN VAN DE BETROKKENE
Artikel 13
Recht van toegang
Elke betrokkene heeft het recht te allen tijde en ongehinderd binnen drie maanden na ontvangst van het verzoek kosteloos van de verantwoordelijke voor de verwerking:
a) uitsluitsel te verkrijgen over het al dan niet plaatsvinden van gegevensverwerking die de betrokkene betreft;
b) ten minste informatie te verkrijgen over de doeleinden van de verwerking, over de categorieën gegevens waarop de verwerking betrekking heeft en over de ontvangers, respectievelijk de categorieën ontvangers aan wie de gegevens worden verstrekt;
c) de gegevens die verwerking ondergaan, alsmede elke beschikbare informatie wat de bron van die gegevens betreft, in begrijpelijke vorm verstrekt te krijgen;
d) inzicht te verkrijgen in de achterliggende gedachte van elke hem betreffende geautomatiseerde gegevensverwerking.
Artikel 14
Rectificatie
De betrokkene kan van de verantwoordelijke voor de verwerking verlangen dat hij de onnauwkeurige of onvolledige persoonsgegevens onverwijld rectificeert.
Artikel 15
Afscherming
1. De betrokkene kan van de verantwoordelijke voor de verwerking verlangen dat hij deze gegevens afschermt indien:
a) de nauwkeurigheid ervan door de betrokkene wordt betwist, gedurende een periode die de verantwoordelijke voor de verwerking in staat stelt de nauwkeurigheid, met inbegrip van de volledigheid van de gegevens te verifiëren;
b) de verantwoordelijke voor de verwerking die gegevens niet langer voor de uitoefening van zijn, respectievelijk haar taken, nodig heeft, maar die gegevens nog moeten worden bewaard voor de bewijsvoering; of
c) de verwerking ervan onwettig is en de betrokkene zich tegen het wissen ervan verzet en in de plaats daarvan afscherming ervan verzoekt.
2. In geautomatiseerde gegevensbestanden wordt voor afscherming in beginsel met technische middelen zorg gedragen. Het feit dat de persoonsgegevens worden afgeschermd, wordt in het bestand op zodanige wijze aangegeven dat duidelijk blijkt dat van de persoonsgegevens geen gebruik mag worden gemaakt.
3. Op grond van dit artikel afgeschermde persoonsgegevens worden, afgezien van de opslag ervan, slechts verwerkt ten behoeve van bewijsvoering of met toestemming van de betrokkene, of ter bescherming van rechten van derden.
4. De betrokkene op wiens verzoek deze gegevens worden afgeschermd, wordt door de verantwoordelijke voor de verwerking ingelicht alvorens de afscherming wordt opgeheven.
Artikel 16
Gegevenswissing
De betrokkene kan van de verantwoordelijke voor de verwerking verlangen dat hij de persoonsgegevens wist indien de verwerking ervan onwettig is, met name wanneer de bepalingen van de afdelingen 1, 2 en 3 van hoofdstuk II worden geschonden.
Artikel 17
Kennisgeving aan derden
De betrokkene kan van de verantwoordelijke voor de verwerking verlangen dat bij aan derden aan wie de gegevens zijn verstrekt, in kennis stelt van elke rectificatie, wissing of afscherming uit hoofde van de artikelen 13 tot en met 16, tenzij dit onmogelijk blijkt of onevenredig veel moeite kost.
Artikel 18
Recht van bezwaar
De betrokkene heeft het recht om:
a) op grond van zwaarwegende en gerechtvaardigde redenen die met zijn bijzondere situatie verband houden, te allen tijde bezwaar aan te tekenen tegen de verwerking van hem betreffende gegevens, behalve in de in artikel 5, punten b), c) en d), genoemde gevallen. In het geval van gerechtvaardigd bezwaar mag de verwerking door de verantwoordelijke voor de verwerking niet langer deze gegevens betreffen;
b) te worden ingelicht voordat persoonsgegevens voor de eerste keer aan derden worden verstrekt of voor rekening van derden worden gebruikt ten behoeve van direct marketing, en uitdrukkelijk de mogelijkheid geboden krijgt zich kosteloos te verzetten tegen deze verstrekking of dit gebruik van gegevens.
Artikel 19
Geautomatiseerde individuele besluiten
De betrokkene heeft het recht niet te worden onderworpen aan een besluit waaraan voor hem rechtsgevolgen zijn verbonden of dat hem verregaand treft en dat uitsluitend op een geautomatiseerde gegevensverwerking berust die bestemd is om bepaalde aspecten van zijn persoonlijkheid, zoals beroepsprestatie, betrouwbaarheid of gedrag te beoordelen, tenzij het besluit uitdrukkelijk is toegestaan krachtens een nationale of communautaire regelgeving of, indien nodig, door de Europese Toezichthouder voor gegevensbescherming. In beide gevallen worden maatregelen genomen om de legitieme belangen van de betrokkene te beschermen, zoals regelingen die de betrokkene in staat stellen zijn standpunt kenbaar te maken.
AFDELING 6
UITZONDERINGEN EN BEPERKINGEN
Artikel 20
Uitzonderingen en beperkingen
1. De communautaire instellingen of organen kunnen de toepassing van artikel 4, lid 1, artikel 11, artikel 12, lid 1, de artikelen 13 tot en met 17, en artikel 37, lid 1, beperken voorzover die beperking een noodzakelijke maatregel vormt ter vrijwaring van:
a) preventie, onderzoek, opsporing en vervolging van strafbare feiten;
b) een belangrijk economisch of financieel belang van een lidstaat of van de Europese Gemeenschappen, met inbegrip van monetaire, budgettaire en fiscale aangelegenheden;
c) de bescherming van de betrokkene of van de rechten en vrijheden van anderen;
d) de nationale veiligheid, de openbare veiligheid en de defensie van de lidstaten;
e) een taak op het gebied van toezicht, inspectie of regelgeving, verbonden, zelfs incidenteel, met de uitoefening van het openbaar gezag in de gevallen bedoeld in de punten a) en b).
2. De artikelen 13 tot en met 16 zijn niet van toepassing wanneer de gegevens louter met het oog op wetenschappelijk onderzoek worden verwerkt of in de vorm van persoonlijke gegevens worden bewaard voor een duur die de tijd gemoeid met uitsluitend opstellen van statistieken niet overtreft, mits er duidelijk geen gevaar bestaat dat inbreuk wordt gepleegd op de persoonlijke levenssfeer van de betrokkene en de verantwoordelijke voor de verwerking passende juridische garanties biedt, met name dat de gegevens niet worden gebruikt om maatregelen of besluiten ten aanzien van een bepaalde persoon te treffen.
3. Indien een beperking als bedoeld in lid 1 wordt toegepast, wordt de betrokkene overeenkomstig het Gemeenschapsrecht in kennis gesteld van de voornaamste redenen waarop de toepassing van de beperking berust en van zijn, respectievelijk haar recht om zich tot de Europese Toezichthouder voor gegevensbescherming te wenden.
4. Indien een beroep wordt gedaan op een in lid 1 bedoelde beperking om de betrokkene toegang te weigeren, deelt de Europese Toezichthouder voor gegevensbescherming, wanneer hij een verzoek bestudeert, de betrokkene slechts mee of de gegevens op correcte wijze zijn verwerkt en, zo niet, of de noodzakelijke verbeteringen zijn aangebracht.
5. De in de leden 3 en 4 bedoelde kennisgeving kan worden uitgesteld zolang zij het beoogde effect van de op grond van lid 1 ingestelde beperking teniet zou doen.
AFDELING 7
VERTROUWELIJKHEID EN BEVEILIGING VAN DE VERWERKING
Artikel 21
Vertrouwelijkheid van de verwerking
Eenieder die in dienst is van een communautaire instelling of van een communautair orgaan, alsmede iedere communautaire instelling die of ieder communautair orgaan dat zelf als verwerker optreedt, en toegang heeft tot persoonsgegevens, mag deze slechts verwerken op instructies van de verantwoordelijke voor de verwerking, tenzij de nationale of de communautaire wetgeving dit vereist.
Artikel 22
Beveiliging van de verwerking
1. De verantwoordelijke voor de verwerking treft passende technische en organisatorische maatregelen om, gelet op de risico's die de verwerking en de aard van de te beschermen persoonsgegevens met zich meebrengen, een passend beveiligingsniveau te waarborgen, hierbij houdt hij rekening met de stand van de techniek en met de kosten van uitvoering van de maatregelen.
Dergelijke maatregelen worden met name getroffen ter voorkoming van enigerlei niet-geautoriseerde verspreiding of toegang, accidentele of onwettige vernietiging, accidenteel verlies of accidentele wijziging alsmede alle overige onwettige vormen van verwerking.
2. Wanneer persoonsgegevens met geautomatiseerde middelen worden verwerkt, worden met name in verhouding tot de risico's passende maatregelen genomen om:
a) te voorkomen dat onbevoegden toegang krijgen tot persoonsgegevensverwerkende computersystemen;
b) onbevoegde inzage, verveelvoudiging, wijziging of verwijdering van opslagmedia te voorkomen;
c) onbevoegde invoer in het geheugen alsmede onbevoegde verspreiding, wijziging of wissing van opgeslagen persoonsgegevens te voorkomen;
d) te voorkomen dat onbevoegden met behulp van datatransmissieapparatuur de gegevensverwerkingssystemen gebruiken;
e) er zorg voor te dragen dat bevoegde gebruikers van een gegevensverwerkingssysteem geen toegang tot andere persoonsgegevens kunnen krijgen dan die waarvoor hun recht van toegang geldt;
f) te registreren welke persoonsgegevens op welk tijdstip en aan wie zijn meegedeeld;
g) er zorg voor te dragen dat het achteraf mogelijk is na te gaan en te controleren wanneer en door wie bepaalde persoonsgegevens zijn verwerkt;
h) er zorg voor te dragen dat persoonsgegevens die voor rekening van derden worden verwerkt, uitsluitend op de door de opdrachtgevende communautaire instelling of het opdrachtgevende communautaire orgaan voorgeschreven wijze kunnen worden verwerkt;
i) er zorg voor te dragen dat de gegevens tijdens de mededeling van persoonsgegevens en tijdens het transport van opslagmedia niet onrechtmatig kunnen worden ingezien, gekopieerd of gewist;
j) de organisatiestructuur binnen een instelling of orgaan zodanig op te zetten dat deze aan de bijzondere vereisten inzake gegevensbescherming beantwoordt.
Artikel 23
Verwerking van persoonsgegevens voor rekening van de verantwoordelijke voor de verwerking
1. De verantwoordelijke voor de verwerking kiest, in geval van verwerking voor zijn rekening, een verwerker die ten aanzien van de in artikel 22 vereiste technische en organisatorische beveiligingsmaatregelen voldoende waarborgen biedt, en hij ziet toe op de naleving van die maatregelen.
2. De uitvoering van verwerkingen door een verwerker wordt geregeld in een overeenkomst of door een rechtshandeling die de verwerker ten opzichte van de verantwoordelijke voor de verwerking bindt en waarin met name wordt bepaald dat:
a) de verwerker slechts op instructies van de verantwoordelijke voor de verwerking handelt,
b) de in de artikelen 21 en 22 bedoelde verplichtingen eveneens rusten op de verwerker, tenzij de verwerker ingevolge artikel 16 of artikel 17, lid 3, tweede streepje, van Richtlijn 95/46/EG, al onderworpen is aan verplichtingen inzake vertrouwelijkheid en beveiliging uit het nationale recht van een lidstaat.
3. Met het oog op de bewaring van bewijsmateriaal, worden die onderdelen van de overeenkomst of van de rechtshandeling die de bescherming van de gegevens betreffen en de vereisten inzake de in artikel 22 bedoelde maatregelen schriftelijk of in een andere, gelijkwaardige vorm vastgelegd.
AFDELING 8
FUNCTIONARIS VOOR GEGEVENSBESCHERMING
Artikel 24
Aanstelling en taken van de functionaris voor gegevensbescherming
1. Elke communautaire instelling en elk communautair orgaan stelt ten minste één persoon aan tot functionaris voor gegevensbescherming, die
a) er zorg voor draagt dat de verantwoordelijken voor de verwerking en de betrokkenen van hun rechten en plichten die uit deze verordening voortvloeien, in kennis worden gesteld;
b) ingaat op verzoeken van de Europese Toezichthouder voor gegevensbescherming en, binnen het kader van diens bevoegdheden, samenwerkt met de Europese Toezichthouder voor gegevensbescherming, op verzoek van deze laatste of op eigen initiatief;
c) op onafhankelijke wijze zorg draagt voor de interne toepassing van de bepalingen van deze verordening;
d) een register van de verwerkingen die door de verantwoordelijke voor de verwerking zijn verricht, bijhoudt, waarin de in artikel 25, lid 2, bedoelde gegevens zijn opgenomen;
e) de Europese Toezichthouder voor gegevensbescherming kennis geeft van de verwerkingen die waarschijnlijk bijzondere risico's in de zin van artikel 27 inhouden.
Hij draagt er daarmee zorg voor dat verwerkingen geen schending van de rechten en vrijheden van de betrokkenen zullen veroorzaken.
2. De functionaris voor gegevensbescherming wordt gekozen op grond van zijn persoonlijke en professionele kwaliteiten en, in het bijzonder, zijn deskundigheid inzake gegevensbescherming.
3. De keuze van de functionaris voor gegevensbescherming mag niet kunnen uitlopen op een belangenconflict tussen zijn taak als functionaris en andere officiële taken, met name ten aanzien van de toepassing van deze verordening.
4. De functionaris voor gegevensbescherming wordt voor een termijn van ten minste twee jaar en ten hoogste vijf jaar benoemd. Hij kan worden herbenoemd, maar de totale duur van zijn mandaat mag niet meer dan tien jaar bedragen. Indien hij niet langer aan de voor de uitoefening van zijn functie vereiste voorwaarden voldoet, kan hij alleen door de communautaire instelling die of het communautaire orgaan dat hem heeft aangesteld, met instemming van de Europese Toezichthouder voor gegevensbescherming als functionaris voor gegevensbescherming worden ontslagen.
5. Na zijn benoeming wordt de functionaris voor gegevensbescherming door de instelling die, of het orgaan dat hem heeft benoemd, bij de Europese Toezichthouder voor gegevensbescherming geregistreerd.
6. De functionaris voor gegevensbescherming krijgt van de communautaire instelling die of het communautaire orgaan dat hem heeft aangesteld, de beschikking over het personeel en de middelen die voor de uitvoering van zijn taken noodzakelijk zijn.
7. Met betrekking tot de uitoefening van zijn functie mag de functionaris voor gegevensbescherming geen enkele instructie krijgen.
8. Nadere uitvoeringsvoorschriften betreffende de functionaris voor gegevensbescherming worden door de communautaire instelling of door het communautaire orgaan vastgesteld overeenkomstig de bijlage. De uitvoeringsvoorschriften hebben met name betrekking op de taken, verplichtingen en bevoegdheden van de functionaris voor gegevensbescherming.
Artikel 25
Informatie van de functionaris voor gegevensbescherming
1. Alvorens een verwerking of een reeks verwerkingen met een enkel doel of met verscheidene samenhangende doeleinden uit te voeren, stelt de verantwoordelijke voor de verwerking vooraf de functionaris voor gegevensbescherming daarvan in kennis.
2. De te verstrekken informatie behelst tenminste:
a) naam en adres van de verantwoordelijke voor de verwerking en een indicatie van de organisatieonderdelen van een instelling of een orgaan die met de verwerking van persoonsgegevens voor een bepaald doel belast zijn;
b) doeleinde(n) van de verwerking;
c) beschrijving van de categorie(ën) betrokkenen en van de gegevens of categorieën gegevens die daarop betrekking hebben;
d) de rechtsgrondslag van de verwerking waarvoor de gegevens bestemd zijn;
e) de ontvangers of categorieën ontvangers aan wie de gegevens bekend kunnen worden gemaakt;
f) een algemene aanwijzing betreffende de termijnen waarbinnen de verschillende categorieën gegevens worden afgeschermd en gewist;
g) de voorgenomen gegevensdoorgiften naar derde landen of naar internationale organisaties;
h) een algemene beschrijving om vooraf te kunnen beoordelen of de overeenkomstig artikel 22 genomen maatregelen om de beveiliging van de verwerking te waarborgen, adequaat zijn.
3. Van elke wijziging in de in lid 2 genoemde informatie wordt onverwijld aan de functionaris voor gegevensbescherming kennis gegeven.
Artikel 26
Register
Elke functionaris voor gegevensbescherming houdt een register van de overeenkomstig artikel 25 gemelde verwerkingen bij.
De registers bevatten tenminste de in artikel 25, lid 2, punten a) tot en met g), bedoelde informatie. De registers kunnen door eenieder, direct of indirect via de Europese Toezichthouder voor gegevensbescherming, worden geraadpleegd.
AFDELING 9
VOORAFGAANDE CONTROLE DOOR DE EUROPESE TOEZICHTHOUDER VOOR GEGEVENSBESCHERMING EN VERPLICHTING OM SAMEN TE WERKEN
Artikel 27
Voorafgaande controle
1. Verwerkingen die gezien hun aard, reikwijdte of doeleinden bijzondere risico's kunnen inhouden voor de rechten en vrijheden van de betrokkenen, worden vooraf gecontroleerd door de Europese Toezichthouder voor gegevensbescherming.
2. De volgende verwerkingen kunnen dergelijke risico's meebrengen:
a) verwerkingen van gegevens betreffende de gezondheid en verwerkingen van gegevens inzake verdenkingen, strafbare feiten, strafrechtelijke veroordelingen of veiligheidsmaatregelen;
b) verwerkingen die ten doel hebben de persoonlijke eigenschappen van de betrokkenen, zoals bekwaamheid, rendement of gedrag, te beoordelen;
c) verwerkingen waarmee voor verschillende doeleinden verwerkte gegevens onderling kunnen worden gekoppeld zonder dat hiervoor nationale of communautaire regelgeving bestaat;
d) verwerkingen die gericht zijn op het ontzeggen van het genot van een recht, van een uitkering of van de mogelijkheid een contract aan te gaan.
3. De voorafgaande controle wordt verricht door de Europese Toezichthouder voor gegevensbescherming na ontvangst van een kennisgeving van de functionaris voor gegevensbescherming die in geval van twijfel aan de noodzaak van voorafgaande controle de Europese Toezichthouder voor gegevensbescherming raadpleegt.
4. De Europese Toezichthouder voor gegevensbescherming brengt binnen twee maanden na ontvangst van de kennisgeving advies uit. Deze termijn kan, wanneer er een verzoek loopt van de Europese Toezichthouder voor gegevensbescherming om meer informatie, worden opgeschort totdat de Europese Toezichthouder deze informatie heeft verkregen. Deze termijn kan, wanneer dit in verband met de complexiteit van het dossier nodig is, bij besluit van de Europese Toezichthouder voor gegevensbescherming, ook met een nieuwe periode van twee maanden worden verlengd. Van dit besluit wordt vóór het verstrijken van de eerste termijn van twee maanden aan de verantwoordelijke voor de verwerking kennis gegeven.
Indien binnen de termijn van twee maanden, die eventueel is verlengd, geen advies is uitgebracht, wordt dit als een gunstig advies beschouwd.
Indien het advies van de Europese Toezichthouder voor gegevensbescherming luidt dat de aangemelde verwerking inbreuk kan maken op een bepaling van deze verordening, doet hij, indien nodig, passende voorstellen om dergelijke inbreuken te voorkomen. Past de verantwoordelijke de verwerking niet dienovereenkomstig aan, dan mag de Europese Toezichthouder voor gegevensbescherming gebruik maken van zijn bevoegdheden uit hoofde van artikel 47, lid 1.
5. De Europese Toezichthouder voor gegevensbescherming houdt een register bij van de verwerkingen waarvan hem op grond van lid 2 kennis is gegeven. Het register bevat de in artikel 25 bedoelde informatie. Het register mag door eenieder worden geraadpleegd.
Artikel 28
Raadplegingsplicht
1. De communautaire instellingen en de communautaire organen lichten de Europese Toezichthouder voor gegevensbescherming in wanneer zij in verband met de verwerking van persoonsgegevens, waarbij een communautaire instelling of een communautair orgaan, alleen of samen met andere(n), is betrokken, administratieve maatregelen opstellen.
2. Wanneer de Commissie een wetgevingsvoorstel aanneemt betreffende de bescherming van de fundamentele rechten en vrijheden van personen op het gebied van de verwerking van persoonsgegevens, raadpleegt zij de Europese Toezichthouder voor de gegevensbescherming.
Artikel 29
Mededelingsplicht
De communautaire instellingen en organen delen de Europese Toezichthouder voor de gegevensbescherming mee welke maatregelen zij naar aanleiding van diens in artikel 46, onder h), bedoelde besluiten of vergunningen hebben genomen.
Artikel 30
Samenwerkingsplicht
Op zijn, verzoek werken de verantwoordelijken voor de verwerking met de Europese Toezichthouder voor gegevensbescherming samen voor de uitoefening van zijn taken, met name verstrekken zij de in artikel 47, lid 2, onder a), bedoelde informatie en verschaffen zij toegang als bepaald in artikel 47, lid 2, onder b).
Artikel 31
Repliek
Wanneer de Europese Toezichthouder voor gegevensbescherming de bevoegdheden uitoefent die hem uit hoofde van artikel 47, lid 2, onder b), toekomen, deelt de verantwoordelijke voor de verwerking hem binnen een redelijke, door de Europese Toezichthouder voor gegevensbescherming te bepalen termijn zijn standpunt mee. In zijn repliek beschrijft hij tevens de maatregelen die eventueel naar aanleiding van de opmerkingen van de Europese Toezichthouder voor gegevensbescherming zijn genomen.
HOOFDSTUK III
BEROEPSMOGELIJKHEDEN
Artikel 32
Beroepsmogelijkheden
1. Het Hof van Justitie van de Europese Gemeenschappen is bevoegd kennis te nemen van alle geschillen over deze verordening, vorderingen tot schadevergoeding daaronder begrepen.
2. Elke betrokkene kan, onverminderd de mogelijkheden van beroep voor de rechter, een verzoek indienen bij de Europese Toezichthouder voor gegevensbescherming indien hij van oordeel is dat de hem krachtens artikel 286 van het Verdrag verleende rechten zijn geschonden door de verwerking van zijn persoonsgegevens door een communautaire instelling of door een communautair orgaan.
Bij gebreke van antwoord van de Europese Toezichthouder binnen een termijn van 6 maanden wordt dit gelijkgesteld met afwijzing van de klacht.
3. Bij het Hof van Justitie van de Europese Gemeenschappen kan tegen beslissingen van de Europese Toezichthouder voor gegevensbescherming beroep worden ingesteld.
4. Eenieder die schade heeft ondervonden door een onwettige verwerking of een andere handeling die in strijd is met onderhavige verordening, heeft aanspraak op vergoeding van de geleden schade volgens artikel 288 van het Verdrag.
Artikel 33
Klachten van het personeel van de Gemeenschappen
Eenieder die in dienst is van een communautaire instelling of van een communautair orgaan kan, zonder de officiële kanalen te volgen, bij de Europese Toezichthouder voor gegevensbescherming een klacht indienen wegens een vermeende inbreuk op de in deze verordening vervatte bepalingen inzake de verwerking van persoonsgegevens. Niemand mag nadeel ondervinden van het feit dat bij de Europese Toezichthouder voor gegevensbescherming een klacht is ingediend waarin op een schending van de bepalingen betreffende de verwerking van persoonsgegevens wordt gewezen.
HOOFDSTUK IV
BESCHERMING VAN PERSOONSGEGEVENS EN VAN DE PERSOONLIJKE LEVENSSFEER IN HET RAAM VAN INTERNE TELECOMMUNICATIENETWERKEN
Artikel 34
Werkingssfeer
Onverminderd de overige bepalingen van deze verordening, is dit hoofdstuk van toepassing op de verwerking van persoonsgegevens in verband met het gebruik van telecommunicatienetwerken of eindapparatuur die onder de verantwoordelijkheid van een communautaire instelling of van een communautair orgaan worden geëxploiteerd.
Voor de doeleinden van dit hoofdstuk wordt onder "gebruiker" verstaan, elke natuurlijke persoon die gebruik maakt van een telecommunicatienetwerk dat of eindapparatuur die onder de verantwoordelijkheid van een communautaire instelling of van een communautair orgaan wordt geëxploiteerd.
Artikel 35
Beveiliging
1. De communautaire instellingen en organen nemen passende technische en organisatorische maatregelen om het veilige gebruik van de telecommunicatienetwerken en van eindapparatuur te waarborgen, indien nodig in samenwerking met de aanbieders van publiek toegankelijke telecommunicatiediensten en/of met die van openbare telecommunicatienetwerken. Die maatregelen moeten, rekening houdend met de meest recente technische mogelijkheden en de kosten van uitvoering ervan, een beveiligingsniveau waarborgen dat in verhouding staat tot het aanwezige risico.
2. Indien er enig bijzonder risico bestaat dat de beveiliging van het netwerk en van de eindapparatuur wordt doorbroken, dient de betrokken communautaire instelling of het betrokken communautaire orgaan de gebruikers in te lichten over dergelijke risico's en over mogelijke middelen om die risico's tegen te gaan of over alternatieve communicatiemiddelen.
Artikel 36
Vertrouwelijk karakter van het communicatieverkeer
De communautaire instellingen en organen waarborgen het vertrouwelijke karakter van het communicatieverkeer via telecommunicatienetwerken en via eindapparatuur, met inachtneming van de algemene beginselen van het Gemeenschapsrecht.
Artikel 37
Verkeers- en rekeninggegevens
1. Verkeersgegevens met betrekking tot gebruikers, die worden verwerkt en opgeslagen om oproepen en andere verbindingen via het telecommunicatiesysteem tot stand te brengen, worden bij beëindiging van de oproep of andere verbinding gewist of anoniem gemaakt, onverminderd de leden 2, 3 en 4.
2. Ten behoeve van het telecommunicatiebegrotings- en verkeersbeheer, met inbegrip van verificatie van bevoegd gebruik van het telecommunicatiesysteem, mogen, indien nodig, verkeersgegevens zoals aangegeven in een door de Europese Toezichthouder voor gegevensbescherming goedgekeurde lijst, worden verwerkt. Deze gegevens worden zodra dit mogelijk is en uiterlijk zes maanden nadat ze verzameld zijn, gewist of anoniem gemaakt, tenzij zij langer bewaard moeten worden met het oog op de vaststelling, de uitoefening of de verdediging van een recht in het kader van een rechtsvordering in een aanhangige zaak.
3. Verkeers- en rekeninggegevens mogen slechts worden verwerkt door personen die zich met facturering en met verkeers- en begrotingsbeheer bezighouden.
4. Gebruikers van telecommunicatienetwerken hebben het recht om niet-gespecificeerde rekeningen of andere overzichten van oproepen te ontvangen.
Artikel 38
Gebruikerslijsten
1. Persoonsgegevens die in gedrukte of in elektronische gebruikerslijsten zijn opgenomen en de toegang tot dergelijke lijsten worden beperkt tot hetgeen voor de specifieke doeleinden van de lijst noodzakelijk is.
2. De communautaire instellingen en organen nemen alle nodige maatregelen om te voorkomen dat in deze lijsten opgenomen persoonsgegevens, ongeacht of deze al dan niet publiek toegankelijk zijn, voor direct marketing worden gebruikt.
Artikel 39
Weergave en beperking van de identificatie van het oproepende en het opgeroepen nummer
1. Wanneer weergave van de identificatie van het oproepende nummer wordt aangeboden, moet de oproepende gebruiker de mogelijkheid hebben om met eenvoudige middelen en kosteloos die weergave weg te laten.
2. Wanneer weergave van de identificatie van het oproepende nummer wordt aangeboden, moet de opgeroepen gebruiker de mogelijkheid hebben om met eenvoudige middelen en kosteloos de weergave van de identificatie van het oproepende nummer van inkomende oproepen te voorkomen.
3. Wanneer weergave van de identificatie van het opgeroepen nummer wordt aangeboden, moet de opgeroepen gebruiker de mogelijkheid hebben om met eenvoudige middelen en kosteloos de weergave van de identificatie van het opgeroepen nummer naar de oproepende partij weg te laten.
4. Wanneer weergave van de identificatie van het oproepende en/of van het opgeroepen nummer wordt aangeboden, worden de gebruikers door de communautaire instellingen en organen daarover en over de in de leden 1, 2 en 3, vermelde mogelijkheden ingelicht.
Artikel 40
Uitzonderingen
De communautaire instellingen en organen dragen er zorg voor dat er transparante procedures zijn die de wijze regelen waarop zij het weglaten van de weergave van de identificatie van het oproepende nummer ongedaan kunnen maken:
a) op verzoek van een gebruiker die opsporing van kwaadwillige of van hinderlijke oproepen verlangt, op tijdelijke basis;
b) voor organisaties die noodoproepen behandelen, met het oog op de beantwoording daarvan, per afzonderlijke lijn.
HOOFDSTUK V
ONAFHANKELIJKE TOEZICHTHOUDENDE AUTORITEIT: DE EUROPESE TOEZICHTHOUDER VOOR GEGEVENSBESCHERMING
Artikel 41
De Europese Toezichthouder voor gegevensbescherming
1. Er wordt een onafhankelijke toezichthoudende autoriteit ingesteld, de "Europese Toezichthouder voor gegevensbescherming" genaamd.
2. De Europese Toezichthouder voor gegevensbescherming zorgt ervoor dat de fundamentele rechten en vrijheden van natuurlijke personen, met name het recht op persoonlijke levenssfeer, bij de verwerking van persoonsgegevens, door de communautaire instellingen en organen in acht worden genomen
De Europese Toezichthouder voor gegevensbescherming is met name belast met het toezien op en het verzekeren van de toepassing van deze verordening en van elk ander communautair besluit betreffende de bescherming van de fundamentele rechten en vrijheden van natuurlijke personen in verband met de verwerking van persoonsgegevens door een communautaire instelling of door een communautair orgaan, alsmede voor het verstrekken van advies aan de communautaire instellingen en organen en aan de betrokkenen inzake de verwerking van persoonsgegevens. Daartoe vervult hij de bij artikel 46 opgedragen taken en oefent hij de bij artikel 47 verleende bevoegdheden uit.
Artikel 42
Benoeming
1. Het Europees Parlement en de Raad benoemen in onderlinge overeenstemming de Europese Toezichthouder voor gegevensbescherming voor een termijn van vijf jaar, op basis van een lijst van kandidaten die de Commissie na een openbare sollicitatieoproep opstelt.
Volgens dezelfde procedure en voor dezelfde periode wordt een adjunct-toezichthouder benoemd. Deze assisteert de Toezichthouder bij al diens taken en vervangt hem bij afwezigheid of verhindering.
2. De Europese Toezichthouder voor gegevensbescherming wordt gekozen uit personen die alle waarborgen voor onafhankelijkheid bieden en die duidelijk over de ervaring en de bekwaamheid beschikken om het ambt van Europese Toezichthouder voor gegevensbescherming uit te oefenen, met name omdat zij behoren of behoord hebben tot de in artikel 28 van Richtlijn 95/46/EG bedoelde toezichthoudende autoriteiten.
3. De Europese Toezichthouder voor gegevensbescherming is herbenoembaar.
4. Behoudens in geval van normale vervanging of van overlijden eindigt de ambtsvervulling van de Europese Toezichthouder voor gegevensbescherming wanneer hij ontslag neemt of overeenkomstig lid 5 van zijn ambt ontheven wordt verklaard.
5. De Europese Toezichthouder voor gegevensbescherming kan op verzoek van het Europees Parlement, de Raad of de Commissie door het Hof van Justitie van de Europese Gemeenschappen uit zijn ambt ontheven worden verklaard, of kan zijn recht op pensioen of pensioenvervangende voordelen verliezen indien hij niet meer aan de eisen voor de uitoefening van dat ambt voldoet of op ernstige wijze is tekortgeschoten.
6. In geval van normale opvolging en vrijwillig ontslag blijft de Europese Toezichthouder voor gegevensbescherming in functie totdat in zijn vervanging is voorzien.
7. De artikelen 12 tot en met 15 en 18 van het Protocol betreffende de voorrechten en immuniteiten van de Europese Gemeenschappen gelden eveneens voor de Europese Toezichthouder voor gegevensbescherming.
8. De leden 2 tot en met 7 gelden tevens voor de adjunct-toezichthouder.
Artikel 3
Statuut en algemene voorwaarden voor de uitoefening van het ambt van de Europese Toezichthouder voor gegevensbescherming, personeel en financiële middelen
1. Het Europees Parlement, de Raad en de Commissie stellen in onderlinge overeenstemming het statuut en de algemene voorwaarden voor de uitoefening van het ambt van Europese Toezichthouder voor gegevensbescherming vast, en met name zijn salaris, toelagen en elk in de plaats van een bezoldiging komend voordeel.
2. De Begrotingsautoriteit draagt er zorg voor dat de Europese Toezichthouder voor gegevensbescherming over de voor de uitvoering van zijn taken benodigde personele en financiële middelen beschikt.
3. De begroting van de Europese Toezichthouder voor gegevensbescherming valt onder een specifieke begrotingslijn van afdeling VIII van de algemene begroting van de Europese Unie.
4. De Europese Toezichthouder voor gegevensbescherming wordt bijgestaan door een secretariaat. De Europese Toezichthouder voor gegevensbescherming benoemt de ambtenaren en andere personeelsleden van het secretariaat en is hun hiërarchische meerdere. Deze personeelsleden staan uitsluitend onder zijn leiding. Hun aantal wordt ieder jaar in het kader van de begrotingsprocedure vastgesteld.
5. De ambtenaren en de andere personeelsleden van het secretariaat van de Europese Toezichthouder voor gegevensbescherming zijn onderworpen aan de verordeningen en regelingen die van toepassing zijn op de ambtenaren en andere personeelsleden van de Europese Gemeenschappen.
6. Ten aanzien van vraagstukken betreffende zijn personeel wordt de Europese Toezichthouder voor gegevensbescherming gelijkgesteld met de instellingen in de zin van artikel 1 van het Statuut van de ambtenaren van de Europese Gemeenschappen.
Artikel 44
Onafhankelijkheid
1. De Europese Toezichthouder voor gegevensbescherming handelt in de uitoefening van zijn taken volkomen onafhankelijk.
2. Bij de vervulling van zijn taken vraagt noch aanvaardt de Europese Toezichthouder voor gegevensbescherming van wie dan ook instructies.
3. De Europese Toezichthouder voor gegevensbescherming onthoudt zich van alle handelingen die onverenigbaar zijn met zijn taken en verricht gedurende zijn ambtstermijn geen andere, al dan niet bezoldigde beroepswerkzaamheden.
4. Bij het aanvaarden van functies en voordelen na beëindiging van zijn ambt betracht de Europese Toezichthouder voor gegevensbescherming eerlijkheid en kiesheid.
Artikel 45
Beroepsgeheim
Ten aanzien van de vertrouwelijke informatie die hun bij de vervulling van hun officiële taken ter kennis is gekomen geldt voor de Europese Toezichthouder voor gegevensbescherming en zijn personeel zowel tijdens de uitoefening van hun ambt als daarna het beroepsgeheim.
Artikel 46
Taken
De Europese Toezichthouder voor gegevensbescherming:
a) hoort klachten aan en onderzoekt deze, en stelt de betrokkenen binnen een redelijke termijn in kennis van het resultaat van zijn onderzoek,
b) stelt op eigen initiatief of op basis van klachten onderzoeken in, en stelt de betrokkenen binnen een redelijke termijn in kennis van het resultaat;
c) ziet toe op en zorgt voor de toepassing van de bepalingen van deze verordening en van elk ander communautair besluit betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door een communautaire instelling of door een communautair orgaan, met uitzondering van het Hof van Justitie van de Europese Gemeenschappen bij de uitoefening van zijn jurisdictionele taak;
d) adviseert op eigen initiatief of in het kader van een raadpleging alle communautaire instellingen of organen in verband met alle aangelegenheden betreffende de verwerking van persoonsgegevens, met name alvorens zij interne voorschriften betreffende de bescherming van fundamentele rechten en vrijheden met het oog op de verwerking van persoonsgegevens opstellen;
e) volgt de relevante ontwikkelingen voorzover deze de bescherming van persoonsgegevens beïnvloeden, met name de ontwikkeling van de informatie- en communicatietechnologieën;
f) i) werkt samen met de in artikel 28 van Richtlijn 95/46/EG bedoelde nationale toezichthoudende autoriteiten van de landen waarop die richtlijn van toepassing is voorzover dat voor de uitoefening van hun onderscheiden taken nodig is, met name door uitwisseling van alle nuttige informatie, door een dergelijke autoriteit of een dergelijk orgaan te verzoeken zijn bevoegdheden uit te oefenen of door te reageren op een verzoek van een dergelijke autoriteit of een dergelijk orgaan;
ii) werkt eveneens samen met de uit hoofde van titel VI van het Verdrag betreffende de Europese Unie ingestelde toezichthoudende organen voor de bescherming van persoonsgegevens, met name om de samenhang te verbeteren bij de toepassing van de regels en procedures, met de zorg voor de eerbiediging waarvan die organen zijn belast;
g) neemt deel aan de werkzaamheden van de bij artikel 29 van Richtlijn 95/46/EG opgerichte Groep voor de bescherming van personen in verband met de verwerking van persoonsgegevens;
h) bepaalt, motiveert en publiceert de in artikel 10, lid 2, onder b), artikel 10, leden 4, 5 en 6, artikel 12, lid 2, artikel 19, en artikel 37, lid 2, bedoelde uitzonderingen, waarborgen, machtigingen en voorwaarden;
i) houdt van de verwerkingen waarvan hem overeenkomstig artikel 27, lid 2, kennis is gegeven en die overeenkomstig artikel 27, lid 5, geregistreerd zijn, een register bij en stelt de middelen ter beschikking om toegang te verkrijgen tot de overeenkomstig artikel 26 door de functionarissen voor gegevensbescherming bijgehouden registers;
j) voert met betrekking tot de verwerkingen waarvan hem kennis is gegeven, een voorafgaand onderzoek uit;
k) stelt zijn reglement van orde vast.
Artikel 47
Bevoegdheden
1. De Europese Toezichthouder voor gegevensbescherming kan:
a) betrokkenen bijstaan bij de uitoefening van hun rechten;
b) indien schending van de bepalingen betreffende de verwerking van persoonsgegevens wordt gemeld, de aangelegenheid voorleggen aan de verantwoordelijke voor de verwerking en, eventueel, voorstellen doen om aan de schending een einde te maken en de bescherming van de betrokkenen te verbeteren;
c) de inwilliging gelasten van verzoeken om uitoefening van bepaalde met die gegevens samenhangende rechten, wanneer die verzoeken, in strijd met de artikelen 13 tot en met 19, zijn geweigerd;
d) tot de verantwoordelijke voor de verwerking een waarschuwing of berisping richten;
e) de rectificatie, afscherming, wissing of vernietiging van alle gegevens gelasten indien deze in strijd met de bepalingen betreffende de verwerking van persoonsgegevens verwerkt zijn, en gelasten dat van dergelijke handelingen mededeling wordt gedaan aan derden aan wie de gegevens verstrekt zijn;
f) een tijdelijk of definitief verwerkingsverbod opleggen;
g) de zaak aan de betrokken communautaire instelling of het betrokken communautaire orgaan en zo nodig aan het Europees Parlement, de Raad en de Commissie rapporteren;
h) het Hof van Justitie van de Europese Gemeenschappen adiëren onder de in het Verdrag bedoelde voorwaarden;
i) tussenkomen in vorderingen die bij het Hof van Justitie van de Europese Gemeenschappen aanhangig zijn gemaakt.
2. De Europese Toezichthouder voor gegevensbescherming is bevoegd om:
a) van een voor de verwerking verantwoordelijke of een communautaire instelling of communautair orgaan toegang te verkrijgen tot alle persoonsgegevens en tot alle informatie die voor zijn onderzoek nodig is;
b) toegang te verkrijgen tot alle lokaliteiten waar een voor de verwerking verantwoordelijke of een communautaire instelling of communautair orgaan werkzaam is, indien er redelijke gronden zijn om aan te nemen dat aldaar een onder deze verordening vallende activiteit wordt verricht.
Artikel 48
Activiteitenverslag
1. De Europese Toezichthouder voor gegevensbescherming dient jaarlijks bij het Europees Parlement, de Raad en de Commissie een verslag over zijn werkzaamheden in, dat gelijktijdig openbaar wordt gemaakt.
2. De Europese Toezichthouder legt het activiteitenverslag voor aan de overige communautaire instellingen en organen, die opmerkingen kunnen indienen met het oog op de eventuele bespreking van het verslag in het Europees Parlement, met name met betrekking tot de vermelding van de maatregelen die genomen zijn naar aanleiding van opmerkingen van de Europese Toezichthouder voor gegevensbescherming uit hoofde van artikel 31.
HOOFDSTUK VI
SLOTBEPALINGEN
Artikel 49
Sancties
De ambtenaar of een ander personeelslid van de Europese Gemeenschappen die, opzettelijk of uit nalatigheid, de bij of krachtens deze verordening op hem rustende verplichtingen niet nakomt, kan aan een tuchtmaatregel worden onderworpen overeenkomstig de bepalingen en procedures van het Statuut van de ambtenaren van de Europese Gemeenschappen of van de arbeidsvoorwaarden die op andere personeelsleden van toepassing zijn.
Artikel 50
Overgangstermijn
De communautaire instellingen en de communautaire organen dragen er zorg voor dat verwerkingen die op de datum van de inwerkingtreding van deze verordening aan de gang zijn, binnen één jaar na die datum aan deze verordening beantwoorden.
Artikel 51
Inwerkingtreding
Deze verordening treedt in werking op de twintigste dag volgende op die van haar bekendmaking in het Publicatieblad van de Europese Gemeenschappen.
Deze verordening is verbindend in al haar onderdelen en is rechtstreeks toepasselijk in elke lidstaat.
Gedaan te Brussel, 18 december 2000.