Europa-Parlamentets og Rådets forordning (EF) nr. 45/2001
af 18. december 2000
om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i fællesskabsinstitutionerne og -organerne og om fri udveksling af sådanne oplysninger
EUROPA-PARLAMENTET OG RÅDET FOR DEN EUROPÆISKE UNION HAR -
under henvisning til traktaten om oprettelse af Det Europæiske Fællesskab, særlig artikel 286,
under henvisning til forslag fra Kommissionen(1),
under henvisning til udtalelse fra Det Økonomiske og Sociale Udvalg(2),
efter proceduren i traktatens artikel 251(3), og
ud fra følgende betragtninger:
(1) Traktatens artikel 286 bestemmer, at fællesskabsretsakter om beskyttelse af fysiske personer i forbindelse med behandling og fri udveksling af personoplysninger gælder for fællesskabsinstitutionerne og -organerne.
(2) En fuldt udviklet ordning for beskyttelse af personoplysninger kræver ikke blot, at der fastlægges rettigheder for de registrerede og forpligtelser for dem, som behandler personoplysningerne, men også, at der indføres passende sanktioner over for dem, som ikke overholder bestemmelserne, og at der oprettes en uafhængig kontrolmyndighed.
(3) I henhold til traktatens artikel 286, stk. 2, skal der oprettes en uafhængig kontrolinstans, der skal have ansvaret for at overvåge gennemførelsen af sådanne fællesskabsretsakter i Fællesskabets institutioner og organer.
(4) I henhold til traktatens artikel 286, stk. 2, skal der om nødvendigt vedtages andre relevante bestemmelser.
(5) En forordning er nødvendig for at give den enkelte rettigheder, der kan håndhæves retsligt, og for at gøre det klart, hvilke forpligtelser der påhviler de registeransvarlige inden for fællesskabsinstitutionerne og -organerne i forbindelse med behandling af personoplysninger, samt for at oprette en uafhængig kontrolmyndighed, som skal have ansvaret for overvågningen af behandlingen af personoplysninger i fællesskabsinstitutionerne og -organerne.
(6) Gruppen vedrørende Beskyttelse af Personer i forbindelse med Behandling af Personoplysninger, der er nedsat ved artikel 29 i Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger(4), er blevet hørt.
(7) De personer, der kan beskyttes, er dem, hvis personoplysninger behandles af fællesskabsinstitutioner eller -organer, uanset hvilken sammenhæng der er tale om, f.eks. fordi de pågældende er ansat i disse institutioner eller organer.
(8) Principperne om databeskyttelse bør gælde for alle former for oplysninger om en identificeret eller identificerbar person. Til bestemmelse af, om en person er identificerbar, bør alle de midler tages i betragtning, der inden for rimelighedens grænser vil kunne benyttes af enten den registeransvarlige eller enhver anden person til at identificere den pågældende person. Principperne om beskyttelse bør ikke gælde personoplysninger, der er gjort anonyme på en sådan måde, at den registrerede ikke længere er identificerbar.
(9) Direktiv 95/46/EF kræver af medlemsstaterne, at de sikrer beskyttelse af fysiske personers grundlæggende rettigheder og frihedsrettigheder, især retten til privatlivets fred, i forbindelse med behandling af personoplysninger for at sikre fri udveksling af personoplysninger i Fællesskabet.
(10) Europa-Parlamentets og Rådets direktiv 97/66/EF af 15. december 1997 om behandling af personoplysninger og beskyttelse af privatlivets fred inden for telesektoren(5) uddyber og supplerer direktiv 95/46/EF med hensyn til behandling af personoplysninger inden for telesektoren.
(11) Forskellige andre fællesskabsforanstaltninger, bl.a. dem, der er vedtaget som led i den gensidige bistand mellem medlemsstaternes offentlige myndigheder og Kommissionen, tager ligeledes sigte på at uddybe og supplere direktiv 95/46/EF inden for de sektorer, de vedrører.
(12) Det bør sikres, at reglerne for beskyttelse af fysiske personers grundlæggende rettigheder og frihedsrettigheder i forbindelse med behandling af personoplysninger anvendes konsekvent og ensartet overalt i Fællesskabet.
(13) Sigtet er at garantere både en effektiv overholdelse af reglerne for beskyttelse af fysiske personers grundlæggende rettigheder og frihedsrettigheder og fri udveksling af personoplysninger mellem medlemsstaterne og fællesskabsinstitutionerne og -organerne og mellem fællesskabsinstitutionerne og -organerne indbyrdes som led i udøvelsen af deres respektive beføjelser.
(14) For at opnå dette bør der vedtages bestemmelser, som er bindende for fællesskabsinstitutionerne og -organerne. Sådanne bestemmelser bør gælde for enhver form for behandling af personoplysninger, der finder sted i alle fællesskabsinstitutioner og -organer, i det omfang denne behandling er iværksat som led i udøvelsen af aktiviteter, som helt eller delvis hører under fællesskabsrettens anvendelsesområde.
(15) Når denne behandling finder sted i fællesskabsinstitutioner og -organer som led i udøvelsen af aktiviteter, som ikke hører under denne forordnings anvendelsesområde, navnlig de aktiviteter, der er omhandlet i afsnit V og VI i traktaten om Den Europæiske Union, sikres beskyttelsen af fysiske personers grundlæggende rettigheder og frihedsrettigheder under overholdelse af artikel 6 i traktaten om Den Europæiske Union. Aktindsigt, herunder betingelserne for aktindsigt i dokumenter, som indeholder personoplysninger, hører under de bestemmelser, der er vedtaget på grundlag af traktatens artikel 255, hvis anvendelsesområde også omfatter afsnit V og VI i traktaten om Den Europæiske Union.
(16) Disse bestemmelser finder ikke anvendelse på organer, der er oprettet uden for Fællesskabernes rammer, og den europæiske tilsynsførende for databeskyttelse er ikke bemyndiget til at kontrollere sådanne organers behandling af personoplysninger.
(17) En effektiv beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionen forudsætter sammenhæng mellem de regler og procedurer, som finder anvendelse på de aktiviteter, der henhører under de forskellige retlige rammer. Første etape i denne proces omfatter udarbejdelse af grundlæggende principper for beskyttelse af personoplysninger på området retligt samarbejde i kriminalsager og politi- og toldsamarbejde samt oprettelse af et sekretariat for de fælles kontrolmyndigheder, der er nedsat ved Europol-konventionen, konventionen om brug af informationsteknologi på toldområdet og Schengen-konventionen.
(18) Denne forordning bør ikke berøre medlemsstaternes rettigheder og forpligtelser i henhold til direktiv 95/46/EF og 97/66/EF. Den har ikke til formål at ændre de procedurer og den praksis, der retmæssigt er gennemført af den enkelte medlemsstat med hensyn til nationens sikkerhed, forebyggelse af uro samt forebyggelse og efterforskning af, sikring af bevis for og retsforfølgning af straffelovsovertrædelser under overholdelse af bestemmelserne i protokollen vedrørende De Europæiske Fællesskabers privilegier og immuniteter samt folkeretten.
(19) Fællesskabsinstitutionerne og -organerne skal henvende sig til de ansvarlige myndigheder i medlemsstaterne, når de mener, at der bør foretages indgreb i meddelelseshemmeligheden på deres telekommunikationsnet i overensstemmelse med de gældende nationale bestemmelser.
(20) De bestemmelser, der gælder for fællesskabsinstitutionerne og -organerne, bør svare til dem, der gælder i forbindelse med harmonisering af national lovgivning eller ved gennemførelse af andre af Fællesskabets politikker, f.eks. inden for gensidig bistand. Det kan dog være nødvendigt at uddybe og supplere bestemmelserne for at gennemføre beskyttelsen i forbindelse med behandling af personoplysninger i fællesskabsinstitutionerne og -organerne.
(21) Dette gælder såvel for de rettigheder, der tilkommer de fysiske personer, hvis personoplysninger gøres til genstand for behandling, som for de forpligtelser, der påhviler de fællesskabsinstitutioner og -organer, der udfører behandlingen, og for de beføjelser, der tildeles den uafhængige kontrolmyndighed, som skal have ansvaret for at overvåge, at denne forordning anvendes korrekt.
(22) De rettigheder, der tildeles den registrerede, og udøvelsen af disse rettigheder bør ikke berøre de forpligtelser, der påhviler den registeransvarlige.
(23) Den uafhængige kontrolmyndighed udøver sine kontrolopgaver i overensstemmelse med traktaten og under overholdelse af menneskerettighederne og de grundlæggende frihedsrettigheder. Den udfører sine undersøgelser under overholdelse af protokollen vedrørende De Europæiske Fællesskabers privilegier og immuniteter og vedtægten for tjenestemænd i De Europæiske Fællesskaber og ansættelsesvilkårene for de øvrige ansatte i Fællesskaberne.
(24) Der bør vedtages passende tekniske foranstaltninger, der gør det muligt via den uafhængige kontrolmyndighed at få adgang til de databeskyttelsesansvarliges registre over behandlinger.
(25) Den uafhængige kontrolmyndigheds afgørelser vedrørende undtagelser fra, garantier for, godkendelse af eller betingelser for behandling af personoplysninger, således som de er defineret i denne forordning, offentliggøres i årsberetningen. Ud over offentliggørelsen af årsberetningen kan den uafhængige kontrolmyndighed offentliggøre rapporter om specifikke emner.
(26) Visse former for behandling, der kan udgøre en særlig risiko for de registreredes rettigheder og frihedsrettigheder, kontrolleres på forhånd af den uafhængige kontrolmyndighed. Den udtalelse, der afgives i forbindelse med denne forhåndskontrol, herunder den udtalelse, der følger af en manglende besvarelse inden for den fastsatte frist, bør ikke berøre den uafhængige kontrolmyndigheds muligheder for senere at udøve sine beføjelser med hensyn til den pågældende behandling.
(27) Behandling af personoplysninger, som sker til udførelse af de opgaver, fællesskabsinstitutionerne og -organerne udfører i samfundets interesse, omfatter enhver behandling af personoplysninger, der er nødvendig af hensyn til administrationen af disse institutioner og organer og deres funktion.
(28) I en række tilfælde fastsættes det i denne forordning, at tilladelse til behandling af personoplysninger skal følge af fællesskabsretten eller bestemmelser til gennemførelse heraf. Dog kan den europæiske tilsynsførende, hvis sådanne bestemmelser ikke findes, og indtil de vedtages, midlertidigt give tilladelse til behandling af sådanne personoplysninger på betingelse af, at der vedtages de fornødne garantier. Med henblik herpå tager den tilsynsførende især hensyn til de bestemmelser, medlemsstaterne har vedtaget for tilsvarende tilfælde.
(29) Disse tilfælde vedrører behandling af personoplysninger vedrørende racemæssig eller etnisk baggrund, politisk, religiøs eller filosofisk overbevisning, fagforeningsmæssigt tilhørsforhold og oplysninger om helbredsforhold og seksuelle forhold, som er nødvendige af hensyn til overholdelsen af den registeransvarliges forpligtelser og rettigheder på beskæftigelsesområdet eller af grunde, der vedrører hensynet til vigtige samfundsinteresser. Det drejer sig endvidere om behandling af personoplysninger vedrørende lovovertrædelser, domfældelser i straffesager og andre retsfølger af en strafbar handling, eller om tilladelse til at lade den registrerede være undergivet en afgørelse, der har retsvirkning for ham, eller som berører ham i væsentlig grad, og som alene er truffet på grundlag af en edb-baseret behandling af personoplysninger med henblik på at vurdere bestemte aspekter af hans personlige forhold.
(30) For at forhindre ikke-autoriseret brug kan det være nødvendigt at føre tilsyn med de edb-net, der drives under en fællesskabsinstitutions eller et fællesskabsorgans ansvar. Den europæiske tilsynsførende for databeskyttelse fastsætter, hvorvidt og på hvilke betingelser dette kan ske.
(31) Ansvar for overtrædelse af denne forordning falder ind under traktatens artikel 288, stk. 2.
(32) En eller flere databeskyttelsesansvarlige påser i hver fællesskabsinstitution og hvert fællesskabsorgan, at bestemmelserne i denne forordning finder anvendelse, og rådgiver de registeransvarlige under opfyldelsen af deres forpligtelser.
(33) Rådets forordning (EF) nr. 322/97 af 17. februar 1997 om EF-statistikker(6) gælder i henhold til dens artikel 21 med forbehold af direktiv 95/46/EF.
(34) Rådets forordning (EF) nr. 2533/98 af 23. november 1998 om Den Europæiske Centralbanks indsamling af statistisk information(7) gælder i henhold til dens artikel 8, stk. 8, med forbehold af direktiv 95/46/EF.
(35) Rådets forordning (Euratom, EØF) nr. 1588/90 af 11. juni 1990 om fremsendelse af fortrolige statistiske oplysninger til De Europæiske Fællesskabers Statistiske Kontor(8) berører ikke særlige fællesskabsbestemmelser eller nationale bestemmelser om hemmeligholdelse bortset fra hemmeligholdelse af statistiske oplysninger, jf. dens artikel 1, stk. 2.
(36) Denne forordning har ikke til formål at begrænse medlemsstaternes råderum for så vidt angår udfærdigelse af deres nationale lovgivning om databeskyttelse, som vedtages i medfør af artikel 32 i direktiv 95/46/EF, i overensstemmelse med traktatens artikel 249 -
UDSTEDT FØLGENDE FORORDNING:
KAPITEL I
ALMINDELIGE BESTEMMELSER
Artikel 1
Forordningens formål
1. De institutioner og organer, som er oprettet ved eller på grundlag af traktaterne om oprettelse af De Europæiske Fællesskaber, i det følgende benævnt "fællesskabsinstitutioner og -organer", sikrer i overensstemmelse med denne forordning beskyttelsen af fysiske personers grundlæggende rettigheder og frihedsrettigheder, især retten til privatlivets fred, i forbindelse med behandling af personoplysninger, uden hverken at begrænse eller forhindre den frie udveksling af personoplysninger indbyrdes eller til modtagere, der er undergivet den nationale lovgivning i medlemsstaterne, der er vedtaget i medfør af direktiv 95/46/EF.
2. Den uafhængige kontrolmyndighed, som oprettes ved denne forordning (i det følgende benævnt "europæisk tilsynsførende for databeskyttelse"), påser, at denne forordnings bestemmelser overholdes i forbindelse med alle de behandlinger af personoplysninger, der finder sted i en fællesskabsinstitution eller et fællesskabsorgan.
Artikel 2
Definitioner
I denne forordning forstås ved:
a) "personoplysninger": enhver form for information om en identificeret eller identificerbar fysisk person (i det følgende benævnt "den registrerede"); ved identificerbar person forstås en person, som direkte eller indirekte kan identificeres, bl.a. ved et identifikationsnummer eller et eller flere elementer, der er særlige for denne persons fysiske, fysiologiske, psykiske, økonomiske, kulturelle eller sociale identitet
b) "behandling af personoplysninger" (i det følgende benævnt "behandling"): enhver operation eller række af operationer, med eller uden brug af elektronisk databehandling, som personoplysninger gøres til genstand for, f.eks. indsamling, registrering, systematisering, opbevaring, tilpasning eller ændring, selektion, søgning, brug, videregivelse ved transmission, formidling eller enhver form for overdragelse, sammenstilling eller samkøring samt blokering, sletning eller tilintetgørelse
c) "register med personoplysninger" (i det følgende benævnt "register"): enhver struktureret samling af personoplysninger, der er tilgængelige efter bestemte kriterier, hvad enten denne samling er placeret centralt eller decentralt eller er fordelt på et funktionsbestemt eller geografisk grundlag
d) "den registeransvarlige": den fællesskabsinstitution eller det fællesskabsorgan, det generaldirektorat, det kontor eller enhver anden organisatorisk enhed, som alene eller sammen med andre afgør, til hvilket formål og med hvilke hjælpemidler der må foretages behandling af personoplysninger; er formålet med og hjælpemidlerne ved behandlingen fastlagt ved en bestemt fællesskabsretsakt, kan den registeransvarlige eller de specifikke kriterier for udpegning af denne fremgå af denne fællesskabsretsakt
e) "registerfører": den fysiske eller juridiske person, offentlige myndighed, instans eller ethvert andet organ, som behandler personoplysninger på den registeransvarliges vegne
f) "tredjemand": en anden fysisk eller juridisk person, offentlig myndighed eller instans eller ethvert andet organ end den registrerede, den registeransvarlige, registerføreren og de personer under den registeransvarliges eller registerførerens direkte myndighed, som er beføjet til at behandle personoplysningerne
g) "modtager": den fysiske eller juridiske person, offentlige myndighed eller instans eller ethvert andet organ, hvortil personoplysningerne meddeles, uanset om der er tale om en tredjemand; myndigheder, som vil kunne få meddelt personoplysninger som led i en særlig undersøgelse, betragtes ikke som modtagere
h) "den registreredes samtykke": enhver frivillig, specifik og informeret viljestilkendegivelse, hvorved den registrerede indvilliger i, at personoplysninger, der vedrører den pågældende selv, gøres til genstand for behandling.
Artikel 3
Anvendelsesområde
1. Denne forordning anvendes på behandling af personoplysninger, som finder sted i samtlige fællesskabsinstitutioner og -organer, i det omfang denne behandling er iværksat som led i udøvelsen af aktiviteter, der helt eller delvis hører under fællesskabsrettens anvendelsesområde.
2. Denne forordning anvendes på behandling af personoplysninger, som helt eller delvis foretages ved hjælp af edb, samt på ikke-elektronisk behandling af personoplysninger, der er eller vil blive indeholdt i et register.
KAPITEL II
ALMINDELIGE BETINGELSER FOR LOVLIG BEHANDLING AF PERSONOPLYSNINGER
AFDELING 1
PRINCIPPER VEDRØRENDE OPLYSNINGERNES PÅLIDELIGHED
Artikel 4
Oplysningernes pålidelighed
1. Personoplysninger:
a) skal behandles loyalt og lovligt
b) skal indsamles til udtrykkeligt angivne og legitime formål og må ikke senere gøres til genstand for behandling, som er uforenelig med disse formål. Senere behandling til historiske, statistiske eller videnskabelige formål anses ikke for at være uforenelig med disse formål, såfremt den registeransvarlige giver de fornødne garantier, især til sikring af, at personoplysningerne ikke behandles til andre formål, og at de ikke anvendes til støtte for foranstaltninger eller beslutninger, der berører bestemte enkeltpersoner
c) skal være tilstrækkelige og relevante og ikke omfatte mere end, hvad der kræves til opfyldelse af de formål, hvortil de indsamles, og de formål, hvortil de senere behandles
d) skal være korrekte og om nødvendigt ajourførte; der træffes alle rimelige foranstaltninger for at slette eller berigtige personoplysninger, der er urigtige eller ufuldstændige i forhold til de formål, hvortil de indsamles, eller de formål, hvortil de senere behandles
e) skal opbevares på en sådan måde, at det ikke er muligt at identificere de registrerede i et længere tidsrum end det, der er nødvendigt af hensyn til de formål, hvortil personoplysningerne indsamles, eller de formål, hvortil de senere behandles. Fællesskabsinstitutionen eller -organet fastsætter, at personoplysninger, der til historiske, statistiske eller videnskabelige formål skal opbevares i længere tid end ovennævnte periode, enten kun opbevares i en form, der gør dem anonyme, eller, hvis dette er umuligt, kun opbevares, såfremt den pågældende persons identitet kryptograferes. Personoplysningerne må under ingen omstændigheder benyttes til andre formål end historiske, statistiske eller videnskabelige.
2. Det påhviler den registeransvarlige at sikre, at stk. 1 overholdes.
AFDELING 2
KRITERIER FOR LEGITIM BEHANDLING AF PERSONOPLYSNINGER
Artikel 5
Lovlig behandling af personoplysninger
Behandling af personoplysninger må kun finde sted, hvis:
a) behandlingen er nødvendig af hensyn til udførelsen af en opgave i samfundets interesse på grundlag af traktaterne om oprettelse af De Europæiske Fællesskaber eller andre retsakter vedtaget på grundlag af disse traktater, eller som retmæssigt hører under offentlig myndighedsudøvelse, som er pålagt fællesskabsinstitutionen eller -organet eller en tredjemand, til hvem personoplysningerne videregives, eller
b) behandlingen er nødvendig for at overholde en retlig forpligtelse, som påhviler den registeransvarlige, eller
c) behandlingen er nødvendig af hensyn til opfyldelsen af en kontrakt, som den registrerede er part i, eller af hensyn til gennemførelsen af foranstaltninger, der træffes på den registreredes anmodning forud for indgåelsen af en sådan kontrakt, eller
d) den registrerede utvetydigt har givet sit samtykke, eller
e) behandlingen er nødvendig for at beskytte den registreredes vitale interesser.
Artikel 6
Ændring af formålet
Med forbehold af artikel 4, 5 og 10:
1) Må behandling af personoplysninger til andre formål end dem, hvortil de indsamles, kun finde sted, hvis ændring af behandlingsformålet udtrykkeligt er tilladt i henhold til fællesskabsinstitutionens eller -organets interne regler.
2) Må personoplysninger, der alene indsamles med det formål at varetage sikkerheden i eller føre kontrol med behandlingssystemer eller behandlingsoperationer, ikke anvendes til andre formål, med undtagelse af forebyggelse og efterforskning af, sikring af bevis for og retsforfølgning af alvorlige straffelovsovertrædelser.
Artikel 7
Videregivelse af personoplysninger inden for og mellem fællesskabsinstitutioner og -organer
Med forbehold af artikel 4, 5, 6 og 10:
1) Må personoplysninger kun videregives inden for eller til andre fællesskabsinstitutioner og -organer, hvis de er nødvendige af hensyn til den retmæssige udførelse af opgaver, der hører under modtagerens kompetenceområde.
2) Bærer både den registeransvarlige og modtageren ansvaret for lovligheden af videregivelsen af personoplysningerne, når denne videregivelse finder sted efter anmodning fra modtageren.
Den registeransvarlige har pligt til at kontrollere modtagerens kompetenceområde og til at foretage en foreløbig vurdering af nødvendigheden af videregivelsen af personoplysningerne. Hvis der opstår tvivl om nødvendigheden, skal den registeransvarlige indhente yderligere information hos modtageren.
Modtageren skal sikre, at nødvendigheden af videregivelsen af personoplysningerne efterfølgende kan kontrolleres.
3) Må modtageren kun gøre personoplysningerne til genstand for behandling til de formål, hvortil de er videregivet.
Artikel 8
Videregivelse af personoplysninger til modtagere, som ikke er fællesskabsinstitutioner eller -organer, men som er undergivet direktiv 95/46/EF
Med forbehold af artikel 4, 5, 6 og 10 må personoplysninger kun videregives til modtagere, som er undergivet den nationale lovgivning, der er vedtaget i medfør af direktiv 95/46/EF:
a) hvis modtageren godtgør, at personoplysningerne er nødvendige for at udføre en opgave, der er i samfundets interesse, eller for at udøve offentlig myndighed, eller
b) hvis modtageren godtgør nødvendigheden af videregivelsen af personoplysningerne, og der ikke er grund til at formode, at den registreredes legitime interesser vil kunne lide skade derved.
Artikel 9
Videregivelse af personoplysninger til modtagere, som ikke er fællesskabsinstitutioner eller -organer, og som ikke er undergivet direktiv 95/46/EF
1. Videregivelse af personoplysninger til modtagere, som ikke er fællesskabsinstitutioner eller -organer, og som ikke er undergivet national lovgivning, der er vedtaget i medfør af direktiv 95/46/EF, må kun finde sted, hvis modtagerens land eller den modtagende internationale organisation sikrer et tilstrækkeligt beskyttelsesniveau, og personoplysningerne alene videregives med henblik på udførelse af opgaver, der ligger inden for den registeransvarliges kompetenceområde.
2. Vurderingen af, om beskyttelsesniveauet i det pågældende tredjeland eller den pågældende internationale organisation er tilstrækkeligt, sker på grundlag af alle de forhold, der har indflydelse på videregivelse eller en kategori af videregivelse af oplysninger. Til grund for vurderingen lægges navnlig personoplysningernes art, den eller de påtænkte behandlingers formål og varighed, det endelige bestemmelsessted (tredjeland eller international organisation), de retsregler (almindelige regler eller sektorregler), der er gældende i det pågældende tredjeland eller gælder for den pågældende internationale organisation, samt de regler for god forretningsskik og de sikkerhedsforanstaltninger, der gælder i dette tredjeland eller denne internationale organisation.
3. Fællesskabsinstitutionerne og -organerne underretter Kommissionen og den europæiske tilsynsførende for databeskyttelse, hvis de finder, at det pågældende tredjeland eller den pågældende internationale organisation ikke sikrer et tilstrækkeligt beskyttelsesniveau i overensstemmelse med stk. 2.
4. Kommissionen underretter medlemsstaterne om de i stk. 3 omhandlede tilfælde.
5. Fællesskabsinstitutionerne og -organerne træffer de foranstaltninger, der er nødvendige for at efterkomme de afgørelser, Kommissionen træffer, når den ved anvendelse af artikel 25, stk. 4 og 6, i direktiv 95/46/EF konstaterer, at et tredjeland eller en international organisation sikrer eller ikke sikrer et tilstrækkeligt beskyttelsesniveau.
6. Uanset stk. 1 og 2 kan fællesskabsinstitutionen eller -organet videregive personoplysninger, hvis:
a) den registrerede utvetydigt har givet sit samtykke til den påtænkte videregivelse, eller
b) videregivelsen er nødvendig af hensyn til opfyldelsen af en kontrakt mellem den registrerede og den registeransvarlige eller af hensyn til gennemførelsen af foranstaltninger, der træffes på den registreredes anmodning forud for indgåelsen af en sådan kontrakt, eller
c) videregivelsen er nødvendig af hensyn til indgåelsen eller udførelsen af en kontrakt, der i den registreredes interesse er indgået mellem den registeransvarlige og tredjemand, eller
d) videregivelsen er nødvendig eller følger af retsregler for at beskytte en vigtig samfundsinteresse eller for, at et retskrav kan fastslås, gøres gældende eller forsvares ved en domstol, eller
e) videregivelsen er nødvendig for at beskytte den registreredes vitale interesser, eller
f) videregivelsen finder sted fra et register, som ifølge fællesskabsretten er beregnet til at informere offentligheden, og som er tilgængeligt for offentligheden generelt eller for enhver, der kan godtgøre at have en legitim interesse heri, i det omfang de i fællesskabsretten fastsatte betingelser for offentlig tilgængelighed er opfyldt i det pågældende tilfælde.
7. Med forbehold af stk. 6 kan den europæiske tilsynsførende for databeskyttelse give tilladelse til videregivelse eller en kategori af videregivelse af personoplysninger til et tredjeland eller en organisation, som ikke sikrer et tilstrækkeligt beskyttelsesniveau i henhold til stk. 1 og 2, hvis den registeransvarlige giver tilstrækkelige garantier med hensyn til beskyttelse af privatlivets fred og af fysiske personers grundlæggende rettigheder og frihedsrettigheder, samt med hensyn til udøvelsen af de dermed forbundne rettigheder; disse garantier kan bl.a. fremgå af relevante kontraktbestemmelser.
8. Fællesskabsinstitutionerne og -organerne underretter den europæiske tilsynsførende for databeskyttelse om de kategorier af tilfælde, hvor de har anvendt stk. 6 og 7.
AFDELING 3
SÆRLIGE KATEGORIER AF BEHANDLINGER
Artikel 10
Behandling vedrørende særlige kategorier af personoplysninger
1. Behandling af personoplysninger vedrørende racemæssig eller etnisk baggrund, politisk, religiøs eller filosofisk overbevisning, fagforeningsmæssigt tilhørsforhold og behandling af personoplysninger vedrørende helbredsforhold og seksuelle forhold er forbudt.
2. Stk. 1 finder ikke anvendelse, hvis:
a) den registrerede udtrykkeligt har givet sit samtykke til en sådan behandling, medmindre det i fællesskabsinstitutionens eller -organets interne regler er fastsat, at forbuddet i stk. 1 ikke kan ophæves ved den registreredes samtykke, eller
b) behandlingen er nødvendig af hensyn til overholdelsen af den registeransvarliges forpligtelser og specifikke rettigheder på det arbejdsretlige område, i det omfang dette er tilladt i henhold til traktaterne om oprettelse af De Europæiske Fællesskaber eller andre retsakter vedtaget på grundlag af disse traktater, eller, om nødvendigt, i det omfang behandlingen er godkendt af den europæiske tilsynsførende for databeskyttelse og under forudsætning af de fornødne garantier, eller
c) behandlingen er nødvendig for at beskytte den registreredes eller en anden persons vitale interesser i tilfælde, hvor den pågældende fysisk eller retligt ikke er i stand til at give sit samtykke, eller
d) behandlingen vedrører personoplysninger, som klart er offentliggjort af den registrerede, eller den er nødvendig for, at et retskrav kan fastslås, gøres gældende eller forsvares ved en domstol, eller
e) behandlingen foretages af et almennyttigt organ, som er en organisatorisk enhed, der er integreret i en fællesskabsinstitution eller et fællesskabsorgan, og som ikke er omfattet af de nationale bestemmelser om beskyttelse af oplysninger i medfør af artikel 4 i direktiv 95/46/EF, og hvis sigte er politisk, filosofisk, religiøs eller fagforeningsmæssigt, såfremt behandlingen sker som led i organets retmæssige aktiviteter og med de fornødne garantier, samt på betingelse af, at behandlingen alene vedrører organets medlemmer eller personer, der på grund af organets formål er i regelmæssig kontakt med det, og at personoplysningerne ikke videregives til tredjemand uden den registreredes samtykke.
3. Stk. 1 finder ikke anvendelse, hvis behandlingen af personoplysningerne er nødvendig med henblik på forebyggende lægeundersøgelser, medicinske diagnoser, sygepleje eller patientbehandling eller forvaltning af læge- og sundhedstjenester, og hvis behandlingen af disse personoplysninger foretages af en sundhedsperson, der har tavshedspligt, eller af en anden person med en tilsvarende tavshedspligt.
4. Med forbehold af tilstrækkelige garantier og af grunde, der vedrører hensynet til vigtige samfundsinteresser, kan der i traktaterne om oprettelse af De Europæiske Fællesskaber eller i andre retsakter vedtaget på grundlag af disse traktater eller, om nødvendigt, af den europæiske tilsynsførende for databeskyttelse fastsættes andre undtagelser end dem, der er nævnt i stk. 2.
5. Behandling af personoplysninger om lovovertrædelser, domfældelser i straffesager og andre retsfølger af en strafbar handling må kun foretages, hvis det er tilladt i henhold til traktaterne om oprettelse af De Europæiske Fællesskaber eller andre retsakter vedtaget på grundlag af disse traktater, eller, om nødvendigt, hvis det er tilladt af den europæiske tilsynsførende for databeskyttelse og under forudsætning af fornødne, specifikke garantier.
6. Den europæiske tilsynsførende for databeskyttelse fastsætter, på hvilke betingelser et personnummer eller et andet alment identifikationsmiddel kan gøres til genstand for behandling i en fællesskabsinstitution eller et fællesskabsorgan.
AFDELING 4
OPLYSNINGSPLIGT OVER FOR DEN REGISTREREDE
Artikel 11
Oplysningspligt, når personoplysningerne indsamles hos den registrerede
1. Den registeransvarlige giver den registrerede, hos hvem og om hvem der indsamles personoplysninger, mindst følgende informationer, medmindre den pågældende i forvejen er bekendt hermed:
a) den registeransvarliges identitet
b) formålene med den behandling, hvortil personoplysningerne er bestemt
c) modtagerne eller kategorierne af modtagere af personoplysningerne
d) om det er obligatorisk eller frivilligt at besvare spørgsmålene samt de mulige følger af at undlade at svare
e) retten til indsigt i og til berigtigelse af personoplysninger vedrørende den registrerede selv
f) alle yderligere informationer, f.eks.
i) retsgrundlaget for den behandling, hvortil personoplysningerne er bestemt
ii) tidsfristerne for opbevaring af personoplysningerne
iii) retten, til enhver tid, at henvende sig til den europæiske tilsynsførende for databeskyttelse
for så vidt disse yderligere informationer er nødvendige under hensyntagen til de konkrete omstændigheder, hvorunder personoplysningerne indsamles, for at garantere en loyal behandling af personoplysningerne i forhold til den registrerede.
2. Uanset stk. 1 kan oplysningspligten helt eller delvis udsættes, undtagen for så vidt angår de i stk. 1, litra a), b) og d), omhandlede informationer, så længe dette er nødvendigt af statistiske årsager. Oplysningspligten genindtræder, så snart grunden til, at informationerne ikke er givet, ikke længere er til stede.
Artikel 12
Oplysningspligt, når personoplysningerne ikke er indsamlet hos den registrerede
1. Når personoplysningerne ikke er indsamlet hos den registrerede, skal den registeransvarlige ved registreringen af personoplysningerne eller, hvis personoplysningerne påtænkes videregivet til tredjemand, senest når personoplysningerne første gang videregives, give den registrerede mindst følgende informationer, medmindre den pågældende i forvejen er bekendt hermed:
a) den registeransvarliges identitet
b) formålene med behandlingen
c) hvilken type personoplysninger der er tale om
d) modtagerne eller kategorierne af modtagere
e) retten til indsigt i og til berigtigelse af personoplysninger vedrørende den registrerede selv
f) alle yderligere informationer f.eks.:
i) retsgrundlaget for den behandling, hvortil personoplysningerne er bestemt
ii) tidsfristerne for opbevaring af personoplysningerne
iii) retten, til enhver tid, at rette henvendelse til den europæiske tilsynsførende for databeskyttelse
iv) hvor personoplysningerne stammer fra, medmindre den registeransvarlige ikke kan oplyse herom på grund af tavshedspligt
for så vidt disse yderligere informationer er nødvendige under hensyntagen til de konkrete omstændigheder, hvorunder personoplysningerne indsamles, for at garantere en loyal behandling af personoplysningerne i forhold til den registrerede.
2. Bestemmelserne i stk. 1 finder ikke anvendelse, hvis det, navnlig i forbindelse med behandling til statistiske formål eller med henblik på historisk eller videnskabelig forskning viser sig umuligt eller kræver en uforholdsmæssig stor indsats at give den registrerede disse informationer, eller hvis registreringen eller videregivelsen af personoplysningerne er udtrykkeligt hjemlet i fællesskabsretten. I så fald yder fællesskabsinstitutionen eller -organet de fornødne garantier efter at have hørt den europæiske tilsynsførende for databeskyttelse.
AFDELING 5
DEN REGISTREREDES RETTIGHEDER
Artikel 13
Ret til indsigt
Den registrerede har indtil tre måneder efter modtagelsen af anmodningen til enhver tid ret til hos den registeransvarlige uden begrænsning og vederlagsfrit at få oplyst:
a) om personoplysninger vedrørende den pågældende selv behandles eller ikke behandles
b) i det mindste hvad formålene med behandlingen er, hvilken type personoplysninger der er tale om, og hvilke modtagere eller kategorier af modtagere de videregives til
c) i letforståelig form, hvilke personoplysninger der er genstand for behandling, og alle foreliggende informationer om, hvor de stammer fra
d) hvilket logisk system der ligger til grund for enhver edb-baseret behandling af personoplysninger vedrørende den pågældende selv.
Artikel 14
Berigtigelse
Den registrerede har ret til at kræve, at den registeransvarlige omgående berigtiger urigtige eller ufuldstændige personoplysninger.
Artikel 15
Blokering
1. Den registrerede har ret til at kræve, at den registeransvarlige blokerer personoplysninger, hvis:
a) deres rigtighed bestrides af den registrerede, indtil den registeransvarlige har haft mulighed for at fastslå, om de er rigtige, herunder om de er fuldstændige, eller
b) den registeransvarlige ikke længere har behov for dem til udførelsen af sine opgaver, men de fortsat skal opbevares som bevismiddel, eller
c) behandlingen af dem er ulovlig, og den registrerede modsætter sig deres sletning og i stedet kræver, at de blokeres.
2. I edb-baserede registre sker blokering i princippet med tekniske hjælpemidler. Det forhold, at personoplysninger er blokeret, angives i registret på en sådan måde, at det klart fremgår, at de pågældende personoplysninger ikke må benyttes.
3. Personoplysninger, der er blokeret i medfør af denne artikel, må, bortset fra opbevaringen af dem, kun gøres til genstand for behandling i følgende tilfælde: som bevismiddel, eller hvis den registrerede har givet sit samtykke hertil, eller hvis der er tale om beskyttelse af tredjemands rettigheder.
4. Registrerede, som har anmodet om og opnået, at personoplysninger vedrørende dem blokeres, skal underrettes af den registeransvarlige, inden oplysningerne frigives.
Artikel 16
Sletning
Den registrerede har ret til at kræve, at den registeransvarlige sletter personoplysninger, hvis behandlingen af dem er ulovlig, navnlig hvis bestemmelserne i afdeling 1, 2 og 3 i kapitel II er overtrådt.
Artikel 17
Underretning af tredjemand
Den registrerede har ret til at kræve, at den registeransvarlige underretter tredjemand, til hvem personoplysninger er videregivet, om enhver berigtigelse, sletning eller blokering i medfør af artikel 13-16, medmindre dette viser sig umuligt eller kræver en uforholdsmæssig stor indsats.
Artikel 18
Den registreredes indsigelsesret
Den registrerede har ret til:
a) af vægtige legitime grunde, der vedrører den pågældendes særlige situation, til enhver tid at gøre indsigelse mod, at personoplysninger vedrørende ham selv gøres til genstand for behandling, undtagen i de tilfælde, der er omfattet af artikel 5, litra b), c) og d). Er der tale om en berettiget indsigelse, må den pågældende behandling ikke længere omfatte disse personoplysninger
b) at blive underrettet, inden personoplysningerne første gang videregives til tredjemand eller anvendes på tredjemands vegne med henblik på direkte markedsføring, og til udtrykkeligt at blive gjort opmærksom på, at han uden udgifter kan gøre indsigelse mod en sådan videregivelse eller anvendelse.
Artikel 19
Edb-baserede individuelle afgørelser
Den registrerede har ret til ikke at være undergivet afgørelser, som har retsvirkning for ham, eller som berører ham i væsentlig grad, og som alene er truffet på grundlag af en edb-baseret behandling af personoplysninger, der er bestemt til at vurdere bestemte aspekter af hans personlige forhold, f.eks. arbejdsindsats, pålidelighed eller adfærd, medmindre den pågældende afgørelse udtrykkeligt er tilladt i henhold til national lovgivning eller fællesskabslovgivningen eller, om nødvendigt, er godkendt af den europæiske tilsynsførende for databeskyttelse. I begge tilfælde skal der træffes foranstaltninger til beskyttelse af den registreredes legitime interesser, f.eks. ordninger, der gør det muligt for den pågældende at give sin mening til kende.
AFDELING 6
UNDTAGELSER OG BEGRÆNSNINGER
Artikel 20
Undtagelser og begrænsninger
1. Fællesskabsinstitutionerne og -organerne kan begrænse anvendelsen af artikel 4, stk. 1, artikel 11, artikel 12, stk. 1, artikel 13-17 og artikel 37, stk. 1, hvis og så længe en sådan begrænsning er en nødvendig foranstaltning af hensyn til:
a) forebyggelse og efterforskning af, sikring af bevis for og retsforfølgning af straffelovsovertrædelser
b) væsentlige økonomiske eller finansielle interesser hos en medlemsstat eller De Europæiske Fællesskaber, herunder på det monetære, budgetmæssige og skattemæssige område
c) beskyttelse af den registrerede eller af andres rettigheder eller frihedsrettigheder
d) medlemsstaternes nationale sikkerhed, offentlige sikkerhed og forsvar
e) en overvågnings-, tilsyns- eller reguleringsfunktion, som har tilknytning, selv lejlighedsvis, til offentlig myndighedsudøvelse i de tilfælde, der er omhandlet i litra a) og b).
2. Artikel 13-16 finder ikke anvendelse, hvis personoplysningerne udelukkende gøres til genstand for behandling med henblik på videnskabelig forskning eller kun opbevares i form af personoplysninger så længe, det er nødvendigt for alene at udarbejde statistikker, forudsat at der klart ikke er nogen risiko for at krænke den registreredes ret til privatlivets fred, og den registeransvarlige yder fornødne retlige garantier, navnlig for at sikre, at personoplysningerne ikke anvendes til at træffe foranstaltninger eller afgørelser vedrørende bestemte personer.
3. Anvendes en af begrænsningerne i stk. 1, skal den registrerede i overensstemmelse med fællesskabsretten underrettes om de vigtigste bevæggrunde, der ligger til grund for anvendelsen af begrænsningen, og om sin ret til at henvende sig til den europæiske tilsynsførende for databeskyttelse.
4. Hvis en af de i stk. 1 omhandlede begrænsninger påberåbes for at nægte den registrerede adgang til indsigt, skal den europæiske tilsynsførende for databeskyttelse, når han undersøger klagen, kun underrette den registrerede om, hvorvidt oplysningerne er behandlet korrekt, og, hvis dette ikke er tilfældet, hvorvidt de nødvendige korrektioner er foretaget.
5. Afgivelsen af de i stk. 3 og 4 omhandlede informationer kan udsættes, så længe de gør en begrænsning som omhandlet i stk. 1 virkningsløs.
AFDELING 7
FORTROLIGHED OG BEHANDLINGSSIKKERHED
Artikel 21
Behandlingernes fortrolige karakter
Personer, der er ansat i en fællesskabsinstitution eller et fællesskabsorgan, og fællesskabsinstitutioner eller -organer, som selv handler som registerførere, og som har adgang til personoplysninger, må kun behandle personoplysningerne efter instruks fra den registeransvarlige, bortset fra tilfælde, hvor det kræves i national lovgivning eller i fællesskabslovgivningen.
Artikel 22
Behandlingssikkerhed
1. Den registeransvarlige træffer under hensyntagen til teknologiens stade og omkostningerne i forbindelse med gennemførelsen passende tekniske og organisatoriske foranstaltninger for at tilvejebringe et tilstrækkeligt sikkerhedsniveau i forhold til de risici, behandlingen af personoplysninger indebærer, og arten af de personoplysninger, der skal beskyttes.
Disse foranstaltninger træffes især med henblik på at forhindre ubeføjet udbredelse eller ikke-autoriseret adgang, hændelig eller ulovlig tilintetgørelse og hændeligt tab eller ændring, samt med henblik på at forhindre alle andre former for ulovlig behandling.
2. Gøres personoplysninger til genstand for edb-behandling, træffes der foranstaltninger, når de er nødvendige under hensyn til den risiko, behandlingen indebærer, med henblik på især:
a) at forhindre ikke-autoriserede personer i at få adgang til edb-systemer, der behandler personoplysninger
b) at forhindre ikke-autoriseret konsultation, reproduktion, ændring eller fjernelse af lagermedier
c) at forhindre ikke-autoriseret indlæsning i hukommelsen samt ikke-autoriseret videregivelse, ændring eller sletning af lagrede personoplysninger
d) at forhindre ikke-autoriserede personer i at benytte databehandlingssystemer ved hjælp af datatransmissionsfaciliteter
e) at sikre, at autoriserede brugere af et databehandlingssystem kun har adgang til de personoplysninger, som deres ret til adgang vedrører
f) at registrere, hvilke personoplysninger der er blevet videregivet, på hvilket tidspunkt og til hvem
g) at sikre, at det efterfølgende er muligt at kontrollere, på hvilke tidspunkter personoplysninger er gjort til genstand for behandling og af hvem
h) at sikre, at personoplysninger, der gøres til genstand for behandling på tredjemands vegne, kun behandles på den måde, den kontraherende institution eller det kontraherende organ har foreskrevet
i) at sikre, at personoplysninger under videregivelse eller under transport af lagermedier ikke kan læses, kopieres eller slettes uden autorisation
j) at udforme den organisatoriske opbygning af en institution eller et organ således, at den eller det opfylder de særlige krav til databeskyttelse.
Artikel 23
Behandling af personoplysninger på den registeransvarliges vegne
1. Den registeransvarlige skal, hvis personoplysninger gøres til genstand for behandling på hans vegne, vælge en registerfører, som yder tilstrækkelige garantier med hensyn til de tekniske og organisatoriske sikkerhedsforanstaltninger, der er fastsat i artikel 22, og sørge for, at disse sikkerhedsforanstaltninger overholdes.
2. Behandling ved en registerfører skal finde sted i henhold til en kontrakt eller et andet retligt bindende dokument mellem registerføreren og den registeransvarlige, hvori det bl.a. fastsættes:
a) at registerføreren udelukkende handler efter instruks fra den registeransvarlige
b) at forpligtelserne i artikel 21 og 22 også påhviler registerføreren, medmindre der i medfør af artikel 16 eller artikel 17, stk. 3, andet led, i direktiv 95/46/EF allerede påhviler registerføreren forpligtelser med hensyn til fortrolighed og sikkerhed, som er fastsat i national lovgivning i en af medlemsstaterne.
3. Med henblik på opbevaring af bevismidler skal de dele af kontrakten eller det retligt bindende dokument, der vedrører databeskyttelse, og de krav, der vedrører sikkerhedsforanstaltningerne i artikel 22, foreligge skriftligt eller i en anden tilsvarende form.
AFDELING 8
DATABESKYTTELSESANSVARLIG
Artikel 24
Udpegning af en databeskyttelsesansvarlig og dennes opgaver
1. Hver fællesskabsinstitution og hvert fællesskabsorgan udpeger mindst én person som databeskyttelsesansvarlig. Denne datebeskyttelsesansvarlige har til opgave:
a) at sikre, at de registeransvarlige og de registrerede bliver underrettet om deres rettigheder og forpligtelser i medfør af denne forordning
b) at besvare anmodninger fra den europæiske tilsynsførende for databeskyttelse og inden for rammerne af sine beføjelser at samarbejde med den europæiske tilsynsførende for databeskyttelse på dennes anmodning eller på eget initiativ
c) i fuld uafhængighed at sikre, at bestemmelserne i denne forordning finder anvendelse internt
d) at føre et register over de behandlinger, den registeransvarlige foretager, med angivelse af de informationer, der er omhandlet i artikel 25, stk. 2
e) at underrette den europæiske tilsynsførende for databeskyttelse om behandlinger, der kan indebære en risiko som omhandlet i artikel 27.
Den databeskyttelsesansvarlige påser derved, at der ikke er fare for, at den registreredes rettigheder og frihedsrettigheder krænkes som følge af behandlingen.
2. Den databeskyttelsesansvarlige udvælges på grundlag af sine personlige egenskaber og faglige kvalifikationer og især sin ekspertise på databeskyttelsesområdet.
3. Valget af den databeskyttelsesansvarlige må ikke kunne medføre en interessekonflikt mellem hvervet som databeskyttelsesansvarlig og andre officielle hverv, han måtte udøve, navnlig i relation til anvendelsen af bestemmelserne i denne forordning.
4. Den databeskyttelsesansvarlige udnævnes for en periode på to til fem år. Han kan genudnævnes, men kan dog højst varetage hvervet i ti år i alt. Den databeskyttelsesansvarlige kan kun med samtykke fra den europæiske tilsynsførende for databeskyttelse afskediges af den fællesskabsinstitution eller det fællesskabsorgan, som har udnævnt ham, hvis han ikke længere opfylder de krav, der stilles for udførelsen af hans opgaver.
5. Efter udnævnelsen af den databeskyttelsesansvarlige underrettes den europæiske tilsynsførende for databeskyttelse om den pågældendes navn af den fællesskabsinstitution eller det fællesskabsorgan, der har udnævnt ham.
6. Den databeskyttelsesansvarlige får af den fællesskabsinstitution eller det fællesskabsorgan, der har udnævnt ham, stillet det personale og de ressourcer til rådighed, som er nødvendige for, at han kan udføre sine opgaver.
7. Den databeskyttelsesansvarlige må ikke modtage nogen instrukser vedrørende udførelsen af sine opgaver.
8. Yderligere gennemførelsesbestemmelser vedrørende den databeskyttelsesansvarlige vedtages af de enkelte fællesskabsinstitutioner og -organer i overensstemmelse med bestemmelserne i bilaget. Disse gennemførelsesbestemmelser vedrører navnlig den databeskyttelsesansvarliges hverv, opgaver og beføjelser.
Artikel 25
Anmeldelse til den databeskyttelsesansvarlige
1. Den registeransvarlige skal forud for enhver behandling eller serie af behandlinger, der tjener et enkelt formål eller flere relaterede formål, indgive en anmeldelse til den databeskyttelsesansvarlige.
2. Anmeldelsen skal omfatte:
a) den registeransvarliges navn og adresse og angivelse af den afdeling i en fællesskabsinstitution eller et fællesskabsorgan, der har til opgave at behandle personoplysninger til et bestemt formål
b) behandlingens formål
c) en beskrivelse af kategorien eller kategorierne af registrerede og af de personoplysninger eller typer af personoplysninger, der vedrører dem
d) retsgrundlaget for den behandling, hvortil personoplysningerne er bestemt
e) de modtagere eller kategorier af modtagere, personoplysningerne forventes videregivet til
f) en generel angivelse af tidsfristerne for blokering og sletning af de forskellige typer personoplysninger
g) påtænkte videregivelser af personoplysninger til tredjelande eller til internationale organisationer
h) en generel beskrivelse, som giver mulighed for en foreløbig vurdering af, om de foranstaltninger, der er truffet i henhold til artikel 22 til sikring af behandlingssikkerheden, er tilstrækkelige.
3. Enhver ændring, der berører de i stk. 2 omhandlede oplysninger, anmeldes straks til den databeskyttelsesansvarlige.
Artikel 26
Register
Hver databeskyttelsesansvarlig fører et register over behandlinger, der er anmeldt i overensstemmelse med bestemmelserne i artikel 25.
Registrene skal mindst indeholde de informationer, der er omhandlet i artikel 25, stk. 2, litra a)-g). Registrene kan konsulteres af enhver enten direkte eller indirekte via den europæiske tilsynsførende for databeskyttelse.
AFDELING 9
FORUDGÅENDE KONTROL FORETAGET AF DEN EUROPÆISKE TILSYNSFØRENDE FOR DATABESKYTTELSE OG FORPLIGTELSE TIL SAMARBEJDE
Artikel 27
Forudgående kontrol
1. Behandlinger, der på grund af deres art, omfang og formål vil kunne indebære særlige risici for de registreredes rettigheder og frihedsrettigheder, gøres til genstand for forudgående kontrol, som foretages af den europæiske tilsynsførende for databeskyttelse.
2. Følgende behandlinger vil kunne indebære sådanne risici:
a) behandling af personoplysninger om helbredsforhold og om mistanke om strafbare forhold, lovovertrædelser, domfældelser i straffesager og andre retsfølger af strafbare handlinger
b) behandling, som har til formål at vurdere aspekter af den registreredes personlige forhold, f.eks. hans evner, arbejdsindsats eller adfærd
c) behandling, som muliggør samkøring, som der ikke er hjemmel til i national lovgivning eller fællesskabslovgivningen, af personoplysninger, der behandles til forskellige formål
d) behandling, som tager sigte på at udelukke personer fra at udøve en ret, modtage en ydelse eller opnå en kontrakt.
3. Den forudgående kontrol foretages af den europæiske tilsynsførende for databeskyttelse efter modtagelse af en anmeldelse fra den databeskyttelsesansvarlige, som, hvis der er tvivl om nødvendigheden af forudgående kontrol, skal høre den europæiske tilsynsførende for databeskyttelse.
4. Den europæiske tilsynsførende for databeskyttelse skal afgive udtalelse senest to måneder efter modtagelsen af anmeldelsen. Denne frist kan suspenderes, indtil den europæiske tilsynsførende for databeskyttelse har modtaget de oplysninger, han har anmodet om. Er det nødvendigt på grund af sagens komplekse karakter, kan denne frist ligeledes forlænges med en ny periode på to måneder efter afgørelse truffet af den europæiske tilsynsførende for databeskyttelse. Denne afgørelse meddeles den registeransvarlige inden udløbet af den oprindelige frist på to måneder.
Er udtalelsen ikke afgivet ved udløbet af fristen på to måneder og den eventuelle forlængelse, anses udtalelsen for at være positiv.
Hvis den europæiske tilsynsførende for databeskyttelse mener, at den anmeldte behandling vil kunne indebære en overtrædelse af en af denne forordnings bestemmelser, skal han i givet fald fremsætte forslag til, hvordan en sådan overtrædelse kan undgås. Hvis den registeransvarlige ikke ændrer behandlingen i overensstemmelse hermed, kan den europæiske tilsynsførende for databeskyttelse gøre brug af sine beføjelser i medfør af artikel 47, stk. 1.
5. Den europæiske tilsynsførende for databeskyttelse fører et register over de behandlinger, der anmeldes til ham i medfør af stk. 2. Registret skal indeholde de informationer, der er omhandlet i artikel 25, og kan konsulteres af enhver.
Artikel 28
Høring
1. Fællesskabsinstitutionerne og -organerne underretter den europæiske tilsynsførende for databeskyttelse om udarbejdelsen af administrative foranstaltninger, der vedrører behandling af personoplysninger i en fællesskabsinstitution eller et fællesskabsorgan alene eller sammen med andre.
2. Når Kommissionen vedtager et forslag til retsakt vedrørende beskyttelse af personers rettigheder og frihedsrettigheder i forbindelse med behandling af personoplysninger, hører den den europæiske tilsynsførende for databeskyttelse.
Artikel 29
Forpligtelse til underretning
Fællesskabsinstitutionerne og -organerne underretter den europæiske tilsynsførende for databeskyttelse om, hvilke foranstaltninger de har vedtaget til opfølgning af den tilsynsførendes afgørelser eller tilladelser som nævnt i artikel 46, litra h).
Artikel 30
Forpligtelse til samarbejde
De registeransvarlige skal efter anmodning bistå den europæiske tilsynsførende for databeskyttelse i udøvelsen af hans hverv, navnlig ved at meddele ham de i artikel 47, stk. 2, litra a), nævnte oplysninger og ved at give ham den i artikel 47, stk. 2, litra b), nævnte adgang.
Artikel 31
Forpligtelse til at tage stilling til påståede overtrædelser
Såfremt den europæiske tilsynsførende for databeskyttelse under udøvelsen af de beføjelser, der er tillagt ham i medfør af artikel 47, stk. 1, litra b), retter henvendelse til den registeransvarlige, skal denne meddele den tilsynsførende sine synspunkter inden for en rimelig frist, som fastsættes af den europæiske tilsynsførende for databeskyttelse. Svaret skal også omfatte en redegørelse for, hvilke foranstaltninger der i givet fald er truffet som reaktion på bemærkningerne fra den europæiske tilsynsførende for databeskyttelse.
KAPITEL III
KLAGER
Artikel 32
Klager
1. De Europæiske Fællesskabers Domstol har kompetence til at afgøre alle tvister, som vedrører bestemmelserne i denne forordning, herunder erstatningssøgsmål.
2. Uden at det berører muligheden for at benytte et retsmiddel, kan den registrerede indgive en klage til den europæiske tilsynsførende for databeskyttelse, hvis han finder, at de rettigheder, traktatens artikel 286 tillægger ham, er blevet krænket som følge af en behandling af personoplysninger vedrørende ham selv i en fællesskabsinstitution eller et fællesskabsorgan.
Undlader den europæiske tilsynsførende for databeskyttelse at svare inden udløbet af fristen på seks måneder, er dette at sidestille med en afgørelse om afvisning af klagen.
3. Afgørelser truffet af den europæiske tilsynsførende for databeskyttelse kan indbringes for De Europæiske Fællesskabers Domstol.
4. Enhver, der har lidt skade som følge af en ulovlig behandling eller enhver anden handling, der ikke er i overensstemmelse med denne forordning, har ret til at kræve erstatning i henhold til traktatens artikel 288.
Artikel 33
Anmodninger indgivet af Fællesskabernes personale
Enhver, der er ansat i en fællesskabsinstitution eller et fællesskabsorgan, kan uden om de officielle kanaler indgive en klage til den europæiske tilsynsførende for databeskyttelse om en påstået overtrædelse af bestemmelserne i denne forordning vedrørende behandling af personoplysninger. Ingen må lide skade som følge af en klage, der er indgivet til den europæiske tilsynsførende for databeskyttelse om en påstået overtrædelse af bestemmelserne om behandling af personoplysninger.
KAPITEL IV
BESKYTTELSE AF PERSONOPLYSNINGER OG PRIVATLIVETS FRED I INTERNE TELENET
Artikel 34
Anvendelsesområde
Med forbehold af de øvrige bestemmelser i denne forordning finder dette kapitel anvendelse på behandling af personoplysninger i forbindelse med brug af telenet eller terminaludstyr, som drives under en fællesskabsinstitutions eller et fællesskabsorgans kontrol.
I dette kapitel forstås ved "bruger" enhver fysisk person, der benytter et telenet eller terminaludstyr, som drives under en fællesskabsinstitutions eller et fællesskabsorgans kontrol.
Artikel 35
Sikkerhed
1. Fællesskabsinstitutionerne og -organerne træffer passende tekniske og organisatoriske foranstaltninger for at garantere en sikker anvendelse af telenettene og terminaludstyret, i givet fald sammen med udbyderne af offentligt tilgængelige teletjenester eller leverandørerne af offentlige telenet. Foranstaltningerne skal under hensyntagen til de nyeste tekniske muligheder og omkostningerne i forbindelse med gennemførelsen tilvejebringe et sikkerhedsniveau, der står i forhold til risikoen.
2. Er der en særlig risiko for, at net- og terminalsikkerheden ikke længere kan garanteres, skal fællesskabsinstitutionen eller -organet underrette brugerne herom samt om, hvorledes denne risiko måtte kunne forebygges, og om alternative kommunikationsmidler.
Artikel 36
Kommunikationshemmelighed
Fællesskabsinstitutionerne og -organerne sikrer kommunikationshemmeligheden ved brug af telenet og terminaludstyr under overholdelse af fællesskabsrettens generelle principper.
Artikel 37
Trafik- og debiteringsdata
1. Med forbehold af stk. 2, 3 og 4 skal trafikdata vedrørende brugerne, som behandles og lagres for at etablere samtaler og andre former for forbindelser via telenettet, slettes eller gøres anonyme efter samtalens eller forbindelsens afslutning.
2. Hvis det er nødvendigt, kan trafikdata, der er opført på en liste, som er godkendt af den europæiske tilsynsførende for databeskyttelse, behandles med henblik på forvaltning af telekommunikationsbudgettet og trafikstyring, herunder kontrol med autoriseret brug af telekommunikationssystemet. Disse oplysninger slettes eller gøres anonyme så hurtigt som muligt og senest seks måneder efter deres indsamling, medmindre yderligere lagring er nødvendig for at et retskrav kan fastslås, gøres gældende eller forsvares under en retssag, der verserer for en domstol.
3. Behandling af trafik- og faktureringsdata må kun foretages af personer, som er beskæftiget med trafik, fakturerings- eller budgetstyring.
4. Brugere af telenettene har ret til at modtage fakturaer eller andre opgørelser uden specifikationer over foretagne opkald.
Artikel 38
Brugerfortegnelser
1. Personoplysningerne i trykte eller elektroniske brugerfortegnelser og adgangen til sådanne fortegnelser skal begrænses til det absolut nødvendige af hensyn til fortegnelsens særlige formål.
2. Fællesskabsinstitutionerne og -organerne træffer alle nødvendige foranstaltninger for at sikre, at personoplysningerne i disse fortegnelser, uanset om de er offentligt tilgængelige, ikke benyttes til direkte markedsføring.
Artikel 39
Visning og spærring af A- og B-nummer
1. Tilbydes A-nummervisning, skal den kaldende bruger have mulighed for ved hjælp af en simpel, gebyrfri anordning at spærre A-nummervisningen.
2. Tilbydes A-nummervisning, skal den kaldte bruger have mulighed for ved hjælp af en simpel, gebyrfri anordning at forhindre A-nummervisningen ved ankommende opkald.
3. Tilbydes B-nummervisning, skal den kaldte bruger have mulighed for ved hjælp af en simpel, gebyrfri anordning at spærre B-nummervisningen hos den kaldende bruger.
4. Tilbydes A-nummervisning eller B-nummervisning, skal fællesskabsinstitutionerne og -organerne informere brugerne herom og om mulighederne i henhold til stk. 1, 2 og 3.
Artikel 40
Undtagelser
Fællesskabsinstitutionerne og -organerne sikrer, at der findes gennemsigtige procedurer for, hvorledes de kan tilsidesætte spærringen af A-nummervisningen:
a) midlertidigt, når en bruger anmoder om at få chikanerende eller på anden måde generende opkald eftersporet
b) for specifikke linjer for at give organisatoriske enheder, der behandler nødopkald, mulighed for at reagere på sådanne opkald.
KAPITEL V
UAFHÆNGIG KONTROLMYNDIGHED: DEN EUROPÆISKE TILSYNSFØRENDE FOR DATABESKYTTELSE
Artikel 41
Europæisk tilsynsførende for databeskyttelse
1. Der oprettes en uafhængig kontrolmyndighed benævnt "den europæiske tilsynsførende for databeskyttelse".
2. Den europæiske tilsynsførende for databeskyttelse har til opgave at sikre, at fællesskabsinstitutionerne og -organerne respekterer fysiske personers grundlæggende rettigheder og frihedsrettigheder, især retten til privatlivets fred i forbindelse med behandling af personoplysninger.
Den europæiske tilsynsførende for databeskyttelse har til opgave at overvåge og sikre overholdelsen af de bestemmelser i denne forordning og i enhver anden fællesskabsretsakt, der vedrører beskyttelsen af fysiske personers grundlæggende rettigheder og frihedsrettigheder i forbindelse med behandling af personoplysninger i en fællesskabsinstitution eller et fællesskabsorgan, og at rådgive disse institutioner og organer samt de registrerede om alle spørgsmål vedrørende behandling af personoplysninger. Med henblik herpå skal den tilsynsførende udføre det i artikel 46 omhandlede hverv og udøve de i artikel 47 omhandlede beføjelser.
Artikel 42
Udnævnelse
1. Europa-Parlamentet og Rådet udnævner efter fælles aftale den europæiske tilsynsførende for databeskyttelse for en periode på fem år på grundlag af en liste, Kommissionen opstiller efter et offentligt stillingsopslag.
Der udnævnes en assisterende tilsynsførende efter samme procedure og for samme periode. Den assisterende tilsynsførende bistår den tilsynsførende i alle dennes opgaver og er dennes stedfortræder i tilfælde af fravær eller forfald.
2. Den europæiske tilsynsførende for databeskyttelse udvælges blandt personer, hvis uafhængighed er uomtvistelig, og som har åbenbar erfaring og kompetence til at udøve hvervet som europæisk tilsynsførende for databeskyttelse, f.eks. fordi de er eller har været tilknyttet de tilsynsmyndigheder, der er omhandlet i artikel 28 i direktiv 95/46/EF.
3. Den europæiske tilsynsførende for databeskyttelse kan genudnævnes.
4. Bortset fra ordinær nybesættelse eller dødsfald ophører hvervet for den europæiske tilsynsførende for databeskyttelse ved frivillig fratræden eller ved uansøgt afskedigelse i henhold til stk. 5.
5. Den europæiske tilsynsførende for databeskyttelse kan af De Europæiske Fællesskabers Domstol på begæring af Europa-Parlamentet, Rådet eller Kommissionen afskediges eller fratages sine pensionsrettigheder eller andre fordele, som træder i stedet herfor, hvis han ikke længere opfylder de nødvendige betingelser for at udøve sit hverv, eller hvis han har begået alvorligt embedsmisbrug.
6. I forbindelse med ordinær nybesættelse og frivillig fratræden fortsætter den europæiske tilsynsførende for databeskyttelse imidlertid med at udøve sit hverv, indtil der er udnævnt en efterfølger.
7. Artikel 12-15 og 18 i protokollen vedrørende De Europæiske Fællesskabers privilegier og immuniteter finder ligeledes anvendelse på den europæiske tilsynsførende for databeskyttelse.
8. Stk. 2-7 finder anvendelse på den assisterende tilsynsførende.
Artikel 43
Generelle ansættelsesvilkår for den europæiske tilsynsførende, menneskelige og finansielle ressourcer
1. Europa-Parlamentet, Rådet og Kommissionen fastsætter efter fælles aftale de generelle ansættelsesvilkår for den europæiske tilsynsførende for databeskyttelse, navnlig vederlag, tillæg og enhver fordel, som træder i stedet for løn.
2. Budgetmyndigheden sørger for, at den europæiske tilsynsførende for databeskyttelse råder over de nødvendige menneskelige og finansielle ressourcer for at kunne udøve sit hverv.
3. Budgettet for den europæiske tilsynsførende for databeskyttelse opføres i en særlig post i sektion VIII i Den Europæiske Unions almindelige budget.
4. Den europæiske tilsynsførende for databeskyttelse bistås af et sekretariat. Tjenestemænd og øvrige ansatte i sekretariatet udnævnes af den europæiske tilsynsførende for databeskyttelse, der er deres foresatte, og hvis ledelse de alene er underlagt. Antallet af tjenestemænd og øvrige ansatte fastsættes hvert år som led i budgetproceduren.
5. For tjenestemænd og øvrige ansatte i sekretariatet for den europæiske tilsynsførende for databeskyttelse gælder de regler og bestemmelser, der gælder for tjenestemænd og øvrige ansatte i De Europæiske Fællesskaber.
6. I personaleanliggender har den europæiske tilsynsførende for databeskyttelse samme status som institutionerne, jf. artikel 1 i vedtægten for tjenestemænd i De Europæiske Fællesskaber.
Artikel 44
Uafhængighed
1. Den europæiske tilsynsførende for databeskyttelse udfører sit hverv i fuld uafhængighed.
2. Den europæiske tilsynsførende for databeskyttelse må ved udøvelsen af sine pligter hverken søge eller modtage instrukser fra andre.
3. Den europæiske tilsynsførende for databeskyttelse skal afholde sig fra enhver handling, der er uforenelig med karakteren af hans hverv, og må ikke, så længe hans embedsperiode varer, udøve nogen anden lønnet eller ulønnet erhvervsmæssig virksomhed.
4. Den europæiske tilsynsførende for databeskyttelse skal efter embedsperiodens ophør udvise hæderlighed og tilbageholdenhed med hensyn til at påtage sig visse hverv eller at acceptere visse fordele.
Artikel 45
Tavshedspligt
Den europæiske tilsynsførende for databeskyttelse og dennes medarbejdere har såvel under embeds- og ansættelsesperioden som efter dens ophør tavshedspligt for så vidt angår alle fortrolige oplysninger, der er kommet til deres kendskab under udøvelsen af deres hverv.
Artikel 46
Hverv
Den europæiske tilsynsførende for databeskyttelse har til opgave:
a) at modtage og undersøge klager og underrette den registrerede om resultatet inden for en rimelig frist
b) på eget initiativ eller på grundlag af en klage at iværksætte undersøgelser og underrette de registrerede om resultatet inden for en rimelig frist
c) at overvåge og sikre overholdelsen af denne forordning og enhver anden fællesskabsretsakt vedrørende beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i en fællesskabsinstitution eller et fællesskabsorgan med undtagelse af De Europæiske Fællesskabers Domstol, når den handler i sin egenskab af domstol
d) at rådgive alle fællesskabsinstitutioner og -organer, enten på eget initiativ eller i forbindelse med en høring, om ethvert spørgsmål vedrørende behandlingen af personoplysninger, navnlig inden udarbejdelse af interne regler for beskyttelse af grundlæggende rettigheder og frihedsrettigheder i forbindelse med behandling af personoplysninger
e) at overvåge den relevante udvikling, i det omfang den har indvirkning på beskyttelsen af personoplysninger, navnlig udviklingen i informations- og kommunikationsteknologier
f) i) at samarbejde med de nationale tilsynsmyndigheder, der er omhandlet i artikel 28 i direktiv 95/46/EF, i de lande, direktivet finder anvendelse på, og i det omfang det er nødvendigt for udførelsen af deres respektive pligter, navnlig ved at udveksle alle nyttige oplysninger, ved at anmode en sådan myndighed eller instans om at udøve sine beføjelser eller ved at besvare en anmodning fra en sådan myndighed eller instans
ii) ligeledes at samarbejde med de instanser, der fører tilsyn med databeskyttelse i henhold til afsnit VI i traktaten om Den Europæiske Union, navnlig med henblik på at forbedre overensstemmelsen i anvendelsen af de regler og procedurer, hvis overholdelse de hver især har til opgave at sikre
g) at deltage i arbejdet i Gruppen vedrørende Beskyttelse af Personer i forbindelse med Behandling af Personoplysninger, der er nedsat ved artikel 29 i direktiv 95/46/EF
h) at fastlægge, begrunde og offentliggøre undtagelser, garantier, tilladelser og betingelser som omhandlet i artikel 10, stk. 2, litra b), og stk. 4, 5 og 6, artikel 12, stk. 2, artikel 19 og artikel 37, stk. 2
i) at føre et register over behandlinger, der anmeldes til ham i henhold til artikel 27, stk. 2, og registreres i overensstemmelse med artikel 27, stk. 5, og stille de redskaber til disposition, der giver adgang til de registre, de databeskyttelsesansvarlige fører i overensstemmelse med artikel 26
j) at foretage forudgående kontrol af behandlinger, der anmeldes til ham
k) at vedtage sin forretningsorden.
Artikel 47
Beføjelser
1. Den europæiske tilsynsførende for databeskyttelse kan:
a) rådgive de registrerede i forbindelse med udøvelsen af deres rettigheder
b) forelægge sagen for den registeransvarlige i tilfælde af en påstået overtrædelse af bestemmelserne om behandling af personoplysninger og i givet fald fremsætte forslag til at råde bod på overtrædelsen og forbedre beskyttelsen af de registrerede
c) træffe afgørelse om, at anmodninger om udøvelse af bestemte rettigheder i forbindelse med personoplysningerne efterkommes, når sådanne anmodninger er blevet nægtet i strid med artikel 13-19
d) rette en advarsel eller en påtale til den registeransvarlige
e) træffe afgørelse om berigtigelse, blokering, sletning eller tilintetgørelse af alle personoplysninger, når de er blevet behandlet i strid med bestemmelserne vedrørende behandling af personoplysninger, samt om at tredjemand, til hvem disse oplysninger er videregivet, underrettes om sådanne foranstaltninger
f) midlertidigt eller definitivt forbyde en behandling
g) forelægge sagen for den berørte institution eller det berørte organ og om nødvendigt for Europa-Parlamentet, Rådet og Kommissionen
h) på de vilkår, der er fastsat i traktaten, anlægge sag ved De Europæiske Fællesskabers Domstol
i) intervenere i sager for De Europæiske Fællesskabers Domstol.
2. Den europæiske tilsynsførende for databeskyttelse har beføjelse til:
a) hos en registeransvarlig eller en fællesskabsinstitution eller et fællesskabsorgan at få adgang til alle personoplysninger og til alle informationer, der er nødvendige for hans undersøgelser
b) at få adgang til alle bygninger, hvor en registeransvarlig eller en fællesskabsinstitution eller et fællesskabsorgan udøver sine aktiviteter, hvis der er begrundet formodning om, at der dér udøves en aktivitet, som er omfattet af denne forordning.
Artikel 48
Årsberetning
1. Den europæiske tilsynsførende for databeskyttelse skal hvert år forelægge en årsberetning om sin virksomhed for Europa-Parlamentet, Rådet og Kommissionen og skal sideløbende hermed offentliggøre den.
2. Den europæiske tilsynsførende sender beretningen til de øvrige fællesskabsinstitutioner og -organer, der navnlig i forbindelse med redegørelsen for de foranstaltninger, der træffes på grundlag af bemærkninger fra den europæiske tilsynsførende for databeskyttelse i henhold til artikel 31, kan fremsætte bemærkninger med henblik på en eventuel drøftelse af beretningen i Europa-Parlamentet.
KAPITEL VI
AFSLUTTENDE BESTEMMELSER
Artikel 49
Sanktioner
Der kan iværksættes disciplinære sanktioner over for en tjenestemand eller en af de øvrige ansatte i De Europæiske Fællesskaber, som forsætligt eller uagtsomt undlader at opfylde de forpligtelser, der påhviler ham i henhold til denne forordning i overensstemmelse med de regler og procedurer, der er fastlagt i vedtægten for tjenestemænd i De Europæiske Fællesskaber eller i ansættelsesvilkårene for de øvrige ansatte.
Artikel 50
Overgangsperiode
Fællesskabsinstitutionerne og -organerne sikrer, at en behandling, der allerede er indledt på datoen for denne forordnings ikrafttræden, bringes i overensstemmelse med denne forordning senest et år efter denne dato.
Artikel 51
Ikrafttræden
Denne forordning træder i kraft på tyvendedagen efter offentliggørelsen i De Europæiske Fællesskabers Tidende.
Denne forordning er bindende i alle enkeltheder og gælder umiddelbart i hver medlemsstat.
Udfærdiget i Bruxelles, den 18. december 2000.
32001R0045
L 008/1
ОФИЦИАЛЕН ВЕСТНИК НА ЕВРОПЕЙСКИЯ СЪЮЗ
РЕГЛАМЕНТ (ЕО) № 45/2001 НА ЕВРОПЕЙСКИЯ ПАРЛАМЕНТ И НА СЪВЕТА
от 18 декември 2000 година
относно защитата на лицата по отношение на обработката на лични данни от институции и органи на Общността и за свободното движение на такива данни
ЕВРОПЕЙСКИЯТ ПАРЛАМЕНТ И СЪВЕТЪТ НА ЕВРОПЕЙСКИЯ СЪЮЗ,
като взеха предвид Договора за създаване на Европейската общност, и по-специално член 286 от него,
като взеха предвид предложението на Комисията (1),
като взеха предвид становището на Икономическия и социален комитет (2),
в съответствие с процедурата, предвидена в член 251 от Договора (3),
като имат предвид, че:
(1)
Член 286 от Договора изисква актовете на Общността относно защитата на лицата по отношение на обработката на лични данни и свободното движение на такива данни да се прилагат спрямо институциите и органите на Общността.
(2)
Една напълно функционална система за защита на личните данни изисква да се определят не само права за субектите на данни и задължения за онези, които обработват лични данни, но и подходящи санкции за нарушителите и за наблюдение и контрол от страна на независим надзорен орган.
(3)
Член 286, параграф 2 от Договора изисква създаването на независим надзорен орган, който да отговаря за наблюдението и контрола върху прилагането на тези актове на Общността спрямо институциите и органите на Общността.
(4)
Член 286, параграф 2 от Договора изисква приемането по целесъобразност на всякакви други свързани с това разпоредби.
(5)
Необходим е регламент, който да осигурява на физическите лица законно приложими права, да определя свързаните с обработката на данни задължения на контролните органи в рамките на институциите и органите на Общността и да създаде независим надзорен орган, който да отговаря за наблюдението и контрола на обработката на лични данни от институциите и органите на Общността.
(6)
Проведени са консултации с работната група за защита на лицата по отношение на обработката на лични данни, която е сформирана съгласно член 29 от Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 г. за защита на физическите лица по отношение на обработката на лични данни и за свободното движение на такива данни (4).
(7)
Лицата, които ще бъдат обект на защита са онези, чиито лични данни при каквито и да е обстоятелства се обработват от институции или органи на Общността, например поради това, че са служители на тези институции или органи.
(8)
Принципите за защита на данните следва да се прилагат по отношение на всяка информация, която се отнася за идентифицирано или идентифицируемо лице. За да се определи, дали може да се установи самоличността на дадено лице, следва да се вземат предвид всички приемливи средства, с които може да си послужи контролиращия орган или което и да е друго лице с оглед идентифицирането на посоченото лице. Принципите за защита не следва да се прилагат по отношение на данни с анонимен характер по такъв начин, че субектът на данните не е повече идентифицируем.
(9)
Директива 95/46/ЕО изисква от държавите-членки да защитават основните права и свободи на физическите лица, и по-специално правото им на личен живот по отношение на обработката на лични данни, за да се гарантира свободно движение на лични данни в Общността.
(10)
Директива 97/66/ЕО на Европейския парламент и на Съвета от 15 декември 1997 г. относно обработката на лични данни и защитата на личния живот в телекомуникационния сектор (5) уточнява и допълва Директива 95/46/ЕО по отношение на обработката на лични данни в телекомуникационния сектор.
(11)
Различни други мерки на Общността, в т.ч. мерки за взаимопомощ между националните органи и Комисията, също са предназначени да уточняват и допълват Директива 95/46/ЕО в секторите, за които се отнасят.
(12)
Необходимо е да се гарантира последователно и еднакво прилагане на територията на цялата Общност на правилата за защита на основните права и свободи на физическите лица по отношение на обработката на лични данни.
(13)
Целта е едновременно да се гарантира ефективно спазване на правилата, които уреждат защитата на основните права и свободи на отделните лица и свободното движение на лични данни между държавите-членки и институциите и органите на Общността или между институциите и органите на Общността във връзка с упражняването на съответните им компетенции.
(14)
За целта следва да се приемат мерки, които да са задължителни за институциите и органите на Общността. Тези мерки следва да се прилагат за всички обработки на лични данни от страна на всички институции и органи на Общността дотолкова, доколкото се извършват при упражняване на дейности, които изцяло или частично попадат в обхвата на правото на Общността.
(15)
Когато тази обработка се извършва от институции или органи на Общността при упражняване на дейности, попадащи извън обхвата на настоящия регламент, по-специално посочените в дялове V и VI от Договора за Европейския съюз, защитата на основните права и свободи на отделните лица се гарантира при надлежно съблюдаване на разпоредбите на член 6 от Договора за Европейския съюз. Достъпът до документи, включително и условията за достъп до документи, съдържащи лични данни, се урежда от правилата, които са приети въз основа на член 255 от Договора за създаване на Европейската общност, чийто обхват включва дялове V и VI от Договора за Европейския съюз.
(16)
Мерките не следва да се прилагат спрямо органи, които са установени извън рамките на Общността, а Европейският надзорен орган по защита на данните не следва да е компетентен да наблюдава и контролира обработката на лични данни от такива органи.
(17)
Ефективността на защитата на лицата по отношение на обработката на лични данни в Съюза предполага последователност на съответните правила и процедури, които са приложими за дейности, принадлежащи към различен правен контекст. Разработването на основни принципи за защита на личните данни в областта на правното сътрудничество по наказателни въпроси и полицейското и митническо сътрудничество, както и създаването на секретариат за съвместните надзорни органи, учредени от конвенцията за Европол, Конвенцията за използване на информационни технологии за митнически цели и Шенгенската конвенция представляват първа стъпка в тази посока.
(18)
Настоящият регламент не следва да засяга правата и задълженията на държавите-членки съгласно Директиви 95/46/ЕО и 97/66/ЕО. В съответствие с Протокола за привилегиите и имунитетите на Европейските общности и международното право той няма за цел да променя законно прилагани от държавите-членки действащи процедури и практики в областта на националната сигурност, предотвратяването на безредици или предотвратяването, разкриването, разследването и съдебното преследване на престъпни деяния.
(19)
Институциите и органите на Общността следва да информират компетентните власти на държавите-членки, когато считат, че трябва да се извърши подслушване на съобщения по техните телекомуникационни мрежи при съблюдаване на приложимите национални разпоредби.
(20)
Приложимите разпоредби спрямо институциите и органите на Общността следва да съответстват на разпоредбите, които са предвидени във връзка с хармонизирането на националните законодателства или осъществяването на други политика на Общността, предимно в сферата на взаимната помощ. Все пак, когато става въпрос за гарантиране на защита в случая на обработката на лични данни от институции и органи на Общността, може да се наложи уточняване и допълване на тези разпоредби.
(21)
Същото важи и за правата на лицата, чиито данни се обработват, за задълженията на извършващите обработката институции и органи на Общността и за правомощията, които следва да се предоставят на независимия надзорен орган, който ще отговаря за правилното прилагане на настоящия регламент.
(22)
Предоставените на субекта на данни права и тяхното упражняване не трябва да влияят на наложените на контролиращия орган задължения.
(23)
Независимият надзорен орган следва да упражнява надзорните си функции в съответствие с Договора и при съблюдаване на правата на човека и основните свободи. Той следва да провежда своите разследвания в съответствие с Протокола за привилегиите и имунитетите, Правилника за служителите на Европейските общности и с приложимите условия за наемане на работа на други служители на Общностите.
(24)
Следва да се приемат необходимите технически мерки, които да позволяват достъп чрез независимия надзорен орган до водените от длъжностните лица за защита на данните регистри за извършените операции по обработка на лични данни.
(25)
Решенията на независимия надзорен орган относно отмяната на разпоредби, гаранциите, разрешенията и условията във връзка с операциите по обработка на данни, както са определени в настоящия регламент, следва да се публикуват в отчет за дейността. Независимо от публикуването на годишен отчет за дейността, независимият надзорен орган може да публикува отчети по конкретни теми.
(26)
Някои свързани с обработката на данни операции, които биха могли да крият конкретни опасности по отношение на правата и свободите на субектите на данни, се подлагат на предварителна проверка от независимия надзорен орган. Даденото в контекста на такава предварителна проверка становище, включително и становището, произтичащо от отсъствие на отговор в рамките на определен срок, не засяга последващото упражняване от страна на независимия надзорен орган на неговите правомощия по отношение на въпросната операция по обработка на данни.
(27)
Обработката на лични данни за осъществяване на задачите, които институциите и органи на Общността изпълняват в интерес на обществото, включва обработка на лични данни, които са необходими за управлението и функционирането на тези институции и органи.
(28)
В някои случаи обработката на данни следва да бъде разрешена от разпоредби на Общността или актове, които въвеждат разпоредби на Общността. Въпреки това, през преходния период, по време на който не съществуват такива разпоредби, и докато те бъдат приети, Европейският надзорен орган по защита на данните може да разрешава обработката на такива данни, при условие че бъдат приети подходящи гаранции. В тази връзка той/тя следва да отчита приетите от държавите-членки разпоредби за подобни случаи.
(29)
Тези случаи касаят обработката на данни, разкриващи расов или етнически произход, политически възгледи, религиозни или философски убеждения или членство в синдикални организации и обработката на данни, касаещи здравето или сексуалния живот, които са необходими за спазването на конкретните права и задължения на контролния орган в областта на трудовото законодателство или по причини от значителен обществен интерес. Те касаят и обработката на данни, свързани с нарушения, присъди или мерки за сигурност и разрешение за прилагане спрямо субекта на данните на решение, което създава правни ефекти за него/нея или значително го/я засяга и което се основава единствено на автоматизирана обработка на данни, предназначени за оценяване на определени аспекти на неговата/нейната личност.
(30)
Може да е необходимо да се наблюдават и контролират компютърните мрежи, които се експлоатират под контрола на институциите и органите на Общността с цел предотвратяване на неразрешено използване. Европейският надзорен орган по защита на данните следва да определи, дали и при какви условия е възможно това.
(31)
Отговорността, която произтича от нарушаване на разпоредбите на настоящия регламент, е уредена в член 288, втори параграф от Договора.
(32)
Във всяка институция или орган на Общността трябва да има едно или повече длъжностни лица за защита на данните, които да гарантират прилагането на разпоредбите на настоящия регламент и да съветват контролиращите органи по изпълнението на техните задължения.
(33)
Съгласно член 21 от Регламент (ЕО) № 322/97 на Съвета от 17 февруари 1997 г. относно статистиката на Общността (6), регламентът трябва да се прилага, без да се засягат разпоредбите на Директива 95/46/ЕО.
(34)
Съгласно член 8, параграф 8 от Регламент (ЕО) № 2533/98 на Съвета от 23 ноември 1998 г. относно събирането на статистическа информация от Европейската централна банка (7), регламентът трябва да се прилага, без да се засягат разпоредбите на Директива 95/46/ЕО.
(35)
Съгласно член 1, параграф 2 от Регламент (Евратом, ЕИО) № 1588/90 на Съвета от 11 юни 1990 г. относно изпращането в Статистическата служба на Европейските общности на данни, които са обект на статистическа тайна (8), регламентът не прави изключение от специалните общностни или национални разпоредби във връзка със защитата на поверителна информация, различна от статистическа тайна.
(36)
В съответствие с член 249 от Договора настоящият регламент няма за цел да ограничава свободата на действие на държавите-членки в съставянето на националните им закони за защита на данните, съгласно член 32 от Директива 95/46/ЕО,
ПРИЕХА НАСТОЯЩИЯ РЕГЛАМЕНТ:
ГЛАВА I
ОБЩИ РАЗПОРЕДБИ
Член 1
Предмет на регламента
1. В съответствие с настоящия регламент институциите и органите, които са създадени от или въз основа на Договорите за създаване на Европейските общности, оттук нататък наричани „институции или органи на Общността“, защитават основните права и свободи на физическите лица, и по-специалноправото им на личен живот по отношение на обработката на лични данни, както и не ограничават или забраняват свободното движение на лични данни помежду си или до получатели, спрямо които се прилага националното право на държавите-членки, които изпълняват Директива 95/46/ЕО.
2. Учреденият с настоящия регламент независим надзорен орган, оттук нататък наричан „Европейски надзорен орган по защита на данните“, наблюдава и контролира прилагането на разпоредбите на настоящия регламент по отношение на всички операции по обработка на лични данни, извършвани от институция или орган на Общността.
Член 2
Определения
По смисъла на настоящия регламент:
а)
„лични данни“ означава всяка информация, свързана с физическо лице с установена или подлежаща на установяване самоличност, оттук нататък наричано „субект на данни“; лице с подлежаща на установяване самоличност е лице, чиято самоличност може пряко или косвено да се установи, по-специално по идентификационен номер или по един или повече специфични фактора за неговата/нейната физическа, психологическа, психична, икономическа, културна или социална самоличност;
б)
„обработка на лични данни“, оттук нататък наричана „обработка“, означава всяка операция или съвкупност от операции, които се извършват с или без автоматични средства по отношение на личните данни, като събиране, записване, организиране, съхранение, адаптиране или промяна, извличане, справка, използване, разкриване чрез изпращане, разпространение или другояче предоставяне, подреждане или комбиниране, блокиране, заличаване или унищожаване;
в)
„система за архивиране на лични данни“, оттук нататък наричана „архивираща система“, означава всяка структурирана съвкупност от лични данни, достъпът до която се осъществява по специфични критерии, независимо дали тази съвкупност е централизирана, децентрализирана или разделена по функционален или географски принцип;
г)
„контролиращ орган“ означава институцията или органът на Общността, Генералната дирекция, звеното или всяка друга организационна структура, която самостоятелно или съвместно с други определя целите и средствата за обработка на лични данни; когато целите и средствата за обработка са определени със специфичен акт на Общността, с този акт на Общността може да се посочи контролиращият орган или специфичните критерии за неговото определяне.
д)
„обработващо лице“ означава физическо или юридическо лице, публична власт, агенция или всеки друг орган, който извършва обработка на лични данни от името на контролиращия орган;
е)
„трета страна“ означава физическо или юридическо лице, обществен орган, агенция или орган, различен от субекта на данни, контролиращия орган, обработващото лице и лицата, които са упълномощени да обработват данните под прекия контрол на контролиращия орган или обработващото лице;
ж)
„получател“ означава физическо или юридическо лице, публична власт, агенция или друг орган, пред който се разкриват данните, независимо дали той е или не е трета страна; все пак органите, които могат да получават данни в рамките на конкретно следствие не се считат за получатели;
з)
„съгласие на субекта на данни“ означава всеки свободно даден, конкретен и информиран израз на воля, с която той/тя изразява съгласието си да бъдат обработвани личните му/ѝ данни.
Член 3
Обхват
1. Настоящият регламент се прилага за обработката на данни от всички институции и органи на Общността дотолкова, доколкото тази обработка се извършва при упражняване на дейности, които изцяло или частично попадат в обхвата на правото на Общността.
2. Настоящият регламент се прилага за обработката на данни, която изцяло или частично се извършва чрез автоматични средства, както и за неавтоматичната обработка на лични данни, които съставляват част от архивираща система или са предназначени да бъдат част от архивираща система.
ГЛАВА II
ОБЩИ ПРАВИЛА ЗА ЗАКОНОСЪОБРАЗНОСТ НА ОБРАБОТКАТА НА ЛИЧНИ ДАННИ
РАЗДЕЛ 1
ПРИНЦИПИ ОТНОСНО КАЧЕСТВОТО НА ДАННИТЕ
Член 4
Качество на данните
1. Личните данни трябва да бъдат:
а)
безпристрастно и законно обработвани;
б)
събирани за конкретни, изрично указани и законни цели и да не бъдат впоследствие обработвани по несъвместим с тези цели начин. Последващата обработка за исторически, статистически или научни цели не се счита за несъвместима, при условие че контролиращият орган предвиди подходящи защитни мерки, с които по-конкретно да се гарантира, че данните няма да бъдат обработвани за никакви други цели или няма да бъдат използвани в подкрепа на мерки или решения, засягащи конкретно физическо лице;
в)
достатъчни, уместни и не повече от необходимото предвид целите, за които се събират и/или обработват впоследствие;
г)
точни и при необходимост актуализирани; трябва да се предприемат всички разумни стъпки, за да се гарантира заличаването или коригирането на неточни или непълни данни предвид целите, за които те се събират или обработват впоследствие;
д)
съхранявани по начин, който позволява установяване на самоличността на субектите на данни в продължение на период, който не надвишава необходимото за целите, за които се събират или впоследствие обработват данните. Институцията или органът на Общността регламентират съхраняването на лични данни, които трябва да се пазят за по-дълги периоди за исторически, статистически или научни цели да се извършва само в анонимна форма или, ако това не е възможно, само с кодиране на самоличността на субектите на данни. Във всички случаи данните не се използват за никакви други, освен исторически, статистически или научни цели.
2. Контролиращият орган е длъжен да гарантира спазването на разпоредбите на параграф 1.
РАЗДЕЛ 2
КРИТЕРИИ ЗА ЛЕГИТИМНА ОБРАБОТКА НА ДАННИ
Член 5
Законосъобразност на обработката
Лични данни могат да се обработват само ако:
а)
обработката е необходима за изпълнението на задача, която в интерес на обществото въз основа на Договорите за създаване на Европейските общности или други приети въз основа на тях юридически актове или при легитимно упражняване на официални правомощия, предоставени на институцията или органа на Общността или на трета страна, пред която се разкриват данните, или
б)
обработката е необходима за съобразяване със законно задължение, което се прилага спрямо контролиращия орган, или
в)
обработката е необходима за изпълнението на договор, по който субектът на данни е страна или за предприемане на стъпки по искане на субекта на данните преди сключването на договор, или
г)
субектът на данните недвусмислено е дал своето съгласие, или
д)
обработката е необходима за защита на жизнените интереси на субекта на данните.
Член 6
Промяна на целта
Без да се засягат разпоредбите на членове 4, 5 и 10:
1.
Лични данни се обработват за цели, различни от тези, за които са били събрани само ако промяната на целта е изрично разрешена от вътрешния правилник на институцията или органа на Общността.
2.
Лични данни, които са събрани изключително за гарантиране на сигурността или контрола на обработващите системи или операцаци, не се използват за никакви други цели, с изключение на такива, свързани с предотвратяване, разследване, разкриване и съдебно преследване на тежки криминални престъпления.
Член 7
Предаване на лични данни вътрешно или между институции или органи на Общността
Без да се засягат разпоредбите на членове 4, 5, 6 и 10:
1.
Лични данни се предават вътрешно или на други институции или органи на Общността само ако данните са необходими за законното изпълнение на задачи от компетенциите на получателя.
2.
Когато данните се предават по молба на получателя, контролиращият орган и получателят едновременно носят отговорност за легитимността на предаването.
Контролиращият орган е длъжен да провери компетенциите на получателя и да извърши предварителна оценка на необходимостта от предаване на данните. В случай на възникнали съмнения относно тази необходимост, контролиращият орган изисква допълнителна информация от получателя.
Получателят гарантира, че необходимостта от предаване на данните може да бъде впоследствие проверена.
3.
Получателят обработва личните данни само за целите, за които те са предадени.
Член 8
Предаване на лични данни на получатели, които са различни от институции и органи на Общността и спрямо които се прилагат разпоредбите на Директива 95/46/ЕО
Без да се засягат разпоредбите на членове 4, 5, 6 и 10, лични данни се предават на получатели, които са подчинени на разпоредбите на национално законодателство, прието в изпълнение на Директива 95/46/ЕО само ако:
а)
получателят удостовери, че данните са необходими за изпълнението на задача, която се осъществява в интерес на обществото или е предмет на упражняване на публична власт, или
б)
получателят удостовери необходимостта от предаване на данните, и ако няма основания да се предполага, че биха могли да бъдат засегнати легитимните интереси на субекта на данните.
Член 9
Предаване на лични данни на получатели, които са различни от институции и органи на Общността, спрямо които не се прилагат разпоредбите на Директива 95/46/ЕО
1. Лични данни се предават на получатели, които са различни от институции и органи на Общността и не са подчинени на разпоредбите на национално право, прието съобразно Директива 95/46/ЕО само ако в страната на получателя или в рамките на международната организация-получател е гарантирана достатъчно ниво на защита и данните се предават единствено с оглед изпълнение на задачи, които са от компетенциите на контролиращия орган.
2. Достатъчното ниво на защита, която се гарантира от съответната трета страна или международна организация се оценява в светлината на всички обстоятелства около дадена операция или съвкупност от операции по предаване на данни; особено внимание се обръща на естеството на данните, целта и продължителността на предлаганата операция или операции по предаване, третата страна-получател или международната организация-получател, действащите в съответната трета страна или международна организация общи и отраслови правни правила и професионалните правила и мерки за сигурност, които се спазват в тази трета страна или международна организация.
3. Институциите и органите на Общността информират Комисията и Европейския надзорен орган по защита на данните за случаи, в които те считат, че съответната трета страна или международна организация не гарантира достатъчно ниво на защита по смисъла на параграф 2.
4. Комисията информира държавите-членки за всички случаи по параграф 3.
5. Институциите и органите на Общността предприемат необходимите мерки, за да се съобразят с взетите от Комисията решения, когато съгласно член 25, параграфи 4 и 6 от Директива 95/46/ЕО тя установява, че дадена трета страна или международна организация гарантира или не достатъчно ниво на защита.
6. Чрез дерогация от разпоредбите на параграфи 1 и 2, институцията или органът на Общността може да предава лични данни, ако:
а)
субектът на данните е дал недвусмислено съгласие за предлаганото предаване, или
б)
предаването е необходимо за изпълнението на договор между субекта на данните и контролиращия орган или за изпълнението на мерки преди сключването на договор в отговор на молба от страна на субекта на данните, или
в)
предаването е необходимо за сключването или изпълнението на договор, който е сключен между контролиращия орган и трета страна в интерес на субекта на данните, или
г)
предаването е необходимо или установено по закон на основания, свързани с важен обществен интерес или за установяването, упражняването или защитата на правни искове, или
д)
предаването е необходимо за защита на жизнените интереси на субекта на данните, или
е)
предаването се извършва от регистър, който съгласно правото на Общността е предназначен за предоставяне на информация на обществеността и е открит за извършване на справки от обществеността въобще или от всяко лице, което явно покаже легитимен интерес, при условие че в конкретния случай са изпълнени предвидените в правото на Общността условия за извършване на справки.
7. Без да се засягат разпоредбите на параграф 6, Европейският надзорен орган по защита на данните може да разрешава предаване или съвкупност от предавания на лични данни на трета страна или международна организация, която не гарантира достатъчно ниво на защита по смисъла на параграфи 1 и 2, когато контролиращият орган дава достатъчни гаранции по отношение на защитата на личния живот и основните права и свободи на физическите лица и по отношение на упражняването на съответните права; по-специално, тези гаранции могат да произтичат от подходящи договорни клаузи.
8. Институциите и органите на Общността информират Европейския надзорен орган по защита на данните за категориите случаи, в които са приложили разпоредбите на параграфи 6 и 7.
РАЗДЕЛ 3
СПЕЦИАЛНИ КАТЕГОРИИ ОБРАБОТКА
Член 10
Обработка на специални категории данни
1. Забранява се обработката на лични данни, разкриващи расов или етнически произход, политически възгледи, религиозни или философски убеждения, членство в синдикални организации, както и данни, свързани със здравето или сексуалния живот.
2. Разпоредбите на параграф 1 не се прилагат, когато:
а)
субектът на данните е дал своето изрично съгласие за обработка на такива данни, освен в случаите, когато вътрешният правилник на институцията или органа на Общността предвижда, че посочената в параграф 1 забрана не може да се отменя чрез даването на съгласие от страна на субекта на данните, или
б)
обработката е необходима, с цел съобразяване със специфични права и задължения на контролиращия орган в областта на трудовото право дотолкова, доколкото това е разрешено от Договорите за създаване на Европейските общности или други приети въз основа на тях правни актове или при необходимост дотолкова, доколкото това е съгласувано с Европейския надзорен орган по защита на данните при условията на осигуряване на достатъчни мерки за защита, или
в)
обработката е необходима за защита на жизнените интереси на субекта на данните или на друго лице, когато субектът на данните е физически или юридически неспособен да даде своето съгласие, или
г)
обработката касае данни, които са публично обявени от субекта на данните, или ако е необходима за установяване, упражняване или защита на правни искове, или
д)
обработката се извършва в хода на легитимно упражняваните дейности и при подходящи мерки за защита от орган с нестопанска цел, който представлява интегрирана в дадена институция или орган на Общността структура, която по силата на член 4 от Директива 95/46/ЕО не е подчинена на разпоредбите на национално законодателство за защита на данните, както и когато се извършва с политическа, философска, религиозна или синдикална цел и при условие че обработката касае единствено членове на този орган или лица, които редовно контактуват с него във връзка с неговите цели и че данните не се разкриват пред трета страна без съгласието на субектите на данните.
3. Разпоредбите на параграф 1 не се прилагат, когато обработката на данните е необходима за медицински цели, свързани с профилактика, диагностициране, осигуряване на здравна помощ или лечение или управление на здравни служби, и когато тези данни се обработват от здравен специалист, който е обвързан със задължение за опазване на професионална тайна или от друго лице, което също е обвързано с равностойно задължение за опазване на тайна.
4. При условие че са осигурени подходящи гаранции и по съображения от значителен обществен интерес, освен предвидените в параграф 2 изключения, при необходимост с решение на Европейския надзорен орган по защита на данните могат да се предвидят допълнителни изключения, които са предвидени от Договорите за създаване на Европейските общности или други приети въз основа на тях правни актове.
5. Обработката на данни, свързани с престъпления, присъди или мерки за сигурност може да се извършва само ако това е разрешено от Договорите за създаване на Европейските общности или други приети въз основа на тях правни актове или, при необходимост, от Европейския надзорен орган по защита на данните, при условие че са осигурени подходящи специфични гаранции.
6. Европейският надзорен орган по защита на данните определя условията, при които личен номер или друг идентификатор може да се обработва от институция или орган на Общността.
РАЗДЕЛ 4
ИНФОРМАЦИЯ, КОЯТО СЕ ПРЕДОСТАВЯ НА СУБЕКТА НА ДАННИТЕ
Член 11
Информация, която се предоставя в случаи, когато данните са получени от техния субект
1. Контролиращият орган предоставя на субекта на данните, от когото са получени свързаните с него данни, най-малко следната информация, освен ако той/тя вече не разполага с нея:
а)
данните за самоличност на контролиращия орган;
б)
целите на процесът по обработка, за който са предназначени данните;
в)
получатели или категории получатели на данните;
г)
дали отговарянето на въпросите е задължително или доброволно, както и възможните последствия при липса на отговор;
д)
наличието на право на достъп до и право на коригиране на касаещите го/я данни;
е)
всякаква друга допълнителна информация, като:
i)
правното основание на обработката, за която са предназначени данните,
ii)
сроковете за съхранение на данните,
iii)
правото да се обръща по всяко време към европейския контрольор за защита на данните,
дотолкова, доколкото такава допълнителна информация е необходима предвид конкретните обстоятелства, при които са събрани данните, за да се гарантира безпристрастност на обработката спрямо субекта на данните.
2. Чрез дерогация от разпоредбите на параграф 1 предоставянето на информация или част от нея, с изключение на информацията, посочена в параграф 1, букви а), б) и г), може да се отлага за времето, което е необходимо за статистически цели. Информацията трябва да се предостави веднага, след като престанат да съществуват причините да нейното задържане.
Член 12
Информация, която се предоставя в случаи, когато данните не са получени от техния субект
1. Когато данните не са получени от техния субект, при започване на записването на личните данни, или когато се предвижда те да бъдат разкрити пред трета страна и не по-късно от времето, когато данните се разкриват за първи път, контролиращият орган предоставя на субекта на данните най-малко следната информация, освен ако той/тя вече не разполага с нея:
а)
данните за самоличност на контролиращия орган;
б)
цели на процесът на обработка;
в)
съответните категории данни;
г)
получатели или категории получатели;
д)
наличието на право на достъп до и право на коригиране на касаещите го/я данни;
е)
всякаква друга допълнителна информация, като:
i)
правното основание на обработката, за която са предназначени данните,
ii)
сроковете за съхранение на данните,
iii)
правото да се обръща по всяко време към европейския контрольор за защита на данните,
iv)
произхода на данните, с изключение на случаите, когато контролиращият орган не може да разкрие тази информация от съображения за професионална тайна,
дотолкова, доколкото такава допълнителна информация е необходима предвид специфичните обстоятелства, при които се обработват данните, за да се гарантира безпристрастност на обработката спрямо субекта на данните.
2. Разпоредбите на параграф 1 не се прилагат по-конкретно при обработката за статистически цели или за целите на исторически или научни изследвания, когато предоставянето на такава информация е невъзможно или би било свързано с несъразмерни усилия или ако записването или разкриването на данни е изрично предвидено от правото на Общността. В тези случаи институцията или органът на Общността предвиждат подходящи гаранции, след консултация с Европейския надзорен орган по защита на данните.
РАЗДЕЛ 5
ПРАВА НА СУБЕКТА НА ДАННИ
Член 13
Право на достъп
В срок от три месеца след получаване на запитването субектът на данните има право безплатно, без ограничения и по всяко време да получи от контролиращия орган:
а)
потвърждение, дали свързаните с него/нея данни се обработват;
б)
информация най-малко за целите на обработката, съответните категории данни и получателите или категориите получатели, пред които се разкриват данните;
в)
съобщение в разбираема форма за данните, които са в процес на обработка и всякаква налична информация за техния източник;
г)
информация за логиката на всеки автоматизиран процес на решение, който го/я касае.
Член 14
Коригиране
Субектът на данните има право да получи от контролиращия орган незабавно коригиране на неточни или непълни лични данни.
Член 15
Блокиране
1. Субектът на данните има право да получи от контролиращия орган блокиране на данните, когато:
а)
точността им се оспорва от субекта на данните за срок, който позволява на контролиращия орган да провери точността, включително и пълнотата на данните, или
б)
контролиращият орган вече не се нуждае от тях за изпълнение на своите задачи, но те трябва да бъдат запазени за доказателствени цели, или
в)
обработката им е незаконна и субектът на данните не желае те да бъдат заличени, а изисква да бъдат блокирани.
2. При автоматизирани архивиращи системи блокирането по принцип се осигурява чрез технически средства. Фактът, че личните данни са блокирани се указва в системата по начин, който ясно да показва, че личните данни не могат да се ползват.
3. Блокираните съгласно разпоредбите на настоящия член лични данни, с изключение на съхранението им, се обработват единствено за доказателствени цели или със съгласието на субекта на данните, или с оглед защита на правата на трета страна.
4. Преди данните да бъдат блокирани, контролиращият орган информира субекта на данните, който е поискал и получил блокиране на неговите/нейните данни.
Член 16
Заличаване
Субектът на данните има право да получи от контролиращия орган заличаване на данните, ако тяхната обработка е незаконна, особено когато са нарушени разпоредбите на раздели 1, 2 и 3 от глава II.
Член 17
Нотифициране на трети страни
Субектът на данните има право да получи от контролиращия орган нотифициране на трети страни, пред които са били разкрити данните за всяка корекция, заличаване или блокиране по силата на членове от 13 до 16, освен ако това е невъзможно или свързано с несъразмерно големи усилия.
Член 18
Право на възражение от страна на субекта на данните
Субектът на данните има право:
а)
по всяко време на непреодолими легитимни основания, свързани с конкретното му/ѝ положение да възразява срещу обработката на свързани с него/нея данни, освен в случаите по член 5, букви б), в) и г). При наличие на основателно възражение съответните данни не могат повече да бъдат обект на обработка;
б)
да бъде информиран преди личните данни да бъдат разкрити за първи път пред трети страни или преди да бъдат използвани от тях за преки маркетингови цели, както и изрично да му бъде предоставено право на безплатно възражение срещу такова разкриване или използване.
Член 19
Автоматизирани индивидуални решения
Субектът на данните има право да не бъде обект на решение, което има правни последици за него/нея или значително го/я засяга, и което се основава единствено на автоматизирана обработка на данни, които са предназначени за оценка на някои аспекти на неговата/нейната личност, като изпълнение на професионалните му/ѝ задължения, надеждност или поведение, освен ако решението не е изрично разрешено по силата на национално или общностно законодателство или, при необходимост, от Европейския надзорен орган по защита на данните. И в двата случая трябва да се вземат мерки за защита на законните интереси на субекта на данните така че той/тя да може да изразява собствената си гледна точка.
РАЗДЕЛ 6
ИЗКЛЮЧЕНИЯ И ОГРАНИЧЕНИЯ
Член 20
Изключения и ограничения
1. Институциите и органите на Общността могат да ограничават прилагането на член 4, параграф 1, член 11, член 12, параграф 1, членове от 13 до 17 и член 37, параграф 1, когато това ограничение представлява необходима мярка за гарантиране на:
а)
предотвратяването, разследването, разкриването и съдебното преследване на престъпни деяния;
б)
важен икономически или финансов интерес на дадена държава-членка или на Европейските общности, в т.ч. валутни, бюджетни и данъчни въпроси;
в)
защитата на субекта на данни или на правата и свободите на други лица;
г)
националната сигурност, обществената безопасност или отбраната на държавите-членки;
д)
наблюдение и контрол, инспекция или регулативна функция, която е свързана, макар и случайно, с упражняването на официални правомощия в случаите по букви а) и б).
2. Разпоредбите на членове от 13 до 16 не се прилагат, когато данните се обработват единствено с цел научни изследвания или се съхраняват под формата на лични данни в продължение на период, който не надвишава необходимия период за съставяне единствено на статистика, при условие че очевидно не съществува опасност от нарушаване на личния живот на субекта на данните и че контролиращият орган предвиди подходящи правни гаранции, с които по-специално да се гарантира, че данните не се използват за вземане на мерки или решения, касаещи конкретни физически лица.
3. В случай на наложено ограничение по параграф 1, съгласно правото на Общността субектът на данните се информира за основните причини за налагане на ограничението и за правото му/ѝ да се обърне към Европейския надзорен орган по защита на данните.
4. В случай на наложено ограничение по параграф 1, основаващо се на отказ за предоставяне на субекта на достъп до данните, които го касаят, при разглеждане на жалбата Европейският надзорен орган по защита на данните го/я информира единствено за това, дали данните са били правилно обработени и, ако не са, дали са извършени необходимите корекции.
5. Предоставянето на посочената в параграфи 3 и 4 информация може да се отлага за такъв период от време, през който информацията би лишила от ефект наложеното ограничение по параграф 1.
РАЗДЕЛ 7
ПОВЕРИТЕЛНОСТ И СИГУРНОСТ НА ОБРАБОТКАТА
Член 21
Поверителност на обработката
Лице, наето на работа в институция или орган на Общността или самата институция или орган на Общността, който действа в качеството на обработващо лице, имащо достъп до лични данни, ги обработва само по нареждане на контролиращия орган, освен ако по силата на националното право или правото на Общността не се изисква друго.
Член 22
Сигурност на обработката
1. Предвид достиженията на техническия прогрес и разходите за тяхното прилагане, контролиращият орган прилага подходящи технически и организационни мерки, за да гарантира подходящо ниво на сигурност по отношение на свързаните с обработката рискове и естеството на подлежащите на защита лични данни.
По-специално такива мерки се предприемат за предотвратяване на неразрешено разкриване или достъп, случайно или незаконно унищожаване, или случайна загуба или промяна, както и за предотвратяване на всякакви други незаконни форми на обработка.
2. Когато личните данни се обработват с помощта на автоматизирани средства, се вземат подходящи мерки в зависимост от рисковете, по-конкретно с цел:
а)
предотвратяване на достъпа на неупълномощени лица до компютърните системи, с които се обработват лични данни;
б)
предотвратяване на всякаква неразрешена форма на четене, копиране, промяна или отстраняване на носители на данни;
в)
предотвратяване на всякакво неразрешено въвеждани на данни в паметта, както и всякаква форма на неразрешено разкриване, промяна или заличаване на съхранени лични данни;
г)
предотвратяване на използването на системи за обработка на данни от страна на неупълномощени лица чрез устройства за предаване на данни;
д)
гарантиране, че упълномощените потребители на дадена система за обработка на данни не могат да имат достъп до никакви други лични данни, освен тези, за които се отнася правото им на достъп;
е)
записване кои лични данни са били съобщени, кога и на кого;
ж)
гарантиране, че впоследствие е възможно да се провери кои лични данни са били обработени, кога и от кого;
з)
гарантиране, че обработваните от трети страни лични данни могат да се обработват единствено по начина, който е предписан от институцията или органа възложител;
и)
гарантиране, че по време на съобщаване на лични данни и по време на транспортиране на носители на данни не могат да се четат, копират или заличават данни без разрешение;
й)
структуриране на вътрешната организация на институциите или органите, така че да отговаря на специалните изисквания за защита на данните.
Член 23
Обработка на лични данни от името на контролиращ органи
1. Когато дадена обработка се извършва от негово име, контролиращият орган избира обработващо лице, което предоставя достатъчни гаранции по отношение на техническите и организационни мерки за сигурност, които се изискват от член 22 и гарантира тяхното спазване.
2. Извършването на обработка чрез обработващо лице се урежда с договор или юридически акт, който обвързва обработващото лице спрямо контролиращия орган и който по-специално постановява, че:
а)
обработващото лице действа единствено по указания на контролиращия орган;
б)
обработващото лице подлежи и на задълженията, които са посочени в членове 21 и 22, освен ако по силата на член 16 или член 17, параграф 3, второ тире от Директива 95/46/ЕО вече не е обвързан със задължения за поверителност и опазване на тайна, които са предвидени от националното право на една от държавите-членки.
3. За доказателствени цели частите от договора или юридическия акт във връзка със защитата на данни и изискванията във връзка с посочените в член 22 мерки са в писмена или друга равностойна форма.
РАЗДЕЛ 8
ДЛЪЖНОСТНО ЛИЦЕ ЗА ЗАЩИТА НА ДАННИТЕ
Член 24
Назначаване и задачи на длъжностното лице за защита на данните
1. Всяка институция и орган на Общността назначава най-малко едно длъжностно лице за защита на данните, което има следните задачи:
а)
да гарантира, че контролиращ органите и субектите на данните са информирани за техните права и задължения съгласно настоящия регламент;
б)
да отговаря на запитвания от страна на Европейския надзорен орган по защита на данните и в рамките на своите компетенции да сътрудничи с Европейския надзорен орган по защита на данните по искане по последния или по своя собствена инициатива;
в)
по независим начин да гарантира вътрешното прилагане на разпоредбите на настоящия регламент;
г)
да води регистър на извършените от контролиращия орган операции по обработка, който да съдържа информацията, посочена в член 25, параграф 2;
д)
да нотифицира Европейския надзорен орган по защита на данните за операциите по обработка, които има вероятност да представляват конкретна опасност по смисъла на член 27.
По този начин това лице гарантира, че операциите по обработка няма вероятност да засегнат неблагоприятно правата и свободите на субектите на данни.
2. Длъжностното лице за защита на данните се подбира въз основа на неговите/нейните лични и професионални качества и по-специално въз основа на експертните му/ѝ познания в областта на защитата на данни.
3. Изборът на длъжностно лице за защита на данните не трябва да води до конфликт на интереси между неговите/нейните задължения като длъжностно лице за защита на данните и всякакви други служебни задължения, особено по отношение на прилагането на разпоредбите на настоящия регламент.
4. Длъжностното лице за защита на данните се назначава за срок между две и пет години. Той/тя може да бъде преназначаван(а), като общата продължителност на мандата му/ѝ не може да надвишава десет години. Той/тя може да бъде освобождаван(а) от длъжността длъжностно лице за защита на данните от институцията или органа на Общността, който го/я е назначил само със съгласието на европейския контрольор за защита на данните, ако престане да отговаря на необходимите условия за изпълнение на своите задължения.
5. След назначаване на длъжностното лице за защита на данните, институцията или органът, който го/я е назначил го/я регистрира при европейския контрольор за защита на данните.
6. Институцията или органът на Общността, който е назначил длъжностното лице за защита на данните му/ѝ осигурява необходимия персонал и средства за изпълнение на неговите/нейните задължения.
7. Длъжностното лице за защита на данните не може да получава никакви инструкции по отношение на изпълнението на своите задължения.
8. Всяка институция или орган на Общността приема допълнителни правила по изпълнение във връзка с длъжностното лице за защита на данните, в съответствие с разпоредбите на приложението. Нормите за изпълнение касаят по-специално задачите, задълженията и правомощията на длъжностното лице за защита на данните.
Член 25
Нотифициране на длъжностното лице за защита на данните
1. Контролиращият орган предварително нотифицира длъжностното лице за защита на данните за всяка операция по обработка или съвкупност от такива операции, които са предназначени да обслужват една единствена или няколко свързани цели.
2. Информацията, която следва да се предоставя включва:
а)
име и адрес на контролиращия орган и посочване на организационните части на дадена институция или орган, на които е поверена обработката на лични данни за конкретна цел;
б)
цел или цели на обработката;
в)
описание на категорията или категориите субекти на данни и на свързаните с тях данни или категории данни;
г)
правното основание на обработката, за която са предназначени данните;
д)
получатели или категории получатели, пред които биха могли да бъдат разкрити данните;
е)
общо указване на сроковете за блокиране и заличаване на различните категории данни;
ж)
предлагано предаване на данни на трети страни или международни организации;
з)
общо описание, позволяващо извършването на предварителна оценка на целесъобразността на предприетите мерки съгласно член 22 за гарантиране на сигурност на обработката.
3. Длъжностното лице за защита на данните своевременно се уведомява за всяка промяна, засягаща информацията по параграф 2.
Член 26
Регистър
Всяко длъжностно лице за защита на данните води регистър за съобщените в съответствие с член 25 операции по обработка.
Регистрите съдържат най-малко информацията, която е посочена в член 25, параграф 2, букви от а) до ж). Справки в регистрите могат да се правят пряко или косвено от всяко лице чрез европейския контрольор за защита на данните.
РАЗДЕЛ 9
ПРЕДВАРИТЕЛНА ПРОВЕРКА ОТ СТРАНА НА ЕВРОПЕЙСКИЯ НАДЗОРЕН ОРГАН ПО ЗАЩИТА НА ДАННИТЕ И ЗАДЪЛЖЕНИЕ ЗА СЪТРУДНИЧЕСТВО
Член 27
Предварителна проверка
1. Операции по обработка, които поради своето естество, обхват или цели има вероятност да представляват специфични опасности за правата и свободите на субектите на данни, се подлагат на предварителна проверка от страна на Европейския надзорен орган по защита на данните.
2. Такава опасност могат да представляват следните операции:
а)
обработка на данни, свързани със здравето и предполагаеми престъпления, престъпления, присъди или мерки за неотклонение;
б)
операции по обработка, които са предназначени за оценка на аспекти на личността на субекта на данните, включително неговите/нейните способности, ефективност и поведение;
в)
операции по обработка, позволяващи връзки между данни, които се обработват за различни цели и които не са предвидени в националното или общностно законодателство;
г)
операции по обработка с цел изключване на лица от право, облага или договор.
3. Предварителните проверки се извършват от Европейския надзорен орган по защита на данните след получаване на нотификация от длъжностното лице за защита на данните, което в случай на съмнение относно необходимостта от извършване на предварителна проверка се консултира с Европейския надзорен орган по защита на данните.
4. Европейският надзорен орган по защита на данните представя становището си в срок от два месеца след получаване на нотификацията. Изтичането на този срок може временно да се прекрати, докато Европейският надзорен орган по защита на данните получи всякаква евентуално поискана от него/нея допълнителна информация. Когато сложността на въпроса го изисква, този срок може с решение на Европейския надзорен орган по защита на данните да се удължи с още два месеца. Това решение се нотифицира на контролиращия орган преди изтичане на първоначалния двумесечен срок.
При отсъствие на представено становище до края на двумесечния или евентуално удължен срок, становището се счита за положително.
Ако становището на Европейския надзорен орган по защита на данните е, че нотифицираната обработка може да включва нарушаване на някоя от разпоредбите на настоящия регламент, при необходимост, той прави предложения за избягване на такова нарушение. Когато контролиращият орган не извърши съответни промени в операцията по обработка, Европейският надзорен орган по защита на данните може да упражни правомощията, които са му/ѝ дадени по силата на член 47, параграф 1.
5. Европейският надзорен орган по защита на данните води регистър на всички операции по обработка, за които е бил(а) уведомен(а) съгласно параграф 2. Регистърът съдържа посочената в член 25 информация и е обществено достъпен за справки.
Член 28
Консултация
1. Институциите и органите на Общността информират Европейския надзорен орган по защита на данните при съставяне на административни мерки във връзка с обработката на лични данни, в която самостоятелно или съвместно с други участва институция или орган на Общността.
2. При приемане на законодателно предложение във връзка със защитата на правата и свободите на лицата по отношение на обработката на лични данни, Комисията провежда консултации с Европейския надзорен орган по защита на данните.
Член 29
Задължение за предоставяне на информация
Институциите и органите на Общността информират Европейския надзорен орган по защита на данните за предприетите мерки вследствие на негови/нейни решения или разрешения съгласно член 46, буква з).
Член 30
Задължение за сътрудничество
По искане на Европейския надзорен орган по защита на данните, контролиращият орган го/я подпомага в изпълнението на неговите/нейните задължения, по-специално чрез предоставяне на информацията по член 47, параграф 2, буква а) и чрез предоставяне на предвидения в член 47, параграф 2, буква б) достъп.
Член 31
Задължение за реагиране на твърдения
В отговор на упражняване на правомощията по член 47, параграф 1, буква б) от страна на Европейския надзорен орган по защита на данните, контролиращият орган информира надзорния орган за становището си в рамките на приемлив срок, който се определя от надзорния орган. Отговорът включва и описание на предприетите мерки, ако има такива, в отговор на отправените от Европейския надзорен орган по защита на данните забележки.
ГЛАВА III
СРЕДСТВА ЗА СЪДЕБНА ЗАЩИТА
Член 32
Средства за съдебна защита
1. Съдът на Европейските общности е компетентен да разглежда всички спорове във връзка с разпоредбите на настоящия регламент, включително искове за вреди.
2. Без да се засягат средствата за съдебна защита, всеки субект на данни може да подаде жалба до Европейския надзорен орган по защита на данните, ако счита, че са нарушени правата му/ѝ по член 286 от Договора, вследствие на обработка на негови/нейни лични данни от институция или орган на Общността.
При отсъствие на отговор от Европейския надзорен орган по защита на данните в срок от шест месеца, жалбата се счита за отхвърлена.
3. Решенията на Европейския надзорен орган по защита на данните се обжалват пред Съда на Европейските общности.
4. Всяко лице, което е претърпяло вреда в резултат на незаконна операция по обработка или всякакво несъвместимо с настоящия регламент действие, има право на обезщетение за нанесените вреди в съответствие с член 288 от Договора.
Член 33
Жалби от служители на Общността
Всяко лице, което е наето на работа в институция или орган на Общността може да подаде жалба до Европейския надзорен орган по защита на данните, без да следва официална процедура, във връзка с предполагаемо нарушение на разпоредбите на настоящия регламент, който урежда обработката на лични данни. Никой не става обект на предубеждения, заради подадена до Европейския надзорен орган по защита на данните молба, в която се твърди за нарушение на разпоредбите, които уреждат обработката на лични данни.
ГЛАВА IV
ЗАЩИТА НА ЛИЧНИТЕ ДАННИ И ЛИЧНИЯ ЖИВОТ В КОНТЕКСТА НА ВЪТРЕШНИТЕ ТЕЛЕКОМУНИКАЦИОННИ МРЕЖИ
Член 34
Обхват
Без да се засягат останалите разпоредби на настоящия регламент, разпоредбите на настоящата глава важат за обработката на лични данни във връзка с използването на телекомуникационни мрежи или терминално оборудване, които се експлоатират под контрола на институция или орган на Общността.
По смисъла на настоящата глава „потребител“ означава всяко физическо лице, което използва телекомуникационна мрежа или терминално оборудване, което се експлоатира под контрола на институция или орган на Общността.
Член 35
Сигурност
1. Институциите и органите на Общността предприемат подходящи технически и организационни мерки за гарантиране на сигурността при използването на телекомуникационните мрежи и терминално оборудване, при необходимост съвместно с доставчиците на обществени телекомуникационни услуги или доставчиците на обществени телекомуникационни мрежи. Предвид достиженията на техническия прогрес и разходите за тяхното прилагане, тези мерки осигуряват подходящо за съществуващите опасности ниво на сигурност.
2. В случай на конкретна опасност от нарушаване на сигурността на мрежата и терминалното оборудване съответната институция или орган на Общността информира потребителите за съществуването на такава опасност и за възможните средства за правна защита и алтернативни средства за комуникация.
Член 36
Поверителност на комуникациите
Институциите и органите на Общността осигуряват поверителност на комуникациите с помощта на телекомуникационни мрежи и терминално оборудване в съответствие с общите принципи на правото на Общността.
Член 37
Данни за трафика и сметките
1. Без да се засягат разпоредбите на параграфи 2, 3 и 4, свързаните с потребителите данни за трафика, които се обработват и съхраняват за установяване на обажданията и други форми на свързване по телекомуникационните мрежи се изтриват или стават анонимни при приключване на обаждането или друга форма на свързване.
2. При необходимост, данните за трафика, съгласно съгласуван с Европейския надзорен орган по защита на данните списък, могат да се обработват за целите на управлението на телекомуникационния бюджет и трафик, включително проверка за разрешено използване на телекомуникационните системи. Тези данни се изтриват или правят анонимни при първа възможност, но не по-късно от шест месеца след събирането им, освен ако не е необходимо да се съхраняват за по-дълъг период от време за установяване, упражняване или защита на право в случай на заведен съдебен иск.
3. Обработката на данни за трафика и сметките се извършва само от лица, отговарящи за управлението на сметките, трафика или бюджета.
4. Потребителите на телекомуникационните мрежи имат право да получават неподробни сметки или други документи за проведените обаждания.
Член 38
Указатели на потребителите
1. Личните данни, които се съдържат в печатни или електронни указатели на потребителите, и достъпът до тези указатели се ограничава до строго необходимото за специфичните цели на указателя.
2. Институциите и органите на Общността предприемат всички необходими мерки за предотвратяване на използването за преки маркетингови цели на съдържащите се в тези указатели лични данни, независимо дали те са или не са обществено достъпни.
Член 39
Изписване и ограничаване на идентификацията на търсещата и търсената линия
1. Когато се предлага услугата изписване на идентификацията на търсещата линия, търсещият потребител има възможност лесно и безплатно да дезактивира изписването на идентификацията на търсещата линия.
2. Когато се предлага услугата изписване на идентификацията на търсещата линия, търсеният потребител има възможност лесно и безплатно да дезактивира изписването на идентификацията на входящите повиквания.
3. Когато се предлага услугата изписване на идентификацията на търсената линия, търсеният потребител има възможност лесно и безплатно да дезактивира изписването на идентификацията на търсената линия при търсещия потребител.
4. Когато се предлага услугата изписване на търсещата или търсената линия, институциите и органите на Общността информират потребителите за тези услуги и за посочените в параграфи 1, 2 и 3 възможности.
Член 40
Дерогиране
Институциите и органите на Общността гарантират наличието на прозрачни процедури, уреждащи начина, по който те могат да отменят дезактивирането на изписването на идентификацията на търсещата линия:
а)
временно, при представяне на молба от потребител, искащ проследяване на злонамерени или досадни обаждания;
б)
за определени линии, при организационни структури, които отговарят на спешни повиквания с оглед отговарянето на такива повиквания.
ГЛАВА V
НЕЗАВИСИМ НАДЗОРЕН ОРГАН: ЕВРОПЕЙСКИ НАДЗОРЕН ОРГАН ПО ЗАЩИТА НА ДАННИТЕ
Член 41
Европейски надзорен орган по защита на данните
1. Създава се независим надзорен орган, наричан Европейски надзорен орган по защита на данните.
2. По отношение на обработката на лични данни, задачата на Европейския надзорен орган по защита на данните е да гарантира спазването от страна на институциите и органите на Общността на основните права и свободи на физическите лица, и по-специално правото им на личен живот.
Европейският надзорен орган по защита на данните отговаря за наблюдението и гарантирането на прилагането на разпоредбите на настоящия регламент и всеки друг акт на Общността, който се отнася за защитата на основните права и свободи на физическите лица по отношение на обработката на лични данни от институция или орган на Общността, както и за предоставянето на консултации на институциите и органите на Общността и субектите на данни по всички въпроси, свързани с обработката на лични данни. За целта той/тя изпълнява предвидените в член 46 задължения и упражнява дадените му/ѝ по силата на член 47 правомощия.
Член 42
Назначаване
1. Европейският надзорен орган по защита на данните се назначава с общо съгласие от Европейския парламент и Съвета за срок от пет години въз основа на съставен от Комисията списък след публично отправена покана за представяне на кандидатури.
По същата процедура и за същия срок се назначава помощник надзорен орган, който подпомага надзорния орган в изпълнението на неговите/нейните задължения и действа като негов/неин заместник, когато надзорният орган отсъства или е възпрепятстван да изпълнява задълженията си.
2. Европейският надзорен орган по защита на данните се избира измежду лица, чиято независимост не подлежи на съмнение и за които е признато, че притежават необходимите опит и умения, за да изпълняват функциите на Европейски надзорен орган по защита на данните, например поради това, че принадлежат или са принадлежали към контролните органи, посочени в член 28 от Директива 95/46/ЕО.
3. Европейският надзорен орган по защита на данните може да се назначава повторно.
4. Освен в случаите на нормална смяна или смърт, задълженията на Европейския надзорен орган по защита на данните приключват при подаване на оставка или принудително освобождаване в съответствие с параграф 5.
5. Европейският надзорен орган по защита на данните може да бъде освободен или лишен от правото на пенсия или други заместващи пенсията облаги от Съда на Европейските общности по искане на Европейския парламент, Съвета или Комисията, ако престане да отговаря на необходимите условия за изпълнение на своите задължения или в случай на тежко провинение.
6. В случай на нормална смяна или доброволна оставка Европейският надзорен орган по защита на данните въпреки всичко продължава да заема длъжността си, докато бъде сменен(а).
7. Разпоредбите на членове от 12 до 15 и член 18 от Протокола за привилегиите и имунитетите на Европейските общности се прилагат и за Европейския надзорен орган по защита на данните.
8. За помощник надзорния орган се прилагат разпоредбите на параграфи от 2 до 7.
Член 43
Правилник и общи условия за изпълнение на задълженията на Европейския надзорен орган по защита на данните, персонал и финансови средства
1. Европейският парламент, Съветът и Комисията с общо съгласие определят правилника и общите условия за изпълнение на задълженията на Европейския надзорен орган по защита на данните и по-специално неговата/нейната заплата, надбавки и всякакви други заместващи възнаграждения.
2. Бюджетният орган гарантира осигуряването на Европейския надзорен орган по защита на данните на необходимите за изпълнение на неговите/нейните задачи човешки и финансови ресурси.
3. Бюджетът на Европейския надзорен орган по защита на данните фигурира в отделна бюджетна позиция в раздел VIII на общия бюджет на Европейския съюз.
4. Европейският надзорен орган по защита на данните се подпомага от секретариат. Служителите и останалият персонал на секретариата се назначават от Европейския надзорен орган по защита на данните, който/която е техен висшестоящ ръководител, на когото те са изключително подчинени. Числеността на персонала се решава всяка година като част от бюджетната процедура.
5. Спрямо служителите и останалия персонал на Европейския надзорен орган по защита на данните се прилагат правилници и наредбите за длъжностните лица и останалия лица, наети на работа в Европейските общности.
6. По въпроси, касаещи секретарския персонал Европейският надзорен орган по защита на данните има същия статут, както институциите по смисъла на член 1 от Правилника за длъжностните лица на Европейските общности.
Член 44
Независимост
1. Европейският надзорен орган по защита на данните е напълно независим при изпълнение на своите задължения.
2. При изпълнение на своите задължения Европейският надзорен орган по защита на данните не търси и не получава инструкции от никого.
3. Европейският надзорен орган по защита на данните се въздържа от всякакви несъвместими със задълженията му/ѝ действия и по време на своя мандат не упражнява никакви други дейности, независимо дали срещу възнаграждение или безвъзмездно.
4. След приключване на мандата Европейският надзорен орган по защита на данните има почтено и дискретно поведение при приемането на назначения и облаги.
Член 45
Професионална тайна
По време и след приключване на мандата Европейският надзорен орган по защита на данните и неговият/нейният персонал подлежат на задължение за опазване на професионалната тайна по отношение на всякаква поверителна информация, която е стигнала до тяхното знание в хода на изпълнение на служебните им задължения.
Член 46
Задължения
Европейският надзорен орган по защита на данните:
а)
разглежда и разследва жалби и в разумен срок информира субекта на данните за техния изход;
б)
провежда разследвания по своя инициатива или въз основа на жалба и в разумен срок информира субекта на данните за техния изход;
в)
наблюдава и гарантира прилагането на разпоредбите на настоящия регламент и на всеки друг акт на Общността, който касае защитата на физически лица по отношение на обработката на лични данни от институция или орган на Общността, с изключение на Съда на Европейските общности при изпълнение на съдебните му функции;
г)
по своя инициатива или в отговор на отправена молба за консултация съветва всички институции и органи на Общността по всички въпроси, касаещи обработката на лични данни, по-специално преди те да съставят своите вътрешни правилници във връзка със защитата на основните права и свободи по отношение на обработката на лични данни;
д)
наблюдава развитието по-специално в областта на информационните и комуникационни технологии дотолкова, доколкото те имат въздействие върху защитата на личните данни;
е)
i)
сътрудничи с посочените в член 28 от Директива 95/46/ЕО национални контролни органи в страните, в които се прилага тази директива до необходимата степен за изпълнение на съответните им задължения, по-специално чрез обмен на полезна информация, чрез отправяне на искане към такъв орган да упражни правомощията си или чрез отговаряне на отправено от такъв орган искане;
ii)
сътрудничи и с контролните органи за защита на данните, които са учредени съгласно дял VI от Договора за Европейския съюз, по-специално с оглед подобряване на последователността в прилагането на правилата и процедурите, за чието спазване те съответно отговарят;
ж)
участва в дейността на създадената по силата на член 29 от Директива 95/46/ЕО работна група за защита на физическите лица по отношение на обработката на лични данни;
з)
определя, мотивира и огласява изключенията, гаранциите, разрешенията и условията, които са споменати в член 10, параграф 2, буква б), параграфи 4, 5 и 6, член 12, параграф 2, член 19 и член 37, параграф 2;
и)
води регистър на операциите по обработка, за които е уведомен(а) по силата на член 27, параграф 2 и които са регистрирани в съответствие с член 27, параграф 5, както и осигурява средства за достъп до водените от длъжностните лица за защита на данните регистри съгласно член 26;
й)
извършва предварителна проверка на обработката, за която е уведомен(а);
к)
определя своя процедурен правилник.
Член 47
Правомощия
1. Европейският надзорен орган по защита на данните може:
а)
да дава съвети на субектите на данни при упражняване на техните права;
б)
да сезира контролиращия орган при твърдение за нарушение на разпоредбите, уреждащи обработката на лични данни, и при необходимост да отправя предложения за изправяне на това нарушение и за подобряване на защитата на субектите на данни;
в)
да разпорежда удовлетворяването на молби за упражняване на определени права във връзка с данни, когато такива молби са били отхвърлени в нарушение на разпоредбите на членове от 13 до 19;
г)
да отправя предупреждения и мъмрене до контролиращия орган;
д)
да разпорежда коригиране, блокиране, заличаване или унищожаване на всички данни, които са били обработени в нарушение на разпоредбите, уреждащи обработката на лични данни, както и уведомяване за тези действия на трети страни, пред които са били разкрити данните;
е)
да налага временна или постоянна забрана за обработка;
ж)
да сезира съответната институция или орган на Общността, а при необходимост и до Европейския парламент, Съвета и Комисията;
з)
да сезира Съда на Европейските общности при предвидените в Договора условия;
и)
да взема участие в заведени пред Съда на Европейските общности дела.
2. Европейският надзорен орган по защита на данните има правомощия:
а)
да получава от контролиращ орган или институция или орган на Общността цялата информация, която е необходима за неговите/нейните разследвания;
б)
да получава достъп до всички помещения, в които контролиращ орган или институция или орган на Общността осъществява своята дейност, когато са налице основателни причини да се предполага, че в тях се осъществява дейност, която е предмет на настоящия регламент.
Член 48
Отчет за дейността
1. Европейският надзорен орган по защита на данните представя годишен отчет за дейността си пред Европейския парламент, Съвета и Комисията, който същевременно се огласява публично.
2. Европейският надзорен орган по защита на данните изпраща отчет за дейността си на другите институции и органи на Общността, които могат да представят коментари с оглед на евентуалното разглеждане на отчета в Европейския парламент, по-специално по отношение на описанието на предприетите мерки в отговор на отправените съгласно член 31 забележки от европейския контрольор за защита на данните.
ГЛАВА VI
ЗАКЛЮЧИТЕЛНИ РАЗПОРЕДБИ
Член 49
Санкции
Всяко неспазване на задължения съгласно настоящия регламент от страна на служител или друго длъжностно лице на Европейските общности, независимо дали преднамерено или по непредпазливост, води до дисциплинарни санкции в съответствие с правилата и процедурите, които са предвидени в Правилника за длъжностните лица на Европейските общности или в съответствие с приложимите за други длъжностни лица условия за наемане на работа.
Член 50
Преходен период
Институциите и органите на Общността гарантират, че операциите по обработка, които вече са в ход в деня на влизане в сила на настоящия регламент, ще бъдат приведени в съответствие с настоящия регламент в срок от една година от тази дата.
Член 51
Влизане в сила
Настоящият регламент влиза в сила на двадесетия ден след публикуването му в Официален вестник на Европейските общности.
Настоящият регламент е задължителен в своята цялост и се прилага пряко във всички държави-членки.
Съставено в Брюксел на 18 декември 2000 година.