32001R0045
L 008/1
ОФИЦИАЛЕН ВЕСТНИК НА ЕВРОПЕЙСКИЯ СЪЮЗ
РЕГЛАМЕНТ (ЕО) № 45/2001 НА ЕВРОПЕЙСКИЯ ПАРЛАМЕНТ И НА СЪВЕТА
от 18 декември 2000 година
относно защитата на лицата по отношение на обработката на лични данни от институции и органи на Общността и за свободното движение на такива данни
ЕВРОПЕЙСКИЯТ ПАРЛАМЕНТ И СЪВЕТЪТ НА ЕВРОПЕЙСКИЯ СЪЮЗ,
като взеха предвид Договора за създаване на Европейската общност, и по-специално член 286 от него,
като взеха предвид предложението на Комисията (1),
като взеха предвид становището на Икономическия и социален комитет (2),
в съответствие с процедурата, предвидена в член 251 от Договора (3),
като имат предвид, че:
(1)
Член 286 от Договора изисква актовете на Общността относно защитата на лицата по отношение на обработката на лични данни и свободното движение на такива данни да се прилагат спрямо институциите и органите на Общността.
(2)
Една напълно функционална система за защита на личните данни изисква да се определят не само права за субектите на данни и задължения за онези, които обработват лични данни, но и подходящи санкции за нарушителите и за наблюдение и контрол от страна на независим надзорен орган.
(3)
Член 286, параграф 2 от Договора изисква създаването на независим надзорен орган, който да отговаря за наблюдението и контрола върху прилагането на тези актове на Общността спрямо институциите и органите на Общността.
(4)
Член 286, параграф 2 от Договора изисква приемането по целесъобразност на всякакви други свързани с това разпоредби.
(5)
Необходим е регламент, който да осигурява на физическите лица законно приложими права, да определя свързаните с обработката на данни задължения на контролните органи в рамките на институциите и органите на Общността и да създаде независим надзорен орган, който да отговаря за наблюдението и контрола на обработката на лични данни от институциите и органите на Общността.
(6)
Проведени са консултации с работната група за защита на лицата по отношение на обработката на лични данни, която е сформирана съгласно член 29 от Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 г. за защита на физическите лица по отношение на обработката на лични данни и за свободното движение на такива данни (4).
(7)
Лицата, които ще бъдат обект на защита са онези, чиито лични данни при каквито и да е обстоятелства се обработват от институции или органи на Общността, например поради това, че са служители на тези институции или органи.
(8)
Принципите за защита на данните следва да се прилагат по отношение на всяка информация, която се отнася за идентифицирано или идентифицируемо лице. За да се определи, дали може да се установи самоличността на дадено лице, следва да се вземат предвид всички приемливи средства, с които може да си послужи контролиращия орган или което и да е друго лице с оглед идентифицирането на посоченото лице. Принципите за защита не следва да се прилагат по отношение на данни с анонимен характер по такъв начин, че субектът на данните не е повече идентифицируем.
(9)
Директива 95/46/ЕО изисква от държавите-членки да защитават основните права и свободи на физическите лица, и по-специално правото им на личен живот по отношение на обработката на лични данни, за да се гарантира свободно движение на лични данни в Общността.
(10)
Директива 97/66/ЕО на Европейския парламент и на Съвета от 15 декември 1997 г. относно обработката на лични данни и защитата на личния живот в телекомуникационния сектор (5) уточнява и допълва Директива 95/46/ЕО по отношение на обработката на лични данни в телекомуникационния сектор.
(11)
Различни други мерки на Общността, в т.ч. мерки за взаимопомощ между националните органи и Комисията, също са предназначени да уточняват и допълват Директива 95/46/ЕО в секторите, за които се отнасят.
(12)
Необходимо е да се гарантира последователно и еднакво прилагане на територията на цялата Общност на правилата за защита на основните права и свободи на физическите лица по отношение на обработката на лични данни.
(13)
Целта е едновременно да се гарантира ефективно спазване на правилата, които уреждат защитата на основните права и свободи на отделните лица и свободното движение на лични данни между държавите-членки и институциите и органите на Общността или между институциите и органите на Общността във връзка с упражняването на съответните им компетенции.
(14)
За целта следва да се приемат мерки, които да са задължителни за институциите и органите на Общността. Тези мерки следва да се прилагат за всички обработки на лични данни от страна на всички институции и органи на Общността дотолкова, доколкото се извършват при упражняване на дейности, които изцяло или частично попадат в обхвата на правото на Общността.
(15)
Когато тази обработка се извършва от институции или органи на Общността при упражняване на дейности, попадащи извън обхвата на настоящия регламент, по-специално посочените в дялове V и VI от Договора за Европейския съюз, защитата на основните права и свободи на отделните лица се гарантира при надлежно съблюдаване на разпоредбите на член 6 от Договора за Европейския съюз. Достъпът до документи, включително и условията за достъп до документи, съдържащи лични данни, се урежда от правилата, които са приети въз основа на член 255 от Договора за създаване на Европейската общност, чийто обхват включва дялове V и VI от Договора за Европейския съюз.
(16)
Мерките не следва да се прилагат спрямо органи, които са установени извън рамките на Общността, а Европейският надзорен орган по защита на данните не следва да е компетентен да наблюдава и контролира обработката на лични данни от такива органи.
(17)
Ефективността на защитата на лицата по отношение на обработката на лични данни в Съюза предполага последователност на съответните правила и процедури, които са приложими за дейности, принадлежащи към различен правен контекст. Разработването на основни принципи за защита на личните данни в областта на правното сътрудничество по наказателни въпроси и полицейското и митническо сътрудничество, както и създаването на секретариат за съвместните надзорни органи, учредени от конвенцията за Европол, Конвенцията за използване на информационни технологии за митнически цели и Шенгенската конвенция представляват първа стъпка в тази посока.
(18)
Настоящият регламент не следва да засяга правата и задълженията на държавите-членки съгласно Директиви 95/46/ЕО и 97/66/ЕО. В съответствие с Протокола за привилегиите и имунитетите на Европейските общности и международното право той няма за цел да променя законно прилагани от държавите-членки действащи процедури и практики в областта на националната сигурност, предотвратяването на безредици или предотвратяването, разкриването, разследването и съдебното преследване на престъпни деяния.
(19)
Институциите и органите на Общността следва да информират компетентните власти на държавите-членки, когато считат, че трябва да се извърши подслушване на съобщения по техните телекомуникационни мрежи при съблюдаване на приложимите национални разпоредби.
(20)
Приложимите разпоредби спрямо институциите и органите на Общността следва да съответстват на разпоредбите, които са предвидени във връзка с хармонизирането на националните законодателства или осъществяването на други политика на Общността, предимно в сферата на взаимната помощ. Все пак, когато става въпрос за гарантиране на защита в случая на обработката на лични данни от институции и органи на Общността, може да се наложи уточняване и допълване на тези разпоредби.
(21)
Същото важи и за правата на лицата, чиито данни се обработват, за задълженията на извършващите обработката институции и органи на Общността и за правомощията, които следва да се предоставят на независимия надзорен орган, който ще отговаря за правилното прилагане на настоящия регламент.
(22)
Предоставените на субекта на данни права и тяхното упражняване не трябва да влияят на наложените на контролиращия орган задължения.
(23)
Независимият надзорен орган следва да упражнява надзорните си функции в съответствие с Договора и при съблюдаване на правата на човека и основните свободи. Той следва да провежда своите разследвания в съответствие с Протокола за привилегиите и имунитетите, Правилника за служителите на Европейските общности и с приложимите условия за наемане на работа на други служители на Общностите.
(24)
Следва да се приемат необходимите технически мерки, които да позволяват достъп чрез независимия надзорен орган до водените от длъжностните лица за защита на данните регистри за извършените операции по обработка на лични данни.
(25)
Решенията на независимия надзорен орган относно отмяната на разпоредби, гаранциите, разрешенията и условията във връзка с операциите по обработка на данни, както са определени в настоящия регламент, следва да се публикуват в отчет за дейността. Независимо от публикуването на годишен отчет за дейността, независимият надзорен орган може да публикува отчети по конкретни теми.
(26)
Някои свързани с обработката на данни операции, които биха могли да крият конкретни опасности по отношение на правата и свободите на субектите на данни, се подлагат на предварителна проверка от независимия надзорен орган. Даденото в контекста на такава предварителна проверка становище, включително и становището, произтичащо от отсъствие на отговор в рамките на определен срок, не засяга последващото упражняване от страна на независимия надзорен орган на неговите правомощия по отношение на въпросната операция по обработка на данни.
(27)
Обработката на лични данни за осъществяване на задачите, които институциите и органи на Общността изпълняват в интерес на обществото, включва обработка на лични данни, които са необходими за управлението и функционирането на тези институции и органи.
(28)
В някои случаи обработката на данни следва да бъде разрешена от разпоредби на Общността или актове, които въвеждат разпоредби на Общността. Въпреки това, през преходния период, по време на който не съществуват такива разпоредби, и докато те бъдат приети, Европейският надзорен орган по защита на данните може да разрешава обработката на такива данни, при условие че бъдат приети подходящи гаранции. В тази връзка той/тя следва да отчита приетите от държавите-членки разпоредби за подобни случаи.
(29)
Тези случаи касаят обработката на данни, разкриващи расов или етнически произход, политически възгледи, религиозни или философски убеждения или членство в синдикални организации и обработката на данни, касаещи здравето или сексуалния живот, които са необходими за спазването на конкретните права и задължения на контролния орган в областта на трудовото законодателство или по причини от значителен обществен интерес. Те касаят и обработката на данни, свързани с нарушения, присъди или мерки за сигурност и разрешение за прилагане спрямо субекта на данните на решение, което създава правни ефекти за него/нея или значително го/я засяга и което се основава единствено на автоматизирана обработка на данни, предназначени за оценяване на определени аспекти на неговата/нейната личност.
(30)
Може да е необходимо да се наблюдават и контролират компютърните мрежи, които се експлоатират под контрола на институциите и органите на Общността с цел предотвратяване на неразрешено използване. Европейският надзорен орган по защита на данните следва да определи, дали и при какви условия е възможно това.
(31)
Отговорността, която произтича от нарушаване на разпоредбите на настоящия регламент, е уредена в член 288, втори параграф от Договора.
(32)
Във всяка институция или орган на Общността трябва да има едно или повече длъжностни лица за защита на данните, които да гарантират прилагането на разпоредбите на настоящия регламент и да съветват контролиращите органи по изпълнението на техните задължения.
(33)
Съгласно член 21 от Регламент (ЕО) № 322/97 на Съвета от 17 февруари 1997 г. относно статистиката на Общността (6), регламентът трябва да се прилага, без да се засягат разпоредбите на Директива 95/46/ЕО.
(34)
Съгласно член 8, параграф 8 от Регламент (ЕО) № 2533/98 на Съвета от 23 ноември 1998 г. относно събирането на статистическа информация от Европейската централна банка (7), регламентът трябва да се прилага, без да се засягат разпоредбите на Директива 95/46/ЕО.
(35)
Съгласно член 1, параграф 2 от Регламент (Евратом, ЕИО) № 1588/90 на Съвета от 11 юни 1990 г. относно изпращането в Статистическата служба на Европейските общности на данни, които са обект на статистическа тайна (8), регламентът не прави изключение от специалните общностни или национални разпоредби във връзка със защитата на поверителна информация, различна от статистическа тайна.
(36)
В съответствие с член 249 от Договора настоящият регламент няма за цел да ограничава свободата на действие на държавите-членки в съставянето на националните им закони за защита на данните, съгласно член 32 от Директива 95/46/ЕО,
ПРИЕХА НАСТОЯЩИЯ РЕГЛАМЕНТ:
ГЛАВА I
ОБЩИ РАЗПОРЕДБИ
Член 1
Предмет на регламента
1. В съответствие с настоящия регламент институциите и органите, които са създадени от или въз основа на Договорите за създаване на Европейските общности, оттук нататък наричани „институции или органи на Общността“, защитават основните права и свободи на физическите лица, и по-специалноправото им на личен живот по отношение на обработката на лични данни, както и не ограничават или забраняват свободното движение на лични данни помежду си или до получатели, спрямо които се прилага националното право на държавите-членки, които изпълняват Директива 95/46/ЕО.
2. Учреденият с настоящия регламент независим надзорен орган, оттук нататък наричан „Европейски надзорен орган по защита на данните“, наблюдава и контролира прилагането на разпоредбите на настоящия регламент по отношение на всички операции по обработка на лични данни, извършвани от институция или орган на Общността.
Член 2
Определения
По смисъла на настоящия регламент:
а)
„лични данни“ означава всяка информация, свързана с физическо лице с установена или подлежаща на установяване самоличност, оттук нататък наричано „субект на данни“; лице с подлежаща на установяване самоличност е лице, чиято самоличност може пряко или косвено да се установи, по-специално по идентификационен номер или по един или повече специфични фактора за неговата/нейната физическа, психологическа, психична, икономическа, културна или социална самоличност;
б)
„обработка на лични данни“, оттук нататък наричана „обработка“, означава всяка операция или съвкупност от операции, които се извършват с или без автоматични средства по отношение на личните данни, като събиране, записване, организиране, съхранение, адаптиране или промяна, извличане, справка, използване, разкриване чрез изпращане, разпространение или другояче предоставяне, подреждане или комбиниране, блокиране, заличаване или унищожаване;
в)
„система за архивиране на лични данни“, оттук нататък наричана „архивираща система“, означава всяка структурирана съвкупност от лични данни, достъпът до която се осъществява по специфични критерии, независимо дали тази съвкупност е централизирана, децентрализирана или разделена по функционален или географски принцип;
г)
„контролиращ орган“ означава институцията или органът на Общността, Генералната дирекция, звеното или всяка друга организационна структура, която самостоятелно или съвместно с други определя целите и средствата за обработка на лични данни; когато целите и средствата за обработка са определени със специфичен акт на Общността, с този акт на Общността може да се посочи контролиращият орган или специфичните критерии за неговото определяне.
д)
„обработващо лице“ означава физическо или юридическо лице, публична власт, агенция или всеки друг орган, който извършва обработка на лични данни от името на контролиращия орган;
е)
„трета страна“ означава физическо или юридическо лице, обществен орган, агенция или орган, различен от субекта на данни, контролиращия орган, обработващото лице и лицата, които са упълномощени да обработват данните под прекия контрол на контролиращия орган или обработващото лице;
ж)
„получател“ означава физическо или юридическо лице, публична власт, агенция или друг орган, пред който се разкриват данните, независимо дали той е или не е трета страна; все пак органите, които могат да получават данни в рамките на конкретно следствие не се считат за получатели;
з)
„съгласие на субекта на данни“ означава всеки свободно даден, конкретен и информиран израз на воля, с която той/тя изразява съгласието си да бъдат обработвани личните му/ѝ данни.
Член 3
Обхват
1. Настоящият регламент се прилага за обработката на данни от всички институции и органи на Общността дотолкова, доколкото тази обработка се извършва при упражняване на дейности, които изцяло или частично попадат в обхвата на правото на Общността.
2. Настоящият регламент се прилага за обработката на данни, която изцяло или частично се извършва чрез автоматични средства, както и за неавтоматичната обработка на лични данни, които съставляват част от архивираща система или са предназначени да бъдат част от архивираща система.
ГЛАВА II
ОБЩИ ПРАВИЛА ЗА ЗАКОНОСЪОБРАЗНОСТ НА ОБРАБОТКАТА НА ЛИЧНИ ДАННИ
РАЗДЕЛ 1
ПРИНЦИПИ ОТНОСНО КАЧЕСТВОТО НА ДАННИТЕ
Член 4
Качество на данните
1. Личните данни трябва да бъдат:
а)
безпристрастно и законно обработвани;
б)
събирани за конкретни, изрично указани и законни цели и да не бъдат впоследствие обработвани по несъвместим с тези цели начин. Последващата обработка за исторически, статистически или научни цели не се счита за несъвместима, при условие че контролиращият орган предвиди подходящи защитни мерки, с които по-конкретно да се гарантира, че данните няма да бъдат обработвани за никакви други цели или няма да бъдат използвани в подкрепа на мерки или решения, засягащи конкретно физическо лице;
в)
достатъчни, уместни и не повече от необходимото предвид целите, за които се събират и/или обработват впоследствие;
г)
точни и при необходимост актуализирани; трябва да се предприемат всички разумни стъпки, за да се гарантира заличаването или коригирането на неточни или непълни данни предвид целите, за които те се събират или обработват впоследствие;
д)
съхранявани по начин, който позволява установяване на самоличността на субектите на данни в продължение на период, който не надвишава необходимото за целите, за които се събират или впоследствие обработват данните. Институцията или органът на Общността регламентират съхраняването на лични данни, които трябва да се пазят за по-дълги периоди за исторически, статистически или научни цели да се извършва само в анонимна форма или, ако това не е възможно, само с кодиране на самоличността на субектите на данни. Във всички случаи данните не се използват за никакви други, освен исторически, статистически или научни цели.
2. Контролиращият орган е длъжен да гарантира спазването на разпоредбите на параграф 1.
РАЗДЕЛ 2
КРИТЕРИИ ЗА ЛЕГИТИМНА ОБРАБОТКА НА ДАННИ
Член 5
Законосъобразност на обработката
Лични данни могат да се обработват само ако:
а)
обработката е необходима за изпълнението на задача, която в интерес на обществото въз основа на Договорите за създаване на Европейските общности или други приети въз основа на тях юридически актове или при легитимно упражняване на официални правомощия, предоставени на институцията или органа на Общността или на трета страна, пред която се разкриват данните, или
б)
обработката е необходима за съобразяване със законно задължение, което се прилага спрямо контролиращия орган, или
в)
обработката е необходима за изпълнението на договор, по който субектът на данни е страна или за предприемане на стъпки по искане на субекта на данните преди сключването на договор, или
г)
субектът на данните недвусмислено е дал своето съгласие, или
д)
обработката е необходима за защита на жизнените интереси на субекта на данните.
Член 6
Промяна на целта
Без да се засягат разпоредбите на членове 4, 5 и 10:
1.
Лични данни се обработват за цели, различни от тези, за които са били събрани само ако промяната на целта е изрично разрешена от вътрешния правилник на институцията или органа на Общността.
2.
Лични данни, които са събрани изключително за гарантиране на сигурността или контрола на обработващите системи или операцаци, не се използват за никакви други цели, с изключение на такива, свързани с предотвратяване, разследване, разкриване и съдебно преследване на тежки криминални престъпления.
Член 7
Предаване на лични данни вътрешно или между институции или органи на Общността
Без да се засягат разпоредбите на членове 4, 5, 6 и 10:
1.
Лични данни се предават вътрешно или на други институции или органи на Общността само ако данните са необходими за законното изпълнение на задачи от компетенциите на получателя.
2.
Когато данните се предават по молба на получателя, контролиращият орган и получателят едновременно носят отговорност за легитимността на предаването.
Контролиращият орган е длъжен да провери компетенциите на получателя и да извърши предварителна оценка на необходимостта от предаване на данните. В случай на възникнали съмнения относно тази необходимост, контролиращият орган изисква допълнителна информация от получателя.
Получателят гарантира, че необходимостта от предаване на данните може да бъде впоследствие проверена.
3.
Получателят обработва личните данни само за целите, за които те са предадени.
Член 8
Предаване на лични данни на получатели, които са различни от институции и органи на Общността и спрямо които се прилагат разпоредбите на Директива 95/46/ЕО
Без да се засягат разпоредбите на членове 4, 5, 6 и 10, лични данни се предават на получатели, които са подчинени на разпоредбите на национално законодателство, прието в изпълнение на Директива 95/46/ЕО само ако:
а)
получателят удостовери, че данните са необходими за изпълнението на задача, която се осъществява в интерес на обществото или е предмет на упражняване на публична власт, или
б)
получателят удостовери необходимостта от предаване на данните, и ако няма основания да се предполага, че биха могли да бъдат засегнати легитимните интереси на субекта на данните.
Член 9
Предаване на лични данни на получатели, които са различни от институции и органи на Общността, спрямо които не се прилагат разпоредбите на Директива 95/46/ЕО
1. Лични данни се предават на получатели, които са различни от институции и органи на Общността и не са подчинени на разпоредбите на национално право, прието съобразно Директива 95/46/ЕО само ако в страната на получателя или в рамките на международната организация-получател е гарантирана достатъчно ниво на защита и данните се предават единствено с оглед изпълнение на задачи, които са от компетенциите на контролиращия орган.
2. Достатъчното ниво на защита, която се гарантира от съответната трета страна или международна организация се оценява в светлината на всички обстоятелства около дадена операция или съвкупност от операции по предаване на данни; особено внимание се обръща на естеството на данните, целта и продължителността на предлаганата операция или операции по предаване, третата страна-получател или международната организация-получател, действащите в съответната трета страна или международна организация общи и отраслови правни правила и професионалните правила и мерки за сигурност, които се спазват в тази трета страна или международна организация.
3. Институциите и органите на Общността информират Комисията и Европейския надзорен орган по защита на данните за случаи, в които те считат, че съответната трета страна или международна организация не гарантира достатъчно ниво на защита по смисъла на параграф 2.
4. Комисията информира държавите-членки за всички случаи по параграф 3.
5. Институциите и органите на Общността предприемат необходимите мерки, за да се съобразят с взетите от Комисията решения, когато съгласно член 25, параграфи 4 и 6 от Директива 95/46/ЕО тя установява, че дадена трета страна или международна организация гарантира или не достатъчно ниво на защита.
6. Чрез дерогация от разпоредбите на параграфи 1 и 2, институцията или органът на Общността може да предава лични данни, ако:
а)
субектът на данните е дал недвусмислено съгласие за предлаганото предаване, или
б)
предаването е необходимо за изпълнението на договор между субекта на данните и контролиращия орган или за изпълнението на мерки преди сключването на договор в отговор на молба от страна на субекта на данните, или
в)
предаването е необходимо за сключването или изпълнението на договор, който е сключен между контролиращия орган и трета страна в интерес на субекта на данните, или
г)
предаването е необходимо или установено по закон на основания, свързани с важен обществен интерес или за установяването, упражняването или защитата на правни искове, или
д)
предаването е необходимо за защита на жизнените интереси на субекта на данните, или
е)
предаването се извършва от регистър, който съгласно правото на Общността е предназначен за предоставяне на информация на обществеността и е открит за извършване на справки от обществеността въобще или от всяко лице, което явно покаже легитимен интерес, при условие че в конкретния случай са изпълнени предвидените в правото на Общността условия за извършване на справки.
7. Без да се засягат разпоредбите на параграф 6, Европейският надзорен орган по защита на данните може да разрешава предаване или съвкупност от предавания на лични данни на трета страна или международна организация, която не гарантира достатъчно ниво на защита по смисъла на параграфи 1 и 2, когато контролиращият орган дава достатъчни гаранции по отношение на защитата на личния живот и основните права и свободи на физическите лица и по отношение на упражняването на съответните права; по-специално, тези гаранции могат да произтичат от подходящи договорни клаузи.
8. Институциите и органите на Общността информират Европейския надзорен орган по защита на данните за категориите случаи, в които са приложили разпоредбите на параграфи 6 и 7.
РАЗДЕЛ 3
СПЕЦИАЛНИ КАТЕГОРИИ ОБРАБОТКА
Член 10
Обработка на специални категории данни
1. Забранява се обработката на лични данни, разкриващи расов или етнически произход, политически възгледи, религиозни или философски убеждения, членство в синдикални организации, както и данни, свързани със здравето или сексуалния живот.
2. Разпоредбите на параграф 1 не се прилагат, когато:
а)
субектът на данните е дал своето изрично съгласие за обработка на такива данни, освен в случаите, когато вътрешният правилник на институцията или органа на Общността предвижда, че посочената в параграф 1 забрана не може да се отменя чрез даването на съгласие от страна на субекта на данните, или
б)
обработката е необходима, с цел съобразяване със специфични права и задължения на контролиращия орган в областта на трудовото право дотолкова, доколкото това е разрешено от Договорите за създаване на Европейските общности или други приети въз основа на тях правни актове или при необходимост дотолкова, доколкото това е съгласувано с Европейския надзорен орган по защита на данните при условията на осигуряване на достатъчни мерки за защита, или
в)
обработката е необходима за защита на жизнените интереси на субекта на данните или на друго лице, когато субектът на данните е физически или юридически неспособен да даде своето съгласие, или
г)
обработката касае данни, които са публично обявени от субекта на данните, или ако е необходима за установяване, упражняване или защита на правни искове, или
д)
обработката се извършва в хода на легитимно упражняваните дейности и при подходящи мерки за защита от орган с нестопанска цел, който представлява интегрирана в дадена институция или орган на Общността структура, която по силата на член 4 от Директива 95/46/ЕО не е подчинена на разпоредбите на национално законодателство за защита на данните, както и когато се извършва с политическа, философска, религиозна или синдикална цел и при условие че обработката касае единствено членове на този орган или лица, които редовно контактуват с него във връзка с неговите цели и че данните не се разкриват пред трета страна без съгласието на субектите на данните.
3. Разпоредбите на параграф 1 не се прилагат, когато обработката на данните е необходима за медицински цели, свързани с профилактика, диагностициране, осигуряване на здравна помощ или лечение или управление на здравни служби, и когато тези данни се обработват от здравен специалист, който е обвързан със задължение за опазване на професионална тайна или от друго лице, което също е обвързано с равностойно задължение за опазване на тайна.
4. При условие че са осигурени подходящи гаранции и по съображения от значителен обществен интерес, освен предвидените в параграф 2 изключения, при необходимост с решение на Европейския надзорен орган по защита на данните могат да се предвидят допълнителни изключения, които са предвидени от Договорите за създаване на Европейските общности или други приети въз основа на тях правни актове.
5. Обработката на данни, свързани с престъпления, присъди или мерки за сигурност може да се извършва само ако това е разрешено от Договорите за създаване на Европейските общности или други приети въз основа на тях правни актове или, при необходимост, от Европейския надзорен орган по защита на данните, при условие че са осигурени подходящи специфични гаранции.
6. Европейският надзорен орган по защита на данните определя условията, при които личен номер или друг идентификатор може да се обработва от институция или орган на Общността.
РАЗДЕЛ 4
ИНФОРМАЦИЯ, КОЯТО СЕ ПРЕДОСТАВЯ НА СУБЕКТА НА ДАННИТЕ
Член 11
Информация, която се предоставя в случаи, когато данните са получени от техния субект
1. Контролиращият орган предоставя на субекта на данните, от когото са получени свързаните с него данни, най-малко следната информация, освен ако той/тя вече не разполага с нея:
а)
данните за самоличност на контролиращия орган;
б)
целите на процесът по обработка, за който са предназначени данните;
в)
получатели или категории получатели на данните;
г)
дали отговарянето на въпросите е задължително или доброволно, както и възможните последствия при липса на отговор;
д)
наличието на право на достъп до и право на коригиране на касаещите го/я данни;
е)
всякаква друга допълнителна информация, като:
i)
правното основание на обработката, за която са предназначени данните,
ii)
сроковете за съхранение на данните,
iii)
правото да се обръща по всяко време към европейския контрольор за защита на данните,
дотолкова, доколкото такава допълнителна информация е необходима предвид конкретните обстоятелства, при които са събрани данните, за да се гарантира безпристрастност на обработката спрямо субекта на данните.
2. Чрез дерогация от разпоредбите на параграф 1 предоставянето на информация или част от нея, с изключение на информацията, посочена в параграф 1, букви а), б) и г), може да се отлага за времето, което е необходимо за статистически цели. Информацията трябва да се предостави веднага, след като престанат да съществуват причините да нейното задържане.
Член 12
Информация, която се предоставя в случаи, когато данните не са получени от техния субект
1. Когато данните не са получени от техния субект, при започване на записването на личните данни, или когато се предвижда те да бъдат разкрити пред трета страна и не по-късно от времето, когато данните се разкриват за първи път, контролиращият орган предоставя на субекта на данните най-малко следната информация, освен ако той/тя вече не разполага с нея:
а)
данните за самоличност на контролиращия орган;
б)
цели на процесът на обработка;
в)
съответните категории данни;
г)
получатели или категории получатели;
д)
наличието на право на достъп до и право на коригиране на касаещите го/я данни;
е)
всякаква друга допълнителна информация, като:
i)
правното основание на обработката, за която са предназначени данните,
ii)
сроковете за съхранение на данните,
iii)
правото да се обръща по всяко време към европейския контрольор за защита на данните,
iv)
произхода на данните, с изключение на случаите, когато контролиращият орган не може да разкрие тази информация от съображения за професионална тайна,
дотолкова, доколкото такава допълнителна информация е необходима предвид специфичните обстоятелства, при които се обработват данните, за да се гарантира безпристрастност на обработката спрямо субекта на данните.
2. Разпоредбите на параграф 1 не се прилагат по-конкретно при обработката за статистически цели или за целите на исторически или научни изследвания, когато предоставянето на такава информация е невъзможно или би било свързано с несъразмерни усилия или ако записването или разкриването на данни е изрично предвидено от правото на Общността. В тези случаи институцията или органът на Общността предвиждат подходящи гаранции, след консултация с Европейския надзорен орган по защита на данните.
РАЗДЕЛ 5
ПРАВА НА СУБЕКТА НА ДАННИ
Член 13
Право на достъп
В срок от три месеца след получаване на запитването субектът на данните има право безплатно, без ограничения и по всяко време да получи от контролиращия орган:
а)
потвърждение, дали свързаните с него/нея данни се обработват;
б)
информация най-малко за целите на обработката, съответните категории данни и получателите или категориите получатели, пред които се разкриват данните;
в)
съобщение в разбираема форма за данните, които са в процес на обработка и всякаква налична информация за техния източник;
г)
информация за логиката на всеки автоматизиран процес на решение, който го/я касае.
Член 14
Коригиране
Субектът на данните има право да получи от контролиращия орган незабавно коригиране на неточни или непълни лични данни.
Член 15
Блокиране
1. Субектът на данните има право да получи от контролиращия орган блокиране на данните, когато:
а)
точността им се оспорва от субекта на данните за срок, който позволява на контролиращия орган да провери точността, включително и пълнотата на данните, или
б)
контролиращият орган вече не се нуждае от тях за изпълнение на своите задачи, но те трябва да бъдат запазени за доказателствени цели, или
в)
обработката им е незаконна и субектът на данните не желае те да бъдат заличени, а изисква да бъдат блокирани.
2. При автоматизирани архивиращи системи блокирането по принцип се осигурява чрез технически средства. Фактът, че личните данни са блокирани се указва в системата по начин, който ясно да показва, че личните данни не могат да се ползват.
3. Блокираните съгласно разпоредбите на настоящия член лични данни, с изключение на съхранението им, се обработват единствено за доказателствени цели или със съгласието на субекта на данните, или с оглед защита на правата на трета страна.
4. Преди данните да бъдат блокирани, контролиращият орган информира субекта на данните, който е поискал и получил блокиране на неговите/нейните данни.
Член 16
Заличаване
Субектът на данните има право да получи от контролиращия орган заличаване на данните, ако тяхната обработка е незаконна, особено когато са нарушени разпоредбите на раздели 1, 2 и 3 от глава II.
Член 17
Нотифициране на трети страни
Субектът на данните има право да получи от контролиращия орган нотифициране на трети страни, пред които са били разкрити данните за всяка корекция, заличаване или блокиране по силата на членове от 13 до 16, освен ако това е невъзможно или свързано с несъразмерно големи усилия.
Член 18
Право на възражение от страна на субекта на данните
Субектът на данните има право:
а)
по всяко време на непреодолими легитимни основания, свързани с конкретното му/ѝ положение да възразява срещу обработката на свързани с него/нея данни, освен в случаите по член 5, букви б), в) и г). При наличие на основателно възражение съответните данни не могат повече да бъдат обект на обработка;
б)
да бъде информиран преди личните данни да бъдат разкрити за първи път пред трети страни или преди да бъдат използвани от тях за преки маркетингови цели, както и изрично да му бъде предоставено право на безплатно възражение срещу такова разкриване или използване.
Член 19
Автоматизирани индивидуални решения
Субектът на данните има право да не бъде обект на решение, което има правни последици за него/нея или значително го/я засяга, и което се основава единствено на автоматизирана обработка на данни, които са предназначени за оценка на някои аспекти на неговата/нейната личност, като изпълнение на професионалните му/ѝ задължения, надеждност или поведение, освен ако решението не е изрично разрешено по силата на национално или общностно законодателство или, при необходимост, от Европейския надзорен орган по защита на данните. И в двата случая трябва да се вземат мерки за защита на законните интереси на субекта на данните така че той/тя да може да изразява собствената си гледна точка.
РАЗДЕЛ 6
ИЗКЛЮЧЕНИЯ И ОГРАНИЧЕНИЯ
Член 20
Изключения и ограничения
1. Институциите и органите на Общността могат да ограничават прилагането на член 4, параграф 1, член 11, член 12, параграф 1, членове от 13 до 17 и член 37, параграф 1, когато това ограничение представлява необходима мярка за гарантиране на:
а)
предотвратяването, разследването, разкриването и съдебното преследване на престъпни деяния;
б)
важен икономически или финансов интерес на дадена държава-членка или на Европейските общности, в т.ч. валутни, бюджетни и данъчни въпроси;
в)
защитата на субекта на данни или на правата и свободите на други лица;
г)
националната сигурност, обществената безопасност или отбраната на държавите-членки;
д)
наблюдение и контрол, инспекция или регулативна функция, която е свързана, макар и случайно, с упражняването на официални правомощия в случаите по букви а) и б).
2. Разпоредбите на членове от 13 до 16 не се прилагат, когато данните се обработват единствено с цел научни изследвания или се съхраняват под формата на лични данни в продължение на период, който не надвишава необходимия период за съставяне единствено на статистика, при условие че очевидно не съществува опасност от нарушаване на личния живот на субекта на данните и че контролиращият орган предвиди подходящи правни гаранции, с които по-специално да се гарантира, че данните не се използват за вземане на мерки или решения, касаещи конкретни физически лица.
3. В случай на наложено ограничение по параграф 1, съгласно правото на Общността субектът на данните се информира за основните причини за налагане на ограничението и за правото му/ѝ да се обърне към Европейския надзорен орган по защита на данните.
4. В случай на наложено ограничение по параграф 1, основаващо се на отказ за предоставяне на субекта на достъп до данните, които го касаят, при разглеждане на жалбата Европейският надзорен орган по защита на данните го/я информира единствено за това, дали данните са били правилно обработени и, ако не са, дали са извършени необходимите корекции.
5. Предоставянето на посочената в параграфи 3 и 4 информация може да се отлага за такъв период от време, през който информацията би лишила от ефект наложеното ограничение по параграф 1.
РАЗДЕЛ 7
ПОВЕРИТЕЛНОСТ И СИГУРНОСТ НА ОБРАБОТКАТА
Член 21
Поверителност на обработката
Лице, наето на работа в институция или орган на Общността или самата институция или орган на Общността, който действа в качеството на обработващо лице, имащо достъп до лични данни, ги обработва само по нареждане на контролиращия орган, освен ако по силата на националното право или правото на Общността не се изисква друго.
Член 22
Сигурност на обработката
1. Предвид достиженията на техническия прогрес и разходите за тяхното прилагане, контролиращият орган прилага подходящи технически и организационни мерки, за да гарантира подходящо ниво на сигурност по отношение на свързаните с обработката рискове и естеството на подлежащите на защита лични данни.
По-специално такива мерки се предприемат за предотвратяване на неразрешено разкриване или достъп, случайно или незаконно унищожаване, или случайна загуба или промяна, както и за предотвратяване на всякакви други незаконни форми на обработка.
2. Когато личните данни се обработват с помощта на автоматизирани средства, се вземат подходящи мерки в зависимост от рисковете, по-конкретно с цел:
а)
предотвратяване на достъпа на неупълномощени лица до компютърните системи, с които се обработват лични данни;
б)
предотвратяване на всякаква неразрешена форма на четене, копиране, промяна или отстраняване на носители на данни;
в)
предотвратяване на всякакво неразрешено въвеждани на данни в паметта, както и всякаква форма на неразрешено разкриване, промяна или заличаване на съхранени лични данни;
г)
предотвратяване на използването на системи за обработка на данни от страна на неупълномощени лица чрез устройства за предаване на данни;
д)
гарантиране, че упълномощените потребители на дадена система за обработка на данни не могат да имат достъп до никакви други лични данни, освен тези, за които се отнася правото им на достъп;
е)
записване кои лични данни са били съобщени, кога и на кого;
ж)
гарантиране, че впоследствие е възможно да се провери кои лични данни са били обработени, кога и от кого;
з)
гарантиране, че обработваните от трети страни лични данни могат да се обработват единствено по начина, който е предписан от институцията или органа възложител;
и)
гарантиране, че по време на съобщаване на лични данни и по време на транспортиране на носители на данни не могат да се четат, копират или заличават данни без разрешение;
й)
структуриране на вътрешната организация на институциите или органите, така че да отговаря на специалните изисквания за защита на данните.
Член 23
Обработка на лични данни от името на контролиращ органи
1. Когато дадена обработка се извършва от негово име, контролиращият орган избира обработващо лице, което предоставя достатъчни гаранции по отношение на техническите и организационни мерки за сигурност, които се изискват от член 22 и гарантира тяхното спазване.
2. Извършването на обработка чрез обработващо лице се урежда с договор или юридически акт, който обвързва обработващото лице спрямо контролиращия орган и който по-специално постановява, че:
а)
обработващото лице действа единствено по указания на контролиращия орган;
б)
обработващото лице подлежи и на задълженията, които са посочени в членове 21 и 22, освен ако по силата на член 16 или член 17, параграф 3, второ тире от Директива 95/46/ЕО вече не е обвързан със задължения за поверителност и опазване на тайна, които са предвидени от националното право на една от държавите-членки.
3. За доказателствени цели частите от договора или юридическия акт във връзка със защитата на данни и изискванията във връзка с посочените в член 22 мерки са в писмена или друга равностойна форма.
РАЗДЕЛ 8
ДЛЪЖНОСТНО ЛИЦЕ ЗА ЗАЩИТА НА ДАННИТЕ
Член 24
Назначаване и задачи на длъжностното лице за защита на данните
1. Всяка институция и орган на Общността назначава най-малко едно длъжностно лице за защита на данните, което има следните задачи:
а)
да гарантира, че контролиращ органите и субектите на данните са информирани за техните права и задължения съгласно настоящия регламент;
б)
да отговаря на запитвания от страна на Европейския надзорен орган по защита на данните и в рамките на своите компетенции да сътрудничи с Европейския надзорен орган по защита на данните по искане по последния или по своя собствена инициатива;
в)
по независим начин да гарантира вътрешното прилагане на разпоредбите на настоящия регламент;
г)
да води регистър на извършените от контролиращия орган операции по обработка, който да съдържа информацията, посочена в член 25, параграф 2;
д)
да нотифицира Европейския надзорен орган по защита на данните за операциите по обработка, които има вероятност да представляват конкретна опасност по смисъла на член 27.
По този начин това лице гарантира, че операциите по обработка няма вероятност да засегнат неблагоприятно правата и свободите на субектите на данни.
2. Длъжностното лице за защита на данните се подбира въз основа на неговите/нейните лични и професионални качества и по-специално въз основа на експертните му/ѝ познания в областта на защитата на данни.
3. Изборът на длъжностно лице за защита на данните не трябва да води до конфликт на интереси между неговите/нейните задължения като длъжностно лице за защита на данните и всякакви други служебни задължения, особено по отношение на прилагането на разпоредбите на настоящия регламент.
4. Длъжностното лице за защита на данните се назначава за срок между две и пет години. Той/тя може да бъде преназначаван(а), като общата продължителност на мандата му/ѝ не може да надвишава десет години. Той/тя може да бъде освобождаван(а) от длъжността длъжностно лице за защита на данните от институцията или органа на Общността, който го/я е назначил само със съгласието на европейския контрольор за защита на данните, ако престане да отговаря на необходимите условия за изпълнение на своите задължения.
5. След назначаване на длъжностното лице за защита на данните, институцията или органът, който го/я е назначил го/я регистрира при европейския контрольор за защита на данните.
6. Институцията или органът на Общността, който е назначил длъжностното лице за защита на данните му/ѝ осигурява необходимия персонал и средства за изпълнение на неговите/нейните задължения.
7. Длъжностното лице за защита на данните не може да получава никакви инструкции по отношение на изпълнението на своите задължения.
8. Всяка институция или орган на Общността приема допълнителни правила по изпълнение във връзка с длъжностното лице за защита на данните, в съответствие с разпоредбите на приложението. Нормите за изпълнение касаят по-специално задачите, задълженията и правомощията на длъжностното лице за защита на данните.
Член 25
Нотифициране на длъжностното лице за защита на данните
1. Контролиращият орган предварително нотифицира длъжностното лице за защита на данните за всяка операция по обработка или съвкупност от такива операции, които са предназначени да обслужват една единствена или няколко свързани цели.
2. Информацията, която следва да се предоставя включва:
а)
име и адрес на контролиращия орган и посочване на организационните части на дадена институция или орган, на които е поверена обработката на лични данни за конкретна цел;
б)
цел или цели на обработката;
в)
описание на категорията или категориите субекти на данни и на свързаните с тях данни или категории данни;
г)
правното основание на обработката, за която са предназначени данните;
д)
получатели или категории получатели, пред които биха могли да бъдат разкрити данните;
е)
общо указване на сроковете за блокиране и заличаване на различните категории данни;
ж)
предлагано предаване на данни на трети страни или международни организации;
з)
общо описание, позволяващо извършването на предварителна оценка на целесъобразността на предприетите мерки съгласно член 22 за гарантиране на сигурност на обработката.
3. Длъжностното лице за защита на данните своевременно се уведомява за всяка промяна, засягаща информацията по параграф 2.
Член 26
Регистър
Всяко длъжностно лице за защита на данните води регистър за съобщените в съответствие с член 25 операции по обработка.
Регистрите съдържат най-малко информацията, която е посочена в член 25, параграф 2, букви от а) до ж). Справки в регистрите могат да се правят пряко или косвено от всяко лице чрез европейския контрольор за защита на данните.
РАЗДЕЛ 9
ПРЕДВАРИТЕЛНА ПРОВЕРКА ОТ СТРАНА НА ЕВРОПЕЙСКИЯ НАДЗОРЕН ОРГАН ПО ЗАЩИТА НА ДАННИТЕ И ЗАДЪЛЖЕНИЕ ЗА СЪТРУДНИЧЕСТВО
Член 27
Предварителна проверка
1. Операции по обработка, които поради своето естество, обхват или цели има вероятност да представляват специфични опасности за правата и свободите на субектите на данни, се подлагат на предварителна проверка от страна на Европейския надзорен орган по защита на данните.
2. Такава опасност могат да представляват следните операции:
а)
обработка на данни, свързани със здравето и предполагаеми престъпления, престъпления, присъди или мерки за неотклонение;
б)
операции по обработка, които са предназначени за оценка на аспекти на личността на субекта на данните, включително неговите/нейните способности, ефективност и поведение;
в)
операции по обработка, позволяващи връзки между данни, които се обработват за различни цели и които не са предвидени в националното или общностно законодателство;
г)
операции по обработка с цел изключване на лица от право, облага или договор.
3. Предварителните проверки се извършват от Европейския надзорен орган по защита на данните след получаване на нотификация от длъжностното лице за защита на данните, което в случай на съмнение относно необходимостта от извършване на предварителна проверка се консултира с Европейския надзорен орган по защита на данните.
4. Европейският надзорен орган по защита на данните представя становището си в срок от два месеца след получаване на нотификацията. Изтичането на този срок може временно да се прекрати, докато Европейският надзорен орган по защита на данните получи всякаква евентуално поискана от него/нея допълнителна информация. Когато сложността на въпроса го изисква, този срок може с решение на Европейския надзорен орган по защита на данните да се удължи с още два месеца. Това решение се нотифицира на контролиращия орган преди изтичане на първоначалния двумесечен срок.
При отсъствие на представено становище до края на двумесечния или евентуално удължен срок, становището се счита за положително.
Ако становището на Европейския надзорен орган по защита на данните е, че нотифицираната обработка може да включва нарушаване на някоя от разпоредбите на настоящия регламент, при необходимост, той прави предложения за избягване на такова нарушение. Когато контролиращият орган не извърши съответни промени в операцията по обработка, Европейският надзорен орган по защита на данните може да упражни правомощията, които са му/ѝ дадени по силата на член 47, параграф 1.
5. Европейският надзорен орган по защита на данните води регистър на всички операции по обработка, за които е бил(а) уведомен(а) съгласно параграф 2. Регистърът съдържа посочената в член 25 информация и е обществено достъпен за справки.
Член 28
Консултация
1. Институциите и органите на Общността информират Европейския надзорен орган по защита на данните при съставяне на административни мерки във връзка с обработката на лични данни, в която самостоятелно или съвместно с други участва институция или орган на Общността.
2. При приемане на законодателно предложение във връзка със защитата на правата и свободите на лицата по отношение на обработката на лични данни, Комисията провежда консултации с Европейския надзорен орган по защита на данните.
Член 29
Задължение за предоставяне на информация
Институциите и органите на Общността информират Европейския надзорен орган по защита на данните за предприетите мерки вследствие на негови/нейни решения или разрешения съгласно член 46, буква з).
Член 30
Задължение за сътрудничество
По искане на Европейския надзорен орган по защита на данните, контролиращият орган го/я подпомага в изпълнението на неговите/нейните задължения, по-специално чрез предоставяне на информацията по член 47, параграф 2, буква а) и чрез предоставяне на предвидения в член 47, параграф 2, буква б) достъп.
Член 31
Задължение за реагиране на твърдения
В отговор на упражняване на правомощията по член 47, параграф 1, буква б) от страна на Европейския надзорен орган по защита на данните, контролиращият орган информира надзорния орган за становището си в рамките на приемлив срок, който се определя от надзорния орган. Отговорът включва и описание на предприетите мерки, ако има такива, в отговор на отправените от Европейския надзорен орган по защита на данните забележки.
ГЛАВА III
СРЕДСТВА ЗА СЪДЕБНА ЗАЩИТА
Член 32
Средства за съдебна защита
1. Съдът на Европейските общности е компетентен да разглежда всички спорове във връзка с разпоредбите на настоящия регламент, включително искове за вреди.
2. Без да се засягат средствата за съдебна защита, всеки субект на данни може да подаде жалба до Европейския надзорен орган по защита на данните, ако счита, че са нарушени правата му/ѝ по член 286 от Договора, вследствие на обработка на негови/нейни лични данни от институция или орган на Общността.
При отсъствие на отговор от Европейския надзорен орган по защита на данните в срок от шест месеца, жалбата се счита за отхвърлена.
3. Решенията на Европейския надзорен орган по защита на данните се обжалват пред Съда на Европейските общности.
4. Всяко лице, което е претърпяло вреда в резултат на незаконна операция по обработка или всякакво несъвместимо с настоящия регламент действие, има право на обезщетение за нанесените вреди в съответствие с член 288 от Договора.
Член 33
Жалби от служители на Общността
Всяко лице, което е наето на работа в институция или орган на Общността може да подаде жалба до Европейския надзорен орган по защита на данните, без да следва официална процедура, във връзка с предполагаемо нарушение на разпоредбите на настоящия регламент, който урежда обработката на лични данни. Никой не става обект на предубеждения, заради подадена до Европейския надзорен орган по защита на данните молба, в която се твърди за нарушение на разпоредбите, които уреждат обработката на лични данни.
ГЛАВА IV
ЗАЩИТА НА ЛИЧНИТЕ ДАННИ И ЛИЧНИЯ ЖИВОТ В КОНТЕКСТА НА ВЪТРЕШНИТЕ ТЕЛЕКОМУНИКАЦИОННИ МРЕЖИ
Член 34
Обхват
Без да се засягат останалите разпоредби на настоящия регламент, разпоредбите на настоящата глава важат за обработката на лични данни във връзка с използването на телекомуникационни мрежи или терминално оборудване, които се експлоатират под контрола на институция или орган на Общността.
По смисъла на настоящата глава „потребител“ означава всяко физическо лице, което използва телекомуникационна мрежа или терминално оборудване, което се експлоатира под контрола на институция или орган на Общността.
Член 35
Сигурност
1. Институциите и органите на Общността предприемат подходящи технически и организационни мерки за гарантиране на сигурността при използването на телекомуникационните мрежи и терминално оборудване, при необходимост съвместно с доставчиците на обществени телекомуникационни услуги или доставчиците на обществени телекомуникационни мрежи. Предвид достиженията на техническия прогрес и разходите за тяхното прилагане, тези мерки осигуряват подходящо за съществуващите опасности ниво на сигурност.
2. В случай на конкретна опасност от нарушаване на сигурността на мрежата и терминалното оборудване съответната институция или орган на Общността информира потребителите за съществуването на такава опасност и за възможните средства за правна защита и алтернативни средства за комуникация.
Член 36
Поверителност на комуникациите
Институциите и органите на Общността осигуряват поверителност на комуникациите с помощта на телекомуникационни мрежи и терминално оборудване в съответствие с общите принципи на правото на Общността.
Член 37
Данни за трафика и сметките
1. Без да се засягат разпоредбите на параграфи 2, 3 и 4, свързаните с потребителите данни за трафика, които се обработват и съхраняват за установяване на обажданията и други форми на свързване по телекомуникационните мрежи се изтриват или стават анонимни при приключване на обаждането или друга форма на свързване.
2. При необходимост, данните за трафика, съгласно съгласуван с Европейския надзорен орган по защита на данните списък, могат да се обработват за целите на управлението на телекомуникационния бюджет и трафик, включително проверка за разрешено използване на телекомуникационните системи. Тези данни се изтриват или правят анонимни при първа възможност, но не по-късно от шест месеца след събирането им, освен ако не е необходимо да се съхраняват за по-дълъг период от време за установяване, упражняване или защита на право в случай на заведен съдебен иск.
3. Обработката на данни за трафика и сметките се извършва само от лица, отговарящи за управлението на сметките, трафика или бюджета.
4. Потребителите на телекомуникационните мрежи имат право да получават неподробни сметки или други документи за проведените обаждания.
Член 38
Указатели на потребителите
1. Личните данни, които се съдържат в печатни или електронни указатели на потребителите, и достъпът до тези указатели се ограничава до строго необходимото за специфичните цели на указателя.
2. Институциите и органите на Общността предприемат всички необходими мерки за предотвратяване на използването за преки маркетингови цели на съдържащите се в тези указатели лични данни, независимо дали те са или не са обществено достъпни.
Член 39
Изписване и ограничаване на идентификацията на търсещата и търсената линия
1. Когато се предлага услугата изписване на идентификацията на търсещата линия, търсещият потребител има възможност лесно и безплатно да дезактивира изписването на идентификацията на търсещата линия.
2. Когато се предлага услугата изписване на идентификацията на търсещата линия, търсеният потребител има възможност лесно и безплатно да дезактивира изписването на идентификацията на входящите повиквания.
3. Когато се предлага услугата изписване на идентификацията на търсената линия, търсеният потребител има възможност лесно и безплатно да дезактивира изписването на идентификацията на търсената линия при търсещия потребител.
4. Когато се предлага услугата изписване на търсещата или търсената линия, институциите и органите на Общността информират потребителите за тези услуги и за посочените в параграфи 1, 2 и 3 възможности.
Член 40
Дерогиране
Институциите и органите на Общността гарантират наличието на прозрачни процедури, уреждащи начина, по който те могат да отменят дезактивирането на изписването на идентификацията на търсещата линия:
а)
временно, при представяне на молба от потребител, искащ проследяване на злонамерени или досадни обаждания;
б)
за определени линии, при организационни структури, които отговарят на спешни повиквания с оглед отговарянето на такива повиквания.
ГЛАВА V
НЕЗАВИСИМ НАДЗОРЕН ОРГАН: ЕВРОПЕЙСКИ НАДЗОРЕН ОРГАН ПО ЗАЩИТА НА ДАННИТЕ
Член 41
Европейски надзорен орган по защита на данните
1. Създава се независим надзорен орган, наричан Европейски надзорен орган по защита на данните.
2. По отношение на обработката на лични данни, задачата на Европейския надзорен орган по защита на данните е да гарантира спазването от страна на институциите и органите на Общността на основните права и свободи на физическите лица, и по-специално правото им на личен живот.
Европейският надзорен орган по защита на данните отговаря за наблюдението и гарантирането на прилагането на разпоредбите на настоящия регламент и всеки друг акт на Общността, който се отнася за защитата на основните права и свободи на физическите лица по отношение на обработката на лични данни от институция или орган на Общността, както и за предоставянето на консултации на институциите и органите на Общността и субектите на данни по всички въпроси, свързани с обработката на лични данни. За целта той/тя изпълнява предвидените в член 46 задължения и упражнява дадените му/ѝ по силата на член 47 правомощия.
Член 42
Назначаване
1. Европейският надзорен орган по защита на данните се назначава с общо съгласие от Европейския парламент и Съвета за срок от пет години въз основа на съставен от Комисията списък след публично отправена покана за представяне на кандидатури.
По същата процедура и за същия срок се назначава помощник надзорен орган, който подпомага надзорния орган в изпълнението на неговите/нейните задължения и действа като негов/неин заместник, когато надзорният орган отсъства или е възпрепятстван да изпълнява задълженията си.
2. Европейският надзорен орган по защита на данните се избира измежду лица, чиято независимост не подлежи на съмнение и за които е признато, че притежават необходимите опит и умения, за да изпълняват функциите на Европейски надзорен орган по защита на данните, например поради това, че принадлежат или са принадлежали към контролните органи, посочени в член 28 от Директива 95/46/ЕО.
3. Европейският надзорен орган по защита на данните може да се назначава повторно.
4. Освен в случаите на нормална смяна или смърт, задълженията на Европейския надзорен орган по защита на данните приключват при подаване на оставка или принудително освобождаване в съответствие с параграф 5.
5. Европейският надзорен орган по защита на данните може да бъде освободен или лишен от правото на пенсия или други заместващи пенсията облаги от Съда на Европейските общности по искане на Европейския парламент, Съвета или Комисията, ако престане да отговаря на необходимите условия за изпълнение на своите задължения или в случай на тежко провинение.
6. В случай на нормална смяна или доброволна оставка Европейският надзорен орган по защита на данните въпреки всичко продължава да заема длъжността си, докато бъде сменен(а).
7. Разпоредбите на членове от 12 до 15 и член 18 от Протокола за привилегиите и имунитетите на Европейските общности се прилагат и за Европейския надзорен орган по защита на данните.
8. За помощник надзорния орган се прилагат разпоредбите на параграфи от 2 до 7.
Член 43
Правилник и общи условия за изпълнение на задълженията на Европейския надзорен орган по защита на данните, персонал и финансови средства
1. Европейският парламент, Съветът и Комисията с общо съгласие определят правилника и общите условия за изпълнение на задълженията на Европейския надзорен орган по защита на данните и по-специално неговата/нейната заплата, надбавки и всякакви други заместващи възнаграждения.
2. Бюджетният орган гарантира осигуряването на Европейския надзорен орган по защита на данните на необходимите за изпълнение на неговите/нейните задачи човешки и финансови ресурси.
3. Бюджетът на Европейския надзорен орган по защита на данните фигурира в отделна бюджетна позиция в раздел VIII на общия бюджет на Европейския съюз.
4. Европейският надзорен орган по защита на данните се подпомага от секретариат. Служителите и останалият персонал на секретариата се назначават от Европейския надзорен орган по защита на данните, който/която е техен висшестоящ ръководител, на когото те са изключително подчинени. Числеността на персонала се решава всяка година като част от бюджетната процедура.
5. Спрямо служителите и останалия персонал на Европейския надзорен орган по защита на данните се прилагат правилници и наредбите за длъжностните лица и останалия лица, наети на работа в Европейските общности.
6. По въпроси, касаещи секретарския персонал Европейският надзорен орган по защита на данните има същия статут, както институциите по смисъла на член 1 от Правилника за длъжностните лица на Европейските общности.
Член 44
Независимост
1. Европейският надзорен орган по защита на данните е напълно независим при изпълнение на своите задължения.
2. При изпълнение на своите задължения Европейският надзорен орган по защита на данните не търси и не получава инструкции от никого.
3. Европейският надзорен орган по защита на данните се въздържа от всякакви несъвместими със задълженията му/ѝ действия и по време на своя мандат не упражнява никакви други дейности, независимо дали срещу възнаграждение или безвъзмездно.
4. След приключване на мандата Европейският надзорен орган по защита на данните има почтено и дискретно поведение при приемането на назначения и облаги.
Член 45
Професионална тайна
По време и след приключване на мандата Европейският надзорен орган по защита на данните и неговият/нейният персонал подлежат на задължение за опазване на професионалната тайна по отношение на всякаква поверителна информация, която е стигнала до тяхното знание в хода на изпълнение на служебните им задължения.
Член 46
Задължения
Европейският надзорен орган по защита на данните:
а)
разглежда и разследва жалби и в разумен срок информира субекта на данните за техния изход;
б)
провежда разследвания по своя инициатива или въз основа на жалба и в разумен срок информира субекта на данните за техния изход;
в)
наблюдава и гарантира прилагането на разпоредбите на настоящия регламент и на всеки друг акт на Общността, който касае защитата на физически лица по отношение на обработката на лични данни от институция или орган на Общността, с изключение на Съда на Европейските общности при изпълнение на съдебните му функции;
г)
по своя инициатива или в отговор на отправена молба за консултация съветва всички институции и органи на Общността по всички въпроси, касаещи обработката на лични данни, по-специално преди те да съставят своите вътрешни правилници във връзка със защитата на основните права и свободи по отношение на обработката на лични данни;
д)
наблюдава развитието по-специално в областта на информационните и комуникационни технологии дотолкова, доколкото те имат въздействие върху защитата на личните данни;
е)
i)
сътрудничи с посочените в член 28 от Директива 95/46/ЕО национални контролни органи в страните, в които се прилага тази директива до необходимата степен за изпълнение на съответните им задължения, по-специално чрез обмен на полезна информация, чрез отправяне на искане към такъв орган да упражни правомощията си или чрез отговаряне на отправено от такъв орган искане;
ii)
сътрудничи и с контролните органи за защита на данните, които са учредени съгласно дял VI от Договора за Европейския съюз, по-специално с оглед подобряване на последователността в прилагането на правилата и процедурите, за чието спазване те съответно отговарят;
ж)
участва в дейността на създадената по силата на член 29 от Директива 95/46/ЕО работна група за защита на физическите лица по отношение на обработката на лични данни;
з)
определя, мотивира и огласява изключенията, гаранциите, разрешенията и условията, които са споменати в член 10, параграф 2, буква б), параграфи 4, 5 и 6, член 12, параграф 2, член 19 и член 37, параграф 2;
и)
води регистър на операциите по обработка, за които е уведомен(а) по силата на член 27, параграф 2 и които са регистрирани в съответствие с член 27, параграф 5, както и осигурява средства за достъп до водените от длъжностните лица за защита на данните регистри съгласно член 26;
й)
извършва предварителна проверка на обработката, за която е уведомен(а);
к)
определя своя процедурен правилник.
Член 47
Правомощия
1. Европейският надзорен орган по защита на данните може:
а)
да дава съвети на субектите на данни при упражняване на техните права;
б)
да сезира контролиращия орган при твърдение за нарушение на разпоредбите, уреждащи обработката на лични данни, и при необходимост да отправя предложения за изправяне на това нарушение и за подобряване на защитата на субектите на данни;
в)
да разпорежда удовлетворяването на молби за упражняване на определени права във връзка с данни, когато такива молби са били отхвърлени в нарушение на разпоредбите на членове от 13 до 19;
г)
да отправя предупреждения и мъмрене до контролиращия орган;
д)
да разпорежда коригиране, блокиране, заличаване или унищожаване на всички данни, които са били обработени в нарушение на разпоредбите, уреждащи обработката на лични данни, както и уведомяване за тези действия на трети страни, пред които са били разкрити данните;
е)
да налага временна или постоянна забрана за обработка;
ж)
да сезира съответната институция или орган на Общността, а при необходимост и до Европейския парламент, Съвета и Комисията;
з)
да сезира Съда на Европейските общности при предвидените в Договора условия;
и)
да взема участие в заведени пред Съда на Европейските общности дела.
2. Европейският надзорен орган по защита на данните има правомощия:
а)
да получава от контролиращ орган или институция или орган на Общността цялата информация, която е необходима за неговите/нейните разследвания;
б)
да получава достъп до всички помещения, в които контролиращ орган или институция или орган на Общността осъществява своята дейност, когато са налице основателни причини да се предполага, че в тях се осъществява дейност, която е предмет на настоящия регламент.
Член 48
Отчет за дейността
1. Европейският надзорен орган по защита на данните представя годишен отчет за дейността си пред Европейския парламент, Съвета и Комисията, който същевременно се огласява публично.
2. Европейският надзорен орган по защита на данните изпраща отчет за дейността си на другите институции и органи на Общността, които могат да представят коментари с оглед на евентуалното разглеждане на отчета в Европейския парламент, по-специално по отношение на описанието на предприетите мерки в отговор на отправените съгласно член 31 забележки от европейския контрольор за защита на данните.
ГЛАВА VI
ЗАКЛЮЧИТЕЛНИ РАЗПОРЕДБИ
Член 49
Санкции
Всяко неспазване на задължения съгласно настоящия регламент от страна на служител или друго длъжностно лице на Европейските общности, независимо дали преднамерено или по непредпазливост, води до дисциплинарни санкции в съответствие с правилата и процедурите, които са предвидени в Правилника за длъжностните лица на Европейските общности или в съответствие с приложимите за други длъжностни лица условия за наемане на работа.
Член 50
Преходен период
Институциите и органите на Общността гарантират, че операциите по обработка, които вече са в ход в деня на влизане в сила на настоящия регламент, ще бъдат приведени в съответствие с настоящия регламент в срок от една година от тази дата.
Член 51
Влизане в сила
Настоящият регламент влиза в сила на двадесетия ден след публикуването му в Официален вестник на Европейските общности.
Настоящият регламент е задължителен в своята цялост и се прилага пряко във всички държави-членки.
Съставено в Брюксел на 18 декември 2000 година.
Regulamento (CE) n.o 45/2001 do Parlamento Europeu e do Conselho
de 18 de Dezembro de 2000
relativo à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos comunitários e à livre circulação desses dados
O PARLAMENTO EUROPEU E O CONSELHO DA UNIÃO EUROPEIA,
Tendo em conta o Tratado que institui a Comunidade Europeia e, nomeadamente, o seu artigo 286.o,
Tendo em conta a proposta da Comissão(1),
Tendo em conta o parecer do Comité Económico e Social(2),
Deliberando nos termos do processo previsto no artigo 251.o do Tratado(3),
Considerando o seguinte:
(1) O artigo 286.o do Tratado exige a aplicação às instituições e aos órgãos comunitários dos actos comunitários relativos à protecção das pessoas singulares em matéria de tratamento de dados pessoais e de livre circulação desses dados.
(2) Um sistema de protecção de dados pessoais completamente desenvolvido não consiste apenas na instituição dos direitos das pessoas em causa e dos deveres daqueles que tratam os dados pessoais, mas também na previsão de sanções adequadas para os infractores e na sua fiscalização por um órgão independente de supervisão.
(3) O n.o 2 do artigo 286.o do Tratado prevê a criação de um órgão independente de supervisão, incumbido de fiscalizar a aplicação dos citados actos comunitários às instituições e órgãos da Comunidade.
(4) O n.o 2 do artigo 286.o do Tratado prevê a adopção das demais disposições que se afigurem adequadas.
(5) É necessário um regulamento que confira às pessoas direitos susceptíveis de protecção judicial, que fixe as obrigações, em matéria de tratamento de dados, dos responsáveis por esse tratamento nas instituições e nos órgãos comunitários, e que crie uma autoridade independente de controlo responsável pela fiscalização do tratamento de dados pessoais efectuados pelas instituições e órgãos comunitários.
(6) Foi consultado o grupo de protecção das pessoas no que diz respeito ao tratamento de dados pessoais, criado pelo artigo 29.o da Directiva 95/46/CE de 24 de Outubro de 1995, relativa à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados(4).
(7) As pessoas susceptíveis de protecção são aquelas cujos dados pessoais são tratados pelas instituições ou órgãos comunitários, independentemente do contexto, por exemplo, por trabalharem para essas instituições ou órgãos.
(8) Os princípios da protecção de dados devem aplicar-se a toda a informação relativa a uma pessoa identificada ou identificável. Para determinar se uma pessoa é identificável, importa considerar o conjunto dos meios susceptíveis de serem razoavelmente utilizados pelo responsável pelo tratamento dos dados ou por qualquer outra pessoa, para identificar a referida pessoa. Os princípios da protecção não se devem aplicar a dados tornados anónimos de modo a que a pessoa em causa já não possa ser identificada.
(9) A Directiva 95/46/CE do Parlamento Europeu e do Conselho exige aos Estados-Membros que garantam a protecção das liberdades e dos direitos fundamentais das pessoas singulares, nomeadamente do direito à vida privada, no que diz respeito ao tratamento de dados pessoais, a fim de assegurar a livre circulação dos dados pessoais na Comunidade.
(10) A Directiva 97/66/CE do Parlamento Europeu e do Conselho, de 15 de Dezembro de 1997, relativa ao tratamento de dados pessoais e à protecção da privacidade no sector das telecomunicações(5), precisa e completa a Directiva 95/46/CE no que diz respeito ao tratamento de dados pessoais no sector das telecomunicações.
(11) Várias outras disposições comunitárias, nomeadamente em matéria de assistência mútua entre as administrações nacionais e a Comissão, destinam-se igualmente a precisar e a completar a Directiva 95/46/CE nos sectores a que dizem respeito.
(12) Deve ser assegurada em toda a Comunidade a aplicação coerente e homogénea das regras de protecção das liberdades e dos direitos fundamentais das pessoas singulares no que diz respeito ao tratamento de dados pessoais.
(13) Pretende-se, assim, garantir simultaneamente, quer o respeito efectivo das regras de protecção das liberdades e dos direitos fundamentais das pessoas, quer a livre circulação de dados pessoais entre Estados-Membros e as instituições e órgãos comunitários ou entre estas instituições e órgãos, no exercício das respectivas competências.
(14) É, para esse efeito, conveniente a adopção de disposições obrigatórias para as instituições e órgãos comunitários. Essas disposições devem ser aplicadas a todo e qualquer tratamento de dados pessoais efectuado por todas as instituições e todos os órgãos comunitários, na medida em que esse tratamento for efectuado para o exercício de actividades que dependem total ou parcialmente do âmbito de aplicação do direito comunitário.
(15) Quando esse tratamento for efectuado pelas instituições e órgãos comunitários para o exercício de actividades que não se enquadram no âmbito de aplicação do presente Regulamento, em especial para as previstas nos títulos V e VI do Tratado da União Europeia, a protecção das liberdades e dos direitos fundamentais das pessoas é assegurada no respeito do artigo 6.o do Tratado da União Europeia. O acesso aos documentos, incluindo as condições de acesso aos documentos que contêm dados de carácter pessoal, está previsto nas regulamentações adoptadas com base no artigo 255.o do Tratado CE cujo âmbito de aplicação se estende aos títulos V e VI do Tratado da União Europeia.
(16) Essas disposições não são aplicáveis a órgãos instituídos fora do quadro comunitário e a Autoridade Europeia para a protecção de dados não tem competência para fiscalizar o tratamento de dados pessoais por esses órgãos.
(17) A eficácia da protecção das pessoas no que se refere ao tratamento de dados pessoais na União requer a coerência das regras e dos procedimentos aplicáveis na matéria às actividades que têm por base diferentes quadros jurídicos; a elaboração de princípios fundamentais relativos à protecção dos dados pessoais no domínio da cooperação judiciária em matéria penal, bem como da cooperação policial e alfandegária, e a criação de um secretariado para as autoridades de controlo comuns, instituídas pela Convenção Europol, pela Convenção relativa à utilização da informática no domínio das alfândegas e pela Convenção de Schengen constituem, neste âmbito, uma primeira fase.
(18) O presente regulamento não deverá afectar os direitos e obrigações dos Estados-Membros decorrentes das Directivas 95/46/CE e 97/66/CE. Não tem por objectivo alterar os procedimentos e práticas legalmente aplicados pelos Estados-Membros em matéria de segurança nacional, de defesa da ordem bem como da prevenção, detecção, investigação e diligências em matéria de infracção penal, respeitando o disposto no Protocolo relativo aos Privilégios e Imunidades das Comunidades Europeias bem como o direito internacional.
(19) As instituições e órgãos comunitários devem dirigir-se às autoridades competentes nos Estados-Membros sempre que considerem que devem ser efectuadas intercepções de comunicações nas suas redes de telecomunicações, de acordo com as disposições nacionais aplicáveis.
(20) As disposições aplicáveis às instituições e órgãos comunitários devem corresponder às previstas para a harmonização das legislações nacionais ou para a aplicação de outras políticas comunitárias, nomeadamente em matéria de assistência mútua; no entanto e no que respeita ao tratamento de dados pessoais pelas instituições e pelos órgãos comunitários, pode vir a ser necessário adoptar certas precisões e complementos a fim de assegurar a protecção.
(21) O mesmo se aplica aos direitos das pessoas cujos dados são objecto de tratamento, às obrigações das instituições e dos órgãos comunitários responsáveis pelo tratamento de dados e aos poderes de que deve dispor a autoridade independente de controlo, responsável pela boa aplicação do presente regulamento.
(22) Nem os direitos concedidos à pessoa em causa nem o seu exercício prejudicam as obrigações a que está sujeito o responsável pelo tratamento.
(23) A autoridade independente de controlo exercerá as suas funções nos termos do Tratado e no respeito dos direitos do homem e das liberdades fundamentais e conduzirá os seus inquéritos na observância do Protocolo relativo aos Privilégios e Imunidades e do Estatuto dos Funcionários e outros Agentes das Comunidades Europeias.
(24) Deverão ser adoptadas as medidas técnicas necessárias para permitir o acesso aos registos das operações de tratamento mantidos pelos responsáveis pela protecção de dados, por intermédio da autoridade independente de controlo.
(25) As decisões da autoridade independente de controlo relacionadas com excepções, autorizações e condições relativas a certos tratamentos de dados, tal como definidas no regulamento, devem ser publicadas no relatório de actividades. Independentemente da publicação anual de um relatório de actividades, a autoridade independente de controlo poderá publicar relatórios sobre questões específicas.
(26) Determinados tratamentos susceptíveis de apresentar riscos específicos quanto aos direitos e liberdades das pessoas interessadas, serão sujeitos ao controlo prévio da autoridade independente de controlo. O parecer dado no âmbito desse controlo prévio, incluindo o parecer que resulte da falta de resposta no prazo previsto, não prejudica o exercício subsequente dos poderes da autoridade independente de controlo relativamente ao tratamento em causa.
(27) O tratamento de dados pessoais para o desempenho de funções de interesse público pelas instituições e órgãos comunitários inclui o tratamento de dados pessoais indispensáveis à gestão e ao funcionamento dessas instituições e órgãos.
(28) Num certo número de casos, o presente regulamento prevê que o tratamento de dados deva ser autorizado pela legislação comunitária ou pelas normas que a transpõem. Todavia, a título transitório, quando essa legislação não exista e enquanto ela não for adoptada, a Autoridade Europeia para a protecção de dados pode autorizar o tratamento dos referidos dados mediante a adopção de garantias adequadas, devendo ter nomeadamente em conta, nesse contexto, as disposições aprovadas pelos Estados-Membros para regular casos similares.
(29) Os casos acima referidos dizem respeito ao tratamento de dados que revelem a origem racial ou étnica, as opiniões políticas, as convicções religiosas ou filosóficas, a filiação sindical, bem como o tratamento de dados relativos à saúde ou à vida sexual, necessários para o cumprimento dos direitos e obrigações do responsável pelo tratamento no sector do direito do trabalho ou por um importante motivo de interesse público. Trata-se igualmente do tratamento de dados relativos a infracções, condenações penais ou medidas de segurança, ou ainda da autorização de submeter a pessoa em causa a uma decisão que produza efeitos na sua esfera jurídica ou que a afecte de modo significativo, tomada exclusivamente com base num tratamento automatizado de dados destinado a apreciar determinados aspectos da sua personalidade.
(30) Pode ser necessário fiscalizar as redes informáticas que operam sob a responsabilidade das instituições e órgãos comunitários a fim de prevenir a sua utilização não autorizada. A Autoridade Europeia para a protecção de dados determinará se tal é possível e em que condições.
(31) A responsabilidade decorrente da violação do presente regulamento regula-se pelo segundo parágrafo do artigo 288.o do Tratado.
(32) Um ou vários responsáveis pela protecção de dados zelarão, em cada instituição ou órgão comunitário, pela aplicação das disposições do presente regulamento e aconselharão os responsáveis pelo tratamento no exercício das suas obrigações.
(33) Nos termos do seu artigo 21.o, o Regulamento (CE) n.o 322/97 do Conselho, de 17 de Fevereiro de 1997, relativo às estatísticas comunitárias(6) é aplicável sem prejuízo da Directiva 95/46/CE.
(34) Nos termos do n.o 8 do seu artigo 8.o, o Regulamento (CE) n.o 2533/98 do Conselho, de 23 de Novembro de 1998, relativo à compilação de informação estatística pelo Banco Central Europeu(7), é aplicável sem prejuízo da Directiva 95/46/CE.
(35) Nos termos do n.o 2 do seu artigo 1.o, o Regulamento (Euratom, CEE) n.o 1588/90 do Conselho, de 11 de Junho de 1990, relativo à transmissão de informações abrangidas pelo segredo estatístico ao Serviço de Estatística das Comunidades Europeias(8), não derroga as disposições específicas, comunitárias ou nacionais, relativas à salvaguarda de segredos que não sejam o segredo estatístico.
(36) O presente regulamento não tem por objectivo limitar a margem de manobra dos Estados-Membros na elaboração de normas de direito interno em matéria de protecção de dados ao abrigo do artigo 32.o da Directiva 95/46/CE, nos termos do artigo 249.o do Tratado,
ADOPTARAM O PRESENTE REGULAMENTO:
CAPÍTULO I
DISPOSIÇÕES GERAIS
Artigo 1.o
Objecto do regulamento
1. As instituições e os órgãos criados pelos Tratados que instituem as Comunidades Europeias, ou com base nesses Tratados, adiante designados "instituições e órgãos comunitários", asseguram, nos termos do presente regulamento, a protecção das liberdades e dos direitos fundamentais das pessoas singulares, nomeadamente do direito à vida privada, no que diz respeito ao tratamento de dados pessoais, e não limitam nem proíbem a livre circulação de dados pessoais entre eles ou entre eles e destinatários abrangidos pela legislação nacional dos Estados-Membros que transponha a Directiva 95/46/CE.
2. A autoridade independente de controlo criada no presente regulamento, adiante designada Autoridade Europeia para a protecção de dados, controla a aplicação das disposições do presente regulamento a todas as operações de tratamento efectuadas pelas instituições e órgãos comunitários.
Artigo 2.o
Definições
Para efeitos do presente regulamento, entende-se por:
a) "Dados pessoais", qualquer informação relativa a uma pessoa singular identificada ou identificável, adiante designada "pessoa em causa". É considerado identificável quem possa ser identificado, directa ou indirectamente, nomeadamente por referência a um número de identificação ou a um ou mais elementos específicos da sua identidade física, fisiológica, psíquica, económica, cultural ou social;
b) "Tratamento de dados pessoais", adiante designado "tratamento", qualquer operação ou conjunto de operações efectuadas sobre dados pessoais, com ou sem meios automatizados, tais como a recolha, registo, organização, conservação, adaptação ou alteração, recuperação, consulta, utilização, comunicação por transmissão, divulgação ou qualquer outra forma de colocação à disposição, com comparação ou interconexão, bem como o bloqueio, apagamento ou destruição;
c) "Ficheiro de dados pessoais", adiante designado "ficheiro", qualquer conjunto estruturado de dados pessoais, acessível segundo critérios determinados, que seja centralizado, descentralizado ou repartido de modo funcional ou geográfico;
d) "Responsável pelo tratamento", a instituição ou órgão comunitário, a direcção-geral, a unidade ou qualquer outra entidade organizativa que, individualmente ou em conjunto com outrem, determine as finalidades e os meios de tratamento dos dados pessoais; sempre que as finalidades e os meios de tratamento sejam determinados por um acto comunitário específico, o responsável pelo tratamento ou os critérios específicos aplicáveis à sua nomeação podem ser indicados por esse acto comunitário;
e) "Subcontratante", qualquer pessoa singular ou colectiva, autoridade pública, serviço ou qualquer outro organismo que trate dados pessoais por conta do responsável pelo tratamento;
f) "Terceiro", qualquer pessoa singular ou colectiva, autoridade pública, serviço ou qualquer outro organismo que não a pessoa em causa, o responsável pelo tratamento, o subcontratante e as pessoas que, sob a autoridade directa do responsável pelo tratamento ou do subcontratante, estão habilitadas a tratar os dados;
g) "Destinatário", qualquer pessoa singular ou colectiva, autoridade pública, serviço ou qualquer outro organismo que receba comunicações de dados, independentemente de se tratar ou não de um terceiro; todavia, as autoridades susceptíveis de receberem comunicações de dados no âmbito de inquéritos específicos não são consideradas destinatários;
h) "Consentimento da pessoa em causa", qualquer manifestação de vontade, livre, específica e informada, pela qual a pessoa em causa aceita que dados pessoais que lhe dizem respeito sejam objecto de tratamento.
Artigo 3.o
Âmbito de aplicação
1. O presente regulamento é aplicável ao tratamento de dados pessoais por todas as instituições e órgãos comunitários, na medida em que esse tratamento seja executado no exercício de actividades que dependam total ou parcialmente do âmbito de aplicação do direito comunitário.
2. O presente regulamento é aplicável ao tratamento de dados pessoais por meios total ou parcialmente automatizados, bem como ao tratamento por meios não automatizados de dados pessoais contidos num ficheiro ou a ele destinados.
CAPÍTULO II
NORMAS GERAIS DE LICITUDE DO TRATAMENTO DE DADOS PESSOAIS
SECÇÃO 1
PRINCÍPIOS RELATIVOS À QUALIDADE DOS DADOS
Artigo 4.o
Qualidade dos dados
1. Os dados pessoais devem ser:
a) Objecto de um tratamento leal e lícito;
b) Recolhidos para finalidades determinadas, explícitas e legítimas e não ser posteriormente tratados de forma incompatível com essas finalidades. O tratamento posterior para fins históricos, estatísticos ou científicos não é considerado incompatível desde que o responsável pelo tratamento estabeleça garantias adequadas, nomeadamente para assegurar que os dados não sejam tratados para quaisquer outros fins nem utilizados como fundamento de medidas ou decisões relativas a qualquer indivíduo em particular;
c) Adequados, pertinentes e não excessivos relativamente às finalidades para que são recolhidos e/ou tratados posteriormente;
d) Exactos e, se necessário, actualizados; devem ser tomadas todas as medidas razoáveis para que os dados inexactos ou incompletos, tendo em conta as finalidades para que foram recolhidos ou para que são tratados posteriormente, sejam apagados ou rectificados;
e) Conservados de forma a permitir a identificação das pessoas em causa apenas durante o período necessário para a prossecução das finalidades para que foram recolhidos ou para que são tratados posteriormente. A instituição ou o órgão comunitário deve estabelecer que os dados pessoais que devam ser conservados durante períodos mais longos do que o referido, para fins históricos, estatísticos ou científicos, só serão conservados sob uma forma que os torne anónimos, ou, quando tal seja impossível, só serão armazenados desde que a identidade da pessoa em causa seja cifrada. Os dados nunca devem ser utilizados para quaisquer outros fins que não sejam históricos, estatísticos ou científicos.
2. Incumbe ao responsável pelo tratamento assegurar a observância do disposto no n.o 1.
SECÇÃO 2
PRINCÍPIOS RELATIVOS À LEGITIMIDADE DO TRATAMENTO DE DADOS
Artigo 5.o
Licitude do tratamento
O tratamento de dados pessoais só pode ser efectuado se:
a) For necessário ao exercício de funções de interesse público com fundamento nos Tratados que instituem as Comunidades Europeias ou noutros actos legislativos aprovados com base nesses Tratados, ou no exercício da autoridade pública de que estão investidos a instituição ou o órgão comunitário ou um terceiro a quem os dados sejam comunicados; ou
b) For necessário para o respeito de uma obrigação jurídica a que o responsável pelo tratamento esteja sujeito; ou
c) For necessário para a execução de um contrato no qual a pessoa em causa é parte ou de diligências pré-contratuais a pedido da pessoa em causa; ou
d) A pessoa em causa tiver dado de forma inequívoca o seu consentimento; ou
e) For necessário para a protecção de interesses vitais da pessoa em causa.
Artigo 6.o
Mudança de finalidade
Sem prejuízo do disposto nos artigos 4.o, 5.o e 10.o:
1. Os dados pessoais só podem ser objecto de tratamento para finalidades diferentes daquelas para que foram recolhidos, se a mudança de finalidade for expressamente autorizada pelas regras internas da instituição ou do órgão comunitário.
2. Os dados pessoais recolhidos exclusivamente para garantir a segurança ou o controlo das operações ou sistemas de tratamento não podem ser utilizados para qualquer outra finalidade, com excepção da prevenção, investigação, detecção e repressão de infracções penais graves.
Artigo 7.o
Transferências de dados pessoais entre instituições ou órgãos comunitários ou no seu seio
Sem prejuízo dos artigos 4.o, 5.o, 6.o e 10.o:
1. Os dados pessoais só podem ser transferidos entre instituições ou órgãos comunitários ou no seu seio, se forem necessários para o desempenho legítimo de funções da competência do destinatário.
2. Se os dados forem transferidos a pedido do destinatário, tanto o responsável pelo tratamento como o destinatário assumem a responsabilidade pela legitimidade dessa transferência.
O responsável pelo tratamento tem a obrigação de verificar a competência do destinatário e de avaliar provisoriamente a necessidade da transferência desses dados. Em caso de dúvida quanto a essa necessidade, o responsável pelo tratamento pedirá informações complementares ao destinatário.
O destinatário zelará por que a necessidade da transferência de dados pessoais possa ser posteriormente verificada.
3. O destinatário só pode proceder ao tratamento dos dados pessoais para as finalidades para que foram transmitidos.
Artigo 8.o
Transferência de dados pessoais para destinatários, distintos das instituições e dos órgãos comunitários, abrangidos pela Directiva 95/46/CE
Sem prejuízo dos artigos 4.o 5.o, 6.o e 10.o, os dados pessoais só podem ser transferidos para destinatários abrangidos por legislação nacional aprovada por força da Directiva 95/46/CE, se:
a) O destinatário demonstrar que os dados são necessários no desempenho de funções de interesse público ou inerentes ao exercício da autoridade pública, ou
b) O destinatário demonstrar a necessidade da sua transferência e não existirem motivos para supor que os interesses legítimos da pessoa em causa podem ser prejudicados.
Artigo 9.o
Transferência de dados pessoais para destinatários, distintos das instituições e dos órgãos comunitários, não abrangidos pela Directiva 95/46/CE
1. Os dados pessoais só podem ser transferidos para destinatários distintos das instituições e dos órgãos comunitários que não estejam sujeitos à legislação nacional aprovada por força da Directiva 95/46/CE, se for garantido um nível de protecção adequado no país do destinatário ou no quadro da organização internacional destinatária e se os dados forem transferidos exclusivamente para o desempenho de funções da competência do responsável pelo tratamento.
2. O carácter adequado do nível de protecção assegurado pelo país terceiro ou pela organização internacional em questão é apreciado em função de todas as circunstâncias que envolvam a operação de transferência ou o conjunto das operações de transferência de dados. São nomeadamente tidas em conta a natureza dos dados, a finalidade e a duração do tratamento ou tratamentos projectados, o país terceiro ou a organização internacional destinatária, a legislação, geral ou sectorial, em vigor no país terceiro ou aplicável à organização internacional em causa, bem como as regras profissionais e as medidas de segurança aplicadas nesse país ou organização internacional.
3. As instituições e os órgãos comunitários informam a Comissão e a Autoridade Europeia para a protecção de dados dos casos em que consideram que o país terceiro ou a organização internacional em questão não assegura um nível de protecção adequado nos termos do n.o 2.
4. A Comissão informa os Estados-Membros dos casos a que se refere o n.o 3.
5. As instituições e órgãos comunitários tomam as medidas necessárias para dar cumprimento às decisões tomadas pela Comissão, verificando, por força dos n.os 4 e 6 do artigo 25.o da Directiva 95/46/CE, se determinado país terceiro ou organização internacional assegura um nível de protecção adequado.
6. Em derrogação dos n.os 1 e 2, a instituição ou o órgão comunitário podem transferir dados pessoais desde que:
a) A pessoa em causa tenha dado de forma inequívoca o seu consentimento à transferência projectada; ou
b) A transferência seja necessária para a execução de um contrato entre a pessoa em causa e o responsável pelo tratamento ou de diligências prévias à formação do contrato decididas a pedido da pessoa em causa; ou
c) A transferência seja necessária à conclusão ou execução de um contrato celebrado no interesse da pessoa em causa, entre o responsável pelo tratamento e um terceiro; ou
d) A transferência seja necessária ou legalmente exigida por motivos de interesse público importantes para a declaração, o exercício ou a defesa de um direito num processo judicial; ou
e) A transferência seja necessária para proteger os interesses vitais da pessoa em causa; ou
f) A transferência seja realizada a partir de um registo que, nos termos do direito comunitário, se destine à informação do público e se encontre aberto à consulta do público ou de qualquer pessoa que possa provar um interesse legítimo, desde que as condições estabelecidas para a consulta no direito comunitário sejam cumpridas no caso concreto.
7. Sem prejuízo no disposto no n.o 6, a Autoridade Europeia para a protecção de dados pode autorizar uma transferência ou um conjunto de transferências de dados pessoais para um país terceiro ou uma organização internacional que não assegure um nível de protecção adequado na acepção dos n.os 1 e 2, desde que o responsável pelo tratamento apresente garantias suficientes de protecção da vida privada e das liberdades e direitos fundamentais das pessoas, assim como do exercício dos respectivos direitos; essas garantias podem, designadamente, resultar de cláusulas contratuais adequadas.
8. As instituições e os órgãos comunitários informam a Autoridade Europeia para a protecção de dados das categorias de casos em que aplicaram os n.os 6 e 7.
SECÇÃO 3
CATEGORIAS ESPECÍFICAS DE TRATAMENTO
Artigo 10.o
Tratamento de categorias específicas de dados
1. É proibido o tratamento de dados pessoais que revelem a origem racial ou étnica, as opiniões políticas, as convicções religiosas ou filosóficas ou a filiação sindical, bem como o tratamento de dados relativos à saúde e à vida sexual.
2. O n.o 1 não é aplicável quando:
a) A pessoa em causa tiver dado o seu consentimento explícito para o tratamento desses dados, excepto se as regras internas da instituição ou do órgão comunitário previrem que a proibição a que se refere o n.o 1 não pode ser afastada pelo consentimento da pessoa em causa; ou
b) O tratamento for necessário para o cumprimento dos direitos e obrigações específicos do responsável pelo tratamento em matéria de direito de trabalho, na medida em que seja permitido pelos Tratados que instituem as Comunidades Europeias ou por outros actos legislativos aprovados com base nesses Tratados, ou, se necessário, na medida em que seja aceite pela Autoridade Europeia para a protecção dos dados, mediante garantias adequadas; ou
c) O tratamento for necessário para proteger interesses vitais da pessoa em causa ou de outra pessoa, se a pessoa em causa estiver física ou legalmente incapacitada de dar o seu consentimento; ou
d) O tratamento se referir a dados manifestamente tornados públicos pela pessoa em causa ou for necessário à declaração, ao exercício ou à defesa de um direito num processo judicial; ou
e) O tratamento for efectuado, no âmbito de actividades lícitas e mediante as garantias adequadas, por um organismo sem fins lucrativos que constitua uma entidade integrada numa instituição ou num órgão comunitário, que não esteja sujeito à legislação nacional aplicável à protecção de dados por força do artigo 4.o da Directiva 95/46/CE e que prossiga fins políticos, filosóficos, religiosos ou sindicais, desde que aquele tratamento se refira apenas aos membros deste organismo ou a pessoas que com ele mantenham contactos regulares relacionados com os seus objectivos, e que os dados não sejam divulgados a terceiros sem o consentimento da pessoa em causa.
3. O n.o 1 não é aplicável quando o tratamento de dados for necessário para efeitos de medicina preventiva, diagnósticos médicos, prestação de cuidados ou tratamentos médicos ou gestão dos serviços de saúde e quando o tratamento desses dados for efectuado por um profissional de saúde obrigado ao sigilo profissional ou por outra pessoa igualmente sujeita a uma obrigação de sigilo equivalente.
4. Sob reserva das garantias adequadas, por importantes motivos de interesse público, e para além das derrogações previstas no n.o 2, podem ser estabelecidas outras derrogações pelos Tratados que instituem as Comunidades Europeias ou por outros actos legislativos aprovados com base nesses Tratados, ou, se necessário, mediante decisão da Autoridade Europeia para a protecção de dados.
5. O tratamento de dados relativos a infracções, condenações penais ou medidas de segurança só pode ser efectuado se for autorizado pelos Tratados que instituem as Comunidades Europeias ou por outros actos legislativos aprovados com base nesses Tratados ou, se necessário, pela Autoridade Europeia para a protecção de dados, mediante garantias específicas adequadas.
6. A Autoridade Europeia para a protecção de dados determina as condições em que um número pessoal ou outro elemento de identificação geral pode ser objecto de tratamento por uma instituição ou órgão comunitário.
SECÇÃO 4
INFORMAÇÃO DA PESSOA EM CAUSA
Artigo 11.o
Informação em caso de recolha de dados junto da pessoa em causa
1. O responsável pelo tratamento deve fornecer à pessoa em causa junto da qual recolha dados que lhe digam respeito, pelo menos, as seguintes informações, excepto se essa pessoa já delas tiver conhecimento:
a) Identidade do responsável pelo tratamento;
b) Finalidades do tratamento a que os dados se destinam;
c) Destinatários ou categorias de destinatários dos dados;
d) O carácter obrigatório ou facultativo da resposta, bem como as eventuais consequências da falta de resposta;
e) Existência de um direito de acesso aos dados que lhe digam respeito e do direito de os rectificar;
f) Outras informações complementares, como:
i) o fundamento jurídico do tratamento a que os dados se destinam;
ii) os prazos de conservação dos dados;
iii) o direito de recurso, a qualquer momento, à Autoridade Europeia para a protecção de dados,
desde que, tendo em conta as circunstâncias específicas da recolha dos dados, essas informações complementares sejam necessárias para garantir à pessoa em causa o tratamento leal desses dados.
2. Em derrogação do disposto no n.o 1, a comunicação de informações ou de certos elementos de uma informação, com excepção das informações previstas nas alíneas a), b) e d) do n.o 1, pode ser adiada pelo tempo necessário para efeitos estatísticos. A informação deve ser comunicada logo que deixe de existir a razão subjacente à sua retenção.
Artigo 12.o
Informação em caso de dados não recolhidos junto da pessoa em causa
1. Se os dados não tiverem sido recolhidos junto da pessoa em causa, o responsável pelo tratamento deve fornecer à pessoa em causa, desde o momento do registo dos dados ou, se estiver prevista a comunicação dos dados a terceiros, o mais tardar aquando da primeira comunicação desses dados, pelo menos, as seguintes informações, excepto se a referida pessoa já delas tiver conhecimento:
a) Identidade do responsável pelo tratamento;
b) Finalidades do tratamento;
c) Categorias de dados envolvidos;
d) Destinatários ou categorias de destinatários dos dados;
e) Existência de um direito de acesso aos dados que lhe digam respeito e do direito de os rectificar;
f) Outras informações complementares, como:
i) o fundamento jurídico do tratamento a que os dados se destinam;
ii) os prazos de conservação dos dados;
iii) o direito de recurso, a qualquer momento, à Autoridade Europeia para a protecção de dados,
iv) a origem dos dados, salvo quando o responsável pelo tratamento não possa comunicar esta informação por motivos de segredo profissional,
desde que, tendo em conta as circunstâncias específicas da recolha dos dados, essas informações complementares sejam necessárias para garantir à pessoa em causa o tratamento leal desses dados.
2. O n.o 1 não é aplicável quando, nomeadamente no caso do tratamento de dados para fins estatísticos ou de investigação histórica ou científica, a informação da pessoa em causa se tornar impossível ou implicar esforços desproporcionados ou quando a legislação comunitária previr expressamente o registo dos dados ou a sua comunicação. Nesse caso, a instituição ou o órgão comunitários deve estabelecer as garantias adequadas, depois de consultada a Autoridade Europeia para a protecção de dados.
SECÇÃO 5
DIREITOS DA PESSOA EM CAUSA
Artigo 13.o
Direito de acesso
A pessoa em causa tem o direito de, a qualquer momento, obter do responsável pelo tratamento, gratuitamente, no prazo de três meses a contar da data de recepção do pedido:
a) A confirmação do tratamento ou não dos dados que lhe digam respeito;
b) Informações pelo menos sobre os fins a que se destina esse tratamento, as categorias de dados sobre que incide e os destinatários ou categorias de destinatários a quem são comunicados os dados;
c) A comunicação, sob forma inteligível, dos dados sujeitos a tratamento e de quaisquer informações disponíveis sobre a sua origem;
d) O conhecimento da lógica subjacente ao tratamento automatizado dos dados que lhe digam respeito.
Artigo 14.o
Rectificação
A pessoa em causa tem o direito de obter do responsável pelo tratamento a rectificação imediata de dados pessoais incompletos ou inexactos.
Artigo 15.o
Bloqueio
1. A pessoa em causa tem o direito de obter do responsável pelo tratamento o bloqueio dos dados, se:
a) A sua exactidão for contestada pela pessoa em causa, durante um prazo que permita ao responsável pelo tratamento verificar a exactidão dos dados, incluindo a sua exaustividade, ou
b) O responsável pelo tratamento já não precisar desses dados para o desempenho das suas funções, mas estes devam ser conservados para efeitos de prova; ou
c) O tratamento for ilícito e a pessoa em causa se opuser ao seu apagamento e solicitar, em contrapartida, o seu bloqueio.
2. Nos ficheiros automatizados, o bloqueio será, em princípio, assegurado por meios técnicos. O facto de os dados pessoais estarem bloqueados será indicado no sistema de forma a ser claro que esses dados não podem ser utilizados.
3. À excepção da sua conservação, os dados pessoais bloqueados em aplicação do presente artigo só podem ser objecto de tratamento para efeitos de prova, com o consentimento da pessoa em causa ou para protecção dos direitos de terceiros.
4. A pessoa em causa que tenha solicitado e obtido o bloqueio dos dados que lhe dizem respeito será informada pelo responsável pelo tratamento antes de os dados serem desbloqueados.
Artigo 16.o
Apagamento
A pessoa em causa tem o direito de obter do responsável pelo tratamento o apagamento dos dados se o seu tratamento for ilícito, em especial em caso de violação do disposto nas secções I, II e III do capítulo II.
Artigo 17.o
Comunicação a terceiros
A pessoa em causa tem o direito de obter do responsável pelo tratamento a notificação, de terceiros a quem os dados tenham sido transmitidos, de qualquer rectificação, apagamento ou bloqueio efectuados nos termos dos artigos 13.o a 16.o, excepto se tal for impossível ou implicar um esforço desproporcionado.
Artigo 18.o
Direito de oposição da pessoa em causa
A pessoa em causa tem o direito de:
a) Se opor em qualquer momento, por razões imperiosas e legítimas relacionadas com a sua situação particular, a que os dados que lhe digam respeito sejam objecto de tratamento, excepto nos casos referidos nas alíneas b), c) e d) do artigo 5.o Em caso de oposição justificada, o referido tratamento deixa de poder incidir sobre esses dados;
b) Ser informada antes de os dados pessoais serem comunicados pela primeira vez a terceiros ou antes de serem utilizados em seu nome para fins de "marketing" directo, e de lhe ser expressamente facultado o direito de se opor, sem despesas, a essa comunicação ou utilização.
Artigo 19.o
Decisões individuais automatizadas
A pessoa em causa tem o direito de não ficar sujeita a uma decisão que produza efeitos na sua esfera jurídica ou que a afecte de modo significativo, tomada exclusivamente com base num tratamento automatizado de dados destinado a avaliar determinados aspectos da sua personalidade como, por exemplo, a sua capacidade profissional, a sua fiabilidade ou o seu comportamento, excepto se a decisão for expressamente autorizada por força da legislação nacional ou comunitária ou, se necessário, pela Autoridade Europeia para a protecção de dados. Em ambos os casos, devem ser tomadas medidas que garantam a defesa dos legítimos interesses da pessoa em causa, tais como medidas que lhe permitam expressar a sua opinião.
SECÇÃO 6
EXCEPÇÕES E RESTRIÇÕES
Artigo 20.o
Excepções e restrições
1. As instituições e os órgãos comunitários podem restringir a aplicação do n.o 1 do artigo 4.o, do artigo 11.o, do n.o 1 do artigo 12.o, dos artigos 13.o a 17.o e do n.o 1 do artigo 37.o, desde que essa restrição constitua uma medida necessária para:
a) Garantir a prevenção, investigação, detecção e repressão de infracções penais;
b) Salvaguardar um interesse económico ou financeiro importante de um Estado-Membro ou das Comunidades Europeias, incluindo nos domínios monetário, orçamental ou fiscal;
c) Garantir a protecção da pessoa em causa ou dos direitos e liberdades de outrem;
d) Assegurar a segurança nacional, a segurança pública e a defesa dos Estados-Membros;
e) Assegurar funções de controlo, de inspecção ou de regulamentação associadas, ainda que ocasionalmente, ao exercício da autoridade pública, nos casos referidos nas alíneas a) e b).
2. Os artigos 13.o a 16.o não são aplicáveis se os dados forem tratados exclusivamente para fins de investigação científica ou conservados sob forma de dados pessoais durante um período que não exceda o necessário exclusivamente para fins de elaboração estatística, desde que não exista manifestamente qualquer perigo de violação do direito à vida privada da pessoa em causa e o responsável pelo tratamento dê as garantias legais necessárias, e, nomeadamente, a de que os dados não serão utilizados para tomar medidas ou decisões em relação a determinadas pessoas.
3. Se for imposta uma das restrições previstas no n.o 1, a pessoa em causa será informada, nos termos do direito comunitário, dos principais motivos da aplicação da restrição e do seu direito de recorrer à Autoridade Europeia para a protecção de dados.
4. Se for invocada uma das restrições previstas no n.o 1 para negar à pessoa em causa o acesso aos dados, a Autoridade Europeia para a protecção de dados, ao investigar a reclamação, só lhe comunicará se os dados tiverem sido tratados correctamente e, em caso negativo, se foram introduzidas todas as correcções necessárias.
5. A informação a que se referem os n.os 3 e 4 pode ser adiada enquanto impedir o efeito da limitação imposta com base no disposto no n.o 1.
SECÇÃO 7
CONFIDENCIALIDADE E SEGURANÇA DO TRATAMENTO
Artigo 21.o
Confidencialidade do tratamento
Qualquer pessoa empregada por uma instituição ou órgão comunitário, ou qualquer instituição ou órgão comunitário que actue como subcontratante, que tenha acesso a dados pessoais, não pode proceder ao seu tratamento sem instruções do responsável pelo tratamento, excepto se tal for exigido pela legislação nacional ou comunitária.
Artigo 22.o
Segurança do tratamento
1. Tendo em conta os conhecimentos técnicos disponíveis e os custos da sua aplicação, o responsável pelo tratamento deve pôr em prática as medidas técnicas e organizativas necessárias para garantir um nível de segurança adequado em relação aos riscos que o tratamento apresenta e à natureza dos dados pessoais a proteger.
Essas medidas devem ser tomadas em especial para evitar qualquer divulgação ou acesso não autorizados, destruição acidental ou ilícita, ou alterações ou perdas acidentais, bem como contra qualquer outra forma de tratamento ilícito.
2. Sempre que os dados pessoais forem tratados por meios automatizados, devem ser tomadas as medidas adequadas, em função dos riscos, tendo nomeadamente em vista:
a) Impedir o acesso de pessoas não autorizadas aos sistemas informáticos de tratamento de dados pessoais;
b) Impedir qualquer leitura, reprodução, alteração ou remoção não autorizada dos suportes de armazenamento;
c) Impedir qualquer introdução não autorizada de dados na memória, assim como qualquer divulgação, alteração ou apagamento não autorizado dos dados pessoais armazenados;
d) Impedir que pessoas não autorizadas utilizem sistemas de tratamento de dados através de equipamento de transmissão de dados;
e) Garantir que os utilizadores autorizados de um sistema de tratamento de dados não possam aceder a outros dados pessoais para os quais não possuem autorização;
f) Registar quais os dados pessoais comunicados, quando e a quem;
g) Garantir que posteriormente será possível controlar e verificar quando e por quem os dados pessoais foram tratados;
h) Garantir que o tratamento de dados pessoais por conta de terceiros só possa ser efectuado nos moldes prescritos pela instituição ou pelo órgão contratantes;
i) Garantir que durante a comunicação de dados pessoais e transporte de suportes de dados, os dados não possam ser lidos, copiados ou apagados sem autorização;
j) Conceber a estrutura organizativa de uma instituição ou de um órgão por forma a que os requisitos especiais da protecção de dados sejam cumpridos.
Artigo 23.o
Tratamento de dados pessoais por conta do responsável pelo tratamento
1. O responsável pelo tratamento deve, em caso de tratamento por sua conta, escolher um subcontratante que ofereça garantias suficientes em relação às medidas de segurança técnica e de organização previstas no artigo 22.o e assegurar o cumprimento dessas medidas.
2. A realização de operações de tratamento em subcontratação deve-se regular por um contrato ou acto jurídico que vincule o subcontratante ao responsável pelo tratamento e que preveja, designadamente, que:
a) O subcontratante actuará apenas mediante instruções do responsável pelo tratamento;
b) As obrigações previstas nos artigos 21.o e 22.o incumbem igualmente ao subcontratante, excepto se, por força do artigo 16.o ou do n.o 3, segundo travessão, do artigo 17.o da Directiva 95/46/CE, o subcontratante já estiver sujeito às obrigações de confidencialidade e segurança previstas na legislação nacional de um Estado-Membro.
3. Para efeitos de conservação de provas, os elementos do contrato ou do acto jurídico relativos à protecção de dados, bem como as exigências relativas às medidas referidas no artigo 22.o, devem ficar estipulados por escrito ou sob forma equivalente.
SECÇÃO 8
RESPONSÁVEL PELA PROTECÇÃO DE DADOS
Artigo 24.o
Nomeação e atribuições do responsável pela protecção de dados
1. Cada instituição e órgão comunitário designa, pelo menos, uma pessoa encarregada da protecção de dados. Esse encarregado deve:
a) Garantir que os responsáveis pelo tratamento e as pessoas em causa sejam informadas dos seus direitos e obrigações nos termos do presente regulamento;
b) Responder aos pedidos da Autoridade Europeia para a protecção de dados, e dentro do âmbito da sua competência, com ela cooperar a seu pedido ou por sua própria iniciativa;
c) Garantir, de forma independente, a aplicação interna, das disposições do presente regulamento;
d) Manter um registo dos tratamentos efectuados pelo responsável pelo tratamento, com os elementos de informação referidos no n.o 2 do artigo 25.o;
e) Notificar a Autoridade Europeia para a protecção de dados dos tratamentos susceptíveis de apresentarem riscos específicos nos termos do artigo 27.o
Esse encarregado deve assegurar, assim, que o tratamento de dados não seja susceptível de prejudicar os direitos e liberdades das pessoas em causa.
2. O encarregado da protecção de dados é escolhido em função das suas qualidades pessoais e profissionais e, em particular, dos seus conhecimentos em matéria de protecção de dados.
3. A escolha do encarregado da protecção de dados não deve poder originar um conflito de interesses entre as suas funções de encarregado e outras funções oficiais, em especial no âmbito da aplicação das disposições do presente regulamento.
4. O encarregado da protecção de dados será nomeado por um período de dois a cinco anos. O seu mandato pode ser renovado, não podendo, todavia, ter uma duração total superior a dez anos. O encarregado da protecção de dados só pode ser demitido das suas funções pela instituição ou órgão comunitário que o nomeou com o acordo da Autoridade Europeia para a protecção de dados, se deixar de preencher as condições exigidas para o desempenho das suas funções.
5. Após a nomeação do encarregado da protecção de dados, o seu nome é comunicado à Autoridade Europeia para a protecção de dados pela instituição ou órgão que o tenha nomeado.
6. São postos à disposição do encarregado da protecção de dados pela instituição ou órgão comunitário que o tenha nomeado o pessoal e os recursos necessários ao desempenho das suas funções.
7. O encarregado da protecção dos dados não pode receber instruções no desempenho das suas funções.
8. Serão adoptadas regras de execução complementares, pelas instituições ou órgãos comunitários, nos termos do anexo. Essas regras incidirão sobre as funções e as competências do encarregado da protecção de dados.
Artigo 25.o
Notificação do encarregado da protecção de dados
1. Antes de proceder a qualquer operação ou conjunto de operações de tratamento, com uma ou várias finalidades interligadas, o responsável pelo tratamento deve comunicar esse facto ao encarregado da protecção de dados.
2. As informações devem incluir:
a) O nome e endereço do responsável pelo tratamento e a indicação dos serviços de uma instituição ou um órgão encarregados do tratamento de dados pessoais para uma finalidade específica;
b) A ou as finalidades do tratamento;
c) Uma descrição da ou das categorias de pessoas em causa e dos dados ou categorias de dados que lhes digam respeito;
d) O fundamento jurídico do tratamento a que os dados se destinam;
e) A ou as categorias de destinatários a quem os dados poderão ser comunicados;
f) Uma indicação geral dos prazos em matéria de bloqueio e apagamento das diferentes categorias de dados;
g) As transferências de dados previstas para países terceiros ou organizações internacionais;
h) Uma descrição geral que permita efectuar uma avaliação prévia da adequação das medidas tomadas para garantir a segurança do tratamento nos termos do artigo 22.o
3. O encarregado da protecção de dados deve ser imediatamente informado de qualquer alteração que afecte as informações previstas no n.o 2.
Artigo 26.o
Registo
Cada encarregado da protecção de dados deve manter um registo das operações de tratamento notificadas nos termos do artigo 25.o
Os registos devem conter, pelo menos, as informações indicadas no n.o 2, alíneas a) a g), do artigo 25.o. Os registos podem ser consultados por qualquer pessoa, directa ou indirectamente ou por intermédio da Autoridade Europeia para a protecção de dados.
SECÇÃO 9
CONTROLO PRÉVIO PELA AUTORIDADE EUROPEIA PARA A PROTECÇÃO DE DADOS E OBRIGAÇÃO DE COOPERAÇÃO
Artigo 27.o
Controlo prévio
1. As operações de tratamento que possam apresentar riscos específicos para os direitos e liberdades das pessoas em causa, devido à sua natureza, âmbito ou finalidade, são sujeitas a controlo prévio pela Autoridade Europeia para a protecção de dados.
2. As operações de tratamento susceptíveis de apresentar esses riscos são as seguintes:
a) Tratamento de dados relativos à saúde e tratamento de dados relativos a suspeitas, infracções, condenações penais ou medidas de segurança;
b) Tratamento de dados destinado a apreciar a personalidade das pessoas em causa, nomeadamente a sua competência, eficácia ou comportamento;
c) Tratamento de dados que permitam interconexões, não previstas pela legislação nacional ou comunitária, entre os dados tratados para finalidades distintas;
d) Tratamento de dados destinado a excluir pessoas do benefício de um direito, de uma prestação ou de um contrato.
3. Os controlos prévios são realizados pela Autoridade Europeia para a protecção de dados após recepção da notificação do encarregado da protecção de dados que, em caso de dúvida quanto à necessidade de controlo prévio, deve consultar a Autoridade Europeia para a protecção de dados.
4. A Autoridade Europeia para a protecção de dados deve dar parecer no prazo de dois meses a contar da recepção da notificação. A contagem desse prazo pode ser suspensa, enquanto a Autoridade Europeia para a protecção de dados não tiver recebido as informações complementares pedidas. Quando a complexidade do processo o imponha, esse prazo pode ser igualmente prorrogado por mais dois meses por decisão da Autoridade Europeia para a protecção de dados. O responsável pelo tratamento será notificado dessa decisão antes do termo do prazo inicial de dois meses.
Se, no termo do prazo de dois meses, eventualmente prorrogado, não tiver sido dado parecer, forma-se um parecer favorável.
Se, na opinião da Autoridade Europeia para a protecção de dados, o tratamento objecto de comunicação puder implicar a violação de uma disposição do presente regulamento, aquela apresentará, eventualmente, propostas adequadas para evitar essa violação. Se o responsável pelo tratamento não o modificar nesse sentido, a Autoridade Europeia para a protecção de dados poderá usar dos poderes que lhe são conferidos pelo n.o 1 do artigo 47.o
5. A Autoridade Europeia para a protecção de dados deve manter um registo das operações de tratamento que lhe forem comunicadas nos termos do n.o 2. O registo deve conter as informações enumeradas no artigo 25.o e pode ser consultado por qualquer pessoa.
Artigo 28.o
Consulta
1. As instituições e os órgãos comunitários informam a Autoridade Europeia para a protecção de dados da elaboração de medidas administrativas relativas ao tratamento de dados pessoais que envolvam uma instituição ou órgão comunitário, individualmente ou em conjunto.
2. Quando aprovar uma proposta legislativa relativa à protecção dos direitos e liberdades das pessoas no que se refere ao tratamento de dados pessoais, a Comissão deve consultar a Autoridade Europeia para a protecção de dados.
Artigo 29.o
Obrigação de informação
As instituições e órgãos comunitários devem informar a Autoridade Europeia para a protecção de dados das medidas adoptadas na sequência das suas decisões ou autorizações referidas na alínea h) do artigo 46.o
Artigo 30.o
Obrigação de cooperar
A pedido da Autoridade Europeia para a protecção de dados, os responsáveis pelo tratamento de dados devem prestar-lhe assistência no desempenho das suas funções, em especial fornecendo as informações a que se refere o n.o 2, alínea a), do artigo 47.o e facultando-lhe o acesso previsto no n.o 2, alínea b), do artigo 47.o
Artigo 31.o
Dever de resposta a alegações
Em resposta ao exercício da competência da Autoridade Europeia para a protecção de dados, conferida nos termos do n.o 1, alínea b), do artigo 47.o, o responsável pelo tratamento em causa deve comunicar-lhe a sua opinião, num prazo razoável que aquela Autoridade estabelecer. Essa resposta inclui igualmente uma descrição das medidas eventualmente adoptadas na sequência das observações da Autoridade Europeia para a protecção de dados.
CAPÍTULO III
RECURSOS
Artigo 32.o
Recursos
1. O Tribunal de Justiça das Comunidades Europeias é competente para conhecer de todos os litígios relacionados com o disposto no presente regulamento, incluindo acções de indemnização.
2. Sem prejuízo de um recurso judicial, qualquer pessoa em causa pode apresentar reclamações à Autoridade Europeia para a protecção de dados, se considerar que os direitos que lhe são reconhecidos no artigo 286.o do Tratado foram violados na sequência do tratamento dos seus dados pessoais por uma instituição ou um órgão comunitário.
A falta de resposta da Autoridade Europeia para a protecção de dados num prazo de seis meses equivale a uma decisão de indeferimento da reclamação.
3. Cabe recurso para o Tribunal de Justiça das Comunidades Europeias das decisões da Autoridade Europeia para a protecção de dados.
4. Qualquer pessoa que tenha sofrido um dano por tratamento ilícito ou acção incompatível com o presente regulamento, tem o direito a reparação do dano causado nos termos do artigo 288.o do Tratado.
Artigo 33.o
Reclamações do pessoal das Comunidades
Qualquer pessoa empregada numa instituição ou órgão comunitário pode, sem passar pela via oficial, apresentar uma reclamação à Autoridade Europeia para a protecção de dados por alegada violação de disposições do presente regulamento aplicáveis ao tratamento de dados pessoais. Ninguém pode ser prejudicado por ter apresentado uma reclamação à Autoridade Europeia para a protecção de dados sobre uma alegada violação das disposições que regulam o tratamento de dados pessoais.
CAPÍTULO IV
PROTECÇÃO DE DADOS PESSOAIS E DA VIDA PRIVADA NO ÂMBITO DAS REDES INTERNAS DE TELECOMUNICAÇÕES
Artigo 34.o
Âmbito
Sem prejuízo das outras disposições do presente regulamento, o presente Capítulo é aplicável ao tratamento de dados pessoais relacionado com a utilização de redes ou equipamentos terminais de telecomunicações que operem sob o controlo de uma instituição ou órgão comunitário.
Para efeitos do presente capítulo, entende-se por "utilizador", qualquer pessoa singular que utilize uma rede ou um equipamento terminal de telecomunicações que opere sob o controlo de uma instituição ou órgão comunitário.
Artigo 35.o
Segurança
1. As instituições e os órgãos comunitários tomam todas as medidas técnicas e organizativas adequadas para garantir a segurança da utilização das redes e equipamentos terminais de telecomunicações, se necessário conjuntamente com os prestadores de serviços públicos de telecomunicações ou os fornecedores de redes públicas. Essas medidas devem assegurar um nível de segurança adequado aos riscos existentes, tendo em conta as possibilidades técnicas mais recentes e os custos da execução dessas medidas.
2. Quando se verifique um risco particular que não permita garantir a segurança da rede e dos equipamentos terminais, a instituição ou o órgão comunitário em causa informa os utilizadores acerca desse risco e das medidas susceptíveis de o eliminar, bem como de meios de comunicação alternativos.
Artigo 36.o
Confidencialidade das comunicações
As instituições e os órgãos comunitários garantem a confidencialidade das comunicações efectuadas através de redes e equipamentos terminais de telecomunicações respeitando os princípios gerais do direito comunitário.
Artigo 37.o
Dados de tráfego e de facturação
1. Sem prejuízo do disposto nos n.os 2, 3 e 4, os dados de tráfego relativos aos utilizadores, tratados e conservados para estabelecer chamadas ou outros tipos de ligações nas redes de telecomunicações, devem ser apagados ou tornados anónimos após a conclusão da chamada ou ligação em causa.
2. Se necessário, os dados relativos ao tráfego indicados na lista acordada pela Autoridade Europeia para a protecção de dados podem ser objecto de tratamento, para efeitos de gestão do orçamento das telecomunicações e do tráfego, incluindo a verificação da utilização autorizada do sistema de telecomunicações. Esses dados devem ser apagados ou tornados anónimos logo que possível e o mais tardar seis meses após a sua recolha, excepto se a sua conservação posterior for necessária para a declaração, o exercício ou a defesa de um direito no âmbito de uma acção judicial pendente num tribunal.
3. O tratamento dos dados relativos ao tráfego e à facturação só pode ser realizado pelas pessoas responsáveis pela gestão da facturação, do tráfego ou do orçamento.
4. Os utilizadores de redes de telecomunicações têm o direito de receber facturas ou outros registos não detalhados das chamadas efectuadas.
Artigo 38.o
Listas de utilizadores
1. Os dados pessoais inseridos nas listas de utilizadores impressas ou electrónicas e o acesso a essas listas devem limitar-se ao estritamente necessário para os fins específicos das listas.
2. As instituições e órgãos comunitários tomam todas as medidas necessárias para impedir que os dados pessoais incluídos nestas listas, independentemente de estas serem ou não acessíveis ao público, sejam utilizados para fins de "marketing" directo.
Artigo 39.o
Apresentação e restrição da identificação da linha chamadora e da linha conectada
1. Quando seja oferecida a apresentação da identificação da linha chamadora, o utilizador chamador deve ter a possibilidade de, através de um meio simples e gratuito, eliminar a apresentação da identificação da linha chamadora.
2. Quando seja oferecida a apresentação da identificação da linha chamadora, o utilizador chamado deve ter a possibilidade de, através de um meio simples e gratuito, impedir a apresentação da identificação da linha chamadora das chamadas de entrada.
3. Quando seja oferecida a apresentação da identificação da linha chamadora, o utilizador chamado deve ter a possibilidade de, através de um meio simples e gratuito, eliminar a apresentação da identificação da linha conectada ao utilizador autor da chamada.
4. Se for oferecida a apresentação da identificação da linha chamadora ou da linha conectada, as instituições e os órgãos comunitários devem informar os utilizadores desse facto e das possibilidades previstas nos n.os 1, 2 e 3.
Artigo 40.o
Derrogações
As instituições e os órgãos comunitários garantem a transparência dos processos que regulam o modo como podem anular a eliminação da apresentação da identificação da linha chamadora:
a) Por um período de tempo limitado, a pedido de um utilizador que pretenda determinar a origem de chamadas mal-intencionadas ou incomodativas;
b) Numa base linha a linha, para as organizações que recebam chamadas de emergência, por forma a poderem responder a essas chamadas.
CAPÍTULO V
AUTORIDADE INDEPENDENTE DE CONTROLO: AUTORIDADE EUROPEIA PARA A PROTECÇÃO DE DADOS
Artigo 41.o
Autoridade Europeia para a protecção de dados
1. É criada uma autoridade independente de controlo denominada Autoridade Europeia para a protecção de dados.
2. No que se refere ao tratamento de dados pessoais, a Autoridade Europeia para a protecção de dados é encarregada de assegurar que os direitos e liberdades fundamentais das pessoas singulares, especialmente o direito à vida privada, sejam respeitados pelas instituições e órgãos comunitários.
A Autoridade Europeia para a protecção de dados é encarregada do controlo e da execução das disposições do presente regulamento e de qualquer outro acto comunitário relativo à protecção dos direitos e liberdades fundamentais das pessoas singulares no que diz respeito ao tratamento de dados pessoais por uma instituição ou órgão comunitário, e por aconselhar as instituições e órgãos comunitários e as pessoas em causa sobre todas as questões relativas ao tratamento de dados pessoais. Para esses fins, deve desempenhar as funções previstas no artigo 46.o e exercer a competência que lhe é conferida no artigo 47.o
Artigo 42.o
Nomeação
1. O Parlamento Europeu e o Conselho nomeiam, de comum acordo e por um período de cinco anos, a Autoridade Europeia para a protecção de dados, com base numa lista estabelecida pela Comissão na sequência de um concurso público de candidaturas.
Segundo o mesmo procedimento e por igual período de tempo, será nomeada uma Autoridade-Adjunta que coadjuvará a Autoridade em todas as suas funções e a substituirá em caso de ausência ou impedimento.
2. A Autoridade Europeia para a protecção de dados é escolhida entre pessoas que ofereçam todas as garantias de independência e de reconhecida experiência e competência para o desempenho das funções de Autoridade Europeia para a protecção de dados decorrentes, nomeadamente, de pertencerem ou terem pertencido às autoridades de controlo referidas no artigo 28.o da Directiva 95/46/CE.
3. O mandato da Autoridade Europeia para a protecção de dados é renovável.
4. Além das renovações regulares e por morte, as funções da Autoridade Europeia para a protecção de dados cessam com a demissão ou a destituição nos termos do n.o 5.
5. A Autoridade Europeia para a protecção de dados pode ser declarada demissionária ou perder o seu direito a pensão ou a outros benefícios equivalentes, por decisão do Tribunal de Justiça, a pedido do Parlamento Europeu, do Conselho ou da Comissão, se deixar de preencher os requisitos necessários ao exercício das suas funções ou tiver cometido uma falta grave.
6. Nos casos de renovação regular e de demissão, a Autoridade Europeia para a protecção de dados permanece, todavia, em funções até se proceder à sua substituição.
7. Os artigos 12.o a 15.o e 18.o do Protocolo relativo aos Privilégios e Imunidades das Comunidades Europeias são igualmente aplicáveis à Autoridade Europeia para a protecção de dados.
8. Os n.os 2 a 7 são aplicáveis à Autoridade-Adjunta.
Artigo 43.o
Estatuto e condições gerais de exercício de funções da Autoridade Europeia para a protecção de dados, recursos humanos e financeiros
1. O Parlamento Europeu, o Conselho e a Comissão estabelecem de comum acordo o estatuto e as condições gerais de exercício das funções da Autoridade Europeia para a protecção de dados e, em especial, o seu vencimento, os seus subsídios e quaisquer benefícios equivalentes a remuneração.
2. A autoridade orçamental garante que a Autoridade Europeia para a protecção de dados disponha dos recursos humanos e financeiros necessários ao desempenho das suas funções.
3. O orçamento da Autoridade Europeia para a protecção de dados consta de uma rubrica específica da secção VIII do Orçamento Geral da União Europeia.
4. A Autoridade Europeia para a protecção de dados é assistida por um secretariado. Os funcionários e outros agentes do secretariado são nomeados pela Autoridade Europeia para a protecção de dados que é o seu superior hierárquico e de quem dependem exclusivamente. O seu número é designado anualmente no âmbito do exercício orçamental.
5. Os funcionários e outros agentes do secretariado da Autoridade Europeia para a protecção de dados estão sujeitos às regras e regulamentação aplicáveis aos funcionários e outros agentes das Comunidades Europeias.
6. No que diz respeito ao pessoal que lhe está adstrito, a Autoridade Europeia para a protecção de dados é equiparada às instituições nos termos do artigo 1.o do Estatuto dos Funcionários das Comunidades Europeias.
Artigo 44.o
Independência
1. A Autoridade Europeia para a protecção de dados é totalmente independente no desempenho das suas funções.
2. No exercício das suas funções, a Autoridade Europeia para a protecção de dados não solicita nem aceita instruções de outrem.
3. A Autoridade Europeia para a protecção de dados deve abster-se de qualquer acto incompatível com as suas funções e, durante o seu mandato, não pode desempenhar qualquer outra actividade profissional, remunerada ou não.
4. Cessadas as suas funções, a Autoridade Europeia para a protecção de dados deve agir com integridade e discrição relativamente à aceitação de determinadas funções e benefícios.
Artigo 45.o
Sigilo profissional
A Autoridade Europeia para a protecção de dados e o seu pessoal ficam, durante o respectivo mandato e após a cessação deste, sujeitos à obrigação de sigilo profissional quanto às informações confidenciais a que tenham tido acesso no desempenho das suas funções.
Artigo 46.o
Funções
A Autoridade Europeia para a protecção de dados deve:
a) Ouvir e investigar as reclamações e informar do resultado as pessoas em causa num prazo razoável;
b) Realizar inquéritos por sua iniciativa ou com base numa reclamação e informar do resultado as pessoas em causa num prazo razoável;
c) Controlar e garantir a aplicação do presente regulamento e de qualquer outro acto comunitário relativo à protecção de pessoas singulares no que se refere ao tratamento de dados pessoais por qualquer instituição ou órgão comunitário, com excepção do Tribunal de Justiça das Comunidades Europeias no exercício das suas funções judiciais;
d) Aconselhar, por sua própria iniciativa ou em resposta a uma consulta, todas as instituições e órgãos comunitários, sobre o conjunto das matérias relativas ao tratamento de dados pessoais, nomeadamente antes de estas instituições e órgãos elaborarem regras internas sobre a protecção dos direitos e liberdades fundamentais em relação ao tratamento de dados pessoais;
e) Acompanhar factos novos com interesse, na medida em que incidam na protecção de dados pessoais, nomeadamente, a evolução das tecnologias da informação e das comunicações;
f) i) Cooperar com as autoridades nacionais de controlo referidas no artigo 28.o da Directiva 95/46/CE dos países a que esta é aplicável, na medida do necessário ao cumprimento das suas obrigações respectivas, nomeadamente procedendo ao intercâmbio de todas as informações úteis, solicitando a essas autoridades ou órgãos que exerçam as suas competências ou respondendo a um pedido dessas autoridades ou órgãos;
ii) Cooperar igualmente com órgãos de controlo da protecção de dados por força do título VI do Tratado da União Europeia, nomeadamente para melhorar a coerência na aplicação das normas e processos cujo respeito devam assegurar;
g) Participar nas actividades do "grupo de protecção das pessoas no que diz respeito ao Tratamento de dados pessoais", criado pelo artigo 29.o da Directiva 95/46/CE;
h) Determinar, fundamentar e publicar as excepções, garantias, autorizações e condições referidas nos n.os 2.b), 4, 5 e 6 do artigo 10.o, no n.o 2 do artigo 12.o, no artigo 19.o e no n.o 2 do artigo 37.o;
i) Manter um registo das operações de tratamento de dados que lhe sejam notificadas nos termos do n.o 2 do artigo 27.o e registadas nos termos do n.o 5 do mesmo artigo, e fornecer os meios de acesso aos registos mantidos pelos encarregados da protecção de dados nos termos do artigo 26.o;
j) Efectuar controlos prévios das operações de tratamento que lhe sejam notificadas;
k) Elaborar o seu regulamento interno.
Artigo 47.o
Competência
1. A Autoridade Europeia para a protecção de dados pode:
a) Aconselhar as pessoas em causa no exercício dos seus direitos;
b) Recorrer ao responsável pelo tratamento em caso de alegada violação das disposições que regulam o tratamento de dados pessoais, podendo, eventualmente, apresentar propostas para reparar essa violação e melhorar a protecção das pessoas em causa;
c) Ordenar que os pedidos de exercício de determinados direitos em relação aos dados sejam satisfeitos quando esses pedidos tenham sido indeferidos em violação dos artigos 13.o a 19.o;
d) Emitir advertências ou admoestações ao responsável pelo tratamento;
e) Ordenar a rectificação, o bloqueio, o apagamento ou a eliminação de todos os dados que tenham sido objecto de tratamento em violação das disposições que regulam o tratamento de dados pessoais e a notificação dessas medidas a terceiros a quem tenham sido divulgados esses dados;
f) Proibir temporária ou definitivamente um tratamento de dados;
g) Recorrer à instituição ou órgão comunitário em causa e, se necessário, ao Parlamento Europeu, ao Conselho e à Comissão;
h) Recorrer para o Tribunal de Justiça das Comunidades Europeias nas condições previstas no Tratado;
i) Intervir em processos judiciais no Tribunal de Justiça das Comunidades Europeias.
2. A Autoridade Europeia para a protecção de dados está habilitada a:
a) Obter, de qualquer responsável pelo tratamento de dados ou de uma instituição ou organismo comunitário, o acesso a todos os dados pessoais, bem como a todas as informações necessárias aos seus inquéritos;
b) Obter o acesso a todos os locais em que um responsável pelo tratamento de dados ou uma instituição ou organismo comunitário desenvolvam as suas actividades, quando exista um motivo razoável para presumir que nesses locais é exercida uma actividade prevista no presente regulamento.
Artigo 48.o
Relatório de actividades
1. A Autoridade Europeia para a protecção de dados apresenta ao Parlamento Europeu, ao Conselho e à Comissão um relatório anual de actividades, que mandará publicar em paralelo.
2. A Autoridade Europeia transmite o relatório de actividade aos restantes órgãos e instituições da União Europeia, que podem apresentar comentários para um eventual debate do relatório no Parlamento Europeu, nomeadamente no que se refere à descrição das medidas tomadas em resposta às observações da Autoridade Europeia para a protecção de dados feitas ao abrigo do artigo 31.o
CAPÍTULO VI
DISPOSIÇÕES FINAIS
Artigo 49.o
Sanções
Qualquer incumprimento, intencional ou por negligência, das obrigações decorrentes do presente regulamento, por um funcionário ou outro agente das Comunidades Europeias, é passível de sanção disciplinar, nos termos do Estatuto dos Funcionários das Comunidades Europeias ou dos regimes aplicáveis aos outros agentes.
Artigo 50.o
Período transitório
As instituições e órgãos comunitários tomam as medidas necessárias para que as operações de tratamento iniciadas à data de entrada em vigor do presente regulamento, sejam tornadas compatíveis com ele no prazo de um ano a contar dessa data.
Artigo 51.o
Entrada em vigor
O presente regulamento entra em vigor no vigésimo dia seguinte ao da sua publicação no Jornal Oficial das Comunidades Europeias.
O presente regulamento é obrigatório em todos os seus elementos e directamente aplicável em todos os Estados-Membros.
Feito em Bruxelas, em 18 de Dezembro de 2000.