Rečitaliai

Ištrauka iš Bruno DUMAY knygos: GDPR IŠŠIKRAVIMAS – vadovams, strateginiams skyriams ir įmonių bei organizacijų darbuotojams – Gaëlle MONTEILLER pratarmė

Negalėjome praleisti konstatuojamųjų dalių, bent jau pagrindinių, kurios lėmė BDAR priėmimą. Jos formuoja filosofiją, atkurtą galutiniame reglamente ir direktyvoje, jos iššifruoja ir vienoje prizmėje suderina visus kiekvienos valstybės narės teisės akto aspektus, susijusius su duomenų apsaugos teise. Jos įkūnija Europos įvairovę ir kartu sudaro vieną visumą. Jos nušviečia mūsų supratimą ir suteikia prasmę, jos liudija, kad vyksta kažkas gilaus, neabejotinai ir iš pirmo žvilgsnio, reaguojant į GAFA, „Google“, „Apple“, „Facebook“, „Amazon“, „Deezer“, „Instagram“, „Snapchat“ ir kitus, kurie apiplėšė mūsų elgesį, troškimus ir pageidavimus... Veikėjai, kurių vienintelis rūpestis mums yra mūsų piniginė!

Man atrodė būtina pateikti jums pagrindinius svarstymus ir (arba) svarbiausias ištraukas. Jei norėtumėte plačiau, CNIL svetainė yra ypač išsami, ir kviečiu jus ją aplankyti...

(1 konstatuojamoji dalis) Asmenų apsauga tvarkant asmens duomenis yra pagrindinė teisė. ... numatyti, kad kiekvienas asmuo turi teisę į savo asmens duomenų apsaugą.

(2 konstatuojamoji dalis) Fizinių asmenų apsaugos tvarkant su jais susijusius asmens duomenis principai ir taisyklės, neatsižvelgiant į tų fizinių asmenų pilietybę ar gyvenamąją vietą, turėtų gerbti jų pagrindines teises ir laisves, ypač teisę į asmens duomenų apsaugą. ... prisidėti prie laisvės, saugumo ir teisingumo erdvės bei ekonominės sąjungos kūrimo, ekonominės ir socialinės pažangos, ekonomikos konsolidavimo ir konvergencijos vidaus rinkoje ir fizinių asmenų gerovės.

(3 konstatuojamoji dalis) ... Taryba siekia suderinti fizinių asmenų pagrindinių teisių ir laisvių apsaugą, susijusią su duomenų tvarkymo veikla, ir užtikrinti laisvą asmens duomenų judėjimą tarp valstybių narių.

(4 konstatuojamoji dalis) Asmens duomenų tvarkymas turėtų būti skirtas tarnauti žmonijai. Teisė į asmens duomenų apsaugą nėra absoliuti teisė; ji turi būti vertinama atsižvelgiant į jos funkciją visuomenėje ir derinama su kitomis pagrindinėmis teisėmis, laikantis proporcingumo principo. ...pagarba privačiam ir šeimos gyvenimui, būsto ir komunikacijos slaptumui, asmens duomenų apsauga, minties, sąžinės ir religijos laisvė, saviraiškos ir informacijos laisvė, laisvė užsiimti verslu, teisė į veiksmingą teisinę gynybą ir teisingą teismą bei kultūrinė, religinė ir kalbinė įvairovė.

(6 konstatuojamoji dalis) Sparčiai vystantis technologijoms ir globalizacijai kilo naujų iššūkių asmens duomenų apsaugai. Asmens duomenų rinkimo ir dalijimosi mastas gerokai išaugo. Technologijos leidžia tiek privačioms įmonėms, tiek valdžios institucijoms naudoti asmens duomenis savo veikloje kaip niekad anksčiau. Asmenys vis dažniau viešai ir visame pasaulyje skelbia informaciją apie save. Technologijos pakeitė tiek ekonominius, tiek socialinius santykius ir turėtų dar labiau palengvinti laisvą asmens duomenų judėjimą Sąjungoje ir jų perdavimą trečiosioms šalims bei tarptautinėms organizacijoms, kartu užtikrinant aukštą asmens duomenų apsaugos lygį.

(7 konstatuojamoji dalis) ...svarbu kurti pasitikėjimą, kuris leis skaitmeninei ekonomikai klestėti visoje vidaus rinkoje. Asmenys turėtų turėti galimybę kontroliuoti savo asmens duomenis. ...

(9 konstatuojamoji dalis) ... duomenų apsaugos įgyvendinimo susiskaldymas Sąjungoje, teisinis netikrumas arba plačiai paplitusi visuomenės nuomonė, kad išlieka didelė rizika asmenų apsaugai, ypač internetinėje aplinkoje. Fizinių asmenų teisių ir laisvių apsaugos lygio, ypač teisės į asmens duomenų apsaugą, skirtumai tvarkant asmens duomenis valstybėse narėse gali trukdyti laisvam tokių duomenų judėjimui visoje Sąjungoje. Todėl tokie skirtumai gali trukdyti vykdyti ekonominę veiklą Sąjungos lygmeniu, iškreipti konkurenciją ir neleisti valdžios institucijoms vykdyti savo įsipareigojimų pagal Sąjungos teisę. ...

(10 konstatuojamoji dalis) Siekiant užtikrinti nuoseklų ir aukštą fizinių asmenų apsaugos lygį ir pašalinti kliūtis asmens duomenų judėjimui Sąjungoje, fizinių asmenų teisių ir laisvių apsaugos lygis tvarkant tokius duomenis turėtų būti lygiavertis visose valstybėse narėse. Todėl tikslinga užtikrinti nuoseklų ir vienodą fizinių asmenų pagrindinių teisių ir laisvių apsaugos taisyklių, susijusių su asmens duomenų tvarkymu, taikymą visoje Sąjungoje. …

(11 konstatuojamoji dalis) Norint veiksmingai apsaugoti asmens duomenis visoje Sąjungoje, reikia sustiprinti ir išaiškinti duomenų subjektų teises ir asmenų, kurie atlieka ir nustato asmens duomenų tvarkymą, pareigas, taip pat valstybėse narėse numatyti lygiaverčius asmens duomenų apsaugos taisyklių laikymosi priežiūros ir kontrolės įgaliojimus ir lygiavertes sankcijas už pažeidimus.

(13 konstatuojamoji dalis)

Siekiant užtikrinti nuoseklų fizinių asmenų apsaugos lygį visoje Sąjungoje ir išvengti skirtumų, trukdančių laisvam asmens duomenų judėjimui vidaus rinkoje, būtinas reglamentas, kuris ekonominės veiklos vykdytojams, įskaitant labai mažas, mažąsias ir vidutines įmones, suteiktų teisinį tikrumą ir skaidrumą, suteiktų fiziniams asmenims visose valstybėse narėse tokias pačias vykdytinas teises, pareigas ir atsakomybę duomenų valdytojams ir tvarkytojams, ir užtikrintų nuoseklią asmens duomenų tvarkymo priežiūrą bei lygiavertes sankcijas visose valstybėse narėse, taip pat veiksmingą skirtingų valstybių narių priežiūros institucijų bendradarbiavimą. Kad vidaus rinka tinkamai veiktų, būtina, kad laisvas asmens duomenų judėjimas Sąjungoje nebūtų nei ribojamas, nei draudžiamas dėl priežasčių, susijusių su fizinių asmenų apsauga tvarkant asmens duomenis. …

(14 konstatuojamoji dalis) Šiuo reglamentu teikiama apsauga turėtų būti taikoma fiziniams asmenims, neatsižvelgiant į jų pilietybę ar gyvenamąją vietą, tvarkant jų asmens duomenis. Šis reglamentas netaikomas juridinių asmenų asmens duomenų tvarkymui, …

 (17 konstatuojamoji dalis) Europos Parlamento ir Tarybos reglamentas (EB) Nr. 45/2001 taikomas Sąjungos institucijų, įstaigų, organų ir agentūrų atliekamam asmens duomenų tvarkymui. …

(19 konstatuojamoji dalis) Fizinių asmenų apsauga, kai kompetentingos institucijos tvarko asmens duomenis nusikalstamų veikų prevencijos, tyrimo, nustatymo ar baudžiamojo persekiojimo arba bausmių vykdymo tikslais, įskaitant apsaugą nuo grėsmių visuomenės saugumui ir jų prevenciją, ir laisvą tokių duomenų judėjimą, yra reglamentuojama specialaus Sąjungos teisės akto. …

(22 konstatuojamoji dalis) Bet koks asmens duomenų tvarkymas, atliekamas duomenų valdytojo arba tvarkytojo buveinės veiklos kontekste Sąjungos teritorijoje, turėtų būti atliekamas pagal šį reglamentą, neatsižvelgiant į tai, ar pats tvarkymas vyksta Sąjungoje. Buveinė reiškia veiksmingą ir realų veiklos vykdymą per stabilią vietą. …

(23 konstatuojamoji dalis) Siekiant užtikrinti, kad fizinis asmuo nebūtų atimtas iš apsaugos, į kurią jam priklauso šis reglamentas, šis reglamentas turėtų būti taikomas duomenų valdytojo arba tvarkytojo, neįsisteigusio Sąjungoje, atliekamam su duomenų subjektais susijusių asmens duomenų tvarkymui, kai tvarkymo veikla yra susijusi su prekių ar paslaugų siūlymu tiems duomenų subjektams, neatsižvelgiant į tai, ar reikia mokėti. Siekiant nustatyti, ar toks duomenų valdytojas arba tvarkytojas siūlo prekes ar paslaugas duomenų subjektams, esantiems Sąjungoje, reikėtų nustatyti, ar akivaizdu, kad duomenų valdytojas arba tvarkytojas ketina siūlyti paslaugas duomenų subjektams vienoje ar keliose Sąjungos valstybėse narėse. …

(24 konstatuojamoji dalis) Šis reglamentas taip pat turėtų būti taikomas duomenų subjektų, esančių Sąjungoje, asmens duomenų tvarkymui, kurį atlieka Sąjungoje neįsisteigęs duomenų valdytojas arba tvarkytojas, kai toks tvarkymas yra susijęs su tų duomenų subjektų elgesio stebėjimu tiek, kiek tai susiję su jų elgesiu Sąjungoje. Siekiant nustatyti, ar tvarkymo veikla gali būti laikoma duomenų subjektų elgesio stebėjimu, reikėtų nustatyti, ar fiziniai asmenys yra sekami internete, o tai apima galimą vėlesnį asmens duomenų tvarkymo metodų, apimančių fizinio asmens profiliavimą, naudojimą, visų pirma siekiant priimti su juo susijusius sprendimus arba analizuoti ar numatyti jo pageidavimus, elgesį ir požiūrį.

(25 konstatuojamoji dalis) Kai pagal tarptautinę viešąją teisę taikoma valstybės narės teisė, šis reglamentas taip pat turėtų būti taikomas duomenų valdytojui, neįsisteigusiam Sąjungoje, …

(26 konstatuojamoji dalis) Duomenų apsaugos principai turėtų būti taikomi bet kokiai informacijai, susijusiai su identifikuotu arba identifikuojamu fiziniu asmeniu. Asmens duomenys, kurie buvo pseudonimizuoti ir kuriuos galima priskirti fiziniam asmeniui pasinaudojant papildoma informacija, turėtų būti laikomi informacija, susijusia su identifikuojamu fiziniu asmeniu. Nustatant, ar fizinio asmens tapatybė yra nustatyta, reikėtų atsižvelgti į visas priemones, kurias pagrįstai tikėtina, kad naudos duomenų valdytojas...

(27 konstatuojamoji dalis) Šis reglamentas netaikomas mirusiųjų asmenų asmens duomenims. Valstybės narės gali nustatyti taisykles dėl mirusiųjų asmenų asmens duomenų tvarkymo.

(28 konstatuojamoji dalis) Asmens duomenų pseudonimizavimas gali sumažinti duomenų subjektams kylančią riziką ir padėti duomenų valdytojams bei tvarkytojams įvykdyti savo duomenų apsaugos įsipareigojimus. Aiškus pseudonimizavimo įtraukimas šiame reglamente nereiškia, kad bus atmestos jokios kitos duomenų apsaugos priemonės.

(29 konstatuojamoji dalis) Siekiant skatinti pseudonimizacijos taikymą tvarkant asmens duomenis, to paties duomenų valdytojo pastangomis turėtų būti įmanoma taikyti pseudonimizacijos priemones, kartu sudarant sąlygas atlikti bendrą analizę, kai duomenų valdytojas ėmėsi būtinų techninių ir organizacinių priemonių, siekdamas užtikrinti, kad atitinkamam tvarkymui būtų įgyvendintas šis reglamentas ir kad papildoma informacija, leidžianti priskirti asmens duomenis konkrečiam duomenų subjektui, būtų saugoma atskirai. Asmens duomenis tvarkantis duomenų valdytojas turėtų nurodyti asmenis, įgaliotus šiuo tikslu tame pačiame duomenų valdytojo sektoriuje.

(30 konstatuojamoji dalis) Asmenys per savo naudojamus įrenginius, programas, įrankius ir protokolus gali būti susieti su internetiniais identifikatoriais, tokiais kaip IP adresai ir slapukai, arba kitais identifikatoriais, pavyzdžiui, radijo dažnio identifikavimo žymėmis. Šie identifikatoriai gali palikti pėdsakus, kurie, ypač derinami su unikaliais identifikatoriais ir kita serverių gauta informacija, gali būti naudojami asmenų profiliams kurti ir šiems asmenims identifikuoti.

(31 konstatuojamoji dalis) Valdžios institucijos, kurioms asmens duomenys atskleidžiami vykdant teisinę prievolę, kad jos galėtų vykdyti savo oficialias funkcijas, pavyzdžiui, mokesčių ir muitinės institucijos, finansinių tyrimų padaliniai, nepriklausomos administracinės institucijos arba finansų rinkų institucijos, atsakingos už vertybinių popierių rinkų reguliavimą ir priežiūrą, neturėtų būti laikomos gavėjomis, jei jos gauna asmens duomenis, kurie yra būtini konkrečiam tyrimui viešojo intereso labui atlikti, <...>

(32 konstatuojamoji dalis) Sutikimas turėtų būti duodamas aiškiais teigiamais veiksmais, kuriais duomenų subjektas laisva valia, konkrečiu, informuotu ir nedviprasmišku būdu pareiškia sutikimą tvarkyti su juo susijusius asmens duomenis, pavyzdžiui, rašytiniu pareiškimu, įskaitant elektroninėmis priemonėmis, arba žodiniu pareiškimu. Tai galėtų būti, pavyzdžiui, langelio pažymėjimas apsilankius interneto svetainėje, tam tikrų informacinės visuomenės paslaugų techninių nustatymų pasirinkimas arba tolesnis pareiškimas ar elgesys, kuris šiame kontekste aiškiai rodo, kad duomenų subjektas sutinka su siūlomu jo asmens duomenų tvarkymu. Todėl negalima daryti prielaidos, kad sutikimas grindžiamas tylėjimu, numatytaisiais varnelės nustatymais ar neveiklumu. …

(36 konstatuojamoji dalis) Duomenų valdytojo pagrindinė buveinė Sąjungoje turėtų būti jo centrinės administracijos vieta Sąjungoje, nebent sprendimai dėl asmens duomenų tvarkymo tikslų ir priemonių priimami kitoje duomenų valdytojo buveinėje Sąjungoje; tokiu atveju ta kita buveinė turėtų būti laikoma pagrindine buveine. Duomenų valdytojo pagrindinė buveinė Sąjungoje turėtų būti nustatoma remiantis objektyviais kriterijais ir turėtų apimti veiksmingą ir realų valdymo veiklos vykdymą stabilioje vietoje, priimant pagrindinius sprendimus dėl tvarkymo tikslų ir priemonių. …

(37 konstatuojamoji dalis) Įmonių grupė turėtų apimti kontroliuojančiąją įmonę ir jos kontroliuojamas įmones, iš kurių pirmoji yra ta, kuri gali daryti lemiamą įtaką kitoms įmonėms, pavyzdžiui, dėl savo kapitalo nuosavybės, finansinio dalyvavimo ar jai taikomų taisyklių arba įgaliojimų vykdyti asmens duomenų apsaugos taisykles. Įmonė, kuri kontroliuoja asmens duomenų tvarkymą su ja susijusiose įmonėse, turėtų būti laikoma sudarančia įmonių grupę su tomis įmonėmis.

(38 konstatuojamoji dalis) Vaikams reikalinga speciali asmens duomenų apsauga, nes jie gali būti mažiau informuoti apie su asmens duomenų tvarkymu susijusią riziką, pasekmes ir apsaugos priemones, taip pat apie savo teises, susijusias su asmens duomenų tvarkymu. Ši speciali apsauga visų pirma turėtų būti taikoma vaikų asmens duomenų naudojimui rinkodaros tikslais arba asmenybės ar naudotojų profiliams kurti, taip pat vaikų asmens duomenų rinkimui, kai naudojamasi tiesiogiai vaikui siūlomomis paslaugomis. Tėvų pareigų turėtojo sutikimas neturėtų būti reikalaujamas, kai teikiamos tiesiogiai vaikui teikiamos prevencinės ar konsultavimo paslaugos.

(39 konstatuojamoji dalis) Visas asmens duomenų tvarkymas turėtų būti teisėtas ir sąžiningas. Faktas, kad fizinių asmenų asmens duomenys yra renkami, naudojami, su jais susipažinama ar kitaip tvarkomi, ir tai, kokiu mastu tokie duomenys yra ar bus tvarkomi, turėtų būti skaidrus atitinkamiems fiziniams asmenims. Skaidrumo principas reikalauja, kad visa informacija ir komunikacija, susiję su tokių asmens duomenų tvarkymu, būtų lengvai prieinami, lengvai suprantami ir suformuluoti aiškia bei paprasta kalba. Šis principas visų pirma taikomas duomenų subjektams teikiamai informacijai apie duomenų valdytojo tapatybę ir tvarkymo tikslus, taip pat kitai informacijai, kuria siekiama užtikrinti sąžiningą ir skaidrų tvarkymą atitinkamų fizinių asmenų atžvilgiu ir jų teisę gauti patvirtinimą ir informaciją apie tai, ar jų asmens duomenys yra tvarkomi. Fiziniai asmenys turėtų būti informuoti apie su asmens duomenų tvarkymu susijusią riziką, taisykles, apsaugos priemones ir teises, taip pat apie jų teisių, susijusių su tokiu tvarkymu, įgyvendinimo būdus. …

(40 konstatuojamoji dalis) Kad asmens duomenų tvarkymas būtų teisėtas, jis turėtų būti grindžiamas duomenų subjekto sutikimu arba kitu įstatyme numatytu teisėtu pagrindu, …

(42 konstatuojamoji dalis) Kai tvarkymas grindžiamas duomenų subjekto sutikimu, duomenų valdytojas turėtų galėti įrodyti, kad duomenų subjektas sutiko su tvarkymo operacija. …

(43 konstatuojamoji dalis) Siekiant užtikrinti, kad sutikimas būtų duotas laisva valia, jis neturėtų būti laikomas galiojančiu teisiniu pagrindu tvarkyti asmens duomenis konkrečiu atveju, kai yra akivaizdi nelygybė tarp duomenų subjekto ir duomenų valdytojo, ypač kai duomenų valdytojas yra valdžios institucija ir mažai tikėtina, kad sutikimas buvo duotas laisva valia, atsižvelgiant į visas tos konkrečios situacijos aplinkybes. Sutikimas laikomas neduotu laisva valia, jei negalima duoti atskiro sutikimo dėl skirtingų asmens duomenų tvarkymo operacijų, net jei tai būtų tikslinga konkrečiu atveju, arba jei sutarties, įskaitant paslaugos teikimą, vykdymas priklauso nuo sutikimo, net jei tokiam vykdymui sutikimas nėra būtinas.

(44 konstatuojamoji dalis) Tvarkymas turėtų būti laikomas teisėtu, kai jis yra būtinas sutarčiai įvykdyti arba ketinimui sudaryti sutartį.

(45 konstatuojamoji dalis) Kai duomenys tvarkomi vykdant duomenų valdytojui taikomą teisinę prievolę arba kai tai būtina siekiant atlikti užduotį viešojo intereso labui arba įgyvendinant viešosios valdžios įgaliojimus, duomenų tvarkymas turėtų turėti pagrindą Sąjungos arba valstybės narės teisėje. …

(46 konstatuojamoji dalis) Asmens duomenų tvarkymas taip pat turėtų būti laikomas teisėtu, kai tai būtina siekiant apsaugoti gyvybiškai svarbų duomenų subjekto ar kito fizinio asmens gyvybei interesą. Asmens duomenų tvarkymas, grindžiamas kito fizinio asmens gyvybiškai svarbiu interesu, iš principo turėtų būti atliekamas tik tais atvejais, kai tvarkymas akivaizdžiai negali būti grindžiamas kitu teisiniu pagrindu. …

(47 konstatuojamoji dalis) Duomenų valdytojo, įskaitant duomenų valdytojo, kuriam gali būti atskleisti asmens duomenys, arba trečiosios šalies teisėti interesai gali būti teisinis pagrindas tvarkyti duomenis, nebent duomenų subjekto interesai ar pagrindinės teisės ir laisvės yra viršesni, atsižvelgiant į pagrįstus duomenų subjektų lūkesčius, pagrįstus jų santykiais su duomenų valdytoju. …

(48 konstatuojamoji dalis) Duomenų valdytojai, kurie yra įmonių grupės arba centrinei įstaigai pavaldžių įstaigų dalis, gali turėti teisėtą interesą perduoti asmens duomenis įmonių grupės viduje vidaus administravimo tikslais, įskaitant su klientais ar darbuotojais susijusių asmens duomenų tvarkymą. …

(49 konstatuojamoji dalis) Asmens duomenų tvarkymas tiek, kiek tai griežtai būtina ir proporcinga siekiant užtikrinti tinklo ir informacijos saugumą, t. y. tinklo ar informacinės sistemos gebėjimą esant tam tikram pasitikėjimo lygiui atlaikyti atsitiktinius įvykius ar neteisėtus ar piktavališkus veiksmus, kurie kelia grėsmę saugomų ar perduodamų asmens duomenų prieinamumui, autentiškumui, vientisumui ir konfidencialumui, taip pat susijusių paslaugų, siūlomų ar teikiamų per tokius tinklus ir sistemas, saugumui, kai tai daro valdžios institucijos, kompiuterinių incidentų reagavimo tarnybos (CERT), kompiuterinių saugumo incidentų reagavimo tarnybos (CSIRT), elektroninių ryšių tinklų ir paslaugų teikėjai bei saugumo technologijų ir paslaugų teikėjai, yra teisėtas atitinkamo duomenų valdytojo interesas. Tai galėtų apimti, pavyzdžiui, neteisėtos prieigos prie elektroninių ryšių tinklų ir kenkėjiško kodo platinimo prevenciją, taip pat „paslaugų trikdymo“ atakų ir žalos kompiuterių ir elektroninių ryšių sistemoms sustabdymą.

(50 konstatuojamoji dalis) Asmens duomenų tvarkymas kitais tikslais nei tie, kuriems asmens duomenys buvo iš pradžių surinkti, turėtų būti leidžiamas tik tuo atveju, jei tai suderinama su tikslais, kuriems asmens duomenys buvo iš pradžių surinkti. …

Kai duomenų subjektas davė sutikimą arba tvarkymas grindžiamas Sąjungos ar valstybės narės teise, kuri demokratinėje visuomenėje yra būtina ir proporcinga priemonė siekiant užtikrinti, visų pirma, svarbius bendrojo viešojo intereso tikslus, duomenų valdytojui turėtų būti leidžiama toliau tvarkyti asmens duomenis, neatsižvelgiant į tikslų suderinamumą. …

(51 konstatuojamoji dalis) Asmens duomenys, kurie dėl savo pobūdžio yra ypač jautrūs pagrindinių teisių ir laisvių požiūriu, nusipelno ypatingos apsaugos, nes jų tvarkymo aplinkybės gali kelti didelę riziką šioms teisėms ir laisvėms. Tokie asmens duomenys turėtų apimti asmens duomenis, atskleidžiančius rasinę ar etninę kilmę, suprantant, kad termino „rasinė kilmė“ vartojimas šiame reglamente nereiškia, kad Sąjunga pritaria teorijoms apie skirtingų žmonių rasių egzistavimą. …

(52 konstatuojamoji dalis) Nukrypti nuo draudimo tvarkyti specialių kategorijų asmens duomenis taip pat turėtų būti leidžiama, kai tai numatyta Sąjungos ar valstybės narės teisėje ir laikantis tinkamų apsaugos priemonių, skirtų asmens duomenims ir kitoms pagrindinėms teisėms apsaugoti, kai to reikalauja viešasis interesas, įskaitant asmens duomenų tvarkymą darbo teisės ir socialinės apsaugos teisės srityje, įskaitant pensijas, ir saugumo, sveikatos stebėsenos ir įspėjimo, užkrečiamųjų ligų ir kitų rimtų grėsmių sveikatai prevencijos ar kontrolės tikslais. …

(53 konstatuojamoji dalis) Specialių kategorijų asmens duomenys, kuriems taikoma didesnė apsauga, turėtų būti tvarkomi tik su sveikata susijusiais tikslais, kai tai būtina tiems tikslams pasiekti asmenų ir visos visuomenės interesais, ypač valdant sveikatos ar socialinės rūpybos paslaugas ir sistemas, įskaitant nacionalinių valdymo institucijų ir centrinių sveikatos priežiūros institucijų atliekamą tokių duomenų tvarkymą kokybės kontrolės, vadovų informavimo ir bendros sveikatos ar socialinės rūpybos sistemos priežiūros tikslais nacionaliniu ir vietos lygmeniu, taip pat siekiant užtikrinti sveikatos ar socialinės rūpybos ir tarpvalstybinės sveikatos priežiūros tęstinumą arba sveikatos saugumo, stebėsenos ir įspėjimo tikslais, arba archyvavimo tikslais viešojo intereso labui, mokslinių ar istorinių tyrimų tikslais arba statistiniais tikslais, remiantis Sąjungos ar valstybės narės teise, kuri turi atitikti viešojo intereso tikslą, taip pat tyrimams, atliekamiems viešojo intereso labui visuomenės sveikatos srityje. …

(54 konstatuojamoji dalis) Specialių kategorijų asmens duomenų tvarkymas gali būti būtinas dėl viešojo intereso visuomenės sveikatos srityje be duomenų subjekto sutikimo. ... Toks su sveikata susijusių duomenų tvarkymas dėl viešojo intereso neturėtų lemti to, kad trečiosios šalys, pavyzdžiui, darbdaviai ar draudimo bendrovės ir bankai, tvarkytų asmens duomenis kitais tikslais.

(56 konstatuojamoji dalis) Kai, vykdant su rinkimais susijusią veiklą, valstybės narės demokratinės sistemos veikimui reikia, kad politinės partijos rinktų asmens duomenis, susijusius su asmenų politinėmis pažiūromis, tokių duomenų tvarkymas gali būti leidžiamas viešojo intereso sumetimais, jei užtikrinamos tinkamos apsaugos priemonės.

(57 konstatuojamoji dalis) Jei iš tvarkomų asmens duomenų negalima nustatyti fizinio asmens tapatybės, duomenų valdytojas neturėtų būti įpareigotas gauti papildomos informacijos duomenų subjekto tapatybei nustatyti vien tik siekiant laikytis šio reglamento nuostatos. Tačiau duomenų valdytojas neturėtų atsisakyti duomenų subjekto pateiktos papildomos informacijos, kad būtų lengviau įgyvendinti jo teises. Tapatybė turėtų apimti skaitmeninį duomenų subjekto identifikavimą, pavyzdžiui, naudojant autentifikavimo mechanizmą, pavyzdžiui, tuos pačius prisijungimo duomenis, kuriuos duomenų subjektas naudoja prisijungdamas prie duomenų valdytojo siūlomos internetinės paslaugos.

(58 konstatuojamoji dalis) Skaidrumo principas reikalauja, kad bet kokia visuomenei arba duomenų subjektui skirta informacija būtų glausta, lengvai prieinama ir lengvai suprantama, suformuluota aiškiai ir paprastai, be to, kai tinka, iliustruota vaizdiniais elementais. Tokia informacija galėtų būti teikiama elektronine forma, pavyzdžiui, interneto svetainėje, kai ji skirta visuomenei. ... Kadangi vaikams taikoma ypatinga apsauga, visa informacija ir pranešimai, kai su jais susijęs tvarkymas, turėtų būti suformuluoti aiškiai ir paprastai, kad vaikas galėtų lengvai suprasti.

(59 konstatuojamoji dalis) Turėtų būti numatytos priemonės, kurios sudarytų palankesnes sąlygas duomenų subjektui naudotis savo teisėmis pagal šį reglamentą, įskaitant priemones prašyti ir, kai taikoma, nemokamai gauti, visų pirma, prieigą prie asmens duomenų, jų ištaisymą ar ištrynimą, ir teisę nesutikti. Duomenų valdytojas taip pat turėtų sudaryti priemones prašymams pateikti elektroninėmis priemonėmis, ypač kai asmens duomenys tvarkomi elektroniniu būdu. Duomenų valdytojas turėtų būti įpareigotas atsakyti į duomenų subjekto prašymus nepagrįstai nedelsdamas ir ne vėliau kaip per vieną mėnesį, o jei ketina netenkinti tokių prašymų, nurodyti savo atsakymo priežastis.

(60 konstatuojamoji dalis) Sąžiningo ir skaidraus tvarkymo principas reikalauja, kad duomenų subjektas būtų informuotas apie tvarkymo operacijos egzistavimą ir jos tikslus. Duomenų valdytojas turėtų pateikti duomenų subjektui bet kokią kitą informaciją, būtiną sąžiningam ir skaidriam tvarkymui užtikrinti, atsižvelgdamas į konkrečias aplinkybes ir kontekstą, kuriuo tvarkomi asmens duomenys. Be to, duomenų subjektas turėtų būti informuotas apie profiliavimo egzistavimą ir jo pasekmes. Kai asmens duomenys renkami iš duomenų subjekto, svarbu, kad duomenų subjektas taip pat žinotų, ar jis privalo pateikti asmens duomenis, ir kokias pasekmes gali sukelti jų nepateikimas. …

(61 konstatuojamoji dalis) Informacija apie duomenų subjekto asmens duomenų tvarkymą jam turėtų būti pateikta tuo metu, kai iš jo renkami asmens duomenys, arba, jei asmens duomenys gaunami iš kito šaltinio, per pagrįstą laikotarpį, atsižvelgiant į kiekvieno atvejo aplinkybes. Kai asmens duomenys gali būti teisėtai atskleisti kitam gavėjui, duomenų subjektas turėtų būti informuotas apie laiką, kada asmens duomenys pirmą kartą atskleidžiami tam gavėjui. …

(62 konstatuojamoji dalis) Tačiau nebūtina nustatyti įpareigojimo teikti informaciją, kai duomenų subjektas šią informaciją jau turi, kai asmens duomenų įrašymas ar atskleidimas yra aiškiai numatytas įstatymuose arba kai informacijos pateikimas duomenų subjektui yra neįmanomas arba pareikalautų neproporcingų pastangų. …

(63 konstatuojamoji dalis) Duomenų subjektas turėtų turėti teisę susipažinti su surinktais jo asmens duomenimis ir lengvai bei pagrįstais laiko tarpais pasinaudoti šia teise, kad žinotų apie tvarkymą ir patikrintų jo teisėtumą. Tai apima duomenų subjektų teisę susipažinti su duomenimis apie savo sveikatą, pavyzdžiui, duomenimis iš savo medicininių įrašų, kuriuose yra tokia informacija kaip diagnozės, tyrimų rezultatai, gydytojų nuomonės ir bet koks taikytas gydymas ar intervencija. Todėl kiekvienas duomenų subjektas turėtų turėti teisę žinoti ir būti informuotas, visų pirma, apie asmens duomenų tvarkymo tikslus, jei įmanoma, tų asmens duomenų tvarkymo trukmę, tų asmens duomenų gavėjų tapatybę, bet kokio automatizuoto tvarkymo logiką ir galimas tokio tvarkymo pasekmes, bent jau profiliavimo atveju. …

(64 konstatuojamoji dalis) Duomenų valdytojas turėtų imtis visų pagrįstų priemonių, kad patikrintų duomenų subjekto, prašančio prieigos prie duomenų, tapatybę, ypač kai tai susiję su internetinėmis paslaugomis ir identifikatoriais. Duomenų valdytojas neturėtų saugoti asmens duomenų vien tam, kad galėtų atsakyti į galimus prašymus.

(65 konstatuojamoji dalis) Duomenų subjektai turėtų turėti teisę reikalauti ištaisyti su jais susijusius asmens duomenis ir teisę būti pamirštam, kai tokių duomenų saugojimas pažeidžia šį reglamentą arba Sąjungos ar valstybės narės teisę, kuri taikoma duomenų valdytojui. Visų pirma, duomenų subjektai turėtų turėti teisę reikalauti, kad jų asmens duomenys būtų ištrinti ir nebebūtų tvarkomi, kai tokie asmens duomenys nebėra reikalingi tikslams, kuriems jie buvo renkami ar kitaip tvarkomi, kai duomenų subjektai atšaukė savo sutikimą tvarkyti duomenis arba prieštarauja jų asmens duomenų tvarkymui arba kai jų asmens duomenų tvarkymas kitaip neatitinka šio reglamento. Ši teisė ypač aktuali tais atvejais, kai duomenų subjektas davė sutikimą būdamas vaikas ir iki galo nesuvokė su tvarkymu susijusios rizikos, o vėliau pageidauja, kad tie asmens duomenys būtų ištrinti, ypač internete. …

(66 konstatuojamoji dalis) Siekiant sustiprinti skaitmeninę „teisę būti pamirštam“, teisė į ištrynimą taip pat turėtų būti išplėsta taip, kad duomenų valdytojas, kuris paviešino asmens duomenis, privalėtų informuoti tuos asmens duomenis tvarkančius duomenų valdytojus, kad visos nuorodos į tuos duomenis arba jų kopijos ar atkūrimas turėtų būti ištrinti. …

(67 konstatuojamoji dalis) Asmens duomenų tvarkymo ribojimo metodai galėtų apimti, be kita ko, laikiną pasirinktų duomenų perkėlimą į kitą tvarkymo sistemą, pasirinktų asmens duomenų neprieinamumą vartotojams arba laikiną paskelbtų duomenų pašalinimą iš interneto svetainės. Automatizuotose sisteminėse sistemose tvarkymo apribojimas iš principo turėtų būti užtikrinamas techninėmis priemonėmis taip, kad asmens duomenys nebūtų toliau tvarkomi ir nebūtų keičiami. Tai, kad asmens duomenų tvarkymas yra ribojamas, turėtų būti aiškiai nurodyta sisteminėje sistemoje.

(68 konstatuojamoji dalis) Siekiant dar labiau sustiprinti duomenų subjektų teisę kontroliuoti savo duomenis, jie taip pat turėtų turėti teisę, kai asmens duomenys tvarkomi automatizuotomis priemonėmis, gauti su jais susijusius asmens duomenis, kuriuos jie pateikė duomenų valdytojui, susistemintu, įprastai naudojamu, kompiuterio skaitomu ir sąveikiu formatu ir perduoti tuos duomenis kitam duomenų valdytojui. Duomenų valdytojai turėtų būti skatinami kurti sąveikius formatus, leidžiančius perkelti duomenis. …

(69 konstatuojamoji dalis) Kai asmens duomenys galėtų būti teisėtai tvarkomi dėl to, kad tvarkymas yra būtinas atliekant užduotį, atliekamą viešojo intereso labui arba įgyvendinant duomenų valdytojui pavestus oficialius įgaliojimus, arba dėl teisėtų duomenų valdytojo ar trečiosios šalies interesų, duomenų subjektai vis tiek turėtų turėti teisę nesutikti su bet kokių su jų konkrečia situacija susijusių asmens duomenų tvarkymu. Pareiga įrodyti, kad jo įtikinami teisėti interesai yra viršesni už duomenų subjekto interesus ar pagrindines teises ir laisves, turėtų tekti duomenų valdytojui.

(70 konstatuojamoji dalis) Kai asmens duomenys tvarkomi tiesioginės rinkodaros tikslais, duomenų subjektas turėtų turėti teisę bet kada ir nemokamai nesutikti su tokiu duomenų tvarkymu, įskaitant profiliavimą, kiek jis susijęs su tokia tiesiogine rinkodara, tiek atliekant pirminį, tiek tolesnį tvarkymą. …

(71 konstatuojamoji dalis) Duomenų subjektas turėtų turėti teisę nebūti sprendimo, kuris gali apimti priemonę, susijusią su tam tikrų su juo susijusių asmeninių aspektų vertinimu, subjektu, kuris grindžiamas tik automatizuotu tvarkymu ir kuris jam sukelia teisinius padarinius arba panašiai jam daro didelį poveikį, pavyzdžiui, automatinis internetinės kredito paraiškos atmetimas arba internetinė įdarbinimo praktika be jokio žmogaus įsikišimo. Šio tipo tvarkymas apima „profiliavimą“, kuris susideda iš bet kokios formos automatizuoto asmens duomenų tvarkymo, siekiant įvertinti su fiziniu asmeniu susijusius asmeninius aspektus, visų pirma analizuoti arba numatyti aspektus, susijusius su duomenų subjekto darbo rezultatais, ekonomine padėtimi, sveikata, asmeniniais pageidavimais ar interesais, patikimumu ar elgesiu, arba buvimo vieta ir judėjimu, jei tai sukelia teisinius padarinius duomenų subjektui arba panašiai jam daro didelį poveikį. …

(73 konstatuojamoji dalis) Sąjungos arba valstybės narės teisėje gali būti nustatyti tam tikrų konkrečių principų, taip pat teisės į informaciją, teisės susipažinti su asmens duomenimis, teisės į tokių duomenų ištaisymą arba ištrynimą, teisės į duomenų perkeliamumą, teisės nesutikti, sprendimų, pagrįstų profiliavimu, taip pat pranešimo apie asmens duomenų saugumo pažeidimą duomenų subjektui ir tam tikrų susijusių duomenų valdytojų pareigų apribojimai, ...

(74 konstatuojamoji dalis) Tikslinga nustatyti duomenų valdytojo atsakomybę už bet kokį asmens duomenų tvarkymą, kurį atlieka duomenų valdytojas arba kuris atliekamas jo vardu. Visų pirma svarbu, kad duomenų valdytojas privalėtų įgyvendinti tinkamas ir veiksmingas priemones ir galėtų įrodyti, kad tvarkymo veikla atitinka šį reglamentą, įskaitant priemonių veiksmingumą. …

(75 konstatuojamoji dalis) Tvarkant asmens duomenis, kurie gali sukelti fizinę, materialinę ar neturtinę žalą, gali kilti rizika fizinių asmenų teisėms ir laisvėms, kurios tikimybė ir mastas yra skirtingi, visų pirma: kai tvarkymas gali sukelti diskriminaciją, tapatybės vagystę ar sukčiavimą, finansinius nuostolius, žalą reputacijai, profesinės paslapties saugomų duomenų konfidencialumo praradimą, neteisėtą pseudonimų suteikimo proceso atšaukimą ar bet kokią kitą didelę ekonominę ar socialinę žalą; kai duomenų subjektams gali būti atimtos jų teisės ir laisvės arba jiems gali būti užkirstas kelias kontroliuoti savo asmens duomenis; kai tvarkomi asmens duomenys, atskleidžiantys rasinę ar etninę kilmę, politines pažiūras, religiją ar filosofinius įsitikinimus, narystę profesinėse sąjungose, taip pat genetiniai duomenys, duomenys apie sveikatą arba duomenys apie lytinį gyvenimą, arba duomenys apie apkaltinamuosius nuosprendžius ir nusikaltimus, arba susijusios saugumo priemonės; kai vertinami asmeniniai aspektai, ypač analizuojant ar prognozuojant su darbo našumu, ekonomine padėtimi, sveikata, asmeninėmis nuostatomis ar interesais, patikimumu ar elgesiu, buvimo vieta ar judėjimu susijusius elementus, siekiant sukurti arba naudoti individualius profilius; kai tvarkomi asmens duomenys, susiję su pažeidžiamais fiziniais asmenimis, ypač vaikais; arba kai tvarkomas didelis asmens duomenų kiekis ir tai paveikia daug duomenų subjektų.

(76 konstatuojamoji dalis) Duomenų subjekto teisėms ir laisvėms kylančios rizikos tikimybė ir mastas turėtų būti nustatomi atsižvelgiant į tvarkymo pobūdį, apimtį, kontekstą ir tikslus. …

(78 konstatuojamoji dalis) Fizinių asmenų teisių ir laisvių apsaugai tvarkant asmens duomenis reikia imtis tinkamų techninių ir organizacinių priemonių, siekiant užtikrinti, kad būtų laikomasi šio reglamento reikalavimų. Kad galėtų įrodyti, jog laikomasi šio reglamento, duomenų valdytojas turėtų priimti vidaus taisykles ir įgyvendinti priemones, kuriomis visų pirma būtų laikomasi pritaikytosios duomenų apsaugos ir standartizuotosios duomenų apsaugos principų. Tokios priemonės galėtų apimti, be kita ko, asmens duomenų tvarkymo mažinimą, asmens duomenų pseudoniminimą, kai įmanoma, skaidrumo užtikrinimą, susijusį su asmens duomenų funkcijomis ir tvarkymu, duomenų subjekto galimybę kontroliuoti duomenų tvarkymą, galimybę duomenų valdytojui įdiegti arba tobulinti saugumo funkcijas. Kurdami, projektuodami, atrinkdami ir naudodami programas, paslaugas ir produktus, kurie priklauso nuo asmens duomenų tvarkymo arba kurie tvarko asmens duomenis savo funkcijoms atlikti, produktų gamintojai, paslaugų teikėjai ir programų kūrėjai turėtų būti skatinami atsižvelgti į teisę į duomenų apsaugą kuriant ir projektuojant tokius produktus, paslaugas ir programas ir, tinkamai atsižvelgiant į naujausius technologijų pasiekimus, užtikrinti, kad duomenų valdytojai ir tvarkytojai galėtų įvykdyti savo duomenų apsaugos įsipareigojimus. Viešuosiuose pirkimuose taip pat reikėtų atsižvelgti į pritaikytosios duomenų apsaugos ir standartizuotosios duomenų apsaugos principus.

(79 konstatuojamoji dalis) Duomenų subjektų teisių ir laisvių apsaugai, taip pat duomenų valdytojų ir tvarkytojų atsakomybei, be kita ko, priežiūros institucijų vykdomos priežiūros ir jų taikomų priemonių kontekste, pagal šį reglamentą reikia aiškiai paskirstyti atsakomybę, …

(80 konstatuojamoji dalis) Kai duomenų valdytojas arba tvarkytojas, neįsisteigęs Sąjungoje, tvarko duomenų subjektų, esančių Sąjungoje, asmens duomenis ir jo vykdoma duomenų tvarkymo veikla yra susijusi su prekių ar paslaugų siūlymu tiems duomenų subjektams Sąjungoje, nepriklausomai nuo to, ar už tai mokama, arba su jų elgesio stebėjimu, jei tai vyksta Sąjungoje, duomenų valdytojas arba tvarkytojas turėtų paskirti atstovą, nebent duomenų tvarkymas yra retkarčiais atliekamas, neapima specialių kategorijų asmens duomenų tvarkymo dideliu mastu arba asmens duomenų, susijusių su apkaltinamaisiais nuosprendžiais ir nusikalstama veika, tvarkymo ir, atsižvelgiant į tvarkymo pobūdį, kontekstą, apimtį ir tikslus, mažai tikėtina, kad jis sukels pavojų fizinių asmenų teisėms ir laisvėms, arba duomenų valdytojas yra valdžios institucija arba įstaiga. Atstovas turėtų veikti duomenų valdytojo arba tvarkytojo vardu ir su juo gali susisiekti bet kuri priežiūros institucija. Atstovas turėtų būti aiškiai paskirtas rašytiniu duomenų valdytojo arba tvarkytojo įgaliojimu veikti jo vardu, vykdant jo įsipareigojimus pagal šį reglamentą. To atstovo paskyrimas nedaro poveikio duomenų valdytojo arba tvarkytojo pareigoms pagal šį reglamentą. …

(81 konstatuojamoji dalis) Siekiant užtikrinti, kad duomenų tvarkytojui tvarkant duomenis duomenų valdytojo vardu, būtų laikomasi šio reglamento reikalavimų, kai pastarasis patiki duomenų tvarkytojui tvarkymo veiklą, duomenų valdytojas turėtų pasitelkti tik tuos duomenų tvarkytojus, kurie suteikia pakankamas garantijas, visų pirma ekspertinių žinių, patikimumo ir išteklių srityse, techninių ir organizacinių priemonių, kurios atitiks šio reglamento reikalavimus, įskaitant tvarkymo saugumą, įgyvendinimui. …

(82 konstatuojamoji dalis) Siekdamas įrodyti, kad laikomasi šio reglamento, duomenų valdytojas arba tvarkytojas turėtų saugoti savo atsakomybei priklausančios duomenų tvarkymo veiklos įrašus. …

(83 konstatuojamoji dalis) Siekiant užtikrinti saugumą ir užkirsti kelią tvarkymui pažeidžiant šį reglamentą, svarbu, kad duomenų valdytojas arba tvarkytojas įvertintų su tvarkymu susijusią riziką ir įgyvendintų priemones jai sumažinti, pavyzdžiui, šifravimą. Tos priemonės turėtų užtikrinti tinkamą saugumo lygį, įskaitant konfidencialumą, atsižvelgiant į naujausias technologijas ir įgyvendinimo sąnaudas, atsižvelgiant į riziką ir saugotinų asmens duomenų pobūdį. …

(84 konstatuojamoji dalis) Siekiant geriau užtikrinti šio reglamento laikymąsi, kai tvarkymo operacijos gali kelti didelį pavojų fizinių asmenų teisėms ir laisvėms, duomenų valdytojas turėtų būti atsakingas už duomenų apsaugos poveikio vertinimą, kad būtų įvertinta, visų pirma, to pavojaus kilmė, pobūdis, specifiškumas ir rimtumas. Į to vertinimo rezultatus reikėtų atsižvelgti nustatant tinkamas priemones, kuriomis įrodoma, kad asmens duomenų tvarkymas atitinka šį reglamentą. Kai duomenų apsaugos poveikio vertinimas rodo, kad duomenų tvarkymo operacijos kelia didelį pavojų, kurio duomenų valdytojas negali sumažinti imdamasis tinkamų priemonių, atsižvelgdamas į turimus metodus ir su jų įgyvendinimu susijusias išlaidas, prieš pradedant tvarkyti duomenis turėtų būti konsultuojamasi su priežiūros institucija.

(85 konstatuojamoji dalis) Asmens duomenų saugumo pažeidimas, jei laiku nesiimama tinkamų veiksmų, gali sukelti fizinę, materialinę ar moralinę žalą atitinkamiems fiziniams asmenims, pavyzdžiui, prarasti savo asmens duomenų kontrolę arba apriboti jų teises, patirti diskriminaciją, tapatybės vagystę ar sukčiavimą, patirti finansinių nuostolių, neteisėtai atšaukti pseudonimų suteikimo procedūrą, pakenkti reputacijai, prarasti profesine paslaptimi saugomų asmens duomenų konfidencialumą arba patirti kitą didelę ekonominę ar socialinę žalą. Todėl, kai tik duomenų valdytojas sužino apie asmens duomenų saugumo pažeidimą, jis turėtų nedelsdamas ir, jei įmanoma, ne vėliau kaip per 72 valandas nuo sužinojimo apie jį pranešti priežiūros institucijai, nebent jis, vadovaudamasis atskaitomybės principu, gali įrodyti, kad atitinkamas pažeidimas neturėtų kelti pavojaus fizinių asmenų teisėms ir laisvėms. Jei tokio pranešimo neįmanoma pateikti per 72 valandų laikotarpį, prie pranešimo turėtų būti nurodytos vėlavimo priežastys, o informacija gali būti teikiama etapais be tolesnio nepagrįsto delsimo.

(86 konstatuojamoji dalis) Duomenų valdytojas turėtų nedelsdamas pranešti duomenų subjektui apie asmens duomenų saugumo pažeidimą, kai dėl pažeidimo gali kilti didelis pavojus fizinio asmens teisėms ir laisvėms, kad duomenų subjektas galėtų imtis tinkamų atsargumo priemonių. …

(87 konstatuojamoji dalis) Reikėtų patikrinti, ar įdiegtos visos tinkamos techninės ir organizacinės apsaugos priemonės, kad būtų galima nedelsiant nustatyti, ar įvyko asmens duomenų saugumo pažeidimas, ir nedelsiant informuoti priežiūros instituciją ir duomenų subjektą. …

(91 konstatuojamoji dalis) Tai visų pirma turėtų būti taikoma didelio masto tvarkymo operacijoms, kuriomis siekiama regioniniu, nacionaliniu ar viršnacionaliniu lygmeniu tvarkyti didelį kiekį asmens duomenų, kurios gali paveikti daug duomenų subjektų ir kurios gali kelti didelį pavojų, pavyzdžiui, dėl jų jautrumo, kai, atsižvelgiant į naujausius technologinius pasiekimus, dideliu mastu taikoma nauja technika, taip pat kitoms tvarkymo operacijoms, kurios kelia didelį pavojų duomenų subjektų teisėms ir laisvėms, ypač kai dėl tokių operacijų duomenų subjektams sunkiau pasinaudoti savo teisėmis. Duomenų apsaugos poveikio vertinimas taip pat turėtų būti atliekamas tais atvejais, kai asmens duomenys tvarkomi siekiant priimti sprendimus, susijusius su konkrečiais fiziniais asmenimis, atlikus sistemingą ir išsamų fiziniams asmenims būdingų asmeninių aspektų vertinimą, pagrįstą tų duomenų profiliavimu, arba tvarkymus specialių kategorijų asmens duomenis, biometrinius duomenis arba duomenis, susijusius su apkaltinamaisiais nuosprendžiais ir nusikalstama veika, arba susijusiomis saugumo priemonėmis. …

(92 konstatuojamoji dalis) Pasitaiko atvejų, kai gali būti pagrįsta ir ekonomiškai efektyvu išplėsti duomenų apsaugos poveikio vertinimo apimtį ne tik vienam projektui, pavyzdžiui, kai valdžios institucijos ar viešosios įstaigos ketina įdiegti bendrą programą ar apdorojimo platformą arba kai keli duomenų valdytojai ketina sukurti bendrą programą ar apdorojimo aplinką visame sektoriuje ar profesiniame segmente, arba plačiai naudojamai tarpfunkcinei veiklai.

(94 konstatuojamoji dalis) Kai duomenų apsaugos poveikio vertinimas rodo, kad nesant apsaugos priemonių, saugumo priemonių ir rizikos mažinimo mechanizmų, tvarkymas keltų didelę riziką fizinių asmenų teisėms ir laisvėms, o duomenų valdytojas mano, kad atsižvelgiant į turimas technologijas ir įgyvendinimo sąnaudas, rizikos negalima sumažinti pagrįstomis priemonėmis, prieš pradedant tvarkymo operacijas reikėtų konsultuotis su priežiūros institucija. …

(97 konstatuojamoji dalis) Kai duomenis tvarko valdžios institucija, išskyrus teismus ar nepriklausomas teismines institucijas, veikiančias pagal savo teisminius įgaliojimus, kai privačiame sektoriuje tai atlieka duomenų valdytojas, kurio pagrindinė veikla yra tvarkymo operacijos, kurioms atlikti reikia reguliariai ir sistemingai stebėti duomenų subjektus dideliu mastu, arba kai duomenų valdytojo arba tvarkytojo pagrindinė veikla yra specialių kategorijų asmens duomenų ir duomenų, susijusių su apkaltinamaisiais nuosprendžiais ir nusikalstama veika, tvarkymas dideliu mastu, asmuo, turintis ekspertinių duomenų apsaugos teisės ir praktikos žinių, turėtų padėti duomenų valdytojui arba tvarkytojui patikrinti, ar laikomasi šio reglamento reikalavimų. …

(98 konstatuojamoji dalis) Asociacijos ar kitos įstaigos, atstovaujančios duomenų valdytojų ar tvarkytojų kategorijoms, turėtų būti skatinamos parengti elgesio kodeksus, laikantis šio reglamento ribų, kad būtų lengviau jį tinkamai taikyti, atsižvelgiant į tam tikruose sektoriuose atliekamo duomenų tvarkymo ypatumus ir konkrečius labai mažų, mažų ir vidutinių įmonių poreikius. …

(101 konstatuojamoji dalis) Asmens duomenų srautai į šalis, nepriklausančias Sąjungai, ir iš jų bei tarptautinėms organizacijoms yra būtini tarptautinės prekybos ir tarptautinio bendradarbiavimo plėtrai. Tokių srautų padidėjimas sukėlė naujų iššūkių ir susirūpinimą keliančių klausimų, susijusių su asmens duomenų apsauga. Tačiau svarbu, kad, kai asmens duomenys perduodami iš Sąjungos duomenų valdytojams, tvarkytojams ar kitiems gavėjams trečiosiose šalyse arba tarptautinėms organizacijoms, nebūtų pakenkta fizinių asmenų apsaugos lygiui, garantuojamam Sąjungoje pagal šį reglamentą, įskaitant asmens duomenų perdavimo iš trečiosios šalies ar tarptautinės organizacijos duomenų valdytojams ar tvarkytojams toje pačioje ar kitoje trečiojoje šalyje arba kitai tarptautinei organizacijai atvejus. Bet kuriuo atveju duomenys trečiosioms šalims ir tarptautinėms organizacijoms gali būti perduodami tik visapusiškai laikantis šio reglamento. …

(103 konstatuojamoji dalis) Komisija gali nuspręsti, kad trečioji šalis, teritorija ar konkretus sektorius trečiojoje šalyje arba tarptautinė organizacija užtikrina tinkamą duomenų apsaugos lygį, taip užtikrindama teisinį tikrumą ir vienodumą visoje Sąjungoje trečiosios šalies ar tarptautinės organizacijos, kuri laikoma užtikrinančia tokį apsaugos lygį, atžvilgiu. Tokiu atveju asmens duomenys į tą trečiąją šalį ar tarptautinę organizaciją gali būti perduodami be papildomo leidimo. …

(104 konstatuojamoji dalis) Atsižvelgdama į pagrindines vertybes, kuriomis grindžiama Sąjunga, ypač į žmogaus teisių apsaugą, Komisija, vertindama trečiąją šalį, teritoriją ar konkretų sektorių trečiojoje šalyje, turėtų atsižvelgti į tai, kaip konkreti trečioji šalis gerbia teisinės valstybės principą, užtikrina teisę kreiptis į teismą ir laikosi tarptautinių taisyklių bei standartų žmogaus teisių srityje, taip pat į savo bendruosius ir sektorių teisės aktus, įskaitant teisės aktus dėl viešojo saugumo, gynybos ir nacionalinio saugumo, taip pat viešosios tvarkos ir baudžiamosios teisės. …

(105 konstatuojamoji dalis) Be trečiosios šalies ar tarptautinės organizacijos prisiimtų tarptautinių įsipareigojimų, Komisija turėtų atsižvelgti į įsipareigojimus, kylančius dėl trečiosios šalies ar tarptautinės organizacijos dalyvavimo daugiašalėse ar regioninėse sistemose, ypač susijusius su asmens duomenų apsauga ir tų įsipareigojimų įgyvendinimu. Visų pirma, reikėtų atsižvelgti į trečiosios šalies prisijungimą prie 1981 m. sausio 28 d. Europos Tarybos konvencijos dėl asmenų apsaugos ryšium su asmens duomenų automatizuotu tvarkymu ir jos papildomo protokolo. …

(108 konstatuojamoji dalis) Jei nėra sprendimo dėl tinkamumo, duomenų valdytojas arba tvarkytojas turėtų imtis priemonių, kad kompensuotų duomenų apsaugos nepakankamumą trečiojoje šalyje, taikydamas tinkamas duomenų subjekto apsaugos priemones. …

(109 konstatuojamoji dalis) Duomenų valdytojų ir tvarkytojų galimybė naudoti Komisijos arba priežiūros institucijos priimtas standartines duomenų apsaugos sąlygas neturėtų jiems trukdyti įtraukti šias sąlygas į platesnę sutartį, pavyzdžiui, sutartį tarp duomenų tvarkytojo ir kito tvarkytojo, arba pridėti kitas sąlygas ar papildomas apsaugos priemones, su sąlyga, kad jos tiesiogiai ar netiesiogiai neprieštarauja Komisijos arba priežiūros institucijos priimtoms standartinėms sutarčių sąlygoms ir nedaro neigiamo poveikio duomenų subjektų pagrindinėms teisėms ir laisvėms. …

(110 konstatuojamoji dalis) Įmonių grupė arba bendrą ekonominę veiklą vykdančių įmonių grupė turėtų galėti naudoti patvirtintas privalomas įmonės taisykles tarptautiniam duomenų perdavimui iš Sąjungos tos pačios įmonių grupės arba tos pačios bendrą ekonominę veiklą vykdančių įmonių grupės subjektams, su sąlyga, kad tos įmonės taisyklės apima visus esminius principus ir vykdytinas teises, siekiant užtikrinti tinkamas asmens duomenų perdavimo arba perdavimo kategorijų apsaugos priemones.

(114 konstatuojamoji dalis) Bet kuriuo atveju, kai Komisija nėra priėmusi pozicijos dėl duomenų apsaugos lygio trečiojoje šalyje tinkamumo, duomenų valdytojas arba tvarkytojas turėtų priimti sprendimus, kurie duomenų subjektams garantuotų vykdytinas ir veiksmingas teises, susijusias su jų duomenų tvarkymu Sąjungoje, kai tie duomenys bus perduoti, kad tie duomenų subjektai ir toliau galėtų naudotis pagrindinėmis teisėmis ir garantijomis.

(116 konstatuojamoji dalis) Kai asmens duomenys kerta Sąjungos išorės sienas, gali padidėti rizika, kad asmenys negalės pasinaudoti savo duomenų apsaugos teisėmis, visų pirma apsisaugoti nuo neteisėto tos informacijos naudojimo ar atskleidimo. ... Todėl būtina skatinti glaudesnį duomenų apsaugos priežiūros institucijų bendradarbiavimą, kad jos galėtų keistis informacija ir atlikti tyrimus su savo tarptautiniais partneriais. ...

(121 konstatuojamoji dalis) Bendrosios sąlygos, taikomos priežiūros institucijos nariui (-iams), turėtų būti nustatytos kiekvienos valstybės narės įstatymu ir jose turėtų būti numatyta, kad tuos narius, laikantis skaidrios procedūros, skiria tos valstybės narės parlamentas, vyriausybė arba valstybės vadovas, remdamasis vyriausybės ar vyriausybės nario, parlamento ar parlamento rūmų pasiūlymu, arba nepriklausoma įstaiga, kuriai pagal valstybės narės teisę pavesta ši užduotis. …

(122 konstatuojamoji dalis) Kiekviena priežiūros institucija savo valstybės narės teritorijoje turėtų būti kompetentinga vykdyti pagal šį reglamentą jai suteiktas užduotis ir įgaliojimus. …

(124 konstatuojamoji dalis) Kai asmens duomenys tvarkomi vykdant duomenų valdytojo arba tvarkytojo buveinės veiklą Sąjungoje ir tas duomenų valdytojas arba tvarkytojas yra įsisteigęs daugiau nei vienoje valstybėje narėje, arba kai duomenų tvarkymas, atliekamas vykdant vienintelės duomenų valdytojo arba tvarkytojo buveinės veiklą Sąjungoje, daro arba gali daryti didelį poveikį duomenų subjektams daugiau nei vienoje valstybėje narėje, priežiūros institucija, kurios jurisdikcijai priklauso pagrindinė arba vienintelė duomenų valdytojo arba tvarkytojo buveinė, turėtų veikti kaip pagrindinė institucija. …

(125 konstatuojamoji dalis) Pagrindinė institucija turėtų būti kompetentinga priimti privalomus sprendimus dėl priemonių, skirtų įgyvendinti pagal šį reglamentą jai suteiktus įgaliojimus. Kaip pagrindinė institucija, priežiūros institucija turėtų glaudžiai įtraukti atitinkamas priežiūros institucijas į sprendimų priėmimo procesą ir užtikrinti glaudų koordinavimą šiame procese. …

(129 konstatuojamoji dalis) Siekiant užtikrinti nuoseklų šio reglamento vykdymą ir stebėseną visoje Sąjungoje, priežiūros institucijos kiekvienoje valstybėje narėje turėtų turėti tas pačias užduotis ir veiksmingus įgaliojimus, įskaitant tyrimo įgaliojimus, įgaliojimus imtis taisomųjų priemonių ir skirti sankcijas, taip pat įgaliojimus leisti ir teikti patariamąsias nuomones, ypač fizinių asmenų pateiktų skundų atveju, ir, nedarant poveikio baudžiamojo persekiojimo institucijų įgaliojimams pagal valstybės narės teisę, įgaliojimus atkreipti teisminių institucijų dėmesį į šio reglamento pažeidimus ir imtis teisinių veiksmų. Tie įgaliojimai taip pat turėtų apimti įgaliojimus laikinai arba nuolat apriboti duomenų tvarkymą, įskaitant draudimą. …

(130 konstatuojamoji dalis) Kai priežiūros institucija, kuriai pateiktas skundas, nėra vadovaujanti priežiūros institucija, vadovaujanti priežiūros institucija turėtų glaudžiai bendradarbiauti su priežiūros institucija, kuriai pateiktas skundas, laikydamasi šiame reglamente nustatytų bendradarbiavimo ir nuoseklumo nuostatų. …

(137 konstatuojamoji dalis) Duomenų subjektų teisėms ir laisvėms apsaugoti gali prireikti skubių veiksmų, ypač kai kyla pavojus, kad duomenų subjekto teisės įgyvendinimas gali būti labai apribotas. Todėl priežiūros institucija turėtų galėti savo teritorijoje imtis tinkamai pagrįstų laikinųjų priemonių, kurių galiojimo laikotarpis neturėtų viršyti trijų mėnesių.

(138 konstatuojamoji dalis) Tokio mechanizmo taikymas turėtų sąlygoti priežiūros institucijos priimtos priemonės, kuria siekiama sukelti teisinį poveikį, teisėtumą tais atvejais, kai toks taikymas yra privalomas. …

(141 konstatuojamoji dalis) Kiekvienas duomenų subjektas turėtų turėti teisę pateikti skundą vienai priežiūros institucijai, visų pirma toje valstybėje narėje, kurioje yra jo įprastinė gyvenamoji vieta, ir teisę į veiksmingą teisminę teisių gynimo priemonę pagal Chartijos 47 straipsnį, jei jis mano, kad jo teisės pagal šį reglamentą yra pažeistos, arba jei priežiūros institucija nesiima veiksmų dėl jo skundo, jį visiškai ar iš dalies atmeta arba nesiima veiksmų, kai būtina imtis veiksmų duomenų subjekto teisėms apsaugoti. Tyrimas po skundo turėtų būti atliekamas prižiūrint teismui ir tokiu mastu, kokio reikalauja konkretus atvejis.

(142 konstatuojamoji dalis) Kai duomenų subjektas mano, kad jo teisės pagal šį reglamentą yra pažeistos, jis turėtų turėti teisę įgalioti ne pelno siekiančią įstaigą, organizaciją ar asociaciją, įsteigtą pagal valstybės narės teisę, kurios įstatuose nustatyti tikslai yra viešojo intereso labui ir kuri veikia asmens duomenų apsaugos srityje, jo vardu pateikti skundą priežiūros institucijai, pasinaudoti teise į teisminę teisių gynimo priemonę duomenų subjektų vardu arba, jei tai numatyta valstybės narės teisėje, pasinaudoti teise gauti kompensaciją duomenų subjektų vardu. …

(143 konstatuojamoji dalis) Bet kuris fizinis ar juridinis asmuo turi teisę pateikti ieškinį dėl Komiteto sprendimų panaikinimo Teisingumo Teisme Sutarties dėl Europos Sąjungos veikimo 263 straipsnyje nustatytomis sąlygomis. Gavusios tokius sprendimus, atitinkamos priežiūros institucijos, norinčios juos užginčyti, privalo tai padaryti per du mėnesius nuo pranešimo apie juos gavimo pagal Sutarties dėl Europos Sąjungos veikimo 263 straipsnį. …

Jei priežiūros institucija atmeta skundą, skundo pateikėjas gali pateikti ieškinį tos pačios valstybės narės teismuose. …

(144 konstatuojamoji dalis) Kai teismas, kuriam pateiktas ieškinys dėl priežiūros institucijos priimto sprendimo, turi pagrindo manyti, kad kitos valstybės narės kompetentingame teisme yra pareiškiami ieškiniai dėl to paties duomenų tvarkymo, pavyzdžiui, dėl to paties dalyko, kurį atlieka tas pats duomenų valdytojas ar tvarkytojas, arba tuo pačiu ieškinio pagrindu, jis turėtų susisiekti su tuo kitu teismu, kad patvirtintų tokių susijusių ieškinių egzistavimą. …

(145 konstatuojamoji dalis) Kalbant apie ieškinius prieš duomenų valdytoją arba tvarkytoją, pareiškėjas turėtų galėti pasirinkti pareikšti ieškinį valstybių narių, kuriose duomenų valdytojas arba tvarkytojas turi buveinę, teismuose, arba valstybės narės, kurioje gyvena duomenų subjektas, teismuose, nebent duomenų valdytojas yra valstybės narės valdžios institucija, veikianti pagal savo viešuosius įgaliojimus.

(146 konstatuojamoji dalis) Duomenų valdytojas arba tvarkytojas turėtų atlyginti bet kokią žalą, kurią duomenų subjektas gali patirti dėl duomenų tvarkymo, atlikto pažeidžiant šį reglamentą. Duomenų valdytojas arba tvarkytojas turėtų būti atleidžiami nuo atsakomybės, jei įrodo, kad žala jokiu būdu nėra jam priskirtina. ... Tačiau tais atvejais, kai duomenų valdytojai ir tvarkytojai dalyvauja toje pačioje teismo byloje, pagal valstybės narės teisę kompensacija gali būti paskirstyta pagal kiekvieno duomenų valdytojo arba tvarkytojo atsakomybės už dėl duomenų tvarkymo padarytą žalą dalį, su sąlyga, kad duomenų subjekto patirta žala yra visiškai ir veiksmingai atlyginta. ...

(148 konstatuojamoji dalis) Siekiant sustiprinti šio reglamento taisyklių vykdymo užtikrinimą, už bet kokį šio reglamento pažeidimą turėtų būti skiriamos sankcijos, įskaitant administracines baudas, papildant arba vietoj atitinkamų priemonių, kurias priežiūros institucija taiko pagal šį reglamentą. Nedidelio pažeidimo atveju arba jei bauda, kuri gali būti skirta, fiziniam asmeniui sukeltų neproporcingą naštą, vietoj baudos gali būti skiriamas įspėjimas. Tačiau reikėtų tinkamai atsižvelgti į pažeidimo pobūdį, sunkumą ir trukmę, tyčinį pažeidimo pobūdį ir priemones, kurių imtasi patirtai žalai sumažinti, atsakomybės laipsnį arba bet kokius ankstesnius susijusius pažeidimus, kaip priežiūros institucija sužinojo apie pažeidimą, duomenų valdytojo ar tvarkytojo atžvilgiu taikomų priemonių laikymąsi, elgesio kodekso taikymą ir bet kokias kitas sunkinančias ar lengvinančias aplinkybes. Sankcijų, įskaitant administracines baudas, taikymui turėtų būti taikomos atitinkamos procedūrinės apsaugos priemonės pagal bendruosius Sąjungos teisės principus ir Chartiją, įskaitant teisę į veiksmingą teisminę apsaugą ir tinkamą procesą.

(150 konstatuojamoji dalis) Siekiant sugriežtinti ir suderinti administracines nuobaudas, taikomas už šio reglamento pažeidimus, kiekviena priežiūros institucija turėtų turėti įgaliojimus skirti administracines baudas. Šiame reglamente turėtų būti apibrėžti pažeidimai, didžiausia suma ir administracinių baudų, kurios jiems taikomos, nustatymo kriterijai, kuriuos kiekvienu konkrečiu atveju turėtų nustatyti kompetentinga priežiūros institucija, atsižvelgdama į visas konkrečias kiekvieno atvejo ypatybes ir tinkamai atsižvelgdama visų pirma į pažeidimo pobūdį, sunkumą, trukmę ir jo pasekmes, taip pat į priemones, kurių imtasi siekiant užtikrinti iš reglamento kylančių įpareigojimų laikymąsi ir užkirsti kelią pažeidimo pasekmėms arba jas sušvelninti. …

(152 konstatuojamoji dalis) Kai šiuo reglamentu nesuderinamos administracinės sankcijos arba, kai tai būtina kitomis aplinkybėmis, pavyzdžiui, sunkių šio reglamento pažeidimų atvejais, valstybės narės turėtų įdiegti sistemą, kuri numatytų veiksmingas, proporcingas ir atgrasomas sankcijas. Šių sankcijų, baudžiamųjų ar administracinių, pobūdis turėtų būti nustatomas pagal valstybių narių teisę.

(153 konstatuojamoji dalis) Valstybių narių teisėje turėtų būti suderintos saviraiškos ir informacijos laisvės, įskaitant žurnalistinę, akademinę, meninę ar literatūrinę raišką, taisyklės su teise į asmens duomenų apsaugą pagal šį reglamentą. Tvarkant asmens duomenis tik žurnalistiniais tikslais arba akademinės, meninės ar literatūrinės raiškos tikslais, turėtų būti numatytos nukrypti leidžiančios nuostatos arba išimtys nuo tam tikrų šio reglamento nuostatų, jei tai būtina siekiant suderinti teisę į asmens duomenų apsaugą su teise į saviraiškos ir informacijos laisvę, įtvirtinta Chartijos 11 straipsnyje. …

(154 konstatuojamoji dalis) Šis reglamentas leidžia jį taikant atsižvelgti į viešos prieigos prie oficialių dokumentų principą. Vieša prieiga prie oficialių dokumentų gali būti laikoma viešojo intereso reikalavimu. …

(155 konstatuojamoji dalis) Valstybės narės teisėje arba kolektyvinėse sutartyse, įskaitant „įmonių sutartis“, gali būti numatytos konkrečios taisyklės dėl darbuotojų asmens duomenų tvarkymo darbo santykių kontekste, įskaitant sąlygas, kuriomis asmens duomenys darbo santykių kontekste gali būti tvarkomi darbuotojo sutikimu, įdarbinimo, darbo sutarties vykdymo, įskaitant įstatymų ar kolektyvinių sutarčių nustatytų pareigų laikymąsi, darbo valdymo, planavimo ir organizavimo, lygybės ir įvairovės darbo vietoje, darbuotojų saugos ir sveikatos tikslais, taip pat siekiant individualiai ar kolektyviai įgyvendinti ir naudotis darbo teisėmis ir lengvatomis, taip pat darbo santykių nutraukimo tikslais.

(162 konstatuojamoji dalis) Kai asmens duomenys tvarkomi statistiniais tikslais, šis reglamentas turėtų būti taikomas tokiam tvarkymui. Sąjungos arba valstybės narės teisėje, neviršijant šio reglamento ribų, turėtų būti nustatytas statistinis turinys, apibrėžta prieigos prie duomenų kontrolė ir numatytos konkrečios nuostatos dėl asmens duomenų tvarkymo statistiniais tikslais bei tinkamos priemonės duomenų subjekto teisėms ir laisvėms apsaugoti ir statistiniam konfidencialumui išlaikyti. …

(163 konstatuojamoji dalis) Sąjungos ir valstybių narių statistikos institucijų renkama konfidenciali informacija, skirta oficialiai Europos ir nacionalinei statistikai rengti, turėtų būti saugoma. …

(164 konstatuojamoji dalis) Kalbant apie priežiūros institucijų įgaliojimus gauti iš duomenų valdytojo arba tvarkytojo prieigą prie asmens duomenų ir prieigą prie jų patalpų, valstybės narės, laikydamosi šio reglamento ribų, gali įstatymais priimti konkrečias taisykles, kuriomis būtų užtikrinta profesinės paslapties arba kitų lygiaverčių paslapties saugojimo pareigų laikymasis, kiek tai būtina siekiant suderinti teisę į asmens duomenų apsaugą ir profesinės paslapties saugojimo pareigą. …

 (166 konstatuojamoji dalis) Siekiant šio reglamento tikslų, t. y. apsaugoti fizinių asmenų pagrindines teises ir laisves, ypač jų teisę į asmens duomenų apsaugą, ir užtikrinti laisvą tokių duomenų judėjimą Sąjungoje, Komisijai turėtų būti deleguoti įgaliojimai priimti teisės aktus pagal Sutarties dėl Europos Sąjungos veikimo 290 straipsnį. Visų pirma, deleguotieji aktai turėtų būti priimti dėl sertifikavimo mechanizmų kriterijų ir reikalavimų, informacijos, kuri turi būti pateikiama standartizuotų piktogramų forma, ir tokių piktogramų teikimo procedūrų. …

(168 konstatuojamoji dalis) Atsižvelgiant į bendrą atitinkamų aktų taikymo sritį, įgyvendinimo aktams, susijusiems su standartinėmis sutarčių sąlygomis tarp duomenų valdytojų ir tvarkytojų bei tarp tvarkytojų, elgesio kodeksais, techniniais standartais ir sertifikavimo mechanizmais, priimti turėtų būti taikoma nagrinėjimo procedūra.

(170 konstatuojamoji dalis) Kadangi šio reglamento tikslo, t. y. užtikrinti lygiavertį fizinių asmenų apsaugos lygį ir laisvą asmens duomenų judėjimą visoje Sąjungoje, valstybės narės negali deramai pasiekti, o dėl veiksmo masto ar poveikio to tikslo būtų geriau siekti Sąjungos lygmeniu, Sąjunga gali patvirtinti priemones, …