Процедура : 2012/0011(COD)
Етапи на разглеждане в заседание
Етапи на разглеждане на документа : A7-0402/2013

Внесени текстове :

A7-0402/2013

Разисквания :

PV 11/03/2014 - 13
CRE 11/03/2014 - 13
PV 13/04/2016 - 15
CRE 13/04/2016 - 15

Гласувания :

PV 12/03/2014 - 8.5
CRE 12/03/2014 - 8.5

Приети текстове :


ДОКЛАД     ***I
PDF 3735kWORD 4962k
22 ноември 2013 г.
PE 501.927v05-00 A7-0402/2013

относно предложението за регламент на Европейския парламент и на Съвета относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни (общ регламент относно защитата на данните)

(COM(2012)0011 – C7-0025/2012 – 2012/0011(COD))

Комисия по граждански свободи, правосъдие и вътрешни работи

Докладчик: Ян Филип Албрехт

ИЗМЕНЕНИЯ
ПРОЕКТ НА ЗАКОНОДАТЕЛНА РЕЗОЛЮЦИЯ НА ЕВРОПЕЙСКИЯ ПАРЛАМЕНТ
 ИЗЛОЖЕНИЕ НА МОТИВИТЕ
 СТАНОВИЩЕ на комисията по заетост и социални въпроси
 СТАНОВИЩЕ на комисията по промишленост, изследвания и енергетика
 СТАНОВИЩЕ на комисията по вътрешния пазар и защита на потребителите
 СТАНОВИЩЕ на комисията по правни въпроси
 ПРОЦЕДУРА

ПРОЕКТ НА ЗАКОНОДАТЕЛНА РЕЗОЛЮЦИЯ НА ЕВРОПЕЙСКИЯ ПАРЛАМЕНТ

относно предложението за регламент на Европейския парламент и на Съвета относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни (общ регламент относно защитата на данните)

(COM(2012)0011 – C7-0025/2012 – 2012/0011(COD))

(Обикновена законодателна процедура: първо четене)

Европейският парламент,

–   като взе предвид предложението на Комисията до Парламента и до Съвета (COM(2012)0011),

–   като взе предвид член 294, параграф 2, член 16, параграф 2 и член 114, параграф 1 от Договора за функционирането на Европейския съюз, съгласно които Комисията е внесла предложението в Парламента (C7-0025/2012),

–   като взе предвид член 294, параграф 3 от Договора за функционирането на Европейския съюз,

–   като взе предвид мотивираните становища, представени в рамките на Протокол № 2 относно прилагането на принципите на субсидиарност и пропорционалност от Камарата на представителите на Белгия, германския Бундесрат, Сената на Френската република, Камарата на депутатите на Италия и Риксдага на Кралство Швеция, в които се твърди, че проектът на законодателен акт не е в съответствие с принципа на субсидиарност,

–   като взе предвид становището на Европейския икономически и социален комитет от 23 май 2012 г.(1) ,

–   след консултация с Комитета на регионите,

–   като взе предвид становището на Европейския надзорен орган по защита на данните от 7 март 2012 г.,

–   като взе предвид становището на Агенцията на Европейския съюз за основните права от 1 октомври 2012 г.,

–   като взе предвид член 55 от своя правилник,

–   като взе предвид доклада на комисията по граждански свободи, правосъдие и вътрешни работи и становищата на комисията по заетост и социални въпроси, комисията по промишленост, изследвания и енергетика, комисията по вътрешния пазар и защита на потребителите и комисията по правни въпроси (A7-0402/2013),

1.  приема изложената по-долу позиция на първо четене;

2.  изисква от Комисията да се отнесе до Парламента отново, в случай че възнамерява да внесе съществени промени в своето предложение или да го замени с друг текст;

3.  възлага на своя председател да предаде позицията на Парламента съответно на Съвета и на Комисията, както и на националните парламенти.

Изменение 1

Предложение за регламент

Съображение 14

Текст, предложен от Комисията

Изменение

(14) Настоящият регламент не урежда въпроси по отношение на защитата на основните права и свободи или свободното движение на данни, свързани с дейности, които са извън приложното поле на правото на Съюза, нито урежда обработването на лични данни от институциите, органите, службите и агенциите на Съюза, уредено с Регламент (ЕО) № 45/200144, нито обработването на лични данни от държавите членки, когато извършват дейности във връзка с общата външна политика и политиката на сигурност на Съюза.

(14) Настоящият регламент не урежда въпроси по отношение на защитата на основните права и свободи или свободното движение на данни, свързани с дейности, които са извън приложното поле на правото на Съюза. Регламент (ЕО) № 45/200144 на Европейския парламент и на Съвета1 следва да бъде приведен в съответствие с настоящия регламент и да се прилага в съответствие с настоящия регламент.

____________

______________

44 ОВ L 8, 12.1.2001 г., стр. 1.

1 Регламент (ЕО) № 45/2001 на Европейския парламент и на Съвета от 18 декември 2000 г. относно защитата на физическите лица по отношение на обработката на лични данни от институциите и органите на Общността и относно свободното движение на такива данни (ОВ L 8, 12.1.2001 г., стр. 1).

Изменение  2

Предложение за регламент

Съображение 15

Текст, предложен от Комисията

Изменение

(15) Регламентът следва да не се прилага също така спрямо обработването на лични данни от физическо лице, когато тези данни са с изцяло личен или домашен характер, като например воденето на кореспонденция и поддържането на адресни указатели, и когато това обработване се извършва без никакви възмездни цели и следователно без никаква връзка с професионална или търговска дейност. Изключението не следва да се прилага също така за администратори или обработващи лични данни, които осигуряват средствата за обработване на лични данни за такива лични или домашни дейности.

(15) Регламентът следва да не се прилага също така спрямо обработването на лични данни от физическо лице, когато тези данни са с изцяло личен, семеен или домашен характер, като например воденето на кореспонденция и поддържането на адресни указатели или частни продажби, и когато това обработване се извършва без никаква връзка с професионална или търговска дейност. Настоящият регламент следва да се прилага обаче за администратори и обработващи лични данни, които осигуряват средствата за обработване на лични данни за такива лични или домашни дейности.

Изменение  3

Предложение за регламент

Съображение 18

Текст, предложен от Комисията

Изменение

(18) Настоящият регламент дава възможност при прилагане на неговите разпоредби да се взема предвид принципът на публичен достъп до официални документи.

(18) Настоящият регламент дава възможност при прилагане на неговите разпоредби да се взема предвид принципът на публичен достъп до официални документи. Личните данни в документите, съхранявани от държавен орган или публична организация, могат да бъдат разкривани от този орган или организация в съответствие с правото на Съюза или с националното право на държавите членки относно публичния достъп до официални документи, което съчетава правото на защита на данните с правото на публичен достъп до официални документи и представлява справедлив баланс между различните засегнати интереси.

Изменение  4

Предложение за регламент

Съображение 20

Текст, предложен от Комисията

Изменение

(20) За да се гарантира, че физическите лица не са лишени от защитата, на която те имат право по силата на настоящия регламент, обработването на лични данни на субекти на данни с местоживеене в Съюза от администратор, който не е установен в Съюза, следва да подлежи на разпоредбите на настоящия регламент в случаите, когато дейностите по обработване на данни са свързани с предлагането на стоки или услуги на такива субекти на данни или с наблюдение на поведението на такива субекти на данни.

(20) За да се гарантира, че физическите лица не са лишени от защитата, на която те имат право по силата на настоящия регламент, обработването на лични данни на субекти на данни с местоживеене в Съюза от администратор, който не е установен в Съюза, следва да подлежи на разпоредбите на настоящия регламент в случаите, когато дейностите по обработване на данни са свързани с предлагането на стоки или услуги, без значение дали то е свързано със заплащане или не, на такива субекти на данни или с наблюдение на такива субекти на данни. За да се установи дали този администратор предлага стоки или услуги на такива субекти на данни в Съюза, следва да бъде уточнено дали е очевидно, че администраторът възнамерява да предлага услуги на субекти на данни, пребиваващи в една или повече държави членки на Съюза.

Изменение  5

Предложение за регламент

Съображение 21

Текст, предложен от Комисията

Изменение

(21) С цел да се определи дали дадена дейност по обработване може да се смята за „наблюдение на поведението“ на субектите на данни следва да се установи дали физическите лица са следени в интернет посредством техники за обработване на данни, които се състоят в създаването на „профил“ на дадено физическо лице, по-специално с цел да се вземат решения относно него или да се анализират или предугаждат неговите лични предпочитания, поведение и начин на мислене.

(21) С цел да се определи дали дадена дейност по обработване може да се смята за „наблюдение“ на субектите на данни следва да се установи дали физическите лица са следени, независимо от произхода на данните или от това дали са събирани други данни за тях, включително от публични регистри и обяви в Съюза, които са достъпни извън Съюза, включително с намерение за използване или вероятност за последващо използване на техники за обработване на данни, които се състоят в създаването на „профил“, по-специално с цел да се вземат решения относно него или да се анализират или предугаждат неговите лични предпочитания, поведение и начин на мислене.

Изменение  6

Предложение за регламент

Съображение 23

Текст, предложен от Комисията

Изменение

(23) Принципите на защита на данните следва да се прилагат по отношение на всяка информация, която се отнася до идентифицирано лице или лице, което може да бъде идентифицирано. За да се определи дали дадено лице може да бъде идентифицирано, следва да се вземат предвид всички средства, с които е вероятно да си послужи администраторът или което и да е друго лице за идентифицирането на даденото физическо лице. Принципите на защита на данните не следва да се прилагат по отношение на данни, които са анонимизирани по такъв начин, че субектът на данните да не може повече да бъде идентифициран.

(23) Принципите за защита на данните следва да се прилагат по отношение на всяка информация, отнасяща се до физическо лице, което е идентифицирано или може да бъде идентифицирано. За да се определи дали дадено лице може да бъде идентифицирано, следва да се вземат предвид всички средства, с които е вероятно да си послужи администраторът или което и да е друго лице, за да идентифицира или набележи пряко или непряко даденото физическо лице. За да се уточни дали е вероятно дадени средства да бъдат използвани за идентифициране на лицето, следва да се вземат предвид всички обективни фактори, като разходите и количеството време, необходими за идентифицирането, като се отчитат както наличните към момента на обработване на данните технологии, така и тяхното развитие. Принципите на защита на данните следователно не следва да се прилагат по отношение на анонимни данни, които указват, че не се отнасят до физическо лице, чиято самоличност е установена или подлежи на установяване. Следователно настоящият регламент не се отнася за обработването на такава анонимни данни, включително за статистически или изследователски цели.

Изменение  7

Предложение за регламент

Съображение 24

Текст, предложен от Комисията

Изменение

(24) При използването на онлайн услуги физическите лица могат да са свързани с онлайн идентификатори, предоставени от техните устройства, приложения, инструменти и протоколи, като адресите по интернет протокол (IP адреси) или идентификаторите, наричани „бисквитки“. По този начин могат да бъдат оставени следи, които, съчетани с уникалните идентификатори и с друга информация, получена от сървърите, могат да се използват за създаването на профили на физическите лица и за тяхното идентифициране. От това следва, че идентификационните номера, данните за местоположението, онлайн идентификаторите или други специфични фактори като такива не трябва непременно да се считат за лични данни при всички обстоятелства.

(24) Настоящият регламент следва да се прилага за обработване, включващо идентификатори, предоставени от устройства, приложения, инструменти и протоколи, като адресите по интернет протокол, идентификаторите, наричани „бисквитки“ и устройствата за радиочестотна идентификация, освен ако посочените идентификатори не се отнасят до физическо лице, чиято самоличност е установена или подлежи на установяване.

Изменение  8

Предложение за регламент

Съображение 25

Текст, предложен от Комисията

Изменение

(25) Съгласие следва да се дава изрично по всеки подходящ начин, позволяващ даването на свободно изразено, конкретно и информирано указание за волята на субекта на данни въз основа на потвърждаващо действие от страна на субекта на данни, което да гарантира, че физическите лица съзнават, че дават съгласието си за обработването на личните им данни, включително чрез отбелязването с отметка в поле при посещението на уебсайт в интернет или всякакво друго указание или поведение, което ясно показва, че субектът на данни е съгласен с предложеното обработване на неговите лични данни. Мълчанието или липсата на действие следователно не следва да представлява съгласие. Съгласието следва да обхваща всички дейности по обработване, извършени за една и съща цел или цели. Ако съгласието на субекта на данни трябва да се даде след искане по електронен път, искането трябва да е ясно, сбито и да не нарушава излишно използването на услугата, за която се предвижда.

(25) Съгласие следва да се дава изрично по всеки подходящ начин, позволяващ даването на свободно изразено, конкретно и информирано указание за волята на субекта на данни въз основа на потвърждаващо действие, което е резултат от избора от страна на субекта на данни, което да гарантира, че физическите лица съзнават, че дават съгласието си за обработването на личните им данни. Потвърждаващо действие може да включва отбелязване с отметка в поле при посещението на уебсайт в интернет или всякакво друго указание или поведение, което ясно показва, че субектът на данни е съгласен с предложеното обработване на неговите лични данни. Мълчанието, обикновеното използване на услугата или липсата на действие следователно не следва да представлява съгласие. Съгласието следва да обхваща всички дейности по обработване, извършени за една и съща цел или цели. Ако съгласието на субекта на данни трябва да се даде след искане по електронен път, искането трябва да е ясно, сбито и да не нарушава излишно използването на услугата, за която се предвижда.

Изменение  9

Предложение за регламент

Съображение 29

Текст, предложен от Комисията

Изменение

(29) На децата се полага специална защита на техните лични данни, тъй като те не съзнават така добре рисковете, последиците, гаранциите и своите права, свързани с обработването на лични данни. За да се определи кога едно физическо лице е дете, регламентът следва да използва определението, дадено в Конвенцията на Обединените нации за правата на детето.

(29) На децата се полага специална защита на техните лични данни, тъй като те не съзнават така добре рисковете, последиците, гаранциите и своите права, свързани с обработването на лични данни. Когато обработването на лични данни се базира на съгласието на субект на данни във връзка с прякото предлагане на дете на стоки или услуги, съгласието следва да се даде или разреши от родителя или законния настойник на дете на възраст под 13 години. Когато целевата аудитория е детска, следва да се използва съобразен с възрастта език. Други основания за законосъобразно обработване, като съображения от публичен интерес следва да продължат да се прилагат, както при обработването в контекста на пряко предлаганите на деца превантивни или консултантски услуги.

Изменение  10

Предложение за регламент

Съображение 31

Текст, предложен от Комисията

Изменение

(31) За да бъде обработването законосъобразно, личните данни следва да бъдат обработвани въз основа на съгласието на съответното лице или на друго законно основание, установено със закон или в настоящия регламент, или в друг закон на Съюза или на държава членка, посочен в настоящия регламент.

(31) За да бъде обработването законосъобразно, личните данни следва да бъдат обработвани въз основа на съгласието на съответното лице или на друго законно основание, установено със закон или в настоящия регламент, или в друг закон на Съюза или на държава членка, посочен в настоящия регламент. Когато става въпрос за дете или недееспособно лице, съответното законодателство на Съюза или на държавите членки следва да определи условията, при които предоставя или разрешава съгласието от това лице.

Изменение  11

Предложение за регламент

Съображение 32

Текст, предложен от Комисията

Изменение

(32) Когато обработването се извършва въз основа на съгласието на субекта на данни, администраторът следва да носи тежестта на доказване, че субектът на данни е дал съгласието си за операцията по обработване. По-специално в случай на писмена декларация по друг въпрос с гаранциите следва да се гарантира, че субектът на данни е информиран за това, че дава съгласието си и в каква степен го дава.

(32) Когато обработването се извършва въз основа на съгласието на субекта на данни, администраторът следва да носи тежестта на доказване, че субектът на данни е дал съгласието си за операцията по обработване. По-специално в случай на писмена декларация по друг въпрос с гаранциите следва да се гарантира, че субектът на данни е информиран за това, че дава съгласието си и в каква степен го дава. За да се спази принципът за свеждане до минимум на данните, тежестта на доказване не следва да се разбира като задължително идентифициране на субектите на данните, освен когато това е необходимо. По подобие на гражданскоправните клаузи (напр. Директива 93/13/ЕИО1), политиките относно защитата на личните данни следва да бъдат възможно най-ясни и прозрачни. Те не следва да съдържат скрити или неблагоприятни клаузи. Не може да се дава съгласие за обработване на данни на трето лице.

 

1 Директива 93/13/ЕИО на Съвета от 5 април 1993 г. относно неравноправните клаузи в потребителски договори (ОВ L 95, 21.4.1993 г., стр. 29).

Изменение  12

Предложение за регламент

Съображение 33

Текст, предложен от Комисията

Изменение

(33) За да се гарантира свободното съгласие, следва да бъде разяснено, че съгласието не дава валидно правно основание, когато лицето няма истински и свободен избор и впоследствие не е в състояние да откаже или да оттегли съгласието си, без това да доведе до вредни последици за него.

(33) За да се гарантира свободното съгласие, следва да бъде разяснено, че съгласието не дава валидно правно основание, когато лицето няма истински и свободен избор и впоследствие не е в състояние да откаже или да оттегли съгласието си, без това да доведе до вредни последици за него. Това особено важи за случаите, при които администраторът е публичен орган, който може да наложи задължение по силата на своите публични правомощия и съгласието не може да се счита за свободно изразено. Използването на опции по подразбиране, които субектът на данните трябва да промени, за да откаже обработването, като например предварително отметнати полета, не е израз на свободно съгласие. Съгласие за обработване на допълнителни лични данни, които не са необходими за предоставянето на услуга, не следва да се изисква за използването на услугата. Когато съгласието е оттеглено, това може да позволи прекратяване или неизпълнение на услуга, която зависи от предоставянето на данни. Когато изпълнението на планираната цел е неясно, администраторът следва редовно да предоставя на субектите на данни информация относно обработването и да изисква ново потвърждаване на съгласието им.

Изменение  13

Предложение за регламент

Съображение 34

Текст, предложен от Комисията

Изменение

(34) Съгласието не следва да представлява валидно правно основание за обработването на лични данни, когато е налице очевидна неравнопоставеност между субекта на данни и администратора. Такъв по-специално е случаят, когато субектът на данните е в положение на зависимост от администратора, например когато работодателят обработва личните данни на свой служител в контекста на трудово правоотношение. Когато администраторът е публичен орган, може да има неравнопоставеност само при особени операции по обработване на данни, в които публичният орган може да наложи задължение по силата на своите публични правомощия и съгласието не може да се счита за свободно изразено, като се има предвид интересът на субекта на данните.

заличава се

Изменение  14

Предложение за регламент

Съображение 36

Текст, предложен от Комисията

Изменение

(36) Когато обработването се извършва в съответствие със законово задължение, наложено на администратора, или когато обработването е необходимо за изпълнението на задача от обществен интерес или при упражняване на официални правомощия, за обработването следва да има правно основание в правото на Съюза или в правото на държава членка, което отговаря на изискванията на Хартата на основните права на Европейския съюз по отношение на ограниченията на правата и свободите. Също така законодателството на Съюза или националното законодателство следва да определи дали администраторът, изпълняващ задача от обществен интерес или упражняващ официални правомощия, следва да бъде публична администрация или друго физическо лице или юридическо лице, субект на публичното или частното право, като например професионално сдружение.

(36) Когато обработването се извършва в съответствие със законово задължение, наложено на администратора, или когато обработването е необходимо за изпълнението на задача от обществен интерес или при упражняване на официални правомощия, за обработването следва да има правно основание в правото на Съюза или в правото на държава членка, което отговаря на изискванията на Хартата на основните права на Европейския съюз по отношение на ограниченията на правата и свободите. Това следва да включва и колективни споразумения, които биха могли да бъдат признати по националното право като общовалидни. Също така законодателството на Съюза или националното законодателство следва да определи дали администраторът, изпълняващ задача от обществен интерес или упражняващ официални правомощия, следва да бъде публична администрация или друго физическо лице или юридическо лице, субект на публичното или частното право, като например професионално сдружение.

Изменение  15

Предложение за регламент

Съображение 38

Текст, предложен от Комисията

Изменение

(38) Законните интереси на даден администратор могат да предоставят правно основание за обработването, при условие че интересите или основните права и свободи на съответния субект на данни нямат преимущество. За това е необходима внимателна оценка, особено когато субектът на данните е дете, като се има предвид, че на децата се полага специална защита. Субектът на данни следва да има право на възражение срещу обработването на основание своето конкретно положение и безплатно. За да се гарантира прозрачността, администраторът следва да бъде задължен изрично да информира субекта на данни относно преследваните законни интереси и относно правото на възражение, и също така да бъде задължен да документира тези законни интереси. Като се има предвид, че е задължение на законодателя да уреди със закон правното основание за обработването на данни от публичните органи, това правно основание не следва да се прилага спрямо обработването на данни от публичните органи при изпълнението на техните задачи.

(38) Законните интереси на даден администратор, или в случай на разкриване – на трето лице, на което са разкрити данните, могат да предоставят правно основание за обработването, при условие че изпълняват основателните очаквания на субекта на данни, въз основа на неговите взаимоотношения с администратора и че интересите или основните права и свободи на съответния субект на данни нямат преимущество. За това е необходима внимателна оценка, особено когато субектът на данните е дете, като се има предвид, че на децата се полага специална защита. При условие че интересите или основните права и свободи на субекта на данни нямат преимущество, следва да се приеме, че обработването, ограничено до данни под псевдоним, изпълнява основателните очаквания на субекта на данни, въз основа на неговите взаимоотношения с администратора. Субектът на данни следва да има право на безплатно възражение срещу обработването. За да се гарантира прозрачността, администраторът следва да бъде задължен изрично да информира субекта на данни относно преследваните законни интереси и относно правото на възражение, и също така да бъде задължен да документира тези законни интереси. Интересите и основните права на субекта на данни биха могли по-конкретно да имат преимущество пред интереса на администратора, когато личните данни се обработват при обстоятелства, при които субектите на данни основателно не очакват по-нататъшна обработка. Като се има предвид, че е задължение на законодателя да уреди със закон правното основание за обработването на данни от публичните органи, това правно основание не следва да се прилага спрямо обработването на данни от публичните органи при изпълнението на техните задачи.

Изменение  16

Предложение за регламент

Съображение 39

Текст, предложен от Комисията

Изменение

(39) Обработването на данни в степен, която е строго необходима за целите на гарантирането на мрежовата и информационната сигурност, т.е. способността на дадена мрежа или информационна система да издържа, на дадено равнище на доверие, на случайни събития или неправомерни или злонамерени действия, които повлияват на наличността, автентичността, целостта и поверителността на съхраняваните или предаваните данни, както и на сигурността на свързаните услуги, предлагани или достъпни посредством тези мрежи и системи, от страна на публични органи, екипи за незабавно реагиране при компютърни инциденти, екипи за реагиране при инциденти с компютърната сигурност, доставчици на мрежи и услуги за електронни съобщения и доставчици на технологии и услуги за сигурност, представлява законен интерес на съответния администратор на данни. Това може да включва например предотвратяването на непозволен достъп до електронни съобщителни мрежи, разпространение на зловреден софтуер, спиране на атаки с цел отказване на услугите и вреди за компютрите и електронните съобщителни системи.

(39) Обработването на данни в степен, която е строго необходима и пропорционална на за целите на гарантирането на мрежовата и информационната сигурност, т.е. способността на дадена мрежа или информационна система да издържа на случайни събития или неправомерни или злонамерени действия, които повлияват на наличността, автентичността, целостта и поверителността на съхраняваните или предаваните данни, както и на сигурността на свързаните услуги, предлагани посредством тези мрежи и системи, от страна на публични органи, екипи за незабавно реагиране при компютърни инциденти, екипи за реагиране при инциденти с компютърната сигурност, доставчици на мрежи и услуги за електронни съобщения и доставчици на технологии и услуги за сигурност, представлява законен интерес на съответния администратор на данни. Това може да включва например предотвратяването на непозволен достъп до електронни съобщителни мрежи, разпространение на зловреден софтуер, спиране на атаки с цел отказване на услугите и вреди за компютрите и електронните съобщителни системи. Посоченият принцип се прилага и по отношение на обработването на лични данни с цел ограничаване на неправомерния достъп и използването на обществено достъпни мрежови или информационни системи, като например създаването на черен списък на адреси на електронни идентификатори.

Изменение  17

Предложение за регламент

Съображение 39 a (ново)

Текст, предложен от Комисията

Изменение

 

(39a) При условие, че интересите или основните права и свободи на субекта на данни нямат преимущество, следва да се приеме, че предотвратяването или ограничаването на вредите от страна на администратора се осъществява в името на законния интерес на трето лице, на което са разкрити данните, и като изпълняващи основателните очаквания на субекта на данни, въз основа на неговите взаимоотношения с администратора. Същият принцип се прилага и за изпълнението на правни искове срещу субект на данни, като събиране на дългове или граждански вреди и средства за защита.

Изменение  18

Предложение за регламент

Съображение 39 б (ново)

Текст, предложен от Комисията

Изменение

 

(39б) При условие, че интересите или основните права и свободи на субекта на данни нямат преимущество, обработването на лични данни за целите на директния маркетинг за собствени или подобни стоки и услуги или за целите на директния маркетинг на пощенски услуги следва да се приемат като извършени в името на законния интерес на администратора, или в случай на разкриване – на законния интерес на трето лице, на което са разкрити данните, и като изпълняващи основателните очаквания на субекта на данни, въз основа на неговите взаимоотношения с администратора, ако е предоставена категорично видима информация относно правото на възражение и източника на лични данни. Обработването на професионални координати за връзка следва по принцип да се разглежда като извършено в името на законния интерес на администратора, или в случай на разкриване – на законния интерес на трето лице, на което са разкрити данните, и като изпълняващи основателните очаквания на субекта на данни, въз основа на неговите взаимоотношения с администратора. Същото следва да се прилага за обработването на лични данни, явно направени обществено достояние от субекта на данни.

Изменение  19

Предложение за регламент

Съображение 40

Текст, предложен от Комисията

Изменение

(40) Обработването на лични данни за други цели следва да бъде разрешено единствено когато е съвместимо с целите, за които първоначално са събрани данните, по-специално когато обработването е необходимо за исторически, статистически или научноизследователски цели. Ако другата цел не е съвместима с първоначалната, за която са събрани данните, администраторът следва да получи съгласието на субекта на данните за тази допълнителна цел или следва да основе обработването на друго законно основание за законосъобразно обработване, особено когато това е предвидено в правото на Съюза или в правото на държавата членка, което се прилага спрямо администратора. Във всеки случай, прилагането на принципите, установени с настоящия регламент, и по-специално информирането на субекта на данните относно тези други цели, следва да бъдат гарантирани.

заличава се

Изменение  20

Предложение за регламент

Съображение 41

Текст, предложен от Комисията

Изменение

(41) На личните данни, които по своето естество са чувствителни и уязвими по отношение на основните права или правото на неприкосновеност на личния живот, се полага специална защита. Такива данни не трябва да се обработват, освен ако субектът на данните не даде изричното си съгласие за това. Дерогации от тази забрана следва обаче да бъдат изрично предвидени по отношение на специфични нужди, по-специално когато обработването се извършва в хода на законните дейности на някои сдружения или фондации, чиято цел е да се позволи упражняването на основните свободи.

заличава се

Изменение  21

Предложение за регламент

Съображение 42

Текст, предложен от Комисията

Изменение

(42) Дерогации от забраната за обработване на чувствителни категории данни следва също да бъдат разрешени, ако са предвидени със закон и при спазването на подходящи гаранции за защита на личните данни и на други основни права, когато това е оправдано поради съображения от обществен интерес, и по-специално за здравни цели, включително за целите на общественото здраве, социалната закрила и управлението на здравни служби, особено с цел да се гарантира качеството и рентабилността на използваните процедури за уреждане на искове за обезщетения и услуги в системата на здравното осигуряване или за исторически, статистически и научноизследователски цели.

(42) Дерогации от забраната за обработване на чувствителни категории данни следва също да бъдат разрешени, ако са предвидени със закон и при спазването на подходящи гаранции за защита на личните данни и на други основни права, когато това е оправдано поради съображения от обществен интерес, и по-специално за здравни цели, включително за целите на общественото здраве, социалната закрила и управлението на здравни служби, особено с цел да се гарантира качеството и рентабилността на използваните процедури за уреждане на искове за обезщетения и услуги в системата на здравното осигуряване или за исторически, статистически и научноизследователски цели, или за целите на архивирането.

Изменение  22

Предложение за регламент

Съображение 45

Текст, предложен от Комисията

Изменение

(45) Ако обработваните от администратора данни не му позволяват да идентифицира дадено физическо лице, администраторът на данни не следва да е задължен да придобива допълнителна информация, за да идентифицира субекта на данните единствено с цел спазване на някоя от разпоредбите на настоящия регламент. В случай на искане за достъп администраторът следва да има право да поиска от субекта на данни повече информация, която да му позволи да намери личните данни, които лицето търси.

(45) Ако обработваните от администратора данни не му позволяват да идентифицира дадено физическо лице, администраторът на данни не следва да е задължен да придобива допълнителна информация, за да идентифицира субекта на данните единствено с цел спазване на някоя от разпоредбите на настоящия регламент. В случай на искане за достъп администраторът следва да има право да поиска от субекта на данни повече информация, която да му позволи да намери личните данни, които лицето търси. Ако за субекта на данни е възможно да предостави такива данни, администраторите не следва да могат да се позовават на липса на информация за отхвърляне на искане за достъп.

Изменение  23

Предложение за регламент

Съображение 47

Текст, предложен от Комисията

Изменение

(47) Следва да бъдат осигурени условия за улесняване на упражняването на правата на субектите на данни, предоставени с настоящия регламент, включително механизми за безплатно искане на достъп до данни, коригиране, заличаване и упражняване на правото на възражение. Администраторът следва да бъде задължен да отговори на исканията на субекта на данни в рамките на фиксиран срок и да посочи причините, в случай че не изпълни искането на субекта на данни.

(47) Следва да бъдат осигурени условия за улесняване на упражняването на правата на субектите на данни, предоставени с настоящия регламент, включително механизми за безплатно получаване на достъп до данни, коригиране, заличаване и упражняване на правото на възражение. Администраторът следва да бъде задължен да отговори на исканията на субекта на данни в рамките на разумен срок и да посочи причините, в случай че не изпълни искането на субекта на данни.

Изменение  24

Предложение за регламент

Съображение 48

Текст, предложен от Комисията

Изменение

(48) Принципите на добросъвестно и прозрачно обработване изискват субектът на данни да бъде информиран, по-специално за наличието на операция по обработване и нейната цел, продължителността на съхранение на данните, наличието на право на достъп, коригиране или заличаване и на правото да се подават жалби. Когато от субекта на данни се събират данни, той следва да бъде информиран и относно това дали е задължен да предостави данните и относно последствията, ако не предостави тези данни.

(48) Принципите на добросъвестно и прозрачно обработване изискват субектът на данни да бъде информиран, по-специално за наличието на операция по обработване и нейната цел, продължителността на евентуалното съхранение на данните за всяка цел, ако данните следва да се прехвърлят към трети лица или трети държави, наличието на способи за възразяване и право на достъп, коригиране или заличаване и на правото да се подават жалби. Когато от субекта на данни се събират данни, той следва да бъде информиран и относно това дали е задължен да предостави данните и относно последствията, ако не предостави тези данни. Посочената информация следва да се предостави, което може също да означава да бъде лесно достъпна за субекта на данни след предоставянето на опростена информация под формата на стандартизирани икони. Това следва да означава също, че личните данни се обработват по начин, който действително позволява на субекта на данни да упражнява правата си.

Изменение  25

Предложение за регламент

Съображение 50

Текст, предложен от Комисията

Изменение

(50) Не е необходимо обаче да се налага такова задължение, когато субектът на данни вече разполага с тази информация, когато записването или разкриването на данните е изрично предвидено със закон или когато предоставянето на информация на субекта на данни се окаже невъзможно или изисква непропорционално големи усилия. Такъв би бил случаят, по-специално когато обработването на данни се извършва за исторически, статистически или научноизследователски цели; в този контекст може да бъде взет предвид броят на субектите на данните, актуалността на данните и всички приети компенсаторни мерки.

(50) Не е необходимо обаче да се налага такова задължение, когато субектът на данни вече е запознат с тази информация, когато записването или разкриването на данните е изрично предвидено със закон или когато предоставянето на информация на субекта на данни се окаже невъзможно или изисква непропорционално големи усилия.

 

Изменение  26

Предложение за регламент

Съображение 51

Текст, предложен от Комисията

Изменение

(51) Всяко лице следва да има право на достъп до събраните данни, които го засягат, и да упражнява това право лесно, за да бъде осведомено и да провери законосъобразността на обработването. Поради това всеки субект на данни следва да има правото да е запознат и да получава информация, по-специално относно това за какви цели се обработват данните, за какъв срок, кои са получателите на данните, каква е логиката на данните, които се обработват, и какви биха могли да бъдат последствията от такова обработване, най-малкото когато става дума за създаване на профили. Това право не следва да влияе неблагоприятно върху правата и свободите на други лица, включително върху търговската тайна или интелектуалната собственост, и по-специално върху авторското право, закрилящо софтуера. Тези съображения обаче не следва да водят до отказ на всякаква информация на съответния субект на данни.

(51) Всяко лице следва да има право на достъп до събраните данни, които го засягат, и да упражнява това право лесно, за да бъде осведомено и да провери законосъобразността на обработването. Поради това всеки субект на данни следва да има правото да е запознат и да получава информация, по-специално относно това за какви цели се обработват данните, за какъв прогнозен срок, кои са получателите на данните, каква е общата логика на данните, които се обработват, и какви биха могли да бъдат последствията от такова обработване. Това право не следва да влияе неблагоприятно върху правата и свободите на други лица, включително върху търговската тайна или интелектуалната собственост, например във връзка с авторското право, закрилящо софтуера. Тези съображения обаче не следва да водят до отказ на всякаква информация на съответния субект на данни.

Изменение  27

Предложение за регламент

Съображение 53

Текст, предложен от Комисията

Изменение

(53) Всяко лице следва да има право на коригиране на личните данни, свързани с него, както и правото „да бъде забравен“, когато обработването на тези данни не е в съответствие с настоящия регламент. По-специално, субектите на данни следва да имат право личните им данни да се заличават и да не бъдат обработвани повече, когато данните престанат да бъдат необходими с оглед на целите, за които са били събрани или обработвани по-друг начин, когато субектите на данните са оттеглили своето съгласие за обработването им, когато възразяват срещу обработването на лични данни, свързани с тях, или когато обработването на личните им данни по друг начин не е в съответствие с настоящия регламент. Това право е особено важно, когато субектът на данни е дал съгласието си като дете, когато не е осъзнавал напълно рисковете, свързани с обработването, и впоследствие желае да премахне такива лични данни, особено когато са в Интернет. По-нататъшното запазване на данните обаче следва да бъде позволено, когато е необходимо за исторически, статистически и научноизследователски цели, по съображения от обществен интерес в областта на общественото здраве, за упражняване на правото на свобода на изразяване, когато се изисква по закон или когато съществува причина да бъде ограничено обработването на данните, вместо данните да бъдат заличени.

(53) Всяко лице следва да има право на коригиране на личните данни, свързани с него, както и правото на заличаване, когато обработването на тези данни не е в съответствие с настоящия регламент. По-специално, субектите на данни следва да имат право личните им данни да се заличават и да не бъдат обработвани повече, когато данните престанат да бъдат необходими с оглед на целите, за които са били събрани или обработвани по-друг начин, когато субектите на данните са оттеглили своето съгласие за обработването им, когато възразяват срещу обработването на лични данни, свързани с тях, или когато обработването на личните им данни по друг начин не е в съответствие с настоящия регламент. По-нататъшното запазване на данните обаче следва да бъде позволено, когато е необходимо за исторически, статистически и научноизследователски цели, по съображения от обществен интерес в областта на общественото здраве, за упражняване на правото на свобода на изразяване, когато се изисква по закон или когато съществува причина да бъде ограничено обработването на данните, вместо данните да бъдат заличени. Правото на заличаване не следва да се прилага, когато съхранението на лични данни е необходимо за изпълнението на договор със субекта на данни или когато е налице правно задължение за съхранение на тези данни.

Изменение  28

Предложение за регламент

Съображение 54

Текст, предложен от Комисията

Изменение

(54) С цел утвърждаване направото да бъдеш забравен“ в онлайн средата, правото на заличаване следва също да бъде разширено, така че администраторът, който е направил личните данни обществено достъпни, следва да бъде задължен да уведоми третите страни, които обработват такива данни, че субектът на данните е поискал от него заличаването на всякакви връзки към тези лични данни или на техните копия или реплики. С цел да осигури тази информация администраторът следва да предприеме всички разумни мерки, в това число технически мерки, по отношение на данните, за чието публикуване носи отговорност. Що се отнася до публикуването на лични данни от трети страни, администраторът следва да се счита за отговорен за публикуването им, когато е разрешил на третата страна това публикуване.

(54) С цел утвърждаване на правото на заличаване в онлайн средата, правото на заличаване следва също да бъде разширено, така че администраторът, който е направил личните данни обществено достъпни без правно основание, следва да бъде задължен да предприеме всички необходими стъпки за заличаване на данните, включително от трети страни, без да засяга правото на субекта на данните да претендира за обезщетение.

Изменение  29

Предложение за регламент

Съображение 54 a (ново)

Текст, предложен от Комисията

Изменение

 

(54a) Данни, които са оспорени от субекта на данните и чиято точност или неточност не може да се установи, следва да се блокират до изясняването на въпроса.

Изменение  30

Предложение за регламент

Съображение 55

Текст, предложен от Комисията

Изменение

(55) С цел допълнително да се засилят контролът върху данните и правото на достъп, субектите на данни следва да имат право, когато личните данните се обработват с електронни средства и в структуриран и широко използван формат, да получат копие от свързаните с тях данни също в широко използван електронен формат. На субекта на данни следва също така да бъде позволено да предава данните, които е предоставил, от едно автоматизирано приложение, като например социална мрежа, на друго. Това следва да се прилага, когато субектът на данни е предоставил данните на система за автоматизирано обработване въз основа на съгласието си или при изпълнението на договор.

(55) С цел допълнително да се засилят контролът върху данните и правото на достъп, субектите на данни следва да имат право, когато личните данните се обработват с електронни средства и в структуриран и широко използван формат, да получат копие от свързаните с тях данни също в широко използван електронен формат. На субекта на данни следва също така да бъде позволено да предава данните, които е предоставил, от едно автоматизирано приложение, като например социална мрежа, на друго. Администраторите на данни следва насърчават разработването на оперативно съвместими формати, които позволяват преносимост на данните. Това следва да се прилага, когато субектът на данни е предоставил данните на система за автоматизирано обработване въз основа на съгласието си или при изпълнението на договор. Доставчиците на услуги на информационното общество не следва да правят предаването на тези данни задължително за предоставянето на своите услуги.

Изменение  31

Предложение за регламент

Съображение 56

Текст, предложен от Комисията

Изменение

(56) В случаите, когато личните данни биха могли да бъдат законно обработвани за защита на жизненоважните интереси на субекта на данните или по съображения, свързани с обществен интерес, с упражняването на официални правомощия или със законните интереси на администратора, всеки субект на данни следва, при все това, да има право на възражение срещу обработването на данни, свързани с него. Администраторът носи тежестта на доказване, че неговите законни интереси имат преимущество пред интересите или основните права и свободи на субекта на данни.

(56) В случаите, когато личните данни биха могли да бъдат законно обработвани за защита на жизненоважните интереси на субекта на данните или по съображения, свързани с обществен интерес, с упражняването на официални правомощия или със законните интереси на администратора, всеки субект на данни следва, при все това, да има право на възражение срещу обработването на данни, свързани с него безплатно и по начин, който може лесно и ефективно да се използва. Администраторът носи тежестта на доказване, че неговите законни интереси имат преимущество пред интересите или основните права и свободи на субекта на данни.

Изменение  32

Предложение за регламент

Съображение 57

Текст, предложен от Комисията

Изменение

(57) Когато се обработват лични данни за целите на директния маркетинг, субектът на данните следва да има право на възражение срещу такова обработване безплатно и по начин, който може лесно и ефективно да се използва.

(57) Когато субектът на данните има право на възражение срещу обработването, администраторът следва изрично да предостави това право на субекта на данни по разбираем начин и форма, като използва ясен и общоупотребим език, и следва ясно да го различи от останалата информация.

Изменение  33

Предложение за регламент

Съображение 58

Текст, предложен от Комисията

Изменение

(58) Всяко физическо лице следва да има право да не подлежи на мярка, която се основава на създаването на профил чрез автоматизирано обработване. Въпреки това такава мярка следва да бъде позволена, когато е изрично разрешена от закона, когато се извършва в хода на сключването или изпълнението на договор или когато субектът на данни е дал съгласието си. Във всеки случай такова обработване следва да подлежи на подходящи гаранции, включително конкретното информиране на субекта на данните и правото на получаване на човешка намеса, като такава мярка не следва да се отнася за дете.

(58) Без да се засяга законосъобразността на обработването на данни, всяко физическо лице следва да има право на възражение срещу създаването на профил. Профилирането, което води до мерки, пораждащи правни последици за субекта на данни или по подобен начин съществено засягат интересите, правата или свободите на засегнатия субект на данни, следва да бъде позволено единствено, когато е изрично разрешено от закона, когато се извършва в хода на сключването или изпълнението на договор или когато субектът на данни е дал съгласието си. Във всеки случай такова обработване следва да подлежи на подходящи гаранции, включително конкретното информиране на субекта на данните и правото на получаване на човешка оценка, като такава мярка не следва да се отнася за дете. Посочените мерки не следва да водят до дискриминация спрямо физическите лица въз основа на раса или етнически произход, на политически мнения, религия или убеждения, членство в професионален съюз, сексуална ориентация или полова идентичност.

Изменение  34

Предложение за регламент

Съображение 58 a (ново)

Текст, предложен от Комисията

Изменение

 

(58a) Следва да се приеме, че профилирането, основано единствено на обработването на данни под псевдоним, не засяга значително интересите, правата или свободите на субекта на данни. Когато профилирането, независимо дали е въз основа на данни под псевдоним като единствен източник или на събиране на данни под псевдоним от различни източници, позволява на администратора да обвърже данните под псевдоним с конкретен субект на данни, обработваните данни не следва да продължават да се считат за данни под псевдоним.

Изменение  35

Предложение за регламент

Съображение 59

Текст, предложен от Комисията

Изменение

(59) Ограничения на специалните принципи и на правото на информация, достъп, коригиране и заличаване или на правото на преносимост на данните, на възражение, на мерки, основани на създаване на профили, както и уведомяването на субект на данни за нарушение на защитата на данни и на определени, свързани с това, задължения на администраторите, могат да бъдат налагани от правото на Съюза или на държава членка, доколкото това е необходимо и пропорционално в едно демократично общество с оглед на защитата на обществената сигурност, включително защитата на живота на хората, по-специално при природни или предизвикани от човека бедствия, предотвратяването, разследването и наказателното преследване на престъпления или нарушения на етичните кодекси при регламентираните професии, други обществени интереси на Съюза или на държава членка, и по-специално на важен икономически или финансов интерес на Съюза или на държава членка, или за защитата на субекта на данни или на правата и свободите на други лица. Тези ограничения следва да бъдат в съответствие с изискванията, определени в Хартата за основните права на Европейския съюз и в Европейската конвенция за защита на правата на човека и основните свободи.

(59) Ограничения на специалните принципи и на правото на информация, коригиране и заличаване или на правото на достъп и получаване на данните, на възражение срещу създаване на профили, както и уведомяването на субект на данни за нарушение на сигурността на данни и на определени свързани с това задължения на администраторите, могат да бъдат налагани от правото на Съюза или на държава членка, доколкото това е необходимо и пропорционално в едно демократично общество с оглед на защитата на обществената сигурност, включително защитата на човешкия живот, по-специално при природни или предизвикани от човека бедствия, предотвратяването, разследването и наказателното преследване на престъпления или нарушения на етичните кодекси при регламентираните професии, други конкретни и точно определени обществени интереси на Съюза или на държава членка, и по-специално на важен икономически или финансов интерес на Съюза или на държава членка, или на защитата на субекта на данни или на правата и свободите на други лица. Тези ограничения следва да бъдат в съответствие с изискванията, определени в Хартата за основните права на Европейския съюз и в Европейската конвенция за защита на правата на човека и основните свободи.

Изменение  36

Предложение за регламент

Съображение 60

Текст, предложен от Комисията

Изменение

(60) Следва да бъдат установени цялостната отговорност и задължения на администратора за всяко обработване на лични данни, извършено от администратора или от негово име. По-специално, администраторът следва да гарантира и да бъде длъжен да докаже съответствието на всяка операция по обработване с настоящия регламент.

(60) Следва да бъдат установени цялостната отговорност и задължения на администратора за всяко обработване на лични данни, извършено от администратора или от негово име, както и надзор от органите по защита на данните по-конкретно по отношение на документацията, сигурността на данните, оценките на въздействието, длъжностното лице по защита на данните и контрола от страна на органите по защита на данните. По-специално, администраторът следва да гарантира и да бъде способен да докаже съответствието на всяка операция по обработване с настоящия регламент. Това следва да се проверява от независими вътрешни или външни одитори.

Изменение  37

Предложение за регламент

Съображение 61

Текст, предложен от Комисията

Изменение

(61) Защитата на правата и свободите на субектите на данни във връзка с обработването на лични данни изисква предприемането на подходящи технически и организационни мерки както в момента на разработване на обработването, така и в момента на самото обработване, за да се гарантира, че са изпълнени изискванията на настоящи регламент. С цел да се гарантира и докаже съответствие с настоящия регламент администраторът следва да приеме вътрешни политики и да предприеме подходящи мерки, които отговарят по-специално на принципите за защита на данните още при проектирането и по подразбиране.

(61) Защитата на правата и свободите на субектите на данни във връзка с обработването на лични данни изисква предприемането на подходящи технически и организационни мерки както в момента на разработване на обработването, така и в момента на самото обработване, за да се гарантира, че са изпълнени изискванията на настоящи регламент. С цел да се гарантира и докаже съответствие с настоящия регламент администраторът следва да приеме вътрешни политики и да предприеме подходящи мерки, които отговарят по-специално на принципите за защита на данните още при проектирането и по подразбиране. Принципът на защита на данните още при проектирането изисква защитата на данните да бъде включена в целия жизнен цикъл на технологиите — от най-ранния етап на проектиране чак до тяхното окончателно внедряване, използване и окончателно изваждане от употреба. Това следва да включва също отговорност за продукти и услуги, използвани от администратора или обработващия лични данни. Принципът на защита на данните по подразбиране изисква настройките за неприкосновеност на личния живот, свързани с услугите и продуктите, да бъдат по подразбиране в съответствие с общите принципи за защита на данните, като например принципа на свеждане на данните до минимум и принципа на ограничаване до предвидената цел.

Изменение  38

Предложение за регламент

Съображение 62

Текст, предложен от Комисията

Изменение

(62) Защитата на правата и свободите на субектите на данни, както и отговорността и задълженията на администраторите и обработващите лични данни, а също и по отношение на наблюдението и мерките от страна на надзорните органи, изискват ясно определяне на отговорностите съгласно настоящия регламент, включително когато администраторът определя целите, условията и средствата на обработването съвместно с други администратори или когато дадена операция по обработване се извършва от името на даден администратор.

(62) Защитата на правата и свободите на субектите на данни, както и отговорността и задълженията на администраторите и обработващите лични данни, а също и по отношение на наблюдението и мерките от страна на надзорните органи, изискват ясно определяне на отговорностите съгласно настоящия регламент, включително когато администраторът определя целите на обработването съвместно с други администратори или когато дадена операция по обработване се извършва от името на даден администратор. Договореностите между съвместните администратори следва да отразяват действителните роли и взаимоотношения а съвместните администратори. Обработването на лични данни в съответствие с настоящия регламент следва да включва разрешението за предаване на данни от администратора на съвместния администратор или на обработващия лични данни за целите на обработването на данни от тяхно име.

Изменение  39

Предложение за регламент

Съображение 63

Текст, предложен от Комисията

Изменение

(63) Когато даден администратор, който не е установен в Съюза, обработва лични данни на субекти на данни с местоживеене в Съюза и дейностите му по обработването са свързани с предлагането на стоки или услуги на такива субекти на данни или с наблюдението на тяхното поведение, администраторът следва да определи представител, освен ако не е установен в трета държава, която гарантира адекватно ниво на защита или е малко или средно предприятие или обществен орган или структура, или когато администраторът предлага само понякога стоки и услуги на такива субекти на данни. Представителят следва да действа от името на администратора, а надзорният орган може да се обръща към него.

(63) Когато даден администратор, който не е установен в Съюза, обработва лични данни в Съюза, администраторът следва да определи представител, освен ако не е установен в трета държава, която гарантира адекватно ниво на защита или обработването се отнася до по-малко от 5000 субекти на данни в продължение на период от 12 последователни месеца и не се извършва по отношение на специални категории лични данни, или е обществен орган или структура, или когато администраторът предлага само понякога стоки и услуги на такива субекти на данни. Представителят следва да действа от името на администратора, а надзорният орган може да се обръща към него.

Изменение  40

Предложение за регламент

Съображение 64

Текст, предложен от Комисията

Изменение

(64) С цел да се определи дали даден администратор предоставя само понякога стоки и услуги на субекти на данни с местоживеене в Съюза следва да се установи дали от цялостната дейност на администратора личи, че предлагането на стоки и услуги на такива субекти на данни е вторична дейност спрямо основните му дейности.

(64) С цел да се определи дали даден администратор предоставя само понякога стоки и услуги на субекти на данни Съюза следва да се установи дали от цялостната дейност на администратора личи, че предлагането на стоки и услуги на такива субекти на данни е вторична дейност спрямо основните му дейности.

Изменение  41

Предложение за регламент

Съображение 65

Текст, предложен от Комисията

Изменение

(65) За да докаже съответствие с настоящия регламент, администраторът или обработващият лични данни следва да документира всяка операция по обработване. Всеки администратор и обработващ лични данни следва да бъде длъжен да си сътрудничи с надзорния орган и да му предоставя тази документация при поискване, за да може да бъде използвана за наблюдение на тези операции по обработване.

(65) За да може да докаже съответствие с настоящия регламент, администраторът или обработващият лични данни следва да поддържа необходимата документация с цел да изпълни изискванията, установени в настоящия регламент. Всеки администратор и обработващ лични данни следва да бъде длъжен да си сътрудничи с надзорния орган и да му предоставя тази документация при поискване, за да може да бъде използвана за оценка на съответствието с настоящия регламент. Следва обаче да се придаде равностойна тежест и значение на добрата практика, а не само на пълнотата на документацията.

Изменение  42

Предложение за регламент

Съображение 66

Текст, предложен от Комисията

Изменение

(66) С цел да се поддържа сигурността и да се предотврати обработване, което е в нарушение на настоящия регламент, администраторът или обработващият лични данни следва да извърши оценка на рисковете, свързани с обработването, и да предприеме мерки за намаляване на тези рискове. Тези мерки следва да гарантират подходящо ниво на сигурност, като се вземат предвид достиженията на техническия прогрес и разходите за тяхното внедряване, по отношение на рисковете и естеството на личните данни, които следва да бъдат защитени. При установяването на технически стандарти и организационни мерки с оглед гарантиране на сигурността на обработването Комисията следва да насърчава техническата неутралност, оперативната съвместимост и иновациите и, когато е целесъобразно, сътрудничеството с трети държави.

(66) С цел да се поддържа сигурността и да се предотврати обработване, което е в нарушение на настоящия регламент, администраторът или обработващият лични данни следва да извърши оценка на рисковете, свързани с обработването, и да предприеме мерки за намаляване на тези рискове. Тези мерки следва да гарантират подходящо ниво на сигурност, като се вземат предвид достиженията на техническия прогрес и разходите за тяхното внедряване, по отношение на рисковете и естеството на личните данни, които следва да бъдат защитени. При установяването на технически стандарти и организационни мерки с оглед гарантиране на сигурността на обработването следва да бъдат насърчавани техническата неутралност, оперативната съвместимост и иновациите и, когато е целесъобразно, следва да се насърчава сътрудничеството с трети държави.

Изменение  43

Предложение за регламент

Съображение 67

Текст, предложен от Комисията

Изменение

(67) Нарушението на защитата на данни може, ако не бъде овладяно по подходящ и навременен начин, да причини на засегнатото физическо лице значителни икономически загуби или социални вреди, включително измами с фалшива самоличност. Поради това, веднага след като администраторът установи наличието на такова нарушение на сигурността, той следва да уведоми за него надзорния орган без излишно забавяне и когато това е осъществимо, в срок от 24 часа. Когато уведомлението не е подадено в срок от 24 часа, то следва да бъде придружено от обяснение относно причините за забавянето. Физическите лица, за чиито лични данни подобни нарушения на сигурността могат да имат неблагоприятни последици, следва да бъдат уведомени без излишно забавяне с цел предприемане на необходимите предпазни мерки. Следва да се счита, че дадено нарушение на сигурността има неблагоприятни последици за личните данни или за неприкосновеността на личния живот на субекта на данните, ако то може да доведе например до кражба на самоличност или измама с фалшива самоличност, телесно увреждане, значително накърняване на достойнството или репутацията. В уведомлението следва да се посочва естеството на нарушението на сигурността на личните данни, както и да се дават препоръки на засегнатото лице за това как да ограничи потенциалните неблагоприятни последици. Субектите на данни следва да бъдат уведомявани веднага щом това е разумно осъществимо и в тясно сътрудничество с надзорния орган, като се спазват насоките, предоставени от него или от други релевантни органи (напр. правоприлагащи органи). Така например, възможността субектите на данните да ограничат непосредствения риск от вреди би наложила незабавното уведомяване на субектите на данните, докато необходимостта от предприемането на целесъобразни мерки срещу продължаването на нарушението на сигурността или срещу подобни нарушения на сигурността на лични данни би оправдало по-дълги срокове.

(67) Нарушението на защитата на данни може, ако не бъде овладяно по подходящ и навременен начин, да причини на засегнатото физическо лице значителни икономически загуби или социални вреди, включително измами с фалшива самоличност. Поради това, администраторът следва да уведоми за нарушението надзорния орган без излишно забавяне, което следва да се разбира като не по-късно от 72 часа. Когато е приложимо, то следва да бъде придружено от обяснение относно причините за забавянето. Физическите лица, за чиито лични данни подобни нарушения на сигурността могат да имат неблагоприятни последици, следва да бъдат уведомени без излишно забавяне с цел предприемане на необходимите предпазни мерки. Следва да се счита, че дадено нарушение на сигурността има неблагоприятни последици за личните данни или за неприкосновеността на личния живот на субекта на данните, ако то може да доведе например до кражба на самоличност или измама с фалшива самоличност, телесно увреждане, значително накърняване на достойнството или репутацията. В уведомлението следва да се посочва естеството на нарушението на сигурността на личните данни, както и да се дават препоръки на засегнатото лице за това как да ограничи потенциалните неблагоприятни последици. Субектите на данни следва да бъдат уведомявани веднага щом това е разумно осъществимо и в тясно сътрудничество с надзорния орган, като се спазват насоките, предоставени от него или от други релевантни органи (напр. правоприлагащи органи). Така например, възможността субектите на данните да ограничат непосредствения риск от вреди би наложила незабавното уведомяване на субектите на данните, докато необходимостта от предприемането на целесъобразни мерки срещу продължаването на нарушението на сигурността или срещу подобни нарушения на сигурността на лични данни би оправдало по-дълги срокове.

Изменение  44

Предложение за регламент

Съображение 71 a (ново)

Текст, предложен от Комисията

Изменение

 

(71a) Оценките на въздействието са основно ядро на всяка устойчива рамка за защита на данните, която създава увереност, че предприятията са запознати от самото начало с всички възможни последици от операциите по обработване на данни, осъществявани от тях. Ако оценките за въздействие са задълбочени, вероятността от каквото и да е нарушение на сигурността на данните или от операция, която нарушава неприкосновеността на личния живот, може да бъде ограничена съществено. Оценките за въздействие върху защитата на данните следва последователно да вземат предвид целия жизнен цикъл на управление на личните данни от събирането през обработването до заличаването, като се описват подробно предвидените операции по обработване, рисковете за правата и свободите на субектите на данни, предвидените мерки за справяне с рисковете, гаранциите, мерките за сигурност и механизмите за гарантиране на съответствие с разпоредбите.

Изменение  45

Предложение за регламент

Съображение 71 б (ново)

Текст, предложен от Комисията

Изменение

 

(71б) Администраторите следва да се съсредоточат върху защитата на личните данни през целия жизнен цикъл на данните от събирането през обработването до заличаването, като инвестират от самото начало в устойчива рамка за управление на данните и се придържат към нея с помощта на всеобхватен механизъм за съответствие.

Изменение  46

Предложение за регламент

Съображение 73

Текст, предложен от Комисията

Изменение

(73) Оценките за въздействието върху защитата на личните данни следва да се извършват от обществен орган или обществена структура, ако такава оценка вече не е направена в контекста на приемането на националния закон, на чието основание общественият орган или обществената структура изпълнява своите задачи и който урежда въпросната особена операция или набор от операции по обработване на данни.

заличава се

Изменение  47

Предложение за регламент

Съображение 74

Текст, предложен от Комисията

Изменение

(74) Когато оценката на въздействието върху защитата на данните показва, че операциите по обработване имат висока степен на конкретни рискове за правата и свободите на субектите на данни, като например изключване на физически лица от ползването на тяхно право или поради използването на специално нови технологии, надзорният орган следва да бъде консултиран, преди започването на операциите, относно рисково обработване, което може да не е в съответствие с настоящия регламент, и да направи предложения за коригиране на такава ситуация. Такива консултации могат да се извършват също и в хода на изготвянето на мярка от националния парламент или на мярка, основаваща се на такава законодателна мярка, в която се определя характерът на обработването и се установяват подходящи гаранции.

(74) Когато оценката на въздействието върху защитата на данните показва, че операциите по обработване имат висока степен на конкретни рискове за правата и свободите на субектите на данни, като например изключване на физически лица от ползването на тяхно право или поради използването на специално нови технологии, длъжностното лице по защита на данните или надзорният орган следва да бъде консултиран, преди започването на операциите, относно рисково обработване, което може да не е в съответствие с настоящия регламент, и да направи предложения за коригиране на такава ситуация. Консултации на надзорен орган могат да се извършват също и в хода на изготвянето на мярка от националния парламент или на мярка, основаваща се на такава законодателна мярка, в която се определя характерът на обработването и се установяват подходящи гаранции.

Изменение  48

Предложение за регламент

Съображение 74 a (ново)

Текст, предложен от Комисията

Изменение

 

(74a) Оценките на въздействието могат да бъдат от помощ само ако администраторите гарантират, че спазват установените първоначално в тях задължения. Поради това администраторите на данни следва да извършват периодични прегледи на съответствието на защитата на данните, като доказват, че въведените механизми за обработване съответстват на уверенията, дадени в оценката за въздействие върху защитата на данните. Също така следва да се докаже способността на администратора на данни да се съобразява със самостоятелните решения на субектите на данни. Освен това ако при прегледа се установят несъответствия при спазването, той следва да ги изтъкне и да представи препоръки за начина на постигане на пълно съответствие.

Изменение  49

Предложение за регламент

Съображение 75

Текст, предложен от Комисията

Изменение

(75) В случаите, когато обработването на данни се извършва в публичния сектор или когато в частния сектор обработването се извършва от голямо предприятие или когато основните му дейности, независимо от размера на предприятието, включват операции по обработване, които изискват редовно и систематично наблюдение, дадено лице следва да подпомага администратора или обработващия лични данни при наблюдението на вътрешното съответствие с настоящия регламент. Тези длъжностни лица по защита на данните, независимо от това дали са наети от администратора, следва да бъдат в състояние да изпълняват своите задължения и задачи независимо.

(75) В случаите, когато обработването на данни се извършва в публичния сектор или когато в частния сектор обработването е свързано с повече от 5000 субекти на данни в рамките на 12 месеца или когато основните му дейности, независимо от размера на предприятието, включват операции по обработване на чувствителни данни, или операции по обработване, които изискват редовно и систематично наблюдение, дадено лице следва да подпомага администратора или обработващия лични данни при наблюдението на вътрешното съответствие с настоящия регламент. Когато се установява дали се обработват данни за голям брой субекти на данни, не следва да се вземат под внимание архивираните данни, които са ограничени по такъв начин, че не са обект на нормален достъп до данни и операции по обработване от страна на администратора и вече не могат да бъдат променяни. Тези длъжностни лица по защита на данните, независимо от това дали са наети от администратора и дали изпълняват задачите си на пълно работно време, следва да бъдат в състояние да изпълняват своите задължения и задачи независимо, и да се ползват със специална защита срещу уволнение. Крайната отговорност следва да се носи от ръководството на организацията. Следва да се проведе консултация, по-специално с длъжностното лице по защита на данните, преди проектирането, доставката, разработването и създаването на системите за автоматизирана обработка на лични данни, за да се гарантират принципите за неприкосновеност на личния живот при проектирането и по подразбиране.

Изменение  50

Предложение за регламент

Съображение 75 a (ново)

Текст, предложен от Комисията

Изменение

 

(75a) Длъжностното лице по защита на данните следва да притежава най-малко на следната квалификация: обширни познания за същността и прилагането на закона за защита на данните, включително техническите и организационните мерки и процедури; владеене на техническите изисквания за неприкосновеност на личния живот още при проектирането, неприкосновеност по подразбиране и сигурност на данните; специфични за сектора познания, съответстващи на мащаба на администратора или обработващия личните данни и на чувствителността на обработваните данни; способност за извършване на проверки, консултации, документация и анализ на файлове с регистри; и умение за работа с представителството на служителите. Администраторът следва да дава възможност на длъжностното лице по защита на данните да участва в обучения на високо ниво за поддържане на специализираните знания, необходими за изпълняване на неговите задължения. Определянето на длъжностно лице по защита на данните не налага задължително заетост на пълно работно време.

Изменение  51

Предложение за регламент

Съображение 76

Текст, предложен от Комисията

Изменение

(76) Сдруженията или други структури, представляващи категории администратори, следва да се насърчават да изготвят кодекси за поведение в рамките на настоящия регламент, за да се улесни ефективното прилагане на настоящия регламент, като се вземе предвид спецификата на обработването на данни в определени сектори.

(76) Сдруженията или други структури, представляващи категории администратори, следва да се насърчават, след консултация с представителния орган на работниците и служителите, да изготвят кодекси за поведение, в рамките на настоящия регламент, за да се улесни ефективното прилагане на настоящия регламент, като се вземе предвид спецификата на обработването на данни в определени сектори. Подобни кодекси следва да улеснят спазването на настоящия регламент от страна на отраслите.

Изменение  52

Предложение за регламент

Съображение 77

Текст, предложен от Комисията

Изменение

(77) За да се повишат прозрачността и съответствието с настоящия регламент, следва да се насърчава създаването на механизми за сертифициране, както и на печати и маркировки за защита на данните, които позволяват на субектите на данни бързо да оценяват нивото на защита на данните на съответните продукти и услуги.

(77) За да се повишат прозрачността и съответствието с настоящия регламент, следва да се насърчава създаването на механизми за сертифициране, както и на печати и стандартизирани маркировки за защита на данните, които позволяват на субектите на данни бързо, надеждно и контролируемо да оценяват нивото на защита на данните на съответните продукти и услуги. Европейският печат за защита на данните следва да бъде установен на европейско равнище, за да създава доверие сред субектите на данни, правна сигурност за администраторите и същевременно да изнася европейските стандарти за защита на данните, като позволява на дружества извън ЕС да навлизат по-лесно на европейските пазари чрез сертифициране.

Изменение  53

Предложение за регламент

Съображение 79

Текст, предложен от Комисията

Изменение

(79) Настоящият регламент не засяга разпоредбите на международните споразумения, сключени между Съюза и трети държави, с които се урежда предаването на лични данни, включително подходящите гаранции за субектите на данни.

(79) Настоящият регламент не засяга разпоредбите на международните споразумения, сключени между Съюза и трети държави, с които се урежда предаването на лични данни, включително подходящите гаранции за субектите на данни, осигуряващи подходящо ниво на защита на основните права на гражданите.

Изменение  54

Предложение за регламент

Съображение 80

Текст, предложен от Комисията

Изменение

(80) Комисията може да реши, с действие по отношение на целия Съюз, че определени трети държави или територия или обработващ данни сектор в трета държава, или международна организация предоставят адекватно ниво на защита на данните, с което се осигуряват правна сигурност и еднообразие навсякъде в Съюза по отношение на третите държави или международни организации, за които се смята, че предоставят такова ниво на защита. В тези случаи предаването на лични данни на тези държави може да се извършва, без да е необходимо допълнително разрешение.

(80) Комисията може да реши, с действие по отношение на целия Съюз, че определени трети държави или територия или обработващ данни сектор в трета държава, или международна организация предоставят адекватно ниво на защита на данните, с което се осигуряват правна сигурност и еднообразие навсякъде в Съюза по отношение на третите държави или международни организации, за които се смята, че предоставят такова ниво на защита. Комисията може също така да реши да отмени такова решение, след като е отправила предизвестие и е предоставила пълна обосновка на третата държава.

Изменение  55

Предложение за регламент

Съображение 82

Текст, предложен от Комисията

Изменение

(82) Комисията може по същия начин да приеме, че дадена трета държава или територия или обработващ данни сектор в трета държава, или дадена международна организация не предоставя адекватно ниво на защита на данните. В резултат на това предаването на лични данни на тази трета държава следва да бъде забранено. В такъв случай следва да се предвиди провеждането на консултации между Комисията и такива трети държави или международни организации.

(82) Комисията може по същия начин да приеме, че дадена трета държава или територия или обработващ данни сектор в трета държава, или дадена международна организация не предоставя адекватно ниво на защита на данните. Всяко законодателство, което предвижда извънтериториален достъп до лични данни, обработвани в Съюза без разрешение по силата на правото на Съюза или на държавата членка, следва да се счита за признак на липса на съответствие. В резултат на това предаването на лични данни на тази трета държава следва да бъде забранено. В такъв случай следва да се предвиди провеждането на консултации между Комисията и такива трети държави или международни организации.

Изменение  56

Предложение за регламент

Съображение 83

Текст, предложен от Комисията

Изменение

(83) При липсата на решение относно адекватността администраторът или обработващият лични данни следва да предприеме мерки, за да компенсира липсата на защита в дадена трета държава чрез подходящи гаранции за субекта на данните. Такива подходящи гаранции може да се състоят от използването на задължителни фирмени правила, стандартни клаузи за защита на данните, приети от Комисията, стандартни клаузи за защита на данните, приети от надзорния орган или договорни клаузи, разрешени от надзорния орган, или други уместни и пропорционални мерки, оправдани с оглед на всички обстоятелства около дадена операция по предаване на данни или даден набор от операции по предаване на данни и когато са разрешени от надзорен орган.

(83) При липсата на решение относно адекватността администраторът или обработващият лични данни следва да предприеме мерки, за да компенсира липсата на защита в дадена трета държава чрез подходящи гаранции за субекта на данните. Такива подходящи гаранции може да се състоят от използването на задължителни фирмени правила, стандартни клаузи за защита на данните, приети от Комисията, стандартни клаузи за защита на данните, приети от надзорния орган или договорни клаузи, разрешени от надзорния орган. Тези подходящи гаранции следва да насърчават подходящо спазване на правата на субектите на данни при обработването в рамките на ЕС, по-специално във връзка с принципа на ограничаване до предвидената цел, правото на достъп, коригиране, заличаване и иск за обезщетение. Посочените гаранции следва по-конкретно да осигуряват спазването на принципите за обработване на лични данни, да защитават правата на субекта на данни и да предоставят ефективни механизми за правна защита, да осигуряват зачитането на принципите за обработване на данните още при проектирането и по подразбиране, да гарантират наличието на длъжностното лице по защита на данните.

Изменение  57

Предложение за регламент

Съображение 84

Текст, предложен от Комисията

Изменение

(84) Възможността администраторът или обработващият лични данни да използва стандартни клаузи за защита на данните, приети от Комисията или от надзорен орган, не следва да възпрепятства администраторите или обработващите лични данни да включат стандартни клаузи за защита на данните в договор с по-голям обхват, нито да добавят други клаузи, доколкото същите не противоречат пряко или косвено на стандартните договорни клаузи, приети от Комисията или от надзорен орган, нито засягат основните права или свободи на субектите на данни.

(84) Възможността администраторът или обработващият лични данни да използва стандартни клаузи за защита на данните, приети от Комисията или от надзорен орган, не следва да възпрепятства администраторите или обработващите лични данни да включат стандартни клаузи за защита на данните в договор с по-голям обхват, нито да добавят други клаузи или допълнителни гаранции доколкото същите не противоречат пряко или косвено на стандартните договорни клаузи, приети от надзорен орган, нито засягат основните права или свободи на субектите на данни. Стандартните клауза за защита на данните, приети от Комисията, биха могли да обхващат различни ситуации, по-конкретно предаване на лични данни от администратори, установени в Европейския съюз към администратори, установени извън Европейския съюз и от администратори, установени в Европейския съюз към обработващи лични данни, включително подизпълнители, обработващи лични данни, установени извън Европейския съюз. Администраторите и обработващите лични данни следва да бъдат насърчавани да предоставят още по-стабилни гаранции чрез допълнителни договорни ангажименти, които допълват стандартните клаузи за защита.

Изменение  58

Предложение за регламент

Съображение 85

Текст, предложен от Комисията

Изменение

(85) Дадена корпоративна група следва да може да използва одобрени задължителни фирмени правила за своите международни предавания на данни от Съюза до организации в същата корпоративна група предприятия, доколкото такива фирмени правила включват основни принципи и противопоставими права, за да се осигурят подходящи гаранции за предаването или категориите предавания на лични данни.

(85) Дадена корпоративна група следва да може да използва одобрени задължителни фирмени правила за своите международни предавания на данни от Съюза до организации в същата корпоративна група предприятия, доколкото такива фирмени правила включват всички основни принципи и противопоставими права, за да се осигурят подходящи гаранции за предаването или категориите предавания на лични данни.

Изменение  59

Предложение за регламент

Съображение 86

Текст, предложен от Комисията

Изменение

(86) Следва да се предвиди възможността да се предават данни при определени обстоятелства, когато субектът на данните е дал съгласието си, когато предаването е необходимо във връзка с договор или правна претенция, когато това се налага поради важно основание от обществен интерес, предвидено в правото на Съюза или на държава членка, или когато предаването се извършва от регистрационна система, създадена със закон и предназначена за справки от обществеността или от лица, които имат законен интерес. В този случай предаването не следва да включва всички данни или всички категории от данни, съдържащи се в регистрационната система, а когато регистрационната система е предназначена за справка от лица, които имат законен интерес, предаването следва да се извършва единствено по искане на тези лица или ако те са получателите.

(86) Следва да се предвиди възможността да се предават данни при определени обстоятелства, когато субектът на данните е дал съгласието си, когато предаването е необходимо във връзка с договор или правна претенция, когато това се налага поради важно основание от обществен интерес, предвидено в правото на Съюза или на държава членка, или когато предаването се извършва от регистрационна система, създадена със закон и предназначена за справки от обществеността или от лица, които имат законен интерес. В този случай предаването не следва да включва всички данни или всички категории от данни, съдържащи се в регистрационната система, а когато регистрационната система е предназначена за справка от лица, които имат законен интерес, предаването следва да се извършва единствено по искане на тези лица или ако те са получателите, като се вземат изцяло под внимание интересите и основните права на субекта на данните.

Изменение  60

Предложение за регламент

Съображение 87

Текст, предложен от Комисията

Изменение

(87) Тези дерогации следва да се прилагат по-специално за предаването на данни, което се изисква и е необходимо за защитата на важно основание от обществен интерес, например при международно предаване на данни между органи по защита на конкуренцията, данъчни или митнически власти, органи за финансов надзор, между служби по социална сигурност или на компетентни органи по предотвратяването, разследването, разкриването и наказателното преследване на престъпления.

(87) Тези дерогации следва да се прилагат по-специално за предаването на данни, което се изисква и е необходимо за защитата на важно основание от обществен интерес, например при международно предаване на данни между органи по защита на конкуренцията, данъчни или митнически власти, органи за финансов надзор, между служби, компетентни по въпросите на социалната сигурност или общественото здраве, или на компетентни публични органи по предотвратяването, разследването, разкриването и наказателното преследване на престъпления, включително предотвратяването на изпирането на пари и борбата срещу финансирането на тероризма. Предаването на лични данни следва също да се разглежда като законосъобразно, когато е необходимо за защитата на жизненоважни интереси на субекта на данни или друго лице, ако субектът на данните не е в състояние да даде съгласие. Предаването на лични данни за такова важно основание от обществен интерес следва да се използва само в отделни случаи. Във всеки един случай следва да се извършва внимателна оценка на всички обстоятелства по предаването на данни.

Изменение  61

Предложение за регламент

Съображение 88

Текст, предложен от Комисията

Изменение

(88) Предаване на данни, което не може да се окачестви като често или масово, също може да бъде възможно за целите на законните интереси на администратора или обработващия данни, когато са оценени всички обстоятелства около предаването на данните. За целите на обработването на данни за исторически, статистически и научноизследователски цели следва да се вземат предвид основателните очаквания на обществото за повишаване на познанието.

За целите на обработването на данни за исторически, статистически и научноизследователски цели следва да се вземат предвид основателните очаквания на обществото за повишаване на познанието.

Изменение  62

Предложение за регламент

Съображение 89

Текст, предложен от Комисията

Изменение

(89) Във всеки случай, когато Комисията не е взела решение относно адекватното ниво на защита в дадена трета държава, администраторът или обработващият данни следва да използва решения, които гарантират на субектите на данни, че ще продължат да се ползват от основните права и гаранциите по отношение на обработването на техните данни в Съюза след предаването на тези данни.

(89) Във всеки случай, когато Комисията не е взела решение относно адекватното ниво на защита в дадена трета държава, администраторът или обработващият данни следва да използва решения, които съдържат правнообвързващи гаранции за субектите на данни, че ще продължат да се ползват от основните права и гаранциите по отношение на обработването на техните данни в Съюза след предаването на тези данни, дотолкова доколкото обработването не е масово, повтарящо се и структурно. Тази гаранция следва да включва финансово обезщетение в случай на загуба или неразрешен достъп или обработване на данните и задължение, независимо от националното законодателство, за предоставяне на пълни подробности за достъпа до данните от страна на държавните органи в третата държава.

Изменение  63

Предложение за регламент

Съображение 90

Текст, предложен от Комисията

Изменение

(90) Някои трети държави прилагат закони, подзаконови актове и други законодателни инструменти, които имат за цел пряко да регулират дейностите по обработване на данни на физически и юридически лица под юрисдикцията на държавите членки. Извънтериториалното прилагане на тези закони, подзаконови актове и други законодателни инструменти може да бъде в нарушение на международното право и да възпрепятства осигуряването на защитата на физическите лица, гарантирана в Съюза с настоящия регламент. Предаванията на данни следва да са разрешени само когато са изпълнени условията на настоящия регламент относно предаването на данни на трети държави. Това може, наред с другото, да бъде случаят, когато разкриването е необходимо поради важно основание от обществен интерес, признато в правото на Съюза или на държава членка, на което е подчинен администраторът. Условията, при които е налице важно основание от обществен интерес следва да бъдат допълнително посочени в делегиран акт на Комисията.

(90) Някои трети държави прилагат закони, подзаконови актове и други законодателни инструменти, които имат за цел пряко да регулират дейностите по обработване на данни на физически и юридически лица под юрисдикцията на държавите членки. Извънтериториалното прилагане на тези закони, подзаконови актове и други законодателни инструменти може да бъде в нарушение на международното право и да възпрепятства осигуряването на защитата на физическите лица, гарантирана в Съюза с настоящия регламент. Предаванията на данни следва да са разрешени само когато са изпълнени условията на настоящия регламент относно предаването на данни на трети държави. Това може, наред с другото, да бъде случаят, когато разкриването е необходимо поради важно основание от обществен интерес, признато в правото на Съюза или на държава членка, на което е подчинен администраторът. Условията, при които е налице важно основание от обществен интерес следва да бъдат допълнително посочени в делегиран акт на Комисията. В случаите, когато администраторите или обработващите лични данни са изправени пред стълкновителни изисквания за съответствие между юрисдикцията на Съюза, от една страна, и тази на трета държава, от друга, Комисията следва да гарантира, че правото на Съюза винаги има предимство. Комисията следва да предоставя насоки и помощ на администратора и обработващия лични данни и следва да се стреми да разреши правния спор с въпросната трета държава.

Изменение  64

Предложение за регламент

Съображение 92

Текст, предложен от Комисията

Изменение

(92) Създаването в държавите членки на надзорни органи, които изпълняват функциите си при пълна независимост, е съществен елемент от защитата на физическите лица във връзка с обработването на личните им данни. Държавите членки могат да създават повече от един надзорен орган, за да бъде отразена тяхната конституционна, организационна и административна структура.

(92) Създаването в държавите членки на надзорни органи, които изпълняват функциите си при пълна независимост, е съществен елемент от защитата на физическите лица във връзка с обработването на личните им данни. Държавите членки могат да създават повече от един надзорен орган, за да бъде отразена тяхната конституционна, организационна и административна структура. Органът следва да разполага с подходящи финансови и човешки ресурси, за да изпълнява пълноценно своята роля, като се взема предвид броят на населението и размерът на обработваните лични данни.

Изменение  65

Предложение за регламент

Съображение 94

Текст, предложен от Комисията

Изменение

(94) Всеки надзорен орган следва да получи адекватни финансови и човешки ресурси, помещения и инфраструктура, необходими за ефективното изпълнение на неговите задачи, включително задачите, свързани с взаимопомощ и сътрудничество с други надзорни органи навсякъде в Съюза.

(94) Всеки надзорен орган следва да получи адекватни финансови и човешки ресурси, като се обръща специално внимание на гарантирането на съответните технически и правни умения на служителите, помещения и инфраструктура, необходими за ефективното изпълнение на неговите задачи, включително задачите, свързани с взаимопомощ и сътрудничество с други надзорни органи навсякъде в Съюза.

Изменение  66

Предложение за регламент

Съображение 95

Текст, предложен от Комисията

Изменение

(95) Общите условия за членовете на надзорния орган следва да бъдат определени със закон във всяка държава членка и да предвиждат, по-специално, че тези членове следва да се назначават от парламента или от правителството на държавата членка, и да включват правила за личната квалификация и длъжността на тези членове.

(95) Общите условия за членовете на надзорния орган следва да бъдат определени със закон във всяка държава членка и да предвиждат, по-специално, че тези членове следва да се назначават от парламента или от правителството на държавата членка, като се вземат нужните мерки за свеждане до минимум на възможността за политическа намеса, и да включват правила за личната квалификация, избягването на конфликт на интереси и длъжността на тези членове.

Изменение  67

Предложение за регламент

Съображение 97

Текст, предложен от Комисията

Изменение

(97) Когато обработването на лични данни в контекста на дейностите на място на установяване на администратор или обработващ лични данни в Съюза се извършва в повече от една държава членка, един-единствен надзорен орган следва да бъде компетентен за наблюдението на дейностите на администратора или обработващия лични данни навсякъде в Съюза и за вземането на съответните решения, за да се подобри съгласуваното прилагане, да се гарантира правна сигурност и да се намали административната тежест за тези администратори и обработващи лични данни.

(97) Когато обработването на лични данни в контекста на дейностите на място на установяване на даден администратор или обработващ лични данни в Съюза се извършва в повече от една държава членка, един-единствен надзорен орган следва да изпълнява функцията на единно звено за контакт и на водещ орган, компетентен да осъществява надзор над администратора или обработващия лични данни навсякъде в Съюза и за вземането на съответните решения, за да се подобри съгласуваното прилагане, да се осигури правна сигурност и да се намали административната тежест за тези администратори и обработващи лични данни.

Изменение  68

Предложение за регламент

Съображение 98

Текст, предложен от Комисията

Изменение

(98) Компетентният орган, който осигурява такова „обслужване на едно гише“, следва да бъде надзорният орган на държавата членка, в която се намира основното място на установяване на администратора или на обработващия лични данни.

(98) Водещият орган, който осигурява такова „обслужване на едно гише“, следва да бъде надзорният орган на държавата членка, в която се намира основното място на установяване на администратора или на обработващия лични данни, или на негов представител. Европейският комитет по защита на данните може в определени случаи да определи чрез механизма за съгласуваност водещия орган по искане на компетентен орган.

Изменение  69

Предложение за регламент

Съображение 98 a (ново)

Текст, предложен от Комисията

Изменение

 

(98a) Субект на данни, чиито лични данни се обработват от администратор или обработващ данни в друга държава членка, следва да има възможност да подаде жалба до надзорен орган по негов избор. Водещият орган по защита на данни следва да координира работата си с тази на другите участващи органи.

Изменение  70

Предложение за регламент

Съображение 101

Текст, предложен от Комисията

Изменение

(101) Всеки надзорен орган следва да разглежда жалбите, подадени от субект на данни, и да извършва разследване по въпроса. Разследването въз основа на жалби следва да се извършва под съдебен контрол и в целесъобразна за конкретния случай степен. Надзорният орган следва да информира субекта на данните за напредъка и резултата от жалбата в разумен срок. Ако случаят изисква допълнително разследване или координиране с друг надзорен орган, на субекта на данните следва да бъде предоставена междинна информация.

(101) Всеки надзорен орган следва да разглежда жалбите, подадени от субект на данни или от сдружение, което действа в обществен интерес, и да извършва разследване по въпроса. Разследването въз основа на жалби следва да се извършва под съдебен контрол и в целесъобразна за конкретния случай степен. Надзорният орган следва да информира субекта на данните или сдружението за напредъка и резултата от жалбата в разумен срок. Ако случаят изисква допълнително разследване или координиране с друг надзорен орган, на субекта на данните следва да бъде предоставена междинна информация.

Изменение  71

Предложение за регламент

Съображение 105

Текст, предложен от Комисията

Изменение

(105) За да се гарантира съгласуваното прилагане на настоящия регламент навсякъде в Съюза, следва да се създаде механизъм за съгласуваност за осъществяване на сътрудничество между самите надзорни органи и между тях и Комисията. Този механизъм следва по-специално да се прилага, когато даден надзорен орган възнамерява да приеме мярка по отношение на операциите по обработване на данни, които са свързани с предлагането на стоки или услуги на субекти на данни в няколко държави членки или с наблюдението на поведението на такива субекти на данни, или които биха могли съществено да засегнат свободното движение на лични данни. Той следва да се прилага също така, когато даден надзорен орган или Комисията поиска въпросът да бъде разгледан чрез механизма за съгласуваност. Механизмът следва да действа, без да се засягат мерките, които Комисията може да предприеме в изпълнение на своите правомощия съгласно Договорите.

(105) За да се гарантира съгласуваното прилагане на настоящия регламент навсякъде в Съюза, следва да се създаде механизъм за съгласуваност за осъществяване на сътрудничество между самите надзорни органи и между тях и Комисията. Този механизъм следва по-специално да се прилага, когато даден надзорен орган възнамерява да приеме мярка по отношение на операциите по обработване на данни, които са свързани с предлагането на стоки или услуги на субекти на данни в няколко държави членки или с наблюдението на поведението на такива субекти на данни, или които биха могли съществено да засегнат свободното движение на лични данни. Той следва да се прилага също така, когато даден надзорен орган или Комисията поиска въпросът да бъде разгледан чрез механизма за съгласуваност. Освен това субектите на данните следва да имат право да постигнат съгласуваност, ако считат, че дадена мярка на орган по защита на данните на определена държава членка не изпълнява този критерий. Механизмът следва да действа, без да се засягат мерките, които Комисията може да предприеме в изпълнение на своите правомощия съгласно Договорите.

Изменение               72

Предложение за регламент

Съображение 106 a (ново)

Текст, предложен от Комисията

Изменение

 

(106a) С цел да се гарантира последователното прилагане на този регламент, Европейският комитет по защита на данните може в отделни случаи да приеме обвързващо за компетентните надзорни органи решение.

Изменение  73

Предложение за регламент

Съображение 107

Текст, предложен от Комисията

Изменение

(107) С цел да се гарантира спазването на настоящия регламент, Комисията може да приеме становище по този въпрос или решение, в което се изисква от надзорния орган да преустанови своята проектомярка.

заличава се

Изменение  74

Предложение за регламент

Съображение 110

Текст, предложен от Комисията

Изменение

(110) На равнището на Съюза следва да се създаде Европейски комитет по защита на данните. Той следва да замени Работната група за защита на лицата при обработването на лични данни, създадена с Директива 95/46/ЕО. Той следва да е съставен от ръководителя на един надзорен орган на всяка държава членка и на Европейския надзорен орган по защита на данните. Комисията следва да участва в неговите дейности. Европейският комитет по защита на данните следва да допринася за съгласуваното прилагане на настоящия регламент навсякъде в Съюза, включително като съветва Комисията и насърчава сътрудничеството на надзорните органи в Съюза. Европейският комитет по защита на данните следва да действа независимо при изпълнението на задачите си.

(110) На равнището на Съюза следва да се създаде Европейски комитет по защита на данните. Той следва да замени Работната група за защита на лицата при обработването на лични данни, създадена с Директива 95/46/ЕО. Той следва да е съставен от ръководителя на един надзорен орган на всяка държава членка и на Европейския надзорен орган по защита на данните. Европейският комитет по защита на данните следва да допринася за съгласуваното прилагане на настоящия регламент навсякъде в Съюза, включително като съветва институциите на Съюза и насърчава сътрудничеството на надзорните органи в Съюза, включително координирането на съвместни операции. Европейският комитет по защита на данните следва да действа независимо при изпълнението на задачите си. Европейският комитет по защита на данните следва да засили диалога със засегнатите заинтересовани страни като сдружения на субекти на данни, организации на потребители, администратори на лични данни и други компетентни заинтересовани страни и експерти.

Изменение  75

Предложение за регламент

Съображение 111

Текст, предложен от Комисията

Изменение

(111) Всеки субект на данни следва да има право да подаде жалба до надзорен орган във всяка държава членка, както и право на средства за съдебна защита, ако счита, че правата му по настоящия регламент са нарушени или когато надзорният орган не предприеме действия по подадена жалба или не предприеме действия, когато такива са необходими, за да се защитят правата на субекта на данни.

(111) Субектите на данни следва да имат право да подадат жалба до надзорен орган във всяка държава членка, както и право на ефективни средства за съдебна защита в съответствие с член 47 от Хартата на основните права, ако считат, че правата им по настоящия регламент са нарушени или когато надзорният орган не предприеме действия по подадена жалба или не предприеме действия, когато такива са необходими, за да се защитят правата на субекта на данни.

Изменение  76

Предложение за регламент

Съображение 112

Текст, предложен от Комисията

Изменение

(112) Всяка структура, организация или сдружение, учредено съгласно правото на държава членка и чиято цел е да защитава правата и интересите на субектите на данни по отношение на защитата на техните данни, следва да има право да подава жалби до надзорен орган или да упражнява правото на средства за съдебна защита от името на субектите на данни или да подава жалби от свое име, независимо от жалбата на даден субект на данни, когато счита, че е извършено нарушение на сигурността на личните данни.

(112) Всяка структура, организация или сдружение, което действа в обществен интерес и е учредено съгласно правото на държава членка, следва да има право да подава жалби до надзорен орган от името на субекта на данни с негово съгласие или да упражнява правото на средства за съдебна защита, ако е упълномощен от субекта на данни или да подава жалби от свое име, независимо от жалбата на даден субект на данни, когато счита, че е извършено нарушение на настоящия регламент.

Изменение 77

Предложение за регламент

Съображение 114

Текст, предложен от Комисията

Изменение

(114) С цел да се укрепи съдебната защита на субекта на данни в ситуации, когато компетентният надзорен орган е установен в държава членка, различна от държавата членка по местоживеене на субекта на данни, субектът на данни може да поиска от всяка структура, организация или сдружение, чиято цел е да защитава правата и интересите на субектите на данни по отношение на защитата на техните данни, да заведе дело от негово име срещу този надзорен орган пред компетентния съд в другата държава членка.

 

(114) С цел да се укрепи съдебната защита на субекта на данни в ситуации, когато компетентният надзорен орган е установен в държава членка, различна от държавата членка по местоживеене на субекта на данни, субектът на данни може да упълномощи всяка структура, организация или сдружение, действащи в обществен интерес, да заведе дело срещу този надзорен орган пред компетентния съд в другата държава членка.

Изменение  78

Предложение за регламент

Съображение 115

Текст, предложен от Комисията

Изменение

(115) В ситуации, в които компетентният надзорен орган, установен в друга държава членка, не предприема действия по дадена жалба или не предприема достатъчни мерки по нея, субектът на данни може да поиска от надзорния орган в неговата държава членка по местоживеене да заведе дело срещу другия надзорен орган пред компетентния съд в другата държава членка. Надзорният орган, към който е отправено такова искане, може да реши, след като го подложи на съдебен контрол, дали е целесъобразно да изпълни искането или не.

(115) В ситуации, в които компетентният надзорен орган, установен в друга държава членка, не предприема действия по дадена жалба или не предприема достатъчни мерки по нея, субектът на данни може да поиска от надзорния орган в неговата държава членка по местоживеене да заведе дело срещу другия надзорен орган пред компетентния съд в другата държава членка. Горното не се прилага по отношение на лица, пребиваващи извън ЕС. Надзорният орган, към който е отправено такова искане, може да реши, след като го подложи на съдебен контрол, дали е целесъобразно да изпълни искането или не.

Изменение 79

Предложение за регламент

Съображение 116

Текст, предложен от Комисията

Изменение

(116) При производства срещу администратор или обработващ лични данни ищецът следва да има избор да заведе дело пред съдилищата на държавите членки, в които администраторът или обработващият лични данни е установен, или където пребивава субектът на данни, освен ако администраторът не е публичен орган, който действа в изпълнение на своите публични правомощия.

(116) При производства срещу администратор или обработващ данни ищецът следва да има избор да заведе дело пред съдилищата на държавите членки, в които администраторът или обработващият данни е установен, или, ако местопребиваването е установено в ЕС, където пребивава субектът на данни, освен ако администраторът не е публичен орган на Съюза или на държава членка, който действа в изпълнение на своите публични правомощия.

Изменение  80

Предложение за регламент

Съображение 118

Текст, предложен от Комисията

Изменение

(118) Всички вреди, които дадено лице може да претърпи в резултат на неправомерно обработване на данни, следва да бъдат обезщетени от администратора или обработващия лични данни, който може да бъде освободен от отговорност, ако докаже, че не е отговорен за вредите, и по-специално когато установи вина от страна на субекта на данни или в случай на непреодолима сила.

(118) Всички вреди, независимо дали те са имуществени или не, които дадено лице може да претърпи в резултат на неправомерно обработване на данни, следва да бъдат обезщетени от администратора или обработващия лични данни, който може да бъде освободен от отговорност само ако докаже, че не е отговорен за вредите, и по-специално когато установи вина от страна на субекта на данни или в случай на непреодолима сила.

Изменение  81

Предложение за регламент

Съображение 119

Текст, предложен от Комисията

Изменение

(119) На всяко физическо или юридическо лице, което не спазва настоящия регламент, следва да се налагат санкции, независимо дали то е субект на частното или публичното право. Държавите членки следва да гарантират, че санкциите са ефективни, съразмерни и възпиращи и следва да предприемат всички мерки за тяхното изпълнение.

(119) На всяко физическо или юридическо лице, което не спазва настоящия регламент, следва да се налагат санкции, независимо дали то е субект на частното или публичното право. Държавите членки следва да гарантират, че санкциите са ефективни, съразмерни и възпиращи и следва да предприемат всички мерки за тяхното изпълнение. Правилата относно определянето на санкциите следва да се подчиняват на подходящи процесуални гаранции в съответствие с общите принципи на правото на Съюза и на Хартата на основните права, включително гарантирането на ефективни правни средства за защита, правото на справедлив съдебен процес и зачитане на принципа ne bis in idem.

Изменение  82

Предложение за регламент

Съображение 119 a (ново)

Текст, предложен от Комисията

Изменение

 

(119a) При прилагането на санкции, държавите членки следва да демонстрират цялостно зачитане на съответните процесуални гаранции, включително правото на ефективни правни средства за защита, на справедлив съдебен процес и зачитане на принципа ne bis in idem.

Изменение  83

Предложение за регламент

Съображение 121

Текст, предложен от Комисията

Изменение

(121) Обработването на лични данни единствено за журналистически цели или за литературно или художествено изразяване следва да отговаря на условията за освобождаване от изискванията на някои разпоредби на настоящия регламент, за да се съгласува правото на защита на личните данни с правото на свобода на изразяване, и най-вече с правото на всяко лице да получава и предава информация, както е гарантирано по-специално в член 11 от Хартата на основните права на Европейския съюз. Това следва да се прилага по-специално по отношение на обработването на лични данни в аудиовизуалната област и в новинарските архиви и библиотеките с печатни издания. Поради това държавите членки следва да приемат законодателни мерки, с които да определят изключенията и дерогациите, необходими за постигането на равновесие между тези основни права. Държавите членки следва да приемат такива изключения и дерогации относно общите принципи, относно правата на субекта на данните, относно администратора и обработващия данни, относно предаването на данни на трети държави или международни организации, относно независимостта на надзорните органи и относно сътрудничеството и съгласуваността. Това обаче не следва да води до установяване от страна на държавите членки на изключения от другите разпоредби на настоящия регламент. За да се отчете значението на правото на свобода на изразяване във всяко демократично общество, е необходимо свързаните с тази свобода понятия, като журналистиката например, да се тълкуват широко. Поради това за целите на изключенията и дерогациите, установени по силата на настоящия регламент, държавите членки следва да определят като „журналистически“ дейностите, чийто предмет е разкриването пред обществеността на информация, мнения или идеи, независимо от средството за тяхното предаване. Тези дейности не следва да бъдат ограничени до медийни предприятия и могат да бъдат осъществявани с възмездна или безвъзмездна цел.

(121) Винаги, когато е необходимо, следва да се предвидят освобождаване или дерогации от изискванията на някои разпоредби на настоящия регламент по отношение на обработването на лични данни, за да се съгласува правото на защита на личните данни с правото на свобода на изразяване, и най-вече с правото на всяко лице да получава и предава информация, както е гарантирано по-специално в член 11 от Хартата на основните права на Европейския съюз. Поради това държавите членки следва да приемат законодателни мерки, с които да определят изключенията и дерогациите, необходими за постигането на равновесие между тези основни права. Държавите членки следва да приемат такива изключения и дерогации относно общите принципи, относно правата на субекта на данните, относно администратора и обработващия данни, относно предаването на данни на трети държави или международни организации, относно независимостта на надзорните органи, относно сътрудничеството и съгласуваността и относно особените ситуации на обработване на данни. Това обаче не следва да води до установяване от страна на държавите членки на изключения от другите разпоредби на настоящия регламент. За да се отчете значението на правото на свобода на изразяване във всяко демократично общество, е необходимо свързаните с тази свобода понятия да се тълкуват широко, за да обхванат всички дейности, които имат за цел разкриването пред обществеността на информация, мнения или идеи, независимо от средството за тяхното предаване, като се вземе предвид също така технологичното развитие. Тези дейности не следва да бъдат ограничени до медийни предприятия и могат да бъдат осъществявани с възмездна или безвъзмездна цел.

Изменение  84

Предложение за регламент

Съображение 122 a (ново)

Текст, предложен от Комисията

Изменение

 

(122a) Специалист, който обработва лични данни, засягащи здравето, следва да получи, ако това е възможно, анонимни данни или данни под псевдоним, като информацията за идентичността се остави само на общопрактикуващия лекар или на специалиста, който е поискал обработката на тези данни.

Изменение  85

Предложение за регламент

Съображение 123

Текст, предложен от Комисията

Изменение

(123) Обработването на лични данни за здравословното състояние може да е необходимо по причини от обществен интерес в областта на общественото здраве без съгласието на субекта на данните. В този контекст понятието „обществено здраве“ следва да се тълкува по смисъла на Регламент (ЕО) № 1338/2008 на Европейския парламент и на Съвета от 16 декември 2008 г. относно статистиката на Общността в областта на общественото здраве и здравословните и безопасни условия на труд и означава всички елементи, свързани със здравето, а именно здравно състояние, заболеваемост и инвалидност, решаващи фактори, които оказват влияние върху това здравно състояние, нужди на здравното обслужване, средства, отделени за здравно обслужване, предоставяне на здравни грижи и всеобщ достъп до тях, разходи и финансиране на здравното обслужване, както и причини за смъртност. Такова обработване на лични данни за здравословното състояние по причини от обществен интерес не следва да води до обработването на лични данни за други цели от трети страни като работодатели, застрахователни дружества или банки.

(123) Обработването на лични данни за здравословното състояние може да е необходимо по причини от обществен интерес в областта на общественото здраве без съгласието на субекта на данните. В този контекст понятието „обществено здраве“ следва да се тълкува по смисъла на Регламент (ЕО) № 1338/2008 на Европейския парламент и на Съвета1 и означава всички елементи, свързани със здравето, а именно здравно състояние, заболеваемост и инвалидност, решаващи фактори, които оказват влияние върху това здравно състояние, нужди на здравното обслужване, средства, отделени за здравно обслужване, предоставяне на здравни грижи и всеобщ достъп до тях, разходи и финансиране на здравното обслужване, както и причини за смъртност.

 

1 Регламент (ЕО) № 1338/2008 на Европейския парламент и на Съвета от 16 декември 2008 г. относно статистиката на Общността в областта на общественото здраве и здравословните и безопасни условия на труд (ОВ L 354, 31.12.2008 г., стр. 70)

Изменение  86

Предложение за регламент

Съображение 123 a (ново)

Текст, предложен от Комисията

Изменение

 

(123a) Обработването на лични данни, свързани със здравословното състояние, като специална категория данни, може да се наложи във връзка с исторически, статистически или научни изследвания. Затова настоящият регламент предвижда изключение от изискването за съгласие за обработване на данни за научни изследвания, които служат на важен обществен интерес.

Изменение  87

Предложение за регламент

Съображение 124

Текст, предложен от Комисията

Изменение

(124) Общите принципи относно защитата на физическите лица във връзка с обработването на лични данни следва да се прилагат и в контекста на трудовата заетост. Ето защо, за да се уреди обработването на личните данни на служителите в контекста на трудовите правоотношения, държавите членки следва да могат в рамките на настоящия регламент да приемат със закон специални разпоредби за обработването на лични данни в сектора на трудовата заетост.

(124) Общите принципи относно защитата на физическите лица във връзка с обработването на лични данни следва да се прилагат и в контекста на трудовите правоотношения и социалната сигурност. Държавите членки следва да могат да уреждат обработването на личните данни на служителите в контекста на трудовите правоотношения и социалната сигурност в съответствие с правилата и минималните стандарти, определени в настоящия регламент. Ако в съответната държава членка е предвидено правно основание за уреждане на въпросите, свързани с трудовите правоотношения, чрез споразумение между представители на служителите и ръководството на предприятието или в случая на група предприятия — на предприятието, контролиращо групата (колективно споразумение) или по реда на Директива 2009/38/ЕО на Европейският парламент и на Съвета1, обработването на лични данни в контекста на трудовите правоотношения може също така да бъде уредено и чрез такова споразумение.

 

 

1 Директива 2009/38/ЕО на Европейския парламент и на Съвета от 6 май 2009 г. за създаване на европейски работнически съвет или на процедура за информиране и консултации с работниците и служителите в предприятия с общностно измерение и групи предприятия с общностно измерение (OВ L 122, 16.5.2009 г., стр. 28).

Изменение  88

Предложение за регламент

Съображение 125 a (ново)

Текст, предложен от Комисията

Изменение

 

(125a) Личните данни могат също така впоследствие да бъдат обработвани от служби по архивите, чиято основна задача или задължение е събирането, съхранението, предоставянето на информация, използването и разпространението на архиви в обществен интерес. Законодателството на държавите членки следва да съгласува правото на защита на личните данни с нормативната база, уреждаща архивите и достъпа на гражданите до административна информация. Държавите членки следва да насърчават изработването, по-специално от Европейската група по архивите, на правила за гарантиране на поверителността на данните по отношение на трети лица и на автентичността, целостта и подходящото съхранение на данните.

Изменение 89

Предложение за регламент

Съображение 126

Текст, предложен от Комисията

Изменение

(126) За целите на настоящия регламент в научните изследвания следва да се включват фундаменталните научни изследвания, приложните научни изследвания и частно финансираните научни изследвания, а освен това следва да се отчита и заложената в член 179, параграф 1 от Договора за функционирането на Европейския съюз цел за създаването на европейско изследователско пространство.

 

(126) За целите на настоящия регламент в научните изследвания следва да се включват фундаменталните научни изследвания, приложните научни изследвания и частно финансираните научни изследвания, а освен това следва да се отчита и заложената в член 179, параграф 1 от Договора за функционирането на Европейския съюз цел за създаването на европейско изследователско пространство. Обработването на лични данни за исторически, статистически и научноизследователски цели не следва да води до обработване на личните данни за различни цели, освен ако това е със съгласието на субекта на данните или въз основа на законодателството на Съюза или на държава членка.

Изменение  90

Предложение за регламент

Съображение 128

Текст, предложен от Комисията

Изменение

(128) Настоящият регламент зачита и не засяга статута, от който се ползват църквите и религиозните сдружения или общности в държавите членки съгласно националното законодателство, както това е признато в член 17 от Договора за функционирането на Европейския съюз. В резултат на това, когато към момента на влизане в сила на настоящия регламент дадена църква в дадена държава членка прилага цялостни правила по отношение на защитата на физическите лица във връзка с обработването на лични данни, тези съществуващи правила следва да продължат да се прилагат, ако бъдат приведени в съответствие с настоящия регламент. От такива църкви и религиозни сдружения следва да се изисква да предвидят създаването на изцяло независим надзорен орган.

(128) Настоящият регламент зачита и не засяга статута, от който се ползват църквите и религиозните сдружения или общности в държавите членки съгласно националното законодателство, както това е признато в член 17 от Договора за функционирането на Европейския съюз. В резултат на това, когато към момента на влизане в сила на настоящия регламент дадена църква в дадена държава членка прилага адекватни правила по отношение на защитата на физическите лица във връзка с обработването на лични данни, тези съществуващи правила следва да продължат да се прилагат, ако бъдат приведени в съответствие с настоящия регламент и признати като съответстващи.

Изменение  91

Предложение за регламент

Съображение 129

Текст, предложен от Комисията

Изменение

(129) За да бъдат постигнати целите на настоящия регламент, а именно защита на основните права и свободи на физическите лица, и по-специално на тяхното право на защита на личните данни, както и за да се гарантира свободното движение на лични данни в рамките на Съюза, на Комисията следва да бъде делегирано правомощието да приема актове в съответствие с член 290 от Договора за функционирането на Европейския съюз. По-специално делегирани актове следва да бъдат приети по отношение на законосъобразността на обработването; за определяне на критериите и условията по отношение на съгласието на дете; относно обработването на специални категории лични данни; за установяване на критериите и условията за отявлено прекомерни искания и такси за упражняване на правата на субекта на данни; относно критериите и изискванията за информацията, предоставена на субекта на данни, и по отношение на правото на достъп; относно правото „да бъдеш забравен“ и правото на заличаване; относно мерките, основани на профилиране; относно критериите и изискванията по отношение на отговорността на администратора и по отношение на защитата още при проектирането и по подразбиране; относно обработващия данни; относно критериите и изискванията за документацията и сигурността на обработването; относно критериите и изискванията за установяването на нарушение на сигурността на лични данни и за уведомяването на надзорния орган за него, както и относно обстоятелствата, в които дадено нарушение на сигурността на лични данни има вероятност да засегне неблагоприятно субекта на данните; относно критериите и условията за операциите по обработване, за които се изисква оценка на въздействието върху защитата на данните; относно критериите и изискванията за определянето на висока степен от конкретни рискове, които изискват предварителна консултация; относно назначаването и задачите на длъжностното лице по защита на данните; относно кодексите за поведение; относно критериите и изискванията за механизмите за сертифициране; относно критериите и изискванията за предаването на данни чрез задължителни фирмени правила; относно дерогациите за предаванията; относно административните санкции; относно обработването на данни за здравни цели; относно обработването на данни в контекста на трудовите правоотношения и обработването на данни за исторически, статистически и научноизследователски цели. От особена важност е по време на подготвителната си работа Комисията да проведе подходящи консултации, включително на експертно равнище. При подготовката и изготвянето на делегираните актове Комисията следва да осигури едновременното и своевременно предаване на съответните документи по подходящ начин на Европейския парламент и Съвета.

(129) За да бъдат постигнати целите на настоящия регламент, а именно защита на основните права и свободи на физическите лица, и по-специално на тяхното право на защита на личните данни, както и за да се гарантира свободното движение на лични данни в рамките на Съюза, на Комисията следва да бъде делегирано правомощието да приема актове в съответствие с член 290 от Договора за функционирането на Европейския съюз. По-специално делегирани актове следва да бъдат приети по отношение на определяне на условията за използване на описание с графични средства (икони) при предоставянето на информация; относно правото на заличаване; относно обявяването на съответствието на кодексите за поведение с Регламента; относно критериите и изискванията за механизмите за сертифициране; относно адекватното ниво на защита, осигурявано от дадена трета държава или международна организация; относно критериите и изискванията за предаването на данни чрез задължителни фирмени правила; относно административните санкции; относно обработването на данни за здравни цели и относно обработването на данни в контекста на трудовите правоотношения. От особено значение е по време на подготвителната си работа Комисията да провежда подходящи консултации, включително на експертно равнище, по-специално с Европейския комитет по защита на данните. При подготовката и изготвянето на делегираните актове Комисията следва да осигури едновременното и своевременно предаване на съответните документи по подходящ начин на Европейския парламент и Съвета.

Изменение  92

Предложение за регламент

Съображение 130

Текст, предложен от Комисията

Изменение

(130) За да се гарантират еднакви условия за изпълнение на настоящия регламент, на Комисията следва да бъдат предоставени изпълнителни правомощия за: установяването на образци по отношение на обработването на лични данни на дете; установяването на стандартни процедури и образци за упражняване на правата на субектите на данни; установяването на образци за информиране на субекта на данни; установяването на образци и процедури по отношение на правото на достъп; правото на преносимост на данните; образци по отношение на отговорността на администратора по отношение на защитата още при проектирането и по подразбиране и по отношение на документацията; специални изисквания за сигурността на обработването; стандартния формат и процедурите за уведомяване на надзорния орган за нарушение на сигурността на лични данни и информирането на субекта на данните за нарушение на сигурността на личните данни; стандарти и процедури за оценка на въздействието върху защитата на личните данни; образци и процедури за предварително разрешение и предварителна консултация; технически стандарти и механизми за сертифициране; адекватното ниво на защита на данните, осигурявано от дадена трета държава или територия, или обработващ данни сектор в тази трета държава, или международна организация; разкриване, което не е разрешено от правото на Съюза; взаимопомощ; съвместни операции; решения по силата на механизма за съгласуваност. Тези правомощия следва да бъдат упражнявани в съответствие с Регламент (ЕС) № 182/2011 на Европейския парламент и на Съвета от 16 февруари 2011 г. за установяване на общите правила и принципи относно реда и условията за контрол от страна на държавите членки върху упражняването на изпълнителните правомощия от страна на Комисията. В този контекст Комисията следва да обмисли специалните мерки за микропредприятията, малките и средните предприятия.

(130) За да се гарантират еднакви условия за изпълнение на настоящия регламент, на Комисията следва да бъдат предоставени изпълнителни правомощия за: установяването на образци за специфичните методи за получаването на удостоверимо съгласие по отношение на обработването на лични данни на дете; установяването на стандартни образци за предоставянето на информация на субектите на данни относно упражняването на техните права; установяването на образци за информиране на субекта на данни; установяването на образци по отношение на правото на достъп, включително за съобщаване на личните данни на субекта на данните; образци по отношение на документацията, която трябва да бъде поддържана от администратора и обработващия лични данни; стандартния образец за уведомяване на надзорния орган за нарушение на сигурността на лични данни и за документиране на нарушение на сигурността на личните данни; образци за предварителна консултация и информация за надзорния орган. Тези правомощия следва да бъдат упражнявани в съответствие с Регламент (ЕС) № 182/2011 на Европейския парламент и на Съвета1 В този контекст Комисията следва да обмисли специалните мерки за микропредприятията, малките и средните предприятия.

 

1 Регламент (ЕС) № 182/2011 на Европейския парламент и на Съвета от 16 февруари 2011 г. за установяване на общите правила и принципи относно реда и условията за контрол от страна на държавите членки върху упражняването на изпълнителните правомощия от страна на Комисията. В този контекст Комисията следва да обмисли специални мерки за микропредприятията, малките и средните предприятия.

Изменение  93

Предложение за регламент

Съображение 131

Текст, предложен от Комисията

Изменение

(131) Следва да се използва процедурата по разглеждане за приемането на: образци по отношение на съгласието на дете; установяването на стандартни процедури и образци за упражняване на правата на субектите на данни; установяването на образци за информиране на субекта на данни; образци и процедури по отношение на правото на достъп; правото на преносимост на данните; образци по отношение на отговорността на администратора по отношение на защитата още при проектирането и по подразбиране и по отношение на документацията; специални изисквания за сигурността на обработването; стандартния формат и процедурите за уведомяване на надзорния орган за нарушение на сигурността на лични данни и информирането на субекта на данните за нарушение на сигурността на личните данни; стандарти и процедури за оценка на въздействието върху защитата на личните данни; образци и процедури за предварително разрешение и предварителна консултация; технически стандарти и механизми за сертифициране; адекватното ниво на защита на данните, осигурявано от дадена трета държава или територия, или обработващ данни сектор в тази трета държава, или международна организация; разкриване, което не е разрешено от правото на Съюза; взаимопомощ; съвместни операции; решения по силата на механизма за съгласуваност, при условие че тези актове са с общ характер.

(131) Следва да се използва процедурата по разглеждане за приемането на образци: установяването на образци за специфичните методи за получаването на удостоверимо съгласие по отношение на обработването на лични данни на дете; установяването на стандартни образци за предоставянето на информация на субектите на данни относно упражняването на техните права; установяването на образци за информиране на субекта на данни; установяването на образци по отношение на правото на достъп, включително за съобщаване на личните данни на субекта на данните; образци по отношение на документацията, която трябва да бъде поддържана от администратора и обработващия лични данни; стандартния образец за уведомяване на надзорния орган за нарушение на сигурността на лични данни и за документиране на нарушение на сигурността на личните данни; образци за предварителна консултация и информация за надзорния орган, при условие че тези актове са с общ характер.

Изменение  94

Предложение за регламент

Съображение 132

Текст, предложен от Комисията

Изменение

(132) Комисията следва да приеме актове за изпълнение с незабавно приложение, когато в надлежно обосновани случаи, свързани с трета държава или територия или обработващ данни сектор в тази трета държава, или международна организация, които не осигуряват адекватно ниво на защита, и с въпроси, повдигнати от надзорен орган в рамките на механизма за съгласуваност, наложителни причини за спешност изискват това.

 

заличава се

Изменение 95

Предложение за регламент

Съображение 134

Текст, предложен от Комисията

Изменение

(134) Директива 95/46/ЕО следва да бъде отменена с настоящия регламент. Приетите въз основа на Директива 95/46/ЕО решения на Комисията и разрешения на надзорните органи обаче следва да останат в сила.

(134) Директива 95/46/ЕО следва да бъде отменена с настоящия регламент. Приетите въз основа на Директива 95/46/ЕО решения на Комисията и разрешения на надзорните органи обаче следва да останат в сила. Решенията на Комисията и разрешенията от надзорните органи по отношение на предаването на лични данни на трети държави в съответствие с член 41, параграф 8, следва да останат в сила за преходен период от пет години след влизането в сила на настоящия регламент, освен ако не бъдат изменени, заменени или отменени от Комисията преди изтичането на този период.

Изменение  96

Предложение за регламент

Член 2

Текст, предложен от Комисията

Изменение

Материално приложно поле

Материално приложно поле

1. Настоящият регламент се прилага за обработването на лични данни изцяло или частично с автоматични средства, както и за обработването с други средства на лични данни, които са част от регистър на лични данни или които са предназначени да съставляват част от регистър на лични данни.

1. Настоящият регламент се прилага за обработването на лични данни изцяло или частично с автоматични средства, независимо от метода на обработване, както и за обработването с други средства на лични данни, които са част от регистър на лични данни или които са предназначени да съставляват част от регистър на лични данни.

2. Настоящият регламент не се прилага за обработването на лични данни:

2. Настоящият регламент не се прилага за обработването на лични данни:

а) в хода на дейности, които са извън приложното поле на правото на Съюза, по-специално такива, свързани с националната сигурност;

а) в хода на дейности, които са извън приложното поле на правото на Съюза;

б) от институциите, органите, службите и агенциите на Съюза;

 

в) от държавите членки, когато извършват дейности, които попадат в приложното поле на глава 2 от Договора за Европейския съюз;

в) от държавите членки, когато извършват дейности, които попадат в приложното поле на дял V, глава 2 от Договора за Европейския съюз;

г) от физическо лице без никаква възмездна цел в хода на неговите собствени изцяло лични или домашни дейности;

г) от физическо лице в хода на изцяло лични или домашни дейности. Това изключение се прилага и за публикуването на лични данни, когато може основателно да се очаква, че ще са достъпни само за ограничен брой лица;

д) от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказателни санкции.

д) от компетентните публични органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказателни санкции.

3. Настоящият регламент се прилага, без да се засяга прилагането на разпоредбите на Директива 2000/31/ЕО, и по-специално разпоредбите относно междинните доставчици на услуги в членове 12—15 от посочената директива.

3. Настоящият регламент се прилага, без да се засяга прилагането на разпоредбите на Директива 2000/31/ЕО, и по-специално разпоредбите относно междинните доставчици на услуги в членове 12—15 от посочената директива.

Изменение  97

Предложение за регламент

Член 3

Текст, предложен от Комисията

Изменение

Териториално приложно поле

Териториално приложно поле

1. Настоящият регламент се прилага за обработването на лични данни в контекста на дейностите на дадено място на установяване на администратор или обработващ лични данни в Съюза.

1. Настоящият регламент се прилага за обработването на лични данни в контекста на дейностите на дадено място на установяване на администратор или обработващ лични данни в Съюза, независимо дали обработването се извършва в Съюза или не.

2. Настоящият регламент се прилага за обработването на лични данни на субекти на данни с местоживеене в Съюза от администратор, който не е установен в Съюза, когато дейностите по обработване на данни са свързани със:

2. Настоящият регламент се прилага за обработването на лични данни на субекти на данни в Съюза от администратор или обработващ лични данни, който не е установен в Съюза, когато дейностите по обработване на данни са свързани със:

а) предлагането на стоки или услуги на такива субекти на данни в Съюза; или

а) предлагането на стоки или услуги на такива субекти на данни в Съюза, независимо дали от субекта на данни се изисква заплащане; или

б) наблюдението на тяхното поведение.

б) наблюдението на тези субекти на данни.

3. Настоящият регламент се прилага за обработването на лични данни от администратор, който не е установен в Съюза, но е установен на място, където се прилага националното право на държава членка по силата на международното право.

3. Настоящият регламент се прилага за обработването на лични данни от администратор, който не е установен в Съюза, но е установен на място, където се прилага националното право на държава членка по силата на международното право.

Изменение  98

Предложение за регламент

Член 4

Текст, предложен от Комисията

Изменение

Определения

Определения

За целите на настоящия регламент:

За целите на настоящия регламент:

(1) „субект на данни“ означава физическо лице, което е идентифицирано или може да бъде идентифицирано пряко или косвено чрез средства, за които с основание се предполага, че е възможно да бъдат използвани от администратора или от всяко друго физическо или юридическо лице, по-специално чрез идентификационен номер, данни за местонахождение, онлайн идентификатори или чрез един или повече признаци, специфични за неговата физическа, физиологична, генетична, психическа, икономическа, културна или социална идентичност;

 

(2) „лични данни“ означава всяка информация, свързана с даден субект на данни;

(2) „лични данни“ означава всяка информация, свързана с физическо лице с установена или подлежаща на установяване самоличност („субект на данни“); лице с подлежаща на установяване самоличност е лице, чиято самоличност може пряко или косвено да се установи, по-специално чрез идентификатор като име, идентификационен номер, данни за местонахождение, уникален идентификатор или чрез един или повече фактори, специфични за физическата, физиологическата, генетичната, психическата, икономическата, културната или социалната самоличност на това лице или за половата му идентичност;

 

(2a) „данни под псевдоним“ означава лични данни, които не могат да бъдат свързани с конкретен субект на данни, без да се използва допълнителна информация, доколкото тази допълнителна информация се съхранява отделно и е предмет на технически и организационни мерки с цел да се гарантира невъзможността да се направи такова свързване;

 

(2б) „криптирани данни“ означава лични данни, които, посредством технологични мерки за защита, са станали неразбираеми за всяко лице, което не разполага с право на достъп;

(3) „обработване“ означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друга форма на предоставяне на данните, подреждане или комбиниране, заличаване или унищожаване;

(3) „обработване“ означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друга форма на предоставяне на данните, подреждане или комбиниране, заличаване или унищожаване;

 

(3a) „профилиране“ означава всяка форма на автоматизирано обработване на лични данни, имащо за цел да се оценят определени лични аспекти, свързани с дадено физическо лице, или да се анализира или прогнозира по-специално изпълнението на професионалните му задължения, неговото икономическо положение, местоположение, здравословно състояние, лични предпочитания, надеждност или поведение;

(4) „регистър на лични данни“ означава всеки структуриран набор от лични данни, достъпът до които се осъществява съгласно определени критерии, независимо дали е централизиран, децентрализиран или разпределен съгласно функционален или географски принцип;

(4) „регистър на лични данни“ означава всеки структуриран набор от лични данни, достъпът до които се осъществява съгласно определени критерии, независимо дали е централизиран, децентрализиран или разпределен съгласно функционален или географски принцип;

(5) „администратор“ означава физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите, условията и средствата за обработването на лични данни; когато целите, условията и средствата за обработването се определят от правото на Съюза или това на държава членка, администраторът или специалните критерии за неговото назначаване могат да бъдат определени в правото на Съюза или в правото на държава членка;

(5) „администратор“ означава физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни; когато целите и средствата за обработването се определят от правото на Съюза или това на държава членка, администраторът или специалните критерии за неговото назначаване могат да бъдат определени в правото на Съюза или в правото на държава членка;

(6) „обработващ лични данни“ означава физическо или юридическо лице, публичен орган, агенция или друга структура, която обработва лични данни от името на администратора;

(6) „обработващ лични данни“ означава физическо или юридическо лице, публичен орган, агенция или друга структура, която обработва лични данни от името на администратора;

(7) „получател“ означава физическо или юридическо лице, публичен орган, агенция или друга структура, пред която се разкриват личните данни;

(7) „получател“ означава физическо или юридическо лице, публичен орган, агенция или друга структура, пред която се разкриват личните данни;

 

(7a) „трето лице” означава физическо или юридическо лице, публичен орган, агенция или всякакъв друг орган, който е различен от субекта на данните, администратора, обработващия личните данни и лицата, които под прякото ръководство на администратора или на обработващия личните данни имат право да обработват данните;

(8) „съгласие на субекта на данните“ означава всяко свободно изразено, конкретно, информирано и изрично указание за волята на субекта на данните посредством изявление или ясно потвърждаващо действие, което изразява съгласието му свързаните с него лични данни да бъдат обработени;

(8) „съгласие на субекта на данните“ означава всяко свободно изразено, конкретно, информирано и изрично указание за волята на субекта на данните посредством изявление или ясно потвърждаващо действие, което изразява съгласието му свързаните с него лични данни да бъдат обработени;

(9) „нарушение на сигурността на лични данни“ означава нарушение на сигурността, което води до случайно или неправомерно унищожаване, загуба, промяна, неразрешено разкриване или достъп до лични данни, които се предават, съхраняват или обработват по друг начин;

(9) „нарушение на сигурността на лични данни“ означава случайно или неправомерно унищожаване, загуба, промяна, неразрешено разкриване или достъп до лични данни, които се предават, съхраняват или обработват по друг начин;

(10) „генетични данни“ означава всички данни, от всякакъв вид, свързани с белезите на дадено физическо лице, които са наследствени или са придобити по време на ранното пренатално развитие;

(10) „генетични данни“ означава всички лични данни, свързани с генетичните белези на дадено физическо лице, които са наследствени или придобити, получени в резултат от анализ на биологична проба от въпросното физическо лице, по-специално чрез анализ на дезоксирибонуклеинова киселина (ДНК) или на рибонукленова киселина (РНК) или анализ на всякакъв друг елемент, позволяващ получаване на равностойна информация;

(11) „биометрични данни“ означава всички данни, свързани с физическите, физиологичните или поведенческите характеристики на дадено физическо лице, които позволяват неговата уникална идентификация, като лицеви изображения или дактилоскопични данни;

(11) „биометрични данни“ означава всички лични данни, свързани с физическите, физиологичните или поведенческите характеристики на дадено физическо лице, които позволяват неговата уникална идентификация, като лицеви изображения или дактилоскопични данни;

(12) „данни за здравословното състояние“ означава всяка информация, която се отнася до физическото или психическото здраве на дадено физическо лице, или до предоставянето на здравни услуги на физическото лице;

(12) „данни за здравословното състояние“ означава всички лични данни, които се отнасят до физическото или психическото здраве на дадено физическо лице или до предоставянето на здравни услуги на физическото лице;

(13) „основно място на установяване“ означава по отношение на администратора мястото на неговото установяване в Съюза, където се вземат основните решения по отношение на целите, условията и средствата за обработването на лични данни; ако решенията относно целите, условията и средствата за обработването на лични данни не се вземат в Съюза, основното място на установяване е мястото, където се извършват основните дейности по обработване на данни в контекста на дейностите на място на установяване на даден администратор в Съюза. По отношение на обработващия лични данни „основно място на установяване“ означава мястото, където се намира централната му администрация в Съюза;

(13) „основно място на установяване“ означава мястото на установяване на предприятие или група от предприятия в Съюза, с функции на администратор или обработващ лични данни, където се вземат основните решения по отношение на целите, условията и средствата за обработването на лични данни. Наред с другото могат да се разглеждат следните обективни критерии: местонахождението на седалището на администратора или обработващия лични данни; местонахождението на предприятието от групата предприятия, което е в най-добра позиция от гледна точка на управленски функции и административни отговорности да разглежда и прилага правилата, определени в настоящия регламент; мястото на ефективното и действително упражняване на управленски дейности, определящи обработването на данни по силата на стабилни договорености.

(14) „представител“ означава всяко физическо или юридическо лице, установено в Съюза, което е изрично назначено от администратора, действа вместо администратора и към него могат да се обръщат надзорните органи и други органи в Съюза във връзка със задълженията на администратора съгласно настоящия регламент;

(14) „представител“ означава всяко физическо или юридическо лице, установено в Съюза, което е изрично назначено от администратора, представлява администратора във връзка със задълженията на администратора съгласно настоящия регламент;

(15) „предприятие“ означава всяко образувание, което осъществява икономическа дейност, независимо от правната му форма, като в това число по-специално се включват физическите и юридическите лица, партньорствата или сдруженията, които редовно осъществяват икономическа дейност;

(15) „предприятие“ означава всяко образувание, което осъществява икономическа дейност, независимо от правната му форма, като в това число по-специално се включват физическите и юридическите лица, партньорствата или сдруженията, които редовно осъществяват икономическа дейност;

(16) „група предприятия“ означава контролиращо предприятие и контролираните от него предприятия;

(16) „група предприятия“ означава контролиращо предприятие и контролираните от него предприятия;

(17) „задължителни фирмени правила“ означава политики за защита на личните данни, които се спазват от администратор или обработващ лични данни, установен на територията на държава членка на Съюза, при предаване или съвкупност от предавания на лични данни до администратор или обработващ лични данни в една или повече трети държави в рамките на група предприятия;

(17) „задължителни фирмени правила“ означава политики за защита на личните данни, които се спазват от администратор или обработващ лични данни, установен на територията на държава членка на Съюза, при предаване или съвкупност от предавания на лични данни до администратор или обработващ лични данни в една или повече трети държави в рамките на група предприятия;

(18) „дете“ означава всяко лице на възраст под 18 години;

(18) „дете“ означава всяко лице на възраст под 18 години;

(19) „надзорен орган“ означава публичен орган, създаден от държава членка в съответствие с член 46.

(19) „надзорен орган“ означава публичен орган, създаден от държава членка в съответствие с член 46.

Изменение  99

Предложение за регламент

Член 5

Текст, предложен от Комисията

Изменение

Принципи, свързани с обработването на лични данни

Принципи, свързани с обработването на лични данни

1. Личните данни трябва да бъдат:

1. Личните данни са:

а) обработвани законно, добросъвестно и по прозрачен начин по отношение на субекта на данните;

а) обработвани законно, добросъвестно и по прозрачен начин по отношение на субекта на данните (законосъобразност, добросъвестност и прозрачност);

б) събирани за конкретни, изрично указани и законни цели и да не се обработват допълнително по начин, който е несъвместим с тези цели;

б) събирани за конкретни, изрично указани и законни цели и не се обработват допълнително по начин, който е несъвместим с тези цели (ограничаване на целите);

в) подходящи, релевантни и ограничени до минимума, необходим за целите, за които данните се обработват; те се обработват само ако и дотолкова доколкото целите не могат да бъдат постигнати без обработването на информация, която не включва лични данни;

в) подходящи, релевантни и ограничени до минимума, необходим за целите, за които данните се обработват; те се обработват само ако и дотолкова доколкото целите не могат да бъдат постигнати без обработването на информация, която не включва лични данни (свеждане на данните до минимум);

г) точни и актуализирани; трябва да се предприемат всички разумни мерки, за да се гарантира своевременното заличаване или коригиране на неточни лични данни, като се имат предвид целите, за които те се обработват;

г) точни и при необходимост актуализирани; трябва да се предприемат всички разумни мерки, за да се гарантира своевременното заличаване или коригиране на неточни лични данни, като се имат предвид целите, за които те се обработват (точност);

д) съхранявани във вид, който позволява идентифицирането на субектите на данните за период не по-дълъг от необходимия за целите, за които се обработват личните данни; лични данни могат да се съхраняват за по-дълги периоди дотолкова, доколкото данните ще се обработват единствено за исторически, статистически или научноизследователски цели в съответствие с правилата и условията на член 83 и ако се провежда периодичен преглед, за да се оцени необходимостта съхраняването да продължава;

д) съхранявани във вид, който позволява прякото или непрякото идентифициране на субектите на данните за период не по-дълъг от необходимия за целите, за които се обработват личните данни; лични данни могат да се съхраняват за по-дълги периоди дотолкова, доколкото данните ще се обработват единствено за исторически, статистически или научноизследователски цели или за целите на архивирането в съответствие с правилата и условията на член 83 и член 83а и ако се провежда периодичен преглед, за да се оцени необходимостта съхраняването да продължава, и, ако е целесъобразно, се въвеждат технически и организационни мерки за ограничаване на достъпа до данните единствено за тези цели (свеждане до минимум на съхраняването);

 

да) обработвани по начин, който реално позволява на субекта на данните да упражнява своите права (ефективност);

 

дб) обработвани по начин, който осигурява защита срещу неразрешено или незаконосъобразно обработване и срещу случайна загуба, унищожаване или повреждане, като се прилагат подходящи технически или организационни мерки (цялост);

 

е) обработвани под ръководството и отговорността на администратора, който осигурява и доказва спазването на разпоредбите на настоящия регламент при за всяка операция по обработване на данни.

е) обработвани под ръководството и отговорността на администратора, който осигурява и може да докаже спазването на разпоредбите на настоящия регламент (отчетност).

Изменение 100

Предложение за регламент

Член 6

Текст, предложен от Комисията

Изменение

Законосъобразност на обработването

Законосъобразност на обработването

1. Обработването на лични данни е законосъобразно само ако и доколкото е приложимо поне едно от следните условия:

1. Обработването на лични данни е законосъобразно само ако и доколкото е приложимо поне едно от следните условия:

а) субектът на данните е дал съгласието си за обработването на неговите лични данни за една или повече конкретни цели;

а) субектът на данните е дал съгласието си за обработването на неговите лични данни за една или повече конкретни цели;

б) обработването е необходимо за изпълнението на договор, по който субектът на данните е страна, или за предприемане на мерки по искане на субекта на данните преди сключването на договор;

б) обработването е необходимо за изпълнението на договор, по който субектът на данните е страна, или за предприемане на мерки по искане на субекта на данните преди сключването на договор;

в) обработването е необходимо за спазването на законово задължение, което се прилага спрямо администратора;

в) обработването е необходимо за спазването на законово задължение, което се прилага спрямо администратора;

г) обработването е необходимо за защитата на жизненоважните интереси на субекта на данните;

г) обработването е необходимо за защитата на жизненоважните интереси на субекта на данните;

д) обработването е необходимо за изпълнението на задача от обществен интерес или при упражняването на официални правомощия, които са предоставени на администратора;

д) обработването е необходимо за изпълнението на задача от обществен интерес или при упражняването на официални правомощия, които са предоставени на администратора;

е) обработването е необходимо за целите на законните интереси на администратора, освен когато пред такива интереси преимущество имат интересите или основните права и свободи на субекта на данните, които изискват защита на личните данни, по-специално когато субектът на данните е дете; Това не се прилага за обработването на данни, което се извършва от публични органи при изпълнението на техните задачи.

е) обработването е необходимо за целите на законните интереси на администратора или в случай на разкриване – на третото лице, на което са разкрити данните, и които изпълняват основателните очаквания на субекта на данни, въз основа на неговите взаимоотношения с администратора, освен когато пред такива интереси преимущество имат интересите или основните права и свободи на субекта на данните, които изискват защита на личните данни; Това не се прилага за обработването на данни, което се извършва от публични органи при изпълнението на техните задачи.

2. Обработването на лични данни, което е необходимо за исторически, статистически или научноизследователски цели, е законно, при условие че са спазени условията и гаранциите, посочени в член 83.

2. Обработването на лични данни, което е необходимо за исторически, статистически или научноизследователски цели, е законно, при условие че са спазени условията и гаранциите, посочени в член 83.

3. Основанието за обработването, посочено в параграф 1, букви в) и д), трябва да бъде предвидено в:

3. Основанието за обработването, посочено в параграф 1, букви в) и д), трябва да бъде предвидено в:

а) правото на Съюза или

а) правото на Съюза или

б) правото на държавата членка, което се прилага спрямо администратора.

б) правото на държавата членка, което се прилага спрямо администратора.

Правото на държавата членка трябва да отговаря на цел от обществен интерес или трябва да е необходимо за защитата на правата и свободите на други лица, да зачита същността на правото на защита на личните данни и да е пропорционално на преследваната законосъобразна цел.

Правото на държавата членка трябва да отговаря на цел от обществен интерес или трябва да е необходимо за защитата на правата и свободите на други лица, да зачита същността на правото на защита на личните данни и да е пропорционално на преследваната законосъобразна цел. В рамките на настоящия регламент правото на държавата членка може подробно да урежда законосъобразността на обработването, по-специално по отношение на администраторите, целта на обработването и ограничаването на целта, естеството на данните и субектите на данни, мерките и процедурите по обработване, получателите, както и сроковете за съхранение.

4. Когато целта на допълнителното обработване не е съвместима с тази, за която са били събрани личните данни, за обработването трябва да има поне едно от правните основания, посочени в параграф 1, букви а)―д). Това се отнася по-специално за всяка промяна на клаузите и общите условия на договор.

 

5. На Комисията се предоставя правомощието да приема делегирани актове в съответствие с член 86 с цел допълнително уточняване на условията, посочени в параграф 1, буква е), за различните сектори и ситуации на обработване на данни, включително по отношение на обработването на лични данни на дете.

 

Изменение  101

Предложение за регламент

Член 7

Текст, предложен от Комисията

Изменение

Условия за съгласие

Условия за съгласие

1. Администраторът носи тежестта на доказване, че субектът на данните е дал съгласието си за обработването на неговите лични данни за определени цели.

1. Когато обработването се основава на даване на съгласие, администраторът носи тежестта на доказване, че субектът на данните е дал съгласието си за обработването на неговите лични данни за определени цели.

2. Ако съгласието на субекта на данните бъде дадено в контекста на писмена декларация, която се отнася и до друг въпрос, изискването да се даде съгласие трябва ясно да се различава по вида си от този друг въпрос.

2. Ако съгласието на субекта на данните бъде дадено в контекста на писмена декларация, която се отнася и до друг въпрос, изискването да се даде съгласие трябва ясно да се различава по вида си от този друг въпрос. Разпоредби относно съгласието на субекта на данните, които отчасти са в нарушение на настоящия регламент, са нищожни в своята цялост.

3. Субектът на данни има правото да оттегли съгласието си по всяко време. Оттеглянето на съгласието не засяга законосъобразността на обработването, основано на дадено съгласие преди неговото оттегляне.

3. Независимо от други правни основания за обработването, субектът на данни има правото да оттегли съгласието си по всяко време. Оттеглянето на съгласието не засяга законосъобразността на обработването, основано на дадено съгласие преди неговото оттегляне. Оттеглянето на съгласие е също толкова лесно, колкото и даването му. Администраторът информира субекта на данните, ако оттеглянето на съгласието може да доведе до прекратяване на предоставянето на услуги или на отношенията с администратора.

4. Съгласието не дава правно основание за обработването, когато е налице значителна неравнопоставеност между позицията на субекта на данните и администратора.

 

4. Съгласието е ограничено до постигането на дадена цел и валидността му се прекратява с отпадането на целта или веднага щом обработването на лични данни престане да бъде необходимо за целта, за която те са били първоначално събирани. Изпълнението на договор или предоставянето на услуга не се поставя в зависимост от даването на съгласие за обработване на данни, които не са необходими за изпълнението на договора или предоставянето на услугата съгласно член 6, параграф 1, буква б).

Изменение 102

Предложение за регламент

Член 8

Текст, предложен от Комисията

Изменение

Обработване на личните данни на дете

Обработване на личните данни на дете

1. За целите на настоящия регламент, що се отнася до прякото предлагане на дете на услуги на информационното общество, обработването на личните данни на дете на възраст под 13 години е законно само ако и дотолкова доколкото съгласието е дадено или разрешено от родителя или попечителя на детето. Администраторът полага разумни усилия, за да получи удостоверимо съгласие, като взема предвид наличната технология.

1. За целите на настоящия регламент, що се отнася до прякото предлагане на дете на стоки или услуги, обработването на личните данни на дете на възраст под 13 години е законно само ако и дотолкова доколкото съгласието е дадено или разрешено от родителя или законния настойник на детето. Администраторът полага разумни усилия, за да удостовери това съгласие, като взема предвид наличната технология, без това да води до ненужно обработване на лични данни.

 

1a. Информацията, предоставяна на децата, родителите и законните настойници с цел изразяване на съгласие, включително относно събирането и използването на лични данни от страна на администратора, следва да се предоставя на ясен език, подходящ за целевата аудитория.

2. Параграф 1 не засяга общото договорно право на държавите членки като разпоредбите относно действителността, сключването или последиците от даден договор по отношение на дете.

2. Параграф 1 не засяга общото договорно право на държавите членки като разпоредбите относно действителността, сключването или последиците от даден договор по отношение на дете.

3. На Комисията се предоставя правомощието да приема делегирани актове в съответствие с член 86 с цел допълнително уточняване на критериите и изискванията за методите за получаване на удостоверимо съгласие, както е посочено в параграф 1. Когато прави това, Комисията обмисля специални мерки за микропредприятията, малките и средните предприятия.

3. На Европейския комитет по защита на данните се възлага задачата за издаване на насоки, препоръки и най-добри практики за методите за удостоверяване на съгласието, както е посочено в параграф 1, в съответствие с член 66.

4. Комисията може да определя образци за специфичните методи за получаването на удостоверимо съгласие, както е посочено в параграф 1. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 87, параграф 2.

 

Изменение  103

Предложение за регламент

Член 9

Текст, предложен от Комисията

Изменение

Обработване на специални категории лични данни

Специални категории данни

1. Забранява се обработването на лични данни, които разкриват расов или етнически произход, политически мнения, религия или убеждения, членство в професионални съюзи, като и обработването на генетични данни или данни, свързани със здравословното състояние или половия живот или с наказателни присъди или свързаните с тях мерки за сигурност.

1. Забранява се обработването на лични данни, които разкриват расов или етнически произход, политически мнения, религия или философски убеждения, сексуална ориентация или полова идентичност, членство и дейност в професионални съюзи, както и обработването на генетични или биометрични данни или данни, свързани със здравословното състояние или половия живот, административни санкции, съдебни решения, или с наказателни или предполагаеми престъпления, присъди или свързаните с тях мерки за сигурност.

2. Параграф 1 не се прилага, когато:

2. Параграф 1 не се прилага, ако е налице едно от следните условия:

а) субектът на данните е дал своето съгласие за обработването на такива лични данни, при условие че са спазени условията, определени в членове 7 и 8, освен когато в правото на Съюза или на държава членка се предвижда, че посочената в параграф 1 забрана не може да бъде отменена от субекта на данните; или

а) субектът на данните е дал своето съгласие за обработването на такива лични данни за една или повече конкретни цели, при условие че са спазени условията, определени в членове 7 и 8, освен когато в правото на Съюза или на държава членка се предвижда, че посочената в параграф 1 забрана не може да бъде отменена от субекта на данните; или

 

аа) обработването е необходимо за изпълнението на договор, по който субектът на данните е страна, или за предприемане на мерки по искане на субекта на данните преди сключването на договор;

б) обработването е необходимо за целите на изпълнението на задълженията и упражняването на специалните права на администратора в областта на трудовото право дотолкова, доколкото това е разрешено от правото на Съюза или на държава членка, в което се предвиждат подходящи гаранции; или

б) обработването е необходимо за целите на изпълнението на задълженията и упражняването на специалните права на администратора в областта на трудовото право дотолкова, доколкото това е разрешено от правото на Съюза или на държава членка или от колективни споразумения, при което се предвиждат подходящи гаранции на основните права и интересите на субекта на данните, като например правото на недискриминация, при условията и гаранциите, посочени в член 82; или

в) обработването е необходимо, за да бъдат защитени жизненоважни интереси на субекта на данните или на друго лице, когато субектът на данните е физически или юридически неспособен да даде своето съгласие; или

в) обработването е необходимо, за да бъдат защитени жизненоважни интереси на субекта на данните или на друго лице, когато субектът на данните е физически или юридически неспособен да даде своето съгласие; или

г) обработването се извършва при подходящи гаранции в хода на законните дейности на фондация, сдружение или друга структура с нестопанска цел, с политическа, философска, религиозна или профсъюзна цел, при условие че обработването е свързано единствено с членовете или бившите членове на тази структура или с лица, които поддържат редовни контакти с нея във връзка с нейните цели, и че данните не се разкриват без съгласието на субектите на данните; или

г) обработването се извършва при подходящи гаранции в хода на законните дейности на фондация, сдружение или друга структура с нестопанска цел, с политическа, философска, религиозна или профсъюзна цел, при условие че обработването е свързано единствено с членовете или бившите членове на тази структура или с лица, които поддържат редовни контакти с нея във връзка с нейните цели, и че данните не се разкриват без съгласието на субектите на данните; или

д) обработването е свързано с лични данни, които явно са направени обществено достояние от субекта на данните; или

д) обработването е свързано с лични данни, които явно са направени обществено достояние от субекта на данните; или

е) обработването е необходимо за установяването, упражняването или защитата на правни искове; или

е) обработването е необходимо за установяването, упражняването или защитата на правни искове; или

ж) обработването е необходимо за изпълнението на задача от обществен интерес на основание правото на Съюза или на държава членка, в което се предвиждат подходящи мерки за защита на законните интереси на субекта на данните; или

ж) обработването е необходимо за изпълнението на задача по причини от важен обществен интерес на основание правото на Съюза или на държава членка, което е пропорционално на преследваната цел, зачита същността на правото на защита на данните и в което се предвиждат подходящи мерки за защита на основните права и интересите на субекта на данните; или

з) обработването на данни за здравословното състояние е необходимо за здравни цели и при спазване на условията и гаранциите, посочени в член 81; или

з) обработването на данни за здравословното състояние е необходимо за здравни цели и при спазване на условията и гаранциите, посочени в член 81; или

и) обработването е необходимо за исторически, статистически или научноизследователски цели при спазване на условията и гаранциите, посочени в член 83; или

и) обработването е необходимо за исторически, статистически или научноизследователски цели при спазване на условията и гаранциите, посочени в член 83; или

 

иа) обработването е необходимо за обработване от служби по архивите при спазване на условията и гаранциите, посочени в член 83; или

й) обработването на данни, свързани с наказателни присъди или със свързаните с тях мерки за сигурност, се извършва под контрола на официален орган или когато е необходимо за спазването на правно или регулаторно задължение, което се прилага спрямо администратора, или за изпълнението на задача от важен обществен интерес и дотолкова, доколкото е разрешено в правото на Съюза или на държава членка и при подходящи гаранции. Пълна регистрационна система на наказателните присъди се поддържа единствено под контрола на официален орган.

й) обработването на данни, свързани с административни санкции, съдебни решения, престъпления, присъди или със свързаните с тях мерки за сигурност, се извършва под контрола на официален орган или когато е необходимо за спазването на правно или регулаторно задължение, което се прилага спрямо администратора, или за изпълнението на задача от важен обществен интерес и дотолкова, доколкото е разрешено в правото на Съюза или на държава членка и при подходящи гаранции на основните права и интересите на субекта на данните. Всяка регистрационна система на наказателните присъди се поддържа единствено под контрола на официален орган.

3. На Комисията се предоставя правомощието да приема делегирани актове в съответствие с член 86 с цел допълнително уточняване на критериите, условията и подходящите гаранции за обработването на специалните категории лични данни, посочени в параграф 1, и за изключенията, определени в параграф 2.

3. На Европейския комитет по защита на данните се възлага задачата за издаване на насоки, препоръки и най-добри практики за обработването на специалните категории лични данни, посочени в параграф 1, и за изключенията, определени в параграф 2, в съответствие с член 66.

Изменение 104

Предложение за регламент

Член 10

Текст, предложен от Комисията

Изменение

Ако обработваните от администратора данни не му позволяват да идентифицира дадено физическо лице, администраторът не е задължен да придобива допълнителна информация, за да идентифицира субекта на данните единствено с цел спазване на някоя от разпоредбите на настоящия регламент.

1. Ако обработваните от администратора данни или данните, обработвани от обработващия данни не му позволяват пряко или косвено да идентифицира дадено физическо лице или се състоят само от данни под псевдоним, администраторът не обработва или придобива допълнителна информация, за да идентифицира субекта на данните единствено с цел спазване на някоя от разпоредбите на настоящия регламент.

 

2. Когато администраторът на данни не може да спази някоя от разпоредбите на настоящия регламент поради изискванията на параграф 1, администраторът не е задължен да спази въпросната разпоредба. Когато в резултат на това администраторът на данни не може да изпълни искане на субекта на данните, той уведомява съответно субекта на данните.

Изменение  105

Предложение за регламент

Член 10 a (нов)

Текст, предложен от Комисията

Изменение

 

Член 10а

 

Общи принципи на правата на субектите на данни

 

1. Ясните и недвусмислени права на субекта на данни, които се зачитат от администратора на данни, са основата на защитата на данни. Разпоредбите на настоящия регламент имат за цел да засилят, пояснят, гарантират и, където е уместно, да кодифицират тези права.

 

2. Тези права включват, наред с другото, предоставяне на ясна и лесно разбираема информация относно обработването на личните данни на субекта на данни, правото на достъп, коригиране и заличаване на неговите данни, правото на възражение срещу профилиране, правото да се подаде жалба до компетентния орган за защита на данните и да се предяви иск, както и правото на обезщетение за вреди вследствие на неправомерна операция по обработване. Като цяло тези права се упражняват безплатно. Администраторът на лични данни отговаря на исканията на субекта на данни в разумен срок.

Изменение  106

Предложение за регламент

Член 11

Текст, предложен от Комисията

Изменение

1. Администраторът разполага с прозрачни и лесно достъпни политики по отношение на обработването на лични данни и за упражняването на правата на субектите на данните.

1. Администраторът разполага със стегнати, прозрачни, ясни и лесно достъпни политики по отношение на обработването на лични данни и за упражняването на правата на субектите на данните.

2. Администраторът предоставя на субекта на данните информация и съобщения, свързани с обработването на личните данни, в лесна за разбиране форма, като използва ясни и недвусмислени формулировки, адаптирани към субекта на данните, по-специално при всяка информация, конкретно насочена към дете.

2. Администраторът предоставя на субекта на данните информация и съобщения, свързани с обработването на личните данни, в лесна за разбиране форма, като използва ясни и недвусмислени формулировки, по-специално при всяка информация, конкретно насочена към дете.

Изменение  107

Предложение за регламент

Член 12

Текст, предложен от Комисията

Изменение

1. Администраторът установява процедури за предоставяне на информацията, посочена в член 14, и за упражняване на правата на субектите на данни, посочени в член 13 и членове 15—19. Администраторът осигурява по-специално механизми за улесняване на подаването на искания за действията, посочени в член 13 и членове 15—19. Когато личните данни се обработват с автоматични средства, администраторът осигурява също така средства за подаване на искания по електронен път.

1. Когато личните данни се обработват с автоматични средства, администраторът осигурява също така средства за подаване, когато е възможно, на искания по електронен път.

2. Администраторът информира незабавно субекта на данни, най-късно в срок от един месец от получаването на искането, дали е предприето действие съгласно член 13 и членове 15—19 и предоставя поисканата информация. Този период може да бъде удължен с още един месец, ако няколко субекти на данни упражняват своите права и тяхното сътрудничество е необходимо в разумна степен, за да се предотвратят ненужни и непропорционално големи усилия от страна на администратора. Информацията се предоставя в писмена форма. Когато субектът на данни подава искане в електронна форма, информацията се предоставя в електронна форма, освен ако субектът на данни не е поискал друго.

2. Администраторът информира без ненужно забавяне субекта на данни, най-късно в срок от 40 календарни дни от получаването на искането, дали е предприето действие съгласно член 13 и членове 15—19 и предоставя поисканата информация. Този период може да бъде удължен с още един месец, ако няколко субекти на данни упражняват своите права и тяхното сътрудничество е необходимо в разумна степен, за да се предотвратят ненужни и непропорционално големи усилия от страна на администратора. Информацията се предоставя в писмена форма или, когато е осъществимо, администраторът може да предостави достъп до сигурна система, която да предоставя на субекта на данните пряк достъп до неговите лични данни. Когато субектът на данни подава искане в електронна форма, по възможност информацията се предоставя в електронна форма, освен ако субектът на данни не е поискал друго.

 

3. Ако администраторът откаже да предприеме действие относно дадено искане на субекта на данни, той информира субекта на данни относно причините за отказа и възможностите за подаване на жалба до надзорния орган и за средствата за съдебна защита.

3. Ако администраторът не предприеме действие относно дадено искане на субекта на данни, той информира субекта на данни относно причините за бездействието и възможностите за подаване на жалба до надзорния орган и за средствата за съдебна защита.

4. Информацията и предприетите действия относно исканията, посочени в параграф 1, са безплатни. Когато исканията са явно прекомерни, по-специално поради своята повторяемост, администраторът може да наложи такса за предоставянето на информацията или за изпълнението на исканото действие или да не изпълни исканото действие. В този случай администраторът носи тежестта на доказване на явно прекомерния характер на искането.

4. Информацията и предприетите действия относно исканията, посочени в параграф 1, са безплатни. Когато исканията са явно прекомерни, по-специално поради своята повторяемост, администраторът може да наложи разумна такса, отчитаща административните разходи за предоставянето на информацията или за изпълнението на исканото действие. В този случай администраторът носи тежестта на доказване на явно прекомерния характер на искането.

5. На Комисията се предоставя правомощието да приема делегирани актове в съответствие с член 86 с цел допълнително уточняване на критериите и изискванията за явно прекомерните искания и относно таксите, посочени в параграф 4.

 

6. Комисията може да установява образци и стандартни процедури за комуникацията, посочена в параграф 2, включително за електронния формат. Когато прави това, Комисията взема целесъобразни мерки за микропредприятията, малките и средните предприятия. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 87, параграф 2.

 

Изменение 108

Предложение за регламент

Член 13

Текст, предложен от Комисията

Изменение

Права по отношение на получателите

Задължение за уведомяване при коригиране и заличаване

Администраторът съобщава всяко извършено в съответствие с членове 16 и 17 коригиране или заличаване на всеки получател, на когото данните са били разкрити, освен ако това е невъзможно или изисква непропорционално големи усилия.

Администраторът съобщава всяко извършено в съответствие с членове 16 и 17 коригиране или заличаване на всеки получател, на когото данните са били предадени, освен ако това е невъзможно или изисква непропорционално големи усилия. Администраторът информира субекта на данните относно тези получатели, ако субектът на данните поиска това.

Изменение  109

Предложение за регламент

Член 13 a (нов)

Текст, предложен от Комисията

Изменение

 

Член 13а

 

Стандартизирани информационни политики

 

1. Когато се събират лични данни, свързани с даден субект на данни, администраторът предоставя на субекта на данните следните сведения, преди да предостави информация съгласно член 14:

 

а) дали личните данни се събират над минимума, необходим за всяка конкретна цел на обработването;

 

б) дали личните данни се съхраняват над минимума, необходим за всяка конкретна цел на обработването;

 

в) дали личните данни се обработват за цели, различни от тези, за които са били събрани;

г) дали личните данни се разпространяват на трети лица - търговци;

 

д) дали личните данни са продадени или отдадени под наем;

 

е) дали личните данни са съхранявани в криптирана форма.

 

2. Сведенията, посочени в параграф 1, се представят съгласно приложение Х в подравнена таблична форма с текст и символи в следните три колони:

 

а) първата колона описва графичните форми, изобразяващи тези сведения;

 

б) втората колона съдържа основна информация, описваща тези сведения;

 

в) третата колона описва графичните форми, посочващи дали конкретно сведение е изпълнено.

 

3. Информацията, посочена в параграфи 1 и 2, се представя по лесно видими четлив начин и се обявява на език, който без затруднение се разбира от потребителите на държавите членки, на които се предоставя информацията. Ако сведенията се представят в електронен вид, те трябва да бъдат машинночитаеми.

 

4. Допълнителни сведения не се предоставят. Подробните обяснения или допълнителни забележки във връзка със сведенията, посочени в параграф 1, могат да бъдат предоставени заедно с другите изисквания за информация съгласно член 14.

 

5. На Комисията се предоставят правомощия да приема, след като поиска становище от Европейския комитет по защита на данните, делегирани актове в съответствие с член 86 с цел допълнително уточняване на сведенията, посочени в параграф 1, и тяхното представяне, съгласно посоченото в параграф 2 и в приложение Х.

Изменение  110

Предложение за регламент

Член 14

Текст, предложен от Комисията

Изменение

Информация за субекта на данни

Информация за субекта на данни

1. Когато се събират лични данни, свързани с даден субект на данни, администраторът предоставя на субекта на данните най-малко следната информация относно:

1. Когато се събират лични данни, свързани с даден субект на данни, администраторът предоставя на субекта на данните, след като сведенията по член 13а са били предоставени, най-малко следната информация относно:

а) наименованието и координатите за връзка на администратора, на представителя на администратора, ако има такъв, и на длъжностното лице по защита на данните;

а) наименованието и координатите за връзка на администратора, на представителя на администратора, ако има такъв, и на длъжностното лице по защита на данните;

б) целите на обработването, за които личните данните са предназначени, включително договорните клаузи и общите условия, когато обработването се основава на член 6, параграф 1, буква б), и законните интереси, преследвани от администратора, когато обработването се основава на член 6, параграф 1, буква е);

б) конкретните цели на обработването, за които личните данните са предназначени, както и информация относно сигурността на обработването на личните данни, включително договорните клаузи и общите условия, когато обработването се основава на член 6, параграф 1, буква б), и, когато е приложимо, информация относно начина, по който те прилагат и изпълняват изискванията по член 6, параграф 1, буква е);

в) срока, за който ще се съхраняват личните данни;

в) срока, за който ще се съхраняват личните данни или, когато това не е възможно, критериите, според които се определя този период;

г) съществуването на право да се изиска от администратора достъп до личните данни, свързани със субекта на данните, както и тяхното коригиране или заличаване, или да се възрази срещу обработването на такива лични данни;

г) съществуването на право да се изиска от администратора достъп до личните данни, свързани със субекта на данните, както и тяхното коригиране или заличаване, или да се възрази срещу обработването на такива лични данни, или да се получат данни;

д) правото да бъде подадена жалба до надзорния орган и да бъдат предоставени неговите координати за връзка;

д) правото да бъде подадена жалба до надзорния орган и да бъдат предоставени неговите координати за връзка;

е) получателите или категориите получатели на лични данни;

е) получателите или категориите получатели на лични данни;

ж) когато е приложимо, информация че администраторът възнамерява да предаде данните на трета държава или на международна организация, както и информация за нивото на защита, осигурено от тази трета държава или международна организация, с позоваване на решението на Комисията относно адекватността;

ж) когато е приложимо, информация, че администраторът възнамерява да предаде данните на трета държава или на международна организация, и наличието или отсъствието на решение на Комисията относно адекватността или в случай на предаване на данни съгласно посоченото в членове 42, 43 или член 44, параграф 1, буква з) с позоваване на подходящите гаранции и средствата за получаване на копие от тях;

 

жa) когато е приложимо, информация относно наличието на профилиране, на мерки, основани на профилиране, и предвидените последствия от профилирането за субекта на данните;

 

жб) значима информация относно логиката, прилагана при всяко автоматизирано обработване;

з) всяка допълнителна информация, необходима за гарантиране на добросъвестното обработване по отношение на субекта на данните, като се отчитат конкретните обстоятелства, при които се събират личните данни.

з) всяка допълнителна информация, която е необходима за гарантиране на добросъвестното обработване по отношение на субекта на данните, като се отчитат конкретните обстоятелства, при които се събират или обработват личните данни, по-специално съществуването на определени дейности и операции по обработване, за които оценките на въздействието им във връзка с личните данни са показали, че те може да са високорискови;

 

за) когато е приложимо, информация дали лични данни са били предоставяни на публични органи през последния период от 12 последователни месеца.

2. Когато личните данни се събират от субекта на данните, администраторът го информира, в допълнение към информацията, посочена в параграф 1, дали предоставянето на лични данни е задължително или доброволно, както и за възможните последици, ако такива данни не бъдат предоставени.

2. Когато личните данни се събират от субекта на данните, администраторът го информира, в допълнение към информацията, посочена в параграф 1, дали предоставянето на лични данни е задължително или доброволно, както и за възможните последици, ако такива данни не бъдат предоставени.

 

2a. При определянето на допълнителната информация, която е необходима за добросъвестността на обработването съгласно параграф 1, буква з), администраторите вземат предвид съответните насоки съгласно член 38.

3. Когато личните данни не се събират от субекта на данните, администраторът информира субекта на данните, в допълнение към информацията, посочена в параграф 1, за източника на личните данни.

3. Когато личните данни не се събират от субекта на данните, администраторът информира субекта на данните, в допълнение към информацията, посочена в параграф 1, за източника на конкретните лични данни. Ако източниците на данните са общественодостъпни, може да се направи общо указване.

4. Администраторът предоставя информацията, посочена в параграфи 1, 2 и 3:

4. Администраторът предоставя информацията, посочена в параграфи 1, 2 и 3:

а) в момента на получаване на личните данни от субекта на данните; или

а) в момента на получаване на личните данни от субекта на данните или, когато това не е възможно - без излишно забавяне; или

 

аа) след отправено искане от орган, организация или сдружение, посочени в член 73;

б) когато личните данни не се събират от субекта на данните, в момента на тяхното записване или в разумен срок след събирането им, като се отчитат конкретните обстоятелства, при които данните са събрани или обработени по друг начин, или, когато се предвижда те да бъдат разкрити пред друг получател — не по-късно от датата, на която данните се разкриват за първи път.

б) когато личните данни не се събират от субекта на данните, в момента на тяхното записване или в разумен срок след събирането им, като се отчитат конкретните обстоятелства, при които данните са събрани или обработени по друг начин, или, когато се предвижда те да бъдат предадени на друг получател — не по-късно от момента на първото предаване, или ако данните се използват за връзка със субекта на данните — най-късно при осъществяване на първия контакт с този субект на данните; или

 

ба) само след отправено искане, когато данните се обработват от малко или микропредприятие, което обработва лични данни единствено като вторична дейност.

5. Параграфи 1―4 не се прилагат, когато:

5. Параграфи 1―4 не се прилагат, когато:

а) субектът на данните вече разполага с информацията, посочена в параграфи 1, 2 и 3; или

а) субектът на данните вече разполага с информацията, посочена в параграфи 1, 2 и 3; или

б) данните не се събират от субекта на данните и предоставянето на такава информация се окаже невъзможно или изисква непропорционално големи усилия; или

б) данните се обработват за исторически, статистически или научноизследователски цели при спазване на условията и гаранциите, посочени в член 81 или 83, не се събират от субекта на данните и предоставянето на такава информация се окаже невъзможно или изисква непропорционално големи усилия и администраторът е публикувал информацията, така че тя да може да бъде извлечена от всеки; или

 

в) данните не се събират от субекта на данните и записването или разкриването им е изрично предвидено със закон; или

в) данните не се събират от субекта на данните и записването или разкриването им е изрично предвидено със закон, който се прилага спрямо администратора и който осигурява подходящи мерки за защита на законните интереси на субекта на данните, като се отчитат рисковете, свързани с обработването и естеството на личните данни; или

г) данните не се събират от субекта на данните и предоставянето на такава информация ще накърни правата и свободите на други лица, както са установени в правото на Съюза или на държава членка в съответствие с член 21.

г) данните не се събират от субекта на данните и предоставянето на такава информация ще накърни правата и свободите на други физически лица, както са установени в правото на Съюза или на държава членка в съответствие с член 21;

 

га) данните се обработват, поверяват или съобщават при упражняване на професионална дейност от лице, спрямо което се прилага регламентирано от Съюза или държавата членка задължение за запазване на професионалната тайна или законово задължение за поверителност, освен когато данните се събират от самия субект на данни.

 

6. В случая, посочен в параграф 5, буква б), администраторът осигурява подходящи мерки за защита на законните интереси на субекта на данните.

6. В случая, посочен в параграф 5, буква б), администраторът осигурява подходящи мерки за защита на правата или законните интереси на субекта на данните.

7. На Комисията се предоставя правомощието да приема делегирани актове в съответствие с член 86 с цел допълнително уточняване на критериите за категориите получатели, посочени в параграф 1, буква е), изискванията за уведомяването относно потенциалния достъп, посочен в параграф 1, буква ж), критериите за необходимата допълнителна информация, посочена в параграф 1, буква з), за конкретните сектори и особените ситуации на обработване на данни, както и условията и подходящите гаранции за изключенията, определени в параграф 5, буква б). Когато прави това, Комисията взема целесъобразни мерки за малките и микропредприятията, както и за средните предприятия.

 

8. Комисията може да установява образци за предоставянето на информацията, посочена в параграфи 1—3, като се отчитат конкретните характеристики и нуждите на различните сектори и ситуации на обработване на данни, където това е необходимо. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 87, параграф 2.

 

Изменение  111

Предложение за регламент

Член 15

Текст, предложен от Комисията

Изменение

Право на достъп на субекта на данни

Право на достъп и на получаване на данни на субекта на данни

1. Субектът на данни има право при поискване да получава по всяко време потвърждение от администратора дали се обработват лични данни, свързани с него. Когато се обработват такива лични данни, администраторът предоставя следната информация:

1. При спазване на разпоредбите на член 12, параграф 4, субектът на данни има право при поискване да получава по всяко време потвърждение от администратора дали се обработват лични данни, свързани с него, и предоставяне на ясен и общоупотребим език на следната информация:

а) целите на обработването;

а) целите на обработването за всяка категория лични данни;

б) категориите засегнати лични данни;

б) категориите засегнати лични данни;

в) получателите или категориите получатели, пред които ще бъдат или са разкрити личните данни, по-специално получателите в трети държави;

в) получателите, пред които ще бъдат или са разкрити личните данни, включително получателите в трети държави;

г) срока, за който ще се съхраняват личните данни;

г) срока, за който ще се съхраняват личните данни или, когато това не е възможно, критериите, според които се определя този срок;

д) съществуването на правото да се изисква от администратора коригирането или заличаването на личните данни, свързани със субекта на данните, или да се възрази срещу обработването на такива лични данни;

д) съществуването на правото да се изисква от администратора коригирането или заличаването на личните данни, свързани със субекта на данните, или да се възрази срещу обработването на такива лични данни;

е) правото да бъде подадена жалба до надзорния орган и да бъдат предоставени неговите координати за връзка;

е) правото да бъде подадена жалба до надзорния орган и да бъдат предоставени неговите координати за връзка;

ж) съобщаване на личните данни, които са в процес на обработване, и на всякаква налична информация за техния източник;

 

з) значението и предвидените последствия от такова обработване, най-малко в случая на мерките, посочени в член 20.

з) значението и предвидените последствия от такова обработване.

 

за) значима информация относно логиката, прилагана при всяко автоматизирано обработване;

 

зб) без да се засягат разпоредбите на член 21, в случай на разкриване на лични данни пред публичен орган по искане на публичен орган – потвърждение на факта, че е отправено такова искане.

2. Субектът на данните има право да получи от администратора съобщение за личните данни, които са в процес на обработване. Когато субектът на данни подава искане в електронна форма, информацията се предоставя в електронна форма, освен ако субектът на данни не е поискал друго.

2. Субектът на данните има право да получи от администратора съобщение за личните данни, които са в процес на обработване. Когато субектът на данни подава искането в електронна форма, информацията се предоставя в електронен и структуриран формат, освен ако субектът на данни не е поискал друго. Без да се засягат разпоредбите на член 10, администраторът предприема всички разумни действия, за да удостовери, че лицето, искащо достъп до данните, е субектът на данните.

 

2a. Когато субектът на данни е предоставил личните данни и когато личните данни се обработват с електронни средства, субектът на данните има право да получи от администратора копие на предоставените лични данни в електронен и оперативно съвместим формат, който е широко използван и позволява по-нататъшното му ползване от субекта на данните, без да бъде възпрепятстван от администратора, от когото са изтеглени личните данни. Когато е технически осъществимо и тази възможност е налице, данните се прехвърлят пряко от администратор към администратор по искане на субекта на данните.

 

 

2б. Настоящият член не засяга задължението за заличаване на данни, когато те вече не са необходими, съгласно член 5, параграф 1, буква д).

 

2в. Не съществува право на достъп в съответствие с параграфи 1 и 2, когато става въпрос за данни по смисъла на член 14, параграф 5, буква га), с изключение на случаите, когато субектът на данните е оправомощен да отмени въпросната тайна и предприема съответните действия.

3. На Комисията се предоставя правомощието да приема делегирани актове в съответствие с член 86 с цел допълнително уточняване на критериите и изискванията за съобщаване на субекта на данни на съдържанието на личните данни, посочени в параграф 1, буква ж).

 

4. Комисията може да установява образци и процедури за искане и предоставяне на достъп до информацията, посочена в параграф 1, включително за проверка на самоличността на субекта на данните и съобщаване на личните данни на субекта на данните, като се отчитат конкретните характеристики и нуждите на различните сектори и ситуации на обработване на данни. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 87, параграф 2.

 

Изменение  112

Предложение за регламент

Член 17

Текст, предложен от Комисията

Изменение

Право „да бъдеш забравен“ и право на заличаване

Право на заличаване

1. Субектът на данни има право по негово искане администраторът да заличи личните данни, свързани с него, и да се въздържа от по-нататъшно разпространение на такива данни, по-специално що се отнася до лични данни, които са били предоставени от субекта на данните, докато той е бил дете, когато се прилага едно от следните условия:

1. Субектът на данни има право по негово искане администраторът да заличи личните данни, свързани с него, и да се въздържа от по-нататъшно разпространение на такива данни и трети лица да заличат всички връзки, копия илиреплики на тези лични данни, когато се прилага едно от следните условия:

а) данните повече не са необходими за целите, за които са били събрани или обработвани по друг начин;

а) данните повече не са необходими за целите, за които са били събрани или обработвани по друг начин;

б) субектът на данните оттегли своето съгласие, върху което се основава обработването на данните съгласно член 6, параграф 1, буква а), или когато срокът за съхранение, за който е било дадено съгласие, е изтекъл и когато няма друго правно основание за обработването на данните;

б) субектът на данните оттегли своето съгласие, върху което се основава обработването на данните съгласно член 6, параграф 1, буква а), или когато срокът за съхранение, за който е било дадено съгласие, е изтекъл и когато няма друго правно основание за обработването на данните;

в) субектът на данните възразява срещу обработването на лични данни съгласно член 19;

в) субектът на данните възразява срещу обработването на лични данни съгласно член 19;

 

ва) с окончателно и неподлежащо на обжалване решение на съд или регулаторен орган, установен в Съюза е постановено, че въпросните данни трябва да бъдат заличени;

г) обработването на данните не е в съответствие с настоящия регламент по други причини.

г) данните са били обработвани незаконосъобразно.

 

1a. Прилагането на параграф 1 зависи от способността на администратора да потвърди, че лицето, което е поискало заличаването, е субектът на данни.

2. Когато администраторът, посочен в параграф 1, е направил личните данни обществено достояние, той предприема всички разумни мерки, в това число технически мерки, по отношение на данните, за чието публикуване носи отговорност, за да информира третите страни, които обработват такива данни, че даден субект на данни е поискал те да заличат всякакви връзки към тези лични данни или копия или реплики от тях. Когато администраторът е разрешил на дадена трета страна да публикува лични данни, той се счита за отговорен за това публикуване.

2. Когато администраторът, посочен в параграф 1, е направил личните данни обществено достояние без основание по член 6, параграф 1, той предприема всички разумни мерки за заличаване на данните, включително от трети лица, без да се засягат разпоредбите на член 77. Администраторът информира, когато е възможно, субекта на данни за предприетите действия от съответните трети лица.

3. Администраторът извършва заличаването незабавно дотолкова, доколкото съхранението на лични данни е необходимо:

3. Администраторът и, когато е приложимо, третото лице извършва заличаването незабавно дотолкова, доколкото съхранението на лични данни е необходимо:

а) за упражняване на правото на свобода на изразяване в съответствие с член 80;

а) за упражняване на правото на свобода на изразяване в съответствие с член 80;

б) по причини от обществен интерес в областта на общественото здраве в съответствие с член 81;

б) по причини от обществен интерес в областта на общественото здраве в съответствие с член 81;

в) за исторически, статистически или научноизследователски цели в съответствие с член 83;

в) за исторически, статистически или научноизследователски цели в съответствие с член 83;

г) за спазване на законово задължение за запазване на личните данни, предвидено в правото на Съюза или на държава членка, което се прилага спрямо администратора; законите на държавите членки се стремят към цел от обществен интерес, зачитат същността на правото на защита на личните данни и са пропорционални на преследваната законосъобразна цел;

г) за спазване на законово задължение за запазване на личните данни, предвидено в правото на Съюза или на държава членка, което се прилага спрямо администратора; законите на държавите членки се стремят към цел от обществен интерес, зачитат правото на защита на личните данни и са пропорционални на преследваната законосъобразна цел;

д) в случаите, посочени в параграф 4.

д) в случаите, посочени в параграф 4.

4. Вместо да заличи личните данни, администраторът ограничава обработването им, когато:

4. Вместо да заличи личните данни администраторът ограничава обработването им по такъв начин, че те вече не са предмет на нормален достъп до данни и операции по обработване и не могат да бъдат променени, когато:

а) точността им се оспорва от субекта на данните, за срок, който позволява на администратора да провери точността на данните;

а) точността им се оспорва от субекта на данните, за срок, който позволява на администратора да провери точността на данните;

б) администраторът не се нуждае повече от личните данни за изпълнението на своите задачи, но те трябва да бъдат запазени за доказателствени цели;

б) администраторът не се нуждае повече от личните данни за изпълнението на своите задачи, но те трябва да бъдат запазени за доказателствени цели;

в) обработването им е неправомерно, но субектът на данните не желае те да бъдат заличени, а изисква вместо това ограничаване на използването им;

в) обработването им е неправомерно, но субектът на данните не желае те да бъдат заличени, а изисква вместо това ограничаване на използването им;

 

ва) с окончателно и неподлежащо на обжалване решение на съд или регулаторен орган, установен в Съюза е постановено, че използването на въпросните данни трябва да бъде ограничено;

г) субектът на данните предявява искане за предаване на личните данни на друга система за автоматизирано обработване в съответствие с член 18, параграф 2.

г) субектът на данните предявява искане за предаване на личните данни на друга система за автоматизирано обработване в съответствие с член 15, параграф 2а;

 

га) конкретният вид технология за съхранение не позволява заличаване и е била въведена преди влизането в сила на настоящия регламент.

5. Личните данни, посочени в параграф 4 могат, с изключение на тяхното съхранение, да бъдат обработвани единствено за доказателствени цели или със съгласието на субекта на данните, или за защита на правата на друго физическо или юридическо лице, или за цел от обществен интерес.

5. Личните данни, посочени в параграф 4 могат, с изключение на тяхното съхранение, да бъдат обработвани единствено за доказателствени цели или със съгласието на субекта на данните, или за защита на правата на друго физическо или юридическо лице, или за цел от обществен интерес.

6. Когато обработването на личните данни е ограничено съгласно параграф 4, администраторът информира субекта на данните преди да премахне ограничението за обработването.

6. Когато обработването на личните данни е ограничено съгласно параграф 4, администраторът информира субекта на данните преди да премахне ограничението за обработването.

7. Администраторът прилага механизми, чрез които да гарантира, че се спазват определените срокове за заличаването на лични данни и/или за периодичен преглед на необходимостта от съхранение на данните.

 

8. Когато се извършва заличаване на лични данни, администраторът не ги подлага на друг вид обработване.

8. Когато се извършва заличаване на лични данни, администраторът не ги подлага на друг вид обработване.

 

8a. Администраторът прилага механизми, чрез които да гарантира, че се спазват определените срокове за заличаването на лични данни и/или за периодичен преглед на необходимостта от съхранение на данните.

9. На Комисията се предоставя правомощието да приема делегирани актове в съответствие с член 86 с цел допълнително уточняване на:

9. На Комисията се предоставя правомощието да приема, след като поиска становище от Европейския комитет по защита на данните, делегирани актове в съответствие с член 86 с цел допълнително уточняване на:

а) критериите и изискванията за прилагането на параграф 1 за конкретните сектори и в особените ситуации на обработване на данни;

а) критериите и изискванията за прилагането на параграф 1 за конкретните сектори и в особените ситуации на обработване на данни;

б) условията за заличаването на връзки, копия или реплики на личните данни от обществено достъпни съобщителни услуги, както е посочено в параграф 2;

б) условията за заличаването на връзки, копия или реплики на личните данни от обществено достъпни съобщителни услуги, както е посочено в параграф 2;

в) критериите и условията за ограничаване на обработването на лични данни, както е посочено в параграф 4.

в) критериите и условията за ограничаване на обработването на лични данни, както е посочено в параграф 4.

Изменение  113

Предложение за регламент

Член 18

Текст, предложен от Комисията

Изменение

Право на преносимост на данните

заличава се

1. Субектът на данни има право, когато личните данни се обработват с електронни средства и в структуриран и широко използван формат, да получи от администратора копие на данните, които се обработват, в електронен и структуриран формат, който е широко използван и позволява по-нататъшното му ползване от субекта на данните.

 

2. Когато субектът на данните е предоставил личните данни и обработването се основава на съгласие или договор, субектът на данните има право да предава тези лични данни, както и друга информация, предоставена от него и запазена чрез система за автоматизирано обработване, на друга система, в широко използван електронен формат, без да бъде възпрепятстван от администратора, от когото са изтеглени личните данни.

 

3. Комисията може да определи електронния формат, посочен в параграф 1, както и техническите стандарти, условията и процедурите за предаването на лични данни съгласно параграф 2. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 87, параграф 2.

 

Изменение  114

Предложение за регламент

Член 19

Текст, предложен от Комисията

Изменение

Право на възражение

Право на възражение

1. Субектът на данни има право по всяко време и на основание, свързано с неговата конкретна ситуация, на възражение срещу обработването на лични данни, което е основано на член 6, параграф 1, букви г), д) и е), освен ако администраторът не докаже, че са налице императивни законни основания за обработването, които имат преимущество пред интересите или основните права и свободи на субекта на данните.

1. Субектът на данни има право по всяко време на възражение срещу обработването на лични данни, което е основано на член 6, параграф 1, букви г) и д), освен ако администраторът не докаже, че са налице императивни законни основания за обработването, които имат преимущество пред интересите или основните права и свободи на субекта на данните.

2. Когато се обработват лични данни за целите на директния маркетинг, субектът на данните има право на възражение срещу обработването на неговите лични данни за такъв вид маркетинг. Това право се представя изрично на субекта на данните в разбираем вид, който ясно се разграничава от останалата информация.

2. Когато обработването на лични данни се основава на член 6, параграф 1, буква е), субектът на данните има право на възражение безплатно, по всяко време и без допълнително обосноваване, като цяло или за всяка конкретна цел, срещу обработването на неговите лични данни.

 

2a. Правото, посочено в параграф 2, се представя изрично на субекта на данните по разбираем начин и в разбираема форма, като се използва ясен и общоупотребим език , по-специално при всяка информация, конкретно насочена към дете, и в ясно различим вид от останалата информация.

 

2б. В контекста на използването на услугите на информационното общество и независимо от Директива 2002/58/ЕО, правото на възражение може да се упражнява чрез автоматизирани средства, като се използва технически стандарт, който позволява на субекта на данни да изрази ясно желанието си.

3. Когато е повдигнато възражение съгласно параграфи 1 и 2, администраторът престава да използва или да обработва по друг начин съответните лични данни.

3. Когато е повдигнато възражение съгласно параграфи 1 и 2, администраторът престава да използва или да обработва по друг начин съответните лични данни за целите, определени във възражението.

(Последното изречение на параграф 2 от текста на Комисията стана параграф 2а в изменението на Парламента.)

 

Изменение  115

Предложение за регламент

Член 20

Текст, предложен от Комисията

Изменение

Мерки, основани на профилиране

Профилиране

1. Всяко физическо лице има правото да не подлежи на мярка, която има правни последици за него или го засяга съществено, и която се основава единствено на автоматизираното обработване на данни, имащо за цел да се оценят определени лични аспекти, свързани с това физическо лице, или да се анализира или прогнозира по-специално изпълнението на професионалните му задължения, неговото икономическо положение, местоположение, здравословно състояние, лични предпочитания, надеждност или поведение.

1. Без да се засягат разпоредбите на член 6, всяко физическо лице има правото да представи възражение срещу профилирането в съответствие с член 19. Субектът на данните бива информиран относно правото да представи възражение срещу профилирането по категорично видим начин.

2. При условие че са спазени останалите разпоредби на настоящия регламент, дадено лице може да подлежи на мярка от вида, посочен в параграф 1, само ако обработването:

2. При условие че са спазени останалите разпоредби на настоящия регламент, дадено лице може да подлежи на профилиране, което води до мерки, пораждащи правни последици за субекта на данни или по подобен начин в значителна степен засягат интересите, правата или свободите на засегнатия субект на данни, само ако обработването:

а) се извършва по време на сключването или изпълнението на договор, когато искането за сключване или изпълнение на договора, подадено от субекта на данните, е било удовлетворено или когато са предоставени подходящи мерки за защита на неговите законни интереси, като правото на получаване на човешка намеса; или

а) е необходимо за сключването или изпълнението на договор, когато искането за сключване или изпълнение на договора, подадено от субекта на данните, е било удовлетворено, при условие, че са предоставени подходящи мерки за защита на неговите законни интереси; или

б) е изрично разрешено от правото на Съюза или на държава членка, в което се предвиждат също подходящи мерки за защита на законните интереси на субекта на данните; или

б) е изрично разрешено от правото на Съюза или на държава членка, в което се предвиждат също подходящи мерки за защита на законните интереси на субекта на данните;

в) се основава на съгласието на субекта на данните при спазване на условията, предвидени в член 7, и при наличието на подходящи гаранции;

в) се основава на съгласието на субекта на данните при спазване на условията, предвидени в член 7, и при наличието на подходящи гаранции;

3. Автоматизираното обработване на лични данни с цел оценяване на определени лични аспекти, свързани с дадено физическо лице, не се основава единствено на специалните категории лични данни, посочени в член 9.

3. Забранява се профилиране, което има дискриминиращ ефект спрямо физическите лица въз основа на раса или етнически произход, на политически мнения, религия или убеждения, членство в професионален съюз, сексуална ориентация или полова идентичност, или което води до мерки с такъв ефект. Администраторът прилага ефективна защита срещу евентуална дискриминация в резултат на профилирането. Профилирането не се основава единствено на специалните категории лични данни, посочени в член 9.

4. В случаите, посочени в параграф 2, информацията, която трябва да бъде предоставена от администратора съгласно член 14, включва информация относно наличието на обработване за мярка от вида, посочен в параграф 1, и относно предвидените последици от този вид обработване за субекта на данните.

 

5. На Комисията се предоставя правомощието да приема делегирани актове в съответствие с член 86 с цел допълнително уточняване на критериите и условията за подходящите мерки за защита на законните интереси на субекта на данни, посочени в параграф 2.

 

5. Профилирането, което води до мерки, пораждащи правни последици за субекта на данни или по подобен начин в значителна степен засяга интересите, правата или свободите на засегнатия субект на данни, не се основава единствено или предимно на автоматизирано обработване и включва оценка от страна на човек, в това число обяснение за взетото решение в резултат на тази оценка. Подходящите мерки за защита на законните интереси на субекта на данни, посочени в параграф 2, включват правото на получаване на оценка от страна на човек и обяснение за взетото решение в резултат на тази оценка.

 

5a. На Европейския комитет по защита на данните се възлага задачата за издаване на насоки, препоръки и най-добри практики, в съответствие с член 66, параграф 1, буква б), с цел допълнително уточняване на критериите и изискванията за профилиране, въз основа на параграф 2.

Изменение  116

Предложение за регламент

Член 21

Текст, предложен от Комисията

Изменение

Ограничения

Ограничения

1. В правото на Съюза или на държава членка може чрез законодателна мярка да се ограничи обхватът на задълженията и правата, предвидени в член 5, букви а)―д), в членове 11—20 и в член 32, когато такова ограничение представлява необходима и пропорционална мярка в едно демократично общество, чиято цел е да се гарантира:

1. В правото на Съюза или на държава членка може чрез законодателна мярка да се ограничи обхватът на задълженията и правата в членове 11–19 и в член 32, когато такова ограничение отговаря на ясно определена цел от обществен интерес, зачита същността на правото на защита на личните данни, пропорционално е на преследваната законосъобразна цел и зачита основните права и интереси на субекта на данните и е необходима и пропорционална мярка в едно демократично общество, чиято цел е да се гарантира:

а) обществената сигурност;

а) обществената сигурност;

б) предотвратяването, разследването, разкриването и наказателното преследване на престъпления;

б) предотвратяването, разследването, разкриването и наказателното преследване на престъпления;

в) други обществени интереси на Съюза или на държава членка, и по-специално на важен икономически или финансов интерес на Съюза или на държава членка, включително валутни, бюджетни и данъчни въпроси и защитата на пазарната стабилност и почтеност;

в) данъчни въпроси;

г) предотвратяването, разследването, разкриването и наказателното преследване на нарушения на етичните кодекси при регламентираните професии;

г) предотвратяването, разследването, разкриването и наказателното преследване на нарушения на етичните кодекси при регламентираните професии;

д) функция по наблюдението, проверката или регламентирането, свързана, дори само понякога, с упражняването на официални правомощия в случаите, посочени в букви а), б), в) и г);

д) функция по наблюдението, проверката или регламентирането в рамките на упражняването на компетентни обществени правомощия в случаите, посочени в букви а), б), в) и г);

е) защитата на субекта на данните или на правата и свободите на други лица.

е) защитата на субекта на данните или на правата и свободите на други лица.

2. По-специално, всяка законодателна мярка, посочена в параграф 1, съдържа специални разпоредби най-малко по отношение на целите, преследвани с обработването, и определянето на администратора.

 

2. По-специално, всяка законодателна мярка, посочена в параграф 1, трябва да бъде необходима и пропорционална в едно демократично общество и да съдържа специални разпоредби най-малко по отношение на:

 

а) целите, преследвани с обработването;

 

б) определянето на администратора;

 

в) конкретните цели на обработването и средствата за обработване;

 

г) гаранциите за предотвратяване на злоупотреби или незаконен достъп или пренос;

 

д) правото на субектите на данни да бъдат информирани за ограничението.

 

2a. Законодателните мерки, посочени в параграф 1, нито разрешават, нито налагат задължения на частните администратори да задържат данни в допълнение към онези, които са строго необходими за първоначалната цел.

(Последните думи на параграф 2 от текста на Комисията станаха точка а) и б) в изменението на Парламента.)

Изменение  117

Предложение за регламент

Член 22

Текст, предложен от Комисията

Изменение

Отговорност на администратора

Отговорност и отчетност на администратора

1. Администраторът приема политики и предприема подходящи мерки, за да гарантира и да има възможност да докаже, че обработването на лични данни се извършва в съответствие с настоящия регламент.

1. Администраторът приема подходящи политики и предприема подходящи и проверими технически и организационни мерки, за да гарантира и да има възможност да докаже по прозрачен начин, че обработването на лични данни се извършва в съответствие с настоящия регламент, като се вземат предвид достиженията на техническия прогрес, естеството на обработването на лични данни, контекстът, обхватът и целите на обработването, рисковете за правата и свободите на субектите на данни и вида на организацията, както към момента на определянето на средствата за обработването на данни, така и към момента на самото обработване.

 

1a. Като взема предвид достиженията на техническия прогрес и разходите за тяхното внедряване, администраторът предприема всички разумни стъпки за въвеждане на политики и процедури за изпълнение, които неотменно зачитат независимите решения на субектите на данни. Тези политики за изпълнение се преразглеждат най-малко на всеки две години и при необходимост се актуализират.

2. Мерките, предвидени в параграф 1, включват, по-специално:

 

а) поддържане на документацията съгласно член 28;

 

б) изпълнение на изискванията за сигурността на данните, определени в член 30;

 

в) извършване на оценка на въздействието върху защитата на данните съгласно член 33;

 

г) спазване на изискванията за предварително разрешение или предварителна консултация с надзорния орган съгласно член 34, параграфи 1 и 2;

 

д) определяне на длъжностно лице по защита на данните съгласно член 35, параграф 1;

 

3. Администраторът прилага механизми, за да гарантира проверката на ефективността на мерките, посочени в параграфи 1 и 2. Ако отговаря на изискването за пропорционалност, тази проверка се извършва от независими вътрешни или външни одитори.

3. Администраторът е в състояние да докаже адекватността и ефективността на мерките, посочени в параграфи 1 и 2. Всички редовни общи доклади за дейностите на администратора, например задължителните доклади на публично търгуваните дружества, съдържат обобщаващо описание на политиките и мерките, посочени в параграф 1.

 

 

3a. Администраторът има право да прехвърля лични данни в Съюза в рамките на групата от предприятия, към която принадлежи, когато това обработване е необходимо за законни вътрешни административни цели между свързани стопански дейности на групата от предприятия и когато е гарантирано адекватно равнище на защита на данните, както и интересите на субектите на данни чрез вътрешни разпоредби за защита на данните или от равностоен кодекс за поведение, съгласно посоченото в член 38.

4. На Комисията се предоставя правомощието да приема делегирани актове в съответствие с член 86 с цел допълнително уточняване на критериите и изискванията за подходящите мерки, посочени в параграф 1, различни от онези, които вече са посочени в параграф 2, условията за проверката и механизмите за одит, посочени в параграф 3, и по отношение на критериите за пропорционалност съгласно параграф 3, както и да взема предвид специални мерки за микропредприятията, малките и средните предприятия.

 

Изменение  118

Предложение за регламент

Член 23

Текст, предложен от Комисията

Изменение

Защита на данните още при проектирането и по подразбиране

Защита на данните още при проектирането и по подразбиране

1. Като взема предвид достиженията на техническия прогрес и разходите за тяхното внедряване, администраторът въвежда — както към момента на определянето на средствата за обработването на данни, така и към момента на самото обработване на данни — подходящи технически и организационни мерки и процедури, така че обработването да отговаря на изискванията на настоящия регламент и да гарантира защитата на правата на субекта на данни.

1. Като взема предвид достиженията на техническия прогрес, настоящите технически познания, международните най-добри практики и свързаните с обработването рискове, администраторът и обработващият лични данни, ако има такъв, въвеждат — както към момента на определянето на целите и средствата за обработването на данни, така и към момента на самото обработване на данни — подходящи и пропорционални технически и организационни мерки и процедури, така че обработването да отговаря на изискванията на настоящия регламент и да гарантира защитата на правата на субекта на данни, по-специално по отношение на принципите, определени в член 5. Защитата на данните при проектирането взема специално предвид целия жизнен цикъл на управление на личните данни — от събирането през обработването до заличаването, като систематично се съсредоточава върху всеобхватните процедурни мерки за защита по отношение на точността, поверителността, целостта, физическата защита и заличаването на лични данни. Когато администраторът е извършил оценка на въздействието върху защитата на данните съгласно член 33, резултатите се вземат под внимание при разработването на тези мерки и процедури.

 

1a. С цел да се насърчи широкото прилагане в различни икономически сектори, защитата на данните при проектирането е необходимо условие за тръжните процедури за възлагане на обществени поръчки в съответствие с Директива 2004/18/ЕО на Европейския парламент и на Съвета1 , както и в съответствие с Директива 2004/17/ЕО на Европейския парламент и на Съвета2 (Директива за комуналните услуги).

2. Администраторът въвежда механизми, за да се гарантира, че по подразбиране се обработват единствено онези лични данни, които са необходими за всяка конкретна цел на обработването, и по-специално, че данните не се събират или запазват в обем или за срок на съхранение, по-голям от минимално необходимия за тези цели. По-специално тези механизми гарантират, че по подразбиране личните данни не са достъпни за неограничен брой физически лица.

2. Администраторът гарантира, че по подразбиране се обработват единствено онези лични данни, които са необходими за всяка конкретна цел на обработването, и по-специално, че данните не се събират, запазват или разпространяват в обем или за срок на съхранение, по-голям от минимално необходимия за тези цели. По-специално тези механизми гарантират, че по подразбиране личните данни не са достъпни за неограничен брой физически лица и че субектите на данни са в състояние да контролират разпространението на личните им данни.

3. На Комисията се предоставя правомощието да приема делегирани актове в съответствие с член 86 с цел допълнително уточняване на критериите и изискванията за подходящите мерки и механизми, посочени в параграфи 1 и 2, по-специално за изискванията към защитата на данните още при проектирането, приложими за секторите, продуктите и услугите.

 

4. Комисията може да определя технически стандарти за изискванията, определени в параграфи 1 и 2. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 87, параграф 2.

 

 

1 Директива 2004/18/ЕО на Европейския парламент и на Съвета от 31 март 2004 г. относно координирането на процедурите за възлагане на обществени поръчки за строителство, услуги и доставки (OВ L 134, 30.4.2004 г., стр. 114).

2 Директива 2004/17/ЕО на Европейския парламент и на Съвета от 31 март 2004 г. относно координиране на процедурите за възлагане на обществени поръчки от възложители, извършващи дейност във водоснабдяването, енергетиката, транспорта и пощенските услуги (ОВ L 134, 30.4.2004 г., стр. 1).

Изменение  119

Предложение за регламент

Член 24

Текст, предложен от Комисията

Изменение

Съвместни администратори

Съвместни администратори

Когато даден администратор определя целите, условията и средствата за обработването на лични данни съвместно с други, съвместните администратори определят чрез договорености помежду си съответните отговорности за спазване на задълженията по настоящия регламент, по-специално по отношение на процедурите и механизмите за упражняване на правата на субекта на данните.

Когато няколко администратори определят съвместно целите и средствата за обработването на лични данни, съвместните администратори определят чрез договорености помежду си съответните отговорности за спазване на задълженията по настоящия регламент, по-специално по отношение на процедурите и механизмите за упражняване на правата на субекта на данните. Договореностите надлежно отразяват съответните действителни роли на съвместните администратори, а съществените характеристики на договореностите са достъпни за субекта на данните. Ако съществува неяснота относно отговорността, администраторите носят споделена и солидарна отговорност.

Изменение  120

Предложение за регламент

Член 25

Текст, предложен от Комисията

Изменение

Представители на администратори, които не са установени в Съюза

Представители на администратори, които не са установени в Съюза

1. В ситуацията, посочена в член 3, параграф 2, администраторът определя свой представител в Съюза.

1. В ситуацията, посочена в член 3, параграф 2, администраторът определя свой представител в Съюза.

2. Това задължение не се прилага, когато:

2. Това задължение не се прилага, когато:

а) администраторът е установен в трета държава, за която Комисията е решила, че осигурява адекватно ниво на защита в съответствие с член 41; или

а) администраторът е установен в трета държава, за която Комисията е решила, че осигурява адекватно ниво на защита в съответствие с член 41; или

б) работещите в дадено предприятие са по-малко от 250 души; или

б) администратор, който обработва лични данни, свързани с по-малко от 5000 субекти на данни през всеки пореден период от 12 месеца и който не обработва специални категории лични данни, както се посочва в член 9, параграф 1, данни за местонахождение или данни относно деца или на наети по трудово правоотношение лица в широкомащабни регистри на данни; или

в) органът или структурата са публични; или

в) органът или структурата са публични; или

г) администраторът предлага само понякога стоки или услуги на субекти на данни с местоживеене в Съюза.

г) администратор, който само понякога предлага стоки или услуги на субекти на данни в Съюза, освен обработката на специални категории лични данни, както се посочва в член 9, параграф 1, данни за местонахождение или данни относно деца или на наети по трудово правоотношение лица в широкомащабни регистри на данни.

3. Представителят е установен в една от тези държави членки, в която пребивават постоянно субектите на данни, чиито лични данни се обработват във връзка с предлагането на стоки или услуги или чието поведение се наблюдава.

3. Представителят е установен в една от тези държави членки, в която се извършва предлагането на стоки или услуги на субектите на данни или тяхното наблюдение.

4. Определянето на представител от администратора не засяга съдебните производства, които биха могли да бъдат започнати срещу самия администратор.

4. Определянето на представител от администратора не засяга съдебните производства, които биха могли да бъдат започнати срещу самия администратор.

Изменение  121

Предложение за регламент

Член 26

Текст, предложен от Комисията

Изменение

Обработващ лични данни

Обработващ лични данни

1. Когато дадена операция по обработване се извършва от името на даден администратор, последният избира обработващ лични данни, който предоставя достатъчни гаранции, че ще приложи подходящи технически и организационни мерки и процедури, така че обработването да отговаря на изискванията на настоящия регламент и да гарантира защитата на правата на субекта на данни, по-специално по отношение на техническите мерки за сигурност и организационните мерки, управляващи обработването, които трябва да бъдат изпълнени, както и да гарантира спазването на тези мерки.

1. Когато обработването се извършва от името на даден администратор, последният избира обработващ лични данни, който предоставя достатъчни гаранции, че ще приложи подходящи технически и организационни мерки и процедури, така че обработването да отговаря на изискванията на настоящия регламент и да гарантира защитата на правата на субекта на данни, по-специално по отношение на техническите мерки за сигурност и организационните мерки, управляващи обработването, които трябва да бъдат изпълнени, както и да гарантира спазването на тези мерки.

2. Извършването на обработване от страна на обработващ лични данни се урежда с договор или друг правен акт, който обвързва обработващия лични данни с администратора и постановява, по-специално, че обработващият лични данни:

2. Извършването на обработване от страна на обработващ лични данни се урежда с договор или друг правен акт, който обвързва обработващия лични данни с администратора. Администраторът и обработващият лични данни са свободни да определят съответните роли и задачи по отношение на изискванията на настоящия регламент и предвиждат, че обработващият лични данни :

а) действа единствено по указания на администратора, по-специално когато предаването на използваните лични данни е забранено;

а) обработва лични данни единствено по указания на администратора, освен ако не се изисква друго в съответствие с правото на Съюза или на държавата членка;

б) наема единствено персонал, който е поел ангажимент за поверителност или е задължен по закон да спазва поверителност;

б) наема единствено персонал, който е поел ангажимент за поверителност или е задължен по закон да спазва поверителност;

в) взема всички необходими мерки съгласно член 30;

в) взема всички необходими мерки съгласно член 30;

г) включва друг обработващ лични данни единствено с предварителното разрешение на администратора;

г) определя условията за включване на друг обработващ лични данни единствено с предварителното разрешение на администратора, освен ако не е определено друго;

д) доколкото това е възможно предвид естеството на обработването, установява с одобрението на администратора необходимите технически и организационни изисквания за изпълнението на задължението на администратора да отговаря на исканията за упражняване на правата на субектите на данни, определени в глава III;

д) доколкото това е възможно предвид естеството на обработването, установява с одобрението на администратора подходящите и съответни технически и организационни изисквания за изпълнението на задължението на администратора да отговаря на исканията за упражняване на правата на субектите на данни, определени в глава III;

е) подпомага администратора да гарантира изпълнението на задълженията съгласно членове 30—34;

е) подпомага администратора да гарантира изпълнението на задълженията съгласно членове 30–34, като отчита естеството на обработване и информацията, налична за обработващия лични данни;

ж) предава всички резултати на администратора след края на обработването и не обработва личните данни по друг начин;

ж) връща всички резултати на администратора след края на обработването, не обработва личните данни по друг начин и заличава съществуващите копия, освен ако правото на Съюза или на държавите членки не изисква тяхното съхранение;

з) предоставя на администратора и на надзорния орган цялата информация, необходима за контролиране на изпълнението на задълженията, определени в настоящия член.

з) предоставя на администратора цялата информация, необходима за доказване на изпълнението на задълженията, определени в настоящия член, и позволява проверки на място.

3. Администраторът и обработващият лични данни документират в писмена форма указанията на администратора и задълженията на обработващия лични данни, посочени в параграф 2.

3. Администраторът и обработващият лични данни документират в писмена форма указанията на администратора и задълженията на обработващия лични данни, посочени в параграф 2.

 

3а. Достатъчните гаранции, посочени в параграф 1, могат да бъдат осигурени чрез спазване на кодекс на поведение или механизми за сертифициране в съответствие с членове 38 или 39 от настоящия регламент.

4. Ако обработващ лични данни обработва лични данни, различни от онези, за които е получил указания от администратора, първият се счита за администратор по отношение на това обработване и спрямо него се прилагат правилата за съвместните администратори, установени в член 24.

4. Ако обработващ лични данни обработва лични данни, различни от онези, за които е получил указания от администратора или стане определяща страна по отношение на целите и средствата на обработването на данните, първият се счита за администратор по отношение на това обработване и спрямо него се прилагат правилата за съвместните администратори, установени в член 24.

5. На Комисията се предоставя правомощието да приема делегирани актове в съответствие с член 86 с цел допълнително уточняване на критериите и изискванията във връзка с отговорностите, задълженията и задачите на обработващия лични данни в съответствие с параграф 1, както и на условията, които дават възможност за улесняване на обработването на лични данни в рамките на група предприятия, по-специално за целите на контрола и отчитането.

 

Изменение 122

Предложение за регламент

Член 28

Текст, предложен от Комисията

Изменение

Документация

Документация

1. Всеки администратор, обработващ лични данни и представител на администратора, ако има такъв, поддържа документация за всички операции по обработване, за които е отговорен.

1. Всеки администратор и обработващ лични данни поддържа редовно осъвременявана документация, необходима за изпълнение на изискванията, определени в настоящия регламент.

2. Документацията съдържа най-малко следната информация:

2. Допълнително, всеки администратор и обработващ лични данни поддържа документация със следната информация:

а) наименованието и координатите за връзка на администратора или на всеки съвместен администратор или обработващ лични данни, както и на представителя на администратора, ако има такъв;

а) наименованието и координатите за връзка на администратора или на всеки съвместен администратор или обработващ лични данни, както и на представителя на администратора, ако има такъв;

б) името и координатите за връзка на длъжностното лице по защита на данните, ако има такова;

б) името и координатите за връзка на длъжностното лице по защита на данните, ако има такова;

в) целите на обработването, включително законните интереси, преследвани от администратора, когато обработването се основава на член 6, параграф 1, буква е);

 

г) описание на категориите субекти на данни и на свързаните с тях категории лични данни;

 

д) получателите или категориите получатели на личните данни, включително администраторите, на които се разкриват лични данни поради преследвания от тях законен интерес;

в) името и координатите за връзка на администраторите на лични данни, на които се разкриват лични данни, ако има такива;

е) когато е приложимо, предаването на данни на трета държава или международна организация, включително идентификацията на тази трета държава или международна организация, а в случай на предаванията на данни, посочени в член 44, параграф 1, документация за подходящите гаранции;

 

ж) общо указване на сроковете за заличаване на различните категории данни;

 

з) описанието на механизмите, посочени в член 22, параграф 3.

 

3. Администраторът, обработващият лични данни и представителят на администратора, ако има такъв, предоставят при поискване тази документация на надзорния орган.

 

4. Задълженията, посочени в параграфи 1 и 2, не се прилагат спрямо следните администратори и обработващи лични данни:

заличава се

а) физическо лице, което обработва лични данни без търговска цел; или

 

б) предприятие или организация с по-малко от 250 човека персонал, където обработването на лични данни е само вторична дейност спрямо основните дейности.

 

5. На Комисията се предоставя правомощието да приема делегирани актове в съответствие с член 86 с цел допълнително уточняване на критериите и изискванията за документацията, посочена в параграф 1, по-специално за да се вземат предвид отговорностите на администратора, на обработващия лични данни и на представителя на администратора, ако има такъв.

 

6. Комисията може да установява образци на документацията, посочена в параграф 1. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 87, параграф 2.

 

Изменение  123

Предложение за регламент

Член 29 - параграф 1

Текст, предложен от Комисията

Изменение

1. Администраторът, обработващият лични данни и представителят на администратора, ако има такъв, си сътрудничат при поискване с надзорния орган при изпълнението на неговите задължения, по-специално чрез предоставяне на информацията, посочена в член 53, параграф 2, буква а), и чрез предоставяне на достъпа, предвиден в буква б) от посочения параграф.

1. Администраторът, ако има такъв, обработващият лични данни и представителят на администратора си сътрудничат при поискване с надзорния орган при изпълнението на неговите задължения, по-специално чрез предоставяне на информацията, посочена в член 53, параграф 2, буква а), и чрез предоставяне на достъпа, предвиден в буква б) от посочения параграф.

Изменение  124

Предложение за регламент

Член 30

Текст, предложен от Комисията

Изменение

Сигурност на обработването

Сигурност на обработването

1. Администраторът и обработващият лични данни въвеждат подходящи технически и организационни мерки, за да гарантират ниво на сигурност, което отговаря на свързаните с обработването рискове и естеството на подлежащите на защита лични данни, като вземат предвид достиженията на техническия прогрес и разходите за тяхното внедряване.

1. Администраторът и обработващият лични данни въвеждат подходящи технически и организационни мерки, за да гарантират ниво на сигурност, което отговаря на свързаните с обработването рискове, като вземат предвид резултатите от оценката на въздействието върху защитата на лични данни съгласно член 33, като вземат предвид достиженията на техническия прогрес и разходите за тяхното внедряване.

 

1a. Като взема предвид достиженията на техническия прогрес и разходите по внедряването, една такава политика на сигурност включва:

 

а) способността да се гарантира, че се валидира целостта на личните данни;

 

б) способността да се гарантира постоянна поверителност, цялост, наличност и устойчивост на системите и услугите, обработващи лични данни;

 

в) способността за своевременно възстановяване на наличността и достъпа до данните в случай на физически или технически инцидент, имащ последици за наличността, целостта и поверителността на информационните системи и услуги;

 

г) в случай на обработване на чувствителни лични данни съгласно членове 8 и 9 допълнителни мерки за сигурност, за да се гарантира ситуационната осведоменост за рисковете и способността да се предприемат предпазни, коригиращи и смекчаващи последствията действия в почти реално време срещу установената уязвимост или инциденти, които могат да представляват риск за данните;

 

д) процес на редовно изпитване, преценяване и оценка на ефективността на въведените политики, процедури и планове за сигурност, с цел гарантиране на постоянна ефективност.

2. След извършване на оценка на рисковете администраторът и обработващият лични данни предприемат посочените в параграф 1 мерки за защита на личните данни срещу случайно или неправомерно унищожаване или случайна загуба, както и за предотвратяване на всякакви неправомерни форми на обработване, по-специално на неразрешено разкриване, разпространение или достъп, или промяна на личните данни.

2. Мерките, посочени в параграф 1, най-малкото:

 

а) гарантират, че достъп до личните данни може да има само упълномощен персонал за законно разрешени цели;

 

б) защитават съхраняваните или предавани лични данни срещу случайно или неправомерно унищожаване, случайна загуба или промяна и неразрешено или неправомерно съхраняване, обработване, достъп или разкриване; както и

 

в) гарантират осъществяването на политика на сигурност по отношение на обработването на личните данни.

3. На Комисията се предоставя правомощието да приема делегирани актове в съответствие с член 86 с цел допълнително уточняване на критериите и условията за техническите и организационните мерки, посочени в параграфи 1 и 2, включително на определенията за това какво представляват достиженията на техническия прогрес за конкретните сектори и в особените ситуации на обработване на данни, по-специално като се взема предвид развитието на технологиите и решенията за защита на личния живот още при проектирането и за защита на данните по подразбиране, освен ако не се прилага параграф 4.

3. На Европейския комитет по защита на данните се възлага задачата за издаване на насоки, препоръки и най-добри практики, в съответствие с член 66, параграф 1, буква б) за техническите и организационните мерки, посочени в параграфи 1 и 2, включително на определенията за това какво представляват достиженията на техническия прогрес за конкретните сектори и в особените ситуации на обработване на данни, по-специално като се взема предвид развитието на технологиите и решенията за защита на личния живот още при проектирането и за защита на данните по подразбиране.

4. При необходимост Комисията може да приема актове за изпълнение за уточняване на изискванията, определени в параграфи 1 и 2, за различни ситуации, по-специално с цел:

 

а) да се предотврати всякакъв неразрешен достъп до личните данни;

 

б) да се предотврати всякакво неразрешено разкриване, четене, копиране, изменяне, заличаване или отстраняване на лични данни;

 

в) да се гарантира проверката на законосъобразността на операциите по обработване.

 

Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 87, параграф 2.

 

(Параграф 2 в текста на Комисията частично е предаден в буква б) в изменението на Парламента)

Изменение  125

Предложение за регламент

Член 31

Текст, предложен от Комисията

Изменение

Уведомяване на надзорния орган за нарушение на сигурността на личните данни

Уведомяване на надзорния орган за нарушение на сигурността на личните данни

1. В случай на нарушение на сигурността на личните данни администраторът, без излишно забавяне и, когато това е осъществимо, не по-късно от 24 часа след установяването на такова нарушение, уведомява надзорния орган за нарушението на сигурността на личните данни. Уведомлението до надзорния орган се придружава от мотивирана обосновка в случаите, когато то не е подадено в срок от 24 часа.

1. В случай на нарушение на сигурността на личните данни администраторът без излишно забавяне уведомява надзорния орган за нарушението на сигурността на личните данни.

2. Съгласно член 26, параграф 2, буква е) обработващият лични данни предупреждава и уведомява администратора незабавно след установяването на нарушение на сигурността на личните данни.

2. Обработващият лични данни предупреждава и уведомява администратора без ненужно забавяне след установяването на нарушение на сигурността на личните данни.

3. В уведомлението, посочено в параграф 1, трябва да се съдържа най-малко следното:

3. В уведомлението, посочено в параграф 1, трябва да се съдържа най-малко следното:

а) описание на естеството на нарушението на сигурността на личните данни, включително категориите и броя на засегнатите субекти на данни и категориите и количеството на засегнатите записи от данни;

а) описание на естеството на нарушението на сигурността на личните данни, включително категориите и броя на засегнатите субекти на данни и категориите и количеството на засегнатите записи от данни;

б) посочване на самоличността и координатите за връзка на длъжностното лице по защита на данните или на друго звено за контакт, от което може да се получи повече информация;

б) посочване на самоличността и координатите за връзка на длъжностното лице по защита на данните или на друго звено за контакт, от което може да се получи повече информация;

в) препоръка относно мерките за намаляване на евентуалните неблагоприятни последици от нарушението на сигурността на личните данни;

в) препоръка относно мерките за намаляване на евентуалните неблагоприятни последици от нарушението на сигурността на личните данни;

г) описание на последиците от нарушението на сигурността на личните данни;

г) описание на последиците от нарушението на сигурността на личните данни;

д) описание на предложените или предприетите от администратора мерки за справяне с нарушението на сигурността на личните данни.

д) описание на предложените или предприетите от администратора мерки за справяне с нарушението на сигурността на личните данни и смекчаване на последствията от него.

Ако е необходимо, информацията може да бъде предоставяна поетапно.

4. Администраторът документира всяко нарушение на сигурността на личните данни, като включва фактите, свързани с нарушението, последиците от него и предприетите действия за справяне с него. Тази документация трябва да позволява на надзорния орган да провери дали е спазен настоящият член. Документацията съдържа единствено информацията, необходима за тази цел.

4. Администраторът документира всяко нарушение на сигурността на личните данни, като включва фактите, свързани с нарушението, последиците от него и предприетите действия за справяне с него. Тази документация трябва да е достатъчна, за да позволи на надзорния орган да провери дали е спазен настоящият член и член 30. Документацията съдържа единствено информацията, необходима за тази цел.

 

4а. Надзорният орган води публичен регистър на видовете съобщени нарушения на сигурността.

5. На Комисията се предоставя правомощието да приема делегирани актове в съответствие с член 86 с цел допълнително уточняване на критериите и изискванията за установяване на нарушението на сигурността на данните, посочено в параграфи 1 и 2, както и за конкретните обстоятелства, при които се изисква администраторът и обработващият лични данни да уведомят за това нарушение на сигурността на личните данни.

5. На Европейския комитет по защита на данните се възлага задачата за издаване на насоки, препоръки и най-добри практики, в съответствие с член 66, параграф 1, буква б) за установяване на нарушението на сигурността на данните и определяне на ненужното забавяне, посочени в параграфи 1 и 2, както и за конкретните обстоятелства, при които се изисква администраторът и обработващият лични данни да уведомят за това нарушение на сигурността на личните данни.

6. Комисията може да установи образеца на такова уведомление до надзорния орган, приложимите процедури за изискването за уведомление, както и образеца и условията за документацията, посочена в параграф 4, включително сроковете за заличаване на съдържащата се в нея информация. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 87, параграф 2.

 

Изменение  126

Предложение за регламент

Член 32

Текст, предложен от Комисията

Изменение

Съобщаване на субекта на данните за нарушение на сигурността на личните данни

Съобщаване на субекта на данните за нарушение на сигурността на личните данни

1. Когато нарушението на сигурността на личните данни има вероятност да повлияе неблагоприятно на защитата на личните данни или на неприкосновеността на личния живот на субекта на данните, администраторът, след като подаде уведомлението по член 31, съобщава на субекта на данните за нарушението на сигурността на личните данни без излишно забавяне.

1. Когато нарушението на сигурността на личните данни има вероятност да повлияе неблагоприятно на защитата на личните данни, на неприкосновеността на личния живот, на правата или на законните интереси на субекта на данните, администраторът, след като подаде уведомлението по член 31, съобщава на субекта на данните за нарушението на сигурността на личните данни без излишно забавяне.

2. В съобщението до субекта на данните, посочено в параграф 1, се описва естеството на нарушението на сигурността на личните данни и се съдържат най-малко информацията и препоръките, предвидени член 31, параграф 3, букви б) и в).

В съобщението до субекта на данните, посочено в параграф 1, се съдържа изчерпателна информация и се използва ясен и общоупотребим език. В него се описва естеството на нарушението на сигурността на личните данни и се съдържат най-малко информацията и препоръките, предвидени член 31, параграф 3, букви б—г) и за правата на субекта на данни, включително на съдебна защита.

3. Не се изисква съобщаване на субекта на данни за нарушение на сигурността на личните данни, ако администраторът е доказал в удовлетворителна степен пред надзорния орган, че е предприел подходящи технологични мерки за защита и че тези мерки са били приложени спрямо данните, засегнати от нарушението на сигурността на личните данни. Технологичните средства от този вид осигуряват нечетливост на данните за всеки, който не е упълномощен да получи достъп до тях.

3. Не се изисква съобщаване на субекта на данни за нарушение на сигурността на личните данни, ако администраторът е доказал в удовлетворителна степен пред надзорния орган, че е предприел подходящи технологични мерки за защита и че тези мерки са били приложени спрямо данните, засегнати от нарушението на сигурността на личните данни. Технологичните средства от този вид осигуряват нечетливост на данните за всеки, който не е упълномощен да получи достъп до тях.

4. Без да се засяга задължението на администратора да съобщи на субекта на данните за нарушението на сигурността на личните данни, ако администраторът все още не е съобщил на засегнатия субект на данни за нарушението на сигурността на личните данни, надзорният орган може, след като отчете евентуалните неблагоприятни последици от нарушението, да изиска от администратора да извърши съобщаването.

4. Без да се засяга задължението на администратора да съобщи на субекта на данните за нарушението на сигурността на личните данни, ако администраторът все още не е съобщил на засегнатия субект на данни за нарушението на сигурността на личните данни, надзорният орган може, след като отчете евентуалните неблагоприятни последици от нарушението, да изиска от администратора да извърши съобщаването.

5. На Комисията се предоставя правомощието да приема делегирани актове в съответствие с член 86 с цел допълнително уточняване на критериите и изискванията за обстоятелствата, при които дадено нарушение на сигурността на личните данни има вероятност да повлияе неблагоприятно на личните данни, както е посочено в параграф 1.

На Европейския комитет по защита на данните се възлага задачата за издаване на насоки, препоръки и най-добри практики, в съответствие с член 66, параграф 1, буква б) за обстоятелствата, при които дадено нарушение на сигурността на личните данни има вероятност да повлияе неблагоприятно на личните данни, на неприкосновеността на личния живот, на правата или на законните интереси на субекта на данните, както е посочено в параграф 1.

6. Комисията може да установи образец на съобщението до субекта на данни, посочено в параграф 1, и процедурите, приложими към това съобщение. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 87, параграф 2.

 

Изменение  127

Предложение за регламент

Член 32 a (нов)

Текст, предложен от Комисията

Изменение

 

Член 32а

 

Отчитане на риска

 

1. Администраторът на данни, или когато е приложимо обработващият данните, извършва анализ на потенциалното въздействие на предвидената обработка на данните върху правата и свободите на субектите на данните, като оценява дали операциите по обработването биха могли да доведат до специфични рискове.

 

2. Специфични рискове могат да представляват следните операции по обработване:

 

а) обработване на лични данни на повече от 5 000 субекти на данни в продължение на период от 12 последователни месеца;

 

б) обработване на специални категории лични данни, както е посочено в член 9, параграф 1, данни за местонахождение или данни относно деца или на наети по трудово правоотношение лица в широкомащабни регистри на данни;

 

в) профилиране, на чието основание се вземат мерки, които пораждат правни последици за лицето или го засягат в значителна степен по подобен начин;

 

г) обработване на лични данни относно предоставянето на здравно обслужване, епидемиологични изследвания или изследвания за психически или инфекциозни заболявания, когато данните се обработват в големи мащаби за вземане на мерки или решения относно конкретни физически лица;

 

д) автоматизирано широкомащабно наблюдение на публично достъпни райони;

 

е) други операции по обработване, за които се изисква консултация с длъжностното лице по защита на данните или надзорния орган съгласно член 34, параграф 2, буква б);

 

ж) когато едно нарушение на сигурността на личните данни има вероятност да повлияе неблагоприятно на защитата на личните данни, на неприкосновеността на личния живот, на правата или законните интереси на субекта на данните;

 

з) основните дейности на администратора или обработващия лични данни се състоят от операции по обработване, които поради своето естество, обхват и/или цели изискват редовно и систематично наблюдение на субектите на данни;

 

и) когато личните данни са достъпни за брой лица, за който не може основателно да се очаква да бъде органичен.

 

3. В съответствие с резултатите от анализа на риска:

 

а) когато съществува някоя от посочените в параграф 2, букви а) или б) операции по обработване, администраторите, които не са установени в Съюза, определят свой представител в Съюза, в съответствие с изискванията и изключенията, посочени в член 25;

 

б) когато съществува някоя от посочените в параграф 2, букви а), б) или з) операции по обработване, администраторът определя длъжностно лице по защита на данните, в съответствие с изискванията и изключенията, посочени в член 35;

 

в) когато съществува някоя от посочените в параграф 2, букви а), б), в), г), д) е), ж) или з) операции по обработване, администраторът или обработващият личните данни от името на администратора извършва оценка на въздействието върху защитата на данните в съответствие с член 33;

 

г) когато съществуват посочените в параграф 2, буква е) операции по обработване, администраторът се консултира с длъжностното лице по защита на данните, или – в случай, че такова не е определено – с надзорния орган, в съответствие с член 34.

 

4. Анализът на риска се преразглежда най-късно след една година или пък незабавно, ако естеството, обхватът или целите на операциите по обработване на данните се изменят съществено. Когато в съответствие с параграф 3, буква в) администраторът не е длъжен да извърши оценка на въздействието върху защитата на данните, анализът на риска се документира.

Изменение  128

Предложение за регламент

Глава 4 – раздел 3 – заглавие

Текст, предложен от Комисията

Изменение

ОЦЕНКА НА ВЪЗДЕЙСТВИЕТО ВЪРХУ ЗАЩИТАТА НА ДАННИТЕ И ПРЕДВАРИТЕЛНО РАЗРЕШЕНИЕ

УПРАВЛЕНИЕ НА ЖИЗНЕНИЯ ЦИКЪЛ НА ЗАЩИТАТА НА ДАННИТЕ

Изменение  129

Предложение за регламент

Член 33

Текст, предложен от Комисията

Изменение

Оценка на въздействието върху защитата на данните

Оценка на въздействието върху защитата на данните

1. Когато операциите по обработването на данни създават конкретни рискове за правата и свободите на субектите на данни поради своето естество, обхват или цели, администраторът — или обработващият лични данни от името на администратора — извършва оценка на въздействието на предвидените операции по обработване върху защитата на личните данни.

1. Когато това се изисква съгласно член 32а, параграф 3, буква в) администраторът — или обработващият лични данни от името на администратора — извършва оценка на въздействието на предвидените операции по обработване върху правата и свободите на субектите на данните, по-конкретно върху правото им на защита на личните данни. Една оценка е достатъчна за разглеждането на набор от подобни операции по обработване, които представляват сходни рискове.

2. Конкретните рискове, посочени в параграф 1, се създават по-специално при следните операции по обработване:

 

а) систематична и обширна оценка на лични аспекти, свързани с дадено физическо лице, за анализиране или прогнозиране, по-специално на неговото икономическо положение, местоположение, здравословно състояние, лични предпочитания, надеждност или поведение, която се основава на автоматизирано обработване и на чието основание се вземат мерки, които пораждат правни последици за лицето или го засягат в значителна степен;

 

б) информация относно сексуалния живот, здравословното състояние, расата или етническия произход или информация за предоставянето на здравно обслужване, епидемиологични изследвания или изследвания за психически или инфекциозни заболявания, когато данните се обработват в големи мащаби за вземане на мерки или решения относно конкретни физически лица;

 

в) наблюдение на публично достъпни райони, особено когато се използват широкомащабно оптично-електронни устройства (видео наблюдение);

 

г) лични данни в широкомащабни регистри на лични данни с данни за деца, генетични данни или биометрични данни;

 

д) други операции по обработване, за които се изисква консултация с надзорния орган съгласно член 34, параграф 2, буква б).

 

3. Оценката съдържа най-малко общо описание на предвидените операции по обработване, оценка на рисковете за правата и свободите на субектите на данните, мерките, предвидени за справяне с рисковете, гаранциите, мерките за сигурност и механизмите за гарантиране на защитата на личните данни и за доказване на спазването на настоящия регламент, като се вземат предвид правата и законните интереси на субектите на данните и другите засегнати лица.

3. Оценката отчита цялостното управление на жизнения цикъл на личните данни от събирането през обработването до заличаването. То съдържа поне следното:

 

а) системен опис на предвидените операции по обработването, неговите цели и, ако е приложимо, преследваните от администратора законни интереси;

 

б) оценка на необходимостта и пропорционалността на операциите по обработването по отношение на целите;

 

в) оценка на рисковете за правата и свободите на субектите на данните, включително риска от дискриминация, заложен в операцията или засилен от нея;

 

г) опис на мерките, предвидени за справяне с рисковете и за свеждане до минимум на обема на обработваните лични данни;

 

д) списък с гаранциите, мерките за сигурност и механизмите за гарантиране на защитата на личните данни, като например използването на данни под псевдоним, и за доказване на спазването на настоящия регламент, като се вземат предвид правата и законните интереси на субектите на данните и други засегнати лица;

 

е) общо указване на сроковете за заличаване на различните категории данни;

 

ж) обяснение за това кои практики за защита на данните са въведени при проектирането и по подразбиране съгласно член 23;

 

з) списък с получателите или категориите получатели на личните данни;

 

и) когато е приложимо, списък на планираното предаване на данни на трета държава или международна организация, включително идентификацията на тази трета държава или международна организация, а в случай на предаванията на данни, посочени в член 44, параграф 1, буква з) – документация за съответните гаранции;

 

й) оценка на контекста на обработването на данни.

 

3а. Ако администраторът или обработващият данните е посочил длъжностно лице по защита на данните, това лице трябва да бъде включено в процедурата по оценка на въздействието.

 

3б. Оценката се документира и се определя график за редовни периодични проверки на спазването на изискванията за защита на данните съгласно член 33а, параграф 1. Оценката се актуализира без излишно забавяне, ако резултатите от проверката на спазването на изискванията за защита на данните, посочена в член 33а, разкрият несъответствия с тези изисквания. Администраторът, обработващият лични данни и представителят на администратора, ако има такъв, предоставят при поискване оценката на надзорния орган.

4. Администраторът се обръща към субектите на данните или техните представители за становище относно планираното обработване, без да се засяга защитата на търговските или обществените интереси или сигурността на операциите по обработване.

 

5. Когато администраторът е публичен орган или структура и когато обработването произтича от законово задължение съгласно член 6, параграф 1, буква в), което предвижда правила и процедури свързани с операциите по обработването и е уредено от правото на Съюза, не се прилагат параграфи 1—4, освен ако държава членка не сметне за необходимо да направи такава оценка преди започването на дейностите по обработването.

 

6. На Комисията се предоставя правомощието да приема делегирани актове в съответствие с член 86 с цел допълнително уточняване на критериите и условията за операциите по обработване, за които съществува вероятност да създадат конкретните рискове, посочени в параграфи 1 и 2, както и изискванията за оценката, посочена в параграф 3, включително условията за измеримост, проверка и проверимост. Когато прави това, Комисията обмисля специални мерки за микропредприятията, малките и средните предприятия.

 

7. Комисията може да определя стандарти и процедури за изпълнение, проверка и одит на оценката, посочена в параграф 3. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 87, параграф 2.

 

(Част от параграф 3 в текста на Комисията вече е букви а), в), г) и з) в изменението на Парламента)

Изменение  130

Предложение за регламент

Член 33 a (нов)

Текст, предложен от Комисията

Изменение

 

Член 33а

 

Проверка на спазването на изискванията за защита на данните

 

1. Най-късно две години след извършването на оценката на въздействието съгласно член 33, параграф 1, администраторът — или обработващият лични данни от името на администратора — извършва проверка на спазването на изискванията. Тази проверка на спазването на изискванията доказва, че обработването на лични данни се осъществява в съответствие с оценката на въздействието върху защитата на данните.

 

2. Проверката на спазването на изискванията се провежда периодично поне веднъж на две години или незабавно, ако има промяна на специфичните рискове, с които са свързани операциите по обработване.

 

3. Ако проверката на спазването на изискванията разкрие несъответствия с тези изисквания, тя включва препоръки за това как да се постигне пълно спазване на изискванията.

 

4. Проверката на спазването на изискванията и нейните препоръки се документират. Администраторът, обработващият лични данни и представителят на администратора, ако има такъв, при поискване предоставят проверката на спазването на изискванията на надзорния орган.

 

5. Ако администраторът или обработващият данните е посочил длъжностно лице по защита на данните, това лице трябва да бъде включено в процедурата по проверка на спазването на изискванията.

Изменение  131

Предложение за регламент

Член 34

Текст, предложен от Комисията

Изменение

Предварително разрешение и предварителна консултация

Предварителна консултация

1. Администраторът или обработващият лични данни, в зависимост от случая, получава разрешение от надзорния орган преди обработването на личните данни, за да се гарантира съответствието на планираното обработване с настоящия регламент, и по-специално за да се смекчат съпътстващите рискове за субектите на данните, когато даден администратор или обработващ лични данни приема договорни клаузи, както е предвидено в член 42, параграф 2, буква г), или не предвижда подходящи гаранции в правнообвързващ инструмент, както е предвидено в член 42, параграф 5, за предаването на лични данни до трета държава или международна организация.

 

2. Администраторът или обработващият лични данни от името на администратора се консултира с надзорния орган преди обработването на лични данни, за да се гарантира съответствието на планираното обработване с настоящия регламент, и по-специално за да се смекчат съпътстващите рискове за субектите на данните, когато:

2. Администраторът или обработващият лични данни от името на администратора се консултира с длъжностното лице по защита на данните или, в случай че такова лице липсва – с надзорния орган, преди обработването на лични данни, за да се гарантира съответствието на планираното обработване с настоящия регламент, и по-специално за да се смекчат съпътстващите рискове за субектите на данните, когато:

а) дадена оценка на въздействието върху защитата на данните, както е предвидена в член 33, показва, че поради своето естество, обхват или цели операциите по обработване има вероятност да създадат висока степен на конкретни рискове; или

а) дадена оценка на въздействието върху защитата на данните, както е предвидена в член 33, показва, че поради своето естество, обхват или цели операциите по обработване има вероятност да създадат висока степен на конкретни рискове; или

б) надзорният орган счита за необходимо да извърши предварителна консултация относно операции по обработване, които има вероятност да създадат конкретни рискове за правата и свободите на субектите на данните поради своето естество, обхват и/или цели и които са указани в съответствие с параграф 4.

б) длъжностното лице по защита на данните или надзорният орган счита за необходимо да извърши предварителна консултация относно операции по обработване, които има вероятност да създадат конкретни рискове за правата и свободите на субектите на данните поради своето естество, обхват и/или цели и които са указани в съответствие с параграф 4.

3. Когато надзорният орган е на мнение, че планираното обработване не съответства на настоящия регламент, и по-специално когато рисковете са недостатъчно идентифицирани или смекчени, той забранява планираното обработване и прави подходящи предложения, за да коригира това несъответствие.

3. Когато компетентният надзорен орган установи в съответствие със своите правомощия, че планираното обработване не съответства на настоящия регламент, и по-специално когато рисковете са недостатъчно идентифицирани или смекчени, той забранява планираното обработване и прави подходящи предложения, за да коригира това несъответствие.

4. Надзорният орган създава и оповестява публично списък на операциите по обработване, за които се провежда предварителна консултация съгласно параграф 2, буква б). Надзорният орган съобщава тези списъци на Европейския комитет по защита на данните.

4. Европейският комитет по защита на данните създава и оповестява публично списък на операциите по обработване, за които се провежда предварителна консултация съгласно параграф 2.

5. Когато в списъка, предвиден в параграф 4, са включени дейности по обработване на данни, които са свързани с предлагането на стоки или услуги на субекти на данни в няколко държави членки или за наблюдение на тяхното поведение, или могат съществено да засегнат свободното движение на лични данни в рамките на Съюза, надзорният орган прилага механизма за съгласуваност, посочен в член 57, преди приемането на списъка.

 

6. Администраторът или обработващият лични данни предоставя на надзорния орган оценката на въздействието върху защитата на данните, предвидена в член 33, и при поискване всякаква друга информация, която позволява на надзорния орган да извърши оценка на съответствието на обработването, и по-специално на рисковете за защитата на личните данни на субекта на данни и на съответните гаранции.

6. Администраторът или обработващият лични данни предоставя на надзорния орган при поискване оценката на въздействието върху защитата на данните съгласно член 33 и, при поискване всякаква друга информация, която позволява на надзорния орган да извърши оценка на съответствието на обработването, и по-специално на рисковете за защитата на личните данни на субекта на данни и на съответните гаранции.

7. Държавите членки могат да се консултират с надзорния орган при изготвянето на законодателна мярка, която да бъде приета от националния парламент, или на мярка, основаваща се на такава законодателна мярка, която определя естеството на обработването, за да се гарантира съответствието на планираното обработване с настоящия регламент, и по-специално за да се смекчат съпътстващите рискове за субектите на данни.

7. Държавите членки могат да се консултират с надзорния орган при изготвянето на законодателна мярка, която да бъде приета от националния парламент, или на мярка, основаваща се на такава законодателна мярка, която определя естеството на обработването, за да се гарантира съответствието на планираното обработване с настоящия регламент, и по-специално за да се смекчат съпътстващите рискове за субектите на данни.

8. На Комисията се предоставя правомощието да приема делегирани актове в съответствие с член 86 с цел допълнително уточняване на критериите и изискванията за определянето на високата степен от конкретните рискове, посочени в параграф 2, буква а).

 

9. Комисията може да установи образци и процедури за предварителните разрешения и консултации, посочени в параграфи 1 и 2, както и образци и процедури за информирането на надзорните органи съгласно параграф 6. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 87, параграф 2.

 

Изменение 132

Предложение за регламент

Член 35

Текст, предложен от Комисията

Изменение

Определяне на длъжностното лице по защита на данните

Определяне на длъжностното лице по защита на данните

1. Администраторът и обработващият лични данни определят длъжностно лице по защита на данните във всички случаи, когато:

1. Администраторът и обработващият лични данни определят длъжностно лице по защита на данните във всички случаи, когато:

а) обработването се извършва от публичен орган или структура; или

а) обработването се извършва от публичен орган или структура; или

б) обработването се извършва от предприятие, в което работят 250 души или повече; или

б) обработването се извършва от юридическо лице и се отнася за повече от 5 000 субекти на данни през всеки период от 12 последователни месеца; или

в) основните дейности на администратора или обработващия лични данни се състоят от операции по обработване, които поради своето естество, обхват и/или цели изискват редовно и систематично наблюдение на субекти на данни.

в) основните дейности на администратора или обработващия лични данни се състоят от операции по обработване, които поради своето естество, обхват и/или цели изискват редовно и систематично наблюдение на субекти на данни; или

 

г) основните дейности на администратора или на обработващия данни се състоят от обработването на специални категории данни съгласно член 9, параграф 1, данни за местонахождение или данни относно деца или на наети по трудово правоотношение лица в широкомащабни регистри на данни.

2. В случая, посочен в параграф 1, буква б), група предприятия може да назначи едно единствено длъжностно лице по защита на данните.

2. Група предприятия може да назначи главно отговорно длъжностно лице по защита на данните, при условие че се гарантира, че от всяко предприятие има лесен достъп до длъжностно лице по защита на данните.

3. Когато администраторът или обработващият лични данни е обществен орган или структура, длъжностното лице по защита на данните може да бъде назначено да отговаря за няколко от неговите звена, като се отчита организационната структура на обществения орган или структура.

3. Когато администраторът или обработващият лични данни е обществен орган или структура, длъжностното лице по защита на данните може да бъде назначено да отговаря за няколко от неговите звена, като се отчита организационната структура на обществения орган или структура.

4. В случаи, различни от посочените в параграф 1, администраторът или обработващият лични данни или сдруженията и другите структури, представляващи категории администратори или обработващи лични данни, могат да определят длъжностно лице по защита на данните.

4. В случаи, различни от посочените в параграф 1, администраторът или обработващият лични данни или сдруженията и другите структури, представляващи категории администратори или обработващи лични данни, могат да определят длъжностно лице по защита на данните.

5. Администраторът или обработващият лични данни определя длъжностното лице по защита на данните въз основа на неговите професионални качества, и по-специално въз основа на експертните му познания в областта на законодателството и практиките за защита на данните и способността му да изпълнява задачите, посочени в член 37. Необходимото ниво на експертни познания се определят по-специално в съответствие с извършваното обработване на данни и защитата, която е необходима за личните данни, обработвани от администратора или обработващия лични данни.

5. Администраторът или обработващият лични данни определя длъжностното лице по защита на данните въз основа на неговите професионални качества, и по-специално въз основа на експертните му познания в областта на законодателството и практиките за защита на данните и способността му да изпълнява задачите, посочени в член 37. Необходимото ниво на експертни познания се определят по-специално в съответствие с извършваното обработване на данни и защитата, която е необходима за личните данни, обработвани от администратора или обработващия лични данни.

6. Администраторът или обработващият лични данни гарантира, че всички други професионални задължения на длъжностното лице по защита на данните са съвместими със задачите и задълженията му като длъжностно лице по защита на данните и не водят до конфликт на интереси.

6. Администраторът или обработващият лични данни гарантира, че всички други професионални задължения на длъжностното лице по защита на данните са съвместими със задачите и задълженията му като длъжностно лице по защита на данните и не водят до конфликт на интереси.

7. Администраторът или обработващият лични данни назначава длъжностно лице по защита на данните за срок от най-малко две години. Длъжностното лице по защита на данните може да се преназначава за следващи мандати. По време на мандата си длъжностното лице по защита на данните може да бъде освободено от тази длъжност, ако престане да отговаря на необходимите условия за изпълнението на своите задължения.

7. Администраторът или обработващият лични данни назначава длъжностно лице по защита на данните за срок от най-малко четири години, в случай на вътрешен служител, или две години – в случай на външно предоставяне на услуги. Длъжностното лице по защита на данните може да се преназначава за следващи мандати. По време на мандата си длъжностното лице по защита на данните може да бъде освободено от тази длъжност, ако престане да отговаря на необходимите условия за изпълнението на своите задължения.

8. Длъжностното лице по защита на данните може да бъде наето от администратора или обработващия лични данни или да изпълнява задачите си въз основа на договор за услуги.

8. Длъжностното лице по защита на данните може да бъде наето от администратора или обработващия лични данни или да изпълнява задачите си въз основа на договор за услуги.

9. Администраторът или обработващият лични данни съобщава името и координатите за връзка на длъжностното лице по защита на данните на надзорния орган и на обществеността.

9. Администраторът или обработващият лични данни съобщава името и координатите за връзка на длъжностното лице по защита на данните на надзорния орган и на обществеността.

10. Субектите на данни имат право да се обърнат към длъжностното лице по защита на данните по всички въпроси, свързани с обработването на техните данни, и да поискат упражняване на правата си съгласно настоящия регламент.

10. Субектите на данни имат право да се обърнат към длъжностното лице по защита на данните по всички въпроси, свързани с обработването на техните данни, и да поискат упражняване на правата си съгласно настоящия регламент.

11. На Комисията се предоставя правомощието да приема делегирани актове в съответствие с член 86 с цел допълнително уточняване на критериите и изискванията за основните дейности на администратора или обработващия лични данни, посочени в параграф 1, буква в), както и на критериите за професионалните качества на длъжностното лице по защита на данните, посочени в параграф 5.

 

Изменение  133

Предложение за регламент

Член 36

Текст, предложен от Комисията

Изменение

Длъжност на длъжностното лице по защита на данните

Длъжност на длъжностното лице по защита на данните

1. Администраторът или обработващият лични данни гарантира, че длъжностното лице по защита на данните участва по подходящ начин и своевременно във всички въпроси, свързани със защитата на личните данни.

1. Администраторът или обработващият лични данни гарантира, че длъжностното лице по защита на данните участва по подходящ начин и своевременно във всички въпроси, свързани със защитата на личните данни.

2. Администраторът или обработващият лични данни гарантира, че длъжностното лице по защита на данните изпълнява задълженията и задачите си независимо и не получава указания относно упражняването на функциите си. Длъжностното лице по защита на данните се отчита пряко пред ръководството на администратора или обработващия лични данни.

2. Администраторът или обработващият лични данни гарантира, че длъжностното лице по защита на данните изпълнява задълженията и задачите си независимо и не получава указания относно упражняването на функциите си. Длъжностното лице по защита на данните се отчита пряко пред изпълнителното ръководството на администратора или обработващия лични данни. За тази цел администраторът или обработващият лични данни определят член на изпълнителното ръководство, който отговаря за спазването на разпоредбите на настоящия регламент.

3. Администраторът или обработващият лични данни подпомага длъжностното лице по защита на данните при изпълнението на задачите и осигурява персонала, помещенията, оборудването и всички други ресурси, необходими за изпълнение на задълженията и задачите, посочени в член 37.

3. Администраторът или обработващият лични данни подпомага длъжностното лице по защита на данните при изпълнението на задачите и осигурява всички средства, включително персонала, помещенията, оборудването и всички други ресурси, необходими за изпълнение на задълженията и задачите, посочени в член 37, а така също поддържа неговите професионални знания.

 

4. Длъжностните лица по защита на данните са задължени да пазят в тайна самоличността на субектите на данни, както и обстоятелствата, които позволяват установяване на самоличността на субектите на данни, освен в случаите, когато субектът на данни ги е освободил от това задължение.

Изменение  134

Предложение за регламент

Член 37

Текст, предложен от Комисията

Изменение

Задачи на длъжностното лице по защита на данните

Задачи на длъжностното лице по защита на данните

1. Администраторът или обработващият лични данни възлага на длъжностно лице по защита на данните най-малко следните задачи:

Администраторът или обработващият лични данни възлага на длъжностно лице по защита на данните най-малко следните задачи:

а) да информира и съветва администратора или обработващия лични данни за техните задължения по силата на настоящия регламент и да документира тази дейност и получените отговори;

а) да повишава осведомеността, да информира и съветва администратора или обработващия лични данни за техните задължения по силата на настоящия регламент, по-специално по отношение на техническите и организационните мерки и процедури, и да документира тази дейност и получените отговори;

б) да наблюдава изпълнението и прилагането на стратегиите на администратора или обработващия лични данни по отношение на защитата на личните данни, включително възлагането на отговорности, обучаването на персонала, участващ в операциите по обработване, и свързаните с това одити;

б) да наблюдава изпълнението и прилагането на стратегиите на администратора или обработващия лични данни по отношение на защитата на личните данни, включително възлагането на отговорности, обучаването на персонала, участващ в операциите по обработване, и свързаните с това одити;

в) да наблюдава изпълнението и прилагането на настоящия регламент, по-специално по отношение на изискванията, свързани със защитата на данните още при проектирането, защитата на данните по подразбиране и сигурността на данните, както и по отношение на информирането на субектите на данни и техните искания при упражняване на правата им по силата на настоящия регламент;

в) да наблюдава изпълнението и прилагането на настоящия регламент, по-специално по отношение на изискванията, свързани със защитата на данните още при проектирането, защитата на данните по подразбиране и сигурността на данните, както и по отношение на информирането на субектите на данни и техните искания при упражняване на правата им по силата на настоящия регламент;

г) да гарантира поддържането на документацията, посочена в член 28;

г) да гарантира поддържането на документацията, посочена в член 28;

д) да наблюдава документирането, уведомяването и съобщаването за нарушения на сигурността на личните данни съгласно членове 31 и 32;

д) да наблюдава документирането, уведомяването и съобщаването за нарушения на сигурността на личните данни съгласно членове 31 и 32;

е) да наблюдава извършването на оценката на въздействието върху защитата на данните от администратора или обработващия лични данни и прилагането на процедурата за предварително разрешение или предварителна консултация, ако това се изисква по силата на членове 33 и 34;

е) да наблюдава извършването на оценката на въздействието върху защитата на данните от администратора или обработващия лични данни и прилагането на процедурата за предварителна консултация, ако това се изисква по силата на членове 32а, 33 и 34;

ж) да наблюдава отговорите на искания от надзорния орган и, в рамките на компетентността на длъжностното лице по защита на данните, да си сътрудничи с надзорния орган по негово искане или по своя собствена инициатива;

ж) да наблюдава отговорите на искания от надзорния орган и, в рамките на компетентността на длъжностното лице по защита на данните, да си сътрудничи с надзорния орган по негово искане или по своя собствена инициатива;

з) да действа като звено за контакт за надзорния орган по въпроси, свързани с обработването на данни, и, ако е необходимо, да се консултира с надзорния орган по своя собствена инициатива.

з) да действа като звено за контакт за надзорния орган по въпроси, свързани с обработването на данни, и, ако е необходимо, да се консултира с надзорния орган по своя собствена инициатива;

 

и) да проверява съответствието с настоящия регламент по силата на механизма за предварителна консултация, посочен в член 34;

 

й) да информира представителите на работниците и служителите относно обработването на данните на работниците и служителите.

2. На Комисията се предоставя правомощието да приема делегирани актове в съответствие с член 86 с цел допълнително уточняване на критериите и изискванията за задачите, сертифицирането, статута, правомощията и ресурсите на длъжностното лице по защита на данните, посочено в параграф 1.

 

Изменение  135

Предложение за регламент

Член 38

Текст, предложен от Комисията

Изменение

Кодекси за поведение

Кодекси за поведение

1. Държавите членки, надзорните органи и Комисията насърчават изготвянето на кодекси за поведение, които имат за цел да допринесат за правилното прилагане на настоящия регламент, като се отчитат специфичните характеристики на различните обработващи данни сектори, по-специално по отношение на:

1. Държавите членки, надзорните органи и Комисията насърчават изготвянето на кодекси за поведение или приемането на кодекси за поведение, изготвени от надзорния орган, които имат за цел да допринесат за правилното прилагане на настоящия регламент, като се отчитат специфичните характеристики на различните обработващи данни сектори, по-специално по отношение на:

а) добросъвестното и прозрачно обработване на данни;

а) добросъвестното и прозрачно обработване на данни;

 

аа) зачитане на правата на потребителите;

б) събирането на данни;

б) събирането на данни;

в) информирането на обществеността и на субектите на данни;

в) информирането на обществеността и на субектите на данни;

г) исканията на субектите на данни при упражняване на техните права;

г) исканията на субектите на данни при упражняване на техните права;

д) информирането и защитата на децата;

д) информирането и защитата на децата;

е) предаването на данни на трети държави или международни организации;

е) предаването на данни на трети държави или международни организации;

ж) механизмите за наблюдение и гарантиране на спазването на кодекса от администраторите, ангажирани с него;

ж) механизмите за наблюдение и гарантиране на спазването на кодекса от администраторите, ангажирани с него;

з) извънсъдебните производства и другите процедури за разрешаване на спорове между администраторите и субектите на данни по отношение на обработването на лични данни, без да се засягат правата на субектите на данни съгласно членове 73 и 75.

з) извънсъдебните производства и другите процедури за разрешаване на спорове между администраторите и субектите на данни по отношение на обработването на лични данни, без да се засягат правата на субектите на данни съгласно членове 73 и 75.

2. Сдруженията и другите структури, представляващи категории администратори или обработващи лични данни в дадена държава членка, които възнамеряват да изготвят кодекси за поведение или да изменят или допълнят съществуващи кодекси за поведение, могат да ги представят на надзорния орган в тази държава членка за становище. Надзорният орган може да даде становище дали проектът за кодекс за поведение или изменение е в съответствие с настоящия регламент. Надзорният орган се обръща към субектите на данни или техните представители за вижданията им по тези проекти.

2. Сдруженията и другите структури, представляващи категории администратори или обработващи лични данни в дадена държава членка, които възнамеряват да изготвят кодекси за поведение или да изменят или допълнят съществуващи кодекси за поведение, могат да ги представят на надзорния орган в тази държава членка за становище. Надзорният орган своевременно дава становище дали обработването на данни съгласно проекта за кодекс за поведение или изменение е в съответствие с настоящия регламент. Надзорният орган се обръща към субектите на данни или техните представители за вижданията им по тези проекти.

3. Сдруженията и другите структури, представляващи категории администратори в няколко държави членки, могат да представят на Комисията проекти на кодекси за поведение или изменения или допълнения към съществуващи кодекси за поведение.

3. Сдруженията и другите структури, представляващи категории администратори или обработващи лични данни в няколко държави членки, могат да представят на Комисията проекти на кодекси за поведение или изменения или допълнения към съществуващи кодекси за поведение.

4. Комисията може да приема актове за изпълнение, за да реши дали кодексите за поведение и измененията или допълненията към съществуващи кодекси за поведение, които са ѝ представени по силата на параграф 3, са общовалидни в рамките на Съюза. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 87, параграф 2.

4. Комисията се упълномощава, след като поиска становище от Европейския комитет за защита на данните, да приема делегирани актове съгласно член 86, за да реши дали кодексите за поведение и измененията или допълненията към съществуващи кодекси за поведение, които са ѝ представени по силата на параграф 3, са в съответствие с настоящия регламент и са общовалидни в рамките на Съюза. Тези делегирани актове предоставят противопоставими права на субектите на данните.

5. Комисията осигурява подходяща публичност на кодексите, за които е решено, че са общовалидни в съответствие с параграф 4.

5. Комисията осигурява подходяща публичност на кодексите, за които е решено, че са общовалидни в съответствие с параграф 4.

Изменение  136

Предложение за регламент

Член 39

Текст, предложен от Комисията

Изменение

Сертифициране

Сертифициране

1. Държавите членки и Комисията насърчават, особено на европейско равнище, създаването на механизми за сертифициране за защита на данните и на печати и маркировки за защита на данните, които позволяват на субектите на данни бързо да оценяват нивото на защита на данните, осигурявано от администраторите и обработващите лични данни. Механизмите за сертифициране за защита на данните допринасят за правилното прилагане на настоящия регламент, като се отчитат специфичните характеристики на различните сектори и различните операции по обработване.

 

 

1а. Всеки администратор или обработващ лични данни може да поиска от всеки надзорен орган в Съюза, срещу разумна такса, която отчита административните разходи, сертифициране, че обработването на лични данни се извършва в съответствие с настоящия регламент, по-специално с принципите, посочени в членове 5, 25 и 30, със задълженията на администратора или обработващия лични данни и с правата на субекта на данните.

 

1б. Сертифицирането е доброволно, на достъпна цена и се предоставя на разположение чрез процедура, която е прозрачна и не прекомерно натоварваща.

 

1в. Надзорните органи и Европейският комитет по защита на данните си сътрудничат по силата на механизма за съгласуваност съгласно член 57, с цел да се гарантира хармонизиран механизъм за сертифициране на защитата на данните, включително хармонизирани такси за него в рамките на Съюза.

 

1г. По време на процедурата на сертифициране надзорният орган може да акредитира специализирано трето лице да извърши одит на администратора или на обработващия лични данни от негово име. Третите лица, извършващи одита разполагат с достатъчно квалифициран персонал, безпристрастни са и не съществува конфликт на интереси по отношение на техните задължения. Надзорният орган оттегля акредитирането, ако съществуват основания да се счита, че одиторът не изпълнява правилно своите задължения. Окончателното сертифициране се извършва от надзорния орган.

 

1д. Надзорните органи предоставят на администратора или обработващия лични данни, който вследствие на одита е сертифициран, че обработва лични данни в съответствие с настоящия регламент, стандартизиран знак за защита на данни, наречен „Европейски печат за защита на данните“.

 

1е. „Европейският печат за защита на данните“ е валиден, докато операциите по обработване на данни на сертифицирания администратор или обработващ лични данни продължава да съответства напълно на настоящия регламент.

 

1ж. Без да се засягат разпоредбите на параграф 1е, сертифицирането е валидно за максимален срок от пет години.

 

1з. Европейският комитет по защита на данните създава публичен електронен регистър, в който всички валидни и невалидни сертификати, които са издадени в държава членка, могат да бъдат разглеждани от обществеността.

 

1и. Европейският комитет по защита на данните може по собствена инициатива да сертифицира, че технически стандарт, който подобрява защитата на данните, съответства на настоящия регламент.

2. На Комисията се предоставя правомощието да приема делегирани актове в съответствие с член 86 с цел допълнително уточняване на критериите и изискванията за механизмите за сертифициране за защита на данните, посочени в параграф 1, включително на условията за предоставяне и оттегляне, както и на изискванията за признаване в рамките на Съюза и в трети държави.

2. На Комисията се предоставя правомощието, след като поиска становище от Европейския комитет за защита на данните и се консултира със заинтересованите страни, по-специално с бизнес средите и неправителствените организации, да приема делегирани актове в съответствие с член 86 с цел допълнително уточняване на критериите и изискванията за механизмите за сертифициране за защита на данните, посочени в параграфи 1а–1з, включително на изискванията за акредитиране на одитори, условията за предоставяне и оттегляне, както и на изискванията за признаване в рамките на Съюза и в трети държави. Тези делегирани актове предоставят противопоставими права на субектите на данните.

3. Комисията може да определя технически стандарти за механизмите за сертифициране и за печатите и маркировките за защита на данните, както и механизми за насърчаване и признаване на механизмите за сертифициране и на печатите и маркировките за защита на данните. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 87, параграф 2.

 

Изменение  137

Предложение за регламент

Член 41

Текст, предложен от Комисията

Изменение

Предаване на данни въз основа на решение относно адекватността

Предаване на данни въз основа на решение относно адекватността

1. Предаване може да се осъществи, когато Комисията е решила, че третата държава или територия, или обработващ сектор в тази трета държава, или въпросната международна организация гарантира адекватно ниво на защита. За такова предаване не се изисква допълнително разрешение.

1. Предаване може да се осъществи, когато Комисията е решила, че третата държава или територия, или обработващ сектор в тази трета държава, или въпросната международна организация гарантира адекватно ниво на защита. За такова предаване не се изисква специално разрешение.

2. При оценяване на адекватността на нивото на защита Комисията отчита следните елементи:

2. При оценяване на адекватността на нивото на защита Комисията отчита следните елементи:

а) принципите на правовата държава, съответното действащо законодателство, както общото, така и секторното, включително това, което се отнася до обществената сигурност, отбраната, националната сигурност и наказателното право, професионалните правила и мерките за сигурност, които се спазват в тази държава или от тази международна организация, както и действителните и противопоставимите права, включително правото на ефективна административна и съдебна защита за субектите на данни, по-специално за тези субекти на данни с местоживеене в Съюза, чиито лични данни се предават;

а) принципите на правовата държава, съответното действащо законодателство, както общото, така и секторното, включително това, което се отнася до обществената сигурност, отбраната, националната сигурност и наказателното право, а също и прилагането на това законодателство, професионалните правила и мерките за сигурност, които се спазват в тази държава или от тази международна организация, прецеденти от съдебната практика, както и действителните и противопоставимите права, включително правото на ефективна административна и съдебна защита за субектите на данни, по-специално за тези субекти на данни с местоживеене в Съюза, чиито лични данни се предават;

б) съществуването и ефективното функциониране на един или повече независими надзорни органи във въпросната трета държава или международна организация, отговорни за гарантиране на спазването на правилата за защита на данните, за подпомагане и консултиране на субектите на данни при упражняването на техните права и за осъществяване на сътрудничество с надзорните органи на Съюза и на държавите членки; както и

б) съществуването и ефективното функциониране на един или повече независими надзорни органи във въпросната трета държава или международна организация, отговорни за гарантиране на спазването на правилата за защита на данните, включително достатъчно правомощия за налагане на санкции, за подпомагане и консултиране на субектите на данни при упражняването на техните права и за осъществяване на сътрудничество с надзорните органи на Съюза и на държавите членки; както и

в) международните ангажименти, които въпросната трета държава или международна организация е поела.

в) международните ангажименти, които въпросната трета държава или международна организация е поела, по-специално всички правно обвързващи конвенции или инструменти в областта на защитата на лични данни.

3. Комисията може да реши, че дадена трета държава или територия, или обработващ сектор в тази трета държава, или дадена международна организация осигурява адекватно ниво на защита по смисъла на параграф 2. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 87, параграф 2.

3. На Комисията се предоставя правомощието да приема делегирани актове в съответствие с член 86 и да реши, че дадена трета държава или територия или обработващ данни сектор в тази трета държава, или дадена международна организация осигурява адекватно ниво на защита по смисъла на параграф 2. Тези делегирани актове съдържат клауза за изтичане на срока на действие, ако засягат обработващ данни сектор и се отменят в съответствие с параграф 5 в момента, в който престане да се гарантира съответно равнище на защита на данните съгласно настоящия регламент.

4. В акта за изпълнение се посочва неговото географско и секторно приложение и, когато е приложимо, се указва надзорният орган, упоменат в параграф 2, буква б).

4. В делегирания акт се посочва неговото териториално и секторно приложение и, когато е приложимо, се указва надзорният орган, упоменат в параграф 2, буква б).

 

4а. Комисията осъществява постоянен мониторинг на развитието, което би могло да повлияе на елементите, изброени в параграф 2, в трети държави и в международни организации, за които е приет делегиран акт съгласно параграф 3.

5. Комисията може да реши, че дадена трета държава или територия, или обработващ сектор в тази трета държава, или дадена международна организация не осигурява адекватно ниво на защита по смисъла на параграф 2 от настоящия член, по-специално в случаи, в които съответното законодателство, както общото, така и секторното, което е в сила в третата държава или международната организация, не гарантира действителни и противопоставими права, включително право на ефективна административна и съдебна защита за субектите на данни, по-специално за тези субекти на данни с местоживеене в Съюза, чиито лични данни се предават. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 87, параграф 2, или, в особено спешни за физическите лица случаи във връзка с правото им на защита на личните данни ― в съответствие с процедурата, посочена в член 87, параграф 3.

5. На Комисията се предоставя правомощието да приема делегирани актове в съответствие с член 86 с цел вземане на решение, че дадена трета държава или територия, или обработващ сектор в тази трета държава, или дадена международна организация не осигурява или е престанала да осигурява адекватно ниво на защита по смисъла на параграф 2 от настоящия член, по-специално в случаи, в които съответното законодателство, както общото, така и секторното, което е в сила в третата държава или международната организация, не гарантира действителни и противопоставими права, включително право на ефективна административна и съдебна защита за субектите на данни, по-специално за тези субекти на данни с местоживеене в Съюза, чиито лични данни се предават.

6. Когато Комисията вземе решение по силата на параграф 5, се забранява всякакво предаване на лични данни до третата държава или територия, или обработващ сектор в тази трета държава, или на въпросната международна организация, без да се засягат членове 42—44. В подходящия момент Комисията започва консултации с третата държава или международна организация с цел да коригира ситуацията, произтичаща от решението, взето по силата на параграф 5 от настоящия член.

6. Когато Комисията вземе решение по силата на параграф 5, се забранява всякакво предаване на лични данни до третата държава или територия, или обработващ сектор в тази трета държава, или на въпросната международна организация, без да се засягат членове 42—44. В подходящия момент Комисията започва консултации с третата държава или международна организация с цел да коригира ситуацията, произтичаща от решението, взето по силата на параграф 5 от настоящия член.

 

6а. Преди приемането на делегиран акт съгласно параграфи 3 и 5, Комисията отправя искане към Европейския комитет за защита на данните да изрази становище относно това доколко равнището на защита е адекватно. За тази цел Комисията предоставя на Европейския комитет за защита на данните цялата необходима документация, включително кореспонденцията с правителството на третата държава, територията или обработващия сектор в тази държава, или с международната организация.

7. Комисията публикува в Официален вестник на Европейския съюз списък на тези трети държави, територии и обработващи сектори в трета държава и международни организации, за които е решила, че е осигурено или че не е осигурено адекватно ниво на защита.

7. Комисията публикува в Официален вестник на Европейския съюз и на своята уебстраница списък на тези трети държави, територии и обработващи сектори в трета държава и международни организации, за които е решила, че е осигурено или че не е осигурено адекватно ниво на защита.

8. Решенията, приети от Комисията въз основа на член 25, параграф 6 или член 26, параграф 4 от Директива 95/46/ЕО остават в сила, докато не бъдат изменени, заменени или отменени от Комисията.

8. Решенията, приети от Комисията въз основа на член 25, параграф 6 или член 26, параграф 4 от Директива 95/46/ЕО остават в сила в срок от пет години след влизането в сила на настоящия регламент, освен ако не бъдат изменени, заменени или отменени от Комисията преди края на този срок.

Изменение  138

Предложение за регламент

Член 42

Текст, предложен от Комисията

Изменение

Предаване на данни с подходящи гаранции

Предаване на данни с подходящи гаранции

1. Когато Комисията не е взела решение по силата на член 41, даден администратор или обработващ лични данни може да предава лични данни на трета държава или международна организация само ако администраторът или обработващият лични данни е предвидил в правно обвързващ инструмент подходящи гаранции във връзка със защитата на личните данни.

1. Когато Комисията не е взела решение по силата на член 41 или когато реши, че трета държава или територия, или обработващ сектор в рамките на тази трета държава, или международна организация не осигурява адекватно ниво на защита в съответствие с член 41, параграф 5, даден администратор или обработващ лични данни може да не предава лични данни на трета държава или международна организация, освен ако администраторът или обработващият лични данни не е предвидил в правно обвързващ инструмент подходящи гаранции във връзка със защитата на личните данни.

2. Подходящите гаранции, посочени в параграф 1, се предвиждат по-специално чрез:

2. Подходящите гаранции, посочени в параграф 1, се предвиждат по-специално чрез:

а) задължителни фирмени правила в съответствие с член 43; или

а) задължителни фирмени правила в съответствие с член 43; или

 

аа) валиден „Европейски печат за защита на данните“ за администратора и получателя в съответствие с член 39, параграф 1д; или

б) стандартни клаузи за защита на данните, приети от Комисията; Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 87, параграф 2; или

 

в) стандартни клаузи за защита на данните, приети от надзорен орган в съответствие с механизма за съгласуваност, посочен в член 57, когато те са обявени за общовалидни от Комисията съгласно член 62, параграф 1, буква б); или

в) стандартни клаузи за защита на данните, приети от надзорен орган в съответствие с механизма за съгласуваност, посочен в член 57, когато те са обявени за общовалидни от Комисията съгласно член 62, параграф 1, буква б); или

г) договорни клаузи между администратора или обработващия лични данни и получателя на данните, разрешени от надзорен орган в съответствие с параграф 4.

г) договорни клаузи между администратора или обработващия лични данни и получателя на данните, разрешени от надзорен орган в съответствие с параграф 4.

3. Предаването на данни въз основа на стандартни клаузи за защита на данните или задължителни фирмени правила, както е посочено в параграф 2, букви а), б) и в), не изисква допълнително разрешение.

3. Предаването на данни въз основа на стандартни клаузи за защита на данните, „Европейски печат за защита на данните“ или задължителни фирмени правила, както е посочено в параграф 2, букви а), аа) или в), не изисква специфично разрешение.

4. Когато предаването на данни се основа на договорни клаузи, както е посочено в параграф 2, буква г), администраторът или обработващият лични данни получава предварително разрешение на договорните клаузи от надзорния орган в съответствие с член 34, параграф 1, буква а). Ако предаването на данни е свързано с дейности по обработване, които засягат субекти на данни в друга държава членка или други държави членки, или които съществено засягат свободното движение на лични данни в рамките на Съюза, надзорният орган прилага механизма за съгласуваност, посочен в член 57.

4. Когато предаването на данни се основа на договорни клаузи, както е посочено в параграф 2, буква г) на настоящия член, администраторът или обработващият лични данни получава предварително разрешение на договорните клаузи от надзорния орган. Ако предаването на данни е свързано с дейности по обработване, които засягат субекти на данни в друга държава членка или други държави членки, или които съществено засягат свободното движение на лични данни в рамките на Съюза, надзорният орган прилага механизма за съгласуваност, посочен в член 57.

5. Когато подходящите гаранции във връзка със защитата на личните данни не са предвидени в правно обвързващ инструмент, администраторът или обработващият лични данни получава предварително разрешение за предаването или съвкупността от предавания, или за разпоредбите, които да бъдат включени в административните договорености, които предоставят основата за такова предаване. Такова разрешение на надзорния орган е в съответствие с член 34, параграф 1, буква а). Ако предаването на данни е свързано с дейности по обработване, които засягат субекти на данни в друга държава членка или други държави членки, или които съществено засягат свободното движение на лични данни в рамките на Съюза, надзорният орган прилага механизма за съгласуваност, посочен в член 57. Разрешенията, издадени от надзорния орган въз основа на член 26, параграф 2 от Директива 95/46/ЕО остават действителни, докато не бъдат изменени, заменени или отменени от надзорния орган.

5. Разрешенията, издадени от надзорния орган въз основа на член 26, параграф 2 от Директива 95/46/ЕО остават действителни в продължение на две години след влизането в сила на настоящия регламент, освен ако не бъдат изменени, заменени или отменени от надзорния орган преди края на този срок.

Изменение 139

Предложение за регламент

Член 43

Текст, предложен от Комисията

Изменение

Предаване на данни чрез задължителни фирмени правила

Предаване на данни чрез задължителни фирмени правила

1. Даден надзорен орган одобрява задължителни фирмени правила в съответствие с механизма за съгласуваност, определен в член 58, при условие че те:

1. Надзорният орган одобрява задължителни фирмени правила в съответствие с механизма за съгласуваност, определен в член 58, при условие че те:

а) са правно обвързващи, прилагат се спрямо и се привеждат в изпълнение от всеки член на групата предприятия на администратора или обработващия лични данни и включват техните служители;

а) са правно обвързващи, прилагат се спрямо и се привеждат в изпълнение от всеки член на групата предприятия на администратора или обработващия лични данни и на външните подизпълнители, попадащи в обхвата на задължителните фирмени правила, и включват техните служители;

б) изрично предоставят противопоставими права на субектите на данните;

б) изрично предоставят противопоставими права на субектите на данните;

в) изпълняват изискванията, установени в параграф 2.

в) изпълняват изискванията, установени в параграф 2.

 

1а. По отношение на данните, свързани с трудови правоотношения, представителите на работниците и служителите следва да бъдат уведомявани съгласно правото и практиката на Съюза и на държавата членка и включени в изготвянето на задължителните фирмени правила по силата на член 43.

 

2. В задължителните фирмени правила се указват най-малко:

2. В задължителните фирмени правила се указват най-малко:

а) структурата и координатите за връзка на групата предприятия и нейните членове;

а) структурата и координатите за връзка на групата предприятия и нейните членове и на външните подизпълнители, попадащи в обхвата на задължителните фирмени правила;

б) предаването на данни или съвкупността от предавания на данни, включително категориите лични данни, видът на обработването и неговите цели, видът на засегнатите субекти на данни и се посочва въпросната трета държава или държави;

б) предаването на данни или съвкупността от предавания на данни, включително категориите лични данни, видът на обработването и неговите цели, видът на засегнатите субекти на данни и се посочва въпросната трета държава или държави;

в) тяхното правно обвързващо естество, както на вътрешно, така и на външно равнище;

в) тяхното правно обвързващо естество, както на вътрешно, така и на външно равнище;

г) общите принципи за защита на данните, по-специално принципа на ограничаване до предвидената цел, принципа за качество на данните, правното основание за обработването, обработването на чувствителни лични данни; мерките за осигуряване на сигурността на данните, както и изискванията за последващо предаване на данни до организации, които не са обвързани от тези политики;

г) общите принципи за защита на данните, по-специално принципът на ограничаване до предвидената цел, свеждането до минимум на данните, ограничените периоди на запазване на данните, принципът за качество на данните, защита на данните още при проектирането и по подразбиране, правното основание за обработването, обработването на чувствителни лични данни; мерките за осигуряване на сигурността на данните, както и изискванията за последващо предаване на данни до организации, които не са обвързани от тези политики;

д) правата на субектите на данни и средствата за упражняване на тези права, включително правото на субекта на данните да не подлежи на мярка, основана на профилиране, в съответствие с член 20, правото за подаване на жалба до компетентния надзорен орган и до компетентните съдилища на държавите членки в съответствие с член 75, както и правото на съдебна защита и, когато е подходящо, обезщетение за нарушаване на задължителните фирмени правила;

д) правата на субектите на данни и средствата за упражняване на тези права, включително правото на субекта на данните да не подлежи на мярка, основана на профилиране, в съответствие с член 20, правото за подаване на жалба до компетентния надзорен орган и до компетентните съдилища на държавите членки в съответствие с член 75, както и правото на съдебна защита и, когато е подходящо, обезщетение за нарушаване на задължителните фирмени правила;

е) поемането от администратора или обработващия лични данни, установен на територията на държава членка, на отговорност за каквито и да било нарушения на задължителните фирмени правила от който и да било член на групата предприятия, който не е установен в Съюза; администраторът или обработващият лични данни може да бъде изцяло или частично освободен от такава отговорност само ако докаже, че този член не носи отговорност за събитието, довело до причиняването на вредите;

е) поемането от администратора, установен на територията на държава членка, на отговорност за каквито и да било нарушения на задължителните фирмени правила от който и да било член на групата предприятия, който не е установен в Съюза; администраторът може да бъде изцяло или частично освободен от такава отговорност само ако докаже, че този член не носи отговорност за събитието, довело до причиняването на вредите;

ж) начинът, по който информацията относно задължителните фирмени правила, по-специално информацията относно разпоредбите, посочени в букви г), д) и е), се предоставя на субектите на данни в съответствие с член 11;

ж) начинът, по който информацията относно задължителните фирмени правила, по-специално информацията относно разпоредбите, посочени в букви г), д) и е), се предоставя на субектите на данни в съответствие с член 11;

з) задачите на длъжностното лице по защита на данните, определено в съответствие с член 35, включително наблюдение в рамките на групата предприятия за спазването на задължителните фирмени правила, както и наблюдение на обучението и разглеждането на жалбите;

з) задачите на длъжностното лице по защита на данните, определено в съответствие с член 35, включително наблюдение в рамките на групата предприятия за спазването на задължителните фирмени правила, както и наблюдение на обучението и разглеждането на жалбите;

и) механизмите в рамките на групата предприятия, които имат за цел да се осигури проверката на спазването на задължителните фирмени правила;

и) механизмите в рамките на групата предприятия, които имат за цел да се осигури проверката на спазването на задължителните фирмени правила;

й) механизмите за докладване и записване на промени в политиките и докладването на надзорния орган за тези промени;

й) механизмите за докладване и записване на промени в политиките и докладването на надзорния орган за тези промени;

к) механизмът за сътрудничество с надзорния орган с цел осигуряване на спазването на правилата от който и да било член на групата предприятия, по-специално чрез предоставяне на надзорния орган на резултатите от проверките на мерките, посочени в буква и) от настоящия параграф.

к) механизмът за сътрудничество с надзорния орган с цел осигуряване на спазването на правилата от който и да било член на групата предприятия, по-специално чрез предоставяне на надзорния орган на резултатите от проверките на мерките, посочени в буква и) от настоящия параграф.

3. На Комисията се предоставя правомощието да приема делегирани актове в съответствие с член 86 с цел допълнително уточняване на критериите и изискванията за задължителните фирмени правила по смисъла на настоящия член, по-специално по отношение на критериите за тяхното одобрение, прилагането на параграф 2, букви б), г), д) и е) спрямо задължителните фирмени правила, с които са ангажирани обработващите лични данни, както и на необходимите допълнителни изисквания, за да се осигури защитата на личните на данни на съответните субекти на данни.

3. На Комисията се предоставя правомощието да приема делегирани актове в съответствие с член 86 с цел допълнително уточняване на формата, процедурите, критериите и изискванията за задължителните фирмени правила по смисъла на настоящия член, по-специално по отношение на критериите за тяхното одобрение, включително прозрачността за субектите на данните, прилагането на параграф 2, букви б), г), д) и е) спрямо задължителните фирмени правила, с които са ангажирани обработващите лични данни, както и на необходимите допълнителни изисквания, за да се осигури защитата на личните на данни на съответните субекти на данни.

4. Комисията може да определя формáта и процедурите за обмена на информация чрез електронни средства между администраторите, обработващите лични данни и надзорните органи относно задължителните фирмени правила по смисъла на настоящия член. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 87, параграф 2.

 

Изменение  140

Предложение за регламент

Член 43 a (нов)

Текст, предложен от Комисията

Изменение

 

Член 43а

 

Предаване или разкриване на данни, което не е разрешено от правото на Съюза

 

1. По никакъв начин не се признава и не подлежи на изпълнение нито едно решение на съд или на друг правораздавателен орган и нито едно решение на административен орган на трета държава, което изисква разкриване на лични данни от страна на администратор или обработващ лични данни, без да се засягат разпоредбите на договори за правна взаимопомощ или международни споразумения, които са в сила между третата държава, отправила искането, и Съюза или негова държава членка.

 

2. Когато чрез решение на съд или друг правораздавателен орган, или решение на административен орган на трета държава се изисква администратор или обработващ данни да разкрие лични данни, администраторът или обработващият лични данни, или представителят на администратора, ако има такъв, уведомява своевременно надзорния орган за това искане, като трябва да получи предварително разрешение от него за предаването или разкриването на данните.

 

3. Надзорният орган оценява съответствието на исканото разкриване на данни с регламента, и по-специално дали това разкриване е необходимо и дали се изисква по закон в съответствие с член 44, параграф 1, букви г) и д) и член 44, параграф 5. Когато са засегнати субекти на данни от друга държава членка, надзорният орган прилага механизма за съгласуваност, посочен в член 57.

 

4. Надзорният орган уведомява компетентния национален орган относно искането. Без да се засяга член 21, администраторът или обработващият лични данни също така уведомява субектите на данни за искането и за разрешението на надзорния орган, и, когато е приложимо, уведомява субекта на данните дали лични данни са били предоставяни на публични органи през последния период от 12 последователни месеца, съгласно член 14, параграф 1, буква за).

Изменение  141

Предложение за регламент

Член 44

Текст, предложен от Комисията

Изменение

Дерогации

Дерогации

1. При липсата на решение относно адекватността по силата на член 41 или на подходящи гаранции по силата на член 42 предаване или съвкупност от предавания на лични данни на дадена трета държава или международна организация може да се извърши само при условие че:

1. При липсата на решение относно адекватността по силата на член 41 или на подходящи гаранции по силата на член 42 предаване или съвкупност от предавания на лични данни на дадена трета държава или международна организация може да се извърши само при условие че:

а) субектът на данните е дал съгласието си за предлаганото предаване на данни, след като е бил информиран за рисковете от подобно предаване поради липсата на решение относно адекватността или на подходящи гаранции; или

а) субектът на данните е дал съгласието си за предлаганото предаване на данни, след като е бил информиран за рисковете от подобно предаване поради липсата на решение относно адекватността или на подходящи гаранции; или

б) предаването е необходимо за изпълнението на договор между субекта на данните и администратора или за изпълнението на преддоговорни мерки, взети по искане на субекта на данните; или

б) предаването е необходимо за изпълнението на договор между субекта на данните и администратора или за изпълнението на преддоговорни мерки, взети по искане на субекта на данните; или

в) предаването е необходимо за сключването или изпълнението на договор, сключен в интерес на субекта на данните между администратора и друго физическо или юридическо лице; или

в) предаването е необходимо за сключването или изпълнението на договор, сключен в интерес на субекта на данните между администратора и друго физическо или юридическо лице; или

г) предаването е необходимо поради важно основание от обществен интерес; или

г) предаването е необходимо поради важно основание от обществен интерес; или

д) предаването е необходимо за установяването, упражняването или защитата на правни претенции; или

д) предаването е необходимо за установяването, упражняването или защитата на правни претенции; или

е) предаването е необходимо, за да бъдат защитени жизненоважни интереси на субекта на данните или на друго лице, когато субектът на данните е физически или юридически неспособен да даде своето съгласие; или

е) предаването е необходимо, за да бъдат защитени жизненоважни интереси на субекта на данните или на друго лице, когато субектът на данните е физически или юридически неспособен да даде своето съгласие; или

ж) предаването се извършва от регистрационна система, която съгласно правото на Съюза или на държавите членки, е предназначена да предоставя информация на обществеността и е достъпна за справка от обществеността по принцип или от всяко лице, което може да докаже, че има законен интерес за това, доколкото условията за справка, установени в правото на Съюза или на държавите членки, са изпълнени в конкретния случай; или

ж) предаването се извършва от регистрационна система, която съгласно правото на Съюза или на държавите членки, е предназначена да предоставя информация на обществеността и е достъпна за справка от обществеността по принцип или от всяко лице, което може да докаже, че има законен интерес за това, доколкото условията за справка, установени в правото на Съюза или на държавите членки, са изпълнени в конкретния случай.

з) предаването е необходимо за целите на законните интереси, преследвани от администратора или от обработващия лични данни, и не може да бъде определено като често или масово, като администраторът или обработващият лични данни е оценил всички обстоятелства, свързани с операцията или съвкупността от операции по предаването на данни, и въз основа на тази оценка, когато е необходимо, е предоставил подходящи гаранции във връзка със защитата на личните данни.

 

2. Предаването съгласно параграф 1, буква ж) не трябва да включва всички лични данни или всички категории лични данни, съдържащи се в регистрационната система. Когато регистрационната система е предназначена за справка от лица, които имат законен интерес, предаването се извършва единствено по искане на тези лица или ако те са получателите.

2. Предаването съгласно параграф 1, буква ж) не трябва да включва всички лични данни или всички категории лични данни, съдържащи се в регистрационната система. Когато регистрационната система е предназначена за справка от лица, които имат законен интерес, предаването се извършва единствено по искане на тези лица или ако те са получателите.

3. Когато обработването се основава на параграф 1, буква з), администраторът или обработващият лични данни обръща специално внимание на естеството на данните, целта и продължителността на предлаганата операция или операции по обработването им, както и на ситуацията в държавата на произход, третата държава или държавата на крайното местоназначение на данните, и на предоставените, когато е било необходимо, подходящи гаранции във връзка със защитата на личните данни.

 

4. Параграф 1, букви б), в) и з) не се прилага за дейности, извършвани от публичните органи при изпълнението на техните публични правомощия.

4. Параграф 1, букви б) и в) не се прилага за дейности, извършвани от публичните органи при изпълнението на техните публични правомощия.

5. Общественият интерес, посочен в параграф 1, буква г), трябва да бъде признат в правото на Съюза или в правото на държавата членка, чийто субект е администраторът.

5. Общественият интерес, посочен в параграф 1, буква г), трябва да бъде признат в правото на Съюза или в правото на държавата членка, чийто субект е администраторът.

6. Администраторът или обработващият лични данни документира оценката, както и предоставените подходящи гаранции, посочени в параграф 1, буква з) от настоящия член, в документацията, посочена в член 28, и информира надзорния орган за предаването на данните.

 

7. На Комисията се предоставя правомощието да приема делегирани актове в съответствие с член 86 с цел допълнително уточняване на „важните основания от обществен интерес“ по смисъла на параграф 1, буква г), както и на критериите и изискванията за подходящите гаранции, посочени в параграф 1, буква з).

7. На Европейския комитет по защита на данните се възлага задачата за издаване на насоки, препоръки и най-добри практики, в съответствие с член 66, параграф 1, буква б) с цел допълнително уточняване на критериите и изискванията за предаването на данни, въз основа на параграф 1.

Изменение  142

Предложение за регламент

Член 45 - параграф 1 – буква а)

Текст, предложен от Комисията

Изменение

а) разработване на ефективни механизми за международно сътрудничество с цел улесняване на прилагането на законодателството за защита на личните данни;

а) разработване на ефективни механизми за международно сътрудничество с цел гарантиране на прилагането на законодателството за защита на личните данни;

Изменение  143

Предложение за регламент

Член 45 – параграф 1 – буква г а) (нова)

Текст, предложен от Комисията

Изменение

 

га) изясняване и консултация относно спорове за компетентност с трети държави.

Изменение  144

Предложение за регламент

Член 45 a (нов)

Текст, предложен от Комисията

Изменение

 

Член 45а

 

Доклад на Комисията

 

Комисията внася редовно в Европейския парламент и в Съвета доклад относно прилагането на членове 40–45, като първият доклад се внася не по-късно от четири години след датата, посочена в член 91, параграф 1. За целта Комисията може да изисква от държавите членки и регулаторните органи информация, която следва да се предоставя своевременно. Докладът се публикува.

Изменение  145

Предложение за регламент

Член 47 - параграф 1

Текст, предложен от Комисията

Изменение

1. Надзорният орган действа напълно независимо при изпълнението на задълженията и правомощията, които са му възложени.

1. Надзорният орган действа напълно независимо и безпристрастно при изпълнението на задълженията и правомощията, които са му възложени, без да се засягат договореностите за сътрудничество и съгласуваност в съответствие с глава VII от настоящия регламент.

 

Изменение  146

Предложение за регламент

Член 47 - параграф 7 а (нов)

Текст, предложен от Комисията

Изменение

 

7а. Всяка държава членка гарантира, че надзорният орган се отчита пред националния парламент поради съображения за бюджетен контрол.

Изменение  147

Предложение за регламент

Член 50

Текст, предложен от Комисията

Изменение

Професионална тайна

Професионална тайна

Както по време на мандата си, така и след неговото изтичане, членовете и персоналът на надзорния орган са обвързани със задължение за опазване на професионална тайна по отношение на всякаква поверителна информация, която е стигнала до тяхното знание в хода на изпълнение на служебните им задължения.

Както по време на мандата си, така и след неговото изтичане и съобразно националното законодателство и практика, членовете и персоналът на надзорния орган са обвързани със задължение за опазване на професионална тайна по отношение на всякаква поверителна информация, която е стигнала до тяхното знание в хода на изпълнение на служебните им задължения, като изпълнението на служебните им задължения се извършва по независим и прозрачен начин, както е посочено в регламента.

Изменение               148

Предложение за регламент

Член 51 - параграф 1

Текст, предложен от Комисията

Изменение

1. Всеки надзорен орган упражнява на територията на своята държава членка правомощията, предоставени му в съответствие с настоящия регламент.

1. Всеки надзорен орган е компетентен да изпълнява задълженията и упражнява правомощията, предоставени му в съответствие с настоящия регламент, на територията на своята държава членка, без да се засягат разпоредбите на членове 73 и 74. Единствено надзорният орган на съответната държава членка извършва надзор върху обработката на данни от страна на публичен орган.

Изменение  149

Предложение за регламент

Член 51 - параграф 2

Текст, предложен от Комисията

Изменение

2. Когато обработването на лични данни се извършва в контекста на дейностите на място на установяване на администратор или обработващ лични данни в Съюза, и администраторът или обработващият лични данни е установен в повече от една държава членка, надзорният орган на държавата членка, в която се намира основното място на установяване на администратора или обработващия лични данни, е компетентен да осъществява надзор на дейностите по обработване, извършвани от администратора или обработващия лични данни във всички държави членки, без да се засягат разпоредбите на глава VII от настоящия регламент.

заличава се

Изменение  150

Предложение за регламент

Член 52 – параграф 1 – буква б)

Текст, предложен от Комисията

Изменение

б) разглежда жалбите, подадени от субект на данни или от сдружение, представляващо субекта на данни, в съответствие с член 73, разследва техния предмет дотолкова, доколкото това е целесъобразно, и информир