1.   Týmto nariadením sa stanovujú pravidlá týkajúce sa ochrany fyzických osôb so zreteľom na spracúvanie osobných údajov inštitúciami a orgánmi Únie a pravidlá týkajúce sa voľného pohybu osobných údajov medzi nimi alebo smerom k iným príjemcom, ktorí sú usadení v Únii.

2.   Týmto nariadením sa chránia základné práva a slobody fyzických osôb, a najmä ich právo na ochranu osobných údajov.

3.   Európsky dozorný úradník pre ochranu údajov monitoruje uplatňovanie ustanovení tohto nariadenia pri všetkých operáciách spracúvania údajov vykonávaných niektorou inštitúciou alebo niektorým orgánom Únie.

1.   Toto nariadenie sa uplatňuje na spracúvanie osobných údajov všetkými inštitúciami a orgánmi Únie.

2.   Na spracúvanie operačných osobných údajov orgánmi, úradmi a agentúrami Únie pri vykonávaní činností, ktoré patria do rozsahu pôsobnosti tretej časti hlavy V kapitoly 4 alebo kapitoly 5 ZFEÚ, sa uplatňujú iba článok 3 a kapitola IX tohto nariadenia.

3.   Toto nariadenie sa neuplatňuje na spracúvanie operačných osobných údajov Europolom a Európskou prokuratúrou, kým nedôjde k úprave nariadenia Európskeho parlamentu a Rady (EÚ) 2016/794 (15) a nariadenia Rady (EÚ) 2017/1939 (16) v súlade s článkom 98 tohto nariadenia.

4.   Toto nariadenie sa neuplatňuje na spracúvanie osobných údajov misiami uvedenými v článku 42 ods. 1 a článkoch 43 a 44 Zmluvy o EÚ.

5.   Toto nariadenie sa uplatňuje na spracúvanie osobných údajov vykonávané úplne alebo čiastočne automatizovanými prostriedkami a na spracúvanie inými ako automatizovanými prostriedkami v prípade osobných údajov, ktoré tvoria súčasť informačného systému alebo sú určené na to, aby tvorili súčasť informačného systému.

1.   Osobné údaje musia byť:

2.   Prevádzkovateľ je zodpovedný za súlad s odsekom 1 a musí vedieť tento súlad preukázať („zodpovednosť“).

1.   Spracúvanie je zákonné iba vtedy a iba v tom rozsahu, keď je splnená aspoň jedna z týchto podmienok:

2.   Základ pre spracúvanie uvedený v odseku 1 písm. a) a b) musí byť stanovený v práve Únie.

1.   Ak je spracúvanie založené na súhlase, prevádzkovateľ musí vedieť preukázať, že dotknutá osoba vyjadrila súhlas so spracúvaním svojich osobných údajov.

2.   Ak dá dotknutá osoba súhlas v rámci písomného vyhlásenia, ktoré sa týka aj iných skutočností, žiadosť o vyjadrenie súhlasu musí byť predložená tak, aby bola jasne odlíšiteľná od týchto iných skutočností, v zrozumiteľnej a ľahko prístupnej forme a musí byť formulovaná jasne a jednoducho. Akákoľvek časť takéhoto vyhlásenia, ktorá predstavuje porušenie tohto nariadenia, nie je záväzná.

3.   Dotknutá osoba má právo kedykoľvek odvolať svoj súhlas. Odvolanie súhlasu nemá vplyv na zákonnosť spracúvania vychádzajúceho zo súhlasu pred jeho odvolaním. Dotknutá osoba musí byť pred poskytnutím súhlasu o tejto skutočnosti informovaná. Odvolanie súhlasu musí byť také jednoduché ako jeho poskytnutie.

4.   Pri posudzovaní, či bol súhlas poskytnutý slobodne, sa v čo najväčšej miere zohľadní okrem iného skutočnosť, či sa plnenie zmluvy vrátane poskytnutia služby podmieňuje súhlasom so spracúvaním osobných údajov, ktorý nie je na plnenie tejto zmluvy potrebný.

1.   Ak sa uplatňuje článok 5 ods. 1 písm. d), v súvislosti s ponukou služieb informačnej spoločnosti adresovanou priamo dieťaťu je spracúvanie osobných údajov dieťaťa zákonné, ak má dieťa aspoň 13 rokov. Ak má dieťa menej než 13 rokov, takéto spracúvanie je zákonné iba za podmienky, že súhlas vyjadril alebo schválil nositeľ rodičovských práv a povinností vo vzťahu k dieťaťu, a iba v rozsahu, v akom daný nositeľ takýto súhlas vyjadril alebo schválil.

2.   Prevádzkovateľ vynaloží primerané úsilie s ohľadom na dostupnú technológiu, aby si v takýchto prípadoch overil, že nositeľ rodičovských práv a povinností vo vzťahu k dieťaťu vyjadril súhlas alebo ho schválil.

3.   Odsekom 1 nie je dotknuté všeobecné zmluvné právo členských štátov, napríklad pravidlá platnosti, uzatvárania alebo účinkov zmluvy vo vzťahu k dieťaťu.

1.   Bez toho, aby boli dotknuté články 4 až 6 a 10, sa osobné údaje prenášajú príjemcom usadeným v Únii, ktoré nie sú inštitúciami ani orgánmi Únie, len vtedy, ak:

2.   Ak prevádzkovateľ iniciuje prenos podľa tohto článku, musí preukázať, že prenos osobných údajov je potrebný na účely prenosu a primeraný účelom prenosu, pričom uplatní kritériá stanovené v odseku 1 písm. a) alebo b).

3.   Inštitúcie a orgány Únie zosúladia právo na ochranu osobných údajov s právom na prístup k dokumentom v súlade s právom Únie.

1.   Zakazuje sa spracúvanie osobných údajov, ktoré odhaľujú rasový alebo etnický pôvod, politické názory, náboženské alebo filozofické presvedčenie alebo členstvo v odborových organizáciách, a spracúvanie genetických údajov, biometrických údajov na individuálnu identifikáciu fyzickej osoby, údajov týkajúcich sa zdravia alebo údajov týkajúcich sa sexuálneho života alebo sexuálnej orientácie fyzickej osoby.

2.   Odsek 1 sa neuplatňuje, ak platí niektorá z týchto podmienok:

3.   Osobné údaje uvedené v odseku 1 sa môžu spracúvať na účely uvedené v odseku 2 písm. h), ak tieto údaje spracúva odborník, alebo ak sa spracúvajú v rámci zodpovednosti odborníka, ktorý podlieha povinnosti služobného tajomstva podľa práva Únie alebo práva členského štátu, alebo podľa pravidiel, ktoré stanovili príslušné vnútroštátne orgány, alebo ak tieto údaje spracúva iná osoba, ktorá tiež podlieha povinnosti mlčanlivosti podľa práva Únie alebo práva členského štátu alebo pravidiel, ktoré stanovili príslušné vnútroštátne orgány.

1.   Ak na účely, na ktoré prevádzkovateľ spracúva osobné údaje, nie je potrebné alebo už viac nie je potrebné, aby prevádzkovateľ identifikoval dotknutú osobu, prevádzkovateľ nie je povinný uchovávať, získať ani spracúvať dodatočné informácie na identifikáciu dotknutej osoby výlučne na to, aby dosiahol súlad s týmto nariadením.

2.   Ak v prípadoch uvedených v odseku 1 tohto článku prevádzkovateľ vie preukázať, že dotknutú osobu nie je schopný identifikovať, podľa možnosti o tom dotknutú osobu informuje. V takýchto prípadoch sa články 17 až 22 neuplatňujú okrem prípadov, keď dotknutá osoba na účely vykonania svojich práv podľa uvedených článkov poskytne dodatočné informácie umožňujúce jej identifikáciu.

1.   Prevádzkovateľ prijme vhodné opatrenia s cieľom poskytnúť dotknutej osobe všetky informácie uvedené v článkoch 15 a 16 a všetky oznámenia podľa článkov 17 až 24 a článku 35, ktoré sa týkajú spracúvania, v stručnej, transparentnej, zrozumiteľnej a ľahko prístupnej forme, formulované jasne a jednoducho, a to najmä v prípade akýchkoľvek informácií určených osobitne dieťaťu. Informácie sa poskytujú písomne alebo inými prostriedkami, ktoré vo vhodných prípadoch zahŕňajú aj elektronické prostriedky. Na požiadanie dotknutej osoby sa informácie môžu poskytnúť ústne za predpokladu, že sa totožnosť dotknutej osoby preukáže iným spôsobom.

2.   Prevádzkovateľ uľahčuje výkon práv dotknutej osoby podľa článkov 17 až 24. V prípadoch uvedených v článku 12 ods. 2 nemôže prevádzkovateľ odmietnuť konať na základe žiadosti dotknutej osoby týkajúcej sa uplatňovania jej práv podľa článkov 17 až 24, pokiaľ nepreukáže, že dotknutú osobu nie je schopný identifikovať.

3.   Prevádzkovateľ poskytne dotknutej osobe informácie o opatreniach, ktoré sa prijali na základe žiadosti podľa článkov 17 až 24, bez zbytočného odkladu a v každom prípade do jedného mesiaca od doručenia žiadosti. Uvedená lehota sa môže v prípade potreby predĺžiť o ďalšie dva mesiace, pričom sa zohľadní zložitosť žiadostí a ich počet. Prevádzkovateľ informuje dotknutú osobu o každom takomto predĺžení do jedného mesiaca od doručenia žiadosti spolu s dôvodmi na tento odklad. Ak dotknutá osoba podala žiadosť elektronickými prostriedkami, informácie sa podľa možnosti poskytnú elektronickými prostriedkami, pokiaľ dotknutá osoba nepožiadala o iný spôsob.

4.   Ak prevádzkovateľ na základe žiadosti dotknutej osoby neprijme opatrenia, bezodkladne a najneskôr do jedného mesiaca od doručenia žiadosti informuje dotknutú osobu o dôvodoch nekonania a o možnosti podania sťažnosti Európskemu dozornému úradníkovi pre ochranu údajov a uplatnenia súdneho prostriedku nápravy.

5.   Informácie poskytované podľa článkov 15 a 16 a všetky oznámenia a úkony uskutočnené podľa článkov 17 až 24 a článku 35 sa poskytujú bezplatne. Ak sú žiadosti dotknutej osoby zjavne neopodstatnené alebo neprimerané, najmä pre ich opakujúcu sa povahu, prevádzkovateľ môže odmietnuť konať na základe žiadosti. Prevádzkovateľ znáša bremeno preukázania zjavnej neopodstatnenosti alebo neprimeranosti žiadosti.

6.   Bez toho, aby bol dotknutý článok 12, ak má prevádzkovateľ oprávnené pochybnosti v súvislosti s totožnosťou fyzickej osoby, ktorá podáva žiadosť uvedenú v článkoch 17 až 23, môže požiadať o poskytnutie dodatočných informácií potrebných na potvrdenie totožnosti dotknutej osoby.

7.   Informácie, ktoré sa majú poskytnúť dotknutým osobám podľa článkov 15 a 16, môžu byť doplnené štandardizovanými ikonami s cieľom poskytnúť dobre viditeľným, jasným a zrozumiteľným spôsobom zmysluplný prehľad o zamýšľanom spracúvaní. Ak sú ikony použité v elektronickej podobe, musia byť strojovo čitateľné.

8.   Ak Komisia prijme delegované akty podľa článku 12 ods. 8 nariadenia (EÚ) 2016/679 určujúce informácie, ktoré sa majú oznámiť vo forme ikon, a postupy poskytovania štandardizovaných ikon, inštitúcie a orgány Únie v náležitých prípadoch poskytujú informácie podľa článkov 15 a 16 tohto nariadenia v kombinácii s takýmito štandardizovanými ikonami.

1.   V prípadoch, keď sa od dotknutej osoby získavajú osobné údaje, ktoré sa jej týkajú, poskytne prevádzkovateľ pri získavaní osobných údajov dotknutej osobe všetky tieto informácie:

2.   Okrem informácií uvedených v odseku 1 prevádzkovateľ poskytne dotknutej osobe pri získavaní osobných údajov tieto ďalšie informácie, ktoré sú potrebné na zabezpečenie spravodlivého a transparentného spracúvania:

3.   Ak má prevádzkovateľ v úmysle ďalej spracúvať osobné údaje na iný účel ako ten, na ktorý boli získané, poskytne dotknutej osobe pred takýmto ďalším spracúvaním informácie o tomto inom účele a všetky ďalšie relevantné informácie uvedené v odseku 2.

4.   Odseky 1, 2 a 3 sa neuplatňujú, pokiaľ dotknutá osoba už dané informácie má.

1.   Ak osobné údaje neboli získané od dotknutej osoby, prevádzkovateľ poskytne dotknutej osobe tieto informácie:

2.   Okrem informácií uvedených v odseku 1 prevádzkovateľ poskytne dotknutej osobe tieto ďalšie informácie potrebné na zabezpečenie spravodlivého a transparentného spracúvania so zreteľom na dotknutú osobu:

3.   Prevádzkovateľ poskytne informácie uvedené v odsekoch 1 a 2:

4.   Ak má prevádzkovateľ v úmysle ďalej spracúvať osobné údaje na iný účel ako ten, na ktorý boli osobné údaje získané, poskytne dotknutej osobe pred takýmto ďalším spracúvaním informácie o tomto inom účele a všetky ďalšie relevantné informácie uvedené v odseku 2.

5.   Odseky 1 až 4 sa neuplatňujú, pokiaľ:

6.   V prípadoch uvedených v odseku 5 písm. b) prevádzkovateľ prijme primerané opatrenia na ochranu práv a slobôd a oprávnených záujmov dotknutej osoby vrátane sprístupnenia informácií verejnosti.

1.   Dotknutá osoba má právo získať od prevádzkovateľa potvrdenie o tom, či sa spracúvajú osobné údaje, ktoré sa jej týkajú, a ak to tak je, má právo získať prístup k týmto osobným údajom a tieto informácie:

2.   Ak sa osobné údaje prenášajú do tretej krajiny alebo medzinárodnej organizácii, dotknutá osoba má právo byť informovaná o primeraných zárukách podľa článku 48 týkajúcich sa prenosu.

3.   Prevádzkovateľ poskytne kópiu osobných údajov, ktoré sa spracúvajú. Ak dotknutá osoba podala žiadosť elektronickými prostriedkami, informácie sa poskytnú v bežne používanej elektronickej podobe, pokiaľ dotknutá osoba nepožiadala o iný spôsob.

4.   Právo získať kópiu uvedenú v odseku 3 nesmie mať nepriaznivé dôsledky na práva a slobody iných.

1.   Dotknutá osoba má právo na to, aby prevádzkovateľ bez zbytočného odkladu vymazal osobné údaje, ktoré sa jej týkajú, a prevádzkovateľ je povinný osobné údaje bez zbytočného odkladu vymazať, ak je splnený niektorý z týchto dôvodov:

2.   Ak prevádzkovateľ zverejnil osobné údaje a je podľa odseku 1 povinný osobné údaje vymazať, so zreteľom na dostupnú technológiu a náklady na vykonanie opatrení podnikne primerané opatrenia vrátane technických opatrení, aby informoval prevádzkovateľov alebo iných prevádzkovateľov, než sú inštitúcie a orgány Únie, ktorí vykonávajú spracúvanie osobných údajov, že dotknutá osoba ich žiada, aby vymazali všetky odkazy na tieto osobné údaje, ich kópie alebo repliky.

3.   Odseky 1 a 2 sa neuplatňujú, pokiaľ je spracúvanie potrebné:

1.   Dotknutá osoba má právo na to, aby prevádzkovateľ obmedzil spracúvanie, pokiaľ ide o jeden z týchto prípadov:

2.   Ak sa spracúvanie obmedzilo podľa odseku 1, takéto osobné údaje sa s výnimkou uchovávania spracúvajú len so súhlasom dotknutej osoby alebo na preukazovanie, uplatňovanie alebo obhajovanie právnych nárokov, alebo na ochranu práv inej fyzickej alebo právnickej osoby, alebo z dôvodov dôležitého verejného záujmu Únie alebo členského štátu.

3.   Dotknutú osobu, ktorá dosiahla obmedzenie spracúvania podľa odseku 1, prevádzkovateľ informuje pred tým, ako bude obmedzenie spracúvania zrušené.

4.   V automatizovaných informačných systémoch sa obmedzenie spracúvania v zásade zabezpečuje technickými prostriedkami. Skutočnosť, že v súvislosti s osobnými údajmi existuje obmedzenie, sa v systéme vyznačí takým spôsobom, z ktorého je jasné, že dané osobné údaje sa nesmú používať.

1.   Dotknutá osoba má právo získať osobné údaje, ktoré sa jej týkajú a ktoré poskytla prevádzkovateľovi, v štruktúrovanom, bežne používanom a strojovo čitateľnom formáte a má právo preniesť tieto údaje ďalšiemu prevádzkovateľovi bez toho, aby jej prevádzkovateľ, ktorému sa tieto osobné údaje poskytli, bránil, ak:

2.   Dotknutá osoba má pri uplatňovaní svojho práva na prenosnosť údajov podľa odseku 1 právo na prenos osobných údajov priamo od jedného prevádzkovateľa druhému prevádzkovateľovi alebo iným prevádzkovateľom, než sú inštitúcie a orgány Únie, pokiaľ je to technicky možné.

3.   Uplatňovaním práva uvedeného v odseku 1 tohto článku nie je dotknutý článok 19 Uvedené právo sa nevzťahuje na spracúvanie potrebné na splnenie úlohy realizovanej vo verejnom záujme alebo pri výkone verejnej moci zverenej prevádzkovateľovi.

4.   Právo uvedené v odseku 1 nesmie mať nepriaznivé dôsledky na práva a slobody iných.

1.   Dotknutá osoba má právo kedykoľvek namietať z dôvodov týkajúcich sa jej konkrétnej situácie proti spracúvaniu osobných údajov, ktoré sa jej týkajú, ktoré je vykonávané na základe článku 5 ods. 1 písm. a), vrátane profilovania založeného na uvedenom ustanovení. Prevádzkovateľ nesmie ďalej spracúvať osobné údaje, pokiaľ nepreukáže nevyhnutné oprávnené dôvody na spracúvanie, ktoré prevažujú nad záujmami, právami a slobodami dotknutej osoby, alebo dôvody na preukazovanie, uplatňovanie alebo obhajovanie právnych nárokov.

2.   Dotknutá osoba sa výslovne upozorní na právo uvedené v odseku 1 najneskôr pri prvej komunikácii s ňou, pričom toto právo sa uvedie jasne a oddelene od akýchkoľvek iných informácií.

3.   Bez toho, aby boli dotknuté články 36 a 37, v súvislosti s využívaním služieb informačnej spoločnosti môže dotknutá osoba uplatňovať svoje právo namietať automatizovanými prostriedkami s použitím technických špecifikácií.

4.   Ak sa osobné údaje spracúvajú na účely vedeckého alebo historického výskumu či na štatistické účely, dotknutá osoba má právo namietať z dôvodov týkajúcich sa jej konkrétnej situácie proti spracúvaniu osobných údajov, ktoré sa jej týkajú, s výnimkou prípadov, keď je spracúvanie potrebné na splnenie úlohy realizovanej z dôvodov verejného záujmu.

1.   Dotknutá osoba má právo na to, aby sa na ňu nevzťahovalo rozhodnutie, ktoré je založené výlučne na automatizovanom spracúvaní vrátane profilovania a ktoré má právne účinky, ktoré sa jej týkajú alebo ju podobne významne ovplyvňujú.

2.   Odsek 1 sa neuplatňuje, ak je rozhodnutie:

3.   V prípadoch uvedených v odseku 2 písm. a) a c) prevádzkovateľ vykoná vhodné opatrenia na ochranu práv a slobôd a oprávnených záujmov dotknutej osoby, a to aspoň práva na ľudský zásah zo strany prevádzkovateľa, práva vyjadriť svoje stanovisko a práva napadnúť rozhodnutie.

4.   Rozhodnutia uvedené v odseku 2 tohto článku sa nezakladajú na osobitných kategóriách osobných údajov uvedených v článku 10 ods. 1, pokiaľ sa neuplatňuje článok 10 ods. 2 písm. a) alebo g) a nie sú zavedené vhodné opatrenia na zaručenie práv a slobôd a oprávnených záujmov dotknutej osoby.

1.   Uplatňovanie článkov 14 až 22, 35 a 36, ako aj článku 4, pokiaľ jeho ustanovenia zodpovedajú právam a povinnostiam stanoveným v článkoch 14 až 22, sa môže obmedziť právnymi aktmi prijatými na základe zmlúv alebo, vo veciach týkajúcich sa fungovania inštitúcií a orgánov Únie, interných predpisov stanovených týmito inštitúciami a orgánmi, ak takéto obmedzenie rešpektuje podstatu základných práv a slobôd a je v demokratickej spoločnosti potrebným a primeraným opatrením s cieľom zaistiť:

2.   Predovšetkým, každý právny akt alebo interný predpis uvedený v odseku 1 musí obsahovať osobitné ustanovenia, ktoré v relevantných prípadoch upravujú:

3.   Ak sa osobné údaje spracúvajú na účely vedeckého alebo historického výskumu či na štatistické účely, v práve Únie, ktoré môže zahŕňať interné predpisy prijaté inštitúciami a orgánmi Únie v záležitostiach týkajúcich sa ich fungovania, sa môžu stanoviť odchýlky z práv uvedených v článkoch 17, 18, 20 a 23, pričom sa dodržia podmienky a záruky uvedené v článku 13, pokiaľ by takéto práva mohli znemožniť alebo závažným spôsobom sťažiť dosiahnutie osobitných účelov a pokiaľ sú takéto odchýlky potrebné na dosiahnutie uvedených účelov.

4.   Ak sa osobné údaje spracúvajú na účely archivácie vo verejnom záujme, v práve Únie, ktoré môže zahŕňať interné predpisy prijaté inštitúciami a orgánmi Únie v záležitostiach týkajúcich sa ich fungovania, sa môžu stanoviť odchýlky z práv uvedených v článkoch 17, 18, 20, 21, 22 a 23, pričom sa dodržia podmienky a záruky uvedené v článku 13, pokiaľ by takéto práva mohli znemožniť alebo závažným spôsobom sťažiť dosiahnutie osobitných účelov a pokiaľ sú takéto odchýlky potrebné na dosiahnutie uvedených účelov.

5.   Interné predpisy uvedené v odsekoch 1, 3 a 4 musia byť jasné a presné akty so všeobecnou pôsobnosťou, ktorými sa majú zakladať právne účinky vo vzťahu k dotknutým osobám, prijaté na najvyššej úrovni riadenia inštitúcií a orgánov Únie, a uverejňujú sa v Úradnom vestníku Európskej únie.

6.   Ak je uložené obmedzenie podľa odseku 1, dotknutej osobe sa v súlade s právom Únie poskytnú informácie o hlavných dôvodoch, na základe ktorých sa obmedzenie uplatňuje, a o jej práve podať sťažnosť Európskemu dozornému úradníkovi pre ochranu údajov.

7.   Ak je dotknutej osobe odopretý prístup k údajom na základe obmedzenia uloženého podľa odseku 1, Európsky dozorný úradník pre ochranu údajov pri vyšetrovaní sťažnosti informuje dotknutú osobu iba o tom, či boli údaje spracúvané správne, a ak nie, či boli vykonané všetky potrebné opravy.

8.   Poskytnutie informácií uvedených v odsekoch 6 a 7 tohto článku a v článku 45 ods. 2 sa môže odložiť, môže sa od neho upustiť alebo sa môže zamietnuť, ak by sa ním zrušil účinok obmedzenia uloženého podľa odseku 1 tohto článku.

1.   S ohľadom na povahu, rozsah, kontext a účely spracúvania, ako aj na riziká s rôznou pravdepodobnosťou a závažnosťou pre práva a slobody fyzických osôb, prevádzkovateľ prijme vhodné technické a organizačné opatrenia, aby zabezpečil a bol schopný preukázať, že spracúvanie sa vykonáva v súlade s týmto nariadením. Uvedené opatrenia sa podľa potreby preskúmajú a aktualizujú.

2.   Ak je to primerané vzhľadom na spracovateľské činnosti, opatrenia uvedené v odseku 1 zahŕňajú zavedenie primeraných politík ochrany údajov zo strany prevádzkovateľa.

3.   Dodržiavanie schválených certifikačných mechanizmov uvedených v článku 42 nariadenia (EÚ) 2016/679 sa môže použiť ako prvok na preukázanie súladu s povinnosťami prevádzkovateľa.

1.   Prevádzkovateľ so zreteľom na najnovšie poznatky, náklady na vykonanie opatrení a na povahu, rozsah, kontext a účely spracúvania, ako aj na riziká s rôznou pravdepodobnosťou a závažnosťou, ktoré spracúvanie predstavuje pre práva a slobody fyzických osôb, vykoná v čase určenia prostriedkov spracúvania aj v čase samotného spracúvania primerané technické a organizačné opatrenia, ako je napríklad pseudonymizácia, ktorými sa majú účinne zaviesť zásady ochrany údajov, ako je minimalizácia údajov, a začleniť do spracúvania potrebné záruky s cieľom splniť požiadavky tohto nariadenia a chrániť práva dotknutých osôb.

2.   Prevádzkovateľ vykoná primerané technické a organizačné opatrenia na zaistenie toho, aby sa štandardne spracúvali len osobné údaje, ktoré sú potrebné pre každý konkrétny účel spracúvania. Uvedená povinnosť sa vzťahuje na množstvo získaných osobných údajov, rozsah ich spracúvania, obdobie ich uchovávania a ich dostupnosť. Konkrétne sa takýmito opatreniami zabezpečí, aby osobné údaje neboli bez zásahu fyzickej osoby štandardne prístupné neobmedzenému počtu fyzických osôb.

3.   Schválený certifikačný mechanizmus podľa článku 42 nariadenia (EÚ) 2016/679 sa môže použiť ako prvok na preukázanie súladu s požiadavkami uvedenými v odsekoch 1 a 2 tohto článku.

1.   Ak dvaja alebo viacerí prevádzkovatelia alebo jeden alebo viacerí prevádzkovatelia spolu s jedným alebo viacerými prevádzkovateľmi inými, i než sú inštitúcie a orgány Únie, spoločne určia účely a prostriedky spracúvania, považujú sa za spoločných prevádzkovateľov. Transparentne určia svoje príslušné zodpovednosti za plnenie svojich povinností v oblasti ochrany údajov, najmä pokiaľ ide o uplatňovanie práv dotknutej osoby a svoje príslušné povinnosti poskytovať informácie uvedené v článkoch 15 a 16, a to formou vzájomnej dohody, pokiaľ nie sú príslušné zodpovednosti spoločných prevádzkovateľov určené právom Únie alebo právom členskému štátu, ktorému spoloční prevádzkovatelia podliehajú. V dohode sa môže určiť kontaktné miesto pre dotknuté osoby.

2.   V dohode uvedenej v odseku 1 sa náležite zohľadnia príslušné úlohy spoločných prevádzkovateľov a ich vzťahy voči dotknutým osobám. Základné časti dohody sa sprístupnia dotknutej osobe.

3.   Bez ohľadu na podmienky dohody uvedenej v odseku 1 môže dotknutá osoba uplatniť svoje práva podľa tohto nariadenia u každého prevádzkovateľa a voči každému prevádzkovateľovi.

1.   Ak sa má spracúvanie uskutočniť v mene prevádzkovateľa, prevádzkovateľ využíva len sprostredkovateľov poskytujúcich dostatočné záruky týkajúce sa prijatia primeraných technických a organizačných opatrení tak, aby spracúvanie spĺňalo požiadavky tohto nariadenia a aby sa zabezpečila ochrana práv dotknutej osoby.

2.   Sprostredkovateľ nezapojí ďalšieho sprostredkovateľa bez predchádzajúceho osobitného alebo všeobecného písomného povolenia prevádzkovateľa. V prípade všeobecného písomného povolenia sprostredkovateľ informuje prevádzkovateľa o akýchkoľvek zamýšľaných zmenách v súvislosti s pridaním alebo nahradením ďalších sprostredkovateľov, čím prevádzkovateľovi poskytne možnosť namietať voči takýmto zmenám.

3.   Spracúvanie sprostredkovateľom sa riadi zmluvou alebo iným právnym aktom podľa práva Únie alebo práva členského štátu, ktoré zaväzujú sprostredkovateľa voči prevádzkovateľovi a ktorými sa stanovuje predmet a obdobie spracúvania, povaha a účel spracúvania, typ osobných údajov a kategórie dotknutých osôb a povinnosti a práva prevádzkovateľa. Uvedená zmluva alebo iný právny akt najmä stanovia, že sprostredkovateľ:

So zreteľom na prvý pododsek písm. h) sprostredkovateľ bezodkladne informuje prevádzkovateľa, ak sa podľa jeho názoru pokynom porušuje toto nariadenie alebo iné právne predpisy Únie alebo členského štátu týkajúce sa ochrany údajov.

4.   Ak sprostredkovateľ zapojí do vykonávania osobitných spracovateľských činností v mene prevádzkovateľa ďalšieho sprostredkovateľa, tomuto ďalšiemu sprostredkovateľovi sa prostredníctvom zmluvy alebo iného právneho aktu podľa práva Únie alebo práva členského štátu uložia rovnaké povinnosti ochrany údajov, ako sa stanovujú v zmluve alebo inom právnom akte uzatvorenom medzi prevádzkovateľom a sprostredkovateľom podľa odseku 3, a to predovšetkým poskytnutie dostatočných záruk na vykonanie primeraných technických a organizačných opatrení takým spôsobom, aby spracúvanie spĺňalo požiadavky tohto nariadenia. Ak tento ďalší sprostredkovateľ neplní svoje povinnosti ochrany údajov, pôvodný sprostredkovateľ zostáva voči prevádzkovateľovi plne zodpovedný za plnenie povinností tohto ďalšieho sprostredkovateľa.

5.   Ak sprostredkovateľ nie je inštitúciou ani orgánom Únie, môže sa ako prvok na preukázanie dostatočných záruk podľa odsekov 1 a 4 tohto článku použiť dodržiavanie schváleného kódexu správania podľa článku 40 ods. 5 nariadenia (EÚ) 2016/679 alebo schváleného certifikačného mechanizmu podľa článku 42 nariadenia (EÚ) 2016/679.

6.   Bez toho, aby tým bola dotknutá individuálna zmluva medzi prevádzkovateľom a sprostredkovateľom, zmluva alebo iný právny akt uvedené v odsekoch 3 a 4 tohto článku sa môžu vcelku alebo sčasti zakladať na štandardných zmluvných doložkách uvedených v odsekoch 7 a 8 tohto článku, a to aj v prípadoch, keď sú súčasťou certifikácie udelenej sprostredkovateľovi inému ako inštitúcia alebo orgán Únie podľa článku 42 nariadenia (EÚ) 2016/679.

7.   Komisia môže stanoviť štandardné zmluvné doložky pre záležitosti uvedené v odsekoch 3 a 4 tohto článku v súlade s postupom preskúmania uvedeným v článku 96 ods. 2

8.   Európsky dozorný úradník pre ochranu údajov môže prijať štandardné zmluvné doložky pre záležitosti uvedené v odsekoch 3 a 4.

9.   Zmluva alebo iný právny akt uvedené v odsekoch 3 a 4 sa vypracujú v písomnej podobe vrátane elektronickej podoby.

10.   Bez toho, aby boli dotknuté články 65 a 66, ak sprostredkovateľ poruší toto nariadenie tým, že určí účely a prostriedky spracúvania, považuje sa v súvislosti s daným spracúvaním za prevádzkovateľa.

1.   Každý prevádzkovateľ vedie záznamy o spracovateľských činnostiach, za ktoré je zodpovedný. Uvedené záznamy musia obsahovať všetky tieto informácie:

2.   Každý sprostredkovateľ vedie záznamy o všetkých kategóriách spracovateľských činností, ktoré vykonal v mene prevádzkovateľa, pričom tieto záznamy zahŕňajú:

3.   Záznamy uvedené v odsekoch 1 a 2 sa vedú v písomnej podobe vrátane elektronickej podoby.

4.   Inštitúcie a orgány Únie na požiadanie sprístupnia záznamy Európskemu dozornému úradníkovi pre ochranu údajov.

5.   Pokiaľ to nie je nevhodné vzhľadom na veľkosť inštitúcie alebo orgánu Únie, inštitúcie a orgány Únie uchovávajú svoje záznamy o spracovateľských činnostiach v centrálnom registri. Centrálny register sprístupňujú verejnosti.

1.   Prevádzkovateľ a sprostredkovateľ prijmú so zreteľom na najnovšie poznatky, náklady na vykonanie opatrení a na povahu, rozsah, kontext a účely spracúvania, ako aj na riziká s rôznou pravdepodobnosťou a závažnosťou pre práva a slobody fyzických osôb, primerané technické a organizačné opatrenia s cieľom zaistiť úroveň bezpečnosti primeranú tomuto riziku, pričom uvedené opatrenia prípadne zahŕňajú aj:

2.   Pri posudzovaní primeranej úrovne bezpečnosti sa prihliada predovšetkým na riziká, ktoré predstavuje spracúvanie, a to najmä v dôsledku náhodného alebo nezákonného zničenia, straty, zmeny, neoprávneného poskytnutia osobných údajov, ktoré sa prenášajú, uchovávajú alebo inak spracúvajú, alebo neoprávneného prístupu k takýmto údajom.

3.   Prevádzkovateľ a sprostredkovateľ podniknú kroky na zabezpečenie toho, aby každá fyzická osoba konajúca na základe poverenia prevádzkovateľa alebo sprostredkovateľa, ktorá má prístup k osobným údajom, spracúvala tieto údaje len na základe pokynov prevádzkovateľa s výnimkou prípadov, keď sa to od nej vyžaduje podľa práva Únie.

4.   Dodržiavanie schváleného certifikačného mechanizmu podľa článku 42 nariadenia (EÚ) 2016/679 sa môže použiť ako prvok na preukázanie splnenia požiadaviek uvedených v odseku 1 tohto článku.

1.   V prípade porušenia ochrany osobných údajov prevádzkovateľ bez zbytočného odkladu a podľa možnosti najneskôr do 72 hodín po tom, čo sa o tejto skutočnosti dozvedel, oznámi porušenie ochrany osobných údajov Európskemu dozornému úradníkovi pre ochranu údajov s výnimkou prípadov, keď nie je pravdepodobné, že porušenie ochrany osobných údajov bude mať za následok riziko pre práva a slobody fyzických osôb. Ak oznámenie nebolo Európskemu dozornému úradníkovi pre ochranu údajov predložené do 72 hodín, pripojí sa k nemu zdôvodnenie omeškania.

2.   Sprostredkovateľ oznámi prevádzkovateľovi porušenie ochrany osobných údajov bez zbytočného odkladu po tom, čo sa o ňom dozvedel.

3.   Oznámenie uvedené v odseku 1 musí obsahovať aspoň:

4.   Pokiaľ nie je možné poskytnúť informácie súčasne, možno informácie poskytnúť vo viacerých etapách bez ďalšieho zbytočného odkladu.

5.   Prevádzkovateľ informuje zodpovednú osobu o porušení ochrany osobných údajov.

6.   Prevádzkovateľ zdokumentuje každý prípad porušenia ochrany osobných údajov vrátane skutočností spojených s porušením ochrany osobných údajov, jeho následkov a prijatých opatrení na nápravu. Uvedená dokumentácia musí umožniť Európskemu dozornému úradníkovi pre ochranu údajov overiť súlad s týmto článkom.

1.   V prípade porušenia ochrany osobných údajov, ktoré pravdepodobne povedie k vysokému riziku pre práva a slobody fyzických osôb, prevádzkovateľ bez zbytočného odkladu oznámi porušenie ochrany osobných údajov dotknutej osobe.

2.   Oznámenie dotknutej osobe uvedené v odseku 1 tohto článku obsahuje jasne a jednoducho formulovaný opis povahy porušenia ochrany osobných údajov a aspoň informácie a opatrenia uvedené v článku 34 ods. 3 písm. b), c) a d).

3.   Oznámenie dotknutej osobe uvedené v odseku 1 sa nevyžaduje, ak je splnená ktorákoľvek z týchto podmienok:

4.   Ak prevádzkovateľ ešte porušenie ochrany osobných údajov neoznámil dotknutej osobe, Európsky dozorný úradník pre ochranu údajov môže po zvážení pravdepodobnosti porušenia ochrany osobných údajov vedúceho k vysokému riziku požadovať, aby tak urobil, alebo môže rozhodnúť, že je splnená niektorá z podmienok uvedených v odseku 3.

1.   Osobné údaje obsiahnuté v zoznamoch používateľov a prístup k takýmto zoznamom sú obmedzené na to, čo je nevyhnutne potrebné na konkrétne účely zoznamu.

2.   Inštitúcie a orgány Únie prijímajú všetky potrebné opatrenia na to, aby zabránili používaniu osobných údajov uvedených v týchto zoznamoch na účely priameho marketingu, a to bez ohľadu na to, či sú tieto údaje verejne prístupné alebo nie.

1.   Ak typ spracúvania, najmä s využitím nových technológií a s ohľadom na povahu, rozsah, kontext a účely spracúvania, pravdepodobne povedie k vysokému riziku pre práva a slobody fyzických osôb, prevádzkovateľ pred spracúvaním vykoná posúdenie vplyvu plánovaných spracovateľských operácií na ochranu osobných údajov. Pre súbor podobných spracovateľských operácií, ktoré predstavujú podobné vysoké riziká, sa môže vykonať jedno posúdenie.

2.   Prevádzkovateľ sa počas vykonávania posúdenia vplyvu na ochranu údajov radí so zodpovednou osobou.

3.   Posúdenie vplyvu na ochranu údajov uvedené v odseku 1 sa vyžaduje najmä v prípadoch:

4.   Európsky dozorný úradník pre ochranu údajov vypracuje a zverejní zoznam tých druhov spracovateľských operácií, ktoré podliehajú požiadavke na posúdenie vplyvu na ochranu údajov podľa odseku 1.

5.   Európsky dozorný úradník pre ochranu údajov môže stanoviť a zverejniť aj zoznam druhov spracovateľských operácií, v prípade ktorých sa nevyžaduje posúdenie vplyvu na ochranu údajov.

6.   Pred prijatím zoznamov uvedených v odsekoch 4 a 5 tohto článku Európsky dozorný úradník pre ochranu údajov požiada Európsky výbor pre ochranu údajov zriadený na základe článku 68 nariadenia (EÚ) 2016/679 o preskúmanie takýchto zoznamov v súlade s článkom 70 ods. 1 písm. e) uvedeného nariadenia, ak sa týkajú operácií spracúvania zo strany prevádzkovateľa, ktorý koná spoločne s jedným alebo viacerými prevádzkovateľmi, ktorí nie sú inštitúciami ani orgánmi Únie.

7.   Posúdenie obsahuje aspoň:

8.   Pri posudzovaní vplyvu spracovateľských operácií vykonávaných relevantnými sprostredkovateľmi sa náležite sleduje, či títo sprostredkovatelia, iní ako inštitúcie a orgány Únie, dodržiavajú schválené kódexy správania uvedené v článku 40 nariadenia (EÚ) 2016/679, a to najmä na účely posúdenia vplyvu na ochranu údajov.

9.   Prevádzkovateľ sa podľa potreby usiluje získať názory dotknutých osôb alebo ich zástupcov na zamýšľané spracúvanie bez toho, aby bola dotknutá ochrana verejných záujmov alebo bezpečnosť spracovateľských operácií.

10.   Ak má spracúvanie podľa článku 5 ods. 1 písm. a) alebo b) právny základ v právnom akte prijatom na základe zmlúv, ktorý upravuje konkrétnu spracovateľskú operáciu alebo súbor daných operácií, a posúdenie vplyvu na ochranu údajov sa už vykonalo v rámci všeobecného posúdenia vplyvu pred prijatím tohto právneho aktu, odseky 1 až 6 tohto článku sa neuplatňujú, pokiaľ uvedený právny akt nestanovuje inak.

11.   Prevádzkovateľ v prípade potreby vykoná prehodnotenie s cieľom posúdiť, či sa spracúvanie uskutočňuje v súlade s posúdením vplyvu na ochranu údajov, a to aspoň vtedy, keď došlo k zmene rizika, ktoré predstavujú spracovateľské operácie.

1.   Ak z posúdenia vplyvu na ochranu údajov podľa článku 39 vyplýva, že spracúvanie by v prípade neexistencie záruk, bezpečnostných opatrení a mechanizmov na zmiernenie rizika viedlo k vysokému riziku pre práva a slobody fyzických osôb, a prevádzkovateľ sa domnieva, že riziko sa nedá zmierniť primeranými prostriedkami, pokiaľ ide o dostupné technológie a náklady na vykonanie opatrení, prevádzkovateľ by mal ešte pred začiatkom spracovateľskej činnosti uskutočniť konzultáciu s Európskym dozorným úradníkom pre ochranu údajov. Prevádzkovateľ požiada zodpovednú osobu o radu, pokiaľ ide o potrebu predchádzajúcej konzultácie.

2.   Ak sa Európsky dozorný úradník pre ochranu údajov domnieva, že by zamýšľané spracúvanie uvedené v odseku 1 bolo v rozpore s týmto nariadením, najmä ak prevádzkovateľ nedostatočne identifikoval alebo zmiernil riziko, Európsky dozorný úradník pre ochranu údajov do ôsmich týždňov od prijatia žiadosti o konzultáciu poskytne prevádzkovateľovi a prípadne aj sprostredkovateľovi písomné poradenstvo, pričom môže uplatniť akúkoľvek zo svojich právomocí uvedených v článku 58. Uvedená lehota sa môže vzhľadom na zložitosť zamýšľaného spracúvania predĺžiť o šesť týždňov. Európsky dozorný úradník pre ochranu údajov informuje o takomto predĺžení lehoty prevádzkovateľa a prípadne sprostredkovateľa do jedného mesiaca od prijatia žiadosti o konzultáciu, pričom zároveň uvedie aj dôvody predĺženia lehoty. Plynutie týchto lehôt sa môže prerušiť, kým Európsky dozorný úradník pre ochranu údajov nezíska informácie, o ktoré požiadal na účely konzultácie.

3.   Pri konzultácii s Európskym dozorným úradníkom pre ochranu údajov podľa odseku 1 poskytne prevádzkovateľ Európskemu dozornému úradníkovi pre ochranu údajov:

4.   Komisia môže prostredníctvom vykonávacieho aktu určiť zoznam prípadov, v ktorých musia prevádzkovatelia konzultovať s Európskym dozorným úradníkom pre ochranu údajov a získať od neho predchádzajúce povolenie, pokiaľ ide o spracúvanie osobných údajov na splnenie úlohy vykonávanej prevádzkovateľom vo verejnom záujme vrátane spracúvania takýchto údajov v súvislosti so sociálnym zabezpečením a verejným zdravím.

1.   Inštitúcie a orgány Únie informujú Európskeho dozorného úradníka pre ochranu údajov o vypracovaní administratívnych opatrení a interných predpisov týkajúcich sa spracúvania osobných údajov inštitúciou alebo orgánom Únie, či už jednotlivo alebo spoločne s inými.

2.   Inštitúcie a orgány Únie pri vypracúvaní interných predpisov uvedených v článku 25 konzultujú s Európskym dozorným úradníkom pre ochranu údajov.

1.   V nadväznosti na prijatie návrhov legislatívneho aktu, odporúčaní alebo návrhov Rade podľa článku 218 ZFEÚ alebo pri príprave delegovaných aktov alebo vykonávacích aktov Komisia konzultuje s Európskym dozorným úradníkom pre ochranu údajov, ak majú dosah na ochranu práv a slobôd fyzických osôb so zreteľom na spracúvanie osobných údajov.

2.   Ak má akt uvedený v odseku 1 osobitný význam pre ochranu práv a slobôd fyzických osôb so zreteľom na spracúvanie osobných údajov, Komisia môže konzultovať aj s Európskym výborom pre ochranu údajov. V takýchto prípadoch Európsky dozorný úradník pre ochranu údajov a Európsky výbor pre ochranu údajov koordinujú svoju prácu s cieľom vydať spoločné stanovisko.

3.   Poradenstvo uvedené v odsekoch 1 a 2 sa poskytne písomne v lehote maximálne ôsmich týždňov od prijatia žiadosti o konzultáciu uvedenej v odsekoch 1 a 2. V naliehavých alebo inak vhodných prípadoch môže Komisia túto lehotu skrátiť.

4.   Tento článok sa neuplatňuje, ak je Komisia podľa nariadenia (EÚ) 2016/679 povinná konzultovať s Európskym výborom pre ochranu údajov.

1.   Každá inštitúcia alebo orgán Únie určí zodpovednú osobu.

2.   Inštitúcie a orgány Únie môžu určiť jednu zodpovednú osobu pre viaceré z nich, pričom zohľadnia svoju organizačnú štruktúru a veľkosť.

3.   Zodpovedná osoba sa určí na základe jej odborných kvalít, a to najmä na základe jej odborných znalostí z práva a postupov v oblasti ochrany údajov a na základe spôsobilosti plniť úlohy uvedené v článku 45.

4.   Zodpovedná osoba musí byť členom personálu inštitúcie alebo orgánu Únie. Inštitúcie a orgány Únie môžu vzhľadom na svoju veľkosť a v prípade, že sa nevykoná voľba podľa odseku 2 ustanoviť zodpovednú osobu, ktorá plní svoje úlohy na základe zmluvy o poskytovaní služieb.

5.   Inštitúcie a orgány Únie zverejnia kontaktné údaje zodpovednej osoby a oznámia ich Európskemu dozornému úradníkovi pre ochranu údajov.

1.   Inštitúcie a orgány Únie zabezpečia, aby bola zodpovedná osoba riadnym spôsobom a včas zapojená do všetkých záležitostí, ktoré súvisia s ochranou osobných údajov.

2.   Inštitúcie a orgány Únie podporujú zodpovednú osobu pri plnení úloh uvedených v článku 45, a to tak, že jej poskytujú zdroje potrebné na plnenie týchto úloh a prístup k osobným údajom a spracovateľským operáciám, ako aj zdroje na udržiavanie jej odborných znalostí.

3.   Inštitúcie a orgány Únie zabezpečia, aby zodpovedná osoba v súvislosti s plnením uvedených úloh nedostávala žiadne pokyny. Prevádzkovateľ ani sprostredkovateľ ju nesmú za výkon jej úloh odvolať ani postihovať. Zodpovedná osoba podlieha priamo najvyššiemu vedeniu prevádzkovateľa alebo sprostredkovateľa.

4.   Dotknuté osoby sa môžu obrátiť na zodpovednú osobu v súvislosti so všetkými otázkami týkajúcimi sa spracúvania ich osobných údajov a uplatňovania ich práv podľa tohto nariadenia.

5.   Zodpovedná osoba a jej personál sú v súlade s právom Únie viazaní povinnosťou zachovávať mlčanlivosť alebo dôvernosť v súvislosti s výkonom svojich úloh.

6.   Zodpovedná osoba môže plniť iné úlohy a povinnosti. Prevádzkovateľ alebo sprostredkovateľ zabezpečia, aby žiadna z takýchto úloh alebo povinností neviedla ku konfliktu záujmov.

7.   Prevádzkovateľ a sprostredkovateľ, príslušný výbor zamestnancov a akákoľvek fyzická osoba môžu konzultovať so zodpovednou osobou v akejkoľvek veci týkajúcej sa výkladu alebo uplatňovania tohto nariadenia bez toho, aby museli postupovať úradnou cestou. Nikto nesmie utrpieť ujmu preto, že upozornil príslušnú zodpovednú osobu na vec, pri ktorej údajne došlo k porušeniu ustanovení tohto nariadenia.

8.   Zodpovedná osoba sa vymenúva na obdobie troch až piatich rokov a môže byť opätovne vymenovaná. Zodpovedná osoba môže byť z tejto funkcie odvolaná inštitúciou alebo orgánom Únie, ktoré ju menovali, iba so súhlasom Európskeho dozorného úradníka pre ochranu údajov, ak už nespĺňa podmienky požadované na výkon jej povinností.

9.   Po vymenovaní zodpovednej osoby oznámi inštitúcia alebo orgán Únie, ktoré ju vymenovali, jej meno Európskemu dozornému úradníkovi pre ochranu údajov.

1.   Zodpovedná osoba má tieto úlohy:

2.   Zodpovedná osoba môže vypracovať odporúčania pre prevádzkovateľa a sprostredkovateľa týkajúce sa praktických zlepšení ochrany údajov a poskytnúť im poradenstvo vo veciach týkajúcich sa uplatňovania ustanovení o ochrane údajov. Okrem toho môže z vlastného podnetu alebo na žiadosť prevádzkovateľa alebo sprostredkovateľa, príslušného výboru zamestnancov alebo ktorejkoľvek fyzickej osoby vyšetrovať veci a udalosti priamo spojené s jej úlohami, ktoré sa dostanú do jej pozornosti, a podávať o tom správu osobe, ktorá ju vyšetrovaním poverila, alebo prevádzkovateľovi či sprostredkovateľovi.

3.   Každá inštitúcia alebo orgán Únie prijme ďalšie vykonávacie predpisy týkajúce sa zodpovednej osoby. Tieto vykonávacie predpisy sa týkajú najmä úloh, povinností a právomocí zodpovednej osoby.

1.   Prenos osobných údajov do tretej krajiny alebo medzinárodnej organizácii sa môže uskutočniť, ak Komisia rozhodla podľa článku 45 ods. 3 nariadenia (EÚ) 2016/679 alebo článku 36 ods. 3 smernice (EÚ) 2016/680, že tretia krajina, územie tretej krajiny alebo jeden či viaceré určené sektory v tretej krajine alebo predmetná medzinárodná organizácia zaručujú primeranú úroveň ochrany a osobné údaje sa prenášajú výlučne s cieľom umožniť splnenie úloh patriacich do právomoci prevádzkovateľa.

2.   Inštitúcie a orgány Únie informujú Komisiu a Európskeho dozorného úradníka pre ochranu údajov o prípadoch, v ktorých sa domnievajú, že daná tretia krajina, územie alebo jeden alebo viacero špecifikovaných sektorov v tretej krajine alebo medzinárodná organizácia nezabezpečujú primeranú úroveň ochrany v zmysle odseku 1.

3.   Inštitúcie a orgány Únie prijmú opatrenia potrebné na dosiahnutie súladu s rozhodnutiami prijatými Komisiou, ak Komisia preukáže podľa článku 45 ods. 3 alebo 5 nariadenia (EÚ) 2016/679 alebo podľa článku 36 ods. 3 alebo 5 smernice (EÚ) 2016/680, že tretia krajina, územie alebo jeden alebo viacero špecifikovaných sektorov v tretej krajine alebo medzinárodná organizácia zabezpečuje alebo už nezabezpečuje primeranú úroveň ochrany.

1.   Ak neexistuje rozhodnutie podľa článku 45 ods. 3 nariadenia (EÚ) 2016/679 alebo článku 36 ods. 3 smernice (EÚ) 2016/680, prevádzkovateľ alebo sprostredkovateľ môže preniesť osobné údaje do tretej krajiny alebo medzinárodnej organizácii len vtedy, ak prevádzkovateľ alebo sprostredkovateľ poskytol primerané záruky, a za podmienky, že dotknuté osoby majú k dispozícii vymožiteľné práva a účinné právne prostriedky nápravy.

2.   Primerané záruky uvedené v odseku 1 sa môžu stanoviť bez toho, aby bolo potrebné akékoľvek osobitné povolenie Európskeho dozorného úradníka pre ochranu údajov, a to prostredníctvom:

3.   S výhradou povolenia od Európskeho dozorného úradníka pre ochranu údajov sa primerané záruky uvedené v odseku 1 môžu tiež zabezpečiť predovšetkým:

4.   Povolenia Európskeho dozorného úradníka pre ochranu údajov na základe článku 9 ods. 7 nariadenia (ES) č. 45/2001 zostávajú v platnosti, kým ich Európsky dozorný úradník pre ochranu údajov podľa potreby nezmení, nenahradí alebo nezruší.

5.   Inštitúcie a orgány Únie informujú Európskeho dozorného úradníka pre ochranu údajov o kategóriách prípadov, v ktorých sa tento článok uplatnil.

1.   Ak neexistuje rozhodnutie o primeranosti podľa článku 45 ods. 3 nariadenia (EÚ) 2016/679 alebo článku 36 ods. 3 smernice (EÚ) 2016/680 alebo ak neexistujú primerané záruky podľa článku 48 tohto nariadenia, prenos alebo súbor prenosov osobných údajov do tretej krajiny alebo medzinárodnej organizácii sa uskutoční len za jednej z týchto podmienok:

2.   Odsek 1 písm. a), b) a c) sa nevzťahujú na činnosti, ktoré uskutočňujú inštitúcie a orgány Únie pri výkone svojich verejných právomocí.

3.   Verejný záujem uvedený v odseku 1 písm. d) musí byť uznaný právom Únie.

4.   Prenos podľa odseku 1 písm. g) nezahŕňa všetky osobné údaje ani celé kategórie osobných údajov obsiahnutých v registri, ak to nepovoľuje právo Únie. Ak je register určený na nahliadanie pre osoby s oprávneným záujmom, prenos sa uskutoční iba na žiadosť týchto osôb alebo vtedy, keď majú byť príjemcami.

5.   Ak neexistuje rozhodnutie o primeranosti, môžu sa v práve Únie z dôležitých dôvodov verejného záujmu výslovne stanoviť obmedzenia prenosu osobitných kategórií osobných údajov do tretej krajiny alebo medzinárodnej organizácii.

6.   Inštitúcie a orgány Únie informujú Európskeho dozorného úradníka pre ochranu údajov o kategóriách prípadov, v ktorých sa tento článok uplatnil.

1.   Týmto sa zriaďuje funkcia Európskeho dozorného úradníka pre ochranu údajov.

2.   Vzhľadom na spracúvanie osobných údajov je Európsky dozorný úradník pre ochranu údajov zodpovedný za zabezpečenie dodržiavania základných práv a slobôd fyzických osôb, a najmä ich práva na ochranu údajov, zo strany inštitúcií a orgánov Únie.

3.   Európsky dozorný úradník pre ochranu údajov je zodpovedný za monitorovanie a zabezpečenie uplatňovania ustanovení tohto nariadenia a akýchkoľvek ďalších aktov Únie týkajúcich sa ochrany základných práv a slobôd fyzických osôb so zreteľom na spracúvanie osobných údajov inštitúciou alebo orgánom Únie, a za poradenstvo pre inštitúcie a orgány Únie a dotknuté osoby vo všetkých veciach týkajúcich sa spracúvania osobných údajov. Na tieto účely Európsky dozorný úradník pre ochranu údajov plní úlohy stanovené v článku 57 a vykonáva právomoci stanovené v článku 58.

4.   Nariadenie (ES) č. 1049/2001 sa uplatňuje na dokumenty v držbe Európskeho dozorného úradníka pre ochranu údajov. Európsky dozorný úradník pre ochranu údajov prijme podrobné pravidlá uplatňovania nariadenia (ES) č. 1049/2001 v súvislosti s týmito dokumentmi.

1.   Európsky parlament a Rada na základe vzájomnej dohody vymenujú Európskeho dozorného úradníka pre ochranu údajov na funkčné obdobie piatich rokov, a to na základe zoznamu vypracovaného Komisiou v nadväznosti na verejnú výzvu pre uchádzačov. Výzva pre uchádzačov musí umožňovať, aby všetci záujemcovia z celej Únie mohli podať prihlášky. Zoznam uchádzačov, ktorý zostaví Komisia, je verejný a sú v ňom uvedení aspoň traja uchádzači. Na základe zoznamu vypracovaného Komisiou sa príslušný výbor Európskeho parlamentu môže rozhodnúť zorganizovať vypočutie, aby mohol vyjadriť preferencie.

2.   Zoznam uchádzačov uvedený v odseku 1 zahŕňa osoby, ktorých nezávislosť je nespochybniteľná a ktoré sú uznávané ako osoby s odbornými znalosťami z oblasti ochrany údajov a so skúsenosťami a zručnosťami požadovanými na výkon povinností Európskeho dozorného úradníka pre ochranu údajov.

3.   Funkčné obdobie Európskeho dozorného úradníka pre ochranu údajov sa môže raz obnoviť.

4.   Povinnosti Európskeho dozorného úradníka pre ochranu údajov zanikajú za týchto okolností:

5.   Súdny dvor môže na žiadosť Európskeho parlamentu, Rady alebo Komisie Európskeho dozorného úradníka pre ochranu údajov odvolať alebo odňať právo na dôchodok či iné dávky vyplácané namiesto dôchodku, ak už nespĺňa podmienky požadované na výkon svojich povinností alebo ak je vinný vo veci závažného pochybenia.

6.   V prípade bežného nahradenia alebo dobrovoľného odstúpenia zostáva Európsky dozorný úradník pre ochranu údajov vo funkcii až do svojho nahradenia.

7.   Na Európskeho dozorného úradníka pre ochranu údajov sa vzťahujú články 11 až 14 a článok 17 Protokolu o výsadách a imunitách Európskej únie.

1.   Pokiaľ ide o stanovenie odmeny, príplatkov, starobného dôchodku a akýchkoľvek iných náhrad poskytovaných namiesto odmeny, Európsky dozorný úradník pre ochranu údajov má rovnaké postavenie ako sudca Súdneho dvora.

2.   Rozpočtový orgán zabezpečí, aby boli Európskemu dozornému úradníkovi pre ochranu údajov poskytnuté ľudské a finančné zdroje potrebné na plnenie jeho úloh.

3.   Rozpočet Európskeho dozorného úradníka pre ochranu údajov sa uvádza v samostatnom okruhu rozpočtu v oddiele súvisiacom s nákladmi na administratívu všeobecného rozpočtu Únie.

4.   Európskemu dozornému úradníkovi pre ochranu údajov pomáha sekretariát. Úradníkov a ostatných členov personálu sekretariátu vymenúva Európsky dozorný úradník pre ochranu údajov, ktorý je ich nadriadeným. Podliehajú výhradne jeho riadeniu. O ich počte sa rozhodne každý rok v rámci rozpočtového postupu. Článok 75 ods. 2 nariadenia (EÚ) 2016/679 sa vzťahuje na zamestnancov Európskeho dozorného úradníka pre ochranu údajov zapojených do výkonu úloh, ktorými bol poverený Európsky výbor pre ochranu údajov na základe práva Únie.

5.   Úradníci a ostatní členovia personálu sekretariátu Európskeho dozorného úradníka pre ochranu údajov podliehajú pravidlám a predpisom uplatniteľným na úradníkov a ostatných zamestnancov Únie.

6.   Sídlo Európskeho dozorného úradníka pre ochranu údajov je v Bruseli.

1.   Európsky dozorný úradník pre ochranu údajov koná pri plnení svojich úloh a výkone svojich právomocí v súlade s týmto nariadením úplne nezávisle.

2.   Európsky dozorný úradník pre ochranu údajov nesmie byť pri plnení svojich úloh a výkone svojich právomocí v súlade s týmto nariadením pod vonkajším vplyvom, či už priamym alebo nepriamym, a nesmie od nikoho požadovať ani prijímať pokyny.

3.   Európsky dozorný úradník pre ochranu údajov sa zdrží akéhokoľvek konania nezlučiteľného so svojimi povinnosťami a počas svojho funkčného obdobia nevykonáva žiadnu inú platenú ani neplatenú pracovnú činnosť.

4.   Európsky dozorný úradník pre ochranu údajov sa po uplynutí svojho funkčného obdobia správa bezúhonne a diskrétne, pokiaľ ide o prijímanie funkcií a výhod.

1.   Bez toho, aby boli dotknuté iné úlohy stanovené podľa tohto nariadenia, Európsky dozorný úradník pre ochranu údajov:

2.   Európsky dozorný úradník pre ochranu údajov uľahčuje podávanie sťažností uvedených v odseku 1 písm. e) poskytnutím formulára na predkladanie sťažností, ktorý je tiež možné vyplniť elektronicky, nevylučujúc pritom iné prostriedky komunikácie.

3.   Plnenie úloh Európskeho dozorného úradníka pre ochranu údajov je pre dotknutú osobu bezplatné.

4.   Ak sú žiadosti zjavne neopodstatnené alebo neprimerané, najmä pre ich opakujúcu sa povahu, Európsky dozorný úradník pre ochranu údajov môže odmietnuť zaoberať sa žiadosťou. Európsky dozorný úradník pre ochranu údajov znáša bremeno preukázania zjavnej neopodstatnenosti alebo neprimeranosti žiadosti.

1.   Európsky dozorný úradník pre ochranu údajov má tieto vyšetrovacie právomoci:

2.   Európsky dozorný úradník pre ochranu údajov má tieto nápravné právomoci:

3.   Európsky dozorný úradník pre ochranu údajov má tieto právomoci v oblasti povoľovania a poradenstva:

4.   Európsky dozorný úradník pre ochranu údajov má právomoc postúpiť záležitosť Súdnemu dvoru za podmienok stanovených v zmluvách a vstupovať do konaní pred Súdnym dvorom.

5.   Výkon právomocí udelených Európskemu dozornému úradníkovi pre ochranu údajov podľa tohto článku podlieha primeraným zárukám vrátane účinného súdneho prostriedku nápravy a riadneho procesu, ktoré sú stanovené v práve Únie.

1.   Európsky dozorný úradník pre ochranu údajov predkladá výročnú správu o svojej činnosti Európskemu parlamentu, Rade a Komisii a súčasne ju zverejňuje.

2.   Európsky dozorný úradník pre ochranu údajov postupuje správu uvedenú v odseku 1 ostatným inštitúciám a orgánom Únie, ktoré môžu predložiť pripomienky s cieľom možného preskúmania správy Európskym parlamentom.

1.   Ak sa v akte Únie odkazuje na tento článok, Európsky dozorný úradník pre ochranu údajov a národné dozorné orgány v rámci svojich príslušných právomocí aktívne spolupracujú v rámci svojich úloh s cieľom zabezpečiť účinný dozor nad rozsiahlymi informačnými systémami a orgánmi, úradmi a agentúrami Únie.

2.   V rámci svojich príslušných právomocí a v rámci svojich úloh si podľa potreby vymieňajú relevantné informácie, pomáhajú pri vykonávaní auditov a inšpekcií, skúmajú ťažkosti súvisiace s výkladom alebo uplatňovaním tohto nariadenia a ďalších uplatniteľných aktov Únie, študujú problémy spojené s vykonávaním nezávislého dozoru alebo s výkonom práv dotknutých osôb, vypracúvajú harmonizované návrhy riešení akýchkoľvek problémov a podporujú informovanosť o právach na ochranu údajov.

3.   Na účely stanovené v odseku 2 sa Európsky dozorný úradník pre ochranu údajov stretáva s národnými dozornými orgánmi najmenej dvakrát do roka v rámci Európskeho výboru pre ochranu údajov. Na tieto účely môže Európsky výbor pre ochranu údajov podľa potreby vypracovať ďalšie pracovné postupy.

4.   Európsky výbor pre ochranu údajov každé dva roky predloží Európskemu parlamentu, Rade a Komisii spoločnú správu o činnostiach týkajúcich sa koordinovaného dozoru.

1.   Bez toho, aby boli dotknuté akékoľvek iné súdne, správne alebo mimosúdne prostriedky nápravy, má každá dotknutá osoba právo podať sťažnosť Európskemu dozornému úradníkovi pre ochranu údajov, ak sa domnieva, že spracúvanie osobných údajov, ktoré sa jej týkajú, je v rozpore s týmto nariadením.

2.   Európsky dozorný úradník pre ochranu údajov informuje sťažovateľa o pokroku a výsledku sťažnosti vrátane možnosti súdneho prostriedku nápravy podľa článku 64.

3.   Ak Európsky dozorný úradník pre ochranu údajov sťažnosť nerieši alebo neinformuje dotknutú osobu do troch mesiacov o pokroku alebo výsledku sťažnosti, považuje sa to za prijatie negatívneho rozhodnutia Európskym dozorným úradníkom pre ochranu údajov.

1.   Súdny dvor má právomoc pojednávať o všetkých sporoch, ktoré sa týkajú ustanovení tohto nariadenia, vrátane žalôb o náhradu škody.

2.   Žaloby proti rozhodnutiam Európskeho dozorného úradníka pre ochranu údajov vrátane rozhodnutí podľa článku 63 ods. 3 sa podávajú na Súdnom dvore.

3.   Súdny dvor má neobmedzenú právomoc na preskúmanie správnych pokút uvedených v článku 66. Tieto pokuty môže zrušiť, znížiť alebo zvýšiť v rámci obmedzení uvedených v článku 66.

1.   Európsky dozorný úradník pre ochranu údajov môže inštitúciám a orgánom Únie uložiť správne pokuty v závislosti od okolností každého jednotlivého prípadu, ak sa inštitúcia alebo orgán Únie nepodriadi príkazu Európskeho dozorného úradníka pre ochranu údajov podľa článku 58 ods. 2 písm. d) až h) a j). Pri rozhodovaní o uložení správnej pokuty a jej výške sa v každom jednotlivom prípade náležite zohľadnia tieto skutočnosti:

2.   V prípade porušenia povinností inštitúcie alebo orgánu Únie podľa článkov 8, 12, 27 až 35, 39, 40, 43, 44 a 45 sa v súlade s odsekom 1 tohto článku uložia správne pokuty až do výšky 25 000 EUR za porušenie a až do celkovej výšky 250 000 EUR za rok.

3.   V prípade porušenia ďalej stanovených ustanovení inštitúciou alebo orgánom Únie sa v súlade s odsekom 1 uložia správne pokuty až do výšky 50 000 EUR za porušenie a až do celkovej výšky 500 000 EUR za rok:

4.   Ak inštitúcia alebo orgán Únie tými istými alebo súvisiacimi či pokračujúcimi spracovateľskými operáciami poruší viacero ustanovení tohto nariadenia alebo niekoľkokrát poruší rovnaké ustanovenie tohto nariadenia, celková suma správnej pokuty nesmie presiahnuť výšku stanovenú za najzávažnejšie porušenie.

5.   Pred prijatím rozhodnutí podľa tohto článku Európsky dozorný úradník pre ochranu údajov poskytne inštitúcii alebo orgánu Únie, ktoré sú predmetom konania vedeného Európskym dozorným úradníkom, príležitosť na vypočutie v záležitostiach, ku ktorým Európsky dozorný úradník pre ochranu údajov vzniesol námietky. Európsky dozorný úradník pre ochranu údajov vychádza pri svojich rozhodnutiach len z námietok, ku ktorým sa príslušné strany mohli vyjadriť. Sťažovatelia sú do konania úzko zapojení.

6.   V konaní sa plne rešpektuje právo príslušných strán na obhajobu. Tieto strany majú právo na prístup k dokumentácii Európskeho dozorného úradníka pre ochranu údajov, s výhradou oprávneného záujmu fyzických osôb alebo podnikov pri ochrane ich osobných údajov alebo obchodného tajomstva.

7.   Prostriedky získané uložením pokút podľa tohto článku sú príjmom všeobecného rozpočtu Únie.

1.   Operačné osobné údaje musia byť:

2.   Spracúvanie tým istým alebo iným prevádzkovateľom na ktorýkoľvek z účelov stanovených v právnom akte zriaďujúcom orgán, úrad alebo agentúru Únie, ktorý je iný než účel, na ktorý sa operačné osobné údaje získavajú, je povolené, pokiaľ:

3.   Spracúvanie tým istým alebo iným prevádzkovateľom môže zahŕňať archiváciu vo verejnom záujme, vedecké, štatistické alebo historické použitie na účely stanovené v právnom akte zriaďujúcom orgán, úrad alebo agentúru Únie, ak sú dodržané primerané záruky ochrany práv a slobôd dotknutých osôb.

4.   Prevádzkovateľ je zodpovedný za súlad s odsekmi 1, 2 a 3 a vie tento súlad preukázať.

1.   Spracúvanie operačných osobných údajov je zákonné len vtedy, ak je potrebné na splnenie úlohy orgánov, úradov a agentúr Únie vykonávajúcich činnosti, ktoré patria do rozsahu pôsobnosti tretej časti hlavy V kapitoly 4 alebo kapitoly 5 ZFEÚ, a ak je založené na práve Únie.

2.   V osobitných právnych aktoch Únie upravujúcich spracúvanie v rámci rozsahu pôsobnosti tejto kapitoly sa uvádzajú aspoň ciele spracúvania, operačné osobné údaje, ktoré sa majú spracovať, účely spracúvania a obdobia uchovávania operačných osobných údajov alebo pravidelného preskúmania potreby ďalšieho uchovávania operačných osobných údajov.

1.   Prevádzkovateľ v čo najväčšej možnej miere rozlišuje medzi operačnými osobnými údajmi založenými na faktoch a operačnými osobnými údajmi založenými na osobných hodnoteniach.

2.   Prevádzkovateľ prijme všetky primerané opatrenia s cieľom zabezpečiť, aby sa operačné osobné údaje, ktoré sú nesprávne, neúplné alebo už neaktuálne, neprenášali ani neposkytovali. Na uvedený účel prevádzkovateľ, pokiaľ je to uskutočniteľné a relevantné, overuje pred prenosom alebo poskytovaním operačných osobných údajov ich kvalitu, napríklad konzultáciou s príslušným orgánom, od ktorého údaje pochádzajú. Pokiaľ je to možné, pri každom prenose operačných osobných údajov prevádzkovateľ doplní potrebné informácie, ktoré príjemcovi umožnia posúdiť stupeň správnosti, úplnosti a spoľahlivosti operačných osobných údajov, ako aj mieru ich aktuálnosti.

3.   Ak sa zistí, že došlo k prenosu nesprávnych operačných osobných údajov alebo že operačné osobné údaje boli prenesené nezákonne, musí sa to bezodkladne oznámiť príjemcovi. V takomto prípade sa predmetné operačné osobné údaje musia opraviť alebo vymazať, alebo sa ich spracúvanie obmedzí v súlade s článkom 82.

1.   Ak sa v práve Únie uplatniteľnom na prevádzkovateľa prenášajúceho údaje stanovia osobitné podmienky spracúvania, prevádzkovateľ informuje príjemcu operačných osobných údajov o týchto podmienkach a požiadavke dodržiavať ich.

2.   Prevádzkovateľ dodržiava pri spracúvaní osobitné podmienky spracúvania stanovené orgánom zodpovedným za prenos údajov v súlade s článkom 9 ods. 3 a 4 smernice (EÚ) 2016/680.

1.   Spracúvanie operačných osobných údajov, ktoré odhaľujú rasový alebo etnický pôvod, politické názory, náboženské alebo filozofické presvedčenie alebo členstvo v odborových organizáciách, a spracúvanie genetických údajov, biometrických údajov na účely individuálnej identifikácie fyzickej osoby, operačných osobných údajov týkajúcich sa zdravia alebo sexuálneho života či sexuálnej orientácie fyzickej osoby je možné len vtedy, ak je úplne nevyhnutné na operačné účely v rámci mandátu príslušného orgánu, úradu alebo agentúry Únie, a musí podliehať primeraným zárukám ochrany práv a slobôd dotknutej osoby. Diskriminácia fyzických osôb na základe takýchto osobných údajov sa zakazuje.

2.   O použití tohto článku musí byť bezodkladne informovaná zodpovedná osoba.

1.   Rozhodnutie založené výlučne na automatizovanom spracúvaní vrátane profilovania, ktoré má pre dotknutú osobu nepriaznivé právne účinky alebo významné dôsledky, je zakázané, pokiaľ nie je prípustné podľa práva Únie, ktoré sa vzťahuje na prevádzkovateľa a ktorým sú stanovené primerané záruky ochrany práv a slobôd dotknutej osoby, aspoň právo na ľudský zásah zo strany prevádzkovateľa.

2.   Rozhodnutia uvedené v odseku 1 tohto článku nesmú byť založené na osobitných kategóriách osobných údajov uvedených v článku 76, pokiaľ sa neuplatňujú vhodné opatrenia na zaručenie práv, slobôd a oprávnených záujmov dotknutej osoby.

3.   Profilovanie, ktoré vedie k diskriminácii fyzických osôb na základe osobitných kategórií osobných údajov uvedených v článku 76, sa zakazuje v súlade s právom Únie.

1.   Prevádzkovateľ prijme primerané opatrenia s cieľom poskytnúť dotknutej osobe všetky informácie uvedené v článku 79 a vykoná všetky oznámenia so zreteľom na články 80 až 84 a 92, ktoré sa týkajú spracúvania, a to v stručnej, zrozumiteľnej a ľahko dostupnej forme, pričom ich formuluje jasne a jednoducho. Informácie sa poskytujú akýmikoľvek vhodnými prostriedkami, a to aj elektronickými prostriedkami. Prevádzkovateľ spravidla poskytuje informácie v rovnakej forme, v akej bola podaná žiadosť.

2.   Prevádzkovateľ uľahčuje uplatnenie práv dotknutej osoby podľa článkov 79 až 84.

3.   Prevádzkovateľ písomne informuje dotknutú osobu o opatreniach, ktoré prijal v nadväznosti na jej žiadosť, bez zbytočného odkladu a v každom prípade najneskôr do troch mesiacov od doručenia žiadosti dotknutej osoby.

4.   Prevádzkovateľ poskytuje informácie podľa článku 79 a všetky oznámenia vykonané alebo všetky opatrenia prijaté podľa článkov 80 až 84 a 92 bezplatne. Ak sú žiadosti dotknutej osoby zjavne neopodstatnené alebo neprimerané, najmä pre ich opakujúcu sa povahu, prevádzkovateľ môže odmietnuť zaoberať sa žiadosťou. Prevádzkovateľ znáša bremeno preukázania zjavnej neopodstatnenosti alebo neprimeranosti žiadosti.

5.   Ak má prevádzkovateľ oprávnené pochybnosti v súvislosti s totožnosťou fyzickej osoby, ktorá podáva žiadosť uvedenú v článku 80 alebo 82, môže požiadať o poskytnutie dodatočných informácií potrebných na potvrdenie totožnosti dotknutej osoby.

1.   Prevádzkovateľ sprístupní dotknutej osobe aspoň tieto informácie:

2.   Popri informáciách uvedených v odseku 1 prevádzkovateľ v osobitných prípadoch stanovených v práve Únie poskytne dotknutej osobe tieto ďalšie informácie s cieľom umožniť uplatnenie jej práv:

3.   Prevádzkovateľ môže poskytovanie informácií dotknutej osobe podľa odseku 2 odložiť, obmedziť alebo od neho upustiť, pokiaľ takéto opatrenie predstavuje nevyhnutné a primerané opatrenie v demokratickej spoločnosti s náležitým zreteľom na základné práva a oprávnené záujmy danej fyzickej osoby a s cieľom:

1.   Prevádzkovateľ môže úplne alebo čiastočne obmedziť právo dotknutej osoby na prístup, pokiaľ toto čiastočné či úplné obmedzenie s náležitým ohľadom na základné práva a oprávnené záujmy danej fyzickej osoby predstavuje nevyhnutné a primerané opatrenie v demokratickej spoločnosti s cieľom:

2.   V prípadoch uvedených v odseku 1 prevádzkovateľ bez zbytočného odkladu písomne informuje dotknutú osobu o každom zamietnutí či obmedzení prístupu a o dôvodoch tohto zamietnutia alebo obmedzenia. Od takýchto informácií možno upustiť, ak by ich poskytnutie ohrozilo účel podľa odseku 1. Prevádzkovateľ informuje dotknutú osobu o možnosti podať sťažnosť Európskemu dozornému úradníkovi pre ochranu údajov alebo dožadovať sa súdneho prostriedku nápravy na Súdnom dvore. Prevádzkovateľ zdokumentuje skutkové alebo právne dôvody, na ktorých sa dané rozhodnutie zakladá. Uvedené informácie sa na požiadanie sprístupnia Európskemu dozornému úradníkovi pre ochranu údajov.

1.   Každá dotknutá osoba má právo na to, aby prevádzkovateľ bez zbytočného odkladu opravil nesprávne operačné osobné údaje, ktoré sa jej týkajú. So zreteľom na účely spracúvania má dotknutá osoba právo na doplnenie neúplných operačných osobných údajov, a to aj prostredníctvom poskytnutia doplnkového vyhlásenia.

2.   Prevádzkovateľ vymaže operačné osobné údaje bez zbytočného odkladu a dotknutá osoba má právo na to, aby prevádzkovateľ bez zbytočného odkladu vymazal operačné osobné údaje, ktoré sa tejto osoby týkajú, ak sa spracúvaním porušujú článok 71, článok 72 ods. 1 alebo článok 76, alebo ak sa operačné osobné údaje musia vymazať, aby sa splnila zákonná povinnosť, ktorej prevádzkovateľ podlieha.

3.   Namiesto vymazania prevádzkovateľ obmedzí spracúvanie, ak:

Ak je spracúvanie obmedzené v zmysle prvého pododseku písm. a), prevádzkovateľ o tom pred zrušením obmedzenia spracúvania informuje dotknutú osobu.

Obmedzené údaje sa spracúvajú len na účel, ktorý zabránil ich vymazaniu.

4.   Prevádzkovateľ písomne informuje dotknutú osobu o akomkoľvek zamietnutí opravy alebo vymazania operačných osobných údajov či obmedzenia ich spracúvania a o dôvodoch tohto zamietnutia. Prevádzkovateľ môže úplne alebo čiastočne obmedziť poskytovanie takýchto informácií, pokiaľ takéto obmedzenie predstavuje nevyhnutné a primerané opatrenie v demokratickej spoločnosti s náležitým ohľadom na základné práva a oprávnené záujmy danej fyzickej osoby, s cieľom:

Prevádzkovateľ písomne informuje dotknutú osobu o možnosti podať sťažnosť Európskemu dozornému úradníkovi pre ochranu údajov alebo dožadovať sa súdneho prostriedku nápravy na Súdnom dvore.

5.   Prevádzkovateľ oznámi opravu nesprávnych operačných osobných údajov príslušnému orgánu, od ktorého nesprávne operačné osobné údaje pochádzajú.

6.   Ak sa operačné osobné údaje opravia alebo vymažú alebo sa obmedzí ich spracúvanie podľa odseku 1, 2 alebo 3, prevádzkovateľ to oznámi príjemcom a informuje ich o tom, že musia opraviť alebo vymazať operačné osobné údaje alebo obmedziť spracúvanie operačných osobných údajov, za ktoré zodpovedajú.

1.   V prípadoch uvedených v článku 79 ods. 3, článku 81 a článku 82 ods. 4 sa práva dotknutej osoby môžu uplatňovať aj prostredníctvom Európskeho dozorného úradníka pre ochranu údajov.

2.   Prevádzkovateľ informuje dotknutú osobu o možnosti uplatniť jej práva prostredníctvom Európskeho dozorného úradníka pre ochranu údajov podľa odseku 1.

3.   Ak sa uplatňuje právo uvedené v odseku 1, Európsky dozorný úradník pre ochranu údajov informuje dotknutú osobu aspoň o tom, že vykonal všetky nevyhnutné overenia alebo preskúmanie. Európsky dozorný úradník pre ochranu údajov dotknutú osobu taktiež informuje o jej práve na súdny prostriedok nápravy na Súdnom dvore.

1.   Prevádzkovateľ so zreteľom na najnovšie poznatky, náklady na vykonanie a povahu, rozsah, kontext a účely spracúvania, ako aj na riziká s rôznou pravdepodobnosťou a závažnosťou, ktoré spracúvanie predstavuje pre práva a slobody fyzických osôb, vykoná v čase určenia prostriedkov spracúvania aj v čase samotného spracúvania primerané technické a organizačné opatrenia, ako je napríklad pseudonymizácia, ktoré sú určené na účinné zavedenie zásad ochrany údajov, ako je napríklad minimalizácia údajov, a na začlenenie nevyhnutných záruk do spracúvania, a to s cieľom splniť požiadavky tohto nariadenia a jeho zakladajúceho právneho aktu a chrániť práva dotknutých osôb.

2.   Prevádzkovateľ vykonáva primerané technické a organizačné opatrenia, ktorými sa zabezpečuje, aby sa štandardne spracúvali iba operačné osobné údaje, ktoré sú primerané, relevantné a nie neúmerné vo vzťahu k účelu spracúvania. Uvedená povinnosť sa vzťahuje na množstvo získaných operačných osobných údajov, rozsah ich spracúvania, obdobie ich uchovávania a ich dostupnosť. Konkrétne sa takýmito opatreniami zabezpečí, aby operačné osobné údaje neboli bez zásahu fyzickej osoby štandardne prístupné neobmedzenému počtu fyzických osôb.

1.   Ak dvaja alebo viacerí prevádzkovatelia alebo jeden alebo viacerí prevádzkovatelia spolu s jedným alebo viacerými prevádzkovateľmi inými, než sú inštitúcie a orgány Únie, spoločne určia účely a prostriedky spracúvania, považujú sa za spoločných prevádzkovateľov. Transparentne určia svoje príslušné zodpovednosti za plnenie povinností v oblasti ochrany údajov, najmä pokiaľ ide o uplatňovanie práv dotknutej osoby, a svoje príslušné povinnosti poskytovať informácie uvedené v článku 79, a to formou vzájomnej dohody, pokiaľ nie sú príslušné zodpovednosti spoločných prevádzkovateľov určené právom Únie alebo právom členskému štátu, ktorému spoloční prevádzkovatelia podliehajú. V dohode sa môže určiť kontaktné miesto pre dotknuté osoby.

2.   V dohode uvedenej v odseku 1 sa náležite zohľadnia príslušné úlohy spoločných prevádzkovateľov a ich vzťahy voči dotknutej osobe. Základné časti dohody sa sprístupnia dotknutej osobe.

3.   Bez ohľadu na podmienky dohody uvedenej v odseku 1 môže dotknutá osoba uplatniť svoje práva podľa tohto nariadenia u každého prevádzkovateľa a voči každému prevádzkovateľovi.

1.   Ak sa má spracúvanie uskutočniť v mene prevádzkovateľa, prevádzkovateľ využíva len sprostredkovateľov poskytujúcich dostatočné záruky týkajúce sa vykonania primeraných technických a organizačných opatrení tak, aby spracúvanie spĺňalo požiadavky tohto nariadenia a právneho aktu zriaďujúceho prevádzkovateľa a aby sa zabezpečila ochrana práv dotknutej osoby.

2.   Sprostredkovateľ nezapojí ďalšieho sprostredkovateľa bez predchádzajúceho osobitného alebo všeobecného písomného povolenia prevádzkovateľa. V prípade všeobecného písomného povolenia sprostredkovateľ informuje prevádzkovateľa o akýchkoľvek zamýšľaných zmenách v súvislosti s pridaním alebo nahradením ďalších sprostredkovateľov, čím prevádzkovateľovi poskytne možnosť namietať voči takýmto zmenám.

3.   Spracúvanie sprostredkovateľom sa riadi zmluvou alebo iným právnym aktom podľa práva Únie alebo práva členského štátu, ktoré zaväzujú sprostredkovateľa voči prevádzkovateľovi a ktorými sa stanovuje predmet a obdobie spracúvania, povaha a účel spracúvania, typ operačných osobných údajov a kategórie dotknutých osôb a povinnosti a práva prevádzkovateľa. Uvedená zmluva alebo iný právny akt najmä stanovia, že sprostredkovateľ:

4.   Zmluva alebo iný právny akt uvedené v odseku 3 sa vypracúvajú v písomnej podobe vrátane elektronickej podoby.

5.   Ak sprostredkovateľ poruší toto nariadenie alebo právny akt zriaďujúci prevádzkovateľa určením účelov a prostriedkov spracúvania, považuje sa v súvislosti s daným spracúvaním za prevádzkovateľa.

1.   Prevádzkovateľ vedie v systémoch automatizovaného spracúvania záznamy o každej z týchto spracovateľských operácií: získavanie, upravenie, prístup, konzultovanie, poskytovanie, a to aj počas prenosov, kombinovanie a vymazávanie operačných osobných údajov. Na základe záznamov o konzultovaní a sprístupňovaní musí byť možné určiť dôvod, dátum a čas takýchto operácií, identifikovať osobu, ktorá konzultovala alebo sprístupnila operačné osobné údaje, a pokiaľ je to možné, totožnosť príjemcov týchto operačných osobných údajov.

2.   Záznamy sa používajú výlučne na overovanie zákonnosti spracúvania, vlastné monitorovanie, zaistenie integrity a bezpečnosti operačných osobných údajov a na účely trestného konania. Takéto záznamy sa vymažú po troch rokoch, pokiaľ nie sú potrebné pre prebiehajúcu kontrolu.

3.   Prevádzkovateľ sprístupňuje záznamy zodpovednej osobe a Európskemu dozornému úradníkovi pre ochranu údajov na požiadanie.

1.   Ak typ spracúvania, najmä s využitím nových technológií a s ohľadom na povahu, rozsah, kontext a účely spracúvania, pravdepodobne povedie k vysokému riziku pre práva a slobody fyzických osôb, prevádzkovateľ pred spracúvaním vykoná posúdenie vplyvu plánovaných spracovateľských operácií na ochranu operačných osobných údajov.

2.   Posúdenie uvedené v odseku 1 obsahuje aspoň všeobecný opis plánovaných spracovateľských operácií, posúdenie rizík v súvislosti s právami a slobodami dotknutých osôb, plánované opatrenia na riešenie daných rizík, záruky, bezpečnostné opatrenia a mechanizmy na zabezpečenie ochrany operačných osobných údajov a na preukázanie súladu s pravidlami ochrany údajov s ohľadom na práva a oprávnené záujmy dotknutých osôb a ďalších zainteresovaných osôb.

1.   Prevádzkovateľ uskutoční konzultácie s Európskym dozorným úradníkom pre ochranu údajov pred spracúvaním údajov, ktoré budú tvoriť súčasť nového informačného systému, ktorý sa má vytvoriť, ak:

2.   Európsky dozorný úradník pre ochranu údajov môže vypracovať zoznam spracovateľských operácií, ktoré podliehajú povinnosti uskutočniť predchádzajúcu konzultáciu podľa odseku 1.

3.   Prevádzkovateľ poskytne Európskemu dozornému úradníkovi pre ochranu údajov posúdenie vplyvu na ochranu údajov uvedené v článku 89 a na požiadanie aj akékoľvek ďalšie informácie, ktoré umožnia Európskemu dozornému úradníkovi pre ochranu údajov posúdiť súlad spracúvania, a najmä riziká z hľadiska ochrany operačných osobných údajov dotknutej osoby a súvisiacich záruk.

4.   Ak sa Európsky dozorný úradník pre ochranu údajov domnieva, že by zamýšľané spracúvanie uvedené v odseku 1 bolo v rozpore s týmto nariadením alebo právnym aktom zriaďujúcim orgán, úrad alebo agentúru Únie, najmä ak prevádzkovateľ nedostatočne identifikoval alebo zmiernil riziko, Európsky dozorný úradník pre ochranu údajov poskytne prevádzkovateľovi písomné poradenstvo do šiestich týždňov od prijatia žiadosti o konzultáciu. Uvedená lehota sa môže predĺžiť o jeden mesiac, pričom sa zohľadní komplexnosť zamýšľaného spracúvania. Európsky dozorný úradník pre ochranu údajov informuje prevádzkovateľa o každom takomto predĺžení lehoty do jedného mesiaca od prijatia žiadosti o konzultáciu spolu s odôvodnením omeškania.

1.   Prevádzkovateľ a spracovateľ so zreteľom na najnovšie poznatky, náklady na vykonanie a povahu, rozsah, kontext a účely spracúvania, ako aj na riziká s rôznou pravdepodobnosťou a závažnosťou pre práva a slobody fyzických osôb, prijmú primerané technické a organizačné opatrenia s cieľom zaistiť úroveň bezpečnosti primeranú daným rizikám, najmä pokiaľ ide o spracúvanie osobitných kategórií operačných osobných údajov.

2.   Pokiaľ ide o automatizované spracúvanie, prevádzkovateľ a spracovateľ prijmú na základe vyhodnotenia rizík opatrenia na:

1.   V prípade porušenia ochrany osobných údajov prevádzkovateľ bez zbytočného odkladu a podľa možnosti najneskôr do 72 hodín po tom, čo sa o tejto skutočnosti dozvedel, oznámi porušenie ochrany osobných údajov Európskemu dozornému úradníkovi pre ochranu údajov s výnimkou prípadov, keď nie je pravdepodobné, že porušenie ochrany osobných údajov povedie k riziku pre práva a slobody fyzických osôb. Ak oznámenie nebolo Európskemu dozornému úradníkovi pre ochranu údajov predložené do 72 hodín, pripojí sa k nemu odôvodnenie omeškania.

2.   Oznámenie uvedené v odseku 1 musí obsahovať aspoň:

3.   Pokiaľ nie je možné poskytnúť informácie uvedené v odseku 2 súčasne, informácie možno poskytnúť vo viacerých etapách bez ďalšieho zbytočného odkladu.

4.   Prevádzkovateľ zdokumentuje každý prípad porušenia ochrany osobných údajov uvedený v odseku 1 vrátane skutočností spojených s porušením ochrany osobných údajov, jeho následkov a prijatých opatrení na nápravu. Uvedená dokumentácia musí umožniť Európskemu dozornému úradníkovi pre ochranu údajov overiť súlad s týmto článkom.

5.   Ak porušenie ochrany operačných osobných údajov zahŕňa osobné údaje, ktorých prenos vykonali príslušné orgány alebo ktoré boli prenesené príslušným orgánom, prevádzkovateľ oznámi informácie uvedené v odseku 2 bez zbytočného odkladu príslušným orgánom.

1.   Ak porušenie ochrany osobných údajov pravdepodobne povedie k vysokému riziku pre práva a slobody fyzických osôb, prevádzkovateľ bez zbytočného odkladu oznámi porušenie ochrany osobných údajov dotknutej osobe.

2.   Oznámenie dotknutej osobe uvedené v odseku 1 tohto článku obsahuje jasne a jednoducho formulovaný opis povahy porušenia ochrany osobných údajov a aspoň informácie a odporúčania uvedené v článku 92 ods. 2 písm. b), c) a d).

3.   Oznámenie dotknutej osobe uvedené v odseku 1 sa nevyžaduje, ak je splnená ktorákoľvek z týchto podmienok:

4.   Ak prevádzkovateľ ešte porušenie ochrany osobných údajov neoznámil dotknutej osobe, Európsky dozorný úradník pre ochranu údajov môže po zvážení pravdepodobnosti porušenia ochrany osobných údajov vedúceho k vysokému riziku požadovať, aby tak urobil, alebo môže rozhodnúť, že je splnená niektorá z podmienok uvedených v odseku 3.

5.   Oznámenie dotknutej osobe uvedené v odseku 1 tohto článku sa môže odložiť, obmedziť alebo sa od neho môže upustiť za podmienok alebo z dôvodov uvedených v článku 79 ods. 3

1.   S výhradou obmedzení a podmienok stanovených v právnych aktoch zriaďujúcich orgán, úrad alebo agentúru Únie môže prevádzkovateľ prenášať operačné osobné údaje orgánu tretej krajiny alebo medzinárodnej organizácii, pokiaľ je takýto prenos potrebný na vykonávanie úloh prevádzkovateľa a len ak sú dodržané podmienky stanovené v tomto článku, konkrétne:

2.   Právnymi aktmi zriaďujúcimi orgány, úrady a agentúry Únie sa môžu ponechať v platnosti alebo zaviesť špecifickejšie ustanovenia o podmienkach medzinárodných prenosov operačných osobných údajov, najmä o prenosoch na základe primeraných záruk a výnimkách pre osobitné situácie.

3.   Prevádzkovateľ na svojom webovom sídle uverejní a aktualizuje zoznam rozhodnutí o primeranosti uvedených v písmene a) odseku 1, dohôd, administratívnych dojednaní a iných nástrojov, ktoré sa týkajú prenosu operačných osobných údajov v súlade s odsekom 1.

4.   Prevádzkovateľ podrobne eviduje všetky prenosy vykonané podľa tohto článku.

1.   Komisii pomáha výbor zriadený článkom 93 nariadenia (EÚ) 2016/679. Uvedený výbor je výborom v zmysle nariadenia (EÚ) č. 182/2011.

2.   Ak sa odkazuje na tento odsek, uplatňuje sa článok 5 nariadenia (EÚ) č. 182/2011.

1.   Komisia do 30. apríla 2022 preskúma právne akty prijaté na základe zmlúv, ktorými sa upravuje spracúvanie operačných osobných údajov orgánmi, úradmi alebo agentúrami Únie pri vykonávaní činností, ktoré patria do rozsahu pôsobnosti tretej časti hlavy V kapitoly 4 alebo kapitoly 5 ZFEÚ, s cieľom:

2.   V záujme zaistenia jednotnej a konzistentnej ochrany fyzických osôb pri spracúvaní môže Komisia na základe preskúmania predložiť príslušné legislatívne návrhy, najmä s cieľom uplatňovať kapitolu IX tohto nariadenia na Europol a Európsku prokuratúru a v prípade potreby vrátane úprav kapitoly IX tohto nariadenia.

1.   Rozhodnutie Európskeho parlamentu a Rady 2014/886/EÚ (20) a súčasné funkčné obdobie Európskeho dozorného úradníka pre ochranu údajov a zástupcu dozorného úradníka nie sú týmto nariadením dotknuté.

2.   Pokiaľ ide o stanovenie odmeny, príplatkov, starobného dôchodku a akýchkoľvek iných náhrad poskytovaných namiesto odmeny, zástupca dozorného úradníka má rovnaké postavenie ako tajomník Súdneho dvora.

3.   Článok 53 ods. 4, 5 a 7 a články 55 a 56 tohto nariadenia sa na súčasného zástupcu dozorného úradníka uplatňujú až do skončenia jeho funkčného obdobia.

4.   Zástupca dozorného úradníka pomáha Európskemu dozornému úradníkovi pre ochranu údajov pri plnení povinností Európskeho dozorného úradníka pre ochranu údajov a koná ako jeho náhradník, keď Európsky dozorný úradník pre ochranu údajov nie je prítomný alebo keď nemôže tieto úlohy plniť, a to až do konca súčasného funkčného obdobia zástupcu dozorného úradníka.

1.   Toto nariadenie nadobúda účinnosť dvadsiatym dňom po jeho uverejnení v Úradnom vestníku Európskej únie.

2.   Toto nariadenie sa však uplatňuje na spracúvanie osobných údajov Eurojustom od 12. decembra 2019.