1.   Ο παρών κανονισμός θεσπίζει κανόνες που αφορούν την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα από τα όργανα και τους οργανισμούς της Ένωσης και κανόνες που αφορούν την ελεύθερη κυκλοφορία των δεδομένων προσωπικού χαρακτήρα μεταξύ των εν λόγω οργάνων και οργανισμών ή προς άλλους αποδέκτες εγκατεστημένους στην Ένωση.

2.   Ο παρών κανονισμός προστατεύει θεμελιώδη δικαιώματα και ελευθερίες των φυσικών προσώπων και ειδικότερα το δικαίωμά τους στην προστασία των δεδομένων προσωπικού χαρακτήρα.

3.   Ο Ευρωπαίος Επόπτης Προστασίας Δεδομένων ελέγχει την εφαρμογή των διατάξεων του παρόντος κανονισμού σε κάθε πράξη επεξεργασίας δεδομένων που πραγματοποιείται από όργανο ή οργανισμό της Ένωσης.

1.   Ο παρών κανονισμός εφαρμόζεται στην επεξεργασία δεδομένων προσωπικού χαρακτήρα από όλα τα όργανα και τους οργανισμούς της Ένωσης.

2.   Μόνο το άρθρο 3 και το κεφάλαιο IX του παρόντος κανονισμού εφαρμόζονται στην επεξεργασία επιχειρησιακών δεδομένων προσωπικού χαρακτήρα από τα όργανα και τους οργανισμούς της Ένωσης κατά την άσκηση δραστηριοτήτων που εμπίπτουν στο πεδίο εφαρμογής του τρίτου μέρους τίτλος V κεφάλαιο 4 ή κεφάλαιο 5 ΣΛΕΕ.

3.   Ο παρών κανονισμός δεν εφαρμόζεται στην επεξεργασία επιχειρησιακών δεδομένων προσωπικού χαρακτήρα από την Ευρωπόλ και την Ευρωπαϊκή Εισαγγελία, ενόσω ο κανονισμός (ΕΕ) 2016/794 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (15), και ο κανονισμός (ΕΕ) 2017/1939 του Συμβουλίου (16), δεν έχουν προσαρμοστεί σύμφωνα με το άρθρο 98 του παρόντος κανονισμού.

4.   Ο παρών κανονισμός δεν εφαρμόζεται στην επεξεργασία δεδομένων προσωπικού χαρακτήρα από τις αποστολές που αναφέρονται στο άρθρο 42 παράγραφος 1, στο άρθρο 43 και στο άρθρο 44 ΣΕΕ.

5.   Ο παρών κανονισμός εφαρμόζεται στην, εν όλω ή εν μέρει, αυτοματοποιημένη επεξεργασία δεδομένων προσωπικού χαρακτήρα, καθώς και στη μη αυτοματοποιημένη επεξεργασία τέτοιων δεδομένων τα οποία περιλαμβάνονται ή πρόκειται να περιληφθούν σε σύστημα αρχειοθέτησης.

1.   Τα δεδομένα προσωπικού χαρακτήρα:

2.   Ο υπεύθυνος επεξεργασίας φέρει την ευθύνη και είναι σε θέση να αποδείξει τη συμμόρφωση με την παράγραφο 1 («λογοδοσία»).

1.   Η επεξεργασία είναι σύννομη μόνο εάν και εφόσον ισχύει τουλάχιστον μία από τις ακόλουθες προϋποθέσεις:

2.   Η βάση για την επεξεργασία που αναφέρεται στην παράγραφο 1 στοιχεία α) και β) ορίζεται στο δίκαιο της Ένωσης.

1.   Όταν η επεξεργασία βασίζεται σε συγκατάθεση, ο υπεύθυνος επεξεργασίας είναι σε θέση να αποδείξει ότι το υποκείμενο των δεδομένων συγκατατέθηκε για την επεξεργασία των δεδομένων του προσωπικού χαρακτήρα.

2.   Εάν η συγκατάθεση του υποκειμένου των δεδομένων παρέχεται στο πλαίσιο γραπτής δήλωσης η οποία αφορά και άλλα θέματα, το αίτημα για συγκατάθεση υποβάλλεται κατά τρόπο ώστε να είναι σαφώς διακριτό από τα άλλα θέματα, σε κατανοητή και εύκολα προσβάσιμη μορφή, χρησιμοποιώντας σαφή και απλή διατύπωση. Κάθε τμήμα της δήλωσης αυτής το οποίο συνιστά παράβαση του παρόντος κανονισμού δεν είναι δεσμευτικό.

3.   Το υποκείμενο των δεδομένων έχει δικαίωμα να ανακαλέσει τη συγκατάθεσή του ανά πάσα στιγμή. Η ανάκληση της συγκατάθεσης δεν θίγει τη νομιμότητα της επεξεργασίας που βασίστηκε στη συγκατάθεση προ της ανάκλησής της. Πριν από την παροχή της συγκατάθεσης, το υποκείμενο των δεδομένων ενημερώνεται σχετικά. Η ανάκληση της συγκατάθεσης είναι εξίσου εύκολη με την παροχή της.

4.   Κατά την εκτίμηση κατά πόσο η συγκατάθεση δίνεται ελεύθερα, λαμβάνεται ιδιαιτέρως υπόψη κατά πόσο, μεταξύ άλλων, για την εκτέλεση σύμβασης, συμπεριλαμβανομένης της παροχής μιας υπηρεσίας, τίθεται ως προϋπόθεση η συγκατάθεση στην επεξεργασία δεδομένων προσωπικού χαρακτήρα που δεν είναι αναγκαία για την εκτέλεση της εν λόγω σύμβασης.

1.   Όταν εφαρμόζεται το άρθρο 5 παράγραφος 1 στοιχείο δ), σε σχέση με την προσφορά υπηρεσιών της κοινωνίας των πληροφοριών απευθείας σε παιδί, η επεξεργασία δεδομένων προσωπικού χαρακτήρα παιδιού είναι σύννομη εάν το παιδί είναι τουλάχιστον 13 χρονών. Εάν το παιδί είναι ηλικίας κάτω των 13 ετών, η επεξεργασία αυτή είναι σύννομη μόνο εάν και στον βαθμό που η εν λόγω συγκατάθεση παρέχεται ή εγκρίνεται από το πρόσωπο που έχει τη γονική μέριμνα του παιδιού.

2.   Ο υπεύθυνος επεξεργασίας καταβάλλει εύλογες προσπάθειες για να επαληθεύσει στις περιπτώσεις αυτές ότι η συγκατάθεση παρέχεται ή εγκρίνεται από το πρόσωπο που έχει τη γονική μέριμνα του παιδιού, λαμβάνοντας υπόψη τη διαθέσιμη τεχνολογία.

3.   Η παράγραφος 1 δεν επηρεάζει το γενικό ενοχικό δίκαιο των κρατών μελών, όπως τους κανόνες περί ισχύος, κατάρτισης ή συνεπειών μιας σύμβασης σε σχέση με παιδί.

1.   Με την επιφύλαξη των άρθρων 4 έως 6 και του άρθρου 10, τα δεδομένα προσωπικού χαρακτήρα διαβιβάζονται σε εγκατεστημένους στην Ένωση αποδέκτες που δεν είναι όργανα και οργανισμοί της Ένωσης, μόνο εάν:

2.   Όταν ο υπεύθυνος επεξεργασίας προβαίνει στη διαβίβαση βάσει του παρόντος άρθρου, αποδεικνύει ότι η διαβίβαση των δεδομένων προσωπικού χαρακτήρα είναι αναγκαία και αναλογική για τους σκοπούς της διαβίβασης, εφαρμόζοντας τα κριτήρια που προβλέπονται στην παράγραφο 1 στοιχείο α) ή β).

3.   Τα όργανα και οι οργανισμοί της Ένωσης μεριμνούν ώστε το δικαίωμα προστασίας των δεδομένων προσωπικού χαρακτήρα να είναι συμβατό με το δικαίωμα πρόσβασης σε έγγραφα σύμφωνα με το δίκαιο της Ένωσης.

1.   Απαγορεύεται η επεξεργασία δεδομένων προσωπικού χαρακτήρα που αποκαλύπτουν τη φυλετική ή εθνοτική καταγωγή, τα πολιτικά φρονήματα, τις θρησκευτικές ή φιλοσοφικές πεποιθήσεις ή τη συμμετοχή σε συνδικαλιστική οργάνωση, καθώς και η επεξεργασία γενετικών δεδομένων, βιομετρικών δεδομένων με σκοπό την αδιαμφισβήτητη ταυτοποίηση προσώπου, δεδομένων που αφορούν την υγεία ή δεδομένων που αφορούν τη σεξουαλική ζωή φυσικού προσώπου ή τον γενετήσιο προσανατολισμό.

2.   Η παράγραφος 1 δεν εφαρμόζεται στις ακόλουθες περιπτώσεις:

3.   Τα δεδομένα προσωπικού χαρακτήρα που αναφέρονται στην παράγραφο 1 μπορεί να τύχουν επεξεργασίας για τους σκοπούς που προβλέπονται στην παράγραφο 2 στοιχείο η), όταν τα δεδομένα αυτά υποβάλλονται σε επεξεργασία από ή υπό την ευθύνη επαγγελματία που υπόκειται στην υποχρέωση τήρησης του επαγγελματικού απορρήτου βάσει του δικαίου της Ένωσης ή κράτους μέλους ή βάσει κανόνων που θεσπίζονται από αρμόδιους εθνικούς φορείς ή από άλλο πρόσωπο, το οποίο υπέχει επίσης υποχρέωση τήρησης του απορρήτου βάσει του δικαίου της Ένωσης ή κράτους μέλους ή βάσει κανόνων που θεσπίζονται από αρμόδιους εθνικούς φορείς.

1.   Εάν οι σκοποί για τους οποίους ο υπεύθυνος επεξεργασίας επεξεργάζεται δεδομένα προσωπικού χαρακτήρα δεν απαιτούν ή δεν απαιτούν πλέον την εξακρίβωση της ταυτότητας του υποκειμένου των δεδομένων από τον υπεύθυνο επεξεργασίας, ο υπεύθυνος επεξεργασίας δεν υποχρεούται να διατηρεί, να αποκτά ή να επεξεργάζεται συμπληρωματικές πληροφορίες για την εξακρίβωση της ταυτότητας του υποκειμένου των δεδομένων αποκλειστικά και μόνο για τον σκοπό της συμμόρφωσης προς τον παρόντα κανονισμό.

2.   Όταν, στις περιπτώσεις που αναφέρονται στην παράγραφο 1 του παρόντος άρθρου, ο υπεύθυνος επεξεργασίας μπορεί να αποδείξει ότι δεν είναι σε θέση να εξακριβώσει την ταυτότητα του υποκειμένου των δεδομένων, ο υπεύθυνος επεξεργασίας ενημερώνει σχετικά το υποκείμενο των δεδομένων, εάν είναι δυνατόν. Στις περιπτώσεις αυτές, τα άρθρα 17 ως 22 δεν εφαρμόζονται, εκτός εάν το υποκείμενο των δεδομένων, για τον σκοπό της άσκησης των δικαιωμάτων του που απορρέουν από τα εν λόγω άρθρα, παρέχει συμπληρωματικές πληροφορίες που επιτρέπουν την εξακρίβωση της ταυτότητάς του.

1.   Ο υπεύθυνος επεξεργασίας λαμβάνει τα κατάλληλα μέτρα για να παρέχει στο υποκείμενο των δεδομένων κάθε πληροφορία που αναφέρεται στα άρθρα 15 και 16 και κάθε ανακοίνωση στο πλαίσιο των άρθρων 17 έως 24 και του άρθρου 35 σχετικά με την επεξεργασία σε συνοπτική, διαφανή, κατανοητή και εύκολα προσβάσιμη μορφή, χρησιμοποιώντας σαφή και απλή διατύπωση, ιδίως όταν πρόκειται για πληροφορία απευθυνόμενη ειδικά σε παιδιά. Οι πληροφορίες παρέχονται γραπτώς ή με άλλα μέσα, μεταξύ άλλων, εφόσον ενδείκνυται, ηλεκτρονικώς. Όταν ζητείται από το υποκείμενο των δεδομένων, οι πληροφορίες μπορούν να δίνονται προφορικά, υπό την προϋπόθεση ότι η ταυτότητα του υποκειμένου των δεδομένων είναι αποδεδειγμένη με άλλα μέσα.

2.   Ο υπεύθυνος επεξεργασίας διευκολύνει την άσκηση των δικαιωμάτων των υποκειμένων των δεδομένων που προβλέπονται στα άρθρα 17 έως 24. Στις περιπτώσεις που προβλέπονται στο άρθρο 12 παράγραφος 2, ο υπεύθυνος επεξεργασίας δεν αρνείται να ενεργήσει κατόπιν αιτήσεως του υποκειμένου των δεδομένων για να ασκήσει τα δικαιώματά του βάσει των άρθρων 17 έως 24, εκτός αν ο υπεύθυνος επεξεργασίας αποδείξει ότι δεν είναι σε θέση να εξακριβώσει την ταυτότητα του υποκειμένου των δεδομένων.

3.   Ο υπεύθυνος επεξεργασίας παρέχει στο υποκείμενο των δεδομένων πληροφορίες για την ενέργεια που πραγματοποιείται κατόπιν αιτήματος δυνάμει των άρθρων 17 έως 24 χωρίς καθυστέρηση και σε κάθε περίπτωση εντός μηνός από την παραλαβή του αιτήματος. Η εν λόγω προθεσμία μπορεί να παραταθεί κατά δύο ακόμη μήνες, εφόσον απαιτείται, λαμβανομένων υπόψη της πολυπλοκότητας του αιτήματος και του αριθμού των αιτημάτων. Ο υπεύθυνος επεξεργασίας ενημερώνει το υποκείμενο των δεδομένων για την εν λόγω παράταση εντός μηνός από την παραλαβή του αιτήματος, καθώς και για τους λόγους της καθυστέρησης. Εάν το υποκείμενο των δεδομένων υποβάλλει το αίτημα με ηλεκτρονικά μέσα, η ενημέρωση παρέχεται, εάν είναι δυνατόν, με ηλεκτρονικά μέσα, εκτός εάν το υποκείμενο των δεδομένων ζητήσει κάτι διαφορετικό.

4.   Εάν ο υπεύθυνος επεξεργασίας δεν ενεργήσει επί του αιτήματος του υποκειμένου των δεδομένων, ο υπεύθυνος επεξεργασίας ενημερώνει το υποκείμενο των δεδομένων, χωρίς καθυστέρηση και το αργότερο εντός μηνός από την παραλαβή του αιτήματος, για τους λόγους για τους οποίους δεν ενήργησε και για τη δυνατότητα υποβολής καταγγελίας στον Ευρωπαίο Επόπτη Προστασίας Δεδομένων και άσκησης δικαστικής προσφυγής.

5.   Οι πληροφορίες που παρέχονται σύμφωνα με τα άρθρα 15 και 16 και κάθε ανακοίνωση, καθώς και όλες οι ενέργειες που αναλαμβάνονται σύμφωνα με τα άρθρα 17 έως 24 και το άρθρο 35 παρέχονται δωρεάν. Εάν τα αιτήματα του υποκειμένου των δεδομένων είναι προδήλως αβάσιμα ή υπερβολικά, ιδίως λόγω του επαναλαμβανόμενου χαρακτήρα τους, ο υπεύθυνος επεξεργασίας μπορεί να αρνηθεί να ανταποκριθεί στο αίτημα. Ο υπεύθυνος επεξεργασίας φέρει το βάρος απόδειξης του προδήλως αβάσιμου ή του υπερβολικού χαρακτήρα του αιτήματος.

6.   Με την επιφύλαξη του άρθρου 12, όταν ο υπεύθυνος επεξεργασίας έχει εύλογες αμφιβολίες σχετικά με την ταυτότητα του φυσικού προσώπου που υποβάλλει το αίτημα που αναφέρεται στα άρθρα 17 έως 23, ο υπεύθυνος επεξεργασίας μπορεί να ζητήσει την παροχή πρόσθετων πληροφοριών αναγκαίων για την επιβεβαίωση της ταυτότητας του υποκειμένου των δεδομένων.

7.   Οι πληροφορίες που πρέπει να παρέχονται στα υποκείμενα των δεδομένων σύμφωνα με τα άρθρα 15 και 16 μπορούν να παρέχονται σε συνδυασμό με τυποποιημένα εικονίδια προκειμένου να δίνεται με ευδιάκριτο, κατανοητό και ευανάγνωστο τρόπο μια ουσιαστική επισκόπηση της σκοπούμενης επεξεργασίας. Εάν τα εικονίδια διατίθενται ηλεκτρονικά, είναι μηχανικώς αναγνώσιμα.

8.   Όταν η Επιτροπή εκδώσει κατ’ εξουσιοδότηση πράξεις σύμφωνα με το άρθρο 12 παράγραφος 8 του κανονισμού (ΕΕ) 2016/679 για τον καθορισμό των πληροφοριών που πρέπει να παρουσιάζονται με τα εικονίδια και των διαδικασιών για την παροχή τυποποιημένων εικονιδίων, τα όργανα και οι οργανισμοί της Ένωσης παρέχουν, όπου ενδείκνυται, τις πληροφορίες που προβλέπονται στα άρθρα 15 και 16 του παρόντος κανονισμού σε συνδυασμό με τα εν λόγω τυποποιημένα εικονίδια.

1.   Όταν δεδομένα προσωπικού χαρακτήρα που αφορούν υποκείμενο δεδομένων συλλέγονται από το υποκείμενο των δεδομένων, ο υπεύθυνος επεξεργασίας, κατά τη λήψη των δεδομένων προσωπικού χαρακτήρα, παρέχει στο υποκείμενο των δεδομένων όλες τις ακόλουθες πληροφορίες:

2.   Εκτός από τις πληροφορίες που αναφέρονται στην παράγραφο 1, ο υπεύθυνος επεξεργασίας, κατά τη λήψη των δεδομένων προσωπικού χαρακτήρα, παρέχει στο υποκείμενο των δεδομένων τις εξής πρόσθετες πληροφορίες που είναι αναγκαίες για τη διασφάλιση θεμιτής και διαφανούς επεξεργασίας:

3.   Όταν ο υπεύθυνος επεξεργασίας προτίθεται να επεξεργαστεί περαιτέρω τα δεδομένα προσωπικού χαρακτήρα για άλλο σκοπό από εκείνο για τον οποίο τα δεδομένα προσωπικού χαρακτήρα συλλέχθηκαν, ο υπεύθυνος επεξεργασίας παρέχει στο υποκείμενο των δεδομένων, πριν από την εν λόγω περαιτέρω επεξεργασία, πληροφορίες για τον εν λόγω άλλο σκοπό και άλλες τυχόν αναγκαίες πληροφορίες, όπως αναφέρεται στην παράγραφο 2.

4.   Οι παράγραφοι 1, 2 και 3 δεν εφαρμόζονται, όταν και εφόσον το υποκείμενο των δεδομένων έχει ήδη τις πληροφορίες.

1.   Όταν τα δεδομένα προσωπικού χαρακτήρα δεν έχουν συλλεχθεί από το υποκείμενο των δεδομένων, ο υπεύθυνος επεξεργασίας παρέχει στο υποκείμενο των δεδομένων τις ακόλουθες πληροφορίες:

2.   Εκτός από τις πληροφορίες που αναφέρονται στην παράγραφο 1, ο υπεύθυνος επεξεργασίας παρέχει στο υποκείμενο των δεδομένων τις εξής πρόσθετες πληροφορίες που είναι αναγκαίες για τη διασφάλιση θεμιτής και διαφανούς επεξεργασίας όσον αφορά το υποκείμενο των δεδομένων:

3.   Ο υπεύθυνος επεξεργασίας παρέχει τις πληροφορίες που αναφέρονται στις παραγράφους 1 και 2:

4.   Όταν ο υπεύθυνος επεξεργασίας προτίθεται να επεξεργαστεί περαιτέρω τα δεδομένα προσωπικού χαρακτήρα για σκοπό άλλο από εκείνον για τον οποίο τα δεδομένα προσωπικού χαρακτήρα συλλέχθηκαν, ο υπεύθυνος επεξεργασίας παρέχει στο υποκείμενο των δεδομένων, πριν από την εν λόγω περαιτέρω επεξεργασία, πληροφορίες για τον εν λόγω άλλο σκοπό και άλλες τυχόν αναγκαίες πληροφορίες, όπως αναφέρεται στην παράγραφο 2.

5.   Οι παράγραφοι 1 έως 4 δεν εφαρμόζονται εάν και εφόσον:

6.   Στις περιπτώσεις που αναφέρονται στην παράγραφο 5 στοιχείο β), ο υπεύθυνος επεξεργασίας λαμβάνει τα κατάλληλα μέτρα για την προστασία των δικαιωμάτων και ελευθεριών καθώς και του έννομου συμφέροντος του υποκειμένου των δεδομένων, μεταξύ άλλων καθιστώντας τις πληροφορίες διαθέσιμες στο κοινό.

1.   Το υποκείμενο των δεδομένων έχει το δικαίωμα να λαμβάνει από τον υπεύθυνο επεξεργασίας επιβεβαίωση για το κατά πόσον ή όχι τα δεδομένα προσωπικού χαρακτήρα που το αφορούν υφίστανται επεξεργασία και, εάν συμβαίνει τούτο, το δικαίωμα πρόσβασης στα δεδομένα προσωπικού χαρακτήρα και στις ακόλουθες πληροφορίες:

2.   Όταν δεδομένα προσωπικού χαρακτήρα διαβιβάζονται σε τρίτη χώρα ή σε διεθνή οργανισμό, το υποκείμενο των δεδομένων έχει το δικαίωμα να ενημερώνεται για τις κατάλληλες εγγυήσεις σύμφωνα με το άρθρο 48 σχετικά με τη διαβίβαση.

3.   Ο υπεύθυνος επεξεργασίας παρέχει αντίγραφο των δεδομένων προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία. Εάν το υποκείμενο των δεδομένων υποβάλλει το αίτημα με ηλεκτρονικά μέσα και εκτός εάν το υποκείμενο των δεδομένων ζητήσει κάτι διαφορετικό, η ενημέρωση παρέχεται σε ηλεκτρονική μορφή που χρησιμοποιείται συνήθως.

4.   Το δικαίωμα να λαμβάνεται αντίγραφο που αναφέρεται στην παράγραφο 3 δεν επηρεάζει δυσμενώς τα δικαιώματα και τις ελευθερίες άλλων.

1.   Το υποκείμενο των δεδομένων έχει το δικαίωμα να απαιτήσει από τον υπεύθυνο επεξεργασίας τη διαγραφή δεδομένων προσωπικού χαρακτήρα που το αφορούν χωρίς αδικαιολόγητη καθυστέρηση και ο υπεύθυνος επεξεργασίας υποχρεούται να διαγράψει δεδομένα προσωπικού χαρακτήρα χωρίς αδικαιολόγητη καθυστέρηση, εάν ισχύει ένας από τους ακόλουθους λόγους:

2.   Όταν ο υπεύθυνος επεξεργασίας έχει δημοσιοποιήσει τα δεδομένα προσωπικού χαρακτήρα και υποχρεούται σύμφωνα με την παράγραφο 1 να διαγράψει τα δεδομένα προσωπικού χαρακτήρα, ο υπεύθυνος επεξεργασίας, λαμβάνοντας υπόψη τη διαθέσιμη τεχνολογία και το κόστος εφαρμογής, λαμβάνει εύλογα μέτρα, συμπεριλαμβανομένων των τεχνικών μέτρων, για να ενημερώσει τους υπεύθυνους επεξεργασίας ή υπεύθυνους επεξεργασίας που δεν είναι όργανα και οργανισμοί της Ένωσης, οι οποίοι επεξεργάζονται τα δεδομένα προσωπικού χαρακτήρα, ότι το υποκείμενο των δεδομένων ζήτησε τη διαγραφή από αυτούς τους υπευθύνους επεξεργασίας τυχόν συνδέσμων με τα δεδομένα αυτά ή αντιγράφων ή αναπαραγωγών των εν λόγω δεδομένων προσωπικού χαρακτήρα.

3.   Οι παράγραφοι 1 και 2 δεν εφαρμόζονται στον βαθμό που η επεξεργασία είναι απαραίτητη:

1.   Το υποκείμενο των δεδομένων δικαιούται να εξασφαλίζει από τον υπεύθυνο επεξεργασίας τον περιορισμό της επεξεργασίας, όταν ισχύει ένα από τα ακόλουθα:

2.   Όταν η επεξεργασία έχει περιοριστεί σύμφωνα με την παράγραφο 1, τα εν λόγω δεδομένα προσωπικού χαρακτήρα, εκτός της αποθήκευσης, υφίστανται επεξεργασία μόνο με τη συγκατάθεση του υποκειμένου των δεδομένων ή για τη θεμελίωση, άσκηση ή υποστήριξη νομικών αξιώσεων ή για την προστασία των δικαιωμάτων άλλου φυσικού ή νομικού προσώπου ή για λόγους σημαντικού δημόσιου συμφέροντος της Ένωσης ή κράτους μέλους.

3.   Το υποκείμενο των δεδομένων το οποίο έχει εξασφαλίσει τον περιορισμό της επεξεργασίας σύμφωνα με την παράγραφο 1 ενημερώνεται από τον υπεύθυνο επεξεργασίας πριν από την άρση του περιορισμού επεξεργασίας.

4.   Στα συστήματα αυτοματοποιημένης αρχειοθέτησης, ο περιορισμός της επεξεργασίας εξασφαλίζεται καταρχήν με τεχνικά μέσα. Το γεγονός ότι τα δεδομένα προσωπικού χαρακτήρα υπόκεινται σε περιορισμό αναγράφεται στο σύστημα κατά τρόπο ώστε να καθίσταται σαφές ότι τα δεδομένα αυτά δεν επιτρέπεται να χρησιμοποιηθούν.

1.   Το υποκείμενο των δεδομένων έχει το δικαίωμα να λαμβάνει τα δεδομένα προσωπικού χαρακτήρα που το αφορούν και τα οποία έχει παράσχει σε υπεύθυνο επεξεργασίας, σε δομημένο, κοινώς χρησιμοποιούμενο και αναγνώσιμο από μηχανήματα μορφότυπο, καθώς και το δικαίωμα να διαβιβάζει τα εν λόγω δεδομένα σε άλλον υπεύθυνο επεξεργασίας χωρίς αντίρρηση από τον υπεύθυνο επεξεργασίας στον οποίο παρασχέθηκαν τα δεδομένα προσωπικού χαρακτήρα, όταν:

2.   Κατά την άσκηση του δικαιώματος στη φορητότητα των δεδομένων σύμφωνα με την παράγραφο 1, το υποκείμενο των δεδομένων έχει το δικαίωμα να ζητά την απευθείας διαβίβαση των δεδομένων προσωπικού χαρακτήρα από έναν υπεύθυνο επεξεργασίας σε άλλον ή σε υπεύθυνους επεξεργασίας που δεν είναι όργανα και οργανισμοί της Ένωσης, σε περίπτωση που αυτό είναι τεχνικά εφικτό.

3.   Το δικαίωμα που αναφέρεται στην παράγραφο 1 του παρόντος άρθρου ασκείται με την επιφύλαξη του άρθρου 19. Το εν λόγω δικαίωμα δεν ισχύει για την επεξεργασία που είναι απαραίτητη για την εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας που έχει ανατεθεί στον υπεύθυνο επεξεργασίας.

4.   Το δικαίωμα που αναφέρεται στην παράγραφο 1 δεν επηρεάζει δυσμενώς τα δικαιώματα και τις ελευθερίες άλλων.

1.   Το υποκείμενο των δεδομένων δικαιούται να εναντιώνεται, ανά πάσα στιγμή και για λόγους που σχετίζονται με την ιδιαίτερη κατάστασή του, στην επεξεργασία δεδομένων προσωπικού χαρακτήρα που το αφορούν η οποία βασίζεται στο άρθρο 5 παράγραφος 1 στοιχείο α), περιλαμβανομένης της κατάρτισης προφίλ βάσει της εν λόγω διάταξης. Ο υπεύθυνος επεξεργασίας δεν υποβάλλει πλέον τα δεδομένα προσωπικού χαρακτήρα σε επεξεργασία, εκτός εάν ο υπεύθυνος επεξεργασίας καταδείξει επιτακτικούς και νόμιμους λόγους για την επεξεργασία οι οποίοι υπερισχύουν των συμφερόντων, των δικαιωμάτων και των ελευθεριών του υποκειμένου των δεδομένων ή για τη θεμελίωση, άσκηση ή υποστήριξη νομικών αξιώσεων.

2.   Το αργότερο κατά την πρώτη επικοινωνία με το υποκείμενο των δεδομένων, το δικαίωμα που αναφέρεται στην παράγραφο 1 επισημαίνεται ρητώς στο υποκείμενο των δεδομένων και περιγράφεται με σαφήνεια και χωριστά από οποιαδήποτε άλλη πληροφορία.

3.   Με την επιφύλαξη των άρθρων 36 και 37, στο πλαίσιο της χρήσης υπηρεσιών της κοινωνίας των πληροφοριών, το υποκείμενο των δεδομένων μπορεί να ασκεί το δικαίωμά του εναντίωσης με αυτοματοποιημένα μέσα τα οποία χρησιμοποιούν τεχνικές προδιαγραφές.

4.   Όταν δεδομένα προσωπικού χαρακτήρα υφίστανται επεξεργασία για σκοπούς επιστημονικής ή ιστορικής έρευνας ή για στατιστικούς σκοπούς, το υποκείμενο των δεδομένων δικαιούται να εναντιωθεί, για λόγους που σχετίζονται με την ιδιαίτερη κατάστασή του, στην επεξεργασία των δεδομένων προσωπικού χαρακτήρα που το αφορούν, εκτός εάν η επεξεργασία είναι απαραίτητη για την εκπλήρωση καθήκοντος που εκτελείται για λόγους δημόσιου συμφέροντος.

1.   Το υποκείμενο των δεδομένων έχει το δικαίωμα να μην υπόκειται σε απόφαση που λαμβάνεται αποκλειστικά βάσει αυτοματοποιημένης επεξεργασίας, συμπεριλαμβανομένης της κατάρτισης προφίλ, η οποία παράγει έννομα αποτελέσματα που το αφορούν ή το επηρεάζει σημαντικά με παρόμοιο τρόπο.

2.   Η παράγραφος 1 δεν εφαρμόζεται όταν η απόφαση:

3.   Στις περιπτώσεις που αναφέρονται στην παράγραφο 2 στοιχεία α) και γ), ο υπεύθυνος επεξεργασίας των δεδομένων εφαρμόζει κατάλληλα μέτρα για την προστασία των δικαιωμάτων, των ελευθεριών και των έννομων συμφερόντων του υποκειμένου των δεδομένων, τουλάχιστον του δικαιώματος εξασφάλισης ανθρώπινης παρέμβασης από την πλευρά του υπεύθυνου επεξεργασίας, έκφρασης άποψης και αμφισβήτησης της απόφασης.

4.   Οι αποφάσεις που αναφέρονται στην παράγραφο 2 του παρόντος άρθρου δεν βασίζονται στις ειδικές κατηγορίες δεδομένων προσωπικού χαρακτήρα που αναφέρονται στο άρθρο 10 παράγραφος 1, εκτός αν ισχύει το άρθρο 10 παράγραφος 2 στοιχείο α) ή ζ) και αν υφίστανται κατάλληλα μέτρα για την προστασία των δικαιωμάτων, των ελευθεριών και των έννομων συμφερόντων του υποκειμένου των δεδομένων.

1.   Νομικές πράξεις που εκδίδονται βάσει των Συνθηκών ή, σε θέματα που άπτονται της λειτουργίας των οργάνων και οργανισμών της Ένωσης, βάσει των εσωτερικών κανονισμών των τελευταίων μπορεί να περιορίζουν την εφαρμογή των άρθρων 14 έως 22 και των άρθρων 35 και 36, καθώς και του άρθρου 4, εφόσον οι διατάξεις του αντιστοιχούν στα δικαιώματα και τις υποχρεώσεις που προβλέπονται στα άρθρα 14 έως 22, όταν ένας τέτοιος περιορισμός σέβεται την ουσία των θεμελιωδών δικαιωμάτων και ελευθεριών και συνιστά αναγκαίο και αναλογικό μέτρο σε μια δημοκρατική κοινωνία για τη διασφάλιση:

2.   Ειδικότερα, κάθε νομική πράξη ή εσωτερικός κανονισμός που αναφέρεται στην παράγραφο 1 περιέχει συγκεκριμένες διατάξεις, ανάλογα με την περίπτωση, όσον αφορά:

3.   Όταν δεδομένα προσωπικού χαρακτήρα υφίστανται επεξεργασία για σκοπούς επιστημονικής ή ιστορικής έρευνας ή για στατιστικούς σκοπούς, το δίκαιο της Ένωσης, στο οποίο μπορεί να περιλαμβάνονται και εσωτερικοί κανονισμοί που θεσπίστηκαν από όργανα και οργανισμούς της Ένωσης για ζητήματα που αφορούν τη λειτουργία τους, μπορεί να προβλέπει παρεκκλίσεις από τα δικαιώματα που αναφέρονται στα άρθρα 17, 18, 20 και 23, με την επιφύλαξη των προϋποθέσεων και των εγγυήσεων που αναφέρονται στο άρθρο 13, εφόσον τα εν λόγω δικαιώματα είναι πιθανό να καταστήσουν αδύνατη ή να παρακωλύσουν σοβαρά την επίτευξη των ειδικών σκοπών και εφόσον οι εν λόγω παρεκκλίσεις είναι απαραίτητες για την εκπλήρωση των εν λόγω σκοπών.

4.   Όταν δεδομένα προσωπικού χαρακτήρα υφίστανται επεξεργασία για σκοπούς αρχειοθέτησης προς το δημόσιο συμφέρον, το δίκαιο της Ένωσης, στο οποίο μπορεί να περιλαμβάνονται και εσωτερικοί κανονισμοί που θεσπίστηκαν από όργανα και οργανισμούς της Ένωσης για ζητήματα που αφορούν τη λειτουργία τους, μπορεί να προβλέπει παρεκκλίσεις από τα δικαιώματα που αναφέρονται στα άρθρα 17, 18, 20, 21, 22 και 23, με την επιφύλαξη των προϋποθέσεων και των εγγυήσεων που αναφέρονται στο άρθρο 13, εφόσον τα εν λόγω δικαιώματα είναι πιθανό να καταστήσουν αδύνατη ή να παρακωλύσουν σοβαρά την επίτευξη των ειδικών σκοπών και εφόσον οι εν λόγω παρεκκλίσεις είναι απαραίτητες για την εκπλήρωση των εν λόγω σκοπών.

5.   Οι εσωτερικοί κανονισμοί που αναφέρονται στις παραγράφους 1, 3 και 4 είναι πράξεις γενικής εφαρμογής διατυπωμένες με σαφήνεια και ακρίβεια που προορίζονται να παραγάγουν έννομα αποτελέσματα έναντι των υποκειμένων των δεδομένων, έχουν θεσπιστεί στο ανώτατο διοικητικό επίπεδο των οργάνων και οργανισμών της Ένωσης και αποτελούν αντικείμενο δημοσίευσης στην Επίσημη Εφημερίδα της Ευρωπαϊκής Ένωσης.

6.   Όταν επιβάλλεται περιορισμός σύμφωνα με την παράγραφο 1, το υποκείμενο των δεδομένων ενημερώνεται, σύμφωνα με το δίκαιο της Ένωσης, για τους ουσιώδεις λόγους που αιτιολογούν τον περιορισμό αυτό, καθώς και για το δικαίωμά του να υποβάλει καταγγελία στον Ευρωπαίο Επόπτη Προστασίας Δεδομένων.

7.   Όταν γίνεται επίκληση περιορισμού που έχει επιβληθεί σύμφωνα με την παράγραφο 1 για να απαγορευθεί η πρόσβαση στο υποκείμενο των δεδομένων, ο Ευρωπαίος Επόπτης Προστασίας Δεδομένων του γνωστοποιεί απλώς, όταν εξετάζει την καταγγελία, εάν η επεξεργασία των δεδομένων έγινε με τον προσήκοντα τρόπο και, εάν όχι, για το κατά πόσον πραγματοποιήθηκαν όλες οι αναγκαίες διορθώσεις.

8.   Η ενημέρωση που προβλέπεται στις παραγράφους 6 και 7 του παρόντος άρθρου και στο άρθρο 45 παράγραφος 2 μπορεί να αναβάλλεται, να παραλείπεται ή να απορρίπτεται εφόσον στερεί από τον περιορισμό που επιβάλλεται βάσει της παραγράφου 1 του παρόντος άρθρου την ισχύ του.

1.   Λαμβάνοντας υπόψη τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας, καθώς και τους κινδύνους διαφορετικής πιθανότητας επέλευσης και σοβαρότητας για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, ο υπεύθυνος επεξεργασίας εφαρμόζει κατάλληλα τεχνικά και οργανωτικά μέτρα προκειμένου να διασφαλίζει και να μπορεί να αποδεικνύει ότι η επεξεργασία διενεργείται σύμφωνα με τον παρόντα κανονισμό. Τα εν λόγω μέτρα επανεξετάζονται και επικαιροποιούνται όταν κρίνεται απαραίτητο.

2.   Όταν δικαιολογείται σε σχέση με τις δραστηριότητες επεξεργασίας, τα μέτρα που αναφέρονται στην παράγραφο 1 περιλαμβάνουν την εφαρμογή κατάλληλων πολιτικών για την προστασία των δεδομένων από τον υπεύθυνο επεξεργασίας.

3.   Η εφαρμογή εγκεκριμένων διαδικασιών πιστοποίησης κατά τα προβλεπόμενα στο άρθρο 42 του κανονισμού (ΕΕ) 2016/679 μπορεί να χρησιμοποιηθεί ως στοιχείο για να αποδειχθεί η τήρηση των υποχρεώσεων του υπευθύνου επεξεργασίας.

1.   Λαμβάνοντας υπόψη τις τελευταίες εξελίξεις, το κόστος εφαρμογής και τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας, καθώς και τους κινδύνους διαφορετικής πιθανότητας επέλευσης και σοβαρότητας για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων από την επεξεργασία, ο υπεύθυνος επεξεργασίας εφαρμόζει αποτελεσματικά, τόσο κατά τη στιγμή του καθορισμού των μέσων επεξεργασίας όσο και κατά τη στιγμή της επεξεργασίας, κατάλληλα τεχνικά και οργανωτικά μέτρα, όπως η ψευδωνυμοποίηση, σχεδιασμένα για την εφαρμογή αρχών προστασίας των δεδομένων, όπως η ελαχιστοποίηση των δεδομένων, και την ενσωμάτωση των απαραίτητων εγγυήσεων στην επεξεργασία κατά τρόπο ώστε να πληρούνται οι απαιτήσεις του παρόντος κανονισμού και να προστατεύονται τα δικαιώματα των υποκειμένων των δεδομένων.

2.   Ο υπεύθυνος επεξεργασίας εφαρμόζει κατάλληλα τεχνικά και οργανωτικά μέτρα για να διασφαλίζει ότι, εξ ορισμού, υφίστανται επεξεργασία μόνο τα δεδομένα προσωπικού χαρακτήρα που είναι απαραίτητα για τον εκάστοτε σκοπό της επεξεργασίας. Αυτή η υποχρέωση ισχύει για το εύρος των δεδομένων προσωπικού χαρακτήρα που συλλέγονται, τον βαθμό της επεξεργασίας τους, την περίοδο αποθήκευσης και την προσβασιμότητά τους. Ειδικότερα, τα εν λόγω μέτρα διασφαλίζουν ότι, εξ ορισμού, τα δεδομένα προσωπικού χαρακτήρα δεν καθίστανται προσβάσιμα χωρίς την παρέμβαση του φυσικού προσώπου σε αόριστο αριθμό φυσικών προσώπων.

3.   Εγκεκριμένη διαδικασία πιστοποίησης σύμφωνα με το άρθρο 42 του κανονισμού (ΕΕ) 2016/679 μπορεί να χρησιμοποιηθεί ως στοιχείο που αποδεικνύει τη συμμόρφωση με τις απαιτήσεις που προβλέπονται στις παραγράφους 1 και 2 του παρόντος άρθρου.

1.   Σε περίπτωση που δύο ή περισσότεροι υπεύθυνοι επεξεργασίας ή ένας ή περισσότεροι υπεύθυνοι επεξεργασίας με έναν ή περισσότερους υπεύθυνους επεξεργασίας που δεν είναι όργανα και οργανισμοί της Ένωσης καθορίζουν από κοινού τους σκοπούς και τα μέσα της επεξεργασίας, αποτελούν από κοινού υπεύθυνους επεξεργασίας. Αυτοί καθορίζουν με διαφανή τρόπο τις αντίστοιχες ευθύνες τους για συμμόρφωση προς τις υποχρεώσεις που υπέχουν στον τομέα της προστασίας των δεδομένων, ιδίως όσον αφορά την άσκηση των δικαιωμάτων του υποκειμένου των δεδομένων και τα αντίστοιχα καθήκοντά τους όσον αφορά την παροχή των πληροφοριών που αναφέρονται στα άρθρα 15 και 16, μέσω συμφωνίας μεταξύ τους, εκτός εάν και στον βαθμό που οι αντίστοιχες αρμοδιότητες των από κοινού υπευθύνων επεξεργασίας καθορίζονται από το δίκαιο της Ένωσης ή το δίκαιο του κράτους μέλους στο οποίο υπόκεινται οι από κοινού υπεύθυνοι επεξεργασίας. Στη συμφωνία μπορεί να αναφέρεται ένα σημείο επικοινωνίας για τα υποκείμενα των δεδομένων.

2.   Η συμφωνία που αναφέρεται στην παράγραφο 1 αντανακλά δεόντως τους αντίστοιχους ρόλους και σχέσεις των από κοινού υπευθύνων επεξεργασίας έναντι των υποκειμένων των δεδομένων. Η ουσία της συμφωνίας τίθεται στη διάθεση του υποκειμένου των δεδομένων.

3.   Ανεξάρτητα από τους όρους της συμφωνίας που αναφέρεται στην παράγραφο 1, το υποκείμενο των δεδομένων μπορεί να ασκήσει τα δικαιώματά του δυνάμει του παρόντος κανονισμού έναντι και κατά καθενός από τους υπευθύνους επεξεργασίας.

1.   Όταν η επεξεργασία πρόκειται να διενεργηθεί για λογαριασμό υπεύθυνου επεξεργασίας, ο υπεύθυνος επεξεργασίας χρησιμοποιεί μόνο εκτελούντες την επεξεργασία που παρέχουν επαρκείς εγγυήσεις για την εφαρμογή κατάλληλων τεχνικών και οργανωτικών μέτρων, κατά τρόπο ώστε η επεξεργασία να πληροί τις απαιτήσεις του παρόντος κανονισμού και να διασφαλίζεται η προστασία των δικαιωμάτων του υποκειμένου των δεδομένων.

2.   Ο εκτελών την επεξεργασία δεν προσλαμβάνει άλλον εκτελούντα την επεξεργασία χωρίς προηγούμενη ειδική ή γενική γραπτή άδεια του υπεύθυνου επεξεργασίας. Σε περίπτωση γενικής γραπτής άδειας, ο εκτελών την επεξεργασία ενημερώνει τον υπεύθυνο επεξεργασίας για τυχόν σκοπούμενες αλλαγές που αφορούν την προσθήκη ή την αντικατάσταση άλλων εκτελούντων την επεξεργασία, παρέχοντας με τον τρόπο αυτό τη δυνατότητα στον υπεύθυνο επεξεργασίας να αντιταχθεί σε αυτές τις αλλαγές.

3.   Η επεξεργασία από τον εκτελούντα την επεξεργασία διέπεται από σύμβαση ή άλλη νομική πράξη υπαγόμενη στο δίκαιο της Ένωσης ή κράτους μέλους που δεσμεύει τον εκτελούντα την επεξεργασία σε σχέση με τον υπεύθυνο επεξεργασίας και καθορίζει το αντικείμενο και τη διάρκεια της επεξεργασίας, τη φύση και τον σκοπό της επεξεργασίας, το είδος των δεδομένων προσωπικού χαρακτήρα και τις κατηγορίες των υποκειμένων των δεδομένων και τις υποχρεώσεις και τα δικαιώματα του υπεύθυνου επεξεργασίας. Η εν λόγω σύμβαση ή άλλη νομική πράξη προβλέπει ειδικότερα ότι ο εκτελών την επεξεργασία:

Όσον αφορά το πρώτο εδάφιο στοιχείο η), ο εκτελών την επεξεργασία ενημερώνει αμέσως τον υπεύθυνο επεξεργασίας, εάν, κατά την άποψή του, κάποια εντολή παραβιάζει τον παρόντα κανονισμό ή άλλες ενωσιακές ή εθνικές διατάξεις περί προστασίας δεδομένων.

4.   Όταν ο εκτελών την επεξεργασία προσλαμβάνει άλλον εκτελούντα για τη διενέργεια συγκεκριμένων δραστηριοτήτων επεξεργασίας για λογαριασμό του υπεύθυνου επεξεργασίας, οι ίδιες υποχρεώσεις όσον αφορά την προστασία των δεδομένων που προβλέπονται στη σύμβαση ή στην άλλη νομική πράξη μεταξύ του υπεύθυνου επεξεργασίας και του εκτελούντος την επεξεργασία, κατά τα προβλεπόμενα στην παράγραφο 3, επιβάλλονται στον άλλον αυτόν εκτελούντα μέσω σύμβασης ή άλλης νομικής πράξης σύμφωνα με το δίκαιο της Ένωσης ή κράτους μέλους, ιδίως ώστε να παρέχονται επαρκείς εγγυήσεις για την εφαρμογή κατάλληλων τεχνικών και οργανωτικών μέτρων, ούτως ώστε η επεξεργασία να πληροί τις απαιτήσεις του παρόντος κανονισμού. Όταν ο άλλος εκτελών επεξεργασία αδυνατεί να ανταποκριθεί στις σχετικές με την προστασία των δεδομένων υποχρεώσεις του, ο αρχικός εκτελών παραμένει πλήρως υπόλογος έναντι του υπεύθυνου επεξεργασίας για την εκπλήρωση των υποχρεώσεων του άλλου εκτελούντος επεξεργασία.

5.   Όταν ο εκτελών την επεξεργασία δεν είναι όργανο ή οργανισμός της Ένωσης, η τήρηση εκ μέρους του εγκεκριμένου κώδικα δεοντολογίας κατά τα προβλεπόμενα στο άρθρο 40 παράγραφος 5 του κανονισμού (ΕΕ) 2016/679 ή εγκεκριμένου μηχανισμού πιστοποίησης κατά τα προβλεπόμενα στο άρθρο 42 του κανονισμού (ΕΕ) 2016/679 δύναται να χρησιμοποιηθεί ως στοιχείο για να αποδειχθεί ότι παρέχει επαρκείς εγγυήσεις σύμφωνα με τις παραγράφους 1 και 4 του παρόντος άρθρου.

6.   Με την επιφύλαξη τυχόν ατομικής σύμβασης μεταξύ του υπεύθυνου επεξεργασίας και του εκτελούντος την επεξεργασία, η σύμβαση ή η άλλη νομική πράξη που αναφέρεται στις παραγράφους 3 και 4 του παρόντος άρθρου μπορεί να βασίζεται, εν όλω ή εν μέρει, σε τυποποιημένες συμβατικές ρήτρες που αναφέρονται στις παραγράφους 7 και 8 του παρόντος άρθρου, μεταξύ άλλων όταν αποτελούν μέρος πιστοποίησης που χορηγείται στον εκτελούντα την επεξεργασία ο οποίος δεν είναι όργανο ή οργανισμός της Ένωσης σύμφωνα με το άρθρο 42 του κανονισμού (ΕΕ) 2016/679.

7.   Η Επιτροπή μπορεί να θεσπίσει τυποποιημένες συμβατικές ρήτρες για τα θέματα που αναφέρονται στις παραγράφους 3 και 4 του παρόντος άρθρου και σύμφωνα με τη διαδικασία εξέτασης που αναφέρεται στο άρθρο 96 παράγραφος 2.

8.   Ο Ευρωπαίος Επόπτης Προστασίας Δεδομένων μπορεί να θεσπίσει τυποποιημένες συμβατικές ρήτρες για τα θέματα που αναφέρονται στις παραγράφους 3 και 4.

9.   Η σύμβαση ή η άλλη νομική πράξη που αναφέρεται στις παραγράφους 3 και 4 είναι έγγραφη, συμπεριλαμβανομένης της ηλεκτρονικής μορφής.

10.   Με την επιφύλαξη των άρθρων 65 και 66, εάν ο εκτελών την επεξεργασία καθορίσει κατά παράβαση του παρόντος κανονισμού τους σκοπούς και τα μέσα της επεξεργασίας, ο εκτελών την επεξεργασία θεωρείται υπεύθυνος επεξεργασίας για τη συγκεκριμένη επεξεργασία.

1.   Κάθε υπεύθυνος επεξεργασίας τηρεί αρχείο των δραστηριοτήτων επεξεργασίας για τις οποίες είναι υπεύθυνος. Το εν λόγω αρχείο περιλαμβάνει όλες τις ακόλουθες πληροφορίες:

2.   Κάθε εκτελών επεξεργασία τηρεί αρχείο όλων των κατηγοριών δραστηριοτήτων επεξεργασίας που διεξάγονται εκ μέρους του υπεύθυνου επεξεργασίας, το οποίο περιλαμβάνει τα εξής:

3.   Τα αρχεία που αναφέρονται στις παραγράφους 1 και 2 τηρούνται γραπτώς, συμπεριλαμβανομένης της ηλεκτρονικής μορφής.

4.   Τα όργανα και οι οργανισμοί της Ένωσης θέτουν το αρχείο στη διάθεση του Ευρωπαίου Επόπτη Προστασίας Δεδομένων κατόπιν αιτήματος.

5.   Τα όργανα και οι οργανισμοί της Ένωσης τηρούν τα αρχεία των δραστηριοτήτων επεξεργασίας τους σε κεντρικό μητρώο εφόσον αυτό δεν αντενδείκνυται λόγω μεγέθους του οργάνου ή του οργανισμού της Ένωσης. Καθιστούν το μητρώο δημόσια προσβάσιμο.

1.   Λαμβάνοντας υπόψη τις τελευταίες εξελίξεις, το κόστος εφαρμογής και τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας, καθώς και τους κινδύνους διαφορετικής πιθανότητας επέλευσης και σοβαρότητας για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, ο υπεύθυνος επεξεργασίας και ο εκτελών την επεξεργασία εφαρμόζουν κατάλληλα τεχνικά και οργανωτικά μέτρα προκειμένου να διασφαλίζεται το κατάλληλο επίπεδο ασφάλειας έναντι των κινδύνων, περιλαμβανομένων, μεταξύ άλλων, κατά περίπτωση:

2.   Κατά την εκτίμηση του ενδεδειγμένου επιπέδου ασφάλειας λαμβάνονται ιδίως υπόψη οι κίνδυνοι που απορρέουν από την επεξεργασία, ιδίως από τυχαία ή παράνομη καταστροφή, απώλεια, αλλοίωση, άνευ αδείας κοινολόγηση ή προσπέλαση δεδομένων προσωπικού χαρακτήρα που διαβιβάστηκαν, αποθηκεύτηκαν ή υποβλήθηκαν κατ’ άλλο τρόπο σε επεξεργασία.

3.   Ο υπεύθυνος επεξεργασίας και ο εκτελών την επεξεργασία λαμβάνουν μέτρα ώστε να διασφαλίζεται ότι κάθε φυσικό πρόσωπο που ενεργεί υπό την εποπτεία του υπεύθυνου επεξεργασίας ή του εκτελούντος την επεξεργασία το οποίο έχει πρόσβαση σε δεδομένα προσωπικού χαρακτήρα τα επεξεργάζεται μόνο κατ’ εντολή του υπεύθυνου επεξεργασίας, εκτός εάν υποχρεούται προς τούτο από το δίκαιο της Ένωσης.

4.   Η τήρηση μιας εγκεκριμένης διαδικασίας πιστοποίησης, σύμφωνα με το άρθρο 42 του κανονισμού (ΕΕ) 2016/679, μπορεί να χρησιμοποιηθεί ως στοιχείο που αποδεικνύει τη συμμόρφωση με τις απαιτήσεις που προβλέπονται στην παράγραφο 1 του παρόντος άρθρου.

1.   Σε περίπτωση παραβίασης δεδομένων προσωπικού χαρακτήρα, ο υπεύθυνος επεξεργασίας γνωστοποιεί αμελλητί και, αν είναι δυνατό, εντός 72 ωρών από τη στιγμή που αποκτά γνώση του γεγονότος την παραβίαση των δεδομένων προσωπικού χαρακτήρα στον Ευρωπαίο Επόπτη Προστασίας Δεδομένων, εκτός εάν η παραβίαση δεδομένων προσωπικού χαρακτήρα δεν ενδέχεται να προκαλέσει κίνδυνο για τα δικαιώματα και τις ελευθερίες φυσικών προσώπων. Όταν η γνωστοποίηση στον Ευρωπαίο Επόπτη Προστασίας Δεδομένων δεν πραγματοποιείται εντός 72 ωρών, συνοδεύεται από αιτιολόγηση για την καθυστέρηση.

2.   Ο εκτελών την επεξεργασία ενημερώνει τον υπεύθυνο επεξεργασίας αμελλητί, μόλις αντιληφθεί παραβίαση δεδομένων προσωπικού χαρακτήρα.

3.   Η γνωστοποίηση που αναφέρεται στην παράγραφο 1 κατ’ ελάχιστο:

4.   Σε περίπτωση που και εφόσον δεν είναι δυνατόν να παρασχεθούν οι πληροφορίες ταυτόχρονα, μπορούν να παρέχονται σταδιακά χωρίς αδικαιολόγητη καθυστέρηση.

5.   Ο υπεύθυνος επεξεργασίας ενημερώνει τον υπεύθυνο προστασίας δεδομένων για την παραβίαση των δεδομένων προσωπικού χαρακτήρα.

6.   Ο υπεύθυνος επεξεργασίας τεκμηριώνει κάθε παραβίαση δεδομένων προσωπικού χαρακτήρα, τεκμηρίωση που περιλαμβάνει τα πραγματικά περιστατικά που αφορούν την παραβίαση δεδομένων προσωπικού χαρακτήρα, τις συνέπειες και τα ληφθέντα διορθωτικά μέτρα. Η εν λόγω τεκμηρίωση επιτρέπει στον Ευρωπαίο Επόπτη Προστασίας Δεδομένων να επαληθεύει τη συμμόρφωση προς το παρόν άρθρο.

1.   Όταν η παραβίαση δεδομένων προσωπικού χαρακτήρα ενδέχεται να θέσει σε υψηλό κίνδυνο τα δικαιώματα και τις ελευθερίες φυσικών προσώπων, ο υπεύθυνος επεξεργασίας ανακοινώνει αμελλητί την παραβίαση των δεδομένων προσωπικού χαρακτήρα στο υποκείμενο των δεδομένων.

2.   Στην ανακοίνωση στο υποκείμενο των δεδομένων η οποία αναφέρεται στην παράγραφο 1 του παρόντος άρθρου περιγράφεται με σαφήνεια η φύση της παραβίασης των δεδομένων προσωπικού χαρακτήρα και περιέχονται τουλάχιστον οι πληροφορίες και τα μέτρα που αναφέρονται στο άρθρο 34 παράγραφος 3 στοιχεία β), γ) και δ).

3.   Η ανακοίνωση στο υποκείμενο των δεδομένων η οποία αναφέρεται στην παράγραφο 1 δεν απαιτείται, εάν πληρούται οποιαδήποτε από τις ακόλουθες προϋποθέσεις:

4.   Εάν ο υπεύθυνος επεξεργασίας δεν έχει ήδη ανακοινώσει την παραβίαση των δεδομένων προσωπικού χαρακτήρα στο υποκείμενο των δεδομένων, ο Ευρωπαίος Επόπτης Προστασίας Δεδομένων μπορεί, έχοντας εξετάσει την πιθανότητα επέλευσης υψηλού κινδύνου από την παραβίαση των δεδομένων προσωπικού χαρακτήρα, να του ζητήσει να το πράξει ή μπορεί να αποφασίσει ότι πληρούται οποιαδήποτε από τις προϋποθέσεις που αναφέρονται στην παράγραφο 3.

1.   Τα δεδομένα προσωπικού χαρακτήρα που περιλαμβάνονται σε καταλόγους χρηστών και η πρόσβαση στους καταλόγους αυτούς περιορίζονται σε ό,τι είναι απολύτως αναγκαίο για τους ειδικούς σκοπούς του καταλόγου.

2.   Τα όργανα και οι οργανισμοί της Ένωσης λαμβάνουν όλα τα αναγκαία μέτρα προκειμένου τα δεδομένα προσωπικού χαρακτήρα που περιέχονται στους καταλόγους αυτούς να μη χρησιμοποιούνται για άμεση προώθηση προϊόντων, ανεξάρτητα από το εάν τα δεδομένα αυτά είναι ή όχι προσιτά στο κοινό.

1.   Όταν ένα είδος επεξεργασίας, ιδίως με χρήση νέων τεχνολογιών και συνεκτιμώντας τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας, ενδέχεται να επιφέρει υψηλό κίνδυνο για τα δικαιώματα και τις ελευθερίες φυσικών προσώπων, ο υπεύθυνος επεξεργασίας διενεργεί, πριν από την επεξεργασία, εκτίμηση του αντικτύπου των σχεδιαζόμενων πράξεων επεξεργασίας στην προστασία των δεδομένων προσωπικού χαρακτήρα. Σε μία εκτίμηση μπορεί να εξετάζεται ένα σύνολο παρόμοιων πράξεων επεξεργασίας οι οποίες ενέχουν παρόμοιους υψηλούς κινδύνους.

2.   Ο υπεύθυνος επεξεργασίας ζητεί τη γνώμη του υπευθύνου προστασίας δεδομένων κατά τη διενέργεια εκτίμησης αντικτύπου σχετικά με την προστασία των δεδομένων.

3.   Η αναφερόμενη στην παράγραφο 1 εκτίμηση αντικτύπου σχετικά με την προστασία των δεδομένων απαιτείται ιδίως στην περίπτωση:

4.   Ο Ευρωπαίος Επόπτης Προστασίας Δεδομένων καταρτίζει και δημοσιοποιεί κατάλογο με τα είδη των πράξεων επεξεργασίας που υπόκεινται στην απαίτηση για διενέργεια εκτίμησης αντικτύπου σχετικά με την προστασία των δεδομένων δυνάμει της παραγράφου 1.

5.   Ο Ευρωπαίος Επόπτης Προστασίας Δεδομένων δύναται επίσης να καταρτίζει και να δημοσιοποιεί κατάλογο με τα είδη των πράξεων επεξεργασίας για τα οποία δεν απαιτείται εκτίμηση αντικτύπου σχετικά με την προστασία των δεδομένων.

6.   Πριν από την έγκριση των καταλόγων που αναφέρονται στις παραγράφους 4 και 5 του παρόντος άρθρου, ο Ευρωπαίος Επόπτης Προστασίας Δεδομένων ζητά από το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων που έχει συσταθεί με το άρθρο 68 του κανονισμού (ΕΕ) 2016/679 να εξετάσει τους καταλόγους αυτούς σύμφωνα με το άρθρο 70 παράγραφος 1 στοιχείο ε) του εν λόγω κανονισμού, όταν αναφέρονται σε πράξεις επεξεργασίας από υπεύθυνο επεξεργασίας που ενεργεί από κοινού με έναν ή περισσότερους υπεύθυνους επεξεργασίας που δεν είναι όργανα και οργανισμοί της Ένωσης.

7.   Η εκτίμηση περιέχει τουλάχιστον:

8.   Η συμμόρφωση με εγκεκριμένους κώδικες δεοντολογίας που αναφέρονται στο άρθρο 40 του κανονισμού (ΕΕ) 2016/679 από τους σχετικούς εκτελούντες την επεξεργασία, εκτός των οργάνων και οργανισμών της Ένωσης, λαμβάνεται δεόντως υπόψη κατά την εκτίμηση του αντικτύπου των πράξεων επεξεργασίας που εκτελούνται από τους εν λόγω εκτελούντες την επεξεργασία, ιδίως για τους σκοπούς εκτίμησης αντικτύπου σχετικά με την προστασία των δεδομένων.

9.   Όπου ενδείκνυται, ο υπεύθυνος επεξεργασίας ζητεί τη γνώμη των υποκειμένων των δεδομένων ή των εκπροσώπων τους για τη σχεδιαζόμενη επεξεργασία, με την επιφύλαξη της προστασίας δημόσιων συμφερόντων ή της ασφάλειας των πράξεων επεξεργασίας.

10.   Όταν η επεξεργασία βάσει του άρθρου 5 παράγραφος 1 στοιχείο α) ή β) έχει νομική βάση σε νομική πράξη που έχει εκδοθεί βάσει των Συνθηκών, η εν λόγω πράξη ρυθμίζει την εκάστοτε συγκεκριμένη πράξη επεξεργασίας ή σειρά πράξεων και έχει διενεργηθεί ήδη εκτίμηση αντικτύπου σχετικά με την προστασία των δεδομένων ως μέρος γενικής εκτίμησης αντικτύπου πριν από την έγκριση της εν λόγω νομικής πράξης, οι παράγραφοι 1 έως 6 του παρόντος άρθρου δεν εφαρμόζονται, εκτός εάν προβλέπεται διαφορετικά στην εν λόγω νομική πράξη.

11.   Όπου απαιτείται, ο υπεύθυνος επεξεργασίας προβαίνει σε επανεξέταση για να εκτιμήσει εάν η επεξεργασία των δεδομένων προσωπικού χαρακτήρα διενεργείται σύμφωνα με την εκτίμηση αντικτύπου στην προστασία δεδομένων τουλάχιστον όταν μεταβάλλεται ο κίνδυνος που θέτουν οι πράξεις επεξεργασίας.

1.   Ο υπεύθυνος επεξεργασίας διαβουλεύεται με τον Ευρωπαίο Επόπτη Προστασίας Δεδομένων πριν από την επεξεργασία όταν η δυνάμει του άρθρου 39 εκτίμηση αντικτύπου σχετικά με την προστασία των δεδομένων υποδεικνύει ότι η επεξεργασία, χωρίς εγγυήσεις, μέτρα και μηχανισμούς ασφάλειας για να μετριαστεί ο κίνδυνος, θα είχε ως αποτέλεσμα υψηλό κίνδυνο για τα δικαιώματα και τις ελευθερίες φυσικών προσώπων και ο υπεύθυνος επεξεργασίας είναι της γνώμης ότι ο κίνδυνος δεν είναι δυνατόν να μετριαστεί με εύλογα μέτρα όσον αφορά τη διαθέσιμη τεχνολογία και το κόστος εφαρμογής. Ο υπεύθυνος επεξεργασίας ζητεί τη γνώμη του υπεύθυνου προστασίας δεδομένων σχετικά με την ανάγκη προηγούμενης διαβούλευσης.

2.   Όταν ο Ευρωπαίος Επόπτης Προστασίας Δεδομένων φρονεί ότι η σχεδιαζόμενη επεξεργασία που αναφέρεται στην παράγραφο 1 παραβαίνει τον παρόντα κανονισμό, ιδίως εάν ο υπεύθυνος επεξεργασίας δεν έχει προσδιορίσει ή μετριάσει επαρκώς τον κίνδυνο, ο Ευρωπαίος Επόπτης Προστασίας Δεδομένων παρέχει γραπτώς συμβουλές στον υπεύθυνο επεξεργασίας και, όπου απαιτείται, στον εκτελούντα την επεξεργασία εντός προθεσμίας μέχρι οκτώ εβδομάδων από την παραλαβή του αιτήματος διαβούλευσης, ενώ δύναται να χρησιμοποιήσει οποιαδήποτε από τις εξουσίες του που αναφέρονται στο άρθρο 58. Η εν λόγω προθεσμία μπορεί να παραταθεί κατά έξι εβδομάδες, λόγω της πολυπλοκότητας που χαρακτηρίζει τη σχεδιαζόμενη επεξεργασία. Ο Ευρωπαίος Επόπτης Προστασίας Δεδομένων ενημερώνει τον υπεύθυνο επεξεργασίας και, όπου απαιτείται, τον εκτελούντα την επεξεργασία για την εν λόγω παράταση εντός ενός μηνός από την παραλαβή του αιτήματος διαβούλευσης, καθώς και για τους λόγους της καθυστέρησης. Οι εν λόγω προθεσμίες μπορούν να αναστέλλονται έως ότου ο Ευρωπαίος Επόπτης Προστασίας Δεδομένων λάβει τις πληροφορίες που ζήτησε για τους σκοπούς της διαβούλευσης.

3.   Κατά τη διαβούλευση με τον Ευρωπαίο Επόπτη Προστασίας Δεδομένων δυνάμει της παραγράφου 1, ο υπεύθυνος επεξεργασίας παρέχει στον Ευρωπαίο Επόπτη Προστασίας Δεδομένων:

4.   Η Επιτροπή μπορεί, μέσω εκτελεστικής πράξης, να καταρτίσει κατάλογο με τις περιπτώσεις στις οποίες οι υπεύθυνοι επεξεργασίας διαβουλεύονται με, και λαμβάνουν προηγούμενη άδεια από, τον Ευρωπαίο Επόπτη Προστασίας Δεδομένων σε σχέση με επεξεργασία δεδομένων προσωπικού χαρακτήρα που διενεργείται για την εκπλήρωση από τον υπεύθυνο επεξεργασίας καθήκοντος που εκτελείται προς το δημόσιο συμφέρον, περιλαμβανομένης της επεξεργασίας δεδομένων σε σχέση με την κοινωνική προστασία και τη δημόσια υγεία.

1.   Τα όργανα και οι οργανισμοί της Ένωσης ενημερώνουν τον Ευρωπαίο Επόπτη Προστασίας Δεδομένων οσάκις εκπονούν διοικητικά μέτρα και εσωτερικούς κανονισμούς που σχετίζονται με την επεξεργασία δεδομένων προσωπικού χαρακτήρα στην οποία μετέχει όργανο ή οργανισμός της Ένωσης, είτε αυτοτελώς είτε από κοινού με άλλους.

2.   Τα όργανα και οι οργανισμοί της Ένωσης διαβουλεύονται με τον Ευρωπαίο Επόπτη Προστασίας Δεδομένων οσάκις εκπονούν τους εσωτερικούς κανονισμούς που αναφέρονται στο άρθρο 25.

1.   Η Επιτροπή, μετά την έγκριση προτάσεων νομοθετικών πράξεων και συστάσεων ή προτάσεων προς το Συμβούλιο δυνάμει του άρθρου 218 ΣΛΕΕ ή κατά την επεξεργασία κατ’ εξουσιοδότηση πράξεων ή εκτελεστικών πράξεων διαβουλεύεται με τον Ευρωπαίο Επόπτη Προστασίας Δεδομένων όταν υπάρχει αντίκτυπος στην προστασία των δικαιωμάτων και των ελευθεριών των προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα.

2.   Όταν πράξη που αναφέρεται στην παράγραφο 1 είναι ιδιαίτερα σημαντική για την προστασία των δικαιωμάτων και των ελευθεριών των προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα, η Επιτροπή δύναται επίσης να διαβουλεύεται με το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων. Στις περιπτώσεις αυτές, ο Ευρωπαίος Επόπτης Προστασίας Δεδομένων και το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων συντονίζουν τις εργασίες τους με σκοπό την έκδοση κοινής γνωμοδότησης.

3.   Οι συμβουλές που αναφέρονται στις παραγράφους 1 και 2 παρέχονται γραπτώς εντός προθεσμίας μέχρι οκτώ εβδομάδων από την παραλαβή του αιτήματος διαβούλευσης που αναφέρεται στις παραγράφους 1 και 2. Σε επείγουσες περιπτώσεις ή εάν αυτό κρίνεται σκόπιμο για άλλους λόγους, η Επιτροπή μπορεί να ορίζει συντομότερη προθεσμία.

4.   Το παρόν άρθρο δεν εφαρμόζεται όταν η Επιτροπή υποχρεούται, δυνάμει του κανονισμού (ΕΕ) 2016/679, να διαβουλεύεται με το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων.

1.   Κάθε όργανο ή οργανισμός της Ένωσης ορίζει υπεύθυνο προστασίας δεδομένων.

2.   Τα όργανα και οι οργανισμοί της Ένωσης μπορούν να ορίζουν έναν μόνο υπεύθυνο προστασίας δεδομένων για περισσότερα του ενός όργανα ή οργανισμούς, ανάλογα με την οργανωτική δομή και το μέγεθός τους.

3.   Ο υπεύθυνος προστασίας δεδομένων διορίζεται βάσει επαγγελματικών προσόντων και ιδίως βάσει της εμπειρογνωσίας που διαθέτει στον τομέα του δικαίου και των πρακτικών περί προστασίας δεδομένων, καθώς και βάσει της ικανότητας εκπλήρωσης των καθηκόντων που αναφέρονται στο άρθρο 45.

4.   Ο υπεύθυνος προστασίας δεδομένων είναι μέλος του προσωπικού του οργάνου ή οργανισμού της Ένωσης. Λαμβάνοντας υπόψη το μέγεθός τους, και εφόσον δεν γίνεται χρήση της επιλογής της παραγράφου 2, τα όργανα και οι οργανισμοί της Ένωσης δύνανται να ορίζουν έναν υπεύθυνο προστασίας δεδομένων που ασκεί τα καθήκοντά του βάσει σύμβασης παροχής υπηρεσιών.

5.   Τα όργανα και οι οργανισμοί της Ένωσης δημοσιεύουν τα στοιχεία επικοινωνίας του υπεύθυνου προστασίας δεδομένων και τα ανακοινώνουν στον Ευρωπαίο Επόπτη Προστασίας Δεδομένων.

1.   Τα όργανα και οι οργανισμοί της Ένωσης διασφαλίζουν ότι ο υπεύθυνος προστασίας δεδομένων συμμετέχει, δεόντως και εγκαίρως, σε όλα τα ζητήματα τα οποία σχετίζονται με την προστασία δεδομένων προσωπικού χαρακτήρα.

2.   Τα όργανα και οι οργανισμοί της Ένωσης στηρίζουν τον υπεύθυνο προστασίας δεδομένων στην άσκηση των καθηκόντων που αναφέρονται στο άρθρο 45 παρέχοντας απαραίτητους πόρους για την άσκηση των εν λόγω καθηκόντων και πρόσβαση σε δεδομένα προσωπικού χαρακτήρα και σε πράξεις επεξεργασίας, καθώς και πόρους απαραίτητους για τη διατήρηση της εμπειρογνωσίας του.

3.   Τα όργανα και οι οργανισμοί της Ένωσης διασφαλίζουν ότι ο υπεύθυνος προστασίας δεδομένων δεν λαμβάνει εντολές για την άσκηση των εν λόγω καθηκόντων. Δεν απολύεται ούτε υφίσταται κυρώσεις από τον υπεύθυνο επεξεργασίας ή τον εκτελούντα την επεξεργασία επειδή επιτέλεσε τα καθήκοντά του. Ο υπεύθυνος προστασίας δεδομένων λογοδοτεί απευθείας στο ανώτατο διοικητικό επίπεδο του υπεύθυνου επεξεργασίας ή του εκτελούντος την επεξεργασία.

4.   Τα υποκείμενα των δεδομένων μπορούν να επικοινωνούν με τον υπεύθυνο προστασίας δεδομένων για κάθε ζήτημα σχετικό με την επεξεργασία των δεδομένων τους προσωπικού χαρακτήρα και με την άσκηση των δικαιωμάτων τους δυνάμει του παρόντος κανονισμού.

5.   Ο υπεύθυνος προστασίας δεδομένων και το προσωπικό που υπάγεται σε αυτόν δεσμεύονται από την τήρηση του απορρήτου ή της εμπιστευτικότητας σχετικά με την εκτέλεση των καθηκόντων τους, σύμφωνα με το δίκαιο της Ένωσης.

6.   Ο υπεύθυνος προστασίας δεδομένων μπορεί να επιτελεί και άλλα καθήκοντα και υποχρεώσεις. Ο υπεύθυνος επεξεργασίας ή ο εκτελών την επεξεργασία διασφαλίζουν ότι τα εν λόγω καθήκοντα και υποχρεώσεις δεν συνεπάγονται σύγκρουση συμφερόντων.

7.   Ο υπεύθυνος επεξεργασίας, ο εκτελών την επεξεργασία, η οικεία επιτροπή προσωπικού και κάθε φυσικό πρόσωπο μπορούν να συμβουλεύονται τον υπεύθυνο προστασίας δεδομένων ως προς κάθε θέμα που άπτεται της ερμηνείας ή της εφαρμογής του παρόντος κανονισμού, χωρίς να ακολουθούν την επίσημη οδό. Ουδείς επιτρέπεται να υποστεί ζημία για θέμα που τίθεται στη γνώση του υπεύθυνου προστασίας δεδομένων που είναι αρμόδιος, σχετικά με ισχυρισμό ότι έχει λάβει χώρα παραβίαση των διατάξεων του παρόντος κανονισμού.

8.   Ο υπεύθυνος προστασίας δεδομένων διορίζεται για θητεία διάρκειας τριών έως πέντε ετών με δυνατότητα ανανέωσης. Ο υπεύθυνος προστασίας δεδομένων είναι δυνατό να απαλλάσσεται από τα καθήκοντά του από το όργανο ή τον οργανισμό της Ένωσης που τον διόρισε εφόσον έχει παύσει να πληροί τις προϋποθέσεις που απαιτούνται για την άσκηση των καθηκόντων του και μόνο με τη συγκατάθεση του Ευρωπαίου Επόπτη Προστασίας Δεδομένων.

9.   Το όργανο ή ο οργανισμός της Ένωσης που διορίζει τον υπεύθυνο προστασίας δεδομένων γνωστοποιεί εν συνεχεία το όνομα αυτού στον Ευρωπαίο Επόπτη Προστασίας Δεδομένων.

1.   Ο υπεύθυνος προστασίας δεδομένων έχει τα ακόλουθα καθήκοντα:

2.   Ο υπεύθυνος προστασίας δεδομένων δύναται να διατυπώνει συστάσεις προς τον υπεύθυνο επεξεργασίας και τον εκτελούντα την επεξεργασία για τη βελτίωση στην πράξη της προστασίας των δεδομένων και να τους συμβουλεύει σχετικά με θέματα που άπτονται της εφαρμογής των διατάξεων για την προστασία των δεδομένων. Περαιτέρω, μπορεί να προβαίνει, είτε με δική του πρωτοβουλία είτε κατόπιν αιτήματος του υπεύθυνου επεξεργασίας ή του εκτελούντος την επεξεργασία, της οικείας επιτροπής προσωπικού ή οποιουδήποτε φυσικού προσώπου, στη διερεύνηση ζητημάτων και περιστατικών που σχετίζονται ευθέως με τα καθήκοντά του και που υποπίπτουν στην αντίληψή του και να ενημερώνει το πρόσωπο το οποίο ζήτησε την έρευνα ή στον υπεύθυνο επεξεργασίας ή στον εκτελούντα την επεξεργασία.

3.   Κάθε όργανο ή οργανισμός της Ένωσης θεσπίζει συμπληρωματικές διατάξεις εφαρμογής σχετικά με τον υπεύθυνο προστασίας δεδομένων. Οι διατάξεις εφαρμογής αφορούν, ιδίως, τα καθήκοντα, τις αρμοδιότητες και τις εξουσίες του υπεύθυνου προστασίας δεδομένων.

1.   Η διαβίβαση δεδομένων προσωπικού χαρακτήρα προς τρίτη χώρα ή διεθνή οργανισμό μπορεί να πραγματοποιηθεί εφόσον η Επιτροπή έχει αποφασίσει, βάσει του άρθρου 45 παράγραφος 3 του κανονισμού (ΕΕ) 2016/679 ή του άρθρου 36 παράγραφος 3 της οδηγίας (ΕΕ) 2016/680, ότι η τρίτη χώρα, έδαφος ή ένας ή περισσότεροι συγκεκριμένοι τομείς στην εν λόγω τρίτη χώρα ή ο εν λόγω διεθνής οργανισμός εξασφαλίζει επαρκές επίπεδο προστασίας και εφόσον η διαβίβαση των δεδομένων προσωπικού χαρακτήρα αποβλέπει αποκλειστικά στο να διευκολύνει την εκτέλεση καθήκοντος που εμπίπτει στην αρμοδιότητα του υπεύθυνου επεξεργασίας.

2.   Τα όργανα και οι οργανισμοί της Ένωσης ενημερώνουν την Επιτροπή και τον Ευρωπαίο Επόπτη Προστασίας Δεδομένων σε περίπτωση που κρίνουν ότι τρίτη χώρα, έδαφος ή ένας ή περισσότεροι συγκεκριμένοι τομείς στην εν λόγω τρίτη χώρα ή συγκεκριμένος διεθνής οργανισμός δεν διασφαλίζουν επαρκές επίπεδο προστασίας κατά την έννοια της παραγράφου 1.

3.   Τα όργανα και οι οργανισμοί της Ένωσης λαμβάνουν τα μέτρα που είναι απαραίτητα για να συμμορφωθούν με τις αποφάσεις που λαμβάνει η Επιτροπή όταν διαπιστώνει, κατ’ εφαρμογή του άρθρου 45 παράγραφος 3 ή 5 του κανονισμού (ΕΕ) 2016/679 ή του άρθρου 36 παράγραφος 3 ή 5 της οδηγίας (ΕΕ) 2016/680, ότι τρίτη χώρα, έδαφος ή ένας ή περισσότεροι συγκεκριμένοι τομείς στην εν λόγω τρίτη χώρα ή διεθνής οργανισμός διασφαλίζει ή δεν διασφαλίζει πλέον επαρκές επίπεδο προστασίας.

1.   Ελλείψει απόφασης δυνάμει του άρθρου 45 παράγραφος 3 του κανονισμού (ΕΕ) 2016/679 ή του άρθρου 36 παράγραφος 3 της οδηγίας (ΕΕ) 2016/680, ο υπεύθυνος επεξεργασίας ή ο εκτελών την επεξεργασία μπορεί να διαβιβάσει δεδομένα προσωπικού χαρακτήρα σε τρίτη χώρα ή διεθνή οργανισμό μόνο εάν ο υπεύθυνος επεξεργασίας ή ο εκτελών την επεξεργασία έχει παράσχει κατάλληλες εγγυήσεις και υπό την προϋπόθεση ότι υφίστανται εκτελεστά δικαιώματα και αποτελεσματικά ένδικα μέσα για τα υποκείμενα των δεδομένων.

2.   Οι κατάλληλες εγγυήσεις που αναφέρονται στην παράγραφο 1 μπορούν να προβλέπονται, χωρίς να απαιτείται ειδική άδεια του Ευρωπαίου Επόπτη Προστασίας Δεδομένων, μέσω:

3.   Με την επιφύλαξη της άδειας του Ευρωπαίου Επόπτη Προστασίας Δεδομένων, οι κατάλληλες εγγυήσεις της παραγράφου 1 μπορούν επίσης να παρέχονται ιδίως μέσω:

4.   Οι άδειες από τον Ευρωπαίο Επόπτη Προστασίας Δεδομένων βάσει του άρθρου 9 παράγραφος 7 του κανονισμού (ΕΚ) αριθ. 45/2001 παραμένουν σε ισχύ έως ότου τροποποιηθούν, αντικατασταθούν ή καταργηθούν, εάν απαιτείται, από τον Ευρωπαίο Επόπτη Προστασίας Δεδομένων.

5.   Τα όργανα και οι οργανισμοί της Ένωσης γνωστοποιούν στον Ευρωπαίο Επόπτη Προστασίας Δεδομένων κατηγορίες περιπτώσεων στις οποίες εφαρμόστηκε το παρόν άρθρο.

1.   Σε περίπτωση απουσίας απόφασης περί επάρκειας δυνάμει του άρθρου 45 παράγραφος 3 του κανονισμού (ΕΕ) 2016/679 ή του άρθρου 36 παράγραφος 3 της οδηγίας (ΕΕ) 2016/680, ή απουσίας κατάλληλων εγγυήσεων δυνάμει του άρθρου 48 του παρόντος κανονισμού, διαβίβαση ή σειρά διαβιβάσεων δεδομένων προσωπικού χαρακτήρα σε τρίτη χώρα ή σε διεθνή οργανισμό πραγματοποιείται μόνο εφόσον πληρούται μία από τις ακόλουθες προϋποθέσεις:

2.   Τα στοιχεία α), β) και γ) της παραγράφου 1 δεν εφαρμόζονται σε δραστηριότητες που εκτελούνται από όργανα και οργανισμούς της Ένωσης κατά την άσκηση των δημόσιων εξουσιών τους.

3.   Το δημόσιο συμφέρον που αναφέρεται στην παράγραφο 1 στοιχείο δ) αναγνωρίζεται στο δίκαιο της Ένωσης.

4.   Διαβίβαση η οποία πραγματοποιείται δυνάμει της παραγράφου 1 στοιχείο ζ) δεν περιλαμβάνει το σύνολο των δεδομένων προσωπικού χαρακτήρα ούτε ολόκληρες κατηγορίες δεδομένων προσωπικού χαρακτήρα που περιέχονται στο μητρώο, εκτός εάν αυτό επιτρέπεται από το δίκαιο της Ένωσης. Όταν το μητρώο προορίζεται για αναζήτηση πληροφοριών από πρόσωπα τα οποία έχουν έννομο συμφέρον, η διαβίβαση πραγματοποιείται μόνο κατόπιν αιτήματος των εν λόγω προσώπων ή μόνο εάν πρόκειται να είναι οι αποδέκτες.

5.   Ελλείψει απόφασης περί επάρκειας, το δίκαιο της Ένωσης μπορεί, για σοβαρούς λόγους δημόσιου συμφέροντος, να προβλέπει ρητώς περιορισμούς στη διαβίβαση ειδικών κατηγοριών δεδομένων προσωπικού χαρακτήρα σε τρίτη χώρα ή σε διεθνή οργανισμό.

6.   Τα όργανα και οι οργανισμοί της Ένωσης γνωστοποιούν στον Ευρωπαίο Επόπτη Προστασίας Δεδομένων κατηγορίες περιπτώσεων στις οποίες εφαρμόστηκε το παρόν άρθρο.

1.   Συστήνεται Ευρωπαίος Επόπτης Προστασίας Δεδομένων.

2.   Όσον αφορά την επεξεργασία δεδομένων προσωπικού χαρακτήρα, ο Ευρωπαίος Επόπτης Προστασίας Δεδομένων είναι επιφορτισμένος να εξασφαλίζει ότι τα όργανα και οι οργανισμοί της Ένωσης σέβονται τα θεμελιώδη δικαιώματα και τις ελευθερίες των φυσικών προσώπων, ιδίως δε το δικαίωμά τους στην προστασία των δεδομένων.

3.   Ο Ευρωπαίος Επόπτης Προστασίας Δεδομένων είναι επιφορτισμένος με την παρακολούθηση και την εξασφάλιση της εφαρμογής των διατάξεων του παρόντος κανονισμού και κάθε άλλης ενωσιακής πράξης στον τομέα της προστασίας των θεμελιωδών δικαιωμάτων και ελευθεριών των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα που πραγματοποιείται από όργανο ή οργανισμό της Ένωσης, και για την παροχή συμβουλών προς τα όργανα και τους οργανισμούς της Ένωσης και προς τα υποκείμενα των δεδομένων για κάθε θέμα που αφορά την επεξεργασία δεδομένων προσωπικού χαρακτήρα. Προς τους σκοπούς αυτούς, ο Ευρωπαίος Επόπτης Προστασίας Δεδομένων εκτελεί τα καθήκοντα που προβλέπονται στο άρθρο 57 και ασκεί τις αρμοδιότητες που του ανατίθενται δυνάμει του άρθρου 58.

4.   Ο κανονισμός (ΕΚ) αριθ. 1049/2001 εφαρμόζεται στα έγγραφα που τηρεί ο Ευρωπαίος Επόπτης Προστασίας Δεδομένων. Ο Ευρωπαίος Επόπτης Προστασίας Δεδομένων θεσπίζει λεπτομερείς κανόνες για την εφαρμογή του κανονισμού (ΕΚ) αριθ. 1049/2001 όσον αφορά τα έγγραφα αυτά.

1.   Το Ευρωπαϊκό Κοινοβούλιο και το Συμβούλιο διορίζουν, με κοινή συμφωνία, τον Ευρωπαίο Επόπτη Προστασίας Δεδομένων για πέντε έτη, βάσει καταλόγου που συντάσσει η Επιτροπή έπειτα από δημόσια πρόσκληση υποβολής υποψηφιοτήτων. Η εν λόγω πρόσκληση υποβολής υποψηφιοτήτων επιτρέπει σε όλους τους ενδιαφερομένους στο σύνολο της Ένωσης να υποβάλουν την υποψηφιότητά τους. Ο κατάλογος υποψηφίων που συντάσσει η Επιτροπή είναι δημόσιος και περιλαμβάνει τουλάχιστον τρεις υποψηφίους. Η αρμόδια επιτροπή του Ευρωπαϊκού Κοινοβουλίου μπορεί, με βάση τον κατάλογο που συντάσσει η Επιτροπή, να αποφασίσει να διοργανώσει ακρόαση προκειμένου να μπορέσει να διαμορφώσει γνώμη.

2.   Ο κατάλογος υποψηφίων που αναφέρεται στην παράγραφο 1 περιλαμβάνει πρόσωπα τα οποία παρέχουν εχέγγυα ανεξαρτησίας και διαθέτουν ειδικές γνώσεις στον τομέα της προστασίας των δεδομένων, καθώς και αξιόλογη εμπειρία και ικανότητες για την εκπλήρωση των καθηκόντων του Ευρωπαίου Επόπτη Προστασίας Δεδομένων.

3.   Η θητεία του Ευρωπαίου Επόπτη Προστασίας Δεδομένων είναι ανανεώσιμη άπαξ.

4.   Ο Ευρωπαίος Επόπτης Προστασίας Δεδομένων παύει να ασκεί τα καθήκοντά του στις ακόλουθες περιπτώσεις:

5.   Το Δικαστήριο δύναται να απαλλάξει τον Ευρωπαίο Επόπτη Προστασίας Δεδομένων από τα καθήκοντά του ή να τον κηρύξει έκπτωτο από το δικαίωμα παροχής σύνταξης ή άλλων ευεργετημάτων που εξομοιούνται με σύνταξη, κατόπιν αίτησης του Ευρωπαϊκού Κοινοβουλίου, του Συμβουλίου ή της Επιτροπής, εάν παύσει να πληροί τις προϋποθέσεις που απαιτούνται για την άσκηση των καθηκόντων του ή εάν διαπράξει βαρύ παράπτωμα.

6.   Στις περιπτώσεις κανονικής αντικατάστασης και εκούσιας παραίτησης, ο Ευρωπαίος Επόπτης Προστασίας Δεδομένων παραμένει ωστόσο εν υπηρεσία μέχρι την αντικατάστασή του.

7.   Τα άρθρα 11 έως 14 και το άρθρο 17 του πρωτοκόλλου περί των προνομίων και ασυλιών της Ευρωπαϊκής Ένωσης ισχύουν και για τον Ευρωπαίο Επόπτη Προστασίας Δεδομένων.

1.   Ο Ευρωπαίος Επόπτης Προστασίας Δεδομένων εξομοιώνεται με δικαστή του Δικαστηρίου όσον αφορά τον καθορισμό του μισθού του, των επιδομάτων του, της σύνταξης αρχαιότητας, καθώς και κάθε άλλης παροχής που εξομοιώνεται με αποδοχές.

2.   Η αρμόδια επί του προϋπολογισμού αρχή φροντίζει ώστε ο Ευρωπαίος Επόπτης Προστασίας Δεδομένων να διαθέτει το ανθρώπινο δυναμικό και τους οικονομικούς πόρους που χρειάζονται για την εκτέλεση των καθηκόντων του.

3.   Ο προϋπολογισμός του Ευρωπαίου Επόπτη Προστασίας Δεδομένων περιλαμβάνεται σε ειδική γραμμή του τμήματος του γενικού προϋπολογισμού της Ένωσης που αναφέρεται στις διοικητικές δαπάνες.

4.   Ο Ευρωπαίος Επόπτης Προστασίας Δεδομένων επικουρείται από γραμματεία. Οι υπάλληλοι και τα μέλη του λοιπού προσωπικού της γραμματείας διορίζονται από τον Ευρωπαίο Επόπτη Προστασίας Δεδομένων, των οποίων είναι ο ιεραρχικά προϊστάμενος και στον οποίο υπάγονται αποκλειστικά. Ο αριθμός τους καθορίζεται κάθε χρόνο στο πλαίσιο της διαδικασίας του προϋπολογισμού. Το άρθρο 75 παράγραφος 2 του κανονισμού (ΕΕ) 2016/679 ισχύει για το προσωπικό του Ευρωπαίου Επόπτη Προστασίας Δεδομένων που συμμετέχει στην εκτέλεση των καθηκόντων που ανατίθενται στο Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων από το ενωσιακό δίκαιο.

5.   Οι υπάλληλοι και τα μέλη του λοιπού προσωπικού της γραμματείας του Ευρωπαίου Επόπτη Προστασίας Δεδομένων υπόκεινται στους κανονισμούς και τις ρυθμίσεις που εφαρμόζονται στους υπαλλήλους και το λοιπό προσωπικό της Ένωσης.

6.   Ο Ευρωπαίος Επόπτης Προστασίας Δεδομένων έχει την έδρα του στις Βρυξέλλες.

1.   Ο Ευρωπαίος Επόπτης Προστασίας Δεδομένων εκτελεί τα καθήκοντά του και ασκεί τις εξουσίες του σύμφωνα με τον παρόντα κανονισμό με πλήρη ανεξαρτησία.

2.   Ο Ευρωπαίος Επόπτης Προστασίας Δεδομένων εκτελεί τα καθήκοντά του και ασκεί τις εξουσίες του σύμφωνα με τον παρόντα κανονισμό χωρίς εξωτερικές επιρροές, είτε άμεσες είτε έμμεσες, και δεν ζητεί ούτε λαμβάνει οδηγίες από κανέναν.

3.   Ο Ευρωπαίος Επόπτης Προστασίας Δεδομένων απέχει από κάθε πράξη ασυμβίβαστη προς τα καθήκοντά του και, κατά τη διάρκεια της θητείας του, δεν ασκεί καμία άλλη επαγγελματική δραστηριότητα, αμειβόμενη ή μη.

4.   Μετά τη λήξη της θητείας του, ο Ευρωπαίος Επόπτης Προστασίας Δεδομένων υποχρεούται να συμπεριφέρεται με ακεραιότητα και διακριτικότητα σε σχέση με την αποδοχή ορισμένων θέσεων και ευεργετημάτων.

1.   Με την επιφύλαξη των άλλων καθηκόντων που ορίζονται στον παρόντα κανονισμό, ο Ευρωπαίος Επόπτης Προστασίας Δεδομένων:

2.   Ο Ευρωπαίος Επόπτης Προστασίας Δεδομένων διευκολύνει την υποβολή των καταγγελιών που αναφέρονται στην παράγραφο 1 στοιχείο ε) με έντυπο υποβολής καταγγελίας το οποίο μπορεί επίσης να συμπληρωθεί ηλεκτρονικά, χωρίς να αποκλείονται άλλοι τρόποι επικοινωνίας.

3.   Ο Ευρωπαίος Επόπτης Προστασίας Δεδομένων ασκεί τα καθήκοντά του χωρίς επιβάρυνση για το υποκείμενο των δεδομένων.

4.   Εάν τα αιτήματα είναι προδήλως αβάσιμα ή υπερβολικά, ιδίως λόγω του επαναλαμβανόμενου χαρακτήρα τους, ο Ευρωπαίος Επόπτης Προστασίας Δεδομένων μπορεί να αρνηθεί να ανταποκριθεί στο αίτημα. Ο Ευρωπαίος Επόπτης Προστασίας Δεδομένων φέρει το βάρος απόδειξης του προδήλως αβάσιμου ή υπερβολικού χαρακτήρα του αιτήματος.

1.   Ο Ευρωπαίος Επόπτης Προστασίας Δεδομένων διαθέτει τις ακόλουθες εξουσίες έρευνας:

2.   Ο Ευρωπαίος Επόπτης Προστασίας Δεδομένων διαθέτει τις ακόλουθες διορθωτικές εξουσίες:

3.   Ο Ευρωπαίος Επόπτης Προστασίας Δεδομένων διαθέτει τις ακόλουθες αδειοδοτικές και συμβουλευτικές εξουσίες:

4.   Ο Ευρωπαίος Επόπτης Προστασίας Δεδομένων έχει την εξουσία να προσφεύγει στο Δικαστήριο υπό τους όρους που προβλέπουν οι Συνθήκες και να παρεμβαίνει σε υποθέσεις που φέρονται ενώπιον του Δικαστηρίου.

5.   Η άσκηση εκ μέρους του Ευρωπαίου Επόπτη Προστασίας Δεδομένων των εξουσιών του δυνάμει του παρόντος άρθρου υπόκειται στις δέουσες εγγυήσεις, περιλαμβανομένης της άσκησης πραγματικής δικαστικής προσφυγής και της τήρησης της προσήκουσας διαδικασίας, όπως προβλέπονται στο δίκαιο της Ένωσης.

1.   Ο Ευρωπαίος Επόπτης Προστασίας Δεδομένων υποβάλλει κάθε χρόνο στο Ευρωπαϊκό Κοινοβούλιο, το Συμβούλιο και την Επιτροπή έκθεση δραστηριοτήτων και ταυτόχρονα τη δημοσιεύει.

2.   Ο Ευρωπαίος Επόπτης Προστασίας Δεδομένων διαβιβάζει την έκθεση που αναφέρεται στην παράγραφο 1 στα άλλα όργανα και τους οργανισμούς της Ένωσης, τα οποία μπορούν να υποβάλλουν παρατηρήσεις ενόψει της ενδεχόμενης εξέτασης της έκθεσης στο Ευρωπαϊκό Κοινοβούλιο.

1.   Όταν ενωσιακή πράξη παραπέμπει στο παρόν άρθρο, ο Ευρωπαίος Επόπτης Προστασίας Δεδομένων και οι εθνικές εποπτικές αρχές, εντός του πεδίου των αντίστοιχων αρμοδιοτήτων τους, συνεργάζονται ενεργά στο πλαίσιο των ευθυνών τους προκειμένου να διασφαλίζεται η αποτελεσματική εποπτεία συστημάτων ΤΠ μεγάλης κλίμακας και οργάνων και οργανισμών της Ένωσης.

2.   Στο πεδίο των αντίστοιχων αρμοδιοτήτων τους και στο πλαίσιο των καθηκόντων τους, ανταλλάσσουν, κατά τον δέοντα τρόπο, σχετικές πληροφορίες, συνδράμουν αλλήλους στη διενέργεια ελέγχων και επιθεωρήσεων, εξετάζουν τυχόν δυσκολίες όσον αφορά την ερμηνεία ή την εφαρμογή του παρόντος κανονισμού και των λοιπών ισχυουσών ενωσιακών πράξεων, διερευνούν προβλήματα που μπορεί να ανακύψουν κατά την άσκηση ανεξάρτητης εποπτείας ή κατά την άσκηση των δικαιωμάτων των υποκειμένων των δεδομένων, συντάσσουν εναρμονισμένες προτάσεις ώστε να εξευρεθούν κοινές λύσεις σε τυχόν προβλήματα και προάγουν την ευαισθητοποίηση όσον αφορά τα δικαιώματα περί προστασίας των δεδομένων.

3.   Για τους σκοπούς της παραγράφου 2, ο Ευρωπαίος Επόπτης Προστασίας Δεδομένων και οι εθνικές εποπτικές αρχές συνεδριάζουν από κοινού τουλάχιστον δύο φορές τον χρόνο στο πλαίσιο του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων. Για αυτούς τους σκοπούς, το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων μπορεί ενδεχομένως να αναπτύσσει πρόσθετες μεθόδους εργασίας.

4.   Το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων υποβάλλει κάθε δύο χρόνια κοινή έκθεση δραστηριοτήτων σχετικά με τη συντονισμένη εποπτεία στο Ευρωπαϊκό Κοινοβούλιο, το Συμβούλιο και την Επιτροπή.

1.   Με την επιφύλαξη τυχόν δικαστικής, διοικητικής ή μη δικαστικής προσφυγής, κάθε υποκείμενο δεδομένων δικαιούται να υποβάλει καταγγελία στον Ευρωπαίο Επόπτη Προστασίας Δεδομένων, εάν θεωρεί ότι η επεξεργασία των δεδομένων προσωπικού χαρακτήρα που το αφορούν παραβαίνει τον παρόντα κανονισμό.

2.   Ο Ευρωπαίος Επόπτης Προστασίας Δεδομένων ενημερώνει τον καταγγέλοντα για την πρόοδο και την έκβαση της καταγγελίας, περιλαμβανομένης της δυνατότητας άσκησης δικαστικής προσφυγής σύμφωνα με το άρθρο 64.

3.   Αν ο Ευρωπαίος Επόπτης Προστασίας Δεδομένων δεν εξετάσει την καταγγελία ή δεν ενημερώσει το υποκείμενο των δεδομένων εντός τριών μηνών για την πρόοδο ή την έκβαση της καταγγελίας, ο Ευρωπαίος Επόπτης Προστασίας Δεδομένων θεωρείται ότι έχει λάβει αρνητική απόφαση.

1.   Το Δικαστήριο είναι αρμόδιο για την εκδίκαση κάθε διαφοράς που σχετίζεται με τις διατάξεις του παρόντος κανονισμού, συμπεριλαμβανομένων των αξιώσεων αποζημίωσης.

2.   Οι προσφυγές κατά αποφάσεων του Ευρωπαίου Επόπτη Προστασίας Δεδομένων, μεταξύ άλλων και κατά των αποφάσεων που αναφέρονται στο άρθρο 63 παράγραφος 3, ασκούνται ενώπιον του Δικαστηρίου.

3.   Το Δικαστήριο έχει πλήρη δικαιοδοσία να εξετάζει τα διοικητικά πρόστιμα που αναφέρονται στην παράγραφο 66. Μπορεί να ακυρώσει, να μειώσει ή να αυξήσει τα πρόστιμα αυτά εντός των ορίων του άρθρου 66.

1.   Ο Ευρωπαίος Επόπτης Προστασίας Δεδομένων δύναται να επιβάλλει διοικητικά πρόστιμα σε όργανα και οργανισμούς της Ένωσης, ανάλογα με τις περιστάσεις κάθε μεμονωμένης περίπτωσης, όταν το όργανο ή ο οργανισμός της Ένωσης δεν συμμορφώνεται με εντολή του Ευρωπαίου Επόπτη Προστασίας Δεδομένων σύμφωνα με το άρθρο 58 παράγραφος 2 στοιχεία δ) ως η) και το άρθρο 58 παράγραφος 2 στοιχείο ι). Κατά τη λήψη απόφασης σχετικά με την επιβολή διοικητικού προστίμου, καθώς και σχετικά με το ύψος του διοικητικού προστίμου για κάθε μεμονωμένη περίπτωση, λαμβάνονται δεόντως υπόψη τα ακόλουθα:

2.   Παραβάσεις των υποχρεώσεων που υπέχει το όργανο ή ο οργανισμός της Ένωσης δυνάμει των άρθρων 8 και 12, των άρθρων 27 έως 35 και των άρθρων 39, 40, 43, 44 και 45 επισύρουν, σύμφωνα με την παράγραφο 1 του παρόντος άρθρου, την επιβολή διοικητικών προστίμων ύψους έως 25 000 EUR ανά παράβαση και έως 250 000 EUR συνολικά ετησίως.

3.   Παραβάσεις των ακόλουθων διατάξεων από όργανο ή οργανισμό της Ένωσης επισύρουν, σύμφωνα με την παράγραφο 1, την επιβολή διοικητικών προστίμων ύψους ως 50 000 EUR ανά παράβαση και έως 500 000 EUR συνολικά ετησίως:

4.   Σε περίπτωση που όργανο ή οργανισμός της Ένωσης, για τις ίδιες ή για συνδεδεμένες ή για συνεχόμενες πράξεις επεξεργασίας, παραβιάζει περισσότερες διατάξεις του παρόντος κανονισμού ή την ίδια διάταξη του παρόντος κανονισμού επανειλημμένως, το συνολικό ύψος του διοικητικού προστίμου δεν υπερβαίνει το ποσό που ορίζεται για τη βαρύτερη παράβαση.

5.   Προτού λάβει αποφάσεις σύμφωνα με το παρόν άρθρο, ο Ευρωπαίος Επόπτης Προστασίας Δεδομένων παρέχει στο όργανο ή τον οργανισμό της Ένωσης που υπόκειται στη διαδικασία την οποία διεξάγει ο Ευρωπαίος Επόπτης Προστασίας Δεδομένων την ευκαιρία να διατυπώσει την άποψή του επί των θεμάτων στα οποία ενίσταται ο Ευρωπαίος Επόπτης Προστασίας Δεδομένων. Ο Ευρωπαίος Επόπτης Προστασίας Δεδομένων στηρίζει τις αποφάσεις του μόνο σε ενστάσεις ως προς τις οποίες έχει παρασχεθεί στα ενδιαφερόμενα μέρη η δυνατότητα υποβολής των παρατηρήσεών τους. Οι καταγγέλλοντες μετέχουν στενά στη διαδικασία.

6.   Κατά τη διεξαγωγή της διαδικασίας διασφαλίζονται πλήρως τα δικαιώματα υπεράσπισης των ενδιαφερομένων μερών. Δικαιούνται δε να έχουν πρόσβαση στον φάκελο του Ευρωπαίου Επόπτη Προστασίας Δεδομένων, με την επιφύλαξη των έννομων συμφερόντων προσώπων ή επιχειρήσεων στην προστασία των προσωπικών τους δεδομένων ή επαγγελματικών απορρήτων.

7.   Τα ποσά που συγκεντρώνονται από την επιβολή προστίμων βάσει του παρόντος άρθρου συνιστούν έσοδο του γενικού προϋπολογισμού της Ένωσης.

1.   Τα επιχειρησιακά δεδομένα προσωπικού χαρακτήρα:

2.   Η επεξεργασία από τον ίδιο ή άλλο υπεύθυνο επεξεργασίας για τους σκοπούς που καθορίζονται στη νομική πράξη που συστήνει το όργανο ή τον οργανισμό της Ένωσης, διαφορετικούς από εκείνους για τους οποίους συλλέγονται τα επιχειρησιακά δεδομένα προσωπικού χαρακτήρα επιτρέπεται εφόσον:

3.   Η επεξεργασία από τον ίδιο ή άλλο υπεύθυνο επεξεργασίας μπορεί να περιλαμβάνει την αρχειοθέτηση για λόγους δημόσιου συμφέροντος, την επιστημονική, στατιστική ή ιστορική χρήση, για τους σκοπούς που ορίζονται στη νομική πράξη που συστήνει το όργανο ή τον οργανισμό της Ένωσης, με την επιφύλαξη των κατάλληλων εγγυήσεων για τα δικαιώματα και τις ελευθερίες των υποκειμένων των δεδομένων.

4.   Ο υπεύθυνος επεξεργασίας υποχρεούται να τηρεί αποδεδειγμένα τις παραγράφους 1, 2 και 3.

1.   Η επεξεργασία επιχειρησιακών δεδομένων προσωπικού χαρακτήρα είναι σύννομη μόνον εάν και στο μέτρο που η επεξεργασία είναι απαραίτητη για την εκτέλεση καθήκοντος που ασκείται από τα όργανα και οργανισμούς της Ένωσης κατά την άσκηση δραστηριοτήτων που εμπίπτουν στο πεδίο εφαρμογής του τρίτου μέρους τίτλος V κεφάλαιο 4 ή κεφάλαιο 5 ΣΛΕΕ και βασίζεται στο δίκαιο της Ένωσης.

2.   Ειδικές νομοθετικές πράξεις της Ένωσης που ρυθμίζουν την επεξεργασία στο πλαίσιο του παρόντος κεφαλαίου καθορίζουν τουλάχιστον τους στόχους της επεξεργασίας, τα επιχειρησιακά δεδομένα προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία, τους σκοπούς της επεξεργασίας και τα χρονικά όρια για την αποθήκευση των επιχειρησιακών δεδομένων προσωπικού χαρακτήρα ή για την περιοδική επανεξέταση της ανάγκης περαιτέρω αποθήκευσης των επιχειρησιακών δεδομένων προσωπικού χαρακτήρα.

1.   Ο υπεύθυνος επεξεργασίας προβαίνει, στο μέτρο του δυνατού, σε διάκριση των επιχειρησιακών δεδομένων προσωπικού χαρακτήρα με βάση πραγματικά περιστατικά από επιχειρησιακά δεδομένα προσωπικού χαρακτήρα τα οποία βασίζονται σε προσωπικές εκτιμήσεις.

2.   Ο υπεύθυνος επεξεργασίας λαμβάνει κάθε εύλογο μέτρο προκειμένου να διασφαλίσει ότι τα επιχειρησιακά δεδομένα προσωπικού χαρακτήρα που είναι ανακριβή, ελλιπή ή δεν είναι πλέον επικαιροποιημένα δεν διαβιβάζονται ούτε διατίθενται. Για τον σκοπό αυτό, ο υπεύθυνος επεξεργασίας, στο μέτρο του δυνατού και ανάλογα με την περίπτωση, ελέγχει την ποιότητα των επιχειρησιακών δεδομένων προσωπικού χαρακτήρα πριν από τη διαβίβαση ή τη διάθεση των δεδομένων αυτών, για παράδειγμα σε διαβούλευση με την αρμόδια αρχή από την οποία προέρχονται τα δεδομένα. Σε κάθε διαβίβαση επιχειρησιακών δεδομένων προσωπικού χαρακτήρα επισυνάπτονται, στο μέτρο του δυνατού, από τον υπεύθυνο επεξεργασίας οι αναγκαίες πληροφορίες που επιτρέπουν στον αποδέκτη να αξιολογήσει την ακρίβεια, την πληρότητα και την αξιοπιστία των επιχειρησιακών δεδομένων προσωπικού χαρακτήρα, καθώς και τον βαθμό επικαιροποίησής τους.

3.   Σε περίπτωση που διαπιστωθεί ότι έχουν διαβιβαστεί ανακριβή επιχειρησιακά δεδομένα προσωπικού χαρακτήρα ή ότι τα επιχειρησιακά δεδομένα προσωπικού χαρακτήρα διαβιβάστηκαν παρανόμως, ο αποδέκτης τους ενημερώνεται αμελλητί. Στην περίπτωση αυτή, τα εν λόγω επιχειρησιακά δεδομένα προσωπικού χαρακτήρα διορθώνονται, διαγράφονται ή περιορίζεται η επεξεργασία τους σύμφωνα με το άρθρο 82.

1.   Όταν το δίκαιο της Ένωσης που εφαρμόζεται στον υπεύθυνο επεξεργασίας που πραγματοποιεί τη διαβίβαση προβλέπει ειδικούς όρους κατά την επεξεργασία, ο υπεύθυνος επεξεργασίας ενημερώνει τον αποδέκτη των επιχειρησιακών δεδομένων προσωπικού χαρακτήρα για τους όρους αυτούς και για την υποχρέωση τήρησής τους.

2.   Ο υπεύθυνος επεξεργασίας τηρεί τους ειδικούς όρους επεξεργασίας όσον αφορά την επεξεργασία που παρέχεται από διαβιβάζουσα αρμόδια αρχή σύμφωνα με το άρθρο 9 παράγραφοι 3 και 4 της οδηγίας (ΕΕ) 2016/680.

1.   Η επεξεργασία επιχειρησιακών δεδομένων προσωπικού χαρακτήρα που αποκαλύπτουν τη φυλετική ή εθνοτική καταγωγή, τα πολιτικά φρονήματα, τις θρησκευτικές ή φιλοσοφικές πεποιθήσεις, ή τη συμμετοχή σε συνδικαλιστική οργάνωση, καθώς και η επεξεργασία γενετικών δεδομένων, βιομετρικών δεδομένων για την αποκλειστική ταυτοποίηση ενός φυσικού προσώπου, επιχειρησιακών δεδομένων προσωπικού χαρακτήρα που αφορούν την υγεία ή τη σεξουαλική ζωή ή τον σεξουαλικό προσανατολισμό επιτρέπονται μόνο όταν αυτό είναι απολύτως απαραίτητο, για επιχειρησιακούς σκοπούς και στο πλαίσιο της εντολής του σχετικού οργάνου ή οργανισμού της Ένωσης και με την επιφύλαξη των κατάλληλων εγγυήσεων για τα δικαιώματα και τις ελευθερίες του υποκειμένου των δεδομένων. Απαγορεύεται η διακριτική μεταχείριση φυσικών προσώπων με βάση τα εν λόγω δεδομένα προσωπικού χαρακτήρα.

2.   Ο υπεύθυνος προστασίας των δεδομένων ενημερώνεται αμελλητί σχετικά με την επίκληση του παρόντος άρθρου.

1.   Απαγορεύεται η λήψη απόφασης που βασίζεται αποκλειστικά σε αυτοματοποιημένη επεξεργασία, περιλαμβανομένης της κατάρτισης προφίλ, η οποία παράγει δυσμενή έννομα αποτελέσματα για το υποκείμενο των δεδομένων ή το θίγει σε μεγάλο βαθμό, εκτός εάν επιτρέπεται από το δίκαιο της Ένωσης στο οποίο υπάγεται ο υπεύθυνος επεξεργασίας και το οποίο προβλέπει κατάλληλες εγγυήσεις υπέρ των δικαιωμάτων και των ελευθεριών του υποκειμένου των δεδομένων, τουλάχιστον δε το δικαίωμα εξασφάλισης ανθρώπινης παρέμβασης εκ μέρους του υπεύθυνου επεξεργασίας.

2.   Οι αποφάσεις που αναφέρονται στην παράγραφο 1 του παρόντος άρθρου δεν βασίζονται στις ειδικές κατηγορίες δεδομένων προσωπικού χαρακτήρα που αναφέρονται στο άρθρο 76, εκτός εάν υφίστανται κατάλληλα μέτρα για την προστασία των δικαιωμάτων, των ελευθεριών και των έννομων συμφερόντων του υποκειμένου των δεδομένων.

3.   Η κατάρτιση προφίλ που έχει ως αποτέλεσμα διακρίσεις εις βάρος φυσικών προσώπων με βάση τις ειδικές κατηγορίες δεδομένων προσωπικού χαρακτήρα που αναφέρονται στο άρθρο 76 απαγορεύεται σύμφωνα με το δίκαιο της Ένωσης.

1.   Ο υπεύθυνος επεξεργασίας λαμβάνει όλα τα εύλογα μέτρα για να παρέχει στο υποκείμενο των δεδομένων κάθε πληροφορία που μνημονεύεται στο άρθρο 79 και προβαίνει σε κάθε γνωστοποίηση βάσει των άρθρων 80 έως 84 και του άρθρου 92 σχετικά με την επεξεργασία σε συνοπτική, κατανοητή και ευκόλως προσβάσιμη μορφή, χρησιμοποιώντας σαφή και απλή διατύπωση. Οι πληροφορίες παρέχονται με κάθε κατάλληλο μέσο, μεταξύ άλλων και με ηλεκτρονικά μέσα. Κατά γενικό κανόνα, ο υπεύθυνος επεξεργασίας παρέχει τις πληροφορίες με την ίδια μορφή που υποβλήθηκε η αίτηση.

2.   Ο υπεύθυνος επεξεργασίας διευκολύνει την άσκηση των δικαιωμάτων των υποκειμένων των δεδομένων που προβλέπονται στα άρθρα 79 έως 84.

3.   Ο υπεύθυνος επεξεργασίας ενημερώνει γραπτώς και χωρίς αδικαιολόγητη καθυστέρηση το υποκείμενο των δεδομένων σχετικά με τη συνέχεια που δίνεται στην αίτησή του, και σε κάθε περίπτωση το αργότερο εντός τριών μηνών από την παραλαβή της αίτησης που υποβλήθηκε από το υποκείμενο των δεδομένων.

4.   Ο υπεύθυνος επεξεργασίας προβλέπει ότι οι πληροφορίες που παρέχονται σύμφωνα με το άρθρο 79 και κάθε ενημέρωση ή ενέργεια βάσει των άρθρων 80 έως 84 και του άρθρου 92 παρέχονται χωρίς οικονομική επιβάρυνση. Εάν τα αιτήματα του υποκειμένου των δεδομένων είναι προδήλως αβάσιμα ή υπερβολικά, ιδίως λόγω του επαναλαμβανόμενου χαρακτήρα τους, ο υπεύθυνος επεξεργασίας μπορεί να αρνηθεί να ανταποκριθεί στο αίτημα. Ο υπεύθυνος επεξεργασίας φέρει το βάρος απόδειξης του προδήλως αβάσιμου ή του υπερβολικού χαρακτήρα του αιτήματος.

5.   Εάν ο υπεύθυνος επεξεργασίας έχει εύλογες αμφιβολίες σχετικά με την ταυτότητα του φυσικού προσώπου που υποβάλλει το αίτημα του άρθρου 80 ή 82, ο υπεύθυνος επεξεργασίας δύναται να ζητήσει την παροχή πρόσθετων πληροφοριών αναγκαίων για την επιβεβαίωση της ταυτότητας του υποκειμένου των δεδομένων.

1.   Ο υπεύθυνος επεξεργασίας παρέχει στο υποκείμενο των δεδομένων τουλάχιστον τις ακόλουθες πληροφορίες:

2.   Εκτός από τις πληροφορίες που αναφέρονται στην παράγραφο 1, ο υπεύθυνος επεξεργασίας παρέχει στο υποκείμενο των δεδομένων, σε συγκεκριμένες περιπτώσεις που προβλέπονται στο δίκαιο της Ένωσης, προκειμένου να καταστεί δυνατή η άσκηση των δικαιωμάτων του, τις ακόλουθες συμπληρωματικές πληροφορίες που αφορούν:

3.   Ο υπεύθυνος επεξεργασίας μπορεί να καθυστερεί, να περιορίζει ή να παραλείπει την παροχή πληροφοριών στο υποκείμενο των δεδομένων σύμφωνα με την παράγραφο 2 εφόσον και στον βαθμό που ένα τέτοιο μέτρο είναι αναγκαίο και αναλογικό σε μια δημοκρατική κοινωνία, λαμβανομένων δεόντως υπόψη των θεμελιωδών δικαιωμάτων και των έννομων συμφερόντων του ενδιαφερόμενου φυσικού προσώπου, με σκοπό:

1.   Ο υπεύθυνος επεξεργασίας μπορεί να περιορίζει εν όλω ή εν μέρει το δικαίωμα πρόσβασης του υποκειμένου των δεδομένων στον βαθμό και για το χρονικό διάστημα που ένας τέτοιος μερικός ή πλήρης περιορισμός συνιστά αναγκαίο και αναλογικό μέτρο σε μια δημοκρατική κοινωνία, λαμβανομένων δεόντως υπόψη των θεμελιωδών δικαιωμάτων και των έννομων συμφερόντων του ενδιαφερόμενου φυσικού προσώπου, με σκοπό:

2.   Στις περιπτώσεις της παραγράφου 1, ο υπεύθυνος επεξεργασίας ενημερώνει εγγράφως και αμελλητί το υποκείμενο των δεδομένων για κάθε άρνηση ή περιορισμό πρόσβασης και για τους λόγους της άρνησης ή του περιορισμού. Η ενημέρωση αυτή μπορεί να παραλείπεται εάν η παροχή των σχετικών πληροφοριών υπονομεύει έναν από τους σκοπούς της παραγράφου 1. Ο υπεύθυνος επεξεργασίας ενημερώνει το υποκείμενο των δεδομένων για τη δυνατότητά του να προβεί σε καταγγελία στον Ευρωπαίο Επόπτη Προστασίας Δεδομένων ή να ασκήσει δικαστική προσφυγή ενώπιον του Δικαστηρίου. Ο υπεύθυνος επεξεργασίας τεκμηριώνει τους πραγματικούς ή νομικούς λόγους επί των οποίων βασίζεται η απόφαση. Οι πληροφορίες αυτές τίθενται κατόπιν αιτήματος στη διάθεση του Ευρωπαίου Επόπτη Προστασίας Δεδομένων.

1.   Το υποκείμενο των δεδομένων έχει το δικαίωμα να απαιτήσει από τον υπεύθυνο επεξεργασίας τη διόρθωση, χωρίς αδικαιολόγητη καθυστέρηση, ανακριβών επιχειρησιακών δεδομένων προσωπικού χαρακτήρα που το αφορούν. Έχοντας υπόψη τους σκοπούς της επεξεργασίας, το υποκείμενο των δεδομένων έχει το δικαίωμα να απαιτήσει τη συμπλήρωση ελλιπών επιχειρησιακών δεδομένων προσωπικού χαρακτήρα, μεταξύ άλλων μέσω συμπληρωματικής δήλωσης.

2.   Ο υπεύθυνος επεξεργασίας διαγράφει τα επιχειρησιακά δεδομένα προσωπικού χαρακτήρα χωρίς αδικαιολόγητη καθυστέρηση και το υποκείμενο των δεδομένων έχει το δικαίωμα να εξασφαλίσει από τον υπεύθυνο επεξεργασίας τη διαγραφή των επιχειρησιακών προσωπικών δεδομένων που το αφορούν χωρίς αδικαιολόγητη καθυστέρηση, όταν η επεξεργασία παραβιάζει το άρθρο 71, το άρθρο 72 παράγραφος 1 ή το άρθρο 76, ή όταν τα δεδομένα πρέπει να διαγραφούν σύμφωνα με εκ του νόμου υποχρέωση που υπέχει ο υπεύθυνος επεξεργασίας.

3.   Αντί της διαγραφής, ο υπεύθυνος επεξεργασίας περιορίζει την επεξεργασία, εάν:

Εάν η επεξεργασία περιορίζεται δυνάμει του στοιχείου α) του πρώτου εδαφίου, ο υπεύθυνος επεξεργασίας ενημερώνει το υποκείμενο των δεδομένων πριν από την άρση του περιορισμού της επεξεργασίας.

Τα δεδομένα που αφορά ο περιορισμός υποβάλλονται σε επεξεργασία μόνο για τον σκοπό για τον οποίο παρεμποδίστηκε η διαγραφή τους.

4.   Ο υπεύθυνος επεξεργασίας ενημερώνει γραπτώς το υποκείμενο των δεδομένων για κάθε άρνηση διόρθωσης ή διαγραφής επιχειρησιακών δεδομένων προσωπικού χαρακτήρα ή περιορισμού της επεξεργασίας, καθώς και για τους λόγους της άρνησης. Ο υπεύθυνος επεξεργασίας μπορεί να περιορίζει εν όλω ή εν μέρει την παροχή της εν λόγω ενημέρωσης στον βαθμό που ο εν λόγω περιορισμός συνιστά αναγκαίο και αναλογικό μέτρο σε μια δημοκρατική κοινωνία, λαμβανομένων δεόντως υπόψη των θεμελιωδών δικαιωμάτων και των έννομων συμφερόντων του ενδιαφερόμενου φυσικού προσώπου, με σκοπό:

Ο υπεύθυνος επεξεργασίας ενημερώνει το υποκείμενο των δεδομένων για τη δυνατότητα να προβεί σε καταγγελία στον Ευρωπαίο Επόπτη Προστασίας Δεδομένων ή να ασκήσει δικαστική προσφυγή ενώπιον του Δικαστηρίου.

5.   Ο υπεύθυνος επεξεργασίας γνωστοποιεί τη διόρθωση ανακριβών επιχειρησιακών δεδομένων προσωπικού χαρακτήρα στην αρμόδια αρχή από την οποία προέρχονται τα ανακριβή επιχειρησιακά δεδομένα προσωπικού χαρακτήρα.

6.   Ο υπεύθυνος επεξεργασίας ειδοποιεί τους αποδέκτες στις περιπτώσεις που τα επιχειρησιακά δεδομένα προσωπικού χαρακτήρα διορθώθηκαν ή διαγράφηκαν ή περιορίστηκε η επεξεργασία τους σύμφωνα με την παράγραφο 1, 2 ή 3 και τους ενημερώνει ότι οφείλουν να διορθώσουν ή να διαγράψουν τα επιχειρησιακά δεδομένα προσωπικού χαρακτήρα ή να περιορίσουν την επεξεργασία των υπ’ ευθύνη τους επιχειρησιακών δεδομένων προσωπικού χαρακτήρα.

1.   Στις περιπτώσεις που προβλέπονται στο άρθρο 79 παράγραφος 3, στο άρθρο 81 και στο άρθρο 82 παράγραφος 4, τα δικαιώματα του υποκειμένου των δεδομένων μπορούν επίσης να ασκούνται μέσω του Ευρωπαίου Επόπτη Προστασίας Δεδομένων.

2.   Ο υπεύθυνος επεξεργασίας ενημερώνει το υποκείμενο των δεδομένων σχετικά με τη δυνατότητα να ασκήσει τα δικαιώματά του μέσω του Ευρωπαίου Επόπτη Προστασίας Δεδομένων σύμφωνα με την παράγραφο 1.

3.   Όταν ασκείται το δικαίωμα που αναφέρεται στην παράγραφο 1, ο Ευρωπαίος Επόπτης Προστασίας Δεδομένων ενημερώνει κατ’ ελάχιστον το υποκείμενο των δεδομένων ότι έχουν διενεργηθεί από αυτόν όλες οι αναγκαίοι έλεγχοι ή μια επανεξέταση. Ο Ευρωπαίος Επόπτης Προστασίας Δεδομένων ενημερώνει επίσης το υποκείμενο των δεδομένων για το δικαίωμά του να ασκήσει προσφυγή ενώπιον του Δικαστηρίου.

1.   Ο υπεύθυνος επεξεργασίας, λαμβάνοντας υπόψη τη διαθέσιμη τεχνολογία, το κόστος εφαρμογής και τη φύση, την έκταση, το πλαίσιο και τους σκοπούς της επεξεργασίας καθώς και την πιθανότητα και τη σοβαρότητα του κινδύνου που θέτει η επεξεργασία για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, εφαρμόζει, τόσο κατά τον καθορισμό των μέσων επεξεργασίας όσο και κατά την ίδια την επεξεργασία, κατάλληλα τεχνικά και οργανωτικά μέτρα, όπως η ψευδωνυμοποίηση, τα οποία έχουν σχεδιαστεί για να εφαρμόζονται οι αρχές προστασίας των δεδομένων, όπως η ελαχιστοποίηση των δεδομένων με αποτελεσματικό τρόπο, και για να ενσωματώνονται οι απαραίτητες εγγυήσεις κατά την επεξεργασία, προκειμένου να πληρούνται οι απαιτήσεις του παρόντος κανονισμού και της νομικής πράξης που τον συστήνει και να προστατεύονται τα δικαιώματα των υποκειμένων των δεδομένων.

2.   Ο υπεύθυνος επεξεργασίας εφαρμόζει κατάλληλα τεχνικά και οργανωτικά μέτρα για να διασφαλίζει ότι, εξ ορισμού, υποβάλλονται σε επεξεργασία μόνον τα επιχειρησιακά δεδομένα προσωπικού χαρακτήρα τα οποία είναι κατάλληλα, συναφή και εύλογα σε σχέση με τους σκοπούς της επεξεργασίας. Η υποχρέωση αυτή ισχύει για την ποσότητα των επιχειρησιακών δεδομένων προσωπικού χαρακτήρα που συλλέγονται, την έκταση της επεξεργασίας τους, το χρονικό διάστημα αποθήκευσης και την προσβασιμότητά τους. Ειδικότερα, με τα εν λόγω μέτρα διασφαλίζεται ότι, εξ ορισμού, τα επιχειρησιακά δεδομένα προσωπικού χαρακτήρα δεν καθίστανται προσβάσιμα σε αόριστο αριθμό φυσικών προσώπων χωρίς την παρέμβαση του ενδιαφερόμενου ατόμου.

1.   Σε περίπτωση που δύο ή περισσότεροι υπεύθυνοι επεξεργασίας ή ένας ή περισσότεροι υπεύθυνοι επεξεργασίας μαζί με έναν ή περισσότερους υπευθύνους επεξεργασίας που δεν είναι όργανα και οργανισμοί της Ένωσης καθορίζουν από κοινού τους σκοπούς και τα μέσα της επεξεργασίας, αποτελούν από κοινού υπεύθυνους επεξεργασίας. Αυτοί καθορίζουν με διαφανή τρόπο τις αντίστοιχες ευθύνες τους για συμμόρφωση προς τις υποχρεώσεις που υπέχουν στον τομέα της προστασίας των δεδομένων, ιδίως όσον αφορά την άσκηση των δικαιωμάτων του υποκειμένου των δεδομένων και τα αντίστοιχα καθήκοντά τους όσον αφορά την παροχή των πληροφοριών που αναφέρονται στο άρθρο 79, μέσω συμφωνίας μεταξύ τους, εκτός εάν και στον βαθμό που οι αντίστοιχες αρμοδιότητες των από κοινού υπευθύνων επεξεργασίας καθορίζονται από το δίκαιο της Ένωσης ή το δίκαιο του κράτους μέλους στο οποίο υπόκεινται οι από κοινού υπεύθυνοι επεξεργασίας. Στη συμφωνία μπορεί να ορίζεται ένα σημείο επικοινωνίας για τα υποκείμενα των δεδομένων.

2.   Στη συμφωνία που αναφέρεται στην παράγραφο 1 αποτυπώνονται δεόντως οι αντίστοιχοι ρόλοι και οι σχέσεις των από κοινού υπευθύνων επεξεργασίας έναντι του υποκειμένου των δεδομένων. Το περιεχόμενο της συμφωνίας τίθεται στη διάθεση του υποκειμένου των δεδομένων.

3.   Ανεξάρτητα από τους όρους της συμφωνίας που αναφέρεται στην παράγραφο 1, το υποκείμενο των δεδομένων μπορεί να ασκήσει τα δικαιώματά του δυνάμει του παρόντος κανονισμού έναντι και κατά καθενός από τους υπευθύνους επεξεργασίας.

1.   Όταν η επεξεργασία πρόκειται να διενεργηθεί για λογαριασμό υπεύθυνου επεξεργασίας, ο υπεύθυνος επεξεργασίας χρησιμοποιεί μόνο εκτελούντες την επεξεργασία που παρέχουν επαρκείς εγγυήσεις για την εφαρμογή κατάλληλων τεχνικών και οργανωτικών μέτρων, κατά τρόπο ώστε η επεξεργασία να πληροί τις απαιτήσεις του παρόντος κανονισμού και της νομικής πράξης που συστήνει τον υπεύθυνο επεξεργασίας και να διασφαλίζεται η προστασία των δικαιωμάτων του υποκειμένου των δεδομένων.

2.   Ο εκτελών την επεξεργασία δεν προσλαμβάνει άλλον εκτελούντα την επεξεργασία χωρίς προηγούμενη ειδική ή γενική γραπτή άδεια του υπεύθυνου επεξεργασίας. Σε περίπτωση γενικής γραπτής άδειας, ο εκτελών την επεξεργασία ενημερώνει τον υπεύθυνο επεξεργασίας για τυχόν σκοπούμενες αλλαγές που αφορούν την προσθήκη ή την αντικατάσταση άλλων εκτελούντων την επεξεργασία, παρέχοντας με τον τρόπο αυτό τη δυνατότητα στον υπεύθυνο επεξεργασίας να αντιταχθεί σε αυτές τις αλλαγές.

3.   Η διενέργεια της επεξεργασίας από τον εκτελούντα την επεξεργασία διέπεται από σύμβαση ή άλλη νομική πράξη υπαγόμενη στο δίκαιο της Ένωσης ή στο δίκαιο κράτους μέλους που δεσμεύει τον εκτελούντα την επεξεργασία σε σχέση με τον υπεύθυνο επεξεργασίας και καθορίζει το αντικείμενο και τη διάρκεια της επεξεργασίας, τη φύση και τον σκοπό της επεξεργασίας, το είδος των επιχειρησιακών δεδομένων προσωπικού χαρακτήρα και τις κατηγορίες των υποκειμένων των δεδομένων και τις υποχρεώσεις και τα δικαιώματα του υπεύθυνου επεξεργασίας. Η εν λόγω σύμβαση ή άλλη νομική πράξη προβλέπει ειδικότερα ότι ο εκτελών την επεξεργασία:

4.   Η σύμβαση ή η άλλη νομική πράξη που προβλέπεται στην παράγραφο 3 συντάσσεται γραπτώς, μεταξύ άλλων και σε ηλεκτρονική μορφή.

5.   Εάν ο εκτελών την επεξεργασία παραβιάζει τον παρόντα κανονισμό ή τη νομική πράξη που συστήνει τον υπεύθυνο επεξεργασίας καθορίζοντας τους στόχους και τα μέσα επεξεργασίας, ο εκτελών την επεξεργασία θεωρείται υπεύθυνος επεξεργασίας σε σχέση με τη συγκεκριμένη επεξεργασία.

1.   Ο υπεύθυνος επεξεργασίας τηρεί καταχωρίσεις για κάθε μια από τις εξής πράξεις επεξεργασίας σε συστήματα αυτοματοποιημένης επεξεργασίας: συλλογή, μεταβολή, πρόσβαση, αναζήτηση πληροφοριών, γνωστοποίηση, περιλαμβανομένων των διαβιβάσεων, συνδυασμός και διαγραφή επιχειρησιακών δεδομένων προσωπικού χαρακτήρα. Οι καταχωρίσεις που αφορούν αναζήτηση πληροφοριών και της γνωστοποίησης επιτρέπουν τον προσδιορισμό της αιτιολόγησης, της ημερομηνίας και της ώρας των εν λόγω πράξεων, της ταυτότητας του προσώπου που αναζήτησε πληροφορίες ή γνωστοποίησε επιχειρησιακά δεδομένα προσωπικού χαρακτήρα, καθώς και, στο βαθμό του εφικτού, της ταυτότητας των αποδεκτών των εν λόγω επιχειρησιακών δεδομένων προσωπικού χαρακτήρα.

2.   Οι καταχωρίσεις χρησιμοποιούνται αποκλειστικά για τον έλεγχο της νομιμότητας της επεξεργασίας, την αυτοπαρακολούθηση, τη διασφάλιση της ακεραιότητας και της ασφάλειας των επιχειρησιακών δεδομένων προσωπικού χαρακτήρα, καθώς και στο πλαίσιο ποινικών διαδικασιών. Οι καταχωρίσεις αυτές διαγράφονται έπειτα από τρία έτη, εκτός εάν τα δεδομένα είναι αναγκαία για διεξαγόμενο έλεγχο.

3.   Ο υπεύθυνος επεξεργασίας θέτει, κατόπιν αιτήματος, τα αρχεία στη διάθεση του οικείου υπευθύνου προστασίας δεδομένων και του Ευρωπαίου Επόπτη Προστασίας Δεδομένων.

1.   Όταν ένα είδος επεξεργασίας, ιδίως με χρήση νέων τεχνολογιών και λαμβανομένων υπόψη της φύσης, του πεδίου εφαρμογής, του πλαισίου και των σκοπών της επεξεργασίας, είναι πιθανόν να προκαλέσει μεγάλο κίνδυνο για τα δικαιώματα και τις ελευθερίες φυσικών προσώπων, ο υπεύθυνος επεξεργασίας, πριν από την επεξεργασία, προβαίνει σε εκτίμηση επιπτώσεων των προβλεπόμενων πράξεων επεξεργασίας στην προστασία των επιχειρησιακών δεδομένων προσωπικού χαρακτήρα.

2.   Η εκτίμηση που προβλέπεται στην παράγραφο 1 περιέχει τουλάχιστον γενική περιγραφή των προβλεπόμενων πράξεων επεξεργασίας, εκτίμηση των κινδύνων για τα δικαιώματα και τις ελευθερίες των υποκειμένων των δεδομένων, τα μέτρα που προβλέπονται για την αντιμετώπιση των κινδύνων αυτών, εγγυήσεις, μέτρα και μηχανισμούς ασφαλείας ώστε να διασφαλίζεται η προστασία των επιχειρησιακών δεδομένων προσωπικού χαρακτήρα και να αποδεικνύεται η συμμόρφωση προς τους κανόνες προστασίας των δεδομένων, λαμβανομένων υπόψη των δικαιωμάτων και των έννομων συμφερόντων των υποκειμένων των δεδομένων και άλλων ενδιαφερόμενων προσώπων.

1.   Ο υπεύθυνος επεξεργασίας διαβουλεύεται με τον Ευρωπαίο Επόπτη Προστασίας Δεδομένων πριν από την επεξεργασία που θα περιληφθεί σε νέο σύστημα αρχειοθέτησης που πρόκειται να δημιουργηθεί εφόσον:

2.   Ο Ευρωπαίος Επόπτης Προστασίας Δεδομένων μπορεί να καταρτίζει κατάλογο των πράξεων επεξεργασίας οι οποίες υπόκεινται σε προηγούμενη διαβούλευση δυνάμει της παραγράφου 1.

3.   Ο υπεύθυνος επεξεργασίας διαβιβάζει στον Ευρωπαίο Επόπτη Προστασίας Δεδομένων την εκτίμηση των επιπτώσεων στην προστασία των δεδομένων η οποία αναφέρεται στο άρθρο 89 και, κατόπιν αιτήσεως, κάθε άλλη πληροφορία που επιτρέπει στον Ευρωπαίο Επόπτη Προστασίας Δεδομένων να αξιολογήσει τη συμμόρφωση της επεξεργασίας και ιδίως τους κινδύνους για την προστασία των επιχειρησιακών δεδομένων προσωπικού χαρακτήρα του υποκειμένου των δεδομένων και τις σχετικές εγγυήσεις.

4.   Όταν ο Ευρωπαίος Επόπτης Προστασίας Δεδομένων φρονεί ότι η σχεδιαζόμενη επεξεργασία που προβλέπεται στην παράγραφο 1 ήταν αντίθετη προς τον παρόντα κανονισμό ή τη νομική πράξη που συστήνει το όργανο ή οργανισμό της Ένωσης, ιδίως εάν ο υπεύθυνος επεξεργασίας έχει ανεπαρκώς προσδιορίσει ή μετριάσει τον κίνδυνο, ο Ευρωπαίος Επόπτης Προστασίας Δεδομένων διαβιβάζει, εντός προθεσμίας έξι εβδομάδων από την παραλαβή της αίτησης για διαβούλευση, γραπτές συμβουλές στον υπεύθυνο επεξεργασίας. Η προθεσμία αυτή μπορεί να παραταθεί κατά έναν μήνα, λαμβάνοντας υπόψη την πολυπλοκότητα που χαρακτηρίζει τη σχεδιαζόμενη επεξεργασία. Ο Ευρωπαίος Επόπτης Προστασίας Δεδομένων ενημερώνει τον υπεύθυνο επεξεργασίας για την ενδεχόμενη παράταση εντός ενός μηνός από την παραλαβή της αίτησης για διαβούλευση καθώς και για τους λόγους της καθυστέρησης.

1.   Ο υπεύθυνος επεξεργασίας και ο εκτελών την επεξεργασία, λαμβάνοντας υπόψη την εξέλιξη της τεχνολογίας, το κόστος εφαρμογής και τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας καθώς και το ενδεχόμενο σοβαρού κινδύνου για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, εφαρμόζουν κατάλληλα τεχνικά και οργανωτικά μέτρα ώστε να διασφαλίζεται επίπεδο ασφάλειας κατάλληλο για την αντιμετώπιση του κινδύνου, ιδίως όσον αφορά την επεξεργασία των ειδικών κατηγοριών δεδομένων προσωπικού χαρακτήρα.

2.   Σε σχέση με την αυτοματοποιημένη επεξεργασία, ο υπεύθυνος επεξεργασίας και ο εκτελών την επεξεργασία εφαρμόζουν, κατόπιν αξιολόγησης των κινδύνων, μέτρα με σκοπό:

1.   Σε περίπτωση παραβίασης δεδομένων προσωπικού χαρακτήρα, ο υπεύθυνος επεξεργασίας γνωστοποιεί αμελλητί στον Ευρωπαίο Επόπτη Προστασίας Δεδομένων την παραβίαση των δεδομένων προσωπικού χαρακτήρα και, αν είναι δυνατό, το αργότερο εντός 72 ωρών από τη στιγμή που την αντελήφθη, εκτός εάν πιθανολογείται ότι η παραβίαση δεδομένων προσωπικού χαρακτήρα δεν θα προκαλέσει κίνδυνο για τα δικαιώματα και τις ελευθερίες φυσικών προσώπων. Σε περίπτωση που η γνωστοποίηση στον Ευρωπαίο Επόπτη Προστασίας Δεδομένων δεν πραγματοποιηθεί εντός 72 ωρών συνοδεύεται από αιτιολόγηση για την καθυστέρηση.

2.   Στη γνωστοποίηση που αναφέρεται στην παράγραφο 1 κατ’ ελάχιστον:

3.   Σε περίπτωση και στον βαθμό που δεν είναι δυνατόν να παρασχεθούν οι πληροφορίες που αναφέρονται στην παράγραφο 2 ταυτόχρονα, αυτές μπορούν να παρέχονται σταδιακά χωρίς αδικαιολόγητη περαιτέρω καθυστέρηση.

4.   Ο υπεύθυνος επεξεργασίας τεκμηριώνει κάθε παραβίαση δεδομένων προσωπικού χαρακτήρα που μνημονεύεται στην παράγραφο 1, αναφέροντας τα πραγματικά περιστατικά που αφορούν την παραβίαση, τις συνέπειές της και τα ληφθέντα διαρθρωτικά μέτρα. Η εν λόγω τεκμηρίωση επιτρέπει στον Ευρωπαίο Επόπτη Προστασίας Δεδομένων να ελέγχει την τήρηση του παρόντος άρθρου.

5.   Όταν η παραβίαση επιχειρησιακών δεδομένων προσωπικού χαρακτήρα αφορά δεδομένα που διαβιβάστηκαν από ή προς τις αρμόδιες αρχές, ο υπεύθυνος επεξεργασίας ανακοινώνει τις πληροφορίες που αναφέρονται στην παράγραφο 2 στις οικείες αρμόδιες αρχές χωρίς αδικαιολόγητη καθυστέρηση.

1.   Όταν η παραβίαση δεδομένων προσωπικού χαρακτήρα ενδέχεται να θέσει σε μεγάλο κίνδυνο τα δικαιώματα και τις ελευθερίες φυσικών προσώπων, ο υπεύθυνος επεξεργασίας ανακοινώνει αμελλητί την παραβίαση των δεδομένων προσωπικού χαρακτήρα στο υποκείμενο των δεδομένων.

2.   Η ανακοίνωση στο υποκείμενο των δεδομένων η οποία προβλέπεται στην παράγραφο 1 του παρόντος άρθρου περιγράφει με σαφήνεια και απλότητα τη φύση της παραβίασης δεδομένων προσωπικού χαρακτήρα και περιέχει τουλάχιστον τις πληροφορίες και τις συστάσεις του άρθρου 92 παράγραφος 2 στοιχεία β), γ) και δ).

3.   Η ανακοίνωση στο υποκείμενο των δεδομένων, η οποία προβλέπεται στην παράγραφο 1 δεν απαιτείται, εφόσον πληρούται κάποιος από τους παρακάτω όρους:

4.   Εάν ο υπεύθυνος επεξεργασίας δεν έχει ήδη ανακοινώσει την παραβίαση των δεδομένων προσωπικού χαρακτήρα στο υποκείμενο των δεδομένων, ο Ευρωπαίος Επόπτης Προστασίας Δεδομένων, έχοντας εξετάσει την πιθανότητα να προκύπτει μεγάλος κίνδυνος από την παραβίαση των δεδομένων προσωπικού χαρακτήρα, μπορεί να του ζητήσει να το πράξει ή μπορεί να αποφασίσει ότι πληρούται κάποια από τις προϋποθέσεις που αναφέρονται στην παράγραφο 3.

5.   Η ανακοίνωση στο υποκείμενο των δεδομένων που προβλέπεται στην παράγραφο 1 του παρόντος άρθρου μπορεί να καθυστερήσει, να περιοριστεί ή να παραλειφθεί, υπό τους όρους και για τους λόγους που αναφέρονται στο άρθρο 79 παράγραφος 3.

1.   Υπό την επιφύλαξη των περιορισμών και των προϋποθέσεων που προβλέπονται στις νομικές πράξεις που συστήνουν το όργανο ή τον οργανισμό της Ένωσης, ο υπεύθυνος επεξεργασίας δύναται να διαβιβάζει δεδομένα προσωπικού χαρακτήρα σε αρχή τρίτης χώρας ή σε διεθνή οργανισμό, στον βαθμό που η διαβίβαση αυτή είναι αναγκαία για την άσκηση των καθηκόντων του υπεύθυνου επεξεργασίας και μόνο εφόσον πληρούνται οι ακόλουθες προϋποθέσεις που ορίζονται στο παρόν άρθρο:

2.   Οι νομικές πράξεις που συστήνουν τα όργανα και τους οργανισμούς της Ένωσης μπορούν να διατηρούν ή να θεσπίζουν πιο ειδικές διατάξεις όσον αφορά τους όρους για τις διεθνείς διαβιβάσεις επιχειρησιακών δεδομένων προσωπικού χαρακτήρα, και ιδίως όσον αφορά τις διαβιβάσεις μέσω κατάλληλων εγγυήσεων και τις παρεκκλίσεις για ειδικές καταστάσεις δεδομένων προσωπικού χαρακτήρα.

3.   Ο υπεύθυνος επεξεργασίας δημοσιεύει στον δικτυακό τόπο του και επικαιροποιεί κατάλογο αποφάσεων περί επάρκειας που αναφέρονται στην παράγραφο 1 στοιχείο α), συμφωνιών, διοικητικών ρυθμίσεων και άλλων πράξεων που αφορούν τη διαβίβαση επιχειρησιακών δεδομένων προσωπικού χαρακτήρα σύμφωνα με την παράγραφο 1.

4.   Ο υπεύθυνος επεξεργασίας διατηρεί λεπτομερή αρχεία για όλες τις διαβιβάσεις που πραγματοποιούνται δυνάμει του παρόντος άρθρου.

1.   Η Επιτροπή επικουρείται από την επιτροπή που έχει συσταθεί με το άρθρο 93 του κανονισμού (ΕΕ) 2016/679. Η εν λόγω επιτροπή αποτελεί επιτροπή κατά την έννοια του κανονισμού (ΕΕ) αριθ. 182/2011.

2.   Οσάκις γίνεται αναφορά στην παρούσα παράγραφο, εφαρμόζεται το άρθρο 5 του κανονισμού (ΕΕ) αριθ. 182/2011.

1.   Έως την 30ή Απριλίου 2022, η Επιτροπή επανεξετάζει τις νομοθετικές πράξεις που έχουν εκδοθεί βάσει των Συνθηκών με τις οποίες ρυθμίζεται η επεξεργασία επιχειρησιακών δεδομένων προσωπικού χαρακτήρα από τα όργανα και τους οργανισμούς της Ένωσης κατά την άσκηση δραστηριοτήτων που εμπίπτουν στο πεδίο εφαρμογής του τρίτου μέρους τίτλος V κεφάλαιο 4 ή κεφάλαιο 5 ΣΛΕΕ, προκειμένου να:

2.   Με βάση την επανεξέταση, και για να εξασφαλιστεί ομοιόμορφη και συνεπής προστασία των φυσικών προσώπων έναντι της επεξεργασίας, η Επιτροπή δύναται να υποβάλει κατάλληλες νομοθετικές προτάσεις, ιδίως προκειμένου να εφαρμοστεί το κεφάλαιο IX του παρόντος κανονισμού στην Ευρωπόλ και την Ευρωπαϊκή Εισαγγελία και συμπεριλαμβανομένων ενδεχομένως προσαρμογών στο κεφάλαιο IX του παρόντος κανονισμού.

1.   Η απόφαση 2014/886/ΕΕ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (20) και οι θητείες του νυν Ευρωπαίου Επόπτη Προστασίας Δεδομένων και του νυν αναπληρωτή Επόπτη δεν επηρεάζονται από τον παρόντα κανονισμό.

2.   Ο αναπληρωτής Επόπτης εξομοιώνεται με τον γραμματέα του Δικαστηρίου της Ευρωπαϊκής Ένωσης όσον αφορά τον καθορισμό του μισθού του, των επιδομάτων του, της σύνταξης αρχαιότητας, καθώς και κάθε άλλης παροχής που εξομοιώνεται με αποδοχές.

3.   Το άρθρο 53 παράγραφοι 4, 5 και 7 και τα άρθρα 55 και 56 του παρόντος κανονισμού εφαρμόζονται στον νυν αναπληρωτή Επόπτη μέχρι τη λήξη της θητείας του.

4.   Ο αναπληρωτής Επόπτης επικουρεί τον Ευρωπαίο Επόπτη Προστασίας Δεδομένων στην εκπλήρωση των καθηκόντων του και αναπληρώνει τον νυν Ευρωπαίο Επόπτη Προστασίας Δεδομένων σε περίπτωση απουσίας ή κωλύματος μέχρι τη λήξη της θητείας του αναπληρωτή Επόπτη.

1.   Ο παρών κανονισμός αρχίζει να ισχύει την εικοστή ημέρα από τη δημοσίευσή του στην Επίσημη Εφημερίδα της Ευρωπαϊκής Ένωσης.

2.   Ωστόσο, ο παρών κανονισμός εφαρμόζεται στην επεξεργασία δεδομένων προσωπικού χαρακτήρα από την Eurojust από 12ης Δεκεμβρίου 2019 .