1.   Šiuo reglamentu nustatomos taisyklės, susijusios su fizinių asmenų apsauga Sąjungos institucijoms ir organams tvarkant asmens duomenis, ir taisyklės, susijusios su laisvu asmens duomenų judėjimu tarp šių institucijų arba kitiems Sąjungoje įsteigtiems gavėjams.

2.   Šiuo reglamentu saugomos fizinių asmenų pagrindinės teisės ir laisvės, visų pirma jų teisė į asmens duomenų apsaugą.

3.   Europos duomenų apsaugos priežiūros pareigūnas stebi šio reglamento nuostatų taikymą visoms Sąjungos institucijos ar organo atliekamoms duomenų tvarkymo operacijoms.

1.   Šis reglamentas taikomas visų Sąjungos institucijų ir organų atliekamam asmens duomenų tvarkymui.

2.   Sąjungos organų, tarnybų ir agentūrų, vykdančių veiklą, kuriai taikomas SESV Trečiosios dalies V antraštinės dalies 4 skyrius ar 5 skyrius, atliekamam operatyvinių asmens duomenų tvarkymui taikomi tik šio reglamento 3 straipsnis ir IX skyrius.

3.   Šis reglamentas netaikomas Europolo ir Europos prokuratūros atliekamam operatyvinių asmens duomenų tvarkymui, kol Europos Parlamento ir Tarybos reglamentas (ES) 2016/794 (15) ir Tarybos reglamentas (ES) 2017/1939 (16) nebus pritaikyti, kaip numatyta pagal šio reglamento 98 straipsnį.

4.   Šis reglamentas netaikomas ES sutarties 42 straipsnio 1 dalyje, 43 ir 44 straipsniuose nurodytų misijų atliekamam asmens duomenų tvarkymui.

5.   Šis reglamentas taikomas asmens duomenų tvarkymui visiškai arba iš dalies automatizuotomis priemonėmis ir asmens duomenų tvarkymui neautomatizuotomis priemonėmis, kai šie duomenys laikomi arba juos ketinama laikyti susistemintame rinkinyje.

1.   Asmens duomenys turi būti:

2.   Duomenų valdytojas yra atsakingas už tai, kad būtų laikomasi 1 dalies, ir turi sugebėti įrodyti, kad jos laikomasi (atskaitomybės principas).

1.   Duomenų tvarkymas yra teisėtas tik tuo atveju, jeigu taikoma bent viena iš šių sąlygų, ir tik tokiu mastu, kokiu ji yra taikoma:

2.   1 dalies a ir b punktuose nurodytas duomenų tvarkymo pagrindas turi būti nustatytas Sąjungos teisėje.

1.   Kai duomenys tvarkomi remiantis sutikimu, duomenų valdytojas turi galėti įrodyti, kad duomenų subjektas davė sutikimą, kad būtų tvarkomi jo asmens duomenys.

2.   Jeigu duomenų subjekto sutikimas duodamas rašytiniu pareiškimu, susijusiu ir su kitais klausimais, prašymas duoti sutikimą pateikiamas tokiu būdu, kad jis būtų aiškiai atskirtas nuo kitų klausimų, pateiktas suprantama ir lengvai prieinama forma, aiškia ir paprasta kalba. Jokia tokio pareiškimo dalis, kuria pažeidžiamas šis reglamentas, nėra privaloma.

3.   Duomenų subjektas turi teisę bet kuriuo metu atšaukti savo sutikimą. Sutikimo atšaukimas nedaro poveikio sutikimu pagrįsto duomenų tvarkymo, atlikto iki sutikimo atšaukimo, teisėtumui. Duomenų subjektas apie tai informuojamas prieš jam duodant sutikimą. Atšaukti sutikimą turi būti taip pat lengva, kaip jį duoti.

4.   Vertinant, ar sutikimas duotas laisva valia, labiausiai atsižvelgiama į tai, ar, inter alia, sutarties vykdymui, įskaitant paslaugos teikimą, yra nustatyta sąlyga, kad turi būti duotas sutikimas tvarkyti asmens duomenis, kurie nėra būtini tai sutarčiai vykdyti.

1.   Kai taikomas 5 straipsnio 1 dalies d punktas, kiek tai susiję su informacinės visuomenės paslaugų tiesioginiu siūlymu vaikui, vaiko asmens duomenų tvarkymas yra teisėtas tik tuo atveju, jei vaikas yra bent 13 metų amžiaus. Kai vaikas yra jaunesnis nei 13 metų, toks tvarkymas yra teisėtas tik tuo atveju, jeigu tą sutikimą davė arba tvarkyti duomenis leido vaiko tėvų pareigų turėtojas, ir tokiu mastu, kokiu duotas toks sutikimas ar leidimas.

2.   Duomenų valdytojas, atsižvelgdamas į turimas technologijas, deda pagrįstas pastangas, kad tokiais atvejais patikrintų, ar yra gautas vaiko tėvų pareigų turėtojo sutikimas arba leidimas.

3.   1 dalis nedaro poveikio bendrajai valstybių narių sutarčių teisei, kaip antai taisyklėms dėl su vaiku sudaromos sutarties galiojimo, sudarymo arba poveikio.

1.   Nedarant poveikio 4–6 ir 10 straipsniams, asmens duomenys perduodami Sąjungoje įsteigtiems gavėjams, kurie nėra Sąjungos institucijos ir organai, jei:

2.   Jei duomenų valdytojas inicijuoja duomenų perdavimą pagal šį straipsnį, jis turi įrodyti, kad asmens duomenų perdavimas yra būtinas jų perdavimo tikslais ir proporcingas šiems tikslams, taikydamas šio straipsnio 1 dalies a arba b punktuose nustatytus kriterijus.

3.   Sąjungos institucijos ir organai suderina teisę į asmens duomenų apsaugą su teise susipažinti su dokumentais pagal Sąjungos teisę.

1.   Draudžiama tvarkyti asmens duomenis, atskleidžiančius rasinę ar etninę kilmę, politines pažiūras, religinius ar filosofinius įsitikinimus ar narystę profesinėse sąjungose, taip pat tvarkyti genetinius duomenis, biometrinius duomenis, siekiant konkrečiai nustatyti fizinio asmens tapatybę, sveikatos duomenis arba duomenis apie fizinio asmens lytinį gyvenimą ir lytinę orientaciją.

2.   1 dalis netaikoma, jei taikoma viena iš toliau nurodytų sąlygų:

3.   1 dalyje nurodyti asmens duomenys gali būti tvarkomi 2 dalies h punkte nurodytais tikslais, kai tuos duomenis tvarko specialistas, kuriam pagal Sąjungos arba valstybės narės teisę arba nacionalinių kompetentingų įstaigų nustatytas taisykles taikoma pareiga saugoti profesinę paslaptį, arba duomenys tvarkomi jo atsakomybe, arba kitas asmuo, kuriam pagal Sąjungos arba valstybės narės teisę arba nacionalinių kompetentingų įstaigų nustatytas taisykles taip pat taikoma pareiga saugoti paslaptį.

1.   Jeigu dėl tikslų, kuriais duomenų valdytojas tvarko asmens duomenis, duomenų valdytojui nebūtina ar nebėra būtina nustatyti duomenų subjekto tapatybės, duomenų valdytojas nėra įpareigojamas laikyti, gauti ar tvarkyti papildomą informaciją duomenų subjekto tapatybei nustatyti vien tam, kam būtų laikomasi šio reglamento.

2.   Kai šio straipsnio 1 dalyje nurodytais atvejais duomenų valdytojas gali įrodyti, kad neturi galimybės nustatyti duomenų subjekto tapatybės, duomenų valdytojas, jei įmanoma, informuoja apie tai duomenų subjektą. Tokiais atvejais 17–22 straipsniai netaikomi, išskyrus atvejus, kai duomenų subjektas, siekdamas pasinaudoti pagal tuos straipsnius jam suteiktomis teisėmis, pateikia papildomos informacijos, leidžiančios nustatyti jo tapatybę.

1.   Duomenų valdytojas imasi tinkamų priemonių, kad visą 15 ir 16 straipsniuose nurodytą informaciją ir visus pranešimus pagal 17–24 ir 35 straipsnius, susijusius su duomenų tvarkymu, duomenų subjektui pateiktų glausta, skaidria, suprantama ir lengvai prieinama forma, aiškia ir paprasta kalba, ypač jei informacija yra konkrečiai skirta vaikui. Informacija pateikiama raštu arba kitomis priemonėmis, jei reikia, taip pat ir elektronine forma. Duomenų subjekto prašymu informacija gali būti suteikta žodžiu, jeigu duomenų subjekto tapatybė įrodoma kitomis priemonėmis.

2.   Duomenų valdytojas sudaro palankesnes sąlygas naudotis 17–24 straipsniuose nustatytomis duomenų subjekto teisėmis. 12 straipsnio 2 dalyje nurodytais atvejais duomenų valdytojas neatsisako imtis veiksmų pagal duomenų subjekto prašymą pasinaudoti teisėmis pagal 17–24 straipsnius, nebent duomenų valdytojas įrodo, kad jis negali nustatyti duomenų subjekto tapatybės.

3.   Duomenų valdytojas nepagrįstai nedelsdamas, tačiau bet kuriuo atveju per vieną mėnesį nuo prašymo gavimo, pateikia duomenų subjektui informaciją apie veiksmus, kurių imtasi gavus prašymą pagal 17–24 straipsnius. Tas laikotarpis prireikus gali būti pratęstas dar dviem mėnesiams, atsižvelgiant į prašymų sudėtingumą ir skaičių. Duomenų valdytojas per vieną mėnesį nuo prašymo gavimo informuoja duomenų subjektą apie tokį pratęsimą, kartu pateikdamas vėlavimo priežastis. Kai duomenų subjektas prašymą pateikia elektroninės formos priemonėmis, informacija jam taip pat pateikiama, jei įmanoma, elektroninėmis priemonėmis, išskyrus atvejus, kai duomenų subjektas paprašo ją pateikti kitaip.

4.   Jei duomenų valdytojas nesiima veiksmų pagal duomenų subjekto prašymą, duomenų valdytojas nedelsdamas, tačiau ne vėliau kaip per vieną mėnesį nuo prašymo gavimo, informuoja duomenų subjektą apie neveikimo priežastis ir apie galimybę pateikti skundą Europos duomenų apsaugos priežiūros pareigūnui bei pasinaudoti teisių gynimo priemone.

5.   Pagal 15 ir 16 straipsnius teikiama informacija ir visi pranešimai bei visi veiksmai pagal 17–24 ir 35 straipsnius yra nemokami. Kai duomenų subjekto prašymai yra akivaizdžiai nepagrįsti arba neproporcingi, visų pirma, dėl jų pasikartojančio turinio, duomenų valdytojas gali atsisakyti imtis veiksmų dėl prašymo. Duomenų valdytojui tenka pareiga įrodyti, kad prašymas yra akivaizdžiai nepagrįstas arba neproporcingas.

6.   Nedarant poveikio 12 straipsniui, kai duomenų valdytojas turi pagrįstų abejonių dėl 17–23 straipsniuose nurodytą prašymą pateikusio fizinio asmens tapatybės, duomenų valdytojas gali paprašyti pateikti papildomos informacijos, reikalingos norint patvirtinti duomenų subjekto tapatybę.

7.   Informacija, kuri duomenų subjektams turi būti teikiama pagal 15 ir 16 straipsnius, gali būti teikiama kartu su standartizuotomis piktogramomis siekiant, kad numatomas duomenų tvarkymas būtų prasmingai apibendrintas lengvai matomu, suprantamu ir aiškiai įskaitomu būdu. Kai piktogramos pateikiamos elektronine forma, jos turi būti kompiuterio skaitomos.

8.   Jei Komisija priima deleguotuosius aktus pagal Reglamento (ES) 2016/679 12 straipsnio 8 dalį, kuriais nustatoma, kokia informacija turi būti pateikta piktogramomis, ir standartizuotų piktogramų pateikimo procedūros, Sąjungos institucijos ir organai, jei taikytina, pateikia informaciją pagal šio reglamento 15 ir 16 straipsnius kartu su tokiomis standartizuotomis piktogramomis.

1.   Kai iš duomenų subjekto renkami jo asmens duomenys, duomenų valdytojas asmens duomenų gavimo metu duomenų subjektui pateikia visą šią informaciją:

2.   Be 1 dalyje nurodytos informacijos, duomenų valdytojas asmens duomenų gavimo metu duomenų subjektui pateikia toliau nurodytą kitą informaciją, būtiną duomenų tvarkymo sąžiningumui ir skaidrumui užtikrinti:

3.   Jeigu duomenų valdytojas ketina toliau tvarkyti asmens duomenis kitu tikslu nei tas, kuriuo asmens duomenys buvo renkami, prieš taip toliau tvarkydamas duomenis duomenų valdytojas pateikia duomenų subjektui informaciją apie tą kitą tikslą ir visą kitą atitinkamą papildomą informaciją, kaip nurodyta 2 dalyje.

4.   1, 2 ir 3 dalys netaikomos, jeigu duomenų subjektas jau turi informaciją, ir tiek, kiek tos informacijos jis turi.

1.   Kai asmens duomenys yra gauti ne iš duomenų subjekto, duomenų valdytojas pateikia duomenų subjektui šią informaciją:

2.   Be 1 dalyje nurodytos informacijos, duomenų valdytojas pateikia duomenų subjektui toliau nurodytą papildomą informaciją, būtiną tvarkymo sąžiningumui ir skaidrumui duomenų subjekto atžvilgiu užtikrinti:

3.   Duomenų valdytojas 1 ir 2 dalyse nurodytą informaciją pateikia:

4.   Kai duomenų valdytojas ketina toliau tvarkyti asmens duomenis kitu tikslu nei tas, kuriuo asmens duomenys buvo gauti, prieš toliau tvarkydamas tuos duomenis duomenų valdytojas pateikia duomenų subjektui informaciją apie tą kitą tikslą ir visą papildomą atitinkamą informaciją, kaip nurodyta 2 dalyje.

5.   1–4 dalys netaikomos, jeigu ir tiek, kiek:

6.   5 dalies b punkte nurodytais atvejais duomenų valdytojas imasi tinkamų priemonių duomenų subjekto teisėms ir laisvėms ir teisėtiems interesams apsaugoti, įskaitant viešą informacijos paskelbimą.

1.   Duomenų subjektas turi teisę iš duomenų valdytojo gauti patvirtinimą, ar su juo susiję asmens duomenys yra tvarkomi, o jei tokie asmens duomenys yra tvarkomi, turi teisę susipažinti su asmens duomenimis ir toliau nurodyta informacija:

2.   Kai asmens duomenys perduodami į trečiąją valstybę arba tarptautinei organizacijai, duomenų subjektas turi teisę būti informuotas apie tinkamas su duomenų perdavimu susijusias apsaugos priemones pagal 48 straipsnį.

3.   Duomenų valdytojas pateikia tvarkomų asmens duomenų kopiją. Kai duomenų subjektas prašymą pateikia elektroninėmis priemonėmis ir išskyrus atvejus, kai duomenų subjektas paprašo ją pateikti kitaip, informacija pateikiama įprastai naudojama elektronine forma.

4.   3 dalyje nurodyta teisė gauti kopiją negali daryti neigiamo poveikio kitų asmenų teisėms ir laisvėms.

1.   Duomenų subjektas turi teisę reikalauti, kad duomenų valdytojas nepagrįstai nedelsdamas ištrintų su juo susijusius asmens duomenis, o duomenų valdytojas yra įpareigotas nepagrįstai nedelsdamas ištrinti asmens duomenis, jei tai galima pagrįsti viena iš šių priežasčių:

2.   Kai duomenų valdytojas viešai paskelbė asmens duomenis ir pagal 1 dalį privalo asmens duomenis ištrinti, duomenų valdytojas, atsižvelgdamas į turimas technologijas ir įgyvendinimo sąnaudas, imasi pagrįstų veiksmų, įskaitant technines priemones, kad informuotų duomenis tvarkančius asmenų duomenų valdytojus arba duomenų valdytojus, kurie nėra Sąjungos institucijos ir organai, jog duomenų subjektas paprašė, kad tokie duomenų valdytojai ištrintų visas nuorodas į tuos asmens duomenis arba jų kopijas ar dublikatus.

3.   1 ir 2 dalys netaikomos, jeigu duomenų tvarkymas yra būtinas:

1.   Duomenų subjektas turi teisę reikalauti, kad duomenų valdytojas apribotų duomenų tvarkymą, kai taikomas vienas iš šių atvejų:

2.   Kai duomenų tvarkymas yra apribotas pagal 1 dalį, tokius asmens duomenis galima tvarkyti (išskyrus saugojimą) tik gavus duomenų subjekto sutikimą arba siekiant pareikšti, vykdyti arba apginti teisinius reikalavimus, arba apsaugoti kito fizinio ar juridinio asmens teises, arba dėl svarbaus Sąjungos arba valstybės narės viešojo intereso priežasčių.

3.   Duomenų subjektą, kuris pasiekė, kad būtų apribotas duomenų tvarkymas pagal 1 dalį, duomenų valdytojas informuoja prieš panaikinant apribojimą tvarkyti duomenis.

4.   Automatizuotuose susistemintuose rinkiniuose tvarkymo ribojimas iš esmės turėtų būti užtikrinamas techninėmis priemonėmis. Tai, kad asmens duomenų tvarkymas yra apribotas, sistemoje nurodoma tokiu būdu, kad būtų aišku, jog yra draudžiama naudoti asmens duomenis.

1.   Duomenų subjektas turi teisę gauti su juo susijusius asmens duomenis, kuriuos jis pateikė duomenų valdytojui susistemintu, įprastai naudojamu ir kompiuterio skaitomu formatu, ir turi teisę persiųsti tuos duomenis kitam duomenų valdytojui, o duomenų valdytojas, kuriam asmens duomenys buvo pateikti, turi nesudaryti tam kliūčių, kai:

2.   Naudodamasis savo teise į duomenų perkeliamumą pagal 1 dalį, duomenų subjektas turi teisę reikalauti, kad vienas duomenų valdytojas asmens duomenis tiesiogiai persiųstų kitam arba persiųstų duomenų valdytojams, kurie nėra Sąjungos institucijos ir organai, kai tai techniškai įmanoma.

3.   Šio straipsnio 1 dalyje nurodyta teise naudojamasi nedarant poveikio 19 straipsniui. Ta teisė netaikoma, kai tvarkyti duomenis būtina siekiant atlikti užduotį, vykdomą viešojo intereso labui, arba vykdant duomenų valdytojui pavestus viešosios valdžios įgaliojimus.

4.   1 dalyje nurodyta teisė negali daryti neigiamo poveikio kitų asmenų teisėms ir laisvėms.

1.   Duomenų subjektas turi teisę dėl su jo konkrečiu atveju susijusių priežasčių bet kuriuo metu nesutikti, kad su juo susiję asmens duomenys būtų tvarkomi, kai toks duomenų tvarkymas vykdomas pagal 5 straipsnio 1 dalies a punktą, įskaitant profiliavimą remiantis ta nuostata. Duomenų valdytojas nebetvarko asmens duomenų, išskyrus atvejus, kai duomenų valdytojas įrodo, kad duomenys tvarkomi dėl įtikinamų teisėtų priežasčių, kurios yra viršesnės už duomenų subjekto interesus, teises ir laisves, arba siekiant pareikšti, vykdyti ar apginti teisinius reikalavimus.

2.   Duomenų subjektas apie 1 dalyje nurodytą teisę aiškiai informuojamas ne vėliau kaip pirmą kartą susisiekiant su duomenų subjektu ir ši informacija pateikiama aiškiai ir atskirai nuo visos kitos informacijos.

3.   Naudojimosi informacinės visuomenės paslaugomis atveju, nedarant poveikio 36 ir 37 straipsniams, duomenų subjektas gali naudotis savo teise nesutikti pasitelkdamas automatizuotas priemones, kurioms naudojamos techninės specifikacijos.

4.   Kai asmens duomenys yra tvarkomi mokslinių ar istorinių tyrimų arba statistiniais tikslais, duomenų subjektas dėl su jo konkrečiu atveju susijusių priežasčių turi teisę nesutikti, kad su juo susiję asmens duomenys būtų tvarkomi, išskyrus atvejus, kai duomenis tvarkyti yra būtina siekiant atlikti užduotį, vykdomą dėl viešojo intereso priežasčių.

1.   Duomenų subjektas turi teisę, kad jam nebūtų taikomas tik automatizuotu duomenų tvarkymu, įskaitant profiliavimą, grindžiamas sprendimas, dėl kurio jam kyla teisinių pasekmių arba kuris jam panašiu būdu daro didelį poveikį.

2.   1 dalis netaikoma, jeigu sprendimas:

3.   2 dalies a ir c punktuose nurodytais atvejais duomenų valdytojas įgyvendina tinkamas priemones, kad būtų apsaugotos duomenų subjekto teisės bei laisvės ir teisėti interesai, bent teisė iš duomenų valdytojo reikalauti žmogaus įsikišimo, pareikšti savo požiūrį ir užginčyti sprendimą.

4.   Šio straipsnio 2 dalyje nurodyti sprendimai negrindžiami 10 straipsnio 1 dalyje nurodytais specialių kategorijų asmens duomenimis, nebent taikomi 10 straipsnio 2 dalies a arba g punktai ir yra nustatytos tinkamos priemonės duomenų subjekto teisėms bei laisvėms ir teisėtiems interesams apsaugoti.

1.   Teisės aktais, priimtais remiantis Sutartimis, arba Sąjungos institucijų ir organų vidaus taisyklėmis, priimtomis šių institucijų ir organų veikimo klausimais, gali būti apribotas 14–22, 35 ir 36 straipsnių taikymas, taip pat 4 straipsnio taikymas tiek, kiek jo nuostatos atitinka 14–22 straipsniuose numatytas teises ir prievoles, kai tokiu apribojimu gerbiama pagrindinių teisių ir laisvių esmė ir jis demokratinėje visuomenėje yra būtina ir proporcinga priemonė siekiant užtikrinti:

2.   Visų pirma visuose 1 dalyje nurodytuose teisės aktuose ar vidaus taisyklėse pateikiamos konkrečios nuostatos, tam tikrais atvejais susijusios su:

3.   Kai asmens duomenys tvarkomi mokslinių ar istorinių tyrimų tikslais arba statistiniais tikslais, Sąjungos teisės aktais, kurie gali apimti vidaus taisykles, Sąjungos institucijų ir organų priimtas su jų veikimu susijusiais klausimais, gali būti nustatytos nukrypti leidžiančios nuostatos, susijusios su 17, 18, 20 ir 23 straipsniuose nurodytomis teisėmis, jei taikomos 13 straipsnyje nurodytos sąlygos ir apsaugos priemonės, tokiu mastu, kokiu dėl tokių teisių gali tapti neįmanoma pasiekti konkrečių tikslų arba jos gali tapti rimta kliūtimi jiems pasiekti, ir norint pasiekti tuos tikslus yra būtinos tokios nukrypti leidžiančios nuostatos.

4.   Kai asmens duomenys tvarkomi archyvavimo tikslais viešojo intereso labui, Sąjungos teisės aktais, kurie gali apimti vidaus taisykles, Sąjungos institucijų ir organų priimtas su jų veikimu susijusiais klausimais, gali būti nustatytos nukrypti leidžiančios nuostatos, susijusios su 17, 18, 20, 21, 22 ir 23 straipsniuose nurodytomis teisėmis, jei taikomos šio straipsnio 13 dalyje nurodytos sąlygos ir apsaugos priemonės, tokiu mastu, kokiu dėl tokių teisių gali tapti neįmanoma pasiekti konkrečių tikslų arba jos gali tapti rimta kliūtimi jiems pasiekti, ir norint pasiekti tuos tikslus yra būtinos tokios nukrypti leidžiančios nuostatos.

5.   1, 3 ir 4 dalyse nurodytos vidaus taisyklės turi būti aiškūs ir tikslūs visuotinai taikomi aktai, galintys turėti teisinių padarinių duomenų subjektams, priimti aukščiausiu Sąjungos institucijų ir organų valdymo lygmeniu ir skelbiami Europos Sąjungos oficialiajame leidinyje.

6.   Jeigu yra nustatytas šio straipsnio 1 dalyje numatytas apribojimas, duomenų subjektas pagal Sąjungos teisę yra informuojamas apie pagrindines tokio apribojimo taikymo priežastis ir savo teisę pateikti skundą Europos duomenų apsaugos priežiūros pareigūnui.

7.   Jeigu šio straipsnio 1 dalyje numatytas apribojimas yra nustatytas tam, kad duomenų subjektui nebūtų leista susipažinti su savo asmens duomenimis, Europos duomenų apsaugos priežiūros pareigūnas, tirdamas skundą, tik informuoja duomenų subjektą, ar duomenys buvo tvarkomi tinkamai, o jeigu ne, ar tai buvo ištaisyta.

8.   Šio straipsnio 6 ir 7 dalyse, taip pat 45 straipsnio 2 dalyje nurodytos informacijos pateikimas gal būti atidėtas, ji gali būti nepateikiama arba gali būti atsisakyta ją pateikti, jei dėl jos pateikimo nebeveiktų pagal šio straipsnio 1 dalį nustatytas apribojimas.

1.   Atsižvelgdamas į duomenų tvarkymo pobūdį, aprėptį, kontekstą bei tikslus, taip pat į įvairios tikimybės ir rimtumo pavojus fizinių asmenų teisėms ir laisvėms, duomenų valdytojas įgyvendina tinkamas technines ir organizacines priemones, kad užtikrintų ir galėtų įrodyti, kad duomenys tvarkomi laikantis šio reglamento. Tos priemonės prireikus peržiūrimos ir atnaujinamos.

2.   Kai tai proporcinga duomenų tvarkymo veiklos atžvilgiu, 1 dalyje nurodytos priemonės apima duomenų valdytojo įgyvendinamą atitinkamą duomenų apsaugos politiką.

3.   Tuo, kad laikomasi patvirtintų sertifikavimo mechanizmų, kaip nurodyta Reglamento (ES) 2016/679 42 straipsnyje, gali būti remiamasi kaip vienu iš elementų, kuriuo siekiama įrodyti, kad vykdomos duomenų valdytojo prievolės.

1.   Atsižvelgdamas į techninių galimybių išsivystymo lygį, įgyvendinimo sąnaudas bei duomenų tvarkymo pobūdį, aprėptį, kontekstą ir tikslus, taip pat į duomenų tvarkymo keliamus įvairios tikimybės ir rimtumo pavojus fizinių asmenų teisėms ir laisvėms, duomenų valdytojas, tiek nustatydamas duomenų tvarkymo priemones, tiek paties duomenų tvarkymo metu įgyvendina tinkamas technines ir organizacines priemones, kaip antai pseudonimų suteikimą, kuriomis siekiama veiksmingai įgyvendinti duomenų apsaugos principus, kaip antai duomenų kiekio mažinimo principą, ir į duomenų tvarkymą integruoti būtinas apsaugos priemones, kad jis atitiktų šio reglamento reikalavimus ir apsaugotų duomenų subjektų teises.

2.   Duomenų valdytojas įgyvendina tinkamas technines ir organizacines priemones, kuriomis užtikrina, kad standartizuotai būtų tvarkomi tik tie asmens duomenys, kurie yra būtini kiekvienam konkrečiam duomenų tvarkymo tikslui. Ta prievolė taikoma surinktų asmens duomenų kiekiui, jų tvarkymo apimčiai, jų saugojimo laikotarpiui ir jų prieinamumui. Visų pirma, tokiomis priemonėmis užtikrinama, kad standartizuotai be fizinio asmens įsikišimo su asmens duomenimis negalėtų susipažinti neribotas fizinių asmenų skaičius.

3.   Patvirtintu sertifikavimo mechanizmu pagal Reglamento (ES) 2016/679 42 straipsnį gali būti remiamasi kaip vienu iš elementų siekiant įrodyti, kad laikomasi šio straipsnio 1 ir 2 dalyse nustatytų reikalavimų.

1.   Kai du ar daugiau duomenų valdytojų arba vienas ar daugiau duomenų valdytojų kartu su vienu ar daugiau duomenų valdytojų, kurie nėra Sąjungos institucijos ir organai, bendrai nustato duomenų tvarkymo tikslus ir priemones, jie yra bendri duomenų valdytojai. Jie skaidriu būdu nustato savo atitinkamą atsakomybę už pagal šį reglamentą nustatytų prievolių, visų pirma, susijusių su duomenų subjekto naudojimusi savo teisėmis ir jų atitinkamomis pareigomis pateikti 15 ir 16 straipsniuose nurodytą informaciją, vykdymą remiantis tarpusavio susitarimu, išskyrus atvejus, kai atitinkama bendrų duomenų valdytojų atsakomybė yra nustatyta Sąjungos arba valstybės narės teisėje, kuri yra taikoma bendriems duomenų valdytojams, ir tokiu mastu, kokiu ji yra nustatyta. Susitarimu gali būti paskirtas duomenų subjektų informavimo punktas.

2.   1 dalyje numatytame susitarime tinkamai apibrėžiamos atitinkamos faktinės bendrų duomenų valdytojų funkcijos bei santykiai duomenų subjektų atžvilgiu. Duomenų subjektui sudaroma galimybė susipažinti su esminėmis šio susitarimo nuostatomis.

3.   Nepaisant 1 dalyje nurodyto susitarimo sąlygų, duomenų subjektas gali naudotis savo teisėmis pagal šį reglamentą kiekvieno iš duomenų valdytojų atžvilgiu.

1.   Kai duomenys turi būti tvarkomi duomenų valdytojo vardu, duomenų valdytojas pasitelkia tik tuos duomenų tvarkytojus, kurie pakankamai užtikrina, kad tinkamos techninės ir organizacinės priemonės bus įgyvendintos tokiu būdu, kad duomenų tvarkymas atitiktų šio reglamento reikalavimus ir būtų užtikrinta duomenų subjekto teisių apsauga.

2.   Duomenų tvarkytojas nepasitelkia kito duomenų tvarkytojo be išankstinio konkretaus arba bendro rašytinio duomenų valdytojo leidimo. Bendro rašytinio leidimo atveju duomenų tvarkytojas informuoja duomenų valdytoją apie visus planuojamus pakeitimus, susijusius su kitų duomenų tvarkytojų pasitelkimu ar pakeitimu, taip suteikdamas duomenų valdytojui galimybę nesutikti su tokiais pakeitimais.

3.   Duomenų tvarkytojo atliekamas duomenų tvarkymas reglamentuojamas sutartimi ar kitu teisės aktu pagal Sąjungos arba valstybės narės teisę, kurie yra privalomi duomenų tvarkytojui duomenų valdytojo atžvilgiu ir kuriuose nustatomi duomenų tvarkymo dalykas ir trukmė, duomenų tvarkymo pobūdis ir tikslas, asmens duomenų rūšis ir duomenų subjektų kategorijos bei duomenų valdytojo prievolės ir teisės. Toje sutartyje ar kitame teisės akte, visų pirma, nustatoma, kad duomenų tvarkytojas:

Pirmos pastraipos h punkto atžvilgiu duomenų tvarkytojas nedelsdamas informuoja duomenų valdytoją, jei, jo nuomone, nurodymas pažeidžia šį reglamentą ar kitas Sąjungos ar valstybės narės duomenų apsaugos nuostatas.

4.   Kai duomenų tvarkytojas konkrečiai duomenų tvarkymo veiklai duomenų valdytojo vardu atlikti pasitelkia kitą duomenų tvarkytoją, sutartimi ar kitu teisės aktu pagal Sąjungos ar valstybės narės teisę tam kitam duomenų tvarkytojui nustatomos tos pačios duomenų apsaugos prievolės, kaip ir prievolės, nustatytos 3 dalyje nurodytoje duomenų valdytojo ir duomenų tvarkytojo sutartyje ar kitame teisės akte, visų pirma, prievolė pakankamai užtikrinti, jog tinkamos techninės ir organizacinės priemonės bus įgyvendintos tokiu būdu, kad duomenų tvarkymas atitiktų šio reglamento reikalavimus. Kai tas kitas duomenų tvarkytojas nevykdo duomenų apsaugos prievolių, pirminis duomenų tvarkytojas išlieka visiškai atsakingas duomenų valdytojui už to kito duomenų tvarkytojo prievolių vykdymą.

5.   Jei duomenų tvarkytojas nėra Sąjungos institucija ar įstaiga, tuo, kad jis laikosi patvirtinto elgesio kodekso, nurodyto Reglamento (ES) 2016/679 40 straipsnio 5 dalyje, arba patvirtinto sertifikavimo mechanizmo, nurodyto Reglamento (ES) 2016/679 42 straipsnyje, gali būti remiamasi kaip vienu iš elementų, kuriuo siekiama įrodyti pakankamą užtikrinimą, kaip nurodyta šio straipsnio 1 ir 4 dalyse.

6.   Nedarant poveikio atskirai duomenų valdytojo ir duomenų tvarkytojo sutarčiai, šio straipsnio 3 ir 4 dalyse nurodyta sutartis ar kitas teisės aktas visas arba iš dalies gali būti grindžiamas standartinėmis sutarčių sąlygomis, nurodytomis šio straipsnio 7 ir 8 dalyse, įskaitant tuos atvejus, kai jos yra duomenų valdytojui, išskyrus Sąjungos instituciją ar įstaigą, pagal Reglamento (ES) 2016/679 42 straipsnį suteikiamo sertifikavimo dalis.

7.   Komisija šio straipsnio 3 ir 4 dalyse nurodytais klausimais gali nustatyti standartines sutarčių sąlygas, laikydamasi 96 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.

8.   Europos duomenų apsaugos priežiūros pareigūnas šio straipsnio 3 ir 4 dalyse nurodytais klausimais gali nustatyti standartines sutarčių sąlygas.

9.   Šio straipsnio 3 ir 4 dalyse nurodyta sutartis ar kitas teisės aktas sudaromas raštu, taip pat ir elektronine forma.

10.   Nedarant poveikio 65 ir 66 straipsniams, jei duomenų tvarkytojas, nustatydamas duomenų tvarkymo tikslus ir priemones, pažeidžia šį reglamentą, to duomenų tvarkymo atžvilgiu duomenų tvarkytojas yra laikomas duomenų valdytoju.

1.   Kiekvienas duomenų valdytojas tvarko duomenų tvarkymo veiklos, už kurią jis atsako, įrašus. Tame įraše pateikiama visa toliau nurodyta informacija:

2.   Kiekvienas duomenų tvarkytojas tvarko su visų kategorijų su duomenų tvarkymo veikla, vykdoma duomenų valdytojo vardu, susijusius įrašus, kuriuose nurodoma:

3.   1 ir 2 dalyse nurodyti įrašai tvarkomi raštu, taip pat ir elektronine forma.

4.   Sąjungos institucijos ir organai paprašyti pateikia šiuos įrašus Europos duomenų apsaugos priežiūros pareigūnui.

5.   Sąjungos institucijos ir organai savo duomenų tvarkymo veiklos apskaitai vesti naudoja centrinį registrą, nebent tai būtų netikslinga atsižvelgiant į Sąjungos institucijos ar organo dydį. Jie padaro registrą viešai prieinamą.

1.   Atsižvelgdamas į techninių galimybių išsivystymo lygį, įgyvendinimo sąnaudas bei duomenų tvarkymo pobūdį, aprėptį, kontekstą ir tikslus, taip pat duomenų tvarkymo keliamus įvairios tikimybės ir rimtumo pavojus fizinių asmenų teisėms ir laisvėms, duomenų valdytojas ir duomenų tvarkytojas įgyvendina tinkamas technines ir organizacines priemones, kad būtų užtikrintas pavojų atitinkančio lygio saugumas, įskaitant, inter alia, jei reikia:

2.   Nustatant tinkamo lygio saugumą, visų pirma, atsižvelgiama į pavojus, kurie kyla dėl duomenų tvarkymo, visų pirma, dėl netyčinio arba neteisėto persiųstų, saugomų ar kitaip tvarkomų duomenų sunaikinimo, praradimo, pakeitimo, atskleidimo be leidimo ar neteisėtos prieigos prie jų.

3.   Duomenų valdytojas ir duomenų tvarkytojas imasi priemonių, siekdami užtikrinti, kad bet kuris duomenų valdytojui arba duomenų tvarkytojui pavaldus fizinis asmuo, galintis susipažinti su asmens duomenimis, jų netvarkytų, išskyrus atvejus, kai duomenų valdytojas duoda nurodymus juos tvarkyti, nebent tas asmuo privalo tai daryti pagal Sąjungos teisę.

4.   Tuo, kad laikomasi patvirtinto sertifikavimo mechanizmo, nurodyto Reglamento (ES) 2016/679 42 straipsnyje, gali būti remiamasi kaip vienu iš elementų, kuriuo siekiama įrodyti, kad vykdomi šio straipsnio 1 dalyje nustatyti reikalavimai.

1.   Asmens duomenų saugumo pažeidimo atveju duomenų valdytojas nepagrįstai nedelsdamas ir, jei įmanoma, praėjus ne daugiau kaip 72 valandoms nuo tada, kai jis sužino apie asmens duomenų saugumo pažeidimą, apie tai praneša Europos duomenų apsaugos priežiūros pareigūnui, nebent asmens duomenų saugumo pažeidimas neturėtų kelti pavojaus fizinių asmenų teisėms ir laisvėms. Jeigu Europos duomenų apsaugos priežiūros pareigūnui apie asmens duomenų saugumo pažeidimą nepranešama per 72 valandas, prie pranešimo pridedamos vėlavimo priežastys.

2.   Duomenų tvarkytojas, sužinojęs apie asmens duomenų saugumo pažeidimą, nepagrįstai nedelsdamas apie tai praneša duomenų valdytojui.

3.   1 dalyje nurodytame pranešime turi būti bent:

4.   Kai ir jeigu informacijos neįmanoma pateikti tuo pačiu metu, informacija toliau nepagrįstai nedelsiant gali būti teikiama etapais.

5.   Duomenų valdytojas praneša duomenų apsaugos pareigūnui apie asmens duomenų pažeidimą.

6.   Duomenų valdytojas dokumentuoja visus asmens duomenų saugumo pažeidimus, įskaitant su asmens duomenų saugumo pažeidimu susijusius faktus, jo poveikį ir taisomuosius veiksmus, kurių buvo imtasi. Remdamasis tais dokumentais, Europos duomenų apsaugos priežiūros pareigūnas turi galėti patikrinti, ar laikomasi šio straipsnio.

1.   Kai dėl asmens duomenų saugumo pažeidimo gali kilti didelis pavojus fizinių asmenų teisėms ir laisvėms, duomenų valdytojas nepagrįstai nedelsdamas praneša apie asmens duomenų saugumo pažeidimą duomenų subjektui.

2.   Šio straipsnio 1 dalyje nurodytame pranešime duomenų subjektui aiškia ir paprasta kalba aprašomas asmens duomenų saugumo pažeidimo pobūdis ir pateikiama bent 34 straipsnio 3 dalies b, c ir d punktuose nurodyta informacija ir priemonės.

3.   1 dalyje nurodyto pranešimo duomenų subjektui pateikti nereikalaujama, jeigu įvykdomos bet kurios toliau nurodytos sąlygos:

4.   Jeigu duomenų valdytojas dar nėra pranešęs duomenų subjektui apie asmens duomenų saugumo pažeidimą, Europos duomenų apsaugos priežiūros pareigūnas, apsvarstęs, kokia yra tikimybė, kad dėl asmens duomenų saugumo pažeidimo kils didelis pavojus, gali pareikalauti, kad jis tą padarytų, arba gali nuspręsti, kad įvykdyta bet kuri iš 3 dalyje nurodytų sąlygų.

1.   Naudotojų sąrašuose nurodyti asmens duomenys ir teisė pasinaudoti tokiais naudotojų sąrašais griežtai apribojama tokia apimtimi, kuri būtina konkrečiais sąrašų tikslais.

2.   Sąjungos institucijos ir organai imasi visų priemonių, būtinų, kad į tuos sąrašus įtraukti asmens duomenys nebūtų naudojami tiesioginės rinkodaros tikslais, nepaisant to, ar jie yra viešai prieinami, ar ne.

1.   Tais atvejais, kai dėl duomenų tvarkymo rūšies, visų pirma, kai naudojamos naujos technologijos, ir atsižvelgiant į duomenų tvarkymo pobūdį, aprėptį, kontekstą ir tikslus, fizinių asmenų teisėms bei laisvėms gali kilti didelis pavojus, duomenų valdytojas, prieš pradėdamas tvarkyti duomenis, atlieka numatytų duomenų tvarkymo operacijų poveikio asmens duomenų apsaugai vertinimą. Panašius didelius pavojus keliančių duomenų tvarkymo operacijų sekai išnagrinėti galima atlikti vieną vertinimą.

2.   Atlikdamas poveikio duomenų apsaugai vertinimą duomenų valdytojas konsultuojasi su duomenų apsaugos pareigūnu.

3.   1 dalyje nurodytas poveikio duomenų apsaugai vertinimas, visų pirma, turi būti atliekamas, kai vykdomas:

4.   Europos duomenų apsaugos priežiūros pareigūnas sudaro ir viešai paskelbia tų rūšių duomenų tvarkymo operacijų, kurioms taikomas reikalavimas atlikti poveikio duomenų apsaugai vertinimą pagal 1 dalį, sąrašą.

5.   Europos duomenų apsaugos priežiūros pareigūnas taip pat gali sudaryti ir viešai paskelbti tų rūšių duomenų tvarkymo operacijų, kurioms netaikomas reikalavimas atlikti poveikio duomenų apsaugai vertinimą, sąrašą.

6.   Prieš patvirtindamas šio straipsnio 4 ir 5 dalyse nurodytus sąrašus, Europos duomenų apsaugos priežiūros pareigūnas paprašo Reglamento (ES) 2016/679 68 straipsniu įsteigtos Europos duomenų apsaugos valdybos išnagrinėti tokius sąrašus pagal to reglamento 70 straipsnio 1 dalies e punktą, jei tokie sąrašai yra susiję su duomenų tvarkymo operacijomis, kurias duomenų valdytojas atlieka bendrai su vienu ar daugiau duomenų valdytojų, kurie nėra Sąjungos institucijos ir organai.

7.   Įvertinime pateikiama bent jau:

8.   Vertinant duomenų tvarkytojų, kurie nėra Sąjungos institucijos ir organai, vykdomų duomenų tvarkymo operacijų poveikį, visų pirma, atliekant poveikio duomenų apsaugai vertinimą, deramai atsižvelgiama į tai, ar atitinkami duomenų tvarkytojai laikosi Reglamento (ES) 2016/679 40 straipsnyje nurodytų patvirtintų elgesio kodeksų.

9.   Atitinkamais atvejais duomenų valdytojas siekia išsiaiškinti duomenų subjektų ar jų atstovų nuomonę apie numatytą duomenų tvarkymą, nepažeisdamas komercinių ar viešųjų interesų apsaugos arba duomenų tvarkymo operacijų saugumo reikalavimų.

10.   Jeigu duomenų tvarkymas pagal 5 straipsnio 1 dalies a arba b punktą turi teisinį pagrindą pagal Sutartis priimtame teisės akte, kuris reglamentuoja atitinkamą konkrečią duomenų tvarkymo operaciją ar operacijų seką, o poveikio duomenų apsaugai vertinimas jau buvo atliktas vykdant bendrą poveikio vertinimą prieš priimant tą teisės aktą, šio straipsnio 1–6 dalys netaikomos, išskyrus atvejus, kai tame teisės akte numatyta kitaip.

11.   Prireikus duomenų valdytojas atlieka peržiūrą, kad įvertintų, ar duomenys tvarkomi laikantis poveikio duomenų apsaugai vertinimo, bent tais atvejais, kai pakinta tvarkymo operacijų keliamas pavojus.

1.   Kai iš poveikio duomenų apsaugai vertinimo, atlikto pagal 39 straipsnį, paaiškėja, kad, nesant apsaugos priemonių, saugumo priemonių ir mechanizmų, skirtų pavojui mažinti, dėl duomenų tvarkymo kiltų didelis pavojus fizinių asmenų teisėms ir laisvėms, ir duomenų valdytojas laikosi nuomonės, jog šis pavojus negali būti sumažintas pagrįstomis priemonėmis atsižvelgiant į turimas technologijas ir įgyvendinimo sąnaudas, prieš pradedant duomenų tvarkymo veiklą duomenų valdytojas konsultuojasi su Europos duomenų apsaugos priežiūros pareigūnu. Duomenų valdytojas konsultuojasi su duomenų apsaugos pareigūnu dėl išankstinės konsultacijos poreikio.

2.   Jeigu Europos duomenų apsaugos priežiūros pareigūnas laikosi nuomonės, kad 1 dalyje nurodytas numatytas duomenų tvarkymas pažeistų šį reglamentą, visų pirma, tais atvejais, kai duomenų valdytojas nepakankamai nustatė arba nepakankamai sumažino pavojų, Europos duomenų apsaugos priežiūros pareigūnas ne vėliau kaip per aštuonias savaites nuo prašymo dėl konsultacijos gavimo, raštu pateikia duomenų valdytojui ir, kai taikoma, duomenų tvarkytojui, rekomendacijas ir gali pasinaudoti bet kuriais 58 straipsnyje nurodytais įgaliojimais. Tas laikotarpis gali būti pratęstas šešioms savaitėms, atsižvelgiant į numatyto duomenų tvarkymo sudėtingumą. Europos duomenų apsaugos priežiūros pareigūnas informuoja duomenų valdytoją ir, kai taikoma, duomenų tvarkytoją, apie bet kokį tokį pratęsimą per vieną mėnesį nuo prašymo dėl konsultacijos gavimo, kartu nurodydamas vėlavimo priežastis. Tie laikotarpiai gali būti sustabdyti iki Europos duomenų apsaugos priežiūros pareigūnui gavus informaciją, kurios jis buvo paprašęs konsultacijų tikslais.

3.   Konsultuodamasis su Europos duomenų apsaugos priežiūros pareigūnu pagal 1 dalį, duomenų valdytojas Europos duomenų apsaugos priežiūros pareigūnui nurodo:

4.   Komisija gali įgyvendinimo aktu sudaryti sąrašą atvejų, kai duomenų valdytojai turi konsultuotis su Europos duomenų apsaugos priežiūros pareigūnu ir gauti išankstinį jo leidimą dėl asmens duomenų tvarkymo siekiant atlikti užduotį, kurią duomenų valdytojas atlieka siekdamas viešojo intereso, įskaitant tokių duomenų tvarkymą socialinės apsaugos ir visuomenės sveikatos tikslais.

1.   Sąjungos institucijos ir organai Europos duomenų apsaugos priežiūros pareigūną informuoja apie rengiamas administracines priemones ir vidaus taisykles, susijusias su atskiros Sąjungos institucijos ar organo ar kartu su kitomis institucijomis tvarkomais asmens duomenimis.

2.   Rengdami 25 straipsnyje nurodytas vidaus taisykles, Sąjungos institucijos ir organai konsultuojasi su Europos duomenų apsaugos priežiūros pareigūnu.

1.   Priėmus pasiūlymus dėl teisėkūros procedūra priimamų aktų ir rekomendacijų ar pasiūlymų Tarybai pagal SESV 218 straipsnį ar rengiant deleguotuosius ar įgyvendinimo aktus, turinčius poveikį asmenų teisių ir laisvių apsaugai tvarkant asmens duomenis, Komisija konsultuojasi su Europos duomenų apsaugos priežiūros pareigūnu.

2.   Jei šio straipsnio 1 dalyje nurodytas aktas yra labai svarbus asmenų teisių ir laisvių apsaugai tvarkant asmens duomenis, Komisija taip pat gali konsultuotis su Europos duomenų apsaugos valdyba. Tokiais atvejais Europos duomenų apsaugos valdyba ir Europos duomenų apsaugos priežiūros pareigūnas koordinuoja savo darbą siekdami pateikti bendrą nuomonę.

3.   Šio straipsnio 1 ir 2 dalyse nurodyta konsultacija pateikiama raštu ne vėliau kaip per aštuonias savaites nuo 1 ir 2 dalyse nurodyto prašymo suteikti konsultaciją gavimo dienos. Skubiais atvejais ar kitais atvejais, kai to reikia, Komisija gali sutrumpinti šį terminą.

4.   Šis straipsnis netaikomas, jei Komisija pagal Reglamentą (ES) 2016/679 privalo konsultuotis su Europos duomenų apsaugos valdyba.

1.   Kiekviena Sąjungos institucija ar organas paskiria duomenų apsaugos pareigūną.

2.   Sąjungos institucijos ir organai gali paskirti vieną duomenų apsaugos pareigūną kelioms iš jų, atsižvelgdami į savo organizacinę struktūrą ir dydį.

3.   Duomenų apsaugos pareigūnas paskiriamas remiantis profesinėmis savybėmis, visų pirma, duomenų apsaugos teisės ir praktikos ekspertinėmis žiniomis, taip pat gebėjimu atlikti 45 straipsnyje nurodytas užduotis.

4.   Duomenų apsaugos pareigūnas yra Sąjungos institucijos ar organo personalo narys. Atsižvelgiant į tų institucijų ar organų dydį ir jei nepasinaudojama 2 dalyje nurodyta galimybe, Sąjungos institucijos ir organai gali paskirti duomenų apsaugos pareigūną, kuris savo užduotis atliktų pagal paslaugų teikimo sutartį.

5.   Sąjungos institucijos ir organai paskelbia duomenų apsaugos pareigūno kontaktinius duomenis ir praneša juos Europos duomenų apsaugos priežiūros pareigūnui.

1.   Sąjungos institucijos ir organai užtikrina, kad duomenų apsaugos pareigūnas būtų tinkamai ir laiku įtraukiamas į visų su asmens duomenų apsauga susijusių klausimų nagrinėjimą.

2.   Sąjungos institucijos ir organai padeda duomenų apsaugos pareigūnui atlikti 45 straipsnyje nurodytas užduotis, suteikdami toms užduotims atlikti būtinus išteklius, taip pat suteikdami galimybę susipažinti su asmens duomenimis, dalyvauti duomenų tvarkymo operacijose ir išlaikyti savo ekspertines žinias.

3.   Sąjungos institucijos ir organai užtikrina, kad duomenų apsaugos pareigūnas negautų jokių nurodymų dėl tų užduočių vykdymo. Duomenų valdytojas arba duomenų tvarkytojas negali jo atleisti arba bausti dėl jam nustatytų užduočių atlikimo. Duomenų apsaugos pareigūnas tiesiogiai atsiskaito duomenų valdytojo arba duomenų tvarkytojo aukščiausio lygio vadovybei.

4.   Duomenų subjektai gali kreiptis į duomenų apsaugos pareigūną visais klausimais, susijusiais jų asmens duomenų tvarkymu ir naudojimusi savo teisėmis pagal šį reglamentą.

5.   Duomenų apsaugos pareigūnas ir jo personalas privalo užtikrinti slaptumą arba konfidencialumą, susijusį su jų užduočių vykdymu, laikydamasis Sąjungos teisės.

6.   Duomenų apsaugos pareigūnas gali vykdyti kitas užduotis ir pareigas. Duomenų valdytojas arba duomenų tvarkytojas užtikrina, kad dėl bet kokių tokių užduočių ir pareigų nekiltų interesų konfliktas.

7.   Bet kuriuo reglamento aiškinimo ar taikymo klausimu su duomenų apsaugos pareigūnu gali konsultuotis duomenų valdytojas ir duomenų tvarkytojas, atitinkamas darbuotojų komitetas ir bet kuris asmuo, nesikreipdamas į oficialius kanalus. Nė vienas asmuo negali nukentėti dėl to, kad atkreipė kompetentingo duomenų apsaugos pareigūno dėmesį į klausimą tvirtindamas, jog buvo pažeistos šio reglamento nuostatos.

8.   Duomenų apsaugos pareigūnas skiriamas 3–5 metų kadencijai ir gali būti paskirtas dar kartą. Duomenų apsaugos pareigūną paskyrusi Sąjungos institucija ar organas gali atleisti jį iš šių pareigų, jeigu duomenų apsaugos pareigūnas nebeatitinka jo pareigoms nustatytų sąlygų, ir tik Europos duomenų apsaugos priežiūros pareigūno sutikimu.

9.   Duomenų apsaugos pareigūną paskyrusi Sąjungos institucija ar organas po jo paskyrimo jį užregistruoja Europos duomenų apsaugos priežiūros pareigūno institucijoje.

1.   Duomenų apsaugos pareigūnas atlieka šias užduotis:

2.   Duomenų apsaugos pareigūnas gali teikti rekomendacijas dėl duomenų valdytojo ar duomenų tvarkytojo praktinio duomenų apsaugos gerinimo ir konsultuoti juos klausimais, susijusiais su duomenų apsaugos nuostatų taikymu. Be to, jis savo iniciatyva arba duomenų valdytojo ar duomenų tvarkytojo, atitinkamo darbuotojų komiteto ar bet kurio asmens prašymu gali ištirti klausimus ir tiesiogiai su jo darbu susijusius atvejus, apie kuriuos jis sužinojo, bei atsakyti atitinkamai tyrimą užsakiusiam asmeniui, duomenų valdytojui arba duomenų tvarkytojui.

3.   Kiekviena Sąjungos institucija ar organas priima papildomas įgyvendinimo taisykles, susijusias su duomenų apsaugos pareigūnu. Įgyvendinimo taisyklėse pirmiausia turi būti nustatyti duomenų apsaugos pareigūno uždaviniai, pareigos ir įgaliojimai.

1.   Perduoti asmens duomenis į trečiąją valstybę arba tarptautinei organizacijai galima, jeigu Komisija pagal Reglamento (ES) 2016/679 45 straipsnio 3 dalį arba Direktyvos (ES) 2016/680 36 straipsnio 3 dalį nusprendė, kad atitinkama trečioji valstybė, teritorija arba vienas ar daugiau nurodytų sektorių toje trečiojoje valstybėje, arba atitinkama tarptautinė organizacija užtikrina tinkamo lygio apsaugą ir jei asmens duomenys perduodami vien tam, kad būtų galima atlikti duomenų valdytojo kompetencijai priskirtinas užduotis.

2.   Sąjungos institucijos ir organai informuoja Komisiją ir Europos duomenų apsaugos priežiūros pareigūną apie atvejus, kai jie mano, kad trečioji šalis, teritorija arba vienas ar daugiau konkrečiai nurodytų trečiosios šalies sektorių arba tarptautinė organizacija neužtikrina tinkamo lygio apsaugos, kaip apibrėžta 1 dalyje.

3.   Sąjungos institucijos ir organai imasi visų priemonių, būtinų siekiant laikytis Komisijos sprendimų, kai ji pagal Reglamento (ES) 2016/679 45 straipsnio 3 ar 5 dalį arba pagal Direktyvos (ES) 2016/680 36 straipsnio 3 arba 5 dalį nustato, kad trečioji šalis, teritorija arba vienas ar daugiau konkrečiai nurodytų trečiosios šalies sektorių arba tarptautinė organizacija užtikrina tinkamo lygio apsaugą arba jos nebeužtikrina.

1.   Jeigu nėra priimtas sprendimas pagal Reglamento (ES) 2016/679 45 straipsnio 3 dalį arba Direktyvos (ES) 2016/680 36 straipsnio 3 dalį, duomenų valdytojas arba duomenų tvarkytojas gali perduoti asmens duomenis į trečiąją valstybę arba tarptautinei organizacijai tik tuo atveju, jeigu duomenų valdytojas arba duomenų tvarkytojas yra nustatęs tinkamas apsaugos priemones, su sąlyga, kad suteikiama galimybė naudotis vykdytinomis duomenų subjektų teisėmis ir veiksmingomis duomenų subjektų teisių gynimo priemonėmis.

2.   1 dalyje nurodytos tinkamos apsaugos priemonės, nereikalaujant specialaus Europos duomenų apsaugos priežiūros pareigūno leidimo, gali būti nustatomos:

3.   Gavus Europos duomenų apsaugos priežiūros pareigūno leidimą, 1 dalyje nurodytos tinkamos apsaugos priemonės taip pat gali būti nustatomos, visų pirma:

4.   Leidimai, kuriuos Europos duomenų apsaugos priežiūros pareigūnas suteikė remdamasis Reglamento (EB) Nr. 45/2001 9 straipsnio 7 dalimi, lieka galioti tol, kol Europos duomenų apsaugos priežiūros pareigūnas prireikus juos iš dalies pakeičia, pakeičia naujais leidimais arba panaikina.

5.   Sąjungos institucijos ir organai praneša Europos duomenų apsaugos priežiūros pareigūnui apie atvejų, kai buvo taikomas šis straipsnis, kategorijas.

1.   Jeigu nepriimtas sprendimas dėl tinkamumo pagal Reglamento (ES) 2016/679 45 straipsnio 3 dalį arba Direktyvos (ES) 2016/680 36 straipsnio 3 dalį arba nenustatytos tinkamos apsaugos priemonės pagal šio reglamento 48 straipsnį, asmens duomenų perdavimas į trečiąją valstybę arba tarptautinei organizacijai arba tokių perdavimų seka atliekami tik su viena iš šių sąlygų:

2.   1 dalies a, b, ir c punktai netaikomi veiklai, kurią Sąjungos institucijos ir organai atlieka vykdydami savo viešuosius įgaliojimus.

3.   1 dalies d punkte nurodytas viešasis interesas turi būti pripažįstamas Sąjungos teisėje.

4.   Jeigu duomenys perduodami pagal 1 dalies g punktą, negali būti perduodami visi registre esantys asmens duomenys arba visi registre esantys tam tikrų kategorijų asmens duomenys, nebent tai leidžiama pagal Sąjungos teisę. Jeigu registras yra skirtas tam, kad su jame esančia informacija susipažintų teisėtų interesų turintys asmenys, duomenys perduodami tik tų asmenų prašymu arba jeigu tie asmenys bus tų duomenų gavėjai.

5.   Jei sprendimas dėl tinkamumo nepriimtas, Sąjungos teisėje dėl svarbių viešojo intereso priežasčių gali būti aiškiai nustatytos konkrečių kategorijų asmens duomenų perdavimo į trečiąją valstybę ar tarptautinei organizacijai ribos.

6.   Sąjungos institucijos ir organai praneša Europos duomenų apsaugos priežiūros pareigūnui apie atvejų, kai buvo taikomas šis straipsnis, kategorijas.

1.   Šiuo straipsniu įsteigiamas Europos duomenų apsaugos priežiūros pareigūnas.

2.   Europos duomenų apsaugos priežiūros pareigūnas atsako už tai, kad būtų užtikrinta, jog Sąjungos institucijos ir organai, tvarkydami asmens duomenis, gerbtų fizinių asmenų pagrindines teises ir laisves, svarbiausia – jų teisę į duomenų apsaugą.

3.   Europos duomenų apsaugos priežiūros pareigūnas atsako už šio reglamento ir visų kitų Sąjungos aktų, reglamentuojančių fizinių asmenų pagrindinių teisių ir laisvių apsaugą Sąjungos institucijai ar organui tvarkant asmens duomenis, nuostatų vykdymo priežiūrą ir užtikrina jų taikymą bei Sąjungos institucijų, organų ir duomenų subjektų konsultavimą visais su asmens duomenų tvarkymu susijusiais klausimais. Tuo tikslu Europos duomenų apsaugos priežiūros pareigūnas atlieka 57 straipsnyje nustatytas užduotis ir įgyvendina 58 straipsniu suteiktus įgaliojimus.

4.   Europos duomenų apsaugos priežiūros pareigūno turimiems dokumentams taikomas Reglamentas (EB) Nr. 1049/2001. Europos duomenų apsaugos priežiūros pareigūnas priima išsamias taisykles dėl Reglamento (EB) Nr. 1049/2001 taikymo tokiems dokumentams.

1.   Europos Parlamentas ir Taryba, vadovaudamiesi Komisijos parengtu sąrašu, bendru sutarimu paskiria Europos duomenų apsaugos priežiūros pareigūną penkerių metų kadencijai po šioms pareigoms eiti paskelbto viešo konkurso. Visi suinteresuotieji subjektai iš visos Sąjungos gali pateikti paraiškas dalyvauti konkurse šioms pareigoms eiti. Komisijos parengtas kandidatų sąrašas skelbiamas viešai ir jį turi sudaryti bent trys kandidatai. Remdamasis Komisijos sudarytu sąrašu, kompetentingas Europos Parlamento komitetas gali nuspręsti surengti klausymą, kad galėtų nuspręsti, kuriam kandidatui teikti pirmenybę.

2.   Į 1 dalyje nurodytą kandidatų sąrašą turi būti įtraukti asmenys, kurių nepriklausomumas nekelia abejonių ir kurie pripažįstami turintys dalykinių žinių duomenų apsaugos srityje, taip pat patirtį ir gebėjimus, reikalingus Europos duomenų apsaugos priežiūros pareigūno pareigoms atlikti.

3.   Europos duomenų apsaugos priežiūros pareigūno kadencija gali būti pratęsta vieną kartą.

4.   Europos duomenų apsaugos priežiūros pareigūnas nustoja eiti pareigas toliau nurodytais atvejais:

5.   Teisingumo Teismas Europos Parlamento, Tarybos ar Komisijos prašymu gali Europos duomenų apsaugos priežiūros pareigūną atleisti iš pareigų arba atimti iš jo teisę į pensiją arba kitas išmokas, jeigu jis nebeatitinka jo pareigoms nustatytų sąlygų arba yra kaltas dėl rimto nusižengimo.

6.   Jeigu Europos duomenų apsaugos priežiūros pareigūnas yra pakeičiamas įprasta tvarka arba savanoriškai atsistatydina iš pareigų, nepaisant to, jis ir toliau eina savo pareigas, kol yra pakeičiamas.

7.   Europos duomenų apsaugos priežiūros pareigūnui taip pat yra taikomi Europos Sąjungos Privilegijų ir imunitetų protokolo 11–14 ir 17 straipsniai.

1.   Europos duomenų apsaugos priežiūros pareigūnui nustatomas toks atlyginimas, priemokos, senatvės pensija ir kitos vietoje atlyginimo gaunamos išmokos, kokie nustatyti Teisingumo Teismo teisėjui.

2.   Biudžeto valdymo institucija užtikrina, kad Europos duomenų apsaugos priežiūros pareigūnui jo darbams atlikti būtų paskirti būtini darbuotojai ir skirtos atitinkamos lėšos.

3.   Europos duomenų apsaugos priežiūros pareigūno biudžetas turi būti nurodytas Sąjungos bendrojo biudžeto skirsnyje, susijusiame su administracinėmis išlaidomis, atskira biudžeto eilute.

4.   Europos duomenų apsaugos priežiūros pareigūnui padeda sekretoriatas. Europos duomenų apsaugos priežiūros pareigūnas skiria sekretoriato pareigūnus ir kitus tarnautojus, kuriems vadovauja Europos duomenų apsaugos priežiūros pareigūnas. Šie pareigūnai ir tarnautojai vykdo tik Europos duomenų apsaugos priežiūros pareigūno nurodymus. Jų skaičius yra nustatomas kiekvienais metais planuojant biudžetą. Reglamento (ES) 2016/679 75 straipsnio 2 dalis taikoma Europos duomenų apsaugos priežiūros pareigūno įstaigos darbuotojams, kurie vykdo pagal Sąjungos teisę Europos duomenų apsaugos valdybai nustatytas užduotis.

5.   Europos duomenų apsaugos priežiūros sekretoriato pareigūnai ir kiti darbuotojai laikosi Sąjungos pareigūnams ir kitiems tarnautojams taikomų taisyklių ir nuostatų.

6.   Europos duomenų apsaugos priežiūros pareigūno būstinė yra Briuselyje.

1.   Europos duomenų apsaugos priežiūros pareigūnas, atlikdamas savo užduotis ir įgyvendindamas savo įgaliojimus pagal šį reglamentą, veikia visiškai nepriklausomai.

2.   Europos duomenų apsaugos priežiūros pareigūnas, atlikdamas savo užduotis ir naudodamasis savo įgaliojimais pagal šį reglamentą, nepatiria nei tiesioginės, nei netiesioginės išorės įtakos ir neprašo bei nepriima jokių nurodymų.

3.   Europos duomenų apsaugos priežiūros pareigūnas nesiima jokių su jo pareigomis nesuderinamų veiksmų ir savo kadencijos metu negali dirbti jokio mokamo ar nemokamo darbo.

4.   Pasibaigus jo kadencijai, Europos duomenų apsaugos priežiūros pareigūnas elgiasi sąžiningai ir diskretiškai, sutikdamas dirbti kitose pareigose ir gauti atlyginimą.

1.   Nedarant poveikio kitoms pagal šį reglamentą nustatytoms užduotims, Europos duomenų apsaugos priežiūros pareigūnas:

2.   Europos duomenų apsaugos priežiūros pareigūnas palengvina šio straipsnio 1 dalies e punkte nurodytų skundų pateikimą, pateikdamas skundo pateikimo formą, kurią taip pat galima užpildyti elektroniniu būdu, suteikdamas galimybę naudotis ir kitomis ryšio priemonėmis.

3.   Europos duomenų apsaugos priežiūros pareigūno paslaugos duomenų subjektui teikiamos nemokamai.

4.   Jeigu prašymai yra akivaizdžiai nepagrįsti arba neproporcingi, visų pirma, dėl jų pasikartojančio turinio, Europos duomenų apsaugos priežiūros pareigūnas gali atsisakyti imtis veiksmų pagal prašymą. Europos duomenų apsaugos priežiūros pareigūnui tenka pareiga įrodyti, kad prašymas yra akivaizdžiai nepagrįstas arba neproporcingas.

1.   Europos duomenų apsaugos priežiūros pareigūnui suteikiami tokie tyrimo įgaliojimai:

2.   Europos duomenų apsaugos priežiūros pareigūnui suteikiami įgaliojimai imtis tokių taisomųjų veiksmų:

3.   Europos duomenų apsaugos priežiūros pareigūnas turi tokius leidimų suteikimo ir konsultavimo įgaliojimus;

4.   Europos duomenų apsaugos priežiūros pareigūnui suteikiami įgaliojimai perduoti klausimą Teisingumo Teismui Sutartyse numatytomis sąlygomis ir įstoti į Teisingumo Teisme nagrinėjamas bylas.

5.   Naudojimuisi pagal šį straipsnį Europos duomenų apsaugos priežiūros pareigūnui suteiktais įgaliojimais taikomos atitinkamos apsaugos priemonės, įskaitant veiksmingą apskundimą teismine tvarka ir tinkamą procesą, kaip nustatyta Sąjungos teisėje.

1.   Europos duomenų apsaugos priežiūros pareigūnas Europos Parlamentui, Tarybai ir Komisijai pateikia metinę savo veiklos ataskaitą, tuo pačiu metu ją paskelbdamas viešai.

2.   Europos duomenų apsaugos priežiūros pareigūnas siunčia 1 dalyje nurodytą ataskaitą kitoms Sąjungos institucijoms ir organams, kurie gali pateikti pastabas, kad ataskaitą galimai išnagrinėtų Europos Parlamentas.

1.   Jei Sąjungos akte daroma nuoroda į šį straipsnį, Europos duomenų apsaugos priežiūros pareigūnas ir nacionalinės priežiūros institucijos, veikdami pagal savo atitinkamą kompetenciją ir vykdydami savo pareigas, aktyviai bendradarbiauja, kad būtų užtikrinta veiksminga didelio masto IT sistemų ir Sąjungos organų, tarnybų ir agentūrų priežiūra.

2.   Veikdami pagal savo atitinkamus įgaliojimus ir vykdydami savo pareigas jie prireikus keičiasi reikalinga informacija, padeda vieni kitiems atlikti auditą ir patikras, nagrinėja šio reglamento ir kitų taikytinų Sąjungos aktų aiškinimo ir taikymo sunkumus, tiria problemas, susijusias su nepriklausomos priežiūros įgyvendinimu arba duomenų subjektų naudojimusi savo teisėmis, rengia suderintus pasiūlymus dėl bet kokių problemų sprendimo ir skatina informuotumą apie duomenų apsaugos teises.

3.   Šio straipsnio 2 dalyje išdėstytais tikslais Europos duomenų apsaugos priežiūros pareigūnas ir nacionalinės priežiūros institucijos bent du kartus per metus susitinka Europos duomenų apsaugos valdyboje. Šiais tikslais Europos duomenų apsaugos valdyba prireikus gali parengti kitus darbo metodus.

4.   Europos duomenų apsaugos valdyba kas dvejus metus Europos Parlamentui, Tarybai ir Komisijai siunčia bendrą koordinuotosios priežiūros veiklos ataskaitą.

1.   Neapribojant galimybių imtis kitų teisminių, administracinių arba neteisminių teisių gynimo priemonių, kiekvienas duomenų subjektas turi teisę pateikti skundą Europos duomenų apsaugos priežiūros pareigūnui, jei duomenų subjektas mano, kad su juo susijęs asmens duomenų tvarkymas atliekamas pažeidžiant šį reglamentą.

2.   Europos duomenų apsaugos priežiūros pareigūnas informuoja skundą pateikusį asmenį apie skundo nagrinėjimo eigą ir rezultatus, be kita ko, apie galimybę imtis teisminių teisių gynimo priemonių pagal 64 straipsnį.

3.   Jei Europos duomenų apsaugos priežiūros pareigūnas neišnagrinėja skundo arba per tris mėnesius nepraneša duomenų subjektui apie skundo nagrinėjimo eigą ar rezultatą, laikoma, kad Europos duomenų apsaugos priežiūros pareigūnas priėmė neigiamą sprendimą.

1.   Teisingumo Teismas turi jurisdikciją nagrinėti visus ginčus, susijusius su šio reglamento nuostatomis, įskaitant ieškinius atlyginti žalą.

2.   Ieškiniai dėl Europos duomenų apsaugos priežiūros pareigūno sprendimų, įskaitant 63 straipsnio 3 dalyje nurodytus sprendimus, pateikiami Teisingumo Teisme.

3.   Teisingumo Teismas turi neribotą jurisdikciją peržiūrėti 66 straipsnyje nurodytas administracines baudas. Jis gali panaikinti, sumažinti arba padidinti tas baudas laikydamasis 66 straipsnyje nustatytų ribų.

1.   Europos duomenų apsaugos priežiūros pareigūnas gali skirti administracines baudas Sąjungos institucijoms ir organams, atsižvelgdamas į kiekvieno konkretaus atvejo aplinkybes, jei Sąjungos institucija ar organas nesilaiko Europos duomenų apsaugos priežiūros pareigūno nurodymo pagal 58 straipsnio 2 dalies d–h ir j punktus. Sprendžiant dėl to, ar skirti administracinę baudą, ir sprendžiant dėl administracinės baudos dydžio kiekvienu konkrečiu atveju deramai atsižvelgiama į šiuos dalykus:

2.   Už Sąjungos institucijai ar organui tenkančių įpareigojimų pažeidimus pagal 8, 12, 27–35, 39, 40, 43, 44 ir 45 straipsnius, laikantis šio straipsnio 1 dalies, skiriamos administracinės baudos iki 25 000 EUR už vieną pažeidimą ir iš viso ne daugiau kaip 250 000 EUR per metus.

3.   Už toliau nurodytų nuostatų pažeidimus Sąjungos institucijai ar organui laikantis šio straipsnio 1 dalies skiriamos administracinės baudos iki 50 000 EUR už vieną pažeidimą ir iš viso ne daugiau kaip 500 000 EUR per metus:

4.   Jei Sąjungos institucija ar organas, atlikdamas tą pačią tvarkymo operaciją arba susijusias ar tęstines tvarkymo operacijas, pažeidžia kelias šio reglamento nuostatas arba tą pačią reglamento nuostatą kelis kartus, bendra administracinės baudos suma negali viršyti sumos, nustatytos už sunkiausią pažeidimą.

5.   Prieš priimdamas sprendimus pagal šį straipsnį, Europos duomenų apsaugos priežiūros pareigūnas suteikia Sąjungos institucijai ar organui, dėl kurio Europos duomenų apsaugos priežiūros pareigūnas pradėjo procedūrą, galimybę būti išklausytam klausimais, dėl kurių Europos duomenų apsaugos priežiūros pareigūnas pateikė prieštaravimus. Europos duomenų apsaugos priežiūros pareigūnas savo sprendimus grindžia tik tais prieštaravimais, dėl kurių atitinkamos šalys galėjo pateikti pastabas. Pareiškėjai turi būti įtraukti į bylos nagrinėjimą.

6.   Proceso metu turi būti gerbiama šalių teisė į gynybą. Jiems turi būti suteikta teisė susipažinti su Europos duomenų apsaugos priežiūros pareigūno byla, atsižvelgiant į fizinių asmenų ar įmonių teisėtą interesą, kad būtų apsaugoti jų asmens duomenys ar verslo paslaptys.

7.   Lėšos, surinktos paskyrus šiame straipsnyje numatytas baudas, laikomos Sąjungos bendrojo biudžeto pajamomis.

1.   Operatyviniai asmens duomenys turi būti:

2.   Tam pačiam arba kitam duomenų valdytojui tvarkyti duomenis kitais Sąjungos organo, tarnybos ar agentūros steigimo teisės akte nurodytais tikslais, kurie nesutampa su tikslu, kuriuo renkami operatyviniai asmens duomenys, leidžiama, jeigu:

3.   To paties ar kito duomenų valdytojo vykdomas duomenų tvarkymas gali apimti archyvavimą dėl viešojo intereso ar naudojimą mokslinių, statistinių ar istorinių tyrimų tikslais, siekiant Sąjungos organo, tarnybos ar agentūros steigimo teisės akte nurodytų tikslų, jeigu taikomos tinkamos duomenų subjektų teisių ir laisvių apsaugos priemonės.

4.   Duomenų valdytojas yra atsakingas už tai, kad būtų laikomasi 1, 2 ir 3 dalių, ir turi sugebėti tai įrodyti.

1.   Operatyvinių asmens duomenų tvarkymas yra teisėtas tik tuo atveju, jeigu jis būtinas Sąjungos organų, tarnybų ir agentūrų, vykdančių veiklą, kuriai taikomas SESV Trečiosios dalies V antraštinės dalies 4 skyrius ar 5 skyrius, užduočiai atlikti ir jeigu jis vykdomas tik tokiu mastu, kokiu reikia, ir pagrįstas Sąjungos teise.

2.   Konkrečiuose Sąjungos teisės aktuose, kuriais reglamentuojamas duomenų tvarkymas pagal šį skyrių, nurodomi bent tvarkymo tikslai, tvarkytini operatyviniai asmens duomenys, tvarkymo paskirtis ir operatyvinių asmens duomenų saugojimo terminai arba periodinės peržiūros siekiant nustatyti, ar būtina toliau saugoti operatyvinius asmens duomenis, atlikimo terminai.

1.   Duomenų valdytojas, kiek įmanoma, atskiria faktais pagrįstus operatyvinius asmens duomenis nuo asmeniniais vertinimais pagrįstų operatyvinių asmens duomenų.

2.   Duomenų valdytojas imasi visų pagrįstų priemonių, siekdamas užtikrinti, kad operatyviniai asmens duomenys, kurie yra netikslūs, neišsamūs arba nebeaktualūs, nebūtų persiunčiami ir nebūtų sudaroma galimybė jais naudotis. Tuo tikslu duomenų valdytojas, jei reikia ir kiek įmanoma, tikrina operatyvinių asmens duomenų kokybę (pavyzdžiui, konsultuodamasis su duomenis pateikusia kompetentinga valdžios institucija) prieš juos persiunčiant arba prieš suteikiant galimybę jais naudotis. Kiekvienu operatyvinių asmens duomenų perdavimo atveju, kiek tai įmanoma, duomenų valdytojas prideda būtiną informaciją, kuri suteikia galimybę gavėjui įvertinti operatyvinių asmens duomenų tikslumo, išsamumo ir patikimumo laipsnį, taip pat jų naujumą.

3.   Paaiškėjus, kad buvo persiųsti neteisingi operatyviniai asmens duomenys arba kad operatyviniai asmens duomenys buvo persiųsti neteisėtai, duomenų gavėjas nedelsiant apie tai informuojamas. Tokiu atveju atitinkami operatyviniai asmens duomenys pagal 82 straipsnį ištaisomi ar ištrinami arba apribojamas jų tvarkymas.

1.   Kai pagal Sąjungos teisę, taikytiną duomenis perduodančiam duomenų valdytojui, numatytos konkrečios duomenų tvarkymo sąlygos, duomenų valdytojas informuoja tokių operatyvinių asmens duomenų gavėją apie tas sąlygas ir reikalavimą jų laikytis.

2.   Duomenų valdytojas laikosi konkrečių tvarkymo sąlygų, kurias duomenis perduodančios kompetentingos institucijos duomenų tvarkymui nustato pagal Direktyvos (ES) 2016/680 9 straipsnio 3 ir 4 dalis.

1.   Operatyvinių asmens duomenų tvarkymas, kuriuo atskleidžiama rasinė arba etninė kilmė, politinės pažiūros, religiniai arba filosofiniai įsitikinimai ar priklausymas profesinėms sąjungoms, taip pat genetinių duomenų, biometrinių duomenų tvarkymas siekiant vienareikšmiškai nustatyti fizinio asmens tapatybę, arba operatyvinių asmens duomenų apie asmens sveikatą ar lytinį gyvenimą ir seksualinę orientaciją tvarkymas leidžiamas tik tada, kai tai tikrai būtina operatyviniais tikslais ir atitinkamam Sąjungos organui, tarnybai ar agentūrai vykdant savo įgaliojimus, jei taikomos tinkamos duomenų subjekto teisių ir laisvių apsaugos priemonės. Draudžiama diskriminuoti fizinius asmenis remiantis tokiais asmens duomenimis.

2.   Duomenų apsaugos pareigūnas nepagrįstai nedelsiant informuojamas apie šio straipsnio taikymą.

1.   Draudžiama priimti bet kokį sprendimą, grindžiamą tik automatizuotu duomenų tvarkymu, įskaitant profiliavimą, dėl kurio duomenų subjektui kyla neigiamų teisinių pasekmių arba kuris turi jam didelės įtakos, išskyrus tuos atvejus, kai tai leidžiama pagal Sąjungos teisę, kuri taikoma duomenų valdytojui ir kuria nustatytos tinkamos duomenų subjekto teisių ir laisvių, bent teisė reikalauti iš duomenų valdytojo žmogaus įsikišimo, apsaugos priemonės.

2.   Šio straipsnio 1 dalyje nurodyti sprendimai negali būti grindžiami 76 straipsnyje nurodytais specialių kategorijų asmens duomenimis, nebent yra nustatytos tinkamos priemonės duomenų subjekto teisėms bei laisvėms ir teisėtiems interesams apsaugoti.

3.   Profiliavimas, sukeliantis fizinių asmenų diskriminaciją remiantis 76 straipsnyje nurodytais specialių kategorijų asmens duomenimis, pagal Sąjungos teisę draudžiamas.

1.   Duomenų valdytojas imasi pagrįstų priemonių, kad visa 79 straipsnyje nurodyta informacija ir visi 80–84 ir 92 straipsniuose nurodyti pranešimai, susiję su duomenų tvarkymu, duomenų subjektui būtų pateikiami glausta, suprantama ir lengvai prieinama forma, aiškia ir paprasta kalba. Informacija pateikiama bet kokiomis tinkamomis priemonėmis, taip pat ir elektroniniu būdu. Paprastai duomenų valdytojas pateikia informaciją tokia pačia forma kaip ir prašymą.

2.   Duomenų valdytojas sudaro palankesnes sąlygas naudotis 79–84 straipsniuose nustatytomis duomenų subjekto teisėmis.

3.   Duomenų valdytojas nepagrįstai nedelsdamas raštu informuoja duomenų subjektą apie su jo prašymu susijusius tolesnius veiksmus, bet kuriuo atveju vėliausiai po trijų mėnesių nuo duomenų subjekto prašymo gavimo.

4.   Pagal 79 straipsnį teikiamą informaciją ir visus pagal 80–84 ir 92 straipsnius teikiamus pranešimus ar atliekamus veiksmus duomenų valdytojas teikia ir vykdo nemokamai. Kai duomenų subjekto prašymai yra akivaizdžiai nepagrįsti arba neproporcingi, visų pirma, dėl jų pasikartojančio turinio, duomenų valdytojas gali atsisakyti imtis veiksmų dėl prašymo. Duomenų valdytojui tenka pareiga įrodyti, kad prašymas yra akivaizdžiai nepagrįstas arba neproporcingas.

5.   Jei duomenų valdytojas turi pagrįstų abejonių dėl 80 arba 82 straipsnyje nurodytą prašymą pateikusio fizinio asmens tapatybės, duomenų valdytojas gali paprašyti pateikti papildomos informacijos, reikalingos norint patvirtinti duomenų subjekto tapatybę.

1.   Duomenų valdytojas duomenų subjektui padaro prieinama bent šią informaciją:

2.   Be 1 dalyje nurodytos informacijos, duomenų valdytojas konkrečiais pagal Sąjungos teisę numatytais atvejais duomenų subjektui pateikia toliau nurodytą informaciją, kad duomenų subjektas galėtų pasinaudoti savo teisėmis:

3.   Duomenų valdytojas gali atidėti informacijos teikimą duomenų subjektui pagal 2 dalį, jį apriboti arba jo nepaisyti tiek, kiek ir tol, kol tokia priemonė, tinkamai paisant atitinkamo fizinio asmens pagrindinių teisių ir teisėtų interesų, yra demokratinėje visuomenėje būtina ir proporcinga priemonė, siekiant:

1.   Duomenų valdytojas gali visiškai arba iš dalies apriboti duomenų subjekto teisę susipažinti su duomenimis tiek, kiek ir kol toks dalinis arba visiškas apribojimas, tinkamai paisant atitinkamo fizinio asmens pagrindinių teisių ir teisėtų interesų, yra demokratinėje visuomenėje būtina ir proporcinga priemonė, siekiant:

2.   1 dalyje nurodytais atvejais duomenų valdytojas nepagrįstai nedelsdamas raštu informuoja duomenų subjektą apie bet kokį atsisakymą leisti susipažinti su duomenimis arba tokios teisės apribojimą ir tokio atsisakymo arba apribojimo priežastis. Tokia informacija gali būti nesuteikta, jei jos pateikimas pakenktų tikslui, kurio siekiama 1 dalimi. Duomenų valdytojas informuoja duomenų subjektą apie galimybę pateikti skundą Europos duomenų apsaugos priežiūros pareigūnui arba teismine tvarka apskųsti sprendimą Teisingumo Teisme. Duomenų valdytojas dokumentuoja faktines arba teisines priežastis, kuriomis pagrįstas sprendimas. Gavus prašymą, tokia informacija pateikiama Europos duomenų apsaugos priežiūros pareigūnui.

1.   Bet kuris duomenų subjektas turi teisę reikalauti, kad duomenų valdytojas nepagrįstai nedelsdamas ištaisytų netikslius su juo susijusius operatyvinius asmens duomenis. Atsižvelgiant į tikslus, kuriais duomenys buvo tvarkomi, duomenų subjektas turi teisę reikalauti, kad būtų papildyti neišsamūs operatyviniai asmens duomenys, be kita ko, pateikdamas papildomą pareiškimą.

2.   Duomenų valdytojas nepagrįstai nedelsdamas ištrina operatyvinius asmens duomenis ir duomenų subjektas turi teisę reikalauti, kad duomenų valdytojas nepagrįstai nedelsdamas ištrintų su juo susijusius operatyvinius asmens duomenis, jeigu duomenų tvarkymu pažeidžiamas 71 straipsnis, 72 straipsnio 1 dalis arba 76 straipsnis arba jeigu operatyviniai asmens duomenys turi būti ištrinti vykdant teisinę prievolę, kuri taikoma duomenų valdytojui.

3.   Duomenų valdytojas apriboja duomenų tvarkymą jų neištrindamas, jeigu:

Jeigu duomenų tvarkymas ribojamas pagal pirmos pastraipos a punktą, duomenų valdytojas, prieš panaikindamas duomenų tvarkymo apribojimą, informuoja apie tai duomenų subjektą.

Apriboti duomenys tvarkomi tik tuo tikslu, dėl kurio jie buvo neištrinti.

4.   Duomenų valdytojas raštu informuoja duomenų subjektą, jei jis atsisako ištaisyti ar ištrinti operatyvinius asmens duomenis arba apriboti jų tvarkymą bei apie tokio atsisakymo priežastis. Duomenų valdytojas gali visiškai arba iš dalies apriboti tokios informacijos teikimą tiek, kiek toks apribojimas, tinkamai paisant atitinkamo fizinio asmens pagrindinių teisių ir teisėtų interesų, yra demokratinėje visuomenėje būtina ir proporcinga priemonė, siekiant:

Duomenų valdytojas informuoja duomenų subjektą apie galimybę pateikti skundą Europos duomenų apsaugos priežiūros pareigūnui arba teismine tvarka apskųsti sprendimą Teisingumo Teisme.

5.   Duomenų valdytojas praneša apie netikslių operatyvinių asmens duomenų ištaisymą kompetentingai institucijai, iš kurios tie netikslūs operatyviniai asmens duomenys buvo gauti.

6.   Tais atvejais, kai operatyviniai asmens duomenys buvo ištaisyti ar ištrinti arba buvo apribotas jų tvarkymas pagal 1, 2 ar 3 dalis, duomenų valdytojas informuoja duomenų gavėjus ir jiems praneša, kad jie turi ištaisyti ar ištrinti operatyvinius asmens duomenis arba apriboti operatyvinių asmens duomenų tvarkymą, kai asmens duomenų tvarkymas priklauso jų atsakomybei.

1.   79 straipsnio 3 dalyje, 81 straipsnyje ir 82 straipsnio 4 dalyje nurodytais atvejais duomenų subjekto teisėmis taip pat gali būti naudojamasi per Europos duomenų apsaugos priežiūros pareigūną.

2.   Duomenų valdytojas informuoja duomenų subjektą apie galimybę pasinaudoti jo teisėmis per Europos duomenų apsaugos priežiūros pareigūną pagal 1 dalį.

3.   Kai naudojamasi 1 dalyje nurodyta teise, Europos duomenų apsaugos priežiūros pareigūnas bent jau praneša duomenų subjektui, kad jis atliko visus būtinus patikrinimus ar peržiūrą. Europos duomenų apsaugos priežiūros pareigūnas taip pat informuoja duomenų subjektą apie jo teisę teismine tvarka apskųsti sprendimą Teisingumo Teisme.

1.   Atsižvelgdamas į techninių galimybių išsivystymo lygį, įgyvendinimo sąnaudas, taip pat į duomenų tvarkymo pobūdį, aprėptį, kontekstą bei tikslus ir į įvairios tikimybės bei dydžio pavojų fizinių asmenų teisėms ir laisvėms, kurį kelia duomenų tvarkymas, duomenų valdytojas tiek duomenų tvarkymo priemonių nustatymo metu, tiek paties tvarkymo metu turi įgyvendinti tinkamas technines ir organizacines priemones, pavyzdžiui, pseudonimų suteikimą, skirtas tam, kad būtų veiksmingai įgyvendinami duomenų apsaugos principai, pavyzdžiui, duomenų kiekio mažinimas, ir kad į duomenų tvarkymo procesą būtų integruotos reikiamos apsaugos priemonės, siekiant įvykdyti šio reglamento ir duomenų valdytojo steigimo teisės akto reikalavimus ir apsaugoti duomenų subjektų teises.

2.   Duomenų valdytojas įgyvendina tinkamas technines ir organizacines priemones, kuriomis užtikrinama, kad standartizuotai būtų tvarkomi tik tie operatyviniai asmens duomenys, kurie yra tinkami, aktualūs ir ne pernelyg išsamūs tikslo, kuriuo jie tvarkomi, atžvilgiu. Ta prievolė taikoma surinktų operatyvinių asmens duomenų kiekiui, jų tvarkymo apimčiai, jų saugojimo laikotarpiui ir jų prieinamumui. Visų pirma, tokiomis priemonėmis užtikrinama, kad standartizuotai be fizinio asmens įsikišimo su operatyviniais asmens duomenimis negalėtų susipažinti neribotas fizinių asmenų skaičius.

1.   Kai du ar daugiau duomenų valdytojų arba vienas ar daugiau duomenų valdytojų kartu su vienu ar daugiau duomenų valdytojų, kurie nėra Sąjungos institucijos ir organai, bendrai nustato duomenų tvarkymo tikslus ir priemones, jie yra bendri duomenų valdytojai. Jie skaidriu būdu nustato savo atitinkamą atsakomybę už pagal šį reglamentą nustatytų prievolių, visų pirma susijusių su duomenų subjekto naudojimusi savo teisėmis ir jų atitinkamomis pareigomis pateikti 79 straipsnyje nurodytą informaciją, vykdymą remiantis tarpusavio susitarimu, išskyrus atvejus, kai atitinkama bendrų duomenų valdytojų atsakomybė yra nustatyta Sąjungos arba valstybės narės teisėje, kuri yra taikoma bendriems duomenų valdytojams, ir tokiu mastu, kokiu ji yra nustatyta. Susitarimu gali būti paskirtas duomenų subjektų informavimo punktas.

2.   1 dalyje numatytame susitarime tinkamai apibrėžiamos atitinkamos faktinės bendrų duomenų valdytojų funkcijos bei santykiai duomenų subjekto atžvilgiu. Duomenų subjektui sudaroma galimybė susipažinti su esminėmis šio susitarimo nuostatomis.

3.   Nepaisant 1 dalyje nurodyto susitarimo sąlygų, duomenų subjektas gali naudotis savo teisėmis pagal šį reglamentą kiekvieno iš duomenų valdytojų atžvilgiu.

1.   Kai duomenys turi būti tvarkomi duomenų valdytojo vardu, duomenų valdytojas pasitelkia tik tuos duomenų tvarkytojus, kurie pakankamai užtikrina, kad tinkamos techninės ir organizacinės priemonės bus įgyvendintos tokiu būdu, kad duomenų tvarkymas atitiktų šio reglamento ir duomenų valdytojo steigimo teisės akto reikalavimus ir būtų užtikrinta duomenų subjekto teisių apsauga.

2.   Duomenų tvarkytojas nepasitelkia kito duomenų tvarkytojo be išankstinio konkretaus arba bendro rašytinio duomenų valdytojo leidimo. Bendro rašytinio leidimo atveju duomenų tvarkytojas informuoja duomenų valdytoją apie visus planuojamus pakeitimus, susijusius su kitų duomenų tvarkytojų pasitelkimu ar pakeitimu, taip suteikdamas duomenų valdytojui galimybę nesutikti su tokiais pakeitimais.

3.   Duomenų tvarkytojo atliekamą duomenų tvarkymą reglamentuoja sutartis arba kitas teisės aktas pagal Sąjungos arba valstybės narės teisę, kuris yra privalomas duomenų tvarkytojui duomenų valdytojo atžvilgiu ir kuriais nustatomas duomenų tvarkymo dalykas ir trukmė, duomenų tvarkymo pobūdis ir tikslas, operatyvinių asmens duomenų rūšis ir duomenų subjektų kategorijos bei duomenų valdytojo prievolės ir teisės. Toje sutartyje ar kitame teisės akte, visų pirma, nustatoma, kad duomenų tvarkytojas:

4.   3 dalyje nurodyta sutartis arba kitas teisės aktas sudaromi raštu, be kita ko, ir elektronine forma.

5.   Jeigu duomenų tvarkytojas, nustatydamas duomenų tvarkymo tikslus ir priemones, pažeidžia šį reglamentą ar duomenų valdytojo steigimo teisės aktą, to duomenų tvarkymo atžvilgiu tas duomenų tvarkytojas laikomas duomenų valdytoju.

1.   Duomenų valdytojas saugo registracijos įrašus apie visas šias automatizuotose duomenų tvarkymo sistemose atliekamas duomenų tvarkymo operacijas: operatyvinių asmens duomenų rinkimą, keitimą, prieigą prie jų, susipažinimą su jais, jų atskleidimą, įskaitant perdavimus, sujungimą ir ištrynimą. Susipažinimo ir atskleidimo registracijos įrašai turi suteikti galimybę nustatyti tokias operacijas pagrindžiančias priežastis ir jų atlikimo datą ir laiką, taip pat nustatyti asmens, kuris susipažino su operatyviniais asmens duomenimis arba juos atskleidė, tapatybę ir, kiek tai įmanoma, tokių operatyvinių asmens duomenų gavėjų tapatybę.

2.   Registracijos įrašai naudojami tik siekiant patikrinti duomenų tvarkymo teisėtumą, vykdyti savikontrolę, užtikrinti operatyvinių asmens duomenų vientisumą bei saugumą ir baudžiamojo proceso tikslais. Tokie įrašai ištrinami po trejų metų, išskyrus atvejus, kai jų reikia tęstinei kontrolei vykdyti.

3.   Duomenų valdytojas, gavęs prašymą, tuos registracijos įrašus pateikia savo duomenų apsaugos pareigūnui ir Europos duomenų apsaugos priežiūros pareigūnui.

1.   Tais atvejais, kai dėl duomenų tvarkymo rūšies, visų pirma, naudojant naujas technologijas, ir atsižvelgiant į duomenų tvarkymo pobūdį, aprėptį, kontekstą bei tikslus gali kilti didelis pavojus fizinių asmenų teisėms ir laisvėms, duomenų valdytojas, prieš pradėdamas vykdyti duomenų tvarkymą, atlieka numatytų duomenų tvarkymo operacijų poveikio operatyvinių asmens duomenų apsaugai vertinimą.

2.   1 dalyje nurodytame vertinime pateikiamas bent bendras numatytų duomenų tvarkymo operacijų aprašymas, pavojaus duomenų subjektų teisėms ir laisvėms vertinimas, numatytos priemonės tam pavojui pašalinti, apsaugos priemonės, saugumo priemonės ir mechanizmai, kuriais užtikrinama operatyvinių asmens duomenų apsauga ir įrodoma, kad laikomasi duomenų apsaugos taisyklių, atsižvelgiant į duomenų subjektų ir kitų susijusių asmenų teises ir teisėtus interesus.

1.   Duomenų valdytojas iš anksto konsultuojasi su Europos duomenų apsaugos priežiūros pareigūnu prieš pradėdamas tvarkyti duomenis, kurie bus įtraukti į naują susistemintą rinkinį, kuris turi būti sukurtas, jeigu:

2.   Europos duomenų apsaugos priežiūros pareigūnas gali parengti duomenų tvarkymo operacijų, dėl kurių reikia iš anksto konsultuotis pagal 1 dalį, sąrašą.

3.   Duomenų valdytojas pateikia Europos duomenų apsaugos priežiūros pareigūnui 89 straipsnyje nurodytą poveikio duomenų apsaugai vertinimą ir, gavęs prašymą, bet kokią kitą informaciją, kad Europos duomenų apsaugos priežiūros pareigūnas galėtų įvertinti, ar duomenų tvarkymas atitinka reikalavimus, visų pirma pavojų duomenų subjekto operatyvinių asmens duomenų apsaugai ir susijusias apsaugos priemones.

4.   Jeigu Europos duomenų apsaugos priežiūros pareigūnas laikosi nuomonės, kad šio straipsnio 1 dalyje nurodytas numatytas duomenų tvarkymas pažeistų šį reglamentą arba teisės aktą, steigiantį Sąjungos organą, tarnybą ar agentūrą, visų pirma, tais atvejais, kai duomenų valdytojas yra nepakankamai nustatęs arba nepakankamai sumažinęs pavojų, Europos duomenų apsaugos priežiūros pareigūnas ne vėliau kaip per šešias savaites nuo prašymo dėl konsultacijos gavimo raštu pateikia duomenų valdytojui rekomendacijas. Tas laikotarpis gali būti pratęstas vienu mėnesiu, atsižvelgiant į numatyto duomenų tvarkymo sudėtingumą. Europos duomenų apsaugos priežiūros pareigūnas informuoja duomenų valdytoją apie bet kokį tokio laikotarpio pratęsimą per vieną mėnesį nuo prašymo suteikti konsultaciją gavimo, taip pat ir apie vėlavimo priežastis.

1.   Duomenų valdytojas ir duomenų tvarkytojas, atsižvelgdami į techninių galimybių išsivystymo lygį ir įgyvendinimo sąnaudas, taip pat į duomenų tvarkymo pobūdį, aprėptį, kontekstą bei tikslus ir į įvairios tikimybės bei dydžio pavojų fizinių asmenų teisėms ir laisvėms, įgyvendina tinkamas technines ir organizacines priemones, kad būtų užtikrintas pavojų atitinkančio lygio saugumas, visų pirma, kiek tai susiję su specialių kategorijų operatyvinių asmens duomenų tvarkymu.

2.   Automatizuoto duomenų tvarkymo srityje duomenų valdytojas ir duomenų tvarkytojas, atlikę rizikos vertinimą, įgyvendina priemones, kuriomis siekiama:

1.   Asmens duomenų saugumo pažeidimo atveju duomenų valdytojas nepagrįstai nedelsdamas ir, jei įmanoma, praėjus ne daugiau kaip 72 valandoms nuo tada, kai jis sužino apie asmens duomenų saugumo pažeidimą, apie tai praneša Europos duomenų apsaugos priežiūros pareigūnui, nebent asmens duomenų saugumo pažeidimas neturėtų kelti pavojaus fizinių asmenų teisėms ir laisvėms. Jeigu Europos duomenų apsaugos priežiūros pareigūnui apie asmens duomenų saugumo pažeidimą nepranešama per 72 valandas, kartu su pranešimu nurodomos vėlavimo priežastys.

2.   1 dalyje nurodytame pranešime turi būti bent:

3.   Jeigu 2 dalyje nurodytos informacijos nėra įmanoma pateikti tuo pačiu metu, informaciją galima teikti etapais, toliau nepagrįstai nedelsiant.

4.   Duomenų valdytojas turi dokumentuoti visus 1 dalyje nurodytus asmens duomenų saugumo pažeidimus, įskaitant faktus, susijusius su asmens duomenų saugumo pažeidimu, jo poveikį ir taisomuosius veiksmus, kurių imtasi. Remdamasis tais dokumentais, Europos duomenų apsaugos priežiūros pareigūnas turi galėti patikrinti, ar laikomasi šio straipsnio.

5.   Tais atvejais, kai asmens duomenų saugumo pažeidimas yra susijęs su operatyviniais asmens duomenimis, kurie buvo persiųsti kompetentingų institucijų arba kompetentingoms institucijoms, duomenų valdytojas nepagrįstai nedelsdamas pateikia 2 dalyje nurodytą informaciją atitinkamoms kompetentingoms institucijoms.

1.   Kai dėl asmens duomenų saugumo pažeidimo gali kilti didelis pavojus duomenų fizinių asmenų teisėms ir laisvėms, duomenų valdytojas nepagrįstai nedelsdamas praneša apie asmens duomenų saugumo pažeidimą duomenų subjektui.

2.   Šio straipsnio 1 dalyje nurodytame pranešime duomenų subjektui aiškia ir paprasta kalba aprašomas asmens duomenų saugumo pažeidimo pobūdis ir pateikiama bent 92 straipsnio 2 dalies b, c ir d punktuose nurodyta informacija ir rekomendacijos.

3.   1 dalyje nurodyto pranešimo duomenų subjektui pateikti nereikalaujama, jeigu įvykdomos bet kurios toliau nurodytos sąlygos:

4.   Jeigu duomenų valdytojas dar nėra pranešęs duomenų subjektui apie asmens duomenų saugumo pažeidimą, Europos duomenų apsaugos priežiūros pareigūnas, apsvarstęs, kokia yra tikimybė, kad dėl asmens duomenų saugumo pažeidimo kils didelis pavojus, gali pareikalauti, kad jis tą padarytų, arba gali nuspręsti, kad įvykdyta bet kuri iš 3 dalyje nurodytų sąlygų.

5.   Šio straipsnio 1 dalyje nurodytas pranešimas duomenų subjektui gali būti atidėtas, apribotas arba jo galima nepateikti laikantis 79 straipsnio 3 dalyje nurodytų sąlygų ir pagrindų.

1.   Duomenų valdytojas, laikydamasis Sąjungos organo, tarnybos ar agentūros steigimo teisės aktuose nustatytų apribojimų ir sąlygų, gali perduoti operatyvinius asmens duomenis trečiosios šalies institucijai arba tarptautinei organizacijai, jeigu toks perdavimas yra būtinas duomenų valdytojo užduotims atlikti ir tik jeigu yra tenkinamos šiame skyriuje nustatytos sąlygos, būtent:

2.   Sąjungos organų, tarnybų ir agentūrų steigimo teisės aktuose gali būti išlaikytos arba numatytos konkretesnės nuostatos dėl tarptautinio operatyvinių asmens duomenų perdavimo, visų pirma, dėl asmens duomenų perdavimo taikant tinkamas apsaugos priemones, ir su konkrečiomis situacijomis susijusios nukrypti leidžiančios nuostatos.

3.   Duomenų valdytojas savo interneto svetainėje skelbia ir nuolat atnaujina sprendimų dėl tinkamumo, nurodytų 1 dalies a punkte, susitarimų, administracinių susitarimų ir kitų dokumentų, susijusių su operatyvinių asmens duomenų perdavimu pagal 1 dalį, sąrašą.

4.   Duomenų valdytojas detaliai registruoja visus pagal šį straipsnį atliekamo duomenų perdavimo atvejus.

1.   Komisijai padeda komitetas, įsteigtas pagal Reglamento (ES) 2016/679 93 straipsnį. Tas komitetas – tai komitetas, kaip nustatyta Reglamente (ES) Nr. 182/2011.

2.   Kai daroma nuoroda į šią dalį, taikomas Reglamento (ES) Nr. 182/2011 5 straipsnis.

1.   Ne vėliau kaip 2022 m. balandžio 30 d. Komisija atlieka teisės aktų, priimtų remiantis Sutartimis ir reglamentuojančių Sąjungos organų, tarnybų ar agentūrų atliekamą operatyvinių asmens duomenų tvarkymą vykdant veiklą, kuriai taikomas SESV Trečiosios dalies V antraštinės dalies 4 skyrius ar 5 skyrius, peržiūrą, siekdama:

2.   Atsižvelgdama į šią peržiūrą ir norėdama užtikrinti vienodą ir nuoseklią fizinių asmenų apsaugą tvarkant duomenis, Komisija gali pateikti atitinkamus pasiūlymus dėl teisėkūros procedūra priimamų aktų visų pirma siekdama, kad šio reglamento IX skyrius būtų taikomas Europolui ir Europos prokuratūrai, ir įskaitant pasiūlymus pritaikyti šio reglamento IX skyrių, kai tinkama.

1.   Šis reglamentas neturi įtakos Europos Parlamento ir Tarybos sprendimui 2014/886/ES (20) ir dabartinei Europos duomenų apsaugos priežiūros pareigūno bei jo pavaduotojo kadencijai.

2.   Europos duomenų apsaugo priežiūros pareigūno pavaduotojui nustatomas toks atlyginimas, priemokos, senatvės pensija ir kitos vietoje atlyginimo gaunamos išmokos, kokie nustatyti Teisingumo Teismo kancleriui.

3.   Šio reglamento 53 straipsnio 4, 5 ir 7 dalys ir 55 bei 56 straipsniai taikomi dabartiniam Europos duomenų apsaugo priežiūros pareigūno pavaduotojui iki jo kadencijos pabaigos.

4.   Europos duomenų apsaugos priežiūros pareigūno pavaduotojas padeda Europos duomenų apsaugos priežiūros pareigūnui atlikti pareigas ir pavaduoja jį, kai Europos duomenų apsaugos priežiūros pareigūno nėra ar kai jis negali eiti savo pareigų, iki dabartinio Europos duomenų apsaugos priežiūros pareigūno pavaduotojo kadencijos pabaigos.

1.   Šis reglamentas įsigalioja dvidešimtą dieną po jo paskelbimo Europos Sąjungos oficialiajame leidinyje.

2.   Tačiau Eurojusto atliekamam asmens duomenų tvarkymui šis reglamentas taikomas nuo 2019 m. gruodžio 12 d.