Член 1

Предмет и цели

1.С настоящия регламент се определят правилата по отношение на защитата на физическите лица във връзка с обработването на лични данни от институциите и органите на Съюза, както и правилата по отношение на свободното движение на лични данни между тях или до други получатели, установени в Съюза.

2.С настоящия регламент се защитават основни права и свободи на физическите лица, и по-специално тяхното право на защита на личните данни.

3.Европейският надзорен орган по защита на данните следи за прилагането на разпоредбите на настоящия регламент по отношение на всички операции по обработване на лични данни, извършвани от институция или орган на Съюза.

Член 2

Обхват

1.Настоящият регламент се прилага за обработването на лични данни от всички институции и органи на Съюза.

2.Само член 3 и глава IХ от настоящия регламент се прилагат за обработването на лични данни от оперативен характер от страна на органите, службите и агенциите на Съюза при извършването на дейности, които попадат в обхвата на част трета, дял V, глава 4 или глава 5 от ДФЕС.

3.Настоящият регламент не се прилага за обработването на лични данни от оперативен характер от страна на Европол и Европейската прокуратура, преди да се адаптират Регламент (ЕС) 2016/794 на Европейския парламент и на Съвета (15) и Регламент (ЕС) 2017/1939 на Съвета (16) в съответствие с член 98 от настоящия регламент.

4.Настоящият регламент не се прилага за обработването на лични данни от мисиите, посочени в член 42, параграф 1 и членове 43 и 44 от ДЕС.

5.Настоящият регламент се прилага за обработването на лични данни изцяло или частично с автоматични средства, както и за обработването с други средства на лични данни, които са част от регистър с лични данни или които са предназначени да съставляват част от регистър с лични данни.

Член 3

Определения

За целите на настоящия регламент се прилагат следните определения:

1) „лични данни“ означава всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано („субект на данни“); физическо лице, което може да бъде идентифицирано, е лице, което може да бъде идентифицирано пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер, данни за местонахождение, онлайн идентификатор или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, икономическата, културната или социалната идентичност на това физическо лице;

2) „лични данни от оперативен характер“ означава всички лични данни, които се обработват от органи, служби или агенции на Съюза при извършването на дейности, които попадат в обхвата на част трета, дял V, глава 4 или глава 5 от ДФЕС, за постигане на целите и изпълнение на задачите, определени в правните актове за създаване на тези органи, служби или агенции;

3) „обработване“ означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване;

4) „ограничаване на обработването“ означава маркиране на съхранявани лични данни с цел ограничаване на обработването им в бъдеще;

5) „профилиране“ означава всяка форма на автоматизирано обработване на лични данни, изразяващо се в използването на лични данни за оценяване на определени лични аспекти, свързани с физическо лице, и по-конкретно за анализиране или прогнозиране на аспекти, отнасящи се до изпълнението на професионалните задължения на това физическо лице, неговото икономическо състояние, здраве, лични предпочитания, интереси, надеждност, поведение, местоположение или движение;

6) „псевдонимизация“ означава обработването на лични данни по такъв начин, че личните данни да не могат повече да бъдат свързвани с конкретен субект на данни, без да се използва допълнителна информация, при условие че тя се съхранява отделно и е предмет на технически и организационни мерки с цел да се гарантира, че личните данни не са свързани с идентифицирано физическо лице или с физическо лице, което може да бъде идентифицирано;

7) „регистър с лични данни“ означава всеки структуриран набор от лични данни, достъпът до които се осъществява съгласно определени критерии, независимо дали е централизиран, децентрализиран или разпределен съгласно функционален или географски принцип;

8) „администратор“ означава институцията или органа на Съюза, или генералната дирекция, или всяка друга организационна структура, която самостоятелно или съвместно с други определя целите и средствата за обработването на лични данни; когато целите и средствата за обработването са определени със специален акт на Съюза, администраторът или специалните критерии за неговото определяне могат да бъдат установени в правото на Съюза;

9) „администратори, различни от институции и органи на Съюза“ означава администратори по смисъла на член 4, точка 7 от Регламент (ЕС) 2016/679 и администратори по смисъла на член 3, точка 8 от Директива (ЕС) 2016/680;

10) „институции и органи на Съюза“ означава институциите, органите, службите и агенциите на Съюза, създадени с ДЕС, ДФЕС или Договора за Евратом или въз основа на тези договори;

11) „компетентен орган“ означава всеки публичен орган в държава членка, който е компетентен за предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществената сигурност и тяхното предотвратяване;

12) „обработващ лични данни“ означава физическо или юридическо лице, публичен орган, агенция или друга структура, която обработва лични данни от името на администратора;

13) „получател“ означава физическо или юридическо лице, публичен орган, агенция или друга структура, пред която се разкриват личните данни, независимо дали е трета страна или не. Същевременно публичните органи, които могат да получават лични данни в рамките на конкретно разследване в съответствие с правото на Съюза или правото на държава членка, не се считат за „получатели“; обработването на тези данни от тези публични органи отговаря на приложимите правила за защита на данните съобразно целите на обработването;

14) „трета страна“ означава физическо или юридическо лице, публичен орган, агенция или друг орган, различен от субекта на данните, администратора, обработващия лични данни и лицата, които под прякото ръководство на администратора или на обработващия лични данни имат право да обработват личните данни;

15) „съгласие на субекта на данните“ означава всяко свободно изразено, конкретно, информирано и недвусмислено указание за волята на субекта на данните, посредством изявление или ясно потвърждаващо действие, което изразява съгласието му свързаните с него лични данни да бъдат обработени;

16) „нарушение на сигурността на лични данни“ означава нарушение на сигурността, което води до случайно или неправомерно унищожаване, загуба, промяна, неразрешено разкриване или достъп до лични данни, които се предават, съхраняват или обработват по друг начин;

17) „генетични данни“ означава лични данни, свързани с наследените или придобити генетични белези на дадено физическо лице, които дават уникална информация за отличителните черти или здравето на това физическо лице и които са получени, по-специално, от анализ на биологична проба от въпросното физическо лице;

18) „биометрични данни“ означава лични данни, получени в резултат на специфично техническо обработване, които са свързани с физическите, физиологичните или поведенческите характеристики на дадено физическо лице и които позволяват или потвърждават уникалната идентификация на това физическо лице, като лицеви изображения или дактилоскопични данни;

19) „данни за здравословното състояние“ означава лични данни, свързани с физическото или психичното здраве на физическо лице, включително предоставянето на здравни услуги, които дават информация за здравословното му състояние;

20) „услуга на информационното общество“ означава услуга по смисъла на член 1, параграф 1, буква б) от Директива (ЕС) 2015/1535 на Европейския парламент и на Съвета (17);

21) „международна организация“ означава организация и нейните подчинени органи, регламентирана от международното публично право, или всеки друг орган, създаден чрез споразумение между две или повече държави или въз основа на такова споразумение;

22) „национален надзорен орган“ означава независим публичен орган, създаден от държава членка съгласно член 51 от Регламент (ЕС) 2016/679 или съгласно член 41 от Директива (ЕС) 2016/680;

23) „ползвател“ означава всяко физическо лице, използващо мрежа или крайно устройство, които функционират под контрола на институция или орган на Съюза;

24) „указател“ означава обществено достъпен указател на ползвателите или вътрешен указател на ползвателите, който е наличен в институция или орган на Съюза или е споделен между институциите и органите на Съюза, независимо дали е на хартиен носител, или в електронна форма.

25) „електронна съобщителна мрежа“ означава преносна система, независимо дали базирана на постоянна инфраструктура, или на централизиран административен капацитет, и когато е приложимо — комутационно или маршрутизиращо оборудване и други ресурси, включително неактивни мрежови елементи, които позволяват преноса на сигнали посредством проводници, радиовълни, оптични или други електромагнитни способи, включително спътникови мрежи, фиксирани (с комутиране на канали и пакети, включително интернет) и мобилни наземни мрежи, електропроводни системи, доколкото са използвани за пренос на сигнали, мрежи, използвани за радио- и телевизионно разпръскване и кабелни телевизионни мрежи, независимо от типа на пренасяната информация;

26) „крайно устройство“ означава крайно устройство съгласно определението в член 1, точка 1 от Директива 2008/63/ЕО на Комисията (18).

Член 4

Принципи, свързани с обработването на лични данни

1.Личните данни:

а) се обработват законосъобразно, добросъвестно и по прозрачен начин по отношение на субекта на данните („законосъобразност, добросъвестност и прозрачност“);

б) се събират за конкретни, изрично указани и законни цели и не се обработват по-нататък по начин, който е несъвместим с тези цели; по-нататъшното обработване за целите на архивирането в обществен интерес, за научни или исторически изследвания или за статистически цели не се счита, съгласно член 13, за несъвместимо с първоначалните цели („ограничение на целите“);

в) са адекватни, относими и не надхвърлят необходимото във връзка с целите, за които се обработват („свеждане на данните до минимум“);

г) са точни и при необходимост се актуализират; трябва да се предприемат всички разумни мерки, за да се гарантира незабавното изтриване или коригиране на неточни лични данни, като се имат предвид целите, за които те се обработват („точност“);

д) се съхраняват във вид, който позволява идентифицирането на субектите на данните за период, не по-дълъг от необходимия за целите, за които се обработват личните данни; личните данни могат да се съхраняват за по-дълги срокове, доколкото ще бъдат обработвани единствено за целите на архивирането в обществен интерес, за научни или исторически изследвания или за статистически цели съгласно член 13, при условие че бъдат приложени подходящите технически и организационни мерки, предвидени в настоящия регламент с цел да бъдат гарантирани правата и свободите на субекта на данните („ограничение на съхранението“);

е) се обработват по начин, който гарантира подходящо ниво на сигурност на личните данни, включително защита срещу неразрешено или незаконосъобразно обработване и срещу случайна загуба, унищожаване или повреждане, като се прилагат подходящи технически или организационни мерки („цялостност и поверителност“).

2.Администраторът носи отговорност за спазването на параграф 1 и трябва да е в състояние да го докаже („отчетност“).

Член 5

Законосъобразност на обработването

1.Обработването е законосъобразно само ако и доколкото е приложимо поне едно от следните условия:

а) обработването е необходимо за изпълнението на задача от обществен интерес или при упражняването на официално правомощие, което е предоставено на институцията или органа на Съюза;

б) обработването е необходимо за спазването на законово задължение, което се прилага спрямо администратора;

в) обработването е необходимо за изпълнението на договор, по който субектът на данните е страна, или за предприемане на стъпки по искане на субекта на данните преди сключването на договор;

г) субектът на данните е дал съгласие за обработване на личните му данни за една или повече конкретни цели;

д) обработването е необходимо, за да бъдат защитени жизненоважните интереси на субекта на данните или на друго физическо лице.

2.Основанието за обработването, посочено в параграф 1, букви а) и б), се установява в правото на Съюза.

Член 6

Обработване за друга съвместима цел

Когато обработването за други цели, различни от тези, за които първоначално са били събрани личните данни, не се извършва въз основа на съгласието на субекта на данните или на правото на Съюза, което представлява необходима и пропорционална мярка в едно демократично общество за гарантиране на целите по член 25, параграф 1, администраторът, за да се увери дали обработването за други цели е съвместимо с първоначалната цел, за която са били събрани личните данни, inter alia, взема под внимание:

а) всяка връзка между целите, за които са били събрани личните данни, и целите на предвиденото по-нататъшно обработване;

б) контекста, в който са били събрани личните данни, по-специално във връзка с отношенията между субекта на данните и администратора;

в) естеството на личните данни, по-специално дали се обработват специални категории лични данни съгласно член 10, или се обработват лични данни, отнасящи се до присъди и престъпления, съгласно член 11;

г) възможните последствия от предвиденото по-нататъшно обработване за субектите на данните;

д) наличието на подходящи гаранции, които могат да включват криптиране или псевдонимизация.

Член 7

Условия за даване на съгласие

1.Когато обработването се извършва въз основа на съгласие, администраторът трябва да е в състояние да докаже, че субектът на данни е дал съгласие за обработване на личните му данни.

2.Ако съгласието на субекта на данните е дадено в рамките на писмена декларация, която се отнася и до други въпроси, искането за съгласие се представя по начин, който ясно да го отличава от другите въпроси, в разбираема и лесно достъпна форма, като се използва ясен и прост език. Никоя част от такава декларация, която представлява нарушение на настоящия регламент, не е обвързваща.

3.Субектът на данни има правото да оттегли съгласието си по всяко време. Оттеглянето на съгласието не засяга законосъобразността на обработването, основано на дадено съгласие преди неговото оттегляне. Преди да даде съгласие, субектът на данни трябва да бъде информиран за това. Оттеглянето на съгласие трябва да е също толкова лесно, колкото и даването му.

4.Когато се прави оценка дали съгласието е било свободно изразено, се отчита най-вече дали, inter alia, изпълнението на даден договор, включително предоставянето на дадена услуга, е поставено в зависимост от съгласието за обработване на лични данни, което не е необходимо за изпълнението на този договор.

Член 8

Условия, приложими за съгласието на дете във връзка с услугите на информационното общество

1.Когато се прилага член 5, параграф 1, буква г) във връзка с прякото предлагане на услуги на информационното общество на деца, обработването на данни на дете е законосъобразно, ако детето е поне на 13 години. Ако детето е под 13 години, това обработване е законосъобразно само ако и доколкото такова съгласие е дадено или потвърдено от носещия родителска отговорност за детето.

2.В такива случаи администраторът полага разумни усилия за удостоверяване, че съгласието е дадено или потвърдено от носещия родителска отговорност за детето, като взема предвид наличната технология.

3.Параграф 1 не засяга общото договорно право на държавите членки като разпоредбите относно действителността, сключването или последиците от даден договор по отношение на дете.

Член 9

Предаване на лични данни на установени в Съюза получатели, различни от институции и органи на Съюза

1.Без да се засягат членове 4—6 и член 10, лични данни се предават само на установени в Съюза получатели, различни от институции и органи на Съюза, ако:

а) получателят установи, че данните са необходими за изпълнението на задача от обществен интерес или при упражняването на предоставени на получателя официални правомощия, или

б) получателят установи, че е необходимо данните да бъдат предадени за конкретна цел от обществен интерес, а администраторът, ако има някакво основание да се предполага, че законните интереси на субекта на данните могат да бъдат накърнени, установи, че е пропорционално личните данни да бъдат предадени специално за тази цел, след като е претеглил по безспорен начин различните противоречащи си интереси.

2.Когато администраторът започва предаването по силата на настоящия член, той доказва, че предаването на лични данни е необходимо и пропорционално за целите на предаването, като прилага критериите, определени в параграф 1, буква а) или буква б).

3.Институциите и органите на Съюза съгласуват правото на защита на личните данни с правото на достъп до документи в съответствие с правото на Съюза.

Член 10

Обработване на специални категории лични данни

1.Забранява се обработването на лични данни, разкриващи расов или етнически произход, политически възгледи, религиозни или философски убеждения или членство в професионални съюзи, както и обработването на генетични данни, биометрични данни с цел уникално идентифициране на физическото лице, данни, свързани със здравето или сексуалния живот и сексуалната ориентация на лицето.

2.Параграф 1 не се прилага, ако е налице едно от следните условия:

а) субектът на данни е дал своето изрично съгласие за обработването на тези лични данни за една или повече конкретни цели, освен когато в правото на Съюза се предвижда, че посочената в параграф 1 забрана не може да бъде отменена от субекта на данни;

б) обработването е необходимо за целите на изпълнението на задълженията и упражняването на специалните права на администратора или на субекта на данните по силата на трудовото право и правото в областта на социалната сигурност и социалната закрила дотолкова, доколкото това е разрешено от правото на Съюза, в което се предвиждат подходящи гаранции за основните права и интересите на субекта на данните;

в) обработването е необходимо, за да бъдат защитени жизненоважни интереси на субекта на данните или на друго лице, когато субектът на данните е физически или юридически неспособен да даде своето съгласие;

г) обработването се извършва в хода на законно упражняваните дейности и при подходящи мерки за защита от орган с нестопанска цел, който представлява интегрирана в дадена институция или орган на Съюза структура, с политическа, философска, религиозна или профсъюзна цел и при условие че обработването касае единствено членове или бивши членове на този орган или лица, които редовно контактуват с него във връзка с неговите цели, и че данните не се разкриват пред трета страна без съгласието на субектите на данните;

д) обработването е свързано с лични данни, които са направени по явен начин обществено достояние от субекта на данните;

е) обработването е необходимо с цел установяване, упражняване или защита на правни претенции или винаги, когато Съдът действа в качеството си на правораздаващ орган;

ж) обработването е необходимо по причини от важен обществен интерес на основание на правото на Съюза, което е пропорционално на набелязаната цел, зачита същността на правото на защита на данните и предвижда подходящи и конкретни мерки за защита на основните права и интересите на субекта на данните;

з) обработването е необходимо за целите на превантивната или трудовата медицина, за оценка на трудоспособността на служителя, медицинска диагноза, осигуряването на здравни или социални грижи или лечение или за целите на управлението на услугите и системите за здравеопазване или социални грижи на основание на правото на Съюза или съгласно договор с медицинско лице и при условията и гаранциите, посочени в параграф 3;

и) обработването е необходимо от съображения от обществен интерес в областта на общественото здраве, като защитата срещу сериозни трансгранични заплахи за здравето или осигуряването на високи стандарти за качество и безопасност на здравните грижи и лекарствените продукти или медицинските изделия, на основание на правото на Съюза, в което са предвидени подходящи и конкретни мерки за гарантиране на правата и свободите на субекта на данните, по-специално опазването на професионална тайна; или

й) обработването е необходимо за целите на архивирането в обществен интерес, за научни или исторически изследвания или за статистически цели на основание на правото на Съюза, което е пропорционално на набелязаната цел, зачита същността на правото на защита на данните и предвижда подходящи и конкретни мерки за защита на основните права и интересите на субекта на данните.

3.Личните данни, посочени в параграф 1, може да бъдат обработвани за целите, посочени в параграф 2, буква з), когато въпросните данни се обработват от или под ръководството на професионален работник, обвързан от задължението за опазване на професионална тайна по силата на правото на Съюза или на държава членка или на правилата, установени от националните компетентни органи, или от друго лице, което също е обвързано от задължение за опазване на тайна по силата на правото на Съюза или на държава членка или на правилата, установени от националните компетентни органи.

Член 11

Обработване на лични данни, свързани с присъди и престъпления

Обработването на лични данни, свързани с присъди и престъпления или със свързаните с тях мерки за сигурност въз основа на член 5, параграф 1, се извършва само под контрола на официален орган или когато обработването е разрешено от правото на Съюза, в което са предвидени подходящи гаранции за правата и свободите на субектите на данни.

Член 12

Обработване, за което не се изисква идентифициране

1.Ако целите, за които администратор обработва лични данни, не изискват или вече не изискват идентифициране на субекта на данните от администратора, администраторът не е задължен да поддържа, да се сдобие с или да обработи допълнителна информация, за да идентифицира субекта на данни с единствената цел да бъде спазен настоящият регламент.

2.Когато в случаи, посочени в параграф 1 от настоящия член, администраторът може да докаже, че не е в състояние да идентифицира субекта на данни, администраторът уведомява съответно субекта на данни, ако това е възможно. В такива случаи членове 17 — 22 не се прилагат, освен когато субектът на данни, с цел да упражни правата си по тези членове, предостави допълнителна информация, позволяваща неговото идентифициране.

Член 13

Гаранции, свързани с обработването за целите на архивирането в обществен интерес, за научни или исторически изследвания или за статистически цели

Обработването за целите на архивирането в обществен интерес, за научни или исторически изследвания или за статистически цели подлежи в съответствие с настоящия регламент на подходящи гаранции за правата и свободите на субекта на данни. Тези гаранции осигуряват наличието на технически и организационни мерки, по-специално с оглед на спазването на принципа на свеждане на данните до минимум. Мерките може да включват псевдонимизация, при условие че посочените цели могат да бъдат постигнати по този начин. Когато посочените цели могат да бъдат постигнати чрез по-нататъшно обработване, което не позволява или повече не позволява идентифицирането на субектите на данни, целите се постигат по този начин.

Член 46

Общ принцип на предаването на данни

Предаване на лични данни, които се обработват или са предназначени за обработване след предаването на трета държава или на международна организация, се осъществява само ако при спазване на другите разпоредби на настоящия регламент, администраторът и обработващият лични данни спазват условията по настоящата глава, включително във връзка с последващи предавания на лични данни от третата държава или от международната организация на друга трета държава или на друга международна организация. Всички разпоредби на настоящата глава се прилагат, за да се гарантира, че нивото на защита на физическите лица, гарантирано от настоящия регламент, не се излага на риск.

Член 47

Предаване на данни въз основа на решение относно адекватното ниво на защита

1.Предаване на лични данни на трета държава или на международна организация може да се осъществява, ако Комисията е решила в съответствие с член 45, параграф 3 от Регламент (ЕС) 2016/679 или член 36, параграф 3 от Директива (ЕС) 2016/680, че съответната трета държава, територия, или един или повече конкретни сектори в тази трета държава или съответната международна организация осигуряват адекватно ниво на защита и ако личните данни се предават единствено, за да стане възможно изпълнението на задачи от компетентността на администратора.

2.Институциите и органите на Съюза информират Комисията и Европейския надзорен орган по защита на данните за случаи, в които те считат, че съответната трета държава, територия, или един или повече конкретни сектори в трета държава, или съответната международна организация не осигурява адекватно ниво на защита по смисъла на параграф 1.

3.Институциите и органите на Съюза предприемат необходимите мерки, за да се съобразят с взетите от Комисията решения, когато съгласно член 45, параграфи 3 или 5 от Регламент (ЕС) 2016/679 или член 36, параграф 3 или 5 от Директива (ЕС) 2016/680, тя установява, че дадена трета държава територия, или един или повече конкретни сектори в трета държава, или международна организация осигурява или вече не осигурява адекватно ниво на защита.

Член 48

Предаване на данни, обвързани с подходящи гаранции

1.При липса на решение съгласно член 45, параграф 3 от Регламент (ЕС) 2016/679 или съгласно член 36, параграф 3 от Директива (ЕС) 2016/680, администраторът или обработващият лични данни може да предава лични данни на трета държава или на международна организация само ако администраторът или обработващият лични данни са предвидили подходящи гаранции и при условие че на субекта на данни са предоставени изпълняеми права в това негово качество и ефективни правни средства за защита.

2.Подходящите гаранции, посочени в параграф 1, могат да бъдат предвидени, без да се изисква специално разрешение от Европейския надзорен орган по защита на данните, посредством:

а) правно обвързващ инструмент с изпълнителна сила между публичните органи или структури;

б) стандартни клаузи за защита на данните, приети от Комисията в съответствие с процедурата по разглеждане, посочена в член 96, параграф 2;

в) стандартни клаузи за защита на данните, приети от Европейския надзорен орган по защита на данните и одобрени от Комисията съгласно процедурата по разглеждане, посочена в член 96, параграф 2;

г) когато обработващият лични данни не е институция или орган на Съюза, задължителни фирмени правила, кодекси за поведение и механизъм за сертифициране съгласно член 46, параграф 2, букви б), д) и е) от Регламент (ЕС) 2016/679.

3.При условие че Европейският надзорен орган по защита на данните е дал разрешение, подходящите гаранции, посочени в параграф 1, могат да бъдат предвидени по-специално и посредством:

а) договорни клаузи между администратора или обработващия лични данни и администратора, обработващия лични данни или получателя на личните данни в третата държава или международната организация; или

б) разпоредби, които да се включват в административните договорености между публичните органи или структури, съдържащи изпълняеми и ефективни права на субектите на данни.

4.Разрешенията, издадени от Европейския надзорен орган по защита на данните въз основа на член 9, параграф 7 от Регламент (ЕО) № 45/2001, остават валидни, докато не бъдат изменени, заменени или отменени, ако е необходимо, от Европейския надзорен орган по защита на данните.

5.Институциите и органите на Съюза информират Европейския надзорен орган по защита на данните за категориите случаи, в които настоящият член е бил приложен.

Член 49

Неразрешено от правото на Съюза предаване или разкриване на данни

Всяко решение на съд или трибунал и всяко решение на административен орган на трета държава, с което от администратор или обработващ лични данни се изисква да предаде или разкрие лични данни, могат да бъдат признати или да подлежат на изпълнение по какъвто и да било начин само ако се основават на международно споразумение, като договор за правна взаимопомощ, което е в сила между третата държава, отправила искането, и Съюза, без да се засягат другите основания за предаване на данни съгласно настоящата глава.

Член 50

Дерогации за особени случаи

1.При липсата на решение относно адекватното ниво на защита съгласно член 45, параграф 3 от Регламент (ЕС) 2016/679 или съгласно член 36, параграф 3 от Директива (ЕС) 2016/680 или на подходящи гаранции съгласно член 48 от настоящия регламент, предаване или съвкупност от предавания на лични данни на трета държава или международна организация се извършва само при едно от следните условия:

а) субектът на данните изрично е дал съгласието си за предлаганото предаване на данни, след като е бил информиран за свързаните с предаването възможни рискове за него поради липсата на решение относно адекватното ниво на защита и на подходящи гаранции;

б) предаването е необходимо за изпълнението на договор между субекта на данните и администратора или за изпълнението на преддоговорни мерки, взети по искане на субекта на данните;

в) предаването е необходимо за сключването или изпълнението на договор, сключен в интерес на субекта на данните между администратора и друго физическо или юридическо лице;

г) предаването е необходимо поради важни причини от обществен интерес;

д) предаването е необходимо за установяването, упражняването или защитата на правни претенции;

е) предаването е необходимо, за да бъдат защитени жизненоважните интереси на субекта на данните или на други лица, когато субектът на данните е физически или юридически неспособен да даде своето съгласие; или

ж) предаването се извършва от регистър, който съгласно правото на Съюза е предназначен за предоставяне на информация на обществеността и е открит за извършване на справки от широката общественост или от всяко лице, което може да докаже законен интерес, но само при условие че в конкретния случай са изпълнени предвидените в правото на Съюза условия за извършване на справки.

2.Параграф 1, букви а), б) и в) не се прилага за дейности, извършвани от институциите и органите на Съюза при упражняването на техните публични правомощия.

3.Общественият интерес, посочен в параграф 1, буква г), трябва да е признат в правото на Съюза.

4.Предаването съгласно параграф 1, буква ж) не трябва да включва всички лични данни или всички категории лични данни, съдържащи се в регистъра, освен ако това е разрешено от правото на Съюза. Когато регистърът е предназначен за справка от лица, които имат законен интерес, предаването се извършва единствено по искане на тези лица или ако те са получателите.

5.При липсата на решение относно адекватното ниво на защита правото на Съюза може по важни причини от обществен интерес изрично да определи ограничения за предаването на специални категории от лични данни на трета държава или международна организация.

6.Институциите и органите на Съюза информират Европейския надзорен орган по защита на данните за категориите случаи, в които настоящият член е бил приложен.

Член 51

Международно сътрудничество за защита на личните данни

По отношение на трети държави и международни организации Европейският надзорен орган по защита на данните, в сътрудничество с Комисията и Европейския комитет по защита на данните, предприема подходящи мерки за:

а) разработване на механизми за международно сътрудничество с цел подпомагане ефективното прилагане на законодателството за защита на личните данни;

б) осигуряване на международна взаимопомощ при прилагането на законодателството за защита на личните данни, включително чрез уведомяване, препращане на жалби, помощ при разследвания и обмен на информация, при условие че има подходящи гаранции за защитата на личните данни и другите основни права и свободи;

в) включване на съответните заинтересовани страни в обсъждания и дейности, насочени към насърчаване на международното сътрудничество за прилагането на законодателството за защита на личните данни;

г) насърчаване на обмена и документирането на законодателството и практиките в областта на защитата на личните данни, включително относно спорове за компетентност с трети държави.

Член 52

Европейският надзорен орган за защита на личните данни;

1.Създава се Европейският надзорен орган по защита на данните.

2.По отношение на обработването на лични данни задачата на Европейския надзорен орган по защита на данните е да гарантира спазването от страна на институциите и органите на Съюза на основните права и свободи на физическите лица, и по-специално правото им на защита на данните.

3.Европейският надзорен орган по защита на данните отговаря за наблюдението и гарантирането на прилагането на разпоредбите на настоящия регламент и всеки друг акт на Съюза, който се отнася до защитата на основните права и свободи на физическите лица по отношение на обработването на лични данни от институция или орган на Съюза, както и за предоставянето на консултации на институциите и органите на Съюза и субектите на данни по всички въпроси, свързани с обработването на лични данни. За тази цел Европейският надзорен орган по защита на данните изпълнява задачите, определени в член 57, и упражнява правомощията, предоставени съгласно член 58.

4.Регламент (ЕО) № 1049/2001 се прилага по отношение на документите, съхранявани от Европейския надзорен орган по защита на данните. Европейският надзорен орган по защита на данните приема подробни правила за прилагането на Регламент (ЕО) № 1049/2001 по отношение на тези документи.

Член 53

Назначаване на Европейския надзорен орган по защита на данните

1.Европейският надзорен орган по защита на данните се назначава с общо съгласие от Европейския парламент и Съвета за срок от пет години въз основа на съставен от Комисията списък след публично отправена покана за представяне на кандидатури. Поканата за представяне на кандидатури предоставя възможност на всички заинтересовани страни в Съюза да представят своите кандидатури. Съставеният от Комисията списък на кандидатите е публичен и включва най-малко трима кандидати. Въз основа на списъка, съставен от Комисията, компетентната комисия на Европейския парламент може да реши да проведе изслушване, за да получи възможност да изрази предпочитанията си.

2.Списъкът от кандидатите, посочен в параграф 1, се състои от лица, чиято независимост не подлежи на съмнение и за които е признато, че притежават експертни познания в областта на защитата на данни, както и необходимите опит и умения, за да изпълняват задълженията на Европейски надзорен орган по защита на данните.

3.Мандатът на Европейския надзорен орган по защита на данните може да бъде подновен еднократно.

4.Задълженията на Европейския надзорен орган по защита на данните се прекратяват при следните обстоятелства:

а) ако Европейският надзорен орган по защита на данните бъде сменен;

б) ако Европейският надзорен орган по защита на данните подаде оставка:

в) ако Европейският надзорен орган по защита на данните бъде освободен от длъжност или ако подлежи на задължително пенсиониране.

5.Европейският надзорен орган по защита на данните може да бъде освободен от длъжност или лишен от правото на пенсия или други заместващи пенсията облаги от Съда по искане на Европейския парламент, Съвета или Комисията, ако престане да отговаря на необходимите условия за изпълнение на своите задължения или в случай на тежко провинение.

6.В случай на нормална смяна или доброволна оставка Европейският надзорен орган по защита на данните въпреки всичко продължава да заема длъжността си, докато бъде сменен.

7.Разпоредбите на членове 11 — 14 и член 17 от Протокола за привилегиите и имунитетите на Европейския съюз се прилагат за Европейския надзорен орган защита на данните.

Член 54

Правилник и общи условия за изпълнение на задълженията на Европейския надзорен орган по защита на данните, персонал и финансови средства

1.Счита се, че Европейският надзорен орган по защита на данните има статут, равностоен на този на съдия от Съда, що се отнася до определяне на размера на възнаграждението, надбавките, пенсията за осигурителен стаж и възраст и всякакви други обезщетения, които заместват възнаграждението.

2.Бюджетният орган гарантира осигуряването на Европейския надзорен орган по защита на данните на необходимите за изпълнение на неговите задачи човешки и финансови ресурси.

3.Бюджетът на Европейския надзорен орган по защита на данните фигурира в отделна бюджетна позиция в раздела за административни разходи на общия бюджет на Съюза.

4.Европейският надзорен орган по защита на данните се подпомага от секретариат. Длъжностните лица и другите служители в секретариата се назначават от Европейския надзорен орган по защита на данните, който е и техен ръководител. Те са изцяло под негово ръководство. Числеността на персонала се определя всяка година като част от бюджетната процедура. Член 75, параграф 2 от Регламент (ЕС) 2016/679 се прилага за служителите на Европейския надзорен орган по защита на данните, участващи в изпълнението на задачите, възложени на Европейския комитет по защита на данните съгласно правото на Съюза.

5.За длъжностните лица и другите служители в секретариата на Европейския надзорен орган по защита на данните се прилагат правилата и разпоредбите, приложими за длъжностните лица и другите служители на Съюза.

6.Седалището на Европейския надзорен орган по защита на данните е в Брюксел.

Член 55

Независимост

1.Европейският надзорен орган по защита на данните действа напълно независимо при изпълнението на задачите си и упражняването на правомощията си съгласно настоящия регламент.

2.При изпълнението на задачите си и упражняването на правомощията си в съответствие с настоящия регламент Европейският надзорен орган по защита на данните остава независим от външно влияние, било то пряко или непряко, и нито търси, нито приема инструкции от когото и да било.

3.Европейският надзорен орган по защита на данните се въздържа от всякакви несъвместими със задълженията му действия и по време на своя мандат не упражнява никакви други дейности, независимо дали срещу възнаграждение, или безвъзмездно.

4.След приключване на мандата си Европейският надзорен орган по защита на данните проявява почтеност и въздържаност относно приемането на постове и облаги.

Член 56

Професионална тайна

По време и след приключване на техния мандат за Европейския надзорен орган по защита на данните и за неговия персонал се прилага задължението за опазване на професионалната тайна по отношение на всякаква поверителна информация, която е стигнала до тяхното знание в хода на изпълнение на служебните им задължения.

Член 57

Задачи

1.Без да се засягат останалите задачи, определени в настоящия регламент, Европейският надзорен орган по защита на данните:

а) наблюдава и осигурява прилагането на настоящия регламент от институциите и органите на Съюза, с изключение на обработването на лични данни от Съда при изпълнение на съдебните му функции;

б) насърчава обществената информираност и разбиране на рисковете, правилата, гаранциите и правата, свързани с обработването. Обръща се специално внимание на дейностите, специално насочени към децата;

в) насърчава информираността на администраторите и обработващите лични данни за задълженията им съгласно настоящия регламент;

г) при поискване предоставя информация на всеки субект на данни във връзка с упражняването на правата му съгласно настоящия регламент и ако е необходимо, си сътрудничи за тази цел с националните надзорни органи;

д) разглежда жалбите, подадени от субект на данни или от структура, организация или сдружение в съответствие с член 67, и разследва предмета на жалбата, доколкото това е целесъобразно, и информира жалбоподателя за напредъка и резултатите от разследването в разумен срок, по-специално ако е необходимо по-нататъшно разследване или координиране с друг надзорен орган;

е) извършва разследвания относно прилагането на настоящия регламент, включително въз основа на информация, получена от друг надзорен или публичен орган;

ж) по собствена инициатива или при поискване съветва всички институции и органи на Съюза относно законодателни и административни мерки, отнасящи се до защитата на правата и свободите на физическите лица по отношение на обработването на лични данни;

з) наблюдава развитието по-специално в областта на информационните и комуникационни технологии дотолкова, доколкото те имат въздействие върху защитата на личните данни;

и) приема стандартните договорни клаузи, посочени в член 29, параграф 8 и член 48, параграф 2, буква в);

й) съставя и поддържа списък във връзка с изискването за оценка на въздействието върху защитата на данните съгласно член 39, параграф 4;

к) участва в дейностите на Европейския комитет по защита на данните;

л) осигурява секретариата на Европейския комитет по защита на данните в съответствие с член 75 от Регламент (ЕС) 2016/679;

м) дава становища по обработването, посочено в член 40, параграф 2;

н) дава разрешение за договорните клаузи и разпоредбите, посочени в член 48, параграф 3;

о) поддържа вътрешен регистър на нарушенията на настоящия регламент, както и на предприетите мерки в съответствие с член 58, параграф 2;

п) изпълнява други задачи, свързани със защитата на лични данни; както и

р) приема свой процедурен правилник.

2.Европейският надзорен орган по защита на данните улеснява подаването на жалбите, посочени в параграф 1, буква д), посредством формуляр за подаване на жалби, който може да бъде попълнен и по електронен път, без да се изключват други средства за комуникация.

3.Изпълнението на задълженията на Европейския надзорен орган по защита на данните е безплатно за субекта на данни.

4.Когато исканията са явно неоснователни или прекомерни, по-специално поради своята повторяемост, Европейският надзорен орган по защита на данните може да откаже да предприеме действия по искането. Европейският надзорен орган по защита на данните носи тежестта на доказване на явно неоснователния или прекомерен характер на искането.

Член 58

Правомощия

1.Европейският надзорен орган по защита на данните има следните правомощия за разследване:

а) да разпорежда на администратора и на обработващия лични данни да предоставят всяка информация, която той поиска за изпълнението на своите задачи;

б) да провежда разследвания под формата на одити във връзка със защитата на данните;

в) да уведомява администратора или обработващия лични данни за предполагаемо нарушение на настоящия регламент;

г) да получава от администратора и обработващия лични данни достъп до всички лични данни и до цялата информация, от която се нуждае за изпълнението на своите задачи;

д) да получава достъп до всички помещения на администратора и обработващия лични данни, включително до всяко оборудване и средства за обработване на данни, в съответствие с правото на Съюза.

2.Европейският надзорен орган по защита на данните има следните корективни правомощия:

а) да отправя предупреждения до администратора или обработващия лични данни, когато има вероятност операциите по обработване на данни, които те възнамеряват да извършат, да нарушат разпоредбите на настоящия регламент;

б) да отправя официално предупреждение до администратора или обработващия лични данни, когато операции по обработване на данни са нарушили разпоредбите на настоящия регламент;

в) да отнася въпросите до администратора или обработващия лични данни, а при необходимост и до Европейския парламент, Съвета и Комисията;

г) да разпорежда на администратора или обработващия лични данни да изпълнят исканията на субекта на данни да упражнява правата си съгласно настоящия регламент;

д) да разпорежда на администратора или обработващия лични данни да съобразят операциите по обработване на данни с разпоредбите на настоящия регламент и, ако е целесъобразно, това да стане по указан начин и в определен срок;

е) да разпорежда на администратора да съобщава на субекта на данните за нарушение на сигурността на личните данни;

ж) да налага временно или окончателно ограничаване, включително забрана, на обработването на данни;

з) да разпорежда коригирането или изтриването на лични данни, или ограничаването на обработването им съгласно членове 18, 19 и 20, както и уведомяването за тези действия на получатели, пред които личните данни са били разкрити съгласно член 19, параграф 2 и член 21;

и) да налага административна имуществена санкция съгласно член 66 в случай на неизпълнение от страна на институция или орган на Съюза на една от мерките, посочени в букви г)—з) и й) от настоящия параграф, в зависимост от обстоятелствата по всеки отделен случай;

й) да разпорежда спиране на предаването на данни към получател в държава членка или към международна организация.

3.Европейският надзорен орган по защита на данните има следните правомощия по отношение на даване на разрешения и съвети:

а) да съветва субектите на данни при упражняване на техните права;

б) да съветва администратора в съответствие с процедурата по предварителна консултация, посочена в член 40, и в съответствие с член 41, параграф 2;

в) да издава по собствена инициатива или при поискване становища до институциите и органите на Съюза и до обществеността по всякакви въпроси, свързани със защитата на лични данни;

г) да приема стандартните клаузи за защита на данните, посочени в член 29, параграф 8 и в член 48, параграф 2, буква в);

д) да дава разрешение за договорните клаузи, посочени в член 48, параграф 3, буква а);

е) да дава разрешение за административните договорености, посочени в член 48, параграф 3, буква б).

ж) да дава разрешение за операциите по обработване съгласно актове за изпълнение, приети съгласно член 40, параграф 4.

4.Европейският надзорен орган по защита на данните разполага с правомощието да сезира Съда при условията, предвидени в Договорите, и да встъпва по дела, заведени пред Съда.

5.Упражняването на правомощията, предоставени на Европейския надзорен орган по защита на данните съгласно настоящия член, подлежи на подходящи гаранции, включително ефективни средства за съдебна защита и справедлив съдебен процес, определени в правото на Съюза.

Член 59

Задължение на администраторите и обработващите лични данни за реагиране на твърдения

Когато Европейският надзорен орган по защита на данните упражнява правомощията, предвидени в член 58, параграф 2, букви а), б) и в), администраторът или обработващият лични данни информира Европейския надзорен орган по защита на данните относно становището си в разумен срок, който се определя от Европейския надзорен орган по защита на данните при отчитане на обстоятелствата по всеки отделен случай. Отговорът включва и описание на предприетите мерки, ако има такива, в отговор на отправените от Европейския надзорен орган по защита на данните забележки.

Член 60

Доклад за дейността

1.Европейският надзорен орган по защита на данните представя на Европейския парламент, на Съвета и на Комисията годишен доклад за дейността си и същевременно го публикува.

2.Европейският надзорен орган по защита на данните изпраща посочения в параграф 1 доклад на другите институции и органи на Съюза, които могат да представят коментари с оглед на евентуално разглеждане на доклада от Европейския парламент.

Член 61

Сътрудничество между Европейския надзорен орган по защита на данните и националните надзорни органи

Европейският надзорен орган по защита на данните си сътрудничи с националните надзорни органи, и със съвместния надзорен орган, създаден съгласно член 25 от Решение 2009/917/ПВР на Съвета (19), доколкото това е необходимо за изпълнението на съответните им задължения, по-специално чрез взаимно предоставяне на съответната информация, отправяне на искания помежду си за упражняване на своите правомощия и взаимно даване на отговор на отправените искания.

Член 62

Координиран надзор, осъществяван от Европейския надзорен орган по защита на данните и националните надзорни органи

1.В случаите, когато даден акт на Съюза препраща към настоящия член, Европейският надзорен орган по защита на данните и националните надзорни органи, всеки от тях действащ в обхвата на съответните си правомощия, си сътрудничат активно в рамките на отговорностите си, за осигуряване на ефективен надзор на мащабни информационни системи и на органи, служби и агенции на Съюза.

2.Действайки в обхвата на съответните си правомощия и в рамките на отговорностите си, когато е необходимо те осъществяват обмен на съответна информация, оказват си съдействие при извършването на одити и проверки, разглеждат трудности при тълкуването или прилагането на настоящия регламент и други приложими правни актове на Съюза, проучват проблеми, свързани с упражняването на независим надзор или с упражняването на правата на субектите на данни, изготвят хармонизирани предложения за разрешаване на проблеми и насърчават информираността относно правата на защита на данните.

3.За целите, посочени в параграф 2, Европейският надзорен орган по защита на данните и националните надзорни органи провеждат заседания най-малко два пъти в годината в рамките на Европейския комитет по защита на данните. За тези цели Европейският комитет по защита на данните може да разработи допълнителни методи на работа, когато е необходимо.

4.Веднъж на всеки две години Европейският комитет по защита на данните изпраща на Европейския парламент, на Съвета и на Комисията съвместен доклад за дейностите по координиран надзор.

Член 63

Право на подаване на жалба до Европейския надзорен орган по защита на данните

1.Без да се засягат които и да било средства за съдебна, административна или извънсъдебна защита, всеки субект на данни има право да подаде жалба до Европейския надзорен орган по защита на данните, ако счита, че обработването на лични данни, отнасящи се до него, нарушава настоящия регламент.

2.Европейският надзорен орган по защита на данните информира жалбоподателя за напредъка в разглеждането на жалбата и за резултата от нея, включително за възможността за съдебна защита съгласно член 64.

3.Ако Европейският надзорен орган по защита на данните в срок от три месеца не разгледа жалбата или не информира субекта на данните за напредъка в разглеждането на жалбата или за резултата от нея, се счита, че Европейският надзорен орган по защита на данните е взел отрицателно решение.

Член 64

Право на ефективна съдебна защита

1.Съдът е компетентен да разглежда всички спорове, свързани с разпоредбите на настоящия регламент, включително искове за вреди.

2.Решенията на Европейския надзорен орган по защита на данните, включително решенията съгласно член 63, параграф 3, се обжалват пред Съда.

3.Съдът разполага с неограничена компетентност за преглед на административната имуществена санкция, посочено в член 66. Той може да отмени, намали или увеличи наложените имуществени санкции в рамките на член 66.

Член 65

Право на обезщетение

Всяко лице, което е претърпяло имуществени или неимуществени вреди в резултат на нарушение на настоящия регламент, има право да получи обезщетение от институцията или органа на Съюза за нанесените вреди, при спазване на условията, предвидени в Договорите.

Член 66

Административна имуществена санкция

1.Европейският надзорен орган по защита на данните може да налага административна имуществена санкция на институции и органи на Съюза, в зависимост от обстоятелствата по всеки отделен случай, когато институция или орган на Съюза не изпълни разпореждане на Европейския надзорен орган по защита на данните, издадено съгласно член 58, параграф 2, букви а)—з) и буква й). Когато се взема решение дали да бъде наложена административна имуществена санкция и се определя нейният размер, във всеки конкретен случай надлежно се разглеждат следните елементи:

а) естеството, тежестта и продължителността на нарушението, като се взема предвид естеството, обхватът или целта на съответното обработване, както и броят на засегнатите субекти на данни и степента на причинената им вреда;

б) действията, предприети от институцията или органа на Съюза за смекчаване на последиците от вредите, претърпени от субектите на данни;

в) степента на отговорност на институцията или органа на Съюза, като се вземат предвид техническите и организационни мерки, въведени от тях в съответствие с членове 27 и 33;

г) всички подобни предишни нарушения от страна на институцията или органа на Съюза;

д) степента на сътрудничество с Европейския надзорен орган по защита на данните с цел отстраняване на нарушението и смекчаване на евентуалните неблагоприятни последици от него;

е) категориите лични данни, засегнати от нарушението;

ж) начинът, по който нарушението е станало известно на Европейския надзорен орган по защита на данните, по-специално дали и до каква степен институцията или органът на Съюза са съобщили за нарушението;

з) спазването на мерките, посочени в член 58, наложени преди на въпросната институция или въпросния орган на Съюза във връзка със същия предмет. Производството, водещо до налагане на тези имуществени санкции, се провежда в разумен срок в зависимост от обстоятелствата по случая и при отчитане на съответните мерки и производства, посочени в член 69.

2.В съответствие с параграф 1 от настоящия член, на институция или орган на Съюза, които нарушат задълженията си съгласно членове 8, 12, 27—35, 39, 40, 43, 44 и 45, се налага административна имуществена санкция в размер до 25 000 EUR за всяко отделно нарушение и в общ размер до 250 000 EUR годишно.

3.В съответствие с параграф 1 на институция или орган на Съюза, които нарушат следните разпоредби, се налага административна имуществена санкция в размер до 50 000 EUR за всяко отделно нарушение и в общ размер до 500 000 EUR годишно:

а) основните принципи за обработване на лични данни, включително условията, свързани с даването на съгласие, в съответствие с членове 4, 5, 7 и 10;

б) правата на субектите на данни съгласно членове 14—24;

в) предаването на лични данни на получател в трета държава или международна организация съгласно членове 46—50.

4.Ако институция или орган на Съюза при една и съща операция или при свързани или непрекъснати операции по обработване наруши няколко разпоредби на настоящия регламент или една и съща разпоредба няколко пъти, общият размер на административната имуществената санкция не може да надвишава сумата, определена за най-тежкото нарушение.

5.Преди да вземе решения съгласно настоящия член, Европейският надзорен орган по защита на данните дава на институцията или органа на Съюза, по отношение на които се провеждат производствата от Европейският надзорен орган, възможността да бъдат изслушани във връзка с въпросите, по които Европейският надзорен орган е изразил възражения. Европейският надзорен орган по защита на данните основава своите решения единствено на възражения, по които засегнатите страни са имали възможност да изразят становище. Жалбоподателите се привличат за тясно сътрудничество в рамките на производството.

6.Правото на защита на засегнатите страни се съблюдава в хода на цялото производство. Те имат правото на достъп до преписката на Европейския надзорен орган по защита на данните, при условие че се зачита законният интерес на физическите лица или на предприятията за защита на техните лични данни или търговски тайни.

7.Средствата, събрани чрез налагането на имуществени санкции съгласно настоящия член, представляват приход в общия бюджет на Съюза.

Член 67

Представителство на субектите на данни

Субектът на данни има право да възложи на структура, организация или сдружение с нестопанска цел, което е надлежно учредено в съответствие с правото на Съюза или с правото на държава членка, има уставни цели, които са в обществен интерес, и действа в областта на защитата на правата и свободите на субектите на данни по отношение на защитата на техните лични данни, да подаде жалба от негово име до Европейския надзорен орган по защита на данните и да упражни от негово име правата по членове 63 и 64, както и правото на обезщетение по член 65.

Член 68

Жалби от длъжностни лица и други служители на Съюза

Всяко лице, наето на работа от институция или орган на Съюза, може да подаде жалба до Европейския надзорен орган по защита на данните във връзка с предполагаемо нарушение на разпоредбите на настоящия регламент, без да следва официална процедура. Никой не трябва да претърпява неблагоприятни последици поради това, че е подал жалба до Европейския надзорен орган по защита на данните, в която се твърди, че е извършено такова нарушение.

Член 69

Санкции

Когато длъжностно лице или друг служител на Съюза не спази задълженията, предвидени в настоящия регламент, независимо дали умишлено или по непредпазливост, съответното длъжностно лице или служител подлежи на дисциплинарни или други мерки в съответствие с правилата и процедурите, установени в Правилника за длъжностните лица.

Член 70

Приложно поле на главата

Настоящата глава се прилага единствено за обработването на лични данни от оперативен характер от органи, служби или агенции на Съюза, осъществяващи дейности, които попадат в обхвата на част трета, дял V, глави 4 и 5 от ДФЕС, без да се засягат специалните правила за защита на данните, приложими по отношение на тези органи, служби или агенции на Съюза.

Член 71

Принципи, свързани с обработването на лични данни от оперативен характер

1.Личните данни от оперативен характер:

а) се обработват законосъобразно и добросъвестно („законосъобразност и добросъвестност“);

б) се събират за конкретни, изрично указани и законни цели и не се обработват по начин, който е несъвместим с тези цели („ограничение до конкретни цели“);

в) са подходящи, относими и не надхвърлят необходимото във връзка с целите, за които се обработват („свеждане на данните до минимум“);

г) са точни и при необходимост поддържани в актуален вид; трябва да се предприемат всички разумни мерки, за да се гарантира своевременното изтриване или коригиране на неточни лични данни от оперативен характер, като се имат предвид целите, за които те се обработват („точност“);

д) се поддържат във вид, който позволява идентифициране на субектите на данните, за период, не по-дълъг от необходимия за целите, за които личните данни от оперативен характер се обработват („ограничено съхраняване“);

е) се обработват по начин, който гарантира подходящо ниво на сигурност на личните данни, включително защита срещу неразрешено или незаконосъобразно обработване и срещу случайна загуба, унищожаване или повреждане, като се прилагат подходящи технически или организационни мерки („цялостност и поверителност“).

2.Обработване от същия или друг администратор за която и да е от целите, посочени в правния акт за създаване на институция, орган или агенция на Съюза, различна от целта, за която личните данни от оперативен характер са събрани, се разрешава, при условие че:

а) администраторът е оправомощен да обработва такива лични данни от оперативен характер за такава цел в съответствие с правото на Съюза; и

б) обработването е необходимо и пропорционално за тази различна цел в съответствие с правото на Съюза.

3.Обработването от същия или друг администратор може да включва архивиране в обществен интерес, използване за научни, статистически или исторически цели съгласно посоченото в правния акт за създаване на институция, орган или агенция на Съюза, при прилагането на подходящи гаранции за правата и свободите на субектите на данните.

4.Администраторът носи отговорност за спазването на параграфи 1, 2 и 3 и трябва да е в състояние да го докаже.

Член 72

Законосъобразност на обработването на лични данни от оперативен характер

1.Обработването на лични данни е законосъобразно само ако и доколкото то е необходимо за изпълнението на задача, която се осъществява от органите, службите и агенциите на Съюза при извършването на дейности, които попадат в обхвата на част трета, дял V, глави 4 и 5 от ДФЕС и е въз основа на правото на Съюза.

2.Специалните правни актове на Съюза, уреждащи обработването в рамките на посочената глава, посочват най-малко целите на обработването, личните данни от оперативен характер, които се обработват, задачите на обработването и сроковете за съхранение на лични данни от оперативен характер или за периодично преразглеждане на необходимостта от продължаване на съхраняването на лични данни от оперативен характер.

Член 73

Разграничение между различните категории субекти на данни

Когато е приложимо и доколкото е възможно, администраторът прави ясно разграничение между личните данни от оперативен характер на различни категории субекти на данни, като категориите, изброени в правните актове за създаване на органите, службите и агенциите на Съюза.

Член 74

Разграничение между лични данни от оперативен характер и проверка на качеството на личните данни от оперативен характер

1.Администраторът разграничава, доколкото е възможно, личните данни от оперативен характер, основани на факти, от лични данни от оперативен характер, основани на лични преценки.

2.Администраторът предприема всички разумни стъпки, за да гарантира, че не се предават или предоставят лични данни от оперативен характер, които са неточни, непълни или неактуални. За тази цел администраторът трябва, доколкото е възможно и където е приложимо, да проверява качеството на личните данни от оперативен характер, преди тяхното предаване или предоставяне, например чрез консултация с компетентния орган, от когото произхождат данните. Доколкото е възможно, при всяко предаване на лични данни от оперативен характер администраторът добавя необходимата информация, позволяваща на получателя да оцени степента на точност, пълнота и надеждност на личните данни от оперативен характер, както и степента им на актуалност.

3.Ако се окаже, че са предадени неверни лични данни от оперативен характер или че личните данни от оперативен характер са предадени незаконосъобразно, получателят се уведомява незабавно. В този случай съответните лични данни се коригират или изтриват или обработването им се ограничава в съответствие с член 82.

Член 75

Специални условия за обработване

1.В случаите, когато правото на Съюза, приложимо по отношение на администратора, предаващ данните, предвижда специални условия за обработването, администраторът информира получателя на личните данни от оперативен характер за тези условия и за изискването те да бъдат изпълнени.

2.Администраторът спазва специалните условия за обработване, предвидени от компетентния орган, предаващ данните в съответствие с член 9, параграфи 3 и 4 от Директива (ЕС) 2016/680.

Член 76

Обработване на специални категории лични данни от оперативен характер

1.Обработването на лични данни от оперативен характер, разкриващи расов или етнически произход, политически възгледи, религиозни или философски убеждения, членство в професионални съюзи, и обработването на генетични данни, биометрични данни с цел уникално идентифициране на физическото лице, лични данни от оперативен характер, отнасящи се до здравето или сексуалния живот и сексуалната ориентация на лицето, е разрешено само когато това е абсолютно необходимо за оперативни цели, обхванато е от правомощията на съответния орган, служба или агенция на Съюза, и при подходящи гаранции за правата и свободите на субекта на данни. Забранява се дискриминацията на физически лица въз основа на посочените лични данни.

2.Длъжностното лице по защита на данните се уведомява без излишно забавяне за прибягването до настоящия член.

Член 77

Автоматизирано вземане на индивидуални решения, включително профилиране

1.Забранява се вземането на решение, което се основава единствено на автоматизирано обработване, включително профилиране, което поражда неблагоприятни правни последици за субекта на данните или оказва значително въздействие върху него, освен ако това се допуска от правото на Съюза, което се прилага спрямо администратора и което предоставя подходящи гаранции за правата и свободите на субекта на данни, най-малкото правото на получаване на човешка намеса от страна на администратора.

2.Решенията по параграф 1 от настоящия член не се основават на специалните категории лични данни, посочени в член 76, освен ако не са въведени подходящи мерки за защита на правата и свободите и законните интереси на субекта на данните.

3.В съответствие с правото на Съюза се забранява профилирането, което води до дискриминация на физически лица въз основа на специалните категории лични данни, посочени в член 76.

Член 78

Комуникация и условия за упражняването на правата на субекта на данни

1.Администраторът предприема разумни мерки за предоставяне на субекта на данни на всякаква информация по член 79 и за осигуряване на комуникацията във връзка с членове 80—84 и 92 относно обработването в сбита, разбираема и леснодостъпна форма, като използва ясен и прост език. Информацията се предоставя по всякакъв подходящ начин, включително по електронен път. Като общо правило администраторът предоставя информацията в същата форма като тази на искането.

2.Администраторът улеснява упражняването на правата на субекта на данните съгласно членове 79—84.

3.Администраторът уведомява писмено субекта на данните за отговора на неговото искане без необосновано забавяне и при всички случаи най-късно в срок от три месеца след получаване на искането му.

4.Администраторът предоставя безплатно информацията по член 79 и комуникацията или действията, предприети съгласно членове 80 — 84 и 92. Когато исканията на субект на данни са явно неоснователни или прекомерни, по-специално поради своята повторяемост, администраторът може да откаже да предприеме действия по искането. Администраторът носи тежестта на доказване на явно неоснователния или прекомерен характер на искането.

5.Когато администраторът има основателни опасения във връзка със самоличността на физическото лице, което подава искане по членове 80 или 82, администраторът може да поиска да се предостави допълнителна информация, необходима за потвърждаване на самоличността на субекта на данните.

Член 79

Информация, до която се осигурява достъп или която се предоставя на субекта на данните

1.Администраторът предоставя на субекта на данните най-малко следната информация:

а) посочване на органа, службата или агенцията на Съюза и координатите за връзка с тях;

б) координатите за връзка на длъжностното лице по защита на данните;

в) целите на обработването, за които са предназначени личните данни от оперативен характер;

г) правото да бъде подадена жалба до Европейския надзорен орган по защита на данните и координатите за връзка на този орган;

д) съществуването на право да се изиска от администратора достъп до, коригиране или изтриване на лични данни от оперативен характер и ограничаване на обработването на лични данни от оперативен характер, свързани със субекта на данните.

2.Освен информацията, посочена в параграф 1, администраторът предоставя на субекта на данните, в конкретни случаи, предвидени от правото на Съюза и с цел да му се даде възможност да упражни правата си, следната допълнителна информация:

а) правното основание на обработването;

б) срока, за който ще се съхраняват личните данни от оперативен характер, а ако това е невъзможно, критериите, използвани за определяне на този срок;

в) когато е приложимо, категориите получатели на личните данни от оперативен характер, включително в трети държави или международни организации;

г) когато е необходимо, допълнителна информация, по-специално когато личните данни от оперативен характер са събрани без знанието на субекта на данните.

3.Администраторът може да забавя, ограничава или пропуска предоставянето на информация на субекта на данните съгласно параграф 2, до такава степен и за толкова време, за колкото тази мярка е необходима и пропорционална в едно демократично общество, като надлежно се вземат предвид основните права и законните интереси на засегнатото физическо лице, за да:

а) се избегне възпрепятстването на официални или съдебни проучвания, разследвания или процедури;

б) не се допуснат неблагоприятни последици върху предотвратяването, разкриването, разследването или наказателното преследване на престъпления или изпълнението на наказания;

в) се защити обществената сигурност на държавите членки;

г) се защити националната сигурност на държавите членки;

д) се защитят правата и свободите на други лица, като жертвите и свидетелите.

Член 80

Право на достъп на субекта на данните

Субектът на данните има право да получи от администратора потвърждение дали се обработват лични данни от оперативен характер, свързани с него, и ако това е така, има право на достъп до личните данни от оперативен характер и до следната информация:

а) целите и правното основание за обработването;

б) съответните категории лични данни от оперативен характер;

в) получателите или категориите получатели, пред които са разкрити личните данни от оперативен характер, по-специално получателите в трети държави или международни организации;

г) когато е възможно, предвидения срок, за който ще се съхраняват личните данни, или ако това е невъзможно, критериите за определяне на този срок;

д) съществуването на право да се изиска от администратора коригиране или изтриване на лични данни от оперативен характер, или ограничаване на обработването на лични данни от оперативен характер, свързано със субекта на данните;

е) правото да подаде жалба до Европейския надзорен орган по защита на данните, както и да получи неговите данни за контакт;

ж) съобщаване на личните данни от оперативен характер, които са в процес на обработване, и на всякаква налична информация за техния произход.

Член 81

Ограничения на правото на достъп

1.Администраторът може да ограничи изцяло или частично правото на достъп на субекта на данните, до степен и срок, при които такова частично или пълно ограничаване представлява необходима и пропорционална мярка в едно демократично общество, като надлежно се вземат под внимание основните права и законните интереси на засегнатото физическо лице, за да:

а) се избегне възпрепятстването на официални или съдебни проучвания, разследвания или процедури;

б) не се допуснат неблагоприятни последици върху предотвратяването, разкриването, разследването или наказателното преследване на престъпления или изпълнението на наказания;

в) се защити обществената сигурност на държавите членки;

г) се защити националната сигурност на държавите членки;

д) се защитят правата и свободите на други лица, като например жертви и свидетели.

2.В случаите, посочени в параграф 1, администраторът информира без излишно забавяне в писмена форма субекта на данните за всеки отказ на достъп или ограничаване на достъпа и за причините за отказа или ограничаването. Тази информация може да бъде пропусната, когато предоставянето ѝ би възпрепятствало постигането на някоя от целите, посочени в параграф 1. Администраторът уведомява субекта на данните за възможността за подаване на жалба до Европейския надзорен орган по защита на данните или за търсене на защита по съдебен ред пред Съда. Администраторът документира фактическите или правните основания, на които се основава решението. При поискване, тази информация се предоставя на разположение на Европейския надзорен орган по защита на данните.

Член 82

Право на коригиране или изтриване на лични данни от оперативен характер и ограничаване на обработването

1.Всеки субект на данни има право да поиска от администратора да коригира без ненужно забавяне неточните лични данни от оперативен характер, свързани с него. Като се имат предвид целите на обработването, субектът на данните има право непълните лични данни от оперативен характер да бъдат попълнени, включително чрез предоставяне на допълнителна декларация.

2.Администраторът изтрива личните данни от оперативен характер без ненужно забавяне, а субектът на данни има право да поиска от администратора да изтрие негови лични данни от оперативен характер без ненужно забавяне, в случай че обработването се извършва в нарушение на членове 71, 72, параграф 1 или 76 или когато личните данни от оперативен характер трябва да бъдат изтрити с цел спазване на правно задължение, което се прилага спрямо администратора.

3.Вместо да извърши изтриване, администраторът ограничава обработването, когато:

а) точността на личните данни се оспорва от субекта на данните и тяхната точност или неточност не може да бъде проверена; или

б) личните данни трябва да бъдат запазени за доказателствени цели.

Когато обработването е ограничено съгласно първа алинея, буква а), администраторът информира субекта на данните, преди да премахне ограничаването на обработването.

Ограничените данни се обработват единствено с оглед на целта, поради която тяхното изтриване е било възпрепятствано.

4.Администраторът информира писмено субекта на данните за всеки отказ за коригиране или изтриване на лични данни от оперативен характер, или за ограничено обработване и за причините за отказа. Администраторът може да ограничи изцяло или частично предоставянето на такава информация, в степента, в която такова ограничаване представлява необходима и пропорционална мярка в едно демократично общество, като надлежно се вземат под внимание основните права и законните интереси на засегнатото физическо лице, за да:

а) се избегне възпрепятстването на официални или съдебни проучвания, разследвания или процедури;

б) не се допуснат неблагоприятни последици върху предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания;

в) се защити обществената сигурност на държавите членки;

г) се защити националната сигурност на държавите членки;

д) се защитят правата и свободите на други лица, като жертвите и свидетелите.

Администраторът уведомява субекта на данните за възможността за подаване на жалба до Европейския надзорен орган по защита на данните или за търсене на защита по съдебен ред пред Съда.

5.Администраторът уведомява за коригирането на неточни лични данни от оперативен характер компетентния орган, от който произхождат неточните лични данни от оперативен характер.

6.Когато лични данни от оперативен характер са коригирани или изтрити, или обработването им е ограничено съгласно параграфи 1, 2 или 3, администраторът уведомява получателите и ги информира, че те трябва да коригират или изтрият личните данни от оперативен характер, или да ограничат обработването на личните данни от оперативен характер, за което носят отговорност.

Член 83

Право на достъп в рамките на наказателното разследване и наказателното производство

Когато личните данни от оперативен характер произхождат от компетентен орган, органите, службите и агенциите на Съюза, преди да вземат решение относно правото на достъп на даден субект на данни, правят справка със съответния компетентен орган дали тези лични данни се съдържат в съдебно решение или регистър или досие, обработвани в хода на наказателно разследване и наказателно производство в държавата членка на компетентния орган. Ако това е така, решение относно правото на достъп се взема в рамките на консултация и в тясно сътрудничество със съответния компетентен орган.

Член 84

Упражняване на правата от субекта на данните и проверка от Европейския надзорен орган по защита на данните

1.В случаите, посочени в член 79, параграф 3, член 81 и член 82, параграф 4, правата на субекта на данните могат да бъдат упражнявани и чрез Европейския надзорен орган по защита на данните.

2.Администраторът информира субекта на данните за възможността да упражнява правата си чрез Европейския надзорен орган по защита на данните в съответствие с параграф 1.

3.Когато е упражнено правото по параграф 1, Европейският надзорен орган по защита на данните информира субекта на данните най-малко за това, че е извършил всички необходими проверки или нужния преглед. Европейският надзорен орган по защита на данните информира също така субекта на данните за правото му да потърси защита по съдебен ред пред Съда.

Член 85

Защита на данните на етапа на проектирането и по подразбиране

1.Като взема предвид достиженията на техническия прогрес, разходите за прилагане и естеството, обхвата, контекста и целите на обработването, както и породените от обработването рискове с различна вероятност и тежест за правата и свободите на физическите лица, администраторът въвежда, както към момента на определянето на средствата за обработване, така и към момента на самото обработване, подходящи технически и организационни мерки, например псевдонимизация, които са разработени с оглед на ефективното прилагане на принципите за защита на данните, например свеждане на данните до минимум, и с оглед на включване на необходимите гаранции в процеса на обработване, за да се спазят изискванията на настоящия регламент и на правния акт за създаването му, и да се гарантира защитата на правата на субектите на данни.

2.Администраторът въвежда подходящи технически и организационни мерки, за да се гарантира, че по правило се обработват само лични данни от оперативен характер, които са подходящи, относими и не надхвърлят необходимото във връзка с целта на обработването. Това задължение се отнася до обема на събраните лични данни от оперативен характер, степента на обработването, срока на съхраняването им и тяхната достъпност. По-специално, подобни мерки гарантират, че по подразбиране личните данни от оперативен характер не са достъпни за неограничен брой физически лица без намеса от страна на съответното физическо лице.

Член 86

Съвместни администратори

1.Когато двама или повече администратори или един или повече администратори съвместно с един или повече администратори, различни от институции и органи на Съюза, съвместно определят целите и средствата на обработването, те са съвместни администратори. Те определят по прозрачен начин съответните си отговорности за изпълнение на задълженията си за защита на данните, по-специално що се отнася до упражняването на правата на субекта на данни и съответните им задължения за предоставяне на информацията, посочена в член 79, посредством договореност помежду си, освен ако и доколкото съответните отговорности на съвместните администратори не са определени от правото на Съюза или правото на държава членка, което се прилага спрямо съвместните администратори. В договореността може да се посочи точка за контакт за субектите на данни.

2.Договореността, посочена в параграф 1, надлежно отразява съответните роли и връзки на съвместните администратори спрямо субекта на данни. Съществените характеристики на договореността са достъпни за субекта на данните.

3.Независимо от условията на договореността, посочена в параграф 1, субектът на данни може да упражнява своите права по настоящия регламент по отношение на всеки и срещу всеки от администраторите.

Член 87

Обработващ лични данни

1.Когато обработването се извършва от името на даден администратор, администраторът използва само обработващи лични данни, които предоставят достатъчни гаранции за прилагането на подходящи технически и организационни мерки по такъв начин, че обработването да протича в съответствие с изискванията на настоящия регламент и на правния акт за създаване на администратора, и да гарантира защитата на правата на субектите на данни.

2.Обработващият лични данни не включва друг обработващ лични данни без предварителното конкретно или общо писмено разрешение от администратора. В случай на общо писмено разрешение обработващият лични данни информира администратора за всякакви планирани промени за включване или замяна на други обработващи лични данни, като по този начин дава възможност на администратора да се противопостави на тези промени.

3.Обработването от страна на обработващия лични данни се урежда с договор или с друг правен акт съгласно правото на Съюза или правото на държава членка, който е задължителен за обработващия лични данни в отношенията му с администратора и който урежда предмета и срока на обработването, естеството и целта на обработването, вида лични данни от оперативен характер и категориите субекти на данни, както и задълженията и правата на администратора. В този договор или друг правен акт се предвижда по-специално, че обработващият лични данни:

а) действа единствено по указания на администратора;

б) гарантира, че лицата, оправомощени да обработват личните данни от оперативен характер, са поели ангажимент за поверителност или са задължени по закон да спазват поверителност;

в) подпомага администратора с всички подходящи средства, за да се гарантира спазването на разпоредбите относно правата на субекта на данни;

г) по избор на администратора заличава или връща на администратора всички лични данни от оперативен характер след приключване на услугите по обработване и заличава съществуващите копия, освен ако правото на Съюза или правото на държава членка изисква съхранението на тези лични данни от оперативен характер;

д) предоставя на администратора цялата информация, необходима за доказване на изпълнението на задълженията, определени в настоящия член;

е) спазва условията по параграф 2 и настоящия параграф за включване на друг обработващ лични данни.

4.Договорът или другият правен акт, посочен в параграф 3, се изготвя в писмена форма, включително в електронна форма.

5.Ако обработващ лични данни наруши настоящия регламент или правния акт за създаване на администратора, като определи целите и средствата на обработването, обработващият личните данни се счита за администратор по отношение на това обработване.

Член 88

Водене на записи

1.Администраторът води записи за всяка от следните операции по обработване на данни в автоматизираните системи за обработка на данни: събиране, промяна, достъп, справки, разкриване, включително предаване, комбиниране и изтриване на лични данни от оперативен характер. Записите за извършена справка или разкриване дават възможност за установяване на обосновката за това, както и датата и часа на такива операции, идентификацията на лицето, което е направило справка или е разкрило лични данни, и — доколкото е възможно, самоличността на получателите на тези лични данни от оперативен характер.

2.Записите се използват единствено за проверяване на законосъобразността на обработването, за вътрешен контрол, за гарантиране на цялостността и сигурността на личните данни от оперативен характер и при наказателни производства. Тези записи се заличават след три години, освен ако са необходими за целите на текущия контрол.

3.Администраторът предоставя, при поискване, записите на своето длъжностно лице по защита на данните и на Европейския надзорен орган по защита на данните.

Член 89

Оценка на въздействието върху защитата на данни

1.Когато съществува вероятност определен вид обработване, по-специално при което се използват нови технологии, и предвид естеството, обхвата, контекста и целите на обработването, да породи висок риск за правата и свободите на физическите лица, администраторът, преди да пристъпи към обработването, извършва оценка на въздействието на предвидените операции по обработването върху защитата на личните данни от оперативен характер.

2.Оценката, посочена в параграф 1, съдържа най-малко общо описание на предвидените операции по обработване, оценка на рисковете за правата и свободите на субектите на данните, мерките, предвидени за справяне с тези рискове, гаранции, мерки за сигурност и механизми за гарантиране на защитата на личните данни от оперативен характер и за доказване на съответствие с правилата относно защитата на данни, като се вземат предвид правата и законните интереси на субектите на данните и другите засегнати лица.

Член 90

Предварителна консултация с Европейския надзорен орган по защита на данните

1.Администраторът се консултира с Европейския надзорен орган по защита на данните преди обработването на лични данни от оперативен характер, което ще бъде част от нов регистър, чието създаване предстои, когато:

а) оценката на въздействието върху защитата на данните съгласно член 89 покаже, че обработването ще породи висок риск, ако администраторът не предприеме мерки за ограничаване на риска; или

б) видът обработване, по-специално когато се използват нови технологии, механизми или процедури, включва висока степен на риск за правата и свободите на субектите на данните.

2.Европейският надзорен орган по защита на данните може да изготви списък на операциите по обработване, за които е необходима предварителна консултация съгласно параграф 1.

3.Администраторът предоставя на Европейския надзорен орган по защита на данните оценката на въздействието върху защитата на данните, посочена в член 89, и при поискване — всякаква друга информация, която позволява на Европейския надзорен орган по защита на данните да направи оценка на съответствието на обработването, и по-специално на рисковете за защитата на личните данни от оперативен характер на субекта на данните и на съответните гаранции.

4.Когато Европейският надзорен орган по защита на данните счита, че планираното обработване, посочено в параграф 1, би било в нарушение на настоящия регламент или на правния акт за създаване на органа, службата или агенцията на Съюза, по-специално когато администраторът не е идентифицирал или ограничил риска в достатъчна степен, Европейският надзорен орган по защита на данните предоставя на администратора писмено становище в срок до шест седмици след получаване на искането за консултация. Този срок може да бъде удължен с още един месец, в зависимост от сложността на планираното обработване. В срок от един месец от получаване на искането за консултация Европейският надзорен орган по защита на данните уведомява администратора за всяко такова удължаване, включително и за причините за забавянето.

Член 91

Сигурност на обработването на лични данни от оперативен характер

1.Администраторът и обработващият лични данни, като отчитат достиженията на техническия прогрес, разходите за прилагане и естеството, обхвата, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица, прилагат подходящи технически и организационни мерки за осигуряване на съобразено с тези рискове ниво на сигурност, по-специално по отношение на обработването на специалните категории лични данни от оперативен характер.

2.По отношение на автоматизираното обработване, администраторът и обработващият лични данни след оценка на рисковете прилагат мерки, имащи за цел:

а) да се откаже достъп на неоправомощени лица до оборудването, използвано за обработването на данни („контрол върху достъпа до оборудване“);

б) да се предотврати неразрешеното четене, копиране, изменяне или отстраняване на носители на данни („контрол върху носителите на данни“);

в) да се предотвратят неразрешеното въвеждане на оперативни лични данни и неразрешената проверка, изменяне или заличаване на съхраняваните лични данни от оперативен характер („контрол върху съхраняването“);

г) да се предотврати използването на автоматизирани системи за обработване от неоправомощени лица чрез използване на оборудване за предаване на данни („контрол върху ползвателите“);

д) да се гарантира, че лицата, на които е разрешено да използват автоматизирана система за обработване, имат достъп само до личните данни от оперативен характер, които са обхванати от тяхното разрешение за достъп („контрол върху достъпа до данни“);

е) да се гарантира възможността за проверка и установяване на кои органи са били или могат да бъдат предадени или имат достъп до лични данни от оперативен характер чрез предаване на данни („контрол върху комуникацията“);

ж) да се гарантира възможността за последваща проверка и установяване на това какви лични данни от оперативен характер са били въведени в автоматизираните системи за обработване на данни, както и кога и от кого са били въведени тези лични данни от оперативен характер („контрол върху въвеждането“);

з) да предотвратяват неразрешено четене, копиране, променяне или заличаване на лични данни от оперативен характер при предаване на лични данни от оперативен характер или при транспортиране на носители на данни („контрол на транспортирането“);

и) да се гарантира възможността за възстановяване на инсталираните системи в случай на отказ на системите („възстановяване“);

й) да се гарантира изпълнението на функциите на системата, докладването за появили се във функциите дефекти („надеждност“), както и недопускане на увреждане на съхраняваните лични данни от оперативен характер вследствие на неправилно функциониране на системата („непокътнатост“);

Член 92

Уведомяване на Европейския надзорен орган по защита на данните за нарушение на сигурността на личните данни

1.В случай на нарушение на сигурността на личните данни администраторът, без ненужно забавяне и когато това е осъществимо — не по-късно от 72 часа след като е разбрал за него, уведомява за нарушението на сигурността на личните данни Европейския надзорен орган по защита на данните, освен ако е малко вероятно нарушението на сигурността на личните данни да породи риск за правата и свободите на физическите лица. Когато уведомлението до Европейския надзорен орган по защита на данните не е подадено в срок от 72 часа, то се придружава от информация за причините за забавянето.

2.В уведомлението, посочено в параграф 1, се съдържа най-малко следното:

а) описание на естеството на нарушението на сигурността на личните данни, включително, когато това е възможно, категориите и приблизителния брой на засегнатите субекти на данни и категориите и приблизителния брой на засегнатите записи на лични данни от оперативен характер;

б) посочване на името и координатите за връзка на длъжностното лице по защита на данните;

в) описание на евентуалните последици от нарушението на сигурността на личните данни;

г) описание на предприетите или предложените от администратора мерки за справяне с нарушението на сигурността на личните данни, включително по целесъобразност мерки за намаляване на евентуалните неблагоприятни последици.

3.Когато и доколкото не е възможно информацията, посочена в параграф 2, да се подаде едновременно, тя може да се подаде поетапно без по-нататъшно ненужно забавяне.

4.Администраторът документира всяко нарушение на сигурността на личните данни, посочено в параграф 1, като включва фактите, свързани с нарушението на сигурността на личните данни, последиците от него и предприетите действия за справяне с него. Тази документация дава възможност на Европейския надзорен орган по защита на данните да провери дали е спазен настоящият член.

5.Когато нарушението на сигурността на личните данни засяга лични данни от оперативен характер, които са били предадени от или на компетентните органи, администраторът съобщава посочената в параграф 2 информация на компетентните органи без излишно забавяне.

Член 93

Съобщаване на субекта на данните за нарушение на сигурността на личните данни

1.Когато има вероятност нарушението на сигурността на личните данни да породи висок риск за правата и свободите на физическите лица, администраторът без ненужно забавяне съобщава на субекта на данните за нарушението на сигурността на личните данни.

2.В съобщението до субекта на данните, посочено в параграф 1 от настоящия член, на ясен и прост език се описва естеството на нарушението на сигурността на личните данни и се съдържат най-малко информацията и препоръките, предвидени в член 92, параграф 2, букви б), в) и г).

3.Посоченото в параграф 1 съобщение до субекта на данните не се изисква, ако е изпълнено някое от следните условия:

а) администраторът е предприел подходящи технически и организационни мерки за защита и тези мерки са били приложени по отношение на личните данни от оперативен характер, засегнати от нарушението на сигурността на личните данни, по-специално мерките, които правят личните данни от оперативен характер неразбираеми за всяко лице, което няма разрешение за достъп до тях, като например криптиране;

б) администраторът е взел впоследствие мерки, които гарантират, че вече няма вероятност да се реализира високият риск за правата и свободите на субектите на данни, посочен в параграф 1;

в) то би довело до непропорционални усилия. В такъв случай се прави публично съобщение или се взема друга подобна мярка, така че субектите на данни да бъдат в еднаква степен ефективно информирани.

4.Ако администраторът все още не е съобщил на субекта на данните за нарушението на сигурността на личните данни, Европейският надзорен орган по защита на данните може, след като отчете каква е вероятността нарушението на сигурността на личните данни да породи висок риск, да изиска от администратора да съобщи за нарушението или да реши, че е изпълнено някое от условията по параграф 3.

5.Съобщението до субекта на данните, посочено в параграф 1 от настоящия член, може да бъде забавено, ограничено или пропуснато, при условията и на основанията, посочени в член 79, параграф 3.

Член 94

Предаване на лични данни от оперативен характер на трети държави и международни организации

1.При спазване на ограниченията и условията, предвидени в правните актове за създаване на орган, служба или агенция на Съюза, администраторът може да предава лични данни от оперативен характер на орган на трета държава или на международна организация, доколкото това предаване е необходимо за изпълнението на задачите на администратора и само когато условията, предвидени в настоящия член, са изпълнени, а именно:

а) Комисията е приела решение относно адекватно ниво на защита в съответствие с член 36, параграф 3 от Директива (ЕС) 2016/680, според което третата държава или територия, или обработващ сектор в тази трета държава, или въпросната международна организация гарантира адекватното ниво на защита;

б) при липса на решение на Комисията съгласно буква а) относно адекватното ниво на защита на личните данни, е сключено международно споразумение между Съюза и тази трета държава или международна организация съгласно член 218 от ДФЕС, с което се предоставят достатъчни гаранции по отношение на защитата на неприкосновеността на личния живот и на основните права и свободи на физическите лица;

в) при липса на решение на Комисията, съгласно буква а), относно адекватното ниво на защита или на международно споразумение, посочено в буква б) е сключено споразумение за сътрудничество, което позволява обмена на лични данни от оперативен характер, преди датата на прилагане на правния акт за създаване на съответния орган, служба или агенция на Съюза, между този орган, служба или агенция на Съюза и съответната трета държава.

2.Правните актове за създаване на органи, служби или агенции на Съюза могат да запазят или да въведат по-конкретни разпоредби относно условията за международно предаване на лични данни от оперативен характер, по-специално относно предаването на данни с подходящи гаранции и относно дерогации за особени ситуации.

3.Администраторът публикува на своя уебсайт и актуализира списък на решения относно адекватното ниво на защита, посочени в параграф 1, буква а), споразумения, административни договори и други инструменти, отнасящи се до предаването на лични данни от оперативен характер в съответствие с параграф 1.

4.Администраторът документира подробно всички случаи на предаване съгласно настоящия член.

Член 95

Тайна при съдебните разследвания и наказателното производство

Правните актове за създаване на органите, службите и агенциите на Съюза, отнасящи се до извършване на дейности, които попадат в обхвата на част трета, дял V, глава 4 или глава 5 на от ДФЕС могат да задължат Европейския надзорен орган по защита на данните при упражняването на своите правомощия за надзор да взема предвид в максимална степен тайната на съдебните разследвания и наказателното производство, в съответствие с правото на Съюза или правото на държава членка.

Член 96

Процедура на комитет

1.Комисията се подпомага от комитета, създаден съгласно член 93 от Регламент (ЕС) 2016/679. Този комитет е комитет по смисъла на Регламент (ЕС) № 182/2011.

2.При позоваване на настоящия параграф се прилага член 5 от Регламент (ЕС) № 182/2011.

Член 97

Клауза за преглед

Не по-късно от 30 април 2022 г. и на всеки пет години след това Комисията представя на Европейския парламент и на Съвета доклад относно прилагането на настоящия регламент, придружен, ако е необходимо, от подходящи законодателни предложения.

Член 98

Прегледна правните актове на Съюза

1.До 30 април 2022 г. Комисията извършва преглед на правните актове, приети въз основа на Договорите, които уреждат обработването на лични данни от оперативен характер от органи, служби или агенции на Съюза при извършването на дейности, които попадат в обхвата на част трета, дял V, глава 4 или глава 5 от ДФЕС, за да:

а) извърши оценка на тяхната съгласуваност с Директива (ЕС) 2016/680 и с глава IХ от настоящия регламент;

б) установи всякакви различия, които могат да възпрепятстват обмена на лични данни от оперативен характер между органите, службите и агенциите на Съюза, когато извършват дейности в тези области, и компетентните органи;

в) установи всякакви различия, които могат да създадат правна разпокъсаност на законодателството в областта на защитата на данните в Съюза.

2.Въз основа на прегледа, с цел да се гарантира единна и съгласувана защита на физическите лица във връзка с обработването, Комисията може да представи подходящи законодателни предложения, по-специално с оглед прилагането на глава IХ от настоящия регламент по отношение на Европол и на Европейската прокуратура, включително адаптиране на глава IХ от настоящия регламент, ако е необходимо.

Член 99

Отмяна на Регламент (ЕО) № 45/2001 и на Решение № 1247/2002/ЕО

Регламент (ЕО) № 45/2001 и Решение № 1247/2002/ЕО се отменят, считано от 11 декември 2018 г. Позоваванията на отменения регламент и на отмененото решение се считат за позовавания на настоящия регламент.

Член 100

Преходни разпоредби

1.Решение № 2014/886/ЕС на Европейския парламент и на Съвета (20) и текущият мандат на Европейския надзорен орган по защита на данните и на заместника на надзорния орган не се засягат от настоящия регламент.

2.Счита се, че заместникът на надзорния орган има статут, равностоен на този на секретаря на Съда, що се отнася до определяне на размера на възнаграждението, надбавките, пенсията за осигурителен стаж и възраст и всякакви други обезщетения, които заместват възнаграждението.

3.Член 53, параграфи 4, 5 и 7, както и членове 55 и 56 от настоящия регламент се прилагат по отношение на настоящия заместник на надзорния орган до изтичането на мандата му.

4.Заместникът на надзорния орган подпомага Европейския надзорен орган по защита на данните при изпълнението на неговите задължения и го замества, когато Европейският надзорен орган по защита на данните отсъства или е възпрепятстван да изпълнява задълженията си, до изтичането на мандата на настоящия заместник на надзорния орган.

Член 101

Влизане в сила и прилагане

1.Настоящият регламент влиза в сила на двадесетия ден след публикуването му в Официален вестник на Европейския съюз.

2.Въпреки това, настоящият регламент се прилага за обработването на лични данни от Евроюст, считано от 12 декември 2019 г..