(1)

je zaštita fizičkih lica u odnosu na obradu podataka o ličnosti osnovno pravo. Članom 8, stav 1. Povelje Evropske unije o osnovnim pravima (u daljem tekstu: Povelja) i članom 16, stav 1. Ugovora o funkcionisanju Evropske unije (UFEU) propisano je da svako ima pravo na zaštitu svojih podataka o ličnosti.

(2)

načela i pravila o zaštiti fizičkih lica u odnosu na obradu njihovih podataka o ličnosti moraju da poštuju njihova osnovna prava i slobode, a posebno njihovo pravo na zaštitu podataka o ličnosti, bez obzira na njihovo državljanstvo ili prebivalište. Ova uredba treba da doprinese uspostavljanju oblasti slobode, bezbednosti i pravde, kao i ekonomske unije, ekonomskom i socijalnom napretku, jačanju i približavanju privreda na unutrašnjem tržištu, kao i dobrobiti fizičkih lica.

(3)

Direktiva 95/46/EZ Evropskog parlamenta i Saveta (4) nastoji da uskladi zaštitu osnovnih prava i sloboda fizičkih lica u vezi sa aktivnostima obrade i da obezbedi slobodan protok podataka o ličnosti između država članica.

(4)

bi obrada podataka o ličnosti trebalo da bude osmišljena tako da bude u službi čovečanstva. Pravo na zaštitu podataka o ličnosti nije apsolutno pravo; mora da se posmatra u vezi s funkcijom koju ima u društvu i mora da bude uravnoteženo sa drugim osnovnim pravima, u skladu s načelom proporcionalnosti. Ova uredba poštuje sva osnovna prava i uvažava slobode i načela priznate Poveljom koja su sadržana u Ugovorima, a posebno poštovanje privatnog i porodičnog života, doma i komunikacija, zaštita podataka o ličnosti, sloboda mišljenja, savesti i veroispovesti, sloboda izražavanja i informisanja, sloboda poslovanja, pravo na delotvoran pravni lek i pošteno suđenje, kao i pravo na kulturnu, versku i jezičku različitost.

(5)

je ekonomska i društvena integracija nastala iz funkcionisanja unutrašnjeg tržišta dovela je do znatnog povećanja prekograničnih protoka podataka o ličnosti. Povećala se razmena podataka o ličnosti između javnih i privatnih aktera, uključujući fizička lica, udruženja i preduzeća širom Unije. U skladu s pravom Unije, nacionalni organi država članica pozivaju se na saradnju i razmenu podataka o ličnosti da bi mogli da obavljaju svoje dužnosti ili izvršavaju poslove u ime organa u drugoj državi članici.

(6)

su se zbog brzog tehnološkog razvoja i globalizacije pojavili novi izazovi u zaštiti podataka o ličnosti. Obim prikupljanja i razmene podataka o ličnosti značajno se povećao. Tehnologija omogućava kako privatnim društvima, tako i organima vlasti da koriste podatke o ličnosti u do sada nezabeleženom obimu za potrebe obavljanja svojih poslova. Fizička lica svoje lične informacije sve više čine javno i globalno dostupnima. Tehnologija je preobrazila i privredu i društveni život i trebalo bi dodatno da olakša slobodan protok podataka o ličnosti u Uniji i prenos trećim zemljama i međunarodnim organizacijama, uz obezbeđivanje visokog nivoa zaštite podataka o ličnosti.

(7)

je za takav razvoj potreban čvrst i usklađeniji okvir za zaštitu podataka u Uniji koji je podržan doslednim izvršenjem, imajući u vidu značaj izgradnje poverenja koje će omogućiti razvoj digitalne ekonomije na čitavom unutrašnjem tržištu. Fizička lica moraju da imaju kontrolu nad svojim podacima o ličnosti. Treba poboljšati pravnu i praktičnu bezbednost fizičkih lica, privrednih subjekata i organa vlasti.

(8)

kada ova uredba propisuje specifikacije ili ograničenja njenih pravila pravom države članice, države članice mogu, ako je to potrebno zbog usklađenosti i da bi nacionalne odredbe bile razumljive licima na koje se primenjuju, da uključe elemente ove uredbe u svoje nacionalno pravo.

(9)

ciljevi i načela Direktive 95/46/EZ i dalje važe, ali ona nije sprečila fragmentaciju u sprovođenju zaštite podataka u Uniji, pravnu nesigurnost i rasprostranjeno javno mišljenje da postoje značajni rizici za zaštitu fizičkih lica, posebno u vezi s aktivnostima na internetu. Razlike u nivou zaštite prava i sloboda fizičkih lica, a posebno prava na zaštitu podataka o ličnosti, u odnosu na obradu podataka o ličnosti u državama članicama mogu da spreče slobodan protok podataka o ličnosti u Uniji. Te razlike zbog toga mogu da predstavljaju prepreku obavljanju privrednih delatnosti na nivou Unije, naruše konkurenciju i ometaju organe u ispunjavanju odgovornosti na osnovu prava Unije. Takve razlika u nivoima zaštite nastala je zbog postojanja razlika u sprovođenju i primeni Direktive 95/46/EZ.

(10)

da bi se obezbedio dosledan i visok nivo zaštite fizičkih lica i da bi se uklonile prepreke za protok podataka o ličnosti unutar Unije, nivo zaštite prava i sloboda fizičkih lica u odnosu na obradu takvih podataka mora da bude isti u svim državama članicama. U čitavoj Uniji mora da se obezbedi dosledna i homogena primena pravila za zaštitu osnovnih prava i sloboda fizičkih lica u odnosu na obradu podataka o ličnosti. U pogledu obrade podataka o ličnosti radi poštovanja zakonske obaveze, za izvršenje zadatka koji se obavlja u javnom interesu ili u okviru izvršavanja službenih ovlašćenja dodeljenih rukovaocu, državama članicama bi trebalo dozvoliti da zadrže ili uvedu nacionalne odredbe kako bi se dodatno odredila primena pravila ove uredbe. Zajedno s opštim i horizontalnim zakonodavstvom o zaštiti podataka za sprovođenje Direktive 95/46/EZ, države članice imaju nekoliko sektorskih zakona u oblastima u kojima su potrebne konkretnije odredbe. Ova uredbom takođe državama članicama obezbeđuje prostor za delovanje kako bi bolje odredile njena pravila, uključujući i pravila za obradu posebnih kategorija podataka o ličnosti ("osetljivi podaci"). U tom smislu, ovom uredbom se ne isključuje pravo države članice kojim se propisuju okolnosti za posebne situacije obrade, što uključuje preciznije određivanje uslova pod kojima je obrada podataka o ličnosti zakonita.

(11)

delotvorna zaštita podataka o ličnosti širom Unije zahteva jačanje i detaljno određivanje prava lica na koje se podaci odnose i obaveza onih koji obrađuju i određuju obradu podataka o ličnosti, kao i ista ovlašćenja za praćenje i obezbeđivanje poštovanja pravila za zaštitu podataka o ličnosti i iste sankcije za kršenja u državama članicama.

(12)

član 16, stav 2. UFEU obavezuje Evropski parlament i Savet da propišu pravila o zaštiti fizičkih lica u odnosu na obradu podataka o ličnosti i pravila u vezi sa slobodnim kretanjem takvih podataka.

(13)

je, kako bi se osigurao dosledan nivo zaštite fizičkih lica širom Unije i sprečila neslaganja koja ometaju slobodno kretanje podataka o ličnosti na unutrašnjem tržištu, potrebna uredba radi pružanja pravne bezbednosti i transparentnosti privrednim subjektima, uključujući i mikro, mala i srednja preduzeća, i pružanja fizičkim licima u svim državama članicama istog nivoa pravno primenljivih prava i obaveza i odgovornosti za rukovaoce podataka i obrađivače kako bi se osiguralo dosledno praćenje obrade podataka o ličnosti i iste sankcije u svim državama članicama, kao i efikasna saradnja između nadzornih organa različitih država članica. Za pravilno funkcionisanje unutrašnjeg tržišta je potrebno da se ne ograničava i ne zabranjuje slobodno kretanje podataka o ličnosti u Uniji iz razloga povezanih sa zaštitom fizičkih lica prilikom obrade podataka o ličnosti. Ova uredba sadrži izuzeća za organizacije sa manje od 250 zaposlenih u vezi sa vođenjem evidencije, da bi se uzela u obzir posebna situacija u kojoj se nalaze mikro, mala i srednja preduzeća. Pored toga, institucije i tela Unije i države članice i njihovi nadzorni organi podstiču se da prilikom primene ove uredbe uzmu u obzir posebne potrebe mikro, malih i srednjih preduzeća. Pojam mikro, malih i srednjih preduzeća mora da bude zasnovan na članu 2. Priloga Preporuke Komisije 2003/361/EZ (5).

(14)

zaštita koja se pruža ovom uredbom mora da se primenjuje na fizička lica, bez obzira na njihovo državljanstvo ili prebivalište, u vezi s obradom podataka o ličnosti. Ova uredba ne obuhvata obradu podataka o ličnosti koji se tiču pravnih lica, a posebno društava koja su osnovana kao pravna lica, uključujući i naziv i oblik pravnog lica i podatke za kontakt pravnog lica.

(15)

radi sprečavanja nastanka ozbiljnog rizika za izbegavanje propisa, zaštita fizičkih lica mora da bude tehnološki neutralna i ne sme da zavisi od tehnika koje se koriste. Zaštita fizičkih lica mora da se primenjuje na obradu podataka o ličnosti automatizovanim sredstvima, kao i na ručnu obradu, ako se podaci o ličnosti čuvaju ili su namenjeni za čuvanje u sistemu pohranjivanja. Zbirke ili skupovi zbirki, kao i njihove naslovne strane, koji nisu strukturirani prema posebnim kriterijumima ne treba da spadaju u područje primene ove uredbe.

(16)

se ova uredba ne primenjuje na pitanja zaštite osnovnih prava i sloboda ili slobodni protok podataka o ličnosti u vezi s delatnostima koje ne spadaju u područje primene prava Unije, kao što su delatnosti u vezi s nacionalnom bezbednošću. Ova uredba se ne primenjuje na obradu podataka o ličnosti od strane država članica prilikom obavljanja aktivnosti povezanih sa zajedničkom inostranom i bezbednosnom politikom Unije.

(17)

se Uredba (EZ) br. 45/2001 Evropskog parlamenta i Saveta (6) primenjuje na obradu podataka o ličnosti koju obavljaju institucije, tela, kancelarije i agencije Unije. Uredba (EZ) br. 45/2001 i drugi pravni akti Unije koji se primenjuju na takvu obradu podataka o ličnosti moraju da se prilagode načelima i pravilima iz ove uredbe i da se primenjuju u svetlu ove uredbu. Kako bi se osigurao jak i koherentan okvir za zaštitu podataka u Uniji, nakon usvajanja ove uredbe treba izvršiti neophodna prilagođavanja Uredbe (EZ) br. 45/2001 kako bi se omogućila istovremena primena obe uredbe.

(18)

se ova uredba ne primenjuje na obradu podataka o ličnosti koju vrše fizičke lica u toku isključivo lične ili kućne aktivnosti i zbog toga nije povezana sa profesionalnom ili privrednom delatnošću. Lične ili kućne aktivnosti mogu da obuhvataju korespondenciju i posedovanje adresa ili društveno umrežavanje i aktivnosti na internetu koje se vrše u kontekstu takvih aktivnosti. Međutim, ova uredba se primenjuje na rukovaoce ili obrađivače koji pružaju sredstva za obradu podataka o ličnosti za takve lične ili kućne aktivnosti.

(19)

se na zaštitu fizičkih lica u odnosu na obradu podataka o ličnosti koju vrše nadležni organi u svrhu sprečavanja, istrage, otkrivanja i gonjenja krivičnih dela ili izvršenja krivičnih sankcija, uključujući i zaštitu od pretnji za javnu bezbednost i slobodno kretanje takvih podataka i njihovo sprečavanje, primenjuje poseban pravni akt Unije. Zbog toga ova uredba ne bi trebalo da se primenjuje na aktivnosti obrade u te svrhe. Međutim, podaci o ličnosti koje su obradili organi vlasti u skladu s ovom uredbom moraju, kada se upotrebljavaju u te svrhe, da budu uređeni konkretnijim posebnim pravnim aktom Unije i to Direktivom (EU) 2016/680 Evropskog parlamenta i Saveta (7). Države članice mogu da povere nadležnim organima u smislu Direktive (EU) 2016/680 poslove koji ne moraju da se obavljaju u svrhu sprečavanja, istrage, otkrivanja ili gonjenja krivičnih dela ili izvršenja krivičnih sankcija, uključujući i zaštitu od pretnji za javnu bezbednost i njihovo sprečavanje, tako da je obrada podataka o ličnosti u te druge svrhe, ako spada u područje primene prava Unije, obuhvaćena područjem primene ove uredbe.

U vezi sa obradom podataka o ličnosti koju obavljaju ti nadležni organi u svrhe koje su obuhvaćene područjem primene ove uredbe, države članice moraju da budu u mogućnosti da zadrže ili uvedu preciznije odredbe za prilagođavanje primene pravila ove uredbe. Te odredbe mogu detaljnije da određuju posebne zahteve za obradu podataka o ličnosti koju vrše ti nadležni organi u te druge svrhe, uzimajući u obzir ustavnu, organizacionu i administrativnu strukturu države članice koja je u pitanju. Kada obrada podataka o ličnosti koju vrše privatna tela spada u područje primene ove uredbe, ova uredba mora da predviđa mogućnost da države članice pod posebnim uslovom zakonom ograniče određene obaveze i prava kada takvo ograničenje predstavlja neophodnu i srazmernu meru u demokratskom društvu za zaštitu posebnih važnih interesa, uključujući i javnu bezbednost i sprečavanje, istragu, otkrivanje ili gonjenje krivičnih dela ili izvršenje krivičnih sankcija, uključujući i zaštitu od pretnji za javnu bezbednost i njihovo sprečavanje. To je na primer relevantno u okviru sprečavanja pranja novca ili aktivnosti forenzičkih laboratorija.

(20)

iako se ova uredba između ostalog primenjuje na aktivnosti sudova i drugih pravosudnih organa, pravo Unije ili pravo države članice može da odredi radnje i postupke obrade u vezi s obradom podataka o ličnosti koju obavljaju sudovi i drugi pravosudni organi. Nadležnost nadzornih organa ne treba da obuhvata obradu podataka o ličnosti kada sudovi postupaju u sudskom svojstvu, kako bi se zaštitila nezavisnost pravosuđa u obavljanju sudskih zadataka, uključujući i donošenje odluka. Trebalo bi da bude moguće da se nadzor nad takvim radnjama obrade podataka poveri posebnim telima u okviru pravosudnog sistema države članice, koja posebno mora da obezbedi poštovanje pravila ove uredbe, poveća svest članova pravosuđa o njihovim obavezama iz ove uredbe i rešava pritužbe u vezi sa takvom obradom podataka o ličnosti.

(21)

ova uredbom dovodi u pitanje primenu Direktive 2000/31/EZ Evropskog parlamenta i Saveta (8), a posebno pravila o odgovornosti posrednih pružalaca usluga iz člana 12. do 15. Ta direktiva nastoji da doprinese pravilnom funkcionisanju unutrašnjeg tržišta pomoću obezbeđivanja slobodnog kretanja usluga informacionog društva između država članica.

(22)

bi svaka obrada podataka o ličnosti u Uniji u okviru aktivnosti osnivanja sedišta rukovaoca ili obrađivača trebalo da se vrši u skladu s ovom uredbom, bez obzira na to da li se sama obrada vrši u Uniji. Sedište podrazumeva efikasno i stvarno obavljanje delatnosti kroz stabilnih aranžmane. Pravni oblik takvih aranžmana, kroz podružnicu ili zavisno društvo sa statusom pravnog lica, nije odlučujući faktor u tom pogledu.

(23)

kako bi se osiguralo da fizičkim licima ne bude uskraćena zaštita na koju imaju pravo na osnovu ove uredbe, na obradu podataka o ličnosti lica na koje se podaci odnose koji se nalaze u Uniji, a koju vrši rukovalac ili obrađivač bez sedišta u Uniji treba da se primenjuje ova uredba ako su aktivnosti obrade povezane sa nuđenjem robe ili usluga tim licima na koja se podaci odnose, bez obzira na to da li je ponuda povezana sa plaćanjem. Da bi se utvrdilo da li takav rukovalac ili obrađivač nudi robu ili usluge licima na koja se podaci odnose i koja se nalaze u Uniji, treba utvrditi da li je očigledno da rukovalac ili obrađivač namerava da ponudi usluge licima na koja se podaci odnose i koja se nalaze u jednoj ili više država članica Unije. Iako sama dostupnost internet strana rukovaoca, obrađivača ili posrednika u Uniji ili adrese elektronske pošte i drugih kontakt podataka ili korišćenje jezika koji je uopšteno u upotrebi u trećoj zemlji u kojoj rukovalac ima sedište nisu dovoljni za utvrđivanje takve namere, faktori kao što je korišćenje jezika ili valute koji su uopšteno u upotrebi u jednoj ili više država članica uz mogućnost naručivanja robe i usluga na tom drugom jeziku, ili spominjanje kupaca ili korisnika koji se nalaze u Uniji, mogu jasno da pokažu da rukovalac namerava da nudi robu ili usluge licima na koja se podaci odnose u Uniji.

(24)

na obradu podataka o ličnosti lica na koje se podaci odnose i koja se nalaze u Uniji, a koju vrši rukovalac ili obrađivač bez sedišta u Uniji, takođe treba da primenjuje ova uredba kada se odnosi na praćenje ponašanja takvih lica na koje se podaci odnose ako se njihovo ponašanje odvija unutar Unije. Da bi se odredilo da li aktivnost obrade može da se smatra praćenjem ponašanja lica na koje se podaci odnose, treba utvrditi da li se fizička lica prate na internetu, uključujući i moguće naknadno korišćenje tehnika obrade podataka o ličnosti koje se sastoje od profilisanja fizičkog lica, posebno radi donošenja odluka koje se odnose na njega ili radi analize ili predviđanja njegovih ličnih sklonosti, ponašanja i stavova.

(25)

kada se pravo države članice primenjuje na osnovu međunarodnog javnog prava, ova uredba treba da se primenjuje i na rukovaoce podataka koji nemaju sedište u Uniji, kao na primer u diplomatskom ili konzularnom predstavništvu države članice.

(26)

načela zaštite podataka moraju da se primenjuju na sve informacije koje se odnose na fizičko lice čiji je identitet određen ili može da se odredi. Podaci o ličnosti koji su pseudonimizovani, a koji bi mogli da se pripišu nekom fizičkom licu pomoću dodatnih informacija moraju da se smatraju informacijama o fizičkom licu čiji identitet može da se odredi. Kako bi se odredilo da li identitet fizičkog lica može da se odredi, treba uzeti u obzir sva sredstva, kao što je izdvajanje, koja će rukovalac ili bilo koja druga osoba verovatno koristiti za neposredno ili posredno određivanje identiteta fizičkog lica. Da bi se utvrdilo da li će sredstva za određivanje identiteta fizičko lice verovatno da se koriste, treba uzeti u obzir sve objektivne faktore, kao što su troškovi i vreme potrebno za utvrđivanje identiteta, uzimajući u obzir tehnologiju dostupnu prilikom obrade i tehnološki razvoj. Načela zaštite podataka zbog toga ne treba primenjivati na anonimne informacije, odnosno informacije koje se ne odnose na fizičko lice čiji je identitet određen ili može da se odredi ili na podatke o ličnosti koji su učinjeni anonimnima tako da identitet lica na koje se podaci odnose ne može ili više ne može da se odredi. Ova uredba se zato ne odnosi na obradu takvih anonimnih informacija, između ostalog za statističke ili istraživačke svrhe.

(27)

se ova uredba ne primenjuje na podatke o ličnosti preminulih osoba. Države članice mogu da propišu pravila u vezi sa obradom podataka o ličnosti preminulih osoba.

(28)

primena pseudonimizacije na podatke o ličnosti može da smanji rizike za lica na koje se podaci odnose i da pomogne rukovaocima podataka i obrađivačima u ispunjavanju njihovih obaveza u vezi sa zaštitom podataka. Namera izričitog uvođenja "pseudonimizacije" u ovoj uredbi nije isključivanje bilo koje druge mere za zaštitu podataka.

(29)

u cilju podsticanja primene pseudonimizacije prilikom obrade podataka o ličnosti treba omogućiti da isti rukovalac može da sprovodi mere pseudonimizacije i opštu analizu u slučajevima kada je taj rukovalac preduzeo tehničke i organizacione mere potrebne za obezbeđivanje, u konkretnoj obradi, sprovođenja ove uredbe, i odvojeno čuvanje dodatnih informacija za pripisivanje podataka o ličnosti određenom licu na koje se podaci odnose. Rukovalac koji obrađuje podatke o ličnosti mora da navede ovlašćena lica u tom istom rukovaocu podataka.

(30)

fizička lica mogu da budu povezana sa mrežnim identifikatorima koje pružaju njihovi uređaji, aplikacije, alati i protokoli, kao što su adrese internet protokola, identifikatori kolačića ili drugi identifikatori kao što je oznaka za radiofrekvencijsku identifikaciju. To može da ostavi tragove koji, posebno u kombinaciji sa jedinstvenim identifikatorima i drugim informacijama koje primaju serveri, mogu da se koriste za profilisanje fizičkih lica i njihovu identifikaciju.

(31)

organi vlasti kojima se podaci o ličnosti otkrivaju u skladu sa pravnom obavezom izvršavanja njihovih službenih zadataka, kao što su poreski i carinski organi, jedinice za finansijsko istraživanje, nezavisni upravni organi ili organi finansijskog tržišta, odgovorni za regulisanje i nadzor nad tržišta hartija od vrednosti, ne treba da se smatraju korisnicima ako prime podatke o ličnosti koji su neophodni za vršenje konkretne istrage u opštem interesu, u skladu sa pravom Unije ili pravom države članice. Zahtevi za otkrivanje koje šalju organi vlasti uvek moraju da budu u pisanom obliku, obrazloženi i povremeni i ne smeju da se odnose na čitav sistem pohranjivanja ili da dovedu do međusobne povezanosti sistema pohranjivanja. Obrada podataka o ličnosti koju vrše ti organi vlasti mora da bude u skladu sa važećim pravilima za zaštitu podataka u skladu sa svrhama obrade.

(32)

pristanak mora da se daje jasnom potvrdnom radnjom kojom se izražava dobrovoljan, konkretan, informisan i nedvosmislen pristanak lica na koje se podaci odnose na obradu podataka o ličnosti koji se odnose na njega, kao što je pisana izjava, uključujući i elektronsku izjavu, ili usmena izjava. To može da obuhvata štikliranje polja prilikom posete internet stranama, biranje tehničkih podešavanja za usluge informacionog društva ili drugu izjavu ili radnju kojom se jasno pokazuje u tom kontekstu da lice na koje se podaci odnose prihvata predloženu obradu svojih podataka o ličnosti. Ćutanje, unapred štiklirano polje ili neizvršavanje aktivnosti zbog toga ne treba smatrati pristankom. Pristanak mora da obuhvata sve aktivnosti obrade koje se obavljaju u istu svrhu ili svrhe. Kada obrada ima višestruke svrhe, pristanak mora da se da za sve njih. Ako se pristanak lica na koje se podaci odnose daje nakon zahteva upućenog elektronskim putem, taj zahtev mora da bude jasan, sažet i ne sme nepotrebno da ometa korišćenje usluge za koju se upotrebljava.

(33)

često nije moguće u potpunosti odrediti svrhu obrade podataka o ličnosti u naučne svrhe u trenutku prikupljanja podataka. Zbog toga licima na koja se podaci odnose treba omogućiti da svoju pristanak daju za određene oblasti naučnog istraživanja uz poštovanje priznatih etičkih standarda za naučno istraživanje. Lica na koja se podaci odnose moraju da imaju mogućnost da daju svoj pristanak samo za određene oblasti istraživanja ili delove istraživačkih projekata u meri u kojoj to dozvoljava nameravana svrha.

(34)

genetski podaci moraju da se definišu kao podaci o ličnosti u vezi sa nasleđenim ili stečenim genetskim karakteristikama fizičkog lica koji nastaju iz analize biološkog uzorka fizičkog lica koje je u pitanju, a posebno analize hromozoma, dezoksiribonukleinske kiseline (DNK) ili ribonukleinske kiseline (RNK) ili iz analize drugog elementa koji omogućava dobijanje istih informacija.

(35)

podaci o ličnosti koji se odnose na zdravlje moraju da obuhvataju sve podatke koji se odnose na zdravstveno stanje lica na koje se podaci odnose, a koji otkrivaju informacije u vezi sa prošlim, sadašnjim ili budućim fizičkim ili psihičkim zdravstvenim stanjem lica na koje se podaci odnose. To uključuje informacije o fizičkom licu prikupljene prilikom registracije za zdravstvene usluge ili prilikom pružanja zdravstvenih usluga tom fizičkom licu kako je navedeno u Direktivi 2011/24/EU Evropskog parlamenta i Saveta (9); broj, simbol ili oznaku koja je fizičkom licu dodeljena u svrhu njegove jedinstvene identifikacije za zdravstvene svrhe; informacije dobijene iz testiranja ili ispitivanja dela tela ili telesne supstance, između ostalog iz genetskih podataka i bioloških uzoraka; i bilo koju informaciju o, na primer, bolesti, invaliditetu, riziku od bolesti, istoriji bolesti, kliničkom lečenju ili fiziološkom ili biomedicinskom stanju lica na koje se podaci odnose nezavisno bez obzira na njihov izvor, na primer od lekara ili drugog zdravstvenog radnika, bolnice, medicinskog uređaja ili in vitro dijagnostičkog testa.

(36)

glavno sedište rukovaoca u Uniji treba da bude mesto njegove centralne uprave u Uniji, osim ako se odluke o svrhama i načinima obrade podataka o ličnosti donose u drugom sedištu rukovaoca u Uniji, u kom slučaju to drugo sedište treba da se smatra glavnim sedištem. Glavno sedište rukovaoca u Uniji mora da bude određeno prema objektivnim kriterijumima i mora da podrazumeva efikasno i stvarno obavljanje upravljačkih aktivnosti kojima se utvrđuju glavne odluke u vezi sa svrhama i načinima obrade putem stabilnih aranžmana. Taj kriterijum ne sme da zavisi od toga da li se obrada podataka o ličnosti vrši na toj lokaciji. Postojanje i korišćenje tehničkih sredstava i tehnologija za obradu podataka o ličnosti ili aktivnosti obrade same po sebi ne predstavljaju glavno sedište i shodno tome nisu odlučujući kriterijum za glavno sedište. Glavno sedište obrađivača mora da bude mesto njegove centralne uprave u Uniji ili, ako nema centralnu upravu u Uniji, mesto u Uniji gde se odvijaju glavne aktivnosti obrade. U slučajevima koji uključuju i rukovaoca i obrađivača, nadležni vodeći nadzorni organ treba da ostane nadzorni organ države članice u kojoj rukovalac ima glavno sedište, ali nadzorni organ obrađivača treba smatrati zainteresovanim nadzornim organom i taj nadzorni organ treba da učestvuje u postupku saradnje koji je predviđen ovom uredbom. U svakom slučaju, nadzorni organi jedne države članice ili država članica u kojima obrađivač ima jedno ili više sedišta ne treba smatrati zainteresovanim nadzornim organima ako se nacrt odluke odnosi samo na rukovaoca. Kada obradu obavlja grupa povezanih društava, glavno sedište društva koje ostvaruje kontrolu treba smatrati glavnim sedištem grupe povezanih društava, osim kada svrhe i načine obrade određuje drugo društvo.

(37)

grupa povezanih društava treba da obuhvata društvo koje ostvaruje kontrolu i društva koja su pod njegovom kontrolom, pri čemu društvo koje ostvaruje kontrolu mora da bude društvo koje može da ima dominantan uticaj nad drugim društvima na osnovu, na primer, vlasništva, finansijskog učešća ili pravila kojima je ono uređeno ili ovlašćenja za sprovođenje pravila o zaštiti podataka o ličnosti. Društvo koji nadzire obradu podataka o ličnosti kod društava koja su sa njim povezana treba zajedno sa tim društvima smatrati "grupom povezanih društava".

(38)

deca zaslužuju posebnu zaštitu u pogledu svojih podataka o ličnosti s obzirom na to sa mogu da budu manje svesna rizika, posledica i mera zaštite, kao i svojih prava u vezi sa obradom podataka o ličnosti. Takva posebna zaštita mora posebno da se primenjuje na korišćenje podataka o ličnosti dece u svrhu marketinga ili pravljenja ličnih ili korisničkih profila i prikupljanje podataka o ličnosti o deci prilikom korišćenja usluga koje se nude direktno detetu. Pristanak vršilaca roditeljskog prava ne treba da bude neophodan u kontekstu preventivnih ili savetodavnih usluga koje se nude direktno detetu.

(39)

svaka obrada podataka o ličnosti mora da bude zakonita i pravična. Za fizička lica mora da bude transparentno da se podaci o ličnosti koji se odnose na njih prikupljaju, koriste, daju na uvid ili na drugi način obrađuju, kao i u kojoj meri se ti podaci o ličnosti obrađuju ili će se obrađivati. Načelo transparentnosti zahteva da svaka informacija i komunikacija u vezi sa obradom tih podataka o ličnosti bude lako dostupna i razumljiva i da se upotrebljava jasan i jednostavan jezik. To se načelo se posebno odnosi na informacije za lica na koje se podaci odnose o identitetu rukovaoca i svrhama obrade i dalje informacije za obezbeđenje pravičnosti i transparentnosti u odnosu na fizička lica i njihovo pravo da dobiju potvrdu i obaveštenje o podacima o ličnosti koji se obrađuju, a koji se odnose na njih. Fizička lica moraju da budu upoznata sa rizicima, pravilima, merama zaštite i pravima u vezi sa obradom podataka o ličnosti i načinom ostvarivanja svojih prava u vezi sa takvom obradom. Posebno, konkretne svrhe u koju se podaci o ličnosti obrađuju moraju da budu izričite i zakonite i određene prilikom prikupljanja podataka o ličnosti. Podaci o ličnosti moraju da budu primereni, relevantni i ograničeni na ono što je neophodno za svrhe u koje se podaci obrađuju. Zbog toga je posebno potrebno da se obezbedi da rok u kojem se podaci o ličnosti čuvaju bude ograničen na strogi minimum. Podatke o ličnosti treba obrađivati samo ako svrha obrade ne može na prihvatljiv način da se postigne drugim sredstvima. Da bi se obezbedilo da se podaci o ličnosti ne drže duže nego što je neophodno, rukovalac mora da odredi rok za brisanje ili periodično razmatranje. Treba preduzeti svaku prihvatljivu meru da se obezbedi da se netačni podaci o ličnosti isprave ili obrišu. Podaci o ličnosti moraju da se obrađuju uz odgovarajuće poštovanje bezbednosti i poverljivosti podataka o ličnosti, uključujući i sprečavanje neovlašćenog pristupa podacima o ličnosti i opremi koja se koristi za obradu ili njihovog neovlašćenog korišćenja.

(40)

da bi obrada bila zakonita, podaci o ličnosti moraju da se obrađuju na osnovu pristanka lica na koje se podaci odnose ili na drugoj legitimnoj osnovi, koja je propisana ili u ovoj uredbi ili u drugom pravu Unije ili pravu države članice na koju ova uredbaupućuje, uključujući i obavezu poštovanja pravne obaveze koja se primenjuje na rukovaoca ili obavezno izvršavanje ugovora u kojem je lice na koje se podaci odnose jedna od strana ili kako bi se preduzele mere na zahtev lica na koje se podaci odnose pre zaključenja ugovora.

(41)

ako ova uredbom upućuje na pravnu osnovu ili zakonodavnu meru, to ne znači neophodno da parlament mora da donese zakonodavni akt, ne dovodeći u pitanje zahteve u skladu sa ustavnim poretkom države članice koja je u pitanju. Međutim, takva pravna osnova ili zakonodavna mera mora da bude jasna i precizna, a njena primena mora da bude za lica na koje se primenjuje u skladu sa sudskom praksom Suda pravde Evropske unije (u daljem tekstu: Sud pravde) i Evropskog suda za ljudska prava.

(42)

ako je obrada zasnovana na pristanku lica na koje se podaci odnose, rukovalac mora da bude u mogućnosti da dokaže da je lice na koje se podaci odnose dalo pristanak za radnju obrade. Zaštitne mere, posebno u kontekstu pisane izjave o drugom pitanju, moraju da obezbede da je lice na koje se podaci odnose svesno činjenice da daje pristanak i u kojoj se pristanak daje. U skladu sa Direktivom Saveta 93/13/EEZ (10) izjava o pristanku koju je unapred sastavio rukovalac mora da bude obezbeđena u razumljivom i lako dostupnom obliku, uz upotrebu jasnog i jednostavnog jezika i ne sme da sadrži nepravične uslove. Da bi pristanak bio informisan, lice na koje se podaci odnose mora najmanje da bude upoznat sa identitetom rukovaoca i svrhom obrade za koju su namenjeni podaci o ličnosti. Ne smatra se da je pristanak dat dobrovoljno ako lice na koje se podaci odnose nema istinski ili slobodan izbor ili ako nije u mogućnosti da odbije ili povuče pristanak bez posledica.

(43)

da bi se osiguralo pristanak bude dat dobrovoljno, pristanak ne sme da obezbeđuje valjanu pravnu osnovu za obradu podataka o ličnosti u konkretnom slučaju kada postoji jasna neravnoteža između lica na koje se podaci odnose i rukovaoca, posebno ako je rukovalac organ vlasti i zbog toga pristanak verovatno nije dat dobrovoljno uzimajući u obzir sve okolnosti te konkretne situacije. Smatra se da pristanak nije dat dobrovoljno ako se njim ne omogućava davanje odvojenog pristanka za različite radnje obrade podataka, iako je primeren u pojedinačnom slučaju ili ako izvršenje ugovora, uključujući i pružanje usluge, zavisi od pristanka iako takav pristanak nije neophodan za takvo izvršenje.

(44)

obrada treba da se smatra zakonitom ako je neophodna u kontekstu ugovora ili namere da se ugovor zaključi.

(45)

ako se obrada vrši u skladu sa pravnim obavezama koje se primenjuju na rukovaoca ili ako je obrada potrebna za izvršavanje zadatka koji se obavlja u javnom interesu ili u okviru izvršavanja službenih ovlašćenja, obrada mora da se zasniva na pravu Unije ili pravu države članice. Ovom uredbom se ne zahteva zakon propis za svaku pojedinačnu obradu. Jedan zakon kao osnova za više radnji obrade, koje se zasnivaju na pravnoj obavezi koja se primenjuje na rukovaoca ili ako je obrada potrebna za izvršavanje zadatka koji se obavlja u javnom interesu ili u okviru izvršavanja službenih ovlašćenja, može da bude dovoljan. Pravom Unije ili pravom države članice takođe treba da se odredi svrha obrade. Pored toga, tim zakonom bi mogli da se utvrde opšti uslovi ove uredbe kojima se uređuje zakonitost obrade podataka o ličnosti, utvrde specifikacije za određivanje rukovaoca, vrste podataka o ličnosti koji mogu da se obrađuju, lica na koje se podaci odnose, subjekata kojima podaci o ličnosti mogu da se otkrivaju, ograničavanje svrhe, rok čuvanja i druge mere za obezbeđivanje zakonite i pravične obrade. Pravom Unije ili pravom države članice takođe treba odrediti da li rukovalac koji izvršava zadatak koji se obavlja u javnom interesu ili u okviru izvršavanja službenih ovlašćenja treba da bude organ vlasti ili drugo fizičko ili pravno lice na koje se primenjuje javno pravo ili, u slučaju da je to u javnom interesu, između ostalog u zdravstvene svrhe kao što su javno zdravlje i socijalna zaštita i upravljanje službama za zdravstvenu zaštitu, privatno pravo, kao što je strukovno udruženje,.

(46)

obrada podataka o ličnosti takođe mora da se smatra zakonitom ako je potrebna za zaštitu vitalnog interesa za očuvanje života lica na koje se podaci odnose ili drugog fizičkog lica. Obrada podataka o ličnosti zasnovana na vitalnim interesima drugog fizičkog lica u načelu sme da se vrši samo ako se obrada očigledno ne može da se zasniva na drugoj pravnoj osnovi. Neke vrste obrade mogu da služe kako za važne potrebe javnog interesa, tako i za vitalne interese lica na koje se podaci odnose kao, na primer, u slučaju kada je obrada potrebna za humanitarne svrhe, između ostalog za praćenje epidemija i njihovog širenja ili u humanitarnim krizama, a posebno u slučajevima prirodnih katastrofa i katastrofa uzrokovanih ljudskim delovanjem.

(47)

legitimni interesi rukovaoca, uključujući i one interese rukovaoca kojem se podaci o ličnosti mogu otkriti, ili trećeg lica, mogu da predstavljaju pravnu osnovu za obradu, pod uslovom da interesi ili osnovna prava i slobode lica na koje se podaci odnose nisu preovlađujući, uzimajući u obzir razumna očekivanja lica na koje se podaci odnose zasnovana na njihovom odnosu sa rukovaocem podataka. Takav legitiman interes bi mogao na primer da postoji u slučaju relevantnog i odgovarajućeg odnosa između lica na koje se podaci odnosa i rukovaoca u situacijama kao što je situacija kada je lice na koje se podaci odnose klijent rukovaoca ili u njegovoj službi. U svakom slučaju postojanje legitimnog interesa bi zahtevalo pažljivu procenu, uključujući i procenu da li lice na koje se podaci odnose može prilikom i u kontekstu prikupljanja podataka o ličnosti razumno da očekuje obradu u tu svrhu. Interesi i osnovna prava lica na koje se podaci odnose mogu posebno da preovlađuju nad interesom rukovaoca ako se podaci o ličnosti obrađuju u okolnostima u kojima lica na koja se podaci odnose razumno ne očekuju dalju obradu. S obzirom na to da je zakonodavac dužan zakonski da odredi pravnu osnovu za obradu podataka o ličnosti koju vrše organi vlasti, ta pravna osnova ne treba da se primenjuje na obradu koju vrše organi vlasti prilikom izvršavanja svojih zadataka. Obrada podataka o ličnosti koja je strogo neophodna u svrhe sprečavanja prevara takođe predstavlja legitiman interes rukovaoca. Može da se smatra da postoji legitiman interes kod obrade podataka o ličnosti za potrebe direktnog marketinga.

(48)

rukovaoci podataka koji su deo grupe povezanih društava ili institucija povezanih sa centralnim telom mogu da imaju legitimni interes u prenosu podataka o ličnosti unutar grupe povezanih društava za unutrašnje administrativne potrebe, uključujući i obradu podataka o ličnosti klijenata ili zaposlenih. Opšta načela za prenos podataka o ličnosti unutar grupe povezanih društava određenom društvu koje se nalazi u trećoj zemlji ostaju nepromenjena.

(49)

obrada podataka o ličnosti u meri koja je strogo neophodna i srazmerna za potrebe obezbeđivanja bezbednosti mreže i informacija, odnosno sposobnosti mreže ili informacionog sistema da se na datom stepenu poverljivosti odupre slučajnim događajima ili nezakonitim ili malicioznim radnjama koje ugrožavaju dostupnost, autentičnost, integritet i poverljivost podataka o ličnosti koji se čuvaju ili prenose i bezbednost povezanih usluga koje nude te mreže i sistemi ili su dostupne preko njih, koju vrše organi vlasti, timovi za hitne računarske intervencije (CERT), timovi za odgovor na računarske bezbednosne incidente (CSIRT), pružaoci elektronskih komunikacionih mreža i usluga i pružaoci bezbednosnih tehnologija i usluga predstavlja legitimni interesom rukovaoca. To može, na primer, da uključuje sprečavanje neovlašćenog pristupa elektronskim komunikacionim mrežama i širenja malicioznih kodova i zaustavljanje napada "uskraćivanjem usluge" i sprečavanje štete na računarskim sistemima i elektronskim komunikacionim sistemima.

(50)

obrada podataka o ličnosti u svrhe različite od svrha za koje su podaci prvobitno prikupljeni može da bude dozvoljena samo ako je obrada usklađena sa svrhama za koje su podaci o ličnosti prvobitno prikupljeni. U takvom slučaju nije potrebna pravna osnova odvojena od osnove kojom je dozvoljeno prikupljanje podataka o ličnosti. Ako je obrada neophodna za izvršavanje zadatka koji se obavlja u javnom interesu ili u okviru izvršavanja službenih ovlašćenja dodeljenih rukovaocu podataka, pravom Unije ili pravom države članice mogu da se utvrde i odrede zadaci i svrhe za koje će se dalja obrada smatrati usklađenom i zakonitom. Dalja obrade u svrhe arhiviranja u javnom interesu, u svrhe naučnog ili istorijskog istraživanja ili u statističke svrhe treba smatrati usklađenim zakonitim radnjama obrade. Pravna osnova koja se predviđa pravom Unije ili pravom države članice za obradu podataka o ličnosti takođe može da predstavlja pravnu osnovu za dalju obradu. Da bi se utvrdilo da li je svrha dalje obrade usklađena sa svrhom u koju su podaci o ličnosti prvobitno prikupljeni, rukovalac nakon ispunjavanja svih zahteva za zakonitost prvobitne obrade treba, između ostalog, da uzme u obzir: svaku vezu između tih svrha i svrha nameravane dalje obrade; kontekst u kojem su podaci o ličnosti prikupljeni, posebno opravdana očekivanja lica na koje se podaci odnose zasnovana na njihovom odnosu sa rukovaocem podataka u pogledu daljeg korišćenja podataka; prirodu podataka o ličnosti; posledice nameravane dalje obrade za lica na koje se podaci odnose; i postojanje primerenih mera zaštite u radnjama kako prvobitne, tako i nameravane dalje obrade.

Ako je lice na koje se podaci odnose dalo pristanak ili je obrada zasnovana na pravu Unije ili pravu države članice koje predstavlja neophodnu i srazmernu meru u demokratskom društvu, posebno za zaštitu važnih ciljeva od opšteg javnog interesa, rukovaocu podataka treba dozvoliti dalju obradu podataka o ličnosti bez obzira na usklađenost svrha. U svakom slučaju treba obezbediti primenu načela iz ove uredbe, a posebno informisati lice na koje se podaci odnose o tim drugim svrhama i o njegovim pravima, uključujući i pravo na prigovor. Ukazivanje rukovaoca na moguća krivična dela ili pretnje za javnu bezbednost i prenos relevantnih podataka o ličnosti nadležnom organu u pojedinačnim slučajevima ili u više slučajeva koji se odnose na isto krivično delo ili pretnje za javnu bezbednost treba smatrati legitimnim interesom rukovaoca. Međutim, takav prenos u legitimnom interesu rukovaoca ili dalju obradu podataka o ličnosti treba zabraniti ako obrada nije u skladu s pravnim, profesionalnim ili drugim obavezujućim dužnostima poštovanja tajnosti.

(51)

podaci o ličnosti koji su po svojoj prirodi posebno osetljivi u pogledu osnovnih prava i sloboda zaslužuju posebnu zaštitu jer bi u okviru njihove obrade moglo da dođe do značajnih rizika za osnovna prava i slobode. Ti podaci o ličnosti moraju da obuhvataju podatke o ličnosti koji otkrivaju rasno ili etničko poreklo, pri čemu upotreba termina "rasno poreklo" u ovoj uredbi ne podrazumeva da Unija prihvata teorije koje pokušavaju da odrede postojanje odvojenih ljudskih rasa. Obradu fotografija ne treba sistematski smatrati obradom posebnih kategorija podataka o ličnosti jer su one obuhvaćene definicijom biometrijskih podataka samo prilikom obrade posebnim tehničkim sredstvima koja omogućavaju jedinstvenu identifikaciju ili autentifikaciju fizičkog lica. Takvi podaci o ličnosti ne smeju da se obrađuju, osim ako je obrada dozvoljena u posebnim slučajevima koji su propisani u ovoj uredbi, uzimajući u obzir da pravom država članica mogu da budu propisane posebne odredbe o zaštiti podataka kako bi se primena pravila iz ove uredbe prilagodila radi poštovanja zakonske obaveze ili za izvršenje zadatka koji se obavlja u javnom interesu ili u okviru izvršavanja službenih ovlašćenja dodeljenih rukovaocu. Pored posebnih zahteva za takvu obradu, treba primenjivati opšta načela i druga pravila iz ove uredbe, posebno u vezi sa uslovima za zakonitu obradu. Odstupanja od opšte zabrane obrade takvih posebnih kategorija podataka o ličnosti mora da bude izričito propisana, između ostalog ako je lice na koje se podaci odnose dalo svoj izričit pristanak ili u vezi sa posebnim potrebama, posebno ako se obrada vrši u okviru legitimnih aktivnosti određenih udruženja ili fondacija čiji je cilj da se dozvoli ostvarivanje osnovnih sloboda.

(52)

odstupanje od zabrane obrade posebnih kategorija podataka o ličnosti takođe treba da bude dozvoljena kada je to predviđeno pravom Unije ili pravom države članice i uz primenu odgovarajućih mera zaštite, radi zaštite podataka o ličnosti i drugih osnovnih prava, ako je u javnom interesu da se to učini, posebno u slučaju obrade podataka o ličnosti u oblasti prava zapošljavanja, prava socijalnog osiguranja, uključujući i penzije i za potrebe zdravstvene zaštite, praćenja i uzbunjivanja, sprečavanja ili kontrole zaraznih bolesti i drugih ozbiljnih pretnji za zdravlje. Takvo se odstupanje može da se napravi u zdravstvene svrhe, uključujući i javno zdravlje i upravljanje zdravstvenim uslugama, posebno kako bi se obezbedio kvalitet i isplativost postupaka koji se koriste za rešavanje zahteva za davanjima i uslugama u sistemu zdravstvenog osiguranja ili u svrhe arhiviranja u javnom interesu, u svrhe naučnih ili istorijskih istraživanja ili u statističke svrhe. Odstupanjem bi takođe trebalo omogućiti obradu takvih podataka o ličnosti ako je to neophodni za uspostavljanje, ostvarivanje ili odbranu pravnih zahteva, bez obzira na to da li je u pitanju sudski ili upravni postupak ili vansudski postupak.

(53)

posebne kategorije podataka o ličnosti koje zaslužuju veći stepen zaštite treba obrađivati u zdravstvene samo ako je to neophodno za ostvarivanja tih svrha u korist fizičkih lica i društva u celini, a posebno u kontekstu upravljanja uslugama i sistemima zdravstvene ili socijalne zaštite, uključujući i obradu takvih podataka koju u svrhu kontrole kvaliteta, informacija o upravljanju i opšteg nacionalnog i lokalnog nadzora sistema zdravstvene ili socijalne zaštite vrše uprava i centralni nacionalni organi nadležni za zdravstvo, i u cilju obezbeđivanja kontinuiteta zdravstvene ili socijalne zaštite i prekogranične zdravstvene zaštite ili zdravstvene bezbednosti, nadzora i uzbunjivanja, ili u svrhe arhiviranja u javnom interesu, u svrhe naučnih ili istorijskih istraživanja ili u statističke svrhe zasnovane na pravu Unije ili pravu države članice i čime treba ostvariti cilj od javnog interesa, kao i za studije koje se vrše u javnom interesu u oblasti javnog zdravlja. Zbog toga ovom uredbom treba da se utvrde usklađeni uslovi za obradu posebnih kategorija podataka o ličnosti koji se odnose na zdravlje, za posebne potrebe, posebno kada obradu takvih podataka za određene zdravstvene svrhe vrše lica koje moraju da poštuju zakonsku obavezu čuvanja poslovne tajne. Pravo Unije ili pravo države članice treba da propisuje specifične i primerene mere za zaštitu osnovnih prava i podataka o ličnosti fizičkih lica. Državama članicama treba omogućiti da zadrže ili uvedu dodatne uslove, uključujući ograničenja, u vezi sa obradom genetskih podataka, biometrijskih podataka ili podataka o zdravstvenom stanju. Međutim, to ne sme da ometa slobodan protok podataka o ličnosti unutar Unije ako se ti uslovi primenjuju na prekograničnu obradu takvih podataka.

(54)

obrada posebnih kategorija podataka o ličnosti može da bude neophodna zbog javnog interesa u oblasti javnog zdravljabez pristanka lice na koje se podaci odnose. Na takvu obradu moraju da se primenjuju primerene i specifične mere da bi se zaštitila prava i slobode fizičkih lica. U tom kontekstu "javno zdravlje" treba tumačiti prema definiciji iz Uredbe (EZ) br. 1338/2008 Evropskog parlamenta i Saveta (11), što znači svi elementi povezani sa zdravljem, tj. zdravstvenim stanjem, uključujući morbiditet i invaliditet, determinante koje utiču na zdravstveno stanje, potrebe zdravstvene zaštite, sredstva dodeljena za zdravstvenu zaštitu, pružanje zdravstvene zaštite i opštu dostupnost zdravstvene zaštite, kao i troškovi i finansiranje zdravstvene zaštite i uzroci mortaliteta. Takva obrada podataka o zdravstvenom stanju za potrebe javnog interesa ne sme da prouzrokuje obradu podataka o ličnosti u druge od strane trećih lica kao što su poslodavci ili osiguravajuća društva i banke.

(55)

se, pored toga, obrada podataka o ličnosti koju na osnovu odredaba ustavnog prava ili međunarodnog javnog prava vrše službeni organi radi ostvarivanja ciljeva zvanično priznatih verskih udruženja, vrši na osnovu javnog interesa.

(56)

ako u toku izbornih aktivnosti delovanje demokratskog sistema u državi članici zahteva da političke stranke prikupljaju podatke o ličnosti o političkim mišljenjima ljudi, obrada takvih podataka može da bude dozvoljena iz razloga javnog interesa, pod uslovom da se uspostave odgovarajuće zaštitne mere.

(57)

ako rukovalac ne može da odredi identitet fizičkog na osnovu podataka o ličnosti koje obrađuje, rukovalac ne treba da ima obavezu da prikuplja dodatne informacije kako bi odredio identitet lica na koje se podaci odnose isključivo radi poštovanja bilo koje odredbe ove uredbe. Međutim, rukovalac ne sme da odbije dodatne informacije koje je pružilo lice na koje se podaci odnose kako bi podržalo ostvarivanje svojih prava. Identifikacija treba da obuhvata digitalnu identifikaciju lica na koje se podaci odnose, na primer putem mehanizma autentifikacije kao što su isti podaci koje lice na koje se podaci odnose koristi da bi se prijavilo za onlajn usluge koje nudi rukovalac.

(58)

načelo transparentnosti zahteva da svaka informacija namenjena javnosti ili licu na koje se podaci odnose bude sažeta, lako dostupna i razumljiva, da se upotrebljava jasan i jednostavan jezik i, pored toga, da se, prema potrebi, koristi vizualizacija. Takve informacije mogu da se daju u elektronskom obliku, na primer na internet stranama, kada su namenjene javnosti. To je od posebnog značaja u situacijama kada zbog velikog broja aktera i tehnološke složenosti prakse lice na koje se podaci odnose ne može lako da prepozna i razume da li se prikupljaju njegovi podaci o ličnosti, ko ih prikuplja i u koju svrhu, kao što je slučaj oglašavanja na internetu. Imajući u vidu da deca zaslužuju posebnu zaštitu, svaka informacija i komunikacija, u slučaju kada je obrada usmerena prema detetu, treba da bude na jasnom i jednostavnom jeziku koji dete može lako da razume.

(59)

bi trebalo obezbediti modalitete kojima se olakšava ostvarivanje prava lica na koje se podaci odnose iz ove uredbe, uključujući i mehanizme za podnošenje zahteva i, ukoliko je primenljivo, posebno, besplatno ostvarivanje zahteva za pristup podacima o ličnosti, njihovo ispravljanje ili brisanje i ostvarivanje prava na prigovor. Rukovalac takođe mora da obezbedi sredstva za elektronsko podnošenje zahteva, posebno ako se podaci o ličnosti obrađuju elektronski. Rukovalac mora da ima obavezu da odgovori na zahtev lica na koje se podaci odnose bez nepotrebnog odlaganja, a najkasnije u roku od mesec dana i da iznese razloge ako rukovalac ne namerava da ispuni bilo koji takav zahtev.

(60)

načela pravične i transparentne obrade zahtevaju da lice na koje se podaci odnose bude informisano o radnji obrade i njenim svrhama. Rukovalac mora da pruži licu na koje se podaci odnose da pruži sve dodatne informacije neophodne za obezbeđivanje pravične i transparentne obrade uzimajući u obzir konkretne okolnosti i kontekst obrade podataka o ličnosti. Pored toga, lice na koje se podaci odnose mora da bude informisano o postojanju profilisanja i posledicama takvog profilisanja. Kada se podaci o ličnosti prikupljaju od lica na koje se podaci odnose, lice na koje se podaci odnose takođe treba obavestiti o tome da li ima obavezu da pruži podatke o ličnosti i o posledicama ako ne pruži takve podatke. Ove informacije mogu da se pruže u kombinaciji sa standardizovanim ikonama kako bi se na lako vidljiv, razumljiv i jasno čitljiv način pružio sadržajan pregled nameravane obrade. Kada su ikone predstavljene elektronski, moraju da budu mašinski čitljive.

(61)

licu na koje se podaci odnose prilikom prikupljanja podataka treba dati informacije o obradi podataka o ličnosti koji se odnose na njega, ili ako se podaci o ličnosti ne uzimaju od lica na koje se podaci odnose već su prikupljeni iz drugog izvora, u prihvatljivom roku u zavisnosti od okolnostima slučaja. Ako podaci o ličnosti mogu legitimno da se otkriju drugom korisniku, lice na koje se podaci odnose treba obavestiti kada se podaci o ličnosti prvi put otkrivaju korisniku. Ako rukovalac namerava da obrađuje podatke o ličnosti u svrhu koja je drugačija od svrhe u koju su prikupljeni, rukovalac mora pre te dalje obrade da pruži licu na koje se podaci odnose informacije o toj drugoj svrsi i druge potrebne informacije. Ako licu na koje se podaci odnose ne može da se otkrije poreklo podataka o ličnosti jer su korišćeni razni izvori, treba pružiti opšte informacije.

(62)

obaveza pružanja informacija ipak nije neophodna ako lice na koje se podaci odnose već poseduje te informacije, ako je evidentiranje ili otkrivanje podataka o ličnosti izričito propisano zakonom ili ako je pružanje informaciju lice na koje se podaci odnose nemoguće ili bi zahtevalo nesrazmeran napor. Nemogućnost pružanja informacija ili zahtevanje nesrazmernog napora bi posebno moglo da javi ako se obrada vrši u svrhe arhiviranja u javnom interesu, u svrhe naučnih ili istorijskih istraživanja ili u statističke svrhe. U tom smislu treba razmotriti broj lica na koje se podaci odnose, starost podataka i bilo koje druge usvojene primerene zaštitne mere.

(63)

lice na koje se podaci odnose mora da ima pravo pristupa prikupljenim podacima o ličnosti koji se na njega odnose i da ostvaruje to pravo lako i u prihvatljivim intervalima kako bi bilo svesno obrade i proverilo njenu zakonitost. To obuhvata pravo lica na koje se podaci odnose na pristup podacima o njegovom zdravstvenom stanju, na primer podacima u medicinskoj dokumentaciji koja sadrži informacije kao što su dijagnoze, rezultati pregleda, mišljenja lekara i svako lečenje ili intervencije. Svako lice na koje se podaci odnose zbog toga posebno mora da ima pravo da zna i dobije obaveštenje o svrhama obrade podataka o ličnosti, ako je moguće o periodu u kojem se podaci o ličnosti obrađuju, o korisnicima podataka o ličnosti, o logici automatske obrade podataka o ličnosti i, barem kada je obrada zasnovana na profilisanju, o posledicama takve obrade. Ukoliko je moguće, rukovalac mora da bude u mogućnosti da obezbedi pristup zaštićenom sistemu na daljinu koji bi licu na koje se podaci odnose omogućio neposredan pristup njegovim podacima o ličnosti. To pravo ne sme negativno da utiče na prava ili slobode drugih, uključujući i poslovne tajne ili intelektualnu svojinu, a posebno na autorsko pravo kojim je zaštićen softver. Međutim, rezultat tih razmatranja ne sme da bude odbijanje da se licu na koje se podaci odnose pruže sve informacije. Ako rukovalac obrađuje velike količine informacija u vezi sa licem na koje se podaci odnose, rukovalac mora da bude u mogućnosti da pre dostavljanja informacija zahteva od lica na koje se podaci odnose da navede informacije ili aktivnosti obrade na koje se zahtev odnosi.

(64)

rukovalac mora da koristi sve prihvatljive mere da bi odredio identitet lica na koje se podaci odnose koje traži pristup, a posebno u okviru internet usluga i mrežnih identifikatora. Rukovalac ne sme da čuva podatke o ličnosti samo da bi mogao da odgovori na moguće zahteve.

(65)

lice na koje se podaci odnose mora da ima pravo na ispravku podataka o ličnosti koji se na njega odnose i "pravo na zaborav" ako zadržavanje takvih podataka krši ovu uredbu ili pravo Unije ili pravo države članice koje se primenjuje na rukovaoca. Lica na koje se podaci odnose posebno moraju da imaju pravo da se njihovi podaci o ličnosti obrišu i više ne obrađuju ako ti podaci o ličnosti više nisu potrebni za svrhe u koju su prikupljeni ili na druge načine obrađivani, ako su lica na koje se podaci odnose povukla svoj pristanak ili ako daju prigovor na obradu podataka o ličnosti koji se odnose na njih ili ako obrada njihovih podataka o ličnosti na druge načine nije u skladu s ovom uredbom. Ovo pravo je posebno od značaja ako je lice na koje se podaci odnose dalo svoj pristanak dok je bilo dete i nije bio u potpunosti svesno rizika obrade, a kasnije želi da ukloni takve podatke o ličnosti, posebno na internetu. Lice na koje se podaci odnose treba da bude u mogućnosti da ostvari to pravo bez obzira na činjenicu da više nije dete. Međutim, dalje zadržavanje podataka o ličnosti treba da bude zakonito ako je neophodno za ostvarivanje prava na slobodu izražavanja i informisanja, radi poštovanja zakonskih obaveza, za izvršenje zadatka koji se obavlja u javnom interesu ili u okviru izvršavanja službenih ovlašćenja dodeljenih rukovaocu podataka, na osnovu javnog interesa u oblasti javnog zdravlja, u svrhe arhiviranja od javnog interesa, u svrhe naučnih ili istorijskih istraživanja, u statističke svrhe ili za uspostavljanje, ostvarivanje ili odbranu pravnih zahteva.

(66)

u cilju jačanja "prava na zaborav" u internetskom okruženju, pravo na brisanje takođe treba da bude prošireno tako da rukovalac koji je objavio podatke o ličnosti ima obavezu da obavesti rukovaoce podataka koji takve podatke o ličnosti obrađuju da obrišu sve linkove za te podatke o ličnosti ili kopije ili rekonstrukcije tih podataka o ličnosti. Tom prilikom rukovalac mora da preduzme prihvatljive mere, uzimajući u obzir dostupnu tehnologiju i sredstva dostupna rukovaocu podataka, uključujući i tehničke mere, da obavesti rukovaoce podataka koji obrađuju podatke o ličnosti o zahtevu lica na koje se podaci odnose.

(67)

metodi kojima se ograničava obrada podataka o ličnosti mogu, između ostalog, da uključuju privremeno premeštanje odabranih podataka u drugi sistem obrade, činjenje odabranih podataka nedostupnim za korisnike ili privremeno uklanjanje objavljenih podataka sa internet strane. U automatizovanim sistemima pohranjivanja ograničavanje obrade u načelu bi trebalo obezbediti tehničkim sredstvima tako da podaci o ličnosti ne budu predmet daljih obrada i da ne mogu da se menjaju. Činjenicu da je obrada podataka o ličnosti ograničena treba jasno navesti u sistemu.

(68)

u cilju dodatnog jačanja kontrole nad svojim podacima, kada se obrada o ličnosti vrši automatski, licu na koje se podaci odnose takođe treba dozvoliti da podatke o ličnosti koji se odnose na njega, a koje je dao rukovaocu podataka dobije u strukturiranim, uobičajenim, mašinski čitljivim i interoperabilnim formatima i da ih prenese drugom rukovaocu podataka. Rukovaoce podataka treba podsticati da razvijaju interoperabilne formate koji omogućavaju prenosivost podataka. To pravo treba primenjivati u slučajevima kad je lice na koje se podaci odnose podatke o ličnosti dalo na osnovu pristanka ili kad je obrada neophodna za izvršenje ugovora. To pravo ne sme da se primenjuje ako je obrada zasnovana na drugoj pravnoj osnovi koja nije pristanak ili ugovor. Po svojoj prirodi to pravo ne može da se ostvari u slučaju kada rukovaoci podataka obrađuju podatke o ličnosti u okviru svojih javnih dužnosti. Zbog toga ono ne bi smelo da se primenjuje ako je obrada podataka o ličnosti neophodna za poštovanje zakonske obaveze rukovaoca ili za izvršenje zadatka koji se obavlja u javnom interesu ili u okviru izvršavanja službenih ovlašćenja dodeljenih rukovaocu. Pravo lica na koje se podaci odnose na prenos ili primanje podataka o ličnosti koji se odnose na njega ne treba da obavezuje rukovaoca da koristi ili održava tehnički kompatibilne sisteme za obradu. Ako se određeni skup podataka o ličnosti odnosi na više lica na koje se podaci odnose, pravo na primanje tih podataka o ličnosti ne sme da dovodi u pitanje prava i sloboda ostalih lice na koje se podaci odnose u skladu s ovom uredbom. Pored toga, to pravo takođe ne sme da dovodi u pitanje pravo lica na koje se podaci odnose na brisanje podataka o ličnosti, kao i ograničenja tog prava, kako je propisano u ovoj uredbi, a posebno ne sme da podrazumeva brisanje podataka o ličnosti lica na koje se podaci odnose, koje je to lice dostavilo u svrhu izvršavanja ugovora, ako i dok su ti podaci o ličnosti potrebni za izvršavanje tog ugovora. Ako je tehnički izvodljivo, lice na koje se podaci odnose treba da ima pravo da se njegovi podaci o ličnosti prenose neposredno od jednog rukovaoca do drugog.

(69)

ako bi podaci o ličnosti mogli zakonito da se obrađuju jer je obrada neophodna za izvršenje zadatka koji se obavlja u javnom interesu ili u okviru izvršavanja službenih ovlašćenja dodeljenih rukovaocu ili na osnovu legitimnih interesa rukovaoca ili trećeg lica, svako lice na koje se podaci odnose bi ipak trebalo da ima pravo na prigovor na obradu bilo kojih podataka o ličnosti u vezi sa njegovom konkretnom situacijom. Rukovalac mora da dokaže da njegovi uverljivi legitimni interesi preovlađuju nad interesima osnovnih prava i sloboda lica na koje se podaci odnose.

(70)

ako se podaci o ličnosti obrađuju za potrebe direktnog marketinga, lice na koje se podaci odnose mora da ima pravo na prigovor na takvu obradu, uključujući i profilisanje ako je povezano sa takvim direktnim marketingom, u odnosu na početnu ili dalju obradu, u bilo kojem trenutku i besplatno. Lice na koje se podaci odnose mora da bude izričito upoznato s postojanjem tog prava i ono mora da mu bude predočeno jasno i odvojeno od svih drugih informacija.

(71)

lice na koje se podaci odnose mora da ima pravo da se na njega ne odnosi odluka, što može da obuhvata meru, kojom se procenjuju lični aspekti u vezi sa njim i koja je zasnovana isključivo na automatskoj obradi i proizvodi pravne efekte koji se odnose na njega ili na sličan način značajno utiče na njega, kao što je automatsko odbijanje zahteva za kredit putem interneta ili prakse zapošljavanja putem interneta bez bilo kakve ljudske intervencije. Takva obrada uključuje "profilisanje" koje se sastoji od svakog oblika automatske obrade podataka o ličnosti kojom se procenjuju lični aspekti u vezi sa fizičkim licem, posebno za analizu ili predviđanje aspekata učinka lica na koje se podaci odnose na poslu, njegovog ekonomskog stanja, zdravlja, ličnih sklonosti ili interesa, pouzdanosti ili ponašanja, lokacije ili kretanja ako proizvodi pravne efekte koji se odnose na lice na koje se podaci odnose ili na sličan način značajno utiče na njega. Međutim, donošenje odluka zasnovano na takvoj obradi, uključujući i profilisanje, treba da bude dozvoljeno ako je izričito odobreno pravom Unije ili pravom države članice koje se primenjuje na rukovaoca, između ostalog u svrhe praćenja i sprečavanja prevare i utaje poreza koje se obavlja u skladu sa propisima, standardima i preporukama institucija Unije ili nacionalnih nadzornih organa i obezbeđivanja bezbednosti i pouzdanosti usluge koju pruža rukovalac ili ako je neophodno za zaključivanje ili izvršavanje ugovora između lica na koje se podaci odnosa i rukovaoca ili kada je lice na koje se podaci odnose izričito dalo svoj pristanak. U svakom slučaju, na takve obrade moraju da se primenjuju odgovarajuće zaštitne mere, koje bi trebale da obuhvataju davanje određenih informacija licu na koje se podaci odnose i pravo na ljudsku intervenciju, pravo na izražavanje svog mišljenja, na dobijanje pojašnjenja odluke donete nakon takve procene i pravo na osporavanje odluke. Takve mere ne smeju da se odnose na decu.
U cilju obezbeđivanja pravične i transparentne obrade podataka u odnosu na lice na koje se podaci odnose, uzimajući u obzir konkretne okolnosti i kontekst u kojem se podaci o ličnosti obrađuju, rukovalac treba da koristi odgovarajuće matematičke i statističke postupke za profilisanje, da sprovodi odgovarajuće tehničke i organizacione mere kako bi se posebno osiguralo da budu ispravljeni faktori koji dovode do netačnosti u podacima o ličnosti i da rizik od pojave pogrešaka bude sveden na najmanju moguću meru, da obezbedi podatke o ličnosti tako što će uzeti u obzir potencijalne rizike za interese i prava lica na koje se podaci odnose i tako da se, između ostalog, spreče diskriminatorski efekti na fizička lica na osnovu rasnog ili etničkog porekla, političkog mišljenja, vere ili uverenja, članstva u sindikatu, genetskog ili zdravstvenog stanja ili seksualne orijentacije, ili na načina na osnovu kojeg se preduzimaju mere koje imaju takav efekat. Donošenje automatskih odluka i profilisanje na osnovu posebnih kategorija podataka o ličnosti može da bude dozvoljeno samo pod posebnim uslovima.

(72)

se na profilisanje primenjuju pravila ove uredbe kojima se uređuje obrada podataka o ličnosti, kao što su pravna osnova obrade ili načela zaštite podataka. Evropski odbor za zaštitu podataka osnovan ovom uredbom ("Odbor") treba da ima mogućnost da izdaje smernice u tom kontekstu.

(73)

pravom Unije ili pravom države članice mogu da se uvedu ograničenja u vezi sa posebnim načelima i pravom na informacije, pristup i ispravku ili brisanje podataka o ličnosti, pravom na prenosivost podataka, pravom na prigovor, odlukama zasnovanim na profilisanju, kao i obaveštavanjem lica na koje se podaci odnose o povredi bezbednosti podataka o ličnosti i određenim povezanim obavezama rukovaoca, ako je neophodno i srazmerno u demokratskom društvu kako bi se zaštitila javna bezbednost, uključujući i zaštitu ljudskog života posebno kao odgovor na prirodne katastrofe ili katastrofe koje je izazvao čovek i sprečavanje, istragu i gonjenje krivičnih dela ili izvršenje krivičnih sankcija, uključujući i zaštitu od pretnji za javnu bezbednost i njihovo sprečavanje ili povrede etike zakonski regulisanim profesijama, kako bi se zaštitili drugi važni ciljevi koji su od opšteg javnog interesa Unije ili države članice, a posebno značajni ekonomski ili finansijski interes Unije ili države članice, vođenje javnih registara u svrhu opšteg javnog interesa, dalja obrada arhiviranih podataka o ličnosti za potrebe pružanja posebnih informacija u vezi sa političkim ponašanjem za vreme bivših totalitarnih državnih režima ili zaštita lica na koje se podaci odnose ili prava i sloboda drugih, između ostalog u svrhu socijalne zaštite, javnog zdravlja i u humanitarne svrhe. Ta ograničenja moraju da budu u skladu sa zahtevima koji su utvrđeni u Povelji i Evropskoj konvenciji za zaštitu ljudskih prava i osnovnih sloboda.

(74)

bi trebalo uspostaviti dužnosti i odgovornosti rukovaoca za svaku obradu podataka o ličnosti koju vrši sam rukovalac ili koja se vrši u ime rukovaoca. Posebno, rukovalac mora da ima obavezu sprovođenja odgovarajućih i delotvornih mera i da bude u mogućnosti da dokaže usklađenost aktivnosti obrade sa ovom uredbom, uključujući i delotvornost mera. Te mere moraju da uzimaju u obzir prirodu, obim, kontekst i svrhe obrade i rizik za prava i slobode fizičkih lica.

(75)

rizik za prava i obaveze fizičkih lica, različite verovatnoće i ozbiljnosti, može da nastane iz obrade podataka o ličnosti koja bi mogla da prouzrokuje fizičku, materijalnu ili nematerijalnu štetu, a posebno: ako ta obrada može da dovede do diskriminacije, krađe identiteta ili prevare, finansijskog gubitka, štete za ugled, gubitka poverljivosti podataka o ličnosti zaštićenih poslovnom tajnom, neovlašćenog obrnutog postupka pseudonimizacije, ili bilo koje druge značajne ekonomske ili društvene štete; ako lica na koja se podaci odnose mogu da budu uskraćena za svoja prava i slobode ili sprečena u vršenju kontrole nad svojim podacima o ličnosti; ako se obrađuju podaci o ličnosti koji otkrivaju rasno ili etničko poreklo, politička mišljenja, verska ili filozofska uverenja, članstvo u sindikatu i ako je u pitanju o obrada genetičkih podataka, podataka o zdravstvenom stanju ili podataka o seksualnom životu ili krivičnim osudama i krivičnim delima ili povezane mere bezbednosti; ako se procenjuju lični aspekti, a posebno analiza ili predviđanje aspekata u vezi sa učinkom na poslu, ekonomskim stanjem, zdravljem, ličnim sklonostima ili interesima, pouzdanošću ili ponašanjem, lokacijom ili kretanjem, kako bi se napravili ili koristili lični profili; ako se obrađuju podaci o ličnosti ugroženih fizičkih lica, a posebno dece; ili ako obrada obuhvata veliku količinu podataka o ličnosti i utiče na veliki broj lica na koje se podaci odnose.

(76)

verovatnoću i ozbiljnost rizika za prava i slobode lica na koje se podaci odnose treba određivati u odnosu na prirodu, obim, kontekst i svrhe obrade. Rizik treba ocenjivati na osnovu objektivne procene kojom se utvrđuje da li postupci obrade podataka uključuju rizik ili veliki rizik.

(77)

uputstvo za sprovođenje odgovarajućih mera i za dokazivanje poštovanja odredaba od strane rukovaoca ili obrađivača, posebno u pogledu utvrđivanja rizika povezanog sa obradom, njihove procene u pogledu porekla, prirode, verovatnoće i ozbiljnosti i utvrđivanje najboljih praksi za umanjivanje rizika, posebno može da se pruži putem odobrenih kodeksa ponašanja, odobrenih sertifikacija, smernica Odbora ili napomenama ovlašćenog lica za zaštitu podataka. Odbor takođe može da izda smernice o radnjama obrade za koje se smatra da verovatno neće dovesti do velikog rizika za prava i slobode fizičkih lica i da navede koje mere u takvim slučajevima mogu da budu dovoljne za rešavanje takvog rizika.

(78)

zaštita prava i sloboda fizičkih lica u odnosu na obradu podataka o ličnosti zahteva preduzimanje odgovarajućih tehničkih i organizacionih mera da bi se obezbedilo poštovanje uslova iz ove uredbe. U cilju dokazivanja usklađenosti sa ovom uredbom, rukovalac mora da usvoji interne politike i da sprovodi mere koje posebno ispunjavaju načela ugrađene ili podrazumevane zaštite podataka. Takve mere bimogle, između ostalog, da se sastoje od svođenja obrade podataka o ličnosti na najmanju moguću meru, pseudonimizacije podataka o ličnosti što je pre moguće, transparentnosti u vezi sa funkcijama i obradom podataka o ličnosti, omogućavanja licu na koje se podaci odnose da prati obradu podataka, omogućavanja rukovaocu podataka da stvara i unapređuje bezbednosne karakteristike. Prilikom razvijanja, osmišljavanja, biranja i korišćenja aplikacija, usluga i proizvoda koji su zasnovani na obradi podataka o ličnosti ili obrađuju podatke o ličnosti kako bi ispunili svoju zadatak, proizvođače proizvoda, usluga i aplikacija treba podsticati da uzmu u obzir pravo na zaštitu podataka prilikom razvijanja i osmišljavanja takvih proizvoda, usluga i aplikacija i da, uzimajući u obzir najnoviji tehnološki razvoj, obezbede da rukovaoci i obrađivači budu u mogućnosti da ispune svoje obaveze u vezi sa zaštitom podataka. Načela ugrađene i podrazumevane zaštite podataka takođe treba uzeti u obzir u kontekstu javnih poziva za dostavljanje ponuda.

(79)

zaštita prava i sloboda lica na koje se podaci odnose, kao i dužnost i odgovornost rukovalaca podataka i obrađivača, takođe i u vezi sa praćenjem i merama koje preduzimaju nadzorni organi, zahteva jasno dodeljivanje dužnosti u skladu s ovom uredbom, uključujući i slučajeve kada rukovalac podataka određuje svrhe i sredstva obrade zajedno sa drugim rukovaocima podataka ili kada se postupak obrade vrši u ime rukovaoca podataka.

(80)

ako rukovalac ili obrađivač koji nema sedište u Uniji obrađuje podatke o ličnosti lica na koje se podaci odnose u Uniji, a njegove aktivnosti obrade su povezane sa nuđenjem robe ili usluga, bez obzira na to da li se od lica na koje se podaci odnose zahteva plaćanje, za takva lica na koje se podaci odnose u Uniji, ili za praćenje njihovog ponašanja ako se ono odvija u Uniji, rukovalac ili obrađivač moraju da imenuju predstavnika, osim ako se obrada vrši povremeno, ne uključuje obimnu obradu posebnih kategorija podataka o ličnosti ili obradu podataka o ličnosti koji se odnose na krivične osude i krivična dela i verovatno neće prouzrokovati rizik za prava i slobode fizičkih lica, uzimajući u obzir prirodu, kontekst, obuhvat i svrhe obrade ili ako je rukovalac podataka organ ili telo. Predstavnik treba da postupa u ime rukovaoca ili obrađivača i može da mu se obrati svaki nadzorni organ. Rukovalac ili obrađivač treba izričito putem pisanog ovlašćenja da imenuje predstavnika da postupa u njegovo ime u vezi sa obavezama rukovaoca podataka i obrađivača iz ove uredbe. Imenovanje takvog predstavnika ne utiče na dužnost ili odgovornost rukovaoca ili obrađivača iz ove uredbe. Takav predstavnik svoje zadatke mora da obavlja u skladu sa ovlašćenjem dobijenim od rukovaoca ili obrađivača, uključujući i saradnju sa nadležnim nadzornim organima u vezi sa svakom radnjom preduzetom radi obezbeđivanja poštovanja ove uredbe. Na imenovanog predstavnika treba primeniti postupak obezbeđivanja izvršenja zakonodavstva u slučaju da rukovalac ili obrađivač ne poštuju propise.

(81)

u cilju obezbeđivanja poštovanja zahteva iz ove uredbe u vezi sa obradom koju vrši obrađivač u ime rukovaoca podataka, kada se obrađivaču poveravaju aktivnosti obrade, rukovalac podataka treba da angažuje samo obrađivače koji pružaju dovoljne garancije, posebno u pogledu stručnog znanja, pouzdanosti i resursa, za sprovođenje tehničkih i organizacionih mera koje će ispunjavati zahteve ove uredbe, uključujući i zahteve u vezi sa bezbednošću obrade. Poštovanje odobrenog kodeksa ponašanja ili odobrenog mehanizma sertifikacije od strane obrađivača može se koristi kao element za dokazivanje poštovanja obaveza rukovaoca podataka. Vršenje obrade od strane obrađivača treba da bude uređeno ugovorom ili drugim pravnim aktom u skladu sa pravom Unije ili pravom države članice, koji obrađivača obavezuje prema rukovaocu podataka, a u kojem su određeni predmet i trajanje obrade, priroda i svrhe obrade, vrsta podataka o ličnosti i kategorije lica na koje se podaci odnose, uzimajući u obzir konkretne zadatke i odgovornosti obrađivača u kontekstu obrade koja treba da se vrši i rizika za prava i slobode lica na koje se podaci odnose. Rukovalac podataka i obrađivač mogu da izaberu da koriste pojedinačni ugovor ili standardne ugovorne klauzule koje je ili neposredno usvojila Komisija ili ih je usvojio nadzorni organ u skladu s mehanizmom doslednosti, a zatim ih je usvojila Komisija. Nakon završetka obrade u ime rukovaoca podataka, obrađivač bi trebao, u zavisnosti od toga šta rukovalac podataka odluči, da vrati ili da obriše podatke o ličnosti, osim ako postoji obaveza čuvanja podataka o ličnosti u skladu sa pravom Unije ili pravom države članice koje se primenjuje na obrađivača.

(82)

u cilju dokazivanja usklađenosti sa ovom uredbom, rukovalac ili obrađivač treba da vodi evidenciju o aktivnostima obrade pod njegovom odgovornošću. Svaki rukovalac podataka i obrađivač mora da imaju obavezu da sarađuje sa nadzornim organom i da mu na zahtev omogući uvid u tu evidenciju da bi mogla da služi za praćenje tih postupaka obrade.

(83)

u cilju očuvanja bezbednosti i sprečavanja obrade kojom se krši ova uredba, rukovalac ili obrađivač mora da proceni rizike povezane sa obradom i sprovede mere za umanjivanje tih rizika, kao što je enkripcija. Te mere moraju da obezbeđuju odgovarajući nivo bezbednosti, uključujući i poverljivost, uzimajući u obzir najnovija dostignuća i troškove realizacije u odnosu na rizike i prirodu podataka o ličnosti koje treba zaštititi. Prilikom procene rizika za bezbednost podataka treba razmotriti rizike koje predstavlja obrada podataka o ličnosti, kao što je slučajno ili nezakonito uništavanje, gubitak, izmena, neovlašćeno otkrivanje ili pristup podacima o ličnosti koji su preneti, koji se čuvaju ili su na drugi način obrađivani, što posebno može da dovede do fizičke, materijalne ili nematerijalne štete.

(84)

u cilju poboljšanja usklađenosti sa ovom uredbom kada radnje obrade verovatno mogu da dovedu do velikog rizika za prava i slobode fizičkih lica, rukovalac podataka treba da bude odgovoran za vršenje procene uticaja na zaštitu podataka kako bi se posebno procenili izvor, priroda, specifičnost i ozbiljnost tog rizika. Ishod procene treba uzeti u obzir prilikom određivanja odgovarajućih mera koje treba preduzeti za dokazivanje da je obrada podataka o ličnosti u skladu s ovom uredbom. Ako se u proceni uticaja na zaštitu podataka pokaže da radnje obrade uključuju veliki rizik koji rukovalac podataka ne može da ublaži odgovarajućim merama u pogledu dostupne tehnologije i troškova sprovođenja, pre obrade mora da se konsultuje nadzorni organ.

(85)

povreda podataka o ličnosti, ako se ne rešava na odgovarajući način i blagovremeno, može da prouzrokuje fizičku, materijalnu ili nematerijalnu štetu za fizička lica, kao što su gubitak kontrole nad njihovim podacima o ličnosti ili ograničavanje njihovih prava, diskriminacija, krađa identiteta ili prevara, finansijski gubici, neovlašćeni obrnuti postupak pseudonimizacije, narušavanje ugleda, gubitak poverljivosti podataka o ličnosti zaštićenih poslovnom tajnom ili drugu značajnu ekonomsku ili društvenu štetu za to fizičko lice. Zbog toga, čim rukovalac podataka sazna da je došlo do povrede podataka o ličnosti, mora o tome da obavesti nadzorni organ bez nepotrebnog odlaganja i, ako je izvodljivo, najkasnije 72 časa nakon saznanja o toj povredi podataka o ličnosti, osim ako rukovalac podataka može da dokaže, u skladu sa načelom odgovornosti, da povreda podataka o ličnosti verovatno neće prouzrokovati rizik za prava i slobode fizičkih lica. Ako takvo obaveštavanje ne može da se dostavi u roku od 72 časa, uz obaveštenje treba dostaviti razloge kašnjenja, a informacije mogu da se pruže u fazama bez nepotrebnog daljeg odlaganja.

(86)

rukovalac podataka mora bez nepotrebnog odlaganja da obavesti lice na koje se podaci odnose o povredi podataka o ličnosti ako će povreda podataka o ličnosti verovatno prouzrokovati veliki rizik za prava i slobode fizičkog lica, kako bi fizičko lice moglo da preduzme neophodne mere opreza. Obaveštenje mora da opisuje prirodu povrede podataka o ličnosti, kao i preporuke da bi fizičko lice moglo da ublaži potencijalne negativne posledice. Takvo obaveštenje treba da se pruži licima na koja se podaci odnose što je pre moguće i u bliskoj saradnji sa nadzornim organom, uz poštovanje njegovih uputstava ili uputstava drugih relevantnih organa, kao što su organi gonjenja. Na primer, o potrebi za ublažavanjem neposrednog rizika od štete treba odmah obavestiti lica na koje se podaci odnose, dok u slučaju potrebe za sprovođenjem odgovarajućih mera protiv dalje ili slične povrede podataka o ličnosti može da bude opravdan duži rok za obaveštavanje.

(87)

treba proveriti da li su preduzete sve odgovarajuće mere tehnološke zaštite i organizacione mere da bi se odmah utvrdilo da li je došlo do povrede podataka o ličnosti i da bi se odmah obavestio nadzorni organ i lice na koje se podaci odnose. Treba utvrditi činjenicu da li je obaveštenje dato bez nepotrebnog odlaganja posebno uzimajući u obzir prirodu i ozbiljnost povrede podataka o ličnosti i njene posledice i negativne efekte za lice na koje se podaci odnose. Takvo obaveštenje može da dovede do intervencije nadzornog organa u skladu sa njegovim zadacima i ovlašćenjima propisanim ovom uredbom.

(88)

prilikom određivanja detaljnih pravila o formatu i postupcima koji se primenjuju na obaveštavanje o povredi podataka o ličnosti treba razmotriti okolnosti te povrede, između ostalog i da li su podaci o ličnosti bili zaštićeni odgovarajućim merama tehničke zaštite, koje efikasno ograničavaju verovatnoću zloupotrebe identiteta ili druge oblike zloupotrebe. Pored toga, takva pravila i postupci moraju da uzimaju u obzir legitimne interese organa gonjenja ako rano otkrivanje može nepotrebno da ometa istragu okolnosti povrede podataka o ličnosti.

(89)

Direktiva 95/46/EZ predviđa opštu obavezu obaveštavanja nadzornih organa o obradi podataka o ličnosti. Ta obaveza stvara administrativno i finansijsko opterećenje, a ona nije u svim slučajevima doprinela poboljšanju zaštite podataka o ličnosti. Zbog toga bi trebalo ukinuti takve sveobuhvatne obaveze opšteg obaveštavanja i zameniti ih efikasnim postupcima i mehanizmima koji se umesto toga usredsređuju na one vrste radnje obrade koje verovatno mogu da prouzrokuju veliki rizik za prava i slobode fizičkih lica zbog svoje prirode, obuhvata, konteksta i svrha. Takve vrste radnji obrade mogu da budu posebno one koje uključuju korišćenje novih tehnologija ili koje predstavljaju nove vrste radnji obrade i kod kojih rukovalac podataka još nije izvršio procenu uticaja na zaštitu podataka ili koje postanu neophodne s obzirom na vreme koje je prošlo od prvobitne obrade.

(90)

u takvim slučajevima, rukovalac podataka mora da izvrši procenu uticaja na zaštitu podataka pre obrade radi procene konkretne verovatnoće i ozbiljnosti velikog rizika, uzimajući u obzir prirodu, obim, kontekst i svrhe obrade i izvore rizika. Ta procena uticaja mora posebno da obuhvata mere, mere zaštite i mehanizme predviđene za ublažavanje tog rizika, za obezbeđivanje zaštite podataka o ličnosti i dokazivanje usklađenosti sa ovom uredbom.

(91)

to posebno treba primenjivati na radnje obrade velikog obima čiji je cilj obrada značajnih količina podataka o ličnosti na regionalnom, nacionalnom ili nadnacionalnom nivou i koje bi mogle da utiču na veliki broj lica na koje se podaci odnose i koje će verovatno prouzrokovati veliki rizik, na primer zbog osetljivosti, kod kojih se u skladu sa dostignutim nivoom tehnološkog znanja nova tehnologija koristi u velikom obimu, kao i na druge radnje obrade koji prouzrokuju veliki rizik za prava i slobode lica na koje se podaci odnose, a posebno ako te radnje otežavaju ostvarivanje prava lica na koja se podaci odnose. Procenu uticaja na zaštitu podataka takođe treba vršiti kada se podaci o ličnosti obrađuju radi donošenja odluka o konkretnim fizičkim licima nakon bilo kakve sistematske i temeljne procene ličnih aspekata u vezi sa fizičkim licima na osnovu profilisanja tih podataka ili nakon obrade posebnih kategorija podataka o ličnosti, biometrijskih podataka ili podataka o krivičnim osudama i krivičnim delima ili povezanim bezbednosnim merama. Procena uticaja na zaštitu podataka je u istoj meri potrebna za obimno praćenje javno dostupnih područja, posebno ako se koriste optičko-elektronski uređaji, ili za bilo koje druge radnje ako nadležni nadzorni organ smatra će obrada verovatno prouzrokovati veliki rizik za prava i slobode lica na koje se podaci odnose, posebno zato što se njima lice na koje se podaci odnose sprečava u ostvarivanju prava ili korišćenju usluga ili ugovora, ili zato što se vrše sistematski i temeljno. Obradu podataka o ličnosti ne treba smatrati temeljnom ako se odnosi na podatke o ličnosti pacijenata ili klijenata pojedinačnih lekara, drugog zdravstvenog radnika ili advokata. U takvim slučajevima procena uticaja na zaštitu podataka ne mora da bude obavezna.

(92)

pod nekim okolnostima može da bude prihvatljivo i ekonomično da procena učinka na zaštitu podataka obuhvata više od jednog projekta, na primer ako organi vlasti ili državna tela nameravaju da uspostave zajedničku aplikaciju ili platformu za obradu ili ako nekoliko rukovalaca podataka planiraju da uvedu zajedničku aplikaciju ili okruženje za obradu za čitav sektor ili segment privrede ili za horizontalnu aktivnost široke upotrebe.

(93)

u kontekstu usvajanja zakonodavstva države članice na kojem se zasniva izvršavanje zadataka organa vlasti ili državnog tela i kojim se uređuju konkretne radnje obrade ili skup radnji, države članice mogu da smatraju da je neophodno da izvrše takvu procenu pre aktivnosti obrade.

(94)

ako se u proceni uticaja na zaštitu podataka pokaže da bi obrada, ukoliko ne postoje mere zaštite, bezbednosne mere i mehanizmi za ublažavanje rizika, prouzrokovala veliki rizik za prava i slobode fizičkih lica, a rukovalac podataka smatra da se taj rizik ne može ublažiti prihvatljivim sredstvima u pogledu dostupnih tehnologija i troškova sprovođenja, pre početka aktivnosti obrade treba konsultovati nadzorni organ. Takav veliki rizik će verovatno nastati iz određenih vrsta obrade i obima i učestalosti obrade, što takođe može da prouzrokuje štetu ili ometanje prava i sloboda lica na koje se podaci odnose. Nadzorni organ mora da odgovori na zahtev za konsultacije u određenom vremenskom roku. Međutim, izostanak odgovora nadzornog organa u tom roku ne sme da utiče na bilo koju intervenciju nadzornog organa u skladu sa njegovim zadacima i ovlašćenjima iz ove uredbe, uključujući i ovlašćenje da zabrani radnje obrade. Kao deo procesa konsultacije, nadzornom organu može da se dostavi ishod procene uticaja na zaštitu podataka koja je izvršena u vezi sa tom obradom, a posebno mere predviđene za ublažavanje rizika za prava i slobode fizičkih lica.

(95)

obrađivač mora da pomaže rukovaocu podataka, prema potrebi i na zahtev, u obezbeđivanju poštovanja obaveza koje proističu iz vršenja procene uticaja na zaštitu podataka i iz prethodne konsultacije sa nadzornim organom.

(96)

konsultovanje nadležnog organa takođe treba da se obavlja u toku izrade zakonodavne ili regulatorne mere koja uređuje obradu podataka o ličnosti radi obezbeđivanja usklađenosti nameravane obrade sa ovom uredbom, a posebno radi ublažavanja rizika za lice na koje se podaci odnose.

(97)

ako obradu vrše organi vlasti, osim sudova i nezavisnih pravosudnih organa kada postupaju u svom sudskom svojstvu, ako, u privatnom sektoru, obradu vrši rukovalac podataka čije se osnovne aktivnosti sastoje od radnji obrade koje zahtevaju obimno redovno i sistematsko praćenje lica na koje se podaci odnose, ili ako se osnovne aktivnosti rukovaoca ili obrađivača sastoje od obimne obrade posebnih kategorija podataka o ličnosti i podataka koji se odnose na krivične osude i krivična dela, lica sa stručnim znanjem iz oblasti prava i prakse zaštite podataka moraju da pomognu rukovaocu ili obrađivaču u praćenju unutrašnje usklađenosti sa ovom uredbom. U privatnom sektoru, osnovne aktivnosti rukovaoca podataka odnose se na njegove primarne aktivnosti i ne odnose se na obradu podataka o ličnosti kao dodatne aktivnosti. Neophodni nivo stručnog znanja mora da bude utvrđen posebno u odnosu na radnje obrade podataka koje se vrše i na zaštitu potrebnu za podatke o ličnosti koje obrađuje rukovalac ili obrađivač. Takva odgovorna lica za zaštitu podataka, bez obzira na to da li su zaposlena kod rukovaoca podataka, moraju da budu u mogućnosti da nezavisno obavljaju svoje dužnosti i zadatke.

(98)

udruženja ili druga tela koja predstavljaju kategorije rukovalaca ili obrađivača treba podsticati da izrade kodekse ponašanja, u okvirima ove uredbe, kako bi se olakšala efikasna primena ove uredbe, uzimajući u obzir posebne karakteristike obrade koja se vrši u određenim sektorima i posebne potrebe mikro, malih i srednjih preduzeća. Posebno, takvim kodeksima ponašanja bi mogle da se definišu obaveze rukovaoca podataka i obrađivača, uzimajući u obzir rizik koji će verovatno nastati iz obrade za prava i slobode fizičkih lica.

(99)

prilikom izrade kodeksa ponašanja, ili kada se menja ili proširuje takav kodeks, udruženja i druga tela koja predstavljaju kategorije rukovalaca ili obrađivača moraju da konsultuju relevantne interesne grupe, uključujući i lica na koje se podaci odnose ako je izvodljivo, i da uzimaju u obzir primljene podneske i izražena mišljenja kao odgovore na takve konsultacije.

(100)

u cilju unapređenja transparentnosti i usklađenosti sa ovom uredbom, treba podsticati uvođenje mehanizama sertifikacije i pečata i oznaka za zaštitu podataka, što bi licima na koja se podaci odnose omogućilo brzu procenu nivoa zaštite podataka za relevantne proizvode i usluge.

(101)

su tokovi podataka o ličnosti u zemlje izvan Unije i međunarodne organizacije i iz njih neophodni za širenje međunarodne trgovine i međunarodne saradnje. Povećanje takvih tokova dovelo je do novih izazova i zabrinutosti u vezi sa zaštitom podataka o ličnosti. Međutim, kada se podaci o ličnosti prenose iz Unije rukovaocima podataka, obrađivačima ili drugim korisnicima u trećim zemljama ili međunarodnim organizacijama, ne sme da bude umanjen nivo zaštite fizičkih lica obezbeđen ovom uredbom u Uniji, uključujući i slučajeve daljih prenosa podataka o ličnosti iz treće zemlje ili međunarodne organizacije rukovaocima, obrađivačima u istoj ili nekoj drugoj trećoj zemlji ili međunarodnoj organizaciji. U svakom slučaju, prenosi podataka u treće zemlje i međunarodne organizacije mogu da se vrše isključivo uz puno poštovanje ove uredbe. Prenos podataka može da se obavlja isključivo ako, u skladu sa drugim odredbama ove uredbe, rukovalac ili obrađivač ispunjavaju uslove propisane odredbama ove uredbe u vezi sa prenosom podataka o ličnosti trećim zemljama ili međunarodnim organizacijama.

(102)

ova uredba ne dovodi u pitanje međunarodne sporazume zaključene između Unije i trećih zemalja kojima se uređuje prenos podataka o ličnosti, uključujući i odgovarajuće mere zaštite za lica na koje se podaci odnose. Države članice mogu da zaključuju međunarodne sporazume koji obuhvataju prenos podataka o ličnosti u treće zemlje ili međunarodne organizacije ako takvi sporazumi ne utiču na ovu uredbu ili bilo koje druge odredbe prava Unije i ako uključuju odgovarajući nivo zaštite osnovnih prava lica na koje se podaci odnose.

(103)

Komisija može da donese odluku sa dejstvom u čitavoj Uniji da treća zemlja, teritorija ili određeni sektor u trećoj zemlji, ili međunarodna organizacija pruža odgovarajući nivo zaštite podataka i na taj način obezbeđuje pravnu sigurnost i jednoobraznost u čitavoj Uniji kad je reč o trećoj zemlji ili međunarodnoj organizaciji za koju se smatra da pruža takav nivo zaštite. U takvim slučajevima prenosi podataka o ličnosti u tu treću zemlju ili međunarodnu organizaciju mogu da se obavljaju bez potrebe za dobijanjem bilo kakvog dodatnog odobrenja. Komisija takođe može da odluči da povuče takvu odluku, nakon što trećoj zemlji ili međunarodnoj organizaciji dostavi obaveštenje i kompletnu izjavu u kojoj se navode razlozi.

(104)

u skladu sa osnovnim vrednostima na kojima se zasniva Unija, a posebno zaštitom ljudskih prava, Komisija bi prilikom procene treće zemlje ili teritorije ili određenog sektora u trećoj zemlji trebalo da uzme u obzir kako ta treća zemlja poštuje vladavinu prava, pristup pravdi, kao i međunarodne norme i standarde ljudskih prava i njihove opšte i sektorske zakone, uključujući zakonodavstvo o javnoj bezbednosti, odbrani i nacionalnoj bezbednosti, kao i javnom redu i krivično pravo. Prilikom donošenja odluke o adekvatnosti u vezi sa teritorijom ili određenim sektorom u trećoj zemlji treba uzeti u obzir jasne i objektivne kriterijume, kao što su konkretne aktivnosti obrade i područje primene važećih zakonskih normi i zakonodavstva koji su na snazi u trećoj zemlji. Treća zemlja treba da ponudi garancije kojima se obezbeđuje odgovarajući nivo zaštite koji je suštinski isti kao nivo zaštite obezbeđen u Uniji, a posebno kada se podaci o ličnosti obrađuju u jednom ili više konkretnih sektora. Konkretno, treća zemlja mora da obezbedi efikasan nezavisan nadzor nad zaštitom podataka i mehanizme saradnje sa organima za zaštitu podatakadržava članica, a lica na koja se podaci odnose moraju da imaju efikasna i ostvariva prava i efikasnu upravnu i sudsku zaštitu.

(105)

pored međunarodnih obaveza koje je treća zemlja ili međunarodna organizacija preuzela, Komisija treba da uzme u obzir obaveze koje proizilaze iz učešća treće zemlje ili međunarodne organizacije u multilateralnim ili regionalnim sistemima, posebno u vezi sa zaštitom podataka o ličnosti, kao i sprovođenje takvih obaveza. Posebno treba uzeti u obzir pristupanje treće zemlje Konvenciji Saveta Evrope od 28. januara 1981. o zaštiti pojedinaca u odnosu na automatsku obradu podataka o ličnosti i njen Dodatni protokol. Komisija mora da konsultuje Odbor prilikom procene nivoa zaštite u trećim zemljama ili međunarodnim organizacijama.

(106)

Komisija treba da prati delovanje odluka o nivou zaštite u trećoj zemlji, teritoriji ili određenom sektoru u trećoj zemlji, ili u međunarodnoj organizaciji, i da prati delovanje odluka usvojenih na osnovu člana 25, stav 6. i člana 26, stav 4. Direktive 95/46/EZ. U svojim odlukama o adekvatnosti Komisija treba da predvidi mehanizam periodične provere njihovog funkcionisanja. Ta periodična provera treba da se vrši uz konsultovanje sa trećom zemljom ili međunarodnom organizacijom i treba da uzme u obzir sve relevantne događaje u trećoj zemlji ili međunarodnoj organizaciji. Za potrebe praćenja i vršenja periodičnih provera Komisija treba da uzme u obzir stavove i nalaze Evropskog parlamenta i Saveta, kao i drugih relevantnih tela i izvora. Komisija treba u prihvatljivom roku da oceni funkcionisanje potonjih odluka i da o svim relevantnim nalazima obavesti Odbor u smislu Uredbe (EU) br. 182/2011 Evropskog parlamenta i Saveta (12) koji je ustanovljen na osnovu ove uredbe, Evropski parlament i Savet.

(107)

Komisija može da utvrdi da treća zemlja, teritorija ili određeni sektor u trećoj zemlji ili međunarodna organizacija više ne obezbeđuju odgovarajući nivo zaštite podataka. Shodno tome treba zabraniti prenos podataka o ličnosti u tu treću zemlju ili međunarodnu organizaciju, osim ako su ispunjeni uslovi iz ove uredbe u vezi sa prenosima na koje se primenjuju odgovarajuće zaštitne mere, uključujući obavezujuća korporativna pravila, i odstupanja za posebne situacije. U tom slučaju treba predvideti konsultacije između Komisije i takvih trećih zemalja ili međunarodnih organizacija. Komisija mora blagovremeno da obavesti treću zemlju ili međunarodnu organizaciju o razlozima i započne konsultacije sa njom kako bi se situacija rešila.

(108)

ako nije doneta odluka o adekvatnosti, rukovalac ili obrađivač moraju da preduzmu mere kojima će se nadoknaditi nedostatak zaštite podataka u trećoj zemlji putem odgovarajućih mera zaštite za lice na koje se podaci odnose. Takve odgovarajuće mere zaštite mogu da se sastoje od upotrebe obavezujućih korporativnih pravila, standardnih klauzula o zaštiti podataka koje je usvojila Komisija, standardnih klauzule o zaštiti podataka koje je usvojio nadzorni organ ili ugovornih klauzula koje je odobrio nadzorni organ. Te mere zaštite moraju da obezbeđuju usklađenost sa zahtevima u vezi sa zaštitom podataka i prava lica na koja se podaci odnose primerena obradi unutar Unije, uključujući dostupnost ostvarivih prava lica na koje se podaci odnose i efikasnih pravnih lekova, između ostalog za dobijanje efikasne upravne ili sudske zaštite i traženje naknade, u Uniji ili u trećoj zemlji. One posebno moraju da se odnose na usklađivanje sa opštim načelima u vezi sa obradom podataka o ličnosti, načelima ugrađene i podrazumevane zaštite podataka. Prenose podataka takođe mogu da obavljaju organi vlasti ili tela sa javnim ovlašćenjima ili tela u trećim zemljama ili pri međunarodnim organizacijama sa odgovarajućim dužnostima ili funkcijama, između ostalog na osnovu odredaba koje se uključuju u administrativne aranžmane, kao što je memorandum o razumevanju, kojima se obezbeđuju ostvariva i efikasna prava za lica na koje se podaci odnose. Kada se mere zaštite predviđaju u administrativnim aranžmanima koji nisu pravno obavezujući, mora da se dobije odobrenje nadležnog nadzornog organa.

(109)

mogućnost da rukovalac ili obrađivač koristi standardne klauzule o zaštiti podataka koje je usvojila Komisija ili nadzorni organ ne sme da sprečava rukovaoca ili obrađivača ni da uključe standardne klauzule o zaštiti podataka u širi ugovor, kao što je ugovor između obrađivača i drugog obrađivača, ni da dodaju druge klauzule ili dodatne mere zaštite pod uslovom da nisu neposredno ili posredno protivrečne standardnim ugovornim klauzulama koje je usvojila Komisija ili nadzorni organ ili ne dovode u pitanje osnovna prava ili slobode lica na koja se podaci odnose. Rukovaoce podataka i obrađivače treba podsticati da obezbede dodatne mere zaštite putem ugovornih obaveza koje dopunjuju standardne klauzule o zaštiti.

(110)

grupa društava ili grupa preduzeća angažovanih u zajedničkoj privrednoj delatnosti mora da bude u mogućnosti da koristi odobrena obavezujuća korporativna pravila za svoje međunarodne prenose podataka iz Unije u organizacije unutar iste grupe društava ili grupe preduzeća angažovanih u zajedničkoj privrednoj delatnosti, pod uslovom da korporativna pravila obuhvataju sva osnovna načela i ostvariva prava za obezbeđivanje odgovarajućih mera zaštite za prenose ili kategorije prenosa podataka o ličnosti.

(111)

bi trebalo propisati odredbe za mogućnost prenosa pod određenim okolnostima kada je lice na koje se podaci odnose dalo izričit pristanak, ako je prenos povremen i neophodan za ugovor ili pravni zahtev, bez obzira na to da li je reč o sudskom, upravnom ili bilo kojem vansudskom postupku, uključujući i postupke pred regulatornim organima. Takođe bi trebalo propisati odredbe za mogućnost prenosa u slučaju kada je to neophodno zbog važnih razloga od javnog interesa propisanih pravom Unije ili pravom države članice ili kada se prenos obavlja iz registra uspostavljenog zakonom koji je namenjen za uvid javnosti ili lica koje imaju legitiman interes. U potonjem slučaju takav prenos ne sme da uključuje celokupne podatke o ličnosti ili čitave kategorije podataka sadržane u registru i, ako je registar namenjen za uvid lica koja imaju legitimni interes, prenos treba vršiti samo na zahtev tih lica ili, ako su ta lica korisnici, u potpunosti uzimajući u obzir interese i osnovna prava lica na koja se podaci odnose.

(112)

ta odstupanja posebno moraju da se primenjuju na prenose podataka koji se traže i neophodni su iz važnih razloga od javnog interesa, na primer u slučajevima međunarodne razmene podataka između organa za zaštitu konkurencije, poreskih i carinskih uprava, između finansijskih nadzornih organa, između službi nadležnih za pitanja socijalne zaštite ili za javno zdravlje, na primer u slučaju praćenja kontakata kod zaraznih bolesti ili da bi se smanjio i/ili eliminisao doping u sportu. Prenos podataka o ličnosti takođe treba smatrati zakonitim ako je neophodan za zaštitu interesa koji je od suštinskog značaja za vitalne interese lica na koje se podaci odnosa ili drugog lica, uključujući i fizički integritet ili život, ako lice na koje se podaci odnose nije u stanju da daje pristanak. Ako ne postoji odluka o adekvatnosti, pravo Unije ili pravo države članice može, iz važnih razloga od javnog interesa, izričito da odredi ograničenja za prenos određenih kategorija podataka trećoj zemlji ili međunarodnoj organizaciji. Države članice moraju da obaveste Komisiju o takvim odredbama. Svaki prenos podataka o ličnosti lica na koje se podaci odnose i koje fizički ili pravno nije u stanju da daje pristanak u međunarodnu humanitarnu organizaciju, u cilju izvršenja zadatka koji je obavezujući prema ženevskim konvencijama ili poštovanja međunarodnog humanitarnog prava koje se primenjuje u oružanim sukobima, može da se smatra neophodnim zbog važnog razloga od javnog interesa ili zbog toga što je od vitalnog interesa za lice na koje se podaci odnose.

(113)

prenosi koji ne mogu da se okarakterišu kao ponavljajući i koji se odnose samo na ograničen broj lica na koja se podaci odnose takođe mogu da budu mogući za potrebe uverljivih legitimnih interesa rukovaoca podataka, ako nad tim interesima ne preovlađuju interesi ili prava i slobode lice na koje se podaci odnose i ako je rukovalac podataka procenio sve okolnosti prenosa podataka. Rukovalac podataka mora posebno da obrati pažnju na prirodu podataka o ličnosti, svrhu i trajanje predložene radnje ili predloženih radnji obrade, kao i na situaciju u zemlji porekla, trećoj zemlji i zemlji konačnog odredišta i mora da obezbedi odgovarajuće mere zaštite za osnovna prava i slobode fizičkih lica u odnosu na obradu njihovih podataka o ličnosti. Takvi prenosi bi trebali da budu mogući samo u preostalim slučajevima kada se nikakvi drugi razlozi za prenos ne primenjuju. Za potrebe obrade u svrhe naučnog ili istorijskog istraživanja ili u statističke svrhe treba uzeti u obzir legitimna očekivanja društva za povećanjem znanja. Rukovalac podataka mora da obavesti nadzorni organ i lice na koje se podaci odnoseo prenosu.

(114)

u svakom slučaju, ako Komisija nije donela odluku o odgovarajućem nivou zaštite podataka u trećoj zemlji, rukovalac ili obrađivač moraju da koriste rešenja koja licima na koja se podaci odnose obezbeđuju ostvariva i efikasna prava u vezi sa obradom njihovih podataka u Uniji nakon što se ti podaci prenesu tako da i dalje uživaju zaštitu koju nude osnovna prava i mere zaštite.

(115)

neke treće zemlje usvajaju zakone, propise i druge pravne akte radi neposrednog regulisanja aktivnosti obrade fizičkih i pravnih lica pod nadležnošću država članica. To može da obuhvata presude sudova ili tribunala ili odluke upravnih organa u trećim zemljama kojima se od rukovaoca ili obrađivača zahteva prenos ili otkrivanje podataka o ličnosti i koje se ne zasnivaju na međunarodnom sporazumu, kao što je ugovor o uzajamnoj pravnoj pomoći, koji su na snazi između treće zemlje koja je podnela zahtev i Unije ili države članice. Primena tih zakona, propisa i drugih pravnih akata izvan teritorije može da predstavlja kršenje međunarodnog prava i može da ometa ostvarivanje zaštite fizičkih lica koja se ovom uredbom obezbeđuje u Uniji. Prenosi mogu da budu dozvoljeni samo ako su ispunjeni uslovi ove uredbe za prenos u treće zemlje. Ovo može, između ostalog, da bude slučaj kada je otkrivanje neophodno iz važnog razloga od javnog interesa priznatog pravom Unije ili pravom države članice koje se primenjuje na rukovaoca podataka.

(116)

kada se podaci o ličnosti kreću preko granica izvan Unije, može da se poveća rizik za mogućnost fizičkih lica da ostvare prava na zaštitu podataka, a posebno zaštitu od nezakonite upotrebe ili otkrivanja tih informacija. Nadzorni organi mogu istovremeno da otkriju da nisu u mogućnosti da rešavaju pritužbe ili vode istrage u vezi sa aktivnostima izvan svojih granica. Njihove napore da rade zajedno u prekograničnom kontekstu takođe mogu da ometaju nedovoljna ovlašćenja za sprečavanje ili otklanjanje posledica, nedosledni pravni režimi i praktične prepreke kao što je ograničavanje resursa. Zbog toga je potrebno podsticanje bliske saradnje između nadzornih organa za zaštitu podataka da bi im se pomoglo u razmeni informacija i sprovođenju istraga sa međunarodnim partnerima. Za potrebe razvoja mehanizama međunarodne saradnje za olakšavanje i obezbeđivanje međunarodne međusobne pomoći u sprovođenju zakonodavstva o zaštiti podataka o ličnosti, Komisija i nadzorni organi moraju da razmenjuju informacije i sarađuju na aktivnostima u vezi sa izvršavanjem svojih ovlašćenja sa nadležnim organima trećih zemalja, na osnovu reciprociteta i u skladu s ovom uredbom.

(117)

je osnivanje nadzornih organa u državama članicama, ovlašćenih da obavljaju zadatke i izvršavaju ovlašćenja potpuno nezavisno, ključna komponenta za zaštitu fizičkih lica u odnosu na obradu njihovih podataka o ličnosti. Države članice moraju da imaju mogućnost da osnuju više od jednog nadzornog organa da bi odrazile svoju ustavnu, organizacionu i administrativnu strukturu.

(118)

nezavisnost nadzornih organa ne treba da znači da na nadzorne organe ne smeju da se primenjuju mehanizmi kontrole ili praćenja u vezi sa finansijskim rashodima ili sudsko preispitivanje.

(119)

ako država članica osnuje nekoliko nadzornih organa, mora zakonom da uspostavi mehanizme za obezbeđivanje efikasnog učešća tih nadzornih organa u mehanizmu doslednosti. Ta država članica posebno mora da imenuje nadzorno organ koji funkcioniše kao jedinstvena kontakt tačka za efikasno učešće tih organa u mehanizmu, kako bi se obezbedila brza i neometana saradnja sa drugim nadzornim organima, Odborom i Komisijom.

(120)

svakom nadzornom organu moraju da budu obezbeđeni finansijski i ljudski resursi, prostorije i infrastruktura neophodni za efikasno izvršavanje zadataka, uključujući i zadatke u vezi sa uzajamnom pomoći i saradnjom s drugim nadzornim organima u Uniji. Svaki nadzorni organ mora da ima odvojeni, javni godišnji budžet koji može da bude deo ukupnog državnog ili nacionalnog budžeta.

(121)

opšti uslovi za člana ili članove nadzornog organa moraju da budu propisani zakonom u svakoj državi članici i moraju posebno da obezbeđuju da te članove u transparentnom postupku imenuje parlament, vlada ili šef države članice na osnovu predloga vlade, člana vlade, parlamenta ili doma parlamenta, ili nezavisno telo kojem je to povereno pravom države članice. U cilju obezbeđenja nezavisnosti nadzornog organa, član ili članovi moraju da postupaju s integritetom, da se suzdržavaju od svake radnje koja nije u skladu sa njihovim dužnostima i ne smeju u toku mandata da obavljaju bilo koji posao koji nije u skladu sa tom funkcijom, bez obzira na to da li ga obavljaju uz naknadu ili ne. Nadzorni organ mora da ima svoje osoblje, koje je izabrao nadzorni organ ili nezavisno telo osnovano pravom države članice, koje mora da bude pod isključivim vođstvom člana ili članova nadzornog organa.

(122)

svaki nadzorni organ mora da bude nadležan na teritoriji svoje države članice za izvršavanje ovlašćenja i obavljanje zadataka koji su mu povereni u skladu s ovom uredbom. To posebno mora da obuhvata obradu u kontekstu aktivnosti sedišta rukovaoca ili obrađivača na teritoriji njegove države članice, obradu podataka o ličnosti koju obavljaju organi vlasti ili privatna tela koja postupaju u javnom interesu, obradu koja utiče na lica na koje se podaci odnose na njegovoj teritoriji ili obradu koju vrši rukovalac ili obrađivač koji nema sedište u Uniji kada ciljna lica na koja se podaci odnose imaju boravište na njegovoj teritoriji. To treba da obuhvata rešavanje pritužbi koje je podnelo lice na koje se podaci odnose, vršenje istraga o primeni ove uredbe i povećanje svesti javnosti o rizicima, pravilima, merama zaštite i pravima u vezi sa obradom podataka o ličnosti.

(123)

nadzorni organi moraju da prate primenu odredaba u skladu s ovom uredbom i da doprinose njenoj doslednoj primeni u čitavoj Uniji da bi se fizička lica zaštitila u odnosu na obradu njihovih podataka o ličnosti i da bi se olakšao slobodan protok podataka o ličnosti na unutrašnjem tržištu. U tu svrhu nadzorni organi moraju da sarađuju međusobno i sa Komisijom, bez potrebe za bilo kakvim dogovorom između država članica o pružanju uzajamne pomoći ili o takvoj saradnji.

(124)

ako se obrada podataka o ličnosti vrši u kontekstu aktivnosti sedišta rukovaoca ili obrađivača u Uniji, a rukovalac ili obrađivač imaju sedište u više od jedne države članice ili ako obrada koja se vrši u kontekstu aktivnosti jedinog sedišta rukovaoca ili obrađivača u Uniji značajno utiče ili će verovatno značajno da utiče na lica na koja se podaci odnose u više od jedne države članice, nadzorni organ za glavno sedište rukovaoca ili obrađivača ili za jedino sedište rukovaoca ili obrađivača mora da postupa kao vodeći organ. Taj organ mora da sarađuje sa drugim zainteresovanim organima zato što rukovalac ili obrađivač ima sedište na teritoriji njihove države članice, zato što to značajno utiče na lica na koje se podaci odnose koja imaju boravište na njihovoj teritoriji ili zato što im je podneta pritužba. Takođe, ako je pritužbu podnelo lice na koje se podaci odnose koji nema boravište u toj državi članici, nadzorni organ kojem je takva pritužba podneta takođe treba da bude zainteresovani nadzorni organ. U okviru zadataka za izdavanje smernica o bilo kojem pitanju koje obuhvata primenu ove uredbe, Odbor mora da bude u mogućnosti da izda smernice posebno o kriterijumima koje treba uzeti u obzir kako bi se utvrdilo da li predmetna obrada značajno utiče na lica na koje se podaci odnose u više od jedne države članice i o tome šta predstavlja relevantan i obrazložen prigovor.

(125)

vodeći organ mora da bude nadležan za donošenje obavezujućih odluka o merama kojima se primenjuju ovlašćenja koja su mu dodeljena u skladu s ovom uredbom. U svojstvu vodećeg organa nadzorni organ treba u velikoj meri da uključuje i koordiniše zainteresovane nadzorne organe u postupku donošenja odluka. Ako se donese odluka da se pritužba lica na koje se podaci odnose odbije u celini ili delimično, tu odluku mora da donese nadzorni organ kojem je pritužba podneta.

(126)

o odluci moraju zajednički da se dogovore vodeći nadzorni organ i zainteresovani nadzorni organ i odluka mora da bude usmerena na glavno ili jedino sedište rukovaoca ili obrađivača i mora da bude obavezujuća za rukovaoca podataka i obrađivača. Rukovalac ili obrađivač mora da preduzme neophodne mere za obezbeđivanje usklađenosti sa ovom uredbom i sprovođenje odluke o kojoj je vodeći organ obavestio glavno sedište rukovaoca ili obrađivača u vezi sa aktivnostima obrade u Uniji.

(127)

svaki nadzorni organ koji ne postupa kao vodeći nadzorni organ treba da bude nadležan za rešavanje lokalnih slučajeva ako rukovalac ili obrađivač ima sedište u više od jedne države članice, ali se predmet konkretne obrade odnosi samo na obradu obavljenu u jednoj državi članici i uključuje samo lica na koja se podaci odnose u toj jednoj državi članici, na primer, ako se predmet odnosi na obradu podataka o ličnosti o zaposlenima u posebnom kontekstu zapošljavanja države članice. U takvim slučajevima nadzorni organ mora da obavesti vodeći nadzorni organ bez odlaganja o tom pitanju. Nakon što primi obaveštenje, vodeći nadzorni organ treba da odluči o da li će predmet rešavati u skladu sa odredbama o saradnji između vodećeg nadzornog organa i drugih zainteresovanih nadzornih organa ("jednošalterski mehanizam") ili treba na lokalom nivou da ga rešava nadzorni organ koji mu je uputio obaveštenje. Prilikom donošenja odluke o tome da li će rešavati predmet, vodeći nadzorni organ treba da uzme u obzir činjenicu da li rukovalac ili obrađivač ima sedište u državi članici nadzornog organa koji je uputio obaveštenje, kako bi se obezbedila efikasna primena odluke u odnosu na rukovaoca ili obrađivača. Kada vodeći nadzorni organ odluči da rešava predmet, nadzorni organ koji mu je uputio obaveštenje mora da ima mogućnost da dostavi nacrt odluke, koji vodeći nadzorni organ treba da uzme u obzir u najvećoj mogućoj meri prilikom izrade svog nacrta odluke u tom jednošalterskom mehanizmu.

(128)

pravila o vodećem nadzornom organu i jednošalterskom mehanizmu ne smeju da se primenjuju ako obradu vrše organi vlasti ili privatna tela u javnom interesu. U takvim slučajevima jedini nadzorni organ nadležan za izvršavanje ovlašćenja koja su mu dodeljena u skladu s ovom uredbom treba da bude nadzorni organ države članice u kojoj je organ vlasti ili privatno telo osnovano.

(129)

u cilju obezbeđivanja doslednog praćenja i primene ove uredbe u čitavoj Uniji, nadzorni organi moraju u svakoj državi članici da imaju iste zadatke i efikasna ovlašćenja, uključujući i ovlašćenja za vođenje istrage, korektivna ovlašćenja i sankcije i ovlašćenja za davanje odobrenja i savetodavna ovlašćenja, posebno u slučajevima pritužbi fizičkih lica, i ne dovodeći u pitanje ovlašćenja organa krivičnog gonjenja u skladu sa pravom države članice, za upozoravanje pravosudnih organa na kršenja ove uredbe i učestvovanje u pravnim postupcima. Takva ovlašćenja takođe moraju da obuhvataju ovlašćenje za izricanje privremenog ili konačnog ograničavanja obrade, uključujući i zabranu. Države članice mogu da odrede druge zadatke u vezi sa zaštitom podataka o ličnosti u skladu s ovom uredbom. Ovlašćenja nadzornih organa moraju da se izvršavaju u skladu sa odgovarajućim procesnim merama zaštite propisanim u pravu Unije i pravu države članice, nepristrano, pravično i u razumnom roku. Konkretno, svaka mera mora da bude primerena, neophodna i srazmerna u cilju obezbeđivanja usklađenosti sa ovom uredbom, uzimajući u obzir okolnosti svakog pojedinačnog slučaja, poštovanje prava svakog lica da bude saslušano pre preduzimanja bilo koje pojedinačne mere koja bi štetno uticala na njega i izbegavanje nepotrebnih troškova i preteranih neugodnosti za lica koja su u pitanju. Ovlašćenja za vođenje istrage u pogledu pristupa prostorijama moraju da se izvršavaju u skladu sa posebnim zahtevima procesnog prava države članice, kao što je zahtev za dobijanje prethodnog sudskog ovlašćenja. Svaka pravno obavezujuća mera nadzornog organa treba da bude u pisanom obliku, jasna i nedvosmislena, u njoj treba da se navede nadzorni organ koji je izdao meru, datum izdavanja mere, mora da ima potpis predsednika ili člana nadzornog organa kojeg je on ovlastio, u njoj moraju da se navedu razlozi za tu meru i mora da upućuje na pravo na delotvorno pravno sredstvo. To ne sme da isključuje dodatne zahteve u skladu sa procesnim pravom države članice. Usvajanje pravno obavezujuće odluke podrazumeva da to može da dovede do sudske provere u državi članici nadzornog organa koji je usvojio odluku.

(130)

ako nadzorni organ kojem je pritužba podneta nije vodeći nadzorni organ, vodeći nadzorni organ mora tesno da sarađuje sa nadzornim organom kojem je pritužba podneta u skladu sa odredbama o saradnji i doslednosti propisanim u ovoj uredbi. U takvim slučajevima vodeći nadzorni organ bi, prilikom preduzimanja mera koje proizvode pravne efekte, uključujući i izricanje upravnih novčanih kazni, posebno trebao da vodi računa o mišljenju nadzornog organa kojem je pritužba podneta i koji treba da ostane nadležan za vršenje istrage na teritoriji svoje države članice u saradnji sa nadležnim nadzornim organom.

(131)

ako drugi nadzorni organ treba da postupa kao vodeći nadzorni organ za aktivnosti obrade rukovaoca ili obrađivača, ali se konkretan predmet pritužbe ili moguća povreda odnosi samo na aktivnosti obrade rukovaoca ili obrađivača u državi članici u kojoj je podneta pritužba ili otkrivena moguća povreda i predmet ne utiče značajno ili verovatno neće značajno uticati na lica na koja se podaci odnose u drugim državama članicama, nadzorni organ koje primi pritužbu ili otkrije situacije koje uključuju moguća kršenja ove uredbe ili je o njima na drugi način obavešten treba da teži sporazumnom rešenju sa rukovaocem podataka i, ako se to pokaže kao neuspešno, primeni sva svoja ovlašćenja. To treba da obuhvata: posebnu obradu koja se vrši na teritoriji države članice nadzornog organa ili u vezi sa licima na koje se podaci odnose na teritoriji te države članice; obradu koja se vrši u kontekstu nuđenja robe ili usluga posebno namenjenih licima na koja se podaci odnose na teritoriji države članice nadzornog organa; ili obradu koja treba da se proceni uzimajući u obzir relevantne zakonske obaveze u skladu sa pravom države članice.

(132)

aktivnosti nadzornih organa za povećanje svesti javnosti moraju da obuhvataju posebne mere usmerene na rukovaoce podataka i obrađivače, uključujući i mikro, mala i srednja preduzeća, kao i fizička lica, posebno u kontekstu obrazovanja.

(133)

nadzorni organi treba da pomažu jedni drugima u izvršavanju zadataka i da pružaju uzajamnu pomoć radi obezbeđivanja dosledne primene i sprovođenja ove uredbe na unutrašnjem tržištu. Nadzorni organ koje zatraži uzajamnu pomoć može da donese privremenu meru ako ne primi odgovor na zahtev za uzajamnu pomoć u roku od jednog meseca od prijema tog zahteva od strane drugog nadzornog organa.

(134)

svaki nadzorni organ treba prema potrebi da učestvuje u zajedničkim operacijama sa drugim nadzornim organima. Nadzorni organ koje primi zahtev mora da ima obavezu da odgovori na zahtev u određenom roku.

(135)

u cilju obezbeđivanja dosledne primene ove uredbe u čitavoj Uniji treba uspostaviti mehanizam doslednosti za saradnju između nadzornih organa. Taj mehanizam posebno mora da se primenjuje ako nadzorni organ namerava da donese meru kojom se proizvode pravni efekti u vezi sa radnjama obrade koji značajno utiču na veliki broj lica na koja se podaci odnose u više država članica. Takođe treba da se primenjuje kada bilo koji zainteresovani nadzorni organ ili Komisija traži da se takva pitanja rešavaju mehanizmom doslednosti. Taj mehanizam ne sme da dovodi u pitanje bilo koje mere koje Komisija može da preduzme za izvršavanje svojih ovlašćenja prema Ugovorima.

(136)

prilikom primene mehanizma doslednosti, Odbor treba u određenom vremenskom roku da da mišljenje, ako većina njegovih članova tako odluči ili ako to zatraži bilo koji zainteresovani nadzorni organ ili Komisija. Odbor takođe treba da bude ovlašćen za donošenje pravno obavezujućih odluka u slučaju sporova između nadzornih organa. U tu svrhu treba da donese, u načelu dvotrećinskom većinom svojih članova, pravno obavezujuće odluke u jasno određenim slučajevima u kojima postoje suprotstavljeni stavovi među nadzornim organima, posebno u mehanizmu za saradnju između vodećeg nadzornog organa i zainteresovanog nadzornog organa o meritumu predmeta, a posebno o tome da li je došlo do kršenja ove uredbe.

(137)

može da dođe do hitne potrebe za delovanjem kako bi se zaštitila prava i slobode lica na koja se podaci odnose, a posebno ako postoji opasnost da bi obezbeđivanje prava lica na koje se podaci odnose moglo u značajnoj meri da se ometa. Nadzorni organ zbog toga mora da bude u mogućnosti da donese opravdane privremene mere na svojoj teritoriji sa utvrđenim rokom važenja koje ne sme da bude duži od tri meseca.

(138)

bi primena takvog mehanizma trebalo da bude uslov za zakonitost mere nadzornog tela koja treba da proizvede pravne efekte u slučajevima kada je njena primena obavezna. U ostalim slučajevima od prekograničnog značaja treba primeniti mehanizam za saradnju između vodećeg nadzornog organa i zainteresovanih nadzornih organa i među zainteresovanim nadzornim organima bi mogla da se daje uzajamna pomoć i da se obavljaju zajedničke operacije na bilateralnoj ili multilateralnoj osnovi, bez aktiviranja mehanizma doslednosti.

(139)

u cilju promovisanja dosledne primena ove uredbe, Odbor treba da bude osnovan kao nezavisno telo Unije. Kako bi ispunio svoje ciljeve, Odbor mora da ima status pravnog lica. Odbor treba da predstavlja njegov predsednik. On treba da zameni Radnu grupu za zaštitu lica u odnosu na obradu podataka o ličnosti osnovanu Direktivom 95/46/EZ. Treba da se sastoji od predsednika nadzornog organa svake države članice i Evropskog supervizora za zaštitu podataka ili njihovih zamenika. Komisija treba da učestvuje u aktivnostima Odbora bez prava glasa, a Evropski supervizor za zaštitu podataka treba da ima posebno pravo glasa. Odbor treba da doprinese doslednoj primeni ove uredbe u čitavoj Uniji, između ostalog putem savetovanja Komisije, posebno o nivou zaštite u trećim zemljama ili međunarodnim organizacijama, i podsticanjem saradnje nadzornih organa u čitavoj Uniji. Odbor treba da postupa nezavisnoprilikom izvršavanja svojih zadataka.

(140)

Odboru treba da pomaže sekretarijat koji obezbeđuje Evropski supervizor za zaštitu podataka. Osoblje Evropskog supervizora za zaštitu podataka koje učestvuje izvršavanju zadataka poverenih Odboru na osnovu ove uredbe treba da izvršava svoje zadatke isključivo prema uputstvima predsednika Odbora i da odgovara predsedniku Odbora.

(141)

svako lice na koje se podaci odnose mora da ima pravo da podnese pritužbu jednom nadzornom organu, posebno u državi članici u kojoj ima uobičajeno boravište, i pravo na delotvorno pravno sredstvo u skladu sa članom 47. Povelje ako lice na koje se podaci odnose smatra da su prekršena njegova prava iz ove uredbe ili ako nadzorni organ ne postupi po pritužbi, delimično ili u celini odbije ili odbaci pritužbu ili ne preduzima nikakve radnje kada su takve radnje neophodne za zaštitu prava lica na koje se podaci odnose. Nakon pritužbe treba sprovesti istragu, uz mogućnost sudskog preispitivanja, ako je to primereno u konkretnom slučaju. Nadzorni organ mora u prihvatljivom roku da obavesti lice na koje se podaci odnose o napretku i ishodu pritužbe. Ako slučaj zahteva dodatnu istragu ili koordinaciju sa drugim nadzornim organom, licu na koje se podaci odnose treba dati privremene informacije. U cilju olakšavanja podnošenja pritužbi, svaki nadzorni organ treba da preduzima mere kao što je obezbeđivanje obrasca za podnošenje pritužbe koji takođe može da se popuni i elektronski, ne isključujući ostala sredstva komunikacije.

(142)

ako lice na koje se podaci odnose smatra da su prekršena njegova prava iz ove uredbe, mora da ima pravo da ovlasti neprofitno telo, organizaciju ili udruženje koje je na odgovarajući način osnovano u skladu s pravom države članice, čija svrha osnivanja je ostvarivanje ciljeva od javnog interesa i koje je aktivno u oblasti zaštite prava i sloboda lica na koja se podaci odnose u vezi sa zaštitom podataka o ličnosti, da u njegovo ime nadzornom organu podnese pritužbu, da ostvari pravo na pravno sredstvo u ime lica na koja se podaci odnose ili da ostvari pravo na naknadu u ime lica na koja se podaci odnose ako je to predviđeno pravom države članice. Država članica može da propiše da takvo telo, organizacija ili udruženje ima pravo, nezavisno od ovlašćenja lica na koje se podaci odnose, da podnese pritužbu u toj državi članici i da ima pravo na delotvorno pravno sredstvo ako ima razloga da smatra da je do kršenja prava lica na koje se podaci odnose došlo zbog obrade podataka o ličnosti kojom se krši ova uredba. Tom telu, organizaciji ili udruženju ne sme da bude dozvoljeno da traži naknadu u ime lica na koje se podaci odnose nezavisno od ovlašćenja lica na koje se podaci odnose.

(143)

svako fizičko ili pravno lice ima pravo da pokrene postupak za poništavanje odluka Odbora pred Sudom pravde u skladu s uslovima iz člana 263. UFEU. Kao primaoci takvih odluka, zainteresovani nadzorni organi koji žele da ih ospore moraju da pokrenu postupak u roku od dva meseca od prijema obaveštenja o njima, u skladu sa članom 263. UFEU. Kada se odluke Odbora neposredno i pojedinačno odnose na rukovaoca podataka, obrađivača ili podnosioca pritužbe, to lice može da pokrene postupak za poništenje tih odluka u roku od dva meseca od njihove objave na veb sajtu Odbora, u skladu sa članom 263. UFEU. Ne dovodeći u pitanje ovo pravo iz člana 263. UFEU, svako fizičko ili pravno lice mora da ima delotvorno pravno sredstvo pred nadležnim nacionalnim sudom protiv odluke nadzornog organa koja proizvodi pravne efekte prema tom licu. Takva odluka se posebno odnosi na vršenje istražnih, korektivnih ovlašćenja i ovlašćenja za odobravanje nadzornog organa ili odbacivanje ili odbijanje pritužbi. Međutim, pravo na delotvorno pravno sredstvo ne obuhvata mere nadzornih organa koje nisu pravno obavezujuće, kao što su mišljenja ili saveti koje je dao nadzorni organ. Postupci protiv nadzornog organa moraju da se pokrenu pred sudovima države članice u kojoj nadzorni organ ima sedište i moraju da se vode u skladu sa procesnim pravom te države članice. Ti sudovi moraju da imaju punu nadležnost, koja treba da obuhvata nadležnost za ispitivanje svih činjeničnih i pravnih pitanja od značaja za spor pokrenut pred njima.

Ako je nadzorni organ odbio ili odbaciopritužbu, pritužilac može da pokrene postupak pred sudovima iste države članice. U kontekstu pravnih lekova povezanih sa primenom ove uredbe, nacionalni sudovi koji smatraju da je odluka o određenom pitanju neophodna za donošenje presude, mogu, odnosno u slučaju iz člana 267. UFEU, moraju, da zatraže od Suda pravde da donese preliminarno rešenje o tumačenju prava Unije, uključujući i ovu uredbu. Pored toga, ako se odluka nadzornog organa o sprovođenju odluke Odbora osporava pred nacionalnim sudom i dovodi se u pitanje valjanost odluke Odbora, taj nacionalni sud nema ovlašćenje da proglasi odluku Odbora nevažećom, već kad odluku smatra nevažećom pitanje o valjanosti mora da uputi Sudu pravde u skladu sa članom 267. UFEU kako ga tumači Sud pravde. Međutim, nacionalni sud ne može da uputi pitanje o valjanosti odluke Odbora na zahtev fizičkog ili pravnog lica koje je imalo mogućnost da pokrene postupak za poništenje te odluke, posebno ako se odluka neposredno i pojedinačno odnosila na njega, ali to nije učinilo u roku koji je određen u članu 263. UFEU.

(144)

ako sud pred kojim se vodi postupak protiv odluke nadzornog organa ima razloga da veruje da se postupak u vezi sa istom obradom, kao što je isti predmet u smislu aktivnosti obrade od strane istog rukovaoca ili obrađivača, ili istog razloga za pokretanje postupka, vodi pred nadležnim sudom u drugoj državi članici, treba da se obrati tom sudu kako bi potvrdio postojanje takvih povezanih postupaka. Ako se povezani postupci vode pred sudom druge države članice, svaki sud osim suda pred kojim je prvo pokrenut postupak može da obustavi postupak ili može, na zahtev jedne od strana, da se proglasi nenadležnim u korist suda pred kojim je prvo pokrenut postupak ako je taj sud nadležan za predmetne postupke, a njegovo pravo omogućava konsolidaciju takvih povezanih postupaka. Smatra se da su postupci povezani ako su toliko međusobno povezani da je korisno njihovo zajedničko saslušanje i zajedničko odlučivanje o njima kako bi se izbegao rizik od protivrečnih presuda nastalih u odvojenim postupcima.

(145)

za postupke koji se vode protiv rukovaoca ili obrađivača, tužilac mora da ima mogućnost da pokrene spor pred sudovima država članica u kojima rukovalac ili obrađivač ima sedište ili u kojima lice na koje se podaci odnose ima boravište, osim u slučaju kada je rukovalac podataka organ vlasti koje postupa u izvršavanju svojih javnih ovlašćenja.

(146)

rukovalac ili obrađivač mora da nadoknadi svaku štetu koju lice može da pretrpi zbog obrade kojom se krši ova uredba. Rukovalac ili obrađivač mora da bude izuzet od odgovornosti ako dokaže da ni na koji način nije odgovoran za štetu. Pojam štete treba široko tumačiti s obzirom na sudsku praksu Suda pravde tako da se u potpunosti odražavaju ciljevi ove uredbe. Time se ne dovode u pitanje zahtevi za naknadu štete nastale zbog kršenja drugih pravila prava Unije ili prava države članice. Obrada kojom se krši ova uredba takođe uključuje obradu kojom se krše delegirani akti i akti za sprovođenje doneti u skladu s ovom uredbom i pravom države članice kojim se propisuju pravila ove uredbe. Lica na koja se podaci odnose moraju da dobiju punu i efikasnu naknadu za štetu koju su pretrpela. Ako su rukovaoci ili obrađivači uključeni u istu obradu, svaki rukovalac ili obrađivač mora da se smatra odgovornim za celokupnu štetu. Međutim, ako su povezani u isti sudski postupak, u skladu sa pravom države članice, naknada može da se raspodeli u skladu sa odgovornošću svakog rukovaoca ili obrađivača za štetu prouzrokovanu obradom, pod uslovom da se obezbedi puna i efikasna naknada za lice na koje se podaci odnose koje je pretrpelo štetu. Svaki rukovalac ili obrađivač koji je platio punu naknadu može naknadno da pokrene postupak za regres protiv drugih rukovalaca ili obrađivača uključenih u istu obradu.

(147)

ako su posebna pravila o nadležnosti sadržana u ovoj uredbi, posebno u vezi sa postupcima kojima se traži pravni lek, uključujući i naknadu, od rukovaoca ili obrađivača, opšta pravila o nadležnosti kao što su pravila iz Uredbe (EU) br. 1215/2012 Evropskog parlamenta i Saveta (13) ne smeju da dovode u pitanje primenu takvih posebnih pravila.

(148)

u cilju jačanja primene pravila ove uredbe, za svako kršenje ove uredbe treba propisati sankcije, uključujući i upravne novčane kazne, pored odgovarajućih mera koje propisuje nadzorni organ u skladu s ovom uredbom ili umesto njih. U slučaju manjeg kršenja ili ako bi novčana kazna koja bi verovatno bila izrečena predstavljala nesrazmerno opterećenje za fizičko lice, umesto novčane kazne može da se uputi upozorenje. Međutim, treba uzeti u obzir prirodu, ozbiljnost i trajanje kršenja, postojanje elemenata namere kršenja, mere preduzete za ublažavanje pretrpljene štete, stepen odgovornosti ili sva relevantna prethodna kršenja, način na koji je nadzorni organ saznao za kršenje, poštovanje mera naloženih protiv rukovaoca ili obrađivača, poštovanje kodeksa ponašanja i druge otežavajuće ili olakšavajuće faktore. Na izricanje sankcija, uključujući i upravne novčane kazne, treba da se primenjuju odgovarajuće procesne mere zaštite u skladu sa opštim principima prava Unije i Povelje, uključujući i efikasnu sudsku zaštitu i pravilno postupanje.

(149)

države članice moraju da imaju mogućnost da propišu pravila o krivičnim sankcijama za kršenja ove uredbe, uključujući i kršenja nacionalnih pravila usvojenih na osnovu ove uredbe i u okvirima ove uredbe. Te krivične sankcije takođe mogu da omogućavaju oduzimanje dobiti stečene kršenjem ove uredbe. Međutim, izricanje krivičnih sankcija za kršenje takvih nacionalnih pravila i upravnih sankcija ne sme da dovede do kršenja načela ne bis in idem, kako ga tumači Sud pravde.

(150)

u cilju ojačavanja i usklađivanja administrativnih sankcija za kršenje ove uredbe, svaki nadzorni organ mora da ima ovlašćenje da izriče administrativne novčane kazne. U ovoj uredbi treba navesti kršenja i gornja granica i kriterijumi za određivanje povezanih administrativnih novčanih kazni, što u svakom pojedinačnom slučaju treba da odredi nadležni nadzorni organ, uzimajući u obzir sve relevantne okolnosti konkretne situacije, uzimajući u obzir posebno prirodu, težinu i trajanje kršenja i njegove posledice i mere preduzete za obezbeđivanje poštovanja obaveza iz ove uredbe i sprečavanje ili ublažavanje posledica kršenja. Kada se administrativne kazne izriču društvu, pojam društva treba tumačiti u skladu sa definicijom iz člana 101. i 102. UFEU za te svrhe. Ako su administrativne novčane kazne izrečene licima koja nisu društvo, nadzorni organ prilikom razmatranja odgovarajućeg iznosa novčane kazne treba da uzme u obzir opšti nivo prihoda u državi članici, kao i finansijsko stanje lica. Takođe može da se primeni mehanizam doslednosti radi promovisanja dosledne primene administrativnih novčanih kazni. Države članice moraju da odrede da li i u kojoj meri administrativne novčane kazne treba da se primenjuju na organe vlasti. Izricanje administrativne novčane kazne ili davanje upozorenja ne utiče na primenu drugih ovlašćenja nadzornih tela ili drugih sankcija na osnovu ove uredbe.

(151)

pravni sistemi Danske i Estonije ne dozvoljavaju administrativne novčane kazne predviđene ovom uredbom. Pravila o upravnim novčanim kaznama mogu da se primenjuju tako da u Danskoj nadležni nacionalni sudovi izriču novčanu kaznu kao krivičnu sankciju, a u Estoniji nadzorni organ izriče novčanu kaznu u okviru prekršajnog postupka, pod uslovom da takva primena pravila u tim državama članicama ima isti efekat kao i administrativne novčane kazne koje izriču nadzorni organi. Zbog toga nadležni nacionalni sudovi moraju da uzmu u obzir preporuku nadzornog organa koji je pokrenuo postupak za izricanje novčane kazne. U svakom slučaju, izrečene novčane kazne moraju da budu delotvorne, srazmerne i odvraćajuće.

(152)

ako ovom uredbom nisu usklađene administrativne novčane kazne ili ako je to potrebno u drugim slučajevima, na primer u slučajevima ozbiljnih kršenja ove uredbe, države članice moraju da uvedu sistem kojim se predviđaju delotvorne, srazmerne i odvraćajuće sankcije. Priroda tih sankcija, krivičnih ili upravnih, treba da bude određena pravom države članice.

(153)

pravo država članica treba da uskladi pravila kojima se uređuje sloboda izražavanja i informisanja, uključujući i novinarsko, akademsko, umetničko i/ili književno izražavanje, sa pravom na zaštitu podataka o ličnosti u skladu s ovom uredbom. Na obradu podataka o ličnosti isključivo u novinarske svrhe ili u svrhe akademskog, umetničkog ili književnog izražavanja treba primenjivati odstupanja ili izuzeća od određenih odredaba ove uredbe ako je to neophodno radi usklađivanja prava na zaštitu podataka o ličnosti sa pravom na slobodu izražavanja i informisanja, kako je utvrđeno u članu 11. Povelje. To bi posebno trebalo da se primenjuje na obradu podataka o ličnosti u audio-vizuelnoj oblasti i u novinskim i medijskim arhivima. Zbog toga države članice moraju da donesu zakonodavne mere kojima se propisuju izuzeci i odstupanja neophodni radi uravnotežavanja tih osnovnih prava. Države članice moraju da usvoje takve izuzetke i odstupanja u vezi sa opštim načelima, pravima lica na koje se podaci odnose, rukovaocem podataka i obrađivačem, prenosom podataka o ličnosti u treće zemlje ili međunarodne organizacije, nezavisnim nadzornim organima, saradnjom i usklađenošću i posebnim slučajevima obrade podataka. Ako se ti izuzeci i odstupanja razlikuju od jedne države članice do druge, treba da se primenjuje pravo države članice koje se primenjuje na rukovaoca podataka. Da bi se uzeo u obzir značaj prava na slobodu izražavanja u svakom demokratskom društvu, potrebno je široko tumačiti pojmove u vezi sa tom slobodom, kao što je novinarstvo.

(154)

ova uredba dozvoljava uzimanje u obzir načela javnog pristupa službenim dokumentima prilikom njene primene. Može da se smatra da je javni pristup službenim dokumentima u javnom interesu. Organ vlasti ili državno telo mora da ima mogućnost da javno otkrije podatke o ličnosti iz dokumenata koje takav organ vlasti ili državno telo poseduje ako je to otkrivanje predviđeno pravom Unije ili pravom države članice koje se primenjuje na taj organ vlasti ili državno telo. Takvim propisima treba da se uskladi javni pristup službenim dokumentima i ponovna upotreba informacija iz javnog sektora sa pravom na zaštitu podataka o ličnosti i zbog toga mogu da propisuju neophodno usklađivanje sa pravom na zaštitu podataka o ličnosti u skladu s ovom uredbom. Upućivanje na organe vlasti i državna tela u tom kontekstu treba da obuhvata sve organe ili druga tela obuhvaćena pravom države članice o javnom pristupu dokumentima. Direktiva 2003/98/EZ Evropskog parlamenta i Saveta (14) ne menja i ni na koji način ne utiče na nivo zaštite fizičkih lica u odnosu na obradu podataka o ličnosti na osnovu odredaba prava Unije i prava države članice, a posebno ne menja obaveze i prava propisane u ovoj uredbi. Ta direktiva posebno ne sme da se primenjuje na dokumente kojima je pristup izuzet ili ograničen režimima pristupa radi zaštite podataka o ličnosti i na delove dokumenata kojima se može pristupiti pomoću tih režima, a koji sadrže podatke o ličnosti čija je ponovna upotreba zakonom određena kao nekompatibilna sa pravom o zaštiti fizičkih lica u odnosu na obradu podataka o ličnosti.

(155)

pravo države članice ili kolektivni ugovori, uključujući i "ugovore o radovima", mogu da propisuju posebna pravila za obradu podataka o ličnosti zaposlenih u kontekstu zaposlenja, posebno za uslove pod kojima se podaci o ličnosti u kontekstu zaposlenja mogu obrađivati na osnovu pristanka zaposlenog, u svrhe zapošljavanja, izvršavanja ugovora o radu, uključujući i ispunjavanje obaveza propisanih zakonom ili kolektivnim ugovorima, za potrebe upravljanja radom i planiranja i organizacije rada, jednakosti i različitosti na radnom mestu, zdravlja i bezbednosti na radu i za potrebe ostvarivanja i uživanja prava i koristi iz radnog odnosa, na pojedinačnoj ili kolektivnoj osnovi, i za potrebe prekida radnog odnosa.

(156)

na obradu podataka o ličnosti u svrhe arhiviranja u javnom interesu, u svrhe naučnog ili istorijskog istraživanja ili u statističke svrhe moraju da se primenjuju odgovarajuće mere zaštite za prava i slobode lica na koje se podaci odnose u skladu s ovom uredbom. Te mere zaštite moraju da obezbede postojanje tehničkih i organizacionih mera da bi se posebno obezbedilo načelo korišćenja najmanje moguće količine podataka. Dalja obrada podataka o ličnosti u svrhe arhiviranja u javnom interesu, u svrhe naučnog ili istorijskog istraživanja ili u statističke svrhe može da se vrši kada rukovalac podataka proceni izvodljivost ispunjavanja tih svrha obradom podataka koji ne omogućavaju ili više ne omogućavaju identifikaciju lica na koja se podaci odnose, pod uslovom da postoje odgovarajuće mere zaštite (kao što je na primer pseudonimizacija podataka). Države članice moraju da obezbede odgovarajuće mere zaštite za obradu podataka o ličnosti u svrhe arhiviranja u javnom interesu, u svrhe naučnog ili istorijskog istraživanja ili u statističke svrhe. Države članice moraju da budu ovlašćene da pod posebnim uslovima i uz primenu odgovarajućih mera zaštite za lica na koja se podaci odnose propišu specifikacije i odstupanja u pogledu zahteva za informisanje i prava na ispravku, na brisanje, na zaborav, na ograničavanje obrade, na prenosivost podataka i na prigovor prilikom obrade podataka o ličnosti u svrhe arhiviranja u javnom interesu, u svrhe naučnog ili istorijskog istraživanja ili u statističke svrhe. Ti uslovi i mere zaštite mogu da podrazumevaju posebne postupke za ostvarivanje prava lica na koja se podaci odnose ako je to primereno s obzirom na svrhu konkretne obrade, uz tehničke i organizacione mere usmerene na svođenje obrade podataka o ličnosti na najmanju moguću meru kako bi se poštovala načela srazmernosti i neophodnosti. Obrada podataka o ličnosti u naučne svrhe takođe mora da bude u skladu sa drugim relevantnim zakonodavstvom, kao što je zakonodavstvo o kliničkim ispitivanjima.

(157)

povezivanjem informacija iz registara istraživači mogu da steknu novo znanje velike vrednosti u vezi sa rasprostranjenim zdravstvenim problemima kao što su kardio-vaskularne bolesti, rak i depresija. Na osnovu registara rezultati istraživanja mogu da se unaprede jer se zasnivaju na većem broju stanovnika. U okviru društvenih nauka, istraživanje na osnovu registara omogućava istraživačima da steknu ključno znanje o dugoročnoj povezanosti brojnih društvenih uslova, kao što su nezaposlenost i obrazovanje sa drugim uslovima života. Rezultati istraživanja dobijeni putem registara obezbeđuju pouzdano, visokokvalitetno znanje koje može da obezbedi osnovu za formulisanje i sprovođenje politike zasnovane na znanju, da poboljša kvalitet života velikog broja ljudi i da unapredi efikasnost društvenih usluga. U cilju olakšavanja naučnog istraživanja, podaci o ličnosti mogu da se obrađuju za potrebe naučnog istraživanja, ako se primenjuju odgovarajući uslovi i mere zaštite propisane u pravu Unije ili pravu države članice.

(158)

ako se podaci o ličnosti obrađuju u svrhe arhiviranja, ova uredba takođe treba da se primenjuje na takvu obradu, imajući u vidu da ova uredba ne treba da se primenjuje na preminula lica. Organi vlasti ili javna ili privatna tela koja poseduju evidencije od javnog interesa moraju da budu službe koje, na osnovu prava Unije ili prava države članice, imaju zakonsku obavezu da prikupljaju, čuvaju, ocenjuju, uređuju, opisuju, saopštavaju, podstiču, šire i pružaju uvid u evidencije od trajne vrednosti za opšti javni interes. Države članice takođe moraju da budu ovlašćene da predvide dalju obradu podataka o ličnosti u svrhe arhiviranja, na primer u cilju pružanja posebnih informacija u vezi sa političkim ponašanjem za vreme bivših totalitarnih državnih režima, genocida, zločina protiv čovečnosti, a posebno holokausta, ili ratnih zločina.

(159)

ako se podaci o ličnosti obrađuju u svrhe naučnog istraživanja, ova uredba takođe treba da se primenjuje na tu obradu. Za potrebe ove uredbe, obrada podataka o ličnosti u svrhe naučnog istraživanja treba široko da se tumači, uključujući na primer tehnološki razvoj i demonstrativne aktivnosti, osnovno istraživanje, primenjeno istraživanje i istraživanje koje se finansira iz privatnih izvora. Pored toga, treba da uzima u obzir cilj Unije iz člana 179, stav 1. UFEU u vezi sa uspostavljanjem evropskog istraživačkog prostora. Svrhe naučnog istraživanja takođe moraju da obuhvataju studije koje se obavljaju u javnom interesu u oblasti javnog zdravlja. U cilju poštovanja posebnosti obrade podataka o ličnosti u svrhe naučnog istraživanja, treba primenjivati posebne uslove, posebno u vezi sa objavljivanjem ili drugim načinima otkrivanja podataka o ličnosti u kontekstu svrha naučnog istraživanja. Ako su zbog rezultata naučnog istraživanja, posebno u kontekstu zdravlja, potrebne dodatne mere u interesu lica na koje se podaci odnose, opšta pravila ove uredbe se primenjuju u vezi sa tim merama.

(160)

ako se podaci o ličnosti obrađuju u svrhe istorijskog istraživanja, ova uredba takođe treba da se primenjuje na tu obradu. To takođe treba da obuhvata istorijsko istraživanje i istraživanje u genealoške svrhe, imajući u vidu da ova uredba ne treba da se primenjuje na preminula lica.

(161)

za potrebe pristanka za učešće u aktivnostima naučnog istraživanja u kliničkim ispitivanjima moraju da se primenjuju relevantne odredbe Uredbe (EU) br. 536/2014 Evropskog parlamenta i Saveta (15).

(162)

ako se podaci o ličnosti obrađuju u statističke svrhe, ova uredba takođe treba da se primenjuje na tu obradu. Pravo Unije ili pravo država članica treba, u okvirima ove uredbe, da odredi statistički sadržaj, kontrolu pristupa, specifikacije za obradu podataka o ličnosti u statističke svrhe i primerene mere za zaštitu prava i sloboda lica na koje se podaci odnose i za obezbeđivanje statističke poverljivosti. Statističke svrhe su svako prikupljanje i obrada podataka o ličnosti neophodnih za statistička istraživanja ili za stvaranje statističkih rezultata. Ti statistički rezultati mogu dalje da se koriste u različite svrhe, uključujući i naučno istraživanje. Statistička svrha podrazumeva da rezultat obrade u statističke svrhe nisu podaci o ličnosti, već agregirani podaci i da se taj rezultat ili podaci ne koriste kao podrška za mere ili odluke u vezi sa konkretnim fizičkim licem.

(163)

poverljive informacije koje statistička tela Unije i nacionalni statistički organi prikupljaju za sastavljanje službenih evropskih i nacionalnih statističkih podataka moraju da budu zaštićene. Evropske statističke podatke treba razvijati, izrađivati i širiti u skladu sa statističkim načelima propisanim u članu 338, stav 2. UFEU, dok nacionalni statistički podaci moraju da budu i u skladu sa pravom države članice. Uredba (EZ) br. 223/2009 Evropskog parlamenta i Saveta (16) propisuje dalje pojedinosti o statističkoj poverljivosti evropskih statističkih podataka.

(164)

što se tiče ovlašćenja nadzornih organa za dobijanje pristupa podacima o ličnosti i prostorijama od rukovaoca ili obrađivača, države članice mogu zakonom, u okvirima ove uredbe, da usvoje posebna pravila radi zaštite profesionalnih ili drugih odgovarajućih obaveza čuvanja tajnosti podataka, ako je to neophodno zbog usklađivanja prava na zaštitu podataka o ličnosti sa obavezom čuvanja profesionalne tajne. To ne dovodi u pitanje postojeće obaveze država članica da usvoje pravila o čuvanju profesionalne tajne kada se to zahteva pravom Unije.

(165)

ova uredba poštuje i ne dovodi u pitanje status crkava i verskih udruženja ili zajednica u državama članicama prema postojećem ustavnom pravu, kako je priznato članom 17. UFEU.

(166)

kako bi se ostvarili ciljevi ove uredbe, odnosno zaštitila osnovna prava i slobode fizičkih lica, a posebno njihovo pravo na zaštitu podataka o ličnosti i obezbedilo slobodno kretanje podataka o ličnosti unutar Unije, Komisiji treba delegirati ovlašćenje za donošenje akata u skladu s članom 290. UFEU. Konkretno, treba usvojiti delegirane akte o kriterijumima i zahtevima za mehanizme sertifikacije, informacijama koje se prikazuju pomoću standardizovanih ikona i postupcima za utvrđivanje takvih ikona. Posebno je važno da Komisija obavi odgovarajuće konsultacije prilikom pripremnog rada, uključujući i konsultacije na ekspertskom nivou. Prilikom pripreme i izrade delegiranih akata, Komisija mora da obezbedi da se relevantni dokumenti Evropskom parlamentu i Savetu šalju istovremeno, blagovremeno i primereno.

(167)

u cilju obezbeđivanja jedinstvenih uslova za sprovođenje ove uredbe, Komisiji treba dodeliti ovlašćenja za sprovođenje kada je to predviđeno ovom uredbom. Ta ovlašćenja moraju da se izvršavaju u skladu sa Uredbom (EU) br. 182/2011. U tom kontekstu, Komisija mora da razmotri posebne mere za mikro, mala i srednja preduzeća.

(168)

postupak ispitivanja treba koristiti za donošenje akata za sprovođenje o standardnim ugovornim klauzulama između rukovaoca podataka i obrađivača i između obrađivača; kodeksima ponašanja; tehničkim standardima i mehanizmima sertifikacije; primerenom nivou zaštite koji obezbeđuje treća zemlja, teritorija ili određeni sektor u toj trećoj zemlji ili međunarodna organizacija; standardnim klauzulama o zaštiti; formatima i postupcima za razmenu informacija elektronskim putem između rukovalaca podataka, obrađivača i nadzornih organa za obavezujuća korporativna pravila; uzajamnoj pomoći; i rešenjima za razmenu informacija elektronskim putem između nadzornih organa i između nadzornih organa i Odbora.

(169)

Komisija treba da usvoji akte za sprovođenje koji se odmah primenjuju kada se na osnovu raspoloživih dokaza otkrije da treća zemlja, teritorija ili određeni sektor u toj trećoj zemlji ili međunarodna organizacija ne obezbeđuje odgovarajući nivo zaštite, a krajnje hitni razlozito zahtevaju.

(170)

s obzirom na to da cilj ove uredbe, odnosno obezbeđivanje istog nivoa zaštite fizičkih lica i slobodnog protoka podataka o ličnosti širom Unije, države članice ne mogu da ostvare u dovoljnoj meri, već zbog obuhvata ili efekata radnji može bolje da se ostvari na nivou Unije, Unija može da usvoji mere u skladu sa načelom supsidijarnosti utvrđenom u članu 5. Ugovora o Evropskoj uniji (UEU). U skladu sa načelom srazmernosti utvrđenom u tom članu, ova uredba ne prevazilazi ono što je neophodno za ostvarivanje tih ciljeva.

(171)

Direktiva 95/46/EZ treba ovom uredbom da se stavi van snage. Obrade koje su već u toku na dan početka primene ove uredbe treba uskladiti sa ovom uredbom u roku od dve godine nakon stupanja ove uredbe na snagu. Ako se obrada zasniva na pristanku u skladu sa Direktivom 95/46/EZ, nije neophodno da lice na koje se podaci odnose ponovo daje svoj pristanak ako je način na koji je pristanak dat u skladu sa uslovima ove uredbe, kako bi se rukovaocu podataka omogućilo da nastavi takvu obradu nakon dana početka primene ove Uredbe. Donete odluke Komisije i odobrenja nadzornih organa zasnovani na Direktivi 95/46/EZ ostaju na snazi dok ne budu izmenjeni, zamenjeni ili stavljeni van snage.

(172)

je Evropski supervizor za zaštitu podataka konsultovan u skladu sa članom 28, stav 2. Uredbe (EZ) br. 45/2001 Evropskog parlamenta i Saveta i da je dostavio mišljenje 7. marta 2012. (17).

(173)

ova uredba treba da se primenjuje na sva pitanja u vezi sa zaštitom osnovnih prava i sloboda u odnosu na obradu podataka o ličnosti na koja se ne primenjuju posebne obaveze sa istim ciljem koji je utvrđen u Direktivi 2002/58/EZ Evropskog parlamenta i Saveta (18), uključujući i obaveze rukovaoca podataka i prava fizičkih lica. Kako bi se pojasnio odnos između ove uredbe i Direktive 2002/58/EZ, ta direktiva treba da bude izmenjena shodno tome. Nakon usvajanja ove uredbe, Direktiva 2002/58/EZ treba da bude revidirana, posebno kako bi se osigurala doslednost sa ovom uredbom,

(a)

u okviru delatnosti koja nije obuhvaćena područjem primene prava Unije;

(b)

koju vrše države članice prilikom obavljanja aktivnosti koje su obuhvaćene područjem primene naslova V poglavlja 2. UEU;

(v)

koju vrši fizičko lice prilikom isključivo lične ili kućne aktivnosti;

(g)

koju vrše nadležni organi u svrhu sprečavanja, istrage, otkrivanja ili gonjenja krivičnih dela ili izvršenja krivičnih sankcija, uključujući i zaštitu od pretnji za javnu bezbednost i njihovo sprečavanje.

(a)

nuđenjem robe ili usluga takvim licima na koje se podaci odnose u Uniji, nezavisno od toga da li lice na koje se podaci odnose treba da izvrši plaćanje; ili

(b)

praćenjem njihovog ponašanja, pod uslovom da se njihovo ponašanje odvija unutar Unije.

1.

"podaci o ličnosti" su svi podaci koji se odnose na fizičko lice čiji je identitet određen ili se može odrediti (u daljem tekstu: lice na koje se podaci odnose); fizičko lice čiji se identitet može odrediti je lice koja se može identifikovati posredno ili neposredno, posebno pomoću identifikatora kao što su ime, identifikacioni broj, podaci o lokaciji, mrežni identifikator ili pomoću jednog ili više faktora svojstvenih za fizički, fiziološki, genetski, mentalni, ekonomski, kulturni ili društveni identitet tog fizičkog lica;

2.

"obrada" je svaki postupak ili skup postupaka koji se vrši nad podacima o ličnosti ili nad skupovima podataka o ličnosti, automatski ili neautomatizovano, kao što su prikupljanje, evidentiranje, organizacija, strukturiranje, skladištenje, prilagođavanje ili izmena, pronalaženje, vršenje uvida, upotreba, otkrivanje prenosom, širenjem ili stavljanjem na raspolaganje na drugi način, usklađivanje ili kombinovanje, ograničavanje, brisanje ili uništavanje;

3.

"ograničavanje obrade" je obeležavanje uskladištenih podataka o ličnosti u cilju ograničavanja njihove obrade u budućnosti;

4.

"profilisanje" je svaki oblik automatske obrade podataka o ličnosti koji se sastoji od korišćenja podataka o ličnosti za procenu određenih ličnih aspekata u vezi sa fizičkim licem, posebno za analizu ili predviđanje aspekata u vezi s radnim učinkom, materijalnim stanjem, zdravljem, ličnim sklonostima, interesima, pouzdanošću, ponašanjem, lokacijom ili kretanjem tog fizičkog lica;

5.

"pseudonimizacija" je obrada podataka o ličnosti na takav način da podaci o ličnosti više ne mogu da se povežu s konkretnim licem na koje se podaci odnose bez korišćenja dodatnih informacija, pod uslovom da se takve dodatne informacije čuvaju odvojeno i da se na njih primenjuju tehničke i organizacione mere da bi se obezbedilo da podaci o ličnosti ne mogu da se povežu s fizičkim licem čiji je identitet određen ili se može odrediti;

6.

"sistem pohranjivanja" je svaki strukturirani skup podataka o ličnosti koji su dostupni u skladu sa posebnim kriterijumima, bez obzira na to da li su centralizovani, decentralizovani ili raspršeni na funkcionalnoj ili geografskoj osnovi;

7.

"rukovalac" je fizičko ili pravno lice, organ vlasti, agencija ili drugo telo koje samo ili zajedno s drugim telima određuje svrhe i sredstva obrade podataka o ličnosti; kada su svrhe i sredstva takve obrade utvrđeni pravom Unije ili pravom države članice, rukovalac ili posebni kriterijumi za njegovo imenovanje mogu biti propisani pravom Unije ili pravom države članice;

8.

"obrađivač" je fizičko ili pravno lice, organ vlasti, agencija ili drugo telo koje obrađuje podatke o ličnosti u ime rukovaoca;

9.

"korisnik" je fizičko ili pravno lice, organ vlasti, agencija ili drugo telo kojem se otkrivaju podaci o ličnosti, nezavisno od toga da li je u pitanju treće lice ili ne. Međutim, organi vlasti koji mogu da prime podatke o ličnosti u okviru određene istrage u skladu s pravom Unije ili države članice ne smatraju se korisnicima; obrada tih podataka koju vrše ti organi vlasti mora da bude u skladu s važećim pravilima o zaštiti podataka prema svrhama obrade;

10.

"treće lice" je fizičko ili pravno lice, organ vlasti, agencija ili drugo telo koje nije lice na koje se podaci odnose, rukovalac, obrađivač ni lica koja su ovlašćena za obradu podataka o ličnosti pod neposrednom nadležnošću rukovaoca ili obrađivača;

11.

"pristanak" lica na koje se podaci odnose je svako dobrovoljno, izričito, informisano i nedvosmisleno izražavanje želja lica na koje se podaci odnose kojim on izjavom ili konkludentnom radnjom daje pristanak za obradu podataka o ličnosti koji se na njega odnose;

12.

"povreda bezbednosti podataka o ličnosti" je kršenje bezbednosti koje dovodi do slučajnog ili nezakonitog uništenja, gubitka, izmene, neovlašćenog otkrivanja ili pristupa podacima o ličnosti koji su preneti, uskladišteni ili na drugi način obrađivani;

13.

"genetski podaci" su podaci o ličnosti koji se odnose na nasleđene ili stečene genetske osobine fizičkog lica koje daju jedinstvene informacije o fiziologiji ili zdravlju tog fizičkog lica, i koji su dobijeni pre svega analizom biološkog uzorka tog fizičkog lica;

14.

"biometrijski podaci" su podaci o ličnosti dobijeni posebnom tehničkom obradom u vezi s fizičkim osobinama, fiziološkim osobinama ili karakteristikama ponašanja fizičkog lica koja omogućavaju ili potvrđuju jedinstvenu identifikaciju tog fizičkog lica, kao što su fotografije lica ili daktiloskopski podaci;

15.

"podaci o zdravstvenom stanju" su podaci o ličnosti u vezi sa fizičkim ili mentalnim zdravljem fizičkog lica, uključujući i pružanje zdravstvenih usluga, koji otkrivaju informacije o njegovom zdravstvenom stanju;

16.

"glavno sedište" je:

17.

"predstavnik" je fizičko ili pravno lice sa sedištem u Uniji koje je rukovalac ili obrađivač pisanim putem imenovao u skladu sa članom 27. i koje predstavlja rukovaoca ili obrađivača u vezi s njegovim obavezama na osnovu ove uredbe;

18.

"preduzeće" je fizičko ili pravno lice koja obavlja privrednu delatnost, bez obzira na njegov pravni oblik, uključujući partnerstva ili udruženja koja redovno obavljaju privrednu delatnost;

19.

"grupa povezanih društava" su društvo koje ostvaruje kontrolu i društva koji su pod njegovom kontrolom;

20.

"obavezujuća korporativna pravila" su politike zaštite podataka o ličnosti koje rukovalac i obrađivač sa sedištem na teritoriji države članice poštuju prilikom prenosa ili skupova prenosa podataka o ličnosti rukovaocu ili obrađivaču u jednoj ili više trećih zemalja u okviru grupe povezanih društava ili grupe preduzeća koja se bave zajedničkom privrednom delatnošću;

21.

"nadzorni organ" je nezavisni organ vlasti koji je osnovala država članica u skladu sa članom 51;

22.

"zainteresovani nadzorni organ" je nadzorni organ koji vrši obradu podataka o ličnosti zato što:

23.

"prekogranična obrada" je ili:

24.

"relevantni i obrazloženi prigovor" je prigovor na nacrt odluke o tome da je li došlo do kršenja ove uredbe, ili da je li predviđeno delovanje u vezi sa rukovaocem ili obrađivačem u skladu s ovom uredbom, koji jasno pokazuje važnost rizika koje predstavlja nacrt odluke u pogledu osnovnih prava i sloboda lica na koje se podaci odnose i, ako se primenjuje, slobodnog protoka podataka o ličnosti unutar Unije;

25.

"usluga informacionog društva" je usluga definisana članom 1, stav 1, tačka (b) Direktive (EU) 2015/1535 Evropskog parlamenta i Saveta (19);

26.

"međunarodna organizacija" je organizacija sa svojim podređenim telima uređena međunarodnim javnim pravom ili bilo koje drugo telo koje su sporazumom ili na osnovu sporazuma osnovale dve ili više zemalja.

(a)

obrađeni zakonito, pravično i transparentno u odnosu na lice na koje se podaci odnose ("zakonitost, pravičnost i transparentnost");

(b)

prikupljeni u određene, izričite i zakonite svrhe i ne smeju dalje da se obrađuju na način koji nije u skladu s tim svrhama; dalja obrada u svrhe arhiviranja u javnom interesu, u svrhe naučnog ili istorijskog istraživanja ili u statističke svrhe, u skladu sa članom 89, stav 1, ne smatra se neusklađenom sa prvobitnim svrhama ("ograničavanje svrhe");

(v)

primereni, relevantni i ograničeni na ono što je neophodno u svrhe u koje se obrađuju ("korišćenje najmanjeg mogućeg obima podataka");

(g)

tačni i prema potrebi ažurirani; potrebno je preduzeti sve prihvatljive mere kako bi se obezbedilo da podaci o ličnosti koji nisu tačni, imajući u vidu svrhe u koje se obrađuju, budu bez odlaganja obrisani ili ispravljeni ("tačnost");

(d)

čuvani u obliku koji omogućava identifikaciju lica na koje se podaci odnose i to ne duže nego što je neophodno u svrhe u koje se podaci obrađuju; podaci o ličnosti mogu da se čuvaju u dužem periodu ako će se podaci o ličnosti obrađivati isključivo u svrhe arhiviranja u javnom interesu, u svrhe naučnog ili istorijskog istraživanja ili u statističke svrhe u skladu sa članom 89, stav 1, s tim da moraju da se preduzmu odgovarajuće tehničke i organizacione mere propisane ovom uredbom radi zaštite prava i sloboda lica na koja se podaci odnose ("ograničenje čuvanja");

(đ)

obrađeni na način kojim se obezbeđuje odgovarajuća bezbednost podataka o ličnosti, uključujući i zaštitu od neovlašćene ili nezakonite obrade i od slučajnog gubitka, uništenja ili oštećenja primenom odgovarajućih tehničkih ili organizacionih mera ("integritet i poverljivost");

(a)

lice na koje se podaci odnose je dalo svoj pristanak za obradu svojih podataka o ličnosti u jednu ili više konkretnih svrha;

(b)

obrada je potrebna radi izvršenja ugovora u kojem je lice na koje se podaci odnose ugovorna strana ili radi preduzimanja mera na zahtev lica na koje se podaci odnose pre zaključenja ugovora;

(v)

obrada je potrebna za izvršavanje zakonske obaveze koja se primenjuje na rukovaoca;

(g)

obrada je potrebna radi zaštite životnih interesa lica na koje se podaci odnose ili drugog fizičkog lica;

(d)

obrada je potrebna za izvršenje zadatka koji se obavlja u javnom interesu ili u okviru izvršavanja službenih ovlašćenja dodeljenih rukovaocu;

(đ)

obrada je potrebna zbog legitimnih interesa čijem ostvarenju teži rukovalac ili treće lice, osim kada nad tim interesima preovlađuju interesi osnovni prava i sloboda lica na koje se podaci odnose koji zahtevaju zaštitu podataka o ličnosti, posebno ako je lice na koje se podaci odnose dete.

(a)

pravom Unije; ili

(b)

pravom države članice koje se primenjuje na rukovaoca.

(a)

svaku vezu između svrha u koje su podaci o ličnosti prikupljeni i svrha nameravane dalje obrade;

(b)

kontekst u kojem su podaci o ličnosti prikupljeni, posebno u pogledu odnosa između lica na koje se podaci odnose i rukovaoca;

(v)

prirodu podataka o ličnosti, posebno činjenicu da li se obrađuju posebne kategorije podataka o ličnosti u skladu sa članom 9 ili podaci o ličnosti koji se odnose na krivične osude i krivična dela u skladu sa članom 10;

(g)

moguće posledice nameravane dalje obrade za lica na koje se podaci odnose;

(d)

postojanje odgovarajućih mera zaštite, koje mogu da obuhvataju enkripciju ili pseudonimizaciju.

(a)

lice na koje se podaci odnose je dalo izričit pristanak za obradu tih podataka o ličnosti za jednu ili više konkretnih svrha, izuzev kada pravo Unije ili pravo države članice propisuje da lice na koje se podaci odnose ne može odstupiti od zabrane iz stava 1;

(b)

obrada je potrebna radi izvršavanja dužnosti i posebnih prava rukovaoca ili lica na koje se podaci odnose u oblasti prava zapošljavanja i prava socijalnog osiguranja i socijalne zaštite, ako to dozvoljava pravo Unije ili države članice ili kolektivni ugovor u skladu sa pravom države članice koje propisuje odgovarajuće zaštitne mere za osnovna prava i interese lica na koje se podaci odnose;

(v)

obrada je potrebna radi zaštite životnih interesa lica na koje se podaci odnose ili drugog lica kada lice na koje se podaci odnose fizički ili pravno nije sposobno da dâ pristanak;

(g)

obradu u okviru svojih legitimnih aktivnosti, uz odgovarajuće garancije, vrši fondacija, udruženje ili bilo koje drugo neprofitno telo s političkim, filozofskim, verskim ili sindikalnim ciljem, i to pod uslovom da se obrada odnosi isključivo na članove tog tela ili na lica koja imaju redovne kontakte s njim u vezi s njegovom svrhom i da se podaci o ličnosti ne otkrivaju izvan tog tela bez pristanka lica na koja se podaci odnose;

(d)

obrada se odnosi na podatke o ličnosti za koje je očigledno da ih je objavilo lice na koje se podaci odnose;

(đ)

obrada je neophodna za uspostavljanje, ostvarivanje ili odbranu pravnih zahteva ili kad sudovi postupaju u pravosudnom svojstvu;

(e)

obrada je neophodna za potrebe značajnog javnog interesa, na osnovu prava Unije ili prava države članice koje je srazmerno željenom cilju i kojim se poštuje suština prava na zaštitu podataka i obezbeđuju primerene i posebne mere za zaštitu osnovnih prava i interesa lica na koje se podaci odnose;

(ž)

obrada je neophodna za potrebe preventivne medicine ili medicine rada zbog procene radne sposobnosti zaposlenih, medicinske dijagnoze, pružanja zdravstvene ili socijalne zaštite ili lečenja ili upravljanja sistemima i uslugama zdravstvene ili socijalne zaštite na osnovu prava Unije ili prava države članice ili u skladu sa ugovorom sa zdravstvenim radnikom i shodno uslovima i merama zaštite iz stava 3;

(z)

obrada je neophodna iz razloga javnog interesa u oblasti javnog zdravlja, kao što je zaštita od ozbiljnih prekograničnih pretnji za zdravlje ili obezbeđivanje visokih standarda kvaliteta i bezbednosti zdravstvene zaštite i lekova i medicinskih sredstava, na osnovu prava Unije ili prava države članice kojim se propisuju odgovarajuće i posebne mere za zaštitu prava i sloboda lica na koje se podaci odnose, a posebno čuvanje profesionalne tajne;

(i)

obrada je neophodna za potrebe arhiviranja u javnom interesu, potrebe naučnog ili istorijskog istraživanja ili statističke potrebe u skladu sa članom 89, stav 1. na osnovu prava Unije ili prava države članice koje je srazmerno željenom cilju i kojim se poštuje suština prava na zaštitu podataka i obezbeđuju primerene i posebne mere za zaštitu osnovnih prava i interesa lica na koje se podaci odnose.

(a)

da naplati prihvatljivu naknadu uzimajući u obzir administrativne troškove pružanja informacija ili komunikacija ili postupanja po zahtevu; ili

(b)

da odbije da postupi po zahtevu.

(a)

identitet i podatke za kontakt rukovaoca i, ukoliko je primenljivo, predstavnika rukovaoca;

(b)

podatke za kontakt ovlašćenog lica za zaštitu podataka, ukoliko je primenljivo;

(v)

svrhe obrade za koje su podaci o ličnosti namenjeni, kao i pravni osnov za obradu;

(g)

ako je obrada zasnovana na članu 6, stav 1, tačka (đ), legitimne interese rukovaoca ili trećeg lica;

(d)

korisnike ili kategorije korisnika podataka o ličnosti, ukoliko postoje;

(đ)

ukoliko je primenljivo, činjenicu da rukovalac namerava da prenese podatke o ličnosti trećoj zemlji ili međunarodnoj organizaciji i postojanje ili nepostojanje odluke Komisije o adekvatnosti, odnosno, u slučaju prenosa iz člana 46. ili 47. ili člana 49, stav 1, drugi podstav, upućivanje na primerene ili odgovarajuće zaštitne mere i načine dobijanja njihove kopije ili mesto na kojem su stavljeni na raspolaganje.

(a)

roku kojem će se podaci o ličnosti čuvati ili, ako to nije moguće, kriterijume koji su korišćeni za određivanje tog roka;

(b)

postojanje prava da se od rukovaoca zatraži pristup podacima o ličnosti i ispravka ili brisanje podataka o ličnosti ili ograničavanje obrade u vezi s licem na koje se podaci odnose ili prava na prigovor na obradu, kao i pravo na prenosivost podataka;

(v)

ako je obrada zasnovana na članu 6, stav 1, tačka (a) ili članu 9, stav 2, tačka (a), postojanje prava da se pristanak povuče u bilo kojem trenutku, bez uticaja na zakonitost obrade zasnovane na pristanku pre povlačenja pristanka;

(g)

pravo na podnošenje pritužbe nadzornom organu;

(d)

informaciju o tome da li je pružanje podataka o ličnosti zakonska ili ugovorna obaveza ili neophodan uslov za zaključenje ugovora, kao i da li lice na koje se podaci odnose ima obavezu da pruži podatke o ličnosti i koje su moguće posledice ako se takvi podaci ne pruže;

(đ)

postojanje automatizovanog donošenja odluka, uključujući i profilisanje iz člana 22, stav 1. i 4. i, barem u tim slučajevima, sadržajne informacije o logici koja se koristi, kao i značaj i predviđene posledice takve obrade za lice na koje se podaci odnose.

(a)

identitet i podatke za kontakt rukovaoca i, ukoliko je primenljivo, predstavnika rukovaoca;

(b)

podatke za kontakt ovlašćenog lica za zaštitu podataka, ukoliko je primenljivo;

(v)

svrhe obrade za koje su podaci o ličnosti namenjeni, kao i pravnu osnovu za obradu;

(g)

kategorije podataka o ličnosti koji su u pitanju;

(d)

korisnike ili kategorije korisnika podataka o ličnosti, ukoliko postoje;

(đ)

ukoliko je primenljivo, činjenicu da rukovalac namerava da prenese podatke o ličnosti trećoj zemlji ili međunarodnoj organizaciji i postojanje ili nepostojanje odluke Komisije o adekvatnosti, ili u slučaju prenosa iz člana 46. ili 47. ili člana 49, stav 1, drugi podstav, upućivanje na primerene ili odgovarajuće zaštitne mere i načine dobijanja njihove kopije ili mesto na kojem su stavljeni na raspolaganje;

(a)

roku kojem će se podaci o ličnosti čuvati ili, ako to nije moguće, kriterijume koji su korišćeni za određivanje tog roka;

(b)

ako je obrada zasnovana na članu 6, stav 1, tačka (đ), legitimne interese rukovaoca ili trećeg lica;

(v)

postojanje prava da se od rukovaoca zatraži pristup podacima o ličnosti i ispravka ili brisanje podataka o ličnosti ili ograničavanje obrade u vezi s licem na koje se podaci odnose i prava na prigovor na obradu, kao i pravo na prenosivost podataka;

(g)

ako je obrada zasnovana na članu 6, stav 1, tačka (a) ili članu 9, stav 2, tačka (a), postojanje prava da se pristanak povuče u bilo kom trenutku, bez uticaja na zakonitost obrade zasnovane na pristanku pre povlačenja pristanka;

(d)

pravo na podnošenje pritužbe nadzornom organu;

(đ)

izvor podataka o ličnosti i, prema potrebi, da li dolaze iz javno dostupnih izvora;

(e)

postojanje automatizovanog donošenja odluka, uključujući i profilisanje iz člana 22, stav 1. i 4. i, barem u tim slučajevima, sadržajne informacije logici koja se koristi, kao i značaj i predviđene posledice takve obrade za lice na koje se podaci odnose.

(a)

u razumnom roku nakon dobijanja podataka o ličnosti, a najkasnije u roku od jednog meseca, uzimajući u obzir posebne okolnosti obrade podataka o ličnosti;

(b)

ako se podaci o ličnosti koriste za komunikaciju sa licem na koje se podaci odnose, najkasnije prilikom prve komunikacije ostvarene sa tim licem na koje se podaci odnose; ili

(v)

ako je predviđeno otkrivanje podataka drugom korisniku, najkasnije kada se podaci o ličnosti prvi put otkriju.

(a)

lice na koje se podaci odnose već poseduje te informacije;

(b)

je pružanje takvih informacija nemoguće ili bi zahtevalo nesrazmerne napore, posebno za obrade u svrhe arhiviranja u javnom interesu, u svrhe naučnog ili istorijskog istraživanja ili u statističke svrhe, u skladu sa uslovima i merama zaštite iz člana 89, stav 1. ili u ako bi obaveza iz je stava 1. ovog člana verovatno onemogućila ili ozbiljno ugrozila ostvarivanje ciljeva te obrade. U takvim slučajevima, rukovalac preduzima odgovarajuće mere za zaštitu prava i sloboda i legitimnih interesa lica na koje se podaci odnose, uključujući i stavljanje informacija na raspolaganje javnosti;

(v)

je dobijanje ili otkrivanje podataka izričito propisano pravom Unije ili pravom države članice koje se primenjuje na rukovaoca, a koje predviđa odgovarajuće mere za zaštitu legitimnih interesa lica na koje se podaci odnose; ili

(g)

podaci o ličnosti moraju da ostanu poverljivi u skladu s obavezom čuvanja profesionalne tajne koju uređuje pravo Unije ili pravo države članice, uključujući i zakonsku obavezu čuvanja tajne.

(a)

svrsi obrade;

(b)

kategorijama podataka o ličnosti koji u pitanju;

(v)

korisnicima ili kategorijama korisnika kojima su podaci o ličnosti otkriveni ili će im biti otkriveni, a posebno korisnicima u trećim zemljama ili međunarodnim organizacijama;

(g)

ukoliko je moguće, predviđenom roku u kojem će se podaci o ličnosti čuvati ili, ako to nije moguće, kriterijumima koji su korišćeni za određivanje tog roka;

(d)

postojanju prava da se od rukovaoca zatraži pristup podacima o ličnosti i ispravka ili brisanje podataka o ličnosti ili ograničavanje obrade u vezi s licem na koje se podaci odnose i prava na prigovor na obradu;

(đ)

pravu na podnošenje pritužbe nadzornom organu;

(e)

ako se podaci o ličnosti ne prikupljaju od lica na koje se podaci odnose, svakoj dostupnoj informaciji o njihovom izvoru;

(ž)

postojanju automatizovanog donošenja odluka, uključujući i profilisanje iz člana 22, stav 1. i 4. i, barem u tim slučajevima, sadržajne informacije logici koja se koristi, kao i značaj i predviđene posledice takve obrade za lice na koje se podaci odnose.

(a)

podaci o ličnosti više nisu neophodni za svrhe u koje su prikupljeni ili na drugi način obrađeni;

(b)

lice na koje se podaci odnose je povuklo pristanak na kojem je obrada zasnovana u skladu sa članom 6, stav 1, tačka (a) ili članom 9, stav 2, tačka (a) i ako ne postoji druga pravna osnova za obradu;

(v)

lice na koje se podaci odnose je uložilo prigovor na obradu u skladu sa članom 21, stav 1. i ne postoje preovlađujući zakonski razlozi za obradu, ili je lice na koje se podaci odnose uložilo prigovor na obradu u skladu sa članom 21, stav 2;

(g)

podaci o ličnosti su nezakonito obrađeni;

(d)

podaci o ličnosti moraju da budu obrisani radi postupanja u skladu sa zakonskom obavezom prema pravu Unije ili pravu države članice koje se primenjuje na rukovaoca;

(đ)

podaci o ličnosti su prikupljeni u vezi s ponudom usluga informacionog društva iz člana 8, stav 1.

(a)

radi ostvarivanja prava na slobodu izražavanja i informisanja;

(b)

radi poštovanja zakonske obaveze kojom se zahteva obrada u pravu Unije ili pravu države članice koje se primenjuje na rukovaoca ili radi izvršenja zadatka koji se obavlja u javnom interesu ili u okviru izvršavanja službenih ovlašćenja dodeljenih rukovaocu podataka;

(v)

zbog javnog interesa u oblasti javnog zdravlja u skladu sa članom 9, stav 2, tačka (ž) i (z), kao i članom 9, stav 3;

(g)

za potrebe arhiviranja u javnom interesu, u svrhe naučnog ili istorijskog istraživanja ili u statističke svrhe u skladu sa članom 89, stav 1. ako bi pravo iz stava 1. verovatno onemogućilo ili ozbiljno ugrozilo ostvarivanje ciljeva te obrade; ili

(d)

radi uspostavljanja, ostvarivanja ili odbrane pravnih zahteva.

(a)

lice na koje se podaci odnose osporava tačnost podataka o ličnosti, u roku koji rukovaocu podataka omogućava da proveri tačnost podataka o ličnosti;

(b)

obrada je nezakonita, a lice na koje se podaci odnose se protivi brisanju podataka o ličnosti i umesto toga traži ograničavanje njihove upotrebe;

(v)

rukovaocu podataka više nisu potrebni podaci o ličnosti za potrebe obrade, ali ih lice na koje se podaci odnose traži uspostavljanja, ostvarivanja ili odbrane pravnih zahteva;

(g)

lice na koje se podaci odnose je uložilo prigovor na obradu u skladu sa članom 21, stav 1. i još nije potvrđeno da li legitimni razlozi rukovaoca preovlađuju nad razlozima lica na koje se podaci odnose.

(a)

je obrada zasnovana na pristanku u skladu sa članom 6, stav 1, tačka (a) ili članom 9, stav 2, tačka (a) ili na ugovoru u skladu sa članom 6, stav 1, tačka (b); i

(b)

se obrada vrši automatski.

(a)

neophodna za zaključivanje ili izvršenje ugovora između lica na koje se podaci odnose i rukovaoca;

(b)

dozvoljena pravom Unije ili pravom države članice koje se primenjuje na rukovaoca i koje takođe propisuje odgovarajuće zaštitne mere za prava i sloboda i legitimne interese lica na koje se podaci odnose; ili

(v)

zasnovana na izričitom pristanku lica na koje se podaci odnose.

(a)

nacionalne bezbednosti;

(b)

odbrane;

(v)

javne bezbednosti;

(g)

sprečavanja, istrage, otkrivanja ili gonjenja krivičnih dela ili izvršenja krivičnih sankcija, i uključujući zaštitu od pretnji za javnu bezbednost i njihovo sprečavanje;

(d)

drugih važnih ciljeva od opšteg javnog interesa Unije ili države članice, a posebno važnog ekonomskog ili finansijskog interesa Unije ili države članice, što uključuje monetarna, budžetska i poreska pitanja, javno zdravlje i socijalnu zaštitu;

(đ)

zaštite nezavisnosti pravosuđa i sudskih postupaka;

(e)

sprečavanja, istrage, otkrivanja i gonjenja povrede etike u zakonski regulisanim profesijama;

(ž)

nadzorne, inspekcijske ili regulatorne funkcije koja je, makar i samo povremeno, povezana s ostvarivanjem službenih ovlašćenja u slučajevima iz tačaka (a) do (d) i tačke (e);

(z)

lica na koje se podaci odnose ili prava i sloboda drugih;

(i)

ostvarivanja potraživanja u građanskim sporovima.

(a)

svrhama obrade ili kategorijama obrade,

(b)

kategorijama podataka o ličnosti,

(v)

obimu uvedenih ograničenja,

(d)

merama zaštite za sprečavanje zloupotrebe ili nezakonitog pristupa ili prenosa;

(đ)

određenju rukovaoca ili kategorija obrađivača,

(e)

roku čuvanja i merama zaštite koje se mogu primeniti uzimajući u obzir prirodu, obim i svrhe obrade ili kategorije obrade;

(ž)

rizicima za prava i slobode lica na koje se podaci odnose; i

(z)

pravu lica na koje se podaci odnose da budu obaveštena o ograničenju, osim ako to može da dovede u pitanje za svrhu tog ograničenja.

(a)

obradu koja je povremena, ne podrazumeva u većoj meri obradu posebnih kategorija podataka iz člana 9, stava 1. ili obradu podataka o ličnosti koji se odnose na krivičnu i prekršajnu osuđivanost iz člana 10. i za koju nije verovatno da će prouzrokovati rizik za prava i slobode fizičkih lica uzimajući u obzir prirodu, okolnosti, obim i svrhe obrade; ili

(b)

javni organ ili telo.

(a)

obrađuje podatke o ličnosti samo prema dokumentovanim uputstvima rukovaoca, između ostalog i u pogledu prenosa podataka o ličnosti trećoj zemlji ili međunarodnoj organizaciji, osim u slučaju da to od njega zahteva pravo Unije ili pravo države članice koje se primenjuje na obrađivača; u tom slučaju, obrađivač pre obrade obaveštava rukovaoca o postojanju tog pravnog zahteva, osim u slučaju da merodavno pravo zabranjuje takvo obaveštavanje zbog važnih razloga od javnog interesa;

(b)

obezbeđuje da se lica ovlašćena za obradu podataka o ličnosti obavežu na poštovanje poverljivosti ili da ih na poštovanje poverljivosti obavezuje odgovarajući zakon;

(v)

preduzima sve potrebne mere u skladu sa članom 32;

(g)

poštuje uslove iz stavova 2. i 4. za angažiranje drugog obrađivača;

(d)

uzimajući u obzir prirodu obrade, pomaže rukovaocu putem odgovarajućih tehničkih i organizacionih mera, koliko je to moguće, u ispunjavanju obaveze rukovaoca da odgovori na zahteve za ostvarivanje prava lica na koja se podaci odnose iz poglavlja III;

(đ)

pomaže rukovaocu u obezbeđivanju usklađenosti s obavezama iz čl. 32. do 36, uzimajući u obzir prirodu obrade i informacije koje su dostupne obrađivaču;

(e)

po izboru rukovaoca, briše ili vraća rukovaocu sve podatke o ličnosti nakon završetka pružanja usluga vezanih za obradu i uništava postojeće kopije, osim u slučaju da pravo unije ili pravo države članice propisuje obavezu čuvanja podataka o ličnosti;

(ž)

rukovaocu stavlja na raspolaganje sve informacije koje su neophodne za dokazivanje poštovanja obaveza iz ovog člana i rukovaocu ili drugom revizoru kojeg ovlasti rukovalac omogućava vršenje revizije, uključujući i inspekcije, i pomaže u njihovom vršenju.

(a)

ime i podatke za kontakt rukovaoca i, ukoliko je primenljivo, zajedničkog rukovaoca, predstavnika rukovaoca i ovlašćenog lica za zaštitu podataka;

(b)

svrhe obrade;

(v)

opis kategorija lica na koja se podaci odnose i kategorija podataka o ličnosti;

(g)

kategorije korisnika kojima su podaci o ličnosti otkriveni ili će im biti otkriveni, uključujući i korisnike u trećim zemljama ili međunarodne organizacije;

(d)

ukoliko je primenljivo, informacije o prenosu podataka o ličnosti u treću zemlju ili međunarodnu organizaciju, sa identifikacijom te treće zemlje ili međunarodne organizacije i, u slučaju prenosa iz člana 49, stav 1, drugi podstav, s dokumentacijom o odgovarajućim zaštitnim merama;

(đ)

ako je moguće, predviđene rokove za brisanje različitih kategorija podataka;

(e)

ako je moguće, opšti opis tehničkih i organizacionih bezbednosnih mera iz člana 32, stav 1.

(a)

ime i podatke za kontakt jednog ili više obrađivača i svakog rukovaoca u čije ime obrađivač deluje, a u odgovarajućim slučajevima i predstavnika rukovaoca ili obrađivača i ovlašćenog lica za zaštitu podataka;

(b)

kategorije obrade koje se obavljaju u ime svakog rukovaoca;

(v)

ukoliko je primenljivo, informacije o prenosu podataka o ličnosti u treću zemlju ili međunarodnu organizaciju, sa identifikacijom te treće zemlje ili međunarodne organizacije i, u slučaju prenosa iz člana 49, stav 1, tačka (ž), dokumentaciju o odgovarajućim zaštitnim merama;

(g)

ako je moguće, opšti opis tehničkih i organizacionih bezbednosnih mera iz člana 32, stav 1.

(a)

pseudonimizaciju i enkripciju podataka o ličnosti;

(b)

mogućnost obezbeđivanja trajne poverljivosti, celovitosti, dostupnosti i otpornosti sistema i usluga obrade;

(v)

sposobnost blagovremenog ponovnog uspostavljanja dostupnosti podataka o ličnosti i pristupa njima u slučaju fizičkog ili tehničkog incidenta;

(g)

postupak redovnog testiranja, ocenjivanja i procene delotvornosti tehničkih i organizacionih mera za postizanje bezbednosti obrade.

(a)

opis prirode povrede bezbednosti podataka o ličnosti, ako je moguće sa navedenim kategorijama i približnim brojem lica na koja se podaci odnose, kao i kategorijama i približnim brojem zbirki evidencija podataka o ličnosti;

(b)

ime i podatke za kontakt ovlašćenog lica za zaštitu podataka ili druge kontaktne tačke od koje se može dobiti još informacija;

(v)

opis verovatne posledice povrede bezbednosti podataka o ličnosti;

(g)

opis mera koje je rukovalac preduzeo ili čije preduzimanje predlaže radi otklanjanja povrede bezbednosti podataka o ličnosti, uključujući prema potrebi i mere za ublažavanje njenih štetnih posledica.

(a)

ako je rukovalac preduzeo odgovarajuće tehničke i organizacione zaštitne mere i te mere su primenjene na podatke o ličnosti u vezi s kojima je došlo do povrede bezbednosti podataka o ličnosti, a pre svega mere koje podatke o ličnosti čine nerazumljivima licu koje nije ovlašćeno da im pristupi, kao što je enkripcija;

(b)

ako je rukovalac preduzeo naknadne mere kojima se obezbeđuje da više nije verovatno da će doći do visokog rizika za prava i slobode lica na koja se podaci odnose iz stava 1;

(v)

ako bi to zahtevalo nesrazmeran napor. U takvom slučaju se objavljuje javno obaveštenje ili se preduzima slična mera kojom se lica na koja se podaci odnose obaveštavaju na jednako delotvoran način.

(a)

sistematske i obimne procene ličnih aspekata u vezi s fizičkim licima koja se zasniva na automatizovanoj obradi, uključujući i izradu profila, i koja je osnov za donošenje odluka koje proizvode pravno dejstvo u odnosu na fizičko lice ili na sličan način značajno utiču na fizičko lice;

(b)

masovne obrade posebnih kategorija podataka o ličnosti iz člana 9, stav 1. ili podataka koji se odnose na krivičnu i prekršajnu osuđivanost iz člana 10; ili

(v)

obimnog sistematskog praćenja javno dostupnog prostora.

(a)

sistematski opis predviđenih postupaka obrade i svrha obrade, uključujući u odgovarajućim slučajevima i legitiman interes rukovaoca;

(b)

procenu neophodnosti i proporcionalnosti postupaka obrade u odnosu na njihove svrhe;

(v)

procenu rizika za prava i slobode lica na koja se podaci odnose iz stava 1; i

(g)

predviđene mere za otklanjanje rizika, što uključuje zaštitne mere, bezbednosne mere i mehanizme za obezbeđivanje zaštite podataka o ličnosti i dokazivanje usklađenosti s ovom uredbom, uzimajući u obzir prava i legitimne interese lica na koja se podaci odnose i drugih zainteresovanih lica.

(a)

ukoliko je primenljivo, odgovarajuće odgovornosti rukovaoca, zajedničkih rukovalaca i obrađivača koji učestvuju u obradi, posebno u slučaju obrade unutar grupe povezanih društava;

(b)

svrhu i sredstva nameravane obrade;

(v)

zaštitne mere i druge mere za zaštitu prava i sloboda lica na koja se podaci odnose u skladu s ovom uredbom;

(g)

ukoliko je primenljivo, podatke za kontakt ovlašćenog lica za zaštitu podataka;

(d)

procenu uticaja u vezi sa zaštitom podataka iz člana 35; i

(đ)

sve druge informacije koje nadzorni organ zatraži.

(a)

obradu vrši organ javne vlasti ili javno telo, osim sudova koji postupaju u okviru svoje sudske nadležnosti,

(b)

se osnovne delatnosti rukovaoca ili obrađivača sastoje iz radnji obrade koje zbog svoje prirode, obima i/ili svrha zahtevaju redovno i sistematsko masovno praćenje lica na koja se podaci odnose, ili

(v)

se osnovne delatnosti rukovaoca ili obrađivača sastoje iz masovne obrade posebnih kategorija podataka na osnovu člana 9. i podataka o ličnosti koji se odnose na krivičnu i prekršajnu osuđivanost iz člana 10.

(a)

informisanje i savetovanje rukovaoca ili obrađivača i zaposlenih koji vrše obradu o njihovim obavezama u skladu s ovom uredbom i drugim odredbama prava Unije ili prava države članice o zaštiti podataka;

(b)

praćenje usklađenosti s ovom uredbom i drugim odredbama prava Unije ili prava države članice o zaštiti podataka, kao i politikama rukovaoca ili obrađivača u vezi sa zaštitom podataka o ličnosti, uključujući i podelu odgovornosti, podizanje svesti i osposobljavanje osoblja koje učestvuje u radnjama obrade, kao i s tim povezane revizije;

(v)

pružanje saveta, kada je to zatraženo, u pogledu procene uticaja u vezi sa zaštitom podataka i praćenje njena izvršavanja u skladu sa članom 35;

(g)

saradnja s nadzornim organom;

(d)

delovanje kao kontaktna tačka za nadzorni organ o pitanjima koja se tiču obrade, što uključuje i prethodne konsultacije iz člana 36, a u odgovarajućim slučajevima i savetovanje o drugim pitanjima.

(a)

pravičnu i transparentnu obradu;

(b)

legitimne interese rukovalaca u posebnim kontekstima;

(v)

prikupljanje podataka o ličnosti;

(g)

pseudonimizaciju podataka o ličnosti;

(d)

informisanje javnosti i lica na koja se podaci odnose;

(đ)

ostvarivanje prava lica na koja se podaci odnose;

(e)

informisanje i zaštite dece i način pribavljanja pristanka vršilaca roditeljskog prava nad detetom;

(ž)

mere i postupke iz članova 24. i 25, kao i mere za postizanje bezbednosti obrade iz člana 32;

(z)

zvanično obaveštavanje nadzornih organa o povredama bezbednosti podataka o ličnosti i obaveštavanje lica na koja se podaci odnose o takvim povredama;

(i)

prenos podataka o ličnosti trećim zemljama ili međunarodnim organizacijama; ili

(j)

vansudske postupke i druge postupke za rešavanje sporova između rukovalaca i lica na koja se podaci odnose u vezi s obradom, ne dovodeći u pitanje prava koja lica na koja se podaci odnose imaju na osnovu članova 77. i 79.

(a)

nadležnom nadzornom organu na zadovoljavajući način dokazao svoju nezavisnost i stručnost za predmet kodeksa;

(b)

uspostavio postupke koji mu omogućavaju da ocenjuje kvalifikovanost rukovaoca i obrađivača za primenu kodeksa, da prati njihovo poštovanje odredbi kodeksa i da periodično preispituje njegovo funkcionisanje;

(v)

uspostavio postupke i strukture za rešavanje pritužbi na kršenja kodeksa ili na način na koji rukovalac ili obrađivač primenjuju ili su primenili kodeks i učinio te postupke i strukture transparentnima licima na koja se podaci odnose i javnosti; i

(g)

nadležnom nadzornom organu način koji on smatra zadovoljavajućim dokazao da njegovi zadaci i dužnosti ne dovode do sukoba interesa.

(a)

nadzorni organ koji je nadležan u skladu sa članom 55. ili 56;

(b)

nacionalno akreditaciono telo imenovano u skladu s Uredbom (EZ) br. 765/2008 Evropskog parlamenta i Saveta (20) u skladu s EN-ISO/IEC 17065/2012 i dodatnim zahtevima koje odredi nadzorni organ koji je nadležan u skladu sa članom 55. ili 56.

(a)

nadležnom nadzornom organu na zadovoljavajući način dokazala svoju nezavisnost i stručnost u predmetu sertifikacije;

(b)

se obavezala da će poštovati kriterijume iz člana 42, stav 5. koje je odobrio nadzorni organ nadležan na osnovu člana 55. ili člana 56. ili Odbor na osnovu člana 63;

(v)

uspostavila postupke za izdavanje, periodično preispitivanje i povlačenje sertifikacije, pečata i oznaka za zaštitu podataka;

(g)

uspostavila postupke i strukture za rešavanje pritužbi na kršenja sertifikacije ili način na koji rukovalac ili obrađivač primenjuju ili su primenili sertifikaciju i učinila te postupke i strukture transparentnima licima na koja se podaci odnose i javnosti; i

(d)

nadležnom nadzornom organu na zadovoljavajući način dokazala da njegove zadaci i dužnosti ne dovode do sukoba interesa.

(a)

vladavinu prava, poštovanje ljudskih prava i osnovnih sloboda, relevantno opšte i sektorsko zakonodavstvo, što uključuje zakonodavstvo o javnoj bezbednosti, odbrani, nacionalnoj bezbednosti, krivičnom pravu i pristupu organa javne vlasti podacima o ličnosti, kao i primenu tog zakonodavstva, pravila o zaštiti podataka, pravila struke i mere bezbednosti, što uključuje pravila za dalji prenos podataka o ličnosti u drugu treću zemlju ili međunarodnu organizaciju, koja se poštuju u toj trećoj zemlji ili međunarodnoj organizaciji, sudsku praksu, kao i postojanje efektivnih i izvršivih prava lica na koja se podaci odnose i efikasne upravne i sudske zaštite lica čiji se podaci o ličnosti prenose;

(b)

postojanje i delotvorno funkcionisanje jednog ili više nezavisnih nadzornih organa u trećoj zemlji ili nezavisnih nadzornih organa koji su nadležni za međunarodnu organizaciju s odgovornošću za obezbeđivanje i sprovođenje poštovanja pravila o zaštiti podataka, što uključuje adekvatna izvršna ovlašćenja za pružanje pomoći licima na koja se podaci odnose i savetovanje lica na koja se podaci odnose u ostvarivanju njihovih prava, kao i za saradnju s nadzornim organima država članica; i

(v)

međunarodne obaveze koje je dotična treća zemlja ili međunarodna organizacija preuzela ili druge obaveze koje proizilaze iz pravno obavezujućih konvencija ili instrumenata, kao i iz njenog učestvovanja u multilateralnim ili regionalnim sistemima, posebno u vezi sa zaštitom podataka o ličnosti.

(a)

pravno obavezujućim i izvršnim instrumentom između organi javne vlasti ili javnih tela;

(b)

obavezujućim korporativnim pravilima u skladu sa članom 47;

(v)

standardnim klauzulama o zaštiti podataka koje donosi Komisija u skladu s postupkom pregleda iz člana 93, stav 2;

(g)

standardnim klauzulama o zaštiti podataka koje donosi nadzorni organ i koje Komisija odobrava u skladu s postupkom pregleda iz člana 93, stav 2;

(d)

odobrenim kodeksom ponašanja u skladu sa članom 40, zajedno s obavezujućim i izvršnim obavezama rukovaoca ili obrađivača u trećoj zemlji za primenu odgovarajućih zaštitnih mera, između ostalog i u pogledu prava lica na koja se podaci odnose; ili

(đ)

odobrenim mehanizmom sertifikacije u skladu sa članom 42, zajedno s obavezujućim i izvršnim obavezama rukovaoca ili obrađivača u trećoj zemlji za primenu odgovarajućih zaštitnih mera, između ostalog i u pogledu prava lica na koja se podaci odnose.

(a)

ugovornim klauzulama između rukovaoca ili obrađivača i rukovaoca, obrađivača ili korisnika podataka o ličnosti u trećoj zemlji ili međunarodnoj organizaciji; ili

(b)

odredbama koje se unose u administrativne dogovore između organa javne vlasti ili javnih tela i koja sadrže izvršna i efektivna prava lica na koja se podaci odnose.

(a)

su pravno obavezujuća i da se primenjuju na svakog zainteresovanog člana određene grupe povezanih društava ili grupe preduzeća koja obavljaju zajedničku privrednu delatnost, kao i njihove zaposlene, i svaki od tih članova ih izvršava;

(b)

licima na koja se podaci odnose izričito daju izvršna prava u vezi s obradom njihovih podataka o ličnosti; i

(v)

ispunjavaju uslove iz stava 2.

(a)

strukturu i podatke za kontakt grupe povezanih društava ili grupe preduzeća koja obavljaju zajedničku privrednu delatnost i svakog od njenih članova;

(b)

prenose podataka ili skupove prenosa, uz navođenje kategorije podataka o ličnosti, vrste obrade i njene svrhe, vrste lica na koja se podaci odnose i određenja konkretne treće zemlje, odnosno zemalja;

(v)

njihovu pravno obavezujuću prirodu, kako interno, tako i eksterno;

(g)

primenu opštih načela zaštite podataka, a posebno ograničavanja svrhe, korišćenja najmanjeg mogućeg obima podataka, ograničenog roka čuvanja, kvaliteta podataka, ugrađene i podrazumevane zaštite podataka, osnova obrade, obrade posebnih kategorija podataka o ličnosti, mera za postizanje bezbednosti podataka i uslove u vezi s daljim prenosom telima koja nisu obavezana obavezujućim korporativnim pravilima;

(d)

prava lica na koja se podaci odnose u vezi s obradom i načine za ostvarenje tih prava, uključujući i pravo da se na njih ne primenjuju odluke koje se zasnivaju isključivo na automatskoj obradi, što uključuje i profilisanje u skladu sa članom 22, pravo na pritužbu nadležnom nadzornom organu i nadležnim sudovima država članica u skladu sa članom 79. i pravo na sudsku zaštitu, a u odgovarajućim slučajevima i pravo na naknadu za kršenje obavezujućih korporativnih pravila;

(đ)

da rukovalac ili obrađivač sa sedištem na teritoriji države članice prihvata odgovornost za sva kršenja obavezujućih korporativnih pravila od strane bilo kog člana koji nema sedište u Uniji; rukovalac ili obrađivač je u celini ili delimično izuzet od ove odgovornosti samo ako dokaže da taj član nije odgovoran za događaj koji je prouzrokovao štetu;

(e)

na koji način se licima na koja se podaci odnose pored informacija iz člana 13. i 14. pružaju informacije o obavezujućim korporativnim pravilima, posebno o odredbama iz tačaka (g), (d) i (đ) ovog stava;

(ž)

zadatke svakog ovlašćenog lica za zaštitu podataka imenovanog u skladu sa članom 37. ili bilo kog drugog lica ili subjekta odgovornog za praćenje usklađenosti s obavezujućim korporativnim pravilima u grupi povezanih društava ili grupi preduzeća koja obavljaju zajedničku privrednu delatnost, kao i za praćenje osposobljavanja i postupanja po pritužbama;

(z)

postupke povodom pritužbi;

(i)

mehanizme unutar grupe povezanih društava ili grupe preduzeća koja obavljaju zajedničku privrednu delatnost kojima se obezbeđuje provera poštovanja obavezujućih korporativnih pravila. Takvi mehanizmi uključuju revizije zaštite podataka i metode za obezbeđivanje korektivnih mera za zaštitu prava lica na koja se podaci odnose. Rezultate takve provere potrebno je saopštiti licu ili subjektu iz tačke (ž) i upravnom odboru društva u kontrolišućem položaju u grupi povezanih društava ili grupi preduzeća koja obavljaju zajedničku privrednu delatnost, a na zahtev ih je potrebno staviti na raspolaganje i nadležnom nadzornom organu;

(j)

mehanizme za obaveštavanje i vođenje evidencije o promenama pravila i obaveštavanje nadzornog organa o tim promenama;

(k)

mehanizam saradnje s nadzornim organom radi obezbeđivanja usklađenosti svakog člana grupe povezanih društava ili grupe preduzeća koja obavljaju zajedničku privrednu delatnost, pre svega tako što se nadzornom organu stavljaju na raspolaganje rezultati provera mera iz tačke (i);

(l)

mehanizme za obaveštavanje nadležnog nadzornog organa o bilo kakvim pravnim obavezama koje se na člana grupe povezanih društava ili grupe preduzeća koja obavljaju zajedničku privrednu delatnost primenjuju u trećoj zemlji, a koje bi mogle da imaju značajan negativan uticaj na garancije sadržane u obavezujućim korporativnim pravilima; i

(lj)

odgovarajuće osposobljavanje iz oblasti zaštite podataka za osoblje koje ima stalan ili redovan pristup podacima o ličnosti.

(a)

lice na koje se podaci odnose je izričito pristalo na predloženi prenos nakon što je upoznato s mogućim rizicima takvih prenosa za lica na koja se podaci odnose zbog nepostojanja odluke o adekvatnosti i odgovarajućih zaštitnih mera;

(b)

prenos je potreban za izvršenje ugovora između lica na koje se podaci odnose i rukovaoca ili primenu predugovornih mera na zahtev lica na koje se podaci odnose;

(v)

prenos je potreban radi sklapanja ili izvršenja ugovora sklopljenog u interesu lica na koje se podaci odnose između rukovaoca i drugog fizičkog ili pravnog lica;

(g)

prenos je potreban iz važnih razloga javnog interesa;

(d)

prenos je potreban za postavljanje, ostvarivanje ili odbranu pravnih zahteva;

(đ)

prenos je potreban za zaštitu životno važnih interesa lica na koje se podaci odnose ili drugih lica ako lice na koje se podaci odnose fizički ili pravno nije sposoban da dâ pristanak;

(e)

prenos se vrši iz registra koji prema pravu Unije ili pravu države članice služi za pružanje informacija javnosti i koji je dostupan za uvid javnosti ili bilo kom licu koje može da dokaže postojanje legitimnog interesa, ali samo ako su ispunjeni uslovi propisani pravom Unije ili pravom države članice za uvid u tom posebnom slučaju.

(a)

razvoja mehanizama međunarodne saradnje za olakšavanje efektivnog sprovođenja zakonodavstva o zaštiti podataka o ličnosti;

(b)

obezbeđivanja uzajamne međunarodne pomoći u sprovođenju zakonodavstva o zaštiti podataka o ličnosti, što podrazumeva obaveštavanje, upućivanje pritužbi, pružanje pomoći u istragama i razmenu informacija, u skladu s odgovarajućim merama za zaštitu podataka o ličnosti i drugim osnovnim pravima i slobodama;

(v)

uključivanja relevantnih interesnih grupa u raspravu i aktivnosti čiji je cilj unapređenje međunarodne saradnje na sprovođenju zakonodavstva o zaštiti podataka o ličnosti;

(g)

promovisanja razmene i dokumentovanja zakonodavstva i prakse u vezi sa zaštitom podataka o ličnosti, uključujući i sporove oko nadležnosti s trećim zemljama.

-

njihov parlament;

-

njihova vlada;

-

njihov šef države; ili

-

nezavisno telo koje je pravom države članice ovlašćeno da vrši to imenovanje.

(a)

osnivanje svakog nadzornog organa;

(b)

kvalifikacije i uslove kvalifikovanosti koji se zahtevaju za imenovanje na mesto člana svakog nadzornog organa;

(v)

pravila i postupke za imenovanje člana ili članova svakog nadzornog organa;

(g)

trajanje mandata člana ili članova svakog nadzornog organa, koje nije kraće od četiri godine, osim prilikom prvog imenovanja nakon 24. maja 2016. godine, čiji deo može trajati kraće ako je to potrebno radi zaštite nezavisnosti nadzornog organa primenom postupka postepenog imenovanja;

(d)

da li član ili članovi svakog nadzornog organa imaju pravo da budu ponovo izabrani i, ako imaju, na koliko mandata;

(đ)

uslove koji uređuju obaveze člana ili članova osoblja svakog nadzornog organa, zabrane delovanja, poslova i pogodnosti koji nisu u skladu s tim uslovima tokom i nakon mandata, kao i pravila kojima se uređuje prestanak radnog odnosa.

(a)

prati i obezbeđuje primenu ove uredbe;

(b)

podstiče svest i razumevanje javnosti o rizicima, pravilima, zaštitnim merama i pravima u vezi s obradom. Posebna pažnja se posvećuje aktivnostima koje su izričito namenjene deci;

(v)

u skladu s pravom države članice, savetuje nacionalni parlament, vladu i druge institucije i organe o zakonodavnim i upravnim merama u vezi sa zaštitom prava i sloboda fizičkih lica povodom obrade;

(g)

podiže svest rukovalaca i obrađivača o njihovim obavezama iz ove uredbe;

(d)

na zahtev bilo kom licu na koje se podaci odnose pruža informacije u vezi s ostvarivanjem njegovih prava iz ove uredbe i prema potrebi u tu svrhu sarađuje s nadzornim organima u drugim državama članicama;

(đ)

rešava pritužbe koje podnese lice na koje se podaci odnose ili telo, organizacija ili udruženje u skladu sa članom 80. i u odgovarajućoj meri istražuje predmet pritužbe u razumnom roku obaveštava podnosioca o napretku i ishodu istrage, posebno ako je potrebna dalja istraga ili koordinacija s drugim nadzornim organom;

(e)

sarađuje s drugim nadzornim organima, između ostalog i kroz razmenu informacija i pružanje uzajamne pomoći drugim nadzornim organima, da bi se obezbedila doslednost primene i obezbeđivanja izvršenja ove uredbe;

(ž)

sprovodi istrage o primeni ove uredbe, između ostalog i na osnovu informacija primljenih od drugog nadzornog ili drugog organa javne vlasti;

(z)

prati relevantna kretanja, u meri u kojoj utiču na zaštitu podataka o ličnosti, a posebno razvoj informacionih i komunikacionih tehnologija i komercijalnih praksi;

(i)

donosi standardne ugovorne klauzule iz člana 28, stav 8. i člana 46, stav 2, tačka (g);

(j)

utvrđuje i vodi spisak u vezi s obavezom vršenja procene uticaja u vezi sa zaštitom podataka u skladu sa članom 35, stav 4;

(k)

daje savete o postupcima obrade iz člana 36, stav 2;

(l)

podstiče izradu kodeksa ponašanja u skladu sa članom 40, stav 1. i daje mišljenje i odobrava takve kodekse ponašanja koji pružaju dovoljne zaštitne mere, u skladu sa članom 40, stav 5;

(lj)

podstiče uspostavljanje mehanizama sertifikacije zaštite podataka, kao i pečata i oznaka za zaštitu podataka u skladu sa članom 42, stav 1, i odobrava kriterijume sertifikacije u skladu sa članom 42, stav 5;

(m)

u odgovarajućim slučajevima vrši periodično preispitivanje izdatih sertifikata u skladu sa članom 42, stav 7;

(n)

priprema i objavljuje kriterijume za akreditaciju tela za praćenje kodeksa ponašanja u skladu sa članom 41. i akreditaciju sertifikacionog tela u skladu sa članom 43;

(nj)

vrši akreditaciju tela za praćenje kodeksa ponašanja u skladu sa članom 41. i akreditaciju sertifikacionog tela u skladu sa članom 43;

(o)

odobrava ugovorne klauzule i odredbe iz člana 46, stav 3;

(p)

odobrava obavezujuća korporativna pravila u skladu sa članom 43;

(r)

doprinosi aktivnostima Odbora;

(s)

vodi internu evidenciju o kršenjima ove uredbe i merama koje su preduzete u skladu sa članom 58, stav 2; i

(t)

izvršava sve ostale zadatke u vezi sa zaštitom podataka o ličnosti.

(a)

da rukovaocu i obrađivaču, a prema potrebi i predstavniku rukovaoca ili obrađivača, naredi da mu pruže sve informacije potrebne za obavljanje njegovih zadataka;

(b)

da vrši istrage u vidu revizije zaštite podataka;

(v)

da vrši pregled sertifikata izdatih u skladu sa članom 42, stav 7;

(g)

da rukovaoca ili obrađivača obavesti o navodnom kršenju ove uredbe;

(d)

da od rukovaoca i obrađivača dobije pristup svim podacima o ličnosti i svim informacijama potrebnim za obavljanje njegovih zadataka;

(đ)

da ostvari pristup svim prostorijama rukovaoca i obrađivača, uključujući i svu opremu i sredstva za obradu podataka, u skladu s pravom Unije ili procesnim pravom države članice.

(a)

da rukovaocu ili obrađivaču daje upozorenje da bi nameravane radnje obrade mogle da predstavljaju kršenje odredaba ove uredbe;

(b)

da rukovaocu ili obrađivaču izriče opomene ako se radnje obrade vrše protivno odredbama ove uredbe;

(v)

da rukovaocu ili obrađivaču naloži da postupi po zahtevu lica na koje se podaci odnose za ostvarivanje njegovih prava u skladu s ovom uredbom;

(g)

da rukovaocu ili obrađivaču naloži da postupke obrade, ukoliko je potrebno, uskladi s odredbama ove uredbe na tačno određen način i u tačno zadanom roku;

(d)

da rukovaocu naloži da lice na koje se podaci odnose obavesti o povredi bezbednosti podataka o ličnosti;

(đ)

da privremeno ili trajno ograniči obradu, uključujući i zabranu obrade;

(e)

da naloži ispravljanje ili brisanje podataka o ličnosti ili ograničavanje obrade u skladu sa članovima 16, 17. i 18. i obaveštavanje o takvim radnjama korisnika kojima su podaci o ličnosti otkriveni u skladu sa članom 17, stav 2. i članom 19;

(ž)

da oduzme sertifikat ili da sertifikacionom telu naloži da oduzme sertifikat izdat u skladu sa članovima 42. i 43 ili da sertifikacionom telu naloži da ne izda sertifikat ako zahtevi za sertifikaciju nisu ili više nisu ispunjeni;

(z)

da izrekne upravnu novčanu kaznu u skladu sa članom 83. uz mere ili umesto mera iz ovog stava, u zavisnosti od okolnosti konkretnog slučaja;

(i)

da naloži obustavljanje prenosa podataka korisniku u trećoj zemlji ili međunarodnoj organizaciji.

(a)

da savetuje rukovaoca u skladu s postupkom prethodnih konsultacija iz člana 36,

(b)

da na sopstvenu inicijativu ili na zahtev nacionalnom parlamentu, vladi države članice ili, u skladu s pravom države članice, drugim institucijama i telima, kao i javnosti, daje mišljenja o svim pitanjima koja se tiču zaštite podataka o ličnosti;

(v)

da odobrava obradu iz člana 36, stav 5, ako pravo države članice zahteva takvo prethodno odobrenje;

(g)

da daje mišljenja i odobrava nacrte kodeksa ponašanja u skladu sa članom 40, stav 5;

(d)

da akredituje sertifikaciona tela u skladu sa članom 43;

(đ)

da izdaje sertifikate i odobrava kriterijume sertifikacije u skladu sa članom 42, stav 5;

(e)

da usvaja standardne klauzule o zaštiti podataka iz člana 28, stav 8. i člana 46, stav 2, tačka (g);

(ž)

da odobrava ugovorne klauzule iz člana 46, stav 3, tačka (a);

(z)

da odobrava administrativne dogovore iz člana 46, stav 3, tačka (b);

(i)

da odobrava obavezujuća korporativna pravila u skladu sa članom 47.

(a)

nije nadležan za predmet zahteva ili za sprovođenje mera koje se od njega zahteva; ili

(b)

bi postupanje po zahtevu predstavljalo kršenje ove uredbe, prava Unije ili prava države članice koje se primenjuje na nadzorni organ kome je zahtev upućen.

(a)

ima za cilj usvajanje postupaka obrade na koje se primenjuje zahtev procene uticaja u vezi sa zaštitom podataka u skladu sa članom 35, stav 4;

(b)

se tiče pitanja u skladu sa članom 40, stav 7. o tome da li su nacrt kodeksa ponašanja ili izmena ili proširenje kodeksa ponašanja usklađeni s ovom uredbom;

(v)

ima za cilj odobravanje kriterijuma za akreditaciju tela na osnovu člana 41, stav 3. ili sertifikacionog tela na osnovu člana 43, stav 3;

(g)

ima za cilj utvrđivanje standardnih klauzula o zaštiti podataka iz člana 46, stav 2, tačka (g) i iz člana 28, stav 8;

(d)

ima za cilj odobravanje ugovornih klauzula iz člana 46, stav 3, tačka (a); ili

(đ)

ima za cilj odobravanje obavezujućih korporativnih pravila u smislu člana 47.

(a)

obaveštava članove Odbora i Komisiju o svim bitnim informacijama koje su mu dostavljene u standardizovanom formatu. Sekretarijat Odbora prema potrebi obezbeđuje prevode relevantnih informacija; i

(b)

o mišljenju obaveštava nadzorni organ iz stava 1, odnosno stava 2, u zavisnosti od slučaja, kao i Komisiju, i objavljuje mišljenje.

(a)

ako je, u slučaju iz člana 60, stav 4, zainteresovani nadzorni organ uložio relevantan i obrazložen prigovor na nacrt odluke vodećeg organa ili je vodeći organ odbio takav prigovor kao nerelevantan ili neobrazložen. Obavezujuća odluka odnosi se na sva pitanja koja su predmet relevantnog i obrazloženog prigovora, a posebno na pitanje kršenja ove uredbe;

(b)

ako postoje oprečna stanovišta o tome koji od zainteresovanih nadzornih organa je nadležan za glavno sedište;

(v)

ako nadležni nadzorni organ ne zatraži mišljenje Odbora u slučajevima iz člana 64, stav 1. ili ne uzme u obzir mišljenje Odbora dato u skladu sa članom 64. U tom slučaju, bilo koji zainteresovani nadzorni organ ili Komisija može da iznese stvar pred Odbor.

(a)

prati i obezbeđuje pravilnu primenu ove uredbe u slučajevima iz članova 64. i 65, ne dovodeći u pitanje zadatke nacionalnih nadzornih organa;

(b)

savetuje Komisiju o svim pitanjima koja se tiču zaštite podataka o ličnosti u Uniji, između ostalog i o svim predloženim izmenama ove uredbe;

(v)

savetuje Komisiju o formatu i postupcima za razmenu informacija među rukovaocima, obrađivačima i nadzornim organima za obavezujuća korporativna pravila;

(g)

izdaje smernice, preporuke i primere najbolje prakse u vezi s postupcima za brisanje linkova do podataka o ličnosti i kopija ili rekonstrukcija podataka o ličnosti iz javno dostupnih sredstava komunikacije iz člana 17, stav 2;

(d)

na sopstvenu inicijativu, na zahtev jednog od svojih članova ili na zahtev Komisije ispituje sva pitanja u vezi s primenom Uredbe i izdaje smernice, preporuke i primere najbolje prakse kojima podstiče doslednu primenu ove uredbe;

(đ)

izdaje smernice, preporuke i primere najbolje prakse u skladu s tačkom (d) ovog člana kojima bliže određuje kriterijume i uslove za odluke koje se zasnivaju na profilisanju u skladu sa članom 22, stav 2;

(e)

izdaje smernice, preporuke i primere najbolje prakse u skladu s tačkom (b) ovog člana za utvrđivanje povreda bezbednosti podataka o ličnosti i za određenje pojma "nepotrebno odlaganje" iz člana 33, st. 1. i 2, kao i za posebne okolnosti u kojima se od rukovaoca ili obrađivača zahteva obaveštavanje o povredi bezbednosti podataka o ličnosti;

(ž)

izdaje smernice, preporuke i primere najbolje prakse u skladu s tačkom (b) ovog člana u pogledu okolnosti u kojima je verovatno da će povreda bezbednosti podataka o ličnosti dovesti do visokog rizika za prava i slobode fizičkih lica iz člana 34, stav 1.

(z)

izdaje smernice, preporuke i primere najbolje prakse u skladu s tačkom (d) ovog člana u svrhu dodatnog određivanja kriterijuma i zahteva za prenose podataka o ličnosti na osnovu obavezujućih korporativnih pravila kojih se pridržavaju rukovaoci podataka i obavezujućih korporativnih pravila kojih se pridržavaju obrađivači te daljih zahteva potrebnih za obezbeđivanje zaštite podataka o ličnosti lica na koja se podaci odnose iz člana 47;

(i)

izdaje smernice, preporuke i primere najbolje prakse u skladu s tačkom (d) ovog člana kojima bliže određuje kriterijume i uslove za prenose podataka o ličnosti na osnovu člana 49, stav 1;

(j)

izrađuje smernice za nadzorne organe u vezi s primenom mera iz člana 58, st. 1, 2. i 3. i određuje administrativne novčane kazne u skladu sa članom 83;

(k)

preispituje praktičnu primenu smernica, preporuka i primera najbolje prakse iz tačaka (d) i (đ);

(l)

izdaje smernice, preporuke i primere najbolje prakse u skladu sa stavom 1, tačka (d) za uspostavljanje zajedničkih postupaka za obaveštavanje fizičkih lica o kršenjima ove uredbe u skladu sa članom 54, stav 2;

(lj)

podstiče izradu kodeksa ponašanja i uspostavljanje mehanizme sertifikacije zaštite podataka, kao i pečata i oznaka za zaštitu podataka u skladu sa članovima 40. i 42;

(m)

vrši akreditaciju sertifikacionih tela i periodično preispitivanje akreditacija u skladu sa članom 43. i vodi javnu evidenciju akreditovanih tela u skladu sa članom 43, stav 6. i akreditovanih rukovalaca ili obrađivača sa sedištem u trećim zemljama u skladu sa članom 42, stav 7;

(n)

određuje zahteve iz člana 43, stav 3. za potrebe akreditacije sertifikacionih tela u skladu sa članom 42;

(nj)

daje mišljenje Komisiji o zahtevima sertifikacije iz člana 43, stav 8;

(o)

daje mišljenje Komisiji o ikonama iz člana 12, stav 7;

(p)

daje mišljenje Komisiji o proceni adekvatnosti nivoa zaštite u trećoj zemlji ili međunarodnoj organizaciji, kao i o proceni o tome da li treća zemlja, teritorija, ili jedan ili više konkretnih sektora u trećoj zemlji ili međunarodna organizacija više ne obezbeđuje adekvatan nivo zaštite. U tu svrhu, Komisija dostavlja Odboru svu potrebnu dokumentaciju, uključujući i korespondenciju s vladom treće zemlje, u vezi s tom trećom zemljom, teritorijom ili određenim sektorom, odnosno međunarodnom organizacijom.

(r)

daje mišljenja o nacrtima odluka nadzornih organa u skladu s mehanizmom konzistentnosti iz člana 64, stav 1, kao i o pitanjima koja su dostavljena na osnovu člana 64, stav 2, i donosi obavezujuće odluke na osnovu člana 65, uključujući i slučajeve iz člana 66;

(s)

unapređuje saradnju i delotvornu bilateralnu i multilateralnu razmenu informacija i najboljih praksi između nadzornih organa;

(t)

unapređuje zajedničke programe osposobljavanja i olakšava razmenu osoblja među nadzornim organima, a u odgovarajućim slučajevima i sa nadzornim organima trećih zemalja ili međunarodnih organizacija;

(ć)

unapređuje razmenu znanja i dokumentacije o zakonodavstvu i praksi u oblasti zaštite podataka s nadzornim organima za zaštitu podataka širom sveta.

(u)

daje mišljenja o kodeksima ponašanja koji su sačinjeni na nivou Unije u skladu sa članom 40, stav 9; i

(f)

vodi javno dostupnu elektronsku evidenciju odluka koje donose nadzorni organi i sudovi o pitanjima koja se rešavaju u okviru mehanizma konzistentnosti.

(a)

saziva sastanke Odbora i priprema dnevni red;

(b)

obaveštava vodeći nadzorni organ i zainteresovane nadzorne organe o odlukama koje je Odbor usvojio u skladu sa članom 65;

(v)

obezbeđuje blagovremeno izvršavanje zadataka Odbora, posebno u vezi s mehanizmom konzistentnosti iz člana 63.

(a)

tekuće poslove Odbora;

(b)

komunikaciju između članova Odbora, njegovog predsednika i Komisije;

(v)

komunikaciju s drugim institucijama i javnošću;

(g)

upotrebu elektronskih sredstava za internu i eksternu komunikaciju;

(d)

prevode relevantnih informacija;

(đ)

pripremu sastanaka Odbora i dalje postupanje;

(e)

pripremu, izradu i objavljivanje mišljenja, odluka o rešavanju sporova među nadzornim organima i drugih tekstova koje Odbor usvaja.

(a)

priroda, težina i trajanje kršenja, imajući u vidu prirodu, obim i svrhu predmetne obrade, kao i broj lica na koja se podaci odnose i stepen štete koju su pretrpeli;

(b)

da li kršenje ima obeležje namere ili nemara;

(v)

svaka radnja koju je rukovalac ili obrađivač preduzeo kako bi ublažio štetu koju su pretrpela lica na koja se podaci odnose;

(g)

stepen odgovornosti rukovaoca ili obrađivača, pri čemu se uzimaju u obzir tehničke i organizacione mere koje su primenili u skladu sa članovima 25. i 32;

(d)

sva relevantna prethodna kršenja od strane rukovaoca ili obrađivača;

(đ)

stepen saradnje s nadzornim organom na otklanjanju kršenja i ublažavanju mogućih štetnih posledica kršenja;

(e)

kategorije podataka o ličnosti na koje kršenje utiče;

(ž)

način na koji je nadzorni organ saznao za kršenje, a posebno da li je i u kom obimu ga je rukovalac ili obrađivač obavestio o kršenju;

(z)

ako su protiv dotičnog rukovaoca ili obrađivača u vezi s istim predmetom prethodno izrečene mere iz člana 58, stav 2, poštovanje tih mera;

(i)

poštovanje odobrenih kodeksa ponašanja u skladu sa članom 40. ili odobrenih mehanizama sertifikacije u skladu sa članom 42; i

(j)

sve ostale otežavajuće ili olakšavajuće faktore koji su primenljivi na okolnosti slučaja, kao što su finansijska dobit ostvarena kršenjem ili izbegnuti gubici koji neposredno ili posredno proizilaze iz kršenja.

(a)

obaveza rukovaoca i obrađivača u skladu sa članovima 8, 11, 25. do 39, 42. i 43;

(b)

obaveza sertifikacionog tela u skladu sa članovima 42. i 43;

(v)

obaveza nadzornog organa u skladu sa članom 41, stav 4;

(a)

osnovnih načela obrade, uključujući i uslove pristanka, u skladu sa članovima 5, 6, 7. i 9;

(b)

prava lica na koja se podaci odnose u skladu sa članovima od 12. do 22;

(v)

prenosa podataka o ličnosti korisniku u trećoj zemlji ili međunarodnoj organizaciji u skladu sa članovima od 44. do 49;

(g)

svih obaveza u skladu s pravom države članice donetim na osnovu poglavlja IX;

(d)

nepoštovanja naredbe ili privremenog ili trajnog ograničavanja obrade ili privremenog obustavljanja protoka podataka od strane nadzornog organa u skladu sa članom 58, stav 2. ili neomogućavanje pristupa protivno članu 58, stav 1.

(a)

poglavlja V o prenosu podataka o ličnosti trećim zemljama ili međunarodnim organizacijama, posebno u pogledu odluka koje su donete na osnovu člana 45, stav 3. ove uredbe i odluka koje su donete na osnovu člana 25, stav 6. Direktive 95/46/EZ;

(b)

poglavlja VII. o saradnji i konzistentnosti.