Athugið að þetta er ekki nýjasta útgáfa lagasafns.
Athugið að þetta er ekki nýjasta útgáfa lagasafns.
Lagasafn. Íslensk lög 13. apríl 2021. Útgáfa 151b. Prenta í tveimur dálkum.
Lög um persónuvernd og vinnslu persónuupplýsinga
2018 nr. 90 27. júní
Ferill málsins á Alþingi. Frumvarp til laga.
Tóku gildi 15. júlí 2018. EES-samningurinn: XI. viðauki reglugerð 2016/679. Breytt með: L. 32/2019 (tóku gildi 1. júlí 2019). L. 71/2019 (tóku gildi 5. júlí 2019). L. 75/2019 (tóku gildi 5. júlí 2019). L. 140/2019 (tóku gildi 1. jan. 2020 nema 2. málsl. 3. mgr. 11. gr. sem tekur gildi 1. maí 2021, 2. mgr. 12. gr. sem tekur gildi 1. júní 2022, 4. mgr. 12. gr. sem tók gildi 1. janúar 2021 og 14. gr. sem tekur gildi 1. janúar 2022. L. 22/2020 (tóku gildi 21. mars 2020).
Ef í lögum þessum er getið um ráðherra eða ráðuneyti án þess að málefnasvið sé tilgreint sérstaklega eða til þess vísað, er átt við dómsmálaráðherra eða dómsmálaráðuneyti sem fer með lög þessi. Upplýsingar um málefnasvið ráðuneyta skv. forsetaúrskurði er að finna hér.
I. kafli. Markmið, orðskýringar og gildissvið.
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
1)Ákvörðun sameiginlegu EES-nefndarinnar nr. 154/2018.
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
1. Reglugerðin: Reglugerð Evrópuþingsins og ráðsins (ESB) 2016/679 frá 27. apríl 2016 um vernd einstaklinga í tengslum við vinnslu persónuupplýsinga og um frjálsa miðlun slíkra upplýsinga og niðurfellingu tilskipunar 95/46/EB.
2. Persónuupplýsingar: Upplýsingar um persónugreindan eða persónugreinanlegan einstakling („skráðan einstakling“); einstaklingur telst persónugreinanlegur ef unnt er að persónugreina hann, beint eða óbeint, svo sem með tilvísun í auðkenni eins og nafn, kennitölu, staðsetningargögn, netauðkenni eða einn eða fleiri þætti sem einkenna hann í líkamlegu, lífeðlisfræðilegu, erfðafræðilegu, andlegu, efnalegu, menningarlegu eða félagslegu tilliti.
3. Viðkvæmar persónuupplýsingar:
a. Upplýsingar um kynþátt, þjóðernislegan uppruna, stjórnmálaskoðanir, trúarbrögð, lífsskoðun eða aðild að stéttarfélagi.
b. Heilsufarsupplýsingar, þ.e. persónuupplýsingar sem varða líkamlegt eða andlegt heilbrigði einstaklings, þ.m.t. heilbrigðisþjónustu sem hann hefur fengið, og upplýsingar um lyfja-, áfengis- og vímuefnanotkun.
c. Upplýsingar um kynlíf manna og kynhneigð.
d. Erfðafræðilegar upplýsingar, þ.e. persónuupplýsingar sem varða arfgenga eða áunna erfðaeiginleika einstaklings sem gefa einkvæmar upplýsingar um lífeðlisfræði eða heilbrigði einstaklingsins og fást einkum með greiningu á líffræðilegu sýni frá viðkomandi einstaklingi.
e. Lífkennaupplýsingar, þ.e. persónuupplýsingar sem fást með sérstakri tæknivinnslu og tengjast líkamlegum, lífeðlisfræðilegum eða atferlisfræðilegum eiginleikum einstaklings og gera það kleift að greina eða staðfesta deili á einstaklingi með ótvíræðum hætti, svo sem andlitsmyndir eða gögn um fingraför, enda sé unnið með upplýsingarnar í því skyni að persónugreina einstakling með einkvæmum hætti.
4. Vinnsla: Aðgerð eða röð aðgerða þar sem persónuupplýsingar eru unnar, hvort sem vinnslan er sjálfvirk eða ekki, svo sem söfnun, skráning, flokkun, kerfisbinding, varðveisla, aðlögun eða breyting, heimt, skoðun, notkun, miðlun með framsendingu, dreifing eða aðrar aðferðir til að gera upplýsingarnar tiltækar, samtenging eða samkeyrsla, aðgangstakmörkun, eyðing eða eyðilegging.
5. Skrá: Skipulegt safn persónuupplýsinga sem er aðgengilegt samkvæmt tilteknum viðmiðunum, hvort heldur það er miðlægt, dreift eða skipt upp eftir notkun eða staðsetningu.
6. Ábyrgðaraðili: Einstaklingur, lögaðili, stjórnvald eða annar aðili sem ákveður einn eða í samvinnu við aðra tilgang og aðferðir við vinnslu persónuupplýsinga.
7. Vinnsluaðili: Einstaklingur eða lögaðili, stjórnvald eða annar aðili sem vinnur með persónuupplýsingar á vegum ábyrgðaraðila.
8. Samþykki: Óþvinguð, sértæk, upplýst og ótvíræð viljayfirlýsing hins skráða um að hann samþykki, með yfirlýsingu eða ótvíræðri staðfestingu, vinnslu persónuupplýsinga um sig.
9. Rafræn vöktun: Vöktun sem er viðvarandi eða endurtekin reglulega og felur í sér eftirlit með einstaklingum með fjarstýrðum eða sjálfvirkum búnaði og fer fram á almannafæri eða á svæði sem takmarkaður hópur fólks fer um að jafnaði. Hugtakið tekur til:
a. vöktunar sem leiðir, á að leiða eða getur leitt til vinnslu persónuupplýsinga og
b. sjónvarpsvöktunar sem fer fram með notkun sjónvarpsmyndavéla, vefmyndavéla eða annars samsvarandi búnaðar, án þess að fram fari söfnun myndefnis eða aðrar aðgerðir sem jafngilda vinnslu persónuupplýsinga.
10. Gerð persónusniðs: Sjálfvirk vinnsla persónuupplýsinga sem felst í því að nota persónuupplýsingar til að meta ákveðna þætti er varða hagi einstaklings, einkum að greina eða spá fyrir um þætti er varða frammistöðu hans í starfi, fjárhagsstöðu, heilsu, smekk, áhugamál, áreiðanleika, hegðun, staðsetningu eða hreyfanleika.
11. Öryggisbrestur við vinnslu persónuupplýsinga: Brestur á öryggi sem leiðir til óviljandi eða ólögmætrar eyðingar persónuupplýsinga eða þess að þær glatist, breytist, verði birtar eða aðgangur verði veittur að þeim í leyfisleysi.
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
1)L. 75/2019, 37. gr.
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
1. bjóða þessum skráðu einstaklingum á Evrópska efnahagssvæðinu vöru eða þjónustu, án tillits til þess hvort það er gert gegn greiðslu; eða
2. hafa eftirlit með hegðun þeirra að svo miklu leyti sem hegðun þeirra á sér stað innan þess svæðis.
![](/lagas/hk.jpg)
II. kafli. Almennar reglur um vinnslu.
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
1. að þær séu unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða;
2. að þær séu fengnar í skýrt tilgreindum, lögmætum og málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi; frekari vinnsla í sagnfræðilegum, tölfræðilegum eða vísindalegum tilgangi telst ekki ósamrýmanleg að því tilskildu að viðeigandi öryggis sé gætt;
3. að þær séu nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar;
4. að þær séu áreiðanlegar og uppfærðar eftir þörfum; persónuupplýsingum sem eru óáreiðanlegar eða ófullkomnar, miðað við tilgang vinnslu þeirra, skal eyða eða leiðrétta án tafar;
5. að þær séu varðveittar í því formi að ekki sé unnt að bera kennsl á skráða einstaklinga lengur en þörf krefur miðað við tilgang vinnslu; heimilt er að geyma persónuupplýsingar lengur að því tilskildu að vinnsla þeirra þjóni einungis skjalavistun í þágu almannahagsmuna, rannsókna á sviði vísinda eða sagnfræði eða í tölfræðilegum tilgangi og að viðeigandi öryggis sé gætt;
6. að þær séu unnar með þeim hætti að viðeigandi öryggi persónuupplýsinganna sé tryggt.
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
1. hinn skráði hafi gefið samþykki sitt fyrir vinnslu á persónuupplýsingum sínum í þágu eins eða fleiri tiltekinna markmiða;
2. vinnslan sé nauðsynleg til að efna samning sem hinn skráði er aðili að eða til að gera ráðstafanir að beiðni hins skráða áður en samningur er gerður;
3. vinnslan sé nauðsynleg til að fullnægja lagaskyldu sem hvílir á ábyrgðaraðila;
4. vinnslan sé nauðsynleg til að vernda brýna hagsmuni hins skráða eða annars einstaklings;
5. vinnslan sé nauðsynleg vegna verks sem unnið er í þágu almannahagsmuna eða við beitingu opinbers valds sem ábyrgðaraðili fer með;
6. vinnslan sé nauðsynleg vegna lögmætra hagsmuna sem ábyrgðaraðili eða þriðji maður gætir nema hagsmunir eða grundvallarréttindi og frelsi hins skráða sem krefjast verndar persónuupplýsinga vegi þyngra, einkum þegar hinn skráði er barn.
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
1. hinn skráði hafi veitt afdráttarlaust samþykki sitt fyrir vinnslunni í þágu eins eða fleiri tiltekinna markmiða;
2. vinnslan sé nauðsynleg til þess að ábyrgðaraðili eða hinn skráði geti staðið við skuldbindingar sínar og nýtt sér tiltekin réttindi samkvæmt vinnulöggjöf og löggjöf um almannatryggingar og félagslega vernd og fari fram á grundvelli laga sem kveða á um viðeigandi og sértækar ráðstafanir til að vernda grundvallarréttindi og hagsmuni hins skráða;
3. vinnslan sé nauðsynleg til að verja brýna hagsmuni hins skráða eða annars einstaklings sem ekki er sjálfur fær um að gefa samþykki sitt;
4. vinnslan fari fram sem liður í lögmætri starfsemi stofnunar, samtaka eða annars aðila sem starfar ekki í hagnaðarskyni og hefur stjórnmálaleg, heimspekileg, trúarleg eða stéttarfélagsleg markmið, enda nái vinnslan einungis til meðlima eða fyrrum meðlima viðkomandi aðila eða einstaklinga sem eru í reglulegu sambandi við hann í tengslum við tilgang hans, persónuupplýsingar séu ekki fengnar þriðja aðila í hendur án samþykkis hins skráða og gerðar séu viðeigandi verndarráðstafanir;
5. vinnslan taki einungis til upplýsinga sem hinn skráði hefur augljóslega sjálfur gert opinberar;
6. vinnslan sé nauðsynleg til að unnt sé að stofna, hafa uppi eða verja réttarkröfur;
7. vinnslan sé nauðsynleg, af ástæðum sem varða verulega almannahagsmuni, og fari fram á grundvelli laga sem kveða á um viðeigandi og sértækar ráðstafanir til að vernda grundvallarréttindi og hagsmuni hins skráða;
8. vinnslan sé nauðsynleg til að unnt sé að fyrirbyggja sjúkdóma eða vegna atvinnusjúkdómalækninga, til að meta vinnufærni starfsmanns, greina sjúkdóma og veita umönnun eða meðferð á sviði heilbrigðis- eða félagsþjónustu og fyrir henni sé sérstök lagaheimild, enda sé hún framkvæmd af starfsmanni slíkrar þjónustu sem bundinn er þagnarskyldu;
9. vinnslan sé nauðsynleg af ástæðum er varða almannahagsmuni á sviði lýðheilsu, svo sem til að verjast alvarlegum heilsufarsógnum sem ná yfir landamæri eða tryggja gæði og öryggi heilbrigðisþjónustu og lyfja eða lækningatækja, og fari fram á grundvelli laga sem kveða á um viðeigandi og sértækar ráðstafanir til að vernda grundvallarréttindi og hagsmuni hins skráða;
10. vinnslan sé nauðsynleg vegna tölfræði-, sagnfræði- eða vísindarannsókna, enda sé persónuvernd tryggð með tilteknum ráðstöfunum eftir því sem við á í samræmi við lög þessi og fari fram á grundvelli laga sem kveða á um viðeigandi og sértækar ráðstafanir til að vernda grundvallarréttindi og hagsmuni hins skráða;
11. vinnslan sé nauðsynleg vegna skjalavistunar í þágu almannahagsmuna og fari fram á grundvelli laga sem kveða á um viðeigandi og sértækar ráðstafanir til að vernda grundvallarréttindi og hagsmuni hins skráða, einkum þagnarskyldu.
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
1. hinn skráði hafi gefið afdráttarlaust samþykki sitt fyrir miðluninni;
2. miðlunin sé nauðsynleg í þágu lögmætra hagsmuna hins opinbera eða einkaaðila sem auðsjáanlega vega þyngra en þeir hagsmunir sem eru af leynd um upplýsingarnar, þar á meðal hagsmunir hins skráða;
3. miðlunin sé nauðsynleg í þágu lögbundinna verkefna viðkomandi stjórnvalds eða til að unnt sé að taka stjórnvaldsákvörðun; eða
4. miðlunin sé nauðsynleg vegna verkefnis í þágu hins opinbera sem einkaaðila hefur verið falið á lögmætan hátt.
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
1. vöktunin sé nauðsynleg og fari fram í öryggis- eða eignavörsluskyni;
2. það efni sem til verður við vöktunina verði ekki afhent öðrum eða unnið frekar nema með samþykki þess sem upptaka er af eða á grundvelli heimilda í reglum skv. 5. mgr.; heimilt er þó að afhenda lögreglu efni með upplýsingum um slys eða refsiverðan verknað en þá skal þess gætt að eyða öllum öðrum eintökum af efninu;
3. því efni sem safnast við vöktunina verði eytt þegar ekki er lengur málefnaleg ástæða til að varðveita það.
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
III. kafli. Réttindi hins skráða og takmarkanir á þeim.
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
1. þjóðaröryggi;
2. landvarnir;
3. almannaöryggi;
4. það að koma í veg fyrir, rannsaka, koma upp um eða saksækja fyrir refsiverð brot eða fullnægja refsiviðurlögum, þ.m.t. að vernda gegn og koma í veg fyrir ógnir við almannaöryggi;
5. önnur mikilvæg markmið sem þjóna almannahagsmunum, einkum efnahagslegum eða fjárhagslegum, þ.m.t. vegna gjaldeyrismála, fjárlaga og skattamála, lýðheilsu og almannatrygginga;
6. vernd skráðs einstaklings, brýnna almannahagsmuna eða grundvallarréttinda annarra;
7. það að einkaréttarlegum kröfum sé fullnægt;
8. lagaákvæði um þagnarskyldu.
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
1. ekki telst vera um afhendingu viðkvæmra persónuupplýsinga að ræða;
2. hinum skráðu hefur, áður en afhending fer fram, verið gefinn kostur á að andmæla því, hverjum fyrir sitt leyti, að upplýsingar um viðkomandi birtist á hinni afhentu skrá;
3. slíkt fer ekki gegn starfsreglum eða félagssamþykktum sem í gildi eru hjá viðkomandi ábyrgðaraðila;
4. ábyrgðaraðili kannar hvort einhver hinna skráðu hefur komið andmælum á framfæri við Þjóðskrá Íslands, sbr. 2. mgr., og eyðir upplýsingum um viðkomandi áður en hann lætur skrána af hendi ef svo reynist vera.
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
1)L. 140/2019, 25. gr.
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
IV. kafli. Almennar reglur um skyldur ábyrgðaraðila og vinnsluaðila og öryggi persónuupplýsinga.
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
V. kafli. Mat á áhrifum á persónuvernd, leyfisskylda o.fl.
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
1) Augl. 828/2019.
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
1) Rgl. 811/2019.
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
1. hvort tryggt sé að hinn skráði geti nýtt réttindi sín samkvæmt lögum þessum, þar á meðal til að afturkalla samþykki og eftir atvikum fá eytt skráðum persónuupplýsingum, svo og til að fá fræðslu um réttindi sín og beitingu þeirra;
2. hvort persónuupplýsingar verði nægjanlega öruggar, áreiðanlegar og uppfærðar í samræmi við tilgang vinnslunnar;
3. hvort með persónuupplýsingarnar verði farið af þeirri varúð sem reglur um þagnarskyldu og tilgangur vinnslunnar krefst;
4. hvort skipulagt hafi verið hvernig hinum skráða verði veittar upplýsingar og leiðbeiningar innan þeirra marka sem sanngjarnt er að ætlast til miðað við umfang vinnslunnar og aðrar öryggisráðstafanir sem viðhafðar eru;
5. hvort stofnað hafi verið til öryggisráðstafana sem séu eðlilegar miðað við tilgang vinnslunnar;
6. hvort mat á áhrifum á persónuvernd fari fram áður en vinnsla hefst.
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
VI. kafli. Persónuverndarfulltrúar og vottunaraðilar.
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
1. vinnsla er í höndum stjórnvalds;
2. meginstarfsemi ábyrgðaraðila eða vinnsluaðila felst í vinnsluaðgerðum sem krefjast, sakir eðlis síns, umfangs eða tilgangs, umfangsmikils, reglubundins og kerfisbundins eftirlits með skráðum einstaklingum, eða
3. meginstarfsemi ábyrgðaraðila eða vinnsluaðila felst í umfangsmikilli vinnslu viðkvæmra persónuupplýsinga eða upplýsinga sem varða sakfellingar í refsimálum og refsiverð brot.
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
1)L. 22/2020, 1. gr.
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
1)L. 32/2019, 10. gr.
VII. kafli. Eftirlit og viðurlög.
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
1) Rgl. 876/2018.
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
1. efla vitund og skilning almennings á áhættu, reglum, verndarráðstöfunum og réttindum í tengslum við vinnslu persónuupplýsinga, svo og vitund ábyrgðaraðila og vinnsluaðila um skyldur sínar;
2. veita Alþingi, stjórnvöldum og öðrum aðilum ráðgjöf á sviði lagasetningar og stjórnsýslu sem tengist vernd einstaklinga við vinnslu persónuupplýsinga;
3. veita, að fenginni beiðni, skráðum einstaklingi upplýsingar um það hvernig hann getur neytt réttinda sinna samkvæmt lögum þessum og reglugerðinni og, ef við á, starfa með eftirlitsstjórnvöldum í öðrum aðildarríkjum í því skyni;
4. eiga samstarf við eftirlitsstjórnvöld í öðrum aðildarríkjum, þ.m.t. með því að skiptast við þau á upplýsingum, og veita gagnkvæma aðstoð með það fyrir augum að tryggja samkvæmni í beitingu og framkvæmd laga þessara og reglugerðarinnar;
5. fylgjast með framvindu á sviðum tengdum persónuupplýsingavernd, einkum þróun upplýsinga- og fjarskiptatækni og viðskiptahátta;
6. samþykkja föst samningsákvæði eins og um getur í 8. mgr. 28. gr. og d-lið 2. mgr. 46. gr. reglugerðarinnar;
7. útbúa og viðhalda skrá yfir þær tegundir vinnsluaðgerða þar sem krafist er mats á áhrifum á persónuvernd skv. 4. mgr. 35. gr. reglugerðarinnar;
8. veita ráðgjöf um vinnsluaðgerðir eins og um getur í 2. mgr. 36. gr. reglugerðarinnar;
9. hvetja til þess að samdar verði hátternisreglur skv. 1. mgr. 40. gr. reglugerðarinnar og gefa álit á og samþykkja hátternisreglur sem tryggja fullnægjandi verndarráðstafanir skv. 5. mgr. 40. gr. hennar;
10. samþykkja viðmiðanir um vottun skv. 5. mgr. 42. gr. reglugerðarinnar og eftir atvikum láta fara fram reglubundna endurskoðun á vottunum sem eru gefnar út í samræmi við 7. mgr. 42. gr. hennar;
11. semja og birta drög að viðmiðunum um faggildingu aðila sem hafa eftirlit með framkvæmd hátternisreglna skv. 41. gr. reglugerðarinnar og vottunaraðila skv. 43. gr. hennar og annast faggildingu sömu aðila;
12. samþykkja ákvæði, þar á meðal í samningum, eins og um getur í 3. mgr. 46. gr. reglugerðarinnar;
13. samþykkja bindandi fyrirtækjareglur skv. 47. gr. reglugerðarinnar;
14. taka þátt í starfsemi Evrópska persónuverndarráðsins;
15. skrásetja brot á reglugerðinni og ráðstafanir sem gerðar eru í samræmi við 2. mgr. 58. gr. hennar;
16. birta árlega skýrslu um starfsemi sína;
17. sinna öðrum störfum sem tengjast vernd persónuupplýsinga.
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
1. til að fyrirskipa að ábyrgðaraðili og vinnsluaðili og, eftir atvikum, fulltrúi þeirra veiti hverjar þær upplýsingar sem hún þarfnast vegna framkvæmdar laga þessara og reglugerðarinnar;
2. til að gera úttektir á vinnslu persónuupplýsinga;
3. til að láta fara fram endurskoðun á vottunum sem eru gefnar út skv. 7. mgr. 42. gr. reglugerðarinnar;
4. til að tilkynna ábyrgðaraðila eða vinnsluaðila um meint brot á reglugerðinni;
5. til að fá hjá ábyrgðaraðila og vinnsluaðila aðgang að öllum þeim gögnum, þar á meðal persónuupplýsingum, sem nauðsynleg eru við framkvæmd laga þessara;
6. til aðgangs að húsnæði þar sem vinnsla persónuupplýsinga fer fram eða gögn eru varðveitt, þ.m.t. hvers kyns gagnavinnslubúnaður; Persónuvernd getur framkvæmt hverja þá prófun eða eftirlitsaðgerð sem hún telur nauðsynlega og krafist nauðsynlegrar aðstoðar starfsfólks á slíkum vettvangi til að framkvæma prófun eða eftirlit.
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
1. veitt ábyrgðaraðila eða vinnsluaðila viðvörun um að líklegt sé að fyrirhugaðar vinnsluaðgerðir brjóti í bága við ákvæði reglugerðarinnar;
2. veitt ábyrgðaraðila eða vinnsluaðila áminningu ef vinnsluaðgerðir hafa brotið í bága við reglugerðina;
3. gefið fyrirmæli um að ábyrgðaraðili eða vinnsluaðili fari að beiðnum hins skráða um að fá að neyta réttinda sinna samkvæmt reglugerðinni;
4. gefið fyrirmæli um að ábyrgðaraðili eða vinnsluaðili færi vinnsluaðgerðir til samræmis við ákvæði reglugerðarinnar, eftir því sem við á, með tilteknum hætti og innan tiltekins tíma;
5. gefið fyrirmæli um að ábyrgðaraðili tilkynni hinum skráða um öryggisbrest við meðferð persónuupplýsinga;
6. takmarkað eða bannað vinnslu tímabundið eða til frambúðar;
7. gefið fyrirmæli um leiðréttingu eða eyðingu persónuupplýsinga eða takmörkun á vinnslu þeirra skv. 16., 17. og 18. gr. reglugerðarinnar og að slíkar aðgerðir verði tilkynntar viðtakendum sem fengið hafa persónuupplýsingarnar í hendur skv. 2. mgr. 17. gr. og 19. gr. hennar;
8. afturkallað vottun eða fyrirskipað að vottunaraðili afturkalli vottun sem gefin var út skv. 42. og 43. gr. reglugerðarinnar;
9. gefið fyrirmæli um tímabundna stöðvun gagnaflæðis til viðtakanda í þriðja landi eða til alþjóðastofnunar.
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
1. til að veita ábyrgðaraðila ráðgjöf í samræmi við fyrirframsamráðsferlið sem um getur í 36. gr. reglugerðarinnar;
2. til að leggja, að eigin frumkvæði eða samkvæmt beiðni, álitsgerðir fyrir Alþingi eða stjórnvöld eða aðra aðila um hvert það málefni sem tengist vernd persónuupplýsinga;
3. til að leyfa vinnslu þar sem fyrirframheimildar er krafist samkvæmt lögum;
4. til að gefa álit og samþykkja drög að hátternisreglum skv. 5. mgr. 40. gr. reglugerðarinnar;
5. til að veita umsagnir vegna faggildingar vottunaraðila skv. 43. gr. reglugerðarinnar og samþykkja viðmiðanir fyrir vottun í samræmi við 5. mgr. 42. gr. hennar;
6. til að samþykkja stöðluð ákvæði um persónuvernd eins og um getur í 8. mgr. 28. gr. og d-lið 2. mgr. 46. gr. reglugerðarinnar;
7. til að leyfa samningsákvæði sem um getur í a-lið 3. mgr. 46. gr. reglugerðarinnar;
8. til að leyfa stjórnvaldsráðstafanir sem um getur í b-lið 3. mgr. 46. gr. reglugerðarinnar;
9. til að samþykkja bindandi fyrirtækjareglur skv. 47. gr. reglugerðarinnar.
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
1)L. 71/2019, 5. gr.
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
1. um skyldur ábyrgðaraðila og vinnsluaðila skv. 8., 25.–39., 42. og 43. gr. reglugerðarinnar;
2. um skyldur vottunaraðila skv. 42. og 43. gr. reglugerðarinnar;
3. um skyldur eftirlitsaðila skv. 4. mgr. 41. gr. reglugerðarinnar.
![](/lagas/hk.jpg)
1. um grundvallarreglur um vinnslu, þ.m.t. skilyrði fyrir samþykki, skv. 5., 6., 7. og 9. gr. reglugerðarinnar;
2. um réttindi skráðra einstaklinga skv. 12.–22. gr. reglugerðarinnar;
3. um miðlun persónuupplýsinga til viðtakanda í þriðja landi eða alþjóðastofnunar skv. 44.–49. gr. reglugerðarinnar;
4. ef ekki er farið að skyldu til að veita Persónuvernd aðgang að öllum gögnum og húsnæði skv. 5. og 6. tölul. 1. mgr. 41. gr. laga þessara;
5. ef ekki er farið að fyrirmælum Persónuverndar um takmörkun eða bann við vinnslu persónuupplýsinga, um leiðréttingu eða eyðingu þeirra eða um stöðvun gagnaflæðis skv. 6., 7. og 9. tölul. 42. gr. laga þessara.
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
1. hvers eðlis, hversu alvarlegt og hversu langvarandi brotið er, með tilliti til eðlis, umfangs eða tilgangs vinnslunnar sem um er að ræða og fjölda skráðra einstaklinga sem urðu fyrir því og hversu alvarlegu tjóni þeir urðu fyrir;
2. hvort brotið var framið af ásetningi eða af gáleysi;
3. aðgerða sem ábyrgðaraðilinn eða vinnsluaðilinn hefur gripið til í því skyni að draga úr tjóni skráðra einstaklinga;
4. hversu mikla ábyrgð ábyrgðaraðili eða vinnsluaðili ber með tilliti til tæknilegra og skipulagslegra ráðstafana sem þeir hafa komið til framkvæmda skv. 25. og 32. gr. reglugerðarinnar;
5. fyrri brota ábyrgðaraðila eða vinnsluaðila sem máli skipta, ef einhver eru;
6. umfangs samvinnu við Persónuvernd til þess að bæta úr broti og draga úr mögulegum skaðlegum áhrifum þess;
7. hvaða flokka persónuupplýsinga brotið hafði áhrif á;
8. með hvaða hætti eftirlitsstjórnvaldinu var gert kunnugt um brotið, einkum hvort, og þá að hvaða leyti, ábyrgðaraðili eða vinnsluaðili tilkynnti um brotið;
9. fylgni við fyrirmæli Persónuverndar um ráðstafanir til úrbóta skv. 42. gr. laga þessara hafi fyrirmælum um slíkar ráðstafanir áður verið beint til hlutaðeigandi ábyrgðaraðila eða vinnsluaðila að því er varðar sama efni;
10. fylgni við viðurkenndar hátternisreglur skv. 40. gr. reglugerðarinnar eða viðurkennt vottunarfyrirkomulag skv. 42. gr. hennar;
11. annarra íþyngjandi eða mildandi þátta sem varða kringumstæður málsins, svo sem hagnaðar sem fékkst eða taps sem komist var hjá, með beinum eða óbeinum hætti, vegna brotsins.
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
VIII. kafli. Gildistaka o.fl.
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
Ákvæði til bráðabirgða.
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
1)L. 75/2019, 37. gr.
Fylgiskjal.
Reglugerð Evrópuþingsins og ráðsins (ESB) 2016/679
frá 27. apríl 2016
um vernd einstaklinga í tengslum við vinnslu persónuupplýsinga og um frjálsa miðlun slíkra upplýsinga og niðurfellingu tilskipunar 95/46/EB (almenna persónuverndarreglugerðin)
EVRÓPUÞINGIÐ OG RÁÐ EVRÓPUSAMBANDSINS HAFA,
með hliðsjón af sáttmálanum um starfshætti Evrópusambandsins, einkum 16. gr.,
með hliðsjón af tillögu framkvæmdastjórnar Evrópusambandsins,
eftir að hafa lagt drög að lagagerð fyrir þjóðþingin,
með hliðsjón af áliti efnahags- og félagsmálanefndar Evrópusambandsins ( Stjtíð. ESB C 229, 31.7.2012, bls. 90.),
með hliðsjón af áliti svæðanefndarinnar ( Stjtíð. ESB C 391, 18.12.2012, bls. 127.),
í samræmi við almenna lagasetningarmeðferð ( Afstaða Evrópuþingsins frá 12. mars 2014 (hefur enn ekki verið birt í Stjórnartíðindunum) og afstaða ráðsins eftir fyrstu umræðu frá 8. apríl 2016 (hefur enn ekki verið birt í Stjórnartíðindunum). Afstaða Evrópuþingsins frá 14. apríl 2016.),
og að teknu tilliti til eftirfarandi:
1) Vernd einstaklinga í tengslum við vinnslu persónuupplýsinga telst til grundvallarréttinda. Í 1. mgr. 8. gr. sáttmála Evrópusambandsins um grundvallarréttindi („sáttmálanum um grundvallarréttindi“) og í 1. mgr. 16. gr. sáttmálans um starfshætti Evrópusambandsins er kveðið á um að sérhver einstaklingur eigi rétt á að persónuupplýsingar um hann njóti verndar.
2) Meginreglur og reglur um vernd einstaklinga í tengslum við vinnslu persónuupplýsinga þeirra ættu að virða grundvallarréttindi og frelsi einstaklinga án tillits til ríkisfangs þeirra eða búsetu, einkum rétt þeirra til verndar persónuupplýsingum. Reglugerð þessari er ætlað að stuðla að því að koma á svæði frelsis, öryggis og réttlætis og efnahagsbandalagi, að efnahagslegri og félagslegri þróun, að styrkingu og aukinni samleitni efnahagskerfa sem mynda innri markaðinn og að velferð einstaklinga.
3) Í tilskipun Evrópuþingsins og ráðsins 95/46/EB ( Tilskipun Evrópuþingsins og ráðsins 95/46/EB frá 24. október 1995 um vernd einstaklinga í tengslum við vinnslu persónuupplýsinga og um frjálsa miðlun slíkra upplýsinga (Stjtíð. EB L 281, 23.11.1995, bls. 31).) er leitast við að samræma vernd grundvallarréttinda og frelsis einstaklinga í tengslum við vinnslustarfsemi og tryggja frjálst flæði persónuupplýsinga milli aðildarríkja.
4) Vinnsla persónuupplýsinga ætti að hafa það að markmiði að þjóna mannkyninu. Rétturinn til verndar persónuupplýsingum er ekki ófrávíkjanlegur, hann þarf að ígrunda í tengslum við hlutverk hans í samfélaginu og vega hann og meta gagnvart öðrum grundvallarréttindum í samræmi við meðalhófsregluna. Í þessari reglugerð eru öll grundvallarréttindi og mannfrelsi virt og þeim meginreglum fylgt sem eru viðurkenndar í sáttmálanum um grundvallarréttindi eins og þær koma fram í sáttmálunum, einkum varðandi friðhelgi einkalífs og fjölskyldu, heimilis og samskipta, vernd persónuupplýsinga, hugsana-, samvisku- og trúfrelsi, tjáningar- og upplýsingafrelsi, frelsi til atvinnurekstrar, rétt til skilvirks úrræðis til að leita réttar síns og réttlátrar málsmeðferðar fyrir dómi og fjölbreytni menningar, trúarbragða og tungumála.
5) Með þeirri efnahagslegu og félagslegu aðlögun, sem fylgir starfsemi innri markaðarins, hefur flæði persónuupplýsinga yfir landamæri aukist verulega. Skipti á persónuupplýsingum milli opinberra aðila og einkaaðila, þ.m.t. einstaklinga, samtaka og fyrirtækja í Sambandinu, hafa farið vaxandi. Samkvæmt lögum Sambandsins ber yfirvöldum í aðildarríkjunum að starfa saman og skiptast á persónuupplýsingum til að þau geti rækt skyldur sínar og framkvæmt verkefni fyrir hönd yfirvalda í öðru aðildarríki.
6) Hröð tækniþróun og hnattvæðing hafa leitt til nýrra viðfangsefna varðandi vernd persónuupplýsinga. Umfang söfnunar og miðlunar persónuupplýsinga hefur aukist verulega. Tæknin gerir jafnt einkafyrirtækjum sem opinberum yfirvöldum kleift að nýta persónuupplýsingar við starfsemi sína í áður óþekktum mæli. Einstaklingar gera í auknum mæli persónuupplýsingar aðgengilegar öllum og á alþjóðavísu. Tæknin hefur breytt bæði efnahagskerfinu og félagslífi fólks og ætti að greiða enn frekar fyrir frjálsu flæði persónuupplýsinga innan Sambandsins og miðlun þeirra til þriðju landa og alþjóðastofnana, jafnframt því að tryggja öfluga vernd upplýsinganna.
7) Þessi þróun kallar á að komið verði á fót öflugum og heildstæðari ramma um persónuvernd í Sambandinu og honum fylgt kröftuglega eftir, með hliðsjón af mikilvægi þess að skapa traust sem gerir hinu stafræna hagkerfi kleift að þróast á öllum innri markaðnum. Einstaklingar ættu að stjórna eigin persónuupplýsingum. Efla ætti réttarvissu og fyrirsjáanleika gagnvart einstaklingum, rekstraraðilum og opinberum yfirvöldum.
8) Þegar kveðið er á um það í þessari reglugerð að setja megi fram í lögum aðildarríkja skýringar eða takmarkanir á reglum hennar er aðildarríkjum heimilt að fella inn í landslög sín þætti úr þessari reglugerð að því marki sem nauðsynlegt er vegna samræmis og til þess að gera ákvæði landslaga skiljanleg þeim sem þau eiga við um.
9) Markmið og meginreglur tilskipunar 95/46/EB standa enn fyrir sínu en hún hefur ekki náð að sporna gegn sundurlausri framkvæmd persónuverndar innan Sambandsins, réttaróvissu eða þeim útbreiddu hugmyndum meðal almennings að fyrir hendi sé veruleg áhætta fyrir vernd einstaklinga, einkum í tengslum við Netnotkun. Réttindi og frelsi einstaklinga, einkum rétturinn til verndar persónuupplýsingum, njóta mismikillar verndar í aðildarríkjunum í tengslum við vinnslu persónuupplýsinga og getur það hindrað frjálst flæði persónuupplýsinga um Sambandið. Þessi munur getur því orðið hindrun í vegi ýmiss konar atvinnustarfsemi á vettvangi Sambandsins, raskað samkeppni og komið í veg fyrir að yfirvöld sinni skyldustörfum sínum samkvæmt lögum Sambandsins. Þennan mun á vernd má rekja til þess mismunar sem er á framkvæmd og beitingu tilskipunar 95/46/EB.
10) Til þess að tryggja einstaklingum samræmda og öfluga vernd og ryðja úr vegi hindrunum á flæði persónuupplýsinga innan Sambandsins ætti vernd réttinda og frelsis einstaklinga í tengslum við vinnslu slíkra upplýsinga að vera sambærileg í öllum aðildarríkjunum. Tryggja ætti alls staðar í Sambandinu samræmda og einsleita beitingu reglna um vernd grundvallarréttinda og frelsis einstaklinga í tengslum við vinnslu persónuupplýsinga. Að því er varðar vinnslu persónuupplýsinga til þess að fullnægja lagaskyldu ætti aðildarríkjunum að vera heimilt, vegna framkvæmdar á verkefni sem unnið er í þágu almannahagsmuna eða við beitingu opinbers valds sem ábyrgðaraðili fer með, að viðhalda eða innleiða ný ákvæði í landslög til að tilgreina nánar hvernig þessari reglugerð skuli beitt. Auk almennrar og láréttrar löggjafar um persónuvernd, sem sett er til framkvæmdar tilskipun 95/46/EB, hafa aðildarríkin ýmsa geirabundna löggjöf á sviðum þar sem þörf er á sértækari ákvæðum. Þessi reglugerð veitir aðildarríkjunum einnig ákveðið svigrúm til að skilgreina reglur sínar, m.a. varðandi vinnslu sérstakra flokka persónuupplýsinga („viðkvæmra upplýsinga“). Hvað þetta varðar útilokar þessi reglugerð ekki að í lögum aðildarríkjanna sé mælt fyrir um aðstæður sem réttlæta sérstaka vinnslu, þar sem m.a. er skilgreint nánar með hvaða skilyrðum vinnsla persónuupplýsinga sé lögmæt.
11) Til að tryggja skilvirka vernd persónuupplýsinga alls staðar í Sambandinu þarf að styrkja og setja fram með ítarlegum hætti réttindi skráðra einstaklinga og skyldur þeirra sem vinna persónuupplýsingar og taka ákvarðanir um vinnslu þeirra, svo og samsvarandi heimildir til að hafa eftirlit með og tryggja að farið sé að reglum um vernd persónuupplýsinga, og setja fram sambærileg viðurlög vegna brota í aðildarríkjunum.
12) Í 2. mgr. 16. gr. sáttmálans um starfshætti Evrópusambandsins er Evrópuþinginu og ráðinu veitt heimild til að mæla fyrir um reglur er varða vernd einstaklinga með tilliti til vinnslu persónuupplýsinga og um reglur er varða frjálsa miðlun slíkra upplýsinga.
13) Til að tryggja samræmda vernd einstaklinga alls staðar í Sambandinu og koma í veg fyrir að misræmi hamli frjálsri miðlun persónuupplýsinga á innri markaðnum er þörf á reglugerð sem skapar réttarvissu og gagnsæi gagnvart rekstraraðilum, þ.m.t. örfyrirtækjum, litlum og meðalstórum fyrirtækjum, tryggir einstaklingum í öllum aðildarríkjum sömu lagalega framfylgjanlegu réttindi og skyldur og leggur samsvarandi ábyrgð á herðar ábyrgðaraðilum og vinnsluaðilum, og tryggir samræmt eftirlit með vinnslu persónuupplýsinga og sambærileg viðurlög í öllum aðildarríkjum, sem og skilvirkt samstarf milli eftirlitsyfirvalda einstakra aðildarríkja. Eðlileg starfsemi innri markaðarins krefst þess að ekki séu settar takmarkanir eða lagt bann við frjálsri miðlun persónuupplýsinga innan Sambandsins af ástæðum sem varða vernd einstaklinga í tengslum við vinnslu persónuupplýsinga. Með hliðsjón af sérstökum aðstæðum örfyrirtækja, lítilla og meðalstórra fyrirtækja er sett fram undanþága í þessari reglugerð varðandi skráahald fyrirtækja með færri en 250 starfsmenn. Enn fremur eru stofnanir og aðilar Sambandsins og aðildarríkin og eftirlitsyfirvöld þeirra hvött til að taka tillit til sérstakra þarfa örfyrirtækja, lítilla og meðalstórra fyrirtækja við beitingu þessarar reglugerðar. Hugtökin örfyrirtæki, lítið og meðalstórt fyrirtæki ættu að byggjast á 2. gr. viðaukans við tilmæli framkvæmdastjórnarinnar 2003/361/EB ( Tilmæli framkvæmdastjórnarinnar frá 6. maí 2003 um skilgreininguna á örfyrirtækjum, litlum fyrirtækjum og meðalstórum fyrirtækjum (Stjtíð. ESB L 124, 20.5.2003, bls. 36).).
14) Sú vernd, sem þessi reglugerð veitir í tengslum við vinnslu persónuupplýsinga, ætti að gilda um einstaklinga án tillits til ríkisfangs eða búsetu. Þessi reglugerð nær ekki yfir vinnslu persónuupplýsinga er varða lögaðila, einkum fyrirtæki sem stofnuð eru sem lögaðilar, þ.m.t. upplýsinga um heiti lögaðila, rekstrarform hans og samskiptaupplýsingar.
15) Til að komast hjá því að fram komi alvarleg hætta á að reglur verði sniðgengnar ætti vernd einstaklinga að vera tæknilega hlutlaus og ekki háð þeim aðferðum sem notaðar eru. Vernd einstaklinga ætti að eiga við um sjálfvirka jafnt sem handvirka vinnslu persónuupplýsinga ef upplýsingarnar eru varðveittar eða ráðgert er að varðveita þær í skráningarkerfi. Skjöl eða skjalaraðir, sem og forsíður þeirra, sem eru ekki skipulagðar samkvæmt tilteknum viðmiðunum, ættu ekki að falla undir gildissvið þessarar reglugerðar.
16) Þessi reglugerð á ekki við um vernd grundvallarréttinda og mannfrelsis eða frjálst flæði persónuupplýsinga í tengslum við starfsemi sem fellur utan gildissviðs laga Sambandsins, s.s. starfsemi er varðar þjóðaröryggi. Þessi reglugerð á ekki við um vinnslu aðildarríkjanna á persónuupplýsingum vegna starfsemi í tengslum við sameiginlega stefnu Sambandsins í utanríkis- og öryggismálum.
17) Reglugerð Evrópuþingsins og ráðsins (EB) nr. 45/2001 ( Reglugerð Evrópuþingsins og ráðsins (EB) nr. 45/2001 frá 18. desember 2000 um vernd einstaklinga í tengslum við vinnslu persónuupplýsinga, sem stofnanir og aðilar Bandalagsins hafa unnið, og um frjálsa miðlun slíkra upplýsinga (Stjtíð. EB L 8, 12.1.2001, bls. 1).) gildir um vinnslu stofnana, aðila, skrifstofa og sérstofnana Sambandsins á persónuupplýsingum. Laga ætti reglugerð (EB) nr. 45/2001 og aðrar réttargerðir Sambandsins, sem eiga við um slíka vinnslu persónuupplýsinga, að þeim meginreglum og reglum sem komið er á með þessari reglugerð og beitt er í ljósi þessarar reglugerðar. Í því skyni að setja öflugan og samræmdan ramma um persónuvernd í Sambandinu ættu nauðsynlegar aðlaganir á reglugerð (EB) nr. 45/2001 að fylgja í kjölfar samþykktar þessarar reglugerðar til þess að þær geti komið til framkvæmda á sama tíma og hún.
18) Þessi reglugerð á ekki við um vinnslu einstaklings á persónuupplýsingum ef hún er einungis í þágu hans sjálfs eða fjölskyldu hans og hefur þannig engin tengsl við atvinnu- eða viðskiptastarfsemi. Vinnsla, sem er einungis í þágu einstaklings eða fjölskyldu hans, getur t.d. tekið til bréfaskrifta og þess að halda skrár yfir heimilisföng, notkunar samfélagsmiðla og Netnotkunar sem fram fer í tengslum við slíka vinnslu. Hins vegar á þessi reglugerð við um ábyrgðaraðila eða vinnsluaðila sem setja fram leiðir til að vinna persónuupplýsingar í þágu einstaklings eða fjölskyldu hans.
19) Vernd einstaklinga að því er varðar vinnslu lögbærra yfirvalda á persónuupplýsingum í þeim tilgangi að koma í veg fyrir, rannsaka, koma upp um eða saksækja fyrir refsiverð brot eða fullnægja refsiviðurlögum, þ.m.t. að vernda gegn og koma í veg fyrir ógnir við almannaöryggi og frjálsa miðlun slíkra upplýsinga, er efni í sérstaka réttargerð Sambandsins. Þessi reglugerð ætti því ekki að gilda um vinnslustarfsemi í þessum tilgangi. Persónuupplýsingar, sem opinber yfirvöld taka til vinnslu samkvæmt þessari reglugerð, ættu hins vegar að heyra undir sértækari réttargerð Sambandsins þegar þær eru notaðar í þessum tilgangi, þ.e. tilskipun Evrópuþingsins og ráðsins (ESB) 2016/680 ( Tilskipun Evrópuþingsins og ráðsins (ESB) 2016/680 frá 27. apríl 2016 um vernd einstaklinga að því er varðar vinnslu lögbærra yfirvalda á persónuupplýsingum í tengslum við að koma í veg fyrir, rannsaka, koma upp um eða saksækja fyrir refsiverð brot eða fullnægja refsiviðurlögum og frjálsa miðlun slíkra upplýsinga og um niðurfellingu rammaákvörðunar ráðsins 2008/977/DIM (Stjtíð. ESB L 119, 4.5.2016, bls. 89).). Aðildarríkin geta falið lögbærum yfirvöldum í skilningi tilskipunar (ESB) 2016/680 verkefni, sem ekki eru endilega unnin í þeim tilgangi að koma í veg fyrir, rannsaka, koma upp um eða saksækja fyrir refsiverð brot eða fullnægja refsiviðurlögum, þ.m.t. að vernda gegn og koma í veg fyrir ógnir við almannaöryggi, þannig að vinnsla persónuupplýsinga í þessum öðrum tilgangi falli, að svo miklu leyti sem hún fellur undir lög Sambandsins, innan gildissviðs þessarar reglugerðar.
Að því er varðar vinnslu þessara lögbæru yfirvalda á persónuupplýsingum í þeim tilgangi sem fellur innan gildissviðs þessarar reglugerðar ætti aðildarríkjunum að vera heimilt að viðhalda eða innleiða sértækari ákvæði til að aðlaga beitingu reglna þessarar reglugerðar. Í slíkum ákvæðum mætti tilgreina nánar sértækar kröfur um vinnslu þessara lögbæru yfirvalda á persónuupplýsingum í þessum öðrum tilgangi, með hliðsjón af stjórnskipan, stjórnskipulagi og skipulagi stjórnsýslu í viðkomandi aðildarríki. Þegar vinnsla einkaaðila á persónuupplýsingum fellur innan gildissviðs þessarar reglugerðar ætti hún að veita aðildarríkjunum kost á að takmarka að lögum, við sérstakar aðstæður, tilteknar skyldur og réttindi þegar slík takmörkun telst nauðsynleg og hófleg ráðstöfun í lýðræðisþjóðfélagi til að standa vörð um tiltekna mikilvæga hagsmuni, m.a. almannaöryggi, og koma í veg fyrir, rannsaka, koma upp um eða saksækja fyrir refsiverð brot eða fullnægja refsiviðurlögum, þ.m.t. að vernda gegn og koma í veg fyrir ógnir við almannaöryggi. Þetta á m.a. við innan ramma baráttu gegn peningaþvætti eða í starfsemi réttarrannsóknarstofa.
20) Enda þótt þessi reglugerð gildi m.a. um starfsemi dómstóla og annarra dómsyfirvalda mætti í lögum Sambandsins eða lögum aðildarríkis tilgreina vinnsluaðgerðir og verklagsreglur í tengslum við vinnslu dómstóla og annarra dómsyfirvalda á persónuupplýsingum. Til að standa vörð um sjálfstæði dómskerfisins við framkvæmd verkefna þess á sviði dómsmála, m.a. ákvarðanatöku, ætti valdsvið eftirlitsyfirvalda ekki að ná til vinnslu dómstóla á persónuupplýsingum þegar þeir fara með dómsvald sitt. Mögulegt ætti að vera að fela eftirlit með slíkri gagnavinnslu sérstökum aðilum innan dómskerfis aðildarríkisins sem ættu einkum að tryggja að farið sé að reglum þessarar reglugerðar, efla vitund dómara um skyldur sínar samkvæmt henni og annast meðferð kvartana í tengslum við slíka gagnavinnslu.
21) Þessi reglugerð hefur ekki áhrif á beitingu tilskipunar Evrópuþingsins og ráðsins 2000/31/EB ( Tilskipun Evrópuþingsins og ráðsins 2000/31/EB frá 8. júní 2000 um tiltekna lagalega þætti þjónustu, einkum rafrænna viðskipta, í tengslum við upplýsingasamfélagið á innri markaðnum (tilskipun um rafræn viðskipti) (Stjtíð. EB L 178, 17.7.2000, bls. 1).), einkum reglur í 12.–15. gr. hennar um bótaábyrgð þjónustuveitenda sem eru milliliðir. Með þeirri tilskipun er leitast við að stuðla að eðlilegri starfsemi innri markaðarins með því að tryggja frjálsa þjónustustarfsemi milli aðildarríkjanna á sviði upplýsingasamfélagsins.
22) Hvers kyns vinnsla persónuupplýsinga í tengslum við starfsemi starfsstöðvar ábyrgðaraðila eða vinnsluaðila í Sambandinu ætti að fara fram í samræmi við þessa reglugerð, án tillits til þess hvort vinnslan sjálf fer fram í Sambandinu. Með staðfestu er átt við virka og raunverulega starfsemi með föstu fyrirkomulagi. Lögákveðið rekstrarform slíks fyrirkomulags, hvort sem um er að ræða útibú eða dótturfélag með réttarstöðu lögaðila, ræður ekki úrslitum að því er þetta varðar.
23) Til að tryggja að einstaklingar séu ekki sviptir þeirri vernd, sem þeir eiga rétt á samkvæmt þessari reglugerð, ætti vinnsla ábyrgðaraðila eða vinnsluaðila, sem ekki hefur staðfestu í Sambandinu, á persónuupplýsingum um skráða einstaklinga, sem eru í Sambandinu, að heyra undir þessa reglugerð ef vinnslustarfsemin tengist því að bjóða hinum skráðu vörur eða þjónustu, án tillits til þess hvort það er gegn greiðslu. Til að ákvarða hvort slíkur ábyrgðaraðili eða vinnsluaðili bjóði skráðum einstaklingum í Sambandinu vörur og þjónustu ætti að ganga úr skugga um hvort ljóst sé að ábyrgðaraðilinn eða vinnsluaðilinn hafi í hyggju að bjóða skráðum einstaklingum þjónustu í einu eða fleiri aðildarríkjum Sambandsins. Enda þótt aðgangurinn einn og sér að vefsetri ábyrgðaraðila, vinnsluaðila eða milliliðar í Sambandinu, netfangi hans eða öðrum upplýsingum um hvernig megi nálgast viðkomandi, eða notkun tungumáls, sem almennt er notað í þriðja landinu þar sem ábyrgðaraðili hefur staðfestu, nægi ekki til að staðfesta að um slíka fyrirætlan sé að ræða, geta þættir eins og að nota tungumál eða gjaldmiðil, sem er almennt notaður í einu eða fleiri aðildarríkjum, og möguleikinn á að panta vörur og þjónustu á því tungumáli eða að nefna viðskiptavini eða notendur í Sambandinu, gert það ljóst að ábyrgðaraðili hefur í hyggju að bjóða skráðum einstaklingum í Sambandinu vörur eða þjónustu.
24) Vinnsla ábyrgðaraðila eða vinnsluaðila, sem ekki hefur staðfestu í Sambandinu, á persónuupplýsingum um skráða einstaklinga, sem eru í Sambandinu, ætti einnig að falla undir þessa reglugerð ef hún tengist því að vakta hegðun hinna skráðu, að því marki sem slík hegðun á sér stað innan Sambandsins. Til að ákvarða hvort vinnslustarfsemi geti talist vera vöktun á hegðun skráðra einstaklinga ætti að ganga úr skugga um hvort slóð einstaklinga sé rakin á Netinu, m.a. hvort í kjölfarið séu notaðar vinnsluaðferðir á persónuupplýsingum sem felast í gerð persónusniðs um einstakling, einkum í því skyni að taka ákvarðanir varðandi viðkomandi eða til að greina eða spá fyrir um smekk hans, hegðun og viðhorf.
25) Þegar lög aðildarríkis gilda í krafti þjóðaréttar ætti þessi reglugerð einnig að gilda um ábyrgðaraðila sem hefur ekki staðfestu í Sambandinu, s.s. í sendiskrifstofu eða ræðisstofnun aðildarríkis.
26) Meginreglur um persónuvernd ættu að gilda um hvers kyns upplýsingar varðandi persónugreindan eða persónugreinanlegan einstakling. Persónuupplýsingar sem hafa verið færðar undir gerviauðkenni, sem kann að vera hægt að rekja til einstaklings með notkun viðbótarupplýsinga, skulu teljast upplýsingar um persónugreinanlegan einstakling. Til þess að ákvarða hvort einstaklingur er persónugreinanlegur ætti að taka mið af öllum þeim aðferðum sem ástæða er til að ætla að annaðhvort ábyrgðaraðili eða annar aðili geti beitt til að bera kennsl á viðkomandi einstakling með beinum eða óbeinum hætti. Til að ganga úr skugga um hvort fremur líklegt megi telja að aðferðum verði beitt til að bera kennsl á einstakling ætti að taka tillit til allra hlutlægra þátta, s.s. kostnaðar við það og þess tíma sem það tæki, að teknu tilliti til þeirrar tækni sem fyrir hendi er þegar vinnslan fer fram og til tækniþróunar. Meginreglur um persónuvernd ættu því ekki að eiga við um nafnlausar upplýsingar, þ.e. upplýsingar sem tengjast ekki persónugreindum eða persónugreinanlegum einstaklingi, eða persónuupplýsingar sem hafa verið aftengdar persónuauðkennum þannig að ekki er lengur unnt að persónugreina hinn skráða. Þessi reglugerð varðar því ekki vinnslu slíkra nafnlausra upplýsinga, s.s. í tölfræðilegum tilgangi eða vegna rannsókna.
27) Þessi reglugerð á ekki við um persónuupplýsingar látinna einstaklinga. Aðildarríkjunum er heimilt að kveða á um reglur um vinnslu persónuupplýsinga látinna einstaklinga.
28) Notkun gerviauðkenna fyrir persónuupplýsingar getur dregið úr áhættu viðkomandi skráðra einstaklinga og auðveldað ábyrgðaraðilum og vinnsluaðilum að uppfylla persónuverndarskyldur sínar. Sérstakri innleiðingu á „notkun gerviauðkenna“ í þessari reglugerð er ekki ætlað að útiloka aðrar persónuverndarráðstafanir.
29) Til þess að skapa hvata til notkunar gerviauðkenna við vinnslu persónuupplýsinga ættu ráðstafanir vegna gerviauðkennanotkunar, sem leyfa jafnframt almenna greiningu, að vera mögulegar hjá sama ábyrgðaraðila þegar hann hefur gert nauðsynlegar tæknilegar og skipulagslegar ráðstafanir til að tryggja, vegna viðkomandi vinnslu, að þessari reglugerð sé komið til framkvæmda og að viðbótarupplýsingum, sem gera það kleift að rekja persónuupplýsingarnar til tiltekins skráðs einstaklings, sé haldið aðgreindum. Ábyrgðaraðili, sem vinnur persónuupplýsingarnar, ætti að gefa upp hvaða aðilar í starfsemi hans hafa tilskildar heimildir.
30) Tæki og tól, forrit og samskiptareglur, sem einstaklingar nota, geta tengt Netauðkenni við þá, s.s. IP-tölur (e. internet protocol addresses), smygildaauðkenni (e. cookie identifiers) eða önnur auðkenni, s.s. fjarskiptatíðniauðkenningar. Þetta getur skilið eftir spor sem hægt er að nota til að útbúa persónusnið um einstaklinga og bera kennsl á þá, einkum þegar sporunum er bætt við einkvæm auðkenni og aðrar upplýsingar sem berast netþjónum.
31) Ekki ætti að líta á opinber yfirvöld, sem fá í hendur persónuupplýsingar á grundvelli lagaskyldu í tengslum við opinber störf sín, s.s. skatta- og tollyfirvöld, einingar sem fara með rannsóknir á sviði fjármála, sjálfstæð stjórnsýsluyfirvöld eða yfirvöld fjármálamarkaða, sem bera ábyrgð á reglusetningu og eftirliti með verðbréfamörkuðum, sem viðtakendur ef þau fá í hendur persónuupplýsingar sem eru nauðsynlegur þáttur í tiltekinni fyrirspurn í þágu almennra hagsmuna, í samræmi við lög Sambandsins eða lög aðildarríkis. Beiðnir opinberra yfirvalda um afhendingu upplýsinga ættu ætíð að vera skriflegar, rökstuddar og tilvikabundnar og ættu ekki að varða skráningarkerfi í heild eða leiða til samtengingar á milli skráningarkerfa. Vinnsla þessara opinberu yfirvalda á persónuupplýsingum ætti að samrýmast gildandi reglum um persónuvernd samkvæmt tilgangi vinnslunnar.
32) Veita ætti samþykki með skýrri staðfestingu, s.s. skriflegri yfirlýsingu, þ.m.t. með rafrænum hætti, eða munnlegri yfirlýsingu, á því að fyrir liggi óþvinguð, afmörkuð, upplýst og ótvíræð viljayfirlýsing hins skráða um að hann samþykki vinnslu persónuupplýsinga sem varða hann sjálfan. Þetta gæti falið í sér að haka við reit þegar farið er inn á vefsetur á Netinu, velja tæknilegar stillingar fyrir þjónustu í upplýsingasamfélaginu eða aðra yfirlýsingu eða athöfn sem gefur skýrt til kynna í þessu samhengi að skráður einstaklingur samþykki fyrirhugaða vinnslu á persónuupplýsingum um sig. Þögn, reitir sem þegar er búið að haka við eða aðgerðarleysi ættu því ekki að fela í sér samþykki. Samþykki ætti að ná til allrar vinnslustarfsemi sem fram fer í sama tilgangi, einum eða fleiri. Þegar vinnslan er í margvíslegum tilgangi ætti að gefa samþykki fyrir hverjum og einum þeirra. Ef hinn skráði á að veita samþykki sitt við rafrænni beiðni verður beiðnin að vera skýr og skilmerkileg og má ekki raska óþarflega notkun þjónustunnar sem það er veitt fyrir.
33) Oft er ekki hægt að greina tilgang með vinnslu persónuupplýsinga í þágu vísindarannsókna að fullu þegar upplýsingunum er safnað. Því ættu skráðir einstaklingar að geta gefið samþykki sitt fyrir tilteknum sviðum vísindarannsókna þegar þær samrýmast viðurkenndum, siðferðislegum viðmiðunum fyrir vísindarannsóknir. Skráðir einstaklingar ættu að hafa tækifæri til að veita samþykki sitt einungis á tilteknum sviðum rannsókna eða fyrir hlutum rannsóknarverkefna, að því marki sem fyrirhugaður tilgangur leyfir.
34) Skilgreina ætti erfðafræðilegar upplýsingar sem persónuupplýsingar sem varða arfgenga eða áunna erfðaeiginleika einstaklings, sem fást með greiningu á líffræðilegu sýni frá viðkomandi einstaklingi, einkum litningagreiningu, greiningu á deoxýríbósakjarnsýru (DNA) eða ríbósakjarnsýru (RNA), eða með greiningu á öðrum þætti sem gerir kleift að fá fram jafngildar upplýsingar.
35) Persónuupplýsingar sem varða heilsufar ættu að taka til allra gagna tengdra heilsufari skráðs einstaklings og veita upplýsingar um líkamlegt eða andlegt heilsufar hans í fortíð, nútíð eða framtíð. Þar á meðal eru upplýsingar um einstaklinginn sem safnað er við skráningu hans vegna heilbrigðisþjónustu eða við veitingu hennar, eins og um getur í tilskipun Evrópuþingsins og ráðsins 2011/24/ESB ( Tilskipun Evrópuþingsins og ráðsins 2011/24/ESB frá 9. mars 2011 um réttindi sjúklinga varðandi heilbrigðisþjónustu yfir landamæri (Stjtíð. ESB L 88, 4.4.2011, bls. 45).); númer, tákn eða atriði sem einstaklingi er úthlutað til að auðkenna hann með einkvæmum hætti í tengslum við heilsufar; upplýsingar sem má rekja til prófunar eða rannsóknar á líkamshluta eða líkamsefni, þ.m.t. erfðafræðilegar upplýsingar og líffræðileg sýni; og hvers kyns upplýsingar um t.d. sjúkdóm, fötlun, hættu á sjúkdómi, heilsufarssögu, klíníska meðferð eða lífeðlisfræðilegt eða líf- og læknisfræðilegt ástand hins skráða, án tillits til uppruna þeirra, s.s. hvort sem þær koma frá lækni eða öðrum heilbrigðisstarfsmanni, sjúkrahúsi, úr lækningatæki eða með greiningarprófun í glasi.
36) Höfuðstöðvar ábyrgðaraðila í Sambandinu ættu að vera sá staður þar sem hann hefur yfirstjórn sína í Sambandinu nema ákvarðanir um tilgang með og aðferðir við vinnslu persónuupplýsinga séu teknar í annarri starfsstöð ábyrgðaraðila í Sambandinu en í því tilviki ætti síðarnefnda starfsstöðin að teljast vera höfuðstöðvar. Ákvarða ætti hverjar höfuðstöðvar ábyrgðaraðila eru í Sambandinu í samræmi við hlutlægar viðmiðanir og ætti þar að fara fram virk og raunveruleg stjórnun með föstu fyrirkomulagi þar sem helstu ákvarðanir eru teknar um tilgang og aðferðir við vinnsluna. Sú viðmiðun ætti ekki að velta á því hvort vinnsla persónuupplýsinga fer fram á þeim stað. Tilvist og notkun nauðsynlegra tæknilegra aðferða og tækni við vinnslu persónuupplýsinga eða vinnslustarfsemi jafngildir ekki höfuðstöðvum í sjálfu sér og er því ekki ákvarðandi viðmiðun um hvað telst vera höfuðstöðvar. Höfuðstöðvar vinnsluaðila ættu að vera sá staður þar sem hann hefur yfirstjórn sína í Sambandinu eða, hafi hann enga yfirstjórn í Sambandinu, sá staður þar sem helsta vinnslustarfsemi fer fram í Sambandinu. Í tilvikum þar sem bæði ábyrgðaraðili og vinnsluaðili koma við sögu ætti leiðandi lögbært eftirlitsyfirvald áfram að vera eftirlitsyfirvald aðildarríkisins þar sem ábyrgðaraðili hefur höfuðstöðvar sínar en eftirlitsyfirvald vinnsluaðila ætti að teljast hlutaðeigandi eftirlitsyfirvald og það eftirlitsyfirvald ætti að taka þátt í samstarfsferlinu sem kveðið er á um í þessari reglugerð. Þó ættu eftirlitsyfirvöld aðildarríkis eða aðildarríkja þar sem vinnsluaðili hefur eina starfsstöð eða fleiri aldrei að teljast hlutaðeigandi eftirlitsyfirvöld ef drög að ákvörðun varða einungis ábyrgðaraðilann. Ef fyrirtækjasamstæða annast vinnsluna ættu höfuðstöðvar ráðandi fyrirtækis að teljast höfuðstöðvar samstæðunnar nema ákvarðanataka um tilgang og aðferðir við vinnslu persónuupplýsinganna sé á hendi annars fyrirtækis.
37) Fyrirtækjasamstæða ætti að taka til ráðandi fyrirtækis og undirfyrirtækja þess þar sem ráðandi fyrirtækið ætti að vera það fyrirtæki sem hefur ráðandi áhrif á hin fyrirtækin, s.s. í krafti eignarhalds, fjárhagslegrar þátttöku eða reglna sem gilda um fyrirtækið eða valds til að koma reglum um vernd persónuupplýsinga til framkvæmda. Fyrirtæki, sem stjórnar vinnslu persónuupplýsinga í fyrirtækjum sem eru í eignartengslum við það, ætti, ásamt þeim fyrirtækjum, að teljast fyrirtækjasamstæða.
38) Persónuupplýsingar barna ættu að njóta sérstakrar verndar þar sem þau kunna að vera síður meðvituð um áhættu, afleiðingar og viðkomandi verndarráðstafanir og réttindi sín í tengslum við vinnslu persónuupplýsinga. Þessi sérstaka vernd ætti einkum að eiga við um notkun persónuupplýsinga barna í markaðssetningarskyni eða þegar búin eru til persónu- eða notendasnið og um söfnun persónuupplýsinga er varða börn þegar þau nota þjónustu sem börnum er boðin beint. Samþykki forsjáraðila ætti ekki að vera nauðsynlegt þegar um er að ræða forvarnar- eða ráðgjafarþjónustu sem barni er boðin beint.
39) Hvers kyns vinnsla persónuupplýsinga ætti að vera lögmæt og sanngjörn. Það ætti að vera einstaklingum ljóst þegar persónuupplýsingum um þá er safnað, þær eru notaðar, skoðaðar eða unnar á annan hátt, og að hvaða marki persónuupplýsingar eru eða munu verða unnar. Meginreglan um gagnsæi krefst þess að hvers kyns upplýsingar og samskipti, sem tengjast vinnslu þessara persónuupplýsinga, séu auðveldlega aðgengileg og auðskiljanleg og á skýru og einföldu máli. Sú meginregla á einkum við um upplýsingar til skráðra einstaklinga um það hver ábyrgðaraðilinn er og tilganginn með vinnslunni og frekari upplýsingar til að tryggja sanngjarna og gagnsæja vinnslu gagnvart viðkomandi einstaklingum og rétt þeirra til að fá staðfestingu og tilkynningu um vinnslu á persónuupplýsingum um sig. Gera ætti einstaklingum ljósa áhættu, reglur, verndarráðstafanir og réttindi í tengslum við vinnslu persónuupplýsinga og hvernig þeir geta neytt réttar síns í tengslum við slíka vinnslu. Einkum ætti tilgangurinn með vinnslu persónuupplýsinganna að vera skýr og lögmætur og liggja fyrir við söfnun þeirra. Persónuupplýsingarnar ættu að vera nægilegar, viðeigandi og takmarkaðar við það sem nauðsynlegt er miðað við tilganginn með vinnslunni. Þetta krefst þess einkum að geymslutími persónuupplýsinganna sé takmarkaður við algjört lágmark. Því aðeins ætti að vinna persónuupplýsingar að ekki sé unnt að ná tilganginum með vinnslunni á annan aðgengilegan hátt. Til að tryggja að persónuupplýsingar séu ekki varðveittar lengur en nauðsynlegt er ætti ábyrgðaraðilinn að setja tímafresti varðandi eyðingu eða reglulega endurskoðun þeirra. Gera verður hóflegar ráðstafanir til að tryggja að óáreiðanlegar persónuupplýsingar verði leiðréttar eða þeim eytt. Vinnsla persónuupplýsinga ætti að vera með þeim hætti að viðeigandi öryggi og trúnaður um upplýsingarnar sé tryggt, m.a. að komið sé í veg fyrir óheimilan aðgang eða notkun á persónuupplýsingum og þeim búnaði sem notaður er við vinnsluna.
40) Til að vinnsla persónuupplýsinga teljist lögmæt ætti hún að fara fram með samþykki hlutaðeigandi skráðs einstaklings eða á einhverjum öðrum lögmætum grundvelli, sem mælt er fyrir um í lögum, annaðhvort í þessari reglugerð eða í öðrum lögum Sambandsins eða lögum aðildarríkis, eins og um getur í þessari reglugerð, þ. á m. þegar hún er nauðsynleg til að fara að ákvæðum um lagaskyldu sem hvílir á ábyrgðaraðilanum eða vegna framkvæmdar samnings sem hinn skráði á aðild að eða með hliðsjón af ráðstöfunum sem eru gerðar að beiðni hans áður en samningur er gerður.
41) Þegar vísað er til lagagrundvallar eða löggjafarráðstöfunar í þessari reglugerð er ekki endilega gerð sú krafa að þing samþykki lagagerð, með fyrirvara um kröfur samkvæmt stjórnskipan hlutaðeigandi aðildarríkis. Slíkur lagagrundvöllur eða löggjafarráðstöfun ætti þó að vera skýr og nákvæm og beitingin fyrirsjáanleg þeim sem falla þar undir, eins og krafist er í dómaframkvæmd Evrópudómstólsins („Dómstólsins“) og Mannréttindadómstóls Evrópu.
42) Þegar vinnsla er byggð á samþykki skráðs einstaklings ætti ábyrgðaraðilinn að geta sýnt fram á að hinn skráði hafi samþykkt vinnsluaðgerðina. Verndarráðstafanir ættu að tryggja, einkum í tengslum við skriflega yfirlýsingu um annað málefni, að hinum skráða sé kunnugt um að samþykki hafi verið veitt og að hvaða marki. Í samræmi við tilskipun ráðsins 93/13/EB ( Tilskipun ráðsins 93/13/EBE frá 5. apríl 1993 um óréttmæta skilmála í neytendasamningum (Stjtíð. EB L 95, 21.4.1993, bls. 29).) ætti ábyrgðaraðilinn að setja fram yfirlýsingu um samþykki á skiljanlegu og aðgengilegu formi og á skýru og einföldu máli sem ætti ekki að fela í sér óréttmæta skilmála. Til þess að samþykki teljist upplýst ætti skráður einstaklingur að vita deili á a.m.k. ábyrgðaraðilanum og vera kunnugt um tilgang þeirrar vinnslu sem persónuupplýsingunum er ætlað að þjóna. Ekki ætti að telja að samþykki hafi verið veitt af fúsum og frjálsum vilja ef hinn skráði hefur ekki raunverulegt eða frjálst val eða getur ekki neitað eða dregið til baka samþykki án þess að verða fyrir tjóni.
43) Til þess að tryggja að samþykki sé veitt af fúsum og frjálsum vilja ætti það ekki að teljast gildur lagagrundvöllur fyrir vinnslu persónuupplýsinga í tilteknu tilviki þar sem skýr aðstöðumunur er milli hins skráða og ábyrgðaraðilans, einkum þegar ábyrgðaraðilinn er opinbert yfirvald og því ólíklegt að samþykki hafi verið veitt af fúsum og frjálsum vilja við allar aðstæður í því tiltekna tilviki. Samþykki telst ekki veitt af fúsum og frjálsum vilja ef ekki er hægt að veita sérstakt samþykki fyrir aðskildum aðgerðum við vinnslu persónuupplýsinga, þótt slíkt ætti við í því einstaka tilviki, eða ef framkvæmd samnings, m.a. veiting þjónustu, er komin undir samþykkinu þótt samþykkið sé ekki nauðsynlegt vegna framkvæmdar samningsins.
44) Vinnsla ætti að teljast lögmæt þegar hún er nauðsynleg í tengslum við samning eða fyrirætlun um að gera samning.
45) Þegar vinnsla fer fram í samræmi við lagaskyldu sem hvílir á ábyrgðaraðilanum eða er nauðsynleg vegna verkefnis sem unnið er í þágu almannahagsmuna eða við beitingu opinbers valds ætti vinnslan að byggjast á lögum Sambandsins eða lögum aðildarríkis. Þess er ekki krafist í þessari reglugerð að sett verði sérstök lög um hverja einstaka vinnslu. Það kann að vera nægilegt að hafa lög sem grundvöll fyrir ýmsum vinnsluaðgerðum, sem byggjast á lagaskyldu sem hvílir á ábyrgðaraðilanum, eða þegar vinnslan er nauðsynleg vegna verkefnis sem unnið er í þágu almannahagsmuna eða við beitingu opinbers valds. Einnig ættu lög Sambandsins eða lög aðildarríkis að ákvarða tilgang vinnslunnar. Í þeim lögum mætti enn fremur tilgreina almenn skilyrði þessarar reglugerðar um lögmæta vinnslu persónuupplýsinga og hvernig skuli ákvarða hver ábyrgðaraðilinn er, hvaða tegund persónuupplýsinga unnið verður með, þá skráðu einstaklinga sem í hlut eiga, hvaða aðilar mega fá persónuupplýsingarnar, hvaða takmarkanir eiga við vegna tilgangs, varðveislutímabil og aðrar ráðstafanir til að tryggja að vinnslan fari fram á lögmætan og sanngjarnan hátt. Einnig ætti að ákvarða í lögum Sambandsins eða lögum aðildarríkis hvort ábyrgðaraðili, sem annast framkvæmd verkefnis sem er unnið í þágu almannahagsmuna eða við beitingu opinbers valds, ætti að vera opinbert yfirvald eða annar einstaklingur eða lögaðili sem fellur undir opinberan rétt eða, þegar slíkt er í þágu almannahagsmuna, m.a. heilbrigðismála á borð við lýðheilsu og félagslega vernd og við stjórnun heilbrigðisþjónustu, undir einkarétt, s.s. fagfélag.
46) Einnig verður að telja vinnslu persónuupplýsinga lögmæta ef hún er nauðsynleg til að vernda hagsmuni sem skipta sköpum fyrir líf skráðs einstaklings eða annars einstaklings. Vinnsla persónuupplýsinga á grundvelli brýnna hagsmuna annars einstaklings ætti að meginreglu til aðeins að fara fram þegar greinilegt er að hún getur ekki byggst á öðrum lagagrundvelli. Sumar tegundir vinnslu geta bæði þjónað mikilvægum almannahagsmunum og brýnum hagsmunum skráðs einstaklings, t.d. þegar vinnsla er nauðsynleg í mannúðarskyni, s.s. við að fylgjast með farsóttum og útbreiðslu þeirra eða vegna neyðarástands sem kallar á mannúðaraðstoð, einkum þegar um er að ræða náttúruhamfarir eða stóráföll af mannavöldum.
47) Lögmætir hagsmunir ábyrgðaraðila, þ.m.t. hagsmunir ábyrgðaraðila sem fá persónuupplýsingarnar í hendur, eða þriðja aðila geta verið lagagrundvöllur fyrir vinnslu þeirra, að því tilskildu að hagsmunir eða grundvallarréttindi og frelsi hins skráða vegi ekki þyngra, að teknu tilliti til eðlilegra væntinga skráðra einstaklinga á grundvelli tengsla þeirra við ábyrgðaraðilann. Um lögmæta hagsmuni gæti m.a. verið að ræða þegar viðeigandi tengsl sem máli skipta eru milli hins skráða og ábyrgðaraðilans, t.d. í tilvikum þar sem hinn skráði er viðskiptavinur ábyrgðaraðilans eða í þjónustu hans. Hvað sem öðru líður þyrfti að meta af kostgæfni hvort um lögmæta hagsmuni er að ræða, m.a. hvort skráður einstaklingur getur, þegar söfnun persónuupplýsinganna fer fram og í samhengi við hana, haft gilda ástæðu til að ætla að vinnsla muni fara fram í þeim tilgangi. Hagsmunir hins skráða og grundvallarréttindi hans gætu einkum gengið framar hagsmunum ábyrgðaraðila gagna þegar vinnsla persónuupplýsinga fer fram við aðstæður þar sem skráðir einstaklingar hafa ekki ástæðu til að ætla að um frekari vinnslu verði að ræða. Að því gefnu að það sé í höndum löggjafans að kveða á um lagagrundvöll vegna vinnslu opinberra yfirvalda á persónuupplýsingum ætti sá lagagrundvöllur ekki að eiga við um vinnslu opinberra yfirvalda þegar þau sinna verkefnum sínum. Vinnsla persónuupplýsinga, sem er beinlínis nauðsynleg í þeim tilgangi að koma í veg fyrir svik, telst einnig til lögmætra hagsmuna hlutaðeigandi ábyrgðaraðila gagna. Líta má svo á að vinnsla persónuupplýsinga vegna beinnar markaðssetningar sé í þágu lögmætra hagsmuna.
48) Ábyrgðaraðilar, sem eru hluti af fyrirtækjasamstæðu eða stofnunum sem tengjast miðlægri stofnun, geta haft lögmæta hagsmuni af því að miðla persónuupplýsingum innan fyrirtækjasamstæðunnar í þágu innri stjórnunar, m.a. vegna vinnslu persónuupplýsinga um viðskiptavini eða starfsmenn. Þetta hefur engin áhrif á almennar meginreglur um miðlun persónuupplýsinga, innan fyrirtækjasamstæðu, til fyrirtækis sem er staðsett í þriðja landi.
49) Vinnsla persónuupplýsinga, að því marki sem hún er beinlínis nauðsynleg og hófleg til að tryggja net- og upplýsingaöryggi, þ.e. getu nets eða upplýsingakerfis til að standast, á tilteknu öryggisstigi, atburði sem verða fyrir slysni eða aðgerðir sem eru ólögmætar eða skaðlegar og stofna í hættu aðgengileika, sannvottuðum uppruna, heilleika og leynd vistaðra eða sendra persónuupplýsinga, og öryggi tengdrar þjónustu sem boðin er eða er aðgengileg um þessi net og kerfi, af hálfu opinberra yfirvalda, viðbragðsteymis vegna neyðartilvika er varða tölvuöryggi (CERT), viðbragðsteymis vegna váatvika er varða tölvuöryggi (CSIRT), þeirra sem reka rafræn fjarskiptanet og -þjónustu og þeirra sem útvega öryggistækni og -þjónustu, telst til lögmætra hagsmuna hlutaðeigandi ábyrgðaraðila gagna. Þetta gæti t.d. falið í sér að komið sé í veg fyrir óheimilan aðgang að rafrænum fjarskiptanetum og dreifingu spilliforrita og til að stöðvaðar séu atlögur að þjónustumiðlun (e. „denial of service“ attacks) og skemmdir á tölvum og rafrænum fjarskiptakerfum.
50) Heimila ætti vinnslu persónuupplýsinga í öðrum tilgangi en þeim sem var upphaflega markmiðið með söfnun þeirra því aðeins að vinnslan samrýmist þeim tilgangi sem var forsenda söfnunarinnar í upphafi. Í því tilviki er ekki krafist annars lagagrundvallar en þess sem heimilaði söfnun persónuupplýsinganna. Ef vinnslan er nauðsynleg vegna verkefnis sem unnið er í þágu almannahagsmuna eða við beitingu opinbers valds, sem ábyrgðaraðili fer með, má í lögum Sambandsins eða lögum aðildarríkis ákvarða og tilgreina hvenær frekari vinnsla telst samrýmanleg og lögmæt með tilliti til tiltekinna verkefna og tilgangs. Frekari vinnsla vegna skjalavistunar í þágu almannahagsmuna, rannsókna á sviði vísinda eða sagnfræði eða í tölfræðilegum tilgangi ætti að teljast til samrýmanlegra, lögmætra vinnsluaðgerða. Lagagrundvöllur samkvæmt lögum Sambandsins eða lögum aðildarríkis vegna vinnslu persónuupplýsinga getur einnig verið lagagrundvöllur frekari vinnslu. Til þess að ganga úr skugga um hvort tilgangur með frekari vinnslu samrýmist þeim tilgangi sem var forsenda söfnunarinnar í upphafi ætti ábyrgðaraðilinn, þegar hann hefur fullnægt öllum kröfum um lögmæti vinnslunnar í upphafi, að taka tillit til m.a.: hvers kyns tengsla milli þessa tilgangs og tilgangsins með fyrirhugaðri frekari vinnslu, þess í hvaða samhengi persónuupplýsingunum var safnað, einkum eðlilegra væntinga skráðra einstaklinga um frekari notkun þeirra á grundvelli tengsla þeirra við ábyrgðaraðilann, eðlis persónuupplýsinganna, afleiðinga fyrirhugaðrar frekari vinnslu þeirra fyrir skráða einstaklinga og þess hvort viðeigandi verndarráðstafanir hafi verið eða séu gerðar, bæði í upphaflegu vinnsluaðgerðunum og fyrirhuguðum frekari aðgerðum.
Þegar skráður einstaklingur hefur veitt samþykki sitt eða vinnslan byggist á lögum Sambandsins eða lögum aðildarríkis, sem fela í sér nauðsynlega og hóflega ráðstöfun í lýðræðisþjóðfélagi og sem er einkum ætlað að standa vörð um mikilvæg markmið sem þjóna almannahagsmunum, ætti ábyrgðaraðilanum að vera heimil frekari vinnsla persónuupplýsinganna án tillits til þess hvort tilgangurinn telst samrýmanlegur. Hvað sem öðru líður ætti að tryggja beitingu meginreglnanna sem settar eru fram í þessari reglugerð, einkum um að upplýsa hinn skráða um þennan viðbótartilgang og réttindi hans, m.a. andmælaréttinn. Ef ábyrgðaraðilinn bendir á mögulega refsiverða háttsemi eða ógnanir við almannaöryggi og sendir lögbæru yfirvaldi viðeigandi persónuupplýsingar í stökum eða fleiri tilvikum, sem snerta sama refsiverða verknað eða ógnanir við almannaöryggi, ætti að telja slíkt í þágu lögmætra hagsmuna ábyrgðaraðilans. Þó ætti að banna slíka sendingu í þágu lögmætra hagsmuna ábyrgðaraðilans eða vegna frekari vinnslu persónuupplýsinga ef vinnslan samrýmist ekki lagalegri, faglegri eða annars konar bindandi þagnarskyldu.
51) Persónuupplýsingar, sem eru í eðli sínu sérlega viðkvæmar að því er varðar grundvallarréttindi og mannfrelsi, eiga að njóta sérstakrar verndar þar sem vinnsla þeirra gæti haft í för með sér umtalsverða áhættu fyrir grundvallarréttindi og mannfrelsi. Til þessara persónuupplýsinga ætti að telja upplýsingar um kynþátt eða þjóðernislegan uppruna, en ekki ber að skilja notkun hugtaksins „kynþáttur“ í þessari reglugerð sem viðurkenningu Sambandsins á kenningum sem reyna að sanna tilvist mismunandi kynþátta manna. Ekki ætti kerfisbundið að telja vinnslu ljósmynda til vinnslu sérstakra flokka persónuupplýsinga þar sem þær falla eingöngu undir skilgreiningu á lífkennaupplýsingum þegar vinnsla þeirra fer fram með sérstakri tæknilegri aðferð sem gerir kleift að greina eða staðfesta deili á einstaklingi með ótvíræðum hætti. Vinnsla slíkra persónuupplýsinga ætti ekki að fara fram nema hún sé heimiluð í sérstökum tilvikum, eins og sett er fram í þessari reglugerð, að teknu tilliti til þess að í lögum aðildarríkjanna er heimilt að mæla fyrir um sértæk ákvæði um persónuvernd til þess að aðlaga beitingu reglna þessarar reglugerðar svo að þær samrýmist lagaskyldu eða vegna verkefnis sem unnið er í þágu almannahagsmuna eða við beitingu opinbers valds sem ábyrgðaraðili fer með. Almennar meginreglur og aðrar reglur þessarar reglugerðar ættu að gilda, auk hinna sértæku krafna vegna slíkrar vinnslu, einkum að því er varðar skilyrði fyrir lögmæti vinnslunnar. Veita ætti með skýrum hætti undanþágur frá almennu banni við vinnslu slíkra sérstakra flokka persónuupplýsinga, t.d. þegar hinn skráði gefur ótvírætt samþykki sitt eða með hliðsjón af sérstökum þörfum, einkum þegar vinnslan fer fram sem hluti af lögmætri starfsemi tiltekinna samtaka eða stofnana sem hafa það að markmiði að tryggja mannfrelsi.
52) Einnig ætti að heimila undanþágu frá banni við vinnslu sérstakra flokka persónuupplýsinga ef kveðið er á um það í lögum Sambandsins eða lögum aðildarríkis og með fyrirvara um viðeigandi verndarráðstafanir, svo að vernda megi persónuupplýsingar og önnur grundvallarréttindi, þegar það þjónar almannahagsmunum, einkum vinnslu persónuupplýsinga á sviði vinnulöggjafar, löggjafar um félagslega vernd, m.a. lífeyri, og með hliðsjón af heilbrigðisöryggi, vöktun og viðvörunum, forvörnum og vörnum gegn smitsjúkdómum og annarri alvarlegri heilsufarsógn. Heimilt er að veita slíka undanþágu af heilbrigðisástæðum, s.s. vegna lýðheilsu og stjórnunar heilbrigðisþjónustu, einkum til að tryggja gæði og kostnaðarhagkvæmni þeirra verklagsreglna sem notaðar eru við uppgjör á kröfum um bætur og þjónustu sjúkratryggingakerfisins, eða vegna skjalavistunar í þágu almannahagsmuna, rannsókna á sviði vísinda eða sagnfræði eða í tölfræðilegum tilgangi. Með undanþágu ætti líka að vera heimilt að vinna slíkar persónuupplýsingar þegar það er nauðsynlegt til að unnt sé að stofna, hafa uppi eða verja réttarkröfur, hvort heldur er fyrir dómstól eða við stjórnsýslumeðferð eða málsmeðferð utan réttar.
53) Vinnsla sérstakra flokka persónuupplýsinga, sem þurfa að njóta aukinnar verndar, ætti aðeins að fara fram í þágu heilsutengdra markmiða þegar það er nauðsynlegt til að ná þessum markmiðum í þágu einstaklinga og samfélagsins alls, einkum í tengslum við stjórnun heilbrigðis- eða félagsþjónustu og -kerfa, þ.m.t. vinnslu slíkra upplýsinga á vegum stjórnsýslunnar og miðlægra landsbundinna heilbrigðisyfirvalda í þágu gæðastýringar, gagnaumsýslu stjórnsýslunnar og almenns eftirlits með heilbrigðis- og félagsþjónustu á lands- og staðarvísu og til að tryggja samfellu í heilbrigðis- og félagsþjónustu og heilbrigðisþjónustu eða heilbrigðisöryggi yfir landamæri, vegna vöktunar og viðvörunar, eða vegna skjalavistunar í þágu almannahagsmuna, rannsókna á sviði vísinda eða sagnfræði eða í tölfræðilegum tilgangi, á grundvelli laga Sambandsins eða laga aðildarríkis, sem verða að þjóna hagsmunum almennings, sem og vegna rannsókna sem fara fram í þágu almannahagsmuna á sviði lýðheilsu. Þessi reglugerð ætti því að kveða á um samræmd skilyrði fyrir vinnslu sérstakra flokka persónuupplýsinga sem varða heilbrigðismál, með hliðsjón af sérstökum þörfum, einkum þegar vinnsla slíkra upplýsinga fer fram í þágu tiltekinna heilsutengdra markmiða af hálfu aðila sem falla undir þagnarskyldu samkvæmt lögum. Lög Sambandsins eða lög aðildarríkis ættu að kveða á um sértækar og viðeigandi ráðstafanir til að vernda grundvallarréttindi og persónuupplýsingar einstaklinga. Aðildarríkjum ætti að vera heimilt að viðhalda eða setja frekari skilyrði, m.a. takmarkanir, að því er varðar vinnslu erfðafræðilegra upplýsinga, lífkennaupplýsinga eða heilsufarsupplýsinga. Þetta ætti þó ekki að standa í vegi fyrir frjálsu flæði persónuupplýsinga innan Sambandsins þegar þessi skilyrði eiga við um vinnslu slíkra upplýsinga yfir landamæri.
54) Vinnsla sérstakra flokka persónuupplýsinga kann að vera nauðsynleg vegna almannahagsmuna á sviði lýðheilsu án samþykkis hins skráða. Slík vinnsla ætti að vera með fyrirvara um viðeigandi og sértækar ráðstafanir til að standa vörð um réttindi og frelsi einstaklinga. Í þessu samhengi ætti að túlka hugtakið „lýðheilsa“ eins og það er skilgreint í reglugerð Evrópuþingsins og ráðsins (EB) nr. 1338/2008 ( Reglugerð Evrópuþingsins og ráðsins (EB) nr. 1338/2008 frá 16. desember 2008 um hagskýrslur Bandalagsins um lýðheilsu og heilbrigði og öryggi á vinnustað (Stjtíð. ESB L 354, 31.12.2008, bls. 70).), þ.e. sem allir heilsufarstengdir þættir, nánar tiltekið heilsufar, m.a. sjúkdómstilvik og fötlun, ákvarðandi þættir sem hafa áhrif á heilsufar, þörf fyrir heilbrigðisþjónustu, fjármagn sem veitt er til heilbrigðisþjónustu, veiting og almennur aðgangur að heilbrigðisþjónustu og kostnaður og fjármögnun heilbrigðisþjónustu, sem og dánarorsakir. Slík vinnsla heilsufarsupplýsinga í þágu almannahagsmuna ætti ekki að leiða til vinnslu persónuupplýsinga í öðrum tilgangi af hálfu þriðju aðila, s.s. vinnuveitenda eða tryggingafélaga og bankastofnana.
55) Vinnsla persónuupplýsinga af hálfu opinberra yfirvalda í þeim tilgangi að vinna að markmiðum opinberlega viðurkenndra trúarsamtaka, eins og mælt er fyrir um í stjórnskipunarlögum eða samkvæmt þjóðarétti, fer einnig fram með vísan til almannahagsmuna.
56) Þegar nauðsynlegt reynist fyrir starfsemi lýðræðislegs stjórnkerfis í aðildarríki, í tengslum við kosningar, að stjórnmálaflokkar taki saman persónuupplýsingar um stjórnmálaskoðanir fólks má heimila vinnslu slíkra upplýsinga í þágu almannahagsmuna, að því tilskildu að gerðar séu viðeigandi verndarráðstafanir.
57) Ef persónuupplýsingar sem ábyrgðaraðili vinnur gera honum ekki kleift að persónugreina einstakling ætti honum ekki að vera skylt að afla viðbótarupplýsinga til að greina skráðan einstakling eingöngu í þeim tilgangi að uppfylla eitthvert ákvæðanna í þessari reglugerð. Þó ætti ábyrgðaraðili ekki að neita að taka við viðbótarupplýsingum sem hinn skráði lætur í té til þess að ná fram rétti sínum. Í persónugreiningu ætti að felast stafræn auðkenning á skráðum einstaklingi, m.a. með hjálp sannvottunaraðferðar á borð við sömu skilríki og hann notar við innskráningu á þjónustu á vegum ábyrgðaraðila gagna á Netinu.
58) Meginreglan um gagnsæi krefst þess að hvers kyns upplýsingar, sem ætlaðar eru almenningi eða skráðum einstaklingi, séu gagnorðar, aðgengilegar og auðskiljanlegar, að þær séu á skýru og einföldu máli og að auki að sjónrænum aðferðum sé beitt, eftir því sem við á. Veita mætti slíkar upplýsingar á rafrænu formi, t.d. á vefsetri, þegar þær eru ætlaðar almenningi. Þetta á einkum við í tilvikum þar sem erfitt er fyrir skráðan einstakling að vita og skilja, vegna hins mikla fjölda aðila sem koma að máli og flókinnar tækni sem notuð er, hvort, af hverjum og í hvaða tilgangi upplýsingum er safnað um hann, s.s. þegar um er að ræða auglýsingar á Netinu. Þar sem börn þurfa að njóta sérstakrar verndar ættu hvers kyns upplýsingar og tilkynningar, þegar vinnsla beinist að barni, að vera á skýru og einföldu máli sem barnið getur auðveldlega skilið.
59) Koma ætti á nánari reglum til að greiða fyrir því að skráður einstaklingur geti neytt réttar síns samkvæmt þessari reglugerð, m.a. ráðstöfunum sem gera honum kleift að fara fram á og, ef við á, fá því endurgjaldslaust framgengt að honum sé veittur aðgangur að persónuupplýsingum, þær séu leiðréttar eða þeim eytt, sem og að hann geti neytt andmælaréttar síns. Ábyrgðaraðili ætti einnig að sjá til þess að hægt sé að leggja fram beiðnir rafrænt, einkum þegar vinnsla persónuupplýsinga fer fram með rafrænum hætti. Ábyrgðaraðila ætti að vera skylt að svara beiðnum skráðs einstaklings án ótilhlýðilegrar tafar og innan eins mánaðar hið mesta og færa fram rök ef hann hyggst ekki taka slíkar beiðnir til greina.
60) Meginreglurnar um sanngirni og gagnsæi við vinnslu krefjast þess að skráðum einstaklingi sé tilkynnt um að vinnsluaðgerð standi yfir og hver sé tilgangur hennar. Ábyrgðaraðili ætti að veita hinum skráða frekari upplýsingar sem nauðsynlegar eru til að tryggja að gætt sé sanngirni og gagnsæi við vinnslu persónuupplýsinga með tilliti til þeirra sérstöku aðstæðna og samhengis sem eiga við vinnslu þeirra. Enn fremur ætti að upplýsa hinn skráða um að gert hafi verið persónusnið og um afleiðingar þess. Þegar persónuupplýsingar eru fengnar hjá skráðum einstaklingi ætti einnig að upplýsa hann um hvort honum sé skylt að láta persónuupplýsingarnar í té og um það hvaða afleiðingar það hefur að veita þær ekki. Hægt er að láta staðlaðar táknmyndir fylgja þessum upplýsingum til að veita greinargott yfirlit yfir fyrirhugaða vinnslu á auðsýnilegan, skiljanlegan og auðlæsilegan hátt. Táknmyndirnar ættu að vera á tölvulesanlegu sniði þegar þær eru settar fram rafrænt.
61) Veita ætti skráðum einstaklingi upplýsingar í tengslum við vinnslu persónuupplýsinga um hann á þeim tíma þegar upplýsinganna er aflað hjá honum eða, þegar persónuupplýsinganna er aflað frá öðrum heimildum, innan hæfilegs tíma, með hliðsjón af aðstæðum í hverju tilviki fyrir sig. Ef fá má öðrum viðtakanda persónuupplýsingar í hendur með lögmætum hætti ætti að tilkynna það hinum skráða þegar viðtakandinn fær persónuupplýsingarnar í fyrsta sinn. Ef ábyrgðaraðili hyggst vinna persónuupplýsingarnar í öðrum tilgangi en þeim sem er að baki söfnun þeirra ætti hann að láta hinum skráða í té upplýsingar um þennan nýja tilgang áður en sú frekari vinnsla hefst, ásamt öðrum nauðsynlegum upplýsingum. Ef ekki er hægt að skýra hinum skráða frá uppruna persónuupplýsinganna vegna þess að þær koma frá mismunandi heimildum ætti að veita almennar upplýsingar.
62) Þó er ekki nauðsynlegt að setja fram skyldu til að veita upplýsingar ef skráður einstaklingur hefur þær þegar undir höndum, ef sérstaklega er mælt fyrir um skráningu eða birtingu persónuupplýsinganna í lögum, ef ómögulegt reynist að veita hinum skráða upplýsingar eða það hefði í för með sér óhóflega fyrirhöfn. Það síðasttalda gæti einkum átt við þegar vinnslan fer fram vegna skjalavistunar í þágu almannahagsmuna, rannsókna á sviði vísinda eða sagnfræði eða í tölfræðilegum tilgangi. Í því sambandi ætti að taka tillit til fjölda skráðra einstaklinga, þess hversu gamlar upplýsingarnar eru og viðeigandi verndarráðstafana sem gerðar hafa verið.
63) Skráður einstaklingur ætti að hafa rétt til aðgangs að persónuupplýsingum sem hefur verið safnað um hann og til að neyta þessa réttar með auðveldum hætti og hæfilegum hléum til þess að hann geti gert sér grein fyrir því hvort vinnslan fari fram með lögmætum hætti og sannreynt það. Þetta felur í sér rétt skráðra einstaklinga til aðgangs að upplýsingum sem varða heilsufar þeirra, t.d. upplýsingum í sjúkraskrám á borð við sjúkdómsgreiningu, niðurstöður rannsókna, mat meðhöndlandi lækna og hvers kyns meðferðir eða inngrip. Sérhver skráður einstaklingur ætti því einkum að hafa rétt til að fá vitneskju og tilkynningu um tilganginn með vinnslu persónuupplýsinganna, vinnslutímabil upplýsinganna ef unnt er, viðtakendur þeirra, hvaða rök liggja að baki sjálfvirkri vinnslu persónuupplýsinga og afleiðingar slíkrar vinnslu, einkum þegar hún er byggð á gerð persónusniðs. Ábyrgðaraðilinn ætti, ef mögulegt er, að vera fær um að veita hinum skráða fjaraðgang að öruggu kerfi sem myndi veita honum beinan aðgang að persónuupplýsingum um sig. Sá réttur ætti ekki að hafa neikvæð áhrif á réttindi eða frelsi annarra, þ.m.t. viðskiptaleyndarmál eða hugverkaréttindi og þá einkum höfundarrétt til verndar hugbúnaðinum. Niðurstaða þessara atriða ætti þó ekki að vera sú að skráðum einstaklingi sé neitað um allar upplýsingar. Þegar ábyrgðaraðili vinnur með mikið magn upplýsinga sem varða skráðan einstakling ætti hann að geta óskað eftir því að hinn skráði tilgreini nánar um hvaða upplýsingar eða vinnsluaðgerðir beiðnin snýst, áður en upplýsingarnar eru veittar.
64) Ábyrgðaraðilinn ætti að gera allar eðlilegar ráðstafanir til að sannreyna deili á skráðum einstaklingi sem óskar eftir aðgangi, einkum í tengslum við þjónustu á Netinu og netauðkenni. Ábyrgðaraðili ætti ekki að halda eftir persónuupplýsingum í þeim tilgangi einum að geta brugðist við hugsanlegum beiðnum.
65) Skráður einstaklingur ætti að hafa rétt til leiðréttingar á persónuupplýsingum er varða hann sjálfan og „rétt til að gleymast“ ef varðveisla slíkra upplýsinga brýtur í bága við þessa reglugerð, lög Sambandsins eða lög aðildarríkis sem ábyrgðaraðilinn fellur undir. Skráður einstaklingur ætti einkum að hafa rétt til þess að fá persónuupplýsingum er varða hann sjálfan eytt og að vinnslu með þær sé hætt ef upplýsingarnar eru ekki lengur nauðsynlegar í tengslum við tilganginn með söfnun eða vinnslu þeirra að öðru leyti, ef hann hefur afturkallað samþykki sitt eða andmælir vinnslu persónuupplýsinga um sig eða ef vinnsla persónuupplýsinga um hann samrýmist ekki þessari reglugerð að öðru leyti. Þessi réttur á einkum við þegar hinn skráði hefur veitt samþykki sitt sem barn og gerir sér ekki fulla grein fyrir áhættunni sem vinnslan felur í sér og óskar eftir því síðar að persónuupplýsingunum verði eytt, einkum á Netinu. Skráður einstaklingur ætti að geta neytt þessa réttar þrátt fyrir að hann sé ekki lengur barn. Þó ætti frekari varðveisla persónuupplýsinganna að vera lögmæt, ef nauðsyn krefur, til að neyta réttar til tjáningar- og upplýsingafrelsis, til að uppfylla lagaskyldu, vegna verkefnis sem er unnið í þágu almannahagsmuna eða við beitingu opinbers valds sem ábyrgðaraðili fer með, í þágu almannahagsmuna á sviði lýðheilsu, vegna skjalavistunar í þágu almannahagsmuna, rannsókna á sviði vísinda eða sagnfræði eða í tölfræðilegum tilgangi eða til að unnt sé að stofna, hafa uppi eða verja réttarkröfur.
66) Til að efla megi réttinn til að gleymast í netumhverfinu ætti einnig að víkka réttinn til eyðingar þannig að ábyrgðaraðila, sem gerði persónuupplýsingarnar opinberar, sé skylt að upplýsa þá ábyrgðaraðila sem vinna slíkar upplýsingar um að afmá beri alla tengla á þessar persónuupplýsingar eða afrit af þeim eða endurgerðir þeirra. Í því sambandi ætti viðkomandi ábyrgðaraðili að gera eðlilegar ráðstafanir með tilliti til þeirrar tækni sem er fyrir hendi og aðferða sem honum eru aðgengilegar, þ.m.t. tæknilegar ráðstafanir til að upplýsa ábyrgðaraðilana, sem vinna persónuupplýsingar um hinn skráða, um beiðni hans.
67) Aðferðir til að takmarka vinnslu persónuupplýsinga gætu m.a. falið í sér að færa valdar upplýsingar tímabundið í annað vinnslukerfi, gera valdar persónuupplýsingar óaðgengilegar notendum eða fjarlægja birtar upplýsingar tímabundið af vefsetri. Í sjálfvirkum skráningarkerfum ætti að jafnaði að tryggja takmörkun vinnslunnar með tæknilegum aðferðum á þann hátt að ekki verði um frekari vinnslu persónuupplýsinganna að ræða og ekki sé hægt að breyta þeim. Tilgreina ætti með skýrum hætti í kerfinu að vinnsla persónuupplýsinga sé takmörkuð.
68) Til að styrkja enn frekar stjórn skráðs einstaklings á upplýsingum er varða hann sjálfan þegar vinnsla persónuupplýsinga fer fram með sjálfvirkum aðferðum ætti hann einnig að hafa rétt til að fá persónuupplýsingar er varða hann sjálfan, sem hann hefur látið ábyrgðaraðila í té, á skipulegu, algengu, tölvulesanlegu og samvirkandi sniði og senda þær öðrum ábyrgðaraðila. Hvetja ætti ábyrgðaraðila gagna til að þróa samvirkandi snið sem gera það mögulegt að flytja eigin gögn. Þessi réttur ætti að gilda þegar hinn skráði lét persónuupplýsingarnar í té á grundvelli eigin samþykkis eða ef vinnslan er nauðsynleg vegna framkvæmdar samnings. Hann ætti ekki að eiga við þegar vinnslan byggist á öðrum lagagrundvelli en samþykki eða samningi. Eðli málsins samkvæmt ætti ekki að beita þessum rétti gagnvart ábyrgðaraðilum sem vinna persónuupplýsingar við opinber skyldustörf sín. Hann ætti því ekki að gilda þegar vinnsla persónuupplýsinga er nauðsynleg til að uppfylla lagaskyldu sem hvílir á ábyrgðaraðilanum eða vegna verkefnis sem er unnið í þágu almannahagsmuna eða við beitingu opinbers valds sem ábyrgðaraðili fer með. Réttur skráðs einstaklings til að senda eða taka á móti persónuupplýsingum er varða hann sjálfan ætti ekki að verða til þess að ábyrgðaraðilum sé skylt að taka upp eða viðhalda vinnslukerfum sem eru tæknilega samhæfð. Ef tiltekið mengi persónuupplýsinga varðar fleiri en einn skráðan einstakling ætti réttur þeirra til að fá persónuupplýsingarnar að vera með fyrirvara um réttindi og frelsi annarra skráðra einstaklinga í samræmi við þessa reglugerð. Þessi réttur ætti enn fremur ekki að hafa áhrif á rétt skráðs einstaklings til að láta eyða persónuupplýsingum og takmarkanir á þeim rétti eins og sett er fram í þessari reglugerð, einkum ætti hann ekki að gefa til kynna að persónuupplýsingum, sem varða hinn skráða, sem hann hefur látið af hendi vegna efndar á samningi, verði eytt, að því marki og svo lengi sem persónuupplýsingarnar eru nauðsynlegar til að efna samninginn. Ef það er tæknilega gerlegt ætti skráður einstaklingur að hafa rétt til að láta senda persónuupplýsingarnar beint frá einum ábyrgðaraðila til annars.
69) Þegar vinnsla persónuupplýsinga gæti verið lögmæt vegna þess að hún er nauðsynleg vegna verkefnis, sem er unnið í þágu almannahagsmuna eða við beitingu opinbers valds sem ábyrgðaraðili fer með eða vegna lögmætra hagsmuna ábyrgðaraðila eða þriðja aðila, ætti skráður einstaklingur engu að síður að hafa rétt til að andmæla vinnslu persónuupplýsinga sem varða hans tilteknu aðstæður. Það ætti að vera á hendi ábyrgðaraðila að sýna fram á að mikilvægir lögmætir hagsmunir hans gangi framar hagsmunum eða grundvallarréttindum og frelsi hins skráða.
70) Þegar persónuupplýsingar eru unnar í þágu beinnar markaðssetningar ætti skráður einstaklingur að hafa rétt til að andmæla slíkri vinnslu, m.a. gerð persónusniðs, að því marki sem hún tengist slíkri beinni markaðssetningu, hvort sem um er að ræða upphaflega eða frekari vinnslu eða ekki, hvenær sem er og endurgjaldslaust. Gera ætti hinum skráða sérstaklega grein fyrir þessum rétti með skýrum hætti og aðgreint frá öðrum upplýsingum.
71) Skráður einstaklingur ætti að eiga rétt á því að sæta ekki ákvörðun sem kann að fela í sér ráðstöfun þar sem persónulegir þættir hans eru metnir eingöngu á grundvelli sjálfvirkrar gagnavinnslu og hefur réttaráhrif gagnvart honum sjálfum eða veruleg sambærileg áhrif, s.s. sjálfvirka höfnun lánsumsóknar á Netinu eða rafrænt ráðningarferli án mannlegrar íhlutunar. Til slíkrar vinnslu telst „gerð persónusniðs“ sem felur í sér hvers kyns sjálfvirka vinnslu persónuupplýsinga til að meta persónulega þætti er varða hagi einstaklings, einkum að greina eða spá fyrir um þætti er varða frammistöðu hans í starfi, fjárhagsstöðu, heilsufar, smekk, áhugamál, áreiðanleika eða hegðun, staðsetningu eða hreyfanleika, þegar hún hefur réttaráhrif hvað hann sjálfan varðar eða veruleg sambærileg áhrif. Ákvarðanataka, sem byggist á slíkri vinnslu, þ.m.t. gerð persónusniðs, ætti að vera leyfileg samkvæmt sérstakri heimild í lögum Sambandsins eða lögum aðildarríkis sem ábyrgðaraðilinn fellur undir, m.a. í þeim tilgangi að fylgjast með og koma í veg fyrir svindl og skattsvik í samræmi við reglur, staðla og tilmæli stofnana Sambandsins eða landsbundinna eftirlitsaðila og til að tryggja öryggi og áreiðanleika þjónustu sem ábyrgðaraðili veitir eða, þegar nauðsyn krefur, vegna gerðar eða framkvæmdar samnings milli skráðs einstaklings og ábyrgðaraðila eða þegar hinn skráði hefur veitt ótvírætt samþykki sitt. Hvað sem öðru líður ætti við slíka vinnslu að gera viðeigandi verndarráðstafanir, þ. á m. að veita hinum skráða skilmerkilegar upplýsingar og rétt til mannlegrar íhlutunar, að láta skoðun sína í ljós, fá útskýringar á ákvörðun sem tekin er að loknu slíku mati og vefengja ákvörðunina. Slík ráðstöfun ætti ekki að varða barn. Til að tryggja að vinnslan sé sanngjörn og gagnsæ gagnvart skráðum einstaklingi, að teknu tilliti til sérstakra aðstæðna og samhengis við vinnslu persónuupplýsinganna, ætti ábyrgðaraðilinn að nota viðeigandi stærðfræðilegar eða tölfræðilegar aðferðir við gerð persónusniðs, gera viðeigandi tæknilegar og skipulagslegar ráðstafanir, einkum til að tryggja að þættir sem gera persónuupplýsingar óáreiðanlegar séu leiðréttir og dregið sé úr hættu á mistökum, að tryggja öryggi persónuupplýsinga þannig að tekið sé tillit til mögulegrar áhættu fyrir hagsmuni og réttindi hins skráða og m.a. komið í veg fyrir að einstaklingum sé mismunað á grundvelli kynþáttar eða þjóðernislegs uppruna, stjórnmálaskoðana, trúarbragða eða trúar, þátttöku í stéttarfélagi, erfðaeiginleika eða heilsuhaga eða kynhneigðar, eða vinnslu sem leiðir til ráðstafana sem hafa samsvarandi áhrif. Sjálfvirka ákvarðanatöku og gerð persónusniðs, sem byggist á sérstökum flokkum persónuupplýsinga, ætti einungis að heimila með sérstökum skilyrðum.
72) Gerð persónusniðs fellur undir reglurnar um vinnslu persónuupplýsinga í þessari reglugerð, m.a. hvað varðar lagagrundvöll vinnslunnar eða meginreglur um persónuvernd. Evrópska persónuverndarráðið, sem komið er á fót með þessari reglugerð („persónuverndarráðið“), ætti að geta gefið út leiðbeiningar í því tilliti.
73) Lög Sambandsins eða lög aðildarríkis geta kveðið á um að takmarka megi sértækar meginreglur og rétt á upplýsingum, aðgang að persónuupplýsingum og leiðréttingu á þeim eða eyðingu þeirra, rétt til að flytja eigin gögn, rétt til andmæla, ákvarðanir sem byggjast á gerð persónusniðs, ásamt tilkynningum til skráðs einstaklings um öryggisbrest við meðferð persónuupplýsinga og tilteknar tengdar skyldur ábyrgðaraðila, að því marki sem nauðsynlegt er og hóflegt í lýðræðisþjóðfélagi til að vernda almannaöryggi, þ.m.t. mannslíf, einkum vegna viðbragða við náttúruhamförum og hamförum af mannavöldum, vegna forvarna, rannsókna og saksóknar í refsimálum eða fullnustu refsiviðurlaga, m.a. til að vernda gegn og koma í veg fyrir ógnir við almannaöryggi eða brot á siðareglum í lögvernduðum atvinnugreinum, vegna annarra mikilvægra markmiða sem þjóna almannahagsmunum Sambandsins eða aðildarríkis, einkum mikilvægum efnahagslegum eða fjárhagslegum hagsmunum Sambandsins eða aðildarríkis, vegna halds opinberra skráa í þágu almannahagsmuna, frekari vinnslu persónuupplýsinga í skjalasöfnum til að útvega sérstakar upplýsingar um stjórnmálahegðun undir stjórnum fyrrverandi einræðisríkja eða til að vernda hinn skráða eða réttindi og frelsi annarra, m.a. í þágu félagslegrar verndar, lýðheilsu og mannúðar. Þessar takmarkanir ættu að vera í samræmi við kröfurnar sem settar eru fram í sáttmálanum um grundvallarréttindi og Evrópusáttmálanum um verndun mannréttinda og mannfrelsis.
74) Setja ætti reglur um ábyrgð og bótaábyrgð ábyrgðaraðila vegna vinnslu persónuupplýsinga af hans hálfu eða fyrir hans hönd. Ábyrgðaraðilanum ætti einkum að vera skylt að gera viðeigandi og skilvirkar ráðstafanir og hann ætti að vera fær um að sýna fram á að vinnslan fari fram í samræmi við þessa reglugerð, þ.m.t. að því er varðar skilvirkni ráðstafananna. Ráðstafanirnar ættu að taka mið af eðli, umfangi, samhengi og tilgangi vinnslunnar og áhættu fyrir réttindi og frelsi einstaklinga.
75) Vinnsla persónuupplýsinga kann að leiða til misjafnlega líklegrar og alvarlegrar áhættu fyrir réttindi og frelsi einstaklinga sem getur leitt af sér efnislegt tjón, eignatjón og óefnislegt tjón, einkum þegar vinnslan getur haft í för með sér mismunun, auðkennisþjófnað eða svik, fjárhagstjón, skaða á orðstír, tapaðan trúnað um persónuupplýsingar sem njóta verndar á grundvelli þagnarskyldu, að notkun gerviauðkenna sé aflétt í leyfisleysi eða annað umtalsvert efnahagslegt eða félagslegt óhagræði, þegar skráðir einstaklingar gætu misst réttindi sín og frelsi eða verið hindraðir í að stjórna eigin persónuupplýsingum, þegar persónuupplýsingar eru unnar sem leiða í ljós kynþátt eða þjóðernislegan uppruna, stjórnmálaskoðanir, trúarbrögð eða heimspekilega sannfæringu, þátttöku í stéttarfélagi og vinnsla erfðafræðilegra upplýsinga, upplýsinga sem varða heilsu eða upplýsinga um kynlíf eða sakfellingu í refsimálum og refsiverð brot eða tengdar öryggisráðstafanir, þegar lagt er mat á persónulega þætti, einkum við að greina eða spá fyrir um þætti er varða frammistöðu í starfi, fjárhagsstöðu, heilsuhagi, smekk eða áhugamál, áreiðanleika eða hegðun, staðsetningu eða hreyfanleika, til þess að gera eða nota persónusnið, þegar persónuupplýsingar berskjaldaðra einstaklinga, einkum barna, eru unnar eða þegar vinnsla tekur til mikils magns persónuupplýsinga og hefur áhrif á marga skráða einstaklinga.
76) Ákvarða ætti hversu líkleg og alvarleg áhættan er fyrir réttindi og frelsi hins skráða með vísun til eðlis, umfangs, samhengis og tilgangs vinnslunnar. Meta ætti áhættu út frá hlutlægu mati þar sem leitt er í ljós hvort aðgerðir við vinnslu persónuupplýsinga feli í sér áhættu eða mikla áhættu.
77) Veita mætti ábyrgðaraðila eða vinnsluaðila leiðbeiningar um framkvæmd viðeigandi ráðstafana og um það hvernig sýna skuli fram á fylgni við reglur, einkum að því er varðar greiningu á áhættu í tengslum við vinnsluna, mat þeirra að því er varðar orsök áhættunnar, eðli hennar, hversu líkleg og alvarleg hún er og við að greina bestu starfsvenjur til að draga úr henni, einkum með því að nota viðurkenndar hátternisreglur, viðurkennda vottun, viðmiðunarreglur frá persónuverndarráðinu eða ábendingar frá persónuverndarfulltrúa. Persónuverndarráðið getur einnig gefið út viðmiðunarreglur um vinnsluaðgerðir sem ólíklegt er að leiði af sér mikla áhættu fyrir réttindi og frelsi skráðra einstaklinga og bent á ráðstafanir sem geta verið nægilegar í slíkum tilvikum til að bregðast við slíkri áhættu.
78) Til að vernda réttindi og frelsi einstaklinga að því er varðar vinnslu persónuupplýsinga er nauðsynlegt að gerðar séu viðeigandi tæknilegar og skipulagslegar ráðstafanir til að tryggja að kröfum þessarar reglugerðar sé fullnægt. Til að geta sýnt fram á farið sé að þessari reglugerð ætti ábyrgðaraðilinn að setja sér innri stefnu og innleiða ráðstafanir sem fylgja einkum meginreglunum um innbyggða persónuvernd og sjálfgefna persónuvernd. Slíkar ráðstafanir gætu m.a. falið það í sér að draga sem mest úr vinnslu persónuupplýsinga, færa persónuupplýsingar undir gerviauðkenni eins skjótt og unnt er, gagnsæi að því er varðar eiginleika persónuupplýsinga og vinnslu þeirra, gera skráðum einstaklingi kleift að fylgjast með vinnslu upplýsinganna, gera ábyrgðaraðila kleift að taka upp og bæta öryggisþætti. Þegar framleiðendur vöru, þjónustu og hugbúnaðar þróa, hanna, velja og nota hugbúnað, vöru og þjónustu, sem er byggð á vinnslu persónuupplýsinga, eða vinna persónuupplýsingar í störfum sínum ætti að hvetja þá til að taka tillit til réttarins til persónuverndar við þróun og hönnun á slíkum vörum, þjónustu og hugbúnaði og ganga úr skugga um, að teknu tilhlýðilegu tilliti til nýjustu tækniþekkingar, að ábyrgðaraðilar og vinnsluaðilar geti uppfyllt skyldur sínar um persónuvernd. Einnig ætti að taka tillit til meginreglnanna um innbyggða og sjálfgefna persónuvernd í tengslum við opinber útboð.
79) Vernd réttinda og frelsis skráðra einstaklinga, ásamt ábyrgð og bótaábyrgð ábyrgðaraðila og vinnsluaðila, einnig að því er varðar eftirlit og aðgerðir eftirlitsyfirvalda, krefst þess að skipting ábyrgðarsviða samkvæmt þessari reglugerð sé skýr, m.a. þegar ábyrgðaraðili ákvarðar, ásamt öðrum ábyrgðaraðilum, tilgang og aðferðir við vinnslu eða þegar vinnsluaðgerð er framkvæmd fyrir hönd ábyrgðaraðila.
80) Ef ábyrgðaraðili eða vinnsluaðili, sem ekki hefur staðfestu í Sambandinu, vinnur persónuupplýsingar um skráða einstaklinga sem eru í Sambandinu og vinnslustarfsemi hans tengist því að bjóða slíkum skráðum einstaklingum í Sambandinu vöru eða þjónustu, án tillits til þess hvort þeir verði krafðir um greiðslu, eða hafa eftirlit með hegðun þeirra, að svo miklu leyti sem hegðunin á sér stað innan Sambandsins, ætti ábyrgðaraðilinn eða vinnsluaðilinn að tilnefna fulltrúa nema því aðeins að vinnslan sé tilfallandi, feli ekki í sér stórfellda vinnslu sérstakra flokka persónuupplýsinga eða vinnslu persónuupplýsinga er varða sakfellingu í refsimálum og refsiverð brot, og ólíklegt teljist að hún leiði af sér áhættu fyrir réttindi og frelsi einstaklinga, með tilliti til eðlis, samhengis, umfangs og tilgangs vinnslunnar, eða ef ábyrgðaraðilinn er opinbert yfirvald eða stofnun. Fulltrúinn ætti að koma fram fyrir hönd ábyrgðaraðilans eða vinnsluaðilans og getur hvaða eftirlitsyfirvald sem er haft samband við hann. Ábyrgðaraðilinn eða vinnsluaðilinn ætti að tilnefna fulltrúann sérstaklega með skriflegu umboði til að koma fram fyrir sína hönd með tilliti til skuldbindinga hans samkvæmt þessari reglugerð. Tilnefning slíks fulltrúa hefur ekki áhrif á ábyrgð eða bótaábyrgð ábyrgðaraðilans eða vinnsluaðilans samkvæmt þessari reglugerð. Slíkur fulltrúi ætti að inna verk sín af hendi í samræmi við fengið umboð frá ábyrgðaraðilanum eða vinnsluaðilanum, þ.m.t. starfa með lögbærum eftirlitsyfirvöldum með tilliti til hvers konar aðgerða sem gripið er til í því skyni að tryggja að farið sé að þessari reglugerð. Tilnefndur fulltrúi ætti að sæta framfylgdaraðgerð hafi ábyrgðaraðili eða vinnsluaðili ekki farið að reglugerðinni.
81) Til að tryggja að farið sé að kröfum þessarar reglugerðar að því er varðar þá vinnslu, sem vinnsluaðilinn á að annast fyrir hönd ábyrgðaraðilans, ætti ábyrgðaraðilinn, þegar hann felur vinnsluaðila vinnsluaðgerðir, einungis að leita til vinnsluaðila sem veita fullnægjandi tryggingar, einkum með tilliti til sérþekkingar, áreiðanleika og úrræða, fyrir því að koma til framkvæmda tæknilegum ráðstöfunum og skipulagsráðstöfunum sem samrýmast kröfum þessarar reglugerðar, m.a. að því er varðar öryggi vinnslunnar. Ef vinnsluaðili fylgir samþykktum hátternisreglum eða samþykktu vottunarfyrirkomulagi má nota það til að sýna fram á að ábyrgðaraðili uppfylli skuldbindingar sínar. Ákvæði um að vinnsla sé í höndum vinnsluaðila ætti að setja fram í samningi eða annarri réttargerð samkvæmt lögum Sambandsins eða lögum aðildarríkis, sem skuldbindur vinnsluaðilann gagnvart ábyrgðaraðilanum og tilgreinir viðfangsefni og lengd vinnslunnar, eðli og tilgang hennar, tegund persónuupplýsinga og flokka skráðra einstaklinga, með tilliti til sérstakra verkefna og ábyrgðar vinnsluaðilans í tengslum við vinnsluna sem á að fara fram og áhættu sem skapast varðandi réttindi og frelsi hins skráða. Ábyrgðaraðilinn og vinnsluaðilinn geta valið að nota stakan samning eða föst samningsákvæði sem annaðhvort framkvæmdastjórnin samþykkir beint eða eftirlitsyfirvald samþykkir í samræmi við samræmingarkerfið og framkvæmdastjórnin samþykkir síðan. Þegar vinnslu á vegum ábyrgðaraðilans er lokið ætti vinnsluaðilinn, eftir því sem ábyrgðaraðilinn ákveður, að skila eða eyða persónuupplýsingunum nema fyrir liggi krafa um varðveislu persónuupplýsinganna samkvæmt lögum Sambandsins eða lögum aðildarríkis sem vinnsluaðilanum ber að hlíta.
82) Til þess að sýna fram á að farið sé að þessari reglugerð ætti ábyrgðaraðilinn eða vinnsluaðilinn að halda skrár yfir vinnsluaðgerðir sem eru á hans ábyrgð. Hverjum ábyrgðaraðila og vinnsluaðila ætti að vera skylt að vinna með eftirlitsyfirvaldi og gera þessar skrár, að fenginni beiðni, aðgengilegar eftirlitsyfirvaldinu svo að nýta megi þær í þágu eftirlits með þessum vinnsluaðgerðum.
83) Til þess að viðhalda öryggi og koma í veg fyrir vinnslu, sem brýtur í bága við þessa reglugerð, ætti ábyrgðaraðili eða vinnsluaðili að meta þá áhættu sem fylgir vinnslunni og gera ráðstafanir til að draga úr slíkri áhættu, s.s. með dulkóðun. Þessar ráðstafanir ættu að tryggja viðeigandi öryggisstig, þ.m.t. trúnað, með tilliti til nýjustu tækni og kostnaðar við framkvæmd í tengslum við áhættu og eðli persónuupplýsinganna sem á að vernda. Við mat á áhættu fyrir gagnaöryggi ætti að líta til þeirrar áhættu sem fylgir vinnslu persónuupplýsinga, s.s. óviljandi eða ólögmætrar eyðingar persónuupplýsinga þegar þær eru sendar, geymdar eða unnar á annan hátt, s.s. að þær glatist, breytist, verði birtar eða aðgangur veittur að þeim í leyfisleysi, sem kann einkum að leiða til efnislegs tjóns, eignatjóns eða óefnislegs tjóns.
84) Til að stuðla að því að farið sé að þessari reglugerð þegar líklegt er að vinnsluaðgerðir leiði af sér mikla áhættu fyrir réttindi og frelsi einstaklinga ætti ábyrgðaraðilinn að vera ábyrgur fyrir að gert sé mat á áhrifum á persónuvernd, einkum til að meta uppruna, eðli, sérkenni og alvarleika þeirrar áhættu. Taka ætti tillit til niðurstöðu matsins þegar ákvarðaðar eru viðeigandi ráðstafanir sem grípa skal til þannig að hægt sé að sýna fram á að vinnsla persónuupplýsinga sé í samræmi við þessa reglugerð. Þegar mat á áhrifum á persónuvernd gefur til kynna að vinnsluaðgerðir feli í sér mikla áhættu, sem ábyrgðaraðilinn getur ekki dregið úr með viðeigandi ráðstöfunum með hliðsjón af tiltækri tækni og kostnaði við framkvæmd, ætti að hafa samráð við eftirlitsyfirvaldið áður en vinnslan hefst.
85) Öryggisbrestur við meðferð persónuupplýsinga getur, ef ekki er brugðist við honum á réttan hátt og tímanlega, valdið einstaklingum efnislegu tjóni, eignatjóni eða óefnislegu tjóni, s.s. missi yfirráða þeirra yfir persónuupplýsingum um sig eða takmörkun réttinda þeirra, mismunun, auðkennisþjófnaði eða svikum, fjárhagstjóni, að notkun gerviauðkenna sé aflétt í leyfisleysi, skaða á orðstír, töpuðum trúnaði um persónuupplýsingar sem njóta verndar samkvæmt þagnarskyldu eða öðru umtalsverðu efnahagslegu eða félagslegu óhagræði fyrir viðkomandi einstakling. Af þeim sökum ætti ábyrgðaraðilinn, um leið og hann verður þess áskynja að öryggisbrestur hafi orðið við meðferð persónuupplýsinga, að tilkynna eftirlitsyfirvaldinu um hann án ótilhlýðilegrar tafar og, ef mögulegt er, eigi síðar en 72 klst. eftir að hann verður brestsins var nema ábyrgðaraðilinn geti sýnt fram á, í samræmi við meginregluna um ábyrgðarskyldu, að ekki sé líklegt að viðkomandi brestur leiði af sér áhættu fyrir réttindi og frelsi einstaklinga. Ef ekki er hægt að tilkynna slíkt innan 72 klst. ættu ástæður tafarinnar að fylgja tilkynningunni og veita má upplýsingar í áföngum án frekari ástæðulausrar tafar.
86) Ábyrgðaraðilinn ætti að tilkynna skráðum einstaklingi um öryggisbrest við meðferð persónuupplýsinga án ótilhlýðilegrar tafar ef líklegt má telja að bresturinn leiði af sér mikla áhættu fyrir réttindi og frelsi einstaklingsins og gefa viðkomandi þannig færi á að gera nauðsynlegar varúðarráðstafanir. Í tilkynningunni ætti að koma fram eðli öryggisbrestsins við meðferð persónuupplýsinga, auk tilmæla til viðkomandi einstaklings um að draga úr mögulegum skaðlegum áhrifum. Slíkar tilkynningar til skráðra einstaklinga ætti að senda eins fljótt og mögulegt er og í nánu samstarfi við eftirlitsyfirvaldið, í samræmi við leiðbeiningar frá því sjálfu eða öðrum viðeigandi yfirvöldum, s.s. löggæsluyfirvöldum. Þörf á að draga úr bráðri hættu á tjóni kallar eftir skjótum samskiptum við skráða einstaklinga, en þörf á að grípa til viðeigandi ráðstafana gagnvart áframhaldandi eða sambærilegum öryggisbrestum við meðferð persónuupplýsinga kann að réttlæta að meiri tími fari í samskipti.
87) Ganga ætti úr skugga um hvort allar viðeigandi tæknilegar verndarráðstafanir og skipulagsráðstafanir hafi verið gerðar til að staðfesta tafarlaust hvort öryggisbrestur við meðferð persónuupplýsinga hafi átt sér stað og til að upplýsa eftirlitsyfirvaldið og hinn skráða þegar í stað um það. Ganga ætti úr skugga um að tilkynningin hafi verið send án ótilhlýðilegrar tafar, einkum með tilliti til eðlis og alvarleika öryggisbrests við meðferð persónuupplýsinga, afleiðinga hans og skaðlegra áhrifa hans fyrir hinn skráða. Slík tilkynning getur leitt til inngripa af hálfu eftirlitsyfirvaldsins í samræmi við verkefni þess og valdsvið sem mælt er fyrir um í þessari reglugerð.
88) Þegar settar eru ítarlegar reglur um viðeigandi framsetningu og verklag við tilkynningu öryggisbrests við meðferð persónuupplýsinga ætti að taka tilhlýðilegt tillit til aðstæðna þegar viðkomandi brestur átti sér stað, m.a. hvort persónuupplýsingar hafi verið varðar með viðeigandi tæknilegum ráðstöfunum sem takmarka í reynd líkur á auðkennasvikum eða annars konar misnotkun. Enn fremur ættu slíkar reglur og málsmeðferð að taka tillit til lögmætra hagsmuna löggæsluyfirvalda þegar upplýsingagjöf snemma í ferlinu kann að ástæðulausu að standa í vegi fyrir rannsókn á aðstæðum þegar öryggisbrestur við meðferð persónuupplýsinga átti sér stað.
89) Í tilskipun 95/46/EB er kveðið á um almenna skyldu til að tilkynna eftirlitsyfirvöldum um vinnslu persónuupplýsinga. Þótt sú skylda leiði til stjórnsýslulegrar og fjárhagslegrar byrði leiddi hún ekki í öllum tilvikum til bættrar verndar persónuupplýsinga. Af þeim sökum ætti að afnema slíka tilviljanakennda almenna tilkynningarskyldu og þess í stað ættu að koma skilvirkar verklagsreglur og aðferðir sem leggja í staðinn áherslu á þær tegundir vinnsluaðgerða sem líklegt er að leiði af sér mikla áhættu fyrir réttindi og frelsi einstaklinga vegna eðlis þeirra, umfangs, samhengis og tilgangs. Slíkar tegundir vinnsluaðgerða geta verið þær sem fela einkum í sér notkun nýrrar tækni eða eru nýrrar gerðar og þar sem ábyrgðaraðilinn hefur ekki áður framkvæmt mat á áhrifum á persónuvernd eða þegar þær verða nauðsynlegar í ljósi þess tíma sem liðinn er frá upphaflegu vinnslunni.
90) Í þeim tilvikum ætti ábyrgðaraðilinn að láta fara fram mat á áhrifum á persónuvernd áður en vinnslan hefst til þess að meta líkur á og alvarleika mikillar áhættu með tilliti til eðlis, umfangs, samhengis og tilgangs vinnslunnar og uppruna áhættunnar. Þetta mat á áhrifum ætti einkum að fela í sér ráðstafanir, verndarráðstafanir og fyrirkomulag sem ætlað er að draga úr þeirri áhættu, tryggja vernd persónuupplýsinga og sýna fram á að farið sé að þessari reglugerð.
91) Þetta ætti einkum að eiga við um umfangsmiklar vinnsluaðgerðir sem miða að því að vinna verulegt magn persónuupplýsinga á svæðisbundnum, landsbundnum eða yfirþjóðlegum vettvangi og sem gætu haft áhrif á mikinn fjölda skráðra einstaklinga og sem líklegt má telja að leiði af sér mikla áhættu, t.d. vegna þess hversu viðkvæmar upplýsingarnar eru, þegar í samræmi við þá tækniþekkingu sem náðst hefur er notuð ný tækni í miklum mæli, svo og aðrar vinnsluaðgerðir sem leiða af sér mikla áhættu fyrir réttindi og frelsi skráðra einstaklinga, einkum þegar þessar aðgerðir gera hinum skráðu erfiðara fyrir með að neyta réttar síns. Einnig ætti að framkvæma mat á áhrifum á persónuvernd þegar persónuupplýsingar eru unnar vegna töku ákvarðana er varða tiltekna einstaklinga í kjölfar kerfisbundins og umfangsmikils mats á persónubundnum þáttum sem tengjast einstaklingum og er byggt á gerð persónusniðs úr þessum upplýsingum eða í kjölfar vinnslu á sérstökum flokkum persónuupplýsinga, lífkennaupplýsinga eða upplýsinga um sakfellingar í refsimálum og refsiverð brot eða tengdar öryggisráðstafanir. Á sama hátt er krafist mats á áhrifum á persónuvernd þegar haft er umfangsmikið eftirlit með svæðum sem eru aðgengileg almenningi, einkum þegar notaður er ljósrafeindabúnaður eða vegna annarra aðgerða þar sem lögbært eftirlitsyfirvald telur að vinnslan leiði líklega af sér mikla áhættu fyrir réttindi og frelsi skráðra einstaklinga, einkum vegna þess að þær koma í veg fyrir að hinir skráðu neyti réttar síns, noti þjónustu eða byggi á samningi, eða vegna þess að þær eru umfangsmiklar og framkvæmdar kerfisbundið. Vinnsla persónuupplýsinga ætti ekki að teljast umfangsmikil ef vinnslan varðar persónuupplýsingar frá einstökum lækni, öðrum faglærðum heilbrigðisstarfsmanni eða lögfræðingi um sjúklinga eða viðskiptavini. Í þeim tilvikum ætti mat á áhrifum á persónuvernd ekki að vera skyldubundið.
92) Við tilteknar aðstæður kann að vera skynsamlegt og hagkvæmt að hafa viðfangsefni mats á áhrifum á persónuvernd víðtækara en eitt verkefni, t.d. ef opinber yfirvöld eða stofnanir hafa í hyggju að koma á sameiginlegum vettvangi vegna notkunar eða vinnslu eða þegar margir ábyrgðaraðilar ráðgera að koma á sameiginlegu notkunar- eða vinnsluumhverfi innan atvinnugreinar eða -geira eða algengrar, þverlægrar starfsemi.
93) Í tengslum við samþykkt laga aðildarríkis, sem eru grundvöllur fyrir framkvæmd verkefna opinbera yfirvaldsins eða stofnunarinnar og gilda um sérstaka vinnsluaðgerð eða röð aðgerða sem um er að ræða, geta aðildarríki talið nauðsynlegt að framkvæma slíkt mat áður en vinnsluaðgerðirnar hefjast.
94) Þegar mat á áhrifum á persónuvernd bendir til þess að vinnslan myndi, vegna skorts á verndarráðstöfunum, öryggisráðstöfunum og aðgerðum til að draga úr áhættu, leiða til mikillar áhættu fyrir réttindi og frelsi einstaklinga og ábyrgðaraðilinn lítur svo á að ekki verði dregið úr henni með hóflegum aðferðum með tilliti til tiltækrar tækni og kostnaðar við framkvæmd, ætti að hafa samráð við eftirlitsyfirvaldið áður en hafist er handa við vinnsluaðgerðir. Líklegt er að tilteknar tegundir vinnslu og umfang og tíðni vinnslu hafi svo mikla áhættu í för með sér sem kann einnig að leiða til skaða eða röskunar á réttindum og frelsi einstaklingsins. Eftirlitsyfirvaldið ætti að bregðast við beiðni um samráð innan tilgreinds tíma. Ef engin viðbrögð koma frá eftirlitsyfirvaldinu innan þess tíma ætti það þó ekki að hafa áhrif á íhlutun eftirlitsyfirvaldsins í samræmi við verkefni þess og valdheimildir sem mælt er fyrir um í þessari reglugerð, m.a. heimild til að banna vinnsluaðgerðir. Liður í því samráðsferli er að heimilt er að leggja fyrir eftirlitsyfirvaldið niðurstöðu úr mati á áhrifum á persónuvernd sem framkvæmt er með tilliti til viðkomandi vinnslu, einkum fyrirhugaðar ráðstafanir til að draga úr áhættu fyrir réttindi og frelsi einstaklinga.
95) Vinnsluaðilinn ætti að aðstoða ábyrgðaraðilann, eftir því sem nauðsyn krefur og komi fram beiðni um það, við að tryggja að farið sé að þeim skuldbindingum sem leiðir af framkvæmd mats á áhrifum á persónuvernd og fyrirframsamráði við eftirlitsyfirvaldið.
96) Samráð við eftirlitsyfirvaldið ætti einnig að fara fram við undirbúning löggjafar- eða stjórnvaldsráðstöfunar sem varðar vinnslu persónuupplýsinga til þess að tryggja að fyrirhuguð vinnsla sé í samræmi við þessa reglugerð og einkum til að takmarka áhættu sem snertir skráðan einstakling.
97) Ef vinnslan er í höndum opinbers yfirvalds, að undanskildum dómstólum eða sjálfstæðum dómsyfirvöldum þegar þau fara með dómsvald sitt, ef vinnsla í einkageiranum er í höndum ábyrgðaraðila þar sem meginstarfsemin felst í vinnsluaðgerðum sem krefjast umfangsmikillar, reglubundinnar og kerfisbundinnar vöktunar á skráðum einstaklingum eða ef meginverkefni ábyrgðaraðilans eða vinnsluaðilans felast í umfangsmikilli vinnslu sérstakra flokka persónuupplýsinga og upplýsinga er varða sakfellingu í refsimálum og refsiverð brot, ætti aðili með sérþekkingu á löggjöf um persónuvernd að aðstoða ábyrgðaraðilann eða vinnsluaðilann við eftirlit með því að þessari reglugerð sé fylgt á innri vettvangi. Í einkageiranum varða meginverkefni ábyrgðaraðila aðalstarfsemi hans en ekki vinnslu persónuupplýsinga sem viðbótarstarfsemi. Ákvarða ætti nauðsynlega sérþekkingu einkum út frá þeim gagnavinnsluaðgerðum sem framkvæmdar eru og þeirri vernd sem nauðsynleg er vegna þeirra persónuupplýsinga sem ábyrgðaraðili eða vinnsluaðili vinnur. Persónuverndarfulltrúar, hvort sem þeir eru starfsmenn ábyrgðaraðilans eða ekki, ættu að vera í aðstöðu til að sinna skyldustörfum sínum og verkefnum með óháðum hætti.
98) Hvetja ætti samtök eða aðra aðila, sem eru fulltrúar flokka ábyrgðaraðila eða vinnsluaðila, til að setja sér hátternisreglur, innan marka þessarar reglugerðar, í því skyni að auðvelda skilvirka beitingu hennar, með hliðsjón af sérstökum eiginleikum þeirrar vinnslu sem fer fram á tilteknum sviðum og í samræmi við sérstakar þarfir örfyrirtækja og lítilla og meðalstórra fyrirtækja. Slíkar hátternisreglur gætu einkum afmarkað skyldur ábyrgðaraðila og vinnsluaðila, með tilliti til þeirrar áhættu fyrir réttindi og frelsi einstaklinga sem líklegt er að vinnslan hafi í för með sér.
99) Þegar samtök og aðrir aðilar, sem eru fulltrúar flokka ábyrgðaraðila eða vinnsluaðila, setja sér hátternisreglur, breyta þeim eða rýmka gildissvið þeirra ættu þau að hafa samráð við viðeigandi hagsmunaaðila, m.a. skráða einstaklinga ef unnt er, og taka tillit til athugasemda og skoðana sem fram hafa komið í kjölfar slíks samráðs.
100) Til að bæta gagnsæi og fylgni við þessa reglugerð ætti að hvetja til þess að komið verði á vottunarfyrirkomulagi og persónuverndarinnsiglum og -merkjum sem gera skráðum einstaklingum kleift að meta fljótt persónuverndarstig viðkomandi vöru og þjónustu.
101) Flæði persónuupplýsinga til og frá löndum utan Sambandsins og til og frá alþjóðastofnunum er nauðsynlegt vegna vaxandi alþjóðaviðskipta og alþjóðlegrar samvinnu. Aukið flæði af þessu tagi hefur haft í för með sér ný viðfangsefni og vanda í tengslum við vernd persónuupplýsinga. Þegar persónuupplýsingum er miðlað frá Sambandinu til ábyrgðaraðila, vinnsluaðila eða annarra viðtakenda í þriðju löndum eða til alþjóðastofnana ætti það ekki að grafa undan þeirri vernd sem þessi reglugerð tryggir einstaklingum í Sambandinu, þ.m.t. við framsendingu persónuupplýsinga frá þriðja landinu eða alþjóðastofnuninni til ábyrgðaraðila eða vinnsluaðila í sama eða öðru þriðja landi eða hjá annarri alþjóðastofnun. Miðlun til þriðju landa eða alþjóðastofnana má þó aðeins fara fram með þeim hætti að þessari reglugerð sé fylgt í einu og öllu. Upplýsingunum má því aðeins miðla, með fyrirvara um önnur ákvæði þessar reglugerðar, að ábyrgðaraðili eða vinnsluaðili hafi farið að skilyrðunum sem mælt er fyrir um í ákvæðum þessarar reglugerðar um miðlun persónuupplýsinga til þriðja lands eða alþjóðastofnunar.
102) Þessi reglugerð hefur ekki áhrif á alþjóðasamninga sem Sambandið hefur gert við þriðju lönd um miðlun persónuupplýsinga, þ.m.t. um viðeigandi verndarráðstafanir í þágu skráðra einstaklinga. Aðildarríki geta gert alþjóðasamninga sem taka til miðlunar persónuupplýsinga til þriðju landa eða alþjóðastofnana, að svo miklu leyti sem slíkir samningar hafa ekki áhrif á þessa reglugerð eða önnur ákvæði í lögum Sambandsins og hafa að geyma ákvæði um viðeigandi vernd grundvallarréttinda skráðra einstaklinga.
103) Framkvæmdastjórnin getur ákveðið, þannig að gildi hafi alls staðar í Sambandinu, að þriðja land, yfirráðasvæði eða tilgreindur geiri innan þriðja lands eða alþjóðastofnun veiti fullnægjandi persónuvernd, og þannig skapað réttarvissu og einsleitni í öllu Sambandinu að því er varðar þriðja land eða alþjóðastofnun sem talin er veita slíka vernd. Í þeim tilvikum er leyfilegt að miðla persónuupplýsingum til umrædds þriðja lands eða alþjóðastofnunar án þess að afla frekari heimildar. Framkvæmdastjórnin getur einnig ákveðið að afturkalla slíka ákvörðun eftir að hún hefur tilkynnt þriðja landinu eða alþjóðastofnuninni um það og upplýst að fullu um ástæður.
104) Við mat framkvæmdastjórnarinnar á þriðja landi eða á yfirráðasvæði eða tilgreindum geira innan þriðja lands ætti hún, í samræmi við þau grundvallargildi sem Sambandið er byggt á, einkum vernd mannréttinda, að taka tillit til þess hvernig viðkomandi þriðja land virðir grunnreglur réttarríkisins, tryggir aðgang að réttarkerfinu og fer að alþjóðlegum reglum og viðmiðunum um mannréttindi, og til almennra laga og sérlaga, sem og til löggjafar um almannaöryggi, landvarnir og öryggi ríkisins, auk allsherjarreglu og refsiréttar. Við samþykkt ákvörðunar um það hvort vernd sé fullnægjandi að því er varðar yfirráðasvæði eða tilgreindan geira innan þriðja lands ætti að taka tillit til skýrra og hlutlægra viðmiðana, s.s. tiltekinna vinnsluaðgerða og gildissviðs viðkomandi lagareglna og löggjafar sem eru í gildi í þriðja landinu. Þriðja landið ætti að ábyrgjast að tryggð sé fullnægjandi vernd sem er í meginatriðum sambærileg þeirri sem er tryggð í Sambandinu, einkum þegar vinnsla persónuupplýsinga fer fram í einum eða fleiri tilgreindum geirum. Þriðja landið ætti einkum að tryggja skilvirkt og sjálfstætt eftirlit með persónuvernd og móta verklag vegna samstarfs við persónuverndaryfirvöld í aðildarríkjunum og skráðir einstaklingar ættu að njóta skilvirkra og framfylgjanlegra réttinda og geta leitað réttar síns fyrir stjórnsýsluyfirvaldi og dómstólum með skilvirkum hætti.
105) Auk alþjóðlegra skuldbindinga, sem þriðja landið eða alþjóðastofnunin hefur gengist undir, ætti framkvæmdastjórnin að taka tillit til skuldbindinga sem leiðir af þátttöku þriðja landsins eða alþjóðastofnunarinnar í marghliða eða svæðisbundnum kerfum, einkum í tengslum við vernd persónuupplýsinga, svo og framkvæmdar slíkra skuldbindinga. Einkum ætti að taka tillit til aðildar þriðja lands að samningi Evrópuráðsins frá 28. janúar 1981 um vernd einstaklinga varðandi vélræna vinnslu persónuupplýsinga og viðbótarbókunar við hann. Framkvæmdastjórnin ætti að hafa samráð við persónuverndarráðið þegar hún leggur mat á umfang verndar í þriðju löndum eða hjá alþjóðastofnunum.
106) Framkvæmdastjórnin ætti að fylgjast með framkvæmd ákvarðana um umfang verndar í þriðja landi, á yfirráðasvæði eða í tilgreindum geira innan þriðja lands eða hjá alþjóðastofnun og ætti að fylgjast með framkvæmd ákvarðana sem samþykktar eru á grundvelli 6. mgr. 25. gr. eða 4. mgr. 26. gr. tilskipunar 95/46/EB. Þegar framkvæmdastjórnin tekur ákvarðanir um hvort vernd sé fullnægjandi ætti hún að sjá til þess að fyrir hendi sé fyrirkomulag vegna reglubundinnar endurskoðunar á framkvæmd þeirra. Þessi reglubundna endurskoðun ætti að fara fram í samráði við hlutaðeigandi þriðja land eða alþjóðastofnun og að teknu tilliti til viðeigandi þróunar í þriðja landinu eða hjá alþjóðastofnuninni. Að því er eftirlit og reglubundna endurskoðun varðar ætti framkvæmdastjórnin að taka tillit til sjónarmiða og niðurstaðna Evrópuþingsins og ráðsins, svo og annarra viðeigandi aðila og heimilda. Framkvæmdastjórnin ætti að meta, innan hæfilegs frests, framkvæmd síðarnefndu ákvarðananna og leggja skýrslu um viðeigandi niðurstöður fyrir nefndina í skilningi reglugerðar Evrópuþingsins og ráðsins (ESB) nr. 182/2011 ( Reglugerð Evrópuþingsins og ráðsins (ESB) nr. 182/2011 frá 16. febrúar 2011 um reglur og almennar meginreglur varðandi tilhögun eftirlits aðildarríkjanna með framkvæmdastjórninni þegar hún beitir framkvæmdavaldi sínu (Stjtíð. ESB L 55, 28.2.2011, bls. 13).), sem komið er á fót samkvæmt þessari reglugerð, og fyrir Evrópuþingið og ráðið.
107) Framkvæmdastjórnin getur staðfest að þriðja land, yfirráðasvæði eða tilgreindur geiri í þriðja landi eða alþjóðastofnun tryggi ekki lengur fullnægjandi persónuvernd. Af þessum sökum ætti að banna miðlun persónuupplýsinga til þessa þriðja lands eða alþjóðastofnunar nema fullnægt sé kröfum þessarar reglugerðar um miðlun með fyrirvara um viðeigandi verndarráðstafanir, þ.m.t. bindandi fyrirtækjareglur, og undanþágur vegna sérstakra aðstæðna. Í því tilviki ætti að gera ráð fyrir samráði milli framkvæmdastjórnarinnar og umræddra þriðju landa eða alþjóðastofnana. Framkvæmdastjórnin ætti að tilkynna þriðja landinu eða alþjóðastofnuninni tímanlega um ástæðurnar og hefja viðræður við það eða hana til þess að ráða bót á ástandinu.
108) Þegar ekki hefur verið tekin ákvörðun um það hvort fullnægjandi vernd er fyrir hendi ætti ábyrgðaraðili eða vinnsluaðili að gera ráðstafanir til að bæta upp skort á persónuvernd í þriðja landi með viðeigandi verndarráðstöfunum í þágu skráðs einstaklings. Viðeigandi verndarráðstafanir geta m.a. falist í því að nota bindandi fyrirtækjareglur, stöðluð ákvæði um persónuvernd sem framkvæmdastjórnin hefur samþykkt, stöðluð ákvæði um persónuvernd sem eftirlitsyfirvald hefur samþykkt eða samningsákvæði sem eftirlitsyfirvald hefur heimilað. Þessar verndarráðstafanir ættu að tryggja að farið sé að kröfum um persónuvernd og að virt séu réttindi skráðra einstaklinga sem varða vinnslu innan Sambandsins, þ.m.t. að fyrir liggi framfylgjanleg réttindi skráðra einstaklinga og skilvirk lagaleg úrræði, m.a. að hægt sé að leita réttar síns fyrir stjórnsýsluyfirvöldum eða dómstólum með skilvirkum hætti og að krefjast bóta, í Sambandinu eða í þriðja landi. Þær ættu einkum að varða fylgni við almennar meginreglur um vinnslu persónuupplýsinga og meginreglur um innbyggða og sjálfgefna persónuvernd. Opinber yfirvöld eða stofnanir geta einnig miðlað upplýsingum til opinberra yfirvalda eða stofnana í þriðju löndum eða til alþjóðastofnana sem hafa samsvarandi skyldur eða hlutverk, m.a. á grundvelli ákvæða sem eru felld inn í stjórnvaldsráðstafanir, s.s. samkomulag, sem veita skráðum einstaklingum framfylgjanleg og skilvirk réttindi. Afla ætti heimildar lögbærs eftirlitsyfirvalds ef gert er ráð fyrir verndarráðstöfunum í stjórnvaldsráðstöfunum sem eru ekki lagalega bindandi.
109) Möguleiki ábyrgðaraðila eða vinnsluaðila á að beita stöðluðum ákvæðum um persónuvernd, sem framkvæmdastjórnin eða eftirlitsyfirvald hefur samþykkt, ætti hvorki að hindra ábyrgðaraðila né vinnsluaðila í að fella stöðluð ákvæði um persónuvernd inn í víðtækari samning, s.s. samning milli ábyrgðaraðilans og annars ábyrgðaraðila, né heldur í að bæta við öðrum ákvæðum eða viðbótarverndarráðstöfunum, að því tilskildu að þau stangist ekki með beinum eða óbeinum hætti á við stöðluðu samningsákvæðin, sem framkvæmdastjórnin eða eftirlitsyfirvald hefur samþykkt, eða hafi áhrif á grundvallarréttindi eða frelsi skráðra einstaklinga. Hvetja ætti ábyrgðaraðila og vinnsluaðila til að gera frekari verndarráðstafanir með hjálp samningsbundinna skuldbindinga sem koma til viðbótar stöðluðum verndarákvæðum.
110) Fyrirtækjasamstæða eða hópur fyrirtækja í sameiginlegri atvinnustarfsemi ætti að geta notað viðurkenndar bindandi fyrirtækjareglur varðandi alþjóðlega miðlun sína frá Sambandinu til skipulagsheilda innan sömu fyrirtækjasamstæðu eða hóps fyrirtækja í sameiginlegri atvinnustarfsemi, að því tilskildu að þessar fyrirtækjareglur nái yfir allar mikilvægar meginreglur og framfylgjanleg réttindi til að tryggja viðeigandi verndarráðstafanir vegna miðlunar eða miðlunarflokka persónuupplýsinga.
111) Setja ætti ákvæði um möguleika á miðlun við sérstakar aðstæður þegar skráður einstaklingur hefur veitt ótvírætt samþykki sitt og miðlunin er tilfallandi og nauðsynleg í tengslum við samning eða réttarkröfu, hvort heldur er við dómsmeðferð eða stjórnsýslumeðferð eða aðra málsmeðferð utan dómstóla, þ.m.t. málsmeðferð hjá eftirlitsaðilum. Einnig ætti að gera ráð fyrir möguleika á miðlun þegar brýnir almannahagsmunir, sem mælt er fyrir um í lögum Sambandsins eða lögum aðildarríkis, krefjast þess eða þegar miðlunin er úr skrá sem komið var á fót samkvæmt lögum og ætluð er til þess að almenningur eða þeir sem hafa lögmætra hagsmuna að gæta geti skoðað hana. Í síðarnefnda tilvikinu ætti miðlunin ekki að ná til persónuupplýsinganna í heild sinni eða heilla flokka upplýsinga í skránni og miðlunin ætti, þegar gert er ráð fyrir að þeir sem hafa lögmætra hagsmuna að gæta geti skoðað skrána, aðeins að fara fram að beiðni þeirra eða, ef þeir eiga að vera viðtakendur upplýsinganna, að teknu fullu tilliti til hagsmuna og grundvallarréttinda hins skráða.
112) Undanþágurnar ættu einkum að gilda um miðlun upplýsinga sem eru nauðsynlegar vegna mikilvægra almannahagsmuna, t.d. þegar um er að ræða alþjóðleg upplýsingaskipti milli samkeppnisyfirvalda, skatta- eða tollyfirvalda, milli fjármálaeftirlitsstofnana, milli stofnana sem starfa á sviði almannatrygginga eða lýðheilsu, t.d. við að rekja smitleiðir vegna smitsjúkdóma eða í þeim tilgangi að draga úr og/eða útrýma lyfjamisnotkun í íþróttum. Einnig ætti miðlun persónuupplýsinga að teljast lögmæt þegar hún er nauðsynleg til að vernda hagsmuni sem skipta sköpum fyrir brýna hagsmuni skráðs einstaklings eða annars einstaklings, þ.m.t. líkamlega friðhelgi eða líf, ef hinn skráði er ekki fær um að veita samþykki sitt. Þegar ekki hefur verið tekin ákvörðun um hvort fullnægjandi vernd er fyrir hendi geta lög Sambandsins eða lög aðildarríkis takmarkað, í ljósi mikilvægra almannahagsmuna, sérstaklega miðlun tiltekinna flokka upplýsinga til þriðja lands eða alþjóðastofnunar. Aðildarríkin ættu að tilkynna framkvæmdastjórninni um slík ákvæði. Telja mætti miðlun persónuupplýsinga um skráðan einstakling, sem er líkamlega eða í lagalegum skilningi ófær um að veita samþykki sitt, til alþjóðlegrar stofnunar á sviði mannúðarmála vegna framkvæmdar verkefnis samkvæmt Genfarsamningunum eða til að framfylgja alþjóðlegum mannúðarlögum sem gilda um vopnuð átök, nauðsynlega í ljósi mikilvægra almannahagsmuna eða þess að það varðar brýna hagsmuni hins skráða.
113) Miðlun, sem telja má að verði ekki endurtekin og sem aðeins varðar takmarkaðan fjölda skráðra einstaklinga, gæti einnig verið möguleg með tilliti til mikilvægra lögmætra hagsmuna sem ábyrgðaraðili gætir þegar hagsmunir eða réttindi og frelsi skráðs einstaklings ganga þeim ekki framar og ef ábyrgðaraðilinn hefur kannað allar aðstæður í tengslum við miðlun upplýsinganna. Ábyrgðaraðilinn ætti einkum að skoða eðli persónuupplýsinganna, tilgang og tímalengd fyrirhugaðrar vinnsluaðgerðar eða -aðgerða, svo og aðstæður í upprunalandinu, þriðja landinu og endanlegu viðtökulandi og ætti að gera viðeigandi verndarráðstafanir til að vernda grundvallarréttindi og frelsi einstaklinga með tilliti til vinnslu persónuupplýsinga þeirra. Slík miðlun ætti aðeins að vera möguleg í einstaka tilvikum þegar engin annarra nefndra ástæðna til miðlunar á við. Taka ætti tillit til lögmætra væntinga samfélagsins um aukna þekkingu þegar um er að ræða vísindalegar eða sagnfræðilegar rannsóknir eða tölfræðilegan tilgang. Ábyrgðaraðilinn ætti að tilkynna eftirlitsyfirvaldinu og hinum skráða um miðlunina.
114) Hvað sem öðru líður ætti ábyrgðaraðili eða vinnsluaðili, ef framkvæmdastjórnin hefur ekki tekið ákvörðun um hvort persónuvernd sé fullnægjandi í þriðja landi, að nýta sér lausnir sem veita skráðum einstaklingum framfylgjanleg og skilvirk réttindi að því er varðar vinnslu persónuupplýsinga um þá í Sambandinu eftir að miðlun þessara upplýsinga hefur farið fram svo að þeir njóti áfram grundvallarréttinda og verndarráðstafana.
115) Sum þriðju lönd samþykkja lög, reglur og aðrar réttargerðir sem lúta að beinu eftirliti með vinnsluaðgerðum einstaklinga og lögaðila undir lögsögu aðildarríkjanna. Þetta kann að taka til dóma, sem dómstólar kveða upp eða ákvarðana stjórnvalda í þriðju löndum, sem krefjast þess að ábyrgðaraðili eða vinnsluaðili miðli persónuupplýsingum eða birti þær og sem byggjast ekki á alþjóðasamningi á borð við samning um gagnkvæma dómsmálaaðstoð, sem er í gildi milli þriðja landsins, sem leggur fram beiðni, og Sambandsins eða aðildarríkis. Ef beiting þessara laga, reglna og annarra réttargerða er ekki svæðisbundin getur það gengið gegn þjóðarétti og kann að standa í vegi fyrir þeirri vernd sem einstaklingum er tryggð í Sambandinu með þessari reglugerð. Aðeins ætti að heimila miðlun ef skilyrðum þessarar reglugerðar um miðlun til þriðju landa er fullnægt. Þetta getur m.a. átt við þegar birting er nauðsynleg vegna mikilvægra almannahagsmuna sem viðurkenndir eru í lögum Sambandsins eða lögum aðildarríkis sem ábyrgðaraðili heyrir undir.
116) Þegar persónuupplýsingar fara yfir landamæri utan Sambandsins getur það leitt til aukinnar áhættu fyrir getu einstaklinga til að neyta réttar síns til persónuverndar, einkum verja sig gegn ólögmætri notkun eða birtingu umræddra upplýsinga. Jafnframt geta eftirlitsyfirvöld komist að þeirri niðurstöðu að þau geti ekki fylgt eftir kvörtunum eða sinnt rannsóknum í tengslum við starfsemi utan landamæra sinna. Ófullnægjandi valdheimildir til forvarna eða úrbóta, misræmi milli lagareglna og hindranir sem lúta að framkvæmd á borð við takmarkað fjármagn geta staðið í vegi fyrir viðleitni þeirra til að vinna saman yfir landamæri. Þess vegna þarf að hvetja til nánara samstarfs meðal eftirlitsyfirvalda á sviði persónuverndar til að hjálpa þeim við að skiptast á upplýsingum og vinna að rannsóknum með samsvarandi alþjóðlegum aðilum. Í þeim tilgangi að móta fyrirkomulag alþjóðlegrar samvinnu til að greiða fyrir og veita gagnkvæma aðstoð á alþjóðavettvangi við framkvæmd löggjafar um vernd persónuupplýsinga ættu framkvæmdastjórnin og eftirlitsyfirvöldin að skiptast á upplýsingum og starfa með lögbærum yfirvöldum þriðju landa að verkefnum sem tengjast beitingu valdheimilda þeirra, á gagnkvæmum grundvelli og í samræmi við þessa reglugerð.
117) Þýðingarmikill þáttur í vernd einstaklinga að því er varðar vinnslu persónuupplýsinga þeirra felst í því að koma eftirlitsyfirvöldum á fót í aðildarríkjunum með umboð til að gegna störfum sínum og beita valdheimildum sínum algerlega óháð öðrum. Aðildarríkin ættu að geta komið á fót fleiri en einu eftirlitsyfirvaldi til að endurspegla stjórnskipan sína, stjórnunarhætti og skipulag stjórnsýslu.
118) Sjálfstæði eftirlitsyfirvalda ætti ekki að þýða að þau þurfi ekki að hlíta eftirlits- eða vöktunarkerfum í tengslum við útgjöld sín eða eftirliti dómstóla.
119) Ef aðildarríki kemur á fót fleiri en einu eftirlitsyfirvaldi ætti það að koma á kerfi samkvæmt lögum til að tryggja skilvirka þátttöku eftirlitsyfirvaldanna í samræmingarkerfinu. Umrætt aðildarríki ætti einkum að tilnefna það eftirlitsyfirvald sem gegnir hlutverki sameiginlegs tengiliðar vegna virkrar þátttöku þessara yfirvalda í kerfinu til þess að tryggja skjóta og snurðulausa samvinnu við önnur eftirlitsyfirvöld, persónuverndarráðið og framkvæmdastjórnina.
120) Sérhvert eftirlitsyfirvald ætti að hafa yfir að ráða því fjármagni, þeim mannauði, húsakosti og innviðum sem nauðsynleg eru til að þau geti sinnt verkefnum sínum með skilvirkum hætti, þ.m.t. þeim sem lúta að gagnkvæmri aðstoð og samvinnu við önnur eftirlitsyfirvöld alls staðar í Sambandinu. Sérhvert eftirlitsyfirvald ætti að hafa sérstaka, opinbera árlega fjárhagsáætlun sem getur verið hluti af heildarfjárlögum fylkisins eða ríkisins.
121) Mæla ætti fyrir um almenn skilyrði fyrir fulltrúa eftirlitsyfirvaldsins í lögum hvers aðildarríkis og í þeim ætti einkum að kveða á um að þing, ríkisstjórn eða þjóðhöfðingjar aðildarríkisins skipi þessa fulltrúa á grundvelli gagnsærrar málsmeðferðar, að fenginni tillögu ríkisstjórnarinnar, ráðherra hennar, þingsins eða þingdeildar, eða að sjálfstæðum aðila sé falið það verkefni samkvæmt lögum aðildarríkis. Til þess að tryggja sjálfstæði eftirlitsyfirvaldsins ættu fulltrúarnir að koma fram af heilindum, ekki aðhafast neitt það sem er ósamrýmanlegt skyldum þeirra og ekki að stunda önnur launuð eða ólaunuð ósamrýmanleg störf á skipunartíma sínum. Eftirlitsyfirvaldið ætti að hafa eigið starfslið, valið af því sjálfu eða sjálfstæðum aðila, sem er komið á fót samkvæmt lögum aðildarríkis, og ætti það eingöngu að lúta stjórn fulltrúa eftirlitsyfirvaldsins.
122) Sérhvert eftirlitsyfirvald ætti að vera til þess bært á yfirráðasvæði eigin aðildarríkis að beita þeim valdheimildum og vinna þau verkefni sem því eru falin samkvæmt þessari reglugerð. Þau ættu einkum að taka til vinnslu í tengslum við starfsemi starfsstöðvar ábyrgðaraðila eða vinnsluaðila á yfirráðasvæði eigin aðildarríkis, vinnslu opinberra yfirvalda eða einkaaðila á persónuupplýsingum í þágu almannahagsmuna, vinnslu sem hefur áhrif á skráða einstaklinga á yfirráðasvæði þess eða vinnslu af hálfu ábyrgðaraðila eða vinnsluaðila, sem hefur ekki staðfestu í Sambandinu, þegar hún beinist að skráðum einstaklingum sem búa á yfirráðasvæði þess. Þar á meðal ætti að vera meðferð kvartana frá skráðum einstaklingi, framkvæmd rannsókna á beitingu þessarar reglugerðar og vitundarefling meðal almennings um áhættuþætti, reglur, verndarráðstafanir og réttindi í tengslum við vinnslu persónuupplýsinga.
123) Eftirlitsyfirvöldin ættu að hafa eftirlit með beitingu ákvæðanna samkvæmt þessari reglugerð og stuðla að samræmdri framkvæmd hennar í öllu Sambandinu, til að vernda einstaklinga í tengslum við vinnslu persónuupplýsinga um þá og greiða fyrir frjálsu flæði persónuupplýsinga á innri markaðnum. Í því skyni ættu eftirlitsyfirvöld að hafa samstarf sín á milli og við framkvæmdastjórnina, án þess að nauðsynlegt sé að gera samning milli aðildarríkjanna um gagnkvæma aðstoð eða slíka samvinnu.
124) Þegar vinnsla persónuupplýsinga fer fram innan ramma starfsemi starfsstöðvar ábyrgðaraðila eða vinnsluaðila í Sambandinu og ábyrgðaraðilinn eða vinnsluaðilinn hefur staðfestu í fleiru en einu aðildarríki, eða þegar vinnsla, sem fram fer innan ramma starfsemi stakrar starfsstöðvar ábyrgðaraðila eða vinnsluaðila í Sambandinu, hefur veruleg áhrif eða búast má við að hún hafi veruleg áhrif á skráða einstaklinga í fleiri en einu aðildarríki, ætti eftirlitsyfirvald yfir höfuðstöðvum ábyrgðaraðila eða vinnsluaðila eða þessari einu starfsstöð ábyrgðaraðila eða vinnsluaðila að gegna hlutverki forystuyfirvalds. Það ætti að hafa samstarf við önnur hlutaðeigandi yfirvöld þegar ábyrgðaraðili eða vinnsluaðili er með starfsstöð á yfirráðsvæði þeirra, skráðir einstaklingar á yfirráðasvæði þeirra verða fyrir verulegum áhrifum eða kvörtun er lögð fram hjá þeim. Ef skráður einstaklingur, sem býr ekki í því aðildarríki, leggur fram kvörtun ætti eftirlitsyfirvaldið, sem kvörtunin er lögð fram hjá, einnig að vera hlutaðeigandi eftirlitsyfirvald. Innan ramma þeirra verkefna sinna að gefa út viðmiðunarreglur varðandi álitaefni, sem upp kunna að koma varðandi beitingu þessarar reglugerðar, ætti persónuverndarráðið að geta gefið út viðmiðunarreglur, einkum um þær viðmiðanir sem taka ber tillit til þegar gengið er úr skugga um hvort viðkomandi vinnsla hafi veruleg áhrif á skráða einstaklinga í fleiri en einu aðildarríki og hvað teljast vera viðeigandi og rökstudd andmæli.
125) Forystuyfirvaldið ætti að vera til þess bært að samþykkja bindandi ákvarðanir um ráðstafanir og beita til þess þeim valdheimildum sem því eru fengnar í samræmi við þessa reglugerð. Í krafti hlutverks síns sem forystuyfirvald ætti eftirlitsyfirvaldið að virkja hlutaðeigandi eftirlitsyfirvöld til þátttöku í ákvarðanatökuferlinu og samhæfa þau. Ef ákveðið er að hafna kvörtun viðkomandi skráðs einstaklings, að öllu leyti eða að hluta til, ætti eftirlitsyfirvaldið, sem kvörtunin var lögð fram hjá, að taka þá ákvörðun.
126) Forystueftirlitsyfirvaldið og önnur hlutaðeigandi eftirlitsyfirvöld ættu að komast að samkomulagi um ákvörðunina og henni ætti að beina til höfuðstöðva eða hinnar einu starfsstöðvar ábyrgðaraðilans eða vinnsluaðilans og vera bindandi gagnvart honum. Ábyrgðaraðilinn eða vinnsluaðilinn ætti að grípa til nauðsynlegra ráðstafana til að tryggja að farið sé að þessari reglugerð og framkvæmd ákvörðunarinnar sem forystueftirlitsyfirvaldið tilkynnir um til höfuðstöðva ábyrgðaraðilans eða vinnsluaðilans að því er varðar vinnslustarfsemi í Sambandinu.
127) Eftirlitsyfirvald, sem gegnir ekki hlutverki forystueftirlitsyfirvalds, ætti að vera til þess bært að taka á staðbundnum málum þegar ábyrgðaraðili eða vinnsluaðili hefur staðfestu í fleiri en einu aðildarríki en viðfangsefni hinnar tilteknu vinnslu varðar einungis vinnslu sem fram fer í einu aðildarríki og tekur einungis til skráðra einstaklinga í því eina aðildarríki, t.d. þegar það varðar vinnslu persónuupplýsinga um starfsmenn í tilteknu atvinnutengdu samhengi í aðildarríki. Í þeim tilvikum ætti eftirlitsyfirvaldið að tilkynna forystueftirlitsyfirvaldinu um málið án tafar. Eftir að forystueftirlitsyfirvaldinu hefur verið tilkynnt um málið ætti það að ákveða hvort það muni afgreiða það samkvæmt ákvæðinu um samstarf milli forystueftirlitsyfirvaldsins og annarra hlutaðeigandi eftirlitsyfirvalda („afgreiðsla á einum stað“) eða hvort eftirlitsyfirvaldið, sem sendi því tilkynninguna, eigi að afgreiða málið á staðarvísu. Þegar forystueftirlitsyfirvaldið tekur ákvörðun um hvort það muni afgreiða málið ætti það að taka tillit til þess hvort ábyrgðaraðili eða vinnsluaðili er með starfsstöð í aðildarríki eftirlitsyfirvaldsins, sem tilkynnti um málið, til að tryggja skilvirka framfylgd ákvörðunar gagnvart ábyrgðaraðilanum eða vinnsluaðilanum. Ákveði forystueftirlitsyfirvaldið að taka sjálft að sér afgreiðslu málsins ætti eftirlitsyfirvaldið, sem tilkynnti um málið, að eiga kost á því að leggja fram drög að ákvörðun sem forystueftirlitsyfirvaldinu ber að taka ítrasta tillit til þegar það útbýr drög sín að ákvörðun innan fyrirkomulagsins um afgreiðslu á einum stað.
128) Reglurnar um forystueftirlitsyfirvald og afgreiðslu á einum stað ættu ekki að gilda þegar opinber yfirvöld eða einkaaðilar annast vinnsluna í þágu almannahagsmuna. Í þeim tilvikum ætti eftirlitsyfirvald aðildarríkisins, þar sem opinbera yfirvaldið eða einkaaðilinn hefur staðfestu, að vera eina eftirlitsyfirvaldið sem er til þess bært að beita þeim valdheimildum sem því eru fengnar samkvæmt þessari reglugerð.
129) Til þess að tryggja samræmt eftirlit og framfylgd þessarar reglugerðar alls staðar í Sambandinu ættu eftirlitsyfirvöld að hafa í hverju aðildarríki á hendi sömu verkefni og skilvirkar valdheimildir, þ.m.t. heimildir til rannsókna, til að gera ráðstafanir til úrbóta og setja viðurlög og leyfisveitinga- og ráðgjafarheimildir, einkum þegar um er að ræða kvartanir frá einstaklingum og, án þess að það hafi áhrif á valdheimildir yfirvalda sem fara með ákæruvald samkvæmt lögum aðildarríkis, til að vekja athygli dómsyfirvalda á brotum gegn þessari reglugerð og fara með mál fyrir dóm. Á meðal slíkra valdheimilda ætti einnig að vera heimild til að taka upp tímabundna eða varanlega takmörkun á vinnslu, þ.m.t. bann. Aðildarríkin geta tilgreint önnur verkefni í tengslum við vernd persónuupplýsinga samkvæmt þessari reglugerð. Valdheimildum eftirlitsyfirvalda ætti að beita í samræmi við viðeigandi réttarfarsreglur sem settar eru fram í lögum Sambandsins og lögum aðildarríkis, af óhlutdrægni og sanngirni og innan hæfilegs tíma. Einkum ætti sérhver ráðstöfun að vera viðeigandi, nauðsynleg og hófleg til að tryggja að farið sé að þessari reglugerð, með hliðsjón af aðstæðum í hverju tilviki fyrir sig, virða rétt hvers aðila til að koma sjónarmiðum sínum á framfæri áður en gripið er til einhverrar þeirrar ráðstöfunar sem væri honum í óhag og þannig útfærð að komist sé hjá óhóflegum kostnaði og óþægindum fyrir viðkomandi einstaklinga. Rannsóknarheimildum að því er varðar aðgang að athafnasvæði ætti að beita í samræmi við sérstakar kröfur í réttarfarslögum aðildarríkisins, s.s. kröfuna um að afla fyrirframheimildar dómsmálayfirvalda. Sérhver lagalega bindandi ráðstöfun eftirlitsyfirvaldsins ætti að vera skrifleg, skýr og ótvíræð, í henni ætti að koma fram hvaða eftirlitsyfirvald gaf hana út, útgáfudagur, á henni ætti að vera undirskrift yfirmanns eða fulltrúa eftirlitsyfirvaldsins sem hann hefur veitt umboð sitt, þar skulu koma fram ástæður fyrir ráðstöfuninni og vísað til réttarins til skilvirks úrræðis til að leita réttar síns. Þetta útilokar ekki viðbótarkröfur samkvæmt réttarfarslögum aðildarríkis. Þegar tekin er lagalega bindandi ákvörðun getur það haft í för með sér endurskoðun dómstóla í aðildarríki eftirlitsyfirvaldsins sem samþykkti ákvörðunina.
130) Ef eftirlitsyfirvald, sem kvörtun er lögð fram hjá, er ekki forystueftirlitsyfirvald ætti forystueftirlitsyfirvaldið að starfa náið með eftirlitsyfirvaldinu, sem kvörtunin er lögð fram hjá, í samræmi við ákvæði þessarar reglugerðar um samstarf og samræmi. Í þeim tilvikum ætti forystueftirlitsyfirvaldið, þegar það gerir ráðstafanir sem ætlað er að hafa réttaráhrif, þ.m.t. þegar lagðar eru á stjórnsýslusektir, að taka ýtrasta tillit til sjónarmiða eftirlitsyfirvaldsins sem kvörtunin var lögð fram hjá og það yfirvald ætti áfram að vera til þess bært að annast hvers kyns rannsóknir á yfirráðasvæði eigin aðildarríkis í samráði við lögbæra eftirlitsyfirvaldið.
131) Þegar annað eftirlitsyfirvald ætti að fara með hlutverk forystueftirlitsyfirvalds vegna vinnslustarfsemi ábyrgðaraðila eða vinnsluaðila en efni kvörtunar eða hugsanlegt brot varðar einungis vinnslustarfsemi ábyrgðaraðila eða vinnsluaðila í aðildarríkinu þar sem kvörtunin var lögð fram eða hugsanlegt brot greindist og málið hefur ekki veruleg áhrif, né heldur er búist við að það muni hafa veruleg áhrif, á skráða einstaklinga í öðrum aðildarríkjum, ætti eftirlitsyfirvaldið, sem tekur við kvörtuninni eða sem kemst á snoðir um eða er látið vita á annan hátt af aðstæðum sem gætu haft í för með sér hugsanlegt brot á þessari reglugerð, að leitast við að ná góðri sátt við ábyrgðaraðilann og, ef það tekst ekki, beita valdheimildum sínum að fullu. Þetta ætti að ná til tiltekinnar vinnslu sem fram fer á yfirráðasvæði aðildarríkis eftirlitsyfirvaldsins eða, að því er varðar skráða einstaklinga á yfirráðasvæði þess aðildarríkis, vinnslu sem fram fer í tengslum við boð á vörum eða þjónustu sem beint er sérstaklega til skráðra einstaklinga á yfirráðasvæði aðildarríkis eftirlitsyfirvaldsins eða vinnslu sem þarf að meta með hliðsjón af viðeigandi lagaskyldum samkvæmt lögum aðildarríkis.
132) Starfsemi eftirlitsyfirvalda, sem miðar að vitundarvakningu og beint er að almenningi, ætti m.a. að fela í sér sérstakar ráðstafanir sem beint er að ábyrgðaraðilum og vinnsluaðilum, þ.m.t. örfyrirtækjum, litlum og meðalstórum fyrirtækjum, og einnig einstaklingum, einkum í fræðsluskyni.
133) Eftirlitsyfirvöld ættu að aðstoða hvert annað við framkvæmd verkefna sinna og láta í té gagnkvæma aðstoð til að tryggja samræmda beitingu og framkvæmd þessarar reglugerðar á innri markaðnum. Eftirlitsyfirvald, sem biður um gagnkvæma aðstoð, getur gripið til bráðabirgðaráðstöfunar ef því berst ekkert svar við beiðninni um gagnkvæma aðstoð innan mánaðar frá því að hinu eftirlitsyfirvaldinu barst beiðnin.
134) Sérhvert eftirlitsyfirvald ætti, eftir því sem við á, að taka þátt í sameiginlegum aðgerðum ásamt öðrum eftirlitsyfirvöldum. Eftirlitsyfirvaldi, sem berst beiðni, ætti að vera skylt að svara beiðninni innan tiltekins tíma.
135) Til þess að tryggja samræmda beitingu þessarar reglugerðar í öllu Sambandinu ætti að koma á fót samræmingarkerfi um samstarf milli eftirlitsyfirvalda. Einkum ætti að beita kerfinu þegar eftirlitsyfirvald hyggst gera ráðstöfun sem ætlað er að hafa réttaráhrif vegna vinnsluaðgerða sem hafa veigamikil áhrif á verulegan fjölda skráðra einstaklinga í nokkrum aðildarríkjum. Því ætti einnig að beita þegar eitthvert hlutaðeigandi eftirlitsyfirvalda eða framkvæmdastjórnin fer fram á að samræmingarkerfið annist meðferð slíks máls. Kerfið ætti ekki að hafa áhrif á neinar þær ráðstafanir sem framkvæmdastjórnin kann að grípa til þegar hún beitir valdheimildum sínum samkvæmt sáttmálunum.
136) Þegar samræmingarkerfið er notað ætti persónuverndarráðið, innan tiltekins tíma, að gefa út álit ef meirihluti fulltrúa þess ákveður það eða ef eitthvert hlutaðeigandi eftirlitsyfirvalda eða framkvæmdastjórnin fer fram á það. Persónuverndarráðið ætti einnig að hafa vald til að taka lagalega bindandi ákvarðanir þegar ágreiningur ríkir milli eftirlitsyfirvalda. Í því skyni ætti það að gefa út, að jafnaði með meirihluta sem nemur tveimur þriðju hlutum fulltrúa þess, lagalega bindandi ákvarðanir í skýrt skilgreindum málum þar sem eftirlitsyfirvöld greinir á um sjónarmið, sér í lagi innan samstarfskerfisins milli forystueftirlitsyfirvalds og hlutaðeigandi eftirlitsyfirvalda, um málavexti, einkum hvort um er að ræða brot á þessari reglugerð.
137) Skapast getur brýn þörf á aðgerðum til að vernda réttindi og frelsi skráðra einstaklinga, einkum þegar hætta gæti verið á verulegri hindrun á framfylgd réttinda skráðs einstaklings. Því ætti eftirlitsyfirvaldi að vera heimilt að grípa til, á yfirráðasvæði sínu, tilhlýðilega rökstuddra bráðabirgðaráðstafana með tilgreindan gildistíma sem ekki ætti að vera lengri en þrír mánuðir.
138) Beiting slíks kerfis ætti að vera skilyrði fyrir því að ráðstöfun eftirlitsyfirvalds, sem ætlað er að hafa réttaráhrif, teljist lögmæt í þeim tilvikum þar sem beiting þess er skyldubundin. Í öðrum tilvikum sem ná yfir landamæri ætti að beita samstarfskerfinu milli forystueftirlitsyfirvaldsins og hlutaðeigandi eftirlitsyfirvalda og beita mætti gagnkvæmri aðstoð og sameiginlegum aðgerðum milli hlutaðeigandi eftirlitsyfirvalda, tvíhliða eða marghliða, án þess að virkja samræmingarkerfið.
139) Til að ýta undir samræmda beitingu þessarar reglugerðar ætti að koma persónuverndarráðinu á fót sem sjálfstæðum aðila Sambandsins. Til að uppfylla markmið sín ætti persónuverndarráðið að hafa réttarstöðu lögaðila. Formaður persónuverndarráðsins kemur fram fyrir hönd þess. Það ætti að leysa af hólmi starfshópinn um vernd einstaklinga í tengslum við vinnslu persónuupplýsinga sem komið var á fót með tilskipun 95/46/EB. Í því ættu að eiga sæti yfirmenn eftirlitsyfirvalds hvers aðildarríkis og Evrópsku persónuverndarstofnunarinnar eða fulltrúar þeirra hvers um sig. Framkvæmdastjórnin ætti að taka þátt í starfsemi persónuverndarráðsins án atkvæðisréttar og Evrópska persónuverndarstofnunin ætti að hafa sérstakan atkvæðisrétt. Persónuverndarráðið ætti að stuðla að samræmdri beitingu þessarar reglugerðar í öllu Sambandinu, m.a. með ráðgjöf til framkvæmdastjórnarinnar, einkum um umfang verndar í þriðju löndum eða hjá alþjóðastofnunum og með því að ýta undir samstarf eftirlitsyfirvalda í Sambandinu. Persónuverndarráðið ætti að vera sjálfstætt í störfum sínum.
140) Persónuverndarráðið ætti að njóta aðstoðar skrifstofu sem Evrópska persónuverndarstofnunin sér því fyrir. Starfsfólk Evrópsku persónuverndarstofnunarinnar, sem kemur að framkvæmd þeirra verkefna sem persónuverndarráðinu eru falin með þessari reglugerð, ætti að vinna verkefni sín alfarið undir stjórn formanns persónuverndarráðsins og heyra undir hann.
141) Sérhver skráður einstaklingur ætti að eiga rétt á að leggja fram kvörtun hjá einu eftirlitsyfirvaldi, einkum í aðildarríkinu þar sem hann hefur fasta búsetu, og hafa rétt til skilvirks réttarúrræðis í samræmi við 47. gr. sáttmálans um grundvallarréttindi ef hann telur að brotið sé á réttindum hans samkvæmt þessari reglugerð eða ef eftirlitsyfirvald sinnir ekki kvörtun, hafnar kvörtun að hluta til eða að öllu leyti eða vísar henni frá eða grípur ekki til aðgerða þar sem aðgerða er þörf til að vernda réttindi hans. Rannsókn á kvörtun ætti að fara fram, með fyrirvara um endurskoðun dómstóla, að því marki sem við á í hverju tilviki. Eftirlitsyfirvaldið ætti að tilkynna hinum skráða um framvindu og niðurstöðu kvörtunarinnar innan hæfilegs tíma. Ef þörf er á frekari rannsókn málsins eða samræmingu við annað eftirlitsyfirvald ætti að veita hinum skráða í millitíðinni upplýsingar um stöðu málsins. Til að auðvelda framlagningu kvartana ætti hvert eftirlitsyfirvald að gera ráðstafanir á borð við að bjóða upp á kvörtunareyðublað, sem einnig má fylla út rafrænt, án þess þó að útiloka aðra samskiptamöguleika.
142) Telji skráður einstaklingur að brotið hafi verið á réttindum hans samkvæmt þessari reglugerð ætti hann að hafa rétt til að veita stofnun, samtökum eða félagi, sem ekki eru rekin í hagnaðarskyni og sem stofnuð eru í samræmi við lög aðildarríkis, hafa lögboðin markmið og eru virk á sviði verndar persónuupplýsinga, umboð til að leggja fram kvörtun fyrir sína hönd hjá eftirlitsyfirvaldi, nýta réttinn til réttarúrræðis fyrir hönd skráðra einstaklinga eða, ef kveðið er á um það í lögum aðildarríkis, nýta réttinn til að taka við skaðabótum fyrir hönd skráðra einstaklinga. Aðildarríki er heimilt að mæla fyrir um að slík stofnun, samtök eða félag eigi rétt á að leggja fram kvörtun í því aðildarríki, óháð því hvort hinn skráði hefur veitt umboð til þess, og rétt til skilvirks réttarúrræðis hafi það ástæður til að ætla að réttindi skráðs einstaklings hafi verið brotin við vinnslu persónuupplýsinga sem brýtur gegn þessari reglugerð. Ekki má heimila stofnuninni, samtökunum eða félaginu að krefjast bóta fyrir hönd skráðs einstaklings án umboðs hans.
143) Einstaklingur eða lögaðili hefur rétt til þess að höfða mál til ógildingar ákvörðunum persónuverndarráðsins frammi fyrir Dómstólnum samkvæmt þeim skilyrðum sem kveðið er á um í 263. gr. sáttmálans um starfshætti Evrópusambandsins. Sem viðtakendur slíkra ákvarðana þurfa hlutaðeigandi eftirlitsyfirvöld, sem vilja vefengja þær, að höfða mál innan tveggja mánaða frá því að þeim er tilkynnt um þær, í samræmi við 263. gr. sáttmálans um starfshætti Evrópusambandsins. Þegar ákvarðanir persónuverndarráðsins varða beint sérstaka hagsmuni ábyrgðaraðila, vinnsluaðila eða kvartanda getur hann höfðað mál til ógildingar þessum ákvörðunum innan tveggja mánaða frá birtingu þeirra á vefsetri persónuverndarráðsins, í samræmi við 263. gr. sáttmálans um starfshætti Evrópusambandsins. Með fyrirvara um þennan rétt skv. 263. gr. sáttmálans um starfshætti Evrópusambandsins ætti sérhver einstaklingur eða lögaðili að hafa aðgang að skilvirku réttarúrræði fyrir lögbærum innlendum dómstóli að því er varðar ákvörðun eftirlitsyfirvalds sem hefur réttaráhrif gagnvart honum. Slík ákvörðun varðar einkum beitingu eftirlitsyfirvalds á rannsóknarheimildum, valdheimildum til að mæla fyrir um ráðstafanir til úrbóta og leyfisveitingarheimildum sínum eða frávísun eða höfnun kvartana. Þó nær réttur til skilvirks réttarúrræðis ekki til þeirra ráðstafana eftirlitsyfirvalda sem eru ekki lagalega bindandi, s.s. álitsgerða eða ráðgjafar eftirlitsyfirvaldsins. Höfða ætti mál gegn eftirlitsyfirvaldi fyrir dómstólum aðildarríkisins þar sem eftirlitsyfirvaldið hefur staðfestu og reka það í samræmi við réttarfarslög þess aðildarríkis. Þessir dómstólar ættu að fara með fulla lögsögu, m.a. til að rannsaka öll álitamál varðandi staðreyndir eða lög viðkomandi deiluefninu sem þeir hafa fengið til meðferðar.
Hafi eftirlitsyfirvald hafnað kröfu eða vísað henni frá getur sá sem lagði kvörtunina fram höfðað mál fyrir dómstólum í sama aðildarríki. Innan ramma réttarúrræða vegna beitingar þessarar reglugerðar geta innlendir dómstólar, sem telja að ákvörðun um álitaefnið sé nauðsynleg til að þeir geti kveðið upp úrskurð, farið fram á, eða verða að fara fram á í því tilviki sem um getur í 267. gr. sáttmálans um starfshætti Evrópusambandsins, að Dómstóllinn kveði upp forúrskurð um túlkun laga Sambandsins, m.a. þessarar reglugerðar. Þegar ákvörðun eftirlitsyfirvalds til framkvæmdar ákvörðun persónuverndarráðsins er vefengd fyrir innlendum dómstól og deilt er um gildi ákvörðunar persónuverndarráðsins hefur innlendi dómstóllinn ekki vald til að lýsa ákvörðun þess ógilda heldur verður hann að vísa álitaefninu um gildi hennar til Dómstólsins í samræmi við 267. gr. sáttmálans um starfshætti Evrópusambandsins, eins og Dómstóllinn túlkar hana, ef hann telur ákvörðunina ógilda. Hins vegar má innlendur dómstóll ekki vísa áfram álitamáli um gildi ákvörðunar persónuverndarráðsins að beiðni einstaklings eða lögaðila sem hafði haft tækifæri til að höfða mál til ógildingar þeirri ákvörðun, einkum ef ákvörðunin varðaði beint sérstaka hagsmuni hans, en gerði það ekki innan frestsins sem mælt er fyrir um í 263. gr. sáttmálans um starfshætti Evrópusambandsins.
144) Hafi dómstóll, sem mál er höfðað fyrir gegn ákvörðun eftirlitsyfirvalds, ástæðu til að ætla að höfðað hafi verið mál vegna sömu vinnslu fyrir lögbærum dómstóli í öðru aðildarríki, þar sem t.d. um er að ræða sama viðfangsefni að því er varðar vinnslu af hálfu sama ábyrgðaraðila eða vinnsluaðila eða sömu málsástæður, ætti hann að setja sig í samband við þann dómstól til að fá staðfest hvort um skyld mál sé að ræða. Ef skylt mál er til meðferðar hjá dómstóli í öðru aðildarríki getur hvaða dómstóll sem er, annar en sá sem málið var fyrst höfðað fyrir, frestað málsmeðferð sinni eða, að beiðni eins málsaðilanna, vísað málinu frá dómi í þágu dómstólsins sem málið var fyrst höfðað fyrir ef sá dómstóll er bær til að fara með málið og lög, sem gilda við þann dómstól, heimila að skyld mál séu sótt sameiginlega. Með skyldum málum er átt við mál sem eru svo tengd innbyrðis að æskilegt er að fara með þau og úrskurða í þeim sameiginlega til að koma í veg fyrir að ósamrýmanlegir dómar verði kveðnir upp ef dæmt er í hverju þeirra sérstaklega.
145) Þegar um er að ræða mál á hendur ábyrgðaraðila eða vinnsluaðila ætti stefnandi að geta valið um það hvort hann höfðar málið fyrir dómstólum aðildarríkja þar sem ábyrgðaraðili eða vinnsluaðili hefur starfsstöð eða þar sem hinn skráði er búsettur nema ábyrgðaraðili sé opinbert yfirvald aðildarríkis sem fer með opinbert vald.
146) Ábyrgðaraðili eða vinnsluaðili ætti að bæta hvert það tjón sem aðili verður fyrir vegna vinnslu sem brýtur í bága við reglugerð þessa. Ábyrgðaraðili eða vinnsluaðili ætti að vera undanþeginn bótaábyrgð ef hann sannar að hann ber enga ábyrgð á tjóni. Hugtakið tjón ætti að túlka vítt í ljósi dómaframkvæmdar Dómstólsins á þann hátt að það endurspegli að fullu markmið þessarar reglugerðar. Þetta hefur ekki áhrif á neinar skaðabótakröfur vegna brota á öðrum reglum Sambandslaga eða laga aðildarríkis. Til vinnslu, sem brýtur í bága við þessa reglugerð, telst einnig vinnsla sem brýtur í bága við framseldar gerðir og framkvæmdargerðir sem samþykktar eru í samræmi við þessa reglugerð og þau lög aðildarríkis sem tilgreina nánar reglur þessarar reglugerðar. Skráðir einstaklingar ættu að fá fullar skaðabætur fyrir það tjón sem þeir verða fyrir. Þegar fleiri en einn ábyrgðaraðili eða vinnsluaðili koma að sömu vinnslu ætti hver ábyrgðaraðili eða vinnsluaðili að vera ábyrgur fyrir öllu tjóninu. Þegar þeir eiga hlut að sama dómsmáli, í samræmi við lög aðildarríkis, geta skaðabætur þó skipst niður á þá eftir þeirri ábyrgð sem hver ábyrgðaraðili eða vinnsluaðili bar á tjóninu sem vinnslan olli, að því tilskildu að skráði einstaklingurinn, sem varð fyrir tjóninu, fái fullar skaðabætur. Ábyrgðaraðili eða vinnsluaðili, sem hefur greitt fullar skaðabætur, getur í kjölfarið gert endurkröfu á aðra ábyrgðaraðila eða vinnsluaðila sem tóku þátt í sömu vinnslu.
147) Þar sem þessi reglugerð hefur að geyma sértækar reglur um lögsögu, einkum að því er varðar mál þar sem leitað er réttarúrræðis gegn ábyrgðaraðila eða vinnsluaðila, m.a. skaðabóta, ættu almennar lögsögureglur, eins og þær sem um getur í reglugerð Evrópuþingsins og ráðsins (ESB) nr. 1215/2012 ( Reglugerð Evrópuþingsins og ráðsins (EB) nr. 1215/2012 frá 12. desember 2012 um dómsvald og viðurkenningu á og fullnustu dóma í einkamálum og viðskiptamálum (Stjtíð. ESB L 351, 20.12.2012, bls. 1).), ekki að hafa áhrif á beitingu þessara sértæku reglna.
148) Til að efla framfylgd reglna þessarar reglugerðar ætti að leggja á viðurlög, þ.m.t. stjórnsýslusektir, við hvers konar brotum á þessari reglugerð, til viðbótar við eða í staðinn fyrir viðeigandi ráðstafanir sem eftirlitsyfirvald gerir samkvæmt þessari reglugerð. Veita má áminningu í stað sektar þegar um er að ræða minni háttar brot eða ef sektin, sem líklegt er að lögð verði á, yrði óhófleg byrði fyrir einstakling. Engu að síður ætti að taka tilhlýðilegt tillit til þess hvers eðlis brotið er, hversu alvarlegt það er og hversu lengi það hefur staðið yfir, hvort það var framið af ásetningi, til hvaða aðgerða var gripið til að draga úr tjóni, hversu mikil ábyrgðin var eða hvort um fyrri brot sem skipta máli er að ræða, hvernig eftirlitsyfirvaldið komst á snoðir um brotið, hvort ráðstöfunum sem settar voru gagnvart ábyrgðaraðila eða vinnsluaðila var fylgt, hvort hátternisreglum var fylgt ásamt öðrum mildandi eða íþyngjandi þáttum. Álagning viðurlaga, þ.m.t. stjórnsýslusekta, ætti að vera háð viðeigandi réttarfarsreglum í samræmi við almennar meginreglur laga Sambandsins og sáttmálans um grundvallarréttindi, m.a. um skilvirka réttarvernd og sanngjarna málsmeðferð.
149) Aðildarríkin ættu að geta sett reglur um refsiviðurlög vegna brota á þessari reglugerð, þ.m.t. vegna brota á innlendum reglum sem samþykktar eru samkvæmt henni og innan marka hennar. Slík refsiviðurlög geta einnig gert ráð fyrir að viðkomandi sé sviptur þeim ávinningi sem hann hafði af brotum á þessari reglugerð. Hins vegar ætti álagning refsiviðurlaga vegna brota á slíkum innlendum reglum og stjórnsýsluviðurlögum ekki að leiða til brots á meginreglunni um að verða ekki saksóttur eða refsað tvívegis fyrir sama brot (ne bis in idem), eins og Dómstóllinn hefur túlkað hana.
150) Til að efla og samræma stjórnsýsluviðurlög vegna brota á þessari reglugerð ætti sérhvert eftirlitsyfirvald að hafa heimild til að leggja á stjórnsýslusektir. Í reglugerðinni ætti að tilgreina brotin ásamt hámarki og viðmiðunum við álagningu tengdra stjórnsýslusekta, sem eftirlitsyfirvaldið ætti að ákveða í hverju tilviki fyrir sig með hliðsjón af öllum viðeigandi kringumstæðum í viðkomandi máli, einkum að teknu tilhlýðilegu tilliti til eðlis, alvarleika og lengdar brotsins og afleiðinga þess og ráðstafana sem gerðar hafa verið til að tryggja að skuldbindingar samkvæmt þessari reglugerð séu uppfylltar og til að koma í veg fyrir eða draga úr afleiðingum brotsins. Þegar stjórnsýslusektir eru lagðar á fyrirtæki er átt við fyrirtæki í samræmi við 101. og 102. gr. sáttmálans um starfshætti Evrópusambandsins. Þegar stjórnsýslusektir eru lagðar á aðila sem ekki eru fyrirtæki ætti eftirlitsyfirvaldið að taka tillit til almenns tekjustigs í aðildarríkinu og fjárhagsstöðu aðilans þegar viðeigandi sektarfjárhæð er ákveðin. Einnig má nota samræmingarkerfið til að stuðla að samræmdri beitingu stjórnsýslusekta. Það ætti að vera aðildarríkjanna að ákvarða hvort og að hvaða marki opinber yfirvöld ættu að sæta stjórnsýslusektum. Það að lögð sé á stjórnsýslusekt eða að gefin sé viðvörun hefur ekki áhrif á beitingu annarra valdheimilda eftirlitsyfirvalda eða á önnur viðurlög samkvæmt þessari reglugerð.
151) Réttarkerfi Danmerkur og Eistlands heimila ekki stjórnsýslusektir eins og þær sem settar eru fram í þessari reglugerð. Beita má reglunum um stjórnsýslusektir í Danmörku með þeim hætti að þar til bærir innlendir dómstólar leggi sektina á sem refsiviðurlög og í Eistlandi þannig að eftirlitsyfirvald leggi sektina á innan ramma málsmeðferðar vegna minni háttar brots, að því tilskildu að slík beiting reglnanna í þessum aðildarríkjum hafi jafngild áhrif og stjórnsýslusektir sem eftirlitsyfirvöld leggja á. Því ættu þar til bærir innlendir dómstólar að taka tillit til tilmæla eftirlitsyfirvaldsins sem hefur frumkvæðið að álagningu sektarinnar. Álagðar sektir ættu þó ætíð að vera skilvirkar, í réttu hlutfalli við brot og hafa varnaðaráhrif.
152) Þegar þessi reglugerð samræmir ekki stjórnsýsluviðurlög eða ef þörf er á í öðrum tilvikum, t.d. þegar um er að ræða alvarleg brot á þessari reglugerð, ættu aðildarríkin að innleiða kerfi sem kveður á um viðurlög sem eru skilvirk, í réttu hlutfalli við brot og hafa varnaðaráhrif. Það hvort slík viðurlög eigi að vera refsiviðurlög eða stjórnsýslulegs eðlis ætti að ákvarða í lögum aðildarríkjanna.
153) Í lögum aðildarríkjanna ætti að samræma reglur um tjáningar- og upplýsingafrelsi, þ.m.t. í fréttamennsku, fræðimennsku, listum eða bókmenntum, og réttinn til verndar persónuupplýsingum samkvæmt þessari reglugerð. Vinnsla persónuupplýsinga, sem fer einungis fram í þágu fréttamennsku eða fræðimennsku eða listrænnar eða bókmenntalegrar tjáningar, ætti að vera háð undanþágum eða frávikum frá tilteknum ákvæðum þessarar reglugerðar ef það er nauðsynlegt til að samræma réttinn til verndar persónuupplýsingum og réttinn til tjáningar- og upplýsingafrelsis sem er tryggður með 11. gr. sáttmálans um grundvallarréttindi. Þetta ætti einkum að gilda um vinnslu persónuupplýsinga á sviði hljóð- og myndmiðlunar og í gagna- og bókasöfnum fréttamiðla. Því ættu aðildarríkin að samþykkja löggjafarráðstafanir þar sem mælt er fyrir um nauðsynlegar undanþágur og frávik til að halda jafnvægi milli þessara grundvallarréttinda. Aðildarríkin ættu að samþykkja slíkar undanþágur og frávik varðandi almennar meginreglur, réttindi skráðra einstaklinga, ábyrgðaraðila og vinnsluaðila, miðlun persónuupplýsinga til þriðju landa eða alþjóðastofnana, sjálfstæð eftirlitsyfirvöld, samstarf og samræmi og gagnavinnslu við tilteknar aðstæður. Ef slíkar undanþágur og frávik eru mismunandi milli aðildarríkja gilda lög aðildarríkisins sem ábyrgðaraðili heyrir undir. Með tilliti til mikilvægis réttarins til tjáningarfrelsis í hverju lýðræðisþjóðfélagi er nauðsynlegt að túlka hugtök vítt í tengslum við það frelsi, s.s. fréttamennsku.
154) Reglugerð þessi heimilar að tekið sé mið af meginreglunni um aðgang almennings að opinberum skjölum við beitingu hennar. Telja má að aðgangur almennings að opinberum skjölum sé í þágu almannahagsmuna. Persónuupplýsingar í skjölum í vörslu opinbers yfirvalds eða opinberrar stofnunar ætti viðkomandi yfirvaldi eða aðila að vera heimilt að birta almenningi ef kveðið er á um birtinguna í lögum Sambandsins eða lögum aðildarríkis sem opinbera yfirvaldið eða opinbera stofnunin heyrir undir. Slík lög ættu að samræma aðgang almennings að opinberum skjölum og endurnotkun upplýsinga frá hinu opinbera annars vegar og réttinn til verndar persónuupplýsingum hins vegar og geta því kveðið á um nauðsynlega samræmingu við réttinn til verndar persónuupplýsingum samkvæmt þessari reglugerð. Tilvísunin til opinberra yfirvalda og stofnana ætti í því samhengi að taka til allra yfirvalda eða annarra stofnana sem heyra undir lög aðildarríkis um aðgang almennings að skjölum. Tilskipun Evrópuþingsins og ráðsins 2003/98/EB ( Tilskipun Evrópuþingsins og ráðsins 2003/98/EB frá 17. nóvember 2003 um endurnotkun upplýsinga frá hinu opinbera (Stjtíð. ESB L 345, 31.12.2003, bls. 90).) skerðir ekki og hefur á engan hátt áhrif á umfang verndar einstaklinga með tilliti til vinnslu persónuupplýsinga samkvæmt ákvæðum laga Sambandsins og laga aðildarríkis og einkum breytir hún ekki þeim skyldum og réttindum sem sett eru fram í þessari reglugerð. Einkum ætti sú tilskipun ekki að gilda um gögn, sem enginn eða takmarkaður aðgangur er að samkvæmt reglum um aðgangsrétt með vísan til verndar persónuupplýsinga, og um hluta úr skjölum, sem eru aðgengilegir samkvæmt slíkum reglum, þegar skjalshlutarnir innihalda persónuupplýsingar og kveðið hefur verið á um í lögum að endurnotkun þeirra sé ósamrýmanleg lögum um vernd einstaklinga að því er varðar vinnslu persónuupplýsinga.
155) Í lögum aðildarríkis eða í kjarasamningum, þ.m.t. „vinnustaðasamningum“, kann að vera kveðið á um sértækar reglur um vinnslu persónuupplýsinga starfsmanna í atvinnutengdu samhengi, einkum skilyrði fyrir því að vinna megi persónuupplýsingar í atvinnutengdu samhengi á grundvelli samþykkis starfsmannsins og í sambandi við ráðningar, framkvæmd ráðningarsamnings, m.a. uppfyllingu skuldbindinga sem mælt er fyrir um í lögum eða kjarasamningum, stjórnun, undirbúning og skipulagningu vinnunnar, jafnrétti og fjölbreytileika á vinnustað, heilbrigði og öryggi á vinnustað, nýtingu og notkun réttinda og fríðinda sem tengjast starfinu, jafnt einstaklingsbundinna og sameiginlegra, og í þeim tilgangi að ljúka ráðningarsambandi.
156) Vinnsla persónuupplýsinga vegna skjalavistunar í þágu almannahagsmuna, rannsókna á sviði vísinda eða sagnfræði eða í tölfræðilegum tilgangi ætti að vera með fyrirvara um viðeigandi verndarráðstafanir varðandi réttindi og frelsi skráðra einstaklinga samkvæmt þessari reglugerð. Þessar verndarráðstafanir ættu að tryggja að tæknilegar og skipulagslegar ráðstafanir séu gerðar, einkum til að sjá til þess að farið sé að meginreglunni um lágmörkun gagna. Frekari vinnsla persónuupplýsinga vegna skjalavistunar í þágu almannahagsmuna, rannsókna á sviði vísinda eða sagnfræði eða í tölfræðilegum tilgangi skal fara fram þegar ábyrgðaraðili hefur metið hvort framkvæmanlegt sé að ná þessum tilgangi með vinnslu gagna sem gera ekki kleift, eða gera ekki lengur kleift, að bera kennsl á skráða einstaklinga, að því tilskildu að viðeigandi verndarráðstafanir séu fyrir hendi (s.s. notkun gerviauðkenna fyrir upplýsingarnar). Aðildarríkin ættu að kveða á um viðeigandi verndarráðstafanir varðandi vinnslu persónuupplýsinga vegna skjalavistunar í þágu almannahagsmuna, rannsókna á sviði vísinda eða sagnfræði eða í tölfræðilegum tilgangi. Aðildarríkjunum ætti að vera heimilt, með tilteknum skilyrðum og með fyrirvara um viðeigandi verndarráðstafanir fyrir skráða einstaklinga, að setja fram nánari skilgreiningar og undanþágur að því er varðar kröfur um upplýsingar og réttinn til leiðréttingar, eyðingar, til að gleymast, til takmörkunar á vinnslu, til að flytja eigin gögn og til að andmæla vinnslu persónuupplýsinga vegna skjalavistunar í þágu almannahagsmuna, rannsókna á sviði vísinda eða sagnfræði eða í tölfræðilegum tilgangi. Viðkomandi skilyrði og verndarráðstafanir geta haft í för með sér að skráðir einstaklingar þurfi að fylgja tiltekinni málsmeðferð til að geta nýtt sér þessi réttindi, ef við á í ljósi þess tilgangs sem stefnt er að með þessari tilteknu vinnslu, auk tæknilegra og skipulagslegra ráðstafana sem miða að því að lágmarka vinnslu persónuupplýsinga í samræmi við meðalhófsregluna og nauðsynjarregluna. Vinnsla persónuupplýsinga í vísindaskyni ætti einnig að vera í samræmi við aðra viðeigandi löggjöf, s.s. um klínískar prófanir.
157) Með því að tengja saman upplýsingar úr mismunandi skrám geta vísindamenn öðlast nýja og afar verðmæta þekkingu á útbreiddu heilsufarsástandi á borð við hjarta- og æðasjúkdóma, krabbamein og þunglyndi. Með notkun skráa er hægt að efla rannsóknarniðurstöður, þar sem þær byggjast á stærra þýði. Í félagsvísindum gera rannsóknir a grundvelli skráa vísindamönnum kleift að öðlast mikilvæga þekkingu á langtímafylgni milli félagslegra aðstæðna af ýmsum toga, s.s. atvinnuleysis og menntunar, og annarra aðstæðna í lífi fólks. Rannsóknarniðurstöður, sem fást með notkun skráa, gefa trausta og vandaða þekkingu sem nota má til grundvallar við mótun og framkvæmd þekkingarstefnu, til að bæta lífsgæði margra og bæta skilvirkni félagslegrar þjónustu. Til að greiða fyrir vísindarannsóknum er heimilt að vinna persónuupplýsingar í þágu rannsókna á sviði vísinda að uppfylltum viðeigandi skilyrðum og verndarráðstöfunum í lögum Sambandsins eða lögum aðildarríkis.
158) Þessi reglugerð ætti einnig að gilda um vinnslu persónuupplýsinga vegna skjalavistunar en þó ætti að hafa í huga að reglugerðin á ekki við um látna einstaklinga. Opinber yfirvöld, opinberir aðilar eða einkaaðilar, sem halda skrár sem tengjast almannahagsmunum, ættu að vera þjónustuaðilar sem hafa samkvæmt lögum Sambandsins eða lögum aðildarríkis lagaskyldu til að afla, varðveita, meta, skipuleggja, lýsa, veita upplýsingar um, kynna, dreifa og veita aðgang að skrám sem hafa varanlegt gildi fyrir almannahagsmuni. Aðildarríkin ættu einnig að hafa heimild til að kveða á um frekari vinnslu persónuupplýsinga vegna skjalavistunar, t.d. í því skyni að veita sérstakar upplýsingar um stjórnmálahegðun í ríkjum þar sem áður ríkti einræði, um þjóðarmorð, glæpi gegn mannúð, einkum helförina, eða stríðsglæpi.
159) Þessi reglugerð ætti einnig að gilda um vinnslu persónuupplýsinga í þágu vísindarannsókna. Að því er þessa reglugerð varðar ber að túlka vinnslu persónuupplýsinga í þágu vísindarannsókna vítt þannig að undir hana falli t.d. tækniþróun og tilraunaverkefni, grunnrannsóknir, hagnýtar rannsóknir og rannsóknir sem einkaaðilar fjármagna. Auk þess ætti hún að taka tillit til þess markmiðs Sambandsins, skv. 1. mgr. 179. gr. sáttmálans um starfshætti Evrópusambandsins, að koma á evrópsku rannsóknasvæði. Rannsóknir í þágu almannahagsmuna á sviði lýðheilsu ættu einnig að teljast þjóna vísindalegum tilgangi. Til að uppfylla þær sérstöku kröfur sem gerðar eru til vinnslu persónuupplýsinga í þágu vísindarannsókna ættu sérstök skilyrði að gilda, einkum að því er varðar útgáfu eða aðra birtingu persónuupplýsinga í þágu vísindarannsókna. Gefi niðurstöður vísindarannsóknar, einkum á heilbrigðissviði, ástæðu til að gera frekari ráðstafanir í þágu hins skráða ættu almennar reglur þessarar reglugerðar að gilda í ljósi þessara ráðstafana.
160) Þessi reglugerð ætti einnig að gilda um vinnslu persónuupplýsinga í þágu sagnfræðirannsókna. Þetta ætti auk þess að ná til sagnfræðirannsókna og rannsókna í erfðafræðilegum tilgangi en þó ætti að hafa í huga að reglugerðin ætti ekki að gilda um látna einstaklinga.
161) Að því er varðar veitingu samþykkis fyrir þátttöku í vísindalegri rannsóknastarfsemi í klínískum prófunum ættu viðeigandi ákvæði reglugerðar Evrópuþingsins og ráðsins (ESB) nr. 536/2014 ( Reglugerð Evrópuþingsins og ráðsins (ESB) nr. 536/2014 frá 16. apríl 2014 um klínískar prófanir á mannalyfjum og niðurfellingu á tilskipun 2001/20/EB (Stjtíð. ESB L 158, 27.5.2014, bls. 1).) að gilda.
162) Þessi reglugerð ætti að gilda um vinnslu persónuupplýsinga í tölfræðilegum tilgangi. Í lögum Sambandsins eða lögum aðildarríkis ætti að ákvarða, innan marka þessarar reglugerðar, tölfræðilegt innihald, eftirlit með aðgangi, nákvæmar skilgreiningar á vinnslu persónuupplýsinga í tölfræðilegum tilgangi og viðeigandi ráðstafanir til að standa vörð um réttindi og frelsi skráðra einstaklinga og tryggja trúnað í tengslum við tölfræðilegar upplýsingar. Tölfræðilegur tilgangur telst vera hver sú aðgerð sem felst í söfnun og vinnslu persónuupplýsinga sem nauðsynlegar eru vegna tölfræðilegra kannana eða til að ná fram tölfræðilegum niðurstöðum. Þessar tölfræðilegu niðurstöður má nota frekar í ýmiss konar tilgangi, þ.m.t. til vísindarannsókna. Tölfræðilegur tilgangur þýðir að niðurstöður vinnslu í tölfræðilegum tilgangi eru ekki persónuupplýsingar heldur samantekin gögn og að þessar niðurstöður eða persónuupplýsingarnar eru ekki notaðar til stuðnings ráðstöfunum eða ákvörðunum viðvíkjandi tilteknum einstaklingi.
163) Vernda ætti trúnaðarupplýsingar sem hagskýrsluyfirvöld Sambandsins og hagskýrsluyfirvöld aðildarríkjanna safna til að gera opinberar hagskýrslur fyrir Evrópu og aðildarríkin. Þróa ætti og semja evrópskar hagskýrslur og miðla þeim í samræmi við meginreglur um hagskýrslur, eins og þær eru settar fram í 2. mgr. 338. gr. sáttmálans um starfshætti Evrópusambandsins, en jafnframt ættu innlendar hagskýrslur einnig að uppfylla lög aðildarríkis. Í reglugerð Evrópuþingsins og ráðsins (EB) nr. 223/2009 ( Reglugerð Evrópuþingsins og ráðsins (EB) nr. 223/2009 frá 11. mars 2009 um evrópskar hagskýrslur og niðurfellingu reglugerðar Evrópuþingsins og ráðsins (EB, KBE) nr. 1101/2008 um afhendingu gagna sem eru háð trúnaðarkvöðum í hagskýrslum til Hagstofu Evrópubandalaganna, reglugerðar ráðsins (EB) nr. 322/97 um hagskýrslur Bandalagsins og ákvörðunar ráðsins 89/382/EBE, KBE um að koma á fót hagskýrsluáætlunarnefnd Evrópubandalaganna (Stjtíð. ESB L 87, 31.3.2009, bls. 164).) er kveðið á um nánari skilgreiningar á trúnaðarskyldum við hagskýrslugerð að því er varðar evrópskar hagskýrslur.
164) Að því er varðar valdheimildir eftirlitsyfirvalda til að fá hjá ábyrgðaraðila eða vinnsluaðila aðgang að persónuupplýsingum og aðgang að athafnasvæðum þeirra mega aðildarríki samþykkja með lögum, innan marka þessarar reglugerðar, sértækar reglur til að standa vörð um þagnarskyldu eða aðrar samsvarandi trúnaðarskyldur, að því marki sem nauðsynlegt er til að samræma réttinn til verndar persónuupplýsingum og þagnarskyldu. Þetta hefur ekki áhrif á fyrirliggjandi skuldbindingar aðildarríkis um að samþykkja reglur um þagnarskyldu ef lög Sambandsins kveða á um það.
165) Þessi reglugerð virðir þá stöðu sem kirkjudeildir og trúarsamtök eða trúfélög hafa í aðildarríkjunum samkvæmt fyrirliggjandi stjórnskipunarlögum og dregur hana ekki í efa, eins og viðurkennt er í 17. gr. sáttmálans um starfshætti Evrópusambandsins.
166) Til að ná markmiðum þessarar reglugerðar, þ.e. að vernda grundvallarréttindi og frelsi einstaklinga og einkum rétt þeirra til verndar persónuupplýsingum og tryggja frjálsa miðlun persónuupplýsinga innan Sambandsins, ætti að framselja framkvæmdastjórninni vald til að samþykkja gerðir í samræmi við 290. gr. sáttmálans um starfshætti Evrópusambandsins. Einkum ætti að samþykkja framseldar gerðir um viðmiðanir og kröfur varðandi vottunarfyrirkomulag, upplýsingar sem veita ber með stöðluðum táknmyndum og aðferðir við að setja fram slíkar táknmyndir. Einkar mikilvægt er að framkvæmdastjórnin hafi viðeigandi samráð meðan á undirbúningsvinnu hennar stendur, þ.m.t. við sérfræðinga. Við undirbúning og samningu framseldra gerða ætti framkvæmdastjórnin að tryggja samhliða, tímanlega og viðeigandi afhendingu viðkomandi skjala til Evrópuþingsins og ráðsins.
167) Til að tryggja samræmd skilyrði vegna framkvæmdar þessarar reglugerðar ætti að fela framkvæmdastjórninni framkvæmdarvald þegar kveðið er á um það í þessari reglugerð. Þessu valdi ætti að beita í samræmi við reglugerð (ESB) nr. 182/2011. Í þessu sambandi ætti framkvæmdastjórnin að íhuga sértækar ráðstafanir fyrir örfyrirtæki, lítil og meðalstór fyrirtæki.
168) Beita ætti rannsóknarmálsmeðferðinni við samþykkt framkvæmdargerða um föst samningsákvæði milli ábyrgðaraðila og vinnsluaðila og milli vinnsluaðila, hátternisreglur, tæknistaðla og fyrirkomulag við vottun, fullnægjandi vernd sem þriðja land, yfirráðasvæði eða tilgreindur geiri innan þess þriðja lands eða alþjóðastofnun veitir, stöðluð verndarákvæði, snið og aðferðir við rafræn upplýsingaskipti milli ábyrgðaraðila, vinnsluaðila og eftirlitsyfirvalda að því er varðar bindandi fyrirtækjareglur, gagnkvæma aðstoð og fyrirkomulag við rafræn upplýsingaskipti milli eftirlitsyfirvalda og milli eftirlitsyfirvalda og persónuverndarráðsins.
169) Framkvæmdastjórnin ætti að samþykkja framkvæmdargerðir sem taka gildi þegar í stað ef fyrir liggja sannanir um að þriðja land, yfirráðasvæði eða tilgreindur geiri innan þess þriðja lands eða alþjóðastofnun tryggi ekki fullnægjandi öryggi og ef brýna nauðsyn ber til.
170) Þar eð aðildarríkin geta ekki fyllilega náð markmiði þessarar reglugerðar, þ.e. að tryggja einstaklingum í Sambandinu sambærilega vernd og frjálst flæði persónuupplýsinga í öllu Sambandinu, og því verður betur náð á vettvangi Sambandsins, vegna umfangs og áhrifa aðgerðarinnar, er Sambandinu heimilt að samþykkja ráðstafanir í samræmi við nálægðarregluna eins og kveðið er á um í 5. gr. sáttmálans um Evrópusambandið. Í samræmi við meðalhófsregluna, eins og hún er sett fram í þeirri grein, er ekki gengið lengra en nauðsyn krefur í þessari reglugerð til að ná því markmiði.
171) Þessi reglugerð ætti að fella úr gildi tilskipun 95/46/EB. Vinnslu, sem er þegar hafin á þeim degi er reglugerð þessi kemur til framkvæmda, ætti að færa til samræmis við reglugerð þessa innan tveggja ára frá gildistöku hennar. Þegar vinnsla er byggð á samþykki samkvæmt tilskipun 95/46/EB er ekki nauðsynlegt að skráður einstaklingur gefi samþykki sitt aftur, ef það var gefið með hætti sem samrýmist skilyrðum þessarar reglugerðar, til að ábyrgðaraðili geti haldið slíkri vinnslu áfram eftir þann dag sem reglugerð þessi kemur til framkvæmda. Ákvarðanir sem framkvæmdastjórnin hefur samþykkt og heimildir sem eftirlitsyfirvöld hafa veitt á grundvelli tilskipunar 95/46/EB eru áfram í gildi uns þeim er breytt, þau eru leyst af hólmi eða þau eru felld niður.
172) Haft var samráð við Evrópsku persónuverndarstofnunina í samræmi við 2. mgr. 28. gr. reglugerðar (EB) nr. 45/2001 og skilaði hún áliti 7. mars 2012 ( Stjtíð. ESB C 192, 30.6.2012, bls. 7.).
173) Reglugerð þessi ætti að gilda um öll mál er varða vernd grundvallarréttinda og mannfrelsis í tengslum við vinnslu persónuupplýsinga sem ekki heyra undir sérstakar skuldbindingar með sama markmiði sem settar eru fram í tilskipun Evrópuþingsins og ráðsins 2002/58/EB ( Tilskipun Evrópuþingsins og ráðsins 2002/58/EB frá 12. júlí 2002 um vinnslu persónuupplýsinga og um verndun einkalífs á sviði rafrænna fjarskipta (tilskipun um friðhelgi einkalífsins og rafræn fjarskipti) (Stjtíð. EB L 201, 31.7.2002, bls. 37).), þ. á m. skyldur ábyrgðaraðila og réttindi einstaklinga. Til þess að skýra tengslin milli þessarar reglugerðar og tilskipunar 2002/58/EB ætti að breyta þeirri tilskipun til samræmis við hana. Þegar reglugerð þessi hefur verið samþykkt ætti að endurskoða tilskipun 2002/58/EB í því skyni að tryggja samræmi hennar við þessa reglugerð.
SAMÞYKKT REGLUGERÐ ÞESSA:
I. kafli. Almenn ákvæði
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
a) í starfsemi sem fellur utan gildissviðs laga Sambandsins,
b) af hálfu aðildarríkjanna vegna starfsemi sem fellur undir gildissvið 2. kafla V. bálks sáttmálans um Evrópusambandið,
c) af hálfu einstaklings ef vinnslan er hluti af starfsemi sem er einungis í þágu hans sjálfs eða fjölskyldu hans,
d) af hálfu lögbærra yfirvalda í tengslum við það að koma í veg fyrir, rannsaka, koma upp um eða saksækja fyrir refsiverð brot eða fullnægja refsiviðurlögum, þ.m.t. að vernda gegn og koma í veg fyrir ógnir við almannaöryggi.
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
a) bjóða þessum skráðu einstaklingum í Sambandinu vöru eða þjónustu, án tillits til þess hvort það er gert gegn greiðslu eða
b) hafa eftirlit með hegðun þeirra að svo miklu leyti sem hegðun þeirra á sér stað innan Sambandsins.
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
1) „persónuupplýsingar“: hvers kyns upplýsingar um persónugreindan eða persónugreinanlegan einstakling („skráðan einstakling“); einstaklingur telst persónugreinanlegur ef unnt er að persónugreina hann, beint eða óbeint, svo sem með tilvísun í auðkenni eins og nafn, kennitölu, staðsetningargögn, netauðkenni eða einn eða fleiri þætti sem einkenna hann í líkamlegu, lífeðlisfræðilegu, erfðafræðilegu, andlegu, efnalegu, menningarlegu eða félagslegu tilliti,
2) „vinnsla“: aðgerð eða röð aðgerða þar sem persónuupplýsingar eru unnar, hvort sem vinnslan er sjálfvirk eða ekki, s.s. söfnun, skráning, flokkun, kerfisbinding, varðveisla, aðlögun eða breyting, heimt, skoðun, notkun, miðlun með framsendingu, dreifing eða aðrar aðferðir til að gera upplýsingarnar tiltækar, samtenging eða samkeyrsla, aðgangstakmörkun, eyðing eða eyðilegging,
3) „takmörkun á vinnslu“: að auðkenna varðveittar persónuupplýsingar með það að markmiði að takmarka vinnslu þeirra í framtíðinni,
4) „gerð persónusniðs“: hvers kyns sjálfvirk vinnsla persónuupplýsinga sem felst í því að nota persónuupplýsingar til að meta ákveðna þætti er varða hagi einstaklings, einkum að greina eða spá fyrir um þætti er varða frammistöðu hans í starfi, fjárhagsstöðu, heilsu, smekk, áhugamál, áreiðanleika, hegðun, staðsetningu eða hreyfanleika,
5) „notkun gerviauðkenna“: þegar unnið er með persónuupplýsingar á þann hátt að ekki sé lengur hægt að rekja þær til tiltekins skráðs einstaklings án viðbótarupplýsinga, að því tilskildu að slíkum viðbótarupplýsingum sé haldið aðgreindum og að beitt sé tæknilegum og skipulagslegum ráðstöfunum til að tryggja að persónuupplýsingarnar sé ekki hægt að rekja til persónugreinds eða persónugreinanlegs einstaklings,
6) „skráningarkerfi“: sérhvert skipulegt safn persónuupplýsinga sem er aðgengilegt samkvæmt tilteknum viðmiðunum, hvort heldur það er miðlægt, dreift eða skipt upp eftir notkun eða staðsetningu,
7) „ábyrgðaraðili“: einstaklingur eða lögaðili, opinbert yfirvald, sérstofnun eða annar aðili sem ákvarðar, einn eða í samvinnu við aðra, tilgang og aðferðir við vinnslu persónuupplýsinga; ef tilgangur og aðferðir við slíka vinnslu eru ákveðin í lögum Sambandsins eða lögum aðildarríkis er heimilt að tilgreina ábyrgðaraðila eða sérstakar viðmiðanir fyrir tilnefningu hans í lögum Sambandsins eða lögum aðildarríkis,
8) „vinnsluaðili“: einstaklingur eða lögaðili, opinbert yfirvald, sérstofnun eða annar aðili sem vinnur persónuupplýsingar á vegum ábyrgðaraðila,
9) „viðtakandi“: einstaklingur eða lögaðili, opinbert yfirvald, sérstofnun eða annar aðili sem fær í hendur persónuupplýsingar, hvort sem hann er þriðji aðili eða ekki. Opinber yfirvöld, sem kunna að fá persónuupplýsingar sem svör við einstökum fyrirspurnum í samræmi við lög Sambandsins eða lög aðildarríkis, skulu þó ekki teljast viðtakendur; vinnsla þessara opinberu yfirvalda á gögnunum skal samrýmast gildandi reglum um persónuvernd samkvæmt tilgangi vinnslunnar,
10) „þriðji aðili“: einstaklingur eða lögaðili, opinbert yfirvald, sérstofnun eða aðili annar en hinn skráði, ábyrgðaraðili, vinnsluaðili og einstaklingar eða lögaðilar sem hafa, undir beinni stjórn ábyrgðaraðila eða vinnsluaðila, heimild til að vinna persónuupplýsingar,
11) „samþykki“ skráðs einstaklings: óþvinguð, sértæk, upplýst og ótvíræð viljayfirlýsing hins skráða um að hann samþykki, með yfirlýsingu eða ótvíræðri staðfestingu, vinnslu persónuupplýsinga um hann sjálfan,
12) „öryggisbrestur við meðferð persónuupplýsinga“: brestur á öryggi sem leiðir til óviljandi eða ólögmætrar eyðingar persónuupplýsinga, sem eru sendar, varðveittar eða unnar á annan hátt, eða að þær glatist, breytist, verði birtar eða aðgangur veittur að þeim í leyfisleysi,
13) „erfðafræðilegar upplýsingar“: persónuupplýsingar sem varða arfgenga eða áunna erfðaeiginleika einstaklings sem gefa einkvæmar upplýsingar um lífeðlisfræði eða heilbrigði einstaklingsins og fást einkum með greiningu á líffræðilegu sýni frá viðkomandi einstaklingi,
14) „lífkennaupplýsingar“: persónuupplýsingar sem fást með sérstakri tæknivinnslu og tengjast líkamlegum, lífeðlisfræðilegum eða atferlisfræðilegum eiginleikum einstaklings og gera það kleift að greina eða staðfesta deili á einstaklingi með ótvíræðum hætti, s.s. andlitsmyndir eða gögn um fingraför,
15) „heilsufarsupplýsingar“: persónuupplýsingar sem varða líkamlegt eða andlegt heilbrigði einstaklings, þ.m.t. heilbrigðisþjónustu sem hann hefur fengið, og sem gefa upplýsingar um heilsufar hans,
16) „höfuðstöðvar“:
a) að því er varðar ábyrgðaraðila með starfsstöðvar í fleiri en einu aðildarríki, sá staður þar sem hann hefur yfirstjórn sína í Sambandinu nema ákvarðanir um tilgang og aðferðir við vinnslu persónuupplýsinga séu teknar í annarri starfsstöð ábyrgðaraðila í Sambandinu og síðarnefnda starfsstöðin sé sú sem hefur vald til að koma slíkum ákvörðunum til framkvæmda en í því tilviki skal starfsstöðin, sem tekið hefur slíkar ákvarðanir, teljast vera höfuðstöðvar,
b) að því er varðar vinnsluaðila með starfsstöðvar í fleiri en einu aðildarríki, sá staður þar sem hann hefur yfirstjórn sína í Sambandinu eða, hafi hann enga yfirstjórn í Sambandinu, starfsstöð vinnsluaðila í Sambandinu þar sem helsta vinnslustarfsemi innan ramma starfsemi starfsstöðvar vinnsluaðila fer fram, að því marki sem vinnsluaðili falli undir tilteknar skuldbindingar samkvæmt þessari reglugerð,
17) „fulltrúi“: einstaklingur eða lögaðili með staðfestu í Sambandinu, tilnefndur skriflega af ábyrgðaraðila eða vinnsluaðila skv. 27. gr., sem kemur fram sem fulltrúi ábyrgðaraðila eða vinnsluaðila að því er varðar skuldbindingar þeirra, hvors um sig, samkvæmt þessari reglugerð,
18) „fyrirtæki“: einstaklingur eða lögaðili sem stundar atvinnustarfsemi, óháð því hvert rekstrarform hans er að lögum, þ.m.t. sameignarfélög eða samtök sem stunda atvinnustarfsemi að staðaldri,
19) „fyrirtækjasamstæða“: ráðandi fyrirtæki og undirfyrirtæki þess,
20) „bindandi fyrirtækjareglur“: reglur um persónuvernd sem ábyrgðaraðili eða vinnsluaðili með staðfestu á yfirráðasvæði aðildarríkis fylgir varðandi miðlun eða endurtekna miðlun persónuupplýsinga til ábyrgðaraðila eða vinnsluaðila í einu eða fleiri þriðju löndum innan fyrirtækjasamstæðu eða hóps fyrirtækja sem stundar sameiginlega atvinnustarfsemi,
21) „eftirlitsyfirvald“: sjálfstætt opinbert yfirvald sem aðildarríki kemur á fót skv. 51. gr.,
22) „hlutaðeigandi eftirlitsyfirvald“: eftirlitsyfirvald sem vinnsla persónuupplýsinga varðar vegna þess að:
a) ábyrgðaraðili eða vinnsluaðili hefur staðfestu á yfirráðasvæði aðildarríkis þess eftirlitsyfirvalds,
b) skráðir einstaklingar, sem búa í aðildarríki þess eftirlitsyfirvalds, verða fyrir verulegum áhrifum eða líklegt er að þeir verði fyrir verulegum áhrifum af vinnslunni eða
c) kvörtun hefur verið lögð fram hjá því eftirlitsyfirvaldi,
23) „vinnsla yfir landamæri“: annaðhvort:
a) vinnsla persónuupplýsinga sem fram fer í tengslum við starfsemi starfsstöðva ábyrgðaraðila eða vinnsluaðila innan Sambandsins í fleiri en einu aðildarríki, þegar ábyrgðaraðili eða vinnsluaðili hefur staðfestu í fleiri en einu aðildarríki eða
b) vinnsla persónuupplýsinga sem fram fer í tengslum við starfsemi einnar starfsstöðvar ábyrgðaraðila eða vinnsluaðila innan Sambandsins en hefur veruleg áhrif eða líklegt er að hafi veruleg áhrif á skráða einstaklinga í fleiri en einu aðildarríki,
24) „viðeigandi og rökstudd andmæli“: andmæli gegn drögum að ákvörðun varðandi það hvort brotið sé gegn þessari reglugerð eða hvort fyrirhuguð aðgerð í tengslum við ábyrgðaraðilann eða vinnsluaðilann samrýmist henni sem sýna greinilega fram á þá áhættu sem drögin að ákvörðuninni hafa í för með sér fyrir grundvallarréttindi og frelsi skráðra einstaklinga og, eftir því sem við á, frjálst flæði persónuupplýsinga innan Sambandsins,
25) „þjónusta í upplýsingasamfélaginu“: þjónusta eins og hún er skilgreind í b-lið 1. mgr. 1. gr. tilskipunar Evrópuþingsins og ráðsins (ESB) 2015/1535 ( Tilskipun Evrópuþingsins og ráðsins (ESB) 2015/1535 frá 9. September 2015 um tilhögun miðlunar upplýsinga um tæknilegar reglugerðir og reglur um þjónustu í upplýsingasamfélaginu (Stjtíð. ESB L 241, 17.9.2015, bls. 1).),
26) „alþjóðastofnun“: stofnun og undirskipaðir aðilar hennar sem heyra undir þjóðarétt eða annar aðili sem komið er á fót með samningi milli tveggja eða fleiri landa eða á grundvelli hans.
II. kafli. Meginreglur
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
a) unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart skráðum einstaklingi („lögmæti, sanngirni og gagnsæi“),
b) fengnar í tilgreindum, skýrum og lögmætum tilgangi og ekki unnar frekar á þann hátt að ósamrýmanlegt sé þeim tilgangi; frekari vinnsla persónuupplýsinga vegna skjalavistunar í þágu almannahagsmuna, rannsókna á sviði vísinda eða sagnfræði eða í tölfræðilegum tilgangi skal, í samræmi við 1. mgr. 89. gr., ekki teljast ósamrýmanleg upphaflegum tilgangi („takmörkun vegna tilgangs“),
c) nægilegar, viðeigandi og takmarkast við það sem nauðsynlegt er miðað við tilganginn með vinnslunni („lágmörkun gagna“),
d) áreiðanlegar og, ef nauðsyn krefur, uppfærðar; gera skal allar eðlilegar ráðstafanir til að tryggja að persónuupplýsingum, sem eru óáreiðanlegar, með hliðsjón af tilganginum með vinnslu þeirra, verði eytt eða þær leiðréttar án tafar („áreiðanleiki“),
e) varðveittar á því formi að ekki sé unnt að persónugreina skráða einstaklinga lengur en þörf er á miðað við tilganginn með vinnslu upplýsinganna; heimilt er að geyma persónuupplýsingar lengur að því tilskildu að vinnsla þeirra þjóni einungis skjalavistun í þágu almannahagsmuna, rannsóknum á sviði vísinda eða sagnfræði eða í tölfræðilegum tilgangi, í samræmi við 1. mgr. 89. gr., og sé með fyrirvara um að gerðar verði þær viðeigandi tæknilegu og skipulagslegu ráðstafanir til að vernda réttindi og frelsi hins skráða sem reglugerð þessi krefst („geymslutakmörkun“),
f) unnar með þeim hætti að viðeigandi öryggi persónuupplýsinganna sé tryggt, þ.m.t. vernd gegn óleyfilegri eða ólögmætri vinnslu og gegn glötun, eyðileggingu eða tjóni fyrir slysni, með viðeigandi tæknilegum og skipulagslegum ráðstöfunum („heilleiki og trúnaður“).
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
a) skráður einstaklingur hefur gefið samþykki sitt fyrir vinnslu á persónuupplýsingum sínum í þágu eins eða fleiri tiltekinna markmiða,
b) vinnslan er nauðsynleg vegna framkvæmdar samnings sem skráður einstaklingur á aðild að eða til þess að gera ráðstafanir að beiðni hins skráða áður en samningur er gerður,
c) vinnslan er nauðsynleg til uppfylla lagaskyldu sem hvílir á ábyrgðaraðila,
d) vinnslan er nauðsynleg til að vernda brýna hagsmuni hins skráða eða annars einstaklings,
e) vinnslan er nauðsynleg vegna verkefnis sem unnið er í þágu almannahagsmuna eða við beitingu opinbers valds sem ábyrgðaraðili fer með,
f) vinnslan er nauðsynleg vegna lögmætra hagsmuna sem ábyrgðaraðili eða þriðji aðili gætir nema hagsmunir eða grundvallarréttindi og frelsi hins skráða, sem krefjast verndar persónuupplýsinga, vegi þyngra, einkum þegar hinn skráði er barn.
Ákvæði f-liðar fyrstu undirgreinar skulu ekki eiga við um vinnslu opinberra yfirvalda við störf sín.
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
a) lögum Sambandsins eða
b) lögum aðildarríkis sem ábyrgðaraðili heyrir undir.
Tilgangur vinnslunnar skal ákvarðaður á þeim lagagrundvelli eða, að því er varðar vinnsluna sem um getur í e-lið 1. mgr., vera nauðsynlegur vegna framkvæmdar verkefnis sem unnið er í þágu almannahagsmuna eða við beitingu opinbers valds sem ábyrgðaraðili fer með. Lagagrundvöllurinn getur m.a. verið sértæk ákvæði til að aðlaga beitingu reglna þessarar reglugerðar, m.a. um: almenn skilyrði varðandi lögmæta vinnslu ábyrgðaraðilans, tegund gagna sem vinnslan varðar, hlutaðeigandi skráða einstaklinga, hvaða stofnanir mega fá persónuupplýsingarnar í hendur og í hvaða tilgangi, takmörkun vegna tilgangs, varðveislutímabil og vinnsluaðgerðir og verklag við vinnslu, þ.m.t. ráðstafanir til að tryggja að vinnsla fari fram á lögmætan og sanngjarnan hátt, s.s. ráðstafanir varðandi aðrar sérstakar vinnsluaðstæður eins og kveðið er á um í IX. kafla. Lög Sambandsins eða lög aðildarríkis skulu þjóna hagsmunum almennings og hæfa því lögmæta markmiði sem stefnt er að.
![](/lagas/hk.jpg)
a) hvers kyns tengsla milli þess tilgangs sem er að baki söfnun persónuupplýsinganna og tilgangsins með fyrirhugaðri frekari vinnslu,
b) þess í hvaða samhengi persónuupplýsingunum var safnað, einkum að því er varðar tengsl milli skráðra einstaklinga og ábyrgðaraðilans,
c) eðlis persónuupplýsinganna, einkum þess hvort sérstakir flokkar persónuupplýsinga eru unnir, skv. 9. gr., eða hvort persónuupplýsingar er varða sakfellingar í refsimálum og refsiverð brot eru unnar, í samræmi við 10. gr.,
d) hugsanlegra afleiðinga fyrirhugaðrar frekari vinnslu upplýsinganna fyrir skráða einstaklinga,
e) þess hvort viðeigandi verndarráðstafanir hafi verið gerðar sem geta m.a. falist í dulkóðun eða notkun gerviauðkenna.
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
Aðildarríkin geta í lögum kveðið á um lægri aldur að því er þetta varðar en þó ekki lægri en 13 ár.
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
a) skráður einstaklingur hefur veitt ótvírætt samþykki sitt fyrir vinnslu þessara persónuupplýsinga í þágu eins eða fleiri tiltekinna markmiða nema kveðið sé á um það í lögum Sambandsins eða lögum aðildarríkis að hinum skráða sé óheimilt að aflétta banninu sem um getur í 1. mgr.,
b) vinnslan er nauðsynleg til þess að ábyrgðaraðilinn eða hinn skráði geti staðið við skuldbindingar sínar og nýtt sér tiltekin réttindi samkvæmt vinnulöggjöf og löggjöf um almannatryggingar og félagslega vernd, að því marki sem vinnslan er heimil samkvæmt lögum Sambandsins eða lögum aðildarríkis eða kjarasamningi samkvæmt lögum aðildarríkis, þar sem kveðið er á um viðeigandi verndarráðstafanir í tengslum við grundvallarréttindi og hagsmuni hins skráða,
c) vinnslan er nauðsynleg til að vernda brýna hagsmuni hins skráða eða annars einstaklings ef hinn skráði er líkamlega eða í lagalegum skilningi ófær um að veita samþykki sitt,
d) vinnslan fer fram, með viðeigandi verndarráðstöfunum, sem liður í lögmætri starfsemi stofnunar, samtaka eða annars aðila sem starfar ekki í hagnaðarskyni og hefur stjórnmálaleg, heimspekileg, trúarleg eða stéttarfélagsleg markmið, enda nái vinnslan einungis til meðlima eða fyrrum meðlima viðkomandi aðila eða þeirra sem eru í reglulegu sambandi við hann í tengslum við tilgang hans, auk þess sem persónuupplýsingar séu ekki fengnar þriðja aðila í hendur án samþykkis hinna skráðu,
e) vinnslan tengist persónuupplýsingum sem hinn skráði hefur augljóslega gert opinberar,
f) vinnslan er nauðsynleg til að unnt sé að stofna, hafa uppi eða verja réttarkröfur eða þegar dómstólar fara með dómsvald sitt,
g) vinnslan er nauðsynleg, af ástæðum sem varða verulega almannahagsmuni, á grundvelli laga Sambandsins eða laga aðildarríkis sem skulu hæfa því markmiði sem stefnt er að, virða kjarna réttarins til persónuverndar og kveða á um viðeigandi og sértækar ráðstafanir til að vernda grundvallarréttindi og hagsmuni hins skráða,
h) vinnslan er nauðsynleg til að unnt sé að fyrirbyggja sjúkdóma eða vegna atvinnusjúkdómalækninga, til að meta vinnufærni starfsmanns, greina sjúkdóma, láta í té umönnun eða meðferð á sviði heilbrigðis- eða félagsþjónustu eða stjórna heilbrigðis- eða félagsþjónustu og -kerfum á grundvelli laga Sambandsins eða aðildarríkis eða samkvæmt samningi við heilbrigðisstarfsmann og með fyrirvara um skilyrðin og verndarráðstafanirnar sem um getur í 3. mgr.,
i) vinnslan er nauðsynleg af ástæðum er varða almannahagsmuni á sviði lýðheilsu, s.s. til að verjast alvarlegum heilsufarsógnum sem ná yfir landamæri eða tryggja að strangar kröfur séu gerðar um gæði og öryggi heilbrigðisþjónustu og lyfja eða lækningatækja, á grundvelli laga Sambandsins eða laga aðildarríkis sem kveða á um viðeigandi og sértækar ráðstafanir til að vernda réttindi og frelsi hins skráða, einkum þagnarskyldu,
j) vinnsla er nauðsynleg vegna skjalavistunar í þágu almannahagsmuna, rannsókna á sviði vísinda eða sagnfræði eða í tölfræðilegum tilgangi í samræmi við 1. mgr. 89. gr., á grundvelli laga Sambandsins eða laga aðildarríkis sem skulu hæfa því markmiði sem stefnt er að, virða kjarna réttarins til persónuverndar og kveða á um viðeigandi og sértækar ráðstafanir til að vernda grundvallarréttindi og hagsmuni hins skráða.
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
III. kafli. Réttindi skráðs einstaklings
1. þáttur Gagnsæi og nánari reglur
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
a) setja upp sanngjarnt gjald með tilliti til stjórnsýslukostnaðar við upplýsingagjöfina eða tilkynningarnar eða aðgerðirnar sem farið er fram á eða
b) neita að verða við beiðninni.
Það skal vera ábyrgðaraðilans að sýna fram á að beiðni sé tilefnislaus eða óhófleg.
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
2. þáttur Upplýsingar og aðgangur að persónuupplýsingum
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
a) heiti og samskiptaupplýsingum ábyrgðaraðilans og, eftir atvikum, fulltrúa hans,
b) samskiptaupplýsingum persónuverndarfulltrúa, ef við á,
c) tilganginum með fyrirhugaðri vinnslu persónuupplýsinganna og hver lagagrundvöllur hennar er,
d) þegar vinnslan byggist á f-lið 1. mgr. 6. gr., hvaða lögmætu hagsmunir það eru sem ábyrgðaraðili eða þriðji aðili gætir,
e) viðtakendum eða flokkum viðtakenda persónuupplýsinganna, ef einhverjir eru,
f) ef við á, því að ábyrgðaraðili hyggist miðla persónuupplýsingum til þriðja lands eða alþjóðastofnunar og hvort ákvörðun framkvæmdastjórnarinnar um það hvort vernd sé fullnægjandi liggi fyrir eða, í tilviki miðlunar sem um getur í 46. eða 47. gr. eða í annarri undirgrein 1. mgr. 49. gr., tilvísun til viðeigandi eða hæfilegra verndarráðstafana og leiða til að fá afrit af þeim eða upplýsingar um hvar þær hafa verið gerðar aðgengilegar.
![](/lagas/hk.jpg)
a) hversu lengi persónuupplýsingarnar verða geymdar eða, sé það ekki mögulegt, þær viðmiðanir sem notaðar eru til að ákveða það,
b) að fyrir hendi sé réttur til að fara fram á það við ábyrgðaraðila að fá aðgang að persónuupplýsingum, láta leiðrétta þær, eyða þeim eða takmarka vinnslu þeirra hvað hinn skráða varðar eða til að andmæla vinnslu, auk réttarins til að flytja eigin gögn,
c) þegar vinnslan byggist á a-lið 1. mgr. 6. gr. eða a-lið 2. mgr. 9. gr., að fyrir hendi sé réttur til að draga samþykki sitt til baka hvenær sem er, án þess þó að það hafi áhrif á lögmæti vinnslu á grundvelli samþykkisins fram að afturkölluninni,
d) réttinn til að leggja fram kvörtun hjá eftirlitsyfirvaldi,
e) hvort það að veita persónuupplýsingar sé krafa samkvæmt lögum eða samkvæmt samningi eða krafa sem er forsenda þess að hægt sé að gera samning og einnig hvort skráðum einstaklingi sé skylt að láta persónuupplýsingarnar í té og mögulegar afleiðingar þess ef hann veitir ekki upplýsingarnar,
f) hvort fram fari sjálfvirk ákvarðanataka, þ.m.t. gerð persónusniðs, sem um getur í 1. og 4. mgr. 22. gr., og, a.m.k. í þeim tilvikum, marktækar upplýsingar um þau rök sem þar liggja að baki og einnig þýðingu og fyrirhugaðar afleiðingar slíkrar vinnslu fyrir hinn skráða.
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
a) heiti og samskiptaupplýsingum ábyrgðaraðilans og, eftir atvikum, fulltrúa hans,
b) samskiptaupplýsingum persónuverndarfulltrúa, ef við á,
c) tilganginum með fyrirhugaðri vinnslu persónuupplýsinganna og hver lagagrundvöllur hennar er,
d) flokkum viðkomandi persónuupplýsinga,
e) viðtakendum eða flokkum viðtakenda persónuupplýsinganna, ef einhverjir eru,
f) ef við á, að ábyrgðaraðili hyggist miðla persónuupplýsingum til viðtakanda í þriðja landi eða alþjóðastofnunar og hvort ákvörðun framkvæmdastjórnarinnar um það hvort vernd sé fullnægjandi liggi fyrir eða ekki eða, í tilviki miðlunar sem um getur í 46. eða 47. gr. eða í annarri undirgrein 1. mgr. 49. gr., tilvísun til viðeigandi eða hæfilegra verndarráðstafana og leiða til að fá afrit af þeim eða upplýsingar um hvar þær hafa verið gerðar aðgengilegar.
![](/lagas/hk.jpg)
a) hversu lengi persónuupplýsingarnar verða geymdar eða, sé það ekki mögulegt, þær viðmiðanir sem notaðar eru til að ákveða það,
b) þegar vinnslan byggist á f-lið 1. mgr. 6. gr., hvaða lögmætu hagsmunir það eru sem ábyrgðaraðili eða þriðji aðili gætir,
c) að fyrir hendi sé réttur til að fara fram á það við ábyrgðaraðila að fá aðgang að persónuupplýsingum, láta leiðrétta þær, eyða þeim eða takmarka vinnslu þeirra hvað hinn skráða varðar og til að andmæla vinnslu, auk réttarins til að flytja eigin gögn,
d) þegar vinnslan byggist á a-lið 1. mgr. 6. gr. eða a-lið 2. mgr. 9. gr., að fyrir hendi sé réttur til að draga samþykki sitt til baka hvenær sem er, án þess þó að það hafi áhrif á lögmæti vinnslu á grundvelli samþykkisins fram að afturkölluninni,
e) réttinn til að leggja fram kvörtun hjá eftirlitsyfirvaldi,
f) hvaðan persónuupplýsingarnar eru fengnar og, ef við á, hvort um hafi verið ræða upplýsingar sem eru aðgengilegar almenningi,
g) hvort fram fari sjálfvirk ákvarðanataka, þ.m.t. gerð persónusniðs, sem um getur í 1. og 4. mgr. 22. gr. og, a.m.k. í þeim tilvikum, marktækar upplýsingar um þau rök sem þar liggja að baki og einnig þýðingu og fyrirhugaðar afleiðingar slíkrar vinnslu fyrir hinn skráða.
![](/lagas/hk.jpg)
a) innan hæfilegs tíma eftir að hafa fengið persónuupplýsingarnar, þó í síðasta lagi mánuði síðar, og hafa hliðsjón af þeim sérstöku kringumstæðum sem eiga við um vinnslu persónuupplýsinganna,
b) ef nota á persónuupplýsingarnar til samskipta við skráðan einstakling, í síðasta lagi þegar fyrst er haft samband við hann eða
c) ef fyrirhugað er að fá öðrum viðtakanda persónuupplýsingarnar í hendur, í síðasta lagi þegar það er gert í fyrsta sinn.
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
a) hinn skráði hefur þegar fengið upplýsingarnar,
b) ekki er unnt að veita slíkar upplýsingar eða það kostar óhóflega fyrirhöfn, einkum þegar um er að ræða vinnslu vegna skjalavistunar í þágu almannahagsmuna, rannsókna á sviði vísinda eða sagnfræði eða í tölfræðilegum tilgangi, með fyrirvara um þau skilyrði og verndarráðstafanir sem um getur í 1. mgr. 89. gr., eða að því marki sem líklegt er að skyldan, sem um getur í 1. mgr. þessarar greinar, geri það ómögulegt eða hamli því verulega að markmið þeirrar vinnslu náist. Í þeim tilvikum skal ábyrgðaraðilinn gera viðeigandi ráðstafanir til að vernda réttindi, frelsi og lögmæta hagsmuni hins skráða, þ.m.t. með því að gera upplýsingarnar aðgengilegar almenningi,
c) skýrt er mælt fyrir um öflun eða miðlun upplýsinganna í lögum Sambandsins eða lögum aðildarríkis sem ábyrgðaraðili heyrir undir og sem kveða á um viðeigandi ráðstafanir til að vernda lögmæta hagsmuni hins skráða eða
d) þegar persónuupplýsingar eru bundnar trúnaði á grundvelli þagnarskyldu í samræmi við lög Sambandsins eða lög aðildarríkis, þ.m.t. lögbundinnar þagnarskyldu.
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
a) tilgang vinnslunnar,
b) viðkomandi flokka persónuupplýsinga,
c) viðtakendur eða flokka viðtakenda sem fengið hafa eða munu fá persónuupplýsingarnar í hendur, einkum viðtakendur í þriðju löndum eða alþjóðastofnanir,
d) ef mögulegt er, hversu lengi fyrirhugað er að varðveita persónuupplýsingarnar eða, ef það reynist ekki mögulegt, þær viðmiðanir sem notaðar eru til að ákveða það,
e) að fyrir liggi réttur til að fara fram á það við ábyrgðaraðila að láta leiðrétta persónuupplýsingar, eyða þeim eða takmarka vinnslu þeirra hvað hinn skráða varðar eða til að andmæla slíkri vinnslu,
f) réttinn til að leggja fram kvörtun hjá eftirlitsyfirvaldi,
g) ef persónuupplýsinganna er ekki aflað hjá hinum skráða, allar fyrirliggjandi upplýsingar um uppruna þeirra,
h) hvort fram fari sjálfvirk ákvarðanataka, þ.m.t. gerð persónusniðs, sem um getur í 1. og 4. mgr. 22. gr. og, a.m.k. í þeim tilvikum, marktækar upplýsingar um þau rök sem þar liggja að baki og einnig þýðingu og fyrirhugaðar afleiðingar slíkrar vinnslu fyrir hinn skráða.
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
3. þáttur Leiðrétting og eyðing
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
a) persónuupplýsingarnar eru ekki lengur nauðsynlegar í þeim tilgangi sem lá að baki söfnun þeirra eða annarri vinnslu þeirra,
b) hinn skráði dregur til baka samþykkið sem vinnslan byggist á skv. a-lið 1. mgr. 6. gr. eða a-lið 2. mgr. 9. gr. og ekki er annar lagagrundvöllur fyrir vinnslunni,
c) hinn skráði andmælir vinnslunni skv. 1. mgr. 21. gr. og ekki eru fyrir hendi lögmætar ástæður fyrir vinnslunni sem ganga framar eða hann andmælir vinnslunni skv. 2. mgr. 21. gr.,
d) vinnsla persónuupplýsinganna var ólögmæt,
e) eyða þarf persónuupplýsingunum til að uppfylla lagaskyldu sem hvílir á ábyrgðaraðila samkvæmt lögum Sambandsins eða lögum aðildarríkis,
f) persónuupplýsingunum var safnað í tengslum við boð um þjónustu í upplýsingasamfélaginu sem um getur í 1. mgr. 8. gr.
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
a) til að neyta réttarins til tjáningar- og upplýsingafrelsis,
b) til að uppfylla lagaskyldu um vinnslu sem hvílir á ábyrgðaraðilanum samkvæmt lögum Sambandsins eða lögum aðildarríkis og krefst þess að unnið sé með persónuupplýsingar eða vegna verkefnis sem er unnið í þágu almannahagsmuna eða við beitingu opinbers valds sem ábyrgðaraðili fer með,
c) með skírskotun til almannahagsmuna á sviði lýðheilsu í samræmi við h- og i-lið 2. mgr. 9. gr. og 3. mgr. 9. gr.,
d) vegna skjalavistunar í þágu almannahagsmuna, rannsókna á sviði vísinda eða sagnfræði eða í tölfræðilegum tilgangi í samræmi við 1. mgr. 89. gr., að því marki sem líklegt er að rétturinn, sem um getur í 1. mgr., geri það ómögulegt eða hamli því verulega að markmið þeirrar vinnslu náist eða
e) til að stofna, hafa uppi eða verja réttarkröfur.
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
a) hinn skráði vefengir að persónuupplýsingar séu réttar, þangað til ábyrgðaraðilinn hefur fengið tækifæri til að staðfesta að þær séu réttar,
b) vinnslan er ólögmæt og hinn skráði andmælir því að persónuupplýsingunum sé eytt og fer fram á takmarkaða notkun þeirra í staðinn,
c) ábyrgðaraðilinn þarf ekki lengur á persónuupplýsingunum að halda fyrir vinnsluna en skráði einstaklingurinn þarfnast þeirra til þess að stofna, hafa uppi eða verja réttarkröfur,
d) skráði einstaklingurinn hefur andmælt vinnslunni skv. 1. mgr. 21. gr. á meðan beðið er sannprófunar á því hvort hagsmunir ábyrgðaraðila gangi framar lögmætum hagsmunum hins skráða.
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
a) vinnslan byggist á samþykki skv. a-lið 1. mgr. 6. gr. eða a-lið 2. mgr. 9. gr. eða samningi skv. b-lið 1. mgr. 6. gr. og
b) vinnslan er sjálfvirk.
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
4. þáttur Andmælaréttur og sjálfvirk einstaklingsmiðuð ákvarðanataka
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
a) er forsenda þess að unnt sé að gera eða efna samning milli hins skráða og ábyrgðaraðila,
b) er heimiluð í lögum Sambandsins eða lögum aðildarríkis sem ábyrgðaraðili heyrir undir og þar sem einnig er kveðið á um viðeigandi ráðstafanir til að vernda réttindi og frelsi og lögmæta hagsmuni hins skráða eða
c) byggist á afdráttarlausu samþykki hins skráða.
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
5. þáttur Takmarkanir
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
a) þjóðaröryggi,
b) landvörnum,
c) almannaöryggi,
d) því að koma í veg fyrir, rannsaka, koma upp um eða saksækja fyrir refsiverð brot eða fullnægja refsiviðurlögum, þ.m.t. að vernda gegn og koma í veg fyrir ógnir við almannaöryggi,
e) öðrum mikilvægum markmiðum sem þjóna almannahagsmunum Sambandsins eða aðildarríkis, einkum mikilvægum efnahagslegum eða fjárhagslegum hagsmunum Sambandsins eða aðildarríkis, þ.m.t. gjaldeyrismálum, fjárlögum og skattamálum, lýðheilsu og almannatryggingum,
f) því að verja sjálfstæði dómskerfisins og dómsmeðferð,
g) forvörnum, rannsóknum, uppljóstrunum og lögsóknum vegna brota á siðareglum lögverndaðra starfsgreina,
h) eftirlits-, skoðunar- eða reglusetningarstörfum sem tengjast, þótt aðeins sé það endrum og eins, beitingu opinbers valds í þeim tilvikum sem um getur í a- til e-lið og í g-lið,
i) vernd skráðs einstaklings eða réttindum og frelsi annarra,
j) því að einkaréttarlegum kröfum sé fullnægt.
![](/lagas/hk.jpg)
a) tilgang vinnslunnar eða tegundir vinnslu,
b) tegundir persónuupplýsinga,
c) gildissvið þeirra takmarkana sem settar eru,
d) verndarráðstafanir til að koma í veg fyrir misnotkun eða ólögmætan aðgang eða miðlun,
e) tilgreiningu ábyrgðaraðila eða flokka ábyrgðaraðila,
f) varðveislutímabil og viðeigandi verndarráðstafanir með tilliti til eðlis, umfangs og tilgangs með vinnslu eða tegunda vinnslu,
g) áhættu fyrir réttindi og frelsi skráðra einstaklinga og
h) rétt skráðra einstaklinga til að fá upplýsingar um takmörkunina nema það kunni að skaða tilgang hennar.
IV. kafli. Ábyrgðaraðili og vinnsluaðili
1. þáttur Almennar skyldur
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
a) vinnslu sem fer fram endrum og eins, felur ekki í sér umfangsmikla meðferð sérstakra flokka upplýsinga, eins og um getur í 1. mgr. 9. gr., eða meðferð persónuupplýsinga í tengslum við sakfellingu í refsimálum og refsiverð brot, sem um getur í 10. gr., og sem ekki er líkleg til að leiða af sér áhættu að því er varðar réttindi og frelsi einstaklinga, að teknu tilliti til eðlis, samhengis, umfangs og tilgangs vinnslunnar eða
b) opinbert yfirvald eða stofnun.
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
a) vinni einungis persónuupplýsingarnar samkvæmt skjalfestum fyrirmælum ábyrgðaraðila, þ.m.t. að því er varðar miðlun persónuupplýsinga til þriðja lands eða alþjóðastofnunar, nema honum sé það skylt samkvæmt lögum Sambandsins eða lögum aðildarríkis sem vinnsluaðilinn heyrir undir; í því tilviki skal vinnsluaðilinn upplýsa ábyrgðaraðila um það lagaskilyrði áður en vinnslan hefst nema lögin banni slíka upplýsingagjöf vegna mikilvægra almannahagsmuna,
b) tryggi að aðilar, sem hafa heimild til vinnslu persónuupplýsinga, hafi gengist undir trúnaðarskyldu eða heyri undir viðeigandi lögboðna trúnaðarskyldu,
c) geri allar ráðstafanir sem krafist er skv. 32. gr.,
d) virði skilyrði 2. og 4. mgr. varðandi ráðningu annars vinnsluaðila,
e) aðstoði, að teknu tilliti til eðlis vinnslunnar, ábyrgðaraðilann með viðeigandi tæknilegum og skipulagslegum ráðstöfunum, að því marki sem hægt er, við að uppfylla þá skyldu sína að svara beiðnum um að skráðir einstaklingar fái neytt réttar síns sem mælt er fyrir um í III. kafla,
f) aðstoði ábyrgðaraðila við að tryggja að skyldur skv. 32.–36. gr. séu uppfylltar, að teknu tilliti til eðlis vinnslunnar og upplýsinga sem vinnsluaðili hefur aðgang að,
g) eyði eða skili, að vali ábyrgðaraðila, öllum persónuupplýsingum til ábyrgðaraðilans eftir að veitingu þjónustunnar, sem tengist vinnslunni, lýkur og eyði öllum afritum nema þess sé krafist í lögum Sambandsins eða lögum aðildarríkis að persónuupplýsingar séu varðveittar,
h) geri ábyrgðaraðila aðgengilegar allar upplýsingar, sem nauðsynlegar eru til að sýna fram á að skuldbindingarnar, sem mælt er fyrir um í þessari grein, séu uppfylltar, gefi kost á úttektum, þ.m.t. eftirlitsskoðunum, sem ábyrgðaraðilinn eða annar úttektaraðili í umboði hans hafi með höndum, og leggi sitt af mörkum til þeirra.
Að því er varðar h-lið fyrstu undirgreinar skal vinnsluaðili þegar í stað láta ábyrgðaraðila vita ef fyrirmæli brjóta, að hans mati, í bága við þessa reglugerð eða önnur ákvæði Sambandsins eða aðildarríkis um persónuvernd.
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
a) heiti og samskiptaupplýsingar ábyrgðaraðila og, eftir atvikum, sameiginlegs ábyrgðaraðila, fulltrúa ábyrgðaraðila og persónuverndarfulltrúa,
b) tilgangur vinnslunnar,
c) lýsing á flokkum skráðra einstaklinga og flokkum persónuupplýsinga,
d) flokkar viðtakenda sem fengið hafa eða munu fá persónuupplýsingarnar í hendur, m.a. viðtakenda í þriðju löndum eða alþjóðastofnanir,
e) ef við á, miðlun persónuupplýsinga til þriðja lands eða alþjóðastofnunar, þ.m.t. um hvaða þriðja land eða alþjóðastofnun er að ræða, og, ef um er að ræða miðlun sem um getur í annarri undirgrein 1. mgr. 49. gr., gögn um viðeigandi verndarráðstafanir,
f) ef mögulegt er, fyrirhuguð tímamörk varðandi eyðingu mismunandi gagnaflokka,
g) ef mögulegt er, almenn lýsing á þeim tæknilegu og skipulagslegu öryggisráðstöfunum sem um getur í 1. mgr. 32. gr.
![](/lagas/hk.jpg)
a) heiti og samskiptaupplýsingar vinnsluaðila, eins eða fleiri, og sérhvers ábyrgðaraðila sem vinnsluaðilinn starfar í umboði fyrir og, eftir atvikum, fulltrúa ábyrgðaraðila eða vinnsluaðila og persónuverndarfulltrúa,
b) flokkar vinnslu sem fram fer fyrir hönd hvers ábyrgðaraðila,
c) ef við á, miðlun persónuupplýsinga til þriðja lands eða alþjóðastofnunar, þ.m.t. um hvaða þriðja land eða alþjóðastofnun er að ræða, og, ef um er að ræða miðlun sem um getur í annarri undirgrein 1. mgr. 49. gr., gögn um viðeigandi verndarráðstafanir,
d) ef mögulegt er, almenn lýsing á þeim tæknilegu og skipulagslegu öryggisráðstöfunum sem um getur í 1. mgr. 32. gr.
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
2. þáttur Öryggi persónuupplýsinga
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
a) nota gerviauðkenni og dulkóða persónuupplýsingar,
b) geta tryggt viðvarandi trúnað, samfellu, tiltækileika og álagsþol vinnslukerfa og -þjónustu,
c) geta gert persónuupplýsingar tiltækar og endurheimt aðgang að þeim tímanlega ef til efnislegs eða tæknilegs atviks kemur,
d) taka upp ferli til að prófa og meta reglulega skilvirkni tæknilegra og skipulagslegra ráðstafana til að tryggja öryggi vinnslunnar.
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
a) lýsa eðli öryggisbrests við meðferð persónuupplýsinga, þ.m.t., ef hægt er, þeim flokkum og áætluðum fjölda skráðra einstaklinga sem hann varðar og flokkum og áætluðum fjölda skráa með persónuupplýsingum sem um er að ræða,
b) gefa upp nafn og samskiptaupplýsingar persónuverndarfulltrúa eða annars tengiliðar þar sem hægt er að fá frekari upplýsingar,
c) lýsa líklegum afleiðingum öryggisbrests við meðferð persónuupplýsinga,
d) lýsa þeim ráðstöfunum sem ábyrgðaraðili hefur gert eða fyrirhugar að gera vegna öryggisbrests við meðferð persónuupplýsinga, þ.m.t., eftir því sem við á, ráðstöfunum til að milda hugsanleg skaðleg áhrif hans.
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
a) ábyrgðaraðilinn hefur gert viðeigandi tæknilegar og skipulagslegar verndarráðstafanir og þessar ráðstafanir voru gerðar varðandi þær persónuupplýsingar sem öryggisbrestur við meðferð persónuupplýsinga hafði áhrif á, einkum ráðstafanir til að gera persónuupplýsingar ólæsilegar hverjum þeim sem ekki hefur aðgangsheimild að þeim, s.s. með dulkóðun,
b) ábyrgðaraðilinn hefur gert ráðstafanir í kjölfarið sem tryggja að ólíklegt sé að aftur komi til jafnmikillar áhættu fyrir réttindi og frelsi skráðra einstaklinga og um getur í 1. mgr.,
c) það myndi hafa í för með sér óhóflega fyrirhöfn. Í því tilviki skal í staðinn birta almenna tilkynningu eða grípa til svipaðrar ráðstöfunar þar sem hinum skráðu er gert viðvart með jafnáhrifaríkum hætti.
![](/lagas/hk.jpg)
3. þáttur Mat á áhrifum á persónuvernd og fyrirframsamráð
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
a) kerfisbundið og umfangsmikið mat á persónulegum þáttum, sem tengjast einstaklingum, sem byggist á sjálfvirkri vinnslu, þ.m.t. gerð persónusniðs, og sem leiðir til töku ákvarðana sem hafa réttaráhrif fyrir einstaklinginn eða snerta hann verulega með svipuðum hætti,
b) umfangsmikla vinnslu sérstakra flokka upplýsinga sem um getur í 1. mgr. 9. gr. eða persónuupplýsinga er varða sakfellingar í refsimálum og refsiverð brot sem um getur í 10. gr. eða
c) kerfisbundið og umfangsmikið eftirlit með svæði sem er aðgengilegt almenningi.
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
a) kerfisbundin lýsing á fyrirhuguðum vinnsluaðgerðum og tilganginum með vinnslunni, þ.m.t., eftir atvikum, lögmætum hagsmunum ábyrgðaraðilans,
b) mat á því hvort vinnsluaðgerðirnar eru nauðsynlegar og hóflegar miðað við tilganginn með þeim,
c) mat á áhættu fyrir réttindi og frelsi skráðra einstaklinga sem um getur í 1. mgr. og
d) ráðstafanir sem fyrirhugað er að grípa til gegn slíkri áhættu, þ.m.t. verndarráðstafanir, öryggisráðstafanir og fyrirkomulag við að tryggja vernd persónuupplýsinga og sýna fram á að farið sé að þessari reglugerð, að teknu tilliti til réttinda og lögmætra hagsmuna skráðra einstaklinga og annarra einstaklinga sem í hlut eiga.
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
a) eftir atvikum, ábyrgðarsvið ábyrgðaraðila, sameiginlegra ábyrgðaraðila og vinnsluaðila, sem koma að vinnslunni, hvers um sig, einkum þegar um er að ræða vinnslu innan fyrirtækjasamstæðu,
b) tilgang fyrirhugaðrar vinnslu og aðferðir við hana,
c) ráðstafanir og verndarráðstafanir sem gerðar eru til að vernda réttindi og frelsi skráðra einstaklinga samkvæmt þessari reglugerð,
d) ef við á, samskiptaupplýsingar persónuverndarfulltrúa,
e) mat á áhrifum á persónuvernd sem kveðið er á um í 35. gr. og
f) hverjar þær upplýsingar aðrar sem eftirlitsyfirvaldið fer fram á.
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
4. þáttur Persónuverndarfulltrúi
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
a) vinnsla er í höndum opinbers yfirvalds eða stofnunar, að undanskildum dómstólum þegar þeir fara með dómsvald sitt,
b) meginstarfsemi ábyrgðaraðila eða vinnsluaðila felst í vinnsluaðgerðum sem krefjast, sakir eðlis síns, umfangs og/eða tilgangs, umfangsmikils, reglubundins og kerfisbundins eftirlits með skráðum einstaklingum eða
c) meginstarfsemi ábyrgðaraðila eða vinnsluaðila felst í umfangsmikilli vinnslu sérstakra flokka upplýsinga skv. 9. gr. eða persónuupplýsinga er varða sakfellingar í refsimálum og refsiverð brot sem um getur í 10. gr.
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
a) upplýsa ábyrgðaraðila eða vinnsluaðila og starfsmenn, sem annast vinnslu, um skyldur sínar samkvæmt þessari reglugerð og öðrum ákvæðum Sambandsins eða aðildarríkis um persónuvernd og veita þeim ráðgjöf þar að lútandi,
b) fylgjast með því að farið sé að ákvæðum þessarar reglugerðar, öðrum ákvæðum Sambandsins eða aðildarríkis um persónuvernd og stefnum ábyrgðaraðila eða vinnsluaðila varðandi vernd persónuupplýsinga, þ.m.t. úthlutun ábyrgðar, vitundarvakning og þjálfun starfsfólks sem tekur þátt í vinnslustarfsemi og tilheyrandi úttektir,
c) veita ráðgjöf, sé farið fram á það, varðandi mat á áhrifum á persónuvernd og fylgjast með framkvæmd þess skv. 35. gr.,
d) vinna með eftirlitsyfirvaldinu,
e) vera tengiliður fyrir eftirlitsyfirvaldið varðandi mál sem tengjast vinnslu, þ.m.t. fyrirframsamráðið sem um getur í 36. gr., og leita ráða, eftir því sem við á, varðandi önnur málefni.
![](/lagas/hk.jpg)
5. þáttur Hátternisreglur og vottun
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
a) sanngjarna og gagnsæja vinnslu,
b) lögmæta hagsmuni ábyrgðaraðila í tilteknu samhengi,
c) söfnun persónuupplýsinga,
d) notkun gerviauðkenna við vinnslu persónuupplýsinga,
e) upplýsingar sem veittar eru almenningi og skráðum einstaklingum,
f) það að skráðir einstaklingar geti neytt réttar síns,
g) upplýsingar sem veittar eru börnum og þeim til verndar og það hvernig afla beri samþykkis forsjáraðila,
h) þær ráðstafanir og aðferðir sem um getur í 24. og 25. gr. og ráðstafanir til að tryggja öryggi vinnslu sem um getur í 32. gr.,
i) tilkynningar til eftirlitsyfirvalda um öryggisbresti við meðferð persónuupplýsinga og það að skráðum einstaklingum sé gert viðvart um slíka bresti,
j) miðlun persónuupplýsinga til þriðju landa eða alþjóðastofnana eða
k) málsmeðferð utan dómstóla og aðra málsmeðferð við lausn deilumála til að leysa deilur er varða vinnslu milli ábyrgðaraðila og skráðra einstaklinga, sbr. þó réttindi hinna skráðu skv. 77. og 79. gr.
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
a) sýnt fram á sjálfstæði sitt og sérþekkingu á viðfangsefni reglnanna með hætti sem lögbæru eftirlitsyfirvaldi þykir fullnægjandi,
b) komið á verklagi sem gerir honum kleift að meta hæfi hlutaðeigandi ábyrgðaraðila og vinnsluaðila til að beita hátternisreglunum, hafa eftirlit með því að þeir fari að ákvæðum þeirra og endurskoða starfsemi þeirra með reglubundnum hætti,
c) komið á verklagi og kerfum til að annast meðferð kvartana um brot á reglunum eða á því hvernig ábyrgðaraðili eða vinnsluaðili framkvæmir, eða hefur framkvæmt, reglurnar og til að gera þetta verklag og þessi kerfi gagnsæ fyrir skráða einstaklinga og almenning og
d) sýnt fram á, með fullnægjandi hætti að mati lögbærs eftirlitsyfirvalds, að verkefni hans og skyldustörf leiði ekki til hagsmunaáreksturs.
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
a) eftirlitsyfirvaldinu sem lögbært er skv. 55. eða 56. gr.,
b) faggildingarstofu í aðildarríki sem tilgreind er í samræmi við reglugerð Evrópuþingsins og ráðsins (EB) nr. 765/2008 ( Reglugerð Evrópuþingsins og ráðsins (EB) nr. 765/2008 frá 9. júlí 2008 um kröfur varðandi faggildingu og markaðseftirlit í tengslum við markaðssetningu á vörum og um niðurfellingu reglugerðar (EBE) nr. 339/93 (Stjtíð. ESB L 218, 13.8.2008, bls. 30).) í samræmi við Evrópustaðal EN-ISO/IEC 17065/2012 og viðbótarkröfur sem settar eru af eftirlitsyfirvaldinu sem lögbært er skv. 55. eða 56. gr.
![](/lagas/hk.jpg)
a) sýnt fram á sjálfstæði sitt og sérþekkingu á viðfangsefni vottunarinnar með hætti sem lögbæru eftirlitsyfirvaldi þykir fullnægjandi,
b) skuldbundið sig til að virða viðmiðanirnar sem um getur í 5. mgr. 42. gr. og samþykktar eru af eftirlitsyfirvaldinu sem er lögbært skv. 55. eða 56. gr. eða af persónuverndarráðinu skv. 63. gr.,
c) komið á verklagi hvað varðar útgáfu, reglubundna endurskoðun og afturköllun persónuverndarvottunar, persónuverndarinnsigla eða -merkja,
d) komið á fót verklagi og kerfum til að annast meðferð kvartana um brot gegn ákvæðum vottunarinnar eða á því hvernig ábyrgðaraðili eða vinnsluaðili framkvæmir eða hefur framkvæmt vottunina og til að gera þetta verklag og þessi kerfi gagnsæ fyrir skráða einstaklinga og almenning og
e) sýnt fram á, með hætti sem lögbæru eftirlitsyfirvaldi þykir fullnægjandi, að verkefni þeirra og skyldustörf leiði ekki til hagsmunaáreksturs.
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
V. kafli. Miðlun persónuupplýsinga til þriðju landa eða alþjóðastofnana
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
a) grunnreglum réttarríkisins, virðingu fyrir mannréttindum og mannfrelsi, viðeigandi löggjöf, jafnt almennri löggjöf sem sérlöggjöf, þ. á m. varðandi almannaöryggi, landvarnir, þjóðaröryggi og refsirétt og aðgang opinberra yfirvalda að persónuupplýsingum, ásamt framkvæmd umræddrar löggjafar, reglum um persónuvernd, starfsreglum og öryggisráðstöfunum, þ.m.t. reglum um miðlun persónuupplýsinga til annars þriðja lands eða alþjóðastofnunar sem fylgt er í umræddu landi eða hjá alþjóðastofnun, dómaframkvæmd, sem og skilvirkum og fullnustuhæfum réttindum skráðra einstaklinga og skilvirkri stjórnsýslu- og dómsmeðferð fyrir skráða einstaklinga hvað varðar miðlun persónuupplýsinga um þá,
b) hvort fyrir hendi er sjálfstætt og skilvirkt eftirlitsyfirvald, eitt eða fleiri, í þriðja landinu eða sem alþjóðastofnun fellur undir, sem ber ábyrgð á að tryggja og framfylgja því að farið sé að reglum um persónuvernd, þ. á m. með fullnægjandi valdheimildum til að framfylgja þeim, á að veita skráðum einstaklingum aðstoð og ráðleggingar þegar þeir nýta sér réttindi sín og á samvinnu við eftirlitsyfirvöld í aðildarríkjunum og
c) alþjóðlegum skuldbindingum sem þriðja landið eða alþjóðastofnunin hefur tekist á hendur eða öðrum skyldum samkvæmt lagalega bindandi samningum eða gerningum, sem og þátttöku í marghliða eða svæðisbundnum kerfum, einkum í tengslum við vernd persónuupplýsinga.
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
Þegar brýna nauðsyn ber til í tilhlýðilega rökstuddum tilvikum skal framkvæmdastjórnin samþykkja framkvæmdargerðir sem öðlast gildi án tafar í samræmi við málsmeðferðina sem um getur í 3. mgr. 93. gr.
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
a) lagalega bindandi og framfylgjanlegum gerningi milli opinberra yfirvalda eða stofnana,
b) bindandi fyrirtækjareglum í samræmi við 47. gr.,
c) stöðluðum ákvæðum um persónuvernd sem framkvæmdastjórnin hefur samþykkt í samræmi við rannsóknarmálsmeðferðina sem um getur í 2. mgr. 93. gr.,
d) stöðluðum ákvæðum um persónuvernd sem eftirlitsyfirvald hefur samþykkt og framkvæmdastjórnin viðurkennt í samræmi við rannsóknarmálsmeðferðina sem um getur í 2. mgr. 93. gr.,
e) viðurkenndum hátternisreglum skv. 40. gr., ásamt bindandi og framfylgjanlegum skuldbindingum ábyrgðaraðilans eða vinnsluaðilans í þriðja landinu um að beita viðeigandi verndarráðstöfunum, einnig að því er varðar réttindi skráðra einstaklinga eða
f) viðurkenndu vottunarkerfi skv. 42. gr., ásamt bindandi og framfylgjanlegum skuldbindingum ábyrgðaraðilans eða vinnsluaðilans í þriðja landinu um að beita viðeigandi verndarráðstöfunum, einnig að því er varðar réttindi hinna skráðu.
![](/lagas/hk.jpg)
a) samningsákvæðum milli ábyrgðaraðilans eða vinnsluaðilans og ábyrgðaraðila, vinnsluaðila eða viðtakanda persónuupplýsinganna í þriðja landinu eða hjá alþjóðastofnuninni eða
b) ákvæðum sem felld eru inn í stjórnvaldsráðstafanir milli opinberra yfirvalda eða stofnana sem ná yfir framfylgjanleg og skilvirk réttindi skráðra einstaklinga.
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
a) séu lagalega bindandi og að þær gildi um og þeim sé framfylgt af sérhverjum hlutaðeigandi aðila að fyrirtækjasamstæðu eða hópi fyrirtækja sem stunda sameiginlega atvinnustarfsemi, þ.m.t. starfsmönnum þeirra,
b) veiti skráðum einstaklingum framfylgjanleg réttindi með ótvíræðum hætti með hliðsjón af vinnslu persónuupplýsinga um þá og
c) uppfylli kröfurnar sem mælt er fyrir um í 2. gr.
![](/lagas/hk.jpg)
a) skipulag og samskiptaupplýsingar viðkomandi fyrirtækjasamstæðu eða hóps fyrirtækja sem stunda sameiginlega atvinnustarfsemi og sérhvers aðila samstæðunnar eða hópsins,
b) miðlun eða endurtekna miðlun upplýsinga, þ.m.t. hvaða flokka persónuupplýsinga er um að ræða, tegund og tilgang vinnslu, hvaða hópur skráðra einstaklinga verður fyrir áhrifum af henni og hvaða þriðja land eða þriðju lönd er um að ræða,
c) lagalega bindandi eðli þeirra, jafnt inn á við sem út á við,
d) beitingu almennra meginreglna um persónuvernd, einkum um takmörkun vegna tilgangs, lágmörkun gagna, takmörkun á varðveislutímabili, gæði gagna, innbyggða og sjálfgefna persónuvernd, lagagrundvöll vinnslu, vinnslu sérstakra flokka persónuupplýsinga, ráðstafanir til að tryggja persónuvernd og kröfur sem lúta að framsendingu til aðila sem eru ekki háðir bindandi fyrirtækjareglum,
e) réttindi skráðra einstaklinga að því er varðar vinnslu og leiðir til að neyta þeirra réttinda, þ.m.t. réttinn til að falla ekki undir ákvarðanir sem byggjast eingöngu á sjálfvirkri vinnslu, m.a. gerð persónusniðs í samræmi við 22. gr., til að leggja fram kvörtun hjá lögbæru eftirlitsyfirvaldi og hjá lögbærum dómstólum aðildarríkjanna í samræmi við 79. gr. og til að rétta hlut sinn og, eftir því sem við á, til bóta vegna brots á bindandi fyrirtækjareglum,
f) viðurkenningu ábyrgðaraðila eða vinnsluaðila, sem hafa staðfestu á yfirráðasvæði aðildarríkis, á ábyrgð vegna hvers kyns brota gegn bindandi fyrirtækjareglum af hálfu hlutaðeigandi aðila sem hafa ekki staðfestu í Sambandinu; ábyrgðaraðilinn eða vinnsluaðilinn skal því aðeins vera undanþeginn bótaábyrgð, að fullu eða að hluta, að hann færi sönnur á að viðkomandi aðili sé ekki ábyrgur fyrir tilvikinu sem leiddi til tjónsins,
g) hvernig skráðum einstaklingum eru veittar upplýsingar um bindandi fyrirtækjareglur, einkum ákvæðin sem um getur í d-, e- og f-lið þessarar málsgreinar, auk 13. og 14. gr.,
h) verkefni persónuverndarfulltrúa sem eru tilnefndir í samræmi við 37. gr. eða annars aðila eða stofnunar sem hefur með höndum eftirlit með því að bindandi fyrirtækjareglum sé fylgt innan fyrirtækjasamstæðu eða hóps fyrirtækja sem stunda sameiginlega atvinnustarfsemi, ásamt eftirliti með starfsþjálfun og meðferð kvörtunarmála,
i) málsmeðferð vegna kvörtunarmála,
j) fyrirkomulag innan fyrirtækjasamstæðunnar eða hóps fyrirtækja, sem stunda sameiginlega atvinnustarfsemi, til að tryggja sannprófun á því að farið sé að bindandi fyrirtækjareglum. Þetta fyrirkomulag skal fela í sér úttektir á persónuvernd og aðferðir við að tryggja að gripið sé til aðgerða til úrbóta til að vernda réttindi hins skráða. Tilkynna ætti þeim aðila eða stofnun, sem um getur í h-lið, og stjórn fyrirtækisins, sem er ráðandi í fyrirtækjasamstæðu eða hópi fyrirtækja sem stunda sameiginlega atvinnustarfsemi, um niðurstöður sannprófunarinnar og þær ættu að vera aðgengilegar lögbærum eftirlitsyfirvöldum fari þau fram á það,
k) fyrirkomulag skýrslugjafar og skráningar á breytingum á reglunum og skýrslugjafar um breytingarnar til eftirlitsyfirvaldsins,
l) fyrirkomulag samvinnu við eftirlitsyfirvaldið til að tryggja reglufylgni aðila að fyrirtækjasamstæðunni eða hópi fyrirtækja sem stunda sameiginlega atvinnustarfsemi, einkum með því að sjá til þess að eftirlitsyfirvaldið fái aðgang að niðurstöðum sannprófunar á þeim ráðstöfunum sem um getur í j-lið,
m) fyrirkomulag vegna skýrslugjafar til lögbærs eftirlitsyfirvalds um þau lagaskilyrði sem aðili að fyrirtækjasamstæðu eða hópi fyrirtækja, sem stunda sameiginlega atvinnustarfsemi, þarf að hlíta í þriðja landi sem líklegt er að hafi umtalsverð neikvæð áhrif á þær tryggingar sem felast í bindandi fyrirtækjareglum og
n) viðeigandi þjálfun starfsmanna, sem hafa stöðugan eða reglulegan aðgang að persónuupplýsingum, á sviði persónuverndar.
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
a) hinn skráði hefur veitt ótvírætt samþykki sitt fyrir fyrirhugaðri miðlun eftir að honum hefur verið tilkynnt um mögulega áhættu sem miðlunin kann að hafa í för með sér fyrir hann vegna þess að ekki liggur fyrir ákvörðun um að vernd sé fullnægjandi og viðeigandi verndarráðstafanir hafa ekki verið gerðar,
b) miðlunin er nauðsynleg vegna framkvæmdar samnings milli hins skráða og ábyrgðaraðilans eða ráðstafana sem gerðar eru að beiðni hins skráða áður en til gerðar samnings kemur,
c) miðlunin er nauðsynleg fyrir gerð eða framkvæmd samnings í þágu hins skráða, sem ábyrgðaraðilinn og annar einstaklingur eða lögaðili gera sín í milli,
d) miðlunin er nauðsynleg vegna mikilvægra almannahagsmuna,
e) miðlunin er nauðsynleg til að stofna, hafa uppi eða verja réttarkröfur,
f) miðlunin er nauðsynleg til að vernda brýna hagsmuni hins skráða eða annarra aðila ef hinn skráði er líkamlega eða í lagalegum skilningi ófær um að gefa samþykki sitt,
g) upplýsingum er miðlað úr skrá sem er samkvæmt lögum Sambandsins eða lögum aðildarríkis ætlað að veita almenningi upplýsingar og er aðgengileg annaðhvort öllum almenningi eða hverjum þeim sem getur sýnt fram á að hann hafi lögmætra hagsmuna að gæta, en aðeins að svo miklu leyti sem skilyrði fyrir aðgangi, sem mælt er fyrir um í lögum Sambandsins eða lögum aðildarríkis, séu uppfyllt í því tilviki.
Ef ekki er hægt að byggja miðlun á ákvæði í 45. eða 46. gr., þ.m.t. ákvæðum um bindandi fyrirtækjareglur, og engin af undanþágunum vegna sérstakra aðstæðna, sem um getur í fyrstu undirgrein þessarar málsgreinar, á við, er aðeins heimilt að miðla persónuupplýsingum til þriðja lands eða til alþjóðastofnunar ef miðlunin er ekki endurtekin, varðar aðeins takmarkaðan fjölda skráðra einstaklinga, er nauðsynleg vegna mikilvægra lögmætra hagsmuna sem ábyrgðaraðili gætir þegar hagsmunir eða réttindi og frelsi hins skráða vega ekki þyngra og ef ábyrgðaraðilinn hefur kannað allar aðstæður er varða miðlun upplýsinganna og hefur, á grundvelli þess mats, gert viðeigandi verndarráðstafanir að því er varðar vernd persónuupplýsinga. Ábyrgðaraðilinn skal upplýsa eftirlitsyfirvaldið um miðlunina. Auk þess að láta í té þær upplýsingar, sem um getur í 13. og 14. gr., skal ábyrgðaraðilinn upplýsa hinn skráða um miðlunina og þá mikilvægu, lögmætu hagsmuni sem gætt er.
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
a) þróa fyrirkomulag alþjóðlegrar samvinnu til að greiða fyrir skilvirkri framkvæmd löggjafar um vernd persónuupplýsinga,
b) veita gagnkvæma alþjóðlega aðstoð við framfylgd löggjafar um vernd persónuupplýsinga, m.a. með tilkynningum, framsendingu kvörtunarmála, aðstoð við rannsóknir og upplýsingaskiptum, með fyrirvara um viðeigandi verndarráðstafanir til verndar persónuupplýsingum og öðrum grundvallarréttindum og mannfrelsi,
c) fá viðkomandi hagsmunaaðila til að taka þátt í umfjöllun og starfi sem miðar að því að efla alþjóðlega samvinnu við framfylgd löggjafar um vernd persónuupplýsinga,
d) stuðla að skiptum á og skjalahaldi um löggjöf og starfsvenjur á sviði verndar persónuupplýsinga, einkum um ágreining við þriðju lönd um lögsögu.
VI. kafli. Sjálfstæð eftirlitsyfirvöld
1. þáttur Sjálfstæði
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
— þingi þeirra,
— ríkisstjórn þeirra,
— þjóðhöfðingja þeirra eða
— háðri stofnun sem falin er skipunin samkvæmt lögum aðildarríkisins.
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
a) stofnun sérhvers eftirlitsyfirvalds,
b) menntun og hæfisskilyrði sem krafist er vegna skipunar fulltrúa sérhvers eftirlitsyfirvalds,
c) reglur og verklagsreglur að því er varðar skipun fulltrúa sérhvers eftirlitsyfirvalds,
d) skipunartíma fulltrúa sérhvers eftirlitsyfirvalds sem ekki skal vera skemmri en fjögur ár, að undanskilinni fyrstu skipun eftir 24. maí 2016, sem getur verið til skemmri tíma ef það er nauðsynlegt til að standa vörð um sjálfstæði eftirlitsyfirvaldsins með því að nota áfangabundið skipunarferli,
e) hvort og þá hversu oft heimilt er að endurnýja skipun fulltrúa sérhvers eftirlitsyfirvalds,
f) skilyrði varðandi skyldur fulltrúa sérhvers eftirlitsyfirvalds og starfsmanna þess, bann við aðgerðum, störfum og fríðindum sem eru ósamrýmanleg þeim á starfstímanum og að honum loknum og reglur um starfslok.
![](/lagas/hk.jpg)
2. þáttur Valdsvið, verkefni og valdheimildir
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
a) fylgjast með og framfylgja beitingu þessarar reglugerðar,
b) efla vitund og skilning almennings á áhættu, reglum, verndarráðstöfunum og réttindum í tengslum við vinnslu. Gefa skal starfsemi sem beinist einkum að börnum sérstakan gaum,
c) veita þjóðþingi, ríkisstjórn og öðrum stofnunum og aðilum ráðgjöf, í samræmi við landslög aðildarríkis, um ráðstafanir á sviði lagasetningar og stjórnsýslu sem tengist vernd réttinda og frelsis einstaklinga að því er varðar vinnslu,
d) efla vitund ábyrgðaraðila og vinnsluaðila um skyldur sínar samkvæmt þessari reglugerð,
e) veita, að fenginni beiðni, skráðum einstaklingi upplýsingar um það hvernig hann getur neytt réttinda sinna samkvæmt þessari reglugerð og, ef við á, starfa með eftirlitsyfirvöldum í öðrum aðildarríkjum í því skyni,
f) fjalla um kvartanir sem skráður einstaklingur eða stofnun, samtök eða félag leggja fram í samræmi við 80. gr. og rannsaka, að því marki sem við á, efni kvörtunarinnar og upplýsa kvartandann um framvindu og niðurstöður rannsóknarinnar innan hæfilegs tíma, einkum ef nauðsyn er á frekari rannsóknum eða samræmingu við annað eftirlitsyfirvald,
g) eiga samstarf við önnur eftirlitsyfirvöld, þ.m.t. með því að skiptast á upplýsingum, og veita gagnkvæma aðstoð, með það fyrir augum að tryggja samkvæmni í beitingu og framfylgd þessarar reglugerðar,
h) gera rannsókn á beitingu þessarar reglugerðar, m.a. á grundvelli upplýsinga frá öðru eftirlitsyfirvaldi eða öðru opinberu yfirvaldi,
i) fylgjast með þróun sem skiptir máli, að svo miklu leyti sem hún hefur áhrif á vernd persónuupplýsinga, einkum þróun upplýsinga- og fjarskiptatækni og viðskiptahátta,
j) samþykkja föst samningsákvæði sem um getur í 8. mgr. 28. gr. og d-lið 2. mgr. 46. gr.,
k) útbúa og viðhalda skrá í tengslum við kröfu um mat á áhrifum á persónuvernd skv. 4. mgr. 35. gr.,
l) veita ráðgjöf um vinnsluaðgerðir sem um getur í 2. mgr. 36. gr.,
m) hvetja til þess að samdar verði hátternisreglur skv. 1. mgr. 40. gr. og gefa álit á og samþykkja hátternisreglur sem tryggja fullnægjandi verndarráðstafanir skv. 5. mgr. 40. gr.,
n) hvetja til þess að vottunarfyrirkomulagi vegna persónuverndar og persónuverndarinnsiglum og -merkjum verði komið á skv. 1. mgr. 42. gr. og samþykkja viðmiðanir vegna vottunar skv. 5. mgr. 42. gr.,
o) eftir atvikum, láta fara fram reglubundna endurskoðun á vottunum sem eru gefnar út í samræmi við 7. mgr. 42. gr.,
p) semja og birta drög að kröfum varðandi faggildingu aðila sem hefur eftirlit með hátternisreglum skv. 41. gr. og vottunaraðila skv. 43. gr.,
q) annast faggildingu aðila vegna eftirlits með hátternisreglum skv. 41. gr. og vottunaraðila skv. 43. gr.,
r) heimila samningsákvæði og ákvæði sem um getur í 3. mgr. 46. gr.,
s) samþykkja bindandi fyrirtækjareglur skv. 47. gr.,
t) taka þátt í starfsemi persónuverndarráðsins,
u) halda innri skrár yfir brot á þessari reglugerð og ráðstafanir sem gerðar eru í samræmi við 2. mgr. 58. gr. og
v) sinna öðrum störfum sem tengjast vernd persónuupplýsinga.
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
a) heimild til að fyrirskipa að ábyrgðaraðilinn og vinnsluaðilinn og, eftir atvikum, fulltrúi ábyrgðaraðilans eða vinnsluaðilans veiti hvers kyns upplýsingar sem það þarfnast vegna skyldustarfa sinna,
b) heimild til að láta fara fram rannsóknir í formi úttekta á persónuvernd,
c) heimild til að láta fara fram endurskoðun á vottunum sem eru gefnar út skv. 7. mgr. 42. gr.,
d) heimild til að tilkynna ábyrgðaraðila eða vinnsluaðila um meint brot á þessari reglugerð,
e) heimild til að fá hjá ábyrgðaraðila og vinnsluaðila aðgang að öllum persónuupplýsingum og öllum upplýsingum sem nauðsynlegar eru vegna verkefna þess,
f) heimild til að fá aðgang að húsnæði ábyrgðaraðila og vinnsluaðila, þ.m.t. hvers kyns gagnavinnslubúnaði og -aðferðum, í samræmi við réttarfarslög Sambandsins eða aðildarríkis.
![](/lagas/hk.jpg)
a) heimild til að veita ábyrgðaraðila eða vinnsluaðila viðvörun um að líklegt sé að fyrirhugaðar vinnsluaðgerðir brjóti í bága við ákvæði þessarar reglugerðar,
b) heimild til að veita ábyrgðaraðila eða vinnsluaðila áminningu ef vinnsluaðgerðir hafa brotið í bága við þessa reglugerð,
c) heimild til að fyrirskipa að ábyrgðaraðili eða vinnsluaðili fari að beiðnum hins skráða um að fá að neyta réttinda sinna samkvæmt þessari reglugerð,
d) heimild til að fyrirskipa að ábyrgðaraðili eða vinnsluaðili færi vinnsluaðgerðir til samræmis við ákvæði þessarar reglugerðar, eftir því sem við á, með tilteknum hætti og innan tiltekins tíma,
e) heimild til að fyrirskipa að ábyrgðaraðili tilkynni hinum skráða um öryggisbrest við meðferð persónuupplýsinga,
f) heimild til að setja tímabundna eða varanlega takmörkun á vinnslu, þ.m.t. bann,
g) heimild til að fyrirskipa leiðréttingu eða eyðingu persónuupplýsinga eða takmörkun á vinnslu þeirra skv. 16., 17. og 18. gr. og að slíkar aðgerðir verði tilkynntar viðtakendum sem fengið hafa persónuupplýsingarnar í hendur skv. 2. mgr. 17. gr. og 19. gr.,
h) heimild til að afturkalla vottun eða fyrirskipa að vottunaraðilinn afturkalli vottun sem gefin var út skv. 42. og 43. gr. eða fyrirskipa að vottunaraðilinn gefi ekki út vottun ef kröfum vegna vottunarinnar er ekki, eða er ekki lengur, fullnægt,
i) heimild til að leggja á stjórnsýslusekt skv. 83. gr., til viðbótar við eða í stað ráðstafana sem um getur í þessari málsgrein, allt eftir aðstæðum í hverju einstöku máli,
j) heimild til að fyrirskipa tímabundna stöðvun gagnaflæðis til viðtakanda í þriðja landi eða til alþjóðastofnunar.
![](/lagas/hk.jpg)
a) heimild til að veita ábyrgðaraðila ráðgjöf í samræmi við fyrirframsamráðsferlið sem um getur í 36. gr.,
b) heimild til að leggja, að eigin frumkvæði eða samkvæmt beiðni, álitsgerðir fyrir þjóðþing eða ríkisstjórn aðildarríkisins eða, í samræmi við lög aðildarríkisins, aðrar stofnanir og aðila, sem og almenning, um hvert það málefni sem tengist vernd persónuupplýsinga,
c) heimild til að leyfa vinnslu sem um getur í 5. mgr. 36. gr., sé slíkrar fyrirframheimildar krafist samkvæmt lögum aðildarríkisins,
d) heimild til að gefa út álit og samþykkja drög að hátternisreglum skv. 5. mgr. 40. gr.,
e) heimild til að faggilda vottunaraðila skv. 43. gr.,
f) heimild til að gefa út vottanir og samþykkja viðmiðanir fyrir vottun í samræmi við 5. mgr. 42. gr.,
g) heimild til að samþykkja stöðluð ákvæði um persónuvernd sem um getur í 8. mgr. 28. gr. og d-lið 2. mgr. 46. gr.,
h) heimild til að leyfa samningsákvæði sem um getur í a-lið 3. mgr. 46. gr.,
i) heimild til að leyfa stjórnvaldsráðstafanir sem um getur í b-lið 3. mgr. 46. gr.,
j) heimild til að samþykkja bindandi fyrirtækjareglur skv. 47. gr.
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
VII. kafli. Samstarf og samræming
1. þáttur Samstarf
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
a) viðfangsefni beiðninnar eða þær ráðstafanir, sem óskað er eftir að yfirvaldið grípi til, falli ekki undir heimildir þess eða
b) það að verða við beiðninni myndi brjóta í bága við þessa reglugerð eða lög Sambandsins eða lög aðildarríkis sem eftirlitsyfirvaldið, sem beiðninni er beint til, heyrir undir.
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
2. þáttur Samræmi
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
a) miðar að samþykkt skrár yfir vinnsluaðgerðir sem falla undir kröfu um mat á áhrifum á persónuvernd skv. 4. mgr. 35. gr.,
b) varðar málefni skv. 7. mgr. 40. gr. um það hvort drög að hátternisreglum, eða breytingar eða útvíkkun hátternisreglna, samrýmast þessari reglugerð,
c) miðar að samþykkt krafna varðandi faggildingu aðila skv. 3. mgr. 41. gr., vottunaraðila skv. 3. mgr. 43. gr. eða viðmiðana um faggildingu sem um getur í 5. mgr. 42. gr.,
d) miðar að ákvörðun staðlaðra ákvæða um persónuvernd sem um getur í d-lið 2. mgr. 46. gr. og 8. mgr. 28. gr.,
e) miðar að því að heimila samningsákvæði sem um getur í a-lið 3. mgr. 46. gr. eða
f) miðar að samþykkt bindandi fyrirtækjareglna í skilningi 47. gr.
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
a) fulltrúum í persónuverndarráðinu og framkvæmdastjórninni um allar viðeigandi upplýsingar sem því hafa verið sendar á stöðluðu sniði. Skrifstofa persónuverndarráðsins skal, ef nauðsyn krefur, láta þýða viðeigandi upplýsingar og
b) eftirlitsyfirvaldinu, sem um getur í 1. og 2. mgr., eftir því sem við á, og framkvæmdastjórninni um álitið og birta það.
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
a) ef hlutaðeigandi eftirlitsyfirvald hefur, í því tilviki sem um getur í 4. mgr. 60. gr., haft uppi viðeigandi og rökstudd andmæli gegn drögum að ákvörðun forystueftirlitsyfirvaldsins og forystueftirlitsyfirvaldið hefur ekki fylgt andmælunum eða hefur hafnað slíkum andmælum þar sem þau séu ekki viðeigandi eða rökstudd. Þessi bindandi ákvörðun skal ná yfir öll málefni sem fjallað er um í þessum viðeigandi og rökstuddu andmælum, einkum hvort um er að ræða brot gegn þessari reglugerð,
b) ef ágreiningur er uppi um hvert af hlutaðeigandi eftirlitsyfirvöldum telst vera lögbært að því er varðar höfuðstöðvarnar,
c) ef lögbært eftirlitsyfirvald óskar ekki eftir áliti persónuverndarráðsins í tilvikum sem um getur í 1. mgr. 64. gr. eða fylgir ekki áliti sem persónuverndarráðið hefur gefið út skv. 64. gr. Í því tilviki getur hlutaðeigandi eftirlitsyfirvald eða framkvæmdastjórnin vísað málinu til persónuverndarráðsins.
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
Þessar framkvæmdargerðir skulu samþykktar í samræmi við rannsóknarmálsmeðferðina sem um getur í 2. mgr. 93. gr.
3. þáttur Evrópska persónuverndarráðið
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
a) fylgjast með og tryggja rétta beitingu þessarar reglugerðar í tilvikum sem kveðið er á um í 64. og 65. gr., án þess að það hafi áhrif á verkefni landsbundinna eftirlitsyfirvalda,
b) veita framkvæmdastjórninni ráðgjöf um hvers kyns mál er tengjast vernd persónuupplýsinga í Sambandinu, m.a. varðandi tillögur að breytingum á þessari reglugerð,
c) veita framkvæmdastjórninni ráðgjöf um snið og aðferðir við upplýsingaskipti milli ábyrgðaraðila, vinnsluaðila og eftirlitsyfirvalda að því er varðar bindandi fyrirtækjareglur,
d) gefa út viðmiðunarreglur, tilmæli og bestu starfsvenjur í tengslum við verklag við að afmá tengla, afrit eða eftirmyndir af persónuupplýsingum hjá fjarskiptaþjónustu sem er aðgengileg almenningi, eins og um getur í 2. mgr. 17. gr.,
e) kanna, að eigin frumkvæði, að beiðni fulltrúa síns eða framkvæmdastjórnarinnar, hvers kyns álitaefni sem varða beitingu þessarar reglugerðar og gefa út viðmiðunarreglur, tilmæli og bestu starfsvenjur til þess að hvetja til samræmdrar beitingar hennar,
f) gefa út viðmiðunarreglur, tilmæli og bestu starfsvenjur í samræmi við e-lið þessarar málsgreinar til að tilgreina nánar viðmiðanir og skilyrði fyrir ákvörðunum sem byggðar eru á gerð persónusniðs skv. 2. mgr. 22. gr.,
g) gefa út viðmiðunarreglur, tilmæli og bestu starfsvenjur í samræmi við e-lið þessarar málsgreinar að því er varðar staðfestingu á öryggisbresti við meðferð persónuupplýsinga og ákvörðun ótilhlýðilegrar tafar sem um getur í 1. og 2. mgr. 33. gr. og þær tilteknu aðstæður þegar ábyrgðaraðili eða vinnsluaðili verður að tilkynna um slíkan öryggisbrest við meðferð persónuupplýsinga,
h) gefa út viðmiðunarreglur, tilmæli og bestu starfsvenjur í samræmi við e-lið þessarar málsgreinar að því er varðar aðstæður þegar líklegt er að öryggisbrestur við meðferð persónuupplýsinga leiði af sér mikla áhættu fyrir réttindi og frelsi þeirra einstaklinga sem um getur í 1. mgr. 34. gr.,
i) gefa út viðmiðunarreglur, tilmæli og bestu starfsvenjur í samræmi við e-lið þessarar málsgreinar að því er varðar nánari tilgreiningu á viðmiðunum og kröfum varðandi miðlun persónuupplýsinga á grundvelli bindandi fyrirtækjareglna sem ábyrgðaraðilar hlíta og bindandi fyrirtækjareglna sem vinnsluaðilar hlíta og frekari kröfum sem nauðsynlegar eru til að tryggja vernd persónuupplýsinga þeirra hlutaðeigandi skráðu einstaklinga sem um getur í 47. gr.,
j) gefa út viðmiðunarreglur, tilmæli og bestu starfsvenjur í samræmi við e-lið þessarar málsgreinar í þeim tilgangi að tilgreina nánar viðmiðanir og skilyrði varðandi miðlun persónuupplýsinga skv. 1. mgr. 49. gr.,
k) semja viðmiðunarreglur fyrir eftirlitsyfirvöld um beitingu þeirra ráðstafana sem um getur í 1., 2. og 3. mgr. 58. gr. og álagningu stjórnsýslusekta skv. 83. gr.,
l) endurskoða beitingu viðmiðunarreglna, tilmæla og bestu starfsvenja,
m) gefa út viðmiðunarreglur, tilmæli og bestu starfsvenjur í samræmi við e-lið þessarar málsgreinar til að koma á sameiginlegri málsmeðferð að því er varðar tilkynningar einstaklinga um brot gegn ákvæðum þessarar reglugerðar skv. 2. mgr. 54. gr.,
n) hvetja til þess að samdar verði hátternisreglur og að komið verði á vottunarfyrirkomulagi vegna persónuverndar og persónuverndarinnsigla og -merkja skv. 40. og 42. gr.,
o) samþykkja viðmiðanir vegna vottunar skv. 5. mgr. 42. gr. og halda opinbera skrá yfir vottunarfyrirkomulag og persónuverndarinnsigli og -merki skv. 8. mgr. 42. gr. og vottaða ábyrgðaraðila eða vinnsluaðila með staðfestu í þriðju löndum skv. 7. mgr. 42. gr.,
p) samþykkja kröfurnar, sem um getur í 3. mgr. 43. gr., að því er varðar faggildingu vottunaraðila sem um getur í 43. gr.,
q) láta framkvæmdastjórninni í té álitsgerð um vottunarkröfurnar sem um getur í 8. mgr. 43. gr.,
r) láta framkvæmdastjórninni í té álitsgerð um táknmyndirnar sem um getur í 7. mgr. 12. gr.,
s) láta framkvæmdastjórninni í té álitsgerð vegna mats á því hvort vernd sé fullnægjandi í þriðja landi eða hjá alþjóðastofnun, einnig vegna mats á því hvort þriðja land, yfirráðasvæði eða einn eða fleiri tilgreindir geirar innan umrædds þriðja lands eða alþjóðastofnun tryggi ekki lengur fullnægjandi vernd. Í því skyni skal framkvæmdastjórnin láta persónuverndarráðinu í té öll nauðsynleg gögn, þ.m.t. bréfaskipti við ríkisstjórn þriðja landsins að því er varðar umrætt þriðja land, yfirráðasvæði eða tilgreindan geira, eða við alþjóðastofnunina,
t) leggja fram álit varðandi drög að ákvörðunum eftirlitsyfirvalda samkvæmt samræmingarkerfinu sem um getur í 1. mgr. 64. gr., málefni, sem lögð eru fram skv. 2. mgr. 64. gr., og gefa út bindandi ákvarðanir skv. 65. gr., m.a. í þeim tilvikum sem um getur í 66. gr.,
u) stuðla að samvinnu og skilvirkum tvíhliða og marghliða skiptum á upplýsingum og bestu starfsvenjum milli eftirlitsyfirvaldanna,
v) stuðla að sameiginlegum þjálfunaráætlunum og greiða fyrir starfsmannaskiptum milli eftirlitsyfirvalda og, ef við á, gagnvart eftirlitsyfirvöldum þriðju landa eða alþjóðastofnunum,
w) stuðla að skiptum á þekkingu og gögnum um persónuverndarlöggjöf og starfsvenjur við eftirlitsyfirvöld á sviði persónuverndar um heim allan,
x) gefa út álit um hátternisreglur sem eru samdar á vettvangi Sambandsins skv. 9. mgr. 40. gr. og
y) halda rafræna skrá, sem er aðgengileg almenningi, yfir ákvarðanir sem eftirlitsyfirvöld og dómstólar taka um mál sem tekin eru til meðferðar í samræmingarkerfinu.
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
a) boða til funda í persónuverndarráðinu og undirbúa fundardagskrá,
b) tilkynna forystueftirlitsyfirvaldinu og hlutaðeigandi eftirlitsyfirvöldum um ákvarðanir sem persónuverndarráðið samþykkir skv. 65. gr.,
c) tryggja tímanlega framkvæmd verkefna persónuverndarráðsins, einkum að því er varðar samræmingarkerfið sem um getur í 63. gr.
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
a) daglegum rekstri persónuverndarráðsins,
b) samskiptum milli fulltrúa í persónuverndarráðinu, formanns þess og framkvæmdastjórnarinnar,
c) samskiptum við aðrar stofnanir og við almenning,
d) notkun rafrænna miðla fyrir innri og ytri samskipti,
e) þýðingum á viðeigandi upplýsingum,
f) undirbúningi fyrir fundi persónuverndarráðsins og eftirfylgni í kjölfar þeirra,
g) undirbúningi, gerð og birtingu álitsgerða, ákvarðana um lausn deilumála milli eftirlitsyfirvalda og annars texta sem persónuverndarráðið samþykkir.
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
VIII. kafli. Úrræði, bótaábyrgð og viðurlög
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
a) þess hvers eðlis, hversu alvarlegt og hversu langvarandi brotið er, með tilliti til eðlis, umfangs eða tilgangs vinnslunnar sem um er að ræða og fjölda skráðra einstaklinga sem urðu fyrir því og hversu alvarlegu tjóni þeir urðu fyrir,
b) þess hvort brotið var framið af ásetningi eða af gáleysi,
c) aðgerða sem ábyrgðaraðilinn eða vinnsluaðilinn hefur gripið til í því skyni að draga úr tjóni skráðra einstaklinga,
d) þess hversu mikla ábyrgð ábyrgðaraðili eða vinnsluaðili ber með tilliti til tæknilegra og skipulagslegra ráðstafana sem hann hefur komið til framkvæmda skv. 25. og 32. gr.,
e) fyrri brota ábyrgðaraðila eða vinnsluaðila sem máli skipta, ef einhver eru,
f) umfangs samvinnu við eftirlitsyfirvaldið til þess að bæta úr brotinu og draga úr mögulegum, skaðlegum áhrifum þess,
g) þess hvaða flokka persónuupplýsinga brotið hafði áhrif á,
h) þess með hvaða hætti eftirlitsyfirvaldinu var gert kunnugt um brotið, einkum hvort, og þá að hvaða leyti, ábyrgðaraðili eða vinnsluaðili tilkynnti um brotið,
i) fylgni við ráðstafanir, sem um getur í 2. mgr. 58. gr., ef áður hefur verið mælt fyrir um slíkar ráðstafanir gegn hlutaðeigandi ábyrgðaraðila eða vinnsluaðila að því er varðar sama efni,
j) fylgni við viðurkenndar hátternisreglur skv. 40. gr. eða viðurkennt vottunarfyrirkomulag skv. 42. gr. og
k) annarra íþyngjandi eða mildandi þátta sem varða kringumstæður málsins, s.s. hagnaðar sem fékkst eða taps sem komist var hjá, með beinum eða óbeinum hætti, vegna brotsins.
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
a) skyldum ábyrgðaraðila og vinnsluaðila skv. 8. gr., 11. gr., 25.–39. gr. og 42.–43. gr.,
b) skyldum vottunaraðila skv. 42. og 43. gr.,
c) skyldum eftirlitsaðila skv. 4. mgr. 41. gr.
![](/lagas/hk.jpg)
a) grundvallarreglum um vinnslu, þ.m.t. skilyrðum fyrir samþykki, skv. 5., 6., 7. og 9. gr.,
b) réttindum skráðra einstaklinga skv. 12.–22. gr.,
c) miðlun persónuupplýsinga til viðtakanda í þriðja landi eða alþjóðastofnunar skv. 44.–49. gr.,
d) skyldum samkvæmt lögum aðildarríkis sem samþykkt eru skv. IX. kafla,
e) ekki er farið að fyrirmælum eða tímabundinni eða varanlegri takmörkun á vinnslu eða tímabundinni stöðvun gagnaflæðis af hálfu eftirlitsyfirvaldsins skv. 2. mgr. 58. gr. eða ekki er farið að skyldu til að veita aðgang skv. 1. mgr. 58. gr.
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
IX. kafli. Ákvæði sem varða sérstakar vinnsluaðstæður
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
X. kafli. Framseldar gerðir og framkvæmdargerðir
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
XI. kafli. Lokaákvæði
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
a) V. kafla um miðlun persónuupplýsinga til þriðju landa eða alþjóðastofnana, með sérstöku tilliti til ákvarðana sem samþykktar eru skv. 3. mgr. 45. gr. þessarar reglugerðar og ákvarðana sem eru samþykktar á grundvelli 6. mgr. 25. gr. tilskipunar 95/46/EB,
b) VII. kafla um samstarf og samræmingu.
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/sk.jpg)
![](/lagas/hk.jpg)
![](/lagas/hk.jpg)
Reglugerð þessi er bindandi í heild sinni og gildir í öllum aðildarríkjunum án frekari lögfestingar.