(1)

Nařízení (EU) 2016/679 stanoví pravidla pro předávání osobních údajů ze strany správců nebo zpracovatelů v Unii do třetích zemí a mezinárodním organizacím v rozsahu, v jakém toto předávání spadá do oblasti působnosti uvedeného nařízení. Pravidla pro mezinárodní předávání údajů stanoví kapitola V (články 44 až 50) uvedeného nařízení. Jakkoli je tok osobních údajů do zemí a mezinárodních organizací mimo Unii a z těchto zemí a organizací nezbytný pro rozvoj přeshraničního obchodu a mezinárodní spolupráce, úroveň ochrany osobních údajů poskytovaná v Unii nesmí být předáváním těchto údajů do třetích zemí a mezinárodním organizacím oslabována (2).

(2)

Podle čl. 45 odst. 3 nařízení (EU) 2016/679 může Komise prostřednictvím prováděcího aktu rozhodnout, že určitá třetí země, určité území či jedno nebo více konkrétních odvětví v určité třetí zemi nebo určitá mezinárodní organizace zajišťuje odpovídající úroveň ochrany. Za této podmínky se předávání osobních údajů určité mezinárodní organizaci může uskutečnit bez nutnosti získat jakékoli další povolení, jak stanoví čl. 45 odst. 1 a 103. bod odůvodnění nařízení (EU) 2016/679.

(3)

Podle čl. 45 odst. 2 nařízení (EU) 2016/679 musí přijetí rozhodnutí o odpovídající ochraně vycházet z komplexní analýzy právního režimu dané mezinárodní organizace, a to jak z hlediska pravidel použitelných pro dovozce údajů, tak z hlediska omezení a záruk vztahujících se k přístupu orgánů veřejné moci k osobním údajům. Při tomto posouzení musí Komise určit, zda daná mezinárodní organizace zaručuje úroveň ochrany „v zásadě rovnocennou“ úrovni ochrany zajištěné v Unii (3). Standard, vůči němuž je „zásadní rovnocennost“ posuzována, je stanoven právními předpisy Unie, a to zejména nařízením (EU) 2016/679, jakož i judikaturou Soudního dvora Evropské unie (4). V tomto ohledu je důležitý také „referenční rámec pro odpovídající ochranu“ Evropského sboru pro ochranu osobních údajů (EDPB), který tento standard dále objasňuje a poskytuje k němu pokyny (5).

(4)

Jak upřesnil Soudní dvůr, od třetí země nebo mezinárodní organizace nelze požadovat, aby zajistila stejnou úroveň ochrany, jaká je zaručena v právním řádu Unie (6). Zejména se mohou lišit prostředky, které dotyčná třetí země nebo mezinárodní organizace využívá k ochraně osobních údajů, od prostředků zavedených v Unii, pokud se v praxi ukážou jako účinné k zajištění odpovídající úrovně ochrany (7). Standard odpovídající ochrany tedy nevyžaduje opakování pravidel Unie slovo od slova. Kritériem je spíše to, zda požadovanou úroveň ochrany zaručuje zahraniční systém jako celek prostřednictvím podstaty záruk práva na soukromí a ochrany údajů (včetně jejich účinného uplatňování, dozoru nad nimi a prosazování), jakož i prostřednictvím okolností předávání osobních údajů (8).

(5)

Komise analyzovala právní rámec a praxi Evropské patentové organizace. Na základě zjištění uvedených v 7. až 100. bodě odůvodnění dospěla Komise k závěru, že Evropská patentová organizace zajišťuje odpovídající úroveň ochrany osobních údajů předávaných v rámci oblasti působnosti nařízení (EU) 2016/679 z Unie Evropské patentové organizaci.

(6)

Na základě tohoto rozhodnutí mohou správci a zpracovatelé v Unii předávat údaje Evropské patentové organizaci, aniž by bylo nutné získat další povolení. Tímto rozhodnutím by nemělo být dotčeno přímé uplatňování nařízení (EU) 2016/679 na tyto subjekty, jsou-li splněny podmínky týkající se místní působnosti uvedeného nařízení, stanovené v jeho článku 3.

(7)

Evropská patentová organizace je mezivládní organizace, která byla zřízena dne 7. října 1977 na základě Evropské patentové úmluvy (EPC). Organizace sídlí v Mnichově a má 39 smluvních států, mezi něž patří všechny členské státy Unie, Island, Norsko a Lichtenštejnsko, jakož i Albánie, Severní Makedonie, Monako, San Marino, Srbsko, Švýcarsko, Černá Hora, Spojené království a Turecko (9).

(8)

Organizace má právní subjektivitu (10) a skládá se ze dvou orgánů (11): Evropského patentového úřadu (dále jen „úřad“) a správní rady. Hlavním úkolem Evropské patentové organizace je udělování evropských patentů (12) v souladu s úmluvou EPC, které provádí úřad pod dohledem správní rady. Správní rada se skládá ze zástupců smluvních států a vykonává legislativní pravomoci Evropské patentové organizace. Odpovídá také za politické otázky a dohlíží na činnost úřadu (13). V čele úřadu, který působí jako výkonný orgán Evropské patentové organizace, stojí prezident (dále jen „prezident“) (14), který úřad řídí a je odpovědný správní radě (15). Prezident mimo jiné připravuje a provádí rozpočet úřadu, jmenuje jeho zaměstnance, dohlíží na ně a vykonává nad nimi disciplinární pravomoc, zajišťuje fungování úřadu, včetně přijímání vnitřních administrativních pokynů a informování veřejnosti, a může předkládat správní radě návrhy na změnu úmluvy, obecných předpisů nebo rozhodnutí, které spadají do její pravomoci (16). Úřad se skládá z různých útvarů, včetně přijímacího oddělení, právního oddělení, průzkumového a odporového oddělení a stížnostních senátů (interních nezávislých orgánů, u nichž lze napadnout rozhodnutí přijatá Evropskou patentovou organizací v rámci řízení o udělení patentu) (17).

(9)

Při plnění svých úkolů získává Evropská patentová organizace osobní údaje od řady různých subjektů v Unii. Evropské patentové přihlášky (18) jsou Evropské patentové organizaci průběžně podávány přihlašovateli patentů nebo předávány národními patentovými úřady členských států (19). Evropská patentová organizace rovněž přijímá a zpracovává osobní údaje v souvislosti s úkoly, které jí byly svěřeny nařízením Evropského parlamentu a Rady (EU) č. 1257/2012 (20). Mezi tyto úkoly patří přijímání a posuzování žádostí o jednotný účinek evropských patentů, výběr ročních poplatků a zápis jednotného účinku (21). V této souvislosti Evropská patentová organizace také přijímá žádosti související se stížnostmi, které projednávají stížnostní senáty (22), od Jednotného patentového soudu (UPC), jež mohou obsahovat osobní údaje nezbytné k identifikaci příslušné věci (23).

(10)

Podobně Evropská patentová organizace získává osobní údaje obsažené v mezinárodních patentových přihláškách, jedná-li podle Smlouvy o patentové spolupráci, což je mezinárodní smlouva, která přihlašovatelům umožňuje získat patenty s účinky pro všechny smluvní státy uvedené smlouvy (24). Evropská patentová organizace působí jako orgán pro mezinárodní rešerši podle Smlouvy o patentové spolupráci a v této funkci přezkoumává patentovatelnost vynálezů zveřejněných v mezinárodních přihláškách, což přihlašovatelům pomáhá rozhodnout, zda podat přihlášku k věcnému přezkumu na národní či unijní úrovni (25).

(11)

Kromě toho Evropská patentová organizace úzce spolupracuje s národními patentovými úřady ve všech členských státech v rámci Evropské patentové sítě a v této souvislosti si s nimi vyměňuje osobní údaje, například při poskytování školení a IT služeb na podporu a posílení spolupráce v rámci úmluvy EPC. Podobně uzavřela s členskými státy dvoustranné dohody o spolupráci, které zahrnují výměnu osobních údajů, například v souvislosti se zřizováním pracovních skupin, vysíláním a nasazováním technických odborníků atd. Také úzce spolupracuje s Úřadem Evropské unie pro duševní vlastnictví (EUIPO), například tím, že pořádá společná školení a akce na zvyšování informovanosti a vysílá odborníky.

(12)

Evropská patentová organizace má smlouvy s několika poskytovateli služeb v Unii, kteří působí jako zpracovatelé ve smyslu čl. 4 bodu 8 nařízení (EU) 2016/679 a předávají organizaci osobní údaje.

(13)

Primární právní předpis, jímž se řídí činnost Evropské patentové organizace, představuje mezinárodní smlouva, tj. Evropská patentová úmluva, a pokud Evropská patentová organizace jedná podle Smlouvy o patentové spolupráci, pak tato smlouva. Na druhém stupni hierarchie norem použitelných pro Evropskou patentovou organizaci jsou právní akty přijaté správní radou nebo, jde-li o Smlouvu o patentové spolupráci, Shromážděním dle této smlouvy. Sekundární právní úprava Evropské patentové organizace zahrnuje prováděcí předpis k úmluvě EPC a tzv. služební řád (který upravuje aspekty týkající se zaměstnanců organizace, včetně jejich práv a povinností) (26). Právo na ochranu osobních údajů je stanoveno v článku 1B služebního řádu (27), který rovněž obsahuje některá základní ustanovení rámce ochrany údajů pro Evropskou patentovou organizaci, tedy ustanovení týkající se oblasti působnosti rámce ochrany údajů, ochrany zvláštních kategorií údajů a výkonu práv fyzickými osobami. V čl. 2 odst. 1 a článku 32A služebního řádu jsou zřízeny nezávislé mechanismy dohledu (pověřenec pro ochranu osobních údajů a rada pro ochranu údajů), které dohlížejí na dodržování pravidel ochrany údajů (28).

(14)

Stejné základní požadavky na ochranu osobních údajů se vztahují na správní radu a úřad, jakož i na všechny jejich útvary. Zpracování osobních údajů úřadem se řídí zejména prováděcími pravidly k článkům 1B a 32A služebního řádu pro stálé a ostatní zaměstnance Evropského patentového úřadu v oblasti ochrany osobních údajů (dále jen „pravidla ochrany údajů“), která přijala správní rada (29). Zpracování osobních údajů správní radou se řídí pravidly ochrany údajů správní rady, na něž se obdobně vztahují pravidla ochrany údajů (30). Pokud toto rozhodnutí odkazuje na pravidla ochrany údajů, odkazy zahrnují odpovídající požadavky, které se vztahují na správní radu, její sekretariát a výbory. Struktura a obsah pravidel ochrany údajů jsou úzce sladěny s rámcem Unie pro ochranu údajů (31). Zejména mají mnoho společných rysů s nařízením Evropského parlamentu a Rady (EU) 2018/1725 (32), které stanoví požadavky na ochranu údajů pro orgány a subjekty Unie, a je tedy dobře přizpůsobeno specifické struktuře a prvkům mezinárodních organizací, přičemž věrně odráží nařízení (EU) 2016/679.

(15)

Pokud jde o zpracování údajů úřadem, prezident vydal další právně závazné nástroje, jako jsou oběžníky, rozhodnutí a interní správní pokyny (33). Pravidla ochrany údajů doplňuje zejména rozhodnutí prezidenta ze dne 13. prosince 2021 o zpracování osobních údajů v řízení o udělení patentu a souvisejících řízeních (34), rozhodnutí ze dne 7. prosince 2022 o zpracování osobních údajů v řízeních týkajících se evropských patentů s jednotným účinkem (35), rozhodnutí ze dne 17. listopadu 2022 o zemích a subjektech, u nichž se má za to, že zajišťují odpovídající ochranu osobních údajů (36), rozhodnutí ze dne 2. května 2024, kterým se určují provozní jednotky úřadu působící jako pověření správci (37), a oběžník č. 420, kterým se provádí článek 25 pravidel ochrany údajů, týkající se omezení práv subjektů údajů (38). Konkrétně u zpracování údajů v rámci řízení o udělení patentu je důležité poznamenat, že požadavky na zpracování osobních údajů stanovené přímo v úmluvě EPC a Smlouvě o patentové spolupráci mají přednost před pravidly ochrany údajů. Vzájemný vztah mezi úmluvou EPC a Smlouvou o patentové spolupráci na jedné straně a pravidly ochrany údajů na straně druhé je objasněn v rozhodnutí o zpracování osobních údajů v řízení o udělení patentu a souvisejících řízeních (39) a v rozhodnutí o zpracování osobních údajů v řízeních týkajících se evropských patentů s jednotným účinkem. Konkrétní požadavky na ochranu údajů vyplývající přímo z úmluvy EPC a Smlouvy o patentové spolupráci jsou posouzeny v 55. až 59. bodě odůvodnění. Pravidla ochrany údajů a jejich doplňující nástroje jsou právně závazné a vymahatelné a fyzické osoby se jich mohou dovolávat prostřednictvím nezávislých nápravných mechanismů, jak je popsáno v 89. až 96. bodě odůvodnění.

(16)

Pravidla stanovená v právních nástrojích uvedených v 15. bodě odůvodnění jsou dále prováděna v nástrojích vydaných pověřencem pro ochranu osobních údajů (viz 83. až 88. bod odůvodnění) (40), které se vztahují na správní radu a úřad, jakož i na všechny jejich útvary (41).

(17)

Podle pravidel ochrany údajů a služebního řádu (42) jsou všichni zaměstnanci Evropské patentové organizace povinni při zpracovávání osobních údajů dodržovat pravidla ochrany údajů. Věcnou a osobní působnost pravidel ochrany údajů určují pojmy „osobní údaje“, „zpracování“, „správce“, „pověřený správce“ a „zpracovatel“, jež jsou v nich definovány.

(18)

Definice pojmů „osobní údaje“ a „zpracování“ v pravidlech ochrany údajů jsou totožné s definicemi v nařízení (EU) 2016/679 (43). Pravidla ochrany údajů se vztahují na veškeré zpracování osobních údajů Evropskou patentovou organizací bez ohledu na to, zda se toto zpracování týká osobních údajů jejích zaměstnanců, nebo údajů jiných osob (44). Údaje, které prošly pseudonymizací (45), se rovněž považují za osobní údaje, zatímco s údaji o zemřelých osobách či právnických osobách nebo anonymními informacemi (46) se podle pravidel ochrany údajů jako s osobními údaji nezachází (47).

(19)

Pravidla ochrany údajů se vztahují na zpracování osobních údajů Evropskou patentovou organizací, které je zcela nebo částečně automatizované, a na neautomatizované zpracování těch osobních údajů, které jsou obsaženy v evidenci nebo do ní mají být zařazeny (48).

(20)

Pravidla ochrany údajů definují „správce“ jako „subjekt, konkrétně Evropský patentový úřad, který sám nebo společně s jinými určuje účel a prostředky zpracování osobních údajů“ (49). Prezident v zásadě jedná jako správce operací zpracování údajů prováděných úřadem (50). Totéž platí pro správní radu (kde jako správce jedná předseda), stížnostní senáty v rámci jejich soudní pravomoci (kde jako správce jedná jejich předseda (51)) a užší výbor (kde jako správce jedná předseda (52)). Správce může touto pravomocí pověřit provozní jednotky, které zastupuje vyšší vedoucí pracovník (53). V těchto případech jednají provozní jednotky jako „pověření správci“ (54), kteří definují účel (například důvod, odůvodnění a provozní potřeby), prostředky operace zpracování a zajišťují, aby všechny operace zpracování týkající se osobních údajů byly v souladu s ustanoveními pravidel ochrany údajů (55). V takových případech zůstává správce odpovědný za zpracování osobních údajů. Pravidla ochrany údajů rovněž stanoví možnost „společného správcovství“, kdy správce určuje účel a prostředky zpracování společně s jedním či více správci mimo Evropskou patentovou organizaci (56).

(21)

Definice „zpracovatele“ v pravidlech ochrany údajů je totožná s definicí v čl. 4 bodě 8 nařízení (EU) 2016/679, je jím tedy fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jakýkoli jiný subjekt, který zpracovává osobní údaje pro správce (57). Správce smí využívat pouze zpracovatele, kteří poskytují dostatečné záruky, že budou zavedena vhodná technická a organizační opatření, aby bylo zajištěno, že zpracování splňuje požadavky pravidel ochrany údajů (58). Vztah mezi správcem a zpracovatelem musí být upraven smlouvou nebo právním aktem, který je pro zpracovatele závazný a mimo jiné stanoví předmět, dobu trvání, povahu a účel zpracování (59). Zpracovatel smí údaje zpracovávat pouze na základě zdokumentovaných pokynů správce. Zpracovatel je povinen být správci nápomocen při plnění jeho povinností podle pravidel ochrany údajů. Zpracovatel nesmí zapojit dílčí zpracovatele bez předchozího souhlasu správce (60). Pověřeným správcům je k dispozici standardní dohoda o zpracování údajů (61). Navíc, pokud se zpracovatel nachází ve třetí zemi, musí jakékoli sdílení osobních údajů s tímto zpracovatelem rovněž splňovat požadavky pravidel ochrany údajů na mezinárodní předávání, jak je popisuje 68. až 73. bod odůvodnění tohoto rozhodnutí (62).

(22)

Osobní údaje by měly být zpracovávány zákonným a korektním způsobem.

(23)

Tyto obecné zásady jsou stanoveny v čl. 4 odst. 2 písm. a) pravidel ochrany údajů způsobem, který lze považovat za totožný s čl. 5 odst. 1 písm. a) nařízení (EU) 2016/679.

(24)

Zásada zákonnosti je dále rozvedena v článku 5 pravidel ochrany údajů, který uvádí právní důvody, na jejichž základě lze osobní údaje zpracovávat. Těmito právními důvody jsou: a) nezbytnost provést úkol při výkonu úřední činnosti Evropské patentové organizace (63) nebo při oprávněném výkonu veřejné moci svěřené správci, což zahrnuje zpracování nezbytné pro řízení a fungování úřadu (64), b) nutnost splnit právní povinnost, která se vztahuje na správce (například zveřejnit informace uvedené v patentové přihlášce v evropském patentovém rejstříku) (65), c) nezbytnost zpracování pro splnění smlouvy, jejíž smluvní stranou je subjekt údajů, nebo k provedení kroků na žádost tohoto subjektu údajů před uzavřením smlouvy, d) souhlas subjektu údajů nebo e) nezbytnost pro ochranu životně důležitých zájmů subjektu údajů nebo jiné fyzické osoby.

(25)

Souhlas je v pravidlech ochrany údajů definován stejným způsobem jako v nařízení (EU) 2016/679, tedy jako „jakýkoli svobodný, konkrétní, informovaný a jednoznačný projev vůle, kterým subjekt údajů dává prohlášením či jiným zjevným potvrzením své svolení ke zpracování svých osobních údajů“ (66). Je na správci, aby prokázal, že subjekt údajů souhlas poskytl (67). Při posuzování skutečnosti, zda je souhlas svobodný, by se mělo zohlednit, zda je plnění smlouvy podmíněno souhlasem se zpracováním údajů, které není pro plnění dané smlouvy nutné (68). Souhlas nelze považovat za svobodný, pokud subjekt údajů nemá skutečnou nebo svobodnou volbu nebo nemůže souhlas odmítnout či odvolat, aniž by byl poškozen (69). Pro zajištění informovanosti souhlasu nadto pravidla ochrany údajů požadují, aby subjekt údajů znal alespoň totožnost správce a účely zpracování, k nimž jsou osobní údaje určeny (70). A konečně, subjekt údajů má právo svůj souhlas kdykoli odvolat (71).

(26)

Pokud se zpracovávají „zvláštní kategorie“ údajů, měly by existovat zvláštní záruky.

(27)

Pravidla ochrany údajů obsahují zvláštní ustanovení týkající se zpracování zvláštních kategorií osobních údajů (72), které jsou definovány stejně jako v nařízení (EU) 2016/679, tedy jako „osobní údaje vypovídající o rasovém či etnickém původu, politických názorech, náboženském vyznání či filozofickém přesvědčení nebo členství v odborech, genetické údaje (73) či biometrické údaje (74) za účelem jedinečné identifikace fyzické osoby a údaje o zdravotním stavu (75) nebo údaje o sexuálním životě či sexuální orientaci fyzické osoby“ (76). Podle pravidel ochrany údajů je zpracování zvláštních kategorií údajů v zásadě zakázáno, ledaže se uplatní konkrétní výjimka (77).

(28)

Konkrétní výjimky uvedené v čl. 11 odst. 2 pravidel ochrany údajů se podobají výjimkám v čl. 9 odst. 2 a 3 nařízení (EU) 2016/679, s několika úpravami přizpůsobenými právnímu rámci, v němž Evropská patentová organizace působí. Zpracování zvláštních kategorií osobních údajů je povoleno pouze za konkrétních a omezených okolností (78), tj. pokud 1) subjekt údajů udělil výslovný souhlas, 2) zpracování je nezbytné k ochraně životně důležitých zájmů fyzické osoby (v případě, že subjekt údajů není fyzicky nebo právně způsobilý udělit výslovný souhlas), 3) osobní údaje jsou zjevně zveřejněny subjektem údajů, 4) zpracování je nezbytné pro konkrétní účel související s výkonem úřední činnosti Evropské patentové organizace nebo při výkonu oprávněné pravomoci svěřené správci (79) nebo 5) zpracování je nezbytné pro určení, výkon nebo obhajobu právních nároků.

(29)

Kromě zvláštních kategorií osobních údajů uvedených ve 27. bodě odůvodnění vyžadují pravidla ochrany údajů rovněž zvláštní ochranu pro zpracování osobních údajů týkajících se rozsudků v trestních věcech a trestných činů, tj. povolují toto zpracování pouze po předchozí konzultaci s radou pro ochranu údajů nebo v případě, že zpracování vyžaduje právně závazný nástroj, který stanoví vhodné záruky práv a svobod osob (80).

(30)

Osobní údaje by měly být zpracovávány pro konkrétní účel a následně používány, pouze pokud to není neslučitelné s účelem zpracování.

(31)

Tato zásada je zajištěna ustanovením čl. 4 odst. 2 písm. b) pravidel ochrany údajů, podle něhož musí být osobní údaje „shromažďovány pro konkrétní, výslovně vyjádřené a legitimní účely a nesmí být dále zpracovávány způsobem, který je s těmito účely neslučitelný“.

(32)

Pravidla ochrany údajů podobně jako nařízení (EU) 2016/679 umožňují další zpracování (bez ohledu na slučitelnost účelu dalšího zpracování s původním účelem) na základě výslovného souhlasu subjektu údajů nebo podle platných právních předpisů Evropské patentové organizace (81). V druhém případě pravidla ochrany údajů vyžadují, že zpracování musí být nezbytným a přiměřeným opatřením k zajištění cíle obecného veřejného zájmu (82).

(33)

Jestliže další zpracování není založeno na těchto dvou důvodech, pravidla ochrany údajů stanoví faktory, které je třeba zohlednit při posuzování slučitelnosti účelu dalšího zpracování s účelem, pro nějž byly osobní údaje původně shromážděny (83). Tento přístup a faktory uvedené v pravidlech ochrany údajů jsou totožné s těmi, které jsou uvedeny v čl. 6 odst. 4 nařízení (EU) 2016/679 a článku 6 nařízení (EU) 2018/1725 (84).

(34)

Osobní údaje by měly být přesné a v nezbytných případech by se měly aktualizovat. Měly by být také přiměřené, relevantní a omezené na nezbytný rozsah ve vztahu k účelům, pro které jsou zpracovávány, a v zásadě by se neměly uchovávat déle, než je nezbytné pro účely, k nimž jsou dané osobní údaje zpracovávány.

(35)

Tyto zásady jsou stanoveny v čl. 4 odst. 2 písm. c), d) a e) pravidel ochrany údajů a stejně tak v nařízení (EU) 2016/679.

(36)

Osobní údaje by také měly být zpracovávány způsobem, který zajišťuje jejich zabezpečení, včetně ochrany před neoprávněným nebo protiprávním zpracováním a před náhodnou ztrátou, zničením nebo poškozením. Za tímto účelem by provozovatelé podniků měli přijmout vhodná technická nebo organizační opatření na ochranu osobních údajů před možnými hrozbami. Tato opatření by měla být posuzována s přihlédnutím ke stavu techniky a k souvisejícím nákladům.

(37)

Zabezpečení údajů je v právním rámci Evropské patentové organizace zakotveno prostřednictvím zásady integrity a důvěrnosti stanovené v čl. 4 odst. 2 písm. f) a článku 33 pravidel ochrany údajů, a to téměř totožným způsobem jako v nařízení (EU) 2016/679. Pravidla ochrany údajů zejména vyžadují, aby byla zajištěna úroveň zabezpečení odpovídající riziku vhodnými technickými a organizačními opatřeními, přičemž se zohlední stav techniky, náklady na provedení a povaha, rozsah, kontext a účely zpracování, jakož i různá pravděpodobnost a závažnost veškerých rizik pro práva a svobody osob.

(38)

Kromě toho pravidla ochrany údajů obsahují zvláštní požadavky na zpracování a oznamování případů porušení zabezpečení údajů (85). Za prvé, správce je povinen oznámit pověřenci pro ochranu osobních údajů porušení zabezpečení údajů bez zbytečného odkladu (a je-li to možné, nejpozději do 72 hodin poté, co se o něm dozvěděl), ledaže není pravděpodobné, že by toto porušení mělo za následek riziko pro práva a svobody osob (86). Podobně i zpracovatel je povinen oznámit porušení správci bez zbytečného odkladu (87). V oznámení musí být zejména popsána povaha porušení, jeho pravděpodobné důsledky a opatření, která byla nebo mají být přijata k řešení tohoto porušení (88). Pokud je pravděpodobné, že porušení zabezpečení údajů bude mít za následek vysoké riziko pro práva a svobody osob, je správce povinen je bezodkladně oznámit subjektu údajů (89). Sdělení subjektu údajů musí jasně a srozumitelně popisovat povahu porušení zabezpečení osobních údajů (90) a nevyžaduje se, pokud správce přijal následná opatření, která zajišťují, že vysoké riziko pro práva a svobody subjektů údajů již nenastane (91).

(39)

Subjekty údajů by měly být informovány o hlavních prvcích zpracování jejich osobních údajů.

(40)

V souladu s pravidly ochrany údajů je správce povinen v okamžiku získání osobních údajů poskytnout fyzickým osobám informace, zejména o své totožnosti a kontaktních údajích (jakož i kontaktní údaje pověřence pro ochranu osobních údajů), účelu zpracování a jeho právních důvodech, příjemcích nebo kategoriích příjemců, skutečnosti, že hodlá předat údaje mimo Evropskou patentovou organizaci, jakož i o příslušných právech a možnosti domáhat se nápravy (92). Totéž platí, jsou-li osobní údaje zpracovávány pro jiný účel, než pro který byly shromážděny (93). Obě povinnosti platí pouze v případě, že dotčená osoba tyto informace ještě nemá (94).

(41)

Stejné informace musí být subjektům údajů poskytnuty, pokud osobní údaje nejsou shromažďovány přímo od nich, spolu s dalšími informacemi o zdroji osobních údajů a kategoriích dotčených údajů (95). Tyto informace musí být poskytnuty v přiměřené lhůtě po získání údajů (nejpozději však do jednoho měsíce), s ohledem na konkrétní okolnosti, za nichž jsou osobní údaje zpracovávány (96). V případě, že osobní údaje mají být poskytnuty pro komunikaci se subjektem údajů, měly by být stejné informace poskytnuty nejpozději v okamžiku, kdy ke komunikaci s touto osobou poprvé dojde (97). Informace uvedené ve 40. bodě odůvodnění musí být rovněž poskytnuty před jakýmkoli dalším zpracováním nebo pokud se předpokládá zpřístupnění jinému příjemci, a to nejpozději při zpřístupnění osobních údajů třetí straně (98). Tato povinnost se nevztahuje na řadu případů, zejména pokud subjekt údajů již dotyčné informace má; pokud tyto informace musí zůstat důvěrné z důvodu povinnosti zachovávat služební tajemství upravené na základě úmluvy EPC a/nebo jiných právních předpisů platných pro Evropskou patentovou organizaci (99); pokud se poskytnutí těchto informací ukáže jako nemožné nebo by vyžadovalo nepřiměřené úsilí, a to zejména při zpracování pro účely archivace, vědeckého či historického výzkumu nebo pro statistické účely do té míry, která by znemožnila nebo vážně ohrozila dosažení cílů zpracování, nebo pokud je získání či zpřístupnění těchto informací výslovně stanoveno v úmluvě EPC či jiných použitelných právních předpisech, které stanoví vhodná opatření na ochranu oprávněných zájmů subjektu údajů (100).

(42)

Subjekty údajů by měly mít určitá práva, která lze vůči správci nebo zpracovateli vymáhat, zejména právo na přístup k údajům, právo na opravu, právo podat námitku proti zpracování a právo na výmaz údajů. Tato práva mohou zároveň podléhat omezením, jsou-li tato omezení nezbytná a přiměřená pro zajištění důležitých cílů obecného veřejného zájmu.

(43)

Potřeba usnadnit výkon individuálních práv je stanovena v čl. 1B odst. 4 služebního řádu. K dalšímu provedení tohoto požadavku poskytují pravidla ochrany údajů fyzickým osobám stejná práva, jaká jsou stanovena v nařízení (EU) 2016/679, a to právo na přístup (článek 18 pravidel), právo na opravu (článek 19 pravidel), právo na výmaz (článek 20 pravidel), právo na omezení zpracování (článek 21 pravidel), právo na přenositelnost údajů (článek 22 pravidel), právo vznést námitku (článek 23 pravidel) a právo nebýt předmětem automatizovaného rozhodování (článek 24 pravidel).

(44)

Pravidla ochrany údajů rovněž zavádí obecná ustanovení pro vyřizování žádostí fyzických osob o výkon práv, která správci ukládají povinnost komunikovat se subjekty údajů jasnými a jednoduchými jazykovými prostředky, stručnou, transparentní, srozumitelnou a snadno přístupnou formou (písemně či jinými způsoby) (101). Správce musí fyzickým osobám poskytnout informace o opatřeních přijatých v reakci na žádost bez zbytečného odkladu, vždy do jednoho měsíce od obdržení žádosti (tento termín může být s ohledem na složitost a počet žádostí v nezbytných případech prodloužen o další dva měsíce) (102). Jsou-li žádosti podané subjektem údajů zjevně nedůvodné nebo nepřiměřené, zejména protože se opakují, může správce odmítnout žádosti vyhovět (103). Pokud správce žádosti nevyhoví, musí o tom fyzickou osobu informovat a poskytnout jí informace o možnosti domáhat se nápravy (104).

(45)

Za prvé, pokud jde o právo na přístup, pravidla ochrany údajů poskytují fyzickým osobám právo získat od Evropské patentové organizace potvrzení o tom, zda jsou zpracovávány osobní údaje, které se jich týkají, a pokud tomu tak je, právo na přístup k osobním údajům snadným způsobem (105) a v přiměřených intervalech (106). Kromě toho mají fyzické osoby právo získat informace zejména o účelu zpracování, kategoriích dotčených údajů, příjemcích, s nimiž jsou údaje sdíleny, a o předpokládané době, po kterou budou údaje uchovávány (107).

(46)

Za druhé, pravidla ochrany údajů stanoví, že právo na opravu dle těchto pravidel umožňuje fyzickým osobám dosáhnout opravy nepřesných údajů nebo doplnění neúplných údajů (například podáním doplňujícího prohlášení) (108). Jakmile dojde k opravě, je správce povinen ji sdělit každému příjemci, kterému byly osobní údaje zpřístupněny (109). Podle pravidel ochrany údajů se právo na opravu vztahuje na objektivní a faktické údaje, nikoli na subjektivní tvrzení (110), ačkoli v tomto případě mohou fyzické osoby doplnit stávající údaje o druhý názor či oponentní odborný posudek nebo podat připomínky (111).

(47)

Za třetí, pravidla ochrany údajů poskytují fyzickým osobám také právo na výmaz (112), zejména pokud a) osobní údaje již nejsou nezbytné pro účel, pro který jsou zpracovávány, b) subjekt údajů odvolá svůj souhlas a neexistuje žádný jiný právní důvod pro zpracování, c) subjekt údajů vznese námitky proti zpracování a neexistují žádné převažující oprávněné důvody pro zpracování, d) údaje byly zpracovávány protiprávně nebo e) údaje musí být vymazány, aby byla splněna právní povinnost, která se vztahuje na správce (113). Správce musí o každém výmazu informovat každého příjemce, s nímž byly údaje sdíleny, ledaže se to ukáže jako nemožné nebo to vyžaduje nepřiměřené úsilí (114). Podobně, jestliže správce osobní údaje zveřejnil, musí učinit přiměřené kroky, aby ostatní správci, kteří je zpracovávají, byli informováni, že o tento výmaz fyzická osoba požádala (115). Právo na výmaz se nevztahuje na následující případy v rozsahu, v jakém je zpracování daných údajů nezbytné a) pro výkon práva na svobodu projevu a informací, b) pro splnění právní povinnosti Evropské patentové organizace nebo povinnosti vyplývající z její povinnosti spolupracovat se smluvními státy (116) nebo pro výkon jí svěřené úřední moci (117), c) z důvodů spolupráce se smluvními státy v oblasti veřejného zdraví (118), d) pro účely archivace, vědeckého nebo historického výzkumu a statistické účely (pokud by výmaz pravděpodobně znemožnil nebo vážně ohrozil dosažení cílů zpracování) nebo e) pro určení, výkon nebo obhajobu právních nároků (119).

(48)

Za čtvrté, článek 21 pravidel ochrany údajů stanoví právo na omezení zpracování, tj. označení osobních údajů s cílem omezit jejich zpracování v budoucnu (včetně programových opatření vedoucích k trvalému zamezení přístupu k těmto údajům) (120). Tohoto práva se lze dovolávat zvláště v případě, že fyzická osoba popírá přesnost osobních údajů (na dobu, kterou správce požaduje k ověření přesnosti), nebo v případě, že zpracování je protiprávní, ale fyzická osoba odmítá výmaz údajů (121). Je-li zpracování omezeno, mohou být osobní údaje, s výjimkou jejich uložení, zpracovávány pouze s výslovným souhlasem fyzické osoby, a to za účelem určení, výkonu nebo obhajoby právních nároků, ochrany práv jiných osob nebo za účelem splnění úkolu prováděného při výkonu úřední činnosti Evropské patentové organizace (tj. úkolu nezbytného pro administrativní a technickou práci, kterou Evropská patentová organizace musí vykonávat podle úmluvy EPC) (122).

(49)

Za páté, právo vznést námitku je stanoveno v čl. 1B odst. 4 služebního řádu a v článku 23 pravidel ochrany údajů. Fyzické osoby mají zejména právo kdykoli vznést námitku proti zpracování osobních údajů prováděnému za účelem plnění úkolu při výkonu úřední činnosti Evropské patentové organizace nebo při oprávněném výkonu veřejné moci svěřené správci (123). Fyzické osoby musí být o existenci tohoto práva informovány jasným způsobem, nejpozději při první komunikaci s nimi (124). V případě, že fyzická osoba vznese námitku proti zpracování osobních údajů, pravidla ochrany údajů vyžadují, aby správce osobní údaje přestal zpracovávat, pokud neprokáže závažné oprávněné důvody pro zpracování, které převažují nad zájmy, právy a svobodami subjektu údajů, nebo pro určení, výkon nebo obhajobu právních nároků (125).

(50)

Za šesté, pravidla ochrany údajů stanoví právo na přenositelnost údajů, které fyzickým osobám poskytuje možnost získat své osobní údaje ve strukturovaném, běžně používaném a strojově čitelném formátu a předat tyto údaje jinému správci (126). Toto právo se uplatní, je-li zpracování prováděno automatizovaně a probíhá na základě souhlasu fyzické osoby nebo za účelem plnění smlouvy s touto osobou nebo v jejím zájmu (127).

(51)

A konečně, podle pravidel ochrany údajů má fyzická osoba právo nebýt předmětem automatizovaného rozhodování, tj. rozhodování založeného výhradně na automatizovaném zpracování, včetně profilování, které pro ni má právní účinky nebo se jí podobně významně dotýká (128). Pravidla ochrany údajů stanoví, že k automatizovanému rozhodování může docházet, je-li založeno na výslovném souhlasu subjektu údajů nebo pokud je nezbytné pro uzavření či plnění smlouvy s danou osobou, a v tomto případě musí správce zavést vhodné záruky, jako je poskytnutí práva na lidský zásah, vyjádření názoru osob a napadení rozhodnutí (129). Automatizované rozhodování může být rovněž povoleno právním aktem, pokud tento akt stanoví vhodná opatření, která zaručují práva osob (130). Jestliže správce vykonává automatizované rozhodování, včetně profilování, musí o tom fyzické osoby proaktivně informovat, což je součástí jeho povinností v oblasti transparentnosti, a poskytnout smysluplné informace týkající se použitého postupu, jakož i významu a předpokládaných důsledků tohoto zpracování pro subjekt údajů (131). Stejné informace musí být poskytnuty na vyžádání (132).

(52)

Podobně jako článek 23 nařízení (EU) 2016/679 a článek 25 nařízení (EU) 2018/1725, stanoví článek 25 pravidel ochrany údajů, že zvláštní právní předpisy v právním rámci Evropské patentové organizace mohou omezit uplatňování práv uvedených v 43. až 51. bodě odůvodnění (133) (tedy dočasně omezit jejich uplatňování) (134), pokud toto omezení respektuje podstatu základních práv (135) a svobod a představuje v demokratické společnosti nezbytné a přiměřené opatření k zajištění konkrétních cílů (136). Kromě toho musí být omezení upraveno v „jasných a přesných“ ustanoveních, která mají mít právní účinky vůči subjektům údajů a musí být přijata alespoň na úrovni prezidenta (137). Tato ustanovení musí zejména určit účel zpracování, rozsah omezení, záruky proti zneužití a doby uložení a platné záruky (138).

(53)

V současné době je jediným právním nástrojem, který stanoví omezení individuálních práv, oběžník č. 420 (právně závazný nástroj přijatý prezidentem). Objasňuje, jak a za jakých podmínek může správce uplatňovat omezení, a taxativně stanoví konkrétní situace, v nichž lze práva omezit, a pro jaké cíle (139). Zejména stanoví, že Evropská patentová organizace může omezit individuální práva kvůli určitým specifickým cílům: a) a b) při vedení vyšetřovacích nebo disciplinárních řízení týkajících se jejích zaměstnanců (140), c) v souvislosti s vnitřním řešením sporů nebo určením, výkonem či obhajobou právních nároků, včetně rozhodčího řízení, aby byly uchovány důvěrné informace a dokumenty získané od účastníků, vedlejších účastníků nebo z jiných legitimních zdrojů, d) při zpracování zdravotních údajů v rámci lékařských postupů a dokumentace, avšak pouze za účelem ochrany práv osob (141), e) a f) při provádění interních auditů a kontrol (kontroly provádí pověřenec pro ochranu osobních údajů), g) pro účely řízení v případě mimořádných událostí v oblasti IT a hlášení mimořádných událostí v oblasti fyzické bezpečnosti a h) při poskytování pomoci příslušným orgánům veřejné moci nebo přijímání pomoci od těchto orgánů, včetně smluvních států Evropské patentové organizace a mezinárodních organizací, nebo při spolupráci s nimi na činnostech vymezených v příslušných dohodách o úrovni služeb, memorandech o porozumění a dohodách o spolupráci, a to buď na jejich žádost, nebo z vlastního podnětu úřadu (142).

(54)

O tom, zda lze v konkrétním případě omezení uplatnit, rozhoduje v jednotlivých případech s ohledem na příslušné okolnosti správce (143). Při rozhodování, zda omezení uplatnit, musí správce nejprve posoudit jeho nezbytnost a přiměřenost v konkrétním případě, na čemž se podílí pověřenec pro ochranu osobních údajů (144). Toto posouzení zahrnuje zvážení možných rizik pro práva a svobody subjektu údajů ve srovnání s riziky a svobodami jiných subjektů údajů a rizikem, že bude ztížen účel a výsledek operace zpracování (145). Omezení musí být zdokumentována, včetně záznamu o posouzení omezených práv, o délce trvání, zdůvodnění a právních důvodů (146). Kromě toho musí být po dobu platnosti omezení zavedena vhodná technická a organizační opatření (147). Jakékoli omezení může být uplatňováno pouze po dobu existence důvodů pro toto omezení (148). Pokud je právo omezeno, musí správce fyzickou osobu informovat o jeho hlavních důvodech a o právu podat stížnost (149).

(55)

Ustanovení zakládací smlouvy Evropské patentové organizace (tj. úmluvy EPC), Smlouvy o patentové spolupráci a ustanovení použitelná na jejich základě (všechna představují primární právní předpisy Evropské patentové organizace) obsahují některé zvláštní požadavky v rámci řízení o udělení patentu, které mohou ovlivnit výkon určitých práv podle pravidel ochrany údajů (150). Rozhodnutí o zpracování osobních údajů v řízení o udělení patentu a souvisejících řízeních poskytuje přehled těchto požadavků primárních právních předpisů, vysvětluje, jak lze v této souvislosti vykonávat práva subjektu údajů, a jasně stanoví možné výjimky (151). Oběžník č. 420 stanoví, že ustanovení, která mohou omezit uplatňování práv na ochranu údajů, musí jasně vymezit rozsah jakékoli výjimky, a tedy vyvážit různé dotčené zájmy (152).

(56)

Za prvé, podle článku 127 úmluvy EPC je úřad povinen vést Evropský patentový rejstřík, kde jsou zveřejňovány určité právními předpisy definované osobní údaje. Podle primárních právních předpisů musí být patentové přihlášky v průběhu řízení o udělení patentu zveřejněny, zpravidla co nejdříve po uplynutí osmnácti měsíců od data podání. Úmluva EPC stanoví, že k osobním údajům obsaženým v těchto patentových přihláškách lze získat přístup buď nahlédnutím do spisu, nebo nahlédnutím do Evropského patentového rejstříku (153). Před zveřejněním nejsou patentové přihlášky bez výslovného souhlasu přihlašovatele přístupné k nahlédnutí. Podobná pravidla stanoví Smlouva o patentové spolupráci (154).

(57)

Za druhé, možnost dosáhnout změny informací použitých v rámci řízení o udělení patentu je výslovně upravena úmluvou EPC (155). Úmluva EPC konkrétně upravuje pouze možnost dosáhnout opravy chyb v dokumentech předaných Evropské patentové organizaci (156), opravy chyb v rozhodnutích (157), opravy překladů (158) a opravy uvedení vynálezce (159). Opravy osobních údajů obsažených v dokumentech použitých v řízení o udělení patentu lze tedy také dosáhnout pouze v těchto případech. Totéž platí pro možnost dosáhnout omezení zpracování údajů (160).

(58)

Za třetí, úmluva EPC ukládá zvláštní požadavky na uchovávání a zveřejňování určitých dokumentů použitých v řízení o udělení patentu, které ovlivňují možnost dosáhnout výmazu informací v nich obsažených, včetně osobních údajů (161). Uchovávány a veřejně přístupné musí být zejména zveřejněné patentové přihlášky a informace o patentech zveřejněné v Evropském patentovém věstníku (162). Výmaz osobních údajů obsažených v těchto dokumentech by tudíž byl v rozporu se základními právními povinnostmi Evropské patentové organizace (čl. 129 písm. a) úmluvy EPC) a nelze se jej domoci. Ostatní spisy musí Evropská patentová organizace uchovávat po dobu stanovenou v úmluvě EPC, která trvá v zásadě pět let (163). Po dobu trvání této lhůty nelze dosáhnout výmazu informací obsažených v těchto spisech (včetně osobních údajů).

(59)

Omezení výkonu práv, která vyplývají z ustanovení uvedených v 55. až 58. bodě odůvodnění, lze proto zejména s ohledem na limity rozsahu a podmínek jejich uplatnění považovat za omezená na to, co je nezbytné a přiměřené k zajištění řádného průběhu řízení o udělení patentu, podle požadavků veřejného zájmu na plnění úředních úkolů Evropské patentové organizace. V rozsahu, v jakém úmluva EPC a Smlouva o patentové spolupráci výslovně neupravují výkon práv na ochranu údajů, tedy ve všech ostatních situacích, než které jsou popsány v 55. až 58. bodě odůvodnění, se plně použijí požadavky pravidel ochrany údajů.

(60)

Úroveň ochrany poskytovaná osobním údajům předávaným z Unie Evropské patentové organizaci nesmí být oslabena dalším předáváním těchto údajů příjemcům ve třetí zemi nebo jiné mezinárodní organizaci.

(61)

Pravidla ochrany údajů rozlišují mezi „přenosem osobních údajů“ (tj. sdílením údajů Evropskou patentovou organizací s jejími smluvními státy) a „předáním osobních údajů“ (sdílením údajů Evropskou patentovou organizací s jakoukoli jinou osobou nebo subjektem mimo tuto organizaci) (164).

(62)

Za prvé, pravidla ochrany údajů stanoví, že k přenosu údajů národnímu úřadu pro duševní vlastnictví smluvního státu Evropské patentové organizace může dojít, pokud jsou údaje nezbytné pro a) plnění úkolů v příslušnosti příjemce nebo výkon jeho úřední pravomoci a b) přenos je nezbytný pro výkon úředních úkolů / veřejné moci Evropské patentové organizace (165). Tyto přenosy probíhají v rámci řízení o udělení patentu podle úmluvy EPC a Smlouvy o patentové spolupráci (166).

(63)

Za druhé, pravidla ochrany údajů umožňují přenos údajů orgánu veřejné moci smluvního státu Evropské patentové organizace (167), jsou-li údaje nezbytné pro plnění úkolů tohoto orgánu veřejné moci a přenos je slučitelný s úkoly a fungováním Evropské patentové organizace (168). Tyto přenosy výslovně nevyžaduje úmluva EPC ani jiné právní nástroje upravující řízení o udělení patentu, přesto však mohou být nezbytné k plnění úkolů Evropské patentové organizace, jako je například spolupráce této organizace s jejími smluvními státy prostřednictvím konzultačních procesů, vysílání a nasazování odborníků nebo poskytování informací o zaměstnancích Evropské patentové organizace za účelem stanovení sociálních dávek, daňových povinností atd.

(64)

Pověřenec pro ochranu osobních údajů připravil vzorové doložky, které mají být zahrnuty do memorand o porozumění upravujících tyto přenosy popsané v 62. a 63 bodě odůvodnění a které mimo jiné stanoví zásady ochrany údajů, omezují další zpracování pouze na slučitelné účely, stanoví práva subjektů údajů, jakož i povinnosti týkající se zabezpečení údajů a porušení tohoto zabezpečení a také nezávislého dohledu (169).

(65)

V obou případech popsaných v 62. a 63. bodě odůvodnění musí příjemce podle pravidel ochrany údajů prokázat, že je nezbytné, aby byly údaje přeneseny za konkrétním účelem vyplývajícím z povinností Evropské patentové organizace spolupracovat se smluvním státem či státy (170). Správce musí být u každého přenosu schopen prokázat, že tento přenos je nezbytný a přiměřený konkrétnímu účelu, pro který jsou údaje sdíleny (171). Veškerý přenos údajů musí být prováděn způsobem, který zajišťuje zachování úrovně ochrany poskytované pravidly ochrany údajů (172). Podle pokynů vydaných pověřencem pro ochranu osobních údajů to znamená, že musí být zavedeny vhodné záruky, a to včetně zajištění toho, že údaje, které mají být sdíleny, musí být minimalizovány a omezeny na to, co je přiměřené, relevantní a nezbytně nutné k dosažení daného účelu (173). Pokud existuje jakýkoli důvod předpokládat, že mohou být dotčeny oprávněné zájmy fyzické osoby, které se sdílení týká, musí správce po zvážení různých příslušných zájmů prokázat, že přenos osobních údajů pro tento konkrétní účel je přiměřený (174).

(66)

V souvislosti s těmito dvěma scénáři je rovněž důležité poznamenat, že všechny smluvní státy Evropské patentové organizace jsou stranami evropské Úmluvy o ochraně lidských práv a základních svobod, podléhající jurisdikci Evropského soudu pro lidská práva, a rovněž jsou stranami Úmluvy Rady Evropy o ochraně osob se zřetelem na automatizované zpracování osobních dat (úmluva č. 108).

(67)

A konečně, pravidla ochrany údajů umožňují přenos údajů zpracovateli, který se nachází v Evropském hospodářském prostoru (EHP), pokud je zajištěn soulad s požadavky pro zapojení zpracovatelů stanovenými v těchto pravidlech (175).

(68)

Sdílení osobních údajů s jakýmkoli subjektem mimo Evropskou patentovou organizaci, který není orgánem veřejné moci ani národním úřadem pro duševní vlastnictví smluvních států Evropské patentové organizace ani zpracovatelem v EHP, se považuje za „předání“ osobních údajů, na něž se vztahují zvláštní požadavky podle pravidel ochrany údajů (176). Tyto požadavky platí například pro sdílení údajů se zpracovateli mimo EHP, se správci nacházejícími se ve smluvních státech nebo mimo ně, s orgány veřejné moci v nesmluvních státech a s dalšími mezinárodními organizacemi. Pravidla ochrany údajů obecně vyžadují, aby při předávání údajů třetím stranám nebyla oslabena úroveň ochrany, kterou jednotlivcům zaručuje Evropská patentová organizace (177). Podle pokynů pověřence pro ochranu osobních údajů musí být ochrana poskytovaná předávaným osobním údajům ve třetí zemi nebo mezinárodní organizaci v zásadě rovnocenná ochraně zaručené v pravidlech ochrany údajů (178).

(69)

Podle pravidel ochrany údajů lze osobní údaje předávat mimo Evropskou patentovou organizaci především tehdy, pokud země, v níž se příjemce nachází, nebo mezinárodní organizace zajišťuje odpovídající úroveň ochrany a pokud se předání provádí výhradně proto, aby Evropská patentová organizace mohla plnit úkoly v rámci své působnosti (179). Rozhodnutí o odpovídající ochraně přijímá prezident (180), který v případě pochybností rozhoduje po konzultaci s pověřencem pro ochranu osobních údajů a radou pro ochranu údajů (181). Pověřenec pro ochranu osobních údajů vypracoval „referenční rámec pro odpovídající ochranu“, který stanoví kritéria pro rozhodnutí o odpovídající ochraně (182). Právní rámec třetí země nebo mezinárodní organizace musí zejména stanovit klíčové zásady ochrany údajů, práva subjektů údajů, pravidla pro další předávání, procesní mechanismy a donucovací mechanismy a prostředky nápravy pro fyzické osoby. Pokud prezident přijme rozhodnutí o odpovídající ochraně, může se předání uskutečnit, aniž by byly zavedeny další záruky (183). Členské státy, jakož i Norsko, Island, Lichtenštejnsko, všechny země, které používají rozhodnutí Komise o odpovídající ochraně (184), a orgány a instituce Unie, jsou v současné době Evropskou patentovou organizací považovány za subjekty poskytující odpovídající úroveň ochrany (185).

(70)

Podle pravidel ochrany údajů platí, že neexistuje-li rozhodnutí o odpovídající ochraně, správce nebo zpracovatel mohou předat osobní údaje příjemcům mimo Evropskou patentovou organizaci, pouze pokud správce nebo zpracovatel poskytl vhodné záruky a za podmínky, že subjekty údajů mají k dispozici vymahatelná práva a účinné právní prostředky (186). Tyto vhodné záruky lze zahrnout do správních ujednání s orgány veřejné moci nebo mezinárodními organizacemi, do smluvních doložek (po konzultaci s radou pro ochranu údajů) (187) nebo do mechanismů pro vydávání osvědčení (188). Pověřenec pro ochranu osobních údajů vypracoval osnovu ustanovení, která je třeba zahrnout do správních ujednání (189). Rovněž je k dispozici vzor dohody o ochraně údajů pro předávání údajů zpracovatelům (190). Podle pokynů pověřence pro ochranu osobních údajů musí Evropská patentová organizace posoudit, zda by dovozci údajů v plnění jeho povinností podle nástroje pro předávání bránil právní rámec, který se na něj vztahuje, a v nezbytném případě zavést dodatečná opatření (191). K provedení tohoto posouzení doporučuje pověřenec pro ochranu osobních údajů ve sdělení o přenosu a předání osobních údajů zohlednit příslušné pokyny sboru EDPB a evropského inspektora ochrany údajů (192).

(71)

Podle pravidel ochrany údajů musí Evropská patentová organizace v případě předávání údajů do zemí nebo organizací, které používají rozhodnutí o odpovídající ochraně, jakož i v případě předávání údajů na základě vhodných záruk, prokázat nezbytnost a přiměřenost každého předání pro účel daného zpracování (193). Kromě toho, jestliže existuje důvod se domnívat, že by mohly být poškozeny oprávněné zájmy subjektů údajů, musí Evropská patentová organizace po zvážení různých příslušných zájmů prokázat, že předání je přiměřené (194). Navíc musí být zajištěno (prostřednictvím smluvních záruk), že příjemce smí údaje zpracovávat nebo používat pouze pro účely, k nimž byly předány, a musí údaje vymazat, jakmile je účelu dosaženo (195).

(72)

Podle pravidel ochrany údajů je v případě neexistence rozhodnutí o odpovídající ochraně nebo vhodných záruk předání osobních údajů mimo Evropskou patentovou organizaci přípustné „pouze výjimečně“, pokud se uplatní tzv. výjimka za podobných podmínek, jaké jsou uvedeny v odpovídajících ustanoveních unijního práva v oblasti ochrany údajů (196). Tak je tomu v případě, že a) subjekt údajů s předáním výslovně souhlasil (197), b) a c) předání je příležitostné a je nezbytné pro splnění smlouvy se subjektem údajů nebo v jeho zájmu (nebo k provedení opatření přijatých před uzavřením smlouvy na žádost subjektu údajů) (198), d) předání je nezbytné pro splnění úkolu v rámci výkonu úřední činnosti Evropské patentové organizace nebo k oprávněnému výkonu veřejné moci svěřené správci (199), e) předání je příležitostné a nezbytné pro určení, výkon nebo obhajobu právních nároků (200), f) předání je nezbytné k ochraně životně důležitých zájmů fyzické osoby v případě, že subjekt údajů není fyzicky nebo právně způsobilý udělit výslovný souhlas (201), nebo g) k předání dochází z rejstříku, který je určen pro informování veřejnosti a je přístupný k nahlížení veřejnosti obecně nebo jakékoli osobě, která může prokázat oprávněný zájem, a to v rozsahu, v jakém jsou v konkrétním případě splněny podmínky stanovené pro toto nahlížení (202). Z povahy věci a podle pokynů pověřence pro ochranu osobních údajů se na tuto výjimku nelze odvolávat v případě systematického, pravidelného předávání (203).

(73)

A konečně, pokud jde o předávání určitých kategorií údajů do zemí nebo organizacím, které nepoužívají rozhodnutí o odpovídající ochraně, může prezident toto předávání dále omezit na důležité důvody související s oprávněným výkonem veřejné moci svěřené úřadu (204). Prezident dosud této pravomocí nevyužil.

(74)

Podle zásady odpovědnosti se od subjektů zpracovávajících údaje vyžaduje zavedení vhodných technických a organizačních opatření, aby mohly účinně plnit své povinnosti v oblasti ochrany údajů a byly jejich plnění schopny prokázat, zejména příslušnému dozorovému úřadu.

(75)

Ustanovení čl. 4 odst. 1 pravidel ochrany údajů stanoví obecnou zásadu odpovědnosti a jasně uvádí, že správce je odpovědný za dodržování těchto pravidel a musí je být schopen prokázat. Správce musí zejména zavést vhodná technická a organizační opatření, aby zajistil dodržování povinností a byl je schopen prokázat, a to s ohledem na povahu, rozsah, kontext a účely zpracování a různou pravděpodobnost a závažnost případných rizik pro práva osob (205). V tomto ohledu pravidla ochrany údajů rovněž provádí zásady záměrné a standardní ochrany soukromí tím, že vyžadují, aby správce zavedl opatření, která jsou určena k provádění zásad ochrany údajů a k zajištění souladu s pravidly ochrany údajů, a aby zajistil, že budou standardně zpracovávány pouze osobní údaje, jež jsou nezbytné pro každý konkrétní účel zpracování (206).

(76)

Správce a zpracovatelé musí vést záznamy o činnostech zpracování, které obsahují mimo jiné informace o účelu zpracování, kategoriích zpracovávaných údajů, kategoriích příjemců, jimž jsou údaje poskytovány, a o všech předáních osobních údajů (207). Tyto záznamy jsou v zásadě veřejně přístupné (pokud neobsahují důvěrné informace) a jsou zahrnuty do veřejně přístupného rejstříku ochrany údajů a musí být na požádání zpřístupněny radě pro ochranu údajů (208). Každá provozní jednotka musí rovněž jmenovat alespoň jednoho styčného úředníka pro ochranu údajů (na dobu jednoho roku až tří let s možností opakování), který musí absolvovat povinné školení o ochraně údajů a pomáhat správci při plnění jeho povinností (209).

(77)

V neposlední řadě poskytují pravidla ochrany údajů různé nástroje, které mohou správcům a zpracovatelům pomoci v jejich úsilí o dodržování povinností. Podle pravidel ochrany údajů může jako důkaz dodržování povinností podle těchto pravidel sloužit například dodržování schválených mechanismů pro vydávání osvědčení (210). Za určitých podmínek navíc pravidla ochrany údajů vyžadují, aby bylo provedeno posouzení vlivu na ochranu osobních údajů nebo proběhla předchozí konzultace s pověřencem pro ochranu osobních údajů a radou pro ochranu údajů. Posouzení vlivu na ochranu osobních údajů se vyžaduje, pokud je pravděpodobné, že určitý druh zpracování bude mít za následek vysoké riziko pro práva a svobody osob (211). Toto se vyžaduje například v případech, kdy dochází k systematickému a rozsáhlému vyhodnocování osobních aspektů, na nichž je založeno automatizované rozhodování, nebo ke zpracování zvláštních kategorií údajů ve velkém rozsahu (212). Pokud z posouzení vlivu vyplývá, že zpracování by mělo za následek vysoké riziko pro práva a svobody osob a riziko nelze zmírnit přiměřenými bezpečnostními opatřeními, musí správce věc konzultovat s radou pro ochranu údajů (213). Rada pro ochranu údajů musí poskytnout písemné doporučení, pokud se domnívá, že zamýšlené zpracování by bylo v rozporu s pravidly ochrany údajů (214). Obecněji řečeno, správce je povinen konzultovat pověřence pro ochranu osobních údajů při přípravě pravidel nebo provozních dokumentů, které se týkají provádění omezení individuálních práv (215).

(78)

Aby se zajistilo, že odpovídající úroveň ochrany údajů bude zaručena v praxi, měl by být zřízen nezávislý dozorový úřad pověřený pravomocí monitorovat a prosazovat dodržování pravidel v oblasti ochrany údajů. Při plnění svých povinností a výkonu své pravomoci by tento úřad měl jednat zcela nezávisle a nestranně.

(79)

Právní rámec Evropské patentové organizace pověřuje dohledem nad dodržováním pravidel ochrany údajů dva orgány: pověřence pro ochranu osobních údajů a radu pro ochranu údajů. Oba orgány jsou zřízeny článkem 32A služebního řádu a jejich postavení a pravomoci jsou dále upřesněny v pravidlech ochrany údajů (216). Jejich úlohy se vzájemně doplňují a zahrnují spolupráci, přičemž každý orgán zůstává ve svých příslušných funkcích nezávislý.

(80)

Podle služebního řádu jednají pověřenec pro ochranu osobních údajů a rada pro ochranu údajů při plnění svých úkolů a výkonu svých pravomocí zcela nezávisle na jakýchkoli vnitřních nebo vnějších zásazích (217). Tuto zásadu doplňují různé další záruky, které zajišťují jejich nezávislost.

(81)

Pověřence pro ochranu osobních údajů (a jeho zástupce) jmenuje prezident na základě jejich odborné kvalifikace a zejména odborných znalostí práva a praxe v oblasti ochrany údajů (218). Pověřenec pro ochranu osobních údajů je jmenován na období tří až pěti let, s možností opakování. Před jakýmkoli návrhem na odvolání nebo propuštění pověřence pro ochranu osobních údajů z jeho funkce musí být konzultována rada pro ochranu údajů (219). Tato předběžná konzultace před odvoláním nebo propuštěním pověřence pro ochranu osobních údajů má v případě navrhovaného odvolání nebo propuštění zajistit dodatečnou kontrolu a přezkum. Toto odvolání nebo propuštění lze navrhnout z jednoho z těchto důvodů (220): pokud pověřenec pro ochranu osobních údajů přestane splňovat podmínky požadované pro výkon povinností (221), v případě odborné nezpůsobilosti (222) nebo v důsledku disciplinárních opatření (223). Pravidla ochrany údajů rovněž stanoví, že pověřenec pro ochranu osobních údajů nemůže být za plnění svých úkolů propuštěn ani potrestán a nemůže dostávat žádné pokyny (224). Pověřenec pro ochranu osobních údajů se musí podílet na všech záležitostech týkajících se ochrany osobních údajů a předkládá výroční zprávy o činnosti prezidentovi a správní radě (225). Úřad je povinen pověřenci pro ochranu osobních údajů poskytnout prostředky nezbytné k plnění jeho úkolů (226).

(82)

Rada pro ochranu údajů se skládá ze tří externích odborníků v oblasti ochrany údajů, konkrétně z předsedy a dvou dalších členů (227), jakož i z náhradníka, kterého jmenuje prezident Evropského patentového úřadu na tříleté funkční období s možností opakování (228). Členové rady pro ochranu údajů musí mít kvalifikaci požadovanou pro jmenování do soudní funkce nebo musí být odborníky na ochranu údajů s prokázanými odbornými znalostmi a zkušenostmi v oblasti práva na ochranu údajů získanými na vnitrostátní nebo mezinárodní úrovni. Nesmějí být zaměstnanci Evropské patentové organizace ani zde nesměli být zaměstnáni v posledních deseti letech (229). Podle čl. 48 odst. 6 pravidel ochrany údajů jsou členové rady pro ochranu údajů při výkonu své funkce zcela nezávislí. Členové rady pro ochranu údajů zejména nesmí vyžadovat pokyny od úřadu nebo správní rady a nemohou být těmito pokyny vázáni. Jednací řád rady pro ochranu údajů rovněž stanoví, že při plnění svých úkolů musí jednat nestranně a zcela nezávisle (230). Evropská patentová organizace navíc může ukončit působení členů rady pro ochranu údajů ve funkci pouze z vážného důvodu (231). Členové rady pro ochranu údajů jsou vázáni povinností mlčenlivosti (232) a musí se zdržet jednání v případě, kdy jsou ve střetu zájmů, zejména pokud jde o osobní zájem (233). Evropská patentová organizace je povinna podporovat radu pro ochranu osobních údajů při plnění jejích úkolů poskytováním nezbytných zdrojů, jakož i právní a administrativní podpory (prostřednictvím sekretariátu a tím, že jí umožní přístup k osobním údajům a operacím zpracování) (234).

(83)

Úkoly pověřence pro ochranu osobních údajů zahrnují: informovat správce nebo zpracovatele o jejich povinnostech a poskytnout jim příslušné poradenství, zvyšování povědomí a zajištění školení zaměstnanců zapojených do operací zpracování, zajišťovat, aby subjekty údajů byly informovány o svých právech plynoucích z pravidel ochrany údajů, a nezávisle monitorovat interní uplatňování a dodržování pravidel ochrany údajů, jakož i ostatních právních předpisů Evropské patentové organizace, které mají dopad na ochranu údajů (235). Subjekty údajů se mohou obrátit na pověřence pro ochranu osobních údajů v jakékoli záležitosti související se zpracováním jejich údajů nebo výkonem jejich práv (236) a správce a zpracovatelé mohou s pověřencem pro ochranu osobních údajů konzultovat jakoukoli záležitost týkající se výkladu a uplatňování pravidel ochrany údajů (237).

(84)

V rámci své dohledové funkce má pověřenec pro ochranu osobních údajů pravomoc provádět audity a šetření v oblasti ochrany údajů (238). Audity pověřenec zahajuje v souladu s ročním plánem auditů, který se připravuje po konzultaci s radou pro ochranu údajů (239). Audit se zaměřuje na posouzení záznamů, prohlášení a příslušné dokumentace o ochraně údajů, například na ověření přesnosti a úplnosti příslušné dokumentace o ochraně údajů, správného uplatňování metodik řízení rizik, přesnosti a včasnosti odpovědí subjektům údajů nebo řádného provedení a počtu posouzení vlivu na ochranu údajů (240). Podle informací, které od pověřence pro ochranu osobních údajů obdržela Komise, byly v roce 2023 provedeny tři audity a v roce 2024 čtyři audity. Šetření může pověřenec pro ochranu osobních údajů zahájit z vlastního podnětu, na základě žádosti obdržené od rady pro ochranu údajů nebo orgánu Evropské patentové organizace (například prezidenta či pověřeného správce) nebo na základě informací získaných jiným způsobem (včetně informací např. od třetích stran a fyzických osob) (241). Šetření vyžádaná radou pro ochranu údajů provádí pověřenec pro ochranu osobních údajů nezávisle. Rada pro ochranu údajů se může vyjádřit a/nebo požádat o doplňující šetření k jakékoli otázce, která by se mohla objevit (242). Kontroly se zaměřují na operace zpracování nebo jejich konkrétní aspekty či skutečnosti, které s nimi souvisejí, s cílem zajistit, aby dané zpracování splňovalo požadavky pravidel ochrany údajů, a zajistit ochranu práv a svobod subjektů údajů (243).

(85)

Pověřenec pro ochranu osobních údajů má přístup ke všem relevantním informacím, včetně osobních údajů, které jsou předmětem zpracování, jakož i do všech kanceláří, zařízení pro zpracování údajů a k nosičům dat (244). Všichni zaměstnanci a provozní jednotky Evropské patentové organizace jsou povinni napomáhat pověřenci pro ochranu osobních údajů při plnění jeho povinností, a to i tím, že mu umožní přístup do prostor a k příslušným informacím (245).

(86)

Po ukončení auditu nebo šetření přijme pověřenec pro ochranu osobních údajů zprávu, v níž uvede svá zjištění, závěry a doporučená nápravná opatření (246). Tato opatření mohou například zahrnovat preventivní nebo zmírňující opatření, zaměřená na zlepšení souladu s předpisy, jakož i opatření k nápravě nesouladu (například s cílem uvést zpracování do souladu s pravidly ochrany údajů, vyřídit žádosti subjektů údajů o výkon jejich práv, pozastavit nebo ukončit zpracování atd.) (247). Pověřenec pro ochranu osobních údajů také může na nedodržování pravidel ochrany údajů ze strany zaměstnanců upozornit příslušný orgán oprávněný ke jmenování a doporučit zahájení správního šetření, které určí, zda je třeba učinit disciplinární nebo jiné kroky (248). Zaměstnanci, který úmyslně či z nedbalosti nedodrží pravidla ochrany údajů, může být uložena disciplinární sankce nebo jiné opatření podle služebního řádu (249).

(87)

Výsledky auditů a šetření musí být sděleny radě pro ochranu údajů (250). Radě pro ochranu údajů musí být na požádání poskytnuta zpráva o auditu nebo šetření. Rada pro ochranu údajů může ke zprávě pověřence pro ochranu osobních údajů předložit připomínky, a to i ke zjištění pověřence, zda došlo, či nedošlo k porušení pravidel ochrany údajů, k navrhovaným nápravným opatřením, a může si vyžádat dodatečná vyšetřovací opatření (251). Pokud audit nebo kontrola provedená pověřencem pro ochranu osobních údajů shledá, že došlo k nesouladu (tj. k porušení pravidel ochrany údajů), musí být zpráva pověřence pro ochranu osobních údajů předložena radě pro ochranu údajů, aby závěry a doporučená nápravná opatření potvrdila. V případě, že rada pro ochranu údajů nesouhlasí se závěry nebo doporučenými nápravnými opatřeními pověřence pro ochranu osobních údajů, sdělí pověřenci své připomínky, včetně úpravy navržených závěrů a doporučených nápravných opatření, a pověřenec by je měl odpovídajícím způsobem provést. Nápravná opatření potvrzená radou pro ochranu údajů jsou závazná pro správce i pověřené správce a fyzické osoby se jich mohou dovolávat před tím, než využijí nápravné mechanismy popsané v 95. bodě odůvodnění (252). Pověřenec pro ochranu osobních údajů musí provádění nápravných opatření ověřit (v zásadě po šesti měsících od jejich sdělení) a každoročně podávat prezidentovi zprávu o stavu provádění (253).

(88)

Kromě úlohy prosazovat dodržování pravidel ochrany údajů patří mezi další úkoly rady pro ochranu osobních údajů poskytovat poradenství prezidentovi při přijímání rozhodnutí o odpovídající ochraně, poskytovat poradenství správci ohledně potřeby provést posouzení vlivu na ochranu osobních údajů a přezkoumávat stížnosti fyzických osob (viz 92. až 96. bod odůvodnění) (254).

(89)

Aby se zajistila odpovídající ochrana a zejména vymáhání individuálních práv, měly by být subjektu údajů poskytnuty účinné prostředky nápravy, včetně náhrady škody.

(90)

Právní rámec Evropské patentové organizace nabízí fyzickým osobám prostředky nápravy pomocí kombinace různých možností.

(91)

Za prvé, subjekty údajů, které se domnívají, že zpracování jejich osobních údajů Evropskou patentovou organizací porušuje jejich práva (tj. porušuje pravidla ochrany údajů), mohou podat žádost o přezkum pověřenému správci podle článku 49 pravidel ochrany údajů. Pověřený správce stížnost přezkoumá a přijme rozhodnutí (255). Pověřený správce musí věc před přijetím rozhodnutí konzultovat s pověřencem pro ochranu osobních údajů, který poskytne písemné stanovisko nejpozději do patnácti kalendářních dnů od obdržení žádosti o přezkum (256). Pověřený správce musí fyzické osobě odpovědět do jednoho měsíce ode dne obdržení žádosti (257). Rozhodnutí musí být fyzické osobě sděleno spolu s informacemi o možnosti domáhat se dalších prostředků nápravy (258). Pokud pověřený správce do tří měsíců nepodnikne žádné kroky, považuje se to za konkludentní zamítnutí žádosti.

(92)

Za druhé, fyzické osoby mohou rozhodnutí pověřeného správce nebo jeho konkludentní zamítnutí žádosti o přezkum napadnout podáním stížnosti u rady pro ochranu údajů (259).

(93)

Při posuzování stížnosti musí rada pro ochranu údajů vyzvat subjekt údajů, správce a případně zpracovatele, aby písemně vyjádřili své stanovisko k daným tvrzením a skutečnostem a předložili důkazy nebo připomínky a argumenty k dostupným důkazům (260). V této souvislosti si rada pro ochranu údajů může vyžádat od účastníků veškeré informace, které potřebuje k vyřízení stížnosti, a navíc může získat další informace prostřednictvím pověřence pro ochranu osobních údajů (261). Při rozhodování o nezbytných opatřeních v návaznosti na stížnost musí rada pro ochranu údajů zohlednit mimo jiné povahu a závažnost údajného porušení, počet dotčených subjektů údajů, kategorie dotčených údajů a dobu trvání porušení (262). Rada pro ochranu údajů může vyzvat účastníky, aby usilovali o smírné urovnání, a toto urovnání podporuje a aktivně mu napomáhá (263). Stěžovatel může radu pro ochranu údajů rovněž požádat o uplatnění postupu pro naléhavé případy, a to z důvodu závažnosti údajného porušení nebo z důvodu závažnosti ohrožení práv osob (264).

(94)

Po přezkoumání stížnosti vydá rada pro ochranu údajů správci odůvodněné stanovisko, které obsahuje popis skutečností, hlavní argumenty účastníků, názory rady a její doporučení (265). Jde-li o postup pro naléhavé případy, musí rada pro ochranu údajů formálně vydat odůvodněné stanovisko do dvou měsíců od podání stížnosti (266). V odůvodněném stanovisku může rada pro ochranu údajů vydat jakákoli doporučení, která považuje za nezbytná, včetně zdržovací žaloby (například ukončení protiprávního zpracovávání údajů, výmaz protiprávně zpracovávaných údajů), náhrady majetkové škody či nemajetkové újmy (267). Odůvodněné stanovisko musí být sděleno subjektu údajů a správci (tj. prezidentovi úřadu, předsedovi stížnostních senátů, předsedovi správní rady, nebo předsedovi užšího výboru, v závislosti na tom, zda se stížnost týkala úřadu, stížnostních senátů, správní rady, nebo užšího výboru). Správce poté na základě odůvodněného stanoviska rady pro ochranu údajů přijme konečné závazné rozhodnutí (268). Konečné rozhodnutí se oznámí subjektu údajů, radě pro ochranu údajů a pověřenci pro ochranu osobních údajů (269). Pokud se správce rozhodne, že se nebude řídit jedním nebo více aspekty obsaženými v odůvodněném stanovisku, písemně to v rozhodnutí vysvětlí (270).

(95)

Není-li subjekt údajů s rozhodnutím správce spokojen, může proti němu dále podat stížnost a v ní odkázat na odůvodněné stanovisko rady pro ochranu údajů. Zaměstnanci Evropské patentové organizace mohou rozhodnutí napadnout u Správního soudu Mezinárodní organizace práce (271). Každý jiný subjekt údajů, který nesouhlasí s rozhodnutím správce, může do tří měsíců od obdržení rozhodnutí podat žádost prezidentovi o zahájení rozhodčího řízení ad hoc (272). Pravidla ochrany údajů stanoví zvláštní postup, který je třeba v případě rozhodčího řízení ad hoc dodržovat (273). Zejména je nutné, aby generální tajemník Stálého rozhodčího soudu do tří měsíců od obdržení žádosti subjektu údajů jmenoval jednoho rozhodce na základě kritérií stanovených v pravidlech ochrany údajů (274). Rozhodce musí mít právnické vzdělání, musí být oprávněn vykonávat právnickou praxi v jednom ze smluvních států Evropské patentové organizace, musí být schopen prokázat příslušné odborné znalosti v oblasti ochrany údajů a musí znát právo, jímž se řídí mezinárodní organizace (275). Kromě toho, že musí být splněna tato kritéria, mohou být jmenovány pouze osoby, které nepracovaly pro Evropskou patentovou organizaci nebo pro subjekt údajů ani jim neposkytovaly služby. Pravidla ochrany údajů stanoví, že rozhodce musí jednat nezávisle a nestranně (276), jednat s každou stranou rovnocenným způsobem a poskytnout jí možnost předložit své argumenty v každé fázi řízení (277). Rozhodčí řízení je neveřejné (278) a řídí se úmluvou EPC, pravidly ochrany údajů, včetně všech prováděcích předpisů, právem mezinárodních organizací a zásadami mezinárodního práva veřejného (279). Zatímco každá strana nese své vlastní náklady a výdaje na právní zastoupení (pokud rozhodce nerozhodne jinak), odměny a výdaje rozhodce, náklady na případné znalecké posudky a svědky hradí Evropská patentová organizace (280). K urovnání musí dojít formou písemného rozhodčího nálezu s dohodnutým zněním, které je konečné a závazné (281).

(96)

Každá fyzická osoba, která utrpěla újmu v důsledku porušení pravidel ochrany údajů, může po Evropské patentové organizaci žádat její náhradu postupem popsaným v 91. až 95. bodě odůvodnění (282). Evropská patentová organizace nebude povinna k náhradě újmy, pokud prokáže, že neodpovídá za událost, která k újmě vedla.

(97)

Právní rámec, podle kterého Evropská patentová organizace posuzuje žádosti orgánů veřejné moci – ve svých smluvních státech a ve třetích zemích – týkající se osobních údajů zpracovávaných touto organizací a odpovídá na ně, vyplývá z Protokolu o výsadách a imunitách Evropské patentové organizace (283), z požadavků pravidel ochrany údajů na přenos a předání osobních údajů a z mezinárodního práva veřejného.

(98)

Za prvé, na zpracování osobních údajů Evropskou patentovou organizací pro účely její úřední činnosti se vztahují imunity této organizace. Imunity Evropské patentové organizace doplňuje povinnost spolupráce stanovená v článku 20 Protokolu o výsadách a imunitách. Proto každou žádost orgánu veřejné moci smluvního státu o získání údajů zpracovávaných Evropskou patentovou organizací posuzuje prezident podle (čl. 20 odst. 1) Protokolu o výsadách a imunitách, který stanoví, že organizace „spolupracuje vždy s příslušnými orgány smluvních států, aby byl usnadněn řádný výkon práva, zajištěno dodržování předpisů o pořádku a bezpečnosti a předpisů o veřejném zdraví a bezpečnosti práce, jakož i jiných podobných národních předpisů a aby se zabránilo zneužití výsad, imunit a úlev stanovených tímto protokolem“. Organizace se může své soudní a exekuční imunity výjimečně vzdát (284). Prezident při rozhodování o žádosti o spolupráci uplatňuje volné uvážení, přičemž vezme v úvahu soulad žádosti s právním rámcem organizace (285). Lze vyvodit závěr, že úřad může reagovat na žádost podle Protokolu o výsadách a imunitách a zpřístupnit osobní údaje pouze v souladu s požadavky na přenos údajů stanovenými v pravidlech ochrany údajů (viz 62. až 67. bod odůvodnění). Podle pravidel ochrany údajů musí příjemce předložit důkazy, že přenos údajů je nezbytný pro konkrétní účel vyplývající z povinností Evropské patentové organizace spolupracovat se smluvním státem či smluvními státy (286). Správce musí být u každého přenosu schopen prokázat, že tento přenos je nezbytný a přiměřený konkrétnímu účelu, pro který je prováděn (287). Veškerý přenos údajů musí být prováděn způsobem, který zajišťuje zachování úrovně ochrany poskytované pravidly ochrany údajů (288). Podle pokynů vydaných pověřencem pro ochranu osobních údajů to znamená, že musí být zavedeny vhodné záruky, a to včetně zajištění toho, že údaje, které mají být sdíleny, musí být minimalizovány a omezeny na to, co je přiměřené, relevantní a nezbytně nutné k dosažení daného účelu (289). Pokud existuje jakýkoli důvod předpokládat, že mohou být dotčena práva a svobody osoby, které se sdílení týká, musí správce po zvážení různých příslušných zájmů prokázat, že přenos osobních údajů pro tento konkrétní účel je přiměřené (290).

(99)

Za druhé, neexistuje žádný právní nástroj, který by se vztahoval na Evropskou patentovou organizaci a který by výslovně upravoval vyřizování žádostí orgánů veřejné moci třetích zemí (tj. zemí, které nejsou smluvní stranou Evropské patentové organizace) o získání údajů zpracovávaných touto organizací. K jakémukoli zpřístupnění v reakci na tuto žádost tudíž může dojít pouze tehdy, jsou-li splněny požadavky na mezinárodní předávání údajů podle pravidel ochrany údajů (jak je popsáno v 68. až 73. bodě odůvodnění). Tak by tomu bylo pouze v případě, že by pro příslušnou zemi bylo přijato rozhodnutí o odpovídající ochraně, které by se vztahovalo na dané předání, pokud by byly zavedeny příslušné záruky, nebo by se uplatnila výjimka.

(100)

Na dodržování Protokolu o výsadách a imunitách ze strany prezidenta, a to i pokud jde o to, jakým způsobem jsou vyřizovány žádosti o spolupráci ze strany orgánů veřejné moci, dohlíží správní rada, zatímco na dodržování požadavků na přenosy a předávání osobních údajů stanovených v pravidlech ochrany údajů dohlíží pověřenec pro ochranu osobních údajů a rada pro ochranu údajů, jak je popsáno v 84. až 88. bodě odůvodnění. Fyzické osoby mohou ohledně přenosů nebo předávání jejich osobních údajů, která jsou v rozporu s pravidly ochrany údajů, využít prostředky nápravy popsané v 90. až 96. bodě odůvodnění.

(101)

Komise má za to, že Evropská patentová organizace zajišťuje úroveň ochrany osobních údajů předávaných z Unie, která je v zásadě rovnocenná úrovni ochrany zaručené nařízením (EU) 2016/679.

(102)

Na základě zjištění tohoto rozhodnutí by mělo být rozhodnuto, že Evropská patentová organizace zajišťuje odpovídající úroveň ochrany ve smyslu článku 45 nařízení (EU) 2016/679 vykládaného s ohledem na Listinu základních práv Evropské unie, pokud jde o údaje předávané z Unie Evropské patentové organizaci.

(103)

Členské státy a jejich orgány musí přijmout opatření nezbytná k dosažení souladu s akty orgánů Unie, neboť jim v zásadě svědčí presumpce legality, a tudíž zakládají právní účinky tak dlouho, dokud nejsou vzaty zpět, zrušeny v rámci žaloby na neplatnost nebo prohlášeny za neplatné v návaznosti na žádost o rozhodnutí o předběžné otázce nebo na námitku protiprávnosti.

(104)

V důsledku toho je rozhodnutí Komise o odpovídající ochraně podle čl. 45 odst. 3 nařízení (EU) 2016/679 závazné pro všechny orgány členských států, kterým je určeno, a to i pro nezávislé dozorové úřady. Zejména může docházet k předáním od správce nebo zpracovatele v Unii Evropské patentové organizaci, aniž by bylo nutné získat další povolení.

(105)

Je třeba připomenout, že podle čl. 58 odst. 5 nařízení (EU) 2016/679 a jak vysvětlil Soudní dvůr v rozsudku ve věci C-362/14 (291), jestliže vnitrostátní úřad pro ochranu osobních údajů zpochybňuje, a to i na základě stížnosti, slučitelnost rozhodnutí Komise o odpovídající ochraně se základními právy fyzické osoby na soukromí a ochranu údajů, musí mu vnitrostátní právo poskytnout procesní prostředek, který mu umožní uplatnit tyto výtky před vnitrostátním soudem, který může být povinen předložit Soudnímu dvoru žádost o rozhodnutí o předběžné otázce.

(106)

Podle judikatury Soudního dvora a podle čl. 45 odst. 4 nařízení (EU) 2016/679 by Komise po přijetí rozhodnutí o odpovídající ochraně měla neustále sledovat příslušný vývoj ve třetí zemi nebo mezinárodní organizaci, aby mohla posoudit, zda stále zajišťují v zásadě rovnocennou úroveň ochrany. Toto ověřování je každopádně závazné tehdy, když Komise obdrží informace vyvolávající v tomto ohledu určité odůvodněné pochybnosti.

(107)

Komise by tedy měla průběžně sledovat situaci, pokud jde o právní rámec a skutečnou praxi Evropské patentové organizace v oblasti zpracování osobních údajů, jak jsou posouzeny v tomto rozhodnutí. Za účelem usnadnění tohoto procesu se Evropská patentová organizace vyzývá, aby Komisi informovala o důležitých změnách, jež jsou relevantní pro toto rozhodnutí, pokud jde o zpracování osobních údajů, omezení a záruky použitelné na přístup orgánů veřejné moci k osobním údajům.

(108)

Aby Komise navíc mohla účinně plnit svou kontrolní funkci, měly by ji členské státy informovat o veškerých relevantních krocích vnitrostátních úřadů pro ochranu osobních údajů, zejména v souvislosti s dotazy nebo stížnostmi subjektů údajů z Unie, které se týkají předávání osobních údajů z Unie Evropské patentové organizaci.

(109)

V souladu s čl. 45 odst. 3 nařízení (EU) 2016/679 a s ohledem na skutečnost, že úroveň ochrany poskytovaná právním rámcem Evropské patentové organizace se může změnit, by Komise po přijetí tohoto rozhodnutí měla pravidelně přezkoumávat, zda zjištění týkající se odpovídající úrovně ochrany zajištěné Evropskou patentovou organizací jsou nadále skutkově i právně podložená. Tato hodnocení by se měla provádět nejméně jednou za čtyři roky a měla by zahrnovat všechny aspekty fungování tohoto rozhodnutí, včetně fungování příslušných mechanismů dohledu a donucovacích mechanismů.

(110)

Za účelem provedení přezkumu by se Komise měla sejít s Evropskou patentovou organizací, včetně jejího pověřence pro ochranu osobních údajů a rady pro ochranu údajů. Účast na této schůzce by měla být otevřena zástupcům členů Evropského sboru pro ochranu osobních údajů. V rámci přezkumu by Komise měla požadovat, aby Evropská patentová organizace poskytla souhrnné informace o všech aspektech relevantních pro zjištění o odpovídající ochraně. Komise by měla rovněž požadovat vysvětlení jakýchkoli obdržených informací relevantních pro toto rozhodnutí, včetně informací od sboru EDPB, jednotlivých úřadů pro ochranu osobních údajů, skupin občanské společnosti, veřejných zpráv a zpráv sdělovacích prostředků nebo jakéhokoli jiného dostupného zdroje informací.

(111)

Na základě přezkumu by Komise měla připravit veřejně přístupnou zprávu, kterou předloží Evropskému parlamentu a Radě.

(112)

Pokud z dostupných informací, zejména z informací vyplývajících ze sledování změn ze strany Komise, které by mohly mít dopad na fungování tohoto rozhodnutí podle čl. 45 odst. 4 nařízení (EU) 2016/679, nebo poskytnutých Evropskou patentovou organizací či orgány členských států, vyplyne, že úroveň ochrany poskytované Evropskou patentovou organizací již nemusí být odpovídající, měla by o tom Komise tuto organizaci informovat a požadovat, aby byla ve stanovené a přiměřené lhůtě přijata vhodná opatření.

(113)

Pokud po uplynutí stanovené lhůty Evropská patentová organizace tato opatření nepřijme nebo jiným způsobem uspokojivě neprokáže, že toto rozhodnutí je nadále založeno na odpovídající úrovni ochrany, zahájí Komise postup podle čl. 93 odst. 2 nařízení (EU) 2016/679 s cílem částečně nebo úplně zrušit toho rozhodnutí nebo pozastavit jeho použitelnost.

(114)

Alternativně Komise tento postup zahájí s cílem změnit toto rozhodnutí, zejména tak, že se na předávání údajů budou vztahovat další podmínky nebo že se omezí oblasti působnosti zjištění o odpovídající ochraně jen na předávání údajů, u nichž je odpovídající úroveň ochrany nadále zaručena.

(115)

Komise by rovněž měla zvážit zahájení postupu vedoucího ke změně, pozastavení použitelnosti nebo zrušení tohoto rozhodnutí, pokud v souvislosti s přezkumem nebo za jiných okolností Evropská patentová organizace neposkytne informace či objasnění, jež jsou nezbytné k posouzení úrovně ochrany poskytované osobním údajům předávaným z Unie nebo dodržování tohoto rozhodnutí. V tomto směru by Komise měla vzít v potaz míru, do jaké lze relevantní informace získat z jiných zdrojů.

(116)

V závažných, naléhavých a řádně odůvodněných případech Komise využije možnost přijmout postupem podle čl. 93 odst. 3 nařízení (EU) 2016/679 okamžitě použitelné prováděcí akty, kterými se rozhodnutí zruší, změní nebo se dočasně pozastaví jeho platnost.

(117)

Evropský sbor pro ochranu osobních údajů zveřejnil své stanovisko (292), které bylo při přípravě tohoto rozhodnutí zohledněno.

(118)

Opatření stanovená tímto rozhodnutím jsou v souladu se stanoviskem výboru zřízeného podle čl. 93 odst. 1 nařízení (EU) 2016/679,