(1)

Az (EU) 2016/679 rendelet meghatározza a személyes adatoknak az uniós adatkezelők vagy adatfeldolgozók által a harmadik országokba és a nemzetközi szervezeteknek történő továbbítására vonatkozó szabályokat, amennyiben az említett adattovábbítás az alkalmazási körébe tartozik. A nemzetközi adattovábbításra vonatkozó szabályokat az említett rendelet V. fejezete (44–50. cikke) állapítja meg. Noha a személyes adatok Európai Unión kívüli országokba és nemzetközi szervezetek részére, valamint onnan az Unióba történő áramlása elengedhetetlen a határokon átnyúló kereskedelem és a nemzetközi együttműködés bővítéséhez, a személyes adatoknak az Európai Unióban biztosított védelmi szintje nem sérülhet a harmadik országokba és a nemzetközi szervezetek részére történő továbbítás esetén (2).

(2)

Az (EU) 2016/679 rendelet 45. cikkének (3) bekezdése értelmében a Bizottság végrehajtási jogi aktusok útján határozhat arról, hogy a harmadik ország, a harmadik ország valamely területe, illetve egy vagy több meghatározott ágazata, illetve valamely nemzetközi szervezet biztosítja a megfelelő szintű védelmet. E feltétel teljesülése esetén a személyes adatok nemzetközi szervezetek részére történő továbbítására további engedély beszerzése nélkül kerülhet sor, az (EU) 2016/679 rendelet 45. cikke (1) bekezdésében és (103) preambulumbekezdésében foglaltak szerint.

(3)

Az (EU) 2016/679 rendelet 45. cikkének (2) bekezdésében foglaltak szerint a megfelelőségi határozat elfogadásának a nemzetközi szervezetre vonatkozó jogi szabályozás átfogó elemzésén kell alapulnia, amelynek ki kell terjednie az adatátvevőkre vonatkozó szabályokra, valamint a közigazgatási szervek személyes adatokhoz való hozzáférésével kapcsolatos korlátozásokra és biztosítékokra is. Értékelésében a Bizottságnak meg kell állapítania, hogy a szóban forgó nemzetközi szervezet olyan szintű védelmet biztosít-e, amely „lényegében megegyező” az Unión belül biztosított védelem szintjével (3). A „lényegi egyenértékűség” értékelése az uniós jogszabályok, elsősorban az (EU) 2016/679 rendelet, valamint az Európai Unió Bíróságának ítélkezési gyakorlata alapján történik (4). Ezenkívül az Európai Adatvédelmi Testület „megfelelőségi referenciája” is fontos a védelem megfelelő szintjének további pontosítása és az ezzel kapcsolatos iránymutatás szempontjából (5).

(4)

Ahogy azt a Bíróság egyértelművé tette, a harmadik országok és a nemzetközi szervezetek nem kötelezhetők arra, hogy az uniós jogrendben biztosított védelmi szinttel megegyező védelmi szintet biztosítsanak (6). Különösen a harmadik ország vagy a nemzetközi szervezet által a személyes adatok védelme céljából igénybe vett eszközök különbözhetnek az Unióban alkalmazott eszközöktől, amennyiben azok a gyakorlatban hatékonynak bizonyulnak a megfelelő szintű védelem biztosítására (7). A megfelelőségre vonatkozó előírás ezért nem követeli meg az uniós szabályok pontról pontra történő leképezését. A vizsgálat ehelyett arra irányul, hogy a magánélet tiszteletben tartásához való jog és az adatvédelmi biztosítékok tartalmát (beleértve azok hatékony végrehajtását, felügyeletét és érvényesítését is), valamint a személyes adatok továbbításának körülményeit tekintve az Unión kívüli rendszer összességében véve biztosítja-e a védelem szükséges szintjét (8).

(5)

A Bizottság elemezte az Európai Szabadalmi Szervezetre vonatkozó jogi keretet és gyakorlatot. A (7)–(100) preambulumbekezdésben foglalt megállapítások alapján a Bizottság arra a következtetésre jutott, hogy az Európai Szabadalmi Szervezet megfelelő szintű védelmet biztosít az (EU) 2016/679 rendelet hatálya alá tartozó, az Unióból az Európai Szabadalmi Szervezet részére továbbított személyes adatok védelme tekintetében.

(6)

E határozat értelmében az uniós adatkezelőktől és adatfeldolgozóktól az Európai Szabadalmi Szervezet részére történő adattovábbításra további engedély beszerzése nélkül kerülhet sor. Ez a határozat nem érinti az (EU) 2016/679 rendelet azon szervezetek tekintetében történő közvetlen alkalmazását, amelyek esetében teljesülnek az említett rendelet 3. cikkében meghatározott, a rendelet területi hatályára vonatkozó feltételek.

(7)

Az Európai Szabadalmi Szervezet egy kormányközi szervezet, amely 1977. október 7-én jött létre az Európai Szabadalmi Egyezmény (ESZE) alapján. A Szervezet – melynek székhelye Münchenben található – 39 szerződő állammal rendelkezik, amelyek az Unió valamennyi tagállamát, Izlandot, Norvégiát és Liechtensteint, valamint Albániát, Észak-Macedóniát, Monacót, San Marinót, Szerbiát, Svájcot, Montenegrót, az Egyesült Királyságot és Törökországot foglalják magukban (9).

(8)

A Szervezet jogi személyiséggel rendelkezik (10), és két szervből áll, amelyek a következők (11): az Európai Szabadalmi Hivatal (Hivatal) és az Igazgatótanács. Az Európai Szabadalmi Szervezet fő feladata az európai szabadalmaknak (12) az ESZE-vel összhangban történő megadása, amelyet a Hivatal az Igazgatótanács felügyelete mellett lát el. Az Igazgatótanács a szerződő államok képviselőiből áll, és jogalkotási hatásköröket gyakorol az Európai Szabadalmi Szervezet nevében. Emellett a szakpolitikai kérdésekért is felelős, és felügyeli a Hivatal tevékenységeit (13). Az Európai Szabadalmi Szervezet végrehajtó ágaként működő Hivatalt az elnök (14) vezeti, akinek a Hivatal irányítása a feladata, és aki és az Igazgatótanácsnak tartozik felelősséggel (15). Az elnök többek között előkészíti és végrehajtja a Hivatal költségvetését, kinevezi és felügyeli a Hivatal alkalmazottait, valamint fegyelmi jogkört gyakorol felettük, biztosítja a Hivatal működését – ideértve a belső igazgatási előírások és a nyilvánosságnak szánt tájékoztatók elfogadását –, és javaslatot tehet az Igazgatótanács részére az Egyezménynek az Igazgatótanács hatáskörébe tartozó módosítására, valamint az Igazgatótanács hatáskörébe tartozó általános szabályzatokra és határozatokra (16). A Hivatal különböző szervezeti egységekből áll, többek között az Átvevő Irodából, a Jogi Osztályból, a vizsgálati és felszólalási osztályokból, valamint a fellebbezési tanácsokból (olyan független belső testületek, amelyekhez fellebbezés nyújtható be az Európai Szabadalmi Szervezet által a szabadalom megadására irányuló eljárás keretében hozott határozatok ellen) (17).

(9)

Feladatainak ellátása során az Európai Szabadalmi Szervezet számos különböző uniós szereplőtől kap személyes adatokat. Az Európai Szabadalmi Szervezethez folyamatosan érkeznek európai szabadalmi bejelentések (18) a szabadalmak bejelentőitől vagy a tagállamok nemzeti szabadalmi hatóságaitól (19). Az Európai Szabadalmi Szervezet az 1257/2012/EU európai parlamenti és tanácsi rendelet (20) alapján rábízott feladatokkal összefüggésben is fogad és kezel személyes adatokat. E feladatok közé tartozik az európai szabadalmak egységes hatálya iránti kérelmek fogadása és vizsgálata, az éves díjak beszedése és az egységes hatály bejegyzése (21). Ezzel összefüggésben az Európai Szabadalmi Szervezet az Egységes Szabadalmi Bíróságtól is kap megkereséseket a Hivatal fellebbezési tanácsai (22) előtt folyamatban lévő fellebbezésekkel kapcsolatban, amelyekben az adott ügy azonosításához szükséges személyes adatok is szerepelhetnek (23).

(10)

Emellett az Európai Szabadalmi Szervezet a nemzetközi szabadalmi bejelentéseken keresztül is fogad személyes adatokat azokban az esetekben, amikor a Szabadalmi Együttműködési Szerződés (PCT) alapján jár el, amely nemzetközi szerződés lehetővé teszi a bejelentők számára, hogy a PCT valamennyi szerződő államában hatályos szabadalmakat szerezzenek (24). Az Európai Szabadalmi Szervezet a PCT szerinti nemzetközi kutatási szervként jár el, és e minőségében megvizsgálja a nemzetközi bejelentésekben közzétett találmányok szabadalmazhatóságát, ami segít a bejelentőknek eldönteni, hogy kérelmezzenek-e érdemi vizsgálatot nemzeti/uniós szinten (25).

(11)

Ezenkívül az Európai Szabadalmi Szervezet az „Európai Szabadalmi Hálózat” keretében szoros együttműködést folytat valamennyi tagállam nemzeti szabadalmi hatóságával, és ezzel összefüggésben személyes adatokat cserél velük, például az ESZE alapján folytatott együttműködés támogatását és megerősítését célzó képzések és informatikai szolgáltatások nyújtása során. Emellett kétoldalú együttműködési megállapodásokat kötött a tagállamokkal, amelyek a személyes adatok cseréjéről is rendelkeznek, például a munkacsoportok létrehozásával, a műszaki szakértők kirendelésével és kiküldésével stb. összefüggésben. Szorosan együttműködik továbbá az Európai Unió Szellemi Tulajdoni Hivatalával (EUIPO), például közös képzések és figyelemfelhívó rendezvények szervezése, valamint a szakértők kirendelése formájában.

(12)

Végezetül az Európai Szabadalmi Szervezet több olyan uniós szolgáltatóval is szerződést kötött, amelyek az (EU) 2016/679 rendelet 4. cikkének 8. pontja szerinti adatfeldolgozóként járnak el, és személyes adatokat továbbítanak az Európai Szabadalmi Szervezetnek.

(13)

Az Európai Szabadalmi Szervezet tevékenységét szabályozó elsődleges jogot nemzetközi szerződés állapítja meg: az Európai Szabadalmi Egyezmény, valamint – azokban az esetekben, amikor az Európai Szabadalmi Szervezet a Szabadalmi Együttműködési Szerződés alapján jár el – a Szabadalmi Együttműködési Szerződés. Az Európai Szabadalmi Szervezetre alkalmazandó normák hierarchiájának második szintjén az Igazgatótanács vagy – a PCT esetében – a PCT Közgyűlése által elfogadott jogi aktusok állnak. Az Európai Szabadalmi Szervezet másodlagos jogába tartozik az ESZE Végrehajtási Szabályzata és az úgynevezett Szolgálati Szabályzat (amelyben az Európai Szabadalmi Szervezet munkavállalóival kapcsolatos szabályok szerepelnek, ideértve a munkavállalók jogait és kötelezettségeit is) (26). A személyes adatok védelméhez való jogot a Szolgálati Szabályzat 1B. cikke rögzíti (27), amely az Európai Szabadalmi Szervezet adatvédelmi keretének néhány alapvető rendelkezését is tartalmazza, nevezetesen az adatvédelmi keret alkalmazási körére, az adatok különleges kategóriáinak védelmére és az egyének jogainak gyakorlására vonatkozóan. A Szolgálati Szabályzat 2. cikkének (1) bekezdése és 32A. cikke független felügyeleti mechanizmusokat (adatvédelmi tisztviselőt és Adatvédelmi Testületet) hoz létre az adatvédelmi szabályoknak való megfelelés felügyeletére (28).

(14)

A személyes adatok védelmével kapcsolatban az Igazgatótanácsra és a Hivatalra, valamint azok valamennyi szervezeti egységére ugyanazok az érdemi követelmények vonatkoznak. Ennek megfelelően a személyes adatok Hivatal általi kezelését az Igazgatótanács által elfogadott, az Európai Szabadalmi Hivatal állandó és egyéb alkalmazottaira vonatkozó Szolgálati Szabályzatnak a személyes adatok védelméről szóló 1B. és 32A. cikkére vonatkozó végrehajtási szabályok (Adatvédelmi Szabályzat) szabályozzák (29). A személyes adatok Igazgatótanács általi kezelésére az Igazgatótanács Adatvédelmi Szabályzata vonatkozik, amely az Adatvédelmi Szabályzatot értelemszerűen alkalmazza (30). Minden olyan esetben, amikor ez a határozat az Adatvédelmi Szabályzatra hivatkozik, a hivatkozások magukban foglalják az Igazgatótanácsra, valamint az annak Titkárságára és bizottságaira vonatkozó megfelelő követelményeket is. Az Adatvédelmi Szabályzat szerkezete és tartalma szorosan igazodik az uniós adatvédelmi kerethez (31). Ennek megfelelően számos közös vonása van az (EU) 2018/1725 európai parlamenti és tanácsi rendelettel (32), amely az uniós intézményekre és szervekre vonatkozó adatvédelmi követelményeket állapítja meg, ezért jól illeszkedik a nemzetközi szervezetek sajátos felépítéséhez és jellemzőihez, miközben szorosan követi az (EU) 2016/679 rendeletet.

(15)

A Hivatal által végzett adatkezeléssel kapcsolatban a Hivatal elnöke további jogilag kötelező erejű eszközöket, például körleveleket, határozatokat és belső igazgatási előírásokat adott ki (33). Így különösen a következők egészítik ki az Adatvédelmi Szabályzatot: a személyes adatoknak a szabadalom megadására irányuló és a kapcsolódó eljárásokban történő kezeléséről szóló, 2021. december 13-i elnöki határozat (PGP-határozat) (34); a személyes adatoknak az egységes hatályú európai szabadalmakkal kapcsolatos eljárásokban történő kezeléséről szóló, 2022. december 7-i határozat (UP-határozat) (35); a személyes adatok megfelelő védelmét biztosító országokról és szervezetekről szóló, 2022. november 17-i határozat (36); a Hivatal felhatalmazott adatkezelőként eljáró operatív egységeinek meghatározásáról szóló, 2024. május 2-i határozat (37); és az Adatvédelmi Szabályzatban foglalt, az érintettek jogainak korlátozásáról szóló 25. cikk végrehajtásáról szóló 420. sz. körlevél (420. sz. körlevél) (38). A szabadalom megadására irányuló eljárásokkal kapcsolatban végzett adatkezelés tekintetében fontos megjegyezni, hogy a személyes adatok kezelésére vonatkozó, közvetlenül az ESZE-ben és a PCT-ben előírt követelmények elsőbbséget élveznek az Adatvédelmi Szabályzattal szemben. Az ESZE és a PCT, valamint az Adatvédelmi Szabályzat közötti kölcsönhatást a PGP-határozat (39) és az UP-határozat tisztázza. A közvetlenül az ESZE-ből és a PCT-ből eredő konkrét adatvédelmi követelményeket az (55)–(59) preambulumbekezdés értékeli. Az Adatvédelmi Szabályzat és az azt kiegészítő eszközök jogilag kötelező erejűek és kikényszeríthetők, és azokra az egyének a (89)–(96) preambulumbekezdésben leírtak szerint független jogorvoslati mechanizmusok előtt hivatkozhatnak.

(16)

A (15) preambulumbekezdésben említett jogi eszközökben rögzített szabályok gyakorlati alkalmazását az adatvédelmi tisztviselő által kiadott jogi aktusok is biztosítják (lásd a (83)–(88) preambulumbekezdést) (40), amelyek az Igazgatótanácsra és a Hivatalra, és azok valamennyi szervezeti egységére vonatkoznak (41).

(17)

Az Adatvédelmi Szabályzat és a Szolgálati Szabályzat értelmében (42) a személyes adatok kezelése során az Európai Szabadalmi Szervezet valamennyi alkalmazottja köteles betartani az Adatvédelmi Szabályzatot. Az Adatvédelmi Szabályzat tárgyi és személyi hatályát a „személyes adatok”, az „adatkezelés”, az „adatkezelő”, a „felhatalmazott adatkezelő” és az „adatfeldolgozó” kifejezéseknek a Szabályzatban rögzített fogalma határozza meg.

(18)

A „személyes adat” és az „adatkezelés” Adatvédelmi Szabályzatban szereplő fogalommeghatározásai megegyeznek az (EU) 2016/679 rendeletben szereplő meghatározásokkal (43). Az Adatvédelmi Szabályzat a személyes adatok Európai Szabadalmi Szervezet általi kezelésének valamennyi esetére alkalmazandó, függetlenül attól, hogy az adatkezelés a Szervezet saját alkalmazottainak a személyes adataira vagy más személyek adataira vonatkozik-e (44). Az álnevesített adatok (45) szintén személyes adatoknak minősülnek, azonban az elhunyt személyek és a jogi személyek adatait, valamint az anonim információkat (46) az Adatvédelmi Szabályzat értelmében nem tekintik személyes adatnak (47).

(19)

Az Adatvédelmi Szabályzatot kell alkalmazni a személyes adatoknak az Európai Szabadalmi Szervezet általi, részben vagy egészben automatizált módon történő kezelésére, valamint azoknak a személyes adatoknak a nem automatizált módon történő kezelésére, amelyek valamely nyilvántartási rendszer részét képezik, vagy amelyeket ilyen rendszer részévé kívánnak tenni (48).

(20)

Az Adatvédelmi Szabályzat a következőképpen határozza meg az „adatkezelő” fogalmát: „olyan szervezet – jelen esetben az Európai Szabadalmi Hivatal –, amely önállóan vagy másokkal együtt meghatározza a személyes adatok kezelésének céljait és eszközeit” (49). A Hivatal által végzett adatkezelési műveletek tekintetében főszabály szerint az elnök jár el adatkezelőként (50). Ugyanez vonatkozik az Igazgatótanácsra (amelynek esetében annak elnöke jár el adatkezelőként), az igazságszolgáltatási minőségben eljáró fellebbezési tanácsokra (amelyek esetében azok elnöke jár el adatkezelőként (51)) és az albizottságra is (amelynek esetében Igazgatótanács elnöke jár el adatkezelőként (52)). Az adatkezelő ezt a hatáskört átruházhatja az operatív egységekre, amelyeket valamely felső vezető képvisel (53). Ilyen esetekben az operatív egységek „felhatalmazott adatkezelőként” (54) járnak el, és meghatározzák az adatkezelési művelet célját (például annak okát, indokolását és az alapjául szolgáló üzleti igényeket) és eszközeit, valamint biztosítják, hogy a személyes adatokat érintő valamennyi adatkezelési művelet megfeleljen az Adatvédelmi Szabályzat rendelkezéseinek (55). Ilyen esetekben továbbra is az adatkezelő felelős a személyes adatok kezeléséért. Az Adatvédelmi Szabályzat a „közös adatkezelés” esetéről is rendelkezik: ilyenkor az adatkezelő az Európai Szabadalmi Szervezeten kívüli egy vagy több adatkezelővel együtt határozza meg az adatkezelés célját és eszközeit (56).

(21)

Az „adatfeldolgozó” Adatvédelmi Szabályzatban szereplő fogalommeghatározása megegyezik az (EU) 2016/679 rendelet 4. cikkének 8. pontjában szereplő meghatározással, vagyis adatfeldolgozó az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely az adatkezelő nevében személyes adatokat kezel (57). Az adatkezelő csak olyan adatfeldolgozókat vehet igénybe, amelyek kellő garanciákat nyújtanak arra vonatkozóan, hogy megfelelő technikai és szervezési intézkedéseket hajtanak végre annak biztosítása érdekében, hogy az adatkezelés megfeleljen az Adatvédelmi Szabályzat követelményeinek (58). Az adatkezelő és az adatfeldolgozó közötti jogviszonyt olyan szerződésnek vagy jogi aktusnak kell szabályoznia, amely kötelező az adatfeldolgozóra nézve, és meghatározza többek között az adatkezelés tárgyát, időtartamát, jellegét és célját (59). Az adatfeldolgozó csak az adatkezelő dokumentált utasításai alapján kezelheti az adatokat. Az adatfeldolgozó köteles segíteni az adatkezelőt az Adatvédelmi Szabályzat szerinti kötelezettségei teljesítésében. Az adatfeldolgozó az adatkezelő előzetes engedélye nélkül nem vehet igénybe további adatfeldolgozókat (60). A felhatalmazott adatkezelők számára rendelkezésre áll az adatkezelési megállapodás mintája (61). Ezenkívül, ha az adatfeldolgozó harmadik országban található, a személyes adatok adatfeldolgozóval történő megosztásának meg kell felelnie az Adatvédelmi Szabályzat nemzetközi adattovábbításra vonatkozó követelményeinek is, az e határozat (68)–(73) preambulumbekezdésében leírtak szerint (62).

(22)

A személyes adatokat jogszerűen és tisztességesen kell kezelni.

(23)

Ezeket az általános elveket az Adatvédelmi Szabályzat 4. cikke (2) bekezdésének a) pontja az (EU) 2016/679 rendelet 5. cikke (1) bekezdésének a) pontjával azonosnak tekinthető módon rögzíti.

(24)

A jogszerűség elvét tovább részletezi az Adatvédelmi Szabályzat 5. cikke, amely felsorolja azokat a jogalapokat, amelyek alapján személyes adatok kezelhetők. Ezek a jogalapok a következők: a) az Európai Szabadalmi Szervezet hatósági tevékenységeinek gyakorlása (63) vagy az adatkezelőre ruházott közhatalmi jogosítvány jogszerű gyakorlása során felmerülő feladatok elvégzésének szükségessége, ideértve a Hivatal irányításához és működéséhez szükséges adatkezelést is (64); b) az adatkezelőre vonatkozó jogi kötelezettség (például a szabadalmi bejelentésben említett információknak az európai szabadalmi nyilvántartásban való közzétételére vonatkozó kötelezettség) teljesítésének szükségessége (65); c) olyan szerződés teljesítésének szükségessége, amelyben az érintett félként szerepel, vagy annak szükségessége, hogy az érintett kérésére a szerződés megkötése előtt bizonyos lépéseket tegyenek; d) az érintett hozzájárulása; vagy e) az érintett vagy más természetes személy létfontosságú érdekei megvédésének a szükségessége.

(25)

A hozzájárulást az Adatvédelmi Szabályzat az (EU) 2016/679 rendelettel megegyező módon határozza meg; ennek megfelelően a hozzájárulás „az érintett akaratának önkéntes, konkrét és megfelelő tájékoztatáson alapuló és egyértelmű kinyilvánítása, amellyel az érintett nyilatkozat vagy a megerősítést félreérthetetlenül kifejező cselekedet útján jelzi, hogy beleegyezését adja az őt érintő személyes adatok kezeléséhez” (66). Az adatkezelőnek kell igazolnia, hogy az érintett megadta a hozzájárulását (67). Annak megállapítása során, hogy a hozzájárulás önkéntes-e, figyelembe kell venni, hogy a szerződés teljesítésének feltételéül szabták-e az olyan személyes adatok kezeléséhez való hozzájárulást, amelyek nem szükségesek a szerződés teljesítéséhez (68). A hozzájárulás megadása nem tekinthető önkéntesnek, ha az érintett nem rendelkezik valós vagy szabad választási lehetőséggel, és nem áll módjában a hozzájárulás anélküli megtagadása vagy visszavonása, hogy ez kárára válna (69). Ezenkívül ahhoz, hogy a hozzájárulás a hozzájárulás tájékoztatáson alapulónak minősüljön, az Adatvédelmi Szabályzat előírja, hogy az érintettnek tisztában kell lennie legalább az adatkezelő kilétével és a személyes adatok kezelésének céljával (70). Végezetül az érintettnek joga van ahhoz, hogy a hozzájárulását bármikor visszavonja (71).

(26)

„Különleges adatok kategóriáinak” kezelése esetén külön biztosítékokat kell rendszeresíteni.

(27)

Az Adatvédelmi Szabályzat külön szabályokat tartalmaz a személyes adatok különleges kategóriáinak kezelésére vonatkozóan (72), amelyeket az (EU) 2016/679 rendelettel azonos módon határoz meg: „faji vagy etnikai származásra, politikai véleményre, vallási vagy világnézeti meggyőződésre vagy szakszervezeti tagságra utaló személyes adatok, valamint a természetes személyek egyedi azonosítását célzó genetikai (73) és biometrikus adatok (74), továbbá az egészségügyi adatok (75) és a természetes személyek szexuális életére vagy szexuális irányultságára vonatkozó személyes adatok” (76). Az Adatvédelmi Szabályzat értelmében az adatok különleges kategóriáinak kezelése főszabály szerint tilos, kivéve, ha arra külön kivétel vonatkozik (77).

(28)

Az Adatvédelmi Szabályzat 11. cikkének (2) bekezdésében felsorolt konkrét kivételek hasonlóak az (EU) 2016/679 rendelet 9. cikkének (2) és (3) bekezdésében felsoroltakhoz, azonban az Európai Szabadalmi Szervezet működésének jogi keretére tekintettel néhány eltérést is tartalmaznak. A személyes adatok különleges kategóriáinak kezelése csak a következő meghatározott és korlátozott körülmények között megengedett (78): ha 1. az érintett ahhoz kifejezetten hozzájárult; 2. az adatkezelés valamely természetes személy létfontosságú érdekeinek védelméhez szükséges (ha az érintett fizikai vagy jogi cselekvőképtelensége folytán nem képes kifejezetten hozzájárulni az adatkezeléshez); 3. a személyes adatokat az érintett kifejezetten nyilvánosságra hozta; 4. az adatkezelés az Európai Szabadalmi Szervezet hatósági tevékenységeinek gyakorlásához kapcsolódó konkrét célból vagy az adatkezelőre ruházott jogszerű hatáskör gyakorlása keretében szükséges (79); vagy 5. az adatkezelés jogi követelések előterjesztéséhez, érvényesítéséhez vagy védelméhez szükséges.

(29)

A személyes adatoknak a (27) preambulumbekezdésben említett különleges kategóriáin kívül az Adatvédelmi Szabályzat külön biztosítékokat ír elő a büntetőjogi felelősséget megállapító ítéletekkel és a bűncselekményekkel kapcsolatos személyes adatok kezelése tekintetében is: az ilyen adatkezelést csak az Adatvédelmi Testülettel folytatott előzetes konzultációt követően teszi lehetővé, vagy akkor, ha azt olyan jogilag kötelező erejű eszköz írja elő, amely megfelelő biztosítékokat nyújt az egyének jogai és szabadságai tekintetében (80).

(30)

A személyes adatokat konkrét célból kell kezelni, és később csak olyan mértékben használhatók fel, amely az adatkezelés céljával nem összeegyeztethetetlen.

(31)

Ezt az elvet az Adatvédelmi Szabályzat 4. cikke (2) bekezdésének b) pontja rögzíti, amely szerint a személyes adatok „gyűjtése csak meghatározott, egyértelmű és jogszerű célból történhet, és azok nem kezelhetők ezekkel a célokkal össze nem egyeztethető módon”.

(32)

Az (EU) 2016/679 rendelethez hasonlóan az érintett kifejezett hozzájárulása vagy az Európai Szabadalmi Szervezet alkalmazandó jogi rendelkezései alapján az Adatvédelmi Szabályzat is lehetővé teszi a további adatkezelést (függetlenül attól, hogy a további adatkezelés célja összeegyeztethető-e az eredeti céllal) (81). Az Európai Szabadalmi Szervezet jogi rendelkezésein alapuló esettel kapcsolatban az Adatvédelmi Szabályzat előírja, hogy az adatkezelésnek valamely közérdekű cél (82) védelme szempontjából szükséges és arányos intézkedésnek kell lennie.

(33)

Ha a további adatkezelés nem e két indokon alapul, az Adatvédelmi Szabályzat rögzíti, hogy milyen tényezőket kell figyelembe venni annak értékelésekor, hogy a további adatkezelés célja összeegyeztethető-e azzal a céllal, amelyből a személyes adatokat eredetileg gyűjtötték (83). Ez a megközelítés és az Adatvédelmi Szabályzatban felsorolt tényezők megegyeznek az (EU) 2016/679 rendelet 6. cikkének (4) bekezdésében és az (EU) 2018/1725 rendelet 6. cikkében meghatározottakkal (84).

(34)

A személyes adatoknak pontosnak kell lenniük, és szükség esetén azokat frissíteni kell. Továbbá az adatkezelés céljai szempontjából megfelelőnek, relevánsnak és a szükséges mértékűre korlátozottnak kell lenniük az adatkezelés céljaihoz képest, és főszabály szerint csak addig tárolhatók, ameddig az a személyes adatok kezelésének céljaihoz szükséges.

(35)

Ezeket az elveket az Adatvédelmi Szabályzat 4. cikke (2) bekezdésének c), d) és e) pontja az (EU) 2016/679 rendelettel megegyező módon rögzíti.

(36)

A személyes adatokat továbbá olyan módon kell kezelni, amely biztosítja a biztonságukat, többek között az adatok jogosulatlan vagy jogellenes kezelésével, véletlen elvesztésével, megsemmisítésével vagy károsodásával szemben. A gazdasági szereplőknek ebből a célból megfelelő technikai vagy szervezési intézkedéseket kell hozniuk, hogy a személyes adatokat megvédjék a lehetséges veszélyektől. Ezeket az intézkedéseket a technika állásának és a kapcsolódó költségeknek a figyelembevételével kell értékelni.

(37)

Az adatbiztonságot az Európai Szabadalmi Szervezet jogi kerete az Adatvédelmi Szabályzat 4. cikke (2) bekezdésének f) pontjában és 33. cikkében meghatározott integritás és bizalmas jelleg elve révén rögzíti, az (EU) 2016/679 rendelettel szinte azonos módon. Az Adatvédelmi Szabályzat pontosabban előírja, hogy a technika állása és a megvalósítás költségei, továbbá az adatkezelés jellege, hatóköre, körülményei és céljai, valamint a természetes személyek jogaira és szabadságaira jelentett, változó valószínűségű és súlyosságú kockázatok figyelembevételével, megfelelő technikai és szervezési intézkedések révén a kockázat mértékének megfelelő szintű biztonságot kell biztosítani.

(38)

Emellett az Adatvédelmi Szabályzat konkrét követelményeket tartalmaz az adatvédelmi incidensek kezelésére és bejelentésére vonatkozóan (85). Először is, az adatkezelő köteles indokolatlan késedelem nélkül (lehetőség szerint a tudomásszerzést követő 72 órán belül) értesíteni az adatvédelmi tisztviselőt az adatvédelmi incidensről, kivéve, ha az adatvédelmi incidens valószínűsíthetően nem jelent kockázatot az egyének jogaira és szabadságaira nézve (86). Az adatfeldolgozó szintén köteles indokolatlan késedelem nélkül értesíteni az adatkezelőt az adatvédelmi incidensekről (87). Az értesítésben ismertetni kell különösen az adatvédelmi incidens jellegét és várható következményeit, valamint az orvoslása érdekében hozott vagy javasolt intézkedéseket (88). Ha az adatvédelmi incidens valószínűsíthetően magas kockázattal jár az egyének jogaira és szabadságaira nézve, az adatkezelőnek az érintettet is haladéktalanul tájékoztatnia kell az adatvédelmi incidensről (89). Az érintett részére adott tájékoztatásban világosan és közérthetően ismertetni kell az adatvédelmi incidens jellegét (90), azonban nincs szükség ilyen tájékoztatásra, ha az adatkezelő utólag olyan intézkedéseket hozott, amelyek biztosítják, hogy az érintettek jogait és szabadságait érintő magas kockázat ne valósuljon meg (91).

(39)

Az érintetteket tájékoztatni kell személyes adataik kezelésének főbb jellemzőiről.

(40)

Az Adatvédelmi Szabályzat szerint az adatkezelő a személyes adatok megszerzésének időpontjában köteles tájékoztatni az érintett személyeket különösen az adatkezelő kilétéről és elérhetőségeiről (valamint az adatvédelmi tisztviselő elérhetőségeiről), az adatkezelés céljáról és jogalapjáról, az adatok címzettjeiről vagy a címzettek kategóriáiról, arról, hogy az adatokat az Európai Szabadalmi Szervezeten kívülre kívánja továbbítani, valamint az alkalmazandó jogokról és a jogorvoslat lehetőségéről (92). Ugyanez vonatkozik arra az esetre is, ha a személyes adatokat az adatgyűjtés céljától eltérő célból kezelik (93). E két kötelezettség csak akkor alkalmazandó, ha az érintett személy még nem rendelkezik az adott információkkal (94).

(41)

Ugyanezeket az információt kell az érintettek rendelkezésére bocsátani akkor is, ha a személyes adatokat nem közvetlenül tőlük gyűjtik, és ilyenkor további információkat kell közölni a személyes adatok forrására és az érintett adatkategóriákra vonatkozóan is (95). Ezt a tájékoztatást az adatok megszerzését követő észszerű időn belül (de legkésőbb egy hónapon belül) kell megadni, figyelembe véve az adatkezelés konkrét körülményeit (96). Ha a személyes adatokat az érintettel való kapcsolattartásra kívánják felhasználni, ezt a tájékoztatást legkésőbb az érintettel való első kapcsolatfelvétel időpontjában kell megadni (97). A (40) preambulumbekezdésben említett információkat a további adatkezelést megelőzően is meg kell adni, vagy ha az adatok más címzettel való közlését tervezik, legkésőbb a személyes adatok harmadik féllel történő közlésekor (98). Több olyan eset is van, amikor ez a kötelezettség nem alkalmazandó; a következőkről van szó: ha az érintett már rendelkezik az adott információkkal; ha az adott információknak az ESZE és/vagy az Európai Szabadalmi Szervezetre alkalmazandó egyéb jogi rendelkezések szerint szakmai titoktartási kötelezettség alapján bizalmasnak kell maradniuk (99); ha az adott információk rendelkezésre bocsátása lehetetlennek bizonyul, vagy aránytalanul nagy erőfeszítést igényelne, különösen az archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból történő adatkezelés esetében, amennyiben a tájékoztatás megadása lehetetlenné tenné vagy súlyosan veszélyeztetné az adatkezelés céljainak elérését; vagy ha az adott információk megszerzését vagy közlését az ESZE vagy más olyan alkalmazandó jogi rendelkezés kifejezetten előírja, amely megfelelő intézkedésekről rendelkezik az érintett jogos érdekeinek védelme céljából (100).

(42)

Az érintetteknek rendelkezniük kell bizonyos jogokkal, amelyek érvényesíthetők az adatkezelővel vagy az adatfeldolgozóval szemben, különös tekintettel az adatokhoz való hozzáférés jogára, az adatkezelés elleni tiltakozásra, valamint az adatok helyesbíttetéséhez és töröltetéséhez való jogra. Ugyanakkor az említett jogok korlátozás alá eshetnek, amennyiben ezek a korlátozások szükségesek és arányosak a közbiztonság vagy más fontos, általános közérdekű célok garantálása érdekében.

(43)

Az egyéni jogok gyakorlásának elősegítéséről a Szolgálati Szabályzat 1B. cikkének (4) bekezdése rendelkezik. E követelmény további végrehajtása érdekében az Adatvédelmi Szabályzat az (EU) 2016/679 rendeletben meghatározottakkal azonos jogokat biztosít az egyének számára, amelyek a következők: a hozzáférési jog (az Adatvédelmi Szabályzat 18. cikke), a helyesbítéshez való jog (az Adatvédelmi Szabályzat 19. cikke), a törléshez való jog (az Adatvédelmi Szabályzat 20. cikke), az adatkezelés korlátozásához való jog (az Adatvédelmi Szabályzat 21. cikke), az adathordozhatósághoz való jog (az Adatvédelmi Szabályzat 22. cikke), a tiltakozáshoz való jog (az Adatvédelmi Szabályzat 23. cikke), valamint az automatizált döntéshozatal elutasításához való jog (az Adatvédelmi Szabályzat 24. cikke).

(44)

Az Adatvédelmi Szabályzat ezenkívül általános rendelkezéseket tartalmaz az egyének által benyújtott, a jogaik gyakorlására irányuló kérelmek kezelésére vonatkozóan, és ezzel kapcsolatban előírja az adatkezelő számára, hogy világos és közérthető nyelven, tömör, áttekinthető, érthető és könnyen hozzáférhető formában (írásban vagy más módon) kommunikáljon az érintettekkel (101). Az adatkezelő indokolatlan késedelem nélkül, de legfeljebb a kérelem kézhezvételétől számított egy hónapon belül köteles tájékoztatni az érintett személyeket a kérelem alapján hozott intézkedésekről (ez az időtartam további két hónappal meghosszabbítható, ha az a kérelmek összetettségére és számára tekintettel szükséges) (102). Ha az érintett kérelme egyértelműen megalapozatlan vagy – különösen ismétlődő jellege miatt – túlzó, az adatkezelő megtagadhatja a kérelem teljesítését (103). Ha az adatkezelő nem tesz eleget a kérelemnek, azt közölnie kell az érintettel, és tájékoztatást kell nyújtania a jogorvoslat lehetőségéről (104).

(45)

Először is, a hozzáférési joggal kapcsolatban az Adatvédelmi Szabályzat biztosítja az egyének számára azt a jogot, hogy az Európai Szabadalmi Szervezettől visszajelzést kapjanak arra vonatkozóan, hogy személyes adataik kezelése folyamatban van-e, és ha igen, jogosultak arra, hogy a személyes adatokhoz egyszerűen (105) és észszerű időközönként hozzáférjenek (106). Ezenkívül az egyének jogosultak arra, hogy tájékoztatást kapjanak különösen az adatkezelés céljáról, az adatok érintett kategóriáiról, azokról a címzettekről, akikkel vagy amelyekkel az adatokat megosztják, valamint az adatok tárolásának tervezett időtartamáról (107).

(46)

Másodszor, az Adatvédelmi Szabályzat rögzíti, hogy a Szabályzatban biztosított helyesbítéshez való jog lehetővé teszi az egyének számára, hogy kérelmezzék a pontatlan adatok helyesbítését vagy a hiányos adatok kiegészítését (például kiegészítő nyilatkozat benyújtása útján) (108). A helyesbítést követően az adatkezelő köteles arról minden olyan címzettet tájékoztatni, akivel vagy amellyel a személyes adatokat közölték (109). Az Adatvédelmi Szabályzat értelmében a helyesbítéshez való jog az objektív és tényszerű adatokra vonatkozik, és nem alkalmazandó a szubjektív nyilatkozatokra (110), azonban utóbbi esetben az érintett személyek a meglévő adatokat újabb véleménnyel vagy cáfolattal egészíthetik ki, vagy észrevételeket tehetnek (111).

(47)

Harmadszor, az Adatvédelmi Szabályzat a törléshez való jogot (112) is biztosítja az egyének számára, különösen akkor, ha a) a személyes adatokra már nincs szükség abból a célból, amelyből kezelik őket; b) az érintett visszavonja a hozzájárulását, és az adatkezelésnek nincs más jogalapja; c) az érintett tiltakozik az adatkezelés ellen, és nincs elsőbbséget élvező jogszerű ok az adatkezelésre; d) az adatokat jogellenesen kezelték; e) vagy az adatokat az adatkezelőre vonatkozó jogi kötelezettség teljesítése érdekében törölni kell (113). Az adatkezelőnek minden olyan címzettet értesítenie kell a törlésről, akivel, illetve amellyel az adatokat megosztották, kivéve, ha ez lehetetlennek bizonyul, vagy aránytalanul nagy erőfeszítést igényel (114). Hasonlóképpen, ha az adatkezelő nyilvánosságra hozta a személyes adatokat, észszerű lépéseket kell tennie annak érdekében, hogy tájékoztassa az azokat kezelő többi adatkezelőt arról, hogy az érintett kérelmezte az adatok törlését (115). A törléshez való jog nem alkalmazandó a következő esetekben, amennyiben az adatkezelés szükséges a) a véleménynyilvánítás szabadságához és a tájékozódáshoz való jog gyakorlása céljából; b) az Európai Szabadalmi Szervezet valamely jogi kötelezettségének vagy az Európai Szabadalmi Szervezetnek a szerződő államaival való együttműködési kötelezettségéből eredő kötelezettség teljesítése (116), illetve az Európai Szabadalmi Szervezetre ruházott közhatalmi jogosítvány gyakorlása céljából (117); c) a szerződő államokkal a népegészségügy területén folytatott együttműködés érdekében (118); d) archiválás céljából, tudományos és történelmi kutatási vagy statisztikai célból (amennyiben a törlés valószínűsíthetően lehetetlenné tenné vagy súlyosan veszélyeztetné az adatkezelés céljainak elérését); vagy e) jogi követelések előterjesztéséhez, érvényesítéséhez, illetve védelméhez (119).

(48)

Negyedszer, az Adatvédelmi Szabályzat 21. cikke biztosítja az adatkezelés korlátozásához való jogot, azaz a személyes adatoknak a jövőbeli kezelésük korlátozása céljából történő megjelölését (ideértve a szóban forgó adatokhoz való hozzáférést végleges jelleggel megakadályozó programozási intézkedéseket is) (120). Erre a jogra különösen akkor lehet hivatkozni, ha az érintett vitatja a személyes adatok pontosságát (ez esetben a korlátozás arra az időtartamra vonatkozik, amely lehetővé teszi, hogy az adatkezelő ellenőrizze az adatok pontosságát), vagy ha az adatkezelés jogellenes, de az érintett ellenzi az adatok törlését (121). Ha az adatkezelés korlátozott, a személyes adatok – a tárolás kivételével – csak az érintett kifejezett hozzájárulásával, jogi követelések előterjesztése, érvényesítése vagy védelme, mások jogainak védelme vagy az Európai Szabadalmi Szervezet hatósági tevékenységeinek gyakorlása során végzett feladatok (azaz az ESZE szerint az Európai Szabadalmi Szervezet által elvégzendő adminisztratív és technikai munkához szükséges feladatok) teljesítése céljából kezelhetők (122).

(49)

Ötödször, a tiltakozáshoz való jogot a Szolgálati Szabályzat 1B. cikkének (4) bekezdése és az Adatvédelmi Szabályzat 23. cikke rögzíti. Ennek megfelelően az érintettek jogosultak arra, hogy bármikor tiltakozzanak a személyes adatok kezelése ellen, ha annak célja az Európai Szabadalmi Szervezet hatósági tevékenységeinek gyakorlásához vagy az adatkezelőre ruházott közhatalmi jogosítvány jogszerű gyakorlásához kapcsolódó feladatok teljesítése (123). Az érintett személyeket egyértelmű módon, legkésőbb a velük való első kapcsolatfelvétel során tájékoztatni kell erről a jogról (124). Ha az érintett tiltakozik a személyes adatok kezelése ellen, az Adatvédelmi Szabályzat szerint az adatkezelő köteles abbahagyni az adatkezelést, kivéve, ha az adatkezelő bizonyítani tudja, hogy az adatkezelést olyan jogszerű kényszerítő okok indokolják, amelyek elsőbbséget élveznek az érintett érdekeivel, jogaival és szabadságaival szemben, vagy amelyek jogi követelések megállapításához, érvényesítéséhez vagy védelméhez kapcsolódnak (125).

(50)

Hatodszor, az Adatvédelmi Szabályzat rögzíti az adathordozhatósághoz való jogot, lehetővé téve az egyének számára, hogy személyes adataikat tagolt, széles körben használt, géppel olvasható formátumban megkapják, és hogy azokat egy másik adatkezelőnek továbbítsák (126). Ez a jog akkor alkalmazandó, ha az adatkezelésre automatizált módon és az érintett hozzájárulása alapján, vagy az érintettel, illetve az érintett érdekében kötött szerződés teljesítése céljából kerül sor (127).

(51)

Végül az Adatvédelmi Szabályzat szerint az érintettek jogosultak arra, hogy ne terjedjen ki rájuk az automatizált döntéshozatal, azaz a kizárólag automatizált adatkezelésen – ideértve a profilalkotást is – alapuló döntés hatálya, amely rájuk nézve joghatással járna, vagy hasonlóan jelentős mértékben érintené őket (128). Az Adatvédelmi Szabályzat úgy rendelkezik, hogy automatizált döntéshozatalra akkor kerülhet sor, ha az az érintett kifejezett hozzájárulásán alapul, vagy ha az az érintettel történő szerződéskötéshez vagy az érintettel kötött szerződés teljesítéséhez szükséges, amely esetben az adatkezelő köteles megfelelő garanciákat biztosítani, például az emberi beavatkozáshoz, az érintett álláspontjának kifejtéséhez és a döntés megtámadásához való jog biztosítása útján (129). Az automatizált döntéshozatalt jogi aktus is engedélyezheti, ha az adott jogi aktus megfelelő intézkedéseket állapít meg az egyének jogainak védelme érdekében (130). Ha az adatkezelő automatizált döntéshozatalt alkalmaz – ideértve a profilalkotást is –, átláthatósági kötelezettségei keretében proaktívan tájékoztatnia kell erről az érintettet, és érdemi tájékoztatást kell nyújtania az alkalmazott logikáról, valamint arról, hogy a szóban forgó adatkezelés milyen jelentőséggel bír, és milyen várható következményekkel jár az érintett számára (131). Ezeket az információkat kérelemre is közölni kell (132).

(52)

Az (EU) 2016/679 rendelet 23. cikkéhez és az (EU) 2018/1725 rendelet 25. cikkéhez hasonlóan az Adatvédelmi Szabályzat 25. cikke úgy rendelkezik, hogy az Európai Szabadalmi Szervezet jogi keretének konkrét jogi rendelkezései korlátozhatják a (43)–(51) preambulumbekezdésben említett jogok (133) alkalmazását (azaz ideiglenesen korlátozhatják azok alkalmazását) (134), ha az adott korlátozás tiszteletben tartja az alapvető jogok (135) és szabadságok lényeges tartalmát, és egy demokratikus társadalomban szükséges és arányos intézkedésnek minősül az adott egyedi célkitűzések védelméhez (136). Ezenkívül a korlátozást olyan „világos és pontos” rendelkezésekben kell rögzíteni, amelyek célja, hogy az érintettekre nézve joghatást váltsanak ki, és amelyeket legalább az elnök szintjén kell elfogadni (137). E rendelkezésekben meg kell határozni különösen az adatkezelés célját, a korlátozás hatályát, a visszaélések megakadályozását célzó garanciákat, az adatmegőrzési időt és az alkalmazandó biztosítékokat (138).

(53)

Jelenleg a 420. sz. körlevél (az elnök által elfogadott, jogilag kötelező erejű eszköz) az egyetlen olyan jogi eszköz, amely az egyének jogainak korlátozásáról rendelkezik. A körlevél egyértelműen rögzíti, hogy az adatkezelő hogyan és milyen feltételek mellett alkalmazhat korlátozásokat, és kimerítő jelleggel meghatározza, hogy a jogok milyen esetekben és milyen célokból korlátozhatók (139). A körlevél úgy rendelkezik, hogy az Európai Szabadalmi Szervezet a következő egyedi célkitűzésekkel kapcsolatban korlátozhatja az egyének jogait: a) és b) a személyi állományával kapcsolatos vizsgálati vagy fegyelmi eljárások lefolytatásakor (140); c) belső vitarendezéssel vagy jogi követelések előterjesztésével, érvényesítésével, illetve védelmével összefüggésben – ideértve a választottbíráskodást is –, a felektől, a beavatkozóktól vagy más jogszerű forrásokból származó bizalmas információk és dokumentumok megőrzése érdekében; d) az egészségügyi adatok orvosi eljárások során és egészségügyi dokumentumokban történő kezelése során, azonban kizárólag az egyének jogainak védelme érdekében (141); e) és f) belső ellenőrzések és vizsgálatok során (a vizsgálatokat az adatvédelmi tisztviselő folytatja le); g) az informatikai események kezelése és a fizikai biztonsági események bejelentése céljából; valamint h) az illetékes hatóságok – többek között az Európai Szabadalmi Szervezet szerződő államai és nemzetközi szervezetek – részére történő segítségnyújtás, illetve az ilyen hatóságoktól kapott segítség esetén, vagy az ilyen hatóságokkal a szolgáltatási szintre vonatkozó megállapodásokban, egyetértési megállapodásokban és együttműködési megállapodásokban meghatározott tevékenységekkel kapcsolatban folytatott együttműködés során, az érintett hatóságok kérése vagy a Hivatal saját kezdeményezése alapján (142).

(54)

Azt, hogy egy adott esetben alkalmazható-e korlátozás, az adatkezelőnek kell eldöntenie az adott eset egyedi körülményeinek figyelembevételével (143). Annak eldöntésekor, hogy alkalmazzon-e korlátozást, az adatkezelőnek először értékelnie kell – az adatvédelmi tisztviselő bevonásával –, hogy az az adott esetben szükséges és arányos-e (144). Ezen értékelés során az érintett jogait és szabadságait érintő potenciális kockázatokat össze kell vetni a többi érintett jogait és szabadságait érintő kockázatokkal, valamint az adatkezelési művelet céljának és eredményének akadályozásával kapcsolatos kockázatokkal (145). A korlátozásokat dokumentálni kell, melynek során rögzíteni kell többek a korlátozott jogok értékelését, valamint a korlátozás időtartamát, indokait és jogalapját (146). Ezenkívül amíg a korlátozás érvényben van, megfelelő technikai és szervezési intézkedéseket kell alkalmazni (147). A korlátozások csak addig alkalmazhatók, amíg az annak alapjául szolgáló okok fennállnak (148). Ha valamely jog tekintetében korlátozást alkalmaznak, az adatkezelő köteles tájékoztatni az érintettet annak fő okairól és az érintett panasztételi jogáról (149).

(55)

Az Európai Szabadalmi Szervezet alapító szerződésének (az ESZE-nek) és a PCT-nek a rendelkezései, valamint az azok alapján alkalmazandó rendelkezések (amelyek mind az Európai Szabadalmi Szervezet elsődleges jogát képezik) a szabadalom megadására irányuló eljárással kapcsolatban olyan konkrét követelményeket tartalmaznak, amelyek hatással lehetnek az Adatvédelmi Szabályzatból eredő egyes jogok gyakorlására (150). A PGP-határozat áttekintést nyújt ezekről az elsődleges jogban rögzített követelményekről, kifejti, hogy ebben az összefüggésben hogyan gyakorolhatók az érintettek jogai, és egyértelműen meghatározza a lehetséges kivételeket (151). A 420. sz. körlevél rögzíti, hogy azoknak a rendelkezéseknek, amelyek korlátozhatják az adatvédelmi jogok alkalmazását, világosan meg kell határozniuk a mentességek hatályát, ezáltal egyensúlyt teremtve a különböző érdekek között (152).

(56)

Először is, az ESZE 127. cikke értelmében a Hivatal köteles vezetni az európai szabadalmi nyilvántartást, amelyben bizonyos jogszabályban meghatározott személyes adatok is közzétételre kerülnek. Az elsődleges jog szerint a szabadalmi bejelentéseket a szabadalom megadására irányuló eljárás során általában a bejelentés napjától számított tizennyolc hónapos időszak eltelte után a lehető leghamarabb közzé kell tenni. Az ESZE úgy rendelkezik, hogy a szabadalmi bejelentésekben szereplő személyes adatokhoz iratbetekintés vagy a nyilvántartásba való betekintés útján lehet hozzáférni (153). A közzététel előtt a szabadalmi bejelentések csak a bejelentő kifejezett hozzájárulásával tekinthetők meg. A PCT is hasonló szabályokat állapít meg (154).

(57)

Másodszor, az ESZE kifejezetten szabályozza a szabadalom megadására irányuló eljárás keretében felhasznált információk módosításának lehetőségét (155). Az ESZE csak az Európai Szabadalmi Szervezethez benyújtott dokumentumok hibáinak (156), a határozatok hibáinak (157) és a fordításoknak a kijavítását (158), valamint a feltaláló megnevezésének a helyesbítését (159) teszi lehetővé. A szabadalom megadására irányuló eljárás során felhasznált dokumentumokban szereplő személyes adatok helyesbítése ezért szintén csak ezekben az esetekben kérhető. Ugyanez vonatkozik az adatkezelés korlátozásának lehetőségére is (160).

(58)

Harmadszor, a szabadalom megadására irányuló eljárás során használt egyes dokumentumok tekintetében az ESZE külön megőrzési és közzétételi követelményeket ír elő, amelyek hatással vannak az említett dokumentumokban szereplő információk, köztük a személyes adatok törlésének lehetőségére (161). Különösen a közzétett szabadalmi bejelentéseket és az Európai Szabadalmi Közlönyben közzétett, a szabadalmakkal kapcsolatos információkat kell megőrizni, és folyamatosan gondoskodni kell azok nyilvános elérhetőségéről (162). Ennélfogva az említett dokumentumokban szereplő személyes adatok törlése ellentétes lenne az Európai Szabadalmi Szervezet alapvető jogi kötelezettségeivel (az ESZE 129. cikkének a) pontja), ezért arra nincs lehetőség. Az egyéb dokumentumokat az Európai Szabadalmi Szervezet az ESZE-ben meghatározott ideig, azaz főszabály szerint öt évig köteles megőrizni (163). Ezen időszak alatt az említett dokumentumokban szereplő információk (köztük a személyes adatok) nem törölhetők.

(59)

Ezért – figyelembe véve különösen azok korlátozott alkalmazási körét és alkalmazási feltételeit – úgy tekinthető, hogy a jogok gyakorlásának az (55)–(58) preambulumbekezdésben említett rendelkezésekből eredő korlátozásai a szabadalom megadására irányuló eljárás megfelelő működésének biztosításához szükséges és arányos mértékre korlátozódnak, ahogy azt az Európai Szabadalmi Szervezet hatósági feladatainak ellátásához fűződő közérdek megköveteli. Amennyiben az ESZE és a PCT nem szabályozza kifejezetten az adatvédelmi jogok gyakorlását – azaz az (55)–(58) preambulumbekezdésben leírtakon kívül minden más esetben –, az Adatvédelmi Szabályzat követelményei teljes mértékben alkalmazandók.

(60)

Az Unióból az Európai Szabadalmi Szervezethez továbbított személyes adatok védelmének szintjét nem veszélyeztetheti az említett adatok harmadik országbeli címzettek vagy más nemzetközi szervezetek részére történő újbóli továbbítása.

(61)

Az Adatvédelmi Szabályzat különbséget tesz a „személyes adatok átadása” (az adatoknak az Európai Szabadalmi Szervezet által annak szerződő államaival történő megosztása) és a „személyes adatok továbbítása” (az adatoknak az Európai Szabadalmi Szervezet által az Európai Szabadalmi Szervezeten kívüli bármely más személlyel vagy szervezettel történő megosztása) között (164).

(62)

Először is, az Adatvédelmi Szabályzat úgy rendelkezik, hogy az Európai Szabadalmi Szervezet valamely szerződő államának nemzeti szellemi tulajdoni hivatala részére történő adatátadásra akkor kerülhet sor, ha az adatok szükségesek a) a címzett hatáskörének vagy közhatalmi jogosítványának gyakorlásához és b) az Európai Szabadalmi Szervezet hatósági feladatainak az ellátásához/közhatalmi jogosítványának a gyakorlásához (165). Ezekre az adatátadásokra az ESZE és a PCT szerinti, szabadalom megadására irányuló eljárásokkal összefüggésben kerül sor (166).

(63)

Másodszor, az Adatvédelmi Szabályzat lehetővé teszi az Európai Szabadalmi Szervezet szerződő államának valamely közigazgatási szerve részére (167) történő adatátadást, ha az adatok az adott szerv feladatainak ellátásához szükségesek, és az átadásuk összeegyeztethető az Európai Szabadalmi Szervezet feladataival és működésével (168). Ezt az átadást az ESZE és a Szabadalom megadására irányuló eljárást szabályozó más jogi eszközök nem írják elő kifejezetten, azonban szükség lehet rá az Európai Szabadalmi Szervezet feladatainak ellátása, például az Európai Szabadalmi Szervezet és a szerződő államok konzultációs folyamatok keretében folytatott együttműködése; a szakértők kirendelése és kiküldése; vagy az Európai Szabadalmi Szervezet személyzetére vonatkozó információknak a szociális ellátások, adózási követelmények stb. megállapítása céljából történő megadása érdekében.

(64)

Az adatvédelmi tisztviselő az ilyen, a (62) és (63) preambulumbekezdésben leírt adatátadásokra vonatkozó egyetértési megállapodásokban rögzítendő mintafeltételeket dolgozott ki, amelyek többek között rendelkeznek az adatvédelmi elvekről, és a további adatkezelést az összeegyeztethető célokra korlátozzák, továbbá rendelkeznek az érintettek jogairól, valamint az adatbiztonsággal és az adatvédelmi incidensekkel kapcsolatos kötelezettségekről és a független felügyeletről (169).

(65)

Az Adatvédelmi Szabályzat szerint a címzettnek a (62) és (63) preambulumbekezdésben ismertetett mindkét esetben igazolnia kell, hogy az adatok átadása az Európai Szabadalmi Szervezetnek a szerződő állammal vagy államokkal való együttműködési kötelezettségéből eredő konkrét célból szükséges (170). Az adatkezelőnek minden egyes adatátadás esetében képesnek kell lennie annak igazolására, hogy az adott átadás szükséges és arányos azon konkrét céllal, amelynek érdekében az adatokat megosztották (171). Minden adattovábbítást oly módon kell végezni, amely garantálja az Adatvédelmi Szabályzat által biztosított védelem szintjének fenntartását (172). Az adatvédelmi tisztviselő által kiadott iránymutatás szerint ez azt jelenti, hogy megfelelő biztosítékokat kell bevezetni, többek között annak biztosítása révén, hogy a megosztandó adatok mennyiségét a minimálisra kell csökkenteni, és az adott cél eléréséhez megfelelő, releváns és feltétlenül szükséges mértékre kell korlátozni (173). Ha megalapozottan feltételezhető, hogy az érintett személy jogos érdekei sérülhetnek, az adatkezelő a szóban forgó különböző érdekek mérlegelését követően köteles igazolni, hogy a személyes adatok adott célból történő átadása arányos (174).

(66)

E két esetkörrel kapcsolatban fontos megjegyezni továbbá, hogy az Európai Szabadalmi Szervezet valamennyi szerződő állama részes fele az emberi jogok és alapvető szabadságok védelméről szóló európai egyezménynek – amely az Emberi Jogok Európai Bíróságának hatáskörébe tartozik –, valamint az Európa Tanácsnak a személyes adatok gépi feldolgozása során az egyének védelméről szóló egyezményének (ETS 108. sz.).

(67)

Végül az Adatvédelmi Szabályzat lehetővé teszi az Európai Gazdasági Térségben (EGT) található adatfeldolgozó részére történő adatátadást is, ha teljesülnek az Adatvédelmi Szabályzatban az adatfeldolgozók igénybevételére vonatkozóan meghatározott követelmények (175).

(68)

A személyes adatoknak az Európai Szabadalmi Szervezet szerződő államainak közigazgatási szerveitől vagy nemzeti szellemi tulajdoni hivatalától, illetve az EGT-n belüli adatfeldolgozótól eltérő, az Európai Szabadalmi Szervezeten kívüli bármely szervezettel való megosztása a személyes adatok „továbbításának” minősül, amelyre az Adatvédelmi Szabályzat szerint külön követelmények vonatkoznak (176). Ezek a követelmények alkalmazandók például az adatok EGT-n kívüli adatfeldolgozókkal, a szerződő államokban vagy azokon kívül található adatkezelőkkel, a nem szerződő államok közigazgatási szerveivel és más nemzetközi szervezetekkel történő megosztására. Az Adatvédelmi Szabályzat általánosságban úgy rendelkezik, hogy az adatok harmadik felek részére történő továbbítása nem veszélyeztetheti az Európai Szabadalmi Szervezet által az egyének számára biztosított védelem szintjét (177). Az adatvédelmi tisztviselő iránymutatása szerint „a továbbított személyes adatok harmadik ország vagy nemzetközi szervezet által biztosított védelmének lényegében egyenértékűnek kell lennie az Adatvédelmi Szabályzatban biztosított védelemmel” (178).

(69)

Az Adatvédelmi Szabályzat értelmében a személyes adatok Európai Szabadalmi Szervezeten kívüli továbbítására elsősorban akkor kerülhet sor, ha az az ország, ahol a címzett található, vagy az adott nemzetközi szervezet megfelelő szintű védelmet biztosít, és ha az adattovábbítás kizárólag az Európai Szabadalmi Szervezet hatáskörébe tartozó feladatok elvégzésének lehetővé tétele érdekében történik (179). Az elnök megfelelőségi határozatot hoz (180), és kétség esetén az adatvédelmi tisztviselővel és az Adatvédelmi Testülettel folytatott konzultációt követően határoz (181). Az adatvédelmi tisztviselő „megfelelőségi referenciát” dolgozott ki, amely meghatározza a megfelelőségi határozatokra vonatkozó feltételeket (182). Ennek megfelelően a harmadik ország vagy a nemzetközi szervezet jogi keretének különösen a legfontosabb adatvédelmi elvekről, az érintettek jogairól, az újbóli továbbításra vonatkozó szabályokról, az eljárási és végrehajtási mechanizmusokról, valamint az egyének jogorvoslati lehetőségeiről kell rendelkeznie. Ha az elnök megfelelőségi határozatot fogad el, az adattovábbításra további biztosítékok alkalmazása nélkül is sor kerülhet (183). Az Európai Szabadalmi Szervezet jelenleg a tagállamokat, Norvégiát, Izlandot és Liechtensteint, azokat az országokat, amelyek tekintetében a Bizottság megfelelőségi határozatot hozott (184), valamint az uniós intézményeket és szerveket tekinti úgy, mint amelyek megfelelő szintű védelmet biztosítanak (185).

(70)

Az Adatvédelmi Szabályzat szerint megfelelőségi határozat hiányában az adatkezelő vagy az adatfeldolgozó csak akkor továbbíthat személyes adatokat az Európai Szabadalmi Szervezeten kívüli címzetteknek, ha megfelelő garanciákat nyújtott, és feltéve, hogy az érintettek érvényesíthető jogokkal és hatékony jogorvoslati lehetőségekkel rendelkeznek (186). A szóban forgó megfelelő garanciákat a közigazgatási szervekkel vagy a nemzetközi szervezetekkel kötött igazgatási megállapodásokban, szerződéses rendelkezésekben (az Adatvédelmi Testülettel folytatott konzultációt követően) (187) vagy tanúsítási mechanizmusokban (188) lehet rögzíteni. Az adatvédelmi tisztviselő kidolgozta az igazgatási megállapodásokba foglalandó rendelkezések vázlatát (189). Ezenkívül az adatfeldolgozók részére történő adattovábbításra vonatkozó adatvédelmi megállapodások mintája is rendelkezésre áll (190). Az adatvédelmi tisztviselő iránymutatása szerint az Európai Szabadalmi Szervezetnek értékelnie kell, hogy az adatátvevőre vonatkozó jogi keret megakadályozná-e az adatátvevőt az adatátviteli eszköz szerinti kötelezettségeinek teljesítésében, és szükség esetén kiegészítő intézkedéseket kell alkalmaznia (191). Az adatvédelmi tisztviselőnek az Európai Szabadalmi Szervezet személyes adatok átadásáról és továbbításáról szóló magyarázó megjegyzéseiben foglalt ajánlása szerint ezen értékelés elvégzése érdekében figyelembe kell venni az Európai Adatvédelmi Testület és az európai adatvédelmi biztos vonatkozó iránymutatásait (192).

(71)

Az Adatvédelmi Szabályzat értelmében az Európai Szabadalmi Szervezetnek a megfelelőségi határozattal rendelkező országokba vagy szervezetekhez történő adattovábbítás, valamint a megfelelő biztosítékok alapján történő adattovábbítás minden egyes esetében igazolnia kell, hogy az az adatkezelés céljából szükséges és arányos (193). Ezenkívül ha megalapozottan feltételezhető, hogy az érintettek jogos érdekei sérelmet szenvedhetnek, az Európai Szabadalmi Szervezetnek a szóban forgó különböző érdekek mérlegelését követően igazolnia kell, hogy az adattovábbítás arányos (194). Ezen túlmenően (szerződéses biztosítékok révén) biztosítani kell, hogy a címzett csak arra a célra kezelhesse vagy használhassa fel az adatokat, amelyre azokat továbbították, és azokat a cél elérését követően haladéktalanul törölnie kell (195).

(72)

Az Adatvédelmi Szabályzat szerint megfelelőségi határozat vagy megfelelő biztosítékok hiányában a személyes adatok Európai Szabadalmi Szervezeten kívüli továbbítása „csak kivételesen” megengedett, ha az uniós adatvédelmi jog megfelelő rendelkezéseiben foglaltakhoz hasonló feltételek alapján úgynevezett „eltérés” alkalmazandó (196). Ez az eset áll fenn, ha a) az érintett kifejezetten hozzájárult az adattovábbításhoz (197); b) és c) az adattovábbítás alkalmi jellegű, és az érintettel kötött vagy az érintett érdekét szolgáló szerződés teljesítéséhez (vagy az érintett kérésére hozott, a szerződéskötést megelőző intézkedések végrehajtásához) szükséges (198); d) az adattovábbítás az Európai Szabadalmi Szervezet hatósági tevékenységeinek gyakorlásával vagy az adatkezelőre ruházott közhatalmi jogosítvány jogszerű gyakorlásával kapcsolatos feladatok teljesítéséhez szükséges (199); e) az adattovábbítás alkalmi jellegű, és jogi követelések előterjesztése, érvényesítése vagy védelme miatt szükséges (200); f) az adattovábbítás valamely természetes személy létfontosságú érdekeinek védelméhez szükséges, és az érintett fizikailag vagy jogilag képtelen a hozzájárulás megadására (201); vagy g) a továbbításra olyan nyilvántartásból kerül sor, amely a nyilvánosság tájékoztatását szolgálja, és amely általában a nyilvánosság vagy bármely, jogos érdekét igazoló személy számára betekintés céljából rendelkezésre áll, amennyiben az adott esetben teljesülnek a betekintés feltételei (202). Jellegüknél fogva és az adatvédelmi tisztviselő iránymutatása szerint a módszeres és rendszeres adattovábbítások esetében ezekre az eltérésekre nem lehet hivatkozni (203).

(73)

Végezetül az adatok egyes kategóriáinak a megfelelőségi határozattal nem rendelkező országokba vagy szervezetekhez történő továbbítását az elnök a Hivatalra ruházott közhatalmi jogosítvány jogszerű gyakorlásával kapcsolatos fontos okokból is korlátozhatja (204). Az elnök eddig még nem élt ezzel a hatáskörével.

(74)

Az elszámoltathatóság elve értelmében az adatkezelőknek megfelelő technikai és szervezeti intézkedéseket kell hozniuk, hogy hatékonyan feleljenek meg adatvédelmi kötelezettségeiknek, és hogy bizonyítani tudják ezt a megfelelést, különösen az illetékes felügyeleti hatóság felé.

(75)

Az Adatvédelmi Szabályzat 4. cikkének (1) bekezdése rendelkezik az elszámoltathatóság általános elvéről, és egyértelműen rögzíti, hogy az adatkezelő felel az Adatvédelmi Szabályzat betartásáért, valamint hogy képesnek kell lennie arra, hogy igazolja annak betartását. Ennek megfelelően az adatkezelő köteles megfelelő technikai és szervezési intézkedéseket végrehajtani a Szabályzat betartásának biztosítása és annak igazolhatósága érdekében, figyelembe véve az adatkezelés jellegét, hatókörét, körülményeit és céljait, valamint az egyének jogait érintő kockázatok változó valószínűségét és súlyosságát (205). E tekintetben az Adatvédelmi Szabályzat a beépített és alapértelmezett adatvédelem elvét is érvényesíti azáltal, hogy előírja az adatkezelő számára, hogy alkalmazzon az adatvédelmi elvek végrehajtására és az Adatvédelmi Szabályzatnak való megfelelés biztosítására irányuló intézkedéseket, valamint hogy biztosítsa, hogy alapértelmezés szerint kizárólag olyan személyes adatok kezelésére kerüljön sor, amelyek az adott konkrét adatkezelési cél szempontjából szükségesek (206).

(76)

Az adatkezelőnek és az adatfeldolgozóknak nyilvántartást kell vezetniük az adatkezelési tevékenységekről, amelyben rögzíteni kell többek között a következőkre vonatkozó információkat: az adatkezelés célja, a kezelt adatok kategóriái, azon címzettek kategóriái, akiknek, illetve amelyeknek az adatokat továbbítják, valamint a személyes adatok továbbítása (207). Ezek a nyilvántartások főszabály szerint nyilvánosan hozzáférhetők (kivéve, ha bizalmas információkat tartalmaznak), szerepelnek egy nyilvánosan elérhető adatvédelmi nyilvántartásban, és kérésre az Adatvédelmi Testület rendelkezésére kell bocsátani őket (208). Minden operatív egységnek ki kell jelölnie legalább egy adatvédelmi kapcsolattartót (egy egytől három évig terjedő, megújítható időtartamra), akinek részt kell vennie egy kötelező adatvédelmi képzésen, és segítenie kell az adatkezelőt a kötelezettségei teljesítésében (209).

(77)

Végezetül az Adatvédelmi Szabályzat különböző eszközöket biztosít, amelyek segíthetik az adatkezelőt és az adatfeldolgozókat a megfelelésre irányuló erőfeszítéseikben. Például az Adatvédelmi Szabályzat szerint a jóváhagyott tanúsítási mechanizmusok betartása az Adatvédelmi Szabályzatban rögzített kötelezettségeknek való megfelelés bizonyítékaként szolgálhat (210). Ezenkívül bizonyos körülmények esetén az Adatvédelmi Szabályzat szerint adatvédelmi hatásvizsgálatot kell végezni, vagy előzetes konzultációt kell folytatni az adatvédelmi tisztviselővel és az Adatvédelmi Testülettel. Adatvédelmi hatásvizsgálatra van szükség, ha az adatkezelés valamely típusa valószínűsíthetően magas kockázattal jár az egyének jogaira és szabadságaira nézve (211). Például akkor van erre szükség, ha személyes jellemzők módszeres és kiterjedt értékelésére kerül sor, amely automatizált döntések alapját képezi, vagy ha az adatok különleges kategóriáit nagy számban kezelik (212). Ha a hatásvizsgálat azt mutatja, hogy az adatkezelés magas kockázattal járna az egyének jogaira és szabadságaira nézve, és a kockázat észszerű biztonsági intézkedésekkel nem csökkenthető, az adatkezelő köteles konzultálni az Adatvédelmi Testülettel (213). Ha úgy véli, hogy a tervezett adatkezelés sértené az Adatvédelmi Szabályzatot, az Adatvédelmi Testületnek írásbeli tanácsot kell adnia (214). Általánosságban az adatkezelő az egyéni jogokat érintő korlátozások alkalmazására vonatkozó szabályok vagy operatív dokumentumok elkészítése során köteles konzultálni az adatvédelmi tisztviselővel (215).

(78)

Az adatvédelem megfelelő szintjének gyakorlati biztosítása érdekében létre kell hozni egy független felügyeleti hatóságot, amely hatáskörrel rendelkezik az adatvédelmi szabályoknak való megfelelés nyomon követésére és kikényszerítésére. Ennek a hatóságnak feladatai ellátása és hatásköre gyakorlása során teljes egészében függetlenül és pártatlanul kell eljárnia.

(79)

Az Európai Szabadalmi Szervezet jogi kerete két szervet bíz meg az adatvédelmi szabályok Európai Szabadalmi Szervezet általi betartásának felügyeletével: az adatvédelmi tisztviselőt és az Adatvédelmi Testületet. Mindkét szervet a Szolgálati Szabályzat 32A. cikke hozta létre, a jogállásukat és a hatáskörüket pedig az Adatvédelmi Szabályzat határozza meg részletesebben (216). Szerepük kiegészíti egymást, és együttműködést von maga után, miközben az egyes szervek feladataikat tekintve függetlenek maradnak.

(80)

A Szolgálati Szabályzat értelmében feladatai ellátása és hatáskörei gyakorlása során az adatvédelmi tisztviselő és az Adatvédelmi Testület minden belső vagy külső beavatkozástól teljes mértékben függetlenül jár el (217). Ezt az elvet további garanciák egészítik ki, amelyek biztosítják az adatvédelmi tisztviselő és az Adatvédelmi Testület függetlenségét.

(81)

Az adatvédelmi tisztviselőt (és annak helyetteseit) az elnök nevezi ki szakmai képesítése és különösen az adatvédelmi joggal és gyakorlattal kapcsolatos szakértői ismeretei alapján (218). Az adatvédelmi tisztviselő kinevezése háromtól öt évig terjedő, megújítható időtartamra szól. Az adatvédelmi tisztviselő javasolt elmozdítása vagy felmentése előtt konzultálni kell az Adatvédelmi Testülettel (219). Az adatvédelmi tisztviselő elmozdítását vagy felmentését megelőző konzultáció célja, hogy a javasolt elmozdítás vagy felmentés esetén biztosítsa a további vizsgálat és felülvizsgálat lehetőségét. Az elmozdítás vagy a felmentés a következő okokból javasolható (220): ha az adatvédelmi tisztviselő már nem felel meg a feladatai ellátására vonatkozó feltételeknek (221); szakmai alkalmatlanság miatt (222); vagy fegyelmi intézkedések eredményeként (223). Az Adatvédelmi Szabályzat azt is kimondja, hogy az adatvédelmi tisztviselőt feladatai ellátása miatt nem lehet felmenteni vagy szankcionálni, és nem kaphat utasításokat (224). Az adatvédelmi tisztviselőt a személyes adatok védelmével kapcsolatos valamennyi kérdésbe be kell vonni, és az adatvédelmi tisztviselő éves tevékenységi jelentéseket készít az elnöknek és az Igazgatótanácsnak (225). A Hivatal köteles biztosítani az adatvédelmi tisztviselő számára a feladatai ellátásához szükséges erőforrásokat (226).

(82)

Az Adatvédelmi Testület három, az adatvédelem területén tevékenykedő külső szakértőből – nevezetesen az elnökből és további két tagból (227) –, valamint egy póttagból áll, akiket az ESZH elnöke nevez ki három évre, amely időtartam megújítható (228). Az Adatvédelmi Testület tagjainak a bírói tisztségbe történő kinevezéshez szükséges képesítéssel kell rendelkezniük, vagy az adatvédelmi jog területén nemzeti vagy nemzetközi szinten szerzett, igazolt szakértelemmel és tapasztalattal rendelkező adatvédelmi szakembereknek kell lenniük. Nem lehetnek az Európai Szabadalmi Szervezet alkalmazottai, és a megelőző tíz évben sem állhattak az Európai Szabadalmi Szervezet alkalmazásában (229). Az Adatvédelmi Szabályzat 48. cikkének (6) bekezdése szerint az Adatvédelmi Testület tagjai feladataik ellátása során teljes mértékben függetlenek. Így az Adatvédelmi Testület tagjai nem kérhetnek utasítást különösen a Hivataltól vagy az Igazgatótanácstól, és az ilyen utasítások nem kötik őket. Az Adatvédelmi Testület eljárási szabályzata azt is előírja, hogy feladatai ellátása során a Testületnek pártatlanul és teljes mértékben függetlenül kell eljárnia (230). Ezenkívül az Európai Szabadalmi Szervezet csak súlyos okból mozdíthatja el az Adatvédelmi Testület tagjait a tisztségükből (231). Az Adatvédelmi Testület tagjait titoktartási kötelezettség terheli (232), és tartózkodniuk kell attól, hogy olyan ügyben járjanak el, amelyben összeférhetetlenség, különösen személyes érdekellentét áll fenn (233). Az Európai Szabadalmi Szervezet köteles támogatni az Adatvédelmi Testületet feladatai ellátásában azáltal, hogy biztosítja számára a szükséges erőforrásokat, valamint jogi és adminisztratív támogatást nyújt (a Titkárságon keresztül, valamint azáltal, hogy az Adatvédelmi Testület számára hozzáférést biztosít a személyes adatokhoz és az adatkezelési műveletekhez) (234).

(83)

Az adatvédelmi tisztviselő feladatai közé tartoznak a következők: tájékoztatja az adatkezelőt vagy az adatfeldolgozókat a kötelezettségeikről, és ennek megfelelően tanácsot ad nekik; gondoskodik az adatkezelési műveletekben részt vevő személyzet tudatosságának növeléséről és képzéséről; biztosítja, hogy az érintettek tájékoztatást kapjanak az Adatvédelmi Szabályzat szerinti jogaikról; valamint független módon nyomon követi az Adatvédelmi Szabályzat és az Európai Szabadalmi Szervezet egyéb adatvédelmi vonatkozású jogi rendelkezéseinek belső alkalmazását és az azoknak való megfelelést (235). Az érintettek az adataik kezelésével vagy a jogaik gyakorlásával kapcsolatos bármely kérdésben kapcsolatba léphetnek az adatvédelmi tisztviselővel (236), az adatkezelő és az adatfeldolgozók pedig az Adatvédelmi Szabályzat értelmezésével és alkalmazásával kapcsolatos bármely kérdésben konzultálhatnak az adatvédelmi tisztviselővel (237).

(84)

Felügyeleti szerepe keretében az adatvédelmi tisztviselő jogosult adatvédelmi ellenőrzéseket és vizsgálatokat végezni (238). Az ellenőrzéseket az adatvédelmi tisztviselő kezdeményezi az Adatvédelmi Testülettel folytatott konzultáció alapján elkészített éves ellenőrzési tervnek megfelelően (239). Az ellenőrzések az adatvédelmi nyilvántartások és nyilatkozatok, valamint a kapcsolódó dokumentumok értékelésére összpontosítanak, például a vonatkozó adatvédelmi dokumentáció pontosságának és teljességének, a kockázatkezelési módszerek helyes alkalmazásának, az érintetteknek adott válaszok pontosságának és időszerűségének, illetve az adatvédelmi hatásvizsgálatok megfelelő lefolytatásának és számának ellenőrzése céljából (240). Az adatvédelmi tisztviselő által a Bizottsággal megosztott információk szerint 2023-ban három, 2024-ben pedig négy ellenőrzésre került sor. Vizsgálatot az adatvédelmi tisztviselő saját kezdeményezésére, az Adatvédelmi Testületnek vagy az Európai Szabadalmi Szervezet valamely szervének (például az elnöknek vagy egy felhatalmazott adatkezelőnek) a kérelmére vagy egyéb módon (például harmadik felektől és magánszemélyektől) megszerzett információk alapján indíthat (241). Az Adatvédelmi Testület által kért vizsgálatokat az adatvédelmi tisztviselő független módon folytatja le. Az Adatvédelmi Testület bármely esetlegesen felmerülő kérdéssel kapcsolatban észrevételeket tehet és/vagy kiegészítő vizsgálatot kérhet (242). A vizsgálatok az adatkezelési műveletekre vagy azok egyes szempontjaira, illetve az azokkal kapcsolatos eseményekre összpontosítanak annak biztosítása érdekében, hogy a szóban forgó adatkezelés megfeleljen az Adatvédelmi Szabályzat követelményeinek, valamint hogy biztosítsák az érintettek jogainak és szabadságainak védelmét (243).

(85)

Az adatvédelmi tisztviselő hozzáfér minden releváns információhoz – a kezelt személyes adatokat is ideértve –, valamint az összes hivatali helyiséghez, adatkezelő berendezéshez és adathordozóhoz is (244). Az Európai Szabadalmi Szervezet valamennyi alkalmazottja és operatív egysége köteles támogatni az adatvédelmi tisztviselőt a feladatai ellátásában, többek között a helyiségekhez és a releváns információkhoz való hozzáférés biztosításával (245).

(86)

Az ellenőrzés vagy a vizsgálat lezárásakor az adatvédelmi tisztviselő jelentést fogad el, amelyben ismerteti a megállapításait, a következtetéseit és az általa javasolt korrekciós intézkedéseket (246). Ezen intézkedések közé tartozhatnak például a megfelelés javítását célzó megelőző vagy kockázatcsökkentő intézkedések, valamint a meg nem felelés orvoslására irányuló intézkedések (például annak érdekében, hogy az adatkezelés megfeleljen az Adatvédelmi Szabályzatnak, valamint az érintettek által a jogaik gyakorlása iránt benyújtott kérelmek kezelése, az adatkezelés felfüggesztése vagy megszüntetése stb. érdekében) (247). Az adatvédelmi tisztviselő ezenkívül az illetékes kinevezésre jogosult hatóság tudomására hozhatja, ha az alkalmazottak nem tartják be az Adatvédelmi Szabályzatot, és igazgatási vizsgálat megindítását javasolhatja annak megállapítása érdekében, hogy szükség van-e fegyelmi vagy egyéb intézkedésre (248). A Szolgálati Szabályzat szerint minden olyan alkalmazott, aki szándékosan vagy gondatlanságból elmulasztja az Adatvédelmi Szabályzat betartását, fegyelmi szankcióval vagy egyéb intézkedéssel sújtható (249).

(87)

Az ellenőrzések és a vizsgálatok eredményéről tájékoztatni kell az Adatvédelmi Testületet (250). Az ellenőrzési vagy vizsgálati jelentést kérésre meg kell osztani az Adatvédelmi Testülettel. Az Adatvédelmi Testület észrevételeket tehet az adatvédelmi tisztviselő jelentésével kapcsolatban – többek között az adatvédelmi tisztviselő arra vonatkozó megállapításai tekintetében, hogy megsértették-e az Adatvédelmi Szabályzatot, valamint a javasolt korrekciós intézkedésekkel kapcsolatban –, és további vizsgálati intézkedéseket kérhet (251). Ha az adatvédelmi tisztviselő az általa elvégzett ellenőrzés vagy vizsgálat során azt állapítja meg, hogy meg nem felelés történt (azaz megsértették az Adatvédelmi Szabályzatot), az adatvédelmi tisztviselő jelentését a következtetések és a javasolt korrekciós intézkedések jóváhagyása céljából be kell nyújtani az Adatvédelmi Testülethez. Ha az Adatvédelmi Testület nem ért egyet az adatvédelmi tisztviselő következtetéseivel vagy az általa javasolt korrekciós intézkedésekkel, az Adatvédelmi Testület megosztja az észrevételeit az adatvédelmi tisztviselővel – többek között a javasolt következtetések és korrekciós intézkedések módosításával kapcsolatban –, amelyeket az adatvédelmi tisztviselő köteles megfelelően végrehajtani. Az Adatvédelmi Testület által jóváhagyott korrekciós intézkedések kötelezőek az adatkezelőre és a felhatalmazott adatkezelőkre nézve, és az egyének a (95) preambulumbekezdésben ismertetett jogorvoslati mechanizmusok keretében hivatkozhatnak rájuk (252). Az adatvédelmi tisztviselő köteles ellenőrizni a korrekciós intézkedések végrehajtását (főszabály szerint a közlésüktől számított hat hónap elteltével), és a végrehajtás állásáról köteles évente beszámolni az elnöknek (253).

(88)

Az Adatvédelmi Szabályzatnak való megfelelés kikényszerítésében betöltött szerepe mellett az Adatvédelmi Testület egyéb feladatai keretében tanácsot ad az elnöknek a megfelelőségi határozatok elfogadásával kapcsolatban, tanácsot ad az adatkezelőnek az adatvédelmi hatásvizsgálat elvégzésének szükségességével kapcsolatban, valamint felülvizsgálja az érintett személyek panaszait (lásd a (92)–(96) preambulumbekezdést) (254).

(89)

A megfelelő védelem biztosítása és különösen az egyéni jogok érvényesítésének biztosítása érdekében az érintett számára hatékony jogorvoslatot kell biztosítani, ideértve a kártérítést is.

(90)

Az Európai Szabadalmi Szervezet jogi kerete különböző jogorvoslati lehetőségek kombinációján keresztül biztosítja a jogorvoslatot az egyének számára.

(91)

Először is azok az érintettek, akik úgy vélik, hogy személyes adataiknak az Európai Szabadalmi Szervezet általi kezelése sérti a jogaikat (azaz sérti az Adatvédelmi Szabályzatot), az Adatvédelmi Szabályzat 49. cikkével összhangban felülvizsgálati kérelmet nyújthatnak be a felhatalmazott adatkezelőhöz. A felhatalmazott adatkezelő megvizsgálja a panaszt, és határozatot hoz (255). A döntés meghozatala előtt a felhatalmazott adatkezelőnek konzultálnia kell az adatvédelmi tisztviselővel, aki legkésőbb a felülvizsgálati kérelem kézhezvételétől számított tizenöt naptári napon belül írásban véleményt nyilvánít (256). A felhatalmazott adatkezelő a kérelem kézhezvételétől számított egy hónapon belül köteles válaszolni az érintett személynek (257). A határozatot közölni kell az érintettel, akit egyúttal a további jogorvoslat lehetőségéről is tájékoztatni kell (258). Ha a felhatalmazott adatkezelő három hónapon belül semmilyen intézkedést nem tesz, az a kérelem hallgatólagos elutasításának minősül.

(92)

Másodszor, az érintettek az Adatvédelmi Testülethez benyújtott panasz útján megtámadhatják a felhatalmazott adatkezelő határozatát vagy a felülvizsgálati kérelem hallgatólagos elutasítását (259).

(93)

A panasz vizsgálata során az Adatvédelmi Testületnek fel kell hívnia az érintettet, az adatkezelőt és adott esetben az adatfeldolgozót, hogy írásban ismertessék az álláspontjukat a szóban forgó állításokkal és tényekkel kapcsolatban, valamint hogy nyújtsanak be bizonyítékokat, vagy adják elő a rendelkezésre álló bizonyítékokkal kapcsolatos észrevételeiket és érveiket (260). Ennek keretében az Adatvédelmi Testület minden olyan információt bekérhet a felektől, amelyre a panasz kezeléséhez szüksége van, és emellett további információkat szerezhet be az adatvédelmi tisztviselőn keresztül is (261). A panasszal kapcsolatos nyomon követésről való döntés során az Adatvédelmi Testületnek figyelembe kell vennie többek között az állítólagos jogsértés jellegét és súlyosságát, a jogsértés által érintettek számát, az érintett adatok kategóriáit és a jogsértés időtartamát (262). Az Adatvédelmi Testület felkérheti a feleket arra, hogy törekedjenek a jogvita egyezség útján történő rendezésére, és az Adatvédelmi Testület ösztönzi és aktívan elősegíti az ilyen egyezségkötést (263). A panaszos ezenkívül az állítólagos jogsértés, illetve az érintettek jogaira jelentett kockázat súlyossága miatt sürgősségi eljárás alkalmazását is kérheti az Adatvédelmi Testülettől (264).

(94)

A panasz vizsgálatát követően az Adatvédelmi Testület indokolással ellátott véleményt ad ki az adatkezelőnek, amely tartalmazza a tényállást, a felek főbb érveit, valamint az Adatvédelmi Testület észrevételeit és ajánlásait (265). Sürgősségi eljárás esetén az Adatvédelmi Testületnek a panasz benyújtásától számított két hónapon belül kell hivatalosan kiadnia az indokolással ellátott véleményt (266). Indoklással ellátott véleményében az Adatvédelmi Testület bármilyen általa szükségesnek ítélt ajánlást megfogalmazhat, ideértve a jogsértés megszüntetését (például a jogellenes adatkezelés megszüntetését vagy a jogellenesen kezelt adatok törlését), valamint a vagyoni és a nem vagyoni károk megtérítését is (267). Az indokolással ellátott véleményt közölni kell az érintettel, valamint az adatkezelővel (azaz a Hivatal elnökével, a fellebbezési tanácsok elnökével, az Igazgatótanács elnökével vagy az albizottság elnökével, attól függően, hogy a panasz a Hivatalt, a fellebbezési tanácsokat, az Igazgatótanácsot vagy a különbizottságot érintette-e). Majd az adatkezelő az Adatvédelmi Testület indokolással ellátott véleményét követően végleges, kötelező erejű határozatot hoz (268). A végleges határozatról tájékoztatják az érintettet, az Adatvédelmi Testületet és az adatvédelmi tisztviselőt (269). Ha az adatkezelő úgy döntött, hogy nem követi az indokolással ellátott vélemény egy vagy több aspektusát, azt a határozatban írásban meg kell indokolnia (270).

(95)

Az az érintett, aki nem elégedett az adatkezelő határozatával, fellebbezést nyújthat be, és a fellebbezésben hivatkozhat az Adatvédelmi Testület indokolással ellátott véleményére. Az Európai Szabadalmi Szervezet alkalmazottai a Nemzetközi Munkaügyi Szervezet Közigazgatási Bíróságán támadhatják meg a határozatot (271). Azok az egyéb érintettek, akik nem értenek egyet az adatkezelő döntésével, a határozat kézhezvételétől számított három hónapon belül ad hoc választottbírósági eljárás iránti kérelmet nyújthatnak be az elnökhöz (272). Az Adatvédelmi Szabályzat külön eljárást ír elő ad hoc választottbírósági eljárás esetére (273). Ennek megfelelően az Állandó Választottbíróság főtitkára az érintett kérelmének kézhezvételétől számított három hónapon belül köteles kijelölni egy választottbírót az Adatvédelmi Szabályzatban meghatározott szempontok alapján (274). A választottbírónak jogi végzettséggel kell rendelkeznie, az Európai Szabadalmi Szervezet valamely szerződő államában jogosultnak kell lennie az ügyvédi tevékenység folytatására, képesnek kell lennie arra, hogy igazolja az adatvédelem terén megszerzett releváns szakértelmét, és ismernie kell a nemzetközi szervezetekre irányadó jogot (275). Csak olyan személyek jelölhetők ki, akik azon túl, hogy megfelelnek az említett feltételeknek, korábban nem álltak munkaviszonyban vagy egyéb szolgálati jogviszonyban sem az Európai Szabadalmi Szervezettel, sem az érintettel. Az Adatvédelmi Szabályzat szerint a választottbírónak függetlenül és pártatlanul kell eljárnia (276), minden felet egyenlő bánásmódban kell részesítenie, és lehetőséget kell biztosítania számukra arra, hogy az eljárás minden szakaszában előadják az álláspontjukat (277). A választottbírósági eljárás nem nyilvános (278), és arra az ESZE és az Adatvédelmi Szabályzat – ideértve azok végrehajtási jogszabályait is –, valamint a nemzetközi szervezetek joga és a nemzetközi közjog elvei az irányadók (279). A felek maguk viselik a jogi képviselettel kapcsolatos költségeiket és kiadásaikat (kivéve, ha a választottbíró másként határoz), azonban a választottbíró díját és kiadásait, valamint az esetleges szakértői vélemények és tanúk költségeit az Európai Szabadalmi Szervezet viseli (280). Az egyezséget írásbeli választottbírósági ítélet formájában kell megkötni, a felek által elfogadott, jogerős és kötelező erejű szöveggel (281).

(96)

Minden olyan magánszemély, aki az Adatvédelmi Szabályzat megsértése miatt kárt szenvedett, a (91)–(95) preambulumbekezdésben ismertetett eljárások útján kártérítést követelhet az Európai Szabadalmi Szervezettől (282). Az Európai Szabadalmi Szervezet nem vonható felelősségre, ha bizonyítja, hogy nem volt felelős a kárt előidéző eseményért.

(97)

Az a jogi keret, amely szerint az Európai Szabadalmi Szervezet értékeli és megválaszolja a – szerződő államokban és harmadik országokban – található közigazgatási szervektől érkező, az Európai Szabadalmi Szervezet által kezelt személyes adatokra vonatkozó megkereséseket, az Európai Szabadalmi Szervezet kiváltságairól és mentességeiről szóló jegyzőkönyvön (a „Jegyzőkönyv”) (283), az Adatvédelmi Szabályzatnak a személyes adatok átadására és továbbítására vonatkozó követelményein, valamint a nemzetközi közjogon alapul.

(98)

Először is, a személyes adatoknak az Európai Szabadalmi Szervezet általi, annak hatósági tevékenységei céljából történő kezelésére a Szervezet mentességei vonatkoznak. Az Európai Szabadalmi Szervezet mentességeit a Jegyzőkönyv 20. cikkében rögzített együttműködési kötelezettség egészíti ki. Következésképpen a szerződő államok közigazgatási szerveitől érkező, az Európai Szabadalmi Szervezet által kezelt adatok megszerzésére irányuló megkereséseket az elnök a Jegyzőkönyv 20. cikkének (1) bekezdésével összhangban értékeli, amely szerint a Szervezet „minden esetben köteles együttműködni a Szerződő Államok hatáskörrel rendelkező hatóságaival az igazságszolgáltatás megkönnyítése, a rendőrhatósági, továbbá a közegészségügyre és a munkavédelemre vonatkozó előírások és más hasonló nemzeti jogszabályok betartásának biztosítása és az e jegyzőkönyvben előírt kiváltságokkal, mentességekkel és könnyítésekkel szembeni bármely visszaélés megakadályozása érdekében.” Kivételes esetben a szervezet felfüggesztheti a joghatóság és a végrehajtás alóli mentességét (284). Az együttműködés iránti megkeresésről való döntés során az elnök mérlegelési jogkört gyakorol, figyelembe véve, hogy a megkeresés megfelel-e a Szervezetre vonatkozó jogi keretnek (285). Ennek során úgy határozhat, hogy a Hivatal válaszolhat a Jegyzőkönyv szerinti megkeresésre, és csak az Adatvédelmi Szabályzatban előírt adatátadási követelményeknek megfelelően közölhet személyes adatokat (lásd a (62)–(67) preambulumbekezdést). Az Adatvédelmi Szabályzat értelmében a címzettnek igazolnia kell, hogy az adatok átadása az Európai Szabadalmi Szervezetnek a szerződő állammal (államokkal) való együttműködési kötelezettségéből eredő konkrét célból szükséges (286). Az adatkezelőnek minden egyes adatátadás esetében képesnek kell lennie annak igazolására, hogy az adott átadás szükséges és arányos azon konkrét céllal, amelynek érdekében az adatokat átadták (287). Minden adattovábbítást oly módon kell végezni, amely garantálja az Adatvédelmi Szabályzat által biztosított védelem szintjének fenntartását (288). Az adatvédelmi tisztviselő által kiadott iránymutatás szerint ez azt jelenti, hogy megfelelő biztosítékokat kell bevezetni, többek között annak biztosítása révén, hogy a megosztandó adatok mennyiségét a minimálisra kell csökkenteni, és az adott cél eléréséhez megfelelő, releváns és feltétlenül szükséges mértékre kell korlátozni (289). Ha megalapozottan feltételezhető, hogy az érintett személy jogai és szabadságai sérülhetnek, az adatkezelő a szóban forgó különböző érdekek mérlegelését követően köteles igazolni, hogy a személyes adatok adott célból történő átadása arányos (290).

(99)

Másodszor, nincs olyan, az Európai Szabadalmi Szervezetre alkalmazandó jogi eszköz, amely kifejezetten szabályozná a harmadik országok (vagyis az Európai Szabadalmi Szervezet szerződő feleitől eltérő országok) közigazgatási szerveitől érkező, az Európai Szabadalmi Szervezet által kezelt adatok megszerzésére irányuló kérelmek kezelését. Ezért ilyen kérelmek alapján csak akkor kerülhet sor adatmegosztásra, ha teljesülnek az Adatvédelmi Szabályzatban a nemzetközi adattovábbításra vonatkozóan előírt követelmények (a (68)–(73) preambulumbekezdésben leírtak szerint). E követelmények csak akkor teljesülnek, ha az adott ország tekintetében az adattovábbításra is kiterjedő megfelelőségi határozatot fogadtak el, ha megfelelő biztosítékok vannak érvényben, vagy ha eltérést kell alkalmazni.

(100)

Az elnök Jegyzőkönyvnek való megfelelését – ideértve a hatóságok által benyújtott együttműködés iránti megkeresések kezelését is – az Igazgatótanács felügyeli, a személyes adatok átadására és továbbítására vonatkozó, az Adatvédelmi Szabályzatban foglalt követelményeknek való megfelelést pedig az adatvédelmi tisztviselő és az Adatvédelmi Testület ellenőrzi a (84)–(88) preambulumbekezdésben leírtak szerint. Személyes adataiknak az Adatvédelmi Szabályzatot sértő átadásával vagy továbbításával kapcsolatban az érintettek a (90)–(96) preambulumbekezdésben ismertetett jogorvoslati lehetőségeket vehetik igénybe.

(101)

A Bizottság úgy véli, hogy az Európai Szabadalmi Szervezet olyan szintű védelmet biztosít az Unióból továbbított személyes adatok tekintetében, amely lényegében egyenértékű az (EU) 2016/679 rendelet által garantált szinttel.

(102)

E határozat megállapításai alapján olyan határozatot kell hozni, hogy az (EU) 2016/679 rendeletnek az Európai Unió Alapjogi Chartájára figyelemmel értelmezett 45. cikke értelmében az Európai Szabadalmi Szervezet megfelelő szintű védelmet biztosít az Unióból az Európai Szabadalmi Szervezetnek továbbított személyes adatok tekintetében.

(103)

A tagállamok és szerveik kötelesek megtenni az ahhoz szükséges intézkedéseket, hogy megfeleljenek az uniós intézmények jogi aktusainak, mivel azok vélelmezhetően jogszerűek, és ennélfogva mindaddig joghatásokat váltanak ki, amíg azokat vissza nem vonják, megsemmisítés iránti kereset alapján meg nem semmisítik, illetve előzetes döntéshozatal iránti kérelem vagy jogellenességi kifogás következtében érvénytelennek nem nyilvánítják.

(104)

Következésképpen a Bizottságnak az (EU) 2016/679 rendelet 45 cikkének (3) bekezdése alapján elfogadott megfelelőségi határozata kötelező a címzett tagállamok valamennyi szervére, így független felügyeleti hatóságaikra nézve is. Ennek megfelelően az uniós adatkezelőtől vagy adatfeldolgozótól az Európai Szabadalmi Szervezethez történő adattovábbításra további engedély beszerzése nélkül kerülhet sor.

(105)

Ugyanakkor emlékeztetni kell arra, hogy az (EU) 2016/679 rendelet 58. cikkének (5) bekezdése alapján és ahogy azt a Bíróság a C-362/14. sz. ügyben (291) kifejtette, ha egy nemzeti adatvédelmi hatóság – többek között panasz alapján – megkérdőjelezi a Bizottság megfelelőségi határozatának az egyén magánélethez és adatvédelemhez fűződő alapvető jogaival való összeegyeztethetőségét, a nemzeti jognak olyan jogorvoslati lehetőségeket kell biztosítania, amelyek lehetővé teszik számára, hogy az adott kifogásokat valamely nemzeti bíróság elé terjessze annak érdekében, hogy az esetlegesen előzetes döntéshozatali eljárást kezdeményezzen a Bíróságnál.

(106)

A Bíróság ítélkezési gyakorlata és az (EU) 2016/679 rendelet 45. cikkének (4) bekezdése szerint a Bizottság a megfelelőségi határozat elfogadását követően folyamatosan figyelemmel kíséri az érintett harmadik országban vagy nemzetközi szervezetnél bekövetkező kapcsolódó fejleményeket annak értékelése érdekében, hogy a harmadik ország vagy a nemzetközi szervezet továbbra is lényegében azonos szintű védelmet biztosít-e. E vizsgálat mindenképpen szükséges azokban az esetekben, amikor a Bizottság által kapott információk alapján indokolt kétségek merülhetnek fel e tekintetben.

(107)

A Bizottság ezért folyamatosan figyelemmel kíséri a helyzetet az Európai Szabadalmi Szervezetnek a személyes adatok kezelésére vonatkozó, az e határozatban értékelt jogi keretével és tényleges gyakorlatával kapcsolatban. E folyamat megkönnyítése érdekében a Bizottság felkéri az Európai Szabadalmi Szervezetet, hogy tájékoztassa a Bizottságot az e határozattal kapcsolatos lényeges fejleményekről a személyes adatok kezelése, valamint a közigazgatási szervek személyes adatokhoz való hozzáférésére vonatkozó korlátozások és biztosítékok tekintetében.

(108)

Továbbá annak lehetővé tétele érdekében, hogy a Bizottság hatékonyan lássa el nyomonkövetési feladatát, a tagállamoknak tájékoztatniuk kell a Bizottságot a nemzeti adatvédelmi hatóságok minden vonatkozó lépéséről, különösen az uniós érintettek által a személyes adatoknak az Unióból az Európai Szabadalmi Szervezethez történő továbbításával kapcsolatban benyújtott kérelmek vagy panaszok tekintetében.

(109)

Az (EU) 2016/679 rendelet 45. cikke (3) bekezdésének alkalmazásában és tekintettel arra, hogy az Európai Szabadalmi Szervezet jogi kerete által biztosított védelem szintje változhat, a Bizottság e határozat elfogadását követően rendszeresen felülvizsgálja, hogy az Európai Szabadalmi Szervezet által biztosított védelem szintjének megfelelőségére vonatkozó megállapítások ténybelileg és jogilag továbbra is megalapozottak-e. Ezt az értékelést legalább négyévente el kell végezni, és annak ki kell terjednie az e határozat alkalmazásával kapcsolatos valamennyi szempontra, ideértve a vonatkozó felügyeleti és végrehajtási mechanizmusok működését is.

(110)

A felülvizsgálat elvégzése érdekében a Bizottság találkozót tart az Európai Szabadalmi Szervezettel, többek között annak adatvédelmi tisztviselőjével és Adatvédelmi Testületével. A találkozón az Európai Adatvédelmi Testület tagjainak képviselői is részt vehetnek. A felülvizsgálat keretében a Bizottság felhívja az Európai Szabadalmi Szervezetet, hogy nyújtson átfogó tájékoztatást a megfelelőség megállapítása szempontjából releváns valamennyi szempontról. A Bizottság továbbá magyarázatot kér az e határozat szempontjából releváns, többek között az Európai Adatvédelmi Testülettől, az egyes adatvédelmi hatóságoktól, civil társadalmi csoportoktól, nyilvános jelentésekből vagy médiabeszámolókból, illetve bármely más forrásból származó információkról is.

(111)

A felülvizsgálat alapján a Bizottság az Európai Parlamentnek és a Tanácsnak benyújtandó nyilvános jelentést készít.

(112)

Ha a rendelkezésre álló információk – különösen az e határozat alkalmazását befolyásoló fejleményeknek az (EU) 2016/679 rendelet 45. cikkének (4) bekezdése szerinti, Bizottság általi nyomon követéséből származó, illetve az Európai Szabadalmi Szervezet vagy a tagállami hatóságok által szolgáltatott információk – arra utalnak, hogy az Európai Szabadalmi Szervezet által biztosított védelem szintje már nem feltétlenül megfelelő, a Bizottságnak erről tájékoztatnia kell az Európai Szabadalmi Szervezetet, és fel kell hívnia arra, hogy meghatározott, észszerű határidőn belül hozza meg a megfelelő intézkedéseket.

(113)

Ha az említett határidő lejártakor az Európai Szabadalmi Szervezet nem hozza meg ezeket az intézkedéseket, vagy más módon nem bizonyítja kielégítően, hogy e határozat továbbra is a megfelelő szintű védelmen alapul, a Bizottság megindítja az (EU) 2016/679 rendelet 93. cikkének (2) bekezdésében említett eljárást e határozat részleges vagy teljes felfüggesztése vagy hatályon kívül helyezése céljából.

(114)

Ennek alternatívájaként a Bizottság ezt az eljárást a határozat módosítása céljából is megindíthatja, melynek keretében az adattovábbítást további feltételekhez kötheti, vagy a megfelelőség megállapításának hatályát azokra az adattovábbításokra korlátozhatja, amelyek esetében továbbra is biztosított a megfelelő szintű védelem.

(115)

A Bizottságnak abban az esetben is mérlegelnie kell az e határozat módosításához, felfüggesztéséhez vagy hatályon kívül helyezéséhez vezető eljárás megindítását, ha az Európai Szabadalmi Szervezet a felülvizsgálattal összefüggésben vagy egyéb módon nem adja meg az Unióból továbbított személyes adatok védelmi szintje vagy az e határozatnak való megfelelés értékelése szempontjából szükséges információkat vagy magyarázatokat. E tekintetben a Bizottságnak figyelembe kell vennie, hogy az adott információk milyen mértékben szerezhetők be más forrásokból.

(116)

Megfelelően indokolt, rendkívül sürgős esetben a Bizottság élni fog azzal a lehetőséggel, hogy az (EU) 2016/679 rendelet 93. cikkének (3) bekezdésében említett eljárásnak megfelelően azonnal alkalmazandó, a határozatot felfüggesztő, hatályon kívül helyező vagy módosító végrehajtási jogi aktusokat fogadjon el.

(117)

Az Európai Adatvédelmi Testület közzétette véleményét (292), amely e határozat kidolgozásakor figyelembevételre került.

(118)

Az e határozatban előírt intézkedések összhangban vannak az (EU) 2016/679 rendelet 93. cikke (1) bekezdése alapján létrehozott bizottság véleményével,