(1)

Ar Regulu (ES) 2016/679 ir paredzēti noteikumi, saskaņā ar kuriem pārziņi vai apstrādātāji Savienībā var pārsūtīt personas datus trešām valstīm un starptautiskām organizācijām, ciktāl šāda nosūtīšana ietilpst regulas piemērošanas jomā. Noteikumi par datu starptautisko pārsūtīšanu ir izklāstīti minētās regulas V nodaļā (44.–50. pants). Lai gan personas datu plūsma uz valstīm un starptautiskām organizācijām ārpus Eiropas Savienības un no tām ir būtiska pārrobežu tirdzniecības un starptautiskās sadarbības paplašināšanas nodrošināšanai, datu pārsūtīšana uz trešām valstīm un starptautiskām organizācijām nedrīkst samazināt Savienībā nodrošināto personas datu aizsardzības līmeni (2).

(2)

Atbilstoši Regulas (ES) 2016/679 45. panta 3. punktam Komisija ar īstenošanas aktu var nolemt, ka trešā valsts, trešās valsts teritorija vai viens vai vairāki konkrēti sektori, vai starptautiska organizācija nodrošina pietiekamu aizsardzības līmeni. Saskaņā ar šo nosacījumu personas datus var pārsūtīt starptautiskai organizācijai bez nepieciešamības saņemt jebkādu papildu atļauju, kā paredzēts Regulas (ES) 2016/679 45. panta 1. punktā un izklāstīts 103. apsvērumā.

(3)

Kā norādīts Regulas (ES) 2016/679 45. panta 2. punktā, lēmums par aizsardzības līmeņa pietiekamību jāpieņem, pamatojoties uz visaptverošu starptautiskā organizācijas tiesību režīma analīzi, gan attiecībā uz noteikumiem, kas piemērojami datu saņēmējiem, gan attiecībā uz ierobežojumiem un aizsardzības pasākumiem saistībā ar publisko iestāžu piekļuvi personas datiem. Komisijai novērtējumā jānosaka, vai attiecīgā starptautiskā organizācija garantē aizsardzības līmeni, kurš “pēc būtības ir līdzvērtīgs” Savienībā nodrošinātajam (3). Standarts, pēc kura tiek novērtēta “līdzvērtība pēc būtības”, ir paredzēts Savienības tiesību aktos, jo īpaši Regulā (ES) 2016/679, kā arī Eiropas Savienības Tiesas judikatūrā (4). Lai sīkāk precizētu šo standartu un sniegtu norādījumus šajā sakarā, nozīme ir arī Eiropas Datu aizsardzības kolēģijas (EDAK) “pietiekamības atsaucēm” (5).

(4)

Kā precizējusi Tiesa, trešai valstij vai starptautiskai organizācijai nevar prasīt nodrošināt tādu aizsardzības līmeni, kas ir identisks Savienības tiesību sistēmā garantētajam (6). Proti, attiecīgās trešās valsts vai starptautiskās organizācijas izmantotie līdzekļi personas datu aizsardzībai var atšķirties no Savienībā izmantotajiem, ja vien tie praksē efektīvi nodrošina pietiekamu aizsardzības līmeni (7). Tāpēc aizsardzības līmeņa pietiekamības standarts neparedz Savienības noteikumu precīzu replicēšanu. Drīzāk ir jāpārbauda, vai, izmantojot privātuma tiesību un datu aizsardzības pasākumu būtību (tostarp to efektīvu īstenošanu, uzraudzību un izpildi), kā arī personas datu pārsūtīšanas apstākļus, ārvalstu sistēma kopumā nodrošina vajadzīgo aizsardzības līmeni (8).

(5)

Komisija ir izanalizējusi Eiropas Patentu organizācijas tiesisko regulējumu un praksi. Pamatojoties uz 7.–100. apsvērumā izklāstītajiem konstatējumiem, Komisija secina, ka personas datiem, kas tiek pārsūtīti no Savienības uz Eiropas Patentu organizāciju Regulas (ES) 2016/679 piemērošanas jomas ietvaros, EPO nodrošina pietiekamu aizsardzības līmeni.

(6)

Saskaņā ar šo lēmumu datu pārsūtīšanai no pārziņiem un apstrādātājiem Savienībā uz Eiropas Patentu organizāciju nav nepieciešams saņemt nekādu papildu atļauju. Šim lēmumam nebūtu jāietekmē Regulas (ES) 2016/679 tieša piemērošana vienībām, kur ir izpildīti minētās regulas 3. pantā paredzētie nosacījumi attiecībā uz tās teritoriālo darbības jomu.

(7)

Eiropas Patentu organizācija ir starpvaldību organizācija, kas izveidota 1977. gada 7. oktobrī, pamatojoties uz Eiropas Patentu konvenciju (EPK). Organizācijas mītne ir Minhenē, un tajā ir 39 līgumslēdzējas valstis, proti, visas Savienības dalībvalstis, Islande, Norvēģija un Lihtenšteina, kā arī Albānija, Ziemeļmaķedonija, Monako, Sanmarīno, Serbija, Šveice, Melnkalne, Apvienotā Karaliste un Turcija (9).

(8)

Organizācijai ir juridiskas personas statuss (10), un tā sastāv no divām struktūrām (11): Eiropas Patentu iestādes (“Iestāde”) un Administratīvās padomes. EPO galvenais uzdevums ir saskaņā ar EPK piešķirt Eiropas patentus (12), ko Administratīvās padomes uzraudzībā veic Iestāde. Administratīvo padomi veido līgumslēdzēju valstu pārstāvji, un tā īsteno likumdošanas pilnvaras EPO vārdā. Tā arī atbild par politikas jautājumiem un uzrauga Iestādes darbību (13). Iestādes, kas darbojas kā EPO izpildstruktūra, vadītājs ir priekšsēdētājs (14), kurš vada Iestādi (Priekšsēdētājs) un atskaitās Administratīvajai padomei (15). Priekšsēdētājs tostarp sagatavo un īsteno Iestādes budžetu, ieceļ un uzrauga Iestādes personālu, īsteno disciplināras pilnvaras attiecībā uz darbiniekiem, nodrošina Iestādes darbību, ieskaitot iekšēju administratīvu norādījumu pieņemšanu un sabiedrības informēšanu, un var iesniegt Administratīvajai padomei priekšlikumus par grozījumiem Konvencijā, vispārējos noteikumos vai lēmumos, kas ir tās kompetencē (16). Iestāde sastāv no dažādām nodaļām, tostarp pieņemšanas nodaļas, juridiskās nodaļas, pārbaudes un iebildumu nodaļas un apelācijas padomes (iekšēja neatkarīga struktūra, kurā var pārsūdzēt lēmumus, ko EPO pieņēmusi patentu piešķiršanas procesā) (17).

(9)

Pildot savus uzdevumus, EPO saņem personas datus no vairākiem dažādiem dalībniekiem Savienībā. Patentu pieteicēji EPO pastāvīgi iesniedz Eiropas patentu pieteikumus (18), vai arī EPO tos nosūta dalībvalstu patentu biroji (19). EPO arī saņem un apstrādā personas datus saistībā ar uzdevumiem, kas tai uzticēti saskaņā ar Eiropas Parlamenta un Padomes Regulu (ES) Nr. 1257/2012 (20). Šie uzdevumi ietver Eiropas patentu vienota spēka pieprasījumu saņemšanu un izskatīšanu, ikgadējo maksu iekasēšanu un vienota spēka reģistrēšanu (21). Šajā kontekstā EPO no Vienotās patentu tiesas (VPT) saņem arī pieprasījumus par Iestādes apelācijas padomē iesniegtajām pārsūdzībām (22), kuri var ietvert attiecīgās lietas identificēšanai nepieciešamos personas datus (23).

(10)

Tāpat EPO saņem personas datus, kas ietverti starptautiskajos patentu pieteikumos, kad tā rīkojas saskaņā ar Nolīgumu par sadarbību patentu jomā (PCT), kas ir starptautisks līgums, kurš ļauj pieteikuma iesniedzējiem iegūt patentus, kas ir spēkā visās PCT līgumslēdzējās valstīs (24). EPO darbojas kā starptautiska meklēšanas iestāde saskaņā ar PCT un šajā statusā pārskata starptautiskos pieteikumos atklāto izgudrojumu patentspēju, kas palīdz pieteikuma iesniedzējiem noteikt, vai iesniegt pieteikumu izskatīšanai pēc būtības valsts/Savienības līmenī (25).

(11)

EPO cieši sadarbojas arī ar valstu patentu birojiem visās dalībvalstīs “Eiropas Patentu tīkla” kontekstā un šajā sakarā apmainās ar personas datiem ar tiem, piemēram, nodrošinot apmācības kursus un IT pakalpojumus, lai atbalstītu un stiprinātu sadarbību EPK ietvaros. Tāpat tā ir noslēgusi divpusējus sadarbības nolīgumus ar dalībvalstīm, kas ietver personas datu apmaiņu, piemēram, saistībā ar darba grupu izveidi, tehnisko ekspertu norīkošanu un nosūtīšanu utt. Tā arī cieši sadarbojas ar Eiropas Savienības Intelektuālā īpašuma biroju (EUIPO), piemēram, rīkojot kopīgus apmācības kursus un izpratnes veicināšanas pasākumus, kā arī norīkojot ekspertus.

(12)

Visbeidzot, EPO ir līgumi ar vairākiem pakalpojumu sniedzējiem Savienībā, kuri darbojas kā apstrādātāji Regulas (ES) 2016/679 4. panta 8. punkta nozīmē un nosūta personas datus EPO.

(13)

Primārie tiesību akti, kas reglamentē EPO darbību, ir noteikti ar starptautisku līgumu, proti, ar Eiropas Patentu konvenciju vai ar Nolīgumu par sadarbību patentu jomā, ja EPO rīkojas saskaņā to. Otrajā EPO piemērojamo normu hierarhijas līmenī ir tiesību akti, ko pieņēmusi Administratīvā padome vai, kas attiecas uz PCT, PCT asambleja. EPO sekundārie tiesību akti ietver EPK īstenošanas noteikumus un tā dēvētos dienesta noteikumus (kas reglamentē ar EPO personālu saistītos aspektus, tostarp darbinieku tiesības un pienākumus) (26). Tiesības uz personas datu aizsardzību ir noteiktas dienesta noteikumu 1.B pantā (27), kas ietver arī dažus EPO datu aizsardzības regulējuma pamatnoteikumus, proti, attiecībā uz datu aizsardzības regulējuma piemērošanas jomu, īpašu kategoriju datu aizsardzību un personu tiesību īstenošanu. Dienesta noteikumu 2. panta 1. punktā un 32.A pantā ir paredzēti neatkarīgi pārraudzības mehānismi (datu aizsardzības speciālists (DAS) un Datu aizsardzības padome (DAP)), kam jāuzrauga atbilstība datu aizsardzības noteikumiem (28).

(14)

Uz Administratīvo padomi un Iestādi, kā arī uz visām to struktūrvienībām attiecas vienas un tās pašas pamatprasības attiecībā uz personas datu aizsardzību. Konkrētāk, personas datu apstrādi Iestādē reglamentē Administratīvās padomes pieņemtie Eiropas Patentu iestādes pastāvīgo un citu darbinieku dienesta noteikumi par personas datu aizsardzību (datu aizsardzības noteikumi) 1.B un 32.A panta īstenošanas noteikumi (29). Uz personas datu apstrādi Administratīvajā padomē attiecas Administratīvās padomes datu aizsardzības noteikumi (AP DAN), kas piemēro DAN mutatis mutandis (30). Tur, kur šajā lēmumā ir atsauces uz DAN, tās ietver atbilstošās prasības, kas attiecas uz Administratīvo padomi, tās sekretariātu un komitejām. DAN struktūra un saturs ir cieši pieskaņots Savienības datu aizsardzības regulējumam (31). Konkrēti, tiem ir daudz kopīga ar Eiropas Parlamenta un Padomes Regulu (ES) 2018/1725 (32), kas nosaka datu aizsardzības prasības Savienības iestādēm un struktūrām un tādējādi ir labi piemērota starptautisko organizāciju specifiskajai struktūrai un iezīmēm, vienlaikus cieši atspoguļojot Regulu (ES) 2016/679.

(15)

Priekšsēdētājs ir izdevis papildu juridiski saistošus instrumentus attiecībā uz datu apstrādi, ko veic Iestāde, piemēram, apkārtrakstus, lēmumus un iekšējos administratīvos norādījumus (33). Konkrēti, DAN ir papildināti ar Priekšsēdētāja 2021. gada 13. decembra lēmumu par personas datu apstrādi patentu piešķiršanas un ar to saistītās procedūrās (PGP lēmums) (34), 2022. gada 7. decembra lēmumu par personas datu apstrādi tiesvedībās, kas saistītas ar vienota spēka Eiropas patentiem (UP lēmums) (35), 2022. gada 17. novembra lēmumu par valstīm un vienībām, ko uzskata par tādām, kuras nodrošina personas datu pienācīgu aizsardzību (36), 2024. gada 2. maija lēmumu, ar ko nosaka Iestādes operatīvās vienības, kuras darbojas kā deleģētie pārziņi (37), kā arī Apkārtrakstu Nr. 420, ar ko īsteno DAN 25. pantu par datu subjektu tiesību ierobežojumiem (420. apkārtraksts) (38). Īpaši attiecībā uz datu apstrādi patentu piešķiršanas procedūru kontekstā ir svarīgi norādīt, ka personas datu apstrādes prasības, kas tieši paredzētas EPK un PCT, prevalē pār DAN. Mijiedarbība starp EPK un PCT, no vienas puses, un DAN, no otras puses, ir precizēta PGP lēmumā (39) un UP lēmumā. Konkrētās datu aizsardzības prasības, kas izriet tieši no EPK un PCT, ir izvērtētas 55.–59. apsvērumā. DAN un tos papildinošie instrumenti ir juridiski saistoši un izpildāmi, un privātpersonas uz tiem var atsaukties, izmantojot neatkarīgus tiesiskās aizsardzības mehānismus, kā aprakstīts 89.–96. apsvērumā.

(16)

Noteikumi, kas paredzēti 15. apsvērumā minētajos juridiskajos instrumentos, ir iestrādāti datu aizsardzības inspektora izdotajos instrumentos (sk. 83.–88. apsvērumu) (40), kas attiecas uz Administratīvo padomi un Iestādi, kā arī uz visiem to departamentiem (41).

(17)

Saskaņā ar DAN un dienesta noteikumiem (42) visiem EPO darbiniekiem, apstrādājot personas datus, ir jāievēro DAN. DAN materiālo darbības jomu un darbības jomu attiecībā uz personām nosaka tajos definētie termini “personas dati”, “apstrāde”, “pārzinis”, “deleģētais pārzinis” un “apstrādātājs”.

(18)

“Personas datu” un “apstrādes” definīcijas DAN ir identiskas definīcijām Regulā (ES) 2016/679 (43). DAN attiecas uz jebkuru EPO veiktu personas datu apstrādi neatkarīgi no tā, vai šāda apstrāde attiecas uz tās darbinieku vai citu personu personas datiem (44). Dati, kas ir pseidonimizēti (45), arī tiek uzskatīti par personas datiem, savukārt mirušu vai juridisku personu dati vai anonīma informācija (46) saskaņā ar DAN netiek uzskatīta par personas datiem (47).

(19)

DAN attiecas uz personas datu apstrādi, kas EPO pilnībā vai daļēji veikta ar automatizētiem līdzekļiem, un tādu personas datu apstrādi, kuri veido daļu no kartotēkas vai ir paredzēti, lai veidotu daļu no kartotēkas, ja apstrādi neveic ar automatizētiem līdzekļiem (48).

(20)

DAN “pārzinis” ir definēts kā “vienība, proti, Eiropas Patentu iestāde, kas viena pati vai kopā ar citām nosaka personas datu apstrādes nolūkus un līdzekļus” (49). Principā kā Biroja veikto datu apstrādes darbību pārzinis darbojas Priekšsēdētājs (50). Tas pats attiecas uz Administratīvo padomi (kur kā pārzinis darbojas priekšsēdētājs), Apelācijas padomēm, kas pilda tiesas funkcijas (kur kā pārzinis darbojas to priekšsēdētājs (51)), un uz izraudzīto komiteju (kur kā pārzinis darbojas priekšsēdētājs (52)). Pārzinis var deleģēt šīs pilnvaras operatīvajām struktūrvienībām, ko pārstāv augstākā līmeņa vadītājs (53). Šādos gadījumos operatīvās vienības darbojas kā “deleģētie pārziņi” (54), kas definē apstrādes darbības nolūku (piemēram, iemeslu, pamatojumu un darbības vajadzības), tās līdzekļus un nodrošina, ka visas apstrādes darbības, kas saistītas ar personas datiem, atbilst DAN nosacījumiem (55). Šādos gadījumos pārzinis joprojām ir atbildīgs par personas datu apstrādi. DAN ir arī paredzēts “kopīgas pārzināšanas” scenārijs, kurā pārzinis nosaka apstrādes nolūku un līdzekļus kopā ar vienu vai vairākiem pārziņiem ārpus EPO (56).

(21)

“Apstrādātāja” definīcija DAN ir identiska definīcijai Regulas (ES) 2016/679 4. panta 8. punktā, t. i., fiziska vai juridiska persona, publiska iestāde, aģentūra vai cita struktūra, kura pārziņa vārdā apstrādā personas datus (57). Pārzinim ir atļauts izmantot tikai apstrādātājus, kuri sniedz pietiekamas garantijas, ka tiks īstenoti atbilstoši tehniskie un organizatoriskie pasākumi, lai nodrošinātu, ka apstrāde atbilst DAN prasībām (58). Attiecības starp pārzini un apstrādātāju jāreglamentē ar līgumu vai juridisku aktu, kas ir apstrādātājam saistošs un tostarp nosaka apstrādes priekšmetu, ilgumu, būtību un nolūku (59). Apstrādātājam ir atļauts apstrādāt datus tikai pēc dokumentētiem pārziņa norādījumiem. Apstrādātājam ir jāpalīdz pārzinim pildīt savus pienākumus saskaņā ar DAN. Apstrādātājam ir aizliegts iesaistīt apakšapstrādātājus bez pārziņa iepriekšējas atļaujas (60). Deleģētajiem pārziņiem ir pieejams standarta datu apstrādes līgums (61). Turklāt, ja apstrādātājs atrodas trešā valstī, jebkurai personas datu kopīgošanai ar šo apstrādātāju ir jāatbilst arī DAN prasībām attiecībā uz starptautisku nosūtīšanu, kā aprakstīts šā lēmuma 68.–73. apsvērumā (62).

(22)

Personas dati būtu jāapstrādā likumīgi un godprātīgi.

(23)

Minētie vispārīgie principi ir noteikti DAN 4. panta 2. punkta a) apakšpunktā tā, ka to var uzskatīt par identisku Regulas (ES) 2016/679 5. panta 1. punkta a) apakšpunktam.

(24)

Likumības princips ir sīkāk izklāstīts DAN 5. pantā, kurā uzskaitīti juridiskie pamati, uz kuru bāzes var apstrādāt personas datus. Minētie juridiskie pamati ir a) nepieciešamība veikt uzdevumu, īstenojot EPO oficiālās darbības (63) vai likumīgi īstenojot pārzinim likumīgi piešķirtās oficiālās pilnvaras, kas ietver apstrādi, kura nepieciešama Iestādes pārvaldībai un darbībai (64); b) nepieciešamība izpildīt juridisku pienākumu, kas attiecas uz pārzini (piemēram, publicēt patenta pieteikumā minēto informāciju Eiropas Patentu reģistrā (65)); c) nepieciešamība pildīt līgumu, kura līgumslēdzēja puse ir datu subjekts, vai pēc datu subjekta pieprasījuma veikt pasākumus pirms līguma noslēgšanas; d) datu subjekta piekrišana; e) nepieciešamība aizsargāt datu subjekta vai citas fiziskas personas vitālas intereses.

(25)

Piekrišana DAN ir definēta tāpat kā Regulā (ES) 2016/679, proti, “jebkura brīvi sniegta, konkrēta, apzināta un viennozīmīga norāde uz datu subjekta vēlmēm, ar kuru viņš paziņojuma vai skaidri apstiprinošas darbības veidā sniedz piekrišanu savu personas datu apstrādei” (66). Pārzinim ir jāpierāda, ka datu subjekts ir piekritis (67). Novērtējot to, vai piekrišana ir dota brīvi, būtu jāņem vērā tas, vai līguma izpilde ir atkarīga no piekrišanas tādai datu apstrādei, kura nav nepieciešama minētā līguma izpildei (68). Piekrišana nevar tikt uzskatāma par brīvi izteiktu, ja datu subjektam nav īstas vai brīvas izvēles, vai viņš nevar atteikties vai atsaukt savu izvēli bez nelabvēlīgām sekām (69). Turklāt DAN nosaka, ka, lai piekrišana būtu apzināta, datu subjektam jābūt informētam vismaz par pārziņa identitāti un paredzētās personas datu apstrādes nolūkiem (70). Visbeidzot, datu subjektam ir tiesības jebkurā laikā piekrišanu atsaukt (71).

(26)

Būtu vajadzīgi īpaši aizsardzības pasākumi gadījumos, kad tiek apstrādāti “īpašu kategoriju” dati.

(27)

DAN ir ietverti sevišķi noteikumi par tādu īpašu kategoriju personas datu apstrādi (72), kas ir definēti tāpat kā Regulā (ES) 2016/679, proti, personas dati, “kas atklāj rases vai etnisko piederību, politiskos uzskatus, reliģisko vai filozofisko pārliecību vai dalību arodbiedrībās, un ģenētiskie dati (73), biometriskie dati (74), lai veiktu fiziskas personas unikālu identifikāciju, veselības dati (75) vai dati par fiziskas personas dzimumdzīvi vai seksuālo orientāciju” (76). Saskaņā ar DAN īpašu kategoriju datu apstrāde principā ir aizliegta, ja vien nav piemērojams īpašs izņēmums (77).

(28)

DAN 11. panta 2. punktā uzskaitītie īpašie izņēmumi ir līdzīgi Regulas (ES) 2016/679 9. panta 2. un 3. punktā minētajiem izņēmumiem ar dažiem pielāgojumiem tiesiskajā regulējumā, kurā darbojas EPO. Īpašu kategoriju personas datu apstrāde ir atļauta tikai konkrētos un ierobežotos apstākļos (78), t. i., ja 1) datu subjekts ir devis nepārprotamu piekrišanu, 2) apstrāde ir vajadzīga, lai aizsargātu personas vitālas intereses (ja datu subjekts ir fiziski vai tiesiski nespējīgs dot nepārprotamu piekrišanu), 3) datu subjekts ir acīmredzami publiskojis šos personas datus, 4) apstrāde ir vajadzīga konkrētam nolūkam, kas saistīts ar EPO oficiālo darbību veikšanu, vai pārzinim likumīgi piešķirto pilnvaru īstenošanai (79) vai 5) apstrāde ir vajadzīga, lai celtu, īstenotu vai aizstāvētu likumīgas prasības.

(29)

Papildus īpašajām personas datu kategorijām, kas minētas 27. apsvērumā, DAN ir paredzēta arī īpaša aizsardzība tādu personas datu apstrādei, kas attiecas uz sodāmību un noziedzīgiem nodarījumiem, proti, šāda apstrāde ir atļauta tikai pēc iepriekšējas apspriešanās ar DAP vai ja apstrāde ir prasīta juridiski saistošā instrumentā, kas paredz atbilstošus aizsardzības pasākumus personu tiesībām un brīvībām (80).

(30)

Personas dati būtu jāapstrādā konkrētā nolūkā, un pēc tam tos var izmantot, ciktāl tas nav pretrunā apstrādes nolūkam.

(31)

Šis princips ir nostiprināts DAN 4. panta 2. punkta b) apakšpunktā, saskaņā ar kuru personas datus “vāc konkrētos, skaidros un leģitīmos nolūkos un tos turpmāk neapstrādā veidā, kas nav savienojams ar šiem nolūkiem”.

(32)

Līdzīgi kā Regulā (ES) 2016/679 DAN atļauj turpmāku apstrādi (neatkarīgi no turpmākās apstrādes nolūka saderības ar sākotnējo), pamatojoties uz datu subjekta nepārprotamu piekrišanu vai pamatojoties uz piemērojamām EPO tiesību normām (81). Par pēdējo minēto gadījumu DAN ir noteikts, ka apstrādei jābūt nepieciešamam un samērīgam pasākumam vispārēju sabiedrības interešu aizsardzības nolūkā (82).

(33)

Ja turpmāka apstrāde nav balstīta uz šiem diviem pamatiem, DAN ir paredzēti faktori, kas jāņem vērā, novērtējot turpmākas apstrādes nolūka saderību ar nolūku, kādam personas dati sākotnēji tika vākti (83). Šī pieeja un DAN uzskaitītie faktori ir identiski tiem, kas noteikti Regulas (ES) 2016/679 6. panta 4. punktā un Regulas (ES) 2018/1725 (84) 6. pantā.

(34)

Personas datiem vajadzētu būt precīziem un vajadzības gadījumā atjauninātiem. Tiem vajadzētu būt arī adekvātiem, atbilstīgiem un nevajadzētu būt pārmērīgiem, ņemot vērā nolūkus, kādos tie tiek apstrādāti, un tie principā nebūtu jāglabā ilgāk nekā nepieciešams nolūkiem, kādos personas datus apstrādā.

(35)

Šie principi ir noteikti DAN 4. panta 2. punkta c), d) un e) apakšpunktā tāpat kā Regulā (ES) 2016/679.

(36)

Personas dati arī būtu jāapstrādā tā, ka tiek nodrošināta to drošība, kas ietver aizsardzību pret neatļautu vai nelikumīgu apstrādi un pret nejaušu nozaudēšanu, iznīcināšanu vai sabojāšanu. Tālab uzņēmējiem būtu jāveic atbilstoši tehniskie vai organizatoriskie pasākumi, lai aizsargātu personas datus no iespējamiem apdraudējumiem. Šie pasākumi būtu jānovērtē, ņemot vērā faktisko situāciju un saistītās izmaksas.

(37)

Datu drošība ir nostiprināta EPO tiesiskajā regulējumā, izmantojot integritātes un konfidencialitātes principu, kas noteikts DAN 4. panta 2. punkta f) apakšpunktā un 33. pantā, gandrīz tādā pašā veidā kā Regulā (ES) 2016/679. Konkrēti, DAN ir noteikts, ka ar atbilstošiem tehniskiem un organizatoriskiem pasākumiem tiek nodrošināts riskam atbilstošs drošības līmenis, ņemot vērā jaunākos sasniegumus, īstenošanas izmaksas un apstrādes raksturu, tvērumu, kontekstu un nolūkus, kā arī risku atšķirīgo iespējamību un nopietnību attiecībā uz personu tiesībām un brīvībām.

(38)

Turklāt DAN ir ietvertas īpašas prasības attiecībā uz rīcību datu aizsardzības pārkāpuma gadījumā un paziņošanu par to (85). Pirmkārt, pārzinim bez nepamatotas kavēšanās (un, ja iespējams, ne vēlāk kā 72 stundu laikā pēc tam, kad tas uzzinājis par datu aizsardzības pārkāpumu) ir jāpaziņo DAS par datu aizsardzības pārkāpumu, izņemot, ja iespēja, ka pārkāpums varētu radīt risku personu tiesībām un brīvībām, ir maz ticama (86). Tāpat apstrādātājam bez liekas kavēšanās ir jāpaziņo pārzinim par pārkāpumu (87). Paziņojumā jāapraksta pārkāpuma raksturs, tā iespējamās sekas un pasākumi, kas veikti vai ko ierosināts veikt, lai pārkāpumu novērstu (88). Ja datu aizsardzības pārkāpums varētu radīt augstu risku fizisku personu tiesībām un brīvībām, pārzinim bez kavēšanās jāpaziņo datu subjektam par personas datu aizsardzības pārkāpumu (89). Paziņojumā datu subjektam skaidrā un vienkāršā valodā jāapraksta personas datu aizsardzības pārkāpuma raksturs (90), taču tas nav nepieciešams, ja pārzinis ir veicis turpmākus pasākumus, kas nodrošina, ka augstais risks datu subjektu tiesībām un brīvībām vairs nepastāv (91).

(39)

Datu subjektiem vajadzētu būt informētiem par viņu personas datu apstrādes galvenajām iezīmēm.

(40)

Saskaņā ar DAN pārzinim personas datu iegūšanas brīdī ir jāsniedz fiziskām personām šāda informācija: sava identitāte un kontaktinformācija (kā arī DAS kontaktinformācija), apstrādes nolūks un juridiskais pamats, saņēmēji vai saņēmēju kategorijas, tas, ka tiek plānots nosūtīt datus ārpus EPO, kā arī piemērojamās tiesības un iespēja lēmumu pārsūdzēt (92). Tas pats attiecas uz gadījumiem, kad personas datus apstrādā citā nolūkā, nevis tajā, kādā dati tika vākti (93). Abi pienākumi ir piemērojami tikai tad, ja attiecīgajai personai vēl nav minētās informācijas (94).

(41)

Tāda pati informācija ir jāsniedz datu subjektiem, ja personas dati netiek vākti tieši no viņiem, kopā ar papildu informāciju par personas datu avotu un attiecīgajām datu kategorijām (95). Šī informācija ir jāsniedz saprātīgā termiņā pēc datu iegūšanas (bet vēlākais mēneša laikā), ņemot vērā konkrētos apstākļus, kādos dati tiek apstrādāti (96). Ja personas dati ir jāizmanto saziņai ar datu subjektu, tā pati informācija būtu jāsniedz vēlākais brīdī, kad notiek pirmā saziņa ar attiecīgo personu (97). 40. apsvērumā minētā informācija ir jāsniedz arī pirms jebkādas turpmākas apstrādes vai, ja ir paredzēta izpaušana citam saņēmējam, ne vēlāk kā tad, kad personas dati tiek izpausti trešai personai (98). Minētais pienākums neattiecas uz vairākiem gadījumiem, proti, ja datu subjekta rīcībā jau ir attiecīgā informācija, ja šai informācijai jāpaliek konfidenciālai dienesta noslēpuma glabāšanas pienākuma dēļ, ko reglamentē EPK un/vai citas EPO piemērojamās tiesību normas (99), ja minētās informācijas sniegšana izrādās neiespējama vai būtu saistīta ar nesamērīgām pūlēm, sevišķi attiecībā uz apstrādi arhivēšanas, zinātnisku vai vēsturisku pētījumu vai statistikas vajadzībām, ciktāl tā padarītu neiespējamu vai nopietni kavētu apstrādes mērķu sasniegšanu, vai ja minētās informācijas iegūšana vai izpaušana ir skaidri noteikta EPK vai citās piemērojamās tiesību normās, kas paredz atbilstošus pasākumus datu subjekta likumīgo interešu aizsardzībai (100).

(42)

Datu subjektiem vajadzētu būt noteiktām tiesībām, kas ir īstenojamas attiecībā uz pārzini vai apstrādātāju, jo īpaši tiesībām piekļūt datiem, tiesībām uz datu labošanu, tiesībām iebilst pret apstrādi un tiesībām uz datu dzēšanu. Tajā pašā laikā uz šādām tiesībām var attiecināt ierobežojumus, ciktāl šie ierobežojumi ir nepieciešami un samērīgi, lai aizsargātu svarīgus vispārējo sabiedrības interešu mērķus.

(43)

Nepieciešamība atvieglot individuālo tiesību īstenošanu ir noteikta dienesta noteikumu 1.B panta 4. punktā. Lai tālāk īstenotu šo prasību, DAN piešķir personām tādas pašas tiesības kā Regulā (ES) 2016/679 noteiktās, proti, piekļuves tiesības (DAN 18. pants), tiesības uz labošanu (DAN 19. pants), tiesības uz dzēšanu (DAN 20. pants), tiesības uz apstrādes ierobežošanu (DAN 21. pants), tiesības uz datu pārnesamību (DAN 22. pants), tiesības iebilst (DAN 23. pants) un tiesības netikt pakļautam automatizētai lēmumu pieņemšanai (DAN 24. pants).

(44)

DAN ir paredzēti arī vispārīgi noteikumi par fizisku personu tiesību īstenošanas pieprasījumu izskatīšanu, kur pārzinim tiek pieprasīts sazināties ar datu subjektiem, izmantojot skaidru un vienkāršu valodu, kodolīgā, pārredzamā, saprotamā un viegli pieejamā veidā (rakstiski vai ar citiem līdzekļiem) (101). Pārzinim bez liekas kavēšanās un jebkurā gadījumā viena mēneša laikā pēc pieprasījuma saņemšanas ir jāsniedz fiziskām personām informācija par pasākumiem, kas veikti, reaģējot uz pieprasījumu (ko vajadzības gadījumā var pagarināt vēl par diviem mēnešiem, ņemot vērā pieprasījumu sarežģītību un daudzumu) (102). Ja datu subjekta pieprasījumi ir acīmredzami nepamatoti vai pārmērīgi, jo īpaši to regulāras atkārtošanās dēļ, pārzinis var atteikties izpildīt pieprasījumu (103). Ja pārzinis neizpilda pieprasījumu, viņam par to jāinformē attiecīgā persona un jāsniedz informācija par iespēju lēmumu pārsūdzēt (104).

(45)

Pirmkārt, attiecībā uz piekļuves tiesībām DAN nodrošina personām tiesības saņemt no EPO apstiprinājumu par to, vai viņu personas dati tiek vai netiek apstrādāti, un, ja tiek, piekļūt personas datiem vienkārši (105) un samērīgos intervālos (106). Turklāt personām ir tiesības iegūt šādu informāciju: apstrādes nolūks, attiecīgo datu kategorijas, saņēmēji, ar kuriem dati tiek kopīgoti, un paredzētais laikposms, kurā dati tiks glabāti (107).

(46)

Otrkārt, DAN ir paredzēts, ka DAN paredzētās tiesības uz labošanu ļauj personām panākt neprecīzu datu labošanu vai nepilnīgu datu papildināšanu (piemēram, sniedzot papildu paziņojumu) (108). Kad datu labošana ir veikta, pārzinim tas jāpaziņo katram saņēmējam, kuram personas dati ir izpausti (109). Saskaņā ar DAN tiesības uz labošanu attiecas uz objektīviem un faktiskiem datiem, nevis uz subjektīviem apgalvojumiem (110), lai gan šajā gadījumā personām ir atļauts papildināt esošos datus ar citu viedokli vai cita eksperta atzinumu, vai sniegt komentārus (111).

(47)

Treškārt, DAN arī piešķir personām tiesības uz dzēšanu (112), jo īpaši, ja a) personas dati vairs nav nepieciešami nolūkam, kādā tie tiek apstrādāti, b) datu subjekts atsauc piekrišanu un apstrādei nav cita juridiskā pamata, c) datu subjekts iebilst pret apstrādi, un apstrādei nav sevišķi svarīgu leģitīmu iemeslu, d) dati ir apstrādāti nelikumīgi vai e) dati ir jādzēš, lai izpildītu juridisku pienākumu, kas attiecas uz pārzini (113). Pārzinim ir jāpaziņo par dzēšanu katram saņēmējam, ar kuru dati ir kopīgoti, ja vien tas nav neiespējami vai nav saistīts ar nesamērīgām pūlēm (114). Tāpat, ja pārzinis ir publiskojis personas datus, tam ir jāveic saprātīgi pasākumi, lai informētu citus pārziņus, kas tos apstrādā, ka persona ir pieprasījusi dzēšanu (115). Tiesības uz dzēšanu neattiecas uz šādiem scenārijiem, ciktāl datu apstrāde ir nepieciešama, lai a) īstenotu tiesības uz vārda un informācijas brīvību, b) izpildītu EPO juridisku pienākumu vai pienākumu, kas izriet no EPO pienākuma sadarboties ar līgumslēdzējām valstīm (116), vai lai īstenotu EPO likumīgi piešķirtās oficiālās pilnvaras (117), c) lai sadarbotos ar līgumslēdzējām valstīm sabiedrības veselības jomā (118), d) arhivēšanas, zinātniskās vai vēstures pētniecības un statistikas nolūkos (ciktāl dzēšana varētu padarīt neiespējamu vai nopietni traucēt apstrādes mērķu sasniegšanu) vai e) lai celtu, īstenotu vai aizstāvētu juridiskas prasības (119).

(48)

Ceturtkārt, DAN 21. pantā ir paredzētas tiesības uz apstrādes ierobežošanu, proti, personas datu iezīmēšanu ar mērķi ierobežot to apstrādi nākotnē (tostarp programmēšanas pasākumiem, lai pastāvīgi liegtu piekļuvi šādiem datiem) (120). Konkrēti, uz šīm tiesībām var atsaukties, ja persona apstrīd personas datu precizitāti (uz laiku, kas pārzinim vajadzīgs, lai precizitāti pārbaudītu) vai ja apstrāde ir nelikumīga, bet persona iebilst pret datu dzēšanu (121). Ja apstrāde ir ierobežota, personas datus, izņemot glabāšanu, var apstrādāt tikai ar personas nepārprotamu piekrišanu, lai celtu, īstenotu vai aizstāvētu juridiskas prasības, aizsargātu citu personu tiesības vai izpildītu uzdevumu, ko veic, īstenojot EPO oficiālās darbības (t. i., uzdevumu, kas ir nepieciešams administratīvajam un tehniskajam darbam, kas EPO jāveic saskaņā ar EPK) (122).

(49)

Piektkārt, tiesības iebilst ir noteiktas dienesta noteikumu 1.B panta 4. punktā un DAN 23. pantā. Konkrēti, fiziskām personām ir tiesības jebkurā laikā iebilst pret personas datu apstrādi, ko veic, lai izpildītu uzdevumu, īstenojot EPO oficiālās darbības vai likumīgi īstenojot pārzinim piešķirtās oficiālās pilnvaras (123). Personas ir jāinformē par šādu tiesību esamību skaidri un ne vēlāk kā pie pirmās saziņas ar tām (124). Ja persona iebilst pret personas datu apstrādi, DAN ir noteikts, ka pārzinim ir jāpārtrauc apstrāde, izņemot gadījumus, kad pārzinis spēj pierādīt pārliecinošus leģitīmus apstrādes iemeslus, kas ir svarīgāki par datu subjekta interesēm, tiesībām un brīvībām, vai arī kad jāceļ, jāīsteno vai jāaizstāv juridiskas prasības (125).

(50)

Sestkārt, DAN ir noteiktas tiesības uz datu pārnesamību, dodot personām iespēju saņemt savus personas datus strukturētā, plaši izmantotā un mašīnlasāmā formātā un nodot šos datus citam pārzinim (126). Šādas tiesības piemēro, ja apstrādi veic ar automatizētiem līdzekļiem, pamatojoties uz personas piekrišanu, vai lai izpildītu līgumu ar fizisku personu vai tās interesēs (127).

(51)

Visbeidzot, saskaņā ar DAN personām ir tiesības netikt pakļautām automatizētai lēmumu pieņemšanai, proti, lēmumiem, kas balstīti tikai uz automatizētu apstrādi, tostarp profilēšanai, kas rada personai tiesiskas sekas vai būtiski ietekmē viņu līdzīgā veidā (128). DAN ir noteikts, ka automatizēta lēmumu pieņemšana var notikt, ja tās pamatā ir datu subjekta nepārprotama piekrišana vai ja tas ir nepieciešams, lai noslēgtu vai izpildītu līgumu ar fizisku personu, un šādā gadījumā pārzinim ir jāveic piemēroti aizsardzības pasākumi, piemēram, nodrošinot tiesības panākt cilvēka iejaukšanos, paust personas viedokli un apstrīdēt lēmumu (129). Automatizētu lēmumu pieņemšanu var atļaut arī ar tiesību aktu, ja tajā ir paredzēti piemēroti pasākumi, lai aizsargātu personu tiesības (130). Ja pārzinis izmanto automatizētu lēmumu pieņemšanu, tostarp profilēšanu, viņam par to proaktīvi jāinformē persona, pildot savus pārredzamības pienākumus, un jāsniedz jēgpilna informācija par attiecīgo loģiku, kā arī par šādas apstrādes nozīmīgumu un paredzamajām sekām attiecībā uz datu subjektu (131). Tāda pati informācija jāsniedz pēc pieprasījuma (132).

(52)

Līdzīgi kā Regulas (ES) 2016/679 23. pantā un Regulas (ES) 2018/1725 25. pantā DAN 25. pantā ir noteikts, ka konkrētas EPO tiesiskā regulējuma tiesību normas var ierobežot 43.–51. apsvērumā minēto tiesību piemērošanu (133) (t. i., ierobežot to piemērošanu uz laiku) (134), ja šāds ierobežojums atbilst pamattiesību (135) un pamatbrīvību būtībai un ir nepieciešams un samērīgs konkrētu nolūku aizsardzībai demokrātiskā sabiedrībā (136). Turklāt ierobežojums ir jāparedz “skaidrās un precīzās” tiesību normās, kuru mērķis ir radīt tiesiskas sekas datu subjektiem un kuras ir jāpieņem vismaz Priekšsēdētāja līmenī (137). Šādos noteikumos jo īpaši ir jānosaka apstrādes mērķis, ierobežojuma darbības joma, aizsardzības pasākumi ļaunprātīgas izmantošanas novēršanai un glabāšanas termiņi, kā arī piemērojamie aizsardzības pasākumi (138).

(53)

Pašlaik vienīgais juridiskais instruments, kas paredz individuālo tiesību ierobežojumus, ir 420. apkārtraksts (juridiski saistošs instruments, ko pieņēmis Priekšsēdētājs). Tajā ir precizēts, kā un ar kādiem nosacījumiem pārzinis var piemērot ierobežojumus, un izsmeļoši noteikti konkrētie gadījumi, kādos tiesības var ierobežot, un ar kādiem mērķiem (139). Konkrēti tajā ir paredzēts, ka EPO var ierobežot personas tiesības dažu konkrētu mērķu sasniegšanai: a) un b) risinot izmeklēšanas vai disciplinārlietas attiecībā uz saviem darbiniekiem (140); c) saistībā ar strīdu iekšēju izšķiršanu vai juridisku prasību celšanu, īstenošanu vai aizstāvību, tostarp šķīrējtiesā, lai saglabātu konfidenciālu informāciju un dokumentus, kas iegūti no pusēm, personām, kas iestājušās lietā, vai citiem likumiskiem avotiem; d) apstrādājot veselības datus medicīniskajās procedūrās un lietās, bet tikai lai aizsargātu personu tiesības (141); e) un f) veicot iekšējās revīzijas un pārbaudes (pēdējās veic DAS); g) IT incidentu pārvaldības un fiziskās drošības incidentu ziņojumu vajadzībām; h) sniedzot palīdzību kompetentām valsts iestādēm vai to saņemot, tostarp no EPO līgumslēdzējām valstīm un starptautiskām organizācijām, vai sadarbojoties ar tām saistībā ar darbībām, kas noteiktas attiecīgajos pakalpojumu līmeņa nolīgumos, saprašanās memorandos un sadarbības nolīgumos, vai nu pēc to pieprasījuma, vai pēc Iestādes iniciatīvas (142).

(54)

Tas, vai konkrētā gadījumā ierobežojumu var piemērot, ir jānosaka pārzinim individuālos gadījumos, ņemot vērā attiecīgos apstākļus (143). Lemjot par ierobežojuma piemērošanu vai nepiemērošanu, pārzinim vispirms ir jānovērtē tā nepieciešamība un samērīgums konkrētajā gadījumā, iesaistot DAS (144). Minētais novērtējums ietver iespējamo risku datu subjekta tiesībām un brīvībām izsvēršanu pretstatā citu datu subjektu riskiem un brīvībām un riskiem, kas var traucēt apstrādes darbības nolūkam un iznākumam (145). Ierobežojumi ir jādokumentē: jāreģistrē ierobežoto tiesību novērtējums, ierobežojuma ilgums, tā iemesli un pamats (146). Turklāt, kamēr tiek piemērots ierobežojums, ir jāievieš atbilstoši tehniskie un organizatoriskie pasākumi (147). Jebkuru ierobežojumu var piemērot tikai tik ilgi, kamēr pastāv ierobežojuma iemesli (148). Ja tiesības tiek ierobežotas, pārzinim jāinformē attiecīgā persona par galvenajiem iemesliem un tiesībām iesniegt sūdzību (149).

(55)

EPO dibināšanas līgumā (proti, EPK), PCT noteikumos un saskaņā ar tiem piemērojamajos noteikumos (kas visi ir EPO primārie tiesību akti) ir ietvertas konkrētas īpašas prasības saistībā ar patentu piešķiršanas procedūru, kas var ietekmēt noteiktu tiesību īstenošanu saskaņā ar DAN (150). PGP lēmumā ir sniegts pārskats par minētajām primāro tiesību aktu prasībām, paskaidrots, kā šajā kontekstā var īstenot datu subjektu tiesības, un skaidri noteikti iespējamie izņēmumi (151). 420. apkārtrakstā ir noteikts, ka tajos noteikumos, kas var ierobežot datu aizsardzības tiesību piemērošanu, ir skaidri jānorāda jebkura atbrīvojuma darbības joma un tādējādi jālīdzsvaro dažādās iesaistītās intereses (152).

(56)

Pirmkārt, saskaņā ar EPK 127. pantu Iestādei ir pienākums uzturēt Eiropas Patentu reģistru, kur tiek publicēti konkrēti juridiski definēti personas dati. Saskaņā ar primārajiem tiesību aktiem patentu pieteikumi ir jāpublicē patentu piešķiršanas procedūras laikā, parasti iespējami drīz pēc astoņpadsmit mēnešu termiņa beigām no pieteikuma iesniegšanas dienas. EPK paredz, ka šādos patentu pieteikumos iekļautajiem personas datiem var piekļūt, vai nu pārbaudot lietas materiālus, vai pārbaudot reģistru (153). Pirms publicēšanas patentu pieteikumi nav pieejami pārbaudei bez pieteikuma iesniedzēja nepārprotamas piekrišanas. Līdzīgi noteikumi ir paredzēti PCT (154).

(57)

Otrkārt, EPK īpaši reglamentē iespēju panākt izmaiņas informācijā, ko izmanto saistībā ar patentu piešķiršanas procedūru (155). Konkrēti EPK ir paredzēta tikai iespēja panākt kļūdu labošanu EPO iesniegtajos dokumentos (156), kļūdu labošanu lēmumos (157), tulkojumu labošanu (158) un izgudrotāja vārda labošanu (159). Tāpēc patentu piešķiršanas procedūrā izmantotajos dokumentos iekļauto personas datu labošanu arī var panākt tikai šajos gadījumos. Tas pats attiecas uz iespēju panākt datu apstrādes ierobežojumu (160).

(58)

Treškārt, EPK ir noteiktas īpašas saglabāšanas un publicēšanas prasības attiecībā uz dažiem dokumentiem, ko izmanto patentu piešķiršanas procedūrā, un tas ietekmē iespēju panākt tajos ietvertās informācijas, tostarp personas datu, dzēšanu (161). Konkrēti, Eiropas Patentu biļetenā publicētie patentu pieteikumi un patentu informācija ir jāsaglabā un jāsaglabā publiski pieejama (162). Tādējādi šajos dokumentos ietverto personas datu dzēšana būtu pretrunā EPO pamata juridiskajām saistībām (EPK 129. panta a) punkts), un to nevar panākt. Citas datnes EPO ir jāglabā EPK noteikto laikposmu, kas principā ir pieci gadi (163). Kamēr šis termiņš nav beidzies, šajās datnēs ietvertās informācijas (tostarp personas datu) dzēšanu nevar panākt.

(59)

Tādējādi, īpaši ņemot vērā to ierobežoto darbības jomu un piemērošanas nosacījumus, var uzskatīt, ka no 55. līdz 58. apsvērumā minētajiem noteikumiem izrietošie tiesību izmantošanas ierobežojumi aprobežojas ar to, kas ir nepieciešams un samērīgs, lai nodrošinātu pareizu patenta piešķiršanas procedūras darbību, kā tas nepieciešams sabiedrības interesēs EPO oficiālo uzdevumu izpildei. Ciktāl EPK un PCT konkrēti nereglamentē datu aizsardzības tiesību īstenošanu, proti, visos citos scenārijos, kas nav aprakstīti 55.–58. apsvērumā, DAN prasības ir piemērojamas pilnībā.

(60)

Aizsardzības līmeni, kāds piešķirts personas datiem, kurus no Savienības nosūta EPO, nedrīkst samazināt šādu datu tālāka nosūtīšana saņēmējiem trešā valstī vai citā starptautiskā organizācijā.

(61)

DAN ir nošķirta “personas datu nosūtīšana” (t. i., EPO datu kopīgošana ar līgumslēdzējām valstīm) un “personas datu pārsūtīšana” (EPO veiktā datu kopīgošana ar jebkuru citu personu vai struktūru ārpus EPO) (164).

(62)

Pirmkārt, DAN ir paredzēts, ka datu nosūtīšana EPO līgumslēdzējas valsts intelektuālā īpašuma birojam var notikt, ja dati ir nepieciešami a) saņēmēja kompetences īstenošanai vai oficiālu pilnvaru īstenošanai un b) nosūtīšana ir nepieciešama EPO oficiālo uzdevumu/funkciju izpildei (165). Šī nosūtīšana notiek EPK un PCT paredzētās patentu piešķiršanas procedūras ietvaros (166).

(63)

Otrkārt, DAN ļauj nosūtīt datus EPO līgumslēdzējas valsts publiskai iestādei (167), ja dati ir nepieciešami šīs publiskās iestādes uzdevumu izpildei un nosūtīšana ir saderīga ar EPO uzdevumiem un darbību (168). Šāda nosūtīšana netiek konkrēti prasīta saskaņā ar EPK vai citiem juridiskiem instrumentiem, kas reglamentē patentu piešķiršanas procedūru, tomēr tā var būt nepieciešama EPO uzdevumu izpildei, piemēram, EPO sadarbībai ar līgumslēdzējām valstīm konsultāciju procesā, ekspertu norīkošanai un izvietošanai vai informācijas sniegšanai par EPO darbiniekiem nolūkā noteikt sociālos pabalstus, nodokļu prasības utt.

(64)

DAS ir sagatavojis paraugklauzulas, kas jāiekļauj saprašanās memorandos, kuri reglamentē šādu 62. un 63. apsvērumā aprakstītu nosūtīšanu, kas tostarp paredz datu aizsardzības principus, ierobežo turpmāku apstrādi tikai savietojamos nolūkos, paredz datu subjektu tiesības, kā arī pienākumus attiecībā uz datu drošību un datu aizsardzības pārkāpumiem un neatkarīgu uzraudzību (169).

(65)

Abos 62. un 63. apsvērumā aprakstītajos scenārijos saņēmējam saskaņā ar DAN ir jāsniedz pierādījumi, ka dati ir jānosūta konkrētam mērķim, kas izriet no EPO saistībām sadarboties ar līgumslēdzēju valsti vai valstīm (170). Pārzinim attiecībā uz katru nosūtīšanu jāspēj pierādīt, ka šāda nosūtīšana ir nepieciešama un samērīga ar konkrēto nolūku, kādā tā tiek veikta (171). Datu pārsūtīšanai jānotiek tā, lai nodrošinātu, ka tiek saglabāts DAN noteiktais aizsardzības līmenis (172). Saskaņā ar DAS sniegtajiem norādījumiem tas nozīmē, ka tiek nodrošināti atbilstoši aizsardzības pasākumi, tai skaitā kopīgojamie dati ir jāsamazina līdz minimumam un jāaprobežojas ar to, kas ir pienācīgs, atbilstošs un absolūti nepieciešams šā mērķa sasniegšanai (173). Ja ir pamats uzskatīt, ka var tikt skartas attiecīgās personas likumīgās intereses, pārzinim pēc dažādo interešu izsvēršanas ir jāpierāda, ka personas datu nosūtīšana šim konkrētajam nolūkam ir samērīga (174).

(66)

Attiecībā uz šiem diviem scenārijiem ir svarīgi arī norādīt, ka visas EPO līgumslēdzējas valstis ir Eiropas Cilvēktiesību un pamatbrīvību aizsardzības konvencijas līgumslēdzējas puses, uz kurām attiecas Eiropas Cilvēktiesību tiesas jurisdikcija, kā arī Eiropas Padomes Konvencijas par personu aizsardzību attiecībā uz personas datu automātisko apstrādi (ETS Nr. 108) puses.

(67)

Visbeidzot, DAN atļauj nosūtīt datus apstrādātājam, kas atrodas Eiropas Ekonomikas zonā (EEZ), ar nosacījumu, ka tiek nodrošināta atbilstība DAN noteiktajām prasībām attiecībā uz apstrādātāju iesaistīšanu (175).

(68)

Personas datu kopīgošana ar jebkuru struktūru ārpus EPO, kas nav EPO līgumslēdzēju valstu publiska iestāde vai valsts intelektuālā īpašuma birojs, vai apstrādātājs EEZ, tiek uzskatīta par personas datu “pārsūtīšanu”, kurai jāpiemēro konkrētas DAN prasības (176). Minētās prasības attiecas, piemēram, uz datu kopīgošanu ar apstrādātājiem ārpus EEZ, pārziņiem, kas atrodas līgumslēdzējās valstīs vai ārpus tām, valsts iestādēm valstīs, kas nav līgumslēdzējas valstis, un citām starptautiskām organizācijām. DAN ir vispārīgi noteikts, ka, nosūtot datus trešām personām, netiek apdraudēts aizsardzības līmenis, ko personām garantē EPO (177). Saskaņā ar DAS norādījumiem uz trešo valsti vai starptautisko organizāciju pārsūtītajiem personas datiem piešķirtajai aizsardzībai būtībā ir jābūt “līdzvērtīgai aizsardzībai, kas garantēta DAN” (178).

(69)

Saskaņā ar DAN personas datu pārsūtīšana ārpus EPO var notikt tikai tad, ja valsts, kurā atrodas saņēmējs, vai starptautiskā organizācija nodrošina pienācīgu aizsardzības līmeni un ja pārsūtīšana tiek veikta tikai tāpēc, lai EPO varētu veikt uzdevumus, kas ir tās kompetencē (179). Lēmumu par aizsardzības līmeņa pietiekamību pieņem Priekšsēdētājs (180), kurš šaubu gadījumā apspriežas ar DAS un DAP (181). DAS ir izstrādājis “pietiekamības atsauces”, nosakot kritērijus lēmumiem par aizsardzības līmeņa pietiekamību (182). Konkrēti trešās valsts vai starptautiskās organizācijas tiesiskajā regulējumā jāparedz galvenie datu aizsardzības principi, datu subjektu tiesības, noteikumi par tālāku pārsūtīšanu, procesuālie un izpildes mehānismi un personu tiesiskā aizsardzība. Ja Priekšsēdētājs pieņem lēmumu par aizsardzības līmeņa pietiekamību, pārsūtīšanu var veikt, neveicot papildu aizsardzības pasākumus (183). EPO pašlaik uzskata, ka dalībvalstis, kā arī Norvēģija, Islande, Lihtenšteina, visas valstis, uz kurām attiecas Komisijas un Savienības iestāžu un struktūru lēmums par aizsardzības līmeņa pietiekamību (184), nodrošina pienācīgu aizsardzības līmeni (185).

(70)

Saskaņā ar DAN, ja nav lēmuma par aizsardzības līmeņa pietiekamību, pārzinis vai apstrādātājs var nosūtīt personas datus saņēmējiem ārpus EPO tikai tad, ja pārzinis vai apstrādātājs ir veicis atbilstošus aizsardzības pasākumus un ar nosacījumu, ka datu subjektiem ir pieejamas īstenojamas datu subjektu tiesības un efektīvi tiesiskās aizsardzības līdzekļi (186). Šādus atbilstošus aizsardzības pasākumus var iekļaut administratīvajās vienošanās ar valsts iestādēm vai starptautiskām organizācijām, līguma klauzulās (pēc apspriešanās ar DAP) (187) vai sertifikācijas mehānismos (188). DAS ir izstrādājis administratīvajās vienošanās iekļaujamo noteikumu paraugu (189). Ir pieejams arī datu aizsardzības nolīguma paraugs datu pārsūtīšanai apstrādātājiem (190). Saskaņā ar DAS norādījumiem EPO ir jānovērtē, vai datu saņēmējam būtu liegts izpildīt savus pienākumus saskaņā ar pārsūtīšanas instrumentu uz to attiecināmā tiesiskā regulējuma dēļ, un vajadzības gadījumā jāievieš papildu pasākumi (191). Lai veiktu šo novērtējumu, DAS savos EPO paskaidrojumos par personas datu nosūtīšanu un pārsūtīšanu iesaka ņemt vērā attiecīgos EDAK un Eiropas Datu aizsardzības uzraudzītāja norādījumus (192).

(71)

Saskaņā ar DAN attiecībā uz datu pārsūtīšanu valstīm vai organizācijām, uz kurām attiecas lēmums par aizsardzības līmeņa pietiekamību, kā arī attiecībā uz datu pārsūtīšanu, pamatojoties uz atbilstošiem aizsardzības pasākumiem, EPO ir jāpierāda katras nosūtīšanas nepieciešamība un samērīgums apstrādes nolūkā (193). Turklāt, ja ir pamats uzskatīt, ka varētu tikt aizskartas datu subjektu likumīgās intereses, EPO pēc dažādo iesaistīto interešu izsvēršanas ir jāpierāda, ka pārsūtīšana ir samērīga (194). Turklāt ir jānodrošina (izmantojot līgumiskus aizsardzības pasākumus), ka saņēmējs var apstrādāt vai izmantot datus tikai tiem mērķiem, kādiem tie tika pārsūtīti, un dati ir jādzēš, tiklīdz mērķis ir sasniegts (195).

(72)

Saskaņā ar DAN, ja lēmuma par aizsardzības līmeņa pietiekamību vai atbilstošu aizsardzības pasākumu nav, personas datu pārsūtīšana ārpus EPO ir pieļaujama “tikai izņēmuma kārtā”, ja ir piemērojama tā sauktā “atkāpe” ar līdzīgiem nosacījumiem kā attiecīgajos Savienības datu aizsardzības tiesību aktu noteikumos (196). Tā tas ir gadījumā, ja a) datu subjekts ir skaidri piekritis pārsūtīšanai (197), b) un c) pārsūtīšana ir neregulāra un nepieciešama, lai izpildītu līgumu ar datu subjektu vai tā interesēs (vai lai pēc datu subjekta pieprasījuma īstenotu pasākumus pirms līguma noslēgšanas) (198), d) pārsūtīšana ir vajadzīga uzdevuma izpildei, kas saistīta ar EPO oficiālo darbību veikšanu, vai pārzinim oficiāli piešķirto pilnvaru īstenošanai (199), e) pārsūtīšana ir neregulāra un vajadzīga, lai celtu, īstenotu vai aizstāvētu juridiskas prasības (200), f) pārsūtīšana ir vajadzīga, lai aizsargātu personas vitālas intereses, ja datu subjekts ir fiziski vai tiesiski nespējīgs dot nepārprotamu piekrišanu (201), vai g) pārsūtīšanu izdara no reģistra, kurš ir paredzēts, lai sniegtu informāciju sabiedrībai, un kurš ir pieejams, lai informāciju gūtu gan plaša sabiedrība, gan jebkura persona, kura var pierādīt likumīgu ieinteresētību, ciktāl par informācijas pieejamību izvirzītie nosacījumi konkrētajā gadījumā tiek izpildīti (202). Pēc būtības un saskaņā ar DAS norādījumiem uz šīm atkāpēm nevar atsaukties, lai veiktu sistemātisku un regulāru pārsūtīšanu (203).

(73)

Visbeidzot, attiecībā uz konkrētu kategoriju datu pārsūtīšanu valstīm vai organizācijām, uz kurām neattiecas lēmums par aizsardzības līmeņa pietiekamību, Priekšsēdētājs var vēl vairāk ierobežot šādu pārsūtīšanu svarīgu iemeslu dēļ, kas saistīti ar Iestādei piešķirto oficiālo pilnvaru likumīgu īstenošanu (204). Līdz šim Priekšsēdētājs šīs pilnvaras nav izmantojis.

(74)

Saskaņā ar pārskatatbildības principu vienībām, kas apstrādā datus, ir jāievieš atbilstoši tehniskie un organizatoriskie pasākumi, lai tās efektīvi izpildītu savus datu aizsardzības pienākumus, un jāspēj pierādīt šādu izpildi, konkrēti – kompetentajai uzraudzības iestādei.

(75)

DAN 4. panta 1. punktā ir noteikts vispārējs pārskatatbildības princips, ar kuru tiek noteikts, ka pārzinis ir atbildīgs par DAN ievērošanu un tam ir jāspēj to pierādīt. Konkrēti, pārzinim ir jāveic atbilstoši tehniskie un organizatoriskie pasākumi, lai nodrošinātu un spētu pierādīt atbilstību, ņemot vērā apstrādes raksturu, apjomu, kontekstu un nolūkus, kā arī risku atšķirīgo iespējamību un nopietnību attiecībā uz fizisku personu tiesībām (205). Šajā ziņā DAN īsteno arī integrētas privātuma aizsardzības un privātuma pēc noklusējuma principus, pieprasot pārzinim veikt pasākumus, kas paredzēti, lai īstenotu datu aizsardzības principus un nodrošinātu atbilstību DAN, kā arī nodrošināt, ka pēc noklusējuma tiek apstrādāti tikai katram konkrētajam apstrādes nolūkam nepieciešamie personas dati (206).

(76)

Pārzinim un apstrādātājiem ir jāreģistrē apstrādes darbības, tostarp ietverot informāciju par apstrādes nolūku, apstrādāto datu kategorijām, to saņēmēju kategorijām, kuriem dati tiek izpausti, un personas datu pārsūtīšanu (207). Šie reģistra ieraksti principā ir publiski pieejami (ja vien nesatur konfidenciālu informāciju), tiek iekļauti publiski pieejamā datu aizsardzības reģistrā un pēc pieprasījuma ir jādara pieejami DAP (208). Katrai operatīvajai vienībai arī jāieceļ vismaz viens datu aizsardzības koordinators (uz atjaunojamu termiņu no viena līdz trim gadiem), kam jāiziet obligāta apmācība datu aizsardzības jomā un jāpalīdz pārzinim pildīt tā pienākumus (209).

(77)

Visbeidzot, DAN ir paredzēti dažādi instrumenti, kas var palīdzēt pārzinim un apstrādātājiem atbilstības nodrošināšanas centienos. Piemēram, saskaņā ar DAN apstiprināto sertifikācijas mehānismu ievērošana var kalpot par pierādījumu DAN saistību izpildei (210). Turklāt noteiktos apstākļos DAN ir prasīts veikt novērtējumu par ietekmi uz datu aizsardzību vai iepriekšēju apspriešanos ar DAS un DAP. Novērtējums par ietekmi uz datu aizsardzību ir vajadzīgs, ja apstrādes veids var radīt augstu risku personas tiesībām un brīvībām (211). Tas, piemēram, ir nepieciešams, ja sistemātiski un plaši tiek izvērtēti personiskie aspekti, uz kuriem balstīti automatizēti lēmumi, vai ja tiek veikta īpašu kategoriju datu apstrāde lielā apjomā (212). Ja ietekmes novērtējums liecina, ka apstrāde radītu augstu risku personu tiesībām un brīvībām un ka risku nevar mazināt ar saprātīgiem drošības pasākumiem, pārzinim ir jāapspriežas ar DAP (213). Ja DAP uzskata, ka plānotā apstrāde būtu DAN pārkāpums, tai ir jāsniedz rakstisks ieteikums (214). Vispārīgāk runājot, pārzinim, sagatavojot noteikumus vai darbības dokumentus par individuālo tiesību ierobežojumu īstenošanu, ir jāapspriežas ar DAS (215).

(78)

Lai nodrošinātu, ka arī praksē tiek garantēts pietiekams datu aizsardzības līmenis, vajadzētu būt izveidotai neatkarīgai uzraudzības iestādei, kurai uzticētas pilnvaras uzraudzīt un nodrošināt datu aizsardzības noteikumu izpildi. Šai iestādei savi uzdevumi būtu jāveic un pilnvaras jāīsteno pilnīgi neatkarīgi un objektīvi.

(79)

EPO tiesiskajā regulējumā divām struktūrām, DAS un DAP, ir uzticēts pārraudzīt, kā EPO ievēro datu aizsardzības noteikumus. Abas struktūras ir izveidotas ar dienesta noteikumu 32.A pantu, savukārt to statuss un pilnvaras ir sīkāk precizētas DAN (216). To uzdevumi ir savstarpēji papildinoši un ietver sadarbību, tomēr katra struktūra savās attiecīgajās funkcijās joprojām ir neatkarīga.

(80)

Saskaņā ar dienesta noteikumiem DAS un DAP rīkojas pilnīgi neatkarīgi no iekšējas vai ārējas iejaukšanās to uzdevumu izpildē un pilnvaru īstenošanā (217). Šo principu papildina dažādi papildu aizsardzības pasākumi, kas garantē to neatkarību.

(81)

DAS (un viņa vietniekus) ieceļ Priekšsēdētājs, pamatojoties uz viņu profesionālo kvalifikāciju un jo īpaši viņu speciālajām zināšanām par datu aizsardzības tiesību aktiem un praksi (218). DAS tiek iecelts uz atjaunojamu trīs līdz piecu gadu termiņu. Pirms tiek ierosināta DAS atbrīvošana no amata vai atlaišana, notiek apspriešanās ar DAP (219). Šāda iepriekšēja apspriešanās pirms DAS atbrīvošanas no amata vai atlaišanas ir paredzēta, lai nodrošinātu papildu pārbaudi un pārskatīšanu ierosinātās atbrīvošanas no amata vai atlaišanas gadījumā. Iemesli, lai ierosinātu atbrīvošanu no amata vai atlaišanu, var būt šādi (220): ja DAS vairs neatbilst savu pienākumu izpildei nepieciešamajiem nosacījumiem (221); profesionālas nekompetences dēļ (222); disciplināru pasākumu piemērošanas rezultātā (223). DAN arī nosaka, ka DAS nevar atlaist vai sodīt par tā uzdevumu izpildi, un viņš nevar pieņemt nekādus norādījumus (224). DAS ir jāiesaista visos personas datu aizsardzības jautājumos, un viņš katru gadu sagatavo darbības pārskatus Priekšsēdētājam un Administratīvajai padomei (225). Iestādei ir jānodrošina DAS viņa uzdevumu veikšanai nepieciešamie resursi (226).

(82)

DAP sastāvā ir trīs ārējie eksperti datu aizsardzības jomā, proti, priekšsēdētājs un divi citi locekļi (227), kā arī locekļa aizstājējs, ko uz atjaunojamu trīs gadu termiņu ieceļ EPO Priekšsēdētājs (228). DAP locekļiem ir jābūt kvalifikācijai, kas vajadzīga iecelšanai tiesneša amatā, vai jābūt datu aizsardzības speciālistiem ar apliecinātām zināšanām un pieredzi datu aizsardzības tiesību jomā, kas iegūta valsts vai starptautiskā līmenī. Viņi nedrīkst būt ne EPO darbinieki, ne būt bijuši tur nodarbināti pēdējo desmit gadu laikā (229). Saskaņā ar DAN 48. panta 6. punktu DAP locekļi, pildot savas funkcijas, ir pilnīgi neatkarīgi. Jo īpaši DAP locekļi nedrīkst lūgt norādījumus Iestādei vai Administratīvajai padomei, un tiem nevar būt saistoši šādi norādījumi. DAP reglamentā ir arī paredzēts, ka, pildot savus uzdevumus, tai ir jārīkojas objektīvi un pilnīgi neatkarīgi (230). Turklāt EPO var atbrīvot DAP locekļus no viņu pienākumu pildīšanas tikai nopietnu iemeslu dēļ (231). DAP locekļiem ir saistošs konfidencialitātes pienākums (232), un viņi nedrīkst skatīt lietas, kurās viņiem ir interešu konflikts, it īpaši personiska interese (233). EPO ir jāatbalsta DAP tās uzdevumu izpildē, piešķirot tai nepieciešamos resursus, kā arī juridisko un administratīvo atbalstu (ar sekretariāta starpniecību un nodrošinot DAP piekļuvi personas datiem un apstrādes darbībām) (234).

(83)

DAS uzdevumi tostarp ir šādi: informēt pārzini vai apstrādātājus par viņu pienākumiem un attiecīgi tos konsultēt; palielināt apstrādes darbībās iesaistītā personāla informētību un nodrošināt apmācību; nodrošināt, ka datu subjekti tiek informēti par viņu tiesībām saskaņā ar DAN; neatkarīgā veidā uzraudzīt DAN, kā arī citu EPO tiesību normu, kas ietekmē datu aizsardzību, iekšējo piemērošanu un ievērošanu (235). Datu subjekti var sazināties ar DAS par jebkuru jautājumu, kas saistīts ar viņu datu apstrādi vai viņu tiesību īstenošanu (236), un pārzinis un apstrādātāji var apspriesties ar DAS par jebkuru jautājumu, kas attiecas uz DAN interpretāciju un piemērošanu (237).

(84)

Pildot savu pārraudzības funkciju, DAS ir pilnvaras veikt datu aizsardzības revīzijas un izmeklēšanas (238). Revīzijas uzsāk DAS saskaņā ar gada revīzijas plānu, kas sagatavots, konsultējoties ar DAP (239). Revīzijā galvenā uzmanība tiek pievērsta datu aizsardzības ierakstu, paziņojumu un attiecīgās dokumentācijas novērtēšanai, piemēram, lai pārbaudītu attiecīgās datu aizsardzības dokumentācijas precizitāti un pilnīgumu, riska pārvaldības metodikas pareizu piemērošanu, datu subjektiem sniegto atbilžu precizitāti un savlaicīgumu vai attiecīga skaita datu aizsardzības ietekmes novērtējumu pienācīgu veikšanu (240). Saskaņā ar informāciju, ko Komisija ir saņēmusi no DAS, 2023. gadā tika veiktas trīs revīzijas un 2024. gadā – četras. Izmeklēšanu var sākt DAS pēc savas iniciatīvas, pamatojoties uz pieprasījumu, kas saņemts no DAP vai EPO struktūras (piemēram, Priekšsēdētāja vai deleģēta pārziņa), vai pamatojoties uz informāciju, kas saņemta citā ceļā (tai skaitā, piemēram, no trešām personām un fiziskām personām) (241). DAP pieprasītās izmeklēšanas DAS veic neatkarīgi. DAP var sniegt piezīmes un/vai pieprasīt papildu izmeklēšanu par jebkuru jautājumu, kas varētu rasties (242). Pārbaudes ir vērstas uz apstrādes darbībām vai konkrētiem to aspektiem vai ar tām saistītiem atgadījumiem, lai nodrošinātu, ka attiecīgā apstrāde atbilst DAN prasībām, un lai nodrošinātu datu subjektu tiesību un brīvību aizsardzību (243).

(85)

DAS ir piekļuve visai attiecīgajai informācijai, tostarp apstrādātajiem personas datiem, kā arī visiem birojiem, datu apstrādes iekārtām un datu nesējiem (244). Visiem EPO darbiniekiem un operatīvajām nodaļām ir jāpalīdz DAS veikt tā pienākumus, tostarp nodrošinot piekļuvi telpām un attiecīgajai informācijai (245).

(86)

Kad revīzija vai izmeklēšana ir pabeigta, DAS pieņem ziņojumu, kurā izklāsta savus konstatējumus, secinājumus un ieteiktos korektīvos pasākumus (246). Šādi pasākumi var ietvert, piemēram, preventīvus vai sekas mazinošus pasākumus atbilstības uzlabošanai, kā arī pasākumus neatbilstības novēršanai (piemēram, lai panāktu apstrādes atbilstību DAN, apstrādātu datu subjektu pieprasījumus īstenot savas tiesības, apturētu vai izbeigtu apstrādi utt.) (247). DAS var arī informēt kompetento iecēlējinstitūciju par to, ka darbinieki neievēro DAN, un ieteikt sākt administratīvu izmeklēšanu, lai noteiktu, vai ir vajadzīgas disciplināras vai cita veida darbības (248). Saskaņā ar dienesta noteikumiem ikvienam darbiniekam, kas tīši vai nolaidības dēļ neievēro DAN, var piemērot disciplinārsodu vai citu pasākumu (249).

(87)

Revīziju un izmeklēšanas rezultāti ir jāpaziņo DAP (250). Revīzijas vai izmeklēšanas ziņojums pēc pieprasījuma ir jāiesniedz DAP. DAP ir atļauts komentēt DAS ziņojumu, tostarp par DAS konstatējumiem attiecībā uz to, vai ir noticis DAN pārkāpums, par ierosinātajiem korektīvajiem pasākumiem, un tā var pieprasīt papildu izmeklēšanas pasākumus (251). Ja DAS veiktā revīzijā vai pārbaudē tiek secināts, ka ir pieļauta neatbilstība (t. i., DAN pārkāpums), DAS ziņojums ir jāiesniedz DAP secinājumu un ieteikto korektīvo pasākumu apstiprināšanai. Ja DAP nepiekrīt DAS secinājumiem vai ieteiktajiem korektīvajiem pasākumiem, DAP savus komentārus, tostarp nolūkā grozīt ierosinātos secinājumus un ieteiktos korektīvos pasākumus, dara zināmus DAS, kam tie būtu attiecīgi jāīsteno. DAP apstiprinātie korektīvie pasākumi ir saistoši pārzinim un deleģētajiem pārziņiem, un fiziskas personas uz tiem var atsaukties, pirms tiek izmantoti 95. apsvērumā aprakstītie tiesiskās aizsardzības mehānismi (252). DAS ir jāpārbauda korektīvo pasākumu īstenošana (principā sešus mēnešus pēc to paziņošanas) un katru gadu jāziņo Priekšsēdētājam par īstenošanas stāvokli (253).

(88)

DAP uzdevums ir ne tikai nodrošināt DAN ievērošanu, bet arī konsultēt Priekšsēdētāju par lēmumu par aizsardzības līmeņa pietiekamību pieņemšanu, konsultēt pārzini par nepieciešamību veikt novērtējumu par ietekmi uz datu aizsardzību un izskatīt fizisku personu sūdzības (sk. 92.–96. apsvērumu) (254).

(89)

Lai nodrošinātu pietiekamu aizsardzību un jo īpaši individuālo tiesību īstenošanu, datu subjektam vajadzētu būt pieejamiem efektīviem tiesiskās aizsardzības līdzekļiem, tostarp kompensācijai par kaitējumu.

(90)

EPO tiesiskais regulējums piedāvā privātpersonām vairākas dažādas tiesiskās aizsardzības iespējas.

(91)

Pirmkārt, datu subjekti, kuri uzskata, ka EPO veiktā personas datu apstrāde pārkāpj viņu tiesības (t. i., pārkāpj DAN), var pieprasīt pārskatīšanu, ko veic deleģētais pārzinis saskaņā ar DAN 49. pantu. Deleģētais pārzinis izskatīs sūdzību un pieņems lēmumu (255). Pirms lēmuma pieņemšanas deleģētajam pārzinim ir jāapspriežas ar DAS, kas sniedz rakstisku atzinumu ne vēlāk kā piecpadsmit kalendārās dienas pēc pārskatīšanas pieprasījuma saņemšanas (256). Deleģētajam pārzinim ir jāatbild personai viena mēneša laikā no pieprasījuma saņemšanas dienas (257). Lēmums jāpaziņo personai kopā ar informāciju par tālākām pārsūdzības iespējām (258). Ja deleģētais pārzinis neveic nekādas darbības trīs mēnešu laikā, to uzskata par pieprasījuma netiešu noraidīšanu.

(92)

Otrkārt, privātpersonas var apstrīdēt deleģētā pārziņa lēmumu vai pārskatīšanas pieprasījuma netiešu noraidīšanu, iesniedzot sūdzību DAP (259).

(93)

Izskatot sūdzību, DAP ir jāaicina datu subjekts, pārzinis un attiecīgā gadījumā apstrādātājs rakstiski izklāstīt savu nostāju par strīdīgajiem apgalvojumiem un faktiem un sniegt pierādījumus vai komentārus un argumentus par pieejamajiem pierādījumiem (260). Šajā kontekstā DAP var pieprasīt no pusēm jebkādu informāciju, kas tai vajadzīga sūdzības izskatīšanai, un papildus var iegūt papildu informāciju ar DAS starpniecību (261). Lemjot par nepieciešamo turpmāko rīcību saistībā ar sūdzību, DAP tostarp ir jāņem vērā iespējamā pārkāpuma raksturs un smagums, skarto datu subjektu skaits, ietekmēto datu kategorijas un pārkāpuma ilgums (262). DAP var aicināt puses panākt izlīgumu, mudina uz šādu izlīgumu un aktīvi veicina tā panākšanu (263). Sūdzības iesniedzējs var arī lūgt DAP piemērot steidzamības procedūru iespējamā pārkāpuma smaguma vai personu tiesībām radītā riska nopietnības dēļ (264).

(94)

Pēc sūdzības izskatīšanas DAP sniedz pārzinim argumentētu atzinumu, kurā ietver faktu izklāstu, pušu galvenos argumentus, DAP apsvērumus un ieteikumus (265). Steidzamības procedūras gadījumā DAP divu mēnešu laikā pēc sūdzības iesniegšanas ir oficiāli jāsniedz argumentēts atzinums (266). Savā argumentētajā atzinumā DAP var sniegt jebkādus ieteikumus, ko tā uzskata par nepieciešamiem, tostarp pienākumrīkojumus (piemēram, izbeigt nelikumīgu datu apstrādi, dzēst nelikumīgi apstrādātus datus), materiālā vai nemateriālā kaitējuma atlīdzināšanu (267). Pamatotais atzinums ir jāpaziņo datu subjektam un pārzinim (t. i., Iestādes Priekšsēdētājam, Apelācijas padomju priekšsēdētājam, Administratīvās padomes priekšsēdētājam vai izraudzītās komitejas priekšsēdētājam atkarībā no tā, vai sūdzība attiecas uz Iestādi, Apelācijas padomēm, padomi vai izraudzīto komiteju). Pēc tam pārzinis pieņems galīgo saistošo lēmumu pēc DAP argumentētā atzinuma (268). Galīgo lēmumu paziņo datu subjektam, DAP un DAS (269). Ja pārzinis izlemj neievērot vienu vai vairākus argumentētā atzinuma aspektus, tas to rakstiski paskaidro lēmumā (270).

(95)

Datu subjekts, kurš nav apmierināts ar pārziņa lēmumu, var to pārsūdzēt tālāk, atsaucoties uz DAP argumentēto atzinumu. EPO darbinieki var apstrīdēt lēmumu Starptautiskās Darba organizācijas Administratīvajā tiesā (271). Jebkurš cits datu subjekts, kas nepiekrīt pārziņa lēmumam, trīs mēnešu laikā pēc lēmuma saņemšanas var iesniegt Priekšsēdētājam pieprasījumu par ad hoc šķīrējtiesu (272). DAP ir paredzēta īpaša procedūra, kas jāievēro ad hoc šķīrējtiesas gadījumā (273). Konkrēti, trīs mēnešu laikā pēc datu subjekta pieprasījuma saņemšanas Pastāvīgās šķīrējtiesas ģenerālsekretāram ir jāieceļ viens šķīrējtiesnesis, pamatojoties uz DAN noteiktajiem kritērijiem (274). Šķīrējtiesnesim jābūt juridiski kvalificētam, ar atļauju praktizēt jurisprudenci vienā no EPO līgumslēdzējām valstīm, jāspēj pierādīt attiecīgas speciālās zināšanas datu aizsardzības jautājumos un jāpārzina tiesību akti, kas reglamentē starptautiskās organizācijas (275). Papildus šo kritēriju izpildei var iecelt tikai personas, kas nav strādājušas ne EPO, ne datu subjekta labā vai dienestā. DAN ir paredzēts, ka šķīrējtiesnesim ir jārīkojas neatkarīgi un objektīvi (276), jāizturas vienlīdzīgi pret abām pusēm un jādod tām iespēja izklāstīt savu nostāju katrā procesa posmā (277). Šķīrējtiesas procesi nav publiski (278), un tos reglamentē EPK, DAN, tostarp jebkuri īstenošanas tiesību akti, starptautisko organizāciju tiesības un starptautisko publisko tiesību principi (279). Lai gan katra puse sedz savas izmaksas un juridiskās pārstāvības izdevumus (ja vien šķīrējtiesnesis nenolemj citādi), šķīrējtiesneša honorārus un izdevumus, iespējamo ekspertu konsultāciju un liecinieku izmaksas sedz EPO (280). Izlīgums ir jānoslēdz rakstiska šķīrējtiesas nolēmuma formā, par kuru panākta vienošanās un kurš ir galīgs un saistošs (281).

(96)

Jebkura persona, kurai nodarīts kaitējums DAN pārkāpuma dēļ, var pieprasīt no EPO kompensāciju, izmantojot 91.–95. apsvērumā aprakstītās procedūras (282). EPO netiek saukta pie atbildības, ja tā pierāda, ka nav atbildīga par kaitējumu izraisījušo notikumu.

(97)

Tiesiskais regulējums, saskaņā ar kuru EPO novērtē publisko iestāžu – līgumslēdzēju valstu un trešo valstu – pieprasījumus attiecībā uz personas datiem, ko apstrādā EPO, un atbild uz tiem, izriet no EPO Protokola par privilēģijām un imunitāti (PPI) (283), DAN prasībām par personas datu nosūtīšanu un pārsūtīšanu un starptautiskajām publiskajām tiesībām.

(98)

Pirmkārt, uz personas datu apstrādi, ko EPO veic savu oficiālo darbību nolūkā, attiecas organizācijas imunitāte. EPO imunitāti papildina sadarbības pienākums, kas noteikts PPI 20. pantā. Līdz ar to ikvienu līgumslēdzējas valsts iestādes lūgumu iegūt EPO apstrādātos datus izvērtē Priekšsēdētājs saskaņā ar PPI 20. panta 1. punktu, kurā noteikts, ka organizācija “vienmēr sadarbojas ar līgumslēdzēju valstu kompetentajām iestādēm, lai veicinātu pareizu tiesvedību, nodrošinātu policijas, sabiedrības veselības, darba inspekcijas vai citu līdzīgu valsts tiesību aktu ievērošanu un novērstu jebkādu šajā protokolā paredzēto privilēģiju, imunitātes un iespēju ļaunprātīgu izmantošanu”. Izņēmuma kārtā organizācija var atcelt savu imunitāti pret tiesvedību un izpildi (284). Lemjot par sadarbības pieprasījumu, Priekšsēdētājam ir rīcības brīvība, apsverot lūguma atbilstību organizācijas tiesiskajam regulējumam (285). Secinājums var būt tāds, ka Iestāde var atbildēt uz PPI pieprasījumu un izpaust personas datus tikai saskaņā ar DAN noteiktajām datu nosūtīšanas prasībām (sk. 62.–67. apsvērumu). Saskaņā ar DAN saņēmējam ir jāsniedz pierādījumi, ka dati ir jānosūta konkrētam mērķim, kas izriet no EPO saistībām sadarboties ar līgumslēdzēju valsti vai valstīm (286). Pārzinim attiecībā uz katru nosūtīšanu jāspēj pierādīt, ka šāda nosūtīšana ir nepieciešama un samērīga ar konkrēto nolūku, kādā tā tiek veikta (287). Datu pārsūtīšanai jānotiek tā, lai nodrošinātu, ka tiek saglabāts DAN noteiktais aizsardzības līmenis (288). Saskaņā ar DAS sniegtajiem norādījumiem tas nozīmē, ka tiek nodrošināti atbilstoši aizsardzības pasākumi, tai skaitā kopīgojamie dati ir jāsamazina līdz minimumam un jāaprobežojas ar to, kas ir pienācīgs, atbilstošs un absolūti nepieciešams šā mērķa sasniegšanai (289). Ja ir pamats uzskatīt, ka var tikt skartas attiecīgās personas tiesības un brīvības, pārzinim pēc dažādo interešu izsvēršanas ir jāpierāda, ka personas datu nosūtīšana šim konkrētajam nolūkam ir samērīga (290).

(99)

Otrkārt, EPO nav piemērojams neviens juridisks instruments, kas konkrēti reglamentētu trešo valstu (t. i., valstu, kas nav EPO līgumslēdzēja puse) iestāžu pieprasījumus saņemt EPO apstrādātos datus. Tādējādi jebkāda izpaušana, atbildot uz šādu pieprasījumu, var notikt tikai tad, ja ir izpildītas DAN noteiktās prasības par starptautisku datu pārsūtīšanu (kā aprakstīts 68.–73. apsvērumā). Tas tā ir tikai tad, ja par attiecīgo valsti ir pieņemts lēmums par aizsardzības līmeņa pietiekamību, kas attiecas uz nosūtīšanu, ja ir ieviesti atbilstoši aizsardzības pasākumi vai ja tiek piemērota atkāpe.

(100)

To, kā Priekšsēdētājs ievēro PPI, ieskaitot veidu, kā tiek reaģēts uz publisko iestāžu sadarbības pieprasījumiem, uzrauga Administratīvā padome, savukārt DAN noteikto personas datu nosūtīšanas un pārsūtīšanas prasību ievērošana ir pakļauta DAS un DAP uzraudzībai, kā aprakstīts 84.–88. apsvērumā. Privātpersonas var izmantot 90.–96. apsvērumā aprakstītos tiesiskās aizsardzības līdzekļus attiecībā uz savu personas datu nosūtīšanu vai pārsūtīšanu, ja tā notikusi, pārkāpjot DAN.

(101)

Komisija uzskata, ka EPO no Savienības nosūtītajiem personas datiem nodrošina aizsardzības līmeni, kas būtībā ir līdzvērtīgs Regulā (ES) 2016/679 garantētajam aizsardzības līmenim.

(102)

Ņemot vērā šā lēmuma konstatējumus, būtu jālemj, ka EPO nodrošina pietiekamu aizsardzības līmeni Regulas (ES) 2016/679 45. panta nozīmē, interpretējot to saskaņā ar Eiropas Savienības Pamattiesību hartu, attiecībā uz personas datiem, kas no Savienības tiek nosūtīti EPO.

(103)

Dalībvalstīm un to struktūrām ir pienākums veikt nepieciešamos pasākumus, lai izpildītu Savienības iestāžu tiesību aktus, jo tie tiek uzskatīti par likumīgiem un attiecīgi paredz tiesiskās sekas līdz brīdim, kad tiek atcelti, anulēti saskaņā ar prasību atcelt tiesību aktu vai pasludināti par spēkā neesošiem pēc lūguma sniegt prejudiciālu nolēmumu vai iebildes par nelikumību.

(104)

Tādējādi lēmums par aizsardzības līmeņa pietiekamību, ko Komisija pieņēmusi saskaņā ar Regulas (ES) 2016/679 45. panta 3. punktu, ir saistošs visām dalībvalstu struktūrām, kurām tas adresēts, arī to neatkarīgajām uzraudzības iestādēm. Konkrētāk, pārzinis vai apstrādātājs Savienībā var nosūtīt datus EPO bez jebkādas turpmākas atļaujas saņemšanas.

(105)

Vienlaikus būtu jāatgādina, ka saskaņā ar Regulas (ES) 2016/679 58. panta 5. punktu un kā Tiesa paskaidrojusi lietā C-362/14 (291), ja valsts datu aizsardzības iestāde, arī pēc sūdzības saņemšanas, apšauba Komisijas lēmuma par aizsardzības līmeņa pietiekamību atbilstību fiziskas personas pamattiesībām uz privātumu un datu aizsardzību, tai valsts tiesību aktos ir jānodrošina tiesiskās aizsardzības līdzeklis, kas ļauj celt šādus iebildumus valsts tiesā, kurai var būt pienākums lūgt Tiesai sniegt prejudiciālu nolēmumu.

(106)

Saskaņā ar Eiropas Savienības Tiesas judikatūru un atbilstoši Regulas (ES) 2016/679 45. panta 4. punktam Komisijai pēc lēmuma par aizsardzības līmeņa pietiekamību pieņemšanas būtu pastāvīgi jāuzrauga norises attiecīgajā trešā valstī vai starptautiskajā organizācijā, lai novērtētu, vai tā joprojām nodrošina pēc būtības līdzvērtīgu aizsardzības līmeni. Vajadzība pēc šāda vērtējuma katrā ziņā rodas, ja Komisija saņem informāciju, kura rada šaubas par to.

(107)

Tāpēc Komisijai būtu pastāvīgi jāuzrauga situācija ar EPO personas datu apstrādes tiesisko regulējumu un faktisko praksi, kas novērtēta šajā lēmumā. Lai atvieglotu šo procesu, EPO tiek aicināta informēt Komisiju par būtiskām ar šo lēmumu saistītām norisēm – gan attiecībā uz personas datu apstrādi, gan ierobežojumiem un garantijām, kas piemērojami, kad publiskās iestādes piekļūst personas datiem.

(108)

Turklāt, lai Komisija varētu efektīvi pildīt savu uzraudzības funkciju, dalībvalstīm būtu jāinformē Komisija par visām būtiskajām darbībām, ko veikušas valstu datu aizsardzības iestādes, jo īpaši attiecībā uz Savienības datu subjektu vaicājumiem un sūdzībām par personas datu nosūtīšanu no Savienības uz EPO.

(109)

Piemērojot Regulas (ES) 2016/679 45. panta 3. punktu un ņemot vērā faktu, ka ar EPO tiesisko regulējumu nodrošinātais aizsardzības līmenis var mainīties, Komisijai pēc šā lēmuma pieņemšanas būtu periodiski jāpārbauda, vai konstatējumi par EPO nodrošinātā aizsardzības līmeņa pietiekamību joprojām ir faktiski un juridiski pamatoti. Šādai izvērtēšanai būtu jānotiek vismaz reizi četros gados, un tai būtu jāaptver visi šā lēmuma darbības aspekti, tostarp attiecīgo pārraudzības un izpildes mehānismu darbība.

(110)

Lai veiktu šo pārskatīšanu, Komisijai būtu jātiekas ar EPO, tostarp tās DAS un DAP. Būtu jānodrošina iespēja arī Eiropas Datu aizsardzības kolēģijas pārstāvjiem apmeklēt šādas sanāksmes. Pārskatīšanas ietvaros Komisijai būtu jāprasa, lai EPO sniedz vispusīgu informāciju par visiem aspektiem, kas ir būtiski konstatējumam par aizsardzības līmeņa pietiekamību. Komisijai arī būtu jāprasa paskaidrojumi par jebkuru informāciju, kas ir būtiska šim lēmumam un ko tā saņēmusi no Eiropas Datu aizsardzības kolēģijas, individuālām datu aizsardzības iestādēm, pilsoniskās sabiedrības grupām, publiskiem vai plašsaziņas līdzekļu ziņojumiem vai jebkuriem citiem pieejamiem informācijas avotiem.

(111)

Pamatojoties uz pārskatīšanu, Komisijai būtu jāsagatavo publisks ziņojums, kas jāiesniedz Eiropas Parlamentam un Padomei.

(112)

Ja pieejamā informācija, sevišķi informācija, kas izriet no tā, ka Komisija uzrauga norises, kuras varētu ietekmēt šā lēmuma darbību saskaņā ar Regulas (ES) 2016/679 45. panta 4. punktu, vai ko sniegusi EPO vai dalībvalstu iestādes, liecina, ka EPO nodrošinātais aizsardzības līmenis var vairs nebūt pietiekams, Komisijai par to būtu jāinformē EPO un jāpieprasa, lai noteiktā un saprātīgā termiņā tiktu veikti atbilstoši pasākumi.

(113)

Ja līdz noteiktā termiņa beigām EPO nebūs veikusi minētos pasākumus vai kā citādi apmierinoši neparādīs, ka šā lēmuma pamatā joprojām ir pietiekams aizsardzības līmenis, Komisija uzsāks Regulas (ES) 2016/679 93. panta 2. punktā minēto procedūru, lai daļēji vai pilnībā apturētu vai atceltu šo lēmumu.

(114)

Alternatīvi Komisija uzsāks minēto procedūru, lai grozītu šo lēmumu, jo īpaši piemērojot papildu nosacījumus datu pārsūtīšanai vai ierobežojot aizsardzības līmeņa pietiekamības konstatējuma darbības jomu tikai attiecībā uz tādu datu pārsūtīšanu, kam joprojām tiek nodrošināts pietiekams aizsardzības līmenis.

(115)

Komisijai būtu jāapsver šā lēmuma grozīšanas, apturēšanas vai atcelšanas procedūras sākšana arī gadījumā, ja pārskatīšanas kontekstā vai citādi EPO nesniedz informāciju vai paskaidrojumus, kas nepieciešami, lai novērtētu no Savienības uz EPO nosūtīto personas datu aizsardzības līmeni vai atbilstību šim lēmumam. Šajā saistībā Komisijai būtu jāņem vērā tas, kādā apmērā attiecīgo informāciju var iegūt no citiem avotiem.

(116)

Pienācīgi pamatotu nenovēršamu steidzamu iemeslu dēļ Komisija izmantos iespēju saskaņā ar Regulas (ES) 2016/679 93. panta 3. punktā minēto procedūru pieņemt nekavējoties piemērojamus īstenošanas aktus, ar kuriem aptur, atceļ vai groza šo lēmumu.

(117)

Eiropas Datu aizsardzības kolēģija ir publiskojusi savu atzinumu (292), un tas tika ņemts vērā, sagatavojot šo lēmumu.

(118)

Šajā lēmumā paredzētie pasākumi ir saskaņā ar atzinumu, ko sniegusi komiteja, kura izveidota ar Regulas (ES) 2016/679 93. panta 1. punktu,