(1)

Uredba (EU) 2016/679 določa pravila o prenosu osebnih podatkov od upravljavcev ali obdelovalcev v Uniji v tretje države in mednarodne organizacije, če taki prenosi spadajo na področje uporabe navedene uredbe. Pravila o čezmejnih prenosih podatkov so določena v poglavju V navedene uredbe (členi 44 do 50). Čeprav je pretok osebnih podatkov v države in mednarodne organizacije zunaj Unije in iz njih ključen za širitev čezmejne trgovine in mednarodnega sodelovanja, je treba zagotoviti, da zaradi takih prenosov v tretje države in mednarodne organizacije ni ogrožena raven varstva osebnih podatkov, ki se zagotavlja v Uniji (2).

(2)

V skladu s členom 45(3) Uredbe (EU) 2016/679 lahko Komisija z izvedbenim aktom odloči, da tretja država, ozemlje ali en oziroma več določenih sektorjev v zadevni tretji državi ali mednarodna organizacija zagotavljajo ustrezno raven varstva. Pod tem pogojem se lahko osebni podatki v mednarodno organizacijo prenašajo brez dodatnega dovoljenja, kot je določeno v členu 45(1) in uvodni izjavi 103 Uredbe (EU) 2016/679.

(3)

Kot je navedeno v členu 45(2) Uredbe (EU) 2016/679, mora sprejetje sklepa o ustreznosti temeljiti na celoviti analizi pravne ureditve mednarodne organizacije, kar vključuje pravila, ki se uporabljajo glede uvoznikov podatkov, ter omejitve in zaščitne ukrepe glede dostopa javnih organov do osebnih podatkov. Komisija mora v oceni ugotoviti, ali zadevna mednarodna organizacija zagotavlja raven varstva, ki je „v osnovi enakovredna“ tisti, zagotovljeni v Uniji (3). Standard, po katerem se ocenjuje, ali je „v osnovi enakovredna“, je določen v zakonodaji Unije, zlasti v Uredbi (EU) 2016/679, in sodni praksi Sodišča Evropske unije (4). V zvezi s tem je pomemben tudi „referenčni dokument o ustreznosti“ Evropskega odbora za varstvo podatkov (EOVP), ki dodatno pojasnjuje standard in zagotavlja smernice (5).

(4)

Kot je pojasnilo Sodišče, od tretje države ali mednarodne organizacije ni mogoče zahtevati, da zagotovi povsem enako raven varstva, kot je raven, zagotovljena v pravnem redu Unije (6). To pomeni zlasti, da se lahko sredstva, ki jih zadevna tretja država ali mednarodna organizacija uporablja za varstvo osebnih podatkov, razlikujejo od tistih, ki jih uporablja Unija, če se v praksi izkaže, da so učinkovita pri zagotavljanju ustreznega varstva (7). Standard ustreznosti torej ne zahteva doslednega posnemanja pravil Unije. Namesto tega je treba preveriti, ali tuji sistem kot celota prek vsebine pravic do zasebnosti in zaščitnih ukrepov za varstvo podatkov (vključno z njihovim učinkovitim izvajanjem, nadzorom in izvrševanjem) ter okoliščin, povezanih s prenosom osebnih podatkov, zagotavlja zahtevano raven varstva (8).

(5)

Komisija je analizirala pravni okvir in prakso Evropske patentne organizacije. Na podlagi ugotovitev iz uvodnih izjav 7 do 100 Komisija ugotavlja, da Evropska patentna organizacija (EPO) zagotavlja ustrezno raven varstva osebnih podatkov, ki se v okviru Uredbe (EU) 2016/679 prenašajo iz Unije v EPO.

(6)

V skladu s tem sklepom za prenose, ki jih izvedejo upravljavci in obdelovalci v Uniji v Evropsko patentno organizacijo, ni potrebno nobeno dodatno dovoljenje. Ta sklep ne bi smel vplivati na neposredno uporabo Uredbe (EU) 2016/679 za take subjekte, če so izpolnjeni pogoji glede ozemeljske veljavnosti iz člena 3 navedene uredbe.

(7)

Evropska patentna organizacija je medvladna organizacija, ki je bila ustanovljena 7. oktobra 1977 na podlagi Evropske patentne konvencije (EPK). Organizacija s sedežem v Münchnu ima 39 držav pogodbenic, ki vključujejo vse države članice Unije, Islandijo, Norveško in Lihtenštajn ter Albanijo, Severno Makedonijo, Monako, San Marino, Srbijo, Švico, Črno goro, Združeno kraljestvo in Turčijo (9).

(8)

Organizacija je pravna oseba (10), ki jo sestavljata dva organa (11): Evropski patentni urad (v nadaljnjem besedilu: Urad) in upravni svet. Glavna naloga EPO je podeljevanje evropskih patentov (12) v skladu z EPK, kar izvaja Urad pod nadzorom upravnega sveta. Upravni svet, ki ga sestavljajo predstavniki držav pogodbenic, izvaja zakonodajna pooblastila v imenu EPO. Odgovoren je tudi za politična vprašanja in nadzira dejavnosti Urada (13). Na čelu Urada, ki deluje kot izvršilna veja EPO, je predsednik (14), ki vodi Urad (v nadaljnjem besedilu: predsednik) in odgovarja upravnemu svetu (15). Predsednik med drugim pripravlja in izvršuje proračun Urada, imenuje in nadzoruje osebje Urada, disciplinsko ukrepa zoper uslužbence, zagotavlja delovanje Urada, vključno s sprejemanjem notranjih upravnih navodil in objavljanjem informacij za javnost, ter lahko upravnemu svetu predloži predlog za spremembo konvencije, splošnih predpisov ali odločitev, ki so v pristojnosti upravnega sveta (16). Urad sestavljajo različni oddelki, vključno s sprejemno pisarno, pravnim oddelkom, oddelki za preizkuse in oddelki za ugovore ter pritožbenimi senati (notranji neodvisni organ, pri katerem se je mogoče pritožiti zoper odločitve, ki jih EPO sprejme v okviru postopka podeljevanja patenta) (17).

(9)

EPO pri opravljanju svojih nalog prejema osebne podatke od številnih različnih akterjev v Uniji. Prijavitelji patentov pri EPO stalno vlagajo evropske patentne prijave (18) ali pa jih EPO pošiljajo nacionalni patentni uradi držav članic (19). EPO prejema in obdeluje tudi osebne podatke v okviru nalog, ki so mu zaupane na podlagi Uredbe (EU) št. 1257/2012 Evropskega parlamenta in Sveta (20). Te naloge vključujejo prejemanje in preučevanje zahtevkov za enotni učinek evropskih patentov, pobiranje letnih pristojbin in registracijo enotnega učinka (21). V zvezi s tem EPO od Enotnega sodišča za patente (ESP) prejema tudi zahtevke v zvezi s pritožbami, ki so v teku pred pritožbenimi senati Urada (22) in lahko vključujejo osebne podatke, potrebne za opredelitev zadevnega primera (23).

(10)

Podobno EPO prejema osebne podatke iz mednarodnih patentnih prijav, kadar deluje na podlagi Pogodbe o sodelovanju na področju patentov, ki je mednarodna pogodba, ki prijaviteljem omogoča, da pridobijo patente z učinkom za vse države pogodbenice Pogodbe o sodelovanju na področju patentov (24). EPO deluje kot organ za mednarodno poizvedbo na podlagi Pogodbe o sodelovanju na področju patentov in v tej vlogi pregleduje možnost patentiranja izumov, razkritih v mednarodnih prijavah, kar prijaviteljem pomaga ugotoviti, ali naj vložijo vlogo za vsebinski preizkus na nacionalni ravni/ravni Unije (25).

(11)

Poleg tega EPO tesno sodeluje z nacionalnimi patentnimi uradi v vseh državah članicah v okviru evropske patentne mreže in v tem okviru z njimi izmenjuje osebne podatke, na primer pri zagotavljanju tečajev usposabljanja in storitev IT za podporo in krepitev sodelovanja v okviru EPK. Podobno je z državami članicami sklenila sporazume o dvostranskem sodelovanju, ki zajemajo izmenjavo osebnih podatkov, na primer v kontekstu ustanavljanja delovnih skupin, napotitev in pošiljanja tehničnih strokovnjakov. Prav tako tesno sodeluje z Uradom Evropske unije za intelektualno lastnino (EUIPO), na primer z izvajanjem skupnih tečajev usposabljanja in dogodkov za ozaveščanje ter napotitvijo strokovnjakov.

(12)

EPO pa ima tudi sklenjene pogodbe z več ponudniki storitev v Uniji, ki delujejo kot obdelovalci v smislu člena 4, točka 8, Uredbe (EU) 2016/679 in prenašajo osebne podatke EPO.

(13)

Primarna zakonodaja, ki ureja dejavnosti EPO, je določena z mednarodno pogodbo, in sicer z Evropsko patentno konvencijo in Pogodbo o sodelovanju na področju patentov, kadar EPO deluje na podlagi slednje. Na drugi ravni hierarhije predpisov, ki se uporabljajo za EPO, so pravni akti, ki jih sprejme upravni svet ali, kar zadeva Pogodbo o sodelovanju na področju patentov, skupščina iz Pogodbe o sodelovanju na področju patentov. Sekundarna zakonodaja EPO vključuje Pravilnik o izvajanju EPK in tako imenovana pravila službovanja (ki urejajo vidike v zvezi z osebjem EPO, vključno s pravicami in obveznostmi osebja) (26). Pravica do varstva osebnih podatkov je določena v členu 1B pravil službovanja (27), ki vsebujejo tudi nekatere temeljne določbe okvira EPO za varstvo podatkov, tj. v zvezi s področjem uporabe okvira za varstvo podatkov, varstvom posebnih vrst podatkov in uveljavljanjem pravic posameznikov. Člena 2(1) in 32A pravil službovanja vzpostavljata neodvisne nadzorne mehanizme (pooblaščena oseba za varstvo podatkov in odbor za varstvo podatkov) za nadzor nad skladnostjo s pravili o varstvu podatkov (28).

(14)

Za upravni svet in Urad ter vse njune oddelke veljajo enake vsebinske zahteve, ki urejajo varstvo osebnih podatkov. Obdelavo osebnih podatkov, ki jo izvaja Urad, ureja zlasti Pravilnik za izvajanje členov 1B in 32A pravil službovanja za stalno zaposlene in pogojev zaposlovanja za druge uslužbence Evropskega patentnega urada o varstvu osebnih podatkov (v nadaljnjem besedilu: pravilnik o varstvu podatkov), ki ga je sprejel upravni svet (29). Upravni svet obdeluje osebne podatke v skladu s pravilnikom upravnega sveta o varstvu podatkov, ki smiselno uporablja pravilnik o varstvu podatkov (30). Kadar se ta sklep nanaša na pravilnik o varstvu podatkov, sklici vključujejo ustrezne zahteve, ki se uporabljajo za upravni svet ter njegov sekretariat in njegove odbore. Struktura in vsebina pravilnika o varstvu podatkov sta tesno usklajeni z okvirom Unije za varstvo podatkov (31). Zlasti ima pravilnik številne skupne značilnosti z Uredbo (EU) 2018/1725 Evropskega parlamenta in Sveta (32), ki določa zahteve glede varstva podatkov za institucije in organe Unije, zato je dobro prilagojen specifični strukturi in značilnostim mednarodnih organizacij, hkrati pa tesno odraža Uredbo (EU) 2016/679.

(15)

Kar zadeva obdelavo podatkov s strani Urada, je predsednik izdal dodatne pravno zavezujoče instrumente, kot so okrožnice, sklepi in notranja upravna navodila (33). Pravilnik o varstvu podatkov dopolnjujejo zlasti Sklep predsednika z dne 13. decembra 2021 o obdelavi osebnih podatkov v postopkih podeljevanja patentov in povezanih postopkih (v nadaljnjem besedilu: sklep PGP) (34); Sklep z dne 7. decembra 2022 o obdelavi osebnih podatkov v postopkih v zvezi z evropskimi patenti z enotnim učinkom (v nadaljnjem besedilu: sklep UP) (35); Sklep z dne 17. novembra 2022 o državah in subjektih, za katere se šteje, da zagotavljajo ustrezno varstvo osebnih podatkov (36); Sklep z dne 2. maja 2024 o določitvi operativnih enot Urada, ki delujejo kot pooblaščeni upravljavci (37), in Okrožnica št. 420 o izvajanju člena 25 pravilnika o varstvu podatkov o omejitvah pravic posameznikov, na katere se nanašajo osebni podatki (v nadaljnjem besedilu: okrožnica 420) (38). Pri obdelavi podatkov v okviru postopka podeljevanja patentov je zlasti pomembno opozoriti, da zahteve za obdelavo osebnih podatkov, določene neposredno v EPK in Pogodbi o sodelovanju na področju patentov, prevladajo nad pravilnikom o varstvu podatkov. Medsebojni vpliv EPK in Pogodbe o sodelovanju na področju patentov na eni strani ter pravilnikom o varstvu podatkov na drugi je pojasnjen v sklepu PGP (39) in sklepu UP. Specifične zahteve glede varstva podatkov, ki izhajajo neposredno iz EPK in Pogodbe o sodelovanju na področju patentov, so ocenjene v uvodnih izjavah 55 do 59. Pravilnik o varstvu podatkov in njegovi dopolnilni instrumenti so pravno zavezujoči in izvršljivi, posamezniki pa se lahko nanje sklicujejo pred neodvisnimi mehanizmi pravnega varstva, kot je opisano v uvodnih izjavah 89 do 96.

(16)

Pravila iz pravnih instrumentov, navedenih v uvodni izjavi 15, se nadalje operacionalizirajo v instrumentih, ki jih izda pooblaščena oseba za varstvo podatkov (glej uvodne izjave 83 do 88) (40) in se uporabljajo za upravni svet in Urad ter vse njune oddelke (41).

(17)

V skladu s pravilnikom o varstvu podatkov in pravili službovanja (42) morajo vsi uslužbenci EPO pri obdelavi osebnih podatkov upoštevati pravilnik o varstvu podatkov. Stvarno in osebno področje uporabe pravilnika o varstvu podatkov je določeno z izrazi „osebni podatki“, „obdelava“, „upravljavec“, „pooblaščeni upravljavec“ in „obdelovalec“.

(18)

Opredelitvi pojmov „osebni podatki“ in „obdelava“ v pravilniku o varstvu podatkov sta enaki opredelitvama iz Uredbe (EU) 2016/679 (43). Pravilnik o varstvu podatkov se uporablja za vsako obdelavo osebnih podatkov s strani EPO, ne glede na to, ali se taka obdelava nanaša na osebne podatke zaposlenih v EPO ali podatke drugih posameznikov (44). Za osebne podatke se štejejo tudi podatki, ki so bili psevdonimizirani (45), medtem ko se podatki umrlih ali pravnih oseb ali anonimne informacije (46) v skladu s pravilnikom o varstvu podatkov ne obravnavajo kot osebni podatki (47).

(19)

Pravilnik o varstvu podatkov se uporablja za popolnoma ali delno avtomatizirano obdelavo osebnih podatkov in neavtomatizirano obdelavo osebnih podatkov, ki sestavljajo ali naj bi sestavljali zbirko, s strani EPO (48).

(20)

V pravilniku o varstvu podatkov je „upravljavec“ opredeljen kot „subjekt, in sicer Evropski patentni urad, ki sam ali skupaj z drugimi določa namene in sredstva obdelave osebnih podatkov“ (49). Načeloma v postopkih obdelave podatkov, ki jih izvaja Urad, kot upravljavec deluje predsednik Urada (50). Enako velja za upravni svet (kjer kot upravljavec deluje predsednik upravnega sveta), pritožbene senate, kadar delujejo kot sodni organi (kjer kot upravljavec deluje predsednik senata (51)), in ožji odbor (kjer kot upravljavec deluje predsednik ožjega odbora (52)). Upravljavec lahko to pooblastilo prenese na operativne enote, ki jih zastopa vodstveni delavec na višji ravni (53). V takih primerih delujejo operativne enote kot „pooblaščeni upravljavci“ (54), ki opredelijo namen (na primer razlog, utemeljitev in poslovne potrebe) in način postopka obdelave ter zagotavljajo, da so vsi postopki obdelave, ki vključujejo osebne podatke, skladni s pravilnikom o varstvu podatkov (55). V takih primerih ostane upravljavec odgovoren za obdelavo osebnih podatkov. Pravilnik o varstvu podatkov določa tudi scenarij „skupnega upravljanja“, v katerem upravljavec določi namen in način obdelave skupaj z enim ali več upravljavci zunaj EPO (56).

(21)

Opredelitev „obdelovalca“ v pravilniku o varstvu podatkov je enaka opredelitvi iz člena 4(8) Uredbe (EU) 2016/679, tj. obdelovalec pomeni fizično ali pravno osebo, javni organ, agencijo ali drug subjekt, ki obdeluje osebne podatke v imenu upravljavca (57). Upravljavec lahko uporablja le obdelovalce, ki zagotavljajo zadostna jamstva, da bodo izvedeni ustrezni tehnični in organizacijski ukrepi za zagotovitev, da obdelava izpolnjuje zahteve iz pravilnika o varstvu podatkov (58). Razmerje med upravljavcem in obdelovalcem mora urejati pogodba ali pravni akt, ki je zavezujoč za obdelovalca in med drugim določa predmet, trajanje, naravo in namen obdelave (59). Obdelovalec lahko obdeluje podatke le po dokumentiranih navodilih upravljavca. Obdelovalec mora upravljavcu pomagati pri izpolnjevanju njegovih obveznosti na podlagi pravilnika o varstvu podatkov. Obdelovalec ne sme zaposliti podobdelovalcev brez predhodnega dovoljenja upravljavca (60). Pooblaščenim upravljavcem je na voljo standardni sporazum o obdelavi podatkov (61). Če se poleg tega obdelovalec nahaja v tretji državi, mora biti tudi vsaka izmenjava osebnih podatkov s tem obdelovalcem skladna z zahtevami pravilnika o varstvu podatkov, ki veljajo za čezmejne prenose, kot je opisano v uvodnih izjavah 68 do 73 tega sklepa (62).

(22)

Osebni podatki bi se morali obdelovati zakonito in pošteno.

(23)

Ti splošni načeli sta določeni v členu 4(2)(a) pravilnika o varstvu podatkov na način, ki se lahko šteje za enakega členu 5(1)(a) Uredbe (EU) 2016/679.

(24)

Načelo zakonitosti je podrobneje opredeljeno v členu 5 pravilnika o varstvu podatkov, v katerem so naštete pravne podlage, na katerih se lahko obdelujejo osebni podatki. Te pravne podlage so (a) potreba po izvedbi naloge pri izvajanju uradnih dejavnosti EPO (63) ali pri zakonitem izvajanju javne oblasti, dodeljene upravljavcu, kar vključuje obdelavo, potrebno za upravljanje in delovanje Urada (64); (b) potreba po izpolnitvi pravne obveznosti, ki velja za upravljavca (na primer objava informacij, navedenih v patentni prijavi, v evropskem patentnem registru) (65); (c) potreba po izvajanju pogodbe, katere stranka je posameznik, na katerega se nanašajo osebni podatki, ali po izvajanju ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe; (d) privolitev posameznika, na katerega se nanašajo osebni podatki, ali (e) potreba po zaščiti življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe.

(25)

Privolitev je v pravilniku o varstvu podatkov opredeljena enako kot v Uredbi (EU) 2016/679, tj. privolitev pomeni „vsako prostovoljno, konkretno, informirano in nedvoumno ravnanje v obliki izjave ali jasnega pritrdilnega dejanja, iz katerega je mogoče sklepati na želje posameznika, na katerega se nanašajo osebni podatki, s katerim izrazi strinjanje z obdelavo osebnih podatkov, ki se nanašajo nanj“ (66). Upravljavec mora dokazati, da je posameznik, na katerega se nanašajo osebni podatki, privolil v obdelavo (67). Pri ugotavljanju, ali je bila privolitev dana prostovoljno, je treba med drugim upoštevati, ali je izvajanje pogodbe pogojeno s privolitvijo v obdelavo podatkov, ki ni potrebna za izvedbo zadevne pogodbe (68). Privolitev se ne more šteti za prostovoljno, če posameznik, na katerega se nanašajo osebni podatki, nima možnosti dejanske ali prostovoljne izbire ali privolitve ne more zavrniti ali preklicati brez škode (69). Poleg tega pravilnik o varstvu podatkov zahteva, da mora posameznik, na katerega se nanašajo osebni podatki, poznati vsaj identiteto upravljavca in namene obdelave osebnih podatkov, da lahko da ozaveščeno privolitev (70). Nazadnje, posameznik, na katerega se nanašajo osebni podatki, ima pravico, da privolitev kadar koli prekliče (71).

(26)

Pri obdelavi „posebnih vrst“ podatkov bi morali veljati specifični zaščitni ukrepi.

(27)

Pravilnik o varstvu podatkov vsebuje specifična pravila v zvezi z obdelavo posebnih vrst osebnih podatkov (72), ki so opredeljeni enako kot v Uredbi (EU) 2016/679, tj. kot osebni podatki, ki razkrivajo rasno ali etnično poreklo, politično mnenje, versko ali filozofsko prepričanje ali članstvo v sindikatu, genski podatki (73), biometrični podatki (74) za namene edinstvene identifikacije posameznika, podatki v zvezi z zdravjem (75) ali podatki v zvezi s posameznikovim spolnim življenjem ali spolno usmerjenostjo (76). V skladu s pravilnikom o varstvu podatkov je obdelava posebnih vrst podatkov načeloma prepovedana, razen če se uporablja specifična izjema (77).

(28)

Specifične izjeme iz člena 11(2) pravilnika o varstvu podatkov so podobne tistim iz člena 9(2) in (3) Uredbe (EU) 2016/679 z nekaj prilagoditvami pravnemu okviru, v katerem deluje EPO. Obdelava posebnih vrst osebnih podatkov je dovoljena le v specifičnih in omejenih okoliščinah (78), tj. kadar (1) je posameznik, na katerega se nanašajo osebni podatki, dal izrecno privolitev; (2) je obdelava potrebna za zaščito življenjskih interesov takega posameznika (kadar posameznik, na katerega se nanašajo osebni podatki, fizično ali pravno ni sposoben dati izrecne privolitve); (3) posameznik, na katerega se nanašajo osebni podatki, sam objavi osebne podatke; (4) je obdelava potrebna za določen namen, povezan z izvajanjem uradnih dejavnosti EPO, ali pri izvajanju zakonite pristojnosti, dodeljene upravljavcu (79), ali kadar (5) je obdelava potrebna za uveljavljanje, izvajanje ali obrambo pravnih zahtevkov.

(29)

Poleg posebnih vrst osebnih podatkov iz uvodne izjave 27 pravilnik o varstvu podatkov zahteva tudi specifično varstvo pri obdelavi osebnih podatkov v zvezi s kazenskimi obsodbami in prekrški, tj. tako, da se taka obdelava dovoli le po predhodnem posvetovanju z odborom za varstvo podatkov, ali kadar obdelavo zahteva pravno zavezujoč instrument, ki zagotavlja ustrezne zaščitne ukrepe za pravice in svoboščine posameznikov (80).

(30)

Osebni podatki bi se morali obdelovati za določen namen in se nato uporabljati samo, če to ni nezdružljivo z namenom obdelave.

(31)

To načelo je zagotovljeno v členu 4(2)(b) pravilnika o varstvu podatkov, v skladu s katerim morajo biti osebni podatki „zbrani za določene, izrecne in zakonite namene in se ne smejo nadalje obdelovati na način, ki ni združljiv s temi nameni“.

(32)

Pravilnik o varstvu podatkov podobno kot Uredba (EU) 2016/679 omogoča nadaljnjo obdelavo (ne glede na združljivost namena nadaljnje obdelave z namenom prvotne) na podlagi izrecne privolitve posameznika, na katerega se nanašajo osebni podatki, ali na podlagi veljavnih pravnih določb EPO (81). V slednjem primeru pravilnik o varstvu podatkov zahteva, da mora biti obdelava nujen in sorazmeren ukrep za zaščito cilja splošnega javnega interesa (82).

(33)

Kadar nadaljnja obdelava ne temelji na teh dveh razlogih, pravilnik o varstvu podatkov določa dejavnike, ki jih je treba upoštevati pri presoji združljivosti namena nadaljnje obdelave z namenom, za katerega so bili osebni podatki prvotno zbrani (83). Ta pristop in dejavniki, navedeni v pravilniku o varstvu podatkov, so enaki tistim iz člena 6(4) Uredbe (EU) 2016/679 in člena 6 Uredbe (EU) 2018/1725 (84).

(34)

Osebni podatki bi morali biti točni in po potrebi posodobljeni. Prav tako bi morali biti osebni podatki ustrezni, relevantni ter ne bi smeli presegati namenov, za katere se obdelujejo; načeloma se jih ne bi smelo hraniti dlje, kot je potrebno za namene, za katere se obdelujejo.

(35)

Ta načela so določena v členu 4(2)(c), (d) in (e) pravilnika o varstvu podatkov na enak način kot v Uredbi (EU) 2016/679.

(36)

Osebni podatki se morajo tudi obdelovati tako, da se zagotavlja njihovo varstvo, vključno z zaščito pred nepooblaščeno ali nezakonito obdelavo in pred nenamerno izgubo, uničenjem ali poškodovanjem. Zato bi morali poslovni subjekti sprejeti ustrezne tehnične ali organizacijske ukrepe za varstvo osebnih podatkov pred morebitnimi grožnjami. Te ukrepe je treba presojati glede na najsodobnejšo tehnologijo in zadevne stroške.

(37)

Varnost podatkov je v pravnem okviru EPO določena z načelom celovitosti in zaupnosti v členu 4(2)(f) in členu 33 pravilnika o varstvu podatkov na skoraj enak način kot v Uredbi (EU) 2016/679. Pravilnik o varstvu podatkov zlasti zahteva, da se z izvajanjem ustreznih tehničnih in organizacijskih ukrepov zagotovi ustrezna raven varnosti glede na tveganje ob upoštevanju najnovejšega tehnološkega razvoja in stroškov izvajanja ter narave, obsega, okoliščin in namenov obdelave, pa tudi različne verjetnosti in resnosti morebitnih tveganj za pravice in svoboščine posameznikov.

(38)

Poleg tega pravilnik o varstvu podatkov vsebuje specifične zahteve glede obravnave kršitve varnosti podatkov in obveščanja o njej (85). Prvič, upravljavec mora o kršitvi varnosti podatkov brez nepotrebnega odlašanja (in po možnosti najpozneje v 72 urah po seznanitvi s kršitvijo) obvestiti pooblaščeno osebo za varstvo podatkov, razen če ni verjetno, da bi bile s kršitvijo ogrožene pravice in svoboščine posameznikov (86). Podobno mora obdelovalec brez nepotrebnega odlašanja o kršitvi obvestiti upravljavca (87). V obvestilu morajo biti zlasti opisani narava kršitve, njene verjetne posledice in ukrepi, sprejeti ali predlagani za odpravo kršitve (88). Kadar je verjetno, da kršitev varnosti podatkov povzroči veliko tveganje za pravice in svoboščine posameznikov, mora upravljavec brez nepotrebnega odlašanja o kršitvi varnosti osebnih podatkov obvestiti tudi posameznika, na katerega se nanašajo osebni podatki (89). V sporočilu posamezniku, na katerega se nanašajo osebni podatki, mora biti v jasnem in preprostem jeziku opisana narava kršitve varnosti osebnih podatkov (90), sporočilo pa ni potrebno, če je upravljavec sprejel naknadne ukrepe, ki zagotavljajo, da se veliko tveganje za pravice in svoboščine posameznikov, na katere se nanašajo osebni podatki, ne bo več udejanjilo (91).

(39)

Posamezniki, na katere se nanašajo osebni podatki, morajo biti obveščeni o glavnih značilnostih obdelave svojih osebnih podatkov.

(40)

V skladu s pravilnikom o varstvu podatkov mora upravljavec ob pridobitvi osebnih podatkov posameznikom zagotoviti informacije, zlasti svojo identiteto in kontaktne podatke (ter kontaktne podatke pooblaščene osebe za varstvo podatkov), namen obdelave in njeno pravno podlago, prejemnike ali kategorije prejemnikov, dejstvo, da namerava prenesti podatke zunaj EPO, ter veljavne pravice in možnosti uveljavljanja pravnih sredstev (92). Enako velja, kadar se osebni podatki obdelujejo za namen, ki ni namen, za katerega so bili zbrani (93). Obe obveznosti veljata le, če zadevni posameznik še nima informacij (94).

(41)

Iste informacije je treba zagotoviti posameznikom, na katere se nanašajo osebni podatki, kadar osebni podatki niso bili pridobljeni neposredno od njih, skupaj z dodatnimi informacijami o viru osebnih podatkov in vrstah zadevnih podatkov (95). Take informacije je treba zagotoviti v razumnem roku po prejemu osebnih podatkov (vendar najpozneje v enem mesecu), pri čemer se upoštevajo specifične okoliščine, v katerih se obdelujejo osebni podatki (96). Če se bodo osebni podatki uporabili za komuniciranje s posameznikom, na katerega se nanašajo osebni podatki, bi bilo treba iste informacije zagotoviti najpozneje ob prvem komuniciranju s tem posameznikom (97). Informacije iz uvodne izjave 40 je treba zagotoviti tudi pred vsako nadaljnjo obdelavo ali, če je predvideno razkritje drugemu prejemniku, najpozneje ob razkritju osebnih podatkov tretji osebi (98). V številnih primerih se ta obveznost ne uporablja, in sicer kadar posameznik, na katerega se nanašajo osebni podatki, že ima zadevne informacije; kadar morajo te informacije ostati zaupne zaradi obveznosti varovanja poklicne skrivnosti, ki je urejena na podlagi EPK in/ali drugih pravnih določb, ki se uporabljajo za EPO (99); kadar se izkaže, da je zagotavljanje takih informacij nemogoče ali bi vključevalo nesorazmeren napor, zlasti pri obdelavi v namene arhiviranja, v znanstveno- ali zgodovinskoraziskovalne namene ali statistične namene, kolikor bi to lahko onemogočilo ali resno oviralo uresničevanje namenov te obdelave, ali kadar je pridobitev ali razkritje teh informacij izrecno določeno v EPK ali drugih veljavnih pravnih določbah, ki zagotavljajo ustrezne ukrepe za zaščito zakonitih interesov posameznika, na katerega se nanašajo osebni podatki (100).

(42)

Posamezniki, na katere se nanašajo osebni podatki, bi morali imeti določene pravice, ki jih lahko uveljavijo zoper upravljavca ali obdelovalca, zlasti pravico do dostopa do podatkov, pravico do popravka, pravico do ugovora obdelavi in pravico do izbrisa podatkov. Hkrati so te pravice lahko omejene, če so take omejitve potrebne in sorazmerne za zaščito pomembnih ciljev v splošnem javnem interesu.

(43)

Zahteva, da je posameznikom treba olajšati uveljavljanje njihovih pravic, je določena v členu 1B(4) pravil službovanja. Za nadaljnje izvajanje te zahteve zagotavlja pravilnik o varstvu podatkov posameznikom enake pravice, kot so določene v Uredbi (EU) 2016/679, in sicer pravico do dostopa (člen 18 pravilnika o varstvu podatkov), pravico do popravka (člen 19 pravilnika o varstvu podatkov), pravico do izbrisa (člen 20 pravilnika o varstvu podatkov), pravico do omejitve obdelave (člen 21 pravilnika o varstvu podatkov), pravico do prenosljivosti podatkov (člen 22 pravilnika o varstvu podatkov), pravico do ugovora (člen 23 pravilnika o varstvu podatkov) in pravico, da niso predmet avtomatiziranega sprejemanja odločitev (člen 24 pravilnika o varstvu podatkov).

(44)

Pravilnik o varstvu podatkov določa tudi splošne določbe za obravnavo zahtev posameznikov za uveljavljanje njihovih pravic, v skladu s katerimi mora upravljavec komunicirati s posamezniki, na katere se nanašajo osebni podatki, v jasnem in preprostem jeziku v jedrnati, pregledni, razumljivi in lahko dostopni obliki (pisno ali kako drugače) (101). Upravljavec mora posameznikom brez nepotrebnega odlašanja, v vsakem primeru pa v enem mesecu od prejema zahteve (ki se lahko zaradi kompleksnosti in števila zahtev po potrebi podaljša za dodatna dva meseca) zagotoviti informacije o ukrepih, sprejetih v odgovor na zahtevo (102). Kadar so zahteve posameznika, na katerega se nanašajo osebni podatki, očitno neutemeljene ali pretirane, zlasti ker se ponavljajo, lahko upravljavec zavrne ukrepanje v zvezi z zahtevo (103). Če upravljavec ne ukrepa na zahtevo posameznika, mora o tem obvestiti posameznika in zagotoviti informacije o možnosti uveljavljanja pravnih sredstev (104).

(45)

Prvič, kar zadeva pravico do dostopa, pravilnik o varstvu podatkov posameznikom zagotavlja pravico, da od EPO dobijo potrditev, ali se v zvezi z njimi obdelujejo osebni podatki, in kadar je temu tako, enostaven (105) dostop do osebnih podatkov v razumnih časovnih presledkih (106). Poleg tega imajo posamezniki zlasti pravico pridobiti informacije o namenu obdelave, vrstah zadevnih podatkov, prejemnikih, s katerimi se podatki delijo, in predvidenem obdobju hrambe podatkov (107).

(46)

Drugič, pravilnik o varstvu podatkov določa, da pravica do popravka, določena v pravilniku o varstvu podatkov, posameznikom omogoča, da dosežejo popravek netočnih ali dopolnitev nepopolnih podatkov (na primer z dopolnilno izjavo) (108). Ko se popravek izvede, ga mora upravljavec sporočiti vsakemu prejemniku, ki so mu bili razkriti osebni podatki (109). V skladu s pravilnikom o varstvu podatkov se pravica do popravka uporablja za objektivne in dejanske podatke in ne za subjektivne izjave (110), čeprav lahko v tem primeru posamezniki obstoječe podatke dopolnijo z drugim mnenjem ali nasprotnim strokovnim mnenjem ali predložijo pripombe (111).

(47)

Tretjič, pravilnik o varstvu podatkov posameznikom zagotavlja tudi pravico do izbrisa (112), zlasti če (a) osebni podatki niso več potrebni za namen, za katerega se obdelujejo; (b) posameznik, na katerega se nanašajo osebni podatki, prekliče privolitev in za obdelavo ne obstaja nobena druga pravna podlaga; (c) posameznik, na katerega se nanašajo osebni podatki, obdelavi ugovarja in za obdelavo ne obstajajo nobeni prevladujoči zakoniti razlogi; (d) so bili podatki obdelani nezakonito ali (e) če je treba podatke izbrisati, da se izpolni pravna obveznost, ki velja za upravljavca (113). Upravljavec mora vsak izbris sporočiti vsakemu prejemniku, s katerim so bili izmenjani podatki, razen če se to izkaže za nemogoče ali vključuje nesorazmeren napor (114). Podobno mora upravljavec, če je osebne podatke objavil, sprejeti razumne ukrepe za obveščanje drugih upravljavcev, ki jih obdelujejo, da je posameznik zahteval izbris (115). Pravica do izbrisa ne velja za naslednje scenarije, če je obdelava podatkov potrebna, in sicer (a) za uresničevanje pravice do svobode izražanja in obveščanja; (b) za izpolnjevanje pravne obveznosti EPO ali obveznosti, ki izhaja iz dolžnosti EPO, da sodeluje s svojimi državami pogodbenicami (116), ali za izvajanje javne oblasti, dodeljene EPO (117); (c) zaradi sodelovanja z državami pogodbenicami na področju javnega zdravja (118); (d) za namene arhiviranja, za znanstveno- ali zgodovinskoraziskovalne namene in statistične namene (kolikor bi lahko izbris onemogočil ali resno oviral doseganje ciljev obdelave) ali (e) za uveljavljanje, izvajanje ali obrambo pravnih zahtevkov (119).

(48)

Četrtič, člen 21 pravilnika o varstvu podatkov določa pravico do omejitve obdelave, to je označevanja osebnih podatkov zaradi omejevanja njihove obdelave v prihodnosti (vključno s programskimi ukrepi za trajno preprečevanje dostopa do takih podatkov) (120). Na to pravico se je mogoče sklicevati zlasti, kadar posameznik oporeka točnosti podatkov (za obdobje, ki upravljavcu omogoča preveriti točnost osebnih podatkov) ali kadar je obdelava nezakonita, vendar posameznik nasprotuje izbrisu podatkov (121). Kadar je obdelava omejena, se lahko osebni podatki z izjemo njihovega shranjevanja obdelujejo le z izrecno privolitvijo posameznika za uveljavljanje, izvajanje ali obrambo pravnih zahtevkov, zaradi varstva pravic drugih ali za opravljanje naloge, ki se opravlja pri izvajanju uradnih dejavnosti EPO (tj. naloga, ki je potrebna za upravno in tehnično delo, ki ga mora EPO opravljati v skladu z EPK) (122).

(49)

Petič, pravica do ugovora je določena v členu 1B(4) pravil službovanja in členu 23 pravilnika o varstvu podatkov. Zlasti imajo posamezniki pravico, da kadar koli ugovarjajo obdelavi osebnih podatkov, ki se izvaja za opravljanje naloge pri izvajanju uradnih dejavnosti EPO ali pri zakonitem izvajanju javne oblasti, dodeljene upravljavcu (123). Posamezniki morajo biti o obstoju take pravice obveščeni jasno in najpozneje ob prvem komuniciranju z njimi (124). Če posameznik ugovarja obdelavi osebnih podatkov, mora upravljavec v skladu s pravilnikom o varstvu podatkov prenehati z obdelavo, razen če lahko dokaže nujne legitimne razloge za obdelavo, ki prevladajo nad interesi, pravicami in svoboščinami posameznika, na katerega se nanašajo osebni podatki, ali za uveljavljanje, izvajanje ali obrambo pravnih zahtevkov (125).

(50)

Šestič, v pravilniku o varstvu podatkov je določena pravica do prenosljivosti podatkov, ki posameznikom omogoča, da svoje osebne podatke prejmejo v strukturirani, splošno uporabljani in strojno berljivi obliki ter da jih pošljejo drugemu upravljavcu (126). Taka pravica se uporablja, kadar se obdelava izvaja z avtomatiziranimi sredstvi in temelji na privolitvi posameznika ali za izvajanje pogodbe s posameznikom ali v njegovem interesu (127).

(51)

Nazadnje, v skladu s pravilnikom o varstvu podatkov imajo posamezniki pravico, da niso predmet avtomatiziranega sprejemanja odločitev, to je odločitev, ki temeljijo zgolj na avtomatizirani obdelavi, vključno z oblikovanjem profilov, in imajo pravne učinke v zvezi z njimi ali nanje podobno znatno vplivajo (128). V pravilniku o varstvu podatkov je določeno, da se avtomatizirano sprejemanje odločitev lahko izvaja, kadar temelji na izrecni privolitvi posameznika, na katerega se nanašajo osebni podatki, ali če je to potrebno za sklenitev pogodbe s posameznikom ali njeno izvajanje; v tem primeru mora upravljavec izvajati ustrezne zaščitne ukrepe, na primer z zagotavljanjem pravice do osebnega posredovanja, izražanja stališč posameznikov in izpodbijanja odločitve (129). Avtomatizirano sprejemanje odločitev je lahko dovoljeno tudi s pravnim aktom, če ta akt določa ustrezne ukrepe za zaščito pravic posameznikov (130). Če upravljavec uporablja avtomatizirano sprejemanje odločitev, vključno z oblikovanjem profilov, mora o tem proaktivno obvestiti posameznika kot del svojih obveznosti glede preglednosti in zagotoviti smiselne informacije o uporabljeni logiki ter o pomenu in predvidenih posledicah take obdelave za posameznika, na katerega se nanašajo osebni podatki (131). Iste informacije je treba zagotoviti na zahtevo (132).

(52)

Člen 25 pravilnika o varstvu podatkov podobno kot člen 23 Uredbe (EU) 2016/679 in člen 25 Uredbe (EU) 2018/1725 določa, da lahko specifične pravne določbe v pravnem okviru EPO omejijo uporabo pravic iz uvodnih izjav 43 do 51 (133) (tj. začasno omejijo njihovo uporabo) (134), če taka omejitev spoštuje bistvo temeljnih pravic (135) in svoboščin ter je v demokratični družbi potreben in sorazmeren ukrep za zaščito specifičnih ciljev (136). Poleg tega mora biti omejitev določena v „jasnih in natančnih“ določbah, ki naj bi imele pravne učinke za posameznike, na katere se nanašajo osebni podatki, in ki jih je treba sprejeti vsaj na ravni predsednika (137). Te določbe morajo zlasti določati namen obdelave, obseg omejitve, zaščitne ukrepe za preprečitev zlorab, obdobja hrambe in veljavne zaščitne ukrepe (138).

(53)

Trenutno je edini pravni instrument, ki določa omejitve pravic posameznikov, Okrožnica 420 (pravno zavezujoč instrument, ki ga je sprejel predsednik). Pojasnjuje, kako in pod katerimi pogoji lahko upravljavec uporabi omejitve, ter izčrpno določa specifične scenarije, v katerih se lahko omejijo pravice in za katere cilje (139). Zlasti določa, da lahko EPO omeji pravice posameznikov za določene specifične cilje: (a in b) pri izvajanju preiskovalnih ali disciplinskih postopkov v zvezi s svojim osebjem (140); (c) v okviru reševanja notranjih sporov ali uveljavljanja, izvajanja ali obrambe pravnih zahtevkov, vključno z arbitražo, za zavarovanje zaupnih informacij in dokumentov, pridobljenih od strank, intervenientov ali drugih legitimnih virov; (d) pri obdelavi zdravstvenih podatkov v zdravstvenih postopkih in kartotekah, vendar le za zaščito pravic posameznikov (141); (e in f) pri izvajanju notranjih revizij in inšpekcijskih pregledov (slednje izvaja pooblaščena oseba za varstvo podatkov); (g) za namene obvladovanja incidentov IT in poročil o incidentih na področju fizične varnosti ter (h) pri zagotavljanju pomoči pristojnim javnim organom ali prejemanju pomoči od njih, vključno z državami pogodbenicami EPO in mednarodnimi organizacijami, ali pri sodelovanju z njimi pri dejavnostih, opredeljenih v ustreznih sporazumih o ravni storitve, memorandumih o soglasju in sporazumih o sodelovanju, bodisi na njihovo zahtevo bodisi na lastno pobudo Urada (142).

(54)

Ali se lahko v konkretnem primeru uporabi omejitev ali ne, odloči upravljavec v posameznih primerih glede na zadevne okoliščine (143). Upravljavec mora pri odločanju o uporabi omejitve najprej oceniti njeno nujnost in sorazmernost v konkretnem primeru, pri čemer mora sodelovati tudi pooblaščena oseba za varstvo podatkov (144). Ta ocena vključuje tehtanje morebitnih tveganj za pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ter tveganj in svoboščin drugih posameznikov, na katere se nanašajo osebni podatki, ter tveganj oviranja namena in izida postopka obdelave (145). Omejitve je treba dokumentirati, vključno z evidentiranjem ocene omejenih pravic, časom veljavnosti omejitve, razlogi za omejitev in pravno podlago (146). Poleg tega je treba uvesti ustrezne tehnične in organizacijske ukrepe, ki veljajo, dokler se uporablja omejitev (147). Vsaka omejitev se lahko uporablja le, dokler obstajajo razlogi zanjo (148). Če je pravica omejena, mora upravljavec posameznika obvestiti o glavnih razlogih zanjo in o pravici do vložitve pritožbe (149).

(55)

Določbe konvencije, ki ustanavlja EPO (tj. EPK), in Pogodbe o sodelovanju na področju patentov ter določbe, ki se uporabljajo v skladu z njima (vse sestavljajo primarno zakonodajo za EPO), vsebujejo določene specifične zahteve v okviru postopka podelitve patenta, ki lahko vplivajo na uveljavljanje določenih pravic na podlagi pravilnika o varstvu pravic (150). Sklep PGP vsebuje pregled teh zahtev primarne zakonodaje, pojasnjuje, kako se lahko v tem okviru uveljavljajo pravice posameznikov, na katere se nanašajo osebni podatki, in jasno določa možne izjeme (151). Okrožnica 420 določa, da morajo določbe, ki lahko omejijo uporabo pravic do varstva podatkov, jasno opredeliti obseg morebitne izjeme in tako uravnotežiti različne zadevne interese (152).

(56)

Prvič, v skladu s členom 127 EPK mora Urad voditi evropski patentni register, v katerem so objavljeni določeni pravno opredeljeni osebni podatki. V skladu s primarno zakonodajo je treba na splošno patentne prijave med postopkom podelitve patenta objaviti čim prej po izteku osemnajstmesečnega roka od datuma vložitve. EPK določa, da je do osebnih podatkov, navedenih v takih patentnih prijavah, mogoče dostopati bodisi z vpogledom v dokumentacijo bodisi z vpogledom v register (153). Patentne prijave pred objavo niso na voljo za pregled brez izrecnega soglasja prijavitelja. Podobna pravila so določena v Pogodbi o sodelovanju na področju patentov (154).

(57)

Drugič, EPK izrecno ureja možnost izvedbe sprememb informacij, uporabljenih v okviru postopka podelitve patenta (155). EPK zlasti določa le možnost popravka napak v dokumentih, vloženih pri EPO (156), popravka napak v sklepih (157), popravka prevodov (158) in popravka imenovanja izumitelja (159). Popravek osebnih podatkov v dokumentih, uporabljenih v postopku podelitve patenta, je torej prav tako mogoče doseči le v teh primerih. Enako velja za možnost, da se doseže omejitev obdelave podatkov (160).

(58)

Tretjič, EPK določa specifične zahteve glede hrambe in objave določenih dokumentov, ki se uporabljajo v postopku podelitve patenta, kar vpliva na možnost izbrisa informacij, ki jih vsebujejo, vključno z osebnimi podatki (161). Zlasti morajo biti shranjene in javno dostopne objavljene patentne prijave in informacije o patentih, objavljene v Evropskem patentnem biltenu (162). Zato bi bil izbris osebnih podatkov, ki jih vsebujejo ti dokumenti, v nasprotju s temeljnimi pravnimi obveznostmi EPO (člen 129(a) EPK) in ga ni mogoče doseči. Drugo dokumentacijo mora EPO hraniti za obdobje, določeno v EPK, ki je načeloma pet let (163). Dokler se uporablja to obdobje, ni mogoče doseči izbrisa podatkov iz te dokumentacije (vključno z osebnimi podatki).

(59)

Zato se lahko šteje, da so omejitve uveljavljanja pravic, ki izhajajo iz določb iz uvodnih izjav 55 do 58, zlasti ob upoštevanju njihovega omejenega področja uporabe in pogojev za njihovo uporabo, omejene na to, kar je potrebno in sorazmerno za zagotovitev pravilnega delovanja postopka podelitve patenta, kot se zahteva v javnem interesu za izpolnjevanje uradnih nalog EPO. V primerih, ko EPK in Pogodba o sodelovanju na področju patentov izrecno ne urejata uveljavljanja pravic do varstva podatkov, torej v vseh drugih scenarijih, razen tistih, opisanih v uvodnih izjavah 55 do 58, se v celoti uporabljajo zahteve pravilnika o varstvu podatkov.

(60)

Raven varstva, zagotovljena osebnim podatkom, ki se iz Unije prenašajo v EPO, se z nadaljnjim prenosom takih podatkov prejemnikom v tretji državi ali v drugi mednarodni organizaciji ne sme poslabšati.

(61)

Pravilnik o varstvu podatkov razlikuje med „pošiljanjem osebnih podatkov“ (tj. deljenjem podatkov s strani EPO z državami pogodbenicami) in „prenosi osebnih podatkov“ (deljenje podatkov s strani EPO s katero koli drugo osebo ali subjektom zunaj EPO) (164).

(62)

Prvič, pravilnik o varstvu podatkov določa, da se lahko podatki pošljejo nacionalnemu uradu za intelektualno lastnino države pogodbenice EPO, če so podatki potrebni za (a) izvajanje prejemnikove pristojnosti ali javne oblasti in (b) je pošiljanje potrebno za izvajanje uradnih nalog/pristojnosti EPO (165). To pošiljanje poteka v okviru postopka podelitve patenta, določenega v EPK in Pogodbi o sodelovanju na področju patentov (166).

(63)

Drugič, pravilnik o varstvu podatkov omogoča pošiljanje podatkov javnemu organu države pogodbenice EPO (167), če so podatki potrebni za izvajanje nalog tega javnega organa in je pošiljanje združljivo z nalogami in delovanjem EPO (168). EPK ali drugi pravni instrumenti, ki urejajo postopek podelitve patenta, ne zahtevajo izrecno takega pošiljanja, vendar je lahko to še vedno potrebno za izvajanje nalog EPO, na primer za sodelovanje EPO z državami pogodbenicami prek postopkov posvetovanja, za napotitev in pošiljanje strokovnjakov ali za zagotavljanje informacij osebju EPO za določanje socialnovarstvenih prispevkov, davčne zahteve itd.

(64)

Pooblaščena oseba za varstvo podatkov je pripravila vzorčne klavzule, ki se dodajo v memorandume o soglasju in urejajo tako pošiljanje, opisano v uvodnih izjavah 62 in 63, ter med drugim določajo načela varstva podatkov, omejujejo nadaljnjo obdelavo samo za združljive namene, določajo pravice posameznikov, na katere se nanašajo osebni podatki, in obveznosti v zvezi z varnostjo podatkov in kršitvami te varnosti ter neodvisen nadzor (169).

(65)

V obeh primerih, opisanih v uvodnih izjavah 62 in 63, mora prejemnik v skladu s pravilnikom o varstvu podatkov predložiti dokaze, da mu je treba podatke poslati za določen namen, ki izhaja iz obveznosti EPO na področju sodelovanja z državami pogodbenicami (170). Upravljavec mora biti za vsako pošiljanje sposoben dokazati, da je tako pošiljanje potrebno in sorazmerno z določenim namenom, za katerega se pošljejo podatki (171). Vsak prenos podatkov mora potekati tako, da se ohrani raven varstva, ki jo zagotavlja pravilnik o varstvu podatkov (172). V skladu s smernicami pooblaščene osebe za varstvo podatkov to pomeni, da morajo biti vzpostavljeni zaščitni ukrepi, vključno z zagotavljanjem, da so podatki, ki se izmenjajo, čim manj obsežni in omejeni na to, kar je ustrezno, relevantno in nujno potrebno za dosego tega cilja (173). Če obstaja kakršen koli razlog za domnevo, da bi to lahko vplivalo na zakonite interese zadevnega posameznika, mora upravljavec po tehtanju različnih zadevnih interesov dokazati, da je pošiljanje osebnih podatkov sorazmerno za ta določeni namen (174).

(66)

V zvezi s tema primeroma je treba opozoriti tudi, da so vse države pogodbenice EPO tudi pogodbenice Konvencije o varstvu človekovih pravic in temeljnih svoboščin pod jurisdikcijo Evropskega sodišča za človekove pravice ter pogodbenice Konvencije Sveta Evrope o varstvu posameznikov glede na avtomatsko obdelavo osebnih podatkov (ETS št. 108).

(67)

Nazadnje, pravilnik o varstvu podatkov omogoča pošiljanje podatkov obdelovalcu s sedežem v Evropskem gospodarskem prostoru (EGP), če je zagotovljena skladnost z zahtevami iz pravilnika o varstvu podatkov za sodelovanje obdelovalcev (175).

(68)

Deljenje osebnih podatkov s katerim koli subjektom zunaj EPO, ki ni javni organ ali nacionalni urad za intelektualno lastnino držav pogodbenic EPO ali obdelovalec v EGP, se šteje za „prenos“ osebnih podatkov, za katerega veljajo specifične zahteve pravilnika o varstvu podatkov (176). Te zahteve se na primer uporabljajo za deljenje podatkov z obdelovalci zunaj EGP, upravljavci v državah pogodbenicah ali zunaj njih, javnimi organi držav, ki niso pogodbenice, in drugimi mednarodnimi organizacijami. Pravilnik o varstvu podatkov na splošno zahteva, da raven varstva, ki jo posameznikom zagotavlja EPO, pri prenosu podatkov tretjim osebam ni ogrožena (177). V skladu s smernicami pooblaščene osebe za varstvo podatkov mora biti varstvo prenesenih osebnih podatkov v tretji državi ali mednarodni organizaciji v osnovi enakovredno varstvu, ki ga zagotavlja pravilnik o varstvu podatkov (178).

(69)

V skladu s pravilnikom o varstvu podatkov se lahko prenos osebnih podatkov iz EPO najprej izvede, če država, v kateri se nahaja prejemnik, ali mednarodna organizacija zagotavlja ustrezno raven varstva in če se prenos izvede izključno zato, da se EPO omogoči opravljanje nalog v okviru njenih pristojnosti (179). Sklep o ustreznosti sprejme predsednik (180), ki v primeru dvoma odloči po posvetovanju s pooblaščeno osebo za varstvo podatkov in odborom za varstvo podatkov (181). Pooblaščena oseba za varstvo podatkov je pripravila „referenčni dokument o ustreznosti“, ki določa merila za sklepe o ustreznosti (182). Pravni okvir tretje države ali mednarodne organizacije mora zlasti določati ključna načela varstva podatkov, pravice posameznikov, na katere se nanašajo osebni podatki, pravila o nadaljnjih prenosih, postopkovne in izvršilne mehanizme ter pravna sredstva za posameznike. Če predsednik sprejme sklep o ustreznosti, se lahko prenos izvede brez izvajanja dodatnih zaščitnih ukrepov (183). Za države članice ter Norveško, Islandijo in Lihtenštajn, vse države, za katere velja sklep Komisije o ustreznosti (184), ter za institucije in organe Unije EPO trenutno šteje, da zagotavljajo ustrezno raven varstva (185).

(70)

Če ni sklepa o ustreznosti, lahko upravljavec ali obdelovalec v skladu s pravilnikom o varstvu podatkov prenese osebne podatke prejemnikom zunaj EPO le, če je zagotovil ustrezne zaščitne ukrepe in pod pogojem, da so posameznikom, na katere se nanašajo osebni podatki, na voljo izvršljive pravice in učinkovita pravna sredstva (186). Taki ustrezni zaščitni ukrepi se lahko vključijo v upravne dogovore z javnimi organi ali mednarodnimi organizacijami, v pogodbene klavzule (po posvetovanju z odborom za varstvo podatkov) (187) ali mehanizme certificiranja (188). Pooblaščena oseba za varstvo podatkov je pripravila osnutek določb, ki jih je treba vključiti v upravne dogovore (189). Na voljo je tudi vzorčni dogovor o varstvu podatkov za prenose obdelovalcem (190). V skladu s smernicami pooblaščene osebe za varstvo podatkov mora EPO oceniti, ali bi lahko uvozniku podatkov pravni okvir, ki velja zanj, preprečeval izpolnjevanje obveznosti v okviru orodja za prenos, in po potrebi uvesti dopolnilne ukrepe (191). Pooblaščena oseba za varstvo podatkov za izvedbo te ocene v pojasnilih EPO o pošiljanju in prenosu osebnih podatkov priporoča, naj se upoštevajo ustrezne smernice EOVP in Evropskega nadzornika za varstvo podatkov (192).

(71)

V skladu s pravilnikom o varstvu podatkov mora EPO za prenose podatkov v države ali organizacije, za katere velja sklep o ustreznosti, ter za prenose podatkov na podlagi ustreznih zaščitnih ukrepov dokazati nujnost in sorazmernost vsakega prenosa za namene obdelave (193). Poleg tega mora EPO po tehtanju različnih zadevnih interesov dokazati, da je prenos sorazmeren, če obstaja razlog za domnevo, da bi lahko bili ogroženi zakoniti interesi posameznikov, na katere se nanašajo osebni podatki (194). Poleg tega je treba (s pogodbenimi zaščitnimi ukrepi) zagotoviti, da lahko prejemnik obdeluje ali uporablja podatke le za namene, za katere so bili preneseni, in jih mora izbrisati takoj, ko je dosežen namen (195).

(72)

Če ni sklepa o ustreznosti ali ustreznih zaščitnih ukrepov, je v skladu s pravilnikom o varstvu podatkov prenos osebnih podatkov zunaj EPO dovoljen „le izjemoma“, če se tako imenovano „odstopanje“ uporablja pod podobnimi pogoji, kot veljajo v ustreznih določbah prava Unije o varstvu podatkov (196). To velja, (a) kadar je posameznik, na katerega se nanašajo osebni podatki, izrecno privolil v prenos (197); (b in c) kadar je prenos občasen in potreben za izvajanje pogodbe s posameznikom, na katerega se nanašajo osebni podatki, ali v njegovem interesu (ali za izvajanje predpogodbenih ukrepov na zahtevo posameznika, na katerega se nanašajo osebni podatki) (198); (d) kadar je prenos potreben za izvajanje naloge v okviru uradnih dejavnosti EPO ali pri izvajanju zakonite pristojnosti, dodeljene upravljavcu (199); (e) kadar je prenos občasen in potreben za uveljavljanje, izvajanje ali obrambo pravnih zahtevkov (200); (f) kadar je prenos potreben za zaščito življenjskih interesov posameznika, ko posameznik, na katerega se nanašajo osebni podatki, fizično ali pravno ni sposoben dati izrecne privolitve (201), ali (g) kadar se prenos opravi iz registra, ki je namenjen zagotavljanju informacij javnosti in je na voljo za vpogled javnosti na splošno ali kateri koli osebi, ki lahko izkaže zakoniti interes, v kolikor so v posameznem primeru izpolnjeni pogoji, določeni za tak vpogled (202). Po naravi in v skladu s smernicami pooblaščene osebe za varstvo podatkov se na ta odstopanja ni mogoče sklicevati pri sistematičnih in rednih prenosih (203).

(73)

Nazadnje, kar zadeva prenose specifičnih vrst podatkov v države ali organizacije, za katere ne velja sklep o ustreznosti, lahko predsednik take prenose dodatno omeji iz pomembnih razlogov, povezanih z zakonitim izvajanjem javne oblasti, dodeljene Uradu (204). Predsednik doslej ni uporabil teh pooblastil.

(74)

V skladu z načelom odgovornosti morajo subjekti, ki obdelujejo podatke, sprejeti ustrezne tehnične in organizacijske ukrepe, da lahko uspešno izpolnjujejo svoje obveznosti glede varstva podatkov in dokažejo tako izpolnjevanje, predvsem pristojnim nadzornim organom.

(75)

V členu 4(1) pravilnika o varstvu podatkov je določeno splošno načelo odgovornosti, v katerem je pojasnjeno, da je za spoštovanje pravilnika o varstvu podatkov odgovoren upravljavec in ga mora biti sposoben tudi dokazati. Upravljavec mora zlasti izvesti ustrezne tehnične in organizacijske ukrepe, da zagotovi in je sposoben dokazati skladnost, ob upoštevanju narave, obsega, okoliščin in namenov obdelave ter različne verjetnosti in resnosti vseh tveganj za pravice posameznikov (205). V zvezi s tem pravilnik o varstvu podatkov zagotavlja tudi izvajanje načel vgrajene in privzete zasebnosti, tako da od upravljavca zahteva, da izvede ukrepe, namenjene izvajanju načel varstva podatkov in zagotavljanju spoštovanja pravilnika o varstvu podatkov, ter zagotovi, da se privzeto obdelujejo samo osebni podatki, ki so potrebni za vsak določen namen obdelave (206).

(76)

Upravljavec in obdelovalci morajo voditi evidenco dejavnosti obdelave, ki med drugim vsebuje informacije o namenu obdelave, vrstah obdelanih podatkov, vrstah uporabnikov, ki so jim podatki razkriti, in vseh prenosih osebnih podatkov (207). Te evidence so načeloma javno dostopne (razen če vsebujejo zaupne informacije) in vključene v javno dostopen register varstva podatkov ter morajo biti na zahtevo na voljo odboru za varstvo podatkov (208). Vsaka operativna enota mora imenovati tudi vsaj eno osebo za zvezo za varstvo podatkov (za obdobje od enega do treh let z možnostjo podaljšanja), ki mora opraviti obvezno usposabljanje o varstvu podatkov in upravljavcu pomagati pri izpolnjevanju njegovih obveznosti (209).

(77)

Nazadnje, pravilnik o varstvu podatkov zagotavlja različne instrumente, ki lahko upravljavcu in obdelovalcem pomagajo pri njihovih prizadevanjih za skladnost. V skladu s pravilnikom o varstvu podatkov se lahko na primer kot dokaz skladnosti s pravilnikom o varstvu podatkov uporablja upoštevanje odobrenih mehanizmov certificiranja (210). Poleg tega pravilnik o varstvu podatkov pod določenimi pogoji zahteva izvedbo ocene učinka v zvezi z varstvom podatkov ali predhodno posvetovanje s pooblaščeno osebo za varstvo podatkov in odborom za varstvo podatkov. Ocena učinka v zvezi z varstvom podatkov se zahteva, kadar je verjetno, da bo vrsta obdelave povzročila veliko tveganje za pravice in svoboščine posameznika (211). To se na primer zahteva v primeru sistematičnega in obsežnega ocenjevanja osebnih vidikov, na katerem temeljijo avtomatizirane odločitve, ali obširne obdelave posebnih vrst podatkov (212). Če ocena učinka pokaže, da bi obdelava povzročila veliko tveganje za pravice in svoboščine posameznikov in tveganja ni mogoče ublažiti z razumnimi varnostnimi ukrepi, se mora upravljavec posvetovati z odborom za varstvo podatkov (213). Odbor za varstvo podatkov mora pisno svetovati, če meni, da bi bila predvidena obdelava v nasprotju s pravilnikom o varstvu podatkov (214). Bolj na splošno, upravljavec se mora pri pripravi pravil ali operativnih dokumentov o izvajanju omejitev pravic posameznikov posvetovati s pooblaščeno osebo za varstvo podatkov (215).

(78)

Da se zagotovi ustrezna raven varstva podatkov v praksi, bi bilo treba vzpostaviti neodvisen nadzorni organ, pooblaščen za spremljanje in zagotavljanje skladnosti s pravili o varstvu podatkov. Ta organ bi moral pri izvajanju svojih obveznosti in pooblastil ravnati popolnoma neodvisno in nepristransko.

(79)

Pravni okvir EPO pooblašča za nadzor skladnosti s pravili o varstvu podatkov s strani EPO dva organa: pooblaščeno osebo za varstvo podatkov in odbor za varstvo podatkov. Oba organa sta ustanovljena s členom 32A pravil službovanja, njun status in pooblastila pa so podrobneje opredeljeni v pravilniku o varstvu podatkov (216). Njuni vlogi se dopolnjujeta in vključujeta sodelovanje, hkrati pa vsak organ ostaja neodvisen pri izvajanju svojih nalog.

(80)

V skladu s pravili službovanja pooblaščena oseba za varstvo podatkov in odbor za varstvo podatkov pri opravljanju svojih nalog in izvajanju svojih pooblastil delujeta popolnoma neodvisno od kakršnega koli notranjega ali zunanjega vmešavanja (217). To načelo dopolnjujejo različni dodatni zaščitni ukrepi, ki zagotavljajo njuno neodvisnost.

(81)

Pooblaščeno osebo za varstvo podatkov (in njene namestnike) imenuje predsednik na podlagi njihovih poklicnih kvalifikacij in zlasti strokovnega znanja o zakonodaji in praksah na področju varstva podatkov (218). Pooblaščena oseba za varstvo podatkov je imenovana za mandat treh do petih let z možnostjo podaljšanja. Pred vsako predlagano odstavitvijo ali razrešitvijo pooblaščene osebe za varstvo podatkov se je treba posvetovati z odborom za varstvo podatkov (219). Namen takega predhodnega posvetovanja pred odstavitvijo ali razrešitvijo pooblaščene osebe za varstvo podatkov je zagotoviti dodaten nadzor in pregled v primeru predlagane odstavitve ali razrešitve. Taka odstavitev ali razrešitev se lahko predlaga iz enega od naslednjih razlogov (220): če pooblaščena oseba za varstvo podatkov ne izpolnjuje več pogojev, potrebnih za opravljanje nalog (221), zaradi poklicne nesposobnosti (222) ali kot posledica disciplinskih ukrepov (223). Pravilnik o varstvu podatkov določa, da pooblaščene osebe za varstvo podatkov ni mogoče razrešiti ali kaznovati zaradi opravljanja njenih nalog in ne more prejemati nobenih navodil (224). Pooblaščena oseba za varstvo podatkov mora biti vključena v vsa vprašanja v zvezi z varstvom osebnih podatkov ter za predsednika in upravni svet pripravi letna poročila o dejavnostih (225). Urad mora pooblaščeni osebi za varstvo podatkov zagotoviti potrebna sredstva za opravljanje njenih nalog (226).

(82)

Odbor za varstvo podatkov sestavljajo trije zunanji strokovnjaki s področja varstva podatkov, in sicer predsednik odbora in dva druga člana (227), ter nadomestni član, ki ga imenuje predsednik EPO za triletni mandat z možnostjo podaljšanja (228). Člani odbora za varstvo podatkov morajo biti ustrezno usposobljeni za imenovanje na sodniško funkcijo ali pa morajo biti strokovnjaki za varstvo podatkov z dokazanim strokovnim znanjem in izkušnjami na področju prava o varstvu podatkov, pridobljenimi na nacionalni ali mednarodni ravni. V zadnjih desetih letih niso smeli biti zaposleni v EPO ali s strani EPO (229). V skladu s členom 48(6) pravilnika o varstvu podatkov so člani odbora za varstvo podatkov pri opravljanju svoje funkcije popolnoma neodvisni. Člani odbora za varstvo podatkov zlasti ne smejo zahtevati navodil od Urada ali upravnega sveta in jih taka navodila ne smejo zavezovati. Poslovnik odbora za varstvo podatkov določa tudi, da mora odbor pri opravljanju svojih nalog ravnati nepristransko in popolnoma neodvisno (230). Poleg tega lahko EPO člane odbora za varstvo podatkov odstrani s položaja le zaradi resnega razloga (231). Člane odbora za varstvo podatkov zavezuje obveznost varovanja zaupnosti (232) in se morajo vzdržati ravnanja v primeru, ko so v nasprotju interesov, zlasti zaradi osebnih interesov (233). EPO mora podpirati odbor za varstvo podatkov pri opravljanju njegovih nalog, tako da mu zagotovi potrebne vire ter pravno in upravno podporo (prek sekretariata in z zagotavljanjem dostopa do osebnih podatkov in postopkov obdelave) (234).

(83)

Naloge pooblaščene osebe za varstvo podatkov vključujejo naslednje: obveščanje upravljavca ali obdelovalcev o njihovih obveznostih in ustrezno svetovanje; ozaveščanje osebja, vključenega v postopke obdelave, in zagotavljanje usposabljanja zanj; zagotavljanje, da so posamezniki, na katere se nanašajo osebni podatki, obveščeni o svojih pravicah na podlagi pravilnika o varstvu podatkov, ter neodvisno spremljanje notranje uporabe pravilnika o varstvu podatkov ter drugih pravnih določb EPO, ki vplivajo na varstvo podatkov, ter skladnosti z njimi (235). Posamezniki, na katere se nanašajo osebni podatki, lahko stopijo v stik s pooblaščeno osebo za varstvo podatkov glede vseh vprašanj v zvezi z obdelavo njihovih podatkov ali uveljavljanjem njihovih pravic (236), upravljavec in obdelovalci pa se lahko z njo posvetujejo o kateri koli zadevi v zvezi z razlago in uporabo pravilnika o varstvu podatkov (237).

(84)

Pooblaščena oseba za varstvo podatkov je v okviru svoje nadzorne vloge pooblaščena za izvajanje revizij in preiskav v zvezi z varstvom podatkov (238). Revizije začne pooblaščena oseba za varstvo podatkov v skladu z letnim revizijskim načrtom, ki se pripravi v posvetovanju z odborom za varstvo podatkov (239). Revizija se osredotoča na ocenjevanje evidenc o varstvu podatkov, izjav in ustrezne dokumentacije, na primer za preverjanje točnosti in popolnosti ustrezne dokumentacije o varstvu podatkov, pravilne uporabe metodologij za obvladovanje tveganja, točnosti in pravočasnosti odgovorov posameznikom, na katere se nanašajo osebni podatki, ali pravilnega izvajanja in števila ocen učinka v zvezi z varstvom podatkov (240). Glede na informacije, ki jih je Komisija prejela od pooblaščene osebe za varstvo podatkov, so bile leta 2023 izvedene tri revizije, leta 2024 pa štiri. Pooblaščena oseba za varstvo podatkov lahko preiskavo začne na lastno pobudo, na podlagi zahteve, ki jo prejme od odbora za varstvo podatkov ali organa v sestavi EPO (na primer predsednika ali pooblaščenega upravljavca), ali na podlagi drugače prejetih informacij (tudi na primer od tretjih oseb in posameznikov) (241). Preiskave, ki jih zahteva odbor za varstvo podatkov, izvaja pooblaščena oseba za varstvo podatkov neodvisno. Odbor za varstvo podatkov lahko predloži pripombe in/ali zahteva dodatno preiskavo v zvezi s katerim koli vprašanjem, ki se pojavi (242). Inšpekcijski pregledi se osredotočajo na postopke obdelave ali določene vidike obdelave ali z njimi povezane dogodke, da se zagotovi, da zadevna obdelava izpolnjuje zahteve iz pravilnika o varstvu podatkov, ter na zagotavljanje varstva pravic in svoboščin posameznikov, na katere se nanašajo osebni podatki (243).

(85)

Pooblaščena oseba za varstvo podatkov ima dostop do vseh ustreznih informacij, vključno z osebnimi podatki, ki se obdelujejo, ter do vseh pisarn, naprav za obdelavo podatkov in nosilcev podatkov (244). Vsi zaposleni in operativne enote EPO morajo pooblaščeni osebi za varstvo podatkov pomagati pri opravljanju njenih nalog, vključno z zagotavljanjem dostopa do prostorov in ustreznih informacij (245).

(86)

Pooblaščena oseba za varstvo podatkov ob zaključku revizije ali preiskave sprejme poročilo, v katerem navede svoje ugotovitve, zaključke in priporočene popravne ukrepe (246). Taki ukrepi lahko na primer vključujejo preventivne ali blažilne ukrepe za izboljšanje skladnosti ter ukrepe za odpravo neskladnosti (na primer uskladitev obdelave s pravilnikom o varstvu podatkov, obravnavanje zahtev posameznikov, na katere se nanašajo osebni podatki, za uveljavljanje njihovih pravic, začasna prekinitev ali prenehanje obdelave itd.) (247). Pooblaščena oseba za varstvo podatkov lahko pristojni organ za imenovanja opozori tudi na neupoštevanje pravilnika o varstvu podatkov s strani zaposlenih in priporoči začetek upravne preiskave, da se ugotovi, ali so potrebni disciplinski ali drugi ukrepi (248). Vsak zaposleni, ki namerno ali iz malomarnosti ne ravna v skladu s pravilnikom o varstvu podatkov, se lahko kaznuje z disciplinskimi sankcijami ali drugimi ukrepi v skladu s pravili službovanja (249).

(87)

Rezultate revizij in preiskav je treba sporočiti odboru za varstvo podatkov (250). Revizijsko poročilo ali poročilo o preiskavi je treba na zahtevo posredovati odboru za varstvo podatkov. Odbor za varstvo podatkov lahko predloži pripombe na poročilo pooblaščene osebe za varstvo podatkov, tudi na njene ugotovitve o tem, ali je prišlo do kršitve pravilnika o varstvu podatkov, in na predlagane popravne ukrepe, ter lahko zahteva dodatne preiskovalne ukrepe (251). Če se pri reviziji ali inšpekcijskem pregledu, ki ga opravi pooblaščena oseba za varstvo podatkov, ugotovi, da je prišlo do neskladnosti (tj. kršitve pravilnika o varstvu podatkov), je treba poročilo pooblaščene osebe za varstvo podatkov predložiti odboru za varstvo podatkov, da potrdi zaključke in priporočene popravne ukrepe. Če se odbor za varstvo podatkov ne strinja z zaključki ali priporočenimi popravnimi ukrepi pooblaščene osebe za varstvo podatkov, svoje pripombe posreduje pooblaščeni osebi za varstvo podatkov, vključno s spremembo predlaganih zaključkov in priporočenih popravnih ukrepov, ta pa bi jih morala ustrezno izvesti. Popravni ukrepi, ki jih potrdi odbor za varstvo podatkov, so zavezujoči za upravljavca in pooblaščene upravljavce, posamezniki pa se lahko nanje sklicujejo pred mehanizmi pravnega varstva, opisanimi v uvodni izjavi 95 (252). Pooblaščena oseba za varstvo podatkov mora preveriti izvajanje popravnih ukrepov (načeloma šest mesecev po tem, ko so bili sporočeni) in letno poročati predsedniku o stanju izvajanja (253).

(88)

Druge naloge odbora za varstvo podatkov poleg njegove vloge zagotavljanja skladnosti s pravilnikom o varstvu podatkov zajemajo svetovanje predsedniku pri sprejemanju sklepov o ustreznosti, svetovanje upravljavcu glede potrebe po izvedbi ocene učinka v zvezi z varstvom podatkov in pregledovanje pritožb posameznikov (glej uvodne izjave 92 do 96) (254).

(89)

Posameznik, na katerega se nanašajo osebni podatki, mora imeti na voljo učinkovito pravno sredstvo, vključno z odškodnino za škodo, da se zagotovita ustrezno varstvo in zlasti uresničevanje pravic posameznika.

(90)

Pravni okvir EPO posameznikom zagotavlja pravna sredstva s kombinacijo različnih možnosti.

(91)

Prvič, posamezniki, na katere se nanašajo osebni podatki in ki menijo, da obdelava njihovih osebnih podatkov s strani EPO krši njihove pravice (tj. krši pravilnik o varstvu podatkov), lahko vložijo zahtevo za pregled pri pooblaščenem upravljavcu v skladu s členom 49 pravilnika o varstvu podatkov. Pooblaščeni upravljavec bo pritožbo pregledal in sprejel odločitev (255). Pred sprejetjem odločitve se mora pooblaščeni upravljavec posvetovati s pooblaščeno osebo za varstvo podatkov, ki najpozneje petnajst koledarskih dni po prejemu zahteve za pregled predloži pisno mnenje (256). Pooblaščeni upravljavec mora posamezniku odgovoriti v enem mesecu od datuma prejema zahteve (257). Odločitev je treba sporočiti posamezniku skupaj z informacijami o možnostih uporabe nadaljnjih pravnih sredstev (258). Če pooblaščeni upravljavec v treh mesecih ne ukrepa, se to šteje za implicitno zavrnitev zahteve.

(92)

Drugič, posamezniki lahko izpodbijajo odločitev ali implicitno zavrnitev zahteve za pregled s strani pooblaščenega upravljavca z vložitvijo pritožbe pri odboru za varstvo podatkov (259).

(93)

Pri obravnavi pritožbe mora odbor za varstvo podatkov posameznika, na katerega se nanašajo osebni podatki, upravljavca in po potrebi obdelovalca pozvati, naj pisno predstavijo svoje stališče o zadevnih zahtevah in dejstvih ter predložijo dokaze ali pripombe in argumente o razpoložljivih dokazih (260). V tem okviru lahko odbor za varstvo podatkov od strank zahteva vse informacije, ki jih potrebuje za obravnavo pritožbe, poleg tega pa lahko prek pooblaščene osebe za varstvo podatkov pridobi dodatne informacije (261). Pri odločanju o potrebnih nadaljnjih ukrepih v zvezi s pritožbo mora odbor za varstvo podatkov med drugim upoštevati naravo in resnost domnevne kršitve, število prizadetih posameznikov, na katere se nanašajo osebni podatki, vrste podatkov, na katere se nanaša domnevna kršitev, in trajanje domnevne kršitve (262). Odbor za varstvo podatkov lahko stranke pozove, naj si prizadevajo za sporazumno rešitev spora, ter spodbuja in dejavno lajša doseganje take rešitve (263). Pritožnik lahko od odbora za varstvo podatkov tudi zahteva, da zaradi resnosti domnevne kršitve ali resnosti tveganja za pravice posameznikov uporabi nujni postopek (264).

(94)

Odbor za varstvo podatkov po preučitvi pritožbe upravljavcu izda obrazloženo mnenje, ki vključuje navedbo dejstev, glavne argumente strank, ugotovitve odbora za varstvo podatkov in njegova priporočila (265). Pri nujnem postopku mora odbor za varstvo podatkov uradno izdati obrazloženo mnenje v dveh mesecih od vložitve pritožbe (266). Odbor za varstvo podatkov lahko v obrazloženem mnenju izda vsa priporočila, ki so po njegovem mnenju potrebna, vključno s sodno odredbo (na primer za prenehanje nezakonite obdelave podatkov, izbris nezakonito obdelanih podatkov) ter odškodnino za premoženjsko ali nepremoženjsko škodo (267). Obrazloženo mnenje je treba obvezno poslati posamezniku, na katerega se nanašajo osebni podatki, in upravljavcu (tj. predsedniku Urada, predsedniku pritožbenih senatov, predsedniku upravnega sveta ali predsedniku ožjega odbora, odvisno od tega, ali se je pritožba nanašala na Urad, pritožbene senate, svet ali ožji odbor). Upravljavec nato sprejme končno zavezujočo odločitev na podlagi obrazloženega mnenja odbora za varstvo podatkov (268). Končna odločitev se sporoči posamezniku, na katerega se nanašajo osebni podatki, odboru za varstvo podatkov in pooblaščeni osebi za varstvo podatkov (269). Če se upravljavec odloči, da ne bo upošteval enega ali več vidikov obrazloženega mnenja, to pisno obrazloži v odločitvi (270).

(95)

Posameznik, na katerega se nanašajo osebni podatki, ki ni zadovoljen z odločitvijo upravljavca, se lahko nanjo nadalje pritoži in se pri tem sklicuje na obrazloženo mnenje odbora za varstvo podatkov. Uslužbenci EPO lahko odločitev izpodbijajo pred upravnim sodiščem Mednarodne organizacije dela (271). Vsak drug posameznik, na katerega se nanašajo osebni podatki in se ne strinja z odločitvijo upravljavca, lahko v treh mesecih od prejema odločitve predsedniku predloži zahtevo za ad hoc arbitražo (272). Pravilnik o varstvu podatkov določa specifičen postopek, ki ga je treba upoštevati v primeru ad hoc arbitraže (273). Generalni sekretar Stalnega arbitražnega sodišča mora v treh mesecih po prejemu zahteve posameznika, na katerega se nanašajo osebni podatki, imenovati arbitra na podlagi meril, določenih v pravilniku o varstvu podatkov (274). Arbiter mora biti pravno usposobljen z dovoljenjem za opravljanje odvetniškega poklica v eni od držav pogodbenic EPO, biti sposoben dokazati ustrezno strokovno znanje na področju varstva podatkov in biti seznanjen s pravom, ki ureja mednarodne organizacije (275). Poleg tega, da morajo biti izpolnjena ta merila, so lahko imenovani samo posamezniki, ki niso delali za EPO ali v EPO ali za posameznika ali pri posamezniku, na katerega se nanašajo osebni podatki. Pravilnik o varstvu podatkov določa, da mora arbiter delovati neodvisno in nepristransko (276) ter vsako stranko obravnavati enako in ji dati možnost, da predstavi svoj primer v vseh fazah postopka (277). Arbitražni postopki niso javni (278) in jih urejajo EPK, pravilnik o varstvu podatkov, vključno z vso izvedbeno zakonodajo, pravo mednarodnih organizacij in načela mednarodnega javnega prava (279). Vsaka stranka mora nositi svoje stroške in stroške pravnega zastopanja (razen če arbiter odloči drugače), honorarje in stroške arbitra, stroške morebitnega strokovnega svetovanja in priče pa plača EPO (280). Poravnavo je treba skleniti v obliki pisne arbitražne odločbe z dogovorjenim besedilom, ki je dokončno in zavezujoče (281).

(96)

Vsak posameznik, ki je utrpel škodo zaradi kršitve pravilnika o varstvu podatkov, lahko od EPO zahteva odškodnino z uporabo postopkov, opisanih v uvodnih izjavah 91 do 95 (282). EPO ni odgovorna, če dokaže, da ni bila odgovorna za dogodek, ki je povzročil škodo.

(97)

Pravni okvir, v skladu s katerim EPO ocenjuje zahteve javnih organov – svojih držav pogodbenic in tretjih držav – v zvezi z osebnimi podatki, ki jih obdeluje EPO, ter odgovarja nanje, izhaja iz Protokola o privilegijih in imunitetah EPO (283), zahtev pravilnika o varstvu podatkov glede pošiljanja in prenosa osebnih podatkov ter mednarodnega javnega prava.

(98)

Prvič, obdelava osebnih podatkov, ki jo EPO izvaja za namene svojih uradnih dejavnosti, je zajeta v imunitetah Organizacije. Imunitete EPO dopolnjuje dolžnost sodelovanja iz člena 20 Protokola o privilegijih in imunitetah EPO. Posledično vsako zahtevo javnega organa države pogodbenice za pridobitev podatkov, ki jih obdeluje EPO, oceni predsednik v skladu s členom 20(1) Protokola o privilegijih in imunitetah EPO, ki določa, da Organizacija vedno sodeluje s pristojnimi organi držav pogodbenic, da se olajša pravilno delovanje pravosodja, zagotovi spoštovanje policijskih predpisov in predpisov o javnem zdravju ter delovni inšpekciji ali spoštovanje druge podobne nacionalne zakonodaje ter da se prepreči vsaka zloraba privilegijev, imunitet in ugodnosti, določenih v tem protokolu. Organizacija se lahko izjemoma odpove imuniteti pred sodnimi in izvršilnimi postopki (284). Predsednik sprejme odločitev o prošnji za sodelovanje po lastni presoji ter pri tem upošteva, ali je prošnja skladna s pravnim okvirom Organizacije (285). Lahko sklene, da lahko Urad odgovori na zahtevo na podlagi Protokola o privilegijih in imunitetah EPO ter razkrije osebne podatke le v skladu z zahtevami za pošiljanje podatkov iz pravilnika o varstvu podatkov (glej uvodne izjave 62 do 67). V skladu s pravilnikom o varstvu podatkov mora prejemnik predložiti dokaze, da mu je treba podatke poslati za določen namen, ki izhaja iz obveznosti EPO na področju sodelovanja z državami pogodbenicami (286). Upravljavec mora biti za vsako pošiljanje sposoben dokazati, da je tako pošiljanje potrebno in sorazmerno z določenim namenom, za katerega se pošljejo podatki (287). Vsak prenos podatkov mora potekati tako, da se ohrani raven varstva, ki jo zagotavlja pravilnik o varstvu podatkov (288). V skladu s smernicami pooblaščene osebe za varstvo podatkov to pomeni, da morajo biti vzpostavljeni zaščitni ukrepi, vključno z zagotavljanjem, da so podatki, ki se izmenjajo, čim manj obsežni in omejeni na to, kar je ustrezno, relevantno in nujno potrebno za dosego tega cilja (289). Če obstaja kakršen koli razlog za domnevo, da bi to lahko vplivalo na pravice in svoboščine zadevnega posameznika, mora upravljavec po tehtanju različnih zadevnih interesov dokazati, da je pošiljanje osebnih podatkov sorazmerno s tem določenim namenom (290).

(99)

Drugič, za EPO se ne uporablja noben pravni instrument, ki bi izrecno urejal obravnavo zahtev javnih organov tretjih držav (tj. ki niso pogodbenice EPO) za pridobitev podatkov, ki jih obdeluje EPO. Zato se lahko kakršno koli razkritje v odgovor na tako zahtevo izvede le, če so izpolnjene zahteve za čezmejne prenose podatkov v skladu s pravilnikom o varstvu podatkov (kot je opisano v uvodnih izjavah 68 do 73). To bi veljalo le, če je za zadevno državo sprejet sklep o ustreznosti, ki bi zajemal prenos, če so vzpostavljeni ustrezni zaščitni ukrepi ali če se uporablja odstopanje.

(100)

Spoštovanje Protokola o privilegijih in imunitetah EPO, vključno s tem, kako so obravnavane zahteve javnih organov za sodelovanje, s strani predsednika nadzira upravni svet, skladnost z zahtevami glede pošiljanja in prenosa osebnih podatkov iz pravilnika o varstvu podatkov pa nadzirata pooblaščena oseba za varstvo podatkov in odbor za varstvo podatkov, kot je opisano v uvodnih izjavah 84 do 88. Posamezniki lahko v zvezi s pošiljanjem ali prenosom njihovih osebnih podatkov v nasprotju s pravilnikom o varstvu podatkov uporabijo pravna sredstva, opisana v uvodnih izjavah 90 do 96.

(101)

Komisija meni, da EPO zagotavlja raven varstva osebnih podatkov, prenesenih iz Unije, ki je v osnovi enakovredna ravni, zagotovljeni z Uredbo (EU) 2016/679.

(102)

Na podlagi ugotovitev iz tega sklepa bi bilo treba odločiti, da EPO v zvezi z osebnimi podatki, ki se iz Unije prenašajo v EPO, zagotavlja ustrezno varstvo v smislu člena 45 Uredbe (EU) 2016/679, kot se razlaga glede na Listino Evropske unije o temeljnih pravicah.

(103)

Države članice in njihovi organi morajo sprejeti ukrepe, potrebne za zagotavljanje skladnosti z akti institucij Unije, saj se domneva, da so ti zakoniti in imajo pravne učinke, dokler niso umaknjeni, razveljavljeni na podlagi izpodbojne tožbe ali razglašeni za neveljavne na podlagi predloga za sprejetje predhodne odločbe ali sklicevanja na nezakonitost.

(104)

Zato je sklep Komisije o ustreznosti varstva, sprejet na podlagi člena 45(3) Uredbe (EU) 2016/679, zavezujoč za vse organe držav članic, na katere je naslovljen, vključno z njihovimi neodvisnimi nadzornimi organi. Natančneje, prenosi od upravljavca ali obdelovalca v Uniji v EPO lahko potekajo, ne da bi bilo treba pridobiti nadaljnje dovoljenje.

(105)

V skladu s členom 58(5) Uredbe (EU) 2016/679 in glede na pojasnila Sodišča v sodbi v zadevi C-362/14 (291) je treba opozoriti, da če ima nacionalni organ za varstvo podatkov tudi po prejemu pritožbe pomisleke glede skladnosti sklepa Komisije o ustreznosti s temeljnimi pravicami posameznika do varstva zasebnosti in podatkov, mu mora nacionalno pravo zagotavljati pravno sredstvo za predložitev teh očitkov nacionalnemu sodišču, ki bi morda moralo pri Sodišču vložiti predlog za sprejetje predhodne odločbe.

(106)

V skladu s sodno prakso Sodišča in na podlagi člena 45(4) Uredbe (EU) 2016/679 bi morala Komisija po sprejetju sklepa o ustreznosti redno spremljati razvoj dogodkov v tretji državi ali mednarodni organizaciji, da se presodi, ali ta še vedno zagotavlja v osnovi enakovredno raven varstva. Tako preverjanje je vsekakor nujno, kadar Komisija prejme kakršne koli informacije, ki zbujajo upravičen dvom o tem.

(107)

Komisija bi zato morala stalno spremljati razmere v EPO, kar zadeva njen pravni okvir in dejansko prakso obdelave osebnih podatkov, kot sta ocenjena v tem sklepu. Za olajšanje tega postopka Komisija EPO poziva, naj jo obvešča o razvoju dogodkov, bistvenih za ta sklep, in sicer glede obdelave osebnih podatkov s strani javnih organov ter glede omejitev in zaščitnih ukrepov, ki jih javni organi uporabljajo v zvezi z dostopom do osebnih podatkov.

(108)

Poleg tega bi morale države članice Komisijo obveščati o vseh pomembnih ukrepih nacionalnih organov za varstvo podatkov, zlasti glede poizvedb ali pritožb posameznikov iz Unije, na katere se nanašajo osebni podatki, v zvezi s prenosom osebnih podatkov iz Unije v EPO, da lahko Komisija učinkovito izvaja naloge spremljanja.

(109)

Komisija bi morala po sprejetju tega sklepa na podlagi člena 45(3) Uredbe (EU) 2016/679 in ob upoštevanju dejstva, da se lahko raven varstva, ki ga zagotavlja pravni okvir EPO, spremeni, redno preverjati, ali so ugotovitve, ki se nanašajo na ustreznost ravni varstva, ki jo zagotavlja EPO, še vedno dejansko in pravno upravičene. Taka ocenjevanja bi se morala izvajati vsaj vsaka štiri leta in bi morala zajemati vse vidike delovanja tega sklepa, vključno z delovanjem ustreznih mehanizmov nadzora in izvrševanja.

(110)

Za izvedbo pregleda bi se morala Komisija srečati z EPO, tudi z njeno pooblaščeno osebo za varstvo podatkov in odborom za varstvo podatkov. Možnost sodelovanja na takem srečanju bi morali imeti tudi predstavniki članov Evropskega odbora za varstvo podatkov. Komisija bi morala v okviru pregleda od EPO zahtevati predložitev celovitih informacij o vseh vidikih, pomembnih za ugotavljanje ustreznosti. Komisija bi morala tudi zahtevati pojasnila o vseh prejetih informacijah, pomembnih za ta sklep, tudi o informacijah, prejetih od Evropskega odbora za varstvo podatkov, posameznih organov za varstvo podatkov, skupin civilne družbe, iz javnih poročil ali poročil medijev ali iz katerih koli drugih razpoložljivih virov informacij.

(111)

Komisija bi morala na podlagi pregleda pripraviti javno poročilo, ki se predloži Evropskemu parlamentu in Svetu.

(112)

Kadar razpoložljive informacije, zlasti informacije, ki izhajajo iz spremljanja razvoja dogodkov s strani Komisije, ki bi lahko vplival na delovanje tega sklepa v skladu s členom 45(4) Uredbe (EU) 2016/679, ali ki jih predloži EPO ali organi držav članic, kažejo, da raven varstva, ki jo zagotavlja EPO, morda ni več ustrezna, bi morala Komisija o tem obvestiti EPO in zahtevati, da se v določenem in razumnem roku sprejmejo ustrezni ukrepi.

(113)

Če EPO ob preteku tega določenega roka ne sprejme navedenih ukrepov ali drugače zadovoljivo dokaže, da ta sklep še naprej temelji na ustreznem varstvu, bo Komisija začela postopek iz člena 93(2) Uredbe (EU) 2016/679 za začasno odložitev izvajanja ali za razveljavitev dela ali celotnega tega sklepa.

(114)

Druga možnost je, da bo Komisija začela navedeni postopek za spremembo tega sklepa, zlasti z uvedbo dodatnih pogojev za prenos podatkov ali z omejitvijo področja uporabe ugotovitve o ustreznosti samo na prenose podatkov, za katere je še naprej zagotovljeno ustrezno varstvo.

(115)

Prav tako bi morala Komisija razmisliti o začetku postopka za spremembo, začasno zadržanje izvajanja ali razveljavitev tega sklepa, če EPO v okviru pregleda ali kako drugače ne zagotovi informacij ali pojasnil, potrebnih za oceno ravni varstva, ki se zagotavlja glede osebnih podatkov, prenesenih iz Unije, ali skladnosti s tem sklepom. V tem smislu bi morala Komisija upoštevati, v kolikšni meri je mogoče zadevne informacije pridobiti iz drugih virov.

(116)

Komisija bo v ustrezno utemeljenih nujnih primerih uporabila možnost, da v skladu s postopkom iz člena 93(3) Uredbe (EU) 2016/679 sprejme izvedbene akte, ki se začnejo uporabljati takoj in s katerimi se začasno odloži izvajanje tega sklepa oziroma se sklep razveljavi ali spremeni.

(117)

Evropski odbor za varstvo podatkov je objavil svoje mnenje (292), ki je bilo upoštevano pri pripravi tega sklepa.

(118)

Ukrepi iz tega sklepa so v skladu z mnenjem odbora, ustanovljenega na podlagi člena 93(1) Uredbe (EU) 2016/679 –