1.   Käesolevas määruses sätestatakse õigusnormid, mis käsitlevad füüsiliste isikute kaitset isikuandmete töötlemisel liidu institutsioonides ja organites ning õigusnormid, mis käsitlevad isikuandmete vaba liikumist nende vahel või edastamist teistele liidus asuvatele vastuvõtjatele.

2.   Käesoleva määrusega kaitstakse füüsiliste isikute põhiõigusi ja -vabadusi, eriti nende õigust isikuandmete kaitsele.

3.   Euroopa Andmekaitseinspektor jälgib käesoleva määruse sätete kohaldamist kõigi liidu institutsioonides ja organites teostatavate töötlustoimingute suhtes.

1.   Käesolevat määrust kohaldatakse isikuandmete töötlemise suhtes kõikides liidu institutsioonides ja organites.

2.   Kasutatavate isikuandmete töötlemisel liidu organite ja asutuste poolt tegevustes, mis jäävad ELi toimimise lepingu kolmanda osa V jaotise 4. või 5. peatüki kohaldamisalasse, kohaldatakse üksnes käesoleva määruse artiklit 3 ja IX peatükki.

3.   Kuni Euroopa Parlamendi ja nõukogu määruse (EL) 2016/794 (15) ning nõukogu määruse (EL) 2017/1939 (16) kohandamiseni vastavalt käesoleva määruse artiklile 98 ei kohaldata käesolevat määrust Europoli ning Euroopa prokuratuuri poolt kasutatavate isikuandmete töötlemise suhtes.

4.   Käesolevat määrust ei kohaldata isikuandmete töötlemisel ELi lepingu artikli 42 lõikes 1 ning artiklites 43 ja 44 osutatud missioonide poolt.

5.   Käesolevat määrust kohaldatakse isikuandmete täielikult või osaliselt automatiseeritud töötlemise suhtes ja isikuandmete automatiseerimata töötlemise suhtes, kui kõnealused isikuandmed kuuluvad andmete kogumisse või kui need kavatsetakse andmete kogumisse kanda.

1.   Isikuandmete töötlemisel tagatakse, et:

2.   Vastutav töötleja vastutab lõike 1 täitmise eest ja peab olema võimeline selle täitmist tõendama („vastutus“).

1.   Isikuandmete töötlemine on seaduslik ainult juhul, kui on täidetud vähemalt üks järgmistest tingimustest, ning sellisel määral, nagu see tingimus on täidetud:

2.   Lõike 1 punktides a ja b osutatud töötlemise alus sätestatakse liidu õiguses.

1.   Kui töötlemine põhineb nõusolekul, peab vastutav töötleja olema võimeline tõendama, et andmesubjekt on nõustunud oma isikuandmete töötlemisega.

2.   Kui andmesubjekt annab nõusoleku kirjaliku kinnitusena, mis puudutab ka muid küsimusi, esitatakse nõusoleku taotlus viisil, mis on muudest küsimustest selgelt eristatav, ning arusaadaval ja lihtsasti kättesaadaval kujul, kasutades selget ja lihtsat keelt. Sellise kinnituse mis tahes osa, mille puhul on tegemist käesoleva määruse rikkumisega, ei ole siduv.

3.   Andmesubjektil on õigus oma nõusolek igal ajal tagasi võtta. Nõusoleku tagasivõtmine ei mõjuta enne tagasivõtmist nõusoleku alusel toimunud töötlemise seaduslikkust. Andmesubjekti teavitatakse sellest enne nõusoleku andmist. Nõusoleku tagasivõtmine on sama lihtne kui selle andmine.

4.   Selle hindamisel, kas nõusolek anti vabatahtlikult, tuleb võimalikult suurel määral võtta arvesse asjaolu, kas lepingu täitmise, sealhulgas teenuse osutamise tingimuseks on muu hulgas seatud nõusoleku andmine isikuandmete töötlemiseks, mis ei ole vajalik kõnealuse lepingu täitmiseks.

1.   Kui kohaldatakse artikli 5 lõike 1 punkti d seoses infoühiskonna teenuste pakkumisega otse lapsele, on lapse isikuandmete töötlemine seaduslik ainult juhul, kui laps on vähemalt 13-aastane. Kui laps on noorem kui 13-aastane, on selline isikuandmete töötlemine seaduslik üksnes sellisel juhul ja sellises ulatuses, kui selleks on sellise nõusoleku või loa andnud isik, kellel on lapse suhtes vanemlik vastutus.

2.   Vastutav töötleja teeb kättesaadavat tehnoloogiat arvesse võttes mõistlikud jõupingutused selleks, et kontrollida sellistel juhtudel, et nõusoleku või loa on andnud isik, kellel on lapse suhtes vanemlik vastutus.

3.   Lõige 1 ei mõjuta liikmesriikide üldist lepinguõigust, näiteks õigusnorme, mis käsitlevad lapsega seotud lepingu kehtivust, koostamist ja mõju.

1.   Ilma et see piiraks artiklite 4–6 ja 10 kohaldamist, edastatakse isikuandmeid ainult liidus asuvale vastuvõtjale, kes ei ole liidu institutsioon või organ, kui:

2.   Juhul kui vastutav töötleja algatab käesoleva artikli kohase edastamise, tõendab ta, et isikuandmete edastamine on vajalik ja proportsionaalne edastamise eesmärkidega, kohaldades lõike 1 punktis a või b sätestatud kriteeriume.

3.   Liidu institutsioonid ja organid ühitavad õiguse isikuandmete kaitsele üldsuse õigusega pääseda juurde dokumentidele vastavalt liidu õigusele.

1.   Keelatud on töödelda isikuandmeid, millest ilmneb rassiline või etniline päritolu, poliitilised vaated, usulised või filosoofilised veendumused või ametiühingusse kuulumine, geneetilisi andmeid, füüsilise isiku kordumatuks tuvastamiseks kasutatavaid biomeetrilisi andmeid, terviseandmeid või andmeid füüsilise isiku seksuaalelu ja seksuaalse sättumuse kohta.

2.   Lõiget 1 ei kohaldata, kui kehtib üks järgmistest asjaoludest:

3.   Lõikes 1 osutatud isikuandmeid võib töödelda lõike 2 punktis h osutatud eesmärkidel, kui neid andmeid töötleb oma kutsetegevuse käigus isik, kellel on liidu või liikmesriigi õiguse või pädevate riiklike organite kehtestatud õigusnormide alusel ametisaladuse hoidmise kohustus või mõni muu isik, kellel on samuti liidu või liikmesriigi õiguse või pädevate riiklike organite kehtestatud õigusnormide alusel saladuse hoidmise kohustus, või kui neid andmeid töödeldakse sellise isiku vastutusel.

1.   Kui vastutav töötleja töötleb isikuandmeid eesmärkidel, mille puhul ei nõuta või enam ei nõuta andmesubjekti tuvastamist vastutava töötleja poolt, ei ole vastutav töötleja kohustatud säilitama, hankima ega töötlema lisateavet, et tuvastada andmesubjekt ainult käesoleva määruse järgimiseks.

2.   Kui vastutav töötleja on käesolevas artikli lõikes 1 osutatud juhtudel võimeline tõendama, et ta ei suuda andmesubjekti tuvastada, teavitab ta sellest võimaluse korral andmesubjekti. Sellistel juhtudel ei kohaldata artikleid 17–22, välja arvatud juhul, kui andmesubjekt esitab enda tuvastamist võimaldavat lisateavet, et kasutada nende artiklite kohaseid õigusi.

1.   Vastutav töötleja võtab asjakohased meetmed, et esitada andmesubjektile artiklites 15 ja 16 osutatud teave ning teavitada teda artiklite 17–24 ja 35 kohaselt isikuandmete töötlemisest kokkuvõtlikult, selgelt, arusaadavalt ning lihtsasti kättesaadavas vormis, kasutades selget ja lihtsat keelt, eelkõige konkreetselt lapsele suunatud teabe korral. Kõnealune teave esitatakse kirjalikult või muude vahendite abil, sealhulgas asjakohasel juhul elektrooniliselt. Kui andmesubjekt seda taotleb, võib teabe esitada suuliselt, tingimusel et andmesubjekti isikusamasust tõendatakse muude vahendite abil.

2.   Vastutav töötleja aitab kaasa artiklite 17–24 kohaste andmesubjekti õiguste kasutamisele. Artikli 12 lõikes 2 osutatud juhtudel ei keeldu vastutav töötleja meetmete võtmisest andmesubjekti taotlusel tema artiklite 17–24 kohaste õiguste kasutamiseks, välja arvatud juhul, kui vastutav töötleja tõendab, et ta ei suuda andmesubjekti tuvastada.

3.   Vastutav töötleja esitab andmesubjektile tarbetu viivituseta, kuid mitte hiljem kui ühe kuu jooksul pärast taotluse saamist teabe artiklite 17–24 kohase taotluse alusel võetud meetmete kohta. Seda ajavahemikku võib vajaduse korral pikendada kahe kuu võrra, võttes arvesse taotluste keerukust ja hulka. Vastutav töötleja teavitab andmesubjekti igast taolisest pikendamisest ja viivituse põhjustest ühe kuu jooksul alates taotluse saamisest. Kui andmesubjekt esitab taotluse elektrooniliselt, esitatakse ka teave võimaluse korral elektrooniliselt, kui andmesubjekt ei taotle teisiti.

4.   Kui vastutav töötleja ei võta meetmeid vastavalt andmesubjekti taotlusele, teatab ta andmesubjektile viivituseta ja hiljemalt ühe kuu jooksul alates taotluse saamisest meetmete võtmata jätmise põhjused ning selgitab talle võimalust esitada Euroopa Andmekaitseinspektorile kaebus ja kasutada õiguskaitsevahendeid.

5.   Artiklite 15 ja 16 kohase teabe esitamine ning artiklite 17–24 ja 35 kohane teavitamine ja meetmete võtmine on tasuta. Kui andmesubjekti taotlused on selgelt põhjendamatud või ülemäärased, eelkõige oma korduva iseloomu tõttu, võib vastutav töötleja keelduda taotletud toimingu tegemisest. Vastutaval töötlejal lasub kohustus tõendada, et taotlus on selgelt põhjendamatu või ülemäärane.

6.   Kui vastutaval töötlejal on põhjendatud kahtlused artiklites 17–23 osutatud taotlust esitava füüsilise isiku identiteedi suhtes, võib vastutav töötleja nõuda andmesubjekti isiku tuvastamiseks vajaliku täiendava teabe esitamist, piiramata seejuures artikli 12 kohaldamist.

7.   Andmesubjektidele artiklite 15 ja 16 kohaselt edastatava teabe võib anda koos standardsete ikoonide esitamisega, et anda kavandatavast töötlemisest selgelt nähtaval, arusaadaval ja loetaval viisil sisuline ülevaade. Kui ikoonid esitatakse elektrooniliselt, on need masinloetavad.

8.   Kui komisjon võtab määruse (EL) 2016/679 artikli 12 lõike 8 kohaselt vastu delegeeritud õigusaktid, millega määratakse kindlaks ikoonidega esitatav teave ja standardsete ikoonide esitamise kord, edastavad liidu institutsioonid ja organid võimaluse korral käesoleva määruse artiklite 15 ja 16 kohaselt teabe koos standardsete ikoonidega.

1.   Kui andmesubjektiga seotud isikuandmeid kogutakse andmesubjektilt, teeb vastutav töötleja isikuandmete saamise ajal andmesubjektile teatavaks kogu järgmise teabe:

2.   Peale lõikes 1 osutatud teabe esitab vastutav töötleja isikuandmete saamise ajal andmesubjektile järgmise täiendava teabe, mis on vajalik õiglase ja läbipaistva töötlemise tagamiseks:

3.   Kui vastutav töötleja kavatseb isikuandmeid edasi töödelda muul eesmärgil kui see, milleks isikuandmeid koguti, esitab vastutav töötleja andmesubjektile enne edasist isikuandmete töötlemist teabe kõnealuse muu eesmärgi kohta ja muu asjakohase lõikes 2 osutatud täiendava teabe.

4.   Lõikeid 1, 2 ja 3 ei kohaldata, kui ja sel määral, mil andmesubjektil on see teave juba olemas.

1.   Kui isikuandmed ei ole saadud andmesubjektilt, teeb vastutav töötleja andmesubjektile teatavaks järgmise teabe:

2.   Peale lõikes 1 osutatud teabe esitab vastutav töötleja andmesubjektile järgmise täiendava teabe, mis on vajalik andmesubjekti suhtes õiglase ja läbipaistva töötlemise tagamiseks:

3.   Vastutav töötleja esitab lõigetes 1 ja 2 osutatud teabe:

4.   Kui vastutav töötleja kavatseb isikuandmeid edasi töödelda muul eesmärgil kui see, milleks isikuandmeid koguti, esitab vastutav töötleja andmesubjektile enne isikuandmete edasist töötlemist teabe kõnealuse muu eesmärgi kohta ja muu asjakohase lõikes 2 osutatud täiendava teabe.

5.   Lõikeid 1–4 ei kohaldata, kui ja sel määral, mil:

6.   Lõike 5 punktis b osutatud juhtudel võtab vastutav töötleja asjakohased meetmed andmesubjekti õiguste, vabaduste ja õigustatud huvide kaitsmiseks, tehes sealhulgas teabe avalikult kättesaadavaks.

1.   Andmesubjektil on õigus saada vastutavalt töötlejalt kinnitus selle kohta, kas teda käsitlevaid isikuandmeid töödeldakse, ning sellisel juhul tutvuda isikuandmete ja järgmise teabega:

2.   Kui isikuandmeid edastatakse kolmandale riigile või rahvusvahelisele organisatsioonile, on andmesubjektil õigus olla teavitatud edastamisega seoses artikli 48 kohaselt kehtestatavatest asjakohastest kaitsemeetmetest.

3.   Vastutav töötleja esitab töödeldavate isikuandmete koopia. Kui andmesubjekt esitab taotluse elektrooniliselt, esitatakse ka teave üldkasutatavate elektrooniliste vahendite kaudu, kui andmesubjekt ei taotle teisiti.

4.   Lõikes 3 osutatud koopia saamise õigus ei tohi kahjustada teiste isikute õigusi ja vabadusi.

1.   Andmesubjektil on õigus nõuda, et vastutav töötleja kustutaks põhjendamatu viivituseta teda puudutavad isikuandmed, ja vastutav töötleja on kohustatud kustutama isikuandmed põhjendamatu viivituseta, kui kehtib üks järgmistest asjaoludest:

2.   Juhul kui vastutav töötleja on isikuandmed avalikustanud ja peab lõike 1 kohaselt isikuandmed kustutama, võtab vastutav töötleja kättesaadavat tehnoloogiat ja rakendamise kulusid arvestades tarvitusele mõistlikud abinõud, sealhulgas tehnilised meetmed, et teavitada kõnealuseid isikuandmeid töötlevaid vastutavaid töötlejaid või neid vastutavaid töötlejaid, kes ei ole liidu institutsioonid või organid, sellest, et andmesubjekt taotleb neilt kõnealustele isikuandmetele osutavate linkide või andmekoopiate või -korduste kustutamist.

3.   Lõikeid 1 ja 2 ei kohaldata sel määral, mil isikuandmete töötlemine on vajalik:

1.   Andmesubjektil on õigus nõuda vastutavalt töötlejalt isikuandmete töötlemise piiramist järgmistel juhtudel:

2.   Kui isikuandmete töötlemist on lõike 1 kohaselt piiratud, võib selliseid isikuandmeid töödelda (välja arvatud säilitamine) ainult andmesubjekti nõusolekul või õigusnõuete koostamiseks, esitamiseks või kaitsmiseks või teise füüsilise või juriidilise isiku õiguste kaitsmiseks või seoses liidu või liikmesriigi olulise avaliku huviga.

3.   Vastutav töötleja teavitab lõike 1 kohaselt isikuandmete töötlemise piiramist nõudnud andmesubjekti enne isikuandmete töötlemise piiramise lõpetamist.

4.   Automaatsetes andmete kogumites tagatakse isikuandmete töötlemise piiramine üldjuhul tehniliste vahenditega. Asjaolu, et isikuandmete suhtes kehtivad piirangud, tuleb süsteemis esitada selliselt, et nende kasutamise keeld oleks selge.

1.   Andmesubjektil on õigus saada teda puudutavaid isikuandmeid, mida ta on vastutavale töötlejale esitanud, struktureeritud, üldkasutatavas vormingus ning masinloetaval kujul ning õigus edastada need andmed teisele vastutavale töötlejale, ilma et vastutav töötleja, kellele kõnealused isikuandmed on esitatud, seda takistaks, kui:

2.   Kui andmesubjekt kasutab lõike 1 kohaselt andmete ülekandmise õigust, on tal õigus nõuda, et üks vastutav töötleja edastaks andmed otse teisele vastutavale töötlejale või vastutavatele töötlejatele, kes ei ole liidu institutsioonid või organid, kui see on tehniliselt teostatav.

3.   Käesoleva artikli lõikes 1 nimetatud õiguse kasutamine ei piira artikli 19 kohaldamist. Seda õigust ei kohaldata töötlemise suhtes, mis on vajalik avalikes huvides oleva ülesande täitmiseks või vastutava töötleja avaliku võimu teostamiseks.

4.   Lõikes 1 osutatud õigus ei tohi kahjustada teiste isikute õigusi ja vabadusi.

1.   Andmesubjektil on õigus oma konkreetsest olukorrast lähtudes esitada igal ajal vastuväiteid teda puudutavate isikuandmete töötlemise suhtes, mis toimub artikli 5 lõike 1 punkti a alusel, sealhulgas sellele sättele tugineva profiilianalüüsi suhtes. Vastutav töötleja ei töötle isikuandmeid edasi, välja arvatud juhul, kui vastutav töötleja tõendab, et neid töödeldakse mõjuval õiguspärasel põhjusel, mis kaalub üles andmesubjekti huvid, õigused ja vabadused, või õigusnõuete koostamise, esitamise või kaitsmise eesmärgil.

2.   Hiljemalt andmesubjekti esmakordsel teavitamisel juhitakse andmesubjekti tähelepanu selgesõnaliselt lõikes 1 osutatud õigusele ning vastav teave esitatakse selgelt ja eraldi igasugusest muust teabest.

3.   Infoühiskonna teenuste kasutamisega seoses võib andmesubjekt kasutada oma õigust esitada vastuväiteid, tehes seda automatiseeritud vahendite teel, mis põhinevad tehnilistel kirjeldustel, ilma et see piiraks artiklite 36 ja 37 kohaldamist.

4.   Kui isikuandmeid töödeldakse teadus- või ajaloouuringute või statistilisel eesmärgil, on andmesubjektil oma konkreetsest olukorrast lähtudes õigus esitada vastuväiteid teda puudutavate isikuandmete töötlemise suhtes, välja arvatud juhul, kui töötlemine on vajalik avalikes huvides oleva ülesande täitmiseks.

1.   Andmesubjektil on õigus mitte lasta teha enda suhtes otsust, mis põhineb üksnes automatiseeritud töötlusel, sealhulgas profiilianalüüsil, mis toob kaasa teda puudutavaid õiguslikke tagajärgi või avaldab talle märkimisväärset mõju.

2.   Lõiget 1 ei kohaldata, kui otsus:

3.   Lõike 2 punktides a ja c osutatud juhtudel rakendab vastutav töötleja asjakohaseid meetmeid, et kaitsta andmesubjekti õigusi ja vabadusi ning õigustatud huve, vähemalt õigust otsesele isiklikule kontaktile vastutava töötlejaga, et väljendada oma seisukohta ja vaidlustada otsus.

4.   Käesoleva artikli lõikes 2 osutatud otsused ei tohi põhineda artikli 10 lõikes 1 osutatud isikuandmete eriliikidel, välja arvatud juhul, kui kohaldatakse artikli 10 lõike 2 punkti a või g ning kehtestatud on asjakohased meetmed andmesubjekti õiguste, vabaduste ja õigustatud huvide kaitsmiseks.

1.   Artiklite 14–22, 35 ja 36 ning samuti artikli 4 kohaldamist võib piirata aluslepingute alusel vastu võetud õigusaktidega või liidu institutsioonide ja organite toimimisega seotud küsimuste puhul nende sise-eeskirjadega, kui selle sätted vastavad artiklites 14–22 sätestatud õigustele ja kohustustele, kui selline piirang austab põhiõiguste ja -vabaduste olemust ning on demokraatlikus ühiskonnas vajalik ja proportsionaalne meede, et tagada:

2.   Eelkõige peavad lõikes 1 osutatud õigusaktid või sise-eeskirjad sisaldama asjakohasel juhul konkreetseid sätteid järgmise kohta:

3.   Kui isikuandmeid töödeldakse teadus- ja ajaloouuringute või statistilisel eesmärgil, võib liidu õigusega, mis võib hõlmata liidu institutsioonide ja organite poolt nende toimimist puudutavates küsimustes kehtestatud sise-eeskirju, ette näha erandid artiklites 17, 18, 20 ja 23 osutatud õigustest, kui artiklis 13 osutatud tingimused on täidetud ja kaitsemeetmed kehtestatud, niivõrd kui sellised õigused võivad tõenäoliselt muuta võimatuks konkreetsete eesmärkide saavutamise või seda tõsiselt takistada ning sellised erandid on vajalikud nende eesmärkide täitmiseks.

4.   Kui isikuandmeid töödeldakse avalikes huvides toimuva arhiveerimise eesmärgil, võib liidu õigusega, mis võib hõlmata liidu institutsioonide ja organite poolt nende toimimist puudutavates küsimustes kehtestatud sise-eeskirju, ette näha erandid artiklites 17, 18, 20, 21, 22 ja 23 osutatud õigustest, kui artiklis 13 osutatud tingimused on täidetud ja kaitsemeetmed kehtestatud, niivõrd kui sellised õigused võivad tõenäoliselt muuta võimatuks konkreetsete eesmärkide saavutamise või seda tõsiselt takistada ning sellised erandid on vajalikud nende eesmärkide täitmiseks.

5.   Lõigetes 1, 3 ja 4 osutatud sise-eeskirjad peavad olema selged ja täpsed üldkohaldatavad õigusaktid, mille eesmärk on tekitada õiguslikke tagajärgi andmesubjektidele, mis on kehtestatud liidu institutsioonide ja organite kõrgeimal juhtimistasandil ning mis avaldatakse Euroopa Liidu Teatajas.

6.   Lõike 1 alusel kehtestatud piirangu korral tehakse andmesubjektile liidu õiguse kohaselt teatavaks piirangu kohaldamise peamised põhjused ning tema õigus esitada kaebus Euroopa Andmekaitseinspektorile.

7.   Kui lõike 1 alusel kehtestatud piirangule tuginedes ei anta andmesubjektile juurdepääsu andmetele, teeb Euroopa Andmekaitseinspektor kaebuse uurimisel talle teatavaks üksnes asjaolu, kas andmeid on töödeldud nõuetekohaselt, ning kui mitte, siis kas vajalikud parandused on tehtud.

8.   Käesoleva artikli lõigetes 6 ja 7 ning artikli 45 lõikes 2 osutatud teabe esitamist võib edasi lükata, ära jätta või sellest keelduda, kui käesoleva artikli lõike 1 alusel kehtestatud piirang kaotaks seeläbi oma mõju.

1.   Arvestades töötlemise laadi, ulatust, konteksti ja eesmärke, samuti füüsiliste isikute õigusi ja vabadusi ähvardavaid erineva tõenäosuse ja suurusega ohte, rakendab vastutav töötleja asjakohaseid tehnilisi ja korralduslikke meetmeid, et tagada ja suuta tõendada isikuandmete töötlemist kooskõlas käesoleva määrusega. Vajaduse korral vaadatakse need meetmed läbi ja ajakohastatakse neid.

2.   Kui see on proportsionaalne isikuandmete töötlemise toimingutega, hõlmavad lõikes 1 osutatud meetmed asjakohaste andmekaitsepõhimõtete rakendamist vastutava töötleja poolt.

3.   Vastutava töötleja kohustuste täitmise tõendamise elemendina võib kasutada määruse (EL) 2016/679 artiklis 42 osutatud heakskiidetud sertifitseerimismehhanismi järgimist.

1.   Võttes arvesse teaduse ja tehnoloogia viimast arengut ja rakendamise kulusid ning töötlemise laadi, ulatust, konteksti ja eesmärke, samuti töötlemisest tulenevaid füüsiliste isikute õigusi ja vabadusi ähvardavaid erineva tõenäosuse ja suurusega ohte, rakendab vastutav töötleja nii töötlemisvahendite kindlaksmääramisel kui ka isikuandmete töötlemise ajal asjakohaseid tehnilisi ja korralduslikke meetmeid, näiteks pseudonümiseerimist, mis on vajalikud andmekaitsepõhimõtete (näiteks võimalikult väheste andmete kogumine) tõhusaks rakendamiseks ja vajalike kaitsemeetmete lõimimiseks isikuandmete töötlemisse, et täita käesoleva määruse nõudeid ja kaitsta andmesubjektide õigusi.

2.   Vastutav töötleja rakendab asjakohaseid tehnilisi ja korralduslikke meetmeid, millega tagatakse, et vaikimisi töödeldakse ainult isikuandmeid, mis on vajalikud töötlemise konkreetse eesmärgi saavutamiseks. See kehtib kogutud isikuandmete hulga, nende töötlemise ulatuse, nende säilitamise aja ja nende kättesaadavuse suhtes. Nende meetmetega tagatakse eelkõige see, et isikuandmeid ei tehta vaikimisi ilma asjaomase isiku sekkumiseta määramata füüsiliste isikute ringile kättesaadavaks.

3.   Käesoleva artikli lõigetes 1 ja 2 sätestatud nõuete järgimise tõendamise elemendina võib kasutada määruse (EL) 2016/679 artikli 42 kohast heakskiidetud sertifitseerimismehhanismi.

1.   Kui kaks või enam vastutavat töötlejat või üks või enam vastutavat töötlejat koos ühe või enama vastutava töötlejaga, kes ei ole liidu institutsioonid või organid, määravad ühiselt kindlaks isikuandmete töötlemise eesmärgid ja vahendid, on nad kaasvastutavad töötlejad. Nad määravad kaasvastutava töötleja vastutusvaldkonna andmekaitsega seotud kohustuste täitmisel – eelkõige mis puudutab andmesubjekti õiguste kasutamist ja kaasvastutava töötleja kohustust esitada artiklites 15 ja 16 osutatud teavet – läbipaistval viisil kindlaks omavahelise kokkuleppega, välja arvatud juhul ja sel määral, mil vastutavate töötlejate vastavad vastutusvaldkonnad on kindlaks määratud vastutavate töötlejate suhtes kohaldatava liidu või liikmesriigi õigusega. Sellise kokkuleppe osana võib määrata andmesubjektide jaoks kontaktpunkti.

2.   Lõikes 1 osutatud kokkuleppes võetakse asjakohaselt arvesse kaasvastutava töötleja vastavaid rolle ja suhteid seoses andmesubjektidega. Kokkuleppe põhitingimused tehakse andmesubjektile teatavaks.

3.   Sõltumata lõikes 1 osutatud kokkuleppe tingimustest võib andmesubjekt kasutada oma käesoleva määruse kohaseid õigusi iga vastutava töötleja suhtes ja vastu.

1.   Kui andmeid töödeldakse vastutava töötleja nimel, kasutab vastutav töötleja ainult selliseid volitatud töötlejaid, kes annavad piisava tagatise, et nad rakendavad asjakohaseid tehnilisi ja korralduslikke meetmeid sellisel viisil, et töötlemine vastab käesoleva määruse nõuetele ja sealjuures tagatakse andmesubjekti õiguste kaitse.

2.   Volitatud töötleja ei kaasa teist volitatud töötlejat ilma vastutava töötleja eelneva konkreetse või üldise kirjaliku loata. Üldise kirjaliku loa korral teavitab volitatud töötleja vastutavat töötlejat kõigist kavandatavatest muudatustest, mis puudutavad teiste volitatud töötlejate lisamist või asendamist, andes seeläbi vastutavale töötlejale võimaluse esitada selliste muudatuste suhtes vastuväiteid.

3.   Volitatud töötleja töötleb andmeid volitatud töötlejat ja vastutavat töötlejat omavahel siduva lepingu või liidu või liikmesriigi õiguse kohase siduva õigusakti alusel, mis on volitatud töötleja suhtes siduv ning milles sätestatakse töötlemise sisu ja kestus, töötlemise laad ja eesmärk, isikuandmete liik ja andmesubjektide kategooriad, vastutava töötleja kohustused ja õigused. Kõnealuses lepingus või muus õigusaktis sätestatakse eelkõige see, et volitatud töötleja:

Esimese lõigu punkti h osas teavitab volitatud töötleja vastutavat töötlejat kohe, kui korraldus läheb tema arvates vastuollu käesoleva määruse või liikmesriigi või liidu muude andmekaitsealaste sätetega.

4.   Kui volitatud töötleja kaasab vastutava töötleja nimel konkreetsete isikuandmete töötlemise toimingute tegemiseks teise volitatud töötleja, nähakse lepingus või muus liidu või liikmesriigi õiguse kohases õigusaktis asjaomase teise volitatud töötleja suhtes ette samad andmekaitsekohustused, mis on sätestatud lõikes 3 osutatud vastutava töötleja ja volitatud töötleja vahelises lepingus või muus õigusaktis; eelkõige annab see piisava tagatise, et rakendatakse asjakohaseid tehnilisi ja korralduslikke meetmeid sellisel viisil, et töötlemine vastaks käesoleva määruse nõuetele. Kui see teine volitatud töötleja ei täida oma andmekaitsekohustusi, jääb algne volitatud töötleja vastutava töötleja ees täielikult vastutavaks kõnealuse teise volitatud töötleja kohustuste täitmise eest.

5.   Kui volitatud töötleja ei ole liidu institutsioon ega organ, võib tema poolt määruse (EL) 2016/679 artikli 40 lõikes 5 osutatud heakskiidetud toimimisjuhendite või määruse (EL) 2016/679 artiklis 42 osutatud heakskiidetud sertifitseerimismehhanismi järgimist kasutada elemendina selleks, et tõendada käesoleva artikli lõigetes 1 ja 4 osutatud piisavate tagatiste olemasolu.

6.   Ilma et see mõjutaks vastutava töötleja ja volitatud töötleja vahelist individuaalset lepingut, võib käesoleva artikli lõigetes 3 ja 4 osutatud leping või muu õigusliku toimega dokument põhineda täielikult või osaliselt käesoleva artikli lõigetes 7 ja 8 osutatud lepingu tüüptingimustel, sealhulgas kui need on osa volitatud töötlejale, kes ei ole liidu institutsioon ega organ, määruse (EL) 2016/679 artikli 42 kohaselt antud sertifikaadist.

7.   Komisjon võib sätestada lepingu tüüptingimused käesoleva artikli lõigetes 3 ja 4 osutatud küsimustes ja kooskõlas artikli 96 lõikes 2 osutatud kontrollimenetlusega.

8.   Euroopa Andmekaitseinspektor võib kehtestada lepingu tüüptingimused lõigetes 3 ja 4 osutatud küsimustes.

9.   Lõigetes 3 ja 4 osutatud leping või muu õigusliku toimega dokument peab olema kirjalik, sealhulgas elektroonilisel kujul.

10.   Kui volitatud töötleja määrab käesolevat määrust rikkudes andmete töötlemise eesmärgid ja vahendid, siis loetakse volitatud töötleja selle töötlemise suhtes vastutavaks töötlejaks, ilma et see piiraks artiklite 65 ja 66 kohaldamist.

1.   Iga vastutav töötleja registreerib tema vastutusel tehtavad isikuandmete töötlemise toimingud. Registreerimiskanne sisaldab järgmist teavet:

2.   Volitatud töötleja peab kõigi vastutava töötleja nimel tehtavate isikuandmete töötlemise toimingute kategooriate registrit, mis sisaldab järgmist teavet:

3.   Lõigetes 1 ja 2 osutatud registreerimine on kirjalik, sealhulgas elektrooniline.

4.   Taotluse korral teevad liidu institutsioonid ja organid registri kättesaadavaks Euroopa Andmekaitseinspektorile.

5.   Liidu institutsioonid ja asutused hoiavad töötlemistoiminguid käsitlevaid andmeid keskregistris, välja arvatud juhul, kui see on liidu institutsiooni või organi suurust arvestades sobimatu. Nad teevad registri avalikult kättesaadavaks.

1.   Võttes arvesse teaduse ja tehnoloogia viimast arengut ja rakendamise kulusid ning arvestades isikuandmete töötlemise laadi, ulatust, konteksti ja eesmärke, samuti erineva tõenäosuse ja suurusega ohte füüsiliste isikute õigustele ja vabadustele, rakendavad vastutav töötleja ja volitatud töötleja ohule vastava turvalisuse taseme tagamiseks asjakohaseid tehnilisi ja korralduslikke meetmeid, hõlmates muu hulgas vastavalt vajadusele järgmist:

2.   Vajaliku turvalisuse taseme hindamisel võetakse eelkõige arvesse isikuandmete töötlemisest tulenevaid ohte, eelkõige edastatavate, salvestatavate või muul viisil töödeldavate isikuandmete juhuslikku või ebaseaduslikku hävitamist, kaotsiminekut, muutmist ja loata avalikustamist või neile juurdepääsu.

3.   Vastutav töötleja ja volitatud töötleja võtavad meetmeid selleks, et tagada, et vastutava töötleja või volitatud töötleja volituse alusel tegutsevad isikud, kellel on juurdepääs isikuandmetele, ei töötle isikuandmeid vastutava töötleja juhisteta, välja arvatud juhul, kui liidu õigus neid selleks kohustab.

4.   Käesoleva artikli lõikes 1 sätestatud nõuete järgimise tõendamise elemendina võib kasutada määruse (EL) 2016/679 artiklis 42 osutatud heakskiidetud sertifitseerimismehhanismi järgimist.

1.   Isikuandmetega seotud rikkumise korral teatab vastutav töötleja isikuandmetega seotud rikkumisest Euroopa Andmekaitseinspektorile põhjendamatu viivituseta ja võimaluse korral 72 tunni jooksul pärast sellest teada saamist, välja arvatud juhul, kui rikkumine ei kujuta endast tõenäoliselt ohtu füüsiliste isikute õigustele ja vabadustele. Kui Euroopa Andmekaitseinspektorit teavitatakse hiljem kui 72 tunni jooksul, esitatakse teates selle kohta põhjendus.

2.   Volitatud töötleja teavitab vastutavat töötlejat põhjendamatu viivituseta pärast isikuandmetega seotud rikkumisest teada saamist.

3.   Lõikes 1 osutatud teates tuleb vähemalt:

4.   Juhul ja niivõrd, kui teavet ei ole võimalik esitada korraga, võib teabe esitada järk-järgult ilma põhjendamatu viivituseta.

5.   Vastutav töötleja teavitab andmekaitseametnikku isikuandmetega seotud rikkumisest.

6.   Vastutav töötleja dokumenteerib kõik isikuandmetega seotud rikkumised, sealhulgas isikuandmetega seotud rikkumise asjaolud, selle mõju ja võetud parandusmeetmed. Dokumendid võimaldavad Euroopa Andmekaitseinspektoril kontrollida käesolevas artiklis sätestatud nõuete täitmist.

1.   Kui isikuandmetega seotud rikkumine kujutab endast tõenäoliselt suurt ohtu füüsiliste isikute õigustele ja vabadustele, teavitab vastutav töötleja andmesubjekti põhjendamatu viivituseta isikuandmetega seotud rikkumisest.

2.   Andmesubjektile käesoleva artikli lõike 1 kohaselt esitatud teates kirjeldatakse selges ja lihtsas keeles isikuandmetega seotud rikkumise laadi ning esitatakse vähemalt artikli 34 lõike 3 punktides b, c ja d osutatud teave ja meetmed.

3.   Lõikes 1 osutatud andmesubjekti teavitamist ei nõuta juhul, kui on täidetud järgmised tingimused:

4.   Kui vastutav töötleja ei ole isikuandmetega seotud rikkumisest andmesubjekti veel teavitanud, võib Euroopa Andmekaitseinspektor pärast selle hindamist, kas isikuandmetega seotud rikkumine kujutab endast tõenäoliselt suurt ohtu, seda vastutavalt töötlejalt nõuda või otsustada, et esineb üks lõikes 3 osutatud tingimustest.

1.   Kasutajakataloogides sisalduvaid isikuandmeid ning juurdepääsu kasutajakataloogidele tuleb piirata määrani, mis on vältimatult vajalik kataloogi eriomaste ülesannete täitmiseks.

2.   Liidu institutsioonid ja organid võtavad kõik vajalikud meetmed, et takistada kasutajakataloogides sisalduvate isikuandmete kasutamist otseturunduse eesmärkidel, sõltumata sellest, kas kataloogid on üldsusele kättesaadavad või mitte.

1.   Kui teatavat tüüpi isikuandmete töötlemise, eelkõige uut tehnoloogiat kasutava töötlemise tulemusena ning isikuandmete töötlemise laadi, ulatust, konteksti ja eesmärke arvesse võttes tekib tõenäoliselt füüsiliste isikute õigustele ja vabadustele suur oht, hindab vastutav töötleja enne isikuandmete töötlemist kavandatavate isikuandmete töötlemise toimingute mõju isikuandmete kaitsele. Endast sarnast suurt ohtu kujutavaid sarnaseid isikuandmete töötlemise toiminguid võib hinnata koos.

2.   Vastutav töötleja küsib andmekaitsealase mõjuhinnangu tegemisel nõu andmekaitseametnikult.

3.   Lõikes 1 osutatud andmekaitsealase mõjuhinnangu tegemine on nõutav järgmistel juhtudel:

4.   Euroopa Andmekaitseinspektor koostab ja avalikustab selliste isikuandmete töötlemise toimingute tüüpide loetelu, mille suhtes kohaldatakse lõike 1 kohast nõuet teostada andmekaitsealane mõjuhinnang.

5.   Euroopa Andmekaitseinspektor võib samuti koostada ja avaldada selliste isikuandmete töötlemise toimingute tüüpide loetelu, mille puhul ei ole andmekaitsealane mõjuhinnang nõutav.

6.   Enne käesoleva artikli lõigetes 4 ja 5 osutatud loetelude kehtestamist taotleb Euroopa Andmekaitseinspektor loetelude kontrollimist määruse (EL) 2016/679 artikli 68 kohaselt loodud Euroopa Andmekaitsenõukogult vastavalt nimetatud määruse artikli 70 lõike 1 punktile e, kui loetelud viitavad töötlemistoimingutele vastutava töötleja poolt, kes tegutseb koos ühe või mitme vastutava töötlejaga, kes ei ole liidu institutsioonid või organid.

7.   Mõjuhinnang peab hõlmama vähemalt järgmist:

8.   Volitatud töötleja, kes ei ole liidu institutsioon ega organ, sooritatud isikuandmete töötlemise toimingute mõju hindamisel ning eelkõige andmekaitsealase mõjuhinnangu koostamisel võetakse asjakohaselt arvesse määruse (EL) 2016/679 artiklis 40 osutatud heakskiidetud toimimisjuhendite järgimist asjaomase volitatud töötleja poolt.

9.   Vajaduse korral küsib vastutav töötleja andmesubjektide või nende esindajate seisukohti kavandatava töötlemise kohta, ilma et see piiraks avalike huvide kaitset või isikuandmete töötlemise toimingute turvalisust.

10.   Kui artikli 5 lõike 1 punkti a või b kohase isikuandmete töötlemise õiguslik alus tuleneb aluslepingute alusel vastu võetud õigusaktist, mis reguleerib kõnealust konkreetset isikuandmete töötlemise toimingut või nende kogumit ning andmekaitsealane mõjuhinnang on enne kõnealuse õigusakti vastuvõtmist üldise mõjuhinnangu osana juba tehtud, siis käesoleva artikli lõikeid 1–6 ei kohaldata, välja arvatud juhul, kui kõnealuses õigusaktis on teisiti sätestatud.

11.   Vastutav töötleja hindab asjakohasel juhul ja vähemalt isikuandmete töötlemise toimingutest tuleneva ohu muutumise korral, kas isikuandmete töötlemine vastab andmekaitsealasele mõjuhinnangule.

1.   Vastutav töötleja konsulteerib enne andmete töötlemist Euroopa Andmekaitseinspektoriga, kui artikli 39 kohasest andmekaitsealasest mõjuhinnangust nähtub, et töötlemise tulemusena tekiks ohu leevendamise kaitsemeetmete ning turvameetmete ja -mehhanismide puudumisel suur oht füüsiliste isikute õigustele ja vabadustele, ning vastutav töötleja leiab, et seda ohtu ei ole olemasolevat tehnoloogiat ja rakendamiskulusid silmas pidades võimalik mõistlike meetmetega leevendada. Vastutav töötleja küsib eelneva konsulteerimise vajaduse kohta nõu andmekaitseametnikult.

2.   Kui Euroopa Andmekaitseinspektor on seisukohal, et lõikes 1 osutatud kavandatav isikuandmete töötlemine rikuks käesolevat määrust, eriti juhul, kui vastutav töötleja ei ole ohtu piisavalt kindlaks teinud või seda piisavalt leevendanud, siis annab Euroopa Andmekaitseinspektor hiljemalt kaheksa nädala jooksul alates konsulteerimise taotluse kättesaamisest vastutavale töötlejale ja asjakohasel juhul volitatud töötlejale kirjalikult nõu ja ta võib kasutada artiklis 58 osutatud õigusi. Seda tähtaega võib pikendada kuue nädala võrra, arvestades kavandatava isikuandmete töötlemise keerukust. Euroopa Andmekaitseinspektor teavitab pikendatud tähtaja kohaldamise korral vastutavat töötlejat ja asjakohasel juhul volitatud töötlejat kõigist sellistest pikendamistest, sealhulgas viivituse põhjustest, ühe kuu jooksul alates konsulteerimise taotluse kättesaamisest. Need tähtajad võib peatada seniks, kuni Euroopa Andmekaitseinspektor on saanud kogu teabe, mida ta on küsinud seoses konsulteerimisega.

3.   Euroopa Andmekaitseinspektoriga lõike 1 kohaselt konsulteerimisel esitab vastutav töötleja Euroopa Andmekaitseinspektorile järgmise teabe:

4.   Komisjon võib rakendusakti abil määrata kindlaks juhtumite loetelu, mille korral peavad vastutavad töötlejad konsulteerima Euroopa Andmekaitseinspektoriga ja saama temalt eelneva loa isikuandmete töötlemiseks vastutava töötleja poolt avalikes huvides täidetava ülesande raames, sealhulgas selliste isikuandmete töötlemiseks seoses sotsiaalkaitse ja rahvatervisega.

1.   Liidu institutsioonid ja organid teatavad Euroopa Andmekaitseinspektorile selliste isikuandmete töötlemisega seotud haldusmeetmete ja sise-eeskirjade koostamisest, mis hõlmavad liidu institutsiooni või organit kas eraldi või koos teistega.

2.   Liidu institutsioonid ja organid konsulteerivad artiklis 25 osutatud sise-eeskirjade koostamisel Euroopa Andmekaitseinspektoriga.

1.   Komisjon konsulteerib Euroopa Andmekaitseinspektoriga pärast seadusandliku akti ettepanekute vastuvõtmist, nõukogule vastavalt ELi toimimise lepingu artiklile 218 esitavate soovituste ja ettepanekute vastuvõtmist ning delegeeritud õigusaktide ja rakendusaktide ettevalmistamisel, kui need mõjutavad üksikisikute õiguste ja vabaduste kaitset isikuandmete töötlemisel.

2.   Kui lõikes 1 osutatud õigusakt on seoses isikuandmete töötlemisega üksikisikute õiguste ja vabaduste kaitse seisukohast eriti oluline, võib komisjon konsulteerida ka Euroopa Andmekaitsenõukoguga. Sellistel juhtudel koordineerivad Euroopa Andmekaitseinspektor ja Euroopa Andmekaitsenõukogu oma tegevust eesmärgiga esitada ühisarvamus.

3.   Lõigetes 1 ja 2 osutatud nõuanded esitatakse kirjalikult hiljemalt kaheksa nädala jooksul alates lõigetes 1 ja 2 osutatud konsulteerimise taotluse kättesaamisest. Komisjon võib tähtaega lühendada, kui asi on kiireloomuline või kui see on asjakohane muudel põhjustel.

4.   Käesolevat artiklit ei kohaldata, kui komisjon peab Euroopa Andmekaitsenõukoguga konsulteerima vastavalt määrusele (EL) 2016/679.

1.   Kõik liidu institutsioonid ja organid määravad andmekaitseametniku.

2.   Liidu institutsioonid ja organid võivad määrata mitme institutsiooni või organi peale ühe andmekaitseametniku olenevalt nende organisatsioonilisest struktuurist ja suurusest.

3.   Andmekaitseametniku määramisel lähtutakse tema kutseoskustest ja eelkõige eksperditeadmistest andmekaitsealase õiguse ja tavade kohta ning suutlikkusest täita artiklis 45 osutatud ülesandeid.

4.   Andmekaitseametnik peab olema liidu institutsiooni või organi koosseisuline töötaja. Liidu institutsioonid ja organid võivad oma suurust arvesse võttes ja juhul kui lõike 2 kohast valikut ei ole tehtud, määrata andmekaitseametniku, kes täidab oma ülesandeid teenuse osutamise lepingu alusel.

5.   Liidu institutsioonid ja organid avaldavad andmekaitseametniku kontaktandmed ning teatavad neist Euroopa Andmekaitseinspektorile.

1.   Liidu institutsioonid ja organid tagavad andmekaitseametniku nõuetekohase ja õigeaegse kaasamise kõikidesse isikuandmete kaitsega seotud küsimustesse.

2.   Liidu institutsioonid ja organid toetavad andmekaitseametnikku artiklis 45 osutatud ülesannete täitmisel, andes talle nende ülesannete täitmiseks ja eksperditeadmiste taseme hoidmiseks vajalikud vahendid ning juurdepääsu isikuandmetele ja isikuandmete töötlemise toimingutele.

3.   Liidu institutsioonid ja organid tagavad, et andmekaitseametnik ei saa kõnealuste ülesannete täitmise suhtes juhiseid. Vastutav töötleja või volitatud töötleja ei saa andmekaitseametnikku tema ülesannete täitmise eest ametist vabastada ega karistada. Andmekaitseametnik allub otse vastutava töötleja või volitatud töötleja kõrgeimale juhtimistasandile.

4.   Andmesubjektid võivad pöörduda andmekaitseametniku poole kõigis küsimustes, mis on seotud nende isikuandmete töötlemise ning nende käesolevast määrusest tulenevate õiguste kasutamisega.

5.   Andmekaitseametniku ning tema personali suhtes kehtib nende ülesannete täitmisel vastavalt liidu õigusele saladuse hoidmise või konfidentsiaalsuse nõue.

6.   Andmekaitseametnik võib täita muid ülesandeid ja kohustusi. Vastutav töötleja või volitatud töötleja tagab, et sellised ülesanded ja kohustused ei põhjusta huvide konflikti.

7.   Vastutav töötleja, volitatud töötleja, asjaomane personalikomitee ja iga üksikisik võib andmekaitseametnikuga väljaspool ametlikke kanaleid konsulteerida kõikides käesoleva määruse tõlgendamise või kohaldamisega seotud küsimustes. Keegi ei tohi kannatada seepärast, et ta juhtis pädeva andmekaitseametniku tähelepanu käesoleva määruse sätete väidetavale rikkumisele.

8.   Andmekaitseametnik määratakse ametisse kolmeks kuni viieks aastaks ning teda võib ametisse tagasi nimetada. Andmekaitseametniku ametisse määranud liidu institutsioon või organ võib andmekaitseametniku ametikohalt vabastada, kui ta ei vasta enam oma tööülesannete täitmiseks vajalikele tingimustele ja üksnes Euroopa Andmekaitseinspektori nõusolekul.

9.   Andmekaitseametniku ametisse määranud liidu institutsioon või organ registreerib andmekaitseametniku pärast ametisse määramist Euroopa Andmekaitseinspektori juures.

1.   Andmekaitseametnikul on järgmised ülesanded:

2.   Andmekaitseametnik võib esitada vastutavale töötlejale ja volitatud töötlejale andmekaitse parandamiseks praktilisi soovitusi ning anda neile andmekaitset käsitlevate sätete kohaldamist käsitlevates küsimustes nõu. Lisaks võib ta omal algatusel või vastutava töötleja või volitatud töötleja, asjaomase personalikomitee või üksikisiku taotlusel uurida tema kohustustega otseselt seotud ning talle teatavaks saanud küsimusi ja juhtumeid ja anda tulemuste kohta aru uurimise taotlejale, vastutavale töötlejale või volitatud töötlejale.

3.   Kõik liidu institutsioonid ja organid kehtestava täiendava andmekaitseametnikku käsitleva rakenduseeskirja. Rakenduseeskiri hõlmab eelkõige andmekaitseametniku tööülesandeid, kohustusi ja volitusi.

1.   Isikuandmeid võib kolmandale riigile või rahvusvahelisele organisatsioonile edastada siis, kui komisjon on teinud määruse (EL) 2016/679 artikli 45 lõike 3 või direktiivi (EL) 2016/680 artikli 36 lõike 3 kohaselt otsuse, et kolmas riik, kolmanda riigi territoorium või kolmanda riigi üks või mitu kindlaksmääratud sektorit või rahvusvaheline organisatsioon tagab isikuandmete kaitse piisava taseme, ning isikuandmeid edastatakse üksnes vastutava töötleja pädevusse kuuluvate ülesannete täitmiseks.

2.   Liidu institutsioonid ja organid teavitavad komisjoni ja Euroopa Andmekaitseinspektorit juhtudest, mil kolmas riik, kolmanda riigi territoorium või selle üks või mitu kindlaksmääratud sektorit või asjaomane rahvusvaheline organisatsioon ei taga nende arvates nõuetekohasel tasemel kaitset lõike 1 tähenduses.

3.   Kui komisjon leiab määruse (EL) 2016/679 artikli 45 lõike 3 või 5 või direktiivi (EL) 2016/680 artikli 36 lõike 3 või 5 kohaselt, et kolmas riik, kolmanda riigi territoorium või selle üks või mitu kindlaksmääratud sektorit või rahvusvaheline organisatsioon tagab või ei taga enam nõuetekohasel tasemel kaitset, võtavad liidu institutsioonid ja organid komisjoni otsuste täitmiseks vajalikud meetmed.

1.   Määruse (EL) 2016/679 artikli 45 lõike 3 või direktiivi (EL) 2016/680 artikli 36 lõike 3 kohase otsuse puudumisel võib vastutav töötleja või volitatud töötleja edastada isikuandmeid kolmandale riigile või rahvusvahelisele organisatsioonile üksnes juhul, kui vastutav töötleja või volitatud töötleja on võtnud asjakohased kaitsemeetmed ning tingimusel, et andmesubjektide kohtulikult kaitstavad õigused ja tõhusad õiguskaitsevahendid on kättesaadavad.

2.   Lõikes 1 osutatud asjakohased kaitsemeetmed võib ilma Euroopa Andmekaitseinspektorilt eriluba taotlemata ette näha:

3.   Euroopa Andmekaitseinspektori loal võib lõikes 1 osutatud asjakohased kaitsemeetmed ette näha ka eelkõige:

4.   Euroopa Andmekaitseinspektori poolt määruse (EÜ) nr 45/2001 artikli 9 lõike 7 alusel antud load jäävad kehtima, kuni Euroopa Andmekaitseinspektor neid vajaduse korral muudab, need asendab või need kehtetuks tunnistab.

5.   Liidu institutsioonid ja organid teavitavad Euroopa Andmekaitseinspektorit juhtumite liikidest, mille puhul on käesolevat artiklit kohaldatud.

1.   Kui ei ole tehtud otsust vastavalt määruse (EL) 2016/679 artikli 45 lõikele 3 või direktiivi (EL) 2016/680 artikli 36 lõikele 3 või puuduvad käesoleva määruse artikli 48 kohased piisavad kaitsemeetmed, on isikuandmete ühekordne või korduv edastamine kolmandale riigile või rahvusvahelisele organisatsioonile lubatud ainult ühel järgmistest tingimustest:

2.   Lõike 1 punkte a, b ja c ei kohaldata avalikku võimu teostavate liidu institutsioonide ja asutuste tegevuse suhtes.

3.   Lõike 1 punktis d osutatud avalik huvi peab olema tunnustatud liidu õiguses.

4.   Lõike 1 esimese lõigu punkti g kohane edastamine ei hõlma kõiki registris sisalduvaid isikuandmeid ega kõiki isikuandmete liike, välja arvatud juhul, kui see on liidu õigusega lubatud. Kui register on ette nähtud tutvumiseks õigustatud huviga isikutele, toimub edastamine vaid nende isikute taotlusel või juhul, kui nemad on vastuvõtjad.

5.   Kaitse piisavuse otsuse puudumise korral võib avalikust huvist tulenevatel kaalukatel põhjustel liidu õigusega selgesõnaliselt seada piirangud eri liiki isikuandmete edastamiseks kolmandale riigile või rahvusvahelisele organisatsioonile.

6.   Liidu institutsioonid ja organid teavitavad Euroopa Andmekaitseinspektorit juhtumite liikidest, mille puhul on käesolevat artiklit kohaldatud.

1.   Käesolevaga luuakse Euroopa Andmekaitseinspektori ametikoht.

2.   Euroopa Andmekaitseinspektor vastutab selle eest, et liidu institutsioonid ja organid tagaksid isikuandmete töötlemisel füüsiliste isikute põhiõigused ja -vabadused, eelkõige nende õiguse andmete kaitsele.

3.   Euroopa Andmekaitseinspektori ülesanne on jälgida ja tagada, et kohaldataks käesoleva määruse ning teiste liidu õigusaktide sätteid, mis käsitlevad füüsiliste isikute põhiõiguste ja -vabaduste kaitsmist isikuandmete töötlemisel liidu institutsioonides või organites, samuti liidu institutsioonide ja organite ning andmesubjektide nõustamine kõikides isikuandmete töötlemisega seotud küsimustes. Selleks täidab Euroopa Andmekaitseinspektor artiklis 57 sätestatud ülesandeid ja kasutab talle artikliga 58 antud volitusi.

4.   Euroopa Andmekaitseinspektori valduses olevate dokumentide suhtes kohaldatakse määrust (EÜ) nr 1049/2001. Euroopa Andmekaitseinspektor kehtestab üksikasjalikud eeskirjad määruse (EÜ) nr 1049/2001 kohaldamiseks seoses nende dokumentidega.

1.   Euroopa Andmekaitseinspektori nimetavad ametisse Euroopa Parlament ja nõukogu ühisel kokkuleppel viieks aastaks, lähtudes komisjoni poolt pärast avalikku kandideerimiskutset koostatud nimekirjast. Kandideerimiskutse võimaldab esitada taotluse kõikidel huvitatud isikutel üle kogu liidu. Komisjoni koostatud kandidaatide nimekiri on avalik ja koosneb vähemalt kolmest kandidaadist. Komisjoni koostatud nimekirja alusel võib Euroopa Parlamendi pädev komisjon korraldada kuulamise, et teha oma valik.

2.   Lõikes 1 osutatud kandidaatide nimekiri koosneb isikutest, kelle sõltumatus on väljaspool kahtlust ning kelle puhul tunnustatakse Euroopa Andmekaitseinspektori ülesannete täitmiseks vajalike eksperditeadmiste, kogemuste ja oskuste olemasolu.

3.   Euroopa Andmekaitseinspektorit võib ühe korra uuesti ametisse nimetada.

4.   Euroopa Andmekaitseinspektori ülesannete täitmine lõpeb järgmistel asjaoludel:

5.   Euroopa Kohus võib Euroopa Andmekaitseinspektori Euroopa Parlamendi, nõukogu või komisjoni taotlusel ametist vabastada või pensioni ja muude seda asendavate soodustuste saamise õigusest ilma jätta, kui ta ei vasta enam oma ülesannete täitmiseks vajalikele tingimustele või kui ta leitakse olevat süüdi tõsistes rikkumises.

6.   Ametiaja korralise lõppemise ja vabatahtliku ametist lahkumise korral jääb Euroopa Andmekaitseinspektor ametisse seniks, kuni ametisse on määratud uus andmekaitseinspektor.

7.   Euroopa Andmekaitseinspektori suhtes kohaldatakse Euroopa Liidu privileegide ja immuniteetide protokolli artikleid 11–14 ja 17.

1.   Euroopa Andmekaitseinspektorit käsitletakse töötasu, lisatasude, vanaduspensioni ja muude töötasu asemel antavate soodustuste määramisel nagu Euroopa Kohtu kohtunikke.

2.   Eelarvepädevad institutsioonid tagavad, et Euroopa Andmekaitseinspektorile antakse tema ülesannete täitmiseks vajalikud inimressursid ja rahalised vahendid.

3.   Euroopa Andmekaitseinspektori eelarve esitatakse liidu üldeelarve halduskuludega seotud jaos eraldi rubriigis.

4.   Euroopa Andmekaitseinspektorit abistab sekretariaat. Sekretariaadi ametnikud ja muud töötajad nimetab ametisse Euroopa Andmekaitseinspektor ning nad alluvad Euroopa Andmekaitseinspektorile. Nad alluvad üksnes tema juhtimisele. Nende arv määratakse igal aastal kindlaks eelarvemenetluse käigus. Euroopa Andmekaitseinspektori töötajatele, kes täidavad Euroopa Andmekaitsenõukogule liidu õigusega antud ülesandeid, kohaldatakse määruse (EL) 2016/679 artikli 75 lõiget 2.

5.   Euroopa Andmekaitseinspektori sekretariaadi ametnike ja muude töötajate suhtes kohaldatakse liidu ametnike ja muude teenistujate suhtes kohaldatavaid õigusnorme ja määrusi.

6.   Euroopa Andmekaitseinspektori ametikoht asub Brüsselis.

1.   Euroopa Andmekaitseinspektor tegutseb talle käesoleva määrusega kooskõlas antud ülesannete täitmisel ja volituste kasutamisel täiesti sõltumatult.

2.   Euroopa Andmekaitseinspektor peavad olema oma käesoleva määrusega kooskõlas olevate ülesannete täitmisel ja volituste kasutamisel vaba nii otsestest kui ka kaudsetest välistest mõjutustest ning ei küsi ega võta vastu juhiseid mitte kelleltki.

3.   Euroopa Andmekaitseinspektor hoidub oma kohustustega kokkusobimatust tegevusest ega tööta oma ametiaja jooksul ühelgi muul tasustatud või tasustamata ametikohal.

4.   Euroopa Andmekaitseinspektor käitub pärast oma ametiaja lõppu ametikohti ja soodustusi vastu võttes väärikalt ning diskreetselt.

1.   Ilma et see piiraks muude käesolevas määruses sätestatud ülesannete täitmist, täidab Euroopa Andmekaitseinspektor järgmisi ülesandeid:

2.   Lõike 1 punktis e osutatud kaebuste esitamise lihtsustamiseks kehtestab Euroopa Andmekaitseinspektor kaebuse esitamise vormi, mida saab täita ka elektrooniliselt, ilma et see välistaks muude sidevahendite kasutamist.

3.   Euroopa Andmekaitseinspektor täidab oma ülesandeid andmesubjekti jaoks tasuta.

4.   Kui taotlused on selgelt põhjendamatud või ülemäärased, eelkõige oma korduva iseloomu tõttu, võib Euroopa Andmekaitseinspektor keelduda taotlust menetlemast. Euroopa Andmekaitseinspektor on kohustatud tõendama taotluse selgelt põhjendamatut või ülemäärast iseloomu.

1.   Euroopa Andmekaitseinspektoril on järgmised uurimisvolitused:

2.   Euroopa Andmekaitseinspektoril on järgmised parandusvolitused:

3.   Euroopa Andmekaitseinspektoril on järgmised lubavad ja nõuandvad õigused:

4.   Euroopa Andmekaitseinspektoril on aluslepingutes sätestatud tingimustel õigus edastada asi arutamiseks Euroopa Kohtule ning sekkuda Euroopa Kohtule esitatud hagide arutamisse.

5.   Euroopa Andmekaitseinspektorile käesoleva artikli kohaselt antud volituste kasutamise suhtes kohaldatakse asjakohaseid kaitsemeetmeid, sealhulgas tõhusat õiguskaitsevahendit ja nõuetekohast menetlust, mis on sätestatud liidu õiguses.

1.   Euroopa Andmekaitseinspektor esitab igal aastal Euroopa Parlamendile, nõukogule ja komisjonile oma tegevuse kohta aruande ning samaaegselt ka avaldab selle.

2.   Euroopa Andmekaitseinspektor edastab lõikes 1 osutatud aruande teistele liidu institutsioonidele ja asutustele, kes võivad avaldada arvamust seoses aruande võimaliku läbivaatamisega Euroopa Parlamendis.

1.   Kui liidu õigusakt osutab käesolevale artiklile, teevad Euroopa Andmekaitseinspektor ja riiklikud järelevalveasutused – tegutsedes igaüks oma pädevuste piires – oma ülesannete raames aktiivset koostööd, et tagada suuremahuliste IT-süsteemide ja liidu organite ja asutuste tõhus järelevalve.

2.   Tegutsedes igaüks oma pädevuse piires ja oma ülesannete raames, vahetavad nad vastavalt vajadusele asjakohast teavet, abistavad üksteist auditite ja kontrollide tegemisel, analüüsivad käesoleva määruse ja teiste kohaldatavate liidu õigusaktide tõlgendamisel või kohaldamisel tekkivaid raskusi, uurivad sõltumatu järelevalve või andmesubjekti õiguste teostamisega seotud probleeme, koostavad ühtlustatud ettepanekuid probleemide lahendamiseks ja suurendavad teadlikkust andmekaitseõigustest.

3.   Lõikes 2 sätestatud eesmärkidel kohtub Euroopa Andmekaitseinspektor riiklike järelevalveasutustega Euroopa Andmekaitsenõukogu raames vähemalt kaks korda aastas. Selleks võib Euroopa Andmekaitsenõukogu vajaduse korral töötada välja täiendavad töömeetodid.

4.   Euroopa Andmekaitsenõukogu esitab iga kahe aasta tagant Euroopa Parlamendile, nõukogule ja komisjonile koordineeritud järelevalvet käsitleva ühisaruande.

1.   Ilma et see piiraks kohtulike, halduslike või kohtuväliste kaitsevahendite kohaldamist, on igal andmesubjektil õigus esitada Euroopa Andmekaitseinspektorile kaebus, kui andmesubjekt leiab, et teda puudutavate isikuandmete töötlemine rikub käesolevat määrust.

2.   Euroopa Andmekaitseinspektor teavitab kaebuse esitajat kaebuse menetlemise käigust ja tulemusest, sealhulgas artikli 64 kohasest õiguskaitsevahendi kasutamise võimalusest.

3.   Kui Euroopa Andmekaitseinspektor ei vaata kaebust läbi või ei teavita andmesubjekti kolme kuu jooksul esitatud kaebuse menetlemise käigust või tulemustest, loetakse, et Euroopa Andmekaitseinspektor on teinud kaebuse rahuldamata jätmise otsuse.

1.   Kõikide käesoleva määruse sätetega seotud vaidluste, sealhulgas kahjunõuete lahendamine kuulub Euroopa Kohtu pädevusse.

2.   Kaebused Euroopa Andmekaitseinspektori otsuste, sealhulgas artikli 63 lõike 3 kohaste otsuste peale esitatakse Euroopa Kohtule.

3.   Euroopa Kohtul pädevus vaadata läbi artiklis 66 osutatud trahve on piiramatu. Ta võib tühistada, vähendada või suurendada neid trahve artiklis 66 sätestatud piirides.

1.   Euroopa Andmekaitseinspektor võib määrata liidu institutsioonile või asutusele trahvi sõltuvalt konkreetse juhtumi asjaoludest, kui liidu institutsioon või asutus ei suuda täita artikli 58 lõike 2 punktides d–h ja punktis j osutatud Euroopa Andmekaitseinspektori korraldust. Otsustades igal konkreetsel juhul trahvi määramise ja selle suuruse üle, pööratakse asjakohast tähelepanu järgmisele:

2.   Artiklitest 8, 12, 27–35, 39, 40, 43, 44 ja 45 tulenevate liidu institutsiooni või asutuse kohustuste rikkumise suhtes kohaldatakse vastavalt käesoleva artikli lõikele 1 trahve, mille suurus on kuni 25 000 eurot rikkumise kohta ning aastas kokku kuni 250 000 eurot.

3.   Järgmiste sätete rikkumise suhtes liidu institutsiooni või asutuse poolt kohaldatakse vastavalt lõikele 1 trahve, mille suurus on kuni 50 000 eurot rikkumise kohta ja aastas kokku kuni 500 000 eurot:

4.   Kui liidu institutsioon või asutus rikub samade või seotud või jätkuvate isikuandmete töötlemise toimingute puhul mitut käesoleva määruse sätet või käesoleva määruse sama sätet mitu korda, ei ületa trahvi kogusumma summat, mis on sätestatud seoses raskeima rikkumisega.

5.   Enne otsuse tegemist käesoleva artikli alusel annab Euroopa Andmekaitseinspektor liidu institutsioonile või asutusele, kelle suhtes Euroopa Andmekaitseinspektor on menetluse algatanud, võimaluse olla ära kuulatud küsimustes, mille kohta Euroopa Andmekaitseinspektor on teinud etteheiteid. Euroopa Andmekaitseinspektori otsused toetuvad üksnes sellistele etteheidetele, mille kohta asjaomastel osapooltel on olnud võimalik esitada oma seisukoht. Kaebuste esitajad võtavad menetlusest aktiivselt osa.

6.   Menetluse käigus tagatakse täielikult asjaomaste osapoolte õigus kaitsele. Neil on õigus nõuda juurdepääsu Euroopa Andmekaitseinspektori toimikule tingimusel, et võetakse arvesse üksikisikute ja ettevõtjate õigustatud huvi kaitsta oma isikuandmeid ja ärisaladusi.

7.   Käesoleva artikli alusel määratud trahvidega kogutud summad kantakse liidu üldeelarvesse.

1.   Kasutatavate isikuandmete osas tagatakse, et:

2.   Isikuandmete töötlemine sama või muu vastutava töötleja poolt muul liidu organi või asutuse asutamist käsitlevas õigusaktis sätestatud eesmärgil kui eesmärk, milleks kasutatavaid isikuandmeid kogutakse, on lubatud niivõrd, kuivõrd

3.   Isikuandmete töötlemine sama või muu vastutava töötleja poolt võib hõlmata avalikes huvides arhiveerimist või teaduslikku, statistilist või ajaloolist kasutamist liidu organi või asutuse asutamist käsitlevas õigusaktis sätestatud eesmärkidel, tingimusel et andmesubjekti õiguste ja vabaduste kaitseks kohaldatakse asjakohaseid kaitsemeetmeid.

4.   Vastutav töötleja vastutab lõigete 1, 2 ja 3 täitmise eest ja on võimeline nende täitmist tõendama.

1.   Kasutatavate isikuandmete töötlemine on õiguspärane üksnes sellisel juhul ja sel määral, kui see on vajalik teatava ülesande täitmiseks liidu organite ja asutuste tegevustes, mis jäävad ELi toimimise lepingu kolmanda osa V jaotise 4. ja 5. peatüki kohaldamisalasse, ning tugineb liidu õigusele.

2.   Liidu eriõigusaktides, millega reguleeritakse isikuandmete töötlemist käesoleva peatüki kohaldamisalas, täpsustatakse vähemalt töötlemise eesmärgid, töödeldavad kasutatavad isikuandmed, töötlemise üldised eesmärgid ning tähtajad kasutatavate isikuandmete säilitamiseks või nende edasise säilitamise vajaduse korrapäraseks läbivaatamiseks.

1.   Vastutav töötleja eristab võimalikult suures ulatuses faktidel põhinevaid kasutatavaid isikuandmeid isiklikel hinnangutel põhinevatest kasutatavatest isikuandmetest.

2.   Vastutav töötleja võtab kõik mõistlikud meetmed tagamaks, et ebaõigeid, mittetäielikke või aegunud kasutatavaid isikuandmeid ei edastata ega tehta kättesaadavaks. Selleks kontrollib vastutav töötleja – kui see on võimalik ja vajalik – enne kasutatavate isikuandmete edastamist või kättesaadavaks tegemist nende kvaliteeti, näiteks konsulteerides pädeva asutusega, kust andmed pärinevad. Kasutatavate isikuandmete edastamisel lisab vastutav töötleja võimaluse korral vajaliku teabe, mis võimaldab vastuvõtjal hinnata kasutatavate isikuandmete õigsust, täielikkust, usaldusväärsust ja ajakohasust.

3.   Kui ilmneb, et edastatud on ebaõigeid kasutatavaid isikuandmeid või kasutatavaid isikuandmeid on edastatud ebaseaduslikult, teavitatakse vastuvõtjat sellest viivitamata. Sellisel juhul tuleb kasutatavad isikuandmed kooskõlas artikliga 82 parandada, kustutada või nende töötlemist piirata.

1.   Kui andmeid edastavale vastutavale töötlejale kohaldatavad liidu õigusaktid näevad ette töötlemise eritingimused, teavitab vastutav töötleja selliste kasutatavate isikuandmete vastuvõtjat nendest tingimustest ja kohustusest neid järgida.

2.   Vastutav töötleja täidab töötlemise eritingimusi, mille isikuandmeid edastav pädev asutus on ette näinud kooskõlas direktiivi (EL) 2016/680 artikli 9 lõigetega 3 ja 4.

1.   Selliste kasutatavate isikuandmete töötlemine, millest ilmneb rassiline või etniline päritolu, poliitilised vaated, usulised või filosoofilised veendumused või ametiühingusse kuulumine, ning füüsilise isiku kordumatuks tuvastamiseks kasutatavate geneetiliste ja biomeetriliste andmete ja tervist või seksuaalelu või seksuaalset sättumust käsitlevate kasutatavate isikuandmete töötlemine on lubatud üksnes siis, kui see on operatiivsetel eesmärkidel möödapääsmatult vajalik, töötlemine toimub asjaomase liidu organi või asutuse pädevuse piires ning kohaldatakse andmesubjekti õiguste ja vabaduste kaitsmiseks asjakohaseid kaitsemeetmeid. Füüsiliste isikute diskrimineerimine kõnealuste isikuandmete põhjal on keelatud.

2.   Andmekaitseametnikku teavitatakse põhjendamatu viivituseta käesoleva artikli kohaldamisest.

1.   Keelatud on teha üksnes automatiseeritud töötlusel, sealhulgas profiilianalüüsil põhinevaid otsuseid, millel on andmesubjektile kahjulikud õiguslikud tagajärjed või märkimisväärne mõju, välja arvatud juhul, kui see on lubatud vastutava töötleja suhtes kohaldatava liidu õigusega, mis sisaldab piisavaid kaitsemeetmeid andmesubjekti õiguste ja vabaduste tagamiseks vähemalt õigust vastutava töötleja isiklikule sekkumisele.

2.   Käesoleva artikli lõikes 1 osutatud otsused ei tohi põhineda artiklis 76 osutatud isikuandmete eriliikidel, välja arvatud juhul, kui rakendatakse sobivaid meetmeid andmesubjekti õiguste, vabaduste ja õigustatud huvide kaitsmiseks.

3.   Profiilianalüüs, mille tulemusel füüsilisi isikuid diskrimineeritakse artiklis 76 osutatud isikuandmete eriliikide alusel, on liidu õiguse kohaselt keelatud.

1.   Vastutav töötleja võtab mõistlikke meetmeid, et esitada andmesubjektile artiklis 79 osutatud kogu teave ning teavitada teda seoses artiklitega 80–84 ja 92 isikuandmete töötlemisest, tehes seda kokkuvõtlikul, arusaadaval ja hõlpsasti kättesaadava kujul ning selges ja lihtsas sõnastuses. Nimetatud teave esitatakse asjakohaste vahendite abil, sealhulgas elektrooniliselt. Üldreeglina esitab vastutav töötleja teabe taotlusega samal kujul.

2.   Vastutav töötleja aitab andmesubjektil kasutada tema õigusi vastavalt artiklitele 79–84.

3.   Vastutav töötleja vastab andmesubjektile kirjalikult põhjendamatu viivituseta ja vähemalt kolme kuu jooksul pärast viimaselt taotluse saamist.

4.   Vastutav töötleja esitab artikli 79 kohast teavet ning teavitab artiklite 80–84 ning 92 alusel toimunud suhtlusest või võetud meetmetest tasuta. Kui andmesubjekti taotlused on selgelt põhjendamatud või ülemäärased, eelkõige oma korduva iseloomu tõttu, võib vastutav töötleja keelduda taotluse alusel toimingu tegemisest. Vastutaval töötlejal lasub kohustus tõendada, et taotlus on selgelt põhjendamatu või ülemäärane.

5.   Kui vastutaval töötlejal on põhjendatud kahtlused artiklis 80 või 82 osutatud taotlust esitava füüsilise isiku isikusamasuse suhtes, võib vastutav töötleja nõuda andmesubjekti isiku tuvastamiseks vajaliku täiendava teabe esitamist.

1.   Vastutav töötleja teeb andmesubjektile kättesaadavaks vähemalt järgmise teabe:

2.   Lisaks lõikes 1 osutatud teabele annab vastutav töötleja selleks, et andmesubjektil oleks võimalik oma õigusi teostada, talle liidu õiguses ette nähtud erijuhtudel järgmise täiendava teabe:

3.   Vastutav töötleja võib andmesubjektile lõike 2 kohaselt teabe esitamist edasi lükata, piirata või teabe esitamata jätta sellises ulatuses ja selle ajani, mil selline meede on demokraatlikus ühiskonnas asjaomase füüsilise isiku põhiõigusi ja õigustatud huve nõuetekohaselt arvestades vajalik ja proportsionaalne, selleks et:

1.   Vastutav töötleja võib andmesubjekti isikuandmetega tutvumise õigust täielikult või osaliselt piirata sellises ulatuses ja määral, mil selline piiramine on demokraatlikus ühiskonnas asjaomase füüsilise isiku põhiõigusi ja õigustatud huve nõuetekohaselt arvestades vajalik ja proportsionaalne, selleks et:

2.   Lõikes 1 osutatud juhtudel teavitab vastutav töötleja andmesubjekti põhjendamatu viivituseta kirjalikult juurdepääsu andmisest keeldumisest või juurdepääsu piiramisest ja keeldumise või piiramise põhjustest. Sellist teavet ei pea andma, kui selle andmine kahjustaks mõnda lõike 1 kohast eesmärki. Vastutav töötleja teavitab andmesubjekti võimalusest esitada kaebus Euroopa andmekaitseinspektorile või pöörduda Euroopa Kohtusse. Vastutav töötleja dokumenteerib otsuse faktilised ja õiguslikud alused. See teave tehakse vastava taotluse korral Euroopa Andmekaitseinspektorile kättesaadavaks.

1.   Andmesubjektil on õigus nõuda, et vastutav töötleja parandaks põhjendamatu viivituseta teda puudutavad ebaõiged kasutatavad isikuandmed. Võttes arvesse töötlemise eesmärke, on andmesubjektil õigus nõuda mittetäielike kasutatavate isikuandmete täiendamist, sealhulgas täiendava õiendi esitamise teel.

2.   Vastutav töötleja kustutab kasutatavad isikuandmed põhjendamatu viivituseta ja andmesubjektil on õigus nõuda vastutavalt töötlejalt oma kasutatavate isikuandmete kustutamist põhjendamatu viivituseta, kui isikuandmete töötlemisega rikutakse artiklit 71, artikli 72 lõiget 1 või artiklit 76, või kui kasutatavad isikuandmed tuleb kustutada vastutava töötleja õiguslikult siduva kohustuse täitmiseks.

3.   Isikuandmete kustutamise asemel piirab vastutav töötleja nende töötlemist, kui:

Juhul kui isikuandmete töötlemine on esimese lõigu punkti a kohaselt piiratud, teavitab vastutav töötleja andmesubjekti enne isikuandmete töötlemise piirangu kõrvaldamist.

Töötlemispiirangutega andmeid töödeldakse üksnes sel eesmärgil, mis takistas nende kustutamist.

4.   Vastutav töötleja teavitab andmesubjekti kirjalikult, kui ta keeldub kasutatavate isikuandmete parandamisest või kustutamisest või nende töötlemise piiramisest ning esitab keeldumise põhjused. Vastutav töötleja võib sellise teabe esitamise kohustust täielikult või osaliselt piirata määral, mil selline piirang on demokraatlikus ühiskonnas asjaomase füüsilise isiku põhiõigusi ja õigustatud huve nõuetekohaselt arvestades vajalik ja proportsionaalne, selleks et:

Vastutav töötleja teavitab andmesubjekti võimalusest esitada kaebus Euroopa andmekaitseinspektorile või pöörduda Euroopa Kohtusse.

5.   Vastutav töötleja teavitab ebaõigete kasutatavate isikuandmete parandamisest pädevat asutust, kellelt ebaõiged kasutatavad isikuandmed pärinesid.

6.   Juhul kui kasutatavaid isikuandmeid on lõike 1, 2 või 3 kohaselt parandatud, kustutatud või nende töötlemist on piiratud, teavitab vastutav töötleja sellest vastuvõtjaid ning vastuvõtjad peavad nende vastutuse alla kuuluvad kasutatavad isikuandmed parandama või kustutama või piirama nende töötlemist.

1.   Artikli 79 lõikes 3, artiklis 81 ja artikli 82 lõikes 4 osutatud juhtudel võib andmesubjekt teostada oma õigusi ka Euroopa Andmekaitseinspektori kaudu.

2.   Vastutav töötleja teavitab andmesubjekti võimalusest teostada vastavalt lõikele 1 oma õigusi Euroopa Andmekaitseinspektori kaudu.

3.   Lõikes 1 osutatud õiguse kasutamise korral teavitab Euroopa Andmekaitseinspektor andmesubjekti vähemalt sellest, et ta on läbi viinud kõik vajalikud kontrollid või läbivaatuse. Euroopa Andmekaitseinspektor teavitab ühtlasi andmesubjekti tema õigusest pöörduda õiguskaitse saamiseks Euroopa Kohtusse.

1.   Vastutav töötleja rakendab – võttes sealjuures arvesse teaduse ja tehnoloogia uusimaid saavutusi ja rakendamise kulusid ning isikuandmete töötlemise laadi, ulatust, konteksti ja eesmärke, samuti isikuandmete töötlemisest tulenevaid erineva tõenäosuse ja suurusega ohtusid füüsiliste isikute õigustele ja vabadustele – nii isikuandmete töötlemise vahendite kindlaksmääramisel kui ka isikuandmete töötlemise ajal asjakohaseid tehnilisi ja korralduslikke meetmeid, näiteks pseudonümiseerimine, mis on vajalikud andmekaitsepõhimõtete, näiteks võimalikult väheste andmete kogumise põhimõtte tõhusaks rakendamiseks ja vajalike kaitsemeetmete lõimimiseks isikuandmete töötlemisse, et täita käesoleva määruse ja tema asutamist käsitleva õigusakti nõudeid ning kaitsta andmesubjektide õigusi.

2.   Vastutav töötleja rakendab asjakohaseid tehnilisi ja korralduslikke meetmeid, millega tagatakse, et vaikimisi töödeldakse ainult kasutatavaid isikuandmeid, mis on asjakohased ja vajalikud töötlemise eesmärgi saavutamiseks ega ole ülemäärased. Nimetatud kohustus kehtib kogutud kasutatavate isikuandmete hulga, töötlemise ulatuse, säilitamise aja ja nende kättesaadavuse suhtes. Eelkõige tagatakse selliste meetmetega, et kasutatavaid isikuandmeid ei tehta vaikimisi kättesaadavaks määramata arvule füüsilistele isikutele ilma asjaomase isiku sekkumiseta.

1.   Kui kaks või enam vastutavat töötlejat või üks või enam vastutavat töötlejat koos ühe või enama vastutava töötlejaga, kes ei ole liidu institutsioonid või asutused, määravad ühiselt kindlaks isikuandmete töötlemise eesmärgid ja vahendid, on nad kaasvastutavad töötlejad. Nad määravad kaasvastutava töötleja vastutusvaldkonna andmekaitsega seotud kohustuste täitmisel – eelkõige mis puudutab andmesubjekti õiguste kasutamist ja kaasvastutava töötleja kohustust esitada artiklis 79 osutatud teavet – läbipaistval viisil kindlaks omavahelise kokkuleppega, välja arvatud juhul ja sel määral, mil kaasvastutavate töötlejate vastavad vastutusvaldkonnad on kindlaks määratud kaasvastutavate töötlejate suhtes kohaldatava liidu või liikmesriigi õigusega. Sellise kokkuleppega võib määrata andmesubjektide jaoks kontaktpunkti.

2.   Lõikes 1 osutatud kokkuleppes võetakse asjakohaselt arvesse kaasvastutavate töötlejate vastavaid rolle ja suhteid seoses andmesubjektidega. Kokkuleppe põhitingimused tehakse andmesubjektile teatavaks.

3.   Sõltumata lõikes 1 osutatud kokkuleppe tingimustest võib andmesubjekt kasutada oma käesoleva määruse kohaseid õigusi iga vastutava töötleja suhtes ja vastu.

1.   Kui andmeid töödeldakse vastutava töötleja nimel, kasutab vastutav töötleja ainult selliseid volitatud töötlejaid, kes annavad piisava tagatise, et nad rakendavad asjakohaseid tehnilisi ja korralduslikke meetmeid sellisel viisil, et töötlemine vastab käesoleva määruse nõuetele ja vastutava töötleja asutamist käsitlevale õigusaktile ning sealjuures tagatakse andmesubjekti õiguste kaitse.

2.   Volitatud töötleja ei kaasa teist volitatud töötlejat ilma vastutava töötleja eelneva konkreetse või üldise kirjaliku loata. Üldise kirjaliku loa korral teavitab volitatud töötleja vastutavat töötlejat kõigist kavandatavatest muudatustest, mis puudutavad teiste volitatud töötlejate lisamist või asendamist, andes seeläbi vastutavale töötlejale võimaluse esitada selliste muudatuste suhtes vastuväiteid.

3.   Andmeid töödeldakse lepingu või muu liidu või liikmesriigi õigusakti alusel, mis on volitatud töötlejale vastutava töötleja suhtes siduv ning milles sätestatakse töötlemise sisu ja kestus, töötlemise laad ja eesmärk, kasutatavate isikuandmete liik ja andmesubjektide kategooriad ning vastutava töötleja kohustused ja õigused. Asjaomases lepingus või muus õigusaktis sätestatakse eelkõige, et volitatud töötleja:

4.   Lõikes 3 osutatud leping või siduv õigusakt peab olema kirjalik, sealhulgas elektroonilisel kujul.

5.   Kui volitatud töötleja rikub isikuandmete töötlemise eesmärkide ja vahendite määramisel käesoleva määruse või vastutava töötleja asutamist käsitleva õigusakti sätteid, siis loetakse volitatud töötlejat selle töötlemise suhtes vastutavaks töötlejaks.

1.   Vastutav töötleja peab logisid kõigi järgmiste töötlemistoimingute kohta automatiseeritud töötlemissüsteemides: kasutatavate isikuandmete kogumine, muutmine, nendele juurdepääs, nendega tutvumine, avalikustamine, sealhulgas edastamine, ühendamine ja kustutamine. Tutvumist ja avalikustamist kajastavad logifailid peavad võimaldama teha kindlaks nimetatud toimingute põhjenduse, kuupäeva ja aja, samuti kasutatavate isikuandmetega tutvunud ja need avalikustanud isiku ning võimaluse korral selliste kasutatavate isikuandmete vastuvõtjate nimed.

2.   Logifaile kasutatakse üksnes kasutatavate isikuandmete töötlemise toimingute seaduslikkuse kontrollimiseks, siseseireks, kasutatavate isikuandmete terviklikkuse ja turvalisuse tagamiseks ning kriminaalmenetluses. Logifailid kustutatakse kolme aasta pärast, välja arvatud juhul, kui neid vajatakse pideva seire huvides.

3.   Vastutav töötleja teeb kõnealused logifailid kättesaadavaks oma andmekaitseinspektorile ja taotluse korral Euroopa Andmekaitseinspektorile.

1.   Kui teatavat tüüpi töötlemise, eelkõige uut tehnoloogiat kasutava töötlemise tulemusena ning töötlemise laadi, ulatust, konteksti ja eesmärke arvesse võttes tekib füüsiliste isikute õigustele ja vabadustele tõenäoliselt suur oht, hindab vastutav töötleja enne isikuandmete töötlemist kavandatavate töötlemistoimingute mõju kasutatavate isikuandmete kaitsele.

2.   Lõikes 1 osutatud hindamine hõlmab vähemalt kavandatud töötlemistoimingute üldkirjeldust, andmesubjektide õigusi ja vabadusi ähvardavate ohtude hinnangut, nende ohtude käsitlemiseks kavandatud meetmeid, kaitsemeetmeid, turvameetmeid ja mehhanisme, mis tagavad kasutatavate isikuandmete kaitse ja tõendavad kooskõla andmekaitsenormidega, võttes arvesse andmesubjektide ja teiste asjaomaste isikute õigusi ja õigustatud huve.

1.   Vastutav töötleja konsulteerib Euroopa Andmekaitseinspektoriga enne, kui ta hakkab töötlema isikuandmeid, mis kantakse uude loodavasse andmete kogumisse, kui:

2.   Euroopa Andmekaitseinspektor võib koostada loetelu isikuandmete töötlemise toimingutest, mille suhtes kohaldatakse lõikes 1 sätestatud eelnevat konsulteerimist.

3.   Vastutav töötleja esitab Euroopa Andmekaitseinspektorile artiklis 89 osutatud andmekaitsealase mõjuhinnangu ja taotluse korral ka muu teabe, mille alusel Euroopa Andmekaitseinspektor saab hinnata isikuandmete töötlemise vastavust nõuetele ning eelkõige andmesubjekti kasutatavate isikuandmete kaitset ähvardavaid ohtusid ja nendega seotud kaitsemeetmeid.

4.   Kui Euroopa Andmekaitseinspektor leiab, et käesoleva artikli lõikes 1 osutatud kavandatava isikuandmete töötlemisega rikutaks käesolevat määrust või liidu organi või asutuse asutamist käsitlevat õigusakti, eelkõige juhul, kui vastutav töötleja ei ole riske piisaval määral tuvastanud või leevendanud, annab Euroopa Andmekaitseinspektor hiljemalt kuue nädala jooksul alates konsulteerimistaotluse saamisest vastutavale töötlejale kirjalikult nõu. Seda tähtaega võib pikendada ühe kuu võrra, arvestades kavandatud isikuandmete töötlemise keerukust. Euroopa Andmekaitseinspektor teavitab vastutavat töötlejat tähtaja pikendamisest ühe kuu jooksul alates konsulteerimistaotluse saamisest ning teatab tähtaja pikendamise põhjused.

1.   Vastutav töötleja ja volitatud töötleja rakendavad ohule vastava turvalisuse taseme tagamiseks asjakohaseid tehnilisi ja korralduslikke meetmeid, eelkõige seoses kasutatavate isikuandmete eriliikide töötlemisega, võttes seejuures arvesse teaduse ja tehnoloogia uusimaid saavutusi ja rakendamise kulusid ning isikuandmete töötlemise laadi, ulatust, konteksti ja eesmärke, samuti erineva tõenäosuse ja suurusega ohtusid füüsiliste isikute õigustele ja vabadustele.

2.   Vastutav töötleja ja volitatud töötleja rakendavad automatiseeritud andmetöötluse suhtes pärast ohuhindamist meetmeid, mille eesmärk on:

1.   Isikuandmetega seotud rikkumise korral teatab vastutav töötleja isikuandmetega seotud rikkumisest Euroopa Andmekaitseinspektorile põhjendamatu viivituseta ja võimaluse korral 72 tunni jooksul pärast sellest teada saamist, välja arvatud juhul, kui rikkumine ei kujuta endast tõenäoliselt ohtu füüsiliste isikute õigustele ja vabadustele. Kui Euroopa Andmekaitseinspektorit teavitatakse hiljem kui 72 tunni jooksul, esitatakse teates viivituse kohta põhjendus.

2.   Lõikes 1 osutatud teates tuleb esitada vähemalt järgmine teave:

3.   Juhul ja niivõrd, kuivõrd kogu lõikes 2 osutatud teavet ei ole võimalik esitada korraga, võib teabe esitada järk-järgult ilma põhjendamatu viivituseta.

4.   Vastutav töötleja dokumenteerib kõik lõikes 1 osutatud isikuandmetega seotud rikkumised, sealhulgas rikkumise asjaolud, mõju ja võetud parandusmeetmed. Need dokumendid peavad võimaldama Euroopa Andmekaitseinspektoril kontrollida käesolevas artiklis sätestatud nõuete täitmist.

5.   Kui kasutatavate isikuandmetega seotud rikkumine puudutab isikuandmeid, mis on edastatud teise liikmesriigi vastutava töötleja poolt või teise liikmesriigi vastutavale töötlejale, edastab vastutav töötleja lõikes 2 osutatud teabe põhjendamatu viivituseta asjaomasele pädevale asutusele.

1.   Kui isikuandmetega seotud rikkumine kujutab endast tõenäoliselt suurt ohtu füüsiliste isikute õigustele ja vabadustele, teavitab vastutav töötleja andmesubjekti põhjendamatu viivituseta isikuandmetega seotud rikkumisest.

2.   Andmesubjektile käesoleva artikli lõike 1 kohaselt esitatud teates kirjeldatakse selges ja lihtsas keeles isikuandmetega seotud rikkumise laadi ning esitatakse vähemalt artikli 92 lõike 2 punktides b, c ja d sätestatud teave ja soovitused.

3.   Lõikes 1 osutatud andmesubjekti teavitamist ei nõuta juhul, kui on täidetud mõni järgmistest tingimustest:

4.   Kui vastutav töötleja ei ole andmesubjekti isikuandmetega seotud rikkumisest veel teavitanud, võib Euroopa Andmekaitseinspektor pärast selle hindamist, kas isikuandmetega seotud rikkumine võib põhjustada suurt ohtu, seda vastutavalt töötlejalt nõuda või otsustada, et täidetud on üks lõikes 3 osutatud tingimustest.

5.   Artikli 79 lõikes 3 osutatud tingimustel ja alustel võib andmesubjektile käesoleva artikli lõikes 1 osutatud teabe esitada hiljem või piiratud ulatuses või jätta see esitamata.

1.   Arvestades liidu organi või asutuse asutamist käsitlevas õigusaktis sätestatud piiranguid ja tingimusi, võib vastutav töötleja edastada kasutatavaid isikuandmeid kolmanda riigi asutusele või rahvusvahelisele organisatsioonile, kui see on vajalik vastutava töötleja ülesannete täitmiseks ja ainult juhul, kui on täidetud käesolevas artiklis sätestatud tingimused, nimelt:

2.   Liidu organite ja asutuste asutamist käsitleva õigusaktiga võib säilitada või kehtestada konkreetsemad sätted kasutatavate isikuandmete rahvusvahelise edastamise tingimuste kohta, eelkõige seoses isikuandmete edastamisega piisavate kaitsemeetmete ja konkreetsetes olukordades kasutatavate erandite alusel.

3.   Vastutav töötleja avaldab oma veebisaidil loetelu lõike 1 punktis a osutatud kaitse piisavuse otsustest, lepingutest, halduskokkulepetest ja teistest vahenditest, mis seonduvad isikuandmete edastamisega vastavalt lõikele 1, ja ajakohastab seda.

4.   Vastutav töötleja dokumenteerib üksikasjalikult kõik käesoleva artikli kohased edastamised.

1.   Komisjoni abistab komitee, mis on loodud määruse (EL) 2016/679 artikli 93 alusel. Nimetatud komitee on komitee määruse (EL) nr 182/2011 tähenduses.

2.   Käesolevale lõikele viitamisel kohaldatakse määruse (EL) nr 182/2011 artiklit 5.

1.   Hiljemalt 30. aprilliks 2022 vaatab komisjon läbi aluslepingute alusel vastu võetud õigusaktid, mis reguleerivad kasutatavate isikuandmete töötlemist liidu organite ja asutuste poolt tegevustes, mis jäävad ELi toimimise lepingu kolmanda osa V jaotise 4. või 5. peatüki kohaldamisalasse, et

2.   Selleks et tagada füüsiliste isikute ühetaoline ja järjepidev kaitse isikuandmete töötlemisel, võib komisjon esitada asjakohaseid seadusandlikke ettepanekuid, eelkõige käesoleva määruse IX peatüki kohaldamiseks Europoli ja Euroopa Prokuratuuri suhtes, ja vajaduse korral käesoleva määruse IX peatüki muutmiseks.

1.   Käesolev määrus ei mõjuta Euroopa Parlamendi ja nõukogu otsust 2014/886/EL (20) ja Euroopa Andmekaitseinspektori ning inspektori asetäitja praegust ametiaega.

2.   Inspektori asetäitja on töötasu, lisatasude, vanaduspensioni ja muude töötasu asemel antavate soodustuste määramisel võrdne Euroopa Kohtu kohtusekretäriga.

3.   Käesoleva määruse artikli 53 lõikeid 4, 5 ja 7 ning artikleid 55 ja 56 kohaldatakse praeguse inspektori asetäitja suhtes kuni tema ametiaja lõpuni.

4.   Inspektori asetäitja aitab Euroopa Andmekaitseinspektorit kõigi tema ülesannete täitmisel ning asendab Euroopa Andmekaitseinspektorit, kui ta ei ole kohal või ei saa neid ülesandeid täita, kuni praeguse inspektori asetäitja ametiaja lõppemiseni.

1.   Käesolev määrus jõustub kahekümnendal päeval pärast selle avaldamist Euroopa Liidu Teatajas.

2.   Isikuandmete töötlemisele Eurojustis kohaldatakse käesolevat määrust alates 12. detsembri 2019.