---
title: "Регламент N 45/2001 Европейского парламента и Совета Европейского Союза"
number: "45/2001"
issuer: "Европейский Союз"
status: утратил силу
canonical: "https://bukva.ai/docs/reglament-452001"
---

## Регламент N 45/2001 Европейского парламента и Совета Европейского Союза

"О защите физических лиц при обработке персональных данных, осуществляемой учреждениями и органами Сообщества, и о свободном обращении таких данных" [рус., англ.]

(Принят в г. Брюсселе 18.12.2000)

(с изм. и доп. от 26.06.2007)

> [!WARNING]
> Документ утратил силу с 11 декабря 2018 года в соответствии с [Регламентом](https://bukva.ai/docs/reglament-20181725/statya-99#p101017) Европейского парламента и Совета Европейского Союза от 23.10.2018 N 2018/1725.
> Данная редакция документа вступила в силу 1 февраля 2001 года (официальный сайт законодательства Европейского Союза http://eur-lex.europa.eu/ по состоянию на 14.04.2017). Россия не участвует.


<a id="p100001"></a>[неофициальный перевод] <*>

<a id="p100002"></a>**ЕВРОПЕЙСКИЙ СОЮЗ**

<a id="p100003"></a>**РЕГЛАМЕНТ N 45/2001**
**ЕВРОПЕЙСКОГО ПАРЛАМЕНТА И СОВЕТА ЕС**
**О ЗАЩИТЕ ФИЗИЧЕСКИХ ЛИЦ ПРИ ОБРАБОТКЕ ПЕРСОНАЛЬНЫХ**
**ДАННЫХ, ОСУЩЕСТВЛЯЕМОЙ УЧРЕЖДЕНИЯМИ И ОРГАНАМИ СООБЩЕСТВА,**
И О СВОБОДНОМ ОБРАЩЕНИИ ТАКИХ ДАННЫХ <**>

<div align="center">

<a id="p100004"></a>(Брюссель, 18 декабря 2000 года)

</div>


<a id="p100005"></a>(текст Регламента в редакции поправок 45/2001 <***>)


<a id="p100006"></a>

---

<a id="p100007"></a><*> Перевод Проничевой Е.Ю.
<a id="p100008"></a><**> Regulation (EC) No 45/2001 of the European Parliament and of the Council of 18 December 2000 on the protection of individuals with regard to the processing of personal data by the Community institutions and bodies and on the free movement of such data. Опубликован в Официальном журнале (далее - ОЖ) N L 8, 12.1.2001, стр. 1.
<a id="p100009"></a><***> ОЖ N L 164, 26.6.2007, стр. 36.

<a id="p100010"></a>Европейский парламент и Совет Европейского Союза,
<a id="p100011"></a>руководствуясь Договором об учреждении Европейского сообщества и, в частности, статьей 286 Договора,
<a id="p100012"></a>на основании предложения Европейской комиссии <*>,

<a id="p100013"></a>

---

<a id="p100014"></a><*> ОЖ N C 376E, 28.12.1999, стр. 24.

<a id="p100015"></a>руководствуясь Заключением Европейского комитета по экономическим и социальным вопросам <*>,

<a id="p100016"></a>

---

<a id="p100017"></a><*> ОЖ N C 51, 23.2.2000, стр. 48.

<a id="p100018"></a>действуя в соответствии с процедурой, установленной в статье 251 Договора <*>,

<a id="p100019"></a>

---

<a id="p100020"></a><*> Заключение Европейского парламента от 14 ноября 2000 г. и Решение Совета ЕС от 30 ноября 2000 г.

<a id="p100021"></a>принимая во внимание следующие обстоятельства:
1) <a id="p100022"></a>Статья 286 Договора предусматривает применение к учреждениям и органам Сообщества нормативных актов Сообщества о защите физических лиц при обработке персональных данных и о свободном обращении таких данных.
2) <a id="p100023"></a>Законченная система защиты персональных данных требует установления не только прав субъектов, которым принадлежат такие данные, и обязанностей тех, кто обрабатывает персональные данные, но и соответствующих санкций для правонарушителей, а также требует введения мониторинга со стороны независимого надзорного органа.
3) <a id="p100024"></a>Статья 286 (2) Договора предусматривает создание независимого надзорного органа, ответственного за мониторинг применения соответствующих нормативных актов Сообщества к учреждениям и органам Сообщества.
4) <a id="p100025"></a>Статья 286 (2) Договора предусматривает принятие при необходимости иных положений в соответствующей сфере.
5) <a id="p100026"></a>Для того чтобы предоставить физическим лицам юридически обеспеченные права, чтобы конкретизировать обязанности контролирующих лиц при обработке персональных данных в учреждениях и органах Сообщества, а также для того чтобы создать независимый надзорный орган, ответственный за мониторинг обработки персональных данных учреждениями и органами Сообщества, необходим соответствующий Регламент.
6) <a id="p100027"></a>Были проведены консультации с Рабочей группой по защите физических лиц при обработке персональных данных, созданной в соответствии со [статьей 29](https://bukva.ai/docs/direktiva-9546es/statya-29#p100338) Директивы Европейского парламента и Совета ЕС 95/46/ЕС от 24 октября 1995 г. о защите физических лиц при обработке персональных данных и о свободном обращении таких данных <*>.

<a id="p100028"></a>

---

<a id="p100029"></a><*> ОЖ N L 281, 23.11.1995, стр. 31.

7) <a id="p100030"></a>Защите подлежат те лица, чьи персональные данные при любых обстоятельствах обрабатываются учреждениями и органами Сообщества, например, в связи с тем, что они являются работниками указанных учреждений или органов.
8) <a id="p100031"></a>Принципы защиты персональных данных должны применяться к любой информации относительно идентифицированного или идентифицируемого лица. Чтобы определить, является ли лицо идентифицируемым, следует учесть все средства, которые объективно могут быть использованы как контролирующим лицом, так и любым другим лицом для того, чтобы провести соответствующую идентификацию. Принципы защиты персональных данных не применяются по отношению к анонимным данным, если уже невозможно определить лицо, которому принадлежат такие данные.
9) <a id="p100032"></a>[Директива](https://bukva.ai/docs/direktiva-9546es/statya-1) 95/46/ЕС требует от государств-членов ЕС обеспечить защиту основных прав и свобод физических лиц, и, в частности, их права на неприкосновенность частной жизни в сфере обработки персональных данных, в целях обеспечения свободного обращения персональных данных в Сообществе.
10) <a id="p100033"></a>Директива Европейского парламента и Совета ЕС 97/66/ЕС от 15 декабря 1997 г. об обработке персональных данных и о защите права на неприкосновенность частной жизни в телекоммуникационном секторе <*> конкретизирует и дополняет [Директиву](https://bukva.ai/docs/direktiva-9546es/statya-1) 95/46/ЕС применительно к обработке персональных данных в телекоммуникационном секторе.

<a id="p100034"></a>

---

<a id="p100035"></a><*> ОЖ N L 24, 30.1.1998, стр. 1.

11) <a id="p100036"></a>Различные иные меры Сообщества, включая меры, касающиеся взаимодействия национальных властей и Европейской комиссии, также предназначены для того, чтобы конкретизировать и дополнять [Директиву](https://bukva.ai/docs/direktiva-9546es/statya-1) 95/46/ЕС в соответствующих сферах.
12) <a id="p100037"></a>В Сообществе должно обеспечиваться последовательное и единообразное применение правил, направленных на защиту основных прав и свобод человека в сфере обработки персональных данных.
13) <a id="p100038"></a>Целью является обеспечение как эффективного соблюдения правил, касающихся защиты основных прав и свобод человека, так и свободного обращения персональных данных между государствами-членами ЕС и учреждениями и органами Сообщества либо между учреждениями и органами Сообщества для целей, связанных с исполнением соответствующих полномочий.
14) <a id="p100039"></a>В этих целях должны быть приняты меры, обязательные для учреждений и органов Сообщества. Указанные меры должны применяться ко всем операциям по обработке персональных данных во всех учреждениях и органах Сообщества постольку, поскольку указанная обработка данных проводится при осуществлении деятельности, полностью или частично подпадающей под действие законодательства Сообщества.
15) <a id="p100040"></a>Если указанная обработка данных проводится учреждениями или органами Сообщества при осуществлении деятельности, не подпадающей под действие настоящего Регламента, в частности, той, что указана в разделах V и VI Договора об учреждении Европейского Союза, защита основных прав и свобод человека должна обеспечиваться с учетом статьи 6 Договора об учреждении Европейского Союза. Доступ к документам, в том числе, условия доступа к документам, содержащим персональные данные, регулируются правилами, принятыми на основании статьи 255 Договора об учреждении ЕС, под действие которой подпадают разделы V и VI Договора об учреждении Европейского Союза.
16) <a id="p100041"></a>Указанные меры не применяются к органам, учрежденным не в рамках Сообщества, кроме того, Уполномоченный по надзору за защитой персональных данных на территории Европейского сообщества не вправе осуществлять мониторинг обработки персональных данных указанными органами.
17) <a id="p100042"></a>Эффективность защиты физических лиц при обработке персональных данных в Европейском Союзе предполагает согласованность соответствующих правил и процедур, применяемых к видам деятельности, относящимся к различным правовым контекстам. Развитие основных принципов защиты персональных данных в сфере правовой взаимопомощи по уголовным делам, в сфере полицейского и таможенного взаимодействия, а также учреждение секретариата для общих надзорных органов, учрежденных Конвенцией о Европоле, Конвенцией об использовании информационных технологий в таможенных целях и Шенгенской [конвенцией](https://bukva.ai/docs/konventsiya-o-primenenii-shengenskogo/statya-1), представляют собой первый шаг в этом направлении.
18) <a id="p100043"></a>Настоящий Регламент не должен влиять на права и обязанности государств-членов ЕС, предусмотренные Директивами [95/46/ЕС](https://bukva.ai/docs/direktiva-9546es/statya-1) и 97/66/ЕС. Он не предназначен для того, чтобы изменить существующие процедуры и сложившуюся практику, законно имплементированные государствами-членами ЕС в сфере национальной безопасности, предотвращения беспорядков или предотвращения, выявления, расследования преступлений, а также судопроизводства по ним в соответствии с [Протоколом](https://bukva.ai/docs/protokol-7-evropeyskiy-soyuz-es/statya-1) о привилегиях и иммунитетах Европейских сообществ и международным правом.
19) <a id="p100044"></a>Учреждения и органы Сообщества должны уведомлять уполномоченные органы государств-членов ЕС, если придут к выводу о том, что коммуникации по их телекоммуникационным сетям должны быть приостановлены с соблюдением соответствующих национальных положений.
20) <a id="p100045"></a>Положения, применяемые к учреждениям и органам Сообщества, должны соответствовать положениям, принятым в связи с гармонизацией национального законодательства или имплементацией иных направлений политики Сообщества, в частности, в сфере взаимодействия. Однако может возникнуть необходимость конкретизировать и дополнить указанные положения, в целях обеспечения защиты физических лиц при обработке персональных данных учреждениями и органами Сообщества.
21) <a id="p100046"></a>Это касается также прав физических лиц, чьи данные обрабатываются, обязанностей учреждений и органов Сообщества, осуществляющих обработку, и полномочий, предоставляемых независимому надзорному органу, ответственному за обеспечение правильного применения настоящего Регламента.
22) <a id="p100047"></a>Права, предоставленные владельцу персональных данных, и их осуществление не должны влиять на обязанности, возложенные на контролирующее лицо.
23) <a id="p100048"></a>Независимый надзорный орган должен осуществлять свои надзорные функции в соответствии с Договором и с соблюдением основных прав и свобод человека. Он должен вести свои расследования в соответствии с [Протоколом](https://bukva.ai/docs/protokol-7-evropeyskiy-soyuz-es/statya-1) о привилегиях и иммунитетах и с Должностной инструкцией должностных лиц Европейских сообществ, а также с условиями, применимыми к иным служащим Сообществ.
24) <a id="p100049"></a>Необходимые технические меры должны быть приняты для того, чтобы обеспечить доступ независимого надзорного органа к реестрам операций по обработке, проводимых Инспекторами по защите персональных данных.
25) <a id="p100050"></a>Решения независимого надзорного органа относительно исключений, гарантий, авторизаций и условий, связанных с операциями по обработке данных, согласно определению, данному в настоящем Регламенте, должны публиковаться в отчете о его деятельности. Независимо от публикации ежегодного отчета о деятельности независимый надзорный орган вправе публиковать отчеты по отдельным вопросам.
26) <a id="p100051"></a>Отдельные операции по обработке, которые могут представлять собой особый риск для прав и свобод владельцев данных, подлежат предварительной проверке независимым надзорным органом. Заключение, сделанное по результатам указанной предварительной проверки, в том числе, заключение, сделанное в результате непредставления ответа в установленный срок, не должно влиять на последующее осуществление независимым надзорным органом его полномочий в отношении рассматриваемой операции по обработке.
27) <a id="p100052"></a>Обработка персональных данных в целях выполнения задач, осуществляемых учреждениями и органами Сообщества в публичных интересах, включает в себя обработку персональных данных, необходимую для функционирования указанных учреждений и органов и управлениями ими.
28) <a id="p100053"></a>В отдельных случаях обработка персональных данных должна быть разрешена нормативными актами Сообщества или актами, преобразующими нормы Сообщества в национальное право. Тем не менее, во время переходного периода, когда указанные акты будут отсутствовать, до момента их принятия обработку указанных данных вправе разрешить Уполномоченный по надзору за защитой персональных данных на территории Европейского сообщества при условии, что приняты достаточные защитные меры. При этом ему следует учесть, в частности, положения, принятые государствами-членами ЕС для аналогичных случаев.
29) <a id="p100054"></a>Указанные случаи касаются обработки данных, содержащих информацию о расовом или этническом происхождении, политических убеждениях, религиозных или философских взглядах, о членстве в профсоюзе, а также обработки данных, касающихся здоровья или половой жизни, необходимых для целей, соответствующих конкретным правам и обязанностям контролирующего лица в сфере трудового права, или по причине значительного публичного интереса. Они также касаются обработки данных, связанных с правонарушениями, уголовным осуждением или мерами безопасности, а также касаются разрешения на применение к субъекту персональных данных решения, которое будет иметь юридические последствия по отношению к нему или к ней или значительно повлияет на него или ее и которое основано исключительно на автоматической обработке данных, предназначенной для оценки определенных связанных с ним или с ней персональных аспектов.
30) <a id="p100055"></a>Возможно, потребуется проводить мониторинг компьютерных сетей, эксплуатируемых под контролем учреждений и органов Сообщества, в целях предотвращения их несанкционированного использования. Уполномоченный по надзору за защитой персональных данных на территории Европейского сообщества должен определить, необходимо ли это, и при каких условиях это возможно.
31) <a id="p100056"></a>Ответственность за нарушение любых положений настоящего Регламента устанавливается вторым параграфом статьи 288 Договора.
32) <a id="p100057"></a>В каждом учреждении и органе Сообщества применение положений настоящего Регламента должно обеспечиваться одним или несколькими Инспекторами по защите персональных данных, которые должны докладывать о выполнении своих обязанностей контролирующим лицам.
33) <a id="p100058"></a>Согласно статье 21 Регламента Совета ЕС 322/97 от 17 февраля 1997 г. о статистике в Европейском сообществе <*>, указанный Регламент должен применяться без ущерба действию [Директивы](https://bukva.ai/docs/direktiva-9546es/statya-1) 95/46/ЕС.

<a id="p100059"></a>

---

<a id="p100060"></a><*> ОЖ N L 52, 22.2.1997, стр. 1.

34) <a id="p100061"></a>Согласно [статье 8 (8)](https://bukva.ai/docs/reglament-253398/statya-8#p100152) Регламента (ЕС) Совета ЕС 2533/98 от 23 ноября 1998 г. о сборе статистической информации Европейским Центральным банком <*>, указанный Регламент должен применяться без ущерба действию [Директивы](https://bukva.ai/docs/direktiva-9546es/statya-1) 95/46/ЕС.

<a id="p100062"></a>

---

<a id="p100063"></a><*> ОЖ N L 318, 27.11.1998, стр. 8.

35) <a id="p100064"></a>Согласно статье 1 (2) Регламента Совета ЕС (Евратом, ЕЭС) 1588/90 от 11 июня 1990 г. о передаче данных, подлежащих статистической конфиденциальности, в Статистическое бюро Европейских сообществ <*>, указанный Регламент не умаляет специальных положений Сообщества или национального законодательства о защите конфиденциальной информации, за исключением статистической конфиденциальности.

<a id="p100065"></a>

---

<a id="p100066"></a><*> ОЖ N L 151, 15.6.1990, стр. 1. Регламент в редакции Регламента (ЕС) 322/97 (ОЖ N L 52, 22.2.1997, стр. 1).

36) <a id="p100067"></a>В соответствии со статьей 249 Договора, настоящий Регламент не ставит своей целью ограничение свободы государств-членов ЕС в разработке собственного национального законодательства о защите персональных данных согласно [статье 32](https://bukva.ai/docs/direktiva-9546es/statya-32#p100369) Директивы 95/46/ЕС,
<a id="p100068"></a>приняли настоящий Регламент:

## Статья 1

### <a id="p100069"></a>ГЛАВА I. ОБЩИЕ ПОЛОЖЕНИЯ



### <a id="p100070"></a>Статья 1

<a id="p100071"></a>Предмет Регламента


1. <a id="p100072"></a>В соответствии с настоящим Регламентом учреждения и органы, учрежденные Договорами об учреждении Европейского сообщества или на основании них, здесь и далее именуемые "учреждения и органы Сообщества", должны охранять основные права и свободы физических лиц и, в частности, их право на неприкосновенность частной жизни применительно к обработке персональных данных, а также должны воздержаться от ограничения или запрещения свободного перемещения персональных данных между ними или к получателям, осуществляемого в соответствии с национальным законодательством государств-членов ЕС, имплементирующим положения [Директивы](https://bukva.ai/docs/direktiva-9546es/statya-1) 95/46/ЕС.
2. <a id="p100073"></a>Независимый надзорный орган, учрежденный настоящим Регламентом, здесь и далее именуемый "Уполномоченный по надзору за защитой персональных данных на территории Европейского сообщества", должен осуществлять мониторинг применения положений настоящего Регламента ко всем операциям по обработке персональных данных, осуществляемым учреждением или органом Сообщества.

## Статья 2

### <a id="p100074"></a>Статья 2

<a id="p100075"></a>Определения


<a id="p100076"></a>Для целей настоящего Регламента:
<a id="p100077"></a>a) "персональные данные" означают любую информацию, связанную с определенным или идентифицируемым физическим лицом, здесь и далее именуемым "субъект персональных данных"; идентифицируемым лицом является лицо, личность которого может быть установлена прямо или косвенно, в частности, ввиду указания идентификационного номера или одного или нескольких факторов, которые являются специфичными для его или ее физических, психологических, умственных, экономических, культурных или социальных характеристик;
<a id="p100078"></a>b) "обработка персональных данных" здесь и далее именуемая "обработка", означает любую операцию или набор операций, которые осуществляются с персональными данными, как с помощью автоматизированных средств, так и без них, в частности, сбор, запись, расположение, хранение, адаптация или изменение, разархивация, ознакомление с данными, использование, раскрытие при передаче, распространение или открытие доступа к данным иным образом, упорядочение или комбинирование, ограничение доступа к данным, стирание или уничтожение;
<a id="p100079"></a>c) "информационная система персональных данных", здесь и далее именуемая "информационная система", означает любой структурированный набор персональных данных, расположенных по определенным критериям, как централизованных, так и децентрализованных либо распределенных по функциональному или географическому признаку;
<a id="p100080"></a>d) "контролирующее лицо" означает учреждение или орган Сообщества, Генеральный директорат, структурное подразделение или любую иную организационную единицу, которая самостоятельно или совместно с другими определяет цели и средства обработки персональных данных; если цели и средства обработки определены конкретным нормативным актом Сообщества, контролирующее лицо или конкретные критерии для его назначения могут быть установлены соответствующим нормативным актом Сообщества;
<a id="p100081"></a>e) "обработчик" - физическое или юридическое лицо, государственный орган, служба или иная организация, обрабатывающие персональные данные по поручению контролирующего лица;
<a id="p100082"></a>f) "третье лицо" - физическое или юридическое лицо, государственный орган, служба или иная организация, помимо субъекта персональных данных, контролирующего лица, обработчика и лиц, которые по прямому указанию контролирующего лица или обработчика уполномочены обрабатывать данные;
<a id="p100083"></a>g) "получатель" обозначает физическое или юридическое лицо, государственный орган, службу или иную организацию, как являющуюся третьим лицом, так и нет, которым раскрываются данные; однако органы, которые вправе получить данные в рамках конкретного запроса, не должны рассматриваться в качестве получателей;
<a id="p100084"></a>h) "согласие субъекта персональных данных" означает любое свободное и конкретное волеизъявление субъекта персональных данных, сделанное на основе полученной им или ей необходимой информации, которым субъект персональных данных выражает свое согласие на обработку связанных с ним или с ней персональных данных.

## Статья 3

### <a id="p100085"></a>Статья 3

<a id="p100086"></a>Сфера действия


1. <a id="p100087"></a>Настоящий Регламент применяется к обработке персональных данных всеми учреждениями и органами Сообщества постольку, поскольку указанная обработка проводится в процессе деятельности, которая частично или полностью подпадает под действие законодательства Сообщества.
2. <a id="p100088"></a>Настоящий Регламент применяется к обработке персональных данных, проводимой полностью или частично с помощью автоматизированных средств, а также к обработке персональных данных иными средствами, если указанные данные являются частью информационной системы либо предназначаются для включения в информационную систему.

## Статья 4. Раздел 1. ПРИНЦИПЫ ОПРЕДЕЛЕНИЯ КАЧЕСТВА ДАННЫХ

### <a id="p100089"></a>ГЛАВА II. ОБЩИЕ ПРАВИЛА ЗАКОННОСТИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

### <a id="p100092"></a>Статья 4. Раздел 1. **ПРИНЦИПЫ ОПРЕДЕЛЕНИЯ КАЧЕСТВА ДАННЫХ**

<a id="p100090"></a>
<a id="p100091"></a>

<a id="p100093"></a>Качество данных


1. <a id="p100094"></a>Персональные данные должны быть:
<a id="p100095"></a>a) обработаны объективно и в соответствии с законодательством;
<a id="p100096"></a>b) собраны для конкретных, прямо выраженных и законных целей, и не должны обрабатываться в последующем не соответствующим указанным целям образом. Дальнейшая обработка персональных данных для исторических, статистических или научных целей не должна рассматриваться в качестве противоречащей указанным целям при условии, что контролирующее лицо обеспечивает наличие надлежащих защитных мер, в частности, для того, чтобы гарантировать, что указанные данные не будут обрабатываться в любых иных целях и не будут использоваться в качестве обоснования для каких-либо мер или решений в отношении какого-либо конкретного лица;
<a id="p100097"></a>c) достаточными, актуальными и нечрезмерными применительно к целям, для которых они были собраны и/или обработаны в последующем;
<a id="p100098"></a>d) точными и, при необходимости, должны регулярно обновляться; все необходимые меры должны быть приняты для того, чтобы обеспечить удаление или исправление данных, которые являются неточными или неполными применительно к тем целям, для которых они были собраны или для которых они в последующем были обработаны;
<a id="p100099"></a>e) сохранены в форме, которая позволяет идентифицировать субъектов персональных данных в течение периода, не более того, который необходим для целей, для которых данные были собраны или для которых они в последующем были обработаны. Учреждение или орган Сообщества должен установить правила для того, чтобы персональные данные, которые необходимо хранить в течение более длительного времени для исторических, статистических или научных целей, хранились исключительно в анонимной форме или, если это невозможно, таким образом, чтобы личность субъектов персональных данных была зашифрована. В любом случае, данные не должны использоваться для любой иной цели, кроме исторических, статистических или научных целей.
2. <a id="p100100"></a>Контролирующему лицу следует обеспечить соблюдение [параграфа 1](https://bukva.ai/docs/reglament-452001/statya-4#p100094).

## Статья 5. Раздел 2. КРИТЕРИИ ЗАКОННОСТИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

### <a id="p100103"></a>Статья 5. Раздел 2. **КРИТЕРИИ ЗАКОННОСТИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ**

<a id="p100101"></a>
<a id="p100102"></a>

<a id="p100104"></a>Законность обработки


<a id="p100105"></a>Персональные данные подлежат обработке, только если:
<a id="p100106"></a>a) обработка необходима для совершения действий, осуществляемых в публичных интересах на основании Договоров об учреждении Европейских сообществ или иных нормативных актов, принятых на основании указанных Договоров, либо для реализации законных полномочий, предоставленных соответствующему учреждению или органу Сообщества или третьему лицу, которому раскрываются соответствующие данные, либо
<a id="p100107"></a>b) обработка необходима для выполнения юридической обязанности контролирующего лица, либо
<a id="p100108"></a>c) обработка необходима для выполнения договора, стороной по которому является субъект персональных данных, либо если обработка необходима для принятия мер, предшествующих заключению договора, по запросу субъекта персональных данных, либо
<a id="p100109"></a>d) субъект персональных данных недвусмысленно дал свое согласие, либо
<a id="p100110"></a>e) обработка необходима для того, чтобы защитить жизненно важные интересы субъекта персональных данных.

## Статья 6

### <a id="p100111"></a>Статья 6

<a id="p100112"></a>Изменение цели


<a id="p100113"></a>Без ущерба действию [статей 4](https://bukva.ai/docs/reglament-452001/statya-4#p100092), [5](https://bukva.ai/docs/reglament-452001/statya-5#p100103) и [10](https://bukva.ai/docs/reglament-452001/statya-10#p100147):
1. <a id="p100114"></a>Персональные данные могут быть обработаны для целей, иных, чем те, для которых они были собраны, только если изменение цели прямо предусмотрено внутренними правилами учреждения или органа Сообщества.
2. <a id="p100115"></a>Персональные данные, собранные исключительно для обеспечения безопасности или контроля над системами или операциями по обработке, не должны использоваться ни для каких других целей, за исключением предотвращения, расследования, раскрытия серьезных уголовных преступлений и поддержания обвинения по ним.

## Статья 7

### <a id="p100116"></a>Статья 7

<a id="p100117"></a>Перемещение персональных данных внутри учреждений<br> или органов Сообщества либо между ними


<a id="p100118"></a>Без ущерба действию [статей 4](https://bukva.ai/docs/reglament-452001/statya-4#p100092), [5](https://bukva.ai/docs/reglament-452001/statya-5#p100103), [6](https://bukva.ai/docs/reglament-452001/statya-6#p100111) и [10](https://bukva.ai/docs/reglament-452001/statya-10#p100147):
1. <a id="p100119"></a>Персональные данные могут быть переданы внутри учреждения или органа Сообщества или другому учреждению или органу только, если данные необходимы для совершения законных действий, входящих в компетенцию получателя.
2. <a id="p100120"></a>Если данные передаются по запросу получателя, контролирующее лицо и получатель совместно несут ответственность за законность такой передачи.
<a id="p100121"></a>Контролирующее лицо несет ответственность за проверку полномочий получателя и за предварительную оценку необходимости передачи данных. Если относительно необходимости передачи данных возникают сомнения, контролирующее лицо должно запросить дополнительную информацию у получателя.
<a id="p100122"></a>Получатель должен обеспечить наличие достаточных доказательств необходимости передачи указанных данных.
3. <a id="p100123"></a>Получатель должен производить обработку персональных данных только для целей, для которых они были переданы.

## Статья 8

### <a id="p100124"></a>Статья 8

<a id="p100125"></a>Передача персональных данных получателям,<br> за исключением учреждений и органов Сообщества,<br> в соответствии с Директивой 95/46/ЕС


<a id="p100126"></a>Без ущерба действию [статей 4](https://bukva.ai/docs/reglament-452001/statya-4#p100092), [5](https://bukva.ai/docs/reglament-452001/statya-5#p100103), [6](https://bukva.ai/docs/reglament-452001/statya-6#p100111) и [10](https://bukva.ai/docs/reglament-452001/statya-10#p100147), персональные данные должны передаваться получателям только в соответствии с национальным законодательством, принятым в целях имплементации [Директивы](https://bukva.ai/docs/direktiva-9546es/statya-1) 95/46/ЕС,
<a id="p100127"></a>a) если получатель подтвердит, что данные необходимы для совершения действий, осуществляемых в публичных интересах или во исполнение полномочий государственной власти, либо
<a id="p100128"></a>b) если получатель подтвердит необходимость передачи данных и если отсутствуют причины полагать, что могут быть нарушены законные интересы субъекта персональных данных.

## Статья 9

### <a id="p100129"></a>Статья 9

<a id="p100130"></a>Передача персональных данных получателям,<br> за исключением учреждений и органов Сообщества, которые<br> не подпадают под действие Директивы 95/46/ЕС


1. <a id="p100131"></a>Персональные данные должны передаваться получателям, за исключением учреждений и органов Сообщества, которые не подпадают под действие национального законодательства, принятого согласно [Директиве](https://bukva.ai/docs/direktiva-9546es/statya-1) 95/46/ЕС, только если в государстве получателя либо в международной организации получателя обеспечен надлежащий уровень защиты и данные передаются исключительно для выполнения задач, которые входят в компетенцию контролирующего лица.
2. <a id="p100132"></a>Достаточность уровня защиты, обеспечиваемого соответствующим третьим государством или международной организацией, должна оцениваться в свете всех обстоятельств, касающихся операции по передаче данных или набора таких операций; особое внимание следует уделить характеру данных, цели и продолжительности предполагаемой операции по обработке или нескольких таких операций, государству получателя или международной организации получателя, нормам права, как общим, так и отраслевым, действующим в соответствующем третьем государстве или в международной организации, а также профессиональным нормам и мерам безопасности, действующим в соответствующем третьем государстве или в международной организации.
3. <a id="p100133"></a>Учреждения и органы Сообщества должны информировать Европейскую комиссию и Уполномоченного по надзору за защитой персональных данных на территории Европейского сообщества о тех случаях, когда они полагают, что соответствующее третье государство или международная организация не обеспечивают надлежащий уровень защиты в значении [параграфа 2](https://bukva.ai/docs/reglament-452001/statya-9#p100132).
4. <a id="p100134"></a>Европейской комиссии надлежит информировать государства-члены ЕС обо всех случаях, указанных в [параграфе 3](https://bukva.ai/docs/reglament-452001/statya-9#p100133).
5. <a id="p100135"></a>Учреждения и органы Сообщества должны принять необходимые меры для соблюдения решений, принятых Европейской комиссией после того, как она установит согласно [статье 25 (4)](https://bukva.ai/docs/direktiva-9546es/statya-25#p100297) и [(6)](https://bukva.ai/docs/direktiva-9546es/statya-25#p100299) Директивы 95/46/ЕС, что третье государство или международная организация обеспечивает или не обеспечивает надлежащий уровень защиты.
6. <a id="p100136"></a>В порядке частичного отклонения от положений [параграфов 1](https://bukva.ai/docs/reglament-452001/statya-9#p100131) и [2](https://bukva.ai/docs/reglament-452001/statya-9#p100132) учреждение или орган Сообщества вправе передать персональные данные, если:
<a id="p100137"></a>a) субъект персональных данных недвусмысленно дал свое согласие на предполагаемую передачу; или
<a id="p100138"></a>b) передача необходима для исполнения договора между субъектом персональных данных и контролирующим лицом, либо для осуществления преддоговорных мер, принятых по запросу субъекта персональных данных; или
<a id="p100139"></a>c) передача необходима для заключения или исполнения договора, заключаемого или заключенного в интересах субъекта персональных данных между контролирующим лицом и третьим лицом; или
<a id="p100140"></a>d) передача необходима или предусмотрена законом в связи со значительным публичным интересом либо для заявления, поддержания или защиты от требований в суде; или
<a id="p100141"></a>e) передача необходима для того, чтобы защитить жизненно важные интересы субъекта персональных данных; или
<a id="p100142"></a>f) передача производится из реестра, который согласно законодательству Сообщества предназначен для того, чтобы предоставлять публичный доступ к информации, и доступ к которому открыт либо всем желающим, либо любому лицу, который может продемонстрировать наличие законного интереса, при условии, что требования, установленные законодательством Сообщества для открытия доступа, в данном конкретном случае выполнены.
7. <a id="p100143"></a>Без ущерба действию [параграфа 6](https://bukva.ai/docs/reglament-452001/statya-9#p100136), Уполномоченный по надзору за защитой персональных данных на территории Европейского сообщества вправе разрешить передачу или серию передач персональных данных третьему государству или международной организации, которые не обеспечивают надлежащего уровня защиты в значении [параграфов 1](https://bukva.ai/docs/reglament-452001/statya-9#p100131) и [2](https://bukva.ai/docs/reglament-452001/statya-9#p100132), если контролирующее лицо докажет наличие достаточных защитных мер в отношении охраны неприкосновенности частной жизни и основных прав и свобод индивидов, а также в отношении осуществления соответствующих прав; указанные защитные меры могут, в частности, быть предусмотрены в соответствующих положениях договора.
8. <a id="p100144"></a>Учреждения и органы Сообщества должны информировать Уполномоченного по надзору за защитой персональных данных на территории Европейского сообщества о тех категориях дел, в которых они применили [параграфы 6](https://bukva.ai/docs/reglament-452001/statya-9#p100136) и [7](https://bukva.ai/docs/reglament-452001/statya-9#p100143).

## Статья 10. Раздел 3. ОСОБЫЕ КАТЕГОРИИ ОБРАБОТКИ

### <a id="p100147"></a>Статья 10. Раздел 3. **ОСОБЫЕ КАТЕГОРИИ ОБРАБОТКИ**

<a id="p100145"></a>
<a id="p100146"></a>

<a id="p100148"></a>Обработка особых категорий персональных данных


1. <a id="p100149"></a>Обработка персональных данных, раскрывающих расовое или этническое происхождение, политические взгляды, религиозные или философские убеждения, членство в профессиональных союзах, а также данных относительно здоровья и половой жизни, запрещена.
2. <a id="p100150"></a>Параграф 1 не применяется в тех случаях, когда:
<a id="p100151"></a>a) субъект персональных данных явно выразил свое согласие на обработку указанных данных, за исключением случаев, когда внутренние правила учреждения или органа Сообщества предусматривают, что запрет, указанный в [параграфе 1](https://bukva.ai/docs/reglament-452001/statya-10#p100149), не может быть снят согласием субъекта персональных данных, либо
<a id="p100152"></a>b) обработка необходима для целей соблюдения конкретных прав и обязанностей контролирующего лица в сфере трудового права постольку, поскольку это разрешено Договорами об учреждении Европейских сообществ или иными нормативными актами, принятыми на основании Договоров, либо, при необходимости, поскольку это согласовано с Органом по надзору за защитой персональных данных на территории Европейского сообщества, при условии соблюдения надлежащих защитных мер, либо
<a id="p100153"></a>c) обработка необходима для того, чтобы защитить жизненно важные интересы субъекта персональных данных или иного лица, если субъект персональных данных является физически или юридически неспособным дать свое согласие, либо
<a id="p100154"></a>d) обработка связана с данными, которые открыто опубликованы субъектом персональных данных или необходимы для заявления, поддержания или защиты от требований в суде, либо
<a id="p100155"></a>e) обработка осуществляется в порядке законной деятельности с соблюдением надлежащих защитных мер некоммерческой организацией, которая представляет собой организацию, интегрированную в учреждение или орган Сообщества, и не подпадающую под действие национального законодательства о защите персональных данных согласно [статье 4](https://bukva.ai/docs/direktiva-9546es/statya-4#p100117) Директивы 95/46/ЕС, а также осуществляется с политической, философской, религиозной или профсоюзной целью и при условии, что указанная обработка связано исключительно к членами указанной организации или лицами, которые регулярно контактируют с ней в связи с ее целями, и при условии, что данные не разглашаются третьим лицам без согласия субъектов персональных данных.
3. <a id="p100156"></a>[Параграф 1](https://bukva.ai/docs/reglament-452001/statya-10#p100149) не должен применяться в тех случаях, когда обработка данных требуется для целей профилактической медицины, постановки медицинского диагноза, оказания помощи или лечения либо для управления медицинским обслуживанием, а также в тех случаях, когда указанные данные обрабатываются медицинским персоналом, обязанным хранить профессиональную тайну, либо иным лицом, имеющим аналогичную обязанность.
4. <a id="p100157"></a>При условии принятия надлежащих защитных мер и по причине значительного публичного интереса Договорами об учреждении Европейского сообщества или иными нормативными актами, принятыми на основании Договоров, либо, при необходимости, по решению Органа по надзору за защитой персональных данных на территории Европейского сообщества могут быть предусмотрены дополнительные исключения, помимо указанных в [параграфе 2](https://bukva.ai/docs/reglament-452001/statya-10#p100150).
5. <a id="p100158"></a>Обработка данных, связанных с правонарушениями, уголовными преступлениями или мерами безопасности, может осуществляться только в случаях, предусмотренных Договорами об учреждении Европейского сообщества или иными нормативными актами, принятыми на основании Договоров, либо, при необходимости, с разрешения Органа по надзору за защитой персональных данных на территории Европейского сообщества и при условии соблюдения надлежащих защитных мер.
6. <a id="p100159"></a>Уполномоченный по надзору за защитой персональных данных на территории Европейского сообщества должен определить условия, при которых индивидуальный номер или иной повсеместно применяемый идентификатор может быть обработан учреждением или органом Сообщества.

## Статья 11. Раздел 4. ИНФОРМАЦИЯ, КОТОРУЮ СЛЕДУЕТ ПРЕДОСТАВЛЯТЬ СУБЪЕКТУ ПЕРСОНАЛЬНЫХ ДАННЫХ

### <a id="p100162"></a>Статья 11. Раздел 4. **ИНФОРМАЦИЯ, КОТОРУЮ СЛЕДУЕТ ПРЕДОСТАВЛЯТЬ** **СУБЪЕКТУ ПЕРСОНАЛЬНЫХ ДАННЫХ**

<a id="p100160"></a>
<a id="p100161"></a>

<a id="p100163"></a>Информация, которую необходимо предоставить в тех случаях,<br> когда данные получены от субъекта персональных данных


1. <a id="p100164"></a>Контролирующее лицо должно предоставить субъекту персональных данных, от которого оно получило соответствующие данные о нем или ей, как минимум следующую информацию, за исключением случаев, когда он или она уже обладает такой информацией:
<a id="p100165"></a>a) наименование контролирующего лица;
<a id="p100166"></a>b) цели операции по обработке, для которой предназначены указанные данные;
<a id="p100167"></a>c) получатели или категории получателей указанных данных;
<a id="p100168"></a>d) является ли предоставление ответов на поставленные вопросы обязательным или добровольным, а также каковы возможные последствия отказа от ответа на вопрос;
<a id="p100169"></a>e) наличие права доступа к данным о нем или о ней и наличие права вносить исправления в указанные данные;
<a id="p100170"></a>f) любую иную информацию, как например:
<a id="p100171"></a>i) правовое основание операции по обработке, для которой предназначены данные,
<a id="p100172"></a>ii) сроки хранения указанных данных,
<a id="p100173"></a>iii) право на то, чтобы в любое время обратиться к Уполномоченному по надзору за защитой персональных данных на территории Европейского сообщества,
<a id="p100174"></a>постольку, поскольку указанная иная информация необходима с учетом конкретных обстоятельств, при которых данные были собраны, для того, чтобы гарантировать законную обработку данных соответствующего субъекта.
2. <a id="p100175"></a>В порядке частичного отклонения от положений [параграфа 1](https://bukva.ai/docs/reglament-452001/statya-11#p100164) предоставление информации или ее части, за исключением той информации, которая указана в [параграфе 1 "a"](https://bukva.ai/docs/reglament-452001/statya-11#p100165), ["b"](https://bukva.ai/docs/reglament-452001/statya-11#p100166) и ["d"](https://bukva.ai/docs/reglament-452001/statya-11#p100168), может быть отложено на срок, необходимый в статистических целях. Информация должна быть предоставлена, как только отпадет причина, по которой указанная информация удерживалась.

## Статья 12

### <a id="p100176"></a>Статья 12

<a id="p100177"></a>Информация, которую необходимо предоставить в тех случаях,<br> когда данные получены не от субъекта персональных данных


1. <a id="p100178"></a>В тех случаях, когда данные были получены не от субъекта персональных данных, контролирующее лицо должно в момент принятия обязательства по фиксации персональных данных либо, если предполагается раскрытие данных третьему лицу, не позднее момента первого раскрытия данных предоставить субъекту персональных данных, как минимум, следующую информацию, за исключением случаев, когда он или она уже обладает такой информацией:
<a id="p100179"></a>a) наименование контролирующего лица;
<a id="p100180"></a>b) цели операции по обработке, для которой предназначены указанные данные;
<a id="p100181"></a>c) категории соответствующих данных;
<a id="p100182"></a>d) получатели или категории получателей указанных данных;
<a id="p100183"></a>e) наличие права доступа к данным о нем или о ней и наличие права вносить исправления в указанные данные;
<a id="p100184"></a>f) любую иную информацию, как например:
<a id="p100185"></a>i) правовое основание операции по обработке, для которой предназначены данные,
<a id="p100186"></a>ii) сроки хранения указанных данных,
<a id="p100187"></a>iii) право на то, чтобы в любое время обратиться к Уполномоченному по надзору за защитой персональных данных на территории Европейского сообщества,
<a id="p100188"></a>iv) происхождение данных, за исключением случаев, когда контролирующее лицо не может раскрыть указанную информацию в связи с профессиональной тайной,
<a id="p100189"></a>постольку, поскольку указанная иная информация необходима с учетом конкретных обстоятельств, при которых обрабатываются соответствующие данные, для того, чтобы гарантировать законную обработку данных соответствующего субъекта.
2. <a id="p100190"></a>[Параграф 1](https://bukva.ai/docs/reglament-452001/statya-12#p100178) не следует применять в тех случаях, когда, например, при обработке данных в статистических целях или для исторического или научного исследования, предоставление указанной информации оказывается невозможным или сопряженным с непропорциональным бременем, либо когда фиксация данных или их раскрытие прямо предусмотрены законодательством Сообщества. В указанных случаях учреждение или орган Сообщества должны обеспечить применение надлежащих защитных мер на основании консультаций с Органом по надзору за защитой персональных данных на территории Европейского сообщества.

## Статья 13. Раздел 5. ПРАВА СУБЪЕКТА ПЕРСОНАЛЬНЫХ ДАННЫХ

### <a id="p100193"></a>Статья 13. Раздел 5. **ПРАВА СУБЪЕКТА ПЕРСОНАЛЬНЫХ ДАННЫХ**

<a id="p100191"></a>
<a id="p100192"></a>

<a id="p100194"></a>Право доступа


<a id="p100195"></a>Субъект персональных данных должен иметь право без ограничений бесплатно и в любое время в течение трех месяцев со дня получения запроса получить у контролирующего лица:
<a id="p100196"></a>a) подтверждение того, обрабатываются ли касающиеся его или ее данные;
<a id="p100197"></a>b) информацию, по крайней мере, о цели операции по обработке, категориях соответствующих данных, а также получателях или категориях получателей, которым раскрываются данные;
<a id="p100198"></a>c) сообщение в понятной форме о данных, проходящих обработку, и любую доступную информацию об их источнике;
<a id="p100199"></a>d) информацию о логическом обосновании любого процесса принятия автоматизированного решения, касающегося его или ее.

## Статья 14

### <a id="p100200"></a>Статья 14

<a id="p100201"></a>Внесение правок


<a id="p100202"></a>Субъект персональных данных должен иметь право незамедлительно получить у контролирующего лица исправления неточных или неполных персональных данных.

## Статья 15

### <a id="p100203"></a>Статья 15

<a id="p100204"></a>Блокировка


1. <a id="p100205"></a>Субъект персональных данных должен иметь право на блокировку данных контролирующим лицом в тех случаях, когда:
<a id="p100206"></a>a) их точность оспаривается субъектом персональных данных, - на срок, необходимый контролирующему лицу для того, чтобы проверить точность, в том числе, полноту персональных данных, либо;
<a id="p100207"></a>b) контролирующее лицо более не нуждается в них для выполнения своих задач, но они должны сохраняться в качестве доказательств, либо;
<a id="p100208"></a>c) обработка является незаконной, и субъект персональных данных выступает против их уничтожения и вместо этого требует их блокировки.
2. <a id="p100209"></a>В автоматизированных информационных системах блокировка, в основном, должна обеспечиваться техническими средствами. Тот факт, что персональные данные заблокированы, должен быть отражен в системе таким образом, чтобы было ясно, что персональные данные не могут быть использованы.
3. <a id="p100210"></a>Персональные данные, заблокированные согласно настоящей статье, должны обрабатываться, за исключением хранения, только для целей доказывания, либо с согласия субъекта персональных данных, либо в целях защиты прав третьего лица.
4. <a id="p100211"></a>Субъект персональных данных, который запросил и получил блокировку его или ее данных, должен быть извещен контролирующим лицом до того, как данные будут разблокированы.

## Статья 16

### <a id="p100212"></a>Статья 16

<a id="p100213"></a>Уничтожение


<a id="p100214"></a>Субъект персональных данных должен иметь право на то, чтобы обязать контролирующее лицо уничтожить данные, если их обработка является незаконной, в частности, в тех случаях, когда были нарушены положения [разделов 1](https://bukva.ai/docs/reglament-452001/statya-4#p100090), [2](https://bukva.ai/docs/reglament-452001/statya-5#p100101) и [3 главы II](https://bukva.ai/docs/reglament-452001/statya-10#p100145).

## Статья 17

### <a id="p100215"></a>Статья 17

<a id="p100216"></a>Уведомление третьих лиц


<a id="p100217"></a>Субъект персональных данных должен иметь право на то, чтобы обязать контролирующее лицо уведомить третьи стороны, которым данные были раскрыты, о любых исправлениях данных, их уничтожении или блокировке согласно [статьям с 13](https://bukva.ai/docs/reglament-452001/statya-13#p100193) по [16](https://bukva.ai/docs/reglament-452001/statya-16#p100212) за исключением случаев, когда это оказывается невозможным или сопряжено с возложением на контролирующее лицо непропорционального бремени.

## Статья 18

### <a id="p100218"></a>Статья 18

<a id="p100219"></a>Право субъекта персональных данных на возражения


<a id="p100220"></a>Субъект персональных данных должен иметь право:
<a id="p100221"></a>a) в любое время представить свои возражения с требованием об устранении нарушений, связанных с законностью оснований в его или ее конкретной ситуации, допущенных при обработке данных, связанных с ним или с ней, за исключением случаев, подпадающих под действие [статьи 5 "b"](https://bukva.ai/docs/reglament-452001/statya-5#p100107), ["c"](https://bukva.ai/docs/reglament-452001/statya-5#p100108) и ["d"](https://bukva.ai/docs/reglament-452001/statya-5#p100109). Если возражения обоснованы, соответствующие данные более не могут быть использованы в той же операции по обработке;
<a id="p100222"></a>b) на извещение перед тем, как персональные данные впервые будут раскрыты третьим лицам, либо перед тем, как они будут использованы в интересах указанных третьих лиц в целях прямого маркетинга, а также на прямое предложение бесплатно представить свои возражения к такому раскрытию или использованию.

## Статья 19

### <a id="p100223"></a>Статья 19

<a id="p100224"></a>Индивидуальные автоматизированные решения


<a id="p100225"></a>Субъект персональных данных должен иметь право на то, чтобы в отношении него или нее не принимались решения, имеющие правовые последствия для него или нее или значительно влияющие на него или нее, основанные исключительно на автоматизированной обработке данных, предназначенной для оценки конкретных личных факторов, связанных с ним или с ней, например, оценки результатов его или ее работы, его или ее надежности или поведения, за исключением тех случаев, когда принятие такого решения прямо разрешено национальным законодательством или законодательством Сообщества либо, при необходимости, Органом по надзору за защитой персональных данных на территории Европейского сообщества. В любом случае должны быть приняты меры для защиты законных интересов субъекта персональных данных, направленные, например, на то, чтобы позволить ему или ей высказать свою точку зрения.

## Статья 20. Раздел 6. ИСКЛЮЧЕНИЯ И ОГРАНИЧЕНИЯ

### <a id="p100228"></a>Статья 20. Раздел 6. **ИСКЛЮЧЕНИЯ И ОГРАНИЧЕНИЯ**

<a id="p100226"></a>
<a id="p100227"></a>

<a id="p100229"></a>Исключения и ограничения


1. <a id="p100230"></a>Учреждения и органы Сообщества вправе ограничить применение [статьи 4 (1)](https://bukva.ai/docs/reglament-452001/statya-4#p100094), [статьи 11](https://bukva.ai/docs/reglament-452001/statya-11#p100162), [статьи 12 (1)](https://bukva.ai/docs/reglament-452001/statya-12#p100178), [статей с 13](https://bukva.ai/docs/reglament-452001/statya-13#p100193) по [17](https://bukva.ai/docs/reglament-452001/statya-17#p100215) и [статьи 37 (1)](https://bukva.ai/docs/reglament-452001/statya-37#p100356), если такое ограничение представляет собой необходимую меру для того, чтобы обеспечить:
<a id="p100231"></a>a) предотвращение, расследование, раскрытие преступлений и уголовное обвинение по ним;
<a id="p100232"></a>b) реализацию важных экономических или финансовых интересов государства-члена ЕС или Европейских сообществ, в том числе, денежно-кредитных, бюджетных и налоговых интересов;
<a id="p100233"></a>c) защиту субъекта персональных данных или защиту прав и свобод других лиц;
<a id="p100234"></a>d) национальную безопасность, общественную безопасность или оборону государств-членов ЕС;
<a id="p100235"></a>e) мониторинг, проверки или выполнение регулятивных задач, связанных, даже случайно, с осуществлением публичных полномочий в случаях, указанных в [пунктах "a"](https://bukva.ai/docs/reglament-452001/statya-20#p100231) и ["b"](https://bukva.ai/docs/reglament-452001/statya-20#p100232).
2. <a id="p100236"></a>[Статьи с 13](https://bukva.ai/docs/reglament-452001/statya-13#p100193) по [16](https://bukva.ai/docs/reglament-452001/statya-16#p100212) не применяются в тех случаях, когда данные обрабатываются исключительно для целей научного исследования или хранятся в персонифицированной форме в течение срока, который не превышает срок, необходимый исключительно для цели сбора статистического материала, при условии, что явно отсутствует риск вмешательства в частную жизнь субъекта персональных данных и что контролирующее лицо обеспечивает принятие надлежащих правовых защитных мер, в частности, для того, чтобы гарантировать, что данные не используются для принятия мер или решений в отношении конкретных лиц.
3. <a id="p100237"></a>Если вводится ограничение, предусмотренное [параграфом 1](https://bukva.ai/docs/reglament-452001/statya-20#p100230), субъект персональных данных должен быть в соответствии с законодательством Сообщества извещен об основных причинах, на которых основано введение ограничений, а также о своем праве на обращение к Уполномоченному по надзору за защитой персональных данных на территории Европейского сообщества.
4. <a id="p100238"></a>Если ограничение, предусмотренное параграфом 1, препятствует доступу субъекта персональных данных к соответствующим данным, Уполномоченный по надзору за защитой персональных данных на территории Европейского сообщества должен при рассмотрении соответствующей жалобы известить его или ее только о том, были ли данные обработаны правильно, и, если нет, то были ли внесены какие-либо необходимые коррективы.
5. <a id="p100239"></a>Предоставление информации, указанной в [параграфах 3](https://bukva.ai/docs/reglament-452001/statya-20#p100237) и [4](https://bukva.ai/docs/reglament-452001/statya-20#p100238), может быть отложено до тех пор, пока не отпадут сомнения в том, что указанная информация может свести на нет результат ограничения, введенного в соответствии с [параграфом 1](https://bukva.ai/docs/reglament-452001/statya-20#p100230).

## Статья 21. Раздел 7. КОНФИДЕНЦИАЛЬНОСТЬ И БЕЗОПАСНОСТЬ ОБРАБОТКИ

### <a id="p100242"></a>Статья 21. Раздел 7. **КОНФИДЕНЦИАЛЬНОСТЬ И БЕЗОПАСНОСТЬ ОБРАБОТКИ**

<a id="p100240"></a>
<a id="p100241"></a>

<a id="p100243"></a>Конфиденциальность обработки


<a id="p100244"></a>Сотрудник учреждения или органа Сообщества, а также любое учреждение или орган Сообщества, самостоятельно действующие как обработчик, имеющие доступ к персональным данным, должны обрабатывать их только в случае получения указаний от контролирующего лица, за исключением случаев, когда соответствующие полномочия предусмотрены национальным законодательством или законодательством Сообщества.

## Статья 22

### <a id="p100245"></a>Статья 22

<a id="p100246"></a>Безопасность обработки


1. <a id="p100247"></a>С учетом современных достижений техники и стоимости их имплементации контролирующее лицо должно принять соответствующие технические и организационные меры для того, чтобы обеспечить уровень безопасности, соответствующий рискам, которые вызваны обработкой персональных данных, подлежащих защите, а также характером указанных данных.
<a id="p100248"></a>Указанные меры должны быть приняты, в частности, для того, чтобы предотвратить любое несанкционированное раскрытие или несанкционированный доступ, случайное или незаконное уничтожение, случайную утерю или изменение, а также для того, чтобы предотвратить любые иные незаконные формы обработки.
2. <a id="p100249"></a>Если персональные данные обрабатываются с помощью автоматизированных средств, должны быть приняты меры, соответствующие существующим рискам, в частности, в целях:
<a id="p100250"></a>a) предотвращения получения доступа к компьютерным системам обработки персональных данных любого неуполномоченного лица;
<a id="p100251"></a>b) предотвращения любого несанкционированного чтения, копирования, изменения или перемещения носителей информации;
<a id="p100252"></a>c) предотвращения любого несанкционированного ввода информации, а также любого несанкционированного раскрытия, изменения или уничтожения собранных персональных данных;
<a id="p100253"></a>d) предотвращения использования неуполномоченными лицами систем обработки данных с помощью устройств передачи данных;
<a id="p100254"></a>e) обеспечения доступа уполномоченных пользователей систем обработки данных только к тем персональным данным, на которые распространяется их право доступа;
<a id="p100255"></a>f) фиксации информации о том, какие персональные данные были переданы, в какое время и кому;
<a id="p100256"></a>g) обеспечения возможности в последующем проверить, какие персональные данные были обработаны, в какое время и кем;
<a id="p100257"></a>h) обеспечения обработки персональных данных, обрабатываемых в интересах третьих лиц, только так, как это было предписано учреждением или органом, являющимся стороной по договору;
<a id="p100258"></a>i) предоставления гарантий того, что во время передачи персональных данных и во время перемещения носителей информации данные не могли быть несанкционированно прочитаны, скопированы или стерты;
<a id="p100259"></a>j) разработки организационной структуры учреждения или органа таким образом, чтобы она отвечала специализированным требованиям защиты информации.

## Статья 23

### <a id="p100260"></a>Статья 23

<a id="p100261"></a>Обработка персональных данных в интересах контролирующих лиц


1. <a id="p100262"></a>Если операция по обработке осуществляется в интересах контролирующего лица, оно должно выбрать обработчика, способного предоставить достаточные гарантии относительно технических и организационных мер безопасности, предусмотренных [статьей 22](https://bukva.ai/docs/reglament-452001/statya-22#p100245), и способного обеспечить выполнение указанных мер.
2. <a id="p100263"></a>Осуществление операции по обработке обработчиком должно регулироваться договором или нормативным актом, возлагающим на обработчика обязанности перед контролирующим лицом и устанавливающим, в частности, что:
<a id="p100264"></a>a) обработчик должен действовать исключительно в соответствии с указаниями контролирующего лица;
<a id="p100265"></a>b) обязанности, предусмотренные [статьями 21](https://bukva.ai/docs/reglament-452001/statya-21#p100242) и [22](https://bukva.ai/docs/reglament-452001/statya-22#p100245), должны так же распространяться и на обработчика за исключением тех случаев, когда в силу [статьи 16](https://bukva.ai/docs/direktiva-9546es/statya-16#p100232) или [второго абзаца статьи 17 (3)](https://bukva.ai/docs/direktiva-9546es/statya-17#p100242) Директивы 95/46/ЕС, на обработчика уже распространяются обязательства в отношении конфиденциальности и безопасности, установленные национальным законодательством одного из государств-членов ЕС.
3. <a id="p100266"></a>Для целей сохранения доказательств положения договора или нормативного акта в отношении защиты данных и требований относительно мер, указанных в [статье 22](https://bukva.ai/docs/reglament-452001/statya-22#p100245), должны быть закреплены в письменной форме или в иной аналогичной форме.

## Статья 24. Раздел 8. ИНСПЕКТОР ПО ЗАЩИТЕ ПЕРСОНАЛЬНЫХ ДАННЫХ

### <a id="p100269"></a>Статья 24. Раздел 8. **ИНСПЕКТОР ПО ЗАЩИТЕ ПЕРСОНАЛЬНЫХ ДАННЫХ**

<a id="p100267"></a>
<a id="p100268"></a>

<a id="p100270"></a>Процедура назначения и полномочия Инспектора<br> по защите персональных данных


1. <a id="p100271"></a>Каждое учреждение или орган Сообщества должны назначить как минимум одно лицо Инспектором по защите персональных данных. Данное лицо должно иметь полномочия по:
<a id="p100272"></a>a) обеспечению информирования контролирующих лиц и субъектов персональных данных об их правах и обязанностях согласно настоящему Регламенту;
<a id="p100273"></a>b) реагированию на запросы Органа по надзору за защитой персональных данных на территории Европейского сообщества и в рамках его или ее компетенции на сотрудничество с Органом по надзору за защитой персональных данных на территории Европейского сообщества по запросам последнего либо по собственной инициативе;
<a id="p100274"></a>c) обеспечению на независимых началах применения положений настоящего Регламента внутри учреждения или органа Сообщества;
<a id="p100275"></a>d) ведению реестра операций по обработке, осуществляемых контролирующим лицом, который должен содержать информацию, указанную в [статье 25 (2)](https://bukva.ai/docs/reglament-452001/statya-25#p100288);
<a id="p100276"></a>e) уведомлению Органа по надзору за защитой персональных данных на территории Европейского сообщества об операциях по обработке, которые могут представлять особый риск в значении [статьи 27](https://bukva.ai/docs/reglament-452001/statya-27#p100304).
<a id="p100277"></a>Указанное лицо должно, таким образом, следить за тем, чтобы возможность негативного влияния операций по обработке на права и свободы субъектов персональных данных была как можно меньше.
2. <a id="p100278"></a>Инспектор по защите персональных данных должен быть отобран на основании его или ее личных и профессиональных качеств и, в частности, экспертных знаний в области защиты данных.
3. <a id="p100279"></a>Выбор Инспектора по защите персональных данных не должен приводить к конфликту интересов между его или ее обязанностями в качестве Инспектора по защите персональных данных и любыми иными публичными обязанностями, в частности, в связи с применением положений настоящего Регламента.
4. <a id="p100280"></a>Инспектор по защите персональных данных должен быть назначен на срок от двух до пяти лет. Данное лицо должно иметь право быть повторно назначенным на должность на максимальный общий срок вплоть до десяти лет. Он или она может быть с согласия Органа по надзору за защитой персональных данных на территории Европейского сообщества снят с должности Инспектора по защите персональных данных учреждением или органом Сообщества, которым он или она были назначены на должность, в том случае, если он или она более не соответствует условиям, необходимым для выполнения его или ее обязанностей.
5. <a id="p100281"></a>После назначения Инспектора по защите персональных данных учреждение или орган, назначивший его или ее, должен зарегистрировать его или ее в Органе по надзору за защитой персональных данных на территории Европейского сообщества.
6. <a id="p100282"></a>Учреждение или орган Сообщества, назначивший Инспектора по защите персональных данных, должен обеспечить его персоналом и ресурсами, необходимыми для выполнения его или ее обязанностей.
7. <a id="p100283"></a>Инспектор по защите персональных данных не должен получать никаких указаний относительно выполнения его или ее обязанностей.
8. <a id="p100284"></a>Остальные имплементирующие нормы, касающиеся Инспектора по защите персональных данных, должны быть приняты учреждением или органом Сообщества в соответствии с положениями [Приложения](https://bukva.ai/docs/reglament-452001/statya-51#p100456). Указанные имплементирующие нормы должны, в частности, касаться задач, обязанностей и полномочий Инспектора по защите персональных данных.

## Статья 25

### <a id="p100285"></a>Статья 25

<a id="p100286"></a>Извещение Инспектора по защите персональных данных


1. <a id="p100287"></a>Контролирующее лицо должно заранее уведомить Инспектора по защите персональных данных о любой операции по обработке или наборе операций по обработке, предназначенных для достижения одной цели или нескольких связанных между собой целей.
2. <a id="p100288"></a>Предоставляемая информация должна включать в себя:
<a id="p100289"></a>a) наименование и адрес контролирующего лица и указание на конкретные подразделения учреждения или органа, которым была доверена обработка персональных данных для достижения определенной цели;
<a id="p100290"></a>b) цель или цели обработки;
<a id="p100291"></a>c) описание категории или категорий субъектов персональных данных, а также самих персональных данных либо категорий персональных данных, связанных с указанными субъектами;
<a id="p100292"></a>d) правовое основание операции по обработке, для которой предназначены указанные данные;
<a id="p100293"></a>e) получателей или категории получателей, которым данные могут быть раскрыты;
<a id="p100294"></a>f) общее указание на сроки блокировки и уничтожения различных категорий данных;
<a id="p100295"></a>g) информацию о предполагаемых передачах данных третьим государствам или международным организациям;
<a id="p100296"></a>h) общее описание, предназначенное для предварительной оценки достаточности мер, принятых согласно [статье 22](https://bukva.ai/docs/reglament-452001/statya-22#p100245) в целях обеспечения безопасности обработки.
3. <a id="p100297"></a>Любые изменения, касающиеся информации, указанной в [параграфе 2](https://bukva.ai/docs/reglament-452001/statya-25#p100288), должны быть незамедлительно доведены до сведения Инспектора по защите персональных данных.

## Статья 26

### <a id="p100298"></a>Статья 26

<a id="p100299"></a>Реестр


<a id="p100300"></a>Каждый Инспектор по защите персональных данных должен вести реестр операций по обработке, о которых он был уведомлен в соответствии со [статьей 25](https://bukva.ai/docs/reglament-452001/statya-25#p100285).
<a id="p100301"></a>Реестры должны содержать как минимум информацию, указанную в [статье 25 (2) с "a"](https://bukva.ai/docs/reglament-452001/statya-25#p100289) по ["g"](https://bukva.ai/docs/reglament-452001/statya-25#p100295). При прямом или косвенном содействии Органа по надзору за защитой персональных данных на территории Европейского сообщества доступ к реестрам должно иметь любое лицо.

## Статья 27. Раздел 9. ПРЕДВАРИТЕЛЬНАЯ ПРОВЕРКА ОРГАНОМ ПО НАДЗОРУ ЗА ЗАЩИТОЙ ПЕРСОНАЛЬНЫХ ДАННЫХ НА ТЕРРИТОРИИ ЕВРОПЕЙСКОГО СООБЩЕСТВА И ОБЯЗАННОСТЬ СОДЕЙСТВОВАТЬ

### <a id="p100304"></a>Статья 27. Раздел 9. **ПРЕДВАРИТЕЛЬНАЯ ПРОВЕРКА ОРГАНОМ ПО НАДЗОРУ** **ЗА ЗАЩИТОЙ ПЕРСОНАЛЬНЫХ ДАННЫХ НА ТЕРРИТОРИИ ЕВРОПЕЙСКОГО** **СООБЩЕСТВА И ОБЯЗАННОСТЬ СОДЕЙСТВОВАТЬ**

<a id="p100302"></a>
<a id="p100303"></a>

<a id="p100305"></a>Предварительная проверка


1. <a id="p100306"></a>Операции по обработке, которые могут представлять собой особый риск для прав и свобод субъектов персональных данных в силу своего характера, объема или своих целей, подлежат предварительной проверке Органом по надзору за защитой персональных данных на территории Европейского сообщества.
2. <a id="p100307"></a>Следующие операции по обработке могут представлять собой указанный особый риск:
<a id="p100308"></a>a) обработка данных, связанных со здоровьем, а также подозрениями в совершении правонарушений, правонарушениями, судимостью или мерами безопасности;
<a id="p100309"></a>b) операции по обработке, предназначенные для того, чтобы оценить личные факторы, связанные с субъектом персональных данных, в том числе, его или ее способностями, эффективностью и поведением;
<a id="p100310"></a>c) операции по обработке, делающие возможными связи между данными, обработанными в различных целях, не предусмотренные национальным законодательством или законодательством Сообщества;
<a id="p100311"></a>d) операции по обработке для целей лишения индивидов их прав, благ или договоров.
3. <a id="p100312"></a>Предварительные проверки должны осуществляться Органом по надзору за защитой персональных данных на территории Европейского сообщества после получения уведомления от Инспектора по защите персональных данных, который в случае наличия сомнений относительно необходимости предварительной проверки, должен проконсультироваться с Органом по надзору за защитой персональных данных на территории Европейского сообщества.
4. <a id="p100313"></a>Уполномоченный по надзору за защитой персональных данных на территории Европейского сообщества должен вынести свое решение в течение двух месяцев с момента получения указанного уведомления. Течение указанного срока может быть приостановлено до момента получения Органом по надзору за защитой персональных данных на территории Европейского сообщества любой дополнительной информации, которую он или она вправе запросить. Если того требует сложность вопроса, решением Органа по надзору за защитой персональных данных на территории Европейского сообщества указанный срок также может быть продлен еще на два месяца. Указанное решение должно быть доведено до сведения контролирующего лица до истечения первоначального двухмесячного срока.
<a id="p100314"></a>Если решение не было вынесено до конца двухмесячного срока или до конца дополнительного срока, его следует считать положительным.
<a id="p100315"></a>Если решением Органа по надзору за защитой персональных данных на территории Европейского сообщества установлено, что рассматриваемая обработка данных может быть сопряжена с нарушением каких-либо положений настоящего Регламента, он или она должны в соответствующих случаях представить предложения, каким образом избежать указанных нарушений. Если контролирующее лицо соответствующим образом не изменит операцию по обработке, Уполномоченный по надзору за защитой персональных данных на территории Европейского сообщества вправе воспользоваться полномочиями, предоставленными ему или ей в соответствии со [статьей 47 (1)](https://bukva.ai/docs/reglament-452001/statya-47#p100426).
5. <a id="p100316"></a>Уполномоченный по надзору за защитой персональных данных на территории Европейского сообщества должен вести реестр всех операций по обработке, которые были доведены до его или ее сведения согласно [параграфу 2](https://bukva.ai/docs/reglament-452001/statya-27#p100307). Реестр должен содержать как минимум ту информацию, которая указана в [статье 25](https://bukva.ai/docs/reglament-452001/statya-25#p100285), и должен быть открыт для всеобщего обозрения.

## Статья 28

### <a id="p100317"></a>Статья 28

<a id="p100318"></a>Консультации


1. <a id="p100319"></a>Учреждения и органы Сообщества должны информировать Уполномоченного по надзору за защитой персональных данных на территории Европейского сообщества о введении административных мер, связанных с обработкой персональных данных, проводимой учреждением или органом Сообщества самостоятельно или совместно с иными лицами.
2. <a id="p100320"></a>При рассмотрении законопроектов, связанных с защитой прав и свобод индивида применительно к обработке персональных данных, Европейская комиссия должна проводить консультации с Органом по надзору за защитой персональных данных на территории Европейского сообщества.

## Статья 29

### <a id="p100321"></a>Статья 29

<a id="p100322"></a>Обязанность предоставлять информацию


<a id="p100323"></a>Учреждения и органы Сообщества должны информировать Уполномоченного по надзору за защитой персональных данных на территории Европейского сообщества о мерах, принятых в отношении его или ее решений или разрешений, указанных в [статье 46 "h"](https://bukva.ai/docs/reglament-452001/statya-46#p100420).

## Статья 30

### <a id="p100324"></a>Статья 30


<a id="p100325"></a>Обязанность содействовать

<a id="p100326"></a>По запросу Органа по надзору за защитой персональных данных на территории Европейского сообщества контролирующие лица должны содействовать ему или ей в выполнении его или ее обязанностей, в частности, путем предоставления информации, указанной в [статье 47 (2) "a"](https://bukva.ai/docs/reglament-452001/statya-47#p100437), и путем предоставления доступа в соответствии со [статьей 47 (2) "b"](https://bukva.ai/docs/reglament-452001/statya-47#p100438).

## Статья 31

### <a id="p100327"></a>Статья 31

<a id="p100328"></a>Обязанность реагировать на заявления


<a id="p100329"></a>В ответ на использование Органом по надзору за защитой персональных данных на территории Европейского сообщества его или ее полномочий согласно [статье 47 (1) "b"](https://bukva.ai/docs/reglament-452001/statya-47#p100428) соответствующее контролирующее лицо должно уведомить указанный Орган о своей позиции в течение разумного срока, установленного указанным Органом. Ответ также должен содержать описание мер, принятых, если таковые принимались, с учетом замечаний Органа по надзору за защитой персональных данных на территории Европейского сообщества.

## Статья 32

### <a id="p100330"></a>ГЛАВА III. СПОСОБЫ ЗАЩИТЫ ПРАВ

### <a id="p100331"></a>Статья 32

<a id="p100332"></a>Способы защиты прав


1. <a id="p100333"></a>Суд Европейских сообществ может рассматривать любые споры, связанные с положениями настоящего Регламента, в том числе, требования о возмещении убытков.
2. <a id="p100334"></a>Без ущерба праву на обращение в суд любой субъект персональных данных вправе обратиться с жалобой к Уполномоченному по надзору за защитой персональных данных на территории Европейского сообщества, если он или она посчитает, что его или ее права, установленные статьей 286 Договора, были нарушены в результате обработки его или ее персональных данных учреждением или органом Сообщества.
<a id="p100335"></a>В случае отсутствия ответа от Органа по надзору за защитой персональных данных на территории Европейского сообщества в течение шести месяцев, следует считать, что в удовлетворении жалобы было отказано.
3. <a id="p100336"></a>Жалобы на решения Органа по надзору за защитой персональных данных на территории Европейского сообщества следует подавать в Суд Европейских сообществ.
4. <a id="p100337"></a>Любое лицо, которому был причинен вред в результате незаконной операции по обработке либо любого иного действия, противоречащего настоящему Регламенту, должно иметь право на возмещение ущерба в соответствии со статьей 288 Договора.

## Статья 33

### <a id="p100338"></a>Статья 33

<a id="p100339"></a>Жалобы от персонала Сообщества


<a id="p100340"></a>Любое лицо, являющееся сотрудником учреждения или органа Сообщества, вправе подать Уполномоченному по надзору за защитой персональных данных на территории Европейского сообщества жалобу относительно предполагаемого нарушения положений настоящего Регламента, регулирующих обработку персональных данных, действуя при этом не по официальным каналам.
<a id="p100341"></a>Никто не должен подвергаться пристрастному отношению в связи с подачей Уполномоченному по надзору за защитой персональных данных на территории Европейского сообщества жалобы относительно предполагаемых нарушений положений, регулирующих обработку персональных данных.

## Статья 34

### <a id="p100342"></a>ГЛАВА IV. ЗАЩИТА ПЕРСОНАЛЬНЫХ ДАННЫХ И ТАЙНЫ ЧАСТНОЙ ЖИЗНИ В КОНТЕКСТЕ ВНУТРЕННИХ ТЕЛЕКОММУНИКАЦИОННЫХ СЕТЕЙ

### <a id="p100343"></a>Статья 34

<a id="p100344"></a>Сфера действия


<a id="p100345"></a>Без ущерба действию иных положений настоящего Регламента настоящая глава применяется к обработке персональных данных в связи с использованием телекоммуникационных сетей или терминального оборудования, управляемых под контролем учреждения или органа Сообщества.
<a id="p100346"></a>Для целей настоящей главы термин "пользователь" означает любое физическое лицо, использующее телекоммуникационную сеть или терминальное оборудование, управляемое под контролем учреждения или органа Сообщества.

## Статья 35

### <a id="p100347"></a>Статья 35

<a id="p100348"></a>Безопасность


1. <a id="p100349"></a>Учреждения и органы Сообщества должны принять надлежащие технические и организационные меры для того, чтобы обеспечить безопасное использование телекоммуникационных сетей и терминального оборудования, при необходимости, при содействии провайдеров публичных телекоммуникационных услуг или провайдеров публичных телекоммуникационных сетей. С учетом современных достижений техники и стоимости их имплементации указанные меры должны обеспечивать уровень безопасности, соответствующий существующим рискам.
2. <a id="p100350"></a>В случае существования любого конкретного риска нарушения режима безопасности в сети и терминального оборудования соответствующее учреждение или орган Сообщества должны уведомить пользователей о существовании указанного риска, а также о любых возможных способах защиты и альтернативных средствах коммуникации.

## Статья 36

### <a id="p100351"></a>Статья 36

<a id="p100352"></a>Конфиденциальность коммуникации


<a id="p100353"></a>Учреждения и органы Сообщества должны обеспечить конфиденциальность коммуникации с помощью телекоммуникационных сетей и терминального оборудования в соответствии с общими принципами права Сообщества.

## Статья 37

### <a id="p100354"></a>Статья 37

<a id="p100355"></a>Данные об информационном потоке и об оплате


1. <a id="p100356"></a>Без ущерба действию положений [параграфов 2](https://bukva.ai/docs/reglament-452001/statya-37#p100357), [3](https://bukva.ai/docs/reglament-452001/statya-37#p100358) и [4](https://bukva.ai/docs/reglament-452001/statya-37#p100359), данные об информационном потоке (трафике), связанные с пользователями, которые обрабатываются и хранятся для осуществления звонков и установления связи иным способом с помощью телекоммуникационной сети, должны уничтожаться или приводиться в анонимный вид сразу после окончания звонка или прерывания связи иного типа.
2. <a id="p100357"></a>При необходимости, данные об информационном потоке, указанные в перечне, согласованном с Органом по надзору за защитой персональных данных на территории Европейского сообщества, могут быть обработаны с целью составления бюджета на телекоммуникации и управления трафиком, в том числе, для верификации санкционированного использования телекоммуникационных систем. Указанные данные должны быть стерты или приведены в анонимный вид как можно скорее, но не позднее шести месяцев после их сбора за исключением тех случаев, когда необходимо более длительное их хранение для заявления, поддержания или защиты от требований в суде.
3. <a id="p100358"></a>Обработка данных об информационном потоке и об оплате должна осуществляться только теми лицами, которые занимаются организацией оплаты, управлением трафиком или составлением бюджета.
4. <a id="p100359"></a>Пользователи телекоммуникационных сетей должны иметь право получать недетализированные счета или иные записи о сделанных звонках.

## Статья 38

### <a id="p100360"></a>Статья 38

<a id="p100361"></a>Каталоги пользователей


1. <a id="p100362"></a>Персональные данные, содержащиеся в распечатанных или электронных каталогах пользователей, и доступ к указанным каталогам должны быть ограничены тем, что является строго необходимым для конкретных целей каталога.
2. <a id="p100363"></a>Учреждения и органы Сообщества должны предпринимать все необходимые меры для того, чтобы предотвратить использование персональных данных, содержащихся в указанных каталогах, в целях прямого маркетинга, независимо от того, являются ли указанные данные общественно доступными или нет.

## Статья 39

### <a id="p100364"></a>Статья 39

<a id="p100365"></a>Указание на услугу определения номера телефона<br> или определения линии иной связи и ограничение данной услуги


1. <a id="p100366"></a>В том случае, если предлагается услуга определения номера телефона, звонящий пользователь должен иметь возможность с помощью простых средств бесплатно отказаться от определения номера телефона.
2. <a id="p100367"></a>В том случае, если предлагается услуга определения номера телефона, пользователь, которому позвонили, должен иметь возможность с помощью простых средств бесплатно отказаться от определения номера телефона, с которого производится входящий звонок.
3. <a id="p100368"></a>В том случае, если предлагается услуга определения линии связи, пользователь, которому позвонили, должен иметь возможность с помощью простых средств бесплатно отказаться от предоставления звонящему информации о линии связи.
4. <a id="p100369"></a>В том случае, если предлагается услуга определения номера телефона или определения линии связи, учреждения и органы Сообщества должны извещать об этом пользователей, а также информировать их о тех возможностях, которые представлены в [параграфах 1](https://bukva.ai/docs/reglament-452001/statya-39#p100366), [2](https://bukva.ai/docs/reglament-452001/statya-39#p100367) и [3](https://bukva.ai/docs/reglament-452001/statya-39#p100368).

## Статья 40

### <a id="p100370"></a>Статья 40

<a id="p100371"></a>Частичные отступления


<a id="p100372"></a>Учреждения и органы Сообщества должны обеспечить существование прозрачных процедур, регулирующих способы, с помощью которых они могут не принимать во внимание отказ от определения номера телефона:
<a id="p100373"></a>a) на постоянной основе, по заявлению пользователя, запрашивающего отслеживание злонамеренных или нежелательных звонков;
<a id="p100374"></a>b) для конкретных звонков в организации, принимающие звонки при чрезвычайных ситуациях, с целью ответа на указанные звонки.

## Статья 41

### <a id="p100375"></a>ГЛАВА V. НЕЗАВИСИМЫЙ НАДЗОРНЫЙ ОРГАН - УПОЛНОМОЧЕННЫЙ ПО НАДЗОРУ ЗА ЗАЩИТОЙ ПЕРСОНАЛЬНЫХ ДАННЫХ НА ТЕРРИТОРИИ ЕВРОПЕЙСКОГО СООБЩЕСТВА

### <a id="p100376"></a>Статья 41

<a id="p100377"></a>Уполномоченный по надзору за защитой персональных данных<br> на территории Европейского сообщества


1. <a id="p100378"></a>Настоящим учреждается независимый надзорный орган - Уполномоченный по надзору за защитой персональных данных на территории Европейского сообщества.
2. <a id="p100379"></a>Применительно к обработке персональных данных Уполномоченный по надзору за защитой персональных данных на территории Европейского сообщества ответственен за обеспечение уважения учреждениями и органами Сообщества основных прав и свобод человека и, в частности, его права на тайну частной жизни.
<a id="p100380"></a>Уполномоченный по надзору за защитой персональных данных на территории Европейского сообщества несет ответственность за мониторинг и обеспечение применения положений настоящего Регламента, а также иных нормативных актов Сообщества, связанных с защитой основных прав и свобод человека применительно к обработке персональных данных учреждениями или органами Сообщества, а также за консультирование учреждений и органов Сообщества и субъектов персональных данных по всем вопросам, касающимся обработки персональных данных. Для достижения указанных целей он или она должны выполнять обязанности, предусмотренные [статьей 46](https://bukva.ai/docs/reglament-452001/statya-46#p100409), и осуществлять полномочия, предоставленные ему или ей [статьей 47](https://bukva.ai/docs/reglament-452001/statya-47#p100424).

## Статья 42

### <a id="p100381"></a>Статья 42

<a id="p100382"></a>Назначение


1. <a id="p100383"></a>Европейский парламент и Совет ЕС на основе взаимного согласия должны назначать Уполномоченного по надзору за защитой персональных данных на территории Европейского сообщества каждые пять лет на основании списка, подготовленного Европейской комиссией после проведения открытого конкурса на замещение должности.
<a id="p100384"></a>Помощник Уполномоченного должен назначаться в соответствии с той же процедурой и на тот же срок и должен содействовать Уполномоченному в выполнении всех обязанностей последнего и действовать в качестве его заместителя в случае, когда Уполномоченный отсутствует или отстранен от выполнения указанных обязанностей.
2. <a id="p100385"></a>Уполномоченный по надзору за защитой персональных данных на территории Европейского сообщества должен быть избран среди лиц, независимость которых несомненна, и которые известны своим опытом и навыками, необходимыми для выполнения обязанностей Уполномоченного по надзору за защитой персональных данных на территории Европейского сообщества, например, в связи с тем, что они работают или работали в надзорных органах, указанных в [статье 28](https://bukva.ai/docs/direktiva-9546es/statya-28#p100322) Директивы 95/46/ЕС.
3. <a id="p100386"></a>Уполномоченный по надзору за защитой персональных данных на территории Европейского сообщества может быть повторно назначен на данную должность.
4. <a id="p100387"></a>Помимо случаев обычного переназначения или смерти, полномочия Уполномоченного по надзору за защитой персональных данных на территории Европейского сообщества могут прекратиться в случае отказа от должности или принудительного выхода на пенсию в соответствии с параграфом 5.
5. <a id="p100388"></a>Уполномоченный по надзору за защитой персональных данных на территории Европейского сообщества может быть уволен или лишен его или ее права на пенсию или иные льготы и пособия по усмотрению Суда Европейских сообществ на основании запроса Европейского парламента, Совета ЕС или Европейской комиссии, если он или она более не соответствует условиям, необходимым для выполнения его или ее обязанностей или если он или она уличены в серьезном неправомерном поведении.
6. <a id="p100389"></a>В случае обычного переназначения или добровольного отказа от должности Уполномоченный по надзору за защитой персональных данных на территории Европейского сообщества должен, тем не менее, занимать данную должность до момента, когда его или ее заменят иным лицом.
7. <a id="p100390"></a>[Статьи с 12](https://bukva.ai/docs/protokol-7-evropeyskiy-soyuz-es/statya-12#p100064) по [15](https://bukva.ai/docs/protokol-7-evropeyskiy-soyuz-es/statya-15#p100075) и [статья 18](https://bukva.ai/docs/protokol-7-evropeyskiy-soyuz-es/statya-18#p100087) Протокола о привилегиях и иммунитетах Европейских сообществ должны также применяться к Уполномоченному по надзору за защитой персональных данных на территории Европейского сообщества.
8. <a id="p100391"></a>[Параграфы со 2](https://bukva.ai/docs/reglament-452001/statya-42#p100385) по 7 применяются также к помощнику Уполномоченного.

## Статья 43

### <a id="p100392"></a>Статья 43

<a id="p100393"></a>Правила и общие условия, регулирующие<br> выполнение обязанностей Уполномоченного по надзору<br> за защитой персональных данных на территории Европейского<br> сообщества, а также формирование его финансовых<br> ресурсов и персонала


1. <a id="p100394"></a>Европейский парламент, Совет ЕС и Европейская комиссия должны на основе взаимного согласия утвердить правила и общие условия, регулирующие выполнение обязанностей Уполномоченного по надзору за защитой персональных данных на территории Европейского сообщества и, в частности, размер оплаты его или ее труда, льготы и любые другие пособия и компенсации.
2. <a id="p100395"></a>Орган, формирующий бюджет, должен убедиться в том, что Уполномоченный по надзору за защитой персональных данных на территории Европейского сообщества обеспечен финансовыми ресурсами и персоналом, необходимыми для осуществления его или ее задач.
3. <a id="p100396"></a>Бюджет Уполномоченного по надзору за защитой персональных данных на территории Европейского сообщества должен быть отражен отдельной бюджетной строкой в разделе VIII общего бюджета Европейского Союза.
4. <a id="p100397"></a>Уполномоченному по надзору за защитой персональных данных на территории Европейского сообщества должен содействовать Секретариат. Должностные лица и остальной персонал Секретариата должны назначаться Уполномоченным по надзору за защитой персональных данных на территории Европейского сообщества; они должны отчитываться непосредственно Уполномоченному по надзору за защитой персональных данных на территории Европейского сообщества и выполнять только его или ее указания. Штатное расписание должно определяться каждый год в рамках процедуры составления бюджета.
5. <a id="p100398"></a>Должностные лица и остальной персонал Секретариата Уполномоченного по надзору за защитой персональных данных на территории Европейского сообщества подпадают под действие правил и регламентов, распространяющихся на должностных лиц и служащих Европейских сообществ.
6. <a id="p100399"></a>В вопросах, касающихся персонала Секретариата, Уполномоченный по надзору за защитой персональных данных на территории Европейского сообщества должен иметь тот же статус, что и учреждения в значении статьи 1 Правил внутреннего распорядка для должностных лиц Европейских сообществ.

## Статья 44

### <a id="p100400"></a>Статья 44

<a id="p100401"></a>Независимость


1. <a id="p100402"></a>Уполномоченный по надзору за защитой персональных данных на территории Европейского сообщества при выполнении своих обязанностей должен действовать абсолютно независимо.
2. <a id="p100403"></a>Уполномоченный по надзору за защитой персональных данных на территории Европейского сообщества при выполнении своих обязанностей не должен ни ждать указаний от кого бы то ни было, ни принимать такие указания.
3. <a id="p100404"></a>Уполномоченный по надзору за защитой персональных данных на территории Европейского сообщества должен воздерживаться от любых действий, несовместимых с его или ее обязанностями, и не должен в период пребывания в должности заниматься любой иной деятельностью, как оплачиваемой, так и неоплачиваемой.
4. <a id="p100405"></a>Уполномоченный по надзору за защитой персональных данных на территории Европейского сообщества после окончания его или ее срока пребывания в должности должен честно и осмотрительно вести себя в отношении принятия предложений о назначении на должность и о компенсациях.

## Статья 45

### <a id="p100406"></a>Статья 45

<a id="p100407"></a>Профессиональная тайна


<a id="p100408"></a>Уполномоченный по надзору за защитой персональных данных на территории Европейского сообщества, а также его персонал, обязаны как во время срока пребывания в должности, так и после его окончания хранить профессиональную тайну в отношении конфиденциальной информации, которая стала им известна в процессе выполнения ими своих официальных обязанностей.

## Статья 46

### <a id="p100409"></a>Статья 46

<a id="p100410"></a>Обязанности


<a id="p100411"></a>Уполномоченный по надзору за защитой персональных данных на территории Европейского сообщества должен:
<a id="p100412"></a>a) заслушивать и рассматривать жалобы и сообщать субъектам персональных данных о результатах в течение разумного срока;
<a id="p100413"></a>b) делать запросы как по собственной инициативе, так и на основании жалобы, а также сообщать субъектам персональных данных о результатах в течение разумного срока;
<a id="p100414"></a>c) контролировать и обеспечивать применение положений настоящего Регламента, а также любых иных нормативных актов Сообщества, связанных с защитой физических лиц при обработке персональных данных учреждениями или органами Сообщества, за исключением Суда Европейских сообществ, действующего в рамках своих судебных полномочий;
<a id="p100415"></a>d) консультировать все учреждения и органы Сообщества как по собственной инициативе, так и в ответ на соответствующий запрос, по всем вопросам, касающимся обработки персональных данных, в частности, до того, как они разработают внутренние правила, связанные с защитой основных прав и свобод применительно к обработке персональных данных;
<a id="p100416"></a>e) отслеживать актуальные новшества постольку, поскольку они влияют на защиту персональных данных, в частности, в области развития информации и коммуникационных технологий;
<a id="p100417"></a>f) i) сотрудничать с национальными надзорными органами, указанными в [статье 28](https://bukva.ai/docs/direktiva-9546es/statya-28#p100322) Директивы 95/46/ЕС, государств, для которых действует указанная [Директива](https://bukva.ai/docs/direktiva-9546es/statya-1), в той степени, которая необходима для того, чтобы выполнять их соответствующие обязанности, в частности, путем обмена всей полезной информацией, путем направления запросов в соответствующие учреждения или органы с просьбой о применении их полномочий или путем ответов на запросы указанных учреждений или органов;
<a id="p100418"></a>ii) также сотрудничать с надзорными органами по защите данных, учрежденными согласно разделу VI Договора об учреждении Европейского Союза, в частности, с целью последовательного применения правил и процедур по обеспечению соответствия, за которые они несут ответственность;
<a id="p100419"></a>g) принимать участие в деятельности Рабочей группы по защите физических лиц при обработке персональных данных, созданной на основании [статьи 29](https://bukva.ai/docs/direktiva-9546es/statya-29#p100338) Директивы 95/46/ЕС;
<a id="p100420"></a>h) принимать решение об исключениях, защитных мерах, разрешениях и условиях, предусмотренных [статьей 10 (2) "b"](https://bukva.ai/docs/reglament-452001/statya-10#p100152), [(4)](https://bukva.ai/docs/reglament-452001/statya-10#p100157), [(5)](https://bukva.ai/docs/reglament-452001/statya-10#p100158) и [(6)](https://bukva.ai/docs/reglament-452001/statya-10#p100159), [статьей 12 (2)](https://bukva.ai/docs/reglament-452001/statya-12#p100190), [статьей 19](https://bukva.ai/docs/reglament-452001/statya-19#p100223) и [статьей 37 (2)](https://bukva.ai/docs/reglament-452001/statya-37#p100357);
<a id="p100421"></a>i) вести реестр операций по обработке, о которых ему или ей было сообщено в силу [статьи 27 (2)](https://bukva.ai/docs/reglament-452001/statya-27#p100307), и которые были зарегистрированы в соответствии со [статьей 27 (5)](https://bukva.ai/docs/reglament-452001/statya-27#p100316), а также обеспечить средства доступа к реестрам, которые ведут инспекторы по защите персональных данных в соответствии со [статьей 26](https://bukva.ai/docs/reglament-452001/statya-26#p100298);
<a id="p100422"></a>j) осуществлять предварительную проверку операции по обработке, о которой ему или ей было сообщено;
<a id="p100423"></a>k) установить собственные Процессуальные правила.

## Статья 47

### <a id="p100424"></a>Статья 47

<a id="p100425"></a>Полномочия


1. <a id="p100426"></a>Уполномоченный по надзору за защитой персональных данных на территории Европейского сообщества вправе:
<a id="p100427"></a>a) давать субъектам персональных данных советы по поводу осуществления их прав;
<a id="p100428"></a>b) передать вопрос на рассмотрение контролирующему лицу в случае предполагаемого нарушения положений, регулирующих обработку персональных данных, и в соответствующих случаях предложить способы компенсации указанного нарушения и повышения уровня защиты персональных данных;
<a id="p100429"></a>c) обязать соответствующих лиц ответить на запросы по осуществлению отдельных прав в отношении данных, если по указанным запросам было отказано в нарушении [статей с 13](https://bukva.ai/docs/reglament-452001/statya-13#p100193) по [19](https://bukva.ai/docs/reglament-452001/statya-19#p100223);
<a id="p100430"></a>d) сделать контролирующему лицу предупреждение или выговор;
<a id="p100431"></a>e) организовать изменение, блокировку, уничтожение или стирание всех данных, если они были обработаны в нарушение положений, регулирующих обработку персональных данных, а также направление уведомления об указанных действиях третьим лицам, которым данные были раскрыты;
<a id="p100432"></a>f) наложить временный или окончательный запрет на обработку;
<a id="p100433"></a>g) передать вопрос на рассмотрение соответствующего учреждения или органа Сообщества и, при необходимости, Европейского парламента, Совета ЕС и Европейской комиссии;
<a id="p100434"></a>h) передать вопрос на рассмотрение Суда Европейских сообществ на условиях, предусмотренных Договором;
<a id="p100435"></a>i) вступать по собственной инициативе в дела, рассматриваемые Судом Европейских сообществ;
2. <a id="p100436"></a>Уполномоченный по надзору за защитой персональных данных на территории Европейского сообщества имеет полномочия на:
<a id="p100437"></a>a) получение от контролирующего лица или учреждения или органа Сообщества доступа ко всем персональным данным и ко всей информации, необходимой для рассматриваемых им или ей дел;
<a id="p100438"></a>b) получение доступа во все помещения, в которых контролирующее лицо или учреждение или орган Сообщества осуществляет свою деятельность, если есть разумные основания полагать, что деятельность, подпадающая под действие настоящего Регламента, осуществляется в указанном помещении.

## Статья 48

### <a id="p100439"></a>Статья 48

<a id="p100440"></a>Отчет о деятельности


1. <a id="p100441"></a>Уполномоченный по надзору за защитой персональных данных на территории Европейского сообщества должен ежегодно отчитываться о своей деятельности перед Европейским парламентом, Советом ЕС и Европейской комиссией, а также обнародовать указанный отчет.
2. <a id="p100442"></a>Уполномоченный по надзору за защитой персональных данных на территории Европейского сообщества должен направлять отчет о своей деятельности другим учреждениям и органам Сообщества, которые могут представить свои комментарии в целях рассмотрения отчета Европейским парламентом, в частности, в отношении описания мер, принятых в ответ на замечания Уполномоченного по надзору за защитой персональных данных на территории Европейского сообщества, сделанные согласно [статье 31](https://bukva.ai/docs/reglament-452001/statya-31#p100327).

## Статья 49

### <a id="p100443"></a>ГЛАВА VI. ОКОНЧАТЕЛЬНЫЕ ПОЛОЖЕНИЯ

### <a id="p100444"></a>Статья 49

<a id="p100445"></a>Санкции


<a id="p100446"></a>Любое умышленное либо неосторожное невыполнение должностным лицом или иным служащим Европейских сообществ обязанностей, предусмотренных настоящим Регламентом, влечет наложение дисциплинарного взыскания в соответствии с правилами и процедурами, предусмотренными Правилами внутреннего распорядка для должностных лиц Европейских сообществ либо иными правилами, применимыми к другим служащим.

## Статья 50

### <a id="p100447"></a>Статья 50

<a id="p100448"></a>Переходный период


<a id="p100449"></a>Учреждения и органы Сообщества должны обеспечить приведение операций по обработке, осуществляемых на момент вступления в силу настоящего Регламента, в соответствие с настоящим Регламентом в течение одного года с указанного момента.

## Статья 51

### <a id="p100450"></a>Статья 51

<a id="p100451"></a>Вступление в силу


<a id="p100452"></a>Настоящий Регламент вступает в силу на двадцатый день после его публикации в Официальном журнале Европейских сообществ. Настоящий Регламент является обязательным для всех государств-членов ЕС в полном объеме и имеет прямое действие на их территории.

<a id="p100453"></a>Совершено в Брюсселе, 18 декабря 2000 г.

<div align="right">

<a id="p100454"></a>(Подписи)

</div>









1. <a id="p100456"></a>Инспектор по защите персональных данных вправе давать рекомендации по практическому повышению уровня защиты данных тому учреждению или органу Сообщества, которым он или она был назначен на должность, а также консультировать его и соответствующее контролирующее лицо по вопросам, касающимся применения положений о защите данных. Кроме того, он или она вправе по собственной инициативе или по запросу учреждения или органа Сообщества, которым он или она был назначен, контролирующего лица, соответствующего Комитета по персоналу или любого другого индивида расследовать вопросы и происшествия, непосредственно связанные с его или ее задачами и доведенные до его сведения, и отчитаться перед лицом, которое инициировало расследование, или перед контролирующим лицом.
2. <a id="p100457"></a>С Инспектором по защите персональных данных вправе консультироваться учреждение или орган Сообщества, которым он или она был назначен, соответствующее контролирующее лицо, соответствующий Комитет по персоналу и любой индивид без обращения по официальным каналам по любым вопросам, касающимся толкования или применения настоящего Регламента.
3. <a id="p100458"></a>Никто не должен испытывать пристрастное отношение в связи с вопросом, доведенным до сведения полномочного Инспектора по защите персональных данных в результате предположительного нарушения положений настоящего Регламента.
4. <a id="p100459"></a>Каждое заинтересованное контролирующее лицо должно содействовать Инспектору по защите персональных данных в выполнении им или ею его или ее обязанностей, а также предоставлять информацию в ответ на соответствующий запрос. При исполнении его или ее обязанностей Инспектор по защите персональных данных должен в любое время иметь доступ к данным, формирующим предмет операций по обработке, а также в любые помещения, к пунктам обработки данных и к носителям информации.
5. <a id="p100460"></a>Инспектор по защите персональных данных должен быть в необходимой степени освобожден от иных задач. Инспектор по защите персональных данных и его или ее персонал, к которому также применяется статья 287 Договора, обязан не разглашать информацию или документы, которые они получают в процессе выполнения своих обязанностей.





<a id="p100461"></a>REGULATION (EC) No. 45/2001
**OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL**
**ON THE PROTECTION OF INDIVIDUALS WITH REGARD TO THE**
**PROCESSING OF PERSONAL DATA BY THE COMMUNITY INSTITUTIONS**
**AND BODIES AND ON THE FREE MOVEMENT OF SUCH DATA**

<a id="p100462"></a>(Brussels, 18.XII.2000)

<a id="p100463"></a>The European parliament and the Council of the European Union,
<a id="p100464"></a>Having regard to the Treaty establishing the European Community, and in particular Article 286 thereof,
<a id="p100465"></a>Having regard to the proposal from the Commission <*>,

<a id="p100466"></a>

---

<a id="p100467"></a><*> OJ C 376E, 28.12.1999, p. 24.

<a id="p100468"></a>Having regard to the opinion of the Economic and Social Committee <*>,

<a id="p100469"></a>

---

<a id="p100470"></a><*> OJ C 51, 23.2.2000, p. 48.

<a id="p100471"></a>Acting in accordance with the procedure laid down in Article 251 of the Treaty <*>,

<a id="p100472"></a>

---

<a id="p100473"></a><*> Opinion of the European Parliament of 14 November 2000 and Council Decision of 30 November 2000.

<a id="p100474"></a>Whereas:
<a id="p100475"></a>(1) Article 286 of the Treaty requires the application to the Community institutions and bodies of the Community acts on the protection of individuals with regard to the processing of personal data and the free movement of such data.
<a id="p100476"></a>(2) A fully-fledged system of protection of personal data not only requires the establishment of rights for data subjects and obligations for those who process personal data, but also appropriate sanctions for offenders and monitoring by an independent supervisory body.
<a id="p100477"></a>(3) Article 286 (2) of the Treaty requires the establishment of an independent supervisory body responsible for monitoring the application of such Community acts to Community institutions and bodies.
<a id="p100478"></a>(4) Article 286 (2) of the Treaty requires the adoption of any other relevant provisions as appropriate.
<a id="p100479"></a>(5) A Regulation is necessary to provide the individual with legally enforceable rights, to specify the data processing obligations of the controllers within the Community institutions and bodies, and to create an independent supervisory authority responsible for monitoring the processing of personal data by the Community institutions and bodies.
<a id="p100480"></a>(6) The Working Party on the Protection of Individuals with regard to the Processing of Personal Data set up under Article 29 of Directive 95/46/EC of the European Parliament and of the Council of 24 October 1995 on the protection of individuals with regard to the processing of personal data and on the free movement of such data <*> has been consulted.

<a id="p100481"></a>

---

<a id="p100482"></a><*> OJ L 281, 23.11.1995, p. 31.

<a id="p100483"></a>(7) The persons to be protected are those whose personal data are processed by Community institutions or bodies in any context whatsoever, for example because they are employed by those institutions or bodies.
<a id="p100484"></a>(8) The principles of data protection should apply to any information concerning an identified or identifiable person. To determine whether a person is identifiable, account should be taken of all the means likely to be reasonably used either by the controller or by any other person to identify the said person. The principles of protection should not apply to data rendered anonymous in such a way that the data subject is no longer identifiable.
<a id="p100485"></a>(9) Directive 95/46/EC requires Member States to protect the fundamental rights and freedoms of natural persons, and in particular their right to privacy with respect to the processing of personal data, in order to ensure the free flow of personal data in the Community.
<a id="p100486"></a>(10) Directive 97/66/EC of the European Parliament and of the Council of 15 December 1997 concerning the processing of personal data and the protection of privacy in the telecommunications sector <*> specifies and adds to Directive 95/46/EC with respect to the processing of personal data in the telecommunications sector.

<a id="p100487"></a>

---

<a id="p100488"></a><*> OJ L 24, 30.1.1998, p. 1.

<a id="p100489"></a>(11) Various other Community measures, including measures on mutual assistance between national authorities and the Commission, are also designed to specify and add to Directive 95/46/EC in the sectors to which they relate.
<a id="p100490"></a>(12) Consistent and homogeneous application of the rules for the protection of individuals' fundamental rights and freedoms with regard to the processing of personal data should be ensured throughout the Community.
<a id="p100491"></a>(13) The aim is to ensure both effective compliance with the rules governing the protection of individuals' fundamental rights and freedoms and the free flow of personal data between Member States and the Community institutions and bodies or between the Community institutions and bodies for purposes connected with the exercise of their respective competences.
<a id="p100492"></a>(14) To this end measures should be adopted which are binding on the Community institutions and bodies. These measures should apply to all processing of personal data by all Community institutions and bodies insofar as such processing is carried out in the exercise of activities all or part of which fall within the scope of Community law.
<a id="p100493"></a>(15) Where such processing is carried out by Community institutions or bodies in the exercise of activities falling outside the scope of this Regulation, in particular those laid down in Titles V and VI of the Treaty on European Union, the protection of individuals' fundamental rights and freedoms shall be ensured with due regard to Article 6 of the Treaty on European Union. Access to documents, including conditions for access to documents containing personal data, is governed by the rules adopted on the basis of Article 255 of the EC Treaty the scope of which includes Titles V and VI of the Treaty on European Union.
<a id="p100494"></a>(16) The measures should not apply to bodies established outside the Community framework, nor should the European Data Protection Supervisor be competent to monitor the processing of personal data by such bodies.
<a id="p100495"></a>(17) The effectiveness of the protection of individuals with regard to the processing of personal data in the Union presupposes the consistency of the relevant rules and procedures applicable to activities pertaining to different legal contexts. The development of fundamental principles on the protection of personal data in the fields of judicial cooperation in criminal affairs and police and customs cooperation, and the setting-up of a secretariat for the joint supervisory authorities established by the Europol Convention, the Convention on the Use of Information Technology for Customs Purposes and the Schengen Convention represent a first step in this regard.
<a id="p100496"></a>(18) This Regulation should not affect the rights and obligations of Member States under Directives 95/46/EC and 97/66/EC. It is not intended to change existing procedures and practices lawfully implemented by the Member States in the field of national security, prevention of disorder or prevention, detection, investigation and prosecution of criminal offences in compliance with the Protocol on Privileges and Immunities of the European Communities and with international law.
<a id="p100497"></a>(19) The Community institutions and bodies should inform the competent authorities in the Member States when they consider that communications on their telecommunications networks should be intercepted, in keeping with the national provisions applicable.
<a id="p100498"></a>(20) The provisions applicable to the Community institutions and bodies should correspond to those provisions laid down in connection with the harmonisation of national laws or the implementation of other Community policies, notably in the mutual assistance sphere. It may be necessary, however, to specify and add to those provisions when it comes to ensuring protection in the case of the processing of personal data by the Community institutions and bodies.
<a id="p100499"></a>(21) This holds true for the rights of the individuals whose data are being processed, for the obligations of the Community institutions and bodies doing the processing, and for the powers to be vested in the independent supervisory authority responsible for ensuring that this Regulation is properly applied.
<a id="p100500"></a>(22) The rights accorded the data subject and the exercise thereof should not affect the obligations placed on the controller.
<a id="p100501"></a>(23) The independent supervisory authority should exercise its supervisory functions in accordance with the Treaty and in compliance with human rights and fundamental freedoms. It should conduct its enquiries in compliance with the Protocol on Privileges and Immunities and with the Staff Regulations of Officials of the European Communities and the conditions of employment applicable to Other Servants of the Communities.
<a id="p100502"></a>(24) The necessary technical measures should be adopted to allow access to the registers of processing operations carried out by Data Protection Officers through the independent supervisory authority.
<a id="p100503"></a>(25) The decisions of the independent supervisory authority regarding exemptions, guarantees, authorisations and conditions relating to data processing operations, as defined in this Regulation, should be published in the activities report. Independently of the publication of an annual activities report, the independent supervisory authority may publish reports on specific subjects.
<a id="p100504"></a>(26) Certain processing operations likely to present specific risks with respect to the rights and freedoms of data subjects are subject to prior checking by the independent supervisory authority. The opinion given in the context of such prior checking, including the opinion resulting from failure to reply within the set period, should be without prejudice to the subsequent exercise by the independent supervisory authority of its powers with regard to the processing operation in question.
<a id="p100505"></a>(27) Processing of personal data for the performance of tasks carried out in the public interest by the Community institutions and bodies includes the processing of personal data necessary for the management and functioning of those institutions and bodies.
<a id="p100506"></a>(28) In certain cases the processing of data should be authorised by Community provisions or by acts transposing Community provisions. Nevertheless, in the transitional period during which such provisions do not exist, pending their adoption, the European Data Protection Supervisor may authorise processing of such data provided that adequate safeguards are adopted. In so doing, he should take account in particular of the provisions adopted by the Member States to deal with similar cases.
<a id="p100507"></a>(29) These cases concern the processing of data revealing racial or ethnic origin, political opinions, religious or philosophical beliefs or trade-union membership and the processing of data concerning health or sex life which are necessary for the purposes of complying with the specific rights and obligations of the controller in the field of employment law or for reasons of substantial public interest. They also concern the processing of data relating to offences, criminal convictions or security measures and authorisation to apply a decision to the data subject which produces legal effects concerning him or her or significantly affects him or her and which is based solely on automated processing of data intended to evaluate certain personal aspects relating to him or her.
<a id="p100508"></a>(30) It may be necessary to monitor the computer networks operated under the control of the Community institutions and bodies for the purposes of prevention of unauthorised use. The European Data Protection Supervisor should determine whether and under what conditions that is possible.
<a id="p100509"></a>(31) Liability arising from any breach of this Regulation is governed by the second paragraph of Article 288 of the Treaty.
<a id="p100510"></a>(32) In each Community institution or body one or more Data Protection Officers should ensure that the provisions of this Regulation are applied and should advise controllers on fulfilling their obligations.
<a id="p100511"></a>(33) Under Article 21 of Council Regulation (EC) No 322/97 of 17 February 1997 on Community statistics <*>, that Regulation is to apply without prejudice to Directive 95/46/EC.

<a id="p100512"></a>

---

<a id="p100513"></a><*> OJ L 52, 22.2.1997, p. 1.

<a id="p100514"></a>(34) Under Article 8 (8) of Council Regulation (EC) No 2533/98 of 23 November 1998 concerning the collection of statistical information by the European Central Bank <*>, that Regulation is to apply without prejudice to Directive 95/46/EC.

<a id="p100515"></a>

---

<a id="p100516"></a><*> OJ L 318, 27.11.1998, p. 8.

<a id="p100517"></a>(35) Under Article 1 (2) of Council Regulation (Euratom, EEC) No 1588/90 of 11 June 1990 on the transmission of data subject to statistical confidentiality to the Statistical Office of the European Communities <*>, that Regulation does not derogate from the special Community or national provisions concerning the safe guarding of confidentiality other than statistical confidentiality.

<a id="p100518"></a>

---

<a id="p100519"></a><*> OJ L 151, 15.6.1990, p. 1. Regulation as amended by Regulation (EC) No 322/97 (OJ L 52, 22.2.1997, p. 1).

<a id="p100520"></a>(36) This Regulation does not aim to limit Member States' room for manoeuvre in drawing up their national laws on data protection under Article 32 of Directive 95/46/EC, in accordance with Article 249 of the Treaty,
<a id="p100521"></a>Have adopted this regulation:




<div align="center">

<a id="p100523"></a>Article 1

<a id="p100524"></a>Object of the Regulation

</div>


1. <a id="p100525"></a>In accordance with this Regulation, the institutions and bodies set up by, or on the basis of, the Treaties establishing the European Communities, hereinafter referred to as "Community institutions or bodies", shall protect the fundamental rights and freedoms of natural persons, and in particular their right to privacy with respect to the processing of personal data and shall neither restrict nor prohibit the free flow of personal data between themselves or to recipients subject to the national law of the Member States implementing Directive 95/46/EC.
2. <a id="p100526"></a>The independent supervisory authority established by this Regulation, hereinafter referred to as the European Data Protection Supervisor, shall monitor the application of the provisions of this Regulation to all processing operations carried out by a Community institution or body.

<div align="center">

<a id="p100527"></a>Article 2

<a id="p100528"></a>Definitions

</div>


<a id="p100529"></a>For the purposes of this Regulation:
<a id="p100530"></a>(a) "personal data" shall mean any information relating to an identified or identifiable natural person hereinafter referred to as "data subject"; an identifiable person is one who can be identified, directly or indirectly, in particular by reference to an identification number or to one or more factors specific to his or her physical, physiological, mental, economic, cultural or social identity;
<a id="p100531"></a>(b) "processing of personal data" hereinafter referred to as "processing" shall mean any operation or set of operations which is performed upon personal data, whether or not by automatic means, such as collection, recording, organisation, storage, adaptation or alteration, retrieval, consultation, use, disclosure by transmission, dissemination or otherwise making available, alignment or combination, blocking, erasure or destruction;
<a id="p100532"></a>(c) "personal data filing system" hereinafter referred to as "filing system" shall mean any structured set of personal data which are accessible according to specific criteria, whether centralised, decentralised or dispersed on a functional or geographical basis;
<a id="p100533"></a>(d) "controller" shall mean the Community institution or body, the Directorate-General, the unit or any other organisational entity which alone or jointly with others determines the purposes and means of the processing of personal data; where the purposes and means of processing are determined by a specific Community act, the controller or the specific criteria for its nomination may be designated by such Community act;
<a id="p100534"></a>(e) "processor" shall mean a natural or legal person, public authority, agency or any other body which processes personal data on behalf of the controller;
<a id="p100535"></a>(f) "third party" shall mean a natural or legal person, public authority, agency or body other than the data subject, the controller, the processor and the persons who, under the direct authority of the controller or the processor, are authorised to process the data;
<a id="p100536"></a>(g) "recipient" shall mean a natural or legal person, public authority, agency or any other body to whom data are disclosed, whether a third party or not; however, authorities which may receive data in the framework of a particular inquiry shall not be regarded as recipients;
<a id="p100537"></a>(h) "the data subject's consent" shall mean any freely given specific and informed indication of his or her wishes by which the data subject signifies his or her agreement to personal data relating to him or her being processed.

<div align="center">

<a id="p100538"></a>Article 3

<a id="p100539"></a>Scope

</div>


1. <a id="p100540"></a>This Regulation shall apply to the processing of personal data by all Community institutions and bodies insofar as such processing is carried out in the exercise of activities all or part of which fall within the scope of Community law.
2. <a id="p100541"></a>This Regulation shall apply to the processing of personal data wholly or partly by automatic means, and to the processing otherwise than by automatic means of personal data which form part of a filing system or are intended to form part of a filing system.




<div align="center">

<a id="p100543"></a>Section 1

<a id="p100544"></a>**PRINCIPLES RELATING TO DATA QUALITY**

<a id="p100545"></a>Article 4

<a id="p100546"></a>Data quality

</div>


1. <a id="p100547"></a>Personal data must be:
<a id="p100548"></a>(a) processed fairly and lawfully;
<a id="p100549"></a>(b) collected for specified, explicit and legitimate purposes and not further processed in a way incompatible with those purposes. Further processing of personal data for historical, statistical or scientific purposes shall not be considered incompatible provided that the controller provides appropriate safeguards, in particular to ensure that the data are not processed for any other purposes or used in support of measures or decisions regarding any particular individual;
<a id="p100550"></a>(c) adequate, relevant and not excessive in relation to the purposes for which they are collected and/or further processed;
<a id="p100551"></a>(d) accurate and, where necessary, kept up to date; every reasonable step must be taken to ensure that data which are inaccurate or incomplete, having regard to the purposes for which they were collected or for which they are further processed, are erased or rectified;
<a id="p100552"></a>(e) kept in a form which permits identification of data subjects for no longer than is necessary for the purposes for which the data were collected or for which they are further processed. The Community institution or body shall lay down that personal data which are to be stored for longer periods for historical, statistical or scientific use should be kept either in anonymous form only or, if that is not possible, only with the identity of the data subjects encrypted. In any event, the data shall not be used for any purpose other than for historical, statistical or scientific purposes.
2. <a id="p100553"></a>It shall be for the controller to ensure that paragraph 1 is complied with.

<div align="center">

<a id="p100554"></a>Section 2

<a id="p100555"></a>**CRITERIA FOR MAKING DATA PROCESSING LEGITIMATE**

<a id="p100556"></a>Article 5

<a id="p100557"></a>Lawfulness of processing

</div>


<a id="p100558"></a>Personal data may be processed only if:
<a id="p100559"></a>(a) processing is necessary for the performance of a task carried out in the public interest on the basis of the Treaties establishing the European Communities or other legal instruments adopted on the basis thereof or in the legitimate exercise of official authority vested in the Community institution or body or in a third party to whom the data are disclosed, or
<a id="p100560"></a>(b) processing is necessary for compliance with a legal obligation to which the controller is subject, or
<a id="p100561"></a>(c) processing is necessary for the performance of a contract to which the data subject is party or in order to take steps at the request of the data subject prior to entering into a contract, or
<a id="p100562"></a>(d) the data subject has unambiguously given his or her consent, or
<a id="p100563"></a>(e) processing is necessary in order to protect the vital interests of the data subject.

<div align="center">

<a id="p100564"></a>Article 6

<a id="p100565"></a>Change of purpose

</div>


<a id="p100566"></a>Without prejudice to Articles 4, 5 and 10:
1. <a id="p100567"></a>Personal data shall only be processed for purposes other than those for which they have been collected if the change of purpose is expressly permitted by the internal rules of the Community institution or body.
2. <a id="p100568"></a>Personal data collected exclusively for ensuring the security or the control of the processing systems or operations shall not be used for any other purpose, with the exception of the prevention, investigation, detection and prosecution of serious criminal offences.

<div align="center">

<a id="p100569"></a>Article 7

<a id="p100570"></a>Transfer of personal data within or between<br>
Community institutions or bodies

</div>


<a id="p100571"></a>Without prejudice to Articles 4, 5, 6 and 10:
1. <a id="p100572"></a>Personal data shall only be transferred within or to other Community institutions or bodies if the data are necessary for the legitimate performance of tasks covered by the competence of the recipient.
2. <a id="p100573"></a>Where the data are transferred following a request from the recipient, both the controller and the recipient shall bear the responsibility for the legitimacy of this transfer.
<a id="p100574"></a>The controller shall be required to verify the competence of the recipient and to make a provisional evaluation of the necessity for the transfer of the data. If doubts arise as to this necessity, the controller shall seek further information from the recipient.
<a id="p100575"></a>The recipient shall ensure that the necessity for the transfer of the data can be subsequently verified.
3. <a id="p100576"></a>The recipient shall process the personal data only for the purposes for which they were transmitted.

<div align="center">

<a id="p100577"></a>Article 8

<a id="p100578"></a>Transfer of personal data to recipients, other<br>
than Community institutions and bodies, subject<br>
to Directive 95/46/EC

</div>


<a id="p100579"></a>Without prejudice to Articles 4, 5, 6 and 10, personal data shall only be transferred to recipients subject to the national law adopted for the implementation of Directive 95/46/EC,
<a id="p100580"></a>(a) if the recipient establishes that the data are necessary for the performance of a task carried out in the public interest or subject to the exercise of public authority, or
<a id="p100581"></a>(b) if the recipient establishes the necessity of having the data transferred and if there is no reason to assume that the data subject's legitimate interests might be prejudiced.

<div align="center">

<a id="p100582"></a>Article 9

<a id="p100583"></a>Transfer of personal data to recipients,<br>
other than Community institutions and bodies,<br>
which are not subject to Directive 95/46/EC

</div>


1. <a id="p100584"></a>Personal data shall only be transferred to recipients, other than Community institutions and bodies, which are not subject to national law adopted pursuant to Directive 95/46/EC, if an adequate level of protection is ensured in the country of the recipient or within the recipient international organisation and the data are transferred solely to allow tasks covered by the competence of the controller to be carried out.
2. <a id="p100585"></a>The adequacy of the level of protection afforded by the third country or international organisation in question shall be assessed in the light of all the circumstances surrounding a data transfer operation or set of data transfer operations; particular consideration shall be given to the nature of the data, the purpose and duration of the proposed processing operation or operations, the recipient third country or recipient international organisation, the rules of law, both general and sectoral, in force in the third country or international organisation in question and the professional rules and security measures which are complied with in that third country or international organisation.
3. <a id="p100586"></a>The Community institutions and bodies shall inform the Commission and the European Data Protection Supervisor of cases where they consider the third country or international organisation in question does not ensure an adequate level of protection within the meaning of paragraph 2.
4. <a id="p100587"></a>The Commission shall inform the Member States of any cases as referred to in paragraph 3.
5. <a id="p100588"></a>The Community institutions and bodies shall take the necessary measures to comply with decisions taken by the Commission when it establishes, pursuant to Article 25 (4) and (6) of Directive 95/46/EC, that a third country or an international organisation ensures or does not ensure an adequate level of protection.
6. <a id="p100589"></a>By way of derogation from paragraphs 1 and 2, the Community institution or body may transfer personal data if:
<a id="p100590"></a>(a) the data subject has given his or her consent unambiguously to the proposed transfer; or
<a id="p100591"></a>(b) the transfer is necessary for the performance of a contract between the data subject and the controller or the implementation of pre-contractual measures taken in response to the data subject's request; or
<a id="p100592"></a>(c) the transfer is necessary for the conclusion or performance of a contract entered into in the interest of the data subject between the controller and a third party; or
<a id="p100593"></a>(d) the transfer is necessary or legally required on important public interest grounds, or for the establishment, exercise or defence of legal claims; or
<a id="p100594"></a>(e) the transfer is necessary in order to protect the vital interests of the data subject; or
<a id="p100595"></a>(f) the transfer is made from a register which, according to Community law, is intended to provide information to the public and which is open to consultation either by the public in general or by any person who can demonstrate a legitimate interest, to the extent that the conditions laid down in Community law for consultation are fulfilled in the particular case.
7. <a id="p100596"></a>Without prejudice to paragraph 6, the European Data Protection Supervisor may authorise a transfer or a set of transfers of personal data to a third country or international organisation which does not ensure an adequate level of protection within the meaning of paragraphs 1 and 2, where the controller adduces adequate safeguards with respect to the protection of the privacy and fundamental rights and freedoms of individuals and as regards the exercise of the corresponding rights; such safeguards may in particular result from appropriate contractual clauses.
8. <a id="p100597"></a>The Community institutions and bodies shall inform the European Data Protection Supervisor of categories of cases where they have applied paragraphs 6 and 7.

<div align="center">

<a id="p100598"></a>Section 3

<a id="p100599"></a>**SPECIAL CATEGORIES OF PROCESSING**

<a id="p100600"></a>Article 10

<a id="p100601"></a>The processing of special categories of data

</div>


1. <a id="p100602"></a>The processing of personal data revealing racial or ethnic origin, political opinions, religious or philosophical beliefs, trade-union membership, and of data concerning health or sex life, are prohibited.
2. <a id="p100603"></a>Paragraph 1 shall not apply where:
<a id="p100604"></a>(a) the data subject has given his or her express consent to the processing of those data, except where the internal rules of the Community institution or body provide that the prohibition referred to in paragraph 1 may not be lifted by the data subject's giving his or her consent, or
<a id="p100605"></a>(b) processing is necessary for the purposes of complying with the specific rights and obligations of the controller in the field of employment law insofar as it is authorised by the Treaties establishing the European Communities or other legal instruments adopted on the basis thereof, or, if necessary, insofar as it is agreed upon by the European Data Protection Supervisor, subject to adequate safeguards, or
<a id="p100606"></a>(c) processing is necessary to protect the vital interests of the data subject or of another person where the data subject is physically or legally incapable of giving his or her consent, or
<a id="p100607"></a>(d) processing relates to data which are manifestly made public by the data subject or is necessary for the establishment, exercise or defence of legal claims, or
<a id="p100608"></a>(e) processing is carried out in the course of its legitimate activities with appropriate safeguards by a non-profit-seeking body which constitutes an entity integrated in a Community institution or body, not subject to national data protection law by virtue of Article 4 of Directive 95/46/EC, and with a political, philosophical, religious or trade-union aim and on condition that the processing relates solely to the members of this body or to persons who have regular contact with it in connection with its purposes and that the data are not disclosed to a third party without the consent of the data subjects.
3. <a id="p100609"></a>Paragraph 1 shall not apply where processing of the data is required for the purposes of preventive medicine, medical diagnosis, the provision of care or treatment or the management of health-care services, and where those data are processed by a health professional subject to the obligation of professional secrecy or by another person also subject to an equivalent obligation of secrecy.
4. <a id="p100610"></a>Subject to the provision of appropriate safeguards, and for reasons of substantial public interest, exemptions in addition to those laid down in paragraph 2 may be laid down by the Treaties establishing the European Communities or other legal instruments adopted on the basis thereof or, if necessary, by decision of the European Data Protection Supervisor.
5. <a id="p100611"></a>Processing of data relating to offences, criminal convictions or security measures may be carried out only if authorised by the Treaties establishing the European Communities or other legal instruments adopted on the basis thereof or, if necessary, by the European Data Protection Supervisor, subject to appropriate specific safeguards.
6. <a id="p100612"></a>The European Data Protection Supervisor shall determine the conditions under which a personal number or other identifier of general application may be processed by a Community institution or body.

<div align="center">

<a id="p100613"></a>Section 4

<a id="p100614"></a>**INFORMATION TO BE GIVEN TO THE DATA SUBJECT**

<a id="p100615"></a>Article 11

<a id="p100616"></a>Information to be supplied where the data<br>
have been obtained from the data subject

</div>


1. <a id="p100617"></a>The controller shall provide a data subject from whom data relating to himself/herself are collected with at least the following information, except where he or she already has it:
<a id="p100618"></a>(a) the identity of the controller;
<a id="p100619"></a>(b) the purposes of the processing operation for which the data are intended;
<a id="p100620"></a>(c) the recipients or categories of recipients of the data;
<a id="p100621"></a>(d) whether replies to the questions are obligatory or voluntary, as well as the possible consequences of failure to reply;
<a id="p100622"></a>(e) the existence of the right of access to, and the right to rectify, the data concerning him or her;
<a id="p100623"></a>(f) any further information such as:
<a id="p100624"></a>(i) the legal basis of the processing operation for which the data are intended,
<a id="p100625"></a>(ii) the time-limits for storing the data,
<a id="p100626"></a>(iii) the right to have recourse at any time to the European Data Protection Supervisor,
<a id="p100627"></a>insofar as such further information is necessary, having regard to the specific circumstances in which the data are collected, to guarantee fair processing in respect of the data subject.
2. <a id="p100628"></a>By way of derogation from paragraph 1, the provision of information or part of it, except for the information referred to in paragraph 1 (a), (b) and (d), may be deferred as long as this is necessary for statistical purposes. The information must be provided as soon as the reason for which the information is withheld ceases to exist.

<div align="center">

<a id="p100629"></a>Article 12

<a id="p100630"></a>Information to be supplied where the data<br>
have not been obtained from the data subject

</div>


1. <a id="p100631"></a>Where the data have not been obtained from the data subject, the controller shall at the time of undertaking the recording of personal data or, if a disclosure to a third party is envisaged, no later than the time when the data are first disclosed, provide the data subject with at least the following information, except where he or she already has it:
<a id="p100632"></a>(a) the identity of the controller;
<a id="p100633"></a>(b) the purposes of the processing operation;
<a id="p100634"></a>(c) the categories of data concerned;
<a id="p100635"></a>(d) the recipients or categories of recipients;
<a id="p100636"></a>(e) the existence of the right of access to, and the right to rectify, the data concerning him or her;
<a id="p100637"></a>(f) any further information such as:
<a id="p100638"></a>(i) the legal basis of the processing operation for which the data are intended,
<a id="p100639"></a>(ii) the time-limits for storing the data,
<a id="p100640"></a>(iii) the right to have recourse at any time to the European Data Protection Supervisor,
<a id="p100641"></a>(iv) the origin of the data, except where the controller cannot disclose this information for reasons of professional secrecy,
<a id="p100642"></a>insofar as such further information is necessary, having regard to the specific circumstances in which the data are processed, to guarantee fair processing in respect of the data subject.
2. <a id="p100643"></a>Paragraph 1 shall not apply where, in particular for processing for statistical purposes or for the purposes of historical or scientific research, the provision of such information proves impossible or would involve a disproportionate effort or if recording or disclosure is expressly laid down by Community law. In these cases the Community institution or body shall provide for appropriate safeguards after consulting the European Data Protection Supervisor.

<div align="center">

<a id="p100644"></a>Section 5

<a id="p100645"></a>**RIGHTS OF THE DATA SUBJECT**

<a id="p100646"></a>Article 13

<a id="p100647"></a>Right of access

</div>


<a id="p100648"></a>The data subject shall have the right to obtain, without constraint, at any time within three months from the receipt of the request and free of charge from the controller:
<a id="p100649"></a>(a) confirmation as to whether or not data related to him or her are being processed;
<a id="p100650"></a>(b) information at least as to the purposes of the processing operation, the categories of data concerned, and the recipients or categories of recipients to whom the data are disclosed;
<a id="p100651"></a>(c) communication in an intelligible form of the data undergoing processing and of any available information as to their source;
<a id="p100652"></a>(d) knowledge of the logic involved in any automated decision process concerning him or her.

<div align="center">

<a id="p100653"></a>Article 14

<a id="p100654"></a>Rectification

</div>


<a id="p100655"></a>The data subject shall have the right to obtain from the controller the rectification without delay of inaccurate or incomplete personal data.

<div align="center">

<a id="p100656"></a>Article 15

<a id="p100657"></a>Blocking

</div>


1. <a id="p100658"></a>The data subject shall have the right to obtain from the controller the blocking of data where:
<a id="p100659"></a>(a) their accuracy is contested by the data subject, for a period enabling the controller to verify the accuracy, including the completeness, of the data, or;
<a id="p100660"></a>(b) the controller no longer needs them for the accomplishment of its tasks but they have to be maintained for purposes of proof, or;
<a id="p100661"></a>(c) the processing is unlawful and the data subject opposes their erasure and demands their blocking instead.
2. <a id="p100662"></a>In automated filing systems blocking shall in principle be ensured by technical means. The fact that the personal data are blocked shall be indicated in the system in such a way that it becomes clear that the personal data may not be used.
3. <a id="p100663"></a>Personal data blocked pursuant to this Article shall, with the exception of their storage, only be processed for purposes of proof, or with the data subject's consent, or for the protection of the rights of a third party.
4. <a id="p100664"></a>The data subject who requested and obtained the blocking of his or her data shall be informed by the controller before the data are unblocked.

<div align="center">

<a id="p100665"></a>Article 16

<a id="p100666"></a>Erasure

</div>


<a id="p100667"></a>The data subject shall have the right to obtain from the controller the erasure of data if their processing is unlawful, particularly where the provisions of Sections 1, 2 and 3 of Chapter II have been infringed.

<div align="center">

<a id="p100668"></a>Article 17

<a id="p100669"></a>Notification to third parties

</div>


<a id="p100670"></a>The data subject shall have the right to obtain from the controller the notification to third parties to whom the data have been disclosed of any rectification, erasure or blocking pursuant to Articles 13 to 16 unless this proves impossible or involves a disproportionate effort.

<div align="center">

<a id="p100671"></a>Article 18

<a id="p100672"></a>The data subject's right to object

</div>


<a id="p100673"></a>The data subject shall have the right:
<a id="p100674"></a>(a) to object at any time, on compelling legitimate grounds relating to his or her particular situation, to the processing of data relating to him or her, except in the cases covered by Article 5 (b), (c) and (d). Where there is a justified objection, the processing in question may no longer involve those data;
<a id="p100675"></a>(b) to be informed before personal data are disclosed for the first time to third parties or before they are used on their behalf for the purposes of direct marketing, and to be expressly offered the right to object free of charge to such disclosure or use.

<div align="center">

<a id="p100676"></a>Article 19

<a id="p100677"></a>Automated individual decisions

</div>


<a id="p100678"></a>The data subject shall have the right not to be subject to a decision which produces legal effects concerning him or her or significantly affects him or her and which is based solely on automated processing of data intended to evaluate certain personal aspects relating to him or her, such as his or her performance at work, reliability or conduct, unless the decision is expressly authorised pursuant to national or Community legislation or, if necessary, by the European Data Protection Supervisor. In either case, measures to safeguard the data subject's legitimate interests, such as arrangements allowing him or her to put his or her point of view, must be taken.

<div align="center">

<a id="p100679"></a>Section 6

<a id="p100680"></a>**EXEMPTIONS AND RESTRICTIONS**

<a id="p100681"></a>Article 20

<a id="p100682"></a>Exemptions and restrictions

</div>


1. <a id="p100683"></a>The Community institutions and bodies may restrict the application of Article 4 (1), Article 11, Article 12 (1), Articles 13 to 17 and Article 37 (1) where such restriction constitutes a necessary measure to safeguard:
<a id="p100684"></a>(a) the prevention, investigation, detection and prosecution of criminal offences;
<a id="p100685"></a>(b) an important economic or financial interest of a Member State or of the European Communities, including monetary, budgetary and taxation matters;
<a id="p100686"></a>(c) the protection of the data subject or of the rights and freedoms of others;
<a id="p100687"></a>(d) the national security, public security or defence of the Member States;
<a id="p100688"></a>(e) a monitoring, inspection or regulatory task connected, even occasionally, with the exercise of official authority in the cases referred to in (a) and (b).
2. <a id="p100689"></a>Articles 13 to 16 shall not apply when data are processed solely for purposes of scientific research or are kept in personal form for a period which does not exceed the period necessary for the sole purpose of compiling statistics, provided that there is clearly no risk of breaching the privacy of the data subject and that the controller provides adequate legal safeguards, in particular to ensure that the data are not used for taking measures or decisions regarding particular individuals.
3. <a id="p100690"></a>If a restriction provided for by paragraph 1 is imposed, the data subject shall be informed, in accordance with Community law, of the principal reasons on which the application of the restriction is based and of his or her right to have recourse to the European Data Protection Supervisor.
4. <a id="p100691"></a>If a restriction provided for by paragraph 1 is relied upon to deny access to the data subject, the European Data Protection Supervisor shall, when investigating the complaint, only inform him or her of whether the data have been processed correctly and, if not, whether any necessary corrections have been made.
5. <a id="p100692"></a>Provision of the information referred to under paragraphs 3 and 4 may be deferred for as long as such information would deprive the restriction imposed by paragraph 1 of its effect.

<div align="center">

<a id="p100693"></a>Section 7

<a id="p100694"></a>**CONFIDENTIALITY AND SECURITY OF PROCESSING**

<a id="p100695"></a>Article 21

<a id="p100696"></a>Confidentiality of processing

</div>


<a id="p100697"></a>A person employed with a Community institution or body and any Community institution or body itself acting as processor, with access to personal data, shall not process them except on instructions from the controller, unless required to do so by national or Community law.

<div align="center">

<a id="p100698"></a>Article 22

<a id="p100699"></a>Security of processing

</div>


1. <a id="p100700"></a>Having regard to the state of the art and the cost of their implementation, the controller shall implement appropriate technical and organisational measures to ensure a level of security appropriate to the risks represented by the processing and the nature of the personal data to be protected.
<a id="p100701"></a>Such measures shall be taken in particular to prevent any unauthorised disclosure or access, accidental or unlawful destruction or accidental loss, or alteration, and to prevent all other unlawful forms of processing.
2. <a id="p100702"></a>Where personal data are processed by automated means, measures shall be taken as appropriate in view of the risks in particular with the aim of:
<a id="p100703"></a>(a) preventing any unauthorised person from gaining access to computer systems processing personal data;
<a id="p100704"></a>(b) preventing any unauthorised reading, copying, alteration or removal of storage media;
<a id="p100705"></a>(c) preventing any unauthorised memory inputs as well as any unauthorised disclosure, alteration or erasure of stored personal data;
<a id="p100706"></a>(d) preventing unauthorised persons from using data-processing systems by means of data transmission facilities;
<a id="p100707"></a>(e) ensuring that authorised users of a data-processing system can access no personal data other than those to which their access right refers;
<a id="p100708"></a>(f) recording which personal data have been communicated, at what times and to whom;
<a id="p100709"></a>(g) ensuring that it will subsequently be possible to check which personal data have been processed, at what times and by whom;
<a id="p100710"></a>(h) ensuring that personal data being processed on behalf of third parties can be processed only in the manner prescribed by the contracting institution or body;
<a id="p100711"></a>(i) ensuring that, during communication of personal data and during transport of storage media, the data cannot be read, copied or erased without authorisation;
<a id="p100712"></a>(j) designing the organisational structure within an institution or body in such a way that it will meet the special requirements of data protection.

<div align="center">

<a id="p100713"></a>Article 23

<a id="p100714"></a>Processing of personal data on behalf of controllers

</div>


1. <a id="p100715"></a>Where a processing operation is carried out on its behalf, the controller shall choose a processor providing sufficient guarantees in respect of the technical and organisational security measures required by Article 22 and ensure compliance with those measures.
2. <a id="p100716"></a>The carrying out of a processing operation by way of a processor shall be governed by a contract or legal act binding the processor to the controller and stipulating in particular that:
<a id="p100717"></a>(a) the processor shall act only on instructions from the controller;
<a id="p100718"></a>(b) the obligations set out in Articles 21 and 22 shall also be incumbent on the processor unless, by virtue of Article 16 or Article 17 (3), second indent, of Directive 95/46/EC, the processor is already subject to obligations with regard to confidentiality and security laid down in the national law of one of the Member States.
3. <a id="p100719"></a>For the purposes of keeping proof, the parts of the contract or the legal act relating to data protection and the requirements relating to the measures referred to in Article 22 shall be in writing or in another equivalent form.

<div align="center">

<a id="p100720"></a>Section 8

<a id="p100721"></a>**DATA PROTECTION OFFICER**

<a id="p100722"></a>Article 24

<a id="p100723"></a>Appointment and tasks of the Data Protection Officer

</div>


1. <a id="p100724"></a>Each Community institution and Community body shall appoint at least one person as data protection officer. That person shall have the task of:
<a id="p100725"></a>(a) ensuring that controllers and data subjects are informed of their rights and obligations pursuant to this Regulation;
<a id="p100726"></a>(b) responding to requests from the European Data Protection Supervisor and, within the sphere of his or her competence, cooperating with the European Data Protection Supervisor at the latter's request or on his or her own initiative;
<a id="p100727"></a>(c) ensuring in an independent manner the internal application of the provisions of this Regulation;
<a id="p100728"></a>(d) keeping a register of the processing operations carried out by the controller, containing the items of information referred to in Article 25 (2);
<a id="p100729"></a>(e) notifying the European Data Protection Supervisor of the processing operations likely to present specific risks within the meaning of Article 27.
<a id="p100730"></a>That person shall thus ensure that the rights and freedoms of the data subjects are unlikely to be adversely affected by the processing operations.
2. <a id="p100731"></a>The Data Protection Officer shall be selected on the basis of his or her personal and professional qualities and, in particular, his or her expert knowledge of data protection.
3. <a id="p100732"></a>The selection of the Data Protection Officer shall not be liable to result in a conflict of interests between his or her duty as Data Protection Officer and any other official duties, in particular in relation to the application of the provisions of this Regulation.
4. <a id="p100733"></a>The Data Protection Officer shall be appointed for a term of between two and five years. He or she shall be eligible for reappointment up to a maximum total term of ten years. He or she may be dismissed from the post of Data Protection Officer by the Community institution or body which appointed him or her only with the consent of the European Data Protection Supervisor, if he or she no longer fulfils the conditions required for the performance of his or her duties.
5. <a id="p100734"></a>After his or her appointment the Data Protection Officer shall be registered with the European Data Protection Supervisor by the institution or body which appointed him or her.
6. <a id="p100735"></a>The Community institution or body which appointed the Data Protection Officer shall provide him or her with the staff and resources necessary to carry out his or her duties.
7. <a id="p100736"></a>With respect to the performance of his or her duties, the Data Protection Officer may not receive any instructions.
8. <a id="p100737"></a>Further implementing rules concerning the Data Protection Officer shall be adopted by each Community institution or body in accordance with the provisions in the Annex. The implementing rules shall in particular concern the tasks, duties and powers of the Data Protection Officer.

<div align="center">

<a id="p100738"></a>Article 25

<a id="p100739"></a>Notification to the Data Protection Officer

</div>


1. <a id="p100740"></a>The controller shall give prior notice to the Data Protection Officer of any processing operation or set of such operations intended to serve a single purpose or several related purposes.
2. <a id="p100741"></a>The information to be given shall include:
<a id="p100742"></a>(a) the name and address of the controller and an indication of the organisational parts of an institution or body entrusted with the processing of personal data for a particular purpose;
<a id="p100743"></a>(b) the purpose or purposes of the processing;
<a id="p100744"></a>(c) a description of the category or categories of data subjects and of the data or categories of data relating to them;
<a id="p100745"></a>(d) the legal basis of the processing operation for which the data are intended;
<a id="p100746"></a>(e) the recipients or categories of recipient to whom the data might be disclosed;
<a id="p100747"></a>(f) a general indication of the time limits for blocking and erasure of the different categories of data;
<a id="p100748"></a>(g) proposed transfers of data to third countries or international organisations;
<a id="p100749"></a>(h) a general description allowing a preliminary assessment to be made of the appropriateness of the measures taken pursuant to Article 22 to ensure security of processing.
3. <a id="p100750"></a>Any change affecting information referred to in paragraph 2 shall be notified promptly to the Data Protection Officer.

<div align="center">

<a id="p100751"></a>Article 26

<a id="p100752"></a>Register

</div>


<a id="p100753"></a>A register of processing operations notified in accordance with Article 25 shall be kept by each Data Protection Officer.
<a id="p100754"></a>The registers shall contain at least the information referred to in Article 25 (2) (a) to (g). The registers may be inspected by any person directly or indirectly through the European Data Protection Supervisor.

<div align="center">

<a id="p100755"></a>Section 9

<a id="p100756"></a>**PRIOR CHECKING BY THE EUROPEAN DATA PROTECTION**<br>
**SUPERVISOR AND OBLIGATION TO COOPERATE**

<a id="p100757"></a>Article 27

<a id="p100758"></a>Prior checking

</div>


1. <a id="p100759"></a>Processing operations likely to present specific risks to the rights and freedoms of data subjects by virtue of their nature, their scope or their purposes shall be subject to prior checking by the European Data Protection Supervisor.
2. <a id="p100760"></a>The following processing operations are likely to present such risks:
<a id="p100761"></a>(a) processing of data relating to health and to suspected offences, offences, criminal convictions or security measures;
<a id="p100762"></a>(b) processing operations intended to evaluate personal aspects relating to the data subject, including his or her ability, efficiency and conduct;
<a id="p100763"></a>(c) processing operations allowing linkages not provided for pursuant to national or Community legislation between data processed for different purposes;
<a id="p100764"></a>(d) processing operations for the purpose of excluding individuals from a right, benefit or contract.
3. <a id="p100765"></a>The prior checks shall be carried out by the European Data Protection Supervisor following receipt of a notification from the Data Protection Officer who, in case of doubt as to the need for prior checking, shall consult the European Data Protection Supervisor.
4. <a id="p100766"></a>The European Data Protection Supervisor shall deliver his or her opinion within two months following receipt of the notification. This period may be suspended until the European Data Protection Supervisor has obtained any further information that he or she may have requested. When the complexity of the matter so requires, this period may also be extended for a further two months, by decision of the European Data Protection Supervisor. This decision shall be notified to the controller prior to expiry of the initial two-month period.
<a id="p100767"></a>If the opinion has not been delivered by the end of the two-month period, or any extension thereof, it shall be deemed to be favourable.
<a id="p100768"></a>If the opinion of the European Data Protection Supervisor is that the notified processing may involve a breach of any provision of this Regulation, he or she shall where appropriate make proposals to avoid such breach. Where the controller does not modify the processing operation accordingly, the European Data Protection Supervisor may exercise the powers granted to him or her under Article 47 (1).
5. <a id="p100769"></a>The European Data Protection Supervisor shall keep a register of all processing operations that have been notified to him or her pursuant to paragraph 2. The register shall contain the information referred to in Article 25 and shall be open to public inspection.

<div align="center">

<a id="p100770"></a>Article 28

<a id="p100771"></a>Consultation

</div>


1. <a id="p100772"></a>The Community institutions and bodies shall inform the European Data Protection Supervisor when drawing up administrative measures relating to the processing of personal data involving a Community institution or body alone or jointly with others.
2. <a id="p100773"></a>When it adopts a legislative proposal relating to the protection of individuals' rights and freedoms with regard to the processing of personal data, the Commission shall consult the European Data Protection Supervisor.

<div align="center">

<a id="p100774"></a>Article 29

<a id="p100775"></a>Obligation to provide information

</div>


<a id="p100776"></a>The Community institutions and bodies shall inform the European Data Protection Supervisor of the measures taken further to his or her decisions or authorisations as referred to in Article 46 (h).

<div align="center">

<a id="p100777"></a>Article 30

<a id="p100778"></a>Obligation to cooperate

</div>


<a id="p100779"></a>At his or her request, controllers shall assist the European Data Protection Supervisor in the performance of his or her duties, in particular by providing the information referred to in Article 47 (2) (a) and by granting access as provided in Article 47 (2) (b).

<div align="center">

<a id="p100780"></a>Article 31

<a id="p100781"></a>Obligation to react to allegations

</div>


<a id="p100782"></a>In response to the European Data Protection Supervisor's exercise of his or her powers under Article 47 (1) (b), the controller concerned shall inform the Supervisor of its views within a reasonable period to be specified by the Supervisor. The reply shall also include a description of the measures taken, if any, in response to the remarks of the European Data Protection Supervisor.




<div align="center">

<a id="p100784"></a>Article 32

<a id="p100785"></a>Remedies

</div>


1. <a id="p100786"></a>The Court of Justice of the European Communities shall have jurisdiction to hear all disputes which relate to the provisions of this Regulation, including claims for damages.
2. <a id="p100787"></a>Without prejudice to any judicial remedy, every data subject may lodge a complaint with the European Data Protection Supervisor if he or she considers that his or her rights under Article 286 of the Treaty have been infringed as a result of the processing of his or her personal data by a Community institution or body.
<a id="p100788"></a>In the absence of a response by the European Data Protection Supervisor within six months, the complaint shall be deemed to have been rejected.
3. <a id="p100789"></a>Actions against decisions of the European Data Protection Supervisor shall be brought before the Court of Justice of the European Communities.
4. <a id="p100790"></a>Any person who has suffered damage because of an unlawful processing operation or any action incompatible with this Regulation shall have the right to have the damage made good in accordance with Article 288 of the Treaty.

<div align="center">

<a id="p100791"></a>Article 33

<a id="p100792"></a>Complaints by Community staff

</div>


<a id="p100793"></a>Any person employed with a Community institution or body may lodge a complaint with the European Data Protection Supervisor regarding an alleged breach of the provisions of this Regulation governing the processing of personal data, without acting through official channels. No-one shall suffer prejudice on account of a complaint lodged with the European Data Protection Supervisor alleging a breach of the provisions governing the processing of personal data.




<div align="center">

<a id="p100795"></a>Article 34

<a id="p100796"></a>Scope

</div>


<a id="p100797"></a>Without prejudice to the other provisions of this Regulation, this Chapter shall apply to the processing of personal data in connection with the use of telecommunications networks or terminal equipment operated under the control of a Community institution or body.
<a id="p100798"></a>For the purposes of this Chapter, "user" shall mean any natural person using a telecommunications network or terminal equipment operated under the control of a Community institution or body.

<div align="center">

<a id="p100799"></a>Article 35

<a id="p100800"></a>Security

</div>


1. <a id="p100801"></a>The Community institutions and bodies shall take appropriate technical and organisational measures to safeguard the secure use of the telecommunications networks and terminal equipment, if necessary in conjunction with the providers of publicly available telecommunications services or the providers of public telecommunications networks. Having regard to the state of the art and the cost of their implementation, these measures shall ensure a level of security appropriate to the risk presented.
2. <a id="p100802"></a>In the event of any particular risk of a breach of the security of the network and terminal equipment, the Community institution or body concerned shall inform users of the existence of that risk and of any possible remedies and alternative means of communication.

<div align="center">

<a id="p100803"></a>Article 36

<a id="p100804"></a>Confidentiality of communications

</div>


<a id="p100805"></a>Community institutions and bodies shall ensure the confidentiality of communications by means of telecommunications networks and terminal equipment, in accordance with the general principles of Community law.

<div align="center">

<a id="p100806"></a>Article 37

<a id="p100807"></a>Traffic and billing data

</div>


1. <a id="p100808"></a>Without prejudice to the provisions of paragraphs 2, 3 and 4, traffic data relating to users which are processed and stored to establish calls and other connections over the telecommunications network shall be erased or made anonymous upon termination of the call or other connection.
2. <a id="p100809"></a>If necessary, traffic data as indicated in a list agreed by the European Data Protection Supervisor may be processed for the purpose of telecommunications budget and traffic management, including the verification of authorised use of the telecommunications systems. These data shall be erased or made anonymous as soon as possible and no later than six months after collection, unless they need to be kept for a longer period to establish, exercise or defend a right in a legal claim pending before a court.
3. <a id="p100810"></a>Processing of traffic and billing data shall only be carried out by persons handling billing, traffic or budget management.
4. <a id="p100811"></a>Users of the telecommunication networks shall have the right to receive non-itemised bills or other records of calls made.

<div align="center">

<a id="p100812"></a>Article 38

<a id="p100813"></a>Directories of users

</div>


1. <a id="p100814"></a>Personal data contained in printed or electronic directories of users and access to such directories shall be limited to what is strictly necessary for the specific purposes of the directory.
2. <a id="p100815"></a>The Community institutions and bodies shall take all the necessary measures to prevent personal data contained in those directories, regardless of whether they are accessible to the public or not, from being used for direct marketing purposes.

<div align="center">

<a id="p100816"></a>Article 39

<a id="p100817"></a>Presentation and restriction of calling<br>
and connected line identification

</div>


1. <a id="p100818"></a>Where presentation of calling-line identification is offered, the calling user shall have the possibility via a simple means, free of charge, to eliminate the presentation of the calling-line identification.
2. <a id="p100819"></a>Where presentation of calling-line identification is offered, the called user shall have the possibility via a simple means, free of charge, to prevent the presentation of the calling-line identification of incoming calls.
3. <a id="p100820"></a>Where presentation of connected-line identification is offered, the called user shall have the possibility via a simple means, free of charge, to eliminate the presentation of the connected-line identification to the calling user.
4. <a id="p100821"></a>Where presentation of calling or connected-line identification is offered, the Community institutions and bodies shall inform the users thereof and of the possibilities set out in paragraphs 1, 2 and 3.

<div align="center">

<a id="p100822"></a>Article 40

<a id="p100823"></a>Derogations

</div>


<a id="p100824"></a>Community institutions and bodies shall ensure that there are transparent procedures governing the way in which they may override the elimination of the presentation of calling-line identification:
<a id="p100825"></a>(a) on a temporary basis, upon application of a user requesting the tracing of malicious or nuisance calls;
<a id="p100826"></a>(b) on a per-line basis for organisational entities dealing with emergency calls, for the purpose of answering such calls.




<div align="center">

<a id="p100828"></a>Article 41

<a id="p100829"></a>European Data Protection Supervisor

</div>


1. <a id="p100830"></a>An independent supervisory authority is hereby established referred to as the European Data Protection Supervisor.
2. <a id="p100831"></a>With respect to the processing of personal data, the European Data Protection Supervisor shall be responsible for ensuring that the fundamental rights and freedoms of natural persons, and in particular their right to privacy, are respected by the Community institutions and bodies.
<a id="p100832"></a>The European Data Protection Supervisor shall be responsible for monitoring and ensuring the application of the provisions of this Regulation and any other Community act relating to the protection of the fundamental rights and freedoms of natural persons with regard to the processing of personal data by a Community institution or body, and for advising Community institutions and bodies and data subjects on all matters concerning the processing of personal data. To these ends he or she shall fulfil the duties provided for in Article 46 and exercise the powers granted in Article 47.

<div align="center">

<a id="p100833"></a>Article 42

<a id="p100834"></a>Appointment

</div>


1. <a id="p100835"></a>The European Parliament and the Council shall appoint by common accord the European Data Protection Supervisor for a term of five years, on the basis of a list drawn up by the Commission following a public call for candidates.
<a id="p100836"></a>An Assistant Supervisor shall be appointed in accordance with the same procedure and for the same term, who shall assist the Supervisor in all the latter's duties and act as a replacement when the Supervisor is absent or prevented from attending to them.
2. <a id="p100837"></a>The European Data Protection Supervisor shall be chosen from persons whose independence is beyond doubt and who are acknowledged as having the experience and skills required to perform the duties of European Data Protection Supervisor, for example because they belong or have belonged to the supervisory authorities referred to in Article 28 of Directive 95/46/EC.
3. <a id="p100838"></a>The European Data Protection Supervisor shall be eligible for reappointment.
4. <a id="p100839"></a>Apart from normal replacement or death, the duties of the European Data Protection Supervisor shall end in the event of resignation or compulsory retirement in accordance with paragraph 5.
5. <a id="p100840"></a>The European Data Protection Supervisor may be dismissed or deprived of his or her right to a pension or other benefits in its stead by the Court of Justice at the request of the European Parliament, the Council or the Commission, if he or she no longer fulfils the conditions required for the performance of his or her duties or if he or she is guilty of serious misconduct.
6. <a id="p100841"></a>In the event of normal replacement or voluntary resignation, the European Data Protection Supervisor shall nevertheless remain in office until he or she has been replaced.
7. <a id="p100842"></a>Articles 12 to 15 and 18 of the Protocol on the Privileges and Immunities of the European Communities shall also apply to the European Data Protection Supervisor.
8. <a id="p100843"></a>Paragraphs 2 to 7 shall apply to the Assistant Supervisor.

<div align="center">

<a id="p100844"></a>Article 43

<a id="p100845"></a>Regulations and general conditions governing<br>
the performance of the European Data Protection Supervisor's<br>
duties, staff and financial resources

</div>


1. <a id="p100846"></a>The European Parliament, the Council and the Commission shall by common accord determine the regulations and general conditions governing the performance of the European Data Protection Supervisor's duties and in particular his or her salary, allowances and any other benefits in lieu of remuneration.
2. <a id="p100847"></a>The budget authority shall ensure that the European Data Protection Supervisor is provided with the human and financial resources necessary for the performance of his or her tasks.
3. <a id="p100848"></a>The European Data Protection Supervisor's budget shall be shown in a separate budget heading in Section VIII of the general budget of the European Union.
4. <a id="p100849"></a>The European Data Protection Supervisor shall be assisted by a Secretariat. The officials and the other staff members of the Secretariat shall be appointed by the European Data Protection Supervisor; their superior shall be the European Data Protection Supervisor and they shall be subject exclusively to his or her direction. Their numbers shall be decided each year as part of the budgetary procedure.
5. <a id="p100850"></a>The officials and the other staff members of the European Data Protection Supervisor's Secretariat shall be subject to the rules and regulations applicable to officials and other servants of the European Communities.
6. <a id="p100851"></a>In matters concerning the Secretariat staff, the European Data Protection Supervisor shall have the same status as the institutions within the meaning of Article 1 of the Staff Regulations of Officials of the European Communities.

<div align="center">

<a id="p100852"></a>Article 44

<a id="p100853"></a>Independence

</div>


1. <a id="p100854"></a>The European Data Protection Supervisor shall act in complete independence in the performance of his or her duties.
2. <a id="p100855"></a>The European Data Protection Supervisor shall, in the performance of his or her duties, neither seek nor take instructions from anybody.
3. <a id="p100856"></a>The European Data Protection Supervisor shall refrain from any action incompatible with his or her duties and shall not, during his or her term of office, engage in any other occupation, whether gainful or not.
4. <a id="p100857"></a>The European Data Protection Supervisor shall, after his or her term of office, behave with integrity and discretion as regards the acceptance of appointments and benefits.

<div align="center">

<a id="p100858"></a>Article 45

<a id="p100859"></a>Professional secrecy

</div>


<a id="p100860"></a>The European Data Protection Supervisor and his or her staff shall, both during and after their term of office, be subject to a duty of professional secrecy with regard to any confidential information which has come to their knowledge in the course of the performance of their official duties.

<div align="center">

<a id="p100861"></a>Article 46

<a id="p100862"></a>Duties

</div>


<a id="p100863"></a>The European Data Protection Supervisor shall:
<a id="p100864"></a>(a) hear and investigate complaints, and inform the data subject of the outcome within a reasonable period;
<a id="p100865"></a>(b) conduct inquiries either on his or her own initiative or on the basis of a complaint, and inform the data subjects of the outcome within a reasonable period;
<a id="p100866"></a>(c) monitor and ensure the application of the provisions of this Regulation and any other Community act relating to the protection of natural persons with regard to the processing of personal data by a Community institution or body with the exception of the Court of Justice of the European Communities acting in its judicial capacity;
<a id="p100867"></a>(d) advise all Community institutions and bodies, either on his or her own initiative or in response to a consultation, on all matters concerning the processing of personal data, in particular before they draw up internal rules relating to the protection of fundamental rights and freedoms with regard to the processing of personal data;
<a id="p100868"></a>(e) monitor relevant developments, insofar as they have an impact on the protection of personal data, in particular the development of information and communication technologies;
<a id="p100869"></a>(f) (i) cooperate with the national supervisory authorities referred to in Article 28 of Directive 95/46/EC in the countries to which that Directive applies to the extent necessary for the performance of their respective duties, in particular by exchanging all useful information, requesting such authority or body to exercise its powers or responding to a request from such authority or body;
<a id="p100870"></a>(ii) also cooperate with the supervisory data protection bodies established under Title VI of the Treaty on European Union particularly with a view to improving consistency in applying the rules and procedures with which they are respectively responsible for ensuring compliance;
<a id="p100871"></a>(g) participate in the activities of the Working Party on the Protection of Individuals with regard to the Processing of Personal Data set up by Article 29 of Directive 95/46/EC;
<a id="p100872"></a>(h) determine, give reasons for and make public the exemptions, safeguards, authorisations and conditions mentioned in Article 10 (2) (b), (4), (5) and (6), in Article 12 (2), in Article 19 and in Article 37 (2);
<a id="p100873"></a>(i) keep a register of processing operations notified to him or her by virtue of Article 27 (2) and registered in accordance with Article 27 (5), and provide means of access to the registers kept by the Data Protection Officers under Article 26;
<a id="p100874"></a>(j) carry out a prior check of processing notified to him or her;
<a id="p100875"></a>(k) establish his or her Rules of Procedure.

<div align="center">

<a id="p100876"></a>Article 47

<a id="p100877"></a>Powers

</div>


1. <a id="p100878"></a>The European Data Protection Supervisor may:
<a id="p100879"></a>(a) give advice to data subjects in the exercise of their rights;
<a id="p100880"></a>(b) refer the matter to the controller in the event of an alleged breach of the provisions governing the processing of personal data, and, where appropriate, make proposals for remedying that breach and for improving the protection of the data subjects;
<a id="p100881"></a>(c) order that requests to exercise certain rights in relation to data be complied with where such requests have been refused in breach of Articles 13 to 19;
<a id="p100882"></a>(d) warn or admonish the controller;
<a id="p100883"></a>(e) order the rectification, blocking, erasure or destruction of all data when they have been processed in breach of the provisions governing the processing of personal data and the notification of such actions to third parties to whom the data have been disclosed;
<a id="p100884"></a>(f) impose a temporary or definitive ban on processing;
<a id="p100885"></a>(g) refer the matter to the Community institution or body concerned and, if necessary, to the European Parliament, the Council and the Commission;
<a id="p100886"></a>(h) refer the matter to the Court of Justice of the European Communities under the conditions provided for in the Treaty;
<a id="p100887"></a>(i) intervene in actions brought before the Court of Justice of the European Communities.
2. <a id="p100888"></a>The European Data Protection Supervisor shall have the power:
<a id="p100889"></a>(a) to obtain from a controller or Community institution or body access to all personal data and to all information necessary for his or her enquiries;
<a id="p100890"></a>(b) to obtain access to any premises in which a controller or Community institution or body carries on its activities when there are reasonable grounds for presuming that an activity covered by this Regulation is being carried out there.

<div align="center">

<a id="p100891"></a>Article 48

<a id="p100892"></a>Activities report

</div>


1. <a id="p100893"></a>The European Data Protection Supervisor shall submit an annual report on his or her activities to the European Parliament, the Council and the Commission and at the same time make it public.
2. <a id="p100894"></a>The European Data Protection Supervisor shall forward the activities report to the other Community institutions and bodies, which may submit comments with a view to possible examination of the report in the European Parliament, in particular in relation to the description of the measures taken in response to the remarks made by the European Data Protection Supervisor under Article 31.




<div align="center">

<a id="p100896"></a>Article 49

<a id="p100897"></a>Sanctions

</div>


<a id="p100898"></a>Any failure to comply with the obligations pursuant to this Regulation, whether intentionally or through negligence on his or her part, shall make an official or other servant of the European Communities liable to disciplinary action, in accordance with the rules and procedures laid down in the Staff Regulations of Officials of the European Communities or in the conditions of employment applicable to other servants.

<div align="center">

<a id="p100899"></a>Article 50

<a id="p100900"></a>Transitional period

</div>


<a id="p100901"></a>Community institutions and bodies shall ensure that processing operations already under way on the date this Regulation enters into force are brought into conformity with this Regulation within one year of that date.

<div align="center">

<a id="p100902"></a>Article 51

<a id="p100903"></a>Entry into force

</div>


<a id="p100904"></a>This Regulation shall enter into force on the twentieth day following that of its publication in the Official Journal of the European Communities.
<a id="p100905"></a>This Regulation shall be binding in its entirety and directly applicable in all Member States.








1. <a id="p100907"></a>The Data Protection Officer may make recommendations for the practical improvement of data protection to the Community institution or body which appointed him or her and advise it and the controller concerned on matters concerning the application of data protection provisions. Furthermore he or she may, on his or her own initiative or at the request of the Community institution or body which appointed him or her, the controller, the Staff Committee concerned or any individual, investigate matters and occurrences directly relating to his or her tasks and which come to his or her notice, and report back to the person who commissioned the investigation or to the controller.
2. <a id="p100908"></a>The Data Protection Officer may be consulted by the Community institution or body which appointed him or her, by the controller concerned, by the Staff Committee concerned and by any individual, without going through the official channels, on any matter concerning the interpretation or application of this Regulation.
3. <a id="p100909"></a>No one shall suffer prejudice on account of a matter brought to the attention of the competent Data Protection Officer alleging that a breach of the provisions of this Regulation has taken place.
4. <a id="p100910"></a>Every controller concerned shall be required to assist the Data Protection Officer in performing his or her duties and to give information in reply to questions. In performing his or her duties, the Data Protection Officer shall have access at all times to the data forming the subject-matter of processing operations and to all offices, data-processing installations and data carriers.

<div align="center">

5. <a id="p100911"></a>To the extent required, the Data Protection Officer shall be relieved of other activities. The Data Protection Officer and his or her staff, to whom Article 287 of the Treaty shall apply, shall be required not to divulge information or documents which they obtain in the course of their duties.

</div>




<a id="p100912"></a>

---