---
title: "Рамочное решение N 2008/977/ПВД Совета Европейского Союза"
number: "2008/977/ПВД"
issuer: "Европейский Союз"
status: утратил силу
canonical: "https://bukva.ai/docs/reshenie-2008977pvd"
---

## Рамочное решение N 2008/977/ПВД Совета Европейского Союза

"О защите персональных данных, обработанных в рамках полицейского и судебного сотрудничества по уголовным делам" [рус., англ.]

(Принято в г. Брюсселе 27.11.2008)

> [!WARNING]
> Документ утратил силу 6 мая 2018 года в соответствии с [Директивой](https://bukva.ai/docs/direktiva-2016680/statya-59#p100651) N 2016/680 Европейского парламента и Совета Европейского Союза от 27.04.2016.
> Документ вступил в силу 19 января 2009 года (официальный сайт законодательства Европейского Союза http://eur-lex.europa.eu/). Россия не участвует.
> В соответствии со [статьей 30](https://bukva.ai/docs/reshenie-2008977pvd/statya-30#p100267) данный документ вступил в силу на двадцатый день после его публикации в Официальном журнале Европейского Союза.


<div align="right">

<a id="p100001"></a>[неофициальный перевод] <*>

</div>


<a id="p100002"></a>**ЕВРОПЕЙСКИЙ СОЮЗ**

<a id="p100003"></a>**РАМОЧНОЕ РЕШЕНИЕ N 2008/977/ПВД**
**СОВЕТА ЕС О ЗАЩИТЕ ПЕРСОНАЛЬНЫХ ДАННЫХ, ОБРАБОТАННЫХ**
**В РАМКАХ ПОЛИЦЕЙСКОГО И СУДЕБНОГО СОТРУДНИЧЕСТВА**
ПО УГОЛОВНЫМ ДЕЛАМ <**>

<a id="p100004"></a>(Брюссель, 27 ноября 2008 года)


<a id="p100005"></a>

---

<a id="p100006"></a><*> Перевод Артамоновой И.В.
<a id="p100007"></a><**> Council Framework Decision 2008/977/JHA of 27 November 2008 on the protection of personal data processed in the framework of police and judicial cooperation in criminal matters. Опубликовано в Официальном журнале (далее - ОЖ) N L 350, 30.12.2008, стр. 60.

<a id="p100008"></a>Совет Европейского Союза,
<a id="p100009"></a>руководствуясь Договором о Европейском Союзе, и, в частности, статьями 30, 31 и 34 (2) "b" Договора,
<a id="p100010"></a>на основании предложения Европейской комиссии,
<a id="p100011"></a>руководствуясь заключением Европейского парламента <*>,

<a id="p100012"></a>

---

<a id="p100013"></a><*> ОЖ N C 125 E, 22.5.2008, стр. 154.

<a id="p100014"></a>принимая во внимание следующие обстоятельства:
1) <a id="p100015"></a>Целью Европейского Союза является поддержание и развитие Союза как пространства свободы, безопасности и правосудия, в котором высокий уровень безопасности должен обеспечиваться общими действиями государств-членов ЕС в области полицейского и судебного сотрудничества по уголовным делам.
2) <a id="p100016"></a>Общее действие в области полицейского сотрудничества в соответствии со статьей 30 (1) "b" Договора о Европейском Союзе и общее действие о судебном сотрудничестве по уголовным делам в соответствии со статьей 31 (1) "a" Договора о Европейском Союзе предполагают необходимость обработки существенной информации, на которую должны распространяться соответствующие положения о защите персональных данных.
3) <a id="p100017"></a>Законодательство, подпадающее под действие раздела VI Договора о Европейском Союзе, должно содействовать полицейскому и судебному сотрудничеству по уголовным делам в том, что касается его эффективности, легитимности и соблюдения основных прав, в частности, права на частную жизнь и на защиту персональных данных. Общие стандарты относительно обработки и защиты персональных данных, разработанные в целях предотвращения преступлений и борьбы с ними, вносят свой вклад в достижение обеих целей.
4) <a id="p100018"></a>Гаагская программа по укреплению свободы, безопасности и правосудия в Европейском Союзе, принятая Европейским советом 4 ноября 2004 г., подчеркнула необходимость инновационного подхода к трансграничному обмену правоприменительной информацией при строгом соблюдении основных условий в области защиты данных и призвала Европейскую комиссию направить предложение в этом отношении не позднее окончания 2005 г. Это было отражено в Плане действий Совета ЕС и Европейской комиссии по имплементации Гаагской программы по укреплению свободы, безопасности и правосудия в Европейском Союзе <*>.

<a id="p100019"></a>

---

<a id="p100020"></a><*> ОЖ N C 198, 12.8.2005, стр. 1.

5) <a id="p100021"></a>Обмен персональными данными в рамках полицейского и судебного сотрудничества по уголовным делам, особенно с учетом принципа доступности информации, как установлено Гаагской программой, должен сопровождаться четкими правилами, укрепляющими взаимное доверие между компетентными органами и гарантирующими защиту существенной информации таким образом, который исключает какую-либо дискриминацию в отношении такого сотрудничества между государствами-членами ЕС при полном соблюдении основных прав физических лиц. Существующих на уровне Европейского Союза актов недостаточно; [Директива](https://bukva.ai/docs/direktiva-9546es/statya-1) 95/46/ЕС Европейского парламента и Совета ЕС от 24 октября 1995 г. о защите физических лиц в отношении обработки персональных данных и свободного обращения таких данных <*> не применяется к обработке персональных данных в ходе осуществления деятельности, которая не подпадает под действие законодательства Сообщества, например деятельности, предусмотренной разделом VI Договора о Европейском Союзе, а также не применяется к любым процессам обработки данных в связи с общественной безопасностью, обороной, государственной безопасностью или деятельностью государства в сфере уголовного права.

<a id="p100022"></a>

---

<a id="p100023"></a><*> ОЖ N L 281, 23.11.1995, стр. 31.

6) <a id="p100024"></a>Настоящее Рамочное решение применяется только к данным, собранным или обрабатываемым компетентными органами в целях предупреждения, расследования, выявления или преследования уголовных преступлений или в целях исполнения уголовных наказаний. Настоящее Рамочное решение оставляет на усмотрение государства-члена ЕС более точное определение на национальном уровне того, какие иные цели следует считать несовместимыми с целью, для которой изначально были собраны персональные данные. По общему правилу дальнейшая обработка в исторических, статистических или научных целях не должна считаться несовместимой с первоначальной целью обработки.
7) <a id="p100025"></a>Сфера применения настоящего Рамочного решения ограничивается обработкой персональных данных, передаваемых или предоставляемых в отношениях между государствами-членами ЕС. Из этого ограничения не следует делать выводы о компетенции Союза по принятию актов, относящихся к сбору и обработке персональных данных на национальном уровне, или о целесообразности для Союза принятия таких актов в последующем.
8) <a id="p100026"></a>В целях облегчения обмена данными на территории Союза государства-члены ЕС гарантируют, что стандарты защиты данных, достигнутые в рамках процесса обработки данных на национальном уровне, соответствуют стандартам, предусмотренным настоящим Рамочным решением. Что касается обработки данных на национальном уровне, настоящее Рамочное решение не препятствует государствам-членам ЕС принимать более жесткие меры по защите персональных данных, чем меры, предусмотренные настоящим Рамочным решением.
9) <a id="p100027"></a>Настоящее Рамочное решение не должно применяться к персональным данным, которые государство-член ЕС получило в рамках настоящего Рамочного решения и которые возникли в указанном государстве-члене ЕС.
10) <a id="p100028"></a>Сближение законодательства государств-членов ЕС не должно привести к ослаблению защиты данных, которую они предоставляют, но, напротив, должно обеспечить высокий уровень защиты в пределах Союза.
11) <a id="p100029"></a>Необходимо уточнить цели защиты данных в рамках полицейской и судебной деятельности и разработать правила относительно законности обработки персональных данных с тем, чтобы гарантировать, что любая информация, которая может обмениваться, обрабатывается в соответствии с законодательством и основными принципами, связанными с качеством данных. В то же время не следует создавать препятствия для правомерной деятельности полицейских, таможенных, судебных и иных компетентных органов.
12) <a id="p100030"></a>Следует применять принцип правильности данных с учетом характера и цели соответствующей обработки данных. Например, в рамках судебного производства данные основаны на субъективном восприятии физических лиц и в некоторых случаях не могут быть проверены. В этой связи требование правильности не может относиться к правильности заявления; оно относится к тому факту, что определенное заявление было сделано.
13) <a id="p100031"></a>Архивирование в отдельный свод данных должно быть разрешено только в том случае, если данные более не требуются и не используются в целях предупреждения, расследования, выявления или преследования уголовных преступлений или в целях исполнения уголовных наказаний. Кроме того, архивирование в отдельный свод данных должно быть разрешено, если архивные данные хранятся в базе данных с другими данными таким образом, что они не могут более использоваться в целях предупреждения, расследования, выявления или преследования уголовных преступлений или в целях исполнения уголовных наказаний. Длительность периода архивного хранения зависит от целей архивации и от законных интересов субъектов данных. В случае архивации в исторических целях может быть предусмотрен достаточно длительный период.
14) <a id="p100032"></a>Данные могут быть удалены посредством уничтожения носителя данных.
15) <a id="p100033"></a>Что касается неточных, неполных или неактуальных данных, переданных или предоставленных другому государству-члену ЕС и в последующем обработанных квазисудебными органами, то есть органами, обладающими полномочиями принимать юридически обязательные решения, исправлять, удалять или блокировать их, должно осуществляться в соответствии с национальным правом.
16) <a id="p100034"></a>Обеспечение высокого уровня защиты персональных данных физических лиц требует наличия общих положений для определения законности и качества данных, обработанных компетентными органами государств-членов ЕС.
17) <a id="p100035"></a>Желательно разработать на европейском уровне условия, в соответствии с которыми компетентные органы государств-членов ЕС смогут передавать и предоставлять персональные данные, полученные от других государств-членов ЕС, органам власти и частным лицам в государствах-членах ЕС. Зачастую передача персональных данных судебными, полицейскими или таможенными органами частным лицам необходима в целях преследования преступлений, предотвращения непосредственной и серьезной угрозы общественной безопасности или предотвращения причинения серьезного ущерба правам физических лиц, например, посредством предупреждения банков и кредитных организаций о подделке ценных бумаг или, в области дорожно-транспортных преступлений, посредством передачи персональных данных страховым компаниям для предотвращения незаконного оборота угнанных транспортных средств или улучшения условий получения угнанных транспортных средств из-за границы. Такая передача данных не является эквивалентной передаче полицейских или судебных задач частным лицам.
18) <a id="p100036"></a>Нормы настоящего Рамочного решения относительно передачи персональных данных судебными, полицейскими или таможенными органами частным лицам, не применяются к раскрытию данных частным лицам (например, адвокатам ответчика или потерпевшим) в контексте уголовного судопроизводства.
19) <a id="p100037"></a>Дальнейшая обработка персональных данных, полученных от компетентных органов другого государства-члена ЕС или предоставленных ими, в частности, последующая передача или предоставление таких данных, должна подчиняться общим правилам на европейском уровне.
20) <a id="p100038"></a>Если персональные данные могут быть подвергнуты дальнейшей обработке после получения согласия государства-члена ЕС, из которого поступили такие данные, каждое государство-член ЕС должно иметь возможность определять условия такого согласия, в том числе, например, общее согласие для разных категорий информации или категорий дальнейшей обработки.
21) <a id="p100039"></a>Если персональные данные могут быть подвергнуты дальнейшей обработке в целях административного производства, такое производство должно предусматривать деятельность регулятивных или надзорных органов.
22) <a id="p100040"></a>В связи с правомерной деятельностью полицейских, таможенных, судебных и иных компетентных органов может потребоваться пересылка указанным органам в третьих странах или международным органам, которые имеют обязательства по предупреждению, расследованию, выявлению или преследованию уголовных преступлений либо по исполнению уголовных наказаний.
23) <a id="p100041"></a>Если персональные данные переданы государством-членом ЕС третьим странам или международным органам, по общему правилу в отношении таких данных должен быть предусмотрен надлежащий уровень защиты.
24) <a id="p100042"></a>Если персональные данные переданы государством-членом ЕС третьим странам или международным органам, по общему правилу такая передача должна происходить только после получения согласия государства-члена ЕС, из которого поступили соответствующие данные. Каждое государство-член ЕС должно иметь возможность определять условия такого согласия, в том числе, например, общее согласие для разных категорий информации или для определенных третьих стран.
25) <a id="p100043"></a>В интересах эффективного сотрудничества между правоохранительными органами необходимо, чтобы компетентные органы имели возможность передавать соответствующие персональные данные третьей стране без предварительного согласия в тех случаях, когда угроза общественной безопасности государства-члена ЕС или третьей страны настолько непосредственна, что невозможно своевременно получить такое предварительное согласие. Указанное положение может применяться и в тех случаях, когда под угрозу поставлены иные существенные интересы государства-члена ЕС эквивалентной значимости, например, если объекты жизнеобеспечения населения государства-члена ЕС подвержены непосредственному и серьезному риску либо если финансовая система государства-члена ЕС может быть разрушена.
26) <a id="p100044"></a>В целях обеспечения того, чтобы субъекты данных смогли воспользоваться эффективной правовой защитой, может потребоваться информирование таких субъектов данных об обработке их данных, в частности, в тех случаях, когда имело место серьезное нарушение их прав вследствие тайного сбора данных.
27) <a id="p100045"></a>Государства-члены ЕС должны гарантировать, что субъекты данных проинформированы об осуществлении или о возможном осуществлении сбора, обработки или передачи их персональных данных другому государству-члену ЕС в целях предупреждения, расследования, выявления или преследования уголовных преступлений или в целях исполнения уголовных наказаний. Механизмы права субъектов данных на получение информации, а также исключения из этого права определяются национальным законодательством. Это может быть сделано в общей форме, например, посредством принятия законодательного акта или публикации перечня операций по обработке.
28) <a id="p100046"></a>В целях обеспечения защиты персональных данных без ущерба интересам расследования уголовных преступлений необходимо определить права субъектов данных.
29) <a id="p100047"></a>Некоторые государства-члены ЕС предусмотрели право доступа субъектов данных по уголовным делам с использованием системы, в рамках которой национальный надзорный орган вместо субъекта данных получает доступ ко всем без ограничения персональным данным такого субъекта и может исправлять, удалять или обновлять неточные данные. При таком непрямом доступе национальным правом соответствующих государств-членов ЕС может быть предусмотрено, что национальный надзорный орган будет информировать субъектов данных только о проведении необходимых проверок. Однако указанные государства-члены ЕС также предусматривают возможности прямого доступа субъектов данных в особых случаях, например, доступ к материалам судопроизводства для получения ими копий сведений о своей судимости или документов, относящихся к слушаниям, проведенным полицейскими службами по их делам.
30) <a id="p100048"></a>Целесообразно установить единые нормы о конфиденциальности и безопасности обработки данных, об ответственности и санкциях за незаконное использование таких данных компетентными органами, а также о средствах судебной защиты, доступных субъектам данных. При этом каждое государство-член ЕС должно определить характер своих деликтных норм и санкций, применимых за нарушение внутренних положений о защите данных.
31) <a id="p100049"></a>Настоящее Рамочное решение позволяет учитывать принцип публичного доступа к официальным документам при имплементации принципов, установленных настоящим Рамочным решением.
32) <a id="p100050"></a>В случае необходимости защиты персональных данных при обработке, которая вследствие своего масштаба или типа представляет особые риски для основных прав и свобод, например, обработка данных посредством новых технологий, механизмов или процедур, целесообразно обеспечивать проведение консультаций с национальными компетентными надзорными органами до создания систем учета, предназначенных для обработки таких данных.
33) <a id="p100051"></a>Необходимым элементом защиты персональных данных, обработка которых осуществляется в рамках полицейского и судебного сотрудничества между государствами-членами ЕС, является учреждение в государствах-членах ЕС надзорных органов, полностью независимых в осуществлении своих функций.
34) <a id="p100052"></a>Надзорные органы, уже учрежденные в государствах-членах ЕС в соответствии с [Директивой](https://bukva.ai/docs/direktiva-9546es/statya-1) 95/46/ЕС, также могут отвечать за выполнение задач, возложенных на национальные надзорные органы, которые должны быть учреждены в соответствии с настоящим Рамочным решением.
35) <a id="p100053"></a>Такие надзорные органы должны иметь необходимые средства для исполнения своих обязанностей, в том числе полномочия по расследованию и вмешательству, особенно в случаях поступления претензий от физических лиц, а также полномочия по участию в судебных производствах. Такие надзорные органы должны содействовать обеспечению прозрачности обработки данных в государствах-членах ЕС, под юрисдикцию которых они подпадают. При этом их полномочия не должны затрагивать специальные нормы об уголовном судопроизводстве или независимость судей.
36) <a id="p100054"></a>Статья 47 Договора о Европейском Союзе предусматривает, что ничто в указанном Договоре не должно затрагивать договоры об учреждении Европейских сообществ или последующие договоры и акты, вносящие в них изменения и дополнения. В этой связи настоящее Рамочное решение не затрагивает защиту персональных данных в соответствии с законодательством Сообщества, в частности, с [Директивой](https://bukva.ai/docs/direktiva-9546es/statya-1) 95/46/ЕС, [Регламентом](https://bukva.ai/docs/reglament-452001/statya-1) (ЕС) 45/2001 Европейского парламента и Совета ЕС от 18 декабря 2000 г. о защите физических лиц в отношении обработки персональных данных учреждениями и органами Сообщества и свободного обращения таких данных <*> и [Директивой](https://bukva.ai/docs/direktiva-200258es/statya-1) 2002/58/ЕС Европейского парламента и Совета ЕС от 12 июля 2002 г. в отношении обработки персональных данных и защиты конфиденциальности в секторе электронных средств связи (Директива о конфиденциальности и электронных средствах связи) <**>.

<a id="p100055"></a>

---

<a id="p100056"></a><*> ОЖ N L 8, 12.1.2001, стр. 1.
<a id="p100057"></a><**> ОЖ N L 201, 31.7.2002, стр. 37.

37) <a id="p100058"></a>Настоящее Рамочное решение не затрагивает нормы, относящиеся к незаконному доступу к данным, которые установлены Рамочным [решением](https://bukva.ai/docs/reshenie-2005222pvd/statya-1) 2005/222/ПВД Совета ЕС от 24 февраля 2005 г. об атаках на информационные системы <*>.

<a id="p100059"></a>

---

<a id="p100060"></a><*> ОЖ N L 69, 16.3.2005, стр. 67.

38) <a id="p100061"></a>Настоящее Рамочное решение не затрагивает существующие обязанности и обязательства, возложенные на государства-члены ЕС или на Европейский Союз двусторонними и/или многосторонними соглашениями с третьими странами. Последующие соглашения должны соответствовать правилам обмена данными с третьими странами.
39) <a id="p100062"></a>Некоторые акты, принятые на основе раздела VI Договора о Европейском Союзе, содержат специальные положения о защите персональных данных, в отношении которых осуществляются обмен или обработка в соответствии с такими актами. В ряде случаев такие положения представляют собой полный и последовательный свод правил, который охватывает все значимые аспекты защиты данных (принципы качества данных, правила о безопасности хранения данных, регламентация прав и гарантий субъектов данных, организация контроля и ответственность) и регулирует указанные вопросы более детально, по сравнению с настоящим Рамочным решением. Настоящее Рамочное решение не должно затрагивать соответствующие положения о защите данных в таких актах, в частности, положения, регламентирующие деятельность Европола, Евроюста, Шенгенской информационной системы (SIS) и Таможенной информационной системы (CIS), а также положения, предусматривающие прямой доступ органов государств-членов ЕС к определенным системам данных других государств-членов ЕС. Аналогичная норма применяется в отношении положений о защите данных, регламентирующих автоматическую передачу между государствами-членами ЕС ДНК-профилей, дактилоскопических данных, а также сведений о государственной регистрации транспортных средств в соответствии с Решением 2008/615/ПВД Совета ЕС от 23 июня 2008 г. об усилении трансграничного сотрудничества, в частности, в борьбе с терроризмом и международными правонарушениями <*>.

<a id="p100063"></a>

---

<a id="p100064"></a><*> ОЖ N L 210, 6.8.2008, стр. 1.

40) <a id="p100065"></a>В других случаях положения о защите данных, содержащиеся в актах, которые приняты на основе раздела VI Договора о Европейском Союзе, носят более ограниченный характер. Зачастую они предусматривают определенные условия для государств-членов ЕС, которые получают информацию, содержащую персональные данные, от других государств-членов ЕС, в части целей использования таких данных, однако в отношении других аспектов защиты данных отсылают к [Конвенции](https://bukva.ai/docs/konventsiya-108-se-sovet-evropy/statya-1) Совета Европы о защите физических лиц при автоматизированной обработке персональных данных от 28 января 1981 г. либо к национальному праву. В той степени, в какой положения таких актов, предусматривающие условия для получающих государств-членов ЕС в части использования или дальнейшей передачи персональных данных, являются более ограничительными по сравнению с условиями, которые содержатся в соответствующих положениях настоящего Рамочного решения, первые из упомянутых положений не затрагиваются. Однако в отношении иных аспектов применяются правила, установленные настоящим Рамочным решением.
41) <a id="p100066"></a>Настоящее Рамочное решение не затрагивает [Конвенцию](https://bukva.ai/docs/konventsiya-108-se-sovet-evropy/statya-1) Совета Европы о защите физических лиц при автоматизированной обработке персональных данных, Дополнительный [протокол](https://bukva.ai/docs/protokol-181/statya-1) к указанной [Конвенции](https://bukva.ai/docs/konventsiya-108-se-sovet-evropy/statya-1) от 8 ноября 2001 г., а также к Конвенциям Совета Европы о судебном сотрудничестве по уголовным делам.
42) <a id="p100067"></a>Поскольку цель настоящего Рамочного решения, а именно установление общих правил для защиты персональных данных, обработанных в рамках полицейского и судебного сотрудничества по уголовным делам, не может быть надлежащим образом достигнута государствами-членами ЕС и, следовательно, по причине сферы действия и последствий может быть эффективнее достигнута на уровне Союза, Союз вправе принимать меры в соответствии с принципом субсидиарности, предусмотренным [статьей 5](https://bukva.ai/docs/dogovor-uchrezhdayuschiy-evropeyskoe/statya-5#p100065) Договора об учреждении Европейского сообщества и указанным в статье 2 Договора о Европейском Союзе. В соответствии с принципом пропорциональности, предусмотренным [статьей 5](https://bukva.ai/docs/dogovor-uchrezhdayuschiy-evropeyskoe/statya-5#p100065) Договора об учреждении Европейского сообщества, настоящее Рамочное решение не выходит за пределы того, что необходимо для достижения вышеуказанной цели.
43) <a id="p100068"></a>Соединенное Королевство Великобритании и Северной Ирландии принимает участие в настоящем Рамочном решении в соответствии со [статьей 5](https://bukva.ai/docs/protokol-19-evropeyskiy-soyuz-es/statya-5#p100045) Протокола о Шенгенских достижениях, интегрированных в рамки Европейского Союза, приложенного к Договору о Европейском Союзе и к [Договору](https://bukva.ai/docs/dogovor-uchrezhdayuschiy-evropeyskoe/statya-1) об учреждении Европейского сообщества, и в соответствии со статьей 8 (2) Решения 2000/365/ЕС Совета ЕС от 29 мая 2000 г. о запросе Соединенного Королевства Великобритании и Северной Ирландии на участие в некоторых положениях Шенгенских достижений <*>.

<a id="p100069"></a>

---

<a id="p100070"></a><*> ОЖ N L 131, 1.6.2000, стр. 43.

44) <a id="p100071"></a>Ирландия принимает участие в настоящем Рамочном решении в соответствии со [статьей 5](https://bukva.ai/docs/dogovor-uchrezhdayuschiy-evropeyskoe/statya-5#p100065) Протокола о Шенгенских достижениях, интегрированных в рамки Европейского Союза, приложенного к Договору о Европейском Союзе и к [Договору](https://bukva.ai/docs/dogovor-uchrezhdayuschiy-evropeyskoe/statya-1) об учреждении Европейского сообщества, и в соответствии со статьей 6 (2) Решения 2002/192/ЕС Совета ЕС от 28 февраля 2002 г. о запросе Ирландии на участие в некоторых положениях Шенгенских достижений <*>.

<a id="p100072"></a>

---

<a id="p100073"></a><*> ОЖ N L 64, 7.3.2002, стр. 20.

45) <a id="p100074"></a>Что касается Исландии и Норвегии, настоящее Рамочное решение представляет собой развитие положений Шенгенских достижений в значении Соглашения, заключенного Советом ЕС, Республикой Исландия и Королевством Норвегия об ассоциации последних двух государств с процессом имплементации, применения и развития Шенгенских достижений <*>, которые относятся к сфере, указанной в пунктах H и I статьи 1 Решения 1999/437/ЕС Совета ЕС <**> о некоторых механизмах применения упомянутого Соглашения.

<a id="p100075"></a>

---

<a id="p100076"></a><*> ОЖ N L 176, 10.7.1999, стр. 36.
<a id="p100077"></a><**> ОЖ N L 176, 10.7.1999, стр. 31.

46) <a id="p100078"></a>Что касается Швейцарии, настоящее Рамочное решение представляет собой развитие положений Шенгенских достижений в значении Соглашения, заключенного Европейским Союзом, Европейским сообществом и Швейцарской Конфедерацией об ассоциации Швейцарской Конфедерации с процессом имплементации, применения и развития Шенгенских достижений <*>, которые относятся к сфере, указанной в пунктах H и I статьи 1 Решения 1999/437/ЕС Совета ЕС, которые необходимо рассматривать совместно со статьей 3 Решения 2008/149/ПВД Совета ЕС <**> о заключении упомянутого Соглашения от имени Европейского Союза.

<a id="p100079"></a>

---

<a id="p100080"></a><*> ОЖ N L 53, 27.2.2008, стр. 52.
<a id="p100081"></a><**> ОЖ N L 53, 27.2.2008, стр. 50.

47) <a id="p100082"></a>Что касается Лихтенштейна, настоящее Рамочное решение представляет собой развитие положений Шенгенских достижений в значении Протокола, подписанного между Европейским Союзом, Европейским сообществом, Швейцарской Конфедерацией и Княжеством Лихтенштейн о присоединении Княжества Лихтенштейн к Соглашению, заключенному Европейским Союзом, Европейским сообществом и Швейцарской Конфедерацией об ассоциации Швейцарской Конфедерации с процессом имплементации, применения и развития Шенгенских достижений, которые относятся к сфере, указанной в пунктах H и I статьи 1 Решения 1999/437/ЕС, которые необходимо рассматривать совместно со статьей 3 Решения 2008/262/ПВД <*> Совета ЕС о подписании упомянутого Протокола от имени Европейского Союза.

<a id="p100083"></a>

---

<a id="p100084"></a><*> ОЖ N L 83, 26.3.2008, стр. 5.

48) <a id="p100085"></a>Настоящее Рамочное решение соблюдает основные права и принципы, признанные, в частности, [Хартией](https://bukva.ai/docs/hartiya-2007s-30301/statya-1) Европейского Союза об основных правах <*>. Настоящее Рамочное решение стремится в полной мере обеспечить соблюдение права на неприкосновенность частной жизни и защиту персональных данных, как указано в [статьях 7](https://bukva.ai/docs/hartiya-2007s-30301/statya-7#p100060) и [8](https://bukva.ai/docs/hartiya-2007s-30301/statya-8#p100063) Хартии,

<a id="p100086"></a>

---

<a id="p100087"></a><*> ОЖ N C 303, 14.12.2007, стр. 1.

<a id="p100088"></a>принял настоящее Рамочное решение:

## Статья 1

### <a id="p100089"></a>Статья 1

<a id="p100090"></a>Цель и сфера применения


1. <a id="p100091"></a>Целью настоящего Рамочного решения является обеспечение высокого уровня защиты основных прав и свобод физических лиц и, в частности, их права на неприкосновенность частной жизни, при обработке персональных данных в рамках полицейского и судебного сотрудничества по уголовным делам, предусмотренного разделом VI Договора о Европейском Союзе, при обеспечении высокого уровня государственной безопасности.
2. <a id="p100092"></a>В соответствии с настоящим Рамочным решением государства-члены ЕС должны защищать основные права и свободы физических лиц и, в частности, их право на неприкосновенность частной жизни, в тех случаях, когда в целях предупреждения, расследования, выявления или преследования уголовных преступлений или в целях исполнения уголовных наказаний персональные данные:
<a id="p100093"></a>a) переданы или предоставлены в отношениях между государствами-членами ЕС;
<a id="p100094"></a>b) переданы или предоставлены государствами-членами ЕС органам или информационным системам, учрежденным на основе раздела VI Договора о Европейском Союзе; или
<a id="p100095"></a>c) переданы или предоставлены компетентным органам государств-членов ЕС органами или информационными системами, учрежденными на основе Договора о Европейском Союзе или [Договора](https://bukva.ai/docs/dogovor-uchrezhdayuschiy-evropeyskoe/statya-1) об учреждении Европейского сообщества.
3. <a id="p100096"></a>Настоящее Рамочное решение применяется к обработке персональных данных, которая осуществляется полностью или частично автоматическими средствами, а также к иным видам обработки персональных данных, которые являются частью системы учета или предусмотрены для формирования системы учета.
4. <a id="p100097"></a>Настоящее Рамочное решение действует без ущерба необходимым интересам национальной безопасности и специальной разведывательной деятельности в сфере национальной безопасности.
5. <a id="p100098"></a>Настоящее Рамочное решение не препятствует государствам-членам ЕС в принятии более строгих мер предосторожности по сравнению с мерами, установленными настоящим Рамочным решением, в целях защиты персональных данных, собираемых или обрабатываемых на национальном уровне.

## Статья 2

### <a id="p100099"></a>Статья 2

<a id="p100100"></a>Определения


<a id="p100101"></a>В целях настоящего Рамочного решения:
<a id="p100102"></a>a) под "персональными данными" понимается любая информация, касающаяся определенного или поддающегося определению физического лица ("субъекта данных"); поддающееся определению лицо - физическое лицо, которое может быть идентифицировано прямо или косвенно, в частности, посредством указания на идентификационный номер или на один или несколько факторов, специфичных для его физической, физиологической, психической, экономической, культурной или социальной идентичности;
<a id="p100103"></a>b) под "обработкой персональных данных" и "обработкой" понимается любая операция или совокупность операций, совершаемых в отношении персональных данных с использованием средств автоматизации или без использования таких средств, включая сбор, регистрацию, систематизацию, хранение, уточнение или изменение, извлечение, консультирование, использование, раскрытие посредством передачи, распространения или иного предоставления, совмещение или комбинирование, блокирование, удаление или уничтожение;
<a id="p100104"></a>c) под "блокированием" понимается маркирование хранящихся персональных данных в целях ограничения их обработки в последующем;
<a id="p100105"></a>d) под "системой учета персональных данных" и под "системой учета" понимается любая структурированная совокупность персональных данных, доступных с учетом определенных критериев независимо от того, являются ли они централизованными, децентрализованными или распространенными на функциональной или географической основе;
<a id="p100106"></a>e) под "лицом, осуществляющим обработку", понимается любой орган, который обрабатывает персональные данные от имени контролера;
<a id="p100107"></a>f) под "получателем" понимается любой орган, которому передаются данные;
<a id="p100108"></a>g) под "согласием субъекта данных" понимается любое данное добровольно конкретное и информированное указание на его желания, посредством которого субъект данных выражает свое согласие на обработку его персональных данных;
<a id="p100109"></a>h) под "компетентными органами" понимаются учреждения или органы, которые созданы законодательными актами, принятыми Советом ЕС в соответствии с разделом VI Договора о Европейском Союзе, а также полицейские, таможенные, судебные и иные компетентные органы государств-членов ЕС, уполномоченные национальным законодательством обрабатывать персональные данные в соответствии с настоящим Рамочным решением;
<a id="p100110"></a>i) под "контролером" понимается физическое или юридическое лицо, орган власти, учреждение или иной орган, который самостоятельно или совместно с другими органами определяет цели и средства обработки персональных данных;
<a id="p100111"></a>j) под "обозначением" понимается маркирование хранящихся персональных данных без намерения ограничить их обработку в последующем;
<a id="p100112"></a>k) под выражением "сделать анонимными" понимается модификация персональных данных таким образом, чтобы информацию о личных или материальных обстоятельствах нельзя было отнести к определенному или поддающемуся определению физическому лицу либо чтобы такое отнесение было возможным только в результате несоразмерных вложений времени, средств и труда.

## Статья 3

### <a id="p100113"></a>Статья 3

<a id="p100114"></a>Принципы законности, пропорциональности и цели


1. <a id="p100115"></a>Сбор персональных данных компетентными органами может осуществляться только в специальных, явно выраженных и законных целях в рамках их полномочий. Обработка персональных данных может осуществляться только в тех целях, для которых они были собраны. Обработка персональных данных должна быть законной и надлежащей, уместной и умеренной с учетом целей, для которых такие данные были собраны.
2. <a id="p100116"></a>Дальнейшая обработка в иных целях разрешается при соблюдении следующих условий:
<a id="p100117"></a>a) они не противоречат целям, для которых данные были собраны;
<a id="p100118"></a>b) компетентные органы уполномочены обрабатывать указанные данные в иных целях в соответствии с применимыми законодательными положениями; и
<a id="p100119"></a>c) обработка необходима и пропорциональна другой цели.
<a id="p100120"></a>Компетентные органы также вправе осуществлять дальнейшую обработку переданных персональных данных в исторических, статистических или научных целях при условии, что государства-члены ЕС предусматривают надлежащие меры безопасности, например, делают такие данные анонимными.

## Статья 4

### <a id="p100121"></a>Статья 4

<a id="p100122"></a>Исправление, удаление и блокирование


1. <a id="p100123"></a>Неточные персональные данные подлежат исправлению и по возможности и необходимости дополнению и обновлению.
2. <a id="p100124"></a>Персональные данные должны быть удалены или сделаны анонимными, если они более не требуются в целях, для которых они были законно собраны или подвергнуты дальнейшей обработке. Настоящее положение не влияет на архивирование таких данных в отдельную совокупность данных на определенный период в соответствии с национальным законодательством.
3. <a id="p100125"></a>Персональные данные вместо уничтожения должны быть заблокированы, если имеются разумные основания полагать, что их уничтожение может затронуть законные интересы субъектов данных. Заблокированные данные подлежат обработке только в тех целях, которые препятствуют их уничтожению.
4. <a id="p100126"></a>Если персональные данные содержатся в судебном решении или в протоколе, который относится к вынесению судебного решения, исправление, удаление или блокирование таких данных осуществляется в соответствии с национальными нормами о судебном производстве.

## Статья 5

### <a id="p100127"></a>Статья 5

<a id="p100128"></a>Установление сроков для удаления и анализа


<a id="p100129"></a>Следует установить надлежащие сроки для удаления персональных данных и для периодического анализа необходимости хранения данных. Меры процедурного характера должны обеспечивать соблюдение этих сроков.

## Статья 6

### <a id="p100130"></a>Статья 6

<a id="p100131"></a>Обработка особых категорий данных


<a id="p100132"></a>Обработка персональных данных, раскрывающих расовое или этническое происхождение, политические взгляды, религиозные или философские убеждения или членство в профессиональных союзах, а также обработка персональных данных, касающихся здоровья или половой жизни, разрешается только в случае крайней необходимости и при наличии надлежащих гарантий, предусмотренных национальным законодательством.

## Статья 7

### <a id="p100133"></a>Статья 7

<a id="p100134"></a>Автоматизированные индивидуальные решения


<a id="p100135"></a>Принятие решений, которые имеют негативные правовые последствия для субъекта данных или оказывают существенное влияние на него и которые основаны исключительно на автоматизированной обработке данных, предназначенных для оценки некоторых личных аспектов, касающихся субъекта данных, разрешается только в том случае, если это установлено законодательным актом, который также предусматривает меры, гарантирующие защиту законных интересов субъекта данных.

## Статья 8

### <a id="p100136"></a>Статья 8

<a id="p100137"></a>Проверка качества переданных или предоставленных данных


1. <a id="p100138"></a>Компетентные органы принимают все необходимые меры для того, чтобы исключить передачу или предоставление неточных, неполных или неактуальных данных. С этой целью компетентные органы проверяют, насколько это возможно, качество персональных данных до их передачи или предоставления. При каждой передаче данных следует по мере возможности передавать также всю имеющуюся информацию, которая позволит получающему государству-члену ЕС оценить степень точности, полноты, актуальности и надежности данных. Если персональные данные были переданы без запроса, получающий орган незамедлительно проверяет, являются ли такие данные необходимыми в тех целях, для которых они были переданы.
2. <a id="p100139"></a>Если окажется, что были переданы неправильные данные либо что данные были переданы незаконно, следует незамедлительно уведомить получателя. Данные должны быть незамедлительно исправлены, удалены или заблокированы в соответствии со [статьей 4](https://bukva.ai/docs/reshenie-2008977pvd/statya-4#p100121) настоящего Рамочного решения.

## Статья 9

### <a id="p100140"></a>Статья 9

<a id="p100141"></a>Сроки


1. <a id="p100142"></a>После передачи или предоставления данных передающий орган вправе в соответствии с национальным законодательством и [статьями 4](https://bukva.ai/docs/reshenie-2008977pvd/statya-4#p100121) и [5](https://bukva.ai/docs/reshenie-2008977pvd/statya-5#p100127) настоящего Рамочного решения указать сроки для хранения данных, по истечении которых получатель должен удалить или заблокировать такие данные или проанализировать необходимость их дальнейшего хранения. Данное обязательство не применяется, если на момент истечения указанных сроков такие данные необходимы для текущего расследования, преследования уголовных преступлений или исполнения уголовных наказаний.
2. <a id="p100143"></a>Если передающий орган не указал срок в соответствии с [параграфом 1](https://bukva.ai/docs/reshenie-2008977pvd/statya-9#p100142) настоящей статьи, применяются сроки, установленные [статьями 4](https://bukva.ai/docs/reshenie-2008977pvd/statya-4#p100121) и [5](https://bukva.ai/docs/reshenie-2008977pvd/statya-5#p100127) настоящего Рамочного решения, для хранения данных в соответствии с национальным законодательством получающего государства-члена ЕС.

## Статья 10

### <a id="p100144"></a>Статья 10

<a id="p100145"></a>Регистрация и документирование


1. <a id="p100146"></a>Все случаи передачи персональных данных подлежат регистрации или документированию в целях проверки законности обработки данных, самопроверки и обеспечения надлежащей целостности и безопасности данных.
2. <a id="p100147"></a>Журналы для регистрации или документация, подготовленные в соответствии с [параграфом 1](https://bukva.ai/docs/reshenie-2008977pvd/statya-10#p100146) настоящей статьи, доводятся до сведения компетентного надзорного органа по его запросу в целях контроля защиты данных. Компетентный надзорный орган использует эту информацию только в целях контроля защиты данных и обеспечения надлежащей обработки данных, а также их целостности и безопасности.

## Статья 11

### <a id="p100148"></a>Статья 11

<a id="p100149"></a>Обработка персональных данных, полученных от другого<br> государства-члена ЕС или предоставленных им


<a id="p100150"></a>Персональные данные, полученные от компетентного органа другого государства-члена ЕС или предоставленные им, могут в соответствии с требованиями [статьи 3 (2)](https://bukva.ai/docs/reshenie-2008977pvd/statya-3#p100116) настоящего Рамочного решения подвергаться дальнейшей обработке только в следующих целях, кроме целей, для которых они были получены или предоставлены:
<a id="p100151"></a>a) предупреждение, расследование, обнаружение или преследование уголовных преступлений или исполнение уголовных наказаний, кроме тех, для которых они были получены или предоставлены;
<a id="p100152"></a>b) ведение иных судебных и административных процедур, непосредственно связанных с предупреждением, расследованием, обнаружением или преследованием уголовных преступлений или исполнением уголовных наказаний;
<a id="p100153"></a>c) предотвращение непосредственной и серьезной угрозы государственной безопасности; или
<a id="p100154"></a>d) любые иные цели только с предварительного согласия передающего государства-члена ЕС либо с согласия субъекта данных, которое дано в соответствии с национальным законодательством.
<a id="p100155"></a>Компетентные органы также вправе осуществлять дальнейшую обработку переданных персональных данных в исторических, статистических или научных целях при условии, что государства-члены ЕС предусматривают надлежащие меры безопасности, например, делают такие данные анонимными.

## Статья 12

### <a id="p100156"></a>Статья 12

<a id="p100157"></a>Соблюдение ограничений обработки, установленных<br> на национальном уровне


1. <a id="p100158"></a>Если в соответствии с законодательством передающего государства-члена ЕС к обмену персональными данными между компетентными органами такого государства-члена ЕС применяются определенные ограничения в особых обстоятельствах, передающий орган должен уведомить получателя о таких ограничениях. Получатель гарантирует соблюдение таких ограничений.
2. <a id="p100159"></a>Применяя [параграф 1](https://bukva.ai/docs/reshenie-2008977pvd/statya-12#p100158) настоящей статьи, государства-члены ЕС не применяют ограничения относительно передачи данных к другим государствам-членам ЕС или к учреждениям и органам, установленным в соответствии с разделом VI Договора о Европейском Союзе, за исключением тех ограничений, которые применяются к аналогичной передаче данных на национальном уровне.

## Статья 13

### <a id="p100160"></a>Статья 13

<a id="p100161"></a>Передача данных компетентным органам в третьих<br> странах или международным организациям


1. <a id="p100162"></a>Государства-члены ЕС предусматривают, что персональные данные, переданные или предоставленные компетентным органом другого государства-члена ЕС, могут быть переданы третьим странам или международным организациям только в следующих случаях:
<a id="p100163"></a>a) такие данные необходимы в целях предупреждения, расследования, обнаружения или преследования уголовных преступлений или исполнения уголовных наказаний;
<a id="p100164"></a>b) получающий орган в третьей стране или получающая международная организация отвечают за предупреждение, расследование, обнаружение или преследование уголовных преступлений или исполнение уголовных наказаний;
<a id="p100165"></a>c) государство-член ЕС, от которого получены данные, дало свое согласие на передачу в соответствии со своим национальным законодательством; и
<a id="p100166"></a>d) соответствующая третья страна или международная организация гарантируют надлежащий уровень защиты предполагаемой обработки данных.
2. <a id="p100167"></a>Передача данных без предварительного согласия, как указано в [параграфе 1 "c"](https://bukva.ai/docs/reshenie-2008977pvd/statya-13#p100165) настоящей статьи, разрешена только в том случае, если такая передача данных необходима для предотвращения непосредственной и серьезной угрозы государственной безопасности государства-члена ЕС или третьей страны либо существенным интересам государства-члена ЕС и предварительное согласие не может быть получено в надлежащий срок. Следует незамедлительно уведомить орган, который отвечает за дачу согласия.
3. <a id="p100168"></a>Путем частичного отступления от [параграфа 1 "d"](https://bukva.ai/docs/reshenie-2008977pvd/statya-13#p100166) настоящей статьи персональные данные могут быть переданы, если:
<a id="p100169"></a>a) это предусмотрено национальным законодательством передающего государства-члена ЕС в связи с:
<a id="p100170"></a>i) особыми законными интересами субъекта данных; или
<a id="p100171"></a>ii) преобладающими на законных основаниях интересами, особенно важными государственными интересами; или
<a id="p100172"></a>b) третья страна или международная организация-получатель предусматривают меры безопасности, которые признаются достаточными соответствующим государством-членом ЕС, согласно его национальному законодательству.
4. <a id="p100173"></a>Достаточность уровня защиты, как указано в [параграфе 1 "d"](https://bukva.ai/docs/reshenie-2008977pvd/statya-13#p100166) настоящей статьи, оценивается в свете всех обстоятельств, сопутствующих деятельности по передаче данных или совокупности данных. Особое внимание следует уделять характеру данных, цели и продолжительности предполагаемого(-ых) действия(-й) или действиям по обработке данных, государству происхождения и государству или международной организации, для которых предназначены данные, нормам общего и отраслевого права, действующим в рассматриваемой третьей стране или международной организации, а также применимым профессиональным нормам и мерам безопасности.

## Статья 14

### <a id="p100174"></a>Статья 14

<a id="p100175"></a>Передача данных частным лицам в государствах-членах ЕС


1. <a id="p100176"></a>Государства-члены ЕС предусматривают, что персональные данные, переданные или предоставленные компетентным органом другого государства-члена ЕС, могут быть переданы частным лицам только в следующих случаях:
<a id="p100177"></a>a) компетентный орган государства-члена ЕС, от которого получены данные, дал свое согласие на передачу в соответствии со своим национальным законодательством;
<a id="p100178"></a>b) законные интересы субъекта данных не препятствуют передаче данных; и
<a id="p100179"></a>c) в особых случаях передача данных необходима для компетентных органов, которые передают данные частным лицам, в целях:
<a id="p100180"></a>i) выполнения задач, возложенных на них в соответствии с законодательством;
<a id="p100181"></a>ii) предупреждения, расследования, обнаружения или преследования уголовных преступлений или исполнения уголовных наказаний;
<a id="p100182"></a>iii) предотвращения непосредственной и серьезной угрозы государственной безопасности; или
<a id="p100183"></a>iv) предотвращения серьезного ущерба правам частных лиц.
2. <a id="p100184"></a>Компетентный орган, передающий данные частному лицу, должен информировать такое лицо о целях, в которых такие данные могут быть использованы.

## Статья 15

### <a id="p100185"></a>Статья 15

<a id="p100186"></a>Информация по запросу компетентного органа


<a id="p100187"></a>Получатель должен по запросу информировать компетентный орган, который передал или предоставил персональные данные, об их обработке.

## Статья 16

### <a id="p100188"></a>Статья 16

<a id="p100189"></a>Информация для субъекта данных


1. <a id="p100190"></a>Государства-члены ЕС гарантируют, что субъект данных проинформирован о сборе или обработке персональных данных компетентными органами таких государств в соответствии с их национальным законодательством.
2. <a id="p100191"></a>Если персональные данные были переданы или предоставлены в отношениях между государствами-членами ЕС, каждое государство-член ЕС вправе в соответствии с положениями своего национального законодательства, как указано в [параграфе 1](https://bukva.ai/docs/reshenie-2008977pvd/statya-16#p100190) настоящей статьи, обращаться к другому государству с просьбой не информировать субъекта данных. В таком случае последнее государство-член ЕС не информирует субъекта данных без предварительного письменного согласия другого государства-члена ЕС.

## Статья 17

### <a id="p100192"></a>Статья 17

<a id="p100193"></a>Право доступа


1. <a id="p100194"></a>Каждый субъект данных вправе на основе запросов, направленных с разумной периодичностью, без ограничений и без излишних задержек и чрезмерных расходов получать:
<a id="p100195"></a>a) как минимум подтверждение от контролера или от национального надзорного органа передачи или предоставления его персональных данных, а также информацию о получателях или о категориях получателей, которым данные были раскрыты, и сведения о данных, подвергнутых обработке; или
<a id="p100196"></a>b) как минимум подтверждение от национального надзорного органа того, что все необходимые проверки были проведены.
2. <a id="p100197"></a>Государства-члены ЕС вправе на законодательном уровне принять меры, ограничивающие доступ к информации, указанной в [параграфе 1 "a"](https://bukva.ai/docs/reshenie-2008977pvd/statya-17#p100195) настоящей статьи, если такое ограничение, с учетом законных интересов заинтересованного лица, является необходимым и соразмерным:
<a id="p100198"></a>a) для недопущения препятствий официальным или юридическим запросам, расследованиям или процедурам;
<a id="p100199"></a>b) для недопущения ущерба предупреждению, обнаружению, расследованию и преследованию уголовных преступлений или исполнению уголовных наказаний;
<a id="p100200"></a>c) для защиты общественной безопасности;
<a id="p100201"></a>d) для защиты государственной безопасности;
<a id="p100202"></a>e) для защиты субъектов данных или прав и свобод иных лиц.
3. <a id="p100203"></a>Любое решение об отказе в доступе или ограничении доступа должно быть передано субъекту данных в письменном виде. При этом его следует проинформировать о фактических или правовых основаниях такого решения. Эта информация может быть опущена при наличии оснований, указанных в [параграфе 2 "a"](https://bukva.ai/docs/reshenie-2008977pvd/statya-17#p100198) - ["e"](https://bukva.ai/docs/reshenie-2008977pvd/statya-17#p100202) настоящей статьи. Во всех случаях субъекта данных необходимо проинформировать о его праве на обжалование такого решения в национальном компетентном надзорном органе, судебном органе или в суде.

## Статья 18

### <a id="p100204"></a>Статья 18

<a id="p100205"></a>Право на исправление, удаление или блокирование


1. <a id="p100206"></a>Субъект данных вправе ожидать от контролера выполнения его обязанностей в соответствии со [статьями 4](https://bukva.ai/docs/reshenie-2008977pvd/statya-4#p100121), [8](https://bukva.ai/docs/reshenie-2008977pvd/statya-8#p100136) и [9](https://bukva.ai/docs/reshenie-2008977pvd/statya-9#p100140) настоящего Рамочного решения, касающимися исправления, удаления или блокирования персональных данных, предусмотренных настоящим Рамочным решением. Государства-члены ЕС устанавливают, может ли субъект данных предъявлять свои права контролеру непосредственно или путем обращения к национальному компетентному надзорному органу. Если контролер отказывает в исправлении, удалении или блокировании персональных данных, такой отказ должен быть доведен до сведения субъекта данных в письменном виде. Субъекта данных также следует проинформировать о предусмотренных национальным законодательством возможностях для подачи жалобы или об иных средствах судебной защиты. В рамках рассмотрения жалобы или судебной защиты права субъекта данных следует проинформировать о том, были ли действия контролера надлежащими или нет. Государства-члены ЕС также могут предусмотреть обязанность национального компетентного надзорного органа проинформировать субъекта данных о проведении проверки.
2. <a id="p100207"></a>Если субъект данных оспаривает точность какого-либо элемента персональных данных и при этом невозможно установить его точность или неточность, может иметь место сопоставление такого элемента данных.

## Статья 19

### <a id="p100208"></a>Статья 19

<a id="p100209"></a>Право на компенсацию


1. <a id="p100210"></a>Любое лицо, которому причинен ущерб в результате незаконной обработки персональных данных или вследствие акта, противоречащего национальным положениям, принятым в соответствии с настоящим Рамочным решением, вправе получить компенсацию за ущерб, причиненный контролером или иным органом, уполномоченным в соответствии с национальным законодательством.
2. <a id="p100211"></a>Если компетентный орган государства-члена ЕС передал персональные данные, получатель не может в случае своей ответственности перед пострадавшей стороной по национальному праву ссылаться в свою защиту на тот факт, что переданные данные были неточными. Если получатель выплачивает компенсацию за ущерб, причиненный использованием ошибочно переданных данных, передающий компетентный орган возмещает получателю выплаченную сумму с учетом возможной вины получателя.

## Статья 20

### <a id="p100212"></a>Статья 20

<a id="p100213"></a>Средства судебной защиты


<a id="p100214"></a>Без ущерба административным средствам правовой защиты, которые могут быть предусмотрены до обращения в судебные органы, субъект данных имеет право на судебную защиту вследствие любых нарушений прав, предоставленных ему в соответствии с действующим национальным законодательством.

## Статья 21

### <a id="p100215"></a>Статья 21

<a id="p100216"></a>Конфиденциальность обработки


1. <a id="p100217"></a>Любое лицо, имеющее доступ к персональным данным, которые подпадают под сферу действия настоящего Рамочного решения, вправе обрабатывать такие данные только в том случае, если указанное лицо является сотрудником компетентного органа или действует согласно его инструкциям, за исключением случаев, когда обработка данных предусмотрена законодательством.
2. <a id="p100218"></a>На лиц, работающих в компетентном органе государства-члена ЕС, распространяются все нормы о защите данных, которые применяются к соответствующему компетентному органу.

## Статья 22

### <a id="p100219"></a>Статья 22

<a id="p100220"></a>Безопасность обработки


1. <a id="p100221"></a>Государства-члены ЕС предусматривают обязанность компетентных органов разработать надлежащие технические и организационные мероприятия по защите персональных данных от случайного или незаконного уничтожения, случайной утраты, изменений, несанкционированного раскрытия или доступа, в частности, если обработка предполагает передачу по сети или предоставление прямого автоматизированного доступа, а также от любых иных незаконных форм обработки данных, принимая во внимание риски, связанные с обработкой и характером данных, которые подлежат защите. С учетом уровня развития техники и стоимости внедрения такие мероприятия должны гарантировать уровень безопасности, эквивалентный рискам, связанным с обработкой и характером данных, которые подлежат защите.
2. <a id="p100222"></a>Что касается автоматизированной обработки персональных данных, каждое государство-член ЕС принимает меры, направленные на:
<a id="p100223"></a>a) недопущение доступа неуполномоченных лиц к оборудованию, которое используется в целях обработки персональных данных (контроль доступа к оборудованию);
<a id="p100224"></a>b) предотвращение несанкционированного считывания, копирования, изменения или удаления носителей данных (контроль носителей данных);
<a id="p100225"></a>c) предотвращение несанкционированного ввода данных и несанкционированной проверки, изменения или удаления хранящихся персональных данных (контроль хранения);
<a id="p100226"></a>d) предотвращение использования автоматизированных систем обработки данных неуполномоченными лицами, которые используют оборудование передачи данных (контроль пользователей);
<a id="p100227"></a>e) обеспечение того, что лица, уполномоченные использовать автоматизированные системы обработки данных, имеют доступ только к тем данным, на которые распространяется их разрешение (контроль доступа к данным);
<a id="p100228"></a>f) обеспечение возможности проверки и установления, какому органу персональные данные были или могли быть переданы или предоставлены с использованием оборудования передачи данных (контроль передачи);
<a id="p100229"></a>g) обеспечение последующей возможности проверки и установления того, какие персональные данные были введены в автоматизированные системы обработки данных, когда и кем они были введены (контроль ввода данных);
<a id="p100230"></a>h) предотвращение несанкционированного считывания, копирования, изменения или удаления персональных данных в ходе передачи персональных данных или в ходе транспортировки носителей данных (контроль транспортировки);
<a id="p100231"></a>i) обеспечение того, чтобы установленные системы в случае перебоев в их работе могли быть восстановлены (восстановление);
<a id="p100232"></a>j) обеспечение того, чтобы функции системы предусматривали сообщение о появлении дефектов в осуществлении функций системы (надежность), а также невозможность искажения хранящихся данных вследствие неисправностей системы (целостность).
3. <a id="p100233"></a>Государства-члены ЕС могут предусмотреть назначение лиц, осуществляющих обработку данных, только в том случае, если такие лица гарантируют выполнение требуемых технических и организационных мероприятий, указанных в [параграфе 1](https://bukva.ai/docs/reshenie-2008977pvd/statya-22#p100221) настоящей статьи, и соблюдение инструкций согласно [статье 21](https://bukva.ai/docs/reshenie-2008977pvd/statya-21#p100215) настоящего Рамочного решения. В этих целях компетентный орган контролирует лиц, осуществляющих обработку данных.
4. <a id="p100234"></a>Личные данные могут быть подвергнуты обработке только на основе законодательного акта или письменного договора.

## Статья 23

### <a id="p100235"></a>Статья 23

<a id="p100236"></a>Предварительные консультации


<a id="p100237"></a>Государства-члены ЕС гарантируют проведение консультаций с национальными компетентными надзорными органами до обработки персональных данных, включенных в новую систему учета, которая должна быть создана в следующих случаях:
<a id="p100238"></a>a) обработке подлежат специальные категории данных, указанных в [статье 6](https://bukva.ai/docs/reshenie-2008977pvd/statya-6#p100130) настоящего Рамочного решения; или
<a id="p100239"></a>b) тип обработки, в частности, использование новых технологий, механизмов или процедур, представляет особые угрозы для основных прав и свобод и особенно для частной жизни субъекта данных.

## Статья 24

### <a id="p100240"></a>Статья 24

<a id="p100241"></a>Санкции


<a id="p100242"></a>Государства-члены ЕС принимают надлежащие меры, гарантирующие имплементацию положений настоящего Рамочного решения в полном объеме, и, в частности, разрабатывают эффективные, соразмерные и оказывающие сдерживающее воздействие санкции, которые подлежат применению в случае нарушения положений, принятых в соответствии с настоящим Рамочным решением.

## Статья 25

### <a id="p100243"></a>Статья 25

<a id="p100244"></a>Национальные надзорные органы


1. <a id="p100245"></a>Каждое государство-член ЕС предусматривает ответственность одного или нескольких государственных органов за консультирование и мониторинг применения на своей территории положений, принятых государствами-членами ЕС в соответствии с настоящим Рамочным решением. Такие органы должны действовать полностью независимо при осуществлении возложенных на них функций.
2. <a id="p100246"></a>Каждый орган наделяется, в частности, следующими полномочиями:
<a id="p100247"></a>a) полномочия по проведению расследований, в частности, право доступа к данным, формирующим предмет операций по обработке, и право сбора всей информации, необходимой для осуществления надзорных функций;
<a id="p100248"></a>b) эффективные полномочия по вмешательству, например, вынесение заключений до осуществления операций по обработке и обеспечение надлежащей публикации таких заключений, распоряжений о блокировании, удалении или уничтожении данных, о наложении временных или окончательных запретов на обработку данных, о предупреждении или предостережении контролера либо полномочия по передаче дела национальным парламентам или иным политическим институтам;
<a id="p100249"></a>c) полномочия по участию в судебных производствах в случае нарушения национальных положений, принятых в соответствии с настоящим Рамочным решением либо полномочия по ознакомлению судебных органов с такими нарушениями. Решения надзорных органов, которые вызывают претензии, могут быть обжалованы в суде.
3. <a id="p100250"></a>Каждый надзорный орган рассматривает претензии любого лица, касающиеся защиты его прав и свобод в связи с обработкой персональных данных. Необходимо проинформировать заинтересованное лицо о результатах рассмотрения претензии.
4. <a id="p100251"></a>Государства-члены ЕС предусматривают, что на членов и сотрудников надзорных органов распространяются положения о защите данных, применимые к соответствующим компетентным органам, даже после прекращения трудовых отношений, а также обязанность по соблюдению профессиональной тайны в отношении конфиденциальной информации, к которой они имеют доступ.

## Статья 26

### <a id="p100252"></a>Статья 26

<a id="p100253"></a>Взаимосвязь с соглашениями с третьими странами


<a id="p100254"></a>Настоящее Рамочное решение не затрагивает какие-либо обязательства и обязанности, возложенные на государства-члены ЕС или на Европейский Союз в силу двусторонних и/или многосторонних соглашений с третьими странами, существующих на момент принятия настоящего Рамочного решения.
<a id="p100255"></a>В порядке применения указанных соглашений передача третьим странам персональных данных, полученных от другого государства-члена ЕС, будет осуществляться с соблюдением [статьи 13 (1) "c"](https://bukva.ai/docs/reshenie-2008977pvd/statya-13#p100165) или [(2)](https://bukva.ai/docs/reshenie-2008977pvd/statya-13#p100167) настоящего Рамочного решения в зависимости от обстоятельств.

## Статья 27

### <a id="p100256"></a>Статья 27

<a id="p100257"></a>Оценка


1. <a id="p100258"></a>Не позднее 27 ноября 2013 г. государства-члены ЕС представляют Европейской комиссии отчет о мерах, которые они приняли на национальном уровне в полном соответствии с настоящим Рамочным решением, в частности, об уже действовавших положениях, которые необходимо соблюдать при сборе данных. Европейская комиссия оценивает, в частности, последствия таких положений для сферы применения настоящего Рамочного решения, как установлено [статьей 1 (2)](https://bukva.ai/docs/reshenie-2008977pvd/statya-1#p100092) настоящего Рамочного решения.
2. <a id="p100259"></a>В течение одного года Европейская комиссия представляет Европейскому парламенту и Совету ЕС отчет о результатах оценки, указанной в [параграфе 1](https://bukva.ai/docs/reshenie-2008977pvd/statya-27#p100258) настоящей статьи, и сопровождает свой отчет соответствующими предложениями о внесении изменений в настоящее Рамочное решение.

## Статья 28

### <a id="p100260"></a>Статья 28

<a id="p100261"></a>Взаимосвязь с ранее принятыми актами Европейского Союза


<a id="p100262"></a>Если акты, принятые в соответствии с разделом VI Договора о Европейском Союзе до даты вступления в силу настоящего Рамочного решения и регулирующие обмен персональными данными между государствами-членами ЕС или доступ назначенных органов государств-членов ЕС к информационным системам, созданным в соответствии с [Договором](https://bukva.ai/docs/dogovor-uchrezhdayuschiy-evropeyskoe/statya-1) об учреждении Европейского сообщества, предусматривают особые условия по использованию таких данных получающим государством-членом ЕС, такие условия имеют преимущественную силу по сравнению с положениями настоящего Рамочного решения, касающимися использования данных, полученных от другого государства-члена ЕС или предоставленных им.

## Статья 29

### <a id="p100263"></a>Статья 29

<a id="p100264"></a>Имплементация


1. <a id="p100265"></a>Не позднее 27 ноября 2010 г. государства-члены ЕС должны принять все необходимые меры по выполнению требований настоящего Рамочного решения.
2. <a id="p100266"></a>Не позднее этой даты государства-члены ЕС передают Генеральному секретариату Совета ЕС и Европейской комиссии тексты положений, преобразующих в национальное право обязательства, возложенные на них настоящим Рамочным решением, а также информацию о надзорных органах, указанных в [статье 25](https://bukva.ai/docs/reshenie-2008977pvd/statya-25#p100243) настоящего Рамочного решения. На основе отчета, подготовленного Европейской комиссией с использованием этой информации, Совет ЕС не позднее 27 ноября 2011 г. оценивает степень выполнения государствами-членами ЕС требований настоящего Рамочного решения.

## Статья 30

### <a id="p100267"></a>Статья 30

<a id="p100268"></a>Вступление в силу


<a id="p100269"></a>Настоящее Рамочное решение вступает в силу на двадцатый день после его публикации в Официальном журнале Европейского Союза.

<a id="p100270"></a>Совершено в Брюсселе 27 ноября 2008 г.

<div align="right">

<a id="p100271"></a>От имени Совета ЕС<br>
Председатель<br>
**M.ALLIOT-MARIE**

</div>






<a id="p100272"></a>COUNCIL FRAMEWORK DECISION No. 2008/977/JHA
**ON THE PROTECTION OF PERSONAL DATA PROCESSED IN THE**
**FRAMEWORK OF POLICE AND JUDICIAL COOPERATION**
**IN CRIMINAL MATTERS**

<a id="p100273"></a>(Brussels, 27.XI.2008)

<a id="p100274"></a>The Council of the European Union,
<a id="p100275"></a>Having regard to the Treaty on European Union, and in particular Articles 30, 31 and 34(2)(b) thereof,
<a id="p100276"></a>Having regard to the proposal from the Commission,
<a id="p100277"></a>Having regard to the opinion of the European Parliament <*>,

<a id="p100278"></a>

---

<a id="p100279"></a><*> OJ C 125 E, 22.5.2008, p. 154.

<a id="p100280"></a>Whereas:
<a id="p100281"></a>(1) The European Union has set itself the objective of maintaining and developing the Union as an area of freedom, security and justice in which a high level of safety is to be provided by common action among the Member States in the fields of police and judicial cooperation in criminal matters.
<a id="p100282"></a>(2) Common action in the field of police cooperation under Article 30(1)(b) of the Treaty on European Union and common action on judicial cooperation in criminal matters under Article 31(1)(a) of the Treaty on European Union imply a need to process the relevant information which should be subject to appropriate provisions on the protection of personal data.
<a id="p100283"></a>(3) Legislation falling within the scope of Title VI of the Treaty on European Union should foster police and judicial cooperation in criminal matters with regard to its efficiency as well as its legitimacy and compliance with fundamental rights, in particular the right to privacy and to the protection of personal data. Common standards regarding the processing and protection of personal data processed for the purpose of preventing and combating crime contribute to the achieving of both aims.
<a id="p100284"></a>(4) The Hague Programme on strengthening freedom, security and justice in the European Union, adopted by the European Council on 4 November 2004, stressed the need for an innovative approach to the cross-border exchange of law-enforcement information under the strict observation of key conditions in the area of data protection and invited the Commission to submit proposals in this regard by the end of 2005 at the latest. This was reflected in the Council and Commission Action Plan implementing the Hague Programme on strengthening freedom, security and justice in the European Union <*>.

<a id="p100285"></a>

---

<a id="p100286"></a><*> OJ C 198, 12.8.2005, p. 1.

<a id="p100287"></a>(5) The exchange of personal data within the framework of police and judicial cooperation in criminal matters, notably under the principle of availability of information as laid down in the Hague Programme, should be supported by clear rules enhancing mutual trust between the competent authorities and ensuring that the relevant information is protected in a way that excludes any discrimination in respect of such cooperation between the Member States while fully respecting fundamental rights of individuals. Existing instruments at the European level do not suffice; Directive 95/46/EC of the European Parliament and of the Council of 24 October 1995 on the protection of individuals with regard to the processing of personal data and on the free movement of such data <*> does not apply to the processing of personal data in the course of an activity which falls outside the scope of Community law, such as those provided for by Title VI of the Treaty on European Union, nor, in any case, to processing operations concerning public security, defence, state security or the activities of the State in areas of criminal law.

<a id="p100288"></a>

---

<a id="p100289"></a><*> OJ L 281, 23.11.1995, p. 31.

<a id="p100290"></a>(6) This Framework Decision applies only to data gathered or processed by competent authorities for the purpose of the prevention, investigation, detection or prosecution of criminal offences or the execution of criminal penalties. This Framework Decision should leave it to Member States to determine more precisely at national level which other purposes are to be considered as incompatible with the purpose for which the personal data were originally collected. In general, further processing for historical, statistical or scientific purposes should not be considered as incompatible with the original purpose of the processing.
<a id="p100291"></a>(7) The scope of this Framework Decision is limited to the processing of personal data transmitted or made available between Member States. No conclusions should be inferred from this limitation regarding the competence of the Union to adopt acts relating to the collection and processing of personal data at national level or the expediency for the Union to do so in the future.
<a id="p100292"></a>(8) In order to facilitate data exchanges within the Union, Member States intend to ensure that the standard of data protection achieved in national data processing matches that provided for in this Framework Decision. With regard to national data processing, this Framework Decision does not preclude Member States from providing safeguards for the protection of personal data higher than those established in this Framework Decision.
<a id="p100293"></a>(9) This Framework Decision should not apply to personal data which a Member State has obtained within the scope of this Framework Decision and which originated in that Member State.
<a id="p100294"></a>(10) The approximation of Member States' laws should not result in any lessening of the data protection they afford but should, on the contrary, seek to ensure a high level of protection within the Union.
<a id="p100295"></a>(11) It is necessary to specify the objectives of data protection within the framework of police and judicial activities and to lay down rules concerning the lawfulness of processing of personal data in order to ensure that any information that might be exchanged has been processed lawfully and in accordance with fundamental principles relating to data quality. At the same time the legitimate activities of the police, customs, judicial and other competent authorities should not be jeopardised in any way.
<a id="p100296"></a>(12) The principle of accuracy of data is to be applied taking account of the nature and purpose of the processing concerned. For example, in particular in judicial proceedings data are based on the subjective perception of individuals and in some cases are totally unverifiable. Consequently, the requirement of accuracy cannot appertain to the accuracy of a statement but merely to the fact that a specific statement has been made.
<a id="p100297"></a>(13) Archiving in a separate data set should be permissible only if the data are no longer required and used for the prevention, investigation, detection or prosecution of criminal offences or the execution of criminal penalties. Archiving in a separate data set should also be permissible if the archived data are stored in a database with other data in such a way that they can no longer be used for the prevention, investigation, detection or prosecution of criminal offences or the execution of criminal penalties. The appropriateness of the archiving period should depend on the purposes of archiving and the legitimate interests of the data subjects. In the case of archiving for historical purposes a very long period may be envisaged.
<a id="p100298"></a>(14) Data may also be erased by destroying the data medium.
<a id="p100299"></a>(15) As regards inaccurate, incomplete or no longer up-to-date data transmitted or made available to another Member State and further processed by quasi-judicial authorities, meaning authorities with powers to make legally binding decisions, its rectification, erasure or blocking should be carried out in accordance with national law.
<a id="p100300"></a>(16) Ensuring a high level of protection of the personal data of individuals requires common provisions to determine the lawfulness and the quality of data processed by competent authorities in other Member States.
<a id="p100301"></a>(17) It is appropriate to lay down at the European level the conditions under which competent authorities of the Member States should be allowed to transmit and make available personal data received from other Member States to authorities and private parties in Member States. In many cases the transmission of personal data by the judiciary, police or customs to private parties is necessary to prosecute crime or to prevent an immediate and serious threat to public security or to prevent serious harm to the rights of individuals, for example, by issuing alerts concerning forgeries of securities to banks and credit institutions, or, in the area of vehicle crime, by communicating personal data to insurance companies in order to prevent illicit trafficking in stolen motor vehicles or to improve the conditions for the recovery of stolen motor vehicles from abroad. This is not tantamount to the transfer of police or judicial tasks to private parties.
<a id="p100302"></a>(18) The rules in this Framework Decision regarding the transmission of personal data by the judiciary, police or customs to private parties do not apply to the disclosure of data to private parties (such as defence lawyers and victims) in the context of criminal proceedings.
<a id="p100303"></a>(19) The further processing of personal data received from, or made available by, the competent authority of another Member State, in particular the further transmission of or making available such data, should be subject to common rules at European level.
<a id="p100304"></a>(20) Where personal data may be further processed after the Member State from which the data were obtained has given its consent, each Member State should be able to determine the modalities of such consent, including, for example, by means of a general consent for categories of information or categories of further processing.
<a id="p100305"></a>(21) Where personal data may be further processed for administrative proceedings, these proceedings also include activities by regulatory and supervisory bodies.
<a id="p100306"></a>(22) The legitimate activities of the police, customs, judicial and other competent authorities may require that data are sent to authorities in third States or international bodies that have obligations for the prevention, investigation, detection or prosecution of criminal offences or the execution of criminal penalties.
<a id="p100307"></a>(23) Where personal data are transferred from a Member State to third States or international bodies, these data should, in principle, benefit from an adequate level of protection.
<a id="p100308"></a>(24) Where personal data are transferred from a Member State to third States or international bodies, such transfer should, in principle, take place only after the Member State from which the data were obtained has given its consent to the transfer. Each Member State should be able to determine the modalities of such consent, including, for example, by means of a general consent for categories of information or for specified third States.
<a id="p100309"></a>(25) The interests of efficient law enforcement cooperation require that where the nature of a threat to the public security of a Member State or a third State is so immediate as to render it impossible to obtain prior consent in good time, the competent authority should be able to transfer the relevant personal data to the third State concerned without such prior consent. The same could apply where other essential interests of a Member State of equal importance are at stake, for example where the critical infrastructure of a Member State could be the subject of an immediate and serious threat or where a Member State's financial system could be seriously disrupted.
<a id="p100310"></a>(26) It may be necessary to inform data subjects regarding the processing of their data, in particular where there has been particularly serious encroachment on their rights as a result of secret data collection measures, in order to ensure that data subjects can have effective legal protection.
<a id="p100311"></a>(27) Member States should ensure that the data subject is informed that the personal data could be or are being collected, processed or transmitted to another Member State for the purpose of prevention, investigation, detection, and prosecution of criminal offences or the execution of criminal penalties. The modalities of the right of the data subject to be informed and the exceptions thereto should be determined by national law. This may take a general form, for example, through the law or through the publication of a list of the processing operations.
<a id="p100312"></a>(28) In order to ensure the protection of personal data without jeopardising the interests of criminal investigations, it is necessary to define the rights of the data subject.
<a id="p100313"></a>(29) Some Member States have provided for the right of access of the data subject in criminal matters through a system where the national supervisory authority, in place of the data subject, has access to all the personal data related to the data subject without any restriction and may also rectify, erase or update inaccurate data. In such a case of indirect access, the national law of those Member States may provide that the national supervisory authority will inform the data subject only that all the necessary verifications have taken place. However, those Member States also provide for possibilities of direct access for the data subject in specific cases, such as access to judicial records, in order to obtain copies of own criminal records or of documents relating to own hearings by the police services.
<a id="p100314"></a>(30) It is appropriate to establish common rules on confidentiality and security of processing, on liability and penalties for unlawful use by competent authorities and on judicial remedies available to the data subject. It is, however, for each Member State to determine the nature of its tort rules and of the penalties applicable to violations of domestic data protection provisions.
<a id="p100315"></a>(31) This Framework Decision allows the principle of public access to official documents to be taken into account when implementing the principles set out in this Framework Decision.
<a id="p100316"></a>(32) When necessary to protect personal data in relation to processing which by scale or by type holds specific risks for fundamental rights and freedoms, for example processing by means of new technologies, mechanisms or procedures, it is appropriate to ensure that the competent national supervisory authorities are consulted prior to the establishment of filing systems aimed at the processing of these data.
<a id="p100317"></a>(33) The establishment in Member States of supervisory authorities, exercising their functions with complete independence, is an essential component of the protection of personal data processed within the framework of police and judicial cooperation between the Member States.
<a id="p100318"></a>(34) The supervisory authorities already established in Member States under Directive 95/46/EC should also be able to assume responsibility for the tasks to be performed by the national supervisory authorities to be established under this Framework Decision.
<a id="p100319"></a>(35) Such supervisory authorities should have the necessary means to perform their duties, including powers of investigation and intervention, particularly in cases of complaints from individuals, or powers to engage in legal proceedings. These supervisory authorities should help to ensure transparency of processing in the Member States within whose jurisdiction they fall. However, their powers should not interfere with specific rules set out for criminal proceedings or the independence of the judiciary.
<a id="p100320"></a>(36) Article 47 of the Treaty on European Union stipulates that nothing in it is to affect the Treaties establishing the European Communities or the subsequent Treaties and Acts modifying or supplementing them. Accordingly, this Framework Decision does not affect the protection of personal data under Community law, in particular as provided for in Directive 95/46/EC, in Regulation (EC) No 45/2001 of the European Parliament and of the Council of 18 December 2000 on the protection of individuals with regard to the processing of personal data by the Community institutions and bodies and on the free movement of such data <*> and in Directive 2002/58/EC of the European Parliament and of the Council of 12 July 2002 concerning the processing of personal data and the protection of privacy in the electronic communications sector (Directive on privacy and electronic communications) <**>.

<a id="p100321"></a>

---

<a id="p100322"></a><*> OJ L 8, 12.1.2001, p. 1.
<a id="p100323"></a><**> OJ L 201, 31.7.2002, p. 37.

<a id="p100324"></a>(37) This Framework Decision is without prejudice to the rules pertaining to illicit access to data laid down in Council Framework Decision 2005/222/JHA of 24 February 2005 on attacks against information systems <*>.

<a id="p100325"></a>

---

<a id="p100326"></a><*> OJ L 69, 16.3.2005, p. 67.

<a id="p100327"></a>(38) This Framework Decision is without prejudice to existing obligations and commitments incumbent upon Member States or upon the Union by virtue of bilateral and/or multilateral agreements with third States. Future agreements should comply with the rules on exchanges with third States.
<a id="p100328"></a>(39) Several acts, adopted on the basis of Title VI of the Treaty on European Union, contain specific provisions on the protection of personal data exchanged or otherwise processed pursuant to those acts. In some cases these provisions constitute a complete and coherent set of rules covering all relevant aspects of data protection (principles of data quality, rules on data security, regulation of the rights and safeguards of data subjects, organisation of supervision and liability) and they regulate these matters in more detail than this Framework Decision. The relevant set of data protection provisions of those acts, in particular those governing the functioning of Europol, Eurojust, the Schengen Information System (SIS) and the Customs Information System (CIS), as well as those introducing direct access for the authorities of Member States to certain data systems of other Member States, should not be affected by this Framework Decision. The same applies in respect of the data protection provisions governing the automated transfer between Member States of DNA profiles, dactyloscopic data and national vehicle registration data pursuant to the Council Decision 2008/615/JHA of 23 June 2008 on the stepping up of cross-border cooperation, particularly in combating terrorism and cross-border crime <*>.

<a id="p100329"></a>

---

<a id="p100330"></a><*> OJ L 210, 6.8.2008, p. 1.

<a id="p100331"></a>(40) In other cases the provisions on data protection in acts, adopted on the basis of Title VI of the Treaty on European Union, are more limited in scope. They often set specific conditions for the Member State receiving information containing personal data from other Member States as to the purposes for which it can use those data, but refer for other aspects of data protection to the Council of Europe Convention for the Protection of Individuals with regard to Automatic Processing of Personal Data of 28 January 1981 or to national law. To the extent that the provisions of those acts imposing conditions on receiving Member States as to the use or further transfer of personal data are more restrictive than those contained in the corresponding provisions of this Framework Decision, the former provisions should remain unaffected. However, for all other aspects the rules set out in this Framework Decision should be applied.
<a id="p100332"></a>(41) This Framework Decision does not affect the Council of Europe Convention for the Protection of Individuals with regard to Automatic Processing of Personal Data, the Additional Protocol to that Convention of 8 November 2001 or the Council of Europe conventions on judicial cooperation in criminal matters.
<a id="p100333"></a>(42) Since the objective of this Framework Decision, namely the determination of common rules for the protection of personal data processed in the framework of police and judicial cooperation in criminal matters, cannot be sufficiently achieved by the Member States, and can therefore, by reason of the scale and effects of the action, be better achieved at the Union level, the Union may adopt measures in accordance with the principle of subsidiarity as set out in Article 5 of the Treaty establishing the European Community and referred to in Article 2 of the Treaty on European Union. In accordance with the principle of proportionality as set out in Article 5 of the Treaty establishing the European Community, this Framework Decision does not go beyond what is necessary to achieve that objective.
<a id="p100334"></a>(43) The United Kingdom is taking part in this Framework Decision, in accordance with Article 5 of the Protocol integrating the Schengen acquis into the framework of the European Union annexed to the Treaty on European Union and to the Treaty establishing the European Community, and Article 8(2) of Council Decision 2000/365/EC of 29 May 2000 concerning the request of the United Kingdom of Great Britain and Northern Ireland to take part in some of the provisions of the Schengen acquis <*>.

<a id="p100335"></a>

---

<a id="p100336"></a><*> OJ L 131, 1.6.2000, p. 43.

<a id="p100337"></a>(44) Ireland is taking part in this Framework Decision in accordance with Article 5 of the Protocol integrating the Schengen acquis into the framework of the European Union annexed to the Treaty on European Union and to the Treaty establishing the European Community, and Article 6(2) of Council Decision 2002/192/EC of 28 February 2002 concerning Ireland's request to take part in some of the provisions of the Schengen acquis <*>.

<a id="p100338"></a>

---

<a id="p100339"></a><*> OJ L 64, 7.3.2002, p. 20.

<a id="p100340"></a>(45) As regards Iceland and Norway, this Framework Decision constitutes a development of provisions of the Schengen acquis within the meaning of the Agreement concluded by the Council of the European Union and the Republic of Iceland and the Kingdom of Norway concerning the latter's association with the implementation, application and development of the Schengen acquis <*>, which fall within the area referred to in Article 1, points H and I of Council Decision 1999/437/EC <**> on certain arrangements for the application of that Agreement.

<a id="p100341"></a>

---

<a id="p100342"></a><*> OJ L 176, 10.7.1999, p. 36.
<a id="p100343"></a><**> OJ L 176, 10.7.1999, p. 31.

<a id="p100344"></a>(46) As regards Switzerland, this Framework Decision constitutes a development of the provisions of the Schengen acquis within the meaning of the Agreement between the European Union, the European Community and the Swiss Confederation on the Swiss Confederation's association with the implementation, application and development of the Schengen acquis <*>, which fall within the area referred to in Article 1, point H and I of Decision 1999/437/EC read in conjunction with Article 3 of Council Decision 2008/149/JHA <**> on the conclusion of that Agreement on behalf of the European Union.

<a id="p100345"></a>

---

<a id="p100346"></a><*> OJ L 53, 27.2.2008, p. 52.
<a id="p100347"></a><**> OJ L 53, 27.2.2008, p. 50.

<a id="p100348"></a>(47) As regards Liechtenstein, this Framework Decision constitutes a development of the provisions of the Schengen acquis within the meaning of the Protocol signed between the European Union, the European Community, the Swiss Confederation and the Principality of Liechtenstein on the accession of the Principality of Liechtenstein to the Agreement between the European Union, the European Community and the Swiss Confederation on the Swiss Confederation's association with the implementation, application and development of the Schengen acquis, which fall within the area referred to in Article 1, point H and I of Decision 1999/437/EC read in conjunction with Article 3 of Council Decision 2008/262/JHA <*> on the signature of that Protocol on behalf of the European Union.

<a id="p100349"></a>

---

<a id="p100350"></a><*> OJ L 83, 26.3.2008, p. 5.

<a id="p100351"></a>(48) This Framework Decision respects the fundamental rights and observes the principles recognised in particular by the Charter of Fundamental Rights of the European Union <*>. This Framework Decision seeks to ensure full respect for the rights to privacy and the protection of personal data reflected in Articles 7 and 8 of the Charter,

<a id="p100352"></a>

---

<a id="p100353"></a><*> OJ C 303, 14.12.2007, p. 1.

<a id="p100354"></a>Has adopted this Framework Decision:

<div align="center">

<a id="p100355"></a>Article 1

<a id="p100356"></a>Purpose and scope

</div>


1. <a id="p100357"></a>The purpose of this Framework Decision is to ensure a high level of protection of the fundamental rights and freedoms of natural persons, and in particular their right to privacy, with respect to the processing of personal data in the framework of police and judicial cooperation in criminal matters, provided for by Title VI of the Treaty on European Union, while guaranteeing a high level of public safety.
2. <a id="p100358"></a>In accordance with this Framework Decision, Member States shall protect the fundamental rights and freedoms of natural persons, and in particular their right to privacy when, for the purpose of the prevention, investigation, detection or prosecution of criminal offences or the execution of criminal penalties, personal data:
<a id="p100359"></a>(a) are or have been transmitted or made available between Member States;
<a id="p100360"></a>(b) are or have been transmitted or made available by Member States to authorities or to information systems established on the basis of Title VI of the Treaty on European Union; or
<a id="p100361"></a>(c) are or have been transmitted or made available to the competent authorities of the Member States by authorities or information systems established on the basis of the Treaty on European Union or the Treaty establishing the European Community.
3. <a id="p100362"></a>This Framework Decision shall apply to the processing of personal data wholly or partly by automatic means, and to the processing otherwise than by automatic means, of personal data which form part of a filing system or are intended to form part of a filing system.
4. <a id="p100363"></a>This Framework Decision is without prejudice to essential national security interests and specific intelligence activities in the field of national security.
5. <a id="p100364"></a>This Framework Decision shall not preclude Member States from providing, for the protection of personal data collected or processed at national level, higher safeguards than those established in this Framework Decision.

<div align="center">

<a id="p100365"></a>Article 2

<a id="p100366"></a>Definitions

</div>


<a id="p100367"></a>For the purposes of this Framework Decision:
<a id="p100368"></a>(a) "personal data" mean any information relating to an identified or identifiable natural person ("data subject"); an identifiable person is one who can be identified, directly or indirectly, in particular by reference to an identification number or to one or more factors specific to his physical, physiological, mental, economic, cultural or social identity;
<a id="p100369"></a>(b) "processing of personal data" and "processing" mean any operation or set of operations which is performed upon personal data, whether or not by automatic means, such as collection, recording, organisation, storage, adaptation or alteration, retrieval, consultation, use, disclosure by transmission, dissemination or otherwise making available, alignment or combination, blocking, erasure or destruction;
<a id="p100370"></a>(c) "blocking" means the marking of stored personal data with the aim of limiting their processing in future;
<a id="p100371"></a>(d) "personal data filing system" and "filing system" mean any structured set of personal data which are accessible according to specific criteria, whether centralised, decentralised or dispersed on a functional or geographical basis;
<a id="p100372"></a>(e) "processor" means any body which processes personal data on behalf of the controller;
<a id="p100373"></a>(f) "recipient" means any body to which data are disclosed;
<a id="p100374"></a>(g) "the data subject's consent" means any freely given specific and informed indication of his wishes by which the data subject signifies his agreement to personal data relating to him being processed;
<a id="p100375"></a>(h) "competent authorities" mean agencies or bodies established by legal acts adopted by the Council pursuant to Title VI of the Treaty on European Union, as well as police, customs, judicial and other competent authorities of the Member States that are authorised by national law to process personal data within the scope of this Framework Decision;
<a id="p100376"></a>(i) "controller" means the natural or legal person, public authority, agency or any other body which alone or jointly with others determines the purposes and means of the processing of personal data;
<a id="p100377"></a>(j) "referencing" means the marking of stored personal data without the aim of limiting their processing in future;
<a id="p100378"></a>(k) "to make anonymous" means to modify personal data in such a way that details of personal or material circumstances can no longer or only with disproportionate investment of time, cost and labour be attributed to an identified or identifiable natural person.

<div align="center">

<a id="p100379"></a>Article 3

<a id="p100380"></a>Principles of lawfulness, proportionality and purpose

</div>


1. <a id="p100381"></a>Personal data may be collected by the competent authorities only for specified, explicit and legitimate purposes in the framework of their tasks and may be processed only for the same purpose for which data were collected. Processing of the data shall be lawful and adequate, relevant and not excessive in relation to the purposes for which they are collected.
2. <a id="p100382"></a>Further processing for another purpose shall be permitted in so far as:
<a id="p100383"></a>(a) it is not incompatible with the purposes for which the data were collected;
<a id="p100384"></a>(b) the competent authorities are authorised to process such data for such other purpose in accordance with the applicable legal provisions; and
<a id="p100385"></a>(c) processing is necessary and proportionate to that other purpose.
<a id="p100386"></a>The competent authorities may also further process the transmitted personal data for historical, statistical or scientific purposes, provided that Member States provide appropriate safeguards, such as making the data anonymous.

<div align="center">

<a id="p100387"></a>Article 4

<a id="p100388"></a>Rectification, erasure and blocking

</div>


1. <a id="p100389"></a>Personal data shall be rectified if inaccurate and, where this is possible and necessary, completed or updated.
2. <a id="p100390"></a>Personal data shall be erased or made anonymous when they are no longer required for the purposes for which they were lawfully collected or are lawfully further processed. Archiving of those data in a separate data set for an appropriate period in accordance with national law shall not be affected by this provision.
3. <a id="p100391"></a>Personal data shall be blocked instead of erased if there are reasonable grounds to believe that erasure could affect the legitimate interests of the data subject. Blocked data shall be processed only for the purpose which prevented their erasure.
4. <a id="p100392"></a>When the personal data are contained in a judicial decision or record related to the issuance of a judicial decision, the rectification, erasure or blocking shall be carried out in accordance with national rules on judicial proceedings.

<div align="center">

<a id="p100393"></a>Article 5

<a id="p100394"></a>Establishment of time limits for erasure and review

</div>


<a id="p100395"></a>Appropriate time limits shall be established for the erasure of personal data or for a periodic review of the need for the storage of the data. Procedural measures shall ensure that these time limits are observed.

<div align="center">

<a id="p100396"></a>Article 6

<a id="p100397"></a>Processing of special categories of data

</div>


<a id="p100398"></a>The processing of personal data revealing racial or ethnic origin, political opinions, religious or philosophical beliefs or trade-union membership and the processing of data concerning health or sex life shall be permitted only when this is strictly necessary and when the national law provides adequate safeguards.

<div align="center">

<a id="p100399"></a>Article 7

<a id="p100400"></a>Automated individual decisions

</div>


<a id="p100401"></a>A decision which produces an adverse legal effect for the data subject or significantly affects him and which is based solely on automated processing of data intended to evaluate certain personal aspects relating to the data subject shall be permitted only if authorised by a law which also lays down measures to safeguard the data subject's legitimate interests.

<div align="center">

<a id="p100402"></a>Article 8

<a id="p100403"></a>Verification of quality of data that<br>
are transmitted or made available

</div>


1. <a id="p100404"></a>The competent authorities shall take all reasonable steps to provide that personal data which are inaccurate, incomplete or no longer up to date are not transmitted or made available. To that end, the competent authorities shall, as far as practicable, verify the quality of personal data before they are transmitted or made available. As far as possible, in all transmissions of data, available information shall be added which enables the receiving Member State to assess the degree of accuracy, completeness, up-to-dateness and reliability. If personal data were transmitted without request the receiving authority shall verify without delay whether these data are necessary for the purpose for which they were transmitted.
2. <a id="p100405"></a>If it emerges that incorrect data have been transmitted or data have been unlawfully transmitted, the recipient must be notified without delay. The data must be rectified, erased, or blocked without delay in accordance with Article 4.

<div align="center">

<a id="p100406"></a>Article 9

<a id="p100407"></a>Time limits

</div>


1. <a id="p100408"></a>Upon transmission or making available of the data, the transmitting authority may in line with the national law and in accordance with Articles 4 and 5, indicate the time limits for the retention of data, upon the expiry of which the recipient must erase or block the data or review whether or not they are still needed. This obligation shall not apply if, at the time of the expiry of these time limits, the data are required for a current investigation, prosecution of criminal offences or enforcement of criminal penalties.
2. <a id="p100409"></a>Where the transmitting authority has not indicated a time limit in accordance with paragraph 1, the time limits referred to in Articles 4 and 5 for the retention of data provided for under the national law of the receiving Member State shall apply.

<div align="center">

<a id="p100410"></a>Article 10

<a id="p100411"></a>Logging and documentation

</div>


1. <a id="p100412"></a>All transmissions of personal data are to be logged or documented for the purposes of verification of the lawfulness of the data processing, self-monitoring and ensuring proper data integrity and security.
2. <a id="p100413"></a>Logs or documentation prepared under paragraph 1 shall be communicated on request to the competent supervisory authority for the control of data protection. The competent supervisory authority shall use this information only for the control of data protection and for ensuring proper data processing as well as data integrity and security.

<div align="center">

<a id="p100414"></a>Article 11

<a id="p100415"></a>Processing of personal data received from<br>
or made available by another Member State

</div>


<a id="p100416"></a>Personal data received from or made available by the competent authority of another Member State may, in accordance with the requirements of Article 3(2), be further processed only for the following purposes other than those for which they were transmitted or made available:
<a id="p100417"></a>(a) the prevention, investigation, detection or prosecution of criminal offences or the execution of criminal penalties other than those for which they were transmitted or made available;
<a id="p100418"></a>(b) other judicial and administrative proceedings directly related to the prevention, investigation, detection or prosecution of criminal offences or the execution of criminal penalties;
<a id="p100419"></a>(c) the prevention of an immediate and serious threat to public security; or
<a id="p100420"></a>(d) any other purpose only with the prior consent of the transmitting Member State or with the consent of the data subject, given in accordance with national law.
<a id="p100421"></a>The competent authorities may also further process the transmitted personal data for historical, statistical or scientific purposes, provided that Member States provide appropriate safeguards, such as, for example, making the data anonymous.

<div align="center">

<a id="p100422"></a>Article 12

<a id="p100423"></a>Compliance with national processing restrictions

</div>


1. <a id="p100424"></a>Where, under the law of the transmitting Member State, specific processing restrictions apply in specific circumstances to data exchanges between competent authorities within that Member State, the transmitting authority shall inform the recipient of such restrictions. The recipient shall ensure that these processing restrictions are met.
2. <a id="p100425"></a>When applying paragraph 1, Member States shall not apply restrictions regarding data transmissions to other Member States or to agencies or bodies established pursuant to Title VI of the Treaty on European Union other than those applicable to similar national data transmissions.

<div align="center">

<a id="p100426"></a>Article 13

<a id="p100427"></a>Transfer to competent authorities in third<br>
States or to international bodies

</div>


1. <a id="p100428"></a>Member States shall provide that personal data transmitted or made available by the competent authority of another Member State may be transferred to third States or international bodies, only if:
<a id="p100429"></a>(a) it is necessary for the prevention, investigation, detection or prosecution of criminal offences or the execution of criminal penalties;
<a id="p100430"></a>(b) the receiving authority in the third State or receiving international body is responsible for the prevention, investigation, detection or prosecution of criminal offences or the execution of criminal penalties;
<a id="p100431"></a>(c) the Member State from which the data were obtained has given its consent to transfer in compliance with its national law; and
<a id="p100432"></a>(d) the third State or international body concerned ensures an adequate level of protection for the intended data processing.
2. <a id="p100433"></a>Transfer without prior consent in accordance with paragraph 1(c) shall be permitted only if transfer of the data is essential for the prevention of an immediate and serious threat to public security of a Member State or a third State or to essential interests of a Member State and the prior consent cannot be obtained in good time. The authority responsible for giving consent shall be informed without delay.
3. <a id="p100434"></a>By way of derogation from paragraph 1(d), personal data may be transferred if:
<a id="p100435"></a>(a) the national law of the Member State transferring the data so provides because of:
<a id="p100436"></a>(i) legitimate specific interests of the data subject; or
<a id="p100437"></a>(ii) legitimate prevailing interests, especially important public interests; or
<a id="p100438"></a>(b) the third State or receiving international body provides safeguards which are deemed adequate by the Member State concerned according to its national law.
4. <a id="p100439"></a>The adequacy of the level of protection referred to in paragraph 1(d) shall be assessed in the light of all the circumstances surrounding a data transfer operation or a set of data transfer operations. Particular consideration shall be given to the nature of the data, the purpose and duration of the proposed processing operation or operations, the State of origin and the State or international body of final destination of the data, the rules of law, both general and sectoral, in force in the third State or international body in question and the professional rules and security measures which apply.

<div align="center">

<a id="p100440"></a>Article 14

<a id="p100441"></a>Transmission to private parties in Member States

</div>


1. <a id="p100442"></a>Member States shall provide that personal data received from or made available by the competent authority of another Member State may be transmitted to private parties only if:
<a id="p100443"></a>(a) the competent authority of the Member State from which the data were obtained has consented to transmission in compliance with its national law;
<a id="p100444"></a>(b) no legitimate specific interests of the data subject prevent transmission; and
<a id="p100445"></a>(c) in particular cases transfer is essential for the competent authority transmitting the data to a private party for:
<a id="p100446"></a>(i) the performance of a task lawfully assigned to it;
<a id="p100447"></a>(ii) the prevention, investigation, detection or prosecution of criminal offences or the execution of criminal penalties;
<a id="p100448"></a>(iii) the prevention of an immediate and serious threat to public security; or
<a id="p100449"></a>(iv) the prevention of serious harm to the rights of individuals.
2. <a id="p100450"></a>The competent authority transmitting the data to a private party shall inform the latter of the purposes for which the data may exclusively be used.

<div align="center">

<a id="p100451"></a>Article 15

<a id="p100452"></a>Information on request of the competent authority

</div>


<a id="p100453"></a>The recipient shall, on request, inform the competent authority which transmitted or made available the personal data about their processing.

<div align="center">

<a id="p100454"></a>Article 16

<a id="p100455"></a>Information for the data subject

</div>


1. <a id="p100456"></a>Member States shall ensure that the data subject is informed regarding the collection or processing of personal data by their competent authorities, in accordance with national law.
2. <a id="p100457"></a>When personal data have been transmitted or made available between Member States, each Member State may, in accordance with the provisions of its national law referred to in paragraph 1, ask that the other Member State does not inform the data subject. In such case the latter Member State shall not inform the data subject without the prior consent of the other Member State.

<div align="center">

<a id="p100458"></a>Article 17

<a id="p100459"></a>Right of access

</div>


1. <a id="p100460"></a>Every data subject shall have the right to obtain, following requests made at reasonable intervals, without constraint and without excessive delay or expense:
<a id="p100461"></a>(a) at least a confirmation from the controller or from the national supervisory authority as to whether or not data relating to him have been transmitted or made available and information on the recipients or categories of recipients to whom the data have been disclosed and communication of the data undergoing processing; or
<a id="p100462"></a>(b) at least a confirmation from the national supervisory authority that all necessary verifications have taken place.
2. <a id="p100463"></a>The Member States may adopt legislative measures restricting access to information pursuant to paragraph 1(a), where such a restriction, with due regard for the legitimate interests of the person concerned, constitutes a necessary and proportional measure:
<a id="p100464"></a>(a) to avoid obstructing official or legal inquiries, investigations or procedures;
<a id="p100465"></a>(b) to avoid prejudicing the prevention, detection, investigation and prosecution of criminal offences or for the execution of criminal penalties;
<a id="p100466"></a>(c) to protect public security;
<a id="p100467"></a>(d) to protect national security;
<a id="p100468"></a>(e) to protect the data subject or the rights and freedoms of others.
3. <a id="p100469"></a>Any refusal or restriction of access shall be set out in writing to the data subject. At the same time, the factual or legal reasons on which the decision is based shall also be communicated to him. The latter communication may be omitted where a reason under paragraph 2(a) to (e) exists. In all of these cases the data subject shall be advised that he may appeal to the competent national supervisory authority, a judicial authority or to a court.

<div align="center">

<a id="p100470"></a>Article 18

<a id="p100471"></a>Right to rectification, erasure or blocking

</div>


1. <a id="p100472"></a>The data subject shall have the right to expect the controller to fulfil its duties in accordance with Articles 4, 8 and 9 concerning the rectification, erasure or blocking of personal data which arise from this Framework Decision. Member States shall lay down whether the data subject may assert this right directly against the controller or through the intermediary of the competent national supervisory authority. If the controller refuses rectification, erasure or blocking, the refusal must be communicated in writing to the data subject who must be informed of the possibilities provided for in national law for lodging a complaint or seeking judicial remedy. Upon examination of the complaint or judicial remedy, the data subject shall be informed whether the controller acted properly or not. Member States may also provide that the data subject shall be informed by the competent national supervisory authority that a review has taken place.
2. <a id="p100473"></a>If the accuracy of an item of personal data is contested by the data subject and its accuracy or inaccuracy cannot be ascertained, referencing of that item of data may take place.

<div align="center">

<a id="p100474"></a>Article 19

<a id="p100475"></a>Right to compensation

</div>


1. <a id="p100476"></a>Any person who has suffered damage as a result of an unlawful processing operation or of any act incompatible with the national provisions adopted pursuant to this Framework Decision shall be entitled to receive compensation for the damage suffered from the controller or other authority competent under national law.
2. <a id="p100477"></a>Where a competent authority of a Member State has transmitted personal data, the recipient cannot, in the context of its liability vis - à - vis the injured party in accordance with national law, cite in its defence that the data transmitted were inaccurate. If the recipient pays compensation for damage caused by the use of incorrectly transmitted data, the transmitting competent authority shall refund to the recipient the amount paid in damages, taking into account any fault that may lie with the recipient.

<div align="center">

<a id="p100478"></a>Article 20

<a id="p100479"></a>Judicial remedies

</div>


<a id="p100480"></a>Without prejudice to any administrative remedy for which provision may be made prior to referral to the judicial authority, the data subject shall have the right to a judicial remedy for any breach of the rights guaranteed to him by the applicable national law.

<div align="center">

<a id="p100481"></a>Article 21

<a id="p100482"></a>Confidentiality of processing

</div>


1. <a id="p100483"></a>Any person who has access to personal data which fall within the scope of this Framework Decision may process such data only if that person is a member of, or acts on instructions of, the competent authority, unless he is required to do so by law.
2. <a id="p100484"></a>Persons working for a competent authority of a Member State shall be bound by all the data protection rules which apply to the competent authority in question.

<div align="center">

<a id="p100485"></a>Article 22

<a id="p100486"></a>Security of processing

</div>


1. <a id="p100487"></a>Member States shall provide that the competent authorities must implement appropriate technical and organisational measures to protect personal data against accidental or unlawful destruction or accidental loss, alteration, unauthorised disclosure or access, in particular where the processing involves the transmission over a network or the making available by granting direct automated access, and against all other unlawful forms of processing, taking into account in particular the risks represented by the processing and the nature of the data to be protected. Having regard to the state of the art and the cost of their implementation, such measures shall ensure a level of security appropriate to the risks represented by the processing and the nature of the data to be protected.
2. <a id="p100488"></a>In respect of automated data processing each Member State shall implement measures designed to:
<a id="p100489"></a>(a) deny unauthorised persons access to data-processing equipment used for processing personal data (equipment access control);
<a id="p100490"></a>(b) prevent the unauthorised reading, copying, modification or removal of data media (data media control);
<a id="p100491"></a>(c) prevent the unauthorised input of data and the unauthorised inspection, modification or deletion of stored personal data (storage control);
<a id="p100492"></a>(d) prevent the use of automated data-processing systems by unauthorised persons using data communication equipment (user control);
<a id="p100493"></a>(e) ensure that persons authorised to use an automated data-processing system only have access to the data covered by their access authorisation (data access control);
<a id="p100494"></a>(f) ensure that it is possible to verify and establish to which bodies personal data have been or may be transmitted or made available using data communication equipment (communication control);
<a id="p100495"></a>(g) ensure that it is subsequently possible to verify and establish which personal data have been input into automated data-processing systems and when and by whom the data were input (input control);
<a id="p100496"></a>(h) prevent the unauthorised reading, copying, modification or deletion of personal data during transfers of personal data or during transportation of data media (transport control);
<a id="p100497"></a>(i) ensure that installed systems may, in case of interruption, be restored (recovery);
<a id="p100498"></a>(j) ensure that the functions of the system perform, that the appearance of faults in the functions is reported (reliability) and that stored data cannot be corrupted by means of a malfunctioning of the system (integrity).
3. <a id="p100499"></a>Member States shall provide that processors may be designated only if they guarantee that they observe the requisite technical and organisational measures under paragraph 1 and comply with the instructions under Article 21. The competent authority shall monitor the processor in those respects.
4. <a id="p100500"></a>Personal data may be processed by a processor only on the basis of a legal act or a written contract.

<div align="center">

<a id="p100501"></a>Article 23

<a id="p100502"></a>Prior consultation

</div>


<a id="p100503"></a>Member States shall ensure that the competent national supervisory authorities are consulted prior to the processing of personal data which will form part of a new filing system to be created where:
<a id="p100504"></a>(a) special categories of data referred to in Article 6 are to be processed; or
<a id="p100505"></a>(b) the type of processing, in particular using new technologies, mechanism or procedures, holds otherwise specific risks for the fundamental rights and freedoms, and in particular the privacy, of the data subject.

<div align="center">

<a id="p100506"></a>Article 24

<a id="p100507"></a>Penalties

</div>


<a id="p100508"></a>Member States shall adopt suitable measures to ensure the full implementation of the provisions of this Framework Decision and shall in particular lay down effective, proportionate and dissuasive penalties to be imposed in case of infringements of the provisions adopted pursuant to this Framework Decision.

<div align="center">

<a id="p100509"></a>Article 25

<a id="p100510"></a>National supervisory authorities

</div>


1. <a id="p100511"></a>Each Member State shall provide that one or more public authorities are responsible for advising and monitoring the application within its territory of the provisions adopted by the Member States pursuant to this Framework Decision. These authorities shall act with complete independence in exercising the functions entrusted to them.
2. <a id="p100512"></a>Each authority shall in particular be endowed with:
<a id="p100513"></a>(a) investigative powers, such as powers of access to data forming the subject matter of processing operations and powers to collect all the information necessary for the performance of its supervisory duties;
<a id="p100514"></a>(b) effective powers of intervention, such as, for example, that of delivering opinions before processing operations are carried out, and ensuring appropriate publication of such opinions, of ordering the blocking, erasure or destruction of data, of imposing a temporary or definitive ban on processing, of warning or admonishing the controller, or that of referring the matter to national parliaments or other political institutions;
<a id="p100515"></a>(c) the power to engage in legal proceedings where the national provisions adopted pursuant to this Framework Decision have been infringed or to bring this infringement to the attention of the judicial authorities. Decisions by the supervisory authority which give rise to complaints may be appealed against through the courts.
3. <a id="p100516"></a>Each supervisory authority shall hear claims lodged by any person concerning the protection of his rights and freedoms in regard to the processing of personal data. The person concerned shall be informed of the outcome of the claim.
4. <a id="p100517"></a>Member States shall provide that the members and staff of the supervisory authority are bound by the data protection provisions applicable to the competent authority in question and, even after their employment has ended, are to be subject to a duty of professional secrecy with regard to confidential information to which they have access.

<div align="center">

<a id="p100518"></a>Article 26

<a id="p100519"></a>Relationship to agreements with third States

</div>


<a id="p100520"></a>This Framework Decision is without prejudice to any obligations and commitments incumbent upon Member States or upon the Union by virtue of bilateral and/or multilateral agreements with third States existing at the time of adoption of this Framework Decision.
<a id="p100521"></a>In the application of these agreements, the transfer to a third State of personal data obtained from another Member State, shall be carried out while respecting Article 13(1)(c) or (2), as appropriate.

<div align="center">

<a id="p100522"></a>Article 27

<a id="p100523"></a>Evaluation

</div>


1. <a id="p100524"></a>Member States shall report to the Commission by 27 November 2013 on the national measures they have taken to ensure full compliance with this Framework Decision, and particularly with regard to those provisions that already have to be complied with when data is collected. The Commission shall examine in particular the implications of those provisions for the scope of this Framework Decision as laid down in Article 1(2).
2. <a id="p100525"></a>The Commission shall report to the European Parliament and the Council within one year on the outcome of the evaluation referred to in paragraph 1, and shall accompany its report with any appropriate proposals for amendments to this Framework Decision.

<div align="center">

<a id="p100526"></a>Article 28

<a id="p100527"></a>Relationship to previously adopted acts of the Union

</div>


<a id="p100528"></a>Where in acts, adopted under Title VI of the Treaty on European Union prior to the date of entry into force of this Framework Decision and regulating the exchange of personal data between Member States or the access of designated authorities of Member States to information systems established pursuant to the Treaty establishing the European Community, specific conditions have been introduced as to the use of such data by the receiving Member State, these conditions shall take precedence over the provisions of this Framework Decision on the use of data received from or made available by another Member State.

<div align="center">

<a id="p100529"></a>Article 29

<a id="p100530"></a>Implementation

</div>


1. <a id="p100531"></a>Member States shall take the necessary measures to comply with the provisions of this Framework Decision before 27 November 2010.
2. <a id="p100532"></a>By the same date Member States shall transmit to the General Secretariat of the Council and to the Commission the text of the provisions transposing into their national law the obligations imposed on them under this Framework Decision, as well as information on the supervisory authorities referred to in Article 25. On the basis of a report established using this information by the Commission, the Council shall, before 27 November 2011, assess the extent to which Member States have complied with the provisions of this Framework Decision.

<div align="center">

<a id="p100533"></a>Article 30

<a id="p100534"></a>Entry into force

</div>


<a id="p100535"></a>This Framework Decision shall enter into force on the 20th day following its publication in the Official Journal of the European Union.

<a id="p100536"></a>Done at Brussels, 27 November 2008.

<div align="right">

<a id="p100537"></a>For the Council<br>
The President<br>
**M.ALLIOT-MARIE**

</div>




<a id="p100538"></a>

---