Ustawa o RODO

1. Niniejsze rozporządzenie zawiera przepisy dotyczące ochrony osób fizycznych w związku z przetwarzaniem danych osobowych oraz swobodnego przepływu takich danych.
2. Niniejsze rozporządzenie chroni prawa podstawowe i wolności osób fizycznych, a w szczególności ich prawo do ochrony danych osobowych.
3. Swobodny przepływ danych osobowych w Unii nie może być ani ograniczany, ani zakazywany ze względu na ochronę osób fizycznych w związku z przetwarzaniem danych osobowych.

1. Niniejsze rozporządzenie ma zastosowanie do całkowicie lub częściowo zautomatyzowanego przetwarzania danych osobowych, a także do niezautomatyzowanego przetwarzania danych osobowych, które są przechowywane lub mają być przechowywane w systemie plików.
2. Niniejsze rozporządzenie nie ma zastosowania do przetwarzania danych osobowych
   1. w ramach działalności, która nie wchodzi w zakres stosowania prawa Unii,
   2. przez państwa członkowskie w ramach działań objętych zakresem stosowania tytułu V rozdziału 2 TUE,
   3. przez osoby fizyczne w celu wykonywania wyłącznie czynności osobistych lub rodzinnych,
   4. przez właściwe organy w celu zapobiegania przestępstwom, prowadzenia dochodzeń w ich sprawie, ich wykrywania lub ścigania, a także w celu wykonywania kar, w tym w celu ochrony przed zagrożeniami dla bezpieczeństwa publicznego i przeciwdziałania im.
3. Do przetwarzania danych osobowych przez instytucje, organy i agencje Unii zastosowanie ma rozporządzenie (WE) nr 45/2001. Rozporządzenie (WE) nr 45/2001 oraz inne akty prawne Unii regulujące przetwarzanie danych osobowych są dostosowywane do zasad i przepisów niniejszego rozporządzenia zgodnie z art. 98.
4. Niniejsze rozporządzenie nie ma wpływu na stosowanie dyrektywy 2000/31/WE, a w szczególności na przepisy art. 12–15 tej dyrektywy dotyczące odpowiedzialności pośredników.

1. Niniejsze rozporządzenie ma zastosowanie do przetwarzania danych osobowych, o ile odbywa się ono w ramach działalności oddziału administratora lub podmiotu przetwarzającego dane w Unii, niezależnie od tego, czy przetwarzanie ma miejsce w Unii.
2. Niniejsze rozporządzenie ma zastosowanie do przetwarzania danych osobowych osób, których dane dotyczą, przebywających w Unii, przez administratora lub podmiot przetwarzający, który nie ma siedziby w Unii, jeżeli przetwarzanie danych jest związane z
   1. oferowanie towarów lub usług osobom, których to dotyczy, w Unii, niezależnie od tego, czy osoby te są zobowiązane do dokonania płatności;
   2. obserwować zachowanie osób, których to dotyczy, o ile zachowanie to ma miejsce na terenie Unii.
3. Niniejsze rozporządzenie ma zastosowanie do przetwarzania danych osobowych przez administratora nieposiadającego siedziby w Unii w miejscu podlegającym, na mocy prawa międzynarodowego, prawu jednego z państw członkowskich.

Na potrzeby niniejszego rozporządzenia termin ten oznacza:

1. „dane osobowe” oznaczają wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej (zwanej dalej „osobą, której dane dotyczą”); za możliwą do zidentyfikowania uznaje się osobę fizyczną, którą można zidentyfikować bezpośrednio lub pośrednio, w szczególności poprzez przyporządkowanie do identyfikatora, takiego jak imię i nazwisko, numer identyfikacyjny, danych dotyczących lokalizacji, identyfikatora internetowego lub jednej lub kilku szczególnych cech, które odzwierciedlają tożsamość fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tej osoby fizycznej;
2. „Przetwarzanie” oznacza każdą operację lub każdy ciąg operacji wykonywanych na danych osobowych, z wykorzystaniem zautomatyzowanych środków lub bez nich, takich jak gromadzenie, rejestrowanie, organizowanie, porządkowanie, przechowywanie, dostosowywanie lub modyfikowanie, odczytywanie, wyszukiwanie, wykorzystywanie, ujawnianie poprzez przekazywanie, rozpowszechnianie lub inną formę udostępniania, porównywanie lub łączenie, ograniczanie, usuwanie lub niszczenie;
3. „Ograniczenie przetwarzania” – oznaczenie zapisanych danych osobowych w celu ograniczenia ich przyszłego przetwarzania;
4. „Profilowanie” oznacza każdy rodzaj zautomatyzowanego przetwarzania danych osobowych, polegający na wykorzystaniu tych danych osobowych do oceny określonych aspektów osobistych dotyczących osoby fizycznej, w szczególności aspektów związanych z wydajnością pracy, sytuacją ekonomiczną, stanem zdrowia, osobistymi preferencjami, zainteresowań, rzetelności, zachowania, miejsca pobytu lub przemieszczania się tej osoby fizycznej;
5. „Pseudonimizacja” oznacza przetwarzanie danych osobowych w taki sposób, że bez odwołania się do dodatkowych informacji dane osobowe nie mogą już zostać przypisane do konkretnej osoby, której dane dotyczą, pod warunkiem że te dodatkowe informacje są przechowywane oddzielnie i podlegają środkom technicznym i organizacyjnym, które gwarantują, że dane osobowe nie zostaną przypisane do zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej;
6. „system plików” – każdy uporządkowany zbiór danych osobowych, do którego dostęp odbywa się według określonych kryteriów, niezależnie od tego, czy zbiór ten jest prowadzony w sposób scentralizowany, zdecentralizowany, czy też uporządkowany według kryteriów funkcjonalnych lub geograficznych;
7. „Administrator” oznacza osobę fizyczną lub prawną, organ, instytucję lub inny podmiot, który samodzielnie lub wspólnie z innymi decyduje o celach i sposobach przetwarzania danych osobowych; jeżeli cele i środki tego przetwarzania są określone w prawie Unii lub w prawie państw członkowskich, administrator lub kryteria jego wyznaczenia mogą być przewidziane w prawie Unii lub w prawie państw członkowskich;
8. „Podmiot przetwarzający dane” – osoba fizyczna lub prawna, organ, instytucja lub inny podmiot, który przetwarza dane osobowe w imieniu administratora;
9. „Odbiorca” oznacza osobę fizyczną lub prawną, organ, instytucję lub inny podmiot, któremu ujawniane są dane osobowe, niezależnie od tego, czy jest to strona trzecia, czy nie. ²Organy, które w ramach określonego zlecenia dochodzeniowego na mocy prawa Unii lub prawa państw członkowskich mogą otrzymać dane osobowe, nie są jednak uznawane za odbiorców; przetwarzanie tych danych przez wymienione organy odbywa się zgodnie z obowiązującymi przepisami o ochronie danych, z uwzględnieniem celów przetwarzania;
10. „osoba trzecia” – osoba fizyczna lub prawna, organ, instytucja lub inny podmiot, inny niż osoba, której dane dotyczą, administrator, podmiot przetwarzający oraz osoby upoważnione do przetwarzania danych osobowych pod bezpośrednią odpowiedzialnością administratora lub podmiotu przetwarzającego;
11. „Zgoda” osoby, której dane dotyczą – każde dobrowolne, wyrażone w konkretnym przypadku, świadome i jednoznaczne oświadczenie w formie deklaracji lub innego jednoznacznego działania potwierdzającego, poprzez które osoba, której dane dotyczą, daje do zrozumienia, że wyraża zgodę na przetwarzanie dotyczących jej danych osobowych;
12. „Naruszenie ochrony danych osobowych” oznacza naruszenie bezpieczeństwa, które – niezależnie od tego, czy nastąpiło w sposób niezamierzony czy niezgodny z prawem – prowadzi do zniszczenia, utraty, zmiany, lub do nieuprawnionego ujawnienia danych osobowych, które zostały przekazane, zapisane lub w inny sposób przetworzone, lub do nieuprawnionego dostępu do tych danych;
13. „dane genetyczne” – dane osobowe dotyczące dziedzicznych lub nabytych cech genetycznych osoby fizycznej, które dostarczają jednoznacznych informacji na temat fizjologii lub stanu zdrowia tej osoby fizycznej, a w szczególności które uzyskano w wyniku analizy próbki biologicznej pobranej od tej osoby fizycznej;
14. „dane biometryczne” – dane osobowe uzyskane za pomocą specjalnych procedur technicznych, dotyczące cech fizycznych, fizjologicznych lub behawioralnych osoby fizycznej, które umożliwiają lub potwierdzają jednoznaczną identyfikację tej osoby fizycznej, takie jak zdjęcia twarzy lub dane daktyloskopijne;
15. „Dane dotyczące zdrowia” to dane osobowe odnoszące się do zdrowia fizycznego lub psychicznego osoby fizycznej, w tym do świadczenia usług zdrowotnych, z których wynikają informacje o jej stanie zdrowia;
16. „Siedziba główna”
    1. w przypadku administratora posiadającego oddziały w więcej niż jednym państwie członkowskim – miejsce jego głównej siedziby w Unii, chyba że decyzje dotyczące celów i środków przetwarzania danych osobowych są podejmowane w innym oddziale administratora w Unii, a oddział ten jest uprawniony do zapewnienia wykonania tych decyzji; w takim przypadku za główny oddział uznaje się oddział, który podejmuje takie decyzje;
    2. w przypadku podmiotu przetwarzającego dane posiadającego oddziały w więcej niż jednym państwie członkowskim – miejsce jego głównej siedziby w Unii lub, jeżeli podmiot przetwarzający dane nie posiada głównej siedziby w Unii, oddział podmiotu przetwarzającego dane w Unii, w którym głównie odbywają się czynności związane z przetwarzaniem w ramach działalności oddziału tego podmiotu, o ile podmiot przetwarzający dane podlega szczególnym obowiązkom wynikającym z niniejszego rozporządzenia;
17. „przedstawiciel” – osoba fizyczna lub prawna mająca siedzibę w Unii, wyznaczona na piśmie przez administratora lub podmiot przetwarzający zgodnie z art. 27, która reprezentuje administratora lub podmiot przetwarzający w zakresie obowiązków ciążących na nich na mocy niniejszego rozporządzenia;
18. „przedsiębiorstwo” oznacza osobę fizyczną lub prawną prowadzącą działalność gospodarczą, niezależnie od jej formy prawnej, w tym spółki osobowe lub stowarzyszenia, które regularnie prowadzą działalność gospodarczą;
19. „grupa przedsiębiorstw” – grupa składająca się z przedsiębiorstwa dominującego oraz przedsiębiorstw zależnych od niego;
20. „wiążące wewnętrzne przepisy dotyczące ochrony danych” Środki służące ochronie danych osobowych, do których przestrzegania zobowiązuje się administrator lub podmiot przetwarzający mający siedzibę na terytorium państwa członkowskiego w odniesieniu do przekazywania danych osobowych lub kategorii przekazywania danych osobowych do administratora lub podmiotu przetwarzającego należącego do tej samej grupy przedsiębiorstw lub tej samej grupy podmiotów, które prowadzą wspólną działalność gospodarczą w jednym lub kilku państwach trzecich;
21. „organ nadzorczy” – niezależny organ państwowy ustanowiony przez państwo członkowskie zgodnie z art. 51;
22. „zainteresowany organ nadzorczy” oznacza organ nadzorczy, którego dotyczy przetwarzanie danych osobowych, ponieważ
    1. administrator danych lub podmiot przetwarzający dane ma siedzibę na terytorium państwa członkowskiego, w którym znajduje się ten organ nadzorczy,
    2. przetwarzanie to ma lub może mieć istotny wpływ na osoby, których dane dotyczą, zamieszkałe w państwie członkowskim, w którym ma siedzibę ten organ nadzorczy, lub
    3. złożono skargę do tego organu nadzorczego;
23. „przetwarzanie transgraniczne” oznacza albo
    1. przetwarzanie danych osobowych, które odbywa się w ramach działalności oddziałów administratora lub podmiotu przetwarzającego w Unii w więcej niż jednym państwie członkowskim, jeżeli administrator lub podmiot przetwarzający ma siedzibę w więcej niż jednym państwie członkowskim, lub
    2. przetwarzanie danych osobowych, które odbywa się w ramach działalności pojedynczego oddziału administratora lub podmiotu przetwarzającego w Unii, ale które ma lub może mieć znaczący wpływ na osoby, których dane dotyczą, w więcej niż jednym państwie członkowskim;
24. „istotny i uzasadniony sprzeciw” oznacza sprzeciw wobec projektu decyzji dotyczący tego, czy doszło do naruszenia niniejszego rozporządzenia lub czy planowane środki wobec administratora lub podmiotu przetwarzającego są zgodne z niniejszym rozporządzeniem, przy czym z odwołania tego jasno wynika zakres zagrożeń, jakie projekt decyzji stwarza w odniesieniu do praw podstawowych i wolności osób, których dane dotyczą, oraz, w stosownych przypadkach, do swobodnego przepływu danych osobowych w Unii;
25. „Usługa społeczeństwa informacyjnego” – usługa w rozumieniu art. 1 pkt 1 lit. b) dyrektywy (UE) 2015/1535 Parlamentu Europejskiego i Rady¹ ;
26. „organizacja międzynarodowa” oznacza organizację prawa międzynarodowego oraz jej jednostki podległe lub każdą inną instytucję utworzoną na mocy umowy zawartej między dwoma lub więcej państwami lub na podstawie takiej umowy.

1. Dane osobowe muszą
   1. są przetwarzane zgodnie z prawem, w dobrej wierze oraz w sposób zrozumiały dla osoby, której dane dotyczą („zgodność z prawem, przetwarzanie w dobrej wierze, przejrzystość”);
   2. są gromadzone w określonych, jednoznacznych i uzasadnionych celach i nie mogą być dalej przetwarzane w sposób niezgodny z tymi celami; dalsze przetwarzanie w celach archiwalnych leżących w interesie publicznym, w celach badań naukowych lub historycznych lub w celach statystycznych nie jest uznawane zgodnie z art. 89 ust. 1 za niezgodne z pierwotnymi celami („zasada ograniczenia celu”);
   3. być adekwatne i istotne w stosunku do celu oraz ograniczone do zakresu niezbędnego do celów przetwarzania („minimalizacja danych”);
   4. być zgodne z prawdą i, w razie potrzeby, aktualne; należy podjąć wszelkie odpowiednie środki, aby dane osobowe, które są niezgodne z prawdą w świetle celów ich przetwarzania, zostały niezwłocznie usunięte lub sprostowane („prawidłowość”);
   5. są przechowywane w formie umożliwiającej identyfikację osób, których dane dotyczą, tylko tak długo, jak jest to konieczne do celów, dla których są przetwarzane; dane osobowe mogą być przechowywane dłużej, o ile – z zastrzeżeniem wdrożenia odpowiednich środków technicznych i organizacyjnych wymaganych przez niniejsze rozporządzenie w celu ochrony praw i wolności osoby, której dane dotyczą – są przetwarzane wyłącznie do celów archiwalnych leżących w interesie publicznym, do celów badań naukowych i historycznych lub do celów statystycznych zgodnie z art. 89 ust. 1 („ograniczenie okresu przechowywania”);
   6. są przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed nieuprawnionym lub niezgodnym z prawem przetwarzaniem oraz przed przypadkową utratą, przypadkowym zniszczeniem lub przypadkowym uszkodzeniem, poprzez stosowanie odpowiednich środków technicznych i organizacyjnych („integralność i poufność”);
2. Podmiot odpowiedzialny odpowiada za przestrzeganie ust. 1 i musi być w stanie wykazać, że je przestrzega („obowiązek rozliczalności”).

1. Przetwarzanie danych jest zgodne z prawem tylko wtedy, gdy spełniony jest co najmniej jeden z poniższych warunków:
   1. Osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub kilku określonych celach;
   2. przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań przed zawarciem umowy, podejmowanych na wniosek tej osoby;
   3. przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze;
   4. przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej;
   5. przetwarzanie jest niezbędne do wykonania zadania leżącego w interesie publicznym lub wynikającego ze sprawowania władzy publicznej powierzonej administratorowi;
   6. przetwarzanie jest niezbędne do ochrony uzasadnionych interesów administratora lub osoby trzeciej, o ile nie przeważają nad nimi interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności w przypadku, gdy osoba, której dane dotyczą, jest dzieckiem.

   Punkt f) akapitu pierwszego nie ma zastosowania do przetwarzania danych dokonywanego przez organy publiczne w ramach wykonywania ich zadań.

2. Państwa członkowskie mogą utrzymać lub wprowadzić bardziej szczegółowe przepisy dostosowujące stosowanie przepisów niniejszego rozporządzenia w odniesieniu do przetwarzania w celu spełnienia wymogów określonych w ust. 1 lit. c) i e), poprzez dokładniejsze określenie szczegółowych wymogów dotyczących przetwarzania oraz innych środków, w celu zapewnienia przetwarzania zgodnego z prawem i w dobrej wierze, w tym w odniesieniu do innych szczególnych sytuacji przetwarzania określonych w rozdziale IX.
3. Podstawę prawną przetwarzania danych, o którym mowa w ust. 1 lit. c) i e), stanowią:
   1. Prawo Unii Europejskiej lub
   2. prawo państwa członkowskiego, któremu podlega administrator danych.

   Cel przetwarzania musi być określony w tej podstawie prawnej lub, w odniesieniu do przetwarzania, o którym mowa w ust. 1 lit. e), musi być niezbędny do wykonania zadania leżącego w interesie publicznym lub wynikającego ze sprawowania władzy publicznej powierzonej administratorowi. Podstawa prawna ta może zawierać szczegółowe przepisy dostosowujące stosowanie przepisów niniejszego rozporządzenia, w tym przepisy określające, jakie ogólne warunki mają zastosowanie do regulacji zgodności z prawem przetwarzania przez administratora, jakie rodzaje danych są przetwarzane, które osoby są nimi objęte, którym podmiotom i w jakich celach można ujawniać dane osobowe, jakiemu ograniczeniu celu podlegają, jak długo mogą być przechowywane oraz jakie operacje i procedury przetwarzania mogą być stosowane, w tym środki zapewniające przetwarzanie zgodne z prawem i w dobrej wierze, takie jak te dotyczące innych szczególnych sytuacji przetwarzania zgodnie z rozdziałem IX. Prawo Unii lub prawo państw członkowskich musi służyć celowi leżącemu w interesie publicznym i być proporcjonalne do realizowanego uzasadnionego celu.

4. Jeżeli przetwarzanie odbywa się w celu innym niż ten, w którym zgromadzono dane osobowe, nie opiera się na zgodzie osoby, której dane dotyczą, ani na przepisie prawa Unii lub państw członkowskich, który w społeczeństwie demokratycznym stanowi niezbędny i proporcjonalny środek służący ochronie celów, o których mowa w art. 23 ust. 1, wówczas administrator – w celu ustalenia, czy przetwarzanie w innym celu jest zgodne z celem, w jakim dane osobowe zostały pierwotnie zebrane – bierze pod uwagę między innymi
   1. wszelkie powiązania między celami, dla których zgromadzono dane osobowe, a celami planowanego dalszego przetwarzania,
   2. kontekst, w jakim zgromadzono dane osobowe, w szczególności w odniesieniu do relacji między osobami, których dane dotyczą, a administratorem,
   3. rodzaj danych osobowych, w szczególności to, czy przetwarzane są szczególne kategorie danych osobowych zgodnie z art. 9, czy też przetwarzane są dane osobowe dotyczące wyroków skazujących i przestępstw zgodnie z art. 10,
   4. możliwe skutki planowanego dalszego przetwarzania danych dla osób, których dane dotyczą,
   5. obecność odpowiednich zabezpieczeń, do których może należeć szyfrowanie lub pseudonimizacja.

1. Jeżeli przetwarzanie opiera się na zgodzie, administrator danych musi być w stanie wykazać, że osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie swoich danych osobowych.
2. Jeżeli zgoda osoby, której dane dotyczą, jest wyrażana w formie pisemnego oświadczenia, które dotyczy również innych kwestii, prośba o wyrażenie zgody musi być sformułowana w zrozumiałej i łatwo dostępnej formie, jasnym i prostym językiem, tak aby można ją było wyraźnie odróżnić od pozostałych kwestii. Części oświadczenia nie są wiążące, jeżeli stanowią naruszenie niniejszego rozporządzenia.
3. Osoba, której dane dotyczą, ma prawo w każdej chwili wycofać swoją zgodę. Wycofanie zgody nie ma wpływu na zgodność z prawem przetwarzania danych, które miało miejsce na podstawie tej zgody do momentu jej wycofania. Osoba, której dane dotyczą, zostanie o tym poinformowana przed wyrażeniem zgody. Cofnięcie zgody musi być równie proste jak jej udzielenie.
4. Przy ocenie, czy zgoda została udzielona dobrowolnie, należy w jak największym stopniu uwzględnić okoliczność, czy między innymi wykonanie umowy, w tym świadczenie usługi, jest uzależnione od wyrażenia zgody na przetwarzanie danych osobowych, które nie są niezbędne do wykonania umowy.

1. Jeżeli art. 6 ust. 1 lit. a) ma zastosowanie do oferty usług społeczeństwa informacyjnego skierowanej bezpośrednio do dziecka, przetwarzanie danych osobowych tego dziecka jest zgodne z prawem, o ile dziecko ukończyło szesnaście lat. Jeżeli dziecko nie ukończyło jeszcze szesnastego roku życia, przetwarzanie to jest zgodne z prawem tylko wtedy i w takim zakresie, w jakim zgoda została udzielona przez osobę sprawującą władzę rodzicielską nad dzieckiem lub za jej zgodą.Państwa członkowskie mogą w drodze przepisów prawnych przewidzieć w tym celu niższy próg wiekowy, który jednak nie może być niższy niż trzynasty rok życia.
2. Administrator danych podejmuje, z uwzględnieniem dostępnych środków technicznych, odpowiednie działania, aby w takich przypadkach upewnić się, że zgoda została udzielona przez osobę sprawującą władzę rodzicielską nad dzieckiem lub za jej zgodą.
3. Ustęp 1 nie ma wpływu na ogólne prawo umów państw członkowskich, takie jak przepisy dotyczące ważności, zawarcia lub skutków prawnych umowy dotyczącej dziecka.

1. Przetwarzanie danych osobowych, z których wynika pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe lub przynależność do związków zawodowych, a także przetwarzanie danych genetycznych, danych biometrycznych służących do jednoznacznej identyfikacji osoby fizycznej, danych dotyczących zdrowia lub danych dotyczących życia seksualnego lub orientacji seksualnej osoby fizycznej jest zabronione.
2. Ustęp 1 nie ma zastosowania w następujących przypadkach:
   1. Osoba, której dane dotyczą, wyraziła wyraźną zgodę na przetwarzanie wymienionych danych osobowych w jednym lub kilku określonych celach, chyba że zgodnie z prawem Unii lub prawem państw członkowskich zgoda osoby, której dane dotyczą, nie może znieść zakazu, o którym mowa w ust. 1,
   2. Przetwarzanie danych jest niezbędne, aby administrator lub osoba, której dane dotyczą, mogła wykonywać swoje prawa wynikające z prawa pracy oraz prawa dotyczącego zabezpieczenia społecznego i ochrony socjalnej oraz wypełniać związane z tym obowiązki, o ile jest to dozwolone na mocy prawa Unii lub prawa państw członkowskich lub układu zbiorowego zgodnego z prawem państw członkowskich, który przewiduje odpowiednie gwarancje praw podstawowych i interesów osoby, której dane dotyczą,
   3. przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej, a osoba, której dane dotyczą, nie jest w stanie wyrazić zgody z przyczyn fizycznych lub prawnych,
   4. Przetwarzanie odbywa się na podstawie odpowiednich gwarancji przez fundację o charakterze politycznym, światopoglądowym, religijnym lub związkowym, stowarzyszenia lub innej organizacji o charakterze niekomercyjnym w ramach jej zgodnej z prawem działalności oraz pod warunkiem, że przetwarzanie dotyczy wyłącznie członków lub byłych członków organizacji albo osób, które w związku z celem działalności tej organizacji utrzymują z nią regularne kontakty, a dane osobowe nie są ujawniane na zewnątrz bez zgody osób, których dotyczą,
   5. przetwarzanie dotyczy danych osobowych, które osoba, której dane dotyczą, w sposób oczywisty podała do wiadomości publicznej,
   6. przetwarzanie jest niezbędne do dochodzenia, wykonywania lub obrony roszczeń prawnych lub w przypadku działań sądów w ramach ich działalności sądowej,
   7. przetwarzanie jest konieczne ze względu na istotny interes publiczny, na podstawie prawa Unii lub prawa państwa członkowskiego, które jest proporcjonalne do zamierzonego celu, zachowuje istotę prawa do ochrony danych oraz przewiduje odpowiednie i konkretne środki mające na celu ochronę praw podstawowych i interesów osoby, której dane dotyczą,
   8. przetwarzanie danych służy celom profilaktyki zdrowotnej lub medycyny pracy, ocenie zdolności pracownika do pracy, diagnostyce medycznej, opieki lub leczenia w sektorze opieki zdrowotnej lub społecznej, a także do zarządzania systemami i usługami w sektorze opieki zdrowotnej lub społecznej na podstawie prawa Unii lub prawa państwa członkowskiego albo na podstawie umowy zawartej z pracownikiem służby zdrowia, z zastrzeżeniem warunków i gwarancji, o których mowa w ust. 3,
   9. przetwarzanie jest konieczne ze względu na interes publiczny w dziedzinie zdrowia publicznego, taki jak ochrona przed poważnymi transgranicznymi zagrożeniami dla zdrowia lub zapewnienie wysokich standardów jakości i bezpieczeństwa w zakresie opieki zdrowotnej oraz leków i wyrobów medycznych, na podstawie prawa Unii lub prawa państwa członkowskiego, które przewiduje odpowiednie i konkretne środki mające na celu ochronę praw i wolności osoby, której dane dotyczą, w szczególności tajemnicy zawodowej, lub
   10. przetwarzanie odbywa się na podstawie prawa Unii lub prawa państwa członkowskiego, które jest proporcjonalne do realizowanego celu, zapewnia istotę prawa do ochrony danych oraz przewiduje odpowiednie i konkretne środki mające na celu ochronę praw podstawowych i interesów osoby, której dane dotyczą, do celów archiwalnych leżących w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych zgodnie z art. 89 ust. 1.
3. Dane osobowe, o których mowa w ust. 1, mogą być przetwarzane w celach określonych w ust. 2 lit. h), jeżeli dane te są przetwarzane przez personel specjalistyczny lub pod jego nadzorem, a personel ten podlega obowiązkowi zachowania tajemnicy zawodowej zgodnie z prawem Unii, prawem państwa członkowskiego lub przepisami właściwych organów krajowych, lub jeżeli przetwarzanie jest prowadzone przez inną osobę, która również podlega obowiązkowi zachowania poufności zgodnie z prawem Unii, prawem państwa członkowskiego lub przepisami właściwych organów krajowych.
4. Państwa członkowskie mogą wprowadzać lub utrzymywać dodatkowe warunki, w tym ograniczenia, w zakresie przetwarzania danych genetycznych, biometrycznych lub dotyczących zdrowia.

1. Przetwarzanie danych osobowych dotyczących wyroków skazujących i przestępstw lub związanych z nimi środków zabezpieczających na podstawie art. 6 ust. 1 może odbywać się wyłącznie pod nadzorem organów lub jeżeli jest to dozwolone na mocy prawa Unii lub prawa państw członkowskich, które przewidują odpowiednie gwarancje praw i wolności osób, których dane dotyczą. Kompleksowy rejestr wyroków skazujących może być prowadzony wyłącznie pod nadzorem organów administracji publicznej.

1. Jeżeli do celów, dla których administrator przetwarza dane osobowe, identyfikacja osoby, której dane dotyczą, przez administratora nie jest lub przestała być konieczna, administrator nie ma obowiązku przechowywania, pozyskiwania ani przetwarzania dodatkowych informacji wyłącznie w celu zapewnienia zgodności z niniejszym rozporządzeniem, aby zidentyfikować osobę, której dane dotyczą.
2. Jeżeli w przypadkach, o których mowa w ust. 1 niniejszego artykułu, administrator jest w stanie wykazać, że nie jest w stanie zidentyfikować osoby, której dane dotyczą, informuje o tym tę osobę, o ile jest to możliwe. W takich przypadkach nie mają zastosowania artykuły od 15 do 20, chyba że osoba, której dane dotyczą, w celu skorzystania z praw określonych w tych artykułach, dostarczy dodatkowe informacje umożliwiające jej identyfikację.

1. Administrator podejmuje odpowiednie środki w celu przekazania osobie, której dane dotyczą, wszystkich informacji zgodnie z art. 13 i 14 oraz wszystkich powiadomień zgodnie z art. 15–22 i art. 34, dotyczących przetwarzania danych, w precyzyjnej, przejrzystą, zrozumiałą i łatwo dostępną formę, przy użyciu jasnego i prostego języka; dotyczy to w szczególności informacji skierowanych specjalnie do dzieci. ²Przekazywanie informacji odbywa się na piśmie lub w innej formie, w razie potrzeby również drogą elektroniczną. ³Na żądanie osoby, której dane dotyczą, informacja może zostać przekazana ustnie, o ile tożsamość tej osoby została potwierdzona w inny sposób.
2. Administrator ułatwia osobie, której dane dotyczą, wykonywanie jej praw zgodnie z art. 15–22. W przypadkach, o których mowa w art. 11 ust. 2, administrator może odmówić podjęcia działań w odpowiedzi na wniosek osoby, której dane dotyczą, o skorzystanie z praw określonych w art. 15–22, jedynie wtedy, gdy wykaże w sposób wiarygodny, że nie jest w stanie zidentyfikować tej osoby.
3. Administrator danych niezwłocznie, a w każdym razie w terminie jednego miesiąca od otrzymania wniosku, udostępnia osobie, której dane dotyczą, informacje na temat działań podjętych w odpowiedzi na wniosek złożony zgodnie z art. 15–22. ²Termin ten można przedłużyć o kolejne dwa miesiące, jeżeli jest to konieczne ze względu na złożoność sprawy i liczbę wniosków. ³Administrator danych informuje osobę, której dane dotyczą, w ciągu miesiąca od otrzymania wniosku o przedłużeniu terminu, podając jednocześnie przyczyny opóźnienia. ⁴Jeżeli osoba, której dotyczy sprawa, składa wniosek drogą elektroniczną, należy ją w miarę możliwości powiadomić drogą elektroniczną, o ile nie zaznaczyła inaczej.
4. Jeżeli administrator nie podejmie działań w odpowiedzi na wniosek osoby, której dane dotyczą, informuje ją bezzwłocznie, najpóźniej jednak w ciągu miesiąca od otrzymania wniosku, o przyczynach tego stanu rzeczy oraz o możliwości złożenia skargi do organu nadzorczego lub wniesienia środka odwoławczego do sądu.
5. ¹Informacje zgodnie z art. 13 i 14, a także wszelkie powiadomienia i działania zgodnie z art. 15–22 oraz art. 34 są udostępniane nieodpłatnie. W przypadku wniosków osoby, której dane dotyczą, które są ewidentnie bezzasadne lub – zwłaszcza w przypadku ich częstego powtarzania – nadmierne, administrator może albo
   1. 1. żądać odpowiedniej opłaty, uwzględniającej koszty administracyjne związane z udzieleniem informacji, przekazaniem zawiadomienia lub realizacją wnioskowanego działania, lub
      2. odmówić podjęcia działań w związku z wnioskiem.

   Podmiot odpowiedzialny ma obowiązek wykazać, że wniosek jest w sposób oczywisty bezzasadny lub nadmierny.

6. Jeżeli administrator ma uzasadnione wątpliwości co do tożsamości osoby fizycznej składającej wniosek zgodnie z art. 15–21, może – bez uszczerbku dla art. 11 – zażądać dodatkowych informacji niezbędnych do potwierdzenia tożsamości osoby, której dane dotyczą.
7. Informacje, które należy przekazać osobom, których dane dotyczą, zgodnie z art. 13 i 14, mogą być przedstawione w połączeniu ze standardowymi symbolami graficznymi, aby w łatwo dostrzegalnej, zrozumiałej i jasnej formie przekazać wyczerpujący przegląd planowanego przetwarzania danych. ²Jeśli symbole graficzne są przedstawiane w formie elektronicznej, muszą być możliwe do odczytania przez maszynę.
8. Komisji powierza się uprawnienia do przyjmowania, zgodnie z art. 92, aktów delegowanych w celu określenia informacji, które należy przedstawiać za pomocą symboli graficznych, oraz procedur udostępniania znormalizowanych symboli graficznych.

1. W przypadku gromadzenia danych osobowych od osoby, której dane dotyczą, administrator przekazuje tej osobie w momencie gromadzenia tych danych następujące informacje:
   1. nazwisko i dane kontaktowe administratora danych oraz, w stosownych przypadkach, jego przedstawiciela;
   2. w razie potrzeby dane kontaktowe inspektora ochrony danych;
   3. cele, w jakich dane osobowe mają być przetwarzane, oraz podstawę prawną przetwarzania;
   4. jeżeli przetwarzanie opiera się na art. 6 ust. 1 lit. f), uzasadnione interesy, które realizuje administrator lub strona trzecia;
   5. w stosownych przypadkach odbiorców lub kategorie odbiorców danych osobowych oraz
   6. w stosownych przypadkach zamiar administratora danych dotyczących przekazania danych osobowych do państwa trzeciego lub organizacji międzynarodowej, a także istnienie lub brak decyzji Komisji w sprawie adekwatności lub, w przypadku przekazywania danych zgodnie z art. 46, art. 47 lub art. 49 ust. 1 akapit drugi, odniesienie do odpowiednich lub adekwatnych gwarancji oraz możliwość jak uzyskać ich kopię lub gdzie są one dostępne.
2. Oprócz informacji, o których mowa w ust. 1, administrator udostępnia osobie, której dane dotyczą, w momencie gromadzenia tych danych następujące dodatkowe informacje, niezbędne do zapewnienia rzetelnego i przejrzystego przetwarzania:
   1. okres przechowywania danych osobowych lub, jeżeli nie jest to możliwe, kryteria służące do ustalenia tego okresu;
   2. istnienie prawa do uzyskania od administratora informacji na temat danych osobowych, których to dotyczy, a także prawa do ich sprostowania, usunięcia, ograniczenia przetwarzania lub wniesienia sprzeciwu wobec przetwarzania, jak również prawa do przenoszenia danych;
   3. jeżeli przetwarzanie opiera się na art. 6 ust. 1 lit. a) lub art. 9 ust. 2 lit. a), prawo do wycofania zgody w dowolnym momencie, bez wpływu na zgodność z prawem przetwarzania danych, które miało miejsce na podstawie zgody do momentu jej wycofania;
   4. istnienie prawa do odwołania się do organu nadzorczego;
   5. czy przekazanie danych osobowych jest wymagane na mocy przepisów prawa lub umowy, czy też jest niezbędne do zawarcia umowy, czy osoba, której dane dotyczą, jest zobowiązana do przekazania danych osobowych oraz jakie ewentualne konsekwencje miałoby nieprzekazanie tych danych, oraz
   6. istnienie zautomatyzowanego procesu podejmowania decyzji, w tym profilowania, zgodnie z art. 22 ust. 1 i 4, oraz – przynajmniej w tych przypadkach – istotne informacje na temat stosowanej logiki, a także zakresu i zamierzonych skutków takiego przetwarzania dla osoby, której dane dotyczą.
3. Jeżeli administrator zamierza dalej przetwarzać dane osobowe w celu innym niż ten, w którym zostały zebrane, przed rozpoczęciem tego dalszego przetwarzania przekazuje osobie, której dane dotyczą, informacje o tym innym celu oraz wszelkie inne istotne informacje zgodnie z ust. 2.
4. Ustępy 1, 2 i 3 nie mają zastosowania, jeżeli i o ile osoba, której dane dotyczą, dysponuje już tymi informacjami.

1. Jeżeli dane osobowe nie są gromadzone bezpośrednio od osoby, której dane dotyczą, administrator przekazuje tej osobie następujące informacje:
   1. nazwisko i dane kontaktowe administratora danych oraz, w stosownych przypadkach, jego przedstawiciela;
   2. a także dane kontaktowe inspektora ochrony danych;
   3. cele, w jakich dane osobowe mają być przetwarzane, oraz podstawę prawną przetwarzania;
   4. kategorie przetwarzanych danych osobowych;
   5. w stosownych przypadkach – odbiorców lub kategorie odbiorców danych osobowych;
   6. w stosownych przypadkach zamiar administratora danych dotyczących osób fizycznych, aby przekazać te dane odbiorcy w państwie trzecim lub organizacji międzynarodowej, a także istnienie lub brak decyzji Komisji w sprawie adekwatności lub, w przypadku przekazywania danych zgodnie z art. 46, art. 47 lub art. 49 ust. 1 akapit drugi, odniesienie do odpowiednich lub adekwatnych gwarancji oraz możliwość uzyskania ich kopii lub informacji o tym, gdzie są one dostępne.
2. Oprócz informacji, o których mowa w ust. 1, administrator udostępnia osobie, której dane dotyczą, następujące informacje niezbędne do zapewnienia tej osobie rzetelnego i przejrzystego przetwarzania danych:
   1. okres przechowywania danych osobowych lub, jeżeli nie jest to możliwe, kryteria służące do ustalenia tego okresu;
   2. jeżeli przetwarzanie opiera się na art. 6 ust. 1 lit. f), uzasadnione interesy, które realizuje administrator lub strona trzecia;
   3. istnienie prawa do uzyskania od administratora informacji na temat danych osobowych, których to dotyczy, a także prawa do ich sprostowania, usunięcia lub ograniczenia przetwarzania, jak również prawa do wniesienia sprzeciwu wobec przetwarzania oraz prawa do przenoszenia danych;
   4. jeżeli przetwarzanie opiera się na art. 6 ust. 1 lit. a) lub art. 9 ust. 2 lit. a), prawo do wycofania zgody w dowolnym momencie, bez wpływu na zgodność z prawem przetwarzania danych, które miało miejsce na podstawie zgody do momentu jej wycofania;
   5. istnienie prawa do odwołania się do organu nadzorczego;
   6. z jakiego źródła pochodzą dane osobowe oraz, w stosownych przypadkach, czy pochodzą one ze źródeł ogólnodostępnych;
   7. istnienie zautomatyzowanego procesu podejmowania decyzji, w tym profilowania, zgodnie z art. 22 ust. 1 i 4, oraz – przynajmniej w tych przypadkach – istotne informacje na temat stosowanej logiki, a także zakresu i zamierzonych skutków takiego przetwarzania dla osoby, której dane dotyczą.
3. Administrator udostępnia informacje zgodnie z ust. 1 i 2
   1. z uwzględnieniem konkretnych okoliczności przetwarzania danych osobowych, w odpowiednim terminie po otrzymaniu danych osobowych, jednak nie później niż w ciągu miesiąca,
   2. jeżeli dane osobowe mają być wykorzystywane do komunikacji z osobą, której dane dotyczą, najpóźniej w momencie pierwszego przekazania jej informacji, lub,
   3. jeżeli ujawnienie ma nastąpić na rzecz innego odbiorcy – najpóźniej w momencie pierwszego ujawnienia.
4. Jeżeli administrator zamierza dalej przetwarzać dane osobowe w celu innym niż ten, w którym zostały one pozyskane, przed rozpoczęciem takiego dalszego przetwarzania przekazuje osobie, której dane dotyczą, informacje o tym innym celu oraz wszelkie inne istotne informacje zgodnie z ust. 2.
5. Ustępy 1–4 nie mają zastosowania, jeżeli i o ile
   1. osoba, której dane dotyczą, już dysponuje tymi informacjami,
   2. udostępnienie tych informacji okazałoby się niemożliwe lub wymagałoby nieproporcjonalnego nakładu pracy; dotyczy to w szczególności przetwarzania danych do celów archiwalnych leżących w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych, z zastrzeżeniem warunków i gwarancji, o których mowa w art. 89 ust. 1, lub o ile obowiązek, o którym mowa w ust. 1 niniejszego artykułu, prawdopodobnie uniemożliwiłby lub poważnie utrudniłby osiągnięcie celów tego przetwarzania. W takich przypadkach administrator podejmuje odpowiednie środki w celu ochrony praw i wolności oraz uzasadnionych interesów osoby, której dane dotyczą, w tym poprzez udostępnienie tych informacji opinii publicznej,
   3. jeżeli pozyskanie lub ujawnienie danych jest wyraźnie uregulowane w przepisach Unii lub państw członkowskich, którym podlega administrator i które przewidują odpowiednie środki ochrony uzasadnionych interesów osoby, której dane dotyczą, lub
   4. dane osobowe podlegają, zgodnie z prawem Unii lub prawem państw członkowskich, tajemnicy zawodowej, w tym statutowemu obowiązkowi zachowania poufności, i w związku z tym muszą być traktowane jako poufne.

1. Osoba, której dane dotyczą, ma prawo zażądać od administratora potwierdzenia, czy przetwarzane są dane osobowe, które jej dotyczą; w przypadku potwierdzenia ma ona prawo do uzyskania informacji o tych danych osobowych oraz do następujących informacji:
   1. cele przetwarzania;
   2. kategorie przetwarzanych danych osobowych;
   3. odbiorców lub kategorii odbiorców, którym dane osobowe zostały lub zostaną ujawnione, w szczególności odbiorców w państwach trzecich lub organizacjach międzynarodowych;
   4. w miarę możliwości – planowany okres przechowywania danych osobowych lub, jeśli nie jest to możliwe, kryteria służące do ustalenia tego okresu;
   5. istnienie prawa do sprostowania lub usunięcia danych osobowych, których dotyczą, lub do ograniczenia przetwarzania przez administratora danych, a także prawa do wniesienia sprzeciwu wobec tego przetwarzania;
   6. istnienie prawa do odwołania się do organu nadzorczego;
   7. jeśli dane osobowe nie zostały zebrane od osoby, której dane dotyczą, wszystkie dostępne informacje o pochodzeniu danych;
   8. istnienie zautomatyzowanego procesu podejmowania decyzji, w tym profilowania, zgodnie z art. 22 ust. 1 i 4, oraz – przynajmniej w tych przypadkach – istotne informacje na temat stosowanej logiki, a także zakresu i zamierzonych skutków takiego przetwarzania dla osoby, której dane dotyczą.
2. W przypadku przekazywania danych osobowych do państwa trzeciego lub organizacji międzynarodowej osoba, której dane dotyczą, ma prawo do uzyskania informacji o odpowiednich gwarancjach, o których mowa w art. 46, związanych z tym przekazaniem.
3. Administrator udostępnia kopię danych osobowych, które są przedmiotem przetwarzania. ²W przypadku wszystkich kolejnych kopii, o które wnioskuje osoba, której dane dotyczą, administrator może zażądać odpowiedniej opłaty opartej na kosztach administracyjnych. Jeżeli osoba, której dane dotyczą, składa wniosek drogą elektroniczną, informacje należy udostępnić w powszechnie stosowanym formacie elektronicznym, o ile nie określi ona inaczej.
4. Prawo do otrzymania kopii, o którym mowa w ust. 3, nie może naruszać praw i wolności innych osób.

1. Osoba, której dane dotyczą, ma prawo żądać od administratora niezwłocznego sprostowania nieprawidłowych danych osobowych, które jej dotyczą. Biorąc pod uwagę cele przetwarzania, osoba, której dane dotyczą, ma prawo żądać uzupełnienia niekompletnych danych osobowych – również poprzez złożenie uzupełniającego oświadczenia.

1. Osoba, której dane dotyczą, ma prawo zażądać od administratora niezwłocznego usunięcia danych osobowych, które jej dotyczą, a administrator jest zobowiązany do niezwłocznego usunięcia tych danych, o ile zachodzi jedna z poniższych przyczyn:
   1. Dane osobowe nie są już niezbędne do celów, dla których zostały zgromadzone lub w inny sposób przetwarzane.
   2. Osoba, której dane dotyczą, wycofuje zgodę, na której opierało się przetwarzanie zgodnie z art. 6 ust. 1 lit. a) lub art. 9 ust. 2 lit. a), a nie ma innej podstawy prawnej do przetwarzania.
   3. Osoba, której dane dotyczą, wnosi sprzeciw wobec przetwarzania zgodnie z art. 21 ust. 1 i nie istnieją żadne nadrzędne uzasadnione podstawy do przetwarzania, lub osoba, której dane dotyczą, wnosi sprzeciw zgodnie z art. 21 ust. 2
      Sprzeciw wobec przetwarzania danych.
   4. Dane osobowe były przetwarzane niezgodnie z prawem.
   5. Usunięcie danych osobowych jest konieczne do wypełnienia obowiązku prawnego wynikającego z prawa Unii lub prawa państw członkowskich, któremu podlega administrator danych.
   6. Dane osobowe zostały zebrane w związku z oferowanymi usługami społeczeństwa informacyjnego zgodnie z art. 8 ust. 1.
2. Jeżeli administrator ujawnił dane osobowe i jest zobowiązany do ich usunięcia zgodnie z ust. 1, podejmuje odpowiednie środki, w tym środki techniczne, z uwzględnieniem dostępnych technologii i kosztów wdrożenia, aby poinformować administratorów przetwarzających te dane osobowe, o tym, że osoba, której dane dotyczą, zażądała od nich usunięcia wszystkich linków do tych danych osobowych lub kopii lub replikacji tych danych osobowych.
3. Ustępy 1 i 2 nie mają zastosowania, o ile przetwarzanie jest konieczne
   1. w celu korzystania z prawa do wolności wypowiedzi i informacji;
   2. w celu wypełnienia obowiązku prawnego wymagającego przetwarzania danych zgodnie z prawem Unii lub państw członkowskich, któremu podlega administrator, lub w celu wykonania zadania leżącego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi;
   3. ze względu na interes publiczny w dziedzinie zdrowia publicznego zgodnie z art. 9 ust. 2 lit. h) i i) oraz art. 9 ust. 3;
   4. do celów archiwalnych leżących w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych zgodnie z art. 89
      ust. 1, o ile prawo, o którym mowa w ust. 1, prawdopodobnie uniemożliwi lub poważnie utrudni osiągnięcie celów tego przetwarzania, lub
   5. w celu dochodzenia, wykonywania lub obrony roszczeń prawnych.

1. Osoba, której dane dotyczą, ma prawo zażądać od administratora ograniczenia przetwarzania danych, jeżeli spełniony jest jeden z poniższych warunków:
   1. gdy osoba, której dane dotyczą, kwestionuje prawidłowość danych osobowych, i to przez okres umożliwiający administratorowi sprawdzenie prawidłowości tych danych,
   2. przetwarzanie jest niezgodne z prawem, a osoba, której dane dotyczą, odmawia usunięcia danych osobowych i zamiast tego domaga się ograniczenia ich wykorzystywania;
   3. administrator nie potrzebuje już danych osobowych do celów przetwarzania, jednak osoba, której dane dotyczą, potrzebuje ich do dochodzenia, wykonywania lub obrony roszczeń prawnych, lub
   4. osoba, której dane dotyczą, zgłosiła sprzeciw wobec przetwarzania zgodnie z art. 21 ust. 1, dopóki nie zostanie ustalone, czy uzasadnione powody administratora przeważają nad powodami osoby, której dane dotyczą.
2. Jeżeli przetwarzanie zostało ograniczone zgodnie z ust. 1, dane osobowe te – z wyjątkiem ich przechowywania – mogą być przetwarzane wyłącznie za zgodą osoby, której dane dotyczą, lub w celu dochodzenia, wykonywania lub obrony roszczeń prawnych, w celu ochrony praw innej osoby fizycznej lub prawnej, a także z uwagi na istotny interes publiczny Unii lub państwa członkowskiego.
3. Osoba, której dane dotyczą, która doprowadziła do ograniczenia przetwarzania zgodnie z ust. 1, zostanie poinformowana przez administratora danych przed zniesieniem tego ograniczenia.

1. Administrator powiadamia wszystkich odbiorców, którym ujawniono dane osobowe, o każdej korekcie lub usunięciu danych osobowych lub o ograniczeniu przetwarzania zgodnie z art. 16, art. 17 ust. 1 oraz art. 18, chyba że okaże się to niemożliwe lub wiąże się z nieproporcjonalnym wysiłkiem. Administrator informuje osobę, której dane dotyczą, o tych odbiorcach, jeżeli osoba ta tego zażąda.

1. Osoba, której dane dotyczą, ma prawo do otrzymania dotyczących jej danych osobowych, które przekazała administratorowi, w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego, a także ma prawo do przekazania tych danych innemu administratorowi bez przeszkód ze strony administratora, któremu dane osobowe zostały przekazane, o ile
   1. przetwarzanie opiera się na zgodzie zgodnie z art. 6 ust. 1 lit. a) lub art. 9 ust. 2 lit. a) albo na umowie zgodnie z art. 6 ust. 1 lit. b) oraz
   2. przetwarzanie odbywa się przy użyciu zautomatyzowanych procedur.
2. Korzystając z prawa do przenoszenia danych zgodnie z ust. 1, osoba, której dane dotyczą, ma prawo zażądać, aby dane osobowe zostały przekazane bezpośrednio od jednego administratora do innego administratora, o ile jest to technicznie wykonalne.
3. Skorzystanie z prawa, o którym mowa w ust. 1 niniejszego artykułu, nie ma wpływu na postanowienia art. 17. Prawo to nie ma zastosowania do przetwarzania danych niezbędnego do wykonania zadania leżącego w interesie publicznym lub wynikającego ze sprawowania władzy publicznej powierzonej administratorowi danych.
4. Prawo, o którym mowa w ust. 1, nie może naruszać praw i wolności innych osób.

1. Osoba, której dane dotyczą, ma prawo w dowolnym momencie wnieść sprzeciw – z przyczyn wynikających z jej szczególnej sytuacji – wobec przetwarzania dotyczących jej danych osobowych, które odbywa się na podstawie art. 6 ust. 1 lit. e) lub f); dotyczy to również profilowania opartego na tych przepisach. Administrator zaprzestaje przetwarzania danych osobowych, chyba że wykaże istnienie ważnych i uzasadnionych powodów przetwarzania, które przeważają nad interesami, prawami i wolnościami osoby, której dane dotyczą, lub przetwarzanie służy dochodzeniu, wykonywaniu lub obronie roszczeń prawnych.
2. Jeżeli dane osobowe są przetwarzane w celu prowadzenia marketingu bezpośredniego, osoba, której dane dotyczą, ma prawo w dowolnym momencie wnieść sprzeciw wobec przetwarzania jej danych osobowych w celu prowadzenia takiego marketingu; dotyczy to również profilowania, o ile jest ono związane z takim marketingiem bezpośrednim.
3. Jeżeli osoba, której dane dotyczą, wyrazi sprzeciw wobec przetwarzania danych w celach marketingu bezpośredniego, dane osobowe nie będą już przetwarzane w tych celach.
4. Osoba, której dane dotyczą, musi zostać wyraźnie poinformowana o prawie, o którym mowa w ust. 1 i 2, najpóźniej w momencie nawiązania z nią pierwszego kontaktu; informacja ta musi być przekazana w zrozumiały sposób i oddzielnie od pozostałych informacji.
5. W związku z korzystaniem z usług społeczeństwa informacyjnego osoba, której dane dotyczą, może – niezależnie od dyrektywy 2002/58/WE – skorzystać z prawa do wniesienia sprzeciwu za pomocą zautomatyzowanych procedur, w których stosowane są specyfikacje techniczne.
6. Osoba, której dane dotyczą, ma prawo, z przyczyn wynikających z jej szczególnej sytuacji, wnieść sprzeciw wobec przetwarzania jej danych osobowych, które odbywa się do celów badań naukowych, historycznych lub statystycznych zgodnie z art. 89 ust. 1, chyba że przetwarzanie to jest niezbędne do wykonania zadania leżącego w interesie publicznym.

1. Osoba, której dane dotyczą, ma prawo nie podlegać decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu – w tym na profilowaniu – która wywiera na nią skutki prawne lub w podobny sposób znacząco na nią wpływa.
2. Ustęp 1 nie ma zastosowania, jeżeli decyzja
   1. jest niezbędne do zawarcia lub wykonania umowy między osobą, której dane dotyczą, a administratorem,
   2. jest dozwolone na mocy przepisów prawnych Unii lub państw członkowskich, którym podlega administrator, a przepisy te przewidują odpowiednie środki mające na celu ochronę praw i wolności oraz uzasadnionych interesów osoby, której dane dotyczą, lub
   3. odbywa się za wyraźną zgodą osoby, której dane dotyczą.
3. W przypadkach, o których mowa w ust. 2 lit. a) i c), administrator podejmuje odpowiednie środki w celu ochrony praw i wolności oraz uzasadnionych interesów osoby, której dane dotyczą, co obejmuje co najmniej prawo do uzyskania interwencji ze strony administratora, przedstawienia własnego stanowiska oraz do zaskarżenia decyzji.
4. Decyzje, o których mowa w ust. 2, nie mogą opierać się na szczególnych kategoriach danych osobowych, o których mowa w art. 9 ust. 1, chyba że zastosowanie ma art. 9 ust. 2 lit. a) lub g) oraz podjęto odpowiednie środki w celu ochrony praw i wolności oraz uzasadnionych interesów osoby, której dane dotyczą.

1. Przepisy prawne Unii lub państw członkowskich, którym podlega administrator lub podmiot przetwarzający, mogą określać obowiązki i prawa wynikające z artykułów 12–22 oraz artykułu 34, a także z artykułu 5, o ile jego przepisy odpowiadają prawom i obowiązkom przewidzianym w art. 12–22, można ograniczyć w drodze środków ustawodawczych, o ile takie ograniczenie respektuje istotę praw podstawowych i wolności podstawowych oraz stanowi w demokratycznym społeczeństwie środek niezbędny i proporcjonalny, zapewniający:
   1. bezpieczeństwo narodowe;
   2. obrona kraju;
   3. bezpieczeństwo publiczne;
   4. zapobieganie przestępstwom, ich wykrywanie, ujawnianie lub ściganie, a także wykonywanie kar, w tym ochrona przed zagrożeniami dla bezpieczeństwa publicznego i przeciwdziałanie im;
   5. ochronę innych istotnych celów leżących w ogólnym interesie publicznym Unii lub państwa członkowskiego, w szczególności istotnych interesów gospodarczych lub finansowych Unii lub państwa członkowskiego, na przykład w dziedzinie walutowej, budżetowej i podatkowej, a także w dziedzinie zdrowia publicznego i zabezpieczenia społecznego;
   6. ochronę niezależności wymiaru sprawiedliwości oraz ochronę postępowań sądowych;
   7. zapobieganie, wykrywanie, prowadzenie dochodzeń i ściganie naruszeń zasad etyki zawodowej w zawodach regulowanych;
   8. funkcje kontrolne, nadzorcze i porządkowe, które w sposób stały lub okresowy wiążą się z wykonywaniem władzy publicznej w celach wymienionych w lit. a)–e) oraz g);
   9. ochronę osoby, której dane dotyczą, lub praw i wolności innych osób;
   10. egzekwowanie roszczeń cywilnoprawnych.
2. Każdy akt prawny w rozumieniu ust. 1 musi w szczególności, w stosownych przypadkach, zawierać szczegółowe przepisy przynajmniej w odniesieniu do
   1. cel przetwarzania lub kategorie przetwarzania,
   2. kategorie danych osobowych,
   3. zakres wprowadzonych ograniczeń,
   4. gwarancje chroniące przed nadużyciem, bezprawnym dostępem lub bezprawnym przekazaniem;
   5. dane dotyczące administratora lub kategorii administratorów,
   6. odpowiednie okresy przechowywania danych oraz obowiązujące gwarancje, z uwzględnieniem charakteru, zakresu i celów przetwarzania lub kategorii przetwarzania,
   7. zagrożenia dla praw i wolności osób, których dane dotyczą, oraz
   8. prawo osób, których dane dotyczą, do uzyskania informacji o ograniczeniu, o ile nie jest to sprzeczne z celem tego ograniczenia.

1. Administrator danych wdraża odpowiednie środki techniczne i organizacyjne, uwzględniając charakter, zakres, okoliczności i celów przetwarzania, a także zróżnicowanego prawdopodobieństwa wystąpienia i wagi zagrożeń dla praw i wolności osób fizycznych, wdraża odpowiednie środki techniczne i organizacyjne w celu zapewnienia zgodności przetwarzania z niniejszym rozporządzeniem oraz wykazania, że przetwarzanie odbywa się zgodnie z nim. Środki te są w razie potrzeby weryfikowane i aktualizowane.
2. O ile jest to proporcjonalne w stosunku do czynności związanych z przetwarzaniem danych, środki, o których mowa w ust. 1, muszą obejmować stosowanie przez administratora odpowiednich zabezpieczeń w zakresie ochrony danych.
3. Przestrzeganie zatwierdzonych zasad postępowania zgodnie z art. 40 lub zatwierdzonej procedury certyfikacji zgodnie z art. 42 może stanowić czynnik pozwalający wykazać wypełnienie obowiązków administratora danych.

1. Biorąc pod uwagę stan techniki, koszty wdrożenia oraz charakter, zakres, okoliczności i celów przetwarzania, a także zróżnicowanego prawdopodobieństwa wystąpienia i wagi ryzyka związanego z przetwarzaniem dla praw i wolności osób fizycznych, administrator podejmuje odpowiednie środki techniczne i organizacyjne zarówno w momencie określania środków przetwarzania, jak i w momencie samego przetwarzania – takie jak np. pseudonimizacja – mające na celu skuteczne wdrożenie zasad ochrony danych, takich jak minimalizacja danych, oraz zapewnienie niezbędnych gwarancji w ramach przetwarzania, aby spełnić wymogi niniejszego rozporządzenia i chronić prawa osób, których dane dotyczą.
2. Administrator danych podejmuje odpowiednie środki techniczne i organizacyjne, które gwarantują, że dzięki domyślnym ustawieniom przetwarzane są wyłącznie te dane osobowe, których przetwarzanie jest niezbędne do osiągnięcia danego, konkretnego celu przetwarzania. Obowiązek ten dotyczy ilości gromadzonych danych osobowych, zakresu ich przetwarzania, okresu przechowywania oraz dostępu do nich. Środki te muszą w szczególności gwarantować, że dzięki domyślnym ustawieniom dane osobowe nie zostaną udostępnione nieokreślonej liczbie osób fizycznych bez interwencji danej osoby.
3. Zatwierdzona procedura certyfikacji zgodnie z art. 42 może zostać uwzględniona jako czynnik służący wykazaniu spełnienia wymogów, o których mowa w ust. 1 i 2 niniejszego artykułu.

1. Jeżeli dwóch lub więcej administratorów wspólnie określa cele i środki przetwarzania, są oni administratorami wspólnymi. W porozumieniu określają oni w przejrzysty sposób, który z nich wypełnia jakie obowiązki wynikające z niniejszego rozporządzenia, w szczególności w odniesieniu do zapewnienia realizacji praw osoby, której dane dotyczą, oraz kto wypełnia jakie obowiązki informacyjne zgodnie z art. 13 i 14, o ile i w zakresie, w jakim odpowiednie zadania administratorów nie są określone w przepisach Unii lub państw członkowskich, którym podlegają administratorzy. W porozumieniu można wskazać punkt kontaktowy dla osób, których dane dotyczą.
2. ¹Porozumienie, o którym mowa w ust. 1, musi odpowiednio odzwierciedlać rzeczywiste funkcje i relacje współodpowiedzialnych podmiotów wobec osób, których dane dotyczą. Istotne elementy porozumienia są udostępniane osobie, której dane dotyczą.
3. Niezależnie od szczegółów porozumienia, o którym mowa w ust. 1, osoba, której dane dotyczą, może dochodzić swoich praw wynikających z niniejszego rozporządzenia wobec każdego z administratorów danych.

1. Jeżeli przetwarzanie odbywa się na zlecenie administratora danych, administrator ten współpracuje wyłącznie z podmiotami przetwarzającymi dane, które zapewniają wystarczające gwarancje, że odpowiednie środki techniczne i organizacyjne zostaną wdrożone w taki sposób, aby przetwarzanie odbywało się zgodnie z wymogami niniejszego rozporządzenia i zapewniało ochronę praw osoby, której dane dotyczą.
2. Podmiot przetwarzający nie korzysta z usług żadnego innego podmiotu przetwarzającego bez uprzedniej odrębnej lub ogólnej pisemnej zgody administratora danych. W przypadku udzielenia ogólnej pisemnej zgody podmiot przetwarzający zawsze informuje administratora o każdej planowanej zmianie dotyczącej zaangażowania lub zastąpienia innych podmiotów przetwarzających, co daje administratorowi możliwość zgłoszenia sprzeciwu wobec takich zmian.
3. Przetwarzanie danych przez podmiot przetwarzający odbywa się na podstawie umowy lub innego instrumentu prawnego zgodnego z prawem Unii lub prawem państw członkowskich, który wiąże podmiot przetwarzający w stosunku do administratora i w którym określono przedmiot i czas trwania przetwarzania, rodzaj i cel przetwarzania, rodzaj danych osobowych, kategorie osób, których dane dotyczą, oraz obowiązki i prawa administratora. ²Niniejsza umowa lub inny instrument prawny przewiduje w szczególności, że podmiot przetwarzający dane
   1. przetwarza dane osobowe wyłącznie na podstawie udokumentowanych instrukcji administratora – również w odniesieniu do przekazywania danych osobowych do państwa trzeciego lub organizacji międzynarodowej – o ile nie jest do tego zobowiązany na mocy prawa Unii lub państw członkowskich, któremu podlega podmiot przetwarzający; w takim przypadku podmiot przetwarzający informuje administratora o tych wymogach prawnych przed rozpoczęciem przetwarzania, o ile dane prawo nie zabrania takiego powiadomienia ze względu na ważny interes publiczny;
   2. zapewnia, że osoby uprawnione do przetwarzania danych osobowych zobowiązały się do zachowania poufności lub podlegają odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy;
   3. podejmuje wszelkie środki wymagane zgodnie z art. 32;
   4. spełnia warunki określone w ust. 2 i 4 dotyczące korzystania z usług kolejnego podmiotu przetwarzającego dane;
   5. biorąc pod uwagę charakter przetwarzania, w miarę możliwości wspiera administratora poprzez odpowiednie środki techniczne i organizacyjne w wypełnianiu jego obowiązku udzielania odpowiedzi na wnioski o skorzystanie z praw osoby, której dane dotyczą, wymienionych w rozdziale III;
   6. biorąc pod uwagę charakter przetwarzania oraz informacje, którymi dysponuje, wspiera administratora w wypełnianiu obowiązków określonych w art. 32–36;
   7. po zakończeniu świadczenia usług przetwarzania danych osobowych – w zależności od decyzji administratora – albo usunie, albo zwróci wszystkie dane osobowe oraz usunie istniejące kopie, o ile prawo Unii lub prawo państw członkowskich nie nakłada obowiązku przechowywania danych osobowych;
   8. udostępnia administratorowi wszelkie informacje niezbędne do wykazania zgodności z obowiązkami określonymi w niniejszym artykule oraz umożliwia i wspiera przeprowadzanie kontroli – w tym inspekcji – przeprowadzanych przez administratora lub innego audytora wyznaczonego przez niego.

   Zgodnie z akapitem pierwszym lit. h) podmiot przetwarzający niezwłocznie informuje administratora danych, jeżeli uzna, że dana instrukcja narusza niniejsze rozporządzenie lub inne przepisy dotyczące ochrony danych obowiązujące w Unii lub w państwach członkowskich.

4. Jeżeli podmiot przetwarzający korzysta z usług kolejnego podmiotu przetwarzającego w celu wykonywania określonych czynności przetwarzania w imieniu administratora, na tego kolejnego podmiotu przetwarzającego, na mocy umowy lub innego instrumentu prawnego zgodnego z prawem Unii lub prawem danego państwa członkowskiego, nakłada się te same obowiązki w zakresie ochrony danych, jakie określono w umowie lub innym instrumencie prawnym zawartym między administratorem a podmiotem przetwarzającym zgodnie z ust. 3, przy czym w szczególności należy zapewnić wystarczające gwarancje, że odpowiednie środki techniczne i organizacyjne zostaną wdrożone w taki sposób, aby przetwarzanie odbywało się zgodnie z wymogami niniejszego rozporządzenia. ²Jeżeli kolejny podmiot przetwarzający dane nie wywiązuje się ze swoich obowiązków w zakresie ochrony danych, pierwszy podmiot przetwarzający ponosi odpowiedzialność wobec administratora za wypełnienie obowiązków tego drugiego podmiotu przetwarzającego dane.
5. Przestrzeganie przez podmiot przetwarzający zatwierdzonych zasad postępowania zgodnie z art. 40 lub zatwierdzonej procedury certyfikacji zgodnie z art. 42 może stanowić czynnik pozwalający wykazać istnienie wystarczających gwarancji w rozumieniu ust. 1 i 4 niniejszego artykułu.
6. Bez uszczerbku dla indywidualnej umowy zawartej między administratorem a podmiotem przetwarzającym, umowa lub inny instrument prawny w rozumieniu ust. 3 i 4 niniejszego artykułu może opierać się w całości lub w części na standardowych klauzulach umownych, o których mowa w ust. 7 i 8 niniejszego artykułu, nawet jeśli stanowią one część certyfikatu przyznanego administratorowi lub podmiotowi przetwarzającemu zgodnie z art. 42 i 43.
7. Komisja może, zgodnie z procedurą sprawdzającą określoną w art. 93 ust. 2, ustanowić standardowe klauzule umowne regulujące kwestie, o których mowa w ust. 3 i 4 niniejszego artykułu.
8. Organ nadzorczy może, zgodnie z procedurą zapewnienia spójności określoną w art. 63, ustalić standardowe klauzule umowne regulujące kwestie, o których mowa w ust. 3 i 4 niniejszego artykułu.
9. Umowa lub inny instrument prawny w rozumieniu ust. 3 i 4 musi zostać sporządzona na piśmie, co może nastąpić również w formie elektronicznej.
10. Z zastrzeżeniem art. 82, 83 i 84, podmiot przetwarzający dane, który z naruszeniem niniejszego rozporządzenia określa cele i środki przetwarzania, uznaje się za administratora danych w odniesieniu do tego przetwarzania.

1. Podmiot przetwarzający oraz każda osoba podlegająca administratorowi lub podmiotowi przetwarzającemu, która ma dostęp do danych osobowych, mogą przetwarzać te dane wyłącznie na polecenie administratora, chyba że są zobowiązani do ich przetwarzania na mocy prawa Unii lub prawa państw członkowskich.

1. Każdy administrator danych oraz, w stosownych przypadkach, jego przedstawiciel prowadzi rejestr wszystkich czynności przetwarzania, które wchodzą w zakres jego kompetencji. ²Katalog ten zawiera wszystkie poniższe informacje:
   1. nazwisko i dane kontaktowe administratora danych oraz, w stosownych przypadkach, współadministratora, przedstawiciela administratora, a także ewentualnego inspektora ochrony danych;
   2. cele przetwarzania;
   3. opis kategorii osób, których dane dotyczą, oraz kategorii danych osobowych;
   4. kategorie odbiorców, którym dane osobowe zostały ujawnione lub zostaną ujawnione, w tym odbiorców w państwach trzecich lub organizacjach międzynarodowych;
   5. w stosownych przypadkach przekazywanie danych osobowych do państwa trzeciego lub organizacji międzynarodowej, w tym wskazanie danego państwa trzeciego lub danej organizacji międzynarodowej, a także – w przypadku przekazywania danych, o których mowa w art. 49 ust. 1 akapit drugi – udokumentowanie odpowiednich gwarancji;
   6. w miarę możliwości – przewidziane terminy usunięcia poszczególnych kategorii danych;
   7. w miarę możliwości ogólny opis środków technicznych i organizacyjnych, o których mowa w art. 32 ust. 1.
2. Każdy podmiot przetwarzający dane oraz, w stosownych przypadkach, jego przedstawiciel prowadzi rejestr wszystkich kategorii czynności przetwarzania wykonywanych na zlecenie administratora danych, zawierający następujące informacje:
   1. nazwę i dane kontaktowe podmiotu przetwarzającego dane lub podmiotów przetwarzających dane oraz każdego administratora danych, na zlecenie którego działa podmiot przetwarzający dane, a także, w stosownych przypadkach, przedstawiciela administratora danych lub podmiotu przetwarzającego dane oraz ewentualnego inspektora ochrony danych;
   2. kategorie operacji przetwarzania danych przeprowadzanych na zlecenie każdego administratora;
   3. w stosownych przypadkach przekazywanie danych osobowych do państwa trzeciego lub organizacji międzynarodowej, w tym wskazanie danego państwa trzeciego lub danej organizacji międzynarodowej, a także – w przypadku przekazywania danych, o których mowa w art. 49 ust. 1 akapit drugi – udokumentowanie odpowiednich gwarancji;
   4. w miarę możliwości ogólny opis środków technicznych i organizacyjnych, o których mowa w art. 32 ust. 1.
3. Wykaz, o którym mowa w ust. 1 i 2, należy prowadzić w formie pisemnej, co może odbywać się również w formacie elektronicznym.
4. Administrator danych lub podmiot przetwarzający dane, a także – w stosownych przypadkach – przedstawiciel administratora danych lub podmiotu przetwarzającego dane, udostępniają organowi nadzorczemu wykaz na jego żądanie.
5. Obowiązki, o których mowa w ust. 1 i 2, nie mają zastosowania do przedsiębiorstw lub instytucji zatrudniających mniej niż 250 pracowników, chyba że przetwarzanie danych przez nie stanowi zagrożenie dla praw i wolności osób, których dane dotyczą, przetwarzanie nie ma charakteru wyłącznie sporadycznego lub dotyczy szczególnych kategorii danych osobowych zgodnie z art. 9 ust. 1, bądź też dotyczy danych osobowych dotyczących wyroków skazujących i przestępstw w rozumieniu art. 10.

1. Administrator danych i podmiot przetwarzający dane oraz, w stosownych przypadkach, ich przedstawiciele współpracują z organem nadzorczym na jego wniosek w zakresie wykonywania jego zadań.

1. W przypadku naruszenia ochrony danych osobowych administrator niezwłocznie, a w miarę możliwości w ciągu 72 godzin, od momentu powzięcia wiadomości o naruszeniu, zgłasza je właściwemu organowi nadzorczemu zgodnie z art. 55, chyba że naruszenie ochrony danych osobowych prawdopodobnie nie spowoduje zagrożenia dla praw i wolności osób fizycznych. Jeżeli zgłoszenie do organu nadzorczego nie nastąpi w ciągu 72 godzin, należy do niego dołączyć uzasadnienie opóźnienia.
2. Jeżeli podmiot przetwarzający dowie się o naruszeniu ochrony danych osobowych, niezwłocznie zgłasza to administratorowi.
3. Zgłoszenie, o którym mowa w ust. 1, zawiera co najmniej następujące informacje:
   1. opis charakteru naruszenia ochrony danych osobowych, w miarę możliwości wraz z podaniem kategorii i przybliżonej liczby osób, których dotyczy naruszenie, kategorii danych oraz przybliżonej liczby rekordów danych osobowych, których dotyczy naruszenie;
   2. nazwisko i dane kontaktowe inspektora ochrony danych lub innego podmiotu, do którego można się zwrócić w celu uzyskania dalszych informacji;
   3. opis prawdopodobnych skutków naruszenia ochrony danych osobowych;
   4. opis środków podjętych lub zaproponowanych przez administratora w celu usunięcia naruszenia ochrony danych osobowych oraz, w stosownych przypadkach, środków mających na celu złagodzenie ewentualnych negatywnych skutków tego naruszenia.
4. Jeżeli i o ile informacje nie mogą zostać udostępnione jednocześnie, administrator może udostępniać je stopniowo, bez nieuzasadnionej dalszej zwłoki.
5. Administrator dokumentuje naruszenia ochrony danych osobowych, w tym wszystkie fakty związane z naruszeniem ochrony danych osobowych, ich skutki oraz podjęte środki zaradcze. Dokumentacja ta musi umożliwiać organowi nadzorczemu sprawdzenie, czy przestrzegane są przepisy niniejszego artykułu.

1. Jeżeli naruszenie ochrony danych osobowych może prawdopodobnie spowodować wysokie ryzyko dla praw i wolności osobistych osób fizycznych, administrator niezwłocznie powiadamia osobę, której dane dotyczą, o tym naruszeniu.
2. Powiadomienie osoby, której dane dotyczą, o którym mowa w ust. 1, opisuje w jasny i prosty sposób charakter naruszenia ochrony danych osobowych i zawiera co najmniej informacje oraz środki, o których mowa w art. 33 ust. 3 lit. b), c) i d).
3. Powiadomienie osoby, której dane dotyczą, zgodnie z ust. 1 nie jest konieczne, jeżeli spełniony jest jeden z poniższych warunków:
   1. administrator danych wprowadził odpowiednie techniczne i organizacyjne środki bezpieczeństwa, a środki te zostały zastosowane w odniesieniu do danych osobowych, których dotyczy naruszenie, w szczególności takie, które uniemożliwiają dostęp do danych osobowych wszystkim osobom nieuprawnionym do tego dostępu, na przykład poprzez szyfrowanie;
   2. osoba odpowiedzialna zapewniła, poprzez podjęcie poniższych działań, że wysokie ryzyko dla praw i wolności osób, których dane dotyczą, zgodnie z ust. 1, najprawdopodobniej już nie występuje;
   3. Powiadomienie wiązałoby się z nieproporcjonalnym nakładem pracy. W takim przypadku należy zamiast tego opublikować ogłoszenie publiczne lub podjąć podobne działanie, dzięki któremu osoby, których to dotyczy, zostaną poinformowane w sposób o porównywalnej skuteczności.
4. Jeżeli administrator nie poinformował jeszcze osoby, której dane dotyczą, o naruszeniu ochrony danych osobowych, organ nadzorczy może, biorąc pod uwagę prawdopodobieństwo, że naruszenie ochrony danych osobowych spowoduje wysokie ryzyko, zażądać od administratora, dokonał tego z opóźnieniem lub może w drodze decyzji stwierdzić, że spełnione są niektóre z warunków wymienionych w ust. 3.

1. Jeżeli forma przetwarzania, w szczególności przy wykorzystaniu nowych technologii, ze względu na charakter, zakres, okoliczności i cele przetwarzania może prawdopodobnie spowodować wysokie ryzyko dla praw i wolności osób fizycznych, administrator danych przeprowadza z wyprzedzeniem ocenę skutków planowanych operacji przetwarzania dla ochrony danych osobowych. W przypadku analizy kilku podobnych operacji przetwarzania, charakteryzujących się podobnym wysokim ryzykiem, można przeprowadzić jedną ocenę.
2. Podczas przeprowadzania oceny skutków dla ochrony danych administrator zwraca się o poradę do inspektora ochrony danych, o ile został on wyznaczony.
3. Ocena skutków dla ochrony danych, o której mowa w ust. 1, jest wymagana w szczególności w następujących przypadkach:
   1. systematyczna i kompleksowa ocena cech osobistych osób fizycznych, oparta na zautomatyzowanym przetwarzaniu danych, w tym profilowaniu, która z kolei stanowi podstawę do podejmowania decyzji wywołujących skutki prawne wobec osób fizycznych lub mających na nie podobnie istotny wpływ;
   2. przetwarzanie na szeroką skalę szczególnych kategorii danych osobowych zgodnie z art. 9 ust. 1 lub danych osobowych dotyczących wyroków skazujących i przestępstw zgodnie z art. 10 lub
   3. systematyczny i szeroko zakrojony nadzór nad obszarami ogólnodostępnymi.
4. Organ nadzorczy sporządza wykaz operacji przetwarzania, w odniesieniu do których zgodnie z ust. 1 należy przeprowadzić ocenę skutków dla ochrony danych, i podaje go do wiadomości publicznej. Organ nadzorczy przekazuje te wykazy komitetowi, o którym mowa w art. 68.
5. Organ nadzorczy może ponadto sporządzić i opublikować wykaz rodzajów operacji przetwarzania, w przypadku których nie jest wymagana ocena skutków dla ochrony danych. Organ nadzorczy przekazuje te wykazy komitetowi.
6. Przed ustaleniem wykazów, o których mowa w ust. 4 i 5, właściwy organ nadzorczy stosuje procedurę spójności zgodnie z art. 63, jeżeli wykazy te obejmują operacje przetwarzania związane z oferowaniem towarów lub usług osobom, których dane dotyczą, lub z obserwacją zachowań tych osób w kilku państwach członkowskich, lub które mogłyby w znacznym stopniu utrudniać swobodny przepływ danych osobowych w Unii.
7. Ocena skutków zawiera co najmniej następujące elementy:
   1. systematyczny opis planowanych operacji przetwarzania oraz celów przetwarzania, w razie potrzeby z uwzględnieniem uzasadnionych interesów realizowanych przez administratora;
   2. ocena konieczności i proporcjonalności operacji przetwarzania w odniesieniu do celu;
   3. ocena zagrożeń dla praw i wolności osób, których dane dotyczą, zgodnie z ust. 1 oraz
   4. środki zaradcze zaplanowane w celu ograniczenia ryzyka, w tym gwarancje, środków bezpieczeństwa i procedur, które zapewniają ochronę danych osobowych oraz potwierdzają zgodność z niniejszym rozporządzeniem, z uwzględnieniem praw i uzasadnionych interesów osób, których dane dotyczą, oraz innych zainteresowanych stron.
8. Przy ocenie skutków operacji przetwarzania danych przeprowadzanych przez właściwe podmioty odpowiedzialne lub właściwych podmiotów przetwarzających należy należycie uwzględnić przestrzeganie zatwierdzonych zasad postępowania, o których mowa w art. 40. Dotyczy to w szczególności celów przeprowadzenia oceny skutków dla ochrony danych.
9. W razie potrzeby administrator uzyskuje opinię osób, których dane dotyczą, lub ich przedstawicieli na temat planowanego przetwarzania, bez uszczerbku dla ochrony interesów gospodarczych lub publicznych oraz bezpieczeństwa operacji przetwarzania.
10. Jeżeli przetwarzanie zgodnie z art. 6 ust. 1 lit. c) lub e) opiera się na podstawie prawnej zawartej w prawie Unii lub w prawie państwa członkowskiego, któremu podlega administrator, oraz jeżeli przepisy te regulują konkretną operację przetwarzania lub konkretne operacje przetwarzania, a ocena skutków dla ochrony danych została już przeprowadzona w ramach ogólnej oceny skutków związanej z przyjęciem tej podstawy prawnej, ustępy 1–7 mają zastosowanie tylko wtedy, gdy według uznania państw członkowskich konieczne jest przeprowadzenie takiej oceny skutków przed podjęciem danych czynności przetwarzania.
11. W razie potrzeby administrator przeprowadza kontrolę w celu oceny, czy przetwarzanie odbywa się zgodnie z oceną skutków dla ochrony danych; dotyczy to przynajmniej sytuacji, w których nastąpiły zmiany w zakresie ryzyka związanego z operacjami przetwarzania.

1. Administrator danych konsultuje się z organem nadzorczym przed rozpoczęciem przetwarzania, jeżeli z oceny skutków dla ochrony danych przeprowadzonej zgodnie z art. 35 wynika, że przetwarzanie wiązałoby się z wysokim ryzykiem, o ile administrator danych nie podejmie środków mających na celu ograniczenie tego ryzyka.
2. Jeżeli organ nadzorczy uzna, że planowane przetwarzanie, o którym mowa w ust. 1, nie byłoby zgodne z niniejszym rozporządzeniem, w szczególności dlatego, że administrator nie określił w wystarczającym stopniu ryzyka lub nie ograniczył go w wystarczającym stopniu, przedkłada on administratorowi danych oraz, w stosownych przypadkach, podmiotowi przetwarzającemu, w terminie do ośmiu tygodni od otrzymania wniosku o konsultację, odpowiednie pisemne zalecenia i może skorzystać z uprawnień określonych w art. 58. Termin ten może zostać przedłużony o sześć tygodni, z uwzględnieniem złożoności planowanego przetwarzania. Organ nadzorczy informuje administratora danych lub, w stosownych przypadkach, podmiot przetwarzający o takim przedłużeniu terminu w ciągu miesiąca od otrzymania wniosku o konsultację, podając przyczyny opóźnienia. Terminy te mogą zostać zawieszone do czasu otrzymania przez organ nadzorczy informacji wymaganych do celów konsultacji.
3. W ramach konsultacji, o których mowa w ust. 1, administrator udostępnia organowi nadzorczemu następujące informacje:
   1. w stosownych przypadkach informacje dotyczące odpowiednich kompetencji administratora danych, współadministratorów oraz podmiotów przetwarzających dane, w szczególności w przypadku przetwarzania w ramach grupy przedsiębiorstw;
   2. cele i środki planowanego przetwarzania;
   3. środki i gwarancje przewidziane w celu ochrony praw i wolności osób, których dane dotyczą, zgodnie z niniejszym rozporządzeniem;
   4. w razie potrzeby dane kontaktowe inspektora ochrony danych;
   5. ocena skutków dla ochrony danych zgodnie z art. 35 oraz
   6. wszelkie inne informacje wymagane przez organ nadzorczy.
4. Państwa członkowskie konsultują się z organem nadzorczym przy opracowywaniu wniosku dotyczącego środków ustawodawczych, które mają zostać przyjęte przez parlament krajowy, lub środków regulacyjnych opartych na takich środkach ustawodawczych, dotyczących przetwarzania danych.
5. Niezależnie od ust. 1 prawo państw członkowskich może nakładać na administratorów obowiązek konsultowania się z organem nadzorczym i uzyskania jego uprzedniej zgody w przypadku przetwarzania danych w celu wykonania zadania leżącego w interesie publicznym, w tym przetwarzania danych do celów zabezpieczenia społecznego i zdrowia publicznego.

1. Administrator danych i podmiot przetwarzający dane wyznaczają inspektora ochrony danych w każdym przypadku, gdy
   1. przetwarzanie danych jest prowadzone przez organ administracji publicznej lub instytucję publiczną, z wyjątkiem sądów, o ile działają one w ramach swojej działalności sądowej,
   2. główna działalność administratora danych lub podmiotu przetwarzającego polega na przeprowadzaniu operacji przetwarzania, które ze względu na swój charakter, zakres i/lub cele wymagają szeroko zakrojonego, regularnego i systematycznego monitorowania osób, których dane dotyczą, lub
   3. główna działalność administratora lub podmiotu przetwarzającego polega na przetwarzaniu na szeroką skalę szczególnych kategorii danych, o których mowa w art. 9, lub danych osobowych dotyczących wyroków skazujących i przestępstw, o których mowa w art. 10.
2. Grupa przedsiębiorstw może wyznaczyć wspólnego inspektora ochrony danych, pod warunkiem że z każdego oddziału można się z nim łatwo skontaktować.
3. Jeżeli administratorem danych lub podmiotem przetwarzającym dane jest organ lub instytucja publiczna, można wyznaczyć wspólnego inspektora ochrony danych dla kilku takich organów lub instytucji, z uwzględnieniem ich struktury organizacyjnej i wielkości.
4. W przypadkach innych niż wymienione w ust. 1 administrator lub podmiot przetwarzający dane, a także stowarzyszenia i inne organizacje reprezentujące kategorie administratorów lub podmiotów przetwarzających dane, mogą wyznaczyć inspektora ochrony danych; jeżeli jest to wymagane na mocy prawa Unii lub państw członkowskich, są one zobowiązane do wyznaczenia takiego inspektora. Inspektor ochrony danych może działać w imieniu takich stowarzyszeń i innych zrzeszeń reprezentujących administratorów lub podmioty przetwarzające.
5. Inspektor ochrony danych jest wyznaczany na podstawie jego kwalifikacji zawodowych, a w szczególności wiedzy fachowej w zakresie prawa i praktyki dotyczącej ochrony danych, a także na podstawie jego zdolności do wykonywania zadań określonych w art. 39.
6. Inspektor ochrony danych może być pracownikiem administratora danych lub podmiotu przetwarzającego dane albo wykonywać swoje zadania na podstawie umowy o świadczenie usług.
7. Administrator danych lub podmiot przetwarzający dane podaje do wiadomości publicznej dane kontaktowe inspektora ochrony danych oraz przekazuje te dane organowi nadzorczemu.

1. Administrator danych i podmiot przetwarzający dane zapewniają, aby inspektor ochrony danych był w odpowiedni sposób i w odpowiednim czasie angażowany we wszystkie kwestie związane z ochroną danych osobowych.
2. Administrator danych i podmiot przetwarzający wspierają inspektora ochrony danych w wykonywaniu jego zadań zgodnie z art. 39, zapewniając mu zasoby niezbędne do wykonywania tych zadań, dostęp do danych osobowych i operacji przetwarzania, a także zasoby niezbędne do utrzymania jego wiedzy fachowej.
3. Administrator danych i podmiot przetwarzający zapewniają, aby inspektor ochrony danych, wykonując swoje zadania, nie otrzymywał żadnych instrukcji dotyczących wykonywania tych zadań. Inspektor ochrony danych nie może zostać odwołany ani dyskryminowany przez administratora danych lub podmiot przetwarzający z powodu wykonywania swoich zadań. Inspektor ochrony danych podlega bezpośrednio najwyższemu szczeblowi kierowniczemu administratora lub podmiotu przetwarzającego.
4. Osoby, których dane dotyczą, mogą zwrócić się do inspektora ochrony danych we wszystkich sprawach związanych z przetwarzaniem ich danych osobowych oraz z wykonywaniem przysługujących im praw zgodnie z niniejszym rozporządzeniem.
5. Zgodnie z prawem Unii lub państw członkowskich inspektor ochrony danych jest zobowiązany do zachowania tajemnicy lub poufności podczas wykonywania swoich zadań.
6. Inspektor ochrony danych może wykonywać inne zadania i obowiązki. Administrator danych lub podmiot przetwarzający dane zapewnia, aby takie zadania i obowiązki nie prowadziły do konfliktu interesów.

1. Do obowiązków inspektora ochrony danych należą co najmniej następujące zadania:
   1. informowanie i doradzanie administratorowi lub podmiotowi przetwarzającemu oraz pracownikom zajmującym się przetwarzaniem danych w zakresie ich obowiązków wynikających z niniejszego rozporządzenia oraz z innych przepisów Unii lub państw członkowskich dotyczących ochrony danych;
   2. Nadzór nad przestrzeganiem niniejszego rozporządzenia, innych przepisów Unii lub państw członkowskich dotyczących ochrony danych, a także strategii administratora lub podmiotu przetwarzającego w zakresie ochrony danych osobowych, w tym przydzielania obowiązków, podnoszenia świadomości i szkolenia pracowników uczestniczących w procesach przetwarzania oraz przeprowadzania odpowiednich kontroli;
   3. Doradztwo – na żądanie – w zakresie oceny skutków dla ochrony danych oraz monitorowania jej realizacji zgodnie z art. 35;
   4. Współpraca z organem nadzorczym;
   5. Pełnienie funkcji punktu kontaktowego dla organu nadzorczego w sprawach związanych z przetwarzaniem danych, w tym w zakresie konsultacji wstępnych zgodnie z art. 36, a także, w stosownych przypadkach, udzielanie porad we wszystkich innych kwestiach.
2. Inspektor ochrony danych, wykonując swoje zadania, należycie uwzględnia ryzyko związane z operacjami przetwarzania, biorąc pod uwagę charakter, zakres, okoliczności i cele przetwarzania.

1. Państwa członkowskie, organy nadzorcze, Komitet oraz Komisja wspierają opracowywanie kodeksów postępowania, które – z uwzględnieniem specyfiki poszczególnych obszarów przetwarzania danych oraz szczególnych potrzeb mikroprzedsiębiorstw oraz małych i średnich przedsiębiorstw – mają przyczynić się do prawidłowego stosowania niniejszego rozporządzenia.
2. Stowarzyszenia i inne organizacje reprezentujące kategorie administratorów lub podmiotów przetwarzających dane mogą opracowywać, zmieniać lub rozszerzać kodeksy postępowania, które precyzują stosowanie niniejszego rozporządzenia, na przykład w odniesieniu do następujących kwestii:
   1. uczciwe i przejrzyste rozliczenie;
   2. uzasadnione interesy administratora w określonych sytuacjach;
   3. Gromadzenie danych osobowych;
   4. Pseudonimizacja danych osobowych;
   5. Informowanie opinii publicznej i osób, których to dotyczy;
   6. Korzystanie z praw osób, których dane dotyczą;
   7. Informowanie i ochrona dzieci oraz sposób uzyskiwania zgody osoby sprawującej władzę rodzicielską nad dzieckiem;
   8. środki i procedury określone w art. 24 i 25 oraz środki zapewniające bezpieczeństwo przetwarzania określone w art. 32;
   9. zgłaszanie naruszeń ochrony danych osobowych organom nadzorczym oraz powiadamianie osób, których dane dotyczą, o takich naruszeniach ochrony danych osobowych;
   10. przekazywanie danych osobowych do państw trzecich lub organizacji międzynarodowych, lub
   11. postępowania pozasądowe i inne procedury rozstrzygania sporów mające na celu rozstrzyganie sporów między administratorami a osobami, których dane dotyczą, w związku z przetwarzaniem danych, bez uszczerbku dla praw osób, których dane dotyczą, określonych w art. 77 i 79.
3. Oprócz przestrzegania przepisów przez administratorów lub podmioty przetwarzające objęte niniejszym rozporządzeniem, zasady postępowania zatwierdzone zgodnie z ust. 5 niniejszego artykułu i mające ogólne zastosowanie zgodnie z ust. 9 niniejszego artykułu, móc być przestrzegane również przez administratorów lub podmioty przetwarzające, które zgodnie z art. 3 nie podlegają niniejszemu rozporządzeniu, w celu zapewnienia odpowiednich gwarancji w ramach przekazywania danych osobowych do państw trzecich lub organizacji międzynarodowych zgodnie z art. 46 ust. 2 lit. e). Wspomniani administratorzy lub podmioty przetwarzające przyjmują na siebie, za pomocą instrumentów umownych lub innych prawnie wiążących instrumentów, wiążące i egzekwowalne zobowiązanie do stosowania odpowiednich gwarancji, również w odniesieniu do praw osób, których dane dotyczą.
4. Zasady postępowania, o których mowa w ust. 2 niniejszego artykułu, muszą przewidywać procedury umożliwiające organowi, o którym mowa w art. 41 ust. 1, przeprowadzanie obowiązkowego nadzoru nad przestrzeganiem ich postanowień przez administratorów danych lub podmioty przetwarzające dane, które zobowiązały się do stosowania tych zasad postępowania, bez uszczerbku dla zadań i uprawnień organu nadzorczego właściwego na mocy art. 55 lub 56.
5. Stowarzyszenia i inne organizacje, o których mowa w ust. 2 niniejszego artykułu, zamierzające opracować kodeks postępowania lub zmienić lub rozszerzyć istniejący kodeks postępowania, przedkładają projekt kodeksu postępowania lub projekt jego zmiany lub rozszerzenia organowi nadzorczemu właściwemu na mocy art. 55. Organ nadzorczy wydaje opinię w sprawie zgodności projektu zasad postępowania lub projektu ich zmiany lub rozszerzenia z niniejszym rozporządzeniem oraz zatwierdza ten projekt zasad postępowania lub projekt ich zmiany lub rozszerzenia, jeżeli uzna, że zapewnia on wystarczające i odpowiednie gwarancje.
6. Jeżeli w wyniku opinii wydanej zgodnie z ust. 5 projekt kodeksu postępowania lub projekt jego zmiany lub rozszerzenia zostanie zatwierdzony, a przedmiotowy kodeks postępowania nie dotyczy czynności przetwarzania danych w kilku państwach członkowskich, organ nadzorczy wpisuje ten kodeks postępowania do rejestru i podaje go do wiadomości publicznej.
7. Jeżeli projekt zasad postępowania dotyczy czynności przetwarzania danych w kilku państwach członkowskich, właściwy organ nadzorczy, o którym mowa w art. 55, przed zatwierdzeniem projektu zasad postępowania lub projektu ich zmiany lub rozszerzenia – przedkłada go, zgodnie z procedurą określoną w art. 63, komitetowi, który wydaje opinię w sprawie zgodności projektu kodeksu postępowania lub projektu jego zmiany lub rozszerzenia z niniejszym rozporządzeniem lub – w przypadku, o którym mowa w ust. 3 niniejszego artykułu – w sprawie zapewnienia odpowiednich gwarancji.
8. Jeżeli w opinii, o której mowa w ust. 7, potwierdzono, że projekt kodeksu postępowania lub projekt jego zmiany lub rozszerzenia jest zgodny z niniejszym rozporządzeniem lub – w przypadku, o którym mowa w ust. 3 – przewiduje odpowiednie gwarancje, komitet przekazuje swoją opinię Komisji.
9. Komisja może, w drodze aktów wykonawczych, postanowić, że zatwierdzone zasady postępowania przekazane jej zgodnie z ust. 8, lub ich zatwierdzone zmiany lub rozszerzenia, mają ogólne zastosowanie w Unii. Te akty wykonawcze przyjmuje się zgodnie z procedurą sprawdzającą, o której mowa w art. 93 ust. 2.
10. Komisja zapewnia, aby zatwierdzone zasady postępowania, którym zgodnie z ust. 9 przyznano ogólną moc obowiązującą, zostały opublikowane w odpowiedni sposób.
11. Komisja wpisuje do rejestru wszystkie zatwierdzone zasady postępowania oraz ich zatwierdzone zmiany lub rozszerzenia i publikuje je w odpowiedni sposób.

1. Bez uszczerbku dla zadań i uprawnień właściwego organu nadzorczego określonych w art. 57 i 58, nadzór nad przestrzeganiem zasad postępowania, o których mowa w art. 40, może być sprawowany przez podmiot, który dysponuje odpowiednią wiedzą fachową w zakresie przedmiotu zasad postępowania i który został w tym celu akredytowany przez właściwy organ nadzorczy.
2. Organ, o którym mowa w ust. 1, może uzyskać akredytację w celu monitorowania przestrzegania zasad postępowania, jeżeli:
   1. wykazała swoją niezależność i wiedzę fachową w zakresie, którego dotyczą zasady postępowania, w sposób uznany za zadowalający przez właściwy organ nadzorczy;
   2. ustanowiła procedury, które umożliwiają jej ocenę, czy administratorzy i podmioty przetwarzające dane są w stanie stosować zasady postępowania, monitorowanie przestrzegania tych zasad przez administratorów i podmioty przetwarzające dane oraz regularne sprawdzanie stosowania tych zasad;
   3. określiła procedury i struktury, za pomocą których rozpatruje skargi dotyczące naruszeń zasad postępowania lub sposobu, w jaki zasady te są lub były stosowane przez administratora lub podmiot przetwarzający, oraz zapewnia przejrzystość tych procedur i struktur dla osób, których dane dotyczą, oraz opinii publicznej, oraz
   4. wykazała, ku zadowoleniu właściwego organu nadzorczego, że jej zadania i obowiązki nie prowadzą do konfliktu interesów.
3. Właściwy organ nadzorczy przekazuje komitetowi projekt wymogów dotyczących akredytacji jednostki, o której mowa w ust. 1, zgodnie z procedurą spójności określoną w art. 63.
4. Bez uszczerbku dla zadań i uprawnień właściwego organu nadzorczego oraz przepisów rozdziału VIII, organ, o którym mowa w ust. 1, pod warunkiem zapewnienia odpowiednich gwarancji, w przypadku naruszenia zasad postępowania przez administratora lub podmiot przetwarzający dane podejmuje odpowiednie środki, w tym tymczasowego lub ostatecznego wykluczenia administratora lub podmiotu przetwarzającego z zakresu stosowania zasad postępowania. Organ ten informuje właściwy organ nadzorczy o takich środkach oraz o ich uzasadnieniu.
5. Właściwy organ nadzorczy cofa akredytację jednostki, o której mowa w ust. 1, jeżeli wymogi dotyczące jej akredytacji nie są spełnione lub przestały być spełniane, lub jeżeli jednostka ta podejmuje działania niezgodne z niniejszym rozporządzeniem.
6. Niniejszy artykuł nie ma zastosowania do przetwarzania danych przez organy władzy lub instytucje publiczne.

1. Państwa członkowskie, organy nadzorcze, Komitet oraz Komisja wspierają, w szczególności na szczeblu unijnym, wprowadzanie procedur certyfikacyjnych dotyczących ochrony danych, a także znaków jakości i certyfikatów w zakresie ochrony danych, które służą potwierdzeniu zgodności z niniejszym rozporządzeniem w odniesieniu do operacji przetwarzania danych przeprowadzanych przez administratorów lub podmioty przetwarzające. Uwzględnia się szczególne potrzeby mikroprzedsiębiorstw oraz małych i średnich przedsiębiorstw.
2. Oprócz przestrzegania przepisów przez administratorów lub podmioty przetwarzające objęte niniejszym rozporządzeniem można również przewidzieć procedury certyfikacyjne, znaki jakości lub oznaczenia dotyczące ochrony danych, które zostały zatwierdzone zgodnie z ust. 5 niniejszego artykułu, w celu wykazania, że administratorzy lub podmioty przetwarzające, które zgodnie z art. 3 nie podlegają niniejszemu rozporządzeniu, zapewniają odpowiednie gwarancje w ramach przekazywania danych osobowych do państw trzecich lub organizacji międzynarodowych zgodnie z art. 46 ust. 2 lit. f). Wspomniani administratorzy lub podmioty przetwarzające przyjmują na siebie, za pomocą instrumentów umownych lub innych prawnie wiążących instrumentów, wiążące i egzekwowalne zobowiązanie do stosowania tych odpowiednich gwarancji, również w odniesieniu do praw osób, których dane dotyczą.
3. Certyfikacja musi mieć charakter dobrowolny i być dostępna w ramach przejrzystej procedury.
4. Certyfikacja zgodnie z niniejszym artykułem nie ogranicza odpowiedzialności administratora lub podmiotu przetwarzającego za przestrzeganie niniejszego rozporządzenia i nie ma wpływu na zadania i uprawnienia organów nadzorczych właściwych na mocy art. 55 lub 56.
5. Certyfikacja na podstawie niniejszego artykułu jest przyznawana przez jednostki certyfikujące, o których mowa w art. 43, lub przez właściwy organ nadzorczy na podstawie kryteriów zatwierdzonych przez ten właściwy organ nadzorczy zgodnie z art. 58 ust. 3 lub – zgodnie z art. 63 – przez komitet. Jeżeli kryteria zostaną zatwierdzone przez Komitet, może to doprowadzić do wydania wspólnego certyfikatu, czyli europejskiego znaku ochrony danych.
6. Administrator danych lub podmiot przetwarzający, który poddaje przeprowadzane przez siebie przetwarzanie procedurze certyfikacyjnej, udostępnia jednostce certyfikującej, o której mowa w art. 43, lub, w stosownych przypadkach, właściwemu organowi nadzorczemu wszelkie informacje niezbędne do przeprowadzenia procedury certyfikacyjnej oraz zapewnia jej dostęp do swoich działań związanych z przetwarzaniem danych, niezbędny w tym kontekście.
7. Certyfikat przyznawany jest administratorowi danych lub podmiotowi przetwarzającemu na okres nie dłuższy niż trzy lata i może zostać przedłużony na tych samych warunkach, o ile nadal spełniane są odpowiednie kryteria. Certyfikacja zostaje cofnięta, w stosownych przypadkach, przez jednostki certyfikujące, o których mowa w art. 43, lub przez właściwy organ nadzorczy, jeżeli kryteria certyfikacji nie są lub przestały być spełniane.
8. Komisja wpisuje wszystkie procedury certyfikacyjne oraz znaki i certyfikaty dotyczące ochrony danych do rejestru i podaje je do wiadomości publicznej w odpowiedni sposób.

1. Bez uszczerbku dla zadań i uprawnień właściwego organu nadzorczego określonych w art. 57 i 58, jednostki certyfikujące dysponujące odpowiednią wiedzą fachową w zakresie ochrony danych, po poinformowaniu organu nadzorczego – aby organ ten mógł w razie potrzeby skorzystać z uprawnień określonych w art. 58 ust. 2 lit. h – wydają lub przedłużają certyfikację. Państwa członkowskie zapewniają, aby te jednostki certyfikujące były akredytowane przez jeden lub oba z następujących organów:
   1. właściwemu organowi nadzorczemu zgodnie z art. 55 lub 56;
   2. krajowej jednostki akredytacyjnej, która zgodnie z rozporządzeniem (WE) nr 765/2008 Parlamentu Europejskiego i Rady¹ została wyznaczona zgodnie z normą EN-ISO/IEC 17065/2012 oraz dodatkowymi wymogami określonymi przez właściwy organ nadzorczy zgodnie z art. 55 lub 56.
2. Jednostki certyfikujące, o których mowa w ust. 1, mogą zostać akredytowane zgodnie z tym ustępem tylko wtedy, gdy:
   1. wykazały swoją niezależność oraz wiedzę fachową w zakresie przedmiotu certyfikacji w sposób uznany za zadowalający przez właściwy organ nadzorczy;
   2. zobowiązały się do przestrzegania kryteriów określonych w art. 42 ust. 5, zatwierdzonych przez właściwy organ nadzoru zgodnie z art. 55 lub 56 albo – zgodnie z art. 63 – przez Komitet;
   3. ustaliły procedury dotyczące przyznawania, okresowej weryfikacji i cofania certyfikatów ochrony danych, a także znaków jakości i certyfikatów w zakresie ochrony danych;
   4. ustaliły procedury i struktury służące rozpatrywaniu skarg dotyczących naruszeń certyfikacji lub sposobu, w jaki certyfikacja jest lub była wdrażana przez administratora lub podmiot przetwarzający dane, oraz zapewniły przejrzystość tych procedur i struktur dla osób, których dane dotyczą, oraz opinii publicznej, oraz
   5. wykazały, ku zadowoleniu właściwego organu nadzorczego, że ich zadania i obowiązki nie prowadzą do konfliktu interesów.
3. Akredytacja jednostek certyfikujących zgodnie z ust. 1 i 2 odbywa się na podstawie wymagań zatwierdzonych przez właściwy organ nadzorczy zgodnie z art. 55 lub 56 albo – zgodnie z art. 63 – przez komitet. W przypadku akredytacji zgodnie z ust. 1 lit. b niniejszego artykułu wymagania te uzupełniają wymagania przewidziane w rozporządzeniu (WE) nr 765/2008 oraz w przepisach technicznych opisujących metody i procedury stosowane przez jednostki certyfikujące.
4. ¹Jednostki certyfikujące, o których mowa w ust. 1, są odpowiedzialne za przeprowadzenie odpowiedniej oceny stanowiącej podstawę certyfikacji lub cofnięcia certyfikacji, bez uszczerbku dla odpowiedzialności administratora danych lub podmiotu przetwarzającego za przestrzeganie niniejszego rozporządzenia. Akredytacja jest przyznawana na okres nieprzekraczający pięciu lat i może zostać przedłużona na tych samych warunkach, o ile jednostka certyfikująca spełnia wymogi niniejszego artykułu.
5. Jednostki certyfikujące, o których mowa w ust. 1, informują właściwe organy nadzorcze o przyczynach wydania lub cofnięcia wnioskowanej certyfikacji.
6. Wymogi określone w ust. 3 niniejszego artykułu oraz kryteria określone w art. 42 ust. 5 są publikowane przez organ nadzorczy w łatwo dostępnej formie. Organy nadzorcze przekazują te wymogi i kryteria również komitetowi.
7. Z zastrzeżeniem przepisów rozdziału VIII właściwy organ nadzorczy lub krajowa jednostka akredytująca cofa akredytację jednostki certyfikującej, o której mowa w ust. 1, jeżeli warunki akredytacji nie są lub przestały być spełnione lub jeżeli jednostka certyfikująca podejmuje działania niezgodne z niniejszym rozporządzeniem.
8. Komisji powierza się uprawnienia do przyjmowania aktów delegowanych zgodnie z art. 92 w celu określenia wymogów, które należy uwzględnić w procedurach certyfikacji dotyczących ochrony danych, o których mowa w art. 42 ust. 1.
9. Komisja może przyjmować akty wykonawcze, w których określa się normy techniczne dotyczące procedur certyfikacyjnych oraz znaków i certyfikatów ochrony danych, a także mechanizmy promowania i uznawania tych procedur certyfikacyjnych oraz znaków i certyfikatów ochrony danych. Te akty wykonawcze są przyjmowane zgodnie z procedurą sprawdzającą, o której mowa w art. 93 ust. 2.

1. Każde przekazanie danych osobowych, które są już przetwarzane lub które mają być przetwarzane po ich przekazaniu do państwa trzeciego lub organizacji międzynarodowej, jest dopuszczalne wyłącznie wtedy, gdy administrator i podmiot przetwarzający przestrzegają warunków określonych w niniejszym rozdziale, a także gdy przestrzegane są pozostałe przepisy niniejszego rozporządzenia; dotyczy to również ewentualnego dalszego przekazywania danych osobowych z danego państwa trzeciego lub danej organizacji międzynarodowej do innego państwa trzeciego lub innej organizacji międzynarodowej. Wszystkie przepisy niniejszego rozdziału mają zastosowanie w celu zapewnienia, aby poziom ochrony osób fizycznych gwarantowany niniejszym rozporządzeniem nie został obniżony.

1. Przekazanie danych osobowych do państwa trzeciego lub organizacji międzynarodowej jest dozwolone, jeżeli Komisja stwierdziła, że dane państwo trzecie, jego terytorium lub jeden lub więcej określonych sektorów w tym państwie trzecim, bądź też dana organizacja międzynarodowa zapewnia odpowiedni poziom ochrony. Takie przekazanie danych nie wymaga specjalnego zezwolenia.
2. Oceniając adekwatność oferowanego poziomu ochrony, Komisja bierze pod uwagę w szczególności następujące kwestie:
   1. zasady państwa prawa, poszanowanie praw człowieka i podstawowych wolności, odpowiednie przepisy prawne obowiązujące w danym kraju lub w danej organizacji międzynarodowej, zarówno o charakterze ogólnym, jak i sektorowym – w tym dotyczące bezpieczeństwa publicznego, obrony, bezpieczeństwa narodowego i prawa karnego, a także dostępu organów władzy do danych osobowych – oraz stosowanie tych przepisów, przepisów dotyczących ochrony danych, zasad wykonywania zawodu i przepisów bezpieczeństwa, w tym przepisów dotyczących dalszego przekazywania danych osobowych do innego państwa trzeciego lub innej organizacji międzynarodowej, orzecznictwo, a także skuteczne i egzekwowalne prawa osoby, której dane dotyczą, oraz skuteczne środki odwoławcze na drodze administracyjnej i sądowej dla osób, których dane osobowe są przekazywane,
   2. istnienie i skuteczne funkcjonowanie jednego lub kilku niezależnych organów nadzorczych w danym państwie trzecim lub podlegających organizacji międzynarodowej, które są odpowiedzialne za przestrzeganie i egzekwowanie przepisów dotyczących ochrony danych, w tym odpowiednie uprawnienia egzekucyjne, za udzielanie wsparcia i doradztwa osobom, których dane dotyczą, w zakresie wykonywania ich praw oraz za współpracę z organami nadzorczymi państw członkowskich, oraz
   3. zobowiązania międzynarodowe podjęte przez dane państwo trzecie lub daną organizację międzynarodową, a także inne zobowiązania wynikające z prawnie wiążących umów lub aktów prawnych, jak również z udziału tego państwa trzeciego lub tej organizacji międzynarodowej w systemach wielostronnych lub regionalnych, w szczególności w odniesieniu do ochrony danych osobowych.
3. Po dokonaniu oceny adekwatności poziomu ochrony Komisja może, w drodze aktu wykonawczego, stwierdzić, że państwo trzecie, terytorium lub jeden lub kilka określonych sektorów w państwie trzecim, albo organizacja międzynarodowa zapewnia odpowiedni poziom ochrony w rozumieniu ust. 2 niniejszego artykułu. W akcie wykonawczym należy przewidzieć mechanizm regularnego przeglądu, przeprowadzanego co najmniej co cztery lata, uwzględniający wszystkie istotne zmiany w państwie trzecim lub w organizacji międzynarodowej. W akcie wykonawczym określa się terytorialny i sektorowy zakres stosowania oraz, w stosownych przypadkach, organ lub organy nadzorcze, o których mowa w ust. 2 lit. b) niniejszego artykułu. Akt wykonawczy przyjmuje się zgodnie z procedurą sprawdzającą, o której mowa w art. 93 ust. 2.
4. Komisja na bieżąco monitoruje zmiany zachodzące w państwach trzecich oraz w organizacjach międzynarodowych, które mogłyby wpłynąć na skuteczność decyzji przyjętych na podstawie ust. 3 niniejszego artykułu oraz ustaleń przyjętych na podstawie art. 25 ust. 6 dyrektywy 95/46/WE.
5. Komisja uchyla, zmienia lub zawiesza decyzje, o których mowa w ust. 3 niniejszego artykułu, w drodze aktów wykonawczych, w zakresie, w jakim jest to konieczne, i bez mocy wstecznej, o ile istnieją odpowiednie informacje – w szczególności w następstwie przeglądu, o którym mowa w ust. 3 niniejszego artykułu – wskazują, że państwo trzecie, terytorium lub jeden lub więcej konkretnych sektorów w państwie trzecim albo organizacja międzynarodowa nie zapewniają już odpowiedniego poziomu ochrony w rozumieniu ust. 2 niniejszego artykułu. Te akty wykonawcze przyjmuje się zgodnie z procedurą sprawdzającą, o której mowa w art. 93 ust. 2. W wystarczająco uzasadnionych przypadkach nadzwyczajnej pilności Komisja przyjmuje akty wykonawcze o natychmiastowym skutku zgodnie z procedurą, o której mowa w art. 93 ust. 3.
6. Komisja rozpoczyna konsultacje z danym państwem trzecim lub daną organizacją międzynarodową w celu zaradzenia sytuacji, która doprowadziła do podjęcia decyzji zgodnie z ust. 5.
7. Przekazywanie danych osobowych do danego państwa trzeciego, terytorium lub jednego lub kilku określonych sektorów w tym państwie trzecim albo do danej organizacji międzynarodowej zgodnie z art. 46–49 pozostaje nienaruszone przez decyzję podjętą na podstawie ust. 5 niniejszego artykułu.
8. Komisja publikuje w Dziennik Urzędowy Unii Europejskiej oraz na swojej stronie internetowej opublikowała wykaz wszystkich państw trzecich lub terytoriów oraz poszczególnych sektorów w państwach trzecich, a także wszystkich organizacji międzynarodowych, w odniesieniu do których w drodze decyzji stwierdziła, że zapewniają one odpowiedni poziom ochrony lub już go nie zapewniają.
9. Ustalenia przyjęte przez Komisję na podstawie art. 25 ust. 6 dyrektywy 95/46/WE pozostają w mocy do czasu ich zmiany, zastąpienia lub uchylenia na mocy decyzji Komisji przyjętej w ramach procedury weryfikacyjnej zgodnie z ust. 3 lub 5 niniejszego artykułu zastąpione lub uchylone.

1. W przypadku braku decyzji, o której mowa w art. 45 ust. 3, administrator lub podmiot przetwarzający dane może przekazywać dane osobowe do państwa trzeciego lub organizacji międzynarodowej wyłącznie pod warunkiem, że administrator lub podmiot przetwarzający dane zapewnił odpowiednie gwarancje oraz że osoby, których dane dotyczą, mają do dyspozycji egzekwowalne prawa i skuteczne środki odwoławcze.
2. Odpowiednie gwarancje, o których mowa w ust. 1, mogą, bez konieczności uzyskania specjalnego zezwolenia organu nadzorczego, polegać na:
   1. dokument prawnie wiążący i podlegający egzekucji, sporządzony między organami lub podmiotami publicznymi,
   2. wiążących wewnętrznych przepisów dotyczących ochrony danych zgodnie z art. 47,
   3. Standardowe klauzule o ochronie danych, przyjęte przez Komisję zgodnie z procedurą weryfikacyjną określoną w art. 93 ust. 2,
   4. standardowe klauzule ochrony danych przyjęte przez organ nadzorczy, które zostały zatwierdzone przez Komisję zgodnie z procedurą weryfikacyjną określoną w art. 93 ust. 2,
   5. zatwierdzone zasady postępowania, o których mowa w art. 40, wraz z prawnie wiążącymi i egzekwowalnymi zobowiązaniami administratora lub podmiotu przetwarzającego w państwie trzecim do stosowania odpowiednich gwarancji, w tym w odniesieniu do praw osób, których dane dotyczą, lub
   6. zatwierdzony mechanizm certyfikacji zgodnie z art. 42, wraz z prawnie wiążącymi i egzekwowalnymi zobowiązaniami administratora lub podmiotu przetwarzającego w państwie trzecim do stosowania odpowiednich gwarancji, w tym w odniesieniu do praw osób, których dane dotyczą.
3. Z zastrzeżeniem uzyskania zgody właściwego organu nadzorczego, odpowiednie gwarancje, o których mowa w ust. 1, mogą w szczególności polegać na
   1. klauzule umowne uzgodnione między administratorem lub podmiotem przetwarzającym a administratorem, podmiotem przetwarzającym lub odbiorcą danych osobowych w państwie trzecim lub organizacji międzynarodowej, lub
   2. Postanowienia, które należy uwzględnić w porozumieniach administracyjnych między organami lub podmiotami publicznymi i które zapewniają osobom, których to dotyczy, egzekwowalne i skuteczne prawa.
4. Organ nadzorczy stosuje procedurę spójności, o której mowa w art. 63, w przypadku wystąpienia sytuacji określonej w ust. 3 niniejszego artykułu.
5. Zezwolenia wydane przez państwo członkowskie lub organ nadzorczy na podstawie art. 26 ust. 2 dyrektywy 95/46/WE pozostają ważne do czasu ich ewentualnej zmiany, zastąpienia lub uchylenia przez ten organ nadzorczy. Ustalenia przyjęte przez Komisję na podstawie art. 26 ust. 4 dyrektywy 95/46/WE pozostają w mocy do czasu ich ewentualnej zmiany, zastąpienia lub uchylenia w drodze decyzji Komisji przyjętej zgodnie z ust. 2 niniejszego artykułu.

1. Właściwy organ nadzorczy zatwierdza, zgodnie z procedurą spójności określoną w art. 63, wiążące wewnętrzne przepisy dotyczące ochrony danych, o ile:
   1. są prawnie wiążące, mają zastosowanie do wszystkich zainteresowanych podmiotów należących do grupy przedsiębiorstw lub grupy podmiotów prowadzących wspólną działalność gospodarczą oraz są przez te podmioty egzekwowane, a także mają zastosowanie do ich pracowników,
   2. przyznać osobom, których dane dotyczą, wyraźnie egzekwowalne prawa w zakresie przetwarzania ich danych osobowych oraz
   3. spełniają wymagania określone w ust. 2.
2. Wiążące wewnętrzne przepisy dotyczące ochrony danych, o których mowa w ust. 1, zawierają co najmniej następujące informacje:
   1. Struktura i dane kontaktowe grupy przedsiębiorstw lub grupy podmiotów prowadzących wspólną działalność gospodarczą oraz każdego z jej członków;
   2. odnośne przekazania danych lub serie przekazów danych, w tym rodzaje danych osobowych, których to dotyczy, rodzaj i cel przetwarzania danych, kategorie osób, których to dotyczy, oraz państwo trzecie lub państwa trzecie, których to dotyczy;
   3. wewnętrzna i zewnętrzna moc prawna odnośnych wewnętrznych przepisów dotyczących ochrony danych;
   4. stosowanie ogólnych zasad ochrony danych, w szczególności zasady celowości, minimalizacji danych, ograniczonych okresów przechowywania, jakości danych, ochrony danych poprzez projektowanie oraz domyślnych ustawień sprzyjających ochronie danych, podstawa prawna przetwarzania, przetwarzanie szczególnych kategorii danych osobowych, środki zapewniające bezpieczeństwo danych oraz wymogi dotyczące dalszego przekazywania danych do podmiotów nieobjętych niniejszymi wewnętrznymi przepisami o ochronie danych;
   5. prawa osób, których dane dotyczą, w odniesieniu do przetwarzania oraz dostępne im środki dochodzenia tych praw, w tym prawo do tego, by nie podlegać decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu – w tym profilowaniu – zgodnie z art. 22, a także prawa określonego w art. 79 do wniesienia skargi do właściwego organu nadzorczego lub odwołania się do właściwych sądów państw członkowskich oraz, w przypadku naruszenia wiążących wewnętrznych przepisów dotyczących ochrony danych, do uzyskania zadośćuczynienia oraz, w stosownych przypadkach, do odszkodowania;
   6. odpowiedzialność ponoszona przez administratora lub podmiot przetwarzający dane z siedzibą w państwie członkowskim za ewentualne naruszenia obowiązujących wewnętrznych przepisów dotyczących ochrony danych przez danego członka grupy przedsiębiorstw, który nie ma siedziby w Unii; administrator lub podmiot przetwarzający dane jest częściowo lub całkowicie zwolniony z tej odpowiedzialności tylko wtedy, gdy wykaże, że okoliczności, które doprowadziły do powstania szkody, nie mogą być przypisane danemu członkowi grupy;
   7. sposób, w jaki osoby, których dane dotyczą, są informowane – poza przepisami art. 13 i 14 – o wiążących wewnętrznych przepisach dotyczących ochrony danych, a w szczególności o kwestiach wymienionych w lit. d), e) i f) niniejszego ustępu;
   8. zadania każdego inspektora ochrony danych wyznaczonego zgodnie z art. 37 lub każdej innej osoby lub podmiotu, który zajmuje się monitorowaniem przestrzegania wiążących wewnętrznych przepisów dotyczących ochrony danych w grupie przedsiębiorstw lub grupie podmiotów prowadzących wspólną działalność gospodarczą, a także monitorowaniem działań szkoleniowych i rozpatrywaniem skarg;
   9. postępowania odwoławcze;
   10. procedury stosowane w ramach grupy przedsiębiorstw lub grupy podmiotów prowadzących wspólną działalność gospodarczą, mające na celu weryfikację zgodności z obowiązującymi wewnętrznymi przepisami dotyczącymi ochrony danych. Procedury takie obejmują kontrole w zakresie ochrony danych oraz procedury zapewniające podjęcie środków naprawczych w celu ochrony praw osoby, której dane dotyczą. Wyniki takich kontroli powinny zostać przekazane osobie lub podmiotowi, o których mowa w lit. h), a także zarządowi spółki dominującej w ramach grupy przedsiębiorstw lub grupy przedsiębiorstw prowadzących wspólną działalność gospodarczą oraz, na żądanie, udostępnione właściwemu organowi nadzorczemu;
   11. procedury zgłaszania i rejestrowania zmian w przepisach oraz przekazywania informacji o nich organowi nadzorczemu;
   12. procedury współpracy z organem nadzorczym, które zapewniają przestrzeganie przepisów przez wszystkich członków grupy przedsiębiorstw lub grupy podmiotów prowadzących wspólną działalność gospodarczą, w szczególności poprzez ujawnianie organowi nadzorczemu wyników kontroli środków, o których mowa w lit. j);
   13. procedury zgłaszania mające na celu poinformowanie właściwego organu nadzorczego o wszelkich przepisach prawnych obowiązujących w państwie trzecim w odniesieniu do członka grupy przedsiębiorstw lub grupy przedsiębiorstw prowadzących wspólną działalność gospodarczą, które mogłyby niekorzystnie wpłynąć na gwarancje zapewniane przez wiążące wewnętrzne zasady ochrony danych, oraz
   14. odpowiednie szkolenia z zakresu ochrony danych dla pracowników mających stały lub regularny dostęp do danych osobowych.
3. Komisja może określić format i procedury wymiany informacji dotyczących wiążących wewnętrznych przepisów o ochronie danych w rozumieniu niniejszego artykułu między administratorami, podmiotami przetwarzającymi dane oraz organami nadzorczymi. Te akty wykonawcze przyjmuje się zgodnie z procedurą sprawdzającą, o której mowa w art. 93 ust. 2.

1. Każdy organ nadzorczy zapewnia, aby nakładanie grzywien na mocy niniejszego artykułu za naruszenia niniejszego rozporządzenia, zgodnie z ust. 4, 5 i 6, było w każdym indywidualnym przypadku skuteczne, proporcjonalne i odstraszające.
2. Grzywny nakłada się, w zależności od okoliczności danego przypadku, dodatkowo lub zamiast środków określonych w art. 58 ust. 2 lit. a–h oraz j. Przy podejmowaniu decyzji o nałożeniu grzywny oraz o jej wysokości w każdym indywidualnym przypadku należycie uwzględnia się:
   1. charakter, waga i czas trwania naruszenia, z uwzględnieniem charakteru, zakresu lub celu danego przetwarzania, a także liczby osób, których dotyczy przetwarzanie, oraz skali poniesionej przez nie szkody;
   2. Umyślność lub niedbalstwo przy popełnieniu naruszenia;
   3. wszelkie środki podjęte przez administratora danych lub podmiot przetwarzający dane w celu ograniczenia szkody poniesionej przez osoby, których dane dotyczą;
   4. stopień odpowiedzialności administratora danych lub podmiotu przetwarzającego dane, z uwzględnieniem środków technicznych i organizacyjnych podjętych przez nich zgodnie z art. 25 i 32;
   5. ewentualne wcześniejsze naruszenia przepisów popełnione przez administratora danych lub podmiot przetwarzający dane;
   6. Zakres współpracy z organem nadzorczym w celu usunięcia naruszenia i złagodzenia jego ewentualnych negatywnych skutków;
   7. Kategorie danych osobowych, których dotyczy naruszenie;
   8. sposób, w jaki organ nadzorczy dowiedział się o naruszeniu, w szczególności czy – a jeśli tak, to w jakim zakresie – administrator danych lub podmiot przetwarzający zgłosił to naruszenie;
   9. przestrzeganie środków nakazanych wcześniej na podstawie art. 58 ust. 2 wobec danego administratora lub podmiotu przetwarzającego w tej samej sprawie, o ile takie środki zostały nakazane;
   10. przestrzeganie zatwierdzonych zasad postępowania zgodnie z art. 40 lub zatwierdzonych procedur certyfikacyjnych zgodnie z art. 42 oraz
   11. wszelkie inne okoliczności obciążające lub łagodzące w danym przypadku, takie jak korzyści finansowe uzyskane bezpośrednio lub pośrednio w wyniku naruszenia lub uniknięte straty.
3. Jeżeli administrator lub podmiot przetwarzający, w ramach tych samych lub powiązanych ze sobą operacji przetwarzania, umyślnie lub w wyniku niedbalstwa naruszy kilka przepisów niniejszego rozporządzenia, łączna kwota grzywny nie może przekroczyć kwoty przewidzianej za najpoważniejsze naruszenie.
4. W przypadku naruszenia poniższych przepisów, zgodnie z ust. 2, nakłada się grzywny w wysokości do 10 000 000 EUR lub, w przypadku przedsiębiorstwa, w wysokości do 2 % jego całkowitego rocznego obrotu osiągniętego na całym świecie w poprzednim roku obrotowym, w zależności od tego, która z tych kwot jest wyższa:
   1. obowiązki administratorów i podmiotów przetwarzających dane zgodnie z art. 8, 11, 25–39, 42 i 43;
   2. obowiązki jednostki certyfikującej zgodnie z art. 42 i 43;
   3. obowiązki organu nadzorczego zgodnie z art. 41 ust. 4.
5. W przypadku naruszenia poniższych przepisów, zgodnie z ust. 2, nakłada się grzywny w wysokości do 20 000 000 EUR lub, w przypadku przedsiębiorstwa, do 4 % jego całkowitego rocznego obrotu osiągniętego na całym świecie w poprzednim roku obrotowym, w zależności od tego, która z tych kwot jest wyższa:
   1. zasady przetwarzania danych, w tym warunki udzielania zgody, zgodnie z art. 5, 6, 7 i 9;
   2. prawa osoby, której dane dotyczą, zgodnie z art. 12–22;
   3. przekazywanie danych osobowych do odbiorcy w państwie trzecim lub do organizacji międzynarodowej zgodnie z art. 44–49;
   4. wszystkie obowiązki wynikające z przepisów prawnych państw członkowskich przyjętych w ramach rozdziału IX;
   5. Nieprzestrzeganie polecenia lub tymczasowego lub ostatecznego ograniczenia lub zawieszenia przekazywania danych przez organ nadzorczy zgodnie z art. 58 ust. 2 lub nieudzielenie dostępu z naruszeniem art. 58 ust. 1.
6. W przypadku nieprzestrzegania polecenia organu nadzorczego zgodnie z art. 58 ust. 2, zgodnie z ust. 2 niniejszego artykułu nakłada się grzywny w wysokości do 20 000 000 EUR lub, w przypadku przedsiębiorstwa, do 4 % jego całkowitego rocznego obrotu osiągniętego na całym świecie w poprzednim roku obrotowym, w zależności od tego, która z tych kwot jest wyższa.
7. Bez uszczerbku dla uprawnień organów nadzorczych do podejmowania środków naprawczych zgodnie z art. 58 ust. 2, każde państwo członkowskie może ustanowić przepisy określające, czy i w jakim zakresie można nakładać grzywny na organy i podmioty publiczne mające siedzibę w danym państwie członkowskim.
8. Wykonywanie uprawnień przez organ nadzorczy na podstawie niniejszego artykułu musi podlegać odpowiednim gwarancjom proceduralnym zgodnie z prawem Unii i prawem państw członkowskich, w tym skutecznym środkom odwoławczym i zasadom rzetelnego postępowania.
9. Jeżeli system prawny państwa członkowskiego nie przewiduje kar pieniężnych, niniejszy artykuł można stosować w taki sposób, że postępowanie w sprawie nałożenia kary pieniężnej wszczyna właściwy organ nadzorczy, a karę nakładają właściwe sądy krajowe, przy czym należy zapewnić, aby środki odwoławcze te były skuteczne i miały taki sam skutek jak grzywny nakładane przez organy nadzoru. W każdym przypadku nałożone grzywny muszą być skuteczne, proporcjonalne i odstraszające. Zainteresowane państwa członkowskie przekazują Komisji do dnia 25 maja 2018 r. przepisy prawne, które uchwalą na podstawie niniejszego ustępu, a także niezwłocznie informują o wszelkich późniejszych zmianach tych przepisów.

1. Państwa członkowskie ustanawiają przepisy dotyczące innych sankcji za naruszenia niniejszego rozporządzenia – w szczególności za naruszenia, które nie podlegają grzywnie zgodnie z art. 83 – oraz podejmują wszelkie środki niezbędne do ich stosowania. Sankcje te muszą być skuteczne, proporcjonalne i odstraszające.
2. Każde państwo członkowskie przekazuje Komisji do dnia 25 maja 2018 r. informacje o przepisach prawnych, które uchwali na podstawie ust. 1, a także niezwłocznie informuje o wszelkich późniejszych zmianach tych przepisów.

1. Państwa członkowskie zapewniają w drodze przepisów prawnych zgodność prawa do ochrony danych osobowych zgodnie z niniejszym rozporządzeniem z prawem do wolności wypowiedzi i wolności informacji, w tym z przetwarzaniem danych w celach dziennikarskich oraz w celach naukowych, artystycznych lub literackich.
2. W odniesieniu do przetwarzania danych w celach dziennikarskich, naukowych, artystycznych lub literackich państwa członkowskie przewidują odstępstwa lub wyjątki od rozdziału II (Zasady), rozdziału III (Prawa osoby, której dane dotyczą), rozdziału IV (Administrator i podmiot przetwarzający), rozdziału V (Przekazywanie danych osobowych do państw trzecich lub organizacji międzynarodowych), rozdziału VI (Niezależne organy nadzorcze), rozdziału VII (Współpraca i spójność) oraz rozdziału IX (Przepisy dotyczące szczególnych sytuacji przetwarzania), jeżeli jest to konieczne w celu pogodzenia prawa do ochrony danych osobowych z wolnością wypowiedzi i wolnością informacji.
3. Każde państwo członkowskie powiadamia Komisję o przepisach prawnych, które przyjął na podstawie ust. 2, a także niezwłocznie o wszelkich późniejszych zmianach tych przepisów.

1. Dane osobowe zawarte w dokumentach urzędowych, które znajdują się w posiadaniu organu, instytucji publicznej lub podmiotu prywatnego realizującego zadania leżące w interesie publicznym, mogą zostać ujawnione przez ten organ lub instytucję zgodnie z prawem Unii lub prawem państwa członkowskiego, któremu podlega dany organ lub instytucja, w celu pogodzenia dostępu społeczeństwa do dokumentów urzędowych z prawem do ochrony danych osobowych zgodnie z niniejszym rozporządzeniem.

1. Państwa członkowskie mogą określić, na jakich konkretnych warunkach krajowy numer identyfikacyjny lub inny identyfikator o znaczeniu ogólnym może stanowić przedmiot przetwarzania. W takim przypadku krajowy numer identyfikacyjny lub inny identyfikator o znaczeniu ogólnym może być wykorzystywany wyłącznie z zachowaniem odpowiednich gwarancji dotyczących praw i wolności osoby, której dane dotyczą, zgodnie z niniejszym rozporządzeniem.

1. Państwa członkowskie mogą, w drodze przepisów prawnych lub układów zbiorowych, ustanowić bardziej szczegółowe przepisy mające na celu zapewnienie ochrony praw i wolności w zakresie przetwarzania danych osobowych pracowników w kontekście zatrudnienia, w szczególności do celów rekrutacji, realizacji umowy o pracę – w tym wypełniania obowiązków określonych w przepisach prawnych lub układach zbiorowych – zarządzania, planowania i organizacji pracy, równości i różnorodności w miejscu pracy, bezpieczeństwa i higieny pracy, ochrony mienia pracodawców lub klientów, a także w celu korzystania z indywidualnych lub zbiorowych praw i świadczeń związanych z zatrudnieniem oraz w celu rozwiązania stosunku pracy.
2. Przepisy te obejmują odpowiednie i szczególne środki mające na celu ochronę godności ludzkiej, uzasadnionych interesów oraz praw podstawowych osoby, której dane dotyczą, w szczególności w odniesieniu do przejrzystości przetwarzania, przekazywania danych osobowych w ramach grupy przedsiębiorstw lub grupy podmiotów prowadzących wspólną działalność gospodarczą, oraz systemów nadzoru w miejscu pracy.
3. Każde państwo członkowskie przekazuje Komisji do dnia 25 maja 2018 r. informacje o przepisach prawnych, które uchwali na podstawie ust. 1, a także niezwłocznie informuje o wszelkich późniejszych zmianach tych przepisów.

1. Państwa członkowskie mogą przyznać organom nadzorczym uprawnienia, o których mowa w art. 58 ust. 1 lit. e) i f), w stosunku do administratorów danych lub podmiotów przetwarzających dane, którzy zgodnie z prawem Unii lub prawem państw członkowskich albo na mocy zobowiązania nałożonego przez właściwe organy krajowe podlegają tajemnicy zawodowej lub równoważnemu obowiązkowi zachowania poufności, o ile jest to konieczne i proporcjonalne w celu pogodzenia prawa do ochrony danych osobowych z obowiązkiem zachowania tajemnicy. Przepisy te mają zastosowanie wyłącznie w odniesieniu do danych osobowych, które administrator lub podmiot przetwarzający uzyskał lub zebrał w ramach działalności podlegającej takiemu obowiązkowi zachowania poufności.
2. Każde państwo członkowskie powiadamia Komisję do dnia 25 maja 2018 r. o przepisach, które przyjmuje na podstawie ust. 1, oraz niezwłocznie informuje ją o wszelkich dalszych zmianach tych przepisów.

1. Jeżeli w momencie wejścia w życie niniejszego rozporządzenia kościół, stowarzyszenie lub wspólnota religijna w państwie członkowskim stosuje kompleksowe zasady dotyczące ochrony osób fizycznych w związku z przetwarzaniem danych, zasady te mogą być nadal stosowane, o ile zostaną dostosowane do niniejszego rozporządzenia.
2. Kościoły oraz stowarzyszenia lub wspólnoty religijne, które stosują kompleksowe zasady ochrony danych zgodnie z ust. 1, podlegają nadzorowi niezależnego organu nadzorczego, który może mieć charakter specjalistyczny, o ile spełnia warunki określone w rozdziale VI.

1. Uprawnienie do przyjmowania aktów delegowanych przyznaje się Komisji na warunkach określonych w niniejszym artykule.
2. Uprawnienie do przyjmowania aktów delegowanych zgodnie z art. 12 ust. 8 i art. 43 ust. 8 zostaje przekazane Komisji na czas nieokreślony, począwszy od dnia 24 maja 2016 r.
3. Przekazanie uprawnień zgodnie z art. 12 ust. 8 i art. 43 ust. 8 może zostać w dowolnym momencie odwołane przez Parlament Europejski lub Radę. Decyzja o odwołaniu kończy przekazanie uprawnień określonych w tej decyzji. Wchodzi ona w życie następnego dnia po jej opublikowaniu w Dziennik Urzędowy Unii Europejskiej lub w późniejszym terminie wskazanym w decyzji o uchyleniu. Decyzja o uchyleniu nie ma wpływu na ważność aktów delegowanych, które już weszły w życie.
4. Gdy tylko Komisja przyjmie akt delegowany, przekazuje go jednocześnie Parlamentowi Europejskiemu i Radzie.
5. Akt delegowany przyjęty zgodnie z art. 12 ust. 8 i art. 43 ust. 8 wchodzi w życie tylko wtedy, gdy ani Parlament Europejski, ani Rada nie zgłosiły zastrzeżeń w terminie trzech miesięcy od przekazania tego aktu prawnego Parlamentowi Europejskiemu i Radzie lub gdy przed upływem tego terminu zarówno Parlament Europejski, jak i Rada poinformowały Komisję, że nie zgłoszą zastrzeżeń. Na wniosek Parlamentu Europejskiego lub Rady termin ten przedłuża się o trzy miesiące.

1. Komisję wspiera komitet. Komitet ten jest komitetem w rozumieniu rozporządzenia (UE) nr 182/2011.
2. W przypadku odwołania się do niniejszego ustępu zastosowanie ma art. 5 rozporządzenia (UE) nr 182/2011.
3. W przypadku odwołania się do niniejszego ustępu zastosowanie ma art. 8 rozporządzenia (UE) nr 182/2011 w związku z jego art. 5.

1. Dyrektywa 95/46/WE traci moc ze skutkiem od dnia 25 maja 2018 r.
2. Odniesienia do uchylonej dyrektywy uznaje się za odniesienia do niniejszego rozporządzenia. Odniesienia do Grupy ds. Ochrony Osób w związku z Przetwarzaniem Danych Osobowych, powołanej na mocy art. 29 dyrektywy 95/46/WE, uznaje się za odniesienia do Europejskiego Komitetu Ochrony Danych, utworzonego na mocy niniejszego rozporządzenia.

1. Niniejsze rozporządzenie nie nakłada na osoby fizyczne ani prawne żadnych dodatkowych obowiązków w zakresie przetwarzania danych w związku ze świadczeniem ogólnodostępnych usług łączności elektronicznej w publicznych sieciach łączności w Unii, o ile podlegają one szczególnym obowiązkom określonym w dyrektywie 2002/58/WE, które mają ten sam cel.

1. Międzynarodowe umowy, które wiążą się z przekazywaniem danych osobowych do państw trzecich lub organizacji międzynarodowych, zawarte przez państwa członkowskie przed dniem 24 maja 2016 r. i zgodne z prawem Unii obowiązującym przed tą datą, pozostają w mocy do czasu ich zmiany, zastąpienia lub wypowiedzenia.

1. Do dnia 25 maja 2020 r., a następnie co cztery lata, Komisja przedkłada Parlamentowi Europejskiemu i Radzie sprawozdanie dotyczące oceny i przeglądu niniejszego rozporządzenia. Sprawozdania te są podawane do wiadomości publicznej.
2. W ramach ocen i przeglądów, o których mowa w ust. 1, Komisja bada w szczególności stosowanie i funkcjonowanie
   1. rozdziału V dotyczącego przekazywania danych osobowych do państw trzecich lub organizacji międzynarodowych, w szczególności w odniesieniu do decyzji przyjętych zgodnie z art. 45 ust. 3 niniejszego rozporządzenia oraz ustaleń przyjętych zgodnie z art. 25 ust. 6 dyrektywy 95/46/WE,
   2. rozdziału VII dotyczącego współpracy i spójności.
3. W celu, o którym mowa w ust. 1, Komisja może zwrócić się do państw członkowskich i organów nadzoru o udzielenie informacji.
4. W ramach ocen i przeglądów, o których mowa w ust. 1 i 2, Komisja uwzględnia stanowiska i ustalenia Parlamentu Europejskiego, Rady oraz innych właściwych organów lub źródeł.
5. W razie potrzeby Komisja przedkłada odpowiednie wnioski dotyczące zmiany niniejszego rozporządzenia, uwzględniając w szczególności zmiany w dziedzinie technologii informacyjnych oraz postępy w społeczeństwie informacyjnym.

1. W razie potrzeby Komisja przedkłada wnioski ustawodawcze dotyczące zmiany innych aktów prawnych Unii w zakresie ochrony danych osobowych, aby zapewnić jednolitą i spójną ochronę osób fizycznych w związku z przetwarzaniem danych. Dotyczy to w szczególności przepisów dotyczących ochrony osób fizycznych w związku z przetwarzaniem takich danych przez instytucje, organy, urzędy i agencje Unii oraz swobodnego przepływu takich danych.

1. Niniejsze rozporządzenie wchodzi w życie dwudziestego dnia po jego opublikowaniu w Dziennik Urzędowy Unii Europejskiej weszło w życie.
2. Obowiązuje od 25 maja 2018 r.