# data[].attributes.body
kl. 13 Velkomin
Kl. 13:05 Reynslan af vettvangi metin: Hvernig gekk að vinna að þróunarhring 3. lotu? Spurningum svarað á Padlet.
kl. 13:30 Algengar áskoranir námssamfélaga og teyma.
kl. 14:00 Skráning á námsígrundun.
kl. 14:30 Úrræðabankinn kynntur. Prófun á hollráði fyrir næstu lotu.
Hlé
kl. 14:40 Stafrænt fótspor og auðkenni. Sambönd og samskipti. Dæmi um nálgun í námsefni á SB vefnum.
15:30 Miðlalæsisvikan

# data[].attributes.headline
Hvað hafið þið verið að prófa? Þróunarhringurinn.

# data[].attributes.subject
Hvað hafið þið verið að prófa? Þróunarhringurinn.

# data[].attributes.body
Kársnesskóli: Nemendum finnst almennt fjas um að það sé 13 ára aldurstakmark.
Álfhildur 5. - 7. bekkur. Það sem er einkennandi er að þau gera sér ekki grein fyrir stillingunum private og public.
Lindaskóli: Tveir voru ekki með aðgang að samfélagsmiðlum. Eru þar með leyfi foreldra. Ef það kæmi eitthvað ljótt þá kæmi viðvörun. Hvað eru þau að skoða? Spurning hvort allir eru með leyfi foreldra. Þau virtust vera vör um sig-hvort kennarar ætluðu síðan að tala við foreldrana.
Álfhólsskóli: 5. bekkur. Þemun í efninu virðast vera önnur. Dark lord4 hjá drengjum, Snap chat hjá stelpunum. Þau voru óörugg hvernig þau áttu að. Tölvuleikjasamskiptin meira ríkjandi í 5. bekk. Orðbragð sem þau nota í tölvuleikjaheiminum - þau vilja það ekki í raunheimum.
Salaskóli: 6. bekkur. Þá kom að þetta væri ekki lög og af því að for. leyfa þá væri þetta allt í lagi. 7. bekkur - þau verða félagslega einangruð ef þau eiga ekki snjallsíma. Þar fara fram samskiptin um t.d. "viltu koma út í fótbolta". Lífið breyttist. Spila Minecraft á kvöldin með eftirfylgd foreldra.

# data[].attributes.headline
Hvaða áskorunum stóðuð þið frammi fyrir?

# data[].attributes.subject
Hvaða áskorunum stóðuð þið frammi fyrir?

# data[].attributes.body
Ein kennslustund ekki nóg.
Það skiptir máli hvernig nemendur eru spurðir.

# data[].attributes.body
Álfhildur: Taka fræðslu fyrir foreldra inn í aðra foreldrafræðslu.
Setbergsskóli: Foreldrar boðaðir á fund í 5. bekk og þá er þetta tekið fyrir.
Kópavogsskólarnir: Sama í Kópavogi.
Sig. Haukur: Mikilvægt að kenna að eiga samskipti á miðlum. Samtal milli foreldra mjög mikilvægt.

# data[].attributes.body
kl. 13 Velkomin
kl. 13:05 Reynslan af vettvangi metin af því að nýta þróunahring og skrefin fjögur. Samræða + Padlet veggur.
kl. 13:45 Verkfærin. Myndband, samræða + Padlet veggur.
kl. 14:10 Að skrifa rannsóknardagbók. Deilum góðum ráðum.
kl. 14:20 Kaffi og teygjur.

kl. 14:35 Jafnvægi í stafrænni notkun og vellíðan
Friðhelgi og öryggi
kl. 15:10 Virknikort
kl. 15: 30 Áhættumat kennsluhugbúnaðar.

# data[].attributes.headline
Hvaða verkfæri getum við nýtt til að skrá þróun okkar starfs, í teymi og hvert í sínu lagi?

# data[].attributes.subject
Hvaða verkfæri getum við nýtt til að skrá þróun okkar starfs, í teymi og hvert í sínu lagi?

# data[].attributes.headline
Hvernig nýtist sú skráning nemendum okkar?

# data[].attributes.subject
Hvernig nýtist sú skráning nemendum okkar?

# data[].attributes.headline
Hvaða augum lítum við hlutverk okkar og þeirra í ferlinu?

# data[].attributes.subject
Hvaða augum lítum við hlutverk okkar og þeirra í ferlinu?

# data[].attributes.headline
Að eiga samtal við sjálfan sig með rannsóknardagbók.

# data[].attributes.subject
Að eiga samtal við sjálfan sig með rannsóknardagbók.

# data[].attributes.body
Hvað kemur upp í hugann við að horfa á viðtalið?

Hvað er framandi hér?

Hvernig hefur þú hingað til skráð hjá þér ígrundun þína, beint eða óbeint?

# data[].attributes.attachment_link.title
Menntafléttan. Viðtal við Unni Gísladóttur, framhaldsskólakennara í Borgarholtsskóla (með texta)

# data[].attributes.headline
Nemendur eru með mér í liði við að rýna í starf mitt

# data[].attributes.subject
Nemendur eru með mér í liði við að rýna í starf mitt

# data[].attributes.body
Hvað kemur upp í hugann við að horfa á viðtalið?

Hvað er framandi hér?

Hvernig hefur þú hingað til skráð hjá þér ígrundun þína, beint eða óbeint?

# data[].attributes.attachment_link.title
Menntafléttan. Viðtal við Ívar Rafn Jónsson, doktorsnema og framhaldsskólakennara (með texta)

# data[].attributes.headline
Starfstengd sjálfsrýni og skráning sem leið til að koma auga á tækifæri til náms, leiks og þroska hvers barns.

# data[].attributes.subject
Starfstengd sjálfsrýni og skráning sem leið til að koma auga á tækifæri til náms, leiks og þroska hvers barns.

# data[].attributes.body
Hvað kemur upp í hugann við að horfa á viðtalið?

Hvað er framandi hér?

Hvernig hefur þú hingað til skráð hjá þér ígrundun þína, beint eða óbeint?

# data[].attributes.attachment_link.title
Menntafléttan. Viðtal við Eddu Lydíu Þorsteinsdóttur, leikskólakennara á Rauðhól (með texta)

# data[].attributes.headline
Kjarni þess að halda dagbók um eigið starf er:

# data[].attributes.subject
Kjarni þess að halda dagbók um eigið starf er:

# data[].attributes.body
Upprifjun og nám: Hvað fór fram í lotunni og í skólanum, á vinnustaðnum í kjölfarið?

Ígrundun: Hvaða máli skipti það, hvað er mikilvægt eða lærdómsríkt?

Samantekt: Dragðu saman, tengdu við eigin þekkingu og reynslu og leggðu drög að næstu skrefum.

# data[].attributes.body
Deilið endilega góðum ráðum hér í námssamfélagi okkar.

# data[].attributes.body
Vefur með grunn áhættugreiningum sem skólar/sveitarfélög geta nýtt við áhættumat.
Vefurinn er afrakstur samstarfs fjögurra sveitarfélaga (Kópavogur, Garðabær, Hafnafjörður og Reykjavík og Sambands íslenskra sveitarfélaga.

# data[].attributes.attachment_link.readable_text
Lagasafn. Íslensk lög 13. apríl 2021. Útgáfa 151b. Prenta í tveimur dálkum.

Lög um grunnskóla
2008 nr. 91 12. júní
Tóku gildi 1. júlí 2008. Breytt með: L. 34/2009 (tóku gildi 8. apríl 2009). L. 35/2009 (tóku gildi 8. apríl 2009). L. 38/2009 (tóku gildi 8. apríl 2009). L. 91/2011 (tóku gildi 1. júlí 2011). L. 126/2011 (tóku gildi 30. sept. 2011). L. 180/2011 (tóku gildi 30. des. 2011). L. 56/2014 (tóku gildi 4. júní 2014). L. 72/2015 (tóku gildi 21. júlí 2015). L. 91/2015 (tóku gildi 5. ágúst 2015 nema 1. og 4.-7. gr. sem tóku gildi 1. júlí 2015). L. 115/2015 (tóku gildi 16. des. 2015). L. 76/2016 (tóku gildi 29. júní 2016; komu til framkvæmda skv. fyrirmælum í 11. gr.). L. 78/2016 (tóku gildi 1. júlí 2016). L. 90/2018 (tóku gildi 15. júlí 2018; EES-samningurinn: XI. viðauki reglugerð 2016/679). L. 50/2019 (tóku gildi 26. júní 2019). L. 71/2019 (tóku gildi 5. júlí 2019). L. 153/2020 (tóku gildi 6. jan. 2021).

Ef í lögum þessum er getið um ráðherra eða ráðuneyti án þess að málefnasvið sé tilgreint sérstaklega eða til þess vísað, er átt við mennta- og menningarmálaráðherra eða mennta- og menningarmálaráðuneyti sem fer með lög þessi. Upplýsingar um málefnasvið ráðuneyta skv. forsetaúrskurði er að finna hér.
I. kafli. Gildissvið, hlutverk grunnskóla og skólaskylda.

Lög þessi taka til grunnskóla á vegum sveitarfélaga, til sjálfstætt rekinna grunnskóla ... ¹⁾ og til viðurkennds náms á grunnskólastigi. Skólar sem bjóða nám á grunnskólastigi nefnast grunnskólar.

Hlutverk grunnskóla, í samvinnu við heimilin, er að stuðla að alhliða þroska allra nemenda og þátttöku þeirra í lýðræðisþjóðfélagi sem er í sífelldri þróun. Starfshættir grunnskóla skulu mótast af umburðarlyndi og kærleika, kristinni arfleifð íslenskrar menningar, jafnrétti, lýðræðislegu samstarfi, ábyrgð, umhyggju, sáttfýsi og virðingu fyrir manngildi. Þá skal grunnskóli leitast við að haga störfum sínum í sem fyllstu samræmi við stöðu og þarfir nemenda og stuðla að alhliða þroska, velferð og menntun hvers og eins.

Grunnskóli skal stuðla að víðsýni hjá nemendum og efla færni þeirra í íslensku máli, skilning þeirra á íslensku samfélagi, sögu þess og sérkennum, högum fólks og á skyldum einstaklingsins við samfélagið, umhverfið og umheiminn. Nemendum skal veitt tækifæri til að nýta sköpunarkraft sinn og að afla sér þekkingar og leikni í stöðugri viðleitni til menntunar og þroska. Skólastarfið skal leggja grundvöll að frumkvæði og sjálfstæðri hugsun nemenda og þjálfa hæfni þeirra til samstarfs við aðra.

Grunnskóli skal stuðla að góðu samstarfi heimilis og skóla með það að markmiði að tryggja farsælt skólastarf, almenna velferð og öryggi nemenda.

Skólaskylda á grunnskólastigi er að jafnaði í tíu ár, en getur verið skemmri, sbr. 32. gr. Öllum börnum, að jafnaði á aldrinum 6-16 ára, er skylt að sækja grunnskóla.

Foreldrar gæta hagsmuna barna sinna á skólaskyldualdri. Foreldrar samkvæmt lögum þessum teljast þeir sem fara með forsjá barns í skilningi barnalaga.

[Ráðherra] ¹⁾ fer með yfirstjórn þeirra málefna sem lög þessi taka til, setur grunnskólum aðalnámskrá, leggur grunnskólum til námsgögn, hefur eftirlit með gæðum skólastarfs, annast öflun, greiningu og miðlun upplýsinga, styður þróunarstarf í skólum og hefur úrskurðarvald í ágreiningsmálum eftir því sem lög þessi kveða á um. [Ráðuneyti] ¹⁾ hefur eftirlit með því að sveitarfélög uppfylli þær skyldur sem lög þessi, reglugerðir og reglur settar samkvæmt þeim og aðalnámskrá grunnskóla kveða á um. Ráðherra skal á þriggja ára fresti leggja fram á Alþingi skýrslu um framkvæmd skólastarfs í grunnskólum landsins sem byggist m.a. á skýrslum sveitarfélaga um skólahald skv. 37. gr.

Rekstur almennra grunnskóla er á ábyrgð og kostnað sveitarfélaga. Sveitarfélög bera ábyrgð á heildarskipan skólahalds í grunnskólum sveitarfélagsins, þróun einstakra skóla, húsnæði og búnaði grunnskóla, sérúrræðum grunnskóla, [skólaþjónustu], ¹⁾ mati og eftirliti, öflun og miðlun upplýsinga og á framkvæmd grunnskólastarfs í sveitarfélaginu. Sveitarfélög setja almenna stefnu um grunnskólahald í sveitarfélaginu og kynna fyrir íbúum þess. Sveitarstjórn skal koma á samstarfi leikskóla og grunnskóla annars vegar og grunnskóla og framhaldsskóla hins vegar.

Sveitarfélög bera ábyrgð á samstarfi skóla við aðila utan hans.

Sveitarfélögum er skylt að sjá til þess að skólaskyld börn skv. 3. gr., sem eiga lögheimili í sveitarfélaginu, og börn sem hefur verið ráðstafað í fóstur til fósturforeldra, sem eiga lögheimili í sveitarfélaginu, njóti skólavistar eftir því sem nánar segir í lögum þessum. [Áður en barni er ráðstafað í fóstur skal barnaverndarnefnd kanna aðstæður í samráði við skólayfirvöld á viðkomandi stað og leggja mat á möguleika viðkomandi grunnskóla til að koma til móts við þarfir barnsins.] ²⁾

Liggi ekki fyrir ákvörðun stjórnvalds um lögheimili barns kveður sveitarstjórn á um skólaskyldu þess, enda búi barnið í sveitarfélaginu og leitað hafi verið eftir innritun þess í skóla, sbr. 19. gr. Synjun sveitarstjórnar er kæranleg eftir fyrirmælum 47. gr. Í úrskurði getur [ráðuneytið] ³⁾ lagt fyrir sveitarfélag að tryggja barni skólavist innan sveitarfélagsins.

Sveitarstjórn í sveitarfélagi þar sem barn á lögheimili getur samið við annað sveitarfélag um að veita barninu skólavist þannig að viðtökusveitarfélag hafi sömu skyldur gagnvart skólavist þess og ætti það lögheimili þar.

[Ráðherra setur reglugerð ⁴⁾ um framkvæmd þessarar greinar í samráði við Samband íslenskra sveitarfélaga, Barnaverndarstofu og önnur stjórnvöld þar sem m.a. skal kveðið á um skólagöngu fósturbarna, bæði fagleg og fjárhagsleg málefni og samstarf aðila. Úrskurðarnefnd skipuð fulltrúum frá ráðuneyti, Sambandi íslenskra sveitarfélaga og Barnaverndarstofu sker úr um ágreiningsmál.] ²⁾

Í hverju sveitarfélagi skal í umboði sveitarstjórnar vera skólanefnd sem fer með málefni grunnskóla eftir því sem lög og reglugerðir ákveða og sveitarstjórn eða sveitarstjórnir kunna að fela henni.

Meginhlutverk skólanefndar er sem hér segir:
a. að sjá til þess að öll skólaskyld börn sem rétt eiga á skólavist í sveitarfélaginu njóti lögboðinnar fræðslu,
b. að staðfesta starfsáætlun skóla ár hvert og skólanámskrá einstakra skóla,
c. að fylgjast með framkvæmd náms og kennslu í sveitarfélaginu og gerð skólanámskrár og gera tillögur til skólastjóra og/eða sveitarstjórnar um umbætur í skólastarfi,
d. að fylgjast með og stuðla að því að nemendum og skólum sé tryggður aðgangur að [skólaþjónustu], ¹⁾
e. að sjá til þess að jafnan sé fyrir hendi viðeigandi húsnæði fyrir kennslu og annar aðbúnaður, þ.m.t. útivistar- og leiksvæði nemenda,
f. að hafa eftirlit með að ákvæði laga og reglugerða séu uppfyllt og gera tillögur til sveitarstjórnar um úrbætur,
g. að stuðla að tengslum og samstarfi leikskóla og grunnskóla annars vegar og grunnskóla og framhaldsskóla hins vegar.

Skólanefnd skal kosin af hlutaðeigandi sveitarstjórn í upphafi hvers kjörtímabils. Um kosningu í skólanefnd og starfshætti fer samkvæmt sveitarstjórnarlögum og samþykktum viðkomandi sveitarfélags. Varamenn í skólanefndum skulu vera jafnmargir aðalmönnum og kosnir á sama hátt.

Skólastjórar, grunnskólakennarar og foreldrar í sveitarfélagi kjósa hver úr sínum hópi aðal- og varamann til setu á skólanefndarfundum með málfrelsi og tillögurétt.

Við grunnskóla skal vera skólastjóri sem er forstöðumaður grunnskóla, stjórnar honum, veitir faglega forustu og ber ábyrgð á starfi skólans gagnvart sveitarstjórn. Skólastjóri stuðlar að samstarfi allra aðila skólasamfélagsins. Skólastjóri boðar til kennarafunda svo oft sem þurfa þykir á starfstíma grunnskóla. Kennarafundi skulu sækja kennarar og aðrir sérfræðingar skólans. Skólastjóri boðar til starfsmannafunda svo oft sem þurfa þykir.

Skólastjóri gerir tillögur til sveitarstjórnar um fyrirkomulag stjórnunar í grunnskóla með tilliti til þarfa viðkomandi skóla. Skólastjóri ákveður verksvið annarra stjórnenda skólans og skal einn þeirra vera staðgengill skólastjóra.

Hafi grunnskóli færri en 60 nemendur, og ef ekki er annar stjórnandi, ákveður skólastjóri í upphafi skólaárs hver af föstum kennurum skólans skuli annast skólastjórn í forföllum hans.

Við grunnskóla skal starfa skólaráð sem er samráðsvettvangur skólastjóra og skólasamfélags um skólahald. Skólaráð tekur þátt í stefnumörkun fyrir skólann og mótun sérkenna hans. Skólaráð fjallar um skólanámskrá skólans, árlega starfsáætlun, rekstraráætlun og aðrar áætlanir um skólastarfið. Skólaráð skal fá til umsagnar áætlanir um fyrirhugaðar meiri háttar breytingar á skólahaldi og starfsemi skóla áður en endanleg ákvörðun um þær er tekin. Skólaráð fylgist almennt með öryggi, aðbúnaði og almennri velferð nemenda. Skólanefnd, sbr. 6. gr., getur með samþykki sveitarstjórnar falið skólaráðum einstakra skóla ákveðin verkefni þessu til viðbótar.

[Skólaráð skal skipað níu einstaklingum til tveggja ára í senn, tveimur fulltrúum kennara ásamt einum fulltrúa annars starfsfólks í viðkomandi skóla, tveimur fulltrúum nemenda og tveimur fulltrúum foreldra auk skólastjóra sem stýrir starfi skólaráðs og ber ábyrgð á stofnun þess. Skólaráð velur að auki einn fulltrúa grenndarsamfélags til að sitja í ráðinu eða viðbótarfulltrúa úr hópi foreldra. Auk þess skal skólastjóri boða til sameiginlegs fundar skólaráðs og stjórnar nemendafélags að lágmarki einu sinni á ári. Heimilt er, með rökstuddri greinargerð, að sækja tímabundið um undanþágu frá ákvæði þessarar málsgreinar til ráðuneytis. Ráðherra er heimilt að fela Menntamálastofnun að annast undanþágur samkvæmt þessari grein. Í greinargerð þarf að koma fram með hvaða hætti verkefnum skólaráðs verður sinnt. Gildar ástæður þurfa að vera fyrir veitingu undanþágu, svo sem fámenni eða sérstaða.] ¹⁾

Ráðherra setur reglugerð ²⁾ um starfsemi skólaráða í samráði við samtök sveitarfélaga, kennara og foreldra.

Við grunnskóla skal starfa foreldrafélag. Skólastjóri er ábyrgur fyrir stofnun þess og sér til þess að félagið fái aðstoð eftir þörfum. Hlutverk foreldrafélags er að styðja skólastarfið, stuðla að velferð nemenda og efla tengsl heimila og skóla.

Foreldrafélag hvers skóla setur sér starfsreglur, m.a. um kosningu í stjórn félagsins og kosningu fulltrúa í skólaráð.

Við grunnskóla skal starfa nemendafélag og er skólastjóri ábyrgur fyrir stofnun þess. Nemendafélag vinnur m.a. að félags-, hagsmuna- og velferðarmálum nemenda og skal skólastjóri sjá til þess að félagið fái aðstoð eftir þörfum.

Nemendafélag hvers skóla setur sér starfsreglur, m.a. um kosningu í stjórn félagsins og kosningu fulltrúa í skólaráð skv. 2. mgr. 8. gr.

Um ráðningu skólastjóra og starfsfólks grunnskóla fer eftir ákvæðum sveitarstjórnarlaga og nánari fyrirmælum í samþykkt um stjórn sveitarfélags eftir því sem við á.

[Um skilyrði þess að hljóta ráðningu sem skólastjóri, kennari eða náms- og starfsráðgjafi í grunnskóla fer samkvæmt gildandi lögum þar um.] ¹⁾

Óheimilt er að ráða einstakling til starfa við grunnskóla sem hlotið hefur refsidóm fyrir brot á ákvæðum XXII. kafla almennra hegningarlaga. Við ráðningu skal liggja fyrir sakavottorð eða heimild skólastjóra til að afla upplýsinga úr sakaskrá.

Starfsfólk grunnskóla skal rækja starf sitt af fagmennsku, alúð og samviskusemi. Það skal gæta kurteisi, nærgætni og lipurðar í framkomu sinni gagnvart börnum, foreldrum þeirra og samstarfsfólki.

[Á starfsfólki grunnskóla hvílir þagnarskylda skv. X. kafla stjórnsýslulaga.] ¹⁾ Þagnarskylda starfsfólks grunnskóla nær ekki til atvika sem ber að tilkynna um lögum samkvæmt. Skal skólastjóri brýna skyldur þessar fyrir starfsfólki og sérstaklega tilkynningarskyldu samkvæmt barnaverndarlögum.

Að frumkvæði skólastjóra mótar hver skóli áætlun til ákveðins tíma um hvernig símenntun starfsfólks hans skuli hagað svo að hún sé í sem bestu samræmi við áherslur skólans, sveitarfélagsins og aðalnámskrár.

Kennarar og skólastjórar grunnskóla skulu eiga kost á reglulegri símenntun í þeim tilgangi að efla starfshæfni sína. Þeir skulu einnig eiga kost á námsleyfum.

Grunnskóli er vinnustaður nemenda. Allir nemendur grunnskóla eiga rétt á kennslu við sitt hæfi í hvetjandi námsumhverfi í viðeigandi húsnæði sem tekur mið af þörfum þeirra og almennri vellíðan. Grunnskóli skal í hvívetna haga störfum sínum þannig að nemendur finni til öryggis og njóti hæfileika sinna. Nemendur eiga rétt á því að njóta bernsku sinnar í öllu starfi á vegum skólans. Þess skal gætt að vinnuálag í skóla sé hæfilegt þannig að nemendur fái nægjanlega hvíld frá skipulögðu starfi innan hvers skóladags og skólaárs, svo sem með samfelldu jóla- og páskaleyfi. Nemendur eiga rétt á því að koma sjónarmiðum sínum á framfæri varðandi námsumhverfi, námstilhögun, fyrirkomulag skólastarfs og aðrar ákvarðanir sem snerta þá. Taka skal tillit til sjónarmiða þeirra eins og unnt er.

Hver nemandi skal hafa umsjónarkennara. Umsjónarkennari fylgist náið með námi nemenda sinna og þroska, líðan og almennri velferð, leiðbeinir þeim í námi og starfi, aðstoðar og ráðleggur þeim um persónuleg mál og stuðlar að því að efla samstarf skóla og heimila.

[Nemendur eiga rétt á að njóta náms- og starfsráðgjafar í grunnskóla af aðilum sem uppfylla skilyrði laga um náms- og starfsráðgjafa.] ¹⁾

Nemendur bera ábyrgð á eigin námi og á framkomu sinni og samskiptum með hliðsjón af aldri og þroska.

Nemendum ber að hlíta fyrirmælum kennara og starfsfólks grunnskóla í öllu því sem skólann varðar, fara eftir skólareglum og fylgja almennum umgengnisreglum í samskiptum við starfsfólk og skólasystkin.

Ef hegðun nemanda reynist verulega áfátt ber kennara hans að leita orsaka þess og reyna að ráða á því bót, m.a. með viðtölum við nemandann sjálfan og foreldra hans. Verði samt ekki breyting á til batnaðar skal kennari leita aðstoðar skólastjóra og sérfróðra ráðgjafa skólans sem leita leiða til úrbóta, eftir atvikum að teknu tilliti til hlutverks barnaverndaryfirvalda.

Meðan mál skv. 3. mgr. er óútkljáð getur skólastjóri vísað nemanda úr skóla um stundarsakir eða ótímabundið, enda tilkynni hann foreldrum nemanda og skólanefnd tafarlaust þá ákvörðun. Um slíka ákvörðun gilda ákvæði stjórnsýslulaga. Skólanefnd er skylt innan hæfilegs tíma að tryggja nemanda, sem vikið hefur verið úr skóla, viðeigandi kennsluúrræði.

Ákvörðun skv. 4. mgr. er kæranleg eftir fyrirmælum 47. gr. Hafi sveitarfélag ekki séð nemanda fyrir kennslu getur ráðuneytið í úrskurði sínum lagt fyrir sveitarfélag að tryggja nemanda nánar tiltekin kennsluúrræði innan tilskilins tíma.

Ráðherra mælir nánar fyrir um framkvæmd þessarar greinar í reglugerð. ¹⁾

Nemendum er skylt að sækja grunnskóla, sbr. 3. gr. Skólaskyldu er unnt að fullnægja í grunnskólum á vegum sveitarfélaga, í sjálfstætt reknum grunnskólum eða með öðrum viðurkenndum hætti samkvæmt lögum þessum.

Skólaskylda barns hefst að jafnaði við upphaf skólaárs á því almanaksári sem barnið verður sex ára. Foreldrar barns geta sótt um eða samþykkt að það hefji skólagöngu fyrr eða síðar. Skólastjóri getur veitt slíka heimild að fenginni umsögn [skólaþjónustu]. ¹⁾

Skólastjóra er heimilt að veita nemanda undanþágu frá skyldunámi í tiltekinni námsgrein ef gild rök mæla með því. Enn fremur er skólastjóra heimilt að viðurkenna nám utan grunnskóla sem jafngildi grunnskólanáms.

Sæki foreldrar skólaskylds barns um tímabundna undanþágu þess frá skólasókn í einstökum námsgreinum eða að öllu leyti er skólastjóra heimilt að veita slíka undanþágu telji hann til þess gildar ástæður. Foreldrar skulu þá sjá til þess að nemandinn vinni upp það sem hann kann að missa úr námi meðan á undanþágu stendur.

Um ákvörðun um veitingu undanþágu eða synjun hennar, sbr. 3. og 4. mgr., gilda ákvæði stjórnsýslulaga. Slík ákvörðun er kæranleg eftir fyrirmælum 47. gr. Í úrskurði getur ráðherra mælt fyrir um að undanþága verði veitt í heild eða að hluta, jafnvel þó að af hálfu sveitarfélags hafi ekki verið fallist á slíka beiðni.

Setja skal viðmiðanir um undanþágur samkvæmt þessari grein í aðalnámskrá grunnskóla.

16. gr. Móttökuáætlun og nemendur með annað móðurmál en íslensku.

Kennsla í grunnskólum skal fara fram á íslensku. Heimilt er að nám fari fram á öðrum tungumálum en íslensku þegar það leiðir af eðli máls eða aðalnámskrá.

Grunnskólar taka á móti nemendum sem eru að hefja skólagöngu, eru að skipta um skóla eða hefja nám sitt hér á landi samkvæmt móttökuáætlun skóla eða sveitarfélags. Foreldrum skulu á þeim tímamótum veittar upplýsingar um skólagöngu barnsins og skólastarfið almennt og foreldrum með annað móðurmál en íslensku og heyrnarlausum foreldrum greint frá rétti þeirra til túlkaþjónustu.

Móttökuáætlun vegna nemenda með annað móðurmál en íslensku skal taka mið af bakgrunni þeirra, tungumálafærni og færni á öðrum námssviðum. Tryggja skal að þessir nemendur og foreldrar þeirra fái ráðgjöf og aðgang að upplýsingum um grunnskólastarf.

Nemendur með annað móðurmál en íslensku eiga rétt á kennslu í íslensku sem öðru tungumáli. Með kennslunni er stefnt að virku tvítyngi þessara nemenda og að þeir geti stundað nám í grunnskólum og tekið virkan þátt í íslensku samfélagi. Grunnskólum er heimilt að viðurkenna kunnáttu í móðurmáli nemenda með annað móðurmál en íslensku sem hluta af skyldunámi er komi í stað skyldunáms í erlendu tungumáli.

Nemendur eiga rétt á að komið sé til móts við námsþarfir þeirra í almennum grunnskóla án aðgreiningar, án tillits til líkamlegs eða andlegs atgervis.

Nemendur sem eiga erfitt með nám sökum sértækra námsörðugleika, tilfinningalegra eða félagslegra örðugleika og/eða fötlunar, sbr. 2. gr. laga um málefni [fatlaðs fólks], ¹⁾ nemendur með leshömlun, langveikir nemendur og aðrir nemendur með heilsutengdar sérþarfir eiga rétt á sérstökum stuðningi í námi í samræmi við metnar sérþarfir.

Nemendur sem að mati læknis geta ekki sótt skóla vegna slyss eða langvarandi veikinda eiga rétt til sjúkrakennslu annaðhvort á heimili sínu eða á sjúkrastofnun. Sjúkrakennsla er á ábyrgð viðkomandi sveitarfélags.

Telji foreldrar barns, skólastjórar, kennarar eða aðrir sérfræðingar að það fái ekki notið kennslu við sitt hæfi í almennum grunnskóla geta foreldrar sótt um skólavist fyrir barnið í sérúrræði innan grunnskóla eða í sérskóla.

Verði ágreiningur um fyrirkomulag skólavistar barns skal við úrlausn hans gæta ákvæða stjórnsýslulaga. Skal ákvörðun tekin með hliðsjón af áliti sérfræðinga og með heildarhagsmuni barnsins að leiðarljósi. Ákvörðun er kæranleg samkvæmt fyrirmælum 47. gr.

Ráðherra setur í reglugerð ²⁾ nánari ákvæði um framkvæmd þessarar greinar og málsmeðferð. Þegar ráðuneytið kveður upp úrskurð í málum sem því berast á grundvelli þessarar greinar er því heimilt að mæla nánar fyrir um fyrirkomulag skólavistar nemanda og skyldur sveitarfélags í því efni.

[17. gr. a. Stuðningur við nemendur sem eiga langveikt eða deyjandi foreldri.

Grunnskólabörnum, sem eiga langveikt eða deyjandi foreldri eða missa foreldri, skal tryggður viðeigandi stuðningur og ráðgjöf innan grunnskólans í samvinnu við heilbrigðisstofnun þar sem foreldrið er til meðferðar eða þá heilsugæslu sem hefur móttekið tilkynningu um andlát foreldris, félagsmálanefnd í því sveitarfélagi þar sem barn á lögheimili og foreldra eða aðra þá sem annast barnið. Gefa skal barni kost á að tjá sig í samræmi við aldur þess og þroska og taka skal réttmætt tillit til skoðana þess.

Söfnun og meðferð upplýsinga samkvæmt ákvæði þessu skal vera í samræmi við ákvæði laga um persónuvernd og vinnslu persónuupplýsinga.

Ráðherra kveður nánar á um framkvæmd þessa í reglugerð.] ¹⁾

18. gr. Foreldrar og meðferð upplýsinga.

Foreldrar skulu gæta hagsmuna barna sinna á skólaskyldualdri. Foreldrar eiga rétt á að velja grunnskóla innan sveitarfélags fyrir börn sín samkvæmt reglum sveitarfélagsins. Jafnframt skulu þeir eiga rétt á upplýsingum um skólastarfið og skólagöngu barna sinna.

Foreldrum er skylt að veita grunnskóla upplýsingar um barn sitt sem nauðsynlegar eru fyrir skólastarfið og velferð barnsins. Um persónuupplýsingar sem þannig er aflað eða fylgt hafa barni úr leikskóla er krafist fullrar þagnarskyldu og málsmeðferðar í samræmi við gildandi lög um persónuvernd og [vinnslu] ¹⁾ persónuupplýsinga. Foreldrum skal gerð grein fyrir þessum upplýsingum. Meðferð upplýsinga skal vera á hendi skólastjóra eða annarra sérfræðinga á vegum sveitarfélagsins samkvæmt nánari ákvörðun þess. Ráðherra setur reglugerð ²⁾ um meðferð, eyðingu og miðlun upplýsinga og um rétt foreldra til aðgangs að upplýsingum um börn sín. [Um rétt foreldris sem ekki fer með forsjá barns til upplýsinga um barn sitt samkvæmt þessum lögum fer samkvæmt fyrirmælum 52. gr. barnalaga, nr. 76/2003.] ³⁾

Foreldrar skulu hafa samráð við skólann um skólagöngu barna sinna, fylgjast með og styðja við skólagöngu þeirra og námsframvindu og stuðla að því að börnin mæti úthvíld í skólann og fylgi skólareglum. Þeir skulu fá tækifæri til að taka þátt í námi barnsins, svo og í skólastarfinu almennt.

Eigi í hlut foreldrar sem ekki tala íslensku eða nota táknmál skal skóli leitast við að tryggja túlkun á upplýsingum sem nauðsynlegar eru vegna samskipta foreldra og skóla samkvæmt þessari grein.

Foreldrar bera ábyrgð á námi barna sinna og ber þeim að fylgjast með námsframvindu þeirra í samvinnu við þau og kennara þeirra. Foreldrar skólaskylds barns bera ábyrgð á að það innritist í skóla þegar það kemst á skólaskyldualdur og sæki skóla. Verði misbrestur á skólasókn skólaskylds barns, án þess að veikindi eða aðrar gildar ástæður hamli, skal skólastjóri leita lausna og taka ákvörðun um úrbætur. Jafnframt skal hann tilkynna barnaverndaryfirvöldum um málið. Skólastjóri skal fara að ákvæðum stjórnsýslulaga við meðferð málsins. Ákvörðun er kæranleg eftir fyrirmælum 47. gr.

Í úrskurði getur [ráðuneyti] ¹⁾ lagt fyrir sveitarfélag að tryggja nemanda tiltekin kennsluúrræði, þ.m.t. að veita honum aðgang að tilteknum skóla innan sveitarfélagsins.

VI. kafli. Skólahúsnæði og aðstaða í grunnskólum.

Gerð skólamannvirkja er undirbúin af sveitarstjórn í samráði við skólanefnd og skólaráð. Stofnkostnaður grunnskóla á vegum sveitarfélaga greiðist af viðkomandi sveitarfélagi. Sveitarfélög annast einnig og kosta viðhald skólahúsnæðis og endurnýjun og viðhald búnaðar þess. Gert skal sérstaklega ráð fyrir rými fyrir [skólaþjónustu] ²⁾ við börn með sérþarfir og vinnuaðstöðu starfsfólks.

[Í öllum grunnskólum skal gera ráð fyrir skólasafni eða tryggja með öðrum hætti aðgang nemenda að þjónustu slíks safns sem skal vera upplýsingamiðstöð fyrir nemendur og kennara. Það skal búið bókum og nýsigögnum auk annars safnkosts sem tengist námsgreinum og námssviðum aðalnámskrár grunnskóla.] ¹⁾

Grunnskólahúsnæði og skólalóðir skulu uppfylla þær kröfur sem gerðar eru í lögum þessum, lögum um vinnuvernd og aðalnámskrá grunnskóla. Húsnæði og allur aðbúnaður skal taka mið af því að tryggja öryggi og vellíðan nemenda og starfsfólks, svo sem hvað varðar hentugan húsbúnað, hljóðvist, lýsingu og loftræstingu.

Við hönnun, byggingu og endurnýjun skólahúsnæðis skulu sveitarfélög hafa samráð við hagsmunaaðila skólasamfélagsins og aðila í grenndarsamfélagi.

Ráðherra setur reglugerð ³⁾ um húsnæði og búnað grunnskóla í samráði við Samband íslenskra sveitarfélaga þar sem nánar skal kveðið á um aðstöðu, búnað, slysavarnir og öryggismál í grunnskólahúsnæði og á skólalóðum.

Skólastjóri skal sjá um daglega umsjón skólamannvirkja samkvæmt nánari ákvörðun sveitarstjórnar.

Sveitarstjórn getur í samráði við skólastjóra ráðstafað skólahúsnæði öllu eða hluta þess til annarrar starfsemi svo fremi sem það raskar ekki lögbundinni notkun húsnæðisins.

Sveitarfélög bera ábyrgð á skipulagi skólaaksturs þar sem hann á við og standa straum af kostnaðinum. Ráðherra setur nánari reglur ¹⁾ um tilhögun skólaaksturs í samráði við Samband íslenskra sveitarfélaga. Skólaakstur skal vera nemendum að kostnaðarlausu.

Í grunnskóla skulu nemendur eiga kost á málsverði á skólatíma í samræmi við opinber manneldismarkmið. Sveitarfélögum er heimilt að taka gjald fyrir skólamáltíðir samkvæmt sérstakri gjaldskrá sem þau setja.

Gjaldskrárákvarðanir samkvæmt þessari grein eru kæranlegar eftir fyrirmælum 47. gr.

VII. kafli. Inntak náms, námsskipan, námsframboð, námsmat og starfstími.

Ráðherra setur grunnskólum aðalnámskrá ¹⁾ sem er endurskoðuð reglulega. Í henni er m.a. kveðið nánar á um uppeldishlutverk grunnskólans og meginstefnu í kennslu og kennsluskipan í samræmi við hlutverk grunnskólans, sbr. 2. gr. Í aðalnámskrá skal m.a. leggja áherslu á:
a. sjálfsvitund, siðgæðisvitund, félagsvitund og vitund nemenda um borgaralega ábyrgð og skyldur,
b. líkamlega og andlega velferð, heilbrigða lífshætti og ábyrga umgengni við líf og umhverfi,
c. þjálfun í íslensku í öllu námi,
d. leikræna og listræna tjáningu,
e. hæfni nemenda til að skilja orsakasamhengi og draga rökréttar ályktanir,
f. skilning og frjótt og skapandi starf, nýsköpun og frumkvöðlanám,
g. jafnvægi milli bóklegs og verklegs náms,
h. leik barna sem náms- og þroskaleið,
i. nám sem nýtist nemendum í daglegu lífi og við frekara nám og starf,
j. [undirbúning nemenda undir virka þátttöku í samfélaginu, fjölskyldulífi og atvinnulífi, óháð kyni], ²⁾
k. margvíslegar leiðir við öflun þekkingar með notkun tæknimiðla, upplýsingatækni og safna- og heimildavinnu,
l. náms- og starfsfræðslu og kynningu á atvinnulífi og námsleiðum til undirbúnings náms- og starfsvali.

Í aðalnámskrá og við skipulagningu náms og kennslu og við gerð og val námsgagna skal þess sérstaklega gætt að allir nemendur fái jöfn tækifæri til náms og eigi þess kost að velja sér viðfangsefni og nálgun í eigin námi.

Markmið náms og kennslu og starfshættir grunnskóla skulu vera þannig að komið sé í veg fyrir mismunun vegna uppruna, kyns, kynhneigðar, búsetu, stéttar, trúarbragða, heilsufars, fötlunar eða stöðu að öðru leyti.

Í öllu skólastarfi skal stuðla að heilbrigðum lífsháttum og taka mið af persónugerð, þroska, hæfileikum, getu og áhugasviðum hvers og eins.
¹⁾ Augl. 760/2011. Augl. 364/2013. Augl. 838/2015. Augl. 894/2016. Augl. 706/2019.²⁾L. 153/2020, 23. gr.

Í aðalnámskrá skal kveðið á um meginmarkmið náms og kennslu, uppbyggingu og skipan náms, svo og hlutfallslega skiptingu tíma milli námssviða og námsgreina í grunnskóla. Þess skal gætt að námið verði sem heildstæðast, en hver grunnskóli ákveði hvort námsgreinar og námssvið eru kennd aðgreind eða samþætt. Í aðalnámskrá skal skilgreina þekkingar- og hæfniþætti á hverju námssviði. Nemendur skulu eiga þess kost að uppfylla námsmarkmið einstakra námsgreina og námssviða með mismunandi hætti. Í aðalnámskrá skal setja árangursviðmið um það hvenær nemandi telst hafa lokið einstökum námsgreinum eða námssviðum. Einnig skal setja viðmið vegna nemenda sem ljúka grunnskólanámi á skemmri tíma en tíu árum. Í aðalnámskrá skal gera grein fyrir samstarfi grunnskóla við leikskóla og framhaldsskóla og hvernig skuli staðið að aðlögun og flutningi milli skólastiga.

Í aðalnámskrá skal setja ákvæði um inntak og skipulag náms í íslensku, íslensku sem öðru tungumáli eða íslensku táknmáli, stærðfræði, ensku, dönsku eða öðru Norðurlandamáli, list- og verkgreinum, náttúrugreinum, skólaíþróttum, samfélagsgreinum, jafnréttismálum, trúarbragðafræði, lífsleikni og upplýsinga- og tæknimennt.

Frá upphafi grunnskóla skulu nemendur eiga val í námi sínu, svo sem um viðfangsefni, námsaðferðir og námsgreinar, í samræmi við viðmið í aðalnámskrá grunnskóla og skipulag skóla. Markmiðið með því er að gera nemendur ábyrga fyrir eigin námi og skapa sveigjanleika í skólastarfi. Hluti náms getur einnig verið fjarnám og netnám.

[Á unglingastigi, þ.e. í 8.-10. bekk, skulu nemendur velja námsgreinar og námssvið í allt að fimmtung námstímans samkvæmt nánari viðmiðunum sem settar eru í aðalnámskrá grunnskóla. Skólum er heimilt að skipuleggja mismunandi hlutfall valtíma eftir árgöngum í 8.-10. bekk og binda valið að hluta tilteknum námssviðum.] ¹⁾

Heimilt er að meta skipulagt nám sem stundað er utan grunnskóla, t.d. við tónlistarskóla, sem hluta af grunnskólanámi samkvæmt nánari útfærslu í aðalnámskrá grunnskóla. Stundi nemandi slíkt nám er viðkomandi sveitarstjórn ekki skylt að standa straum af kostnaði sem af því leiðir þótt námið njóti viðurkenningar í stað skyldunáms. Jafnframt er heimilt að meta tímabundna þátttöku í atvinnulífi, félagslífi, íþróttum eða skipulögðu sjálfboðastarfi sem nám, enda falli það að markmiðum skólastarfs.

Grunnskólanemendur eiga rétt á að stunda nám í einstökum námsgreinum á framhaldsskólastigi meðan þeir eru í grunnskóla enda hafi þeir sýnt fullnægjandi færni. ²⁾ Skólastjóri í grunnskóla veitir nemanda heimild til slíks náms utan skólans samkvæmt viðmiðum sem sett skulu í aðalnámskrá. Ákvörðun skólastjóra samkvæmt þessari málsgrein lýtur ákvæðum stjórnsýslulaga.

Heimilt er að kæra synjun um mat á námi eða beitingu heimildar samkvæmt þessari grein eftir fyrirmælum 47. gr. Í úrskurði getur [ráðuneytið] ³⁾ lagt fyrir skólastjóra grunnskóla að veita nemanda heimild til náms á framhaldsskólastigi skv. 4. mgr.

Mat á árangri og framförum nemenda er reglubundinn þáttur í skólastarfi. Tilgangur þess er að fylgjast með því hvernig nemendum tekst að mæta markmiðum aðalnámskrár og ná námsmarkmiðum sínum, örva nemendur til framfara og meta hverjir þurfa á sérstakri aðstoð að halda. Nánari ákvæði um námsmat skulu sett í aðalnámskrá grunnskóla.

Óheimilt er að veita upplýsingar um vitnisburði einstakra nemenda öðrum en þeim sjálfum og foreldrum þeirra. Þó er heimilt að veita þessar upplýsingar vegna flutnings nemenda milli skóla og innritunar í framhaldsskóla, enda sé krafist fullrar þagnarskyldu og málsmeðferðar í samræmi við gildandi lög um persónuvernd og [vinnslu] ¹⁾ persónuupplýsinga.

Nemendur og foreldrar þeirra eiga rétt á upplýsingum um niðurstöður mats, matsaðferðir og matstæki, þar með talið að skoða metin verkefni og prófúrlausnir. Þeir eiga jafnframt rétt á munnlegum skýringum á námsmati og að niðurstaða námsmats sæti endurskoðun innan grunnskólans. Slík endurskoðun telst ekki ígildi stjórnsýslukæru í skilningi stjórnsýslulaga.

Ráðherra setur nánari ákvæði í reglugerð ²⁾ um meðferð niðurstöðu námsmats í grunnskólum og miðlun upplýsinga um námsmat vegna flutnings nemenda milli skóla og innritunar í framhaldsskóla og um rétt foreldra til þess að fá vitneskju um slíkar upplýsingar.

Starfstími nemenda í grunnskóla skal á hverju skólaári vera að lágmarki níu mánuðir. Skóladagar nemenda skulu eigi vera færri en 180. Skipting milli kennsludaga og annarra skóladaga nemenda er á ábyrgð skólastjóra að höfðu samráði við skólaráð og að fenginni staðfestingu skólanefndar.

Vikulegur kennslutími hvers nemanda í grunnskóla skal að lágmarki vera:
a. 1.200 mínútur í 1.-4. bekk,
b. 1.400 mínútur í 5.-7. bekk,
c. 1.480 mínútur í 8.-10. bekk.

Skólastjóri ákveður nánari útfærslu vikulegs kennslutíma í samráði við skólaráð, [svo og nánari útfærslu á samþættingu skóla og frístundastarfs ef um slíkt er að ræða]. ¹⁾ Við ákvörðun daglegs og vikulegs starfstíma nemenda í grunnskóla skal þess gætt að hann sé samfelldur með eðlilegum hléum og fari ekki fram yfir hæfilegt vinnuálag miðað við aldur nemenda og þroska.

Heimilt er að víkja frá vikulegum lágmarkskennslutíma skv. 2. mgr. tímabundið, en nemendum skal þá tryggð viðbótarkennsla sem nemur frávikinu innan sama skólaárs.

[Sveitarstjórnum er heimilt að samræma tiltekna leyfisdaga innan skólaársins fyrir alla skóla í sveitarfélaginu, að höfðu samráði við hagsmunaaðila.] ²⁾

29. gr. Skólanámskrá og starfsáætlun.

Í hverjum grunnskóla skal gefa út skólanámskrá og starfsáætlun. Skólastjóri er ábyrgur fyrir gerð þeirra og skal semja þær í samráði við kennara. Skólanámskrá er nánari útfærsla á aðalnámskrá grunnskóla um markmið, inntak náms og námsmat, starfshætti og mat á árangri og gæðum skólastarfs. Skólanámskrá tekur mið af sérstöðu grunnskóla og aðstæðum og skal endurskoða reglulega.

Í árlegri starfsáætlun er m.a. gerð grein fyrir skóladagatali, þ.m.t. lengd jólaleyfis, páskaleyfis og annarra vetrarleyfa, starfsáætlun nemenda, skólareglum, stoðþjónustu, félagslífi og öðru því sem varðar starfsemi skólans ár hvert. Starfsáætlun skóla skal árlega lögð fyrir skólanefnd til staðfestingar sem staðfestir gildistöku hennar þegar ljóst er að hún hafi verið unnin í samræmi við lög, reglugerðir, aðalnámskrá, kjarasamninga og ákvarðanir sveitarstjórnar um fyrirkomulag skólahalds.

Skólastjóri er ábyrgur fyrir útfærslu þessara ákvæða og einnig fyrir umfjöllun í skólanum og í skólaráði og að gera skólanefnd grein fyrir því með hvaða hætti áætlanir hafi staðist. Starfsáætlun og skólanámskrá skulu vera aðgengilegar öllum aðilum skólasamfélagsins.

Öllum aðilum skólasamfélagsins ber að leggja sitt af mörkum til þess að stuðla að og viðhalda góðum starfsanda og jákvæðum skólabrag.

Skólastjórum og kennurum ber að eiga samráð við foreldra um hegðun, líðan og samskipti barna þeirra. Foreldrum ber með sama hætti að eiga samráð við skólann um skólagöngu barna sinna. Sama á við um aðra forsjáraðila barna í viðkomandi skóla.

Grunnskólar skulu hafa heildstæða stefnu um það hvernig fyrirbyggja eigi að líkamlegt, andlegt eða félagslegt ofbeldi eigi sér stað í skólastarfi. Skólar skulu einnig hafa áætlun um framkvæmd tilkynningarskyldu samkvæmt barnaverndarlögum, um hvernig brugðist er við tilvikum um einelti, annað ofbeldi og félagslega einangrun. Áætlun skal m.a. framfylgt með því að hver skóli setji sér skólareglur. Í skólareglum skal m.a. kveðið á um almenna umgengni, samskipti, stundvísi, ástundun náms og heilbrigðar lífsvenjur. Þá skal í skólareglum koma fram hvernig skólinn hyggst bregðast við brotum á þeim.

Ráðherra er heimilt að mæla nánar fyrir um ábyrgð og skyldur aðila skólasamfélagsins í reglugerð ¹⁾ sem sett er sameiginlega á grundvelli þessarar greinar og 14. gr. Þar skal m.a. mælt fyrir um starfrækslu fagráðs á vegum ráðuneytisins er verði ráðgefandi í eineltismálum.] ²⁾

Kennsla í skyldunámi í opinberum grunnskólum skal veitt nemendum að kostnaðarlausu og er óheimilt að krefja nemendur eða foreldra þeirra um greiðslu fyrir kennslu, þjónustu, námsgögn eða annað efni sem nemendum er gert skylt að nota í námi sínu og samrýmist ákvæðum laga þessara og aðalnámskrá. Sama á við um nám grunnskólanemenda í framhaldsskólaáföngum, enda sé námið skilgreint sem hluti náms í grunnskóla. Þó er opinberum aðilum ekki skylt að leggja nemendum til gögn til persónulegra nota, svo sem ritföng og pappír.

Nú stundar grunnskólanemandi nám í framhaldsskóla sem skilgreint er sem hluti náms í grunnskóla, og fer þá um kostnað vegna kennslu á framhaldsskólastigi eftir ákvæðum laga um framhaldsskóla. Sveitarfélög greiða þá kostnað vegna námsgagna og innritunar og eftir atvikum efnisgjald. Um nánari framkvæmd og fyrirkomulag skal samið milli hlutaðeigandi grunn- og framhaldsskóla.

[Ráðuneyti er skylt að leggja grunnskólum til námsgögn í samræmi við meginmarkmið náms og kennslu á grunnskólastigi samkvæmt aðalnámskrá. Ráðherra er heimilt að fela Menntamálastofnun að annast þá skyldu.] ¹⁾

Óheimilt er að taka gjald af nemendum vegna ferðalaga sem flokkast undir vettvangsnám eða eru að öðru leyti hluti af skyldunámi nemenda. Þó er heimilt að taka gjald fyrir uppihald í námsferðum nemenda, að höfðu samráði við foreldra.

Ákvarðanir um gjaldtöku samkvæmt þessari grein eru kæranlegar samkvæmt fyrirmælum 47. gr.

Er grunnskólanámi lýkur skal nemandi fá skírteini er votti að hann hafi lokið námi samkvæmt lögum þessum. Í skírteini skal skrá vitnisburð nemanda á lokaári í grunnskóla í því námi er hann lagði stund á.

Skólastjóri metur hvort nemandi hafi lokið grunnskólanámi og ber ábyrgð á útskrift hans úr grunnskóla. Heimilt er að útskrifa nemanda úr grunnskóla áður en tíu ára skyldunámi er lokið, enda uppfylli nemandi námskröfur grunnskóla í samræmi við lokamarkmið aðalnámskrár. Í aðalnámskrá grunnskóla skal nánar kveðið á um útfærslu þessarar greinar. Ákvörðun skólastjóra í þessu efni lýtur ákvæðum stjórnsýslulaga. Foreldri getur kært synjun um útskrift úr grunnskóla samkvæmt þessari grein eftir fyrirmælum 47. gr.

Í öllum grunnskólum skal nemendum gefinn kostur á að taka þátt í tómstunda- og félagsstarfi. Tómstunda- og félagsstarf getur bæði verið liður í daglegu starfi og utan venjulegs skólatíma. ... ¹⁾

Sveitarfélögum er heimilt að taka gjald fyrir [tómstunda- og félagsstarf] ¹⁾ samkvæmt sérstakri gjaldskrá sem þau setja. Gjaldskrárákvarðanir samkvæmt þessari grein eru kæranlegar samkvæmt fyrirmælum 47. gr.

Öllum börnum í yngri árgöngum grunnskóla skal gefinn kostur á þjónustu frístundaheimila. Frístundaheimili er frístundavettvangur barna með áherslu á val barna, frjálsan leik og fjölbreytileika í viðfangsefnum og umhverfi. Við skipulag þjónustu frístundaheimila skal tekið mið af þörfum, þroska og áhuga hvers og eins.

Sveitarfélög fara með faglegt forræði frístundaheimila, ákveða skipulag starfsemi þeirra og rekstrarform með samþættingu skóla- og frístundastarfs og þarfir barna að leiðarljósi.

Á frístundaheimilum gilda almenn ákvæði laganna og reglugerða settra samkvæmt þeim um öryggi og velferð barna, réttindi og skyldur, tilkynningarskyldu og ráðningarbann á grundvelli sakavottorðs.

Ráðuneytið gefur út, ¹⁾ að höfðu samráði við Samband íslenskra sveitarfélaga, viðmið um gæði frístundastarfs, þ.m.t. um hlutverk og markmið, skipulag og starfsaðstæður, starfshætti, margbreytileika, stjórnun og menntun starfsfólks.

Sveitarfélög geta ákveðið að reka ekki frístundaheimili ef gildar ástæður eru fyrir hendi, t.d. staðbundnar aðstæður.

Sveitarfélögum er heimilt að taka gjald fyrir vistun barna á frístundaheimili samkvæmt gjaldskrá sem þau setja og birta opinberlega. Gjaldskrárákvarðanir samkvæmt þessari grein eru kæranlegar samkvæmt fyrirmælum 47. gr.] ²⁾

Sprotasjóður skal styðja við þróun og nýjungar í skólastarfi í samræmi við stefnu stjórnvalda og aðalnámskrá. Til sjóðsins renna fjármunir sem veittir eru á fjárlögum hverju sinni. [Ráðuneyti] ¹⁾ hefur umsjón með sjóðnum og setur reglugerð ²⁾ um styrkveitingar. Sjóðurinn er sameiginlegur fyrir leikskóla, grunnskóla og framhaldsskóla.

Í reglugerð er heimilt að fela stofnun á vegum ráðuneytisins eða öðrum þar til bærum aðila umsjón með sjóðnum og að annast úthlutanir úr honum.

VIII. kafli. Mat og eftirlit með gæðum grunnskólastarfs.

Markmið mats og eftirlits með gæðum starfs í grunnskólum er að:
a. veita upplýsingar um skólastarf, árangur þess og þróun til fræðsluyfirvalda, starfsfólks skóla, viðtökuskóla, foreldra og nemenda,
b. tryggja að starfsemi skóla sé í samræmi við ákvæði laga, reglugerða og aðalnámskrár grunnskóla,
c. auka gæði náms og skólastarfs og stuðla að umbótum,
d. tryggja að réttindi nemenda séu virt og að þeir fái þá þjónustu sem þeir eiga rétt á samkvæmt lögum.

Hver grunnskóli metur með kerfisbundnum hætti árangur og gæði skólastarfs á grundvelli 35. gr. með virkri þátttöku starfsmanna, nemenda og foreldra eftir því sem við á.

Grunnskóli birtir opinberlega upplýsingar um innra mat sitt, tengsl þess við skólanámskrá og áætlanir um umbætur.

[Sveitarfélög sinna mati og eftirliti með gæðum skólastarfs, sbr. 5. og 6. gr., og láta ráðuneyti í té upplýsingar um framkvæmd skólahalds, innra mat skóla, ytra mat sveitarfélaga, framgang skólastefnu sinnar og áætlanir um umbætur. Ráðherra er heimilt að fela Menntamálastofnun að taka við upplýsingum samkvæmt þessari grein.] ¹⁾

Sveitarfélög skulu fylgja eftir innra og ytra mati þannig að slíkt mat leiði til umbóta í skólastarfi.

[Ráðuneyti eða Menntamálastofnun í umboði þess annast greiningu og miðlun upplýsinga um skólahald í grunnskólum á grundvelli upplýsinga frá sveitarfélögum skv. 37. gr. og með sjálfstæðri gagnaöflun. Ráðherra er heimilt að fela Menntamálastofnun að annast verkefni samkvæmt þessari grein.] ²⁾

[Ráðuneyti] ³⁾ gerir áætlun til þriggja ára um kannanir og úttektir sem miða að því að veita upplýsingar um framkvæmd laga þessara og aðalnámskrár grunnskóla og aðra þætti skólastarfs. [Ráðuneyti] ³⁾ skipuleggur einnig þátttöku í alþjóðlegum mennta- og samanburðarrannsóknum.

Ráðherra setur reglugerð ⁴⁾ um innra og ytra mat og upplýsingaskyldu sveitarfélaga að höfðu samráði við Samband íslenskra sveitarfélaga.

[Ráðuneyti] ¹⁾ stendur fyrir samræmdu námsmati í grunnskólum, leggur grunnskólum í því skyni til samræmd könnunarpróf og annast framkvæmd samræmds námsmats.

[Samræmd könnunarpróf í íslensku og stærðfræði skulu lögð fyrir alla nemendur í 4. og 7. bekk grunnskóla. Nemendur á unglingastigi, þ.e. í 8.-10. bekk, skulu þreyta samræmd könnunarpróf í íslensku, stærðfræði og ensku. Önnur próf skal halda samkvæmt ákvörðun ráðherra.

Skólastjóra er heimilt ef gildar ástæður mæla með því og samþykki foreldra liggur fyrir að veita nemendum undanþágu frá því að þreyta könnunarpróf í einstökum greinum.

Menntamálastofnun eða annar til þess bær aðili, sem ráðherra ákveður, hefur umsjón með gerð og framkvæmd samræmds námsmats og prófa samkvæmt grein þessari. Ráðherra setur í reglugerð ²⁾ nánari ákvæði um fyrirkomulag og framkvæmd samræmds námsmats, prófa og rannsókna í grunnskólum og undanþágur nemenda frá samræmdu námsmati samkvæmt þessari grein.] ³⁾

IX. kafli.[Skólaþjónusta]¹⁾ og stoðkerfi grunnskóla.

Sveitarfélög skulu tryggja að [skólaþjónusta] ¹⁾ sé veitt í grunnskólum, ákveða fyrirkomulag hennar og stuðla að því að hún fari fram innan grunnskóla. Í [skólaþjónustu] ¹⁾ felst annars vegar stuðningur við nemendur og fjölskyldur þeirra og hins vegar stuðningur við starfsemi grunnskóla og starfsfólk þeirra.

Í grunnskólum skal frá upphafi skólagöngu nemenda unnið að forvarnastarfi með skimunum og athugunum á nemendum til að tryggja þeim kennslu og námsaðstoð við hæfi. Auk þess skal fara fram greining á nemendum sem eiga í sálrænum eða félagslegum erfiðleikum sem hafa áhrif á nám þeirra. Allar athuganir á vegum skóla sem varða einstaka nemendur skulu gerðar í samráði við og með samþykki foreldra og óheimilt er að taka gjald fyrir slíkar athuganir. Greina skal foreldrum frá niðurstöðum slíkra athugana.

Foreldrar nemenda geta óskað eftir greiningu samkvæmt þessari grein, auk þess sem skólastjóri, kennarar eða starfsmenn heilsugæslu geta lagt fram ósk um greiningu í samráði við og með samþykki þeirra. [Skólaþjónusta] ¹⁾ sér um að greining fari fram, skilar tillögu til skólastjóra um hvernig við skuli bregðast, fylgist með úrbótum og metur árangur.

[Skólastjóri skal samræma innan hvers skóla störf þeirra sem sjá um málefni einstakra nemenda er lúta að [skólaþjónustu], ¹⁾ námsráðgjöf og skólaheilsugæslu með stofnun nemendaverndarráðs. Jafnframt skal stuðla að samráði við félagsþjónustu sveitarfélags og barnaverndaryfirvöld vegna málefna einstakra nemenda eftir því sem þurfa þykir. Heimilt er, með rökstuddri greinargerð, að sækja um tímabundna undanþágu frá einstökum ákvæðum í reglugerð um nemendaverndarráð til ráðuneytis. Gildar ástæður þurfa að vera fyrir veitingu undanþágu, svo sem fámenni eða sérstaða. Ráðherra er heimilt að fela Menntamálastofnun að veita undanþágur samkvæmt þessari grein.] ²⁾

Sveitarfélög sem reka grunnskóla skulu hafa frumkvæði að samstarfi [skólaþjónustu], ¹⁾ félagsþjónustu, barnaverndaryfirvalda og heilbrigðisþjónustu innan sveitarfélagsins vegna nemenda með sérþarfir og langvinn veikindi. Sveitarfélög skulu einnig hafa frumkvæði að samstarfi [skólaþjónustu] ¹⁾ við aðila sem annast sérhæfð greiningar- og meðferðarúrræði á vegum ríkisins vegna einstakra nemenda.

Við framkvæmd [skólaþjónustu] ¹⁾ skulu sveitarfélög leggja áherslu á góð tengsl leikskóla, grunnskóla og framhaldsskóla með samfellu í skólastarfi að leiðarljósi.

Ráðherra setur reglugerð ³⁾ um [skólaþjónustu] ¹⁾ og starfsemi nemendaverndarráða í samráði við Samband íslenskra sveitarfélaga.

Sé foreldri synjað um beiðni um greiningu skv. 3. mgr. verður sú ákvörðun kærð samkvæmt fyrirmælum 47. gr. Ráðuneytið getur í úrskurði mælt fyrir um að tilteknum nemanda skuli veitt greining í samræmi við ákvæði þessarar greinar.

Um skólaheilsugæslu í grunnskólum fer eftir gildandi lögum um heilbrigðisþjónustu. Um skipulag og fyrirkomulag skólaheilsugæslu í grunnskóla skal haft samráð við skólanefnd og skólastjóra.

Skólastjóra ber að fylgjast með því að nemendur njóti skólaheilsugæslu í skólanum í samræmi við þá tilhögun sem ákveðin hefur verið skv. 1. mgr.

Sveitarfélög greiða stofnkostnað húsnæðis í skólum sem ætlað er fyrir skólaheilsugæslu og annast rekstur þess. Laun starfsmanna við skólaheilsugæslu og sérgreindur kostnaður við þessa starfsemi greiðist sem annar kostnaður við rekstur almennrar heilsugæslu á heilsugæslustöð og fer um ráðningu starfsmanna með sama hætti.

Sveitarfélög geta beitt sér fyrir sérúrræðum innan grunnskóla eða stofnað til reksturs sérskóla þegar almennt nám og kennsluhættir hæfa ekki þörfum eða hag nemenda. Slíkum úrræðum er ætlað að veita nemendum sérhæft umhverfi til náms í lengri eða skemmri tíma þar sem jafnframt skal lögð áhersla á að veita starfsfólki almennra grunnskóla stuðning og kennslufræðilega ráðgjöf.

X. kafli.[Sjálfstætt reknir grunnskólar.]¹⁾

43. gr.[Sjálfstætt reknir grunnskólar.

Sjálfstætt reknir grunnskólar starfa samkvæmt lögum þessum en eru reknir af einkaaðila, almennt á grundvelli þjónustusamnings við viðkomandi sveitarfélag.

Innritun í sjálfstætt rekinn grunnskóla er háð frjálsu vali foreldra, fyrir hönd barna sinna, nema annað leiði af þjónustusamningi. Ef innritun í sjálfstætt rekinn grunnskóla er ekki háð frjálsu vali skal til viðbótar öðrum kröfum fullnægja skilyrðum 43. gr. e.] ¹⁾

Sveitarfélag sem skóli starfar í skal gera þjónustusamning um rekstur skólans við rekstraraðila. Samningur felur í sér samþykki sveitarfélags fyrir stofnun skólans, staðfestingu á rétti til fjárframlaga skv. 43. gr. b og skuldbindingu sveitarfélags um að hafa eftirlit með starfi hans.

Ráðuneytið skal staðfesta þjónustusamning þegar fyrir liggur að öllum lögbundnum skilyrðum er fullnægt. Ekki má hefja skólastarf fyrr en sú staðfesting liggur fyrir. Ráðherra er heimilt að fela Menntamálastofnun að annast staðfestingu þjónustusamnings.

Sveitarfélag getur hafnað því að gera þjónustusamning eða takmarkað hann við tiltekinn nemendafjölda, t.d. ef fjárframlög til skólans kunna að hafa neikvæð áhrif á skólastarf sveitarfélagsins sjálfs og fjárveitingar til þess. Hafni sveitarfélag því að gera þjónustusamning fer um leyfi til starfsemi skólans eftir 46. gr.

Í þjónustusamningi skal að minnsta kosti fjalla um eftirtalin atriði:
1. Skólanámskrá sem er í samræmi við aðalnámskrá.
2. Mat og eftirlit með gæðum, sbr. 37. gr.
3. Fjárhagsleg samskipti aðila, svo sem dreifingu fjárframlaga og þau fjármál sem tengjast nemendum með sérþarfir.
4. Þjónustu við nemendur í samræmi við metnar sérþarfir.
5. Gildi samnings, svo sem reynslutíma og uppsagnarfresti. Um hámarkstíma samninga gilda ekki ákvæði 100. gr. sveitarstjórnarlaga.
6. Hámarksfjölda nemenda við skólann, en hann skal m.a. ákvarðaður að teknu tilliti til húsnæðis, starfsaðstæðna nemenda og starfsmanna, möguleika á að skipuleggja eftirlit með skólanum og fjárhagslegs rekstraröryggis.
7. Hámarksfjölda nemenda við skólann sem sveitarfélagi ber að greiða kostnað af, sbr. 43. gr. b, en hann skal m.a. ákvarðaður með hliðsjón af fjárveitingum sem sveitarfélag ákveður.
8. Innritun nemenda og gjaldtöku af nemendum. Sveitarfélag getur sett skilyrði um hámark gjaldtöku með hliðsjón af fjárframlögum þess til skólans.
9. Fyrirkomulag skólaaksturs, ef við á.
10. Slit á þjónustusamningi og vanefndaúrræði vegna brota á samningsskyldum.] ¹⁾

[43. gr. b. Fjárframlög úr sveitarsjóði.

Sjálfstætt rekinn grunnskóli sem gert hefur þjónustusamning skv. 43. gr. a á rétt á framlagi úr sveitarsjóði til starfsemi sinnar vegna nemenda sem hafa lögheimili í því sveitarfélagi sem skólinn starfar í. Skal framlagið nema að lágmarki 75% af vegnu meðaltali heildarrekstrarkostnaðar allra grunnskóla sem reknir eru af sveitarfélögum í landinu á hvern nemanda samkvæmt útreikningi Hagstofu Íslands. Gildir þetta hlutfall fyrir skóla með allt að 200 nemendur, en framlagið skal vera að lágmarki 70% fyrir hvern nemanda umfram þann fjölda.

Útreikningur Hagstofu Íslands skal liggja fyrir fimmta dag hvers mánaðar og byggjast á næsta mánuði á undan og taka mið af verðlagsbreytingum.

Sveitarfélög greiða framlög reglulega eftir því sem segir í þjónustusamningi. Greiðslurnar taka breytingum til hækkunar eða lækkunar eftir útreikningum Hagstofunnar.

Sveitarfélögum er heimilt að greiða sérstakt stofnframlag til sjálfstætt rekinna grunnskóla. Slík framlög verða eingöngu nýtt í þágu skólastarfsins.] ¹⁾

[43. gr. c. Almennar kröfur til einkaaðila sem reka grunnskóla.

Einkaaðili sem rekur grunnskóla skal:
1. Vera lögaðili og starfa í formi sjálfseignarstofnunar, hlutafélags eða samkvæmt öðru viðurkenndu rekstrarformi. Yfir lögaðilanum skal vera stjórn sem er ábyrg fyrir rekstri skólans gagnvart viðkomandi sveitarfélagi og öðrum yfirvöldum. Um fjárhagslegar ábyrgðir stjórnarmanna fer eftir almennum reglum.
2. Setja samþykktir um starfsemi sína sem birta skal opinberlega á vefsíðu skólans. Um samþykktirnar gilda almennar reglur en þar skal þó að minnsta kosti kveða á um helstu þætti í innra stjórnkerfi, um faglegt sjálfstæði skólastarfsins og um helstu þætti í verkaskiptingu stjórnar annars vegar og faglegra starfsmanna grunnskóla hins vegar.
3. Tilgreina í samþykktum sínum að tilgangur hans sé rekstur grunnskóla. Tilgangurinn getur jafnframt falist í rekstri annarra viðurkenndra menntastofnana og tengdum verkefnum. Hið síðastnefnda má ekki vera verulegur þáttur í starfseminni.
4. Tilgreina í samþykktum sínum að fjárframlög opinberra aðila verði einvörðungu nýtt í þágu skólastarfsins. Við slit á starfsemi lögaðilans gilda þó almennar reglur.

Ákvæði stjórnsýslulaga um sérstakt hæfi og ákvæði um þagnarskyldu taka til stjórnarmanna.] ¹⁾

[43. gr. d. Almennar kröfur til skólahalds í sjálfstætt reknum grunnskóla.

Um rekstur og skólahald sjálfstætt rekins grunnskóla gildir eftirfarandi:
1. Starfsemi grunnskólans, þ.m.t. skipulag og kennsluhættir, skal vera í fullu samræmi við ákvæði laga þessara, reglna sem settar eru á grundvelli þeirra og í samræmi við aðalnámskrá, nema undantekning sé gerð með lögum eða á grundvelli heimildar í lögum.
2. Stjórn rekstraraðila gegnir þeim hlutverkum sem sveitarstjórn eru falin skv. 7. og 21. gr.
3. Undanþága skv. 15. gr. skal tilkynnt skólanefnd sveitarfélags.
4. Foreldrar taka sjálfir ákvörðun um innritun barns í skólann nema ákvæði 43. gr. e eigi við.
5. Skólastjóri annast innritun nemenda nema í þjónustusamningi sé ákveðið að sveitarfélagið annist innritun.
6. Gjald má taka fyrir skólavist óháð öðrum fyrirmælum laga þessara um kostnað nemenda í skyldunámi.
7. Stjórn lögaðila skal setja almennar reglur um ákvarðanir skv. 5. og 6. tölul. og birta þær opinberlega á vefsíðu skólans.
8. Meðferð og varðveisla gagna og upplýsinga sem lúta að skólastarfi sjálfstætt rekinna grunnskóla lúta sömu almennu lögum og við eiga um almenna grunnskóla sveitarfélaga, þ.m.t. gilda ákvæði stjórnsýslulaga, upplýsingalaga og laga um opinber skjalasöfn.
9. Lög um menntun og ráðningu kennara og skólastjórnenda við leikskóla, grunnskóla og framhaldsskóla gilda um grunnskóla sem hlotið hafa staðfestingu ráðherra samkvæmt lögum þessum.] ¹⁾

[43. gr. e. Sjálfstætt reknir grunnskólar sem ekki eru valfrjálsir.

Ef foreldrar eiga ekki frjálst val um það hvort þeir innrita börn sín í sjálfstætt rekinn grunnskóla vegna skipulags á grunnskólahaldi í sveitarfélagi ber sveitarfélagi að tryggja að nemendur í sjálfstætt reknum skóla njóti að öllu leyti sömu réttinda, sömu þjónustu og sambærilegrar stöðu og þegar sveitarfélag rekur skólann. Í þessu felst eftir atvikum eftirfarandi:
1. Skylda til að kveða í þjónustusamningi á um viðeigandi fjárveitingar umfram það sem leiðir af 43. gr. b, m.a. til að tryggja gjaldfrjálsa skólavist og skólaþjónustu að því leyti sem sveitarfélagið kýs ekki að sinna slíkri þjónustu sjálft.
2. Skylda til að tryggja í þjónustusamningi rétt sveitarfélags til að taka yfir nauðsynlega þætti í starfsemi rekstraraðilans, svo sem samninga við starfsfólk eða samninga um húsnæði eða gögn, málaskrár og annað sem tengist kennslu og telst hluti skólahaldsins, enda þurfi rekstraraðili að leggja niður eða hætta rekstri eða sveitarfélaginu hafi gefist réttmæt ástæða til að slíta samningi við hann.
3. Skylda til að tryggja rétt sveitarfélags í samræmi við 2. tölul. þegar rekstraraðili gerir aðra samninga, svo sem við kröfuhafa, leigusala og starfsmenn.

Á sjálfstætt reknum grunnskóla hvílir jafnframt að tryggja nemendum skólans og foreldrum þeirra sömu stöðu og nemendur í grunnskóla sveitarfélagsins hefðu notið, þ.m.t. skylda til að hafa samstarf við önnur stjórnvöld. Skólanum ber um leið réttur til fjárframlaga, sbr. 1. tölul. 1. mgr., og getur sótt hann fyrir dómstólum eftir almennum reglum.

Sveitarstjórn skal kynna íbúum sveitarfélagsins áætlun um samninga eða skipulag skólahalds skv. 1. mgr. í samræmi við 1. mgr. 5. gr. og fyrirmæli sveitarstjórnarlaga um samráð við íbúa.] ¹⁾

Ráðherra skal setja reglugerð ¹⁾ um framkvæmd 43. gr., 43. gr. a - 43. gr. e og 46. gr. í samráði við Samband íslenskra sveitarfélaga og Hagstofu Íslands. Í reglugerð skal m.a. kveðið nánar á um skilyrði fyrir gerð þjónustusamnings, um form og efni þjónustusamnings, upplýsingar sem sveitarfélag skal afla sér um rekstraraðila þegar það gerir samning, skilyrði fyrir staðfestingu á þjónustusamningi, meðferð fjárframlaga til rekstraraðila skóla, upplýsingagjöf til sveitarfélaga og ráðuneytis, eftirlit með starfsemi, sérstakar skyldur sveitarfélaga og einkarekinna grunnskóla þegar nemendur eiga ekki val um innritun í sjálfstætt rekinn skóla, heimild um undanþágu frá ákvæðum laga og aðalnámskrár ef skólinn starfar samkvæmt viðurkenndri erlendri eða alþjóðlegri námskrá og námsskipan, afturköllun staðfestingar ráðherra á þjónustusamningi og slit sveitarfélaga á þjónustusamningi vegna vanefnda á ákvæðum hans.] ²⁾

XI. kafli.[Þróunarskólar, samrekstur, heimakennsla, úrlausn ágreiningsmála o.fl.]¹⁾

Ráðherra getur veitt sveitarfélögum og sjálfstætt reknum grunnskólum heimild til að reka þróunarskóla eða gera tilraunir með ákveðna þætti skólastarfs með undanþágu frá ákvæðum laga þessara, reglugerða settra á grundvelli þeirra og aðalnámskrár grunnskóla. Slíkum tilraunum skulu ávallt sett eðlileg tímamörk og kveðið á um úttekt að tilraun lokinni.

Heimilt er að styrkja þróunarskóla og sérstakar nýjungar eftir því sem fjárlög heimila hverju sinni.

[Sveitarfélögum er heimilt að hafa með sér samvinnu um rekstur grunnskóla. Um hana fer eftir sveitarstjórnarlögum. Samningur um samvinnu skal staðfestur af ráðherra að fenginni umsögn ráðherra sveitarstjórnarmála. Ráðherra er heimilt að fela Menntamálastofnun staðfestingu slíkra samninga.

Í samningi um stofnun byggðasamlags skal sérstaklega kveðið á um hvernig fari með hlutverk skólanefndar. Stjórn byggðasamlagsins fer með það hlutverk komi ekki annað fram. Þá skal þar kveða á um heimild til samninga við einkaaðila um grunnskólahald eftir ákvæðum laga þessara.

Í samningi um að eitt sveitarfélag taki að sér rekstur grunnskóla fyrir annað sveitarfélag skal taka mið af 5. gr. Sæki umtalsverður hluti barna úr sveitarfélagi skóla í öðru sveitarfélagi á þeim grundvelli er viðkomandi sveitarfélögum heimilt að kveða svo á um í samþykktum um stjórn sveitarfélaganna að í skólanefnd viðtökusveitarfélags eigi sæti, með málfrelsi og tillögurétt, fulltrúi sem kjörinn er af sveitarstjórn lögheimilissveitarfélags umræddra barna. Þá skal í samningi kveða á um heimild til samninga við einkaaðila um grunnskólahaldið eftir ákvæðum laga þessara.

Sveitarfélögum er heimilt að reka saman grunnskóla, leikskóla og tónlistarskóla undir stjórn eins skólastjóra að fenginni umsögn skólanefnda. Skal stjórnandi slíkrar stofnunar hafa leyfisbréf til kennslu á leik- eða grunnskólastigi. Sveitarstjórn getur ákveðið að skólaráð og foreldraráð samkvæmt lögum um leikskóla starfi sameiginlega í einu ráði. Ákvæði þetta gildir einnig um skóla sem reknir eru á grundvelli 1. mgr. Hinn samrekni skóli starfar að öðru leyti samkvæmt lögum um viðkomandi skólastig.] ²⁾

Ráðherra er heimilt að viðurkenna grunnskóla eða námsbraut innan almenns grunnskóla sem starfar samkvæmt viðurkenndri erlendri eða alþjóðlegri námskrá og námsskipan. [Ráðherra er heimilt að fela Menntamálastofnun að veita viðurkenningar.] ²⁾

Foreldrar, sem óska eftir undanþágu frá 3. gr. til að geta kennt börnum sínum heima, að hluta eða öllu leyti, skulu sækja um slíka heimild til síns sveitarfélags. Skólastjóri getur veitt undanþágu að höfðu samráði við skólanefnd og [skólaþjónustu]. ³⁾ Börn sem hljóta heimakennslu eru undanþegin skólaskyldu skv. 3. gr., en skulu lúta eftirliti og reglulegu mati og þreyta könnunarpróf samkvæmt lögum þessum. [Ráðherra er heimilt að fela Menntamálastofnun að taka við tilkynningum samkvæmt grein þessari.] ²⁾

Ákvörðun sveitarstjórnar skv. 2. mgr. er kæranleg eftir fyrirmælum 47. gr. [Ráðuneyti] ⁴⁾ getur í úrskurði sínum lagt fyrir sveitarfélag að veita foreldrum barns heimild skv. 2. mgr.

[Hafi sveitarfélag hafnað því að gera þjónustusamning við sjálfstætt rekinn grunnskóla getur ráðherra þrátt fyrir það veitt honum heimild til starfa samkvæmt lögum þessum að fenginni umsögn viðkomandi sveitarfélags. Í heimild ráðherra felst ekki réttur skólans til opinbers fjár. Um skólann gilda reglur laga þessara að undanskildum ákvæðum 43. gr. a, 43. gr. b og 43. gr. e. Ráðherra skal setja starfsemi skólans skilyrði í samræmi við ákvæði 43. gr. a og hafa eftirlit með starfsemi hans.] ⁵⁾

[Ráðherra setur reglugerð ⁶⁾ um skilyrði til heimakennslu á grunnskólastigi og viðurkenningu grunnskóla samkvæmt þessari grein.] ⁷⁾ Sveitarfélög skulu tilkynna ráðuneytinu um veitingu heimildar samkvæmt þessari grein.

[Ákvarðanir um réttindi og skyldur nemenda sem teknar eru á grundvelli laga þessara eru kæranlegar til ráðherra. Kæruheimildin nær einnig til sambærilegra ákvarðana um réttindi og skyldur nemenda á vegum sjálfstætt rekinna skóla.

Ákvarðanir um námsmat sæta ekki kæru.] ¹⁾

Lög þessi öðlast gildi 1. júlí 2008. ...

Ákvæði til bráðabirgða.

Grunnskólar sem þegar eru starfandi á grundvelli 56. gr. laga nr. 66/1995, um grunnskóla, sbr. 22. gr. laga nr. 98/2006, eiga rétt á framlagi úr sveitarsjóði samkvæmt lögum þessum án sérstakrar viðurkenningar ráðherra. Sveitarfélagi er þó heimilt að takmarka framlag úr sveitarsjóði við hámarksfjölda nemenda.

Eignarhlutur ríkisins í skólahúsnæði grunnskóla, sem var í eigu ríkisins í heild eða hluta, skal afskrifaður í 15 jöfnum áföngum á árunum 1996-2010 og eignfærður hjá þeim sveitarfélögum sem bera ábyrgð á rekstri skóla og annast viðhald skólahúsnæðis. Sé húsnæði, sem áður var nýtt í tengslum við skólastarf, ekki lengur nýtt í slíku skyni skal eignarhlutur ríkisins vera óskertur.

Sveitarfélög skulu greiða upphæð er svarar til 1,3% af dagvinnulaunum kennara og skólastjóra í sveitarfélaginu í sérstakan sjóð er Samband íslenskra sveitarfélaga annast rekstur á og varðveitir. Úr sjóði þessum skulu greidd laun kennara og skólastjóra við grunnskóla vegna námsleyfa allt að einu ári. Sjóðurinn ráðstafar einnig þeim fjármunum sem ríkið veitir til símenntunar kennara og skólastjóra. Samband íslenskra sveitarfélaga skipar fimm menn í stjórn sjóðsins, tvo tilnefnda af Kennarasambandi Íslands og þrjá af Sambandi íslenskra sveitarfélaga. Stjórn sjóðsins setur sér starfsreglur og birtir þær.

Þrátt fyrir ákvæði 1. mgr. er heimilt að ákveða að framlög vegna námsleyfa kennara og skólastjórnenda renni í sérstakan sjóð sem sveitarfélög og viðsemjendur þeirra hafa samið um í kjarasamningum. Jafnframt má ákveða að fjármunum sem ákveðnir eru í fjárlögum til símenntunar kennara og skólastjóra verði ráðstafað með sama hætti.

Nú hafa sveitarfélög og viðsemjendur þeirra komið á fót sjóði, sbr. 2. mgr., og skal ráðherra þá birta auglýsingu í B-deild Stjórnartíðinda um að hann komi í stað sjóðs skv. 1. mgr.

[Þrátt fyrir ákvæði 1. málsl. 1. mgr. skal framlag samkvæmt þeirri málsgrein, á árinu 2015, 44,6 millj. kr., greitt af Jöfnunarsjóði sveitarfélaga, f.h. sveitarfélaga. Framlagið skal innheimt af úthlutun framlaga Jöfnunarsjóðs til sveitarfélaga í hlutfalli við íbúafjölda 1. janúar 2015.] ¹⁾

[Þrátt fyrir ákvæði 1. málsl. 1. mgr. skal framlag samkvæmt þeirri málsgrein, á fjárlagaárunum 2016, 2017 og 2018, greitt af Jöfnunarsjóði sveitarfélaga fyrir hönd sveitarfélaga. Í samræmi við samkomulag um stuðning við tónlistarnám og jöfnun á aðstöðumun nemenda til tónlistarnáms frá 13. apríl 2016 verður framlagið innheimt af úthlutun framlaga Jöfnunarsjóðs til sveitarfélaga í hlutfalli við íbúafjölda 1. janúar.] ²⁾

Reglugerðir, auglýsingar og önnur fyrirmæli sett samkvæmt lögum nr. 66/1995, með síðari breytingum, skulu halda gildi sínu að svo miklu leyti sem þau stangast ekki á við lög þessi þar til nýjar reglugerðir, auglýsingar eða önnur fyrirmæli hafa öðlast gildi. ¹⁾

Skólanefndir sem kosnar hafa verið samkvæmt lögum nr. 66/1995, um grunnskóla, halda umboði sínu.

# data[].attributes.headline
Lög um persónuvernd og vinnslu upplýsinga

# data[].attributes.subject
Lög um persónuvernd og vinnslu upplýsinga

# data[].attributes.attachment_link.readable_text
Lagasafn. Íslensk lög 13. september 2022. Útgáfa 152c. Prenta í tveimur dálkum.

Lög um persónuvernd og vinnslu persónuupplýsinga
2018 nr. 90 27. júní
Tóku gildi 15. júlí 2018. EES-samningurinn: XI. viðauki reglugerð 2016/679. Breytt með: L. 32/2019 (tóku gildi 1. júlí 2019). L. 71/2019 (tóku gildi 5. júlí 2019). L. 75/2019 (tóku gildi 5. júlí 2019). L. 140/2019 (tóku gildi 1. jan. 2020 nema 2. málsl. 3. mgr. 11. gr. sem tók gildi 1. maí 2021, 2. mgr. 12. gr. sem tók gildi 1. júní 2022, 4. mgr. 12. gr. sem tók gildi 1. jan. 2021 og 14. gr. sem tók gildi 1. jan. 2022). L. 22/2020 (tóku gildi 21. mars 2020).

Ef í lögum þessum er getið um ráðherra eða ráðuneyti án þess að málefnasvið sé tilgreint sérstaklega eða til þess vísað, er átt við dómsmálaráðherra eða dómsmálaráðuneyti sem fer með lög þessi. Upplýsingar um málefnasvið ráðuneyta skv. forsetaúrskurði er að finna hér.
I. kafli. Markmið, orðskýringar og gildissvið.

Markmið laga þessara er að stuðla að því að með persónuupplýsingar sé farið í samræmi við grundvallarsjónarmið og reglur um persónuvernd og friðhelgi einkalífs og að tryggja áreiðanleika og gæði slíkra upplýsinga og frjálst flæði þeirra á innri markaði Evrópska efnahagssvæðisins.

Sérstök stofnun, Persónuvernd, annast eftirlit með framkvæmd reglugerðar Evrópuþingsins og ráðsins (ESB) 2016/679, laga þessara og reglna sem settar verða samkvæmt þeim, sbr. nánar ákvæði VII. kafla laga þessara. Evrópsk eftirlitsstofnun skv. VII. kafla reglugerðarinnar er Evrópska persónuverndarráðið.

Ákvæði reglugerðar Evrópuþingsins og ráðsins (ESB) 2016/679 frá 27. apríl 2016 um vernd einstaklinga í tengslum við vinnslu persónuupplýsinga og um frjálsa miðlun slíkra upplýsinga og niðurfellingu tilskipunar 95/46/EB (almenna persónuverndarreglugerðin) eins og hún er tekin upp í samninginn um Evrópska efnahagssvæðið skulu hafa lagagildi hér á landi með þeim aðlögunum sem leiðir af ákvörðun sameiginlegu EES-nefndarinnar um breytingu á XI. viðauka (Rafræn fjarskipti, hljóð- og myndmiðlun og upplýsingasamfélagið) og bókun 37 (sem inniheldur skrána sem kveðið er á um í 101. gr.) við EES-samninginn. ¹⁾ Reglugerðin er birt sem fylgiskjal með lögum þessum.

Merking orða í lögum þessum er sem hér segir:
1. Reglugerðin: Reglugerð Evrópuþingsins og ráðsins (ESB) 2016/679 frá 27. apríl 2016 um vernd einstaklinga í tengslum við vinnslu persónuupplýsinga og um frjálsa miðlun slíkra upplýsinga og niðurfellingu tilskipunar 95/46/EB.
2. Persónuupplýsingar: Upplýsingar um persónugreindan eða persónugreinanlegan einstakling („skráðan einstakling"); einstaklingur telst persónugreinanlegur ef unnt er að persónugreina hann, beint eða óbeint, svo sem með tilvísun í auðkenni eins og nafn, kennitölu, staðsetningargögn, netauðkenni eða einn eða fleiri þætti sem einkenna hann í líkamlegu, lífeðlisfræðilegu, erfðafræðilegu, andlegu, efnalegu, menningarlegu eða félagslegu tilliti.
3. Viðkvæmar persónuupplýsingar:
a. Upplýsingar um kynþátt, þjóðernislegan uppruna, stjórnmálaskoðanir, trúarbrögð, lífsskoðun eða aðild að stéttarfélagi.
b. Heilsufarsupplýsingar, þ.e. persónuupplýsingar sem varða líkamlegt eða andlegt heilbrigði einstaklings, þ.m.t. heilbrigðisþjónustu sem hann hefur fengið, og upplýsingar um lyfja-, áfengis- og vímuefnanotkun.
c. Upplýsingar um kynlíf manna og kynhneigð.
d. Erfðafræðilegar upplýsingar, þ.e. persónuupplýsingar sem varða arfgenga eða áunna erfðaeiginleika einstaklings sem gefa einkvæmar upplýsingar um lífeðlisfræði eða heilbrigði einstaklingsins og fást einkum með greiningu á líffræðilegu sýni frá viðkomandi einstaklingi.
e. Lífkennaupplýsingar, þ.e. persónuupplýsingar sem fást með sérstakri tæknivinnslu og tengjast líkamlegum, lífeðlisfræðilegum eða atferlisfræðilegum eiginleikum einstaklings og gera það kleift að greina eða staðfesta deili á einstaklingi með ótvíræðum hætti, svo sem andlitsmyndir eða gögn um fingraför, enda sé unnið með upplýsingarnar í því skyni að persónugreina einstakling með einkvæmum hætti.
4. Vinnsla: Aðgerð eða röð aðgerða þar sem persónuupplýsingar eru unnar, hvort sem vinnslan er sjálfvirk eða ekki, svo sem söfnun, skráning, flokkun, kerfisbinding, varðveisla, aðlögun eða breyting, heimt, skoðun, notkun, miðlun með framsendingu, dreifing eða aðrar aðferðir til að gera upplýsingarnar tiltækar, samtenging eða samkeyrsla, aðgangstakmörkun, eyðing eða eyðilegging.
5. Skrá: Skipulegt safn persónuupplýsinga sem er aðgengilegt samkvæmt tilteknum viðmiðunum, hvort heldur það er miðlægt, dreift eða skipt upp eftir notkun eða staðsetningu.
6. Ábyrgðaraðili: Einstaklingur, lögaðili, stjórnvald eða annar aðili sem ákveður einn eða í samvinnu við aðra tilgang og aðferðir við vinnslu persónuupplýsinga.
7. Vinnsluaðili: Einstaklingur eða lögaðili, stjórnvald eða annar aðili sem vinnur með persónuupplýsingar á vegum ábyrgðaraðila.
8. Samþykki: Óþvinguð, sértæk, upplýst og ótvíræð viljayfirlýsing hins skráða um að hann samþykki, með yfirlýsingu eða ótvíræðri staðfestingu, vinnslu persónuupplýsinga um sig.
9. Rafræn vöktun: Vöktun sem er viðvarandi eða endurtekin reglulega og felur í sér eftirlit með einstaklingum með fjarstýrðum eða sjálfvirkum búnaði og fer fram á almannafæri eða á svæði sem takmarkaður hópur fólks fer um að jafnaði. Hugtakið tekur til:
a. vöktunar sem leiðir, á að leiða eða getur leitt til vinnslu persónuupplýsinga og
b. sjónvarpsvöktunar sem fer fram með notkun sjónvarpsmyndavéla, vefmyndavéla eða annars samsvarandi búnaðar, án þess að fram fari söfnun myndefnis eða aðrar aðgerðir sem jafngilda vinnslu persónuupplýsinga.
10. Gerð persónusniðs: Sjálfvirk vinnsla persónuupplýsinga sem felst í því að nota persónuupplýsingar til að meta ákveðna þætti er varða hagi einstaklings, einkum að greina eða spá fyrir um þætti er varða frammistöðu hans í starfi, fjárhagsstöðu, heilsu, smekk, áhugamál, áreiðanleika, hegðun, staðsetningu eða hreyfanleika.
11. Öryggisbrestur við vinnslu persónuupplýsinga: Brestur á öryggi sem leiðir til óviljandi eða ólögmætrar eyðingar persónuupplýsinga eða þess að þær glatist, breytist, verði birtar eða aðgangur verði veittur að þeim í leyfisleysi.

Lög þessi og reglugerðin gilda um vinnslu persónuupplýsinga sem er sjálfvirk að hluta eða í heild og um vinnslu með öðrum aðferðum en sjálfvirkum á persónuupplýsingum sem eru eða eiga að verða hluti af skrá.

Lög þessi og reglugerðin gilda ekki um meðferð einstaklings á persónuupplýsingum sem eingöngu varða einkahagi hans eða fjölskyldu hans eða eru einvörðungu ætlaðar til persónulegra nota.

Lög þessi gilda um vinnslu persónuupplýsinga látinna einstaklinga eftir því sem við getur átt í fimm ár frá andláti þeirra eða lengur þegar um ræðir persónuupplýsingar sem sanngjarnt og eðlilegt má telja að leynt fari.

Lög þessi og reglugerðin gilda ekki um vinnslu persónuupplýsinga sem fer fram þegar dómstólar fara með dómsvald sitt.

Lög þessi og reglugerðin gilda ekki um vinnslu persónuupplýsinga sem fram fer í tengslum við störf Alþingis og stofnana og rannsóknarnefnda þess.

Lög þessi og reglugerðin gilda ekki um vinnslu persónuupplýsinga af hálfu ríkisins [í þágu öryggis- og varnarmála og] ¹⁾ í tengslum við það að koma í veg fyrir, rannsaka, koma upp um eða saksækja fyrir refsiverð brot eða fullnægja refsiviðurlögum, þ.m.t. að vernda gegn og koma í veg fyrir ógnir við almannaöryggi.

Ákvæði laga þessara og reglugerðarinnar gilda án tillits til þess hvort málefni fellur undir gildissvið EES-samningsins, að undanskildum VII. kafla reglugerðarinnar.

Sérákvæði annarra laga um vinnslu persónuupplýsinga sem sett eru innan ramma reglugerðarinnar ganga framar ákvæðum laga þessara.

Lög þessi takmarka ekki þann rétt til aðgangs að gögnum sem mælt er fyrir um í upplýsingalögum og stjórnsýslulögum.

Ákvæði reglugerðarinnar ganga framar ákvæðum laga þessara.

Að því marki sem það er nauðsynlegt til að samræma sjónarmið um rétt til einkalífs annars vegar og tjáningarfrelsis hins vegar má víkja frá ákvæðum laga þessara og reglugerðarinnar í þágu fjölmiðlunar, lista eða bókmennta.

Þegar persónuupplýsingar eru einvörðungu unnar í þágu fréttamennsku eða bókmenntalegrar eða listrænnar starfsemi gilda aðeins ákvæði a- og d-liðar 1. mgr. 5. gr., 24., 26., 28., 29., 32., 40.-43. og 82. gr. reglugerðarinnar og 48. og 51. gr. laga þessara.

Lög þessi og reglugerðin gilda um vinnslu persónuupplýsinga í tengslum við starfsemi ábyrgðaraðila eða vinnsluaðila með staðfestu hér á landi óháð því hvort vinnslan sjálf fer fram á Evrópska efnahagssvæðinu eða ekki.

Lög þessi og reglugerðin gilda um vinnslu persónuupplýsinga um skráða einstaklinga sem eru hér á landi sem fer fram í starfsemi ábyrgðaraðila eða vinnsluaðila, sem ekki hefur staðfestu á Evrópska efnahagssvæðinu, eða þegar vinnslustarfsemin tengist því að:
1. bjóða þessum skráðu einstaklingum á Evrópska efnahagssvæðinu vöru eða þjónustu, án tillits til þess hvort það er gert gegn greiðslu; eða
2. hafa eftirlit með hegðun þeirra að svo miklu leyti sem hegðun þeirra á sér stað innan þess svæðis.

Þegar svo hagar til sem greinir í 2. mgr. skal ábyrgðaraðili eða vinnsluaðili tilnefna fulltrúa sinn innan Evrópska efnahagssvæðisins eða í aðildarríki stofnsamnings Fríverslunarsamtaka Evrópu, með þeim undantekningum sem kveðið er á um í 27. gr. reglugerðarinnar. Gilda þá ákvæði laga þessara varðandi ábyrgðaraðila eða vinnsluaðila um þann fulltrúa samkvæmt nánari fyrirmælum 27. gr. reglugerðarinnar.

II. kafli. Almennar reglur um vinnslu.

8. gr. Meginreglur um vinnslu persónuupplýsinga.

Við vinnslu persónuupplýsinga skal allra eftirfarandi þátta gætt eftir því sem nánar er lýst í 5. gr. reglugerðarinnar:
1. að þær séu unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða;
2. að þær séu fengnar í skýrt tilgreindum, lögmætum og málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi; frekari vinnsla í sagnfræðilegum, tölfræðilegum eða vísindalegum tilgangi telst ekki ósamrýmanleg að því tilskildu að viðeigandi öryggis sé gætt;
3. að þær séu nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar;
4. að þær séu áreiðanlegar og uppfærðar eftir þörfum; persónuupplýsingum sem eru óáreiðanlegar eða ófullkomnar, miðað við tilgang vinnslu þeirra, skal eyða eða leiðrétta án tafar;
5. að þær séu varðveittar í því formi að ekki sé unnt að bera kennsl á skráða einstaklinga lengur en þörf krefur miðað við tilgang vinnslu; heimilt er að geyma persónuupplýsingar lengur að því tilskildu að vinnsla þeirra þjóni einungis skjalavistun í þágu almannahagsmuna, rannsókna á sviði vísinda eða sagnfræði eða í tölfræðilegum tilgangi og að viðeigandi öryggis sé gætt;
6. að þær séu unnar með þeim hætti að viðeigandi öryggi persónuupplýsinganna sé tryggt.

Ábyrgðaraðili ber ábyrgð á því að vinnsla persónuupplýsinga uppfylli ávallt ákvæði 1. mgr. og skal geta sýnt fram á það.

9. gr. Almennar reglur um heimildir fyrir vinnslu persónuupplýsinga.

Vinnsla persónuupplýsinga er því aðeins heimil að einhver eftirfarandi þátta sé fyrir hendi eftir því sem nánar er lýst í 6. gr. reglugerðarinnar:
1. hinn skráði hafi gefið samþykki sitt fyrir vinnslu á persónuupplýsingum sínum í þágu eins eða fleiri tiltekinna markmiða;
2. vinnslan sé nauðsynleg til að efna samning sem hinn skráði er aðili að eða til að gera ráðstafanir að beiðni hins skráða áður en samningur er gerður;
3. vinnslan sé nauðsynleg til að fullnægja lagaskyldu sem hvílir á ábyrgðaraðila;
4. vinnslan sé nauðsynleg til að vernda brýna hagsmuni hins skráða eða annars einstaklings;
5. vinnslan sé nauðsynleg vegna verks sem unnið er í þágu almannahagsmuna eða við beitingu opinbers valds sem ábyrgðaraðili fer með;
6. vinnslan sé nauðsynleg vegna lögmætra hagsmuna sem ábyrgðaraðili eða þriðji maður gætir nema hagsmunir eða grundvallarréttindi og frelsi hins skráða sem krefjast verndar persónuupplýsinga vegi þyngra, einkum þegar hinn skráði er barn.

Þegar vinnsla er byggð á samþykki skal ábyrgðaraðilinn geta sýnt fram á að skráður einstaklingur hafi samþykkt vinnslu persónuupplýsinga sinna samkvæmt nánari skilyrðum 7. og 8. gr. reglugerðarinnar.

Ef hinn skráði gefur samþykki sitt með skriflegri yfirlýsingu, sem einnig varðar önnur málefni, skal beiðnin um samþykki sett fram á þann hátt að hún sé auðgreinanleg frá hinum málefnunum, á skiljanlegu og aðgengilegu formi og skýru og einföldu máli.

Skráður einstaklingur á rétt á að draga samþykki sitt til baka hvenær sem er. Afturköllun samþykkis skal ekki hafa áhrif á lögmæti vinnslu á grundvelli samþykkisins fram að afturkölluninni.

Þegar metið er hvort samþykki sé gefið af fúsum og frjálsum vilja skal taka ýtrasta tillit til þess hvort það sé skilyrði fyrir framkvæmd samnings að samþykki sé gefið fyrir vinnslu persónuupplýsinga sem ekki er nauðsynleg vegna samningsins.

Þegar barni er boðin þjónusta í upplýsingasamfélaginu með beinum hætti og vinnsla persónuupplýsinga byggist á samþykki þess telst vinnslan því aðeins lögmæt ef barnið hefur náð 13 ára aldri. Sé barnið undir 13 ára aldri telst vinnslan aðeins lögmæt að því marki sem forsjáraðili þess heimilar samþykki. Ábyrgðaraðili skal gera það sem sanngjarnt má telja til að sannreyna í slíkum tilvikum að samþykkið sé gefið eða heimilað af hálfu forsjáraðila barnsins, að teknu tilliti til þeirrar tækni sem fyrir hendi er.

11. gr. Sérstök skilyrði fyrir vinnslu viðkvæmra persónuupplýsinga.

Vinnsla viðkvæmra persónuupplýsinga skv. 3. tölul. 3. gr. laga þessara er óheimil nema uppfyllt sé eitthvert af skilyrðum 9. gr. laga þessara og enn fremur eitthvert af eftirfarandi skilyrðum samkvæmt nánari fyrirmælum 9. gr. reglugerðarinnar:
1. hinn skráði hafi veitt afdráttarlaust samþykki sitt fyrir vinnslunni í þágu eins eða fleiri tiltekinna markmiða;
2. vinnslan sé nauðsynleg til þess að ábyrgðaraðili eða hinn skráði geti staðið við skuldbindingar sínar og nýtt sér tiltekin réttindi samkvæmt vinnulöggjöf og löggjöf um almannatryggingar og félagslega vernd og fari fram á grundvelli laga sem kveða á um viðeigandi og sértækar ráðstafanir til að vernda grundvallarréttindi og hagsmuni hins skráða;
3. vinnslan sé nauðsynleg til að verja brýna hagsmuni hins skráða eða annars einstaklings sem ekki er sjálfur fær um að gefa samþykki sitt;
4. vinnslan fari fram sem liður í lögmætri starfsemi stofnunar, samtaka eða annars aðila sem starfar ekki í hagnaðarskyni og hefur stjórnmálaleg, heimspekileg, trúarleg eða stéttarfélagsleg markmið, enda nái vinnslan einungis til meðlima eða fyrrum meðlima viðkomandi aðila eða einstaklinga sem eru í reglulegu sambandi við hann í tengslum við tilgang hans, persónuupplýsingar séu ekki fengnar þriðja aðila í hendur án samþykkis hins skráða og gerðar séu viðeigandi verndarráðstafanir;
5. vinnslan taki einungis til upplýsinga sem hinn skráði hefur augljóslega sjálfur gert opinberar;
6. vinnslan sé nauðsynleg til að unnt sé að stofna, hafa uppi eða verja réttarkröfur;
7. vinnslan sé nauðsynleg, af ástæðum sem varða verulega almannahagsmuni, og fari fram á grundvelli laga sem kveða á um viðeigandi og sértækar ráðstafanir til að vernda grundvallarréttindi og hagsmuni hins skráða;
8. vinnslan sé nauðsynleg til að unnt sé að fyrirbyggja sjúkdóma eða vegna atvinnusjúkdómalækninga, til að meta vinnufærni starfsmanns, greina sjúkdóma og veita umönnun eða meðferð á sviði heilbrigðis- eða félagsþjónustu og fyrir henni sé sérstök lagaheimild, enda sé hún framkvæmd af starfsmanni slíkrar þjónustu sem bundinn er þagnarskyldu;
9. vinnslan sé nauðsynleg af ástæðum er varða almannahagsmuni á sviði lýðheilsu, svo sem til að verjast alvarlegum heilsufarsógnum sem ná yfir landamæri eða tryggja gæði og öryggi heilbrigðisþjónustu og lyfja eða lækningatækja, og fari fram á grundvelli laga sem kveða á um viðeigandi og sértækar ráðstafanir til að vernda grundvallarréttindi og hagsmuni hins skráða;
10. vinnslan sé nauðsynleg vegna tölfræði-, sagnfræði- eða vísindarannsókna, enda sé persónuvernd tryggð með tilteknum ráðstöfunum eftir því sem við á í samræmi við lög þessi og fari fram á grundvelli laga sem kveða á um viðeigandi og sértækar ráðstafanir til að vernda grundvallarréttindi og hagsmuni hins skráða;
11. vinnslan sé nauðsynleg vegna skjalavistunar í þágu almannahagsmuna og fari fram á grundvelli laga sem kveða á um viðeigandi og sértækar ráðstafanir til að vernda grundvallarréttindi og hagsmuni hins skráða, einkum þagnarskyldu.

Persónuvernd leysir úr ágreiningi um hvort persónuupplýsingar skuli teljast viðkvæmar eða ekki.

12. gr. Vinnsla upplýsinga um refsiverða háttsemi.

Stjórnvöld mega ekki vinna með upplýsingar um refsiverða háttsemi nema það sé nauðsynlegt í þágu lögbundinna verkefna þeirra.

Upplýsingum skv. 1. mgr. má ekki miðla nema því aðeins að:
1. hinn skráði hafi gefið afdráttarlaust samþykki sitt fyrir miðluninni;
2. miðlunin sé nauðsynleg í þágu lögmætra hagsmuna hins opinbera eða einkaaðila sem auðsjáanlega vega þyngra en þeir hagsmunir sem eru af leynd um upplýsingarnar, þar á meðal hagsmunir hins skráða;
3. miðlunin sé nauðsynleg í þágu lögbundinna verkefna viðkomandi stjórnvalds eða til að unnt sé að taka stjórnvaldsákvörðun; eða
4. miðlunin sé nauðsynleg vegna verkefnis í þágu hins opinbera sem einkaaðila hefur verið falið á lögmætan hátt.

Einkaaðilar mega ekki vinna með upplýsingar um refsiverða háttsemi nema hinn skráði hafi veitt til þess afdráttarlaust samþykki sitt eða vinnslan sé nauðsynleg í þágu lögmætra hagsmuna sem auðsjáanlega vega þyngra en grundvallarréttindi og frelsi hins skráða.

Upplýsingum skv. 3. mgr. má ekki miðla nema hinn skráði veiti til þess afdráttarlaust samþykki sitt. Þó má miðla upplýsingum án samþykkis sé það nauðsynlegt í þágu lögmætra hagsmuna hins opinbera eða einkaaðila sem vega þyngra en þeir hagsmunir sem eru af leynd um upplýsingarnar, þar á meðal hagsmunir hins skráða.

Vinnsla samkvæmt þessari grein skal ávallt eiga stoð í einhverri af heimildum 9. gr. laga þessara, sbr. 1. mgr. 6. gr. reglugerðarinnar.

Notkun kennitölu er heimil eigi hún sér málefnalegan tilgang og sé nauðsynleg til að tryggja örugga persónugreiningu. Persónuvernd getur bannað eða fyrirskipað notkun kennitölu.

Rafræn vöktun er ávallt háð því skilyrði að hún fari fram í málefnalegum tilgangi. Rafræn vöktun svæðis þar sem takmarkaður hópur fólks fer um að jafnaði er jafnframt háð því skilyrði að hennar sé sérstök þörf vegna eðlis þeirrar starfsemi sem þar fer fram.

Vinnsla persónuupplýsinga sem á sér stað í tengslum við rafræna vöktun skal uppfylla ákvæði laga þessara.

Heimilt er í tengslum við framkvæmd rafrænnar vöktunar að safna efni sem verður til við vöktunina, svo sem hljóð- og myndefni, með viðkvæmum persónuupplýsingum og upplýsingum um refsiverða háttsemi ef eftirfarandi skilyrði eru uppfyllt:
1. vöktunin sé nauðsynleg og fari fram í öryggis- eða eignavörsluskyni;
2. það efni sem til verður við vöktunina verði ekki afhent öðrum eða unnið frekar nema með samþykki þess sem upptaka er af eða á grundvelli heimilda í reglum skv. 5. mgr.; heimilt er þó að afhenda lögreglu efni með upplýsingum um slys eða refsiverðan verknað en þá skal þess gætt að eyða öllum öðrum eintökum af efninu;
3. því efni sem safnast við vöktunina verði eytt þegar ekki er lengur málefnaleg ástæða til að varðveita það.

Þegar rafræn vöktun fer fram á vinnustað eða á almannafæri skal með merki eða á annan áberandi hátt gera glögglega viðvart um þá vöktun og hver sé ábyrgðaraðili.

Persónuvernd setur reglur og gefur fyrirmæli um rafræna vöktun og vinnslu efnis sem verður til við vöktunina, svo sem hljóð- og myndefnis, þar á meðal um öryggi þess, rétt hins skráða til að horfa eða hlusta á upptökur, varðveislutíma og eyðingu, varðveisluaðferð, afhendingu efnisins og notkun þess.

15. gr. Vinnsla upplýsinga um fjárhagsmálefni og lánstraust.

Starfræksla fjárhagsupplýsingastofa og vinnsla upplýsinga sem varða fjárhagsmálefni og lánstraust einstaklinga og lögaðila, þ.m.t. vanskilaskráning og gerð lánshæfismats, í því skyni að miðla þeim til annarra, skal bundin leyfi Persónuverndar. Þegar um lögaðila er að ræða gilda eingöngu eftirfarandi ákvæði laga þessara: 17. gr. um upplýsingarétt hins skráða, 20. gr. um rétt til leiðréttingar og eyðingar gagna, 25. gr. um meðferð vinnsluaðila á upplýsingum, 31. gr. um leyfisskylda vinnslu, 32. gr. um forsendur leyfisveitingar, 33. gr. um skilmála, 5. og 6. tölul. 1. mgr. 41. gr. um aðgang Persónuverndar að upplýsingum o.fl., 6. tölul. 42. gr. um stöðvun vinnslu o.fl., 45. gr. um dagsektir, 48. gr. um refsingar og 51. gr. um bætur.

Ráðherra skal setja reglugerð þar sem nánar er mælt fyrir um skilyrði fyrir vinnslu skv. 1. mgr.

16. gr. Miðlun persónuupplýsinga úr landi eða til alþjóðastofnana.

Ákvarðanir framkvæmdastjórnarinnar um miðlun upplýsinga til þriðja lands eða alþjóðastofnunar skv. 45. gr. reglugerðarinnar gilda hér á landi í samræmi við ákvörðun sameiginlegu EES-nefndarinnar. Skal ráðherra staðfesta slíkar ákvarðanir og birta auglýsingu þar um í Stjórnartíðindum.

III. kafli. Réttindi hins skráða og takmarkanir á þeim.

17. gr. Meginreglur um gagnsæi upplýsinga, rétt hins skráða til upplýsinga og aðgangs og undantekningar frá rétti hins skráða.

Ábyrgðaraðili skal gera viðeigandi ráðstafanir til að tryggja gagnsæi upplýsinga og tilkynningar til skráðs einstaklings samkvæmt fyrirmælum 12. gr. reglugerðarinnar svo að hann geti neytt upplýsingaréttar síns og réttar til aðgangs.

Hinn skráði á rétt til upplýsinga um vinnslu, hvort sem persónuupplýsinga er aflað hjá honum sjálfum eða ekki, svo og rétt til aðgangs að persónuupplýsingum um sig samkvæmt fyrirmælum 13.-15. gr. reglugerðarinnar með þeim undantekningum sem greinir í 3. mgr.

Ákvæði 1.-3. mgr. 13. gr., 1.-4. mgr. 14. gr. og 15. gr. reglugerðarinnar um réttindi hins skráða gilda ekki ef brýnir hagsmunir einstaklinga tengdir upplýsingunum, þar á meðal hins skráða sjálfs, vega þyngra.

Heimilt er með lögum að takmarka rétt sem veittur er með 13.-15. gr. reglugerðarinnar virði slík takmörkun eðli grundvallarréttinda og mannfrelsis og teljist nauðsynleg og hófleg ráðstöfun í lýðræðisþjóðfélagi til að tryggja:
1. þjóðaröryggi;
2. landvarnir;
3. almannaöryggi;
4. það að koma í veg fyrir, rannsaka, koma upp um eða saksækja fyrir refsiverð brot eða fullnægja refsiviðurlögum, þ.m.t. að vernda gegn og koma í veg fyrir ógnir við almannaöryggi;
5. önnur mikilvæg markmið sem þjóna almannahagsmunum, einkum efnahagslegum eða fjárhagslegum, þ.m.t. vegna gjaldeyrismála, fjárlaga og skattamála, lýðheilsu og almannatrygginga;
6. vernd skráðs einstaklings, brýnna almannahagsmuna eða grundvallarréttinda annarra;
7. það að einkaréttarlegum kröfum sé fullnægt;
8. lagaákvæði um þagnarskyldu.

Heimilt er að beita ákvæði 4. mgr. um persónuupplýsingar í vinnuskjölum sem notuð eru við undirbúning ákvarðana hjá ábyrgðaraðila, og ekki hefur verið dreift til annarra, að því marki sem nauðsynlegt er til að tryggja undirbúning málsmeðferðar.

Upplýsingar í málum sem eru til meðferðar hjá stjórnvöldum má undanþiggja réttinum til aðgangs skv. 1. mgr. 15. gr. reglugerðarinnar að sama marki og gildir um undantekningar á upplýsingarétti samkvæmt upplýsingalögum og stjórnsýslulögum.

Ákvæði 34. gr. reglugerðarinnar um skyldu til að tilkynna hinum skráða um öryggisbrest gildir ekki ef ákvæði 1. og 4. tölul. 4. mgr. eiga við.

18. gr. Verndarráðstafanir og undanþágur varðandi vinnslu vegna rannsókna, tölfræði eða skjalavistunar í þágu almannahagsmuna.

Vinnsla vegna rannsókna á sviði vísinda eða sagnfræði, í tölfræðilegum tilgangi eða vegna skjalavistunar í þágu almannahagsmuna skal vera háð viðeigandi ráðstöfunum, þar á meðal tæknilegum og skipulagslegum, til verndar réttindum og frelsi skráðra einstaklinga í samræmi við 89. gr. reglugerðarinnar, einkum til þess að tryggja að farið sé að meginreglunni um lágmörkun gagna.

Ákvæði 15., 16., 18. og 21. gr. reglugerðarinnar um réttindi hins skráða gilda ekki þegar vinnsla persónuupplýsinga fer aðeins fram í þágu vísinda eða sagnfræði eða í tölfræðilegum tilgangi að svo miklu leyti sem telja má að þessi réttindi geri það ómögulegt eða hamli því verulega að unnt sé að ná viðkomandi markmiðum.

Ákvæði 15., 16., 18., 19., 20. og 21. gr. reglugerðarinnar um réttindi hins skráða gilda ekki þegar vinnsla persónuupplýsinga fer aðeins fram vegna skjalavistunar í þágu almannahagsmuna að svo miklu leyti sem telja má að þessi réttindi geri það ómögulegt eða hamli því verulega að unnt sé að ná viðkomandi markmiðum. Þó á hinn skráði rétt á að leggja fram yfirlýsingu til varðveislu í gögnum með persónuupplýsingum um hann.

Heimilt er að afhenda opinberu skjalasafni upplýsingar sem falla undir lög þessi í samræmi við ákvæði laga um opinber skjalasöfn.

19. gr. Undantekning frá upplýsingaskyldu vegna vinnslu persónuupplýsinga hjá stjórnvöldum.

Upplýsingaskyldan skv. 3. mgr. 13. gr. og 4. mgr. 14. gr. reglugerðarinnar gildir ekki þegar stjórnvald miðlar persónuupplýsingum til annars stjórnvalds í þágu lögbundins hlutverks við framkvæmd laga og upplýsingum er miðlað aðeins að því marki sem nauðsynlegt er til að rækja lagaskyldu stjórnvalds.

20. gr. Réttur til leiðréttingar, eyðingar, flutnings eigin gagna o.fl.

Hinn skráði á rétt á að fá óáreiðanlegar persónuupplýsingar um sig leiðréttar svo og rétt til að ábyrgðaraðilinn eyði persónuupplýsingum um hann án ótilhlýðilegrar tafar (réttur til að gleymast) og rétt til að ábyrgðaraðili takmarki vinnslu samkvæmt nánari skilyrðum 16.-19. gr. reglugerðarinnar.

Skráður einstaklingur skal eiga rétt á að fá persónuupplýsingar um sig, sem hann hefur sjálfur látið ábyrgðaraðila í té, á skipulegu, algengu, tölvulesanlegu sniði og jafnframt á að senda þessar upplýsingar til annars ábyrgðaraðila samkvæmt nánari skilyrðum 20. gr. reglugerðarinnar.

21. gr. Um andmælarétt hins skráða og bannskrá Þjóðskrár Íslands.

Hinum skráða er heimilt að andmæla vinnslu persónuupplýsinga um sig sem byggist á e- eða f-lið 1. mgr. 6. gr. reglugerðarinnar, þ.m.t. gerð persónusniðs. Ábyrgðaraðili skal ekki vinna persónuupplýsingarnar frekar nema hann geti sýnt fram á mikilvægar lögmætar ástæður fyrir vinnslunni sem ganga framar hagsmunum, réttindum og frelsi hins skráða, eða hún sé nauðsynleg til að stofna, hafa uppi eða verja réttarkröfur samkvæmt nánari fyrirmælum 21. gr. reglugerðarinnar. Eigi andmælin rétt á sér er ábyrgðaraðila óheimil frekari vinnsla umræddra upplýsinga.

Skylt er að nafn ábyrgðaraðila komi fram á áberandi stað á útsendum markpósti og hvert þeir sem andmæla því að fá slíkan markpóst og marksímtöl geti snúið sér. Viðtakandi markpósts á rétt á að fá vitneskju um hvaðan þær upplýsingar koma sem liggja úthringingu eða útsendingu til grundvallar. Þetta gildir ekki um markaðssetningu ábyrgðaraðila á eigin vöru og þjónustu sem notar eigin viðskiptamannaskrár, enda beri útsent efni með sér hvaðan það kemur. Ef markpóstur er sendur með rafrænum hætti er skylt að fram komi á ótvíræðan hátt um leið og hann er móttekinn að um slíkan póst sé að ræða. Að öðru leyti fer um sendingu slíks markpósts samkvæmt lögum um fjarskipti.

Ábyrgðaraðila er heimilt að afhenda félaga-, starfsmanna-, nemenda- eða viðskiptamannaskrár til nota í tengslum við markaðssetningarstarfsemi. Þetta á þó aðeins við ef:
1. ekki telst vera um afhendingu viðkvæmra persónuupplýsinga að ræða;
2. hinum skráðu hefur, áður en afhending fer fram, verið gefinn kostur á að andmæla því, hverjum fyrir sitt leyti, að upplýsingar um viðkomandi birtist á hinni afhentu skrá;
3. slíkt fer ekki gegn starfsreglum eða félagssamþykktum sem í gildi eru hjá viðkomandi ábyrgðaraðila;
4. ábyrgðaraðili kannar hvort einhver hinna skráðu hefur komið andmælum á framfæri við Þjóðskrá Íslands, sbr. 2. mgr., og eyðir upplýsingum um viðkomandi áður en hann lætur skrána af hendi ef svo reynist vera.

Ákvæði 5. mgr. gildir ekki ef afhending félaga-, starfsmanna- eða viðskiptamannaskrár til nota við dreifingu markpósts byggist á samþykki hins skráða, sbr. 1. tölul. 9. gr. laga þessara.

Ákvæði 2.-5. mgr. gilda, eftir því sem við á, einnig um markaðs-, neyslu- og skoðanakannanir.

22. gr. Réttindi tengd einstaklingsmiðuðum ákvörðunum sem byggjast á sjálfvirkri gagnavinnslu.

Skráður einstaklingur skal eiga rétt á því að ekki sé tekin ákvörðun eingöngu á grundvelli sjálfvirkrar gagnavinnslu, þ.m.t. gerðar persónusniðs, sem hefur réttaráhrif að því er hann sjálfan varðar eða snertir hann á sambærilegan hátt að verulegu leyti samkvæmt nánari fyrirmælum 22. gr. reglugerðarinnar, með þeim undantekningum sem þar getur.

IV. kafli. Almennar reglur um skyldur ábyrgðaraðila og vinnsluaðila og öryggi persónuupplýsinga.

Ábyrgðaraðili skal gera viðeigandi tæknilegar og skipulagslegar ráðstafanir sem taka mið af eðli, umfangi, samhengi og tilgangi vinnslunnar og áhættu fyrir réttindi og frelsi skráðra einstaklinga til að tryggja og sýna fram á að vinnsla persónuupplýsinga uppfylli kröfur reglugerðarinnar samkvæmt nánari fyrirmælum 24. og 25. gr. reglugerðarinnar. Þegar tveir eða fleiri eru sameiginlegir ábyrgðaraðilar fer um skyldur þeirra eftir 26. gr. reglugerðarinnar.

24. gr. Innbyggð og sjálfgefin persónuvernd.

Ábyrgðaraðili skal, bæði þegar ákveðnar eru aðferðir við vinnsluna og þegar vinnslan sjálf fer fram, gera viðeigandi tæknilegar og skipulagslegar ráðstafanir, sem hannaðar eru til að framfylgja meginreglum um persónuvernd, og fella nauðsynlegar verndarráðstafanir inn í vinnsluna til að uppfylla kröfur reglugerðarinnar og vernda réttindi skráðra einstaklinga samkvæmt nánari fyrirmælum 1. mgr. 25. gr. reglugerðarinnar.

Ábyrgðaraðili skal gera viðeigandi tæknilegar og skipulagslegar ráðstafanir til að tryggja að sjálfgefið sé að einungis þær persónuupplýsingar séu unnar sem nauðsynlegar eru vegna tilgangs vinnslunnar hverju sinni samkvæmt nánari fyrirmælum 2. mgr. 25. gr. reglugerðarinnar.

25. gr. Almennar reglur um vinnsluaðila.

Þegar öðrum er falin vinnsla persónuupplýsinga fyrir hönd ábyrgðaraðila skal ábyrgðaraðili einungis leita til vinnsluaðila sem veita nægilegar tryggingar fyrir því að þeir geri viðeigandi tæknilegar og skipulagslegar ráðstafanir til að vinnslan uppfylli kröfur reglugerðarinnar og réttindi skráðra einstaklinga séu tryggð.

Vinnsluaðili skal ekki ráða annan vinnsluaðila nema hafa til þess sértæka eða almenna skriflega heimild ábyrgðaraðila. Ef um er að ræða almenna skriflega heimild skal vinnsluaðilinn tilkynna ábyrgðaraðilanum um allar fyrirhugaðar breytingar sem fela í sér að bætt er við vinnsluaðilum eða þeim skipt út og gefa þannig ábyrgðaraðilanum færi á að andmæla slíkum breytingum.

Vinnsla af hálfu vinnsluaðila skal byggjast á samningi eða annarri réttargerð samkvæmt lögum sem skuldbindur vinnsluaðila gagnvart ábyrgðaraðilanum og tilgreinir viðfangsefni og tímalengd vinnslunnar, eðli hennar og tilgang, tegund persónuupplýsinga, flokka skráðra einstaklinga og skyldur og réttindi ábyrgðaraðilans eftir nánari fyrirmælum 28. gr. reglugerðarinnar.

Sérhver ábyrgðaraðili og vinnsluaðili og, eftir atvikum, fulltrúi þeirra skal halda skrá yfir vinnslustarfsemi sína. Um upplýsingar sem skrá yfir vinnslustarfsemi skal innihalda, form skrár, aðgengileika o.fl. gilda fyrirmæli 30. gr. reglugerðarinnar.

Skyldur skv. 1. mgr. eiga ekki við um fyrirtæki eða stofnun sem hefur færri en 250 starfsmenn nema vinnslan, sem innt er þar af hendi, sé líkleg til að leiða af sér áhættu fyrir réttindi og frelsi skráðra einstaklinga, vinnslan sé ekki tilfallandi eða taki til viðkvæmra persónuupplýsinga skv. 1. mgr. 11. gr. laga þessara eða persónuupplýsinga er varða sakfellingar í refsimálum og refsiverða háttsemi eins og um getur í 12. gr. laga þessara.

27. gr. Öryggi persónuupplýsinga og tilkynningar um öryggisbresti.

Ábyrgðaraðili og vinnsluaðili skulu gera viðeigandi tæknilegar og skipulagslegar ráðstafanir til að tryggja viðunandi öryggi persónuupplýsinga með hliðsjón af nýjustu tækni, kostnaði við framkvæmd, eðli, umfangi, samhengi og tilgangi vinnslunnar og áhættu, mislíklegri og misalvarlegri, fyrir réttindi og frelsi einstaklinga samkvæmt nánari fyrirmælum 32. gr. reglugerðarinnar.

Ef um öryggisbrest við meðferð persónuupplýsinga er að ræða skal ábyrgðaraðili, án ótilhlýðilegrar tafar og, ef mögulegt er, eigi síðar en 72 klst. eftir að hann verður brestsins var, tilkynna um hann til Persónuverndar nema ólíklegt þyki að bresturinn leiði til áhættu fyrir réttindi og frelsi einstaklinga. Sé Persónuvernd ekki tilkynnt um brestinn innan 72 klst. skulu ástæður fyrir töfinni fylgja tilkynningunni. Þá skal vinnsluaðili tilkynna ábyrgðaraðila um það án ótilhlýðilegrar tafar ef hann verður var við öryggisbrest við meðferð persónuupplýsinga. Um efni tilkynningar til Persónuverndar gilda fyrirmæli 33. gr. reglugerðarinnar.

Ef líklegt er að öryggisbrestur við meðferð persónuupplýsinga leiði af sér mikla áhættu fyrir réttindi og frelsi einstaklinga skal ábyrgðaraðili tilkynna skráðum einstaklingi um brestinn án ótilhlýðilegrar tafar. Um efni slíkrar tilkynningar og undanþágur frá tilkynningarskyldu gilda fyrirmæli 34. gr. reglugerðarinnar.

Ábyrgðaraðili og vinnsluaðili og, eftir atvikum, fulltrúar þeirra skulu, að fenginni beiðni Persónuverndar, hafa samvinnu við stofnunina við framkvæmd verkefna hennar.

V. kafli. Mat á áhrifum á persónuvernd, leyfisskylda o.fl.

Ef líklegt er að tiltekin tegund vinnslu geti haft í för með sér mikla áhættu fyrir réttindi og frelsi einstaklinga, einkum þar sem beitt er nýrri tækni og með hliðsjón af eðli, umfangi, samhengi og tilgangi vinnslunnar, skal ábyrgðaraðili láta fara fram mat á áhrifum fyrirhugaðra vinnsluaðgerða á vernd persónuupplýsinga áður en vinnslan hefst samkvæmt nánari fyrirmælum 35. gr. reglugerðarinnar. Eitt og sama mat getur tekið til nokkurra svipaðra vinnsluaðgerða sem geta haft í för með sér svipaða áhættuþætti.

Persónuvernd birtir skrá ¹⁾ yfir þær tegundir vinnsluaðgerða þar sem krafist er mats á áhrifum á persónuvernd skv. 1. mgr.

Persónuvernd getur einnig ákveðið að birta skrá yfir þær tegundir vinnsluaðgerða þar sem ekki er krafist mats á áhrifum á persónuvernd.

Ef mat á áhrifum á persónuvernd gefur til kynna að vinnsla mundi hafa mikla áhættu í för með sér, nema ábyrgðaraðili grípi til ráðstafana til að draga úr henni, skal hann hafa samráð við Persónuvernd áður en vinnslan hefst samkvæmt nánari fyrirmælum 36. gr. reglugerðarinnar.

Telji Persónuvernd að fyrirhuguð vinnsla, sem um getur í 1. mgr., mundi brjóta í bága við reglugerðina, einkum ef ábyrgðaraðili hefur ekki greint eða dregið úr áhættunni með fullnægjandi hætti, skal stofnunin, innan átta vikna frá því að henni berst beiðni um samráð, veita ábyrgðaraðila og, eftir atvikum, vinnsluaðila skriflega ráðgjöf og getur notað til þess allar valdheimildir sínar sem um getur í 41.-43. gr. laga þessara. Lengja má frestinn um sex vikur með hliðsjón af því hversu flókin fyrirhuguð vinnsla er. Persónuvernd skal tilkynna ábyrgðaraðila og, eftir atvikum, vinnsluaðila um slíkar framlengingar innan mánaðar frá viðtöku beiðni um samráð, ásamt ástæðunum fyrir töfinni. Þessa fresti má framlengja þar til Persónuvernd hefur fengið þær upplýsingar sem hún óskar eftir vegna samráðsins.

Sé um að ræða vinnslu persónuupplýsinga vegna verkefnis í þágu almannahagsmuna sem getur falið í sér sérstaka hættu á að farið verði í bága við réttindi og frelsi skráðra einstaklinga getur Persónuvernd ákveðið að vinnslan megi ekki hefjast fyrr en hún hefur verið athuguð af stofnuninni og samþykkt með útgáfu sérstakrar heimildar. Persónuvernd getur ákveðið að slík leyfisskylda falli brott þegar settar hafa verið almennar reglur og öryggisstaðlar sem fylgja skuli við slíka vinnslu.

32. gr. Forsendur leyfisveitingar o.fl.

Ábyrgðaraðila má aðeins veita leyfi skv. 31. gr. laga þessara ef líklegt er að hann geti fullnægt skyldum sínum samkvæmt reglugerðinni og lögum þessum eða fyrirmælum Persónuverndar.

Við afgreiðslu leyfa skv. 31. gr. laga þessara sem tengjast vinnslu viðkvæmra persónuupplýsinga skal Persónuvernd meta hvort vinnslan geti valdið hinum skráða slíku óhagræði að ekki verði úr því bætt með forsvaranlegum hætti með skilyrðum sem sett eru skv. 33. gr. laga þessara. Ef slíkt óhagræði getur orðið skal Persónuvernd meta hvort hagsmunir sem mæla með vinnslunni vegi þyngra en hagsmunir hins skráða.

33. gr. Skilmálar Persónuverndar um vinnslu persónuupplýsinga.

Þegar ábyrgðaraðila er veitt leyfi skv. 31. gr. laga þessara skal Persónuvernd binda það þeim skilyrðum sem hún metur nauðsynleg hverju sinni til að draga úr eða koma í veg fyrir hugsanlegt óhagræði hins skráða af vinnslunni.

Við mat á því hvaða skilyrði skal setja fyrir vinnslu skal Persónuvernd m.a. athuga:
1. hvort tryggt sé að hinn skráði geti nýtt réttindi sín samkvæmt lögum þessum, þar á meðal til að afturkalla samþykki og eftir atvikum fá eytt skráðum persónuupplýsingum, svo og til að fá fræðslu um réttindi sín og beitingu þeirra;
2. hvort persónuupplýsingar verði nægjanlega öruggar, áreiðanlegar og uppfærðar í samræmi við tilgang vinnslunnar;
3. hvort með persónuupplýsingarnar verði farið af þeirri varúð sem reglur um þagnarskyldu og tilgangur vinnslunnar krefst;
4. hvort skipulagt hafi verið hvernig hinum skráða verði veittar upplýsingar og leiðbeiningar innan þeirra marka sem sanngjarnt er að ætlast til miðað við umfang vinnslunnar og aðrar öryggisráðstafanir sem viðhafðar eru;
5. hvort stofnað hafi verið til öryggisráðstafana sem séu eðlilegar miðað við tilgang vinnslunnar;
6. hvort mat á áhrifum á persónuvernd fari fram áður en vinnsla hefst.

34. gr. Leyfi fyrir vísindarannsóknum á heilbrigðissviði.

Um leyfi fyrir vísindarannsóknum á heilbrigðissviði fer samkvæmt lögum um vísindarannsóknir á heilbrigðissviði.

VI. kafli. Persónuverndarfulltrúar og vottunaraðilar.

Ábyrgðaraðili og vinnsluaðili skulu tilnefna persónuverndarfulltrúa í sérhverju tilviki þar sem:
1. vinnsla er í höndum stjórnvalds;
2. meginstarfsemi ábyrgðaraðila eða vinnsluaðila felst í vinnsluaðgerðum sem krefjast, sakir eðlis síns, umfangs eða tilgangs, umfangsmikils, reglubundins og kerfisbundins eftirlits með skráðum einstaklingum, eða
3. meginstarfsemi ábyrgðaraðila eða vinnsluaðila felst í umfangsmikilli vinnslu viðkvæmra persónuupplýsinga eða upplýsinga sem varða sakfellingar í refsimálum og refsiverð brot.

Fyrirtækjasamstæðu er heimilt að tilnefna einn persónuverndarfulltrúa að því tilskildu að sérhver starfsstöð hafi greiðan aðgang að honum. Einnig er fleiri en einu stjórnvaldi heimilt að skipa sameiginlegan persónuverndarfulltrúa að teknu tilliti til stjórnskipulags þeirra og stærðar.

Um hæfni persónuverndarfulltrúa, stöðu hans og verkefni gilda að öðru leyti fyrirmæli 37.-39. gr. reglugerðarinnar.

36. gr. Þagnarskylda persónuverndarfulltrúa.

[Persónuverndarfulltrúa er óheimilt að segja frá nokkru því sem hann hefur fengið vitneskju um í starfi sínu og leynt á að fara. Enn fremur hvílir þagnarskylda á persónuverndarfulltrúa skv. X. kafla stjórnsýslulaga eftir því sem við á.] ¹⁾

Þagnarskylda gildir þó ekki hafi hinn skráði veitt samþykki sitt til þess að leynd sé aflétt, svo og þegar nauðsyn krefur vegna framkvæmdar starfa persónuverndarfulltrúans.

Faggildingarsvið [Hugverkastofunnar], ¹⁾ að fenginni umsögn Persónuverndar, hefur heimild til að faggilda vottunaraðila sem gefur út vottun skv. 42. gr. reglugerðarinnar.

Um skilyrði faggildingar vottunaraðila, fyrirkomulag og efni vottunar gilda að öðru leyti fyrirmæli 42. og 43. gr. reglugerðarinnar.

38. gr. Skipulag Persónuverndar og stjórnsýsla.

Persónuvernd er sjálfstæð stofnun með sérstaka stjórn. Hún tekur ekki við fyrirmælum frá stjórnvöldum eða öðrum aðilum. Ákvörðunum Persónuverndar samkvæmt lögum þessum verður ekki skotið til annarra stjórnvalda, en aðilum máls er heimilt að leggja ágreining sinn fyrir dómstóla með venjubundnum hætti.

Ráðherra skipar fimm menn í stjórn Persónuverndar og jafnmarga til vara til fimm ára í senn. Ekki er heimilt að skipa stjórnarmenn lengur en í þrjú tímabil samfellt. Formann og varaformann stjórnarinnar skipar ráðherra án tilnefningar og skulu þeir vera lögfræðingar og fullnægja hæfisskilyrðum héraðsdómara. Ráðherra sem fer með málefni netöryggis og fjarskipta tilnefnir einn stjórnarmann og ráðherra sem fer með málefni heilbrigðisþjónustu tilnefnir einn stjórnarmann. Þá tilnefnir Skýrslutæknifélag Íslands einn stjórnarmann og skal hann vera sérfróður á sviði tölvu- og tæknimála. Stjórnarmenn og varamenn þeirra skulu hafa þekkingu á málefnum tengdum persónuvernd og menntun sem nýtist á því sviði. Ráðherra ákveður laun stjórnarmanna.

Hlutverk stjórnar er að móta áherslur í starfi í samráði við forstjóra og fylgjast með starfsemi og rekstri Persónuverndar. Þá tekur stjórn meiri háttar efnislegar eða stefnumótandi ákvarðanir í málum sem stofnunin hefur til meðferðar, þar á meðal um álagningu dagsekta og stjórnvaldssekta. Stjórn Persónuverndar setur nánari reglur ¹⁾ um skiptingu starfa á milli stjórnar og skrifstofu stofnunarinnar og framkvæmd þeirra.

Stjórnarmanni verður aðeins vikið úr stjórn vegna alvarlegra ávirðinga eða ef hann fullnægir ekki lengur þeim skilyrðum sem krafist er vegna starfs hans.

Þegar stjórnarmenn eru ekki sammála ræður meiri hluti niðurstöðu máls. Ef atkvæði eru jöfn ræður atkvæði formanns.

Ráðherra skipar forstjóra Persónuverndar til fimm ára í senn að fenginni tillögu stjórnar. Forstjóri skal hafa menntun á háskólastigi og búa yfir þekkingu og reynslu á málefnum tengdum persónuvernd.

Forstjóri situr fundi stjórnar með málfrelsi og tillögurétti.

Forstjóri Persónuverndar ber ábyrgð á og annast daglega stjórnun á starfsemi, fjárreiðum og rekstri stofnunarinnar og ræður starfsmenn hennar.

Persónuvernd er eftirlitsstjórnvald skv. VI. kafla reglugerðarinnar og annast eftirlit með framkvæmd hennar, laga þessara, sérákvæða í lögum sem fjalla um vinnslu persónuupplýsinga og annarra reglna um efnið.

Sérhver skráður einstaklingur eða fulltrúi hans hefur rétt til að leggja fram kvörtun hjá Persónuvernd ef hann telur að vinnsla persónuupplýsinga um hann hér á landi eða samkvæmt sérreglum 7. gr. laga þessara brjóti í bága við reglugerðina eða ákvæði laga þessara. Þá getur stofnun, samtök eða félag skv. 80. gr. reglugerðarinnar lagt fram kvörtun hjá Persónuvernd hafi þau ástæðu til að ætla að réttindi skráðs einstaklings hafi verið brotin. Persónuvernd úrskurðar um hvort brot hafi átt sér stað.

Persónuvernd getur fjallað um einstök mál og tekið í þeim ákvörðun að eigin frumkvæði eða samkvæmt erindi þess sem telur að ekki hafi verið unnið með persónuupplýsingar um sig í samræmi við lög þessi og reglur sem settar eru samkvæmt þeim eða einstökum fyrirmælum.

Önnur verkefni Persónuverndar eru m.a. að:
1. efla vitund og skilning almennings á áhættu, reglum, verndarráðstöfunum og réttindum í tengslum við vinnslu persónuupplýsinga, svo og vitund ábyrgðaraðila og vinnsluaðila um skyldur sínar;
2. veita Alþingi, stjórnvöldum og öðrum aðilum ráðgjöf á sviði lagasetningar og stjórnsýslu sem tengist vernd einstaklinga við vinnslu persónuupplýsinga;
3. veita, að fenginni beiðni, skráðum einstaklingi upplýsingar um það hvernig hann getur neytt réttinda sinna samkvæmt lögum þessum og reglugerðinni og, ef við á, starfa með eftirlitsstjórnvöldum í öðrum aðildarríkjum í því skyni;
4. eiga samstarf við eftirlitsstjórnvöld í öðrum aðildarríkjum, þ.m.t. með því að skiptast við þau á upplýsingum, og veita gagnkvæma aðstoð með það fyrir augum að tryggja samkvæmni í beitingu og framkvæmd laga þessara og reglugerðarinnar;
5. fylgjast með framvindu á sviðum tengdum persónuupplýsingavernd, einkum þróun upplýsinga- og fjarskiptatækni og viðskiptahátta;
6. samþykkja föst samningsákvæði eins og um getur í 8. mgr. 28. gr. og d-lið 2. mgr. 46. gr. reglugerðarinnar;
7. útbúa og viðhalda skrá yfir þær tegundir vinnsluaðgerða þar sem krafist er mats á áhrifum á persónuvernd skv. 4. mgr. 35. gr. reglugerðarinnar;
8. veita ráðgjöf um vinnsluaðgerðir eins og um getur í 2. mgr. 36. gr. reglugerðarinnar;
9. hvetja til þess að samdar verði hátternisreglur skv. 1. mgr. 40. gr. reglugerðarinnar og gefa álit á og samþykkja hátternisreglur sem tryggja fullnægjandi verndarráðstafanir skv. 5. mgr. 40. gr. hennar;
10. samþykkja viðmiðanir um vottun skv. 5. mgr. 42. gr. reglugerðarinnar og eftir atvikum láta fara fram reglubundna endurskoðun á vottunum sem eru gefnar út í samræmi við 7. mgr. 42. gr. hennar;
11. semja og birta drög að viðmiðunum um faggildingu aðila sem hafa eftirlit með framkvæmd hátternisreglna skv. 41. gr. reglugerðarinnar og vottunaraðila skv. 43. gr. hennar og annast faggildingu sömu aðila;
12. samþykkja ákvæði, þar á meðal í samningum, eins og um getur í 3. mgr. 46. gr. reglugerðarinnar;
13. samþykkja bindandi fyrirtækjareglur skv. 47. gr. reglugerðarinnar;
14. taka þátt í starfsemi Evrópska persónuverndarráðsins;
15. skrásetja brot á reglugerðinni og ráðstafanir sem gerðar eru í samræmi við 2. mgr. 58. gr. hennar;
16. birta árlega skýrslu um starfsemi sína;
17. sinna öðrum störfum sem tengjast vernd persónuupplýsinga.

Ráðherra getur sett gjaldskrá sem mælir fyrir um gjald sem ábyrgðaraðili skal greiða Persónuvernd vegna þess kostnaðar sem hlýst af eftirliti með því að hann fullnægi skilyrðum laga þessara og reglna sem settar eru samkvæmt þeim eða einstökum fyrirmælum. Með gjaldskránni er einnig heimilt að kveða á um að ábyrgðaraðili greiði kostnað við úttekt á starfsemi við undirbúning útgáfu vinnsluleyfis og annarrar afgreiðslu.

41. gr. Valdheimildir Persónuverndar við eftirlitsstörf.

Persónuvernd fer með valdheimildir skv. 1. mgr. 58. gr. reglugerðarinnar við eftirlitsstörf sín, þar á meðal:
1. til að fyrirskipa að ábyrgðaraðili og vinnsluaðili og, eftir atvikum, fulltrúi þeirra veiti hverjar þær upplýsingar sem hún þarfnast vegna framkvæmdar laga þessara og reglugerðarinnar;
2. til að gera úttektir á vinnslu persónuupplýsinga;
3. til að láta fara fram endurskoðun á vottunum sem eru gefnar út skv. 7. mgr. 42. gr. reglugerðarinnar;
4. til að tilkynna ábyrgðaraðila eða vinnsluaðila um meint brot á reglugerðinni;
5. til að fá hjá ábyrgðaraðila og vinnsluaðila aðgang að öllum þeim gögnum, þar á meðal persónuupplýsingum, sem nauðsynleg eru við framkvæmd laga þessara;
6. til aðgangs að húsnæði þar sem vinnsla persónuupplýsinga fer fram eða gögn eru varðveitt, þ.m.t. hvers kyns gagnavinnslubúnaður; Persónuvernd getur framkvæmt hverja þá prófun eða eftirlitsaðgerð sem hún telur nauðsynlega og krafist nauðsynlegrar aðstoðar starfsfólks á slíkum vettvangi til að framkvæma prófun eða eftirlit.

Persónuvernd getur óskað liðveislu lögreglu ef einhver leitast við að hindra hana í eftirlitsstörfum sínum.

Komi í ljós að fram fer vinnsla persónuupplýsinga sem brýtur í bága við ákvæði reglugerðarinnar, laga þessara eða reglna settra samkvæmt þeim er Persónuvernd heimilt að fela lögreglustjóra að stöðva til bráðabirgða starfsemi viðkomandi og innsigla starfsstöð hans þegar í stað.

Réttur Persónuverndar til að krefjast upplýsinga eða aðgangs að starfsstöðvum og tækjabúnaði verður ekki takmarkaður með vísan til reglna um þagnarskyldu.

42. gr. Fyrirmæli Persónuverndar um ráðstafanir til úrbóta.

Persónuvernd getur mælt fyrir um ráðstafanir til úrbóta eftir því sem nánar segir í 2. mgr. 58. gr. reglugerðarinnar, þar á meðal:
1. veitt ábyrgðaraðila eða vinnsluaðila viðvörun um að líklegt sé að fyrirhugaðar vinnsluaðgerðir brjóti í bága við ákvæði reglugerðarinnar;
2. veitt ábyrgðaraðila eða vinnsluaðila áminningu ef vinnsluaðgerðir hafa brotið í bága við reglugerðina;
3. gefið fyrirmæli um að ábyrgðaraðili eða vinnsluaðili fari að beiðnum hins skráða um að fá að neyta réttinda sinna samkvæmt reglugerðinni;
4. gefið fyrirmæli um að ábyrgðaraðili eða vinnsluaðili færi vinnsluaðgerðir til samræmis við ákvæði reglugerðarinnar, eftir því sem við á, með tilteknum hætti og innan tiltekins tíma;
5. gefið fyrirmæli um að ábyrgðaraðili tilkynni hinum skráða um öryggisbrest við meðferð persónuupplýsinga;
6. takmarkað eða bannað vinnslu tímabundið eða til frambúðar;
7. gefið fyrirmæli um leiðréttingu eða eyðingu persónuupplýsinga eða takmörkun á vinnslu þeirra skv. 16., 17. og 18. gr. reglugerðarinnar og að slíkar aðgerðir verði tilkynntar viðtakendum sem fengið hafa persónuupplýsingarnar í hendur skv. 2. mgr. 17. gr. og 19. gr. hennar;
8. afturkallað vottun eða fyrirskipað að vottunaraðili afturkalli vottun sem gefin var út skv. 42. og 43. gr. reglugerðarinnar;
9. gefið fyrirmæli um tímabundna stöðvun gagnaflæðis til viðtakanda í þriðja landi eða til alþjóðastofnunar.

43. gr. Leyfisveitingar og ráðgjöf Persónuverndar.

Persónuvernd hefur eftirtaldar heimildir tengdar leyfisveitingum og ráðgjöf:
1. til að veita ábyrgðaraðila ráðgjöf í samræmi við fyrirframsamráðsferlið sem um getur í 36. gr. reglugerðarinnar;
2. til að leggja, að eigin frumkvæði eða samkvæmt beiðni, álitsgerðir fyrir Alþingi eða stjórnvöld eða aðra aðila um hvert það málefni sem tengist vernd persónuupplýsinga;
3. til að leyfa vinnslu þar sem fyrirframheimildar er krafist samkvæmt lögum;
4. til að gefa álit og samþykkja drög að hátternisreglum skv. 5. mgr. 40. gr. reglugerðarinnar;
5. til að veita umsagnir vegna faggildingar vottunaraðila skv. 43. gr. reglugerðarinnar og samþykkja viðmiðanir fyrir vottun í samræmi við 5. mgr. 42. gr. hennar;
6. til að samþykkja stöðluð ákvæði um persónuvernd eins og um getur í 8. mgr. 28. gr. og d-lið 2. mgr. 46. gr. reglugerðarinnar;
7. til að leyfa samningsákvæði sem um getur í a-lið 3. mgr. 46. gr. reglugerðarinnar;
8. til að leyfa stjórnvaldsráðstafanir sem um getur í b-lið 3. mgr. 46. gr. reglugerðarinnar;
9. til að samþykkja bindandi fyrirtækjareglur skv. 47. gr. reglugerðarinnar.

[Á stjórnarmönnum og starfsmönnum Persónuverndar hvílir þagnarskylda skv. X. kafla stjórnsýslulaga. Sama gildir um aðra sem vinna verkefni á vegum stofnunarinnar.] ¹⁾

Ákvæði um þagnarskyldu standa því ekki í vegi að Persónuvernd veiti erlendum persónuverndarstofnunum upplýsingar þegar slíkt er nauðsynlegt til að hún eða hin erlenda persónuverndarstofnun geti ákveðið eða framkvæmt aðgerðir til að tryggja persónuvernd.

Við gerð skilmála skv. 33. gr. laga þessara getur Persónuvernd ákveðið að ábyrgðaraðili og vinnsluaðili, svo og starfsmenn á vegum þeirra, skuli undirrita yfirlýsingu um að þeir gangist undir þagnarskyldu um persónuupplýsingar sem þeir fá vitneskju um við vinnslu þeirra. Ábyrgðaraðili eða fulltrúi hans skal votta rétta undirskrift starfsmanns og dagsetningu slíkrar yfirlýsingar og koma henni til Persónuverndar innan tilskilins frests.

Þagnarskylda skv. 1. og 3. mgr. helst þótt látið sé af starfi.

Ef ekki er farið að fyrirmælum Persónuverndar skv. 6., 7. og 9. tölul. 42. gr. laga þessara getur hún, áður en hún ákveður stjórnvaldssekt skv. 46. gr. laga þessara, lagt dagsektir á þann sem fyrirmælin beinast að þar til úr hefur verið bætt að mati hennar. Sektir geta numið allt að 200.000 kr. fyrir hvern dag sem líður eða byrjar að líða án þess að fyrirmælunum sé fylgt.

Ef ákvörðun Persónuverndar um dagsektir er skotið til dómstóla byrja dagsektir ekki að falla á fyrr en dómur er endanlegur. Dagsektir renna í ríkissjóð og má án undangengins dóms gera aðför til fullnustu þeirra.

Persónuvernd getur lagt stjórnvaldssektir á hvern þann ábyrgðaraðila eða vinnsluaðila skv. 4. mgr. sem brýtur gegn einhverju þeirra ákvæða reglugerðarinnar og laga þessara sem talin eru upp í 2. og 3. mgr.

Stjórnvaldssektir geta numið frá 100 þús. kr. til 1,2 milljarða kr. eða ef um er að ræða fyrirtæki allt að 2% af árlegri heildarveltu fyrirtækisins á heimsvísu á næstliðnu fjárhagsári, hvort heldur er hærra, þegar brotið hefur verið gegn eftirfarandi ákvæðum:
1. um skyldur ábyrgðaraðila og vinnsluaðila skv. 8., 25.-39., 42. og 43. gr. reglugerðarinnar;
2. um skyldur vottunaraðila skv. 42. og 43. gr. reglugerðarinnar;
3. um skyldur eftirlitsaðila skv. 4. mgr. 41. gr. reglugerðarinnar.

Stjórnvaldssektir geta numið frá 100 þús. kr. til 2,4 milljarða kr. eða ef um er að ræða fyrirtæki allt að 4% af árlegri heildarveltu fyrirtækisins á heimsvísu á næstliðnu fjárhagsári, hvort heldur er hærra, þegar brotið hefur verið gegn eftirfarandi ákvæðum:
1. um grundvallarreglur um vinnslu, þ.m.t. skilyrði fyrir samþykki, skv. 5., 6., 7. og 9. gr. reglugerðarinnar;
2. um réttindi skráðra einstaklinga skv. 12.-22. gr. reglugerðarinnar;
3. um miðlun persónuupplýsinga til viðtakanda í þriðja landi eða alþjóðastofnunar skv. 44.-49. gr. reglugerðarinnar;
4. ef ekki er farið að skyldu til að veita Persónuvernd aðgang að öllum gögnum og húsnæði skv. 5. og 6. tölul. 1. mgr. 41. gr. laga þessara;
5. ef ekki er farið að fyrirmælum Persónuverndar um takmörkun eða bann við vinnslu persónuupplýsinga, um leiðréttingu eða eyðingu þeirra eða um stöðvun gagnaflæðis skv. 6., 7. og 9. tölul. 42. gr. laga þessara.

Heimilt er að leggja sektir á einstaklinga og lögaðila, þar á meðal stjórnvöld og stofnanir sem falla undir gildissvið stjórnsýslulaga.

Stjórnvaldssektum verður beitt óháð því hvort lögbrot eru framin af ásetningi eða gáleysi.

Ákvarðanir um stjórnvaldssektir skulu teknar af stjórn Persónuverndar og eru þær aðfararhæfar. Sektir renna í ríkissjóð að frádregnum kostnaði við innheimtuna. Séu stjórnvaldssektir ekki greiddar innan mánaðar frá ákvörðun Persónuverndar skal greiða dráttarvexti af fjárhæð sektar. Um ákvörðun og útreikning dráttarvaxta fer eftir lögum um vexti og verðtryggingu.

Heimild Persónuverndar til að leggja á stjórnvaldssektir samkvæmt lögum þessum fellur niður þegar fimm ár eru liðin frá því að háttsemi lauk. Fyrningarfrestur rofnar þegar Persónuvernd tilkynnir aðila um upphaf rannsóknar á meintu broti. Rof frests hefur réttaráhrif gagnvart öllum sem staðið hafa að broti.

47. gr. Atriði sem áhrif hafa á ákvörðun um stjórnvaldssekt.

Þegar ákveðið er hvort beita skuli stjórnvaldssekt og fjárhæð sektarinnar er ákveðin í hverju tilviki skal taka tilhlýðilegt tillit til eftirfarandi:
1. hvers eðlis, hversu alvarlegt og hversu langvarandi brotið er, með tilliti til eðlis, umfangs eða tilgangs vinnslunnar sem um er að ræða og fjölda skráðra einstaklinga sem urðu fyrir því og hversu alvarlegu tjóni þeir urðu fyrir;
2. hvort brotið var framið af ásetningi eða af gáleysi;
3. aðgerða sem ábyrgðaraðilinn eða vinnsluaðilinn hefur gripið til í því skyni að draga úr tjóni skráðra einstaklinga;
4. hversu mikla ábyrgð ábyrgðaraðili eða vinnsluaðili ber með tilliti til tæknilegra og skipulagslegra ráðstafana sem þeir hafa komið til framkvæmda skv. 25. og 32. gr. reglugerðarinnar;
5. fyrri brota ábyrgðaraðila eða vinnsluaðila sem máli skipta, ef einhver eru;
6. umfangs samvinnu við Persónuvernd til þess að bæta úr broti og draga úr mögulegum skaðlegum áhrifum þess;
7. hvaða flokka persónuupplýsinga brotið hafði áhrif á;
8. með hvaða hætti eftirlitsstjórnvaldinu var gert kunnugt um brotið, einkum hvort, og þá að hvaða leyti, ábyrgðaraðili eða vinnsluaðili tilkynnti um brotið;
9. fylgni við fyrirmæli Persónuverndar um ráðstafanir til úrbóta skv. 42. gr. laga þessara hafi fyrirmælum um slíkar ráðstafanir áður verið beint til hlutaðeigandi ábyrgðaraðila eða vinnsluaðila að því er varðar sama efni;
10. fylgni við viðurkenndar hátternisreglur skv. 40. gr. reglugerðarinnar eða viðurkennt vottunarfyrirkomulag skv. 42. gr. hennar;
11. annarra íþyngjandi eða mildandi þátta sem varða kringumstæður málsins, svo sem hagnaðar sem fékkst eða taps sem komist var hjá, með beinum eða óbeinum hætti, vegna brotsins.

Ef ábyrgðaraðili eða vinnsluaðili brýtur, af ásetningi eða gáleysi, gegn fleiri en einu ákvæði reglugerðarinnar og laga þessara við sömu eða tengdar vinnsluaðgerðir skal heildarfjárhæð sektarinnar ekki vera hærri en fjárhæðin sem er tilgreind fyrir alvarlegasta brotið.

Ef brot einstaklings er stórfellt getur það varðað fangelsi allt að þremur árum. Brot telst stórfellt þegar það er framið af ásetningi og í hagnaðarskyni með sérstaklega vítaverðum hætti og persónuupplýsingar mikils fjölda skráðra einstaklinga sem leynt eiga að fara samkvæmt lögum eða eðli máls komast í hendur þriðja aðila eða birtast opinberlega.

Hafi fyrirsvarsmaður lögaðila, starfsmaður hans eða annar á hans vegum framið brot skv. 1. mgr. í starfsemi lögaðilans má gera honum refsingu, samhliða stjórnvaldssekt sem lögaðilanum er gerð skv. 46. gr. laga þessara.

Brot einstaklings á þagnarskyldu skv. 36. og 44. gr. laga þessara varðar sektum eða fangelsi allt að einu ári. Hafi hann framið brotið til þess að afla sér eða öðrum óréttmæts ávinnings má beita fangelsi allt að þremur árum.

Um upptöku ávinnings af broti og hluta sem notaðir eru til að fremja brot fer eftir ákvæðum VII. kafla A almennra hegningarlaga.

Persónuvernd metur hvort meint brot einstaklings skv. 48. gr. laga þessara skuli kært til lögreglu eða hvort hjá stofnuninni fari fram á því rannsókn sem lykti með stjórnvaldsákvörðun. Með kæru Persónuverndar skulu fylgja afrit þeirra gagna sem grunur um brot er studdur við. Ákvæði IV.-VII. kafla stjórnsýslulaga gilda ekki um ákvörðun Persónuverndar um að kæra mál til lögreglu.

Persónuvernd er heimilt að láta lögreglu og ákæruvaldi í té upplýsingar og gögn sem stofnunin hefur aflað og tengjast brotum skv. 48. gr. laga þessara. Persónuvernd er heimilt að taka þátt í aðgerðum lögreglu sem varða rannsókn þeirra brota.

Lögreglu og ákæruvaldi er heimilt að láta Persónuvernd í té upplýsingar og gögn sem þau hafa aflað og tengjast brotum skv. 48. gr. laga þessara. Lögreglu er einnig heimilt að taka þátt í aðgerðum Persónuverndar sem varða rannsókn þeirra brota sem tilgreind eru í 46. gr. laga þessara.

Telji ákærandi að ekki séu efni til málshöfðunar vegna ætlaðrar refsiverðrar háttsemi sem jafnframt varðar stjórnsýsluviðurlögum getur hann endursent málið til Persónuverndar til meðferðar og ákvörðunar.

50. gr. Réttur manna til að fella ekki á sig sök.

Í máli sem beinist að einstaklingi og lokið getur með álagningu stjórnvaldssekta eða kæru til lögreglu skv. 49. gr. laga þessara hefur maður sem rökstuddur grunur leikur á að hafi gerst sekur um brot á lögunum rétt til að neita að svara spurningum eða afhenda gögn eða muni nema hægt sé að útiloka að það geti haft þýðingu fyrir ákvörðun um brot hans. Persónuvernd skal leiðbeina hinum grunaða um þennan rétt.

Hafi ábyrgðaraðili eða vinnsluaðili unnið með persónuupplýsingar í andstöðu við ákvæði reglugerðarinnar, laga þessara eða reglna settra á grundvelli þeirra eða fyrirmæli Persónuverndar skal hann bæta hinum skráða það fjárhagslega tjón sem sá síðarnefndi hefur orðið fyrir af þeim völdum. Ábyrgðaraðila eða vinnsluaðila verður þó ekki gert að bæta tjón sem hann sannar að hvorki verður rakið til mistaka né vanrækslu af hans hálfu.

Vinnsluaðili skal þó aðeins bera ábyrgð á tjóni sem hlýst af vinnslu hafi hann ekki uppfyllt skyldur samkvæmt reglugerðinni og lögum þessum sem beinast sérstaklega að vinnsluaðilum eða ef hann hefur ekki fylgt lögmætum fyrirmælum ábyrgðaraðilans eða farið gegn þeim.

52. gr. Reglugerðir á grundvelli laganna.

Með reglugerð má mæla fyrir um vinnslu persónuupplýsinga og öryggisráðstafanir í tiltekinni starfsemi eða hjá einstökum starfsstéttum.

Lög þessi öðlast gildi 15. júlí 2018. ...

Ákvæði til bráðabirgða.

Ráðherra skipar stjórn Persónuverndar í samræmi við 38. gr. laga þessara þegar skipunartími sitjandi stjórnar rennur út.

Reglugerðir, svo og reglur, fyrirmæli og leyfi sem Persónuvernd eða ráðherra hafa gefið út á grundvelli laga nr. 77/2000, skulu halda gildi, enda fari þau ekki í bága við lög þessi og reglugerðina.

[Þrátt fyrir 6. mgr. 4. gr. laga þessara gilda 2. mgr. 1. gr., 3. gr., 1.-5. og 7. mgr. 4. gr., 5. gr., 1. mgr. 7. gr., 8.-13. gr., 1. og 2. mgr. 14. gr., 1. og 3. tölul. 3. mgr. sömu greinar, 22. gr., 23. gr., 25. gr., 27.-33. gr., VI. kafli, 38.-45. gr., 48. gr. og 51.-53. gr. laga þessara um vinnslu persónuupplýsinga í þágu öryggis- og varnarmála þar til sérstök löggjöf á því sviði verður sett.] ¹⁾ Um framangreinda vinnslu, og fram að sama tímamarki, gilda einnig fyrirmæli 1. mgr. 20. gr. laga þessara um rétt hins skráða til að fá rangar, villandi eða ófullkomnar persónuupplýsingar um sig leiðréttar.

Fylgiskjal.
Reglugerð Evrópuþingsins og ráðsins (ESB) 2016/679
frá 27. apríl 2016
um vernd einstaklinga í tengslum við vinnslu persónuupplýsinga og um frjálsa miðlun slíkra upplýsinga og niðurfellingu tilskipunar 95/46/EB (almenna persónuverndarreglugerðin)
EVRÓPUÞINGIÐ OG RÁÐ EVRÓPUSAMBANDSINS HAFA,
með hliðsjón af sáttmálanum um starfshætti Evrópusambandsins, einkum 16. gr.,
með hliðsjón af tillögu framkvæmdastjórnar Evrópusambandsins,
eftir að hafa lagt drög að lagagerð fyrir þjóðþingin,
með hliðsjón af áliti efnahags- og félagsmálanefndar Evrópusambandsins ( Stjtíð. ESB C 229, 31.7.2012, bls. 90.),
með hliðsjón af áliti svæðanefndarinnar ( Stjtíð. ESB C 391, 18.12.2012, bls. 127.),
í samræmi við almenna lagasetningarmeðferð ( Afstaða Evrópuþingsins frá 12. mars 2014 (hefur enn ekki verið birt í Stjórnartíðindunum) og afstaða ráðsins eftir fyrstu umræðu frá 8. apríl 2016 (hefur enn ekki verið birt í Stjórnartíðindunum). Afstaða Evrópuþingsins frá 14. apríl 2016.),
og að teknu tilliti til eftirfarandi:
1) Vernd einstaklinga í tengslum við vinnslu persónuupplýsinga telst til grundvallarréttinda. Í 1. mgr. 8. gr. sáttmála Evrópusambandsins um grundvallarréttindi („sáttmálanum um grundvallarréttindi") og í 1. mgr. 16. gr. sáttmálans um starfshætti Evrópusambandsins er kveðið á um að sérhver einstaklingur eigi rétt á að persónuupplýsingar um hann njóti verndar.
2) Meginreglur og reglur um vernd einstaklinga í tengslum við vinnslu persónuupplýsinga þeirra ættu að virða grundvallarréttindi og frelsi einstaklinga án tillits til ríkisfangs þeirra eða búsetu, einkum rétt þeirra til verndar persónuupplýsingum. Reglugerð þessari er ætlað að stuðla að því að koma á svæði frelsis, öryggis og réttlætis og efnahagsbandalagi, að efnahagslegri og félagslegri þróun, að styrkingu og aukinni samleitni efnahagskerfa sem mynda innri markaðinn og að velferð einstaklinga.
3) Í tilskipun Evrópuþingsins og ráðsins 95/46/EB ( Tilskipun Evrópuþingsins og ráðsins 95/46/EB frá 24. október 1995 um vernd einstaklinga í tengslum við vinnslu persónuupplýsinga og um frjálsa miðlun slíkra upplýsinga (Stjtíð. EB L 281, 23.11.1995, bls. 31).) er leitast við að samræma vernd grundvallarréttinda og frelsis einstaklinga í tengslum við vinnslustarfsemi og tryggja frjálst flæði persónuupplýsinga milli aðildarríkja.
4) Vinnsla persónuupplýsinga ætti að hafa það að markmiði að þjóna mannkyninu. Rétturinn til verndar persónuupplýsingum er ekki ófrávíkjanlegur, hann þarf að ígrunda í tengslum við hlutverk hans í samfélaginu og vega hann og meta gagnvart öðrum grundvallarréttindum í samræmi við meðalhófsregluna. Í þessari reglugerð eru öll grundvallarréttindi og mannfrelsi virt og þeim meginreglum fylgt sem eru viðurkenndar í sáttmálanum um grundvallarréttindi eins og þær koma fram í sáttmálunum, einkum varðandi friðhelgi einkalífs og fjölskyldu, heimilis og samskipta, vernd persónuupplýsinga, hugsana-, samvisku- og trúfrelsi, tjáningar- og upplýsingafrelsi, frelsi til atvinnurekstrar, rétt til skilvirks úrræðis til að leita réttar síns og réttlátrar málsmeðferðar fyrir dómi og fjölbreytni menningar, trúarbragða og tungumála.
5) Með þeirri efnahagslegu og félagslegu aðlögun, sem fylgir starfsemi innri markaðarins, hefur flæði persónuupplýsinga yfir landamæri aukist verulega. Skipti á persónuupplýsingum milli opinberra aðila og einkaaðila, þ.m.t. einstaklinga, samtaka og fyrirtækja í Sambandinu, hafa farið vaxandi. Samkvæmt lögum Sambandsins ber yfirvöldum í aðildarríkjunum að starfa saman og skiptast á persónuupplýsingum til að þau geti rækt skyldur sínar og framkvæmt verkefni fyrir hönd yfirvalda í öðru aðildarríki.
6) Hröð tækniþróun og hnattvæðing hafa leitt til nýrra viðfangsefna varðandi vernd persónuupplýsinga. Umfang söfnunar og miðlunar persónuupplýsinga hefur aukist verulega. Tæknin gerir jafnt einkafyrirtækjum sem opinberum yfirvöldum kleift að nýta persónuupplýsingar við starfsemi sína í áður óþekktum mæli. Einstaklingar gera í auknum mæli persónuupplýsingar aðgengilegar öllum og á alþjóðavísu. Tæknin hefur breytt bæði efnahagskerfinu og félagslífi fólks og ætti að greiða enn frekar fyrir frjálsu flæði persónuupplýsinga innan Sambandsins og miðlun þeirra til þriðju landa og alþjóðastofnana, jafnframt því að tryggja öfluga vernd upplýsinganna.
7) Þessi þróun kallar á að komið verði á fót öflugum og heildstæðari ramma um persónuvernd í Sambandinu og honum fylgt kröftuglega eftir, með hliðsjón af mikilvægi þess að skapa traust sem gerir hinu stafræna hagkerfi kleift að þróast á öllum innri markaðnum. Einstaklingar ættu að stjórna eigin persónuupplýsingum. Efla ætti réttarvissu og fyrirsjáanleika gagnvart einstaklingum, rekstraraðilum og opinberum yfirvöldum.
8) Þegar kveðið er á um það í þessari reglugerð að setja megi fram í lögum aðildarríkja skýringar eða takmarkanir á reglum hennar er aðildarríkjum heimilt að fella inn í landslög sín þætti úr þessari reglugerð að því marki sem nauðsynlegt er vegna samræmis og til þess að gera ákvæði landslaga skiljanleg þeim sem þau eiga við um.
9) Markmið og meginreglur tilskipunar 95/46/EB standa enn fyrir sínu en hún hefur ekki náð að sporna gegn sundurlausri framkvæmd persónuverndar innan Sambandsins, réttaróvissu eða þeim útbreiddu hugmyndum meðal almennings að fyrir hendi sé veruleg áhætta fyrir vernd einstaklinga, einkum í tengslum við Netnotkun. Réttindi og frelsi einstaklinga, einkum rétturinn til verndar persónuupplýsingum, njóta mismikillar verndar í aðildarríkjunum í tengslum við vinnslu persónuupplýsinga og getur það hindrað frjálst flæði persónuupplýsinga um Sambandið. Þessi munur getur því orðið hindrun í vegi ýmiss konar atvinnustarfsemi á vettvangi Sambandsins, raskað samkeppni og komið í veg fyrir að yfirvöld sinni skyldustörfum sínum samkvæmt lögum Sambandsins. Þennan mun á vernd má rekja til þess mismunar sem er á framkvæmd og beitingu tilskipunar 95/46/EB.
10) Til þess að tryggja einstaklingum samræmda og öfluga vernd og ryðja úr vegi hindrunum á flæði persónuupplýsinga innan Sambandsins ætti vernd réttinda og frelsis einstaklinga í tengslum við vinnslu slíkra upplýsinga að vera sambærileg í öllum aðildarríkjunum. Tryggja ætti alls staðar í Sambandinu samræmda og einsleita beitingu reglna um vernd grundvallarréttinda og frelsis einstaklinga í tengslum við vinnslu persónuupplýsinga. Að því er varðar vinnslu persónuupplýsinga til þess að fullnægja lagaskyldu ætti aðildarríkjunum að vera heimilt, vegna framkvæmdar á verkefni sem unnið er í þágu almannahagsmuna eða við beitingu opinbers valds sem ábyrgðaraðili fer með, að viðhalda eða innleiða ný ákvæði í landslög til að tilgreina nánar hvernig þessari reglugerð skuli beitt. Auk almennrar og láréttrar löggjafar um persónuvernd, sem sett er til framkvæmdar tilskipun 95/46/EB, hafa aðildarríkin ýmsa geirabundna löggjöf á sviðum þar sem þörf er á sértækari ákvæðum. Þessi reglugerð veitir aðildarríkjunum einnig ákveðið svigrúm til að skilgreina reglur sínar, m.a. varðandi vinnslu sérstakra flokka persónuupplýsinga („viðkvæmra upplýsinga"). Hvað þetta varðar útilokar þessi reglugerð ekki að í lögum aðildarríkjanna sé mælt fyrir um aðstæður sem réttlæta sérstaka vinnslu, þar sem m.a. er skilgreint nánar með hvaða skilyrðum vinnsla persónuupplýsinga sé lögmæt.
11) Til að tryggja skilvirka vernd persónuupplýsinga alls staðar í Sambandinu þarf að styrkja og setja fram með ítarlegum hætti réttindi skráðra einstaklinga og skyldur þeirra sem vinna persónuupplýsingar og taka ákvarðanir um vinnslu þeirra, svo og samsvarandi heimildir til að hafa eftirlit með og tryggja að farið sé að reglum um vernd persónuupplýsinga, og setja fram sambærileg viðurlög vegna brota í aðildarríkjunum.
12) Í 2. mgr. 16. gr. sáttmálans um starfshætti Evrópusambandsins er Evrópuþinginu og ráðinu veitt heimild til að mæla fyrir um reglur er varða vernd einstaklinga með tilliti til vinnslu persónuupplýsinga og um reglur er varða frjálsa miðlun slíkra upplýsinga.
13) Til að tryggja samræmda vernd einstaklinga alls staðar í Sambandinu og koma í veg fyrir að misræmi hamli frjálsri miðlun persónuupplýsinga á innri markaðnum er þörf á reglugerð sem skapar réttarvissu og gagnsæi gagnvart rekstraraðilum, þ.m.t. örfyrirtækjum, litlum og meðalstórum fyrirtækjum, tryggir einstaklingum í öllum aðildarríkjum sömu lagalega framfylgjanlegu réttindi og skyldur og leggur samsvarandi ábyrgð á herðar ábyrgðaraðilum og vinnsluaðilum, og tryggir samræmt eftirlit með vinnslu persónuupplýsinga og sambærileg viðurlög í öllum aðildarríkjum, sem og skilvirkt samstarf milli eftirlitsyfirvalda einstakra aðildarríkja. Eðlileg starfsemi innri markaðarins krefst þess að ekki séu settar takmarkanir eða lagt bann við frjálsri miðlun persónuupplýsinga innan Sambandsins af ástæðum sem varða vernd einstaklinga í tengslum við vinnslu persónuupplýsinga. Með hliðsjón af sérstökum aðstæðum örfyrirtækja, lítilla og meðalstórra fyrirtækja er sett fram undanþága í þessari reglugerð varðandi skráahald fyrirtækja með færri en 250 starfsmenn. Enn fremur eru stofnanir og aðilar Sambandsins og aðildarríkin og eftirlitsyfirvöld þeirra hvött til að taka tillit til sérstakra þarfa örfyrirtækja, lítilla og meðalstórra fyrirtækja við beitingu þessarar reglugerðar. Hugtökin örfyrirtæki, lítið og meðalstórt fyrirtæki ættu að byggjast á 2. gr. viðaukans við tilmæli framkvæmdastjórnarinnar 2003/361/EB ( Tilmæli framkvæmdastjórnarinnar frá 6. maí 2003 um skilgreininguna á örfyrirtækjum, litlum fyrirtækjum og meðalstórum fyrirtækjum (Stjtíð. ESB L 124, 20.5.2003, bls. 36).).
14) Sú vernd, sem þessi reglugerð veitir í tengslum við vinnslu persónuupplýsinga, ætti að gilda um einstaklinga án tillits til ríkisfangs eða búsetu. Þessi reglugerð nær ekki yfir vinnslu persónuupplýsinga er varða lögaðila, einkum fyrirtæki sem stofnuð eru sem lögaðilar, þ.m.t. upplýsinga um heiti lögaðila, rekstrarform hans og samskiptaupplýsingar.
15) Til að komast hjá því að fram komi alvarleg hætta á að reglur verði sniðgengnar ætti vernd einstaklinga að vera tæknilega hlutlaus og ekki háð þeim aðferðum sem notaðar eru. Vernd einstaklinga ætti að eiga við um sjálfvirka jafnt sem handvirka vinnslu persónuupplýsinga ef upplýsingarnar eru varðveittar eða ráðgert er að varðveita þær í skráningarkerfi. Skjöl eða skjalaraðir, sem og forsíður þeirra, sem eru ekki skipulagðar samkvæmt tilteknum viðmiðunum, ættu ekki að falla undir gildissvið þessarar reglugerðar.
16) Þessi reglugerð á ekki við um vernd grundvallarréttinda og mannfrelsis eða frjálst flæði persónuupplýsinga í tengslum við starfsemi sem fellur utan gildissviðs laga Sambandsins, s.s. starfsemi er varðar þjóðaröryggi. Þessi reglugerð á ekki við um vinnslu aðildarríkjanna á persónuupplýsingum vegna starfsemi í tengslum við sameiginlega stefnu Sambandsins í utanríkis- og öryggismálum.
17) Reglugerð Evrópuþingsins og ráðsins (EB) nr. 45/2001 ( Reglugerð Evrópuþingsins og ráðsins (EB) nr. 45/2001 frá 18. desember 2000 um vernd einstaklinga í tengslum við vinnslu persónuupplýsinga, sem stofnanir og aðilar Bandalagsins hafa unnið, og um frjálsa miðlun slíkra upplýsinga (Stjtíð. EB L 8, 12.1.2001, bls. 1).) gildir um vinnslu stofnana, aðila, skrifstofa og sérstofnana Sambandsins á persónuupplýsingum. Laga ætti reglugerð (EB) nr. 45/2001 og aðrar réttargerðir Sambandsins, sem eiga við um slíka vinnslu persónuupplýsinga, að þeim meginreglum og reglum sem komið er á með þessari reglugerð og beitt er í ljósi þessarar reglugerðar. Í því skyni að setja öflugan og samræmdan ramma um persónuvernd í Sambandinu ættu nauðsynlegar aðlaganir á reglugerð (EB) nr. 45/2001 að fylgja í kjölfar samþykktar þessarar reglugerðar til þess að þær geti komið til framkvæmda á sama tíma og hún.
18) Þessi reglugerð á ekki við um vinnslu einstaklings á persónuupplýsingum ef hún er einungis í þágu hans sjálfs eða fjölskyldu hans og hefur þannig engin tengsl við atvinnu- eða viðskiptastarfsemi. Vinnsla, sem er einungis í þágu einstaklings eða fjölskyldu hans, getur t.d. tekið til bréfaskrifta og þess að halda skrár yfir heimilisföng, notkunar samfélagsmiðla og Netnotkunar sem fram fer í tengslum við slíka vinnslu. Hins vegar á þessi reglugerð við um ábyrgðaraðila eða vinnsluaðila sem setja fram leiðir til að vinna persónuupplýsingar í þágu einstaklings eða fjölskyldu hans.
19) Vernd einstaklinga að því er varðar vinnslu lögbærra yfirvalda á persónuupplýsingum í þeim tilgangi að koma í veg fyrir, rannsaka, koma upp um eða saksækja fyrir refsiverð brot eða fullnægja refsiviðurlögum, þ.m.t. að vernda gegn og koma í veg fyrir ógnir við almannaöryggi og frjálsa miðlun slíkra upplýsinga, er efni í sérstaka réttargerð Sambandsins. Þessi reglugerð ætti því ekki að gilda um vinnslustarfsemi í þessum tilgangi. Persónuupplýsingar, sem opinber yfirvöld taka til vinnslu samkvæmt þessari reglugerð, ættu hins vegar að heyra undir sértækari réttargerð Sambandsins þegar þær eru notaðar í þessum tilgangi, þ.e. tilskipun Evrópuþingsins og ráðsins (ESB) 2016/680 ( Tilskipun Evrópuþingsins og ráðsins (ESB) 2016/680 frá 27. apríl 2016 um vernd einstaklinga að því er varðar vinnslu lögbærra yfirvalda á persónuupplýsingum í tengslum við að koma í veg fyrir, rannsaka, koma upp um eða saksækja fyrir refsiverð brot eða fullnægja refsiviðurlögum og frjálsa miðlun slíkra upplýsinga og um niðurfellingu rammaákvörðunar ráðsins 2008/977/DIM (Stjtíð. ESB L 119, 4.5.2016, bls. 89).). Aðildarríkin geta falið lögbærum yfirvöldum í skilningi tilskipunar (ESB) 2016/680 verkefni, sem ekki eru endilega unnin í þeim tilgangi að koma í veg fyrir, rannsaka, koma upp um eða saksækja fyrir refsiverð brot eða fullnægja refsiviðurlögum, þ.m.t. að vernda gegn og koma í veg fyrir ógnir við almannaöryggi, þannig að vinnsla persónuupplýsinga í þessum öðrum tilgangi falli, að svo miklu leyti sem hún fellur undir lög Sambandsins, innan gildissviðs þessarar reglugerðar.
Að því er varðar vinnslu þessara lögbæru yfirvalda á persónuupplýsingum í þeim tilgangi sem fellur innan gildissviðs þessarar reglugerðar ætti aðildarríkjunum að vera heimilt að viðhalda eða innleiða sértækari ákvæði til að aðlaga beitingu reglna þessarar reglugerðar. Í slíkum ákvæðum mætti tilgreina nánar sértækar kröfur um vinnslu þessara lögbæru yfirvalda á persónuupplýsingum í þessum öðrum tilgangi, með hliðsjón af stjórnskipan, stjórnskipulagi og skipulagi stjórnsýslu í viðkomandi aðildarríki. Þegar vinnsla einkaaðila á persónuupplýsingum fellur innan gildissviðs þessarar reglugerðar ætti hún að veita aðildarríkjunum kost á að takmarka að lögum, við sérstakar aðstæður, tilteknar skyldur og réttindi þegar slík takmörkun telst nauðsynleg og hófleg ráðstöfun í lýðræðisþjóðfélagi til að standa vörð um tiltekna mikilvæga hagsmuni, m.a. almannaöryggi, og koma í veg fyrir, rannsaka, koma upp um eða saksækja fyrir refsiverð brot eða fullnægja refsiviðurlögum, þ.m.t. að vernda gegn og koma í veg fyrir ógnir við almannaöryggi. Þetta á m.a. við innan ramma baráttu gegn peningaþvætti eða í starfsemi réttarrannsóknarstofa.
20) Enda þótt þessi reglugerð gildi m.a. um starfsemi dómstóla og annarra dómsyfirvalda mætti í lögum Sambandsins eða lögum aðildarríkis tilgreina vinnsluaðgerðir og verklagsreglur í tengslum við vinnslu dómstóla og annarra dómsyfirvalda á persónuupplýsingum. Til að standa vörð um sjálfstæði dómskerfisins við framkvæmd verkefna þess á sviði dómsmála, m.a. ákvarðanatöku, ætti valdsvið eftirlitsyfirvalda ekki að ná til vinnslu dómstóla á persónuupplýsingum þegar þeir fara með dómsvald sitt. Mögulegt ætti að vera að fela eftirlit með slíkri gagnavinnslu sérstökum aðilum innan dómskerfis aðildarríkisins sem ættu einkum að tryggja að farið sé að reglum þessarar reglugerðar, efla vitund dómara um skyldur sínar samkvæmt henni og annast meðferð kvartana í tengslum við slíka gagnavinnslu.
21) Þessi reglugerð hefur ekki áhrif á beitingu tilskipunar Evrópuþingsins og ráðsins 2000/31/EB ( Tilskipun Evrópuþingsins og ráðsins 2000/31/EB frá 8. júní 2000 um tiltekna lagalega þætti þjónustu, einkum rafrænna viðskipta, í tengslum við upplýsingasamfélagið á innri markaðnum (tilskipun um rafræn viðskipti) (Stjtíð. EB L 178, 17.7.2000, bls. 1).), einkum reglur í 12.-15. gr. hennar um bótaábyrgð þjónustuveitenda sem eru milliliðir. Með þeirri tilskipun er leitast við að stuðla að eðlilegri starfsemi innri markaðarins með því að tryggja frjálsa þjónustustarfsemi milli aðildarríkjanna á sviði upplýsingasamfélagsins.
22) Hvers kyns vinnsla persónuupplýsinga í tengslum við starfsemi starfsstöðvar ábyrgðaraðila eða vinnsluaðila í Sambandinu ætti að fara fram í samræmi við þessa reglugerð, án tillits til þess hvort vinnslan sjálf fer fram í Sambandinu. Með staðfestu er átt við virka og raunverulega starfsemi með föstu fyrirkomulagi. Lögákveðið rekstrarform slíks fyrirkomulags, hvort sem um er að ræða útibú eða dótturfélag með réttarstöðu lögaðila, ræður ekki úrslitum að því er þetta varðar.
23) Til að tryggja að einstaklingar séu ekki sviptir þeirri vernd, sem þeir eiga rétt á samkvæmt þessari reglugerð, ætti vinnsla ábyrgðaraðila eða vinnsluaðila, sem ekki hefur staðfestu í Sambandinu, á persónuupplýsingum um skráða einstaklinga, sem eru í Sambandinu, að heyra undir þessa reglugerð ef vinnslustarfsemin tengist því að bjóða hinum skráðu vörur eða þjónustu, án tillits til þess hvort það er gegn greiðslu. Til að ákvarða hvort slíkur ábyrgðaraðili eða vinnsluaðili bjóði skráðum einstaklingum í Sambandinu vörur og þjónustu ætti að ganga úr skugga um hvort ljóst sé að ábyrgðaraðilinn eða vinnsluaðilinn hafi í hyggju að bjóða skráðum einstaklingum þjónustu í einu eða fleiri aðildarríkjum Sambandsins. Enda þótt aðgangurinn einn og sér að vefsetri ábyrgðaraðila, vinnsluaðila eða milliliðar í Sambandinu, netfangi hans eða öðrum upplýsingum um hvernig megi nálgast viðkomandi, eða notkun tungumáls, sem almennt er notað í þriðja landinu þar sem ábyrgðaraðili hefur staðfestu, nægi ekki til að staðfesta að um slíka fyrirætlan sé að ræða, geta þættir eins og að nota tungumál eða gjaldmiðil, sem er almennt notaður í einu eða fleiri aðildarríkjum, og möguleikinn á að panta vörur og þjónustu á því tungumáli eða að nefna viðskiptavini eða notendur í Sambandinu, gert það ljóst að ábyrgðaraðili hefur í hyggju að bjóða skráðum einstaklingum í Sambandinu vörur eða þjónustu.
24) Vinnsla ábyrgðaraðila eða vinnsluaðila, sem ekki hefur staðfestu í Sambandinu, á persónuupplýsingum um skráða einstaklinga, sem eru í Sambandinu, ætti einnig að falla undir þessa reglugerð ef hún tengist því að vakta hegðun hinna skráðu, að því marki sem slík hegðun á sér stað innan Sambandsins. Til að ákvarða hvort vinnslustarfsemi geti talist vera vöktun á hegðun skráðra einstaklinga ætti að ganga úr skugga um hvort slóð einstaklinga sé rakin á Netinu, m.a. hvort í kjölfarið séu notaðar vinnsluaðferðir á persónuupplýsingum sem felast í gerð persónusniðs um einstakling, einkum í því skyni að taka ákvarðanir varðandi viðkomandi eða til að greina eða spá fyrir um smekk hans, hegðun og viðhorf.
25) Þegar lög aðildarríkis gilda í krafti þjóðaréttar ætti þessi reglugerð einnig að gilda um ábyrgðaraðila sem hefur ekki staðfestu í Sambandinu, s.s. í sendiskrifstofu eða ræðisstofnun aðildarríkis.
26) Meginreglur um persónuvernd ættu að gilda um hvers kyns upplýsingar varðandi persónugreindan eða persónugreinanlegan einstakling. Persónuupplýsingar sem hafa verið færðar undir gerviauðkenni, sem kann að vera hægt að rekja til einstaklings með notkun viðbótarupplýsinga, skulu teljast upplýsingar um persónugreinanlegan einstakling. Til þess að ákvarða hvort einstaklingur er persónugreinanlegur ætti að taka mið af öllum þeim aðferðum sem ástæða er til að ætla að annaðhvort ábyrgðaraðili eða annar aðili geti beitt til að bera kennsl á viðkomandi einstakling með beinum eða óbeinum hætti. Til að ganga úr skugga um hvort fremur líklegt megi telja að aðferðum verði beitt til að bera kennsl á einstakling ætti að taka tillit til allra hlutlægra þátta, s.s. kostnaðar við það og þess tíma sem það tæki, að teknu tilliti til þeirrar tækni sem fyrir hendi er þegar vinnslan fer fram og til tækniþróunar. Meginreglur um persónuvernd ættu því ekki að eiga við um nafnlausar upplýsingar, þ.e. upplýsingar sem tengjast ekki persónugreindum eða persónugreinanlegum einstaklingi, eða persónuupplýsingar sem hafa verið aftengdar persónuauðkennum þannig að ekki er lengur unnt að persónugreina hinn skráða. Þessi reglugerð varðar því ekki vinnslu slíkra nafnlausra upplýsinga, s.s. í tölfræðilegum tilgangi eða vegna rannsókna.
27) Þessi reglugerð á ekki við um persónuupplýsingar látinna einstaklinga. Aðildarríkjunum er heimilt að kveða á um reglur um vinnslu persónuupplýsinga látinna einstaklinga.
28) Notkun gerviauðkenna fyrir persónuupplýsingar getur dregið úr áhættu viðkomandi skráðra einstaklinga og auðveldað ábyrgðaraðilum og vinnsluaðilum að uppfylla persónuverndarskyldur sínar. Sérstakri innleiðingu á „notkun gerviauðkenna" í þessari reglugerð er ekki ætlað að útiloka aðrar persónuverndarráðstafanir.
29) Til þess að skapa hvata til notkunar gerviauðkenna við vinnslu persónuupplýsinga ættu ráðstafanir vegna gerviauðkennanotkunar, sem leyfa jafnframt almenna greiningu, að vera mögulegar hjá sama ábyrgðaraðila þegar hann hefur gert nauðsynlegar tæknilegar og skipulagslegar ráðstafanir til að tryggja, vegna viðkomandi vinnslu, að þessari reglugerð sé komið til framkvæmda og að viðbótarupplýsingum, sem gera það kleift að rekja persónuupplýsingarnar til tiltekins skráðs einstaklings, sé haldið aðgreindum. Ábyrgðaraðili, sem vinnur persónuupplýsingarnar, ætti að gefa upp hvaða aðilar í starfsemi hans hafa tilskildar heimildir.
30) Tæki og tól, forrit og samskiptareglur, sem einstaklingar nota, geta tengt Netauðkenni við þá, s.s. IP-tölur (e. internet protocol addresses), smygildaauðkenni (e. cookie identifiers) eða önnur auðkenni, s.s. fjarskiptatíðniauðkenningar. Þetta getur skilið eftir spor sem hægt er að nota til að útbúa persónusnið um einstaklinga og bera kennsl á þá, einkum þegar sporunum er bætt við einkvæm auðkenni og aðrar upplýsingar sem berast netþjónum.
31) Ekki ætti að líta á opinber yfirvöld, sem fá í hendur persónuupplýsingar á grundvelli lagaskyldu í tengslum við opinber störf sín, s.s. skatta- og tollyfirvöld, einingar sem fara með rannsóknir á sviði fjármála, sjálfstæð stjórnsýsluyfirvöld eða yfirvöld fjármálamarkaða, sem bera ábyrgð á reglusetningu og eftirliti með verðbréfamörkuðum, sem viðtakendur ef þau fá í hendur persónuupplýsingar sem eru nauðsynlegur þáttur í tiltekinni fyrirspurn í þágu almennra hagsmuna, í samræmi við lög Sambandsins eða lög aðildarríkis. Beiðnir opinberra yfirvalda um afhendingu upplýsinga ættu ætíð að vera skriflegar, rökstuddar og tilvikabundnar og ættu ekki að varða skráningarkerfi í heild eða leiða til samtengingar á milli skráningarkerfa. Vinnsla þessara opinberu yfirvalda á persónuupplýsingum ætti að samrýmast gildandi reglum um persónuvernd samkvæmt tilgangi vinnslunnar.
32) Veita ætti samþykki með skýrri staðfestingu, s.s. skriflegri yfirlýsingu, þ.m.t. með rafrænum hætti, eða munnlegri yfirlýsingu, á því að fyrir liggi óþvinguð, afmörkuð, upplýst og ótvíræð viljayfirlýsing hins skráða um að hann samþykki vinnslu persónuupplýsinga sem varða hann sjálfan. Þetta gæti falið í sér að haka við reit þegar farið er inn á vefsetur á Netinu, velja tæknilegar stillingar fyrir þjónustu í upplýsingasamfélaginu eða aðra yfirlýsingu eða athöfn sem gefur skýrt til kynna í þessu samhengi að skráður einstaklingur samþykki fyrirhugaða vinnslu á persónuupplýsingum um sig. Þögn, reitir sem þegar er búið að haka við eða aðgerðarleysi ættu því ekki að fela í sér samþykki. Samþykki ætti að ná til allrar vinnslustarfsemi sem fram fer í sama tilgangi, einum eða fleiri. Þegar vinnslan er í margvíslegum tilgangi ætti að gefa samþykki fyrir hverjum og einum þeirra. Ef hinn skráði á að veita samþykki sitt við rafrænni beiðni verður beiðnin að vera skýr og skilmerkileg og má ekki raska óþarflega notkun þjónustunnar sem það er veitt fyrir.
33) Oft er ekki hægt að greina tilgang með vinnslu persónuupplýsinga í þágu vísindarannsókna að fullu þegar upplýsingunum er safnað. Því ættu skráðir einstaklingar að geta gefið samþykki sitt fyrir tilteknum sviðum vísindarannsókna þegar þær samrýmast viðurkenndum, siðferðislegum viðmiðunum fyrir vísindarannsóknir. Skráðir einstaklingar ættu að hafa tækifæri til að veita samþykki sitt einungis á tilteknum sviðum rannsókna eða fyrir hlutum rannsóknarverkefna, að því marki sem fyrirhugaður tilgangur leyfir.
34) Skilgreina ætti erfðafræðilegar upplýsingar sem persónuupplýsingar sem varða arfgenga eða áunna erfðaeiginleika einstaklings, sem fást með greiningu á líffræðilegu sýni frá viðkomandi einstaklingi, einkum litningagreiningu, greiningu á deoxýríbósakjarnsýru (DNA) eða ríbósakjarnsýru (RNA), eða með greiningu á öðrum þætti sem gerir kleift að fá fram jafngildar upplýsingar.
35) Persónuupplýsingar sem varða heilsufar ættu að taka til allra gagna tengdra heilsufari skráðs einstaklings og veita upplýsingar um líkamlegt eða andlegt heilsufar hans í fortíð, nútíð eða framtíð. Þar á meðal eru upplýsingar um einstaklinginn sem safnað er við skráningu hans vegna heilbrigðisþjónustu eða við veitingu hennar, eins og um getur í tilskipun Evrópuþingsins og ráðsins 2011/24/ESB ( Tilskipun Evrópuþingsins og ráðsins 2011/24/ESB frá 9. mars 2011 um réttindi sjúklinga varðandi heilbrigðisþjónustu yfir landamæri (Stjtíð. ESB L 88, 4.4.2011, bls. 45).); númer, tákn eða atriði sem einstaklingi er úthlutað til að auðkenna hann með einkvæmum hætti í tengslum við heilsufar; upplýsingar sem má rekja til prófunar eða rannsóknar á líkamshluta eða líkamsefni, þ.m.t. erfðafræðilegar upplýsingar og líffræðileg sýni; og hvers kyns upplýsingar um t.d. sjúkdóm, fötlun, hættu á sjúkdómi, heilsufarssögu, klíníska meðferð eða lífeðlisfræðilegt eða líf- og læknisfræðilegt ástand hins skráða, án tillits til uppruna þeirra, s.s. hvort sem þær koma frá lækni eða öðrum heilbrigðisstarfsmanni, sjúkrahúsi, úr lækningatæki eða með greiningarprófun í glasi.
36) Höfuðstöðvar ábyrgðaraðila í Sambandinu ættu að vera sá staður þar sem hann hefur yfirstjórn sína í Sambandinu nema ákvarðanir um tilgang með og aðferðir við vinnslu persónuupplýsinga séu teknar í annarri starfsstöð ábyrgðaraðila í Sambandinu en í því tilviki ætti síðarnefnda starfsstöðin að teljast vera höfuðstöðvar. Ákvarða ætti hverjar höfuðstöðvar ábyrgðaraðila eru í Sambandinu í samræmi við hlutlægar viðmiðanir og ætti þar að fara fram virk og raunveruleg stjórnun með föstu fyrirkomulagi þar sem helstu ákvarðanir eru teknar um tilgang og aðferðir við vinnsluna. Sú viðmiðun ætti ekki að velta á því hvort vinnsla persónuupplýsinga fer fram á þeim stað. Tilvist og notkun nauðsynlegra tæknilegra aðferða og tækni við vinnslu persónuupplýsinga eða vinnslustarfsemi jafngildir ekki höfuðstöðvum í sjálfu sér og er því ekki ákvarðandi viðmiðun um hvað telst vera höfuðstöðvar. Höfuðstöðvar vinnsluaðila ættu að vera sá staður þar sem hann hefur yfirstjórn sína í Sambandinu eða, hafi hann enga yfirstjórn í Sambandinu, sá staður þar sem helsta vinnslustarfsemi fer fram í Sambandinu. Í tilvikum þar sem bæði ábyrgðaraðili og vinnsluaðili koma við sögu ætti leiðandi lögbært eftirlitsyfirvald áfram að vera eftirlitsyfirvald aðildarríkisins þar sem ábyrgðaraðili hefur höfuðstöðvar sínar en eftirlitsyfirvald vinnsluaðila ætti að teljast hlutaðeigandi eftirlitsyfirvald og það eftirlitsyfirvald ætti að taka þátt í samstarfsferlinu sem kveðið er á um í þessari reglugerð. Þó ættu eftirlitsyfirvöld aðildarríkis eða aðildarríkja þar sem vinnsluaðili hefur eina starfsstöð eða fleiri aldrei að teljast hlutaðeigandi eftirlitsyfirvöld ef drög að ákvörðun varða einungis ábyrgðaraðilann. Ef fyrirtækjasamstæða annast vinnsluna ættu höfuðstöðvar ráðandi fyrirtækis að teljast höfuðstöðvar samstæðunnar nema ákvarðanataka um tilgang og aðferðir við vinnslu persónuupplýsinganna sé á hendi annars fyrirtækis.
37) Fyrirtækjasamstæða ætti að taka til ráðandi fyrirtækis og undirfyrirtækja þess þar sem ráðandi fyrirtækið ætti að vera það fyrirtæki sem hefur ráðandi áhrif á hin fyrirtækin, s.s. í krafti eignarhalds, fjárhagslegrar þátttöku eða reglna sem gilda um fyrirtækið eða valds til að koma reglum um vernd persónuupplýsinga til framkvæmda. Fyrirtæki, sem stjórnar vinnslu persónuupplýsinga í fyrirtækjum sem eru í eignartengslum við það, ætti, ásamt þeim fyrirtækjum, að teljast fyrirtækjasamstæða.
38) Persónuupplýsingar barna ættu að njóta sérstakrar verndar þar sem þau kunna að vera síður meðvituð um áhættu, afleiðingar og viðkomandi verndarráðstafanir og réttindi sín í tengslum við vinnslu persónuupplýsinga. Þessi sérstaka vernd ætti einkum að eiga við um notkun persónuupplýsinga barna í markaðssetningarskyni eða þegar búin eru til persónu- eða notendasnið og um söfnun persónuupplýsinga er varða börn þegar þau nota þjónustu sem börnum er boðin beint. Samþykki forsjáraðila ætti ekki að vera nauðsynlegt þegar um er að ræða forvarnar- eða ráðgjafarþjónustu sem barni er boðin beint.
39) Hvers kyns vinnsla persónuupplýsinga ætti að vera lögmæt og sanngjörn. Það ætti að vera einstaklingum ljóst þegar persónuupplýsingum um þá er safnað, þær eru notaðar, skoðaðar eða unnar á annan hátt, og að hvaða marki persónuupplýsingar eru eða munu verða unnar. Meginreglan um gagnsæi krefst þess að hvers kyns upplýsingar og samskipti, sem tengjast vinnslu þessara persónuupplýsinga, séu auðveldlega aðgengileg og auðskiljanleg og á skýru og einföldu máli. Sú meginregla á einkum við um upplýsingar til skráðra einstaklinga um það hver ábyrgðaraðilinn er og tilganginn með vinnslunni og frekari upplýsingar til að tryggja sanngjarna og gagnsæja vinnslu gagnvart viðkomandi einstaklingum og rétt þeirra til að fá staðfestingu og tilkynningu um vinnslu á persónuupplýsingum um sig. Gera ætti einstaklingum ljósa áhættu, reglur, verndarráðstafanir og réttindi í tengslum við vinnslu persónuupplýsinga og hvernig þeir geta neytt réttar síns í tengslum við slíka vinnslu. Einkum ætti tilgangurinn með vinnslu persónuupplýsinganna að vera skýr og lögmætur og liggja fyrir við söfnun þeirra. Persónuupplýsingarnar ættu að vera nægilegar, viðeigandi og takmarkaðar við það sem nauðsynlegt er miðað við tilganginn með vinnslunni. Þetta krefst þess einkum að geymslutími persónuupplýsinganna sé takmarkaður við algjört lágmark. Því aðeins ætti að vinna persónuupplýsingar að ekki sé unnt að ná tilganginum með vinnslunni á annan aðgengilegan hátt. Til að tryggja að persónuupplýsingar séu ekki varðveittar lengur en nauðsynlegt er ætti ábyrgðaraðilinn að setja tímafresti varðandi eyðingu eða reglulega endurskoðun þeirra. Gera verður hóflegar ráðstafanir til að tryggja að óáreiðanlegar persónuupplýsingar verði leiðréttar eða þeim eytt. Vinnsla persónuupplýsinga ætti að vera með þeim hætti að viðeigandi öryggi og trúnaður um upplýsingarnar sé tryggt, m.a. að komið sé í veg fyrir óheimilan aðgang eða notkun á persónuupplýsingum og þeim búnaði sem notaður er við vinnsluna.
40) Til að vinnsla persónuupplýsinga teljist lögmæt ætti hún að fara fram með samþykki hlutaðeigandi skráðs einstaklings eða á einhverjum öðrum lögmætum grundvelli, sem mælt er fyrir um í lögum, annaðhvort í þessari reglugerð eða í öðrum lögum Sambandsins eða lögum aðildarríkis, eins og um getur í þessari reglugerð, þ. á m. þegar hún er nauðsynleg til að fara að ákvæðum um lagaskyldu sem hvílir á ábyrgðaraðilanum eða vegna framkvæmdar samnings sem hinn skráði á aðild að eða með hliðsjón af ráðstöfunum sem eru gerðar að beiðni hans áður en samningur er gerður.
41) Þegar vísað er til lagagrundvallar eða löggjafarráðstöfunar í þessari reglugerð er ekki endilega gerð sú krafa að þing samþykki lagagerð, með fyrirvara um kröfur samkvæmt stjórnskipan hlutaðeigandi aðildarríkis. Slíkur lagagrundvöllur eða löggjafarráðstöfun ætti þó að vera skýr og nákvæm og beitingin fyrirsjáanleg þeim sem falla þar undir, eins og krafist er í dómaframkvæmd Evrópudómstólsins („Dómstólsins") og Mannréttindadómstóls Evrópu.
42) Þegar vinnsla er byggð á samþykki skráðs einstaklings ætti ábyrgðaraðilinn að geta sýnt fram á að hinn skráði hafi samþykkt vinnsluaðgerðina. Verndarráðstafanir ættu að tryggja, einkum í tengslum við skriflega yfirlýsingu um annað málefni, að hinum skráða sé kunnugt um að samþykki hafi verið veitt og að hvaða marki. Í samræmi við tilskipun ráðsins 93/13/EB ( Tilskipun ráðsins 93/13/EBE frá 5. apríl 1993 um óréttmæta skilmála í neytendasamningum (Stjtíð. EB L 95, 21.4.1993, bls. 29).) ætti ábyrgðaraðilinn að setja fram yfirlýsingu um samþykki á skiljanlegu og aðgengilegu formi og á skýru og einföldu máli sem ætti ekki að fela í sér óréttmæta skilmála. Til þess að samþykki teljist upplýst ætti skráður einstaklingur að vita deili á a.m.k. ábyrgðaraðilanum og vera kunnugt um tilgang þeirrar vinnslu sem persónuupplýsingunum er ætlað að þjóna. Ekki ætti að telja að samþykki hafi verið veitt af fúsum og frjálsum vilja ef hinn skráði hefur ekki raunverulegt eða frjálst val eða getur ekki neitað eða dregið til baka samþykki án þess að verða fyrir tjóni.
43) Til þess að tryggja að samþykki sé veitt af fúsum og frjálsum vilja ætti það ekki að teljast gildur lagagrundvöllur fyrir vinnslu persónuupplýsinga í tilteknu tilviki þar sem skýr aðstöðumunur er milli hins skráða og ábyrgðaraðilans, einkum þegar ábyrgðaraðilinn er opinbert yfirvald og því ólíklegt að samþykki hafi verið veitt af fúsum og frjálsum vilja við allar aðstæður í því tiltekna tilviki. Samþykki telst ekki veitt af fúsum og frjálsum vilja ef ekki er hægt að veita sérstakt samþykki fyrir aðskildum aðgerðum við vinnslu persónuupplýsinga, þótt slíkt ætti við í því einstaka tilviki, eða ef framkvæmd samnings, m.a. veiting þjónustu, er komin undir samþykkinu þótt samþykkið sé ekki nauðsynlegt vegna framkvæmdar samningsins.
44) Vinnsla ætti að teljast lögmæt þegar hún er nauðsynleg í tengslum við samning eða fyrirætlun um að gera samning.
45) Þegar vinnsla fer fram í samræmi við lagaskyldu sem hvílir á ábyrgðaraðilanum eða er nauðsynleg vegna verkefnis sem unnið er í þágu almannahagsmuna eða við beitingu opinbers valds ætti vinnslan að byggjast á lögum Sambandsins eða lögum aðildarríkis. Þess er ekki krafist í þessari reglugerð að sett verði sérstök lög um hverja einstaka vinnslu. Það kann að vera nægilegt að hafa lög sem grundvöll fyrir ýmsum vinnsluaðgerðum, sem byggjast á lagaskyldu sem hvílir á ábyrgðaraðilanum, eða þegar vinnslan er nauðsynleg vegna verkefnis sem unnið er í þágu almannahagsmuna eða við beitingu opinbers valds. Einnig ættu lög Sambandsins eða lög aðildarríkis að ákvarða tilgang vinnslunnar. Í þeim lögum mætti enn fremur tilgreina almenn skilyrði þessarar reglugerðar um lögmæta vinnslu persónuupplýsinga og hvernig skuli ákvarða hver ábyrgðaraðilinn er, hvaða tegund persónuupplýsinga unnið verður með, þá skráðu einstaklinga sem í hlut eiga, hvaða aðilar mega fá persónuupplýsingarnar, hvaða takmarkanir eiga við vegna tilgangs, varðveislutímabil og aðrar ráðstafanir til að tryggja að vinnslan fari fram á lögmætan og sanngjarnan hátt. Einnig ætti að ákvarða í lögum Sambandsins eða lögum aðildarríkis hvort ábyrgðaraðili, sem annast framkvæmd verkefnis sem er unnið í þágu almannahagsmuna eða við beitingu opinbers valds, ætti að vera opinbert yfirvald eða annar einstaklingur eða lögaðili sem fellur undir opinberan rétt eða, þegar slíkt er í þágu almannahagsmuna, m.a. heilbrigðismála á borð við lýðheilsu og félagslega vernd og við stjórnun heilbrigðisþjónustu, undir einkarétt, s.s. fagfélag.
46) Einnig verður að telja vinnslu persónuupplýsinga lögmæta ef hún er nauðsynleg til að vernda hagsmuni sem skipta sköpum fyrir líf skráðs einstaklings eða annars einstaklings. Vinnsla persónuupplýsinga á grundvelli brýnna hagsmuna annars einstaklings ætti að meginreglu til aðeins að fara fram þegar greinilegt er að hún getur ekki byggst á öðrum lagagrundvelli. Sumar tegundir vinnslu geta bæði þjónað mikilvægum almannahagsmunum og brýnum hagsmunum skráðs einstaklings, t.d. þegar vinnsla er nauðsynleg í mannúðarskyni, s.s. við að fylgjast með farsóttum og útbreiðslu þeirra eða vegna neyðarástands sem kallar á mannúðaraðstoð, einkum þegar um er að ræða náttúruhamfarir eða stóráföll af mannavöldum.
47) Lögmætir hagsmunir ábyrgðaraðila, þ.m.t. hagsmunir ábyrgðaraðila sem fá persónuupplýsingarnar í hendur, eða þriðja aðila geta verið lagagrundvöllur fyrir vinnslu þeirra, að því tilskildu að hagsmunir eða grundvallarréttindi og frelsi hins skráða vegi ekki þyngra, að teknu tilliti til eðlilegra væntinga skráðra einstaklinga á grundvelli tengsla þeirra við ábyrgðaraðilann. Um lögmæta hagsmuni gæti m.a. verið að ræða þegar viðeigandi tengsl sem máli skipta eru milli hins skráða og ábyrgðaraðilans, t.d. í tilvikum þar sem hinn skráði er viðskiptavinur ábyrgðaraðilans eða í þjónustu hans. Hvað sem öðru líður þyrfti að meta af kostgæfni hvort um lögmæta hagsmuni er að ræða, m.a. hvort skráður einstaklingur getur, þegar söfnun persónuupplýsinganna fer fram og í samhengi við hana, haft gilda ástæðu til að ætla að vinnsla muni fara fram í þeim tilgangi. Hagsmunir hins skráða og grundvallarréttindi hans gætu einkum gengið framar hagsmunum ábyrgðaraðila gagna þegar vinnsla persónuupplýsinga fer fram við aðstæður þar sem skráðir einstaklingar hafa ekki ástæðu til að ætla að um frekari vinnslu verði að ræða. Að því gefnu að það sé í höndum löggjafans að kveða á um lagagrundvöll vegna vinnslu opinberra yfirvalda á persónuupplýsingum ætti sá lagagrundvöllur ekki að eiga við um vinnslu opinberra yfirvalda þegar þau sinna verkefnum sínum. Vinnsla persónuupplýsinga, sem er beinlínis nauðsynleg í þeim tilgangi að koma í veg fyrir svik, telst einnig til lögmætra hagsmuna hlutaðeigandi ábyrgðaraðila gagna. Líta má svo á að vinnsla persónuupplýsinga vegna beinnar markaðssetningar sé í þágu lögmætra hagsmuna.
48) Ábyrgðaraðilar, sem eru hluti af fyrirtækjasamstæðu eða stofnunum sem tengjast miðlægri stofnun, geta haft lögmæta hagsmuni af því að miðla persónuupplýsingum innan fyrirtækjasamstæðunnar í þágu innri stjórnunar, m.a. vegna vinnslu persónuupplýsinga um viðskiptavini eða starfsmenn. Þetta hefur engin áhrif á almennar meginreglur um miðlun persónuupplýsinga, innan fyrirtækjasamstæðu, til fyrirtækis sem er staðsett í þriðja landi.
49) Vinnsla persónuupplýsinga, að því marki sem hún er beinlínis nauðsynleg og hófleg til að tryggja net- og upplýsingaöryggi, þ.e. getu nets eða upplýsingakerfis til að standast, á tilteknu öryggisstigi, atburði sem verða fyrir slysni eða aðgerðir sem eru ólögmætar eða skaðlegar og stofna í hættu aðgengileika, sannvottuðum uppruna, heilleika og leynd vistaðra eða sendra persónuupplýsinga, og öryggi tengdrar þjónustu sem boðin er eða er aðgengileg um þessi net og kerfi, af hálfu opinberra yfirvalda, viðbragðsteymis vegna neyðartilvika er varða tölvuöryggi (CERT), viðbragðsteymis vegna váatvika er varða tölvuöryggi (CSIRT), þeirra sem reka rafræn fjarskiptanet og -þjónustu og þeirra sem útvega öryggistækni og -þjónustu, telst til lögmætra hagsmuna hlutaðeigandi ábyrgðaraðila gagna. Þetta gæti t.d. falið í sér að komið sé í veg fyrir óheimilan aðgang að rafrænum fjarskiptanetum og dreifingu spilliforrita og til að stöðvaðar séu atlögur að þjónustumiðlun (e. „denial of service" attacks) og skemmdir á tölvum og rafrænum fjarskiptakerfum.
50) Heimila ætti vinnslu persónuupplýsinga í öðrum tilgangi en þeim sem var upphaflega markmiðið með söfnun þeirra því aðeins að vinnslan samrýmist þeim tilgangi sem var forsenda söfnunarinnar í upphafi. Í því tilviki er ekki krafist annars lagagrundvallar en þess sem heimilaði söfnun persónuupplýsinganna. Ef vinnslan er nauðsynleg vegna verkefnis sem unnið er í þágu almannahagsmuna eða við beitingu opinbers valds, sem ábyrgðaraðili fer með, má í lögum Sambandsins eða lögum aðildarríkis ákvarða og tilgreina hvenær frekari vinnsla telst samrýmanleg og lögmæt með tilliti til tiltekinna verkefna og tilgangs. Frekari vinnsla vegna skjalavistunar í þágu almannahagsmuna, rannsókna á sviði vísinda eða sagnfræði eða í tölfræðilegum tilgangi ætti að teljast til samrýmanlegra, lögmætra vinnsluaðgerða. Lagagrundvöllur samkvæmt lögum Sambandsins eða lögum aðildarríkis vegna vinnslu persónuupplýsinga getur einnig verið lagagrundvöllur frekari vinnslu. Til þess að ganga úr skugga um hvort tilgangur með frekari vinnslu samrýmist þeim tilgangi sem var forsenda söfnunarinnar í upphafi ætti ábyrgðaraðilinn, þegar hann hefur fullnægt öllum kröfum um lögmæti vinnslunnar í upphafi, að taka tillit til m.a.: hvers kyns tengsla milli þessa tilgangs og tilgangsins með fyrirhugaðri frekari vinnslu, þess í hvaða samhengi persónuupplýsingunum var safnað, einkum eðlilegra væntinga skráðra einstaklinga um frekari notkun þeirra á grundvelli tengsla þeirra við ábyrgðaraðilann, eðlis persónuupplýsinganna, afleiðinga fyrirhugaðrar frekari vinnslu þeirra fyrir skráða einstaklinga og þess hvort viðeigandi verndarráðstafanir hafi verið eða séu gerðar, bæði í upphaflegu vinnsluaðgerðunum og fyrirhuguðum frekari aðgerðum.
Þegar skráður einstaklingur hefur veitt samþykki sitt eða vinnslan byggist á lögum Sambandsins eða lögum aðildarríkis, sem fela í sér nauðsynlega og hóflega ráðstöfun í lýðræðisþjóðfélagi og sem er einkum ætlað að standa vörð um mikilvæg markmið sem þjóna almannahagsmunum, ætti ábyrgðaraðilanum að vera heimil frekari vinnsla persónuupplýsinganna án tillits til þess hvort tilgangurinn telst samrýmanlegur. Hvað sem öðru líður ætti að tryggja beitingu meginreglnanna sem settar eru fram í þessari reglugerð, einkum um að upplýsa hinn skráða um þennan viðbótartilgang og réttindi hans, m.a. andmælaréttinn. Ef ábyrgðaraðilinn bendir á mögulega refsiverða háttsemi eða ógnanir við almannaöryggi og sendir lögbæru yfirvaldi viðeigandi persónuupplýsingar í stökum eða fleiri tilvikum, sem snerta sama refsiverða verknað eða ógnanir við almannaöryggi, ætti að telja slíkt í þágu lögmætra hagsmuna ábyrgðaraðilans. Þó ætti að banna slíka sendingu í þágu lögmætra hagsmuna ábyrgðaraðilans eða vegna frekari vinnslu persónuupplýsinga ef vinnslan samrýmist ekki lagalegri, faglegri eða annars konar bindandi þagnarskyldu.
51) Persónuupplýsingar, sem eru í eðli sínu sérlega viðkvæmar að því er varðar grundvallarréttindi og mannfrelsi, eiga að njóta sérstakrar verndar þar sem vinnsla þeirra gæti haft í för með sér umtalsverða áhættu fyrir grundvallarréttindi og mannfrelsi. Til þessara persónuupplýsinga ætti að telja upplýsingar um kynþátt eða þjóðernislegan uppruna, en ekki ber að skilja notkun hugtaksins „kynþáttur" í þessari reglugerð sem viðurkenningu Sambandsins á kenningum sem reyna að sanna tilvist mismunandi kynþátta manna. Ekki ætti kerfisbundið að telja vinnslu ljósmynda til vinnslu sérstakra flokka persónuupplýsinga þar sem þær falla eingöngu undir skilgreiningu á lífkennaupplýsingum þegar vinnsla þeirra fer fram með sérstakri tæknilegri aðferð sem gerir kleift að greina eða staðfesta deili á einstaklingi með ótvíræðum hætti. Vinnsla slíkra persónuupplýsinga ætti ekki að fara fram nema hún sé heimiluð í sérstökum tilvikum, eins og sett er fram í þessari reglugerð, að teknu tilliti til þess að í lögum aðildarríkjanna er heimilt að mæla fyrir um sértæk ákvæði um persónuvernd til þess að aðlaga beitingu reglna þessarar reglugerðar svo að þær samrýmist lagaskyldu eða vegna verkefnis sem unnið er í þágu almannahagsmuna eða við beitingu opinbers valds sem ábyrgðaraðili fer með. Almennar meginreglur og aðrar reglur þessarar reglugerðar ættu að gilda, auk hinna sértæku krafna vegna slíkrar vinnslu, einkum að því er varðar skilyrði fyrir lögmæti vinnslunnar. Veita ætti með skýrum hætti undanþágur frá almennu banni við vinnslu slíkra sérstakra flokka persónuupplýsinga, t.d. þegar hinn skráði gefur ótvírætt samþykki sitt eða með hliðsjón af sérstökum þörfum, einkum þegar vinnslan fer fram sem hluti af lögmætri starfsemi tiltekinna samtaka eða stofnana sem hafa það að markmiði að tryggja mannfrelsi.
52) Einnig ætti að heimila undanþágu frá banni við vinnslu sérstakra flokka persónuupplýsinga ef kveðið er á um það í lögum Sambandsins eða lögum aðildarríkis og með fyrirvara um viðeigandi verndarráðstafanir, svo að vernda megi persónuupplýsingar og önnur grundvallarréttindi, þegar það þjónar almannahagsmunum, einkum vinnslu persónuupplýsinga á sviði vinnulöggjafar, löggjafar um félagslega vernd, m.a. lífeyri, og með hliðsjón af heilbrigðisöryggi, vöktun og viðvörunum, forvörnum og vörnum gegn smitsjúkdómum og annarri alvarlegri heilsufarsógn. Heimilt er að veita slíka undanþágu af heilbrigðisástæðum, s.s. vegna lýðheilsu og stjórnunar heilbrigðisþjónustu, einkum til að tryggja gæði og kostnaðarhagkvæmni þeirra verklagsreglna sem notaðar eru við uppgjör á kröfum um bætur og þjónustu sjúkratryggingakerfisins, eða vegna skjalavistunar í þágu almannahagsmuna, rannsókna á sviði vísinda eða sagnfræði eða í tölfræðilegum tilgangi. Með undanþágu ætti líka að vera heimilt að vinna slíkar persónuupplýsingar þegar það er nauðsynlegt til að unnt sé að stofna, hafa uppi eða verja réttarkröfur, hvort heldur er fyrir dómstól eða við stjórnsýslumeðferð eða málsmeðferð utan réttar.
53) Vinnsla sérstakra flokka persónuupplýsinga, sem þurfa að njóta aukinnar verndar, ætti aðeins að fara fram í þágu heilsutengdra markmiða þegar það er nauðsynlegt til að ná þessum markmiðum í þágu einstaklinga og samfélagsins alls, einkum í tengslum við stjórnun heilbrigðis- eða félagsþjónustu og -kerfa, þ.m.t. vinnslu slíkra upplýsinga á vegum stjórnsýslunnar og miðlægra landsbundinna heilbrigðisyfirvalda í þágu gæðastýringar, gagnaumsýslu stjórnsýslunnar og almenns eftirlits með heilbrigðis- og félagsþjónustu á lands- og staðarvísu og til að tryggja samfellu í heilbrigðis- og félagsþjónustu og heilbrigðisþjónustu eða heilbrigðisöryggi yfir landamæri, vegna vöktunar og viðvörunar, eða vegna skjalavistunar í þágu almannahagsmuna, rannsókna á sviði vísinda eða sagnfræði eða í tölfræðilegum tilgangi, á grundvelli laga Sambandsins eða laga aðildarríkis, sem verða að þjóna hagsmunum almennings, sem og vegna rannsókna sem fara fram í þágu almannahagsmuna á sviði lýðheilsu. Þessi reglugerð ætti því að kveða á um samræmd skilyrði fyrir vinnslu sérstakra flokka persónuupplýsinga sem varða heilbrigðismál, með hliðsjón af sérstökum þörfum, einkum þegar vinnsla slíkra upplýsinga fer fram í þágu tiltekinna heilsutengdra markmiða af hálfu aðila sem falla undir þagnarskyldu samkvæmt lögum. Lög Sambandsins eða lög aðildarríkis ættu að kveða á um sértækar og viðeigandi ráðstafanir til að vernda grundvallarréttindi og persónuupplýsingar einstaklinga. Aðildarríkjum ætti að vera heimilt að viðhalda eða setja frekari skilyrði, m.a. takmarkanir, að því er varðar vinnslu erfðafræðilegra upplýsinga, lífkennaupplýsinga eða heilsufarsupplýsinga. Þetta ætti þó ekki að standa í vegi fyrir frjálsu flæði persónuupplýsinga innan Sambandsins þegar þessi skilyrði eiga við um vinnslu slíkra upplýsinga yfir landamæri.
54) Vinnsla sérstakra flokka persónuupplýsinga kann að vera nauðsynleg vegna almannahagsmuna á sviði lýðheilsu án samþykkis hins skráða. Slík vinnsla ætti að vera með fyrirvara um viðeigandi og sértækar ráðstafanir til að standa vörð um réttindi og frelsi einstaklinga. Í þessu samhengi ætti að túlka hugtakið „lýðheilsa" eins og það er skilgreint í reglugerð Evrópuþingsins og ráðsins (EB) nr. 1338/2008 ( Reglugerð Evrópuþingsins og ráðsins (EB) nr. 1338/2008 frá 16. desember 2008 um hagskýrslur Bandalagsins um lýðheilsu og heilbrigði og öryggi á vinnustað (Stjtíð. ESB L 354, 31.12.2008, bls. 70).), þ.e. sem allir heilsufarstengdir þættir, nánar tiltekið heilsufar, m.a. sjúkdómstilvik og fötlun, ákvarðandi þættir sem hafa áhrif á heilsufar, þörf fyrir heilbrigðisþjónustu, fjármagn sem veitt er til heilbrigðisþjónustu, veiting og almennur aðgangur að heilbrigðisþjónustu og kostnaður og fjármögnun heilbrigðisþjónustu, sem og dánarorsakir. Slík vinnsla heilsufarsupplýsinga í þágu almannahagsmuna ætti ekki að leiða til vinnslu persónuupplýsinga í öðrum tilgangi af hálfu þriðju aðila, s.s. vinnuveitenda eða tryggingafélaga og bankastofnana.
55) Vinnsla persónuupplýsinga af hálfu opinberra yfirvalda í þeim tilgangi að vinna að markmiðum opinberlega viðurkenndra trúarsamtaka, eins og mælt er fyrir um í stjórnskipunarlögum eða samkvæmt þjóðarétti, fer einnig fram með vísan til almannahagsmuna.
56) Þegar nauðsynlegt reynist fyrir starfsemi lýðræðislegs stjórnkerfis í aðildarríki, í tengslum við kosningar, að stjórnmálaflokkar taki saman persónuupplýsingar um stjórnmálaskoðanir fólks má heimila vinnslu slíkra upplýsinga í þágu almannahagsmuna, að því tilskildu að gerðar séu viðeigandi verndarráðstafanir.
57) Ef persónuupplýsingar sem ábyrgðaraðili vinnur gera honum ekki kleift að persónugreina einstakling ætti honum ekki að vera skylt að afla viðbótarupplýsinga til að greina skráðan einstakling eingöngu í þeim tilgangi að uppfylla eitthvert ákvæðanna í þessari reglugerð. Þó ætti ábyrgðaraðili ekki að neita að taka við viðbótarupplýsingum sem hinn skráði lætur í té til þess að ná fram rétti sínum. Í persónugreiningu ætti að felast stafræn auðkenning á skráðum einstaklingi, m.a. með hjálp sannvottunaraðferðar á borð við sömu skilríki og hann notar við innskráningu á þjónustu á vegum ábyrgðaraðila gagna á Netinu.
58) Meginreglan um gagnsæi krefst þess að hvers kyns upplýsingar, sem ætlaðar eru almenningi eða skráðum einstaklingi, séu gagnorðar, aðgengilegar og auðskiljanlegar, að þær séu á skýru og einföldu máli og að auki að sjónrænum aðferðum sé beitt, eftir því sem við á. Veita mætti slíkar upplýsingar á rafrænu formi, t.d. á vefsetri, þegar þær eru ætlaðar almenningi. Þetta á einkum við í tilvikum þar sem erfitt er fyrir skráðan einstakling að vita og skilja, vegna hins mikla fjölda aðila sem koma að máli og flókinnar tækni sem notuð er, hvort, af hverjum og í hvaða tilgangi upplýsingum er safnað um hann, s.s. þegar um er að ræða auglýsingar á Netinu. Þar sem börn þurfa að njóta sérstakrar verndar ættu hvers kyns upplýsingar og tilkynningar, þegar vinnsla beinist að barni, að vera á skýru og einföldu máli sem barnið getur auðveldlega skilið.
59) Koma ætti á nánari reglum til að greiða fyrir því að skráður einstaklingur geti neytt réttar síns samkvæmt þessari reglugerð, m.a. ráðstöfunum sem gera honum kleift að fara fram á og, ef við á, fá því endurgjaldslaust framgengt að honum sé veittur aðgangur að persónuupplýsingum, þær séu leiðréttar eða þeim eytt, sem og að hann geti neytt andmælaréttar síns. Ábyrgðaraðili ætti einnig að sjá til þess að hægt sé að leggja fram beiðnir rafrænt, einkum þegar vinnsla persónuupplýsinga fer fram með rafrænum hætti. Ábyrgðaraðila ætti að vera skylt að svara beiðnum skráðs einstaklings án ótilhlýðilegrar tafar og innan eins mánaðar hið mesta og færa fram rök ef hann hyggst ekki taka slíkar beiðnir til greina.
60) Meginreglurnar um sanngirni og gagnsæi við vinnslu krefjast þess að skráðum einstaklingi sé tilkynnt um að vinnsluaðgerð standi yfir og hver sé tilgangur hennar. Ábyrgðaraðili ætti að veita hinum skráða frekari upplýsingar sem nauðsynlegar eru til að tryggja að gætt sé sanngirni og gagnsæi við vinnslu persónuupplýsinga með tilliti til þeirra sérstöku aðstæðna og samhengis sem eiga við vinnslu þeirra. Enn fremur ætti að upplýsa hinn skráða um að gert hafi verið persónusnið og um afleiðingar þess. Þegar persónuupplýsingar eru fengnar hjá skráðum einstaklingi ætti einnig að upplýsa hann um hvort honum sé skylt að láta persónuupplýsingarnar í té og um það hvaða afleiðingar það hefur að veita þær ekki. Hægt er að láta staðlaðar táknmyndir fylgja þessum upplýsingum til að veita greinargott yfirlit yfir fyrirhugaða vinnslu á auðsýnilegan, skiljanlegan og auðlæsilegan hátt. Táknmyndirnar ættu að vera á tölvulesanlegu sniði þegar þær eru settar fram rafrænt.
61) Veita ætti skráðum einstaklingi upplýsingar í tengslum við vinnslu persónuupplýsinga um hann á þeim tíma þegar upplýsinganna er aflað hjá honum eða, þegar persónuupplýsinganna er aflað frá öðrum heimildum, innan hæfilegs tíma, með hliðsjón af aðstæðum í hverju tilviki fyrir sig. Ef fá má öðrum viðtakanda persónuupplýsingar í hendur með lögmætum hætti ætti að tilkynna það hinum skráða þegar viðtakandinn fær persónuupplýsingarnar í fyrsta sinn. Ef ábyrgðaraðili hyggst vinna persónuupplýsingarnar í öðrum tilgangi en þeim sem er að baki söfnun þeirra ætti hann að láta hinum skráða í té upplýsingar um þennan nýja tilgang áður en sú frekari vinnsla hefst, ásamt öðrum nauðsynlegum upplýsingum. Ef ekki er hægt að skýra hinum skráða frá uppruna persónuupplýsinganna vegna þess að þær koma frá mismunandi heimildum ætti að veita almennar upplýsingar.
62) Þó er ekki nauðsynlegt að setja fram skyldu til að veita upplýsingar ef skráður einstaklingur hefur þær þegar undir höndum, ef sérstaklega er mælt fyrir um skráningu eða birtingu persónuupplýsinganna í lögum, ef ómögulegt reynist að veita hinum skráða upplýsingar eða það hefði í för með sér óhóflega fyrirhöfn. Það síðasttalda gæti einkum átt við þegar vinnslan fer fram vegna skjalavistunar í þágu almannahagsmuna, rannsókna á sviði vísinda eða sagnfræði eða í tölfræðilegum tilgangi. Í því sambandi ætti að taka tillit til fjölda skráðra einstaklinga, þess hversu gamlar upplýsingarnar eru og viðeigandi verndarráðstafana sem gerðar hafa verið.
63) Skráður einstaklingur ætti að hafa rétt til aðgangs að persónuupplýsingum sem hefur verið safnað um hann og til að neyta þessa réttar með auðveldum hætti og hæfilegum hléum til þess að hann geti gert sér grein fyrir því hvort vinnslan fari fram með lögmætum hætti og sannreynt það. Þetta felur í sér rétt skráðra einstaklinga til aðgangs að upplýsingum sem varða heilsufar þeirra, t.d. upplýsingum í sjúkraskrám á borð við sjúkdómsgreiningu, niðurstöður rannsókna, mat meðhöndlandi lækna og hvers kyns meðferðir eða inngrip. Sérhver skráður einstaklingur ætti því einkum að hafa rétt til að fá vitneskju og tilkynningu um tilganginn með vinnslu persónuupplýsinganna, vinnslutímabil upplýsinganna ef unnt er, viðtakendur þeirra, hvaða rök liggja að baki sjálfvirkri vinnslu persónuupplýsinga og afleiðingar slíkrar vinnslu, einkum þegar hún er byggð á gerð persónusniðs. Ábyrgðaraðilinn ætti, ef mögulegt er, að vera fær um að veita hinum skráða fjaraðgang að öruggu kerfi sem myndi veita honum beinan aðgang að persónuupplýsingum um sig. Sá réttur ætti ekki að hafa neikvæð áhrif á réttindi eða frelsi annarra, þ.m.t. viðskiptaleyndarmál eða hugverkaréttindi og þá einkum höfundarrétt til verndar hugbúnaðinum. Niðurstaða þessara atriða ætti þó ekki að vera sú að skráðum einstaklingi sé neitað um allar upplýsingar. Þegar ábyrgðaraðili vinnur með mikið magn upplýsinga sem varða skráðan einstakling ætti hann að geta óskað eftir því að hinn skráði tilgreini nánar um hvaða upplýsingar eða vinnsluaðgerðir beiðnin snýst, áður en upplýsingarnar eru veittar.
64) Ábyrgðaraðilinn ætti að gera allar eðlilegar ráðstafanir til að sannreyna deili á skráðum einstaklingi sem óskar eftir aðgangi, einkum í tengslum við þjónustu á Netinu og netauðkenni. Ábyrgðaraðili ætti ekki að halda eftir persónuupplýsingum í þeim tilgangi einum að geta brugðist við hugsanlegum beiðnum.
65) Skráður einstaklingur ætti að hafa rétt til leiðréttingar á persónuupplýsingum er varða hann sjálfan og „rétt til að gleymast" ef varðveisla slíkra upplýsinga brýtur í bága við þessa reglugerð, lög Sambandsins eða lög aðildarríkis sem ábyrgðaraðilinn fellur undir. Skráður einstaklingur ætti einkum að hafa rétt til þess að fá persónuupplýsingum er varða hann sjálfan eytt og að vinnslu með þær sé hætt ef upplýsingarnar eru ekki lengur nauðsynlegar í tengslum við tilganginn með söfnun eða vinnslu þeirra að öðru leyti, ef hann hefur afturkallað samþykki sitt eða andmælir vinnslu persónuupplýsinga um sig eða ef vinnsla persónuupplýsinga um hann samrýmist ekki þessari reglugerð að öðru leyti. Þessi réttur á einkum við þegar hinn skráði hefur veitt samþykki sitt sem barn og gerir sér ekki fulla grein fyrir áhættunni sem vinnslan felur í sér og óskar eftir því síðar að persónuupplýsingunum verði eytt, einkum á Netinu. Skráður einstaklingur ætti að geta neytt þessa réttar þrátt fyrir að hann sé ekki lengur barn. Þó ætti frekari varðveisla persónuupplýsinganna að vera lögmæt, ef nauðsyn krefur, til að neyta réttar til tjáningar- og upplýsingafrelsis, til að uppfylla lagaskyldu, vegna verkefnis sem er unnið í þágu almannahagsmuna eða við beitingu opinbers valds sem ábyrgðaraðili fer með, í þágu almannahagsmuna á sviði lýðheilsu, vegna skjalavistunar í þágu almannahagsmuna, rannsókna á sviði vísinda eða sagnfræði eða í tölfræðilegum tilgangi eða til að unnt sé að stofna, hafa uppi eða verja réttarkröfur.
66) Til að efla megi réttinn til að gleymast í netumhverfinu ætti einnig að víkka réttinn til eyðingar þannig að ábyrgðaraðila, sem gerði persónuupplýsingarnar opinberar, sé skylt að upplýsa þá ábyrgðaraðila sem vinna slíkar upplýsingar um að afmá beri alla tengla á þessar persónuupplýsingar eða afrit af þeim eða endurgerðir þeirra. Í því sambandi ætti viðkomandi ábyrgðaraðili að gera eðlilegar ráðstafanir með tilliti til þeirrar tækni sem er fyrir hendi og aðferða sem honum eru aðgengilegar, þ.m.t. tæknilegar ráðstafanir til að upplýsa ábyrgðaraðilana, sem vinna persónuupplýsingar um hinn skráða, um beiðni hans.
67) Aðferðir til að takmarka vinnslu persónuupplýsinga gætu m.a. falið í sér að færa valdar upplýsingar tímabundið í annað vinnslukerfi, gera valdar persónuupplýsingar óaðgengilegar notendum eða fjarlægja birtar upplýsingar tímabundið af vefsetri. Í sjálfvirkum skráningarkerfum ætti að jafnaði að tryggja takmörkun vinnslunnar með tæknilegum aðferðum á þann hátt að ekki verði um frekari vinnslu persónuupplýsinganna að ræða og ekki sé hægt að breyta þeim. Tilgreina ætti með skýrum hætti í kerfinu að vinnsla persónuupplýsinga sé takmörkuð.
68) Til að styrkja enn frekar stjórn skráðs einstaklings á upplýsingum er varða hann sjálfan þegar vinnsla persónuupplýsinga fer fram með sjálfvirkum aðferðum ætti hann einnig að hafa rétt til að fá persónuupplýsingar er varða hann sjálfan, sem hann hefur látið ábyrgðaraðila í té, á skipulegu, algengu, tölvulesanlegu og samvirkandi sniði og senda þær öðrum ábyrgðaraðila. Hvetja ætti ábyrgðaraðila gagna til að þróa samvirkandi snið sem gera það mögulegt að flytja eigin gögn. Þessi réttur ætti að gilda þegar hinn skráði lét persónuupplýsingarnar í té á grundvelli eigin samþykkis eða ef vinnslan er nauðsynleg vegna framkvæmdar samnings. Hann ætti ekki að eiga við þegar vinnslan byggist á öðrum lagagrundvelli en samþykki eða samningi. Eðli málsins samkvæmt ætti ekki að beita þessum rétti gagnvart ábyrgðaraðilum sem vinna persónuupplýsingar við opinber skyldustörf sín. Hann ætti því ekki að gilda þegar vinnsla persónuupplýsinga er nauðsynleg til að uppfylla lagaskyldu sem hvílir á ábyrgðaraðilanum eða vegna verkefnis sem er unnið í þágu almannahagsmuna eða við beitingu opinbers valds sem ábyrgðaraðili fer með. Réttur skráðs einstaklings til að senda eða taka á móti persónuupplýsingum er varða hann sjálfan ætti ekki að verða til þess að ábyrgðaraðilum sé skylt að taka upp eða viðhalda vinnslukerfum sem eru tæknilega samhæfð. Ef tiltekið mengi persónuupplýsinga varðar fleiri en einn skráðan einstakling ætti réttur þeirra til að fá persónuupplýsingarnar að vera með fyrirvara um réttindi og frelsi annarra skráðra einstaklinga í samræmi við þessa reglugerð. Þessi réttur ætti enn fremur ekki að hafa áhrif á rétt skráðs einstaklings til að láta eyða persónuupplýsingum og takmarkanir á þeim rétti eins og sett er fram í þessari reglugerð, einkum ætti hann ekki að gefa til kynna að persónuupplýsingum, sem varða hinn skráða, sem hann hefur látið af hendi vegna efndar á samningi, verði eytt, að því marki og svo lengi sem persónuupplýsingarnar eru nauðsynlegar til að efna samninginn. Ef það er tæknilega gerlegt ætti skráður einstaklingur að hafa rétt til að láta senda persónuupplýsingarnar beint frá einum ábyrgðaraðila til annars.
69) Þegar vinnsla persónuupplýsinga gæti verið lögmæt vegna þess að hún er nauðsynleg vegna verkefnis, sem er unnið í þágu almannahagsmuna eða við beitingu opinbers valds sem ábyrgðaraðili fer með eða vegna lögmætra hagsmuna ábyrgðaraðila eða þriðja aðila, ætti skráður einstaklingur engu að síður að hafa rétt til að andmæla vinnslu persónuupplýsinga sem varða hans tilteknu aðstæður. Það ætti að vera á hendi ábyrgðaraðila að sýna fram á að mikilvægir lögmætir hagsmunir hans gangi framar hagsmunum eða grundvallarréttindum og frelsi hins skráða.
70) Þegar persónuupplýsingar eru unnar í þágu beinnar markaðssetningar ætti skráður einstaklingur að hafa rétt til að andmæla slíkri vinnslu, m.a. gerð persónusniðs, að því marki sem hún tengist slíkri beinni markaðssetningu, hvort sem um er að ræða upphaflega eða frekari vinnslu eða ekki, hvenær sem er og endurgjaldslaust. Gera ætti hinum skráða sérstaklega grein fyrir þessum rétti með skýrum hætti og aðgreint frá öðrum upplýsingum.
71) Skráður einstaklingur ætti að eiga rétt á því að sæta ekki ákvörðun sem kann að fela í sér ráðstöfun þar sem persónulegir þættir hans eru metnir eingöngu á grundvelli sjálfvirkrar gagnavinnslu og hefur réttaráhrif gagnvart honum sjálfum eða veruleg sambærileg áhrif, s.s. sjálfvirka höfnun lánsumsóknar á Netinu eða rafrænt ráðningarferli án mannlegrar íhlutunar. Til slíkrar vinnslu telst „gerð persónusniðs" sem felur í sér hvers kyns sjálfvirka vinnslu persónuupplýsinga til að meta persónulega þætti er varða hagi einstaklings, einkum að greina eða spá fyrir um þætti er varða frammistöðu hans í starfi, fjárhagsstöðu, heilsufar, smekk, áhugamál, áreiðanleika eða hegðun, staðsetningu eða hreyfanleika, þegar hún hefur réttaráhrif hvað hann sjálfan varðar eða veruleg sambærileg áhrif. Ákvarðanataka, sem byggist á slíkri vinnslu, þ.m.t. gerð persónusniðs, ætti að vera leyfileg samkvæmt sérstakri heimild í lögum Sambandsins eða lögum aðildarríkis sem ábyrgðaraðilinn fellur undir, m.a. í þeim tilgangi að fylgjast með og koma í veg fyrir svindl og skattsvik í samræmi við reglur, staðla og tilmæli stofnana Sambandsins eða landsbundinna eftirlitsaðila og til að tryggja öryggi og áreiðanleika þjónustu sem ábyrgðaraðili veitir eða, þegar nauðsyn krefur, vegna gerðar eða framkvæmdar samnings milli skráðs einstaklings og ábyrgðaraðila eða þegar hinn skráði hefur veitt ótvírætt samþykki sitt. Hvað sem öðru líður ætti við slíka vinnslu að gera viðeigandi verndarráðstafanir, þ. á m. að veita hinum skráða skilmerkilegar upplýsingar og rétt til mannlegrar íhlutunar, að láta skoðun sína í ljós, fá útskýringar á ákvörðun sem tekin er að loknu slíku mati og vefengja ákvörðunina. Slík ráðstöfun ætti ekki að varða barn. Til að tryggja að vinnslan sé sanngjörn og gagnsæ gagnvart skráðum einstaklingi, að teknu tilliti til sérstakra aðstæðna og samhengis við vinnslu persónuupplýsinganna, ætti ábyrgðaraðilinn að nota viðeigandi stærðfræðilegar eða tölfræðilegar aðferðir við gerð persónusniðs, gera viðeigandi tæknilegar og skipulagslegar ráðstafanir, einkum til að tryggja að þættir sem gera persónuupplýsingar óáreiðanlegar séu leiðréttir og dregið sé úr hættu á mistökum, að tryggja öryggi persónuupplýsinga þannig að tekið sé tillit til mögulegrar áhættu fyrir hagsmuni og réttindi hins skráða og m.a. komið í veg fyrir að einstaklingum sé mismunað á grundvelli kynþáttar eða þjóðernislegs uppruna, stjórnmálaskoðana, trúarbragða eða trúar, þátttöku í stéttarfélagi, erfðaeiginleika eða heilsuhaga eða kynhneigðar, eða vinnslu sem leiðir til ráðstafana sem hafa samsvarandi áhrif. Sjálfvirka ákvarðanatöku og gerð persónusniðs, sem byggist á sérstökum flokkum persónuupplýsinga, ætti einungis að heimila með sérstökum skilyrðum.
72) Gerð persónusniðs fellur undir reglurnar um vinnslu persónuupplýsinga í þessari reglugerð, m.a. hvað varðar lagagrundvöll vinnslunnar eða meginreglur um persónuvernd. Evrópska persónuverndarráðið, sem komið er á fót með þessari reglugerð („persónuverndarráðið"), ætti að geta gefið út leiðbeiningar í því tilliti.
73) Lög Sambandsins eða lög aðildarríkis geta kveðið á um að takmarka megi sértækar meginreglur og rétt á upplýsingum, aðgang að persónuupplýsingum og leiðréttingu á þeim eða eyðingu þeirra, rétt til að flytja eigin gögn, rétt til andmæla, ákvarðanir sem byggjast á gerð persónusniðs, ásamt tilkynningum til skráðs einstaklings um öryggisbrest við meðferð persónuupplýsinga og tilteknar tengdar skyldur ábyrgðaraðila, að því marki sem nauðsynlegt er og hóflegt í lýðræðisþjóðfélagi til að vernda almannaöryggi, þ.m.t. mannslíf, einkum vegna viðbragða við náttúruhamförum og hamförum af mannavöldum, vegna forvarna, rannsókna og saksóknar í refsimálum eða fullnustu refsiviðurlaga, m.a. til að vernda gegn og koma í veg fyrir ógnir við almannaöryggi eða brot á siðareglum í lögvernduðum atvinnugreinum, vegna annarra mikilvægra markmiða sem þjóna almannahagsmunum Sambandsins eða aðildarríkis, einkum mikilvægum efnahagslegum eða fjárhagslegum hagsmunum Sambandsins eða aðildarríkis, vegna halds opinberra skráa í þágu almannahagsmuna, frekari vinnslu persónuupplýsinga í skjalasöfnum til að útvega sérstakar upplýsingar um stjórnmálahegðun undir stjórnum fyrrverandi einræðisríkja eða til að vernda hinn skráða eða réttindi og frelsi annarra, m.a. í þágu félagslegrar verndar, lýðheilsu og mannúðar. Þessar takmarkanir ættu að vera í samræmi við kröfurnar sem settar eru fram í sáttmálanum um grundvallarréttindi og Evrópusáttmálanum um verndun mannréttinda og mannfrelsis.
74) Setja ætti reglur um ábyrgð og bótaábyrgð ábyrgðaraðila vegna vinnslu persónuupplýsinga af hans hálfu eða fyrir hans hönd. Ábyrgðaraðilanum ætti einkum að vera skylt að gera viðeigandi og skilvirkar ráðstafanir og hann ætti að vera fær um að sýna fram á að vinnslan fari fram í samræmi við þessa reglugerð, þ.m.t. að því er varðar skilvirkni ráðstafananna. Ráðstafanirnar ættu að taka mið af eðli, umfangi, samhengi og tilgangi vinnslunnar og áhættu fyrir réttindi og frelsi einstaklinga.
75) Vinnsla persónuupplýsinga kann að leiða til misjafnlega líklegrar og alvarlegrar áhættu fyrir réttindi og frelsi einstaklinga sem getur leitt af sér efnislegt tjón, eignatjón og óefnislegt tjón, einkum þegar vinnslan getur haft í för með sér mismunun, auðkennisþjófnað eða svik, fjárhagstjón, skaða á orðstír, tapaðan trúnað um persónuupplýsingar sem njóta verndar á grundvelli þagnarskyldu, að notkun gerviauðkenna sé aflétt í leyfisleysi eða annað umtalsvert efnahagslegt eða félagslegt óhagræði, þegar skráðir einstaklingar gætu misst réttindi sín og frelsi eða verið hindraðir í að stjórna eigin persónuupplýsingum, þegar persónuupplýsingar eru unnar sem leiða í ljós kynþátt eða þjóðernislegan uppruna, stjórnmálaskoðanir, trúarbrögð eða heimspekilega sannfæringu, þátttöku í stéttarfélagi og vinnsla erfðafræðilegra upplýsinga, upplýsinga sem varða heilsu eða upplýsinga um kynlíf eða sakfellingu í refsimálum og refsiverð brot eða tengdar öryggisráðstafanir, þegar lagt er mat á persónulega þætti, einkum við að greina eða spá fyrir um þætti er varða frammistöðu í starfi, fjárhagsstöðu, heilsuhagi, smekk eða áhugamál, áreiðanleika eða hegðun, staðsetningu eða hreyfanleika, til þess að gera eða nota persónusnið, þegar persónuupplýsingar berskjaldaðra einstaklinga, einkum barna, eru unnar eða þegar vinnsla tekur til mikils magns persónuupplýsinga og hefur áhrif á marga skráða einstaklinga.
76) Ákvarða ætti hversu líkleg og alvarleg áhættan er fyrir réttindi og frelsi hins skráða með vísun til eðlis, umfangs, samhengis og tilgangs vinnslunnar. Meta ætti áhættu út frá hlutlægu mati þar sem leitt er í ljós hvort aðgerðir við vinnslu persónuupplýsinga feli í sér áhættu eða mikla áhættu.
77) Veita mætti ábyrgðaraðila eða vinnsluaðila leiðbeiningar um framkvæmd viðeigandi ráðstafana og um það hvernig sýna skuli fram á fylgni við reglur, einkum að því er varðar greiningu á áhættu í tengslum við vinnsluna, mat þeirra að því er varðar orsök áhættunnar, eðli hennar, hversu líkleg og alvarleg hún er og við að greina bestu starfsvenjur til að draga úr henni, einkum með því að nota viðurkenndar hátternisreglur, viðurkennda vottun, viðmiðunarreglur frá persónuverndarráðinu eða ábendingar frá persónuverndarfulltrúa. Persónuverndarráðið getur einnig gefið út viðmiðunarreglur um vinnsluaðgerðir sem ólíklegt er að leiði af sér mikla áhættu fyrir réttindi og frelsi skráðra einstaklinga og bent á ráðstafanir sem geta verið nægilegar í slíkum tilvikum til að bregðast við slíkri áhættu.
78) Til að vernda réttindi og frelsi einstaklinga að því er varðar vinnslu persónuupplýsinga er nauðsynlegt að gerðar séu viðeigandi tæknilegar og skipulagslegar ráðstafanir til að tryggja að kröfum þessarar reglugerðar sé fullnægt. Til að geta sýnt fram á farið sé að þessari reglugerð ætti ábyrgðaraðilinn að setja sér innri stefnu og innleiða ráðstafanir sem fylgja einkum meginreglunum um innbyggða persónuvernd og sjálfgefna persónuvernd. Slíkar ráðstafanir gætu m.a. falið það í sér að draga sem mest úr vinnslu persónuupplýsinga, færa persónuupplýsingar undir gerviauðkenni eins skjótt og unnt er, gagnsæi að því er varðar eiginleika persónuupplýsinga og vinnslu þeirra, gera skráðum einstaklingi kleift að fylgjast með vinnslu upplýsinganna, gera ábyrgðaraðila kleift að taka upp og bæta öryggisþætti. Þegar framleiðendur vöru, þjónustu og hugbúnaðar þróa, hanna, velja og nota hugbúnað, vöru og þjónustu, sem er byggð á vinnslu persónuupplýsinga, eða vinna persónuupplýsingar í störfum sínum ætti að hvetja þá til að taka tillit til réttarins til persónuverndar við þróun og hönnun á slíkum vörum, þjónustu og hugbúnaði og ganga úr skugga um, að teknu tilhlýðilegu tilliti til nýjustu tækniþekkingar, að ábyrgðaraðilar og vinnsluaðilar geti uppfyllt skyldur sínar um persónuvernd. Einnig ætti að taka tillit til meginreglnanna um innbyggða og sjálfgefna persónuvernd í tengslum við opinber útboð.
79) Vernd réttinda og frelsis skráðra einstaklinga, ásamt ábyrgð og bótaábyrgð ábyrgðaraðila og vinnsluaðila, einnig að því er varðar eftirlit og aðgerðir eftirlitsyfirvalda, krefst þess að skipting ábyrgðarsviða samkvæmt þessari reglugerð sé skýr, m.a. þegar ábyrgðaraðili ákvarðar, ásamt öðrum ábyrgðaraðilum, tilgang og aðferðir við vinnslu eða þegar vinnsluaðgerð er framkvæmd fyrir hönd ábyrgðaraðila.
80) Ef ábyrgðaraðili eða vinnsluaðili, sem ekki hefur staðfestu í Sambandinu, vinnur persónuupplýsingar um skráða einstaklinga sem eru í Sambandinu og vinnslustarfsemi hans tengist því að bjóða slíkum skráðum einstaklingum í Sambandinu vöru eða þjónustu, án tillits til þess hvort þeir verði krafðir um greiðslu, eða hafa eftirlit með hegðun þeirra, að svo miklu leyti sem hegðunin á sér stað innan Sambandsins, ætti ábyrgðaraðilinn eða vinnsluaðilinn að tilnefna fulltrúa nema því aðeins að vinnslan sé tilfallandi, feli ekki í sér stórfellda vinnslu sérstakra flokka persónuupplýsinga eða vinnslu persónuupplýsinga er varða sakfellingu í refsimálum og refsiverð brot, og ólíklegt teljist að hún leiði af sér áhættu fyrir réttindi og frelsi einstaklinga, með tilliti til eðlis, samhengis, umfangs og tilgangs vinnslunnar, eða ef ábyrgðaraðilinn er opinbert yfirvald eða stofnun. Fulltrúinn ætti að koma fram fyrir hönd ábyrgðaraðilans eða vinnsluaðilans og getur hvaða eftirlitsyfirvald sem er haft samband við hann. Ábyrgðaraðilinn eða vinnsluaðilinn ætti að tilnefna fulltrúann sérstaklega með skriflegu umboði til að koma fram fyrir sína hönd með tilliti til skuldbindinga hans samkvæmt þessari reglugerð. Tilnefning slíks fulltrúa hefur ekki áhrif á ábyrgð eða bótaábyrgð ábyrgðaraðilans eða vinnsluaðilans samkvæmt þessari reglugerð. Slíkur fulltrúi ætti að inna verk sín af hendi í samræmi við fengið umboð frá ábyrgðaraðilanum eða vinnsluaðilanum, þ.m.t. starfa með lögbærum eftirlitsyfirvöldum með tilliti til hvers konar aðgerða sem gripið er til í því skyni að tryggja að farið sé að þessari reglugerð. Tilnefndur fulltrúi ætti að sæta framfylgdaraðgerð hafi ábyrgðaraðili eða vinnsluaðili ekki farið að reglugerðinni.
81) Til að tryggja að farið sé að kröfum þessarar reglugerðar að því er varðar þá vinnslu, sem vinnsluaðilinn á að annast fyrir hönd ábyrgðaraðilans, ætti ábyrgðaraðilinn, þegar hann felur vinnsluaðila vinnsluaðgerðir, einungis að leita til vinnsluaðila sem veita fullnægjandi tryggingar, einkum með tilliti til sérþekkingar, áreiðanleika og úrræða, fyrir því að koma til framkvæmda tæknilegum ráðstöfunum og skipulagsráðstöfunum sem samrýmast kröfum þessarar reglugerðar, m.a. að því er varðar öryggi vinnslunnar. Ef vinnsluaðili fylgir samþykktum hátternisreglum eða samþykktu vottunarfyrirkomulagi má nota það til að sýna fram á að ábyrgðaraðili uppfylli skuldbindingar sínar. Ákvæði um að vinnsla sé í höndum vinnsluaðila ætti að setja fram í samningi eða annarri réttargerð samkvæmt lögum Sambandsins eða lögum aðildarríkis, sem skuldbindur vinnsluaðilann gagnvart ábyrgðaraðilanum og tilgreinir viðfangsefni og lengd vinnslunnar, eðli og tilgang hennar, tegund persónuupplýsinga og flokka skráðra einstaklinga, með tilliti til sérstakra verkefna og ábyrgðar vinnsluaðilans í tengslum við vinnsluna sem á að fara fram og áhættu sem skapast varðandi réttindi og frelsi hins skráða. Ábyrgðaraðilinn og vinnsluaðilinn geta valið að nota stakan samning eða föst samningsákvæði sem annaðhvort framkvæmdastjórnin samþykkir beint eða eftirlitsyfirvald samþykkir í samræmi við samræmingarkerfið og framkvæmdastjórnin samþykkir síðan. Þegar vinnslu á vegum ábyrgðaraðilans er lokið ætti vinnsluaðilinn, eftir því sem ábyrgðaraðilinn ákveður, að skila eða eyða persónuupplýsingunum nema fyrir liggi krafa um varðveislu persónuupplýsinganna samkvæmt lögum Sambandsins eða lögum aðildarríkis sem vinnsluaðilanum ber að hlíta.
82) Til þess að sýna fram á að farið sé að þessari reglugerð ætti ábyrgðaraðilinn eða vinnsluaðilinn að halda skrár yfir vinnsluaðgerðir sem eru á hans ábyrgð. Hverjum ábyrgðaraðila og vinnsluaðila ætti að vera skylt að vinna með eftirlitsyfirvaldi og gera þessar skrár, að fenginni beiðni, aðgengilegar eftirlitsyfirvaldinu svo að nýta megi þær í þágu eftirlits með þessum vinnsluaðgerðum.
83) Til þess að viðhalda öryggi og koma í veg fyrir vinnslu, sem brýtur í bága við þessa reglugerð, ætti ábyrgðaraðili eða vinnsluaðili að meta þá áhættu sem fylgir vinnslunni og gera ráðstafanir til að draga úr slíkri áhættu, s.s. með dulkóðun. Þessar ráðstafanir ættu að tryggja viðeigandi öryggisstig, þ.m.t. trúnað, með tilliti til nýjustu tækni og kostnaðar við framkvæmd í tengslum við áhættu og eðli persónuupplýsinganna sem á að vernda. Við mat á áhættu fyrir gagnaöryggi ætti að líta til þeirrar áhættu sem fylgir vinnslu persónuupplýsinga, s.s. óviljandi eða ólögmætrar eyðingar persónuupplýsinga þegar þær eru sendar, geymdar eða unnar á annan hátt, s.s. að þær glatist, breytist, verði birtar eða aðgangur veittur að þeim í leyfisleysi, sem kann einkum að leiða til efnislegs tjóns, eignatjóns eða óefnislegs tjóns.
84) Til að stuðla að því að farið sé að þessari reglugerð þegar líklegt er að vinnsluaðgerðir leiði af sér mikla áhættu fyrir réttindi og frelsi einstaklinga ætti ábyrgðaraðilinn að vera ábyrgur fyrir að gert sé mat á áhrifum á persónuvernd, einkum til að meta uppruna, eðli, sérkenni og alvarleika þeirrar áhættu. Taka ætti tillit til niðurstöðu matsins þegar ákvarðaðar eru viðeigandi ráðstafanir sem grípa skal til þannig að hægt sé að sýna fram á að vinnsla persónuupplýsinga sé í samræmi við þessa reglugerð. Þegar mat á áhrifum á persónuvernd gefur til kynna að vinnsluaðgerðir feli í sér mikla áhættu, sem ábyrgðaraðilinn getur ekki dregið úr með viðeigandi ráðstöfunum með hliðsjón af tiltækri tækni og kostnaði við framkvæmd, ætti að hafa samráð við eftirlitsyfirvaldið áður en vinnslan hefst.
85) Öryggisbrestur við meðferð persónuupplýsinga getur, ef ekki er brugðist við honum á réttan hátt og tímanlega, valdið einstaklingum efnislegu tjóni, eignatjóni eða óefnislegu tjóni, s.s. missi yfirráða þeirra yfir persónuupplýsingum um sig eða takmörkun réttinda þeirra, mismunun, auðkennisþjófnaði eða svikum, fjárhagstjóni, að notkun gerviauðkenna sé aflétt í leyfisleysi, skaða á orðstír, töpuðum trúnaði um persónuupplýsingar sem njóta verndar samkvæmt þagnarskyldu eða öðru umtalsverðu efnahagslegu eða félagslegu óhagræði fyrir viðkomandi einstakling. Af þeim sökum ætti ábyrgðaraðilinn, um leið og hann verður þess áskynja að öryggisbrestur hafi orðið við meðferð persónuupplýsinga, að tilkynna eftirlitsyfirvaldinu um hann án ótilhlýðilegrar tafar og, ef mögulegt er, eigi síðar en 72 klst. eftir að hann verður brestsins var nema ábyrgðaraðilinn geti sýnt fram á, í samræmi við meginregluna um ábyrgðarskyldu, að ekki sé líklegt að viðkomandi brestur leiði af sér áhættu fyrir réttindi og frelsi einstaklinga. Ef ekki er hægt að tilkynna slíkt innan 72 klst. ættu ástæður tafarinnar að fylgja tilkynningunni og veita má upplýsingar í áföngum án frekari ástæðulausrar tafar.
86) Ábyrgðaraðilinn ætti að tilkynna skráðum einstaklingi um öryggisbrest við meðferð persónuupplýsinga án ótilhlýðilegrar tafar ef líklegt má telja að bresturinn leiði af sér mikla áhættu fyrir réttindi og frelsi einstaklingsins og gefa viðkomandi þannig færi á að gera nauðsynlegar varúðarráðstafanir. Í tilkynningunni ætti að koma fram eðli öryggisbrestsins við meðferð persónuupplýsinga, auk tilmæla til viðkomandi einstaklings um að draga úr mögulegum skaðlegum áhrifum. Slíkar tilkynningar til skráðra einstaklinga ætti að senda eins fljótt og mögulegt er og í nánu samstarfi við eftirlitsyfirvaldið, í samræmi við leiðbeiningar frá því sjálfu eða öðrum viðeigandi yfirvöldum, s.s. löggæsluyfirvöldum. Þörf á að draga úr bráðri hættu á tjóni kallar eftir skjótum samskiptum við skráða einstaklinga, en þörf á að grípa til viðeigandi ráðstafana gagnvart áframhaldandi eða sambærilegum öryggisbrestum við meðferð persónuupplýsinga kann að réttlæta að meiri tími fari í samskipti.
87) Ganga ætti úr skugga um hvort allar viðeigandi tæknilegar verndarráðstafanir og skipulagsráðstafanir hafi verið gerðar til að staðfesta tafarlaust hvort öryggisbrestur við meðferð persónuupplýsinga hafi átt sér stað og til að upplýsa eftirlitsyfirvaldið og hinn skráða þegar í stað um það. Ganga ætti úr skugga um að tilkynningin hafi verið send án ótilhlýðilegrar tafar, einkum með tilliti til eðlis og alvarleika öryggisbrests við meðferð persónuupplýsinga, afleiðinga hans og skaðlegra áhrifa hans fyrir hinn skráða. Slík tilkynning getur leitt til inngripa af hálfu eftirlitsyfirvaldsins í samræmi við verkefni þess og valdsvið sem mælt er fyrir um í þessari reglugerð.
88) Þegar settar eru ítarlegar reglur um viðeigandi framsetningu og verklag við tilkynningu öryggisbrests við meðferð persónuupplýsinga ætti að taka tilhlýðilegt tillit til aðstæðna þegar viðkomandi brestur átti sér stað, m.a. hvort persónuupplýsingar hafi verið varðar með viðeigandi tæknilegum ráðstöfunum sem takmarka í reynd líkur á auðkennasvikum eða annars konar misnotkun. Enn fremur ættu slíkar reglur og málsmeðferð að taka tillit til lögmætra hagsmuna löggæsluyfirvalda þegar upplýsingagjöf snemma í ferlinu kann að ástæðulausu að standa í vegi fyrir rannsókn á aðstæðum þegar öryggisbrestur við meðferð persónuupplýsinga átti sér stað.
89) Í tilskipun 95/46/EB er kveðið á um almenna skyldu til að tilkynna eftirlitsyfirvöldum um vinnslu persónuupplýsinga. Þótt sú skylda leiði til stjórnsýslulegrar og fjárhagslegrar byrði leiddi hún ekki í öllum tilvikum til bættrar verndar persónuupplýsinga. Af þeim sökum ætti að afnema slíka tilviljanakennda almenna tilkynningarskyldu og þess í stað ættu að koma skilvirkar verklagsreglur og aðferðir sem leggja í staðinn áherslu á þær tegundir vinnsluaðgerða sem líklegt er að leiði af sér mikla áhættu fyrir réttindi og frelsi einstaklinga vegna eðlis þeirra, umfangs, samhengis og tilgangs. Slíkar tegundir vinnsluaðgerða geta verið þær sem fela einkum í sér notkun nýrrar tækni eða eru nýrrar gerðar og þar sem ábyrgðaraðilinn hefur ekki áður framkvæmt mat á áhrifum á persónuvernd eða þegar þær verða nauðsynlegar í ljósi þess tíma sem liðinn er frá upphaflegu vinnslunni.
90) Í þeim tilvikum ætti ábyrgðaraðilinn að láta fara fram mat á áhrifum á persónuvernd áður en vinnslan hefst til þess að meta líkur á og alvarleika mikillar áhættu með tilliti til eðlis, umfangs, samhengis og tilgangs vinnslunnar og uppruna áhættunnar. Þetta mat á áhrifum ætti einkum að fela í sér ráðstafanir, verndarráðstafanir og fyrirkomulag sem ætlað er að draga úr þeirri áhættu, tryggja vernd persónuupplýsinga og sýna fram á að farið sé að þessari reglugerð.
91) Þetta ætti einkum að eiga við um umfangsmiklar vinnsluaðgerðir sem miða að því að vinna verulegt magn persónuupplýsinga á svæðisbundnum, landsbundnum eða yfirþjóðlegum vettvangi og sem gætu haft áhrif á mikinn fjölda skráðra einstaklinga og sem líklegt má telja að leiði af sér mikla áhættu, t.d. vegna þess hversu viðkvæmar upplýsingarnar eru, þegar í samræmi við þá tækniþekkingu sem náðst hefur er notuð ný tækni í miklum mæli, svo og aðrar vinnsluaðgerðir sem leiða af sér mikla áhættu fyrir réttindi og frelsi skráðra einstaklinga, einkum þegar þessar aðgerðir gera hinum skráðu erfiðara fyrir með að neyta réttar síns. Einnig ætti að framkvæma mat á áhrifum á persónuvernd þegar persónuupplýsingar eru unnar vegna töku ákvarðana er varða tiltekna einstaklinga í kjölfar kerfisbundins og umfangsmikils mats á persónubundnum þáttum sem tengjast einstaklingum og er byggt á gerð persónusniðs úr þessum upplýsingum eða í kjölfar vinnslu á sérstökum flokkum persónuupplýsinga, lífkennaupplýsinga eða upplýsinga um sakfellingar í refsimálum og refsiverð brot eða tengdar öryggisráðstafanir. Á sama hátt er krafist mats á áhrifum á persónuvernd þegar haft er umfangsmikið eftirlit með svæðum sem eru aðgengileg almenningi, einkum þegar notaður er ljósrafeindabúnaður eða vegna annarra aðgerða þar sem lögbært eftirlitsyfirvald telur að vinnslan leiði líklega af sér mikla áhættu fyrir réttindi og frelsi skráðra einstaklinga, einkum vegna þess að þær koma í veg fyrir að hinir skráðu neyti réttar síns, noti þjónustu eða byggi á samningi, eða vegna þess að þær eru umfangsmiklar og framkvæmdar kerfisbundið. Vinnsla persónuupplýsinga ætti ekki að teljast umfangsmikil ef vinnslan varðar persónuupplýsingar frá einstökum lækni, öðrum faglærðum heilbrigðisstarfsmanni eða lögfræðingi um sjúklinga eða viðskiptavini. Í þeim tilvikum ætti mat á áhrifum á persónuvernd ekki að vera skyldubundið.
92) Við tilteknar aðstæður kann að vera skynsamlegt og hagkvæmt að hafa viðfangsefni mats á áhrifum á persónuvernd víðtækara en eitt verkefni, t.d. ef opinber yfirvöld eða stofnanir hafa í hyggju að koma á sameiginlegum vettvangi vegna notkunar eða vinnslu eða þegar margir ábyrgðaraðilar ráðgera að koma á sameiginlegu notkunar- eða vinnsluumhverfi innan atvinnugreinar eða -geira eða algengrar, þverlægrar starfsemi.
93) Í tengslum við samþykkt laga aðildarríkis, sem eru grundvöllur fyrir framkvæmd verkefna opinbera yfirvaldsins eða stofnunarinnar og gilda um sérstaka vinnsluaðgerð eða röð aðgerða sem um er að ræða, geta aðildarríki talið nauðsynlegt að framkvæma slíkt mat áður en vinnsluaðgerðirnar hefjast.
94) Þegar mat á áhrifum á persónuvernd bendir til þess að vinnslan myndi, vegna skorts á verndarráðstöfunum, öryggisráðstöfunum og aðgerðum til að draga úr áhættu, leiða til mikillar áhættu fyrir réttindi og frelsi einstaklinga og ábyrgðaraðilinn lítur svo á að ekki verði dregið úr henni með hóflegum aðferðum með tilliti til tiltækrar tækni og kostnaðar við framkvæmd, ætti að hafa samráð við eftirlitsyfirvaldið áður en hafist er handa við vinnsluaðgerðir. Líklegt er að tilteknar tegundir vinnslu og umfang og tíðni vinnslu hafi svo mikla áhættu í för með sér sem kann einnig að leiða til skaða eða röskunar á réttindum og frelsi einstaklingsins. Eftirlitsyfirvaldið ætti að bregðast við beiðni um samráð innan tilgreinds tíma. Ef engin viðbrögð koma frá eftirlitsyfirvaldinu innan þess tíma ætti það þó ekki að hafa áhrif á íhlutun eftirlitsyfirvaldsins í samræmi við verkefni þess og valdheimildir sem mælt er fyrir um í þessari reglugerð, m.a. heimild til að banna vinnsluaðgerðir. Liður í því samráðsferli er að heimilt er að leggja fyrir eftirlitsyfirvaldið niðurstöðu úr mati á áhrifum á persónuvernd sem framkvæmt er með tilliti til viðkomandi vinnslu, einkum fyrirhugaðar ráðstafanir til að draga úr áhættu fyrir réttindi og frelsi einstaklinga.
95) Vinnsluaðilinn ætti að aðstoða ábyrgðaraðilann, eftir því sem nauðsyn krefur og komi fram beiðni um það, við að tryggja að farið sé að þeim skuldbindingum sem leiðir af framkvæmd mats á áhrifum á persónuvernd og fyrirframsamráði við eftirlitsyfirvaldið.
96) Samráð við eftirlitsyfirvaldið ætti einnig að fara fram við undirbúning löggjafar- eða stjórnvaldsráðstöfunar sem varðar vinnslu persónuupplýsinga til þess að tryggja að fyrirhuguð vinnsla sé í samræmi við þessa reglugerð og einkum til að takmarka áhættu sem snertir skráðan einstakling.
97) Ef vinnslan er í höndum opinbers yfirvalds, að undanskildum dómstólum eða sjálfstæðum dómsyfirvöldum þegar þau fara með dómsvald sitt, ef vinnsla í einkageiranum er í höndum ábyrgðaraðila þar sem meginstarfsemin felst í vinnsluaðgerðum sem krefjast umfangsmikillar, reglubundinnar og kerfisbundinnar vöktunar á skráðum einstaklingum eða ef meginverkefni ábyrgðaraðilans eða vinnsluaðilans felast í umfangsmikilli vinnslu sérstakra flokka persónuupplýsinga og upplýsinga er varða sakfellingu í refsimálum og refsiverð brot, ætti aðili með sérþekkingu á löggjöf um persónuvernd að aðstoða ábyrgðaraðilann eða vinnsluaðilann við eftirlit með því að þessari reglugerð sé fylgt á innri vettvangi. Í einkageiranum varða meginverkefni ábyrgðaraðila aðalstarfsemi hans en ekki vinnslu persónuupplýsinga sem viðbótarstarfsemi. Ákvarða ætti nauðsynlega sérþekkingu einkum út frá þeim gagnavinnsluaðgerðum sem framkvæmdar eru og þeirri vernd sem nauðsynleg er vegna þeirra persónuupplýsinga sem ábyrgðaraðili eða vinnsluaðili vinnur. Persónuverndarfulltrúar, hvort sem þeir eru starfsmenn ábyrgðaraðilans eða ekki, ættu að vera í aðstöðu til að sinna skyldustörfum sínum og verkefnum með óháðum hætti.
98) Hvetja ætti samtök eða aðra aðila, sem eru fulltrúar flokka ábyrgðaraðila eða vinnsluaðila, til að setja sér hátternisreglur, innan marka þessarar reglugerðar, í því skyni að auðvelda skilvirka beitingu hennar, með hliðsjón af sérstökum eiginleikum þeirrar vinnslu sem fer fram á tilteknum sviðum og í samræmi við sérstakar þarfir örfyrirtækja og lítilla og meðalstórra fyrirtækja. Slíkar hátternisreglur gætu einkum afmarkað skyldur ábyrgðaraðila og vinnsluaðila, með tilliti til þeirrar áhættu fyrir réttindi og frelsi einstaklinga sem líklegt er að vinnslan hafi í för með sér.
99) Þegar samtök og aðrir aðilar, sem eru fulltrúar flokka ábyrgðaraðila eða vinnsluaðila, setja sér hátternisreglur, breyta þeim eða rýmka gildissvið þeirra ættu þau að hafa samráð við viðeigandi hagsmunaaðila, m.a. skráða einstaklinga ef unnt er, og taka tillit til athugasemda og skoðana sem fram hafa komið í kjölfar slíks samráðs.
100) Til að bæta gagnsæi og fylgni við þessa reglugerð ætti að hvetja til þess að komið verði á vottunarfyrirkomulagi og persónuverndarinnsiglum og -merkjum sem gera skráðum einstaklingum kleift að meta fljótt persónuverndarstig viðkomandi vöru og þjónustu.
101) Flæði persónuupplýsinga til og frá löndum utan Sambandsins og til og frá alþjóðastofnunum er nauðsynlegt vegna vaxandi alþjóðaviðskipta og alþjóðlegrar samvinnu. Aukið flæði af þessu tagi hefur haft í för með sér ný viðfangsefni og vanda í tengslum við vernd persónuupplýsinga. Þegar persónuupplýsingum er miðlað frá Sambandinu til ábyrgðaraðila, vinnsluaðila eða annarra viðtakenda í þriðju löndum eða til alþjóðastofnana ætti það ekki að grafa undan þeirri vernd sem þessi reglugerð tryggir einstaklingum í Sambandinu, þ.m.t. við framsendingu persónuupplýsinga frá þriðja landinu eða alþjóðastofnuninni til ábyrgðaraðila eða vinnsluaðila í sama eða öðru þriðja landi eða hjá annarri alþjóðastofnun. Miðlun til þriðju landa eða alþjóðastofnana má þó aðeins fara fram með þeim hætti að þessari reglugerð sé fylgt í einu og öllu. Upplýsingunum má því aðeins miðla, með fyrirvara um önnur ákvæði þessar reglugerðar, að ábyrgðaraðili eða vinnsluaðili hafi farið að skilyrðunum sem mælt er fyrir um í ákvæðum þessarar reglugerðar um miðlun persónuupplýsinga til þriðja lands eða alþjóðastofnunar.
102) Þessi reglugerð hefur ekki áhrif á alþjóðasamninga sem Sambandið hefur gert við þriðju lönd um miðlun persónuupplýsinga, þ.m.t. um viðeigandi verndarráðstafanir í þágu skráðra einstaklinga. Aðildarríki geta gert alþjóðasamninga sem taka til miðlunar persónuupplýsinga til þriðju landa eða alþjóðastofnana, að svo miklu leyti sem slíkir samningar hafa ekki áhrif á þessa reglugerð eða önnur ákvæði í lögum Sambandsins og hafa að geyma ákvæði um viðeigandi vernd grundvallarréttinda skráðra einstaklinga.
103) Framkvæmdastjórnin getur ákveðið, þannig að gildi hafi alls staðar í Sambandinu, að þriðja land, yfirráðasvæði eða tilgreindur geiri innan þriðja lands eða alþjóðastofnun veiti fullnægjandi persónuvernd, og þannig skapað réttarvissu og einsleitni í öllu Sambandinu að því er varðar þriðja land eða alþjóðastofnun sem talin er veita slíka vernd. Í þeim tilvikum er leyfilegt að miðla persónuupplýsingum til umrædds þriðja lands eða alþjóðastofnunar án þess að afla frekari heimildar. Framkvæmdastjórnin getur einnig ákveðið að afturkalla slíka ákvörðun eftir að hún hefur tilkynnt þriðja landinu eða alþjóðastofnuninni um það og upplýst að fullu um ástæður.
104) Við mat framkvæmdastjórnarinnar á þriðja landi eða á yfirráðasvæði eða tilgreindum geira innan þriðja lands ætti hún, í samræmi við þau grundvallargildi sem Sambandið er byggt á, einkum vernd mannréttinda, að taka tillit til þess hvernig viðkomandi þriðja land virðir grunnreglur réttarríkisins, tryggir aðgang að réttarkerfinu og fer að alþjóðlegum reglum og viðmiðunum um mannréttindi, og til almennra laga og sérlaga, sem og til löggjafar um almannaöryggi, landvarnir og öryggi ríkisins, auk allsherjarreglu og refsiréttar. Við samþykkt ákvörðunar um það hvort vernd sé fullnægjandi að því er varðar yfirráðasvæði eða tilgreindan geira innan þriðja lands ætti að taka tillit til skýrra og hlutlægra viðmiðana, s.s. tiltekinna vinnsluaðgerða og gildissviðs viðkomandi lagareglna og löggjafar sem eru í gildi í þriðja landinu. Þriðja landið ætti að ábyrgjast að tryggð sé fullnægjandi vernd sem er í meginatriðum sambærileg þeirri sem er tryggð í Sambandinu, einkum þegar vinnsla persónuupplýsinga fer fram í einum eða fleiri tilgreindum geirum. Þriðja landið ætti einkum að tryggja skilvirkt og sjálfstætt eftirlit með persónuvernd og móta verklag vegna samstarfs við persónuverndaryfirvöld í aðildarríkjunum og skráðir einstaklingar ættu að njóta skilvirkra og framfylgjanlegra réttinda og geta leitað réttar síns fyrir stjórnsýsluyfirvaldi og dómstólum með skilvirkum hætti.
105) Auk alþjóðlegra skuldbindinga, sem þriðja landið eða alþjóðastofnunin hefur gengist undir, ætti framkvæmdastjórnin að taka tillit til skuldbindinga sem leiðir af þátttöku þriðja landsins eða alþjóðastofnunarinnar í marghliða eða svæðisbundnum kerfum, einkum í tengslum við vernd persónuupplýsinga, svo og framkvæmdar slíkra skuldbindinga. Einkum ætti að taka tillit til aðildar þriðja lands að samningi Evrópuráðsins frá 28. janúar 1981 um vernd einstaklinga varðandi vélræna vinnslu persónuupplýsinga og viðbótarbókunar við hann. Framkvæmdastjórnin ætti að hafa samráð við persónuverndarráðið þegar hún leggur mat á umfang verndar í þriðju löndum eða hjá alþjóðastofnunum.
106) Framkvæmdastjórnin ætti að fylgjast með framkvæmd ákvarðana um umfang verndar í þriðja landi, á yfirráðasvæði eða í tilgreindum geira innan þriðja lands eða hjá alþjóðastofnun og ætti að fylgjast með framkvæmd ákvarðana sem samþykktar eru á grundvelli 6. mgr. 25. gr. eða 4. mgr. 26. gr. tilskipunar 95/46/EB. Þegar framkvæmdastjórnin tekur ákvarðanir um hvort vernd sé fullnægjandi ætti hún að sjá til þess að fyrir hendi sé fyrirkomulag vegna reglubundinnar endurskoðunar á framkvæmd þeirra. Þessi reglubundna endurskoðun ætti að fara fram í samráði við hlutaðeigandi þriðja land eða alþjóðastofnun og að teknu tilliti til viðeigandi þróunar í þriðja landinu eða hjá alþjóðastofnuninni. Að því er eftirlit og reglubundna endurskoðun varðar ætti framkvæmdastjórnin að taka tillit til sjónarmiða og niðurstaðna Evrópuþingsins og ráðsins, svo og annarra viðeigandi aðila og heimilda. Framkvæmdastjórnin ætti að meta, innan hæfilegs frests, framkvæmd síðarnefndu ákvarðananna og leggja skýrslu um viðeigandi niðurstöður fyrir nefndina í skilningi reglugerðar Evrópuþingsins og ráðsins (ESB) nr. 182/2011 ( Reglugerð Evrópuþingsins og ráðsins (ESB) nr. 182/2011 frá 16. febrúar 2011 um reglur og almennar meginreglur varðandi tilhögun eftirlits aðildarríkjanna með framkvæmdastjórninni þegar hún beitir framkvæmdavaldi sínu (Stjtíð. ESB L 55, 28.2.2011, bls. 13).), sem komið er á fót samkvæmt þessari reglugerð, og fyrir Evrópuþingið og ráðið.
107) Framkvæmdastjórnin getur staðfest að þriðja land, yfirráðasvæði eða tilgreindur geiri í þriðja landi eða alþjóðastofnun tryggi ekki lengur fullnægjandi persónuvernd. Af þessum sökum ætti að banna miðlun persónuupplýsinga til þessa þriðja lands eða alþjóðastofnunar nema fullnægt sé kröfum þessarar reglugerðar um miðlun með fyrirvara um viðeigandi verndarráðstafanir, þ.m.t. bindandi fyrirtækjareglur, og undanþágur vegna sérstakra aðstæðna. Í því tilviki ætti að gera ráð fyrir samráði milli framkvæmdastjórnarinnar og umræddra þriðju landa eða alþjóðastofnana. Framkvæmdastjórnin ætti að tilkynna þriðja landinu eða alþjóðastofnuninni tímanlega um ástæðurnar og hefja viðræður við það eða hana til þess að ráða bót á ástandinu.
108) Þegar ekki hefur verið tekin ákvörðun um það hvort fullnægjandi vernd er fyrir hendi ætti ábyrgðaraðili eða vinnsluaðili að gera ráðstafanir til að bæta upp skort á persónuvernd í þriðja landi með viðeigandi verndarráðstöfunum í þágu skráðs einstaklings. Viðeigandi verndarráðstafanir geta m.a. falist í því að nota bindandi fyrirtækjareglur, stöðluð ákvæði um persónuvernd sem framkvæmdastjórnin hefur samþykkt, stöðluð ákvæði um persónuvernd sem eftirlitsyfirvald hefur samþykkt eða samningsákvæði sem eftirlitsyfirvald hefur heimilað. Þessar verndarráðstafanir ættu að tryggja að farið sé að kröfum um persónuvernd og að virt séu réttindi skráðra einstaklinga sem varða vinnslu innan Sambandsins, þ.m.t. að fyrir liggi framfylgjanleg réttindi skráðra einstaklinga og skilvirk lagaleg úrræði, m.a. að hægt sé að leita réttar síns fyrir stjórnsýsluyfirvöldum eða dómstólum með skilvirkum hætti og að krefjast bóta, í Sambandinu eða í þriðja landi. Þær ættu einkum að varða fylgni við almennar meginreglur um vinnslu persónuupplýsinga og meginreglur um innbyggða og sjálfgefna persónuvernd. Opinber yfirvöld eða stofnanir geta einnig miðlað upplýsingum til opinberra yfirvalda eða stofnana í þriðju löndum eða til alþjóðastofnana sem hafa samsvarandi skyldur eða hlutverk, m.a. á grundvelli ákvæða sem eru felld inn í stjórnvaldsráðstafanir, s.s. samkomulag, sem veita skráðum einstaklingum framfylgjanleg og skilvirk réttindi. Afla ætti heimildar lögbærs eftirlitsyfirvalds ef gert er ráð fyrir verndarráðstöfunum í stjórnvaldsráðstöfunum sem eru ekki lagalega bindandi.
109) Möguleiki ábyrgðaraðila eða vinnsluaðila á að beita stöðluðum ákvæðum um persónuvernd, sem framkvæmdastjórnin eða eftirlitsyfirvald hefur samþykkt, ætti hvorki að hindra ábyrgðaraðila né vinnsluaðila í að fella stöðluð ákvæði um persónuvernd inn í víðtækari samning, s.s. samning milli ábyrgðaraðilans og annars ábyrgðaraðila, né heldur í að bæta við öðrum ákvæðum eða viðbótarverndarráðstöfunum, að því tilskildu að þau stangist ekki með beinum eða óbeinum hætti á við stöðluðu samningsákvæðin, sem framkvæmdastjórnin eða eftirlitsyfirvald hefur samþykkt, eða hafi áhrif á grundvallarréttindi eða frelsi skráðra einstaklinga. Hvetja ætti ábyrgðaraðila og vinnsluaðila til að gera frekari verndarráðstafanir með hjálp samningsbundinna skuldbindinga sem koma til viðbótar stöðluðum verndarákvæðum.
110) Fyrirtækjasamstæða eða hópur fyrirtækja í sameiginlegri atvinnustarfsemi ætti að geta notað viðurkenndar bindandi fyrirtækjareglur varðandi alþjóðlega miðlun sína frá Sambandinu til skipulagsheilda innan sömu fyrirtækjasamstæðu eða hóps fyrirtækja í sameiginlegri atvinnustarfsemi, að því tilskildu að þessar fyrirtækjareglur nái yfir allar mikilvægar meginreglur og framfylgjanleg réttindi til að tryggja viðeigandi verndarráðstafanir vegna miðlunar eða miðlunarflokka persónuupplýsinga.
111) Setja ætti ákvæði um möguleika á miðlun við sérstakar aðstæður þegar skráður einstaklingur hefur veitt ótvírætt samþykki sitt og miðlunin er tilfallandi og nauðsynleg í tengslum við samning eða réttarkröfu, hvort heldur er við dómsmeðferð eða stjórnsýslumeðferð eða aðra málsmeðferð utan dómstóla, þ.m.t. málsmeðferð hjá eftirlitsaðilum. Einnig ætti að gera ráð fyrir möguleika á miðlun þegar brýnir almannahagsmunir, sem mælt er fyrir um í lögum Sambandsins eða lögum aðildarríkis, krefjast þess eða þegar miðlunin er úr skrá sem komið var á fót samkvæmt lögum og ætluð er til þess að almenningur eða þeir sem hafa lögmætra hagsmuna að gæta geti skoðað hana. Í síðarnefnda tilvikinu ætti miðlunin ekki að ná til persónuupplýsinganna í heild sinni eða heilla flokka upplýsinga í skránni og miðlunin ætti, þegar gert er ráð fyrir að þeir sem hafa lögmætra hagsmuna að gæta geti skoðað skrána, aðeins að fara fram að beiðni þeirra eða, ef þeir eiga að vera viðtakendur upplýsinganna, að teknu fullu tilliti til hagsmuna og grundvallarréttinda hins skráða.
112) Undanþágurnar ættu einkum að gilda um miðlun upplýsinga sem eru nauðsynlegar vegna mikilvægra almannahagsmuna, t.d. þegar um er að ræða alþjóðleg upplýsingaskipti milli samkeppnisyfirvalda, skatta- eða tollyfirvalda, milli fjármálaeftirlitsstofnana, milli stofnana sem starfa á sviði almannatrygginga eða lýðheilsu, t.d. við að rekja smitleiðir vegna smitsjúkdóma eða í þeim tilgangi að draga úr og/eða útrýma lyfjamisnotkun í íþróttum. Einnig ætti miðlun persónuupplýsinga að teljast lögmæt þegar hún er nauðsynleg til að vernda hagsmuni sem skipta sköpum fyrir brýna hagsmuni skráðs einstaklings eða annars einstaklings, þ.m.t. líkamlega friðhelgi eða líf, ef hinn skráði er ekki fær um að veita samþykki sitt. Þegar ekki hefur verið tekin ákvörðun um hvort fullnægjandi vernd er fyrir hendi geta lög Sambandsins eða lög aðildarríkis takmarkað, í ljósi mikilvægra almannahagsmuna, sérstaklega miðlun tiltekinna flokka upplýsinga til þriðja lands eða alþjóðastofnunar. Aðildarríkin ættu að tilkynna framkvæmdastjórninni um slík ákvæði. Telja mætti miðlun persónuupplýsinga um skráðan einstakling, sem er líkamlega eða í lagalegum skilningi ófær um að veita samþykki sitt, til alþjóðlegrar stofnunar á sviði mannúðarmála vegna framkvæmdar verkefnis samkvæmt Genfarsamningunum eða til að framfylgja alþjóðlegum mannúðarlögum sem gilda um vopnuð átök, nauðsynlega í ljósi mikilvægra almannahagsmuna eða þess að það varðar brýna hagsmuni hins skráða.
113) Miðlun, sem telja má að verði ekki endurtekin og sem aðeins varðar takmarkaðan fjölda skráðra einstaklinga, gæti einnig verið möguleg með tilliti til mikilvægra lögmætra hagsmuna sem ábyrgðaraðili gætir þegar hagsmunir eða réttindi og frelsi skráðs einstaklings ganga þeim ekki framar og ef ábyrgðaraðilinn hefur kannað allar aðstæður í tengslum við miðlun upplýsinganna. Ábyrgðaraðilinn ætti einkum að skoða eðli persónuupplýsinganna, tilgang og tímalengd fyrirhugaðrar vinnsluaðgerðar eða -aðgerða, svo og aðstæður í upprunalandinu, þriðja landinu og endanlegu viðtökulandi og ætti að gera viðeigandi verndarráðstafanir til að vernda grundvallarréttindi og frelsi einstaklinga með tilliti til vinnslu persónuupplýsinga þeirra. Slík miðlun ætti aðeins að vera möguleg í einstaka tilvikum þegar engin annarra nefndra ástæðna til miðlunar á við. Taka ætti tillit til lögmætra væntinga samfélagsins um aukna þekkingu þegar um er að ræða vísindalegar eða sagnfræðilegar rannsóknir eða tölfræðilegan tilgang. Ábyrgðaraðilinn ætti að tilkynna eftirlitsyfirvaldinu og hinum skráða um miðlunina.
114) Hvað sem öðru líður ætti ábyrgðaraðili eða vinnsluaðili, ef framkvæmdastjórnin hefur ekki tekið ákvörðun um hvort persónuvernd sé fullnægjandi í þriðja landi, að nýta sér lausnir sem veita skráðum einstaklingum framfylgjanleg og skilvirk réttindi að því er varðar vinnslu persónuupplýsinga um þá í Sambandinu eftir að miðlun þessara upplýsinga hefur farið fram svo að þeir njóti áfram grundvallarréttinda og verndarráðstafana.
115) Sum þriðju lönd samþykkja lög, reglur og aðrar réttargerðir sem lúta að beinu eftirliti með vinnsluaðgerðum einstaklinga og lögaðila undir lögsögu aðildarríkjanna. Þetta kann að taka til dóma, sem dómstólar kveða upp eða ákvarðana stjórnvalda í þriðju löndum, sem krefjast þess að ábyrgðaraðili eða vinnsluaðili miðli persónuupplýsingum eða birti þær og sem byggjast ekki á alþjóðasamningi á borð við samning um gagnkvæma dómsmálaaðstoð, sem er í gildi milli þriðja landsins, sem leggur fram beiðni, og Sambandsins eða aðildarríkis. Ef beiting þessara laga, reglna og annarra réttargerða er ekki svæðisbundin getur það gengið gegn þjóðarétti og kann að standa í vegi fyrir þeirri vernd sem einstaklingum er tryggð í Sambandinu með þessari reglugerð. Aðeins ætti að heimila miðlun ef skilyrðum þessarar reglugerðar um miðlun til þriðju landa er fullnægt. Þetta getur m.a. átt við þegar birting er nauðsynleg vegna mikilvægra almannahagsmuna sem viðurkenndir eru í lögum Sambandsins eða lögum aðildarríkis sem ábyrgðaraðili heyrir undir.
116) Þegar persónuupplýsingar fara yfir landamæri utan Sambandsins getur það leitt til aukinnar áhættu fyrir getu einstaklinga til að neyta réttar síns til persónuverndar, einkum verja sig gegn ólögmætri notkun eða birtingu umræddra upplýsinga. Jafnframt geta eftirlitsyfirvöld komist að þeirri niðurstöðu að þau geti ekki fylgt eftir kvörtunum eða sinnt rannsóknum í tengslum við starfsemi utan landamæra sinna. Ófullnægjandi valdheimildir til forvarna eða úrbóta, misræmi milli lagareglna og hindranir sem lúta að framkvæmd á borð við takmarkað fjármagn geta staðið í vegi fyrir viðleitni þeirra til að vinna saman yfir landamæri. Þess vegna þarf að hvetja til nánara samstarfs meðal eftirlitsyfirvalda á sviði persónuverndar til að hjálpa þeim við að skiptast á upplýsingum og vinna að rannsóknum með samsvarandi alþjóðlegum aðilum. Í þeim tilgangi að móta fyrirkomulag alþjóðlegrar samvinnu til að greiða fyrir og veita gagnkvæma aðstoð á alþjóðavettvangi við framkvæmd löggjafar um vernd persónuupplýsinga ættu framkvæmdastjórnin og eftirlitsyfirvöldin að skiptast á upplýsingum og starfa með lögbærum yfirvöldum þriðju landa að verkefnum sem tengjast beitingu valdheimilda þeirra, á gagnkvæmum grundvelli og í samræmi við þessa reglugerð.
117) Þýðingarmikill þáttur í vernd einstaklinga að því er varðar vinnslu persónuupplýsinga þeirra felst í því að koma eftirlitsyfirvöldum á fót í aðildarríkjunum með umboð til að gegna störfum sínum og beita valdheimildum sínum algerlega óháð öðrum. Aðildarríkin ættu að geta komið á fót fleiri en einu eftirlitsyfirvaldi til að endurspegla stjórnskipan sína, stjórnunarhætti og skipulag stjórnsýslu.
118) Sjálfstæði eftirlitsyfirvalda ætti ekki að þýða að þau þurfi ekki að hlíta eftirlits- eða vöktunarkerfum í tengslum við útgjöld sín eða eftirliti dómstóla.
119) Ef aðildarríki kemur á fót fleiri en einu eftirlitsyfirvaldi ætti það að koma á kerfi samkvæmt lögum til að tryggja skilvirka þátttöku eftirlitsyfirvaldanna í samræmingarkerfinu. Umrætt aðildarríki ætti einkum að tilnefna það eftirlitsyfirvald sem gegnir hlutverki sameiginlegs tengiliðar vegna virkrar þátttöku þessara yfirvalda í kerfinu til þess að tryggja skjóta og snurðulausa samvinnu við önnur eftirlitsyfirvöld, persónuverndarráðið og framkvæmdastjórnina.
120) Sérhvert eftirlitsyfirvald ætti að hafa yfir að ráða því fjármagni, þeim mannauði, húsakosti og innviðum sem nauðsynleg eru til að þau geti sinnt verkefnum sínum með skilvirkum hætti, þ.m.t. þeim sem lúta að gagnkvæmri aðstoð og samvinnu við önnur eftirlitsyfirvöld alls staðar í Sambandinu. Sérhvert eftirlitsyfirvald ætti að hafa sérstaka, opinbera árlega fjárhagsáætlun sem getur verið hluti af heildarfjárlögum fylkisins eða ríkisins.
121) Mæla ætti fyrir um almenn skilyrði fyrir fulltrúa eftirlitsyfirvaldsins í lögum hvers aðildarríkis og í þeim ætti einkum að kveða á um að þing, ríkisstjórn eða þjóðhöfðingjar aðildarríkisins skipi þessa fulltrúa á grundvelli gagnsærrar málsmeðferðar, að fenginni tillögu ríkisstjórnarinnar, ráðherra hennar, þingsins eða þingdeildar, eða að sjálfstæðum aðila sé falið það verkefni samkvæmt lögum aðildarríkis. Til þess að tryggja sjálfstæði eftirlitsyfirvaldsins ættu fulltrúarnir að koma fram af heilindum, ekki aðhafast neitt það sem er ósamrýmanlegt skyldum þeirra og ekki að stunda önnur launuð eða ólaunuð ósamrýmanleg störf á skipunartíma sínum. Eftirlitsyfirvaldið ætti að hafa eigið starfslið, valið af því sjálfu eða sjálfstæðum aðila, sem er komið á fót samkvæmt lögum aðildarríkis, og ætti það eingöngu að lúta stjórn fulltrúa eftirlitsyfirvaldsins.
122) Sérhvert eftirlitsyfirvald ætti að vera til þess bært á yfirráðasvæði eigin aðildarríkis að beita þeim valdheimildum og vinna þau verkefni sem því eru falin samkvæmt þessari reglugerð. Þau ættu einkum að taka til vinnslu í tengslum við starfsemi starfsstöðvar ábyrgðaraðila eða vinnsluaðila á yfirráðasvæði eigin aðildarríkis, vinnslu opinberra yfirvalda eða einkaaðila á persónuupplýsingum í þágu almannahagsmuna, vinnslu sem hefur áhrif á skráða einstaklinga á yfirráðasvæði þess eða vinnslu af hálfu ábyrgðaraðila eða vinnsluaðila, sem hefur ekki staðfestu í Sambandinu, þegar hún beinist að skráðum einstaklingum sem búa á yfirráðasvæði þess. Þar á meðal ætti að vera meðferð kvartana frá skráðum einstaklingi, framkvæmd rannsókna á beitingu þessarar reglugerðar og vitundarefling meðal almennings um áhættuþætti, reglur, verndarráðstafanir og réttindi í tengslum við vinnslu persónuupplýsinga.
123) Eftirlitsyfirvöldin ættu að hafa eftirlit með beitingu ákvæðanna samkvæmt þessari reglugerð og stuðla að samræmdri framkvæmd hennar í öllu Sambandinu, til að vernda einstaklinga í tengslum við vinnslu persónuupplýsinga um þá og greiða fyrir frjálsu flæði persónuupplýsinga á innri markaðnum. Í því skyni ættu eftirlitsyfirvöld að hafa samstarf sín á milli og við framkvæmdastjórnina, án þess að nauðsynlegt sé að gera samning milli aðildarríkjanna um gagnkvæma aðstoð eða slíka samvinnu.
124) Þegar vinnsla persónuupplýsinga fer fram innan ramma starfsemi starfsstöðvar ábyrgðaraðila eða vinnsluaðila í Sambandinu og ábyrgðaraðilinn eða vinnsluaðilinn hefur staðfestu í fleiru en einu aðildarríki, eða þegar vinnsla, sem fram fer innan ramma starfsemi stakrar starfsstöðvar ábyrgðaraðila eða vinnsluaðila í Sambandinu, hefur veruleg áhrif eða búast má við að hún hafi veruleg áhrif á skráða einstaklinga í fleiri en einu aðildarríki, ætti eftirlitsyfirvald yfir höfuðstöðvum ábyrgðaraðila eða vinnsluaðila eða þessari einu starfsstöð ábyrgðaraðila eða vinnsluaðila að gegna hlutverki forystuyfirvalds. Það ætti að hafa samstarf við önnur hlutaðeigandi yfirvöld þegar ábyrgðaraðili eða vinnsluaðili er með starfsstöð á yfirráðsvæði þeirra, skráðir einstaklingar á yfirráðasvæði þeirra verða fyrir verulegum áhrifum eða kvörtun er lögð fram hjá þeim. Ef skráður einstaklingur, sem býr ekki í því aðildarríki, leggur fram kvörtun ætti eftirlitsyfirvaldið, sem kvörtunin er lögð fram hjá, einnig að vera hlutaðeigandi eftirlitsyfirvald. Innan ramma þeirra verkefna sinna að gefa út viðmiðunarreglur varðandi álitaefni, sem upp kunna að koma varðandi beitingu þessarar reglugerðar, ætti persónuverndarráðið að geta gefið út viðmiðunarreglur, einkum um þær viðmiðanir sem taka ber tillit til þegar gengið er úr skugga um hvort viðkomandi vinnsla hafi veruleg áhrif á skráða einstaklinga í fleiri en einu aðildarríki og hvað teljast vera viðeigandi og rökstudd andmæli.
125) Forystuyfirvaldið ætti að vera til þess bært að samþykkja bindandi ákvarðanir um ráðstafanir og beita til þess þeim valdheimildum sem því eru fengnar í samræmi við þessa reglugerð. Í krafti hlutverks síns sem forystuyfirvald ætti eftirlitsyfirvaldið að virkja hlutaðeigandi eftirlitsyfirvöld til þátttöku í ákvarðanatökuferlinu og samhæfa þau. Ef ákveðið er að hafna kvörtun viðkomandi skráðs einstaklings, að öllu leyti eða að hluta til, ætti eftirlitsyfirvaldið, sem kvörtunin var lögð fram hjá, að taka þá ákvörðun.
126) Forystueftirlitsyfirvaldið og önnur hlutaðeigandi eftirlitsyfirvöld ættu að komast að samkomulagi um ákvörðunina og henni ætti að beina til höfuðstöðva eða hinnar einu starfsstöðvar ábyrgðaraðilans eða vinnsluaðilans og vera bindandi gagnvart honum. Ábyrgðaraðilinn eða vinnsluaðilinn ætti að grípa til nauðsynlegra ráðstafana til að tryggja að farið sé að þessari reglugerð og framkvæmd ákvörðunarinnar sem forystueftirlitsyfirvaldið tilkynnir um til höfuðstöðva ábyrgðaraðilans eða vinnsluaðilans að því er varðar vinnslustarfsemi í Sambandinu.
127) Eftirlitsyfirvald, sem gegnir ekki hlutverki forystueftirlitsyfirvalds, ætti að vera til þess bært að taka á staðbundnum málum þegar ábyrgðaraðili eða vinnsluaðili hefur staðfestu í fleiri en einu aðildarríki en viðfangsefni hinnar tilteknu vinnslu varðar einungis vinnslu sem fram fer í einu aðildarríki og tekur einungis til skráðra einstaklinga í því eina aðildarríki, t.d. þegar það varðar vinnslu persónuupplýsinga um starfsmenn í tilteknu atvinnutengdu samhengi í aðildarríki. Í þeim tilvikum ætti eftirlitsyfirvaldið að tilkynna forystueftirlitsyfirvaldinu um málið án tafar. Eftir að forystueftirlitsyfirvaldinu hefur verið tilkynnt um málið ætti það að ákveða hvort það muni afgreiða það samkvæmt ákvæðinu um samstarf milli forystueftirlitsyfirvaldsins og annarra hlutaðeigandi eftirlitsyfirvalda („afgreiðsla á einum stað") eða hvort eftirlitsyfirvaldið, sem sendi því tilkynninguna, eigi að afgreiða málið á staðarvísu. Þegar forystueftirlitsyfirvaldið tekur ákvörðun um hvort það muni afgreiða málið ætti það að taka tillit til þess hvort ábyrgðaraðili eða vinnsluaðili er með starfsstöð í aðildarríki eftirlitsyfirvaldsins, sem tilkynnti um málið, til að tryggja skilvirka framfylgd ákvörðunar gagnvart ábyrgðaraðilanum eða vinnsluaðilanum. Ákveði forystueftirlitsyfirvaldið að taka sjálft að sér afgreiðslu málsins ætti eftirlitsyfirvaldið, sem tilkynnti um málið, að eiga kost á því að leggja fram drög að ákvörðun sem forystueftirlitsyfirvaldinu ber að taka ítrasta tillit til þegar það útbýr drög sín að ákvörðun innan fyrirkomulagsins um afgreiðslu á einum stað.
128) Reglurnar um forystueftirlitsyfirvald og afgreiðslu á einum stað ættu ekki að gilda þegar opinber yfirvöld eða einkaaðilar annast vinnsluna í þágu almannahagsmuna. Í þeim tilvikum ætti eftirlitsyfirvald aðildarríkisins, þar sem opinbera yfirvaldið eða einkaaðilinn hefur staðfestu, að vera eina eftirlitsyfirvaldið sem er til þess bært að beita þeim valdheimildum sem því eru fengnar samkvæmt þessari reglugerð.
129) Til þess að tryggja samræmt eftirlit og framfylgd þessarar reglugerðar alls staðar í Sambandinu ættu eftirlitsyfirvöld að hafa í hverju aðildarríki á hendi sömu verkefni og skilvirkar valdheimildir, þ.m.t. heimildir til rannsókna, til að gera ráðstafanir til úrbóta og setja viðurlög og leyfisveitinga- og ráðgjafarheimildir, einkum þegar um er að ræða kvartanir frá einstaklingum og, án þess að það hafi áhrif á valdheimildir yfirvalda sem fara með ákæruvald samkvæmt lögum aðildarríkis, til að vekja athygli dómsyfirvalda á brotum gegn þessari reglugerð og fara með mál fyrir dóm. Á meðal slíkra valdheimilda ætti einnig að vera heimild til að taka upp tímabundna eða varanlega takmörkun á vinnslu, þ.m.t. bann. Aðildarríkin geta tilgreint önnur verkefni í tengslum við vernd persónuupplýsinga samkvæmt þessari reglugerð. Valdheimildum eftirlitsyfirvalda ætti að beita í samræmi við viðeigandi réttarfarsreglur sem settar eru fram í lögum Sambandsins og lögum aðildarríkis, af óhlutdrægni og sanngirni og innan hæfilegs tíma. Einkum ætti sérhver ráðstöfun að vera viðeigandi, nauðsynleg og hófleg til að tryggja að farið sé að þessari reglugerð, með hliðsjón af aðstæðum í hverju tilviki fyrir sig, virða rétt hvers aðila til að koma sjónarmiðum sínum á framfæri áður en gripið er til einhverrar þeirrar ráðstöfunar sem væri honum í óhag og þannig útfærð að komist sé hjá óhóflegum kostnaði og óþægindum fyrir viðkomandi einstaklinga. Rannsóknarheimildum að því er varðar aðgang að athafnasvæði ætti að beita í samræmi við sérstakar kröfur í réttarfarslögum aðildarríkisins, s.s. kröfuna um að afla fyrirframheimildar dómsmálayfirvalda. Sérhver lagalega bindandi ráðstöfun eftirlitsyfirvaldsins ætti að vera skrifleg, skýr og ótvíræð, í henni ætti að koma fram hvaða eftirlitsyfirvald gaf hana út, útgáfudagur, á henni ætti að vera undirskrift yfirmanns eða fulltrúa eftirlitsyfirvaldsins sem hann hefur veitt umboð sitt, þar skulu koma fram ástæður fyrir ráðstöfuninni og vísað til réttarins til skilvirks úrræðis til að leita réttar síns. Þetta útilokar ekki viðbótarkröfur samkvæmt réttarfarslögum aðildarríkis. Þegar tekin er lagalega bindandi ákvörðun getur það haft í för með sér endurskoðun dómstóla í aðildarríki eftirlitsyfirvaldsins sem samþykkti ákvörðunina.
130) Ef eftirlitsyfirvald, sem kvörtun er lögð fram hjá, er ekki forystueftirlitsyfirvald ætti forystueftirlitsyfirvaldið að starfa náið með eftirlitsyfirvaldinu, sem kvörtunin er lögð fram hjá, í samræmi við ákvæði þessarar reglugerðar um samstarf og samræmi. Í þeim tilvikum ætti forystueftirlitsyfirvaldið, þegar það gerir ráðstafanir sem ætlað er að hafa réttaráhrif, þ.m.t. þegar lagðar eru á stjórnsýslusektir, að taka ýtrasta tillit til sjónarmiða eftirlitsyfirvaldsins sem kvörtunin var lögð fram hjá og það yfirvald ætti áfram að vera til þess bært að annast hvers kyns rannsóknir á yfirráðasvæði eigin aðildarríkis í samráði við lögbæra eftirlitsyfirvaldið.
131) Þegar annað eftirlitsyfirvald ætti að fara með hlutverk forystueftirlitsyfirvalds vegna vinnslustarfsemi ábyrgðaraðila eða vinnsluaðila en efni kvörtunar eða hugsanlegt brot varðar einungis vinnslustarfsemi ábyrgðaraðila eða vinnsluaðila í aðildarríkinu þar sem kvörtunin var lögð fram eða hugsanlegt brot greindist og málið hefur ekki veruleg áhrif, né heldur er búist við að það muni hafa veruleg áhrif, á skráða einstaklinga í öðrum aðildarríkjum, ætti eftirlitsyfirvaldið, sem tekur við kvörtuninni eða sem kemst á snoðir um eða er látið vita á annan hátt af aðstæðum sem gætu haft í för með sér hugsanlegt brot á þessari reglugerð, að leitast við að ná góðri sátt við ábyrgðaraðilann og, ef það tekst ekki, beita valdheimildum sínum að fullu. Þetta ætti að ná til tiltekinnar vinnslu sem fram fer á yfirráðasvæði aðildarríkis eftirlitsyfirvaldsins eða, að því er varðar skráða einstaklinga á yfirráðasvæði þess aðildarríkis, vinnslu sem fram fer í tengslum við boð á vörum eða þjónustu sem beint er sérstaklega til skráðra einstaklinga á yfirráðasvæði aðildarríkis eftirlitsyfirvaldsins eða vinnslu sem þarf að meta með hliðsjón af viðeigandi lagaskyldum samkvæmt lögum aðildarríkis.
132) Starfsemi eftirlitsyfirvalda, sem miðar að vitundarvakningu og beint er að almenningi, ætti m.a. að fela í sér sérstakar ráðstafanir sem beint er að ábyrgðaraðilum og vinnsluaðilum, þ.m.t. örfyrirtækjum, litlum og meðalstórum fyrirtækjum, og einnig einstaklingum, einkum í fræðsluskyni.
133) Eftirlitsyfirvöld ættu að aðstoða hvert annað við framkvæmd verkefna sinna og láta í té gagnkvæma aðstoð til að tryggja samræmda beitingu og framkvæmd þessarar reglugerðar á innri markaðnum. Eftirlitsyfirvald, sem biður um gagnkvæma aðstoð, getur gripið til bráðabirgðaráðstöfunar ef því berst ekkert svar við beiðninni um gagnkvæma aðstoð innan mánaðar frá því að hinu eftirlitsyfirvaldinu barst beiðnin.
134) Sérhvert eftirlitsyfirvald ætti, eftir því sem við á, að taka þátt í sameiginlegum aðgerðum ásamt öðrum eftirlitsyfirvöldum. Eftirlitsyfirvaldi, sem berst beiðni, ætti að vera skylt að svara beiðninni innan tiltekins tíma.
135) Til þess að tryggja samræmda beitingu þessarar reglugerðar í öllu Sambandinu ætti að koma á fót samræmingarkerfi um samstarf milli eftirlitsyfirvalda. Einkum ætti að beita kerfinu þegar eftirlitsyfirvald hyggst gera ráðstöfun sem ætlað er að hafa réttaráhrif vegna vinnsluaðgerða sem hafa veigamikil áhrif á verulegan fjölda skráðra einstaklinga í nokkrum aðildarríkjum. Því ætti einnig að beita þegar eitthvert hlutaðeigandi eftirlitsyfirvalda eða framkvæmdastjórnin fer fram á að samræmingarkerfið annist meðferð slíks máls. Kerfið ætti ekki að hafa áhrif á neinar þær ráðstafanir sem framkvæmdastjórnin kann að grípa til þegar hún beitir valdheimildum sínum samkvæmt sáttmálunum.
136) Þegar samræmingarkerfið er notað ætti persónuverndarráðið, innan tiltekins tíma, að gefa út álit ef meirihluti fulltrúa þess ákveður það eða ef eitthvert hlutaðeigandi eftirlitsyfirvalda eða framkvæmdastjórnin fer fram á það. Persónuverndarráðið ætti einnig að hafa vald til að taka lagalega bindandi ákvarðanir þegar ágreiningur ríkir milli eftirlitsyfirvalda. Í því skyni ætti það að gefa út, að jafnaði með meirihluta sem nemur tveimur þriðju hlutum fulltrúa þess, lagalega bindandi ákvarðanir í skýrt skilgreindum málum þar sem eftirlitsyfirvöld greinir á um sjónarmið, sér í lagi innan samstarfskerfisins milli forystueftirlitsyfirvalds og hlutaðeigandi eftirlitsyfirvalda, um málavexti, einkum hvort um er að ræða brot á þessari reglugerð.
137) Skapast getur brýn þörf á aðgerðum til að vernda réttindi og frelsi skráðra einstaklinga, einkum þegar hætta gæti verið á verulegri hindrun á framfylgd réttinda skráðs einstaklings. Því ætti eftirlitsyfirvaldi að vera heimilt að grípa til, á yfirráðasvæði sínu, tilhlýðilega rökstuddra bráðabirgðaráðstafana með tilgreindan gildistíma sem ekki ætti að vera lengri en þrír mánuðir.
138) Beiting slíks kerfis ætti að vera skilyrði fyrir því að ráðstöfun eftirlitsyfirvalds, sem ætlað er að hafa réttaráhrif, teljist lögmæt í þeim tilvikum þar sem beiting þess er skyldubundin. Í öðrum tilvikum sem ná yfir landamæri ætti að beita samstarfskerfinu milli forystueftirlitsyfirvaldsins og hlutaðeigandi eftirlitsyfirvalda og beita mætti gagnkvæmri aðstoð og sameiginlegum aðgerðum milli hlutaðeigandi eftirlitsyfirvalda, tvíhliða eða marghliða, án þess að virkja samræmingarkerfið.
139) Til að ýta undir samræmda beitingu þessarar reglugerðar ætti að koma persónuverndarráðinu á fót sem sjálfstæðum aðila Sambandsins. Til að uppfylla markmið sín ætti persónuverndarráðið að hafa réttarstöðu lögaðila. Formaður persónuverndarráðsins kemur fram fyrir hönd þess. Það ætti að leysa af hólmi starfshópinn um vernd einstaklinga í tengslum við vinnslu persónuupplýsinga sem komið var á fót með tilskipun 95/46/EB. Í því ættu að eiga sæti yfirmenn eftirlitsyfirvalds hvers aðildarríkis og Evrópsku persónuverndarstofnunarinnar eða fulltrúar þeirra hvers um sig. Framkvæmdastjórnin ætti að taka þátt í starfsemi persónuverndarráðsins án atkvæðisréttar og Evrópska persónuverndarstofnunin ætti að hafa sérstakan atkvæðisrétt. Persónuverndarráðið ætti að stuðla að samræmdri beitingu þessarar reglugerðar í öllu Sambandinu, m.a. með ráðgjöf til framkvæmdastjórnarinnar, einkum um umfang verndar í þriðju löndum eða hjá alþjóðastofnunum og með því að ýta undir samstarf eftirlitsyfirvalda í Sambandinu. Persónuverndarráðið ætti að vera sjálfstætt í störfum sínum.
140) Persónuverndarráðið ætti að njóta aðstoðar skrifstofu sem Evrópska persónuverndarstofnunin sér því fyrir. Starfsfólk Evrópsku persónuverndarstofnunarinnar, sem kemur að framkvæmd þeirra verkefna sem persónuverndarráðinu eru falin með þessari reglugerð, ætti að vinna verkefni sín alfarið undir stjórn formanns persónuverndarráðsins og heyra undir hann.
141) Sérhver skráður einstaklingur ætti að eiga rétt á að leggja fram kvörtun hjá einu eftirlitsyfirvaldi, einkum í aðildarríkinu þar sem hann hefur fasta búsetu, og hafa rétt til skilvirks réttarúrræðis í samræmi við 47. gr. sáttmálans um grundvallarréttindi ef hann telur að brotið sé á réttindum hans samkvæmt þessari reglugerð eða ef eftirlitsyfirvald sinnir ekki kvörtun, hafnar kvörtun að hluta til eða að öllu leyti eða vísar henni frá eða grípur ekki til aðgerða þar sem aðgerða er þörf til að vernda réttindi hans. Rannsókn á kvörtun ætti að fara fram, með fyrirvara um endurskoðun dómstóla, að því marki sem við á í hverju tilviki. Eftirlitsyfirvaldið ætti að tilkynna hinum skráða um framvindu og niðurstöðu kvörtunarinnar innan hæfilegs tíma. Ef þörf er á frekari rannsókn málsins eða samræmingu við annað eftirlitsyfirvald ætti að veita hinum skráða í millitíðinni upplýsingar um stöðu málsins. Til að auðvelda framlagningu kvartana ætti hvert eftirlitsyfirvald að gera ráðstafanir á borð við að bjóða upp á kvörtunareyðublað, sem einnig má fylla út rafrænt, án þess þó að útiloka aðra samskiptamöguleika.
142) Telji skráður einstaklingur að brotið hafi verið á réttindum hans samkvæmt þessari reglugerð ætti hann að hafa rétt til að veita stofnun, samtökum eða félagi, sem ekki eru rekin í hagnaðarskyni og sem stofnuð eru í samræmi við lög aðildarríkis, hafa lögboðin markmið og eru virk á sviði verndar persónuupplýsinga, umboð til að leggja fram kvörtun fyrir sína hönd hjá eftirlitsyfirvaldi, nýta réttinn til réttarúrræðis fyrir hönd skráðra einstaklinga eða, ef kveðið er á um það í lögum aðildarríkis, nýta réttinn til að taka við skaðabótum fyrir hönd skráðra einstaklinga. Aðildarríki er heimilt að mæla fyrir um að slík stofnun, samtök eða félag eigi rétt á að leggja fram kvörtun í því aðildarríki, óháð því hvort hinn skráði hefur veitt umboð til þess, og rétt til skilvirks réttarúrræðis hafi það ástæður til að ætla að réttindi skráðs einstaklings hafi verið brotin við vinnslu persónuupplýsinga sem brýtur gegn þessari reglugerð. Ekki má heimila stofnuninni, samtökunum eða félaginu að krefjast bóta fyrir hönd skráðs einstaklings án umboðs hans.
143) Einstaklingur eða lögaðili hefur rétt til þess að höfða mál til ógildingar ákvörðunum persónuverndarráðsins frammi fyrir Dómstólnum samkvæmt þeim skilyrðum sem kveðið er á um í 263. gr. sáttmálans um starfshætti Evrópusambandsins. Sem viðtakendur slíkra ákvarðana þurfa hlutaðeigandi eftirlitsyfirvöld, sem vilja vefengja þær, að höfða mál innan tveggja mánaða frá því að þeim er tilkynnt um þær, í samræmi við 263. gr. sáttmálans um starfshætti Evrópusambandsins. Þegar ákvarðanir persónuverndarráðsins varða beint sérstaka hagsmuni ábyrgðaraðila, vinnsluaðila eða kvartanda getur hann höfðað mál til ógildingar þessum ákvörðunum innan tveggja mánaða frá birtingu þeirra á vefsetri persónuverndarráðsins, í samræmi við 263. gr. sáttmálans um starfshætti Evrópusambandsins. Með fyrirvara um þennan rétt skv. 263. gr. sáttmálans um starfshætti Evrópusambandsins ætti sérhver einstaklingur eða lögaðili að hafa aðgang að skilvirku réttarúrræði fyrir lögbærum innlendum dómstóli að því er varðar ákvörðun eftirlitsyfirvalds sem hefur réttaráhrif gagnvart honum. Slík ákvörðun varðar einkum beitingu eftirlitsyfirvalds á rannsóknarheimildum, valdheimildum til að mæla fyrir um ráðstafanir til úrbóta og leyfisveitingarheimildum sínum eða frávísun eða höfnun kvartana. Þó nær réttur til skilvirks réttarúrræðis ekki til þeirra ráðstafana eftirlitsyfirvalda sem eru ekki lagalega bindandi, s.s. álitsgerða eða ráðgjafar eftirlitsyfirvaldsins. Höfða ætti mál gegn eftirlitsyfirvaldi fyrir dómstólum aðildarríkisins þar sem eftirlitsyfirvaldið hefur staðfestu og reka það í samræmi við réttarfarslög þess aðildarríkis. Þessir dómstólar ættu að fara með fulla lögsögu, m.a. til að rannsaka öll álitamál varðandi staðreyndir eða lög viðkomandi deiluefninu sem þeir hafa fengið til meðferðar.
Hafi eftirlitsyfirvald hafnað kröfu eða vísað henni frá getur sá sem lagði kvörtunina fram höfðað mál fyrir dómstólum í sama aðildarríki. Innan ramma réttarúrræða vegna beitingar þessarar reglugerðar geta innlendir dómstólar, sem telja að ákvörðun um álitaefnið sé nauðsynleg til að þeir geti kveðið upp úrskurð, farið fram á, eða verða að fara fram á í því tilviki sem um getur í 267. gr. sáttmálans um starfshætti Evrópusambandsins, að Dómstóllinn kveði upp forúrskurð um túlkun laga Sambandsins, m.a. þessarar reglugerðar. Þegar ákvörðun eftirlitsyfirvalds til framkvæmdar ákvörðun persónuverndarráðsins er vefengd fyrir innlendum dómstól og deilt er um gildi ákvörðunar persónuverndarráðsins hefur innlendi dómstóllinn ekki vald til að lýsa ákvörðun þess ógilda heldur verður hann að vísa álitaefninu um gildi hennar til Dómstólsins í samræmi við 267. gr. sáttmálans um starfshætti Evrópusambandsins, eins og Dómstóllinn túlkar hana, ef hann telur ákvörðunina ógilda. Hins vegar má innlendur dómstóll ekki vísa áfram álitamáli um gildi ákvörðunar persónuverndarráðsins að beiðni einstaklings eða lögaðila sem hafði haft tækifæri til að höfða mál til ógildingar þeirri ákvörðun, einkum ef ákvörðunin varðaði beint sérstaka hagsmuni hans, en gerði það ekki innan frestsins sem mælt er fyrir um í 263. gr. sáttmálans um starfshætti Evrópusambandsins.
144) Hafi dómstóll, sem mál er höfðað fyrir gegn ákvörðun eftirlitsyfirvalds, ástæðu til að ætla að höfðað hafi verið mál vegna sömu vinnslu fyrir lögbærum dómstóli í öðru aðildarríki, þar sem t.d. um er að ræða sama viðfangsefni að því er varðar vinnslu af hálfu sama ábyrgðaraðila eða vinnsluaðila eða sömu málsástæður, ætti hann að setja sig í samband við þann dómstól til að fá staðfest hvort um skyld mál sé að ræða. Ef skylt mál er til meðferðar hjá dómstóli í öðru aðildarríki getur hvaða dómstóll sem er, annar en sá sem málið var fyrst höfðað fyrir, frestað málsmeðferð sinni eða, að beiðni eins málsaðilanna, vísað málinu frá dómi í þágu dómstólsins sem málið var fyrst höfðað fyrir ef sá dómstóll er bær til að fara með málið og lög, sem gilda við þann dómstól, heimila að skyld mál séu sótt sameiginlega. Með skyldum málum er átt við mál sem eru svo tengd innbyrðis að æskilegt er að fara með þau og úrskurða í þeim sameiginlega til að koma í veg fyrir að ósamrýmanlegir dómar verði kveðnir upp ef dæmt er í hverju þeirra sérstaklega.
145) Þegar um er að ræða mál á hendur ábyrgðaraðila eða vinnsluaðila ætti stefnandi að geta valið um það hvort hann höfðar málið fyrir dómstólum aðildarríkja þar sem ábyrgðaraðili eða vinnsluaðili hefur starfsstöð eða þar sem hinn skráði er búsettur nema ábyrgðaraðili sé opinbert yfirvald aðildarríkis sem fer með opinbert vald.
146) Ábyrgðaraðili eða vinnsluaðili ætti að bæta hvert það tjón sem aðili verður fyrir vegna vinnslu sem brýtur í bága við reglugerð þessa. Ábyrgðaraðili eða vinnsluaðili ætti að vera undanþeginn bótaábyrgð ef hann sannar að hann ber enga ábyrgð á tjóni. Hugtakið tjón ætti að túlka vítt í ljósi dómaframkvæmdar Dómstólsins á þann hátt að það endurspegli að fullu markmið þessarar reglugerðar. Þetta hefur ekki áhrif á neinar skaðabótakröfur vegna brota á öðrum reglum Sambandslaga eða laga aðildarríkis. Til vinnslu, sem brýtur í bága við þessa reglugerð, telst einnig vinnsla sem brýtur í bága við framseldar gerðir og framkvæmdargerðir sem samþykktar eru í samræmi við þessa reglugerð og þau lög aðildarríkis sem tilgreina nánar reglur þessarar reglugerðar. Skráðir einstaklingar ættu að fá fullar skaðabætur fyrir það tjón sem þeir verða fyrir. Þegar fleiri en einn ábyrgðaraðili eða vinnsluaðili koma að sömu vinnslu ætti hver ábyrgðaraðili eða vinnsluaðili að vera ábyrgur fyrir öllu tjóninu. Þegar þeir eiga hlut að sama dómsmáli, í samræmi við lög aðildarríkis, geta skaðabætur þó skipst niður á þá eftir þeirri ábyrgð sem hver ábyrgðaraðili eða vinnsluaðili bar á tjóninu sem vinnslan olli, að því tilskildu að skráði einstaklingurinn, sem varð fyrir tjóninu, fái fullar skaðabætur. Ábyrgðaraðili eða vinnsluaðili, sem hefur greitt fullar skaðabætur, getur í kjölfarið gert endurkröfu á aðra ábyrgðaraðila eða vinnsluaðila sem tóku þátt í sömu vinnslu.
147) Þar sem þessi reglugerð hefur að geyma sértækar reglur um lögsögu, einkum að því er varðar mál þar sem leitað er réttarúrræðis gegn ábyrgðaraðila eða vinnsluaðila, m.a. skaðabóta, ættu almennar lögsögureglur, eins og þær sem um getur í reglugerð Evrópuþingsins og ráðsins (ESB) nr. 1215/2012 ( Reglugerð Evrópuþingsins og ráðsins (EB) nr. 1215/2012 frá 12. desember 2012 um dómsvald og viðurkenningu á og fullnustu dóma í einkamálum og viðskiptamálum (Stjtíð. ESB L 351, 20.12.2012, bls. 1).), ekki að hafa áhrif á beitingu þessara sértæku reglna.
148) Til að efla framfylgd reglna þessarar reglugerðar ætti að leggja á viðurlög, þ.m.t. stjórnsýslusektir, við hvers konar brotum á þessari reglugerð, til viðbótar við eða í staðinn fyrir viðeigandi ráðstafanir sem eftirlitsyfirvald gerir samkvæmt þessari reglugerð. Veita má áminningu í stað sektar þegar um er að ræða minni háttar brot eða ef sektin, sem líklegt er að lögð verði á, yrði óhófleg byrði fyrir einstakling. Engu að síður ætti að taka tilhlýðilegt tillit til þess hvers eðlis brotið er, hversu alvarlegt það er og hversu lengi það hefur staðið yfir, hvort það var framið af ásetningi, til hvaða aðgerða var gripið til að draga úr tjóni, hversu mikil ábyrgðin var eða hvort um fyrri brot sem skipta máli er að ræða, hvernig eftirlitsyfirvaldið komst á snoðir um brotið, hvort ráðstöfunum sem settar voru gagnvart ábyrgðaraðila eða vinnsluaðila var fylgt, hvort hátternisreglum var fylgt ásamt öðrum mildandi eða íþyngjandi þáttum. Álagning viðurlaga, þ.m.t. stjórnsýslusekta, ætti að vera háð viðeigandi réttarfarsreglum í samræmi við almennar meginreglur laga Sambandsins og sáttmálans um grundvallarréttindi, m.a. um skilvirka réttarvernd og sanngjarna málsmeðferð.
149) Aðildarríkin ættu að geta sett reglur um refsiviðurlög vegna brota á þessari reglugerð, þ.m.t. vegna brota á innlendum reglum sem samþykktar eru samkvæmt henni og innan marka hennar. Slík refsiviðurlög geta einnig gert ráð fyrir að viðkomandi sé sviptur þeim ávinningi sem hann hafði af brotum á þessari reglugerð. Hins vegar ætti álagning refsiviðurlaga vegna brota á slíkum innlendum reglum og stjórnsýsluviðurlögum ekki að leiða til brots á meginreglunni um að verða ekki saksóttur eða refsað tvívegis fyrir sama brot (ne bis in idem), eins og Dómstóllinn hefur túlkað hana.
150) Til að efla og samræma stjórnsýsluviðurlög vegna brota á þessari reglugerð ætti sérhvert eftirlitsyfirvald að hafa heimild til að leggja á stjórnsýslusektir. Í reglugerðinni ætti að tilgreina brotin ásamt hámarki og viðmiðunum við álagningu tengdra stjórnsýslusekta, sem eftirlitsyfirvaldið ætti að ákveða í hverju tilviki fyrir sig með hliðsjón af öllum viðeigandi kringumstæðum í viðkomandi máli, einkum að teknu tilhlýðilegu tilliti til eðlis, alvarleika og lengdar brotsins og afleiðinga þess og ráðstafana sem gerðar hafa verið til að tryggja að skuldbindingar samkvæmt þessari reglugerð séu uppfylltar og til að koma í veg fyrir eða draga úr afleiðingum brotsins. Þegar stjórnsýslusektir eru lagðar á fyrirtæki er átt við fyrirtæki í samræmi við 101. og 102. gr. sáttmálans um starfshætti Evrópusambandsins. Þegar stjórnsýslusektir eru lagðar á aðila sem ekki eru fyrirtæki ætti eftirlitsyfirvaldið að taka tillit til almenns tekjustigs í aðildarríkinu og fjárhagsstöðu aðilans þegar viðeigandi sektarfjárhæð er ákveðin. Einnig má nota samræmingarkerfið til að stuðla að samræmdri beitingu stjórnsýslusekta. Það ætti að vera aðildarríkjanna að ákvarða hvort og að hvaða marki opinber yfirvöld ættu að sæta stjórnsýslusektum. Það að lögð sé á stjórnsýslusekt eða að gefin sé viðvörun hefur ekki áhrif á beitingu annarra valdheimilda eftirlitsyfirvalda eða á önnur viðurlög samkvæmt þessari reglugerð.
151) Réttarkerfi Danmerkur og Eistlands heimila ekki stjórnsýslusektir eins og þær sem settar eru fram í þessari reglugerð. Beita má reglunum um stjórnsýslusektir í Danmörku með þeim hætti að þar til bærir innlendir dómstólar leggi sektina á sem refsiviðurlög og í Eistlandi þannig að eftirlitsyfirvald leggi sektina á innan ramma málsmeðferðar vegna minni háttar brots, að því tilskildu að slík beiting reglnanna í þessum aðildarríkjum hafi jafngild áhrif og stjórnsýslusektir sem eftirlitsyfirvöld leggja á. Því ættu þar til bærir innlendir dómstólar að taka tillit til tilmæla eftirlitsyfirvaldsins sem hefur frumkvæðið að álagningu sektarinnar. Álagðar sektir ættu þó ætíð að vera skilvirkar, í réttu hlutfalli við brot og hafa varnaðaráhrif.
152) Þegar þessi reglugerð samræmir ekki stjórnsýsluviðurlög eða ef þörf er á í öðrum tilvikum, t.d. þegar um er að ræða alvarleg brot á þessari reglugerð, ættu aðildarríkin að innleiða kerfi sem kveður á um viðurlög sem eru skilvirk, í réttu hlutfalli við brot og hafa varnaðaráhrif. Það hvort slík viðurlög eigi að vera refsiviðurlög eða stjórnsýslulegs eðlis ætti að ákvarða í lögum aðildarríkjanna.
153) Í lögum aðildarríkjanna ætti að samræma reglur um tjáningar- og upplýsingafrelsi, þ.m.t. í fréttamennsku, fræðimennsku, listum eða bókmenntum, og réttinn til verndar persónuupplýsingum samkvæmt þessari reglugerð. Vinnsla persónuupplýsinga, sem fer einungis fram í þágu fréttamennsku eða fræðimennsku eða listrænnar eða bókmenntalegrar tjáningar, ætti að vera háð undanþágum eða frávikum frá tilteknum ákvæðum þessarar reglugerðar ef það er nauðsynlegt til að samræma réttinn til verndar persónuupplýsingum og réttinn til tjáningar- og upplýsingafrelsis sem er tryggður með 11. gr. sáttmálans um grundvallarréttindi. Þetta ætti einkum að gilda um vinnslu persónuupplýsinga á sviði hljóð- og myndmiðlunar og í gagna- og bókasöfnum fréttamiðla. Því ættu aðildarríkin að samþykkja löggjafarráðstafanir þar sem mælt er fyrir um nauðsynlegar undanþágur og frávik til að halda jafnvægi milli þessara grundvallarréttinda. Aðildarríkin ættu að samþykkja slíkar undanþágur og frávik varðandi almennar meginreglur, réttindi skráðra einstaklinga, ábyrgðaraðila og vinnsluaðila, miðlun persónuupplýsinga til þriðju landa eða alþjóðastofnana, sjálfstæð eftirlitsyfirvöld, samstarf og samræmi og gagnavinnslu við tilteknar aðstæður. Ef slíkar undanþágur og frávik eru mismunandi milli aðildarríkja gilda lög aðildarríkisins sem ábyrgðaraðili heyrir undir. Með tilliti til mikilvægis réttarins til tjáningarfrelsis í hverju lýðræðisþjóðfélagi er nauðsynlegt að túlka hugtök vítt í tengslum við það frelsi, s.s. fréttamennsku.
154) Reglugerð þessi heimilar að tekið sé mið af meginreglunni um aðgang almennings að opinberum skjölum við beitingu hennar. Telja má að aðgangur almennings að opinberum skjölum sé í þágu almannahagsmuna. Persónuupplýsingar í skjölum í vörslu opinbers yfirvalds eða opinberrar stofnunar ætti viðkomandi yfirvaldi eða aðila að vera heimilt að birta almenningi ef kveðið er á um birtinguna í lögum Sambandsins eða lögum aðildarríkis sem opinbera yfirvaldið eða opinbera stofnunin heyrir undir. Slík lög ættu að samræma aðgang almennings að opinberum skjölum og endurnotkun upplýsinga frá hinu opinbera annars vegar og réttinn til verndar persónuupplýsingum hins vegar og geta því kveðið á um nauðsynlega samræmingu við réttinn til verndar persónuupplýsingum samkvæmt þessari reglugerð. Tilvísunin til opinberra yfirvalda og stofnana ætti í því samhengi að taka til allra yfirvalda eða annarra stofnana sem heyra undir lög aðildarríkis um aðgang almennings að skjölum. Tilskipun Evrópuþingsins og ráðsins 2003/98/EB ( Tilskipun Evrópuþingsins og ráðsins 2003/98/EB frá 17. nóvember 2003 um endurnotkun upplýsinga frá hinu opinbera (Stjtíð. ESB L 345, 31.12.2003, bls. 90).) skerðir ekki og hefur á engan hátt áhrif á umfang verndar einstaklinga með tilliti til vinnslu persónuupplýsinga samkvæmt ákvæðum laga Sambandsins og laga aðildarríkis og einkum breytir hún ekki þeim skyldum og réttindum sem sett eru fram í þessari reglugerð. Einkum ætti sú tilskipun ekki að gilda um gögn, sem enginn eða takmarkaður aðgangur er að samkvæmt reglum um aðgangsrétt með vísan til verndar persónuupplýsinga, og um hluta úr skjölum, sem eru aðgengilegir samkvæmt slíkum reglum, þegar skjalshlutarnir innihalda persónuupplýsingar og kveðið hefur verið á um í lögum að endurnotkun þeirra sé ósamrýmanleg lögum um vernd einstaklinga að því er varðar vinnslu persónuupplýsinga.
155) Í lögum aðildarríkis eða í kjarasamningum, þ.m.t. „vinnustaðasamningum", kann að vera kveðið á um sértækar reglur um vinnslu persónuupplýsinga starfsmanna í atvinnutengdu samhengi, einkum skilyrði fyrir því að vinna megi persónuupplýsingar í atvinnutengdu samhengi á grundvelli samþykkis starfsmannsins og í sambandi við ráðningar, framkvæmd ráðningarsamnings, m.a. uppfyllingu skuldbindinga sem mælt er fyrir um í lögum eða kjarasamningum, stjórnun, undirbúning og skipulagningu vinnunnar, jafnrétti og fjölbreytileika á vinnustað, heilbrigði og öryggi á vinnustað, nýtingu og notkun réttinda og fríðinda sem tengjast starfinu, jafnt einstaklingsbundinna og sameiginlegra, og í þeim tilgangi að ljúka ráðningarsambandi.
156) Vinnsla persónuupplýsinga vegna skjalavistunar í þágu almannahagsmuna, rannsókna á sviði vísinda eða sagnfræði eða í tölfræðilegum tilgangi ætti að vera með fyrirvara um viðeigandi verndarráðstafanir varðandi réttindi og frelsi skráðra einstaklinga samkvæmt þessari reglugerð. Þessar verndarráðstafanir ættu að tryggja að tæknilegar og skipulagslegar ráðstafanir séu gerðar, einkum til að sjá til þess að farið sé að meginreglunni um lágmörkun gagna. Frekari vinnsla persónuupplýsinga vegna skjalavistunar í þágu almannahagsmuna, rannsókna á sviði vísinda eða sagnfræði eða í tölfræðilegum tilgangi skal fara fram þegar ábyrgðaraðili hefur metið hvort framkvæmanlegt sé að ná þessum tilgangi með vinnslu gagna sem gera ekki kleift, eða gera ekki lengur kleift, að bera kennsl á skráða einstaklinga, að því tilskildu að viðeigandi verndarráðstafanir séu fyrir hendi (s.s. notkun gerviauðkenna fyrir upplýsingarnar). Aðildarríkin ættu að kveða á um viðeigandi verndarráðstafanir varðandi vinnslu persónuupplýsinga vegna skjalavistunar í þágu almannahagsmuna, rannsókna á sviði vísinda eða sagnfræði eða í tölfræðilegum tilgangi. Aðildarríkjunum ætti að vera heimilt, með tilteknum skilyrðum og með fyrirvara um viðeigandi verndarráðstafanir fyrir skráða einstaklinga, að setja fram nánari skilgreiningar og undanþágur að því er varðar kröfur um upplýsingar og réttinn til leiðréttingar, eyðingar, til að gleymast, til takmörkunar á vinnslu, til að flytja eigin gögn og til að andmæla vinnslu persónuupplýsinga vegna skjalavistunar í þágu almannahagsmuna, rannsókna á sviði vísinda eða sagnfræði eða í tölfræðilegum tilgangi. Viðkomandi skilyrði og verndarráðstafanir geta haft í för með sér að skráðir einstaklingar þurfi að fylgja tiltekinni málsmeðferð til að geta nýtt sér þessi réttindi, ef við á í ljósi þess tilgangs sem stefnt er að með þessari tilteknu vinnslu, auk tæknilegra og skipulagslegra ráðstafana sem miða að því að lágmarka vinnslu persónuupplýsinga í samræmi við meðalhófsregluna og nauðsynjarregluna. Vinnsla persónuupplýsinga í vísindaskyni ætti einnig að vera í samræmi við aðra viðeigandi löggjöf, s.s. um klínískar prófanir.
157) Með því að tengja saman upplýsingar úr mismunandi skrám geta vísindamenn öðlast nýja og afar verðmæta þekkingu á útbreiddu heilsufarsástandi á borð við hjarta- og æðasjúkdóma, krabbamein og þunglyndi. Með notkun skráa er hægt að efla rannsóknarniðurstöður, þar sem þær byggjast á stærra þýði. Í félagsvísindum gera rannsóknir a grundvelli skráa vísindamönnum kleift að öðlast mikilvæga þekkingu á langtímafylgni milli félagslegra aðstæðna af ýmsum toga, s.s. atvinnuleysis og menntunar, og annarra aðstæðna í lífi fólks. Rannsóknarniðurstöður, sem fást með notkun skráa, gefa trausta og vandaða þekkingu sem nota má til grundvallar við mótun og framkvæmd þekkingarstefnu, til að bæta lífsgæði margra og bæta skilvirkni félagslegrar þjónustu. Til að greiða fyrir vísindarannsóknum er heimilt að vinna persónuupplýsingar í þágu rannsókna á sviði vísinda að uppfylltum viðeigandi skilyrðum og verndarráðstöfunum í lögum Sambandsins eða lögum aðildarríkis.
158) Þessi reglugerð ætti einnig að gilda um vinnslu persónuupplýsinga vegna skjalavistunar en þó ætti að hafa í huga að reglugerðin á ekki við um látna einstaklinga. Opinber yfirvöld, opinberir aðilar eða einkaaðilar, sem halda skrár sem tengjast almannahagsmunum, ættu að vera þjónustuaðilar sem hafa samkvæmt lögum Sambandsins eða lögum aðildarríkis lagaskyldu til að afla, varðveita, meta, skipuleggja, lýsa, veita upplýsingar um, kynna, dreifa og veita aðgang að skrám sem hafa varanlegt gildi fyrir almannahagsmuni. Aðildarríkin ættu einnig að hafa heimild til að kveða á um frekari vinnslu persónuupplýsinga vegna skjalavistunar, t.d. í því skyni að veita sérstakar upplýsingar um stjórnmálahegðun í ríkjum þar sem áður ríkti einræði, um þjóðarmorð, glæpi gegn mannúð, einkum helförina, eða stríðsglæpi.
159) Þessi reglugerð ætti einnig að gilda um vinnslu persónuupplýsinga í þágu vísindarannsókna. Að því er þessa reglugerð varðar ber að túlka vinnslu persónuupplýsinga í þágu vísindarannsókna vítt þannig að undir hana falli t.d. tækniþróun og tilraunaverkefni, grunnrannsóknir, hagnýtar rannsóknir og rannsóknir sem einkaaðilar fjármagna. Auk þess ætti hún að taka tillit til þess markmiðs Sambandsins, skv. 1. mgr. 179. gr. sáttmálans um starfshætti Evrópusambandsins, að koma á evrópsku rannsóknasvæði. Rannsóknir í þágu almannahagsmuna á sviði lýðheilsu ættu einnig að teljast þjóna vísindalegum tilgangi. Til að uppfylla þær sérstöku kröfur sem gerðar eru til vinnslu persónuupplýsinga í þágu vísindarannsókna ættu sérstök skilyrði að gilda, einkum að því er varðar útgáfu eða aðra birtingu persónuupplýsinga í þágu vísindarannsókna. Gefi niðurstöður vísindarannsóknar, einkum á heilbrigðissviði, ástæðu til að gera frekari ráðstafanir í þágu hins skráða ættu almennar reglur þessarar reglugerðar að gilda í ljósi þessara ráðstafana.
160) Þessi reglugerð ætti einnig að gilda um vinnslu persónuupplýsinga í þágu sagnfræðirannsókna. Þetta ætti auk þess að ná til sagnfræðirannsókna og rannsókna í erfðafræðilegum tilgangi en þó ætti að hafa í huga að reglugerðin ætti ekki að gilda um látna einstaklinga.
161) Að því er varðar veitingu samþykkis fyrir þátttöku í vísindalegri rannsóknastarfsemi í klínískum prófunum ættu viðeigandi ákvæði reglugerðar Evrópuþingsins og ráðsins (ESB) nr. 536/2014 ( Reglugerð Evrópuþingsins og ráðsins (ESB) nr. 536/2014 frá 16. apríl 2014 um klínískar prófanir á mannalyfjum og niðurfellingu á tilskipun 2001/20/EB (Stjtíð. ESB L 158, 27.5.2014, bls. 1).) að gilda.
162) Þessi reglugerð ætti að gilda um vinnslu persónuupplýsinga í tölfræðilegum tilgangi. Í lögum Sambandsins eða lögum aðildarríkis ætti að ákvarða, innan marka þessarar reglugerðar, tölfræðilegt innihald, eftirlit með aðgangi, nákvæmar skilgreiningar á vinnslu persónuupplýsinga í tölfræðilegum tilgangi og viðeigandi ráðstafanir til að standa vörð um réttindi og frelsi skráðra einstaklinga og tryggja trúnað í tengslum við tölfræðilegar upplýsingar. Tölfræðilegur tilgangur telst vera hver sú aðgerð sem felst í söfnun og vinnslu persónuupplýsinga sem nauðsynlegar eru vegna tölfræðilegra kannana eða til að ná fram tölfræðilegum niðurstöðum. Þessar tölfræðilegu niðurstöður má nota frekar í ýmiss konar tilgangi, þ.m.t. til vísindarannsókna. Tölfræðilegur tilgangur þýðir að niðurstöður vinnslu í tölfræðilegum tilgangi eru ekki persónuupplýsingar heldur samantekin gögn og að þessar niðurstöður eða persónuupplýsingarnar eru ekki notaðar til stuðnings ráðstöfunum eða ákvörðunum viðvíkjandi tilteknum einstaklingi.
163) Vernda ætti trúnaðarupplýsingar sem hagskýrsluyfirvöld Sambandsins og hagskýrsluyfirvöld aðildarríkjanna safna til að gera opinberar hagskýrslur fyrir Evrópu og aðildarríkin. Þróa ætti og semja evrópskar hagskýrslur og miðla þeim í samræmi við meginreglur um hagskýrslur, eins og þær eru settar fram í 2. mgr. 338. gr. sáttmálans um starfshætti Evrópusambandsins, en jafnframt ættu innlendar hagskýrslur einnig að uppfylla lög aðildarríkis. Í reglugerð Evrópuþingsins og ráðsins (EB) nr. 223/2009 ( Reglugerð Evrópuþingsins og ráðsins (EB) nr. 223/2009 frá 11. mars 2009 um evrópskar hagskýrslur og niðurfellingu reglugerðar Evrópuþingsins og ráðsins (EB, KBE) nr. 1101/2008 um afhendingu gagna sem eru háð trúnaðarkvöðum í hagskýrslum til Hagstofu Evrópubandalaganna, reglugerðar ráðsins (EB) nr. 322/97 um hagskýrslur Bandalagsins og ákvörðunar ráðsins 89/382/EBE, KBE um að koma á fót hagskýrsluáætlunarnefnd Evrópubandalaganna (Stjtíð. ESB L 87, 31.3.2009, bls. 164).) er kveðið á um nánari skilgreiningar á trúnaðarskyldum við hagskýrslugerð að því er varðar evrópskar hagskýrslur.
164) Að því er varðar valdheimildir eftirlitsyfirvalda til að fá hjá ábyrgðaraðila eða vinnsluaðila aðgang að persónuupplýsingum og aðgang að athafnasvæðum þeirra mega aðildarríki samþykkja með lögum, innan marka þessarar reglugerðar, sértækar reglur til að standa vörð um þagnarskyldu eða aðrar samsvarandi trúnaðarskyldur, að því marki sem nauðsynlegt er til að samræma réttinn til verndar persónuupplýsingum og þagnarskyldu. Þetta hefur ekki áhrif á fyrirliggjandi skuldbindingar aðildarríkis um að samþykkja reglur um þagnarskyldu ef lög Sambandsins kveða á um það.
165) Þessi reglugerð virðir þá stöðu sem kirkjudeildir og trúarsamtök eða trúfélög hafa í aðildarríkjunum samkvæmt fyrirliggjandi stjórnskipunarlögum og dregur hana ekki í efa, eins og viðurkennt er í 17. gr. sáttmálans um starfshætti Evrópusambandsins.
166) Til að ná markmiðum þessarar reglugerðar, þ.e. að vernda grundvallarréttindi og frelsi einstaklinga og einkum rétt þeirra til verndar persónuupplýsingum og tryggja frjálsa miðlun persónuupplýsinga innan Sambandsins, ætti að framselja framkvæmdastjórninni vald til að samþykkja gerðir í samræmi við 290. gr. sáttmálans um starfshætti Evrópusambandsins. Einkum ætti að samþykkja framseldar gerðir um viðmiðanir og kröfur varðandi vottunarfyrirkomulag, upplýsingar sem veita ber með stöðluðum táknmyndum og aðferðir við að setja fram slíkar táknmyndir. Einkar mikilvægt er að framkvæmdastjórnin hafi viðeigandi samráð meðan á undirbúningsvinnu hennar stendur, þ.m.t. við sérfræðinga. Við undirbúning og samningu framseldra gerða ætti framkvæmdastjórnin að tryggja samhliða, tímanlega og viðeigandi afhendingu viðkomandi skjala til Evrópuþingsins og ráðsins.
167) Til að tryggja samræmd skilyrði vegna framkvæmdar þessarar reglugerðar ætti að fela framkvæmdastjórninni framkvæmdarvald þegar kveðið er á um það í þessari reglugerð. Þessu valdi ætti að beita í samræmi við reglugerð (ESB) nr. 182/2011. Í þessu sambandi ætti framkvæmdastjórnin að íhuga sértækar ráðstafanir fyrir örfyrirtæki, lítil og meðalstór fyrirtæki.
168) Beita ætti rannsóknarmálsmeðferðinni við samþykkt framkvæmdargerða um föst samningsákvæði milli ábyrgðaraðila og vinnsluaðila og milli vinnsluaðila, hátternisreglur, tæknistaðla og fyrirkomulag við vottun, fullnægjandi vernd sem þriðja land, yfirráðasvæði eða tilgreindur geiri innan þess þriðja lands eða alþjóðastofnun veitir, stöðluð verndarákvæði, snið og aðferðir við rafræn upplýsingaskipti milli ábyrgðaraðila, vinnsluaðila og eftirlitsyfirvalda að því er varðar bindandi fyrirtækjareglur, gagnkvæma aðstoð og fyrirkomulag við rafræn upplýsingaskipti milli eftirlitsyfirvalda og milli eftirlitsyfirvalda og persónuverndarráðsins.
169) Framkvæmdastjórnin ætti að samþykkja framkvæmdargerðir sem taka gildi þegar í stað ef fyrir liggja sannanir um að þriðja land, yfirráðasvæði eða tilgreindur geiri innan þess þriðja lands eða alþjóðastofnun tryggi ekki fullnægjandi öryggi og ef brýna nauðsyn ber til.
170) Þar eð aðildarríkin geta ekki fyllilega náð markmiði þessarar reglugerðar, þ.e. að tryggja einstaklingum í Sambandinu sambærilega vernd og frjálst flæði persónuupplýsinga í öllu Sambandinu, og því verður betur náð á vettvangi Sambandsins, vegna umfangs og áhrifa aðgerðarinnar, er Sambandinu heimilt að samþykkja ráðstafanir í samræmi við nálægðarregluna eins og kveðið er á um í 5. gr. sáttmálans um Evrópusambandið. Í samræmi við meðalhófsregluna, eins og hún er sett fram í þeirri grein, er ekki gengið lengra en nauðsyn krefur í þessari reglugerð til að ná því markmiði.
171) Þessi reglugerð ætti að fella úr gildi tilskipun 95/46/EB. Vinnslu, sem er þegar hafin á þeim degi er reglugerð þessi kemur til framkvæmda, ætti að færa til samræmis við reglugerð þessa innan tveggja ára frá gildistöku hennar. Þegar vinnsla er byggð á samþykki samkvæmt tilskipun 95/46/EB er ekki nauðsynlegt að skráður einstaklingur gefi samþykki sitt aftur, ef það var gefið með hætti sem samrýmist skilyrðum þessarar reglugerðar, til að ábyrgðaraðili geti haldið slíkri vinnslu áfram eftir þann dag sem reglugerð þessi kemur til framkvæmda. Ákvarðanir sem framkvæmdastjórnin hefur samþykkt og heimildir sem eftirlitsyfirvöld hafa veitt á grundvelli tilskipunar 95/46/EB eru áfram í gildi uns þeim er breytt, þau eru leyst af hólmi eða þau eru felld niður.
172) Haft var samráð við Evrópsku persónuverndarstofnunina í samræmi við 2. mgr. 28. gr. reglugerðar (EB) nr. 45/2001 og skilaði hún áliti 7. mars 2012 ( Stjtíð. ESB C 192, 30.6.2012, bls. 7.).
173) Reglugerð þessi ætti að gilda um öll mál er varða vernd grundvallarréttinda og mannfrelsis í tengslum við vinnslu persónuupplýsinga sem ekki heyra undir sérstakar skuldbindingar með sama markmiði sem settar eru fram í tilskipun Evrópuþingsins og ráðsins 2002/58/EB ( Tilskipun Evrópuþingsins og ráðsins 2002/58/EB frá 12. júlí 2002 um vinnslu persónuupplýsinga og um verndun einkalífs á sviði rafrænna fjarskipta (tilskipun um friðhelgi einkalífsins og rafræn fjarskipti) (Stjtíð. EB L 201, 31.7.2002, bls. 37).), þ. á m. skyldur ábyrgðaraðila og réttindi einstaklinga. Til þess að skýra tengslin milli þessarar reglugerðar og tilskipunar 2002/58/EB ætti að breyta þeirri tilskipun til samræmis við hana. Þegar reglugerð þessi hefur verið samþykkt ætti að endurskoða tilskipun 2002/58/EB í því skyni að tryggja samræmi hennar við þessa reglugerð.

SAMÞYKKT REGLUGERÐ ÞESSA:
I. kafli. Almenn ákvæði

1. Í þessari reglugerð er mælt fyrir um reglur um vernd einstaklinga í tengslum við vinnslu persónuupplýsinga og um reglur er varða frjálsa miðlun persónuupplýsinga.

2. Þessi reglugerð verndar grundvallarréttindi og frelsi einstaklinga, einkum rétt þeirra til verndar persónuupplýsingum.

3. Hvorki skal takmarka né banna frjálsa miðlun persónuupplýsinga innan Sambandsins af ástæðum er varða vernd einstaklinga í tengslum við vinnslu persónuupplýsinga.

1. Þessi reglugerð gildir um vinnslu persónuupplýsinga sem er sjálfvirk að hluta eða í heild og um vinnslu með öðrum aðferðum en sjálfvirkum á persónuupplýsingum sem eru eða eiga að verða hluti af skráningarkerfi.

2. Þessi reglugerð gildir ekki um vinnslu persónuupplýsinga:
a) í starfsemi sem fellur utan gildissviðs laga Sambandsins,
b) af hálfu aðildarríkjanna vegna starfsemi sem fellur undir gildissvið 2. kafla V. bálks sáttmálans um Evrópusambandið,
c) af hálfu einstaklings ef vinnslan er hluti af starfsemi sem er einungis í þágu hans sjálfs eða fjölskyldu hans,
d) af hálfu lögbærra yfirvalda í tengslum við það að koma í veg fyrir, rannsaka, koma upp um eða saksækja fyrir refsiverð brot eða fullnægja refsiviðurlögum, þ.m.t. að vernda gegn og koma í veg fyrir ógnir við almannaöryggi.

3. Reglugerð (EB) nr. 45/2001 gildir um vinnslu stofnana, aðila, skrifstofa og sérstofnana Sambandsins á persónuupplýsingum. Laga skal reglugerð (EB) nr. 45/2001 og aðrar réttargerðir Sambandsins, sem gilda um slíka vinnslu persónuupplýsinga, að meginreglum og reglum þessarar reglugerðar í samræmi við 98. gr.

4. Þessi reglugerð hefur ekki áhrif á beitingu tilskipunar 2000/31/EB, einkum reglur í 12.-15. gr. hennar um bótaábyrgð þjónustuveitenda sem eru milliliðir.

1. Þessi reglugerð gildir um vinnslu persónuupplýsinga í tengslum við starfsemi starfsstöðvar ábyrgðaraðila eða vinnsluaðila í Sambandinu, óháð því hvort vinnslan sjálf fer fram í Sambandinu.

2. Þessi reglugerð gildir um vinnslu ábyrgðaraðila eða vinnsluaðila, sem ekki hefur staðfestu í Sambandinu, á persónuupplýsingum um skráða einstaklinga innan Sambandsins þegar vinnslustarfsemin tengist því að:
a) bjóða þessum skráðu einstaklingum í Sambandinu vöru eða þjónustu, án tillits til þess hvort það er gert gegn greiðslu eða
b) hafa eftirlit með hegðun þeirra að svo miklu leyti sem hegðun þeirra á sér stað innan Sambandsins.

3. Þessi reglugerð gildir um vinnslu persónuupplýsinga af hálfu ábyrgðaraðila sem ekki hefur staðfestu innan Sambandsins en þó á stað þar sem lög aðildarríkis gilda samkvæmt þjóðarétti.

Í reglugerð þessari er merking eftirfarandi hugtaka sem hér segir:
1) „persónuupplýsingar": hvers kyns upplýsingar um persónugreindan eða persónugreinanlegan einstakling („skráðan einstakling"); einstaklingur telst persónugreinanlegur ef unnt er að persónugreina hann, beint eða óbeint, svo sem með tilvísun í auðkenni eins og nafn, kennitölu, staðsetningargögn, netauðkenni eða einn eða fleiri þætti sem einkenna hann í líkamlegu, lífeðlisfræðilegu, erfðafræðilegu, andlegu, efnalegu, menningarlegu eða félagslegu tilliti,
2) „vinnsla": aðgerð eða röð aðgerða þar sem persónuupplýsingar eru unnar, hvort sem vinnslan er sjálfvirk eða ekki, s.s. söfnun, skráning, flokkun, kerfisbinding, varðveisla, aðlögun eða breyting, heimt, skoðun, notkun, miðlun með framsendingu, dreifing eða aðrar aðferðir til að gera upplýsingarnar tiltækar, samtenging eða samkeyrsla, aðgangstakmörkun, eyðing eða eyðilegging,
3) „takmörkun á vinnslu": að auðkenna varðveittar persónuupplýsingar með það að markmiði að takmarka vinnslu þeirra í framtíðinni,
4) „gerð persónusniðs": hvers kyns sjálfvirk vinnsla persónuupplýsinga sem felst í því að nota persónuupplýsingar til að meta ákveðna þætti er varða hagi einstaklings, einkum að greina eða spá fyrir um þætti er varða frammistöðu hans í starfi, fjárhagsstöðu, heilsu, smekk, áhugamál, áreiðanleika, hegðun, staðsetningu eða hreyfanleika,
5) „notkun gerviauðkenna": þegar unnið er með persónuupplýsingar á þann hátt að ekki sé lengur hægt að rekja þær til tiltekins skráðs einstaklings án viðbótarupplýsinga, að því tilskildu að slíkum viðbótarupplýsingum sé haldið aðgreindum og að beitt sé tæknilegum og skipulagslegum ráðstöfunum til að tryggja að persónuupplýsingarnar sé ekki hægt að rekja til persónugreinds eða persónugreinanlegs einstaklings,
6) „skráningarkerfi": sérhvert skipulegt safn persónuupplýsinga sem er aðgengilegt samkvæmt tilteknum viðmiðunum, hvort heldur það er miðlægt, dreift eða skipt upp eftir notkun eða staðsetningu,
7) „ábyrgðaraðili": einstaklingur eða lögaðili, opinbert yfirvald, sérstofnun eða annar aðili sem ákvarðar, einn eða í samvinnu við aðra, tilgang og aðferðir við vinnslu persónuupplýsinga; ef tilgangur og aðferðir við slíka vinnslu eru ákveðin í lögum Sambandsins eða lögum aðildarríkis er heimilt að tilgreina ábyrgðaraðila eða sérstakar viðmiðanir fyrir tilnefningu hans í lögum Sambandsins eða lögum aðildarríkis,
8) „vinnsluaðili": einstaklingur eða lögaðili, opinbert yfirvald, sérstofnun eða annar aðili sem vinnur persónuupplýsingar á vegum ábyrgðaraðila,
9) „viðtakandi": einstaklingur eða lögaðili, opinbert yfirvald, sérstofnun eða annar aðili sem fær í hendur persónuupplýsingar, hvort sem hann er þriðji aðili eða ekki. Opinber yfirvöld, sem kunna að fá persónuupplýsingar sem svör við einstökum fyrirspurnum í samræmi við lög Sambandsins eða lög aðildarríkis, skulu þó ekki teljast viðtakendur; vinnsla þessara opinberu yfirvalda á gögnunum skal samrýmast gildandi reglum um persónuvernd samkvæmt tilgangi vinnslunnar,
10) „þriðji aðili": einstaklingur eða lögaðili, opinbert yfirvald, sérstofnun eða aðili annar en hinn skráði, ábyrgðaraðili, vinnsluaðili og einstaklingar eða lögaðilar sem hafa, undir beinni stjórn ábyrgðaraðila eða vinnsluaðila, heimild til að vinna persónuupplýsingar,
11) „samþykki" skráðs einstaklings: óþvinguð, sértæk, upplýst og ótvíræð viljayfirlýsing hins skráða um að hann samþykki, með yfirlýsingu eða ótvíræðri staðfestingu, vinnslu persónuupplýsinga um hann sjálfan,
12) „öryggisbrestur við meðferð persónuupplýsinga": brestur á öryggi sem leiðir til óviljandi eða ólögmætrar eyðingar persónuupplýsinga, sem eru sendar, varðveittar eða unnar á annan hátt, eða að þær glatist, breytist, verði birtar eða aðgangur veittur að þeim í leyfisleysi,
13) „erfðafræðilegar upplýsingar": persónuupplýsingar sem varða arfgenga eða áunna erfðaeiginleika einstaklings sem gefa einkvæmar upplýsingar um lífeðlisfræði eða heilbrigði einstaklingsins og fást einkum með greiningu á líffræðilegu sýni frá viðkomandi einstaklingi,
14) „lífkennaupplýsingar": persónuupplýsingar sem fást með sérstakri tæknivinnslu og tengjast líkamlegum, lífeðlisfræðilegum eða atferlisfræðilegum eiginleikum einstaklings og gera það kleift að greina eða staðfesta deili á einstaklingi með ótvíræðum hætti, s.s. andlitsmyndir eða gögn um fingraför,
15) „heilsufarsupplýsingar": persónuupplýsingar sem varða líkamlegt eða andlegt heilbrigði einstaklings, þ.m.t. heilbrigðisþjónustu sem hann hefur fengið, og sem gefa upplýsingar um heilsufar hans,
16) „höfuðstöðvar":
a) að því er varðar ábyrgðaraðila með starfsstöðvar í fleiri en einu aðildarríki, sá staður þar sem hann hefur yfirstjórn sína í Sambandinu nema ákvarðanir um tilgang og aðferðir við vinnslu persónuupplýsinga séu teknar í annarri starfsstöð ábyrgðaraðila í Sambandinu og síðarnefnda starfsstöðin sé sú sem hefur vald til að koma slíkum ákvörðunum til framkvæmda en í því tilviki skal starfsstöðin, sem tekið hefur slíkar ákvarðanir, teljast vera höfuðstöðvar,
b) að því er varðar vinnsluaðila með starfsstöðvar í fleiri en einu aðildarríki, sá staður þar sem hann hefur yfirstjórn sína í Sambandinu eða, hafi hann enga yfirstjórn í Sambandinu, starfsstöð vinnsluaðila í Sambandinu þar sem helsta vinnslustarfsemi innan ramma starfsemi starfsstöðvar vinnsluaðila fer fram, að því marki sem vinnsluaðili falli undir tilteknar skuldbindingar samkvæmt þessari reglugerð,
17) „fulltrúi": einstaklingur eða lögaðili með staðfestu í Sambandinu, tilnefndur skriflega af ábyrgðaraðila eða vinnsluaðila skv. 27. gr., sem kemur fram sem fulltrúi ábyrgðaraðila eða vinnsluaðila að því er varðar skuldbindingar þeirra, hvors um sig, samkvæmt þessari reglugerð,
18) „fyrirtæki": einstaklingur eða lögaðili sem stundar atvinnustarfsemi, óháð því hvert rekstrarform hans er að lögum, þ.m.t. sameignarfélög eða samtök sem stunda atvinnustarfsemi að staðaldri,
19) „fyrirtækjasamstæða": ráðandi fyrirtæki og undirfyrirtæki þess,
20) „bindandi fyrirtækjareglur": reglur um persónuvernd sem ábyrgðaraðili eða vinnsluaðili með staðfestu á yfirráðasvæði aðildarríkis fylgir varðandi miðlun eða endurtekna miðlun persónuupplýsinga til ábyrgðaraðila eða vinnsluaðila í einu eða fleiri þriðju löndum innan fyrirtækjasamstæðu eða hóps fyrirtækja sem stundar sameiginlega atvinnustarfsemi,
21) „eftirlitsyfirvald": sjálfstætt opinbert yfirvald sem aðildarríki kemur á fót skv. 51. gr.,
22) „hlutaðeigandi eftirlitsyfirvald": eftirlitsyfirvald sem vinnsla persónuupplýsinga varðar vegna þess að:
a) ábyrgðaraðili eða vinnsluaðili hefur staðfestu á yfirráðasvæði aðildarríkis þess eftirlitsyfirvalds,
b) skráðir einstaklingar, sem búa í aðildarríki þess eftirlitsyfirvalds, verða fyrir verulegum áhrifum eða líklegt er að þeir verði fyrir verulegum áhrifum af vinnslunni eða
c) kvörtun hefur verið lögð fram hjá því eftirlitsyfirvaldi,
23) „vinnsla yfir landamæri": annaðhvort:
a) vinnsla persónuupplýsinga sem fram fer í tengslum við starfsemi starfsstöðva ábyrgðaraðila eða vinnsluaðila innan Sambandsins í fleiri en einu aðildarríki, þegar ábyrgðaraðili eða vinnsluaðili hefur staðfestu í fleiri en einu aðildarríki eða
b) vinnsla persónuupplýsinga sem fram fer í tengslum við starfsemi einnar starfsstöðvar ábyrgðaraðila eða vinnsluaðila innan Sambandsins en hefur veruleg áhrif eða líklegt er að hafi veruleg áhrif á skráða einstaklinga í fleiri en einu aðildarríki,
24) „viðeigandi og rökstudd andmæli": andmæli gegn drögum að ákvörðun varðandi það hvort brotið sé gegn þessari reglugerð eða hvort fyrirhuguð aðgerð í tengslum við ábyrgðaraðilann eða vinnsluaðilann samrýmist henni sem sýna greinilega fram á þá áhættu sem drögin að ákvörðuninni hafa í för með sér fyrir grundvallarréttindi og frelsi skráðra einstaklinga og, eftir því sem við á, frjálst flæði persónuupplýsinga innan Sambandsins,
25) „þjónusta í upplýsingasamfélaginu": þjónusta eins og hún er skilgreind í b-lið 1. mgr. 1. gr. tilskipunar Evrópuþingsins og ráðsins (ESB) 2015/1535 ( Tilskipun Evrópuþingsins og ráðsins (ESB) 2015/1535 frá 9. September 2015 um tilhögun miðlunar upplýsinga um tæknilegar reglugerðir og reglur um þjónustu í upplýsingasamfélaginu (Stjtíð. ESB L 241, 17.9.2015, bls. 1).),
26) „alþjóðastofnun": stofnun og undirskipaðir aðilar hennar sem heyra undir þjóðarétt eða annar aðili sem komið er á fót með samningi milli tveggja eða fleiri landa eða á grundvelli hans.

5. gr. Meginreglur um vinnslu persónuupplýsinga

1. Persónuupplýsingar skulu vera:
a) unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart skráðum einstaklingi („lögmæti, sanngirni og gagnsæi"),
b) fengnar í tilgreindum, skýrum og lögmætum tilgangi og ekki unnar frekar á þann hátt að ósamrýmanlegt sé þeim tilgangi; frekari vinnsla persónuupplýsinga vegna skjalavistunar í þágu almannahagsmuna, rannsókna á sviði vísinda eða sagnfræði eða í tölfræðilegum tilgangi skal, í samræmi við 1. mgr. 89. gr., ekki teljast ósamrýmanleg upphaflegum tilgangi („takmörkun vegna tilgangs"),
c) nægilegar, viðeigandi og takmarkast við það sem nauðsynlegt er miðað við tilganginn með vinnslunni („lágmörkun gagna"),
d) áreiðanlegar og, ef nauðsyn krefur, uppfærðar; gera skal allar eðlilegar ráðstafanir til að tryggja að persónuupplýsingum, sem eru óáreiðanlegar, með hliðsjón af tilganginum með vinnslu þeirra, verði eytt eða þær leiðréttar án tafar („áreiðanleiki"),
e) varðveittar á því formi að ekki sé unnt að persónugreina skráða einstaklinga lengur en þörf er á miðað við tilganginn með vinnslu upplýsinganna; heimilt er að geyma persónuupplýsingar lengur að því tilskildu að vinnsla þeirra þjóni einungis skjalavistun í þágu almannahagsmuna, rannsóknum á sviði vísinda eða sagnfræði eða í tölfræðilegum tilgangi, í samræmi við 1. mgr. 89. gr., og sé með fyrirvara um að gerðar verði þær viðeigandi tæknilegu og skipulagslegu ráðstafanir til að vernda réttindi og frelsi hins skráða sem reglugerð þessi krefst („geymslutakmörkun"),
f) unnar með þeim hætti að viðeigandi öryggi persónuupplýsinganna sé tryggt, þ.m.t. vernd gegn óleyfilegri eða ólögmætri vinnslu og gegn glötun, eyðileggingu eða tjóni fyrir slysni, með viðeigandi tæknilegum og skipulagslegum ráðstöfunum („heilleiki og trúnaður").

2. Ábyrgðaraðili skal vera ábyrgur fyrir því að farið sé að ákvæðum 1. mgr. og geta sýnt fram á það („ábyrgðarskylda").

1. Vinnsla skal einungis teljast lögmæt ef og að því marki sem a.m.k. eitt af eftirfarandi atriðum á við:
a) skráður einstaklingur hefur gefið samþykki sitt fyrir vinnslu á persónuupplýsingum sínum í þágu eins eða fleiri tiltekinna markmiða,
b) vinnslan er nauðsynleg vegna framkvæmdar samnings sem skráður einstaklingur á aðild að eða til þess að gera ráðstafanir að beiðni hins skráða áður en samningur er gerður,
c) vinnslan er nauðsynleg til uppfylla lagaskyldu sem hvílir á ábyrgðaraðila,
d) vinnslan er nauðsynleg til að vernda brýna hagsmuni hins skráða eða annars einstaklings,
e) vinnslan er nauðsynleg vegna verkefnis sem unnið er í þágu almannahagsmuna eða við beitingu opinbers valds sem ábyrgðaraðili fer með,
f) vinnslan er nauðsynleg vegna lögmætra hagsmuna sem ábyrgðaraðili eða þriðji aðili gætir nema hagsmunir eða grundvallarréttindi og frelsi hins skráða, sem krefjast verndar persónuupplýsinga, vegi þyngra, einkum þegar hinn skráði er barn.
Ákvæði f-liðar fyrstu undirgreinar skulu ekki eiga við um vinnslu opinberra yfirvalda við störf sín.

2. Aðildarríkjunum er heimilt að viðhalda eða innleiða sértækari ákvæði til að aðlaga beitingu reglna þessarar reglugerðar að því er varðar vinnslu þannig að samrýmist c- og e-lið 1. mgr., með því að setja fram með ítarlegri hætti sértækar kröfur til vinnslunnar og aðrar ráðstafanir til að tryggja lögmæta og sanngjarna vinnslu, þ.m.t. varðandi aðrar sérstakar vinnsluaðstæður eins og kveðið er á um í IX. kafla.

3. Mæla skal fyrir um grundvöll vinnslunnar, sem um getur í c- og e-lið 1. mgr., í:
a) lögum Sambandsins eða
b) lögum aðildarríkis sem ábyrgðaraðili heyrir undir.
Tilgangur vinnslunnar skal ákvarðaður á þeim lagagrundvelli eða, að því er varðar vinnsluna sem um getur í e-lið 1. mgr., vera nauðsynlegur vegna framkvæmdar verkefnis sem unnið er í þágu almannahagsmuna eða við beitingu opinbers valds sem ábyrgðaraðili fer með. Lagagrundvöllurinn getur m.a. verið sértæk ákvæði til að aðlaga beitingu reglna þessarar reglugerðar, m.a. um: almenn skilyrði varðandi lögmæta vinnslu ábyrgðaraðilans, tegund gagna sem vinnslan varðar, hlutaðeigandi skráða einstaklinga, hvaða stofnanir mega fá persónuupplýsingarnar í hendur og í hvaða tilgangi, takmörkun vegna tilgangs, varðveislutímabil og vinnsluaðgerðir og verklag við vinnslu, þ.m.t. ráðstafanir til að tryggja að vinnsla fari fram á lögmætan og sanngjarnan hátt, s.s. ráðstafanir varðandi aðrar sérstakar vinnsluaðstæður eins og kveðið er á um í IX. kafla. Lög Sambandsins eða lög aðildarríkis skulu þjóna hagsmunum almennings og hæfa því lögmæta markmiði sem stefnt er að.

4. Þegar vinnsla í öðrum tilgangi en þeim sem er að baki söfnun persónuupplýsinganna byggist ekki á samþykki hins skráða eða á lögum Sambandsins eða lögum aðildarríkis, sem teljast nauðsynleg og hófleg ráðstöfun í lýðræðisþjóðfélagi til að standa vörð um þau markmið sem getið er um í 1. mgr. 23. gr., skal ábyrgðaraðilinn, til þess að ganga úr skugga um hvort vinnsla í öðrum tilgangi samrýmist þeim tilgangi sem var forsenda söfnunar persónuupplýsinganna í upphafi, m.a. taka tillit til:
a) hvers kyns tengsla milli þess tilgangs sem er að baki söfnun persónuupplýsinganna og tilgangsins með fyrirhugaðri frekari vinnslu,
b) þess í hvaða samhengi persónuupplýsingunum var safnað, einkum að því er varðar tengsl milli skráðra einstaklinga og ábyrgðaraðilans,
c) eðlis persónuupplýsinganna, einkum þess hvort sérstakir flokkar persónuupplýsinga eru unnir, skv. 9. gr., eða hvort persónuupplýsingar er varða sakfellingar í refsimálum og refsiverð brot eru unnar, í samræmi við 10. gr.,
d) hugsanlegra afleiðinga fyrirhugaðrar frekari vinnslu upplýsinganna fyrir skráða einstaklinga,
e) þess hvort viðeigandi verndarráðstafanir hafi verið gerðar sem geta m.a. falist í dulkóðun eða notkun gerviauðkenna.

1. Þegar vinnsla er byggð á samþykki skal ábyrgðaraðilinn geta sýnt fram á að skráður einstaklingur hafi samþykkt vinnslu persónuupplýsinga sinna.

2. Ef hinn skráði gefur samþykki sitt með skriflegri yfirlýsingu, sem einnig varðar önnur málefni, skal beiðnin um samþykki sett fram á þann hátt að hún sé auðgreinanleg frá hinum málefnunum, á skiljanlegu og aðgengilegu formi og skýru og einföldu máli. Ef einhver hluti slíkrar yfirlýsingar felur í sér brot á þessari reglugerð skal hann ekki vera bindandi.

3. Skráður einstaklingur á rétt á að draga samþykki sitt til baka hvenær sem er. Afturköllun samþykkis skal ekki hafa áhrif á lögmæti vinnslu á grundvelli samþykkisins fram að afturkölluninni. Hinum skráða skal tilkynnt um þetta áður en hann gefur samþykki sitt. Jafnauðvelt skal vera að draga samþykki sitt til baka og að veita það.

4. Þegar metið er hvort samþykki sé gefið af fúsum og frjálsum vilja skal taka ítrasta tillit til þess m.a. hvort það sé skilyrði fyrir framkvæmd samnings, þ. á m. veitingu þjónustu, að samþykki sé gefið fyrir vinnslu persónuupplýsinga sem ekki er nauðsynleg vegna framkvæmdar samningsins.

8. gr. Skilyrði sem gilda um samþykki barns í tengslum við þjónustu í upplýsingasamfélaginu

1. Þegar a-liður 1. mgr. 6. gr. á við, í tengslum við það þegar barni er boðin þjónusta í upplýsingasamfélaginu með beinum hætti, skal vinnsla persónuupplýsinga barnsins teljast lögmæt ef það hefur náð a.m.k. 16 ára aldri. Hafi barn ekki náð 16 ára aldri skal vinnslan einungis teljast lögmæt ef, og að því marki sem, forsjáraðili barnsins gefur eða heimilar samþykkið.
Aðildarríkin geta í lögum kveðið á um lægri aldur að því er þetta varðar en þó ekki lægri en 13 ár.

2. Ábyrgðaraðili skal gera það sem sanngjarnt má telja til að sannreyna í slíkum tilvikum að samþykkið sé gefið eða heimilað af hálfu forsjáraðila barnsins, að teknu tilliti til þeirrar tækni sem fyrir hendi er.

3. Ákvæði 1. mgr. hafa ekki áhrif á almenn samningalög aðildarríkjanna, s.s. reglur um gildi, gerð eða áhrif samnings þegar um er að ræða barn.

9. gr. Vinnsla sérstakra flokka persónuupplýsinga

1. Bannað er að vinna persónuupplýsingar er varða kynþátt eða þjóðernislegan uppruna, stjórnmálaskoðanir, trúarbrögð eða heimspekilega sannfæringu eða þátttöku í stéttarfélagi og að vinna erfðafræðilegar upplýsingar, lífkennaupplýsingar í því skyni að persónugreina einstakling með einkvæmum hætti, heilsufarsupplýsingar eða upplýsingar er varða kynlíf einstaklings eða kynhneigð.

2. Ákvæði 1. mgr. gilda ekki ef eitt af eftirfarandi á við:
a) skráður einstaklingur hefur veitt ótvírætt samþykki sitt fyrir vinnslu þessara persónuupplýsinga í þágu eins eða fleiri tiltekinna markmiða nema kveðið sé á um það í lögum Sambandsins eða lögum aðildarríkis að hinum skráða sé óheimilt að aflétta banninu sem um getur í 1. mgr.,
b) vinnslan er nauðsynleg til þess að ábyrgðaraðilinn eða hinn skráði geti staðið við skuldbindingar sínar og nýtt sér tiltekin réttindi samkvæmt vinnulöggjöf og löggjöf um almannatryggingar og félagslega vernd, að því marki sem vinnslan er heimil samkvæmt lögum Sambandsins eða lögum aðildarríkis eða kjarasamningi samkvæmt lögum aðildarríkis, þar sem kveðið er á um viðeigandi verndarráðstafanir í tengslum við grundvallarréttindi og hagsmuni hins skráða,
c) vinnslan er nauðsynleg til að vernda brýna hagsmuni hins skráða eða annars einstaklings ef hinn skráði er líkamlega eða í lagalegum skilningi ófær um að veita samþykki sitt,
d) vinnslan fer fram, með viðeigandi verndarráðstöfunum, sem liður í lögmætri starfsemi stofnunar, samtaka eða annars aðila sem starfar ekki í hagnaðarskyni og hefur stjórnmálaleg, heimspekileg, trúarleg eða stéttarfélagsleg markmið, enda nái vinnslan einungis til meðlima eða fyrrum meðlima viðkomandi aðila eða þeirra sem eru í reglulegu sambandi við hann í tengslum við tilgang hans, auk þess sem persónuupplýsingar séu ekki fengnar þriðja aðila í hendur án samþykkis hinna skráðu,
e) vinnslan tengist persónuupplýsingum sem hinn skráði hefur augljóslega gert opinberar,
f) vinnslan er nauðsynleg til að unnt sé að stofna, hafa uppi eða verja réttarkröfur eða þegar dómstólar fara með dómsvald sitt,
g) vinnslan er nauðsynleg, af ástæðum sem varða verulega almannahagsmuni, á grundvelli laga Sambandsins eða laga aðildarríkis sem skulu hæfa því markmiði sem stefnt er að, virða kjarna réttarins til persónuverndar og kveða á um viðeigandi og sértækar ráðstafanir til að vernda grundvallarréttindi og hagsmuni hins skráða,
h) vinnslan er nauðsynleg til að unnt sé að fyrirbyggja sjúkdóma eða vegna atvinnusjúkdómalækninga, til að meta vinnufærni starfsmanns, greina sjúkdóma, láta í té umönnun eða meðferð á sviði heilbrigðis- eða félagsþjónustu eða stjórna heilbrigðis- eða félagsþjónustu og -kerfum á grundvelli laga Sambandsins eða aðildarríkis eða samkvæmt samningi við heilbrigðisstarfsmann og með fyrirvara um skilyrðin og verndarráðstafanirnar sem um getur í 3. mgr.,
i) vinnslan er nauðsynleg af ástæðum er varða almannahagsmuni á sviði lýðheilsu, s.s. til að verjast alvarlegum heilsufarsógnum sem ná yfir landamæri eða tryggja að strangar kröfur séu gerðar um gæði og öryggi heilbrigðisþjónustu og lyfja eða lækningatækja, á grundvelli laga Sambandsins eða laga aðildarríkis sem kveða á um viðeigandi og sértækar ráðstafanir til að vernda réttindi og frelsi hins skráða, einkum þagnarskyldu,
j) vinnsla er nauðsynleg vegna skjalavistunar í þágu almannahagsmuna, rannsókna á sviði vísinda eða sagnfræði eða í tölfræðilegum tilgangi í samræmi við 1. mgr. 89. gr., á grundvelli laga Sambandsins eða laga aðildarríkis sem skulu hæfa því markmiði sem stefnt er að, virða kjarna réttarins til persónuverndar og kveða á um viðeigandi og sértækar ráðstafanir til að vernda grundvallarréttindi og hagsmuni hins skráða.

3. Vinnsla persónuupplýsinganna, sem um getur í 1. mgr., er heimil í þeim tilgangi sem um getur í h-lið 2. mgr. ef upplýsingarnar eru unnar af eða á ábyrgð fagmanns sem fellur undir þagnarskyldu samkvæmt lögum Sambandsins eða lögum aðildarríkis eða reglum, sem innlendir þar til bærir aðilar hafa sett, eða af öðrum aðila sem einnig er bundinn þagnarskyldu samkvæmt lögum Sambandsins eða lögum aðildarríkis eða reglum sem settar eru af innlendum þar til bærum aðilum.

4. Aðildarríkjunum er heimilt að viðhalda eða setja frekari skilyrði, þ.m.t. takmarkanir, með hliðsjón af vinnslu erfðafræðilegra upplýsinga, lífkennaupplýsinga eða heilsufarsupplýsinga.

10. gr. Vinnsla persónuupplýsinga er varða sakfellingar í refsimálum og refsiverð brot

Vinnsla persónuupplýsinga, er varða sakfellingar í refsimálum og refsiverð brot eða tengdar öryggisráðstafanir á grundvelli 1. mgr. 6. gr., skal einungis fara fram undir eftirliti opinbers yfirvalds eða þegar vinnsla er heimiluð samkvæmt lögum Sambandsins eða lögum aðildarríkis þar sem kveðið er á um viðeigandi verndarráðstafanir í tengslum við réttindi og frelsi skráðra einstaklinga. Ítarlega skrá yfir refsidóma skal varðveita undir eftirliti opinbers yfirvalds.

11. gr. Vinnsla sem ekki krefst persónugreiningar

1. Ef tilgangurinn með vinnslu ábyrgðaraðila á persónuupplýsingum krefst þess ekki, eða krefst þess ekki lengur, að ábyrgðaraðilinn geti persónugreint skráðan einstakling er ábyrgðaraðilanum ekki skylt að viðhalda, afla sér eða vinna viðbótarupplýsingar til að unnt sé að persónugreina hinn skráða í þeim tilgangi einum að uppfylla ákvæði þessarar reglugerðar.

2. Þegar ábyrgðaraðili, í tilvikum sem um getur í 1. mgr. þessarar greinar, getur sýnt fram á að hann sé ekki í aðstöðu til að persónugreina skráðan einstakling skal hann tilkynna hinum skráða um það ef mögulegt er. Í þeim tilvikum gilda 15.-20. gr. ekki nema hinn skráði veiti, í þeim tilgangi að neyta réttar síns samkvæmt þessum greinum, viðbótarupplýsingar sem gera kleift að persónugreina hann.

III. kafli. Réttindi skráðs einstaklings
1. þáttur Gagnsæi og nánari reglur

12. gr. Gagnsæi upplýsinga, tilkynninga og nánari reglur til að skráður einstaklingur geti neytt réttar síns

1. Ábyrgðaraðili skal gera viðeigandi ráðstafanir til að láta skráðum einstaklingi í té þær upplýsingar sem um getur í 13. og 14. gr. og tilkynningar skv. 15.-22. gr. og 34. gr. í tengslum við vinnslu á gagnorðu, gagnsæju, skiljanlegu og aðgengilegu formi og skýru og einföldu máli, einkum þegar um er að ræða upplýsingar sem beint er sérstaklega til barns. Upplýsingarnar skulu veittar skriflega eða á annan hátt, þ.m.t., eftir því sem við á, á rafrænu formi. Fari skráður einstaklingur fram á það má veita upplýsingarnar munnlega, að því tilskildu að hinn skráði sanni á sér deili með öðrum hætti.

2. Ábyrgðaraðili skal auðvelda skráðum einstaklingi að neyta réttar síns skv. 15.-22. gr. Í þeim tilvikum, sem um getur í 2. mgr. 11. gr., skal ábyrgðaraðilinn ekki neita að verða við beiðni hins skráða um að neyta réttar síns skv. 15.-22. gr. nema ábyrgðaraðilinn sýni fram á að hann sé ekki í aðstöðu til að staðfesta deili á hinum skráða.

3. Ábyrgðaraðilinn skal veita skráðum einstaklingi upplýsingar um aðgerðir, sem gripið er til vegna beiðni skv. 15.-22. gr., án ótilhlýðilegrar tafar og hvað sem öðru líður innan mánaðar frá viðtöku beiðninnar. Lengja má frestinn um tvo mánuði til viðbótar ef þörf er á, með hliðsjón af fjölda beiðna og því hversu flóknar þær eru. Ábyrgðaraðili skal tilkynna hinum skráða um slíkar framlengingar innan mánaðar frá viðtöku beiðninnar, ásamt ástæðunum fyrir töfinni. Leggi hinn skráði fram beiðnina rafrænt skulu upplýsingarnar látnar í té með rafrænum hætti þar sem kostur er nema hinn skráði fari fram á annað.

4. Verði ábyrgðaraðili ekki við beiðni skráðs einstaklings skal hann tilkynna honum, án tafar og í síðasta lagi innan mánaðar frá viðtöku beiðninnar, um ástæðurnar fyrir því að það var ekki gert og um möguleikann á að leggja fram kvörtun hjá eftirlitsyfirvaldi og leita réttarúrræðis.

5. Upplýsingar, sem veittar eru skv. 13. og 14. gr., og hvers konar tilkynningar og aðgerðir, sem gripið er til skv. 15.-22. gr. og 34. gr., skulu vera án endurgjalds. Séu beiðnir frá skráðum einstaklingi augljóslega tilefnislausar eða óhóflegar, einkum vegna endurtekningar, er ábyrgðaraðila heimilt að gera annaðhvort:
a) setja upp sanngjarnt gjald með tilliti til stjórnsýslukostnaðar við upplýsingagjöfina eða tilkynningarnar eða aðgerðirnar sem farið er fram á eða
b) neita að verða við beiðninni.
Það skal vera ábyrgðaraðilans að sýna fram á að beiðni sé tilefnislaus eða óhófleg.

6. Með fyrirvara um 11. gr. getur ábyrgðaraðili farið fram á að veittar séu nauðsynlegar viðbótarupplýsingar til að staðfesta deili á hinum skráða þyki honum leika verulegur vafi á því hver sá einstaklingur sé sem leggur fram beiðnina sem um getur í 15.-21. gr.

7. Hægt er að láta staðlaðar táknmyndir fylgja upplýsingunum, sem veita ber skráðum einstaklingum skv. 13. og 14. gr., til að veita marktækt yfirlit yfir fyrirhugaða vinnslu á auðsýnilegan, skiljanlegan og auðlæsilegan hátt. Táknmyndirnar skulu vera með tölvulesanlegu sniði þegar þær eru settar fram rafrænt.

8. Framkvæmdastjórninni skal falið vald til þess að samþykkja framseldar gerðir í samræmi við 92. gr. til að ákvarða hvaða upplýsingar setja má fram með táknmyndum og aðferðirnar við að setja fram staðlaðar táknmyndir.

2. þáttur Upplýsingar og aðgangur að persónuupplýsingum

13. gr. Upplýsingar sem ber að veita við öflun persónuupplýsinga hjá skráðum einstaklingi

1. Þegar persónuupplýsinga er aflað hjá skráðum einstaklingi um hann sjálfan skal ábyrgðaraðilinn, við söfnun persónuupplýsinganna, skýra hinum skráða frá öllum eftirfarandi atriðum:
a) heiti og samskiptaupplýsingum ábyrgðaraðilans og, eftir atvikum, fulltrúa hans,
b) samskiptaupplýsingum persónuverndarfulltrúa, ef við á,
c) tilganginum með fyrirhugaðri vinnslu persónuupplýsinganna og hver lagagrundvöllur hennar er,
d) þegar vinnslan byggist á f-lið 1. mgr. 6. gr., hvaða lögmætu hagsmunir það eru sem ábyrgðaraðili eða þriðji aðili gætir,
e) viðtakendum eða flokkum viðtakenda persónuupplýsinganna, ef einhverjir eru,
f) ef við á, því að ábyrgðaraðili hyggist miðla persónuupplýsingum til þriðja lands eða alþjóðastofnunar og hvort ákvörðun framkvæmdastjórnarinnar um það hvort vernd sé fullnægjandi liggi fyrir eða, í tilviki miðlunar sem um getur í 46. eða 47. gr. eða í annarri undirgrein 1. mgr. 49. gr., tilvísun til viðeigandi eða hæfilegra verndarráðstafana og leiða til að fá afrit af þeim eða upplýsingar um hvar þær hafa verið gerðar aðgengilegar.

2. Til viðbótar við þær upplýsingar, sem um getur í 1. mgr., skal ábyrgðaraðilinn, á þeim tíma þegar persónuupplýsingunum er safnað, veita hinum skráða eftirtaldar frekari upplýsingar sem nauðsynlegar eru til að tryggja sanngjarna og gagnsæja vinnslu:
a) hversu lengi persónuupplýsingarnar verða geymdar eða, sé það ekki mögulegt, þær viðmiðanir sem notaðar eru til að ákveða það,
b) að fyrir hendi sé réttur til að fara fram á það við ábyrgðaraðila að fá aðgang að persónuupplýsingum, láta leiðrétta þær, eyða þeim eða takmarka vinnslu þeirra hvað hinn skráða varðar eða til að andmæla vinnslu, auk réttarins til að flytja eigin gögn,
c) þegar vinnslan byggist á a-lið 1. mgr. 6. gr. eða a-lið 2. mgr. 9. gr., að fyrir hendi sé réttur til að draga samþykki sitt til baka hvenær sem er, án þess þó að það hafi áhrif á lögmæti vinnslu á grundvelli samþykkisins fram að afturkölluninni,
d) réttinn til að leggja fram kvörtun hjá eftirlitsyfirvaldi,
e) hvort það að veita persónuupplýsingar sé krafa samkvæmt lögum eða samkvæmt samningi eða krafa sem er forsenda þess að hægt sé að gera samning og einnig hvort skráðum einstaklingi sé skylt að láta persónuupplýsingarnar í té og mögulegar afleiðingar þess ef hann veitir ekki upplýsingarnar,
f) hvort fram fari sjálfvirk ákvarðanataka, þ.m.t. gerð persónusniðs, sem um getur í 1. og 4. mgr. 22. gr., og, a.m.k. í þeim tilvikum, marktækar upplýsingar um þau rök sem þar liggja að baki og einnig þýðingu og fyrirhugaðar afleiðingar slíkrar vinnslu fyrir hinn skráða.

3. Ef ábyrgðaraðilinn hyggst vinna persónuupplýsingarnar frekar í öðrum tilgangi en þeim sem lá að baki söfnun þeirra skal hann láta hinum skráða í té upplýsingar um þennan nýja tilgang áður en sú frekari vinnsla hefst, ásamt öðrum viðeigandi viðbótarupplýsingum eins og kveðið er á um í 2. mgr.

4. Ákvæði 1., 2. og 3. mgr. gilda ekki ef og að því marki sem hinn skráði hefur þegar fengið vitneskju um þessi atriði.

14. gr. Upplýsingar sem ber að veita þegar persónuupplýsingar hafa ekki fengist hjá skráðum einstaklingi

1. Hafi persónuupplýsingar ekki fengist hjá skráðum einstaklingi skal ábyrgðaraðili skýra honum frá eftirfarandi atriðum:
a) heiti og samskiptaupplýsingum ábyrgðaraðilans og, eftir atvikum, fulltrúa hans,
b) samskiptaupplýsingum persónuverndarfulltrúa, ef við á,
c) tilganginum með fyrirhugaðri vinnslu persónuupplýsinganna og hver lagagrundvöllur hennar er,
d) flokkum viðkomandi persónuupplýsinga,
e) viðtakendum eða flokkum viðtakenda persónuupplýsinganna, ef einhverjir eru,
f) ef við á, að ábyrgðaraðili hyggist miðla persónuupplýsingum til viðtakanda í þriðja landi eða alþjóðastofnunar og hvort ákvörðun framkvæmdastjórnarinnar um það hvort vernd sé fullnægjandi liggi fyrir eða ekki eða, í tilviki miðlunar sem um getur í 46. eða 47. gr. eða í annarri undirgrein 1. mgr. 49. gr., tilvísun til viðeigandi eða hæfilegra verndarráðstafana og leiða til að fá afrit af þeim eða upplýsingar um hvar þær hafa verið gerðar aðgengilegar.

2. Til viðbótar við upplýsingarnar, sem um getur í 1. mgr., skal ábyrgðaraðilinn veita skráðum einstaklingi eftirfarandi upplýsingar sem nauðsynlegar eru til að tryggja sanngjarna og gagnsæja vinnslu gagnvart hinum skráða:
a) hversu lengi persónuupplýsingarnar verða geymdar eða, sé það ekki mögulegt, þær viðmiðanir sem notaðar eru til að ákveða það,
b) þegar vinnslan byggist á f-lið 1. mgr. 6. gr., hvaða lögmætu hagsmunir það eru sem ábyrgðaraðili eða þriðji aðili gætir,
c) að fyrir hendi sé réttur til að fara fram á það við ábyrgðaraðila að fá aðgang að persónuupplýsingum, láta leiðrétta þær, eyða þeim eða takmarka vinnslu þeirra hvað hinn skráða varðar og til að andmæla vinnslu, auk réttarins til að flytja eigin gögn,
d) þegar vinnslan byggist á a-lið 1. mgr. 6. gr. eða a-lið 2. mgr. 9. gr., að fyrir hendi sé réttur til að draga samþykki sitt til baka hvenær sem er, án þess þó að það hafi áhrif á lögmæti vinnslu á grundvelli samþykkisins fram að afturkölluninni,
e) réttinn til að leggja fram kvörtun hjá eftirlitsyfirvaldi,
f) hvaðan persónuupplýsingarnar eru fengnar og, ef við á, hvort um hafi verið ræða upplýsingar sem eru aðgengilegar almenningi,
g) hvort fram fari sjálfvirk ákvarðanataka, þ.m.t. gerð persónusniðs, sem um getur í 1. og 4. mgr. 22. gr. og, a.m.k. í þeim tilvikum, marktækar upplýsingar um þau rök sem þar liggja að baki og einnig þýðingu og fyrirhugaðar afleiðingar slíkrar vinnslu fyrir hinn skráða.

3. Ábyrgðaraðili skal veita upplýsingarnar, sem um getur í 1. og 2. mgr.:
a) innan hæfilegs tíma eftir að hafa fengið persónuupplýsingarnar, þó í síðasta lagi mánuði síðar, og hafa hliðsjón af þeim sérstöku kringumstæðum sem eiga við um vinnslu persónuupplýsinganna,
b) ef nota á persónuupplýsingarnar til samskipta við skráðan einstakling, í síðasta lagi þegar fyrst er haft samband við hann eða
c) ef fyrirhugað er að fá öðrum viðtakanda persónuupplýsingarnar í hendur, í síðasta lagi þegar það er gert í fyrsta sinn.

4. Ef ábyrgðaraðilinn hyggst vinna persónuupplýsingarnar frekar í öðrum tilgangi en lá að baki öflun þeirra skal hann láta hinum skráða í té upplýsingar um þennan nýja tilgang áður en sú frekari vinnsla hefst, ásamt öðrum viðeigandi viðbótarupplýsingum eins og kveðið er á um í 2. mgr.

5. Ákvæði 1.-4. mgr. gilda ekki ef og að því marki sem:
a) hinn skráði hefur þegar fengið upplýsingarnar,
b) ekki er unnt að veita slíkar upplýsingar eða það kostar óhóflega fyrirhöfn, einkum þegar um er að ræða vinnslu vegna skjalavistunar í þágu almannahagsmuna, rannsókna á sviði vísinda eða sagnfræði eða í tölfræðilegum tilgangi, með fyrirvara um þau skilyrði og verndarráðstafanir sem um getur í 1. mgr. 89. gr., eða að því marki sem líklegt er að skyldan, sem um getur í 1. mgr. þessarar greinar, geri það ómögulegt eða hamli því verulega að markmið þeirrar vinnslu náist. Í þeim tilvikum skal ábyrgðaraðilinn gera viðeigandi ráðstafanir til að vernda réttindi, frelsi og lögmæta hagsmuni hins skráða, þ.m.t. með því að gera upplýsingarnar aðgengilegar almenningi,
c) skýrt er mælt fyrir um öflun eða miðlun upplýsinganna í lögum Sambandsins eða lögum aðildarríkis sem ábyrgðaraðili heyrir undir og sem kveða á um viðeigandi ráðstafanir til að vernda lögmæta hagsmuni hins skráða eða
d) þegar persónuupplýsingar eru bundnar trúnaði á grundvelli þagnarskyldu í samræmi við lög Sambandsins eða lög aðildarríkis, þ.m.t. lögbundinnar þagnarskyldu.

15. gr. Réttur skráðs einstaklings til aðgangs

1. Skráður einstaklingur skal hafa rétt til að fá staðfestingu á því frá ábyrgðaraðila hvort unnar séu persónuupplýsingar er varða hann sjálfan og, ef svo er, rétt til aðgangs að persónuupplýsingunum og að upplýsingum um eftirfarandi atriði:
a) tilgang vinnslunnar,
b) viðkomandi flokka persónuupplýsinga,
c) viðtakendur eða flokka viðtakenda sem fengið hafa eða munu fá persónuupplýsingarnar í hendur, einkum viðtakendur í þriðju löndum eða alþjóðastofnanir,
d) ef mögulegt er, hversu lengi fyrirhugað er að varðveita persónuupplýsingarnar eða, ef það reynist ekki mögulegt, þær viðmiðanir sem notaðar eru til að ákveða það,
e) að fyrir liggi réttur til að fara fram á það við ábyrgðaraðila að láta leiðrétta persónuupplýsingar, eyða þeim eða takmarka vinnslu þeirra hvað hinn skráða varðar eða til að andmæla slíkri vinnslu,
f) réttinn til að leggja fram kvörtun hjá eftirlitsyfirvaldi,
g) ef persónuupplýsinganna er ekki aflað hjá hinum skráða, allar fyrirliggjandi upplýsingar um uppruna þeirra,
h) hvort fram fari sjálfvirk ákvarðanataka, þ.m.t. gerð persónusniðs, sem um getur í 1. og 4. mgr. 22. gr. og, a.m.k. í þeim tilvikum, marktækar upplýsingar um þau rök sem þar liggja að baki og einnig þýðingu og fyrirhugaðar afleiðingar slíkrar vinnslu fyrir hinn skráða.

2. Þegar persónuupplýsingum er miðlað til þriðja lands eða alþjóðastofnunar skal skráður einstaklingur eiga rétt á að fá upplýsingar um viðeigandi verndarráðstafanir skv. 46. gr. í tengslum við miðlunina.

3. Ábyrgðaraðili skal láta í té afrit af þeim persónuupplýsingum sem eru í vinnslu. Honum er heimilt að innheimta sanngjarnt gjald, byggt á umsýslukostnaði, fari skráði einstaklingurinn fram á fleiri eintök. Leggi hinn skráði beiðnina fram rafrænt skulu upplýsingarnar látnar í té með rafrænu sniði sem almennt er notað nema hann fari fram á annað.

4. Rétturinn til að fá afrit, sem um getur í 3. mgr., skal ekki skerða réttindi og frelsi annarra.

Skráður einstaklingur á rétt á að fá óáreiðanlegar persónuupplýsingar er varða hann sjálfan leiðréttar af ábyrgðaraðila án ótilhlýðilegrar tafar. Að teknu tilliti til tilgangsins með vinnslunni skal hinn skráði eiga rétt á að láta fullgera ófullkomnar persónuupplýsingar, þ.m.t. með því að leggja fram yfirlýsingu til viðbótar.

17. gr. Réttur til eyðingar („réttur til að gleymast")

1. Skráður einstaklingur skal eiga rétt á að ábyrgðaraðilinn eyði persónuupplýsingum er hann varða án ótilhlýðilegrar tafar og skal ábyrgðaraðilanum skylt að eyða persónuupplýsingunum án ótilhlýðilegrar tafar ef ein eftirtalinna ástæðna á við:
a) persónuupplýsingarnar eru ekki lengur nauðsynlegar í þeim tilgangi sem lá að baki söfnun þeirra eða annarri vinnslu þeirra,
b) hinn skráði dregur til baka samþykkið sem vinnslan byggist á skv. a-lið 1. mgr. 6. gr. eða a-lið 2. mgr. 9. gr. og ekki er annar lagagrundvöllur fyrir vinnslunni,
c) hinn skráði andmælir vinnslunni skv. 1. mgr. 21. gr. og ekki eru fyrir hendi lögmætar ástæður fyrir vinnslunni sem ganga framar eða hann andmælir vinnslunni skv. 2. mgr. 21. gr.,
d) vinnsla persónuupplýsinganna var ólögmæt,
e) eyða þarf persónuupplýsingunum til að uppfylla lagaskyldu sem hvílir á ábyrgðaraðila samkvæmt lögum Sambandsins eða lögum aðildarríkis,
f) persónuupplýsingunum var safnað í tengslum við boð um þjónustu í upplýsingasamfélaginu sem um getur í 1. mgr. 8. gr.

2. Hafi ábyrgðaraðili gert persónuupplýsingar opinberar og honum er gert skylt skv. 1. mgr. að afmá þær skal hann, með hliðsjón af fyrirliggjandi tækni og kostnaði við framkvæmdina, gera eðlilegar ráðstafanir, þ.m.t. tæknilegar ráðstafanir, til að upplýsa ábyrgðaraðila, sem vinna persónuupplýsingarnar, um að hinn skráði hafi farið fram á að slíkir ábyrgðaraðilar afmái hvers kyns tengla í eða afrit eða eftirmyndir af þessum persónuupplýsingum.

3. Ákvæði 1. og 2. mgr. gilda ekki að því marki sem vinnsla er nauðsynleg:
a) til að neyta réttarins til tjáningar- og upplýsingafrelsis,
b) til að uppfylla lagaskyldu um vinnslu sem hvílir á ábyrgðaraðilanum samkvæmt lögum Sambandsins eða lögum aðildarríkis og krefst þess að unnið sé með persónuupplýsingar eða vegna verkefnis sem er unnið í þágu almannahagsmuna eða við beitingu opinbers valds sem ábyrgðaraðili fer með,
c) með skírskotun til almannahagsmuna á sviði lýðheilsu í samræmi við h- og i-lið 2. mgr. 9. gr. og 3. mgr. 9. gr.,
d) vegna skjalavistunar í þágu almannahagsmuna, rannsókna á sviði vísinda eða sagnfræði eða í tölfræðilegum tilgangi í samræmi við 1. mgr. 89. gr., að því marki sem líklegt er að rétturinn, sem um getur í 1. mgr., geri það ómögulegt eða hamli því verulega að markmið þeirrar vinnslu náist eða
e) til að stofna, hafa uppi eða verja réttarkröfur.

18. gr. Réttur til takmörkunar á vinnslu

1. Skráður einstaklingur skal hafa rétt til þess að ábyrgðaraðili takmarki vinnslu þegar eitt af eftirfarandi á við:
a) hinn skráði vefengir að persónuupplýsingar séu réttar, þangað til ábyrgðaraðilinn hefur fengið tækifæri til að staðfesta að þær séu réttar,
b) vinnslan er ólögmæt og hinn skráði andmælir því að persónuupplýsingunum sé eytt og fer fram á takmarkaða notkun þeirra í staðinn,
c) ábyrgðaraðilinn þarf ekki lengur á persónuupplýsingunum að halda fyrir vinnsluna en skráði einstaklingurinn þarfnast þeirra til þess að stofna, hafa uppi eða verja réttarkröfur,
d) skráði einstaklingurinn hefur andmælt vinnslunni skv. 1. mgr. 21. gr. á meðan beðið er sannprófunar á því hvort hagsmunir ábyrgðaraðila gangi framar lögmætum hagsmunum hins skráða.

2. Þegar vinnsla hefur verið takmörkuð skv. 1. gr. skal einungis vinna slíkar persónuupplýsingar, að varðveislu undanskilinni, með samþykki hins skráða eða til að stofna, hafa uppi eða verja réttarkröfur eða til að vernda réttindi annars einstaklings eða lögaðila eða með skírskotun til brýnna almannahagsmuna Sambandsins eða aðildarríkis.

3. Ábyrgðaraðili skal tilkynna skráðum einstaklingi, sem fengið hefur fram takmörkun á vinnslu skv. 1. mgr., um það áður en takmörkuninni á vinnslunni er aflétt.

19. gr. Tilkynningarskylda varðandi leiðréttingu eða eyðingu persónuupplýsinga eða takmörkun á vinnslu

Ábyrgðaraðili skal tilkynna sérhverjum viðtakanda, sem fengið hefur persónuupplýsingar í hendur, um hvers kyns leiðréttingu eða eyðingu persónuupplýsinga eða takmörkun á vinnslu sem á sér stað í samræmi við 16. gr., 17. gr. (1. mgr.) og 18. gr., nema það sé ekki unnt eða feli í sér óhóflega fyrirhöfn. Ábyrgðaraðilinn skal tilkynna hinum skráða um þessa viðtakendur fari hann fram á það.

1. Skráður einstaklingur skal eiga rétt á að fá persónuupplýsingar er varða hann sjálfan, sem hann hefur látið ábyrgðaraðila í té, á skipulegu, algengu, tölvulesanlegu sniði og eiga rétt á að senda þessar upplýsingar til annars ábyrgðaraðila án þess að ábyrgðaraðilinn, sem veittar voru persónuupplýsingarnar, hindri það ef:
a) vinnslan byggist á samþykki skv. a-lið 1. mgr. 6. gr. eða a-lið 2. mgr. 9. gr. eða samningi skv. b-lið 1. mgr. 6. gr. og
b) vinnslan er sjálfvirk.

2. Þegar skráði einstaklingurinn neytir réttar síns til þess að flytja eigin gögn skv. 1. mgr. skal hann eiga rétt á að láta senda persónuupplýsingarnar beint frá einum ábyrgðaraðila til annars ef það er tæknilega framkvæmanlegt.

3. Það að neyta réttarins, sem um getur í 1. mgr. þessarar greinar, skal ekki hafa áhrif á 17. gr. Sá réttur skal ekki gilda um vinnslu sem er nauðsynleg vegna verkefnis sem unnið er í þágu almannahagsmuna eða við beitingu opinbers valds sem ábyrgðaraðili fer með.

4. Rétturinn, sem um getur í 1. mgr., skal ekki skerða réttindi og frelsi annarra.

4. þáttur Andmælaréttur og sjálfvirk einstaklingsmiðuð ákvarðanataka

1. Skráður einstaklingur skal eiga rétt á að andmæla hvenær sem er, vegna sérstakra aðstæðna sinna, vinnslu persónuupplýsinga er varða hann sjálfan og sem byggist á e- eða f-lið 1. mgr. 6. gr., þ.m.t. gerð persónusniðs á grundvelli þessara ákvæða. Ábyrgðaraðili skal ekki vinna persónuupplýsingarnar frekar nema hann geti sýnt fram á mikilvægar lögmætar ástæður fyrir vinnslunni sem ganga framar hagsmunum, réttindum og frelsi hins skráða eða því að stofna, hafa uppi eða verja réttarkröfur.

2. Þegar persónuupplýsingar eru unnar í þágu beinnar markaðssetningar skal skráði einstaklingurinn hvenær sem er eiga rétt á að andmæla vinnslu persónuupplýsinga sem varða hann sjálfan vegna slíkrar markaðssetningar, þ.m.t. gerð persónusniðs að því marki sem það tengist slíkri beinni markaðssetningu.

3. Ef hinn skráði andmælir vinnslu í þágu beinnar markaðssetningar skal ekki vinna persónuupplýsingarnar frekar í slíkum tilgangi.

4. Í síðasta lagi þegar fyrst er haft samband við hinn skráða skal honum sérstaklega gerð grein fyrir réttinum, sem um getur í 1. og 2. mgr., og skal hann settur skýrt fram og aðgreindur frá öðrum upplýsingum.

5. Með skírskotun til notkunar á þjónustu í upplýsingasamfélaginu og þrátt fyrir tilskipun 2002/58/EB er hinum skráða heimilt að neyta andmælaréttar síns rafrænt með notkun tækniforskrifta.

6. Þegar persónuupplýsingar eru unnar í þágu rannsókna á sviði vísinda eða sagnfræði eða í tölfræðilegum tilgangi í samræmi við 1. mgr. 89. gr. skal hinn skráði eiga rétt á, vegna sérstakra aðstæðna sinna, að andmæla vinnslu persónuupplýsinga er varða hann sjálfan nema vinnslan sé nauðsynleg vegna verkefnis sem unnið er í þágu almannahagsmuna.

22. gr. Sjálfvirk einstaklingsmiðuð ákvarðanataka, þ.m.t. gerð persónusniðs

1. Skráður einstaklingur skal eiga rétt á því að ekki sé tekin ákvörðun eingöngu á grundvelli sjálfvirkrar gagnavinnslu, þ.m.t. gerðar persónusniðs, sem hefur réttaráhrif að því er hann sjálfan varðar eða snertir hann á sambærilegan hátt að verulegu leyti.

2. Ákvæði 1. mgr. gilda ekki ef ákvörðunin:
a) er forsenda þess að unnt sé að gera eða efna samning milli hins skráða og ábyrgðaraðila,
b) er heimiluð í lögum Sambandsins eða lögum aðildarríkis sem ábyrgðaraðili heyrir undir og þar sem einnig er kveðið á um viðeigandi ráðstafanir til að vernda réttindi og frelsi og lögmæta hagsmuni hins skráða eða
c) byggist á afdráttarlausu samþykki hins skráða.

3. Í þeim tilvikum, sem um getur í a- og c-lið 2. mgr., skal ábyrgðaraðili gagna gera viðeigandi ráðstafanir til að vernda réttindi og frelsi og lögmæta hagsmuni hins skráða, a.m.k. réttinn til mannlegrar íhlutunar af hálfu ábyrgðaraðilans, til að láta skoðun sína í ljós og til að vefengja ákvörðunina.

4. Ákvarðanir, sem um getur í 2. mgr., skulu ekki vera byggðar á sérstökum flokkum persónuupplýsinga, sem um getur í 1. mgr. 9. gr., nema a- eða g-liður 2. mgr. 9. gr. eigi við og fyrir hendi séu viðeigandi ráðstafanir til að vernda réttindi og frelsi og lögmæta hagsmuni hins skráða.

1. Í Sambandslögum eða lögum aðildarríkis, sem ábyrgðaraðili eða vinnsluaðili gagna heyrir undir, er heimilt að takmarka með löggjafarráðstöfun gildissvið þeirra skyldna og réttinda, sem um getur í 12.-22. gr. og í 34. gr., og einnig í 5. gr. að því marki sem ákvæði hennar samsvara réttindum og skyldum sem kveðið er á um í 12.-22. gr., ef slík takmörkun virðir eðli grundvallarréttinda og mannfrelsis og telst nauðsynleg og hófleg ráðstöfun í lýðræðisþjóðfélagi með hliðsjón af:
a) þjóðaröryggi,
b) landvörnum,
c) almannaöryggi,
d) því að koma í veg fyrir, rannsaka, koma upp um eða saksækja fyrir refsiverð brot eða fullnægja refsiviðurlögum, þ.m.t. að vernda gegn og koma í veg fyrir ógnir við almannaöryggi,
e) öðrum mikilvægum markmiðum sem þjóna almannahagsmunum Sambandsins eða aðildarríkis, einkum mikilvægum efnahagslegum eða fjárhagslegum hagsmunum Sambandsins eða aðildarríkis, þ.m.t. gjaldeyrismálum, fjárlögum og skattamálum, lýðheilsu og almannatryggingum,
f) því að verja sjálfstæði dómskerfisins og dómsmeðferð,
g) forvörnum, rannsóknum, uppljóstrunum og lögsóknum vegna brota á siðareglum lögverndaðra starfsgreina,
h) eftirlits-, skoðunar- eða reglusetningarstörfum sem tengjast, þótt aðeins sé það endrum og eins, beitingu opinbers valds í þeim tilvikum sem um getur í a- til e-lið og í g-lið,
i) vernd skráðs einstaklings eða réttindum og frelsi annarra,
j) því að einkaréttarlegum kröfum sé fullnægt.

2. Í löggjafarráðstöfun, sem um getur í 1. mgr., skulu einkum vera a.m.k. sértæk ákvæði, ef við á, er varða:
a) tilgang vinnslunnar eða tegundir vinnslu,
b) tegundir persónuupplýsinga,
c) gildissvið þeirra takmarkana sem settar eru,
d) verndarráðstafanir til að koma í veg fyrir misnotkun eða ólögmætan aðgang eða miðlun,
e) tilgreiningu ábyrgðaraðila eða flokka ábyrgðaraðila,
f) varðveislutímabil og viðeigandi verndarráðstafanir með tilliti til eðlis, umfangs og tilgangs með vinnslu eða tegunda vinnslu,
g) áhættu fyrir réttindi og frelsi skráðra einstaklinga og
h) rétt skráðra einstaklinga til að fá upplýsingar um takmörkunina nema það kunni að skaða tilgang hennar.

1. Með hliðsjón af eðli, umfangi, samhengi og tilgangi vinnslunnar og áhættu, mislíklegri og misalvarlegri, fyrir réttindi og frelsi einstaklinga skal ábyrgðaraðilinn gera viðeigandi tæknilegar og skipulagslegar ráðstafanir til að tryggja og sýna fram á að vinnslan fari fram í samræmi við þessa reglugerð. Ráðstafanirnar skal endurskoða og uppfæra ef nauðsyn ber til.

2. Þar sem það samrýmist meðalhófi í tengslum við vinnslustarfsemina skulu ráðstafanirnar, sem um getur í 1. mgr., m.a. fela í sér að ábyrgðaraðili innleiði viðeigandi persónuverndarstefnur.

3. Sé samþykktum hátternisreglum fylgt, eins og um getur í 40. gr., eða samþykktu vottunarfyrirkomulagi, eins og um getur í 42. gr., má nota það til að sýna fram á að ábyrgðaraðili uppfylli skuldbindingar sínar.

25. gr. Innbyggð og sjálfgefin persónuvernd

1. Með hliðsjón af nýjustu tækni, kostnaði við framkvæmd og eðli, umfangi, samhengi og tilgangi vinnslunnar og áhættu, mislíklegri og misalvarlegri, fyrir réttindi og frelsi einstaklinga skal ábyrgðaraðilinn, bæði þegar ákveðnar eru aðferðir við vinnsluna og þegar vinnslan sjálf fer fram, gera viðeigandi tæknilegar og skipulagslegar ráðstafanir, s.s. notkun gerviauðkenna, sem hannaðar eru til að framfylgja meginreglum um persónuvernd, s.s. lágmörkun gagna, með skilvirkum hætti og fella nauðsynlegar verndarráðstafanir inn í vinnsluna til að uppfylla kröfur þessarar reglugerðar og vernda réttindi skráðra einstaklinga.

2. Ábyrgðaraðilinn skal gera viðeigandi tæknilegar og skipulagslegar ráðstafanir til að tryggja að sjálfgefið sé að einungis þær persónuupplýsingar séu unnar sem nauðsynlegar eru vegna tilgangs vinnslunnar hverju sinni. Þessi skylda gildir um það hversu miklum persónuupplýsingum er safnað, að hvaða marki unnið er með þær, hversu lengi þær eru varðveittar og aðgang að þeim. Einkum skal tryggja með slíkum ráðstöfunum að það sé sjálfgefið að persónuupplýsingar verði ekki gerðar aðgengilegar ótakmörkuðum fjölda fólks án íhlutunar viðkomandi einstaklings.

3. Nota má samþykkt vottunarfyrirkomulag, skv. 42. gr., til að sýna fram á að kröfur 1. og 2. mgr. þessarar greinar séu uppfylltar.

26. gr. Sameiginlegir ábyrgðaraðilar

1. Ef tveir eða fleiri ábyrgðaraðilar ákveða sameiginlega tilgang vinnslunnar og aðferðir við hana skulu þeir teljast vera sameiginlegir ábyrgðaraðilar. Þeir skulu, á gagnsæjan hátt, ákveða ábyrgð hvers um sig á því að skuldbindingar samkvæmt þessari reglugerð séu uppfylltar, einkum hvað snertir beitingu réttinda hinna skráðu og skyldur hvers um sig til að láta í té upplýsingarnar sem um getur í 13. og 14. gr., með samkomulagi sín á milli nema og að því marki sem ábyrgð hvers ábyrgðaraðila um sig er ákveðin í lögum Sambandsins eða lögum aðildarríkis sem ábyrgðaraðilarnir heyra undir. Í samkomulaginu má tilnefna tengilið fyrir skráða einstaklinga.

2. Samkomulagið, sem um getur í 1. mgr., skal endurspegla með tilhlýðilegum hætti hlutverk og tengsl hvers hinna sameiginlegu ábyrgðaraðila gagnvart skráðum einstaklingum. Megininntak samkomulagsins skal gert aðgengilegt skráðum einstaklingi.

3. Óháð skilmálum samkomulagsins, sem um getur í 1. mgr., er skráðum einstaklingi heimilt að neyta réttar síns samkvæmt þessari reglugerð að því er varðar og gagnvart hverjum ábyrgðaraðila um sig.

27. gr. Fulltrúar ábyrgðaraðila eða vinnsluaðila sem ekki hafa staðfestu í Sambandinu

1. Þegar 2. mgr. 3. gr. á við skal ábyrgðaraðilinn eða vinnsluaðilinn tilnefna skriflega fulltrúa sinn innan Sambandsins.

2. Skyldan, sem mælt er fyrir um í 1. mgr., skal ekki eiga við um:
a) vinnslu sem fer fram endrum og eins, felur ekki í sér umfangsmikla meðferð sérstakra flokka upplýsinga, eins og um getur í 1. mgr. 9. gr., eða meðferð persónuupplýsinga í tengslum við sakfellingu í refsimálum og refsiverð brot, sem um getur í 10. gr., og sem ekki er líkleg til að leiða af sér áhættu að því er varðar réttindi og frelsi einstaklinga, að teknu tilliti til eðlis, samhengis, umfangs og tilgangs vinnslunnar eða
b) opinbert yfirvald eða stofnun.

3. Fulltrúinn skal hafa staðfestu í einu af aðildarríkjum þeirra skráðu einstaklinga sem persónuupplýsingar eru unnar um í tengslum við boð til þeirra á vörum eða þjónustu eða sem fylgst er með hegðun hjá.

4. Fulltrúinn skal hafa umboð ábyrgðaraðila eða vinnsluaðila til þess að vera sá aðili sem einkum og sér í lagi eftirlitsyfirvöld og skráðir einstaklingar geta snúið sér til, til viðbótar við eða í stað ábyrgðaraðilans eða vinnsluaðilans, með öll þau mál sem tengjast vinnslunni, í því skyni að tryggja að farið sé að þessari reglugerð.

5. Þó að ábyrgðaraðili eða vinnsluaðili tilnefni fulltrúa hefur það ekki áhrif á lögsóknir sem hefja mætti gegn ábyrgðaraðilanum eða vinnsluaðilanum sjálfum.

1. Þegar öðrum er falin vinnsla fyrir hönd ábyrgðaraðila skal ábyrgðaraðilinn einungis leita til vinnsluaðila sem veita nægilegar tryggingar fyrir því að þeir geri viðeigandi tæknilegar og skipulagslegar ráðstafanir til að vinnslan uppfylli kröfur þessarar reglugerðar og að vernd réttinda hins skráða sé tryggð.

2. Vinnsluaðili skal ekki ráða annan vinnsluaðila nema hafa til þess sértæka eða almenna skriflega heimild ábyrgðaraðila. Ef um er að ræða almenna skriflega heimild skal vinnsluaðilinn tilkynna ábyrgðaraðilanum um allar fyrirhugaðar breytingar sem fela í sér að bætt er við vinnsluaðilum eða þeim skipt út og gefa þannig ábyrgðaraðilanum tækifæri til að andmæla slíkum breytingum.

3. Vinnsla af hálfu vinnsluaðila skal falla undir samning eða aðra réttargerð samkvæmt lögum Sambandsins eða lögum aðildarríkis sem skuldbindur vinnsluaðila gagnvart ábyrgðaraðilanum og þar sem tilgreint er viðfangsefni og tímalengd vinnslunnar, eðli og tilgangur hennar, tegund persónuupplýsinga og flokkar skráðra einstaklinga og skyldur og réttindi ábyrgðaraðilans. Í samningi eða annarri réttargerð skal einkum mæla fyrir um að vinnsluaðili:
a) vinni einungis persónuupplýsingarnar samkvæmt skjalfestum fyrirmælum ábyrgðaraðila, þ.m.t. að því er varðar miðlun persónuupplýsinga til þriðja lands eða alþjóðastofnunar, nema honum sé það skylt samkvæmt lögum Sambandsins eða lögum aðildarríkis sem vinnsluaðilinn heyrir undir; í því tilviki skal vinnsluaðilinn upplýsa ábyrgðaraðila um það lagaskilyrði áður en vinnslan hefst nema lögin banni slíka upplýsingagjöf vegna mikilvægra almannahagsmuna,
b) tryggi að aðilar, sem hafa heimild til vinnslu persónuupplýsinga, hafi gengist undir trúnaðarskyldu eða heyri undir viðeigandi lögboðna trúnaðarskyldu,
c) geri allar ráðstafanir sem krafist er skv. 32. gr.,
d) virði skilyrði 2. og 4. mgr. varðandi ráðningu annars vinnsluaðila,
e) aðstoði, að teknu tilliti til eðlis vinnslunnar, ábyrgðaraðilann með viðeigandi tæknilegum og skipulagslegum ráðstöfunum, að því marki sem hægt er, við að uppfylla þá skyldu sína að svara beiðnum um að skráðir einstaklingar fái neytt réttar síns sem mælt er fyrir um í III. kafla,
f) aðstoði ábyrgðaraðila við að tryggja að skyldur skv. 32.-36. gr. séu uppfylltar, að teknu tilliti til eðlis vinnslunnar og upplýsinga sem vinnsluaðili hefur aðgang að,
g) eyði eða skili, að vali ábyrgðaraðila, öllum persónuupplýsingum til ábyrgðaraðilans eftir að veitingu þjónustunnar, sem tengist vinnslunni, lýkur og eyði öllum afritum nema þess sé krafist í lögum Sambandsins eða lögum aðildarríkis að persónuupplýsingar séu varðveittar,
h) geri ábyrgðaraðila aðgengilegar allar upplýsingar, sem nauðsynlegar eru til að sýna fram á að skuldbindingarnar, sem mælt er fyrir um í þessari grein, séu uppfylltar, gefi kost á úttektum, þ.m.t. eftirlitsskoðunum, sem ábyrgðaraðilinn eða annar úttektaraðili í umboði hans hafi með höndum, og leggi sitt af mörkum til þeirra.
Að því er varðar h-lið fyrstu undirgreinar skal vinnsluaðili þegar í stað láta ábyrgðaraðila vita ef fyrirmæli brjóta, að hans mati, í bága við þessa reglugerð eða önnur ákvæði Sambandsins eða aðildarríkis um persónuvernd.

4. Ráði vinnsluaðili annan vinnsluaðila til að inna af hendi tiltekna vinnslustarfsemi fyrir hönd ábyrgðaraðila leggjast sömu skyldur varðandi persónuvernd og settar eru fram í samningnum eða annarri réttargerð milli ábyrgðaraðila og vinnsluaðila, eins og um getur í 3. mgr., á þann vinnsluaðila með samningi eða annarri réttargerð samkvæmt lögum Sambandsins eða lögum aðildarríkis, þar sem einkum eru veittar nægar tryggingar fyrir því að gerðar séu viðeigandi tæknilegar og skipulagslegar ráðstafanir þannig að vinnslan uppfylli kröfur þessarar reglugerðar. Uppfylli þessi viðbótarvinnsluaðili ekki persónuverndarskyldur sínar skal upphaflegi vinnsluaðilinn áfram bera fulla ábyrgð gagnvart ábyrgðaraðila á því að hinn vinnsluaðilinn efni skuldbindingar sínar.

5. Fylgi vinnsluaðili samþykktum hátternisreglum, eins og um getur í 40. gr., eða samþykktu vottunarfyrirkomulagi, eins og um getur í 42. gr., má nota það til að sýna fram á nægilegar tryggingar eins og um getur í 1. og 4. mgr. þessarar greinar.

6. Án þess að það hafi áhrif á einstakan samning milli ábyrgðaraðila og vinnsluaðila getur samningurinn eða önnur réttargerð, sem um getur í 3. og 4. mgr. þessarar greinar, verið byggð, að öllu leyti eða að hluta til, á föstum samningsákvæðum sem um getur í 7. og 8. mgr. þessarar greinar, m.a. þegar þau eru hluti vottunar sem veitt er ábyrgðaraðila eða vinnsluaðila skv. 42. og 43. gr.

7. Framkvæmdastjórnin getur mælt fyrir um föst samningsákvæði um þau mál sem um getur í 3. og 4. mgr. þessarar greinar og í samræmi við rannsóknarmálsmeðferðina sem um getur í 2. mgr. 93. gr.

8. Eftirlitsyfirvald getur tekið upp föst samningsákvæði um þau mál sem um getur í 3. og 4. mgr. þessarar greinar og í samræmi við samræmingarkerfið sem um getur í 63. gr.

9. Samningurinn eða önnur réttargerð, sem um getur í 3. og 4. mgr., skal vera skrifleg, þ.m.t. á rafrænu formi.

10. Með fyrirvara um 82., 83. og 84. gr. skal vinnsluaðili, sem brýtur í bága við þessa reglugerð þegar hann ákveður tilgang og aðferðir við vinnsluna, teljast vera ábyrgðaraðili að því er varðar þá vinnslu.

29. gr. Vinnsla í umboði ábyrgðaraðila eða vinnsluaðila

Vinnsluaðili og sérhver aðili, sem starfar í umboði ábyrgðaraðila eða vinnsluaðila og hefur aðgang að persónuupplýsingum, skal því aðeins vinna þessar upplýsingar að fyrir liggi fyrirmæli ábyrgðaraðila nema honum sé það skylt samkvæmt lögum Sambandsins eða lögum aðildarríkis.

1. Sérhver ábyrgðaraðili og, eftir atvikum, fulltrúi ábyrgðaraðila skal halda skrá yfir vinnslustarfsemi sem fram fer á ábyrgð hans. Í skránni skulu allar eftirfarandi upplýsingar koma fram:
a) heiti og samskiptaupplýsingar ábyrgðaraðila og, eftir atvikum, sameiginlegs ábyrgðaraðila, fulltrúa ábyrgðaraðila og persónuverndarfulltrúa,
b) tilgangur vinnslunnar,
c) lýsing á flokkum skráðra einstaklinga og flokkum persónuupplýsinga,
d) flokkar viðtakenda sem fengið hafa eða munu fá persónuupplýsingarnar í hendur, m.a. viðtakenda í þriðju löndum eða alþjóðastofnanir,
e) ef við á, miðlun persónuupplýsinga til þriðja lands eða alþjóðastofnunar, þ.m.t. um hvaða þriðja land eða alþjóðastofnun er að ræða, og, ef um er að ræða miðlun sem um getur í annarri undirgrein 1. mgr. 49. gr., gögn um viðeigandi verndarráðstafanir,
f) ef mögulegt er, fyrirhuguð tímamörk varðandi eyðingu mismunandi gagnaflokka,
g) ef mögulegt er, almenn lýsing á þeim tæknilegu og skipulagslegu öryggisráðstöfunum sem um getur í 1. mgr. 32. gr.

2. Sérhver vinnsluaðili og, eftir atvikum, fulltrúi vinnsluaðila skal halda skrá yfir alla flokka vinnslustarfsemi sem framkvæmd er fyrir hönd ábyrgðaraðila, en í henni skulu koma fram:
a) heiti og samskiptaupplýsingar vinnsluaðila, eins eða fleiri, og sérhvers ábyrgðaraðila sem vinnsluaðilinn starfar í umboði fyrir og, eftir atvikum, fulltrúa ábyrgðaraðila eða vinnsluaðila og persónuverndarfulltrúa,
b) flokkar vinnslu sem fram fer fyrir hönd hvers ábyrgðaraðila,
c) ef við á, miðlun persónuupplýsinga til þriðja lands eða alþjóðastofnunar, þ.m.t. um hvaða þriðja land eða alþjóðastofnun er að ræða, og, ef um er að ræða miðlun sem um getur í annarri undirgrein 1. mgr. 49. gr., gögn um viðeigandi verndarráðstafanir,
d) ef mögulegt er, almenn lýsing á þeim tæknilegu og skipulagslegu öryggisráðstöfunum sem um getur í 1. mgr. 32. gr.

3. Skrárnar, sem um getur í 1. og 2. mgr., skulu vera skriflegar, þ.m.t. á rafrænu formi.

4. Ábyrgðaraðili eða vinnsluaðili og, eftir atvikum, fulltrúi ábyrgðaraðilans eða vinnsluaðilans skulu gera skrána aðgengilega eftirlitsyfirvaldinu að beiðni þess.

5. Skyldurnar, sem um getur í 1. og 2. mgr., skulu ekki eiga við um fyrirtæki eða stofnun sem hefur færri en 250 starfsmenn nema vinnslan, sem innt er þar af hendi, sé líkleg til að leiða af sér áhættu fyrir réttindi og frelsi skráðra einstaklinga, vinnslan sé ekki tilfallandi eða taki til sérstakra flokka upplýsinga, eins og um getur í 1. mgr. 9. gr., eða persónuupplýsinga er varða sakfellingar í refsimálum og refsiverð brot sem um getur í 10. gr.

31. gr. Samvinna við eftirlitsyfirvald

Ábyrgðaraðili og vinnsluaðili og, eftir atvikum, fulltrúar þeirra skulu, að fenginni beiðni, hafa samvinnu við eftirlitsyfirvaldið við framkvæmd verkefna þess.

2. þáttur Öryggi persónuupplýsinga

1. Með hliðsjón af nýjustu tækni, kostnaði við framkvæmd og eðli, umfangi, samhengi og tilgangi vinnslunnar og áhættu, mislíklegri og misalvarlegri, fyrir réttindi og frelsi einstaklinga skulu ábyrgðaraðili og vinnsluaðili gera viðeigandi tæknilegar og skipulagslegar ráðstafanir til að tryggja viðunandi öryggi miðað við áhættuna, m.a. eftir því sem við á:
a) nota gerviauðkenni og dulkóða persónuupplýsingar,
b) geta tryggt viðvarandi trúnað, samfellu, tiltækileika og álagsþol vinnslukerfa og -þjónustu,
c) geta gert persónuupplýsingar tiltækar og endurheimt aðgang að þeim tímanlega ef til efnislegs eða tæknilegs atviks kemur,
d) taka upp ferli til að prófa og meta reglulega skilvirkni tæknilegra og skipulagslegra ráðstafana til að tryggja öryggi vinnslunnar.

2. Þegar viðunandi öryggi er metið skal einkum hafa hliðsjón af þeirri áhættu sem vinnslan hefur í för með sér, einkum að því er varðar óviljandi eða ólögmæta eyðingu persónuupplýsinga, sem eru sendar, geymdar eða unnar á annan hátt, eða að þær glatist, breytist, verði birtar eða veittur aðgangur að þeim í leyfisleysi.

3. Sé samþykktum hátternisreglum fylgt, eins og um getur í 40. gr., eða samþykktu vottunarfyrirkomulagi, eins og um getur í 42. gr., má nota það til að sýna fram á að kröfur 1. mgr. þessarar greinar séu uppfylltar.

4. Ábyrgðaraðili og vinnsluaðili skulu gera ráðstafanir til að tryggja að sérhver einstaklingur, sem starfar í umboði ábyrgðaraðila eða vinnsluaðila og hefur aðgang að persónuupplýsingum, vinni þessar upplýsingar því aðeins að fyrir liggi fyrirmæli ábyrgðaraðila nema honum sé það skylt samkvæmt lögum Sambandsins eða lögum aðildarríkis.

33. gr. Tilkynning til eftirlitsyfirvalds um öryggisbrest við meðferð persónuupplýsinga

1. Ef um öryggisbrest við meðferð persónuupplýsinga er að ræða skal ábyrgðaraðili, án ótilhlýðilegrar tafar, og, ef mögulegt er, eigi síðar en 72 klst. eftir að hann verður brestsins var, tilkynna eftirlitsyfirvaldinu, sem er lögbært skv. 55. gr., um hann nema ólíklegt þyki að bresturinn leiði til áhættu fyrir réttindi og frelsi einstaklinga. Sé eftirlitsyfirvaldinu ekki tilkynnt um brestinn innan 72 klst. skulu ástæður fyrir töfinni fylgja tilkynningunni.

2. Vinnsluaðili skal tilkynna ábyrgðaraðila um það án ótilhlýðilegrar tafar ef hann verður var við öryggisbrest við meðferð persónuupplýsinga.

3. Í tilkynningunni, sem um getur í 1. mgr., skal a.m.k.:
a) lýsa eðli öryggisbrests við meðferð persónuupplýsinga, þ.m.t., ef hægt er, þeim flokkum og áætluðum fjölda skráðra einstaklinga sem hann varðar og flokkum og áætluðum fjölda skráa með persónuupplýsingum sem um er að ræða,
b) gefa upp nafn og samskiptaupplýsingar persónuverndarfulltrúa eða annars tengiliðar þar sem hægt er að fá frekari upplýsingar,
c) lýsa líklegum afleiðingum öryggisbrests við meðferð persónuupplýsinga,
d) lýsa þeim ráðstöfunum sem ábyrgðaraðili hefur gert eða fyrirhugar að gera vegna öryggisbrests við meðferð persónuupplýsinga, þ.m.t., eftir því sem við á, ráðstöfunum til að milda hugsanleg skaðleg áhrif hans.

4. Ef, og að því marki sem, ekki er mögulegt að láta upplýsingarnar í té á sama tíma er heimilt að veita þær í áföngum án ástæðulausrar frekari tafar.

5. Ábyrgðaraðili skal skrá niður hvers kyns öryggisbresti við meðferð persónuupplýsinga og tilgreina málsatvik í tengslum við viðkomandi brest, áhrif hans og aðgerðir til úrbóta sem gripið var til. Þessi skráning skal gera eftirlitsyfirvaldinu kleift að sannreyna að farið sé að ákvæðum þessarar greinar.

34. gr. Skráðum einstaklingi gert viðvart um öryggisbrest við meðferð persónuupplýsinga

1. Ef líklegt er að öryggisbrestur við meðferð persónuupplýsinga leiði af sér mikla áhættu fyrir réttindi og frelsi einstaklinga skal ábyrgðaraðili tilkynna skráðum einstaklingi um brestinn án ótilhlýðilegrar tafar.

2. Í tilkynningunni til hins skráða, sem um getur í 1. mgr. þessarar greinar, skal lýsa á skýru og einföldu máli eðli öryggisbrests við meðferð persónuupplýsinga og skal hún a.m.k. innihalda þær upplýsingar og ráðstafanir sem um getur í b-, c- og d-lið 3. mgr. 33. gr.

3. Þess skal ekki krafist að skráðum einstaklingi sé gert viðvart ef eitthvert eftirtalinna skilyrða er uppfyllt:
a) ábyrgðaraðilinn hefur gert viðeigandi tæknilegar og skipulagslegar verndarráðstafanir og þessar ráðstafanir voru gerðar varðandi þær persónuupplýsingar sem öryggisbrestur við meðferð persónuupplýsinga hafði áhrif á, einkum ráðstafanir til að gera persónuupplýsingar ólæsilegar hverjum þeim sem ekki hefur aðgangsheimild að þeim, s.s. með dulkóðun,
b) ábyrgðaraðilinn hefur gert ráðstafanir í kjölfarið sem tryggja að ólíklegt sé að aftur komi til jafnmikillar áhættu fyrir réttindi og frelsi skráðra einstaklinga og um getur í 1. mgr.,
c) það myndi hafa í för með sér óhóflega fyrirhöfn. Í því tilviki skal í staðinn birta almenna tilkynningu eða grípa til svipaðrar ráðstöfunar þar sem hinum skráðu er gert viðvart með jafnáhrifaríkum hætti.

4. Hafi ábyrgðaraðili ekki þegar látið hinn skráða vita af öryggisbresti við meðferð persónuupplýsinga getur eftirlitsyfirvaldið, eftir að hafa metið líkur á því að bresturinn leiði af sér mikla áhættu, annaðhvort krafist þess að hann geri það eða ákveðið að einhver þeirra skilyrða, sem um getur í 3. mgr., séu uppfyllt.

3. þáttur Mat á áhrifum á persónuvernd og fyrirframsamráð

1. Ef líklegt er að tiltekin tegund vinnslu geti haft í för með sér mikla áhættu fyrir réttindi og frelsi einstaklinga, einkum þar sem beitt er nýrri tækni og með hliðsjón af eðli, umfangi, samhengi og tilgangi vinnslunnar, skal ábyrgðaraðilinn láta fara fram mat á áhrifum fyrirhugaðra vinnsluaðgerða á vernd persónuupplýsinga áður en vinnslan hefst. Eitt og sama mat getur tekið til nokkurra svipaðra vinnsluaðgerða sem geta haft í för með sér svipaða áhættuþætti.

2. Ábyrgðaraðilinn skal leita ráða hjá persónuverndarfulltrúa, hafi slíkur fulltrúi verið tilnefndur, þegar hann framkvæmir mat á áhrifum á persónuvernd.

3. Þess skal einkum krafist að fram fari mat á áhrifum á persónuvernd, sem um getur í 1. mgr., þegar um er að ræða:
a) kerfisbundið og umfangsmikið mat á persónulegum þáttum, sem tengjast einstaklingum, sem byggist á sjálfvirkri vinnslu, þ.m.t. gerð persónusniðs, og sem leiðir til töku ákvarðana sem hafa réttaráhrif fyrir einstaklinginn eða snerta hann verulega með svipuðum hætti,
b) umfangsmikla vinnslu sérstakra flokka upplýsinga sem um getur í 1. mgr. 9. gr. eða persónuupplýsinga er varða sakfellingar í refsimálum og refsiverð brot sem um getur í 10. gr. eða
c) kerfisbundið og umfangsmikið eftirlit með svæði sem er aðgengilegt almenningi.

4. Eftirlitsyfirvaldið skal koma á fót og birta skrá yfir þær tegundir vinnsluaðgerða þar sem krafist er mats á áhrifum á persónuvernd skv. 1. mgr. Eftirlitsyfirvaldið skal senda persónuverndarráðinu, sem um getur í 68. gr., þessar skrár.

5. Eftirlitsyfirvaldinu er einnig heimilt að koma á fót og birta skrá yfir þær tegundir vinnsluaðgerða þar sem ekki er krafist mats á áhrifum á persónuvernd. Eftirlitsyfirvaldið skal senda persónuverndarráðinu þessar skrár.

6. Ef í skránum, sem um getur í 4. og 5. mgr., er greint frá vinnslustarfsemi, sem tengist því að bjóða skráðum einstaklingum vörur eða þjónustu eða hafa eftirlit með hegðun þeirra í fleiri en einu aðildarríki eða sem gæti haft veruleg áhrif á frjálsa miðlun persónuupplýsinga innan Sambandsins, skal lögbært eftirlitsyfirvald beita samræmingarkerfinu, sem um getur í 63. gr., áður en þessar skrár eru samþykktar.

7. Þegar þessar upplýsingar eru birtar skal a.m.k. eftirfarandi koma fram:
a) kerfisbundin lýsing á fyrirhuguðum vinnsluaðgerðum og tilganginum með vinnslunni, þ.m.t., eftir atvikum, lögmætum hagsmunum ábyrgðaraðilans,
b) mat á því hvort vinnsluaðgerðirnar eru nauðsynlegar og hóflegar miðað við tilganginn með þeim,
c) mat á áhættu fyrir réttindi og frelsi skráðra einstaklinga sem um getur í 1. mgr. og
d) ráðstafanir sem fyrirhugað er að grípa til gegn slíkri áhættu, þ.m.t. verndarráðstafanir, öryggisráðstafanir og fyrirkomulag við að tryggja vernd persónuupplýsinga og sýna fram á að farið sé að þessari reglugerð, að teknu tilliti til réttinda og lögmætra hagsmuna skráðra einstaklinga og annarra einstaklinga sem í hlut eiga.

8. Taka skal tilhlýðilegt tillit til þess hvort hlutaðeigandi ábyrgðaraðilar eða vinnsluaðilar fylgja samþykktum hátternisreglum, sem um getur í 40. gr., þegar áhrif vinnsluaðgerða téðra ábyrgðaraðila eða vinnsluaðila eru metin, einkum að því er varðar mat á áhrifum á persónuvernd.

9. Þegar við á skal ábyrgðaraðili leita álits skráðra einstaklinga eða fulltrúa þeirra á fyrirhugaðri vinnslu, án þess að það hafi áhrif á vernd viðskiptahagsmuna eða almannahagsmuna eða öryggi vinnsluaðgerða.

10. Ef vinnsla skv. c- eða e-lið 1. mgr. 6. gr. á sér lagagrundvöll í lögum Sambandsins eða lögum aðildarríkis, sem ábyrgðaraðili heyrir undir, og þau lög gilda um þá tilteknu vinnsluaðgerð eða -aðgerðir sem um er að ræða og mat á áhrifum á persónuvernd hefur þegar farið fram, sem hluti af almennu áhrifamati í tengslum við samþykkt þess lagagrundvallar, gilda 1.-7. mgr. ekki nema aðildarríkin telji nauðsynlegt að láta slíkt mat fara fram áður en vinnslustarfsemin hefst.

11. Ef nauðsyn krefur skal ábyrgðaraðilinn láta fara fram endurskoðun til að meta hvort vinnslan fari fram í samræmi við matið á áhrifum á persónuvernd, a.m.k. þegar breyting verður á þeirri áhættu sem fylgir vinnsluaðgerðunum.

1. Ef mat á áhrifum á persónuvernd skv. 35. gr. gefur til kynna að vinnslan myndi hafa mikla áhættu í för með sér, nema ábyrgðaraðilinn grípi til ráðstafana til að draga úr henni, skal ábyrgðaraðilinn hafa samráð við eftirlitsyfirvaldið áður en vinnsla hefst.

2. Telji eftirlitsyfirvaldið að fyrirhuguð vinnsla, sem um getur í 1. mgr., myndi brjóta í bága við þessa reglugerð, einkum ef ábyrgðaraðili hefur ekki greint eða dregið úr áhættunni með fullnægjandi hætti, skal eftirlitsyfirvaldið, innan átta vikna frá að því berst beiðni um samráð, veita ábyrgðaraðila og, eftir atvikum, vinnsluaðila skriflega ráðgjöf og getur notað til þess allar þær valdheimildir sínar sem um getur í 58. gr. Lengja má frestinn um sex vikur með hliðsjón af því hversu flókin fyrirhuguð vinnsla er. Eftirlitsyfirvaldið skal tilkynna ábyrgðaraðila og, eftir atvikum, vinnsluaðila um slíkar framlengingar innan mánaðar frá viðtöku beiðni um samráð, ásamt ástæðunum fyrir töfinni. Þessa fresti má framlengja þar til eftirlitsyfirvaldið hefur fengið þær upplýsingar sem það óskar eftir vegna samráðsins.

3. Þegar ábyrgðaraðili hefur samráð við eftirlitsyfirvaldið skv. 1. mgr. skal hann gefa því upp:
a) eftir atvikum, ábyrgðarsvið ábyrgðaraðila, sameiginlegra ábyrgðaraðila og vinnsluaðila, sem koma að vinnslunni, hvers um sig, einkum þegar um er að ræða vinnslu innan fyrirtækjasamstæðu,
b) tilgang fyrirhugaðrar vinnslu og aðferðir við hana,
c) ráðstafanir og verndarráðstafanir sem gerðar eru til að vernda réttindi og frelsi skráðra einstaklinga samkvæmt þessari reglugerð,
d) ef við á, samskiptaupplýsingar persónuverndarfulltrúa,
e) mat á áhrifum á persónuvernd sem kveðið er á um í 35. gr. og
f) hverjar þær upplýsingar aðrar sem eftirlitsyfirvaldið fer fram á.

4. Aðildarríkin skulu hafa samráð við eftirlitsyfirvaldið við undirbúning tillögu að löggjafarráðstöfun, sem tengist vinnslu og þjóðþing skal samþykkja, eða stjórnvaldsráðstöfun sem byggir á slíkri löggjafarráðstöfun.

5. Þrátt fyrir 1. mgr. má krefjast þess í lögum aðildarríkis að ábyrgðaraðilar hafi samráð við og fái fyrirframleyfi eftirlitsyfirvalds í tengslum við vinnslu ábyrgðaraðila sem annast framkvæmd verkefnis í þágu almannahagsmuna, þ.m.t. vinnslu sem tengist félagslegri vernd og lýðheilsu.

37. gr. Tilnefning persónuverndarfulltrúa

1. Ábyrgðaraðili og vinnsluaðili skulu tilnefna persónuverndarfulltrúa í sérhverju tilviki þar sem:
a) vinnsla er í höndum opinbers yfirvalds eða stofnunar, að undanskildum dómstólum þegar þeir fara með dómsvald sitt,
b) meginstarfsemi ábyrgðaraðila eða vinnsluaðila felst í vinnsluaðgerðum sem krefjast, sakir eðlis síns, umfangs og/eða tilgangs, umfangsmikils, reglubundins og kerfisbundins eftirlits með skráðum einstaklingum eða
c) meginstarfsemi ábyrgðaraðila eða vinnsluaðila felst í umfangsmikilli vinnslu sérstakra flokka upplýsinga skv. 9. gr. eða persónuupplýsinga er varða sakfellingar í refsimálum og refsiverð brot sem um getur í 10. gr.

2. Fyrirtækjasamstæðu er heimilt að skipa einn persónuverndarfulltrúa að því tilskildu að sérhver starfsstöð hafi greiðan aðgang að honum.

3. Ef ábyrgðaraðili eða vinnsluaðili er opinbert yfirvald eða stofnun er heimilt að tilnefna einn persónuverndarfulltrúa fyrir fleiri en eitt slíkt yfirvald eða stofnun, að teknu tilliti til stjórnskipulags þeirra og stærðar.

4. Í öðrum tilvikum en þeim sem um getur í 1. mgr. er ábyrgðaraðila eða vinnsluaðila eða samtökum og öðrum aðilum, sem eru fulltrúar flokka ábyrgðaraðila eða vinnsluaðila, heimilt eða jafnvel skylt, sé þess krafist í lögum Sambandsins eða lögum aðildarríkis, að tilnefna persónuverndarfulltrúa. Persónuverndarfulltrúinn getur komið fram fyrir hönd slíkra samtaka og annarra aðila sem eru fulltrúar ábyrgðaraðila eða vinnsluaðila.

5. Persónuverndarfulltrúinn skal tilnefndur á grundvelli faglegrar hæfni sinnar og einkum sérþekkingar á lögum og lagaframkvæmd á sviði persónuverndar og getu sinnar til að vinna þau verkefni sem um getur í 39. gr.

6. Persónuverndarfulltrúinn getur verið starfsmaður ábyrgðaraðila eða vinnsluaðila eða sinnt verkefnum á grundvelli þjónustusamnings.

7. Ábyrgðaraðili eða vinnsluaðili skal birta samskiptaupplýsingar persónuverndarfulltrúans og senda eftirlitsyfirvaldinu þær.

38. gr. Staða persónuverndarfulltrúa

1. Ábyrgðaraðili og vinnsluaðili skulu tryggja að persónuverndarfulltrúi komi, með viðeigandi hætti og tímanlega, að öllum málum sem tengjast vernd persónuupplýsinga.

2. Ábyrgðaraðili og vinnsluaðili skulu styðja persónuverndarfulltrúann við framkvæmd þeirra verkefna sem um getur í 39. gr. með því að láta honum í té nauðsynleg úrræði til að inna þau af hendi, auk aðgangs að persónuupplýsingum og vinnsluaðgerðum, og gera honum kleift að viðhalda sérþekkingu sinni.

3. Ábyrgðaraðili og vinnsluaðili skulu tryggja að persónuverndarfulltrúi fái engin fyrirmæli varðandi framkvæmd þessara verkefna. Ábyrgðaraðili eða vinnsluaðili skal hvorki víkja honum úr starfi né refsa honum fyrir framkvæmd verkefna sinna. Persónuverndarfulltrúi skal heyra beint undir æðsta stjórnunarstig hjá ábyrgðaraðila eða vinnsluaðila.

4. Skráðir einstaklingar geta haft samband við persónuverndarfulltrúann með öll mál sem tengjast vinnslu á persónuupplýsingum þeirra og því hvernig þeir geta neytt réttar síns samkvæmt þessari reglugerð.

5. Persónuverndarfulltrúi skal bundinn þagnarskyldu eða trúnaði um framkvæmd verkefna sinna í samræmi við lög Sambandsins eða lög aðildarríkis.

6. Persónuverndarfulltrúi má sinna öðrum verkefnum og skyldustörfum. Ábyrgðaraðili eða vinnsluaðili skal tryggja að slík verkefni og skyldustörf leiði ekki til hagsmunaárekstra.

39. gr. Verkefni persónuverndarfulltrúa

1. Persónuverndarfulltrúi skal sinna a.m.k. eftirfarandi verkefnum:
a) upplýsa ábyrgðaraðila eða vinnsluaðila og starfsmenn, sem annast vinnslu, um skyldur sínar samkvæmt þessari reglugerð og öðrum ákvæðum Sambandsins eða aðildarríkis um persónuvernd og veita þeim ráðgjöf þar að lútandi,
b) fylgjast með því að farið sé að ákvæðum þessarar reglugerðar, öðrum ákvæðum Sambandsins eða aðildarríkis um persónuvernd og stefnum ábyrgðaraðila eða vinnsluaðila varðandi vernd persónuupplýsinga, þ.m.t. úthlutun ábyrgðar, vitundarvakning og þjálfun starfsfólks sem tekur þátt í vinnslustarfsemi og tilheyrandi úttektir,
c) veita ráðgjöf, sé farið fram á það, varðandi mat á áhrifum á persónuvernd og fylgjast með framkvæmd þess skv. 35. gr.,
d) vinna með eftirlitsyfirvaldinu,
e) vera tengiliður fyrir eftirlitsyfirvaldið varðandi mál sem tengjast vinnslu, þ.m.t. fyrirframsamráðið sem um getur í 36. gr., og leita ráða, eftir því sem við á, varðandi önnur málefni.

2. Persónuverndarfulltrúi skal við framkvæmd verkefna sinna taka tilhlýðilegt tillit til þeirrar áhættu sem fylgir vinnslustarfseminni, með hliðsjón af eðli, umfangi, samhengi og tilgangi vinnslunnar.

5. þáttur Hátternisreglur og vottun

1. Aðildarríkin, eftirlitsyfirvöld, persónuverndarráðið og framkvæmdastjórnin skulu hvetja til þess að samdar verði hátternisreglur, sem eiga að stuðla að réttri beitingu þessarar reglugerðar, með tilliti til sérkenna hinna ýmsu vinnslusviða og sérstakra þarfa örfyrirtækja, lítilla og meðalstórra fyrirtækja.

2. Samtökum og öðrum aðilum, sem eru fulltrúar flokka ábyrgðaraðila eða vinnsluaðila, er heimilt að semja hátternisreglur, eða breyta slíkum reglum eða rýmka þær, í því skyni að kveða nánar á um beitingu þessarar reglugerðar, t.d. að því er varðar:
a) sanngjarna og gagnsæja vinnslu,
b) lögmæta hagsmuni ábyrgðaraðila í tilteknu samhengi,
c) söfnun persónuupplýsinga,
d) notkun gerviauðkenna við vinnslu persónuupplýsinga,
e) upplýsingar sem veittar eru almenningi og skráðum einstaklingum,
f) það að skráðir einstaklingar geti neytt réttar síns,
g) upplýsingar sem veittar eru börnum og þeim til verndar og það hvernig afla beri samþykkis forsjáraðila,
h) þær ráðstafanir og aðferðir sem um getur í 24. og 25. gr. og ráðstafanir til að tryggja öryggi vinnslu sem um getur í 32. gr.,
i) tilkynningar til eftirlitsyfirvalda um öryggisbresti við meðferð persónuupplýsinga og það að skráðum einstaklingum sé gert viðvart um slíka bresti,
j) miðlun persónuupplýsinga til þriðju landa eða alþjóðastofnana eða
k) málsmeðferð utan dómstóla og aðra málsmeðferð við lausn deilumála til að leysa deilur er varða vinnslu milli ábyrgðaraðila og skráðra einstaklinga, sbr. þó réttindi hinna skráðu skv. 77. og 79. gr.

3. Auk þess að ábyrgðaraðilar eða vinnsluaðilar, sem heyra undir þessa reglugerð, beiti hátternisreglum, sem samþykktar eru skv. 5. mgr. þessarar greinar og hafa almennt gildi skv. 9. mgr. þessarar greinar, geta ábyrgðaraðilar eða vinnsluaðilar, sem ekki heyra undir þessa reglugerð skv. 3. gr., einnig gert það til að tryggja að viðeigandi verndarráðstafanir séu fyrir hendi innan ramma miðlunar persónuupplýsinga til þriðju landa eða alþjóðastofnana samkvæmt þeim skilmálum sem um getur í e-lið 2. mgr. 46. gr. Slíkir ábyrgðaraðilar eða vinnsluaðilar skulu skuldbinda sig, með bindandi og framfylgjanlegum hætti, til að beita þessum viðeigandi verndarráðstöfunum, m.a. að því er varðar réttindi skráðra einstaklinga, með samningi eða öðrum lagalega bindandi gerningum.

4. Hátternisreglur, sem um getur í 2. mgr. þessarar greinar, skulu fela í sér fyrirkomulag sem gerir aðilanum, sem um getur í 1. mgr. 41. gr., kleift að annast skyldubundið eftirlit með því að ábyrgðaraðilar eða vinnsluaðilar, sem skuldbinda sig til að beita þeim, fylgi ákvæðum þeirra, án þess þó að það hafi áhrif á verkefni og valdheimildir eftirlitsyfirvalda sem lögbær eru skv. 55. eða 56. gr.

5. Samtök og aðrir aðilar, sem um getur í 2. mgr. þessarar greinar, sem hafa í hyggju að semja hátternisreglur eða breyta reglum eða rýmka reglur sem fyrir eru, skulu leggja drög að reglum, breytingu eða rýmkun fyrir það eftirlitsyfirvald sem lögbært er skv. 55. gr. Eftirlitsyfirvaldið skal gefa álit sitt á því hvort drögin að hátternisreglum, breytingin eða rýmkunin samrýmist þessari reglugerð og samþykkja drögin, breytinguna eða rýmkunina ef það telur að með þeim séu tryggðar nægilegar og viðeigandi verndarráðstafanir.

6. Ef drögin að hátternisreglum, breytingin eða rýmkunin er samþykkt í samræmi við 5. mgr. og ef viðkomandi hátternisreglur varða ekki vinnslustarfsemi í fleiri en einu aðildarríki skal eftirlitsyfirvaldið skrá reglurnar og birta þær.

7. Varði drögin að hátternisreglum vinnslustarfsemi í fleiri en einu aðildarríki skal eftirlitsyfirvaldið, sem lögbært er skv. 55. gr., áður en það samþykkir drögin, breytinguna eða rýmkunina, leggja þau fyrir persónuverndarráðið samkvæmt þeirri málsmeðferð sem um getur í 63. gr. og skal ráðið gefa álit sitt á því hvort drögin að reglunum, breytingin eða rýmkunin samrýmist þessari reglugerð eða, í þeim aðstæðum sem um getur í 3. mgr. þessarar greinar, tryggi viðeigandi verndarráðstafanir.

8. Staðfesti álitið, sem um getur í 7. mgr., að drögin að hátternisreglum, breytingin eða rýmkunin samrýmist þessari reglugerð eða, í þeim aðstæðum sem um getur í 3. mgr., tryggi viðeigandi verndarráðstafanir, skal persónuverndarráðið leggja álit sitt fyrir framkvæmdastjórnina.

9. Framkvæmdastjórninni er heimilt að ákveða, með framkvæmdargerðum, að hátternisreglurnar, breytingin eða rýmkunin, sem hlotið hafa samþykki og hún fær til umfjöllunar skv. 8. mgr. þessarar greinar, hafi almennt gildi innan Sambandsins. Þessar framkvæmdargerðir skulu samþykktar í samræmi við rannsóknarmálsmeðferðina sem um getur í 2. mgr. 93. gr.

10. Framkvæmdastjórnin skal sjá til þess að samþykktar reglur, sem ákveðið hefur verið að hafi almennt gildi í samræmi við 9. mgr., fái viðeigandi kynningu.

11. Persónuverndarráðið skal safna saman öllum samþykktum hátternisreglum, breytingum og rýmkunum í skrá og gera þær aðgengilegar almenningi með viðeigandi hætti.

41. gr. Eftirlit með samþykktum hátternisreglum

1. Með fyrirvara um verkefni og valdheimildir lögbærs eftirlitsyfirvalds skv. 57. og 58. gr. má eftirlit með því að hátternisreglum skv. 40. gr. sé fylgt vera í höndum aðila sem ræður yfir viðeigandi sérþekkingu á viðfangsefni reglnanna og hefur fengið faggildingu í þeim tilgangi frá lögbæru eftirlitsyfirvaldi.

2. Aðili skv. 1. mgr. getur fengið faggildingu til að hafa eftirlit með því að hátternisreglum sé fylgt ef hann hefur:
a) sýnt fram á sjálfstæði sitt og sérþekkingu á viðfangsefni reglnanna með hætti sem lögbæru eftirlitsyfirvaldi þykir fullnægjandi,
b) komið á verklagi sem gerir honum kleift að meta hæfi hlutaðeigandi ábyrgðaraðila og vinnsluaðila til að beita hátternisreglunum, hafa eftirlit með því að þeir fari að ákvæðum þeirra og endurskoða starfsemi þeirra með reglubundnum hætti,
c) komið á verklagi og kerfum til að annast meðferð kvartana um brot á reglunum eða á því hvernig ábyrgðaraðili eða vinnsluaðili framkvæmir, eða hefur framkvæmt, reglurnar og til að gera þetta verklag og þessi kerfi gagnsæ fyrir skráða einstaklinga og almenning og
d) sýnt fram á, með fullnægjandi hætti að mati lögbærs eftirlitsyfirvalds, að verkefni hans og skyldustörf leiði ekki til hagsmunaáreksturs.

3. Lögbæra eftirlitsyfirvaldið skal leggja fyrir persónuverndarráðið drög að kröfum varðandi faggildingu aðila, eins og um getur í 1. mgr. þessarar greinar, samkvæmt samræmingarkerfinu sem um getur í 63. gr.

4. Með fyrirvara um verkefni og valdheimildir lögbæra eftirlitsyfirvaldsins og ákvæði VIII. kafla skal aðili, eins og um getur í 1. mgr. þessarar greinar, með fyrirvara um viðeigandi verndarráðstafanir, grípa til viðeigandi aðgerða ef ábyrgðaraðili eða vinnsluaðili brýtur gegn reglunum, þ.m.t. tímabundinnar eða varanlegrar útilokunar ábyrgðaraðilans eða vinnsluaðilans frá reglunum. Hann skal tilkynna lögbæru eftirlitsyfirvaldi um slíkar aðgerðir og ástæðurnar fyrir þeim.

5. Lögbæra eftirlitsyfirvaldið skal afturkalla faggildingu aðila, eins og um getur í 1. mgr., ef kröfurnar varðandi faggildingu eru ekki, eða eru ekki lengur, uppfylltar eða ef aðgerðir aðilans brjóta í bága við þessa reglugerð.

6. Þessi grein gildir ekki um vinnslu af hálfu opinberra yfirvalda og stofnana.

1. Aðildarríkin, eftirlitsyfirvöldin, persónuverndarráðið og framkvæmdastjórnin skulu hvetja til þess, einkum á vettvangi Sambandsins, að komið verði á fót vottunarfyrirkomulagi vegna persónuverndar ásamt persónuverndarinnsiglum og -merkjum til að sýna fram á að vinnsla ábyrgðaraðila og vinnsluaðila uppfylli ákvæði þessarar reglugerðar. Taka skal tillit til sérstakra þarfa örfyrirtækja, lítilla og meðalstórra fyrirtækja.

2. Auk þess að ábyrgðaraðilar eða vinnsluaðilar, sem heyra undir þessa reglugerð, komi á fót vottunarfyrirkomulagi vegna persónuverndar ásamt persónuverndarinnsiglum eða -merkjum skv. 5. mgr. þessarar greinar geta ábyrgðaraðilar og vinnsluaðilar, sem heyra ekki undir þessa reglugerð skv. 3. gr., komið slíku á til að sýna fram á að fyrir hendi séu viðeigandi verndarráðstafanir innan ramma miðlunar persónuupplýsinga til þriðju landa eða alþjóðastofnana samkvæmt þeim skilmálum sem um getur í e-lið 2. mgr. 46. gr. Slíkir ábyrgðaraðilar eða vinnsluaðilar skulu skuldbinda sig, með bindandi og framfylgjanlegum hætti, til að beita þessum viðeigandi verndarráðstöfunum, m.a. að því er varðar réttindi skráðra einstaklinga, með samningi eða öðrum lagalega bindandi gerningum.

3. Vottunin skal vera valfrjáls og aðgengileg í gagnsæju ferli.

4. Vottun samkvæmt þessari grein dregur ekki úr þeirri skyldu ábyrgðaraðila eða vinnsluaðila að fara að ákvæðum þessarar reglugerðar og hún hefur ekki áhrif á verkefni og valdheimildir eftirlitsyfirvalda sem eru lögbær skv. 55. eða 56. gr.

5. Vottunaraðilarnir, sem um getur í 43. gr., eða lögbært eftirlitsyfirvald skulu gefa út vottun samkvæmt þessari grein, á grundvelli viðmiðana sem lögbæra eftirlitsyfirvaldið samþykkir skv. 3. mgr. 58. gr. eða persónuverndarráðið skv. 63. gr. Samþykki persónuverndarráðið viðmiðanirnar getur það leitt til almennrar vottunar, Evrópska persónuverndarmerkisins.

6. Ábyrgðaraðili eða vinnsluaðili, sem óskar eftir vottun á vinnslu sinni samkvæmt vottunarkerfinu, skal láta vottunaraðilanum, sem um getur í 43. gr., eða, þar sem við á, lögbæra eftirlitsyfirvaldinu í té allar upplýsingar sem nauðsynlegar eru og þann aðgang að vinnslustarfsemi sinni sem nauðsynlegur er til að leiða vottunarferlið til lykta.

7. Vottunin skal gefin út til handa ábyrgðaraðila eða vinnsluaðila til þriggja ára að hámarki og hana má endurnýja, með sömu skilyrðum, að því tilskildu að viðeigandi viðmiðanir séu áfram uppfylltar. Séu viðmiðanirnar um vottunina ekki, eða ekki lengur, uppfylltar skulu vottunaraðilarnir, sem um getur í 43. gr., eða lögbæra eftirlitsyfirvaldið, eftir því sem við á, afturkalla vottunina.

8. Persónuverndarráðið skal safna öllu vottunarfyrirkomulagi og persónuverndarinnsiglum og -merkjum saman í skrá og gera aðgengilegt almenningi með viðeigandi hætti.

1. Með fyrirvara um verkefni og valdheimildir lögbæra eftirlitsyfirvaldsins skv. 57. og 58. gr. skulu vottunaraðilar með viðeigandi sérþekkingu á persónuvernd annast, ef nauðsyn krefur, útgáfu og endurnýjun vottunar, eftir að hafa tilkynnt það eftirlitsyfirvaldinu til að gera því kleift að beita valdheimildum sínum skv. h-lið 2. mgr. 58. gr. Aðildarríkin skulu tryggja að þessir vottunaraðilar séu faggiltir af öðrum eða báðum eftirtalinna aðila:
a) eftirlitsyfirvaldinu sem lögbært er skv. 55. eða 56. gr.,
b) faggildingarstofu í aðildarríki sem tilgreind er í samræmi við reglugerð Evrópuþingsins og ráðsins (EB) nr. 765/2008 ( Reglugerð Evrópuþingsins og ráðsins (EB) nr. 765/2008 frá 9. júlí 2008 um kröfur varðandi faggildingu og markaðseftirlit í tengslum við markaðssetningu á vörum og um niðurfellingu reglugerðar (EBE) nr. 339/93 (Stjtíð. ESB L 218, 13.8.2008, bls. 30).) í samræmi við Evrópustaðal EN-ISO/IEC 17065/2012 og viðbótarkröfur sem settar eru af eftirlitsyfirvaldinu sem lögbært er skv. 55. eða 56. gr.

2. Vottunaraðilar, sem um getur í 1. mgr., skulu aðeins hljóta faggildingu í samræmi við þá málsgrein ef þeir hafa:
a) sýnt fram á sjálfstæði sitt og sérþekkingu á viðfangsefni vottunarinnar með hætti sem lögbæru eftirlitsyfirvaldi þykir fullnægjandi,
b) skuldbundið sig til að virða viðmiðanirnar sem um getur í 5. mgr. 42. gr. og samþykktar eru af eftirlitsyfirvaldinu sem er lögbært skv. 55. eða 56. gr. eða af persónuverndarráðinu skv. 63. gr.,
c) komið á verklagi hvað varðar útgáfu, reglubundna endurskoðun og afturköllun persónuverndarvottunar, persónuverndarinnsigla eða -merkja,
d) komið á fót verklagi og kerfum til að annast meðferð kvartana um brot gegn ákvæðum vottunarinnar eða á því hvernig ábyrgðaraðili eða vinnsluaðili framkvæmir eða hefur framkvæmt vottunina og til að gera þetta verklag og þessi kerfi gagnsæ fyrir skráða einstaklinga og almenning og
e) sýnt fram á, með hætti sem lögbæru eftirlitsyfirvaldi þykir fullnægjandi, að verkefni þeirra og skyldustörf leiði ekki til hagsmunaáreksturs.

3. Faggilding vottunaraðila, eins og um getur í 1. og 2. mgr. þessarar greinar, skal fara fram á grundvelli krafna sem samþykktar eru af eftirlitsyfirvaldinu sem er lögbært skv. 55. eða 56. gr. eða persónuverndarráðinu skv. 63. gr. Ef um er að ræða faggildingu skv. b-lið 1. mgr. þessarar greinar skulu þessar kröfur koma til viðbótar þeim sem gert er ráð fyrir í reglugerð (EB) nr. 765/2008 og tæknireglunum sem lýsa aðferðum og verklagsreglum vottunaraðilanna.

4. Vottunaraðilarnir, sem um getur í 1. mgr., skulu bera ábyrgð á réttu mati, sem leiðir til vottunar eða afturköllunar á vottun, með fyrirvara um ábyrgð ábyrgðaraðila eða vinnsluaðila á því að farið sé að þessari reglugerð. Gefa skal faggildinguna út til fimm ára að hámarki og hana má endurnýja með sömu skilyrðum, að því tilskildu að vottunaraðili uppfylli kröfur þessarar greinar.

5. Vottunaraðilarnir, sem um getur í 1. mgr., skulu láta lögbærum eftirlitsyfirvöldum í té rökstuðning fyrir því að veita eða afturkalla umbeðna vottun.

6. Eftirlitsyfirvaldið skal birta kröfurnar sem um getur í 3. mgr. þessarar greinar og viðmiðanirnar sem um getur í 5. mgr. 42. gr. á aðgengilegu formi. Eftirlitsyfirvöldin skulu einnig senda persónuverndarráðinu þessar kröfur og viðmiðanir.

7. Með fyrirvara um VIII. kafla skal lögbæra eftirlitsyfirvaldið eða faggildingarstofan í aðildarríki afturkalla faggildingu vottunaraðila skv. 1. mgr. þessarar greinar ef skilyrðin fyrir faggildingunni eru ekki, eða eru ekki lengur, uppfyllt eða ef aðgerðir vottunaraðilans brjóta í bága við þessa reglugerð.

8. Framkvæmdastjórninni skal falið vald til þess að samþykkja framseldar gerðir í samræmi við 92. gr. í þeim tilgangi að tilgreina þær kröfur sem taka þarf tillit til í vottunarfyrirkomulagi vegna persónuverndar sem um getur í 1. mgr. 42. gr.

9. Framkvæmdastjórnin getur samþykkt framkvæmdargerðir þar sem mælt er fyrir um tæknistaðla fyrir vottunarfyrirkomulag og persónuverndarinnsigli og -merki og fyrirkomulag við að kynna og viðurkenna slíkt vottunarfyrirkomulag, innsigli og merki. Þessar framkvæmdargerðir skulu samþykktar í samræmi við rannsóknarmálsmeðferðina sem um getur í 2. mgr. 93. gr.

V. kafli. Miðlun persónuupplýsinga til þriðju landa eða alþjóðastofnana

44. gr. Almennar meginreglur um miðlun upplýsinga

Með fyrirvara um önnur ákvæði þessarar reglugerðar skal aðeins miðla persónuupplýsingum, sem eru í vinnslu eða eru ætlaðar til vinnslu að lokinni miðlun þeirra til þriðja lands eða til alþjóðastofnunar, ef ábyrgðaraðilinn og vinnsluaðilinn uppfylla skilyrðin sem mælt er fyrir um í þessum kafla, þ.m.t. til framsendingar persónuupplýsinga frá þriðja landi eða alþjóðastofnun til annars þriðja lands eða annarrar alþjóðastofnunar. Beita skal öllum ákvæðum í þessum kafla þannig að tryggja megi að ekki sé grafið undan vernd einstaklinga sem tryggð er með þessari reglugerð.

45. gr. Miðlun á grundvelli ákvörðunar um hvort vernd sé fullnægjandi

1. Miðlun persónuupplýsinga til þriðja lands eða til alþjóðastofnunar er heimil ef framkvæmdastjórnin hefur ákveðið að þriðja landið, yfirráðasvæði eða einn eða fleiri tilgreindir geirar innan viðkomandi þriðja lands eða umrædd alþjóðastofnun tryggi fullnægjandi vernd. Slík miðlun þarfnast ekki sérstakrar heimildar.

2. Þegar framkvæmdastjórnin metur hvort vernd sé fullnægjandi skal hún einkum taka mið af eftirfarandi þáttum:
a) grunnreglum réttarríkisins, virðingu fyrir mannréttindum og mannfrelsi, viðeigandi löggjöf, jafnt almennri löggjöf sem sérlöggjöf, þ. á m. varðandi almannaöryggi, landvarnir, þjóðaröryggi og refsirétt og aðgang opinberra yfirvalda að persónuupplýsingum, ásamt framkvæmd umræddrar löggjafar, reglum um persónuvernd, starfsreglum og öryggisráðstöfunum, þ.m.t. reglum um miðlun persónuupplýsinga til annars þriðja lands eða alþjóðastofnunar sem fylgt er í umræddu landi eða hjá alþjóðastofnun, dómaframkvæmd, sem og skilvirkum og fullnustuhæfum réttindum skráðra einstaklinga og skilvirkri stjórnsýslu- og dómsmeðferð fyrir skráða einstaklinga hvað varðar miðlun persónuupplýsinga um þá,
b) hvort fyrir hendi er sjálfstætt og skilvirkt eftirlitsyfirvald, eitt eða fleiri, í þriðja landinu eða sem alþjóðastofnun fellur undir, sem ber ábyrgð á að tryggja og framfylgja því að farið sé að reglum um persónuvernd, þ. á m. með fullnægjandi valdheimildum til að framfylgja þeim, á að veita skráðum einstaklingum aðstoð og ráðleggingar þegar þeir nýta sér réttindi sín og á samvinnu við eftirlitsyfirvöld í aðildarríkjunum og
c) alþjóðlegum skuldbindingum sem þriðja landið eða alþjóðastofnunin hefur tekist á hendur eða öðrum skyldum samkvæmt lagalega bindandi samningum eða gerningum, sem og þátttöku í marghliða eða svæðisbundnum kerfum, einkum í tengslum við vernd persónuupplýsinga.

3. Framkvæmdastjórnin getur, eftir að hún hefur metið hvort umfang verndar er fullnægjandi, ákveðið á grundvelli framkvæmdargerðar, að þriðja land, yfirráðasvæði eða einn eða fleiri tilgreindur geiri innan þriðja lands, eða alþjóðastofnun, tryggi fullnægjandi vernd í skilningi 2. mgr. þessarar greinar. Í framkvæmdargerðinni skal kveða á um fyrirkomulag reglubundinnar endurskoðunar, a.m.k. á fjögurra ára fresti, þar sem tekið skal tillit til viðeigandi þróunar í þriðja landinu eða hjá alþjóðastofnuninni. Í framkvæmdargerðinni skal tilgreina svæðis- og geirabundið gildissvið og, eftir atvikum, tilgreina eftirlitsyfirvald eða -yfirvöld sem um getur í b-lið 2. mgr. þessarar greinar. Framkvæmdargerðin skal samþykkt í samræmi við rannsóknarmálsmeðferðina sem um getur í 2. mgr. 93. gr.

4. Framkvæmdastjórnin skal fylgjast jafnt og þétt með þróun mála í þriðju löndum og hjá alþjóðastofnunum sem gætu haft áhrif á framkvæmd ákvarðana sem samþykktar eru skv. 3. mgr. þessarar greinar og 6. mgr. 25. gr. tilskipunar 95/46/EB.

5. Framkvæmdastjórnin skal, að því marki sem nauðsynlegt telst, afturkalla, breyta eða fella tímabundið úr gildi ákvörðunina, sem um getur í 3. mgr. þessarar greinar, á grundvelli framkvæmdargerða, án afturvirkni, ef fyrirliggjandi upplýsingar leiða í ljós, einkum í kjölfar endurskoðunarinnar sem um getur í 3. mgr. þessarar greinar, að þriðja land, yfirráðasvæði eða einn eða fleiri tilgreindur geiri innan þriðja lands eða alþjóðastofnun tryggi ekki lengur fullnægjandi vernd í skilningi 2. mgr. þessarar greinar. Þessar framkvæmdargerðir skulu samþykktar í samræmi við rannsóknarmálsmeðferðina sem um getur í 2. mgr. 93. gr.
Þegar brýna nauðsyn ber til í tilhlýðilega rökstuddum tilvikum skal framkvæmdastjórnin samþykkja framkvæmdargerðir sem öðlast gildi án tafar í samræmi við málsmeðferðina sem um getur í 3. mgr. 93. gr.

6. Framkvæmdastjórnin skal hefja viðræður við þriðja landið eða alþjóðastofnunina með það fyrir augum að ráða bót á ástandinu sem varð til þess að ákvörðunin var tekin skv. 5. mgr.

7. Ákvörðun skv. 5. mgr. þessarar greinar hefur ekki áhrif á miðlun persónuupplýsinga til þriðja lands, yfirráðasvæðis eða eins eða fleiri tilgreindra geira innan þessa þriðja lands eða viðkomandi alþjóðastofnunar skv. 46.-49. gr.

8. Framkvæmdastjórnin skal birta í Stjórnartíðindum Evrópusambandsins og á vefsetri sínu skrá yfir þau þriðju lönd, yfirráðasvæði og tilgreindu geira innan þriðja lands og alþjóðastofnanir sem hún hefur ákveðið að veiti ekki, eða ekki lengur, fullnægjandi vernd.

9. Ákvarðanir sem framkvæmdastjórnin hefur samþykkt á grundvelli 6. mgr. 25. gr. tilskipunar 95/46/EB gilda áfram uns þeim er breytt, þær eru leystar af hólmi eða þær eru felldar niður með ákvörðun framkvæmdastjórnarinnar sem er samþykkt í samræmi við 3. eða 5. mgr. þessarar greinar.

46. gr. Miðlun sem fellur undir viðeigandi verndarráðstafanir

1. Ef ekki er tekin ákvörðun skv. 3. mgr. 45. gr. getur ábyrgðaraðili eða vinnsluaðili því aðeins miðlað persónuupplýsingum til þriðja lands eða alþjóðastofnunar að hann hafi gert viðeigandi verndarráðstafanir og með því skilyrði að fyrir hendi séu framfylgjanleg réttindi og skilvirk lagaleg úrræði fyrir skráða einstaklinga.

2. Viðeigandi verndarráðstafanir, sem um getur í 1. mgr., geta, án þess að krafist sé sérstakrar heimildar frá eftirlitsyfirvaldi, falist í eftirfarandi:
a) lagalega bindandi og framfylgjanlegum gerningi milli opinberra yfirvalda eða stofnana,
b) bindandi fyrirtækjareglum í samræmi við 47. gr.,
c) stöðluðum ákvæðum um persónuvernd sem framkvæmdastjórnin hefur samþykkt í samræmi við rannsóknarmálsmeðferðina sem um getur í 2. mgr. 93. gr.,
d) stöðluðum ákvæðum um persónuvernd sem eftirlitsyfirvald hefur samþykkt og framkvæmdastjórnin viðurkennt í samræmi við rannsóknarmálsmeðferðina sem um getur í 2. mgr. 93. gr.,
e) viðurkenndum hátternisreglum skv. 40. gr., ásamt bindandi og framfylgjanlegum skuldbindingum ábyrgðaraðilans eða vinnsluaðilans í þriðja landinu um að beita viðeigandi verndarráðstöfunum, einnig að því er varðar réttindi skráðra einstaklinga eða
f) viðurkenndu vottunarkerfi skv. 42. gr., ásamt bindandi og framfylgjanlegum skuldbindingum ábyrgðaraðilans eða vinnsluaðilans í þriðja landinu um að beita viðeigandi verndarráðstöfunum, einnig að því er varðar réttindi hinna skráðu.

3. Með fyrirvara um heimild frá lögbæru eftirlitsyfirvaldi geta viðeigandi verndarráðstafanir, sem um getur í 1. mgr., einnig falist í einkum eftirfarandi:
a) samningsákvæðum milli ábyrgðaraðilans eða vinnsluaðilans og ábyrgðaraðila, vinnsluaðila eða viðtakanda persónuupplýsinganna í þriðja landinu eða hjá alþjóðastofnuninni eða
b) ákvæðum sem felld eru inn í stjórnvaldsráðstafanir milli opinberra yfirvalda eða stofnana sem ná yfir framfylgjanleg og skilvirk réttindi skráðra einstaklinga.

4. Eftirlitsyfirvaldið skal beita samræmingarkerfinu sem um getur í 63. gr. í þeim tilvikum sem um getur í 3. mgr. þessarar greinar.

5. Heimildir, sem aðildarríki eða eftirlitsyfirvald veitir á grundvelli 2. mgr. 26. gr. tilskipunar 95/46/EB, gilda áfram þar til eftirlitsyfirvaldið breytir þeim, leysir þær af hólmi eða fellir þær niður, ef nauðsyn krefur. Ákvarðanir, sem framkvæmdastjórnin hefur samþykkt á grundvelli tilskipunar 95/46/EB, gilda áfram þar til þeim er breytt, þær eru leystar af hólmi eða þær eru felldar niður, ef nauðsyn krefur, með ákvörðun framkvæmdastjórnarinnar sem er samþykkt í samræmi við 2. mgr. þessarar greinar.

1. Lögbær eftirlitsyfirvöld skulu samþykkja bindandi fyrirtækjareglur í samræmi við samræmingarkerfið sem tilgreint er í 63. gr., að því tilskildu að þær:
a) séu lagalega bindandi og að þær gildi um og þeim sé framfylgt af sérhverjum hlutaðeigandi aðila að fyrirtækjasamstæðu eða hópi fyrirtækja sem stunda sameiginlega atvinnustarfsemi, þ.m.t. starfsmönnum þeirra,
b) veiti skráðum einstaklingum framfylgjanleg réttindi með ótvíræðum hætti með hliðsjón af vinnslu persónuupplýsinga um þá og
c) uppfylli kröfurnar sem mælt er fyrir um í 2. gr.

2. Í bindandi fyrirtækjareglum, sem um getur í 1. mgr., skal tilgreina a.m.k.:
a) skipulag og samskiptaupplýsingar viðkomandi fyrirtækjasamstæðu eða hóps fyrirtækja sem stunda sameiginlega atvinnustarfsemi og sérhvers aðila samstæðunnar eða hópsins,
b) miðlun eða endurtekna miðlun upplýsinga, þ.m.t. hvaða flokka persónuupplýsinga er um að ræða, tegund og tilgang vinnslu, hvaða hópur skráðra einstaklinga verður fyrir áhrifum af henni og hvaða þriðja land eða þriðju lönd er um að ræða,
c) lagalega bindandi eðli þeirra, jafnt inn á við sem út á við,
d) beitingu almennra meginreglna um persónuvernd, einkum um takmörkun vegna tilgangs, lágmörkun gagna, takmörkun á varðveislutímabili, gæði gagna, innbyggða og sjálfgefna persónuvernd, lagagrundvöll vinnslu, vinnslu sérstakra flokka persónuupplýsinga, ráðstafanir til að tryggja persónuvernd og kröfur sem lúta að framsendingu til aðila sem eru ekki háðir bindandi fyrirtækjareglum,
e) réttindi skráðra einstaklinga að því er varðar vinnslu og leiðir til að neyta þeirra réttinda, þ.m.t. réttinn til að falla ekki undir ákvarðanir sem byggjast eingöngu á sjálfvirkri vinnslu, m.a. gerð persónusniðs í samræmi við 22. gr., til að leggja fram kvörtun hjá lögbæru eftirlitsyfirvaldi og hjá lögbærum dómstólum aðildarríkjanna í samræmi við 79. gr. og til að rétta hlut sinn og, eftir því sem við á, til bóta vegna brots á bindandi fyrirtækjareglum,
f) viðurkenningu ábyrgðaraðila eða vinnsluaðila, sem hafa staðfestu á yfirráðasvæði aðildarríkis, á ábyrgð vegna hvers kyns brota gegn bindandi fyrirtækjareglum af hálfu hlutaðeigandi aðila sem hafa ekki staðfestu í Sambandinu; ábyrgðaraðilinn eða vinnsluaðilinn skal því aðeins vera undanþeginn bótaábyrgð, að fullu eða að hluta, að hann færi sönnur á að viðkomandi aðili sé ekki ábyrgur fyrir tilvikinu sem leiddi til tjónsins,
g) hvernig skráðum einstaklingum eru veittar upplýsingar um bindandi fyrirtækjareglur, einkum ákvæðin sem um getur í d-, e- og f-lið þessarar málsgreinar, auk 13. og 14. gr.,
h) verkefni persónuverndarfulltrúa sem eru tilnefndir í samræmi við 37. gr. eða annars aðila eða stofnunar sem hefur með höndum eftirlit með því að bindandi fyrirtækjareglum sé fylgt innan fyrirtækjasamstæðu eða hóps fyrirtækja sem stunda sameiginlega atvinnustarfsemi, ásamt eftirliti með starfsþjálfun og meðferð kvörtunarmála,
i) málsmeðferð vegna kvörtunarmála,
j) fyrirkomulag innan fyrirtækjasamstæðunnar eða hóps fyrirtækja, sem stunda sameiginlega atvinnustarfsemi, til að tryggja sannprófun á því að farið sé að bindandi fyrirtækjareglum. Þetta fyrirkomulag skal fela í sér úttektir á persónuvernd og aðferðir við að tryggja að gripið sé til aðgerða til úrbóta til að vernda réttindi hins skráða. Tilkynna ætti þeim aðila eða stofnun, sem um getur í h-lið, og stjórn fyrirtækisins, sem er ráðandi í fyrirtækjasamstæðu eða hópi fyrirtækja sem stunda sameiginlega atvinnustarfsemi, um niðurstöður sannprófunarinnar og þær ættu að vera aðgengilegar lögbærum eftirlitsyfirvöldum fari þau fram á það,
k) fyrirkomulag skýrslugjafar og skráningar á breytingum á reglunum og skýrslugjafar um breytingarnar til eftirlitsyfirvaldsins,
l) fyrirkomulag samvinnu við eftirlitsyfirvaldið til að tryggja reglufylgni aðila að fyrirtækjasamstæðunni eða hópi fyrirtækja sem stunda sameiginlega atvinnustarfsemi, einkum með því að sjá til þess að eftirlitsyfirvaldið fái aðgang að niðurstöðum sannprófunar á þeim ráðstöfunum sem um getur í j-lið,
m) fyrirkomulag vegna skýrslugjafar til lögbærs eftirlitsyfirvalds um þau lagaskilyrði sem aðili að fyrirtækjasamstæðu eða hópi fyrirtækja, sem stunda sameiginlega atvinnustarfsemi, þarf að hlíta í þriðja landi sem líklegt er að hafi umtalsverð neikvæð áhrif á þær tryggingar sem felast í bindandi fyrirtækjareglum og
n) viðeigandi þjálfun starfsmanna, sem hafa stöðugan eða reglulegan aðgang að persónuupplýsingum, á sviði persónuverndar.

3. Framkvæmdastjórnin getur tilgreint nánar snið og aðferðir við upplýsingaskipti milli ábyrgðaraðila, vinnsluaðila og eftirlitsyfirvalda að því er varðar bindandi fyrirtækjareglur í skilningi þessarar greinar. Þessar framkvæmdargerðir skulu samþykktar í samræmi við rannsóknarmálsmeðferðina sem um getur í 2. mgr. 93. gr.

48. gr. Miðlun eða birting sem ekki er heimiluð samkvæmt lögum Sambandsins

Dóma, sem dómstólar kveða upp, og ákvarðanir stjórnsýsluyfirvalds í þriðja landi, sem krefjast þess að ábyrgðaraðili eða vinnsluaðili miðli persónuupplýsingum eða birti þær, má því aðeins viðurkenna eða framfylgja með einhverjum hætti að slíkt byggist á alþjóðasamningi, s.s. samningi um gagnkvæma dómsmálaaðstoð, sem er í gildi milli þriðja landsins sem leggur fram beiðni og Sambandsins eða aðildarríkis, án þess að það hafi áhrif á aðrar ástæður til miðlunar samkvæmt þessum kafla.

49. gr. Undanþágur vegna sérstakra aðstæðna

1. Ef ekki liggur fyrir ákvörðun um að vernd sé fullnægjandi skv. 3. mgr. 45. gr. eða ekki hafa verið gerðar viðeigandi verndarráðstafanir skv. 46. gr., þ.m.t. bindandi fyrirtækjareglur, skal miðlun eða endurtekin miðlun persónuupplýsinga til þriðja lands eða alþjóðastofnunar aðeins fara fram að uppfylltu einu af eftirfarandi skilyrðum:
a) hinn skráði hefur veitt ótvírætt samþykki sitt fyrir fyrirhugaðri miðlun eftir að honum hefur verið tilkynnt um mögulega áhættu sem miðlunin kann að hafa í för með sér fyrir hann vegna þess að ekki liggur fyrir ákvörðun um að vernd sé fullnægjandi og viðeigandi verndarráðstafanir hafa ekki verið gerðar,
b) miðlunin er nauðsynleg vegna framkvæmdar samnings milli hins skráða og ábyrgðaraðilans eða ráðstafana sem gerðar eru að beiðni hins skráða áður en til gerðar samnings kemur,
c) miðlunin er nauðsynleg fyrir gerð eða framkvæmd samnings í þágu hins skráða, sem ábyrgðaraðilinn og annar einstaklingur eða lögaðili gera sín í milli,
d) miðlunin er nauðsynleg vegna mikilvægra almannahagsmuna,
e) miðlunin er nauðsynleg til að stofna, hafa uppi eða verja réttarkröfur,
f) miðlunin er nauðsynleg til að vernda brýna hagsmuni hins skráða eða annarra aðila ef hinn skráði er líkamlega eða í lagalegum skilningi ófær um að gefa samþykki sitt,
g) upplýsingum er miðlað úr skrá sem er samkvæmt lögum Sambandsins eða lögum aðildarríkis ætlað að veita almenningi upplýsingar og er aðgengileg annaðhvort öllum almenningi eða hverjum þeim sem getur sýnt fram á að hann hafi lögmætra hagsmuna að gæta, en aðeins að svo miklu leyti sem skilyrði fyrir aðgangi, sem mælt er fyrir um í lögum Sambandsins eða lögum aðildarríkis, séu uppfyllt í því tilviki.
Ef ekki er hægt að byggja miðlun á ákvæði í 45. eða 46. gr., þ.m.t. ákvæðum um bindandi fyrirtækjareglur, og engin af undanþágunum vegna sérstakra aðstæðna, sem um getur í fyrstu undirgrein þessarar málsgreinar, á við, er aðeins heimilt að miðla persónuupplýsingum til þriðja lands eða til alþjóðastofnunar ef miðlunin er ekki endurtekin, varðar aðeins takmarkaðan fjölda skráðra einstaklinga, er nauðsynleg vegna mikilvægra lögmætra hagsmuna sem ábyrgðaraðili gætir þegar hagsmunir eða réttindi og frelsi hins skráða vega ekki þyngra og ef ábyrgðaraðilinn hefur kannað allar aðstæður er varða miðlun upplýsinganna og hefur, á grundvelli þess mats, gert viðeigandi verndarráðstafanir að því er varðar vernd persónuupplýsinga. Ábyrgðaraðilinn skal upplýsa eftirlitsyfirvaldið um miðlunina. Auk þess að láta í té þær upplýsingar, sem um getur í 13. og 14. gr., skal ábyrgðaraðilinn upplýsa hinn skráða um miðlunina og þá mikilvægu, lögmætu hagsmuni sem gætt er.

2. Miðlun skv. g-lið fyrstu undirgreinar 1. mgr. skal ekki taka til persónuupplýsinganna í heild sinni eða heilla flokka persónuupplýsinga í skránni. Ef skráin er ætluð til skoðunar fyrir þá sem hafa lögmætra hagsmuna að gæta skal miðlun aðeins fara fram að beiðni þessara aðila eða ef þeir eiga að vera viðtakendur upplýsinganna.

3. Ákvæði a-, b- og c-liðar fyrstu undirgreinar 1. mgr. og annarrar undirgreinar hennar gilda ekki um starfsemi opinberra yfirvalda við beitingu þeirra á opinberu valdi.

4. Viðurkenna skal þá almannahagsmuni, sem um getur í d-lið fyrstu undirgreinar 1. mgr., í lögum Sambandsins eða í lögum þess aðildarríkis sem ábyrgðaraðilinn heyrir undir.

5. Þegar ekki hefur verið tekin ákvörðun um hvort fullnægjandi vernd er fyrir hendi geta lög Sambandsins eða lög aðildarríkis takmarkað með ótvíræðum hætti miðlun sérstakra flokka persónuupplýsinga til þriðja lands eða alþjóðastofnunar á grundvelli mikilvægra almannahagsmuna. Aðildarríkin skulu tilkynna framkvæmdastjórninni um slík ákvæði.

6. Ábyrgðaraðilinn eða vinnsluaðilinn skal staðfesta matið og viðeigandi verndarráðstafanir, sem um getur í annarri undirgrein 1. mgr. þessarar greinar, í skránum sem um getur í 30. gr.

50. gr. Alþjóðleg samvinna um vernd persónuupplýsinga

Þegar um er að ræða þriðju lönd eða alþjóðastofnanir skulu framkvæmdastjórnin og eftirlitsyfirvöld gera viðeigandi ráðstafanir til að:
a) þróa fyrirkomulag alþjóðlegrar samvinnu til að greiða fyrir skilvirkri framkvæmd löggjafar um vernd persónuupplýsinga,
b) veita gagnkvæma alþjóðlega aðstoð við framfylgd löggjafar um vernd persónuupplýsinga, m.a. með tilkynningum, framsendingu kvörtunarmála, aðstoð við rannsóknir og upplýsingaskiptum, með fyrirvara um viðeigandi verndarráðstafanir til verndar persónuupplýsingum og öðrum grundvallarréttindum og mannfrelsi,
c) fá viðkomandi hagsmunaaðila til að taka þátt í umfjöllun og starfi sem miðar að því að efla alþjóðlega samvinnu við framfylgd löggjafar um vernd persónuupplýsinga,
d) stuðla að skiptum á og skjalahaldi um löggjöf og starfsvenjur á sviði verndar persónuupplýsinga, einkum um ágreining við þriðju lönd um lögsögu.

1. Sérhvert aðildarríki skal sjá til þess að eitt eða fleiri sjálfstæð opinber yfirvöld beri ábyrgð á að fylgjast með beitingu þessarar reglugerðar til þess að vernda grundvallarréttindi og frelsi einstaklinga í tengslum við vinnslu persónuupplýsinga og til að greiða fyrir frjálsu flæði persónuupplýsinga innan Sambandsins („eftirlitsyfirvald").

2. Sérhvert eftirlitsyfirvald skal stuðla að samræmdri beitingu þessarar reglugerðar í öllu Sambandinu. Í þessum tilgangi skulu eftirlitsyfirvöldin eiga samstarf sín í milli og við framkvæmdastjórnina í samræmi við VII. kafla.

3. Ef fleiri en einu eftirlitsyfirvaldi er komið á fót í aðildarríki skal aðildarríkið tilnefna það eftirlitsyfirvald sem á að koma fram fyrir hönd þessara yfirvalda í persónuverndarráðinu og skal koma á kerfi til að tryggja að hin yfirvöldin fari að þeim reglum sem varða samræmingarkerfið sem um getur í 63. gr.

4. Sérhvert aðildarríki skal tilkynna framkvæmdastjórninni eigi síðar en 25. maí 2018 um ákvæði landslaga sem þau hafa samþykkt samkvæmt þessum kafla og skulu án tafar tilkynna um síðari breytingar sem hafa áhrif á þau.

1. Sérhvert eftirlitsyfirvald skal vera algerlega sjálfstætt í störfum sínum og þegar það beitir valdheimildum sínum í samræmi við þessa reglugerð.

2. Fulltrúi eða fulltrúar hvers eftirlitsyfirvalds skulu, í störfum sínum og þegar þeir beita valdheimildum sínum í samræmi við þessa reglugerð, vera lausir við utanaðkomandi áhrif, jafnt bein sem óbein, og skulu hvorki leita eftir né taka við fyrirmælum frá öðrum aðilum.

3. Fulltrúi eða fulltrúar hvers eftirlitsyfirvalds skulu ekki aðhafast neitt það sem er ósamrýmanlegt skyldum þeirra og skulu ekki stunda önnur ósamrýmanleg störf á skipunartíma sínum, hvorki launuð né ólaunuð.

4. Sérhvert aðildarríki skal tryggja að hvert eftirlitsyfirvald hafi yfir að ráða þeim mannauði, tækniúrræðum og fjármagni, húsakosti og innviðum sem nauðsynleg eru til að það geti unnið störf sín og beitt valdheimildum sínum með skilvirkum hætti, þ. á m. í tengslum við gagnkvæma aðstoð, samvinnu og þátttöku í starfi persónuverndarráðsins.

5. Sérhvert aðildarríki skal sjá til þess að hvert eftirlitsyfirvald velji og hafi eigið starfslið og ætti það eingöngu að lúta stjórn fulltrúa hlutaðeigandi eftirlitsyfirvalds.

6. Sérhvert aðildarríki skal sjá til þess að hvert eftirlitsyfirvald sæti eftirliti með fjárreiðum, sem hefur ekki áhrif á sjálfstæði þess, og að það hafi sérstaka opinbera, árlega fjárhagsáætlun sem getur verið hluti af heildarfjárlögum fylkisins eða ríkisins.

53. gr. Almenn skilyrði varðandi fulltrúa eftirlitsyfirvaldsins

1. Aðildarríkin skulu kveða á um að sérhver fulltrúi eftirlitsyfirvalda þeirra sé skipaður samkvæmt gagnsærri málsmeðferð af:
- þingi þeirra,
- ríkisstjórn þeirra,
- þjóðhöfðingja þeirra eða
- háðri stofnun sem falin er skipunin samkvæmt lögum aðildarríkisins.

2. Sérhver fulltrúi skal búa yfir menntun og hæfi, reynslu og færni, einkum á sviði verndar persónuupplýsinga, sem honum er nauðsynleg til að hann geti sinnt skyldustörfum sínum og beitt valdheimildum sínum.

3. Skyldustörfum fulltrúa skal ljúka þegar skipunartími hans rennur út, hann segir starfinu lausu eða lætur af störfum fyrir aldurs sakir, í samræmi við lög hlutaðeigandi aðildarríkis.

4. Aðeins skal víkja fulltrúa brott ef um alvarlegt misferli er að ræða eða ef hann fullnægir ekki lengur þeim skilyrðum sem krafist er vegna skyldustarfa hans.

54. gr. Reglur um stofnun eftirlitsyfirvalds

1. Sérhvert aðildarríki skal kveða á um öll eftirfarandi atriði í lögum:
a) stofnun sérhvers eftirlitsyfirvalds,
b) menntun og hæfisskilyrði sem krafist er vegna skipunar fulltrúa sérhvers eftirlitsyfirvalds,
c) reglur og verklagsreglur að því er varðar skipun fulltrúa sérhvers eftirlitsyfirvalds,
d) skipunartíma fulltrúa sérhvers eftirlitsyfirvalds sem ekki skal vera skemmri en fjögur ár, að undanskilinni fyrstu skipun eftir 24. maí 2016, sem getur verið til skemmri tíma ef það er nauðsynlegt til að standa vörð um sjálfstæði eftirlitsyfirvaldsins með því að nota áfangabundið skipunarferli,
e) hvort og þá hversu oft heimilt er að endurnýja skipun fulltrúa sérhvers eftirlitsyfirvalds,
f) skilyrði varðandi skyldur fulltrúa sérhvers eftirlitsyfirvalds og starfsmanna þess, bann við aðgerðum, störfum og fríðindum sem eru ósamrýmanleg þeim á starfstímanum og að honum loknum og reglur um starfslok.

2. Fulltrúi eða fulltrúar sérhvers eftirlitsyfirvalds og starfsmenn þess skulu, í samræmi við lög Sambandsins eða lög aðildarríkis, vera bundnir þagnarskyldu, bæði á starfstímanum og að honum loknum, með tilliti til trúnaðarupplýsinga sem þeir hafa fengið við skyldustörf sín eða við beitingu valdheimilda sinna. Meðan starfstími þeirra varir skal þagnarskylda þeirra einkum gilda um tilkynningar einstaklinga um brot gegn þessari reglugerð.

2. þáttur Valdsvið, verkefni og valdheimildir

1. Sérhvert eftirlitsyfirvald skal vera til þess bært að sinna þeim verkefnum sem því eru falin og beita þeim valdheimildum sem því hafa verið veittar í samræmi við þessa reglugerð á yfirráðasvæði eigin aðildarríkis.

2. Þegar vinnsla er í höndum opinberra yfirvalda eða einkaaðila, sem starfa á grundvelli c- eða e-liðar 1. mgr. 6. gr., skal eftirlitsyfirvald hlutaðeigandi aðildarríkis teljast lögbært. Í þeim tilvikum á 56. gr. ekki við.

3. Eftirlitsyfirvöld skulu ekki vera til þess bær að hafa eftirlit með vinnsluaðgerðum dómstóla þegar þeir fara með dómsvald sitt.

56. gr. Valdsvið forystueftirlitsyfirvalds

1. Með fyrirvara um 55. gr. skal eftirlitsyfirvald yfir höfuðstöðvum eða hinni einu starfsstöð ábyrgðaraðilans eða vinnsluaðilans teljast til þess bært að koma fram sem forystueftirlitsyfirvald vegna vinnslu yfir landamæri sem sá ábyrgðaraðili eða vinnsluaðili annast í samræmi við málsmeðferðina sem kveðið er á um í 60. gr.

2. Þrátt fyrir 1. mgr. skal sérhvert eftirlitsyfirvald teljast til þess bært að fjalla um kvörtun sem lögð er fyrir það eða mögulegt brot gegn þessari reglugerð ef viðfangsefnið tengist eingöngu starfsstöð í aðildarríki þess eða hefur eingöngu veruleg áhrif á skráða einstaklinga í aðildarríki þess.

3. Í þeim tilvikum sem um getur í 2. mgr. þessarar greinar skal eftirlitsyfirvaldið tilkynna forystueftirlitsyfirvaldinu um málavöxtu án tafar. Forystueftirlitsyfirvaldið skal, innan þriggja vikna frá því að tilkynningin berst, ákveða hvort það muni fjalla um málið í samræmi við málsmeðferðina sem kveðið er á um í 60. gr., að teknu tilliti til þess hvort ábyrgðaraðilinn eða vinnsluaðilinn hefur staðfestu í aðildarríki eftirlitsyfirvaldsins sem tilkynnti um það.

4. Ef forystueftirlitsyfirvaldið ákveður að fjalla um málið gildir málsmeðferðin sem kveðið er á um í 60. gr. Eftirlitsyfirvaldið, sem sendi tilkynninguna til forystueftirlitsyfirvaldsins, getur sent því drög að ákvörðun. Forystueftirlitsyfirvaldið skal taka ýtrasta tillit til umræddra draga þegar það semur drög að ákvörðuninni sem um getur í 3. mgr. 60. gr.

5. Ef forystueftirlitsyfirvaldið ákveður að fjalla ekki um málið skal eftirlitsyfirvaldið, sem tilkynnti forystueftirlitsyfirvaldinu um það, fjalla um málið skv. 61. og 62. gr.

6. Forystueftirlitsyfirvaldið skal vera eini tengiliður ábyrgðaraðilans eða vinnsluaðilans vegna vinnslu hans yfir landamæri.

1. Með fyrirvara um önnur verkefni, sem sett eru fram í þessari reglugerð, skal sérhvert eftirlitsyfirvald, á eigin yfirráðasvæði:
a) fylgjast með og framfylgja beitingu þessarar reglugerðar,
b) efla vitund og skilning almennings á áhættu, reglum, verndarráðstöfunum og réttindum í tengslum við vinnslu. Gefa skal starfsemi sem beinist einkum að börnum sérstakan gaum,
c) veita þjóðþingi, ríkisstjórn og öðrum stofnunum og aðilum ráðgjöf, í samræmi við landslög aðildarríkis, um ráðstafanir á sviði lagasetningar og stjórnsýslu sem tengist vernd réttinda og frelsis einstaklinga að því er varðar vinnslu,
d) efla vitund ábyrgðaraðila og vinnsluaðila um skyldur sínar samkvæmt þessari reglugerð,
e) veita, að fenginni beiðni, skráðum einstaklingi upplýsingar um það hvernig hann getur neytt réttinda sinna samkvæmt þessari reglugerð og, ef við á, starfa með eftirlitsyfirvöldum í öðrum aðildarríkjum í því skyni,
f) fjalla um kvartanir sem skráður einstaklingur eða stofnun, samtök eða félag leggja fram í samræmi við 80. gr. og rannsaka, að því marki sem við á, efni kvörtunarinnar og upplýsa kvartandann um framvindu og niðurstöður rannsóknarinnar innan hæfilegs tíma, einkum ef nauðsyn er á frekari rannsóknum eða samræmingu við annað eftirlitsyfirvald,
g) eiga samstarf við önnur eftirlitsyfirvöld, þ.m.t. með því að skiptast á upplýsingum, og veita gagnkvæma aðstoð, með það fyrir augum að tryggja samkvæmni í beitingu og framfylgd þessarar reglugerðar,
h) gera rannsókn á beitingu þessarar reglugerðar, m.a. á grundvelli upplýsinga frá öðru eftirlitsyfirvaldi eða öðru opinberu yfirvaldi,
i) fylgjast með þróun sem skiptir máli, að svo miklu leyti sem hún hefur áhrif á vernd persónuupplýsinga, einkum þróun upplýsinga- og fjarskiptatækni og viðskiptahátta,
j) samþykkja föst samningsákvæði sem um getur í 8. mgr. 28. gr. og d-lið 2. mgr. 46. gr.,
k) útbúa og viðhalda skrá í tengslum við kröfu um mat á áhrifum á persónuvernd skv. 4. mgr. 35. gr.,
l) veita ráðgjöf um vinnsluaðgerðir sem um getur í 2. mgr. 36. gr.,
m) hvetja til þess að samdar verði hátternisreglur skv. 1. mgr. 40. gr. og gefa álit á og samþykkja hátternisreglur sem tryggja fullnægjandi verndarráðstafanir skv. 5. mgr. 40. gr.,
n) hvetja til þess að vottunarfyrirkomulagi vegna persónuverndar og persónuverndarinnsiglum og -merkjum verði komið á skv. 1. mgr. 42. gr. og samþykkja viðmiðanir vegna vottunar skv. 5. mgr. 42. gr.,
o) eftir atvikum, láta fara fram reglubundna endurskoðun á vottunum sem eru gefnar út í samræmi við 7. mgr. 42. gr.,
p) semja og birta drög að kröfum varðandi faggildingu aðila sem hefur eftirlit með hátternisreglum skv. 41. gr. og vottunaraðila skv. 43. gr.,
q) annast faggildingu aðila vegna eftirlits með hátternisreglum skv. 41. gr. og vottunaraðila skv. 43. gr.,
r) heimila samningsákvæði og ákvæði sem um getur í 3. mgr. 46. gr.,
s) samþykkja bindandi fyrirtækjareglur skv. 47. gr.,
t) taka þátt í starfsemi persónuverndarráðsins,
u) halda innri skrár yfir brot á þessari reglugerð og ráðstafanir sem gerðar eru í samræmi við 2. mgr. 58. gr. og
v) sinna öðrum störfum sem tengjast vernd persónuupplýsinga.

2. Sérhvert eftirlitsyfirvald skal auðvelda framlagningu kvartana, sem um getur í f-lið 1. mgr., með því að gera ráðstafanir á borð við kvörtunareyðublað, sem einnig má fylla út rafrænt, án þess þó að aðrir samskiptamöguleikar séu útilokaðir.

3. Sérhvert eftirlitsyfirvald skal sinna störfum sínum, skráðum einstaklingum og, eftir atvikum, persónuverndarfulltrúanum að kostnaðarlausu.

4. Þegar beiðnir eru augljóslega tilefnislausar eða óhóflegar, einkum vegna þess að þær eru endurteknar, er eftirlitsyfirvaldinu heimilt að setja upp sanngjarnt gjald, á grundvelli umsýslukostnaðar, eða neita að fjalla um beiðnina. Það skal vera eftirlitsyfirvaldsins að sýna fram á að beiðni sé tilefnislaus eða óhófleg.

1. Sérhvert eftirlitsyfirvald skal hafa allar eftirfarandi rannsóknarheimildir:
a) heimild til að fyrirskipa að ábyrgðaraðilinn og vinnsluaðilinn og, eftir atvikum, fulltrúi ábyrgðaraðilans eða vinnsluaðilans veiti hvers kyns upplýsingar sem það þarfnast vegna skyldustarfa sinna,
b) heimild til að láta fara fram rannsóknir í formi úttekta á persónuvernd,
c) heimild til að láta fara fram endurskoðun á vottunum sem eru gefnar út skv. 7. mgr. 42. gr.,
d) heimild til að tilkynna ábyrgðaraðila eða vinnsluaðila um meint brot á þessari reglugerð,
e) heimild til að fá hjá ábyrgðaraðila og vinnsluaðila aðgang að öllum persónuupplýsingum og öllum upplýsingum sem nauðsynlegar eru vegna verkefna þess,
f) heimild til að fá aðgang að húsnæði ábyrgðaraðila og vinnsluaðila, þ.m.t. hvers kyns gagnavinnslubúnaði og -aðferðum, í samræmi við réttarfarslög Sambandsins eða aðildarríkis.

2. Sérhvert eftirlitsyfirvald skal hafa allar eftirfarandi valdheimildir til að gera ráðstafanir til úrbóta:
a) heimild til að veita ábyrgðaraðila eða vinnsluaðila viðvörun um að líklegt sé að fyrirhugaðar vinnsluaðgerðir brjóti í bága við ákvæði þessarar reglugerðar,
b) heimild til að veita ábyrgðaraðila eða vinnsluaðila áminningu ef vinnsluaðgerðir hafa brotið í bága við þessa reglugerð,
c) heimild til að fyrirskipa að ábyrgðaraðili eða vinnsluaðili fari að beiðnum hins skráða um að fá að neyta réttinda sinna samkvæmt þessari reglugerð,
d) heimild til að fyrirskipa að ábyrgðaraðili eða vinnsluaðili færi vinnsluaðgerðir til samræmis við ákvæði þessarar reglugerðar, eftir því sem við á, með tilteknum hætti og innan tiltekins tíma,
e) heimild til að fyrirskipa að ábyrgðaraðili tilkynni hinum skráða um öryggisbrest við meðferð persónuupplýsinga,
f) heimild til að setja tímabundna eða varanlega takmörkun á vinnslu, þ.m.t. bann,
g) heimild til að fyrirskipa leiðréttingu eða eyðingu persónuupplýsinga eða takmörkun á vinnslu þeirra skv. 16., 17. og 18. gr. og að slíkar aðgerðir verði tilkynntar viðtakendum sem fengið hafa persónuupplýsingarnar í hendur skv. 2. mgr. 17. gr. og 19. gr.,
h) heimild til að afturkalla vottun eða fyrirskipa að vottunaraðilinn afturkalli vottun sem gefin var út skv. 42. og 43. gr. eða fyrirskipa að vottunaraðilinn gefi ekki út vottun ef kröfum vegna vottunarinnar er ekki, eða er ekki lengur, fullnægt,
i) heimild til að leggja á stjórnsýslusekt skv. 83. gr., til viðbótar við eða í stað ráðstafana sem um getur í þessari málsgrein, allt eftir aðstæðum í hverju einstöku máli,
j) heimild til að fyrirskipa tímabundna stöðvun gagnaflæðis til viðtakanda í þriðja landi eða til alþjóðastofnunar.

3. Sérhvert eftirlitsyfirvald skal hafa allar eftirfarandi leyfisveitinga- og ráðgjafarheimildir:
a) heimild til að veita ábyrgðaraðila ráðgjöf í samræmi við fyrirframsamráðsferlið sem um getur í 36. gr.,
b) heimild til að leggja, að eigin frumkvæði eða samkvæmt beiðni, álitsgerðir fyrir þjóðþing eða ríkisstjórn aðildarríkisins eða, í samræmi við lög aðildarríkisins, aðrar stofnanir og aðila, sem og almenning, um hvert það málefni sem tengist vernd persónuupplýsinga,
c) heimild til að leyfa vinnslu sem um getur í 5. mgr. 36. gr., sé slíkrar fyrirframheimildar krafist samkvæmt lögum aðildarríkisins,
d) heimild til að gefa út álit og samþykkja drög að hátternisreglum skv. 5. mgr. 40. gr.,
e) heimild til að faggilda vottunaraðila skv. 43. gr.,
f) heimild til að gefa út vottanir og samþykkja viðmiðanir fyrir vottun í samræmi við 5. mgr. 42. gr.,
g) heimild til að samþykkja stöðluð ákvæði um persónuvernd sem um getur í 8. mgr. 28. gr. og d-lið 2. mgr. 46. gr.,
h) heimild til að leyfa samningsákvæði sem um getur í a-lið 3. mgr. 46. gr.,
i) heimild til að leyfa stjórnvaldsráðstafanir sem um getur í b-lið 3. mgr. 46. gr.,
j) heimild til að samþykkja bindandi fyrirtækjareglur skv. 47. gr.

4. Beiting þeirra valdheimilda, sem eftirlitsyfirvaldinu eru veittar samkvæmt þessari grein, skal vera með fyrirvara um viðeigandi verndarráðstafanir, þ. á m. skilvirk réttarúrræði og sanngjarna málsmeðferð sem sett er fram í lögum Sambandsins og lögum aðildarríkis í samræmi við sáttmálann um grundvallarréttindi.

5. Sérhvert aðildarríki skal kveða á um í lögum að eftirlitsyfirvald þess hafi heimild til að vekja athygli dómsyfirvalda á brotum gegn þessari reglugerð og, eftir því sem við á, hefja eða taka þátt í málarekstri til þess að framfylgja ákvæðum hennar.

6. Sérhvert aðildarríki getur kveðið á um í lögum að eftirlitsyfirvald þess hafi valdheimildir til viðbótar þeim sem um getur í 1., 2. og 3. mgr. Beiting þessara valdheimilda skal ekki draga úr skilvirkri framkvæmd VII. kafla.

Sérhvert eftirlitsyfirvald skal semja ársskýrslu um starfsemi sína sem má m.a. innihalda skrá yfir tegundir brota sem hafa verið tilkynnt og tegundir ráðstafana sem gerðar hafa verið í samræmi við 2. mgr. 58. gr. Þessar skýrslur skal senda þjóðþingi, ríkisstjórn og öðrum yfirvöldum eins og tilgreint er í lögum aðildarríkisins. Þær skulu gerðar aðgengilegar almenningi, framkvæmdastjórninni og persónuverndarráðinu.

60. gr. Samstarf milli forystueftirlitsyfirvaldsins og annarra hlutaðeigandi eftirlitsyfirvalda

1. Forystueftirlitsyfirvaldið skal starfa með öðrum hlutaðeigandi eftirlitsyfirvöldum í samræmi við þessa grein með það fyrir augum að ná samstöðu. Forystueftirlitsyfirvaldið og hlutaðeigandi eftirlitsyfirvöld skulu skiptast á öllum viðeigandi upplýsingum.

2. Forystueftirlitsyfirvaldið getur hvenær sem er óskað eftir því að önnur hlutaðeigandi eftirlitsyfirvöld veiti gagnkvæma aðstoð skv. 61. gr. og getur framkvæmt sameiginlegar aðgerðir skv. 62. gr., einkum við rannsóknir eða þegar fylgst er með framkvæmd ráðstöfunar sem varðar ábyrgðaraðila eða vinnsluaðila með staðfestu í öðru aðildarríki.

3. Forystueftirlitsyfirvaldið skal án tafar senda viðeigandi upplýsingar um málið til hinna eftirlitsyfirvaldanna sem í hlut eiga. Það skal án tafar senda drög að ákvörðun til hinna eftirlitsyfirvaldanna sem í hlut eiga til að fá álit þeirra og taka tilhlýðilegt tillit til sjónarmiða þeirra.

4. Ef eitthvert hinna eftirlitsyfirvaldanna sem í hlut eiga leggur fram viðeigandi og rökstudd andmæli gegn drögum að ákvörðuninni innan fjögurra vikna frá því að samráð fer fram í samræmi við 3. mgr. þessarar greinar skal forystueftirlitsyfirvaldið vísa málinu til samræmingarkerfisins sem um getur í 63. gr. sé það ekki fylgjandi þessum viðeigandi og rökstuddu andmælum eða telji það að andmælin séu ekki viðeigandi eða rökstudd.

5. Ef forystueftirlitsyfirvaldið hyggst fylgja þeim viðeigandi og rökstuddu andmælum sem lögð voru fram skal það senda hinum eftirlitsyfirvöldunum sem í hlut eiga endurskoðuð drög að ákvörðun til að fá álit þeirra. Taka skal endurskoðuð drög að ákvörðuninni til umfjöllunar samkvæmt málsmeðferðinni, sem um getur í 4. mgr., innan tveggja vikna.

6. Ef ekkert hinna eftirlitsyfirvaldanna sem í hlut eiga hefur andmælt drögum að ákvörðuninni, sem forystueftirlitsyfirvaldið lagði fyrir þau, innan frestsins sem um getur í 4. og 5. mgr., skal líta svo á að forystueftirlitsyfirvaldið og hlutaðeigandi eftirlitsyfirvöld séu sammála um umrædd drög að ákvörðun og skulu þau bundin af þeim.

7. Forystueftirlitsyfirvaldið skal samþykkja ákvörðunina og tilkynna hana höfuðstöðvum eða hinni einu starfsstöð ábyrgðaraðilans eða vinnsluaðilans, eftir atvikum, og veita hinum eftirlitsyfirvöldunum sem í hlut eiga og persónuverndarráðinu upplýsingar um viðkomandi ákvörðun, þ.m.t. samantekt um þær staðreyndir og ástæður sem máli skipta. Eftirlitsyfirvaldið, sem kvörtun hefur verið lögð fram hjá, skal tilkynna kvartandanum um ákvörðunina.

8. Ef kvörtun er vísað frá eða henni hafnað skal eftirlitsyfirvaldið, sem kvörtun hefur verið lögð fram hjá, samþykkja ákvörðunina, þrátt fyrir 7. mgr., og tilkynna það kvartandanum og upplýsa ábyrgðaraðilann um það.

9. Ef forystueftirlitsyfirvaldið og hlutaðeigandi eftirlitsyfirvöld eru sammála um að vísa frá eða hafna hluta af kvörtun og fjalla um aðra hluta hennar skal samþykkja sérstaka ákvörðun fyrir hvern þessara hluta kvörtunarefnisins. Forystueftirlitsyfirvaldið skal samþykkja ákvörðunina um þann hluta sem varðar aðgerðir í tengslum við ábyrgðaraðilann, tilkynna það höfuðstöðvum eða hinni einu starfsstöð ábyrgðaraðilans eða vinnsluaðilans á yfirráðasvæði aðildarríkis síns og upplýsa kvartandann um það, en eftirlitsyfirvald kvartandans skal samþykkja ákvörðunina um þann hluta sem varðar frávísun eða höfnun umræddrar kvörtunar og tilkynna þá ákvörðun kvartandanum og upplýsa ábyrgðaraðilann eða vinnsluaðilann þar um.

10. Ábyrgðaraðili eða vinnsluaðili skal, eftir að honum hefur borist tilkynning um ákvörðunina skv. 7. og 9. mgr., gera nauðsynlegar ráðstafanir til að tryggja að ákvörðuninni verði fylgt að því er varðar vinnsluaðgerðir sem tengjast öllum starfsstöðvum hans í Sambandinu. Ábyrgðaraðilinn eða vinnsluaðilinn skal tilkynna forystueftirlitsyfirvaldinu um þær ráðstafanir sem hafa verið gerðar til að framfylgja ákvörðuninni og skal það upplýsa önnur hlutaðeigandi eftirlitsyfirvöld um það.

11. Ef hlutaðeigandi eftirlitsyfirvald hefur ástæðu til að ætla, í undantekningartilvikum, að brýn nauðsyn sé á að grípa til aðgerða til að vernda hagsmuni skráðra einstaklinga gildir flýtimeðferðin sem um getur í 66. gr.

12. Forystueftirlitsyfirvaldið og önnur hlutaðeigandi eftirlitsyfirvöld skulu senda hvert öðru upplýsingarnar, sem krafist er samkvæmt þessari grein, með rafrænum hætti og nota til þess staðlað snið.

1. Eftirlitsyfirvöld skulu veita hvert öðru viðeigandi upplýsingar og gagnkvæma aðstoð til þess að framkvæma og beita þessari reglugerð með samræmdum hætti og skulu gera ráðstafanir til að starfa saman á árangursríkan hátt. Gagnkvæm aðstoð skal einkum ná yfir óskir um upplýsingar og eftirlitsráðstafanir, s.s. beiðnir um fyrirframleyfisveitingar og samráð, skoðanir og rannsóknir.

2. Sérhvert eftirlitsyfirvald skal gera allar viðeigandi ráðstafanir sem nauðsynlegar eru til að bregðast við beiðni annars eftirlitsyfirvalds án ástæðulausrar tafar og eigi síðar en einum mánuði eftir að beiðnin berst. Slíkar ráðstafanir geta einkum falið í sér að senda viðeigandi upplýsingar um framkvæmd rannsóknar.

3. Beiðni um aðstoð skal innihalda allar nauðsynlegar upplýsingar, þ.m.t. um tilgang og ástæður beiðninnar. Upplýsingar sem miðlað er má aðeins nota í þeim tilgangi sem lá að baki beiðninni.

4. Eftirlitsyfirvaldið, sem beiðninni er beint til, skal ekki neita að verða við beiðninni nema:
a) viðfangsefni beiðninnar eða þær ráðstafanir, sem óskað er eftir að yfirvaldið grípi til, falli ekki undir heimildir þess eða
b) það að verða við beiðninni myndi brjóta í bága við þessa reglugerð eða lög Sambandsins eða lög aðildarríkis sem eftirlitsyfirvaldið, sem beiðninni er beint til, heyrir undir.

5. Eftirlitsyfirvaldið, sem beiðninni er beint til, skal tilkynna eftirlitsyfirvaldinu, sem lagði fram beiðnina, um niðurstöðurnar eða, eftir því sem við á, framvindu þeirra ráðstafana sem gerðar voru til að bregðast við beiðninni. Neiti eftirlitsyfirvaldið, sem beiðninni er beint til, að verða við beiðni skv. 4. mgr. skal það gefa upp ástæður þess.

6. Eftirlitsyfirvöld, sem beiðninni er beint til, skulu að jafnaði veita upplýsingar sem önnur eftirlitsyfirvöld biðja um með rafrænum hætti og nota til þess staðlað snið.

7. Eftirlitsyfirvöld, sem beiðninni er beint til, skulu ekki krefjast gjalds fyrir aðgerðir sem þau grípa til samkvæmt beiðni um gagnkvæma aðstoð. Eftirlitsyfirvöld geta komið sér saman um reglur til að bæta hvert öðru skaða vegna sérstakra útgjalda sem hljótast af því þegar gagnkvæm aðstoð er veitt í undantekningartilvikum.

8. Ef eftirlitsyfirvald veitir ekki upplýsingarnar, sem um getur í 5. mgr. þessarar greinar, innan eins mánaðar frá því að beiðni berst frá öðru eftirlitsyfirvaldi getur eftirlitsyfirvaldið, sem leggur fram beiðnina, samþykkt bráðabirgðaráðstöfun á yfirráðasvæði eigin aðildarríkis í samræmi við 1. mgr. 55. gr. Í því tilviki skal líta svo á að brýnni þörf á að grípa til aðgerða skv. 1. mgr. 66. gr. hafi verið fullnægt og að hún krefjist skjótrar bindandi ákvörðunar persónuverndarráðsins skv. 2. mgr. 66. gr.

9. Framkvæmdastjórnin getur, með framkvæmdargerðum, ákvarðað snið og tilhögun gagnkvæmrar aðstoðar, sem um getur í þessari grein, og fyrirkomulag við upplýsingaskipti með rafrænum hætti milli eftirlitsyfirvalda og milli eftirlitsyfirvalda og persónuverndarráðsins, einkum staðlaða sniðið sem um getur í 6. mgr. þessarar greinar. Þessar framkvæmdargerðir skulu samþykktar í samræmi við rannsóknarmálsmeðferðina sem um getur í 2. mgr. 93. gr.

62. gr. Sameiginlegar aðgerðir eftirlitsyfirvalda

1. Eftirlitsyfirvöldin skulu, eftir því sem við á, grípa til sameiginlegra aðgerða, þ.m.t. sameiginlegra rannsókna og sameiginlegra framfylgdarráðstafana, sem fulltrúar eða starfsmenn eftirlitsyfirvalda annarra aðildarríkja taka þátt í.

2. Ef ábyrgðaraðilinn eða vinnsluaðilinn hefur starfsstöðvar í fleiri en einu aðildarríki eða ef búast má við að vinnsluaðgerðir hafi umtalsverð áhrif á verulegan fjölda skráðra einstaklinga í fleiri en einu aðildarríki hefur eftirlitsyfirvald hvers þessara aðildarríkja rétt til að taka þátt í sameiginlegum aðgerðum. Eftirlitsyfirvaldið, sem er lögbært skv. 1. eða 4. mgr. 56. gr., skal bjóða eftirlitsyfirvaldi frá sérhverju þessara aðildarríkja að taka þátt í sameiginlegum aðgerðum og skal án tafar bregðast við beiðni eftirlitsyfirvalds um þátttöku.

3. Eftirlitsyfirvald getur, í samræmi við lög aðildarríkis og að fenginni heimild sendieftirlitsyfirvaldsins, veitt fulltrúum eða starfsfólki sendieftirlitsyfirvaldsins, sem tekur þátt í sameiginlegum aðgerðum, valdheimildir, þ.m.t. rannsóknarheimildir, eða, að svo miklu leyti sem heimilt er samkvæmt lögum aðildarríkis gistieftirlitsyfirvaldsins, leyft fulltrúum eða starfsfólki sendieftirlitsyfirvaldsins að beita rannsóknarheimildum sínum í samræmi við lög aðildarríkis sendieftirlitsyfirvaldsins. Aðeins er heimilt að beita slíkum rannsóknarheimildum undir leiðsögn fulltrúa eða starfsfólks gistieftirlitsyfirvaldsins og í þeirra viðurvist. Fulltrúar eða starfsfólk sendieftirlitsyfirvaldsins skal falla undir lög aðildarríkis gistieftirlitsyfirvaldsins.

4. Þegar starfsmenn sendieftirlitsyfirvalds eru að störfum í öðru aðildarríki, í samræmi við 1. mgr., skal aðildarríki gistieftirlitsyfirvaldsins bera ábyrgð á störfum þeirra, þ.m.t. bótaábyrgð, vegna hvers þess tjóns sem þeir valda með aðgerðum sínum í samræmi við löggjöf þess aðildarríkis þar sem þeir eru að störfum.

5. Aðildarríkið þar sem tjónið varð skal bæta tjónið með sömu skilyrðum og eiga við um tjón sem þess eigin starfsmenn valda. Ef starfsmenn sendieftirlitsyfirvaldsins hafa valdið aðila tjóni á yfirráðasvæði annars aðildarríkis skal aðildarríki sendieftirlitsyfirvaldsins endurgreiða hinu aðildarríkinu að fullu þær fjárhæðir sem það hefur greitt þeim sem eiga rétt á bótum fyrir þeirra hönd.

6. Með fyrirvara um réttindi gagnvart þriðju aðilum og að undanskilinni 5. mgr. skal hvert aðildarríki, í því tilviki sem kveðið er á um í 1. mgr., forðast að krefja annað aðildarríki um endurgreiðslu skaðabóta vegna tjóns sem um getur í 4. mgr.

7. Ef sameiginleg aðgerð er fyrirhuguð og eftirlitsyfirvald fullnægir ekki skuldbindingunni, sem mælt er fyrir um í öðrum málslið 2. mgr. þessarar greinar, innan eins mánaðar, er hinum eftirlitsyfirvöldunum heimilt að samþykkja bráðabirgðaráðstöfun sem gildir á yfirráðasvæði þess í samræmi við 55. gr. Í því tilviki skal líta svo á að brýnni þörf á að grípa til aðgerða skv. 1. mgr. 66. gr. hafi verið fullnægt og krefjast álits eða skjótrar bindandi ákvörðunar persónuverndarráðsins skv. 2. mgr. 66. gr.

Til að stuðla að samræmdri beitingu þessarar reglugerðar í öllu Sambandinu skulu eftirlitsyfirvöldin eiga samstarf sín í milli og, ef við á, við framkvæmdastjórnina með hjálp samræmingarkerfisins, eins og fram kemur í þessum þætti.

1. Persónuverndarráðið skal gefa út álit ef lögbært eftirlitsyfirvald hyggst samþykkja einhverja af neðangreindum ráðstöfunum. Lögbæra eftirlitsyfirvaldið skal í því skyni senda persónuverndarráðinu drög að ákvörðuninni ef hún:
a) miðar að samþykkt skrár yfir vinnsluaðgerðir sem falla undir kröfu um mat á áhrifum á persónuvernd skv. 4. mgr. 35. gr.,
b) varðar málefni skv. 7. mgr. 40. gr. um það hvort drög að hátternisreglum, eða breytingar eða útvíkkun hátternisreglna, samrýmast þessari reglugerð,
c) miðar að samþykkt krafna varðandi faggildingu aðila skv. 3. mgr. 41. gr., vottunaraðila skv. 3. mgr. 43. gr. eða viðmiðana um faggildingu sem um getur í 5. mgr. 42. gr.,
d) miðar að ákvörðun staðlaðra ákvæða um persónuvernd sem um getur í d-lið 2. mgr. 46. gr. og 8. mgr. 28. gr.,
e) miðar að því að heimila samningsákvæði sem um getur í a-lið 3. mgr. 46. gr. eða
f) miðar að samþykkt bindandi fyrirtækjareglna í skilningi 47. gr.

2. Eftirlitsyfirvald, formaður persónuverndarráðsins eða framkvæmdastjórnin getur óskað eftir því að persónuverndarráðið rannsaki málefni, sem hafa almenna skírskotun eða afleiðingar í fleiri en einu aðildarríki, með það fyrir augum að fá álit þess, einkum ef lögbært eftirlitsyfirvald fer ekki að skyldum um gagnkvæma aðstoð í samræmi við 61. gr. eða sameiginlegar aðgerðir í samræmi við 62. gr.

3. Í þeim tilvikum, sem um getur í 1. og 2. mgr., skal persónuverndarráðið gefa út álit sitt varðandi það mál sem var vísað til þess að því tilskildu að það hafi ekki þegar gefið út álit um sama efni. Fulltrúar í persónuverndarráðinu skulu samþykkja álitið með einföldum meirihluta innan átta vikna. Lengja má frestinn um sex vikur til viðbótar með hliðsjón af því hversu flókið málið er. Að því er varðar drög að ákvörðuninni, sem um getur í 1. mgr., sem er dreift til fulltrúa í persónuverndarráðinu í samræmi við 5. mgr. skal líta svo á að fulltrúi sé samþykkur drögunum ef hann hefur ekki hreyft andmælum innan hæfilegs frests sem formaður tilgreinir.

4. Eftirlitsyfirvöld og framkvæmdastjórnin skulu, án ástæðulausrar tafar, senda persónuverndarráðinu hvers kyns viðeigandi upplýsingar með rafrænum hætti og á stöðluðu sniði, m.a., eftir atvikum, samantekt um staðreyndir málsins, drög að ákvörðuninni, ástæður þess að nauðsynlegt er talið að kveða á um slíka ráðstöfun og sjónarmið annarra hlutaðeigandi eftirlitsyfirvalda.

5. Formaður persónuverndarráðsins skal tilkynna með rafrænum hætti, án ástæðulausrar tafar:
a) fulltrúum í persónuverndarráðinu og framkvæmdastjórninni um allar viðeigandi upplýsingar sem því hafa verið sendar á stöðluðu sniði. Skrifstofa persónuverndarráðsins skal, ef nauðsyn krefur, láta þýða viðeigandi upplýsingar og
b) eftirlitsyfirvaldinu, sem um getur í 1. og 2. mgr., eftir því sem við á, og framkvæmdastjórninni um álitið og birta það.

6. Lögbæra eftirlitsyfirvaldið, sem um getur í 1. mgr., skal ekki samþykkja drög sín að ákvörðuninni sem um getur í 1. mgr. innan þeirra tímamarka sem um getur í 3. mgr.

7. Lögbæra eftirlitsyfirvaldið, sem um getur í 1. mgr., skal taka ýtrasta tillit til álits persónuverndarráðsins og skal, innan tveggja vikna frá því að álitið berst, senda formanni persónuverndarráðsins tilkynningu með rafrænum hætti um hvort það muni standa við drögin að ákvörðuninni eða gera breytingar á þeim og, ef svo er, hin breyttu drög að ákvörðuninni á stöðluðu sniði.

8. Ef lögbæra eftirlitsyfirvaldið, sem um getur í 1. mgr., upplýsir formann persónuverndarráðsins innan frestsins, sem um getur í 7. mgr. þessarar greinar, um að það hyggist ekki fara að áliti persónuverndarráðsins, í heild eða að hluta, og færir rök fyrir því, gildir 1. mgr. 65. gr.

65. gr. Lausn deilumála með hjálp persónuverndarráðsins

1. Til þess að tryggja rétta og samræmda beitingu þessarar reglugerðar í hverju einstöku tilviki skal persónuverndarráðið samþykkja bindandi ákvörðun í eftirfarandi tilvikum:
a) ef hlutaðeigandi eftirlitsyfirvald hefur, í því tilviki sem um getur í 4. mgr. 60. gr., haft uppi viðeigandi og rökstudd andmæli gegn drögum að ákvörðun forystueftirlitsyfirvaldsins og forystueftirlitsyfirvaldið hefur ekki fylgt andmælunum eða hefur hafnað slíkum andmælum þar sem þau séu ekki viðeigandi eða rökstudd. Þessi bindandi ákvörðun skal ná yfir öll málefni sem fjallað er um í þessum viðeigandi og rökstuddu andmælum, einkum hvort um er að ræða brot gegn þessari reglugerð,
b) ef ágreiningur er uppi um hvert af hlutaðeigandi eftirlitsyfirvöldum telst vera lögbært að því er varðar höfuðstöðvarnar,
c) ef lögbært eftirlitsyfirvald óskar ekki eftir áliti persónuverndarráðsins í tilvikum sem um getur í 1. mgr. 64. gr. eða fylgir ekki áliti sem persónuverndarráðið hefur gefið út skv. 64. gr. Í því tilviki getur hlutaðeigandi eftirlitsyfirvald eða framkvæmdastjórnin vísað málinu til persónuverndarráðsins.

2. Persónuverndarráðið skal samþykkja ákvörðunina, sem um getur í 1. mgr., með tveimur þriðju hlutum atkvæða fulltrúa í ráðinu innan eins mánaðar frá því að málið var lagt fyrir það. Lengja má frestinn um einn mánuð til viðbótar með hliðsjón af því hversu flókið málið er. Ákvörðunin, sem um getur í 1. mgr., skal vera rökstudd og henni skal beint til forystueftirlitsyfirvaldsins og allra hlutaðeigandi eftirlitsyfirvalda og vera bindandi fyrir þau.

3. Ef persónuverndarráðið hefur ekki getað tekið ákvörðun innan þeirra tímamarka, sem um getur í 2. mgr., skal það samþykkja ákvörðunina, innan tveggja vikna frá lokum annars mánaðarins sem um getur í 2. mgr., með einföldum meirihluta atkvæða fulltrúa í ráðinu. Ef atkvæði fulltrúa í persónuverndarráðinu falla að jöfnu skal ákvörðunin samþykkt með atkvæði formannsins.

4. Hlutaðeigandi eftirlitsyfirvöld skulu ekki samþykkja ákvörðun um það mál sem vísað er til persónuverndarráðsins skv. 1. mgr. á þeim tímabilum sem um getur í 2. og 3. mgr.

5. Formaður persónuverndarráðsins skal tilkynna, án ótilhlýðilegrar tafar, hlutaðeigandi eftirlitsyfirvöldum um ákvörðunina sem um getur í 1. mgr. Hann skal tilkynna framkvæmdastjórninni um það. Birta skal ákvörðunina á vefsetri persónuverndarráðsins án tafar eftir að eftirlitsyfirvaldið hefur tilkynnt um endanlega ákvörðun sem um getur í 6. mgr.

6. Forystueftirlitsyfirvaldið eða, eftir atvikum, eftirlitsyfirvaldið sem kvörtunin var lögð fram hjá skal samþykkja endanlega ákvörðun sína á grundvelli ákvörðunarinnar, sem um getur í 1. mgr. þessarar greinar, án ótilhlýðilegrar tafar og eigi síðar en einum mánuði eftir að persónuverndarráðið tilkynnir um ákvörðun sína. Forystueftirlitsyfirvaldið eða, eftir atvikum, eftirlitsyfirvaldið, sem kvörtunin var lögð fram hjá, skal upplýsa persónuverndarráðið um hvaða dag endanleg ákvörðun þess er tilkynnt annars vegar ábyrgðaraðilanum eða vinnsluaðilanum og hins vegar hinum skráða. Endanleg ákvörðun hlutaðeigandi eftirlitsyfirvalda skal samþykkt samkvæmt skilmálunum í 7., 8. og 9. mgr. 60. gr. Í endanlegri ákvörðun skal vísa í ákvörðunina, sem um getur í 1. mgr. þessarar greinar, og tilgreina að ákvörðunin, sem um getur í þeirri málsgrein, verði birt á vefsetri persónuverndarráðsins í samræmi við 5. mgr. þessarar greinar. Ákvörðunin, sem um getur í 1. mgr. þessarar greinar, skal fylgja endanlegu ákvörðuninni.

1. Í undantekningartilvikum er hlutaðeigandi eftirlitsyfirvaldi heimilt, þegar það telur brýna nauðsyn á að grípa til aðgerða til verndar réttindum og frelsi skráðra einstaklinga, með undanþágu frá samræmingarkerfinu sem um getur í 63., 64. og 65. gr. eða málsmeðferðinni sem um getur í 60. gr., að samþykkja tafarlaust bráðabirgðaráðstafanir sem er ætlað að hafa réttaráhrif á yfirráðasvæði þess og hafa tiltekinn gildistíma sem skal ekki vera lengri en þrír mánuðir. Eftirlitsyfirvaldið skal án tafar tilkynna öðrum hlutaðeigandi eftirlitsyfirvöldum, persónuverndarráðinu og framkvæmdastjórninni um þessar ráðstafanir og ástæðurnar fyrir samþykkt þeirra.

2. Ef eftirlitsyfirvald hefur gert ráðstöfun skv. 1. mgr. og telur brýnt að samþykkja endanlegar ráðstafanir getur það óskað eftir flýtiáliti eða bindandi flýtiákvörðun persónuverndarráðsins og tilgreint ástæður fyrir beiðni um slíkt álit eða ákvörðun.

3. Sérhvert eftirlitsyfirvald getur óskað eftir flýtiáliti eða bindandi flýtiákvörðun persónuverndarráðsins, eftir því sem við á, ef lögbært eftirlitsyfirvald hefur ekki gert viðeigandi ráðstafanir við aðstæður sem kalla á að brugðist verði við með skjótum hætti til að vernda réttindi og frelsi skráðra einstaklinga, og gefið upp ástæður fyrir beiðni um slíkt álit eða ákvörðun, m.a. hvers vegna brýnt er að grípa til aðgerða.

4. Þrátt fyrir 3. mgr. 64. gr. og 2. mgr. 65. gr. skal samþykkja flýtiálit eða bindandi flýtiákvörðun, sem um getur í 2. og 3. mgr. þessarar greinar, innan tveggja vikna með einföldum meirihluta atkvæða fulltrúa í persónuverndarráðinu.

Framkvæmdastjórnin getur samþykkt almennar framkvæmdargerðir til þess að tilgreina nánar fyrirkomulag við upplýsingaskipti með rafrænum hætti milli eftirlitsyfirvalda og milli eftirlitsyfirvalda og persónuverndarráðsins, einkum staðlaða sniðið sem um getur í 64. gr.
Þessar framkvæmdargerðir skulu samþykktar í samræmi við rannsóknarmálsmeðferðina sem um getur í 2. mgr. 93. gr.

3. þáttur Evrópska persónuverndarráðið

68. gr. Evrópska persónuverndarráðið

1. Evrópska persónuverndarráðinu („persónuverndarráðið") er hér með komið á fót sem stofnun á vegum Sambandsins og skal það hafa réttarstöðu lögaðila.

2. Formaður persónuverndarráðsins kemur fram fyrir hönd þess.

3. Í því skulu eiga sæti yfirmaður eins eftirlitsyfirvalds hvers aðildarríkis og Evrópsku persónuverndarstofnunarinnar eða fulltrúar þeirra hvers um sig.

4. Ef fleiri en eitt eftirlitsyfirvald í aðildarríki bera ábyrgð á að fylgjast með beitingu ákvæða samkvæmt þessari reglugerð skal skipa sameiginlegan fulltrúa í samræmi við löggjöf þess aðildarríkis.

5. Framkvæmdastjórnin hefur rétt til að taka þátt í starfsemi og fundum persónuverndarráðsins án atkvæðisréttar. Framkvæmdastjórnin skal tilnefna fulltrúa sinn. Formaður persónuverndarráðsins skal upplýsa framkvæmdastjórnina um störf sín.

6. Í þeim tilvikum, sem um getur í 65. gr., skal Evrópska persónuverndarstofnunin aðeins hafa atkvæðisrétt um ákvarðanir er varða meginreglur og reglur sem eiga við um stofnanir, aðila, skrifstofur og sérstofnanir Sambandsins sem svara efnislega til meginreglna og reglna þessarar reglugerðar.

1. Persónuverndarráðið skal vera sjálfstætt í störfum sínum og þegar það beitir valdheimildum sínum skv. 70. og 71. gr.

2. Persónuverndarráðið skal í störfum sínum og þegar það beitir valdheimildum sínum hvorki leita eftir né taka við fyrirmælum frá öðrum aðilum, með fyrirvara um beiðnir framkvæmdastjórnarinnar sem um getur í 1. og 2. mgr. 70. gr.

70. gr. Verkefni persónuverndarráðsins

1. Persónuverndarráðið skal tryggja samræmi í beitingu þessarar reglugerðar. Í því skyni skal persónuverndarráðið, annaðhvort að eigin frumkvæði eða, ef við á, að beiðni framkvæmdastjórnarinnar, einkum:
a) fylgjast með og tryggja rétta beitingu þessarar reglugerðar í tilvikum sem kveðið er á um í 64. og 65. gr., án þess að það hafi áhrif á verkefni landsbundinna eftirlitsyfirvalda,
b) veita framkvæmdastjórninni ráðgjöf um hvers kyns mál er tengjast vernd persónuupplýsinga í Sambandinu, m.a. varðandi tillögur að breytingum á þessari reglugerð,
c) veita framkvæmdastjórninni ráðgjöf um snið og aðferðir við upplýsingaskipti milli ábyrgðaraðila, vinnsluaðila og eftirlitsyfirvalda að því er varðar bindandi fyrirtækjareglur,
d) gefa út viðmiðunarreglur, tilmæli og bestu starfsvenjur í tengslum við verklag við að afmá tengla, afrit eða eftirmyndir af persónuupplýsingum hjá fjarskiptaþjónustu sem er aðgengileg almenningi, eins og um getur í 2. mgr. 17. gr.,
e) kanna, að eigin frumkvæði, að beiðni fulltrúa síns eða framkvæmdastjórnarinnar, hvers kyns álitaefni sem varða beitingu þessarar reglugerðar og gefa út viðmiðunarreglur, tilmæli og bestu starfsvenjur til þess að hvetja til samræmdrar beitingar hennar,
f) gefa út viðmiðunarreglur, tilmæli og bestu starfsvenjur í samræmi við e-lið þessarar málsgreinar til að tilgreina nánar viðmiðanir og skilyrði fyrir ákvörðunum sem byggðar eru á gerð persónusniðs skv. 2. mgr. 22. gr.,
g) gefa út viðmiðunarreglur, tilmæli og bestu starfsvenjur í samræmi við e-lið þessarar málsgreinar að því er varðar staðfestingu á öryggisbresti við meðferð persónuupplýsinga og ákvörðun ótilhlýðilegrar tafar sem um getur í 1. og 2. mgr. 33. gr. og þær tilteknu aðstæður þegar ábyrgðaraðili eða vinnsluaðili verður að tilkynna um slíkan öryggisbrest við meðferð persónuupplýsinga,
h) gefa út viðmiðunarreglur, tilmæli og bestu starfsvenjur í samræmi við e-lið þessarar málsgreinar að því er varðar aðstæður þegar líklegt er að öryggisbrestur við meðferð persónuupplýsinga leiði af sér mikla áhættu fyrir réttindi og frelsi þeirra einstaklinga sem um getur í 1. mgr. 34. gr.,
i) gefa út viðmiðunarreglur, tilmæli og bestu starfsvenjur í samræmi við e-lið þessarar málsgreinar að því er varðar nánari tilgreiningu á viðmiðunum og kröfum varðandi miðlun persónuupplýsinga á grundvelli bindandi fyrirtækjareglna sem ábyrgðaraðilar hlíta og bindandi fyrirtækjareglna sem vinnsluaðilar hlíta og frekari kröfum sem nauðsynlegar eru til að tryggja vernd persónuupplýsinga þeirra hlutaðeigandi skráðu einstaklinga sem um getur í 47. gr.,
j) gefa út viðmiðunarreglur, tilmæli og bestu starfsvenjur í samræmi við e-lið þessarar málsgreinar í þeim tilgangi að tilgreina nánar viðmiðanir og skilyrði varðandi miðlun persónuupplýsinga skv. 1. mgr. 49. gr.,
k) semja viðmiðunarreglur fyrir eftirlitsyfirvöld um beitingu þeirra ráðstafana sem um getur í 1., 2. og 3. mgr. 58. gr. og álagningu stjórnsýslusekta skv. 83. gr.,
l) endurskoða beitingu viðmiðunarreglna, tilmæla og bestu starfsvenja,
m) gefa út viðmiðunarreglur, tilmæli og bestu starfsvenjur í samræmi við e-lið þessarar málsgreinar til að koma á sameiginlegri málsmeðferð að því er varðar tilkynningar einstaklinga um brot gegn ákvæðum þessarar reglugerðar skv. 2. mgr. 54. gr.,
n) hvetja til þess að samdar verði hátternisreglur og að komið verði á vottunarfyrirkomulagi vegna persónuverndar og persónuverndarinnsigla og -merkja skv. 40. og 42. gr.,
o) samþykkja viðmiðanir vegna vottunar skv. 5. mgr. 42. gr. og halda opinbera skrá yfir vottunarfyrirkomulag og persónuverndarinnsigli og -merki skv. 8. mgr. 42. gr. og vottaða ábyrgðaraðila eða vinnsluaðila með staðfestu í þriðju löndum skv. 7. mgr. 42. gr.,
p) samþykkja kröfurnar, sem um getur í 3. mgr. 43. gr., að því er varðar faggildingu vottunaraðila sem um getur í 43. gr.,
q) láta framkvæmdastjórninni í té álitsgerð um vottunarkröfurnar sem um getur í 8. mgr. 43. gr.,
r) láta framkvæmdastjórninni í té álitsgerð um táknmyndirnar sem um getur í 7. mgr. 12. gr.,
s) láta framkvæmdastjórninni í té álitsgerð vegna mats á því hvort vernd sé fullnægjandi í þriðja landi eða hjá alþjóðastofnun, einnig vegna mats á því hvort þriðja land, yfirráðasvæði eða einn eða fleiri tilgreindir geirar innan umrædds þriðja lands eða alþjóðastofnun tryggi ekki lengur fullnægjandi vernd. Í því skyni skal framkvæmdastjórnin láta persónuverndarráðinu í té öll nauðsynleg gögn, þ.m.t. bréfaskipti við ríkisstjórn þriðja landsins að því er varðar umrætt þriðja land, yfirráðasvæði eða tilgreindan geira, eða við alþjóðastofnunina,
t) leggja fram álit varðandi drög að ákvörðunum eftirlitsyfirvalda samkvæmt samræmingarkerfinu sem um getur í 1. mgr. 64. gr., málefni, sem lögð eru fram skv. 2. mgr. 64. gr., og gefa út bindandi ákvarðanir skv. 65. gr., m.a. í þeim tilvikum sem um getur í 66. gr.,
u) stuðla að samvinnu og skilvirkum tvíhliða og marghliða skiptum á upplýsingum og bestu starfsvenjum milli eftirlitsyfirvaldanna,
v) stuðla að sameiginlegum þjálfunaráætlunum og greiða fyrir starfsmannaskiptum milli eftirlitsyfirvalda og, ef við á, gagnvart eftirlitsyfirvöldum þriðju landa eða alþjóðastofnunum,
w) stuðla að skiptum á þekkingu og gögnum um persónuverndarlöggjöf og starfsvenjur við eftirlitsyfirvöld á sviði persónuverndar um heim allan,
x) gefa út álit um hátternisreglur sem eru samdar á vettvangi Sambandsins skv. 9. mgr. 40. gr. og
y) halda rafræna skrá, sem er aðgengileg almenningi, yfir ákvarðanir sem eftirlitsyfirvöld og dómstólar taka um mál sem tekin eru til meðferðar í samræmingarkerfinu.

2. Þegar framkvæmdastjórnin óskar eftir ráðgjöf persónuverndarráðsins getur hún tilgreint frest með hliðsjón af því hversu brýnt málið er.

3. Persónuverndarráðið skal framsenda álit sitt, viðmiðunarreglur, tilmæli og bestu starfsvenjur til framkvæmdastjórnarinnar og til nefndarinnar sem um getur í 93. gr. og birta opinberlega.

4. Persónuverndarráðið skal, eftir því sem við á, hafa samráð við hagsmunaaðila og gefa þeim tækifæri til að leggja fram athugasemdir innan hæfilegs tíma. Persónuverndarráðið skal, með fyrirvara um 76. gr., gera niðurstöður samráðsferlisins aðgengilegar almenningi.

1. Persónuverndarráðið skal semja ársskýrslu um vernd einstaklinga í tengslum við vinnslu í Sambandinu og, ef við á, þriðju löndum og hjá alþjóðastofnunum. Skýrslan skal birt opinberlega og send til Evrópuþingsins, ráðsins og framkvæmdastjórnarinnar.

2. Í skýrslunni skal m.a. koma fram endurskoðun á því hvernig viðmiðunarreglum, tilmælum og bestu starfsvenjum, sem um getur í l-lið 1. mgr. 70. gr., er beitt í reynd, sem og bindandi ákvörðunum sem um getur í 65. gr.

1. Persónuverndarráðið skal taka ákvarðanir með einföldum meirihluta fulltrúa sinna nema kveðið sé á um annað í þessari reglugerð.

2. Persónuverndarráðið skal setja sér starfsreglur með tveimur þriðju hlutum atkvæða fulltrúa sinna og skipuleggja starfsfyrirkomulag sitt.

1. Persónuverndarráðið skal kjósa formann og tvo varaformenn úr röðum fulltrúa sinna með einföldum meirihluta.

2. Skipunartími formanns og varaformanna er fimm ár og má endurnýja hann einu sinni.

1. Formaðurinn skal sinna eftirfarandi verkefnum:
a) boða til funda í persónuverndarráðinu og undirbúa fundardagskrá,
b) tilkynna forystueftirlitsyfirvaldinu og hlutaðeigandi eftirlitsyfirvöldum um ákvarðanir sem persónuverndarráðið samþykkir skv. 65. gr.,
c) tryggja tímanlega framkvæmd verkefna persónuverndarráðsins, einkum að því er varðar samræmingarkerfið sem um getur í 63. gr.

2. Persónuverndarráðið skal mæla fyrir um skiptingu verkefna milli formanns og varaformanna í starfsreglum sínum.

1. Persónuverndarráðið skal hafa skrifstofu sem Evrópska persónuverndarstofnunin sér því fyrir.

2. Skrifstofan vinnur verkefni sín alfarið samkvæmt fyrirmælum formanns persónuverndarráðsins.

3. Starfsfólk Evrópsku persónuverndarstofnunarinnar, sem tekur þátt í framkvæmd verkefna sem persónuverndarráðinu eru falin með þessari reglugerð, skal fylgja öðrum boðleiðum en það starfsfólk sem tekur þátt í framkvæmd verkefna sem Evrópsku persónuverndarstofnuninni eru falin.

4. Persónuverndarráðið og Evrópska persónuverndarstofnunin skulu, eftir því sem við á, setja fram og birta viljayfirlýsingu til framkvæmdar þessari grein, þar sem skilmálar samstarfs þeirra eru ákvarðaðir og sem á við um starfsfólk Evrópsku persónuverndarstofnunarinnar sem tekur þátt í framkvæmd verkefna sem persónuverndarráðinu eru falin með þessari reglugerð.

5. Skrifstofan skal veita persónuverndarráðinu stuðning á sviði greiningar, stjórnunar og skipulags.

6. Skrifstofan ber einkum ábyrgð á:
a) daglegum rekstri persónuverndarráðsins,
b) samskiptum milli fulltrúa í persónuverndarráðinu, formanns þess og framkvæmdastjórnarinnar,
c) samskiptum við aðrar stofnanir og við almenning,
d) notkun rafrænna miðla fyrir innri og ytri samskipti,
e) þýðingum á viðeigandi upplýsingum,
f) undirbúningi fyrir fundi persónuverndarráðsins og eftirfylgni í kjölfar þeirra,
g) undirbúningi, gerð og birtingu álitsgerða, ákvarðana um lausn deilumála milli eftirlitsyfirvalda og annars texta sem persónuverndarráðið samþykkir.

1. Trúnaður skal ríkja um umfjöllun persónuverndarráðsins ef það telur slíkt nauðsynlegt, eins og kveðið er á um í starfsreglum þess.

2. Um aðgang að skjölum, sem send eru fulltrúum í persónuverndarráðinu, sérfræðingum og fulltrúum þriðju aðila, fer samkvæmt reglugerð Evrópuþingsins og ráðsins (EB) nr. 1049/2001 ( Reglugerð Evrópuþingsins og ráðsins (EB) nr. 1049/2001 frá 30. maí 2001 um almennan aðgang að skjölum Evrópuþingsins, ráðsins og framkvæmdastjórnarinnar (Stjtíð. EB L 145, 31.5.2001, bls. 43).).

VIII. kafli. Úrræði, bótaábyrgð og viðurlög

77. gr. Réttur til að leggja fram kvörtun hjá eftirlitsyfirvaldi

1. Sérhver skráður einstaklingur skal, án þess að það hafi áhrif á önnur stjórnsýslu- eða réttarúrræði, hafa rétt til að leggja fram kvörtun hjá eftirlitsyfirvaldi, einkum í því aðildarríki þar sem hann hefur fasta búsetu, vinnur eða þar sem meint brot átti sér stað ef hann telur að vinnsla persónuupplýsinga um sig brjóti í bága við þessa reglugerð.

2. Eftirlitsyfirvaldið, sem kvörtunin var lögð fram hjá, skal upplýsa kvartandann um framvindu og niðurstöður vegna kvörtunarinnar, m.a. möguleikann á réttarúrræði skv. 78. gr.

78. gr. Réttur til skilvirks úrræðis til að leita réttar síns gagnvart eftirlitsyfirvaldi

1. Hver einstaklingur eða lögaðili skal, án þess að það hafi áhrif á önnur stjórnsýsluúrræði eða úrræði utan dómstóla, hafa rétt til raunhæfs úrræðis vegna lagalega bindandi ákvörðunar eftirlitsyfirvalds sem hann varðar.

2. Hver skráður einstaklingur skal, án þess að það hafi áhrif á önnur stjórnsýsluúrræði eða úrræði utan dómstóla, hafa rétt til raunhæfs úrræðis til að leita réttar síns ef eftirlitsyfirvaldið, sem er lögbært skv. 55. og 56. gr., tekur kvörtun ekki til meðferðar eða upplýsir hinn skráða ekki innan þriggja mánaða um framvindu eða niðurstöður vegna kvörtunarinnar sem lögð var fram skv. 77. gr.

3. Mál gegn eftirlitsyfirvaldi skal höfðað fyrir dómstólum í aðildarríkinu þar sem eftirlitsyfirvaldið hefur staðfestu.

4. Ef mál er höfðað gegn ákvörðun eftirlitsyfirvalds eftir að persónuverndarráðið hefur lagt fram álit sitt eða ákvörðun í samræmingarkerfinu skal eftirlitsyfirvaldið framsenda viðkomandi álit eða ákvörðun til dómstólsins.

79. gr. Réttur til skilvirks úrræðis til að leita réttar síns gagnvart ábyrgðaraðila eða vinnsluaðila

1. Sérhver skráður einstaklingur skal, án þess að það hafi áhrif á önnur fyrirliggjandi stjórnsýsluúrræði eða úrræði utan dómstóla, m.a. réttinn til að leggja fram kvörtun hjá eftirlitsyfirvaldi skv. 77. gr., hafa rétt til skilvirks úrræðis til að leita réttar síns ef hann telur að brotið hafi verið gegn réttindum sínum samkvæmt þessari reglugerð á grundvelli þess að vinnsla persónuupplýsinga um hann samrýmist ekki þessari reglugerð.

2. Höfða skal mál gegn ábyrgðaraðila eða vinnsluaðila fyrir dómstólum í aðildarríkinu þar sem ábyrgðaraðilinn eða vinnsluaðilinn hefur staðfestu. Að öðrum kosti er heimilt að höfða slíkt mál fyrir dómstólum aðildarríkisins þar sem hinn skráði hefur fasta búsetu nema ábyrgðaraðilinn eða vinnsluaðilinn sé opinbert yfirvald aðildarríkis sem fer með opinbert vald.

80. gr. Fyrirsvar skráðra einstaklinga

1. Skráður einstaklingur skal hafa rétt til að veita stofnun, samtökum eða félagi, sem ekki eru rekin í hagnaðarskyni og sem stofnuð eru í samræmi við lög aðildarríkis, hafa lögboðin markmið í þágu almannahagsmuna og eru virk á sviði verndar réttinda og frelsis skráðra einstaklinga að því er varðar vernd persónuupplýsinga um þá, umboð til að leggja fram kvörtun fyrir sína hönd, að neyta þeirra réttinda sem um getur í 77., 78. og 79. gr., fyrir sína hönd og að neyta réttarins til skaðabóta, sem um getur í 82. gr., fyrir sína hönd ef kveðið er á um það í lögum aðildarríkisins.

2. Aðildarríki er heimilt að mæla fyrir um að stofnun, samtök eða félag, sem um getur í 1. mgr. þessarar greinar, hafi rétt, óháð því hvort hinn skráði hefur veitt umboð til þess, til að leggja fram, í viðkomandi aðildarríki, kvörtun hjá því eftirlitsyfirvaldi sem er lögbært skv. 77. gr. og að neyta þeirra réttinda, sem um getur í 78. og 79. gr., hafi þau ástæðu til að ætla að réttindi skráðs einstaklings samkvæmt þessari reglugerð hafi verið brotin vegna vinnslunnar.

1. Hafi lögbær dómstóll aðildarríkis fengið upplýsingar um dómsmál, sem varðar sama málefni vegna vinnslu af hálfu sama ábyrgðaraðila eða vinnsluaðila og er til meðferðar hjá dómstól í öðru aðildarríki, skal hann hafa samband við dómstólinn í því aðildarríki til að fá staðfest hvort um slíkt dómsmál er að ræða.

2. Ef mál um sama álitaefni vegna vinnslu sama ábyrgðaraðila eða vinnsluaðila er til meðferðar fyrir dómstóli í öðru aðildarríki getur hvaða þar til bær dómstóll sem er, annar en sá sem málið var fyrst höfðað fyrir, frestað málsmeðferð sinni.

3. Ef málið er til meðferðar á fyrsta dómstigi getur hvaða dómstóll sem er, annar en sá sem málið var fyrst höfðað fyrir, einnig vísað málinu frá samkvæmt kröfu eins málsaðilans ef sá dómstóll, sem mál er fyrst höfðað fyrir, hefur dómsvald um kröfurnar og lög, sem gilda við þann dómstól, heimila að skyldar kröfur séu sóttar sameiginlega.

1. Hver sem hefur orðið fyrir eignatjóni eða óefnislegu tjóni vegna brots á ákvæðum þessarar reglugerðar skal eiga rétt á skaðabótum frá ábyrgðaraðila eða vinnsluaðila fyrir það tjón sem hann hefur orðið fyrir.

2. Ábyrgðaraðili, sem tekur þátt í vinnslu, skal bera ábyrgð á því tjóni sem hlýst af vinnslu sem brýtur í bága við þessa reglugerð. Vinnsluaðili skal því aðeins bera ábyrgð á tjóni, sem hlýst af vinnslu, hafi hann ekki uppfyllt skyldur samkvæmt þessari reglugerð, sem beinast sérstaklega að vinnsluaðilum, eða ef hann hefur ekki fylgt lögmætum fyrirmælum ábyrgðaraðilans eða farið gegn þeim.

3. Ábyrgðaraðili eða vinnsluaðili skal vera undanþeginn bótaábyrgð skv. 2. mgr. ef hann getur fært sönnur á að hann beri enga ábyrgð á atburðinum sem olli tjóninu.

4. Ef fleiri en einn ábyrgðaraðili eða vinnsluaðili, eða bæði ábyrgðaraðili og vinnsluaðili, koma að sömu vinnslu og ef þeir bera, skv. 2. og 3. mgr., ábyrgð á tjóni sem hlýst af vinnslu skal hver ábyrgðaraðili eða vinnsluaðili vera ábyrgur fyrir öllu tjóninu til að tryggja hinum skráða fullar skaðabætur.

5. Ef ábyrgðaraðili eða vinnsluaðili hefur greitt fullar skaðabætur vegna tjónsins, í samræmi við 4. mgr., skal hann eiga rétt á að krefjast þess að aðrir ábyrgðaraðilar eða vinnsluaðilar, sem komu að sömu vinnslu, endurgreiði þann hluta bótanna sem samsvarar hlutdeild þeirra í ábyrgð á tjóninu, í samræmi við skilyrðin sem sett eru fram í 2. mgr.

6. Dómsmál til að neyta réttarins til bóta skulu rekin fyrir dómstólum sem eru til þess bærir samkvæmt lögum aðildarríkisins sem um getur í 2. mgr. 72. gr.

83. gr. Almenn skilyrði fyrir álagningu stjórnsýslusekta

1. Sérhvert eftirlitsyfirvald skal sjá til þess að álagning stjórnsýslusekta samkvæmt þessari grein vegna brota á reglugerð þessari, sem um getur í 4., 5. og 6. mgr., sé í hverju tilviki skilvirk, í réttu hlutfalli við brot og hafi varnaðaráhrif.

2. Leggja skal á stjórnsýslusektir, allt eftir aðstæðum í hverju tilviki, til viðbótar við eða í stað ráðstafana sem um getur í a- til h-lið og j-lið 2. mgr. 58. gr. Þegar ákveðið er hvort beita skuli stjórnsýslusekt og upphæð sektarinnar er ákveðin í hverju tilviki fyrir sig skal taka tilhlýðilegt tillit til eftirfarandi:
a) þess hvers eðlis, hversu alvarlegt og hversu langvarandi brotið er, með tilliti til eðlis, umfangs eða tilgangs vinnslunnar sem um er að ræða og fjölda skráðra einstaklinga sem urðu fyrir því og hversu alvarlegu tjóni þeir urðu fyrir,
b) þess hvort brotið var framið af ásetningi eða af gáleysi,
c) aðgerða sem ábyrgðaraðilinn eða vinnsluaðilinn hefur gripið til í því skyni að draga úr tjóni skráðra einstaklinga,
d) þess hversu mikla ábyrgð ábyrgðaraðili eða vinnsluaðili ber með tilliti til tæknilegra og skipulagslegra ráðstafana sem hann hefur komið til framkvæmda skv. 25. og 32. gr.,
e) fyrri brota ábyrgðaraðila eða vinnsluaðila sem máli skipta, ef einhver eru,
f) umfangs samvinnu við eftirlitsyfirvaldið til þess að bæta úr brotinu og draga úr mögulegum, skaðlegum áhrifum þess,
g) þess hvaða flokka persónuupplýsinga brotið hafði áhrif á,
h) þess með hvaða hætti eftirlitsyfirvaldinu var gert kunnugt um brotið, einkum hvort, og þá að hvaða leyti, ábyrgðaraðili eða vinnsluaðili tilkynnti um brotið,
i) fylgni við ráðstafanir, sem um getur í 2. mgr. 58. gr., ef áður hefur verið mælt fyrir um slíkar ráðstafanir gegn hlutaðeigandi ábyrgðaraðila eða vinnsluaðila að því er varðar sama efni,
j) fylgni við viðurkenndar hátternisreglur skv. 40. gr. eða viðurkennt vottunarfyrirkomulag skv. 42. gr. og
k) annarra íþyngjandi eða mildandi þátta sem varða kringumstæður málsins, s.s. hagnaðar sem fékkst eða taps sem komist var hjá, með beinum eða óbeinum hætti, vegna brotsins.

3. Ef ábyrgðaraðili eða vinnsluaðili brýtur, af ásetningi eða af gáleysi, gegn fleiri en einu ákvæði þessarar reglugerðar við sömu eða tengdar vinnsluaðgerðir skal heildarfjárhæð stjórnsýslusektarinnar ekki vera hærri en fjárhæðin sem er tilgreind fyrir alvarlegasta brotið.

4. Brot gegn eftirfarandi ákvæðum skulu, í samræmi við 2. mgr., varða stjórnsýslusektum sem nema allt að 10 000 000 evrum eða, ef um er að ræða fyrirtæki, allt að 2% af árlegri heildarveltu fyrirtækisins á heimsvísu á næstliðnu fjárhagsári, hvort heldur er hærra:
a) skyldum ábyrgðaraðila og vinnsluaðila skv. 8. gr., 11. gr., 25.-39. gr. og 42.-43. gr.,
b) skyldum vottunaraðila skv. 42. og 43. gr.,
c) skyldum eftirlitsaðila skv. 4. mgr. 41. gr.

5. Brot gegn eftirfarandi ákvæðum skulu, í samræmi við 2. mgr., varða stjórnsýslusektum sem nema allt að 20 000 000 evrum eða, ef um er að ræða fyrirtæki, allt að 4% af árlegri heildarveltu fyrirtækisins á heimsvísu á næstliðnu fjárhagsári, hvort heldur er hærra:
a) grundvallarreglum um vinnslu, þ.m.t. skilyrðum fyrir samþykki, skv. 5., 6., 7. og 9. gr.,
b) réttindum skráðra einstaklinga skv. 12.-22. gr.,
c) miðlun persónuupplýsinga til viðtakanda í þriðja landi eða alþjóðastofnunar skv. 44.-49. gr.,
d) skyldum samkvæmt lögum aðildarríkis sem samþykkt eru skv. IX. kafla,
e) ekki er farið að fyrirmælum eða tímabundinni eða varanlegri takmörkun á vinnslu eða tímabundinni stöðvun gagnaflæðis af hálfu eftirlitsyfirvaldsins skv. 2. mgr. 58. gr. eða ekki er farið að skyldu til að veita aðgang skv. 1. mgr. 58. gr.

6. Ef ekki er farið að fyrirmælum eftirlitsyfirvaldsins, eins og um getur í 2. mgr. 58. gr., skal það varða, í samræmi við 2. mgr. þessarar greinar, stjórnsýslusektum sem nema allt að 20 000 000 evrum eða, ef um er að ræða fyrirtæki, allt að 4% af árlegri heildarveltu fyrirtækisins á heimsvísu á næstliðnu fjárhagsári, hvort heldur er hærra.

7. Með fyrirvara um valdheimildir eftirlitsyfirvalda til að gera ráðstafanir til úrbóta skv. 2. mgr. 58. gr. er hverju aðildarríki heimilt að mæla fyrir um reglur um það hvort og að hve miklu leyti heimilt er að leggja stjórnsýslusektir á opinber yfirvöld og stofnanir með staðfestu í aðildarríkinu.

8. Beiting eftirlitsyfirvaldsins á valdheimildum sínum samkvæmt þessari grein skal lúta viðeigandi réttarfarsreglum í samræmi við lög Sambandsins og lög aðildarríkis, m.a. um skilvirka réttarvernd og sanngjarna málsmeðferð.

9. Ef ákvæði um stjórnsýslusektir er ekki að finna í réttarkerfi aðildarríkisins er heimilt að beita þessari grein þannig að lögbært eftirlitsyfirvald eigi frumkvæði að sektinni og þar til bærir landsdómstólar leggi hana á en jafnframt sé tryggt að þessi lagalegu úrræði séu skilvirk og hafi jafngild áhrif og stjórnsýslusektir sem eftirlitsyfirvöld leggja á. Álagðar sektir skulu þó ætíð vera skilvirkar, í réttu hlutfalli við brot og hafa varnaðaráhrif. Viðkomandi aðildarríki skulu tilkynna framkvæmdastjórninni eigi síðar en 25. maí 2018 um ákvæði laga sem þau samþykkja samkvæmt þessari málsgrein og skulu án tafar tilkynna um síðari breytingalög eða breytingar sem hafa áhrif á þau.

1. Aðildarríkin skulu ákvarða reglur um önnur viðurlög við brotum gegn þessari reglugerð, einkum brotum sem varða ekki stjórnsýslusektum skv. 83. gr., og skulu gera allar nauðsynlegar ráðstafanir til að sjá til þess að þeim sé komið til framkvæmda. Slík viðurlög skulu vera skilvirk, í réttu hlutfalli við brot og hafa varnaðaráhrif.

2. Sérhvert aðildarríki skal tilkynna framkvæmdastjórninni eigi síðar en 25. maí 2018 um ákvæði landslaga sem þau hafa samþykkt skv. 1. mgr. og skulu án tafar tilkynna um síðari breytingar sem hafa áhrif á þau.

IX. kafli. Ákvæði sem varða sérstakar vinnsluaðstæður

85. gr. Vinnsla og tjáningar- og upplýsingafrelsi

1. Aðildarríki skulu samkvæmt lögum samræma réttinn til verndar persónuupplýsingum samkvæmt þessari reglugerð og réttinn til tjáningar- og upplýsingafrelsis, þ.m.t. vinnslu vegna fréttamennsku og starfsemi fræðimanna eða listrænnar eða bókmenntalegrar tjáningar.

2. Að því er varðar vinnslu í þágu fréttamennsku eða starfsemi fræðimanna eða listrænnar eða bókmenntalegrar tjáningar skulu aðildarríkin kveða á um undanþágur eða frávik frá II. kafla (meginreglur), III. kafla (réttindi skráðs einstaklings), IV. kafla (ábyrgðaraðili og vinnsluaðili), V. kafla (miðlun persónuupplýsinga til þriðju landa eða alþjóðastofnana), VI. kafla (sjálfstæð eftirlitsyfirvöld), VII. kafla (samstarf og samræming) og IX. kafla (gagnavinnsla við tilteknar aðstæður) ef það er nauðsynlegt til þess að samræma réttinn til verndar persónuupplýsingum og réttinn til tjáningar- og upplýsingafrelsis.

3. Sérhvert aðildarríki skal tilkynna framkvæmdastjórninni um ákvæði landslaga sem þau hafa samþykkt skv. 2. mgr. og skulu þau án tafar tilkynna um síðari breytingalög eða breytingar sem hafa áhrif á þau.

86. gr. Vinnsla og aðgangur almennings að opinberum skjölum

Opinberu yfirvaldi, opinberri stofnun eða einkaaðila er heimilt að afhenda persónuupplýsingar úr opinberum skjölum, sem yfirvaldið, stofnunin eða aðilinn hefur í sinni vörslu vegna framkvæmdar verkefnis í þágu almannahagsmuna, í samræmi við lög Sambandsins eða lög aðildarríkis sem opinbera yfirvaldið eða stofnunin heyrir undir, til þess að samræma aðgang almennings að opinberum skjölum og réttinn til verndar persónuupplýsingum samkvæmt þessari reglugerð.

87. gr. Vinnsla landsbundins auðkennisnúmers

Aðildarríkjum er heimilt að ákvarða frekar hvaða sértæku skilyrði gilda um vinnslu landsbundinna auðkennisnúmera eða annarra almennra auðkenna. Í því tilviki skal því aðeins nota landsbundið auðkennisnúmer eða annað almennt auðkenni að gerðar séu viðeigandi verndarráðstafanir varðandi réttindi og frelsi hins skráða samkvæmt þessari reglugerð.

88. gr. Vinnsla í atvinnutengdu samhengi

1. Aðildarríkjum er heimilt, með lögum eða kjarasamningum, að kveða á um sértækar reglur til að tryggja vernd réttinda og frelsis við vinnslu persónuupplýsinga starfsmanns í atvinnutengdu samhengi, einkum að því er varðar ráðningu, framkvæmd ráðningarsamnings, m.a. uppfyllingu skuldbindinga sem mælt er fyrir um í lögum eða kjarasamningum, stjórnun, undirbúning og skipulagningu vinnunnar, jafnrétti og fjölbreytileika á vinnustaðnum, heilbrigði og öryggi á vinnustað, vernd eigna vinnuveitanda eða viðskiptavinar og það að starfstengd réttindi og fríðindi séu nýtt og þeirra notið sameiginlega eða einstaklingsbundið, sem og í þeim tilgangi að ljúka ráðningarsambandi.

2. Þessar reglur skulu ná yfir viðeigandi og sértækar ráðstafanir til að vernda mannlega reisn hins skráða, lögmæta hagsmuni hans og grundvallarréttindi, með sérstöku tilliti til gagnsæis vinnslunnar, miðlunar persónuupplýsinga innan fyrirtækjasamstæðu eða hóps fyrirtækja sem stunda sameiginlega atvinnustarfsemi og vöktunarkerfa á vinnustað.

3. Sérhvert aðildarríki skal tilkynna framkvæmdastjórninni eigi síðar en 25. maí 2018 um ákvæði landslaga sem þau hafa samþykkt skv. 1. mgr. og skulu án tafar tilkynna um síðari breytingar sem hafa áhrif á þau.

89. gr. Verndarráðstafanir og undanþágur sem varða vinnslu vegna skjalavistunar í þágu almannahagsmuna, rannsókna á sviði vísinda eða sagnfræði eða í tölfræðilegum tilgangi

1. Vinnsla vegna skjalavistunar í þágu almannahagsmuna, rannsókna á sviði vísinda eða sagnfræði eða í tölfræðilegum tilgangi skal vera háð viðeigandi ráðstöfunum til verndar réttindum og frelsi hins skráða í samræmi við þessa reglugerð. Þessar verndarráðstafanir skulu tryggja að tæknilegar og skipulagslegar ráðstafanir séu gerðar, einkum til þess að tryggja að farið sé að meginreglunni um lágmörkun gagna. Notkun gerviauðkenna getur verið á meðal þessara ráðstafana, að því tilskildu að ná megi þessum markmiðum með þeim hætti. Ef hægt er að ná umræddum markmiðum með frekari vinnslu sem leyfir ekki, eða leyfir ekki lengur, persónugreiningu skráðra einstaklinga skal þessum markmiðum náð með þeim hætti.

2. Þegar vinnsla persónuupplýsinga fer fram í þágu rannsókna á sviði vísinda eða sagnfræði eða í tölfræðilegum tilgangi geta lög Sambandsins eða lög aðildarríkis kveðið á um undanþágur frá þeim réttindum sem um getur í 15., 16., 18. og 21. gr., með fyrirvara um skilyrði og verndarráðstafanir sem um getur í 1. mgr. þessarar greinar, að svo miklu leyti sem telja má að slík réttindi geri það ómögulegt eða hamli því verulega að unnt sé að ná viðkomandi markmiðum og slíkar undanþágur eru nauðsynlegar til að þeim verði náð.

3. Þegar vinnsla persónuupplýsinga fer fram vegna skjalavistunar í þágu almannahagsmuna geta lög Sambandsins eða lög aðildarríkis kveðið á um undanþágur frá þeim réttindum, sem um getur í 15., 16., 18., 19., 20. og 21. gr., með fyrirvara um skilyrði og verndarráðstafanir sem um getur í 1. mgr. þessarar greinar, að svo miklu leyti sem telja má að þessi réttindi geri það ómögulegt eða hamli því verulega að unnt sé að ná viðkomandi markmiðum og slíkar undanþágur eru nauðsynlegar til að þeim verði náð.

4. Þegar vinnsla, sem um getur í 2. og 3. mgr., þjónar á sama tíma öðrum tilgangi skulu undanþágurnar aðeins gilda um vinnslu í þeim tilgangi sem um getur í þeim málsgreinum.

1. Aðildarríkin geta samþykkt sértækar reglur til að ákvarða valdheimildir eftirlitsyfirvaldanna, sem mælt er fyrir um í e- og f-lið 1. mgr. 58. gr., með tilliti til ábyrgðaraðila eða vinnsluaðila, sem falla undir þagnarskyldu samkvæmt lögum Sambandsins eða lögum aðildarríkis eða reglum sem þar til bærir innlendir aðilar setja, eða aðrar jafngildar skuldbindingar um leynd þegar slíkt reynist nauðsynlegt og hóflegt til að samræma réttinn til verndar persónuupplýsingum og þagnarskyldu. Þessar reglur skulu aðeins gilda með hliðsjón af persónuupplýsingum sem ábyrgðaraðili eða vinnsluaðili hefur fengið í hendur í kjölfar eða við starfsemi sem fellur undir þessa þagnarskyldu.

2. Sérhvert aðildarríki skal tilkynna framkvæmdastjórninni eigi síðar en 25. maí 2018 um reglur sem það hefur samþykkt skv. 1. mgr. og skal án tafar tilkynna um síðari breytingar sem hafa áhrif á þær.

91. gr. Reglur kirkjudeilda og trúarsamtaka um vernd persónuupplýsinga

1. Ef kirkjudeildir og trúarsamtök eða trúfélög í aðildarríki beita víðtækum reglum, þegar þessi reglugerð öðlast gildi, er varða vernd einstaklinga í tengslum við vinnslu, geta slíkar reglur gilt áfram, að því tilskildu að þær séu færðar til samræmis við þessa reglugerð.

2. Kirkjudeildir og trúarsamtök, sem beita víðtækum reglum í samræmi við 1. mgr. þessarar greinar, skulu sæta eftirliti sjálfstæðs eftirlitsyfirvalds, sem getur verið sértækt, að því tilskildu að það fullnægi skilyrðunum sem mælt er fyrir um í VI. kafla þessarar reglugerðar.

X. kafli. Framseldar gerðir og framkvæmdargerðir

1. Framkvæmdastjórninni er falið vald til að samþykkja framseldar gerðir, sbr. þó skilyrðin sem mælt er fyrir um í þessari grein.

2. Það framsal valds, sem um getur í 8. mgr. 12. gr. og 8. mgr. 43. gr., skal falið framkvæmdastjórninni um óákveðinn tíma frá 24. maí 2016.

3. Evrópuþinginu eða ráðinu er hvenær sem er heimilt að afturkalla framsal valds sem um getur í 8. mgr. 12. gr. og 8. mgr. 43. gr. Með ákvörðun um afturköllun skal bundinn endi á framsal þess valds sem tilgreint er í þeirri ákvörðun. Hún öðlast gildi daginn eftir birtingu hennar í Stjórnartíðindum Evrópusambandsins, eða síðar, eftir því sem tilgreint er í ákvörðuninni. Hún skal ekki hafa áhrif á gildi framseldra gerða sem þegar eru í gildi.

4. Um leið og framkvæmdastjórnin samþykkir framselda gerð skal hún jafnframt tilkynna það Evrópuþinginu og ráðinu.

5. Framseld gerð, sem er samþykkt skv. 8. mgr. 12. gr. og 8. mgr. 43. gr., skal því aðeins öðlast gildi að Evrópuþingið eða ráðið hafi ekki haft uppi nein andmæli innan þriggja mánaða frá tilkynningu um gerðina til Evrópuþingsins og ráðsins eða ef bæði Evrópuþingið og ráðið hafa upplýst framkvæmdastjórnina, áður en fresturinn er liðinn, um þá fyrirætlan sína að hreyfa ekki andmælum. Þessi frestur skal framlengdur um þrjá mánuði að frumkvæði Evrópuþingsins eða ráðsins.

1. Framkvæmdastjórnin skal njóta aðstoðar nefndar. Þessi nefnd skal vera nefnd í skilningi reglugerðar (ESB) nr. 182/2011.

2. Þegar vísað er til þessarar málsgreinar gilda ákvæði 5. gr. reglugerðar (ESB) nr. 182/2011.

3. Þegar vísað er til þessarar málsgreinar gildir 8. gr. reglugerðar (ESB) nr. 182/2011 í tengslum við 5. gr. hennar.

94. gr. Niðurfelling á tilskipun 95/46/EB

1. Tilskipun 95/46/EB er felld úr gildi frá og með 25. maí 2018.

2. Líta ber á tilvísanir í niðurfelldu tilskipunina sem tilvísanir í þessa reglugerð. Líta ber á tilvísanir í starfshópinn um vernd einstaklinga í tengslum við vinnslu persónuupplýsinga, sem komið var á fót með 29. gr. tilskipunar 95/46/EB, sem tilvísanir í Evrópska persónuverndarráðið sem komið er á fót með þessari reglugerð.

95. gr. Tengsl við tilskipun 2002/58/EB

Í þessari reglugerð skal ekki leggja viðbótarskyldur á herðar einstaklingum eða lögaðilum í tengslum við veitingu rafrænnar fjarskiptaþjónustu, sem er öllum aðgengileg, á almennum fjarskiptanetum í Sambandinu að því er varðar málefni þar sem þeir falla undir sértækar skyldur með sama markmið og sett er fram í tilskipun 2002/58/EB.

96. gr. Tengsl við áður gerða samninga

Alþjóðasamningar, sem taka til miðlunar persónuupplýsinga til þriðju landa eða alþjóðastofnana, sem aðildarríkin gerðu fyrir 24. maí 2016 og samrýmast lögum Sambandsins, sem giltu fyrir þennan dag, skulu gilda áfram uns þeim er breytt, þeir eru leystir af hólmi eða afturkallaðir.

97. gr. Skýrslur framkvæmdastjórnarinnar

1. Framkvæmdastjórnin skal, eigi síðar en 25. maí 2020 og á fjögurra ára fresti eftir það, leggja skýrslu fyrir Evrópuþingið og ráðið um mat og endurskoðun þessarar reglugerðar. Skýrslurnar skulu gerðar opinberar.

2. Framkvæmdastjórnin skal, í tengslum við matið og endurskoðunina sem um getur í 1. mgr., einkum kanna beitingu og framkvæmd:
a) V. kafla um miðlun persónuupplýsinga til þriðju landa eða alþjóðastofnana, með sérstöku tilliti til ákvarðana sem samþykktar eru skv. 3. mgr. 45. gr. þessarar reglugerðar og ákvarðana sem eru samþykktar á grundvelli 6. mgr. 25. gr. tilskipunar 95/46/EB,
b) VII. kafla um samstarf og samræmingu.

3. Að því er 1. mgr. varðar getur framkvæmdastjórnin óskað eftir upplýsingum frá aðildarríkjum og eftirlitsyfirvöldum.

4. Þegar framkvæmdastjórnin framkvæmir mat og endurskoðun, sem um getur í 1. og 2. mgr., skal hún taka tillit til afstöðu og niðurstaðna Evrópuþingsins, ráðsins og annarra viðeigandi aðila eða heimilda.

5. Framkvæmdastjórnin skal, ef nauðsyn krefur, leggja fram viðeigandi tillögur að breytingum á þessari reglugerð, einkum með tilliti til þróunar á sviði upplýsingatækni og í ljósi framfara í upplýsingasamfélaginu.

98. gr. Endurskoðun annarra réttargerða Sambandsins á sviði persónuverndar

Framkvæmdastjórnin skal, ef við á, leggja fram tillögur að nýrri löggjöf með það fyrir augum að breyta öðrum réttargerðum Sambandsins um vernd persónuupplýsinga til að tryggja samræmda og samhæfða vernd einstaklinga með tilliti til vinnslu. Þetta á einkum við um reglur um vernd einstaklinga með tilliti til vinnslu stofnana, aðila, skrifstofa og sérstofnana Sambandsins og um frjálsa miðlun slíkra upplýsinga.

1. Reglugerð þessi öðlast gildi á tuttugasta degi eftir að hún birtist í Stjórnartíðindum Evrópusambandsins.

2. Hún kemur til framkvæmda frá og með 25. maí 2018.
Reglugerð þessi er bindandi í heild sinni og gildir í öllum aðildarríkjunum án frekari lögfestingar.

# data[].attributes.attachment_link.title
90/2018: Lög um persónuvernd og vinnslu persónuupplýsinga

# data[].attributes.attachment_link.description
Lagasafn. Íslensk lög 13. september 2022. Útgáfa 152c. Prenta í tveimur dálkum. 2018 nr. 90 27. júní Tóku gildi 15. júlí 2018. EES-samningurinn: XI. viðauki reglugerð 2016/679. Breytt með: L. 32/2019 (tóku gildi 1. júlí 2019). L. 71/2019 (tóku gildi 5. júlí 2019). L. 75/2019 (tóku gildi 5. júlí 2019).

# data[].attributes.headline
Netöryggisstefna. Netöryggi verði tilgreint í námskrám

# data[].attributes.subject
Netöryggisstefna. Netöryggi verði tilgreint í námskrám

# data[].attributes.attachment_link.readable_text
Í annarri grein laga um grunnskóla er hlutverk skólanna skilgreint og þar segir að skólinn eigi í samvinnu við heimilin, að búa nemendur undir líf og starf í lýðræðisþjóðfélagi í sífelldri þróun. Ennfremur skal skólinn leitast við að haga störfum sínum í sem fyllsta samræmi við eðli og þarfir nemenda og stuðla að þroska, heilbrigði og menntun hvers og eins. Sama grein kveður líka á um að nemendum skuli veitt tækifæri til að nýta sköpunarkraft sinn og að afla sér þekkingar og leikni í stöðugri viðleitni til menntunar og þroska. Til viðbótar skal skólastarfið leggja grundvöll að frumkvæði og sjálfstæðri hugsun nemenda og þjálfa hæfni þeirra til samstarfs við aðra (Lög um grunnskóla nr. 91/2008).

Að bjóða nemendum sínum almenna menntun og stuðla að jafnrétti til náms eru grundvallarhlutverk og skyldur grunnskólans. Annar kafli aðalnámskrár grunnskóla fjallar um almenna menntun. Þar segir að hún stuðli á hverjum tíma að aukinni hæfni einstaklingsins til að takast á við áskoranir daglegs lífs og að almenn menntun miði að því að efla skilning einstaklingsins á eiginleikum sínum og hæfileikum og þar með hæfni til að leysa hlutverk sín í flóknu samfélagi. Þess vegna telst hún bæði vera einstaklingsmiðuð og samfélagsleg (Aðalnámskrá grunnskóla, 2011).

Í umfjöllun sinni um lykilhæfni fer Gunnar E. Finnbogason (2016) yfir þá þróun sem hefur átt sér stað í Evrópu og á Íslandi varðandi námskrár. Hugtakið lykilhæfni kemur fram í skýrslum alþjóðlegu stofnanna OECD og ESB og er lýst á þann hátt að það séu þeir þættir sem nauðsynlegir eru fyrir nemendur að búa yfir að lokinni skólagöngu. Þeim er ætlað að búa nemendur sem best undir líf og starf í framtíðinni. Þar er einnig lögð sérstök áhersla á ævimenntun, þ.e. að nemendur læri út lífið. OECD setur fram níu lykilhæfniþætti sem skiptast í þrjá flokka en ESB setur fram átta lykilhæfniþætti sem skiptast í „harða" og „mjúka" lykilhæfni.

Í ljós kemur að lykilhæfniþættir OECD og ESB eiga samsvörun í lykilhæfniþáttum íslensku námskrárinnar frá 2011. Þættirnir eru ekki allir þeir sömu en skörunin er mikil og þeir fela hver annan í sér. Því má draga þá ályktun að lykilhæfniþættirnir fimm í Aðalnámskrá grunnskóla (2011) séu að miklu leyti byggðir á niðurstöðum umfjöllunar OECD og ESB um lykilhæfni (Gunnar E. Finnbogason, 2016).

Þá er spurt hvort íslenskir grunnskólar séu að búa nemendur sína undir nám, líf og störf í framtíðinni með áherslu á lykilhæfniþættina sem skilgreindir eru í námskránni: Tjáning og miðlun, sköpun og gagnrýnin hugsun, sjálfstæði og samvinna, nýting miðla og upplýsinga og ábyrgð og mat á eigin námi. Hér á eftir verður leitast við að svara þeirri spurningu.

# data[].attributes.attachment_link.title
Upplýsingatækni - Grunnskólalög og aðalnámskrá

# data[].attributes.attachment_link.description
Í annarri grein laga um grunnskóla er hlutverk skólanna skilgreint og þar segir að skólinn eigi í samvinnu við heimilin, að búa nemendur undir líf og starf í lýðræðisþjóðfélagi í sífelldri þróun. Ennfremur skal skólinn leitast við að haga störfum sínum í sem fyllsta samræmi við eðli og þarfir

# data[].attributes.body
Appinu er deilt í spjaldtölvur nemenda. Til að vinna með virknikortið í spjaldtölvu notið Books smáforritið.

# data[].attributes.headline
Kynning fyrir foreldrahópa og starfsfólk skóla

# data[].attributes.subject
Kynning fyrir foreldrahópa og starfsfólk skóla

# data[].attributes.body
Hægt er að panta kynningu á virknikorti fyrir foreldrahópa og/eða starfsmannahópa skóla. Virknikorti er ætlað að leiðbeina foreldrum og börnum þeirra í samræðum um ákjósanleg viðmið um félagslega virkni og heilbrigt líferni.

Hægt er að nálgast kortið hér í rafrænu formi. Stuttar leiðbeiningar eru á kortinu sjálfu og þar eru einnig virkir tenglar sem vísa beint á hagnýtt efni á heilsuvera.is til stuðnings einstökum efnisatriðum.

Til að vinna með virknikortið í spjaldtölvu er gott að opna kortið og vista í Books smáforritinu.

Kynning á virknikortinu tekur um 30 mín. og mælt er með samræðum eftir hana.

# data[].attributes.headline
SAFT fræðsluefni um netöryggi og samskipti á netinu

# data[].attributes.subject
SAFT fræðsluefni um netöryggi og samskipti á netinu

# data[].attributes.attachment_link.description
SAFT gefa út fjölbreytt fræðsluefni til stuðnings fyrir foreldra, fagfólk og börn á öllum skólastigum. Á þessari síðu getur þú nálgast flest allt efni sem er til staðar.

# data[].attributes.attachment_link.provider_name
Persónuvernd. Þínar upplýsingar, þitt einkalíf.

# data[].attributes.attachment_link.title
Nýjar leiðbeiningar og fræðsla um persónuvernd barna í stafrænu umhverfi

# data[].attributes.headline
Málþing um réttindi barna í stafrænu umhverfi - upptaka

# data[].attributes.subject
Málþing um réttindi barna í stafrænu umhverfi - upptaka

# data[].attributes.attachment_link.description
Umboðsmaður barna, Persónuvernd og Fjölmiðlanefnd stóðu fyrir málþinginu „Réttindi barna í stafrænu umhverfi" á Grand hótel föstudaginn 29. apríl. Á málþinginu voru nýjar leiðbeiningar fyrir foreldra, ábyrgðaraðila og starfsfólk í skóla- og frístundastarfi sem varða netið, samfélagsmiðla og börn. Dagskrá: Kl. 08:30 Salvör Nordal, umboðsmaður barna - Börn, samfélagsmiðlar og netið.

# data[].attributes.attachment_link.provider_name
Persónuvernd. Þínar upplýsingar, þitt einkalíf.

# data[].attributes.attachment_link.readable_text
Nýjar leiðbeiningar fyrir foreldra, ábyrgðaraðila og starfsfólk í skóla- og frístundastarfi sem varða netið, samfélagsmiðla og börn verða kynntar á málþinginu Réttindi barna í stafrænu umhverfi á Grand hótel föstudaginn 29. apríl milli kl. 08:30 og 10:15. Leiðbeiningarnar eru samstarfsverkefni umboðsmanns barna, Persónuverndar og Fjölmiðlanefndar.

Viðburðurinn á Facebook
Salvör Nordal, umboðsmaður barna, mun opna málþingið með því að kynna leiðbeiningarnar til sögunnar. Skúli B. Geirdal, verkefnastjóri hjá Fjölmiðlanefnd, fjallar þá um niðurstöður víðtækrar könnunar um börn og netmiðla, Unnur Sif Hjartardóttir, lögfræðingur og persónuverndarfulltrúi, heldur erindi um friðhelgi einkalífs barna í nútímasamfélagi og Steinunn Birna Magnúsdóttir, lögfræðingur hjá Persónuvernd, fer yfir hvernig tryggja má persónuvernd barna. Að því loknu munu fara fram pallborðsumræður með nokkrum fulltrúum úr ráðgjafahópi umboðsmanns barna.

Réttur barna til einkalífs

Börn eiga rétt á friðhelgi einkalífs og persónuvernd rétt eins og fullorðnir, bæði innan heimilis og utan. Þessi réttur er tryggður í barnasáttmála Sameinuðu þjóðanna, stjórnarskránni og persónuverndarlögunum. Persónuupplýsingar barna njóta jafnframt sérstakrar verndar, þar sem þau eru almennt síður meðvituð um áhættu og afleiðingar í tengslum við vinnslu slíkra upplýsinga sem og eigin réttindi.

Stafræn tilvera kallar á stafrænt læsi

Á Íslandi hefur aukin áhersla verið lögð á að efla stafrænt læsi barna sem endurspeglast m.a. í menntastefnu fyrir árin 2021-2030, þar sem lögð er áhersla á að efla framtíðarhæfni í stafrænni tilveru nemenda. Það felur í sér að nemendur þurfa að geta gert sér grein fyrir þeim tækifærum og áskorunum sem felast í stafrænni tilveru og ábyrgri nethegðun, sem kallar á þjálfun þeirra í upplýsinga-, miðla- og tæknilæsi, ásamt þekkingu á persónuvernd og meðferð og greiningu upplýsinga.

Nauðsynleg vernd barna í stafrænu umhverfi

Þó svo að foreldrar eigi rétt á að taka ákvarðanir sem varða hag barna og daglegt líf þeirra þýðir það ekki að foreldrar eigi ótakmarkaðan rétt á því að birta ljósmyndir og aðrar upplýsingar um eigin börn á samfélagsmiðlum. Starfsmenn skóla, frístundaheimila, íþróttafélaga, tónlistarskóla og aðrir sem vinna með börnum þurfa að vera meðvitaðir um og búa yfir þekkingu á réttindum barna, m.a. til persónuverndar, þannig að börn njóti nauðsynlegrar verndar til að geta þroskast í hinu stafræna umhverfi á öruggan hátt.

Fyrsta kynslóðin sem frá fæðingu hefur verið skrásett rafrænt í gögnum fyrirtækja

Einnig er nauðsynlegt að hafa í huga þá áhættu sem felst í því að safna upplýsingum um einstaklinga yfir langan tíma en börn í dag eru fyrsta kynslóðin sem frá fæðingu hefur verið skrásett rafrænt í gögnum fyrirtækja. Það getur haft mótandi áhrif á sjálfsmynd barna hvaða upplýsingar eru til um þau á netinu og því ætti að halda þeim upplýsingum í lágmarki. Þá er einnig mikilvægt að í starfsemi með börnum sé gætt að öðrum réttindum barna og hugað að velferð þeirra, t.d. hvað varðar aldurstakmörk á tölvuleikjum og stafrænum lausnum sem notaðar eru, notkun samfélagsmiðla, aldurstakmörk á myndefni sem sýnt er o.fl.

# data[].attributes.attachment_link.title
Réttindi barna í stafrænu umhverfi - málþing 29. apríl

# data[].attributes.attachment_link.description
Nýjar leiðbeiningar fyrir foreldra, ábyrgðaraðila og starfsfólk í skóla- og frístundastarfi sem varða netið, samfélagsmiðla og börn verða kynntar á málþinginu Réttindi barna í stafrænu umhverfi á Grand hótel föstudaginn 29. apríl milli kl. 08:30 og 10:15. Leiðbeiningarnar eru samstarfsverkefni umboðsmanns barna, Persónuverndar og Fjölmiðlanefndar.

# data[].attributes.headline
Námsefni á íslensku í stafrænni borgaravitund

# data[].attributes.subject
Námsefni á íslensku í stafrænni borgaravitund

# data[].attributes.body
Unnið í samstarfi við SAFT og Menntavísindasvið HÍ

# data[].attributes.attachment_link.readable_text
Allir nemendur þurfa að búa yfir færni til að geta fótað sig í stafrænum heimi. Á þessum vef má finna samantekt á leiðbeinandi efni á íslensku sem hægt er að styðjast við í kennslu nemenda í stafrænni borgaravitund (e. digital citizenship). Efnið er sett fram eftir árgöngum.

Í kaflanum " Fyrir alla árganga " eru viðfangsefni og viðmið sem hæfa fleiri en einum aldurshópi og er kaflinn hugsaður sem grunnur til notkunar samhliða árgangaköflunum. Þar eru dregnar fram helstu áherslur á hverju aldursstigi og leiðbeinandi efni lagt fram um umgengni við tæknina í skólastofunni.

Verkefnin eru að stórum hluta þýtt námsefni frá Common Sense education sem Sæmundur Helgason þýddi en það byggir á nýjustu rannsóknum um hverja námsstoð. Námsstoðirnar eru sex talsins og á þessum vef fylgjum við þeim. Sæmundur útskýrir þetta nánar í þessu myndbandi .

Á vef Common Sense má sjá yfirlit námskrár í stafrænni borgaravitund sem Sæmundur hefur snarað á íslensku, sjá hér.

"Þjálfa þarf hvern nemanda markvisst í upplýsinga- og miðlalæsi alla skólagönguna. Samhliða nýtingu upplýsinga- og samskiptatækni á Netinu er nauðsynlegt að þeir þekki helstu reglur um örugg samskipti á stafrænum miðlum og höfundarétt. Þeir eiga jafnframt að virða siðferði í meðferð upplýsinga og heimilda og sýna víðtæka hæfni í notkun tækni og miðlunar.

Nemandi þarf að búa sig undir virka þátttöku í nærsamfélagi jafnt sem alþjóðasamfélagi, þar sem samskipti, samvinna og alþjóðatengsl gegna mikilvægu hlutverki. Nemandi þarf að þekkja helstu leiðir að öruggum netsamskiptum og standa vörð um gott siðferði í öllu námi. Með því að veita hverjum nemanda heildstæða sýn og þjálfun í vinnubrögðum, í tengslum við flest svið samfélagsins, s.s. vísindi, listir og fræði, eykst hæfni hans til að bregðast við síbreytilegu umhverfi" (Aðalnámskrá grunnskóla bls. 225).

"Með tímanum hafa hugmyndir manna um læsi breyst. Læsi snýst að mestu um kerfisbundin tákn og miðlunartækni en hafa ber í huga að hún snýst fyrst og fremst um merkingarsköpun og að hún á sér aldrei stað í tómarúmi. Stafræn tækni hefur breytt því umhverfi þar sem tölvur og stafræn samskiptatæki teljast ómissandi þáttur í daglegu lífi fólks m.a. í skólastarfi. Nemendur og kennarar geta nú notað fleiri mál við nám og kennslu. Aðstæður hafa skapast fyrir stafrænt læsi á orð, ljósmyndir, kvikmyndir, útvarpsþætti (hlaðvörp) og á vef "Meginmarkmið læsis er að nemendur séu virkir þátttakendur í að umskapa og umskrifa heiminn með því að skapa eigin merkingu og bregðast við á persónulegan og skapandi hátt við því sem þeir lesa með hjálp þeirra miðla og tækni sem völ er á" (Aðalnámskrá grunnskóla, 2011, bls. 18-19).

# data[].attributes.attachment_link.description
Hjálpum nemendum að vera ábyrgir netnotendur

# data[].attributes.headline
SAFT - fræðsluefni um netöryggi og samskipti á netinu

# data[].attributes.subject
SAFT - fræðsluefni um netöryggi og samskipti á netinu

# data[].attributes.attachment_link.description
SAFT gefa út fjölbreytt fræðsluefni til stuðnings fyrir foreldra, fagfólk og börn á öllum skólastigum. Á þessari síðu getur þú nálgast flest allt efni sem er til staðar.

# data[].attributes.attachment_link.title
Heilsuvera - Vefur fyrir almenning um heilsu og áhrifaþætti hennar | Heilsuvera

# data[].attributes.attachment_link.description
Heilsuvera er vefur fyrir almenning um heilsu og áhrifaþætti hennar. Inn á mínum síðum er öruggt vefsvæði þar sem hægt er að eiga í samskiptum við starfsfólk heilbrigðisþjónustunnar og nálgast gögn úr eigin sjúkraskrá.

# data[].attributes.attachment_link.title
Heilsuvera - Vefur fyrir almenning um heilsu og áhrifaþætti hennar | Heilsuvera

# data[].attributes.attachment_link.description
Heilsuvera er vefur fyrir almenning um heilsu og áhrifaþætti hennar. Inn á mínum síðum er öruggt vefsvæði þar sem hægt er að eiga í samskiptum við starfsfólk heilbrigðisþjónustunnar og nálgast gögn úr eigin sjúkraskrá.

# data[].attributes.attachment_link.title
Netöryggi á nýjum tímum 1: Sigurður Haukur Gíslason

# data[].attributes.attachment_link.description
Listen to this episode from Heimili og skóli og SAFT on Spotify. Í fyrsta þætti Netöryggi á nýjum tímum ræðir Bryndís Jónsdóttir við Sigurð Hauk Gíslason, kennsluráðgjafa í upplýsingatækni við grunnskóla Kópavogs. Þau ræddu meðal annars um börn og snjalltæki, reglur, skjátíma og það jákvæða sem tæknin gefur okkur.

# data[].attributes.attachment_link.description
Listen to Heimili og skóli og SAFT on Spotify.

# data[].attributes.headline
Ítarefni og rannsóknir frá CSE um Jafnvægi í netnotkun og vellíðan

# data[].attributes.subject
Ítarefni og rannsóknir frá CSE um Jafnvægi í netnotkun og vellíðan

# data[].attributes.attachment_link.readable_text
Overview

Today, we live in a world overflowing with digital media and technology. All of us -- adults and kids -- have constant access to real-time information from around the globe. But do the benefits of being ever-connected also come with risks to our mental health? It's an important question to ask -- especially for our kids. Our Media Balance & Well-Being lessons give students the space to reflect on their own media use. Plus, they'll get the tools they need to think critically about how digital media affects our communities and society overall.

Our Instructional Approach

Emotional Learning

To support students in developing an internal sense of "media balance," our lessons prompt students to reflect on the different feelings and emotions that arise when they engage in activities that involve digital media (streaming TV shows, playing online games, and so on). Some students may need additional support and practice in recognizing and interpreting these emotions. For example, prolonged social media use may result in a mix of positive and negative emotions. Students will need to think through these different emotional reactions to eventually draw conclusions about what "balanced" use means for them.

Balance

In our lessons on this topic, we do not use the term "addiction" in reference to device or digital media use. While we know that kids and adults are using their devices a lot -- and our research even tells us they feel "addicted" -- there's no official diagnosis for "device addiction" or consensus around what this phrase means. Moreover, the line between healthy and harmful use varies person to person and context to context (with evidence showing that already vulnerable teens, for instance, are more likely to exhibit unhealthy use of media), and research shows both positive and negative impacts of everything from social media to games. Our lessons focus on agency, not addiction, and quality time, not screen time. This means encouraging students to reflect on their own media diets and to develop individual plans for healthy media balance that consider both how media contributes productively and unproductively to their lives and relationships, and to grow the former and reduce the latter.
Go to lessons

# data[].attributes.attachment_link.title
Media Balance & Well-Being | Common Sense Education

# data[].attributes.attachment_link.description
Today, we live in a world overflowing with digital media and technology. All of us -- adults and kids -- have constant access to real-time information from around the globe. But do the benefits of being ever-connected also come with risks to our mental health?

# data[].attributes.headline
Ítarefni og rannsóknir frá CSE um friðhelgi og öryggi

# data[].attributes.subject
Ítarefni og rannsóknir frá CSE um friðhelgi og öryggi

# data[].attributes.attachment_link.readable_text
Overview

This topic introduces students to the concept of online privacy and the potential implications of sharing private information with a range of people: friends, the public, app providers, and more. Sharing information about yourself can be a natural and healthy activity, and it can lead to positive connections and personal growth. However, it can also present safety risks, and students need to be aware of potentially harmful consequences such as identity theft and financial exploitation.

Our Instructional Approach

Balance of Benefits and Risks

On this topic, it is easy to default to scary rhetoric about the dangers of "Big Brother" and "stranger danger." However, a balanced approach looks at both the rewards and risks of sharing information online with others. Our lessons highlight some of the amazing opportunities that students have to interact, grow, and learn from each other. They also seek to prepare students to have a reasonable and cautious awareness of the serious risks associated with engaging in online activity, both from strangers and from third-party providers. Students will learn concrete strategies for safe, appropriate digital interactions so they can minimize the risks of online sharing -- and take advantage of the rewards.

Real-Life Scenarios

To help students see the importance of being safe and secure when they're online, our lessons include real-life scenarios where private information could potentially be shared, and where the benefits and risks are notable but not sensationalized. From encountering clickbait to setting up passwords to messaging with people online, the scenarios in our lessons provide an authentic context for grappling with the potential dangers that come with spending time online.
Go to lessons

# data[].attributes.attachment_link.title
Privacy & Security | Common Sense Education

# data[].attributes.attachment_link.description
Common Sense provides a comprehensive set of K-12 digital citizenship lessons. This page provides an overview and key considerations for teaching lessons in the topic Privacy & Security.

# data[].attributes.body
Hvort myndu ykkar unglingar velja sem réttari fullyrðingu?
A: Ef foreldrar vissu í raun og veru hvað gerist á samfélagsmiðlum þá myndu þeir hafa miklu meiri áhyggjur af þeim.
B: Foreldrar hafa of miklar áhyggjur af samfélagsmiðlum

# data[].attributes.body
Common sense gefur einnig út sáttmála.

# data[].attributes.attachment_link.title
Aldurstakmörk - Spjaldtölvur í grunnskólum Kópavogs

# data[].attributes.attachment_link.description
Samfélagsmiðlar Aldurstakmörk á samfélagsmiðlum eru 13 ára og hér í grunnskólunum Kópavogs virðum við þau. En við vitum samt að mörg börn eru yngri þegar þau stofna reikninga á samfélagsmiðlum... Read more »

# data[].attributes.attachment_link.title
Pause & Think Online | Common Sense Education

# data[].attributes.attachment_link.description
Pause & Think Online is a video from Common Sense Education. Use this video to help your students learn and thrive in our connected world.

# data[].attributes.attachment_link.readable_text
Students learn a framework for making informed media choices and to help them find healthy media balance in their lives.

(To view subtitles, click on the white box at the bottom right of the video.)

# data[].attributes.attachment_link.title
My Media Balance | Common Sense Education

# data[].attributes.attachment_link.description
My Media Balance is a video from Common Sense Education. Use this video to help your students learn and thrive in our connected world.

# data[].attributes.attachment_link.readable_text
Over the past decade, society has witnessed massive changes in the way media and technology intersect with how we work and live. Devices are more mobile, functional, and seemingly indispensable. What are the human costs of an "always connected" lifestyle, especially for our children? This brief examines the latest scientific research about problematic media use, articulating its pervasiveness, forms, and possible impacts on youth's well-being and development, yielding some surprising findings and raising many more questions.

Common Sense polled over 1,200 parents and teens to find out how the saturation of mobile devices in family life is playing out in homes and child-parent relationships. Learn more in our infographic, " Dealing with Devices: The Parent-Teen Dynamic." or view the full Dealing with Devices survey results.

Other Resources

Download our poll results " Tech at the Table", which studies how family dinner is changing in response to the massive technological changes in American society. Or create a family media agreement and tech contract below.

# data[].attributes.attachment_link.title
Technology Addiction: Concern, Controversy, and Finding Balance

# data[].attributes.attachment_link.description
Over the past decade, society has witnessed massive changes in the way media and technology intersect with how we work and live. Devices are more mobile, functional, and seemingly indispensable. What are the human costs of an "always connected" lifestyle, especially for our children?

# data[].attributes.attachment_link.readable_text
Students consider that in the United States, children are required to be 13 to sign up for most social media platforms, and think about what age kids should be allowed to start using social media, in light of privacy and social development issues.

(To view subtitles in Spanish and English, click on the white box at the bottom right of the video.)

Co-produced with KQED Education

# data[].attributes.attachment_link.title
When is the Right Age to Start Social Media? | Common Sense Education

# data[].attributes.attachment_link.description
Students consider that in the United States, children are required to be 13 to sign up for most social media platforms, and think about what age kids should be allowed to start using social media, in light of privacy and social development issues.

# data[].attributes.body
Hvaða skilaboð er er verið að senda með myndböndunum sem við horfðum á?

# data[].attributes.body
Hvað er mikilvæg að benda nemendum á varðandi netnotkun?

# data[].attributes.body
Hvað ættum við að varast að gera?

# data[].attributes.body
Að taka upplýsingarnar um rannsóknir í glærupökkunum og setja inn nýjar rannsóknir

# data[].attributes.headline
Miðlalæsisvika fyrirætluð í febrúar 2023

# data[].attributes.subject
Miðlalæsisvika fyrirætluð í febrúar 2023

# data[].attributes.body
Skipuleggja miðlæalsisviku í febrúar 2023 https://app.powerbi.com/view?r=eyJrIjoiZjE0ZDRkMWMtZjc5MC00OTYxLTgwNWUtZTMxNzJkMTNkZDZjIiwidCI6ImJjMTRhNDRlLWUwZmItNGUwYi1hNTM1LTEwMDU3OWQ0MWI2NSIsImMiOjh9

# data[].attributes.headline
1. Hvað hafið þið verið að prófa? Þróunarhringurinn.

# data[].attributes.subject
1. Hvað hafið þið verið að prófa? Þróunarhringurinn.

# data[].attributes.headline
3. Hvaða áskorunum stóðuð þið frammi fyrir?

# data[].attributes.subject
3. Hvaða áskorunum stóðuð þið frammi fyrir?

# data[].attributes.headline
Skráið helstu áskoranir námssamfélaga og teyma:

# data[].attributes.subject
Skráið helstu áskoranir námssamfélaga og teyma:

# data[].attributes.headline
Hvaða hollráð ertu til í að prófa og hvers vegna?

# data[].attributes.subject
Hvaða hollráð ertu til í að prófa og hvers vegna?

# data[].attributes.attachment_link.title
Qualtrics Survey | Qualtrics Experience Management

# data[].attributes.attachment_link.description
The most powerful, simple and trusted way to gather experience data. Start your journey to experience management and try a free account today.

# data[].attributes.body
„Margar hugmyndir hafa kviknað að nýjum verkefnum til að hjálpa okkur að hugsa út fyrir boxið. Nákvæmlega eins og ég var búin að gera mér vonir um að yrði.“

- reynsla þáttttakanda af  Menntafléttunámskeiði

# data[].attributes.attachment_link.title
Teymiskennsla Ása og Óðinn í Hrafnagilsskóla

# data[].attributes.headline
Hvernig sýnir þú forvitið hugarfar í samstarfi?

# data[].attributes.subject
Hvernig sýnir þú forvitið hugarfar í samstarfi?

# data[].attributes.headline
Hvað þarf hver og einn að leggja að mörkum til þess að stuðla að jákvæðum samskiptum í teymi?

# data[].attributes.subject
Hvað þarf hver og einn að leggja að mörkum til þess að stuðla að jákvæðum samskiptum í teymi?

# data[].attributes.headline
Hvernig tryggir þú að allir í þínu teymi hafi rödd?

# data[].attributes.subject
Hvernig tryggir þú að allir í þínu teymi hafi rödd?

# data[].attributes.attachment_link.readable_text
Upplýsinga- og miðlalæsi er hæfnin til að leita sér að, skilja, greina, meta og skapa upplýsingar á öruggan og skilvirkan hátt í gegnum mismunandi miðla og upplýsingaveitur. Ein stærsta samfélagsbreyting sem orðið hefur er að eiga sér stað nú á upplýsingaöld. Hún birtist í þeim áskorunum sem tæknin færir okkur og við sem samfélag þurfum að læra að bregðast við henni, öðlast sífellt nýja þekkingu og færni í að sýna ábyrga og viðeigandi hegðun í netheimi.
Nýtt fræðsluefni til að aðstoða kennara við að eiga samtal við nemendur um ábyrga síma- og netnotkun
Í vikunni verður nýtt fræðsluefni í miðlalæsi fyrir miðstig grunnskóla (5.-7. bekkur) kynnt til sögunnar og gert aðgengilegt öllum skólum á landinu.
Samtal - Aldursmerkingar - Fréttir & falsfréttir - Hatur & áreiti - Klám
Um er að ræða 6 stutt fræðslumyndbönd með mismunandi þema sem tengist miðlalæsi. Hverju myndbandi fylgja umræðupunktar og kennsluleiðbeiningar til þess að aðstoða kennara við að eiga samtal við nemendur um ábyrga síma og netnotkun.

Samtal um samfélagsmiðla

Samfélagsmiðlar og aldursmerkingar

Fréttir og falsfréttir

Hatur og áreiti á netinu

Áhorf á klám á netinu

Líðan og samfélagsmiðlar

Eftir að hafa horft á myndböndin og tekið samtal um hvert og eitt þeirra gerir hver bekkur fyrir sig sáttmála þar sem nemendur sjálfir setja sér reglur og ramma um notkun á símum og samfélagsmiðlum eða uppfæri eldri sáttmála bekkjarins. Fræðsluefnið byggir á niðurstöðum víðtækrar rannsóknar Fjölmiðlanefndar og Menntavísindastofnunar Háskóla Íslands á börnum og netmiðlum.
Málþing um upplýsinga- og miðlalæsi á Grand hótel 16. febrúar
Í upplýsinga- og miðlalæsisvikunni verður haldið málþing á Grand hótel 16. febrúar kl. 9:00-12:00. Dagskráin verður kynnt síðar en þar munu sérfræðingar á mismunandi sviðum miðlalæsis (upplýsinga-, mynd- og fjölmiðlalæsis) vera með erindi, ásamt gestafyrirlesara frá Írlandi. Málþingið verður aðgengilegt í streymi fyrir þau sem komast ekki á staðinn.
Tengslanet um upplýsinga- og miðlalæsi á Íslandi
Tengslanet um upplýsinga- og miðlalæsi (TUMI) stendur að vikunni með styrk frá Háskóla-, iðnaðar- og nýsköpunarráðuneytinu og Sóley, styrktarsjóði á vegum Samtaka sveitarfélaga á höfuðborgarsvæðinu.
Eftirfarandi stofnanir, ráðuneyti, fyrirtæki og samtök eiga fulltrúa í tengslanetinu:
Fjölmiðlanefnd, SAFT & Heimili og skóli, Menntasvið Kópavogsbæjar, Skóla- og frístundasvið Reykjavíkurborgar, Mixtúra, Kvikmyndamiðstöð, Landsbókasafn Íslands, Menningar- og viðskiptaráðuneytið, Háskóla-, iðnaðar- og nýsköpunarráðuneytið, RÚV - Ríkisútvarpið, Menntamálastofnun, Menntavísindasvið, Listaháskóli Íslands, Háskóli þriðja æviskeiðsins, Háskóli Íslands, Háskólinn á Akureyri, Endurmenntun HÍ, Símenntun HA, RANNUM - Rannsóknarstofa í upplýsingatækni og miðlun, Barnaheill, Landsnefnd UNESCO, Persónuvernd, Þjónustumiðstöð Breiðholts, Samstarfshópur um stafræna borgaravitund, Upplýsing - félag bókasafns- og upplýsingafræða, Félag framhaldsskólabókasafna, Samtök forstöðumanna almenningsbókasafna, AwareGO og RIFF- Reykjavík International Film Festival.

# data[].attributes.attachment_link.title
Upplýsinga- og miðlalæsisvika í fyrsta skipti á Íslandi 13.-17. febrúar - Fjölmiðlanefnd

# data[].attributes.attachment_link.description
Sérstök fræðsluvika tileinkuð upplýsinga- og miðlalæsi verður haldin í fyrsta skipti á Íslandi vikuna 13.-17. febrúar. Fordæmi eru fyrir slíkum vikum í öðrum löndum og hefur vinnuhópurinn sem stendur að verkefninu verið í góðu samstarfi við KAVI í Finnlandi og Medietilsynet í Noregi við undirbúning.

# data[].attributes.attachment_link.title
#1 Stuðningsefni - Samtal um miðlanotkun

# data[].attributes.attachment_link.readable_text
Allir nemendur þurfa að búa yfir færni til að geta fótað sig í stafrænum heimi. Á þessum vef má finna samantekt á leiðbeinandi efni á íslensku sem hægt er að styðjast við í kennslu nemenda í stafrænni borgaravitund (e. digital citizenship). Efnið er sett fram eftir árgöngum.

Í kaflanum " Fyrir alla árganga " eru viðfangsefni og viðmið sem hæfa fleiri en einum aldurshópi og er kaflinn hugsaður sem grunnur til notkunar samhliða árgangaköflunum. Þar eru dregnar fram helstu áherslur á hverju aldursstigi og leiðbeinandi efni lagt fram um umgengni við tæknina í skólastofunni.

Verkefnin eru að stórum hluta þýtt námsefni frá Common Sense education sem Sæmundur Helgason þýddi en það byggir á nýjustu rannsóknum um hverja námsstoð. Námsstoðirnar eru sex talsins og á þessum vef fylgjum við þeim. Sæmundur útskýrir þetta nánar í þessu myndbandi.

"Þjálfa þarf hvern nemanda markvisst í upplýsinga- og miðlalæsi alla skólagönguna. Samhliða nýtingu upplýsinga- og samskiptatækni á Netinu er nauðsynlegt að þeir þekki helstu reglur um örugg samskipti á stafrænum miðlum og höfundarétt. Þeir eiga jafnframt að virða siðferði í meðferð upplýsinga og heimilda og sýna víðtæka hæfni í notkun tækni og miðlunar.

Nemandi þarf að búa sig undir virka þátttöku í nærsamfélagi jafnt sem alþjóðasamfélagi, þar sem samskipti, samvinna og alþjóðatengsl gegna mikilvægu hlutverki. Nemandi þarf að þekkja helstu leiðir að öruggum netsamskiptum og standa vörð um gott siðferði í öllu námi. Með því að veita hverjum nemanda heildstæða sýn og þjálfun í vinnubrögðum, í tengslum við flest svið samfélagsins, s.s. vísindi, listir og fræði, eykst hæfni hans til að bregðast við síbreytilegu umhverfi" (Aðalnámskrá grunnskóla bls. 225).

"Með tímanum hafa hugmyndir manna um læsi breyst. Læsi snýst að mestu um kerfisbundin tákn og miðlunartækni en hafa ber í huga að hún snýst fyrst og fremst um merkingarsköpun og að hún á sér aldrei stað í tómarúmi. Stafræn tækni hefur breytt því umhverfi þar sem tölvur og stafræn samskiptatæki teljast ómissandi þáttur í daglegu lífi fólks m.a. í skólastarfi. Nemendur og kennarar geta nú notað fleiri mál við nám og kennslu. Aðstæður hafa skapast fyrir stafrænt læsi á orð, ljósmyndir, kvikmyndir, útvarpsþætti (hlaðvörp) og á vef "Meginmarkmið læsis er að nemendur séu virkir þátttakendur í að umskapa og umskrifa heiminn með því að skapa eigin merkingu og bregðast við á persónulegan og skapandi hátt við því sem þeir lesa með hjálp þeirra miðla og tækni sem völ er á" (Aðalnámskrá grunnskóla, 2011, bls. 18-19).

# data[].attributes.attachment_link.description
Allir nemendur þurfa að búa yfir færni til að geta fótað sig í stafrænum heimi. Á þessum vef má finna samantekt á leiðbeinandi efni á íslensku sem hægt er að styðjast við í kennslu nemenda í stafrænni borgaravitund (e. digital citizenship). Efnið er sett fram eftir árgöngum.

# data[].attributes.body
The accidental bully

# data[].attributes.headline
Punktar frá Sæmundi um kennslustundir 1.-10.bekkjar um Sambönd og samskipti 

# data[].attributes.subject
Punktar frá Sæmundi um kennslustundir 1.-10.bekkjar um Sambönd og samskipti 

# data[].attributes.body
https://docs.google.com/document/d/10waXj0oqrR12ncmUFa0y_yTdcKGidvjfsV8kehO8xC4/edit?usp=sharing

# data[].attributes.attachment_link.title
16.jan - Lota 4 - Stafrænt fótspor/Sambönd og samskipti

# data[].attributes.headline
Punktar frá Sæmundi um kennslustundir 1.-10.bekkjar um Stafræn fótspor og auðkenni

# data[].attributes.subject
Punktar frá Sæmundi um kennslustundir 1.-10.bekkjar um Stafræn fótspor og auðkenni

# data[].attributes.body
https://docs.google.com/document/d/10waXj0oqrR12ncmUFa0y_yTdcKGidvjfsV8kehO8xC4/edit?usp=sharing

# data[].attributes.attachment_link.title
16.jan - Lota 4 - Stafrænt fótspor/Sambönd og samskipti

# data[].attributes.body
kl. 13 Velkomin
Kl. 13:05 Reynslan af vettvangi metin: Hvernig gekk að vinna að þróunarhring 4. lotu  Hvað þarf til? Spurningum svarað á Padlet.
kl. 13:30 Samræður um Miðlalæsisviku.
kl. 14:00 Skólanámskrá. Rætt um hvernig kennsla stafrænnar borgaravitundar er skipulögð og birtist í skólanámskrá.  Söfnum dæmum.

Kaffi- og teygjuhlé

kl. 14:30 Náms- eða kennsluáætlanir. Þátttakendum er skipt upp í hópa sem ýmist taka viðfangsefni a eða b. Hvernig gætu náms- eða kennsluáætlanir litið út?
15: 15 Samantekt frá hópum og heimavinna kynnt.

# data[].attributes.attachment_link.readable_text
Þrír af hverjum tíu (29,6%) sögðust bera annað hvort fremur eða mjög mikið traust til fjölmiðla á Íslandi í nýrri skýrslu Fjölmiðlanefndar sem nefnist „Traust í íslensku samfélagi". Hlutfall þeirra sem hafa séð falsfréttir, fengið þær sendar eða rekist á...

# data[].attributes.attachment_link.description
Þrír af hverjum tíu (29,6%) sögðust bera annað hvort fremur eða mjög mikið traust til fjölmiðla á Íslandi í nýrri skýrslu Fjölmiðlanefndar sem nefnist „Traust í íslensku samfélagi". Hlutfall þeirra sem hafa séð falsfréttir, fengið þær sendar eða rekist á...

# data[].attributes.body
Þátttakendur skoða áætlanir og hæfniviðmið sem þeir ræða og sjá fyrir sér hvernig má aðlaga þær að þeim hugmyndum sem þeir hafa um það hvernig samþætta megi stafræna borgaravitund inn í áætlunina. Hver ættu hæfniviðmiðin að vera? Hópurinn kynnir síðan stuttlega fyrir hinum. Hugmyndin er að skoða námsefni og flétta inn staðreyndum úr nýjustu íslensku rannsóknum frá Fjölmiðlavaktinni, og bæta þeim við glærurnar.

# data[].attributes.body
Þetta er úr aðalnámskrá upplýsingatækni - frá 2011

# data[].attributes.headline
Verkefni úr Sprellifix-Langó um Sjálfsmyndina

# data[].attributes.subject
Verkefni úr Sprellifix-Langó um Sjálfsmyndina

# data[].attributes.attachment_caption
Við höfum reynt svona uppsetningu hér í Smáraskóla. Á mið/ungl.stig eru það nöfn kennara sem afgreiða viðkomandi viðmiðið. 