Правила и условия

Извлечение от Наредба №. 679/2016 относно защитата физически лица по отношение на обработката на данни личните данни и относно свободното движение на такива данни и за отмяна на Директива 95/46 / ЕС

(Общ регламент за защита на данните)

ГАЛВА III: Права на субекти на данните

2 Информация и достъп до лични данни

Член 13 Информация, предоставяна при събиране на лични данни от субекта на данните

1. Когато лични данни, свързани с даден субект на данни, се събират от субекта на данните, в момента на получаване на личните данни администраторът предоставя на субекта на данните цялата посочена по-долу информация:

a) данните, които идентифицират администратора и координатите за връзка с него и, когато е приложимо, тези на представителя на администратора;

б) координатите за връзка с длъжностното лице по защита на данните, когато е приложимо;

в) целите на обработването, за което личните данни са предназначени, както и правното основание за обработването;

г) когато обработването се извършва въз основа на член 6, параграф 1, буква е), законните интереси, преследвани от администратора или от трета страна;

д) получателите или категориите получатели на личните данни, ако има такива;

е) когато е приложимо, намерението на администратора да предаде личните данни на трета държава или на международна организация, както и наличието или отсъствието на решение на Комисията относно адекватното ниво на защита или в случай на предаване на данни съгласно посоченото в членове 46 или 47, или член 49, параграф 1, втора алинея позоваване на подходящите или приложимите гаранции и средствата за получаване на копие от тях или на информация къде са налични.

2. Освен информацията, посочена в параграф 1, в момента на получаване на личните данни администраторът предоставя на субекта на данните следната допълнителна информация, която е необходима за осигуряване на добросъвестно и прозрачно обработване:

a) срока, за който ще се съхраняват личните данни, а ако това е невъзможно, критериите, използвани за определяне на този срок;

б) съществуването на право да се изиска от администратора достъп до, коригиране или изтриване на лични данни или ограничаване на обработването на лични данни, свързани със субекта на данните, или право да се направи възражение срещу обработването, както и правото на преносимост на данните;

в) когато обработването се основава на член 6, параграф 1, буква а) или член 9, параграф 2, буква а), съществуването на право на оттегляне на съгласието по всяко време, без да се засяга законосъобразността на обработването въз основа на съгласие, преди то да бъде оттеглено;

г) правото на жалба до надзорен орган;

д) дали предоставянето на лични данни е задължително или договорно изискване, или изискване, необходимо за сключването на договор, както и дали субектът на данните е длъжен да предостави личните данни и евентуалните последствия, ако тези данни не бъдат предоставени;

е) съществуването на автоматизирано вземане на решения, включително профилирането, посочено в член 22, параграфи 1 и 4, и поне в тези случаи съществена информация относно използваната логика, както и значението и предвидените последствия от това обработване за субекта на данните.

3. Когато администраторът възнамерява по-нататък да обработва личните данни за цел, различна от тази, за която са събрани, той предоставя на субекта на данните преди това по нататъшно обработване информация за тази друга цел и всякаква друга необходима информация, както е посочено в параграф 2.

4.Параграфи 1, 2 и 3 не се прилагат, когато и доколкото субектът на данните вече разполага с информацията.

Член 14 Информация, предоставяна, когато личните данни идват от субекта на данните

1.Когато личните данни не са получени от субекта на данните, администраторът предоставя на субекта на данните следната информация:

a) данните, които идентифицират администратора и координатите за връзка с него и, когато е приложимо, тези на представителя на администратора;

б) координатите за връзка с длъжностното лице по защита на данните, когато е приложимо;

в) целите на обработването, за което личните данни са предназначени, както и правното основание за обработването;

г) съответните категории лични данни;

д) получателите или категориите получатели на личните данни, ако има такива

е) когато е приложимо, намерението на администратора да предаде данните на трета държава или на международна организация, и наличието или отсъствието на решение на Комисията относно адекватното ниво на защита или в случай на предаване на данни съгласно член 46 или 47, или член 49, параграф 1, втора алинея с позоваване на подходящите или приложимите гаранции и средствата за получаване на копие от тях или на информация къде са налични.2. Освен информацията, посочена в параграф 1, администраторът предоставя на субекта на данните следната информация, необходима за осигуряване на добросъвестно и прозрачно обработване на данните по отношение на субекта на данните:

а) срока, за който ще се съхраняват личните данни, а ако това е невъзможно, критериите, използвани за определяне на този срок;

б) когато обработването се извършва въз основа на член 6, параграф 1, буква е), законните интереси, преследвани от администратора или от трета страна;

в) съществуването на право да се изиска от администратора достъп до, коригиране или изтриване на лични данни, свързани със субекта на данните, или ограничаване на обработването, и правото да се направи възражение срещу обработването, както правото на преносимост на данните;

г) когато обработването се основава на член 6, параграф 1, буква а) или член 9, параграф 2, буква а), съществуването на право на оттегляне на съгласието по всяко време, без да се засяга законосъобразността на обработването въз основа на съгласие, преди то да бъде оттеглено;

д) правото на жалба до надзорен орган;

е) източника на личните данни и, ако е приложимо, дали данните са от публично достъпен източник;

ж) съществуването на автоматизирано вземане на решения, включително профилирането, посочено в член 22, параграфи 1 и 4, и поне в тези случаи съществена информация относно използваната логика, както и значението и предвидените последствия от това обработване за субекта на данните.

3.Администраторът предоставя информацията, посочена в параграфи 1 и 2:

a) в разумен срок след получаването на личните данни, но най-късно в срок до един месец, като се отчитат конкретните обстоятелства, при които личните данни се обработват;

б) ако данните се използват за връзка със субекта на данните, най-късно при осъществяване на първия контакт с този субект на данните; или

в) ако е предвидено разкриване пред друг получател, най-късно при разкриването на личните данни за първи път.

4.Когато администраторът възнамерява да обработва личните данни по-нататък за цел, различна от тази, за която са събрани, той предоставя на субекта на данните преди това по нататъшно обработване информация за тази друга цел и всякаква друга необходима информация, както е посочено в параграф 2.

5.Параграфи 1-4 не се прилагат, когато и доколкото:

a) субектът на данните вече разполага с информацията;

б) предоставянето на такава информация се окаже невъзможно или изисква несъразмерно големи усилия; по-специално за обработване на данни за целите на архивирането в обществен интерес, за научни или исторически изследвания или за статистически цели, при спазване на условията и гаранциите по член 89, параграф 1, или доколкото съществува вероятност задължението, посочено в параграф 1 от настоящия член, да направи невъзможно или сериозно да затрудни постигането на целите на това обработване. В тези случаи администраторът взема подходящи мерки за защита на правата, свободите и законните интереси на субекта на данните, което включва и предоставяне на публичен достъп до информацията;

в) получаването или разкриването е изрично разрешено от правото на Съюза или правото на държавата членка, което се прилага спрямо администратора и в което се предвиждат също подходящи мерки за защита на легитимните интереси на субекта на данните; или

г) личните данни трябва да останат поверителни при спазване на задължение за опазване на професионална тайна, което се урежда от правото на Съюза или право на държава членка, включително законово задължение за поверителност.

Член 15 Право на достъп на субекта на данните

1.Субектът на данните има право да получи от администратора потвърждение дали се обработват лични данни, свързани с него, и ако това е така, да получи достъп до данните и следната информация:

a) целите на обработването;

б) съответните категории лични данни;

в) получателите или категориите получатели, пред които са или ще бъдат разкрити личните данни, по-специално получателите в трети държави или международни организации;

г) когато е възможно, предвидения срок, за който ще се съхраняват личните данни, а ако това е невъзможно, критериите, използвани за определянето на този срок;

д) съществуването на право да се изиска от администратора коригиране или изтриване на лични данни или ограничаване на обработването на лични данни, свързани със субекта на данните, или да се направи възражение срещу такова обработване;

е) правото на жалба до надзорен орган;

ж) когато личните данни не се събират от субекта на данните, всякаква налична информация за техния източник;

з) съществуването на автоматизирано вземане на решения, включително профилирането, посочено в член 22, параграфи 1 и 4, и поне в тези случаи съществена информация относно използваната логика, както и значението и предвидените последствия от това обработване за субекта на данните.

2. Когато личните данни се предават на трета държава или на международна организация, субектът на данните има право да бъде информиран относно подходящите гаранции по член 46 във връзка с предаването.

3. Администраторът предоставя копие от личните данни, които са в процес на обработване. За допълнителни копия, поискани от субекта на данните, администраторът може да наложи разумна такса въз основа на административните разходи. Когато субектът на данни подава искане с електронни средства, по възможност информацията се предоставя в широко използвана електронна форма, освен ако субектът на данни не е поискал друго.

4. Правото на получаване на копие, посочено в параграф (3), не влияе неблагоприятно върху правата и свободите на други лица.

Раздел 3 Коригиране и изтриване

Член 16 Право на коригиране

Субектът на данни има право да поиска от администратора да коригира без ненужно забавяне неточните лични данни, свързани с него. Като се имат предвид целите на обработването субектът на данните има право непълните лични данни да бъдат попълнени, включително чрез добавяне на декларация.

Член 17 Право на изтриване (право „да бъдеш забравен“)

1. Субектът на данни има правото да поиска от администратора изтриване на свързаните с него лични данни без ненужно забавяне, а администраторът има задължението да изтрие без ненужно забавяне личните данни, когато е приложимо някое от посочените по-долу основания:

a) личните данни повече не са необходими за целите, за които са били събрани или обработвани по друг начин;

б) субектът на данните оттегля своето съгласие, върху което се основава обработването на данните съгласно член 6, параграф 1, буква а) или член 9, параграф 2, буква а), и няма друго правно основание за обработването;

в) субектът на данните възразява срещу обработването съгласно член 21, параграф 1 и няма законни основания за обработването, които да имат преимущество, или субектът на данните възразява срещу обработването съгласно член 21, параграф 2;

г) личните данни са били обработвани незаконосъобразно;

д) личните данни трябва да бъдат изтрити с цел спазването на правно задължение по правото на Съюза или правото на държава членка, което се прилага спрямо администратора;

е) личните данни са били събрани във връзка с предлагането на услуги на информационното общество по член 8, параграф 1.

2. Когато администраторът е направил личните данни обществено достояние и е задължен съгласно параграф 1 да изтрие личните данни, той, като отчита наличната технология и разходите по изпълнението, предприема разумни стъпки, включително технически мерки, за да уведоми администраторите, обработващи личните данни, че субектът на данните е поискал изтриване от тези администратори на всички връзки, копия или реплики на тези лични данни.

3. Параграфи (1) и (2а) не се прилагат, доколкото обработването е необходимо:

a) за упражняване на правото на свобода на изразяването и правото на информация;

б) за спазване на правно задължение, което изисква обработване, предвидено в правото на Съюза или правото на държавата членка, което се прилага спрямо администратора или за изпълнението на задача от обществен интерес или при упражняването на официални правомощия, които са предоставени на администратора;

в) по причини от обществен интерес в областта на общественото здраве в съответствие с член 9, параграф 2, букви з) и к), както и член 9, параграф 3;

г) за целите на архивирането в обществен интерес, за научни или исторически изследвания или за статистически цели съгласно член 89, параграф 1, доколкото съществува вероятност правото, установено в параграф 1, да направи невъзможно или сериозно да затрудни постигането на целите на това обработване; или

д) за установяването, упражняването или защитата на правни претенции.

Член 18 Право на ограничаване на обработването

1.Субектът на данните има право да изиска от администратора ограничаване на обработването, когато се прилага едно от следното:

a) точността на личните данни се оспорва от субекта на данните, за срок, който позволява на администратора да провери точността на личните данни;

б) обработването е неправомерно, но субектът на данните не желае личните данни да бъдат изтрити, а изисква вместо това ограничаване на използването им;

в) администраторът не се нуждае повече от личните данни за целите на обработването, но субектът на данните ги изисква за установяването, упражняването или защитата на правни претенции;

г) субектът на данните е възразил срещу обработването съгласно член 21, параграф 1 в очакване на проверка дали законните основания на администратора имат преимущество пред интересите на субекта на данните.

2. Когато обработването е ограничено съгласно параграф 1, такива данни се обработват, с изключение на тяхното съхранение, само със съгласието на субекта на данните или за установяването, упражняването или защитата на правни претенции или за защита на правата на друго физическо лице или поради важни основания от обществен интерес за Съюза или държава членка.

3. Когато субект на данните е изискал ограничаване на обработването съгласно параграф 1, администраторът го информира преди отмяната на ограничаването на обработването.

Член 19 Задължение за уведомяване при коригиране или изтриване на лични данни или ограничаване на обработването

Операторът съобщава на всеки получател, на когото са разкрити данните лично всяка поправка или заличаване на лични данни или ограничаване на обработката, извършена в съответствие с член 16, член 17, параграф 1 и член 18 освен ако това се окаже невъзможно или изисква усилие непропорционално. Администраторът информира субекта на данните относно тези получатели, ако субектът на данните поиска това.

Член 20 Право на преносимост на данните

1. Субектът на данните има право да получи личните данни, които го засягат и които той е предоставил на администратор, в структуриран, широко използван и пригоден за машинно четене формат и има правото да прехвърли тези данни на друг администратор без възпрепятстване от администратора, на когото личните данни са предоставени, когато:

a) обработването е основано на съгласие в съответствие с член 6, параграф 1, буква а) или член 9, параграф 2, буква а) или на договорно задължение съгласно член 6, параграф 1, буква б); и

б) обработването се извършва по автоматизиран начин.

2.Когато упражнява правото си на преносимост на данните по параграф 1, субектът на данните има право да получи пряко прехвърляне на личните данни от един администратор към друг, когато това е технически осъществимо.

3. Упражняването на правото, посочено в параграф 1 от настоящия член не засяга член 17. Този закон не се прилага за обработката, необходима за изпълнение на задача, изпълнявана в обществен интерес или при упражняване на дейност официалните органи, с които операторът е инвестиран.

4. Правото, посочено в параграф 1, не засяга правата и свободите на другите.

Раздел 4: Право на възражение и индивидуално вземане на решения автоматизирано

Член. 21: Правото на опозиция

(1). Във всеки един момент субектът на данните има право да се противопостави, по причини, свързани с конкретната ситуация на преработката по член 6, параграф 1, буква (д) или (е) или член 6 (1) лични данни, отнасящи се до него, включително създаването на профили, основани на тези разпоредби. Операторът вече не е обработва лични данни, освен оператора че той има легитимни и убедителни причини, обосноваващи обработването, и които преобладават над интересите, правата и свободите на лицето или целта е откриването, упражняването или защитата на право в съда.

(2). Когато преработването на лични данни има за цел директен маркетинг субектът има право да се противопостави във всеки момент на обработването им с такава цел на личните данни които го засягат включитлено създаването на профил в тази връзка който да е свързан със съотвения директен маркетинг.

(3). Когато лицето, за което се отнасят данните, се противопоставя на обработката за целите на директния маркетинг, личните данни вече не се обработват за тази цел.

(4). Най-късно при първата комуникация с лицето, за което се отнасят данните, посоченото право параграфи 1 и 2 е изрично предоставен на вниманието на субекта на данните и е представени по ясен и отделен начин от всяка друга информация.

(5). В контекста на използването на услугите на информационното общество и въпреки директивата 2002/58 / ЕС, субектът на данните може да упражни своето право да се противопостави автоматични машини, които използват технически спецификации.

(6). Когато личните данни се обработват за научни цели научни или исторически или статистически цели в съответствие с член 89, параграф 1, (1), субектът на данните, по причини, свързани с неговата конкретна ситуация, има право да бъде се противопоставя на обработването на лични данни, отнасящи се до него, освен ако не обработката е необходима за изпълнение на задача от съображения от обществен интерес.

!лен 22: Индивидуален автоматизиран процес на вземане на решения, включително създаване на профили

(1). субекта на лични данни има право да не бъде предмет на решение, основаващо се единствено на автоматична обработка, включително създаване на профил, което води до правни последици засягат субекта на данни или го засягат в значителна степен.

(2). Параграф 1 не се прилага, когато решението:

а) е необходимо за сключването или изпълнението на договор между заинтересованото лице и оператор на данни;

б) е разрешено от правото на Съюза или от националното законодателство, приложимо за оператора; и който също предвижда подходящи мерки за защита на правата, свободите и законните интереси на субекта на данните; или

в) се основава на изричното съгласие на съответното лице.

(3). В случаите, посочени в параграф 2, букви а) и в), администраторът на данни поставя в подходящи мерки за защита на правата, свободите и интересите законните интереси на субекта на данните, поне правото му да получи човешка намеса от оператора, да изразят своята гледна точка и да оспорят решението.

(4). Решенията, посочени в параграф 2, не се основават на специални категории данни посочени в член 9, параграф 1, освен ако: прилага член 9, параграф 2, букви а) или ж) и когато са наложени мерки подходящи за защита на техните права, свободи и законни интереси заинтересованото лице.