2016/679 - REGULATION (EU) 2016/679 OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation)
Regulation (EU) 2016/679, known as the General Data Protection Regulation (GDPR), establishes a comprehensive framework for the protection of natural persons regarding the processing of personal data and ensures the free movement of such data within the European Union. Grounded in the fundamental right to data protection, the regulation harmonizes data protection laws across Member States to prevent legal fragmentation and enhance individuals' control over their personal data. It applies to all organizations processing personal data of individuals within the EU, regardless of the processor's location, and includes provisions for transparent data handling, strengthened data subject rights, and accountability mechanisms for data controllers and processors. The GDPR also introduces stricter enforcement measures and sanctions for non-compliance. Special considerations are made for micro, small and medium-sized enterprises, and certain processing activities related to criminal justice or national security are governed by separate legislation. The regulation is designed to foster trust and innovation in the digital economy while safeguarding fundamental rights and ensuring consistent application throughout the internal market.
Purpose
Regulation (EU) 2016/679, known as the General Data Protection Regulation (GDPR), establishes a comprehensive legal framework for the protection of natural persons with regard to the processing of their personal data and the free movement of such data within the European Union. It replaces Directive 95/46/EC to harmonize data protection laws across Member States, ensuring consistent and high-level protection of fundamental rights related to privacy and personal data. The GDPR aims to:
- Protect natural persons’ fundamental right to data privacy, as enshrined in Article 8(1) of the Charter of Fundamental Rights of the EU and Article 16(1) TFEU.
- Facilitate the free flow of personal data within the EU internal market while ensuring a strong and coherent data protection regime.
- Provide legal certainty and transparency for economic operators, public authorities, and data subjects.
- Strengthen the rights of data subjects and clarify the obligations of data controllers and processors.
- Address challenges brought by technological advances and globalization affecting personal data processing.
- Create trust enabling digital economic growth across the Union.
Key Obligations
- Lawful, fair and transparent processing: Personal data must be processed lawfully, fairly, and in a transparent manner concerning the data subject.
- Purpose limitation: Data shall be collected for specified, explicit, and legitimate purposes and not further processed in a manner incompatible with those purposes.
- Data minimization: Processing shall be adequate, relevant, and limited to what is necessary in relation to the purposes.
- Accuracy: Personal data must be accurate and kept up to date.
- Storage limitation: Personal data shall be kept in a form that permits identification of data subjects no longer than necessary.
- Integrity and confidentiality: Personal data must be processed securely to protect against unauthorized or unlawful processing, accidental loss, destruction or damage.
- Accountability: Controllers are responsible for and must demonstrate compliance with the GDPR principles.
- Rights of data subjects: Including rights to access, rectification, erasure (‘right to be forgotten’), restriction of processing, data portability, objection to processing, and to be informed.
- Data Protection by Design and by Default: Controllers must implement appropriate technical and organizational measures to ensure data protection principles are embedded.
- Data breach notification: Controllers must notify supervisory authorities within 72 hours of a personal data breach unless it is unlikely to result in risk to data subjects.
- Appointment of Data Protection Officers (DPOs): Required for public authorities, organizations performing large scale systematic monitoring, or processing special categories of data.
- Cross-border cooperation: Supervisory authorities in Member States must cooperate and coordinate enforcement.
- Restrictions and derogations: Specific rules allow Member States to specify conditions for certain processing types for public interest or legal obligation purposes.
Affected Products and Actors
- Data Subjects: Natural persons who are identified or identifiable from processed personal data.
- Controllers: Entities (public or private) determining the purposes and means of personal data processing within or related to the EU.
- Processors: Entities processing personal data on behalf of controllers.
- Organizations: Including all sizes of businesses, authorities, associations, and individuals processing personal data in the context of professional or commercial activity.
- Cross-border activities: The Regulation applies to controllers/processors established in the EU and to those outside the EU offering goods or services to data subjects in the EU or monitoring their behavior within the Union.
- Exclusions: GDPR does not apply to processing by natural persons purely for personal or household activities, nor to processing by competent authorities for criminal law enforcement (covered by separate legislation).
Implementation Timeline
- Adoption Date: 27 April 2016.
- Entry into Force: 24 May 2016.
- Application Date: GDPR became directly applicable and enforceable in all Member States on 25 May 2018.
- Transitional Provisions: Member States were permitted to introduce national laws to supplement or specify GDPR rules in certain areas, provided these respect the Regulation’s overall framework and do not obstruct free data flow or fundamental rights.
- Ongoing Adjustments: Further adaptations to related legislations (such as Regulation (EC) No 45/2001 on EU institutions’ data processing) have been foreseen to align fully with GDPR principles.
The GDPR represents a landmark step towards a unified data protection regime in the EU, ensuring individuals’ control over their personal data while fostering a trustworthy digital economy.
The regulation applies to the processing of personal data wholly or partly by automated means and to manual processing if the data form part of a filing system. It covers the protection of natural persons with regard to the processing of their personal data within the European Union, irrespective of their nationality or residence. It applies to controllers and processors established in the Union, as well as to those outside the EU offering goods or services to, or monitoring the behavior of, data subjects in the Union. The regulation excludes processing related to activities outside EU law scope, such as national security and certain law enforcement purposes covered by separate rules. It does not apply to purely personal or household activities without professional or commercial connection, nor to data concerning legal persons. Sector-specific national laws may complement this regulation, especially regarding sensitive data.
Die Datenschutz-Grundverordnung (DSGVO) 2016/679 schützt natürliche Personen bei der Verarbeitung personenbezogener Daten und gewährleistet den freien Datenverkehr innerhalb der EU. Sie basiert auf dem Grundrecht auf Datenschutz nach Artikel 8 der Charta der Grundrechte der EU und Artikel 16 AEUV. Ziel ist ein einheitliches, hohes Datenschutzniveau in allen Mitgliedstaaten, um Rechtssicherheit zu schaffen und den Binnenmarkt zu stärken. Die Verordnung gilt für automatisierte und manuelle Datenverarbeitung in Dateisystemen und behandelt insbesondere Rechte der Betroffenen, Pflichten von Verantwortlichen und Auftragsverarbeitern sowie die Zusammenarbeit und Befugnisse der Aufsichtsbehörden. Sie umfasst auch den Schutz bei grenzüberschreitender Datenverarbeitung und legt spezifische Regelungen für sensible Daten, Kleinstunternehmen sowie kleine und mittlere Unternehmen fest. Ausgenommen sind Tätigkeiten, die primär der nationalen Sicherheit dienen oder Datenverarbeitung durch Justizbehörden in Ausübung ihrer gerichtlichen Aufgaben. Die DSGVO fördert Transparenz, Verantwortlichkeit und stärkt den Schutz personenbezogener Daten in einer zunehmend digitalisierten Gesellschaft.
Zweck
Die Datenschutz-Grundverordnung (DSGVO) (Verordnung (EU) 2016/679) hat den Zweck, den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten innerhalb der Europäischen Union zu gewährleisten. Das Recht auf Schutz personenbezogener Daten ist als Grundrecht anerkannt (Artikel 8 der Charta der Grundrechte der EU). Die Verordnung soll ein einheitliches und hohes Datenschutzniveau in der gesamten EU schaffen, die Rechte der betroffenen Personen stärken, die Pflichten der Datenverarbeiter präzisieren und so die Rechtssicherheit für Wirtschaft, Staat und Bürger erhöhen. Gleichzeitig wird der freie Verkehr personenbezogener Daten im Binnenmarkt sichergestellt und Hemmnisse für Handel und Dienstleistung beseitigt.
Kernpflichten
- Rechte der Betroffenen stärken: Jede natürliche Person erhält umfassende Rechte hinsichtlich ihrer personenbezogenen Daten, einschließlich Informations- und Auskunftsrechte, Recht auf Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch.
- Pflichten der Verantwortlichen und Auftragsverarbeiter: Organisationen, die personenbezogene Daten verarbeiten, müssen sicherstellen, dass Verarbeitung transparent, rechtmäßig und zweckgebunden erfolgt. Sie sind verpflichtet, geeignete technische und organisatorische Maßnahmen zum Schutz der Daten zu treffen.
- Verzeichnis von Verarbeitungstätigkeiten: Verantwortliche müssen Verzeichnisse über ihre Datenverarbeitung führen, außer bei Unternehmen mit weniger als 250 Mitarbeitern, sofern bestimmte Voraussetzungen erfüllt sind.
- Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen (Privacy by Design und Privacy by Default).
- Meldepflicht bei Datenschutzverletzungen: Verletzungen des Schutzes personenbezogener Daten müssen innerhalb von 72 Stunden an die zuständige Aufsichtsbehörde gemeldet werden.
- Bestellung von Datenschutzbeauftragten: Verpflichtend für öffentliche Stellen sowie für Unternehmen, deren Kerntätigkeit in umfangreicher systematischer Überwachung oder Verarbeitung besonderer Kategorien personenbezogener Daten besteht.
- Grenzüberschreitende Zusammenarbeit und Sanktionen: Einheitliche Befugnisse der Aufsichtsbehörden und gleichwertige Sanktionen bei Verstößen.
Betroffene Produkte und Akteure
- Personenbezogene Daten: Alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.
- Verantwortliche und Auftragsverarbeiter: Jede natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten verarbeitet.
- Verarbeitung durch Unternehmen aller Größen, einschließlich Kleinstunternehmen, kleine und mittlere Unternehmen (KMU): Es gibt allerdings Erleichterungen, z.B. bei der Dokumentationspflicht.
- Datenverarbeitung unabhängig von der Technik: Die Verordnung gilt für manuelle wie automatisierte Verarbeitung, sofern die Daten in geordneten Systemen gespeichert werden.
- Ausnahmen: Nicht-Anwendungsbereich sind Tätigkeiten im Bereich der nationalen Sicherheit, Strafverfolgung (die richtlinienbasiert geregelt sind), Verarbeitung personenbezogener Daten juristischer Personen sowie rein private oder familiäre Tätigkeiten.
- Internationale Anwendbarkeit: Verantwortliche außerhalb der EU unterliegen der DSGVO, wenn sie Waren oder Dienstleistungen für Personen in der EU anbieten oder das Verhalten von Personen in der EU beobachten.
Umsetzungszeitplan
Die Verordnung trat am 27. April 2016 in Kraft und wurde unmittelbar anwendbar ab dem 25. Mai 2018. Seit diesem Datum sind Unternehmen und Behörden in der EU verpflichtet, die Bestimmungen vollständig umzusetzen. Nationale Gesetzgebungen sind in dem Rahmen anzupassen, wie die DSGVO es zulässt (Spielräume zur Konkretisierung). Die Verordnung harmonisiert damit das Datenschutzrecht in allen Mitgliedstaaten und schafft einen einheitlichen Rechtsrahmen ohne die Notwendigkeit einer Umsetzung in nationales Recht.
Die Datenschutz-Grundverordnung (DSGVO) gilt für die Verarbeitung personenbezogener Daten natürlicher Personen innerhalb der Europäischen Union, unabhängig von Staatsangehörigkeit oder Aufenthaltsort. Sie erstreckt sich auf öffentliche und private Einrichtungen, die personenbezogene Daten verarbeiten, sowie auf Verantwortliche und Auftragsverarbeiter mit Niederlassung in der Union. Die Verordnung umfasst sowohl manuelle als auch automatisierte Datenverarbeitungen, sofern die Daten in einem Dateisystem gespeichert sind. Ausgenommen sind die Verarbeitung personenbezogener Daten durch Behörden für Zwecke der Strafverfolgung, nationale Sicherheitsangelegenheiten und einige Tätigkeiten außerhalb des Anwendungsbereichs des Unionsrechts. Zudem gilt sie nicht für die Datenverarbeitung durch natürliche Personen ausschließlich zu persönlichen oder familiären Zwecken, jedoch für Anbieter entsprechender Dienste. Auch die Verarbeitung durch Organe der EU wird durch andere spezifische Rechtsakte geregelt. Die DSGVO schafft ein einheitliches Datenschutzniveau im Binnenmarkt und gilt zudem für die Verarbeitung personenbezogener Daten durch nicht in der EU niedergelassene Verantwortliche, sofern Waren oder Dienstleistungen Betroffenen in der Union angeboten werden.
Le règlement (UE) 2016/679, connu sous le nom de Règlement général sur la protection des données (RGPD), établit un cadre juridique unique pour protéger les droits fondamentaux des personnes physiques concernant le traitement de leurs données à caractère personnel et garantir la libre circulation de ces données au sein de l'Union européenne. Il renforce la protection des données en harmonisant les règles applicables dans tous les États membres, en donnant aux individus un contrôle accru sur leurs données, et en imposant des obligations strictes aux responsables du traitement et aux sous-traitants. Le règlement couvre les traitements automatisés et manuels liés aux données personnelles, excluant certaines activités, comme celles strictement personnelles ou relevant de la sécurité nationale. Il prévoit également des mécanismes coordonnés de contrôle et des sanctions harmonisées. Le RGPD a pour objectif de sécuriser juridiquement l'économie numérique européenne, de favoriser la confiance des citoyens et de faciliter la coopération entre autorités de contrôle, tout en respectant les droits fondamentaux comme la vie privée, la liberté d’expression et la non-discrimination.
Objet
Le Règlement (UE) 2016/679, connu sous le nom de Règlement général sur la protection des données (RGPD), vise à protéger les droits fondamentaux des personnes physiques en matière de traitement des données à caractère personnel et à garantir la libre circulation de ces données au sein de l’Union européenne. Il abroge la directive 95/46/CE en établissant un cadre juridique harmonisé, garantissant un niveau élevé et cohérent de protection dans tous les États membres.
Ce règlement consacre le droit fondamental à la protection des données tel que prévu notamment par l’article 8 de la Charte des droits fondamentaux de l’Union européenne. Il cherche à concilier ce droit avec d’autres droits fondamentaux (liberté d’expression, liberté d’entreprise, droit à un recours effectif, diversité culturelle, etc.), en tenant compte des évolutions technologiques et de l’intensification des flux transfrontaliers de données.
Obligations clés
Respect des principes fondamentaux : Le traitement doit être licite, loyal, transparent, limité à des finalités déterminées, et assurer la minimisation et la sécurité des données.
Droits des personnes concernées : Droit d’accès, de rectification, d’effacement, de limitation du traitement, à la portabilité des données, et droit d’opposition.
Responsabilité des acteurs : Les responsables du traitement et les sous-traitants doivent mettre en œuvre des mesures techniques et organisationnelles appropriées pour garantir la protection des données.
Notification des violations : Obligation de notifier toute violation de données personnelles à l’autorité de contrôle compétente et, dans certains cas, aux personnes concernées.
Évaluation d’impact : En cas de traitements susceptibles d’engendrer un risque élevé pour les droits et libertés des personnes, une analyse d’impact doit être réalisée.
Autorités de contrôle : Les États membres doivent doter leurs autorités de contrôle de pouvoirs d’investigation et de sanction équivalents.
Coopération entre autorités : Les autorités nationales de protection des données doivent coopérer au niveau européen pour assurer une application uniforme.
Limitation pour les PME : Certaines obligations (comme la tenue de registres) sont allégées pour les micro, petites et moyennes entreprises.
Produits et acteurs concernés
Champ d’application matériel : Tout traitement de données à caractère personnel réalisé par un responsable ou sous-traitant établi dans l’Union européenne, ainsi que les traitements liés à l’offre de biens ou services aux résidents de l’UE, indépendamment du lieu d’établissement du responsable.
Personnes physiques uniquement : Le règlement protège uniquement les données se rapportant à des individus, excluant les données relatives aux personnes morales.
Exclusions spécifiques : Ne s’applique pas aux traitements effectués par les autorités publiques pour des finalités de sécurité nationale, politique étrangère, ou dans le cadre de la politique de sécurité commune et de défense.
Traitements manuels et automatisés : S’applique aussi bien aux traitements électroniques qu’aux traitements manuels dès lors qu’ils consistent en des fichiers structurés de données personnelles.
Activités personnelles/domiciles : Le RGPD ne s’applique pas aux traitements à des fins exclusivement personnelles ou domestiques.
Autorités judiciaires : Les traitements effectués dans le cadre du pouvoir juridictionnel sont exclus du contrôle des autorités de protection des données pour préserver l’indépendance judiciaire.
Calendrier de mise en œuvre
Le règlement a été adopté le 27 avril 2016.
Il est directement applicable dans tous les États membres depuis le 25 mai 2018, supprimant le besoin de transposition en droit national.
Depuis cette date, toutes les entités concernées doivent être en conformité avec ses obligations.
Ce règlement constitue une avancée majeure dans la protection des données en Europe, imposant un cadre strict et harmonisé qui répond aux défis posés par la transformation numérique et l’essor des flux transfrontaliers de données personnelles.
Le règlement (UE) 2016/679 s'applique à la protection des données à caractère personnel des personnes physiques dans le cadre du traitement de ces données, quel que soit le secteur d'activité. Il concerne les traitements effectués par des responsables du traitement et des sous-traitants établis sur le territoire de l'Union européenne, ainsi que, dans certains cas, par des responsables non établis dans l'UE dès lors que leurs activités de traitement sont liées à l’offre de biens ou services à des personnes dans l’Union ou au suivi de leur comportement. Le règlement concerne tant les traitements automatisés que manuels intégrés dans un fichier structuré. Il ne s’applique pas aux traitements personnels ou domestiques, aux activités relevant de la sécurité nationale, ni au traitement des données par les institutions de l’UE couvertes par d’autres règlements spécifiques. Il encadre aussi le traitement des données par les autorités publiques dans le cadre de missions relevant de l’intérêt public, tout en offrant des marges de manœuvre aux États membres pour adapter ou préciser certaines règles, notamment pour les données sensibles ou les secteurs spécifiques.
Splošna uredba o varstvu podatkov (GDPR) (2016/679) je pravni okvir Evropske unije, namenjen zaščiti posameznikov pri obdelavi njihovih osebnih podatkov in zagotoviti prost pretok teh podatkov znotraj EU. Uredba vzpostavlja enotna pravila za vse države članice, s čimer odpravlja pravno razdrobljenost in izboljšuje varstvo temeljnih pravic posameznikov. Vključuje pravice posameznikov do nadzora nad njihovimi podatki, dolžnosti upravljavcev in obdelovalcev podatkov ter moč nadzornih organov z enakovrednimi sankcijami. Uporablja se za obdelavo osebnih podatkov v vseh dejavnostih v EU, tudi če upravljavec nima sedeža v EU, če so podatki povezani z zagotavljanjem blaga ali storitev ali spremljanjem vedenja posameznikov v EU. GDPR upošteva tehnološki razvoj in spodbuja uporabo tehničnih ukrepov, kot je psevdonimizacija, za zmanjšanje tveganj. Posebna pravila veljajo tudi za obdelavo podatkov od strani javnih organov in izključene so nekatere dejavnosti izven pravnega področja EU, kot sta nacionalna varnost in pravosodje. Uredba spodbuja zaupanje v digitalno gospodarstvo in zagotavlja enakost ter preglednost pri varstvu osebnih podatkov.
Namen
Uredba (EU) 2016/679, znana kot Splošna uredba o varstvu podatkov (GDPR), ima namen zagotoviti dosledno in visoko raven varstva pravic posameznikov pri obdelavi njihovih osebnih podatkov v Evropski uniji. S tem prispeva k dokončanju območja svobode, varnosti in pravice ter spodbuja gospodarski in socialni napredek. GDPR zagotavlja, da imajo posamezniki nadzor nad svojimi osebnimi podatki ter da je prosti pretok teh podatkov znotraj Unije varen in neovirajoč.
Uredba spoštuje temeljne pravice posameznikov, kot so zasebnost, spoštovanje družinskega življenja, svoboda izražanja in druge ustrezne svoboščine. Poudarja tudi pomen tehnološke nevtralnosti in prilagodljivosti pravil glede na hitri tehnološki razvoj in globalizacijo.
Ključne obveznosti
- Zagotavljanje pravic posameznikov: Posamezniki imajo pravico do dostopa do svojih osebnih podatkov, popravkov, izbrisa, omejitve obdelave in prenosljivosti podatkov ter pravico do ugovora obdelavi v določenih primerih.
- Preglednost in informiranje: Upravljavci morajo posameznike jasno in razumljivo obvestiti o obdelavi njihovih osebnih podatkov.
- Upravljanje soglasja: Ko je potrebno, je treba pridobiti pravno veljavno soglasje posameznika za obdelavo podatkov.
- Varnost podatkov: Upravljavci in obdelovalci so dolžni zagotoviti ustrezne tehnične in organizacijske ukrepe za zaščito osebnih podatkov pred nepooblaščenim dostopom, izgubo ali zlorabo.
- Obveščanje o kršitvah: V primeru varnostnih incidentov, ki ogrožajo osebne podatke, morajo upravljavci o tem obvestiti pristojne nadzorne organe in v določenih primerih tudi posameznike.
- Usklajenost pravil: Ohranjanje skladnosti s predpisi o varstvu podatkov po celotni EU z enotnimi pravili in sankcijami.
- Spremljanje in nadzor: Nacionalni nadzorni organi odgovorni za spremljanje spoštovanja uredbe imajo pooblastila za izvajanje in sankcioniranje kršitev.
- Posebne zahteve za obdelavo občutljivih podatkov: Uredba priznava potrebo po dodatnih varovalkah pri obdelavi določenih vrst osebnih podatkov (npr. zdravstveni podatki).
Vplivani proizvodi in akterji
- Fizične osebe: Posamezniki znotraj EU, katerih osebni podatki se obdelujejo, so zaščiteni ne glede na državljanstvo ali prebivališče.
- Upravljavci in obdelovalci podatkov: Vsi javni in zasebni subjekti, ki obdelujejo osebne podatke posameznikov v EU, vključno z mikro, malimi in srednjimi podjetji, so zavezani k spoštovanju uredbe.
- Ponudniki storitev spletne in informacijske tehnologije: Ker obdelava zajema tudi avtomatizirane postopke in profiliranje, so vključena digitalna podjetja in aplikacije.
- Javni organi: Uredba velja z nekaterimi izjemami tudi za javne organe, razen v specifičnih primerih, kjer veljajo drugi akti EU.
- Podjetja brez sedeža v EU: GDPR se uporablja tudi za upravljavce in obdelovalce, ki nimajo sedeža v EU, vendar nudijo blago ali storitve posameznikom v EU ali spremljajo vedenje teh posameznikov.
Rok izvedbe
Uredba je začela veljati 25. maja 2018. Države članice EU in akterji so sicer imeli čas pred tem datumom za prilagoditev svojih praks in zakonodaje, da so lahko spoštovali nove standarde varstva podatkov. Od tega datuma dalje je obvezna neposredna uporaba uredbe v vseh državah članicah brez potrebe po nacionalni transpoziciji.
Poseben poudarek je bil na času za:
- Pripravo notranjih politik za varstvo podatkov,
- Ustanovitev nadzornih organov,
- Usposabljanje kadrov in informiranje javnosti,
- Prilagoditev informacijskih sistemov in varnostnih ukrepov.
S tem rokom je Evropska unija uvedla najobsežnejši in najbolj usklajeni zakonodajni okvir za varstvo osebnih podatkov doslej.
Splošna uredba o varstvu podatkov (GDPR) se uporablja za obdelavo osebnih podatkov posameznikov v vseh dejavnostih, ki potekajo v Evropski uniji, ne glede na državljanstvo ali prebivališče teh posameznikov. Uredba zajema tako javne kot zasebne sektorje ter vse vrste obdelave osebnih podatkov, ki so avtomatizirane ali ročne, če so del zbirke podatkov ali namenjene, da postanejo del zbirke. Ne velja za obdelavo osebnih podatkov v okviru izključno osebnih ali domačih dejavnosti brez povezave s poklicno ali komercialno dejavnostjo. Prav tako se uredba ne uporablja za dejavnosti nacionalne varnosti, skupne zunanje in varnostne politike EU ter za obdelavo podatkov za namene kazenskega pregona, ki ga ureja posebna direktiva. Obravnava pravice in obveznosti upravljavcev in obdelovalcev podatkov na vseh sektorjih za zagotovitev prostega pretoka osebnih podatkov z visoko stopnjo varstva v notranjem trgu EU.
General Information
This document contains guidelines for developing and establishing policies and procedures for deletion of personally identifiable information (PII) in organizations by specifying:
— a harmonized terminology for PII deletion;
— an approach for defining deletion rules in an efficient way;
— a description of required documentation;
— a broad definition of roles, responsibilities and processes.
This document is intended to be used by organizations where PII is stored or processed.
This document does not address:
— specific legal provision, as given by national law or specified in contracts;
— specific deletion rules for particular clusters of PII that are defined by PII controllers for processing PII;
— deletion mechanisms;
— reliability, security and suitability of deletion mechanisms;
— specific techniques for de-identification of data.
- Standard34 pagesEnglish languagee-Library read for1 day
This document contains guidelines for developing and establishing policies and procedures for deletion of personally identifiable information (PII) in organizations by specifying:
— a harmonized terminology for PII deletion;
— an approach for defining deletion rules in an efficient way;
— a description of required documentation;
— a broad definition of roles, responsibilities and processes.
This document is intended to be used by organizations where PII is stored or processed.
This document does not address:
— specific legal provision, as given by national law or specified in contracts;
— specific deletion rules for particular clusters of PII that are defined by PII controllers for processing PII;
— deletion mechanisms;
— reliability, security and suitability of deletion mechanisms;
— specific techniques for de-identification of data.
- Standard34 pagesEnglish languagee-Library read for1 day
This Technical Report provides an overview of the current deployment of biometric systems within Europe. It addresses the challenges that are being faced, in order to detect the current needs for improving the specifications for the implementation and deployment of biometric systems. This Technical Report considers all kind of deployments, from border control to ad-hoc services. As most of the deployed systems are based on the use of fingerprints or face recognition, this Technical Report will focus on these two biometric modalities, from the system integrator and interoperability points of view.
Identity documents, in terms of production, structure, interoperability, etc., are out of the scope of this TR. The TR is focused on the performance at system level.
The current European legislative initiatives around this topic (e.g., Entry/Exit System, framework for interoperability between EU information systems, etc.) need a robust framework study about the availability of standard technologies to improve interoperability in biometric products around the European Union.
By showing these needs, a set of recommendations for future standardization works is provided.
From a methodological perspective, the report gathers information of different entities with this classification:
- Capture/enrolment of biometrics including the quality assurance and the generation of feature or biometric models from the images.
- Best practices and guidelines to use biometrics in Europe.
- Data Quality environment using biometrics in European networks.
- Technical report33 pagesEnglish languagee-Library read for1 day
This Technical Report provides an overview of the current deployment of biometric systems within Europe. It addresses the challenges that are being faced, in order to detect the current needs for improving the specifications for the implementation and deployment of biometric systems. This Technical Report considers all kind of deployments, from border control to ad-hoc services. As most of the deployed systems are based on the use of fingerprints or face recognition, this Technical Report will focus on these two biometric modalities, from the system integrator and interoperability points of view.
Identity documents, in terms of production, structure, interoperability, etc., are out of the scope of this TR. The TR is focused on the performance at system level.
The current European legislative initiatives around this topic (e.g., Entry/Exit System, framework for interoperability between EU information systems, etc.) need a robust framework study about the availability of standard technologies to improve interoperability in biometric products around the European Union.
By showing these needs, a set of recommendations for future standardization works is provided.
From a methodological perspective, the report gathers information of different entities with this classification:
- Capture/enrolment of biometrics including the quality assurance and the generation of feature or biometric models from the images.
- Best practices and guidelines to use biometrics in Europe.
- Data Quality environment using biometrics in European networks.
- Technical report33 pagesEnglish languagee-Library read for1 day
This document contains recommendations on how to integrate the principle of ‘data protection and privacy by design’ during the entire lifecycle of video-surveillance products and services, in order to achieve ‘data protection and privacy by default’.
- Technical report15 pagesEnglish languagee-Library read for1 day
This document contains recommendations on how to integrate the principle of ‘data protection and privacy by design’ during the entire lifecycle of video-surveillance products and services, in order to achieve ‘data protection and privacy by default’.
- Technical report15 pagesEnglish languagee-Library read for1 day
This document provides requirements for manufacturers and/or service providers to implement Data protection and Privacy by Design and by Default (DPbDD) early in their development of their products and services, i.e. before (or independently of) any specific application integration, to make sure that they are as privacy ready as possible. The document will be applicable to all business sectors, including the security industry.
- Standard62 pagesEnglish languagee-Library read for1 day
This document provides requirements for manufacturers and/or service providers to implement Data protection and Privacy by Design and by Default (DPbDD) early in their development of their products and services, i.e. before (or independently of) any specific application integration, to make sure that they are as privacy ready as possible. The document will be applicable to all business sectors, including the security industry.
- Standard62 pagesEnglish languagee-Library read for1 day
This document applies to all rail vehicles including OTM’s and Road-rail machines, which are operated on the heavy rail network with standard track gauge 1 435 mm and nominal static vertical wheelset forces up to 350 kN.
This document may also be applicable (partly or in full) to:
— rail systems with different track layout, e.g. urban rail systems and/or,
— rail systems with other than 1 435 mm nominal track gauge.
Note: For such rail systems other than 1 435 mm track gauge or urban rail systems, the related post analysis, limit values and test conditions could be different. They are specified nationally taking into account track design and operating conditions.
This document contains the common parts of the series as the relationship to other standards, handling of deviations from requirements and general test requirements. These specifications are necessary for the application of the other parts of this series.
- Draft22 pagesEnglish languagee-Library read for1 day
This document applies to all rail vehicles including OTM’s and Road-rail machines, which are operated on the heavy rail network with standard track gauge 1 435 mm and nominal static vertical wheelset forces up to 350 kN.
This document may also be applicable (partly or in full) to:
— rail systems with different track layout, e.g. urban rail systems and/or,
— rail systems with other than 1 435 mm nominal track gauge.
Note: For such rail systems other than 1 435 mm track gauge or urban rail systems, the related post analysis, limit values and test conditions could be different. They are specified nationally taking into account track design and operating conditions.
This document contains the common parts of the series as the relationship to other standards, handling of deviations from requirements and general test requirements. These specifications are necessary for the application of the other parts of this series.
- Draft22 pagesEnglish languagee-Library read for1 day
Frequently Asked Questions
An EU Regulation is a binding legislative act that must be applied in its entirety across the European Union. Unlike directives, regulations do not need to be transposed into national law and are directly applicable in all member states. Regulations are used when uniform application across all EU countries is essential.
Regulation 2016/679 covers "REGULATION (EU) 2016/679 OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation)". There are 10 standards associated with this regulation.
Harmonized standards under 2016/679 are European standards (ENs) developed by CEN, CENELEC, or ETSI in response to a mandate from the European Commission. When these standards are cited in the Official Journal of the European Union, products manufactured in conformity with them benefit from a presumption of conformity with the essential requirements of 2016/679, facilitating CE marking and free movement within the European Economic Area.