KOMMISSIONENS AFGØRELSE
af 5. juni 2014
om beskyttelse af personoplysninger i den europæiske portal e-justice
(2014/333/EU)
EUROPA-KOMMISSIONEN HAR -
under henvisning til traktaten om Den Europæiske Unions funktionsmåde,
efter høring af Den Europæiske Tilsynsførende for Databeskyttelse og
ud fra følgende betragtninger:
(1)
I sin meddelelse af maj 2008 (1) erklærede Kommissionen, at den ville arbejde på at udforme og indføre portalen e-justice (herefter »portalen«), som den vil vedligeholde i nært samarbejde med medlemsstaterne.
(2)
Ved den flerårige handlingsplan for 2009-2013 (2) vedrørende europæisk e-justice af 8. november 2008 fik Kommissionen til opgave at etablere portalen. Portalen blev oprettet den 16. juli 2010. Det har ikke været nødvendigt at vedtage denne afgørelse tidligere, da portalen først nu er blevet klar til den første sammenkobling af nationale registre, der indebærer behandling af personoplysninger.
(3)
Portalens mål er at bidrage til opnåelsen af det europæiske retlige område ved at lette og forbedre adgangen til retssystemet og udnytte informations- og kommunikationsteknologien til at lette grænseoverskridende elektroniske retssager og retsligt samarbejde.
(4)
Såvel Den Europæiske Unions institutioner, organer, kontorer og agenturer som medlemsstaterne skal ved gennemførelsen af EU-retten respektere de grundlæggende rettigheder og overholde de principper, der er forankret i chartret om Den Europæiske Unions grundlæggende rettigheder, navnlig retten til beskyttelse af personoplysninger, der er fastsat i chartrets artikel 8.
(5)
Da Kommissionens og medlemsstaternes forskellige portalrelaterede opgaver og funktioner vil indebære forskellige ansvarsområder og forpligtelser med hensyn til databeskyttelse, er det vigtigt at afgrænse dem klart.
(6)
Henset til den særlige karakter af de aktiviteter, der er forbundet med portalen, som er udviklet i samarbejde mellem Kommissionen og medlemsstaterne, er Kommissionens rolle i behandlingen af personoplysninger via portalen begrænset. Det bør præciseres, at Kommissionen ikke har noget ansvar for indholdet af de sammenkoblede nationale databaser, der er gjort tilgængelige via portalen.
(7)
Europa-Parlamentet og Rådets forordning (EF) nr. 45/2001 (3) finder anvendelse på Kommissionens behandling af personoplysninger i portalen. Kommissionen er herved særlig ansvarlig for tilvejebringelse af IT-infrastrukturen til portalens funktioner, herunder sammenkoblingen af nationale databaser.
(8)
Formålet med behandlingen af personoplysninger skal som fastsat i forordning (EF) nr. 45/2001 udtrykkeligt angives. Kommissionen bør derfor kun behandle personoplysninger i portalen, hvis det sker for at skaffe adgang til sammenkoblede nationale databaser, der indeholder personoplysninger, for at levere interaktive tjenester, der giver brugerne mulighed for at kommunikere direkte med de relevante myndigheder i en anden medlemsstat, for at give adgang til offentlig information rettet mod registrerede brugere eller for at give kontaktoplysninger.
(9)
Kommissionen bør inkorporere teknologier, der afspejler begrebet »indbygget databeskyttelse«, i systemet. Ved gennemførelsen af dette begreb bør der på udformningsstadiet gennemføres en konsekvensanalyse af beskyttelsen af privatlivets fred og af personlige oplysninger i relation til den funktion, der er forbundet med behandlingen af personlige oplysninger via portalen, såvel som i relation til andre funktioner. Denne analyse vil identificere de mulige risici for databeskyttelsen. Den vil også fastlægge de relevante foranstaltninger og forholdsregler, der skal inkorporeres i systemet for at beskytte personoplysninger.
(10)
Kommissionen bør foretage løbende og passende sikkerhedsvurderinger, i det omfang der udføres tiltag vedrørende sammenkoblingen af nationale databaser.
(11)
Kun offentligt tilgængelige oplysninger i de sammenkoblede nationale databaser kan findes via portalen. Det bør ikke være muligt at kombinere oplysninger fra forskellige sammenkoblede nationale databaser til forskellige formål via portalen -
VEDTAGET DENNE AFGØRELSE:
Artikel 1
Genstand
I denne afgørelse fastlægges Europa-Kommissionens funktioner og ansvarsområder i relation til nødvendigheden af databeskyttelse under behandlingen af personoplysninger i den europæiske portal e-justice (i det følgende benævnt »portalen«).
Artikel 2
Definitioner
Ved anvendelsen af denne forordning finder definitionerne i forordning (EF) nr. 45/2001 anvendelse. Desuden forstås ved:
a) »Europæisk e-justice aktør«: enhver repræsentant for en medlemsstat eller en europæisk e-justice partnerorganisation, der har fået tilladelse til at ændre (dele af) indholdet af portalen
b) »sammenkoblede nationale databaser«: databaser med offentligt tilgængelige oplysninger, der drives af medlemsstaterne og andre organer såsom faglige organisationer og nonprofitorganisationer, og som er sammenkoblet via portalen på en sådan måde, at de disponible oplysninger på nationalt plan kan findes via portalen
c) »offentlig tilgængelig information«: oplysninger, der gøres tilgængelig for offentligheden via internettet
d) »registreret bruger«: en bruger af portalen, som er registreret til portalen via Europa-Kommissionens autentificeringstjeneste (ECAS), såsom en »europæisk e-justice aktør«.
Artikel 3
Databehandling
Kommissionen behandler kun personoplysninger i portalen i det omfang, det er nødvendigt med henblik på:
a)
at give adgang til sammenkoblede nationale databaser, der indeholder personoplysninger
b)
at stille interaktive tjenester til rådighed, som gør det muligt for registrerede brugere at kommunikere direkte med de relevante myndigheder i en anden medlemsstat
c)
at give adgang til offentlig information rettet mod registrerede brugere
d)
at stille kontaktoplysninger til rådighed.
Artikel 4
Den registeransvarliges ansvarsområder
1. Kommissionen udøver kompetencen som registeransvarlig i henhold til artikel 2, litra d), i forordning (EF) nr. 45/2001 i overensstemmelse med dens respektive ansvarsområder inden for rammerne af portalen som omhandlet i denne artikel.
2. Kommissionen sikrer tilgængeligheden, ajourføringen og sikkerheden af portalens it-infrastruktur.
3. Kommissionen er ansvarlig for følgende former for databehandling:
a)
Organisation
b)
videregivelse ved transmission
c)
formidling eller på anden måde stillen til rådighed
d)
tilpasning eller kombination af personlige oplysninger, der hidrører fra sammenkoblede nationale databaser, eller af personoplysninger om registrerede brugere.
4. Kommissionen fastlægger de nødvendige politikker og anvender passende tekniske løsninger for at opfylde sine forpligtelser inden for rammerne af funktionen som registeransvarlig.
5. Kommissionen gennemfører de tekniske foranstaltninger, der er nødvendige for at sikre beskyttelse af personoplysninger under overførslen og under visning på portalen, navnlig fortroligheden og autenticiteten af enhver overførsel til og fra portalen.
6. Kommissionen er ikke ansvarlig for nogen form for databeskyttelse vedrørende:
a)
Den indledende indsamling og opbevaring af enhver form for oplysninger hidrørende fra sammenkoblede nationale databaser
b)
enhver afgørelse, der træffes af medlemsstaterne for at gøre sådanne oplysninger tilgængelige via portalen
c)
indholdet af enhver form for oplysninger hidrørende fra sammenkoblede nationale databaser, der er gjort tilgængelige via portalen.
7. Kommissionens forpligtelser berører ikke medlemsstaternes og andre organers ansvar for indholdet og driften af de sammenkoblede nationale databaser, som drives af dem.
Artikel 5
Oplysningspligt
1. Kommissionen giver de registrerede de oplysninger, der er angivet i artikel 11 og 12 i forordning (EF) nr. 45/2001, for så vidt angår oplysninger, som Kommissionen er ansvarlig for efter denne afgørelse.
2. Uanset de forpligtelser, der påhviler medlemsstaterne og andre organer, som driver de sammenkoblede nationale databaser, skal Kommissionen også give de registrerede oplysninger om, hvem de skal kontakte for effektivt at udøve deres ret til oplysninger, indsigt, berigtigelse og indsigelse i overensstemmelse med gældende databeskyttelseslovgivning. Kommissionen henviser til medlemsstaternes og andre organers specifikke databeskyttelseserklæringer.
3. Kommissionen stiller tillige følgende til rådighed på portalen:
a)
oversættelser til portalens sprog af medlemsstaternes databeskyttelseserklæringer som omhandlet i stk. 2;
b)
en fyldestgørende databeskyttelseserklæring vedrørende portalen som omhandlet i artikel 11 og 12 i forordning (EF) nr. 45/2001 i klar og forståelig form.
Artikel 6
Opbevaring af personoplysninger
1. For så vidt angår udveksling af oplysninger fra sammenkoblede nationale databaser må ingen personoplysninger vedrørende de registrerede opbevares i portalen. Alle sådanne oplysninger skal opbevares i de nationale databaser, som drives af medlemsstaterne eller af andre organer.
2. Personoplysninger, der vedrører brugerne af portalen, eller personoplysninger, der stilles til rådighed af brugerne, må ikke opbevares i portalen, bortset fra i tilfælde, hvor de pågældende har tilmeldt sig som registrerede brugere. Personoplysninger om registrerede brugere opbevares, indtil de anmoder om sletning af registreringen. Som fastsat i artikel 3 opbevares personoplysninger vedrørende europæiske e-justice aktører eller kontaktpunkter kun, så længe disse personer udfører deres funktion.
Artikel 7
Ikrafttræden
Denne afgørelse træder i kraft på tyvendedagen efter offentliggørelsen i Den Europæiske Unions Tidende.
Udfærdiget i Bruxelles, den 5. juni 2014.
DECISIONE DELLA COMMISSIONE
del 5 giugno 2014
relativa alla protezione dei dati personali sul Portale europeo della giustizia elettronica
(2014/333/UE)
LA COMMISSIONE EUROPEA,
visto il trattato sul funzionamento dell'Unione europea,
sentito il Garante europeo della protezione dei dati,
considerando quanto segue:
(1)
Nella comunicazione del maggio 2008 (1) la Commissione ha dichiarato che avrebbe lavorato sull'ideazione e sull'allestimento del Portale europeo della giustizia elettronica (in appresso: «Portale»), da gestire in stretto rapporto con gli Stati membri.
(2)
Il piano d'azione pluriennale 2009-2013 in materia di giustizia elettronica europea (2) dell'8 novembre 2008 ha affidato alla Commissione europea l'attuazione del Portale. Detto Portale è stato avviato il 16 luglio 2010. L'adozione della presente decisione si è resa necessaria solo adesso, da quando cioè il Portale è pronto per la prima interconnessione di registri nazionali con conseguente trattamento di dati personali.
(3)
Scopo del Portale è contribuire alla realizzazione dello spazio giudiziario europeo facilitando e migliorando l'accesso alla giustizia e facendo leva sulle tecnologie di informazione e di comunicazione per agevolare i procedimenti giudiziari elettronici transfrontalieri e la cooperazione giudiziaria.
(4)
Quando attuano il diritto dell'Unione, le istituzioni, gli organi, gli uffici e le agenzie dell'Unione europea, così come gli Stati membri, devono rispettare i diritti fondamentali e osservare i principi sanciti dalla Carta dei diritti fondamentali dell'Unione europea, in particolare il diritto alla protezione dei dati di carattere personale di cui all'articolo 8 della Carta.
(5)
Poiché i vari compiti e le varie funzioni che incombono alla Commissione e agli Stati membri relativamente al Portale comporteranno diverse responsabilità e diversi obblighi in termini di protezione dei dati, è fondamentale delimitarli chiaramente.
(6)
Tenuto conto della specifica natura delle attività legate al Portale della giustizia elettronica, frutto di una cooperazione fra la Commissione e gli Stati membri, il ruolo della Commissione nel trattamento dei dati personali nell'ambito del Portale è limitato. Va precisato che la Commissione non è responsabile del contenuto delle banche dati nazionali interconnesse rese disponibili attraverso il Portale.
(7)
Al trattamento dei dati personali da parte della Commissione nell'ambito del Portale si applica il regolamento (CE) n. 45/2001 del Parlamento europeo e del Consiglio (3). La Commissione ha, in particolare, il compito di fornire l'infrastruttura informatica per le funzionalità del Portale, inclusa l'interconnessione delle banche dati nazionali.
(8)
Conformemente al regolamento (CE) n. 45/2001, occorre che le finalità del trattamento dei dati personali siano esplicitamente precisate. Pertanto, il trattamento di dati personali da parte della Commissione nell'ambito del Portale può avvenire solo se serve per fornire un accesso alle banche dati nazionali interconnesse contenenti dati personali, per fornire servizi interattivi che consentano agli utenti di comunicare direttamente con le autorità competenti in un altro Stato membro, per fornire accesso a informazioni pubbliche destinate agli utenti registrati, o per fornire informazioni di contatto.
(9)
La Commissione dovrebbe integrare nel sistema tecnologie che rispecchino il concetto di «protezione dei dati fin dalla progettazione». Ai fini dell'attuazione di tale concetto, in fase di progettazione della funzionalità legata al trattamento dei dati personali nell'ambito del Portale, e di altre funzionalità del Portale, dovrebbe essere effettuata una valutazione dell'impatto sulla protezione della vita privata e dei dati. Tale valutazione permetterà di individuare i potenziali rischi per la tutela dei dati, e di definire inoltre le adeguate misure e garanzie da integrare nel sistema per tutelare i dati personali.
(10)
Occorre che la Commissione proceda a continue ed adeguate valutazioni in materia di sicurezza nella misura in cui vengono effettuate operazioni legate all'interconnessione di banche dati nazionali.
(11)
Sono accessibili attraverso il Portale solo le informazioni pubbliche contenute nelle banche dati nazionali interconnesse. Non deve essere possibile combinare per finalità diverse, attraverso il Portale, informazioni provenienti dalle varie banche dati nazionali interconnesse,
HA ADOTTATO LA PRESENTE DECISIONE:
Articolo 1
Oggetto
La presente decisione definisce le funzioni e le responsabilità della Commissione europea in relazione alle norme sulla protezione dei dati nel trattamento di dati personali nell'ambito del Portale europeo della giustizia elettronica (in appresso: «Portale»).
Articolo 2
Definizioni
Ai fini della presente decisione si applicano le definizioni di cui al regolamento (CE) n. 45/2001. Si applicano inoltre le seguenti definizioni:
a) «operatore della giustizia elettronica europea»: qualsiasi rappresentante di uno Stato membro o di un'organizzazione partner della giustizia elettronica europea autorizzato a modificare il (o parti del) contenuto del Portale;
b) «banche dati nazionali interconnesse»: banche dati contenenti informazioni pubblicamente accessibili, gestite dagli Stati membri e da altri organismi come associazioni professionali e organizzazioni senza scopo di lucro, interconnesse attraverso il Portale in modo che le informazioni disponibili a livello nazionale possano essere consultate dal Portale stesso;
c) «informazioni pubblicamente accessibili»: informazioni accessibili ai cittadini attraverso Internet;
d) «utente registrato»: un utente del Portale, quale ad esempio un «operatore della giustizia elettronica europea», registrato sul Portale attraverso il servizio di autenticazione della Commissione europea (ECAS).
Articolo 3
Trattamento dei dati
La Commissione effettua operazioni di trattamento di dati personali nel Portale solo nella misura in cui ciò è necessario per:
a)
fornire un accesso alle banche dati nazionali interconnesse contenenti dati personali;
b)
fornire servizi interattivi che consentano agli utenti registrati di comunicare direttamente con le autorità competenti in un altro Stato membro;
c)
fornire accesso a informazioni pubbliche destinate agli utenti registrati;
d)
fornire informazioni di contatto.
Articolo 4
Compiti del responsabile del trattamento
1. La Commissione svolge i compiti di responsabile del trattamento ai sensi dell'articolo 2, lettera d), del regolamento (CE) n. 45/2001 conformemente alle responsabilità che le incombono nell'ambito del Portale e di cui al presente articolo.
2. La Commissione garantisce la disponibilità, la manutenzione e la sicurezza dell'infrastruttura informatica del Portale.
3. La Commissione è responsabile delle seguenti operazioni di trattamento:
a)
organizzazione;
b)
comunicazione mediante trasmissione;
c)
diffusione o qualsiasi altra forma di messa a disposizione;
d)
allineamento o combinazione di dati personali estratti da banche dati nazionali interconnesse o di dati personali relativi a utenti registrati.
4. La Commissione definisce le politiche necessarie e applica le adeguate soluzioni tecniche per adempiere alle proprie responsabilità nel quadro della sua funzione di responsabile del trattamento.
5. La Commissione attua le necessarie misure tecniche per garantire la sicurezza dei dati personali nel momento in cui vengono comunicati e quando sono visibili sul Portale, in particolare la riservatezza e l'integrità per ogni trasmissione da e verso il Portale.
6. La Commissione non è responsabile degli aspetti relativi alla protezione dei dati per quanto riguarda:
a)
la raccolta e la conservazione iniziale dei dati estratti dalle banche dati nazionali interconnesse;
b)
le decisioni degli Stati membri di rendere tali dati disponibili attraverso il Portale;
c)
il contenuto dei dati estratti dalle banche dati nazionali interconnesse e resi disponibili attraverso il Portale.
7. Gli obblighi che incombono alla Commissione non incidono sulle responsabilità degli Stati membri e degli altri organismi relative al contenuto e al funzionamento delle banche dati nazionali interconnesse da essi gestite.
Articolo 5
Obblighi di informazione
1. La Commissione fornisce agli interessati i dati di cui agli articoli 11 e 12 del regolamento (CE) n. 45/2001 per quanto riguarda le informazioni di cui essa è responsabile in virtù della presente decisione.
2. Fermi restando gli obblighi verso gli interessati che incombono agli Stati membri e agli altri organismi che gestiscono le banche dati nazionali interconnesse, la Commissione indica agli interessati anche chi contattare ai fini dell'effettivo esercizio dei loro diritti di informazione, accesso, rettifica e opposizione conformemente alla normativa applicabile in materia di protezione dei dati. La Commissione si richiama alle specifiche dichiarazioni sulla protezione dei dati personali degli Stati membri e degli altri organismi.
3. La Commissione rende inoltre disponibili sul Portale:
a)
le traduzioni, nelle lingue del Portale, delle informative sulla privacy degli Stati membri di cui al paragrafo 2;
b)
un'ampia informativa sulla privacy riguardante il Portale, conformemente agli articoli 11 e 12 del regolamento (CE) n. 45/2001, in forma chiara e comprensibile.
Articolo 6
Conservazione dei dati personali
1. Per quanto riguarda gli scambi di informazioni da banche dati nazionali interconnesse, nessun dato personale riguardante gli interessati è conservato sul Portale. Tutti questi dati sono conservati nelle banche dati nazionali gestite dagli Stati membri o da altri organismi.
2. I dati personali relativi agli utenti del Portale o da essi forniti non sono conservati sul Portale, tranne nei casi in cui questi si siano iscritti come utenti registrati. I dati personali degli utenti registrati sono conservati fino a quando questi non chiedano la cancellazione della loro registrazione. Conformemente all'articolo 3, i dati personali relativi agli operatori o ai punti di contatto della giustizia elettronica europea sono conservati solo per il periodo in cui tali persone esercitano le loro funzioni.
Articolo 7
Data d'entrata in vigore
La presente decisione entra il vigore il ventesimo giorno successivo alla sua pubblicazione nella Gazzetta ufficiale dell'Unione europea.
Fatto a Bruxelles, il 5 giugno 2014