РЕШЕНИЕ НА КОМИСИЯТА
от 5 юни 2014 година
относно защитата на личните данни в Европейския портал за електронно правосъдие
(2014/333/ЕС)
ЕВРОПЕЙСКАТА КОМИСИЯ,
като взе предвид Договора за функционирането на Европейския съюз,
след консултация с Европейския надзорен орган по защита на данните,
като има предвид, че:
(1)
В съобщението си от май 2008 г. (1) Комисията заяви, че ще проектира и създаде Европейски портал за електронно правосъдие (оттук нататък „порталът“), който ще се управлява в тясно сътрудничество с държавите членки.
(2)
Многогодишният план за действие в областта на европейското електронно правосъдие за периода 2009-2013 г. (2) от 8 ноември 2008 г. възложи на Европейската комисия създаването на портала. Порталът стартира на 16 юли 2010 г. Приемането на настоящото решение се налага в този момент, тъй като едва сега порталът е готов за първото свързване на националните регистри, включващо обработка на лични данни.
(3)
Порталът има за цел да допринесе за създаването на европейското съдебно пространство чрез улесняване и подобряване на достъпа до правосъдие, както и чрез използване на информационните и комуникационните технологии за улесняване на трансграничните електронни съдебни производства и на съдебното сътрудничество.
(4)
Институциите, органите, службите и агенциите на Европейския съюз, както и държавите членки, когато прилагат правото на Съюза, трябва да зачитат основните права и да спазват принципите, признати от Хартата на основните права на Европейския съюз, и по-специално правото на защита на личните данни, посочено в член 8 от тази Харта.
(5)
Тъй като различните задачи и функции на Комисията и на държавите членки, които са свързани с портала, ще доведат до различни отговорности и задължения по отношение на защитата на данни, е от съществено значение те да бъдат ясно определени.
(6)
В съответствие със специфичния характер на дейностите, свързани с портала за електронно правосъдие, разработени в сътрудничество между Комисията и държавите членки, ролята на Комисията при обработването на лични данни чрез портала е ограничена. Следва да се поясни, че Комисията не носи отговорност за портала е ограничена. Следва да се поясни, че Комисията не носи отговорност за съдържанието на взаимосвързаните национални бази данни, достъпни посредством портала.
(7)
Регламент (ЕО) № 45/2001 на Европейския парламент и на Съвета (3) се прилага към обработването на лични данни от Комисията в портала. В този контекст Комисията отговаря по-конкретно за предоставянето на ИТ инфраструктура за функционирането на портала, както и за взаимното свързване на националните бази данни.
(8)
Съгласно Регламент (ЕО) № 45/2001 целите на обработването на личните данни следва да бъдат изрично посочени. Поради това обработването на лични данни от Комисията в портала следва да се осъществява само ако е насочено към осигуряване на достъп до взаимосвързани национални бази данни, притежаващи лични данни, предоставяне на интерактивни услуги, позволяващи на потребителите да общуват пряко с компетентните органи на друга държава членка, предоставяне на достъп до публична информация, насочена към регистрираните потребители, или предоставяне на данни за контакт.
(9)
Комисията трябва да въведе технологии в системата, които да отразяват концепцията за „защита на данните още при проектирането“. За прилагането на тази концепция оценката на въздействието върху защитата на данните и неприкосновеността на личния живот трябва да се извърши още по време на програмирането на функцията, свързана с обработката на лични данни чрез портала, както и програмирането на други функционални възможности. Тази оценка ще определи потенциалните рискове за защитата на данните. В нея също така ще се определят подходящите мерки и механизми, които да бъдат включени в системата, за да се защитят личните данни.
(10)
Комисията следва да извършва непрекъснати и подходящи оценки на сигурността, доколкото се извършва работа, свързана с взаимното свързване на националните бази данни.
(11)
Чрез портала може да бъде получен достъп само до публично достъпната информация във взаимосвързаните национални бази данни. Посредством портала не трябва да се дава възможност за комбиниране на информация от различни взаимосвързани национални бази данни за различни цели,
ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:
Член 1
Предмет
Настоящото решение определя функциите и отговорностите на Европейската комисия относно изискванията за защита на данните при обработването на лични данни в Европейския портал за електронно правосъдие (наричан по-долу „порталът“).
Член 2
Определения
За целите на настоящото решение се прилагат определенията, посочени в Регламент (ЕО) № 45/2001. В допълнение се прилагат и следните определения:
а)
„участник в европейското електронно правосъдие“ означава всеки представител на държава членка или на организация партньор в европейското електронно правосъдие, който е получил разрешение да изменя (части от) съдържанието на портала;
б)
„взаимосвързани национални бази данни“ означава управлявани от държавите членки и други органи, като например професионални сдружения и организации с нестопанска цел, бази данни, съдържащи публично достъпна информация, които са свързани чрез портала по такъв начин, че чрез него се осигурява достъп до информацията, която е на разположение на национално равнище;
в)
„публично достъпна информация“ означава информация, достъпна за обществеността чрез интернет;
г)
„регистриран потребител“ означава потребител на портала, който се е регистрирал в него посредством Системата на Европейската комисия за автентификация (ECAS) като „участник в европейското електронно правосъдие“.
Член 3
Обработка на данните
Комисията обработва лични данни в портала само доколкото това е необходимо за целите на:
а)
предоставяне на достъп до взаимосвързани национални бази данни, притежаващи лични данни;
б)
предоставяне на интерактивни услуги, които позволяват на регистрираните потребители да се свържат пряко с компетентните органи в друга държава членка;
в)
предоставяне на достъп до публична информация, насочена към регистрираните потребители;
г)
предоставяне на информация за контакт.
Член 4
Отговорности на администратора на лични данни
1. Комисията изпълнява функциите на администратор на лични данни по смисъла на член 2, буква г) от Регламент (ЕО) № 45/2001, в съответствие със съответните си отговорности в рамките на портала, както е посочено в настоящия член.
2. Комисията осигурява достъпността, поддръжката и сигурността на инфраструктурата на информационните технологии на портала.
3. Комисията отговаря за следните операции по обработване:
а)
организация;
б)
разкриване чрез предаване;
в)
разпространяване или друга форма на предоставяне на данните;
г)
подравняване или комбиниране на личните данни, извлечени от взаимосвързани национални бази данни, или на лични данни на регистрирани потребители.
4. Комисията определя необходимите политики и прилага подходящите технически решения, за да изпълни отговорностите си на администратор на данни.
5. Комисията изпълнява техническите мерки, необходими за гарантиране на сигурността на личните данни при преминаването им и по време на представянето им в портала, и по-специално на поверителността и целостта на всяко предаване от и към портала.
6. Комисията не носи отговорност за аспекти, свързани със защитата на данните, отнасящи се до:
а)
първоначалното събиране и съхранение на данни, извлечени от взаимосвързаните национални бази данни;
б)
всяко решение, взето от държавите членки да направят тези данни достъпни чрез портала;
в)
съдържанието на всички данни, извлечени от взаимосвързаните национални бази данни, достъпни посредством портала.
7. Задълженията на Комисията не засягат отговорностите на държавите членки и другите органи по отношение на съдържанието и функционирането на взаимосвързаните национални бази данни, управлявани от тях.
Член 5
Задължения за предоставяне на информация
1. Комисията предоставя на субектите на данни информацията, посочена в членове 11 и 12 от Регламент (ЕО) № 45/2001 по отношение на информацията, за която Комисията носи отговорност съгласно настоящото решение.
2. Независимо от задълженията на държавите членки и другите органи, управляващи взаимосвързаните национални бази данни, към субектите на данните Комисията също предоставя на тези субекти информация относно това към кого могат да се обърнат за ефективното упражняване на правата си на информация, достъп, коригиране и възражение съгласно приложимото законодателство за защита на данните. Комисията се позовава на конкретни декларации за поверителност на държавите членки и другите органи.
3. Комисията също предоставя на разположение в портала:
а)
превод на езиците на портала на декларациите за поверителност на държавите членки, посочени в параграф 2;
б)
ясна и разбираема изчерпателна декларация за поверителност във връзка с портала в съответствие с членове 11 и 12 от Регламент (EО) № 45/2001.
Член 6
Съхраняване на лични данни
1. По отношение на обмена на информация между взаимосвързаните национални бази данни, лични данни, свързани със субектите на данните, не се съхраняват в портала. Всички такива данни се съхраняват в националните бази данни, управлявани от държавите членки или от други органи.
2. Личните данни, отнасящи се до или предоставени от потребители на портала, не се съхраняват в портала, освен в случаите, когато те вече са се записали като регистрирани потребители. Личните данни на регистрираните потребители се съхраняват, докато те отправят искане за заличаване на регистрацията си. В съответствие с член 3 личните данни на участниците в европейското електронно правосъдие или звената за контакт ще бъдат съхранявани само докато тези лица изпълняват своята функция.
Член 7
Дата на влизане в сила
Настоящото решение влиза в сила на 20-ия ден след публикуването му в Официален вестник на Европейския съюз.
Съставено в Брюксел на 5 юни 2014 година.
DECYZJA KOMISJI
z dnia 5 czerwca 2014 r.
dotycząca ochrony danych osobowych w europejskim portalu „e-Sprawiedliwość”
(2014/333/UE)
KOMISJA EUROPEJSKA,
uwzględniając Traktat o funkcjonowaniu Unii Europejskiej,
po zasięgnięciu opinii Europejskiego Inspektora Ochrony Danych,
a także mając na uwadze, co następuje:
(1)
W komunikacie z maja 2008 r. (1) Komisja stwierdziła, że zaprojektuje i utworzy europejski portal „e-Sprawiedliwość” (zwany dalej „portalem”), zarządzany w ścisłej współpracy z państwami członkowskimi.
(2)
W wieloletnim planie działania na lata 2009-2013 dotyczącym europejskiego e-prawa (2) z dnia 8 listopada 2008 r. Komisji Europejskiej powierzono utworzenie portalu. Portal uruchomiono w dniu 16 lipca 2010 r. Przyjęcie niniejszej decyzji staje się konieczne dopiero teraz, ponieważ portal jest dopiero teraz gotowy na pierwsze połączenie z krajowymi rejestrami, co wiąże się z przetwarzaniem danych osobowych.
(3)
Celem portalu jest przyczynienie się do tworzenia europejskiej przestrzeni sprawiedliwości poprzez ułatwianie i zwiększanie dostępu do wymiaru sprawiedliwości i lepsze wykorzystywanie technologii informacyjno-komunikacyjnych w celu ułatwienia transgranicznych elektronicznych postępowań sądowych oraz współpracy sądowej.
(4)
Instytucje, organy i jednostki organizacyjne Unii Europejskiej, jak również państwa członkowskie, gdy wdrażają one prawo Unii Europejskiej, muszą przestrzegać praw podstawowych i zasad uznanych w Karcie praw podstawowych Unii Europejskiej, w szczególności prawa do ochrony danych osobowych zapisanego w art. 8 tej karty.
(5)
Ponieważ różne związane z portalem zadania i funkcje Komisji i państw członkowskich pociągają za sobą różne obowiązki i zobowiązania w zakresie ochrony danych, konieczne staje się ich wyraźne rozgraniczenie.
(6)
Ze względu na szczególny charakter działań związanych z portalem „e-Sprawiedliwość” - rozwijanym przez Komisję we współpracy z państwami członkowskimi - rola Komisji przy przetwarzaniu danych osobowych za pośrednictwem portalu jest ograniczona. Należy wyjaśnić, że Komisja nie ponosi odpowiedzialności za treść połączonych krajowych baz danych dostępnych za pośrednictwem portalu.
(7)
Do przetwarzania danych osobowych przez Komisję w portalu stosuje się rozporządzenie (WE) nr 45/2001 Parlamentu Europejskiego i Rady (3). W tym kontekście Komisja jest odpowiedzialna w szczególności za zapewnienie infrastruktury informatycznej dla funkcjonalności portalu, w tym połączenia krajowych baz danych.
(8)
Zgodnie z rozporządzeniem (WE) nr 45/2001 należy wyraźnie określić cele przetwarzania danych osobowych. W związku z tym przetwarzanie danych osobowych przez Komisję w portalu powinno mieć miejsce jedynie wówczas, gdy jest dokonywane w celu zapewnienia dostępu do połączonych krajowych baz danych zawierających dane osobowe, w celu zapewnienia interaktywnych usług pozwalających użytkownikom na bezpośrednie komunikowanie się z właściwymi organami w innym państwie członkowskim, w celu zapewnienia dostępu do informacji publicznych przeznaczonych dla zarejestrowanych użytkowników lub przekazania informacji kontaktowych.
(9)
Komisja powinna włączyć do systemu technologie, które urzeczywistniają koncepcję „uwzględniania ochrony danych już w fazie projektowania”. Realizując tę koncepcję, na etapie projektowania funkcjonalności związanych z przetwarzaniem danych osobowych za pośrednictwem portalu, a także innych funkcjonalności portalu, należy sporządzić ocenę skutków w zakresie prywatności i ochrony danych. W ocenie tej zostaną wskazane potencjalne zagrożenia w zakresie ochrony danych. W ocenie zostaną również określone odpowiednie środki i zabezpieczenia, które należy włączyć do systemu w celu zapewnienia ochrony danych osobowych.
(10)
Komisja powinna dokonywać stałej i odpowiedniej oceny stanu bezpieczeństwa w zakresie, w jakim prowadzone są prace związane z połączeniem krajowych baz danych.
(11)
Za pośrednictwem portalu można uzyskać dostęp wyłącznie do tych informacji znajdujących się w połączonych krajowych bazach danych, które są dostępne publicznie. Nie powinna istnieć możliwość łączenia za pośrednictwem portalu - do różnych celów - informacji z różnych połączonych krajowych baz danych,
PRZYJMUJE NINIEJSZĄ DECYZJĘ:
Artykuł 1
Przedmiot
Niniejsza decyzja określa zadania i obowiązki Komisji Europejskiej w odniesieniu do wymogów ochrony danych podczas przetwarzania danych osobowych w europejskim portalu „e-Sprawiedliwość” (zwanym dalej „portalem”).
Artykuł 2
Definicje
Do celów niniejszej decyzji stosuje się definicje określone w rozporządzeniu (WE) nr 45/2001. Ponadto stosuje się następujące definicje:
a)
„podmiot europejskiego portalu »e-Sprawiedliwość«” oznacza przedstawiciela jednego z państw członkowskich lub organizacji partnerskich europejskiego portalu „e-Sprawiedliwość”, który jest uprawniony do modyfikowania (części) treści portalu;
b)
„połączone krajowe bazy danych” oznaczają bazy danych - zawierające publicznie dostępne informacje - prowadzone przez państwa członkowskie i inne podmioty, takie jak stowarzyszenia zawodowe i organizacje nienastawione na zysk, które są połączone ze sobą poprzez portal w taki sposób, że za pośrednictwem portalu możliwy jest dostęp do informacji dostępnych na szczeblu krajowym;
c)
„publicznie dostępne informacje” oznaczają informacje, które są dostępne dla ogółu społeczeństwa za pośrednictwem internetu;
d)
„zarejestrowany użytkownik” oznacza użytkownika portalu, który zarejestrował się w nim za pośrednictwem systemu uwierzytelniania Komisji Europejskiej (ECAS), na przykład „podmiot europejskiego portalu »e-Sprawiedliwość«”.
Artykuł 3
Przetwarzanie danych
Komisja przetwarza dane osobowe w portalu jedynie w takim zakresie, w jakim jest to konieczne w celu:
a)
zapewnienia dostępu do połączonych krajowych baz danych zawierających dane osobowe;
b)
zapewniania usług interaktywnych umożliwiających zarejestrowanym użytkownikom bezpośrednie komunikowanie się z właściwymi organami w innym państwie członkowskim;
c)
zapewnienia dostępu do informacji publicznych przeznaczonych dla zarejestrowanych użytkowników;
d)
zapewnienia informacji kontaktowych.
Artykuł 4
Obowiązki administratora danych
1. Komisja pełni obowiązki administratora danych na podstawie art. 2 lit. d) rozporządzenia (WE) nr 45/2001, zgodnie z odpowiednim zakresem jej obowiązków w ramach portalu, o których mowa w niniejszym artykule.
2. Komisja zapewnia dostępność, konserwację oraz bezpieczeństwo infrastruktury informatycznej portalu.
3. Komisja jest odpowiedzialna za następujące operacje przetwarzania:
a)
organizację;
b)
ujawnianie poprzez przekazanie;
c)
rozpowszechnianie lub udostępnianie w inny sposób;
d)
zestawianie lub łączenie danych osobowych pochodzących z połączonych krajowych baz danych lub danych osobowych zarejestrowanych użytkowników.
4. Komisja określa niezbędne strategie i stosuje odpowiednie rozwiązania techniczne, aby wypełnić obowiązki administratora danych.
5. Komisja wdraża środki techniczne, które są konieczne do zapewnienia bezpieczeństwa danych osobowych podczas ich przesyłania i wyświetlania w portalu, a zwłaszcza ich poufności i integralności podczas przekazywania do i z portalu.
6. Komisja nie ponosi odpowiedzialności za kwestie ochrony danych w zakresie:
a)
wstępnego gromadzenia i przechowywania wszelkich danych uzyskanych z połączonych krajowych baz danych;
b)
wszelkich decyzji podjętych przez państwa członkowskie, by udostępnić takie dane za pośrednictwem portalu;
c)
treści wszelkich danych pochodzących z połączonych baz danych dostępnych za pośrednictwem portalu.
7. Zobowiązania Komisji nie mają wpływu na obowiązki państw członkowskich i innych organów w zakresie treści i funkcjonowania połączonych krajowych baz danych prowadzonych przez te państwa.
Artykuł 5
Obowiązki dotyczące informacji
1. Komisja przekazuje osobom, których dane dotyczą, informacje określone w art. 11 i 12 rozporządzenia (WE) nr 45/2001, na temat informacji, za które Komisja jest odpowiedzialna na podstawie niniejszej decyzji.
2. Niezależnie od obowiązków państw członkowskich i innych organów prowadzących połączone bazy danych wobec osób, których dane dotyczą, Komisja również przekazuje osobom, których dane dotyczą, informacje z kim należy się kontaktować w celu skutecznego wykonania ich prawa do informacji, dostępu do danych, do ich poprawiania oraz do wnoszenia sprzeciwu zgodnie z obowiązującymi przepisami dotyczącymi ochrony danych. Komisja wskazuje konkretne oświadczenia państw członkowskich i innych organów o ochronie prywatności.
3. Komisja udostępnia również w portalu:
a)
tłumaczenia na języki portalu oświadczeń państw członkowskich o polityce prywatności, o których mowa w ust. 2;
b)
kompleksowe oświadczenie o polityce prywatności zgodnie z art. 11 i 12 rozporządzenia (WE) nr 45/2001 w jasnej i zrozumiałej formie;
Artykuł 6
Przechowywanie danych osobowych
1. W przypadku wymiany informacji z połączonych krajowych baz danych w portalu nie przechowuje się żadnych danych osobowych dotyczących osób, których dane dotyczą. Wszystkie takie dane muszą być przechowywane w krajowych bazach danych prowadzonych przez państwa członkowskie lub inne organy.
2. Danych osobowych dotyczących użytkowników portalu lub przez nich przekazanych nie przechowuje się w portalu, chyba że użytkownicy są zarejestrowani. Dane osobowe zarejestrowanych użytkowników są przechowywane do momentu złożenia przez nich wniosku o usunięcie ich rejestracji. Zgodnie z art. 3 dane osobowe podmiotów europejskiego portalu „e-Sprawiedliwość” lub punktów kontaktowych będą przechowywane jedynie w trakcie pełnienia przez te podmioty ich funkcji.
Artykuł 7
Data wejścia w życie
Niniejsza decyzja wchodzi w życie dwudziestego dnia po jej opublikowaniu w Dzienniku Urzędowym Unii Europejskiej.
Sporządzono w Brukseli dnia 5 czerwca 2014 r.