ROZHODNUTÍ KOMISE
ze dne 5. června 2014
o ochraně osobních údajů v portálu evropské e-justice
(2014/333/EU)
EVROPSKÁ KOMISE,
s ohledem na Smlouvu o fungování Evropské unie,
po konzultaci s evropským inspektorem ochrany údajů,
vzhledem k těmto důvodům:
(1)
Ve svém sdělení z května 2008 (1) Komise uvedla, že bude pracovat na konceptu a zprovoznění portálu evropské e-justice (dále jen „portál“), jehož řízení se ujme v úzké spolupráci s členskými státy.
(2)
Víceletý akční plán v oblasti evropské e-justice na období let 2009-2013 (2) ze dne 8. listopadu 2008 pověřil realizací portálu Evropskou komisi. Portál byl spuštěn dne 16. července 2010. Vzhledem k tomu, že portál je teprve nyní připraven na první propojení vnitrostátních rejstříků, jež obnáší zpracování osobních údajů, stalo se přijetí tohoto rozhodnutí nezbytným až za současné situace.
(3)
Cílem portálu je přispět k realizaci evropského soudního prostoru, a to usnadněním a podporou přístupu ke spravedlnosti a posílení informačních a komunikačních technologií, jež mají usnadnit přeshraniční elektronické soudní řízení a justiční spolupráci.
(4)
Orgány, subjekty, úřady a agentury Evropské unie stejně jako členské státy musí při provádění právních předpisů Unie ctít základní práva a dodržovat zásady uznané Listinou základních práv Evropské unie, zejména právo na ochranu osobních údajů stanovené v článku 8 uvedené listiny.
(5)
Vzhledem k tomu, že řada rozmanitých úkolů a funkcí Komise a členských států týkající se portálu obnáší rozličné povinnosti a závazky, pokud jde o ochranu údajů, je nezbytné, aby tyto byly jasně vymezeny.
(6)
S ohledem na zvláštní povahu činností souvisejících s portálem e-justice, vytvořených na základě spolupráce mezi Komisí a členskými státy, je úloha Komise při zpracování osobních údajů prostřednictvím portálu omezená. Je třeba upřesnit, že Komise nenese žádnou odpovědnost za obsah vzájemně propojených vnitrostátních databází, který je prostřednictvím portálu dostupný.
(7)
Zpracovávání osobních údajů Komisí v rámci portálu se řídí nařízením Evropského parlamentu a Rady (ES) č. 45/2001 (3). V této souvislosti je Komise zejména odpovědná za poskytování infrastruktury IT pro funkce portálu, včetně propojení vnitrostátních databází.
(8)
V souladu s nařízením (ES) č. 45/2001 by mělo být výslovně uvedeno, pro jaké účely se osobní údaje zpracovávají. Komise by tudíž měla osobní údaje v rámci portálu zpracovávat pouze za účelem poskytnutí přístupu k vzájemně propojeným vnitrostátním databázím s osobními údaji, poskytnutí interaktivních služeb umožňujícím uživatelům komunikovat přímo s příslušnými orgány v jiném členském státě, poskytnutí přístupu k veřejným informacím pro registrované uživatele nebo poskytnutí kontaktních údajů.
(9)
Komise by se měla opřít o systémové technologie, které zohledňují koncepci „ochrany údajů již od návrhu“. Při uplatňování této koncepce by mělo být při návrhu funkce spojené se zpracováním osobních údajů prostřednictvím portálu, jakož i jiných funkcí portálu, provedeno posouzení dopadů na ochranu soukromí a osobních údajů. Toto posouzení určí potenciální rizika v souvislosti s ochranou údajů. Rovněž uvede vhodná opatření a záruky, které mají být začleněny do systému ochrany osobních údajů.
(10)
Při provádění činností souvisejících s propojením vnitrostátních databází by Komise měla nepřetržitě a náležitě posuzovat bezpečnost.
(11)
Prostřednictvím portálu mohou být dostupné pouze informace, které jsou v propojených vnitrostátních databázích veřejně přístupné. Portál by neměl umožňovat, aby byly pro různé účely kombinovány údaje z různých vzájemně propojených vnitrostátních databází,
PŘIJALA TOTO ROZHODNUTÍ:
Článek 1
Předmět
Toto rozhodnutí stanoví funkce a povinnosti Evropské komise v souvislosti s požadavky na ochranu údajů při zpracovávání osobních údajů v rámci evropského portálu e-justice (dále jen „portál“).
Článek 2
Definice
Pro účely tohoto rozhodnutí se použijí definice stanovené nařízením (ES) č. 45/2001. Vedle toho se rozumí:
a)
„účastníkem evropské e-justice“ každý zástupce členského státu nebo partnerské organizace evropské e-justice, jemuž bylo uděleno povolení měnit obsah portálu (jeho částí);
b)
„vzájemně propojenými vnitrostátními databázemi“ databáze, které obsahují veřejně přístupné informace, provozované členskými státy a jinými subjekty, jako jsou profesní sdružení a neziskové organizace, které jsou propojeny prostřednictvím portálu tak, že informace přístupné na vnitrostátní úrovni jsou dostupné přes portál;
c)
„veřejně přístupnými informacemi“ informace, které jsou přístupné veřejnosti prostřednictvím internetu;
d)
„registrovaným uživatelem“ uživatel portálu, který se v portálu registroval prostřednictvím ověřovací služby Evropské komise (ECAS), např. jako „účastník evropské e-justice“.
Článek 3
Zpracovávání údajů
Komise zpracovává osobní údaje v rámci portálu pouze v rozsahu nezbytném pro účely:
a)
poskytnutí přístupu k vzájemně propojeným vnitrostátním databázím obsahujícím osobní údaje;
b)
poskytnutí interaktivních služeb, které registrovaným uživatelům umožní přímo komunikovat s příslušnými orgány v jiném členském státě;
c)
zajištění přístupu k veřejně dostupným informacím pro registrované uživatele;
d)
poskytnutí kontaktních údajů.
Článek 4
Povinnosti správce údajů
1. Komise vykonává své povinnosti správce údajů podle čl. 2 písm. d) nařízení (ES) č. 45/2001 v souladu se svými příslušnými povinnostmi v rámci portálu, jak je uvedeno v tomto článku.
2. Komise zajistí dostupnost, údržbu a bezpečnost infrastruktury IT portálu.
3. Komise odpovídá za tyto úkony související se zpracováním osobních údajů:
a)
uspořádávání;
b)
sdělení prostřednictvím přenosu;
c)
šíření nebo jakékoli jiné zpřístupnění;
d)
srovnávání či kombinování osobních údajů z propojených vnitrostátních databází nebo osobních údajů týkajících se registrovaných uživatelů.
4. Za účelem plnění svých povinností jakožto správce údajů Komise vymezí potřebné politiky a uplatní vhodná technická řešení.
5. Komise provádí technická opatření nutná k zajištění bezpečnosti při přenosu osobních údajů a jejich zobrazení na portálu, zejména důvěrnosti a integrity při jakémkoli jejich přenosu do portálu a z něj.
6. Komise nenese odpovědnost za žádný z aspektů ochrany údajů, které se týkají:
a)
počátečního shromažďování a uchovávání údajů z propojených vnitrostátních databází;
b)
jakýchkoli rozhodnutí přijatých členskými státy o zpřístupnění takových údajů prostřednictvím portálu;
c)
obsahu jakéhokoli údaje z vzájemně propojených vnitrostátních databází, který je dostupný prostřednictvím portálu.
7. Povinnostmi Komise není dotčena odpovědnost členských států a jiných subjektů za obsah a provoz propojených vnitrostátních databází, které spravují.
Článek 5
Informační povinnosti
1. Komise poskytne subjektům údajů informace uvedené v článcích 11 a 12 nařízení (ES) č. 45/2001, pokud jde o poskytování informací, za něž Komise podle tohoto rozhodnutí odpovídá.
2. Aniž jsou dotčeny její povinnosti vůči subjektům údajů členských států a jiných subjektů působících v rámci propojených vnitrostátních databází, Komise rovněž informuje subjekty údajů o tom, na koho se obrátit, aby mohly účinně využít svého práva na informace, na přístup, na opravu a na námitku podle příslušných právních předpisů na ochranu údajů. Komise odkáže na prohlášení o ochraně osobních údajů členských států a jiných orgánů.
3. Komise na portálu rovněž zpřístupní:
a)
překlady prohlášení členských států o ochraně osobních údajů, jak je uvedeno v odstavci 2, do příslušných jazyků portálu;
b)
ucelené prohlášení o ochraně osobních údajů týkající se portálu v souladu s články 11 a 12 nařízení (ES) č. 45/2001 v jasné a srozumitelné podobě.
Článek 6
Uchovávání osobních údajů
1. Pokud jde o výměnu informací z propojených vnitrostátních databází, žádné osobní údaje týkající se subjektů údajů nesmějí být na portálu uchovávány. Veškeré takové údaje se uchovávají ve vnitrostátních databázích provozovaných členskými státy nebo jinými subjekty.
2. Osobní údaje týkající se uživatelů portálu nebo osobní údaje jimi poskytované nesmějí být na portálu uchovávány, kromě případů, kdy se tito uživatelé přihlásili jako registrovaní uživatelé. Osobní údaje registrovaných uživatelů se uchovávají tak dlouho, dokud registrovaný uživatel nepožádá o zrušení své registrace. V souladu s článkem 3 se osobní údaje týkající se účastníků nebo kontaktních osob evropské e-justice uchovávají pouze po dobu, po kterou tyto osoby vykonávají svou funkci.
Článek 7
Datum použitelnosti
Toto rozhodnutí vstupuje v platnost dvacátým dnem po zveřejnění v Úředním věstníku Evropské unie.
V Bruselu dne 5. června 2014.
KOMMISSIONENS BESLUT
av den 5 juni 2014
om skydd av personuppgifter i den europeiska e-juridikportalen
(2014/333/EU)
EUROPEISKA KOMMISSIONEN HAR BESLUTAT FÖLJANDE
med beaktande av fördraget om Europeiska unionens funktionssätt,
efter att ha hört Europeiska datatillsynsmannen, och
av följande skäl:
(1)
I sitt meddelande från maj 2008 (1) uppgav kommissionen att den skulle utarbeta och inrätta den europeiska e-juridikportalen (nedan kallad portalen), som ska förvaltas i nära samarbete med medlemsstaterna.
(2)
I den fleråriga handlingsplanen 2009-2013 för europeisk e-juridik (2) av den 8 november 2008 gavs Europeiska kommissionen i uppdrag att genomföra portalen. Portalen lanserades den 16 juli 2010. Det har inte varit nödvändigt att anta detta beslut förrän nu, eftersom det är först nu som portalen är redo för den första sammankopplingen av nationella register, vilket innebär behandling av personuppgifter.
(3)
Portalens mål är att bidra till att skapa det europeiska rättsliga området genom att underlätta och förbättra tillgången till rättslig prövning och att utnyttja informations- och kommunikationsteknik för att underlätta gränsöverskridande elektroniska rättsliga förfaranden och rättsligt samarbete.
(4)
När Europeiska unionens och medlemsstaternas institutioner, organ och byråer genomför unionsrätten måste de respektera de grundläggande rättigheter och beakta de principer som erkänns i Europeiska unionens stadga om de grundläggande rättigheterna, särskilt rätten till skydd av personuppgifter som fastställs i artikel 8 den stadgan.
(5)
Eftersom kommissionens och medlemsstaternas olika portalrelaterade uppgifter och funktioner kommer att inbegripa olika befogenheter och skyldigheter i fråga om uppgiftsskydd, är det viktigt att de klart och tydligt avgränsas.
(6)
I överensstämmelse med den särskilda karaktären hos verksamhet med koppling till den europeiska e-juridikportalen, som utvecklats i samarbete mellan kommissionen och medlemsstaterna, är kommissionens roll vid behandlingen av personuppgifter via portalen begränsad. Det bör klargöras att kommissionen inte ansvarar för det innehåll i de sammankopplade nationella databaserna som är tillgängligt via portalen.
(7)
Europaparlamentets och rådets förordning (EG) nr 45/2001 (3) gäller för kommissionens behandling av personuppgifter i portalen. Kommissionen ansvarar i samband med detta särskilt för att tillhandahålla IT-infrastrukturen för portalens funktioner, bl.a. sammankopplingen av nationella databaser.
(8)
Enligt förordning (EG) nr 45/2001 ska syftet med behandlingen av personuppgifter uttryckligen anges. Därför bör kommissionen endast behandla personuppgifter i portalen för att ge tillgång till sammankopplade databaser innehållande personuppgifter, tillhandahålla interaktiva tjänster som gör det möjligt för användarna att kommunicera direkt med de behöriga myndigheterna i en annan medlemsstat, ge tillgång till offentlig information riktad till registrerade användare eller tillhandahålla kontaktuppgifter.
(9)
Kommissionen bör förse systemet med teknik som motsvarar begreppet ”inbyggt uppgiftsskydd”. Vid tillämpningen av det konceptet bör en konsekvensbedömning avseende uppgiftsskydd genomföras i samband med utformningen av de funktioner som är kopplade till behandling av personuppgifter via portalen samt andra portalfunktioner. I bedömningen kommer en kartläggning att ske av de möjliga risker för uppgiftsskyddet som detta medför. I bedömningen ska det även fastställas lämpliga åtgärder och skyddsmekanismer som ska införlivas med systemet för att skydda personuppgifter.
(10)
Kommissionen bör löpande genomföra lämpliga skyddsutredningar i den mån det utförs arbete med anknytning till sammankopplingen av nationella databaser.
(11)
Endast allmänt tillgänglig information i de sammankopplade nationella databaserna kan nås via portalen. Det bör inte vara möjligt att kombinera information från olika sammankopplade nationella databaser för olika ändamål via portalen.
HÄRIGENOM FÖRESKRIVS FÖLJANDE.
Artikel 1
Syfte
I detta beslut fastställs Europeiska kommissionens funktioner och befogenheter i förhållande till kraven i fråga om uppgiftsskydd vid behandlingen av personuppgifter i den europeiska e-juridikportalen (nedan kallad portalen).
Artikel 2
Definitioner
I detta beslut ska definitionerna i förordning (EG) nr 45/2001 gälla. Därutöver ska följande definitioner gälla:
a) europeisk e-juridikaktör : en företrädare för en medlemsstat eller en europeisk e-juridikpartnerorganisation som har beviljats tillstånd att ändra (vissa delar av) innehållet i portalen.
b) sammankopplade nationella databaser : databaser med allmänt tillgänglig information, som drivs av medlemsstaterna och andra organ, såsom branschorganisationer och ideella organisationer, och som är sammanlänkade genom portalen på ett sådant sätt att den information som finns tillgänglig på nationell nivå kan nås via portalen.
c) allmänt tillgänglig information : information som är tillgänglig för allmänheten via internet.
d) registrerad användare : en användare av portalen som har registrerat sig i portalen via Europeiska kommissionens autentiseringstjänst (Ecas), såsom en europeisk e-juridikaktör.
Artikel 3
Databehandling
Kommissionen ska behandla personuppgifter i portalen endast i den mån det är nödvändigt för att
a)
ge tillgång till sammankopplade databaser med personuppgifter,
b)
tillhandahålla interaktiva tjänster som gör det möjligt för registrerade användare att kommunicera direkt med de behöriga myndigheterna i en annan medlemsstat,
c)
ge tillgång till offentlig information riktad till registrerade användare,
d)
tillhandahålla kontaktuppgifter.
Artikel 4
Den registeransvariges befogenheter
1. Kommissionen ska utöva registeransvarigs befogenheter enligt artikel 2 d förordning (EG) nr 45/2001 i enlighet med sina respektive befogenheter inom den portal som avses i denna artikel.
2. Kommissionen ska garantera tillgängligheten och säkerheten hos samt underhållet av portalens it-infrastruktur.
3. Kommissionen ska ansvara för följande behandling:
a)
Organisation.
b)
Överföring av uppgifter.
c)
Spridning eller tillhandahållande på annat sätt.
d)
Sammanställning eller samkörning av personuppgifter som härrör från de sammanlänkade nationella databaserna eller av personuppgifter om registrerade användare.
4. Kommissionen ska fastställa de nödvändiga åtgärderna och använda lämpliga tekniska lösningar för att uppfylla skyldigheterna som registeransvarig.
5. Kommissionen ska genomföra de tekniska åtgärder som krävs för att garantera skyddet av personuppgifter i samband med att de överförs och under tiden de visas i portalen, särskilt konfidentialiteten och integriteten i samband med överföring till och från portalen.
6. Kommissionen ska inte vara ansvarig för uppgiftsskyddsaspekter som rör
a)
den ursprungliga insamlingen och lagringen av uppgifter som härrör från de sammanlänkade nationella databaserna,
b)
beslut som fattas av medlemsstaterna om att göra sådana uppgifter tillgängliga via portalen,
c)
innehållet i de uppgifter som härrör från de sammanlänkade nationella databaser som görs tillgängliga via portalen.
7. Kommissionens skyldigheter får inte påverka medlemsstaternas och andra organs ansvar för innehållet i och driften av de sammanlänkade nationella databaser som drivs av dem.
Artikel 5
Informationsskyldighet
1. Kommissionen ska förse den registrerade med den information som anges i artiklarna 11 och 12 i förordning (EG) nr 45/2001, när det gäller uppgifter som kommissionen ansvarar för enligt detta beslut.
2. Utan hinder av de skyldigheter gentemot de registrerade som åligger medlemsstaterna och andra organ som driver de sammanlänkade nationella databaserna ska kommissionen även förse de registrerade med uppgifter om vem de kan kontakta för att de ska kunna utnyttja sin rättighet att bli informerade om att behandling sker, att få tillgång till uppgifterna, att begära rättelse och att göra invändningar mot behandlingen i enlighet med gällande lagstiftning om skydd av personuppgifter. Kommissionen ska hänvisa till särskilda meddelanden som medlemsstaterna och andra organ lämnar angående behandlingen av personuppgifter.
3. Kommissionen ska på portalen även tillgängliggöra
a)
översättningar till de språk som används i portalen av medlemsstaternas meddelanden om skydd av personuppgifter som avses i punkt 2,
b)
ett heltäckande integritetsmeddelande rörande portalen i enlighet med artiklarna 11 och 12 i förordning (EG) nr 45/2001, som ska vara tydligt och begripligt skrivet.
Artikel 6
Lagring av personuppgifter
1. När det gäller informationsutbyte från sammanlänkade nationella databaser får inga personuppgifter som rör de registrerade lagras i portalen. Alla sådana uppgifter ska lagras i de nationella databaser som drivs av medlemsstaterna eller andra organ.
2. Personuppgifter som rör eller som tillhandahålls av portalens användare får inte lagras i portalen, utom i de fall då användarna har anmält sig som registrerade användare. Personuppgifter om registrerade användare ska lagras tills de begär avregistrering. Enligt artikel 3 får personuppgifter om europeiska e-juridikaktörer eller kontaktpunkter enbart lagras så länge som dessa personer utför sina uppgifter.
Artikel 7
Datum för ikraftträdande
Detta beslut träder i kraft den tjugonde dagen efter det att det har offentliggjorts i Europeiska unionens officiella tidning.
Utfärdat i Bryssel den 5 juni 2014.