ROZHODNUTÍ KOMISE
ze dne 5. června 2014
o ochraně osobních údajů v portálu evropské e-justice
(2014/333/EU)
EVROPSKÁ KOMISE,
s ohledem na Smlouvu o fungování Evropské unie,
po konzultaci s evropským inspektorem ochrany údajů,
vzhledem k těmto důvodům:
(1)
Ve svém sdělení z května 2008 (1) Komise uvedla, že bude pracovat na konceptu a zprovoznění portálu evropské e-justice (dále jen „portál“), jehož řízení se ujme v úzké spolupráci s členskými státy.
(2)
Víceletý akční plán v oblasti evropské e-justice na období let 2009-2013 (2) ze dne 8. listopadu 2008 pověřil realizací portálu Evropskou komisi. Portál byl spuštěn dne 16. července 2010. Vzhledem k tomu, že portál je teprve nyní připraven na první propojení vnitrostátních rejstříků, jež obnáší zpracování osobních údajů, stalo se přijetí tohoto rozhodnutí nezbytným až za současné situace.
(3)
Cílem portálu je přispět k realizaci evropského soudního prostoru, a to usnadněním a podporou přístupu ke spravedlnosti a posílení informačních a komunikačních technologií, jež mají usnadnit přeshraniční elektronické soudní řízení a justiční spolupráci.
(4)
Orgány, subjekty, úřady a agentury Evropské unie stejně jako členské státy musí při provádění právních předpisů Unie ctít základní práva a dodržovat zásady uznané Listinou základních práv Evropské unie, zejména právo na ochranu osobních údajů stanovené v článku 8 uvedené listiny.
(5)
Vzhledem k tomu, že řada rozmanitých úkolů a funkcí Komise a členských států týkající se portálu obnáší rozličné povinnosti a závazky, pokud jde o ochranu údajů, je nezbytné, aby tyto byly jasně vymezeny.
(6)
S ohledem na zvláštní povahu činností souvisejících s portálem e-justice, vytvořených na základě spolupráce mezi Komisí a členskými státy, je úloha Komise při zpracování osobních údajů prostřednictvím portálu omezená. Je třeba upřesnit, že Komise nenese žádnou odpovědnost za obsah vzájemně propojených vnitrostátních databází, který je prostřednictvím portálu dostupný.
(7)
Zpracovávání osobních údajů Komisí v rámci portálu se řídí nařízením Evropského parlamentu a Rady (ES) č. 45/2001 (3). V této souvislosti je Komise zejména odpovědná za poskytování infrastruktury IT pro funkce portálu, včetně propojení vnitrostátních databází.
(8)
V souladu s nařízením (ES) č. 45/2001 by mělo být výslovně uvedeno, pro jaké účely se osobní údaje zpracovávají. Komise by tudíž měla osobní údaje v rámci portálu zpracovávat pouze za účelem poskytnutí přístupu k vzájemně propojeným vnitrostátním databázím s osobními údaji, poskytnutí interaktivních služeb umožňujícím uživatelům komunikovat přímo s příslušnými orgány v jiném členském státě, poskytnutí přístupu k veřejným informacím pro registrované uživatele nebo poskytnutí kontaktních údajů.
(9)
Komise by se měla opřít o systémové technologie, které zohledňují koncepci „ochrany údajů již od návrhu“. Při uplatňování této koncepce by mělo být při návrhu funkce spojené se zpracováním osobních údajů prostřednictvím portálu, jakož i jiných funkcí portálu, provedeno posouzení dopadů na ochranu soukromí a osobních údajů. Toto posouzení určí potenciální rizika v souvislosti s ochranou údajů. Rovněž uvede vhodná opatření a záruky, které mají být začleněny do systému ochrany osobních údajů.
(10)
Při provádění činností souvisejících s propojením vnitrostátních databází by Komise měla nepřetržitě a náležitě posuzovat bezpečnost.
(11)
Prostřednictvím portálu mohou být dostupné pouze informace, které jsou v propojených vnitrostátních databázích veřejně přístupné. Portál by neměl umožňovat, aby byly pro různé účely kombinovány údaje z různých vzájemně propojených vnitrostátních databází,
PŘIJALA TOTO ROZHODNUTÍ:
Článek 1
Předmět
Toto rozhodnutí stanoví funkce a povinnosti Evropské komise v souvislosti s požadavky na ochranu údajů při zpracovávání osobních údajů v rámci evropského portálu e-justice (dále jen „portál“).
Článek 2
Definice
Pro účely tohoto rozhodnutí se použijí definice stanovené nařízením (ES) č. 45/2001. Vedle toho se rozumí:
a)
„účastníkem evropské e-justice“ každý zástupce členského státu nebo partnerské organizace evropské e-justice, jemuž bylo uděleno povolení měnit obsah portálu (jeho částí);
b)
„vzájemně propojenými vnitrostátními databázemi“ databáze, které obsahují veřejně přístupné informace, provozované členskými státy a jinými subjekty, jako jsou profesní sdružení a neziskové organizace, které jsou propojeny prostřednictvím portálu tak, že informace přístupné na vnitrostátní úrovni jsou dostupné přes portál;
c)
„veřejně přístupnými informacemi“ informace, které jsou přístupné veřejnosti prostřednictvím internetu;
d)
„registrovaným uživatelem“ uživatel portálu, který se v portálu registroval prostřednictvím ověřovací služby Evropské komise (ECAS), např. jako „účastník evropské e-justice“.
Článek 3
Zpracovávání údajů
Komise zpracovává osobní údaje v rámci portálu pouze v rozsahu nezbytném pro účely:
a)
poskytnutí přístupu k vzájemně propojeným vnitrostátním databázím obsahujícím osobní údaje;
b)
poskytnutí interaktivních služeb, které registrovaným uživatelům umožní přímo komunikovat s příslušnými orgány v jiném členském státě;
c)
zajištění přístupu k veřejně dostupným informacím pro registrované uživatele;
d)
poskytnutí kontaktních údajů.
Článek 4
Povinnosti správce údajů
1. Komise vykonává své povinnosti správce údajů podle čl. 2 písm. d) nařízení (ES) č. 45/2001 v souladu se svými příslušnými povinnostmi v rámci portálu, jak je uvedeno v tomto článku.
2. Komise zajistí dostupnost, údržbu a bezpečnost infrastruktury IT portálu.
3. Komise odpovídá za tyto úkony související se zpracováním osobních údajů:
a)
uspořádávání;
b)
sdělení prostřednictvím přenosu;
c)
šíření nebo jakékoli jiné zpřístupnění;
d)
srovnávání či kombinování osobních údajů z propojených vnitrostátních databází nebo osobních údajů týkajících se registrovaných uživatelů.
4. Za účelem plnění svých povinností jakožto správce údajů Komise vymezí potřebné politiky a uplatní vhodná technická řešení.
5. Komise provádí technická opatření nutná k zajištění bezpečnosti při přenosu osobních údajů a jejich zobrazení na portálu, zejména důvěrnosti a integrity při jakémkoli jejich přenosu do portálu a z něj.
6. Komise nenese odpovědnost za žádný z aspektů ochrany údajů, které se týkají:
a)
počátečního shromažďování a uchovávání údajů z propojených vnitrostátních databází;
b)
jakýchkoli rozhodnutí přijatých členskými státy o zpřístupnění takových údajů prostřednictvím portálu;
c)
obsahu jakéhokoli údaje z vzájemně propojených vnitrostátních databází, který je dostupný prostřednictvím portálu.
7. Povinnostmi Komise není dotčena odpovědnost členských států a jiných subjektů za obsah a provoz propojených vnitrostátních databází, které spravují.
Článek 5
Informační povinnosti
1. Komise poskytne subjektům údajů informace uvedené v článcích 11 a 12 nařízení (ES) č. 45/2001, pokud jde o poskytování informací, za něž Komise podle tohoto rozhodnutí odpovídá.
2. Aniž jsou dotčeny její povinnosti vůči subjektům údajů členských států a jiných subjektů působících v rámci propojených vnitrostátních databází, Komise rovněž informuje subjekty údajů o tom, na koho se obrátit, aby mohly účinně využít svého práva na informace, na přístup, na opravu a na námitku podle příslušných právních předpisů na ochranu údajů. Komise odkáže na prohlášení o ochraně osobních údajů členských států a jiných orgánů.
3. Komise na portálu rovněž zpřístupní:
a)
překlady prohlášení členských států o ochraně osobních údajů, jak je uvedeno v odstavci 2, do příslušných jazyků portálu;
b)
ucelené prohlášení o ochraně osobních údajů týkající se portálu v souladu s články 11 a 12 nařízení (ES) č. 45/2001 v jasné a srozumitelné podobě.
Článek 6
Uchovávání osobních údajů
1. Pokud jde o výměnu informací z propojených vnitrostátních databází, žádné osobní údaje týkající se subjektů údajů nesmějí být na portálu uchovávány. Veškeré takové údaje se uchovávají ve vnitrostátních databázích provozovaných členskými státy nebo jinými subjekty.
2. Osobní údaje týkající se uživatelů portálu nebo osobní údaje jimi poskytované nesmějí být na portálu uchovávány, kromě případů, kdy se tito uživatelé přihlásili jako registrovaní uživatelé. Osobní údaje registrovaných uživatelů se uchovávají tak dlouho, dokud registrovaný uživatel nepožádá o zrušení své registrace. V souladu s článkem 3 se osobní údaje týkající se účastníků nebo kontaktních osob evropské e-justice uchovávají pouze po dobu, po kterou tyto osoby vykonávají svou funkci.
Článek 7
Datum použitelnosti
Toto rozhodnutí vstupuje v platnost dvacátým dnem po zveřejnění v Úředním věstníku Evropské unie.
V Bruselu dne 5. června 2014.
DECYZJA KOMISJI
z dnia 5 czerwca 2014 r.
dotycząca ochrony danych osobowych w europejskim portalu „e-Sprawiedliwość”
(2014/333/UE)
KOMISJA EUROPEJSKA,
uwzględniając Traktat o funkcjonowaniu Unii Europejskiej,
po zasięgnięciu opinii Europejskiego Inspektora Ochrony Danych,
a także mając na uwadze, co następuje:
(1)
W komunikacie z maja 2008 r. (1) Komisja stwierdziła, że zaprojektuje i utworzy europejski portal „e-Sprawiedliwość” (zwany dalej „portalem”), zarządzany w ścisłej współpracy z państwami członkowskimi.
(2)
W wieloletnim planie działania na lata 2009-2013 dotyczącym europejskiego e-prawa (2) z dnia 8 listopada 2008 r. Komisji Europejskiej powierzono utworzenie portalu. Portal uruchomiono w dniu 16 lipca 2010 r. Przyjęcie niniejszej decyzji staje się konieczne dopiero teraz, ponieważ portal jest dopiero teraz gotowy na pierwsze połączenie z krajowymi rejestrami, co wiąże się z przetwarzaniem danych osobowych.
(3)
Celem portalu jest przyczynienie się do tworzenia europejskiej przestrzeni sprawiedliwości poprzez ułatwianie i zwiększanie dostępu do wymiaru sprawiedliwości i lepsze wykorzystywanie technologii informacyjno-komunikacyjnych w celu ułatwienia transgranicznych elektronicznych postępowań sądowych oraz współpracy sądowej.
(4)
Instytucje, organy i jednostki organizacyjne Unii Europejskiej, jak również państwa członkowskie, gdy wdrażają one prawo Unii Europejskiej, muszą przestrzegać praw podstawowych i zasad uznanych w Karcie praw podstawowych Unii Europejskiej, w szczególności prawa do ochrony danych osobowych zapisanego w art. 8 tej karty.
(5)
Ponieważ różne związane z portalem zadania i funkcje Komisji i państw członkowskich pociągają za sobą różne obowiązki i zobowiązania w zakresie ochrony danych, konieczne staje się ich wyraźne rozgraniczenie.
(6)
Ze względu na szczególny charakter działań związanych z portalem „e-Sprawiedliwość” - rozwijanym przez Komisję we współpracy z państwami członkowskimi - rola Komisji przy przetwarzaniu danych osobowych za pośrednictwem portalu jest ograniczona. Należy wyjaśnić, że Komisja nie ponosi odpowiedzialności za treść połączonych krajowych baz danych dostępnych za pośrednictwem portalu.
(7)
Do przetwarzania danych osobowych przez Komisję w portalu stosuje się rozporządzenie (WE) nr 45/2001 Parlamentu Europejskiego i Rady (3). W tym kontekście Komisja jest odpowiedzialna w szczególności za zapewnienie infrastruktury informatycznej dla funkcjonalności portalu, w tym połączenia krajowych baz danych.
(8)
Zgodnie z rozporządzeniem (WE) nr 45/2001 należy wyraźnie określić cele przetwarzania danych osobowych. W związku z tym przetwarzanie danych osobowych przez Komisję w portalu powinno mieć miejsce jedynie wówczas, gdy jest dokonywane w celu zapewnienia dostępu do połączonych krajowych baz danych zawierających dane osobowe, w celu zapewnienia interaktywnych usług pozwalających użytkownikom na bezpośrednie komunikowanie się z właściwymi organami w innym państwie członkowskim, w celu zapewnienia dostępu do informacji publicznych przeznaczonych dla zarejestrowanych użytkowników lub przekazania informacji kontaktowych.
(9)
Komisja powinna włączyć do systemu technologie, które urzeczywistniają koncepcję „uwzględniania ochrony danych już w fazie projektowania”. Realizując tę koncepcję, na etapie projektowania funkcjonalności związanych z przetwarzaniem danych osobowych za pośrednictwem portalu, a także innych funkcjonalności portalu, należy sporządzić ocenę skutków w zakresie prywatności i ochrony danych. W ocenie tej zostaną wskazane potencjalne zagrożenia w zakresie ochrony danych. W ocenie zostaną również określone odpowiednie środki i zabezpieczenia, które należy włączyć do systemu w celu zapewnienia ochrony danych osobowych.
(10)
Komisja powinna dokonywać stałej i odpowiedniej oceny stanu bezpieczeństwa w zakresie, w jakim prowadzone są prace związane z połączeniem krajowych baz danych.
(11)
Za pośrednictwem portalu można uzyskać dostęp wyłącznie do tych informacji znajdujących się w połączonych krajowych bazach danych, które są dostępne publicznie. Nie powinna istnieć możliwość łączenia za pośrednictwem portalu - do różnych celów - informacji z różnych połączonych krajowych baz danych,
PRZYJMUJE NINIEJSZĄ DECYZJĘ:
Artykuł 1
Przedmiot
Niniejsza decyzja określa zadania i obowiązki Komisji Europejskiej w odniesieniu do wymogów ochrony danych podczas przetwarzania danych osobowych w europejskim portalu „e-Sprawiedliwość” (zwanym dalej „portalem”).
Artykuł 2
Definicje
Do celów niniejszej decyzji stosuje się definicje określone w rozporządzeniu (WE) nr 45/2001. Ponadto stosuje się następujące definicje:
a)
„podmiot europejskiego portalu »e-Sprawiedliwość«” oznacza przedstawiciela jednego z państw członkowskich lub organizacji partnerskich europejskiego portalu „e-Sprawiedliwość”, który jest uprawniony do modyfikowania (części) treści portalu;
b)
„połączone krajowe bazy danych” oznaczają bazy danych - zawierające publicznie dostępne informacje - prowadzone przez państwa członkowskie i inne podmioty, takie jak stowarzyszenia zawodowe i organizacje nienastawione na zysk, które są połączone ze sobą poprzez portal w taki sposób, że za pośrednictwem portalu możliwy jest dostęp do informacji dostępnych na szczeblu krajowym;
c)
„publicznie dostępne informacje” oznaczają informacje, które są dostępne dla ogółu społeczeństwa za pośrednictwem internetu;
d)
„zarejestrowany użytkownik” oznacza użytkownika portalu, który zarejestrował się w nim za pośrednictwem systemu uwierzytelniania Komisji Europejskiej (ECAS), na przykład „podmiot europejskiego portalu »e-Sprawiedliwość«”.
Artykuł 3
Przetwarzanie danych
Komisja przetwarza dane osobowe w portalu jedynie w takim zakresie, w jakim jest to konieczne w celu:
a)
zapewnienia dostępu do połączonych krajowych baz danych zawierających dane osobowe;
b)
zapewniania usług interaktywnych umożliwiających zarejestrowanym użytkownikom bezpośrednie komunikowanie się z właściwymi organami w innym państwie członkowskim;
c)
zapewnienia dostępu do informacji publicznych przeznaczonych dla zarejestrowanych użytkowników;
d)
zapewnienia informacji kontaktowych.
Artykuł 4
Obowiązki administratora danych
1. Komisja pełni obowiązki administratora danych na podstawie art. 2 lit. d) rozporządzenia (WE) nr 45/2001, zgodnie z odpowiednim zakresem jej obowiązków w ramach portalu, o których mowa w niniejszym artykule.
2. Komisja zapewnia dostępność, konserwację oraz bezpieczeństwo infrastruktury informatycznej portalu.
3. Komisja jest odpowiedzialna za następujące operacje przetwarzania:
a)
organizację;
b)
ujawnianie poprzez przekazanie;
c)
rozpowszechnianie lub udostępnianie w inny sposób;
d)
zestawianie lub łączenie danych osobowych pochodzących z połączonych krajowych baz danych lub danych osobowych zarejestrowanych użytkowników.
4. Komisja określa niezbędne strategie i stosuje odpowiednie rozwiązania techniczne, aby wypełnić obowiązki administratora danych.
5. Komisja wdraża środki techniczne, które są konieczne do zapewnienia bezpieczeństwa danych osobowych podczas ich przesyłania i wyświetlania w portalu, a zwłaszcza ich poufności i integralności podczas przekazywania do i z portalu.
6. Komisja nie ponosi odpowiedzialności za kwestie ochrony danych w zakresie:
a)
wstępnego gromadzenia i przechowywania wszelkich danych uzyskanych z połączonych krajowych baz danych;
b)
wszelkich decyzji podjętych przez państwa członkowskie, by udostępnić takie dane za pośrednictwem portalu;
c)
treści wszelkich danych pochodzących z połączonych baz danych dostępnych za pośrednictwem portalu.
7. Zobowiązania Komisji nie mają wpływu na obowiązki państw członkowskich i innych organów w zakresie treści i funkcjonowania połączonych krajowych baz danych prowadzonych przez te państwa.
Artykuł 5
Obowiązki dotyczące informacji
1. Komisja przekazuje osobom, których dane dotyczą, informacje określone w art. 11 i 12 rozporządzenia (WE) nr 45/2001, na temat informacji, za które Komisja jest odpowiedzialna na podstawie niniejszej decyzji.
2. Niezależnie od obowiązków państw członkowskich i innych organów prowadzących połączone bazy danych wobec osób, których dane dotyczą, Komisja również przekazuje osobom, których dane dotyczą, informacje z kim należy się kontaktować w celu skutecznego wykonania ich prawa do informacji, dostępu do danych, do ich poprawiania oraz do wnoszenia sprzeciwu zgodnie z obowiązującymi przepisami dotyczącymi ochrony danych. Komisja wskazuje konkretne oświadczenia państw członkowskich i innych organów o ochronie prywatności.
3. Komisja udostępnia również w portalu:
a)
tłumaczenia na języki portalu oświadczeń państw członkowskich o polityce prywatności, o których mowa w ust. 2;
b)
kompleksowe oświadczenie o polityce prywatności zgodnie z art. 11 i 12 rozporządzenia (WE) nr 45/2001 w jasnej i zrozumiałej formie;
Artykuł 6
Przechowywanie danych osobowych
1. W przypadku wymiany informacji z połączonych krajowych baz danych w portalu nie przechowuje się żadnych danych osobowych dotyczących osób, których dane dotyczą. Wszystkie takie dane muszą być przechowywane w krajowych bazach danych prowadzonych przez państwa członkowskie lub inne organy.
2. Danych osobowych dotyczących użytkowników portalu lub przez nich przekazanych nie przechowuje się w portalu, chyba że użytkownicy są zarejestrowani. Dane osobowe zarejestrowanych użytkowników są przechowywane do momentu złożenia przez nich wniosku o usunięcie ich rejestracji. Zgodnie z art. 3 dane osobowe podmiotów europejskiego portalu „e-Sprawiedliwość” lub punktów kontaktowych będą przechowywane jedynie w trakcie pełnienia przez te podmioty ich funkcji.
Artykuł 7
Data wejścia w życie
Niniejsza decyzja wchodzi w życie dwudziestego dnia po jej opublikowaniu w Dzienniku Urzędowym Unii Europejskiej.
Sporządzono w Brukseli dnia 5 czerwca 2014 r.