KOMMISSIONENS AFGØRELSE
af 5. juni 2014
om beskyttelse af personoplysninger i den europæiske portal e-justice
(2014/333/EU)
EUROPA-KOMMISSIONEN HAR -
under henvisning til traktaten om Den Europæiske Unions funktionsmåde,
efter høring af Den Europæiske Tilsynsførende for Databeskyttelse og
ud fra følgende betragtninger:
(1)
I sin meddelelse af maj 2008 (1) erklærede Kommissionen, at den ville arbejde på at udforme og indføre portalen e-justice (herefter »portalen«), som den vil vedligeholde i nært samarbejde med medlemsstaterne.
(2)
Ved den flerårige handlingsplan for 2009-2013 (2) vedrørende europæisk e-justice af 8. november 2008 fik Kommissionen til opgave at etablere portalen. Portalen blev oprettet den 16. juli 2010. Det har ikke været nødvendigt at vedtage denne afgørelse tidligere, da portalen først nu er blevet klar til den første sammenkobling af nationale registre, der indebærer behandling af personoplysninger.
(3)
Portalens mål er at bidrage til opnåelsen af det europæiske retlige område ved at lette og forbedre adgangen til retssystemet og udnytte informations- og kommunikationsteknologien til at lette grænseoverskridende elektroniske retssager og retsligt samarbejde.
(4)
Såvel Den Europæiske Unions institutioner, organer, kontorer og agenturer som medlemsstaterne skal ved gennemførelsen af EU-retten respektere de grundlæggende rettigheder og overholde de principper, der er forankret i chartret om Den Europæiske Unions grundlæggende rettigheder, navnlig retten til beskyttelse af personoplysninger, der er fastsat i chartrets artikel 8.
(5)
Da Kommissionens og medlemsstaternes forskellige portalrelaterede opgaver og funktioner vil indebære forskellige ansvarsområder og forpligtelser med hensyn til databeskyttelse, er det vigtigt at afgrænse dem klart.
(6)
Henset til den særlige karakter af de aktiviteter, der er forbundet med portalen, som er udviklet i samarbejde mellem Kommissionen og medlemsstaterne, er Kommissionens rolle i behandlingen af personoplysninger via portalen begrænset. Det bør præciseres, at Kommissionen ikke har noget ansvar for indholdet af de sammenkoblede nationale databaser, der er gjort tilgængelige via portalen.
(7)
Europa-Parlamentet og Rådets forordning (EF) nr. 45/2001 (3) finder anvendelse på Kommissionens behandling af personoplysninger i portalen. Kommissionen er herved særlig ansvarlig for tilvejebringelse af IT-infrastrukturen til portalens funktioner, herunder sammenkoblingen af nationale databaser.
(8)
Formålet med behandlingen af personoplysninger skal som fastsat i forordning (EF) nr. 45/2001 udtrykkeligt angives. Kommissionen bør derfor kun behandle personoplysninger i portalen, hvis det sker for at skaffe adgang til sammenkoblede nationale databaser, der indeholder personoplysninger, for at levere interaktive tjenester, der giver brugerne mulighed for at kommunikere direkte med de relevante myndigheder i en anden medlemsstat, for at give adgang til offentlig information rettet mod registrerede brugere eller for at give kontaktoplysninger.
(9)
Kommissionen bør inkorporere teknologier, der afspejler begrebet »indbygget databeskyttelse«, i systemet. Ved gennemførelsen af dette begreb bør der på udformningsstadiet gennemføres en konsekvensanalyse af beskyttelsen af privatlivets fred og af personlige oplysninger i relation til den funktion, der er forbundet med behandlingen af personlige oplysninger via portalen, såvel som i relation til andre funktioner. Denne analyse vil identificere de mulige risici for databeskyttelsen. Den vil også fastlægge de relevante foranstaltninger og forholdsregler, der skal inkorporeres i systemet for at beskytte personoplysninger.
(10)
Kommissionen bør foretage løbende og passende sikkerhedsvurderinger, i det omfang der udføres tiltag vedrørende sammenkoblingen af nationale databaser.
(11)
Kun offentligt tilgængelige oplysninger i de sammenkoblede nationale databaser kan findes via portalen. Det bør ikke være muligt at kombinere oplysninger fra forskellige sammenkoblede nationale databaser til forskellige formål via portalen -
VEDTAGET DENNE AFGØRELSE:
Artikel 1
Genstand
I denne afgørelse fastlægges Europa-Kommissionens funktioner og ansvarsområder i relation til nødvendigheden af databeskyttelse under behandlingen af personoplysninger i den europæiske portal e-justice (i det følgende benævnt »portalen«).
Artikel 2
Definitioner
Ved anvendelsen af denne forordning finder definitionerne i forordning (EF) nr. 45/2001 anvendelse. Desuden forstås ved:
a) »Europæisk e-justice aktør«: enhver repræsentant for en medlemsstat eller en europæisk e-justice partnerorganisation, der har fået tilladelse til at ændre (dele af) indholdet af portalen
b) »sammenkoblede nationale databaser«: databaser med offentligt tilgængelige oplysninger, der drives af medlemsstaterne og andre organer såsom faglige organisationer og nonprofitorganisationer, og som er sammenkoblet via portalen på en sådan måde, at de disponible oplysninger på nationalt plan kan findes via portalen
c) »offentlig tilgængelig information«: oplysninger, der gøres tilgængelig for offentligheden via internettet
d) »registreret bruger«: en bruger af portalen, som er registreret til portalen via Europa-Kommissionens autentificeringstjeneste (ECAS), såsom en »europæisk e-justice aktør«.
Artikel 3
Databehandling
Kommissionen behandler kun personoplysninger i portalen i det omfang, det er nødvendigt med henblik på:
a)
at give adgang til sammenkoblede nationale databaser, der indeholder personoplysninger
b)
at stille interaktive tjenester til rådighed, som gør det muligt for registrerede brugere at kommunikere direkte med de relevante myndigheder i en anden medlemsstat
c)
at give adgang til offentlig information rettet mod registrerede brugere
d)
at stille kontaktoplysninger til rådighed.
Artikel 4
Den registeransvarliges ansvarsområder
1. Kommissionen udøver kompetencen som registeransvarlig i henhold til artikel 2, litra d), i forordning (EF) nr. 45/2001 i overensstemmelse med dens respektive ansvarsområder inden for rammerne af portalen som omhandlet i denne artikel.
2. Kommissionen sikrer tilgængeligheden, ajourføringen og sikkerheden af portalens it-infrastruktur.
3. Kommissionen er ansvarlig for følgende former for databehandling:
a)
Organisation
b)
videregivelse ved transmission
c)
formidling eller på anden måde stillen til rådighed
d)
tilpasning eller kombination af personlige oplysninger, der hidrører fra sammenkoblede nationale databaser, eller af personoplysninger om registrerede brugere.
4. Kommissionen fastlægger de nødvendige politikker og anvender passende tekniske løsninger for at opfylde sine forpligtelser inden for rammerne af funktionen som registeransvarlig.
5. Kommissionen gennemfører de tekniske foranstaltninger, der er nødvendige for at sikre beskyttelse af personoplysninger under overførslen og under visning på portalen, navnlig fortroligheden og autenticiteten af enhver overførsel til og fra portalen.
6. Kommissionen er ikke ansvarlig for nogen form for databeskyttelse vedrørende:
a)
Den indledende indsamling og opbevaring af enhver form for oplysninger hidrørende fra sammenkoblede nationale databaser
b)
enhver afgørelse, der træffes af medlemsstaterne for at gøre sådanne oplysninger tilgængelige via portalen
c)
indholdet af enhver form for oplysninger hidrørende fra sammenkoblede nationale databaser, der er gjort tilgængelige via portalen.
7. Kommissionens forpligtelser berører ikke medlemsstaternes og andre organers ansvar for indholdet og driften af de sammenkoblede nationale databaser, som drives af dem.
Artikel 5
Oplysningspligt
1. Kommissionen giver de registrerede de oplysninger, der er angivet i artikel 11 og 12 i forordning (EF) nr. 45/2001, for så vidt angår oplysninger, som Kommissionen er ansvarlig for efter denne afgørelse.
2. Uanset de forpligtelser, der påhviler medlemsstaterne og andre organer, som driver de sammenkoblede nationale databaser, skal Kommissionen også give de registrerede oplysninger om, hvem de skal kontakte for effektivt at udøve deres ret til oplysninger, indsigt, berigtigelse og indsigelse i overensstemmelse med gældende databeskyttelseslovgivning. Kommissionen henviser til medlemsstaternes og andre organers specifikke databeskyttelseserklæringer.
3. Kommissionen stiller tillige følgende til rådighed på portalen:
a)
oversættelser til portalens sprog af medlemsstaternes databeskyttelseserklæringer som omhandlet i stk. 2;
b)
en fyldestgørende databeskyttelseserklæring vedrørende portalen som omhandlet i artikel 11 og 12 i forordning (EF) nr. 45/2001 i klar og forståelig form.
Artikel 6
Opbevaring af personoplysninger
1. For så vidt angår udveksling af oplysninger fra sammenkoblede nationale databaser må ingen personoplysninger vedrørende de registrerede opbevares i portalen. Alle sådanne oplysninger skal opbevares i de nationale databaser, som drives af medlemsstaterne eller af andre organer.
2. Personoplysninger, der vedrører brugerne af portalen, eller personoplysninger, der stilles til rådighed af brugerne, må ikke opbevares i portalen, bortset fra i tilfælde, hvor de pågældende har tilmeldt sig som registrerede brugere. Personoplysninger om registrerede brugere opbevares, indtil de anmoder om sletning af registreringen. Som fastsat i artikel 3 opbevares personoplysninger vedrørende europæiske e-justice aktører eller kontaktpunkter kun, så længe disse personer udfører deres funktion.
Artikel 7
Ikrafttræden
Denne afgørelse træder i kraft på tyvendedagen efter offentliggørelsen i Den Europæiske Unions Tidende.
Udfærdiget i Bruxelles, den 5. juni 2014.
A BIZOTTSÁG HATÁROZATA
(2014. június 5.)
az európai igazságügyi portálon szereplő személyes adatok védelméről
(2014/333/EU)
AZ EURÓPAI BIZOTTSÁG,
tekintettel az Európai Unió működéséről szóló szerződésre,
az európai adatvédelmi biztossal való konzultációt követően,
mivel:
(1)
2008. májusi közleményében (1) a Bizottság kijelentette, hogy megtervezi és létrehozza az európai igazságügyi portált (a továbbiakban: a portál), amelyet a tagállamokkal szorosan együttműködve igazgat.
(2)
Az európai e-igazságszolgáltatással kapcsolatos, 2008. november 8-i többéves cselekvési terv (2009-2013) (2) megbízta a Bizottságot a portál végrehajtásával. A portál 2010. július 16-án indult el. E határozat elfogadása azért csak most vált szükségessé, mert a portál most áll készen a személyes adatok feldolgozását is magában foglaló nemzeti nyilvántartások első összekapcsolására.
(3)
A portál a jog érvényesülésén alapuló európai térség megvalósulásához kíván hozzájárulni azáltal, hogy megkönnyíti és fokozza az igazságügyhöz való hozzáférést, valamint kiaknázza az információs és kommunikációs technológiákat a határokon átnyúló elektronikus igazságügyi eljárások és igazságügyi együttműködés elősegítése érdekében.
(4)
Amikor az Európai Unió intézményei, szervei, hivatalai és ügynökségei, valamint a tagállamok uniós jogot hajtanak végre, tiszteletben kell tartaniuk az Európai Unió Alapjogi Chartájában foglalt alapelveket és alapvető jogokat, különösen a Charta 8. cikkében szereplő, személyes adatok védelméhez való jogot.
(5)
Mivel a Bizottság és a tagállamok portállal kapcsolatos különféle feladatai és funkciói az adatvédelem tekintetében különböző felelősségeket és kötelezettségeket vonnak maguk után, fontos ezek egyértelmű elhatárolása.
(6)
A Bizottság és a tagállamok együttműködésében kifejlesztett e-igazságügyi portálhoz kapcsolódó tevékenységek speciális jellegének megfelelően a Bizottság szerepe korlátozott a személyes adatok portálon keresztül történő feldolgozása terén. Egyértelművé kell tenni, hogy a Bizottság nem tartozik felelősséggel a portálon keresztül elérhetővé tett, összekapcsolt nemzeti adatbázisok tartalmáért.
(7)
A 45/2001/EK európai parlamenti és tanácsi rendelet (3) a Bizottság által a portálon végzett személyesadat-feldolgozásra vonatkozik. Ebben a kontextusban a Bizottság elsősorban a portál funkcióit - ideértve a nemzeti adatbázisok összekapcsolását is - szolgáló informatikai infrastruktúra biztosításáért felelős.
(8)
A 45/2001/EK rendeletnek megfelelően a személyes adatok kezelésének célját kifejezetten meg kell határozni. Ezért a Bizottság által a portálon végzett személyesadat-feldolgozásra csak a célból kerülhet sor, hogy hozzáférést biztosítson a személyes adatokat tartalmazó, összekapcsolt nemzeti adatbázisokhoz, interaktív szolgáltatások nyújtson, ahhoz, hogy a felhasználók közvetlenül kommunikálhassanak más tagállamban lévő megfelelő hatóságokkal,, hozzáférést biztosítson a regisztrált felhasználók számára biztosított nyilvános információkhoz, vagy kapcsolattartási adatokat biztosítson.
(9)
A Bizottságnak a rendszerbe olyan technológiákat kell beágyaznia, amelyek a „beépített adatvédelem” elképzelést tükrözik. Ezen elképzelés végrehajtásakor, a portálon keresztül végzett személyadat-feldolgozásához kapcsolódó, valamint a portálhoz kapcsolódó más funkcionalitások tervezése során hatásvizsgálatot kell végezni a személyes adatok és a magánélet védelméről. A hatásvizsgálat azonosítani fogja a vonatkozó potenciális adatvédelmi kockázatokat. Meghatározza továbbá a személyes adatok védelme érdekében a rendszerbe foglalandó megfelelő intézkedéseket és biztosítékokat.
(10)
A Bizottságnak - a nemzeti adatbázisok összekapcsolásához kapcsolódó munkák végrehajtása során - folyamatos és megfelelő biztonsági értékeléseket kell végeznie.
(11)
A portálon keresztül csak az összekapcsolt nemzeti adatbázisokban szereplő nyilvánosan elérhető információkhoz lehet hozzáférni. A portálon keresztül nem lehet lehetővé tenni, hogy különböző összekapcsolt nemzeti adatbázisokból származó információkat kapcsoljanak össze eltérő célokra.
ELFOGADTA EZT A HATÁROZATOT:
1. cikk
Tárgy
Ez a határozat megállapítja az Európai Bizottság feladatköreit és kötelezettségeit az adatvédelmi előírások vonatkozásában az európai igazságügyi portálban (a továbbiakban: a portál) történő személyesadat-feldolgozás során.
2. cikk
Fogalommeghatározások
E határozat alkalmazásában a 45/2001/EK rendeletben megállapított fogalommeghatározások alkalmazandók. Ezenkívül a következő fogalommeghatározásokat kell alkalmazni:
a) „e-igazságügyi szereplő”: bármely tagállami vagy e-igazságügyi partnerszervezet képviselője, aki felhatalmazást kapott a portál tartalmának (részleges) módosítására;
b) „összekapcsolt nemzeti adatbázisok”: olyan, nyilvánosan hozzáférhető információkat tartalmazó, a tagállamok és más szervek - például szakmai szövetségek és nonprofit szervezetek - által működtetett adatbázisok, amelyek a portálon keresztül úgy kapcsoltak össze, hogy a nemzeti szinten elérhető információ a portálon keresztül hozzáférhetővé váljon;
c) „nyilvánosan hozzáférhető információ”: az interneten keresztül a nyilvánosan hozzáférhető elérhető információ;
d) „regisztrált felhasználó”: a portán azon felhasználója, aki az Európai Bizottság felhasználóazonosítási rendszerén (ECAS) keresztül regisztrált a portálra, például egy e-igazságügyi szereplő.
3. cikk
Adatfeldolgozás
A Bizottság a portálon csak annyiban dolgozhat fel személyes adatokat, amennyiben az a következő célokból szükséges:
a)
hozzáférés biztosítása a személyes adatokat tartalmazó összekapcsolt nemzeti adatbázisokhoz;
b)
interaktív szolgáltatások nyújtása, ahhoz, hogy a felhasználók közvetlenül kommunikálhassanak más tagállamban lévő megfelelő hatóságokkal;
c)
hozzáférés biztosítása a regisztrált felhasználókat célzó nyilvános információkhoz;
d)
kapcsolattartási adatokat biztosítása.
4. cikk
Az adatkezelő feladatai
(1) A portállal kapcsolatban e cikkben rögzített feladataival összhangban, a Bizottság ellátja a 45/2001/EK rendelet 2. cikk d) pontja szerinti adatkezelő feladatait.
(2) A Bizottság biztosítja a portál informatikai infrastruktúrájának rendelkezésre állását, karbantartását és biztonságát.
(3) A Bizottság a következő adatkezelési műveletekért felelős:
a)
rendszerezés;
b)
közléstovábbítás;
c)
terjesztés vagy egyéb módon történő rendelkezésre bocsátás;
d)
az összekapcsolt nemzeti adatbázisokból származó adatok vagy a regisztrált felhasználók személyes adatainak összehangolása vagy összekapcsolása.
(4) A Bizottságnak meg kell határozni a szükséges előírásokat, és a megfelelő technikai megoldásokat kell alkalmaznia ahhoz, hogy az adatkezelő feladatkörén belül ellássa feladatait.
(5) A Bizottság végrehajtja a személyes adatok átvitel és a portálon történő megjelenítés alatti biztonságának garantálásához szükséges technikai intézkedéseket, különös tekintettel a portálra vagy a portálról történő adatátvitel során az adatok bizalmasságának és sértetlenségének megőrzése érdekében szükséges intézkedésekre.
(6) A Bizottság nem felel adatvédelmi szempontokért az alábbiak vonatkozásában:
a)
az összekapcsolt nemzeti adatbázisokból származó adatok kezdeti gyűjtése és tárolása;
b)
a tagállamok ilyen adatok portálon keresztül történő hozzáférhető tételére vonatkozó valamennyi döntése;
c)
a portálon keresztül elérhetővé tett, az összekapcsolt nemzeti adatbázisokból származó bármely adat tartalma.
(7) A Bizottság kötelezettségei nem érintik a tagállamoknak és egyéb szerveknek az általuk üzemeltetett összekapcsolt nemzeti adatbázisok tartalmával és működésével kapcsolatos felelősségét.
5. cikk
Tájékoztatási kötelezettség
(1) A Bizottság tájékoztatja az érintetteket a 45/2001/EK rendelet 11. és 12. cikkében meghatározott információkról, az e határozat értelmében a Bizottság felelősségi körébe tartozó információk vonatkozásában.
(2) A tagállamoknak és az összekapcsolt nemzeti adatbázisokat működtető más szerveknek érintettek felé fennálló kötelezettségétől függetlenül a Bizottság azt az információt is megadja az érintetteknek, hogy kivel léphetnek kapcsolatba a vonatkozó adatvédelmi szabályozásnak megfelelően a tájékoztatáshoz, a betekintéshez, a helyesbítéshez és a tiltakozáshoz való joguk ténylegesen gyakorolásához. A Bizottság utal a tagállamok és más szervek speciális adatvédelmi nyilatkozataira.
(3) A Bizottság a portálon a következőket is hozzáférhetővé teszi:
a)
a 2. bekezdésben szereplő tagállami adatvédelmi nyilatkozatoknak a portál nyelveire fordított változatai;
b)
világosan és érthetően megfogalmazott általános adatvédelmi nyilatkozat a 45/2001/EK rendelet 11. és 12. cikkének megfelelően.
6. cikk
Személyes adatok tárolása
(1) Az összekapcsolt nemzeti adatbázisokból származó információcserét illetően a portálon semmilyen személyes adatot nem lehet tárolni az érintettekről. Minden ilyen adatot a tagállamok vagy más szervek által működtetett nemzeti adatbázisokban kell tárolni.
(2) A portál felhasználóira vonatkozó vagy általuk biztosított személyes adatokat csak akkor lehet a portálon tárolni, ha regisztrált felhasználókká váltak. A regisztrált felhasználók személyes adatait addig lehet tárolni, amíg nem kérik regisztrációjuk törlését. A 3. cikknek megfelelően az e-igazságügyi szereplőkre vagy kapcsolattartási pontokra vonatkozó személyes adatokat csak addig lehet tárolni, amíg ezek a személyek funkciójukat betöltik.
7. cikk
Hatályba lépés
Ez a határozat az Európai Unió Hivatalos Lapjában való kihirdetését követő huszadik napon lép hatályba.
Kelt Brüsszelben, 2014. június 5-én.