РЕШЕНИЕ НА КОМИСИЯТА
от 5 юни 2014 година
относно защитата на личните данни в Европейския портал за електронно правосъдие
(2014/333/ЕС)
ЕВРОПЕЙСКАТА КОМИСИЯ,
като взе предвид Договора за функционирането на Европейския съюз,
след консултация с Европейския надзорен орган по защита на данните,
като има предвид, че:
(1)
В съобщението си от май 2008 г. (1) Комисията заяви, че ще проектира и създаде Европейски портал за електронно правосъдие (оттук нататък „порталът“), който ще се управлява в тясно сътрудничество с държавите членки.
(2)
Многогодишният план за действие в областта на европейското електронно правосъдие за периода 2009-2013 г. (2) от 8 ноември 2008 г. възложи на Европейската комисия създаването на портала. Порталът стартира на 16 юли 2010 г. Приемането на настоящото решение се налага в този момент, тъй като едва сега порталът е готов за първото свързване на националните регистри, включващо обработка на лични данни.
(3)
Порталът има за цел да допринесе за създаването на европейското съдебно пространство чрез улесняване и подобряване на достъпа до правосъдие, както и чрез използване на информационните и комуникационните технологии за улесняване на трансграничните електронни съдебни производства и на съдебното сътрудничество.
(4)
Институциите, органите, службите и агенциите на Европейския съюз, както и държавите членки, когато прилагат правото на Съюза, трябва да зачитат основните права и да спазват принципите, признати от Хартата на основните права на Европейския съюз, и по-специално правото на защита на личните данни, посочено в член 8 от тази Харта.
(5)
Тъй като различните задачи и функции на Комисията и на държавите членки, които са свързани с портала, ще доведат до различни отговорности и задължения по отношение на защитата на данни, е от съществено значение те да бъдат ясно определени.
(6)
В съответствие със специфичния характер на дейностите, свързани с портала за електронно правосъдие, разработени в сътрудничество между Комисията и държавите членки, ролята на Комисията при обработването на лични данни чрез портала е ограничена. Следва да се поясни, че Комисията не носи отговорност за портала е ограничена. Следва да се поясни, че Комисията не носи отговорност за съдържанието на взаимосвързаните национални бази данни, достъпни посредством портала.
(7)
Регламент (ЕО) № 45/2001 на Европейския парламент и на Съвета (3) се прилага към обработването на лични данни от Комисията в портала. В този контекст Комисията отговаря по-конкретно за предоставянето на ИТ инфраструктура за функционирането на портала, както и за взаимното свързване на националните бази данни.
(8)
Съгласно Регламент (ЕО) № 45/2001 целите на обработването на личните данни следва да бъдат изрично посочени. Поради това обработването на лични данни от Комисията в портала следва да се осъществява само ако е насочено към осигуряване на достъп до взаимосвързани национални бази данни, притежаващи лични данни, предоставяне на интерактивни услуги, позволяващи на потребителите да общуват пряко с компетентните органи на друга държава членка, предоставяне на достъп до публична информация, насочена към регистрираните потребители, или предоставяне на данни за контакт.
(9)
Комисията трябва да въведе технологии в системата, които да отразяват концепцията за „защита на данните още при проектирането“. За прилагането на тази концепция оценката на въздействието върху защитата на данните и неприкосновеността на личния живот трябва да се извърши още по време на програмирането на функцията, свързана с обработката на лични данни чрез портала, както и програмирането на други функционални възможности. Тази оценка ще определи потенциалните рискове за защитата на данните. В нея също така ще се определят подходящите мерки и механизми, които да бъдат включени в системата, за да се защитят личните данни.
(10)
Комисията следва да извършва непрекъснати и подходящи оценки на сигурността, доколкото се извършва работа, свързана с взаимното свързване на националните бази данни.
(11)
Чрез портала може да бъде получен достъп само до публично достъпната информация във взаимосвързаните национални бази данни. Посредством портала не трябва да се дава възможност за комбиниране на информация от различни взаимосвързани национални бази данни за различни цели,
ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:
Член 1
Предмет
Настоящото решение определя функциите и отговорностите на Европейската комисия относно изискванията за защита на данните при обработването на лични данни в Европейския портал за електронно правосъдие (наричан по-долу „порталът“).
Член 2
Определения
За целите на настоящото решение се прилагат определенията, посочени в Регламент (ЕО) № 45/2001. В допълнение се прилагат и следните определения:
а)
„участник в европейското електронно правосъдие“ означава всеки представител на държава членка или на организация партньор в европейското електронно правосъдие, който е получил разрешение да изменя (части от) съдържанието на портала;
б)
„взаимосвързани национални бази данни“ означава управлявани от държавите членки и други органи, като например професионални сдружения и организации с нестопанска цел, бази данни, съдържащи публично достъпна информация, които са свързани чрез портала по такъв начин, че чрез него се осигурява достъп до информацията, която е на разположение на национално равнище;
в)
„публично достъпна информация“ означава информация, достъпна за обществеността чрез интернет;
г)
„регистриран потребител“ означава потребител на портала, който се е регистрирал в него посредством Системата на Европейската комисия за автентификация (ECAS) като „участник в европейското електронно правосъдие“.
Член 3
Обработка на данните
Комисията обработва лични данни в портала само доколкото това е необходимо за целите на:
а)
предоставяне на достъп до взаимосвързани национални бази данни, притежаващи лични данни;
б)
предоставяне на интерактивни услуги, които позволяват на регистрираните потребители да се свържат пряко с компетентните органи в друга държава членка;
в)
предоставяне на достъп до публична информация, насочена към регистрираните потребители;
г)
предоставяне на информация за контакт.
Член 4
Отговорности на администратора на лични данни
1. Комисията изпълнява функциите на администратор на лични данни по смисъла на член 2, буква г) от Регламент (ЕО) № 45/2001, в съответствие със съответните си отговорности в рамките на портала, както е посочено в настоящия член.
2. Комисията осигурява достъпността, поддръжката и сигурността на инфраструктурата на информационните технологии на портала.
3. Комисията отговаря за следните операции по обработване:
а)
организация;
б)
разкриване чрез предаване;
в)
разпространяване или друга форма на предоставяне на данните;
г)
подравняване или комбиниране на личните данни, извлечени от взаимосвързани национални бази данни, или на лични данни на регистрирани потребители.
4. Комисията определя необходимите политики и прилага подходящите технически решения, за да изпълни отговорностите си на администратор на данни.
5. Комисията изпълнява техническите мерки, необходими за гарантиране на сигурността на личните данни при преминаването им и по време на представянето им в портала, и по-специално на поверителността и целостта на всяко предаване от и към портала.
6. Комисията не носи отговорност за аспекти, свързани със защитата на данните, отнасящи се до:
а)
първоначалното събиране и съхранение на данни, извлечени от взаимосвързаните национални бази данни;
б)
всяко решение, взето от държавите членки да направят тези данни достъпни чрез портала;
в)
съдържанието на всички данни, извлечени от взаимосвързаните национални бази данни, достъпни посредством портала.
7. Задълженията на Комисията не засягат отговорностите на държавите членки и другите органи по отношение на съдържанието и функционирането на взаимосвързаните национални бази данни, управлявани от тях.
Член 5
Задължения за предоставяне на информация
1. Комисията предоставя на субектите на данни информацията, посочена в членове 11 и 12 от Регламент (ЕО) № 45/2001 по отношение на информацията, за която Комисията носи отговорност съгласно настоящото решение.
2. Независимо от задълженията на държавите членки и другите органи, управляващи взаимосвързаните национални бази данни, към субектите на данните Комисията също предоставя на тези субекти информация относно това към кого могат да се обърнат за ефективното упражняване на правата си на информация, достъп, коригиране и възражение съгласно приложимото законодателство за защита на данните. Комисията се позовава на конкретни декларации за поверителност на държавите членки и другите органи.
3. Комисията също предоставя на разположение в портала:
а)
превод на езиците на портала на декларациите за поверителност на държавите членки, посочени в параграф 2;
б)
ясна и разбираема изчерпателна декларация за поверителност във връзка с портала в съответствие с членове 11 и 12 от Регламент (EО) № 45/2001.
Член 6
Съхраняване на лични данни
1. По отношение на обмена на информация между взаимосвързаните национални бази данни, лични данни, свързани със субектите на данните, не се съхраняват в портала. Всички такива данни се съхраняват в националните бази данни, управлявани от държавите членки или от други органи.
2. Личните данни, отнасящи се до или предоставени от потребители на портала, не се съхраняват в портала, освен в случаите, когато те вече са се записали като регистрирани потребители. Личните данни на регистрираните потребители се съхраняват, докато те отправят искане за заличаване на регистрацията си. В съответствие с член 3 личните данни на участниците в европейското електронно правосъдие или звената за контакт ще бъдат съхранявани само докато тези лица изпълняват своята функция.
Член 7
Дата на влизане в сила
Настоящото решение влиза в сила на 20-ия ден след публикуването му в Официален вестник на Европейския съюз.
Съставено в Брюксел на 5 юни 2014 година.
KOMISJONI OTSUS,
5. juuni 2014,
isikuandmete kaitse kohta Euroopa e-õiguskeskkonna portaalis
(2014/333/EL)
EUROOPA KOMISJON,
võttes arvesse Euroopa Liidu toimimise lepingut,
olles konsulteerinud Euroopa Andmekaitseinspektoriga
ning arvestades järgmist:
(1)
Oma 2008. aasta mais esitatud teatises (1) kinnitas komisjon, et ta ehitab üles ja rakendab Euroopa e-õiguskeskkonna portaali (edaspidi „portaal”), mida hakatakse juhtima tihedas koostöös liikmesriikidega.
(2)
8. novembril 2008. aastal valminud Euroopa e-õiguskeskkonna mitmeaastase tegevuskavaga (2009-2013) (2) usaldati portaali rakendamine Euroopa Komisjonile. Portaal käivitati 16. juulil 2010. Käesoleva otsuse vastuvõtmine on muutunud vajalikuks alles nüüd, kuna portaal on alles nüüd valmis esimeseks ühendamiseks isikuandmeid töötlevate riiklike registritega.
(3)
Portaali eesmärk on aidata kaasa Euroopa õigusruumi loomisele, lihtsustades ja parandades õigusabi kättesaadavust ning tõhustades info- ja sidetehnoloogiat, eesmärgiga hõlbustada piiriüleseid elektroonilisi kohtumenetlusi ja õigusalast koostööd.
(4)
Nii Euroopa Liidu institutsioonid, organid ja asutused kui ka liikmesriigid peavad liidu õigust kohaldades austama põhiõigusi ja järgima Euroopa Liidu põhiõiguste hartas tunnustatud põhimõtteid, eriti nimetatud harta artiklis 8 sätestatud õigust isikuandmete kaitsele.
(5)
Kuna komisjoni ja liikmesriikide mitmesuguste portaaliga seotud ülesannete ja funktsioonidega kaasnevad andmekaitse-eeskirjadest tulenevad kohustused ja vastutus, siis on oluline kummagi funktsioonid ja vastutus täpselt kindlaks määrata.
(6)
E-õiguskeskkonna portaaliga seotud tegevuste erilise iseloomu tõttu, mis on välja kujunenud komisjoni ja liikmesriikide vahelise koostöö käigus, on komisjoni roll isikuandmete töötlemisel nimetatud portaali kaudu piiratud. Tuleks veel täpsustada, et komisjon ei vastuta omavahel ühendatud riiklike andmebaaside sisu eest, mis on kättesaadav portaali kaudu.
(7)
Komisjoni teostatava isikuandmete töötlemise suhtes kohaldatakse Euroopa Parlamendi ja nõukogu määrust (EÜ) nr 45/2001 (3). Sellega seoses vastutab komisjon eelkõige portaali funktsioonide jaoks vajaliku IT-infrastruktuuri loomise eest, sealhulgas riiklike andmebaaside ühendamise eest.
(8)
Määruse (EÜ) nr 45/2001 kohaselt peavad isikuandmete töötlemise eesmärgid olema sõnaselgelt kindlaks määratud. Seega peaks komisjon isikuandmeid portaalis töötlema vaid juhul, kui ta teeb seda selleks, et võimaldada juurdepääsu isikuandmeid säilitavatele omavahel ühendatud riiklikele andmebaasidele, pakkuda interaktiivseid teenuseid, mis võimaldavad kasutajatel vahetult suhelda teise liikmesriigi asjaomaste ametiasutustega, ja võimaldada juurdepääsu registreeritud kasutajatele mõeldud avalikule teabele või jagada kontaktandmed.
(9)
Komisjon peaks kaasama süsteemi sellist tehnoloogiat, mille kavandamisel on järgitud „lõimitud andmekaitse” põhimõtet. Selle põhimõtte rakendamisel tuleks funktsionaalsuse kavandamise etapis, mis hõlmab nii isikuandmete töötlemist portaali kaudu kui ka teisi portaali funktsioone, hinnata eraelu puutumatusele ja isikuandmete kaitsele avaldatavat mõju. Hindamine aitab kaardistada võimalikud isikuandmete kaitsega seotud riskid. See aitab kindlaks määrata ka asjakohased meetmed ja garantiid, mis tuleks isikuandmete kaitsmiseks süsteemi lülitada.
(10)
Komisjon peaks riiklike andmebaaside ühendamisega seotud tööülesannete täitmisel korraldama korrapäraseid ja asjakohaseid turvalisuse hindamisi.
(11)
Portaali kaudu pääseb ligi vaid ühendatud riiklikes andmebaasides leiduvale avalikule teabele. Erinevates ühendatud riiklikes andmebaasides leiduva teabe kombineerimine portaali kaudu eri eesmärkidel ei tohiks olla võimalik,
ON VASTU VÕTNUD KÄESOLEVA OTSUSE:
Artikkel 1
Reguleerimisese
Käesolevas otsuses sätestatakse Euroopa Komisjoni ülesanded ja kohustused seoses Euroopa e-õiguskeskkonna portaalis (edaspidi „portaal”) isikuandmete töötlemise suhtes kehtivate andmekaitse nõuetega.
Artikkel 2
Mõisted
Käesoleva otsuse kohaldamisel kasutatakse määruses (EÜ) nr 45/2001 sätestatud mõisteid. Lisaks kasutatakse järgmisi mõisteid:
a) „Euroopa e-õiguskeskkonnas osaleja”- liikmesriigi esindaja või Euroopa e-õiguskeskkonna partnerorganisatsioon, kellele on antud luba portaali sisu (selle teatavaid osi) muuta;
b) „omavahel ühendatud riiklikud andmebaasid”- avalikku teavet sisaldavad andmebaasid, mida haldavad liikmesriigid ja muud organid, nagu näiteks kutseliidud ja mittetulundusühingud, ning mis on portaali kaudu ühendatud sellisel viisil, et riiklikul tasandil kättesaadavale teabele pääseb ligi portaali kaudu;
c) „avalik teave”- teave, mis on avalikkusele kättesaadav interneti kaudu;
d) „registreeritud kasutaja”- portaali kasutaja, kes on end portaalis registreerinud Euroopa Komisjoni autentimisteenuse (ECAS) vahendusel, näiteks „Euroopa e-õiguskeskkonnas osaleja”.
Artikkel 3
Andmete töötlemine
Komisjon töötleb isikuandmeid portaalis üksnes allpool loetletud eesmärkidel:
a)
tagada juurdepääs ühendatud riiklikele andmebaasidele, milles säilitatakse isikuandmeid;
b)
pakkuda interaktiivseid teenuseid, mis võimaldavad registreeritud kasutajatel vahetult suhelda teise liikmesriigi asjaomaste ametiasutustega;
c)
tagada juurdepääs registreeritud kasutajatele mõeldud avalikule teabele;
d)
jagada kontaktandmeid.
Artikkel 4
Vastutava töötleja kohustused
1. Vastavalt määruse (EÜ) nr 45/2001 artikli 2 punktile d ja kooskõlas käesolevast artiklist tulenevate vastavate kohustustega portaalis täidab komisjon vastutava töötleja ülesandeid.
2. Komisjon tagab portaali IT-infrastruktuuri kättesaadavuse, hooldamise ja turvalisuse.
3. Komisjon vastutab järgmiste töötlemistoimingute eest:
a)
korrastamine;
b)
üleandmine;
c)
levitamine või muul viisil kättesaadavaks tegemine;
d)
ühendatud riiklikest andmebaasidest pärinevate või registreeritud kasutajate isikuandmete ühitamine või ühendamine.
4. Komisjon määrab kindlaks vajalikud tegevuspõhimõtted ja kohaldab asjakohaseid tehnilisi lahendusi, et täita oma ülesandeid vastutava töötleja pädevuse piirides.
5. Komisjon rakendab nõutavaid tehnilisi meetmeid, et tagada isikuandmete turvalisus transiidi ja portaalis esitamise ajal, eelkõige konfidentsiaalsus ja terviklikkus mis tahes andmete ülekandmisel Euroopa e-õiguskeskkonna portaali ja portaalist.
6. Komisjon ei vastuta nende isikuandmete kaitse aspektide eest, mis on seotud:
a)
omavahel ühendatud riiklikest andmebaasidest pärinevate andmete esialgse kogumise ja säilitamisega;
b)
mis tahes otsusega, mille on vastu võtnud liikmesriigid, et muuta need andmed portaali kaudu kättesaadavaks;
c)
portaali kaudu kättesaadavaks tehtud omavahel ühendatud riiklikest andmebaasidest pärinevate andmete sisuga.
7. Komisjoni kohustused ei mõjuta liikmesriikide ja muude organite vastutust nende hallatavate omavahel ühendatud riiklike andmebaaside sisu ja toimimise eest.
Artikkel 5
Teavitamise kohustus
1. Komisjon jagab andmesubjektidele teavet (mille eest ta on käesoleva otsuse alusel vastutav), mis on sätestatud määruse (EÜ) nr 45/2001 artiklites 11 ja 12.
2. Olenemata kohustustest liikmesriikide ja teiste omavahel ühendatud riiklikke andmebaase haldavate organite andmesubjektide vastu, tuleb komisjonil teavitada andmesubjekte ka sellest, kellega nad peaksid ühendust võtma, et tõhusalt kasutada oma õigust saada teavet, tutvuda andmetega, teha parandusi ja esitada vastuväiteid kooskõlas kohaldatavate andmekaitsealaste õigusaktidega. Komisjon osutab liikmesriikide ja teiste organite konkreetsetele isikuandmete kaitse põhimõtetele.
3. Komisjon muudab portaalis samuti kättesaadavaks:
a)
liikmesriikide lõikes 2 osutatud isikuandmete kaitse põhimõtete tõlked portaali keeltesse;
b)
määruse (EÜ) nr 45/2001 artiklite 11 ja 12 kohase, portaaliga seotud põhjaliku isikuandmete puutumatust käsitleva teate, mis esitatakse selges ja arusaadavas vormis.
Artikkel 6
Isikuandmete säilitamine
1. Omavahel ühendatud riiklike andmebaaside teabevahetuse raames andmesubjektide kohta edastatud isikuandmeid portaalis ei säilitata. Kõik sellised andmed säilitatakse liikmesriikide või muude organite hallatavates riiklikes andmebaasides.
2. Portaali kasutajatega seotud või nende esitatud isikuandmeid ei säilitata portaalis, v.a juhul, kui nad on end kirja pannud registreeritud kasutajatena. Registreeritud kasutajate isikuandmeid säilitatakse, kuni nad avaldavad soovi oma nimi portaalist kustutada. Vastavalt artiklile 3 säilitatakse Euroopa e-õiguskeskkonnas osalejate või kontaktisikute isikuandmeid vaid nii kaua, kui nimetatud isikud täidavad oma ülesandeid.
Artikkel 7
Jõustumise kuupäev
Käesolev otsus jõustub kahekümnendal päeval pärast selle avaldamist Euroopa Liidu Teatajas.
Brüssel, 5. juuni 2014