ROZHODNUTÍ KOMISE
ze dne 5. června 2014
o ochraně osobních údajů v portálu evropské e-justice
(2014/333/EU)
EVROPSKÁ KOMISE,
s ohledem na Smlouvu o fungování Evropské unie,
po konzultaci s evropským inspektorem ochrany údajů,
vzhledem k těmto důvodům:
(1)
Ve svém sdělení z května 2008 (1) Komise uvedla, že bude pracovat na konceptu a zprovoznění portálu evropské e-justice (dále jen „portál“), jehož řízení se ujme v úzké spolupráci s členskými státy.
(2)
Víceletý akční plán v oblasti evropské e-justice na období let 2009-2013 (2) ze dne 8. listopadu 2008 pověřil realizací portálu Evropskou komisi. Portál byl spuštěn dne 16. července 2010. Vzhledem k tomu, že portál je teprve nyní připraven na první propojení vnitrostátních rejstříků, jež obnáší zpracování osobních údajů, stalo se přijetí tohoto rozhodnutí nezbytným až za současné situace.
(3)
Cílem portálu je přispět k realizaci evropského soudního prostoru, a to usnadněním a podporou přístupu ke spravedlnosti a posílení informačních a komunikačních technologií, jež mají usnadnit přeshraniční elektronické soudní řízení a justiční spolupráci.
(4)
Orgány, subjekty, úřady a agentury Evropské unie stejně jako členské státy musí při provádění právních předpisů Unie ctít základní práva a dodržovat zásady uznané Listinou základních práv Evropské unie, zejména právo na ochranu osobních údajů stanovené v článku 8 uvedené listiny.
(5)
Vzhledem k tomu, že řada rozmanitých úkolů a funkcí Komise a členských států týkající se portálu obnáší rozličné povinnosti a závazky, pokud jde o ochranu údajů, je nezbytné, aby tyto byly jasně vymezeny.
(6)
S ohledem na zvláštní povahu činností souvisejících s portálem e-justice, vytvořených na základě spolupráce mezi Komisí a členskými státy, je úloha Komise při zpracování osobních údajů prostřednictvím portálu omezená. Je třeba upřesnit, že Komise nenese žádnou odpovědnost za obsah vzájemně propojených vnitrostátních databází, který je prostřednictvím portálu dostupný.
(7)
Zpracovávání osobních údajů Komisí v rámci portálu se řídí nařízením Evropského parlamentu a Rady (ES) č. 45/2001 (3). V této souvislosti je Komise zejména odpovědná za poskytování infrastruktury IT pro funkce portálu, včetně propojení vnitrostátních databází.
(8)
V souladu s nařízením (ES) č. 45/2001 by mělo být výslovně uvedeno, pro jaké účely se osobní údaje zpracovávají. Komise by tudíž měla osobní údaje v rámci portálu zpracovávat pouze za účelem poskytnutí přístupu k vzájemně propojeným vnitrostátním databázím s osobními údaji, poskytnutí interaktivních služeb umožňujícím uživatelům komunikovat přímo s příslušnými orgány v jiném členském státě, poskytnutí přístupu k veřejným informacím pro registrované uživatele nebo poskytnutí kontaktních údajů.
(9)
Komise by se měla opřít o systémové technologie, které zohledňují koncepci „ochrany údajů již od návrhu“. Při uplatňování této koncepce by mělo být při návrhu funkce spojené se zpracováním osobních údajů prostřednictvím portálu, jakož i jiných funkcí portálu, provedeno posouzení dopadů na ochranu soukromí a osobních údajů. Toto posouzení určí potenciální rizika v souvislosti s ochranou údajů. Rovněž uvede vhodná opatření a záruky, které mají být začleněny do systému ochrany osobních údajů.
(10)
Při provádění činností souvisejících s propojením vnitrostátních databází by Komise měla nepřetržitě a náležitě posuzovat bezpečnost.
(11)
Prostřednictvím portálu mohou být dostupné pouze informace, které jsou v propojených vnitrostátních databázích veřejně přístupné. Portál by neměl umožňovat, aby byly pro různé účely kombinovány údaje z různých vzájemně propojených vnitrostátních databází,
PŘIJALA TOTO ROZHODNUTÍ:
Článek 1
Předmět
Toto rozhodnutí stanoví funkce a povinnosti Evropské komise v souvislosti s požadavky na ochranu údajů při zpracovávání osobních údajů v rámci evropského portálu e-justice (dále jen „portál“).
Článek 2
Definice
Pro účely tohoto rozhodnutí se použijí definice stanovené nařízením (ES) č. 45/2001. Vedle toho se rozumí:
a)
„účastníkem evropské e-justice“ každý zástupce členského státu nebo partnerské organizace evropské e-justice, jemuž bylo uděleno povolení měnit obsah portálu (jeho částí);
b)
„vzájemně propojenými vnitrostátními databázemi“ databáze, které obsahují veřejně přístupné informace, provozované členskými státy a jinými subjekty, jako jsou profesní sdružení a neziskové organizace, které jsou propojeny prostřednictvím portálu tak, že informace přístupné na vnitrostátní úrovni jsou dostupné přes portál;
c)
„veřejně přístupnými informacemi“ informace, které jsou přístupné veřejnosti prostřednictvím internetu;
d)
„registrovaným uživatelem“ uživatel portálu, který se v portálu registroval prostřednictvím ověřovací služby Evropské komise (ECAS), např. jako „účastník evropské e-justice“.
Článek 3
Zpracovávání údajů
Komise zpracovává osobní údaje v rámci portálu pouze v rozsahu nezbytném pro účely:
a)
poskytnutí přístupu k vzájemně propojeným vnitrostátním databázím obsahujícím osobní údaje;
b)
poskytnutí interaktivních služeb, které registrovaným uživatelům umožní přímo komunikovat s příslušnými orgány v jiném členském státě;
c)
zajištění přístupu k veřejně dostupným informacím pro registrované uživatele;
d)
poskytnutí kontaktních údajů.
Článek 4
Povinnosti správce údajů
1. Komise vykonává své povinnosti správce údajů podle čl. 2 písm. d) nařízení (ES) č. 45/2001 v souladu se svými příslušnými povinnostmi v rámci portálu, jak je uvedeno v tomto článku.
2. Komise zajistí dostupnost, údržbu a bezpečnost infrastruktury IT portálu.
3. Komise odpovídá za tyto úkony související se zpracováním osobních údajů:
a)
uspořádávání;
b)
sdělení prostřednictvím přenosu;
c)
šíření nebo jakékoli jiné zpřístupnění;
d)
srovnávání či kombinování osobních údajů z propojených vnitrostátních databází nebo osobních údajů týkajících se registrovaných uživatelů.
4. Za účelem plnění svých povinností jakožto správce údajů Komise vymezí potřebné politiky a uplatní vhodná technická řešení.
5. Komise provádí technická opatření nutná k zajištění bezpečnosti při přenosu osobních údajů a jejich zobrazení na portálu, zejména důvěrnosti a integrity při jakémkoli jejich přenosu do portálu a z něj.
6. Komise nenese odpovědnost za žádný z aspektů ochrany údajů, které se týkají:
a)
počátečního shromažďování a uchovávání údajů z propojených vnitrostátních databází;
b)
jakýchkoli rozhodnutí přijatých členskými státy o zpřístupnění takových údajů prostřednictvím portálu;
c)
obsahu jakéhokoli údaje z vzájemně propojených vnitrostátních databází, který je dostupný prostřednictvím portálu.
7. Povinnostmi Komise není dotčena odpovědnost členských států a jiných subjektů za obsah a provoz propojených vnitrostátních databází, které spravují.
Článek 5
Informační povinnosti
1. Komise poskytne subjektům údajů informace uvedené v článcích 11 a 12 nařízení (ES) č. 45/2001, pokud jde o poskytování informací, za něž Komise podle tohoto rozhodnutí odpovídá.
2. Aniž jsou dotčeny její povinnosti vůči subjektům údajů členských států a jiných subjektů působících v rámci propojených vnitrostátních databází, Komise rovněž informuje subjekty údajů o tom, na koho se obrátit, aby mohly účinně využít svého práva na informace, na přístup, na opravu a na námitku podle příslušných právních předpisů na ochranu údajů. Komise odkáže na prohlášení o ochraně osobních údajů členských států a jiných orgánů.
3. Komise na portálu rovněž zpřístupní:
a)
překlady prohlášení členských států o ochraně osobních údajů, jak je uvedeno v odstavci 2, do příslušných jazyků portálu;
b)
ucelené prohlášení o ochraně osobních údajů týkající se portálu v souladu s články 11 a 12 nařízení (ES) č. 45/2001 v jasné a srozumitelné podobě.
Článek 6
Uchovávání osobních údajů
1. Pokud jde o výměnu informací z propojených vnitrostátních databází, žádné osobní údaje týkající se subjektů údajů nesmějí být na portálu uchovávány. Veškeré takové údaje se uchovávají ve vnitrostátních databázích provozovaných členskými státy nebo jinými subjekty.
2. Osobní údaje týkající se uživatelů portálu nebo osobní údaje jimi poskytované nesmějí být na portálu uchovávány, kromě případů, kdy se tito uživatelé přihlásili jako registrovaní uživatelé. Osobní údaje registrovaných uživatelů se uchovávají tak dlouho, dokud registrovaný uživatel nepožádá o zrušení své registrace. V souladu s článkem 3 se osobní údaje týkající se účastníků nebo kontaktních osob evropské e-justice uchovávají pouze po dobu, po kterou tyto osoby vykonávají svou funkci.
Článek 7
Datum použitelnosti
Toto rozhodnutí vstupuje v platnost dvacátým dnem po zveřejnění v Úředním věstníku Evropské unie.
V Bruselu dne 5. června 2014.
KOMISIJAS LĒMUMS
(2014. gada 5. jūnijs)
par personas datu aizsardzību Eiropas e-tiesiskuma portālā
(2014/333/ES)
EIROPAS KOMISIJA,
ņemot vērā Līgumu par Eiropas Savienības darbību,
pēc apspriešanās ar Eiropas Datu aizsardzības uzraudzītāju,
tā kā:
(1)
Komisija savā 2008. gada maija paziņojumā (1) norādīja, ka tā izstrādās un izveidos Eiropas e-tiesiskuma portālu (turpmāk “portāls”), ko pārvalda ciešā sadarbībā ar dalībvalstīm.
(2)
2008. gada 8. novembra Eiropas daudzgadu e-tiesiskuma rīcības plānā 2009.-2013. gadam (2) Eiropas Komisijai ir uzticēts uzdevums īstenot portālu. Portāla darbība tika uzsākta 2010. gada 16. jūlijā. Nepieciešamība pieņemt šo lēmumu radās tikai tagad, jo portāls nu tikai ir gatavs valstu reģistru pirmajai savstarpējai savienošanai, kas saistīta arī ar personas datu apstrādi.
(3)
Portāla mērķis ir veicināt Eiropas tiesiskās telpas izveidi, atvieglojot un uzlabojot tiesu pieejamību un iesaistot informācijas un komunikācijas tehnoloģijas ar mērķi veicināt pārrobežu elektronisko tiesvedību un tiesu iestāžu sadarbību.
(4)
Eiropas Savienības un tās dalībvalstu iestādēm, struktūrām, birojiem un aģentūrām, īstenojot Savienības tiesību aktus, ir jāievēro pamattiesības un principi, kas atzīti Eiropas Savienības Pamattiesību hartā, jo īpaši tiesības uz personas datu aizsardzību, kā noteikts minētās hartas 8. pantā.
(5)
Tā kā Komisijas un dalībvalstu dažādie ar portālu saistītie uzdevumi un funkcijas ietvers atšķirīgus pienākumus un saistības attiecībā uz datu aizsardzību, ir svarīgi tos nodalīt nepārprotami.
(6)
Saskaņā ar darbību, kas saistītas ar Eiropas e-tiesiskuma portālu, īpašo raksturu, un kas izstrādātas sadarbībā starp Komisiju un dalībvalstīm, Komisijas loma personas datu apstrādē, izmantojot portālu, ir ierobežota. Būtu jāprecizē, ka Komisija nav atbildīga par to savstarpēji savienoto valstu datubāzu saturu, kuras darītas pieejamas, izmantojot portālu.
(7)
Eiropas Parlamenta un Padomes Regula (EK) Nr. 45/2001 (3) attiecas uz personas datu apstrādi, ko portālā veic Komisija. Šajā kontekstā Komisija jo īpaši ir atbildīga par IT infrastruktūras nodrošināšanu portāla darbībai, tostarp par valstu datubāzu savstarpēju savienošanu.
(8)
Saskaņā ar Regulu (EK) Nr. 45/2001 būtu skaidri jānorāda personas datu apstrādes mērķi. Tāpēc personas datu apstrādei, ko Komisija veic portālā, būtu jānotiek tikai tad, ja tas tiek darīts, lai nodrošinātu piekļuvi savstarpēji savienotām valstu datubāzēm, kurās iekļauti personas dati, sniegtu interaktīvus pakalpojumus, kas ļauj lietotājiem tieši sazināties ar citas dalībvalsts attiecīgajām iestādēm, nodrošinātu piekļuvi publiskai informācijai, kas paredzēta reģistrētiem lietotājiem, vai lai sniegtu kontaktinformāciju.
(9)
Komisijai būtu jāiekļauj sistēmā tehnoloģijas, kas atspoguļo koncepciju “integrēta datu aizsardzība”. Ieviešot šo koncepciju, to darbību, kas saistītas ar personas datu apstrādi portālā, kā arī citu portāla darbību izstrādes posmā būtu jāveic privātuma un datu aizsardzības ietekmes novērtējums. Minētajā novērtējumā tiks identificēti iespējamie riski saistībā ar datu aizsardzību. Tāpat tajā tiks noteikti arī attiecīgie pasākumi un aizsardzības pasākumi, kas jāiekļauj personas datu aizsardzības sistēmā.
(10)
Komisijai būtu jāveic nepārtraukti un piemēroti drošības novērtējumi, ja tiek veikti darbi saistībā ar valstu datubāzu savstarpēju savienošanu.
(11)
Ar portāla starpniecību var piekļūt tikai publiski pieejamai informācijai savstarpēji savienotās valstu datubāzēs. Nedrīkstētu pastāvēt iespēja ar portāla starpniecību atšķirīgiem mērķiem kombinēt informāciju no dažādām savstarpēji savienotām valstu datubāzēm,
IR PIEŅĒMUSI ŠO LĒMUMU.
1. pants
Priekšmets
Šis lēmums nosaka Eiropas Komisijas funkcijas un pienākumus attiecībā uz datu aizsardzības prasībām, apstrādājot personas datus Eiropas e-tiesiskuma portālā (turpmāk “portāls”).
2. pants
Definīcijas
Šajā lēmumā piemēro Regulā (EK) Nr. 45/2001 noteiktās definīcijas. Papildus piemēro arī šādas definīcijas:
a)
“Eiropas e-tiesiskuma portāla dalībnieks” ir dalībvalsts vai Eiropas e-tiesiskuma portāla partnerorganizācija, kam piešķirta atļauja grozīt portāla (vai tā daļu) saturu;
b)
“savstarpēji savienotas valstu datubāzes” ir datubāzes ar publiski pieejamu informāciju, kuras uztur dalībvalstis un citas struktūras, piemēram, profesionālās apvienības un bezpeļņas organizācijas, un kuras ir savienotas ar portāla starpniecību tādā veidā, ka valstu līmenī pieejamajai informācijai var piekļūt, izmantojot portālu;
c)
“publiski pieejama informācija” ir informācija, kas ir publiski pieejama internetā;
d)
“reģistrēts lietotājs” ir portāla lietotājs, kas ir reģistrējies portālā, izmantojot Eiropas Komisijas autentificēšanas sistēmu (ECAS), piemēram, “Eiropas e-tiesiskuma dalībnieks”.
3. pants
Datu apstrāde
Komisija portālā apstrādā personas datus tikai tādā apmērā, ciktāl tas ir nepieciešams šādiem mērķiem:
a)
nodrošināt piekļuvi savstarpēji savienotām valstu datubāzēm, kurās ir personas dati;
b)
sniegt interaktīvus pakalpojumus, kas ļauj reģistrētiem lietotājiem tieši sazināties ar attiecīgajām iestādēm citā dalībvalstī;
c)
nodrošināt piekļuvi publiskai informācijai, kas paredzēta reģistrētiem lietotājiem;
d)
sniegt kontaktinformāciju.
4. pants
Par datu apstrādi atbildīgās personas pienākumi
1. Komisija pilda par datu apstrādi atbildīgās personas pienākumus, kas noteikti Regulas (EK) Nr. 45/2001 2. panta d) punktā, saskaņā ar tās attiecīgajiem pienākumiem portālā, kā minēts šajā pantā.
2. Komisija nodrošina portāla IT infrastruktūras pieejamību, uzturēšanu un drošību.
3. Komisija ir atbildīga par šādām apstrādes darbībām:
a)
organizācija;
b)
izpaušana pārraidot;
c)
izplatīšana vai pieejamības nodrošināšana citā veidā;
d)
saskaņošana vai kombinēšana.
4. Komisija nosaka nepieciešamo politiku un piemēro atbilstīgus tehniskos risinājumus, lai izpildītu savus pienākumus atbilstoši par personas datu apstrādi atbildīgās personas funkcijām.
5. Komisija īsteno tehniskos pasākumus, kas vajadzīgi, lai nodrošinātu personas datu drošību to pārsūtīšanas un atrašanās portālā laikā, jo īpaši konfidencialitāti un integritāti ikvienā gadījumā, kad datus pārsūta uz Eiropas e-tiesiskuma portālu un no tā.
6. Komisija nav atbildīga par datu aizsardzības aspektiem, kas attiecas uz:
a)
jebkādu to datu sākotnējo vākšanu un glabāšanu, kuri iegūti no savstarpēji savienotām valstu datubāzēm;
b)
jebkuru lēmumu, ko pieņem dalībvalstis, lai šādus datus darītu pieejamus portālā;
c)
jebkuru to datu saturu, kuri iegūti no savstarpēji savienotām valstu datubāzēm, kas darītas pieejamas, izmantojot portālu.
7. Komisijas pienākumi neskar dalībvalstu un citu struktūru pienākumus attiecībā uz viņu uzturēto savstarpēji savienoto valstu datubāzu saturu un darbību.
5. pants
Informēšanas pienākums
1. Attiecībā uz informāciju, par kuru Komisija ir atbildīga saskaņā ar šo lēmumu, Komisija sniedz datu subjektiem informāciju, kas norādīta Regulas (EK) Nr. 45/2001 11. un 12. pantā.
2. Neatkarīgi no pienākumiem attiecībā uz dalībvalstu datu subjektiem un citām struktūrām, kas uztur savstarpēji savienotas valstu datubāzes, Komisija datu subjektiem sniedz arī informāciju par kontaktpersonām saziņai, lai varētu efektīvi īstenot savas tiesības saņemt informāciju, tai piekļūt, to labot un iebilst pret to saskaņā ar spēkā esošajiem tiesību aktiem datu aizsardzības jomā. Komisija atsaucas uz dalībvalstu un citu struktūru konkrētajiem paziņojumiem par privātumu.
3. Tāpat Komisija portālā dara pieejamus:
a)
paziņojumu par privātumu, kas minēti 2. punktā, tulkojumus portāla dalībvalstu valodās;
b)
skaidrā un saprotamā veidā - vispārēju ar portālu saistītu paziņojumu par privātumu saskaņā ar Regulas (EK) Nr. 45/2001 11. un 12. pantu.
6. pants
Personas datu glabāšana
1. Attiecībā uz informācijas apmaiņu no savstarpēji savienotām valstu datubāzēm, portālā neglabā personas datus, kas attiecas uz datu subjektu. Visus šādus datus glabā valstu datubāzēs, ko uztur dalībvalstis vai citas struktūras.
2. Personas datus, kas saistīti ar portāla lietotājiem vai ko snieguši portāla lietotāji, neglabā portālā, izņemot gadījumos, kad viņi ir reģistrējušies kā reģistrēti lietotāji. Reģistrēto lietotāju personas datus glabā līdz brīdim, kad tie pieprasa dzēst reģistrāciju. Saskaņā ar 3. pantu personas datus par Eiropas e-tiesiskuma portāla dalībniekiem vai kontaktpunktiem var uzglabāt tikai tik ilgi, kamēr šīs personas pilda minētās funkcijas.
7. pants
Spēkā stāšanās diena
Šis lēmums stājas spēkā divdesmitajā dienā pēc tā publicēšanas Eiropas Savienības Oficiālajā Vēstnesī.
Briselē, 2014. gada 5. jūnijā