РЕШЕНИЕ НА КОМИСИЯТА
от 5 юни 2014 година
относно защитата на личните данни в Европейския портал за електронно правосъдие
(2014/333/ЕС)
ЕВРОПЕЙСКАТА КОМИСИЯ,
като взе предвид Договора за функционирането на Европейския съюз,
след консултация с Европейския надзорен орган по защита на данните,
като има предвид, че:
(1)
В съобщението си от май 2008 г. (1) Комисията заяви, че ще проектира и създаде Европейски портал за електронно правосъдие (оттук нататък „порталът“), който ще се управлява в тясно сътрудничество с държавите членки.
(2)
Многогодишният план за действие в областта на европейското електронно правосъдие за периода 2009-2013 г. (2) от 8 ноември 2008 г. възложи на Европейската комисия създаването на портала. Порталът стартира на 16 юли 2010 г. Приемането на настоящото решение се налага в този момент, тъй като едва сега порталът е готов за първото свързване на националните регистри, включващо обработка на лични данни.
(3)
Порталът има за цел да допринесе за създаването на европейското съдебно пространство чрез улесняване и подобряване на достъпа до правосъдие, както и чрез използване на информационните и комуникационните технологии за улесняване на трансграничните електронни съдебни производства и на съдебното сътрудничество.
(4)
Институциите, органите, службите и агенциите на Европейския съюз, както и държавите членки, когато прилагат правото на Съюза, трябва да зачитат основните права и да спазват принципите, признати от Хартата на основните права на Европейския съюз, и по-специално правото на защита на личните данни, посочено в член 8 от тази Харта.
(5)
Тъй като различните задачи и функции на Комисията и на държавите членки, които са свързани с портала, ще доведат до различни отговорности и задължения по отношение на защитата на данни, е от съществено значение те да бъдат ясно определени.
(6)
В съответствие със специфичния характер на дейностите, свързани с портала за електронно правосъдие, разработени в сътрудничество между Комисията и държавите членки, ролята на Комисията при обработването на лични данни чрез портала е ограничена. Следва да се поясни, че Комисията не носи отговорност за портала е ограничена. Следва да се поясни, че Комисията не носи отговорност за съдържанието на взаимосвързаните национални бази данни, достъпни посредством портала.
(7)
Регламент (ЕО) № 45/2001 на Европейския парламент и на Съвета (3) се прилага към обработването на лични данни от Комисията в портала. В този контекст Комисията отговаря по-конкретно за предоставянето на ИТ инфраструктура за функционирането на портала, както и за взаимното свързване на националните бази данни.
(8)
Съгласно Регламент (ЕО) № 45/2001 целите на обработването на личните данни следва да бъдат изрично посочени. Поради това обработването на лични данни от Комисията в портала следва да се осъществява само ако е насочено към осигуряване на достъп до взаимосвързани национални бази данни, притежаващи лични данни, предоставяне на интерактивни услуги, позволяващи на потребителите да общуват пряко с компетентните органи на друга държава членка, предоставяне на достъп до публична информация, насочена към регистрираните потребители, или предоставяне на данни за контакт.
(9)
Комисията трябва да въведе технологии в системата, които да отразяват концепцията за „защита на данните още при проектирането“. За прилагането на тази концепция оценката на въздействието върху защитата на данните и неприкосновеността на личния живот трябва да се извърши още по време на програмирането на функцията, свързана с обработката на лични данни чрез портала, както и програмирането на други функционални възможности. Тази оценка ще определи потенциалните рискове за защитата на данните. В нея също така ще се определят подходящите мерки и механизми, които да бъдат включени в системата, за да се защитят личните данни.
(10)
Комисията следва да извършва непрекъснати и подходящи оценки на сигурността, доколкото се извършва работа, свързана с взаимното свързване на националните бази данни.
(11)
Чрез портала може да бъде получен достъп само до публично достъпната информация във взаимосвързаните национални бази данни. Посредством портала не трябва да се дава възможност за комбиниране на информация от различни взаимосвързани национални бази данни за различни цели,
ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:
Член 1
Предмет
Настоящото решение определя функциите и отговорностите на Европейската комисия относно изискванията за защита на данните при обработването на лични данни в Европейския портал за електронно правосъдие (наричан по-долу „порталът“).
Член 2
Определения
За целите на настоящото решение се прилагат определенията, посочени в Регламент (ЕО) № 45/2001. В допълнение се прилагат и следните определения:
а)
„участник в европейското електронно правосъдие“ означава всеки представител на държава членка или на организация партньор в европейското електронно правосъдие, който е получил разрешение да изменя (части от) съдържанието на портала;
б)
„взаимосвързани национални бази данни“ означава управлявани от държавите членки и други органи, като например професионални сдружения и организации с нестопанска цел, бази данни, съдържащи публично достъпна информация, които са свързани чрез портала по такъв начин, че чрез него се осигурява достъп до информацията, която е на разположение на национално равнище;
в)
„публично достъпна информация“ означава информация, достъпна за обществеността чрез интернет;
г)
„регистриран потребител“ означава потребител на портала, който се е регистрирал в него посредством Системата на Европейската комисия за автентификация (ECAS) като „участник в европейското електронно правосъдие“.
Член 3
Обработка на данните
Комисията обработва лични данни в портала само доколкото това е необходимо за целите на:
а)
предоставяне на достъп до взаимосвързани национални бази данни, притежаващи лични данни;
б)
предоставяне на интерактивни услуги, които позволяват на регистрираните потребители да се свържат пряко с компетентните органи в друга държава членка;
в)
предоставяне на достъп до публична информация, насочена към регистрираните потребители;
г)
предоставяне на информация за контакт.
Член 4
Отговорности на администратора на лични данни
1. Комисията изпълнява функциите на администратор на лични данни по смисъла на член 2, буква г) от Регламент (ЕО) № 45/2001, в съответствие със съответните си отговорности в рамките на портала, както е посочено в настоящия член.
2. Комисията осигурява достъпността, поддръжката и сигурността на инфраструктурата на информационните технологии на портала.
3. Комисията отговаря за следните операции по обработване:
а)
организация;
б)
разкриване чрез предаване;
в)
разпространяване или друга форма на предоставяне на данните;
г)
подравняване или комбиниране на личните данни, извлечени от взаимосвързани национални бази данни, или на лични данни на регистрирани потребители.
4. Комисията определя необходимите политики и прилага подходящите технически решения, за да изпълни отговорностите си на администратор на данни.
5. Комисията изпълнява техническите мерки, необходими за гарантиране на сигурността на личните данни при преминаването им и по време на представянето им в портала, и по-специално на поверителността и целостта на всяко предаване от и към портала.
6. Комисията не носи отговорност за аспекти, свързани със защитата на данните, отнасящи се до:
а)
първоначалното събиране и съхранение на данни, извлечени от взаимосвързаните национални бази данни;
б)
всяко решение, взето от държавите членки да направят тези данни достъпни чрез портала;
в)
съдържанието на всички данни, извлечени от взаимосвързаните национални бази данни, достъпни посредством портала.
7. Задълженията на Комисията не засягат отговорностите на държавите членки и другите органи по отношение на съдържанието и функционирането на взаимосвързаните национални бази данни, управлявани от тях.
Член 5
Задължения за предоставяне на информация
1. Комисията предоставя на субектите на данни информацията, посочена в членове 11 и 12 от Регламент (ЕО) № 45/2001 по отношение на информацията, за която Комисията носи отговорност съгласно настоящото решение.
2. Независимо от задълженията на държавите членки и другите органи, управляващи взаимосвързаните национални бази данни, към субектите на данните Комисията също предоставя на тези субекти информация относно това към кого могат да се обърнат за ефективното упражняване на правата си на информация, достъп, коригиране и възражение съгласно приложимото законодателство за защита на данните. Комисията се позовава на конкретни декларации за поверителност на държавите членки и другите органи.
3. Комисията също предоставя на разположение в портала:
а)
превод на езиците на портала на декларациите за поверителност на държавите членки, посочени в параграф 2;
б)
ясна и разбираема изчерпателна декларация за поверителност във връзка с портала в съответствие с членове 11 и 12 от Регламент (EО) № 45/2001.
Член 6
Съхраняване на лични данни
1. По отношение на обмена на информация между взаимосвързаните национални бази данни, лични данни, свързани със субектите на данните, не се съхраняват в портала. Всички такива данни се съхраняват в националните бази данни, управлявани от държавите членки или от други органи.
2. Личните данни, отнасящи се до или предоставени от потребители на портала, не се съхраняват в портала, освен в случаите, когато те вече са се записали като регистрирани потребители. Личните данни на регистрираните потребители се съхраняват, докато те отправят искане за заличаване на регистрацията си. В съответствие с член 3 личните данни на участниците в европейското електронно правосъдие или звената за контакт ще бъдат съхранявани само докато тези лица изпълняват своята функция.
Член 7
Дата на влизане в сила
Настоящото решение влиза в сила на 20-ия ден след публикуването му в Официален вестник на Европейския съюз.
Съставено в Брюксел на 5 юни 2014 година.
KOMMISSIONENS AFGØRELSE
af 5. juni 2014
om beskyttelse af personoplysninger i den europæiske portal e-justice
(2014/333/EU)
EUROPA-KOMMISSIONEN HAR -
under henvisning til traktaten om Den Europæiske Unions funktionsmåde,
efter høring af Den Europæiske Tilsynsførende for Databeskyttelse og
ud fra følgende betragtninger:
(1)
I sin meddelelse af maj 2008 (1) erklærede Kommissionen, at den ville arbejde på at udforme og indføre portalen e-justice (herefter »portalen«), som den vil vedligeholde i nært samarbejde med medlemsstaterne.
(2)
Ved den flerårige handlingsplan for 2009-2013 (2) vedrørende europæisk e-justice af 8. november 2008 fik Kommissionen til opgave at etablere portalen. Portalen blev oprettet den 16. juli 2010. Det har ikke været nødvendigt at vedtage denne afgørelse tidligere, da portalen først nu er blevet klar til den første sammenkobling af nationale registre, der indebærer behandling af personoplysninger.
(3)
Portalens mål er at bidrage til opnåelsen af det europæiske retlige område ved at lette og forbedre adgangen til retssystemet og udnytte informations- og kommunikationsteknologien til at lette grænseoverskridende elektroniske retssager og retsligt samarbejde.
(4)
Såvel Den Europæiske Unions institutioner, organer, kontorer og agenturer som medlemsstaterne skal ved gennemførelsen af EU-retten respektere de grundlæggende rettigheder og overholde de principper, der er forankret i chartret om Den Europæiske Unions grundlæggende rettigheder, navnlig retten til beskyttelse af personoplysninger, der er fastsat i chartrets artikel 8.
(5)
Da Kommissionens og medlemsstaternes forskellige portalrelaterede opgaver og funktioner vil indebære forskellige ansvarsområder og forpligtelser med hensyn til databeskyttelse, er det vigtigt at afgrænse dem klart.
(6)
Henset til den særlige karakter af de aktiviteter, der er forbundet med portalen, som er udviklet i samarbejde mellem Kommissionen og medlemsstaterne, er Kommissionens rolle i behandlingen af personoplysninger via portalen begrænset. Det bør præciseres, at Kommissionen ikke har noget ansvar for indholdet af de sammenkoblede nationale databaser, der er gjort tilgængelige via portalen.
(7)
Europa-Parlamentet og Rådets forordning (EF) nr. 45/2001 (3) finder anvendelse på Kommissionens behandling af personoplysninger i portalen. Kommissionen er herved særlig ansvarlig for tilvejebringelse af IT-infrastrukturen til portalens funktioner, herunder sammenkoblingen af nationale databaser.
(8)
Formålet med behandlingen af personoplysninger skal som fastsat i forordning (EF) nr. 45/2001 udtrykkeligt angives. Kommissionen bør derfor kun behandle personoplysninger i portalen, hvis det sker for at skaffe adgang til sammenkoblede nationale databaser, der indeholder personoplysninger, for at levere interaktive tjenester, der giver brugerne mulighed for at kommunikere direkte med de relevante myndigheder i en anden medlemsstat, for at give adgang til offentlig information rettet mod registrerede brugere eller for at give kontaktoplysninger.
(9)
Kommissionen bør inkorporere teknologier, der afspejler begrebet »indbygget databeskyttelse«, i systemet. Ved gennemførelsen af dette begreb bør der på udformningsstadiet gennemføres en konsekvensanalyse af beskyttelsen af privatlivets fred og af personlige oplysninger i relation til den funktion, der er forbundet med behandlingen af personlige oplysninger via portalen, såvel som i relation til andre funktioner. Denne analyse vil identificere de mulige risici for databeskyttelsen. Den vil også fastlægge de relevante foranstaltninger og forholdsregler, der skal inkorporeres i systemet for at beskytte personoplysninger.
(10)
Kommissionen bør foretage løbende og passende sikkerhedsvurderinger, i det omfang der udføres tiltag vedrørende sammenkoblingen af nationale databaser.
(11)
Kun offentligt tilgængelige oplysninger i de sammenkoblede nationale databaser kan findes via portalen. Det bør ikke være muligt at kombinere oplysninger fra forskellige sammenkoblede nationale databaser til forskellige formål via portalen -
VEDTAGET DENNE AFGØRELSE:
Artikel 1
Genstand
I denne afgørelse fastlægges Europa-Kommissionens funktioner og ansvarsområder i relation til nødvendigheden af databeskyttelse under behandlingen af personoplysninger i den europæiske portal e-justice (i det følgende benævnt »portalen«).
Artikel 2
Definitioner
Ved anvendelsen af denne forordning finder definitionerne i forordning (EF) nr. 45/2001 anvendelse. Desuden forstås ved:
a) »Europæisk e-justice aktør«: enhver repræsentant for en medlemsstat eller en europæisk e-justice partnerorganisation, der har fået tilladelse til at ændre (dele af) indholdet af portalen
b) »sammenkoblede nationale databaser«: databaser med offentligt tilgængelige oplysninger, der drives af medlemsstaterne og andre organer såsom faglige organisationer og nonprofitorganisationer, og som er sammenkoblet via portalen på en sådan måde, at de disponible oplysninger på nationalt plan kan findes via portalen
c) »offentlig tilgængelig information«: oplysninger, der gøres tilgængelig for offentligheden via internettet
d) »registreret bruger«: en bruger af portalen, som er registreret til portalen via Europa-Kommissionens autentificeringstjeneste (ECAS), såsom en »europæisk e-justice aktør«.
Artikel 3
Databehandling
Kommissionen behandler kun personoplysninger i portalen i det omfang, det er nødvendigt med henblik på:
a)
at give adgang til sammenkoblede nationale databaser, der indeholder personoplysninger
b)
at stille interaktive tjenester til rådighed, som gør det muligt for registrerede brugere at kommunikere direkte med de relevante myndigheder i en anden medlemsstat
c)
at give adgang til offentlig information rettet mod registrerede brugere
d)
at stille kontaktoplysninger til rådighed.
Artikel 4
Den registeransvarliges ansvarsområder
1. Kommissionen udøver kompetencen som registeransvarlig i henhold til artikel 2, litra d), i forordning (EF) nr. 45/2001 i overensstemmelse med dens respektive ansvarsområder inden for rammerne af portalen som omhandlet i denne artikel.
2. Kommissionen sikrer tilgængeligheden, ajourføringen og sikkerheden af portalens it-infrastruktur.
3. Kommissionen er ansvarlig for følgende former for databehandling:
a)
Organisation
b)
videregivelse ved transmission
c)
formidling eller på anden måde stillen til rådighed
d)
tilpasning eller kombination af personlige oplysninger, der hidrører fra sammenkoblede nationale databaser, eller af personoplysninger om registrerede brugere.
4. Kommissionen fastlægger de nødvendige politikker og anvender passende tekniske løsninger for at opfylde sine forpligtelser inden for rammerne af funktionen som registeransvarlig.
5. Kommissionen gennemfører de tekniske foranstaltninger, der er nødvendige for at sikre beskyttelse af personoplysninger under overførslen og under visning på portalen, navnlig fortroligheden og autenticiteten af enhver overførsel til og fra portalen.
6. Kommissionen er ikke ansvarlig for nogen form for databeskyttelse vedrørende:
a)
Den indledende indsamling og opbevaring af enhver form for oplysninger hidrørende fra sammenkoblede nationale databaser
b)
enhver afgørelse, der træffes af medlemsstaterne for at gøre sådanne oplysninger tilgængelige via portalen
c)
indholdet af enhver form for oplysninger hidrørende fra sammenkoblede nationale databaser, der er gjort tilgængelige via portalen.
7. Kommissionens forpligtelser berører ikke medlemsstaternes og andre organers ansvar for indholdet og driften af de sammenkoblede nationale databaser, som drives af dem.
Artikel 5
Oplysningspligt
1. Kommissionen giver de registrerede de oplysninger, der er angivet i artikel 11 og 12 i forordning (EF) nr. 45/2001, for så vidt angår oplysninger, som Kommissionen er ansvarlig for efter denne afgørelse.
2. Uanset de forpligtelser, der påhviler medlemsstaterne og andre organer, som driver de sammenkoblede nationale databaser, skal Kommissionen også give de registrerede oplysninger om, hvem de skal kontakte for effektivt at udøve deres ret til oplysninger, indsigt, berigtigelse og indsigelse i overensstemmelse med gældende databeskyttelseslovgivning. Kommissionen henviser til medlemsstaternes og andre organers specifikke databeskyttelseserklæringer.
3. Kommissionen stiller tillige følgende til rådighed på portalen:
a)
oversættelser til portalens sprog af medlemsstaternes databeskyttelseserklæringer som omhandlet i stk. 2;
b)
en fyldestgørende databeskyttelseserklæring vedrørende portalen som omhandlet i artikel 11 og 12 i forordning (EF) nr. 45/2001 i klar og forståelig form.
Artikel 6
Opbevaring af personoplysninger
1. For så vidt angår udveksling af oplysninger fra sammenkoblede nationale databaser må ingen personoplysninger vedrørende de registrerede opbevares i portalen. Alle sådanne oplysninger skal opbevares i de nationale databaser, som drives af medlemsstaterne eller af andre organer.
2. Personoplysninger, der vedrører brugerne af portalen, eller personoplysninger, der stilles til rådighed af brugerne, må ikke opbevares i portalen, bortset fra i tilfælde, hvor de pågældende har tilmeldt sig som registrerede brugere. Personoplysninger om registrerede brugere opbevares, indtil de anmoder om sletning af registreringen. Som fastsat i artikel 3 opbevares personoplysninger vedrørende europæiske e-justice aktører eller kontaktpunkter kun, så længe disse personer udfører deres funktion.
Artikel 7
Ikrafttræden
Denne afgørelse træder i kraft på tyvendedagen efter offentliggørelsen i Den Europæiske Unions Tidende.
Udfærdiget i Bruxelles, den 5. juni 2014.