KOMMISSIONENS AFGØRELSE
af 5. juni 2014
om beskyttelse af personoplysninger i den europæiske portal e-justice
(2014/333/EU)
EUROPA-KOMMISSIONEN HAR -
under henvisning til traktaten om Den Europæiske Unions funktionsmåde,
efter høring af Den Europæiske Tilsynsførende for Databeskyttelse og
ud fra følgende betragtninger:
(1)
I sin meddelelse af maj 2008 (1) erklærede Kommissionen, at den ville arbejde på at udforme og indføre portalen e-justice (herefter »portalen«), som den vil vedligeholde i nært samarbejde med medlemsstaterne.
(2)
Ved den flerårige handlingsplan for 2009-2013 (2) vedrørende europæisk e-justice af 8. november 2008 fik Kommissionen til opgave at etablere portalen. Portalen blev oprettet den 16. juli 2010. Det har ikke været nødvendigt at vedtage denne afgørelse tidligere, da portalen først nu er blevet klar til den første sammenkobling af nationale registre, der indebærer behandling af personoplysninger.
(3)
Portalens mål er at bidrage til opnåelsen af det europæiske retlige område ved at lette og forbedre adgangen til retssystemet og udnytte informations- og kommunikationsteknologien til at lette grænseoverskridende elektroniske retssager og retsligt samarbejde.
(4)
Såvel Den Europæiske Unions institutioner, organer, kontorer og agenturer som medlemsstaterne skal ved gennemførelsen af EU-retten respektere de grundlæggende rettigheder og overholde de principper, der er forankret i chartret om Den Europæiske Unions grundlæggende rettigheder, navnlig retten til beskyttelse af personoplysninger, der er fastsat i chartrets artikel 8.
(5)
Da Kommissionens og medlemsstaternes forskellige portalrelaterede opgaver og funktioner vil indebære forskellige ansvarsområder og forpligtelser med hensyn til databeskyttelse, er det vigtigt at afgrænse dem klart.
(6)
Henset til den særlige karakter af de aktiviteter, der er forbundet med portalen, som er udviklet i samarbejde mellem Kommissionen og medlemsstaterne, er Kommissionens rolle i behandlingen af personoplysninger via portalen begrænset. Det bør præciseres, at Kommissionen ikke har noget ansvar for indholdet af de sammenkoblede nationale databaser, der er gjort tilgængelige via portalen.
(7)
Europa-Parlamentet og Rådets forordning (EF) nr. 45/2001 (3) finder anvendelse på Kommissionens behandling af personoplysninger i portalen. Kommissionen er herved særlig ansvarlig for tilvejebringelse af IT-infrastrukturen til portalens funktioner, herunder sammenkoblingen af nationale databaser.
(8)
Formålet med behandlingen af personoplysninger skal som fastsat i forordning (EF) nr. 45/2001 udtrykkeligt angives. Kommissionen bør derfor kun behandle personoplysninger i portalen, hvis det sker for at skaffe adgang til sammenkoblede nationale databaser, der indeholder personoplysninger, for at levere interaktive tjenester, der giver brugerne mulighed for at kommunikere direkte med de relevante myndigheder i en anden medlemsstat, for at give adgang til offentlig information rettet mod registrerede brugere eller for at give kontaktoplysninger.
(9)
Kommissionen bør inkorporere teknologier, der afspejler begrebet »indbygget databeskyttelse«, i systemet. Ved gennemførelsen af dette begreb bør der på udformningsstadiet gennemføres en konsekvensanalyse af beskyttelsen af privatlivets fred og af personlige oplysninger i relation til den funktion, der er forbundet med behandlingen af personlige oplysninger via portalen, såvel som i relation til andre funktioner. Denne analyse vil identificere de mulige risici for databeskyttelsen. Den vil også fastlægge de relevante foranstaltninger og forholdsregler, der skal inkorporeres i systemet for at beskytte personoplysninger.
(10)
Kommissionen bør foretage løbende og passende sikkerhedsvurderinger, i det omfang der udføres tiltag vedrørende sammenkoblingen af nationale databaser.
(11)
Kun offentligt tilgængelige oplysninger i de sammenkoblede nationale databaser kan findes via portalen. Det bør ikke være muligt at kombinere oplysninger fra forskellige sammenkoblede nationale databaser til forskellige formål via portalen -
VEDTAGET DENNE AFGØRELSE:
Artikel 1
Genstand
I denne afgørelse fastlægges Europa-Kommissionens funktioner og ansvarsområder i relation til nødvendigheden af databeskyttelse under behandlingen af personoplysninger i den europæiske portal e-justice (i det følgende benævnt »portalen«).
Artikel 2
Definitioner
Ved anvendelsen af denne forordning finder definitionerne i forordning (EF) nr. 45/2001 anvendelse. Desuden forstås ved:
a) »Europæisk e-justice aktør«: enhver repræsentant for en medlemsstat eller en europæisk e-justice partnerorganisation, der har fået tilladelse til at ændre (dele af) indholdet af portalen
b) »sammenkoblede nationale databaser«: databaser med offentligt tilgængelige oplysninger, der drives af medlemsstaterne og andre organer såsom faglige organisationer og nonprofitorganisationer, og som er sammenkoblet via portalen på en sådan måde, at de disponible oplysninger på nationalt plan kan findes via portalen
c) »offentlig tilgængelig information«: oplysninger, der gøres tilgængelig for offentligheden via internettet
d) »registreret bruger«: en bruger af portalen, som er registreret til portalen via Europa-Kommissionens autentificeringstjeneste (ECAS), såsom en »europæisk e-justice aktør«.
Artikel 3
Databehandling
Kommissionen behandler kun personoplysninger i portalen i det omfang, det er nødvendigt med henblik på:
a)
at give adgang til sammenkoblede nationale databaser, der indeholder personoplysninger
b)
at stille interaktive tjenester til rådighed, som gør det muligt for registrerede brugere at kommunikere direkte med de relevante myndigheder i en anden medlemsstat
c)
at give adgang til offentlig information rettet mod registrerede brugere
d)
at stille kontaktoplysninger til rådighed.
Artikel 4
Den registeransvarliges ansvarsområder
1. Kommissionen udøver kompetencen som registeransvarlig i henhold til artikel 2, litra d), i forordning (EF) nr. 45/2001 i overensstemmelse med dens respektive ansvarsområder inden for rammerne af portalen som omhandlet i denne artikel.
2. Kommissionen sikrer tilgængeligheden, ajourføringen og sikkerheden af portalens it-infrastruktur.
3. Kommissionen er ansvarlig for følgende former for databehandling:
a)
Organisation
b)
videregivelse ved transmission
c)
formidling eller på anden måde stillen til rådighed
d)
tilpasning eller kombination af personlige oplysninger, der hidrører fra sammenkoblede nationale databaser, eller af personoplysninger om registrerede brugere.
4. Kommissionen fastlægger de nødvendige politikker og anvender passende tekniske løsninger for at opfylde sine forpligtelser inden for rammerne af funktionen som registeransvarlig.
5. Kommissionen gennemfører de tekniske foranstaltninger, der er nødvendige for at sikre beskyttelse af personoplysninger under overførslen og under visning på portalen, navnlig fortroligheden og autenticiteten af enhver overførsel til og fra portalen.
6. Kommissionen er ikke ansvarlig for nogen form for databeskyttelse vedrørende:
a)
Den indledende indsamling og opbevaring af enhver form for oplysninger hidrørende fra sammenkoblede nationale databaser
b)
enhver afgørelse, der træffes af medlemsstaterne for at gøre sådanne oplysninger tilgængelige via portalen
c)
indholdet af enhver form for oplysninger hidrørende fra sammenkoblede nationale databaser, der er gjort tilgængelige via portalen.
7. Kommissionens forpligtelser berører ikke medlemsstaternes og andre organers ansvar for indholdet og driften af de sammenkoblede nationale databaser, som drives af dem.
Artikel 5
Oplysningspligt
1. Kommissionen giver de registrerede de oplysninger, der er angivet i artikel 11 og 12 i forordning (EF) nr. 45/2001, for så vidt angår oplysninger, som Kommissionen er ansvarlig for efter denne afgørelse.
2. Uanset de forpligtelser, der påhviler medlemsstaterne og andre organer, som driver de sammenkoblede nationale databaser, skal Kommissionen også give de registrerede oplysninger om, hvem de skal kontakte for effektivt at udøve deres ret til oplysninger, indsigt, berigtigelse og indsigelse i overensstemmelse med gældende databeskyttelseslovgivning. Kommissionen henviser til medlemsstaternes og andre organers specifikke databeskyttelseserklæringer.
3. Kommissionen stiller tillige følgende til rådighed på portalen:
a)
oversættelser til portalens sprog af medlemsstaternes databeskyttelseserklæringer som omhandlet i stk. 2;
b)
en fyldestgørende databeskyttelseserklæring vedrørende portalen som omhandlet i artikel 11 og 12 i forordning (EF) nr. 45/2001 i klar og forståelig form.
Artikel 6
Opbevaring af personoplysninger
1. For så vidt angår udveksling af oplysninger fra sammenkoblede nationale databaser må ingen personoplysninger vedrørende de registrerede opbevares i portalen. Alle sådanne oplysninger skal opbevares i de nationale databaser, som drives af medlemsstaterne eller af andre organer.
2. Personoplysninger, der vedrører brugerne af portalen, eller personoplysninger, der stilles til rådighed af brugerne, må ikke opbevares i portalen, bortset fra i tilfælde, hvor de pågældende har tilmeldt sig som registrerede brugere. Personoplysninger om registrerede brugere opbevares, indtil de anmoder om sletning af registreringen. Som fastsat i artikel 3 opbevares personoplysninger vedrørende europæiske e-justice aktører eller kontaktpunkter kun, så længe disse personer udfører deres funktion.
Artikel 7
Ikrafttræden
Denne afgørelse træder i kraft på tyvendedagen efter offentliggørelsen i Den Europæiske Unions Tidende.
Udfærdiget i Bruxelles, den 5. juni 2014.
KOMISSION PÄÄTÖS,
annettu 5 päivänä kesäkuuta 2014,
henkilötietojen suojasta Euroopan oikeusportaalissa
(2014/333/EU)
EUROOPAN KOMISSIO, joka
ottaa huomioon Euroopan unionin toiminnasta tehdyn sopimuksen,
on kuullut Euroopan tietosuojavaltuutettua,
sekä katsoo seuraavaa:
(1)
Komissio ilmoitti toukokuussa 2008 antamassaan tiedonannossa (1) aikovansa suunnitella ja ottaa käyttöön Euroopan sähköisen oikeudenkäytön portaalin, jäljempänä ’portaali’, jota se hallinnoi tiiviissä yhteistyössä jäsenvaltioiden kanssa.
(2)
Euroopan sähköisen oikeuden monivuotisessa toimintaohjelmassa 2009-2013 (2), joka hyväksyttiin 8 päivänä marraskuuta 2008, annettiin portaalin toteuttaminen Euroopan komission tehtäväksi. Portaali avattiin 16 päivänä heinäkuuta 2010. Tämän päätöksen hyväksyminen on vihdoin tullut ajankohtaiseksi, koska portaali on vasta nyt valmis ensimmäiseen henkilötietojen käsittelyä edellyttävien kansallisten rekisterien yhteenliittämiseen.
(3)
Portaalin tavoitteena on edistää Euroopan oikeusalueen toteuttamista helpottamalla ja parantamalla oikeussuojan saatavuutta ja hyödyntämällä tieto- ja viestintätekniikkaa valtioiden rajat ylittävien sähköisten oikeudenkäyntimenettelyjen ja oikeudellisen yhteistyön helpottamiseksi.
(4)
Euroopan unionin toimielinten, elinten ja laitosten sekä jäsenvaltioiden, kun ne soveltavat unionin oikeutta, on kunnioitettava perusoikeuksia ja noudatettava Euroopan unionin perusoikeuskirjassa tunnustettuja periaatteita, erityisesti oikeutta perusoikeuskirjan 8 artiklan mukaiseen henkilötietojen suojaan.
(5)
Koska portaaliin liittyviin komission ja jäsenvaltioiden tehtäviin ja toimiin kuuluu erilaisia tietosuojaan liittyviä vastuualueita ja velvoitteita, on välttämätöntä rajata ne selkeästi.
(6)
Komissio ja jäsenvaltiot ovat luoneet Euroopan sähköisen oikeudenkäytön portaalin yhteistyössä. Portaaliin liittyvien toimintojen erityisluonteen vuoksi komissio käsittelee henkilötietoja portaalin kautta vain rajoitetusti. On syytä täsmentää, että komissio ei vastaa portaalin kautta saatavilla olevasta yhteenliitettyjen kansallisten tietokantojen sisällöstä.
(7)
Euroopan parlamentin ja neuvoston asetusta (EY) N:o 45/2001 (3) sovelletaan komission portaalissa suorittamaan henkilötietojen käsittelyyn. Tältä osin komissio vastaa erityisesti portaalin toimintoja varten tarvittavan tietotekniikkainfrastruktuurin tarjoamisesta ja sen yhteydessä kansallisten tietokantojen yhteenliittämisestä.
(8)
Asetuksen (EY) N:o 45/2001 mukaisesti henkilötietojen käsittelyn tarkoitus olisi määriteltävä nimenomaisesti. Sen vuoksi komission olisi käsiteltävä henkilötietoja portaalissa ainoastaan siltä osin kuin käsittelyn tarkoituksena on mahdollistaa pääsy henkilötietoja sisältäviin yhteenliitettyihin kansallisiin tietokantoihin, tarjota vuorovaikutteisia palveluja, joiden avulla käyttäjät voivat olla suoraan yhteydessä toisen jäsenvaltion viranomaisiin, mahdollistaa tutustuminen rekisteröidyille käyttäjille tarkoitettuihin julkisiin tietoihin tai antaa yhteystietoja.
(9)
Komission olisi sisällytettävä järjestelmään tekniikoita, jotka perustuvat niin sanotun sisäänrakennetun tietosuojan periaatteeseen. Tämän periaatteen toteuttamiseksi olisi suoritettava yksityisyydensuojaa ja tietosuojaa koskeva vaikutusten arviointi portaalin kautta tehtävää henkilötietojen käsittelyä koskevan toiminnon sekä portaalin muiden toimintojen suunnitteluvaiheessa. Arvioinnissa kartoitetaan mahdolliset tietosuojaan liittyvät riskit. Lisäksi siinä määritellään asianmukaiset toimenpiteet ja suojatoimet, jotka on sisällytettävä henkilötietojen suojajärjestelmään.
(10)
Komission olisi toteutettava jatkuvasti asianmukaisia turvallisuusarviointeja sitä mukaa kuin kansallisten tietokantojen yhteenliittämistyö etenee.
(11)
Portaalin kautta pääsee tutustumaan ainoastaan sellaisiin yhteenliitetyissä kansallisissa tietokannoissa oleviin tietoihin, jotka ovat julkisesti saatavilla. Portaalin kautta ei pitäisi olla mahdollista yhdistää yhteenliitetyistä kansallisista tietokannoista saatuja tietoja eri tarkoituksiin,
ON HYVÄKSYNYT TÄMÄN PÄÄTÖKSEN:
1 artikla
Kohde
Tässä päätöksessä vahvistetaan tietosuojavaatimuksiin liittyvät Euroopan komission tehtävät ja velvollisuudet sen käsitellessä henkilötietoja Euroopan sähköisen oikeudenkäytön portaalissa, jäljempänä ’portaali’.
2 artikla
Määritelmät
Tässä päätöksessä sovelletaan asetuksessa (EY) N:o 45/2001 vahvistettuja määritelmiä. Lisäksi sovelletaan seuraavia määritelmiä:
a)
’Euroopan sähköisen oikeudenkäytön toimijalla’ tarkoitetaan jäsenvaltion tai Euroopan sähköisen oikeudenkäytön kumppaniorganisaation edustajaa, jolle on myönnetty lupa (osittain) muuttaa portaalin sisältöä;
b)
’yhteenliitetyillä kansallisilla tietokannoilla’ tarkoitetaan julkisesti saatavilla olevia tietoja sisältäviä tietokantoja, joita ylläpitävät jäsenvaltiot ja muut elimet, kuten ammattialan järjestöt tai voittoa tavoittelemattomat järjestöt, jotka ovat yhteenliitettyinä portaalin välityksellä siten, että kansallisella tasolla saatavilla oleviin tietoihin on mahdollista tutustua portaalin kautta;
c)
’julkisesti saatavilla olevalla tiedolla’ tarkoitetaan tietoa, joka on yleisön saatavilla internetin kautta;
d)
’rekisteröidyllä käyttäjällä’ tarkoitetaan portaalin käyttäjää, esimerkiksi Euroopan sähköisen oikeudenkäytön toimijaa, joka on rekisteröitynyt portaaliin Euroopan komission todennuspalvelun (ECAS) välityksellä.
3 artikla
Tietojenkäsittely
Komissio käsittelee henkilötietoja portaalissa vain siltä osin kuin se on välttämätöntä
a)
pääsyn myöntämiseksi henkilötietoja sisältäviin yhteenliitettyihin kansallisiin tietokantoihin;
b)
sellaisten vuorovaikutteisten palvelujen tarjoamiseksi, joiden avulla rekisteröidyt käyttäjät voivat olla suoraan yhteydessä toisen jäsenvaltion asianomaisiin viranomaisiin;
c)
pääsyn myöntämiseksi sellaisiin julkisiin tietoihin, jotka on tarkoitettu rekisteröidyille käyttäjille;
d)
yhteystietojen antamista varten.
4 artikla
Rekisterinpitäjän tehtävät
1. Komissio toimii asetuksen (EY) N:o 45/2001 2 artiklan d alakohdan nojalla rekisterinpitäjänä sille tässä artiklassa säädettyjen, portaaliin liittyvien tehtävien mukaisesti.
2. Komissio huolehtii portaalin tietotekniikkainfrastruktuurin saatavuudesta, ylläpidosta ja tietoturvasta.
3. Komissio vastaa seuraavista yhteenliitetyistä kansallisista tietokannoista saatujen tai rekisteröityneitä käyttäjiä koskevien henkilötietojen käsittelytoimista:
a)
järjestäminen;
b)
luovuttaminen siirtämällä;
c)
levittäminen tai asettaminen muutoin saataville;
d)
yhteensovittaminen tai yhdistäminen.
4. Komissio määrittelee tarvittavat toimintatavat ja toteuttaa asianmukaiset tekniset ratkaisut, jotta se voi hoitaa tehtävänsä rekisterinpitäjänä.
5. Komissio toteuttaa tarvittavat tekniset toimenpiteet tietoturvan varmistamiseksi henkilötietojen siirtämisen ja niiden portaalissa näyttämisen aikana ja erityisesti henkilötietojen luottamuksellisuuden ja eheyden varmistamiseksi silloin, kun niitä siirretään portaaliin tai sieltä pois.
6. Komissio ei vastaa seuraavista tietosuojanäkökohdista:
a)
yhteenliitetyistä kansallisista tietokannoista saatujen tietojen ensimmäinen kerääminen ja tallentaminen;
b)
jäsenvaltioiden päätökset tällaisten tietojen asettamisesta saataville portaalin kautta;
c)
yhteenliitetyistä kansallisista tietokannoista saatujen ja portaalin kautta saataville asetettujen tietojen sisältö.
7. Komission velvollisuudet eivät vaikuta tehtäviin, joita jäsenvaltioilla tai muilla elimillä on ylläpitämiensä yhteenliitettyjen kansallisten tietokantojen sisällön ja toiminnan suhteen.
5 artikla
Velvollisuus antaa tietoja
1. Komissio antaa rekisteröidyille asetuksen (EY) N:o 45/2001 11 ja 12 artiklassa tarkoitetut tiedot siltä osin kuin on kyse tiedoista, joista komissio on tämän päätöksen nojalla vastuussa.
2. Sen estämättä, mitä säädetään jäsenvaltioiden ja muiden yhteenliitettyjä kansallisia tietokantoja hoitavien elinten velvollisuuksista rekisteröityjä kohtaan, komissio antaa rekisteröidyille tietoja siitä, mihin heidän on otettava yhteyttä voidakseen tosiasiallisesti käyttää tiedonsaantioikeuttaan sekä oikeuttaan oikaista henkilötietonsa ja vastustaa niiden käsittelyä sovellettavan tietosuojalainsäädännön mukaisesti. Komissio noudattaa jäsenvaltioiden ja muiden elinten tietosuojaselosteita.
3. Komissio asettaa saataville portaaliin myös
a)
käännökset portaalin kielille 2 kohdassa tarkoitetuista jäsenvaltioiden tietosuojaselosteista;
b)
asetuksen (EY) N:o 45/2001 11 ja 12 artiklan mukaisen, portaaliin liittyvän kattavan, selkeässä ja ymmärrettävässä muodossa laaditun tietosuojaselosteen.
6 artikla
Henkilötietojen tallentaminen
1. Portaaliin ei saa tallentaa rekisteröityjen henkilötietoja, jotka on saatu yhteenliitetyissä kansallisissa tietokannoissa olevien tietojen vaihdon tuloksena. Kaikki tällaiset tiedot on tallennettava jäsenvaltioiden tai muiden elinten hoitamiin kansallisiin tietokantoihin.
2. Portaalin käyttäjiä koskevia tai heidän antamiaan henkilötietoja ei saa tallentaa portaaliin, elleivät he ole rekisteröityneet sen käyttäjiksi. Rekisteröityneiden käyttäjien henkilötiedot säilytetään, kunnes he pyytävät rekisteröintinsä poistamista. Edellä olevan 3 artiklan mukaisesti Euroopan sähköisen oikeudenkäytön toimijoiden ja yhteysviranomaisten henkilötietoja säilytetään vain niin kauan kuin asianomaiset henkilöt toimivat näissä tehtävissä.
7 artikla
Voimaantulopäivä
Tämä päätös tulee voimaan kahdentenakymmenentenä päivänä sen jälkeen, kun se on julkaistu Euroopan unionin virallisessa lehdessä.
Tehty Brysselissä 5 päivänä kesäkuuta 2014.