РЕШЕНИЕ НА КОМИСИЯТА
от 5 юни 2014 година
относно защитата на личните данни в Европейския портал за електронно правосъдие
(2014/333/ЕС)
ЕВРОПЕЙСКАТА КОМИСИЯ,
като взе предвид Договора за функционирането на Европейския съюз,
след консултация с Европейския надзорен орган по защита на данните,
като има предвид, че:
(1)
В съобщението си от май 2008 г. (1) Комисията заяви, че ще проектира и създаде Европейски портал за електронно правосъдие (оттук нататък „порталът“), който ще се управлява в тясно сътрудничество с държавите членки.
(2)
Многогодишният план за действие в областта на европейското електронно правосъдие за периода 2009-2013 г. (2) от 8 ноември 2008 г. възложи на Европейската комисия създаването на портала. Порталът стартира на 16 юли 2010 г. Приемането на настоящото решение се налага в този момент, тъй като едва сега порталът е готов за първото свързване на националните регистри, включващо обработка на лични данни.
(3)
Порталът има за цел да допринесе за създаването на европейското съдебно пространство чрез улесняване и подобряване на достъпа до правосъдие, както и чрез използване на информационните и комуникационните технологии за улесняване на трансграничните електронни съдебни производства и на съдебното сътрудничество.
(4)
Институциите, органите, службите и агенциите на Европейския съюз, както и държавите членки, когато прилагат правото на Съюза, трябва да зачитат основните права и да спазват принципите, признати от Хартата на основните права на Европейския съюз, и по-специално правото на защита на личните данни, посочено в член 8 от тази Харта.
(5)
Тъй като различните задачи и функции на Комисията и на държавите членки, които са свързани с портала, ще доведат до различни отговорности и задължения по отношение на защитата на данни, е от съществено значение те да бъдат ясно определени.
(6)
В съответствие със специфичния характер на дейностите, свързани с портала за електронно правосъдие, разработени в сътрудничество между Комисията и държавите членки, ролята на Комисията при обработването на лични данни чрез портала е ограничена. Следва да се поясни, че Комисията не носи отговорност за портала е ограничена. Следва да се поясни, че Комисията не носи отговорност за съдържанието на взаимосвързаните национални бази данни, достъпни посредством портала.
(7)
Регламент (ЕО) № 45/2001 на Европейския парламент и на Съвета (3) се прилага към обработването на лични данни от Комисията в портала. В този контекст Комисията отговаря по-конкретно за предоставянето на ИТ инфраструктура за функционирането на портала, както и за взаимното свързване на националните бази данни.
(8)
Съгласно Регламент (ЕО) № 45/2001 целите на обработването на личните данни следва да бъдат изрично посочени. Поради това обработването на лични данни от Комисията в портала следва да се осъществява само ако е насочено към осигуряване на достъп до взаимосвързани национални бази данни, притежаващи лични данни, предоставяне на интерактивни услуги, позволяващи на потребителите да общуват пряко с компетентните органи на друга държава членка, предоставяне на достъп до публична информация, насочена към регистрираните потребители, или предоставяне на данни за контакт.
(9)
Комисията трябва да въведе технологии в системата, които да отразяват концепцията за „защита на данните още при проектирането“. За прилагането на тази концепция оценката на въздействието върху защитата на данните и неприкосновеността на личния живот трябва да се извърши още по време на програмирането на функцията, свързана с обработката на лични данни чрез портала, както и програмирането на други функционални възможности. Тази оценка ще определи потенциалните рискове за защитата на данните. В нея също така ще се определят подходящите мерки и механизми, които да бъдат включени в системата, за да се защитят личните данни.
(10)
Комисията следва да извършва непрекъснати и подходящи оценки на сигурността, доколкото се извършва работа, свързана с взаимното свързване на националните бази данни.
(11)
Чрез портала може да бъде получен достъп само до публично достъпната информация във взаимосвързаните национални бази данни. Посредством портала не трябва да се дава възможност за комбиниране на информация от различни взаимосвързани национални бази данни за различни цели,
ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:
Член 1
Предмет
Настоящото решение определя функциите и отговорностите на Европейската комисия относно изискванията за защита на данните при обработването на лични данни в Европейския портал за електронно правосъдие (наричан по-долу „порталът“).
Член 2
Определения
За целите на настоящото решение се прилагат определенията, посочени в Регламент (ЕО) № 45/2001. В допълнение се прилагат и следните определения:
а)
„участник в европейското електронно правосъдие“ означава всеки представител на държава членка или на организация партньор в европейското електронно правосъдие, който е получил разрешение да изменя (части от) съдържанието на портала;
б)
„взаимосвързани национални бази данни“ означава управлявани от държавите членки и други органи, като например професионални сдружения и организации с нестопанска цел, бази данни, съдържащи публично достъпна информация, които са свързани чрез портала по такъв начин, че чрез него се осигурява достъп до информацията, която е на разположение на национално равнище;
в)
„публично достъпна информация“ означава информация, достъпна за обществеността чрез интернет;
г)
„регистриран потребител“ означава потребител на портала, който се е регистрирал в него посредством Системата на Европейската комисия за автентификация (ECAS) като „участник в европейското електронно правосъдие“.
Член 3
Обработка на данните
Комисията обработва лични данни в портала само доколкото това е необходимо за целите на:
а)
предоставяне на достъп до взаимосвързани национални бази данни, притежаващи лични данни;
б)
предоставяне на интерактивни услуги, които позволяват на регистрираните потребители да се свържат пряко с компетентните органи в друга държава членка;
в)
предоставяне на достъп до публична информация, насочена към регистрираните потребители;
г)
предоставяне на информация за контакт.
Член 4
Отговорности на администратора на лични данни
1. Комисията изпълнява функциите на администратор на лични данни по смисъла на член 2, буква г) от Регламент (ЕО) № 45/2001, в съответствие със съответните си отговорности в рамките на портала, както е посочено в настоящия член.
2. Комисията осигурява достъпността, поддръжката и сигурността на инфраструктурата на информационните технологии на портала.
3. Комисията отговаря за следните операции по обработване:
а)
организация;
б)
разкриване чрез предаване;
в)
разпространяване или друга форма на предоставяне на данните;
г)
подравняване или комбиниране на личните данни, извлечени от взаимосвързани национални бази данни, или на лични данни на регистрирани потребители.
4. Комисията определя необходимите политики и прилага подходящите технически решения, за да изпълни отговорностите си на администратор на данни.
5. Комисията изпълнява техническите мерки, необходими за гарантиране на сигурността на личните данни при преминаването им и по време на представянето им в портала, и по-специално на поверителността и целостта на всяко предаване от и към портала.
6. Комисията не носи отговорност за аспекти, свързани със защитата на данните, отнасящи се до:
а)
първоначалното събиране и съхранение на данни, извлечени от взаимосвързаните национални бази данни;
б)
всяко решение, взето от държавите членки да направят тези данни достъпни чрез портала;
в)
съдържанието на всички данни, извлечени от взаимосвързаните национални бази данни, достъпни посредством портала.
7. Задълженията на Комисията не засягат отговорностите на държавите членки и другите органи по отношение на съдържанието и функционирането на взаимосвързаните национални бази данни, управлявани от тях.
Член 5
Задължения за предоставяне на информация
1. Комисията предоставя на субектите на данни информацията, посочена в членове 11 и 12 от Регламент (ЕО) № 45/2001 по отношение на информацията, за която Комисията носи отговорност съгласно настоящото решение.
2. Независимо от задълженията на държавите членки и другите органи, управляващи взаимосвързаните национални бази данни, към субектите на данните Комисията също предоставя на тези субекти информация относно това към кого могат да се обърнат за ефективното упражняване на правата си на информация, достъп, коригиране и възражение съгласно приложимото законодателство за защита на данните. Комисията се позовава на конкретни декларации за поверителност на държавите членки и другите органи.
3. Комисията също предоставя на разположение в портала:
а)
превод на езиците на портала на декларациите за поверителност на държавите членки, посочени в параграф 2;
б)
ясна и разбираема изчерпателна декларация за поверителност във връзка с портала в съответствие с членове 11 и 12 от Регламент (EО) № 45/2001.
Член 6
Съхраняване на лични данни
1. По отношение на обмена на информация между взаимосвързаните национални бази данни, лични данни, свързани със субектите на данните, не се съхраняват в портала. Всички такива данни се съхраняват в националните бази данни, управлявани от държавите членки или от други органи.
2. Личните данни, отнасящи се до или предоставени от потребители на портала, не се съхраняват в портала, освен в случаите, когато те вече са се записали като регистрирани потребители. Личните данни на регистрираните потребители се съхраняват, докато те отправят искане за заличаване на регистрацията си. В съответствие с член 3 личните данни на участниците в европейското електронно правосъдие или звената за контакт ще бъдат съхранявани само докато тези лица изпълняват своята функция.
Член 7
Дата на влизане в сила
Настоящото решение влиза в сила на 20-ия ден след публикуването му в Официален вестник на Европейския съюз.
Съставено в Брюксел на 5 юни 2014 година.
KOMISIJAS LĒMUMS
(2014. gada 5. jūnijs)
par personas datu aizsardzību Eiropas e-tiesiskuma portālā
(2014/333/ES)
EIROPAS KOMISIJA,
ņemot vērā Līgumu par Eiropas Savienības darbību,
pēc apspriešanās ar Eiropas Datu aizsardzības uzraudzītāju,
tā kā:
(1)
Komisija savā 2008. gada maija paziņojumā (1) norādīja, ka tā izstrādās un izveidos Eiropas e-tiesiskuma portālu (turpmāk “portāls”), ko pārvalda ciešā sadarbībā ar dalībvalstīm.
(2)
2008. gada 8. novembra Eiropas daudzgadu e-tiesiskuma rīcības plānā 2009.-2013. gadam (2) Eiropas Komisijai ir uzticēts uzdevums īstenot portālu. Portāla darbība tika uzsākta 2010. gada 16. jūlijā. Nepieciešamība pieņemt šo lēmumu radās tikai tagad, jo portāls nu tikai ir gatavs valstu reģistru pirmajai savstarpējai savienošanai, kas saistīta arī ar personas datu apstrādi.
(3)
Portāla mērķis ir veicināt Eiropas tiesiskās telpas izveidi, atvieglojot un uzlabojot tiesu pieejamību un iesaistot informācijas un komunikācijas tehnoloģijas ar mērķi veicināt pārrobežu elektronisko tiesvedību un tiesu iestāžu sadarbību.
(4)
Eiropas Savienības un tās dalībvalstu iestādēm, struktūrām, birojiem un aģentūrām, īstenojot Savienības tiesību aktus, ir jāievēro pamattiesības un principi, kas atzīti Eiropas Savienības Pamattiesību hartā, jo īpaši tiesības uz personas datu aizsardzību, kā noteikts minētās hartas 8. pantā.
(5)
Tā kā Komisijas un dalībvalstu dažādie ar portālu saistītie uzdevumi un funkcijas ietvers atšķirīgus pienākumus un saistības attiecībā uz datu aizsardzību, ir svarīgi tos nodalīt nepārprotami.
(6)
Saskaņā ar darbību, kas saistītas ar Eiropas e-tiesiskuma portālu, īpašo raksturu, un kas izstrādātas sadarbībā starp Komisiju un dalībvalstīm, Komisijas loma personas datu apstrādē, izmantojot portālu, ir ierobežota. Būtu jāprecizē, ka Komisija nav atbildīga par to savstarpēji savienoto valstu datubāzu saturu, kuras darītas pieejamas, izmantojot portālu.
(7)
Eiropas Parlamenta un Padomes Regula (EK) Nr. 45/2001 (3) attiecas uz personas datu apstrādi, ko portālā veic Komisija. Šajā kontekstā Komisija jo īpaši ir atbildīga par IT infrastruktūras nodrošināšanu portāla darbībai, tostarp par valstu datubāzu savstarpēju savienošanu.
(8)
Saskaņā ar Regulu (EK) Nr. 45/2001 būtu skaidri jānorāda personas datu apstrādes mērķi. Tāpēc personas datu apstrādei, ko Komisija veic portālā, būtu jānotiek tikai tad, ja tas tiek darīts, lai nodrošinātu piekļuvi savstarpēji savienotām valstu datubāzēm, kurās iekļauti personas dati, sniegtu interaktīvus pakalpojumus, kas ļauj lietotājiem tieši sazināties ar citas dalībvalsts attiecīgajām iestādēm, nodrošinātu piekļuvi publiskai informācijai, kas paredzēta reģistrētiem lietotājiem, vai lai sniegtu kontaktinformāciju.
(9)
Komisijai būtu jāiekļauj sistēmā tehnoloģijas, kas atspoguļo koncepciju “integrēta datu aizsardzība”. Ieviešot šo koncepciju, to darbību, kas saistītas ar personas datu apstrādi portālā, kā arī citu portāla darbību izstrādes posmā būtu jāveic privātuma un datu aizsardzības ietekmes novērtējums. Minētajā novērtējumā tiks identificēti iespējamie riski saistībā ar datu aizsardzību. Tāpat tajā tiks noteikti arī attiecīgie pasākumi un aizsardzības pasākumi, kas jāiekļauj personas datu aizsardzības sistēmā.
(10)
Komisijai būtu jāveic nepārtraukti un piemēroti drošības novērtējumi, ja tiek veikti darbi saistībā ar valstu datubāzu savstarpēju savienošanu.
(11)
Ar portāla starpniecību var piekļūt tikai publiski pieejamai informācijai savstarpēji savienotās valstu datubāzēs. Nedrīkstētu pastāvēt iespēja ar portāla starpniecību atšķirīgiem mērķiem kombinēt informāciju no dažādām savstarpēji savienotām valstu datubāzēm,
IR PIEŅĒMUSI ŠO LĒMUMU.
1. pants
Priekšmets
Šis lēmums nosaka Eiropas Komisijas funkcijas un pienākumus attiecībā uz datu aizsardzības prasībām, apstrādājot personas datus Eiropas e-tiesiskuma portālā (turpmāk “portāls”).
2. pants
Definīcijas
Šajā lēmumā piemēro Regulā (EK) Nr. 45/2001 noteiktās definīcijas. Papildus piemēro arī šādas definīcijas:
a)
“Eiropas e-tiesiskuma portāla dalībnieks” ir dalībvalsts vai Eiropas e-tiesiskuma portāla partnerorganizācija, kam piešķirta atļauja grozīt portāla (vai tā daļu) saturu;
b)
“savstarpēji savienotas valstu datubāzes” ir datubāzes ar publiski pieejamu informāciju, kuras uztur dalībvalstis un citas struktūras, piemēram, profesionālās apvienības un bezpeļņas organizācijas, un kuras ir savienotas ar portāla starpniecību tādā veidā, ka valstu līmenī pieejamajai informācijai var piekļūt, izmantojot portālu;
c)
“publiski pieejama informācija” ir informācija, kas ir publiski pieejama internetā;
d)
“reģistrēts lietotājs” ir portāla lietotājs, kas ir reģistrējies portālā, izmantojot Eiropas Komisijas autentificēšanas sistēmu (ECAS), piemēram, “Eiropas e-tiesiskuma dalībnieks”.
3. pants
Datu apstrāde
Komisija portālā apstrādā personas datus tikai tādā apmērā, ciktāl tas ir nepieciešams šādiem mērķiem:
a)
nodrošināt piekļuvi savstarpēji savienotām valstu datubāzēm, kurās ir personas dati;
b)
sniegt interaktīvus pakalpojumus, kas ļauj reģistrētiem lietotājiem tieši sazināties ar attiecīgajām iestādēm citā dalībvalstī;
c)
nodrošināt piekļuvi publiskai informācijai, kas paredzēta reģistrētiem lietotājiem;
d)
sniegt kontaktinformāciju.
4. pants
Par datu apstrādi atbildīgās personas pienākumi
1. Komisija pilda par datu apstrādi atbildīgās personas pienākumus, kas noteikti Regulas (EK) Nr. 45/2001 2. panta d) punktā, saskaņā ar tās attiecīgajiem pienākumiem portālā, kā minēts šajā pantā.
2. Komisija nodrošina portāla IT infrastruktūras pieejamību, uzturēšanu un drošību.
3. Komisija ir atbildīga par šādām apstrādes darbībām:
a)
organizācija;
b)
izpaušana pārraidot;
c)
izplatīšana vai pieejamības nodrošināšana citā veidā;
d)
saskaņošana vai kombinēšana.
4. Komisija nosaka nepieciešamo politiku un piemēro atbilstīgus tehniskos risinājumus, lai izpildītu savus pienākumus atbilstoši par personas datu apstrādi atbildīgās personas funkcijām.
5. Komisija īsteno tehniskos pasākumus, kas vajadzīgi, lai nodrošinātu personas datu drošību to pārsūtīšanas un atrašanās portālā laikā, jo īpaši konfidencialitāti un integritāti ikvienā gadījumā, kad datus pārsūta uz Eiropas e-tiesiskuma portālu un no tā.
6. Komisija nav atbildīga par datu aizsardzības aspektiem, kas attiecas uz:
a)
jebkādu to datu sākotnējo vākšanu un glabāšanu, kuri iegūti no savstarpēji savienotām valstu datubāzēm;
b)
jebkuru lēmumu, ko pieņem dalībvalstis, lai šādus datus darītu pieejamus portālā;
c)
jebkuru to datu saturu, kuri iegūti no savstarpēji savienotām valstu datubāzēm, kas darītas pieejamas, izmantojot portālu.
7. Komisijas pienākumi neskar dalībvalstu un citu struktūru pienākumus attiecībā uz viņu uzturēto savstarpēji savienoto valstu datubāzu saturu un darbību.
5. pants
Informēšanas pienākums
1. Attiecībā uz informāciju, par kuru Komisija ir atbildīga saskaņā ar šo lēmumu, Komisija sniedz datu subjektiem informāciju, kas norādīta Regulas (EK) Nr. 45/2001 11. un 12. pantā.
2. Neatkarīgi no pienākumiem attiecībā uz dalībvalstu datu subjektiem un citām struktūrām, kas uztur savstarpēji savienotas valstu datubāzes, Komisija datu subjektiem sniedz arī informāciju par kontaktpersonām saziņai, lai varētu efektīvi īstenot savas tiesības saņemt informāciju, tai piekļūt, to labot un iebilst pret to saskaņā ar spēkā esošajiem tiesību aktiem datu aizsardzības jomā. Komisija atsaucas uz dalībvalstu un citu struktūru konkrētajiem paziņojumiem par privātumu.
3. Tāpat Komisija portālā dara pieejamus:
a)
paziņojumu par privātumu, kas minēti 2. punktā, tulkojumus portāla dalībvalstu valodās;
b)
skaidrā un saprotamā veidā - vispārēju ar portālu saistītu paziņojumu par privātumu saskaņā ar Regulas (EK) Nr. 45/2001 11. un 12. pantu.
6. pants
Personas datu glabāšana
1. Attiecībā uz informācijas apmaiņu no savstarpēji savienotām valstu datubāzēm, portālā neglabā personas datus, kas attiecas uz datu subjektu. Visus šādus datus glabā valstu datubāzēs, ko uztur dalībvalstis vai citas struktūras.
2. Personas datus, kas saistīti ar portāla lietotājiem vai ko snieguši portāla lietotāji, neglabā portālā, izņemot gadījumos, kad viņi ir reģistrējušies kā reģistrēti lietotāji. Reģistrēto lietotāju personas datus glabā līdz brīdim, kad tie pieprasa dzēst reģistrāciju. Saskaņā ar 3. pantu personas datus par Eiropas e-tiesiskuma portāla dalībniekiem vai kontaktpunktiem var uzglabāt tikai tik ilgi, kamēr šīs personas pilda minētās funkcijas.
7. pants
Spēkā stāšanās diena
Šis lēmums stājas spēkā divdesmitajā dienā pēc tā publicēšanas Eiropas Savienības Oficiālajā Vēstnesī.
Briselē, 2014. gada 5. jūnijā