KOMMISSIONENS AFGØRELSE
af 5. juni 2014
om beskyttelse af personoplysninger i den europæiske portal e-justice
(2014/333/EU)
EUROPA-KOMMISSIONEN HAR -
under henvisning til traktaten om Den Europæiske Unions funktionsmåde,
efter høring af Den Europæiske Tilsynsførende for Databeskyttelse og
ud fra følgende betragtninger:
(1)
I sin meddelelse af maj 2008 (1) erklærede Kommissionen, at den ville arbejde på at udforme og indføre portalen e-justice (herefter »portalen«), som den vil vedligeholde i nært samarbejde med medlemsstaterne.
(2)
Ved den flerårige handlingsplan for 2009-2013 (2) vedrørende europæisk e-justice af 8. november 2008 fik Kommissionen til opgave at etablere portalen. Portalen blev oprettet den 16. juli 2010. Det har ikke været nødvendigt at vedtage denne afgørelse tidligere, da portalen først nu er blevet klar til den første sammenkobling af nationale registre, der indebærer behandling af personoplysninger.
(3)
Portalens mål er at bidrage til opnåelsen af det europæiske retlige område ved at lette og forbedre adgangen til retssystemet og udnytte informations- og kommunikationsteknologien til at lette grænseoverskridende elektroniske retssager og retsligt samarbejde.
(4)
Såvel Den Europæiske Unions institutioner, organer, kontorer og agenturer som medlemsstaterne skal ved gennemførelsen af EU-retten respektere de grundlæggende rettigheder og overholde de principper, der er forankret i chartret om Den Europæiske Unions grundlæggende rettigheder, navnlig retten til beskyttelse af personoplysninger, der er fastsat i chartrets artikel 8.
(5)
Da Kommissionens og medlemsstaternes forskellige portalrelaterede opgaver og funktioner vil indebære forskellige ansvarsområder og forpligtelser med hensyn til databeskyttelse, er det vigtigt at afgrænse dem klart.
(6)
Henset til den særlige karakter af de aktiviteter, der er forbundet med portalen, som er udviklet i samarbejde mellem Kommissionen og medlemsstaterne, er Kommissionens rolle i behandlingen af personoplysninger via portalen begrænset. Det bør præciseres, at Kommissionen ikke har noget ansvar for indholdet af de sammenkoblede nationale databaser, der er gjort tilgængelige via portalen.
(7)
Europa-Parlamentet og Rådets forordning (EF) nr. 45/2001 (3) finder anvendelse på Kommissionens behandling af personoplysninger i portalen. Kommissionen er herved særlig ansvarlig for tilvejebringelse af IT-infrastrukturen til portalens funktioner, herunder sammenkoblingen af nationale databaser.
(8)
Formålet med behandlingen af personoplysninger skal som fastsat i forordning (EF) nr. 45/2001 udtrykkeligt angives. Kommissionen bør derfor kun behandle personoplysninger i portalen, hvis det sker for at skaffe adgang til sammenkoblede nationale databaser, der indeholder personoplysninger, for at levere interaktive tjenester, der giver brugerne mulighed for at kommunikere direkte med de relevante myndigheder i en anden medlemsstat, for at give adgang til offentlig information rettet mod registrerede brugere eller for at give kontaktoplysninger.
(9)
Kommissionen bør inkorporere teknologier, der afspejler begrebet »indbygget databeskyttelse«, i systemet. Ved gennemførelsen af dette begreb bør der på udformningsstadiet gennemføres en konsekvensanalyse af beskyttelsen af privatlivets fred og af personlige oplysninger i relation til den funktion, der er forbundet med behandlingen af personlige oplysninger via portalen, såvel som i relation til andre funktioner. Denne analyse vil identificere de mulige risici for databeskyttelsen. Den vil også fastlægge de relevante foranstaltninger og forholdsregler, der skal inkorporeres i systemet for at beskytte personoplysninger.
(10)
Kommissionen bør foretage løbende og passende sikkerhedsvurderinger, i det omfang der udføres tiltag vedrørende sammenkoblingen af nationale databaser.
(11)
Kun offentligt tilgængelige oplysninger i de sammenkoblede nationale databaser kan findes via portalen. Det bør ikke være muligt at kombinere oplysninger fra forskellige sammenkoblede nationale databaser til forskellige formål via portalen -
VEDTAGET DENNE AFGØRELSE:
Artikel 1
Genstand
I denne afgørelse fastlægges Europa-Kommissionens funktioner og ansvarsområder i relation til nødvendigheden af databeskyttelse under behandlingen af personoplysninger i den europæiske portal e-justice (i det følgende benævnt »portalen«).
Artikel 2
Definitioner
Ved anvendelsen af denne forordning finder definitionerne i forordning (EF) nr. 45/2001 anvendelse. Desuden forstås ved:
a) »Europæisk e-justice aktør«: enhver repræsentant for en medlemsstat eller en europæisk e-justice partnerorganisation, der har fået tilladelse til at ændre (dele af) indholdet af portalen
b) »sammenkoblede nationale databaser«: databaser med offentligt tilgængelige oplysninger, der drives af medlemsstaterne og andre organer såsom faglige organisationer og nonprofitorganisationer, og som er sammenkoblet via portalen på en sådan måde, at de disponible oplysninger på nationalt plan kan findes via portalen
c) »offentlig tilgængelig information«: oplysninger, der gøres tilgængelig for offentligheden via internettet
d) »registreret bruger«: en bruger af portalen, som er registreret til portalen via Europa-Kommissionens autentificeringstjeneste (ECAS), såsom en »europæisk e-justice aktør«.
Artikel 3
Databehandling
Kommissionen behandler kun personoplysninger i portalen i det omfang, det er nødvendigt med henblik på:
a)
at give adgang til sammenkoblede nationale databaser, der indeholder personoplysninger
b)
at stille interaktive tjenester til rådighed, som gør det muligt for registrerede brugere at kommunikere direkte med de relevante myndigheder i en anden medlemsstat
c)
at give adgang til offentlig information rettet mod registrerede brugere
d)
at stille kontaktoplysninger til rådighed.
Artikel 4
Den registeransvarliges ansvarsområder
1. Kommissionen udøver kompetencen som registeransvarlig i henhold til artikel 2, litra d), i forordning (EF) nr. 45/2001 i overensstemmelse med dens respektive ansvarsområder inden for rammerne af portalen som omhandlet i denne artikel.
2. Kommissionen sikrer tilgængeligheden, ajourføringen og sikkerheden af portalens it-infrastruktur.
3. Kommissionen er ansvarlig for følgende former for databehandling:
a)
Organisation
b)
videregivelse ved transmission
c)
formidling eller på anden måde stillen til rådighed
d)
tilpasning eller kombination af personlige oplysninger, der hidrører fra sammenkoblede nationale databaser, eller af personoplysninger om registrerede brugere.
4. Kommissionen fastlægger de nødvendige politikker og anvender passende tekniske løsninger for at opfylde sine forpligtelser inden for rammerne af funktionen som registeransvarlig.
5. Kommissionen gennemfører de tekniske foranstaltninger, der er nødvendige for at sikre beskyttelse af personoplysninger under overførslen og under visning på portalen, navnlig fortroligheden og autenticiteten af enhver overførsel til og fra portalen.
6. Kommissionen er ikke ansvarlig for nogen form for databeskyttelse vedrørende:
a)
Den indledende indsamling og opbevaring af enhver form for oplysninger hidrørende fra sammenkoblede nationale databaser
b)
enhver afgørelse, der træffes af medlemsstaterne for at gøre sådanne oplysninger tilgængelige via portalen
c)
indholdet af enhver form for oplysninger hidrørende fra sammenkoblede nationale databaser, der er gjort tilgængelige via portalen.
7. Kommissionens forpligtelser berører ikke medlemsstaternes og andre organers ansvar for indholdet og driften af de sammenkoblede nationale databaser, som drives af dem.
Artikel 5
Oplysningspligt
1. Kommissionen giver de registrerede de oplysninger, der er angivet i artikel 11 og 12 i forordning (EF) nr. 45/2001, for så vidt angår oplysninger, som Kommissionen er ansvarlig for efter denne afgørelse.
2. Uanset de forpligtelser, der påhviler medlemsstaterne og andre organer, som driver de sammenkoblede nationale databaser, skal Kommissionen også give de registrerede oplysninger om, hvem de skal kontakte for effektivt at udøve deres ret til oplysninger, indsigt, berigtigelse og indsigelse i overensstemmelse med gældende databeskyttelseslovgivning. Kommissionen henviser til medlemsstaternes og andre organers specifikke databeskyttelseserklæringer.
3. Kommissionen stiller tillige følgende til rådighed på portalen:
a)
oversættelser til portalens sprog af medlemsstaternes databeskyttelseserklæringer som omhandlet i stk. 2;
b)
en fyldestgørende databeskyttelseserklæring vedrørende portalen som omhandlet i artikel 11 og 12 i forordning (EF) nr. 45/2001 i klar og forståelig form.
Artikel 6
Opbevaring af personoplysninger
1. For så vidt angår udveksling af oplysninger fra sammenkoblede nationale databaser må ingen personoplysninger vedrørende de registrerede opbevares i portalen. Alle sådanne oplysninger skal opbevares i de nationale databaser, som drives af medlemsstaterne eller af andre organer.
2. Personoplysninger, der vedrører brugerne af portalen, eller personoplysninger, der stilles til rådighed af brugerne, må ikke opbevares i portalen, bortset fra i tilfælde, hvor de pågældende har tilmeldt sig som registrerede brugere. Personoplysninger om registrerede brugere opbevares, indtil de anmoder om sletning af registreringen. Som fastsat i artikel 3 opbevares personoplysninger vedrørende europæiske e-justice aktører eller kontaktpunkter kun, så længe disse personer udfører deres funktion.
Artikel 7
Ikrafttræden
Denne afgørelse træder i kraft på tyvendedagen efter offentliggørelsen i Den Europæiske Unions Tidende.
Udfærdiget i Bruxelles, den 5. juni 2014.
BESCHLUSS DER KOMMISSION
vom 5. Juni 2014
über den Schutz personenbezogener Daten im Europäischen e-Justiz-Portal
(2014/333/EU)
DIE EUROPÄISCHE KOMMISSION -
gestützt auf den Vertrag über die Arbeitsweise der Europäischen Union,
nach Anhörung des Europäischen Datenschutzbeauftragten,
in Erwägung nachstehender Gründe:
(1)
In ihrer Mitteilung vom Mai 2008 (1) erklärte die Kommission, dass sie das Europäische e-Justiz-Portal (nachstehend „das Portal“) konzipieren, einrichten und in enger Zusammenarbeit mit den Mitgliedstaaten pflegen werde.
(2)
Durch den mehrjährigen Aktionsplan 2009-2013 für die Europäische e-Justiz (2) vom 8. November 2008 wurde die Europäische Kommission mit der Umsetzung des Portals beauftragt. Das Portal wurde am 16. Juli 2010 ins Leben gerufen. Die Verabschiedung dieses Beschlusses ist erst jetzt notwendig geworden, da das Portal erst jetzt bereit ist für die erste Vernetzung nationaler Register im Zusammenhang mit der Verarbeitung personenbezogener Daten.
(3)
Ziel des Portals ist es, zur Verwirklichung des europäischen Rechtsraums beizutragen, indem der Zugang zur Justiz erleichtert und verbessert wird und die Informations- und Kommunikationstechnologien als Hebel eingesetzt werden, um grenzüberschreitende elektronische Gerichtsverfahren und die justizielle Zusammenarbeit zu erleichtern.
(4)
Die Organe, Einrichtungen und sonstigen Stellen der Europäischen Union sowie der Mitgliedstaaten müssen bei der Anwendung des EU-Rechts die Grundrechte wahren und die Grundsätze der EU-Grundrechtecharta, insbesondere das in Artikel 8 dieser Charta niedergelegte Recht auf Schutz der personenbezogenen Daten, beachten.
(5)
Da die verschiedenen portalbezogenen Aufgaben und Funktionen der Kommission und der Mitgliedstaaten zu unterschiedlichen Verantwortlichkeiten und Verpflichtungen im Hinblick auf den Datenschutz führen, ist es notwendig, sie klar abzugrenzen.
(6)
Entsprechend den Besonderheiten der mit dem e-Justiz-Portal verbundenen Tätigkeiten, die in Zusammenarbeit zwischen Kommission und Mitgliedstaaten entwickelt werden, ist die Aufgabe der Kommission bei der Verarbeitung personenbezogener Daten im Rahmen des Portals beschränkt. Es muss klargestellt werden, dass die Kommission für den Inhalt der im Rahmen des Portals zur Verfügung gestellten vernetzten nationalen Datenbanken nicht verantwortlich ist.
(7)
Die Verordnung (EG) Nr. 45/2001 des Europäischen Parlaments und des Rates (3) gilt für die Verarbeitung personenbezogener Daten durch die Kommission im Rahmen des Portals. In diesem Zusammenhang ist die Kommission insbesondere verantwortlich für die Bereitstellung der IT-Infrastruktur für die Funktionen des Portals, wozu auch die Vernetzung nationaler Datenbanken gehört.
(8)
Gemäß Verordnung (EG) Nr. 45/2001 ist der Zweck der Verarbeitung personenbezogener Daten ausdrücklich anzugeben. Somit darf die Verarbeitung personenbezogener Daten durch die Kommission im Rahmen des Portals nur erfolgen, wenn hierdurch der Zugang zu vernetzten nationalen Datenbanken mit personenbezogenen Daten gewährt wird, interaktive Dienste bereitgestellt werden, die es den Nutzern ermöglichen, unmittelbar mit den zuständigen Behörden in einem anderen Mitgliedstaat zu kommunizieren, Zugang zu öffentlichen Informationen für registrierte Nutzer gewährt wird bzw. Kontaktadressen bereitgestellt werden.
(9)
Die Kommission sollte in das System Technologien einbeziehen, die dem Konzept des „Datenschutzes durch Technik“ entsprechen. Zur Umsetzung dieses Konzepts sollte während der Planungsphase der mit der Verarbeitung personenbezogener Daten im Rahmen des Portals verbundenen Funktionen sowie der anderen Funktionen des Portals eine Datenschutz-Folgenabschätzung durchgeführt werden. Hierdurch sollen potenzielle Datenschutzrisiken ermittelt werden. Ferner werden bei der Folgenabschätzung geeignete Maßnahmen und Sicherungen definiert, die im Hinblick auf den Schutz personenbezogener Daten in das System einzubeziehen sind.
(10)
Die Kommission führt fortlaufend geeignete Sicherheitsbewertungen durch, sofern Arbeiten im Zusammenhang mit der Vernetzung nationaler Datenbanken durchgeführt werden.
(11)
Durch das Portal werden allein öffentlich zur Verfügung stehende Informationen in den vernetzten nationalen Datenbanken zugänglich gemacht. Es darf nicht möglich sein, im Rahmen des Portals Informationen von unterschiedlichen vernetzten nationalen Datenbanken für unterschiedliche Zwecke zu kombinieren -
HAT FOLGENDEN BESCHLUSS ERLASSEN:
Artikel 1
Gegenstand
In diesem Beschluss werden die Funktionen und Verantwortlichkeiten der Europäischen Kommission in Bezug auf die Datenschutzanforderungen bei der Verarbeitung personenbezogener Daten im Rahmen des Europäischen e-Justiz-Portals („das Portal“) festgelegt.
Artikel 2
Begriffsbestimmungen
Für die Zwecke dieses Beschlusses gelten die Definitionen der Verordnung (EG) Nr. 45/2001. Ferner gelten die folgenden Begriffsbestimmungen:
a)
„Europäischer e-Justiz-Akteur“ ist ein Vertreter eines Mitgliedstaats oder einer europäischen e-Justiz-Partnerorganisation, der befugt ist, Teile des Inhalts des Portals zu verändern;
b)
„vernetzte nationale Datenbanken“ sind Datenbanken mit öffentlich zugänglichen Informationen, die von den Mitgliedstaaten und anderen Gremien wie Berufsverbänden und gemeinnützigen Organisationen betrieben werden und durch das Portal so vernetzt sind, dass über das Portal auf die auf nationaler Ebene zur Verfügung stehenden Daten zugegriffen werden kann;
c)
„öffentlich zugängliche Informationen“ sind Informationen, die der Öffentlichkeit über das Internet zur Verfügung stehen;
d)
„registrierter Nutzer“ ist ein Portalnutzer, der sich über den Authentifizierungsdienst der Europäischen Kommission (ECAS) für das Portal angemeldet hat, z. B. ein „europäischer e-Justiz-Akteur“.
Artikel 3
Datenverarbeitung
Die Kommission verarbeitet personenbezogene Daten im Rahmen des Portals nur, soweit dies zu folgenden Zwecken notwendig ist:
a)
Bereitstellung des Zugangs zu vernetzten nationalen Datenbanken mit personenbezogenen Daten;
b)
Bereitstellung interaktiver Dienste, die es registrierten Nutzern ermöglichen, unmittelbar mit den zuständigen Behörden in einem anderen Mitgliedstaat zu kommunizieren;
c)
Bereitstellung des Zugangs zu öffentlichen Informationen für registrierte Nutzer;
d)
Bereitstellung von Kontaktadressen.
Artikel 4
Aufgaben des für die Verarbeitung der Daten Verantwortlichen
(1) Die Kommission fungiert als der für die Verarbeitung der Daten Verantwortliche gemäß Artikel 2 Buchstabe d derVerordnung (EG) Nr. 45/2001 entsprechend ihren in diesem Artikel genannten jeweiligen Aufgaben im Rahmen des Portals.
(2) Die Kommission gewährleistet die Verfügbarkeit, Wartung und Sicherheit der IT-Infrastruktur des Portals.
(3) Die Kommission ist verantwortlich für die folgenden Verarbeitungsvorgänge:
a)
Organisation;
b)
Weitergabe durch Übermittlung;
c)
Verbreitung oder jede andere Form der Bereitstellung;
d)
Verknüpfung oder Kombination persönlicher Daten aus den vernetzten nationalen Datenbanken bzw. der personenbezogenen Daten registrierter Nutzer.
(4) Die Kommission legt die notwendigen Maßnahmen fest und wendet geeignete technische Lösungen an, um ihrer Verantwortung im Rahmen ihrer Aufgabe als für die Verarbeitung Verantwortlicher nachzukommen.
(5) Die Kommission ergreift die erforderlichen technischen Maßnahmen, um die Sicherheit personenbezogener Daten bei der Übermittlung und während ihrer Darstellung im Rahmen des Portals, insbesondere die Vertraulichkeit und Integrität bei Übermittlungen zum und vom Portal, zu gewährleisten.
(6) Die Kommission ist nicht verantwortlich für Datenschutzaspekte im Hinblick auf:
a)
die ursprüngliche Erfassung und Speicherung von Daten, die aus den vernetzten nationalen Datenbanken stammen;
b)
Entscheidungen der Mitgliedstaaten, diese Daten im Rahmen des Portals zur Verfügung zu stellen;
c)
die Inhalte von Daten, die aus den vernetzten nationalen Datenbanken stammen und durch das Portal zur Verfügung gestellt wurden.
(7) Die Verpflichtungen der Kommission berühren nicht die Verantwortung der Mitgliedstaaten und anderer Gremien für den Inhalt und den Betrieb der von ihnen geführten vernetzten nationalen Datenbanken.
Artikel 5
Informationspflichten
(1) Die Kommission hat gemäß Artikel 11 und 12 der Verordnung (EG) Nr. 45/2001 gegenüber den betroffenen Personen eine Informationspflicht im Hinblick auf Informationen, für die die Kommission aufgrund dieses Beschlusses verantwortlich ist.
(2) Unbeschadet der Verpflichtungen gegenüber betroffenen Personen der Mitgliedstaaten und anderen Gremien, die die vernetzten nationalen Datenbanken betreiben, hat die Kommission die betroffenen Personen auch darüber zu unterrichten, an wen sie sich wenden können, um ihre Informations-, Auskunfts-, Berichtigungs- und Widerspruchsrechte im Einklang mit den anzuwendenden Datenschutzvorschriften wirksam wahrnehmen zu können. Die Kommission verweist auf die spezifischen Datenschutzerklärungen der Mitgliedstaaten und anderer Gremien.
(3) Die Kommission stellt im Portal ferner zur Verfügung:
a)
Übersetzungen der in Absatz 2 genannten Datenschutzerklärungen der Mitgliedstaaten in die Sprachen des Portals;
b)
Eine umfassende Datenschutzerklärung betreffend das Portal im Einklang mit Artikel 11 und 12 der Verordnung (EG) Nr. 45/2001 in klarer und verständlicher Form.
Artikel 6
Speicherung personenbezogener Daten
(1) Im Hinblick auf den Informationsaustausch vernetzter nationaler Datenbanken dürfen keine personenbezogenen Daten über die betreffenden Personen im Portal gespeichert werden. Diese Daten werden in den von den Mitgliedstaaten oder anderen Gremien betriebenen nationalen Datenbanken gespeichert.
(2) Personenbezogene Daten, die sich auf Portalnutzer beziehen oder von diesen bereitgestellt werden, dürfen im Portal nicht gespeichert werden, außer in Fällen, in denen diese sich als registrierte Nutzer angemeldet haben. Personenbezogene Daten registrierter Nutzer dürfen gespeichert werden, bis diese die Löschung ihrer Registrierung beantragen. Entsprechend Artikel 3 werden personenbezogene Daten von europäischen e-Justiz-Akteuren oder Kontaktstellen nur solange gespeichert, wie diese Personen ihre Aufgaben wahrnehmen.
Artikel 7
Inkrafttreten
Dieser Beschluss tritt am zwanzigsten Tag nach seiner Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.
Brüssel, den 5. Juni 2014