ROZHODNUTÍ KOMISE
ze dne 5. června 2014
o ochraně osobních údajů v portálu evropské e-justice
(2014/333/EU)
EVROPSKÁ KOMISE,
s ohledem na Smlouvu o fungování Evropské unie,
po konzultaci s evropským inspektorem ochrany údajů,
vzhledem k těmto důvodům:
(1)
Ve svém sdělení z května 2008 (1) Komise uvedla, že bude pracovat na konceptu a zprovoznění portálu evropské e-justice (dále jen „portál“), jehož řízení se ujme v úzké spolupráci s členskými státy.
(2)
Víceletý akční plán v oblasti evropské e-justice na období let 2009-2013 (2) ze dne 8. listopadu 2008 pověřil realizací portálu Evropskou komisi. Portál byl spuštěn dne 16. července 2010. Vzhledem k tomu, že portál je teprve nyní připraven na první propojení vnitrostátních rejstříků, jež obnáší zpracování osobních údajů, stalo se přijetí tohoto rozhodnutí nezbytným až za současné situace.
(3)
Cílem portálu je přispět k realizaci evropského soudního prostoru, a to usnadněním a podporou přístupu ke spravedlnosti a posílení informačních a komunikačních technologií, jež mají usnadnit přeshraniční elektronické soudní řízení a justiční spolupráci.
(4)
Orgány, subjekty, úřady a agentury Evropské unie stejně jako členské státy musí při provádění právních předpisů Unie ctít základní práva a dodržovat zásady uznané Listinou základních práv Evropské unie, zejména právo na ochranu osobních údajů stanovené v článku 8 uvedené listiny.
(5)
Vzhledem k tomu, že řada rozmanitých úkolů a funkcí Komise a členských států týkající se portálu obnáší rozličné povinnosti a závazky, pokud jde o ochranu údajů, je nezbytné, aby tyto byly jasně vymezeny.
(6)
S ohledem na zvláštní povahu činností souvisejících s portálem e-justice, vytvořených na základě spolupráce mezi Komisí a členskými státy, je úloha Komise při zpracování osobních údajů prostřednictvím portálu omezená. Je třeba upřesnit, že Komise nenese žádnou odpovědnost za obsah vzájemně propojených vnitrostátních databází, který je prostřednictvím portálu dostupný.
(7)
Zpracovávání osobních údajů Komisí v rámci portálu se řídí nařízením Evropského parlamentu a Rady (ES) č. 45/2001 (3). V této souvislosti je Komise zejména odpovědná za poskytování infrastruktury IT pro funkce portálu, včetně propojení vnitrostátních databází.
(8)
V souladu s nařízením (ES) č. 45/2001 by mělo být výslovně uvedeno, pro jaké účely se osobní údaje zpracovávají. Komise by tudíž měla osobní údaje v rámci portálu zpracovávat pouze za účelem poskytnutí přístupu k vzájemně propojeným vnitrostátním databázím s osobními údaji, poskytnutí interaktivních služeb umožňujícím uživatelům komunikovat přímo s příslušnými orgány v jiném členském státě, poskytnutí přístupu k veřejným informacím pro registrované uživatele nebo poskytnutí kontaktních údajů.
(9)
Komise by se měla opřít o systémové technologie, které zohledňují koncepci „ochrany údajů již od návrhu“. Při uplatňování této koncepce by mělo být při návrhu funkce spojené se zpracováním osobních údajů prostřednictvím portálu, jakož i jiných funkcí portálu, provedeno posouzení dopadů na ochranu soukromí a osobních údajů. Toto posouzení určí potenciální rizika v souvislosti s ochranou údajů. Rovněž uvede vhodná opatření a záruky, které mají být začleněny do systému ochrany osobních údajů.
(10)
Při provádění činností souvisejících s propojením vnitrostátních databází by Komise měla nepřetržitě a náležitě posuzovat bezpečnost.
(11)
Prostřednictvím portálu mohou být dostupné pouze informace, které jsou v propojených vnitrostátních databázích veřejně přístupné. Portál by neměl umožňovat, aby byly pro různé účely kombinovány údaje z různých vzájemně propojených vnitrostátních databází,
PŘIJALA TOTO ROZHODNUTÍ:
Článek 1
Předmět
Toto rozhodnutí stanoví funkce a povinnosti Evropské komise v souvislosti s požadavky na ochranu údajů při zpracovávání osobních údajů v rámci evropského portálu e-justice (dále jen „portál“).
Článek 2
Definice
Pro účely tohoto rozhodnutí se použijí definice stanovené nařízením (ES) č. 45/2001. Vedle toho se rozumí:
a)
„účastníkem evropské e-justice“ každý zástupce členského státu nebo partnerské organizace evropské e-justice, jemuž bylo uděleno povolení měnit obsah portálu (jeho částí);
b)
„vzájemně propojenými vnitrostátními databázemi“ databáze, které obsahují veřejně přístupné informace, provozované členskými státy a jinými subjekty, jako jsou profesní sdružení a neziskové organizace, které jsou propojeny prostřednictvím portálu tak, že informace přístupné na vnitrostátní úrovni jsou dostupné přes portál;
c)
„veřejně přístupnými informacemi“ informace, které jsou přístupné veřejnosti prostřednictvím internetu;
d)
„registrovaným uživatelem“ uživatel portálu, který se v portálu registroval prostřednictvím ověřovací služby Evropské komise (ECAS), např. jako „účastník evropské e-justice“.
Článek 3
Zpracovávání údajů
Komise zpracovává osobní údaje v rámci portálu pouze v rozsahu nezbytném pro účely:
a)
poskytnutí přístupu k vzájemně propojeným vnitrostátním databázím obsahujícím osobní údaje;
b)
poskytnutí interaktivních služeb, které registrovaným uživatelům umožní přímo komunikovat s příslušnými orgány v jiném členském státě;
c)
zajištění přístupu k veřejně dostupným informacím pro registrované uživatele;
d)
poskytnutí kontaktních údajů.
Článek 4
Povinnosti správce údajů
1. Komise vykonává své povinnosti správce údajů podle čl. 2 písm. d) nařízení (ES) č. 45/2001 v souladu se svými příslušnými povinnostmi v rámci portálu, jak je uvedeno v tomto článku.
2. Komise zajistí dostupnost, údržbu a bezpečnost infrastruktury IT portálu.
3. Komise odpovídá za tyto úkony související se zpracováním osobních údajů:
a)
uspořádávání;
b)
sdělení prostřednictvím přenosu;
c)
šíření nebo jakékoli jiné zpřístupnění;
d)
srovnávání či kombinování osobních údajů z propojených vnitrostátních databází nebo osobních údajů týkajících se registrovaných uživatelů.
4. Za účelem plnění svých povinností jakožto správce údajů Komise vymezí potřebné politiky a uplatní vhodná technická řešení.
5. Komise provádí technická opatření nutná k zajištění bezpečnosti při přenosu osobních údajů a jejich zobrazení na portálu, zejména důvěrnosti a integrity při jakémkoli jejich přenosu do portálu a z něj.
6. Komise nenese odpovědnost za žádný z aspektů ochrany údajů, které se týkají:
a)
počátečního shromažďování a uchovávání údajů z propojených vnitrostátních databází;
b)
jakýchkoli rozhodnutí přijatých členskými státy o zpřístupnění takových údajů prostřednictvím portálu;
c)
obsahu jakéhokoli údaje z vzájemně propojených vnitrostátních databází, který je dostupný prostřednictvím portálu.
7. Povinnostmi Komise není dotčena odpovědnost členských států a jiných subjektů za obsah a provoz propojených vnitrostátních databází, které spravují.
Článek 5
Informační povinnosti
1. Komise poskytne subjektům údajů informace uvedené v článcích 11 a 12 nařízení (ES) č. 45/2001, pokud jde o poskytování informací, za něž Komise podle tohoto rozhodnutí odpovídá.
2. Aniž jsou dotčeny její povinnosti vůči subjektům údajů členských států a jiných subjektů působících v rámci propojených vnitrostátních databází, Komise rovněž informuje subjekty údajů o tom, na koho se obrátit, aby mohly účinně využít svého práva na informace, na přístup, na opravu a na námitku podle příslušných právních předpisů na ochranu údajů. Komise odkáže na prohlášení o ochraně osobních údajů členských států a jiných orgánů.
3. Komise na portálu rovněž zpřístupní:
a)
překlady prohlášení členských států o ochraně osobních údajů, jak je uvedeno v odstavci 2, do příslušných jazyků portálu;
b)
ucelené prohlášení o ochraně osobních údajů týkající se portálu v souladu s články 11 a 12 nařízení (ES) č. 45/2001 v jasné a srozumitelné podobě.
Článek 6
Uchovávání osobních údajů
1. Pokud jde o výměnu informací z propojených vnitrostátních databází, žádné osobní údaje týkající se subjektů údajů nesmějí být na portálu uchovávány. Veškeré takové údaje se uchovávají ve vnitrostátních databázích provozovaných členskými státy nebo jinými subjekty.
2. Osobní údaje týkající se uživatelů portálu nebo osobní údaje jimi poskytované nesmějí být na portálu uchovávány, kromě případů, kdy se tito uživatelé přihlásili jako registrovaní uživatelé. Osobní údaje registrovaných uživatelů se uchovávají tak dlouho, dokud registrovaný uživatel nepožádá o zrušení své registrace. V souladu s článkem 3 se osobní údaje týkající se účastníků nebo kontaktních osob evropské e-justice uchovávají pouze po dobu, po kterou tyto osoby vykonávají svou funkci.
Článek 7
Datum použitelnosti
Toto rozhodnutí vstupuje v platnost dvacátým dnem po zveřejnění v Úředním věstníku Evropské unie.
V Bruselu dne 5. června 2014.
DÉCISION DE LA COMMISSION
du 5 juin 2014
relative à la protection des données à caractère personnel sur le portail européen e-Justice
(2014/333/UE)
LA COMMISSION EUROPÉENNE,
vu le traité sur le fonctionnement de l'Union européenne,
après consultation du Contrôleur européen de la protection des données,
considérant ce qui suit:
(1)
Dans sa communication de mai 2008 (1), la Commission indiquait qu'elle travaillerait sur la conception et la mise en place du portail e-Justice (ci-après le «portail») dont elle assurerait la gestion en étroite relation avec les États membres.
(2)
Le plan d'action pluriannuel 2009-2013 (2) relatif à l'e-Justice européenne du 8 novembre 2008 prévoyait de charger la Commission européenne de la mise en œuvre du portail. Le lancement du portail a eu lieu le 16 juillet 2010. Les conditions nécessaires pour que la première interconnexion de registres nationaux impliquant un traitement de données à caractère personnel ait lieu dans le cadre du portail étant réunies, l'adoption de la présente décision devient désormais nécessaire.
(3)
L'objectif du portail est de contribuer à la construction de l'espace judiciaire européen en facilitant et en améliorant l'accès à la justice et en rendant les procédures judiciaires électroniques et la coopération judiciaire transfrontières plus aisées grâce aux technologies de l'information et de la communication.
(4)
Lorsqu'ils mettent en œuvre le droit de l'Union, les institutions, les organes, les organismes et les agences de l'Union européenne, ainsi que les États membres, doivent respecter les droits fondamentaux et observer les principes reconnus par la charte des droits fondamentaux de l'Union européenne, notamment le droit à la protection des données à caractère personnel consacré à l'article 8 de ladite charte.
(5)
Étant donné que les différentes tâches et fonctions qui incombent à la Commission et aux États membres dans le cadre du portail vont de pair avec diverses responsabilités et obligations relatives à la protection des données, il convient de les délimiter clairement.
(6)
Compte tenu de la nature spécifique des activités liées au portail e-Justice, qui est le fruit d'une coopération entre la Commission et les États membres, le rôle joué par la Commission dans les opérations de traitement de données à caractère personnel exécutées dans le cadre du portail est limité. Il y a lieu de préciser que la Commission n'est pas responsable du contenu des bases de données nationales interconnectées disponibles par l'intermédiaire du portail.
(7)
Le règlement (CE) no 45/2001 du Parlement européen et du Conseil (3) s'applique aux opérations de traitement de données à caractère personnel effectuées par la Commission dans le cadre du portail. La Commission est chargée, en particulier, de fournir l'infrastructure informatique nécessaire aux fonctionnalités du portail, et notamment à l'interconnexion des bases de données nationales.
(8)
Conformément au règlement (CE) no 45/2001, la finalité du traitement des données à caractère personnel doit être explicitement précisée. Par conséquent, le traitement de données à caractère personnel par la Commission dans le portail doit avoir pour seule finalité la fourniture d'un accès aux bases de données nationales interconnectées contenant des données à caractère personnel, la fourniture de services interactifs permettant aux utilisateurs de communiquer directement avec les autorités compétentes dans un autre État membre, la fourniture d'un accès à des informations publiques destinées aux utilisateurs enregistrés ou la fourniture de coordonnées.
(9)
La Commission devrait intégrer dans le système des technologies fondées sur le concept de la protection des données dès la conception. Lors de la mise en œuvre de ce concept, une analyse d'impact en ce qui concerne la vie privée et la protection des données devrait être réalisée pendant la phase de conception de la fonctionnalité liée au traitement de données à caractère personnel par le portail, et d'autres fonctionnalités du portail. Cette évaluation permettra de recenser les risques éventuels pour la protection des données et également de définir les mesures et garanties que le système devrait comporter pour protéger les données à caractère personnel.
(10)
La Commission devrait procéder à des évaluations de sécurité appropriées continues dès lors que des opérations relatives à l'interconnexion de bases de données nationales sont exécutées.
(11)
Seules les informations publiques qui figurent dans les bases de données nationales interconnectées sont accessibles par l'intermédiaire du portail. Il ne devrait pas être possible de combiner pour des finalités différentes, par l'intermédiaire du portail, des informations provenant de différentes bases de données nationales interconnectées,
A ADOPTÉ LA PRÉSENTE DÉCISION:
Article premier
Objet
La présente décision établit les fonctions et les responsabilités de la Commission européenne en ce qui concerne les exigences relatives à la protection des données dans le cadre du traitement de données à caractère personnel dans le portail européen e-Justice (ci-après le «portail»).
Article 2
Définitions
Aux fins de la présente décision, les définitions énoncées dans le règlement (CE) no 45/2001 sont applicables. En outre, on entend par:
a) «acteur du portail européen e-Justice»: tout représentant d'un État membre ou d'un organisme partenaire du portail européen e-Justice autorisé à modifier (en partie) le contenu du portail;
b) «bases de données nationales interconnectées»: les bases de données contenant des informations accessibles au public, gérées par les États membres et d'autres entités telles que des associations professionnelles et organisations à but non lucratif, qui sont interconnectées par l'intermédiaire du portail de sorte que les informations disponibles au niveau national deviennent accessibles par le portail;
c) «informations accessibles au public»: les informations accessibles au public par l'internet;
d) «utilisateur enregistré»: un utilisateur du portail, tel qu'un «acteur du portail européen e-Justice», qui s'est enregistré sur le portail par l'intermédiaire du service d'authentification de la Commission européenne (ECAS).
Article 3
Traitement des données
La Commission n'effectue des opérations de traitement de données à caractère personnel dans le portail que dans la mesure où cela est nécessaire pour:
a)
fournir un accès aux bases de données nationales interconnectées contenant des données à caractère personnel;
b)
fournir des services interactifs permettant aux utilisateurs enregistrés de communiquer directement avec les autorités compétentes dans un autre État membre;
c)
fournir un accès à des informations publiques destinées aux utilisateurs enregistrés ou
d)
fournir des coordonnées.
Article 4
Fonction de responsable du traitement
1. La Commission exerce la fonction de responsable du traitement en application de l'article 2, point d), du règlement (CE) no 45/2001, conformément aux responsabilités qui lui incombent dans le cadre du portail et qui sont mentionnées dans le présent article.
2. La Commission assure la disponibilité, la maintenance et la sécurité de l'infrastructure informatique du portail.
3. La Commission est responsable des opérations de traitement suivantes:
a)
l'organisation;
b)
la divulgation par transmission;
c)
la diffusion ou la mise à disposition par tout autre moyen;
d)
l'alignement ou la combinaison de données à caractère personnel extraites des bases de données nationales interconnectées ou de données à caractère personnel relatives aux utilisateurs enregistrés.
4. La Commission définit les politiques nécessaires et met en œuvre les solutions techniques appropriées pour s'acquitter des responsabilités qui lui incombent dans le cadre de sa fonction de responsable du traitement.
5. La Commission met en place les mesures techniques requises pour assurer la sécurité des données à caractère personnel pendant leur transit et lors de leur affichage sur le portail, et notamment la confidentialité et l'intégrité de toutes les transmissions en provenance et à destination du portail.
6. La Commission n'est pas responsable des aspects liés à la protection des données à caractère personnel en ce qui concerne:
a)
la collecte et le stockage initiaux des données extraites des bases de données nationales interconnectées;
b)
toute décision prise par les États membres de rendre ces données accessibles par l'intermédiaire du portail;
c)
le contenu des données extraites des bases de données nationales interconnectées rendues accessibles par l'intermédiaire du portail.
7. Les obligations qui incombent à la Commission ne portent pas préjudice aux responsabilités des États membres et des autres entités en ce qui concerne le contenu et l'exploitation des bases de données interconnectées gérées par leurs soins.
Article 5
Obligations en matière d'information
1. La Commission fournit aux personnes concernées les informations énumérées aux articles 11 et 12 du règlement (CE) no 45/2001 en ce qui concerne les informations dont elle est responsable en vertu de la présente décision.
2. Sans préjudice de ses obligations envers les personnes concernées des États membres et d'autres entités gérant les bases de données nationales interconnectées, la Commission indique aussi aux personnes concernées qui contacter pour faire effectivement valoir leurs droits d'information, d'accès, de rectification et d'opposition conformément à la législation applicable en matière de protection des données. La Commission fait référence aux déclarations de confidentialité spécifiques des États membres et des autres entités.
3. La Commission rend aussi disponibles sur le portail:
a)
les traductions, dans les langues du portail, des déclarations de confidentialité des États membres visées au paragraphe 2;
b)
une déclaration complète de confidentialité concernant le portail, conformément aux articles 11 et 12 du règlement (CE) no 45/2001, sous une forme lisible et compréhensible.
Article 6
Stockage des données à caractère personnel
1. En ce qui concerne les échanges d'informations issues de bases de données nationales interconnectées, aucune donnée à caractère personnel relative aux personnes concernées n'est stockée sur le portail. Toutes les données de ce type sont stockées dans les bases de données nationales gérées par les États membres ou d'autres entités.
2. Les données à caractère personnel relatives aux utilisateurs du portail ou fournies par leurs soins ne sont pas stockées sur le portail, sauf lorsque ces utilisateurs se sont enregistrés. Les données à caractère personnel des utilisateurs enregistrés sont stockées jusqu'à ce que ces utilisateurs demandent la suppression de leur enregistrement. Conformément à l'article 3, les données à caractère personnel relatives aux acteurs du portail européen ou aux points de contact e-Justice ne sont stockées que pendant la durée des fonctions de ces personnes.
Article 7
Date d'entrée en vigueur
La présente décision entre en vigueur le vingtième jour suivant sa publication au Journal officiel de l'Union européenne.
Fait à Bruxelles, le 5 juin 2014.