РЕШЕНИЕ НА КОМИСИЯТА
от 5 юни 2014 година
относно защитата на личните данни в Европейския портал за електронно правосъдие
(2014/333/ЕС)
ЕВРОПЕЙСКАТА КОМИСИЯ,
като взе предвид Договора за функционирането на Европейския съюз,
след консултация с Европейския надзорен орган по защита на данните,
като има предвид, че:
(1)
В съобщението си от май 2008 г. (1) Комисията заяви, че ще проектира и създаде Европейски портал за електронно правосъдие (оттук нататък „порталът“), който ще се управлява в тясно сътрудничество с държавите членки.
(2)
Многогодишният план за действие в областта на европейското електронно правосъдие за периода 2009-2013 г. (2) от 8 ноември 2008 г. възложи на Европейската комисия създаването на портала. Порталът стартира на 16 юли 2010 г. Приемането на настоящото решение се налага в този момент, тъй като едва сега порталът е готов за първото свързване на националните регистри, включващо обработка на лични данни.
(3)
Порталът има за цел да допринесе за създаването на европейското съдебно пространство чрез улесняване и подобряване на достъпа до правосъдие, както и чрез използване на информационните и комуникационните технологии за улесняване на трансграничните електронни съдебни производства и на съдебното сътрудничество.
(4)
Институциите, органите, службите и агенциите на Европейския съюз, както и държавите членки, когато прилагат правото на Съюза, трябва да зачитат основните права и да спазват принципите, признати от Хартата на основните права на Европейския съюз, и по-специално правото на защита на личните данни, посочено в член 8 от тази Харта.
(5)
Тъй като различните задачи и функции на Комисията и на държавите членки, които са свързани с портала, ще доведат до различни отговорности и задължения по отношение на защитата на данни, е от съществено значение те да бъдат ясно определени.
(6)
В съответствие със специфичния характер на дейностите, свързани с портала за електронно правосъдие, разработени в сътрудничество между Комисията и държавите членки, ролята на Комисията при обработването на лични данни чрез портала е ограничена. Следва да се поясни, че Комисията не носи отговорност за портала е ограничена. Следва да се поясни, че Комисията не носи отговорност за съдържанието на взаимосвързаните национални бази данни, достъпни посредством портала.
(7)
Регламент (ЕО) № 45/2001 на Европейския парламент и на Съвета (3) се прилага към обработването на лични данни от Комисията в портала. В този контекст Комисията отговаря по-конкретно за предоставянето на ИТ инфраструктура за функционирането на портала, както и за взаимното свързване на националните бази данни.
(8)
Съгласно Регламент (ЕО) № 45/2001 целите на обработването на личните данни следва да бъдат изрично посочени. Поради това обработването на лични данни от Комисията в портала следва да се осъществява само ако е насочено към осигуряване на достъп до взаимосвързани национални бази данни, притежаващи лични данни, предоставяне на интерактивни услуги, позволяващи на потребителите да общуват пряко с компетентните органи на друга държава членка, предоставяне на достъп до публична информация, насочена към регистрираните потребители, или предоставяне на данни за контакт.
(9)
Комисията трябва да въведе технологии в системата, които да отразяват концепцията за „защита на данните още при проектирането“. За прилагането на тази концепция оценката на въздействието върху защитата на данните и неприкосновеността на личния живот трябва да се извърши още по време на програмирането на функцията, свързана с обработката на лични данни чрез портала, както и програмирането на други функционални възможности. Тази оценка ще определи потенциалните рискове за защитата на данните. В нея също така ще се определят подходящите мерки и механизми, които да бъдат включени в системата, за да се защитят личните данни.
(10)
Комисията следва да извършва непрекъснати и подходящи оценки на сигурността, доколкото се извършва работа, свързана с взаимното свързване на националните бази данни.
(11)
Чрез портала може да бъде получен достъп само до публично достъпната информация във взаимосвързаните национални бази данни. Посредством портала не трябва да се дава възможност за комбиниране на информация от различни взаимосвързани национални бази данни за различни цели,
ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:
Член 1
Предмет
Настоящото решение определя функциите и отговорностите на Европейската комисия относно изискванията за защита на данните при обработването на лични данни в Европейския портал за електронно правосъдие (наричан по-долу „порталът“).
Член 2
Определения
За целите на настоящото решение се прилагат определенията, посочени в Регламент (ЕО) № 45/2001. В допълнение се прилагат и следните определения:
а)
„участник в европейското електронно правосъдие“ означава всеки представител на държава членка или на организация партньор в европейското електронно правосъдие, който е получил разрешение да изменя (части от) съдържанието на портала;
б)
„взаимосвързани национални бази данни“ означава управлявани от държавите членки и други органи, като например професионални сдружения и организации с нестопанска цел, бази данни, съдържащи публично достъпна информация, които са свързани чрез портала по такъв начин, че чрез него се осигурява достъп до информацията, която е на разположение на национално равнище;
в)
„публично достъпна информация“ означава информация, достъпна за обществеността чрез интернет;
г)
„регистриран потребител“ означава потребител на портала, който се е регистрирал в него посредством Системата на Европейската комисия за автентификация (ECAS) като „участник в европейското електронно правосъдие“.
Член 3
Обработка на данните
Комисията обработва лични данни в портала само доколкото това е необходимо за целите на:
а)
предоставяне на достъп до взаимосвързани национални бази данни, притежаващи лични данни;
б)
предоставяне на интерактивни услуги, които позволяват на регистрираните потребители да се свържат пряко с компетентните органи в друга държава членка;
в)
предоставяне на достъп до публична информация, насочена към регистрираните потребители;
г)
предоставяне на информация за контакт.
Член 4
Отговорности на администратора на лични данни
1. Комисията изпълнява функциите на администратор на лични данни по смисъла на член 2, буква г) от Регламент (ЕО) № 45/2001, в съответствие със съответните си отговорности в рамките на портала, както е посочено в настоящия член.
2. Комисията осигурява достъпността, поддръжката и сигурността на инфраструктурата на информационните технологии на портала.
3. Комисията отговаря за следните операции по обработване:
а)
организация;
б)
разкриване чрез предаване;
в)
разпространяване или друга форма на предоставяне на данните;
г)
подравняване или комбиниране на личните данни, извлечени от взаимосвързани национални бази данни, или на лични данни на регистрирани потребители.
4. Комисията определя необходимите политики и прилага подходящите технически решения, за да изпълни отговорностите си на администратор на данни.
5. Комисията изпълнява техническите мерки, необходими за гарантиране на сигурността на личните данни при преминаването им и по време на представянето им в портала, и по-специално на поверителността и целостта на всяко предаване от и към портала.
6. Комисията не носи отговорност за аспекти, свързани със защитата на данните, отнасящи се до:
а)
първоначалното събиране и съхранение на данни, извлечени от взаимосвързаните национални бази данни;
б)
всяко решение, взето от държавите членки да направят тези данни достъпни чрез портала;
в)
съдържанието на всички данни, извлечени от взаимосвързаните национални бази данни, достъпни посредством портала.
7. Задълженията на Комисията не засягат отговорностите на държавите членки и другите органи по отношение на съдържанието и функционирането на взаимосвързаните национални бази данни, управлявани от тях.
Член 5
Задължения за предоставяне на информация
1. Комисията предоставя на субектите на данни информацията, посочена в членове 11 и 12 от Регламент (ЕО) № 45/2001 по отношение на информацията, за която Комисията носи отговорност съгласно настоящото решение.
2. Независимо от задълженията на държавите членки и другите органи, управляващи взаимосвързаните национални бази данни, към субектите на данните Комисията също предоставя на тези субекти информация относно това към кого могат да се обърнат за ефективното упражняване на правата си на информация, достъп, коригиране и възражение съгласно приложимото законодателство за защита на данните. Комисията се позовава на конкретни декларации за поверителност на държавите членки и другите органи.
3. Комисията също предоставя на разположение в портала:
а)
превод на езиците на портала на декларациите за поверителност на държавите членки, посочени в параграф 2;
б)
ясна и разбираема изчерпателна декларация за поверителност във връзка с портала в съответствие с членове 11 и 12 от Регламент (EО) № 45/2001.
Член 6
Съхраняване на лични данни
1. По отношение на обмена на информация между взаимосвързаните национални бази данни, лични данни, свързани със субектите на данните, не се съхраняват в портала. Всички такива данни се съхраняват в националните бази данни, управлявани от държавите членки или от други органи.
2. Личните данни, отнасящи се до или предоставени от потребители на портала, не се съхраняват в портала, освен в случаите, когато те вече са се записали като регистрирани потребители. Личните данни на регистрираните потребители се съхраняват, докато те отправят искане за заличаване на регистрацията си. В съответствие с член 3 личните данни на участниците в европейското електронно правосъдие или звената за контакт ще бъдат съхранявани само докато тези лица изпълняват своята функция.
Член 7
Дата на влизане в сила
Настоящото решение влиза в сила на 20-ия ден след публикуването му в Официален вестник на Европейския съюз.
Съставено в Брюксел на 5 юни 2014 година.
DECISÃO DA COMISSÃO
de 5 de junho de 2014
sobre a proteção de dados pessoais no Portal Europeu da Justiça
(2014/333/UE)
A COMISSÃO EUROPEIA,
Tendo em conta o Tratado sobre o Funcionamento da União Europeia,
Após consulta da Autoridade Europeia para a Proteção de Dados,
Considerando o seguinte:
(1)
Na sua Comunicação de maio de 2008 (1), a Comissão declarou que iria conceber e criar o Portal Europeu da Justiça (doravante «Portal»), cuja gestão seria feita em estreita colaboração com os Estados-Membros.
(2)
O Plano de ação plurianual 2009-2013 sobre justiça eletrónica europeia (2), de 8 de novembro de 2008, confiou à Comissão Europeia a implementação do Portal. O Portal foi lançado em 16 de julho de 2010. A adoção da presente decisão só se tornou necessária agora, dado que o Portal está pronto para a primeira interligação dos registos nacionais que implica o tratamento de dados pessoais.
(3)
O Portal tem por objetivo contribuir para a realização do espaço judiciário europeu, facilitando e reforçando o acesso à justiça e mobilizando as tecnologias da informação e da comunicação para facilitar as ações judiciais eletrónicas transnacionais e a cooperação judicial.
(4)
As instituições, organismos, serviços e agências da União Europeia, bem como os Estados-Membros, devem, ao aplicar o direito da União, respeitar os direitos fundamentais e observar os princípios consagrados na Carta dos Direitos Fundamentais da União Europeia, em especial o direito à proteção de dados pessoais previsto no artigo 8.o da referida Carta.
(5)
Visto que as diversas tarefas e funções da Comissão e dos Estados-Membros relacionadas com o Portal implicam diferentes responsabilidades e obrigações em matéria de proteção de dados, é essencial delimitá-las claramente.
(6)
Devido à natureza específica das atividades ligadas ao Portal Europeu da Justiça, fruto da cooperação entre a Comissão e os Estados-Membros, o papel da Comissão no tratamento de dados pessoais através do Portal é limitado. É necessário clarificar que a Comissão não é responsável pelo conteúdo das bases de dados nacionais interligadas disponibilizadas através do Portal.
(7)
O Regulamento (CE) n.o 45/2001 do Parlamento Europeu e do Conselho (3) é aplicável ao tratamento de dados pessoais pela Comissão no Portal. Neste contexto, a Comissão é especificamente responsável por fornecer a infraestrutura de TI para as funcionalidades do Portal, incluindo a interligação das bases de dados nacionais.
(8)
Nos termos do Regulamento (CE) n.o 45/2001, as finalidades do tratamento de dados pessoais devem ser explicitamente indicadas. Por conseguinte, o tratamento de dados pessoais pela Comissão no Portal apenas deve ter lugar se tiver como finalidade proporcionar o acesso a bases de dados nacionais interligadas que contenham dados pessoais, prestar serviços interativos que permitam aos utilizadores comunicar diretamente com as autoridades competentes de outro Estado-Membro, proporcionar o acesso a informações públicas orientadas para os utilizadores registados ou fornecer dados de contacto.
(9)
A Comissão deve integrar no sistema tecnologias que respeitem o conceito de «proteção de dados desde a conceção». Na aplicação deste conceito, deve ser efetuada uma avaliação de impacto na privacidade e na proteção de dados durante a fase de conceção da funcionalidade associada ao tratamento de dados pessoais através do Portal, bem como das outras funcionalidades do Portal. Esta avaliação identificará os potenciais riscos envolvidos. Definirá igualmente as medidas e salvaguardas a integrar no sistema que sejam adequadas para proteger os dados pessoais.
(10)
A Comissão deve proceder a avaliações de segurança contínuas e adequadas relacionadas com os trabalhos de interligação das bases de dados nacionais.
(11)
Apenas as informações disponíveis ao público nas bases de dados nacionais interligadas podem ser consultadas através do Portal. Não deve ser permitido combinar informações de diferentes bases de dados nacionais interligadas para fins diferentes através do Portal,
ADOTOU A PRESENTE DECISÃO:
Artigo 1.o
Objeto
A presente decisão define as funções e responsabilidades da Comissão Europeia no que se refere aos requisitos de proteção de dados aplicáveis ao tratamento de dados pessoais no Portal Europeu da Justiça (doravante «Portal»).
Artigo 2.o
Definições
Para efeitos da presente decisão, são aplicáveis as definições constantes do Regulamento (CE) n.o 45/2001. Além disso, aplicam-se também as seguintes:
a) «Agente do Portal Europeu da Justiça»: qualquer representante de um Estado-Membro ou de uma organização parceira do Portal ao qual tenha sido concedida autorização para modificar o conteúdo do Portal ou partes dele;
b) «Bases de dados nacionais interligadas»: bases de dados que contêm informações acessíveis ao público, geridas pelos Estados-Membros e outros organismos, tais como associações profissionais e organizações sem fins lucrativos, que estão interligadas através do Portal de forma a que as informações disponíveis a nível nacional possam ser consultadas por seu intermédio;
c) «Informações acessíveis ao público»: informações acessíveis ao público através da Internet;
d) «Utilizador registado»: um utilizador do Portal que se registou por meio do Serviço de Autenticação da Comissão Europeia (ECAS), tal como um agente do Portal Europeu da Justiça.
Artigo 3.o
Tratamento de dados
A Comissão deve tratar os dados pessoais no Portal apenas na medida em que tal seja necessário para:
a)
Permitir o acesso a bases de dados nacionais interligadas que contenham dados pessoais;
b)
Prestar serviços interativos que permitam aos utilizadores registados comunicar diretamente com as autoridades competentes de outro Estado-Membro;
c)
Proporcionar o acesso a informações públicas orientadas para os utilizadores registados;
d)
Fornecer dados de contacto.
Artigo 4.o
Funções do responsável pelo tratamento de dados
1. São confiadas à Comissão as funções de responsável pelo tratamento de dados, na aceção do artigo 2.o, alínea d), do Regulamento (CE) n.o 45/2001, em conformidade com as suas próprias responsabilidades no âmbito do Portal, referidas no presente artigo.
2. A Comissão deve assegurar a disponibilidade, manutenção e segurança da infraestrutura de TI do Portal.
3. A Comissão é responsável pelas seguintes operações de tratamento:
a)
Organização;
b)
Divulgação por transmissão;
c)
Divulgação ou disponibilização por outro meio;
d)
Alinhamento ou combinação de dados pessoais decorrentes da interligação entre as bases de dados nacionais ou de dados pessoais de utilizadores registados.
4. A Comissão define as políticas necessárias e aplica as soluções técnicas adequadas para cumprir as suas funções enquanto responsável pelo tratamento dos dados.
5. A Comissão aplica as medidas técnicas necessárias para garantir a segurança dos dados pessoais em trânsito e durante a sua divulgação no Portal, em especial a confidencialidade e integridade de todas as transmissões para o Portal e a partir dele.
6. A Comissão não é responsável pelos aspetos da proteção de dados pessoais relativos:
a)
À recolha inicial e armazenamento de dados decorrentes da interligação de bases de dados nacionais;
b)
A qualquer decisão tomada pelos Estados-Membros para disponibilizar esses dados através do Portal;
c)
Ao conteúdo de quaisquer dados decorrentes da interligação entre as bases de dados nacionais disponíveis através do Portal.
7. As obrigações da Comissão não prejudicam as competências dos Estados-Membros e outros organismos no que se refere ao conteúdo e gestão das bases de dados nacionais interligadas geridas por eles.
Artigo 5.o
Obrigações de informação
1. A Comissão fornece aos titulares dos dados as informações referidas nos artigos 11.o e 12.o do Regulamento (CE) n.o 45/2001, no que diz respeito às informações pelas quais a Comissão é responsável nos termos da presente decisão.
2. Não obstante as obrigações relativas aos titulares dos dados dos Estados-Membros e outros organismos que gerem as bases de dados nacionais interligadas, a Comissão fornece igualmente aos titulares dos dados informações sobre quem contactar para exercer efetivamente os seus direitos de informação, acesso, retificação e objeção, em conformidade com a legislação aplicável em matéria de proteção de dados. A Comissão faz referência às declarações de privacidade dos Estados-Membros e outros organismos.
3. A Comissão disponibiliza também no Portal:
a)
Traduções, para as línguas do Portal, das declarações de privacidade dos Estados-Membros a que se refere o n.o 2;
b)
Uma declaração geral de privacidade relativa ao Portal, em conformidade com os artigos 11.o e 12.o do Regulamento (CE) n.o 45/2001, de forma clara e compreensível.
Artigo 6.o
Armazenamento de dados pessoais
1. No que se refere ao intercâmbio de informações incluídas nas bases de dados nacionais interligadas, nenhum dado pessoal relativo aos titulares dos dados deve ser armazenado no Portal. Todos esses dados devem ser armazenados nas bases de dados nacionais geridas pelos Estados-Membros ou outros organismos.
2. Os dados pessoais relativos a utilizadores do Portal ou fornecidos por eles não devem ser armazenados no Portal, exceto nos casos em que se inscreveram como utilizadores registados. Os dados pessoais dos utilizadores registados devem ser armazenados até que estes solicitem a eliminação do respetivo registo. Em conformidade com o artigo 3.o, os dados pessoais dos agentes do Portal Europeu da Justiça ou dos pontos de contacto só serão conservados enquanto eles desempenharem esta função.
Artigo 7.o
Data de produção de efeitos
A presente decisão entra em vigor no vigésimo dia seguinte ao da sua publicação no Jornal Oficial da União Europeia.
Feito em Bruxelas, em 5 de junho de 2014.