РЕШЕНИЕ НА КОМИСИЯТА
от 5 юни 2014 година
относно защитата на личните данни в Европейския портал за електронно правосъдие
(2014/333/ЕС)
ЕВРОПЕЙСКАТА КОМИСИЯ,
като взе предвид Договора за функционирането на Европейския съюз,
след консултация с Европейския надзорен орган по защита на данните,
като има предвид, че:
(1)
В съобщението си от май 2008 г. (1) Комисията заяви, че ще проектира и създаде Европейски портал за електронно правосъдие (оттук нататък „порталът“), който ще се управлява в тясно сътрудничество с държавите членки.
(2)
Многогодишният план за действие в областта на европейското електронно правосъдие за периода 2009-2013 г. (2) от 8 ноември 2008 г. възложи на Европейската комисия създаването на портала. Порталът стартира на 16 юли 2010 г. Приемането на настоящото решение се налага в този момент, тъй като едва сега порталът е готов за първото свързване на националните регистри, включващо обработка на лични данни.
(3)
Порталът има за цел да допринесе за създаването на европейското съдебно пространство чрез улесняване и подобряване на достъпа до правосъдие, както и чрез използване на информационните и комуникационните технологии за улесняване на трансграничните електронни съдебни производства и на съдебното сътрудничество.
(4)
Институциите, органите, службите и агенциите на Европейския съюз, както и държавите членки, когато прилагат правото на Съюза, трябва да зачитат основните права и да спазват принципите, признати от Хартата на основните права на Европейския съюз, и по-специално правото на защита на личните данни, посочено в член 8 от тази Харта.
(5)
Тъй като различните задачи и функции на Комисията и на държавите членки, които са свързани с портала, ще доведат до различни отговорности и задължения по отношение на защитата на данни, е от съществено значение те да бъдат ясно определени.
(6)
В съответствие със специфичния характер на дейностите, свързани с портала за електронно правосъдие, разработени в сътрудничество между Комисията и държавите членки, ролята на Комисията при обработването на лични данни чрез портала е ограничена. Следва да се поясни, че Комисията не носи отговорност за портала е ограничена. Следва да се поясни, че Комисията не носи отговорност за съдържанието на взаимосвързаните национални бази данни, достъпни посредством портала.
(7)
Регламент (ЕО) № 45/2001 на Европейския парламент и на Съвета (3) се прилага към обработването на лични данни от Комисията в портала. В този контекст Комисията отговаря по-конкретно за предоставянето на ИТ инфраструктура за функционирането на портала, както и за взаимното свързване на националните бази данни.
(8)
Съгласно Регламент (ЕО) № 45/2001 целите на обработването на личните данни следва да бъдат изрично посочени. Поради това обработването на лични данни от Комисията в портала следва да се осъществява само ако е насочено към осигуряване на достъп до взаимосвързани национални бази данни, притежаващи лични данни, предоставяне на интерактивни услуги, позволяващи на потребителите да общуват пряко с компетентните органи на друга държава членка, предоставяне на достъп до публична информация, насочена към регистрираните потребители, или предоставяне на данни за контакт.
(9)
Комисията трябва да въведе технологии в системата, които да отразяват концепцията за „защита на данните още при проектирането“. За прилагането на тази концепция оценката на въздействието върху защитата на данните и неприкосновеността на личния живот трябва да се извърши още по време на програмирането на функцията, свързана с обработката на лични данни чрез портала, както и програмирането на други функционални възможности. Тази оценка ще определи потенциалните рискове за защитата на данните. В нея също така ще се определят подходящите мерки и механизми, които да бъдат включени в системата, за да се защитят личните данни.
(10)
Комисията следва да извършва непрекъснати и подходящи оценки на сигурността, доколкото се извършва работа, свързана с взаимното свързване на националните бази данни.
(11)
Чрез портала може да бъде получен достъп само до публично достъпната информация във взаимосвързаните национални бази данни. Посредством портала не трябва да се дава възможност за комбиниране на информация от различни взаимосвързани национални бази данни за различни цели,
ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:
Член 1
Предмет
Настоящото решение определя функциите и отговорностите на Европейската комисия относно изискванията за защита на данните при обработването на лични данни в Европейския портал за електронно правосъдие (наричан по-долу „порталът“).
Член 2
Определения
За целите на настоящото решение се прилагат определенията, посочени в Регламент (ЕО) № 45/2001. В допълнение се прилагат и следните определения:
а)
„участник в европейското електронно правосъдие“ означава всеки представител на държава членка или на организация партньор в европейското електронно правосъдие, който е получил разрешение да изменя (части от) съдържанието на портала;
б)
„взаимосвързани национални бази данни“ означава управлявани от държавите членки и други органи, като например професионални сдружения и организации с нестопанска цел, бази данни, съдържащи публично достъпна информация, които са свързани чрез портала по такъв начин, че чрез него се осигурява достъп до информацията, която е на разположение на национално равнище;
в)
„публично достъпна информация“ означава информация, достъпна за обществеността чрез интернет;
г)
„регистриран потребител“ означава потребител на портала, който се е регистрирал в него посредством Системата на Европейската комисия за автентификация (ECAS) като „участник в европейското електронно правосъдие“.
Член 3
Обработка на данните
Комисията обработва лични данни в портала само доколкото това е необходимо за целите на:
а)
предоставяне на достъп до взаимосвързани национални бази данни, притежаващи лични данни;
б)
предоставяне на интерактивни услуги, които позволяват на регистрираните потребители да се свържат пряко с компетентните органи в друга държава членка;
в)
предоставяне на достъп до публична информация, насочена към регистрираните потребители;
г)
предоставяне на информация за контакт.
Член 4
Отговорности на администратора на лични данни
1. Комисията изпълнява функциите на администратор на лични данни по смисъла на член 2, буква г) от Регламент (ЕО) № 45/2001, в съответствие със съответните си отговорности в рамките на портала, както е посочено в настоящия член.
2. Комисията осигурява достъпността, поддръжката и сигурността на инфраструктурата на информационните технологии на портала.
3. Комисията отговаря за следните операции по обработване:
а)
организация;
б)
разкриване чрез предаване;
в)
разпространяване или друга форма на предоставяне на данните;
г)
подравняване или комбиниране на личните данни, извлечени от взаимосвързани национални бази данни, или на лични данни на регистрирани потребители.
4. Комисията определя необходимите политики и прилага подходящите технически решения, за да изпълни отговорностите си на администратор на данни.
5. Комисията изпълнява техническите мерки, необходими за гарантиране на сигурността на личните данни при преминаването им и по време на представянето им в портала, и по-специално на поверителността и целостта на всяко предаване от и към портала.
6. Комисията не носи отговорност за аспекти, свързани със защитата на данните, отнасящи се до:
а)
първоначалното събиране и съхранение на данни, извлечени от взаимосвързаните национални бази данни;
б)
всяко решение, взето от държавите членки да направят тези данни достъпни чрез портала;
в)
съдържанието на всички данни, извлечени от взаимосвързаните национални бази данни, достъпни посредством портала.
7. Задълженията на Комисията не засягат отговорностите на държавите членки и другите органи по отношение на съдържанието и функционирането на взаимосвързаните национални бази данни, управлявани от тях.
Член 5
Задължения за предоставяне на информация
1. Комисията предоставя на субектите на данни информацията, посочена в членове 11 и 12 от Регламент (ЕО) № 45/2001 по отношение на информацията, за която Комисията носи отговорност съгласно настоящото решение.
2. Независимо от задълженията на държавите членки и другите органи, управляващи взаимосвързаните национални бази данни, към субектите на данните Комисията също предоставя на тези субекти информация относно това към кого могат да се обърнат за ефективното упражняване на правата си на информация, достъп, коригиране и възражение съгласно приложимото законодателство за защита на данните. Комисията се позовава на конкретни декларации за поверителност на държавите членки и другите органи.
3. Комисията също предоставя на разположение в портала:
а)
превод на езиците на портала на декларациите за поверителност на държавите членки, посочени в параграф 2;
б)
ясна и разбираема изчерпателна декларация за поверителност във връзка с портала в съответствие с членове 11 и 12 от Регламент (EО) № 45/2001.
Член 6
Съхраняване на лични данни
1. По отношение на обмена на информация между взаимосвързаните национални бази данни, лични данни, свързани със субектите на данните, не се съхраняват в портала. Всички такива данни се съхраняват в националните бази данни, управлявани от държавите членки или от други органи.
2. Личните данни, отнасящи се до или предоставени от потребители на портала, не се съхраняват в портала, освен в случаите, когато те вече са се записали като регистрирани потребители. Личните данни на регистрираните потребители се съхраняват, докато те отправят искане за заличаване на регистрацията си. В съответствие с член 3 личните данни на участниците в европейското електронно правосъдие или звената за контакт ще бъдат съхранявани само докато тези лица изпълняват своята функция.
Член 7
Дата на влизане в сила
Настоящото решение влиза в сила на 20-ия ден след публикуването му в Официален вестник на Европейския съюз.
Съставено в Брюксел на 5 юни 2014 година.
BESLUIT VAN DE COMMISSIE
van 5 juni 2014
inzake de bescherming van persoonsgegevens op het Europese e-justitieportaal
(2014/333/EU)
DE EUROPESE COMMISSIE,
Gezien het Verdrag betreffende de werking van de Europese Unie,
Na raadpleging van de Europese Toezichthouder voor gegevensbescherming,
Overwegende hetgeen volgt:
(1)
In haar mededeling van mei 2008 (1) verklaarde de Commissie het Europese e-justitieportaal (hierna: de „portaalsite” genoemd) te zullen ontwerpen, invoeren en beheren, dit laatste in nauwe samenwerking met de lidstaten.
(2)
Op grond van het meerjarenactieplan 2009-2013 voor Europese e-justitie (2) van 8 november 2008 werd de tenuitvoerlegging van de portaalsite aan de Europese Commissie toevertrouwd. De portaalsite is op 16 juli 2010 gestart. Het onderhavige besluit hoefde niet eerder te worden vastgesteld, omdat de portaalsite pas nu klaar is voor de eerste onderlinge koppeling van nationale registers waarbij persoonsgegevens worden verwerkt.
(3)
De portaalsite moet bijdragen tot de totstandkoming van de Europese rechtsruimte door de toegang tot justitie te vergemakkelijken en te verbeteren alsook grensoverschrijdende elektronische gerechtelijke procedures door middel van ICT te bevorderen.
(4)
De instellingen, organen en instanties van de Unie alsook de lidstaten wanneer zij het recht van de Unie ten uitvoer leggen, moeten de grondrechten eerbiedigen en de beginselen in acht nemen die zijn vervat in het Handvest van de grondrechten van de Europese Unie, en met name het in artikel 8 van het Handvest vastgelegde recht op bescherming van persoonsgegevens.
(5)
Aangezien de Commissie en de lidstaten met betrekking tot de portaalsite uiteenlopende taken en functies hebben, is het van groot belang om de verschillende verantwoordelijkheden en plichten die deze uit het oogpunt van gegevensbescherming meebrengen, duidelijk af te bakenen.
(6)
Gelet op de specifieke aard van de activiteiten die in verband met de portaalsite door de Commissie en de lidstaten worden ontplooid, speelt de Commissie een beperkte rol bij de verwerking van persoonsgegevens via de portaalsite. Er dient te worden verduidelijkt dat de Commissie niet verantwoordelijk is voor de via de portaalsite ontsloten inhoud van onderling gekoppelde nationale gegevensbanken.
(7)
Verordening (EG) nr. 45/2001 van het Europees Parlement en de Raad (3) is van toepassing op de verwerking van persoonsgegevens door de Commissie via de portaalsite. In dit verband is het met name de verantwoordelijkheid van de Commissie om te voorzien in de IT-infrastructuur voor de functies van de portaalsite, waaronder de onderlinge koppeling van de nationale gegevensbanken.
(8)
Overeenkomstig Verordening (EG) nr. 45/2001 dienen de doeleinden voor de verwerking van persoonsgegevens uitdrukkelijk te worden vastgesteld. De Commissie mag persoonsgegevens dan ook uitsluitend via de portaalsite verwerken om onderling gekoppelde nationale gegevensbanken met persoonsgegevens te ontsluiten, interactieve diensten te verlenen met behulp waarvan gebruikers rechtstreeks met de bevoegde autoriteiten in een andere lidstaat kunnen communiceren, toegang te bieden tot openbare informatie bestemd voor geregistreerde gebruikers, of contactgegevens te verstrekken.
(9)
De technologieën die de Commissie in het systeem integreert, dienen in overeenstemming te zijn met het beginsel van „ingebouwde gegevensbescherming”. Voor de toepassing van dit beginsel dient een privacyeffectbeoordeling te worden verricht in de fase waarin, naast andere functies, de functie van de portaalsite wordt ontwikkeld die betrekking heeft op de verwerking van persoonsgegevens. Bij deze beoordeling zullen de potentiële gegevensbeschermingsrisico's worden vastgesteld. Ook zullen toepasselijke maatregelen en waarborgen worden geformuleerd die met het oog op de bescherming van persoonsgegevens in het systeem moeten worden opgenomen.
(10)
De Commissie dient voortdurend passende veiligheidsbeoordelingen te verrichten, voor zover er werk wordt verricht dat betrekking heeft op de onderlinge koppeling van nationale gegevensbanken.
(11)
De portaalsite biedt uitsluitend toegang tot openbaar beschikbare informatie in onderling gekoppelde nationale gegevensbanken. Het moet niet mogelijk zijn om via de portaalsite informatie uit verschillende onderling gekoppelde nationale gegevensbanken voor andere doeleinden te combineren,
HEEFT HET VOLGENDE BESLUIT VASTGESTELD:
Artikel 1
Onderwerp
In dit besluit worden de taken en verantwoordelijkheden vastgesteld die de Europese Commissie op grond van de gegevensbeschermingsvoorschriften heeft bij de verwerking van persoonsgegevens via het Europese e-justitieportaal (hierna: „de portaalsite” genoemd).
Artikel 2
Definities
Voor de doeleinden van deze verordening zijn de definities van Verordening (EG) nr. 45/2001 van toepassing. Daarnaast wordt verstaan onder:
a) „partij bij de Europese e-justitie”: elke vertegenwoordiger van een lidstaat of een partnerorganisatie van Europese e-justitie die gemachtigd is om (delen van) de inhoud van de portaalsite te wijzigen;
b) „onderling gekoppelde nationale gegevensbanken”: gegevensbanken met openbaar toegankelijke informatie, beheerd door de lidstaten en andere organen, zoals beroepsorganisaties en organisaties zonder winstoogmerk, die via de portaalsite zodanig onderling gekoppeld zijn dat de op nationaal niveau beschikbare informatie via de portaalsite toegankelijk is;
c) „voor het publiek toegankelijke informatie”: informatie die openbaar beschikbaar is via internet;
d) „geregistreerde gebruiker”: een gebruiker van de portaalsite die als zodanig is geregistreerd bij de authenticatiedienst van de Europese Commissie (ECAS), zoals een „partij bij de Europese e-justitie”.
Artikel 3
Gegevensverwerking
De Commissie verwerkt persoonsgegevens alleen voor zover nodig om:
a)
toegang te bieden tot onderling gekoppelde gegevensbanken met persoonsgegevens;
b)
interactieve diensten te verlenen met behulp waarvan geregistreerde gebruikers rechtstreeks kunnen communiceren met de bevoegde autoriteiten in een andere lidstaat;
c)
toegang te bieden tot openbare informatie die voor geregistreerde gebruikers is bestemd;
d)
contactinformatie te verstrekken.
Artikel 4
Voor de verwerking verantwoordelijke
1. De Commissie is de voor de verwerking verantwoordelijke in de zin van artikel 2, onder d), van Verordening (EG) nr. 45/2001, overeenkomstig haar respectieve verantwoordelijkheden in het kader van de portaalsite als beschreven in dit artikel.
2. De Commissie waarborgt de beschikbaarheid, het onderhoud en de veiligheid van de IT-infrastructuur van de portaalsite.
3. De Commissie is verantwoordelijk voor de volgende verwerkingen:
a)
ordenen;
b)
verstrekken door middel van doorgifte;
c)
verspreiden of op enigerlei andere wijze ter beschikking stellen;
d)
samenbrengen of met elkaar in verband brengen van persoonsgegevens die zijn ontleend aan onderling gekoppelde nationale gegevensbanken of van persoonsgegevens van geregistreerde gebruikers.
4. De Commissie stelt daartoe het noodzakelijke beleid vast en past geschikte technische oplossingen toe om haar taken als voor de verwerking verantwoordelijke uit te oefenen.
5. De Commissie voert de technische maatregelen uit die nodig zijn om de veiligheid van de persoonsgegevens te waarborgen bij doorgifte en weergave via de portaalsite, met name wat betreft de vertrouwelijkheid en integriteit bij doorgifte van en naar de portaalsite.
6. De Commissie is niet verantwoordelijk voor de gegevensbeschermingsaspecten die betrekking hebben op:
a)
de aanvankelijke verzameling en opslag van gegevens die aan onderling gekoppelde nationale gegevensbanken zijn ontleend;
b)
beslissingen van de lidstaten om dergelijke gegevens beschikbaar te stellen via de portaalsite;
c)
de inhoud van aan onderling gekoppelde nationale gegevensbanken ontleende gegevens die beschikbaar worden gesteld via de portaalsite.
7. De verplichtingen van de Commissie doen geen afbreuk aan de verantwoordelijkheden die de lidstaten en andere organen hebben voor de inhoud en de werking van de onderling gekoppelde nationale gegevensbanken die zij beheren.
Artikel 5
Informatieplicht
1. De Commissie verstrekt betrokkenen de in de artikelen 11 en 12 van Verordening (EG) nr. 45/2001 omschreven informatie, voor zover het informatie betreft waarvoor de Commissie op grond van dit besluit verantwoordelijk is.
2. Ongeacht de verplichtingen die de lidstaten en andere organen die de onderling gekoppelde nationale gegevensbanken beheren, hebben jegens betrokkenen, verstrekt de Commissie betrokkenen ook informatie over de instanties waartoe zij zich moeten richten om overeenkomstig de toepasselijke gegevensbeschermingswetgeving hun recht op informatie, hun recht van toegang, hun recht van rectificatie en hun recht van bezwaar doeltreffend te kunnen uitoefenen. De Commissie verwijst naar specifieke privacyverklaringen van de lidstaten en andere organen.
3. De Commissie stelt ook het navolgende beschikbaar op de portaalsite:
a)
vertalingen, in de talen van de portaalsite, van de in lid 2 bedoelde privacyverklaringen van de lidstaten;
b)
een uitgebreide privacyverklaring met betrekking tot de portaalsite in een duidelijke en begrijpelijke vorm, overeenkomstig de artikelen 11 en 12 van Verordening (EG) nr. 45/2001.
Artikel 6
Bewaring van persoonsgegevens
1. Met betrekking tot de informatie-uitwisseling tussen onderling gekoppelde gegevensbanken worden op de portaalsite geen persoonsgegevens over de betrokkenen bewaard. Dergelijke gegevens worden bewaard in de door de lidstaten en andere organen beheerde nationale gegevensbanken.
2. Persoonsgegevens die betrekking hebben op of verstrekt zijn door gebruikers van de portaalsite worden niet op de portaalsite bewaard, tenzij deze zich als geregistreerde gebruikers hebben ingeschreven. Persoonsgegevens van geregistreerde gebruikers worden bewaard totdat de betrokkenen om schrapping van hun registratie verzoeken. Overeenkomstig artikel 3 worden persoonsgegevens over partijen bij of contactpunten van de Europese e-justitie slechts bewaard zolang de betrokkenen hun functie vervullen.
Artikel 7
Datum van inwerkingtreding
Dit besluit treedt in werking op de twintigste dag na die van de bekendmaking ervan in het Publicatieblad van de Europese Unie.
Gedaan te Brussel, 5 juni 2014.