PROVÁDĚCÍ NAŘÍZENÍ KOMISE (EU) č. 1179/2011
ze dne 17. listopadu 2011,
kterým se stanoví technické specifikace pro online systémy sběru podle nařízení Evropského parlamentu a Rady (EU) č. 211/2011 o občanské iniciativě
EVROPSKÁ KOMISE,
s ohledem na Smlouvu o fungování Evropské unie,
s ohledem na nařízení Evropského parlamentu a Rady (EU) č. 211/2011 ze dne 16. února 2011 o občanské iniciativě (1), a zejména na čl. 6 odst. 5 uvedeného nařízení,
po konzultaci s evropským inspektorem ochrany údajů,
vzhledem k těmto důvodům:
(1)
Nařízení (EU) č. 211/2011 stanoví, že pokud se prohlášení o podpoře sbírají online, systém použitý k tomuto účelu musí splňovat určité bezpečnostní a technické požadavky a musí mít potvrzení od příslušného orgánu dotčeného členského státu.
(2)
Online systém sběru ve smyslu nařízení (EU) č. 211/2011 je informační systém, který se skládá ze softwaru, hardwaru, hostitelského prostředí, pracovních postupů a personálu a jehož cílem je provádět online sběr prohlášení o podpoře.
(3)
Nařízení (EU) č. 211/2011 vymezuje požadavky, které musí online systémy sběru splňovat, aby dostaly potvrzení, a stanoví, že Komise by měla přijmout technické specifikace k provedení těchto požadavků.
(4)
Projekt Top 10 2010 neziskového sdružení OWASP (Open Web Application Security Project) poskytuje přehled nejvážnějších bezpečnostních rizik webových aplikací a nástrojů k řešení těchto rizik; technické specifikace proto vycházejí ze závěrů tohoto projektu.
(5)
Provedení technických specifikací ze strany organizátorů by mělo zaručit, že orgány členských států potvrdí online systémy sběru, a mělo by pomoci zajistit provádění příslušných technických a organizačních opatření potřebných ke splnění povinností stanovených směrnicí Evropského parlamentu a Rady 95/46/ES (2) o bezpečnosti zpracování jak v době, kdy se systém zpracovávání navrhuje, tak v době samotného zpracování, aby se udrželo zabezpečení, předešlo se neoprávněnému zpracovávání a aby byla zajištěna ochrana osobních údajů před náhodným nebo nezákonným zničením či náhodnou ztrátou, změnou, neoprávněným odhalením nebo přístupem.
(6)
Využívání softwaru poskytnutého Komisí v souladu s článkem 6 odst. 2 nařízení (EU) č. 211/2011 ze strany organizátorů by mělo usnadnit postup vydávání potvrzení.
(7)
Organizátoři občanských iniciativ by coby správci údajů měli při online sběru prohlášení o podpoře provádět technické specifikace stanovené v tomto nařízení s cílem zajistit ochranu zpracovávaných osobních údajů. Pokud zpracovávání provádí zpracovatel, organizátoři by měli zajistit, aby zpracovatel postupoval jen na základě pokynů organizátorů a aby prováděl technické specifikace stanovené v tomto nařízení.
(8)
Toto nařízení dodržuje základní práva a ctí zásady uznávané Listinou základních práv Evropské unie, zejména článek 8 uvedené listiny, který stanoví, že každý má právo na ochranu osobních údajů, které se ho týkají.
(9)
Opatření stanovená tímto nařízením jsou v souladu se stanoviskem výboru zřízeného podle článku 20 nařízení (EU) č. 211/2011,
PŘIJALA TOTO NAŘÍZENÍ:
Článek 1
Technické specifikace uvedené v čl. 6 odst. 5 nařízení (EU) č. 211/2011 jsou stanoveny v příloze.
Článek 2
Toto nařízení vstupuje v platnost dvacátý den po jeho vyhlášení v Úředním věstníku Evropské unie.
Toto nařízení je závazné v celém rozsahu a přímo použitelné ve všech členských státech.
V Bruselu dne 17. listopadu 2011.
RÈGLEMENT D’EXÉCUTION (UE) No 1179/2011 DE LA COMMISSION
du 17 novembre 2011
établissant des spécifications techniques pour les systèmes de collecte en ligne conformément au règlement (UE) no 211/2011 du Parlement européen et du Conseil relatif à l’initiative citoyenne
LA COMMISSION EUROPÉENNE,
vu le traité sur le fonctionnement de l’Union européenne,
vu le règlement (UE) no 211/2011 du Parlement européen et du Conseil du 16 février 2011 relatif à l’initiative citoyenne (1), et notamment son article 6, paragraphe 5,
après consultation du Contrôleur européen de la protection des données,
considérant ce qui suit:
(1)
Le règlement (UE) no 211/2011 prévoit que lorsque les déclarations de soutien sont recueillies en ligne, le système utilisé à cette fin doit satisfaire à certaines exigences en matière de sécurité et sur le plan technique et doit être certifié par l’autorité compétente de l’État membre concerné.
(2)
Un système de collecte en ligne au sens du règlement (UE) no 211/2011 est un système d’information composé d’un logiciel, de matériel, d’un environnement d’hébergement, de processus métier et de professionnels propres à assurer la collecte en ligne des déclarations de soutien.
(3)
Le règlement (UE) no 211/2011 établit les exigences auxquelles les systèmes de collecte en ligne doivent satisfaire pour pouvoir être certifiés et prévoit que la Commission adopte des spécifications techniques pour la mise en œuvre de ces exigences.
(4)
Le Top 10 2010 de l’OWASP (Open Web Application Security Project) donne une vue d’ensemble des risques de sécurité applicatifs web les plus critiques ainsi que des outils permettant de faire face à ces risques. Les spécifications techniques s’appuient sur les résultats de ce projet.
(5)
La mise en œuvre des spécifications techniques par les organisateurs devrait garantir la certification des systèmes de collecte en ligne par les autorités des États membres et contribuer à assurer l’application des mesures techniques et organisationnelles nécessaires au respect des obligations imposées par la directive 95/46/CE du Parlement européen et du Conseil (2) en ce qui concerne la sécurité des activités de traitement, tant au moment de la conception du système de traitement qu’au moment du traitement proprement dit, afin de préserver la sécurité et, ainsi, de prévenir tout traitement non autorisé et de protéger les données à caractère personnel contre la destruction accidentelle ou illicite, la perte accidentelle, l’altération, la communication ou l’accès non autorisés.
(6)
L’utilisation, par les organisateurs, du logiciel fourni par la Commission conformément à l’article 6, paragraphe 2, du règlement (UE) no 211/2011 devrait faciliter le processus de certification.
(7)
Les organisateurs d’initiatives citoyennes, tout comme les responsables du traitement, devraient, lorsqu’ils recueillent des déclarations de soutien en ligne, mettre en œuvre les spécifications techniques établies dans le présent règlement afin de garantir la protection des données à caractère personnel traitées. Lorsque le traitement est effectué par un sous-traitant, les organisateurs devraient veiller à ce que ce dernier n’agisse que sur leur seule instruction et à ce qu’il mette en œuvre les spécifications techniques prévues par le présent règlement.
(8)
Le présent règlement respecte les droits fondamentaux et observe les principes consacrés par la charte des droits fondamentaux de l’Union européenne, notamment son article 8, qui dispose que toute personne a droit à la protection des données à caractère personnel la concernant.
(9)
Les mesures prévues par le présent règlement sont conformes à l’avis du comité institué par l’article 20 du règlement (UE) no 211/2011,
A ADOPTÉ LE PRÉSENT RÈGLEMENT:
Article premier
Les spécifications techniques mentionnées à l’article 6, paragraphe 5, du règlement (UE) no 211/2011 sont établies en annexe.
Article 2
Le présent règlement entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne.
Le présent règlement est obligatoire dans tous ses éléments et directement applicable dans tout État membre.
Fait à Bruxelles, le 17 novembre 2011.