РЕШЕНИЕ НА КОМИСИЯТА
от 5 юни 2014 година
относно защитата на личните данни в Европейския портал за електронно правосъдие
(2014/333/ЕС)
ЕВРОПЕЙСКАТА КОМИСИЯ,
като взе предвид Договора за функционирането на Европейския съюз,
след консултация с Европейския надзорен орган по защита на данните,
като има предвид, че:
(1)
В съобщението си от май 2008 г. (1) Комисията заяви, че ще проектира и създаде Европейски портал за електронно правосъдие (оттук нататък „порталът“), който ще се управлява в тясно сътрудничество с държавите членки.
(2)
Многогодишният план за действие в областта на европейското електронно правосъдие за периода 2009-2013 г. (2) от 8 ноември 2008 г. възложи на Европейската комисия създаването на портала. Порталът стартира на 16 юли 2010 г. Приемането на настоящото решение се налага в този момент, тъй като едва сега порталът е готов за първото свързване на националните регистри, включващо обработка на лични данни.
(3)
Порталът има за цел да допринесе за създаването на европейското съдебно пространство чрез улесняване и подобряване на достъпа до правосъдие, както и чрез използване на информационните и комуникационните технологии за улесняване на трансграничните електронни съдебни производства и на съдебното сътрудничество.
(4)
Институциите, органите, службите и агенциите на Европейския съюз, както и държавите членки, когато прилагат правото на Съюза, трябва да зачитат основните права и да спазват принципите, признати от Хартата на основните права на Европейския съюз, и по-специално правото на защита на личните данни, посочено в член 8 от тази Харта.
(5)
Тъй като различните задачи и функции на Комисията и на държавите членки, които са свързани с портала, ще доведат до различни отговорности и задължения по отношение на защитата на данни, е от съществено значение те да бъдат ясно определени.
(6)
В съответствие със специфичния характер на дейностите, свързани с портала за електронно правосъдие, разработени в сътрудничество между Комисията и държавите членки, ролята на Комисията при обработването на лични данни чрез портала е ограничена. Следва да се поясни, че Комисията не носи отговорност за портала е ограничена. Следва да се поясни, че Комисията не носи отговорност за съдържанието на взаимосвързаните национални бази данни, достъпни посредством портала.
(7)
Регламент (ЕО) № 45/2001 на Европейския парламент и на Съвета (3) се прилага към обработването на лични данни от Комисията в портала. В този контекст Комисията отговаря по-конкретно за предоставянето на ИТ инфраструктура за функционирането на портала, както и за взаимното свързване на националните бази данни.
(8)
Съгласно Регламент (ЕО) № 45/2001 целите на обработването на личните данни следва да бъдат изрично посочени. Поради това обработването на лични данни от Комисията в портала следва да се осъществява само ако е насочено към осигуряване на достъп до взаимосвързани национални бази данни, притежаващи лични данни, предоставяне на интерактивни услуги, позволяващи на потребителите да общуват пряко с компетентните органи на друга държава членка, предоставяне на достъп до публична информация, насочена към регистрираните потребители, или предоставяне на данни за контакт.
(9)
Комисията трябва да въведе технологии в системата, които да отразяват концепцията за „защита на данните още при проектирането“. За прилагането на тази концепция оценката на въздействието върху защитата на данните и неприкосновеността на личния живот трябва да се извърши още по време на програмирането на функцията, свързана с обработката на лични данни чрез портала, както и програмирането на други функционални възможности. Тази оценка ще определи потенциалните рискове за защитата на данните. В нея също така ще се определят подходящите мерки и механизми, които да бъдат включени в системата, за да се защитят личните данни.
(10)
Комисията следва да извършва непрекъснати и подходящи оценки на сигурността, доколкото се извършва работа, свързана с взаимното свързване на националните бази данни.
(11)
Чрез портала може да бъде получен достъп само до публично достъпната информация във взаимосвързаните национални бази данни. Посредством портала не трябва да се дава възможност за комбиниране на информация от различни взаимосвързани национални бази данни за различни цели,
ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:
Член 1
Предмет
Настоящото решение определя функциите и отговорностите на Европейската комисия относно изискванията за защита на данните при обработването на лични данни в Европейския портал за електронно правосъдие (наричан по-долу „порталът“).
Член 2
Определения
За целите на настоящото решение се прилагат определенията, посочени в Регламент (ЕО) № 45/2001. В допълнение се прилагат и следните определения:
а)
„участник в европейското електронно правосъдие“ означава всеки представител на държава членка или на организация партньор в европейското електронно правосъдие, който е получил разрешение да изменя (части от) съдържанието на портала;
б)
„взаимосвързани национални бази данни“ означава управлявани от държавите членки и други органи, като например професионални сдружения и организации с нестопанска цел, бази данни, съдържащи публично достъпна информация, които са свързани чрез портала по такъв начин, че чрез него се осигурява достъп до информацията, която е на разположение на национално равнище;
в)
„публично достъпна информация“ означава информация, достъпна за обществеността чрез интернет;
г)
„регистриран потребител“ означава потребител на портала, който се е регистрирал в него посредством Системата на Европейската комисия за автентификация (ECAS) като „участник в европейското електронно правосъдие“.
Член 3
Обработка на данните
Комисията обработва лични данни в портала само доколкото това е необходимо за целите на:
а)
предоставяне на достъп до взаимосвързани национални бази данни, притежаващи лични данни;
б)
предоставяне на интерактивни услуги, които позволяват на регистрираните потребители да се свържат пряко с компетентните органи в друга държава членка;
в)
предоставяне на достъп до публична информация, насочена към регистрираните потребители;
г)
предоставяне на информация за контакт.
Член 4
Отговорности на администратора на лични данни
1. Комисията изпълнява функциите на администратор на лични данни по смисъла на член 2, буква г) от Регламент (ЕО) № 45/2001, в съответствие със съответните си отговорности в рамките на портала, както е посочено в настоящия член.
2. Комисията осигурява достъпността, поддръжката и сигурността на инфраструктурата на информационните технологии на портала.
3. Комисията отговаря за следните операции по обработване:
а)
организация;
б)
разкриване чрез предаване;
в)
разпространяване или друга форма на предоставяне на данните;
г)
подравняване или комбиниране на личните данни, извлечени от взаимосвързани национални бази данни, или на лични данни на регистрирани потребители.
4. Комисията определя необходимите политики и прилага подходящите технически решения, за да изпълни отговорностите си на администратор на данни.
5. Комисията изпълнява техническите мерки, необходими за гарантиране на сигурността на личните данни при преминаването им и по време на представянето им в портала, и по-специално на поверителността и целостта на всяко предаване от и към портала.
6. Комисията не носи отговорност за аспекти, свързани със защитата на данните, отнасящи се до:
а)
първоначалното събиране и съхранение на данни, извлечени от взаимосвързаните национални бази данни;
б)
всяко решение, взето от държавите членки да направят тези данни достъпни чрез портала;
в)
съдържанието на всички данни, извлечени от взаимосвързаните национални бази данни, достъпни посредством портала.
7. Задълженията на Комисията не засягат отговорностите на държавите членки и другите органи по отношение на съдържанието и функционирането на взаимосвързаните национални бази данни, управлявани от тях.
Член 5
Задължения за предоставяне на информация
1. Комисията предоставя на субектите на данни информацията, посочена в членове 11 и 12 от Регламент (ЕО) № 45/2001 по отношение на информацията, за която Комисията носи отговорност съгласно настоящото решение.
2. Независимо от задълженията на държавите членки и другите органи, управляващи взаимосвързаните национални бази данни, към субектите на данните Комисията също предоставя на тези субекти информация относно това към кого могат да се обърнат за ефективното упражняване на правата си на информация, достъп, коригиране и възражение съгласно приложимото законодателство за защита на данните. Комисията се позовава на конкретни декларации за поверителност на държавите членки и другите органи.
3. Комисията също предоставя на разположение в портала:
а)
превод на езиците на портала на декларациите за поверителност на държавите членки, посочени в параграф 2;
б)
ясна и разбираема изчерпателна декларация за поверителност във връзка с портала в съответствие с членове 11 и 12 от Регламент (EО) № 45/2001.
Член 6
Съхраняване на лични данни
1. По отношение на обмена на информация между взаимосвързаните национални бази данни, лични данни, свързани със субектите на данните, не се съхраняват в портала. Всички такива данни се съхраняват в националните бази данни, управлявани от държавите членки или от други органи.
2. Личните данни, отнасящи се до или предоставени от потребители на портала, не се съхраняват в портала, освен в случаите, когато те вече са се записали като регистрирани потребители. Личните данни на регистрираните потребители се съхраняват, докато те отправят искане за заличаване на регистрацията си. В съответствие с член 3 личните данни на участниците в европейското електронно правосъдие или звената за контакт ще бъдат съхранявани само докато тези лица изпълняват своята функция.
Член 7
Дата на влизане в сила
Настоящото решение влиза в сила на 20-ия ден след публикуването му в Официален вестник на Европейския съюз.
Съставено в Брюксел на 5 юни 2014 година.
KOMMISSIONENS BESLUT
av den 5 juni 2014
om skydd av personuppgifter i den europeiska e-juridikportalen
(2014/333/EU)
EUROPEISKA KOMMISSIONEN HAR BESLUTAT FÖLJANDE
med beaktande av fördraget om Europeiska unionens funktionssätt,
efter att ha hört Europeiska datatillsynsmannen, och
av följande skäl:
(1)
I sitt meddelande från maj 2008 (1) uppgav kommissionen att den skulle utarbeta och inrätta den europeiska e-juridikportalen (nedan kallad portalen), som ska förvaltas i nära samarbete med medlemsstaterna.
(2)
I den fleråriga handlingsplanen 2009-2013 för europeisk e-juridik (2) av den 8 november 2008 gavs Europeiska kommissionen i uppdrag att genomföra portalen. Portalen lanserades den 16 juli 2010. Det har inte varit nödvändigt att anta detta beslut förrän nu, eftersom det är först nu som portalen är redo för den första sammankopplingen av nationella register, vilket innebär behandling av personuppgifter.
(3)
Portalens mål är att bidra till att skapa det europeiska rättsliga området genom att underlätta och förbättra tillgången till rättslig prövning och att utnyttja informations- och kommunikationsteknik för att underlätta gränsöverskridande elektroniska rättsliga förfaranden och rättsligt samarbete.
(4)
När Europeiska unionens och medlemsstaternas institutioner, organ och byråer genomför unionsrätten måste de respektera de grundläggande rättigheter och beakta de principer som erkänns i Europeiska unionens stadga om de grundläggande rättigheterna, särskilt rätten till skydd av personuppgifter som fastställs i artikel 8 den stadgan.
(5)
Eftersom kommissionens och medlemsstaternas olika portalrelaterade uppgifter och funktioner kommer att inbegripa olika befogenheter och skyldigheter i fråga om uppgiftsskydd, är det viktigt att de klart och tydligt avgränsas.
(6)
I överensstämmelse med den särskilda karaktären hos verksamhet med koppling till den europeiska e-juridikportalen, som utvecklats i samarbete mellan kommissionen och medlemsstaterna, är kommissionens roll vid behandlingen av personuppgifter via portalen begränsad. Det bör klargöras att kommissionen inte ansvarar för det innehåll i de sammankopplade nationella databaserna som är tillgängligt via portalen.
(7)
Europaparlamentets och rådets förordning (EG) nr 45/2001 (3) gäller för kommissionens behandling av personuppgifter i portalen. Kommissionen ansvarar i samband med detta särskilt för att tillhandahålla IT-infrastrukturen för portalens funktioner, bl.a. sammankopplingen av nationella databaser.
(8)
Enligt förordning (EG) nr 45/2001 ska syftet med behandlingen av personuppgifter uttryckligen anges. Därför bör kommissionen endast behandla personuppgifter i portalen för att ge tillgång till sammankopplade databaser innehållande personuppgifter, tillhandahålla interaktiva tjänster som gör det möjligt för användarna att kommunicera direkt med de behöriga myndigheterna i en annan medlemsstat, ge tillgång till offentlig information riktad till registrerade användare eller tillhandahålla kontaktuppgifter.
(9)
Kommissionen bör förse systemet med teknik som motsvarar begreppet ”inbyggt uppgiftsskydd”. Vid tillämpningen av det konceptet bör en konsekvensbedömning avseende uppgiftsskydd genomföras i samband med utformningen av de funktioner som är kopplade till behandling av personuppgifter via portalen samt andra portalfunktioner. I bedömningen kommer en kartläggning att ske av de möjliga risker för uppgiftsskyddet som detta medför. I bedömningen ska det även fastställas lämpliga åtgärder och skyddsmekanismer som ska införlivas med systemet för att skydda personuppgifter.
(10)
Kommissionen bör löpande genomföra lämpliga skyddsutredningar i den mån det utförs arbete med anknytning till sammankopplingen av nationella databaser.
(11)
Endast allmänt tillgänglig information i de sammankopplade nationella databaserna kan nås via portalen. Det bör inte vara möjligt att kombinera information från olika sammankopplade nationella databaser för olika ändamål via portalen.
HÄRIGENOM FÖRESKRIVS FÖLJANDE.
Artikel 1
Syfte
I detta beslut fastställs Europeiska kommissionens funktioner och befogenheter i förhållande till kraven i fråga om uppgiftsskydd vid behandlingen av personuppgifter i den europeiska e-juridikportalen (nedan kallad portalen).
Artikel 2
Definitioner
I detta beslut ska definitionerna i förordning (EG) nr 45/2001 gälla. Därutöver ska följande definitioner gälla:
a) europeisk e-juridikaktör : en företrädare för en medlemsstat eller en europeisk e-juridikpartnerorganisation som har beviljats tillstånd att ändra (vissa delar av) innehållet i portalen.
b) sammankopplade nationella databaser : databaser med allmänt tillgänglig information, som drivs av medlemsstaterna och andra organ, såsom branschorganisationer och ideella organisationer, och som är sammanlänkade genom portalen på ett sådant sätt att den information som finns tillgänglig på nationell nivå kan nås via portalen.
c) allmänt tillgänglig information : information som är tillgänglig för allmänheten via internet.
d) registrerad användare : en användare av portalen som har registrerat sig i portalen via Europeiska kommissionens autentiseringstjänst (Ecas), såsom en europeisk e-juridikaktör.
Artikel 3
Databehandling
Kommissionen ska behandla personuppgifter i portalen endast i den mån det är nödvändigt för att
a)
ge tillgång till sammankopplade databaser med personuppgifter,
b)
tillhandahålla interaktiva tjänster som gör det möjligt för registrerade användare att kommunicera direkt med de behöriga myndigheterna i en annan medlemsstat,
c)
ge tillgång till offentlig information riktad till registrerade användare,
d)
tillhandahålla kontaktuppgifter.
Artikel 4
Den registeransvariges befogenheter
1. Kommissionen ska utöva registeransvarigs befogenheter enligt artikel 2 d förordning (EG) nr 45/2001 i enlighet med sina respektive befogenheter inom den portal som avses i denna artikel.
2. Kommissionen ska garantera tillgängligheten och säkerheten hos samt underhållet av portalens it-infrastruktur.
3. Kommissionen ska ansvara för följande behandling:
a)
Organisation.
b)
Överföring av uppgifter.
c)
Spridning eller tillhandahållande på annat sätt.
d)
Sammanställning eller samkörning av personuppgifter som härrör från de sammanlänkade nationella databaserna eller av personuppgifter om registrerade användare.
4. Kommissionen ska fastställa de nödvändiga åtgärderna och använda lämpliga tekniska lösningar för att uppfylla skyldigheterna som registeransvarig.
5. Kommissionen ska genomföra de tekniska åtgärder som krävs för att garantera skyddet av personuppgifter i samband med att de överförs och under tiden de visas i portalen, särskilt konfidentialiteten och integriteten i samband med överföring till och från portalen.
6. Kommissionen ska inte vara ansvarig för uppgiftsskyddsaspekter som rör
a)
den ursprungliga insamlingen och lagringen av uppgifter som härrör från de sammanlänkade nationella databaserna,
b)
beslut som fattas av medlemsstaterna om att göra sådana uppgifter tillgängliga via portalen,
c)
innehållet i de uppgifter som härrör från de sammanlänkade nationella databaser som görs tillgängliga via portalen.
7. Kommissionens skyldigheter får inte påverka medlemsstaternas och andra organs ansvar för innehållet i och driften av de sammanlänkade nationella databaser som drivs av dem.
Artikel 5
Informationsskyldighet
1. Kommissionen ska förse den registrerade med den information som anges i artiklarna 11 och 12 i förordning (EG) nr 45/2001, när det gäller uppgifter som kommissionen ansvarar för enligt detta beslut.
2. Utan hinder av de skyldigheter gentemot de registrerade som åligger medlemsstaterna och andra organ som driver de sammanlänkade nationella databaserna ska kommissionen även förse de registrerade med uppgifter om vem de kan kontakta för att de ska kunna utnyttja sin rättighet att bli informerade om att behandling sker, att få tillgång till uppgifterna, att begära rättelse och att göra invändningar mot behandlingen i enlighet med gällande lagstiftning om skydd av personuppgifter. Kommissionen ska hänvisa till särskilda meddelanden som medlemsstaterna och andra organ lämnar angående behandlingen av personuppgifter.
3. Kommissionen ska på portalen även tillgängliggöra
a)
översättningar till de språk som används i portalen av medlemsstaternas meddelanden om skydd av personuppgifter som avses i punkt 2,
b)
ett heltäckande integritetsmeddelande rörande portalen i enlighet med artiklarna 11 och 12 i förordning (EG) nr 45/2001, som ska vara tydligt och begripligt skrivet.
Artikel 6
Lagring av personuppgifter
1. När det gäller informationsutbyte från sammanlänkade nationella databaser får inga personuppgifter som rör de registrerade lagras i portalen. Alla sådana uppgifter ska lagras i de nationella databaser som drivs av medlemsstaterna eller andra organ.
2. Personuppgifter som rör eller som tillhandahålls av portalens användare får inte lagras i portalen, utom i de fall då användarna har anmält sig som registrerade användare. Personuppgifter om registrerade användare ska lagras tills de begär avregistrering. Enligt artikel 3 får personuppgifter om europeiska e-juridikaktörer eller kontaktpunkter enbart lagras så länge som dessa personer utför sina uppgifter.
Artikel 7
Datum för ikraftträdande
Detta beslut träder i kraft den tjugonde dagen efter det att det har offentliggjorts i Europeiska unionens officiella tidning.
Utfärdat i Bryssel den 5 juni 2014.