РЕШЕНИЕ НА КОМИСИЯТА
от 5 юни 2014 година
относно защитата на личните данни в Европейския портал за електронно правосъдие
(2014/333/ЕС)
ЕВРОПЕЙСКАТА КОМИСИЯ,
като взе предвид Договора за функционирането на Европейския съюз,
след консултация с Европейския надзорен орган по защита на данните,
като има предвид, че:
(1)
В съобщението си от май 2008 г. (1) Комисията заяви, че ще проектира и създаде Европейски портал за електронно правосъдие (оттук нататък „порталът“), който ще се управлява в тясно сътрудничество с държавите членки.
(2)
Многогодишният план за действие в областта на европейското електронно правосъдие за периода 2009-2013 г. (2) от 8 ноември 2008 г. възложи на Европейската комисия създаването на портала. Порталът стартира на 16 юли 2010 г. Приемането на настоящото решение се налага в този момент, тъй като едва сега порталът е готов за първото свързване на националните регистри, включващо обработка на лични данни.
(3)
Порталът има за цел да допринесе за създаването на европейското съдебно пространство чрез улесняване и подобряване на достъпа до правосъдие, както и чрез използване на информационните и комуникационните технологии за улесняване на трансграничните електронни съдебни производства и на съдебното сътрудничество.
(4)
Институциите, органите, службите и агенциите на Европейския съюз, както и държавите членки, когато прилагат правото на Съюза, трябва да зачитат основните права и да спазват принципите, признати от Хартата на основните права на Европейския съюз, и по-специално правото на защита на личните данни, посочено в член 8 от тази Харта.
(5)
Тъй като различните задачи и функции на Комисията и на държавите членки, които са свързани с портала, ще доведат до различни отговорности и задължения по отношение на защитата на данни, е от съществено значение те да бъдат ясно определени.
(6)
В съответствие със специфичния характер на дейностите, свързани с портала за електронно правосъдие, разработени в сътрудничество между Комисията и държавите членки, ролята на Комисията при обработването на лични данни чрез портала е ограничена. Следва да се поясни, че Комисията не носи отговорност за портала е ограничена. Следва да се поясни, че Комисията не носи отговорност за съдържанието на взаимосвързаните национални бази данни, достъпни посредством портала.
(7)
Регламент (ЕО) № 45/2001 на Европейския парламент и на Съвета (3) се прилага към обработването на лични данни от Комисията в портала. В този контекст Комисията отговаря по-конкретно за предоставянето на ИТ инфраструктура за функционирането на портала, както и за взаимното свързване на националните бази данни.
(8)
Съгласно Регламент (ЕО) № 45/2001 целите на обработването на личните данни следва да бъдат изрично посочени. Поради това обработването на лични данни от Комисията в портала следва да се осъществява само ако е насочено към осигуряване на достъп до взаимосвързани национални бази данни, притежаващи лични данни, предоставяне на интерактивни услуги, позволяващи на потребителите да общуват пряко с компетентните органи на друга държава членка, предоставяне на достъп до публична информация, насочена към регистрираните потребители, или предоставяне на данни за контакт.
(9)
Комисията трябва да въведе технологии в системата, които да отразяват концепцията за „защита на данните още при проектирането“. За прилагането на тази концепция оценката на въздействието върху защитата на данните и неприкосновеността на личния живот трябва да се извърши още по време на програмирането на функцията, свързана с обработката на лични данни чрез портала, както и програмирането на други функционални възможности. Тази оценка ще определи потенциалните рискове за защитата на данните. В нея също така ще се определят подходящите мерки и механизми, които да бъдат включени в системата, за да се защитят личните данни.
(10)
Комисията следва да извършва непрекъснати и подходящи оценки на сигурността, доколкото се извършва работа, свързана с взаимното свързване на националните бази данни.
(11)
Чрез портала може да бъде получен достъп само до публично достъпната информация във взаимосвързаните национални бази данни. Посредством портала не трябва да се дава възможност за комбиниране на информация от различни взаимосвързани национални бази данни за различни цели,
ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:
Член 1
Предмет
Настоящото решение определя функциите и отговорностите на Европейската комисия относно изискванията за защита на данните при обработването на лични данни в Европейския портал за електронно правосъдие (наричан по-долу „порталът“).
Член 2
Определения
За целите на настоящото решение се прилагат определенията, посочени в Регламент (ЕО) № 45/2001. В допълнение се прилагат и следните определения:
а)
„участник в европейското електронно правосъдие“ означава всеки представител на държава членка или на организация партньор в европейското електронно правосъдие, който е получил разрешение да изменя (части от) съдържанието на портала;
б)
„взаимосвързани национални бази данни“ означава управлявани от държавите членки и други органи, като например професионални сдружения и организации с нестопанска цел, бази данни, съдържащи публично достъпна информация, които са свързани чрез портала по такъв начин, че чрез него се осигурява достъп до информацията, която е на разположение на национално равнище;
в)
„публично достъпна информация“ означава информация, достъпна за обществеността чрез интернет;
г)
„регистриран потребител“ означава потребител на портала, който се е регистрирал в него посредством Системата на Европейската комисия за автентификация (ECAS) като „участник в европейското електронно правосъдие“.
Член 3
Обработка на данните
Комисията обработва лични данни в портала само доколкото това е необходимо за целите на:
а)
предоставяне на достъп до взаимосвързани национални бази данни, притежаващи лични данни;
б)
предоставяне на интерактивни услуги, които позволяват на регистрираните потребители да се свържат пряко с компетентните органи в друга държава членка;
в)
предоставяне на достъп до публична информация, насочена към регистрираните потребители;
г)
предоставяне на информация за контакт.
Член 4
Отговорности на администратора на лични данни
1. Комисията изпълнява функциите на администратор на лични данни по смисъла на член 2, буква г) от Регламент (ЕО) № 45/2001, в съответствие със съответните си отговорности в рамките на портала, както е посочено в настоящия член.
2. Комисията осигурява достъпността, поддръжката и сигурността на инфраструктурата на информационните технологии на портала.
3. Комисията отговаря за следните операции по обработване:
а)
организация;
б)
разкриване чрез предаване;
в)
разпространяване или друга форма на предоставяне на данните;
г)
подравняване или комбиниране на личните данни, извлечени от взаимосвързани национални бази данни, или на лични данни на регистрирани потребители.
4. Комисията определя необходимите политики и прилага подходящите технически решения, за да изпълни отговорностите си на администратор на данни.
5. Комисията изпълнява техническите мерки, необходими за гарантиране на сигурността на личните данни при преминаването им и по време на представянето им в портала, и по-специално на поверителността и целостта на всяко предаване от и към портала.
6. Комисията не носи отговорност за аспекти, свързани със защитата на данните, отнасящи се до:
а)
първоначалното събиране и съхранение на данни, извлечени от взаимосвързаните национални бази данни;
б)
всяко решение, взето от държавите членки да направят тези данни достъпни чрез портала;
в)
съдържанието на всички данни, извлечени от взаимосвързаните национални бази данни, достъпни посредством портала.
7. Задълженията на Комисията не засягат отговорностите на държавите членки и другите органи по отношение на съдържанието и функционирането на взаимосвързаните национални бази данни, управлявани от тях.
Член 5
Задължения за предоставяне на информация
1. Комисията предоставя на субектите на данни информацията, посочена в членове 11 и 12 от Регламент (ЕО) № 45/2001 по отношение на информацията, за която Комисията носи отговорност съгласно настоящото решение.
2. Независимо от задълженията на държавите членки и другите органи, управляващи взаимосвързаните национални бази данни, към субектите на данните Комисията също предоставя на тези субекти информация относно това към кого могат да се обърнат за ефективното упражняване на правата си на информация, достъп, коригиране и възражение съгласно приложимото законодателство за защита на данните. Комисията се позовава на конкретни декларации за поверителност на държавите членки и другите органи.
3. Комисията също предоставя на разположение в портала:
а)
превод на езиците на портала на декларациите за поверителност на държавите членки, посочени в параграф 2;
б)
ясна и разбираема изчерпателна декларация за поверителност във връзка с портала в съответствие с членове 11 и 12 от Регламент (EО) № 45/2001.
Член 6
Съхраняване на лични данни
1. По отношение на обмена на информация между взаимосвързаните национални бази данни, лични данни, свързани със субектите на данните, не се съхраняват в портала. Всички такива данни се съхраняват в националните бази данни, управлявани от държавите членки или от други органи.
2. Личните данни, отнасящи се до или предоставени от потребители на портала, не се съхраняват в портала, освен в случаите, когато те вече са се записали като регистрирани потребители. Личните данни на регистрираните потребители се съхраняват, докато те отправят искане за заличаване на регистрацията си. В съответствие с член 3 личните данни на участниците в европейското електронно правосъдие или звената за контакт ще бъдат съхранявани само докато тези лица изпълняват своята функция.
Член 7
Дата на влизане в сила
Настоящото решение влиза в сила на 20-ия ден след публикуването му в Официален вестник на Европейския съюз.
Съставено в Брюксел на 5 юни 2014 година.
COMMISSION DECISION
of 5 June 2014
on the protection of personal data in the European e-Justice Portal
(2014/333/EU)
THE EUROPEAN COMMISSION,
Having regard to the Treaty on the Functioning of the European Union,
After consulting the European Data Protection Supervisor,
Whereas:
(1)
In its communication of May 2008 (1), the Commission stated that it would design and set up the European e-Justice Portal (hereinafter ‘the Portal’), to be managed in close cooperation with the Member States.
(2)
The Multi-annual European e-Justice Action Plan 2009-2013 (2) of 8 November 2008 entrusted the European Commission with the implementation of the Portal. The Portal was launched on 16 July 2010. The adoption of this Decision has become necessary only now since the Portal is only now ready for the first interconnection of national registers involving the processing of personal data.
(3)
The Portal's objective is to contribute to the achievement of the European judicial area by facilitating and enhancing access to justice and leveraging information and communication technologies to facilitate cross-border electronic judicial proceedings and judicial cooperation.
(4)
The institutions, bodies, offices and agencies of the European Union as well as the Member States when they are implementing Union law must respect fundamental rights and observe the principles recognised by the Charter of Fundamental Rights of the European Union, in particular the right to the protection of personal data stipulated in Article 8 of that Charter.
(5)
Since the various Portal-related tasks and functions of the Commission and the Member States will entail different responsibilities and obligations as regards data protection, it is essential to delimit them clearly.
(6)
In accordance with the specific nature of activities linked to the e-Justice Portal, developed in cooperation between the Commission and the Member States, the role of the Commission in processing personal data through the Portal is limited. It should be clarified that the Commission has no responsibility for the content of interconnected national databases made available through the Portal.
(7)
Regulation (EC) No 45/2001 of the European Parliament and of the Council (3) applies to the processing of personal data by the Commission in the Portal. In this context, the Commission is in particular responsible for providing the IT infrastructure for the Portal functionalities, including the interconnection of national databases.
(8)
In accordance with Regulation (EC) No 45/2001 the purposes of processing of personal data should be explicitly specified. Therefore, the processing of personal data by the Commission in the portal should only take place if it is done to provide access to interconnected national databases holding personal data, to provide interactive services allowing users to communicate directly with the appropriate authorities in another Member State, to provide access to public information targeted towards registered users, or to provide contact information.
(9)
The Commission should embed in the system technologies that reflect the concept of ‘data protection by design’. In implementing that concept, a privacy and data protection impact assessment should be carried out during the design phase of the functionality associated with the processing of personal data through the Portal, as well as of other Portal functionalities. That assessment will identify the potential data protection risks involved. It will also define the appropriate measures and safeguards to be incorporated in the system to protect personal data.
(10)
The Commission should perform continuous and appropriate security assessments insofar as work related to the interconnection of national databases is carried out.
(11)
Only publicly available information in the interconnected national databases can be accessed through the Portal. It should not be possible to combine information from different interconnected national databases for different purposes through the Portal,
HAS ADOPTED THIS DECISION:
Article 1
Subject matter
This Decision lays down the functions and responsibilities of the European Commission in relation to data protection requirements whilst processing personal data in the European e-Justice Portal (hereinafter ‘the Portal’).
Article 2
Definitions
For the purpose of this Decision, the definitions laid down in Regulation (EC) No 45/2001 shall apply. In addition, the following definitions shall also apply:
(a)
‘European e-Justice actor’ means any representative of a Member State or a European e-Justice partner organisation who has been granted authorisation to modify (parts of) the content of the Portal;
(b)
‘Interconnected national databases’ means databases containing publicly accessible information, operated by the Member States and other bodies such as professional associations and non-profit organisations, which are interconnected through the Portal in such a way that the information available at national level can be accessed via the Portal;
(c)
‘Publicly accessible information’ means information which is accessible to the public via the internet;
(d)
‘Registered user’ means a Portal user who has registered to the Portal via the European Commission Authentication Service (ECAS), such as a ‘European e-Justice actor’.
Article 3
Data processing
The Commission shall process personal data in the Portal only in so far as this is necessary for the purpose of:
(a)
providing access to interconnected national databases holding personal data;
(b)
providing interactive services allowing registered users to communicate directly with the appropriate authorities in another Member State;
(c)
providing access to public information targeted towards registered users;
(d)
providing contact information.
Article 4
Responsibilities of Data controller
1. The Commission shall exercise the responsibilities of data controller pursuant to Article 2(d) of Regulation (EC) No 45/2001 in accordance with its respective responsibilities within the Portal as referred to in this Article.
2. The Commission shall ensure the availability, maintenance and security of the IT infrastructure of the Portal.
3. The Commission shall be responsible for the following processing operations:
(a)
organisation;
(b)
disclosure by transmission;
(c)
dissemination or otherwise making available;
(d)
alignment or combination of personal data derived from the interconnected national databases or of personal data on registered users.
4. The Commission shall define the necessary policies and apply the appropriate technical solutions to fulfil its responsibilities within the scope of the function of data controller.
5. The Commission shall implement the technical measures required to ensure the security of personal data while in transit and during their display on the Portal, in particular the confidentiality and integrity for any transmission to and from the Portal.
6. The Commission shall not be responsible for any data protection aspects concerning
(a)
the initial collection and storage of any data derived from the interconnected national databases;
(b)
any decision taken by the Member States to make such data available via the Portal;
(c)
the content of any data derived from the interconnected national databases made available through the Portal.
7. The obligations of the Commission shall not affect the responsibilities of the Member States and other bodies for the content and operation of the interconnected national databases run by them.
Article 5
Information obligations
1. The Commission shall provide the data subjects with the information specified in Articles 11 and 12 of Regulation (EC) No 45/2001, as regards information for which the Commission is responsible under this Decision.
2. Notwithstanding the obligations towards data subjects of the Member States and other bodies operating the interconnected national databases, the Commission shall also provide data subjects with information on whom to contact for the effective exercise of their rights to information, to access, to rectify and to object according to the applicable data protection legislation. The Commission shall refer to specific privacy statements of the Member States and other bodies.
3. The Commission shall also make available on the Portal:
(a)
translations into the languages of the Portal of Member States' privacy notices referred to in paragraph 2;
(b)
a comprehensive privacy notice concerning the Portal in accordance with Articles 11 and 12 of Regulation (EC) No 45/2001, in a clear and understandable form.
Article 6
Storage of personal data
1. As regards information exchanges from interconnected national databases, no personal data relating to the data subjects shall be stored in the Portal. All such data shall be stored in the national databases operated by the Member States or other bodies.
2. Personal data relating to or provided by Portal users shall not be stored in the Portal, other than in cases where they have signed up as registered users. Personal data of registered users shall be stored until they request the deletion of their registration. In accordance with Article 3, personal data on European e-Justice actors or contact points will only be stored for as long as these persons fulfil their function.
Article 7
Date of effect
This Decision shall enter into force on the 20th day after its publication in the Official Journal of the European Union.
Done at Brussels, 5 June 2014.