РЕШЕНИЕ НА КОМИСИЯТА
от 5 юни 2014 година
относно защитата на личните данни в Европейския портал за електронно правосъдие
(2014/333/ЕС)
ЕВРОПЕЙСКАТА КОМИСИЯ,
като взе предвид Договора за функционирането на Европейския съюз,
след консултация с Европейския надзорен орган по защита на данните,
като има предвид, че:
(1)
В съобщението си от май 2008 г. (1) Комисията заяви, че ще проектира и създаде Европейски портал за електронно правосъдие (оттук нататък „порталът“), който ще се управлява в тясно сътрудничество с държавите членки.
(2)
Многогодишният план за действие в областта на европейското електронно правосъдие за периода 2009-2013 г. (2) от 8 ноември 2008 г. възложи на Европейската комисия създаването на портала. Порталът стартира на 16 юли 2010 г. Приемането на настоящото решение се налага в този момент, тъй като едва сега порталът е готов за първото свързване на националните регистри, включващо обработка на лични данни.
(3)
Порталът има за цел да допринесе за създаването на европейското съдебно пространство чрез улесняване и подобряване на достъпа до правосъдие, както и чрез използване на информационните и комуникационните технологии за улесняване на трансграничните електронни съдебни производства и на съдебното сътрудничество.
(4)
Институциите, органите, службите и агенциите на Европейския съюз, както и държавите членки, когато прилагат правото на Съюза, трябва да зачитат основните права и да спазват принципите, признати от Хартата на основните права на Европейския съюз, и по-специално правото на защита на личните данни, посочено в член 8 от тази Харта.
(5)
Тъй като различните задачи и функции на Комисията и на държавите членки, които са свързани с портала, ще доведат до различни отговорности и задължения по отношение на защитата на данни, е от съществено значение те да бъдат ясно определени.
(6)
В съответствие със специфичния характер на дейностите, свързани с портала за електронно правосъдие, разработени в сътрудничество между Комисията и държавите членки, ролята на Комисията при обработването на лични данни чрез портала е ограничена. Следва да се поясни, че Комисията не носи отговорност за портала е ограничена. Следва да се поясни, че Комисията не носи отговорност за съдържанието на взаимосвързаните национални бази данни, достъпни посредством портала.
(7)
Регламент (ЕО) № 45/2001 на Европейския парламент и на Съвета (3) се прилага към обработването на лични данни от Комисията в портала. В този контекст Комисията отговаря по-конкретно за предоставянето на ИТ инфраструктура за функционирането на портала, както и за взаимното свързване на националните бази данни.
(8)
Съгласно Регламент (ЕО) № 45/2001 целите на обработването на личните данни следва да бъдат изрично посочени. Поради това обработването на лични данни от Комисията в портала следва да се осъществява само ако е насочено към осигуряване на достъп до взаимосвързани национални бази данни, притежаващи лични данни, предоставяне на интерактивни услуги, позволяващи на потребителите да общуват пряко с компетентните органи на друга държава членка, предоставяне на достъп до публична информация, насочена към регистрираните потребители, или предоставяне на данни за контакт.
(9)
Комисията трябва да въведе технологии в системата, които да отразяват концепцията за „защита на данните още при проектирането“. За прилагането на тази концепция оценката на въздействието върху защитата на данните и неприкосновеността на личния живот трябва да се извърши още по време на програмирането на функцията, свързана с обработката на лични данни чрез портала, както и програмирането на други функционални възможности. Тази оценка ще определи потенциалните рискове за защитата на данните. В нея също така ще се определят подходящите мерки и механизми, които да бъдат включени в системата, за да се защитят личните данни.
(10)
Комисията следва да извършва непрекъснати и подходящи оценки на сигурността, доколкото се извършва работа, свързана с взаимното свързване на националните бази данни.
(11)
Чрез портала може да бъде получен достъп само до публично достъпната информация във взаимосвързаните национални бази данни. Посредством портала не трябва да се дава възможност за комбиниране на информация от различни взаимосвързани национални бази данни за различни цели,
ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:
Член 1
Предмет
Настоящото решение определя функциите и отговорностите на Европейската комисия относно изискванията за защита на данните при обработването на лични данни в Европейския портал за електронно правосъдие (наричан по-долу „порталът“).
Член 2
Определения
За целите на настоящото решение се прилагат определенията, посочени в Регламент (ЕО) № 45/2001. В допълнение се прилагат и следните определения:
а)
„участник в европейското електронно правосъдие“ означава всеки представител на държава членка или на организация партньор в европейското електронно правосъдие, който е получил разрешение да изменя (части от) съдържанието на портала;
б)
„взаимосвързани национални бази данни“ означава управлявани от държавите членки и други органи, като например професионални сдружения и организации с нестопанска цел, бази данни, съдържащи публично достъпна информация, които са свързани чрез портала по такъв начин, че чрез него се осигурява достъп до информацията, която е на разположение на национално равнище;
в)
„публично достъпна информация“ означава информация, достъпна за обществеността чрез интернет;
г)
„регистриран потребител“ означава потребител на портала, който се е регистрирал в него посредством Системата на Европейската комисия за автентификация (ECAS) като „участник в европейското електронно правосъдие“.
Член 3
Обработка на данните
Комисията обработва лични данни в портала само доколкото това е необходимо за целите на:
а)
предоставяне на достъп до взаимосвързани национални бази данни, притежаващи лични данни;
б)
предоставяне на интерактивни услуги, които позволяват на регистрираните потребители да се свържат пряко с компетентните органи в друга държава членка;
в)
предоставяне на достъп до публична информация, насочена към регистрираните потребители;
г)
предоставяне на информация за контакт.
Член 4
Отговорности на администратора на лични данни
1. Комисията изпълнява функциите на администратор на лични данни по смисъла на член 2, буква г) от Регламент (ЕО) № 45/2001, в съответствие със съответните си отговорности в рамките на портала, както е посочено в настоящия член.
2. Комисията осигурява достъпността, поддръжката и сигурността на инфраструктурата на информационните технологии на портала.
3. Комисията отговаря за следните операции по обработване:
а)
организация;
б)
разкриване чрез предаване;
в)
разпространяване или друга форма на предоставяне на данните;
г)
подравняване или комбиниране на личните данни, извлечени от взаимосвързани национални бази данни, или на лични данни на регистрирани потребители.
4. Комисията определя необходимите политики и прилага подходящите технически решения, за да изпълни отговорностите си на администратор на данни.
5. Комисията изпълнява техническите мерки, необходими за гарантиране на сигурността на личните данни при преминаването им и по време на представянето им в портала, и по-специално на поверителността и целостта на всяко предаване от и към портала.
6. Комисията не носи отговорност за аспекти, свързани със защитата на данните, отнасящи се до:
а)
първоначалното събиране и съхранение на данни, извлечени от взаимосвързаните национални бази данни;
б)
всяко решение, взето от държавите членки да направят тези данни достъпни чрез портала;
в)
съдържанието на всички данни, извлечени от взаимосвързаните национални бази данни, достъпни посредством портала.
7. Задълженията на Комисията не засягат отговорностите на държавите членки и другите органи по отношение на съдържанието и функционирането на взаимосвързаните национални бази данни, управлявани от тях.
Член 5
Задължения за предоставяне на информация
1. Комисията предоставя на субектите на данни информацията, посочена в членове 11 и 12 от Регламент (ЕО) № 45/2001 по отношение на информацията, за която Комисията носи отговорност съгласно настоящото решение.
2. Независимо от задълженията на държавите членки и другите органи, управляващи взаимосвързаните национални бази данни, към субектите на данните Комисията също предоставя на тези субекти информация относно това към кого могат да се обърнат за ефективното упражняване на правата си на информация, достъп, коригиране и възражение съгласно приложимото законодателство за защита на данните. Комисията се позовава на конкретни декларации за поверителност на държавите членки и другите органи.
3. Комисията също предоставя на разположение в портала:
а)
превод на езиците на портала на декларациите за поверителност на държавите членки, посочени в параграф 2;
б)
ясна и разбираема изчерпателна декларация за поверителност във връзка с портала в съответствие с членове 11 и 12 от Регламент (EО) № 45/2001.
Член 6
Съхраняване на лични данни
1. По отношение на обмена на информация между взаимосвързаните национални бази данни, лични данни, свързани със субектите на данните, не се съхраняват в портала. Всички такива данни се съхраняват в националните бази данни, управлявани от държавите членки или от други органи.
2. Личните данни, отнасящи се до или предоставени от потребители на портала, не се съхраняват в портала, освен в случаите, когато те вече са се записали като регистрирани потребители. Личните данни на регистрираните потребители се съхраняват, докато те отправят искане за заличаване на регистрацията си. В съответствие с член 3 личните данни на участниците в европейското електронно правосъдие или звената за контакт ще бъдат съхранявани само докато тези лица изпълняват своята функция.
Член 7
Дата на влизане в сила
Настоящото решение влиза в сила на 20-ия ден след публикуването му в Официален вестник на Европейския съюз.
Съставено в Брюксел на 5 юни 2014 година.
DECISIÓN DE LA COMISIÓN
de 5 de junio de 2014
sobre la protección de los datos personales en el Portal Europeo e-Justicia
(2014/333/UE)
LA COMISIÓN EUROPEA,
Visto el Tratado de Funcionamiento de la Unión Europea,
Previa consulta al Supervisor Europeo de Protección de Datos,
Considerando lo siguiente:
(1)
En su Comunicación de mayo de 2008 (1), la Comisión anunció la concepción y la instauración del Portal Europeo e-Justicia (en lo sucesivo denominado «el Portal»), gestionado en estrecha cooperación con los Estados miembros.
(2)
En el Plan de acción plurianual 2009-2013 relativo a la justicia en red europea (2), de 8 de noviembre de 2008, se encomendó a la Comisión Europea la puesta en marcha del Portal, cuya inauguración tuvo lugar el 16 de julio de 2010. La adopción de la presente Decisión no ha sido necesaria hasta ahora, momento en el que el Portal admite la primera interconexión de registros nacionales que implica el tratamiento de datos de carácter personal.
(3)
El objetivo del Portal es contribuir a la implantación del espacio judicial europeo, propiciando y mejorando el acceso a la justicia y movilizando las tecnologías de la información y comunicación para facilitar los procesos judiciales electrónicos transfronterizos y la cooperación judicial.
(4)
Las instituciones, órganos, oficinas y agencias de la Unión Europea, así como los Estados miembros, en su labor de aplicación del Derecho de la Unión, deben respetar los derechos fundamentales y observar los principios reconocidos en la Carta de los Derechos Fundamentales de la Unión Europea, en particular el derecho a la protección de los datos de carácter personal consagrado en el artículo 8 de dicha Carta.
(5)
Habida cuenta de que las diversas tareas y funciones encomendadas a la Comisión y a los Estados miembros en relación con el Portal llevan aparejadas distintas responsabilidades y obligaciones en materia de protección de datos, es preciso delimitarlas claramente.
(6)
El carácter específico de las actividades relacionadas con el Portal europeo e-Justicia, desarrolladas conjuntamente por la Comisión y los Estados miembros, hace que el papel de la Comisión en el tratamiento de datos personales a través del Portal sea limitado. Debe precisarse que la Comisión no tiene responsabilidad alguna en cuanto al contenido de las bases de datos nacionales interconectadas a través del Portal.
(7)
El Reglamento (CE) no 45/2001 del Parlamento Europeo y del Consejo (3) es aplicable al tratamiento de datos personales por la Comisión en el Portal. La Comisión es responsable, en particular, de aportar la infraestructura informática para las funciones del Portal, incluida la interconexión de las bases de datos nacionales.
(8)
De conformidad con el Reglamento (CE) no 45/2001, los fines del tratamiento de datos personales deben indicarse explícitamente. Por lo tanto, la Comisión solo debe proceder al tratamiento de datos personales en el Portal con la finalidad de facilitar el acceso a las bases de datos interconectadas que contengan datos personales, prestar servicios interactivos que permitan a los usuarios comunicarse directamente con las autoridades competentes de otro Estado miembro, facilitar el acceso a la información pública destinada a usuarios registrados, o proporcionar información de contacto.
(9)
La Comisión debe integrar en el sistema tecnologías que plasmen el concepto de «protección de datos desde el diseño». Para materializar ese concepto, deberá llevarse a cabo, durante la fase de diseño, una evaluación del impacto en la privacidad y la protección de datos de la función asociada con el tratamiento de datos personales a través del Portal, así como de otras funciones del Portal. Esa evaluación detectará todo posible riesgo para la protección de los datos. También determinará las medidas y salvaguardias oportunas que habrán de integrarse en el sistema con fines de protección de los datos personales.
(10)
La Comisión deberá llevar a cabo evaluaciones de seguridad continuas y apropiadas a medida que vaya desplegándose la actividad de interconexión de las bases de datos nacionales.
(11)
Solo podrá consultarse a través del Portal la información que esté a disposición del público en las bases de datos nacionales interconectadas. No deberá ser posible combinar la información procedente de distintas bases nacionales interconectadas para distintos fines a través del Portal.
HA ADOPTADO LA PRESENTE DECISIÓN:
Artículo 1
Objeto
La presente Decisión establece las funciones y responsabilidades de la Comisión Europea en relación con los requisitos de protección de datos al tratar datos personales en el Portal Europeo e-Justicia (en lo sucesivo denominado «el Portal»).
Artículo 2
Definiciones
A efectos de la presente Decisión, se aplicarán las definiciones establecidas en el Reglamento (CE) no 45/2001. Además, se aplicarán las siguientes definiciones:
a) «agente europeo de e-Justicia»: representante de un Estado miembro o de una organización asociada de e-Justicia europea al que se haya autorizado a modificar (parcialmente) el contenido del Portal;
b) «bases de datos nacionales interconectadas»: bases de datos que contengan información a disposición del público, gestionadas por los Estados miembros y otros organismos, como asociaciones profesionales y organizaciones sin ánimo de lucro y que estén interconectadas a través del Portal de forma que la información disponible a nivel nacional pueda consultarse a través del Portal;
c) «información a disposición del público»: información a la que pueda acceder el público a través de internet;
d) «usuario registrado»: usuario del Portal que se haya dado de alta en este, a través del Servicio de Autenticación de la Comisión Europea (ECAS), como «agente europeo de e-Justicia».
Artículo 3
Tratamiento de los datos
La Comisión procederá al tratamiento de los datos personales en el Portal únicamente en la medida en que sea necesario para:
a)
facilitar el acceso a las bases de datos nacionales interconectadas que contengan datos personales;
b)
prestar servicios interactivos que permitan a los usuarios registrados comunicarse directamente con las autoridades competentes de otro Estado miembro;
c)
facilitar el acceso a la información pública destinada a los usuarios registrados;
d)
proporcionar información de contacto.
Artículo 4
Funciones de responsable del tratamiento de los datos
1. La Comisión ejercerá las funciones de responsable del tratamiento de los datos de conformidad con el artículo 2, letra d), del Reglamento (CE) no 45/2001, en cumplimiento de las correspondientes responsabilidades del Portal a que se refiere el presente artículo.
2. La Comisión garantizará la disponibilidad, el mantenimiento y la seguridad de la infraestructura informática del Portal.
3. La Comisión será responsable de las operaciones de tratamiento siguientes:
a)
organización;
b)
comunicación por transmisión;
c)
difusión o cualquier otra forma de facilitación;
d)
alineación o combinación de datos personales derivados de la interconexión de las bases de datos nacionales o de los datos personales de los usuarios registrados.
4. La Comisión definirá los protocolos necesarios y aplicará las soluciones técnicas adecuadas para cumplir las responsabilidades que entraña la función de responsable del tratamiento de los datos.
5. La Comisión aplicará las medidas técnicas necesarias para garantizar la seguridad de los datos personales mientras estén en tránsito y durante su exposición en el Portal, y, en particular, la confidencialidad y la integridad de cualquier transmisión hacia y desde el Portal.
6. No podrá tenerse a la Comisión por responsable de los aspectos relativos a la protección de datos relacionados con:
a)
la recogida inicial y el almacenamiento de cualquier dato derivado de la interconexión de las bases de datos nacionales;
b)
cualquier decisión adoptada por los Estados miembros para facilitar esos datos a través del Portal;
c)
el contenido de cualquiera de los datos derivados de la interconexión de las bases de datos nacionales accesibles a través del Portal.
7. Las obligaciones de la Comisión se entienden sin perjuicio de las responsabilidades de los Estados miembros y de otros organismos en cuanto al contenido y el funcionamiento de las bases de datos nacionales interconectadas que mantengan.
Artículo 5
Obligaciones de información
1. La Comisión proporcionará a los interesados la información que se especifica en los artículos 11 y 12 del Reglamento (CE) no 45/2001 en lo que respecta a la información de la que la Comisión es responsable en virtud de la presente Decisión.
2. Sin perjuicio de las obligaciones para con los interesados de los Estados miembros y demás organismos que gestionen las bases de datos nacionales interconectadas, la Comisión comunicará también a los interesados a quién dirigirse para el ejercicio efectivo de sus derechos de información, acceso, rectificación y oposición, de conformidad con la legislación aplicable en materia de protección de datos. La Comisión hará referencia a las declaraciones específicas de confidencialidad de los Estados miembros y otros organismos.
3. Además, también facilitará en el Portal:
a)
traducciones, a las lenguas del Portal, de las declaraciones de confidencialidad de los Estados miembros a que se refiere el apartado 2;
b)
una cláusula de confidencialidad global correspondiente al Portal, redactada de forma clara y comprensible, de conformidad con los artículos 11 y 12 del Reglamento (CE) no 45/2001.
Artículo 6
Almacenamiento de datos personales
1. Por lo que respecta a los intercambios de información procedente de las bases de datos nacionales interconectadas, no se almacenarán en el Portal datos personales de los interesados. Todos esos datos se almacenarán en las bases de datos nacionales gestionadas por los Estados miembros u otros organismos.
2. Tampoco se almacenarán en el Portal los datos personales relativos a los usuarios del Portal o facilitados por ellos, salvo cuando se hayan dado de alta como usuarios registrados. Los datos personales de los usuarios registrados se almacenarán hasta que estos soliciten la supresión de su registro. De conformidad con lo dispuesto en el artículo 3, los datos personales de los agentes europeos o de los puntos de contacto de e-Justicia solo se almacenarán mientras esas personas sigan ejerciendo su función.
Artículo 7
Fecha de entrada en vigor
La presente Decisión entrará en vigor el vigésimo día siguiente al de su publicación en el Diario Oficial de la Unión Europea.
Hecho en Bruselas, el 5 de junio de 2014.