KOMMISSIONENS AFGØRELSE
af 5. juni 2014
om beskyttelse af personoplysninger i den europæiske portal e-justice
(2014/333/EU)
EUROPA-KOMMISSIONEN HAR -
under henvisning til traktaten om Den Europæiske Unions funktionsmåde,
efter høring af Den Europæiske Tilsynsførende for Databeskyttelse og
ud fra følgende betragtninger:
(1)
I sin meddelelse af maj 2008 (1) erklærede Kommissionen, at den ville arbejde på at udforme og indføre portalen e-justice (herefter »portalen«), som den vil vedligeholde i nært samarbejde med medlemsstaterne.
(2)
Ved den flerårige handlingsplan for 2009-2013 (2) vedrørende europæisk e-justice af 8. november 2008 fik Kommissionen til opgave at etablere portalen. Portalen blev oprettet den 16. juli 2010. Det har ikke været nødvendigt at vedtage denne afgørelse tidligere, da portalen først nu er blevet klar til den første sammenkobling af nationale registre, der indebærer behandling af personoplysninger.
(3)
Portalens mål er at bidrage til opnåelsen af det europæiske retlige område ved at lette og forbedre adgangen til retssystemet og udnytte informations- og kommunikationsteknologien til at lette grænseoverskridende elektroniske retssager og retsligt samarbejde.
(4)
Såvel Den Europæiske Unions institutioner, organer, kontorer og agenturer som medlemsstaterne skal ved gennemførelsen af EU-retten respektere de grundlæggende rettigheder og overholde de principper, der er forankret i chartret om Den Europæiske Unions grundlæggende rettigheder, navnlig retten til beskyttelse af personoplysninger, der er fastsat i chartrets artikel 8.
(5)
Da Kommissionens og medlemsstaternes forskellige portalrelaterede opgaver og funktioner vil indebære forskellige ansvarsområder og forpligtelser med hensyn til databeskyttelse, er det vigtigt at afgrænse dem klart.
(6)
Henset til den særlige karakter af de aktiviteter, der er forbundet med portalen, som er udviklet i samarbejde mellem Kommissionen og medlemsstaterne, er Kommissionens rolle i behandlingen af personoplysninger via portalen begrænset. Det bør præciseres, at Kommissionen ikke har noget ansvar for indholdet af de sammenkoblede nationale databaser, der er gjort tilgængelige via portalen.
(7)
Europa-Parlamentet og Rådets forordning (EF) nr. 45/2001 (3) finder anvendelse på Kommissionens behandling af personoplysninger i portalen. Kommissionen er herved særlig ansvarlig for tilvejebringelse af IT-infrastrukturen til portalens funktioner, herunder sammenkoblingen af nationale databaser.
(8)
Formålet med behandlingen af personoplysninger skal som fastsat i forordning (EF) nr. 45/2001 udtrykkeligt angives. Kommissionen bør derfor kun behandle personoplysninger i portalen, hvis det sker for at skaffe adgang til sammenkoblede nationale databaser, der indeholder personoplysninger, for at levere interaktive tjenester, der giver brugerne mulighed for at kommunikere direkte med de relevante myndigheder i en anden medlemsstat, for at give adgang til offentlig information rettet mod registrerede brugere eller for at give kontaktoplysninger.
(9)
Kommissionen bør inkorporere teknologier, der afspejler begrebet »indbygget databeskyttelse«, i systemet. Ved gennemførelsen af dette begreb bør der på udformningsstadiet gennemføres en konsekvensanalyse af beskyttelsen af privatlivets fred og af personlige oplysninger i relation til den funktion, der er forbundet med behandlingen af personlige oplysninger via portalen, såvel som i relation til andre funktioner. Denne analyse vil identificere de mulige risici for databeskyttelsen. Den vil også fastlægge de relevante foranstaltninger og forholdsregler, der skal inkorporeres i systemet for at beskytte personoplysninger.
(10)
Kommissionen bør foretage løbende og passende sikkerhedsvurderinger, i det omfang der udføres tiltag vedrørende sammenkoblingen af nationale databaser.
(11)
Kun offentligt tilgængelige oplysninger i de sammenkoblede nationale databaser kan findes via portalen. Det bør ikke være muligt at kombinere oplysninger fra forskellige sammenkoblede nationale databaser til forskellige formål via portalen -
VEDTAGET DENNE AFGØRELSE:
Artikel 1
Genstand
I denne afgørelse fastlægges Europa-Kommissionens funktioner og ansvarsområder i relation til nødvendigheden af databeskyttelse under behandlingen af personoplysninger i den europæiske portal e-justice (i det følgende benævnt »portalen«).
Artikel 2
Definitioner
Ved anvendelsen af denne forordning finder definitionerne i forordning (EF) nr. 45/2001 anvendelse. Desuden forstås ved:
a) »Europæisk e-justice aktør«: enhver repræsentant for en medlemsstat eller en europæisk e-justice partnerorganisation, der har fået tilladelse til at ændre (dele af) indholdet af portalen
b) »sammenkoblede nationale databaser«: databaser med offentligt tilgængelige oplysninger, der drives af medlemsstaterne og andre organer såsom faglige organisationer og nonprofitorganisationer, og som er sammenkoblet via portalen på en sådan måde, at de disponible oplysninger på nationalt plan kan findes via portalen
c) »offentlig tilgængelig information«: oplysninger, der gøres tilgængelig for offentligheden via internettet
d) »registreret bruger«: en bruger af portalen, som er registreret til portalen via Europa-Kommissionens autentificeringstjeneste (ECAS), såsom en »europæisk e-justice aktør«.
Artikel 3
Databehandling
Kommissionen behandler kun personoplysninger i portalen i det omfang, det er nødvendigt med henblik på:
a)
at give adgang til sammenkoblede nationale databaser, der indeholder personoplysninger
b)
at stille interaktive tjenester til rådighed, som gør det muligt for registrerede brugere at kommunikere direkte med de relevante myndigheder i en anden medlemsstat
c)
at give adgang til offentlig information rettet mod registrerede brugere
d)
at stille kontaktoplysninger til rådighed.
Artikel 4
Den registeransvarliges ansvarsområder
1. Kommissionen udøver kompetencen som registeransvarlig i henhold til artikel 2, litra d), i forordning (EF) nr. 45/2001 i overensstemmelse med dens respektive ansvarsområder inden for rammerne af portalen som omhandlet i denne artikel.
2. Kommissionen sikrer tilgængeligheden, ajourføringen og sikkerheden af portalens it-infrastruktur.
3. Kommissionen er ansvarlig for følgende former for databehandling:
a)
Organisation
b)
videregivelse ved transmission
c)
formidling eller på anden måde stillen til rådighed
d)
tilpasning eller kombination af personlige oplysninger, der hidrører fra sammenkoblede nationale databaser, eller af personoplysninger om registrerede brugere.
4. Kommissionen fastlægger de nødvendige politikker og anvender passende tekniske løsninger for at opfylde sine forpligtelser inden for rammerne af funktionen som registeransvarlig.
5. Kommissionen gennemfører de tekniske foranstaltninger, der er nødvendige for at sikre beskyttelse af personoplysninger under overførslen og under visning på portalen, navnlig fortroligheden og autenticiteten af enhver overførsel til og fra portalen.
6. Kommissionen er ikke ansvarlig for nogen form for databeskyttelse vedrørende:
a)
Den indledende indsamling og opbevaring af enhver form for oplysninger hidrørende fra sammenkoblede nationale databaser
b)
enhver afgørelse, der træffes af medlemsstaterne for at gøre sådanne oplysninger tilgængelige via portalen
c)
indholdet af enhver form for oplysninger hidrørende fra sammenkoblede nationale databaser, der er gjort tilgængelige via portalen.
7. Kommissionens forpligtelser berører ikke medlemsstaternes og andre organers ansvar for indholdet og driften af de sammenkoblede nationale databaser, som drives af dem.
Artikel 5
Oplysningspligt
1. Kommissionen giver de registrerede de oplysninger, der er angivet i artikel 11 og 12 i forordning (EF) nr. 45/2001, for så vidt angår oplysninger, som Kommissionen er ansvarlig for efter denne afgørelse.
2. Uanset de forpligtelser, der påhviler medlemsstaterne og andre organer, som driver de sammenkoblede nationale databaser, skal Kommissionen også give de registrerede oplysninger om, hvem de skal kontakte for effektivt at udøve deres ret til oplysninger, indsigt, berigtigelse og indsigelse i overensstemmelse med gældende databeskyttelseslovgivning. Kommissionen henviser til medlemsstaternes og andre organers specifikke databeskyttelseserklæringer.
3. Kommissionen stiller tillige følgende til rådighed på portalen:
a)
oversættelser til portalens sprog af medlemsstaternes databeskyttelseserklæringer som omhandlet i stk. 2;
b)
en fyldestgørende databeskyttelseserklæring vedrørende portalen som omhandlet i artikel 11 og 12 i forordning (EF) nr. 45/2001 i klar og forståelig form.
Artikel 6
Opbevaring af personoplysninger
1. For så vidt angår udveksling af oplysninger fra sammenkoblede nationale databaser må ingen personoplysninger vedrørende de registrerede opbevares i portalen. Alle sådanne oplysninger skal opbevares i de nationale databaser, som drives af medlemsstaterne eller af andre organer.
2. Personoplysninger, der vedrører brugerne af portalen, eller personoplysninger, der stilles til rådighed af brugerne, må ikke opbevares i portalen, bortset fra i tilfælde, hvor de pågældende har tilmeldt sig som registrerede brugere. Personoplysninger om registrerede brugere opbevares, indtil de anmoder om sletning af registreringen. Som fastsat i artikel 3 opbevares personoplysninger vedrørende europæiske e-justice aktører eller kontaktpunkter kun, så længe disse personer udfører deres funktion.
Artikel 7
Ikrafttræden
Denne afgørelse træder i kraft på tyvendedagen efter offentliggørelsen i Den Europæiske Unions Tidende.
Udfærdiget i Bruxelles, den 5. juni 2014.
ROZHODNUTÍ KOMISE
ze dne 5. června 2014
o ochraně osobních údajů v portálu evropské e-justice
(2014/333/EU)
EVROPSKÁ KOMISE,
s ohledem na Smlouvu o fungování Evropské unie,
po konzultaci s evropským inspektorem ochrany údajů,
vzhledem k těmto důvodům:
(1)
Ve svém sdělení z května 2008 (1) Komise uvedla, že bude pracovat na konceptu a zprovoznění portálu evropské e-justice (dále jen „portál“), jehož řízení se ujme v úzké spolupráci s členskými státy.
(2)
Víceletý akční plán v oblasti evropské e-justice na období let 2009-2013 (2) ze dne 8. listopadu 2008 pověřil realizací portálu Evropskou komisi. Portál byl spuštěn dne 16. července 2010. Vzhledem k tomu, že portál je teprve nyní připraven na první propojení vnitrostátních rejstříků, jež obnáší zpracování osobních údajů, stalo se přijetí tohoto rozhodnutí nezbytným až za současné situace.
(3)
Cílem portálu je přispět k realizaci evropského soudního prostoru, a to usnadněním a podporou přístupu ke spravedlnosti a posílení informačních a komunikačních technologií, jež mají usnadnit přeshraniční elektronické soudní řízení a justiční spolupráci.
(4)
Orgány, subjekty, úřady a agentury Evropské unie stejně jako členské státy musí při provádění právních předpisů Unie ctít základní práva a dodržovat zásady uznané Listinou základních práv Evropské unie, zejména právo na ochranu osobních údajů stanovené v článku 8 uvedené listiny.
(5)
Vzhledem k tomu, že řada rozmanitých úkolů a funkcí Komise a členských států týkající se portálu obnáší rozličné povinnosti a závazky, pokud jde o ochranu údajů, je nezbytné, aby tyto byly jasně vymezeny.
(6)
S ohledem na zvláštní povahu činností souvisejících s portálem e-justice, vytvořených na základě spolupráce mezi Komisí a členskými státy, je úloha Komise při zpracování osobních údajů prostřednictvím portálu omezená. Je třeba upřesnit, že Komise nenese žádnou odpovědnost za obsah vzájemně propojených vnitrostátních databází, který je prostřednictvím portálu dostupný.
(7)
Zpracovávání osobních údajů Komisí v rámci portálu se řídí nařízením Evropského parlamentu a Rady (ES) č. 45/2001 (3). V této souvislosti je Komise zejména odpovědná za poskytování infrastruktury IT pro funkce portálu, včetně propojení vnitrostátních databází.
(8)
V souladu s nařízením (ES) č. 45/2001 by mělo být výslovně uvedeno, pro jaké účely se osobní údaje zpracovávají. Komise by tudíž měla osobní údaje v rámci portálu zpracovávat pouze za účelem poskytnutí přístupu k vzájemně propojeným vnitrostátním databázím s osobními údaji, poskytnutí interaktivních služeb umožňujícím uživatelům komunikovat přímo s příslušnými orgány v jiném členském státě, poskytnutí přístupu k veřejným informacím pro registrované uživatele nebo poskytnutí kontaktních údajů.
(9)
Komise by se měla opřít o systémové technologie, které zohledňují koncepci „ochrany údajů již od návrhu“. Při uplatňování této koncepce by mělo být při návrhu funkce spojené se zpracováním osobních údajů prostřednictvím portálu, jakož i jiných funkcí portálu, provedeno posouzení dopadů na ochranu soukromí a osobních údajů. Toto posouzení určí potenciální rizika v souvislosti s ochranou údajů. Rovněž uvede vhodná opatření a záruky, které mají být začleněny do systému ochrany osobních údajů.
(10)
Při provádění činností souvisejících s propojením vnitrostátních databází by Komise měla nepřetržitě a náležitě posuzovat bezpečnost.
(11)
Prostřednictvím portálu mohou být dostupné pouze informace, které jsou v propojených vnitrostátních databázích veřejně přístupné. Portál by neměl umožňovat, aby byly pro různé účely kombinovány údaje z různých vzájemně propojených vnitrostátních databází,
PŘIJALA TOTO ROZHODNUTÍ:
Článek 1
Předmět
Toto rozhodnutí stanoví funkce a povinnosti Evropské komise v souvislosti s požadavky na ochranu údajů při zpracovávání osobních údajů v rámci evropského portálu e-justice (dále jen „portál“).
Článek 2
Definice
Pro účely tohoto rozhodnutí se použijí definice stanovené nařízením (ES) č. 45/2001. Vedle toho se rozumí:
a)
„účastníkem evropské e-justice“ každý zástupce členského státu nebo partnerské organizace evropské e-justice, jemuž bylo uděleno povolení měnit obsah portálu (jeho částí);
b)
„vzájemně propojenými vnitrostátními databázemi“ databáze, které obsahují veřejně přístupné informace, provozované členskými státy a jinými subjekty, jako jsou profesní sdružení a neziskové organizace, které jsou propojeny prostřednictvím portálu tak, že informace přístupné na vnitrostátní úrovni jsou dostupné přes portál;
c)
„veřejně přístupnými informacemi“ informace, které jsou přístupné veřejnosti prostřednictvím internetu;
d)
„registrovaným uživatelem“ uživatel portálu, který se v portálu registroval prostřednictvím ověřovací služby Evropské komise (ECAS), např. jako „účastník evropské e-justice“.
Článek 3
Zpracovávání údajů
Komise zpracovává osobní údaje v rámci portálu pouze v rozsahu nezbytném pro účely:
a)
poskytnutí přístupu k vzájemně propojeným vnitrostátním databázím obsahujícím osobní údaje;
b)
poskytnutí interaktivních služeb, které registrovaným uživatelům umožní přímo komunikovat s příslušnými orgány v jiném členském státě;
c)
zajištění přístupu k veřejně dostupným informacím pro registrované uživatele;
d)
poskytnutí kontaktních údajů.
Článek 4
Povinnosti správce údajů
1. Komise vykonává své povinnosti správce údajů podle čl. 2 písm. d) nařízení (ES) č. 45/2001 v souladu se svými příslušnými povinnostmi v rámci portálu, jak je uvedeno v tomto článku.
2. Komise zajistí dostupnost, údržbu a bezpečnost infrastruktury IT portálu.
3. Komise odpovídá za tyto úkony související se zpracováním osobních údajů:
a)
uspořádávání;
b)
sdělení prostřednictvím přenosu;
c)
šíření nebo jakékoli jiné zpřístupnění;
d)
srovnávání či kombinování osobních údajů z propojených vnitrostátních databází nebo osobních údajů týkajících se registrovaných uživatelů.
4. Za účelem plnění svých povinností jakožto správce údajů Komise vymezí potřebné politiky a uplatní vhodná technická řešení.
5. Komise provádí technická opatření nutná k zajištění bezpečnosti při přenosu osobních údajů a jejich zobrazení na portálu, zejména důvěrnosti a integrity při jakémkoli jejich přenosu do portálu a z něj.
6. Komise nenese odpovědnost za žádný z aspektů ochrany údajů, které se týkají:
a)
počátečního shromažďování a uchovávání údajů z propojených vnitrostátních databází;
b)
jakýchkoli rozhodnutí přijatých členskými státy o zpřístupnění takových údajů prostřednictvím portálu;
c)
obsahu jakéhokoli údaje z vzájemně propojených vnitrostátních databází, který je dostupný prostřednictvím portálu.
7. Povinnostmi Komise není dotčena odpovědnost členských států a jiných subjektů za obsah a provoz propojených vnitrostátních databází, které spravují.
Článek 5
Informační povinnosti
1. Komise poskytne subjektům údajů informace uvedené v článcích 11 a 12 nařízení (ES) č. 45/2001, pokud jde o poskytování informací, za něž Komise podle tohoto rozhodnutí odpovídá.
2. Aniž jsou dotčeny její povinnosti vůči subjektům údajů členských států a jiných subjektů působících v rámci propojených vnitrostátních databází, Komise rovněž informuje subjekty údajů o tom, na koho se obrátit, aby mohly účinně využít svého práva na informace, na přístup, na opravu a na námitku podle příslušných právních předpisů na ochranu údajů. Komise odkáže na prohlášení o ochraně osobních údajů členských států a jiných orgánů.
3. Komise na portálu rovněž zpřístupní:
a)
překlady prohlášení členských států o ochraně osobních údajů, jak je uvedeno v odstavci 2, do příslušných jazyků portálu;
b)
ucelené prohlášení o ochraně osobních údajů týkající se portálu v souladu s články 11 a 12 nařízení (ES) č. 45/2001 v jasné a srozumitelné podobě.
Článek 6
Uchovávání osobních údajů
1. Pokud jde o výměnu informací z propojených vnitrostátních databází, žádné osobní údaje týkající se subjektů údajů nesmějí být na portálu uchovávány. Veškeré takové údaje se uchovávají ve vnitrostátních databázích provozovaných členskými státy nebo jinými subjekty.
2. Osobní údaje týkající se uživatelů portálu nebo osobní údaje jimi poskytované nesmějí být na portálu uchovávány, kromě případů, kdy se tito uživatelé přihlásili jako registrovaní uživatelé. Osobní údaje registrovaných uživatelů se uchovávají tak dlouho, dokud registrovaný uživatel nepožádá o zrušení své registrace. V souladu s článkem 3 se osobní údaje týkající se účastníků nebo kontaktních osob evropské e-justice uchovávají pouze po dobu, po kterou tyto osoby vykonávají svou funkci.
Článek 7
Datum použitelnosti
Toto rozhodnutí vstupuje v platnost dvacátým dnem po zveřejnění v Úředním věstníku Evropské unie.
V Bruselu dne 5. června 2014.