BESCHLUSS DER KOMMISSION
vom 5. Juni 2014
über den Schutz personenbezogener Daten im Europäischen e-Justiz-Portal
(2014/333/EU)
DIE EUROPÄISCHE KOMMISSION -
gestützt auf den Vertrag über die Arbeitsweise der Europäischen Union,
nach Anhörung des Europäischen Datenschutzbeauftragten,
in Erwägung nachstehender Gründe:
(1)
In ihrer Mitteilung vom Mai 2008 (1) erklärte die Kommission, dass sie das Europäische e-Justiz-Portal (nachstehend „das Portal“) konzipieren, einrichten und in enger Zusammenarbeit mit den Mitgliedstaaten pflegen werde.
(2)
Durch den mehrjährigen Aktionsplan 2009-2013 für die Europäische e-Justiz (2) vom 8. November 2008 wurde die Europäische Kommission mit der Umsetzung des Portals beauftragt. Das Portal wurde am 16. Juli 2010 ins Leben gerufen. Die Verabschiedung dieses Beschlusses ist erst jetzt notwendig geworden, da das Portal erst jetzt bereit ist für die erste Vernetzung nationaler Register im Zusammenhang mit der Verarbeitung personenbezogener Daten.
(3)
Ziel des Portals ist es, zur Verwirklichung des europäischen Rechtsraums beizutragen, indem der Zugang zur Justiz erleichtert und verbessert wird und die Informations- und Kommunikationstechnologien als Hebel eingesetzt werden, um grenzüberschreitende elektronische Gerichtsverfahren und die justizielle Zusammenarbeit zu erleichtern.
(4)
Die Organe, Einrichtungen und sonstigen Stellen der Europäischen Union sowie der Mitgliedstaaten müssen bei der Anwendung des EU-Rechts die Grundrechte wahren und die Grundsätze der EU-Grundrechtecharta, insbesondere das in Artikel 8 dieser Charta niedergelegte Recht auf Schutz der personenbezogenen Daten, beachten.
(5)
Da die verschiedenen portalbezogenen Aufgaben und Funktionen der Kommission und der Mitgliedstaaten zu unterschiedlichen Verantwortlichkeiten und Verpflichtungen im Hinblick auf den Datenschutz führen, ist es notwendig, sie klar abzugrenzen.
(6)
Entsprechend den Besonderheiten der mit dem e-Justiz-Portal verbundenen Tätigkeiten, die in Zusammenarbeit zwischen Kommission und Mitgliedstaaten entwickelt werden, ist die Aufgabe der Kommission bei der Verarbeitung personenbezogener Daten im Rahmen des Portals beschränkt. Es muss klargestellt werden, dass die Kommission für den Inhalt der im Rahmen des Portals zur Verfügung gestellten vernetzten nationalen Datenbanken nicht verantwortlich ist.
(7)
Die Verordnung (EG) Nr. 45/2001 des Europäischen Parlaments und des Rates (3) gilt für die Verarbeitung personenbezogener Daten durch die Kommission im Rahmen des Portals. In diesem Zusammenhang ist die Kommission insbesondere verantwortlich für die Bereitstellung der IT-Infrastruktur für die Funktionen des Portals, wozu auch die Vernetzung nationaler Datenbanken gehört.
(8)
Gemäß Verordnung (EG) Nr. 45/2001 ist der Zweck der Verarbeitung personenbezogener Daten ausdrücklich anzugeben. Somit darf die Verarbeitung personenbezogener Daten durch die Kommission im Rahmen des Portals nur erfolgen, wenn hierdurch der Zugang zu vernetzten nationalen Datenbanken mit personenbezogenen Daten gewährt wird, interaktive Dienste bereitgestellt werden, die es den Nutzern ermöglichen, unmittelbar mit den zuständigen Behörden in einem anderen Mitgliedstaat zu kommunizieren, Zugang zu öffentlichen Informationen für registrierte Nutzer gewährt wird bzw. Kontaktadressen bereitgestellt werden.
(9)
Die Kommission sollte in das System Technologien einbeziehen, die dem Konzept des „Datenschutzes durch Technik“ entsprechen. Zur Umsetzung dieses Konzepts sollte während der Planungsphase der mit der Verarbeitung personenbezogener Daten im Rahmen des Portals verbundenen Funktionen sowie der anderen Funktionen des Portals eine Datenschutz-Folgenabschätzung durchgeführt werden. Hierdurch sollen potenzielle Datenschutzrisiken ermittelt werden. Ferner werden bei der Folgenabschätzung geeignete Maßnahmen und Sicherungen definiert, die im Hinblick auf den Schutz personenbezogener Daten in das System einzubeziehen sind.
(10)
Die Kommission führt fortlaufend geeignete Sicherheitsbewertungen durch, sofern Arbeiten im Zusammenhang mit der Vernetzung nationaler Datenbanken durchgeführt werden.
(11)
Durch das Portal werden allein öffentlich zur Verfügung stehende Informationen in den vernetzten nationalen Datenbanken zugänglich gemacht. Es darf nicht möglich sein, im Rahmen des Portals Informationen von unterschiedlichen vernetzten nationalen Datenbanken für unterschiedliche Zwecke zu kombinieren -
HAT FOLGENDEN BESCHLUSS ERLASSEN:
Artikel 1
Gegenstand
In diesem Beschluss werden die Funktionen und Verantwortlichkeiten der Europäischen Kommission in Bezug auf die Datenschutzanforderungen bei der Verarbeitung personenbezogener Daten im Rahmen des Europäischen e-Justiz-Portals („das Portal“) festgelegt.
Artikel 2
Begriffsbestimmungen
Für die Zwecke dieses Beschlusses gelten die Definitionen der Verordnung (EG) Nr. 45/2001. Ferner gelten die folgenden Begriffsbestimmungen:
a)
„Europäischer e-Justiz-Akteur“ ist ein Vertreter eines Mitgliedstaats oder einer europäischen e-Justiz-Partnerorganisation, der befugt ist, Teile des Inhalts des Portals zu verändern;
b)
„vernetzte nationale Datenbanken“ sind Datenbanken mit öffentlich zugänglichen Informationen, die von den Mitgliedstaaten und anderen Gremien wie Berufsverbänden und gemeinnützigen Organisationen betrieben werden und durch das Portal so vernetzt sind, dass über das Portal auf die auf nationaler Ebene zur Verfügung stehenden Daten zugegriffen werden kann;
c)
„öffentlich zugängliche Informationen“ sind Informationen, die der Öffentlichkeit über das Internet zur Verfügung stehen;
d)
„registrierter Nutzer“ ist ein Portalnutzer, der sich über den Authentifizierungsdienst der Europäischen Kommission (ECAS) für das Portal angemeldet hat, z. B. ein „europäischer e-Justiz-Akteur“.
Artikel 3
Datenverarbeitung
Die Kommission verarbeitet personenbezogene Daten im Rahmen des Portals nur, soweit dies zu folgenden Zwecken notwendig ist:
a)
Bereitstellung des Zugangs zu vernetzten nationalen Datenbanken mit personenbezogenen Daten;
b)
Bereitstellung interaktiver Dienste, die es registrierten Nutzern ermöglichen, unmittelbar mit den zuständigen Behörden in einem anderen Mitgliedstaat zu kommunizieren;
c)
Bereitstellung des Zugangs zu öffentlichen Informationen für registrierte Nutzer;
d)
Bereitstellung von Kontaktadressen.
Artikel 4
Aufgaben des für die Verarbeitung der Daten Verantwortlichen
(1) Die Kommission fungiert als der für die Verarbeitung der Daten Verantwortliche gemäß Artikel 2 Buchstabe d derVerordnung (EG) Nr. 45/2001 entsprechend ihren in diesem Artikel genannten jeweiligen Aufgaben im Rahmen des Portals.
(2) Die Kommission gewährleistet die Verfügbarkeit, Wartung und Sicherheit der IT-Infrastruktur des Portals.
(3) Die Kommission ist verantwortlich für die folgenden Verarbeitungsvorgänge:
a)
Organisation;
b)
Weitergabe durch Übermittlung;
c)
Verbreitung oder jede andere Form der Bereitstellung;
d)
Verknüpfung oder Kombination persönlicher Daten aus den vernetzten nationalen Datenbanken bzw. der personenbezogenen Daten registrierter Nutzer.
(4) Die Kommission legt die notwendigen Maßnahmen fest und wendet geeignete technische Lösungen an, um ihrer Verantwortung im Rahmen ihrer Aufgabe als für die Verarbeitung Verantwortlicher nachzukommen.
(5) Die Kommission ergreift die erforderlichen technischen Maßnahmen, um die Sicherheit personenbezogener Daten bei der Übermittlung und während ihrer Darstellung im Rahmen des Portals, insbesondere die Vertraulichkeit und Integrität bei Übermittlungen zum und vom Portal, zu gewährleisten.
(6) Die Kommission ist nicht verantwortlich für Datenschutzaspekte im Hinblick auf:
a)
die ursprüngliche Erfassung und Speicherung von Daten, die aus den vernetzten nationalen Datenbanken stammen;
b)
Entscheidungen der Mitgliedstaaten, diese Daten im Rahmen des Portals zur Verfügung zu stellen;
c)
die Inhalte von Daten, die aus den vernetzten nationalen Datenbanken stammen und durch das Portal zur Verfügung gestellt wurden.
(7) Die Verpflichtungen der Kommission berühren nicht die Verantwortung der Mitgliedstaaten und anderer Gremien für den Inhalt und den Betrieb der von ihnen geführten vernetzten nationalen Datenbanken.
Artikel 5
Informationspflichten
(1) Die Kommission hat gemäß Artikel 11 und 12 der Verordnung (EG) Nr. 45/2001 gegenüber den betroffenen Personen eine Informationspflicht im Hinblick auf Informationen, für die die Kommission aufgrund dieses Beschlusses verantwortlich ist.
(2) Unbeschadet der Verpflichtungen gegenüber betroffenen Personen der Mitgliedstaaten und anderen Gremien, die die vernetzten nationalen Datenbanken betreiben, hat die Kommission die betroffenen Personen auch darüber zu unterrichten, an wen sie sich wenden können, um ihre Informations-, Auskunfts-, Berichtigungs- und Widerspruchsrechte im Einklang mit den anzuwendenden Datenschutzvorschriften wirksam wahrnehmen zu können. Die Kommission verweist auf die spezifischen Datenschutzerklärungen der Mitgliedstaaten und anderer Gremien.
(3) Die Kommission stellt im Portal ferner zur Verfügung:
a)
Übersetzungen der in Absatz 2 genannten Datenschutzerklärungen der Mitgliedstaaten in die Sprachen des Portals;
b)
Eine umfassende Datenschutzerklärung betreffend das Portal im Einklang mit Artikel 11 und 12 der Verordnung (EG) Nr. 45/2001 in klarer und verständlicher Form.
Artikel 6
Speicherung personenbezogener Daten
(1) Im Hinblick auf den Informationsaustausch vernetzter nationaler Datenbanken dürfen keine personenbezogenen Daten über die betreffenden Personen im Portal gespeichert werden. Diese Daten werden in den von den Mitgliedstaaten oder anderen Gremien betriebenen nationalen Datenbanken gespeichert.
(2) Personenbezogene Daten, die sich auf Portalnutzer beziehen oder von diesen bereitgestellt werden, dürfen im Portal nicht gespeichert werden, außer in Fällen, in denen diese sich als registrierte Nutzer angemeldet haben. Personenbezogene Daten registrierter Nutzer dürfen gespeichert werden, bis diese die Löschung ihrer Registrierung beantragen. Entsprechend Artikel 3 werden personenbezogene Daten von europäischen e-Justiz-Akteuren oder Kontaktstellen nur solange gespeichert, wie diese Personen ihre Aufgaben wahrnehmen.
Artikel 7
Inkrafttreten
Dieser Beschluss tritt am zwanzigsten Tag nach seiner Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.
Brüssel, den 5. Juni 2014
DECISIONE DELLA COMMISSIONE
del 5 giugno 2014
relativa alla protezione dei dati personali sul Portale europeo della giustizia elettronica
(2014/333/UE)
LA COMMISSIONE EUROPEA,
visto il trattato sul funzionamento dell'Unione europea,
sentito il Garante europeo della protezione dei dati,
considerando quanto segue:
(1)
Nella comunicazione del maggio 2008 (1) la Commissione ha dichiarato che avrebbe lavorato sull'ideazione e sull'allestimento del Portale europeo della giustizia elettronica (in appresso: «Portale»), da gestire in stretto rapporto con gli Stati membri.
(2)
Il piano d'azione pluriennale 2009-2013 in materia di giustizia elettronica europea (2) dell'8 novembre 2008 ha affidato alla Commissione europea l'attuazione del Portale. Detto Portale è stato avviato il 16 luglio 2010. L'adozione della presente decisione si è resa necessaria solo adesso, da quando cioè il Portale è pronto per la prima interconnessione di registri nazionali con conseguente trattamento di dati personali.
(3)
Scopo del Portale è contribuire alla realizzazione dello spazio giudiziario europeo facilitando e migliorando l'accesso alla giustizia e facendo leva sulle tecnologie di informazione e di comunicazione per agevolare i procedimenti giudiziari elettronici transfrontalieri e la cooperazione giudiziaria.
(4)
Quando attuano il diritto dell'Unione, le istituzioni, gli organi, gli uffici e le agenzie dell'Unione europea, così come gli Stati membri, devono rispettare i diritti fondamentali e osservare i principi sanciti dalla Carta dei diritti fondamentali dell'Unione europea, in particolare il diritto alla protezione dei dati di carattere personale di cui all'articolo 8 della Carta.
(5)
Poiché i vari compiti e le varie funzioni che incombono alla Commissione e agli Stati membri relativamente al Portale comporteranno diverse responsabilità e diversi obblighi in termini di protezione dei dati, è fondamentale delimitarli chiaramente.
(6)
Tenuto conto della specifica natura delle attività legate al Portale della giustizia elettronica, frutto di una cooperazione fra la Commissione e gli Stati membri, il ruolo della Commissione nel trattamento dei dati personali nell'ambito del Portale è limitato. Va precisato che la Commissione non è responsabile del contenuto delle banche dati nazionali interconnesse rese disponibili attraverso il Portale.
(7)
Al trattamento dei dati personali da parte della Commissione nell'ambito del Portale si applica il regolamento (CE) n. 45/2001 del Parlamento europeo e del Consiglio (3). La Commissione ha, in particolare, il compito di fornire l'infrastruttura informatica per le funzionalità del Portale, inclusa l'interconnessione delle banche dati nazionali.
(8)
Conformemente al regolamento (CE) n. 45/2001, occorre che le finalità del trattamento dei dati personali siano esplicitamente precisate. Pertanto, il trattamento di dati personali da parte della Commissione nell'ambito del Portale può avvenire solo se serve per fornire un accesso alle banche dati nazionali interconnesse contenenti dati personali, per fornire servizi interattivi che consentano agli utenti di comunicare direttamente con le autorità competenti in un altro Stato membro, per fornire accesso a informazioni pubbliche destinate agli utenti registrati, o per fornire informazioni di contatto.
(9)
La Commissione dovrebbe integrare nel sistema tecnologie che rispecchino il concetto di «protezione dei dati fin dalla progettazione». Ai fini dell'attuazione di tale concetto, in fase di progettazione della funzionalità legata al trattamento dei dati personali nell'ambito del Portale, e di altre funzionalità del Portale, dovrebbe essere effettuata una valutazione dell'impatto sulla protezione della vita privata e dei dati. Tale valutazione permetterà di individuare i potenziali rischi per la tutela dei dati, e di definire inoltre le adeguate misure e garanzie da integrare nel sistema per tutelare i dati personali.
(10)
Occorre che la Commissione proceda a continue ed adeguate valutazioni in materia di sicurezza nella misura in cui vengono effettuate operazioni legate all'interconnessione di banche dati nazionali.
(11)
Sono accessibili attraverso il Portale solo le informazioni pubbliche contenute nelle banche dati nazionali interconnesse. Non deve essere possibile combinare per finalità diverse, attraverso il Portale, informazioni provenienti dalle varie banche dati nazionali interconnesse,
HA ADOTTATO LA PRESENTE DECISIONE:
Articolo 1
Oggetto
La presente decisione definisce le funzioni e le responsabilità della Commissione europea in relazione alle norme sulla protezione dei dati nel trattamento di dati personali nell'ambito del Portale europeo della giustizia elettronica (in appresso: «Portale»).
Articolo 2
Definizioni
Ai fini della presente decisione si applicano le definizioni di cui al regolamento (CE) n. 45/2001. Si applicano inoltre le seguenti definizioni:
a) «operatore della giustizia elettronica europea»: qualsiasi rappresentante di uno Stato membro o di un'organizzazione partner della giustizia elettronica europea autorizzato a modificare il (o parti del) contenuto del Portale;
b) «banche dati nazionali interconnesse»: banche dati contenenti informazioni pubblicamente accessibili, gestite dagli Stati membri e da altri organismi come associazioni professionali e organizzazioni senza scopo di lucro, interconnesse attraverso il Portale in modo che le informazioni disponibili a livello nazionale possano essere consultate dal Portale stesso;
c) «informazioni pubblicamente accessibili»: informazioni accessibili ai cittadini attraverso Internet;
d) «utente registrato»: un utente del Portale, quale ad esempio un «operatore della giustizia elettronica europea», registrato sul Portale attraverso il servizio di autenticazione della Commissione europea (ECAS).
Articolo 3
Trattamento dei dati
La Commissione effettua operazioni di trattamento di dati personali nel Portale solo nella misura in cui ciò è necessario per:
a)
fornire un accesso alle banche dati nazionali interconnesse contenenti dati personali;
b)
fornire servizi interattivi che consentano agli utenti registrati di comunicare direttamente con le autorità competenti in un altro Stato membro;
c)
fornire accesso a informazioni pubbliche destinate agli utenti registrati;
d)
fornire informazioni di contatto.
Articolo 4
Compiti del responsabile del trattamento
1. La Commissione svolge i compiti di responsabile del trattamento ai sensi dell'articolo 2, lettera d), del regolamento (CE) n. 45/2001 conformemente alle responsabilità che le incombono nell'ambito del Portale e di cui al presente articolo.
2. La Commissione garantisce la disponibilità, la manutenzione e la sicurezza dell'infrastruttura informatica del Portale.
3. La Commissione è responsabile delle seguenti operazioni di trattamento:
a)
organizzazione;
b)
comunicazione mediante trasmissione;
c)
diffusione o qualsiasi altra forma di messa a disposizione;
d)
allineamento o combinazione di dati personali estratti da banche dati nazionali interconnesse o di dati personali relativi a utenti registrati.
4. La Commissione definisce le politiche necessarie e applica le adeguate soluzioni tecniche per adempiere alle proprie responsabilità nel quadro della sua funzione di responsabile del trattamento.
5. La Commissione attua le necessarie misure tecniche per garantire la sicurezza dei dati personali nel momento in cui vengono comunicati e quando sono visibili sul Portale, in particolare la riservatezza e l'integrità per ogni trasmissione da e verso il Portale.
6. La Commissione non è responsabile degli aspetti relativi alla protezione dei dati per quanto riguarda:
a)
la raccolta e la conservazione iniziale dei dati estratti dalle banche dati nazionali interconnesse;
b)
le decisioni degli Stati membri di rendere tali dati disponibili attraverso il Portale;
c)
il contenuto dei dati estratti dalle banche dati nazionali interconnesse e resi disponibili attraverso il Portale.
7. Gli obblighi che incombono alla Commissione non incidono sulle responsabilità degli Stati membri e degli altri organismi relative al contenuto e al funzionamento delle banche dati nazionali interconnesse da essi gestite.
Articolo 5
Obblighi di informazione
1. La Commissione fornisce agli interessati i dati di cui agli articoli 11 e 12 del regolamento (CE) n. 45/2001 per quanto riguarda le informazioni di cui essa è responsabile in virtù della presente decisione.
2. Fermi restando gli obblighi verso gli interessati che incombono agli Stati membri e agli altri organismi che gestiscono le banche dati nazionali interconnesse, la Commissione indica agli interessati anche chi contattare ai fini dell'effettivo esercizio dei loro diritti di informazione, accesso, rettifica e opposizione conformemente alla normativa applicabile in materia di protezione dei dati. La Commissione si richiama alle specifiche dichiarazioni sulla protezione dei dati personali degli Stati membri e degli altri organismi.
3. La Commissione rende inoltre disponibili sul Portale:
a)
le traduzioni, nelle lingue del Portale, delle informative sulla privacy degli Stati membri di cui al paragrafo 2;
b)
un'ampia informativa sulla privacy riguardante il Portale, conformemente agli articoli 11 e 12 del regolamento (CE) n. 45/2001, in forma chiara e comprensibile.
Articolo 6
Conservazione dei dati personali
1. Per quanto riguarda gli scambi di informazioni da banche dati nazionali interconnesse, nessun dato personale riguardante gli interessati è conservato sul Portale. Tutti questi dati sono conservati nelle banche dati nazionali gestite dagli Stati membri o da altri organismi.
2. I dati personali relativi agli utenti del Portale o da essi forniti non sono conservati sul Portale, tranne nei casi in cui questi si siano iscritti come utenti registrati. I dati personali degli utenti registrati sono conservati fino a quando questi non chiedano la cancellazione della loro registrazione. Conformemente all'articolo 3, i dati personali relativi agli operatori o ai punti di contatto della giustizia elettronica europea sono conservati solo per il periodo in cui tali persone esercitano le loro funzioni.
Articolo 7
Data d'entrata in vigore
La presente decisione entra il vigore il ventesimo giorno successivo alla sua pubblicazione nella Gazzetta ufficiale dell'Unione europea.
Fatto a Bruxelles, il 5 giugno 2014