ROZHODNUTÍ KOMISE
ze dne 5. června 2014
o ochraně osobních údajů v portálu evropské e-justice
(2014/333/EU)
EVROPSKÁ KOMISE,
s ohledem na Smlouvu o fungování Evropské unie,
po konzultaci s evropským inspektorem ochrany údajů,
vzhledem k těmto důvodům:
(1)
Ve svém sdělení z května 2008 (1) Komise uvedla, že bude pracovat na konceptu a zprovoznění portálu evropské e-justice (dále jen „portál“), jehož řízení se ujme v úzké spolupráci s členskými státy.
(2)
Víceletý akční plán v oblasti evropské e-justice na období let 2009-2013 (2) ze dne 8. listopadu 2008 pověřil realizací portálu Evropskou komisi. Portál byl spuštěn dne 16. července 2010. Vzhledem k tomu, že portál je teprve nyní připraven na první propojení vnitrostátních rejstříků, jež obnáší zpracování osobních údajů, stalo se přijetí tohoto rozhodnutí nezbytným až za současné situace.
(3)
Cílem portálu je přispět k realizaci evropského soudního prostoru, a to usnadněním a podporou přístupu ke spravedlnosti a posílení informačních a komunikačních technologií, jež mají usnadnit přeshraniční elektronické soudní řízení a justiční spolupráci.
(4)
Orgány, subjekty, úřady a agentury Evropské unie stejně jako členské státy musí při provádění právních předpisů Unie ctít základní práva a dodržovat zásady uznané Listinou základních práv Evropské unie, zejména právo na ochranu osobních údajů stanovené v článku 8 uvedené listiny.
(5)
Vzhledem k tomu, že řada rozmanitých úkolů a funkcí Komise a členských států týkající se portálu obnáší rozličné povinnosti a závazky, pokud jde o ochranu údajů, je nezbytné, aby tyto byly jasně vymezeny.
(6)
S ohledem na zvláštní povahu činností souvisejících s portálem e-justice, vytvořených na základě spolupráce mezi Komisí a členskými státy, je úloha Komise při zpracování osobních údajů prostřednictvím portálu omezená. Je třeba upřesnit, že Komise nenese žádnou odpovědnost za obsah vzájemně propojených vnitrostátních databází, který je prostřednictvím portálu dostupný.
(7)
Zpracovávání osobních údajů Komisí v rámci portálu se řídí nařízením Evropského parlamentu a Rady (ES) č. 45/2001 (3). V této souvislosti je Komise zejména odpovědná za poskytování infrastruktury IT pro funkce portálu, včetně propojení vnitrostátních databází.
(8)
V souladu s nařízením (ES) č. 45/2001 by mělo být výslovně uvedeno, pro jaké účely se osobní údaje zpracovávají. Komise by tudíž měla osobní údaje v rámci portálu zpracovávat pouze za účelem poskytnutí přístupu k vzájemně propojeným vnitrostátním databázím s osobními údaji, poskytnutí interaktivních služeb umožňujícím uživatelům komunikovat přímo s příslušnými orgány v jiném členském státě, poskytnutí přístupu k veřejným informacím pro registrované uživatele nebo poskytnutí kontaktních údajů.
(9)
Komise by se měla opřít o systémové technologie, které zohledňují koncepci „ochrany údajů již od návrhu“. Při uplatňování této koncepce by mělo být při návrhu funkce spojené se zpracováním osobních údajů prostřednictvím portálu, jakož i jiných funkcí portálu, provedeno posouzení dopadů na ochranu soukromí a osobních údajů. Toto posouzení určí potenciální rizika v souvislosti s ochranou údajů. Rovněž uvede vhodná opatření a záruky, které mají být začleněny do systému ochrany osobních údajů.
(10)
Při provádění činností souvisejících s propojením vnitrostátních databází by Komise měla nepřetržitě a náležitě posuzovat bezpečnost.
(11)
Prostřednictvím portálu mohou být dostupné pouze informace, které jsou v propojených vnitrostátních databázích veřejně přístupné. Portál by neměl umožňovat, aby byly pro různé účely kombinovány údaje z různých vzájemně propojených vnitrostátních databází,
PŘIJALA TOTO ROZHODNUTÍ:
Článek 1
Předmět
Toto rozhodnutí stanoví funkce a povinnosti Evropské komise v souvislosti s požadavky na ochranu údajů při zpracovávání osobních údajů v rámci evropského portálu e-justice (dále jen „portál“).
Článek 2
Definice
Pro účely tohoto rozhodnutí se použijí definice stanovené nařízením (ES) č. 45/2001. Vedle toho se rozumí:
a)
„účastníkem evropské e-justice“ každý zástupce členského státu nebo partnerské organizace evropské e-justice, jemuž bylo uděleno povolení měnit obsah portálu (jeho částí);
b)
„vzájemně propojenými vnitrostátními databázemi“ databáze, které obsahují veřejně přístupné informace, provozované členskými státy a jinými subjekty, jako jsou profesní sdružení a neziskové organizace, které jsou propojeny prostřednictvím portálu tak, že informace přístupné na vnitrostátní úrovni jsou dostupné přes portál;
c)
„veřejně přístupnými informacemi“ informace, které jsou přístupné veřejnosti prostřednictvím internetu;
d)
„registrovaným uživatelem“ uživatel portálu, který se v portálu registroval prostřednictvím ověřovací služby Evropské komise (ECAS), např. jako „účastník evropské e-justice“.
Článek 3
Zpracovávání údajů
Komise zpracovává osobní údaje v rámci portálu pouze v rozsahu nezbytném pro účely:
a)
poskytnutí přístupu k vzájemně propojeným vnitrostátním databázím obsahujícím osobní údaje;
b)
poskytnutí interaktivních služeb, které registrovaným uživatelům umožní přímo komunikovat s příslušnými orgány v jiném členském státě;
c)
zajištění přístupu k veřejně dostupným informacím pro registrované uživatele;
d)
poskytnutí kontaktních údajů.
Článek 4
Povinnosti správce údajů
1. Komise vykonává své povinnosti správce údajů podle čl. 2 písm. d) nařízení (ES) č. 45/2001 v souladu se svými příslušnými povinnostmi v rámci portálu, jak je uvedeno v tomto článku.
2. Komise zajistí dostupnost, údržbu a bezpečnost infrastruktury IT portálu.
3. Komise odpovídá za tyto úkony související se zpracováním osobních údajů:
a)
uspořádávání;
b)
sdělení prostřednictvím přenosu;
c)
šíření nebo jakékoli jiné zpřístupnění;
d)
srovnávání či kombinování osobních údajů z propojených vnitrostátních databází nebo osobních údajů týkajících se registrovaných uživatelů.
4. Za účelem plnění svých povinností jakožto správce údajů Komise vymezí potřebné politiky a uplatní vhodná technická řešení.
5. Komise provádí technická opatření nutná k zajištění bezpečnosti při přenosu osobních údajů a jejich zobrazení na portálu, zejména důvěrnosti a integrity při jakémkoli jejich přenosu do portálu a z něj.
6. Komise nenese odpovědnost za žádný z aspektů ochrany údajů, které se týkají:
a)
počátečního shromažďování a uchovávání údajů z propojených vnitrostátních databází;
b)
jakýchkoli rozhodnutí přijatých členskými státy o zpřístupnění takových údajů prostřednictvím portálu;
c)
obsahu jakéhokoli údaje z vzájemně propojených vnitrostátních databází, který je dostupný prostřednictvím portálu.
7. Povinnostmi Komise není dotčena odpovědnost členských států a jiných subjektů za obsah a provoz propojených vnitrostátních databází, které spravují.
Článek 5
Informační povinnosti
1. Komise poskytne subjektům údajů informace uvedené v článcích 11 a 12 nařízení (ES) č. 45/2001, pokud jde o poskytování informací, za něž Komise podle tohoto rozhodnutí odpovídá.
2. Aniž jsou dotčeny její povinnosti vůči subjektům údajů členských států a jiných subjektů působících v rámci propojených vnitrostátních databází, Komise rovněž informuje subjekty údajů o tom, na koho se obrátit, aby mohly účinně využít svého práva na informace, na přístup, na opravu a na námitku podle příslušných právních předpisů na ochranu údajů. Komise odkáže na prohlášení o ochraně osobních údajů členských států a jiných orgánů.
3. Komise na portálu rovněž zpřístupní:
a)
překlady prohlášení členských států o ochraně osobních údajů, jak je uvedeno v odstavci 2, do příslušných jazyků portálu;
b)
ucelené prohlášení o ochraně osobních údajů týkající se portálu v souladu s články 11 a 12 nařízení (ES) č. 45/2001 v jasné a srozumitelné podobě.
Článek 6
Uchovávání osobních údajů
1. Pokud jde o výměnu informací z propojených vnitrostátních databází, žádné osobní údaje týkající se subjektů údajů nesmějí být na portálu uchovávány. Veškeré takové údaje se uchovávají ve vnitrostátních databázích provozovaných členskými státy nebo jinými subjekty.
2. Osobní údaje týkající se uživatelů portálu nebo osobní údaje jimi poskytované nesmějí být na portálu uchovávány, kromě případů, kdy se tito uživatelé přihlásili jako registrovaní uživatelé. Osobní údaje registrovaných uživatelů se uchovávají tak dlouho, dokud registrovaný uživatel nepožádá o zrušení své registrace. V souladu s článkem 3 se osobní údaje týkající se účastníků nebo kontaktních osob evropské e-justice uchovávají pouze po dobu, po kterou tyto osoby vykonávají svou funkci.
Článek 7
Datum použitelnosti
Toto rozhodnutí vstupuje v platnost dvacátým dnem po zveřejnění v Úředním věstníku Evropské unie.
V Bruselu dne 5. června 2014.
KOMISSION PÄÄTÖS,
annettu 5 päivänä kesäkuuta 2014,
henkilötietojen suojasta Euroopan oikeusportaalissa
(2014/333/EU)
EUROOPAN KOMISSIO, joka
ottaa huomioon Euroopan unionin toiminnasta tehdyn sopimuksen,
on kuullut Euroopan tietosuojavaltuutettua,
sekä katsoo seuraavaa:
(1)
Komissio ilmoitti toukokuussa 2008 antamassaan tiedonannossa (1) aikovansa suunnitella ja ottaa käyttöön Euroopan sähköisen oikeudenkäytön portaalin, jäljempänä ’portaali’, jota se hallinnoi tiiviissä yhteistyössä jäsenvaltioiden kanssa.
(2)
Euroopan sähköisen oikeuden monivuotisessa toimintaohjelmassa 2009-2013 (2), joka hyväksyttiin 8 päivänä marraskuuta 2008, annettiin portaalin toteuttaminen Euroopan komission tehtäväksi. Portaali avattiin 16 päivänä heinäkuuta 2010. Tämän päätöksen hyväksyminen on vihdoin tullut ajankohtaiseksi, koska portaali on vasta nyt valmis ensimmäiseen henkilötietojen käsittelyä edellyttävien kansallisten rekisterien yhteenliittämiseen.
(3)
Portaalin tavoitteena on edistää Euroopan oikeusalueen toteuttamista helpottamalla ja parantamalla oikeussuojan saatavuutta ja hyödyntämällä tieto- ja viestintätekniikkaa valtioiden rajat ylittävien sähköisten oikeudenkäyntimenettelyjen ja oikeudellisen yhteistyön helpottamiseksi.
(4)
Euroopan unionin toimielinten, elinten ja laitosten sekä jäsenvaltioiden, kun ne soveltavat unionin oikeutta, on kunnioitettava perusoikeuksia ja noudatettava Euroopan unionin perusoikeuskirjassa tunnustettuja periaatteita, erityisesti oikeutta perusoikeuskirjan 8 artiklan mukaiseen henkilötietojen suojaan.
(5)
Koska portaaliin liittyviin komission ja jäsenvaltioiden tehtäviin ja toimiin kuuluu erilaisia tietosuojaan liittyviä vastuualueita ja velvoitteita, on välttämätöntä rajata ne selkeästi.
(6)
Komissio ja jäsenvaltiot ovat luoneet Euroopan sähköisen oikeudenkäytön portaalin yhteistyössä. Portaaliin liittyvien toimintojen erityisluonteen vuoksi komissio käsittelee henkilötietoja portaalin kautta vain rajoitetusti. On syytä täsmentää, että komissio ei vastaa portaalin kautta saatavilla olevasta yhteenliitettyjen kansallisten tietokantojen sisällöstä.
(7)
Euroopan parlamentin ja neuvoston asetusta (EY) N:o 45/2001 (3) sovelletaan komission portaalissa suorittamaan henkilötietojen käsittelyyn. Tältä osin komissio vastaa erityisesti portaalin toimintoja varten tarvittavan tietotekniikkainfrastruktuurin tarjoamisesta ja sen yhteydessä kansallisten tietokantojen yhteenliittämisestä.
(8)
Asetuksen (EY) N:o 45/2001 mukaisesti henkilötietojen käsittelyn tarkoitus olisi määriteltävä nimenomaisesti. Sen vuoksi komission olisi käsiteltävä henkilötietoja portaalissa ainoastaan siltä osin kuin käsittelyn tarkoituksena on mahdollistaa pääsy henkilötietoja sisältäviin yhteenliitettyihin kansallisiin tietokantoihin, tarjota vuorovaikutteisia palveluja, joiden avulla käyttäjät voivat olla suoraan yhteydessä toisen jäsenvaltion viranomaisiin, mahdollistaa tutustuminen rekisteröidyille käyttäjille tarkoitettuihin julkisiin tietoihin tai antaa yhteystietoja.
(9)
Komission olisi sisällytettävä järjestelmään tekniikoita, jotka perustuvat niin sanotun sisäänrakennetun tietosuojan periaatteeseen. Tämän periaatteen toteuttamiseksi olisi suoritettava yksityisyydensuojaa ja tietosuojaa koskeva vaikutusten arviointi portaalin kautta tehtävää henkilötietojen käsittelyä koskevan toiminnon sekä portaalin muiden toimintojen suunnitteluvaiheessa. Arvioinnissa kartoitetaan mahdolliset tietosuojaan liittyvät riskit. Lisäksi siinä määritellään asianmukaiset toimenpiteet ja suojatoimet, jotka on sisällytettävä henkilötietojen suojajärjestelmään.
(10)
Komission olisi toteutettava jatkuvasti asianmukaisia turvallisuusarviointeja sitä mukaa kuin kansallisten tietokantojen yhteenliittämistyö etenee.
(11)
Portaalin kautta pääsee tutustumaan ainoastaan sellaisiin yhteenliitetyissä kansallisissa tietokannoissa oleviin tietoihin, jotka ovat julkisesti saatavilla. Portaalin kautta ei pitäisi olla mahdollista yhdistää yhteenliitetyistä kansallisista tietokannoista saatuja tietoja eri tarkoituksiin,
ON HYVÄKSYNYT TÄMÄN PÄÄTÖKSEN:
1 artikla
Kohde
Tässä päätöksessä vahvistetaan tietosuojavaatimuksiin liittyvät Euroopan komission tehtävät ja velvollisuudet sen käsitellessä henkilötietoja Euroopan sähköisen oikeudenkäytön portaalissa, jäljempänä ’portaali’.
2 artikla
Määritelmät
Tässä päätöksessä sovelletaan asetuksessa (EY) N:o 45/2001 vahvistettuja määritelmiä. Lisäksi sovelletaan seuraavia määritelmiä:
a)
’Euroopan sähköisen oikeudenkäytön toimijalla’ tarkoitetaan jäsenvaltion tai Euroopan sähköisen oikeudenkäytön kumppaniorganisaation edustajaa, jolle on myönnetty lupa (osittain) muuttaa portaalin sisältöä;
b)
’yhteenliitetyillä kansallisilla tietokannoilla’ tarkoitetaan julkisesti saatavilla olevia tietoja sisältäviä tietokantoja, joita ylläpitävät jäsenvaltiot ja muut elimet, kuten ammattialan järjestöt tai voittoa tavoittelemattomat järjestöt, jotka ovat yhteenliitettyinä portaalin välityksellä siten, että kansallisella tasolla saatavilla oleviin tietoihin on mahdollista tutustua portaalin kautta;
c)
’julkisesti saatavilla olevalla tiedolla’ tarkoitetaan tietoa, joka on yleisön saatavilla internetin kautta;
d)
’rekisteröidyllä käyttäjällä’ tarkoitetaan portaalin käyttäjää, esimerkiksi Euroopan sähköisen oikeudenkäytön toimijaa, joka on rekisteröitynyt portaaliin Euroopan komission todennuspalvelun (ECAS) välityksellä.
3 artikla
Tietojenkäsittely
Komissio käsittelee henkilötietoja portaalissa vain siltä osin kuin se on välttämätöntä
a)
pääsyn myöntämiseksi henkilötietoja sisältäviin yhteenliitettyihin kansallisiin tietokantoihin;
b)
sellaisten vuorovaikutteisten palvelujen tarjoamiseksi, joiden avulla rekisteröidyt käyttäjät voivat olla suoraan yhteydessä toisen jäsenvaltion asianomaisiin viranomaisiin;
c)
pääsyn myöntämiseksi sellaisiin julkisiin tietoihin, jotka on tarkoitettu rekisteröidyille käyttäjille;
d)
yhteystietojen antamista varten.
4 artikla
Rekisterinpitäjän tehtävät
1. Komissio toimii asetuksen (EY) N:o 45/2001 2 artiklan d alakohdan nojalla rekisterinpitäjänä sille tässä artiklassa säädettyjen, portaaliin liittyvien tehtävien mukaisesti.
2. Komissio huolehtii portaalin tietotekniikkainfrastruktuurin saatavuudesta, ylläpidosta ja tietoturvasta.
3. Komissio vastaa seuraavista yhteenliitetyistä kansallisista tietokannoista saatujen tai rekisteröityneitä käyttäjiä koskevien henkilötietojen käsittelytoimista:
a)
järjestäminen;
b)
luovuttaminen siirtämällä;
c)
levittäminen tai asettaminen muutoin saataville;
d)
yhteensovittaminen tai yhdistäminen.
4. Komissio määrittelee tarvittavat toimintatavat ja toteuttaa asianmukaiset tekniset ratkaisut, jotta se voi hoitaa tehtävänsä rekisterinpitäjänä.
5. Komissio toteuttaa tarvittavat tekniset toimenpiteet tietoturvan varmistamiseksi henkilötietojen siirtämisen ja niiden portaalissa näyttämisen aikana ja erityisesti henkilötietojen luottamuksellisuuden ja eheyden varmistamiseksi silloin, kun niitä siirretään portaaliin tai sieltä pois.
6. Komissio ei vastaa seuraavista tietosuojanäkökohdista:
a)
yhteenliitetyistä kansallisista tietokannoista saatujen tietojen ensimmäinen kerääminen ja tallentaminen;
b)
jäsenvaltioiden päätökset tällaisten tietojen asettamisesta saataville portaalin kautta;
c)
yhteenliitetyistä kansallisista tietokannoista saatujen ja portaalin kautta saataville asetettujen tietojen sisältö.
7. Komission velvollisuudet eivät vaikuta tehtäviin, joita jäsenvaltioilla tai muilla elimillä on ylläpitämiensä yhteenliitettyjen kansallisten tietokantojen sisällön ja toiminnan suhteen.
5 artikla
Velvollisuus antaa tietoja
1. Komissio antaa rekisteröidyille asetuksen (EY) N:o 45/2001 11 ja 12 artiklassa tarkoitetut tiedot siltä osin kuin on kyse tiedoista, joista komissio on tämän päätöksen nojalla vastuussa.
2. Sen estämättä, mitä säädetään jäsenvaltioiden ja muiden yhteenliitettyjä kansallisia tietokantoja hoitavien elinten velvollisuuksista rekisteröityjä kohtaan, komissio antaa rekisteröidyille tietoja siitä, mihin heidän on otettava yhteyttä voidakseen tosiasiallisesti käyttää tiedonsaantioikeuttaan sekä oikeuttaan oikaista henkilötietonsa ja vastustaa niiden käsittelyä sovellettavan tietosuojalainsäädännön mukaisesti. Komissio noudattaa jäsenvaltioiden ja muiden elinten tietosuojaselosteita.
3. Komissio asettaa saataville portaaliin myös
a)
käännökset portaalin kielille 2 kohdassa tarkoitetuista jäsenvaltioiden tietosuojaselosteista;
b)
asetuksen (EY) N:o 45/2001 11 ja 12 artiklan mukaisen, portaaliin liittyvän kattavan, selkeässä ja ymmärrettävässä muodossa laaditun tietosuojaselosteen.
6 artikla
Henkilötietojen tallentaminen
1. Portaaliin ei saa tallentaa rekisteröityjen henkilötietoja, jotka on saatu yhteenliitetyissä kansallisissa tietokannoissa olevien tietojen vaihdon tuloksena. Kaikki tällaiset tiedot on tallennettava jäsenvaltioiden tai muiden elinten hoitamiin kansallisiin tietokantoihin.
2. Portaalin käyttäjiä koskevia tai heidän antamiaan henkilötietoja ei saa tallentaa portaaliin, elleivät he ole rekisteröityneet sen käyttäjiksi. Rekisteröityneiden käyttäjien henkilötiedot säilytetään, kunnes he pyytävät rekisteröintinsä poistamista. Edellä olevan 3 artiklan mukaisesti Euroopan sähköisen oikeudenkäytön toimijoiden ja yhteysviranomaisten henkilötietoja säilytetään vain niin kauan kuin asianomaiset henkilöt toimivat näissä tehtävissä.
7 artikla
Voimaantulopäivä
Tämä päätös tulee voimaan kahdentenakymmenentenä päivänä sen jälkeen, kun se on julkaistu Euroopan unionin virallisessa lehdessä.
Tehty Brysselissä 5 päivänä kesäkuuta 2014.