РЕГЛАМЕНТ (ЕС) № 1024/2012 НА ЕВРОПЕЙСКИЯ ПАРЛАМЕНТ И НА СЪВЕТА
от 25 октомври 2012 година
относно административно сътрудничество посредством Информационната система за вътрешния пазар и за отмяна на Решение 2008/49/ЕО на Комисията („Регламент за ИСВП“)
(текст от значение за ЕИП)
ЕВРОПЕЙСКИЯТ ПАРЛАМЕНТ И СЪВЕТЪТ НА ЕВРОПЕЙСКИЯ СЪЮЗ,
като взеха предвид Договора за функционирането на Европейския съюз, и по-специално член 114 от него,
като взеха предвид предложението на Европейската комисия,
след предаване на проекта на законодателния акт на националните парламенти,
като взеха предвид становището на Европейския икономически и социален комитет (1),
в съответствие с обикновената законодателна процедура (2),
като имат предвид, че:
(1)
Прилагането на някои актове на Съюза, уреждащи свободното движение на стоки, хора, услуги и капитали в рамките на вътрешния пазар, изисква от държавите членки да си сътрудничат по-ефективно и да обменят информация помежду си и с Комисията. В тези актове обаче често не са посочени конкретните практически средства за извършването на такъв обмен на информация, поради което е необходимо да се установят подходящи практически механизми.
(2)
Информационната система за вътрешния пазар („ИСВП“) е софтуерно приложение, достъпно през интернет, разработено от Комисията в сътрудничество с държавите членки, с цел те да бъдат подпомогнати при практическото изпълнение на изискванията за информационен обмен, установени в актовете на Съюза, чрез осигуряването на централизиран механизъм за комуникация, с който да се улесни трансграничният обмен на информация и взаимната помощ. По-специално ИСВП подпомага компетентните органи да установят кои са партньорите им в друга държава членка, да управляват обмена на информация, включително на лични данни, на базата на прости и единни процедури, и да преодолеят езиковите бариери с помощта на предварително съгласувани и преведени работни процеси. Ако са налични, Комисията следва да предостави на потребителите на ИСВП съществуващите допълнителни функционалности за превод, които отговарят на техните нужди, които са съвместими с изискванията за сигурност и поверителност за обмена на информация в ИСВП и могат да бъдат предложени на разумна цена.
(3)
С цел преодоляване на езиковите бариери ИСВП следва по принцип да бъде достъпна на всички официални езици на Съюза.
(4)
Целта на ИСВП следва да бъде да се подобри функционирането на вътрешния пазар чрез осигуряването на ефективен и лесен за използване инструмент за осъществяване на административно сътрудничество между държавите членки и между държавите членки и Комисията, като по този начин се улесни прилагането на актовете на Съюза, изброени в приложението към настоящия регламент.
(5)
В съобщението на Комисията от 21 февруари 2011 г., озаглавено „По-добро управляване на единния пазар чрез засилено административно сътрудничество: стратегия за разширяване и развиване на информационната система за вътрешния пазар (ИСВП)“ са изложени планове за евентуално разширяване на използването на ИСВП по отношение на други актове на Съюза. В съобщението на Комисията от 13 април 2011 г., озаглавено „Акт за единния пазар - Дванадесет лоста за насърчаване на растежа и укрепване на доверието - „Заедно за нов тип икономически растеж“ се подчертава значението на ИСВП за засилване на сътрудничеството сред участниците, включително на местно равнище, като по този начин се допринася за по-доброто управление на единния пазар. Затова е необходимо да се създаде стабилна правна рамка за ИСВП и да се установят общи правила, с което да се гарантира ефективното функциониране на ИСВП.
(6)
Когато прилагането на разпоредба от акт на Съюза изисква от държавите членки да обменят лични данни и предвижда тяхното обработване, подобна разпоредба следва да се разглежда като подходящо правно основание за обработването на лични данни при изпълнение на условията по членове 8 и 52 от Хартата на основните права на Европейския съюз. ИСВП следва да се разглежда основно като инструмент за обмен на информация, включително лични данни, който обмен в противен случай би се извършвал чрез други средства, включително обикновена поща, факс или електронна поща, въз основа на правни задължения, наложени с актове на Съюза на властите и органите на държавите членки. Обменяните чрез ИСВП лични данни следва да се събират, обработват и използват единствено за цели, съответстващи на целите на първоначалното им събиране, и това следва да става при спазване на всички приложими предпазни мерки.
(7)
Съгласно принципа за защита на личните данни още на етапа на проектиране ИСВП е разработена при съобразяване на изискванията на законодателството за защита на данните и още от самото начало е ориентирана към защита на данните, по-специално поради ограниченията, наложени върху достъпа до лични данни, обменяни чрез ИСВП. Вследствие на това ИСВП предлага значително по-висока степен на защита и сигурност в сравнение с други методи за обмен на информация като обикновена поща, телефон, факс или електронна поща.
(8)
Административното сътрудничество по електронен път между държавите членки, както и между държавите членки и Комисията, следва да става в съответствие с правилата за защита на личните данни, предвидени в Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 г. за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни (3) и в Регламент (ЕО) № 45/2001 на Европейския парламент и на Съвета от 18 декември 2000 г. относно защитата на лицата по отношение на обработката на лични данни от институции и органи на Общността и за свободното движение на такива данни (4). Определенията, установени в Директива 95/46/ЕО и Регламент (ЕО) № 45/2001, следва да се прилагат и за целите на настоящия регламент.
(9)
Комисията предоставя и управлява софтуера и информационно-технологичната инфраструктура на ИСВП, гарантира сигурността на ИСВП, управлява мрежата от национални координатори за ИСВП и участва в обучението и техническата помощ за ползвателите на ИСВП. За тази цел Комисията следва да има достъп само до личните данни, които са стриктно необходими за изпълнението на задачите ѝ в рамките на отговорностите, определени от настоящия регламент, например регистрацията на националните координатори за ИСВП. Комисията следва също да има достъп до лични данни при извличане на такива данни по искане на друг участник в ИСВП, които са блокирани в ИСВП и до които даден субект на данни е поискал достъп. Комисията не следва да има достъп до лични данни, обменяни в рамките на административното сътрудничество по линия на ИСВП, освен ако чрез акт на Съюза не се предвиди роля на Комисията в това сътрудничество.
(10)
С цел да се гарантира прозрачност, по-специално за субектите на данни, разпоредбите на актовете на Съюза, по отношение на които ще се използва ИСВП, следва да бъдат изброени в приложението към настоящия регламент.
(11)
В бъдеще ИСВП може да се разшири и да обхване нови области, където може да спомогне за осигуряването на ефективно изпълнение на даден акт на Съюза по икономически ефективен и лесен за използване начин, като се вземе предвид техническата приложимост и общото въздействие върху ИСВП. Комисията следва да проведе необходимите изпитвания, за да провери техническата готовност на системата за всяко планирано разширяване. Решенията за разширяване на използването на ИСВП до други актове на Съюза следва да се вземат чрез обикновената законодателна процедура.
(12)
Пилотните проекти са полезен инструмент за проверка дали разширяването на използването на ИСВП е оправдано и за адаптиране на техническите функционалности и процедурните механизми към изискванията на ползвателите на ИСВП, преди да се вземе решение за разширяване на използването на ИСВП. Държавите членки следва да участват пълноценно във вземането на решения относно актовете на Съюза, които следва да бъдат обект на пилотен проект, както и относно реда и условията на този пилотен проект, с цел да се гарантира, че пилотният проект отразява нуждите на ползвателите на ИСВП и че разпоредбите за обработка на личните данни се спазват изцяло. Редът и условията следва да бъдат определени поотделно за всеки пилотен проект.
(13)
Никоя от разпоредбите на настоящия регламент не следва да възпрепятства държавите членки и Комисията да решат да използват ИСВП за обмен на информация, която не включва обработването на лични данни.
(14)
С настоящия регламент следва да се определят правилата за използване на ИСВП за целите на административното сътрудничество, което може да включва наред с другото и индивидуален обмен на информация, уведомителни процедури, механизми за предупреждение, процедури за взаимна помощ и разрешаване на проблеми.
(15)
Правото на държавата членка да решава кои национални органи изпълняват задълженията, произтичащи от настоящия регламент, следва да остане непроменено от настоящия регламент. Държавите членки следва да могат да приведат функциите и отговорностите във връзка с ИСВП в съответствие със своите вътрешни административни структури, както и да изпълнят изискванията на специфичните работни процеси на ИСВП. Държавите членки следва да могат да назначават допълнителни координатори за ИСВП, които да изпълняват задачите на национални координатори на ИСВП, самостоятелно или съвместно, за дадена област на вътрешния пазар, административно подразделение, географски регион или съгласно друг критерий. Държавите членки следва да информират Комисията за назначените от тях координатори за ИСВП, но не следва да бъдат задължавани да обозначават допълнителните координатори за ИСВП като такива в ИСВП, когато това не е необходимо за нейното правилно функциониране.
(16)
С цел да се постигне ефективно административно сътрудничество чрез ИСВП, държавите членки и Комисията следва да гарантират, че техните участници в ИСВП разполагат с необходимите ресурси за изпълнение на задълженията си в съответствие с настоящия регламент.
(17)
Тъй като ИСВП по същество е комуникационен инструмент за административно сътрудничество между компетентните органи, до който широката общественост няма достъп, може да е необходимо да бъдат разработени технически средства, които да позволят на външни лица като граждани, предприятия и организации да комуникират с компетентните органи, с цел да предоставят информация или да извличат данни или да упражняват правата си на субекти на данни. Такива технически средства следва да включват подходящи предпазни мерки за защита на данните. С цел да се осигури високо ниво на сигурност, всеки такъв публичен интерфейс следва да се разработва така, че да бъде технически изцяло отделен от ИСВП, до което следва да имат достъп само ползватели на ИСВП.
(18)
Използването на ИСВП за техническа помощ на мрежата „SOLVIT“ следва да се извършва, без да се засяга неофициалният характер на процедурата „SOLVIT“, която се основава на доброволен ангажимент на държавите членки в съответствие с препоръката на Комисията от 7 декември 2001 г. относно принципи за използване на „SOLVIT“ - мрежата за решаване на проблеми в рамките на вътрешния пазар (5) („Препоръка за „SOLVIT“). За да продължи функционирането на мрежата „SOLVIT“ въз основа на действащите работни механизми, една или повече задачи на националния координатор за ИСВП могат да бъдат възложени на центрове на „SOLVIT“ в областта на тяхната дейност, така че те да могат да функционират независимо от националния координатор за ИСВП. Обработката на лични данни и поверителна информация като част от процедурите на „SOLVIT“ следва да се ползва с всички гаранции, определени в настоящия регламент, без да се засяга незадължителният характер на препоръката за „SOLVIT“.
(19)
Макар ИСВП да включва базиран на интернет интерфейс за ползвателите, в определени случаи и по искане на заинтересованата държава членка може да е целесъобразно да се обмислят технически решения за пряк трансфер на данни от националните системи към ИСВП, когато такива национални системи вече са били разработени, по-конкретно за уведомителни процедури. Изпълнението на такива технически решения следва да зависи от резултатите от оценката за тяхната осъществимост, разходи и очаквани ползи. Тези решения следва да не засягат съществуващите структури и националните компетенции.
(20)
Когато държавите членки са изпълнили задължението за нотифициране по член 15, параграф 7 от Директива 2006/123/ЕО на Европейския парламент и на Съвета от 12 декември 2006 г. относно услугите на вътрешния пазар (6), използвайки процедурата в съответствие с Директива 98/34/ЕО на Европейския парламент и на Съвета от 22 юни 1998 г. установяваща процедура за предоставянето на информация в сферата на техническите стандарти и регламенти и правила относно услугите на информационното общество (7), от тях не следва да се изисква да извършват същото нотифициране и чрез ИСВП.
(21)
Обменът на информация посредством ИСВП произтича от правното задължение на органите на държавите членки да си оказват взаимна помощ. За да се гарантира правилното функциониране на вътрешния пазар, информацията, получена от компетентните органи посредством ИСВП от друга държава членка, следва да не бъде лишена от качеството си на доказателство при административни производства единствено на основание, че е с произход от друга държава членка или е получена по електронен път, и следва да се разглежда от този компетентен орган по същия начин, както подобни документи с произход от собствената им държава членка.
(22)
За да се гарантира висока степен на защита на данните, е необходимо да се определят максимални срокове, през които личните данни могат да бъдат съхранявани в ИСВП. Тези срокове обаче следва да бъдат добре балансирани, като се отчитат надлежно изискванията за правилното функциониране на ИСВП, както и правата на субектите на данни да могат да упражняват в пълна степен своите права, например да получават доказателства, че информация е била обменена, за да могат да обжалват дадено решение. По-специално, сроковете за съхраняване на данните не следва да надхвърлят необходимото за постигане на целите на настоящия регламент.
(23)
Имената и данните за връзка на ползвателите на ИСВП следва да могат да се обработват за цели, съвместими с целите на настоящия регламент, в това число наблюдаване на използването на системата от координаторите за ИСВП и Комисията, комуникация, обучения и инициативи за повишаване на осведомеността, както и събиране на информация относно административното сътрудничество или взаимната помощ в областта на вътрешния пазар.
(24)
Европейският надзорен орган по защита на данните следва да наблюдава и да се стреми да гарантира прилагането на настоящия регламент, наред с другото като поддържа връзки с националните органи по защита на данните, включително съответните разпоредби за сигурността на данните.
(25)
За да се осигури ефективното наблюдение и докладване относно функционирането на ИСВП и прилагането на настоящия регламент, държавите членки следва да осигурят достъп на Комисията до необходимата информация.
(26)
В съответствие с настоящия регламент и с националното законодателство, прието в изпълнение на Директива 95/46/ЕО, субектите на данни следва да бъдат информирани за обработката на техни лични данни в ИСВП, както и за правото им на достъп до свързани с тях данни и за правото им да изискат поправка на неточни данни и заличаване на незаконосъобразно обработени данни.
(27)
За да могат компетентните органи на държавите членки да изпълняват правните разпоредби за административно сътрудничество и ефективно да обменят информация, може да възникне необходимост от регламентиране на практическите механизми за такъв обмен. Тези механизми следва да се приемат от Комисията под формата на отделен акт за изпълнение за всеки акт на Съюза, изброен в приложението, или за всеки вид процедура за административно сътрудничество и следва да обхващат основните технически функционалности и процедурните условия, необходими за изпълнението на съответните процедури за административно сътрудничество чрез ИСВП. Комисията следва да осигурява поддръжката и разработването на софтуера и на информационно-технологичната инфраструктура на ИСВП.
(28)
За да се гарантира достатъчно прозрачност за субектите на данни, следва публично да се оповестят предварително съгласуваните работни процеси, стандартните въпроси и отговори, формулярите и другите разпоредби, свързани с процедурите за административно сътрудничество чрез ИСВП.
(29)
Ако в съответствие с член 13 от Директива 95/46/ЕО държавите членки прилагат ограничения или изключения по отношение на правата на субектите на данни, информацията относно такива ограничения или изключения следва да бъде оповестена публично, за да се гарантира пълна прозрачност за субектите на данни. Такива изключения или ограничения следва да бъдат необходими и пропорционални на набелязаната цел и да бъдат предмет на подходящи предпазни мерки.
(30)
Когато между Съюза и трети държави са сключени международни споразумения, които също обхващат прилагането на разпоредби от актовете на Съюза, изброени в приложението към настоящия регламент, следва да бъде възможно партньори от тези трети държави на участници в ИСВП да бъдат включени в процедурите за административно сътрудничество, поддържани от ИСВП, при условие че е установено, че съответната трета държава осигурява подходящо ниво на защита на личните данни в съответствие с Директива 95/46/ЕО.
(31)
Решение 2008/49/ЕО на Комисията от 12 декември 2007 г. относно защитата на личните данни при въвеждането на информационна система за вътрешния пазар (IMI) (8) следва да се отмени. Решение 2009/739/ЕО на Комисията от 2 октомври 2009 г. за определяне на практическите процедури за електронен обмен на информация между държавите членки в съответствие с глава VI от Директива 2006/123/ЕО на Европейския парламент и на Съвета относно услугите на вътрешния пазар (9) следва да продължи да се прилага за въпроси, свързани с обмена на информация съгласно Директива 2006/123/ЕО.
(32)
За да се гарантират еднакви условия за изпълнение на настоящия регламент на Комисията следва да бъдат предоставени изпълнителни правомощия. Тези правомощия следва да бъдат упражнявани в съответствие с Регламент (ЕС) № 182/2011 на Европейския парламент и на Съвета от 16 февруари 2011 г. за установяване на общите правила и принципи относно реда и условията за контрол от страна на държавите членки върху упражняването на изпълнителните правомощия от страна на Комисията (10).
(33)
Резултатите на държавите членки във връзка с ефективното прилагане на настоящия регламент следва да бъдат проследени в годишния доклад относно функционирането на ИСВП, въз основа на статистически данни от ИСВП и други подходящи данни. Резултатите на държавите членки следва да се оценяват, наред с останалото, и въз основа на осреднените срокове за получаване на отговорите, с цел да се гарантира бързото получаване на отговори с добро качество.
(34)
Тъй като целите на настоящия регламент, а именно установяването на правила за използването на ИСВП за административно сътрудничество, не могат да бъдат постигнати в достатъчна степен от държавите членки и следователно поради техния мащаб и последици могат да бъдат по-добре постигнати на равнището на Съюза, Съюзът може да приема мерки в съответствие с принципа на субсидиарност, уреден в член 5 от Договора за Европейския съюз. В съответствие с принципа на пропорционалност, уреден в същия член, настоящият регламент не надхвърля необходимото за постигането на тази цел.
(35)
Проведена беше консултация с Европейския надзорен орган по защита на данните в съответствие с член 28, параграф 2 от Регламент (ЕО) № 45/2001, и той представи своето становище на 22 ноември 2011 г. (11),
ПРИЕХА НАСТОЯЩИЯ РЕГЛАМЕНТ:
ГЛАВА I
ОБЩИ РАЗПОРЕДБИ
Член 1
Предмет
С настоящия регламент се определят правила за използването на Информационната система за вътрешния пазар („ИСВП“) с цел административно сътрудничество, включително обработката на лични данни, между компетентните органи на държавите членки и между компетентните органи на държавите членки и Комисията.
Член 2
Създаване на ИСВП
Създава се ИСВП.
Член 3
Приложно поле
1. ИСВП се използва за административно сътрудничество между компетентните органи на държавите членки и между компетентните органи на държавите членки и Комисията, необходимо за изпълнението на актовете на Съюза в областта на вътрешния пазар по смисъла на член 26, параграф 2 от Договора за функционирането на Европейския съюз (ДФЕС), в които се предвижда осъществяването на административно сътрудничество, включително обмен на лични данни, между държавите членки или между държавите членки и Комисията. Тези актове на Съюза са изброени в приложението.
2. Никоя разпоредба от настоящия регламент не въвежда задължение за изпълнение на разпоредби на актове на Съюза, които нямат задължителен характер.
Член 4
Разширяване на ИСВП
1. Комисията може да изпълнява пилотни проекти, за да прецени дали ИСВП би била ефективно средство за прилагане на разпоредбите за административно сътрудничество на актове на Съюза, които не са изброени в приложението. Комисията приема акт за изпълнение с цел определянето на разпоредбите на актовете на Съюза, които ще бъдат обект на пилотен проект, както и определянето на реда и условията за всеки проект, по-специално основните технически функционалности и процедурните механизми, необходими за изпълнението на съответните разпоредби за административно сътрудничество. Този акт за изпълнение се приема в съответствие с процедурата по разглеждане, посочена в член 24, параграф 3.
2. Комисията представя на Европейския парламент и на Съвета оценка на резултатите от пилотния проект, включително въпроси, свързани със защитата на данните, и ефективни функционалности за превод. Където е подходящо, тази оценка може да бъде придружена от законодателно предложение за изменение на приложението, с цел да се разшири използването на ИСВП за съответните разпоредби на актове на Съюза.
Член 5
Определения
За целите на настоящия регламент се прилагат определенията, установени в Директива 95/46/ЕО и Регламент (ЕО) № 45/2001.
В допълнение се прилагат и следните определения:
а)
„ИСВП“ означава електронно средство, предоставено от Комисията за улесняване на административното сътрудничество между компетентните органи на държавите членки и между компетентните органи на държавите членки и Комисията;
б)
„административно сътрудничество“ означава работата в сътрудничество на компетентните органи на държавите членки или компетентните органи на държавите членки и Комисията, като за целта си обменят и обработват информация, включително чрез уведомления и предупреждения, или си оказват взаимна помощ, включително за разрешаване на проблеми с цел по-добро прилагане на правото на Съюза;
в)
„област на вътрешния пазар“ означава законодателна или функционална област на вътрешния пазар по смисъла на член 26, параграф 2 от ДФЕС, в рамките на която ИСВП се използва в съответствие с член 3 от настоящия регламент;
г)
„процедура за административно сътрудничество“ означава предварително съгласуван работен процес, заложен в ИСВП, посредством който участниците в ИСВП могат да комуникират помежду си и да си взаимодействат по структуриран начин;
д)
„координатор за ИСВП“ означава орган, определен от държава членка да изпълнява спомагателни функции, необходими за ефективното функциониране на ИСВП в съответствие с настоящия регламент;
е)
„компетентен орган“ означава орган, създаден на национално, регионално или местно равнище и регистриран в ИСВП, с конкретни отговорности, свързани с прилагането на националното законодателство или на актовете на Съюза, изброени в приложението, в една или повече области на вътрешния пазар;
ж)
„участници в ИСВП“ означава компетентните органи, координаторите за ИСВП и Комисията;
з)
„ползвател на ИСВП“ означава физическо лице, работещо под ръководството на участник в ИСВП и регистрирано в ИСВП от името на същия участник в ИСВП;
и)
„външни участници“ означава физически или юридически лица, различни от ползвателите на ИСВП, които могат да си взаимодействат с ИСВП единствено посредством отделни технически средства и в съответствие с конкретни предварително съгласувани за тази цел работни процеси;
й)
„блокиране“ означава прилагане на технически средства, така че личните данни да станат недостъпни за ползвателите на ИСВП посредством нормалния интерфейс на ИСВП;
к)
„официално приключване“ означава прилагане на техническия инструмент, предоставен от ИСВП, за приключване на процедура за административно сътрудничество.
ГЛАВА II
ФУНКЦИИ И ОТГОВОРНОСТИ, СВЪРЗАНИ С ИСВП
Член 6
Координатори за ИСВП
1. Всяка държава членка определя един национален координатор за ИСВП, чиито отговорности включват:
а)
регистрация или валидиране на регистрацията на координаторите за ИСВП и на компетентните органи;
б)
дейност в качеството на основно звено за контакт за участниците в ИСВП от държавите членки по въпроси, свързани с ИСВП, включително за предоставяне на информация по въпроси относно защитата на личните данни в съответствие с настоящия регламент;
в)
дейност в качеството на посредник на Комисията по въпроси, свързани с ИСВП, включително за предоставяне на информация по въпроси относно защитата на личните данни в съответствие с настоящия регламент;
г)
осигуряване на информация, обучение и подкрепа, включително основна техническа помощ на участниците в ИСВП от държавите членки;
д)
гарантиране на ефективното функциониране на ИСВП доколкото позволяват възможностите им, включително предоставяне на навременни и подходящи отговори от участниците в ИСВП от държавите членки на искания за административно сътрудничество;
2. Всяка държава членка може наред с това съгласно своята вътрешна административна структура да определи допълнително един или повече координатори за ИСВП, които да изпълняват задачите, изброени в параграф 1.
3. Държавите членки информират Комисията за координаторите за ИСВП, определени в съответствие с параграфи 1 и 2, както и за задачите, за които отговарят. Комисията предоставя тази информация на другите държави членки.
4. Всички координатори за ИСВП могат да действат като компетентни органи. В такива случаи координаторът за ИСВП ползва същите права на достъп като компетентния орган. Всеки координатор за ИСВП упражнява контролни функции по отношение на своите дейности по обработка на данни в качеството си на участник в ИСВП.
Член 7
Компетентни органи
1. Когато осъществяват сътрудничество посредством ИСВП, компетентните органи, действащи чрез ползвателите на ИСВП в съответствие с процедурите за административно сътрудничество, осигуряват, в съответствие с приложимия акт на Съюза, получаването на подходящ отговор във възможно най-кратък срок, и при всички случаи в рамките на сроковете, определени в същия акт.
2. Даден компетентен орган може да приведе като доказателство всяка информация, документ, констатация, декларация или заверено с оригинала копие, които е получил по електронен път чрез ИСВП, на същата база като други подобни сведения, получени в неговата собствена страна, за цели, отговарящи на целите, за които данните са събрани първоначално.
3. Всеки компетентен орган упражнява контролни функции по отношение на своите собствени дейности по обработване на данни, извършвани от ползвател на ИСВП, който действа под негово ръководство, и гарантира, че субектите на данни могат да упражняват правата си в съответствие с глави III и IV, при необходимост, в сътрудничество с Комисията.
Член 8
Комисия
1. Комисията отговаря за изпълнението на следните задачи:
а)
гарантира сигурността, достъпността, поддръжката и разработването на софтуера и на информационно-технологичната инфраструктура на ИСВП;
б)
предоставя многоезична система, включително съществуващите функционалности за превод, обучение в сътрудничество с държавите членки, и бюро за помощ за подпомагане на държавите членки при използването на ИСВП;
в)
регистрира националните координатори за ИСВП и им предоставя достъп до ИСВП;
г)
извършва операции по обработка на лични данни в ИСВП, когато това се предвижда в настоящия регламент, в съответствие с целите, определени в приложимите актове на Съюза, изброени в приложението;
д)
следи за прилагането на настоящия регламент и докладва на Европейския парламент, на Съвета и на Европейския надзорен орган по защита на данните в съответствие с член 25.
2. Комисията разполага с достъп до необходимата информация, свързана с извършваната в ИСВП обработка на данни, за да може да изпълнява задачите, изброени в параграф 1, и да изготвя статистически доклади.
3. Комисията не участва в процедурите за административно сътрудничество, които предполагат обработване на лични данни, освен когато това се изисква от разпоредба на акт на Съюза, посочен в приложението.
Член 9
Права на достъп на участниците в ИСВП и на ползвателите на системата
1. Достъп до ИСВП имат само ползвателите на системата.
2. Държавите членки определят координаторите за ИСВП и компетентните органи, както и областите от вътрешния пазар, за които те отговарят. Комисията може да изпълнява консултативна роля в този процес.
3. Всеки участник в ИСВП предоставя и оттегля, ако е необходимо, съответните права за достъп на своите ползватели на ИСВП в областта от вътрешния пазар, която е в кръга на неговата компетентност.
4. Необходимите средства се внедряват от Комисията и държавите членки, за да се гарантира, че на ползвателите на ИСВП се разрешава достъп до лични данни, обработвани в ИСВП, само когато това е необходимо във връзка с работата им и в областта или областите от вътрешния пазар, за които им е предоставено право на достъп в съответствие с параграф 3.
5. Забранява се обработени в ИСВП лични данни да се използват за конкретна цел по начин, който е несъвместим с първоначалната цел, освен ако това не е предвидено изрично в националното право в съответствие с правото на Съюза.
6. Когато процедура за административно сътрудничество предвижда обработка на лични данни, само участниците в ИСВП, участващи в тази процедура, имат достъп до тези лични данни.
Член 10
Поверителност
1. Всяка държава членка прилага спрямо участниците си в ИСВП или ползвателите на ИСВП правилата за професионална тайна или други съответни задължения за поверителност, в съответствие с националното си законодателство или законодателството на Съюза.
2. Участниците в ИСВП гарантират, че исканията, отправени от други участници в ИСВП, за поверително обработване на информацията, обменяна чрез ИСВП, се зачитат от ползвателите на ИСВП, действащи под тяхно ръководство.
Член 11
Процедури за административно сътрудничество
ИСВП се основава на процедурите за административно сътрудничество, които изпълняват разпоредбите на съответните актове на Съюза, изброени в приложението. Когато е подходящо, Комисията може да приема актове за изпълнение за конкретен акт на Съюза, посочен в приложението, или за даден вид процедура за административно сътрудничество, в които се определят основните технически функционалности и процедурните механизми, необходими за осигуряване на прилагането на съответните процедури за административно сътрудничество, включително по целесъобразност взаимодействието между външните участници и ИСВП, както е посочено в член 12. Тези актове за изпълнение се приемат в съответствие с процедурата по консултиране, посочена в член 24, параграф 2.
Член 12
Външни участници
Могат да се предоставят технически средства, за да се позволи на външни участници да си взаимодействат с ИСВП, когато такова взаимодействие:
а)
е предвидено в акт на Съюза;
б)
е предвидено в акт за изпълнение, посочен в член 11, за улесняване на административното сътрудничество между компетентните органи на държавите членки с цел прилагане на разпоредбите на актове на Съюза, изброени в приложението; или
в)
е необходимо за отправяне на искане за упражняване на правата им като субекти на данни в съответствие с член 19.
Всички такива технически средства са отделни от ИСВП и не позволяват достъп до ИСВП на външни участници.
ГЛАВА III
ОБРАБОТКА НА ЛИЧНИ ДАННИ И СИГУРНОСТ
Член 13
Ограничаване на целите
Участниците в ИСВП обменят и обработват лични данни единствено за целите, определени в съответните разпоредби на актовете на Съюза, изброени в приложението.
Данните, предоставени от субектите на данните на ИСВП, се използват единствено за целите, за които данните са били предоставени.
Член 14
Съхраняване на лични данни
1. Обработените в ИСВП лични данни се блокират в ИСВП в момента, в който вече не са необходими за целта, за която са били събирани, в зависимост от особеностите на всеки вид административно сътрудничество и, по принцип, не по-късно от шест месеца след официалното приключване на процедурата за административно сътрудничество.
Въпреки това, ако в приложимите актове на Съюза, изброени в приложението, е предвиден по-дълъг срок, личните данни, обработвани в ИСВП, могат да бъдат запазени за максимален срок от 18 месеца след официалното приключване на процедурата за административно сътрудничество.
2. Когато създаването на архив от информация, който да бъде използван в бъдеще от участниците в ИСВП, се изисква съгласно правнообвързващ акт на Съюза, посочен в приложението, личните данни в този архив могат да се обработват, докато те са необходими за целта, или със съгласието на субекта на данните, или когато това е предвидено в съответния акт на Съюза.
3. Лични данни, блокирани съгласно настоящия член, с изключения на тяхното съхраняване, могат да бъдат обработвани единствено, за да се докаже, че е извършен обмен на информация чрез ИСВП със съгласието на субекта на данните, освен ако обработването не е изискано по наложителни причини, свързани с обществения интерес.
4. Три години след официалното приключване на процедурата за административно сътрудничество, блокираните данни се заличават автоматично в ИСВП.
5. Личните данни могат да бъдат заличени преди изтичането на приложимия срок на съхранение по изричното искане на компетентен орган в конкретен случай и със съгласието на субекта на данните.
6. Комисията осигурява техническите средства за блокирането и заличаването на лични данни, както и за тяхното извличане в съответствие с параграф 3.
7. Внедряват се технически средства, които да стимулират участниците в ИСВП официално да приключват процедурите за административно сътрудничество във възможно най-кратък срок след осъществяването на обмена на информация и да позволят на участниците в ИСВП да ангажират отговорните координатори за ИСВП във всяка процедура, която не е била активна повече от два месеца, без да има основания за това.
Член 15
Съхраняване на личните данни на ползвателите на ИСВП
1. Чрез дерогация от член 14, параграфи 2 и 3 от настоящия член се прилагат за съхраняването на лични данни на ползвателите на ИСВП. Тези лични данни включват пълното име и всички електронни и други средства за връзка, необходими за целите на настоящия регламент.
2. Личните данни на ползвателите на ИСВП се съхраняват в ИСВП, докато лицата продължават да бъдат ползватели на ИСВП, и могат да бъдат обработвани за цели, съвместими с целите на настоящия регламент.
3. Когато дадено физическо лице престане да бъде ползвател на ИСВП, неговите лични данни се блокират с технически средства за срок от три години. С изключение на тяхното съхраняване, тези данни могат да бъдат обработвани единствено, за да послужат като доказателство за обмен на информация чрез ИСВП, и се заличават в края на тригодишния срок.
Член 16
Обработване на специални категории данни
1. Обработването чрез ИСВП на специални категории данни, посочени в член 8, параграф 1 от Директива 95/46/ЕО и член 10, параграф 1 от Регламент (ЕО) № 45/2001, е разрешено само при наличието на конкретно основание, посочено в член 8, параграфи 2 и 4 от същата директива и член 10, параграф 2 от същия регламент, при съответните предпазни мерки, предвидени в тези членове, за да се гарантират правата на лицата, чиито данни се обработват.
2. ИСВП може да се използва за обработването на данни, свързани с нарушения, присъди или мерки за сигурност, посочени в член 8, параграф 5 от Директива 95/46/ЕО и член 10, параграф 5 от Регламент (ЕО) № 45/2001, при съответните предпазни мерки, предвидени в тези членове, включително информация относно дисциплинарни, административни или наказателни санкции или друга информация, необходима за установяването на добрата репутация на дадено физическо или юридическо лице, когато обработването на такава информация е предвидено в акт на Съюза, който представлява основа за обработването, или с изричното съгласие на субекта на данни при спазване на конкретните предпазни мерки, посочени в член 8, параграф 5 от Директива 95/46/ЕО.
Член 17
Сигурност
1. Комисията гарантира, че ИСВП съответства на правилата за сигурност на данните, приети от Комисията съгласно член 22 от Регламент (ЕО) № 45/2001.
2. Комисията въвежда необходимите мерки за гарантиране на сигурността на обработените в ИСВП лични данни, включително подходящ контрол върху достъпа до данните и план за сигурността, който се актуализира редовно.
3. Комисията гарантира, че в случай на нарушаване на сигурността е възможно да се установи какви лични данни, кога, от кого и с каква цел са обработени в ИСВП.
4. Участниците в ИСВП предприемат всички процедурни и организационни мерки, необходими за гарантиране на сигурността на личните данни, обработвани от тях в ИСВП, в съответствие с член 17 от Директива 95/46/ЕО.
ГЛАВА IV
ПРАВА НА СУБЕКТИТЕ НА ДАННИ И НАДЗОР
Член 18
Информация, предоставяна на субектите на данни, и прозрачност
1. Участниците в ИСВП гарантират, че субектите на данни биват информирани за обработката на личните им данни в ИСВП във възможно най-кратък срок и че имат достъп до информация за техните права и начина за упражняването им, включително за самоличността и данните за контакт на упражняващия контролните функции или неговия представител, ако има такъв, в съответствие с член 10 или 11 от Директива 95/46/ЕО и националното законодателство, прието в изпълнение на същата директива.
2. Комисията оповестява публично по лесно достъпен начин:
а)
информация относно ИСВП в съответствие с членове 11 и 12 от Регламент (ЕО) № 45/2001 в ясна и разбираема форма;
б)
информация относно защитата на данни във връзка с процедурите за административно сътрудничество в ИСВП, както е посочено в член 11 от настоящия регламент;
в)
информация относно изключенията или ограниченията върху правата на субектите на данни, както е посочено в член 20 от настоящия регламент;
г)
видовете процедури за административно сътрудничество, основните функционалности на ИСВП и категориите данни, които могат да бъдат обработвани в ИСВП;
д)
пълен списък на всички актове за изпълнение или делегирани актове във връзка с ИСВП, приети съгласно настоящия регламент или друг акт на Съюза, както и консолидирана версия на приложението към настоящия регламент и последващите му изменения с други актове на Съюза.
Член 19
Право на достъп, поправяне и заличаване
1. Участниците в ИСВП гарантират, че субектите на данни могат ефективно да упражняват правото си на достъп до данни, свързани с тях в ИСВП, както и правото да изискват поправянето на неточни или непълни данни или заличаването на незаконно обработени данни, в съответствие с националното законодателство. Поправянето и заличаването на данни се извършват във възможно най-кратки срокове и най-късно 30 дни след получаването на искането на субекта на данните от отговорния участник в ИСВП.
2. Когато точността или правомерността на данни, блокирани съгласно член 14, параграф 1, е оспорена от субект на данни, това обстоятелство подлежи на вписване заедно с правилната, поправена информация.
Член 20
Изключения и ограничения
Държавите членки уведомяват Комисията, когато предвиждат в националното си законодателство, съгласно член 13 от Директива 95/46/ЕО, изключения или ограничения на уредените в настоящата глава права на субектите на данни.
Член 21
Надзор
1. Националният надзорен орган или органи, определени от всяка държава членка и оправомощени съгласно член 28 от Директива 95/46/ЕО („националният надзорен орган“), следят самостоятелно дали обработването на личните данни от участниците в ИСВП от тяхната държава членка е законосъобразно, и по-специално гарантират, че правата на субектите на данни, уредени в настоящата глава, са защитени в съответствие с настоящия регламент.
2. Европейският надзорен орган по защита на данните наблюдава и се стреми да гарантира, че извършваните от Комисията дейности по обработка на лични данни, в качеството ѝ на участник в ИСВП, се осъществяват в съответствие с настоящия регламент. Във връзка с това се прилагат задълженията и правомощията по членове 46 и 47 от Регламент (ЕО) № 45/2001.
3. Националните надзорни органи и Европейският надзорен орган по защита на данните, в рамките на съответната си компетентност, гарантират извършването на координиран надзор върху ИСВП и нейното използване от участниците в ИСВП.
4. При необходимост Европейският надзорен орган по защита на данните може да отправи покана за среща до националните надзорни органи с цел осигуряването на координиран надзор върху ИСВП и нейното използване от участниците в ИСВП, както е посочено в параграф 3. Разходите за тези срещи са за сметка на Европейския надзорен орган по защита на данните. При необходимост за целта могат да бъдат съвместно разработени допълнителни работни методи, включително процедурни правила. Съвместен доклад за дейностите се изпраща на Европейския парламент, Съвета и Комисията най-малко веднъж на три години.
ГЛАВА V
ГЕОГРАФСКИ ОБХВАТ НА ИСВП
Член 22
Използване на ИСВП на национално равнище
1. Дадена държава членка може да използва ИСВП за административно сътрудничество между компетентните органи на своята територия в съответствие с националното законодателство, само ако са спазени следните условия:
а)
не се налагат съществени промени в съществуващите процедури за административно сътрудничество;
б)
националният надзорен орган е уведомен за планираното използване на ИСВП, когато това се изисква от националното законодателство; и
в)
това няма отрицателно въздействие върху ефикасното функциониране на ИСВП за ползвателите на ИСВП.
2. Когато дадена държава членка възнамерява системно да използва ИСВП за национални цели, тя уведомява Комисията за намерението си и иска предварителното ѝ одобрение. Комисията проверява дали са изпълнени условията по параграф 1. Ако е необходимо, и в съответствие с настоящия регламент, държавата членка и Комисията сключват споразумение, в което наред с другото се определят техническите, финансовите и организационните условия за използването на национално равнище, включително отговорностите на участниците в ИСВП.
Член 23
Обмен на информация с трети държави
1. Съгласно настоящия регламент информация, включително лични данни, може да се обменят в ИСВП между участници в ИСВП в рамките на Съюза и техни партньори от трета държава само ако са спазени следните условия:
а)
информацията се обработва съгласно разпоредба на акт на Съюза, посочена в приложението, и съответна на нея разпоредба от правото на третата държава;
б)
информацията се обменя или се предоставя съгласно международно споразумение, което предвижда:
i)
прилагането на разпоредба от акт на Съюза, посочена в приложението, от третата държава,
ii)
използването на ИСВП, и
iii)
принципите, реда и условията на този обмен; и
в)
въпросната трета държава осигурява подходяща защита на личните данни в съответствие с член 25, параграф 2 от Директива 95/46/ЕО, включително подходящи предпазни мерки, така че обработените в ИСВП данни да се използват само за целта, за която са обменени първоначално, и Комисията е приела решение в съответствие с член 25, параграф 6 от Директива 95/46/ЕО.
2. Когато Комисията е участник в ИСВП, член 9, параграфи 1 и 7 от Регламент (ЕО) № 45/2001 се прилагат при обмена на лични данни, обработени в ИСВП, с нейните партньори от трета държава.
3. Комисията публикува в Официален вестник на Европейския съюз и актуализира списъка на трети държави, оправомощени да обменят информация, включително лични данни, в съответствие с параграф 1.
ГЛАВА VI
ЗАКЛЮЧИТЕЛНИ РАЗПОРЕДБИ
Член 24
Процедура на комитет
1. Комисията се подпомага от комитет. Този комитет е комитет по смисъла на Регламент (ЕС) № 182/2011.
2. При позоваване на настоящия параграф се прилага член 4 от Регламент (ЕС) № 182/2011.
3. При позоваване на настоящия параграф се прилага член 5 от Регламент (ЕС) № 182/2011.
Член 25
Мониторинг и докладване
1. Комисията докладва на Европейския парламент и на Съвета ежегодно относно функционирането на ИСВП.
2. До 5 декември 2017 г. и на всеки пет години след това Комисията докладва на Европейския надзорен орган по защита на данните относно въпроси, свързани със защитата на личните данни в ИСВП, включително сигурността на данните.
3. За изготвянето на докладите, посочени в параграфи 1 и 2, държавите членки предоставят на Комисията всякаква информация, свързана с прилагането на настоящия регламент, включително за практическото изпълнение на предвидените в настоящия регламент изисквания за защита на данните.
Член 26
Разходи
1. Разходите, свързани с разработването, представянето, работата и поддръжката на ИСВП, се поемат от общия бюджет на Европейския съюз, без да се засягат разпоредбите на член 22, параграф 2.
2. Освен ако не е предвидено друго в акт на Съюза, разходите за функционирането на ИСВП на равнището на държавите членки, включително разходите за човешки ресурси, необходими за дейностите по обучение, представяне и оказване на техническа помощ (бюро за помощ), както и за администрирането на ИСВП на национално равнище, се поемат от всяка държава членка.
Член 27
Отмяна
Решение 2008/49/ЕО се отменя.
Член 28
Ефективно прилагане
Държавите членки предприемат всички необходими мерки, за да гарантират ефективното прилагане на настоящия регламент от своите участници в ИСВП.
Член 29
Изключения
1. Независимо от член 4 от настоящия регламент, пилотният проект за ИСВП, започнал на 16 май 2011 г., с цел да се провери доколко е ИСВП е подходяща при прилагането на член 4 от Директива 96/71/ЕО на Европейския парламент и на Съвета от 16 декември 1996 г. относно командироването на работници в рамките на предоставянето на услуги (12), може да продължи да се изпълнява въз основа на договореностите, постигнати преди влизането в сила на настоящия регламент.
2. Независимо от член 8, параграф 3 и член 12, първа алинея, букви а) и б) от настоящия регламент, с цел прилагането посредством ИСВП на разпоредбите за административно сътрудничество от Препоръката „SOLVIT“, участието на Комисията в процедури за административно сътрудничество и съществуващия инструмент за външни участници може да продължи въз основа на договореностите, постигнати преди влизането в сила на настоящия регламент. За целите на Препоръката „SOLVIT“ срокът, посочен в член 14, параграф 1 от настоящия регламент, се определя на 18 месеца за лични данни, обработени в ИСВП.
3. Независимо от член 4, параграф 1 от настоящия регламент Комисията може да започне пилотен проект, за да се оцени дали ИСВП е ефикасен, икономически ефективен и лесен за използване инструмент за прилагане на член 3, параграфи 4, 5 и 6 от Директива 2000/31/ЕО на Европейския парламент и на Съвета от 8 юни 2000 г. за някои правни аспекти на услугите на информационното общество, и по-специално на електронната търговия на вътрешния пазар („Директива за електронната търговия“) (13). Не по-късно от две години след стартирането на този пилотен проект, Комисията представя на Европейския парламент и на Съвета оценката, посочена в член 4, параграф 2 от настоящия регламент, която включва също взаимодействието между административното сътрудничество в рамките на системата за сътрудничество в областта на защитата на потребителите, създадена в съответствие с Регламент (ЕО) № 2006/2004 на Европейския парламент и на Съвета от 27 октомври 2004 година за сътрудничество между националните органи, отговорни за прилагане на законодателството за защита на потребителите (регламент за сътрудничество в областта на защита на потребителите) (14), и в рамките на ИСВП.
4. Без да се засяга член 14, параграф 1 от настоящия регламент, всички срокове с максимална продължителност от 18 месеца, приети въз основа на член 36 от Директива 2006/123/ЕО по отношение на административно сътрудничество съгласно глава VI от нея, продължават да се прилагат в тази област.
Член 30
Влизане в сила
Настоящият регламент влиза в сила на двадесетия ден след публикуването му в Официален вестник на Европейския съюз.
Настоящият регламент е задължителен в своята цялост и се прилага пряко във всички държави членки.
Съставено в Страсбург на 25 октомври 2012 година.
RÈGLEMENT (UE) No 1024/2012 DU PARLEMENT EUROPÉEN ET DU CONSEIL
du 25 octobre 2012
concernant la coopération administrative par l'intermédiaire du système d'information du marché intérieur et abrogeant la décision 2008/49/CE de la Commission («règlement IMI»)
(Texte présentant de l'intérêt pour l'EEE)
LE PARLEMENT EUROPÉEN ET LE CONSEIL DE L'UNION EUROPÉENNE,
vu le traité sur le fonctionnement de l'Union européenne, et notamment son article 114,
vu la proposition de la Commission européenne,
après transmission du projet d'acte législatif aux parlements nationaux,
vu l'avis du Comité économique et social européen (1),
statuant conformément à la procédure législative ordinaire (2),
considérant ce qui suit:
(1)
L'application de certains actes de l'Union régissant la libre circulation des marchandises, des personnes, des services et des capitaux dans le marché intérieur impose aux États membres l'obligation de coopérer plus efficacement et d'échanger des informations les uns avec les autres et avec la Commission. Étant donné que ces actes ne précisent pas souvent les moyens pratiques à utiliser pour procéder à ces échanges d'informations, il convient de définir des modalités pratiques appropriées.
(2)
Le système d'information du marché intérieur (ci-après dénommé «IMI») est une application logicielle accessible via l'internet, développée par la Commission en coopération avec les États membres afin d'aider ceux-ci à mettre en pratique les exigences relatives aux échanges d'informations fixées dans des actes de l'Union, en proposant un mécanisme de communication centralisé qui facilite les échanges transfrontaliers d'informations et l'assistance mutuelle. L'IMI aide, notamment, les autorités compétentes à déterminer quel est leur homologue dans un autre État membre, à gérer les échanges d'informations - y compris les données à caractère personnel - sur la base de procédures simples et harmonisées, et à surmonter les barrières linguistiques grâce à des procédures de traitement prédéfinies et prétraduites. La Commission devrait fournir aux utilisateurs IMI toute fonctionnalité de traduction supplémentaire répondant à leurs besoins, compatible avec leurs besoins de sécurité et de confidentialité pour l'échange d'informations au sein de l'IMI et pouvant être proposée à un coût raisonnable, lorsqu'une telle fonctionnalité existe.
(3)
Afin de surmonter les barrières linguistiques, l'IMI devrait en principe être disponible dans toutes les langues officielles de l'Union.
(4)
L'objectif de l'IMI devrait être d'améliorer le fonctionnement du marché intérieur en fournissant un outil efficace et convivial de mise en œuvre de la coopération administrative entre les États membres ainsi qu'entre les États membres et la Commission, facilitant ainsi l'application des actes de l'Union énumérés à l'annexe du présent règlement.
(5)
La communication de la Commission du 21 février 2011 intitulée «Améliorer la gouvernance du marché unique en intensifiant la coopération administrative: une stratégie pour étendre et développer le système d'information du marché intérieur (IMI)» définit des plans pour l'extension éventuelle de l'IMI à d'autres actes de l'Union. Dans sa communication du 13 avril 2011 intitulée «L'Acte pour le marché unique - douze leviers pour stimuler la croissance et renforcer la confiance - “Ensemble pour une nouvelle croissance”», la Commission souligne l'importance que revêt l'IMI pour intensifier la coopération entre les parties concernées, y compris au niveau local, de manière à contribuer à une gouvernance renforcée du marché unique. Il convient, dès lors, d'établir un cadre juridique solide pour l'IMI et un ensemble de règles communes afin de garantir le fonctionnement efficace de l'IMI.
(6)
Lorsque l'application d'une disposition d'un acte de l'Union impose aux États membres d'échanger des données à caractère personnel et que l'objet de ce traitement est précisé, ladite disposition devrait être considérée comme une base juridique appropriée pour le traitement des données à caractère personnel, sous réserve des conditions énoncées aux articles 8 et 52 de la Charte des droits fondamentaux de l'Union européenne. L'IMI devrait être considéré essentiellement comme un outil utilisé pour des échanges d'informations, y compris de données à caractère personnel, qui, en l'absence de celui-ci, seraient effectués via d'autres moyens, tels que le courrier ordinaire, la télécopie ou le courrier électronique, en vertu d'une obligation légale prévue dans les actes de l'Union et imposée aux autorités et organismes des États membres. Les données à caractère personnel échangées via l'IMI ne devraient être collectées, traitées et utilisées que pour des finalités conformes à celles pour lesquelles elles ont été initialement collectées et elles devraient être sujettes à toutes les garanties pertinentes.
(7)
Conformément au principe de la prise en compte du respect de la vie privée dès la conception, l'IMI a été mis au point en gardant à l'esprit les exigences de la législation relative à la protection des données et a été, dès ses débuts, respectueux de la protection des données, grâce, notamment, aux restrictions imposées pour l'accès aux données à caractère personnel échangées dans l'IMI. L'IMI offre, par conséquent, un niveau de protection et de sécurité nettement supérieur à celui des autres méthodes d'échange d'informations, telles que le courrier ordinaire, le téléphone, la télécopie ou le courrier électronique.
(8)
La coopération administrative par voie électronique entre les États membres et entre les États membres et la Commission devrait respecter les règles de protection des données à caractère personnel prévues par la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (3) ainsi que par le règlement (CE) no 45/2001 du Parlement européen et du Conseil du 18 décembre 2000 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les institutions et organes communautaires et à la libre circulation de ces données (4). Les définitions utilisées dans la directive 95/46/CE et dans le règlement (CE) no 45/2001 devraient également s'appliquer aux fins du présent règlement.
(9)
La Commission fournit et gère le logiciel et l'infrastructure informatique destinés à l'IMI, assure la sécurité de l'IMI, gère le réseau des coordonnateurs nationaux IMI et est associée à la formation et à l'assistance technique dispensées aux utilisateurs IMI. À cette fin, la Commission ne devrait avoir accès qu'aux données à caractère personnel qui sont strictement nécessaires à l'exécution de ses tâches dans la limite des compétences énoncées dans le présent règlement, telles que l'enregistrement des coordonnateurs nationaux IMI. La Commission devrait également avoir accès aux données à caractère personnel lorsqu'elle récupère, sur demande d'un autre participant IMI, de telles données qui ont été verrouillées dans l'IMI et auxquelles la personne concernée aurait demandé l'accès. La Commission ne devrait pas avoir accès aux données à caractère personnel échangées dans le cadre de la coopération administrative au sein de l'IMI, à moins qu'un acte de l'Union ne réserve un rôle à la Commission dans le cadre de cette coopération.
(10)
Afin de garantir la transparence, en particulier pour les personnes concernées, il convient d'énumérer, à l'annexe du présent règlement, les dispositions des actes de l'Union pour lesquels l'IMI doit être utilisé.
(11)
L'IMI peut être étendu à l'avenir à de nouveaux domaines, s'il contribue ainsi à assurer la mise en œuvre efficace d'un acte de l'Union d'une manière satisfaisante sur le plan du coût et conviviale, compte tenu de la faisabilité technique et de l'incidence globale sur l'IMI. La Commission devrait mener les tests nécessaires afin de vérifier que l'IMI est prêt, sur le plan technique, pour toute extension envisagée. Les décisions visant à étendre l'IMI à de nouveaux actes de l'Union devraient se prendre au moyen de la procédure législative ordinaire.
(12)
Les projets pilotes sont un instrument utile pour étudier si l'extension de l'IMI se justifie et pour adapter la fonctionnalité technique et les modalités de procédure aux exigences des utilisateurs IMI avant qu'une décision ne soit prise sur une possible extension de l'IMI. Les États membres devraient être pleinement associés à la décision concernant le choix des actes de l'Union devant faire l'objet d'un projet pilote et les modalités de ce projet pilote, pour s'assurer que le projet pilote prend en compte les besoins des utilisateurs IMI et que les dispositions en matière de traitement des données à caractère personnel sont pleinement respectées. Ces modalités devraient être définies de manière distincte pour chaque projet pilote.
(13)
Aucune disposition du présent règlement ne devrait interdire aux États membres ou à la Commission d'utiliser l'IMI pour des échanges d'informations ne nécessitant pas le traitement de données à caractère personnel.
(14)
Le présent règlement devrait définir les règles d'utilisation de l'IMI aux fins de la coopération administrative, qui peuvent couvrir, entre autres, l'échange bilatéral d'informations, les procédures de notification, les mécanismes d'alerte, les modalités d'assistance mutuelle et la résolution des problèmes.
(15)
Le présent règlement ne devrait pas porter atteinte au droit des États membres concernant le choix des autorités nationales qui sont chargées de remplir les obligations résultant du présent règlement. Les États membres devraient pouvoir adapter les fonctions et responsabilités concernant l'IMI à leur structure administrative interne, ainsi que prendre en compte les besoins d'une procédure de traitement IMI spécifique. Les États membres devraient pouvoir nommer des coordonnateurs IMI supplémentaires pour accomplir les tâches des coordonnateurs nationaux IMI, agissant seuls ou de concert avec d'autres, pour un domaine particulier du marché intérieur, un département de l'administration ou une région géographique spécifique, ou en fonction d'un autre critère. Les États membres devraient informer la Commission des coordonnateurs IMI qu'ils ont nommés, mais ils ne devraient pas être tenus d'indiquer les coordonnateurs IMI supplémentaires dans l'IMI, si ce n'est pas nécessaire à son bon fonctionnement.
(16)
Pour assurer une coopération administrative efficace par le biais de l'IMI, les États membres et la Commission devraient veiller à ce que leurs participants IMI disposent des moyens nécessaires pour s'acquitter de leurs obligations conformément au présent règlement.
(17)
Bien que l'IMI soit, par essence, un outil de communication réservé à la coopération administrative entre autorités compétentes et non accessible au grand public, il peut se révéler nécessaire de mettre au point des dispositifs techniques qui permettent à des participants externes, tels que des citoyens, des entreprises et des organisations, d'interagir avec les autorités compétentes afin de fournir des informations, de récupérer des données ou d'exercer leurs droits en tant que personnes concernées. Ces dispositifs techniques devraient prévoir des garanties appropriées en matière de protection des données. Afin de garantir un niveau élevé de sécurité, les interfaces publiques de ce genre devraient être élaborées de manière à être totalement indépendantes, sur le plan technique, de l'IMI, auquel seuls les utilisateurs IMI devraient avoir accès.
(18)
L'utilisation de l'IMI pour assurer le soutien technique du réseau SOLVIT devrait être sans préjudice du caractère informel de la procédure SOLVIT, qui est fondée sur un engagement volontaire des États membres, conformément à la recommandation de la Commission du 7 décembre 2001 établissant les principes pour l'utilisation de «SOLVIT» - le réseau de résolution des problèmes dans le marché intérieur (5) («recommandation SOLVIT»). Pour que le réseau SOLVIT puisse continuer à fonctionner sur la base des modalités de travail actuelles, une ou plusieurs tâches du coordonnateur national IMI pourraient être attribuées aux centres SOLVIT lorsqu'elles concernent leur travail, de manière qu'ils puissent fonctionner indépendamment du coordonateur national IMI. Le traitement des données à caractère personnel et des informations confidentielles dans le cadre des procédures SOLVIT devrait bénéficier de toutes les garanties énoncées dans le présent règlement, sans préjudice du caractère non contraignant de la recommandation SOLVIT.
(19)
Si l'IMI comporte une interface utilisateur localisée sur l'internet, dans certains cas et à la demande des États membres concernés, il peut être opportun d'examiner des solutions techniques en vue du transfert direct de données des systèmes nationaux vers l'IMI, lorsque ces systèmes nationaux sont déjà mis au point, notamment pour les procédures de notification. La mise en œuvre de ces solutions techniques devrait dépendre du résultat d'une évaluation de leur faisabilité, de leur coût et des avantages qui en sont attendus. Ces solutions ne devraient pas avoir d'incidence sur les structures existantes ni sur l'ordre des compétences au niveau national.
(20)
Lorsque les États membres ont satisfait à leur obligation de notification au titre de l'article 15, paragraphe 7, de la directive 2006/123/CE du Parlement européen et du Conseil du 12 décembre 2006 relative aux services dans le marché intérieur (6) en recourant à la procédure prévue par la directive 98/34/CE du Parlement européen et du Conseil du 22 juin 1998 prévoyant une procédure d'information dans le domaine des normes et réglementations techniques et des règles relatives aux services de la société de l'information (7), ils ne devraient pas également avoir besoin de procéder à la même notification via l'IMI.
(21)
L'échange d'informations par le biais de l'IMI découle de l'obligation légale imposée aux autorités des États membres de se prêter mutuellement assistance. Pour assurer le bon fonctionnement du marché intérieur, les autorités compétentes ne peuvent remettre en cause la valeur des informations reçues d'un autre État membre via l'IMI, en tant que preuves susceptibles d'être produites dans le cadre d'une procédure administrative, au seul motif qu'elles proviennent d'un autre État membre ou qu'elles ont été reçues par voie électronique; cette autorité compétente devrait considérer ces informations au même titre que des documents analogues émanant de son propre État membre.
(22)
Afin de garantir un niveau élevé de protection des données, il convient de fixer des périodes maximales de conservation des données à caractère personnel dans l'IMI. Ces périodes devraient néanmoins être bien pondérées en tenant dûment compte de la nécessité d'assurer le bon fonctionnement de l'IMI, ainsi que du droit des personnes concernées d'exercer pleinement leurs droits, ces dernières pouvant, par exemple, obtenir la preuve qu'un échange d'informations a eu lieu et, sur cette base, former un recours contre une décision. C'est ainsi que la durée de conservation ne devrait pas dépasser le temps qui est nécessaire à la réalisation des objectifs du présent règlement.
(23)
Il devrait être possible de traiter les noms et coordonnées de contact des utilisateurs IMI pour des finalités compatibles avec les objectifs du présent règlement, y compris le contrôle de l'utilisation du système par les coordonnateurs IMI et la Commission, la communication, les initiatives en matière de formation et de sensibilisation, et la collecte d'informations sur la coopération administrative ou l'assistance mutuelle dans le marché intérieur.
(24)
Il incombe au Contrôleur européen de la protection des données de contrôler et de s'efforcer de garantir l'application du présent règlement, y compris les dispositions concernant la sécurité des données, notamment en entretenant des contacts avec les autorités nationales de protection des données.
(25)
Afin de garantir efficacement le suivi et l'établissement de rapports concernant le fonctionnement de l'IMI et l'application du présent règlement, les États membres devraient mettre à la disposition de la Commission les informations nécessaires.
(26)
Les personnes concernées devraient être informées du traitement de leurs données à caractère personnel dans l'IMI et de leur droit d'accéder aux données les concernant ainsi que du droit d'obtenir la rectification des données inexactes et l'effacement des données traitées illégalement, conformément au présent règlement et à la législation nationale mettant en œuvre la directive 95/46/CE.
(27)
Afin de permettre aux autorités compétentes des États membres de mettre en œuvre les dispositions juridiques relatives à la coopération administrative et d'échanger efficacement des informations via l'IMI, il peut être nécessaire d'établir des modalités pratiques pour cet échange. Il convient que ces modalités soient adoptées par la Commission sous la forme d'un acte d'exécution distinct pour chaque acte de l'Union énuméré à l'annexe ou pour chaque type de procédure de coopération administrative et qu'elles portent sur la fonctionnalité technique essentielle et sur les modalités de procédure requises pour la mise en œuvre des procédures de coopération administratives pertinentes via l'IMI. La Commission devrait garantir la maintenance et le développement des logiciels et des infrastructures informatiques nécessaires au fonctionnement de l'IMI.
(28)
Afin de garantir aux personnes concernées un niveau suffisant de transparence, les procédures de traitement, les séries de questions et réponses et les formulaires prédéfinis ainsi que toutes autres modalités relatives aux procédures de coopération administrative dans l'IMI devraient être rendus publics.
(29)
Lorsque les États membres appliquent, aux termes de l'article 13 de la directive 95/46/CE, des limitations ou exceptions aux droits des personnes concernées, les informations relatives à ces limitations ou exceptions devraient être rendues publiques afin de garantir une transparence totale à l'égard des personnes concernées. Ces exceptions ou limitations devraient être nécessaires et proportionnées par rapport à l'objectif visé et être assorties des garanties appropriées.
(30)
Lorsque des accords internationaux portant également sur l'application de dispositions des actes de l'Union énumérés à l'annexe du présent règlement sont conclus entre l'Union et des pays tiers, il devrait être possible d'intégrer les homologues des participants IMI de ces pays tiers dans les procédures de coopération administrative soutenues par l'IMI, à condition qu'il ait été établi que le pays tiers concerné offre un niveau approprié de protection des données à caractère personnel conformément à la directive 95/46/CE.
(31)
Il convient d'abroger la décision 2008/49/CE de la Commission du 12 décembre 2007 relative à la protection des données à caractère personnel dans le cadre de la mise en œuvre du Système d'information du marché intérieur (IMI) (8). La décision 2009/739/CE de la Commission du 2 octobre 2009 établissant les modalités pratiques des échanges d'informations par voie électronique entre les États membres prévus au chapitre VI de la directive 2006/123/CE du Parlement européen et du Conseil relative aux services dans le marché intérieur (9) devrait continuer à s'appliquer aux questions relatives aux échanges d'informations dans le cadre de la directive 2006/123/CE.
(32)
Afin d'assurer des conditions uniformes d'exécution du présent règlement, il convient de conférer des compétences d'exécution à la Commission. Ces compétences devraient être exercées en conformité avec le règlement (UE) no 182/2011 du Parlement européen et du Conseil du 16 février 2011 établissant les règles et principes généraux relatifs aux modalités de contrôle par les États membres de l'exercice des compétences d'exécution par la Commission (10).
(33)
Les résultats obtenus par les États membres quant à l'application effective du présent règlement devraient faire l'objet d'un suivi dans le cadre du rapport annuel sur le fonctionnement de l'IMI, sur la base des statistiques issues de l'IMI et de toute autre donnée pertinente. Les résultats obtenus par les États membres devraient être évalués, entre autres, du point de vue des temps de réponse moyens, afin de garantir des réponses rapides et de bonne qualité.
(34)
Étant donné que l'objectif du présent règlement, à savoir l'établissement de règles d'utilisation de l'IMI pour la coopération administrative, ne peut pas être réalisé de manière suffisante par les États membres et peut donc, en raison de ses dimensions et effets, être mieux réalisé au niveau de l'Union, celle-ci peut prendre des mesures conformément au principe de subsidiarité consacré à l'article 5 du traité sur l'Union européenne. Conformément au principe de proportionnalité tel qu'énoncé audit article, le présent règlement n'excède pas ce qui est nécessaire pour atteindre cet objectif.
(35)
Le Contrôleur européen de la protection des données a été consulté conformément à l'article 28, paragraphe 2, du règlement (CE) no 45/2001 et il a rendu son avis le 22 novembre 2011 (11),
ONT ADOPTÉ LE PRÉSENT RÈGLEMENT:
CHAPITRE I
DISPOSITIONS GÉNÉRALES
Article premier
Objet
Le présent règlement fixe les règles d'utilisation d'un système d'information du marché intérieur (ci-après dénommé «IMI») pour la coopération administrative, y compris le traitement de données à caractère personnel, entre les autorités compétentes des États membres et entre les autorités compétentes des États membres et la Commission.
Article 2
Établissement de l'IMI
L'IMI est officiellement institué.
Article 3
Champ d'application
1. L'IMI est utilisé pour la coopération administrative entre autorités compétentes des États membres et entre les autorités compétentes des États membres et la Commission, nécessaire à la mise en œuvre des actes de l'Union dans le domaine du marché intérieur, au sens de l'article 26, paragraphe 2, du traité sur le fonctionnement de l'Union européenne, qui prévoient une coopération administrative, y compris l'échange de données à caractère personnel, entre États membres ou entre les États membres et la Commission. La liste de ces actes de l'Union figure à l'annexe.
2. Aucune disposition du présent règlement n'a pour effet de rendre obligatoires les dispositions d'actes de l'Union qui n'ont pas un caractère contraignant.
Article 4
Extension de l'IMI
1. La Commission peut mener des projets pilotes afin d'évaluer si l'IMI pourrait être un outil efficace pour la mise en œuvre des dispositions applicables à la coopération administrative pour des actes de l'Union qui ne sont pas énumérés à l'annexe. La Commission adopte un acte d'exécution pour déterminer quelles dispositions d'actes de l'Union font l'objet d'un projet pilote et pour fixer les modalités de chaque projet, notamment la fonctionnalité technique de base et les modalités de procédure requises pour la mise en œuvre des dispositions pertinentes de la coopération administrative. Cet acte d'exécution est adopté en conformité avec la procédure d'examen visée à l'article 24, paragraphe 3.
2. La Commission présente au Parlement européen et au Conseil une évaluation du résultat du projet pilote, portant notamment sur les questions de protection des données et les fonctionnalités de traduction efficaces. Le cas échéant, cette évaluation peut être accompagnée d'une proposition législative visant à modifier l'annexe afin d'étendre l'utilisation de l'IMI aux dispositions pertinentes d'actes de l'Union.
Article 5
Définitions
Aux fins du présent règlement, les définitions figurant dans la directive 95/46/CE et dans le règlement (CE) no 45/2001 s'appliquent.
En outre, on entend par:
a)
«IMI», l'outil électronique fourni par la Commission pour faciliter la coopération administrative entre autorités compétentes des États membres et entre les autorités compétentes des États membres et la Commission;
b)
«coopération administrative», la collaboration établie entre autorités compétentes des États membres ou entre les autorités compétentes des États membres et la Commission, par l'échange et le traitement d'informations, y compris au moyen de notifications et d'alertes, ou par la fourniture d'assistance mutuelle, notamment pour la résolution des problèmes, aux fins d'une meilleure application du droit de l'Union;
c)
«domaine du marché intérieur», un domaine législatif ou fonctionnel du marché intérieur au sens de l'article 26, paragraphe 2, du traité sur le fonctionnement de l'Union européenne, dans lequel l'IMI est utilisé conformément à l'article 3 du présent règlement;
d)
«procédure de coopération administrative», une procédure de traitement prédéfinie dans l'IMI qui permet aux participants IMI de communiquer et d'interagir les uns avec les autres de manière structurée;
e)
«coordonnateur IMI», un organisme désigné par un État membre pour assurer les tâches de support nécessaires au fonctionnement efficace de l'IMI conformément au présent règlement;
f)
«autorité compétente», tout organisme établi au niveau national, régional ou local et enregistré dans l'IMI, investi de responsabilités spécifiques concernant l'application du droit national ou d'actes de l'Union énumérés à l'annexe dans un ou plusieurs domaines du marché intérieur;
g)
«participants IMI», les autorités compétentes, les coordonnateurs IMI et la Commission;
h)
«utilisateur IMI», une personne physique travaillant sous l'autorité d'un participant IMI et enregistrée dans l'IMI au nom de ce participant IMI;
i)
«participants externes», les personnes physiques ou morales autres que les utilisateurs IMI qui peuvent interagir avec l'IMI uniquement au moyen de dispositifs techniques indépendants et en respectant une procédure de traitement prédéfinie fournie à cette fin;
j)
«verrouillage», l'utilisation de dispositifs techniques permettant de rendre des données à caractère personnel inaccessibles aux utilisateurs IMI via l'interface normale de l'IMI;
k)
«clôture formelle», l'utilisation de l'infrastructure technique fournie par l'IMI pour clore une procédure de coopération administrative.
CHAPITRE II
FONCTIONS ET RESPONSABILITÉS RELATIVES À L'IMI
Article 6
Coordonnateurs IMI
1. Chaque État membre nomme un coordonnateur national IMI chargé d'assumer les responsabilités suivantes:
a)
enregistrer les coordonnateurs IMI et les autorités compétentes ou valider leur enregistrement;
b)
agir en qualité de principal point de contact à l'égard des participants IMI des États membres pour les questions liées à l'IMI, y compris fournir des informations sur les aspects relatifs à la protection des données à caractère personnel conformément au présent règlement;
c)
agir en qualité d'interlocuteur de la Commission pour les questions liées à l'IMI, y compris fournir des informations sur les aspects relatifs à la protection des données à caractère personnel conformément au présent règlement;
d)
fournir des connaissances, une formation et un soutien, y compris une assistance technique de base, aux participants IMI des États membres;
e)
garantir le bon fonctionnement de l'IMI dans la limite de ses compétences, notamment en veillant à ce que les participants IMI des États membres apportent en temps opportun des réponses adéquates aux demandes de coopération administrative.
2. Chaque État membre peut en outre nommer un ou plusieurs coordonnateurs IMI supplémentaires, afin de mener à bien toutes les tâches énumérées au paragraphe 1, en fonction de sa structure administrative interne.
3. Les États membres communiquent à la Commission les noms des coordonnateurs IMI nommés conformément aux paragraphes 1 et 2, en indiquant les tâches dont ils sont responsables. La Commission partage ces informations avec les autres États membres.
4. Tous les coordonnateurs IMI peuvent agir en qualité d'autorités compétentes. En pareil cas, un coordonnateur IMI jouit des mêmes droits d'accès qu'une autorité compétente. Chaque coordonnateur IMI agit en qualité de responsable du traitement à l'égard des activités de traitement de données qu'il effectue en qualité de participant IMI.
Article 7
Autorités compétentes
1. Lorsqu'elles coopèrent via l'IMI, les autorités compétentes, par l'intermédiaire des utilisateurs IMI conformément aux procédures de coopération administrative, veillent à ce que, conformément à l'acte de l'Union applicable, une réponse adéquate soit fournie dans le délai le plus court possible et, en tout état de cause, dans le délai fixé par ledit acte.
2. Une autorité compétente peut invoquer comme moyen de preuve les informations, les documents, les constatations, les déclarations ou les copies certifiées conformes qu'elle a reçus sous forme électronique via l'IMI, au même titre que les informations analogues obtenues dans son propre pays et pour des finalités compatibles avec celles pour lesquelles les données ont été initialement collectées.
3. Chaque autorité compétente agit en qualité de responsable du traitement à l'égard de ses propres activités de traitement des données assurées par un utilisateur IMI placé sous son contrôle et veille à ce que les personnes concernées puissent exercer leurs droits conformément aux chapitres III et IV, en coopération avec la Commission, si nécessaire.
Article 8
Commission
1. La Commission est chargée des tâches suivantes:
a)
garantir la sécurité, la disponibilité, la maintenance et le développement des logiciels et des infrastructures informatiques nécessaires au fonctionnement de l'IMI;
b)
fournir un système plurilingue, y compris les fonctionnalités de traduction existantes, une formation en coopération avec les États membres ainsi qu'un service d'assistance pour aider les États membres à utiliser l'IMI;
c)
enregistrer les coordonnateurs nationaux IMI et leur donner accès à l'IMI;
d)
effectuer des opérations de traitement de données à caractère personnel dans l'IMI, dans les cas prévus par le présent règlement, conformément aux finalités définies par les actes de l'Union applicables énumérés à l'annexe;
e)
contrôler l'application du présent règlement et faire rapport au Parlement européen, au Conseil et au Contrôleur européen de la protection des données conformément à l'article 25.
2. Afin de s'acquitter des tâches énumérées au paragraphe 1 et d'établir des rapports statistiques, la Commission a accès aux informations nécessaires concernant les opérations de traitement exécutées dans l'IMI.
3. La Commission ne participe pas à des procédures de coopération administrative impliquant le traitement de données à caractère personnel, sauf si une disposition d'un acte de l'Union énuméré à l'annexe l'impose.
Article 9
Droits d'accès des participants et utilisateurs IMI
1. Seuls les utilisateurs IMI ont accès à l'IMI.
2. Les États membres désignent les coordonnateurs IMI et les autorités compétentes, et précisent les domaines du marché intérieur dans lesquels ils ont compétence. La Commission peut jouer un rôle consultatif dans ce processus.
3. Chaque participant IMI accorde à ses utilisateurs IMI et révoque, le cas échéant, les droits d'accès appropriés au domaine du marché intérieur pour lequel il est compétent.
4. Des dispositifs adéquats sont mis en place par la Commission et les États membres pour s'assurer que l'accès des utilisateurs IMI aux données à caractère personnel traitées dans l'IMI est limité selon le principe du «besoin d'en connaître» et restreint au(x) domaine(s) du marché intérieur pour lequel ou lesquels des droits d'accès leur ont été accordés conformément au paragraphe 3.
5. Sauf disposition expresse du droit national conformément au droit de l'Union, il est interdit d'utiliser des données à caractère personnel traitées dans l'IMI pour une finalité spécifique d'une manière qui est incompatible avec cette finalité initiale.
6. Lorsqu'une procédure de coopération administrative requiert le traitement de données à caractère personnel, seuls les participants IMI à cette procédure peuvent avoir accès à ces données.
Article 10
Confidentialité
1. Chaque État membre applique, à l'égard des participants IMI et des utilisateurs IMI, ses règles relatives au secret professionnel ou à toute obligation de confidentialité équivalente, conformément à la législation nationale ou de l'Union.
2. Les participants IMI veillent à ce que les utilisateurs IMI travaillant sous leur autorité respectent les demandes d'autres participants IMI concernant le traitement confidentiel d'informations échangées via l'IMI.
Article 11
Procédures de coopération administrative
L'IMI se fonde sur des procédures de coopération administrative mettant en œuvre les dispositions des actes pertinents de l'Union énumérés à l'annexe. Le cas échéant, la Commission peut adopter des actes d'exécution pour un acte donné de l'Union énuméré à l'annexe ou pour un type de procédure de coopération administrative afin de définir la fonctionnalité technique essentielle et les modalités de procédure requises pour permettre la mise en œuvre des dispositions pertinentes de la coopération administrative, y compris, le cas échéant, l'interaction entre les participants externes et l'IMI visée à l'article 12. Ces actes d'exécution sont adoptés en conformité avec la procédure consultative visée à l'article 24, paragraphe 2.
Article 12
Participants externes
Des moyens techniques peuvent être prévus pour permettre à des participants externes d'interagir avec l'IMI lorsque cette interaction:
a)
est prévue par un acte de l'Union;
b)
est prévue dans un acte d'exécution visé à l'article 11 afin de faciliter la coopération administrative entre les autorités compétentes des États membres pour l'application des dispositions d'actes de l'Union énumérés à l'annexe; ou
c)
est nécessaire dans le cadre du dépôt d'une demande en vue d'exercer leurs droits en tant que personnes concernées conformément à l'article 19.
Tout moyen technique de ce type est indépendant de l'IMI et ne permet pas aux participants externes d'accéder à l'IMI.
CHAPITRE III
TRAITEMENT DES DONNÉES À CARACTÈRE PERSONNEL ET SÉCURITÉ
Article 13
Limitation de la finalité
Les participants IMI échangent et traitent des données à caractère personnel uniquement pour les finalités définies par les dispositions pertinentes des actes de l'Union énumérés à l'annexe.
Les données communiquées à l'IMI par les personnes concernées ne sont utilisées que pour les finalités pour lesquelles elles ont été communiquées.
Article 14
Conservation des données à caractère personnel
1. Les données à caractère personnel traitées dans l'IMI sont verrouillées dans l'IMI dès lors qu'elles ne sont plus nécessaires pour les finalités pour lesquelles elles ont été collectées, en fonction des spécificités de chaque type de coopération administrative et, en règle générale, au plus tard six mois après la clôture formelle de la procédure de coopération administrative.
Toutefois, si un acte de l'Union applicable énuméré à l'annexe prévoit un délai plus long, les données à caractère personnel traitées dans l'IMI peuvent être conservées pendant une durée maximale de dix-huit mois après la clôture formelle d'une procédure de coopération administrative.
2. Lorsqu'un répertoire d'informations auquel les participants IMI pourront ultérieurement se référer est nécessaire en application d'un acte contraignant de l'Union énuméré à l'annexe, les données à caractère personnel incluses dans ce répertoire peuvent être traitées aussi longtemps qu'elles sont nécessaires pour cette finalité, soit moyennant le consentement de la personne concernée, soit lorsque ledit acte de l'Union le prévoit.
3. Les données à caractère personnel qui ont été verrouillées en application du présent article ne font l'objet d'un traitement - à l'exception de leur stockage - qu'à la seule finalité de prouver l'existence d'un échange d'informations via l'IMI, avec le consentement de la personne concernée, sauf si le traitement est demandé pour des raisons impérieuses d'intérêt général.
4. Les données verrouillées sont automatiquement effacées dans l'IMI au terme d'un délai de trois ans à partir de la date de clôture formelle de la procédure de coopération administrative.
5. À la demande expresse d'une autorité compétente dans un cas particulier et avec le consentement de la personne concernée, les données à caractère personnel peuvent être effacées avant l'expiration du délai de conservation applicable.
6. La Commission procède, à l'aide de dispositifs techniques, au verrouillage, à l'effacement et à l'extraction des données à caractère personnel, conformément au paragraphe 3.
7. Des moyens techniques sont mis en place pour encourager les participants IMI à clore formellement les procédures de coopération administrative le plus rapidement possible après l'achèvement de l'échange d'informations, et pour permettre aux participants IMI de faire intervenir les coordonnateurs IMI responsables dans toute procédure demeurée inactive sans justification pendant plus de deux mois.
Article 15
Conservation des données à caractère personnel des utilisateurs IMI
1. Par dérogation à l'article 14, les paragraphes 2 et 3 du présent article s'appliquent à la conservation des données à caractère personnel des utilisateurs IMI. Ces données à caractère personnel incluent le nom complet ainsi que toutes les coordonnées de contact électroniques et autres qui sont nécessaires aux fins du présent règlement.
2. Les données à caractère personnel relatives à des utilisateurs IMI sont stockées aussi longtemps que ces derniers continuent à utiliser l'IMI et elles peuvent être traitées pour des finalités compatibles avec les objectifs du présent règlement.
3. Lorsqu'une personne physique cesse d'être un utilisateur IMI, les données à caractère personnel concernant cette personne sont verrouillées à l'aide de dispositifs techniques durant une période de trois ans. À l'exception de leur stockage, ces données ne font l'objet d'un traitement qu'à la seule finalité de prouver l'existence d'un échange d'informations via l'IMI et elles sont effacées au terme de la période de trois ans.
Article 16
Traitement portant sur des catégories particulières de données
1. Le traitement, au moyen de l'IMI, des catégories particulières de données visées à l'article 8, paragraphe 1, de la directive 95/46/CE et à l'article 10, paragraphe 1, du règlement (CE) no 45/2001 est autorisé uniquement sur la base d'un motif spécifique mentionné à l'article 8, paragraphes 2 et 4, de ladite directive et à l'article 10, paragraphe 2, dudit règlement et moyennant les garanties appropriées prévues dans ces articles pour assurer le respect des droits des personnes dont les données sont traitées.
2. L'IMI peut être utilisé aux fins du traitement de données relatives à des infractions, à des condamnations pénales ou à des mesures de sûreté, visé à l'article 8, paragraphe 5, de la directive 95/46/CE et à l'article 10, paragraphe 5, du règlement (CE) no 45/2001, moyennant les garanties prévues dans ces articles, y compris des informations sur des sanctions disciplinaires, administratives ou pénales ou d'autres informations nécessaires pour établir la bonne réputation d'une personne physique ou morale, lorsque le traitement de ces données est prévu dans un acte de l'Union constituant le fondement du traitement ou est effectué avec le consentement explicite de la personne concernée, moyennant les garanties spécifiques visées à l'article 8, paragraphe 5, de la directive 95/46/CE.
Article 17
Sécurité
1. La Commission veille à ce que l'IMI se conforme aux règles sur la sécurité des données adoptées par la Commission en vertu de l'article 22 du règlement (CE) no 45/2001.
2. La Commission met en place les mesures requises pour garantir la sécurité des données à caractère personnel traitées dans l'IMI, y compris des mesures appropriées de contrôle de l'accès aux données et un plan de sécurité qui est tenu à jour.
3. La Commission veille à ce qu'il soit possible, en cas d'incident de sécurité, de vérifier quelles sont les données à caractère personnel qui ont été traitées dans l'IMI, quand, par qui et pour quelle finalité.
4. Les participants IMI adoptent toutes les mesures procédurales et organisationnelles nécessaires pour garantir la sécurité des données à caractère personnel qu'ils traitent dans l'IMI conformément à l'article 17 de la directive 95/46/CE.
CHAPITRE IV
DROITS DES PERSONNES CONCERNÉES ET SURVEILLANCE
Article 18
Information des personnes concernées et transparence
1. Les participants IMI veillent à informer le plus rapidement possible les personnes concernées sur le traitement de leurs données à caractère personnel dans l'IMI et à ce que ces personnes aient accès à des informations sur leurs droits et les modalités d'exercice de ces droits, y compris l'identité et les coordonnées du responsable du traitement et du représentant du responsable du traitement, le cas échéant, conformément aux articles 10 ou 11 de la directive 95/46/CE et à la législation nationale qui est conforme à cette directive.
2. La Commission met à la disposition du public, d'une manière aisément accessible:
a)
des informations concernant l'IMI conformément aux articles 11 et 12 du règlement (CE) no 45/2001, sous une forme lisible et compréhensible;
b)
des informations sur les aspects relatifs à la protection des données des procédures de coopération administrative dans l'IMI visées à l'article 11 du présent règlement;
c)
des informations sur les exceptions ou limitations aux droits des personnes concernées, visées à l'article 20 du présent règlement;
d)
des précisions sur les types de procédures de coopération administrative, les fonctionnalités essentielles de l'IMI et les catégories de données qui peuvent être traitées dans l'IMI;
e)
une liste complète de tous les actes d'exécution ou actes délégués concernant l'IMI adoptés en vertu du présent règlement ou d'un autre acte de l'Union, ainsi qu'une version consolidée de l'annexe du présent règlement et ses modifications ultérieures par d'autres actes de l'Union.
Article 19
Droit d'accès, de rectification et d'effacement
1. Les participants IMI veillent à ce que les personnes concernées puissent effectivement exercer leur droit d'accès aux données les concernant dans l'IMI ainsi que leur droit d'obtenir la rectification des données inexactes ou incomplètes et l'effacement des données traitées illégalement, conformément à la législation nationale. La rectification ou l'effacement des données sont effectués par le participant IMI responsable dans les meilleurs délais et au plus tard trente jours après la réception de la demande de la personne concernée.
2. Toute contestation, par la personne concernée, de l'exactitude ou de la licéité des données verrouillées en vertu de l'article 14, paragraphe 1, doit être consignée, ainsi que les données exactes, corrigées.
Article 20
Exceptions et limitations
Les États membres informent la Commission lorsqu'ils prévoient dans leur législation nationale, au titre de l'article 13 de la directive 95/46/CE, des exceptions ou limitations aux droits des personnes concernées définis au présent chapitre.
Article 21
Contrôle
1. La ou les autorités de contrôle nationales désignées dans chaque État membre et auxquelles ont été conférés les pouvoirs visés à l'article 28 de la directive 95/46/CE (ci-après dénommées «autorité de contrôle nationale») contrôlent de manière indépendante la licéité du traitement des données à caractère personnel par les participants IMI de leur État membre et veillent, en particulier, à ce que les droits des personnes concernées définis dans le présent chapitre soient protégés conformément au présent règlement.
2. Le Contrôleur européen de la protection des données contrôle les activités de traitement des données à caractère personnel menées par la Commission dans son rôle de participant IMI et s'efforce de faire en sorte qu'elles soient effectuées conformément au présent règlement. Les fonctions et les compétences visées aux articles 46 et 47 du règlement (CE) no 45/2001 s'appliquent en conséquence.
3. Les autorités de contrôle nationales et le Contrôleur européen de la protection des données, agissant chacun dans les limites de leurs compétences respectives, assurent une surveillance coordonnée de l'IMI et de son utilisation par les participants IMI.
4. Le Contrôleur européen de la protection des données peut, si nécessaire, inviter les autorités de contrôle nationales à le rencontrer afin d'assurer une surveillance coordonnée de l'IMI et de son utilisation par les participants IMI, visées au paragraphe 3. Le coût de ces réunions est à la charge du Contrôleur européen de la protection des données. Aux fins de ces missions, des méthodes de travail complémentaires, y compris des règles de procédure, peuvent être élaborées conjointement en fonction des besoins. Un rapport d'activités conjoint est transmis au moins tous les trois ans au Parlement européen, au Conseil et à la Commission.
CHAPITRE V
CHAMP D'APPLICATION GÉOGRAPHIQUE DE L'IMI
Article 22
Utilisation nationale de l'IMI
1. Un État membre peut utiliser l'IMI à des fins de coopération administrative entre les autorités compétentes sur son territoire, conformément au droit national, uniquement si les conditions suivantes sont respectées:
a)
aucune modification substantielle des procédures existantes de coopération administrative n'est requise;
b)
l'utilisation prévue de l'IMI a été notifiée à l'autorité de contrôle nationale lorsque le droit national l'exige; et
c)
l'utilisation prévue n'a pas d'incidence négative sur le fonctionnement efficace de l'IMI pour les utilisateurs IMI.
2. Lorsqu'un État membre a l'intention de faire un usage systématique de l'IMI à des fins nationales, il en informe la Commission et sollicite son approbation préalable. La Commission examine s'il est satisfait aux conditions énoncées au paragraphe 1. Le cas échéant, et conformément au présent règlement, l'État membre concerné et la Commission concluent un accord fixant, entre autres, les modalités techniques, financières et organisationnelles en ce qui concerne l'utilisation nationale, celles-ci incluant les responsabilités des participants IMI.
Article 23
Échange d'informations avec les pays tiers
1. Des informations, y compris des données à caractère personnel, peuvent être échangées dans l'IMI, conformément au présent règlement, entre des participants IMI établis dans l'Union et leurs homologues établis dans un pays tiers, uniquement si les conditions suivantes sont respectées:
a)
ces informations sont traitées conformément à une disposition d'un acte de l'Union figurant à l'annexe et à une disposition équivalente dans le droit du pays tiers;
b)
ces informations sont échangées ou mises à disposition en vertu d'un accord international prévoyant:
i)
l'application, par le pays tiers, d'une disposition d'un acte de l'Union figurant à l'annexe;
ii)
l'utilisation de l'IMI; et
iii)
les principes et modalités de cet échange; et
c)
le pays tiers en question assure une protection adéquate des données à caractère personnel, conformément à l'article 25, paragraphe 2, de la directive 95/46/CE et, notamment, il existe des garanties appropriées assurant que les données traitées dans l'IMI ne seront utilisées que pour la finalité qui a justifié leur échange initial, et la Commission a adopté une décision conformément à l'article 25, paragraphe 6, de la directive 95/46/CE.
2. Lorsque la Commission est un participant IMI, l'article 9, paragraphes 1 et 7, du règlement (CE) no 45/2001 s'applique à tous les échanges de données à caractère personnel traitées dans l'IMI avec ses homologues établis dans un pays tiers.
3. La Commission publie au Journal officiel de l'Union européenne et tient à jour une liste des pays tiers autorisés à échanger des informations, y compris des données à caractère personnel, conformément au paragraphe 1.
CHAPITRE VI
DISPOSITIONS FINALES
Article 24
Comité
1. La Commission est assistée par un comité. Ledit comité est un comité au sens du règlement (UE) no 182/2011.
2. Lorsqu'il est fait référence au présent paragraphe, l'article 4 du règlement (UE) no 182/2011 s'applique.
3. Lorsqu'il est fait référence au présent paragraphe, l'article 5 du règlement (UE) no 182/2011 s'applique.
Article 25
Suivi et rapports
1. La Commission fait rapport au Parlement européen et au Conseil sur le fonctionnement de l'IMI, selon une périodicité annuelle.
2. Avant le 5 décembre 2017 et tous les cinq ans par la suite, la Commission fait rapport au Contrôleur européen de la protection des données sur les aspects liés à la protection des données à caractère personnel dans l'IMI, y compris la sécurité des données.
3. Aux fins de la production des rapports visés aux paragraphes 1 et 2, les États membres fournissent à la Commission toute information relative à l'application du présent règlement, y compris des informations concernant l'application concrète des exigences relatives à la protection des données énoncées dans le présent règlement.
Article 26
Coûts
1. Les coûts afférents au développement, à la promotion, à l'exploitation et à la maintenance de l'IMI sont à la charge du budget général de l'Union européenne, sans préjudice des modalités fixées à l'article 22, paragraphe 2.
2. Sauf disposition contraire énoncée dans un acte de l'Union, les coûts afférents aux opérations IMI au niveau des États membres, y compris les ressources humaines nécessaires pour les activités de formation, de promotion et d'assistance technique (helpdesk), de même que pour l'administration de l'IMI au niveau national, sont à la charge de chaque État membre.
Article 27
Abrogation
La décision 2008/49/CE est abrogée.
Article 28
Application effective
Les États membres prennent toutes les mesures nécessaires pour garantir l'application effective du présent règlement par leurs participants IMI.
Article 29
Exceptions
1. Nonobstant l'article 4 du présent règlement, le projet pilote IMI lancé, le 16 mai 2011, en vue de tester la validité de l'IMI pour la mise en œuvre de l'article 4 de la directive 96/71/CE du Parlement européen et du Conseil du 16 décembre 1996 concernant le détachement de travailleurs effectué dans le cadre d'une prestation de services (12) peut continuer à se dérouler sur la base des modalités établies avant l'entrée en vigueur du présent règlement.
2. Nonobstant l'article 8, paragraphe 3, et l'article 12, premier alinéa, points a) et b), du présent règlement, en ce qui concerne la mise en œuvre des dispositions de coopération administrative figurant dans la recommandation SOLVIT par le biais de l'IMI, la participation de la Commission aux procédures de coopération administrative et le recours à la facilité prévue pour les participants externes peuvent se poursuivre sur la base des modalités établies avant l'entrée en vigueur du présent règlement. La période visée à l'article 14, paragraphe 1, du présent règlement est de dix-huit mois en ce qui concerne les données à caractère personnel traitées dans l'IMI aux fins de la recommandation SOLVIT.
3. Nonobstant l'article 4, paragraphe 1, du présent règlement, la Commission peut lancer un projet pilote afin d'évaluer si l'IMI est un outil efficace, d'un rapport coût/efficacité satisfaisant, et convivial pour mettre en œuvre l'article 3, paragraphes 4, 5 et 6, de la directive 2000/31/CE du Parlement européen et du Conseil du 8 juin 2000 relative à certains aspects juridiques des services de la société de l'information, et notamment du commerce électronique, dans le marché intérieur (directive sur le commerce électronique) (13). Au plus tard deux ans après le lancement de ce projet pilote, la Commission présente, au Parlement européen et au Conseil, l'évaluation visée à l'article 4, paragraphe 2, du présent règlement, qui porte également sur l'articulation entre la coopération administrative dans le cadre du système de coopération en matière de protection des consommateurs instauré conformément au règlement (CE) no 2006/2004 du Parlement européen et du Conseil du 27 octobre 2004 relatif à la coopération entre les autorités nationales chargées de veiller à l'application de la législation en matière de protection des consommateurs (règlement relatif à la coopération en matière de protection des consommateurs) (14) et dans le cadre de l'IMI.
4. Nonobstant l'article 14, paragraphe 1, du présent règlement, tout délai de dix-huit mois au maximum, arrêté sur la base de l'article 36 de la directive 2006/123/CE, en ce qui concerne la coopération administrative menée en application du chapitre VI de ladite directive continue de s'appliquer dans ce domaine.
Article 30
Entrée en vigueur
Le présent règlement entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l'Union européenne.
Le présent règlement est obligatoire dans tous ses éléments et directement applicable dans tout État membre.
Fait à Strasbourg, le 25 octobre 2012.