РЕШЕНИЕ НА КОМИСИЯТА
от 5 юни 2014 година
относно защитата на личните данни в Европейския портал за електронно правосъдие
(2014/333/ЕС)
ЕВРОПЕЙСКАТА КОМИСИЯ,
като взе предвид Договора за функционирането на Европейския съюз,
след консултация с Европейския надзорен орган по защита на данните,
като има предвид, че:
(1)
В съобщението си от май 2008 г. (1) Комисията заяви, че ще проектира и създаде Европейски портал за електронно правосъдие (оттук нататък „порталът“), който ще се управлява в тясно сътрудничество с държавите членки.
(2)
Многогодишният план за действие в областта на европейското електронно правосъдие за периода 2009-2013 г. (2) от 8 ноември 2008 г. възложи на Европейската комисия създаването на портала. Порталът стартира на 16 юли 2010 г. Приемането на настоящото решение се налага в този момент, тъй като едва сега порталът е готов за първото свързване на националните регистри, включващо обработка на лични данни.
(3)
Порталът има за цел да допринесе за създаването на европейското съдебно пространство чрез улесняване и подобряване на достъпа до правосъдие, както и чрез използване на информационните и комуникационните технологии за улесняване на трансграничните електронни съдебни производства и на съдебното сътрудничество.
(4)
Институциите, органите, службите и агенциите на Европейския съюз, както и държавите членки, когато прилагат правото на Съюза, трябва да зачитат основните права и да спазват принципите, признати от Хартата на основните права на Европейския съюз, и по-специално правото на защита на личните данни, посочено в член 8 от тази Харта.
(5)
Тъй като различните задачи и функции на Комисията и на държавите членки, които са свързани с портала, ще доведат до различни отговорности и задължения по отношение на защитата на данни, е от съществено значение те да бъдат ясно определени.
(6)
В съответствие със специфичния характер на дейностите, свързани с портала за електронно правосъдие, разработени в сътрудничество между Комисията и държавите членки, ролята на Комисията при обработването на лични данни чрез портала е ограничена. Следва да се поясни, че Комисията не носи отговорност за портала е ограничена. Следва да се поясни, че Комисията не носи отговорност за съдържанието на взаимосвързаните национални бази данни, достъпни посредством портала.
(7)
Регламент (ЕО) № 45/2001 на Европейския парламент и на Съвета (3) се прилага към обработването на лични данни от Комисията в портала. В този контекст Комисията отговаря по-конкретно за предоставянето на ИТ инфраструктура за функционирането на портала, както и за взаимното свързване на националните бази данни.
(8)
Съгласно Регламент (ЕО) № 45/2001 целите на обработването на личните данни следва да бъдат изрично посочени. Поради това обработването на лични данни от Комисията в портала следва да се осъществява само ако е насочено към осигуряване на достъп до взаимосвързани национални бази данни, притежаващи лични данни, предоставяне на интерактивни услуги, позволяващи на потребителите да общуват пряко с компетентните органи на друга държава членка, предоставяне на достъп до публична информация, насочена към регистрираните потребители, или предоставяне на данни за контакт.
(9)
Комисията трябва да въведе технологии в системата, които да отразяват концепцията за „защита на данните още при проектирането“. За прилагането на тази концепция оценката на въздействието върху защитата на данните и неприкосновеността на личния живот трябва да се извърши още по време на програмирането на функцията, свързана с обработката на лични данни чрез портала, както и програмирането на други функционални възможности. Тази оценка ще определи потенциалните рискове за защитата на данните. В нея също така ще се определят подходящите мерки и механизми, които да бъдат включени в системата, за да се защитят личните данни.
(10)
Комисията следва да извършва непрекъснати и подходящи оценки на сигурността, доколкото се извършва работа, свързана с взаимното свързване на националните бази данни.
(11)
Чрез портала може да бъде получен достъп само до публично достъпната информация във взаимосвързаните национални бази данни. Посредством портала не трябва да се дава възможност за комбиниране на информация от различни взаимосвързани национални бази данни за различни цели,
ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:
Член 1
Предмет
Настоящото решение определя функциите и отговорностите на Европейската комисия относно изискванията за защита на данните при обработването на лични данни в Европейския портал за електронно правосъдие (наричан по-долу „порталът“).
Член 2
Определения
За целите на настоящото решение се прилагат определенията, посочени в Регламент (ЕО) № 45/2001. В допълнение се прилагат и следните определения:
а)
„участник в европейското електронно правосъдие“ означава всеки представител на държава членка или на организация партньор в европейското електронно правосъдие, който е получил разрешение да изменя (части от) съдържанието на портала;
б)
„взаимосвързани национални бази данни“ означава управлявани от държавите членки и други органи, като например професионални сдружения и организации с нестопанска цел, бази данни, съдържащи публично достъпна информация, които са свързани чрез портала по такъв начин, че чрез него се осигурява достъп до информацията, която е на разположение на национално равнище;
в)
„публично достъпна информация“ означава информация, достъпна за обществеността чрез интернет;
г)
„регистриран потребител“ означава потребител на портала, който се е регистрирал в него посредством Системата на Европейската комисия за автентификация (ECAS) като „участник в европейското електронно правосъдие“.
Член 3
Обработка на данните
Комисията обработва лични данни в портала само доколкото това е необходимо за целите на:
а)
предоставяне на достъп до взаимосвързани национални бази данни, притежаващи лични данни;
б)
предоставяне на интерактивни услуги, които позволяват на регистрираните потребители да се свържат пряко с компетентните органи в друга държава членка;
в)
предоставяне на достъп до публична информация, насочена към регистрираните потребители;
г)
предоставяне на информация за контакт.
Член 4
Отговорности на администратора на лични данни
1. Комисията изпълнява функциите на администратор на лични данни по смисъла на член 2, буква г) от Регламент (ЕО) № 45/2001, в съответствие със съответните си отговорности в рамките на портала, както е посочено в настоящия член.
2. Комисията осигурява достъпността, поддръжката и сигурността на инфраструктурата на информационните технологии на портала.
3. Комисията отговаря за следните операции по обработване:
а)
организация;
б)
разкриване чрез предаване;
в)
разпространяване или друга форма на предоставяне на данните;
г)
подравняване или комбиниране на личните данни, извлечени от взаимосвързани национални бази данни, или на лични данни на регистрирани потребители.
4. Комисията определя необходимите политики и прилага подходящите технически решения, за да изпълни отговорностите си на администратор на данни.
5. Комисията изпълнява техническите мерки, необходими за гарантиране на сигурността на личните данни при преминаването им и по време на представянето им в портала, и по-специално на поверителността и целостта на всяко предаване от и към портала.
6. Комисията не носи отговорност за аспекти, свързани със защитата на данните, отнасящи се до:
а)
първоначалното събиране и съхранение на данни, извлечени от взаимосвързаните национални бази данни;
б)
всяко решение, взето от държавите членки да направят тези данни достъпни чрез портала;
в)
съдържанието на всички данни, извлечени от взаимосвързаните национални бази данни, достъпни посредством портала.
7. Задълженията на Комисията не засягат отговорностите на държавите членки и другите органи по отношение на съдържанието и функционирането на взаимосвързаните национални бази данни, управлявани от тях.
Член 5
Задължения за предоставяне на информация
1. Комисията предоставя на субектите на данни информацията, посочена в членове 11 и 12 от Регламент (ЕО) № 45/2001 по отношение на информацията, за която Комисията носи отговорност съгласно настоящото решение.
2. Независимо от задълженията на държавите членки и другите органи, управляващи взаимосвързаните национални бази данни, към субектите на данните Комисията също предоставя на тези субекти информация относно това към кого могат да се обърнат за ефективното упражняване на правата си на информация, достъп, коригиране и възражение съгласно приложимото законодателство за защита на данните. Комисията се позовава на конкретни декларации за поверителност на държавите членки и другите органи.
3. Комисията също предоставя на разположение в портала:
а)
превод на езиците на портала на декларациите за поверителност на държавите членки, посочени в параграф 2;
б)
ясна и разбираема изчерпателна декларация за поверителност във връзка с портала в съответствие с членове 11 и 12 от Регламент (EО) № 45/2001.
Член 6
Съхраняване на лични данни
1. По отношение на обмена на информация между взаимосвързаните национални бази данни, лични данни, свързани със субектите на данните, не се съхраняват в портала. Всички такива данни се съхраняват в националните бази данни, управлявани от държавите членки или от други органи.
2. Личните данни, отнасящи се до или предоставени от потребители на портала, не се съхраняват в портала, освен в случаите, когато те вече са се записали като регистрирани потребители. Личните данни на регистрираните потребители се съхраняват, докато те отправят искане за заличаване на регистрацията си. В съответствие с член 3 личните данни на участниците в европейското електронно правосъдие или звената за контакт ще бъдат съхранявани само докато тези лица изпълняват своята функция.
Член 7
Дата на влизане в сила
Настоящото решение влиза в сила на 20-ия ден след публикуването му в Официален вестник на Европейския съюз.
Съставено в Брюксел на 5 юни 2014 година.
DÉCISION DE LA COMMISSION
du 5 juin 2014
relative à la protection des données à caractère personnel sur le portail européen e-Justice
(2014/333/UE)
LA COMMISSION EUROPÉENNE,
vu le traité sur le fonctionnement de l'Union européenne,
après consultation du Contrôleur européen de la protection des données,
considérant ce qui suit:
(1)
Dans sa communication de mai 2008 (1), la Commission indiquait qu'elle travaillerait sur la conception et la mise en place du portail e-Justice (ci-après le «portail») dont elle assurerait la gestion en étroite relation avec les États membres.
(2)
Le plan d'action pluriannuel 2009-2013 (2) relatif à l'e-Justice européenne du 8 novembre 2008 prévoyait de charger la Commission européenne de la mise en œuvre du portail. Le lancement du portail a eu lieu le 16 juillet 2010. Les conditions nécessaires pour que la première interconnexion de registres nationaux impliquant un traitement de données à caractère personnel ait lieu dans le cadre du portail étant réunies, l'adoption de la présente décision devient désormais nécessaire.
(3)
L'objectif du portail est de contribuer à la construction de l'espace judiciaire européen en facilitant et en améliorant l'accès à la justice et en rendant les procédures judiciaires électroniques et la coopération judiciaire transfrontières plus aisées grâce aux technologies de l'information et de la communication.
(4)
Lorsqu'ils mettent en œuvre le droit de l'Union, les institutions, les organes, les organismes et les agences de l'Union européenne, ainsi que les États membres, doivent respecter les droits fondamentaux et observer les principes reconnus par la charte des droits fondamentaux de l'Union européenne, notamment le droit à la protection des données à caractère personnel consacré à l'article 8 de ladite charte.
(5)
Étant donné que les différentes tâches et fonctions qui incombent à la Commission et aux États membres dans le cadre du portail vont de pair avec diverses responsabilités et obligations relatives à la protection des données, il convient de les délimiter clairement.
(6)
Compte tenu de la nature spécifique des activités liées au portail e-Justice, qui est le fruit d'une coopération entre la Commission et les États membres, le rôle joué par la Commission dans les opérations de traitement de données à caractère personnel exécutées dans le cadre du portail est limité. Il y a lieu de préciser que la Commission n'est pas responsable du contenu des bases de données nationales interconnectées disponibles par l'intermédiaire du portail.
(7)
Le règlement (CE) no 45/2001 du Parlement européen et du Conseil (3) s'applique aux opérations de traitement de données à caractère personnel effectuées par la Commission dans le cadre du portail. La Commission est chargée, en particulier, de fournir l'infrastructure informatique nécessaire aux fonctionnalités du portail, et notamment à l'interconnexion des bases de données nationales.
(8)
Conformément au règlement (CE) no 45/2001, la finalité du traitement des données à caractère personnel doit être explicitement précisée. Par conséquent, le traitement de données à caractère personnel par la Commission dans le portail doit avoir pour seule finalité la fourniture d'un accès aux bases de données nationales interconnectées contenant des données à caractère personnel, la fourniture de services interactifs permettant aux utilisateurs de communiquer directement avec les autorités compétentes dans un autre État membre, la fourniture d'un accès à des informations publiques destinées aux utilisateurs enregistrés ou la fourniture de coordonnées.
(9)
La Commission devrait intégrer dans le système des technologies fondées sur le concept de la protection des données dès la conception. Lors de la mise en œuvre de ce concept, une analyse d'impact en ce qui concerne la vie privée et la protection des données devrait être réalisée pendant la phase de conception de la fonctionnalité liée au traitement de données à caractère personnel par le portail, et d'autres fonctionnalités du portail. Cette évaluation permettra de recenser les risques éventuels pour la protection des données et également de définir les mesures et garanties que le système devrait comporter pour protéger les données à caractère personnel.
(10)
La Commission devrait procéder à des évaluations de sécurité appropriées continues dès lors que des opérations relatives à l'interconnexion de bases de données nationales sont exécutées.
(11)
Seules les informations publiques qui figurent dans les bases de données nationales interconnectées sont accessibles par l'intermédiaire du portail. Il ne devrait pas être possible de combiner pour des finalités différentes, par l'intermédiaire du portail, des informations provenant de différentes bases de données nationales interconnectées,
A ADOPTÉ LA PRÉSENTE DÉCISION:
Article premier
Objet
La présente décision établit les fonctions et les responsabilités de la Commission européenne en ce qui concerne les exigences relatives à la protection des données dans le cadre du traitement de données à caractère personnel dans le portail européen e-Justice (ci-après le «portail»).
Article 2
Définitions
Aux fins de la présente décision, les définitions énoncées dans le règlement (CE) no 45/2001 sont applicables. En outre, on entend par:
a) «acteur du portail européen e-Justice»: tout représentant d'un État membre ou d'un organisme partenaire du portail européen e-Justice autorisé à modifier (en partie) le contenu du portail;
b) «bases de données nationales interconnectées»: les bases de données contenant des informations accessibles au public, gérées par les États membres et d'autres entités telles que des associations professionnelles et organisations à but non lucratif, qui sont interconnectées par l'intermédiaire du portail de sorte que les informations disponibles au niveau national deviennent accessibles par le portail;
c) «informations accessibles au public»: les informations accessibles au public par l'internet;
d) «utilisateur enregistré»: un utilisateur du portail, tel qu'un «acteur du portail européen e-Justice», qui s'est enregistré sur le portail par l'intermédiaire du service d'authentification de la Commission européenne (ECAS).
Article 3
Traitement des données
La Commission n'effectue des opérations de traitement de données à caractère personnel dans le portail que dans la mesure où cela est nécessaire pour:
a)
fournir un accès aux bases de données nationales interconnectées contenant des données à caractère personnel;
b)
fournir des services interactifs permettant aux utilisateurs enregistrés de communiquer directement avec les autorités compétentes dans un autre État membre;
c)
fournir un accès à des informations publiques destinées aux utilisateurs enregistrés ou
d)
fournir des coordonnées.
Article 4
Fonction de responsable du traitement
1. La Commission exerce la fonction de responsable du traitement en application de l'article 2, point d), du règlement (CE) no 45/2001, conformément aux responsabilités qui lui incombent dans le cadre du portail et qui sont mentionnées dans le présent article.
2. La Commission assure la disponibilité, la maintenance et la sécurité de l'infrastructure informatique du portail.
3. La Commission est responsable des opérations de traitement suivantes:
a)
l'organisation;
b)
la divulgation par transmission;
c)
la diffusion ou la mise à disposition par tout autre moyen;
d)
l'alignement ou la combinaison de données à caractère personnel extraites des bases de données nationales interconnectées ou de données à caractère personnel relatives aux utilisateurs enregistrés.
4. La Commission définit les politiques nécessaires et met en œuvre les solutions techniques appropriées pour s'acquitter des responsabilités qui lui incombent dans le cadre de sa fonction de responsable du traitement.
5. La Commission met en place les mesures techniques requises pour assurer la sécurité des données à caractère personnel pendant leur transit et lors de leur affichage sur le portail, et notamment la confidentialité et l'intégrité de toutes les transmissions en provenance et à destination du portail.
6. La Commission n'est pas responsable des aspects liés à la protection des données à caractère personnel en ce qui concerne:
a)
la collecte et le stockage initiaux des données extraites des bases de données nationales interconnectées;
b)
toute décision prise par les États membres de rendre ces données accessibles par l'intermédiaire du portail;
c)
le contenu des données extraites des bases de données nationales interconnectées rendues accessibles par l'intermédiaire du portail.
7. Les obligations qui incombent à la Commission ne portent pas préjudice aux responsabilités des États membres et des autres entités en ce qui concerne le contenu et l'exploitation des bases de données interconnectées gérées par leurs soins.
Article 5
Obligations en matière d'information
1. La Commission fournit aux personnes concernées les informations énumérées aux articles 11 et 12 du règlement (CE) no 45/2001 en ce qui concerne les informations dont elle est responsable en vertu de la présente décision.
2. Sans préjudice de ses obligations envers les personnes concernées des États membres et d'autres entités gérant les bases de données nationales interconnectées, la Commission indique aussi aux personnes concernées qui contacter pour faire effectivement valoir leurs droits d'information, d'accès, de rectification et d'opposition conformément à la législation applicable en matière de protection des données. La Commission fait référence aux déclarations de confidentialité spécifiques des États membres et des autres entités.
3. La Commission rend aussi disponibles sur le portail:
a)
les traductions, dans les langues du portail, des déclarations de confidentialité des États membres visées au paragraphe 2;
b)
une déclaration complète de confidentialité concernant le portail, conformément aux articles 11 et 12 du règlement (CE) no 45/2001, sous une forme lisible et compréhensible.
Article 6
Stockage des données à caractère personnel
1. En ce qui concerne les échanges d'informations issues de bases de données nationales interconnectées, aucune donnée à caractère personnel relative aux personnes concernées n'est stockée sur le portail. Toutes les données de ce type sont stockées dans les bases de données nationales gérées par les États membres ou d'autres entités.
2. Les données à caractère personnel relatives aux utilisateurs du portail ou fournies par leurs soins ne sont pas stockées sur le portail, sauf lorsque ces utilisateurs se sont enregistrés. Les données à caractère personnel des utilisateurs enregistrés sont stockées jusqu'à ce que ces utilisateurs demandent la suppression de leur enregistrement. Conformément à l'article 3, les données à caractère personnel relatives aux acteurs du portail européen ou aux points de contact e-Justice ne sont stockées que pendant la durée des fonctions de ces personnes.
Article 7
Date d'entrée en vigueur
La présente décision entre en vigueur le vingtième jour suivant sa publication au Journal officiel de l'Union européenne.
Fait à Bruxelles, le 5 juin 2014.