РЕШЕНИЕ НА КОМИСИЯТА
от 5 юни 2014 година
относно защитата на личните данни в Европейския портал за електронно правосъдие
(2014/333/ЕС)
ЕВРОПЕЙСКАТА КОМИСИЯ,
като взе предвид Договора за функционирането на Европейския съюз,
след консултация с Европейския надзорен орган по защита на данните,
като има предвид, че:
(1)
В съобщението си от май 2008 г. (1) Комисията заяви, че ще проектира и създаде Европейски портал за електронно правосъдие (оттук нататък „порталът“), който ще се управлява в тясно сътрудничество с държавите членки.
(2)
Многогодишният план за действие в областта на европейското електронно правосъдие за периода 2009-2013 г. (2) от 8 ноември 2008 г. възложи на Европейската комисия създаването на портала. Порталът стартира на 16 юли 2010 г. Приемането на настоящото решение се налага в този момент, тъй като едва сега порталът е готов за първото свързване на националните регистри, включващо обработка на лични данни.
(3)
Порталът има за цел да допринесе за създаването на европейското съдебно пространство чрез улесняване и подобряване на достъпа до правосъдие, както и чрез използване на информационните и комуникационните технологии за улесняване на трансграничните електронни съдебни производства и на съдебното сътрудничество.
(4)
Институциите, органите, службите и агенциите на Европейския съюз, както и държавите членки, когато прилагат правото на Съюза, трябва да зачитат основните права и да спазват принципите, признати от Хартата на основните права на Европейския съюз, и по-специално правото на защита на личните данни, посочено в член 8 от тази Харта.
(5)
Тъй като различните задачи и функции на Комисията и на държавите членки, които са свързани с портала, ще доведат до различни отговорности и задължения по отношение на защитата на данни, е от съществено значение те да бъдат ясно определени.
(6)
В съответствие със специфичния характер на дейностите, свързани с портала за електронно правосъдие, разработени в сътрудничество между Комисията и държавите членки, ролята на Комисията при обработването на лични данни чрез портала е ограничена. Следва да се поясни, че Комисията не носи отговорност за портала е ограничена. Следва да се поясни, че Комисията не носи отговорност за съдържанието на взаимосвързаните национални бази данни, достъпни посредством портала.
(7)
Регламент (ЕО) № 45/2001 на Европейския парламент и на Съвета (3) се прилага към обработването на лични данни от Комисията в портала. В този контекст Комисията отговаря по-конкретно за предоставянето на ИТ инфраструктура за функционирането на портала, както и за взаимното свързване на националните бази данни.
(8)
Съгласно Регламент (ЕО) № 45/2001 целите на обработването на личните данни следва да бъдат изрично посочени. Поради това обработването на лични данни от Комисията в портала следва да се осъществява само ако е насочено към осигуряване на достъп до взаимосвързани национални бази данни, притежаващи лични данни, предоставяне на интерактивни услуги, позволяващи на потребителите да общуват пряко с компетентните органи на друга държава членка, предоставяне на достъп до публична информация, насочена към регистрираните потребители, или предоставяне на данни за контакт.
(9)
Комисията трябва да въведе технологии в системата, които да отразяват концепцията за „защита на данните още при проектирането“. За прилагането на тази концепция оценката на въздействието върху защитата на данните и неприкосновеността на личния живот трябва да се извърши още по време на програмирането на функцията, свързана с обработката на лични данни чрез портала, както и програмирането на други функционални възможности. Тази оценка ще определи потенциалните рискове за защитата на данните. В нея също така ще се определят подходящите мерки и механизми, които да бъдат включени в системата, за да се защитят личните данни.
(10)
Комисията следва да извършва непрекъснати и подходящи оценки на сигурността, доколкото се извършва работа, свързана с взаимното свързване на националните бази данни.
(11)
Чрез портала може да бъде получен достъп само до публично достъпната информация във взаимосвързаните национални бази данни. Посредством портала не трябва да се дава възможност за комбиниране на информация от различни взаимосвързани национални бази данни за различни цели,
ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:
Член 1
Предмет
Настоящото решение определя функциите и отговорностите на Европейската комисия относно изискванията за защита на данните при обработването на лични данни в Европейския портал за електронно правосъдие (наричан по-долу „порталът“).
Член 2
Определения
За целите на настоящото решение се прилагат определенията, посочени в Регламент (ЕО) № 45/2001. В допълнение се прилагат и следните определения:
а)
„участник в европейското електронно правосъдие“ означава всеки представител на държава членка или на организация партньор в европейското електронно правосъдие, който е получил разрешение да изменя (части от) съдържанието на портала;
б)
„взаимосвързани национални бази данни“ означава управлявани от държавите членки и други органи, като например професионални сдружения и организации с нестопанска цел, бази данни, съдържащи публично достъпна информация, които са свързани чрез портала по такъв начин, че чрез него се осигурява достъп до информацията, която е на разположение на национално равнище;
в)
„публично достъпна информация“ означава информация, достъпна за обществеността чрез интернет;
г)
„регистриран потребител“ означава потребител на портала, който се е регистрирал в него посредством Системата на Европейската комисия за автентификация (ECAS) като „участник в европейското електронно правосъдие“.
Член 3
Обработка на данните
Комисията обработва лични данни в портала само доколкото това е необходимо за целите на:
а)
предоставяне на достъп до взаимосвързани национални бази данни, притежаващи лични данни;
б)
предоставяне на интерактивни услуги, които позволяват на регистрираните потребители да се свържат пряко с компетентните органи в друга държава членка;
в)
предоставяне на достъп до публична информация, насочена към регистрираните потребители;
г)
предоставяне на информация за контакт.
Член 4
Отговорности на администратора на лични данни
1. Комисията изпълнява функциите на администратор на лични данни по смисъла на член 2, буква г) от Регламент (ЕО) № 45/2001, в съответствие със съответните си отговорности в рамките на портала, както е посочено в настоящия член.
2. Комисията осигурява достъпността, поддръжката и сигурността на инфраструктурата на информационните технологии на портала.
3. Комисията отговаря за следните операции по обработване:
а)
организация;
б)
разкриване чрез предаване;
в)
разпространяване или друга форма на предоставяне на данните;
г)
подравняване или комбиниране на личните данни, извлечени от взаимосвързани национални бази данни, или на лични данни на регистрирани потребители.
4. Комисията определя необходимите политики и прилага подходящите технически решения, за да изпълни отговорностите си на администратор на данни.
5. Комисията изпълнява техническите мерки, необходими за гарантиране на сигурността на личните данни при преминаването им и по време на представянето им в портала, и по-специално на поверителността и целостта на всяко предаване от и към портала.
6. Комисията не носи отговорност за аспекти, свързани със защитата на данните, отнасящи се до:
а)
първоначалното събиране и съхранение на данни, извлечени от взаимосвързаните национални бази данни;
б)
всяко решение, взето от държавите членки да направят тези данни достъпни чрез портала;
в)
съдържанието на всички данни, извлечени от взаимосвързаните национални бази данни, достъпни посредством портала.
7. Задълженията на Комисията не засягат отговорностите на държавите членки и другите органи по отношение на съдържанието и функционирането на взаимосвързаните национални бази данни, управлявани от тях.
Член 5
Задължения за предоставяне на информация
1. Комисията предоставя на субектите на данни информацията, посочена в членове 11 и 12 от Регламент (ЕО) № 45/2001 по отношение на информацията, за която Комисията носи отговорност съгласно настоящото решение.
2. Независимо от задълженията на държавите членки и другите органи, управляващи взаимосвързаните национални бази данни, към субектите на данните Комисията също предоставя на тези субекти информация относно това към кого могат да се обърнат за ефективното упражняване на правата си на информация, достъп, коригиране и възражение съгласно приложимото законодателство за защита на данните. Комисията се позовава на конкретни декларации за поверителност на държавите членки и другите органи.
3. Комисията също предоставя на разположение в портала:
а)
превод на езиците на портала на декларациите за поверителност на държавите членки, посочени в параграф 2;
б)
ясна и разбираема изчерпателна декларация за поверителност във връзка с портала в съответствие с членове 11 и 12 от Регламент (EО) № 45/2001.
Член 6
Съхраняване на лични данни
1. По отношение на обмена на информация между взаимосвързаните национални бази данни, лични данни, свързани със субектите на данните, не се съхраняват в портала. Всички такива данни се съхраняват в националните бази данни, управлявани от държавите членки или от други органи.
2. Личните данни, отнасящи се до или предоставени от потребители на портала, не се съхраняват в портала, освен в случаите, когато те вече са се записали като регистрирани потребители. Личните данни на регистрираните потребители се съхраняват, докато те отправят искане за заличаване на регистрацията си. В съответствие с член 3 личните данни на участниците в европейското електронно правосъдие или звената за контакт ще бъдат съхранявани само докато тези лица изпълняват своята функция.
Член 7
Дата на влизане в сила
Настоящото решение влиза в сила на 20-ия ден след публикуването му в Официален вестник на Европейския съюз.
Съставено в Брюксел на 5 юни 2014 година.
DECISIONE DELLA COMMISSIONE
del 5 giugno 2014
relativa alla protezione dei dati personali sul Portale europeo della giustizia elettronica
(2014/333/UE)
LA COMMISSIONE EUROPEA,
visto il trattato sul funzionamento dell'Unione europea,
sentito il Garante europeo della protezione dei dati,
considerando quanto segue:
(1)
Nella comunicazione del maggio 2008 (1) la Commissione ha dichiarato che avrebbe lavorato sull'ideazione e sull'allestimento del Portale europeo della giustizia elettronica (in appresso: «Portale»), da gestire in stretto rapporto con gli Stati membri.
(2)
Il piano d'azione pluriennale 2009-2013 in materia di giustizia elettronica europea (2) dell'8 novembre 2008 ha affidato alla Commissione europea l'attuazione del Portale. Detto Portale è stato avviato il 16 luglio 2010. L'adozione della presente decisione si è resa necessaria solo adesso, da quando cioè il Portale è pronto per la prima interconnessione di registri nazionali con conseguente trattamento di dati personali.
(3)
Scopo del Portale è contribuire alla realizzazione dello spazio giudiziario europeo facilitando e migliorando l'accesso alla giustizia e facendo leva sulle tecnologie di informazione e di comunicazione per agevolare i procedimenti giudiziari elettronici transfrontalieri e la cooperazione giudiziaria.
(4)
Quando attuano il diritto dell'Unione, le istituzioni, gli organi, gli uffici e le agenzie dell'Unione europea, così come gli Stati membri, devono rispettare i diritti fondamentali e osservare i principi sanciti dalla Carta dei diritti fondamentali dell'Unione europea, in particolare il diritto alla protezione dei dati di carattere personale di cui all'articolo 8 della Carta.
(5)
Poiché i vari compiti e le varie funzioni che incombono alla Commissione e agli Stati membri relativamente al Portale comporteranno diverse responsabilità e diversi obblighi in termini di protezione dei dati, è fondamentale delimitarli chiaramente.
(6)
Tenuto conto della specifica natura delle attività legate al Portale della giustizia elettronica, frutto di una cooperazione fra la Commissione e gli Stati membri, il ruolo della Commissione nel trattamento dei dati personali nell'ambito del Portale è limitato. Va precisato che la Commissione non è responsabile del contenuto delle banche dati nazionali interconnesse rese disponibili attraverso il Portale.
(7)
Al trattamento dei dati personali da parte della Commissione nell'ambito del Portale si applica il regolamento (CE) n. 45/2001 del Parlamento europeo e del Consiglio (3). La Commissione ha, in particolare, il compito di fornire l'infrastruttura informatica per le funzionalità del Portale, inclusa l'interconnessione delle banche dati nazionali.
(8)
Conformemente al regolamento (CE) n. 45/2001, occorre che le finalità del trattamento dei dati personali siano esplicitamente precisate. Pertanto, il trattamento di dati personali da parte della Commissione nell'ambito del Portale può avvenire solo se serve per fornire un accesso alle banche dati nazionali interconnesse contenenti dati personali, per fornire servizi interattivi che consentano agli utenti di comunicare direttamente con le autorità competenti in un altro Stato membro, per fornire accesso a informazioni pubbliche destinate agli utenti registrati, o per fornire informazioni di contatto.
(9)
La Commissione dovrebbe integrare nel sistema tecnologie che rispecchino il concetto di «protezione dei dati fin dalla progettazione». Ai fini dell'attuazione di tale concetto, in fase di progettazione della funzionalità legata al trattamento dei dati personali nell'ambito del Portale, e di altre funzionalità del Portale, dovrebbe essere effettuata una valutazione dell'impatto sulla protezione della vita privata e dei dati. Tale valutazione permetterà di individuare i potenziali rischi per la tutela dei dati, e di definire inoltre le adeguate misure e garanzie da integrare nel sistema per tutelare i dati personali.
(10)
Occorre che la Commissione proceda a continue ed adeguate valutazioni in materia di sicurezza nella misura in cui vengono effettuate operazioni legate all'interconnessione di banche dati nazionali.
(11)
Sono accessibili attraverso il Portale solo le informazioni pubbliche contenute nelle banche dati nazionali interconnesse. Non deve essere possibile combinare per finalità diverse, attraverso il Portale, informazioni provenienti dalle varie banche dati nazionali interconnesse,
HA ADOTTATO LA PRESENTE DECISIONE:
Articolo 1
Oggetto
La presente decisione definisce le funzioni e le responsabilità della Commissione europea in relazione alle norme sulla protezione dei dati nel trattamento di dati personali nell'ambito del Portale europeo della giustizia elettronica (in appresso: «Portale»).
Articolo 2
Definizioni
Ai fini della presente decisione si applicano le definizioni di cui al regolamento (CE) n. 45/2001. Si applicano inoltre le seguenti definizioni:
a) «operatore della giustizia elettronica europea»: qualsiasi rappresentante di uno Stato membro o di un'organizzazione partner della giustizia elettronica europea autorizzato a modificare il (o parti del) contenuto del Portale;
b) «banche dati nazionali interconnesse»: banche dati contenenti informazioni pubblicamente accessibili, gestite dagli Stati membri e da altri organismi come associazioni professionali e organizzazioni senza scopo di lucro, interconnesse attraverso il Portale in modo che le informazioni disponibili a livello nazionale possano essere consultate dal Portale stesso;
c) «informazioni pubblicamente accessibili»: informazioni accessibili ai cittadini attraverso Internet;
d) «utente registrato»: un utente del Portale, quale ad esempio un «operatore della giustizia elettronica europea», registrato sul Portale attraverso il servizio di autenticazione della Commissione europea (ECAS).
Articolo 3
Trattamento dei dati
La Commissione effettua operazioni di trattamento di dati personali nel Portale solo nella misura in cui ciò è necessario per:
a)
fornire un accesso alle banche dati nazionali interconnesse contenenti dati personali;
b)
fornire servizi interattivi che consentano agli utenti registrati di comunicare direttamente con le autorità competenti in un altro Stato membro;
c)
fornire accesso a informazioni pubbliche destinate agli utenti registrati;
d)
fornire informazioni di contatto.
Articolo 4
Compiti del responsabile del trattamento
1. La Commissione svolge i compiti di responsabile del trattamento ai sensi dell'articolo 2, lettera d), del regolamento (CE) n. 45/2001 conformemente alle responsabilità che le incombono nell'ambito del Portale e di cui al presente articolo.
2. La Commissione garantisce la disponibilità, la manutenzione e la sicurezza dell'infrastruttura informatica del Portale.
3. La Commissione è responsabile delle seguenti operazioni di trattamento:
a)
organizzazione;
b)
comunicazione mediante trasmissione;
c)
diffusione o qualsiasi altra forma di messa a disposizione;
d)
allineamento o combinazione di dati personali estratti da banche dati nazionali interconnesse o di dati personali relativi a utenti registrati.
4. La Commissione definisce le politiche necessarie e applica le adeguate soluzioni tecniche per adempiere alle proprie responsabilità nel quadro della sua funzione di responsabile del trattamento.
5. La Commissione attua le necessarie misure tecniche per garantire la sicurezza dei dati personali nel momento in cui vengono comunicati e quando sono visibili sul Portale, in particolare la riservatezza e l'integrità per ogni trasmissione da e verso il Portale.
6. La Commissione non è responsabile degli aspetti relativi alla protezione dei dati per quanto riguarda:
a)
la raccolta e la conservazione iniziale dei dati estratti dalle banche dati nazionali interconnesse;
b)
le decisioni degli Stati membri di rendere tali dati disponibili attraverso il Portale;
c)
il contenuto dei dati estratti dalle banche dati nazionali interconnesse e resi disponibili attraverso il Portale.
7. Gli obblighi che incombono alla Commissione non incidono sulle responsabilità degli Stati membri e degli altri organismi relative al contenuto e al funzionamento delle banche dati nazionali interconnesse da essi gestite.
Articolo 5
Obblighi di informazione
1. La Commissione fornisce agli interessati i dati di cui agli articoli 11 e 12 del regolamento (CE) n. 45/2001 per quanto riguarda le informazioni di cui essa è responsabile in virtù della presente decisione.
2. Fermi restando gli obblighi verso gli interessati che incombono agli Stati membri e agli altri organismi che gestiscono le banche dati nazionali interconnesse, la Commissione indica agli interessati anche chi contattare ai fini dell'effettivo esercizio dei loro diritti di informazione, accesso, rettifica e opposizione conformemente alla normativa applicabile in materia di protezione dei dati. La Commissione si richiama alle specifiche dichiarazioni sulla protezione dei dati personali degli Stati membri e degli altri organismi.
3. La Commissione rende inoltre disponibili sul Portale:
a)
le traduzioni, nelle lingue del Portale, delle informative sulla privacy degli Stati membri di cui al paragrafo 2;
b)
un'ampia informativa sulla privacy riguardante il Portale, conformemente agli articoli 11 e 12 del regolamento (CE) n. 45/2001, in forma chiara e comprensibile.
Articolo 6
Conservazione dei dati personali
1. Per quanto riguarda gli scambi di informazioni da banche dati nazionali interconnesse, nessun dato personale riguardante gli interessati è conservato sul Portale. Tutti questi dati sono conservati nelle banche dati nazionali gestite dagli Stati membri o da altri organismi.
2. I dati personali relativi agli utenti del Portale o da essi forniti non sono conservati sul Portale, tranne nei casi in cui questi si siano iscritti come utenti registrati. I dati personali degli utenti registrati sono conservati fino a quando questi non chiedano la cancellazione della loro registrazione. Conformemente all'articolo 3, i dati personali relativi agli operatori o ai punti di contatto della giustizia elettronica europea sono conservati solo per il periodo in cui tali persone esercitano le loro funzioni.
Articolo 7
Data d'entrata in vigore
La presente decisione entra il vigore il ventesimo giorno successivo alla sua pubblicazione nella Gazzetta ufficiale dell'Unione europea.
Fatto a Bruxelles, il 5 giugno 2014