РЕШЕНИЕ НА КОМИСИЯТА
от 5 юни 2014 година
относно защитата на личните данни в Европейския портал за електронно правосъдие
(2014/333/ЕС)
ЕВРОПЕЙСКАТА КОМИСИЯ,
като взе предвид Договора за функционирането на Европейския съюз,
след консултация с Европейския надзорен орган по защита на данните,
като има предвид, че:
(1)
В съобщението си от май 2008 г. (1) Комисията заяви, че ще проектира и създаде Европейски портал за електронно правосъдие (оттук нататък „порталът“), който ще се управлява в тясно сътрудничество с държавите членки.
(2)
Многогодишният план за действие в областта на европейското електронно правосъдие за периода 2009-2013 г. (2) от 8 ноември 2008 г. възложи на Европейската комисия създаването на портала. Порталът стартира на 16 юли 2010 г. Приемането на настоящото решение се налага в този момент, тъй като едва сега порталът е готов за първото свързване на националните регистри, включващо обработка на лични данни.
(3)
Порталът има за цел да допринесе за създаването на европейското съдебно пространство чрез улесняване и подобряване на достъпа до правосъдие, както и чрез използване на информационните и комуникационните технологии за улесняване на трансграничните електронни съдебни производства и на съдебното сътрудничество.
(4)
Институциите, органите, службите и агенциите на Европейския съюз, както и държавите членки, когато прилагат правото на Съюза, трябва да зачитат основните права и да спазват принципите, признати от Хартата на основните права на Европейския съюз, и по-специално правото на защита на личните данни, посочено в член 8 от тази Харта.
(5)
Тъй като различните задачи и функции на Комисията и на държавите членки, които са свързани с портала, ще доведат до различни отговорности и задължения по отношение на защитата на данни, е от съществено значение те да бъдат ясно определени.
(6)
В съответствие със специфичния характер на дейностите, свързани с портала за електронно правосъдие, разработени в сътрудничество между Комисията и държавите членки, ролята на Комисията при обработването на лични данни чрез портала е ограничена. Следва да се поясни, че Комисията не носи отговорност за портала е ограничена. Следва да се поясни, че Комисията не носи отговорност за съдържанието на взаимосвързаните национални бази данни, достъпни посредством портала.
(7)
Регламент (ЕО) № 45/2001 на Европейския парламент и на Съвета (3) се прилага към обработването на лични данни от Комисията в портала. В този контекст Комисията отговаря по-конкретно за предоставянето на ИТ инфраструктура за функционирането на портала, както и за взаимното свързване на националните бази данни.
(8)
Съгласно Регламент (ЕО) № 45/2001 целите на обработването на личните данни следва да бъдат изрично посочени. Поради това обработването на лични данни от Комисията в портала следва да се осъществява само ако е насочено към осигуряване на достъп до взаимосвързани национални бази данни, притежаващи лични данни, предоставяне на интерактивни услуги, позволяващи на потребителите да общуват пряко с компетентните органи на друга държава членка, предоставяне на достъп до публична информация, насочена към регистрираните потребители, или предоставяне на данни за контакт.
(9)
Комисията трябва да въведе технологии в системата, които да отразяват концепцията за „защита на данните още при проектирането“. За прилагането на тази концепция оценката на въздействието върху защитата на данните и неприкосновеността на личния живот трябва да се извърши още по време на програмирането на функцията, свързана с обработката на лични данни чрез портала, както и програмирането на други функционални възможности. Тази оценка ще определи потенциалните рискове за защитата на данните. В нея също така ще се определят подходящите мерки и механизми, които да бъдат включени в системата, за да се защитят личните данни.
(10)
Комисията следва да извършва непрекъснати и подходящи оценки на сигурността, доколкото се извършва работа, свързана с взаимното свързване на националните бази данни.
(11)
Чрез портала може да бъде получен достъп само до публично достъпната информация във взаимосвързаните национални бази данни. Посредством портала не трябва да се дава възможност за комбиниране на информация от различни взаимосвързани национални бази данни за различни цели,
ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:
Член 1
Предмет
Настоящото решение определя функциите и отговорностите на Европейската комисия относно изискванията за защита на данните при обработването на лични данни в Европейския портал за електронно правосъдие (наричан по-долу „порталът“).
Член 2
Определения
За целите на настоящото решение се прилагат определенията, посочени в Регламент (ЕО) № 45/2001. В допълнение се прилагат и следните определения:
а)
„участник в европейското електронно правосъдие“ означава всеки представител на държава членка или на организация партньор в европейското електронно правосъдие, който е получил разрешение да изменя (части от) съдържанието на портала;
б)
„взаимосвързани национални бази данни“ означава управлявани от държавите членки и други органи, като например професионални сдружения и организации с нестопанска цел, бази данни, съдържащи публично достъпна информация, които са свързани чрез портала по такъв начин, че чрез него се осигурява достъп до информацията, която е на разположение на национално равнище;
в)
„публично достъпна информация“ означава информация, достъпна за обществеността чрез интернет;
г)
„регистриран потребител“ означава потребител на портала, който се е регистрирал в него посредством Системата на Европейската комисия за автентификация (ECAS) като „участник в европейското електронно правосъдие“.
Член 3
Обработка на данните
Комисията обработва лични данни в портала само доколкото това е необходимо за целите на:
а)
предоставяне на достъп до взаимосвързани национални бази данни, притежаващи лични данни;
б)
предоставяне на интерактивни услуги, които позволяват на регистрираните потребители да се свържат пряко с компетентните органи в друга държава членка;
в)
предоставяне на достъп до публична информация, насочена към регистрираните потребители;
г)
предоставяне на информация за контакт.
Член 4
Отговорности на администратора на лични данни
1. Комисията изпълнява функциите на администратор на лични данни по смисъла на член 2, буква г) от Регламент (ЕО) № 45/2001, в съответствие със съответните си отговорности в рамките на портала, както е посочено в настоящия член.
2. Комисията осигурява достъпността, поддръжката и сигурността на инфраструктурата на информационните технологии на портала.
3. Комисията отговаря за следните операции по обработване:
а)
организация;
б)
разкриване чрез предаване;
в)
разпространяване или друга форма на предоставяне на данните;
г)
подравняване или комбиниране на личните данни, извлечени от взаимосвързани национални бази данни, или на лични данни на регистрирани потребители.
4. Комисията определя необходимите политики и прилага подходящите технически решения, за да изпълни отговорностите си на администратор на данни.
5. Комисията изпълнява техническите мерки, необходими за гарантиране на сигурността на личните данни при преминаването им и по време на представянето им в портала, и по-специално на поверителността и целостта на всяко предаване от и към портала.
6. Комисията не носи отговорност за аспекти, свързани със защитата на данните, отнасящи се до:
а)
първоначалното събиране и съхранение на данни, извлечени от взаимосвързаните национални бази данни;
б)
всяко решение, взето от държавите членки да направят тези данни достъпни чрез портала;
в)
съдържанието на всички данни, извлечени от взаимосвързаните национални бази данни, достъпни посредством портала.
7. Задълженията на Комисията не засягат отговорностите на държавите членки и другите органи по отношение на съдържанието и функционирането на взаимосвързаните национални бази данни, управлявани от тях.
Член 5
Задължения за предоставяне на информация
1. Комисията предоставя на субектите на данни информацията, посочена в членове 11 и 12 от Регламент (ЕО) № 45/2001 по отношение на информацията, за която Комисията носи отговорност съгласно настоящото решение.
2. Независимо от задълженията на държавите членки и другите органи, управляващи взаимосвързаните национални бази данни, към субектите на данните Комисията също предоставя на тези субекти информация относно това към кого могат да се обърнат за ефективното упражняване на правата си на информация, достъп, коригиране и възражение съгласно приложимото законодателство за защита на данните. Комисията се позовава на конкретни декларации за поверителност на държавите членки и другите органи.
3. Комисията също предоставя на разположение в портала:
а)
превод на езиците на портала на декларациите за поверителност на държавите членки, посочени в параграф 2;
б)
ясна и разбираема изчерпателна декларация за поверителност във връзка с портала в съответствие с членове 11 и 12 от Регламент (EО) № 45/2001.
Член 6
Съхраняване на лични данни
1. По отношение на обмена на информация между взаимосвързаните национални бази данни, лични данни, свързани със субектите на данните, не се съхраняват в портала. Всички такива данни се съхраняват в националните бази данни, управлявани от държавите членки или от други органи.
2. Личните данни, отнасящи се до или предоставени от потребители на портала, не се съхраняват в портала, освен в случаите, когато те вече са се записали като регистрирани потребители. Личните данни на регистрираните потребители се съхраняват, докато те отправят искане за заличаване на регистрацията си. В съответствие с член 3 личните данни на участниците в европейското електронно правосъдие или звената за контакт ще бъдат съхранявани само докато тези лица изпълняват своята функция.
Член 7
Дата на влизане в сила
Настоящото решение влиза в сила на 20-ия ден след публикуването му в Официален вестник на Европейския съюз.
Съставено в Брюксел на 5 юни 2014 година.
DECIZIA COMISIEI
din 5 iunie 2014
privind protecția datelor cu caracter personal în cadrul portalului european e-justiție
(2014/333/UE)
COMISIA EUROPEANĂ,
având în vedere Tratatul privind funcționarea Uniunii Europene,
după consultarea Autorității Europene pentru Protecția Datelor,
întrucât:
(1)
În comunicarea sa din mai 2008 (1), Comisia a declarat că va concepe și realiza portalul european e-justiție (denumit în continuare „portalul”), care urma să fie gestionat în strânsă cooperare cu statele membre.
(2)
Planul de acțiune multianual 2009-2013 privind e-justiția europeană (2) din 8 noiembrie 2008 a încredințat Comisiei Europene sarcina de a realiza portalul. Portalul a fost lansat la 16 iulie 2010. Adoptarea prezentei decizii a devenit necesară abia acum, întrucât portalul este abia acum gata pentru prima interconectare a registrelor naționale, care implică prelucrarea datelor cu caracter personal.
(3)
Portalul urmărește să contribuie la realizarea spațiului judiciar european prin facilitarea și îmbunătățirea accesului la justiție și prin mobilizarea tehnologiilor informației și comunicațiilor, în vederea facilitării procedurilor judiciare electronice transfrontaliere și a cooperării judiciare.
(4)
Atunci când pun în aplicare dreptul european, instituțiile, organismele, birourile și agențiile Uniunii Europene, precum și statele membre trebuie să respecte drepturile fundamentale și principiile recunoscute de Carta drepturilor fundamentale a Uniunii Europene, în special dreptul la protecția datelor cu caracter personal prevăzut la articolul 8 din Cartă.
(5)
Având în vedere că diversele atribuții și funcții ale Comisiei și ale statelor membre în cadrul portalului vor implica diferite responsabilități și obligații în ceea ce privește protecția datelor, este esențial ca acestea să fie delimitate în mod clar.
(6)
Având în vedere natura specifică a activităților legate de portalul e-justiție, rezultată în urma cooperării dintre Comisie și statele membre, rolul Comisiei în ceea ce privește prelucrarea datelor cu caracter personal în cadrul portalului este limitat. Trebuie precizat faptul că, în ceea ce privește conținutul bazelor de date naționale interconectate puse la dispoziție prin intermediul portalului, Comisia nu are nicio responsabilitate.
(7)
Regulamentul (CE) nr. 45/2001 al Parlamentului European și al Consiliului (3) se aplică prelucrării datelor cu caracter personal de către Comisie în cadrul portalului. În acest context, Comisia este responsabilă, în special, pentru asigurarea infrastructurii informatice necesare pentru funcționalitățile portalului, inclusiv a interconectării bazelor naționale de date.
(8)
În conformitate cu Regulamentul (CE) nr. 45/2001, scopul prelucrării datelor cu caracter personal ar trebui specificat în mod explicit. Prin urmare, Comisia ar trebui să prelucreze date cu caracter personal în cadrul portalului numai în măsura în care această acțiune furnizează acces la bazele de date naționale interconectate care conțin date cu caracter personal, oferă servicii interactive care le permit utilizatorilor să comunice direct cu autoritățile competente dintr-un alt stat membru, asigură accesul la informațiile publice destinate utilizatorilor înregistrați sau furnizează date de contact.
(9)
Comisia ar trebui să introducă în sistem tehnologii care reflectă conceptul de „protecția datelor începând cu momentul conceperii”. În punerea în aplicare a acestui concept, o evaluare a impactului în ceea ce privește confidențialitatea și protecția datelor ar trebui efectuată în faza de proiectare a funcționalității asociate cu prelucrarea datelor cu caracter personal prin intermediul portalului și a altor funcționalități ale portalului. Evaluarea ar urma să identifice potențialele riscuri legate de protecția datelor. În același timp, ar urma să stabilească acțiunile și măsurile de protecție adecvate care să fie încorporate în sistemul de protecție a datelor cu caracter personal.
(10)
Comisia ar trebui să efectueze evaluări de securitate continue și adecvate pe toată durata desfășurării operațiunilor legate de interconectarea bazelor naționale.
(11)
Numai informațiile publice disponibile în bazele de date naționale interconectate pot fi accesate prin intermediul portalului. Nu ar trebui să fie posibilă combinarea, prin intermediul portalului, a informațiilor provenind din baze de date naționale interconectate diferite, pentru scopuri diferite,
ADOPTĂ PREZENTA DECIZIE:
Articolul 1
Obiect
Prezenta decizie stabilește atribuțiile și responsabilitățile Comisiei Europene în ceea ce privește cerințele privind protecția datelor cu caracter personal în contextul prelucrării datelor cu caracter personal în cadrul portalului european e-justiție (denumit în continuare „portalul”).
Articolul 2
Definiții
În sensul prezentei decizii, se aplică definițiile prevăzute în Regulamentul (CE) nr. 45/2001. În plus, se aplică și următoarele definiții:
(a)
„actor al portalului european e-justiție” înseamnă orice reprezentant al unui stat membru sau al unei organizații partenere a portalului european e-justiție care a primit autorizația de a modifica (anumite părți din) conținutul portalului;
(b)
„bazele de date naționale interconectate” înseamnă bazele de date care conțin informații accesibile publicului, gestionate de statele membre și de alte organisme precum asociațiile profesionale și organizațiile nonprofit, care sunt interconectate prin intermediul portalului, astfel încât informațiile disponibile la nivel național să poată fi accesate prin intermediul portalului;
(c)
„informații accesibile publicului” înseamnă informațiile care sunt accesibile publicului prin internet;
(d)
„utilizator înregistrat” înseamnă un utilizator care s-a înregistrat pe portal prin serviciul de autentificare al Comisiei Europene (ECAS), cum ar fi un „actor al portalului european e-justiție”.
Articolul 3
Prelucrarea datelor
Comisia prelucrează datele cu caracter personal în cadrul portalului numai în măsura în care acest lucru este necesar în următoarele scopuri:
(a)
pentru a asigura accesul la bazele de date naționale interconectate care dețin date cu caracter personal;
(b)
pentru a furniza servicii interactive care să le permită utilizatorilor înregistrați să comunice direct cu autoritățile competente dintr-un alt stat membru;
(c)
pentru a asigura accesul la informațiile publice orientate către utilizatorii înregistrați;
(d)
pentru a furniza date de contact.
Articolul 4
Responsabilitățile operatorului de date
(1) Comisia exercită responsabilitățile de operator de date în conformitate cu articolul 2 litera (d) din Regulamentul (CE) nr. 45/2001, în conformitate cu propriile responsabilități în cadrul portalului, astfel cum sunt menționate în prezentul articol.
(2) Comisia asigură disponibilitatea, întreținerea și securitatea infrastructurii IT a portalului.
(3) Comisia este responsabilă pentru următoarele operațiuni de prelucrare:
(a)
organizare;
(b)
dezvăluire prin transmitere;
(c)
diseminarea sau punerea la dispoziție în orice alt mod;
(d)
alinierea sau combinarea datelor cu caracter personal derivate din bazele de date naționale interconectate sau a datelor cu caracter personal privind utilizatorii înregistrați.
(4) Comisia definește politicile necesare și aplică soluțiile tehnice adecvate pentru a-și îndeplini responsabilitățile care îi revin în calitate de operator de date.
(5) Comisia pune în aplicare măsurile tehnice necesare pentru a asigura securitatea datelor cu caracter personal pe durata tranzitului acestora și a afișării lor pe portal, în special confidențialitatea și integritatea în cadrul oricărei operațiuni de transmitere către și dinspre portal.
(6) Comisia nu este responsabilă pentru niciun aspect legat de protecția datelor cu privire la:
(a)
colectarea inițială și stocarea oricăror date derivate din bazele de date naționale interconectate;
(b)
orice decizie a statelor membre de a pune astfel de date la dispoziție prin intermediul portalului;
(c)
conținutul oricăror date derivate din bazele naționale de date interconectate puse la dispoziție prin intermediul portalului.
(7) Obligațiile Comisiei nu aduc atingere responsabilităților statelor membre și ale altor organisme pentru conținutul și funcționarea bazelor de date naționale interconectate gestionate de acestea.
Articolul 5
Obligații de informare
(1) Comisia oferă persoanelor vizate informațiile menționate la articolele 11 și 12 din Regulamentul (CE) nr. 45/2001 cu privire la informațiile pentru care Comisia este responsabilă în temeiul prezentei decizii.
(2) Fără să aducă atingere obligațiilor pe care le au față de persoanele vizate statele membre și alte organisme care administrează bazele de date naționale interconectate, Comisia furnizează, de asemenea, persoanelor vizate informații cu privire la persoanele pe care le pot contacta pentru a-și exercita efectiv drepturile la informare, acces, rectificare și opoziție, în conformitate cu legislația aplicabilă privind protecția datelor. Comisia trimite la declarațiile specifice de confidențialitate ale statelor membre și ale altor organisme.
(3) De asemenea, Comisia pune la dispoziție pe portal:
(a)
traducerile, în limbile portalului, ale declarațiilor de confidențialitate ale statelor membre, menționate la alineatul (2);
(b)
o declarație de confidențialitate detaliată referitoare la portal, în conformitate cu articolele 11 și 12 din Regulamentul (CE) nr. 45/2001, într-o formă clară și ușor de înțeles.
Articolul 6
Stocarea datelor cu caracter personal
(1) În ceea ce privește schimburile de informații între bazele de date naționale interconectate, nicio dată cu caracter personal privind persoanele vizate nu se stochează în cadrul portalului. Toate aceste date se stochează în bazele de date gestionate de statele membre sau de alte organisme.
(2) Datele cu caracter personal furnizate de utilizatorii portalului sau referitoare la aceștia nu se stochează în cadrul portalului, cu excepția cazurilor în care utilizatorii respectivi au solicitat să devină utilizatori înregistrați. Datele cu caracter personal ale utilizatorilor înregistrați se păstrează până când aceștia solicită să renunțe la statutul de utilizator înregistrat. În conformitate cu articolul 3, datele cu caracter personal ale actorilor portalului european e-justiție și ale persoanelor de contact se vor stoca doar pe durata îndeplinirii funcțiilor respective.
Articolul 7
Data intrării în vigoare
Prezenta decizie intră în vigoare în a douăzecea zi de la data publicării în Jurnalul Oficial al Uniunii Europene.
Adoptată la Bruxelles, 5 iunie 2014.