ROZHODNUTÍ KOMISE
ze dne 5. června 2014
o ochraně osobních údajů v portálu evropské e-justice
(2014/333/EU)
EVROPSKÁ KOMISE,
s ohledem na Smlouvu o fungování Evropské unie,
po konzultaci s evropským inspektorem ochrany údajů,
vzhledem k těmto důvodům:
(1)
Ve svém sdělení z května 2008 (1) Komise uvedla, že bude pracovat na konceptu a zprovoznění portálu evropské e-justice (dále jen „portál“), jehož řízení se ujme v úzké spolupráci s členskými státy.
(2)
Víceletý akční plán v oblasti evropské e-justice na období let 2009-2013 (2) ze dne 8. listopadu 2008 pověřil realizací portálu Evropskou komisi. Portál byl spuštěn dne 16. července 2010. Vzhledem k tomu, že portál je teprve nyní připraven na první propojení vnitrostátních rejstříků, jež obnáší zpracování osobních údajů, stalo se přijetí tohoto rozhodnutí nezbytným až za současné situace.
(3)
Cílem portálu je přispět k realizaci evropského soudního prostoru, a to usnadněním a podporou přístupu ke spravedlnosti a posílení informačních a komunikačních technologií, jež mají usnadnit přeshraniční elektronické soudní řízení a justiční spolupráci.
(4)
Orgány, subjekty, úřady a agentury Evropské unie stejně jako členské státy musí při provádění právních předpisů Unie ctít základní práva a dodržovat zásady uznané Listinou základních práv Evropské unie, zejména právo na ochranu osobních údajů stanovené v článku 8 uvedené listiny.
(5)
Vzhledem k tomu, že řada rozmanitých úkolů a funkcí Komise a členských států týkající se portálu obnáší rozličné povinnosti a závazky, pokud jde o ochranu údajů, je nezbytné, aby tyto byly jasně vymezeny.
(6)
S ohledem na zvláštní povahu činností souvisejících s portálem e-justice, vytvořených na základě spolupráce mezi Komisí a členskými státy, je úloha Komise při zpracování osobních údajů prostřednictvím portálu omezená. Je třeba upřesnit, že Komise nenese žádnou odpovědnost za obsah vzájemně propojených vnitrostátních databází, který je prostřednictvím portálu dostupný.
(7)
Zpracovávání osobních údajů Komisí v rámci portálu se řídí nařízením Evropského parlamentu a Rady (ES) č. 45/2001 (3). V této souvislosti je Komise zejména odpovědná za poskytování infrastruktury IT pro funkce portálu, včetně propojení vnitrostátních databází.
(8)
V souladu s nařízením (ES) č. 45/2001 by mělo být výslovně uvedeno, pro jaké účely se osobní údaje zpracovávají. Komise by tudíž měla osobní údaje v rámci portálu zpracovávat pouze za účelem poskytnutí přístupu k vzájemně propojeným vnitrostátním databázím s osobními údaji, poskytnutí interaktivních služeb umožňujícím uživatelům komunikovat přímo s příslušnými orgány v jiném členském státě, poskytnutí přístupu k veřejným informacím pro registrované uživatele nebo poskytnutí kontaktních údajů.
(9)
Komise by se měla opřít o systémové technologie, které zohledňují koncepci „ochrany údajů již od návrhu“. Při uplatňování této koncepce by mělo být při návrhu funkce spojené se zpracováním osobních údajů prostřednictvím portálu, jakož i jiných funkcí portálu, provedeno posouzení dopadů na ochranu soukromí a osobních údajů. Toto posouzení určí potenciální rizika v souvislosti s ochranou údajů. Rovněž uvede vhodná opatření a záruky, které mají být začleněny do systému ochrany osobních údajů.
(10)
Při provádění činností souvisejících s propojením vnitrostátních databází by Komise měla nepřetržitě a náležitě posuzovat bezpečnost.
(11)
Prostřednictvím portálu mohou být dostupné pouze informace, které jsou v propojených vnitrostátních databázích veřejně přístupné. Portál by neměl umožňovat, aby byly pro různé účely kombinovány údaje z různých vzájemně propojených vnitrostátních databází,
PŘIJALA TOTO ROZHODNUTÍ:
Článek 1
Předmět
Toto rozhodnutí stanoví funkce a povinnosti Evropské komise v souvislosti s požadavky na ochranu údajů při zpracovávání osobních údajů v rámci evropského portálu e-justice (dále jen „portál“).
Článek 2
Definice
Pro účely tohoto rozhodnutí se použijí definice stanovené nařízením (ES) č. 45/2001. Vedle toho se rozumí:
a)
„účastníkem evropské e-justice“ každý zástupce členského státu nebo partnerské organizace evropské e-justice, jemuž bylo uděleno povolení měnit obsah portálu (jeho částí);
b)
„vzájemně propojenými vnitrostátními databázemi“ databáze, které obsahují veřejně přístupné informace, provozované členskými státy a jinými subjekty, jako jsou profesní sdružení a neziskové organizace, které jsou propojeny prostřednictvím portálu tak, že informace přístupné na vnitrostátní úrovni jsou dostupné přes portál;
c)
„veřejně přístupnými informacemi“ informace, které jsou přístupné veřejnosti prostřednictvím internetu;
d)
„registrovaným uživatelem“ uživatel portálu, který se v portálu registroval prostřednictvím ověřovací služby Evropské komise (ECAS), např. jako „účastník evropské e-justice“.
Článek 3
Zpracovávání údajů
Komise zpracovává osobní údaje v rámci portálu pouze v rozsahu nezbytném pro účely:
a)
poskytnutí přístupu k vzájemně propojeným vnitrostátním databázím obsahujícím osobní údaje;
b)
poskytnutí interaktivních služeb, které registrovaným uživatelům umožní přímo komunikovat s příslušnými orgány v jiném členském státě;
c)
zajištění přístupu k veřejně dostupným informacím pro registrované uživatele;
d)
poskytnutí kontaktních údajů.
Článek 4
Povinnosti správce údajů
1. Komise vykonává své povinnosti správce údajů podle čl. 2 písm. d) nařízení (ES) č. 45/2001 v souladu se svými příslušnými povinnostmi v rámci portálu, jak je uvedeno v tomto článku.
2. Komise zajistí dostupnost, údržbu a bezpečnost infrastruktury IT portálu.
3. Komise odpovídá za tyto úkony související se zpracováním osobních údajů:
a)
uspořádávání;
b)
sdělení prostřednictvím přenosu;
c)
šíření nebo jakékoli jiné zpřístupnění;
d)
srovnávání či kombinování osobních údajů z propojených vnitrostátních databází nebo osobních údajů týkajících se registrovaných uživatelů.
4. Za účelem plnění svých povinností jakožto správce údajů Komise vymezí potřebné politiky a uplatní vhodná technická řešení.
5. Komise provádí technická opatření nutná k zajištění bezpečnosti při přenosu osobních údajů a jejich zobrazení na portálu, zejména důvěrnosti a integrity při jakémkoli jejich přenosu do portálu a z něj.
6. Komise nenese odpovědnost za žádný z aspektů ochrany údajů, které se týkají:
a)
počátečního shromažďování a uchovávání údajů z propojených vnitrostátních databází;
b)
jakýchkoli rozhodnutí přijatých členskými státy o zpřístupnění takových údajů prostřednictvím portálu;
c)
obsahu jakéhokoli údaje z vzájemně propojených vnitrostátních databází, který je dostupný prostřednictvím portálu.
7. Povinnostmi Komise není dotčena odpovědnost členských států a jiných subjektů za obsah a provoz propojených vnitrostátních databází, které spravují.
Článek 5
Informační povinnosti
1. Komise poskytne subjektům údajů informace uvedené v článcích 11 a 12 nařízení (ES) č. 45/2001, pokud jde o poskytování informací, za něž Komise podle tohoto rozhodnutí odpovídá.
2. Aniž jsou dotčeny její povinnosti vůči subjektům údajů členských států a jiných subjektů působících v rámci propojených vnitrostátních databází, Komise rovněž informuje subjekty údajů o tom, na koho se obrátit, aby mohly účinně využít svého práva na informace, na přístup, na opravu a na námitku podle příslušných právních předpisů na ochranu údajů. Komise odkáže na prohlášení o ochraně osobních údajů členských států a jiných orgánů.
3. Komise na portálu rovněž zpřístupní:
a)
překlady prohlášení členských států o ochraně osobních údajů, jak je uvedeno v odstavci 2, do příslušných jazyků portálu;
b)
ucelené prohlášení o ochraně osobních údajů týkající se portálu v souladu s články 11 a 12 nařízení (ES) č. 45/2001 v jasné a srozumitelné podobě.
Článek 6
Uchovávání osobních údajů
1. Pokud jde o výměnu informací z propojených vnitrostátních databází, žádné osobní údaje týkající se subjektů údajů nesmějí být na portálu uchovávány. Veškeré takové údaje se uchovávají ve vnitrostátních databázích provozovaných členskými státy nebo jinými subjekty.
2. Osobní údaje týkající se uživatelů portálu nebo osobní údaje jimi poskytované nesmějí být na portálu uchovávány, kromě případů, kdy se tito uživatelé přihlásili jako registrovaní uživatelé. Osobní údaje registrovaných uživatelů se uchovávají tak dlouho, dokud registrovaný uživatel nepožádá o zrušení své registrace. V souladu s článkem 3 se osobní údaje týkající se účastníků nebo kontaktních osob evropské e-justice uchovávají pouze po dobu, po kterou tyto osoby vykonávají svou funkci.
Článek 7
Datum použitelnosti
Toto rozhodnutí vstupuje v platnost dvacátým dnem po zveřejnění v Úředním věstníku Evropské unie.
V Bruselu dne 5. června 2014.
DECISIONE DELLA COMMISSIONE
del 5 giugno 2014
relativa alla protezione dei dati personali sul Portale europeo della giustizia elettronica
(2014/333/UE)
LA COMMISSIONE EUROPEA,
visto il trattato sul funzionamento dell'Unione europea,
sentito il Garante europeo della protezione dei dati,
considerando quanto segue:
(1)
Nella comunicazione del maggio 2008 (1) la Commissione ha dichiarato che avrebbe lavorato sull'ideazione e sull'allestimento del Portale europeo della giustizia elettronica (in appresso: «Portale»), da gestire in stretto rapporto con gli Stati membri.
(2)
Il piano d'azione pluriennale 2009-2013 in materia di giustizia elettronica europea (2) dell'8 novembre 2008 ha affidato alla Commissione europea l'attuazione del Portale. Detto Portale è stato avviato il 16 luglio 2010. L'adozione della presente decisione si è resa necessaria solo adesso, da quando cioè il Portale è pronto per la prima interconnessione di registri nazionali con conseguente trattamento di dati personali.
(3)
Scopo del Portale è contribuire alla realizzazione dello spazio giudiziario europeo facilitando e migliorando l'accesso alla giustizia e facendo leva sulle tecnologie di informazione e di comunicazione per agevolare i procedimenti giudiziari elettronici transfrontalieri e la cooperazione giudiziaria.
(4)
Quando attuano il diritto dell'Unione, le istituzioni, gli organi, gli uffici e le agenzie dell'Unione europea, così come gli Stati membri, devono rispettare i diritti fondamentali e osservare i principi sanciti dalla Carta dei diritti fondamentali dell'Unione europea, in particolare il diritto alla protezione dei dati di carattere personale di cui all'articolo 8 della Carta.
(5)
Poiché i vari compiti e le varie funzioni che incombono alla Commissione e agli Stati membri relativamente al Portale comporteranno diverse responsabilità e diversi obblighi in termini di protezione dei dati, è fondamentale delimitarli chiaramente.
(6)
Tenuto conto della specifica natura delle attività legate al Portale della giustizia elettronica, frutto di una cooperazione fra la Commissione e gli Stati membri, il ruolo della Commissione nel trattamento dei dati personali nell'ambito del Portale è limitato. Va precisato che la Commissione non è responsabile del contenuto delle banche dati nazionali interconnesse rese disponibili attraverso il Portale.
(7)
Al trattamento dei dati personali da parte della Commissione nell'ambito del Portale si applica il regolamento (CE) n. 45/2001 del Parlamento europeo e del Consiglio (3). La Commissione ha, in particolare, il compito di fornire l'infrastruttura informatica per le funzionalità del Portale, inclusa l'interconnessione delle banche dati nazionali.
(8)
Conformemente al regolamento (CE) n. 45/2001, occorre che le finalità del trattamento dei dati personali siano esplicitamente precisate. Pertanto, il trattamento di dati personali da parte della Commissione nell'ambito del Portale può avvenire solo se serve per fornire un accesso alle banche dati nazionali interconnesse contenenti dati personali, per fornire servizi interattivi che consentano agli utenti di comunicare direttamente con le autorità competenti in un altro Stato membro, per fornire accesso a informazioni pubbliche destinate agli utenti registrati, o per fornire informazioni di contatto.
(9)
La Commissione dovrebbe integrare nel sistema tecnologie che rispecchino il concetto di «protezione dei dati fin dalla progettazione». Ai fini dell'attuazione di tale concetto, in fase di progettazione della funzionalità legata al trattamento dei dati personali nell'ambito del Portale, e di altre funzionalità del Portale, dovrebbe essere effettuata una valutazione dell'impatto sulla protezione della vita privata e dei dati. Tale valutazione permetterà di individuare i potenziali rischi per la tutela dei dati, e di definire inoltre le adeguate misure e garanzie da integrare nel sistema per tutelare i dati personali.
(10)
Occorre che la Commissione proceda a continue ed adeguate valutazioni in materia di sicurezza nella misura in cui vengono effettuate operazioni legate all'interconnessione di banche dati nazionali.
(11)
Sono accessibili attraverso il Portale solo le informazioni pubbliche contenute nelle banche dati nazionali interconnesse. Non deve essere possibile combinare per finalità diverse, attraverso il Portale, informazioni provenienti dalle varie banche dati nazionali interconnesse,
HA ADOTTATO LA PRESENTE DECISIONE:
Articolo 1
Oggetto
La presente decisione definisce le funzioni e le responsabilità della Commissione europea in relazione alle norme sulla protezione dei dati nel trattamento di dati personali nell'ambito del Portale europeo della giustizia elettronica (in appresso: «Portale»).
Articolo 2
Definizioni
Ai fini della presente decisione si applicano le definizioni di cui al regolamento (CE) n. 45/2001. Si applicano inoltre le seguenti definizioni:
a) «operatore della giustizia elettronica europea»: qualsiasi rappresentante di uno Stato membro o di un'organizzazione partner della giustizia elettronica europea autorizzato a modificare il (o parti del) contenuto del Portale;
b) «banche dati nazionali interconnesse»: banche dati contenenti informazioni pubblicamente accessibili, gestite dagli Stati membri e da altri organismi come associazioni professionali e organizzazioni senza scopo di lucro, interconnesse attraverso il Portale in modo che le informazioni disponibili a livello nazionale possano essere consultate dal Portale stesso;
c) «informazioni pubblicamente accessibili»: informazioni accessibili ai cittadini attraverso Internet;
d) «utente registrato»: un utente del Portale, quale ad esempio un «operatore della giustizia elettronica europea», registrato sul Portale attraverso il servizio di autenticazione della Commissione europea (ECAS).
Articolo 3
Trattamento dei dati
La Commissione effettua operazioni di trattamento di dati personali nel Portale solo nella misura in cui ciò è necessario per:
a)
fornire un accesso alle banche dati nazionali interconnesse contenenti dati personali;
b)
fornire servizi interattivi che consentano agli utenti registrati di comunicare direttamente con le autorità competenti in un altro Stato membro;
c)
fornire accesso a informazioni pubbliche destinate agli utenti registrati;
d)
fornire informazioni di contatto.
Articolo 4
Compiti del responsabile del trattamento
1. La Commissione svolge i compiti di responsabile del trattamento ai sensi dell'articolo 2, lettera d), del regolamento (CE) n. 45/2001 conformemente alle responsabilità che le incombono nell'ambito del Portale e di cui al presente articolo.
2. La Commissione garantisce la disponibilità, la manutenzione e la sicurezza dell'infrastruttura informatica del Portale.
3. La Commissione è responsabile delle seguenti operazioni di trattamento:
a)
organizzazione;
b)
comunicazione mediante trasmissione;
c)
diffusione o qualsiasi altra forma di messa a disposizione;
d)
allineamento o combinazione di dati personali estratti da banche dati nazionali interconnesse o di dati personali relativi a utenti registrati.
4. La Commissione definisce le politiche necessarie e applica le adeguate soluzioni tecniche per adempiere alle proprie responsabilità nel quadro della sua funzione di responsabile del trattamento.
5. La Commissione attua le necessarie misure tecniche per garantire la sicurezza dei dati personali nel momento in cui vengono comunicati e quando sono visibili sul Portale, in particolare la riservatezza e l'integrità per ogni trasmissione da e verso il Portale.
6. La Commissione non è responsabile degli aspetti relativi alla protezione dei dati per quanto riguarda:
a)
la raccolta e la conservazione iniziale dei dati estratti dalle banche dati nazionali interconnesse;
b)
le decisioni degli Stati membri di rendere tali dati disponibili attraverso il Portale;
c)
il contenuto dei dati estratti dalle banche dati nazionali interconnesse e resi disponibili attraverso il Portale.
7. Gli obblighi che incombono alla Commissione non incidono sulle responsabilità degli Stati membri e degli altri organismi relative al contenuto e al funzionamento delle banche dati nazionali interconnesse da essi gestite.
Articolo 5
Obblighi di informazione
1. La Commissione fornisce agli interessati i dati di cui agli articoli 11 e 12 del regolamento (CE) n. 45/2001 per quanto riguarda le informazioni di cui essa è responsabile in virtù della presente decisione.
2. Fermi restando gli obblighi verso gli interessati che incombono agli Stati membri e agli altri organismi che gestiscono le banche dati nazionali interconnesse, la Commissione indica agli interessati anche chi contattare ai fini dell'effettivo esercizio dei loro diritti di informazione, accesso, rettifica e opposizione conformemente alla normativa applicabile in materia di protezione dei dati. La Commissione si richiama alle specifiche dichiarazioni sulla protezione dei dati personali degli Stati membri e degli altri organismi.
3. La Commissione rende inoltre disponibili sul Portale:
a)
le traduzioni, nelle lingue del Portale, delle informative sulla privacy degli Stati membri di cui al paragrafo 2;
b)
un'ampia informativa sulla privacy riguardante il Portale, conformemente agli articoli 11 e 12 del regolamento (CE) n. 45/2001, in forma chiara e comprensibile.
Articolo 6
Conservazione dei dati personali
1. Per quanto riguarda gli scambi di informazioni da banche dati nazionali interconnesse, nessun dato personale riguardante gli interessati è conservato sul Portale. Tutti questi dati sono conservati nelle banche dati nazionali gestite dagli Stati membri o da altri organismi.
2. I dati personali relativi agli utenti del Portale o da essi forniti non sono conservati sul Portale, tranne nei casi in cui questi si siano iscritti come utenti registrati. I dati personali degli utenti registrati sono conservati fino a quando questi non chiedano la cancellazione della loro registrazione. Conformemente all'articolo 3, i dati personali relativi agli operatori o ai punti di contatto della giustizia elettronica europea sono conservati solo per il periodo in cui tali persone esercitano le loro funzioni.
Articolo 7
Data d'entrata in vigore
La presente decisione entra il vigore il ventesimo giorno successivo alla sua pubblicazione nella Gazzetta ufficiale dell'Unione europea.
Fatto a Bruxelles, il 5 giugno 2014