ROZHODNUTÍ KOMISE
ze dne 5. června 2014
o ochraně osobních údajů v portálu evropské e-justice
(2014/333/EU)
EVROPSKÁ KOMISE,
s ohledem na Smlouvu o fungování Evropské unie,
po konzultaci s evropským inspektorem ochrany údajů,
vzhledem k těmto důvodům:
(1)
Ve svém sdělení z května 2008 (1) Komise uvedla, že bude pracovat na konceptu a zprovoznění portálu evropské e-justice (dále jen „portál“), jehož řízení se ujme v úzké spolupráci s členskými státy.
(2)
Víceletý akční plán v oblasti evropské e-justice na období let 2009-2013 (2) ze dne 8. listopadu 2008 pověřil realizací portálu Evropskou komisi. Portál byl spuštěn dne 16. července 2010. Vzhledem k tomu, že portál je teprve nyní připraven na první propojení vnitrostátních rejstříků, jež obnáší zpracování osobních údajů, stalo se přijetí tohoto rozhodnutí nezbytným až za současné situace.
(3)
Cílem portálu je přispět k realizaci evropského soudního prostoru, a to usnadněním a podporou přístupu ke spravedlnosti a posílení informačních a komunikačních technologií, jež mají usnadnit přeshraniční elektronické soudní řízení a justiční spolupráci.
(4)
Orgány, subjekty, úřady a agentury Evropské unie stejně jako členské státy musí při provádění právních předpisů Unie ctít základní práva a dodržovat zásady uznané Listinou základních práv Evropské unie, zejména právo na ochranu osobních údajů stanovené v článku 8 uvedené listiny.
(5)
Vzhledem k tomu, že řada rozmanitých úkolů a funkcí Komise a členských států týkající se portálu obnáší rozličné povinnosti a závazky, pokud jde o ochranu údajů, je nezbytné, aby tyto byly jasně vymezeny.
(6)
S ohledem na zvláštní povahu činností souvisejících s portálem e-justice, vytvořených na základě spolupráce mezi Komisí a členskými státy, je úloha Komise při zpracování osobních údajů prostřednictvím portálu omezená. Je třeba upřesnit, že Komise nenese žádnou odpovědnost za obsah vzájemně propojených vnitrostátních databází, který je prostřednictvím portálu dostupný.
(7)
Zpracovávání osobních údajů Komisí v rámci portálu se řídí nařízením Evropského parlamentu a Rady (ES) č. 45/2001 (3). V této souvislosti je Komise zejména odpovědná za poskytování infrastruktury IT pro funkce portálu, včetně propojení vnitrostátních databází.
(8)
V souladu s nařízením (ES) č. 45/2001 by mělo být výslovně uvedeno, pro jaké účely se osobní údaje zpracovávají. Komise by tudíž měla osobní údaje v rámci portálu zpracovávat pouze za účelem poskytnutí přístupu k vzájemně propojeným vnitrostátním databázím s osobními údaji, poskytnutí interaktivních služeb umožňujícím uživatelům komunikovat přímo s příslušnými orgány v jiném členském státě, poskytnutí přístupu k veřejným informacím pro registrované uživatele nebo poskytnutí kontaktních údajů.
(9)
Komise by se měla opřít o systémové technologie, které zohledňují koncepci „ochrany údajů již od návrhu“. Při uplatňování této koncepce by mělo být při návrhu funkce spojené se zpracováním osobních údajů prostřednictvím portálu, jakož i jiných funkcí portálu, provedeno posouzení dopadů na ochranu soukromí a osobních údajů. Toto posouzení určí potenciální rizika v souvislosti s ochranou údajů. Rovněž uvede vhodná opatření a záruky, které mají být začleněny do systému ochrany osobních údajů.
(10)
Při provádění činností souvisejících s propojením vnitrostátních databází by Komise měla nepřetržitě a náležitě posuzovat bezpečnost.
(11)
Prostřednictvím portálu mohou být dostupné pouze informace, které jsou v propojených vnitrostátních databázích veřejně přístupné. Portál by neměl umožňovat, aby byly pro různé účely kombinovány údaje z různých vzájemně propojených vnitrostátních databází,
PŘIJALA TOTO ROZHODNUTÍ:
Článek 1
Předmět
Toto rozhodnutí stanoví funkce a povinnosti Evropské komise v souvislosti s požadavky na ochranu údajů při zpracovávání osobních údajů v rámci evropského portálu e-justice (dále jen „portál“).
Článek 2
Definice
Pro účely tohoto rozhodnutí se použijí definice stanovené nařízením (ES) č. 45/2001. Vedle toho se rozumí:
a)
„účastníkem evropské e-justice“ každý zástupce členského státu nebo partnerské organizace evropské e-justice, jemuž bylo uděleno povolení měnit obsah portálu (jeho částí);
b)
„vzájemně propojenými vnitrostátními databázemi“ databáze, které obsahují veřejně přístupné informace, provozované členskými státy a jinými subjekty, jako jsou profesní sdružení a neziskové organizace, které jsou propojeny prostřednictvím portálu tak, že informace přístupné na vnitrostátní úrovni jsou dostupné přes portál;
c)
„veřejně přístupnými informacemi“ informace, které jsou přístupné veřejnosti prostřednictvím internetu;
d)
„registrovaným uživatelem“ uživatel portálu, který se v portálu registroval prostřednictvím ověřovací služby Evropské komise (ECAS), např. jako „účastník evropské e-justice“.
Článek 3
Zpracovávání údajů
Komise zpracovává osobní údaje v rámci portálu pouze v rozsahu nezbytném pro účely:
a)
poskytnutí přístupu k vzájemně propojeným vnitrostátním databázím obsahujícím osobní údaje;
b)
poskytnutí interaktivních služeb, které registrovaným uživatelům umožní přímo komunikovat s příslušnými orgány v jiném členském státě;
c)
zajištění přístupu k veřejně dostupným informacím pro registrované uživatele;
d)
poskytnutí kontaktních údajů.
Článek 4
Povinnosti správce údajů
1. Komise vykonává své povinnosti správce údajů podle čl. 2 písm. d) nařízení (ES) č. 45/2001 v souladu se svými příslušnými povinnostmi v rámci portálu, jak je uvedeno v tomto článku.
2. Komise zajistí dostupnost, údržbu a bezpečnost infrastruktury IT portálu.
3. Komise odpovídá za tyto úkony související se zpracováním osobních údajů:
a)
uspořádávání;
b)
sdělení prostřednictvím přenosu;
c)
šíření nebo jakékoli jiné zpřístupnění;
d)
srovnávání či kombinování osobních údajů z propojených vnitrostátních databází nebo osobních údajů týkajících se registrovaných uživatelů.
4. Za účelem plnění svých povinností jakožto správce údajů Komise vymezí potřebné politiky a uplatní vhodná technická řešení.
5. Komise provádí technická opatření nutná k zajištění bezpečnosti při přenosu osobních údajů a jejich zobrazení na portálu, zejména důvěrnosti a integrity při jakémkoli jejich přenosu do portálu a z něj.
6. Komise nenese odpovědnost za žádný z aspektů ochrany údajů, které se týkají:
a)
počátečního shromažďování a uchovávání údajů z propojených vnitrostátních databází;
b)
jakýchkoli rozhodnutí přijatých členskými státy o zpřístupnění takových údajů prostřednictvím portálu;
c)
obsahu jakéhokoli údaje z vzájemně propojených vnitrostátních databází, který je dostupný prostřednictvím portálu.
7. Povinnostmi Komise není dotčena odpovědnost členských států a jiných subjektů za obsah a provoz propojených vnitrostátních databází, které spravují.
Článek 5
Informační povinnosti
1. Komise poskytne subjektům údajů informace uvedené v článcích 11 a 12 nařízení (ES) č. 45/2001, pokud jde o poskytování informací, za něž Komise podle tohoto rozhodnutí odpovídá.
2. Aniž jsou dotčeny její povinnosti vůči subjektům údajů členských států a jiných subjektů působících v rámci propojených vnitrostátních databází, Komise rovněž informuje subjekty údajů o tom, na koho se obrátit, aby mohly účinně využít svého práva na informace, na přístup, na opravu a na námitku podle příslušných právních předpisů na ochranu údajů. Komise odkáže na prohlášení o ochraně osobních údajů členských států a jiných orgánů.
3. Komise na portálu rovněž zpřístupní:
a)
překlady prohlášení členských států o ochraně osobních údajů, jak je uvedeno v odstavci 2, do příslušných jazyků portálu;
b)
ucelené prohlášení o ochraně osobních údajů týkající se portálu v souladu s články 11 a 12 nařízení (ES) č. 45/2001 v jasné a srozumitelné podobě.
Článek 6
Uchovávání osobních údajů
1. Pokud jde o výměnu informací z propojených vnitrostátních databází, žádné osobní údaje týkající se subjektů údajů nesmějí být na portálu uchovávány. Veškeré takové údaje se uchovávají ve vnitrostátních databázích provozovaných členskými státy nebo jinými subjekty.
2. Osobní údaje týkající se uživatelů portálu nebo osobní údaje jimi poskytované nesmějí být na portálu uchovávány, kromě případů, kdy se tito uživatelé přihlásili jako registrovaní uživatelé. Osobní údaje registrovaných uživatelů se uchovávají tak dlouho, dokud registrovaný uživatel nepožádá o zrušení své registrace. V souladu s článkem 3 se osobní údaje týkající se účastníků nebo kontaktních osob evropské e-justice uchovávají pouze po dobu, po kterou tyto osoby vykonávají svou funkci.
Článek 7
Datum použitelnosti
Toto rozhodnutí vstupuje v platnost dvacátým dnem po zveřejnění v Úředním věstníku Evropské unie.
V Bruselu dne 5. června 2014.
DECISÃO DA COMISSÃO
de 5 de junho de 2014
sobre a proteção de dados pessoais no Portal Europeu da Justiça
(2014/333/UE)
A COMISSÃO EUROPEIA,
Tendo em conta o Tratado sobre o Funcionamento da União Europeia,
Após consulta da Autoridade Europeia para a Proteção de Dados,
Considerando o seguinte:
(1)
Na sua Comunicação de maio de 2008 (1), a Comissão declarou que iria conceber e criar o Portal Europeu da Justiça (doravante «Portal»), cuja gestão seria feita em estreita colaboração com os Estados-Membros.
(2)
O Plano de ação plurianual 2009-2013 sobre justiça eletrónica europeia (2), de 8 de novembro de 2008, confiou à Comissão Europeia a implementação do Portal. O Portal foi lançado em 16 de julho de 2010. A adoção da presente decisão só se tornou necessária agora, dado que o Portal está pronto para a primeira interligação dos registos nacionais que implica o tratamento de dados pessoais.
(3)
O Portal tem por objetivo contribuir para a realização do espaço judiciário europeu, facilitando e reforçando o acesso à justiça e mobilizando as tecnologias da informação e da comunicação para facilitar as ações judiciais eletrónicas transnacionais e a cooperação judicial.
(4)
As instituições, organismos, serviços e agências da União Europeia, bem como os Estados-Membros, devem, ao aplicar o direito da União, respeitar os direitos fundamentais e observar os princípios consagrados na Carta dos Direitos Fundamentais da União Europeia, em especial o direito à proteção de dados pessoais previsto no artigo 8.o da referida Carta.
(5)
Visto que as diversas tarefas e funções da Comissão e dos Estados-Membros relacionadas com o Portal implicam diferentes responsabilidades e obrigações em matéria de proteção de dados, é essencial delimitá-las claramente.
(6)
Devido à natureza específica das atividades ligadas ao Portal Europeu da Justiça, fruto da cooperação entre a Comissão e os Estados-Membros, o papel da Comissão no tratamento de dados pessoais através do Portal é limitado. É necessário clarificar que a Comissão não é responsável pelo conteúdo das bases de dados nacionais interligadas disponibilizadas através do Portal.
(7)
O Regulamento (CE) n.o 45/2001 do Parlamento Europeu e do Conselho (3) é aplicável ao tratamento de dados pessoais pela Comissão no Portal. Neste contexto, a Comissão é especificamente responsável por fornecer a infraestrutura de TI para as funcionalidades do Portal, incluindo a interligação das bases de dados nacionais.
(8)
Nos termos do Regulamento (CE) n.o 45/2001, as finalidades do tratamento de dados pessoais devem ser explicitamente indicadas. Por conseguinte, o tratamento de dados pessoais pela Comissão no Portal apenas deve ter lugar se tiver como finalidade proporcionar o acesso a bases de dados nacionais interligadas que contenham dados pessoais, prestar serviços interativos que permitam aos utilizadores comunicar diretamente com as autoridades competentes de outro Estado-Membro, proporcionar o acesso a informações públicas orientadas para os utilizadores registados ou fornecer dados de contacto.
(9)
A Comissão deve integrar no sistema tecnologias que respeitem o conceito de «proteção de dados desde a conceção». Na aplicação deste conceito, deve ser efetuada uma avaliação de impacto na privacidade e na proteção de dados durante a fase de conceção da funcionalidade associada ao tratamento de dados pessoais através do Portal, bem como das outras funcionalidades do Portal. Esta avaliação identificará os potenciais riscos envolvidos. Definirá igualmente as medidas e salvaguardas a integrar no sistema que sejam adequadas para proteger os dados pessoais.
(10)
A Comissão deve proceder a avaliações de segurança contínuas e adequadas relacionadas com os trabalhos de interligação das bases de dados nacionais.
(11)
Apenas as informações disponíveis ao público nas bases de dados nacionais interligadas podem ser consultadas através do Portal. Não deve ser permitido combinar informações de diferentes bases de dados nacionais interligadas para fins diferentes através do Portal,
ADOTOU A PRESENTE DECISÃO:
Artigo 1.o
Objeto
A presente decisão define as funções e responsabilidades da Comissão Europeia no que se refere aos requisitos de proteção de dados aplicáveis ao tratamento de dados pessoais no Portal Europeu da Justiça (doravante «Portal»).
Artigo 2.o
Definições
Para efeitos da presente decisão, são aplicáveis as definições constantes do Regulamento (CE) n.o 45/2001. Além disso, aplicam-se também as seguintes:
a) «Agente do Portal Europeu da Justiça»: qualquer representante de um Estado-Membro ou de uma organização parceira do Portal ao qual tenha sido concedida autorização para modificar o conteúdo do Portal ou partes dele;
b) «Bases de dados nacionais interligadas»: bases de dados que contêm informações acessíveis ao público, geridas pelos Estados-Membros e outros organismos, tais como associações profissionais e organizações sem fins lucrativos, que estão interligadas através do Portal de forma a que as informações disponíveis a nível nacional possam ser consultadas por seu intermédio;
c) «Informações acessíveis ao público»: informações acessíveis ao público através da Internet;
d) «Utilizador registado»: um utilizador do Portal que se registou por meio do Serviço de Autenticação da Comissão Europeia (ECAS), tal como um agente do Portal Europeu da Justiça.
Artigo 3.o
Tratamento de dados
A Comissão deve tratar os dados pessoais no Portal apenas na medida em que tal seja necessário para:
a)
Permitir o acesso a bases de dados nacionais interligadas que contenham dados pessoais;
b)
Prestar serviços interativos que permitam aos utilizadores registados comunicar diretamente com as autoridades competentes de outro Estado-Membro;
c)
Proporcionar o acesso a informações públicas orientadas para os utilizadores registados;
d)
Fornecer dados de contacto.
Artigo 4.o
Funções do responsável pelo tratamento de dados
1. São confiadas à Comissão as funções de responsável pelo tratamento de dados, na aceção do artigo 2.o, alínea d), do Regulamento (CE) n.o 45/2001, em conformidade com as suas próprias responsabilidades no âmbito do Portal, referidas no presente artigo.
2. A Comissão deve assegurar a disponibilidade, manutenção e segurança da infraestrutura de TI do Portal.
3. A Comissão é responsável pelas seguintes operações de tratamento:
a)
Organização;
b)
Divulgação por transmissão;
c)
Divulgação ou disponibilização por outro meio;
d)
Alinhamento ou combinação de dados pessoais decorrentes da interligação entre as bases de dados nacionais ou de dados pessoais de utilizadores registados.
4. A Comissão define as políticas necessárias e aplica as soluções técnicas adequadas para cumprir as suas funções enquanto responsável pelo tratamento dos dados.
5. A Comissão aplica as medidas técnicas necessárias para garantir a segurança dos dados pessoais em trânsito e durante a sua divulgação no Portal, em especial a confidencialidade e integridade de todas as transmissões para o Portal e a partir dele.
6. A Comissão não é responsável pelos aspetos da proteção de dados pessoais relativos:
a)
À recolha inicial e armazenamento de dados decorrentes da interligação de bases de dados nacionais;
b)
A qualquer decisão tomada pelos Estados-Membros para disponibilizar esses dados através do Portal;
c)
Ao conteúdo de quaisquer dados decorrentes da interligação entre as bases de dados nacionais disponíveis através do Portal.
7. As obrigações da Comissão não prejudicam as competências dos Estados-Membros e outros organismos no que se refere ao conteúdo e gestão das bases de dados nacionais interligadas geridas por eles.
Artigo 5.o
Obrigações de informação
1. A Comissão fornece aos titulares dos dados as informações referidas nos artigos 11.o e 12.o do Regulamento (CE) n.o 45/2001, no que diz respeito às informações pelas quais a Comissão é responsável nos termos da presente decisão.
2. Não obstante as obrigações relativas aos titulares dos dados dos Estados-Membros e outros organismos que gerem as bases de dados nacionais interligadas, a Comissão fornece igualmente aos titulares dos dados informações sobre quem contactar para exercer efetivamente os seus direitos de informação, acesso, retificação e objeção, em conformidade com a legislação aplicável em matéria de proteção de dados. A Comissão faz referência às declarações de privacidade dos Estados-Membros e outros organismos.
3. A Comissão disponibiliza também no Portal:
a)
Traduções, para as línguas do Portal, das declarações de privacidade dos Estados-Membros a que se refere o n.o 2;
b)
Uma declaração geral de privacidade relativa ao Portal, em conformidade com os artigos 11.o e 12.o do Regulamento (CE) n.o 45/2001, de forma clara e compreensível.
Artigo 6.o
Armazenamento de dados pessoais
1. No que se refere ao intercâmbio de informações incluídas nas bases de dados nacionais interligadas, nenhum dado pessoal relativo aos titulares dos dados deve ser armazenado no Portal. Todos esses dados devem ser armazenados nas bases de dados nacionais geridas pelos Estados-Membros ou outros organismos.
2. Os dados pessoais relativos a utilizadores do Portal ou fornecidos por eles não devem ser armazenados no Portal, exceto nos casos em que se inscreveram como utilizadores registados. Os dados pessoais dos utilizadores registados devem ser armazenados até que estes solicitem a eliminação do respetivo registo. Em conformidade com o artigo 3.o, os dados pessoais dos agentes do Portal Europeu da Justiça ou dos pontos de contacto só serão conservados enquanto eles desempenharem esta função.
Artigo 7.o
Data de produção de efeitos
A presente decisão entra em vigor no vigésimo dia seguinte ao da sua publicação no Jornal Oficial da União Europeia.
Feito em Bruxelas, em 5 de junho de 2014.