РЕШЕНИЕ НА КОМИСИЯТА
от 5 юни 2014 година
относно защитата на личните данни в Европейския портал за електронно правосъдие
(2014/333/ЕС)
ЕВРОПЕЙСКАТА КОМИСИЯ,
като взе предвид Договора за функционирането на Европейския съюз,
след консултация с Европейския надзорен орган по защита на данните,
като има предвид, че:
(1)
В съобщението си от май 2008 г. (1) Комисията заяви, че ще проектира и създаде Европейски портал за електронно правосъдие (оттук нататък „порталът“), който ще се управлява в тясно сътрудничество с държавите членки.
(2)
Многогодишният план за действие в областта на европейското електронно правосъдие за периода 2009-2013 г. (2) от 8 ноември 2008 г. възложи на Европейската комисия създаването на портала. Порталът стартира на 16 юли 2010 г. Приемането на настоящото решение се налага в този момент, тъй като едва сега порталът е готов за първото свързване на националните регистри, включващо обработка на лични данни.
(3)
Порталът има за цел да допринесе за създаването на европейското съдебно пространство чрез улесняване и подобряване на достъпа до правосъдие, както и чрез използване на информационните и комуникационните технологии за улесняване на трансграничните електронни съдебни производства и на съдебното сътрудничество.
(4)
Институциите, органите, службите и агенциите на Европейския съюз, както и държавите членки, когато прилагат правото на Съюза, трябва да зачитат основните права и да спазват принципите, признати от Хартата на основните права на Европейския съюз, и по-специално правото на защита на личните данни, посочено в член 8 от тази Харта.
(5)
Тъй като различните задачи и функции на Комисията и на държавите членки, които са свързани с портала, ще доведат до различни отговорности и задължения по отношение на защитата на данни, е от съществено значение те да бъдат ясно определени.
(6)
В съответствие със специфичния характер на дейностите, свързани с портала за електронно правосъдие, разработени в сътрудничество между Комисията и държавите членки, ролята на Комисията при обработването на лични данни чрез портала е ограничена. Следва да се поясни, че Комисията не носи отговорност за портала е ограничена. Следва да се поясни, че Комисията не носи отговорност за съдържанието на взаимосвързаните национални бази данни, достъпни посредством портала.
(7)
Регламент (ЕО) № 45/2001 на Европейския парламент и на Съвета (3) се прилага към обработването на лични данни от Комисията в портала. В този контекст Комисията отговаря по-конкретно за предоставянето на ИТ инфраструктура за функционирането на портала, както и за взаимното свързване на националните бази данни.
(8)
Съгласно Регламент (ЕО) № 45/2001 целите на обработването на личните данни следва да бъдат изрично посочени. Поради това обработването на лични данни от Комисията в портала следва да се осъществява само ако е насочено към осигуряване на достъп до взаимосвързани национални бази данни, притежаващи лични данни, предоставяне на интерактивни услуги, позволяващи на потребителите да общуват пряко с компетентните органи на друга държава членка, предоставяне на достъп до публична информация, насочена към регистрираните потребители, или предоставяне на данни за контакт.
(9)
Комисията трябва да въведе технологии в системата, които да отразяват концепцията за „защита на данните още при проектирането“. За прилагането на тази концепция оценката на въздействието върху защитата на данните и неприкосновеността на личния живот трябва да се извърши още по време на програмирането на функцията, свързана с обработката на лични данни чрез портала, както и програмирането на други функционални възможности. Тази оценка ще определи потенциалните рискове за защитата на данните. В нея също така ще се определят подходящите мерки и механизми, които да бъдат включени в системата, за да се защитят личните данни.
(10)
Комисията следва да извършва непрекъснати и подходящи оценки на сигурността, доколкото се извършва работа, свързана с взаимното свързване на националните бази данни.
(11)
Чрез портала може да бъде получен достъп само до публично достъпната информация във взаимосвързаните национални бази данни. Посредством портала не трябва да се дава възможност за комбиниране на информация от различни взаимосвързани национални бази данни за различни цели,
ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:
Член 1
Предмет
Настоящото решение определя функциите и отговорностите на Европейската комисия относно изискванията за защита на данните при обработването на лични данни в Европейския портал за електронно правосъдие (наричан по-долу „порталът“).
Член 2
Определения
За целите на настоящото решение се прилагат определенията, посочени в Регламент (ЕО) № 45/2001. В допълнение се прилагат и следните определения:
а)
„участник в европейското електронно правосъдие“ означава всеки представител на държава членка или на организация партньор в европейското електронно правосъдие, който е получил разрешение да изменя (части от) съдържанието на портала;
б)
„взаимосвързани национални бази данни“ означава управлявани от държавите членки и други органи, като например професионални сдружения и организации с нестопанска цел, бази данни, съдържащи публично достъпна информация, които са свързани чрез портала по такъв начин, че чрез него се осигурява достъп до информацията, която е на разположение на национално равнище;
в)
„публично достъпна информация“ означава информация, достъпна за обществеността чрез интернет;
г)
„регистриран потребител“ означава потребител на портала, който се е регистрирал в него посредством Системата на Европейската комисия за автентификация (ECAS) като „участник в европейското електронно правосъдие“.
Член 3
Обработка на данните
Комисията обработва лични данни в портала само доколкото това е необходимо за целите на:
а)
предоставяне на достъп до взаимосвързани национални бази данни, притежаващи лични данни;
б)
предоставяне на интерактивни услуги, които позволяват на регистрираните потребители да се свържат пряко с компетентните органи в друга държава членка;
в)
предоставяне на достъп до публична информация, насочена към регистрираните потребители;
г)
предоставяне на информация за контакт.
Член 4
Отговорности на администратора на лични данни
1. Комисията изпълнява функциите на администратор на лични данни по смисъла на член 2, буква г) от Регламент (ЕО) № 45/2001, в съответствие със съответните си отговорности в рамките на портала, както е посочено в настоящия член.
2. Комисията осигурява достъпността, поддръжката и сигурността на инфраструктурата на информационните технологии на портала.
3. Комисията отговаря за следните операции по обработване:
а)
организация;
б)
разкриване чрез предаване;
в)
разпространяване или друга форма на предоставяне на данните;
г)
подравняване или комбиниране на личните данни, извлечени от взаимосвързани национални бази данни, или на лични данни на регистрирани потребители.
4. Комисията определя необходимите политики и прилага подходящите технически решения, за да изпълни отговорностите си на администратор на данни.
5. Комисията изпълнява техническите мерки, необходими за гарантиране на сигурността на личните данни при преминаването им и по време на представянето им в портала, и по-специално на поверителността и целостта на всяко предаване от и към портала.
6. Комисията не носи отговорност за аспекти, свързани със защитата на данните, отнасящи се до:
а)
първоначалното събиране и съхранение на данни, извлечени от взаимосвързаните национални бази данни;
б)
всяко решение, взето от държавите членки да направят тези данни достъпни чрез портала;
в)
съдържанието на всички данни, извлечени от взаимосвързаните национални бази данни, достъпни посредством портала.
7. Задълженията на Комисията не засягат отговорностите на държавите членки и другите органи по отношение на съдържанието и функционирането на взаимосвързаните национални бази данни, управлявани от тях.
Член 5
Задължения за предоставяне на информация
1. Комисията предоставя на субектите на данни информацията, посочена в членове 11 и 12 от Регламент (ЕО) № 45/2001 по отношение на информацията, за която Комисията носи отговорност съгласно настоящото решение.
2. Независимо от задълженията на държавите членки и другите органи, управляващи взаимосвързаните национални бази данни, към субектите на данните Комисията също предоставя на тези субекти информация относно това към кого могат да се обърнат за ефективното упражняване на правата си на информация, достъп, коригиране и възражение съгласно приложимото законодателство за защита на данните. Комисията се позовава на конкретни декларации за поверителност на държавите членки и другите органи.
3. Комисията също предоставя на разположение в портала:
а)
превод на езиците на портала на декларациите за поверителност на държавите членки, посочени в параграф 2;
б)
ясна и разбираема изчерпателна декларация за поверителност във връзка с портала в съответствие с членове 11 и 12 от Регламент (EО) № 45/2001.
Член 6
Съхраняване на лични данни
1. По отношение на обмена на информация между взаимосвързаните национални бази данни, лични данни, свързани със субектите на данните, не се съхраняват в портала. Всички такива данни се съхраняват в националните бази данни, управлявани от държавите членки или от други органи.
2. Личните данни, отнасящи се до или предоставени от потребители на портала, не се съхраняват в портала, освен в случаите, когато те вече са се записали като регистрирани потребители. Личните данни на регистрираните потребители се съхраняват, докато те отправят искане за заличаване на регистрацията си. В съответствие с член 3 личните данни на участниците в европейското електронно правосъдие или звената за контакт ще бъдат съхранявани само докато тези лица изпълняват своята функция.
Член 7
Дата на влизане в сила
Настоящото решение влиза в сила на 20-ия ден след публикуването му в Официален вестник на Европейския съюз.
Съставено в Брюксел на 5 юни 2014 година.
BESCHLUSS DER KOMMISSION
vom 5. Juni 2014
über den Schutz personenbezogener Daten im Europäischen e-Justiz-Portal
(2014/333/EU)
DIE EUROPÄISCHE KOMMISSION -
gestützt auf den Vertrag über die Arbeitsweise der Europäischen Union,
nach Anhörung des Europäischen Datenschutzbeauftragten,
in Erwägung nachstehender Gründe:
(1)
In ihrer Mitteilung vom Mai 2008 (1) erklärte die Kommission, dass sie das Europäische e-Justiz-Portal (nachstehend „das Portal“) konzipieren, einrichten und in enger Zusammenarbeit mit den Mitgliedstaaten pflegen werde.
(2)
Durch den mehrjährigen Aktionsplan 2009-2013 für die Europäische e-Justiz (2) vom 8. November 2008 wurde die Europäische Kommission mit der Umsetzung des Portals beauftragt. Das Portal wurde am 16. Juli 2010 ins Leben gerufen. Die Verabschiedung dieses Beschlusses ist erst jetzt notwendig geworden, da das Portal erst jetzt bereit ist für die erste Vernetzung nationaler Register im Zusammenhang mit der Verarbeitung personenbezogener Daten.
(3)
Ziel des Portals ist es, zur Verwirklichung des europäischen Rechtsraums beizutragen, indem der Zugang zur Justiz erleichtert und verbessert wird und die Informations- und Kommunikationstechnologien als Hebel eingesetzt werden, um grenzüberschreitende elektronische Gerichtsverfahren und die justizielle Zusammenarbeit zu erleichtern.
(4)
Die Organe, Einrichtungen und sonstigen Stellen der Europäischen Union sowie der Mitgliedstaaten müssen bei der Anwendung des EU-Rechts die Grundrechte wahren und die Grundsätze der EU-Grundrechtecharta, insbesondere das in Artikel 8 dieser Charta niedergelegte Recht auf Schutz der personenbezogenen Daten, beachten.
(5)
Da die verschiedenen portalbezogenen Aufgaben und Funktionen der Kommission und der Mitgliedstaaten zu unterschiedlichen Verantwortlichkeiten und Verpflichtungen im Hinblick auf den Datenschutz führen, ist es notwendig, sie klar abzugrenzen.
(6)
Entsprechend den Besonderheiten der mit dem e-Justiz-Portal verbundenen Tätigkeiten, die in Zusammenarbeit zwischen Kommission und Mitgliedstaaten entwickelt werden, ist die Aufgabe der Kommission bei der Verarbeitung personenbezogener Daten im Rahmen des Portals beschränkt. Es muss klargestellt werden, dass die Kommission für den Inhalt der im Rahmen des Portals zur Verfügung gestellten vernetzten nationalen Datenbanken nicht verantwortlich ist.
(7)
Die Verordnung (EG) Nr. 45/2001 des Europäischen Parlaments und des Rates (3) gilt für die Verarbeitung personenbezogener Daten durch die Kommission im Rahmen des Portals. In diesem Zusammenhang ist die Kommission insbesondere verantwortlich für die Bereitstellung der IT-Infrastruktur für die Funktionen des Portals, wozu auch die Vernetzung nationaler Datenbanken gehört.
(8)
Gemäß Verordnung (EG) Nr. 45/2001 ist der Zweck der Verarbeitung personenbezogener Daten ausdrücklich anzugeben. Somit darf die Verarbeitung personenbezogener Daten durch die Kommission im Rahmen des Portals nur erfolgen, wenn hierdurch der Zugang zu vernetzten nationalen Datenbanken mit personenbezogenen Daten gewährt wird, interaktive Dienste bereitgestellt werden, die es den Nutzern ermöglichen, unmittelbar mit den zuständigen Behörden in einem anderen Mitgliedstaat zu kommunizieren, Zugang zu öffentlichen Informationen für registrierte Nutzer gewährt wird bzw. Kontaktadressen bereitgestellt werden.
(9)
Die Kommission sollte in das System Technologien einbeziehen, die dem Konzept des „Datenschutzes durch Technik“ entsprechen. Zur Umsetzung dieses Konzepts sollte während der Planungsphase der mit der Verarbeitung personenbezogener Daten im Rahmen des Portals verbundenen Funktionen sowie der anderen Funktionen des Portals eine Datenschutz-Folgenabschätzung durchgeführt werden. Hierdurch sollen potenzielle Datenschutzrisiken ermittelt werden. Ferner werden bei der Folgenabschätzung geeignete Maßnahmen und Sicherungen definiert, die im Hinblick auf den Schutz personenbezogener Daten in das System einzubeziehen sind.
(10)
Die Kommission führt fortlaufend geeignete Sicherheitsbewertungen durch, sofern Arbeiten im Zusammenhang mit der Vernetzung nationaler Datenbanken durchgeführt werden.
(11)
Durch das Portal werden allein öffentlich zur Verfügung stehende Informationen in den vernetzten nationalen Datenbanken zugänglich gemacht. Es darf nicht möglich sein, im Rahmen des Portals Informationen von unterschiedlichen vernetzten nationalen Datenbanken für unterschiedliche Zwecke zu kombinieren -
HAT FOLGENDEN BESCHLUSS ERLASSEN:
Artikel 1
Gegenstand
In diesem Beschluss werden die Funktionen und Verantwortlichkeiten der Europäischen Kommission in Bezug auf die Datenschutzanforderungen bei der Verarbeitung personenbezogener Daten im Rahmen des Europäischen e-Justiz-Portals („das Portal“) festgelegt.
Artikel 2
Begriffsbestimmungen
Für die Zwecke dieses Beschlusses gelten die Definitionen der Verordnung (EG) Nr. 45/2001. Ferner gelten die folgenden Begriffsbestimmungen:
a)
„Europäischer e-Justiz-Akteur“ ist ein Vertreter eines Mitgliedstaats oder einer europäischen e-Justiz-Partnerorganisation, der befugt ist, Teile des Inhalts des Portals zu verändern;
b)
„vernetzte nationale Datenbanken“ sind Datenbanken mit öffentlich zugänglichen Informationen, die von den Mitgliedstaaten und anderen Gremien wie Berufsverbänden und gemeinnützigen Organisationen betrieben werden und durch das Portal so vernetzt sind, dass über das Portal auf die auf nationaler Ebene zur Verfügung stehenden Daten zugegriffen werden kann;
c)
„öffentlich zugängliche Informationen“ sind Informationen, die der Öffentlichkeit über das Internet zur Verfügung stehen;
d)
„registrierter Nutzer“ ist ein Portalnutzer, der sich über den Authentifizierungsdienst der Europäischen Kommission (ECAS) für das Portal angemeldet hat, z. B. ein „europäischer e-Justiz-Akteur“.
Artikel 3
Datenverarbeitung
Die Kommission verarbeitet personenbezogene Daten im Rahmen des Portals nur, soweit dies zu folgenden Zwecken notwendig ist:
a)
Bereitstellung des Zugangs zu vernetzten nationalen Datenbanken mit personenbezogenen Daten;
b)
Bereitstellung interaktiver Dienste, die es registrierten Nutzern ermöglichen, unmittelbar mit den zuständigen Behörden in einem anderen Mitgliedstaat zu kommunizieren;
c)
Bereitstellung des Zugangs zu öffentlichen Informationen für registrierte Nutzer;
d)
Bereitstellung von Kontaktadressen.
Artikel 4
Aufgaben des für die Verarbeitung der Daten Verantwortlichen
(1) Die Kommission fungiert als der für die Verarbeitung der Daten Verantwortliche gemäß Artikel 2 Buchstabe d derVerordnung (EG) Nr. 45/2001 entsprechend ihren in diesem Artikel genannten jeweiligen Aufgaben im Rahmen des Portals.
(2) Die Kommission gewährleistet die Verfügbarkeit, Wartung und Sicherheit der IT-Infrastruktur des Portals.
(3) Die Kommission ist verantwortlich für die folgenden Verarbeitungsvorgänge:
a)
Organisation;
b)
Weitergabe durch Übermittlung;
c)
Verbreitung oder jede andere Form der Bereitstellung;
d)
Verknüpfung oder Kombination persönlicher Daten aus den vernetzten nationalen Datenbanken bzw. der personenbezogenen Daten registrierter Nutzer.
(4) Die Kommission legt die notwendigen Maßnahmen fest und wendet geeignete technische Lösungen an, um ihrer Verantwortung im Rahmen ihrer Aufgabe als für die Verarbeitung Verantwortlicher nachzukommen.
(5) Die Kommission ergreift die erforderlichen technischen Maßnahmen, um die Sicherheit personenbezogener Daten bei der Übermittlung und während ihrer Darstellung im Rahmen des Portals, insbesondere die Vertraulichkeit und Integrität bei Übermittlungen zum und vom Portal, zu gewährleisten.
(6) Die Kommission ist nicht verantwortlich für Datenschutzaspekte im Hinblick auf:
a)
die ursprüngliche Erfassung und Speicherung von Daten, die aus den vernetzten nationalen Datenbanken stammen;
b)
Entscheidungen der Mitgliedstaaten, diese Daten im Rahmen des Portals zur Verfügung zu stellen;
c)
die Inhalte von Daten, die aus den vernetzten nationalen Datenbanken stammen und durch das Portal zur Verfügung gestellt wurden.
(7) Die Verpflichtungen der Kommission berühren nicht die Verantwortung der Mitgliedstaaten und anderer Gremien für den Inhalt und den Betrieb der von ihnen geführten vernetzten nationalen Datenbanken.
Artikel 5
Informationspflichten
(1) Die Kommission hat gemäß Artikel 11 und 12 der Verordnung (EG) Nr. 45/2001 gegenüber den betroffenen Personen eine Informationspflicht im Hinblick auf Informationen, für die die Kommission aufgrund dieses Beschlusses verantwortlich ist.
(2) Unbeschadet der Verpflichtungen gegenüber betroffenen Personen der Mitgliedstaaten und anderen Gremien, die die vernetzten nationalen Datenbanken betreiben, hat die Kommission die betroffenen Personen auch darüber zu unterrichten, an wen sie sich wenden können, um ihre Informations-, Auskunfts-, Berichtigungs- und Widerspruchsrechte im Einklang mit den anzuwendenden Datenschutzvorschriften wirksam wahrnehmen zu können. Die Kommission verweist auf die spezifischen Datenschutzerklärungen der Mitgliedstaaten und anderer Gremien.
(3) Die Kommission stellt im Portal ferner zur Verfügung:
a)
Übersetzungen der in Absatz 2 genannten Datenschutzerklärungen der Mitgliedstaaten in die Sprachen des Portals;
b)
Eine umfassende Datenschutzerklärung betreffend das Portal im Einklang mit Artikel 11 und 12 der Verordnung (EG) Nr. 45/2001 in klarer und verständlicher Form.
Artikel 6
Speicherung personenbezogener Daten
(1) Im Hinblick auf den Informationsaustausch vernetzter nationaler Datenbanken dürfen keine personenbezogenen Daten über die betreffenden Personen im Portal gespeichert werden. Diese Daten werden in den von den Mitgliedstaaten oder anderen Gremien betriebenen nationalen Datenbanken gespeichert.
(2) Personenbezogene Daten, die sich auf Portalnutzer beziehen oder von diesen bereitgestellt werden, dürfen im Portal nicht gespeichert werden, außer in Fällen, in denen diese sich als registrierte Nutzer angemeldet haben. Personenbezogene Daten registrierter Nutzer dürfen gespeichert werden, bis diese die Löschung ihrer Registrierung beantragen. Entsprechend Artikel 3 werden personenbezogene Daten von europäischen e-Justiz-Akteuren oder Kontaktstellen nur solange gespeichert, wie diese Personen ihre Aufgaben wahrnehmen.
Artikel 7
Inkrafttreten
Dieser Beschluss tritt am zwanzigsten Tag nach seiner Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.
Brüssel, den 5. Juni 2014