РЕШЕНИЕ НА КОМИСИЯТА
от 5 юни 2014 година
относно защитата на личните данни в Европейския портал за електронно правосъдие
(2014/333/ЕС)
ЕВРОПЕЙСКАТА КОМИСИЯ,
като взе предвид Договора за функционирането на Европейския съюз,
след консултация с Европейския надзорен орган по защита на данните,
като има предвид, че:
(1)
В съобщението си от май 2008 г. (1) Комисията заяви, че ще проектира и създаде Европейски портал за електронно правосъдие (оттук нататък „порталът“), който ще се управлява в тясно сътрудничество с държавите членки.
(2)
Многогодишният план за действие в областта на европейското електронно правосъдие за периода 2009-2013 г. (2) от 8 ноември 2008 г. възложи на Европейската комисия създаването на портала. Порталът стартира на 16 юли 2010 г. Приемането на настоящото решение се налага в този момент, тъй като едва сега порталът е готов за първото свързване на националните регистри, включващо обработка на лични данни.
(3)
Порталът има за цел да допринесе за създаването на европейското съдебно пространство чрез улесняване и подобряване на достъпа до правосъдие, както и чрез използване на информационните и комуникационните технологии за улесняване на трансграничните електронни съдебни производства и на съдебното сътрудничество.
(4)
Институциите, органите, службите и агенциите на Европейския съюз, както и държавите членки, когато прилагат правото на Съюза, трябва да зачитат основните права и да спазват принципите, признати от Хартата на основните права на Европейския съюз, и по-специално правото на защита на личните данни, посочено в член 8 от тази Харта.
(5)
Тъй като различните задачи и функции на Комисията и на държавите членки, които са свързани с портала, ще доведат до различни отговорности и задължения по отношение на защитата на данни, е от съществено значение те да бъдат ясно определени.
(6)
В съответствие със специфичния характер на дейностите, свързани с портала за електронно правосъдие, разработени в сътрудничество между Комисията и държавите членки, ролята на Комисията при обработването на лични данни чрез портала е ограничена. Следва да се поясни, че Комисията не носи отговорност за портала е ограничена. Следва да се поясни, че Комисията не носи отговорност за съдържанието на взаимосвързаните национални бази данни, достъпни посредством портала.
(7)
Регламент (ЕО) № 45/2001 на Европейския парламент и на Съвета (3) се прилага към обработването на лични данни от Комисията в портала. В този контекст Комисията отговаря по-конкретно за предоставянето на ИТ инфраструктура за функционирането на портала, както и за взаимното свързване на националните бази данни.
(8)
Съгласно Регламент (ЕО) № 45/2001 целите на обработването на личните данни следва да бъдат изрично посочени. Поради това обработването на лични данни от Комисията в портала следва да се осъществява само ако е насочено към осигуряване на достъп до взаимосвързани национални бази данни, притежаващи лични данни, предоставяне на интерактивни услуги, позволяващи на потребителите да общуват пряко с компетентните органи на друга държава членка, предоставяне на достъп до публична информация, насочена към регистрираните потребители, или предоставяне на данни за контакт.
(9)
Комисията трябва да въведе технологии в системата, които да отразяват концепцията за „защита на данните още при проектирането“. За прилагането на тази концепция оценката на въздействието върху защитата на данните и неприкосновеността на личния живот трябва да се извърши още по време на програмирането на функцията, свързана с обработката на лични данни чрез портала, както и програмирането на други функционални възможности. Тази оценка ще определи потенциалните рискове за защитата на данните. В нея също така ще се определят подходящите мерки и механизми, които да бъдат включени в системата, за да се защитят личните данни.
(10)
Комисията следва да извършва непрекъснати и подходящи оценки на сигурността, доколкото се извършва работа, свързана с взаимното свързване на националните бази данни.
(11)
Чрез портала може да бъде получен достъп само до публично достъпната информация във взаимосвързаните национални бази данни. Посредством портала не трябва да се дава възможност за комбиниране на информация от различни взаимосвързани национални бази данни за различни цели,
ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:
Член 1
Предмет
Настоящото решение определя функциите и отговорностите на Европейската комисия относно изискванията за защита на данните при обработването на лични данни в Европейския портал за електронно правосъдие (наричан по-долу „порталът“).
Член 2
Определения
За целите на настоящото решение се прилагат определенията, посочени в Регламент (ЕО) № 45/2001. В допълнение се прилагат и следните определения:
а)
„участник в европейското електронно правосъдие“ означава всеки представител на държава членка или на организация партньор в европейското електронно правосъдие, който е получил разрешение да изменя (части от) съдържанието на портала;
б)
„взаимосвързани национални бази данни“ означава управлявани от държавите членки и други органи, като например професионални сдружения и организации с нестопанска цел, бази данни, съдържащи публично достъпна информация, които са свързани чрез портала по такъв начин, че чрез него се осигурява достъп до информацията, която е на разположение на национално равнище;
в)
„публично достъпна информация“ означава информация, достъпна за обществеността чрез интернет;
г)
„регистриран потребител“ означава потребител на портала, който се е регистрирал в него посредством Системата на Европейската комисия за автентификация (ECAS) като „участник в европейското електронно правосъдие“.
Член 3
Обработка на данните
Комисията обработва лични данни в портала само доколкото това е необходимо за целите на:
а)
предоставяне на достъп до взаимосвързани национални бази данни, притежаващи лични данни;
б)
предоставяне на интерактивни услуги, които позволяват на регистрираните потребители да се свържат пряко с компетентните органи в друга държава членка;
в)
предоставяне на достъп до публична информация, насочена към регистрираните потребители;
г)
предоставяне на информация за контакт.
Член 4
Отговорности на администратора на лични данни
1. Комисията изпълнява функциите на администратор на лични данни по смисъла на член 2, буква г) от Регламент (ЕО) № 45/2001, в съответствие със съответните си отговорности в рамките на портала, както е посочено в настоящия член.
2. Комисията осигурява достъпността, поддръжката и сигурността на инфраструктурата на информационните технологии на портала.
3. Комисията отговаря за следните операции по обработване:
а)
организация;
б)
разкриване чрез предаване;
в)
разпространяване или друга форма на предоставяне на данните;
г)
подравняване или комбиниране на личните данни, извлечени от взаимосвързани национални бази данни, или на лични данни на регистрирани потребители.
4. Комисията определя необходимите политики и прилага подходящите технически решения, за да изпълни отговорностите си на администратор на данни.
5. Комисията изпълнява техническите мерки, необходими за гарантиране на сигурността на личните данни при преминаването им и по време на представянето им в портала, и по-специално на поверителността и целостта на всяко предаване от и към портала.
6. Комисията не носи отговорност за аспекти, свързани със защитата на данните, отнасящи се до:
а)
първоначалното събиране и съхранение на данни, извлечени от взаимосвързаните национални бази данни;
б)
всяко решение, взето от държавите членки да направят тези данни достъпни чрез портала;
в)
съдържанието на всички данни, извлечени от взаимосвързаните национални бази данни, достъпни посредством портала.
7. Задълженията на Комисията не засягат отговорностите на държавите членки и другите органи по отношение на съдържанието и функционирането на взаимосвързаните национални бази данни, управлявани от тях.
Член 5
Задължения за предоставяне на информация
1. Комисията предоставя на субектите на данни информацията, посочена в членове 11 и 12 от Регламент (ЕО) № 45/2001 по отношение на информацията, за която Комисията носи отговорност съгласно настоящото решение.
2. Независимо от задълженията на държавите членки и другите органи, управляващи взаимосвързаните национални бази данни, към субектите на данните Комисията също предоставя на тези субекти информация относно това към кого могат да се обърнат за ефективното упражняване на правата си на информация, достъп, коригиране и възражение съгласно приложимото законодателство за защита на данните. Комисията се позовава на конкретни декларации за поверителност на държавите членки и другите органи.
3. Комисията също предоставя на разположение в портала:
а)
превод на езиците на портала на декларациите за поверителност на държавите членки, посочени в параграф 2;
б)
ясна и разбираема изчерпателна декларация за поверителност във връзка с портала в съответствие с членове 11 и 12 от Регламент (EО) № 45/2001.
Член 6
Съхраняване на лични данни
1. По отношение на обмена на информация между взаимосвързаните национални бази данни, лични данни, свързани със субектите на данните, не се съхраняват в портала. Всички такива данни се съхраняват в националните бази данни, управлявани от държавите членки или от други органи.
2. Личните данни, отнасящи се до или предоставени от потребители на портала, не се съхраняват в портала, освен в случаите, когато те вече са се записали като регистрирани потребители. Личните данни на регистрираните потребители се съхраняват, докато те отправят искане за заличаване на регистрацията си. В съответствие с член 3 личните данни на участниците в европейското електронно правосъдие или звената за контакт ще бъдат съхранявани само докато тези лица изпълняват своята функция.
Член 7
Дата на влизане в сила
Настоящото решение влиза в сила на 20-ия ден след публикуването му в Официален вестник на Европейския съюз.
Съставено в Брюксел на 5 юни 2014 година.
SKLEP KOMISIJE
z dne 5. junija 2014
o varstvu osebnih podatkov na evropskem pravosodnem portalu
(2014/333/EU)
EVROPSKA KOMISIJA JE -
ob upoštevanju Pogodbe o delovanju Evropske unije,
po posvetovanju z evropskim nadzornikom za varstvo podatkov,
ob upoštevanju naslednjega:
(1)
Komisija je v svojem sporočilu iz maja 2008 (1) izjavila, da bo zasnovala in vzpostavila evropski pravosodni portal (v nadaljnjem besedilu: portal), s katerim bo upravljala v tesnem sodelovanju z državami članicami.
(2)
Evropski komisiji je bil v večletnem akcijskem načrtu 2009-2013 o evropskem e-pravosodju (2) z dne 8. novembra 2008 zaupan projekt vzpostavitve in upravljanja portala. Portal je začel delovati 16. julija 2010. Sprejetje tega sklepa je postalo potrebno šele zdaj, saj je portal šele zdaj pripravljen za prvo vzajemno povezavo z nacionalnimi registri, ki vključuje obdelavo osebnih podatkov.
(3)
Cilj portala je prispevati k dosežkom evropskega pravosodnega območja z omogočanjem lažjega in boljšega dostopa do sodnega varstva ter z uporabo informacijskih in komunikacijskih tehnologij za lažje čezmejne elektronske sodne postopke in pravosodno sodelovanje.
(4)
Institucije, organi, uradi in agencije Evropske unije ter države članice (kadar izvajajo pravo Unije) morajo spoštovati temeljne pravice in upoštevati načela, priznana z Listino Evropske unije o temeljnih pravicah, zlasti pravico do varstva osebnih podatkov iz člena 8 navedene listine.
(5)
Različne naloge in funkcije Komisije in držav članic v zvezi s portalom bodo vključevale različne odgovornosti in obveznosti glede varstva podatkov, zato jih je nujno jasno razmejiti.
(6)
V skladu s posebno naravo dejavnosti, povezanih z evropskim pravosodnim portalom, ki je bil razvit v sodelovanju med Komisijo in državami članicami, je vloga Komisije pri obdelavi osebnih podatkov prek portala omejena. Pojasniti bi bilo treba, da Komisija ni odgovorna za vsebino medsebojno povezanih nacionalnih zbirk podatkov, ki so na voljo prek portala.
(7)
Za obdelavo osebnih podatkov na portalu s strani Komisije se uporablja Uredba (ES) št. 45/2001 Evropskega parlamenta in Sveta (3). V tem kontekstu je Komisija odgovorna zlasti za zagotavljanje infrastrukture informacijske tehnologije za funkcije portala, vključno z medsebojno povezavo nacionalnih zbirk podatkov.
(8)
V skladu z Uredbo (ES) št. 45/2001 bi bilo treba namene obdelave osebnih podatkov izrecno navesti. Zato bi lahko Komisija obdelovala osebne podatke na portalu le, če bi to storila za zagotavljanje dostopa do medsebojno povezanih nacionalnih zbirk osebnih podatkov, za zagotavljanje interaktivnih storitev, ki uporabnikom omogočajo, da neposredno komunicirajo z ustreznimi organi v drugi državi članici, za zagotavljanje dostopa do informacij javnega značaja, ki so namenjene registriranim uporabnikom, ali za zagotavljanje kontaktnih informacij.
(9)
Komisija bi morala v sistem vgraditi tehnologije, ki odražajo pojem „vgrajenega varstva podatkov“. Pri izvajanju tega pojma bi bilo treba v fazi načrtovanja funkcij, povezanih z obdelavo osebnih podatkov prek portala, izvesti oceno učinka v zvezi z zasebnostjo in varstvom podatkov. To bi bilo treba izvesti tudi v zvezi z drugimi funkcijami portala. Ta ocena bo opredelila morebitna tveganja v zvezi z varstvom podatkov. Poleg tega bo opredelila ustrezne zaščitne in druge ukrepe, ki jih je treba vključiti v sistem za varstvo osebnih podatkov.
(10)
Komisija bi morala neprekinjeno izvajati ustrezne varnostne ocene, če se izvaja delo, povezano z medsebojno povezavo nacionalnih zbirk podatkov.
(11)
Prek portala je mogoče dostopati le do javno dostopnih podatkov v medsebojno povezanih nacionalnih zbirkah podatkov. Prek portala ne bi smelo biti mogoče združevati informacij iz različnih medsebojno povezanih nacionalnih zbirk podatkov za drugačne namene, kot so predpisani -
SPREJELA NASLEDNJI SKLEP:
Člen 1
Predmet urejanja
Ta sklep določa naloge in odgovornosti Evropske komisije v zvezi z zahtevami glede varstva osebnih podatkov pri njihovi obdelavi na evropskem pravosodnem portalu (v nadaljnjem besedilu: portal).
Člen 2
Opredelitve pojmov
V tem sklepu se uporabljajo opredelitve pojmov iz Uredbe (ES) št. 45/2001. Poleg teh se uporabljajo tudi naslednje opredelitve pojmov:
(a)
„soustvarjalec portala“ pomeni vsakega predstavnika države članice ali partnerske organizacije evropskega pravosodnega portala, ki mu je bilo izdano dovoljenje, da spremeni vsebino ali del vsebine portala;
(b)
„medsebojno povezane nacionalne zbirke podatkov“ pomenijo podatkovne zbirke javno dostopnih informacij, ki jih uporabljajo države članice in drugi subjekti (kot so poklicna združenja in neprofitne organizacije) ter so medsebojno povezane prek portala tako, da je do informacij, ki so na voljo na nacionalni ravni, mogoče dostopati prek portala;
(c)
„javno dostopne informacije“ pomenijo informacije, ki so na voljo javnosti prek interneta;
(d)
„registrirani uporabnik“ pomeni uporabnika portala, ki je registriran na portalu prek Avtentifikacijske storitve Evropske komisije (ECAS), kot je „soustvarjalec portala“.
Člen 3
Obdelava podatkov
Komisija obdeluje osebne podatke na portalu samo, v kolikor je to potrebno za:
(a)
zagotavljanje dostopa do medsebojno povezanih nacionalnih zbirk osebnih podatkov;
(b)
zagotavljanje interaktivnih storitev, ki registriranim uporabnikom omogočajo neposredno komuniciranje z ustreznimi organi v drugi državi članici;
(c)
zagotavljanje dostopa do informacij javnega značaja, namenjenih registriranim uporabnikom;
(d)
zagotavljanje kontaktnih podatkov.
Člen 4
Odgovornost upravljavca podatkov
1. Komisija na podlagi člena 2(d) Uredbe (ES) št. 45/2001 izvaja odgovornosti upravljavca podatkov v skladu s svojimi odgovornostmi v okviru portala, kakor je navedeno v tem členu.
2. Komisija zagotavlja razpoložljivost, vzdrževanje in varnost infrastrukture informacijske tehnologije portala.
3. Komisija je odgovorna za naslednje postopke obdelave:
(a)
organizacijo;
(b)
posredovanje s prenosom;
(c)
širjenje ali drugo omogočanje dostopnosti;
(d)
usklajevanje ali kombiniranje osebnih podatkov, pridobljenih iz medsebojno povezanih nacionalnih zbirk podatkov, ali osebnih podatkov registriranih uporabnikov.
4. Komisija opredeli potrebne politike in uporabi ustrezne tehnične rešitve, da bi izpolnila svoje obveznosti v okviru funkcije upravljavca podatkov.
5. Komisija izvaja tehnične ukrepe, ki so potrebni za zagotavljanje varnosti osebnih podatkov v tranzitu in med prikazovanjem na portalu, zlasti glede zaupnosti in celovitosti vsakega prenosa na portal in z njega.
6. Komisija ni odgovorna za noben vidik varstva podatkov v zvezi z:
(a)
začetnim zbiranjem in shranjevanjem vseh podatkov, ki so pridobljeni iz medsebojno povezanih nacionalnih zbirk podatkov;
(b)
kakršno koli odločitvijo, ki jo sprejmejo države članice, da bi omogočile razpoložljivost takšnih podatkov na portalu;
(c)
vsebino vseh podatkov, ki so pridobljeni iz medsebojno povezanih nacionalnih zbirk podatkov, dostopnih prek portala.
7. Obveznosti Komisije ne vplivajo na odgovornost držav članic in drugih subjektov za vsebino in delovanje medsebojno povezanih nacionalnih zbirk podatkov, ki jih upravljajo.
Člen 5
Obveznost obveščanja
1. Komisija posameznikom, na katere se nanašajo osebni podatki, zagotovi informacije iz členov 11 in 12 Uredbe (ES) št. 45/2001, kar zadeva informacije, za katere je odgovorna v skladu s tem sklepom.
2. Ne glede na obveznosti držav članic in drugih subjektov, ki upravljajo z medsebojno povezanimi nacionalnimi zbirkami podatkov, do posameznikov, na katere se nanašajo osebni podatki, Komisija posameznikom, na katere se nanašajo osebni podatki, zagotovi tudi informacije o tem, na koga naj se obrnejo, da bodo lahko učinkovito uveljavljali svoje pravice do informacij, dostopa, popravka in ugovora v skladu z veljavno zakonodajo na področju varstva podatkov. Komisija se sklicuje na posebne izjave držav članic in drugih subjektov o zasebnosti.
3. Poleg tega da Komisija na portalu na voljo tudi:
(a)
obvestila držav članic o zasebnosti iz odstavka 2, ki so prevedena v jezike portala;
(b)
izčrpno obvestilo o varovanju zasebnosti v zvezi s portalom v skladu s členoma 11 in 12 Uredbe (ES) št. 45/2001 v jasni in razumljivi obliki.
Člen 6
Shranjevanje osebnih podatkov
1. Kar zadeva izmenjavo informacij iz medsebojno povezanih nacionalnih zbirk podatkov, se na portalu ne hranijo osebni podatki v zvezi s posamezniki, na katere se nanašajo osebni podatki. Vsi takšni podatki se hranijo v nacionalnih zbirkah podatkov, s katerimi upravljajo države članice ali drugi subjekti.
2. Osebni podatki v zvezi z uporabniki portala ali osebni podatki, ki so jih zagotovili uporabniki portala, se ne hranijo na portalu, razen v primerih, ko so se uporabniki na portal prijavili kot registrirani uporabniki. Osebni podatki registriranih uporabnikov se hranijo, dokler registrirani uporabniki ne zahtevajo izbrisa registracije. V skladu s členom 3 se osebni podatki soustvarjalcev portala ali kontaktnih točk hranijo samo, dokler te osebe izpolnjujejo svojo funkcijo.
Člen 7
Začetek veljavnosti
Ta sklep začne veljati dvajseti dan po objavi v Uradnem listu Evropske unije.
V Bruslju, 5. junija 2014