ROZHODNUTÍ KOMISE
ze dne 5. června 2014
o ochraně osobních údajů v portálu evropské e-justice
(2014/333/EU)
EVROPSKÁ KOMISE,
s ohledem na Smlouvu o fungování Evropské unie,
po konzultaci s evropským inspektorem ochrany údajů,
vzhledem k těmto důvodům:
(1)
Ve svém sdělení z května 2008 (1) Komise uvedla, že bude pracovat na konceptu a zprovoznění portálu evropské e-justice (dále jen „portál“), jehož řízení se ujme v úzké spolupráci s členskými státy.
(2)
Víceletý akční plán v oblasti evropské e-justice na období let 2009-2013 (2) ze dne 8. listopadu 2008 pověřil realizací portálu Evropskou komisi. Portál byl spuštěn dne 16. července 2010. Vzhledem k tomu, že portál je teprve nyní připraven na první propojení vnitrostátních rejstříků, jež obnáší zpracování osobních údajů, stalo se přijetí tohoto rozhodnutí nezbytným až za současné situace.
(3)
Cílem portálu je přispět k realizaci evropského soudního prostoru, a to usnadněním a podporou přístupu ke spravedlnosti a posílení informačních a komunikačních technologií, jež mají usnadnit přeshraniční elektronické soudní řízení a justiční spolupráci.
(4)
Orgány, subjekty, úřady a agentury Evropské unie stejně jako členské státy musí při provádění právních předpisů Unie ctít základní práva a dodržovat zásady uznané Listinou základních práv Evropské unie, zejména právo na ochranu osobních údajů stanovené v článku 8 uvedené listiny.
(5)
Vzhledem k tomu, že řada rozmanitých úkolů a funkcí Komise a členských států týkající se portálu obnáší rozličné povinnosti a závazky, pokud jde o ochranu údajů, je nezbytné, aby tyto byly jasně vymezeny.
(6)
S ohledem na zvláštní povahu činností souvisejících s portálem e-justice, vytvořených na základě spolupráce mezi Komisí a členskými státy, je úloha Komise při zpracování osobních údajů prostřednictvím portálu omezená. Je třeba upřesnit, že Komise nenese žádnou odpovědnost za obsah vzájemně propojených vnitrostátních databází, který je prostřednictvím portálu dostupný.
(7)
Zpracovávání osobních údajů Komisí v rámci portálu se řídí nařízením Evropského parlamentu a Rady (ES) č. 45/2001 (3). V této souvislosti je Komise zejména odpovědná za poskytování infrastruktury IT pro funkce portálu, včetně propojení vnitrostátních databází.
(8)
V souladu s nařízením (ES) č. 45/2001 by mělo být výslovně uvedeno, pro jaké účely se osobní údaje zpracovávají. Komise by tudíž měla osobní údaje v rámci portálu zpracovávat pouze za účelem poskytnutí přístupu k vzájemně propojeným vnitrostátním databázím s osobními údaji, poskytnutí interaktivních služeb umožňujícím uživatelům komunikovat přímo s příslušnými orgány v jiném členském státě, poskytnutí přístupu k veřejným informacím pro registrované uživatele nebo poskytnutí kontaktních údajů.
(9)
Komise by se měla opřít o systémové technologie, které zohledňují koncepci „ochrany údajů již od návrhu“. Při uplatňování této koncepce by mělo být při návrhu funkce spojené se zpracováním osobních údajů prostřednictvím portálu, jakož i jiných funkcí portálu, provedeno posouzení dopadů na ochranu soukromí a osobních údajů. Toto posouzení určí potenciální rizika v souvislosti s ochranou údajů. Rovněž uvede vhodná opatření a záruky, které mají být začleněny do systému ochrany osobních údajů.
(10)
Při provádění činností souvisejících s propojením vnitrostátních databází by Komise měla nepřetržitě a náležitě posuzovat bezpečnost.
(11)
Prostřednictvím portálu mohou být dostupné pouze informace, které jsou v propojených vnitrostátních databázích veřejně přístupné. Portál by neměl umožňovat, aby byly pro různé účely kombinovány údaje z různých vzájemně propojených vnitrostátních databází,
PŘIJALA TOTO ROZHODNUTÍ:
Článek 1
Předmět
Toto rozhodnutí stanoví funkce a povinnosti Evropské komise v souvislosti s požadavky na ochranu údajů při zpracovávání osobních údajů v rámci evropského portálu e-justice (dále jen „portál“).
Článek 2
Definice
Pro účely tohoto rozhodnutí se použijí definice stanovené nařízením (ES) č. 45/2001. Vedle toho se rozumí:
a)
„účastníkem evropské e-justice“ každý zástupce členského státu nebo partnerské organizace evropské e-justice, jemuž bylo uděleno povolení měnit obsah portálu (jeho částí);
b)
„vzájemně propojenými vnitrostátními databázemi“ databáze, které obsahují veřejně přístupné informace, provozované členskými státy a jinými subjekty, jako jsou profesní sdružení a neziskové organizace, které jsou propojeny prostřednictvím portálu tak, že informace přístupné na vnitrostátní úrovni jsou dostupné přes portál;
c)
„veřejně přístupnými informacemi“ informace, které jsou přístupné veřejnosti prostřednictvím internetu;
d)
„registrovaným uživatelem“ uživatel portálu, který se v portálu registroval prostřednictvím ověřovací služby Evropské komise (ECAS), např. jako „účastník evropské e-justice“.
Článek 3
Zpracovávání údajů
Komise zpracovává osobní údaje v rámci portálu pouze v rozsahu nezbytném pro účely:
a)
poskytnutí přístupu k vzájemně propojeným vnitrostátním databázím obsahujícím osobní údaje;
b)
poskytnutí interaktivních služeb, které registrovaným uživatelům umožní přímo komunikovat s příslušnými orgány v jiném členském státě;
c)
zajištění přístupu k veřejně dostupným informacím pro registrované uživatele;
d)
poskytnutí kontaktních údajů.
Článek 4
Povinnosti správce údajů
1. Komise vykonává své povinnosti správce údajů podle čl. 2 písm. d) nařízení (ES) č. 45/2001 v souladu se svými příslušnými povinnostmi v rámci portálu, jak je uvedeno v tomto článku.
2. Komise zajistí dostupnost, údržbu a bezpečnost infrastruktury IT portálu.
3. Komise odpovídá za tyto úkony související se zpracováním osobních údajů:
a)
uspořádávání;
b)
sdělení prostřednictvím přenosu;
c)
šíření nebo jakékoli jiné zpřístupnění;
d)
srovnávání či kombinování osobních údajů z propojených vnitrostátních databází nebo osobních údajů týkajících se registrovaných uživatelů.
4. Za účelem plnění svých povinností jakožto správce údajů Komise vymezí potřebné politiky a uplatní vhodná technická řešení.
5. Komise provádí technická opatření nutná k zajištění bezpečnosti při přenosu osobních údajů a jejich zobrazení na portálu, zejména důvěrnosti a integrity při jakémkoli jejich přenosu do portálu a z něj.
6. Komise nenese odpovědnost za žádný z aspektů ochrany údajů, které se týkají:
a)
počátečního shromažďování a uchovávání údajů z propojených vnitrostátních databází;
b)
jakýchkoli rozhodnutí přijatých členskými státy o zpřístupnění takových údajů prostřednictvím portálu;
c)
obsahu jakéhokoli údaje z vzájemně propojených vnitrostátních databází, který je dostupný prostřednictvím portálu.
7. Povinnostmi Komise není dotčena odpovědnost členských států a jiných subjektů za obsah a provoz propojených vnitrostátních databází, které spravují.
Článek 5
Informační povinnosti
1. Komise poskytne subjektům údajů informace uvedené v článcích 11 a 12 nařízení (ES) č. 45/2001, pokud jde o poskytování informací, za něž Komise podle tohoto rozhodnutí odpovídá.
2. Aniž jsou dotčeny její povinnosti vůči subjektům údajů členských států a jiných subjektů působících v rámci propojených vnitrostátních databází, Komise rovněž informuje subjekty údajů o tom, na koho se obrátit, aby mohly účinně využít svého práva na informace, na přístup, na opravu a na námitku podle příslušných právních předpisů na ochranu údajů. Komise odkáže na prohlášení o ochraně osobních údajů členských států a jiných orgánů.
3. Komise na portálu rovněž zpřístupní:
a)
překlady prohlášení členských států o ochraně osobních údajů, jak je uvedeno v odstavci 2, do příslušných jazyků portálu;
b)
ucelené prohlášení o ochraně osobních údajů týkající se portálu v souladu s články 11 a 12 nařízení (ES) č. 45/2001 v jasné a srozumitelné podobě.
Článek 6
Uchovávání osobních údajů
1. Pokud jde o výměnu informací z propojených vnitrostátních databází, žádné osobní údaje týkající se subjektů údajů nesmějí být na portálu uchovávány. Veškeré takové údaje se uchovávají ve vnitrostátních databázích provozovaných členskými státy nebo jinými subjekty.
2. Osobní údaje týkající se uživatelů portálu nebo osobní údaje jimi poskytované nesmějí být na portálu uchovávány, kromě případů, kdy se tito uživatelé přihlásili jako registrovaní uživatelé. Osobní údaje registrovaných uživatelů se uchovávají tak dlouho, dokud registrovaný uživatel nepožádá o zrušení své registrace. V souladu s článkem 3 se osobní údaje týkající se účastníků nebo kontaktních osob evropské e-justice uchovávají pouze po dobu, po kterou tyto osoby vykonávají svou funkci.
Článek 7
Datum použitelnosti
Toto rozhodnutí vstupuje v platnost dvacátým dnem po zveřejnění v Úředním věstníku Evropské unie.
V Bruselu dne 5. června 2014.
DECISIÓN DE LA COMISIÓN
de 5 de junio de 2014
sobre la protección de los datos personales en el Portal Europeo e-Justicia
(2014/333/UE)
LA COMISIÓN EUROPEA,
Visto el Tratado de Funcionamiento de la Unión Europea,
Previa consulta al Supervisor Europeo de Protección de Datos,
Considerando lo siguiente:
(1)
En su Comunicación de mayo de 2008 (1), la Comisión anunció la concepción y la instauración del Portal Europeo e-Justicia (en lo sucesivo denominado «el Portal»), gestionado en estrecha cooperación con los Estados miembros.
(2)
En el Plan de acción plurianual 2009-2013 relativo a la justicia en red europea (2), de 8 de noviembre de 2008, se encomendó a la Comisión Europea la puesta en marcha del Portal, cuya inauguración tuvo lugar el 16 de julio de 2010. La adopción de la presente Decisión no ha sido necesaria hasta ahora, momento en el que el Portal admite la primera interconexión de registros nacionales que implica el tratamiento de datos de carácter personal.
(3)
El objetivo del Portal es contribuir a la implantación del espacio judicial europeo, propiciando y mejorando el acceso a la justicia y movilizando las tecnologías de la información y comunicación para facilitar los procesos judiciales electrónicos transfronterizos y la cooperación judicial.
(4)
Las instituciones, órganos, oficinas y agencias de la Unión Europea, así como los Estados miembros, en su labor de aplicación del Derecho de la Unión, deben respetar los derechos fundamentales y observar los principios reconocidos en la Carta de los Derechos Fundamentales de la Unión Europea, en particular el derecho a la protección de los datos de carácter personal consagrado en el artículo 8 de dicha Carta.
(5)
Habida cuenta de que las diversas tareas y funciones encomendadas a la Comisión y a los Estados miembros en relación con el Portal llevan aparejadas distintas responsabilidades y obligaciones en materia de protección de datos, es preciso delimitarlas claramente.
(6)
El carácter específico de las actividades relacionadas con el Portal europeo e-Justicia, desarrolladas conjuntamente por la Comisión y los Estados miembros, hace que el papel de la Comisión en el tratamiento de datos personales a través del Portal sea limitado. Debe precisarse que la Comisión no tiene responsabilidad alguna en cuanto al contenido de las bases de datos nacionales interconectadas a través del Portal.
(7)
El Reglamento (CE) no 45/2001 del Parlamento Europeo y del Consejo (3) es aplicable al tratamiento de datos personales por la Comisión en el Portal. La Comisión es responsable, en particular, de aportar la infraestructura informática para las funciones del Portal, incluida la interconexión de las bases de datos nacionales.
(8)
De conformidad con el Reglamento (CE) no 45/2001, los fines del tratamiento de datos personales deben indicarse explícitamente. Por lo tanto, la Comisión solo debe proceder al tratamiento de datos personales en el Portal con la finalidad de facilitar el acceso a las bases de datos interconectadas que contengan datos personales, prestar servicios interactivos que permitan a los usuarios comunicarse directamente con las autoridades competentes de otro Estado miembro, facilitar el acceso a la información pública destinada a usuarios registrados, o proporcionar información de contacto.
(9)
La Comisión debe integrar en el sistema tecnologías que plasmen el concepto de «protección de datos desde el diseño». Para materializar ese concepto, deberá llevarse a cabo, durante la fase de diseño, una evaluación del impacto en la privacidad y la protección de datos de la función asociada con el tratamiento de datos personales a través del Portal, así como de otras funciones del Portal. Esa evaluación detectará todo posible riesgo para la protección de los datos. También determinará las medidas y salvaguardias oportunas que habrán de integrarse en el sistema con fines de protección de los datos personales.
(10)
La Comisión deberá llevar a cabo evaluaciones de seguridad continuas y apropiadas a medida que vaya desplegándose la actividad de interconexión de las bases de datos nacionales.
(11)
Solo podrá consultarse a través del Portal la información que esté a disposición del público en las bases de datos nacionales interconectadas. No deberá ser posible combinar la información procedente de distintas bases nacionales interconectadas para distintos fines a través del Portal.
HA ADOPTADO LA PRESENTE DECISIÓN:
Artículo 1
Objeto
La presente Decisión establece las funciones y responsabilidades de la Comisión Europea en relación con los requisitos de protección de datos al tratar datos personales en el Portal Europeo e-Justicia (en lo sucesivo denominado «el Portal»).
Artículo 2
Definiciones
A efectos de la presente Decisión, se aplicarán las definiciones establecidas en el Reglamento (CE) no 45/2001. Además, se aplicarán las siguientes definiciones:
a) «agente europeo de e-Justicia»: representante de un Estado miembro o de una organización asociada de e-Justicia europea al que se haya autorizado a modificar (parcialmente) el contenido del Portal;
b) «bases de datos nacionales interconectadas»: bases de datos que contengan información a disposición del público, gestionadas por los Estados miembros y otros organismos, como asociaciones profesionales y organizaciones sin ánimo de lucro y que estén interconectadas a través del Portal de forma que la información disponible a nivel nacional pueda consultarse a través del Portal;
c) «información a disposición del público»: información a la que pueda acceder el público a través de internet;
d) «usuario registrado»: usuario del Portal que se haya dado de alta en este, a través del Servicio de Autenticación de la Comisión Europea (ECAS), como «agente europeo de e-Justicia».
Artículo 3
Tratamiento de los datos
La Comisión procederá al tratamiento de los datos personales en el Portal únicamente en la medida en que sea necesario para:
a)
facilitar el acceso a las bases de datos nacionales interconectadas que contengan datos personales;
b)
prestar servicios interactivos que permitan a los usuarios registrados comunicarse directamente con las autoridades competentes de otro Estado miembro;
c)
facilitar el acceso a la información pública destinada a los usuarios registrados;
d)
proporcionar información de contacto.
Artículo 4
Funciones de responsable del tratamiento de los datos
1. La Comisión ejercerá las funciones de responsable del tratamiento de los datos de conformidad con el artículo 2, letra d), del Reglamento (CE) no 45/2001, en cumplimiento de las correspondientes responsabilidades del Portal a que se refiere el presente artículo.
2. La Comisión garantizará la disponibilidad, el mantenimiento y la seguridad de la infraestructura informática del Portal.
3. La Comisión será responsable de las operaciones de tratamiento siguientes:
a)
organización;
b)
comunicación por transmisión;
c)
difusión o cualquier otra forma de facilitación;
d)
alineación o combinación de datos personales derivados de la interconexión de las bases de datos nacionales o de los datos personales de los usuarios registrados.
4. La Comisión definirá los protocolos necesarios y aplicará las soluciones técnicas adecuadas para cumplir las responsabilidades que entraña la función de responsable del tratamiento de los datos.
5. La Comisión aplicará las medidas técnicas necesarias para garantizar la seguridad de los datos personales mientras estén en tránsito y durante su exposición en el Portal, y, en particular, la confidencialidad y la integridad de cualquier transmisión hacia y desde el Portal.
6. No podrá tenerse a la Comisión por responsable de los aspectos relativos a la protección de datos relacionados con:
a)
la recogida inicial y el almacenamiento de cualquier dato derivado de la interconexión de las bases de datos nacionales;
b)
cualquier decisión adoptada por los Estados miembros para facilitar esos datos a través del Portal;
c)
el contenido de cualquiera de los datos derivados de la interconexión de las bases de datos nacionales accesibles a través del Portal.
7. Las obligaciones de la Comisión se entienden sin perjuicio de las responsabilidades de los Estados miembros y de otros organismos en cuanto al contenido y el funcionamiento de las bases de datos nacionales interconectadas que mantengan.
Artículo 5
Obligaciones de información
1. La Comisión proporcionará a los interesados la información que se especifica en los artículos 11 y 12 del Reglamento (CE) no 45/2001 en lo que respecta a la información de la que la Comisión es responsable en virtud de la presente Decisión.
2. Sin perjuicio de las obligaciones para con los interesados de los Estados miembros y demás organismos que gestionen las bases de datos nacionales interconectadas, la Comisión comunicará también a los interesados a quién dirigirse para el ejercicio efectivo de sus derechos de información, acceso, rectificación y oposición, de conformidad con la legislación aplicable en materia de protección de datos. La Comisión hará referencia a las declaraciones específicas de confidencialidad de los Estados miembros y otros organismos.
3. Además, también facilitará en el Portal:
a)
traducciones, a las lenguas del Portal, de las declaraciones de confidencialidad de los Estados miembros a que se refiere el apartado 2;
b)
una cláusula de confidencialidad global correspondiente al Portal, redactada de forma clara y comprensible, de conformidad con los artículos 11 y 12 del Reglamento (CE) no 45/2001.
Artículo 6
Almacenamiento de datos personales
1. Por lo que respecta a los intercambios de información procedente de las bases de datos nacionales interconectadas, no se almacenarán en el Portal datos personales de los interesados. Todos esos datos se almacenarán en las bases de datos nacionales gestionadas por los Estados miembros u otros organismos.
2. Tampoco se almacenarán en el Portal los datos personales relativos a los usuarios del Portal o facilitados por ellos, salvo cuando se hayan dado de alta como usuarios registrados. Los datos personales de los usuarios registrados se almacenarán hasta que estos soliciten la supresión de su registro. De conformidad con lo dispuesto en el artículo 3, los datos personales de los agentes europeos o de los puntos de contacto de e-Justicia solo se almacenarán mientras esas personas sigan ejerciendo su función.
Artículo 7
Fecha de entrada en vigor
La presente Decisión entrará en vigor el vigésimo día siguiente al de su publicación en el Diario Oficial de la Unión Europea.
Hecho en Bruselas, el 5 de junio de 2014.