ROZHODNUTÍ RADY
ze dne 13. září 2004,
kterým se přijímají prováděcí pravidla k nařízení Evropského parlamentu a Rady (ES) č. 45/2001 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů orgány a institucemi Společenství a o volném pohybu těchto údajů
(2004/644/ES)
RADA EVROPSKÉ UNIE,
s ohledem na Smlouvu o založení Evropského společenství, a zejména na článek 286 této smlouvy,
s ohledem na nařízení Evropského parlamentu a Rady (ES) č. 45/2001 (1), a zejména na čl. 24 odst. 8 uvedeného nařízení,
vzhledem k těmto důvodům:
(1)
Nařízení (ES) č. 45/2001 (dále jen „nařízení“) stanoví zásady a pravidla vztahující se na všechny orgány a instituce Společenství a umožňuje ustanovení inspektora ochrany údajů každým orgánem a institucí Společenství.
(2)
Podle čl. 24 odst. 8 uvedeného nařízení přijme prováděcí pravidla týkající se inspektora ochrany údajů každý orgán nebo instituce Společenství v souladu s ustanoveními přílohy uvedeného nařízení. Tato prováděcí pravidla se týkají zejména úkolů, povinností a pravomocí inspektora ochrany údajů.
(3)
Prováděcí pravidla rovněž upřesní postupy pro výkon práv subjektů údajů a pro plnění povinností všech dotčených činitelů v orgánech nebo institucích Společenství týkajících se zpracování osobních údajů.
(4)
Prováděcími pravidly nařízení není dotčeno nařízení (ES) č. 1049/2001 (2), rozhodnutí 2004/338/ES, Euratom (3), a zejména příloha II uvedeného rozhodnutí, rozhodnutí 2001/264/ES (4), a zejména oddíl VI část II uvedeného rozhodnutí, jakož i rozhodnutí generálního tajemníka Rady, vysokého představitele pro společnou zahraniční a bezpečnostní politiku ze dne 25. června 2001 (5),
ROZHODLA TAKTO:
ODDÍL 1
OBECNÁ USTANOVENÍ
Článek 1
Předmět a oblast působnosti
Toto rozhodnutí stanoví další prováděcí pravidla k nařízení Evropského parlamentu a Rady (ES) č. 45/2001, dále jen „nařízení“, pokud jde o Radu Evropské unie.
Článek 2
Definice
Pro účely tohoto rozhodnutí, a aniž jsou dotčeny definice stanovené nařízením, se rozumí:
a)
„správcem“ orgán, generální ředitelství, ředitelství, divize, jednotka nebo jakákoli jiná organizační složka, která sama nebo společně s jinými určuje účel a způsob zpracování osobních údajů, definované v oznámení, které je třeba zaslat inspektorovi ochrany údajů v souladu s článkem 25 nařízení;
b)
„kontaktní osobou“ správní pracovník nebo pracovníci generálního ředitelství, a pokud ne, jiný zaměstnanec, jehož určí generální ředitelství po poradě s inspektorem ochrany údajů jako svého zástupce k řešení otázek ochrany údajů v úzké spolupráci s inspektorem ochrany údajů;
c)
„zaměstnanci generálního sekretariátu Rady“ všichni úředníci a ostatní osoby generálního sekretariátu Rady, na které se vztahuje služební řád úředníků Evropských společenství a pracovní řád ostatních zaměstnanců Evropských společenství, stanovený v nařízení (EHS, Euratom, ESUO) č. 259/68 (6), nebo kteří pracují pro generální sekretariát Rady na smluvním základě (praktikanti, konzultanti, smluvní partneři, úředníci vyslaní členskými státy).
ODDÍL 2
INSPEKTOR OCHRANY ÚDAJŮ
Článek 3
Jmenování a úkoly inspektora ochrany údajů
1. Náměstek generálního tajemníka Rady jmenuje inspektora ochrany údajů a sdělí jeho jméno evropskému inspektorovi ochrany údajů. Inspektor ochrany údajů je přímo podřízen náměstkovi generálního tajemníka Rady.
2. Funkční období inspektora ochrany údajů činí tři roky a může být jmenován dvakrát opětovně.
3. Při výkonu svých povinností jedná inspektor ochrany údajů nezávisle a ve spolupráci s evropským inspektorem ochrany údajů. Zejména nesmí přijímat žádné příkazy od jmenovacího orgánu generálního sekretariátu Rady ani od nikoho jiného ohledně vnitřního uplatňování nařízení nebo ohledně jeho spolupráce s evropským inspektorem ochrany údajů.
4. Plnění úkolů a povinností inspektora ochrany údajů se vyhodnotí po předběžné konzultaci s evropským inspektorem ochrany údajů. Inspektor ochrany údajů může být odvolán z funkce pouze se souhlasem evropského inspektora ochrany údajů, přestane-li splňovat podmínky požadované pro její výkon.
5. Inspektor ochrany údajů musí být, aniž je dotčen postup pro jeho jmenování, informován o všech stycích s vnějšími stranami týkajících se provádění nařízení, zejména pokud jde o styk s evropským inspektorem ochrany údajů.
6. Aniž jsou dotčena odpovídající ustanovení nařízení, podléhají inspektor ochrany údajů a jeho zaměstnanci pravidlům a nařízením platným pro úředníky a ostatní zaměstnance Evropských společenství.
Článek 4
Úkoly
Inspektor ochrany údajů
a)
zajišťuje, aby správce a subjekty údajů byli informováni o svých právech a povinnostech vyplývajících z tohoto nařízení. V rámci tohoto úkolu zejména vypracovává informační a oznamovací tiskopisy, konzultuje zúčastněné strany a zvyšuje obecné povědomí o otázkách ochrany údajů;
b)
odpovídá na žádosti evropského inspektora ochrany údajů a v oblasti své působnosti spolupracuje s evropským inspektorem ochrany údajů na jeho žádost nebo z vlastního podnětu;
c)
zajišťuje nezávislým způsobem vnitřní uplatňování nařízení v generálním sekretariátu Rady;
d)
vede rejstřík zpracování, která byla provedena správci, a zajišťuje všem osobám přístup k rejstříku buď přímo, nebo nepřímo prostřednictvím evropského inspektora ochrany údajů;
e)
oznamuje evropskému inspektorovi ochrany údajů zpracování, která mohou představovat zvláštní rizika ve smyslu čl. 27 odst. 2 nařízení;
f)
dbá tak o to, aby při zpracování nedocházelo k poškozování práv a svobod subjektů údajů.
Článek 5
Povinnosti
1. Kromě obecných úkolů inspektor ochrany údajů
a)
působí jako poradce jmenovacího orgánu generálního sekretariátu Rady a správců v otázkách uplatňování předpisů o ochraně údajů. Jmenovací orgán nebo dotyční správci, příslušný výbor zaměstnanců nebo jakákoli fyzická osoba mohou inspektora ochrany údajů konzultovat přímo, aniž by využívaly úřední cesty, k jakékoli otázce týkající se výkladu nebo používání nařízení;
b)
vyšetřuje z vlastního podnětu nebo na žádost jmenovacího orgánu, správců, výboru zaměstnanců nebo jakékoli fyzické osoby otázky a skutečnosti, které přímo souvisejí s jeho úkoly a o kterých se dozví, a podává zprávu jmenovacímu orgánu nebo osobě, která o šetření požádala. Považuje-li se to za vhodné, měly by být vhodným způsobem informovány všechny ostatní dotyčné strany. Je-li stěžovatelem fyzická osoba nebo v případě, že stěžovatel jedná jménem fyzické osoby, musí inspektor ochrany údajů v rámci možností zajistit důvěrnost žádosti, pokud dotyčný subjekt údajů nedá jednoznačný souhlas k jinému vyřízení žádosti;
c)
spolupracuje při výkonu své funkce s inspektory ochrany údajů jiných orgánů a institucí Společenství, zejména výměnou zkušeností a osvědčené praxe;
d)
zastupuje generální sekretariát Rady ve všech otázkách souvisejících s ochranou údajů; aniž je dotčeno rozhodnutí 2004/338/ES, Euratom, může zastupování zahrnovat účast inspektora ochrany údajů v příslušných výborech nebo na fórech na mezinárodní úrovni;
e)
předkládá výroční zprávu o své činnosti náměstkovi generálního tajemníka Rady a zpřístupní ji zaměstnancům.
2. Aniž jsou dotčeny čl. 4 písm. b), čl. 5 odst. 1 písm. b) a c) a článek 15, nesmějí inspektor ochrany údajů a jeho zaměstnanci sdělovat informace nebo zpřístupňovat dokumenty, které získají při výkonu své funkce.
Článek 6
Pravomoci
Při plnění svých úkolů a povinností inspektor ochrany údajů
a)
má kdykoli přístup k údajům, které jsou předmětem zpracování, do všech kanceláří, zařízení pro zpracování údajů a k nosičům dat;
b)
může si vyžádat právní stanovisko od právní služby Rady;
c)
může si vyžádat služby externích odborníků v oblasti informačních technologií po předchozím souhlasu schvalující osoby v souladu s nařízením Rady (ES, Euratom) č. 1605/2002 ze dne 25. června 2002, kterým se stanoví finanční nařízení o souhrnném rozpočtu Evropských společenství1 (7), a prováděcími pravidly k němu;
d)
aniž jsou dotčeny povinnosti a pravomoci evropského inspektora ochrany údajů, může navrhovat generálnímu sekretariátu Rady správní opatření a vydávat obecná doporučení o vhodném uplatňování nařízení;
e)
může v konkrétních případech vydávat veškerá jiná doporučení generálnímu sekretariátu Rady nebo všem ostatním dotčeným stranám k praktickému zdokonalení ochrany údajů v praxi;
f)
může upozornit jmenovací orgán generálního sekretariátu Rady, že některý zaměstnanec porušil povinnosti vyplývající z nařízení, a navrhnout zahájení správního šetření s ohledem na případné použití článku 49 nařízení.
Článek 7
Prostředky
Inspektor ochrany údajů má k dispozici dostatečný počet zaměstnanců a prostředky nezbytné k plnění jeho povinností.
ODDÍL 3
PRÁVA A POVINNOSTI ČINITELŮ V OBLASTI OCHRANY ÚDAJŮ
Článek 8
Jmenovací orgán
1. V případě stížnosti podle článku 90 nařízení (ES, Euratom) č. 723/2004 týkající se porušení nařízení se jmenovací orgán poradí s inspektorem ochrany údajů, který vydá písemné stanovisko nejpozději do patnácti dnů od obdržení žádosti. Nevydá-li inspektor ochrany údajů po skončení této lhůty jmenovacímu orgánu stanovisko, nebude již vyžadováno. Jmenovací orgán není stanoviskem inspektora ochrany údajů vázán.
2. Inspektor ochrany údajů je uvědoměn, kdykoli je posuzována otázka, která má nebo může mít význam pro ochranu údajů.
Článek 9
Správci
1. Správci jsou povinni zajistit, aby veškerá jimi řízená zpracování byla v souladu s nařízením.
2. Správci zejména
a)
předem uvědomí inspektora ochrany údajů o zahájení každého zpracování nebo souboru zpracování pro týž účel nebo pro několik souvisejících účelů a o každé podstatné změně stávajícího zpracování. Správce neprodleně oznámí zpracování prováděné před vstupem nařízení v platnost ke dni 1. února 2001;
b)
jsou nápomocni inspektorovi ochrany údajů a evropskému inspektorovi ochrany údajů při plnění jejich povinností, zejména podáváním informací v odpovědi na jejich otázky nejpozději do tří dnů;
c)
přijímají vhodná technická a organizační opatření a vydávají vhodné pokyny zaměstnancům generálního sekretariátu Rady, aby zajistili důvěrnost zpracování údajů i úroveň bezpečnosti odpovídající rizikům vyplývajícím ze zpracování;
d)
v případě potřeby konzultují inspektora ochrany údajů k souladu určitého zpracování s nařízením, zejména mají-li důvod se domnívat, že určitá zpracování nejsou v souladu s články 4 a 10 nařízení. Mohou rovněž konzultovat inspektora ochrany údajů a bezpečnostní odborníky v oblasti informačních technologií na generálním ředitelství A, v bezpečnostním úřadu a úřadu pro bezpečnost informací (INFOSEC) o otázkách týkajících se důvěrnosti zpracování a o bezpečnostních opatření přijatých podle článku 22 nařízení.
Článek 10
Kontaktní osoby
1. Aniž je dotčena odpovědnost inspektora ochrany údajů, kontaktní osoba
a)
je nápomocna svému generálnímu ředitelství nebo jednotce při vedení seznamu všech stávajících zpracováních osobních údajů;
b)
je nápomocna svému generálnímu ředitelství nebo jednotce při zjišťování správců;
c)
má právo získávat od správců a jejich zaměstnanců odpovídající a nezbytné informace, jež potřebuje pro plnění svých správních úkolů na generálním ředitelství nebo v jednotce. Toto právo nezahrnuje právo přístupu k osobním údajům zpracovávaných v rámci působnosti správce.
2. Aniž je dotčena působnost správců, kontaktní osoba
a)
je nápomocna správcům v plnění jejich povinností;
b)
v případě potřeby usnadňuje komunikaci mezi inspektorem ochrany údajů a správci.
Článek 11
Zaměstnanci generálního sekretariátu Rady
1. Všichni zaměstnanci generálního sekretariátu Rady přispívají zejména k uplatňování pravidel důvěrnosti a bezpečnosti zpracování osobních údajů, jak je stanoveno v článku 21 a 22 nařízení. Žádný zaměstnanec generálního sekretariátu Rady s přístupem k osobním údajům je nesmí zpracovávat jinak než podle pokynů správce, pokud to nevyžaduje vnitrostátní právo nebo právo Společenství.
2. Každý zaměstnanec generálního sekretariátu Rady může podat evropskému inspektorovi ochrany údajů stížnost na údajné porušení nařízení o zpracování osobních údajů, aniž by přitom postupoval úřední cestou, jak je vymezeno v pravidlech stanovených evropským inspektorem ochrany údajů.
Článek 12
Subjekty údajů
1. Kromě práva subjektů údajů být přiměřeně informován o každém zpracování osobních údajů, které se jich týkají, v souladu s článkem 11 a 12 nařízení se mohou subjekty údajů obracet na dotyčné správce, aby vykonali svá práva podle článku 13 až 19 nařízení, jak je vymezeno v oddíle 5 tohoto rozhodnutí.
2. Aniž je dotčen soudní přezkum, může každý subjekt údajů, má-li za to, že v důsledku zpracování jeho osobních údajů Rada porušila jeho práva zakotvená v nařízení, podat stížnost evropskému inspektorovi ochrany údajů, jak je vymezeno pravidly stanovenými evropským inspektorem ochrany údajů.
3. Nikomu nesmí být na újmu, že podal evropskému inspektorovi ochrany údajů stížnost nebo upozornil inspektora ochrany údajů na údajné porušení nařízení.
ODDÍL 4
REJSTŘÍK OZNÁMENÝCH ZPRACOVÁNÍ
Článek 13
Oznamovací postup
1. Správce oznámí inspektorovi ochrany údajů každé zpracování osobních údajů na oznamovacím tiskopise, který je k dispozici na intranetové stránce generálního sekretariátu Rady (ochrana údajů). Oznámení se předává inspektorovi ochrany údajů elektronicky. Do deseti pracovních dnů se inspektorovi ochrany údajů zasílá ve formě zprávy potvrzující oznámení. Po obdržení potvrzujícího oznámení je inspektor ochrany údajů zveřejní v rejstříku.
2. Oznámení obsahuje všechny informace určené v čl. 25 odst. 2 nařízení. Každá změna, která ovlivní tyto informace, musí být neprodleně sdělena inspektorovi ochrany údajů.
3. Další pravidla a postupy týkající se oznamovacího postupu, kterým se mají správci řídit, jsou součástí obecných doporučení vydaných inspektorem ochrany údajů.
Článek 14
Obsah a účel rejstříku
1. Inspektor ochrany údajů spravuje rejstřík prováděných zpracování osobních údajů, který je založen na oznámeních obdržených od správců.
2. Rejstřík obsahuje alespoň informace uvedené v čl. 25 odst. 2 písm. a) až g) nařízení. Avšak informace, která je zapsána v rejstříku inspektorem ochrany údajů, může být výjimečně omezena, je-li to nezbytné k zajištění bezpečnosti konkrétního zpracování.
3. Rejstřík slouží jako seznam zpracování osobních údajů provedených v Radě. Poskytuje informace subjektům údajů a usnadňuje jim výkon jejich práv stanovených v článcích 13 až 19 nařízení.
Článek 15
Přístup do rejstříku
1. Inspektor ochrany údajů přijme vhodná opatření, aby měl každý přístup k rejstříku buď přímo, nebo nepřímo prostřednictvím evropského inspektora ochrany údajů. Inspektor ochrany údajů zejména poskytne zúčastněným osobám informace a pomoc, pokud jde o způsob, jakým lze podávat žádosti o přístup do rejstříku, a místo, kde tak lze učinit.
2. Kromě případu, kdy je zajištěn přístup on-line, se žádosti o přístup do rejstříku podávají v písemné podobě, včetně elektronické, v některém z jazyků uvedených v článku 314 Smlouvy a dostatečně přesným způsobem, který umožní inspektorovi ochrany údajů určit dotyčné zpracování. Žadateli se neprodleně zašle potvrzení o přijetí žádosti.
3. Není-li žádost dostatečně přesná, požádá inspektor ochrany údajů žadatele, aby ji upřesnil, a je mu při tom nápomocen. V případě žádosti, která se týká velkého počtu zpracování, může inspektor ochrany údajů tuto skutečnost žadateli neformálně sdělit s cílem nalézt nejvhodnější řešení.
4. Každý může požádat inspektora ochrany údajů o kopii informací, které jsou přístupné v rejstříku, o kterémkoli oznámeném zpracování.
ODDÍL 5
POSTUP PRO SUBJEKTY ÚDAJŮ PŘI VÝKONU JEJICH PRÁV
Článek 16
Obecná ustanovení
1. Práva subjektů údajů uvedená v tomto oddílu mohou vykonávat pouze dotčené fyzické osoby nebo, ve výjimečných případech, je lze s řádným zmocněním vykonávat jménem těchto osob. Žádosti se podávají v písemné podobě příslušnému správci s kopií inspektorovi ochrany údajů. V případě potřeby je inspektor ochrany údajů nápomocen subjektu údajů v určení příslušného správce. Inspektor ochrany údajů poskytne potřebné zvláštní tiskopisy. Správci vyhoví žádosti pouze tehdy, je-li tiskopis zcela vyplněn a totožnost stěžovatele je řádně ověřena. Výkon práv subjektů údajů je bezplatný.
2. Správce zašle žadateli potvrzení o přijetí do pěti pracovních dnů od registrace žádosti. Není-li stanoveno jinak, odpoví správce na žádost nejpozději do 15 pracovních dnů od registrace žádosti a buď žádosti vyhoví, nebo písemně sdělí důvody pro úplné nebo částečné zamítnutí, zejména v případech, kdy žadatel není považován za subjekt údajů.
3. V případě nesrovnalostí nebo zjevného zneužití výkonu práv subjektem údajů, a tvrdí-li subjekt údajů, že zpracování je nezákonné, je správce povinen konzultovat inspektora ochrany údajů k této žádosti nebo odkázat subjekt údajů na inspektora ochrany údajů, který rozhodne o přípustnosti žádosti a dalším vhodném postupu.
4. Každá dotyčná osoba může konzultovat inspektora ochrany údajů k výkonu svých práv v konkrétním případě. Aniž je dotčen soudní přezkum, může každý subjekt údajů, má-li za to, že jeho práva podle nařízení byla porušena v důsledku zpracování jeho osobních údajů, podat stížnost evropskému inspektorovi ochrany údajů.
Článek 17
Právo na přístup
Subjekt údajů má právo získat od správce bez omezení kdykoli do tří měsíců od obdržení žádosti informace uvedené v čl. 13 písm. a) až d) nařízení, a to buď nahlédnutím do těchto údajů na místě, nebo obdržením kopie, včetně případně kopie v elektronické podobě, podle toho, čemu dává žadatel přednost.
Článek 18
Právo na opravu
Každá žádost subjektu údajů o opravu nepřesných nebo neúplných osobních údajů musí uvádět dotyčné údaje a opravu, kterou je třeba provést. Správce musí opravu provést neprodleně.
Článek 19
Právo na blokování
Správce vyřídí neprodleně jakoukoli žádost o blokování údajů podle článku 15 nařízení. Žádost musí uvádět dotyčné údaje a důvody pro jejich blokování. O odblokování uvědomí správce předem subjekt údajů, který podal tuto žádost.
Článek 20
Právo na výmaz
Subjekt údajů může žádat správce o neprodlený výmaz údajů v případě jejich nezákonného zpracování, zejména v případech porušení článků 4 až 10 nařízení. Žádost musí uvádět dotyčné údaje a důvody nebo důkazy o nezákonnosti zpracování. V systémech automatického zpracování dat se výmaz zajistí v zásadě všemi vhodnými technickými prostředky, jež znemožňují jakékoli další zpracování vymazaných údajů. Není-li výmaz z technických důvodů možný, provede správce po konzultaci s inspektorem ochrany údajů a dotyčnou osobou neprodlené zablokování těchto údajů.
Článek 21
Oznámení třetí osobě
Subjekt údajů může v případě jakékoli opravy, blokování nebo výmazu na základě své žádosti dosáhnout toho, že je správce oznámí třetím osobám, kterým byly osobní údaje subjektu sděleny, pokud se to neukáže jako nemožné nebo to nevyžaduje nepřiměřené úsilí.
Článek 22
Právo na námitku
Subjekt údajů může v souladu s článkem 18 nařízení vznést námitku proti zpracování svých osobních údajů a proti jejich sdělení nebo využití. Žádost musí uvádět dotyčné údaje a odůvodnění žádosti. Je-li námitka důvodná, nesmí se dané zpracování již těchto údajů týkat.
Článek 23
Automatizovaná jednotlivá rozhodnutí
Subjekt údajů má právo nestát se subjektem automatizovaného jednotlivého rozhodnutí, jak uvádí článek 19 nařízení, ledaže je toto rozhodnutí výslovně povoleno podle vnitrostátních právních předpisů nebo právních předpisů Společenství nebo rozhodnutím evropského inspektora ochrany údajů, které chrání oprávněné zájmy subjektu údajů. V každém případě musí mít subjekt údajů možnost předem vyjádřit svůj názor a konzultovat inspektora ochrany údajů.
Článek 24
Výjimky a omezení
1. Správce může omezit práva uvedená v článcích 17 až 21 tohoto rozhodnutí, pokud k tomu vedou oprávněné důvody uvedené v článku 20 nařízení. S výjimkou případů naprosté naléhavosti správce nejprve konzultuje inspektora ochrany údajů, jehož stanovisko není pro orgán závazné. Správce neprodleně odpoví na žádosti o použití výjimek nebo omezení výkonu práv a své rozhodnutí odůvodní.
2. Každá dotčená osoba může požádat evropského inspektora ochrany údajů o použití čl. 47 odst. 1 písm. c) nařízení.
ODDÍL 6
POSTUP ŠETŘENÍ
Článek 25
Praktické postupy
1. Žádost o šetření se podává inspektorovi ochrany údajů písemně, na zvláštním tiskopise, který inspektor poskytne. V případě zjevného zneužití práva požadovat šetření, například pokud táž osoba podala nedávno stejnou žádost, není inspektor ochrany údajů povinen žadateli odpovídat.
2. Do patnácti dnů od obdržení zašle inspektor ochrany údajů potvrzení o přijetí jmenovacímu orgánu nebo osobě, která požádala o šetření, a ověří, zda má být žádost považována za důvěrnou.
3. Inspektor ochrany údajů si vyžádá od správce, který je odpovědný za dané zpracování údajů, písemné vyjádření k věci. Správce podá inspektorovi ochrany údajů odpověď do patnácti dnů. Inspektor ochrany údajů si může vyžádat doplňující informace od jiných stran, jako je bezpečnostní úřad a úřad pro bezpečnost informací (INFOSEC) generálního sekretariátu Rady. Ve vhodných případech si může si vyžádat stanovisko právní služby Rady. Informace nebo stanoviska se inspektorovi ochrany údajů poskytují do třiceti dnů.
4. Inspektor ochrany údajů podává odpověď jmenovacímu orgánu nebo osobě, která podala žádost, nejpozději tři měsíce od jejího obdržení.
ODDÍL 7
ZÁVĚREČNÁ USTANOVENÍ
Článek 26
Účinek
Toto rozhodnutí nabývá účinku prvním dnem po zveřejnění v Úředním věstníku Evropské unie.
V Bruselu dne 13. září 2004.