ROZHODNUTÍ KOMISE
ze dne 5. června 2014
o ochraně osobních údajů v portálu evropské e-justice
(2014/333/EU)
EVROPSKÁ KOMISE,
s ohledem na Smlouvu o fungování Evropské unie,
po konzultaci s evropským inspektorem ochrany údajů,
vzhledem k těmto důvodům:
(1)
Ve svém sdělení z května 2008 (1) Komise uvedla, že bude pracovat na konceptu a zprovoznění portálu evropské e-justice (dále jen „portál“), jehož řízení se ujme v úzké spolupráci s členskými státy.
(2)
Víceletý akční plán v oblasti evropské e-justice na období let 2009-2013 (2) ze dne 8. listopadu 2008 pověřil realizací portálu Evropskou komisi. Portál byl spuštěn dne 16. července 2010. Vzhledem k tomu, že portál je teprve nyní připraven na první propojení vnitrostátních rejstříků, jež obnáší zpracování osobních údajů, stalo se přijetí tohoto rozhodnutí nezbytným až za současné situace.
(3)
Cílem portálu je přispět k realizaci evropského soudního prostoru, a to usnadněním a podporou přístupu ke spravedlnosti a posílení informačních a komunikačních technologií, jež mají usnadnit přeshraniční elektronické soudní řízení a justiční spolupráci.
(4)
Orgány, subjekty, úřady a agentury Evropské unie stejně jako členské státy musí při provádění právních předpisů Unie ctít základní práva a dodržovat zásady uznané Listinou základních práv Evropské unie, zejména právo na ochranu osobních údajů stanovené v článku 8 uvedené listiny.
(5)
Vzhledem k tomu, že řada rozmanitých úkolů a funkcí Komise a členských států týkající se portálu obnáší rozličné povinnosti a závazky, pokud jde o ochranu údajů, je nezbytné, aby tyto byly jasně vymezeny.
(6)
S ohledem na zvláštní povahu činností souvisejících s portálem e-justice, vytvořených na základě spolupráce mezi Komisí a členskými státy, je úloha Komise při zpracování osobních údajů prostřednictvím portálu omezená. Je třeba upřesnit, že Komise nenese žádnou odpovědnost za obsah vzájemně propojených vnitrostátních databází, který je prostřednictvím portálu dostupný.
(7)
Zpracovávání osobních údajů Komisí v rámci portálu se řídí nařízením Evropského parlamentu a Rady (ES) č. 45/2001 (3). V této souvislosti je Komise zejména odpovědná za poskytování infrastruktury IT pro funkce portálu, včetně propojení vnitrostátních databází.
(8)
V souladu s nařízením (ES) č. 45/2001 by mělo být výslovně uvedeno, pro jaké účely se osobní údaje zpracovávají. Komise by tudíž měla osobní údaje v rámci portálu zpracovávat pouze za účelem poskytnutí přístupu k vzájemně propojeným vnitrostátním databázím s osobními údaji, poskytnutí interaktivních služeb umožňujícím uživatelům komunikovat přímo s příslušnými orgány v jiném členském státě, poskytnutí přístupu k veřejným informacím pro registrované uživatele nebo poskytnutí kontaktních údajů.
(9)
Komise by se měla opřít o systémové technologie, které zohledňují koncepci „ochrany údajů již od návrhu“. Při uplatňování této koncepce by mělo být při návrhu funkce spojené se zpracováním osobních údajů prostřednictvím portálu, jakož i jiných funkcí portálu, provedeno posouzení dopadů na ochranu soukromí a osobních údajů. Toto posouzení určí potenciální rizika v souvislosti s ochranou údajů. Rovněž uvede vhodná opatření a záruky, které mají být začleněny do systému ochrany osobních údajů.
(10)
Při provádění činností souvisejících s propojením vnitrostátních databází by Komise měla nepřetržitě a náležitě posuzovat bezpečnost.
(11)
Prostřednictvím portálu mohou být dostupné pouze informace, které jsou v propojených vnitrostátních databázích veřejně přístupné. Portál by neměl umožňovat, aby byly pro různé účely kombinovány údaje z různých vzájemně propojených vnitrostátních databází,
PŘIJALA TOTO ROZHODNUTÍ:
Článek 1
Předmět
Toto rozhodnutí stanoví funkce a povinnosti Evropské komise v souvislosti s požadavky na ochranu údajů při zpracovávání osobních údajů v rámci evropského portálu e-justice (dále jen „portál“).
Článek 2
Definice
Pro účely tohoto rozhodnutí se použijí definice stanovené nařízením (ES) č. 45/2001. Vedle toho se rozumí:
a)
„účastníkem evropské e-justice“ každý zástupce členského státu nebo partnerské organizace evropské e-justice, jemuž bylo uděleno povolení měnit obsah portálu (jeho částí);
b)
„vzájemně propojenými vnitrostátními databázemi“ databáze, které obsahují veřejně přístupné informace, provozované členskými státy a jinými subjekty, jako jsou profesní sdružení a neziskové organizace, které jsou propojeny prostřednictvím portálu tak, že informace přístupné na vnitrostátní úrovni jsou dostupné přes portál;
c)
„veřejně přístupnými informacemi“ informace, které jsou přístupné veřejnosti prostřednictvím internetu;
d)
„registrovaným uživatelem“ uživatel portálu, který se v portálu registroval prostřednictvím ověřovací služby Evropské komise (ECAS), např. jako „účastník evropské e-justice“.
Článek 3
Zpracovávání údajů
Komise zpracovává osobní údaje v rámci portálu pouze v rozsahu nezbytném pro účely:
a)
poskytnutí přístupu k vzájemně propojeným vnitrostátním databázím obsahujícím osobní údaje;
b)
poskytnutí interaktivních služeb, které registrovaným uživatelům umožní přímo komunikovat s příslušnými orgány v jiném členském státě;
c)
zajištění přístupu k veřejně dostupným informacím pro registrované uživatele;
d)
poskytnutí kontaktních údajů.
Článek 4
Povinnosti správce údajů
1. Komise vykonává své povinnosti správce údajů podle čl. 2 písm. d) nařízení (ES) č. 45/2001 v souladu se svými příslušnými povinnostmi v rámci portálu, jak je uvedeno v tomto článku.
2. Komise zajistí dostupnost, údržbu a bezpečnost infrastruktury IT portálu.
3. Komise odpovídá za tyto úkony související se zpracováním osobních údajů:
a)
uspořádávání;
b)
sdělení prostřednictvím přenosu;
c)
šíření nebo jakékoli jiné zpřístupnění;
d)
srovnávání či kombinování osobních údajů z propojených vnitrostátních databází nebo osobních údajů týkajících se registrovaných uživatelů.
4. Za účelem plnění svých povinností jakožto správce údajů Komise vymezí potřebné politiky a uplatní vhodná technická řešení.
5. Komise provádí technická opatření nutná k zajištění bezpečnosti při přenosu osobních údajů a jejich zobrazení na portálu, zejména důvěrnosti a integrity při jakémkoli jejich přenosu do portálu a z něj.
6. Komise nenese odpovědnost za žádný z aspektů ochrany údajů, které se týkají:
a)
počátečního shromažďování a uchovávání údajů z propojených vnitrostátních databází;
b)
jakýchkoli rozhodnutí přijatých členskými státy o zpřístupnění takových údajů prostřednictvím portálu;
c)
obsahu jakéhokoli údaje z vzájemně propojených vnitrostátních databází, který je dostupný prostřednictvím portálu.
7. Povinnostmi Komise není dotčena odpovědnost členských států a jiných subjektů za obsah a provoz propojených vnitrostátních databází, které spravují.
Článek 5
Informační povinnosti
1. Komise poskytne subjektům údajů informace uvedené v článcích 11 a 12 nařízení (ES) č. 45/2001, pokud jde o poskytování informací, za něž Komise podle tohoto rozhodnutí odpovídá.
2. Aniž jsou dotčeny její povinnosti vůči subjektům údajů členských států a jiných subjektů působících v rámci propojených vnitrostátních databází, Komise rovněž informuje subjekty údajů o tom, na koho se obrátit, aby mohly účinně využít svého práva na informace, na přístup, na opravu a na námitku podle příslušných právních předpisů na ochranu údajů. Komise odkáže na prohlášení o ochraně osobních údajů členských států a jiných orgánů.
3. Komise na portálu rovněž zpřístupní:
a)
překlady prohlášení členských států o ochraně osobních údajů, jak je uvedeno v odstavci 2, do příslušných jazyků portálu;
b)
ucelené prohlášení o ochraně osobních údajů týkající se portálu v souladu s články 11 a 12 nařízení (ES) č. 45/2001 v jasné a srozumitelné podobě.
Článek 6
Uchovávání osobních údajů
1. Pokud jde o výměnu informací z propojených vnitrostátních databází, žádné osobní údaje týkající se subjektů údajů nesmějí být na portálu uchovávány. Veškeré takové údaje se uchovávají ve vnitrostátních databázích provozovaných členskými státy nebo jinými subjekty.
2. Osobní údaje týkající se uživatelů portálu nebo osobní údaje jimi poskytované nesmějí být na portálu uchovávány, kromě případů, kdy se tito uživatelé přihlásili jako registrovaní uživatelé. Osobní údaje registrovaných uživatelů se uchovávají tak dlouho, dokud registrovaný uživatel nepožádá o zrušení své registrace. V souladu s článkem 3 se osobní údaje týkající se účastníků nebo kontaktních osob evropské e-justice uchovávají pouze po dobu, po kterou tyto osoby vykonávají svou funkci.
Článek 7
Datum použitelnosti
Toto rozhodnutí vstupuje v platnost dvacátým dnem po zveřejnění v Úředním věstníku Evropské unie.
V Bruselu dne 5. června 2014.
BESCHLUSS DER KOMMISSION
vom 5. Juni 2014
über den Schutz personenbezogener Daten im Europäischen e-Justiz-Portal
(2014/333/EU)
DIE EUROPÄISCHE KOMMISSION -
gestützt auf den Vertrag über die Arbeitsweise der Europäischen Union,
nach Anhörung des Europäischen Datenschutzbeauftragten,
in Erwägung nachstehender Gründe:
(1)
In ihrer Mitteilung vom Mai 2008 (1) erklärte die Kommission, dass sie das Europäische e-Justiz-Portal (nachstehend „das Portal“) konzipieren, einrichten und in enger Zusammenarbeit mit den Mitgliedstaaten pflegen werde.
(2)
Durch den mehrjährigen Aktionsplan 2009-2013 für die Europäische e-Justiz (2) vom 8. November 2008 wurde die Europäische Kommission mit der Umsetzung des Portals beauftragt. Das Portal wurde am 16. Juli 2010 ins Leben gerufen. Die Verabschiedung dieses Beschlusses ist erst jetzt notwendig geworden, da das Portal erst jetzt bereit ist für die erste Vernetzung nationaler Register im Zusammenhang mit der Verarbeitung personenbezogener Daten.
(3)
Ziel des Portals ist es, zur Verwirklichung des europäischen Rechtsraums beizutragen, indem der Zugang zur Justiz erleichtert und verbessert wird und die Informations- und Kommunikationstechnologien als Hebel eingesetzt werden, um grenzüberschreitende elektronische Gerichtsverfahren und die justizielle Zusammenarbeit zu erleichtern.
(4)
Die Organe, Einrichtungen und sonstigen Stellen der Europäischen Union sowie der Mitgliedstaaten müssen bei der Anwendung des EU-Rechts die Grundrechte wahren und die Grundsätze der EU-Grundrechtecharta, insbesondere das in Artikel 8 dieser Charta niedergelegte Recht auf Schutz der personenbezogenen Daten, beachten.
(5)
Da die verschiedenen portalbezogenen Aufgaben und Funktionen der Kommission und der Mitgliedstaaten zu unterschiedlichen Verantwortlichkeiten und Verpflichtungen im Hinblick auf den Datenschutz führen, ist es notwendig, sie klar abzugrenzen.
(6)
Entsprechend den Besonderheiten der mit dem e-Justiz-Portal verbundenen Tätigkeiten, die in Zusammenarbeit zwischen Kommission und Mitgliedstaaten entwickelt werden, ist die Aufgabe der Kommission bei der Verarbeitung personenbezogener Daten im Rahmen des Portals beschränkt. Es muss klargestellt werden, dass die Kommission für den Inhalt der im Rahmen des Portals zur Verfügung gestellten vernetzten nationalen Datenbanken nicht verantwortlich ist.
(7)
Die Verordnung (EG) Nr. 45/2001 des Europäischen Parlaments und des Rates (3) gilt für die Verarbeitung personenbezogener Daten durch die Kommission im Rahmen des Portals. In diesem Zusammenhang ist die Kommission insbesondere verantwortlich für die Bereitstellung der IT-Infrastruktur für die Funktionen des Portals, wozu auch die Vernetzung nationaler Datenbanken gehört.
(8)
Gemäß Verordnung (EG) Nr. 45/2001 ist der Zweck der Verarbeitung personenbezogener Daten ausdrücklich anzugeben. Somit darf die Verarbeitung personenbezogener Daten durch die Kommission im Rahmen des Portals nur erfolgen, wenn hierdurch der Zugang zu vernetzten nationalen Datenbanken mit personenbezogenen Daten gewährt wird, interaktive Dienste bereitgestellt werden, die es den Nutzern ermöglichen, unmittelbar mit den zuständigen Behörden in einem anderen Mitgliedstaat zu kommunizieren, Zugang zu öffentlichen Informationen für registrierte Nutzer gewährt wird bzw. Kontaktadressen bereitgestellt werden.
(9)
Die Kommission sollte in das System Technologien einbeziehen, die dem Konzept des „Datenschutzes durch Technik“ entsprechen. Zur Umsetzung dieses Konzepts sollte während der Planungsphase der mit der Verarbeitung personenbezogener Daten im Rahmen des Portals verbundenen Funktionen sowie der anderen Funktionen des Portals eine Datenschutz-Folgenabschätzung durchgeführt werden. Hierdurch sollen potenzielle Datenschutzrisiken ermittelt werden. Ferner werden bei der Folgenabschätzung geeignete Maßnahmen und Sicherungen definiert, die im Hinblick auf den Schutz personenbezogener Daten in das System einzubeziehen sind.
(10)
Die Kommission führt fortlaufend geeignete Sicherheitsbewertungen durch, sofern Arbeiten im Zusammenhang mit der Vernetzung nationaler Datenbanken durchgeführt werden.
(11)
Durch das Portal werden allein öffentlich zur Verfügung stehende Informationen in den vernetzten nationalen Datenbanken zugänglich gemacht. Es darf nicht möglich sein, im Rahmen des Portals Informationen von unterschiedlichen vernetzten nationalen Datenbanken für unterschiedliche Zwecke zu kombinieren -
HAT FOLGENDEN BESCHLUSS ERLASSEN:
Artikel 1
Gegenstand
In diesem Beschluss werden die Funktionen und Verantwortlichkeiten der Europäischen Kommission in Bezug auf die Datenschutzanforderungen bei der Verarbeitung personenbezogener Daten im Rahmen des Europäischen e-Justiz-Portals („das Portal“) festgelegt.
Artikel 2
Begriffsbestimmungen
Für die Zwecke dieses Beschlusses gelten die Definitionen der Verordnung (EG) Nr. 45/2001. Ferner gelten die folgenden Begriffsbestimmungen:
a)
„Europäischer e-Justiz-Akteur“ ist ein Vertreter eines Mitgliedstaats oder einer europäischen e-Justiz-Partnerorganisation, der befugt ist, Teile des Inhalts des Portals zu verändern;
b)
„vernetzte nationale Datenbanken“ sind Datenbanken mit öffentlich zugänglichen Informationen, die von den Mitgliedstaaten und anderen Gremien wie Berufsverbänden und gemeinnützigen Organisationen betrieben werden und durch das Portal so vernetzt sind, dass über das Portal auf die auf nationaler Ebene zur Verfügung stehenden Daten zugegriffen werden kann;
c)
„öffentlich zugängliche Informationen“ sind Informationen, die der Öffentlichkeit über das Internet zur Verfügung stehen;
d)
„registrierter Nutzer“ ist ein Portalnutzer, der sich über den Authentifizierungsdienst der Europäischen Kommission (ECAS) für das Portal angemeldet hat, z. B. ein „europäischer e-Justiz-Akteur“.
Artikel 3
Datenverarbeitung
Die Kommission verarbeitet personenbezogene Daten im Rahmen des Portals nur, soweit dies zu folgenden Zwecken notwendig ist:
a)
Bereitstellung des Zugangs zu vernetzten nationalen Datenbanken mit personenbezogenen Daten;
b)
Bereitstellung interaktiver Dienste, die es registrierten Nutzern ermöglichen, unmittelbar mit den zuständigen Behörden in einem anderen Mitgliedstaat zu kommunizieren;
c)
Bereitstellung des Zugangs zu öffentlichen Informationen für registrierte Nutzer;
d)
Bereitstellung von Kontaktadressen.
Artikel 4
Aufgaben des für die Verarbeitung der Daten Verantwortlichen
(1) Die Kommission fungiert als der für die Verarbeitung der Daten Verantwortliche gemäß Artikel 2 Buchstabe d derVerordnung (EG) Nr. 45/2001 entsprechend ihren in diesem Artikel genannten jeweiligen Aufgaben im Rahmen des Portals.
(2) Die Kommission gewährleistet die Verfügbarkeit, Wartung und Sicherheit der IT-Infrastruktur des Portals.
(3) Die Kommission ist verantwortlich für die folgenden Verarbeitungsvorgänge:
a)
Organisation;
b)
Weitergabe durch Übermittlung;
c)
Verbreitung oder jede andere Form der Bereitstellung;
d)
Verknüpfung oder Kombination persönlicher Daten aus den vernetzten nationalen Datenbanken bzw. der personenbezogenen Daten registrierter Nutzer.
(4) Die Kommission legt die notwendigen Maßnahmen fest und wendet geeignete technische Lösungen an, um ihrer Verantwortung im Rahmen ihrer Aufgabe als für die Verarbeitung Verantwortlicher nachzukommen.
(5) Die Kommission ergreift die erforderlichen technischen Maßnahmen, um die Sicherheit personenbezogener Daten bei der Übermittlung und während ihrer Darstellung im Rahmen des Portals, insbesondere die Vertraulichkeit und Integrität bei Übermittlungen zum und vom Portal, zu gewährleisten.
(6) Die Kommission ist nicht verantwortlich für Datenschutzaspekte im Hinblick auf:
a)
die ursprüngliche Erfassung und Speicherung von Daten, die aus den vernetzten nationalen Datenbanken stammen;
b)
Entscheidungen der Mitgliedstaaten, diese Daten im Rahmen des Portals zur Verfügung zu stellen;
c)
die Inhalte von Daten, die aus den vernetzten nationalen Datenbanken stammen und durch das Portal zur Verfügung gestellt wurden.
(7) Die Verpflichtungen der Kommission berühren nicht die Verantwortung der Mitgliedstaaten und anderer Gremien für den Inhalt und den Betrieb der von ihnen geführten vernetzten nationalen Datenbanken.
Artikel 5
Informationspflichten
(1) Die Kommission hat gemäß Artikel 11 und 12 der Verordnung (EG) Nr. 45/2001 gegenüber den betroffenen Personen eine Informationspflicht im Hinblick auf Informationen, für die die Kommission aufgrund dieses Beschlusses verantwortlich ist.
(2) Unbeschadet der Verpflichtungen gegenüber betroffenen Personen der Mitgliedstaaten und anderen Gremien, die die vernetzten nationalen Datenbanken betreiben, hat die Kommission die betroffenen Personen auch darüber zu unterrichten, an wen sie sich wenden können, um ihre Informations-, Auskunfts-, Berichtigungs- und Widerspruchsrechte im Einklang mit den anzuwendenden Datenschutzvorschriften wirksam wahrnehmen zu können. Die Kommission verweist auf die spezifischen Datenschutzerklärungen der Mitgliedstaaten und anderer Gremien.
(3) Die Kommission stellt im Portal ferner zur Verfügung:
a)
Übersetzungen der in Absatz 2 genannten Datenschutzerklärungen der Mitgliedstaaten in die Sprachen des Portals;
b)
Eine umfassende Datenschutzerklärung betreffend das Portal im Einklang mit Artikel 11 und 12 der Verordnung (EG) Nr. 45/2001 in klarer und verständlicher Form.
Artikel 6
Speicherung personenbezogener Daten
(1) Im Hinblick auf den Informationsaustausch vernetzter nationaler Datenbanken dürfen keine personenbezogenen Daten über die betreffenden Personen im Portal gespeichert werden. Diese Daten werden in den von den Mitgliedstaaten oder anderen Gremien betriebenen nationalen Datenbanken gespeichert.
(2) Personenbezogene Daten, die sich auf Portalnutzer beziehen oder von diesen bereitgestellt werden, dürfen im Portal nicht gespeichert werden, außer in Fällen, in denen diese sich als registrierte Nutzer angemeldet haben. Personenbezogene Daten registrierter Nutzer dürfen gespeichert werden, bis diese die Löschung ihrer Registrierung beantragen. Entsprechend Artikel 3 werden personenbezogene Daten von europäischen e-Justiz-Akteuren oder Kontaktstellen nur solange gespeichert, wie diese Personen ihre Aufgaben wahrnehmen.
Artikel 7
Inkrafttreten
Dieser Beschluss tritt am zwanzigsten Tag nach seiner Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.
Brüssel, den 5. Juni 2014