# Официален вестник L 360/2021

| | ISSN 1977-0618 |
| --- | --- |
| Официален вестник
  на Европейския съюз | L 360 |
| | |
| Издание на български език | Законодателство | Година 6411 октомври 2021 г. |

ISSN 1977-0618

Официален вестник

на Европейския съюз

L 360

Издание на български език

Законодателство

Година 6411 октомври 2021 г.

---

| Съдържание | | II   Незаконодателни актове | Страница |
| --- | --- | --- | --- |
| | | РЕШЕНИЯ |
| | * | Регламент за изпълнение (ЕС) 2021/1772 на Комисията от 28 юни 2021 година съгласно Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета относно адекватното ниво на защита на личните данни от страна на Обединеното кралство
  (нотифицирано под номер C(2021) 4800)

   (
  1
  ) | 1 |
| | * | Решение за изпълнение (ЕС) 2021/1773 на Комисията от 28 юни 2021 година съгласно Директива (ЕС) 2016/680 на Европейския парламент и на Съвета относно адекватното ниво на защита на личните данни от страна на Обединеното кралство
  (нотифицирано под номер C(2021) 4801) | 69 |
| | * | Решение за изпълнение (ЕС) 2021/1774 на Съвета от 5 октомври 2021 година за изменение на Решение за изпълнение (ЕС) 2018/1493 за даване на разрешение на Унгария да въведе специална мярка за дерогация от член 26, параграф 1, буква а) и членове 168 и 168а от Директива 2006/112/ЕО относно общата система на данъка върху добавената стойност | 108 |
| | * | Решение за изпълнение (ЕС) 2021/1775 на Съвета от 5 октомври 2021 година за изменение на Решение за изпълнение (ЕС) 2018/789 за предоставяне на разрешение на Унгария да въведе специална мярка за дерогация от член 193 от Директива 2006/112/ЕО относно общата система на данъка върху добавената стойност | 110 |
| | * | Решение за изпълнение (ЕС) 2021/1776 на Съвета от 5 октомври 2021 година за изменение на Решение 2009/791/ЕО за даване на разрешение на Федерална република Германия да продължи да прилага мярка за дерогация от член 168 от Директива 2006/112/ЕО относно общата система на данъка върху добавената стойност | 112 |
| | * | Решение за изпълнение (ЕС) 2021/1777 на Съвета от 5 октомври 2021 година за разрешаване на Италия да прилага намалени ставки за данъчно облагане върху газьола, използван за отопление, и върху електроенергията доставяни в община Кампионе д’Италия | 115 |
| | * | Решение за изпълнение (ЕС) 2021/1778 на Съвета от 5 октомври 2021 година за предоставяне на разрешение на Федерална република Германия да прилага специална мярка за дерогация от член 193 от Директива 2006/112/ЕО относно общата система на данъка върху добавената стойност | 117 |
| | * | Решение за изпълнение (ЕС) 2021/1779 на Съвета от 5 октомври 2021 година за изменение на Решение за изпълнение 2009/1013/ЕС за даване на разрешение на Република Австрия да продължи да прилага мярка за дерогация от член 168 от Директива 2006/112/ЕО относно общата система на данъка върху добавената стойност | 120 |
| | * | Решение за изпълнение (ЕС) 2021/1780 на Съвета от 5 октомври 2021 година за изменение на Решение 2009/790/ЕО за даване на разрешение на Република Полша да приложи мярка за дерогация от член 287 от Директива 2006/112/ЕО относно общата система на данъка върху добавената стойност | 122 |
| | * | Решение за изпълнение (ЕС) 2021/1781 на Съвета от 7 октомври 2021 година за спиране на прилагането на някои разпоредби на Регламент (ЕО) No 810/2009 на Европейския парламент и на Съвета по отношение на Гамбия | 124 |
| | | ПРЕПОРЪКИ |
| | * | Препоръка (ЕС) 2021/1782 на Съвета от 8 октомври 2021 година за изменение на Препоръка (ЕС) 2020/912 на Съвета относно временното ограничение на неналожителните пътувания в ЕС и възможното премахване на това ограничение | 128 |

Съдържание

II   Незаконодателни актове

Страница

РЕШЕНИЯ

*

Регламент за изпълнение (ЕС) 2021/1772 на Комисията от 28 юни 2021 година съгласно Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета относно адекватното ниво на защита на личните данни от страна на Обединеното кралство
  (нотифицирано под номер C(2021) 4800)

   (
  1
  )

(нотифицирано под номер C(2021) 4800)

1

1

*

Решение за изпълнение (ЕС) 2021/1773 на Комисията от 28 юни 2021 година съгласно Директива (ЕС) 2016/680 на Европейския парламент и на Съвета относно адекватното ниво на защита на личните данни от страна на Обединеното кралство
  (нотифицирано под номер C(2021) 4801)

(нотифицирано под номер C(2021) 4801)

69

*

Решение за изпълнение (ЕС) 2021/1774 на Съвета от 5 октомври 2021 година за изменение на Решение за изпълнение (ЕС) 2018/1493 за даване на разрешение на Унгария да въведе специална мярка за дерогация от член 26, параграф 1, буква а) и членове 168 и 168а от Директива 2006/112/ЕО относно общата система на данъка върху добавената стойност

108

*

Решение за изпълнение (ЕС) 2021/1775 на Съвета от 5 октомври 2021 година за изменение на Решение за изпълнение (ЕС) 2018/789 за предоставяне на разрешение на Унгария да въведе специална мярка за дерогация от член 193 от Директива 2006/112/ЕО относно общата система на данъка върху добавената стойност

110

*

Решение за изпълнение (ЕС) 2021/1776 на Съвета от 5 октомври 2021 година за изменение на Решение 2009/791/ЕО за даване на разрешение на Федерална република Германия да продължи да прилага мярка за дерогация от член 168 от Директива 2006/112/ЕО относно общата система на данъка върху добавената стойност

112

*

Решение за изпълнение (ЕС) 2021/1777 на Съвета от 5 октомври 2021 година за разрешаване на Италия да прилага намалени ставки за данъчно облагане върху газьола, използван за отопление, и върху електроенергията доставяни в община Кампионе д’Италия

115

*

Решение за изпълнение (ЕС) 2021/1778 на Съвета от 5 октомври 2021 година за предоставяне на разрешение на Федерална република Германия да прилага специална мярка за дерогация от член 193 от Директива 2006/112/ЕО относно общата система на данъка върху добавената стойност

117

*

Решение за изпълнение (ЕС) 2021/1779 на Съвета от 5 октомври 2021 година за изменение на Решение за изпълнение 2009/1013/ЕС за даване на разрешение на Република Австрия да продължи да прилага мярка за дерогация от член 168 от Директива 2006/112/ЕО относно общата система на данъка върху добавената стойност

120

*

Решение за изпълнение (ЕС) 2021/1780 на Съвета от 5 октомври 2021 година за изменение на Решение 2009/790/ЕО за даване на разрешение на Република Полша да приложи мярка за дерогация от член 287 от Директива 2006/112/ЕО относно общата система на данъка върху добавената стойност

122

*

Решение за изпълнение (ЕС) 2021/1781 на Съвета от 7 октомври 2021 година за спиране на прилагането на някои разпоредби на Регламент (ЕО) No 810/2009 на Европейския парламент и на Съвета по отношение на Гамбия

124

ПРЕПОРЪКИ

*

Препоръка (ЕС) 2021/1782 на Съвета от 8 октомври 2021 година за изменение на Препоръка (ЕС) 2020/912 на Съвета относно временното ограничение на неналожителните пътувания в ЕС и възможното премахване на това ограничение

128

| | |
| --- | --- |
| | (1)   Текст от значение за ЕИП. |

---

(1)   Текст от значение за ЕИП.

1

| BG | Актовете, чиито заглавия се отпечатват с нормален шрифт, са актове по текущо управление на селскостопанската политика и имат кратък срок на действие.
  Заглавията на всички останали актове се отпечатват с удебелен шрифт и се предшестват от звезда. |
| --- | --- |

BG

Актовете, чиито заглавия се отпечатват с нормален шрифт, са актове по текущо управление на селскостопанската политика и имат кратък срок на действие.

Заглавията на всички останали актове се отпечатват с удебелен шрифт и се предшестват от звезда.

---

II Незаконодателни актове

РЕШЕНИЯ

| 11.10.2021 | BG | Официален вестник на Европейския съюз | L 360/1 |
| --- | --- | --- | --- |

11.10.2021

BG

Официален вестник на Европейския съюз

L 360/1

---

РЕГЛАМЕНТ ЗА ИЗПЪЛНЕНИЕ (ЕС) 2021/1772 НА КОМИСИЯТА

от 28 юни 2021 година

съгласно Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета относно адекватното ниво на защита на личните данни от страна на Обединеното кралство

(нотифицирано под номер C(2021) 4800)

(текст от значение за ЕИП)

ЕВРОПЕЙСКАТА КОМИСИЯ,

като взе предвид Договора за функционирането на Европейския съюз,

като взе предвид Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) (1), и по-специално член 45, параграф 3 от него,

като има предвид, че:

1.   ВЪВЕДЕНИЕ

ВЪВЕДЕНИЕ

| (1) | С Регламент (ЕС) 2016/679 се определят правилата за предаването на лични данни от администратори или обработващи лични данни в Европейския съюз на трети държави и международни организации, доколкото това предаване попада в неговото приложно поле. Правилата относно международното предаване на данни са установени в глава V от посочения регламент, по-специално в членове 44—50. Въпреки че движението на лични данни към и от държави извън Европейския съюз е от съществено значение за разширяването на международното сътрудничество и презграничната търговия, нивото на защита, което се предоставя на личните данни в Европейския съюз, не трябва да се излага на риск при предаване на трети държави (2). |
| --- | --- |

(1)

С Регламент (ЕС) 2016/679 се определят правилата за предаването на лични данни от администратори или обработващи лични данни в Европейския съюз на трети държави и международни организации, доколкото това предаване попада в неговото приложно поле. Правилата относно международното предаване на данни са установени в глава V от посочения регламент, по-специално в членове 44—50. Въпреки че движението на лични данни към и от държави извън Европейския съюз е от съществено значение за разширяването на международното сътрудничество и презграничната търговия, нивото на защита, което се предоставя на личните данни в Европейския съюз, не трябва да се излага на риск при предаване на трети държави (2).

2

| (2) | Съгласно член 45, параграф 3 от Регламент (ЕС) 2016/679 Комисията може да реши посредством акт за изпълнение, че дадена трета държава, територия или един или повече конкретни сектори в дадена трета държава, или дадена международна организация осигуряват адекватно ниво на защита. При това условие предаването на лични данни на трета държава може да се извършва, без да е необходимо допълнително разрешение, както е предвидено в член 45, параграф 1 и в съображение 103 от посочения регламент. |
| --- | --- |

(2)

Съгласно член 45, параграф 3 от Регламент (ЕС) 2016/679 Комисията може да реши посредством акт за изпълнение, че дадена трета държава, територия или един или повече конкретни сектори в дадена трета държава, или дадена международна организация осигуряват адекватно ниво на защита. При това условие предаването на лични данни на трета държава може да се извършва, без да е необходимо допълнително разрешение, както е предвидено в член 45, параграф 1 и в съображение 103 от посочения регламент.

| (3) | Както е посочено в член 45, параграф 2 от Регламент (ЕС) 2016/679, приемането на решение относно адекватността трябва да се основава на цялостен анализ на правния ред на третата държава, който обхваща както правилата, приложими към вносителите на данни, така и ограниченията и гаранциите по отношение на достъпа до лични данни от страна на публичните органи. В своята оценка Комисията трябва да определи дали въпросната трета държава гарантира ниво на защита, „по същество равностойно“ на осигуреното в рамките на Европейския съюз (съображение 104 от Регламент (ЕС) 2016/679). Стандартът, спрямо който се оценява „равностойността по същество“, е определеният от законодателството на ЕС, по-специално от Регламент (ЕС) 2016/679, както и от съдебната практика на Съда на Европейския съюз (3). Референтният документ на Европейския комитет по защита на данните (ЕКЗД) за адекватното ниво на защита също е от значение в това отношение (4). |
| --- | --- |

(3)

Както е посочено в член 45, параграф 2 от Регламент (ЕС) 2016/679, приемането на решение относно адекватността трябва да се основава на цялостен анализ на правния ред на третата държава, който обхваща както правилата, приложими към вносителите на данни, така и ограниченията и гаранциите по отношение на достъпа до лични данни от страна на публичните органи. В своята оценка Комисията трябва да определи дали въпросната трета държава гарантира ниво на защита, „по същество равностойно“ на осигуреното в рамките на Европейския съюз (съображение 104 от Регламент (ЕС) 2016/679). Стандартът, спрямо който се оценява „равностойността по същество“, е определеният от законодателството на ЕС, по-специално от Регламент (ЕС) 2016/679, както и от съдебната практика на Съда на Европейския съюз (3). Референтният документ на Европейския комитет по защита на данните (ЕКЗД) за адекватното ниво на защита също е от значение в това отношение (4).

3

4

| (4) | Както бе изяснено от Съда на Европейския съюз, това не изисква установяване на идентично ниво на защита (5). По-специално средствата, до които въпросната трета държава прибягва за защита на личните данни, могат да са различни от прилаганите в Европейския съюз, стига те на практика да се окажат ефективни за осигуряването на адекватно ниво на защита (6). Поради това стандартът за адекватно ниво на защита не включва изискване за буквално възпроизвеждане на правилата на Съюза. Критерият се състои по-скоро в това дали чрез същността на правото на защита на личния живот и неговото ефективно прилагане, надзор и изпълнение чуждестранната система като цяло осигурява необходимото ниво на защита (7). |
| --- | --- |

(4)

Както бе изяснено от Съда на Европейския съюз, това не изисква установяване на идентично ниво на защита (5). По-специално средствата, до които въпросната трета държава прибягва за защита на личните данни, могат да са различни от прилаганите в Европейския съюз, стига те на практика да се окажат ефективни за осигуряването на адекватно ниво на защита (6). Поради това стандартът за адекватно ниво на защита не включва изискване за буквално възпроизвеждане на правилата на Съюза. Критерият се състои по-скоро в това дали чрез същността на правото на защита на личния живот и неговото ефективно прилагане, надзор и изпълнение чуждестранната система като цяло осигурява необходимото ниво на защита (7).

5

6

7

| (5) | Комисията анализира внимателно законодателство и практиката на Обединеното кралство. Въз основа на своите констатации, изложени в съображения 8—270, Комисията стига до заключението, че Обединеното кралство осигурява адекватно ниво на защита на личните данни, предавани от Европейския съюз към Обединеното кралство в рамките на приложното поле на Регламент (ЕС) 2016/679. |
| --- | --- |

(5)

Комисията анализира внимателно законодателство и практиката на Обединеното кралство. Въз основа на своите констатации, изложени в съображения 8—270, Комисията стига до заключението, че Обединеното кралство осигурява адекватно ниво на защита на личните данни, предавани от Европейския съюз към Обединеното кралство в рамките на приложното поле на Регламент (ЕС) 2016/679.

| (6) | Това заключение не се отнася до личните данни, предавани за целите на имиграционния контрол на Обединеното кралство, или до данните, които по друг начин попадат в обхвата на изключението по отношение на определени права на субекта на данни за целите на поддържането на ефективен имиграционен контрол („изключението във връзка с имиграционния контрол“) съгласно точка 4, подточка 1 от приложение 2 към Закона за защита на данните на Обединеното кралство. Валидността и тълкуването на изключението във връзка с имиграционния контрол съгласно правото на Обединеното кралство не са уредени вследствие на решение на Апелативния съд на Англия и Уелс от 26 май 2021 г. Макар да признава, че правата на субектите на данни принципно могат да бъдат ограничавани за целите на имиграционния контрол като „важен аспект на обществения интерес“, Апелативният съд установи, че в настоящата си форма изключението във връзка с имиграционния контрол е несъвместимо с правото на Обединеното кралство, тъй като за тази законодателна мярка липсват конкретни разпоредби, определящи гаранциите, изброени в член 23, параграф 2 от Общия регламент относно защитата на данните на Обединеното кралство (ОРЗД на Обединеното кралство) (8). При тези условия предаването на лични данни от Съюза към Обединеното кралство, за което може да се приложи изключението във връзка с имиграционния контрол, следва да бъде изключено от обхвата на настоящото решение (9). След като несъвместимостта с правото на Обединеното кралство бъде отстранена, изключението във връзка с имиграционния контрол следва да бъде преразгледано, както и необходимостта да се запази ограничението на обхвата на настоящото решение. |
| --- | --- |

(6)

Това заключение не се отнася до личните данни, предавани за целите на имиграционния контрол на Обединеното кралство, или до данните, които по друг начин попадат в обхвата на изключението по отношение на определени права на субекта на данни за целите на поддържането на ефективен имиграционен контрол („изключението във връзка с имиграционния контрол“) съгласно точка 4, подточка 1 от приложение 2 към Закона за защита на данните на Обединеното кралство. Валидността и тълкуването на изключението във връзка с имиграционния контрол съгласно правото на Обединеното кралство не са уредени вследствие на решение на Апелативния съд на Англия и Уелс от 26 май 2021 г. Макар да признава, че правата на субектите на данни принципно могат да бъдат ограничавани за целите на имиграционния контрол като „важен аспект на обществения интерес“, Апелативният съд установи, че в настоящата си форма изключението във връзка с имиграционния контрол е несъвместимо с правото на Обединеното кралство, тъй като за тази законодателна мярка липсват конкретни разпоредби, определящи гаранциите, изброени в член 23, параграф 2 от Общия регламент относно защитата на данните на Обединеното кралство (ОРЗД на Обединеното кралство) (8). При тези условия предаването на лични данни от Съюза към Обединеното кралство, за което може да се приложи изключението във връзка с имиграционния контрол, следва да бъде изключено от обхвата на настоящото решение (9). След като несъвместимостта с правото на Обединеното кралство бъде отстранена, изключението във връзка с имиграционния контрол следва да бъде преразгледано, както и необходимостта да се запази ограничението на обхвата на настоящото решение.

8

9

| (7) | Настоящото решение не следва да засяга прякото приложение на Регламент (ЕС) 2016/679 спрямо организации, установени в Обединеното кралство, когато условията относно териториалното приложение на посочения регламент, изложени в член 3 от него, са изпълнени. |
| --- | --- |

(7)

Настоящото решение не следва да засяга прякото приложение на Регламент (ЕС) 2016/679 спрямо организации, установени в Обединеното кралство, когато условията относно териториалното приложение на посочения регламент, изложени в член 3 от него, са изпълнени.

2.   ПРАВИЛА, ПРИЛОЖИМИ КЪМ ОБРАБОТВАНЕТО НА ЛИЧНИ ДАННИ

ПРАВИЛА, ПРИЛОЖИМИ КЪМ ОБРАБОТВАНЕТО НА ЛИЧНИ ДАННИ

2.1.   Конституционна уредба

Конституционна уредба

| (8) | Обединеното кралство е парламентарна демокрация с държавен глава конституционен суверен. То има суверенен парламент, който е върховен спрямо всички останали държавни институции, изпълнителна власт, представителите на която се избират от парламента и се отчитат пред него, и независима съдебна власт. Изпълнителната власт черпи правомощията си от способността си да се ползва от доверието на избраната Камара на общините и се отчита пред двете камари на парламента, които отговарят за контрола върху правителството и за обсъждането и приемането на закони. |
| --- | --- |

(8)

Обединеното кралство е парламентарна демокрация с държавен глава конституционен суверен. То има суверенен парламент, който е върховен спрямо всички останали държавни институции, изпълнителна власт, представителите на която се избират от парламента и се отчитат пред него, и независима съдебна власт. Изпълнителната власт черпи правомощията си от способността си да се ползва от доверието на избраната Камара на общините и се отчита пред двете камари на парламента, които отговарят за контрола върху правителството и за обсъждането и приемането на закони.

| (9) | Парламентът на Обединеното кралство е делегирал законодателни правомощия на парламента на Шотландия, парламента на Уелс (Senedd Cymru) и Събранието на Северна Ирландия по вътрешни въпроси в Шотландия, Уелс и Северна Ирландия, които Обединеното кралство не е резервирало за себе си. Макар защитата на данните да е въпрос, резервиран за компетентността на Обединеното кралство, т.е. едно и също законодателство се прилага в цялата страна, други области на политиката, свързани с настоящото решение, са делегирани. Например правомощията, свързани с наказателноправните системи на Шотландия и Северна Ирландия, включително полицейската дейност, са делегирани съответно на парламента на Шотландия и на Събранието на Северна Ирландия. Обединеното кралство не разполага с кодифицирана конституция в смисъла на утвърден учредителен документ. Конституционните принципи са се оформили с течение на времето и произтичат по-специално от съдебната практика и правните обичаи. Някои нормативни актове, като например Магна харта (Magna Carta), Законът за правата (Bill of Rights) от 1689 г. и Законът за правата на човека (Human Rights Act) от 1998 г., имат призната конституционна стойност от съдилищата. Като част от конституцията, основните права на физическите лица са развити чрез общото право, нормативните актове и международните договори, по-специално Европейската конвенция за правата на човека, която Обединеното кралство ратифицира през 1951 г. Обединеното кралство също така ратифицира Конвенцията на Съвета на Европа за защита на лицата при автоматизираната обработка на лични данни (Конвенция No 108) през 1987 г. (10). |
| --- | --- |

(9)

Парламентът на Обединеното кралство е делегирал законодателни правомощия на парламента на Шотландия, парламента на Уелс (Senedd Cymru) и Събранието на Северна Ирландия по вътрешни въпроси в Шотландия, Уелс и Северна Ирландия, които Обединеното кралство не е резервирало за себе си. Макар защитата на данните да е въпрос, резервиран за компетентността на Обединеното кралство, т.е. едно и също законодателство се прилага в цялата страна, други области на политиката, свързани с настоящото решение, са делегирани. Например правомощията, свързани с наказателноправните системи на Шотландия и Северна Ирландия, включително полицейската дейност, са делегирани съответно на парламента на Шотландия и на Събранието на Северна Ирландия. Обединеното кралство не разполага с кодифицирана конституция в смисъла на утвърден учредителен документ. Конституционните принципи са се оформили с течение на времето и произтичат по-специално от съдебната практика и правните обичаи. Някои нормативни актове, като например Магна харта (Magna Carta), Законът за правата (Bill of Rights) от 1689 г. и Законът за правата на човека (Human Rights Act) от 1998 г., имат призната конституционна стойност от съдилищата. Като част от конституцията, основните права на физическите лица са развити чрез общото право, нормативните актове и международните договори, по-специално Европейската конвенция за правата на човека, която Обединеното кралство ратифицира през 1951 г. Обединеното кралство също така ратифицира Конвенцията на Съвета на Европа за защита на лицата при автоматизираната обработка на лични данни (Конвенция No 108) през 1987 г. (10).

Senedd Cymru

Magna Carta

Bill of Rights

Human Rights Act

10

| (10) | Със Закона за правата на човека от 1998 г. правата, съдържащи се в ЕКПЧ, се въвеждат в правото на Обединеното кралство. По силата на Закона за правата на човека на всяко физическо лице се предоставят основните права и свободи, предвидени в членове 2—12 и в член 14 от Европейската конвенция за правата на човека, както и в членове 1, 2 и 3 от Първия протокол към нея и в член 1 от Тринадесетия протокол към нея, във връзка с членове 16, 17 и 18 от посочената конвенция. Това включва правото на зачитане на личния и семейния живот (и правото на защита на личните данни като част от него) и правото на справедлив съдебен процес (11). По-специално, съгласно член 8 от ЕКПЧ държавните власти могат да се намесват в ползването на правото на неприкосновеност на личния живот само в случаите, предвидени в закона, когато това е необходимо в едно демократично общество в интерес на националната и обществената сигурност или на икономическото благосъстояние на страната, за предотвратяване на безредици или престъпления, за защита на здравето и морала или на правата и свободите на другите. |
| --- | --- |

(10)

Със Закона за правата на човека от 1998 г. правата, съдържащи се в ЕКПЧ, се въвеждат в правото на Обединеното кралство. По силата на Закона за правата на човека на всяко физическо лице се предоставят основните права и свободи, предвидени в членове 2—12 и в член 14 от Европейската конвенция за правата на човека, както и в членове 1, 2 и 3 от Първия протокол към нея и в член 1 от Тринадесетия протокол към нея, във връзка с членове 16, 17 и 18 от посочената конвенция. Това включва правото на зачитане на личния и семейния живот (и правото на защита на личните данни като част от него) и правото на справедлив съдебен процес (11). По-специално, съгласно член 8 от ЕКПЧ държавните власти могат да се намесват в ползването на правото на неприкосновеност на личния живот само в случаите, предвидени в закона, когато това е необходимо в едно демократично общество в интерес на националната и обществената сигурност или на икономическото благосъстояние на страната, за предотвратяване на безредици или престъпления, за защита на здравето и морала или на правата и свободите на другите.

11

| (11) | В съответствие със Закона за правата на човека от 1998 г. всяко действие на публичните органи трябва да бъде съвместимо с право, гарантирано съгласно ЕКПЧ (12). Освен това първичното законодателство и подзаконовите актове трябва да се тълкуват и прилагат по начин, който е съвместим с тези права (13). |
| --- | --- |

(11)

В съответствие със Закона за правата на човека от 1998 г. всяко действие на публичните органи трябва да бъде съвместимо с право, гарантирано съгласно ЕКПЧ (12). Освен това първичното законодателство и подзаконовите актове трябва да се тълкуват и прилагат по начин, който е съвместим с тези права (13).

12

13

2.2.   Уредбата на Обединеното кралство за защита на данните

Уредбата на Обединеното кралство за защита на данните

| (12) | На 31 януари 2020 г. Обединеното кралство се оттегли от Европейския съюз. Въз основа на Споразумението за оттеглянето на Обединеното кралство Великобритания и Северна Ирландия от Европейския съюз и Европейската общност за атомна енергия (14) правото на Съюза продължи да се прилага в Обединеното кралство по време на преходния период до 31 декември 2020 г. Преди оттеглянето и по време на преходния период правната уредба относно защитата на личните данни в Обединеното кралство се състоеше от съответното законодателство на ЕС (по-специално Регламент (ЕС) 2016/679 и Директива (ЕС) 2016/680 на Европейския парламент и на Съвета (15)) и национално законодателство, по-специално Закона за защита на данните от 2018 г. (ЗЗД от 2018 г.) (16), с който са установени национални норми в областите, в които това е допустимо съгласно Регламент (ЕС) 2016/679, уточнено е и е ограничено прилагането на нормите на Регламент (ЕС) 2016/679 и е транспонирана Директива (ЕС) 2016/680. |
| --- | --- |

(12)

На 31 януари 2020 г. Обединеното кралство се оттегли от Европейския съюз. Въз основа на Споразумението за оттеглянето на Обединеното кралство Великобритания и Северна Ирландия от Европейския съюз и Европейската общност за атомна енергия (14) правото на Съюза продължи да се прилага в Обединеното кралство по време на преходния период до 31 декември 2020 г. Преди оттеглянето и по време на преходния период правната уредба относно защитата на личните данни в Обединеното кралство се състоеше от съответното законодателство на ЕС (по-специално Регламент (ЕС) 2016/679 и Директива (ЕС) 2016/680 на Европейския парламент и на Съвета (15)) и национално законодателство, по-специално Закона за защита на данните от 2018 г. (ЗЗД от 2018 г.) (16), с който са установени национални норми в областите, в които това е допустимо съгласно Регламент (ЕС) 2016/679, уточнено е и е ограничено прилагането на нормите на Регламент (ЕС) 2016/679 и е транспонирана Директива (ЕС) 2016/680.

14

15

16

| (13) | С цел подготвяне за оттеглянето от Европейския съюз правителството на Обединеното кралство прие Закона от 2018 г. за оттеглянето от Европейския съюз (17), с който пряко приложимите законодателни актове на Съюза бяха включени в правото на Обединеното кралство (18). Това така наречено „запазено право на ЕС“ включва Регламент (ЕС) 2016/679 в неговата цялост (заедно със съображенията към него) (19). По силата на горепосочения закон „произтичащото от правото на ЕС национално законодателство“, което не е изменено, трябва да се тълкува от съдилищата на Обединеното кралство съгласно съответната съдебна практика на Съда на Европейския съюз и общите принципи на правото на Съюза във вида, в който са били в сила непосредствено преди края на преходния период (наричани съответно „запазена съдебна практика на ЕС“ и „запазени общи принципи на правото на ЕС“) (20). |
| --- | --- |

(13)

С цел подготвяне за оттеглянето от Европейския съюз правителството на Обединеното кралство прие Закона от 2018 г. за оттеглянето от Европейския съюз (17), с който пряко приложимите законодателни актове на Съюза бяха включени в правото на Обединеното кралство (18). Това така наречено „запазено право на ЕС“ включва Регламент (ЕС) 2016/679 в неговата цялост (заедно със съображенията към него) (19). По силата на горепосочения закон „произтичащото от правото на ЕС национално законодателство“, което не е изменено, трябва да се тълкува от съдилищата на Обединеното кралство съгласно съответната съдебна практика на Съда на Европейския съюз и общите принципи на правото на Съюза във вида, в който са били в сила непосредствено преди края на преходния период (наричани съответно „запазена съдебна практика на ЕС“ и „запазени общи принципи на правото на ЕС“) (20).

17

18

19

20

| (14) | Съгласно Закона за оттеглянето от Европейския съюз от 2018 г. министрите на Обединеното кралство имат правомощието чрез нормативни актове да създават вторично законодателство във връзка с въвеждането на необходими изменения в запазеното законодателство на ЕС, произтичащи от оттеглянето на Обединеното кралство от Съюза. Те упражниха това правомощие с приемането на Наредбите от 2019 г. за защита на данните, неприкосновеността на личния живот и електронните съобщения (изменения и т.н.) (Напускане на ЕС) (21). С тях се изменя Регламент (ЕС) 2016/679, както той е въведен в правото на Обединеното кралство посредством Закона от 2018 г. за оттеглянето от Европейския съюз, ЗЗД от 2018 г. и други законодателни актове в областта на защитата на данните, с цел привеждане в съответствие с националния контекст (22). |
| --- | --- |

(14)

Съгласно Закона за оттеглянето от Европейския съюз от 2018 г. министрите на Обединеното кралство имат правомощието чрез нормативни актове да създават вторично законодателство във връзка с въвеждането на необходими изменения в запазеното законодателство на ЕС, произтичащи от оттеглянето на Обединеното кралство от Съюза. Те упражниха това правомощие с приемането на Наредбите от 2019 г. за защита на данните, неприкосновеността на личния живот и електронните съобщения (изменения и т.н.) (Напускане на ЕС) (21). С тях се изменя Регламент (ЕС) 2016/679, както той е въведен в правото на Обединеното кралство посредством Закона от 2018 г. за оттеглянето от Европейския съюз, ЗЗД от 2018 г. и други законодателни актове в областта на защитата на данните, с цел привеждане в съответствие с националния контекст (22).

21

22

| (15) | Вследствие на това правната уредба за защита на личните данни в Обединеното кралство след края на преходния период се състои от:






  — | ОРЗД на Обединеното кралство, включен в правото на Обединеното кралство съгласно Закона от 2018 г. за оттеглянето от Европейския съюз и изменен с Наредбите за защита на данните, неприкосновеността на личния живот и електронните съобщения (изменения и т.н.) (Напускане на ЕС) (23), и |
| --- | --- | --- |

(15)

Вследствие на това правната уредба за защита на личните данни в Обединеното кралство след края на преходния период се състои от:

—

ОРЗД на Обединеното кралство, включен в правото на Обединеното кралство съгласно Закона от 2018 г. за оттеглянето от Европейския съюз и изменен с Наредбите за защита на данните, неприкосновеността на личния живот и електронните съобщения (изменения и т.н.) (Напускане на ЕС) (23), и

23

| — | ЗЗД от 2018 г. (24), изменен с Наредбите за защита на данните, неприкосновеността на личния живот и електронните съобщения (изменения и т.н.) (Напускане на ЕС). |
| --- | --- |

—

ЗЗД от 2018 г. (24), изменен с Наредбите за защита на данните, неприкосновеността на личния живот и електронните съобщения (изменения и т.н.) (Напускане на ЕС).

24

| (16) | Тъй като ОРЗД на Обединеното кралство се основава на законодателството на ЕС, правилата за защита на личните данни в Обединеното кралство в много отношения следват тясно съответните правила, приложими в Европейския съюз. |
| --- | --- |

(16)

Тъй като ОРЗД на Обединеното кралство се основава на законодателството на ЕС, правилата за защита на личните данни в Обединеното кралство в много отношения следват тясно съответните правила, приложими в Европейския съюз.

| (17) | Наред с правомощията, предоставени на министъра съгласно Закона от 2018 г. за оттеглянето от Европейския съюз, няколко разпоредби на ЗЗД от 2018 г. дават правомощия на министъра да приема вторично законодателство за изменение на определени разпоредби на закона или да определя допълващи и допълнителни правила (25). Досега министърът е упражнил само правомощието по член 137 от ЗЗД от 2018 г. с цел приемането на Наредбите за защита на данните (Такси и информация) (изменения) от 2019 г., в които се определят обстоятелствата, при които администраторите на данни трябва да плащат годишна такса на независимия орган на Обединеното кралство за защита на данните — комисаря по информацията. |
| --- | --- |

(17)

Наред с правомощията, предоставени на министъра съгласно Закона от 2018 г. за оттеглянето от Европейския съюз, няколко разпоредби на ЗЗД от 2018 г. дават правомощия на министъра да приема вторично законодателство за изменение на определени разпоредби на закона или да определя допълващи и допълнителни правила (25). Досега министърът е упражнил само правомощието по член 137 от ЗЗД от 2018 г. с цел приемането на Наредбите за защита на данните (Такси и информация) (изменения) от 2019 г., в които се определят обстоятелствата, при които администраторите на данни трябва да плащат годишна такса на независимия орган на Обединеното кралство за защита на данните — комисаря по информацията.

25

| (18) | И накрая, допълнителни насоки относно законодателството на Обединеното кралство за защита на данните са предвидени в кодексите за поведение и в други насоки, приети от комисаря по информацията. Въпреки че официално насоките не са правнообвързващи, те имат тълкувателна тежест и показват как законодателството за защита на данните се прилага и привежда в изпълнение на практика от комисаря. По-специално съгласно членове 121—125 от ЗЗД от 2018 г. комисарят трябва да изготви кодекси за поведение относно споделянето на данни, директния маркетинг, съобразените с възрастта дизайн и защита на данните и журналистиката. |
| --- | --- |

(18)

И накрая, допълнителни насоки относно законодателството на Обединеното кралство за защита на данните са предвидени в кодексите за поведение и в други насоки, приети от комисаря по информацията. Въпреки че официално насоките не са правнообвързващи, те имат тълкувателна тежест и показват как законодателството за защита на данните се прилага и привежда в изпълнение на практика от комисаря. По-специално съгласно членове 121—125 от ЗЗД от 2018 г. комисарят трябва да изготви кодекси за поведение относно споделянето на данни, директния маркетинг, съобразените с възрастта дизайн и защита на данните и журналистиката.

| (19) | Следователно по своята структура и основни компоненти правната уредба на Обединеното кралство, която се прилага по отношение на данните, предавани съгласно настоящото решение, е много сходна с тази, която се прилага в ЕС. Това включва и факта, че тази уредба се основава не само на предвидени в националното право задължения, които са съобразени с правото на ЕС, но и на задължения, залегнали в международното право, по-специално чрез присъединяването на Обединеното кралство към ЕКПЧ и Конвенция No 108, както и подчиняването му на юрисдикцията на Европейския съд по правата на човека. Следователно тези задължения, които произтичат от правнообвързващи международни инструменти, отнасящи се по-специално до защитата на личните данни, са особено важен елемент от правната уредба, която е предмет на оценка в настоящото решение. |
| --- | --- |

(19)

Следователно по своята структура и основни компоненти правната уредба на Обединеното кралство, която се прилага по отношение на данните, предавани съгласно настоящото решение, е много сходна с тази, която се прилага в ЕС. Това включва и факта, че тази уредба се основава не само на предвидени в националното право задължения, които са съобразени с правото на ЕС, но и на задължения, залегнали в международното право, по-специално чрез присъединяването на Обединеното кралство към ЕКПЧ и Конвенция No 108, както и подчиняването му на юрисдикцията на Европейския съд по правата на човека. Следователно тези задължения, които произтичат от правнообвързващи международни инструменти, отнасящи се по-специално до защитата на личните данни, са особено важен елемент от правната уредба, която е предмет на оценка в настоящото решение.

2.3.   Материален и териториален обхват

Материален и териториален обхват

| (20) | Както Регламент (ЕС) 2016/679, така и ОРЗД на Обединеното кралство се прилагат за обработването на лични данни изцяло или частично с автоматични средства или за обработването с други средства, ако личните данни са част от регистър с лични данни (26). Определенията на понятията „лични данни“, „субект на данни“ и „обработване“ в ОРЗД на Обединеното кралство са идентични с тези в Регламент (ЕС) 2016/679 (27). Освен това ОРЗД на Обединеното кралство се прилага за ръчното неструктурирано обработване на лични данни (28), съхранявани от определени публични органи на Обединеното кралство (29), въпреки че принципите и правата, залегнали в ОРЗД на Обединеното кралство, които нямат отношение към такива лични данни, са отменени с членове 24 и 25 от ЗЗД от 2018 г. Подобно на Регламент (ЕС) 2016/679, ОРЗД на Обединеното кралство не се прилага за обработването на лични данни от физическо лице в хода на чисто лични или домашни занимания (30). |
| --- | --- |

(20)

Както Регламент (ЕС) 2016/679, така и ОРЗД на Обединеното кралство се прилагат за обработването на лични данни изцяло или частично с автоматични средства или за обработването с други средства, ако личните данни са част от регистър с лични данни (26). Определенията на понятията „лични данни“, „субект на данни“ и „обработване“ в ОРЗД на Обединеното кралство са идентични с тези в Регламент (ЕС) 2016/679 (27). Освен това ОРЗД на Обединеното кралство се прилага за ръчното неструктурирано обработване на лични данни (28), съхранявани от определени публични органи на Обединеното кралство (29), въпреки че принципите и правата, залегнали в ОРЗД на Обединеното кралство, които нямат отношение към такива лични данни, са отменени с членове 24 и 25 от ЗЗД от 2018 г. Подобно на Регламент (ЕС) 2016/679, ОРЗД на Обединеното кралство не се прилага за обработването на лични данни от физическо лице в хода на чисто лични или домашни занимания (30).

26

27

28

29

30

| (21) | Приложното поле на ОРЗД на Обединеното кралство се простира и върху обработването на лични данни в хода на дейност, която непосредствено преди края на преходния период е попадала извън приложното поле на правото на Европейския съюз (напр. националната сигурност) (31) или е била в приложното поле на дял 5, глава 2 от Договора за Европейския съюз (дейности по общата външна политика и политика на сигурност) (32). Както е в системата на Европейския съюз, ОРЗД на Обединеното кралство не се прилага за обработването на лични данни от компетентен орган за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществената сигурност и тяхното предотвратяване (така наречените „цели на правоприлагането“) — този вид обработване е уредено в част 3 от ЗЗД от 2018 г. и съответно в Директива (ЕС) 2016/680 съгласно правото на Европейския съюз — нито за обработването на лични данни от разузнавателните служби (Службата за сигурност, Службата за тайно разузнаване и Правителствената централа за комуникации), което е обхванато в част 4 от ЗЗД от 2018 г. (33). |
| --- | --- |

(21)

Приложното поле на ОРЗД на Обединеното кралство се простира и върху обработването на лични данни в хода на дейност, която непосредствено преди края на преходния период е попадала извън приложното поле на правото на Европейския съюз (напр. националната сигурност) (31) или е била в приложното поле на дял 5, глава 2 от Договора за Европейския съюз (дейности по общата външна политика и политика на сигурност) (32). Както е в системата на Европейския съюз, ОРЗД на Обединеното кралство не се прилага за обработването на лични данни от компетентен орган за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществената сигурност и тяхното предотвратяване (така наречените „цели на правоприлагането“) — този вид обработване е уредено в част 3 от ЗЗД от 2018 г. и съответно в Директива (ЕС) 2016/680 съгласно правото на Европейския съюз — нито за обработването на лични данни от разузнавателните служби (Службата за сигурност, Службата за тайно разузнаване и Правителствената централа за комуникации), което е обхванато в част 4 от ЗЗД от 2018 г. (33).

31

32

33

| (22) | Териториалният обхват на ОРЗД на Обединеното кралство е описан в член 3 от ОРЗД на Обединеното кралство (34) и включва обработването на лични данни (независимо къде се извършва) в контекста на дейностите на дадено място на установяване на администратор или обработващ лични данни в Обединеното кралство, както и обработването на лични данни на субекти на данни, които се намират в Обединеното кралство, когато дейностите по обработване на данни са свързани с предлагането на стоки или услуги на такива субекти на данни или наблюдението на тяхното поведение (35). Това отразява подхода, възприет в член 3 от Регламент (ЕС) 2016/679. |
| --- | --- |

(22)

Териториалният обхват на ОРЗД на Обединеното кралство е описан в член 3 от ОРЗД на Обединеното кралство (34) и включва обработването на лични данни (независимо къде се извършва) в контекста на дейностите на дадено място на установяване на администратор или обработващ лични данни в Обединеното кралство, както и обработването на лични данни на субекти на данни, които се намират в Обединеното кралство, когато дейностите по обработване на данни са свързани с предлагането на стоки или услуги на такива субекти на данни или наблюдението на тяхното поведение (35). Това отразява подхода, възприет в член 3 от Регламент (ЕС) 2016/679.

34

35

2.4.   Определения за „лични данни“ и за понятията „администратор“ и „обработващ лични данни“

Определения за „лични данни“ и за понятията „администратор“ и „обработващ лични данни“

| (23) | Определенията за „лични данни“, „обработване“, „администратор“, „обработващ лични данни“, както и определението за „псевдонимизация“, залегнали в Регламент (ЕС) 2016/679, са запазени без съществени изменения в ОРЗД на Обединеното кралство (36). Освен това специалните категории лични данни са определени в член 9, параграф 1 от ОРЗД на Обединеното кралство по същия начин, както и в Регламент (ЕС) 2016/679 („разкриващи расов или етнически произход, политически възгледи, религиозни или философски убеждения или членство в синдикални организации, както и обработването на генетични данни, биометрични данни за целите единствено на идентифицирането на физическо лице, данни за здравословното състояние или данни за сексуалния живот или сексуалната ориентация на физическото лице“). В член 205 от ЗЗД от 2018 г. се съдържат определенията за „биометрични данни“ (37), „данни за здравословното състояние“ (38) и „генетични данни“ (39). |
| --- | --- |

(23)

Определенията за „лични данни“, „обработване“, „администратор“, „обработващ лични данни“, както и определението за „псевдонимизация“, залегнали в Регламент (ЕС) 2016/679, са запазени без съществени изменения в ОРЗД на Обединеното кралство (36). Освен това специалните категории лични данни са определени в член 9, параграф 1 от ОРЗД на Обединеното кралство по същия начин, както и в Регламент (ЕС) 2016/679 („разкриващи расов или етнически произход, политически възгледи, религиозни или философски убеждения или членство в синдикални организации, както и обработването на генетични данни, биометрични данни за целите единствено на идентифицирането на физическо лице, данни за здравословното състояние или данни за сексуалния живот или сексуалната ориентация на физическото лице“). В член 205 от ЗЗД от 2018 г. се съдържат определенията за „биометрични данни“ (37), „данни за здравословното състояние“ (38) и „генетични данни“ (39).

36

37

38

39

2.5.   Гаранции, права и задължения

Гаранции, права и задължения

2.5.1.   Законосъобразност и добросъвестност на обработването

Законосъобразност и добросъвестност на обработването

| (24) | Личните данни следва да се обработват законосъобразно и добросъвестно. |
| --- | --- |

(24)

Личните данни следва да се обработват законосъобразно и добросъвестно.

| (25) | Принципите на законосъобразност, добросъвестност и прозрачност и основанията за законосъобразно обработване на лични данни са гарантирани в правото на Обединеното кралство чрез разпоредбите на член 5, параграф 1, буква а) и член 6, параграф 1 от ОРЗД на Обединеното кралство, които са идентични със съответните разпоредби на Регламент (ЕС) 2016/679 (40). Член 8 от ЗЗД от 2018 г. допълва член 6, параграф 1, буква д), като в него се предвижда, че обработването на лични данни съгласно член 6, параграф 1, буква д) от ОРЗД на Обединеното кралство (необходимо за изпълнението на задача, извършвана в обществен интерес, или при упражняването на официалните правомощия на администратора), включва обработването на лични данни, необходимо за правораздаването, за упражняването на функция на някоя от двете камари на Парламента, за упражняването на функция, възложена на лице с акт или правна норма, за упражняването на функция на Короната, на министър на Короната или на правителствен отдел, или на дейност, с която се подкрепя или насърчава демократичната ангажираност. |
| --- | --- |

(25)

Принципите на законосъобразност, добросъвестност и прозрачност и основанията за законосъобразно обработване на лични данни са гарантирани в правото на Обединеното кралство чрез разпоредбите на член 5, параграф 1, буква а) и член 6, параграф 1 от ОРЗД на Обединеното кралство, които са идентични със съответните разпоредби на Регламент (ЕС) 2016/679 (40). Член 8 от ЗЗД от 2018 г. допълва член 6, параграф 1, буква д), като в него се предвижда, че обработването на лични данни съгласно член 6, параграф 1, буква д) от ОРЗД на Обединеното кралство (необходимо за изпълнението на задача, извършвана в обществен интерес, или при упражняването на официалните правомощия на администратора), включва обработването на лични данни, необходимо за правораздаването, за упражняването на функция на някоя от двете камари на Парламента, за упражняването на функция, възложена на лице с акт или правна норма, за упражняването на функция на Короната, на министър на Короната или на правителствен отдел, или на дейност, с която се подкрепя или насърчава демократичната ангажираност.

40

| (26) | По отношение на съгласието (едно от основанията за законосъобразно обработване), в ОРЗД на Обединеното кралство са запазени непроменени и условията, предвидени в член 7 от Регламент (ЕС) 2016/679, тоест администраторът трябва да е в състояние да докаже, че субектът на данни е дал съгласие, трябва да бъде представено писмено искане за съгласие, като се използва ясен и прост език, субектът на данни трябва да има правото да оттегли съгласието си по всяко време и, когато се прави оценка дали съгласието е било свободно изразено, следва да се отчита дали изпълнението на даден договор е поставено в зависимост от съгласието за обработване на лични данни, което не е необходимо за изпълнението на този договор. Освен това, съгласно член 8 от ОРЗД на Обединеното кралство, в контекста на предоставянето на услуги на информационното общество съгласието на дете е законосъобразно само когато детето е поне на 13 години. Тази възраст попада във възрастовите граници, определени в член 8 от Регламент (ЕС) 2016/679. |
| --- | --- |

(26)

По отношение на съгласието (едно от основанията за законосъобразно обработване), в ОРЗД на Обединеното кралство са запазени непроменени и условията, предвидени в член 7 от Регламент (ЕС) 2016/679, тоест администраторът трябва да е в състояние да докаже, че субектът на данни е дал съгласие, трябва да бъде представено писмено искане за съгласие, като се използва ясен и прост език, субектът на данни трябва да има правото да оттегли съгласието си по всяко време и, когато се прави оценка дали съгласието е било свободно изразено, следва да се отчита дали изпълнението на даден договор е поставено в зависимост от съгласието за обработване на лични данни, което не е необходимо за изпълнението на този договор. Освен това, съгласно член 8 от ОРЗД на Обединеното кралство, в контекста на предоставянето на услуги на информационното общество съгласието на дете е законосъобразно само когато детето е поне на 13 години. Тази възраст попада във възрастовите граници, определени в член 8 от Регламент (ЕС) 2016/679.

2.5.2.   Обработване на специални категории лични данни

Обработване на специални категории лични данни

| (27) | Когато се обработват „специални категории данни“, следва да има специфични гаранции. |
| --- | --- |

(27)

Когато се обработват „специални категории данни“, следва да има специфични гаранции.

| (28) | В ОРЗД на Обединеното кралство и в ЗЗД от 2018 г. се съдържат специфични правила за обработването на специални категории лични данни, които са определени в член 9, параграф 1 от ОРЗД на Обединеното кралство по същия начин, както и в Регламент (ЕС) 2016/679 (вж. съображение 23 по-горе). В съответствие с член 9 от ОРЗД обработването на специални категории лични данни по принцип е забранено, освен ако се прилага конкретно изключение. |
| --- | --- |

(28)

В ОРЗД на Обединеното кралство и в ЗЗД от 2018 г. се съдържат специфични правила за обработването на специални категории лични данни, които са определени в член 9, параграф 1 от ОРЗД на Обединеното кралство по същия начин, както и в Регламент (ЕС) 2016/679 (вж. съображение 23 по-горе). В съответствие с член 9 от ОРЗД обработването на специални категории лични данни по принцип е забранено, освен ако се прилага конкретно изключение.

| (29) | В изключенията (изброени в член 9, параграфи 2 и 3 от ОРЗД на Обединеното кралство) не са въведени промени по същество в сравнение с тези, посочени в член 9, параграфи 2 и 3 от Регламент (ЕС) 2016/679. Освен ако субектът на данни е дал изричното си съгласие за обработването на този вид лични данни, обработването на специални категории лични данни е разрешено само при специфични и ограничени обстоятелства. В повечето случаи обработването на чувствителни данни трябва да е необходимо за конкретна цел, определена в съответната разпоредба (вж. член 9, параграф 2, букви б), в), е), ж), з), и) и й). |
| --- | --- |

(29)

В изключенията (изброени в член 9, параграфи 2 и 3 от ОРЗД на Обединеното кралство) не са въведени промени по същество в сравнение с тези, посочени в член 9, параграфи 2 и 3 от Регламент (ЕС) 2016/679. Освен ако субектът на данни е дал изричното си съгласие за обработването на този вид лични данни, обработването на специални категории лични данни е разрешено само при специфични и ограничени обстоятелства. В повечето случаи обработването на чувствителни данни трябва да е необходимо за конкретна цел, определена в съответната разпоредба (вж. член 9, параграф 2, букви б), в), е), ж), з), и) и й).

| (30) | Освен това, когато за изключение съгласно член 9, параграф 2 от ОРЗД на Обединеното кралство се изисква разрешение по закон или изключението е свързано с обществения интерес, в член 10 от ЗЗД от 2018 г. и в приложение 1 към него допълнително са уточнени условията, които трябва да бъдат изпълнени за прилагането на тези изключения. Например при обработване на чувствителни данни с цел защита на „общественото здраве“ (член 9, параграф 2, буква и) от ОРЗД на Обединеното кралство), съгласно част 1, точка 3, буква б) от приложение 1, освен проверката за необходимост, се изисква обработването да се извършва „от или под ръководството на медицински специалист“ или „от друго лице, което е обвързано от задължение за поверителност съгласно нормативен акт или правна норма“, включително по силата на утвърденото задължение за поверителност съгласно общото право. |
| --- | --- |

(30)

Освен това, когато за изключение съгласно член 9, параграф 2 от ОРЗД на Обединеното кралство се изисква разрешение по закон или изключението е свързано с обществения интерес, в член 10 от ЗЗД от 2018 г. и в приложение 1 към него допълнително са уточнени условията, които трябва да бъдат изпълнени за прилагането на тези изключения. Например при обработване на чувствителни данни с цел защита на „общественото здраве“ (член 9, параграф 2, буква и) от ОРЗД на Обединеното кралство), съгласно част 1, точка 3, буква б) от приложение 1, освен проверката за необходимост, се изисква обработването да се извършва „от или под ръководството на медицински специалист“ или „от друго лице, което е обвързано от задължение за поверителност съгласно нормативен акт или правна норма“, включително по силата на утвърденото задължение за поверителност съгласно общото право.

| (31) | Когато чувствителните данни се обработват по съображения от важен обществен интерес (член 9, параграф 2, буква g) от ОРЗД на Обединеното кралство), в част 2 от приложение 1 към ЗЗД от 2018 г. е предвиден изчерпателен списък от цели, които могат да се считат за цели от важен обществен интерес, и за всяка от тях са определени конкретни допълнителни условия. Например насърчаването на расово и етническо многообразие на висшите равнища в организациите се признава за цел от важен обществен интерес. Обработването на чувствителни данни за тази конкретна цел е предмет на подробни изисквания, които включват то да се извършва в рамките на процедура за определяне на подходящи лица, които да заемат ръководни длъжности, да е необходимо за насърчаване на расовото и етническото многообразие и да е малко вероятно да причини значителна вреда или значителни сътресения на субекта на данни. |
| --- | --- |

(31)

Когато чувствителните данни се обработват по съображения от важен обществен интерес (член 9, параграф 2, буква g) от ОРЗД на Обединеното кралство), в част 2 от приложение 1 към ЗЗД от 2018 г. е предвиден изчерпателен списък от цели, които могат да се считат за цели от важен обществен интерес, и за всяка от тях са определени конкретни допълнителни условия. Например насърчаването на расово и етническо многообразие на висшите равнища в организациите се признава за цел от важен обществен интерес. Обработването на чувствителни данни за тази конкретна цел е предмет на подробни изисквания, които включват то да се извършва в рамките на процедура за определяне на подходящи лица, които да заемат ръководни длъжности, да е необходимо за насърчаване на расовото и етническото многообразие и да е малко вероятно да причини значителна вреда или значителни сътресения на субекта на данни.

| (32) | В член 11, параграф 1 от ЗЗД от 2018 г. са определени условията за обработване на лични данни при обстоятелствата, описани в член 9, параграф 3 от ОРЗД на Обединеното кралство, свързани със задължението за опазване на професионалната тайна. Това включва обстоятелства, при които обработването се извършва от или под ръководството на медицински специалист или от социален работник, или от друго лице, което при тези обстоятелства е обвързано от задължение за поверителност съгласно нормативен акт или правна норма. |
| --- | --- |

(32)

В член 11, параграф 1 от ЗЗД от 2018 г. са определени условията за обработване на лични данни при обстоятелствата, описани в член 9, параграф 3 от ОРЗД на Обединеното кралство, свързани със задължението за опазване на професионалната тайна. Това включва обстоятелства, при които обработването се извършва от или под ръководството на медицински специалист или от социален работник, или от друго лице, което при тези обстоятелства е обвързано от задължение за поверителност съгласно нормативен акт или правна норма.

| (33) | Освен това, за да бъдат приложени много от изключенията, изброени в член 9, параграф 2 от ОРЗД на Обединеното кралство, са необходими подходящи и специфични гаранции. В зависимост от естеството на обработването и равнището на риск за правата и свободите на субектите на данни, в условията за обработване, предвидени в приложение 1 към ЗЗД от 2018 г., са установени различни гаранции. В приложение 1 съответно са определени условията за всеки случай на обработване на данни. |
| --- | --- |

(33)

Освен това, за да бъдат приложени много от изключенията, изброени в член 9, параграф 2 от ОРЗД на Обединеното кралство, са необходими подходящи и специфични гаранции. В зависимост от естеството на обработването и равнището на риск за правата и свободите на субектите на данни, в условията за обработване, предвидени в приложение 1 към ЗЗД от 2018 г., са установени различни гаранции. В приложение 1 съответно са определени условията за всеки случай на обработване на данни.

| (34) | В някои случаи в ЗЗД от 2018 г. видът чувствителни данни, които могат да бъдат обработвани, за да бъде спазено определено правно основание, е регламентиран и ограничен. Например обработването на чувствителни данни с цел насърчаване на равенство на възможностите или еднакво третиране е разрешено съгласно точка 8 от приложение 1. Това условие за обработване на лични данни може да се използва само ако данните разкриват расов или етнически произход, религиозни или философски убеждения, сексуална ориентация, или ако става дума за данни за здравословното състояние. |
| --- | --- |

(34)

В някои случаи в ЗЗД от 2018 г. видът чувствителни данни, които могат да бъдат обработвани, за да бъде спазено определено правно основание, е регламентиран и ограничен. Например обработването на чувствителни данни с цел насърчаване на равенство на възможностите или еднакво третиране е разрешено съгласно точка 8 от приложение 1. Това условие за обработване на лични данни може да се използва само ако данните разкриват расов или етнически произход, религиозни или философски убеждения, сексуална ориентация, или ако става дума за данни за здравословното състояние.

| (35) | В някои случаи ЗЗД от 2018 г. ограничава вида администратор на лични данни, който може да използва дадено условие за обработване. Например обработването на чувствителни данни във връзка с отговорите на лица на изборни длъжности пред обществеността е уредено в точка 23 от приложение 1. Това условие за обработване може да се използва само ако администраторът е лицето на изборна длъжност или действа под негово ръководство. |
| --- | --- |

(35)

В някои случаи ЗЗД от 2018 г. ограничава вида администратор на лични данни, който може да използва дадено условие за обработване. Например обработването на чувствителни данни във връзка с отговорите на лица на изборни длъжности пред обществеността е уредено в точка 23 от приложение 1. Това условие за обработване може да се използва само ако администраторът е лицето на изборна длъжност или действа под негово ръководство.

| (36) | В някои други случаи в ЗЗД от 2018 г. са въведени ограничения относно категориите субекти на данни, за които може да се използва дадено условие за обработване. Например обработването на чувствителни данни, свързани с професионални пенсионни схеми, е уредено в точка 21 от приложение 1. Това условие може да се използва само ако въпросният субект на данни е брат или сестра, родител, баба или дядо на член на пенсионната схема. |
| --- | --- |

(36)

В някои други случаи в ЗЗД от 2018 г. са въведени ограничения относно категориите субекти на данни, за които може да се използва дадено условие за обработване. Например обработването на чувствителни данни, свързани с професионални пенсионни схеми, е уредено в точка 21 от приложение 1. Това условие може да се използва само ако въпросният субект на данни е брат или сестра, родител, баба или дядо на член на пенсионната схема.

| (37) | Освен това при прилагането на изключения съгласно член 9, параграф 2 от ОРЗД на Обединеното кралство, които са допълнително уточнени в член 10 от ЗЗД от 2018 г. и в приложение 1 към него, в повечето случаи се изисква администраторът на данните да изготви „подходящ документ за политиката“. В него трябва да бъдат описани процедурите на администратора за осигуряване на спазването на принципите, предвидени в член 5 от ОРЗД на Обединеното кралство. В него трябва също така да бъдат определени политиките относно съхраняването и заличаването на данни и да бъде указан вероятният период на съхранение. Администраторите трябва да преразглеждат и актуализират този документ, когато е необходимо. Администраторът трябва да съхранява документа за политиката за срок от шест месеца след приключване на обработването и да го предоставя на комисаря по информацията при поискване (41). |
| --- | --- |

(37)

Освен това при прилагането на изключения съгласно член 9, параграф 2 от ОРЗД на Обединеното кралство, които са допълнително уточнени в член 10 от ЗЗД от 2018 г. и в приложение 1 към него, в повечето случаи се изисква администраторът на данните да изготви „подходящ документ за политиката“. В него трябва да бъдат описани процедурите на администратора за осигуряване на спазването на принципите, предвидени в член 5 от ОРЗД на Обединеното кралство. В него трябва също така да бъдат определени политиките относно съхраняването и заличаването на данни и да бъде указан вероятният период на съхранение. Администраторите трябва да преразглеждат и актуализират този документ, когато е необходимо. Администраторът трябва да съхранява документа за политиката за срок от шест месеца след приключване на обработването и да го предоставя на комисаря по информацията при поискване (41).

41

| (38) | Съгласно точка 41 от приложение 1 към ЗЗД от 2018 г. документът за политиката трябва винаги да се придружава от разширен регистър на дейностите по обработване. Този регистър трябва да позволява да се проследят ангажиментите, включени в документа за политиката, т.е. дали данните се заличават или съхраняват в съответствие с политиките. Ако политиките не са били спазени, в регистъра трябва да бъдат вписани причините за това. В него трябва също така да бъдат описани основанията, поради които обработването отговаря на член 6 от ОРЗД на Обединеното кралство (законосъобразност на обработването), и конкретното условие съгласно приложение 1 към ЗЗД от 2018 г., което е било приложено. |
| --- | --- |

(38)

Съгласно точка 41 от приложение 1 към ЗЗД от 2018 г. документът за политиката трябва винаги да се придружава от разширен регистър на дейностите по обработване. Този регистър трябва да позволява да се проследят ангажиментите, включени в документа за политиката, т.е. дали данните се заличават или съхраняват в съответствие с политиките. Ако политиките не са били спазени, в регистъра трябва да бъдат вписани причините за това. В него трябва също така да бъдат описани основанията, поради които обработването отговаря на член 6 от ОРЗД на Обединеното кралство (законосъобразност на обработването), и конкретното условие съгласно приложение 1 към ЗЗД от 2018 г., което е било приложено.

| (39) | И накрая, както в Регламент (ЕС) 2016/679, така и в ОРЗД на Обединеното кралство са предвидени общи гаранции за определени операции по обработването на специални категории данни. Съгласно член 35 от ОРЗД на Обединеното кралство се изисква оценка на въздействието върху защитата на данните, ако специални категории данни се обработват в голям мащаб. В съответствие с член 37 от ОРЗД на Обединеното кралство администраторът или обработващият лични данни трябва да определи длъжностно лице по защита на данните, когато основните му дейности се състоят в обработване на специални категории данни в голям мащаб. |
| --- | --- |

(39)

И накрая, както в Регламент (ЕС) 2016/679, така и в ОРЗД на Обединеното кралство са предвидени общи гаранции за определени операции по обработването на специални категории данни. Съгласно член 35 от ОРЗД на Обединеното кралство се изисква оценка на въздействието върху защитата на данните, ако специални категории данни се обработват в голям мащаб. В съответствие с член 37 от ОРЗД на Обединеното кралство администраторът или обработващият лични данни трябва да определи длъжностно лице по защита на данните, когато основните му дейности се състоят в обработване на специални категории данни в голям мащаб.

| (40) | По отношение на личните данни, свързани с присъди и нарушения, член 10 от ОРЗД на Обединеното кралство е идентичен с член 10 от Регламент (ЕС) 2016/679. Обработване на лични данни, свързани с присъди и нарушения, се допуска само под контрола на официален орган или когато обработването е разрешено от националното право, в което са предвидени подходящи гаранции за правата и свободите на субектите на данни. |
| --- | --- |

(40)

По отношение на личните данни, свързани с присъди и нарушения, член 10 от ОРЗД на Обединеното кралство е идентичен с член 10 от Регламент (ЕС) 2016/679. Обработване на лични данни, свързани с присъди и нарушения, се допуска само под контрола на официален орган или когато обработването е разрешено от националното право, в което са предвидени подходящи гаранции за правата и свободите на субектите на данни.

| (41) | Когато обработването на лични данни, свързани с присъди и нарушения, не се извършва под контрола на официален орган, в член 10, параграф 5 от ЗЗД от 2018 г. е предвидено, че то може да се осъществява само за специфичните цели и в конкретните случаи, определени в части 1, 2 и 3 от приложение 1 към ЗЗД от 2018 г., и при спазване на конкретните изисквания, определени за всяка от тези цели и за всеки от тези случаи. Например данни за присъди може да бъдат обработвани от структури с нестопанска цел, ако обработването се извършва а) при подходящи гаранции в хода на законните дейности на фондация, сдружение или друга структура с нестопанска цел, с политическа, философска, религиозна или синдикална цел, и б) при условие че i) обработването е свързано единствено с членовете или бившите членове на тази структура или с лица, които поддържат редовни контакти с нея във връзка с нейните цели, и че ii) личните данни не се разкриват без съгласието на субектите на данни. |
| --- | --- |

(41)

Когато обработването на лични данни, свързани с присъди и нарушения, не се извършва под контрола на официален орган, в член 10, параграф 5 от ЗЗД от 2018 г. е предвидено, че то може да се осъществява само за специфичните цели и в конкретните случаи, определени в части 1, 2 и 3 от приложение 1 към ЗЗД от 2018 г., и при спазване на конкретните изисквания, определени за всяка от тези цели и за всеки от тези случаи. Например данни за присъди може да бъдат обработвани от структури с нестопанска цел, ако обработването се извършва а) при подходящи гаранции в хода на законните дейности на фондация, сдружение или друга структура с нестопанска цел, с политическа, философска, религиозна или синдикална цел, и б) при условие че i) обработването е свързано единствено с членовете или бившите членове на тази структура или с лица, които поддържат редовни контакти с нея във връзка с нейните цели, и че ii) личните данни не се разкриват без съгласието на субектите на данни.

| (42) | Освен това в част 3 от приложение 1 към ЗЗД от 2018 г. са определени допълнителни обстоятелства, при които може да се използват данни за присъди, съответстващи на правното основание за обработване на чувствителни данни, предвидено в член 9, параграф 2 от Регламент (ЕС) 2016/679 и в ОРЗД на Обединеното кралство (напр. съгласие на субекта на данни, жизненоважни интереси на физическо лице, ако субектът на данни е юридически или физически неспособен да даде съгласие, ако данните вече явно са направени обществено достояние от субекта на данни, ако обработването е необходимо с цел установяване, упражняване или защита на правни претенции и др.). |
| --- | --- |

(42)

Освен това в част 3 от приложение 1 към ЗЗД от 2018 г. са определени допълнителни обстоятелства, при които може да се използват данни за присъди, съответстващи на правното основание за обработване на чувствителни данни, предвидено в член 9, параграф 2 от Регламент (ЕС) 2016/679 и в ОРЗД на Обединеното кралство (напр. съгласие на субекта на данни, жизненоважни интереси на физическо лице, ако субектът на данни е юридически или физически неспособен да даде съгласие, ако данните вече явно са направени обществено достояние от субекта на данни, ако обработването е необходимо с цел установяване, упражняване или защита на правни претенции и др.).

2.5.3.   Ограничение на целите, точност, свеждане на данните до минимум, ограничение на съхранението и сигурност на данните

Ограничение на целите, точност, свеждане на данните до минимум, ограничение на съхранението и сигурност на данните

| (43) | Личните данни следва да се обработват с конкретна цел и впоследствие да се използват само дотолкова, доколкото употребата им не е несъвместима с целта на обработването. |
| --- | --- |

(43)

Личните данни следва да се обработват с конкретна цел и впоследствие да се използват само дотолкова, доколкото употребата им не е несъвместима с целта на обработването.

| (44) | Този принцип е предвиден в член 5, параграф 1, буква б) от Регламент (ЕС) 2016/679 и е запазен без промени в член 5, параграф 1, буква б) от ОРЗД на Обединеното кралство. Условията за по-нататъшно съвместимо обработване съгласно член 6, параграф 4 от Регламент (ЕС) 2016/679 също са запазени без съществени изменения в член 6, параграф 4, букви а)—д) от ОРЗД на Обединеното кралство. |
| --- | --- |

(44)

Този принцип е предвиден в член 5, параграф 1, буква б) от Регламент (ЕС) 2016/679 и е запазен без промени в член 5, параграф 1, буква б) от ОРЗД на Обединеното кралство. Условията за по-нататъшно съвместимо обработване съгласно член 6, параграф 4 от Регламент (ЕС) 2016/679 също са запазени без съществени изменения в член 6, параграф 4, букви а)—д) от ОРЗД на Обединеното кралство.

| (45) | Освен това данните следва да бъдат точни и при необходимост да се актуализират. Те следва също така да са подходящи, свързани със и ограничени до необходимото във връзка с целите, за които се обработват, и по принцип да се съхраняват не по-дълго от необходимото за целите, за които се обработват. |
| --- | --- |

(45)

Освен това данните следва да бъдат точни и при необходимост да се актуализират. Те следва също така да са подходящи, свързани със и ограничени до необходимото във връзка с целите, за които се обработват, и по принцип да се съхраняват не по-дълго от необходимото за целите, за които се обработват.

| (46) | Тези принципи на свеждане на данните до минимум, точност и ограничение на съхранението са постановени в член 5, параграф 1, букви в)—д) от Регламент (ЕС) 2016/679 и са запазени без промени в член 5, параграф 1, букви в)—д) от ОРЗД на Обединеното кралство. |
| --- | --- |

(46)

Тези принципи на свеждане на данните до минимум, точност и ограничение на съхранението са постановени в член 5, параграф 1, букви в)—д) от Регламент (ЕС) 2016/679 и са запазени без промени в член 5, параграф 1, букви в)—д) от ОРЗД на Обединеното кралство.

| (47) | Личните данни също трябва да се обработват по начин, който гарантира тяхната сигурност, включително защита срещу неразрешено или незаконосъобразно обработване и срещу случайна загуба, унищожаване или повреждане. За тази цел бизнес операторите трябва да предприемат подходящи технически или организационни мерки за защита на личните данни от възможни заплахи. Тези мерки трябва да се оценяват, като се вземат предвид достиженията на техническия прогрес и съответните разходи. |
| --- | --- |

(47)

Личните данни също трябва да се обработват по начин, който гарантира тяхната сигурност, включително защита срещу неразрешено или незаконосъобразно обработване и срещу случайна загуба, унищожаване или повреждане. За тази цел бизнес операторите трябва да предприемат подходящи технически или организационни мерки за защита на личните данни от възможни заплахи. Тези мерки трябва да се оценяват, като се вземат предвид достиженията на техническия прогрес и съответните разходи.

| (48) | Сигурността на данните е залегнала в правото на Обединеното кралство чрез принципа на цялостност и поверителност, предвиден в член 5, параграф 1, буква е) от ОРЗД на Обединеното кралство, и в член 32 от ОРЗД на Обединеното кралство относно сигурността на обработването на данни. Тези разпоредби са идентични със съответните разпоредби от Регламент (ЕС) 2016/679. Освен това съгласно ОРЗД на Обединеното кралство се изисква надзорният орган да бъде уведомяван за нарушения на сигурността на личните данни (член 33 от ОРЗД на Обединеното кралство) и нарушението да бъде съобщено на субекта на данни (член 34 от ОРЗД на Обединеното кралство) при същите условия като тези, посочени в членове 33 и 34 от Регламент (ЕС) 2016/679. |
| --- | --- |

(48)

Сигурността на данните е залегнала в правото на Обединеното кралство чрез принципа на цялостност и поверителност, предвиден в член 5, параграф 1, буква е) от ОРЗД на Обединеното кралство, и в член 32 от ОРЗД на Обединеното кралство относно сигурността на обработването на данни. Тези разпоредби са идентични със съответните разпоредби от Регламент (ЕС) 2016/679. Освен това съгласно ОРЗД на Обединеното кралство се изисква надзорният орган да бъде уведомяван за нарушения на сигурността на личните данни (член 33 от ОРЗД на Обединеното кралство) и нарушението да бъде съобщено на субекта на данни (член 34 от ОРЗД на Обединеното кралство) при същите условия като тези, посочени в членове 33 и 34 от Регламент (ЕС) 2016/679.

2.5.4.   Прозрачност

Прозрачност

| (49) | Субектите на данни трябва да бъдат информирани за основните характеристики на обработването на техните лични данни. |
| --- | --- |

(49)

Субектите на данни трябва да бъдат информирани за основните характеристики на обработването на техните лични данни.

| (50) | Това се гарантира от членове 13 и 14 от ОРЗД на Обединеното кралство, в които, освен общият принцип на прозрачност, са залегнали правила относно информацията, която трябва да се предоставя на субекта на данни (42). В ОРЗД на Обединеното кралство не се въведени съществени изменения на тези правила в сравнение със съответните разпоредби на Регламент (ЕС) 2016/679. Както в Регламент (ЕС) 2016/679 обаче, изискванията за прозрачност, предвидени в тези членове, са предмет на няколко изключения, посочени в ЗЗД от 2018 г. (вж. съображения 55—72). |
| --- | --- |

(50)

Това се гарантира от членове 13 и 14 от ОРЗД на Обединеното кралство, в които, освен общият принцип на прозрачност, са залегнали правила относно информацията, която трябва да се предоставя на субекта на данни (42). В ОРЗД на Обединеното кралство не се въведени съществени изменения на тези правила в сравнение със съответните разпоредби на Регламент (ЕС) 2016/679. Както в Регламент (ЕС) 2016/679 обаче, изискванията за прозрачност, предвидени в тези членове, са предмет на няколко изключения, посочени в ЗЗД от 2018 г. (вж. съображения 55—72).

42

2.5.5.   Индивидуални права

Индивидуални права

| (51) | Субектите на данни следва да имат конкретни права, които може да бъде противопоставени на обработващия лични данни или на администратора, по-специално правото на достъп до данните, правото на възражение срещу тяхното обработване, правото на коригиране или изтриване на данните. В същото време тези права могат да бъдат обект на ограничения, доколкото тези ограничения са необходими и пропорционални с цел да се гарантира обществената сигурност или за други важни цели от широк обществен интерес. |
| --- | --- |

(51)

Субектите на данни следва да имат конкретни права, които може да бъде противопоставени на обработващия лични данни или на администратора, по-специално правото на достъп до данните, правото на възражение срещу тяхното обработване, правото на коригиране или изтриване на данните. В същото време тези права могат да бъдат обект на ограничения, доколкото тези ограничения са необходими и пропорционални с цел да се гарантира обществената сигурност или за други важни цели от широк обществен интерес.

2.5.5.1.   Материални права

Материални права

| (52) | ОРЗД на Обединеното кралство предоставя на физическите лица същите приложими права като Регламент (ЕС) 2016/679. Разпоредбите, в които са определени правата на физическите лица, са запазени в ОРЗД на Обединеното кралство без съществени промени. |
| --- | --- |

(52)

ОРЗД на Обединеното кралство предоставя на физическите лица същите приложими права като Регламент (ЕС) 2016/679. Разпоредбите, в които са определени правата на физическите лица, са запазени в ОРЗД на Обединеното кралство без съществени промени.

| (53) | Правата включват правото на достъп на субекта на данни (член 15 от ОРЗД на Обединеното кралство), правото на коригиране (член 16 от ОРЗД на Обединеното кралство), правото на изтриване (член 17 от ОРЗД на Обединеното кралство), правото на ограничаване на обработването (член 18 от ОРЗД на Обединеното кралство), задължение за уведомяване при коригиране или изтриване на лични данни или ограничаване на обработването (член 19 от ОРЗД на Обединеното кралство), правото на преносимост на данните (член 20 от ОРЗД на Обединеното кралство) и правото на възражение (член 21 от ОРЗД на Обединеното кралство) (43). Последното включва също правото на субекта на данни да възрази срещу обработването на лични данни за целите на директния маркетинг, предвидено в член 21, параграфи 2 и 3 от Регламент (ЕС) 2016/679. Освен това, съгласно член 122 от ЗЗД от 2018 г., комисарят по информацията трябва да изготви кодекс за поведение във връзка с осъществяването на директен маркетинг в съответствие с изискванията на законодателството за защита на данните (и на Наредбите от 2003 г. за защита на данните, неприкосновеността на личния живот и електронните съобщения (Директива на ЕС)), както и всякакви други насоки за насърчаване на добри практики в директния маркетинг, които комисарят счита за подходящи. Понастоящем Службата на комисаря по информацията разработва кодекса относно директния маркетинг (44). |
| --- | --- |

(53)

Правата включват правото на достъп на субекта на данни (член 15 от ОРЗД на Обединеното кралство), правото на коригиране (член 16 от ОРЗД на Обединеното кралство), правото на изтриване (член 17 от ОРЗД на Обединеното кралство), правото на ограничаване на обработването (член 18 от ОРЗД на Обединеното кралство), задължение за уведомяване при коригиране или изтриване на лични данни или ограничаване на обработването (член 19 от ОРЗД на Обединеното кралство), правото на преносимост на данните (член 20 от ОРЗД на Обединеното кралство) и правото на възражение (член 21 от ОРЗД на Обединеното кралство) (43). Последното включва също правото на субекта на данни да възрази срещу обработването на лични данни за целите на директния маркетинг, предвидено в член 21, параграфи 2 и 3 от Регламент (ЕС) 2016/679. Освен това, съгласно член 122 от ЗЗД от 2018 г., комисарят по информацията трябва да изготви кодекс за поведение във връзка с осъществяването на директен маркетинг в съответствие с изискванията на законодателството за защита на данните (и на Наредбите от 2003 г. за защита на данните, неприкосновеността на личния живот и електронните съобщения (Директива на ЕС)), както и всякакви други насоки за насърчаване на добри практики в директния маркетинг, които комисарят счита за подходящи. Понастоящем Службата на комисаря по информацията разработва кодекса относно директния маркетинг (44).

43

44

| (54) | Правото на субекта на данни да не бъде обект на решение, основаващо се единствено на автоматизирано обработване, което поражда правни последствия за субекта на данни или по подобен начин го засяга в значителна степен, както е предвидено в член 22 от ОРЗД, също е запазено в ОРЗД на Обединеното кралство без съществени промени. Добавен е обаче нов параграф 3А, в който е направено позоваване на член 14 от ЗЗД от 2018 г., съдържащ гаранции за правата, свободите и легитимните интереси на субектите на данни, когато обработването се извършва съгласно член 22, параграф 2, буква б) от ОРЗД на Обединеното кралство. Тази нова разпоредба се прилага само когато основанието за такова решение е разрешение или изискване съгласно правото на Обединеното кралство и не се прилага, когато решението е необходимо съгласно договор или е взето с изричното съгласие на субекта на данни. Когато се прилага член 14 от ЗЗД от 2018 г., администраторът трябва, веднага щом това е практически осъществимо, да уведоми субекта на данни, че е взето решение, основаващо се единствено на автоматизирано обработване. В рамките на един месец от получаване на уведомлението субектът на данни има право да поиска от администратора да преразгледа решението или да вземе ново решение, което не се основава единствено на автоматизирано обработване. Министърът има правомощието да въвежда допълнителни гаранции по отношение на автоматизираното вземане на решения. Това правомощие все още не е упражнявано. |
| --- | --- |

(54)

Правото на субекта на данни да не бъде обект на решение, основаващо се единствено на автоматизирано обработване, което поражда правни последствия за субекта на данни или по подобен начин го засяга в значителна степен, както е предвидено в член 22 от ОРЗД, също е запазено в ОРЗД на Обединеното кралство без съществени промени. Добавен е обаче нов параграф 3А, в който е направено позоваване на член 14 от ЗЗД от 2018 г., съдържащ гаранции за правата, свободите и легитимните интереси на субектите на данни, когато обработването се извършва съгласно член 22, параграф 2, буква б) от ОРЗД на Обединеното кралство. Тази нова разпоредба се прилага само когато основанието за такова решение е разрешение или изискване съгласно правото на Обединеното кралство и не се прилага, когато решението е необходимо съгласно договор или е взето с изричното съгласие на субекта на данни. Когато се прилага член 14 от ЗЗД от 2018 г., администраторът трябва, веднага щом това е практически осъществимо, да уведоми субекта на данни, че е взето решение, основаващо се единствено на автоматизирано обработване. В рамките на един месец от получаване на уведомлението субектът на данни има право да поиска от администратора да преразгледа решението или да вземе ново решение, което не се основава единствено на автоматизирано обработване. Министърът има правомощието да въвежда допълнителни гаранции по отношение на автоматизираното вземане на решения. Това правомощие все още не е упражнявано.

2.5.5.2.   Ограничения на индивидуалните права и други разпоредби

Ограничения на индивидуалните права и други разпоредби

| (55) | В ЗЗД от 2018 г. са предвидени няколко ограничения на индивидуалните права, които се вписват в разпоредбите на член 23 от ОРЗД на Обединеното кралство. В този нормативен акт не са въведени ограничения по отношение на правото на възражение срещу директен маркетинг, както е предвидено в член 21, параграфи 2 и 3 от ОРЗД на Обединеното кралство, нито на правото субектът на данни да не бъде обект на автоматизирано вземане на решения, както е предвидено в член 22 от ОРЗД за Обединеното кралство. |
| --- | --- |

(55)

В ЗЗД от 2018 г. са предвидени няколко ограничения на индивидуалните права, които се вписват в разпоредбите на член 23 от ОРЗД на Обединеното кралство. В този нормативен акт не са въведени ограничения по отношение на правото на възражение срещу директен маркетинг, както е предвидено в член 21, параграфи 2 и 3 от ОРЗД на Обединеното кралство, нито на правото субектът на данни да не бъде обект на автоматизирано вземане на решения, както е предвидено в член 22 от ОРЗД за Обединеното кралство.

| (56) | Ограниченията са описани подробно в приложения 2—4 към ЗЗД от 2018 г. Органите на Обединеното кралство поясниха, че са се ръководили от два принципа: принципа на специфичност (възприемане на подробен подход, разделяне на по-общи ограничения на множество, по-конкретни разпоредби) и принципа на обвързаност с условия (всяка разпоредба е съчетана с гаранции под формата на ограничения или условия с цел предотвратяване на злоупотреби) (45). |
| --- | --- |

(56)

Ограниченията са описани подробно в приложения 2—4 към ЗЗД от 2018 г. Органите на Обединеното кралство поясниха, че са се ръководили от два принципа: принципа на специфичност (възприемане на подробен подход, разделяне на по-общи ограничения на множество, по-конкретни разпоредби) и принципа на обвързаност с условия (всяка разпоредба е съчетана с гаранции под формата на ограничения или условия с цел предотвратяване на злоупотреби) (45).

45

| (57) | Ограниченията, описани в член 23, параграф 1 от ОРЗД на Обединеното кралство, имат за цел да се гарантира, че те ще се прилагат само при определени обстоятелства, когато това е необходимо в едно демократично общество и пропорционално на легитимната цел, която се преследва с тях. Освен това, в съответствие с установената съдебна практика относно тълкуването на ограниченията, изключения от режима на защита на данните във всеки конкретен случай се допускат само ако това е необходимо и пропорционално (46). Изисква се проверката за необходимост да бъде „строга, а всякаква намеса в правата на субекта да бъде пропорционална на сериозността на заплахата за обществения интерес. Следователно при извършването ѝ е необходим класически анализ на пропорционалността (47).“ |
| --- | --- |

(57)

Ограниченията, описани в член 23, параграф 1 от ОРЗД на Обединеното кралство, имат за цел да се гарантира, че те ще се прилагат само при определени обстоятелства, когато това е необходимо в едно демократично общество и пропорционално на легитимната цел, която се преследва с тях. Освен това, в съответствие с установената съдебна практика относно тълкуването на ограниченията, изключения от режима на защита на данните във всеки конкретен случай се допускат само ако това е необходимо и пропорционално (46). Изисква се проверката за необходимост да бъде „строга, а всякаква намеса в правата на субекта да бъде пропорционална на сериозността на заплахата за обществения интерес. Следователно при извършването ѝ е необходим класически анализ на пропорционалността (47).“

46

47

| (58) | Целта, която се преследва с тези ограничения, съответства на изброените в член 23 от Регламент (ЕС) 2016/679, с изключение на ограниченията, свързани с националната сигурност и отбрана, които са регламентирани в член 26 от ЗЗД от 2018 г., но подлежат на същите изисквания за необходимост и пропорционалност (вж. съображения 63—66). |
| --- | --- |

(58)

Целта, която се преследва с тези ограничения, съответства на изброените в член 23 от Регламент (ЕС) 2016/679, с изключение на ограниченията, свързани с националната сигурност и отбрана, които са регламентирани в член 26 от ЗЗД от 2018 г., но подлежат на същите изисквания за необходимост и пропорционалност (вж. съображения 63—66).

| (59) | При някои ограничения, например тези, свързани с предотвратяване или разкриване на престъпления, задържане или наказателно преследване на нарушители, както и с определяне или събиране на данъци или мита (48), се допуска ограничаване на всички индивидуални права и задължения за прозрачност (с изключение на правата по член 21, параграф 2 и член 22). Обхватът на други ограничения се простира единствено до задълженията за прозрачност и правата на достъп, например ограниченията, свързани с адвокатската тайна (49), с правото на освобождаване от изискване за предоставяне на информация, която би довела до самоуличаване (50), и с корпоративните финанси, особено за предотвратяване на злоупотреба с вътрешна информация (51). При малък брой ограничения се допуска да бъдат ограничени задължението на администратора да съобщава на субекта на данни за нарушение на сигурността на неговите данни и принципите на ограничение на целите, както и на законосъобразност, добросъвестност и прозрачност на обработването (52). |
| --- | --- |

(59)

При някои ограничения, например тези, свързани с предотвратяване или разкриване на престъпления, задържане или наказателно преследване на нарушители, както и с определяне или събиране на данъци или мита (48), се допуска ограничаване на всички индивидуални права и задължения за прозрачност (с изключение на правата по член 21, параграф 2 и член 22). Обхватът на други ограничения се простира единствено до задълженията за прозрачност и правата на достъп, например ограниченията, свързани с адвокатската тайна (49), с правото на освобождаване от изискване за предоставяне на информация, която би довела до самоуличаване (50), и с корпоративните финанси, особено за предотвратяване на злоупотреба с вътрешна информация (51). При малък брой ограничения се допуска да бъдат ограничени задължението на администратора да съобщава на субекта на данни за нарушение на сигурността на неговите данни и принципите на ограничение на целите, както и на законосъобразност, добросъвестност и прозрачност на обработването (52).

48

49

50

51

52

| (60) | Някои ограничения се прилагат автоматично „в своята цялост“ по отношение на определен вид обработване на лични данни (например задълженията за прозрачност и индивидуалните права не важат, когато личните данни се обработват с цел оценка на годността на дадено лице за съдебна длъжност или личните данни се обработват от съд, правораздавателен орган или физическо лице, действащо в изпълнение на съдебните си функции). |
| --- | --- |

(60)

Някои ограничения се прилагат автоматично „в своята цялост“ по отношение на определен вид обработване на лични данни (например задълженията за прозрачност и индивидуалните права не важат, когато личните данни се обработват с цел оценка на годността на дадено лице за съдебна длъжност или личните данни се обработват от съд, правораздавателен орган или физическо лице, действащо в изпълнение на съдебните си функции).

| (61) | В повечето случаи обаче в съответната точка от приложение 2 към ЗЗД от 2018 г. се уточнява, че ограничението се прилага само когато (и доколкото) прилагането на разпоредбите „има вероятност да накърни“ легитимната цел, която се преследва с това ограничение: например изброените разпоредби на ОРЗД на Обединеното кралство не се прилагат по отношение на лични данни, обработвани за предотвратяване или разкриване на престъпления, задържане или наказателно преследване на нарушители, или за определяне или събиране на данък или мито, „ доколкото прилагането на тези разпоредби има вероятност да накърни“ някоя от посочените дейности (53). |
| --- | --- |

(61)

В повечето случаи обаче в съответната точка от приложение 2 към ЗЗД от 2018 г. се уточнява, че ограничението се прилага само когато (и доколкото) прилагането на разпоредбите „има вероятност да накърни“ легитимната цел, която се преследва с това ограничение: например изброените разпоредби на ОРЗД на Обединеното кралство не се прилагат по отношение на лични данни, обработвани за предотвратяване или разкриване на престъпления, задържане или наказателно преследване на нарушители, или за определяне или събиране на данък или мито, „ доколкото прилагането на тези разпоредби има вероятност да накърни“ някоя от посочените дейности (53).

53

| (62) | „Вероятността да накърни“ се тълкува последователно от съдилищата на Обединеното кралство като „много значима и сериозна възможност да бъдат накърнени определените обществени интереси“ (54). Следователно ограничение, което подлежи на оценка на вероятността да бъдат накърнени целите, може да се използва само ако и доколкото е налице много значима и сериозна възможност предоставянето на определено право да накърни въпросния обществен интерес. Администраторът носи отговорност да прецени във всеки отделен случай дали тези условия са изпълнени (55). |
| --- | --- |

(62)

„Вероятността да накърни“ се тълкува последователно от съдилищата на Обединеното кралство като „много значима и сериозна възможност да бъдат накърнени определените обществени интереси“ (54). Следователно ограничение, което подлежи на оценка на вероятността да бъдат накърнени целите, може да се използва само ако и доколкото е налице много значима и сериозна възможност предоставянето на определено право да накърни въпросния обществен интерес. Администраторът носи отговорност да прецени във всеки отделен случай дали тези условия са изпълнени (55).

54

55

| (63) | В допълнение към ограниченията, съдържащи се в приложение 2 към ЗЗД от 2018 г., в член 26 от ЗЗД от 2018 г. е предвидено изключение, което може да бъде приложено по отношение на някои разпоредби на ОРЗД на Обединеното кралство и на ЗЗД от 2018 г., ако това е необходимо с цел да се гарантира националната сигурност или за целите на отбраната. Това изключение се прилага по отношение на принципите за защита на данните (с изключение на принципа на законосъобразност), на задълженията за прозрачност, на правата на субекта на данни, на задължението за уведомяване в случай на нарушение на сигурността на данните, на правилата за международно предаване на данни, на някои задължения и правомощия на комисаря по информацията, както и на правилата относно правните средства за защита, отговорностите и санкциите, с изключение на разпоредбата относно общите условия за налагане на административни наказания „глоба“ или „имуществена санкция“, посочени в член 83 от ОРЗД на Обединеното кралство, и разпоредбата относно санкциите в член 84 от ОРЗД на Обединеното кралство. Освен това с член 28 от ЗЗД от 2018 г. се въвеждат изменения в прилагането на член 9, параграф 1, за да се даде възможност за обработването на специални категории данни, предвидено в член 9, параграф 1 от ОРЗД на Обединеното кралство, доколкото това обработване се извършва с цел защита на националната сигурност или за целите на отбраната и с подходящи гаранции за правата и свободите на субектите на данни (56). |
| --- | --- |

(63)

В допълнение към ограниченията, съдържащи се в приложение 2 към ЗЗД от 2018 г., в член 26 от ЗЗД от 2018 г. е предвидено изключение, което може да бъде приложено по отношение на някои разпоредби на ОРЗД на Обединеното кралство и на ЗЗД от 2018 г., ако това е необходимо с цел да се гарантира националната сигурност или за целите на отбраната. Това изключение се прилага по отношение на принципите за защита на данните (с изключение на принципа на законосъобразност), на задълженията за прозрачност, на правата на субекта на данни, на задължението за уведомяване в случай на нарушение на сигурността на данните, на правилата за международно предаване на данни, на някои задължения и правомощия на комисаря по информацията, както и на правилата относно правните средства за защита, отговорностите и санкциите, с изключение на разпоредбата относно общите условия за налагане на административни наказания „глоба“ или „имуществена санкция“, посочени в член 83 от ОРЗД на Обединеното кралство, и разпоредбата относно санкциите в член 84 от ОРЗД на Обединеното кралство. Освен това с член 28 от ЗЗД от 2018 г. се въвеждат изменения в прилагането на член 9, параграф 1, за да се даде възможност за обработването на специални категории данни, предвидено в член 9, параграф 1 от ОРЗД на Обединеното кралство, доколкото това обработване се извършва с цел защита на националната сигурност или за целите на отбраната и с подходящи гаранции за правата и свободите на субектите на данни (56).

56

| (64) | Изключението може да се прилага само дотолкова, доколкото е необходимо, за да се гарантира националната сигурност или отбрана. Както и при другите изключения, предвидени в ЗЗД от 2018 г., това изключение трябва да се преценява и прилага от администратора за всеки отделен случай. Освен това всяко негово прилагане трябва да е в съответствие със стандартите за правата на човека (залегнали в Закона за правата на човека от 1998 г.), според които всяка намеса в правата на неприкосновеност на личния живот следва да бъде необходима и пропорционална в едно демократично общество (57). |
| --- | --- |

(64)

Изключението може да се прилага само дотолкова, доколкото е необходимо, за да се гарантира националната сигурност или отбрана. Както и при другите изключения, предвидени в ЗЗД от 2018 г., това изключение трябва да се преценява и прилага от администратора за всеки отделен случай. Освен това всяко негово прилагане трябва да е в съответствие със стандартите за правата на човека (залегнали в Закона за правата на човека от 1998 г.), според които всяка намеса в правата на неприкосновеност на личния живот следва да бъде необходима и пропорционална в едно демократично общество (57).

57

| (65) | Това тълкуване на изключението се потвърждава от комисаря по информацията, който е издал подробни насоки относно прилагането на изключението, свързано с националната сигурност и отбрана, като ясно посочва, че то трябва да бъде разглеждано и прилагано от администратора за всеки отделен случай (58). В насоките по-специално се подчертава, че „[т]ова не е общо изключение“ и че за да бъде използвано, „не е достатъчно данните да се обработват за целите на националната сигурност“. Напротив, за да се позове на него, администраторът трябва да „докаже, че е налице реална възможност за неблагоприятни последици за националната сигурност“, а при необходимост от него се очаква „да предостави [на комисаря по информацията] доказателства за причините, поради които [той] е използвал това изключение“. Насоките съдържат контролен списък и редица примери за допълнително изясняване на условията, при които може да се направи позоваване на това изключение. |
| --- | --- |

(65)

Това тълкуване на изключението се потвърждава от комисаря по информацията, който е издал подробни насоки относно прилагането на изключението, свързано с националната сигурност и отбрана, като ясно посочва, че то трябва да бъде разглеждано и прилагано от администратора за всеки отделен случай (58). В насоките по-специално се подчертава, че „[т]ова не е общо изключение“ и че за да бъде използвано, „не е достатъчно данните да се обработват за целите на националната сигурност“. Напротив, за да се позове на него, администраторът трябва да „докаже, че е налице реална възможност за неблагоприятни последици за националната сигурност“, а при необходимост от него се очаква „да предостави [на комисаря по информацията] доказателства за причините, поради които [той] е използвал това изключение“. Насоките съдържат контролен списък и редица примери за допълнително изясняване на условията, при които може да се направи позоваване на това изключение.

58

| (66) | Следователно фактът, че данните се обработват за целите на националната сигурност или отбрана, сам по себе си не е достатъчен, за да бъде приложено изключението. Администраторът трябва да вземе предвид действителните последици за националната сигурност, ако трябва да спази конкретната разпоредба за защита на данните. Изключението може да се прилага само по отношение на конкретни разпоредби, за които е установено, че представляват риск, и трябва да се прилага възможно най-ограничително (59). |
| --- | --- |

(66)

Следователно фактът, че данните се обработват за целите на националната сигурност или отбрана, сам по себе си не е достатъчен, за да бъде приложено изключението. Администраторът трябва да вземе предвид действителните последици за националната сигурност, ако трябва да спази конкретната разпоредба за защита на данните. Изключението може да се прилага само по отношение на конкретни разпоредби, за които е установено, че представляват риск, и трябва да се прилага възможно най-ограничително (59).

59

| (67) | Този подход е потвърден от Съда по въпросите на информацията (Information Tribunal) (60). В решението си по делото Baker/Secretary of State for the Home Department (Baker/Secretary of State) Съдът е определил, че е незаконно изключението във връзка с националната сигурност да се прилага като общо изключение по отношение на исканията за достъп, получени от разузнавателните служби. Вместо това изключението трябва да се прилага за всеки отделен случай, като всяко искане се разглежда по същество и с оглед на правото на лицата да бъде зачитана неприкосновеността на личния им живот (61). |
| --- | --- |

(67)

Този подход е потвърден от Съда по въпросите на информацията (Information Tribunal) (60). В решението си по делото Baker/Secretary of State for the Home Department (Baker/Secretary of State) Съдът е определил, че е незаконно изключението във връзка с националната сигурност да се прилага като общо изключение по отношение на исканията за достъп, получени от разузнавателните служби. Вместо това изключението трябва да се прилага за всеки отделен случай, като всяко искане се разглежда по същество и с оглед на правото на лицата да бъде зачитана неприкосновеността на личния им живот (61).

Information Tribunal

60

Baker/Secretary of State for the Home Department

Baker/Secretary of State

61

2.5.6.   Ограничения по отношение на личните данни, обработвани за журналистически, академични, художествени и литературни цели, както и с цел архивиране и научни изследвания

Ограничения по отношение на личните данни, обработвани за журналистически, академични, художествени и литературни цели, както и с цел архивиране и научни изследвания

| (68) | Съгласно член 85, параграф 2 от ОРЗД на Обединеното кралство се допуска приемането на разпоредби, въз основа на които личните данни, обработвани за журналистически, художествени, академични и литературни цели, да бъдат изключени от няколко разпоредби на ОРЗД на Обединеното кралство. Изключенията по отношение на обработването на лични данни за тези цели са посочени в част 5 от приложение 2 към ЗЗД от 2018 г. В нея са предвидени изключения по отношение на принципите за защита на данните (с изключение на принципа на цялостност и поверителност), правните основания за обработване (вкл. на специални категории данни, данни за присъди и др.), условията за съгласие, задълженията за прозрачност, правата на субекта на данни, задължението за уведомяване в случай на нарушение на сигурността на данните, и изискването за допитване до комисаря по информацията преди обработването на данни с висок риск и правилата за международно предаване на данни (62). В това отношение ОРЗД на Обединеното кралство не се отклонява по същество от Регламент (ЕС) 2016/679, в член 85 от който също е предвидена възможността обработването, извършвано за журналистически цели и за целите на академичното, художественото или литературното изразяване, да бъде изключено от редица изисквания на Регламент (ЕС) 2016/679. Разпоредбите на ЗЗД от 2018 г., по-специално на приложение 2, част 5 към него, са съвместими с ОРЗД на Обединеното кралство. |
| --- | --- |

(68)

Съгласно член 85, параграф 2 от ОРЗД на Обединеното кралство се допуска приемането на разпоредби, въз основа на които личните данни, обработвани за журналистически, художествени, академични и литературни цели, да бъдат изключени от няколко разпоредби на ОРЗД на Обединеното кралство. Изключенията по отношение на обработването на лични данни за тези цели са посочени в част 5 от приложение 2 към ЗЗД от 2018 г. В нея са предвидени изключения по отношение на принципите за защита на данните (с изключение на принципа на цялостност и поверителност), правните основания за обработване (вкл. на специални категории данни, данни за присъди и др.), условията за съгласие, задълженията за прозрачност, правата на субекта на данни, задължението за уведомяване в случай на нарушение на сигурността на данните, и изискването за допитване до комисаря по информацията преди обработването на данни с висок риск и правилата за международно предаване на данни (62). В това отношение ОРЗД на Обединеното кралство не се отклонява по същество от Регламент (ЕС) 2016/679, в член 85 от който също е предвидена възможността обработването, извършвано за журналистически цели и за целите на академичното, художественото или литературното изразяване, да бъде изключено от редица изисквания на Регламент (ЕС) 2016/679. Разпоредбите на ЗЗД от 2018 г., по-специално на приложение 2, част 5 към него, са съвместими с ОРЗД на Обединеното кралство.

62

| (69) | Основната преценка, която трябва да бъде направена съгласно член 85 от ОРЗД на Обединеното кралство, се отнася до това дали изключението от правилата за защита на данните, споменато в съображение 68, е „необходимо, за да се постигне баланс между правото на защита на личните данни и свободата на изразяване и на информация“ (63). Съгласно точка 26, подточки 2 и 3 от приложение 2 към ЗЗД от 2018 г. Обединеното кралство разчита на преценка на „основателното убеждение“, за да бъде постигнат този баланс. За да бъде оправдано изключението, администраторът трябва с основание да е убеден, че i) публикуването е в обществен интерес; и че ii) прилагането на съответната разпоредба от ОРЗД би било несъвместимо с журналистически, академични, художествени или литературни цели. Както се потвърждава от съдебната практика (64), преценката на „основателното убеждение“ има както субективен, така и обективен компонент: не е достатъчно администраторът да докаже, че самият той е убеден, че спазването на разпоредбите е несъвместимо с целите. Неговото убеждение трябва да бъде основателно, т.е. да може да бъде споделено от разумен човек, запознат със съответните факти. Следователно администраторът трябва да положи дължимата грижа, когато изгражда убеждението си, за да може да докаже неговата основателност. Според обясненията, предоставени от органите на Обединеното кралство, преценката на „основателното убеждение“ трябва да се извършва за всяко изключение поотделно (65). Ако условията са изпълнени, изключението се счита за необходимо и пропорционално съгласно правото на Обединеното кралство. |
| --- | --- |

(69)

Основната преценка, която трябва да бъде направена съгласно член 85 от ОРЗД на Обединеното кралство, се отнася до това дали изключението от правилата за защита на данните, споменато в съображение 68, е „необходимо, за да се постигне баланс между правото на защита на личните данни и свободата на изразяване и на информация“ (63). Съгласно точка 26, подточки 2 и 3 от приложение 2 към ЗЗД от 2018 г. Обединеното кралство разчита на преценка на „основателното убеждение“, за да бъде постигнат този баланс. За да бъде оправдано изключението, администраторът трябва с основание да е убеден, че i) публикуването е в обществен интерес; и че ii) прилагането на съответната разпоредба от ОРЗД би било несъвместимо с журналистически, академични, художествени или литературни цели. Както се потвърждава от съдебната практика (64), преценката на „основателното убеждение“ има както субективен, така и обективен компонент: не е достатъчно администраторът да докаже, че самият той е убеден, че спазването на разпоредбите е несъвместимо с целите. Неговото убеждение трябва да бъде основателно, т.е. да може да бъде споделено от разумен човек, запознат със съответните факти. Следователно администраторът трябва да положи дължимата грижа, когато изгражда убеждението си, за да може да докаже неговата основателност. Според обясненията, предоставени от органите на Обединеното кралство, преценката на „основателното убеждение“ трябва да се извършва за всяко изключение поотделно (65). Ако условията са изпълнени, изключението се счита за необходимо и пропорционално съгласно правото на Обединеното кралство.

63

64

65

| (70) | Съгласно член 124 от ЗЗД от 2018 г. комисарят по информацията трябва да изготви Кодекс за поведение относно защитата на данни и журналистиката. Работата по този кодекс е в ход. Издадени са насоки по въпроса съгласно Закона за защита на данните от 1998 г., в които се подчертава по-специално, че за да бъде приложено това изключение, не е достатъчно само да се заяви, че спазването на разпоредбата би затруднило работата на журналистите, а трябва да е налице ясен аргумент, че въпросната разпоредба възпрепятства отговорната журналистика (66). Насоки за прилагането на изискването за обществен интерес и за постигането на баланс между обществения интерес и интереса на лицата от неприкосновеност на личния живот също са публикувани от регулатора на Обединеното кралство в областта на далекосъобщенията — Службата по съобщенията, и от Би Би Си в техните редакционни насоки (67). В насоките по-специално са дадени примери за информация, за която може да се смята, че е в обществен интерес, и е разяснена необходимостта да се докаже, че общественият интерес има превес над правата на неприкосновеност на личния живот при конкретните обстоятелства по случая. |
| --- | --- |

(70)

Съгласно член 124 от ЗЗД от 2018 г. комисарят по информацията трябва да изготви Кодекс за поведение относно защитата на данни и журналистиката. Работата по този кодекс е в ход. Издадени са насоки по въпроса съгласно Закона за защита на данните от 1998 г., в които се подчертава по-специално, че за да бъде приложено това изключение, не е достатъчно само да се заяви, че спазването на разпоредбата би затруднило работата на журналистите, а трябва да е налице ясен аргумент, че въпросната разпоредба възпрепятства отговорната журналистика (66). Насоки за прилагането на изискването за обществен интерес и за постигането на баланс между обществения интерес и интереса на лицата от неприкосновеност на личния живот също са публикувани от регулатора на Обединеното кралство в областта на далекосъобщенията — Службата по съобщенията, и от Би Би Си в техните редакционни насоки (67). В насоките по-специално са дадени примери за информация, за която може да се смята, че е в обществен интерес, и е разяснена необходимостта да се докаже, че общественият интерес има превес над правата на неприкосновеност на личния живот при конкретните обстоятелства по случая.

66

67

| (71) | Подобно на предвиденото в член 89 от ОРЗД, личните данни, обработвани за целите на архивирането в обществен интерес, за научни или исторически изследвания, или за статистически цели, също може да бъдат освободени от редица изброени разпоредби на ОРЗД на Обединеното кралство (68). По отношение на научните изследвания и статистиката са възможни изключения от разпоредбите на ОРЗД на Обединеното кралство, свързани с потвърждаване на обработването и достъпа до данни и гаранциите за предаване към трети държави; правото на коригиране; ограничаване на обработването и възражение срещу обработването. Що се отнася до архивирането в обществен интерес, са възможни изключения и от задължението за уведомяване относно коригирането или заличаването на лични данни или ограничаването на обработването, както и от правото на преносимост на данните. |
| --- | --- |

(71)

Подобно на предвиденото в член 89 от ОРЗД, личните данни, обработвани за целите на архивирането в обществен интерес, за научни или исторически изследвания, или за статистически цели, също може да бъдат освободени от редица изброени разпоредби на ОРЗД на Обединеното кралство (68). По отношение на научните изследвания и статистиката са възможни изключения от разпоредбите на ОРЗД на Обединеното кралство, свързани с потвърждаване на обработването и достъпа до данни и гаранциите за предаване към трети държави; правото на коригиране; ограничаване на обработването и възражение срещу обработването. Що се отнася до архивирането в обществен интерес, са възможни изключения и от задължението за уведомяване относно коригирането или заличаването на лични данни или ограничаването на обработването, както и от правото на преносимост на данните.

68

| (72) | Съгласно точка 27, подточка 1 и точка 28, подточка 1 от приложение 2 към ЗЗД от 2018 г. изключения от изброените разпоредби на ОРЗД на Обединеното кралство са възможни, когато прилагането на разпоредбите би „направило невъзможно или сериозно би затруднило постигането“ на въпросните цели (69). |
| --- | --- |

(72)

Съгласно точка 27, подточка 1 и точка 28, подточка 1 от приложение 2 към ЗЗД от 2018 г. изключения от изброените разпоредби на ОРЗД на Обединеното кралство са възможни, когато прилагането на разпоредбите би „направило невъзможно или сериозно би затруднило постигането“ на въпросните цели (69).

69

| (73) | Като се има предвид тяхното значение за ефективното упражняване на индивидуалните права, всяка относима промяна по отношение на тълкуването и прилагането на практика на горепосочените изключения (в допълнение към това, свързано с поддържането на ефективен имиграционен контрол, както е обяснено в съображение 6), включително всяко по-нататъшно развитие на съдебната практика и на насоките на комисаря по информацията и изпълнителните действия, ще бъде надлежно взето предвид в контекста на непрекъснатото наблюдение на настоящото решение (70). |
| --- | --- |

(73)

Като се има предвид тяхното значение за ефективното упражняване на индивидуалните права, всяка относима промяна по отношение на тълкуването и прилагането на практика на горепосочените изключения (в допълнение към това, свързано с поддържането на ефективен имиграционен контрол, както е обяснено в съображение 6), включително всяко по-нататъшно развитие на съдебната практика и на насоките на комисаря по информацията и изпълнителните действия, ще бъде надлежно взето предвид в контекста на непрекъснатото наблюдение на настоящото решение (70).

70

2.5.7.   Ограничения на последващото предаване на данни

Ограничения на последващото предаване на данни

| (74) | Нивото на защита на личните данни, което се осигурява за данните, предавани от Европейския съюз към администратори или обработващи лични данни в Обединеното кралство, не трябва да бъде подкопавано от по-нататъшното предаване на тези данни към получатели в трета държава. Подобно „последващо предаване“, което от гледна точка на администратора или на обработващия лични данни в Обединеното кралство представлява международно предаване на данни от Обединеното кралство, следва да бъде разрешено само когато новият получател извън Обединеното кралство също е обвързан от правила, гарантиращи ниво на защита, сходно с това в правния ред на Обединеното кралство. Поради тази причина прилагането на правилата на ОРЗД на Обединеното кралство и на ЗЗД от 2018 г. относно международното предаване на лични данни е важен фактор за гарантиране на непрекъснатостта на защитата в случай на лични данни, предадени от Европейския съюз към Обединеното кралство съгласно настоящото решение. |
| --- | --- |

(74)

Нивото на защита на личните данни, което се осигурява за данните, предавани от Европейския съюз към администратори или обработващи лични данни в Обединеното кралство, не трябва да бъде подкопавано от по-нататъшното предаване на тези данни към получатели в трета държава. Подобно „последващо предаване“, което от гледна точка на администратора или на обработващия лични данни в Обединеното кралство представлява международно предаване на данни от Обединеното кралство, следва да бъде разрешено само когато новият получател извън Обединеното кралство също е обвързан от правила, гарантиращи ниво на защита, сходно с това в правния ред на Обединеното кралство. Поради тази причина прилагането на правилата на ОРЗД на Обединеното кралство и на ЗЗД от 2018 г. относно международното предаване на лични данни е важен фактор за гарантиране на непрекъснатостта на защитата в случай на лични данни, предадени от Европейския съюз към Обединеното кралство съгласно настоящото решение.

| (75) | Режимът относно международното предаване на лични данни от Обединеното кралство е установен в членове 44—49 от ОРЗД на Обединеното кралство, допълнен от ЗЗД от 2018 г., и по същество е идентичен с правилата, предвидени в глава V от Регламент (ЕС) 2016/679 (71). Предаването на лични данни на трета държава или на международна организация може да се извършва само въз основа на наредби относно адекватното ниво на защита (еквивалента в Обединеното кралство на решението относно адекватното ниво на защита съгласно Регламент (ЕС) 2016/679) или при липса на наредби относно адекватното ниво на защита — при условие че администраторът или обработващият лични данни е предоставил подходящи гаранции в съответствие с член 46 от ОРЗД на Обединеното кралство. При липсата на наредби относно адекватното ниво на защита или на подходящи гаранции предаването може да се извърши само въз основа на дерогации, посочени в член 49 от ОРЗД на Обединеното кралство. |
| --- | --- |

(75)

Режимът относно международното предаване на лични данни от Обединеното кралство е установен в членове 44—49 от ОРЗД на Обединеното кралство, допълнен от ЗЗД от 2018 г., и по същество е идентичен с правилата, предвидени в глава V от Регламент (ЕС) 2016/679 (71). Предаването на лични данни на трета държава или на международна организация може да се извършва само въз основа на наредби относно адекватното ниво на защита (еквивалента в Обединеното кралство на решението относно адекватното ниво на защита съгласно Регламент (ЕС) 2016/679) или при липса на наредби относно адекватното ниво на защита — при условие че администраторът или обработващият лични данни е предоставил подходящи гаранции в съответствие с член 46 от ОРЗД на Обединеното кралство. При липсата на наредби относно адекватното ниво на защита или на подходящи гаранции предаването може да се извърши само въз основа на дерогации, посочени в член 49 от ОРЗД на Обединеното кралство.

71

| (76) | В наредбите относно адекватното ниво на защита, издадени от министъра, може да се предвижда, че трета държава (или територия или сектор в рамките на трета държава) или международна организация, или описание (72) на такава държава, територия, сектор или организация, трябва да гарантира адекватно ниво на защита на личните данни. Когато оценява адекватността на нивото на защита, министърът трябва да вземе предвид съвсем същите елементи, които Комисията е длъжна да оцени съгласно член 45, параграф 2, букви а)—в) от Регламент (ЕС) 2016/679, тълкувани във връзка със съображение 104 от Регламент (ЕС) 2016/679, и запазената съдебна практика на ЕС. Това означава, че когато се оценява адекватното ниво на защита на трета държава, съответният стандарт трябва да бъде дали въпросната трета държава осигурява ниво на защита, „по същество равностойно“ на това, гарантирано в рамките на Обединеното кралство. |
| --- | --- |

(76)

В наредбите относно адекватното ниво на защита, издадени от министъра, може да се предвижда, че трета държава (или територия или сектор в рамките на трета държава) или международна организация, или описание (72) на такава държава, територия, сектор или организация, трябва да гарантира адекватно ниво на защита на личните данни. Когато оценява адекватността на нивото на защита, министърът трябва да вземе предвид съвсем същите елементи, които Комисията е длъжна да оцени съгласно член 45, параграф 2, букви а)—в) от Регламент (ЕС) 2016/679, тълкувани във връзка със съображение 104 от Регламент (ЕС) 2016/679, и запазената съдебна практика на ЕС. Това означава, че когато се оценява адекватното ниво на защита на трета държава, съответният стандарт трябва да бъде дали въпросната трета държава осигурява ниво на защита, „по същество равностойно“ на това, гарантирано в рамките на Обединеното кралство.

72

| (77) | Що се отнася до процедурата, спрямо наредбите тносно адекватното ниво на защита се прилагат „общите“ процесуални изисквания, предвидени в член 182 от ЗЗД от 2018 г. В рамките на тази процедура, когато предлага да се приемат наредби на Обединеното кралство относно адекватното ниво на защита (73), министърът трябва да се консултира с комисаря по информацията. След като бъдат приети от министъра, тези наредби се представят пред Парламента и спрямо тях се прилага процедурата за „отрицателна резолюция“, съгласно която и двете камари на Парламента могат да осъществят контрол на наредбите и имат правомощието да приемат предложение за отмяна на наредбите в срок от 40 дни (74). |
| --- | --- |

(77)

Що се отнася до процедурата, спрямо наредбите тносно адекватното ниво на защита се прилагат „общите“ процесуални изисквания, предвидени в член 182 от ЗЗД от 2018 г. В рамките на тази процедура, когато предлага да се приемат наредби на Обединеното кралство относно адекватното ниво на защита (73), министърът трябва да се консултира с комисаря по информацията. След като бъдат приети от министъра, тези наредби се представят пред Парламента и спрямо тях се прилага процедурата за „отрицателна резолюция“, съгласно която и двете камари на Парламента могат да осъществят контрол на наредбите и имат правомощието да приемат предложение за отмяна на наредбите в срок от 40 дни (74).

73

74

| (78) | Съгласно член 17 B, параграф 1 от ЗЗД от 2018 г. наредбите относно адекватното ниво на защита трябва да бъдат преразглеждани на интервали, не по-дълги от четири години, а министърът трябва постоянно да следи за събития в трети държави и международни организации, които биха могли да засегнат решенията за приемане на наредби относно адекватното ниво на защита или за изменение или отмяна на такива наредби. Когато министърът узнае, че дадена държава или организация вече не осигурява адекватно ниво на защита на личните данни, той трябва, доколкото е необходимо, да измени или отмени наредбите и да започне консултации със съответната трета държава или международна организация с цел да се отстрани липсата на адекватно ниво на защита. Тези процедурни аспекти също отразяват съответните изисквания на Регламент (ЕС) 2016/679. |
| --- | --- |

(78)

Съгласно член 17 B, параграф 1 от ЗЗД от 2018 г. наредбите относно адекватното ниво на защита трябва да бъдат преразглеждани на интервали, не по-дълги от четири години, а министърът трябва постоянно да следи за събития в трети държави и международни организации, които биха могли да засегнат решенията за приемане на наредби относно адекватното ниво на защита или за изменение или отмяна на такива наредби. Когато министърът узнае, че дадена държава или организация вече не осигурява адекватно ниво на защита на личните данни, той трябва, доколкото е необходимо, да измени или отмени наредбите и да започне консултации със съответната трета държава или международна организация с цел да се отстрани липсата на адекватно ниво на защита. Тези процедурни аспекти също отразяват съответните изисквания на Регламент (ЕС) 2016/679.

| (79) | При липса на наредби относно адекватното ниво на защита международно предаване може да се извършва само когато администраторът или обработващият лични данни е предвидил подходящи гаранции в съответствие с член 46 от ОРЗД на Обединеното кралство. Тези гаранции са подобни на предвидените съгласно член 46 от Регламент (ЕС) 2016/679. Те включват инструменти със задължителен характер и с изпълнителна сила между публичните органи или структури, задължителни фирмени правила (75), стандартни клаузи за защита на данните, одобрени кодекси за поведение, одобрени механизми за сертифициране и — с разрешението на комисаря по информацията — договорни клаузи между администраторите (или обработващите лични данни) или административни договорености между публичните органи. Правилата обаче са променени от процедурна гледна точка, така че да съответстват на уредбата на Обединеното кралство, по-специално по отношение на стандартните клаузи за защита на данните, които съгласно ЗЗД от 2018 г. могат да се приемат от министъра (член 17Б) или от комисаря по информацията (член 119А). |
| --- | --- |

(79)

При липса на наредби относно адекватното ниво на защита международно предаване може да се извършва само когато администраторът или обработващият лични данни е предвидил подходящи гаранции в съответствие с член 46 от ОРЗД на Обединеното кралство. Тези гаранции са подобни на предвидените съгласно член 46 от Регламент (ЕС) 2016/679. Те включват инструменти със задължителен характер и с изпълнителна сила между публичните органи или структури, задължителни фирмени правила (75), стандартни клаузи за защита на данните, одобрени кодекси за поведение, одобрени механизми за сертифициране и — с разрешението на комисаря по информацията — договорни клаузи между администраторите (или обработващите лични данни) или административни договорености между публичните органи. Правилата обаче са променени от процедурна гледна точка, така че да съответстват на уредбата на Обединеното кралство, по-специално по отношение на стандартните клаузи за защита на данните, които съгласно ЗЗД от 2018 г. могат да се приемат от министъра (член 17Б) или от комисаря по информацията (член 119А).

75

| (80) | При липса на решение относно адекватното ниво на защита или на подходящи гаранции предаване може да се извършва само въз основа на дерогациите, предвидени в член 49 от ОРЗД на Обединеното кралство (76). С ОРЗД на Обединеното кралство не се въвеждат съществени промени в дерогациите в сравнение със съответните правила, залегнали в Регламент (ЕС) 2016/679. Съгласно ОРЗД на Обединеното кралство, както и съгласно Регламент (ЕС) 2016/679, на някои дерогации може да се разчита само ако предаването на данни е спорадично (77). Освен това в своите насоки относно международното предаване на данни комисарят по информацията пояснява: „Следва да използвате [дерогациите] само като действителни „изключения“ от общото правило, че не следва да извършвате ограничено предаване на данни, освен ако то не е обхванато от решение относно адекватното ниво на защита или не са налице подходящи гаранции“ (78). По отношение на предаването на данни, които са необходими по важни причини от обществен интерес (член 49, параграф 1, буква г), министърът може да въведе разпоредби, за да уточни обстоятелствата, при които предаването на лични данни към трета държава или към международна организация не е необходимо поради важни причини от обществен интерес. Освен това министърът може да ограничи с наредби предаването на категория лични данни на трета държава или на международна организация, когато то не може да се извърши въз основа на наредби относно адекватното ниво на защита, а министърът смята, че ограничението е необходимо поради важни причини от обществен интерес. Такива наредби все още не са приети. |
| --- | --- |

(80)

При липса на решение относно адекватното ниво на защита или на подходящи гаранции предаване може да се извършва само въз основа на дерогациите, предвидени в член 49 от ОРЗД на Обединеното кралство (76). С ОРЗД на Обединеното кралство не се въвеждат съществени промени в дерогациите в сравнение със съответните правила, залегнали в Регламент (ЕС) 2016/679. Съгласно ОРЗД на Обединеното кралство, както и съгласно Регламент (ЕС) 2016/679, на някои дерогации може да се разчита само ако предаването на данни е спорадично (77). Освен това в своите насоки относно международното предаване на данни комисарят по информацията пояснява: „Следва да използвате [дерогациите] само като действителни „изключения“ от общото правило, че не следва да извършвате ограничено предаване на данни, освен ако то не е обхванато от решение относно адекватното ниво на защита или не са налице подходящи гаранции“ (78). По отношение на предаването на данни, които са необходими по важни причини от обществен интерес (член 49, параграф 1, буква г), министърът може да въведе разпоредби, за да уточни обстоятелствата, при които предаването на лични данни към трета държава или към международна организация не е необходимо поради важни причини от обществен интерес. Освен това министърът може да ограничи с наредби предаването на категория лични данни на трета държава или на международна организация, когато то не може да се извърши въз основа на наредби относно адекватното ниво на защита, а министърът смята, че ограничението е необходимо поради важни причини от обществен интерес. Такива наредби все още не са приети.

76

77

78

| (81) | Тази рамка за международно предаване на данни започна да се прилага в края на преходния период (79). В точка 4 от приложение 21 към ЗЗД от 2018 г. (въведено с Наредбите за защита на данните, неприкосновеността на личния живот и електронните съобщения (изменения и т.н.) (Напускане на ЕС) обаче се предвижда, че след края на преходния период определени предавания на лични данни се третират така, все едно се основават на наредби относно адекватното ниво на защита. Тези предавания включват предавания към държава от ЕИП, към територията на Гибралтар, към институция, орган, служба или агенция на Съюза, създадени по силата или въз основа на Договора за ЕС, и към трети държави, спрямо които в края на преходния период се е прилагало решение на ЕС относно адекватното ниво на защита. Следователно предаването към тези държави може да продължи както преди оттеглянето на Обединеното кралство от Съюза. След края на преходния период министърът трябва да извърши преглед на тези констатации за адекватно ниво на защита в срок от четири години, т.е. до края на декември 2024 г. Според обяснението, предоставено от органите на Обединеното кралство, въпреки че министърът трябва да предприеме такъв преглед до края на декември 2024 г., сред преходните разпоредби няма разпоредба за изтичане на срока на действие и съответните преходни разпоредби няма автоматично да престанат да пораждат правно действие, ако прегледът не приключи до края на декември 2024 г. |
| --- | --- |

(81)

Тази рамка за международно предаване на данни започна да се прилага в края на преходния период (79). В точка 4 от приложение 21 към ЗЗД от 2018 г. (въведено с Наредбите за защита на данните, неприкосновеността на личния живот и електронните съобщения (изменения и т.н.) (Напускане на ЕС) обаче се предвижда, че след края на преходния период определени предавания на лични данни се третират така, все едно се основават на наредби относно адекватното ниво на защита. Тези предавания включват предавания към държава от ЕИП, към територията на Гибралтар, към институция, орган, служба или агенция на Съюза, създадени по силата или въз основа на Договора за ЕС, и към трети държави, спрямо които в края на преходния период се е прилагало решение на ЕС относно адекватното ниво на защита. Следователно предаването към тези държави може да продължи както преди оттеглянето на Обединеното кралство от Съюза. След края на преходния период министърът трябва да извърши преглед на тези констатации за адекватно ниво на защита в срок от четири години, т.е. до края на декември 2024 г. Според обяснението, предоставено от органите на Обединеното кралство, въпреки че министърът трябва да предприеме такъв преглед до края на декември 2024 г., сред преходните разпоредби няма разпоредба за изтичане на срока на действие и съответните преходни разпоредби няма автоматично да престанат да пораждат правно действие, ако прегледът не приключи до края на декември 2024 г.

79

| (82) | И накрая, що се отнася до бъдещото развитие на режима на Обединеното кралство за международно предаване на данни — чрез приемането на нови наредби относно адекватното ниво на защита, сключването на международни споразумения или разработването на други механизми за предаване — Комисията ще наблюдава отблизо ситуацията, ще преценява дали различните механизми за предаване се използват по начин, който гарантира непрекъснатост на защитата, и ако е необходимо, ще предприеме подходящи мерки за справяне с възможните неблагоприятни последици за тази непрекъснатост (вж. съображения 278—287). Тъй като ЕС и Обединеното кралство имат сходни правила относно международното предаване на данни, очаква се проблематичните различия да могат да бъдат избегнати и чрез сътрудничество, обмен на информация и споделяне на опит, включително между комисаря по информацията и ЕКЗД. |
| --- | --- |

(82)

И накрая, що се отнася до бъдещото развитие на режима на Обединеното кралство за международно предаване на данни — чрез приемането на нови наредби относно адекватното ниво на защита, сключването на международни споразумения или разработването на други механизми за предаване — Комисията ще наблюдава отблизо ситуацията, ще преценява дали различните механизми за предаване се използват по начин, който гарантира непрекъснатост на защитата, и ако е необходимо, ще предприеме подходящи мерки за справяне с възможните неблагоприятни последици за тази непрекъснатост (вж. съображения 278—287). Тъй като ЕС и Обединеното кралство имат сходни правила относно международното предаване на данни, очаква се проблематичните различия да могат да бъдат избегнати и чрез сътрудничество, обмен на информация и споделяне на опит, включително между комисаря по информацията и ЕКЗД.

2.5.8.   Отчетност

Отчетност

| (83) | Съгласно принципа на отчетност органи, които обработват данни, са длъжни да въведат подходящи технически и организационни мерки за ефективно спазване на своите задължения за защита на данните и да могат да докажат това спазване, по-специално пред компетентния надзорен орган. |
| --- | --- |

(83)

Съгласно принципа на отчетност органи, които обработват данни, са длъжни да въведат подходящи технически и организационни мерки за ефективно спазване на своите задължения за защита на данните и да могат да докажат това спазване, по-специално пред компетентния надзорен орган.

| (84) | Принципът на отчетност, предвиден в Регламент (ЕС) 2016/679, е запазен в член 5, параграф 2 от ОРЗД на Обединеното кралство без съществени промени, като същото важи за член 24 относно отговорността на администратора, член 25 относно защитата на данните на етапа на проектирането и по подразбиране и член 30 относно регистрите на дейностите по обработване. Запазени са също членове 35 и 36 относно оценката на въздействието върху защитата на данните и относно предварителната консултация с надзорния орган. Членове 37—39 от Регламент (ЕС) 2016/679 относно определянето и задачите на длъжностните лица по защита на данните са запазени в ОРЗД на Обединеното кралство без съществени промени. Освен това разпоредбите на членове 40 и 42 от Регламент (ЕС) 2016/679 относно кодексите за поведение и сертифицирането са запазени в ОРЗД на Обединеното кралство (80). |
| --- | --- |

(84)

Принципът на отчетност, предвиден в Регламент (ЕС) 2016/679, е запазен в член 5, параграф 2 от ОРЗД на Обединеното кралство без съществени промени, като същото важи за член 24 относно отговорността на администратора, член 25 относно защитата на данните на етапа на проектирането и по подразбиране и член 30 относно регистрите на дейностите по обработване. Запазени са също членове 35 и 36 относно оценката на въздействието върху защитата на данните и относно предварителната консултация с надзорния орган. Членове 37—39 от Регламент (ЕС) 2016/679 относно определянето и задачите на длъжностните лица по защита на данните са запазени в ОРЗД на Обединеното кралство без съществени промени. Освен това разпоредбите на членове 40 и 42 от Регламент (ЕС) 2016/679 относно кодексите за поведение и сертифицирането са запазени в ОРЗД на Обединеното кралство (80).

80

2.6.   Надзор и привеждане в изпълнение

Надзор и привеждане в изпълнение

2.6.1.   Независим надзор

Независим надзор

| (85) | С цел да се гарантира, че адекватното ниво на защита на данните се осигурява на практика, трябва да съществува независим надзорен орган с правомощия за наблюдение и привеждане в изпълнение на правилата за защита на данните. Този орган трябва да действа с пълна независимост и безпристрастност при изпълнението на своите задължения и при упражняването на правомощията си. |
| --- | --- |

(85)

С цел да се гарантира, че адекватното ниво на защита на данните се осигурява на практика, трябва да съществува независим надзорен орган с правомощия за наблюдение и привеждане в изпълнение на правилата за защита на данните. Този орган трябва да действа с пълна независимост и безпристрастност при изпълнението на своите задължения и при упражняването на правомощията си.

| (86) | В Обединеното кралство надзорът и привеждането в изпълнение на ОРЗД на Обединеното кралство и на ЗЗД от 2018 г. се осъществяват от комисаря по информацията. Комисарят по информацията е еднолична корпоративна структура (corporation sole): отделен правен субект, учреден като едноличен орган. Комисарят по информацията се подпомага в работата си от служба. Към 31 март 2020 г. Службата на комисаря по информацията разполагаше със 768 постоянни служители (81). Комисарят по информацията е на бюджетна издръжка на Министерството на цифровите технологии, културата, медиите и спорта (DCMS) (82). |
| --- | --- |

(86)

В Обединеното кралство надзорът и привеждането в изпълнение на ОРЗД на Обединеното кралство и на ЗЗД от 2018 г. се осъществяват от комисаря по информацията. Комисарят по информацията е еднолична корпоративна структура (corporation sole): отделен правен субект, учреден като едноличен орган. Комисарят по информацията се подпомага в работата си от служба. Към 31 март 2020 г. Службата на комисаря по информацията разполагаше със 768 постоянни служители (81). Комисарят по информацията е на бюджетна издръжка на Министерството на цифровите технологии, културата, медиите и спорта (DCMS) (82).

corporation sole

81

82

| (87) | Независимостта на комисаря е изрично уредена в член 52 от ОРЗД на Обединеното кралство, с който не се правят съществени промени спрямо член 52, параграфи 1—3 от ОРЗД. Комисарят трябва да действа напълно независимо при изпълнението на своите задачи и упражняването на своите правомощия в съответствие с ОРЗД на Обединеното кралство, да остане независим от външно влияние, било то пряко, или непряко, във връзка с тези задачи и правомощия, и нито да търси, нито да приема инструкции от когото и да било. Комисарят трябва също така да се въздържа от всякакви несъвместими със служебните му задължения действия и по време на своя мандат не трябва да се ангажира с никакви несъвместими функции, независимо дали срещу възнаграждение, или безвъзмездно. |
| --- | --- |

(87)

Независимостта на комисаря е изрично уредена в член 52 от ОРЗД на Обединеното кралство, с който не се правят съществени промени спрямо член 52, параграфи 1—3 от ОРЗД. Комисарят трябва да действа напълно независимо при изпълнението на своите задачи и упражняването на своите правомощия в съответствие с ОРЗД на Обединеното кралство, да остане независим от външно влияние, било то пряко, или непряко, във връзка с тези задачи и правомощия, и нито да търси, нито да приема инструкции от когото и да било. Комисарят трябва също така да се въздържа от всякакви несъвместими със служебните му задължения действия и по време на своя мандат не трябва да се ангажира с никакви несъвместими функции, независимо дали срещу възнаграждение, или безвъзмездно.

| (88) | Условията за назначаване и отстраняване на комисаря по информацията са посочени в приложение 12 към ЗЗД от 2018 г. Комисарят по информацията се назначава от Нейно Величество по препоръка на правителството след провеждане на безпристрастен конкурс на общо основание. Кандидатът трябва да притежава подходящите квалификации, умения и компетентност. В съответствие с Кодекса за управление на публичните назначения (83) консултативна комисия за оценка изготвя списък на кандидатите, които могат да бъдат назначени. Преди министърът на цифровите технологии, културата, медиите и спорта да финализира решението си, съответната специална комисия на Парламента трябва да осъществи контрол преди назначаването. Становището на комисията се оповестява публично (84). |
| --- | --- |

(88)

Условията за назначаване и отстраняване на комисаря по информацията са посочени в приложение 12 към ЗЗД от 2018 г. Комисарят по информацията се назначава от Нейно Величество по препоръка на правителството след провеждане на безпристрастен конкурс на общо основание. Кандидатът трябва да притежава подходящите квалификации, умения и компетентност. В съответствие с Кодекса за управление на публичните назначения (83) консултативна комисия за оценка изготвя списък на кандидатите, които могат да бъдат назначени. Преди министърът на цифровите технологии, културата, медиите и спорта да финализира решението си, съответната специална комисия на Парламента трябва да осъществи контрол преди назначаването. Становището на комисията се оповестява публично (84).

83

84

| (89) | Комисарят по информацията има мандат до седем години. Едно и също лице не може да бъде назначено като комисар по информацията повече от веднъж. Комисарят по информацията може да бъде отстранен от длъжност от Нейно величество след обръщение от страна на двете камари на Парламента (85). Искане за освобождаване от длъжност на комисаря по информацията не може да бъде представено пред никоя камара на Парламента, освен ако министър не е подал доклад, в който посочва, че е убеден, че комисарят по информацията е извършил тежко нарушение и/или че комисарят вече не отговаря на условията, необходими за изпълнението на функциите на комисар (86). |
| --- | --- |

(89)

Комисарят по информацията има мандат до седем години. Едно и също лице не може да бъде назначено като комисар по информацията повече от веднъж. Комисарят по информацията може да бъде отстранен от длъжност от Нейно величество след обръщение от страна на двете камари на Парламента (85). Искане за освобождаване от длъжност на комисаря по информацията не може да бъде представено пред никоя камара на Парламента, освен ако министър не е подал доклад, в който посочва, че е убеден, че комисарят по информацията е извършил тежко нарушение и/или че комисарят вече не отговаря на условията, необходими за изпълнението на функциите на комисар (86).

85

86

| (90) | Източниците на финансиране на комисаря по информацията са три: i) таксите за защита на данните, плащани от администраторите, които се определят с наредба на министъра (87) (Наредба за защита на данните (такси и информация) от 2018 г.), и възлизат на 85—90 % от годишния бюджет на Службата (88); ii) безвъзмездна помощ, изплатена от правителството на комисаря по информацията. Безвъзмездната помощ се използва главно за финансиране на неговите оперативни разходи във връзка със задачи, които не са свързани със защитата на данните (89); и iii) таксите, събирани за услуги (90). Понастоящем не се събират такива такси. |
| --- | --- |

(90)

Източниците на финансиране на комисаря по информацията са три: i) таксите за защита на данните, плащани от администраторите, които се определят с наредба на министъра (87) (Наредба за защита на данните (такси и информация) от 2018 г.), и възлизат на 85—90 % от годишния бюджет на Службата (88); ii) безвъзмездна помощ, изплатена от правителството на комисаря по информацията. Безвъзмездната помощ се използва главно за финансиране на неговите оперативни разходи във връзка със задачи, които не са свързани със защитата на данните (89); и iii) таксите, събирани за услуги (90). Понастоящем не се събират такива такси.

87

88

89

90

| (91) | Общите функции на комисаря по информацията във връзка с обработването на лични данни, които попадат в приложното поле на ОРЗД на Обединеното кралство, са определени в член 57 от него и отразяват в голяма степен съответните правила, предвидени в Регламент (ЕС) 2016/679. Неговите функции включват наблюдение и прилагане на ОРЗД на Обединеното кралство, насърчаване на обществената осведоменост, разглеждане на жалби, подадени от субектите на данни, провеждане на разследвания и др. Освен това в член 115 от ЗЗД от 2018 г. са определени други общи функции на комисаря, които включват задължение да съветва Парламента, правителството и други институции и органи относно законодателни и административни мерки, свързани със защитата на правата и свободите на лицата по отношение на обработването на лични данни, както и правомощия да дава становища, по собствена инициатива или при поискване, на Парламента, на правителството или на други институции и органи, и на обществеността по всички въпроси, свързани със защитата на личните данни. С цел запазване на независимостта на съдебната власт комисарят по информацията няма право да изпълнява функциите си във връзка с обработването на лични данни чрез лице, действащо в изпълнение на съдебните си функции, или от съд или правораздавателен орган, действащ в изпълнение на съдебните си функции. Надзорът на съдебната власт обаче се осигурява от специализираните органи (вж. съображения 99—103). |
| --- | --- |

(91)

Общите функции на комисаря по информацията във връзка с обработването на лични данни, които попадат в приложното поле на ОРЗД на Обединеното кралство, са определени в член 57 от него и отразяват в голяма степен съответните правила, предвидени в Регламент (ЕС) 2016/679. Неговите функции включват наблюдение и прилагане на ОРЗД на Обединеното кралство, насърчаване на обществената осведоменост, разглеждане на жалби, подадени от субектите на данни, провеждане на разследвания и др. Освен това в член 115 от ЗЗД от 2018 г. са определени други общи функции на комисаря, които включват задължение да съветва Парламента, правителството и други институции и органи относно законодателни и административни мерки, свързани със защитата на правата и свободите на лицата по отношение на обработването на лични данни, както и правомощия да дава становища, по собствена инициатива или при поискване, на Парламента, на правителството или на други институции и органи, и на обществеността по всички въпроси, свързани със защитата на личните данни. С цел запазване на независимостта на съдебната власт комисарят по информацията няма право да изпълнява функциите си във връзка с обработването на лични данни чрез лице, действащо в изпълнение на съдебните си функции, или от съд или правораздавателен орган, действащ в изпълнение на съдебните си функции. Надзорът на съдебната власт обаче се осигурява от специализираните органи (вж. съображения 99—103).

2.6.2.   Привеждане в изпълнение, включително санкции

Привеждане в изпълнение, включително санкции

| (92) | Правомощията на комисаря по информацията са изброени в член 58 от ОРЗД на Обединеното кралство, с който не се въвеждат съществени промени в съответния член на Регламент (ЕС) 2016/679. В ЗЗД от 2018 г. са определени допълнителни правила за това как тези правомощия могат да бъдат упражнявани. По-специално комисарят има правомощия: а) да разпорежда на администратора и на обработващия лични данни (и при определени обстоятелства на всяко друго лице) да предоставят необходимата информация, като издава информационно постановление („информационно постановление“) (91); б) да провежда разследвания и одити, като издава ревизионно постановление, чрез което администраторът или обработващият лични данни бива задължен да допусне комисаря да влезе в определени помещения, да проверява или преглежда документи или оборудване, да изслушва лица, обработващи лични данни от името на администратора и т.н. („ревизионно постановление“) (92); в) да получава по друг начин достъп до документите и др. на администраторите и обработващите лични данни и достъп до техните помещения в съответствие с член 154 от ЗЗД от 2018 г. („правомощия за влизане и проверка“); г) да упражнява корективни правомощия, включително чрез предупреждения и официални предупреждения, или да дава разпореждания чрез изпълнително постановление, чрез което администраторите/обработващите лични данни биват задължени да предприемат или да се въздържат от предприемането на конкретни действия, включително да разпореди на администратора или обработващия лични данни да извърши някое от действията по член 58, параграф 2, букви c)—g) и j) от ОРЗД на Обединеното кралство („изпълнително постановление“) (93); и д) да налага административни наказания „глоба“ или „имуществена санкция“ под формата на наказателно постановление („наказателно постановление“) (94). Последното може да бъде издадено и в случай че публичен орган не е спазил разпоредбите на ОРЗД на Обединеното кралство (95). |
| --- | --- |

(92)

Правомощията на комисаря по информацията са изброени в член 58 от ОРЗД на Обединеното кралство, с който не се въвеждат съществени промени в съответния член на Регламент (ЕС) 2016/679. В ЗЗД от 2018 г. са определени допълнителни правила за това как тези правомощия могат да бъдат упражнявани. По-специално комисарят има правомощия: а) да разпорежда на администратора и на обработващия лични данни (и при определени обстоятелства на всяко друго лице) да предоставят необходимата информация, като издава информационно постановление („информационно постановление“) (91); б) да провежда разследвания и одити, като издава ревизионно постановление, чрез което администраторът или обработващият лични данни бива задължен да допусне комисаря да влезе в определени помещения, да проверява или преглежда документи или оборудване, да изслушва лица, обработващи лични данни от името на администратора и т.н. („ревизионно постановление“) (92); в) да получава по друг начин достъп до документите и др. на администраторите и обработващите лични данни и достъп до техните помещения в съответствие с член 154 от ЗЗД от 2018 г. („правомощия за влизане и проверка“); г) да упражнява корективни правомощия, включително чрез предупреждения и официални предупреждения, или да дава разпореждания чрез изпълнително постановление, чрез което администраторите/обработващите лични данни биват задължени да предприемат или да се въздържат от предприемането на конкретни действия, включително да разпореди на администратора или обработващия лични данни да извърши някое от действията по член 58, параграф 2, букви c)—g) и j) от ОРЗД на Обединеното кралство („изпълнително постановление“) (93); и д) да налага административни наказания „глоба“ или „имуществена санкция“ под формата на наказателно постановление („наказателно постановление“) (94). Последното може да бъде издадено и в случай че публичен орган не е спазил разпоредбите на ОРЗД на Обединеното кралство (95).

91

92

93

94

95

| (93) | В Политиката на ICO за регулаторните действия се определят обстоятелствата, при които тя издава информационно, ревизионно, изпълнително или наказателно постановление (96). С изпълнително постановление, издадено в отговор на неизпълнение от страна на администратора или обработващия лични данни, може да бъдат наложени само изисквания, които комисарят смята за подходящи с цел отстраняване на неизпълнението. Изпълнителни и наказателни постановления могат да бъдат издавани на администратор или обработващ лични данни във връзка с нарушения на глава II от ОРЗД на Обединеното кралство (принципи на обработване), членове 12—22 (права на субекта на данни), членове 25—39 (задължения на администраторите и на обработващите лични данни) и членове 44—49 (международно предаване на данни) от ОРЗД на Обединеното кралство. Изпълнително постановление може да бъде издадено също, когато администраторът не е спазил изискването за плащане на такса, предвидена в наредбите, изготвени съгласно член 137 от ЗЗД от 2018 г. Освен това изпълнително постановление може да бъде издадено на надзорен орган по член 41 или на доставчик на сертифициране, ако не са изпълнили задълженията си съгласно ОРЗД на Обединеното кралство. Наказателно постановление може да бъде връчено и на лице, което не е изпълнило информационно постановление, ревизионно постановление или изпълнително постановление. |
| --- | --- |

(93)

В Политиката на ICO за регулаторните действия се определят обстоятелствата, при които тя издава информационно, ревизионно, изпълнително или наказателно постановление (96). С изпълнително постановление, издадено в отговор на неизпълнение от страна на администратора или обработващия лични данни, може да бъдат наложени само изисквания, които комисарят смята за подходящи с цел отстраняване на неизпълнението. Изпълнителни и наказателни постановления могат да бъдат издавани на администратор или обработващ лични данни във връзка с нарушения на глава II от ОРЗД на Обединеното кралство (принципи на обработване), членове 12—22 (права на субекта на данни), членове 25—39 (задължения на администраторите и на обработващите лични данни) и членове 44—49 (международно предаване на данни) от ОРЗД на Обединеното кралство. Изпълнително постановление може да бъде издадено също, когато администраторът не е спазил изискването за плащане на такса, предвидена в наредбите, изготвени съгласно член 137 от ЗЗД от 2018 г. Освен това изпълнително постановление може да бъде издадено на надзорен орган по член 41 или на доставчик на сертифициране, ако не са изпълнили задълженията си съгласно ОРЗД на Обединеното кралство. Наказателно постановление може да бъде връчено и на лице, което не е изпълнило информационно постановление, ревизионно постановление или изпълнително постановление.

96

| (94) | С наказателното постановление лицето се задължава да плати на комисаря по информацията посочена в постановлението сума. Когато преценява дали да издаде наказателно постановление на лице и когато определя размера на санкцията, комисарят по информацията трябва да вземе предвид обстоятелствата, изброени в член 83, параграфи 1 и 2 от ОРЗД на Обединеното кралство, които са идентични със съответните правила, предвидени в Регламент (ЕС) 2016/679 (97). Съгласно член 83, параграфи 4 и 5 максималният размер на административните наказания „глоба“ или „имуществена санкция“ за неизпълнение на задълженията, упоменати в тези разпоредби, е съответно 8 700 000 или 17 500 000 британски лири. В случай на предприятие комисарят по информацията може също така да налага санкции, изразяващи се в процент от годишния световен оборот, ако сумата е по-голяма. Както в равностойните разпоредби на Регламент (ЕС) 2016/679, размерът е определен на 2 % и на 4 % съответно в член 83, параграф 4 и параграф 5. При неизпълнение на информационно постановление, ревизионно постановление или изпълнително постановление максималният размер на санкцията, която може да бъде наложена с наказателно постановление, е по-голямата сума измежду 17 500 000 британски лири или в случай на предприятие — 4 % от годишния световен оборот. |
| --- | --- |

(94)

С наказателното постановление лицето се задължава да плати на комисаря по информацията посочена в постановлението сума. Когато преценява дали да издаде наказателно постановление на лице и когато определя размера на санкцията, комисарят по информацията трябва да вземе предвид обстоятелствата, изброени в член 83, параграфи 1 и 2 от ОРЗД на Обединеното кралство, които са идентични със съответните правила, предвидени в Регламент (ЕС) 2016/679 (97). Съгласно член 83, параграфи 4 и 5 максималният размер на административните наказания „глоба“ или „имуществена санкция“ за неизпълнение на задълженията, упоменати в тези разпоредби, е съответно 8 700 000 или 17 500 000 британски лири. В случай на предприятие комисарят по информацията може също така да налага санкции, изразяващи се в процент от годишния световен оборот, ако сумата е по-голяма. Както в равностойните разпоредби на Регламент (ЕС) 2016/679, размерът е определен на 2 % и на 4 % съответно в член 83, параграф 4 и параграф 5. При неизпълнение на информационно постановление, ревизионно постановление или изпълнително постановление максималният размер на санкцията, която може да бъде наложена с наказателно постановление, е по-голямата сума измежду 17 500 000 британски лири или в случай на предприятие — 4 % от годишния световен оборот.

97

| (95) | С ОРЗД на Обединеното кралство и със ЗЗД от 2018 г. са укрепени и други правомощия на комисаря по информацията. Например комисарят вече може да извършва задължителни одити по отношение на всички администратори и обработващи лични данни посредством ревизионни постановления, докато съгласно предишното законодателство — Закона за защита на данните от 1998 г. — той е имал това правомощие само по отношение на централни държавни органи и здравни институции, докато всички останали е трябвало да дадат съгласие, за да им бъде извършен одит. |
| --- | --- |

(95)

С ОРЗД на Обединеното кралство и със ЗЗД от 2018 г. са укрепени и други правомощия на комисаря по информацията. Например комисарят вече може да извършва задължителни одити по отношение на всички администратори и обработващи лични данни посредством ревизионни постановления, докато съгласно предишното законодателство — Закона за защита на данните от 1998 г. — той е имал това правомощие само по отношение на централни държавни органи и здравни институции, докато всички останали е трябвало да дадат съгласие, за да им бъде извършен одит.

| (96) | От въвеждането на Регламент (ЕС) 2016/679 насам комисарят по информацията годишно (98) разглежда около 40 000 жалби от субекти на данни и освен това извършва около 2 000 служебни разследвания (99). Повечето жалби са свързани с правото на достъп до данни и разкриване на данни. След разследванията си комисарят предприема мерки за изпълнение в широк кръг от сектори. По-конкретно, според последния годишен доклад на комисаря по информацията (2019—2020 г.) (100), комисарят е издал 54 информационни постановления, 8 ревизионни постановления, 7 изпълнителни постановления и 4 предупреждения, завел е 8 наказателни дела и е наложил 15 глоби или имуществени санкции през отчетния период (101). |
| --- | --- |

(96)

От въвеждането на Регламент (ЕС) 2016/679 насам комисарят по информацията годишно (98) разглежда около 40 000 жалби от субекти на данни и освен това извършва около 2 000 служебни разследвания (99). Повечето жалби са свързани с правото на достъп до данни и разкриване на данни. След разследванията си комисарят предприема мерки за изпълнение в широк кръг от сектори. По-конкретно, според последния годишен доклад на комисаря по информацията (2019—2020 г.) (100), комисарят е издал 54 информационни постановления, 8 ревизионни постановления, 7 изпълнителни постановления и 4 предупреждения, завел е 8 наказателни дела и е наложил 15 глоби или имуществени санкции през отчетния период (101).

98

99

100

101

| (97) | Това включва няколко значителни парични санкции, наложени съгласно Регламент (ЕС) 2016/679 и ЗЗД от 2018 г. По-специално през октомври 2020 г. комисарят по информацията глоби британска авиокомпания с 20 милиона британски лири за нарушение на сигурността на личните данни, засягащо над 400 000 клиенти. В края на октомври 2020 г. международна хотелска верига беше глобена с 18,4 милиона британски лири за това, че не е запазила сигурността на личните данни на милиони клиенти, а през ноември 2020 г. британски доставчик на услуги, продаващ билети за събития онлайн, беше глобен с 1,25 милиона британски лири за неспособността му да защити данните на клиентите, свързани с плащания (102). |
| --- | --- |

(97)

Това включва няколко значителни парични санкции, наложени съгласно Регламент (ЕС) 2016/679 и ЗЗД от 2018 г. По-специално през октомври 2020 г. комисарят по информацията глоби британска авиокомпания с 20 милиона британски лири за нарушение на сигурността на личните данни, засягащо над 400 000 клиенти. В края на октомври 2020 г. международна хотелска верига беше глобена с 18,4 милиона британски лири за това, че не е запазила сигурността на личните данни на милиони клиенти, а през ноември 2020 г. британски доставчик на услуги, продаващ билети за събития онлайн, беше глобен с 1,25 милиона британски лири за неспособността му да защити данните на клиентите, свързани с плащания (102).

102

| (98) | В допълнение към правомощията за привеждане в изпълнение на комисаря по информацията, описани в съображение 92, някои нарушения на законодателството за защита на данните представляват престъпления и поради това за тях може да се налагат наказания (член 196 от ЗЗД от 2018 г.). Това се отнася например за получаването или разкриването на лични данни, съзнателно или поради небрежност, без съгласието на администратора, за предоставянето на друго лице на разкритите лични данни без съгласието на администратора (103), реидентифицирането на информация, която представлява деидентифицирани лични данни, без съгласието на администратора, отговарящ за деидентифицирането на личните данни (104), умишленото възпрепятстване на комисаря да упражнява правомощията си за проверката на лични данни в съответствие с международни задължения (105), представянето на неверни данни в отговор на информационно постановление или унищожаването на информация във връзка с информационни и ревизионни постановления (106). |
| --- | --- |

(98)

В допълнение към правомощията за привеждане в изпълнение на комисаря по информацията, описани в съображение 92, някои нарушения на законодателството за защита на данните представляват престъпления и поради това за тях може да се налагат наказания (член 196 от ЗЗД от 2018 г.). Това се отнася например за получаването или разкриването на лични данни, съзнателно или поради небрежност, без съгласието на администратора, за предоставянето на друго лице на разкритите лични данни без съгласието на администратора (103), реидентифицирането на информация, която представлява деидентифицирани лични данни, без съгласието на администратора, отговарящ за деидентифицирането на личните данни (104), умишленото възпрепятстване на комисаря да упражнява правомощията си за проверката на лични данни в съответствие с международни задължения (105), представянето на неверни данни в отговор на информационно постановление или унищожаването на информация във връзка с информационни и ревизионни постановления (106).

103

104

105

106

2.6.3.   Надзор на съдебната власт

Надзор на съдебната власт

| (99) | Надзорът на обработването на лични данни от съдилищата и съдебната власт е двояк. Когато лице, заемащо съдебна длъжност, или съд не действа в изпълнение на съдебните си функции, надзорът се осъществява от ICO. Когато администраторът действа в изпълнение на съдебните си функции, ICO не може да упражнява надзорните си функции (107) и надзорът се осъществява от специални органи. Това отразява подхода, възприет в Регламент (ЕС) 2016/679 (член 55, параграф 3). |
| --- | --- |

(99)

Надзорът на обработването на лични данни от съдилищата и съдебната власт е двояк. Когато лице, заемащо съдебна длъжност, или съд не действа в изпълнение на съдебните си функции, надзорът се осъществява от ICO. Когато администраторът действа в изпълнение на съдебните си функции, ICO не може да упражнява надзорните си функции (107) и надзорът се осъществява от специални органи. Това отразява подхода, възприет в Регламент (ЕС) 2016/679 (член 55, параграф 3).

107

| (100) | По-специално във втория случай, за съдилищата в Англия и Уелс и трибунала от първа инстанция (First-tier Tribunal) и трибунала от по-горна инстанция (Upper Tribunal) на Англия и Уелс, такъв надзор се осъществява от Съдебния състав за защита на данните (108). Освен това главният съдия (Lord Chief Justice) и първият председател (Senior President) на трибуналите са издали декларация за поверителност (109), в която се посочва как съдилищата в Англия и Уелс обработват лични данни при изпълнение на съдебни функции. Подобна декларация е издадена от северноирландската (110) и шотландската (111) съдебни власти. |
| --- | --- |

(100)

По-специално във втория случай, за съдилищата в Англия и Уелс и трибунала от първа инстанция (First-tier Tribunal) и трибунала от по-горна инстанция (Upper Tribunal) на Англия и Уелс, такъв надзор се осъществява от Съдебния състав за защита на данните (108). Освен това главният съдия (Lord Chief Justice) и първият председател (Senior President) на трибуналите са издали декларация за поверителност (109), в която се посочва как съдилищата в Англия и Уелс обработват лични данни при изпълнение на съдебни функции. Подобна декларация е издадена от северноирландската (110) и шотландската (111) съдебни власти.

First-tier Tribunal

Upper Tribunal

108

Lord Chief Justice

Senior President

109

110

111

| (101) | Освен това в Северна Ирландия главният съдия на Северна Ирландия назначи съдия от Висшия съд като съдия по надзора на данните (DSJ) (112). Те също са издали насоки за съдебната власт на Северна Ирландия относно действията, които трябва да се предприемат в случай на загуба или възможна загуба на данни, и относно процедурата за решаване на всички въпроси, свързани с това (113). |
| --- | --- |

(101)

Освен това в Северна Ирландия главният съдия на Северна Ирландия назначи съдия от Висшия съд като съдия по надзора на данните (DSJ) (112). Те също са издали насоки за съдебната власт на Северна Ирландия относно действията, които трябва да се предприемат в случай на загуба или възможна загуба на данни, и относно процедурата за решаване на всички въпроси, свързани с това (113).

112

113

| (102) | В Шотландия председателят на Върховния съд (Lord President) е назначил съдия по надзора на данните, който да разглежда всички жалби на основание защита на данните. Това е уредено в правилата за жалбите във връзка със съдебната система, които съответстват на правилата, установени за Англия и Уелс (114). |
| --- | --- |

(102)

В Шотландия председателят на Върховния съд (Lord President) е назначил съдия по надзора на данните, който да разглежда всички жалби на основание защита на данните. Това е уредено в правилата за жалбите във връзка със съдебната система, които съответстват на правилата, установени за Англия и Уелс (114).

Lord President

114

| (103) | Накрая, един от върховните съдии във Върховния съд се определя да упражнява надзор на защитата на данните. |
| --- | --- |

(103)

Накрая, един от върховните съдии във Върховния съд се определя да упражнява надзор на защитата на данните.

2.6.4.   Средства за правна защита

Средства за правна защита

| (104) | С цел да се осигури адекватна защита, и по-специално упражняване на индивидуалните права, на субекта на данни следва да се предоставят ефективни административни и съдебни средства за правна защита, включително и обезщетение за вреди. |
| --- | --- |

(104)

С цел да се осигури адекватна защита, и по-специално упражняване на индивидуалните права, на субекта на данни следва да се предоставят ефективни административни и съдебни средства за правна защита, включително и обезщетение за вреди.

| (105) | Първо, субектът на данни има право да подаде жалба до комисаря по информацията, ако смята, че във връзка с личните му данни е извършено нарушение на ОРЗД на Обединеното кралство (115). В ОРЗД на Обединеното кралство правилата, предвидени в член 77 от Регламент (ЕС) 2016/679 относно това право, са запазени без съществени изменения. Същото се отнася и за член 57, параграф 1, буква f) и член 57, параграф 2, в който са определени задачите на комисаря във връзка с разглеждането на жалби. Както е описано в съображения 92 и 98 по-горе, комисарят по информацията има правомощието да преценява спазването от администратора и обработващия лични данни на ОРЗД на Обединеното кралство и ЗЗД от 2018 г., да ги задължава да предприемат или да се въздържат от предприемането на необходимите действия в случай на неспазване и да налага глоби. |
| --- | --- |

(105)

Първо, субектът на данни има право да подаде жалба до комисаря по информацията, ако смята, че във връзка с личните му данни е извършено нарушение на ОРЗД на Обединеното кралство (115). В ОРЗД на Обединеното кралство правилата, предвидени в член 77 от Регламент (ЕС) 2016/679 относно това право, са запазени без съществени изменения. Същото се отнася и за член 57, параграф 1, буква f) и член 57, параграф 2, в който са определени задачите на комисаря във връзка с разглеждането на жалби. Както е описано в съображения 92 и 98 по-горе, комисарят по информацията има правомощието да преценява спазването от администратора и обработващия лични данни на ОРЗД на Обединеното кралство и ЗЗД от 2018 г., да ги задължава да предприемат или да се въздържат от предприемането на необходимите действия в случай на неспазване и да налага глоби.

115

| (106) | Второ, в ОРЗД на Обединеното кралство и ЗЗД от 2018 г. се предвижда право на средства за правна защита срещу комисаря по информацията. Съгласно член 78, параграф 1 от ОРЗД на Обединеното кралство всяко лице има право на ефективно средство за правна защита срещу правнообвързващо решение на комисаря, което го засяга. В контекста на съдебния контрол съдията разглежда решението, което се оспорва в исковата молба, и преценява дали комисарят по информацията е действал законосъобразно. Освен това, съгласно член 78, параграф 2 от ОРЗД на Обединеното кралство, ако комисарят не разгледа по подходящ начин жалба, внесена от субекта на данни (116), жалбоподателят има достъп до средства за правна защита. Той може да поиска от трибунала от първа инстанция да разпореди на комисаря да предприеме подходящи действия, за да отговори на жалбата, или да информира жалбоподателя за напредъка по жалбата (117). Освен това всяко лице, на което комисарят е връчил някое от посочените по-горе постановления (информационно, ревизионно, изпълнително или наказателно постановление), може да го обжалва пред трибунала от първа инстанция (118). Ако трибуналът сметне, че решението на комисаря е незаконосъобразно или че комисарят по информацията е трябвало да упражни правото си на преценка по различен начин, трибуналът трябва да уважи жалбата или да замени постановлението с друго такова или с решение, което комисарят по информацията е можел да издаде или да постанови. |
| --- | --- |

(106)

Второ, в ОРЗД на Обединеното кралство и ЗЗД от 2018 г. се предвижда право на средства за правна защита срещу комисаря по информацията. Съгласно член 78, параграф 1 от ОРЗД на Обединеното кралство всяко лице има право на ефективно средство за правна защита срещу правнообвързващо решение на комисаря, което го засяга. В контекста на съдебния контрол съдията разглежда решението, което се оспорва в исковата молба, и преценява дали комисарят по информацията е действал законосъобразно. Освен това, съгласно член 78, параграф 2 от ОРЗД на Обединеното кралство, ако комисарят не разгледа по подходящ начин жалба, внесена от субекта на данни (116), жалбоподателят има достъп до средства за правна защита. Той може да поиска от трибунала от първа инстанция да разпореди на комисаря да предприеме подходящи действия, за да отговори на жалбата, или да информира жалбоподателя за напредъка по жалбата (117). Освен това всяко лице, на което комисарят е връчил някое от посочените по-горе постановления (информационно, ревизионно, изпълнително или наказателно постановление), може да го обжалва пред трибунала от първа инстанция (118). Ако трибуналът сметне, че решението на комисаря е незаконосъобразно или че комисарят по информацията е трябвало да упражни правото си на преценка по различен начин, трибуналът трябва да уважи жалбата или да замени постановлението с друго такова или с решение, което комисарят по информацията е можел да издаде или да постанови.

116

117

118

| (107) | Трето, физическите лица могат да получат съдебна защита срещу администраторите и обработващите лични данни пряко пред съдилищата съгласно член 79 от ОРЗД на Обединеното кралство и член 167 от ЗЗД от 2018 г. Ако по искане на субект на данни съдът е убеден, че е налице нарушение на правата на субекта на данни съгласно законодателството за защита на данните, съдът може да разпореди на администратора по отношение на обработването или на обработващ лични данни, действащ от името на този администратор, да предприеме посочените в заповедта действия или да се въздържи от предприемането на посочените в заповедта действия. |
| --- | --- |

(107)

Трето, физическите лица могат да получат съдебна защита срещу администраторите и обработващите лични данни пряко пред съдилищата съгласно член 79 от ОРЗД на Обединеното кралство и член 167 от ЗЗД от 2018 г. Ако по искане на субект на данни съдът е убеден, че е налице нарушение на правата на субекта на данни съгласно законодателството за защита на данните, съдът може да разпореди на администратора по отношение на обработването или на обработващ лични данни, действащ от името на този администратор, да предприеме посочените в заповедта действия или да се въздържи от предприемането на посочените в заповедта действия.

| (108) | Освен това, съгласно член 82 от ОРЗД на Обединеното кралство и член 168 от ЗЗД от 2018 г., всяко лице, което е претърпяло имуществени или неимуществени вреди в резултат на нарушение на ОРЗД на Обединеното кралство, има право да получи обезщетение от администратора или от обработващия лични данни за претърпените вреди. Правилата относно обезщетението и отговорността, предвидени в член 82, параграфи 1—5 от ОРЗД на Обединеното кралство, са идентични със съответните правила в Регламент (ЕС) 2016/679. Съгласно член 168 от ЗЗД от 2018 г. неимуществените вреди включват и емоционално страдание. Съгласно член 80 от ОРЗД на Обединеното кралство субектът на данни има също така право да упълномощи представителен орган или организация да подаде жалбата до комисаря от негово име (съгласно член 77 от ОРЗД на Обединеното кралство) и да упражнява от негово име правата, посочени в член 78 (право на ефективно средство за правна защита срещу комисаря), член 79 (право на ефективно средство за правна защита срещу администратор или обработващ лични данни) и член 82 (право на обезщетение и отговорност) от ОРЗД на Обединеното кралство. |
| --- | --- |

(108)

Освен това, съгласно член 82 от ОРЗД на Обединеното кралство и член 168 от ЗЗД от 2018 г., всяко лице, което е претърпяло имуществени или неимуществени вреди в резултат на нарушение на ОРЗД на Обединеното кралство, има право да получи обезщетение от администратора или от обработващия лични данни за претърпените вреди. Правилата относно обезщетението и отговорността, предвидени в член 82, параграфи 1—5 от ОРЗД на Обединеното кралство, са идентични със съответните правила в Регламент (ЕС) 2016/679. Съгласно член 168 от ЗЗД от 2018 г. неимуществените вреди включват и емоционално страдание. Съгласно член 80 от ОРЗД на Обединеното кралство субектът на данни има също така право да упълномощи представителен орган или организация да подаде жалбата до комисаря от негово име (съгласно член 77 от ОРЗД на Обединеното кралство) и да упражнява от негово име правата, посочени в член 78 (право на ефективно средство за правна защита срещу комисаря), член 79 (право на ефективно средство за правна защита срещу администратор или обработващ лични данни) и член 82 (право на обезщетение и отговорност) от ОРЗД на Обединеното кралство.

| (109) | Четвърто, и в допълнение към описаните по-горе възможности за правна защита, всяко лице, което смята, че неговите права, включително правото на неприкосновеност на личния живот и на защита на данните, са били нарушени от публичните органи, може да получи правна защита пред съдилищата на Обединеното кралство съгласно Закона за правата на човека от 1998 г. (119) Физическо лице, което твърди, че публичен орган е действал (или възнамерява да действа) по начин, който е несъвместим с право, прогласено по Конвенцията, и следователно е незаконосъобразен съгласно член 6, параграф 1 от Закона за правата на човека от 1998 г., може да заведе дело срещу органа в съответния съд или трибунал или да се позове на съответните права във всяко съдебно производство, когато лицето е (или би било) жертва на незаконосъобразното действие. |
| --- | --- |

(109)

Четвърто, и в допълнение към описаните по-горе възможности за правна защита, всяко лице, което смята, че неговите права, включително правото на неприкосновеност на личния живот и на защита на данните, са били нарушени от публичните органи, може да получи правна защита пред съдилищата на Обединеното кралство съгласно Закона за правата на човека от 1998 г. (119) Физическо лице, което твърди, че публичен орган е действал (или възнамерява да действа) по начин, който е несъвместим с право, прогласено по Конвенцията, и следователно е незаконосъобразен съгласно член 6, параграф 1 от Закона за правата на човека от 1998 г., може да заведе дело срещу органа в съответния съд или трибунал или да се позове на съответните права във всяко съдебно производство, когато лицето е (или би било) жертва на незаконосъобразното действие.

119

| (110) | Ако съдът установи, че акт на публичен орган е незаконосъобразен, в рамките на своите правомощия той може да предостави такова поправяне на вредите или обезщетение или да постанови такова разпореждане, каквото счита за справедливо и подходящо (120). Съдът може също така да обяви разпоредба от първичното право за несъвместима с право по Конвенцията. |
| --- | --- |

(110)

Ако съдът установи, че акт на публичен орган е незаконосъобразен, в рамките на своите правомощия той може да предостави такова поправяне на вредите или обезщетение или да постанови такова разпореждане, каквото счита за справедливо и подходящо (120). Съдът може също така да обяви разпоредба от първичното право за несъвместима с право по Конвенцията.

120

| (111) | Накрая, след изчерпване на националните средства за правна защита дадено лице може да получи правна защита от Европейския съд по правата на човека за нарушения на правата, гарантирани от Европейската конвенция за правата на човека. |
| --- | --- |

(111)

Накрая, след изчерпване на националните средства за правна защита дадено лице може да получи правна защита от Европейския съд по правата на човека за нарушения на правата, гарантирани от Европейската конвенция за правата на човека.

3.   ДОСТЪП И ИЗПОЛЗВАНЕ ОТ ПУБЛИЧНИ ОРГАНИ В ОБЕДИНЕНОТО КРАЛСТВО НА ЛИЧНИ ДАННИ, ПРЕДАДЕНИ ОТ ЕВРОПЕЙСКИЯ СЪЮЗ

ДОСТЪП И ИЗПОЛЗВАНЕ ОТ ПУБЛИЧНИ ОРГАНИ В ОБЕДИНЕНОТО КРАЛСТВО НА ЛИЧНИ ДАННИ, ПРЕДАДЕНИ ОТ ЕВРОПЕЙСКИЯ СЪЮЗ

| (112) | Комисията също така направи оценка на правната уредба на Обединеното кралство за събиране и последващо използване на лични данни, предавани на стопански оператори в Обединеното кралство от публичните органи на Обединеното кралство в обществен интерес, по-специално за целите на наказателното правоприлагане и на националната сигурност (наричано по-долу „държавен достъп“). При оценката дали условията, при които държавният достъп до данни, предавани на Обединеното кралство съгласно настоящото решение, биха отговаряли на критерия за „равностойност по същество“ съгласно член 45, параграф 1 от Регламент (ЕС) 2016/679, както се тълкува от Съда на Европейския съюз в светлината на Хартата на основните права, Комисията взе предвид по-специално следните критерии. |
| --- | --- |

(112)

Комисията също така направи оценка на правната уредба на Обединеното кралство за събиране и последващо използване на лични данни, предавани на стопански оператори в Обединеното кралство от публичните органи на Обединеното кралство в обществен интерес, по-специално за целите на наказателното правоприлагане и на националната сигурност (наричано по-долу „държавен достъп“). При оценката дали условията, при които държавният достъп до данни, предавани на Обединеното кралство съгласно настоящото решение, биха отговаряли на критерия за „равностойност по същество“ съгласно член 45, параграф 1 от Регламент (ЕС) 2016/679, както се тълкува от Съда на Европейския съюз в светлината на Хартата на основните права, Комисията взе предвид по-специално следните критерии.

| (113) | Първо, всяко ограничаване на упражняването на правото на защита на личните данни трябва да бъде предвидено в закон, а самото правно основание, позволяващо намеса в това право, трябва да определя обхвата на ограничението при упражняване на съответното право (121). |
| --- | --- |

(113)

Първо, всяко ограничаване на упражняването на правото на защита на личните данни трябва да бъде предвидено в закон, а самото правно основание, позволяващо намеса в това право, трябва да определя обхвата на ограничението при упражняване на съответното право (121).

121

| (114) | Второ, за да удовлетвори изискването за пропорционалност, съгласно което дерогациите и ограниченията на защитата на личните данни трябва да се въвеждат само доколкото са строго необходими в едно демократично общество, за да се постигнат конкретни цели от общ интерес, равностойни на тези, признати от Съюза, законодателството на въпросната трета държава, позволяващо намесата, трябва да предвижда ясни и точни правила, които да уреждат обхвата и прилагането на разглежданите мерки и да налагат минимални изисквания, така че лицата, чиито данни са били предадени, да разполагат с достатъчно гаранции, позволяващи ефективна защита на техните лични данни срещу рискове от злоупотреби (122). Законодателството трябва в частност да посочва обстоятелствата и условията, при които може да се приложи мярка за обработване на такива данни (123), както и да предвиди над изпълнението на такива изисквания да се упражнява независим надзор (124). |
| --- | --- |

(114)

Второ, за да удовлетвори изискването за пропорционалност, съгласно което дерогациите и ограниченията на защитата на личните данни трябва да се въвеждат само доколкото са строго необходими в едно демократично общество, за да се постигнат конкретни цели от общ интерес, равностойни на тези, признати от Съюза, законодателството на въпросната трета държава, позволяващо намесата, трябва да предвижда ясни и точни правила, които да уреждат обхвата и прилагането на разглежданите мерки и да налагат минимални изисквания, така че лицата, чиито данни са били предадени, да разполагат с достатъчно гаранции, позволяващи ефективна защита на техните лични данни срещу рискове от злоупотреби (122). Законодателството трябва в частност да посочва обстоятелствата и условията, при които може да се приложи мярка за обработване на такива данни (123), както и да предвиди над изпълнението на такива изисквания да се упражнява независим надзор (124).

122

123

124

| (115) | Трето, това законодателство трябва да бъде правнообвързващо съгласно националното право и тези правни изисквания трябва да бъдат не само задължителни за органите, но и противопоставими пред съдилищата на органите на въпросната трета държава (125). По-специално субектите на данни трябва да имат възможността да заведат дело пред независим и безпристрастен съд, за да получат достъп до отнасящи се до тях лични данни или да коригират или изтриват такива данни (126). |
| --- | --- |

(115)

Трето, това законодателство трябва да бъде правнообвързващо съгласно националното право и тези правни изисквания трябва да бъдат не само задължителни за органите, но и противопоставими пред съдилищата на органите на въпросната трета държава (125). По-специално субектите на данни трябва да имат възможността да заведат дело пред независим и безпристрастен съд, за да получат достъп до отнасящи се до тях лични данни или да коригират или изтриват такива данни (126).

125

126

3.1.   Обща правна уредба

Обща правна уредба

| (116) | Тъй като представлява упражняване на власт от страна на публичен орган, държавният достъп в Обединеното кралство трябва да се осъществява при пълно спазване на закона. Обединеното кралство е ратифицирало Европейската конвенция за правата на човека (вж. съображение 9) и всички публични органи в Обединеното кралство са длъжни да действат в съответствие с нея (127). Член 8 от Конвенцията предвижда, че всяка намеса в неприкосновеността на личния живот трябва да бъде в съответствие със закона, в интерес на една от целите, посочени в член 8, параграф 2, и да е пропорционална с оглед на тази цел. Съгласно член 8 също така се изисква намесата да е „предвидима“, т.е. да има ясно и достъпно основание в закона и в него да се съдържат подходящи гаранции за предотвратяване на злоупотреби. |
| --- | --- |

(116)

Тъй като представлява упражняване на власт от страна на публичен орган, държавният достъп в Обединеното кралство трябва да се осъществява при пълно спазване на закона. Обединеното кралство е ратифицирало Европейската конвенция за правата на човека (вж. съображение 9) и всички публични органи в Обединеното кралство са длъжни да действат в съответствие с нея (127). Член 8 от Конвенцията предвижда, че всяка намеса в неприкосновеността на личния живот трябва да бъде в съответствие със закона, в интерес на една от целите, посочени в член 8, параграф 2, и да е пропорционална с оглед на тази цел. Съгласно член 8 също така се изисква намесата да е „предвидима“, т.е. да има ясно и достъпно основание в закона и в него да се съдържат подходящи гаранции за предотвратяване на злоупотреби.

127

| (117) | Освен това в своята съдебна практика Европейският съд по правата на човека е уточнил, че всяка намеса в правото на неприкосновеност на личния живот и в правото на защита на личните данни следва да бъде обект на ефективна, независима и безпристрастна система за надзор, който трябва да бъде осигурен или от съдия, или от друг независим орган (128) (напр. административен орган или парламентарен орган). |
| --- | --- |

(117)

Освен това в своята съдебна практика Европейският съд по правата на човека е уточнил, че всяка намеса в правото на неприкосновеност на личния живот и в правото на защита на личните данни следва да бъде обект на ефективна, независима и безпристрастна система за надзор, който трябва да бъде осигурен или от съдия, или от друг независим орган (128) (напр. административен орган или парламентарен орган).

128

| (118) | Освен това на лицата трябва да се осигури ефективна защита, а Европейският съд по правата на човека е пояснил, че тази защита трябва да се предлага от независим и безпристрастен орган, който е приел свой процедурен правилник и се състои от членове, които трябва да заемат или да са заемали висша съдебна длъжност, или да са опитни адвокати, както и че за подаването на жалба до този орган не трябва да се изисква представянето на доказателства. При разглеждането на жалби на лица независимият и безпристрастен орган следва да има достъп до цялата съответна информация, включително до поверителни материали. Накрая, той следва да има правомощията да отстрани несъответствието (129). |
| --- | --- |

(118)

Освен това на лицата трябва да се осигури ефективна защита, а Европейският съд по правата на човека е пояснил, че тази защита трябва да се предлага от независим и безпристрастен орган, който е приел свой процедурен правилник и се състои от членове, които трябва да заемат или да са заемали висша съдебна длъжност, или да са опитни адвокати, както и че за подаването на жалба до този орган не трябва да се изисква представянето на доказателства. При разглеждането на жалби на лица независимият и безпристрастен орган следва да има достъп до цялата съответна информация, включително до поверителни материали. Накрая, той следва да има правомощията да отстрани несъответствието (129).

129

| (119) | Обединеното кралство също така ратифицира Конвенцията на Съвета на Европа за защита на лицата при автоматизираната обработка на лични данни (Конвенция No 108) и през 2018 г. подписа Протокола за изменение на Конвенцията за защита на лицата при автоматизираната обработка на лични данни (известна като „Конвенция 108+“) (130). В член 9 от Конвенция No 108 е предвидено, че дерогации от общите принципи за защита на данните (член 5 „Качество на данните“) и от правилата, уреждащи специалните категории данни (член 6 „Специални категории данни“) и правата на субекта на данни (член 8 „Допълнителни гаранции за субекта на данни“), са допустими само когато такава дерогация е предвидена в законодателството на страната по Конвенцията и представлява необходима мярка в едно демократично общество в интерес на защитата на държавната сигурност, обществената безопасност, паричните интереси на държавата или борбата с престъпленията, или за защита на субекта на данни или на правата и свободите на другите (131). |
| --- | --- |

(119)

Обединеното кралство също така ратифицира Конвенцията на Съвета на Европа за защита на лицата при автоматизираната обработка на лични данни (Конвенция No 108) и през 2018 г. подписа Протокола за изменение на Конвенцията за защита на лицата при автоматизираната обработка на лични данни (известна като „Конвенция 108+“) (130). В член 9 от Конвенция No 108 е предвидено, че дерогации от общите принципи за защита на данните (член 5 „Качество на данните“) и от правилата, уреждащи специалните категории данни (член 6 „Специални категории данни“) и правата на субекта на данни (член 8 „Допълнителни гаранции за субекта на данни“), са допустими само когато такава дерогация е предвидена в законодателството на страната по Конвенцията и представлява необходима мярка в едно демократично общество в интерес на защитата на държавната сигурност, обществената безопасност, паричните интереси на държавата или борбата с престъпленията, или за защита на субекта на данни или на правата и свободите на другите (131).

130

131

| (120) | Следователно чрез членството на Обединеното кралство в Съвета на Европа, спазването от него на Европейската конвенция за правата на човека и признаването на юрисдикцията на Европейския съд по правата на човека спрямо него се прилагат редица задължения, залегнали в международното право, които оформят неговата система за държавен достъп въз основа на принципи, гаранции и индивидуални права, подобни на тези, гарантирани от законодателството на ЕС и приложими за държавите членки. Следователно, както се подчертава в съображение 19, спазването на такива инструменти е особено важен елемент от оценката, на която се основава настоящото решение. |
| --- | --- |

(120)

Следователно чрез членството на Обединеното кралство в Съвета на Европа, спазването от него на Европейската конвенция за правата на човека и признаването на юрисдикцията на Европейския съд по правата на човека спрямо него се прилагат редица задължения, залегнали в международното право, които оформят неговата система за държавен достъп въз основа на принципи, гаранции и индивидуални права, подобни на тези, гарантирани от законодателството на ЕС и приложими за държавите членки. Следователно, както се подчертава в съображение 19, спазването на такива инструменти е особено важен елемент от оценката, на която се основава настоящото решение.

| (121) | Освен това специфичните гаранции и права за защита на личните данни са гарантирани от ЗЗД от 2018 г., когато данните се обработват от публични органи, включително от правоприлагащи органи и органи за национална сигурност. |
| --- | --- |

(121)

Освен това специфичните гаранции и права за защита на личните данни са гарантирани от ЗЗД от 2018 г., когато данните се обработват от публични органи, включително от правоприлагащи органи и органи за национална сигурност.

| (122) | По-специално режимът за обработване на лични данни в контекста на наказателното правоприлагане е уреден в част 3 от ЗЗД от 2018 г., която е приета с цел транспониране на Директива (ЕС) 2016/680. Част 3 от ЗЗД от 2018 г. се прилага спрямо обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществената сигурност и тяхното предотвратяване (132). |
| --- | --- |

(122)

По-специално режимът за обработване на лични данни в контекста на наказателното правоприлагане е уреден в част 3 от ЗЗД от 2018 г., която е приета с цел транспониране на Директива (ЕС) 2016/680. Част 3 от ЗЗД от 2018 г. се прилага спрямо обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществената сигурност и тяхното предотвратяване (132).

132

| (123) | Понятието „компетентен орган“ е определено в член 30 от ЗЗД като лице, включено в приложение 7 към ЗЗД от 2018 г., както и всяко друго лице, доколкото лицето изпълнява законоустановени функции за целите на правоприлагането (133). Както е обяснено по-долу ( вж. съображение 139), някои компетентни органи (например Националната агенция по престъпността) могат при определени условия да използват правомощията, предвидени в Закона за правомощията за разследване от 2016 г. (ЗПР от 2016 г.). В този случай гаранциите, предвидени в ЗПР от 2016 г., ще се прилагат в допълнение към предвидените в част 3 от ЗЗД от 2018 г. Разузнавателните служби (Службата за тайно разузнаване, Службата за сигурност и Правителствената централа за комуникации) не са „компетентни органи“ (134), попадащи в обхвата на част 3 от ЗЗД за 2018 г., и следователно предвидените там правила не се прилагат за никоя от техните дейности. Специална част от ЗЗД от 2018 г. (част 4) е посветена на обработването на лични данни от разузнавателните служби (за повече подробности вж. съображение 125). |
| --- | --- |

(123)

Понятието „компетентен орган“ е определено в член 30 от ЗЗД като лице, включено в приложение 7 към ЗЗД от 2018 г., както и всяко друго лице, доколкото лицето изпълнява законоустановени функции за целите на правоприлагането (133). Както е обяснено по-долу ( вж. съображение 139), някои компетентни органи (например Националната агенция по престъпността) могат при определени условия да използват правомощията, предвидени в Закона за правомощията за разследване от 2016 г. (ЗПР от 2016 г.). В този случай гаранциите, предвидени в ЗПР от 2016 г., ще се прилагат в допълнение към предвидените в част 3 от ЗЗД от 2018 г. Разузнавателните служби (Службата за тайно разузнаване, Службата за сигурност и Правителствената централа за комуникации) не са „компетентни органи“ (134), попадащи в обхвата на част 3 от ЗЗД за 2018 г., и следователно предвидените там правила не се прилагат за никоя от техните дейности. Специална част от ЗЗД от 2018 г. (част 4) е посветена на обработването на лични данни от разузнавателните служби (за повече подробности вж. съображение 125).

133

134

| (124) | Както в Директива (ЕС) 2016/680, така и в част 3 от ЗЗД от 2018 г. са определени принципите на законосъобразност и добросъвестност (135), ограничение на целите (136), свеждане на данните до минимум (137), точност (138), ограничение на съхранението (139) и сигурност (140). Законодателството налага специфични задължения за прозрачност (141) и предоставя на лицата право на достъп (142), коригиране и заличаване (143) и правото спрямо тях да не се прилага автоматизирано вземане на решения (144). От компетентните органи се изисква също така да създават предпоставки за защита на данните на етапа на проектирането и по подразбиране, да водят регистри на дейностите по обработване и на някои операции по обработване, да извършват оценки на въздействието върху защитата на данните и да се консултират предварително с комисаря по информацията (145). Съгласно член 56 от ЗЗД от 2018 г. от тях се изисква да докажат съответствие. Освен това от тях се изисква да въведат подходящи мерки за гарантиране на сигурността на обработването (146) и да изпълняват специфични задължения в случай на нарушение на сигурността на личните данни, включително да уведомяват комисаря по информацията и субектите на данни за такива нарушения (147). Както в Директива (ЕС) 2016/680, предвидено е и изискване администраторът (освен ако не е съд или друг съдебен орган, който действа в изпълнение на съдебните си функции) да определи длъжностно лице по защита на данните (148), което да подпомага администратора при спазването на неговите задължения, както и да наблюдава изпълнението им (149). Освен това законодателството налага конкретни изисквания относно международното предаване на лични данни за целите на правоприлагането към трети държави или към международни организации, за да се осигури непрекъснатост на защитата (150). На датата на настоящото решение Комисията прие решение относно адекватното ниво на защита въз основа на член 36, параграф 3 от Директива (ЕС) 2016/680, в което заключава, че режимът за защита на данните, приложим по отношение на обработването на лични данни от органите за наказателно правоприлагане в Обединеното кралство, осигурява ниво на защита, което по същество е равностойно на гарантираното от Директива (ЕС) 2016/680. |
| --- | --- |

(124)

Както в Директива (ЕС) 2016/680, така и в част 3 от ЗЗД от 2018 г. са определени принципите на законосъобразност и добросъвестност (135), ограничение на целите (136), свеждане на данните до минимум (137), точност (138), ограничение на съхранението (139) и сигурност (140). Законодателството налага специфични задължения за прозрачност (141) и предоставя на лицата право на достъп (142), коригиране и заличаване (143) и правото спрямо тях да не се прилага автоматизирано вземане на решения (144). От компетентните органи се изисква също така да създават предпоставки за защита на данните на етапа на проектирането и по подразбиране, да водят регистри на дейностите по обработване и на някои операции по обработване, да извършват оценки на въздействието върху защитата на данните и да се консултират предварително с комисаря по информацията (145). Съгласно член 56 от ЗЗД от 2018 г. от тях се изисква да докажат съответствие. Освен това от тях се изисква да въведат подходящи мерки за гарантиране на сигурността на обработването (146) и да изпълняват специфични задължения в случай на нарушение на сигурността на личните данни, включително да уведомяват комисаря по информацията и субектите на данни за такива нарушения (147). Както в Директива (ЕС) 2016/680, предвидено е и изискване администраторът (освен ако не е съд или друг съдебен орган, който действа в изпълнение на съдебните си функции) да определи длъжностно лице по защита на данните (148), което да подпомага администратора при спазването на неговите задължения, както и да наблюдава изпълнението им (149). Освен това законодателството налага конкретни изисквания относно международното предаване на лични данни за целите на правоприлагането към трети държави или към международни организации, за да се осигури непрекъснатост на защитата (150). На датата на настоящото решение Комисията прие решение относно адекватното ниво на защита въз основа на член 36, параграф 3 от Директива (ЕС) 2016/680, в което заключава, че режимът за защита на данните, приложим по отношение на обработването на лични данни от органите за наказателно правоприлагане в Обединеното кралство, осигурява ниво на защита, което по същество е равностойно на гарантираното от Директива (ЕС) 2016/680.

135

136

137

138

139

140

141

142

143

144

145

146

147

148

149

150

| (125) | Част 4 от ЗЗД от 2018 г. се прилага за всяко обработване от разузнавателните служби или от тяхно име. По-специално в нея се определят основните принципи за защита на данните (законосъобразност, добросъвестност и прозрачност (151); ограничение на целите (152); свеждане на данните до минимум (153); точност (154); ограничение на съхранението (155) и сигурност (156)), поставят се условия за обработването на специални категории данни (157), предоставят се права на субектите на данни (158), изисква се защита на данните на етапа на проектирането (159) и се урежда международното предаване на лични данни (160). Неотдавна комисарят по информацията издаде подробни насоки относно обработването от разузнавателните служби съгласно част 4 от ЗЗД от 2018 г. (161). |
| --- | --- |

(125)

Част 4 от ЗЗД от 2018 г. се прилага за всяко обработване от разузнавателните служби или от тяхно име. По-специално в нея се определят основните принципи за защита на данните (законосъобразност, добросъвестност и прозрачност (151); ограничение на целите (152); свеждане на данните до минимум (153); точност (154); ограничение на съхранението (155) и сигурност (156)), поставят се условия за обработването на специални категории данни (157), предоставят се права на субектите на данни (158), изисква се защита на данните на етапа на проектирането (159) и се урежда международното предаване на лични данни (160). Неотдавна комисарят по информацията издаде подробни насоки относно обработването от разузнавателните служби съгласно част 4 от ЗЗД от 2018 г. (161).

151

152

153

154

155

156

157

158

159

160

161

| (126) | В същото време член 110 от ЗЗД от 2018 г. предвижда освобождаване от действието на определени разпоредби от част 4 на ЗЗД от 2018 г. (162), когато такова освобождаване е необходимо за гарантиране на националната сигурност. Това освобождаване може да се използва въз основа на анализа на всеки отделен случай (163). Както е обяснено от органите на Обединеното кралство и потвърдено от съдебната практика, „администраторът трябва да вземе предвид действителните последици за националната сигурност или отбрана, ако трябва да спазва конкретната разпоредба за защита на данните и ако би могъл разумно да спази обичайното правило, без да се засяга националната сигурност или отбрана“ (164). Дали освобождаването е било използвано по подходящ начин, подлежи на надзор от страна на ICO (165). |
| --- | --- |

(126)

В същото време член 110 от ЗЗД от 2018 г. предвижда освобождаване от действието на определени разпоредби от част 4 на ЗЗД от 2018 г. (162), когато такова освобождаване е необходимо за гарантиране на националната сигурност. Това освобождаване може да се използва въз основа на анализа на всеки отделен случай (163). Както е обяснено от органите на Обединеното кралство и потвърдено от съдебната практика, „администраторът трябва да вземе предвид действителните последици за националната сигурност или отбрана, ако трябва да спазва конкретната разпоредба за защита на данните и ако би могъл разумно да спази обичайното правило, без да се засяга националната сигурност или отбрана“ (164). Дали освобождаването е било използвано по подходящ начин, подлежи на надзор от страна на ICO (165).

162

163

164

165

| (127) | Освен това, във връзка с възможността за ограничаване на прилагането на горепосочените определени разпоредби с цел защита на „националната сигурност“, съгласно член 111 от ЗЗД от 2018 г. администраторът може да подаде заявление за удостоверение, подписано от министър или от главния прокурор, удостоверяващо, че ограничаването на тези права представлява необходима и пропорционална мярка за защита на националната сигурност (166). |
| --- | --- |

(127)

Освен това, във връзка с възможността за ограничаване на прилагането на горепосочените определени разпоредби с цел защита на „националната сигурност“, съгласно член 111 от ЗЗД от 2018 г. администраторът може да подаде заявление за удостоверение, подписано от министър или от главния прокурор, удостоверяващо, че ограничаването на тези права представлява необходима и пропорционална мярка за защита на националната сигурност (166).

166

| (128) | Правителството на Обединеното кралство издаде насоки с цел подпомагане на администраторите при вземането на решение дали да подадат заявление за удостоверение за национална сигурност съгласно ЗЗД от 2018 г., в които по-специално се подчертава, че всяко ограничаване на правата на субектите на данни с цел опазване на националната сигурност трябва да бъде пропорционално и необходимо (167). Всички удостоверения за национална сигурност трябва да бъдат публикувани на уебсайта на комисаря по информацията (168). |
| --- | --- |

(128)

Правителството на Обединеното кралство издаде насоки с цел подпомагане на администраторите при вземането на решение дали да подадат заявление за удостоверение за национална сигурност съгласно ЗЗД от 2018 г., в които по-специално се подчертава, че всяко ограничаване на правата на субектите на данни с цел опазване на националната сигурност трябва да бъде пропорционално и необходимо (167). Всички удостоверения за национална сигурност трябва да бъдат публикувани на уебсайта на комисаря по информацията (168).

167

168

| (129) | Удостоверението следва да бъде за определен срок, не по-дълъг от пет години, така че да бъде редовно преразглеждано от орган на изпълнителната власт (169). В удостоверението се посочват личните данни или категориите лични данни, предмет на освобождаването, както и разпоредбите на ЗЗД от 2018 г., за които се прилага освобождаването (170). |
| --- | --- |

(129)

Удостоверението следва да бъде за определен срок, не по-дълъг от пет години, така че да бъде редовно преразглеждано от орган на изпълнителната власт (169). В удостоверението се посочват личните данни или категориите лични данни, предмет на освобождаването, както и разпоредбите на ЗЗД от 2018 г., за които се прилага освобождаването (170).

169

170

| (130) | Важно е да се отбележи, че с удостоверенията за национална сигурност не се предвижда допълнително основание за ограничаване на правата на защита на данните поради съображения, свързани с националната сигурност. С други думи, администраторът или обработващият лични данни може да използва удостоверение само когато е стигнал до заключението, че е необходимо да се използва изключението във връзка с националната сигурност, като то трябва да се прилага, како беше обяснено по-горе, въз основа на анализа на всеки отделен случай (171). Дори ако по отношение на въпросния случай се прилага удостоверение за национална сигурност, ICO може да проучи дали в конкретен случай е оправдано да се използва изключението във връзка с националната сигурност (172). |
| --- | --- |

(130)

Важно е да се отбележи, че с удостоверенията за национална сигурност не се предвижда допълнително основание за ограничаване на правата на защита на данните поради съображения, свързани с националната сигурност. С други думи, администраторът или обработващият лични данни може да използва удостоверение само когато е стигнал до заключението, че е необходимо да се използва изключението във връзка с националната сигурност, като то трябва да се прилага, како беше обяснено по-горе, въз основа на анализа на всеки отделен случай (171). Дори ако по отношение на въпросния случай се прилага удостоверение за национална сигурност, ICO може да проучи дали в конкретен случай е оправдано да се използва изключението във връзка с националната сигурност (172).

171

172

| (131) | Всяко лице, пряко засегнато от издаването на удостоверението, може да обжалва решението за издаване на удостоверението (173) пред трибунала от по-горна инстанция (174) или, когато удостоверението идентифицира данни чрез общо описание, да оспори прилагането на удостоверението по отношение на конкретни данни (175). Трибуналът ще преразгледа решението за издаване на удостоверение и ще реши дали са били налице основателни причини за издаването му (176). Той може да разгледа широк кръг от въпроси, включително да прецени необходимостта, пропорционалността и законосъобразността, като отчита въздействието върху правата на субектите на данни и претегли необходимостта от опазване на националната сигурност. В резултат на това трибуналът може да реши, че удостоверението не се прилага за конкретни лични данни, които са предмет на обжалването (177). |
| --- | --- |

(131)

Всяко лице, пряко засегнато от издаването на удостоверението, може да обжалва решението за издаване на удостоверението (173) пред трибунала от по-горна инстанция (174) или, когато удостоверението идентифицира данни чрез общо описание, да оспори прилагането на удостоверението по отношение на конкретни данни (175). Трибуналът ще преразгледа решението за издаване на удостоверение и ще реши дали са били налице основателни причини за издаването му (176). Той може да разгледа широк кръг от въпроси, включително да прецени необходимостта, пропорционалността и законосъобразността, като отчита въздействието върху правата на субектите на данни и претегли необходимостта от опазване на националната сигурност. В резултат на това трибуналът може да реши, че удостоверението не се прилага за конкретни лични данни, които са предмет на обжалването (177).

173

174

175

176

177

| (132) | Различен набор от възможни ограничения се отнася до тези, които се прилагат съгласно приложение 11 към ЗЗД от 2018 г. за някои разпоредби на част 4 от ЗЗД от 2018 г. (178) с цел защита на други важни цели от обществен интерес или защитени интереси, като например парламентарния имунитет, адвокатската тайна, провеждането на съдебни производства или бойната готовност на въоръжените сили (179). Тези разпоредби не се прилагат (освобождаване) за определени категории информация („на база категории“) или доколкото прилагането им би могло да накърни защитения интерес („на база накърняване“) (180). Позоваване на освобождаването на база накърняване може да се прави само дотолкова, доколкото прилагането на въпросната разпоредба за защита на данните би могло да накърни конкретния интерес. Следователно използването на освобождаване трябва винаги да бъде обосновано с позоваване на съответното накърняване на интерес, което би могло да настъпи в конкретния случай. Освобождаването на база категории може да се използва само по отношение на конкретната, тясно определена категория информация, за която е предоставено освобождаване. Този тип освобождаване е сходно по цел и последици с няколко от освобождаванията от действието на ОРЗД на Обединеното кралство (съгласно приложение 2 към ЗЗД от 2018 г.), които на свой ред отразяват тези, предвидени в член 23 от ОРЗД. |
| --- | --- |

(132)

Различен набор от възможни ограничения се отнася до тези, които се прилагат съгласно приложение 11 към ЗЗД от 2018 г. за някои разпоредби на част 4 от ЗЗД от 2018 г. (178) с цел защита на други важни цели от обществен интерес или защитени интереси, като например парламентарния имунитет, адвокатската тайна, провеждането на съдебни производства или бойната готовност на въоръжените сили (179). Тези разпоредби не се прилагат (освобождаване) за определени категории информация („на база категории“) или доколкото прилагането им би могло да накърни защитения интерес („на база накърняване“) (180). Позоваване на освобождаването на база накърняване може да се прави само дотолкова, доколкото прилагането на въпросната разпоредба за защита на данните би могло да накърни конкретния интерес. Следователно използването на освобождаване трябва винаги да бъде обосновано с позоваване на съответното накърняване на интерес, което би могло да настъпи в конкретния случай. Освобождаването на база категории може да се използва само по отношение на конкретната, тясно определена категория информация, за която е предоставено освобождаване. Този тип освобождаване е сходно по цел и последици с няколко от освобождаванията от действието на ОРЗД на Обединеното кралство (съгласно приложение 2 към ЗЗД от 2018 г.), които на свой ред отразяват тези, предвидени в член 23 от ОРЗД.

178

179

180

| (133) | От гореизложеното следва, че са налице ограничения и условия съгласно приложимите правни разпоредби на Обединеното кралство, както се тълкуват също така от съдилищата и от комисаря по информацията, за да се гарантира, че тези освобождавания и ограничения остават в границите на това, което е необходимо и пропорционално за защита на националната сигурност. |
| --- | --- |

(133)

От гореизложеното следва, че са налице ограничения и условия съгласно приложимите правни разпоредби на Обединеното кралство, както се тълкуват също така от съдилищата и от комисаря по информацията, за да се гарантира, че тези освобождавания и ограничения остават в границите на това, което е необходимо и пропорционално за защита на националната сигурност.

3.2.   Достъп и използване от публични органи на Обединеното кралство за целите на наказателното правоприлагане

Достъп и използване от публични органи на Обединеното кралство за целите на наказателното правоприлагане

| (134) | Законодателството на Обединеното кралство налага редица ограничения на достъпа и използването на лични данни за целите на наказателното правоприлагане и осигурява механизми за надзор и правна защита в тази област, които са в съответствие с изискванията, посочени в съображения 113—115 от настоящото решение. Условията, при които може да се осъществи такъв достъп, и гаранциите, приложими за упражняването на тези правомощия, са подробно разгледани в следващите раздели. |
| --- | --- |

(134)

Законодателството на Обединеното кралство налага редица ограничения на достъпа и използването на лични данни за целите на наказателното правоприлагане и осигурява механизми за надзор и правна защита в тази област, които са в съответствие с изискванията, посочени в съображения 113—115 от настоящото решение. Условията, при които може да се осъществи такъв достъп, и гаранциите, приложими за упражняването на тези правомощия, са подробно разгледани в следващите раздели.

3.2.1.   Правни основания и приложими ограничения/гаранции

Правни основания и приложими ограничения/гаранции

| (135) | В съответствие с принципа на законосъобразност, гарантиран по член 35 от ЗЗД от 2018 г., обработването на лични данни за всяка от целите на правоприлагането е законосъобразно само ако е въз основа на правото и ако или субектът на данни е дал съгласие за обработването за тази цел (181), или обработването е необходимо за изпълнението на задача, осъществявана за тази цел от компетентен орган. |
| --- | --- |

(135)

В съответствие с принципа на законосъобразност, гарантиран по член 35 от ЗЗД от 2018 г., обработването на лични данни за всяка от целите на правоприлагането е законосъобразно само ако е въз основа на правото и ако или субектът на данни е дал съгласие за обработването за тази цел (181), или обработването е необходимо за изпълнението на задача, осъществявана за тази цел от компетентен орган.

181

3.2.1.1.   Заповеди за претърсване и заповеди за предоставяне

Заповеди за претърсване и заповеди за предоставяне

| (136) | В правната уредба на Обединеното кралство събирането на лични данни от стопански оператори, включително такива, които биха обработвали данни, предадени от ЕС съгласно настоящото решение относно адекватното ниво на защита, за целите на наказателното правоприлагане, е допустимо въз основа на заповеди за претърсване (182) и заповеди за предоставяне (183). |
| --- | --- |

(136)

В правната уредба на Обединеното кралство събирането на лични данни от стопански оператори, включително такива, които биха обработвали данни, предадени от ЕС съгласно настоящото решение относно адекватното ниво на защита, за целите на наказателното правоприлагане, е допустимо въз основа на заповеди за претърсване (182) и заповеди за предоставяне (183).

182

183

| (137) | Заповедите за претърсване се издават от съд, обикновено по молба на разследващия служител. Те дават право на служителя да влезе в определени помещения, за да търси материали или лица, свързани с провежданото от него разследване, и да задържи всичко, за което е разрешено претърсването, включително всички относими документи или материали, съдържащи лични данни (184). Заповедта за предоставяне, която също трябва да бъде издадена от съд, задължава лицето, посочено в нея, да предостави или да осигури достъп до материалите, които притежава или контролира. Молителят трябва да обоснове пред съда защо е необходима заповедта за претърсване или за предоставяне, както и защо това е в обществен интерес. Има няколко законоустановени правомощия, които позволяват издаването на заповеди за претърсване и заповеди за предоставяне. Всяка разпоредба съдържа определен набор от законоустановени условия, които трябва да бъдат изпълнени, за да бъде издадена заповед за претърсване (185) или заповед за предоставяне (186). |
| --- | --- |

(137)

Заповедите за претърсване се издават от съд, обикновено по молба на разследващия служител. Те дават право на служителя да влезе в определени помещения, за да търси материали или лица, свързани с провежданото от него разследване, и да задържи всичко, за което е разрешено претърсването, включително всички относими документи или материали, съдържащи лични данни (184). Заповедта за предоставяне, която също трябва да бъде издадена от съд, задължава лицето, посочено в нея, да предостави или да осигури достъп до материалите, които притежава или контролира. Молителят трябва да обоснове пред съда защо е необходима заповедта за претърсване или за предоставяне, както и защо това е в обществен интерес. Има няколко законоустановени правомощия, които позволяват издаването на заповеди за претърсване и заповеди за предоставяне. Всяка разпоредба съдържа определен набор от законоустановени условия, които трябва да бъдат изпълнени, за да бъде издадена заповед за претърсване (185) или заповед за предоставяне (186).

184

185

186

| (138) | Заповедите за претърсване и заповедите за предоставяне могат да бъдат обжалвани по линия на съдебния контрол (187). По отношение на гаранциите всички органи за наказателно правоприлагане, попадащи в обхвата на част 3 от ЗЗД от 2018 г., могат да имат достъп до лични данни — което представлява форма на обработване — само при спазване на принципите и изискванията, посочени в ЗЗД от 2018 г. (вж. съображения 122 и 124 по-горе). Следователно всяка молба, отправена от правоприлагащ орган, трябва да е в съответствие с принципа, съгласно който целите на обработването трябва да бъдат конкретни, изрично указани и легитимни (188), а личните данни, обработвани от компетентен орган, трябва да имат отношение към тези цели и да не надхвърлят необходимото във връзка с тези цели (189). |
| --- | --- |

(138)

Заповедите за претърсване и заповедите за предоставяне могат да бъдат обжалвани по линия на съдебния контрол (187). По отношение на гаранциите всички органи за наказателно правоприлагане, попадащи в обхвата на част 3 от ЗЗД от 2018 г., могат да имат достъп до лични данни — което представлява форма на обработване — само при спазване на принципите и изискванията, посочени в ЗЗД от 2018 г. (вж. съображения 122 и 124 по-горе). Следователно всяка молба, отправена от правоприлагащ орган, трябва да е в съответствие с принципа, съгласно който целите на обработването трябва да бъдат конкретни, изрично указани и легитимни (188), а личните данни, обработвани от компетентен орган, трябва да имат отношение към тези цели и да не надхвърлят необходимото във връзка с тези цели (189).

187

188

189

3.2.1.2.   Правомощия за разследване за целите на правоприлагането

Правомощия за разследване за целите на правоприлагането

| (139) | За целите на предотвратяването или разкриването на тежки престъпления (190) някои правоприлагащи органи, например Националната агенция по престъпността или началникът на полицията (191), може да се ползват с целеви правомощия за разследване съгласно ЗПР от 2016 г. В този случай гаранциите, предвидени в ЗПР от 2016 г., ще се прилагат в допълнение към предвидените в част 3 от ЗЗД от 2018 г. Конкретните правомощия за разследване, на които тези правоприлагащи органи могат да разчитат, са: правомощия за целево прихващане на данни (част 2 от ЗПР от 2016 г.), събиране на комуникационни данни (част 3 от ЗПР от 2016 г.), съхраняване на комуникационни данни (част 4 от ЗПР от 2016 г.) и целева намеса в оборудването (част 5 от ЗПР от 2016 г.). Прихващането обхваща придобиването на достъп до съдържанието на комуникация (192), докато получаването и съхраняването на комуникационни данни не е насочено към придобиване на съдържанието на комуникацията, а към това кой, кога, къде и как я е осъществил. Това включва например времето и продължителността на комуникацията, телефонния номер или адреса на електронната поща на изпращача и получателя на комуникацията, а понякога и местоположението на устройствата, от които е осъществена комуникацията, абоната на телефонната услуга или подробна фактура (193). Намесата в оборудването се състои от набор от техники, използвани за получаване на разнообразни данни от оборудването, което включва компютри, таблети и смартфони, както и кабели, проводници и устройства за съхранение (194). |
| --- | --- |

(139)

За целите на предотвратяването или разкриването на тежки престъпления (190) някои правоприлагащи органи, например Националната агенция по престъпността или началникът на полицията (191), може да се ползват с целеви правомощия за разследване съгласно ЗПР от 2016 г. В този случай гаранциите, предвидени в ЗПР от 2016 г., ще се прилагат в допълнение към предвидените в част 3 от ЗЗД от 2018 г. Конкретните правомощия за разследване, на които тези правоприлагащи органи могат да разчитат, са: правомощия за целево прихващане на данни (част 2 от ЗПР от 2016 г.), събиране на комуникационни данни (част 3 от ЗПР от 2016 г.), съхраняване на комуникационни данни (част 4 от ЗПР от 2016 г.) и целева намеса в оборудването (част 5 от ЗПР от 2016 г.). Прихващането обхваща придобиването на достъп до съдържанието на комуникация (192), докато получаването и съхраняването на комуникационни данни не е насочено към придобиване на съдържанието на комуникацията, а към това кой, кога, къде и как я е осъществил. Това включва например времето и продължителността на комуникацията, телефонния номер или адреса на електронната поща на изпращача и получателя на комуникацията, а понякога и местоположението на устройствата, от които е осъществена комуникацията, абоната на телефонната услуга или подробна фактура (193). Намесата в оборудването се състои от набор от техники, използвани за получаване на разнообразни данни от оборудването, което включва компютри, таблети и смартфони, както и кабели, проводници и устройства за съхранение (194).

190

191

192

193

194

| (140) | Правомощията за целево прихващане може също да се упражняват, когато „е необходимо с цел прилагане на разпоредбите на инструмент на ЕС за взаимопомощ или на международно споразумение за взаимопомощ“ (така наречената „заповед за взаимопомощ“ (195)). Заповеди за взаимопомощ се издават само във връзка с прихващане, а не със събиране на комуникационни данни или намеса в оборудването. Тези целеви правомощия са уредени в Закона за правомощията за разследване от 2016 г. (ЗПР от 2016 г.) (196), който, заедно със Закона за уреждане на правомощията за разследване от 2000 г. (ЗУПР) за Англия, Уелс и Северна Ирландия и Закона за уреждане на правомощията за разследване (Шотландия) от 2000 г. (ЗУПРШ) за Шотландия, дава правното основание и определя ограниченията и гаранциите за упражняването на тези правомощия. В ЗПР от 2016 г. е предвиден също така режим на упражняване на правомощия за разследване по отношение на масово събирани данни, който обаче не може да се ползва от правоприлагащите органи (а само от разузнавателните служби) (197). |
| --- | --- |

(140)

Правомощията за целево прихващане може също да се упражняват, когато „е необходимо с цел прилагане на разпоредбите на инструмент на ЕС за взаимопомощ или на международно споразумение за взаимопомощ“ (така наречената „заповед за взаимопомощ“ (195)). Заповеди за взаимопомощ се издават само във връзка с прихващане, а не със събиране на комуникационни данни или намеса в оборудването. Тези целеви правомощия са уредени в Закона за правомощията за разследване от 2016 г. (ЗПР от 2016 г.) (196), който, заедно със Закона за уреждане на правомощията за разследване от 2000 г. (ЗУПР) за Англия, Уелс и Северна Ирландия и Закона за уреждане на правомощията за разследване (Шотландия) от 2000 г. (ЗУПРШ) за Шотландия, дава правното основание и определя ограниченията и гаранциите за упражняването на тези правомощия. В ЗПР от 2016 г. е предвиден също така режим на упражняване на правомощия за разследване по отношение на масово събирани данни, който обаче не може да се ползва от правоприлагащите органи (а само от разузнавателните служби) (197).

195

196

197

| (141) | За да упражнят тези правомощия, органите трябва да получат заповед (198), издадена от компетентен орган (199) и одобрена от независим съдебен комисар (200) (по така наречената „процедура с двойна защита“). Получаването на такава заповед подлежи на проверка на необходимостта и пропорционалността (201). Тъй като целевите правомощия за разследване, предоставени съгласно ЗПР от 2016 г., са същите като тези, с които службите за национална сигурност разполагат, условията, ограниченията и гаранциите, приложими за такива правомощия, са разгледани подробно в раздела относно достъпа и използването на лични данни от публичните органи на Обединеното кралство за целите на националната сигурност (вж. съображение 177 и сл.). |
| --- | --- |

(141)

За да упражнят тези правомощия, органите трябва да получат заповед (198), издадена от компетентен орган (199) и одобрена от независим съдебен комисар (200) (по така наречената „процедура с двойна защита“). Получаването на такава заповед подлежи на проверка на необходимостта и пропорционалността (201). Тъй като целевите правомощия за разследване, предоставени съгласно ЗПР от 2016 г., са същите като тези, с които службите за национална сигурност разполагат, условията, ограниченията и гаранциите, приложими за такива правомощия, са разгледани подробно в раздела относно достъпа и използването на лични данни от публичните органи на Обединеното кралство за целите на националната сигурност (вж. съображение 177 и сл.).

198

199

200

201

3.2.2.   По-нататъшно използване на събраната информация

По-нататъшно използване на събраната информация

| (142) | Споделянето на данни от правоприлагащ орган с друг орган за цели, различни от тези, за които те са били първоначално събрани (т.нар. „последващо споделяне“), се извършва при определени условия. |
| --- | --- |

(142)

Споделянето на данни от правоприлагащ орган с друг орган за цели, различни от тези, за които те са били първоначално събрани (т.нар. „последващо споделяне“), се извършва при определени условия.

| (143) | Подобно на предвиденото в член 4, параграф 2 от Директива (ЕС) 2016/680, член 36, параграф 3 от ЗЗД от 2018 г. позволява личните данни, събрани от компетентен орган за целите на правоприлагането, да бъдат обработвани по-нататък (независимо дали от първоначалния администратор или от друг администратор) за всяка друга цел на правоприлагането, при условие че администраторът е оправомощен по закон да обработва данни за другата цел и че обработването е необходимо и пропорционално за тази цел (202). В този случай всички гаранции, предвидени в част 3 от ЗЗД от 2018 г., посочени в съображения 122 и 124, се прилагат за обработването, извършвано от получаващия орган. |
| --- | --- |

(143)

Подобно на предвиденото в член 4, параграф 2 от Директива (ЕС) 2016/680, член 36, параграф 3 от ЗЗД от 2018 г. позволява личните данни, събрани от компетентен орган за целите на правоприлагането, да бъдат обработвани по-нататък (независимо дали от първоначалния администратор или от друг администратор) за всяка друга цел на правоприлагането, при условие че администраторът е оправомощен по закон да обработва данни за другата цел и че обработването е необходимо и пропорционално за тази цел (202). В този случай всички гаранции, предвидени в част 3 от ЗЗД от 2018 г., посочени в съображения 122 и 124, се прилагат за обработването, извършвано от получаващия орган.

202

| (144) | В правния ред на Обединеното кралство различни закони изрично позволяват такова последващо споделяне. По-специално i) Законът за цифровата икономика от 2017 г. позволява споделянето между публичните органи за няколко цели, например в случай на измама срещу публичния сектор, която би довела до загуба или риск от загуба за публични органи (203) или в случай на дълг към публичен орган или към Короната (204); ii) Законът за престъпленията и съдилищата от 2013 г., който позволява споделянето на информация с Националната агенция по престъпността (NCA) (205) с цел борба, разследване и наказателно преследване на тежката и организираната престъпност; iii) Законът за тежките престъпления от 2007 г., който позволява на публичните органи да разкриват информация на организации за борба с измамите с цел предотвратяване на измами (206). |
| --- | --- |

(144)

В правния ред на Обединеното кралство различни закони изрично позволяват такова последващо споделяне. По-специално i) Законът за цифровата икономика от 2017 г. позволява споделянето между публичните органи за няколко цели, например в случай на измама срещу публичния сектор, която би довела до загуба или риск от загуба за публични органи (203) или в случай на дълг към публичен орган или към Короната (204); ii) Законът за престъпленията и съдилищата от 2013 г., който позволява споделянето на информация с Националната агенция по престъпността (NCA) (205) с цел борба, разследване и наказателно преследване на тежката и организираната престъпност; iii) Законът за тежките престъпления от 2007 г., който позволява на публичните органи да разкриват информация на организации за борба с измамите с цел предотвратяване на измами (206).

203

204

205

206

| (145) | В тези закони изрично се предвижда, че споделянето на информация следва да става в съответствие с принципи, предвидени в ЗЗД от 2018 г. Освен това Полицейският колеж издаде Разрешена професионална практика относно споделянето на информация (207), за да помогне на полицията да изпълнява задълженията си за защита на данните съгласно ОРЗД на Обединеното кралство, ЗЗД и Закона за правата на човека от 1998 г. Дали споделянето е съобразено с приложимата правна уредба за защита на данните, разбира се, подлежи на съдебен контрол (208). |
| --- | --- |

(145)

В тези закони изрично се предвижда, че споделянето на информация следва да става в съответствие с принципи, предвидени в ЗЗД от 2018 г. Освен това Полицейският колеж издаде Разрешена професионална практика относно споделянето на информация (207), за да помогне на полицията да изпълнява задълженията си за защита на данните съгласно ОРЗД на Обединеното кралство, ЗЗД и Закона за правата на човека от 1998 г. Дали споделянето е съобразено с приложимата правна уредба за защита на данните, разбира се, подлежи на съдебен контрол (208).

207

208

| (146) | Освен това, подобно на предвиденото в член 9 от Директива (ЕС) 2016/680, в ЗЗД от 2018 г. се предвижда, че лични данни, събрани за целите на правоприлагането, могат да бъдат обработвани за цел, различна от правоприлагането, когато обработването е разрешено от закона (209). |
| --- | --- |

(146)

Освен това, подобно на предвиденото в член 9 от Директива (ЕС) 2016/680, в ЗЗД от 2018 г. се предвижда, че лични данни, събрани за целите на правоприлагането, могат да бъдат обработвани за цел, различна от правоприлагането, когато обработването е разрешено от закона (209).

209

| (147) | Този вид споделяне обхваща два случая: 1) когато правоприлагащ орган в областта на наказателното право споделя данни с правоприлагащ орган в друга правна област, различен от разузнавателна служба (като например финансов или данъчен орган, орган за защита на конкуренцията, служба за закрила на младежта и др.); и 2) когато правоприлагащ орган в областта на наказателното право споделя данни с разузнавателна служба. В първия случай обработването на лични данни ще попадне в приложното поле на ОРЗД на Обединеното кралство, както и в това на част 2 от ЗЗД от 2018 г. В съображения 12—111 Комисията оцени гаранциите, предвидени в ОРЗД на Обединеното кралство и в част 2 от ЗЗД от 2018 г., и стигна до заключението, че Обединеното кралство осигурява адекватно ниво на защита на личните данни, предавани в обхвата на Регламент (ЕС) 2016/679 от Европейския съюз на Обединеното кралство. |
| --- | --- |

(147)

Този вид споделяне обхваща два случая: 1) когато правоприлагащ орган в областта на наказателното право споделя данни с правоприлагащ орган в друга правна област, различен от разузнавателна служба (като например финансов или данъчен орган, орган за защита на конкуренцията, служба за закрила на младежта и др.); и 2) когато правоприлагащ орган в областта на наказателното право споделя данни с разузнавателна служба. В първия случай обработването на лични данни ще попадне в приложното поле на ОРЗД на Обединеното кралство, както и в това на част 2 от ЗЗД от 2018 г. В съображения 12—111 Комисията оцени гаранциите, предвидени в ОРЗД на Обединеното кралство и в част 2 от ЗЗД от 2018 г., и стигна до заключението, че Обединеното кралство осигурява адекватно ниво на защита на личните данни, предавани в обхвата на Регламент (ЕС) 2016/679 от Европейския съюз на Обединеното кралство.

| (148) | Във втория случай, по отношение на споделянето на данни, събрани от правоприлагащ орган в областта на наказателното право, с разузнавателна служба за целите на националната сигурност, правното основание, което разрешава такова споделяне, е член 19 от Закона за борба с тероризма от 2008 г. (ЗБТ от 2008 г.) (210). Съгласно този закон всяко лице може да предоставя информация на всяка от разузнавателните служби с цел изпълнение на някоя от функциите на тази служба, включително „националната сигурност“. |
| --- | --- |

(148)

Във втория случай, по отношение на споделянето на данни, събрани от правоприлагащ орган в областта на наказателното право, с разузнавателна служба за целите на националната сигурност, правното основание, което разрешава такова споделяне, е член 19 от Закона за борба с тероризма от 2008 г. (ЗБТ от 2008 г.) (210). Съгласно този закон всяко лице може да предоставя информация на всяка от разузнавателните служби с цел изпълнение на някоя от функциите на тази служба, включително „националната сигурност“.

210

| (149) | Що се отнася до условията, при които данните могат да бъдат споделяни за целите на националната сигурност, Законът за разузнавателните служби (211) и Законът за службите за сигурност (212) ограничават възможността на разузнавателните служби да получават данни до това, което е необходимо за изпълнение на техните законоустановени функции. Правоприлагащите органи, които желаят да споделят данни с разузнавателните служби, ще трябва да вземат предвид редица фактори/ограничения в допълнение към законоустановените функции на агенциите, определени в Закона за разузнавателните служби и Закона за службите за сигурност (213). В член 20 от ЗБТ от 2008 г. се пояснява, че всяко споделяне на данни съгласно член 19 трябва да продължава да е в съответствие със законодателството за защита на данните. Това означава, че се прилагат всички ограничения и изисквания на част 3 от ЗЗД от 2018 г. Освен това, тъй като компетентните органи са публични органи за целите на Закона за правата на човека от 1998 г., те трябва да гарантират, че действат в съответствие с правата по Конвенцията, включително член 8 от ЕКПЧ. Тези ограничения гарантират, че всяко споделяне на данни между правоприлагащите органи и разузнавателните служби е в съответствие със законодателството за защита на данните и ЕКПЧ. |
| --- | --- |

(149)

Що се отнася до условията, при които данните могат да бъдат споделяни за целите на националната сигурност, Законът за разузнавателните служби (211) и Законът за службите за сигурност (212) ограничават възможността на разузнавателните служби да получават данни до това, което е необходимо за изпълнение на техните законоустановени функции. Правоприлагащите органи, които желаят да споделят данни с разузнавателните служби, ще трябва да вземат предвид редица фактори/ограничения в допълнение към законоустановените функции на агенциите, определени в Закона за разузнавателните служби и Закона за службите за сигурност (213). В член 20 от ЗБТ от 2008 г. се пояснява, че всяко споделяне на данни съгласно член 19 трябва да продължава да е в съответствие със законодателството за защита на данните. Това означава, че се прилагат всички ограничения и изисквания на част 3 от ЗЗД от 2018 г. Освен това, тъй като компетентните органи са публични органи за целите на Закона за правата на човека от 1998 г., те трябва да гарантират, че действат в съответствие с правата по Конвенцията, включително член 8 от ЕКПЧ. Тези ограничения гарантират, че всяко споделяне на данни между правоприлагащите органи и разузнавателните служби е в съответствие със законодателството за защита на данните и ЕКПЧ.

211

212

213

| (150) | Когато компетентен орган възнамерява да споделя лични данни, обработвани съгласно част 3 от ЗЗД от 2018 г., с правоприлагащи органи на трета държава, се прилагат специфични изисквания (214). По-специално предаването на такива данни може да се извършва въз основа на наредби относно адекватното ниво на защита, издадени от министъра, или, при липса на такива наредби, след осигуряването на подходящи гаранции. Съгласно член 75 от ЗЗД от 2018 г. подходящи гаранции са налице, когато са установени по силата на правен инструмент с обвързваща сила за предвидения получател или когато администраторът, след като е оценил всички обстоятелства, свързани с предаването на този тип лични данни на трета държава или на международна организация, е стигнал до заключението, че съществуват подходящи гаранции за защита на данните. |
| --- | --- |

(150)

Когато компетентен орган възнамерява да споделя лични данни, обработвани съгласно част 3 от ЗЗД от 2018 г., с правоприлагащи органи на трета държава, се прилагат специфични изисквания (214). По-специално предаването на такива данни може да се извършва въз основа на наредби относно адекватното ниво на защита, издадени от министъра, или, при липса на такива наредби, след осигуряването на подходящи гаранции. Съгласно член 75 от ЗЗД от 2018 г. подходящи гаранции са налице, когато са установени по силата на правен инструмент с обвързваща сила за предвидения получател или когато администраторът, след като е оценил всички обстоятелства, свързани с предаването на този тип лични данни на трета държава или на международна организация, е стигнал до заключението, че съществуват подходящи гаранции за защита на данните.

214

| (151) | Ако предаването не се основава на наредба относно адекватното ниво на защита или на подходящи гаранции, то може да се осъществи само при определени специфични обстоятелства, наричани „особени обстоятелства“ (215). Такъв е случаят, когато предаването е необходимо: а) за да бъдат защитени жизненоважни интереси на субекта на данни или на друго лице; б) за да бъдат защитени легитимни интереси на субекта на данни; в) за предотвратяване на непосредствена и сериозна заплаха за обществената сигурност на държава членка или трета държава; г) в отделни случаи — за някоя от целите на правоприлагането; или д) в отделни случаи — с правна цел (напр. във връзка със съдебни производства или с цел получаване на правни съвети). Може да се отбележи, че букви г) и д) не се прилагат, ако правата и свободите на субекта на данни надделяват над обществения интерес от предаването. Този набор от обстоятелства съответства на специфичните ситуации и условия, които се определят като „дерогации“ съгласно член 38 от Директива (ЕС) 2016/680. |
| --- | --- |

(151)

Ако предаването не се основава на наредба относно адекватното ниво на защита или на подходящи гаранции, то може да се осъществи само при определени специфични обстоятелства, наричани „особени обстоятелства“ (215). Такъв е случаят, когато предаването е необходимо: а) за да бъдат защитени жизненоважни интереси на субекта на данни или на друго лице; б) за да бъдат защитени легитимни интереси на субекта на данни; в) за предотвратяване на непосредствена и сериозна заплаха за обществената сигурност на държава членка или трета държава; г) в отделни случаи — за някоя от целите на правоприлагането; или д) в отделни случаи — с правна цел (напр. във връзка със съдебни производства или с цел получаване на правни съвети). Може да се отбележи, че букви г) и д) не се прилагат, ако правата и свободите на субекта на данни надделяват над обществения интерес от предаването. Този набор от обстоятелства съответства на специфичните ситуации и условия, които се определят като „дерогации“ съгласно член 38 от Директива (ЕС) 2016/680.

215

| (152) | Освен това, когато материалите, получени от правоприлагащите органи въз основа на заповед, с която се разрешава прихващане или намеса в оборудването, се предават на трета държава, в ЗПР от 2016 г. са предвидени допълнителни гаранции. По-специално разкриването на такива данни, определено като „разкриване в чужбина“, е разрешено само ако издаващият орган счита, че са налице конкретни подходящи механизми, които ограничават броя на лицата, на които се разкриват данните, обема, в който материалите се разкриват или предоставят на разположение, както и степента, до която се копират, и броя на направените копия. Освен това издаващият орган може да прецени, че са необходими подходящи механизми, за да се гарантира, че всяко копие, направено от която и да е част от тези материали, се унищожава незабавно, след като вече не са налице подходящи основания за съхраняването му (ако не е унищожено по-рано) (216). |
| --- | --- |

(152)

Освен това, когато материалите, получени от правоприлагащите органи въз основа на заповед, с която се разрешава прихващане или намеса в оборудването, се предават на трета държава, в ЗПР от 2016 г. са предвидени допълнителни гаранции. По-специално разкриването на такива данни, определено като „разкриване в чужбина“, е разрешено само ако издаващият орган счита, че са налице конкретни подходящи механизми, които ограничават броя на лицата, на които се разкриват данните, обема, в който материалите се разкриват или предоставят на разположение, както и степента, до която се копират, и броя на направените копия. Освен това издаващият орган може да прецени, че са необходими подходящи механизми, за да се гарантира, че всяко копие, направено от която и да е част от тези материали, се унищожава незабавно, след като вече не са налице подходящи основания за съхраняването му (ако не е унищожено по-рано) (216).

216

| (153) | И накрая, специфични форми на последващо предаване на данни от Обединеното кралство към Съединените щати биха могли да се осъществяват в бъдеще въз основа на Споразумението между правителството на Обединеното кралство Великобритания и Северна Ирландия и правителството на Съединените американски щати относно достъпа до електрони данни с цел противодействие на тежката престъпност („Споразумението между Обединеното кралство и САЩ“ или „Споразумението“) (217), сключено през октомври 2019 г. (218) Въпреки че Споразумението между Обединеното кралство и САЩ все още не е влязло в сила към момента на приемане на настоящото решение, очакваното му влизане в сила може да повлияе на последващото предаване към САЩ на данни, предадени най-напред на Обединеното кралство въз основа на настоящото решение. По-конкретно данните, предадени от ЕС на доставчици на услуги в Обединеното кралство, могат да бъдат обект на заповеди за предоставяне на електронни доказателства, издадени от компетентните правоприлагащи органи на САЩ, и приложими в Обединеното кралство по силата на Споразумението след влизането му в сила. Поради тези причини оценката на условията и гаранциите, при които може да се издават и изпълняват такива заповеди, е от значение за настоящото решение. |
| --- | --- |

(153)

И накрая, специфични форми на последващо предаване на данни от Обединеното кралство към Съединените щати биха могли да се осъществяват в бъдеще въз основа на Споразумението между правителството на Обединеното кралство Великобритания и Северна Ирландия и правителството на Съединените американски щати относно достъпа до електрони данни с цел противодействие на тежката престъпност („Споразумението между Обединеното кралство и САЩ“ или „Споразумението“) (217), сключено през октомври 2019 г. (218) Въпреки че Споразумението между Обединеното кралство и САЩ все още не е влязло в сила към момента на приемане на настоящото решение, очакваното му влизане в сила може да повлияе на последващото предаване към САЩ на данни, предадени най-напред на Обединеното кралство въз основа на настоящото решение. По-конкретно данните, предадени от ЕС на доставчици на услуги в Обединеното кралство, могат да бъдат обект на заповеди за предоставяне на електронни доказателства, издадени от компетентните правоприлагащи органи на САЩ, и приложими в Обединеното кралство по силата на Споразумението след влизането му в сила. Поради тези причини оценката на условията и гаранциите, при които може да се издават и изпълняват такива заповеди, е от значение за настоящото решение.

217

218

| (154) | В това отношение следва да се отбележи, че първо, що се отнася до неговия материален обхват, Споразумението е приложимо само за престъпления, които се наказват с лишаване от свобода с максимален срок от поне три години (определени като „тежки престъпления“) (219), включително за „терористична дейност“. Второ, данните, обработвани в друга юрисдикция, могат да бъдат получени съгласно Споразумението само след издаването на „[з]аповед [...], подлежаща на преглед или надзор съгласно националното право на издаващата страна от съд, съдия, магистрат или друг независим орган преди или в рамките на производство, свързано с изпълнението на заповедта“ (220). Трето, всяка заповед трябва „да се основава на изисквания за разумна обосновка, основаваща се на обосновани и достоверни факти, конкретност, законност и сериозност по отношение на разследваното деяние“ (221) и „да бъде насочена към конкретни потребителски профили и в нея да се назовава конкретно лице, потребителски профил, адрес или лично устройство, или друг специфичен идентификатор“ (222). Четвърто, данните, получени по силата на Споразумението, се ползват от защита, равностойна на специфичните гаранции, предоставени съгласно така нареченото „Рамково споразумение между ЕС и САЩ“ (223) — всеобхватно споразумение за защита на личните данни, сключено през декември 2016 г. между ЕС и САЩ, в което са определени гаранциите и правата, приложими при предаването на данни в рамките на сътрудничеството в областта на правоприлагането — които са включени mutatis mutandis в Споразумението между Обединеното кралство и САЩ, най-вече за да бъде отразен специфичният характер на предаването на данни (т.е. предаване от частни оператори към правоприлагащи органи, а не между правоприлагащи органи) (224). В Споразумението между Обединеното кралство и САЩ изрично се предвижда, че защита, равностойна на тази, предоставена съгласно Рамковото споразумение между ЕС и САЩ, ще се прилага „за цялата лична информация, получена при изпълнението на заповеди, предмет на Споразумението, с цел да се осигури равностойна защита“ (225). |
| --- | --- |

(154)

В това отношение следва да се отбележи, че първо, що се отнася до неговия материален обхват, Споразумението е приложимо само за престъпления, които се наказват с лишаване от свобода с максимален срок от поне три години (определени като „тежки престъпления“) (219), включително за „терористична дейност“. Второ, данните, обработвани в друга юрисдикция, могат да бъдат получени съгласно Споразумението само след издаването на „[з]аповед [...], подлежаща на преглед или надзор съгласно националното право на издаващата страна от съд, съдия, магистрат или друг независим орган преди или в рамките на производство, свързано с изпълнението на заповедта“ (220). Трето, всяка заповед трябва „да се основава на изисквания за разумна обосновка, основаваща се на обосновани и достоверни факти, конкретност, законност и сериозност по отношение на разследваното деяние“ (221) и „да бъде насочена към конкретни потребителски профили и в нея да се назовава конкретно лице, потребителски профил, адрес или лично устройство, или друг специфичен идентификатор“ (222). Четвърто, данните, получени по силата на Споразумението, се ползват от защита, равностойна на специфичните гаранции, предоставени съгласно така нареченото „Рамково споразумение между ЕС и САЩ“ (223) — всеобхватно споразумение за защита на личните данни, сключено през декември 2016 г. между ЕС и САЩ, в което са определени гаранциите и правата, приложими при предаването на данни в рамките на сътрудничеството в областта на правоприлагането — които са включени mutatis mutandis в Споразумението между Обединеното кралство и САЩ, най-вече за да бъде отразен специфичният характер на предаването на данни (т.е. предаване от частни оператори към правоприлагащи органи, а не между правоприлагащи органи) (224). В Споразумението между Обединеното кралство и САЩ изрично се предвижда, че защита, равностойна на тази, предоставена съгласно Рамковото споразумение между ЕС и САЩ, ще се прилага „за цялата лична информация, получена при изпълнението на заповеди, предмет на Споразумението, с цел да се осигури равностойна защита“ (225).

219

220

221

222

223

mutatis mutandis

224

225

| (155) | Следователно данните, предавани на американските власти съгласно Споразумението между Обединеното кралство и САЩ, следва да се ползват от защитата, осигурена от правен инструмент на ЕС, с необходимите адаптации, за да бъде отразено естеството на въпросното предаване. Освен това органите на Обединеното кралство са потвърдили, че защитата, предвидена в Рамковото споразумение, ще се прилага за цялата лична информация, предоставена или съхранявана съгласно Споразумението между Обединеното кралство и САЩ, независимо от естеството или типа на органа, отправящ искането (т.е. както от федералните, така и от щатските правоприлагащи органи в САЩ), така че равностойна защита трябва да бъде осигурена във всички случаи. Органите на Обединеното кралство обаче са пояснили също, че подробностите относно конкретното прилагане на гаранциите за защита на данните все още са предмет на обсъждане между Обединеното кралство и САЩ. В контекста на разговорите със службите на Европейската комисия по настоящото решение органите на Обединеното кралство потвърдиха, че ще се съгласят Споразумението да влезе в сила едва след като се убедят, че прилагането му отговаря на предвидените в него законови задължения, включително яснота по отношение на спазването на стандартите за защита на личните данни за всички данни, поискани съгласно Споразумението. Тъй като евентуалното влизане в сила на Споразумението може да повлияе на нивото на защита, оценено в настоящото решение, всяка бъдеща информация и разяснения относно начина, по който САЩ ще изпълняват задълженията си по Споразумението, следва да бъдат изпратени от Обединеното кралство на Европейската комисия незабавно след получаването им и във всеки случаи преди влизането в сила на Споразумението, за да се осигури подходящо наблюдение на настоящото решение в съответствие с член 45, параграф 4 от Регламент (ЕС) 2016/679. Особено внимание ще бъде обърнато на прилагането и адаптирането на защитата, предвидена в Рамковото споразумение, към конкретния вид предаване на данни, обхванато от Споразумението между Обединеното кралство и САЩ. |
| --- | --- |

(155)

Следователно данните, предавани на американските власти съгласно Споразумението между Обединеното кралство и САЩ, следва да се ползват от защитата, осигурена от правен инструмент на ЕС, с необходимите адаптации, за да бъде отразено естеството на въпросното предаване. Освен това органите на Обединеното кралство са потвърдили, че защитата, предвидена в Рамковото споразумение, ще се прилага за цялата лична информация, предоставена или съхранявана съгласно Споразумението между Обединеното кралство и САЩ, независимо от естеството или типа на органа, отправящ искането (т.е. както от федералните, така и от щатските правоприлагащи органи в САЩ), така че равностойна защита трябва да бъде осигурена във всички случаи. Органите на Обединеното кралство обаче са пояснили също, че подробностите относно конкретното прилагане на гаранциите за защита на данните все още са предмет на обсъждане между Обединеното кралство и САЩ. В контекста на разговорите със службите на Европейската комисия по настоящото решение органите на Обединеното кралство потвърдиха, че ще се съгласят Споразумението да влезе в сила едва след като се убедят, че прилагането му отговаря на предвидените в него законови задължения, включително яснота по отношение на спазването на стандартите за защита на личните данни за всички данни, поискани съгласно Споразумението. Тъй като евентуалното влизане в сила на Споразумението може да повлияе на нивото на защита, оценено в настоящото решение, всяка бъдеща информация и разяснения относно начина, по който САЩ ще изпълняват задълженията си по Споразумението, следва да бъдат изпратени от Обединеното кралство на Европейската комисия незабавно след получаването им и във всеки случаи преди влизането в сила на Споразумението, за да се осигури подходящо наблюдение на настоящото решение в съответствие с член 45, параграф 4 от Регламент (ЕС) 2016/679. Особено внимание ще бъде обърнато на прилагането и адаптирането на защитата, предвидена в Рамковото споразумение, към конкретния вид предаване на данни, обхванато от Споразумението между Обединеното кралство и САЩ.

| (156) | В по-общ план всички относими промени, свързани с влизането в сила и прилагането на Споразумението, ще бъдат надлежно взети предвид в контекста на постоянното наблюдение на настоящото решение, включително по отношение на необходимите последици, които трябва да се изведат при наличието на признаци, че вече не се осигурява по същество равностойно ниво на защита. |
| --- | --- |

(156)

В по-общ план всички относими промени, свързани с влизането в сила и прилагането на Споразумението, ще бъдат надлежно взети предвид в контекста на постоянното наблюдение на настоящото решение, включително по отношение на необходимите последици, които трябва да се изведат при наличието на признаци, че вече не се осигурява по същество равностойно ниво на защита.

3.2.3.   Надзор

Надзор

| (157) | В зависимост от правомощията, упражнявани от компетентните органи при обработването на лични данни за целите на правоприлагането (независимо дали съгласно ЗЗД от 2018 г. или на ЗПР от 2016 г.), надзорът над упражняването на тези правомощия се осъществява от различни органи. По-специално Комисарят по информацията надзирава обработването на лични данни, които попадат в обхвата на част 3 от ЗЗД от 2018 г. (226). Независим и съдебен надзор върху упражняването на правомощията за разследване съгласно ЗПР от 2016 г. се осъществява от службата на комисаря по правомощията за разследване (IPCO) (227) (този аспект е разгледан в съображения 250—255). Допълнителен надзор се осигурява също от Парламента и от други органи. |
| --- | --- |

(157)

В зависимост от правомощията, упражнявани от компетентните органи при обработването на лични данни за целите на правоприлагането (независимо дали съгласно ЗЗД от 2018 г. или на ЗПР от 2016 г.), надзорът над упражняването на тези правомощия се осъществява от различни органи. По-специално Комисарят по информацията надзирава обработването на лични данни, които попадат в обхвата на част 3 от ЗЗД от 2018 г. (226). Независим и съдебен надзор върху упражняването на правомощията за разследване съгласно ЗПР от 2016 г. се осъществява от службата на комисаря по правомощията за разследване (IPCO) (227) (този аспект е разгледан в съображения 250—255). Допълнителен надзор се осигурява също от Парламента и от други органи.

226

227

3.2.3.1.   Надзор по отношение на част 3 от ЗЗД от 2018 г.

Надзор по отношение на част 3 от ЗЗД от 2018 г.

| (158) | Общите функции на комисаря по информацията, чиято независимост и организация са обяснени в съображение 87, във връзка с обработването на лични данни, които попадат в обхвата на част 3 от ЗЗД от 2018 г., са определени в приложение 13 към ЗЗД от 2018 г. Основните задачи на комисаря по информацията са осъществяване на наблюдение и привеждане в изпълнение на част 3 от ЗЗД от 2018 г., както и повишаване на обществената осведоменост и предоставяне на консултации на Парламента, правителството и други институции и органи. С цел запазване на независимостта на съдебната власт комисарят по информацията няма право да изпълнява функциите си във връзка с обработването на лични данни чрез лице, действащо в изпълнение на съдебните си функции, или от съд или правораздавателен орган, действащ в изпълнение на съдебните си функции. При тези обстоятелства надзорните функции се упражняват от други органи, както е обяснено в съображения 99—103. |
| --- | --- |

(158)

Общите функции на комисаря по информацията, чиято независимост и организация са обяснени в съображение 87, във връзка с обработването на лични данни, които попадат в обхвата на част 3 от ЗЗД от 2018 г., са определени в приложение 13 към ЗЗД от 2018 г. Основните задачи на комисаря по информацията са осъществяване на наблюдение и привеждане в изпълнение на част 3 от ЗЗД от 2018 г., както и повишаване на обществената осведоменост и предоставяне на консултации на Парламента, правителството и други институции и органи. С цел запазване на независимостта на съдебната власт комисарят по информацията няма право да изпълнява функциите си във връзка с обработването на лични данни чрез лице, действащо в изпълнение на съдебните си функции, или от съд или правораздавателен орган, действащ в изпълнение на съдебните си функции. При тези обстоятелства надзорните функции се упражняват от други органи, както е обяснено в съображения 99—103.

| (159) | Комисарят има общи правомощия за разследване, корективни правомощия, правомощия за даване на разрешения и становища във връзка с обработването на лични данни, за които се прилага част 3. По-специално комисарят има правомощия да уведомява администратора или обработващия лични данни за предполагаемо нарушение на част 3 от ЗЗД от 2018 г., да отправя предупреждения до администратора или обработващия лични данни или да ги порицава, когато са нарушили разпоредбите на част 3 от закона, както и да дава становище, по своя инициатива или при поискване, на Парламента, на правителството или на други институции и органи, както и на обществеността, по всички въпроси, свързани със защитата на личните данни (228). |
| --- | --- |

(159)

Комисарят има общи правомощия за разследване, корективни правомощия, правомощия за даване на разрешения и становища във връзка с обработването на лични данни, за които се прилага част 3. По-специално комисарят има правомощия да уведомява администратора или обработващия лични данни за предполагаемо нарушение на част 3 от ЗЗД от 2018 г., да отправя предупреждения до администратора или обработващия лични данни или да ги порицава, когато са нарушили разпоредбите на част 3 от закона, както и да дава становище, по своя инициатива или при поискване, на Парламента, на правителството или на други институции и органи, както и на обществеността, по всички въпроси, свързани със защитата на личните данни (228).

228

| (160) | Освен това комисарят има правомощия да издава информационни постановления (229), ревизионни постановления (230) и изпълнителни постановления (231), както и правомощия за достъп до документи на администратори и обработващи данни и до техните помещения (232) и за налагане на административни наказания „глоба“ или „имуществена санкция“ под формата на наказателни постановления (233). В политиката на комисаря по информацията за регулаторните действия се определят обстоятелствата, при които комисарят издава съответно информационно, ревизионно, изпълнително и наказателно постановление (234) (вж. също съображение 93 и Директива (ЕС) 2016/680, съображения 101—102 във връзка с решенията относно адекватното ниво на защита). |
| --- | --- |

(160)

Освен това комисарят има правомощия да издава информационни постановления (229), ревизионни постановления (230) и изпълнителни постановления (231), както и правомощия за достъп до документи на администратори и обработващи данни и до техните помещения (232) и за налагане на административни наказания „глоба“ или „имуществена санкция“ под формата на наказателни постановления (233). В политиката на комисаря по информацията за регулаторните действия се определят обстоятелствата, при които комисарят издава съответно информационно, ревизионно, изпълнително и наказателно постановление (234) (вж. също съображение 93 и Директива (ЕС) 2016/680, съображения 101—102 във връзка с решенията относно адекватното ниво на защита).

229

230

231

232

233

234

| (161) | Според последните си годишни доклади (2018—2019 г. (235), 2019—2020 г. (236)) комисарят по информацията проведе редица разследвания и предприе принудителни мерки във връзка с обработването на данни от правоприлагащи органи. Например комисарят проведе разследване и през октомври 2019 г. публикува Становище относно използването в правоприлагането на технологии за разпознаване на лица на обществени места. Разследването е съсредоточено по-специално върху използването на функции за разпознаване на лица на живо от полицията на Южен Уелс и Столичната полицейска служба (MPS). Освен това комисарят по информацията разследва матрицата за бандите (Gangs matrix) (237) на MPS и установи редица сериозни нарушения на законодателството за защита на данните, които има вероятност да подкопаят общественото доверие в матрицата и използването на данните. През ноември 2018 г. комисарят по информацията издаде изпълнително постановление и впоследствие MPS предприе необходимите действия за повишаване на сигурността и отчетността и за гарантиране на пропорционалното използване на данните. Друг пример за скорошно изпълнително действие в тази област е глобата в размер на 325 000 британски лири, наложена от комисаря през май 2018 г. на Кралската прокуратура за загубата на некриптирани DVD дискове, съдържащи записи на полицейски разпити. Освен това комисарят по информацията проведе разследвания по по-широки теми, например през първата половина на 2020 г., относно използването на извличането на данни от мобилни телефони за целите на полицията и обработването на данните на жертвите от полицията. Освен това понастоящем комисарят разследва случай, свързан с достъпа на правоприлагащите органи до данни, съхранявани от частноправен субект, Clearview AI Inc (238). |
| --- | --- |

(161)

Според последните си годишни доклади (2018—2019 г. (235), 2019—2020 г. (236)) комисарят по информацията проведе редица разследвания и предприе принудителни мерки във връзка с обработването на данни от правоприлагащи органи. Например комисарят проведе разследване и през октомври 2019 г. публикува Становище относно използването в правоприлагането на технологии за разпознаване на лица на обществени места. Разследването е съсредоточено по-специално върху използването на функции за разпознаване на лица на живо от полицията на Южен Уелс и Столичната полицейска служба (MPS). Освен това комисарят по информацията разследва матрицата за бандите (Gangs matrix) (237) на MPS и установи редица сериозни нарушения на законодателството за защита на данните, които има вероятност да подкопаят общественото доверие в матрицата и използването на данните. През ноември 2018 г. комисарят по информацията издаде изпълнително постановление и впоследствие MPS предприе необходимите действия за повишаване на сигурността и отчетността и за гарантиране на пропорционалното използване на данните. Друг пример за скорошно изпълнително действие в тази област е глобата в размер на 325 000 британски лири, наложена от комисаря през май 2018 г. на Кралската прокуратура за загубата на некриптирани DVD дискове, съдържащи записи на полицейски разпити. Освен това комисарят по информацията проведе разследвания по по-широки теми, например през първата половина на 2020 г., относно използването на извличането на данни от мобилни телефони за целите на полицията и обработването на данните на жертвите от полицията. Освен това понастоящем комисарят разследва случай, свързан с достъпа на правоприлагащите органи до данни, съхранявани от частноправен субект, Clearview AI Inc (238).

235

236

237

238

| (162) | Освен правомощията за привеждане в изпълнение на комисаря по информацията, описани в съображения 160 и 161, някои нарушения на законодателството за защита на личните данни представляват престъпления и поради това за тях може да се налагат наказания (член 196 от ЗЗД от 2018 г.). Това се отнася например за получаването, разкриването или съхраняването на лични данни без съгласието на администратора и за предоставянето на разкритите лични данни на друго лице без съгласието на администратора (239); реидентифицирането на информация, която представлява деидентифицирани лични данни, без съгласието на администратора, отговарящ за деидентифицирането на личните данни (240); умишленото възпрепятстване на комисаря да упражнява правомощията си за проверката на лични данни в съответствие с международни задължения (241), представянето на неверни данни в отговор на информационно постановление или унищожаването на информация във връзка с информационни и ревизионни постановления (242). |
| --- | --- |

(162)

Освен правомощията за привеждане в изпълнение на комисаря по информацията, описани в съображения 160 и 161, някои нарушения на законодателството за защита на личните данни представляват престъпления и поради това за тях може да се налагат наказания (член 196 от ЗЗД от 2018 г.). Това се отнася например за получаването, разкриването или съхраняването на лични данни без съгласието на администратора и за предоставянето на разкритите лични данни на друго лице без съгласието на администратора (239); реидентифицирането на информация, която представлява деидентифицирани лични данни, без съгласието на администратора, отговарящ за деидентифицирането на личните данни (240); умишленото възпрепятстване на комисаря да упражнява правомощията си за проверката на лични данни в съответствие с международни задължения (241), представянето на неверни данни в отговор на информационно постановление или унищожаването на информация във връзка с информационни и ревизионни постановления (242).

239

240

241

242

3.2.3.2.   Други органи, осъществяващи надзор на правоприлагането в областта на наказателното право

Други органи, осъществяващи надзор на правоприлагането в областта на наказателното право

| (163) | Освен комисаря по информацията, в областта на наказателното правоприлагане има няколко надзорни органа с конкретни правомощия, свързани с въпросите за защита на личните данни. Сред тях са например комисарят по въпросите на съхранението и използването на биометричен материал („комисарят по биометричните въпроси“) (243) и комисарят относно камерите за наблюдение (244). |
| --- | --- |

(163)

Освен комисаря по информацията, в областта на наказателното правоприлагане има няколко надзорни органа с конкретни правомощия, свързани с въпросите за защита на личните данни. Сред тях са например комисарят по въпросите на съхранението и използването на биометричен материал („комисарят по биометричните въпроси“) (243) и комисарят относно камерите за наблюдение (244).

243

244

3.2.3.3.   Парламентарен надзор на правоприлагането в областта на наказателното право

| (164) | Специалната комисия по вътрешните работи осъществява парламентарен надзор в областта на правоприлагането. Тази комисия се състои от 11 членове на парламента от трите най-големи политически партии. Комисията има за задача да извършва преглед на разходите, управлението и политиката на Министерството на вътрешните работи и свързаните с него публични органи, т.е. включително на полицията и на Националната агенция по престъпността, чиято работа комисията може да проверява задълбочено (245). |
| --- | --- |

(164)

Специалната комисия по вътрешните работи осъществява парламентарен надзор в областта на правоприлагането. Тази комисия се състои от 11 членове на парламента от трите най-големи политически партии. Комисията има за задача да извършва преглед на разходите, управлението и политиката на Министерството на вътрешните работи и свързаните с него публични органи, т.е. включително на полицията и на Националната агенция по престъпността, чиято работа комисията може да проверява задълбочено (245).

245

| (165) | Комисията може да избере обекта на своите проверки в рамките на правомощията си, включително да проверява конкретни случаи, стига въпросът да не е предмет на съдебно производство. Комисията може също така да иска писмени доказателства и свидетелски показания от широк кръг групи и лица. Тя изготвя доклади за своите констатации и издава препоръки на правителството (246). Правителството трябва да отговори на всяка от препоръките в доклада в рамките на 60 дни (247). |
| --- | --- |

(165)

Комисията може да избере обекта на своите проверки в рамките на правомощията си, включително да проверява конкретни случаи, стига въпросът да не е предмет на съдебно производство. Комисията може също така да иска писмени доказателства и свидетелски показания от широк кръг групи и лица. Тя изготвя доклади за своите констатации и издава препоръки на правителството (246). Правителството трябва да отговори на всяка от препоръките в доклада в рамките на 60 дни (247).

246

247

| (166) | В областта на наблюдението комисията е изготвила и доклад относно Закона за уреждане на правомощията за разследване от 2000 г. (ЗУПР от 2000 г.) (248), в който заключава, че ЗУПР от 2000 г. не е подходящ за целта. Докладът е взет предвид при замяната на значителни части от ЗРРП от 2000 г. със ЗРП от 2016 г. Пълен списък на проверките може да бъде намерен на уебсайта на комисията (249). |
| --- | --- |

(166)

В областта на наблюдението комисията е изготвила и доклад относно Закона за уреждане на правомощията за разследване от 2000 г. (ЗУПР от 2000 г.) (248), в който заключава, че ЗУПР от 2000 г. не е подходящ за целта. Докладът е взет предвид при замяната на значителни части от ЗРРП от 2000 г. със ЗРП от 2016 г. Пълен списък на проверките може да бъде намерен на уебсайта на комисията (249).

248

249

| (167) | Задачите на Специалната комисия по вътрешните работи се изпълняват в Шотландия от Подкомисията по правосъдие и обществен ред и в Северна Ирландия от Комисията по правосъдие (250). |
| --- | --- |

(167)

Задачите на Специалната комисия по вътрешните работи се изпълняват в Шотландия от Подкомисията по правосъдие и обществен ред и в Северна Ирландия от Комисията по правосъдие (250).

250

3.2.4.   Средства за правна защита

Средства за правна защита

| (168) | Що се отнася до обработването на данни от правоприлагащите органи, механизми за правна защита се предоставят съгласно част 3 от ЗЗД от 2018 г., съгласно ЗПР от 2016 г., както и съгласно Закона за правата на човека от 1998 г. |
| --- | --- |

(168)

Що се отнася до обработването на данни от правоприлагащите органи, механизми за правна защита се предоставят съгласно част 3 от ЗЗД от 2018 г., съгласно ЗПР от 2016 г., както и съгласно Закона за правата на човека от 1998 г.

| (169) | Тези механизми осигуряват на субектите на данни ефективни административни и съдебни средства за правна защита, като им дават възможност по-специално да защитят правата си, включително правото на достъп до личните им данни или правото на коригиране или заличаване на такива данни. |
| --- | --- |

(169)

Тези механизми осигуряват на субектите на данни ефективни административни и съдебни средства за правна защита, като им дават възможност по-специално да защитят правата си, включително правото на достъп до личните им данни или правото на коригиране или заличаване на такива данни.

| (170) | Първо, съгласно член 165 от ЗЗД от 2018 г. субектът на данни има право да подаде жалба до комисаря по информацията, ако смята, че във връзка с личните му данни е извършено нарушение на част 3 от ЗЗД от 2018 г. (251). Комисарят по информацията има правомощието да преценява спазването на ЗЗД от 2018 г. от администратора и обработващия лични данни, да ги задължава да предприемат необходимите действия в случай на неспазване и да налага санкции. |
| --- | --- |

(170)

Първо, съгласно член 165 от ЗЗД от 2018 г. субектът на данни има право да подаде жалба до комисаря по информацията, ако смята, че във връзка с личните му данни е извършено нарушение на част 3 от ЗЗД от 2018 г. (251). Комисарят по информацията има правомощието да преценява спазването на ЗЗД от 2018 г. от администратора и обработващия лични данни, да ги задължава да предприемат необходимите действия в случай на неспазване и да налага санкции.

251

| (171) | Второ, в ЗЗД от 2018 г. се предвижда право на средства за правна защита срещу комисаря по информацията, в случай че той не разгледа по подходящ начин жалба, внесена от субекта на данни. По-конкретно, ако комисарят не постигне „напредък“ (252) по жалба, подадена от субекта на данни, жалбоподателят има достъп до съдебни средства за правна защита, тъй като може да поиска от трибунала от първа инстанция (253) да разпореди на комисаря да предприеме подходящи действия, за да отговори на жалбата, или да информира жалбоподателя за напредъка по жалбата (254). Освен това всяко лице, на което комисарят е издал някое от посочените по-горе постановления (информационно, ревизионно, изпълнително или наказателно постановление), може да го обжалва пред трибунала от първа инстанция. Ако трибуналът сметне, че решението на комисаря е незаконосъобразно или че комисарят по информацията е трябвало да упражни правото си на преценка по различен начин, трибуналът трябва да уважи жалбата или да замени постановлението с друго такова или с решение, което комисарят по информацията е можел да издаде или да постанови (255). |
| --- | --- |

(171)

Второ, в ЗЗД от 2018 г. се предвижда право на средства за правна защита срещу комисаря по информацията, в случай че той не разгледа по подходящ начин жалба, внесена от субекта на данни. По-конкретно, ако комисарят не постигне „напредък“ (252) по жалба, подадена от субекта на данни, жалбоподателят има достъп до съдебни средства за правна защита, тъй като може да поиска от трибунала от първа инстанция (253) да разпореди на комисаря да предприеме подходящи действия, за да отговори на жалбата, или да информира жалбоподателя за напредъка по жалбата (254). Освен това всяко лице, на което комисарят е издал някое от посочените по-горе постановления (информационно, ревизионно, изпълнително или наказателно постановление), може да го обжалва пред трибунала от първа инстанция. Ако трибуналът сметне, че решението на комисаря е незаконосъобразно или че комисарят по информацията е трябвало да упражни правото си на преценка по различен начин, трибуналът трябва да уважи жалбата или да замени постановлението с друго такова или с решение, което комисарят по информацията е можел да издаде или да постанови (255).

252

253

254

255

| (172) | Трето, физическите лица могат да получат съдебна защита срещу администраторите и обработващите лични данни пряко пред съдилищата. По-специално съгласно член 167 от ЗЗД от 2018 г. субектът на данни може да подаде жалба пред съда за нарушаване на негово право съгласно законодателството за защита на данните и съдът може чрез определение да задължи администратора да предприеме (или да се въздържи от предприемането на) действия по отношение на обработването, така че да бъде спазен ЗЗД от 2018 г. Освен това съгласно член 169 от ЗЗД от 2018 г. всяко лице, което е претърпяло вреда поради нарушение на изискване на законодателството за защита на данните (включително на част 3 от ЗЗД от 2018 г.), различно от ОРЗД на Обединеното кралство, има право на обезщетение за тази вреда от администратора или обработващия лични данни, освен ако администраторът или обработващият лични данни докаже, че администраторът или обработващият лични данни по никакъв начин не е отговорен за събитието, причинило вредата. Вредите включват както финансови загуби, така и вреди, които не са свързани с финансови загуби, като например емоционално страдание. |
| --- | --- |

(172)

Трето, физическите лица могат да получат съдебна защита срещу администраторите и обработващите лични данни пряко пред съдилищата. По-специално съгласно член 167 от ЗЗД от 2018 г. субектът на данни може да подаде жалба пред съда за нарушаване на негово право съгласно законодателството за защита на данните и съдът може чрез определение да задължи администратора да предприеме (или да се въздържи от предприемането на) действия по отношение на обработването, така че да бъде спазен ЗЗД от 2018 г. Освен това съгласно член 169 от ЗЗД от 2018 г. всяко лице, което е претърпяло вреда поради нарушение на изискване на законодателството за защита на данните (включително на част 3 от ЗЗД от 2018 г.), различно от ОРЗД на Обединеното кралство, има право на обезщетение за тази вреда от администратора или обработващия лични данни, освен ако администраторът или обработващият лични данни докаже, че администраторът или обработващият лични данни по никакъв начин не е отговорен за събитието, причинило вредата. Вредите включват както финансови загуби, така и вреди, които не са свързани с финансови загуби, като например емоционално страдание.

| (173) | И накрая, всяко лице, което счита, че неговите права, включително правото на неприкосновеност на личния живот и на защита на личните данни, са нарушени от публични органи, може да получи правна защита пред съдилищата на Обединеното кралство съгласно Закона за правата на човека от 1998 г. (256), а след изчерпване на националните средства за правна защита — може да получи правна защита пред Европейския съд по правата на човека за нарушения на правата, гарантирани съгласно Европейската конвенция за правата на човека (257) (вж. съображение 111). |
| --- | --- |

(173)

И накрая, всяко лице, което счита, че неговите права, включително правото на неприкосновеност на личния живот и на защита на личните данни, са нарушени от публични органи, може да получи правна защита пред съдилищата на Обединеното кралство съгласно Закона за правата на човека от 1998 г. (256), а след изчерпване на националните средства за правна защита — може да получи правна защита пред Европейския съд по правата на човека за нарушения на правата, гарантирани съгласно Европейската конвенция за правата на човека (257) (вж. съображение 111).

256

257

3.2.4.1.   Механизми за правна защита, налични съгласно ЗПР от 2016 г.

Механизми за правна защита, налични съгласно ЗПР от 2016 г.

| (174) | Физическите лица могат да получат правна защита във връзка с нарушения на ЗПР от 2016 г. от Трибунала за правомощията за разследване. Възможностите за правна защита, налични съгласно ЗПР от 2016 г., са описани в съображения 263—269 по-долу. |
| --- | --- |

(174)

Физическите лица могат да получат правна защита във връзка с нарушения на ЗПР от 2016 г. от Трибунала за правомощията за разследване. Възможностите за правна защита, налични съгласно ЗПР от 2016 г., са описани в съображения 263—269 по-долу.

3.3.   Достъп и използване от публични органи на Обединеното кралство за целите на националната сигурност

Достъп и използване от публични органи на Обединеното кралство за целите на националната сигурност

| (175) | В правния ред на Обединеното кралство разузнавателните служби, оправомощени да събират електронна информация, съхранявана от администратори или обработващи лични данни, от съображения за национална сигурност, при обстоятелства, които са от значение за адекватното ниво на защита, са Службата за сигурност (MI5) (258), Службата за тайно разузнаване (SIS (259)) и Правителствената централа за комуникации (260)(GCHQ) (261). |
| --- | --- |

(175)

В правния ред на Обединеното кралство разузнавателните служби, оправомощени да събират електронна информация, съхранявана от администратори или обработващи лични данни, от съображения за национална сигурност, при обстоятелства, които са от значение за адекватното ниво на защита, са Службата за сигурност (MI5) (258), Службата за тайно разузнаване (SIS (259)) и Правителствената централа за комуникации (260)(GCHQ) (261).

258

259

260

261

3.3.1.   Правни основания, ограничения и гаранции

Правни основания, ограничения и гаранции

| (176) | В Обединеното кралство правомощията на разузнавателните служби са определени в ЗПР от 2016 г. и в ЗУПР от 2000 г., в които, наред със ЗЗД от 2018 г., са предвидени материалния и личностния обхват на тези правомощия, както и ограниченията и гаранциите за упражняването им. Тези правомощия, както и приложимите към тях ограничения и гаранции са подробно оценени в следващите раздели. |
| --- | --- |

(176)

В Обединеното кралство правомощията на разузнавателните служби са определени в ЗПР от 2016 г. и в ЗУПР от 2000 г., в които, наред със ЗЗД от 2018 г., са предвидени материалния и личностния обхват на тези правомощия, както и ограниченията и гаранциите за упражняването им. Тези правомощия, както и приложимите към тях ограничения и гаранции са подробно оценени в следващите раздели.

3.3.1.1.   Правомощия за разследване, упражнявани в контекста на националната сигурност

Правомощия за разследване, упражнявани в контекста на националната сигурност

| (177) | Правната уредба за упражняването на разследващи правомощия, т.е. на правомощия за прихващане на комуникационни данни, достъп до тях и за намеса в оборудването, се съдържа в ЗПР от 2016 г. Със ЗПР от 2016 г. е въведена обща забрана на използването на техники за достъп до съдържанието на съобщенията, достъп до данни за съобщенията или намеса в оборудването без законно разрешение и тези дейности са криминализирани (262) . Това намира отражение във факта, че упражняването на тези правомощия за разследване е законно само когато се извършва въз основа на заповед или разрешение (263). |
| --- | --- |

(177)

Правната уредба за упражняването на разследващи правомощия, т.е. на правомощия за прихващане на комуникационни данни, достъп до тях и за намеса в оборудването, се съдържа в ЗПР от 2016 г. Със ЗПР от 2016 г. е въведена обща забрана на използването на техники за достъп до съдържанието на съобщенията, достъп до данни за съобщенията или намеса в оборудването без законно разрешение и тези дейности са криминализирани (262) . Това намира отражение във факта, че упражняването на тези правомощия за разследване е законно само когато се извършва въз основа на заповед или разрешение (263).

262

263

| (178) | В ЗПР от 2016 г. се определят подробни правила, уреждащи обхвата и прилагането на правомощията за разследване, както и техните специфични ограничения и гаранции. В зависимост от вида на правомощията за разследване (прихващане на комуникации, получаване и събиране и съхраняване на комуникационни данни и намеса в оборудването) (264), както и от това дали правомощието се упражнява за конкретна цел или масово, се прилагат различни правила. Подробности относно обхвата, гаранциите и ограниченията на всяка мярка, предоставена от ЗПР от 2016 г., са описани в специалния раздел по-долу. |
| --- | --- |

(178)

В ЗПР от 2016 г. се определят подробни правила, уреждащи обхвата и прилагането на правомощията за разследване, както и техните специфични ограничения и гаранции. В зависимост от вида на правомощията за разследване (прихващане на комуникации, получаване и събиране и съхраняване на комуникационни данни и намеса в оборудването) (264), както и от това дали правомощието се упражнява за конкретна цел или масово, се прилагат различни правила. Подробности относно обхвата, гаранциите и ограниченията на всяка мярка, предоставена от ЗПР от 2016 г., са описани в специалния раздел по-долу.

264

| (179) | ЗПР от 2016 г. е допълнен с редица нормативно приети кодекси за поведение, издадени от министъра, одобрени от двете камари на Парламента (265) и приложими на територията на цялата държава, в които се дават насоки за упражняването на тези правомощия (266). Субектите на данни могат да разчитат пряко на разпоредбите на ЗПР от 2016 г., за да упражняват правата си, а точка 5 от приложение 7 към ЗПР от 2016 г. уточнява, че кодексите за поведение са допустими като доказателство в граждански и наказателни производства, а съдът, трибуналът или надзорният орган могат да вземат предвид всяко неспазване на кодексите при решаването на свързан с тях въпрос в съдебното производство (267). В контекста на своята оценка на „качеството на законодателството“ на предишното законодателство на Обединеното кралство в областта на наблюдението, ЗУПР от 2000 г., големият състав на Европейския съд по правата на човека изрично призна значението на кодексите за поведение на Обединеното кралство и прие, че техните разпоредби могат да бъдат взети предвид при оценката на предвидимостта на законодателството, позволяващо наблюдението (268). |
| --- | --- |

(179)

ЗПР от 2016 г. е допълнен с редица нормативно приети кодекси за поведение, издадени от министъра, одобрени от двете камари на Парламента (265) и приложими на територията на цялата държава, в които се дават насоки за упражняването на тези правомощия (266). Субектите на данни могат да разчитат пряко на разпоредбите на ЗПР от 2016 г., за да упражняват правата си, а точка 5 от приложение 7 към ЗПР от 2016 г. уточнява, че кодексите за поведение са допустими като доказателство в граждански и наказателни производства, а съдът, трибуналът или надзорният орган могат да вземат предвид всяко неспазване на кодексите при решаването на свързан с тях въпрос в съдебното производство (267). В контекста на своята оценка на „качеството на законодателството“ на предишното законодателство на Обединеното кралство в областта на наблюдението, ЗУПР от 2000 г., големият състав на Европейския съд по правата на човека изрично призна значението на кодексите за поведение на Обединеното кралство и прие, че техните разпоредби могат да бъдат взети предвид при оценката на предвидимостта на законодателството, позволяващо наблюдението (268).

265

266

267

268

| (180) | Следва също така да се отбележи, че службите за национална сигурност и някои правоприлагащи органи имат целеви правомощия (за целево прихващане (269), събиране на комуникационни данни (270), съхраняване на комуникационни данни (271) и целева намеса в оборудването (272)), докато само разузнавателните служби (273) може да упражняват правомощия, свързани с масиви от данни (т.е. масово прихващане (274), масово събиране на комуникационни данни (275), масова намеса в оборудването (276) и големи масиви от лични данни (277)). |
| --- | --- |

(180)

Следва също така да се отбележи, че службите за национална сигурност и някои правоприлагащи органи имат целеви правомощия (за целево прихващане (269), събиране на комуникационни данни (270), съхраняване на комуникационни данни (271) и целева намеса в оборудването (272)), докато само разузнавателните служби (273) може да упражняват правомощия, свързани с масиви от данни (т.е. масово прихващане (274), масово събиране на комуникационни данни (275), масова намеса в оборудването (276) и големи масиви от лични данни (277)).

269

270

271

272

273

274

275

276

277

| (181) | Когато взема решение кое разследващо правомощие следва да бъде упражнено, разузнавателната служба трябва да се съобразява с „общите задължения във връзка с неприкосновеността на личния живот“, изброени в член 2, параграф 2, буква а) от ЗПР от 2016 г., които включват проверка за необходимост и пропорционалност. По-конкретно по смисъла на тази разпоредба публичен орган, който възнамерява да упражнява правомощие за разследване, трябва да прецени i) дали това, което се цели да бъде постигнато със заповедта, разрешението или постановлението, е практически възможно да бъде постигнато с други средства, които предполагат по-малка намеса; ii) дали нивото на защита, което трябва да се прилага във връзка с всяко получаване на информация по силата на заповедта, разрешението или постановлението, е по-високо поради особената чувствителност на тази информация; iii) обществения интерес от целостта и сигурността на далекосъобщителните системи и на пощенските услуги, и iv) всички други аспекти на обществения интерес от защитата на правото на неприкосновеност на личния живот (278). |
| --- | --- |

(181)

Когато взема решение кое разследващо правомощие следва да бъде упражнено, разузнавателната служба трябва да се съобразява с „общите задължения във връзка с неприкосновеността на личния живот“, изброени в член 2, параграф 2, буква а) от ЗПР от 2016 г., които включват проверка за необходимост и пропорционалност. По-конкретно по смисъла на тази разпоредба публичен орган, който възнамерява да упражнява правомощие за разследване, трябва да прецени i) дали това, което се цели да бъде постигнато със заповедта, разрешението или постановлението, е практически възможно да бъде постигнато с други средства, които предполагат по-малка намеса; ii) дали нивото на защита, което трябва да се прилага във връзка с всяко получаване на информация по силата на заповедта, разрешението или постановлението, е по-високо поради особената чувствителност на тази информация; iii) обществения интерес от целостта и сигурността на далекосъобщителните системи и на пощенските услуги, и iv) всички други аспекти на обществения интерес от защитата на правото на неприкосновеност на личния живот (278).

278

| (182) | Начинът, по който следва да се прилагат тези критерии, както и начинът, по който се оценява тяхното съответствие като част от разрешението за упражняване на такива правомощия от министъра и от независимите съдебни комисари, са допълнително уточнени в съответните кодекси за поведение. По-специално упражняването на всяко от тези разследващи правомощия трябва винаги да бъде „пропорционално на това, което се цели да бъде постигнато, [което] предполага да се намери баланс между сериозността на намесата в личния живот (и другите съображения, посочени в член 2, параграф 2) и необходимостта от дейността от гледна точка на разследването, оперативната дейност или способностите“. Това означава по-специално, че упражняването на правомощието „следва да предлага реална възможност за постигане на очакваната полза и не следва да е непропорционално или произволно“, както и че „намесата в личния живот не следва да се счита за пропорционална, ако търсената информация е практически възможно да бъде получена с други средства, които предполагат по-малка намеса“ (279). По-конкретно спазването на принципа на пропорционалност трябва да се оценява, като се вземат предвид следните критерии: „i) обема на предложената намеса в личния живот спрямо това, което се цели да бъде постигнато; ii) как и защо методите, които ще бъдат възприети, ще доведат до възможно най-малка намеса по отношение на лицето и на други лица; iii) дали дейността представлява подходящо използване на закона и разумен начин за постигане на това, което се цели да бъде постигнато, като се вземат предвид всички разумни алтернативи; iv) какви други методи, според случая, са или не са били приложени, или са били използвани, но са оценени като недостатъчни за постигане на оперативните цели без упражняване на предложеното правомощие за разследване“ (280). |
| --- | --- |

(182)

Начинът, по който следва да се прилагат тези критерии, както и начинът, по който се оценява тяхното съответствие като част от разрешението за упражняване на такива правомощия от министъра и от независимите съдебни комисари, са допълнително уточнени в съответните кодекси за поведение. По-специално упражняването на всяко от тези разследващи правомощия трябва винаги да бъде „пропорционално на това, което се цели да бъде постигнато, [което] предполага да се намери баланс между сериозността на намесата в личния живот (и другите съображения, посочени в член 2, параграф 2) и необходимостта от дейността от гледна точка на разследването, оперативната дейност или способностите“. Това означава по-специално, че упражняването на правомощието „следва да предлага реална възможност за постигане на очакваната полза и не следва да е непропорционално или произволно“, както и че „намесата в личния живот не следва да се счита за пропорционална, ако търсената информация е практически възможно да бъде получена с други средства, които предполагат по-малка намеса“ (279). По-конкретно спазването на принципа на пропорционалност трябва да се оценява, като се вземат предвид следните критерии: „i) обема на предложената намеса в личния живот спрямо това, което се цели да бъде постигнато; ii) как и защо методите, които ще бъдат възприети, ще доведат до възможно най-малка намеса по отношение на лицето и на други лица; iii) дали дейността представлява подходящо използване на закона и разумен начин за постигане на това, което се цели да бъде постигнато, като се вземат предвид всички разумни алтернативи; iv) какви други методи, според случая, са или не са били приложени, или са били използвани, но са оценени като недостатъчни за постигане на оперативните цели без упражняване на предложеното правомощие за разследване“ (280).

279

280

| (183) | На практика, както е обяснено от органите на Обединеното кралство, това гарантира, че дадена разузнавателна служба първо определя оперативната цел (като по този начин ограничава събирането, напр. за цел, свързана с борбата с международния тероризъм в определен географски район) и след това, въз основа на тази оперативна цел, трябва да прецени коя техническа възможност (напр. целево прихващане или масово прихващане, намеса в оборудването, събиране на комуникационни данни) е най-пропорционална (т.е. води до най-малка намеса в личния живот; вж. член 2, параграф 2 от ЗПР) на това, което се цели да бъде постигнато, и следователно може да бъде разрешена на едно от съществуващите законови основания. |
| --- | --- |

(183)

На практика, както е обяснено от органите на Обединеното кралство, това гарантира, че дадена разузнавателна служба първо определя оперативната цел (като по този начин ограничава събирането, напр. за цел, свързана с борбата с международния тероризъм в определен географски район) и след това, въз основа на тази оперативна цел, трябва да прецени коя техническа възможност (напр. целево прихващане или масово прихващане, намеса в оборудването, събиране на комуникационни данни) е най-пропорционална (т.е. води до най-малка намеса в личния живот; вж. член 2, параграф 2 от ЗПР) на това, което се цели да бъде постигнато, и следователно може да бъде разрешена на едно от съществуващите законови основания.

| (184) | Струва си да се отбележи, че това стъпване на стандартите за необходимост и пропорционалност е отбелязано и приветствано и от специалния докладчик на ООН за правото на неприкосновеност на личния живот Джоузеф Канатаци, който заявява във връзка със системата, създадена със ЗПР от 2016 г., че „въведените както в разузнавателните служби, така и в правоприлагащите органи процедури, изглежда, систематично изискват разглеждане на необходимостта и пропорционалността на дадена мярка за наблюдение или операция, преди тя да бъде препоръчана за одобрение, както и проверка на мярката или дейността на същото основание“ (281). Той също така отбелязва, че при срещата си с представители на правоприлагащите органи и службите за национална сигурност „е получил единодушното мнение, че правото на неприкосновеност на личния живот трябва да бъде първостепенно съображение при всяко решение относно мерки за наблюдение. Всички те разбират и оценяват необходимостта и пропорционалността като основни принципи, които трябва да се вземат под внимание“. |
| --- | --- |

(184)

Струва си да се отбележи, че това стъпване на стандартите за необходимост и пропорционалност е отбелязано и приветствано и от специалния докладчик на ООН за правото на неприкосновеност на личния живот Джоузеф Канатаци, който заявява във връзка със системата, създадена със ЗПР от 2016 г., че „въведените както в разузнавателните служби, така и в правоприлагащите органи процедури, изглежда, систематично изискват разглеждане на необходимостта и пропорционалността на дадена мярка за наблюдение или операция, преди тя да бъде препоръчана за одобрение, както и проверка на мярката или дейността на същото основание“ (281). Той също така отбелязва, че при срещата си с представители на правоприлагащите органи и службите за национална сигурност „е получил единодушното мнение, че правото на неприкосновеност на личния живот трябва да бъде първостепенно съображение при всяко решение относно мерки за наблюдение. Всички те разбират и оценяват необходимостта и пропорционалността като основни принципи, които трябва да се вземат под внимание“.

281

| (185) | Конкретните критерии за издаване на различните заповеди, както и ограниченията и гаранциите, предвидени в ЗПР от 2016 г. по отношение на всяко правомощие за разследване, са подробно описани в съображения 186—243. |
| --- | --- |

(185)

Конкретните критерии за издаване на различните заповеди, както и ограниченията и гаранциите, предвидени в ЗПР от 2016 г. по отношение на всяко правомощие за разследване, са подробно описани в съображения 186—243.

3.3.1.1.1.   Целево прихващане и преглед

| (186) | Съществуват три вида заповеди за целево прихващане: заповед за целево прихващане (282), заповед за целеви преглед и заповед за взаимопомощ (283). Условията за тяхното получаване и съответните гаранции са посочени в част 2, глава 1 от ЗПР от 2016 г. |
| --- | --- |

(186)

Съществуват три вида заповеди за целево прихващане: заповед за целево прихващане (282), заповед за целеви преглед и заповед за взаимопомощ (283). Условията за тяхното получаване и съответните гаранции са посочени в част 2, глава 1 от ЗПР от 2016 г.

282

283

| (187) | Със заповедта за целево прихващане се разрешава прихващането на комуникациите, описани в заповедта, в процеса на тяхното предаване, както и получаването на други данни, свързани с тези комуникации (284), включително вторични данни (285). Със заповедта за целеви преглед се упълномощава определено лице да извърши подбор на прихванато съдържание, получено по заповед за масово прихващане, за целите на прегледа (286). |
| --- | --- |

(187)

Със заповедта за целево прихващане се разрешава прихващането на комуникациите, описани в заповедта, в процеса на тяхното предаване, както и получаването на други данни, свързани с тези комуникации (284), включително вторични данни (285). Със заповедта за целеви преглед се упълномощава определено лице да извърши подбор на прихванато съдържание, получено по заповед за масово прихващане, за целите на прегледа (286).

284

285

286

| (188) | Всяка заповед по смисъла на част 2 от ЗПР от 2016 г. може да бъде издадена от министъра (287) и одобрена от съдебен комисар (288). Във всички случаи срокът на действие на всякакъв вид заповеди за целево действие е ограничен до 6 месеца (289), а по отношение на изменението (290) и подновяването на заповедта (291) се прилагат конкретни правила. |
| --- | --- |

(188)

Всяка заповед по смисъла на част 2 от ЗПР от 2016 г. може да бъде издадена от министъра (287) и одобрена от съдебен комисар (288). Във всички случаи срокът на действие на всякакъв вид заповеди за целево действие е ограничен до 6 месеца (289), а по отношение на изменението (290) и подновяването на заповедта (291) се прилагат конкретни правила.

287

288

289

290

291

| (189) | Преди да издаде заповедта министърът на Обединеното кралство трябва да извърши оценка на необходимостта и пропорционалността. (292). По-специално по отношение на заповед за целево прихващане и заповед за целеви преглед министърът следва да провери дали мярката е необходима на едно от следните основания: тя е в интерес на националната сигурност; прилага се за предотвратяване или разкриване на тежко престъпление; или в интерес на икономическото благосъстояние на Обединеното кралство (293), доколкото този интерес е от значение и за интересите на националната сигурност (294). От друга страна, заповед за взаимопомощ (вж. съображение 139 по-горе) може да бъде издадена само ако министърът прецени, че съществуват обстоятелства, равностойни на тези, при които би издал заповед с цел предотвратяване и/или разкриване на тежко престъпление (295). |
| --- | --- |

(189)

Преди да издаде заповедта министърът на Обединеното кралство трябва да извърши оценка на необходимостта и пропорционалността. (292). По-специално по отношение на заповед за целево прихващане и заповед за целеви преглед министърът следва да провери дали мярката е необходима на едно от следните основания: тя е в интерес на националната сигурност; прилага се за предотвратяване или разкриване на тежко престъпление; или в интерес на икономическото благосъстояние на Обединеното кралство (293), доколкото този интерес е от значение и за интересите на националната сигурност (294). От друга страна, заповед за взаимопомощ (вж. съображение 139 по-горе) може да бъде издадена само ако министърът прецени, че съществуват обстоятелства, равностойни на тези, при които би издал заповед с цел предотвратяване и/или разкриване на тежко престъпление (295).

292

293

294

295

| (190) | Освен това министърът следва да прецени дали мярката е пропорционална на това, което се цели да бъде постигнато (296). Когато се оценява пропорционалността на исканите мерки, трябва да се вземат предвид общите задължения по отношение на неприкосновеността на личния живот, изложени в член 2, параграф 2 от ЗПР от 2016 г., по-специално необходимостта да се оцени дали това, което се цели да бъде постигнато със заповедта, разрешението или постановлението, е практически възможно да бъде постигнато с други средства, които предполагат по-малка намеса, и дали нивото на защита, което трябва да се прилага във връзка с всяко получаване на информация по силата на заповедта, разрешението или постановлението, е по-високо поради особената чувствителност на тази информация (вж. съображение 181 по-горе). |
| --- | --- |

(190)

Освен това министърът следва да прецени дали мярката е пропорционална на това, което се цели да бъде постигнато (296). Когато се оценява пропорционалността на исканите мерки, трябва да се вземат предвид общите задължения по отношение на неприкосновеността на личния живот, изложени в член 2, параграф 2 от ЗПР от 2016 г., по-специално необходимостта да се оцени дали това, което се цели да бъде постигнато със заповедта, разрешението или постановлението, е практически възможно да бъде постигнато с други средства, които предполагат по-малка намеса, и дали нивото на защита, което трябва да се прилага във връзка с всяко получаване на информация по силата на заповедта, разрешението или постановлението, е по-високо поради особената чувствителност на тази информация (вж. съображение 181 по-горе).

296

| (191) | За тази цел ще се наложи министърът да вземе предвид всички елементи на заявлението, представено от подалия искането орган, по-специално свързаните с лицата, които трябва да бъдат прихванати, и със значението на мярката за разследването. Такива елементи са посочени в Кодекса за поведение относно прихващането на комуникация и трябва да бъдат описани с определена степен на конкретност (297). Освен това съгласно член 17 от ЗПР от 2016 г. във всяка заповед, издадена съгласно глава 2 от него, трябва да се назовава или описва конкретното лице или група лица, организация или помещения, спрямо които ще се извършва прихващане (т.е. „обектът“). Когато заповедта е за целево прихващане или за целеви преглед, тя може да се отнася и до група лица, до повече от едно лице или една организация или до повече от една група помещения (наричана също „тематична заповед“) (298). В тези случаи в заповедта следва да бъде описана общата цел или дейност на групата лица или на операцията/разследванията и да се назоват или опишат колкото е възможно повече от тези лица/организации или групи от помещения, когато това е практически осъществимо (299). И накрая, във всички заповеди, издадени съгласно част 2 от ЗПР от 2016 г., трябва да се посочват адресите, номерата, апаратурата, факторите или комбинацията от фактори, които ще се използват за идентифициране на комуникациите (300). В това отношение в Кодекса за поведение относно прихващането на комуникация се уточнява, че в случай на заповед за целево прихващане и заповед за целеви преглед „в заповедта трябва да се посочват (или описват) факторите или комбинацията от фактори, които ще се използват за идентифициране на комуникациите. Когато комуникациите ще се идентифицират чрез позоваване (например) на телефонен номер, номерът трябва да бъде посочен в неговата цялост. Когато обаче за идентифициране на комуникациите ще се използват много сложни или непрекъснато променящи се интернет превключватели, те следва да бъдат описани, доколкото е възможно“ (301). |
| --- | --- |

(191)

За тази цел ще се наложи министърът да вземе предвид всички елементи на заявлението, представено от подалия искането орган, по-специално свързаните с лицата, които трябва да бъдат прихванати, и със значението на мярката за разследването. Такива елементи са посочени в Кодекса за поведение относно прихващането на комуникация и трябва да бъдат описани с определена степен на конкретност (297). Освен това съгласно член 17 от ЗПР от 2016 г. във всяка заповед, издадена съгласно глава 2 от него, трябва да се назовава или описва конкретното лице или група лица, организация или помещения, спрямо които ще се извършва прихващане (т.е. „обектът“). Когато заповедта е за целево прихващане или за целеви преглед, тя може да се отнася и до група лица, до повече от едно лице или една организация или до повече от една група помещения (наричана също „тематична заповед“) (298). В тези случаи в заповедта следва да бъде описана общата цел или дейност на групата лица или на операцията/разследванията и да се назоват или опишат колкото е възможно повече от тези лица/организации или групи от помещения, когато това е практически осъществимо (299). И накрая, във всички заповеди, издадени съгласно част 2 от ЗПР от 2016 г., трябва да се посочват адресите, номерата, апаратурата, факторите или комбинацията от фактори, които ще се използват за идентифициране на комуникациите (300). В това отношение в Кодекса за поведение относно прихващането на комуникация се уточнява, че в случай на заповед за целево прихващане и заповед за целеви преглед „в заповедта трябва да се посочват (или описват) факторите или комбинацията от фактори, които ще се използват за идентифициране на комуникациите. Когато комуникациите ще се идентифицират чрез позоваване (например) на телефонен номер, номерът трябва да бъде посочен в неговата цялост. Когато обаче за идентифициране на комуникациите ще се използват много сложни или непрекъснато променящи се интернет превключватели, те следва да бъдат описани, доколкото е възможно“ (301).

297

298

299

300

301

| (192) | Важна гаранция в този контекст е, че оценката, извършена от министъра за целите на издаването на заповед, трябва да бъде одобрена от независим съдебен комисар (302), който проверява по-специално дали решението за издаване на заповедта отговаря на принципите на необходимост и пропорционалност (303) (във връзка със статута и ролята на съдебните комисари вж. съображения 251—256 по-долу). В ЗПР от 2016 г. също така е пояснено, че при извършване на такава проверка съдебният комисар трябва да прилага същите принципи, каквито биха били приложени от съда във връзка с молба за съдебен контрол (304). По този начин се гарантира, че във всеки отделен случай и преди да се осъществи достъп до данните, спазването на принципа на необходимост и пропорционалност се проверява систематично от независим орган. |
| --- | --- |

(192)

Важна гаранция в този контекст е, че оценката, извършена от министъра за целите на издаването на заповед, трябва да бъде одобрена от независим съдебен комисар (302), който проверява по-специално дали решението за издаване на заповедта отговаря на принципите на необходимост и пропорционалност (303) (във връзка със статута и ролята на съдебните комисари вж. съображения 251—256 по-долу). В ЗПР от 2016 г. също така е пояснено, че при извършване на такава проверка съдебният комисар трябва да прилага същите принципи, каквито биха били приложени от съда във връзка с молба за съдебен контрол (304). По този начин се гарантира, че във всеки отделен случай и преди да се осъществи достъп до данните, спазването на принципа на необходимост и пропорционалност се проверява систематично от независим орган.

302

303

304

| (193) | В ЗПР от 2016 г. се предвиждат малко конкретни и ограничени изключения за извършване на целенасочени прихващания без заповед. Тези ограничени случаи са подробно описани в закона (305) и, с изключение на случаите, които се основават на „съгласие“ на изпращача/получателя, те се извършват от лица (физически лица или публични органи), различни от службите за национална сигурност. Освен това този вид прихващане се извършва за цели, различни от събирането на „разузнавателна информация“ (306), и в някои случи е много малко вероятно събирането да се извърши в контекста на сценарий на „предаване“ (например в случай на прихващане, извършено в психиатрична болница или в затвор). Като се има предвид естеството на органа, за който се отнасят тези специфични случаи (различен от службите за национална сигурност), ще се прилагат всички гаранции, предвидени в част 2 от ЗЗД от 2018 г. и ОРЗД на Обединеното кралство, включително надзора на комисаря по информацията и наличните механизми за правна защита. Освен това в допълнение към гаранциите, предоставени от ЗЗД от 2018 г., в някои случаи ЗПР от 2016 г. предвижда и последващ надзор от страна на IPCO (307). |
| --- | --- |

(193)

В ЗПР от 2016 г. се предвиждат малко конкретни и ограничени изключения за извършване на целенасочени прихващания без заповед. Тези ограничени случаи са подробно описани в закона (305) и, с изключение на случаите, които се основават на „съгласие“ на изпращача/получателя, те се извършват от лица (физически лица или публични органи), различни от службите за национална сигурност. Освен това този вид прихващане се извършва за цели, различни от събирането на „разузнавателна информация“ (306), и в някои случи е много малко вероятно събирането да се извърши в контекста на сценарий на „предаване“ (например в случай на прихващане, извършено в психиатрична болница или в затвор). Като се има предвид естеството на органа, за който се отнасят тези специфични случаи (различен от службите за национална сигурност), ще се прилагат всички гаранции, предвидени в част 2 от ЗЗД от 2018 г. и ОРЗД на Обединеното кралство, включително надзора на комисаря по информацията и наличните механизми за правна защита. Освен това в допълнение към гаранциите, предоставени от ЗЗД от 2018 г., в някои случаи ЗПР от 2016 г. предвижда и последващ надзор от страна на IPCO (307).

305

306

307

| (194) | Когато се извършва прихващане, се прилагат допълнителни ограничения и гаранции с оглед на специфичния статут на засегнатото(ите) лице(а) (308). Например, прихващането на отделни съобщения, които са обект на адвокатска тайна, се разрешава само при извънредни и наложителни обстоятелства, а лицето, което издава заповедта, трябва да вземе предвид обществения интерес от поверителността на пратките, които са обект на адвокатска тайна, и специфичните изисквания по отношение на обработването, съхраняването и разкриването на такива материали (309). |
| --- | --- |

(194)

Когато се извършва прихващане, се прилагат допълнителни ограничения и гаранции с оглед на специфичния статут на засегнатото(ите) лице(а) (308). Например, прихващането на отделни съобщения, които са обект на адвокатска тайна, се разрешава само при извънредни и наложителни обстоятелства, а лицето, което издава заповедта, трябва да вземе предвид обществения интерес от поверителността на пратките, които са обект на адвокатска тайна, и специфичните изисквания по отношение на обработването, съхраняването и разкриването на такива материали (309).

308

309

| (195) | Освен това в ЗПР от 2016 г. са предвидени специфични гаранции, свързани със сигурността, съхраняването и разкриването, които министърът следва да вземе предвид, преди да издаде заповед за целево действие (310). По-специално съгласно член 53, параграф 5 от ЗПР от 2016 г. всяко направено копие на който и да е от материалите, събрани по силата на заповедта, трябва да се съхранява по сигурен начин и да бъде унищожено веднага след отпадането на съответните основания за съхраняването му, а съгласно член 53, параграф 2 от ЗПР от 2016 г. броят на лицата, на които се разкрива материалът, и степента на разкриването, предоставянето или копирането на материала трябва да бъдат ограничени до необходимия минимум за постигането на законоустановените цели. |
| --- | --- |

(195)

Освен това в ЗПР от 2016 г. са предвидени специфични гаранции, свързани със сигурността, съхраняването и разкриването, които министърът следва да вземе предвид, преди да издаде заповед за целево действие (310). По-специално съгласно член 53, параграф 5 от ЗПР от 2016 г. всяко направено копие на който и да е от материалите, събрани по силата на заповедта, трябва да се съхранява по сигурен начин и да бъде унищожено веднага след отпадането на съответните основания за съхраняването му, а съгласно член 53, параграф 2 от ЗПР от 2016 г. броят на лицата, на които се разкрива материалът, и степента на разкриването, предоставянето или копирането на материала трябва да бъдат ограничени до необходимия минимум за постигането на законоустановените цели.

310

| (196) | И накрая, когато материалът, който е прихванат въз основа на заповед за целево прихващане или на заповед за взаимопомощ, трябва да бъде предаден на трета държава („разкриване в чужбина“), в ЗПР от 2016 г. се предвижда, че министърът трябва да се увери, че са налице подходящи договорености, които да гарантират, че в тази трета държава съществуват подобни гаранции за сигурност, съхраняване и разкриване (311). В допълнение член 109, параграф 2 от ЗЗД от 2018 г. предвижда, че разузнавателните служби могат да предават лични данни извън територията на Обединеното кралство само ако предаването е необходима и пропорционална мярка за целите на законоустановените функции на администратора или за други цели, предвидени в член 2, параграф 2, буква а) от Закона за службите за сигурност от 1989 г. или в член 2, параграф 2, буква а) и член 4, параграф 2, буква а) от Закона за разузнавателните служби от 1994 г. (312) Важно е да се отбележи, че тези изисквания се прилагат и в случаите, когато се прави позоваване на изключението във връзка с националната сигурност съгласно член 110 от ЗЗД от 2018 г., тъй като в него не е посочен член 109 от ЗЗД от 2018 г. като една от разпоредбите, която може да не се прилага, ако се изисква освобождаване от определени разпоредби с цел опазване на националната сигурност. |
| --- | --- |

(196)

И накрая, когато материалът, който е прихванат въз основа на заповед за целево прихващане или на заповед за взаимопомощ, трябва да бъде предаден на трета държава („разкриване в чужбина“), в ЗПР от 2016 г. се предвижда, че министърът трябва да се увери, че са налице подходящи договорености, които да гарантират, че в тази трета държава съществуват подобни гаранции за сигурност, съхраняване и разкриване (311). В допълнение член 109, параграф 2 от ЗЗД от 2018 г. предвижда, че разузнавателните служби могат да предават лични данни извън територията на Обединеното кралство само ако предаването е необходима и пропорционална мярка за целите на законоустановените функции на администратора или за други цели, предвидени в член 2, параграф 2, буква а) от Закона за службите за сигурност от 1989 г. или в член 2, параграф 2, буква а) и член 4, параграф 2, буква а) от Закона за разузнавателните служби от 1994 г. (312) Важно е да се отбележи, че тези изисквания се прилагат и в случаите, когато се прави позоваване на изключението във връзка с националната сигурност съгласно член 110 от ЗЗД от 2018 г., тъй като в него не е посочен член 109 от ЗЗД от 2018 г. като една от разпоредбите, която може да не се прилага, ако се изисква освобождаване от определени разпоредби с цел опазване на националната сигурност.

311

312

3.3.1.1.2.   Целево събиране и съхраняване на комуникационни данни

| (197) | ЗПР от 2016 г. позволява на министъра да изисква от операторите на далекосъобщителни мрежи да съхраняват комуникационни данни с оглед осъществяването на целеви достъп от страна на редица публични органи, включително правоприлагащи органи и разузнавателни служби. В част 4 от ЗПР от 2016 г. е уредено съхраняването на комуникационни данни, а в част 3 се съдържат разпоредби относно целевото събиране на комуникационни данни. В част 3 и част 4 от ЗПР от 2016 г. са определени също специфични ограничения за упражняването на тези правомощия и са предвидени специфични гаранции. |
| --- | --- |

(197)

ЗПР от 2016 г. позволява на министъра да изисква от операторите на далекосъобщителни мрежи да съхраняват комуникационни данни с оглед осъществяването на целеви достъп от страна на редица публични органи, включително правоприлагащи органи и разузнавателни служби. В част 4 от ЗПР от 2016 г. е уредено съхраняването на комуникационни данни, а в част 3 се съдържат разпоредби относно целевото събиране на комуникационни данни. В част 3 и част 4 от ЗПР от 2016 г. са определени също специфични ограничения за упражняването на тези правомощия и са предвидени специфични гаранции.

| (198) | Терминът „комуникационни данни“ обхваща кой, кога, къде и как е осъществил комуникацията, но не и нейното съдържание, т.е. какво е казано или написано. За разлика от прихващането, получаването и съхраняването на данни за съобщенията не е насочено към получаване на съдържанието на съобщението, а към получаване на информация например за абоната на телефонна услуга или подробна фактура. Това може да включва времето и продължителността на съобщението, номера или адреса на електронната поща на изпращача и получателя, а понякога и местоположението на устройствата, от които са осъществени електронните съобщения (313). |
| --- | --- |

(198)

Терминът „комуникационни данни“ обхваща кой, кога, къде и как е осъществил комуникацията, но не и нейното съдържание, т.е. какво е казано или написано. За разлика от прихващането, получаването и съхраняването на данни за съобщенията не е насочено към получаване на съдържанието на съобщението, а към получаване на информация например за абоната на телефонна услуга или подробна фактура. Това може да включва времето и продължителността на съобщението, номера или адреса на електронната поща на изпращача и получателя, а понякога и местоположението на устройствата, от които са осъществени електронните съобщения (313).

313

| (199) | Следва да се отбележи, че съхраняването и събирането на комуникационни данни обикновено не засяга лични данни на субекти на данни от ЕС, предадени съгласно настоящото решение на Обединеното кралство. Задължението за съхраняване или разкриване на комуникационни данни съгласно части 3 и 4 от ЗПР от 2016 г. обхваща данни, които се събират от оператори на далекосъобщителни мрежи в Обединеното кралство директно от потребителите на далекосъобщителна услуга (314). Този тип „насочено към потребителя“ обработване обикновено не включва предаване въз основа на настоящото решение, т.е. предаване от администратор/обработващ в ЕС към администратор/обработващ в Обединеното кралство. |
| --- | --- |

(199)

Следва да се отбележи, че съхраняването и събирането на комуникационни данни обикновено не засяга лични данни на субекти на данни от ЕС, предадени съгласно настоящото решение на Обединеното кралство. Задължението за съхраняване или разкриване на комуникационни данни съгласно части 3 и 4 от ЗПР от 2016 г. обхваща данни, които се събират от оператори на далекосъобщителни мрежи в Обединеното кралство директно от потребителите на далекосъобщителна услуга (314). Този тип „насочено към потребителя“ обработване обикновено не включва предаване въз основа на настоящото решение, т.е. предаване от администратор/обработващ в ЕС към администратор/обработващ в Обединеното кралство.

314

| (200) | За целите на изчерпателността обаче условията и гаранциите, уреждащи тези режими на събиране и съхраняване, са описани по-долу. |
| --- | --- |

(200)

За целите на изчерпателността обаче условията и гаранциите, уреждащи тези режими на събиране и съхраняване, са описани по-долу.

| (201) | Като предпоставка трябва да се отбележи, че съхраняването и целевото събиране на комуникационни данни е на разположение както на националните агенции за сигурност, така и на някои правоприлагащи органи (315). Условията за изискване на запазването и/или събирането на комуникационни данни могат да варират в зависимост от основанието за искане на мярката, а именно национална сигурност или цел на правоприлагането. |
| --- | --- |

(201)

Като предпоставка трябва да се отбележи, че съхраняването и целевото събиране на комуникационни данни е на разположение както на националните агенции за сигурност, така и на някои правоприлагащи органи (315). Условията за изискване на запазването и/или събирането на комуникационни данни могат да варират в зависимост от основанието за искане на мярката, а именно национална сигурност или цел на правоприлагането.

315

| (202) | По-специално, въпреки че новият режим въведе общото изискване за предварително разрешение от независим орган, което ще се прилага във всички случаи, когато комуникационни данни се запазват и/или придобиват (за целите на правоприлагането или за целите на националната сигурност), съгласно решението на Съда на Европейския съюз по делото Tele2/Watson (316) са въведени специфични гаранции, когато мярката е поискана за целите на правоприлагането. По-специално, когато запазването или придобиването на комуникационни данни се изисква за целите на правоприлагането, предварителното разрешение винаги трябва да се дава от комисаря по правомощията за разследване. Това не винаги е така, когато мярката е поискана за целите на националната сигурност, тъй като, както е описано по-долу, в някои случаи такъв вид мерки могат да бъдат разрешени от друго „разрешаващо лице“. Освен това новият режим повиши прага, за който може да бъде разрешено съхраняването и придобиването на комуникационни данни до „тежки престъпления“ (317). |
| --- | --- |

(202)

По-специално, въпреки че новият режим въведе общото изискване за предварително разрешение от независим орган, което ще се прилага във всички случаи, когато комуникационни данни се запазват и/или придобиват (за целите на правоприлагането или за целите на националната сигурност), съгласно решението на Съда на Европейския съюз по делото Tele2/Watson (316) са въведени специфични гаранции, когато мярката е поискана за целите на правоприлагането. По-специално, когато запазването или придобиването на комуникационни данни се изисква за целите на правоприлагането, предварителното разрешение винаги трябва да се дава от комисаря по правомощията за разследване. Това не винаги е така, когато мярката е поискана за целите на националната сигурност, тъй като, както е описано по-долу, в някои случаи такъв вид мерки могат да бъдат разрешени от друго „разрешаващо лице“. Освен това новият режим повиши прага, за който може да бъде разрешено съхраняването и придобиването на комуникационни данни до „тежки престъпления“ (317).

316

317

i)   Разрешение за получаване на комуникационни данни

Разрешение за получаване на комуникационни данни

| (203) | Съгласно част 3 от ЗПР от 2016 г. на съответните публични органи се разрешава да получават комуникационни данни от оператор на далекосъобщителна мрежа или от всяко лице, способно да получава и разкрива такива данни. С разрешението не може да се позволява прихващане на съдържанието на комуникациите (318) и то престава да действа след период от един месец (319), като има възможност да се поднови с допълнително разрешение (320). За придобиването на комуникационни данни се изисква разрешение от комисаря по правомощията за разследване (IPC) (321) (относно статута и правомощията на IPC вж. съображения 250—251 по-долу). Такъв е винаги случаят, когато получаването на комуникационни данни се изисква от съответния правоприлагащ орган. В член 61 от ЗПР от 2016 г. обаче се предвижда, че когато данните се придобиват в интерес на националната сигурност или на икономическото благосъстояние на Обединеното кралство, стига това да е от значение за националната сигурност, или когато служител на разузнавателна служба е подал искане съгласно член 61, параграф 7, буква б) (322), придобиването може алтернативно (323) да бъде разрешено от IPC или от определен за това висш служител (324). Определеният служител трябва да бъде независим от съответното разследване или операция и да има познания на работно равнище за принципите и законодателството в областта на правата на човека, особено за принципите на необходимост и пропорционалност (325). Решението, взето от определения служител, се подлага на последващ контрол от страна на IPC (вж. съображение 254 по-долу за повече подробности относно функциите на IPC за последващ контрол). |
| --- | --- |

(203)

Съгласно част 3 от ЗПР от 2016 г. на съответните публични органи се разрешава да получават комуникационни данни от оператор на далекосъобщителна мрежа или от всяко лице, способно да получава и разкрива такива данни. С разрешението не може да се позволява прихващане на съдържанието на комуникациите (318) и то престава да действа след период от един месец (319), като има възможност да се поднови с допълнително разрешение (320). За придобиването на комуникационни данни се изисква разрешение от комисаря по правомощията за разследване (IPC) (321) (относно статута и правомощията на IPC вж. съображения 250—251 по-долу). Такъв е винаги случаят, когато получаването на комуникационни данни се изисква от съответния правоприлагащ орган. В член 61 от ЗПР от 2016 г. обаче се предвижда, че когато данните се придобиват в интерес на националната сигурност или на икономическото благосъстояние на Обединеното кралство, стига това да е от значение за националната сигурност, или когато служител на разузнавателна служба е подал искане съгласно член 61, параграф 7, буква б) (322), придобиването може алтернативно (323) да бъде разрешено от IPC или от определен за това висш служител (324). Определеният служител трябва да бъде независим от съответното разследване или операция и да има познания на работно равнище за принципите и законодателството в областта на правата на човека, особено за принципите на необходимост и пропорционалност (325). Решението, взето от определения служител, се подлага на последващ контрол от страна на IPC (вж. съображение 254 по-долу за повече подробности относно функциите на IPC за последващ контрол).

318

319

320

321

322

323

324

325

| (204) | Разрешението за получаване на комуникационни данни се основава на оценка на необходимостта и пропорционалността на мярката. По-конкретно необходимостта на мярката се оценява с оглед на основанията, изброени в законодателството (326). Предвид целевия характер на тази мярка, тя трябва също така да бъде необходима за конкретно разследване или операция (327). Допълнителни изисквания за оценка на необходимостта от мерките се съдържат в Кодекса за поведение относно комуникационните данни (328). По-специално в този кодекс се предвижда, че в искането, внесено от подаващия орган, следва да бъдат посочени най-малко три елемента, с които да се обоснове необходимостта от искането: i) разследваното събитие, например престъпление или местонахождение на уязвимо изчезнало лице; ii) лицето, за което се търсят данни, като заподозрян, свидетел или изчезнало лице, и как то е свързано със събитието; и iii) търсените комуникационни данни, като телефонен номер или IP адрес, и как тези данни са свързани с лицето и събитието (329). |
| --- | --- |

(204)

Разрешението за получаване на комуникационни данни се основава на оценка на необходимостта и пропорционалността на мярката. По-конкретно необходимостта на мярката се оценява с оглед на основанията, изброени в законодателството (326). Предвид целевия характер на тази мярка, тя трябва също така да бъде необходима за конкретно разследване или операция (327). Допълнителни изисквания за оценка на необходимостта от мерките се съдържат в Кодекса за поведение относно комуникационните данни (328). По-специално в този кодекс се предвижда, че в искането, внесено от подаващия орган, следва да бъдат посочени най-малко три елемента, с които да се обоснове необходимостта от искането: i) разследваното събитие, например престъпление или местонахождение на уязвимо изчезнало лице; ii) лицето, за което се търсят данни, като заподозрян, свидетел или изчезнало лице, и как то е свързано със събитието; и iii) търсените комуникационни данни, като телефонен номер или IP адрес, и как тези данни са свързани с лицето и събитието (329).

326

327

328

329

| (205) | Освен това събирането на комуникационни данни трябва да бъде пропорционално на това, което се цели да бъде постигнато (330). В Кодекса за поведение относно комуникационните данни се пояснява, че когато извършва такава оценка, даващото разрешението лице следва да намери баланс между „степента на намеса в правата и свободите на дадено лице и конкретната полза за разследването или операцията, предприети от подходящ публичен орган в обществен интерес“, както и че като се вземат предвид всички факти и обстоятелства по конкретния случай, „намеса в правата на дадено лице все пак може да не е оправдана, тъй като неблагоприятното въздействие върху правата на друго лице или група лица е твърде сериозно“. Освен това, за да се оцени конкретно пропорционалността на мярката, в кодекса са изброени редица елементи, които следва да бъдат включени в подадената от органа молба (331). Освен това трябва да се обърне специално внимание на типа комуникационни данни (данни за „субект“ или за „събитие“ (332)), които ще бъдат получени, и трябва да се даде предпочитание на използването на категория данни, която предполага по-малка намеса (333). Кодексът за поведение относно комуникационните данни съдържа също така конкретни инструкции във връзка с разрешенията, свързани с комуникационни данни на лица от определени професии (като лекари, адвокати, журналисти, членове на Парламента или свещенослужители) (334), по отношение на които се прилагат допълнителни гаранции (335). |
| --- | --- |

(205)

Освен това събирането на комуникационни данни трябва да бъде пропорционално на това, което се цели да бъде постигнато (330). В Кодекса за поведение относно комуникационните данни се пояснява, че когато извършва такава оценка, даващото разрешението лице следва да намери баланс между „степента на намеса в правата и свободите на дадено лице и конкретната полза за разследването или операцията, предприети от подходящ публичен орган в обществен интерес“, както и че като се вземат предвид всички факти и обстоятелства по конкретния случай, „намеса в правата на дадено лице все пак може да не е оправдана, тъй като неблагоприятното въздействие върху правата на друго лице или група лица е твърде сериозно“. Освен това, за да се оцени конкретно пропорционалността на мярката, в кодекса са изброени редица елементи, които следва да бъдат включени в подадената от органа молба (331). Освен това трябва да се обърне специално внимание на типа комуникационни данни (данни за „субект“ или за „събитие“ (332)), които ще бъдат получени, и трябва да се даде предпочитание на използването на категория данни, която предполага по-малка намеса (333). Кодексът за поведение относно комуникационните данни съдържа също така конкретни инструкции във връзка с разрешенията, свързани с комуникационни данни на лица от определени професии (като лекари, адвокати, журналисти, членове на Парламента или свещенослужители) (334), по отношение на които се прилагат допълнителни гаранции (335).

330

331

332

333

334

335

ii)   Постановление за съхраняване на комуникационни данни

Постановление за съхраняване на комуникационни данни

| (206) | В част 4 от ЗПР от 2016 г. са определени правилата за съхраняване на комуникационни данни, и по-специално критериите, въз основа на които министърът може да издаде постановление за съхраняване (336). Гаранциите, въведени от ЗПР, са същите, когато данните се съхраняват за целите на правоприлагането или в интерес на националната сигурност. |
| --- | --- |

(206)

В част 4 от ЗПР от 2016 г. са определени правилата за съхраняване на комуникационни данни, и по-специално критериите, въз основа на които министърът може да издаде постановление за съхраняване (336). Гаранциите, въведени от ЗПР, са същите, когато данните се съхраняват за целите на правоприлагането или в интерес на националната сигурност.

336

| (207) | Издаването на такива постановления за съхраняване има за цел да се гарантира, че операторите на далекосъобщителни мрежи съхраняват за период от най-много 12 месеца подходящи комуникационни данни, които иначе биха били изтрити, след като вече не са необходими за стопански цели (337). Съхранените данни трябва да останат на разположение за необходимия период, в случай че впоследствие възникне необходимост публичен орган да ги получи съгласно разрешение за целево събиране на комуникационни данни, предвидено в част 3 от ЗПР от 2016 г. и описано в съображения 203—205. |
| --- | --- |

(207)

Издаването на такива постановления за съхраняване има за цел да се гарантира, че операторите на далекосъобщителни мрежи съхраняват за период от най-много 12 месеца подходящи комуникационни данни, които иначе биха били изтрити, след като вече не са необходими за стопански цели (337). Съхранените данни трябва да останат на разположение за необходимия период, в случай че впоследствие възникне необходимост публичен орган да ги получи съгласно разрешение за целево събиране на комуникационни данни, предвидено в част 3 от ЗПР от 2016 г. и описано в съображения 203—205.

337

| (208) | За упражняването на това правомощие съществуват редица ограничения и гаранции. Министърът може да издаде постановление за съхраняване на един или няколко оператора (338) само когато смята, че изискването за съхраняването на данните е необходимо поради едно от законоустановените цели (339) и е пропорционално на това, което се цели да бъде постигнато (340). За тази цел и както е изяснено в самия ЗПР от 2016 г. (341), преди да издаде постановление за съхраняване, министърът трябва да вземе предвид: вероятните ползи от постановлението (342); описанието на далекосъобщителните услуги; целесъобразността на ограничаването на данните, които трябва да бъдат съхранени, чрез посочване на местоположението или чрез описания на лицата, на които се предоставят далекосъобщителните услуги (343); вероятния брой потребители (ако е известен) на всяка далекосъобщителна услуга, за която се отнася постановлението (344); техническата осъществимост на изпълнението на постановлението; вероятните разходи за изпълнение на постановлението и всички други последици от постановлението за оператора на далекосъобщителната мрежа (или описание на операторите), за когото се отнася (345). Както е подробно описано в глава 17 от Кодекса за поведение относно комуникационните данни, във всички постановления за съхраняване трябва да се посочи всеки вид данни, който ще бъде съхранен, и основанията, поради които той отговаря на необходимите стандарти за съхраняване. |
| --- | --- |

(208)

За упражняването на това правомощие съществуват редица ограничения и гаранции. Министърът може да издаде постановление за съхраняване на един или няколко оператора (338) само когато смята, че изискването за съхраняването на данните е необходимо поради едно от законоустановените цели (339) и е пропорционално на това, което се цели да бъде постигнато (340). За тази цел и както е изяснено в самия ЗПР от 2016 г. (341), преди да издаде постановление за съхраняване, министърът трябва да вземе предвид: вероятните ползи от постановлението (342); описанието на далекосъобщителните услуги; целесъобразността на ограничаването на данните, които трябва да бъдат съхранени, чрез посочване на местоположението или чрез описания на лицата, на които се предоставят далекосъобщителните услуги (343); вероятния брой потребители (ако е известен) на всяка далекосъобщителна услуга, за която се отнася постановлението (344); техническата осъществимост на изпълнението на постановлението; вероятните разходи за изпълнение на постановлението и всички други последици от постановлението за оператора на далекосъобщителната мрежа (или описание на операторите), за когото се отнася (345). Както е подробно описано в глава 17 от Кодекса за поведение относно комуникационните данни, във всички постановления за съхраняване трябва да се посочи всеки вид данни, който ще бъде съхранен, и основанията, поради които той отговаря на необходимите стандарти за съхраняване.

338

339

340

341

342

343

344

345

| (209) | Във всички случаи (както за целите на националната сигурност, така и за целите на правоприлагането) решението на министъра да издаде постановление за съхраняване трябва да бъде одобрено от независим съдебен комисар в рамките на т.нар. „процедура с двойна защита“, който трябва да провери по-специално дали постановлението за съхраняване на съответните комуникационни данни е необходимо и пропорционално за една или повече от законоустановените цели (346). |
| --- | --- |

(209)

Във всички случаи (както за целите на националната сигурност, така и за целите на правоприлагането) решението на министъра да издаде постановление за съхраняване трябва да бъде одобрено от независим съдебен комисар в рамките на т.нар. „процедура с двойна защита“, който трябва да провери по-специално дали постановлението за съхраняване на съответните комуникационни данни е необходимо и пропорционално за една или повече от законоустановените цели (346).

346

3.3.1.1.3.   Намеса в оборудването

| (210) | Намесата в оборудването се състои от набор от техники, използвани за получаване на разнообразни данни от оборудването (347), което включва компютри, таблети и смартфони, както и кабели, проводници и устройства за съхранение (348). Намесата в оборудването дава възможност да се получат както съдържанието на комуникациите, така и данни от оборудването (349). |
| --- | --- |

(210)

Намесата в оборудването се състои от набор от техники, използвани за получаване на разнообразни данни от оборудването (347), което включва компютри, таблети и смартфони, както и кабели, проводници и устройства за съхранение (348). Намесата в оборудването дава възможност да се получат както съдържанието на комуникациите, така и данни от оборудването (349).

347

348

349

| (211) | В съответствие с член 13, параграф 1 от ЗПР от 2016 г., за да осъществи дадена разузнавателна служба намеса в оборудването, е необходимо разрешение, което се издава чрез заповед по процедурата с „двойна защита“, установена със ЗПР от 2016 г., при условие че има „връзка с Британските острови“ (350). Според обясненията, предоставени от органите на Обединеното кралство, в случаите, когато данните се предават от Европейския съюз към Обединеното кралство в рамките на обхвата на настоящото решение, винаги ще има „връзка с Британските острови“ и поради това всяка намеса в оборудването, обхващаща такива данни, подлежи на задължителното условие за наличие на заповед по член 13, параграф 1 от ЗПР от 2016 г. (351). |
| --- | --- |

(211)

В съответствие с член 13, параграф 1 от ЗПР от 2016 г., за да осъществи дадена разузнавателна служба намеса в оборудването, е необходимо разрешение, което се издава чрез заповед по процедурата с „двойна защита“, установена със ЗПР от 2016 г., при условие че има „връзка с Британските острови“ (350). Според обясненията, предоставени от органите на Обединеното кралство, в случаите, когато данните се предават от Европейския съюз към Обединеното кралство в рамките на обхвата на настоящото решение, винаги ще има „връзка с Британските острови“ и поради това всяка намеса в оборудването, обхващаща такива данни, подлежи на задължителното условие за наличие на заповед по член 13, параграф 1 от ЗПР от 2016 г. (351).

350

351

| (212) | Правилата във връзка със заповедите за целева намеса в оборудването са определени в част 5 от ЗПР от 2016 г. Подобно на целевото прихващане, целевата намеса в оборудването трябва да се отнася за конкретен „обект“, който трябва да бъде посочен в заповедта (352). Подробностите за това как трябва да бъде идентифициран „обектът“ зависят от предмета на действията и от вида на оборудването, в което ще бъде осъществена намеса.. По-специално в член 115, параграф 3 от ЗПР са посочени елементите, които следва да бъдат включени в заповедта (напр. име на лицето или наименование на организацията, описание на местоположението), в зависимост например от това дали намесата се отнася до оборудване, което принадлежи на определено лице или организация, или група лица, използва се от тях или е в тяхно владение, намира се на определено място и т.н. (353). Целите, за които могат да бъдат издадени заповеди за целева намеса в оборудване, зависят от публичния орган, който я иска (354). |
| --- | --- |

(212)

Правилата във връзка със заповедите за целева намеса в оборудването са определени в част 5 от ЗПР от 2016 г. Подобно на целевото прихващане, целевата намеса в оборудването трябва да се отнася за конкретен „обект“, който трябва да бъде посочен в заповедта (352). Подробностите за това как трябва да бъде идентифициран „обектът“ зависят от предмета на действията и от вида на оборудването, в което ще бъде осъществена намеса.. По-специално в член 115, параграф 3 от ЗПР са посочени елементите, които следва да бъдат включени в заповедта (напр. име на лицето или наименование на организацията, описание на местоположението), в зависимост например от това дали намесата се отнася до оборудване, което принадлежи на определено лице или организация, или група лица, използва се от тях или е в тяхно владение, намира се на определено място и т.н. (353). Целите, за които могат да бъдат издадени заповеди за целева намеса в оборудване, зависят от публичния орган, който я иска (354).

352

353

354

| (213) | Както при целевото прихващане, издаващият орган трябва да прецени дали мярката е необходима за постигане на конкретна цел и дали е пропорционална на това, което се цели да бъде постигнато (355). Освен това той следва също така да прецени дали съществуват гаранции по отношение на сигурността, съхраняването и разкриването, както и във връзка с „разкриването в чужбина“ (356) (вж. съображение 196). |
| --- | --- |

(213)

Както при целевото прихващане, издаващият орган трябва да прецени дали мярката е необходима за постигане на конкретна цел и дали е пропорционална на това, което се цели да бъде постигнато (355). Освен това той следва също така да прецени дали съществуват гаранции по отношение на сигурността, съхраняването и разкриването, както и във връзка с „разкриването в чужбина“ (356) (вж. съображение 196).

355

356

| (214) | Заповедта трябва да бъде одобрена от съдебен комисар, освен на случай на неотложност (357). В последния случай съдебен комисар трябва да бъде уведомен за издаването на заповедта и трябва да я одобри в срок от три работни дни. В случай че съдебният комисар откаже да я одобри, заповедта престава да действа и не може да бъде подновявана (358). Освен това съдебният комисар има правомощието да изисква всички данни, получени по силата на заповедта, да бъдат заличени (359). Фактът, че дадена заповед е била издадена спешно не влияе на последващия контрол (вж. съображения 244—255) или на възможностите на лица да търсят правна защита (вж. съображения 260—270). Физическите лица могат да подадат жалба до ICO или да предявят иск относно всяко предполагаемо поведение пред Трибунала за правомощията за разследване по обичайния начин. Във всички случаи проверката, която се извършва от съдебния комисар, когато трябва да реши дали да одобри дадена заповед, е провераката за необходимостта и пропорционалността, както по отношение на исканията за целево прихващане (360) (вж. съображение 192 по-горе). |
| --- | --- |

(214)

Заповедта трябва да бъде одобрена от съдебен комисар, освен на случай на неотложност (357). В последния случай съдебен комисар трябва да бъде уведомен за издаването на заповедта и трябва да я одобри в срок от три работни дни. В случай че съдебният комисар откаже да я одобри, заповедта престава да действа и не може да бъде подновявана (358). Освен това съдебният комисар има правомощието да изисква всички данни, получени по силата на заповедта, да бъдат заличени (359). Фактът, че дадена заповед е била издадена спешно не влияе на последващия контрол (вж. съображения 244—255) или на възможностите на лица да търсят правна защита (вж. съображения 260—270). Физическите лица могат да подадат жалба до ICO или да предявят иск относно всяко предполагаемо поведение пред Трибунала за правомощията за разследване по обичайния начин. Във всички случаи проверката, която се извършва от съдебния комисар, когато трябва да реши дали да одобри дадена заповед, е провераката за необходимостта и пропорционалността, както по отношение на исканията за целево прихващане (360) (вж. съображение 192 по-горе).

357

358

359

360

| (215) | И накрая, специфичните гаранции, приложими по отношение на целевото прихващане, що се отнася до срока на валидност, подновяването и изменянето на заповедта, както и прихващането на членове на Парламента, на пратки, които са обект на адвокатска тайна, и на журналистически материали (за повече подробности вж. съображение 193), се прилагат и по отношение на намесата в оборудването. |
| --- | --- |

(215)

И накрая, специфичните гаранции, приложими по отношение на целевото прихващане, що се отнася до срока на валидност, подновяването и изменянето на заповедта, както и прихващането на членове на Парламента, на пратки, които са обект на адвокатска тайна, и на журналистически материали (за повече подробности вж. съображение 193), се прилагат и по отношение на намесата в оборудването.

3.3.1.1.4.   Упражняване на правомощия, свързани с масиви от данни

| (216) | Правомощията, свързани с масиви от данни, са уредени в част 6 от ЗПР от 2016 г. Освен това в кодексите за поведение се съдържат по-подробни разпоредби относно упражняването на правомощия, свързани с масиви от данни. Въпреки че в законодателството на Обединеното кралство няма определение на „правомощие, свързано с масиви от данни“, в контекста на ЗПР от 2016 г. то е описано като събиране и съхраняване на големи количества данни, получени от правителството чрез различни средства (т.е. правомощията за масово прихващане, масово събиране на данни, масова намеса в оборудването и масиви от лични данни), до които впоследствие органите могат да осъществят достъп. Това описание е пояснено, като е уточнено какво не е „правомощие, свързано с масиви от данни“: то не е равносилно на така нареченото „масово наблюдение“ без ограничения или гаранции. Напротив, както е обяснено по-долу, то подлежи на ограничения и гаранции, чиято цел е да се гарантира, че достъпът до данни не се предоставя неизбирателно или необосновано (361). По-специално правомощията, свързани с масиви от данни, може да се упражняват само ако се установи връзка между техническата мярка, която дадена национална разузнавателна служба възнамерява да приложи, и оперативната цел, за която се иска такава мярка. |
| --- | --- |

(216)

Правомощията, свързани с масиви от данни, са уредени в част 6 от ЗПР от 2016 г. Освен това в кодексите за поведение се съдържат по-подробни разпоредби относно упражняването на правомощия, свързани с масиви от данни. Въпреки че в законодателството на Обединеното кралство няма определение на „правомощие, свързано с масиви от данни“, в контекста на ЗПР от 2016 г. то е описано като събиране и съхраняване на големи количества данни, получени от правителството чрез различни средства (т.е. правомощията за масово прихващане, масово събиране на данни, масова намеса в оборудването и масиви от лични данни), до които впоследствие органите могат да осъществят достъп. Това описание е пояснено, като е уточнено какво не е „правомощие, свързано с масиви от данни“: то не е равносилно на така нареченото „масово наблюдение“ без ограничения или гаранции. Напротив, както е обяснено по-долу, то подлежи на ограничения и гаранции, чиято цел е да се гарантира, че достъпът до данни не се предоставя неизбирателно или необосновано (361). По-специално правомощията, свързани с масиви от данни, може да се упражняват само ако се установи връзка между техническата мярка, която дадена национална разузнавателна служба възнамерява да приложи, и оперативната цел, за която се иска такава мярка.

361

| (217) | Освен това правомощия, свързани с масиви от данни, имат само разузнавателните служби и за упражняването им винаги се изисква заповед, издадена от министъра и одобрена от съдебен комисар. При избора на средства за събиране на разузнавателни данни трябва да се има предвид дали въпросната цел може да се преследва със „средства, които предполагат по-малка намеса“ (362). Този подход произтича от правната уредба, която се основава на принципа на пропорционалност и следователно дава приоритет на целевото събиране пред масовото събиране на данни. |
| --- | --- |

(217)

Освен това правомощия, свързани с масиви от данни, имат само разузнавателните служби и за упражняването им винаги се изисква заповед, издадена от министъра и одобрена от съдебен комисар. При избора на средства за събиране на разузнавателни данни трябва да се има предвид дали въпросната цел може да се преследва със „средства, които предполагат по-малка намеса“ (362). Този подход произтича от правната уредба, която се основава на принципа на пропорционалност и следователно дава приоритет на целевото събиране пред масовото събиране на данни.

362

3.3.1.1.4.1.   Масово прихващане и масова намеса в оборудването

| (218) | Режимът за масово прихващане е уреден в част 6, глава 1 от ЗПР от 2016 г., а в глава 3 от същата част е уредена масовата намеса в оборудването. Тези режими са по същество еднакви и поради това условията и допълнителните гаранции, приложими по отношение на такива заповеди, се анализират заедно. |
| --- | --- |

(218)

Режимът за масово прихващане е уреден в част 6, глава 1 от ЗПР от 2016 г., а в глава 3 от същата част е уредена масовата намеса в оборудването. Тези режими са по същество еднакви и поради това условията и допълнителните гаранции, приложими по отношение на такива заповеди, се анализират заедно.

i)   Условия и критерии за издаването на заповед

Условия и критерии за издаването на заповед

| (219) | Заповедта за масово прихващане е ограничена до прихващането на комуникация, изпратена или получена от лица, които са извън Британските острови (363) (така наречената „свързана с чужбина комуникация“ (364)), в процеса на тяхното предаване, както и до прихващането на други подходящи данни, и до последващия подбор на прихванатите материали (365) за целите на прегледа. Със заповедта за масова намеса в оборудването (366) на адресата се разрешава да осъществи намеса във всяко оборудване с цел да се получи свързана с чужбина комуникация (в това число всичко, което включва реч, музика, звуци, визуални изображения или данни от всякакво естество), данни от оборудването (данни, които позволяват или улесняват работата на пощенска служба; далекосъобщителна система; далекосъобщителна услуга) или друга информация. далекосъобщителна система; далекосъобщителна услуга) или друга информация (367). |
| --- | --- |

(219)

Заповедта за масово прихващане е ограничена до прихващането на комуникация, изпратена или получена от лица, които са извън Британските острови (363) (така наречената „свързана с чужбина комуникация“ (364)), в процеса на тяхното предаване, както и до прихващането на други подходящи данни, и до последващия подбор на прихванатите материали (365) за целите на прегледа. Със заповедта за масова намеса в оборудването (366) на адресата се разрешава да осъществи намеса във всяко оборудване с цел да се получи свързана с чужбина комуникация (в това число всичко, което включва реч, музика, звуци, визуални изображения или данни от всякакво естество), данни от оборудването (данни, които позволяват или улесняват работата на пощенска служба; далекосъобщителна система; далекосъобщителна услуга) или друга информация. далекосъобщителна система; далекосъобщителна услуга) или друга информация (367).

363

364

365

366

367

| (220) | Министърът може да издаде заповед във връзка с масиви от данни само по молба, подадено от ръководител на разузнавателна служба (368). Заповед, с която се разрешава масово прихващане или масова намеса в оборудването, трябва да се издава само ако е необходима в интерес на националната сигурност и за допълнителна цел, свързана с предотвратяването или разкриването на тежко престъпление, или в интерес на икономическото благосъстояние на Обединеното кралство, когато е от значение за националната сигурност (369). Освен това съгласно член 142, параграф 7 от ЗПР от 2016 г. заповедта за масово прихващане трябва да съдържа повече подробности, а не само позоваване на „интересите на националната сигурност“, „икономическото благосъстояние на Обединеното кралство“ и „предотвратяването и борбата с тежките престъпления“, и в нея трябва да бъде установена връзка между мярката, която се иска, и една или повече оперативни цели, които трябва да бъдат включени в заповедта. |
| --- | --- |

(220)

Министърът може да издаде заповед във връзка с масиви от данни само по молба, подадено от ръководител на разузнавателна служба (368). Заповед, с която се разрешава масово прихващане или масова намеса в оборудването, трябва да се издава само ако е необходима в интерес на националната сигурност и за допълнителна цел, свързана с предотвратяването или разкриването на тежко престъпление, или в интерес на икономическото благосъстояние на Обединеното кралство, когато е от значение за националната сигурност (369). Освен това съгласно член 142, параграф 7 от ЗПР от 2016 г. заповедта за масово прихващане трябва да съдържа повече подробности, а не само позоваване на „интересите на националната сигурност“, „икономическото благосъстояние на Обединеното кралство“ и „предотвратяването и борбата с тежките престъпления“, и в нея трябва да бъде установена връзка между мярката, която се иска, и една или повече оперативни цели, които трябва да бъдат включени в заповедта.

368

369

| (221) | Изборът на оперативната цел е резултат от многопластов процес. В член 142, параграф 4 е предвидено, че оперативните цели, посочени в заповедта, трябва да бъдат упоменати в списък, поддържан от ръководителите на разузнавателните служби, като цели, които според тях представляват оперативни цели, за които прихванатото съдържание или вторичните данни, получени по силата на заповеди за масово прихващане, може да подлежат на подбор за целите на прегледа. Списъкът на оперативните цели трябва да бъде одобрен от министъра. Министърът може да даде такова одобрение само ако е убеден, че оперативната цел е посочена по-подробно, а не само с позоваване на общите основания за разрешаване на заповедта (национална сигурност или национална сигурност и икономическо благосъстояние, или предотвратяване на тежки престъпления) (370). В края на всяко тримесечие министърът трябва да предоставя копие от списъка на оперативните цели на Парламентарната комисия по разузнаване и сигурност. И накрая, министър-председателят трябва да преразглежда списъка с оперативни цели най-малко веднъж годишно (371). Както отбеляза Висшият съд, „тези гаранции не трябва да бъдат омаловажавани като незначителни, тъй като заедно изграждат сложен набор от режими на отчетност, в които участват Парламентът, както и членовете на правителството на най-високо равнище“ (372). |
| --- | --- |

(221)

Изборът на оперативната цел е резултат от многопластов процес. В член 142, параграф 4 е предвидено, че оперативните цели, посочени в заповедта, трябва да бъдат упоменати в списък, поддържан от ръководителите на разузнавателните служби, като цели, които според тях представляват оперативни цели, за които прихванатото съдържание или вторичните данни, получени по силата на заповеди за масово прихващане, може да подлежат на подбор за целите на прегледа. Списъкът на оперативните цели трябва да бъде одобрен от министъра. Министърът може да даде такова одобрение само ако е убеден, че оперативната цел е посочена по-подробно, а не само с позоваване на общите основания за разрешаване на заповедта (национална сигурност или национална сигурност и икономическо благосъстояние, или предотвратяване на тежки престъпления) (370). В края на всяко тримесечие министърът трябва да предоставя копие от списъка на оперативните цели на Парламентарната комисия по разузнаване и сигурност. И накрая, министър-председателят трябва да преразглежда списъка с оперативни цели най-малко веднъж годишно (371). Както отбеляза Висшият съд, „тези гаранции не трябва да бъдат омаловажавани като незначителни, тъй като заедно изграждат сложен набор от режими на отчетност, в които участват Парламентът, както и членовете на правителството на най-високо равнище“ (372).

370

371

372

| (222) | С тези оперативни цели също така се ограничава обхватът на подбора на материалите от прихващането за етапа на преглед. Подборът на материалите, събрани съгласно заповед във връзка с масиви от данни, за целите на прегледа трябва да бъде оправдан с оглед на оперативната цел (оперативните цели). Както е обяснено от органите на Обединеното кралство, това означава, че практическите условия и ред за прегледа трябва да бъдат оценени от министъра още на етапа на издаване на заповедта, като се предоставят достатъчно подробности, за да бъдат изпълнени законоустановените задължения по член 152 и член 193 от ЗПР от 2016 г. (373). Подробностите, предоставени на министъра във връзка с тези условия и ред, трябва да включват например информация (ако е приложимо) за това как механизмите за филтриране може да се променят в периода на действие на заповедта (374). За повече подробности относно процеса и гаранциите, прилагани на етапите на филтриране и преглед, вж. съображение 229 по-долу. |
| --- | --- |

(222)

С тези оперативни цели също така се ограничава обхватът на подбора на материалите от прихващането за етапа на преглед. Подборът на материалите, събрани съгласно заповед във връзка с масиви от данни, за целите на прегледа трябва да бъде оправдан с оглед на оперативната цел (оперативните цели). Както е обяснено от органите на Обединеното кралство, това означава, че практическите условия и ред за прегледа трябва да бъдат оценени от министъра още на етапа на издаване на заповедта, като се предоставят достатъчно подробности, за да бъдат изпълнени законоустановените задължения по член 152 и член 193 от ЗПР от 2016 г. (373). Подробностите, предоставени на министъра във връзка с тези условия и ред, трябва да включват например информация (ако е приложимо) за това как механизмите за филтриране може да се променят в периода на действие на заповедта (374). За повече подробности относно процеса и гаранциите, прилагани на етапите на филтриране и преглед, вж. съображение 229 по-долу.

373

374

| (223) | Упражняването на правомощие във връзка с масиви от данни може да бъде разрешено само ако е пропорционално на това, което се цели да бъде постигнато (375). Както е посочено в Кодекса за поведение относно прихващането [на комуникация], всяка оценка на пропорционалността предполага „да се намери баланс между сериозността на намесата в личния живот (и другите съображения, посочени в член 2, параграф 2) и необходимостта от дейността от гледна точка на разследването, оперативната дейност или способностите. Разрешеното действие следва да предлага реална възможност за постигане на очакваната полза и не следва да е непропорционално или произволно“ (376). Както вече беше споменато, това на практика означава, че проверката на пропорционалността се основава на преценка дали е намерен баланс между това, което се цели да бъде постигнато („оперативна цел/и“), и наличните технически възможности (напр. целево прихващане или масово прихващане, намеса в оборудването, събиране на комуникационни данни), като се дава предпочитание на средствата, които предполагат най-малка намеса (вж. съображения 181 и 182 по-горе). Когато за целта е подходяща повече от една мярка, трябва да се предпочитат средствата, които предполагат по-малка намеса. |
| --- | --- |

(223)

Упражняването на правомощие във връзка с масиви от данни може да бъде разрешено само ако е пропорционално на това, което се цели да бъде постигнато (375). Както е посочено в Кодекса за поведение относно прихващането [на комуникация], всяка оценка на пропорционалността предполага „да се намери баланс между сериозността на намесата в личния живот (и другите съображения, посочени в член 2, параграф 2) и необходимостта от дейността от гледна точка на разследването, оперативната дейност или способностите. Разрешеното действие следва да предлага реална възможност за постигане на очакваната полза и не следва да е непропорционално или произволно“ (376). Както вече беше споменато, това на практика означава, че проверката на пропорционалността се основава на преценка дали е намерен баланс между това, което се цели да бъде постигнато („оперативна цел/и“), и наличните технически възможности (напр. целево прихващане или масово прихващане, намеса в оборудването, събиране на комуникационни данни), като се дава предпочитание на средствата, които предполагат най-малка намеса (вж. съображения 181 и 182 по-горе). Когато за целта е подходяща повече от една мярка, трябва да се предпочитат средствата, които предполагат по-малка намеса.

375

376

| (224) | Допълнителна гаранция за оценка на пропорционалността на исканата мярка се осигурява от факта, че министърът трябва да получи съответната информация, необходима, за да извърши правилно оценката. По-конкретно съгласно Кодекса за поведение относно прихващането на комуникация и Кодекса за поведение относно намесата в оборудването подадената от съответния орган молба трябва да съдържа обща информация за молбата, описание на комуникацията, която ще бъде прихваната, и операторите на далекосъобщителни мрежи, които са длъжни да окажат съдействие, описание на действията, за които се иска разрешение, оперативните цели и обосновка на необходимостта и пропорционалността на действията (377). |
| --- | --- |

(224)

Допълнителна гаранция за оценка на пропорционалността на исканата мярка се осигурява от факта, че министърът трябва да получи съответната информация, необходима, за да извърши правилно оценката. По-конкретно съгласно Кодекса за поведение относно прихващането на комуникация и Кодекса за поведение относно намесата в оборудването подадената от съответния орган молба трябва да съдържа обща информация за молбата, описание на комуникацията, която ще бъде прихваната, и операторите на далекосъобщителни мрежи, които са длъжни да окажат съдействие, описание на действията, за които се иска разрешение, оперативните цели и обосновка на необходимостта и пропорционалността на действията (377).

377

| (225) | В заключение и най-важно, решението на министъра да издаде заповедта трябва да бъде одобрено от независим съдебен комисар, който проверява оценката на необходимостта и пропорционалността на предложената мярка, като използва същите принципи, които биха били използвани от съд при жалба по линия на съдебния контрол (378). Съдебният комисар прави преглед на заключенията на министъра по отношение на това дали заповедта е необходима и дали действията са пропорционални с оглед на принципите, определени в член 2, параграф 2 от ЗПР от 2016 г. (общи задължения във връзка с неприкосновеността на личния живот). Съдебният комисар също така прави преглед на заключенията на министъра по отношение на това дали всяка от оперативните цели, посочени в заповедта, е цел, за която е необходим или може да е необходим подбор. Ако съдебният комисар откаже да одобри решението за издаване на заповед, министърът може: i) да приеме решението на съдебния комисар и следователно да не издаде заповедта; или ii) да отнесе въпроса за решаване до комисаря по правомощията за разследване (освен когато комисарят по правомощията за разследване е взел първоначалното решение) (379). |
| --- | --- |

(225)

В заключение и най-важно, решението на министъра да издаде заповедта трябва да бъде одобрено от независим съдебен комисар, който проверява оценката на необходимостта и пропорционалността на предложената мярка, като използва същите принципи, които биха били използвани от съд при жалба по линия на съдебния контрол (378). Съдебният комисар прави преглед на заключенията на министъра по отношение на това дали заповедта е необходима и дали действията са пропорционални с оглед на принципите, определени в член 2, параграф 2 от ЗПР от 2016 г. (общи задължения във връзка с неприкосновеността на личния живот). Съдебният комисар също така прави преглед на заключенията на министъра по отношение на това дали всяка от оперативните цели, посочени в заповедта, е цел, за която е необходим или може да е необходим подбор. Ако съдебният комисар откаже да одобри решението за издаване на заповед, министърът може: i) да приеме решението на съдебния комисар и следователно да не издаде заповедта; или ii) да отнесе въпроса за решаване до комисаря по правомощията за разследване (освен когато комисарят по правомощията за разследване е взел първоначалното решение) (379).

378

379

ii)   Допълнителни гаранции

Допълнителни гаранции

| (226) | Със ЗПР от 2016 г. са въведени допълнителни ограничения по отношение на срока на валидност, подновяването и изменението на заповед във връзка с масиви от данни. Срокът на валидност на заповедта трябва да е максимум шест месеца и всяко решение за подновяване или изменение (с изключение на незначителни изменения) трябва да бъде одобрено от съдебен комисар (380). В Кодекса за поведение относно прихващането на комуникация и в Кодекса за поведение относно намесата в оборудването се посочва, че промяната в оперативните цели на заповедта се смята за сериозно изменение на заповедта (381). |
| --- | --- |

(226)

Със ЗПР от 2016 г. са въведени допълнителни ограничения по отношение на срока на валидност, подновяването и изменението на заповед във връзка с масиви от данни. Срокът на валидност на заповедта трябва да е максимум шест месеца и всяко решение за подновяване или изменение (с изключение на незначителни изменения) трябва да бъде одобрено от съдебен комисар (380). В Кодекса за поведение относно прихващането на комуникация и в Кодекса за поведение относно намесата в оборудването се посочва, че промяната в оперативните цели на заповедта се смята за сериозно изменение на заповедта (381).

380

381

| (227) | Подобно на предвиденото по отношение на целевото прихващане, в част 6 от ЗПР от 2016 г. се предвижда, че министърът трябва да се увери, че са налице договорености, които осигуряват гаранции за съхраняването и разкриването на материалите, получени по силата на заповедта (382), както и за разкриването в чужбина (383). По-специално съгласно член 150, параграф 5 и член 191, параграф 5 от ЗПР от 2016 г. всяко направено копие на който и да е от материалите, събрани по силата на заповедта, трябва да се съхранява по сигурен начин и да бъде унищожено веднага след отпадането на съответните основания за съхраняването му, а съгласно член 150, параграф 2 и член 191, параграф 2 от ЗПР от 2016 г. броят на лицата, на които се разкрива материалът, и степента на разкриването, предоставянето или копирането на материала трябва да бъдат ограничени до необходимия минимум за постигането на законоустановените цели (384). |
| --- | --- |

(227)

Подобно на предвиденото по отношение на целевото прихващане, в част 6 от ЗПР от 2016 г. се предвижда, че министърът трябва да се увери, че са налице договорености, които осигуряват гаранции за съхраняването и разкриването на материалите, получени по силата на заповедта (382), както и за разкриването в чужбина (383). По-специално съгласно член 150, параграф 5 и член 191, параграф 5 от ЗПР от 2016 г. всяко направено копие на който и да е от материалите, събрани по силата на заповедта, трябва да се съхранява по сигурен начин и да бъде унищожено веднага след отпадането на съответните основания за съхраняването му, а съгласно член 150, параграф 2 и член 191, параграф 2 от ЗПР от 2016 г. броят на лицата, на които се разкрива материалът, и степента на разкриването, предоставянето или копирането на материала трябва да бъдат ограничени до необходимия минимум за постигането на законоустановените цели (384).

382

383

384

| (228) | И накрая, когато материалът, който е прихванат въз основа на заповед за масово прихващане или на заповед за масова намеса в оборудването, трябва да бъде предаден на трета държава („разкриване в чужбина“), в ЗПР от 2016 г. се предвижда, че министърът трябва да се увери, че са налице подходящи договорености, които да гарантират, че в тази трета държава съществуват подобни гаранции за сигурност, съхраняване и разкриване (385). Освен това в член 109 от ЗЗД от 2018 г. са определени конкретни изисквания за международното предаване на лични данни от разузнавателни служби към трети държави или международни организации и не се разрешава предаване на лични данни на държава или територия извън Обединеното кралство, или на международна организация, освен ако предаването е необходимо и пропорционално за целите на законоустановените функции на администратора или за други цели, предвидени в член 2, параграф 2, буква а) от Закона за службите за сигурност от 1989 г. или в член 2, параграф 2, буква а) и член 4, параграф 2, буква а) от Закона за разузнавателните служби от 1994 г. (386) Важно е да се отбележи, че тези изисквания се прилагат и в случаите, когато се прави позоваване на изключението във връзка с националната сигурност съгласно член 110 от ЗЗД от 2018 г., тъй като в него не е посочен член 109 от ЗЗД от 2018 г. като една от разпоредбите, която може да не се прилага, ако се изисква освобождаване от определени разпоредби с цел опазване на националната сигурност. |
| --- | --- |

(228)

И накрая, когато материалът, който е прихванат въз основа на заповед за масово прихващане или на заповед за масова намеса в оборудването, трябва да бъде предаден на трета държава („разкриване в чужбина“), в ЗПР от 2016 г. се предвижда, че министърът трябва да се увери, че са налице подходящи договорености, които да гарантират, че в тази трета държава съществуват подобни гаранции за сигурност, съхраняване и разкриване (385). Освен това в член 109 от ЗЗД от 2018 г. са определени конкретни изисквания за международното предаване на лични данни от разузнавателни служби към трети държави или международни организации и не се разрешава предаване на лични данни на държава или територия извън Обединеното кралство, или на международна организация, освен ако предаването е необходимо и пропорционално за целите на законоустановените функции на администратора или за други цели, предвидени в член 2, параграф 2, буква а) от Закона за службите за сигурност от 1989 г. или в член 2, параграф 2, буква а) и член 4, параграф 2, буква а) от Закона за разузнавателните служби от 1994 г. (386) Важно е да се отбележи, че тези изисквания се прилагат и в случаите, когато се прави позоваване на изключението във връзка с националната сигурност съгласно член 110 от ЗЗД от 2018 г., тъй като в него не е посочен член 109 от ЗЗД от 2018 г. като една от разпоредбите, която може да не се прилага, ако се изисква освобождаване от определени разпоредби с цел опазване на националната сигурност.

385

386

| (229) | След като заповедта бъде одобрена и се събере масивът от данни, данните се подлагат на подбор, преди да бъдат проверени. На етапите на подбор и преглед анализаторът извършва допълнителна проверка на пропорционалността, като определя критериите за подбор въз основа на оперативните цели, включени в заповедта (и на потенциално съществуващите механизми за филтриране). Както е предвидено в член 152 и член 193 от ЗПР, когато издава заповед, министърът трябва да се увери, че са въведени мерки, с които се гарантира, че подборът на материала се извършва само за определените оперативни цели и че е необходим и пропорционален при всякакви обстоятелства. В това отношение органите на Обединеното кралство поясниха, че подборът на материалите, прихващани в масиви, се извършва преди всичко чрез автоматизирано филтриране с цел отхвърляне на данните, които е малко вероятно да представляват интерес за националната сигурност. Филтрите се променят от време на време (когато се променят моделите, видовете и протоколите на интернет трафика) и зависят от технологията и оперативния контекст. След този етап данните могат да бъдат подбирани за преглед само ако са от значение за оперативните цели, посочени в заповедта (387). Гаранциите, предвидени в ЗПР от 2016 г. за проверка на събраните материали, се прилагат за всякакъв вид данни (както прихванато съдържание, така и вторични данни) (388). В член 152 и член 193 от ЗПР от 2016 г. е предвидена и обща забрана за подбор с цел преглед на материали, отнасящи се до разговори, изпратени от или предназначени за лица, които се намират на Британските острови. Ако органите желаят да проверят такива материали, те следва да подадат искане за заповед за целеви преглед по част 2 и част 4 от ЗПР от 2016 г., която се издава от министъра и се одобрява от съдебен комисар (389). Ако дадено лице умишлено подбере за преглед прихванато съдържание в нарушение на изискванията, заложени в законодателството (390), то извършва престъпление (391). |
| --- | --- |

(229)

След като заповедта бъде одобрена и се събере масивът от данни, данните се подлагат на подбор, преди да бъдат проверени. На етапите на подбор и преглед анализаторът извършва допълнителна проверка на пропорционалността, като определя критериите за подбор въз основа на оперативните цели, включени в заповедта (и на потенциално съществуващите механизми за филтриране). Както е предвидено в член 152 и член 193 от ЗПР, когато издава заповед, министърът трябва да се увери, че са въведени мерки, с които се гарантира, че подборът на материала се извършва само за определените оперативни цели и че е необходим и пропорционален при всякакви обстоятелства. В това отношение органите на Обединеното кралство поясниха, че подборът на материалите, прихващани в масиви, се извършва преди всичко чрез автоматизирано филтриране с цел отхвърляне на данните, които е малко вероятно да представляват интерес за националната сигурност. Филтрите се променят от време на време (когато се променят моделите, видовете и протоколите на интернет трафика) и зависят от технологията и оперативния контекст. След този етап данните могат да бъдат подбирани за преглед само ако са от значение за оперативните цели, посочени в заповедта (387). Гаранциите, предвидени в ЗПР от 2016 г. за проверка на събраните материали, се прилагат за всякакъв вид данни (както прихванато съдържание, така и вторични данни) (388). В член 152 и член 193 от ЗПР от 2016 г. е предвидена и обща забрана за подбор с цел преглед на материали, отнасящи се до разговори, изпратени от или предназначени за лица, които се намират на Британските острови. Ако органите желаят да проверят такива материали, те следва да подадат искане за заповед за целеви преглед по част 2 и част 4 от ЗПР от 2016 г., която се издава от министъра и се одобрява от съдебен комисар (389). Ако дадено лице умишлено подбере за преглед прихванато съдържание в нарушение на изискванията, заложени в законодателството (390), то извършва престъпление (391).

387

388

389

390

391

| (230) | Оценката, извършена от анализатора по отношение на подбора на материала, подлежи на последващ контрол от страна на IPC, който оценява спазването на специфичните гаранции, предвидени в ЗПР от 2016 г. за етапа на преглед (392) (вж. също съображение 229). IPC трябва да контролира (включително чрез одити, проверки и разследвания) упражняването от публичните органи на правомощията за разследване, посочени в ЗПР от 2016 г. (393) В това отношение в Кодекса за поведение относно прихващането [на комуникация] и в Кодекса за поведение относно намесата в оборудването се пояснява, че агенцията трябва да води документация за целите на последващи проверки и одити и в тази документация трябва да се посочва защо е необходим и пропорционален достъпът до материала от упълномощени лица и приложимите оперативни цели (394). Например в своя Годишен доклад за 2018 г. Службата на комисаря по правомощията за разследване (IPCO) (395) заключава, че документираните от анализаторите обосновки за прегледа на определени материали, събрани масово, отговарят на изисквания стандарт за пропорционалност, тъй като в тях се предоставят достатъчно подробности за причините за „запитванията“ им във връзка с целта, която трябва да бъде постигната (396). В своя доклад за 2019 г. IPCO заяви ясно намерението си във връзка правомощията, свързани с масиви от данни, да продължи проверките на масови прихващания, включително подробното разглеждане на превключвателите и критериите за търсене (397). IPCO ще продължи също така да следи внимателно и за всеки отделен случай избора на мерки за наблюдение (целеви срещу масови), както при разглеждането на молбите за издаване на заповед по процедурата с „двойна защита“, така и при инспекциите (398). Това по-нататъшно наблюдение ще бъде взето предвид в контекста на мониторинга на Комисията на настоящото решение, упоменат в съображения 281—284. |
| --- | --- |

(230)

Оценката, извършена от анализатора по отношение на подбора на материала, подлежи на последващ контрол от страна на IPC, който оценява спазването на специфичните гаранции, предвидени в ЗПР от 2016 г. за етапа на преглед (392) (вж. също съображение 229). IPC трябва да контролира (включително чрез одити, проверки и разследвания) упражняването от публичните органи на правомощията за разследване, посочени в ЗПР от 2016 г. (393) В това отношение в Кодекса за поведение относно прихващането [на комуникация] и в Кодекса за поведение относно намесата в оборудването се пояснява, че агенцията трябва да води документация за целите на последващи проверки и одити и в тази документация трябва да се посочва защо е необходим и пропорционален достъпът до материала от упълномощени лица и приложимите оперативни цели (394). Например в своя Годишен доклад за 2018 г. Службата на комисаря по правомощията за разследване (IPCO) (395) заключава, че документираните от анализаторите обосновки за прегледа на определени материали, събрани масово, отговарят на изисквания стандарт за пропорционалност, тъй като в тях се предоставят достатъчно подробности за причините за „запитванията“ им във връзка с целта, която трябва да бъде постигната (396). В своя доклад за 2019 г. IPCO заяви ясно намерението си във връзка правомощията, свързани с масиви от данни, да продължи проверките на масови прихващания, включително подробното разглеждане на превключвателите и критериите за търсене (397). IPCO ще продължи също така да следи внимателно и за всеки отделен случай избора на мерки за наблюдение (целеви срещу масови), както при разглеждането на молбите за издаване на заповед по процедурата с „двойна защита“, така и при инспекциите (398). Това по-нататъшно наблюдение ще бъде взето предвид в контекста на мониторинга на Комисията на настоящото решение, упоменат в съображения 281—284.

392

393

394

395

396

397

398

3.3.1.1.4.2.   Масово събиране на комуникационни данни

| (231) | В част 6, глава 2 от ЗПР от 2016 г. са уредени заповедите за масово събиране на данни, с които на адресата се разрешава да изиска от оператор на далекосъобщителна мрежа да разкрие или да получи всякакви комуникационни данни, които операторът притежава. С тези заповеди на органа, подал молбата, се разрешава също да извърши подбор на данните за следващия етап на преглед. Както и при целевото съхраняване и събиране на комуникационни данни (вж. съображение 199), масовото събиране на комуникационни данни също обикновено не касае лични данни на субекти на данни от ЕС, предадени на Обединеното кралство съгласно настоящото решение. Задължението за разкриване на комуникационни данни съгласно част 6, глава 2 от ЗПР от 2016 г. обхваща данни, които се събират от оператори на далекосъобщителни мрежи в Обединеното кралство директно от потребителите на далекосъобщителна услуга (399). Този тип „насочено към потребителя“ обработване обикновено не включва предаване въз основа на настоящото решение, т.е. предаване от администратор/обработващ в ЕС към администратор/обработващ в Обединеното кралство. |
| --- | --- |

(231)

В част 6, глава 2 от ЗПР от 2016 г. са уредени заповедите за масово събиране на данни, с които на адресата се разрешава да изиска от оператор на далекосъобщителна мрежа да разкрие или да получи всякакви комуникационни данни, които операторът притежава. С тези заповеди на органа, подал молбата, се разрешава също да извърши подбор на данните за следващия етап на преглед. Както и при целевото съхраняване и събиране на комуникационни данни (вж. съображение 199), масовото събиране на комуникационни данни също обикновено не касае лични данни на субекти на данни от ЕС, предадени на Обединеното кралство съгласно настоящото решение. Задължението за разкриване на комуникационни данни съгласно част 6, глава 2 от ЗПР от 2016 г. обхваща данни, които се събират от оператори на далекосъобщителни мрежи в Обединеното кралство директно от потребителите на далекосъобщителна услуга (399). Този тип „насочено към потребителя“ обработване обикновено не включва предаване въз основа на настоящото решение, т.е. предаване от администратор/обработващ в ЕС към администратор/обработващ в Обединеното кралство.

399

| (232) | За целите на изчерпателността обаче условията и гаранциите, уреждащи масовото събиране на комуникационни данни, са описани по-долу. |
| --- | --- |

(232)

За целите на изчерпателността обаче условията и гаранциите, уреждащи масовото събиране на комуникационни данни, са описани по-долу.

| (233) | ЗПР от 2016 г. заменя законодателството относно масовото събиране на комуникационни данни, което беше предмет на решението на Съда на Европейския съюз по дело Privacy International. Законодателството, разгледано в производството по това дело, беше отменено и в новия режим се предвиждат специфични условия и гаранции, при които може да бъде разрешена такава мярка. |
| --- | --- |

(233)

ЗПР от 2016 г. заменя законодателството относно масовото събиране на комуникационни данни, което беше предмет на решението на Съда на Европейския съюз по дело Privacy International. Законодателството, разгледано в производството по това дело, беше отменено и в новия режим се предвиждат специфични условия и гаранции, при които може да бъде разрешена такава мярка.

| (234) | По-специално, за разлика от предишния режим, при който министърът имаше пълна свобода да разреши мярката (400), в ЗПР от 2016 г. е поставено изискването министърът да издава заповед само ако мярката е необходима и пропорционална. Това на практика означава, че следва да има връзка между достъпа до данните и преследваната цел (401). По-конкретно министърът трябва да оцени наличието на връзка между исканата мярка и една или повече „оперативни цели“, посочени в заповедта (вж. съображение 219). По отношение на оценката на пропорционалността в съответния кодекс за поведение се посочва, че „министърът трябва да вземе предвид дали това, което се цели да бъде постигнато със заповедта, е практически възможно да бъде постигнато с други средства, които предполагат по-малка намеса (член 2, параграф 2, буква а) от закона). Например осигуряване на необходимата информация чрез упражняването на правомощие, което предполага по-малка намеса, като целево събиране на комуникационни данни“ (402). |
| --- | --- |

(234)

По-специално, за разлика от предишния режим, при който министърът имаше пълна свобода да разреши мярката (400), в ЗПР от 2016 г. е поставено изискването министърът да издава заповед само ако мярката е необходима и пропорционална. Това на практика означава, че следва да има връзка между достъпа до данните и преследваната цел (401). По-конкретно министърът трябва да оцени наличието на връзка между исканата мярка и една или повече „оперативни цели“, посочени в заповедта (вж. съображение 219). По отношение на оценката на пропорционалността в съответния кодекс за поведение се посочва, че „министърът трябва да вземе предвид дали това, което се цели да бъде постигнато със заповедта, е практически възможно да бъде постигнато с други средства, които предполагат по-малка намеса (член 2, параграф 2, буква а) от закона). Например осигуряване на необходимата информация чрез упражняването на правомощие, което предполага по-малка намеса, като целево събиране на комуникационни данни“ (402).

400

401

402

| (235) | За да извърши такава оценка, министърът ще разчита на информация, която ръководителите на разузнавателните служби (403) са длъжни да предоставят в молбите си, като например причините, поради които мярката се счита за необходима за едно от законоустановените основания, и причините, поради които това, което се цели да бъде постигнато, практически не може да бъде постигнато с други средства, които предполагат по-малка намеса (404). Освен това оперативните цели ограничават обхвата, за който получените по силата на заповедта данни може да бъдат подбрани за преглед (405). Както е посочено в съответния кодекс за поведение, в оперативните цели трябва да бъде формулирано ясно изискване и да се съдържат достатъчно подробности, за да се убеди министърът, че получените данни могат да бъдат подбрани за преглед единствено поради конкретни причини (406). В действителност, преди да одобри заповедта, министърът ще трябва да се увери, че са въведени конкретни мерки, с които се гарантира, че за преглед ще бъдат подбрани единствено тези материали, чийто преглед се счита за необходим за оперативна цел и за законоустановена цел, и че тези материали са необходими и пропорционални при всякакви обстоятелства. Това конкретно изискване за предварителна оценка на необходимостта и пропорционалността на критериите, използвани за целите на подбора, отразено в член 158 и в член 172 (407) от ЗПР от 2016 г., представлява друга важна новост на режима, въведен със ЗПР от 2016 г., в сравнение със съществувалия преди това режим. |
| --- | --- |

(235)

За да извърши такава оценка, министърът ще разчита на информация, която ръководителите на разузнавателните служби (403) са длъжни да предоставят в молбите си, като например причините, поради които мярката се счита за необходима за едно от законоустановените основания, и причините, поради които това, което се цели да бъде постигнато, практически не може да бъде постигнато с други средства, които предполагат по-малка намеса (404). Освен това оперативните цели ограничават обхвата, за който получените по силата на заповедта данни може да бъдат подбрани за преглед (405). Както е посочено в съответния кодекс за поведение, в оперативните цели трябва да бъде формулирано ясно изискване и да се съдържат достатъчно подробности, за да се убеди министърът, че получените данни могат да бъдат подбрани за преглед единствено поради конкретни причини (406). В действителност, преди да одобри заповедта, министърът ще трябва да се увери, че са въведени конкретни мерки, с които се гарантира, че за преглед ще бъдат подбрани единствено тези материали, чийто преглед се счита за необходим за оперативна цел и за законоустановена цел, и че тези материали са необходими и пропорционални при всякакви обстоятелства. Това конкретно изискване за предварителна оценка на необходимостта и пропорционалността на критериите, използвани за целите на подбора, отразено в член 158 и в член 172 (407) от ЗПР от 2016 г., представлява друга важна новост на режима, въведен със ЗПР от 2016 г., в сравнение със съществувалия преди това режим.

403

404

405

406

407

| (236) | Със ЗПР от 2016 г. също така се въвежда задължението, преди издаването на заповедта за масово събиране на комуникационни данни, министърът да гарантира, че са налице специфични ограничения за сигурността, съхраняването и разкриването на събраните лични данни (408). В случай на разкриване в чужбина в този контекст се прилагат и гаранциите, описани в съображение 227, за масово прихващане и масова намеса в оборудването (409). В законодателството са определени допълнителни ограничения относно срока на действие (410), подновяването (411) и изменението на заповедите във връзка с масиви от данни (412). |
| --- | --- |

(236)

Със ЗПР от 2016 г. също така се въвежда задължението, преди издаването на заповедта за масово събиране на комуникационни данни, министърът да гарантира, че са налице специфични ограничения за сигурността, съхраняването и разкриването на събраните лични данни (408). В случай на разкриване в чужбина в този контекст се прилагат и гаранциите, описани в съображение 227, за масово прихващане и масова намеса в оборудването (409). В законодателството са определени допълнителни ограничения относно срока на действие (410), подновяването (411) и изменението на заповедите във връзка с масиви от данни (412).

408

409

410

411

412

| (237) | Важен елемент е, че що се отнася до останалите правомощия във връзка с масиви от данни, преди издаването на заповедта министърът трябва да получи одобрението на съдебен комисар (413). Това е ключова особеност на режима, въведен със ЗПР от 2016 г. |
| --- | --- |

(237)

Важен елемент е, че що се отнася до останалите правомощия във връзка с масиви от данни, преди издаването на заповедта министърът трябва да получи одобрението на съдебен комисар (413). Това е ключова особеност на режима, въведен със ЗПР от 2016 г.

413

| (238) | Комисарят по правомощията за разследване осъществява последващ контрол върху процедурата за преглед на масово събраните материали (комуникационните данни) (вж. съображение 254 по-долу). В това отношение със ЗПР от 2016 г. е въведено изискването, преди да подбере данните за преглед, анализаторът от разузнаването, който извършва прегледа, да запише причината, поради която предложеният преглед е необходим и пропорционален за определена оперативна цел (414). По отношение на практиката на Правителствената централа за комуникации и MI5 в годишния доклад на IPCO за 2019 г. се отбелязва, че „решаващата роля на масовото събиране на комуникационни данни за спектъра от дейности, провеждани в Правителствената централа за комуникации, е добре отразена в документацията по случаите, която проверихме. Разгледахме естеството на исканите данни и заявените потребности за целите на разузнаването и се уверихме, че документацията показва, че подходът е необходим и пропорционален (415). Обосновките, документирани от MI5, бяха с добро качество и отговаряха на принципите на необходимост и пропорционалност“ (416). |
| --- | --- |

(238)

Комисарят по правомощията за разследване осъществява последващ контрол върху процедурата за преглед на масово събраните материали (комуникационните данни) (вж. съображение 254 по-долу). В това отношение със ЗПР от 2016 г. е въведено изискването, преди да подбере данните за преглед, анализаторът от разузнаването, който извършва прегледа, да запише причината, поради която предложеният преглед е необходим и пропорционален за определена оперативна цел (414). По отношение на практиката на Правителствената централа за комуникации и MI5 в годишния доклад на IPCO за 2019 г. се отбелязва, че „решаващата роля на масовото събиране на комуникационни данни за спектъра от дейности, провеждани в Правителствената централа за комуникации, е добре отразена в документацията по случаите, която проверихме. Разгледахме естеството на исканите данни и заявените потребности за целите на разузнаването и се уверихме, че документацията показва, че подходът е необходим и пропорционален (415). Обосновките, документирани от MI5, бяха с добро качество и отговаряха на принципите на необходимост и пропорционалност“ (416).

414

415

416

3.3.1.1.4.3.   Съхраняване и преглед на масиви от лични данни

| (239) | Със заповедите за масиви от лични данни (417) разузнавателните служби се оправомощават да съхраняват и преглеждат набори от данни, които съдържат лични данни, свързани с редица лица. Според обясненията, предоставени от органите на Обединеното кралство, анализът на такива набори от данни може да бъде „единственият начин UKIC да продължи разследването и да идентифицира терористи въз основа на много ограничени разузнавателни данни или когато комуникацията между тях е умишлено скрита“ (418). Съществуват два вида заповеди: „групови заповеди за масиви от лични данни“ (419), които се отнасят за определена категория набори от данни, т.е. набори от данни, които са сходни по своето съдържание и по предложения начин на използването им и пораждат сходни съображения по отношение например на степента на намеса и чувствителността и пропорционалността на тяхното използване, поради което министърът може да разгледа необходимостта и пропорционалността на получаването на всички данни от съответната група наведнъж. Например груповата заповед за масиви от лични данни може да обхваща набори от данни за пътуване, които са свързани с подобни маршрути (420). „Заповедите за конкретни масиви от лични данни“ (421) се отнасят за един конкретен набор от данни, като например набор от данни, съдържащ нов или необичаен тип информация, който не попада в обхвата на съществуваща групова заповед за масиви от лични данни, или набор от данни, който се отнася до конкретни видове лични данни (422) и поради това са необходими допълнителни гаранции (423). Разпоредбите на ЗПР от 2016 г., свързани с масивите от лични данни, дават възможност такива набори от данни да бъдат преглеждани и съхранявани само когато това е необходимо и пропорционално (424) и в съответствие с общите задължения, свързани с неприкосновеността на личния живот (425). |
| --- | --- |

(239)

Със заповедите за масиви от лични данни (417) разузнавателните служби се оправомощават да съхраняват и преглеждат набори от данни, които съдържат лични данни, свързани с редица лица. Според обясненията, предоставени от органите на Обединеното кралство, анализът на такива набори от данни може да бъде „единственият начин UKIC да продължи разследването и да идентифицира терористи въз основа на много ограничени разузнавателни данни или когато комуникацията между тях е умишлено скрита“ (418). Съществуват два вида заповеди: „групови заповеди за масиви от лични данни“ (419), които се отнасят за определена категория набори от данни, т.е. набори от данни, които са сходни по своето съдържание и по предложения начин на използването им и пораждат сходни съображения по отношение например на степента на намеса и чувствителността и пропорционалността на тяхното използване, поради което министърът може да разгледа необходимостта и пропорционалността на получаването на всички данни от съответната група наведнъж. Например груповата заповед за масиви от лични данни може да обхваща набори от данни за пътуване, които са свързани с подобни маршрути (420). „Заповедите за конкретни масиви от лични данни“ (421) се отнасят за един конкретен набор от данни, като например набор от данни, съдържащ нов или необичаен тип информация, който не попада в обхвата на съществуваща групова заповед за масиви от лични данни, или набор от данни, който се отнася до конкретни видове лични данни (422) и поради това са необходими допълнителни гаранции (423). Разпоредбите на ЗПР от 2016 г., свързани с масивите от лични данни, дават възможност такива набори от данни да бъдат преглеждани и съхранявани само когато това е необходимо и пропорционално (424) и в съответствие с общите задължения, свързани с неприкосновеността на личния живот (425).

417

418

419

420

421

422

423

424

425

| (240) | По отношение на правомощието за издаване на заповед за масиви от лични данни се прилага процедурата с „двойна защита“: оценката на необходимостта и пропорционалността на мярката се извършва първо от министъра, а след това от съдебния комисар (426). Министърът е длъжен да вземе предвид естеството и обхвата на искания тип заповед, категорията на съответните данни и броя на отделните масиви от лични данни, които може да попаднат в обхвата на конкретния тип заповед (427). Също така, както е посочено в Кодекса за поведение относно съхраняването и използването на масиви от лични данни от разузнавателните служби, трябва да се води подробна документация и тя подлежи на одит от страна на IPC (428). Съхраняването и прегледът на масиви от лични данни извън ограниченията, предвидени в ЗПР от 2016 г., е престъпление (429). |
| --- | --- |

(240)

По отношение на правомощието за издаване на заповед за масиви от лични данни се прилага процедурата с „двойна защита“: оценката на необходимостта и пропорционалността на мярката се извършва първо от министъра, а след това от съдебния комисар (426). Министърът е длъжен да вземе предвид естеството и обхвата на искания тип заповед, категорията на съответните данни и броя на отделните масиви от лични данни, които може да попаднат в обхвата на конкретния тип заповед (427). Също така, както е посочено в Кодекса за поведение относно съхраняването и използването на масиви от лични данни от разузнавателните служби, трябва да се води подробна документация и тя подлежи на одит от страна на IPC (428). Съхраняването и прегледът на масиви от лични данни извън ограниченията, предвидени в ЗПР от 2016 г., е престъпление (429).

426

427

428

429

3.3.2.   По-нататъшно използване на събраната информация

По-нататъшно използване на събраната информация

| (241) | Личните данни, обработвани в съответствие с част 4 от ЗЗД от 2018 г., не трябва да се обработват по начин, който е несъвместим с целта, за която са събрани (430). В ЗЗД от 2018 г. е предвидено, че администраторът може да обработва данните за друга цел, различна от тази, за която са били събрани, когато тази цел е съвместима с първоначалната цел и при условие че администраторът е оправомощен по закон да обработва данните и обработването е необходимо и пропорционално (431). Освен това в Закона за службите за сигурност от 1989 г. и в Закона за разузнавателните служби от 1994 г. се уточнява, че ръководителите на разузнавателните служби са длъжни да гарантират, че не се получава или разкрива информация, освен доколкото е необходимо за правилното изпълнение на функциите на службата или за други ограничени и конкретни цели, изброени в съответните разпоредби (432). |
| --- | --- |

(241)

Личните данни, обработвани в съответствие с част 4 от ЗЗД от 2018 г., не трябва да се обработват по начин, който е несъвместим с целта, за която са събрани (430). В ЗЗД от 2018 г. е предвидено, че администраторът може да обработва данните за друга цел, различна от тази, за която са били събрани, когато тази цел е съвместима с първоначалната цел и при условие че администраторът е оправомощен по закон да обработва данните и обработването е необходимо и пропорционално (431). Освен това в Закона за службите за сигурност от 1989 г. и в Закона за разузнавателните служби от 1994 г. се уточнява, че ръководителите на разузнавателните служби са длъжни да гарантират, че не се получава или разкрива информация, освен доколкото е необходимо за правилното изпълнение на функциите на службата или за други ограничени и конкретни цели, изброени в съответните разпоредби (432).

430

431

432

| (242) | Освен това в член 109 от ЗЗД от 2018 г. са определени конкретни изисквания за международното предаване на лични данни от разузнавателни служби към трети държави или международни организации. Съгласно тази разпоредба не се разрешава предаване на лични данни на държава или територия извън Обединеното кралство, или на международна организация, освен ако предаването е необходимо и пропорционално за целите на законоустановените функции на администратора или за други цели, предвидени в член 2, параграф 2, буква а) от Закона за службите за сигурност от 1989 г. или в член 2, параграф 2, буква а) и член 4, параграф 2, буква а) от Закона за разузнавателните служби от 1994 г. (433). Важно е да се отбележи, че тези изисквания се прилагат и в случаите, когато се прави позоваване на изключението във връзка с националната сигурност съгласно член 110 от ЗЗД от 2018 г., тъй като в него не е посочен член 109 от ЗЗД от 2018 г. като една от разпоредбите, която може да не се прилага, ако се изисква освобождаване от определени разпоредби с цел опазване на националната сигурност. |
| --- | --- |

(242)

Освен това в член 109 от ЗЗД от 2018 г. са определени конкретни изисквания за международното предаване на лични данни от разузнавателни служби към трети държави или международни организации. Съгласно тази разпоредба не се разрешава предаване на лични данни на държава или територия извън Обединеното кралство, или на международна организация, освен ако предаването е необходимо и пропорционално за целите на законоустановените функции на администратора или за други цели, предвидени в член 2, параграф 2, буква а) от Закона за службите за сигурност от 1989 г. или в член 2, параграф 2, буква а) и член 4, параграф 2, буква а) от Закона за разузнавателните служби от 1994 г. (433). Важно е да се отбележи, че тези изисквания се прилагат и в случаите, когато се прави позоваване на изключението във връзка с националната сигурност съгласно член 110 от ЗЗД от 2018 г., тъй като в него не е посочен член 109 от ЗЗД от 2018 г. като една от разпоредбите, която може да не се прилага, ако се изисква освобождаване от определени разпоредби с цел опазване на националната сигурност.

433

| (243) | Освен това, както беше подчертано от ICO в нейните насоки относно обработването на лични данни от разузнавателните служби, в допълнение към гаранциите, предвидени в част 4 от ЗЗД от 2018 г., разузнавателната служба, когато обменя данни с разузнавателен орган на трета държава, също е обект на гаранции, предвидени в други приложими към тях законодателни мерки, за да се гарантира, че личните данни се получават, споделят и обработват законосъобразно и отговорно (434). И накрая, в ЗПР от 2016 г. са предвидени допълнителни гаранции във връзка с предаването на трета държава на материали, събрани чрез целево прихващане (435), целева намеса в оборудването (436), масово прихващане (437), масово събиране на комуникационни данни (438) и масова намеса в оборудването (439) (така нареченото „разкриване в чужбина“). По-специално органът, който издава заповедта, трябва да се увери, че са налице договорености, които гарантират, че третата държава, която получава данните, ограничава броя на лицата, които виждат материалите, степента на разкриване и броя на копията, които се правят от който и да е материал, до необходимия минимум за разрешените цели, определени в ЗПР от 2016 г. (440). |
| --- | --- |

(243)

Освен това, както беше подчертано от ICO в нейните насоки относно обработването на лични данни от разузнавателните служби, в допълнение към гаранциите, предвидени в част 4 от ЗЗД от 2018 г., разузнавателната служба, когато обменя данни с разузнавателен орган на трета държава, също е обект на гаранции, предвидени в други приложими към тях законодателни мерки, за да се гарантира, че личните данни се получават, споделят и обработват законосъобразно и отговорно (434). И накрая, в ЗПР от 2016 г. са предвидени допълнителни гаранции във връзка с предаването на трета държава на материали, събрани чрез целево прихващане (435), целева намеса в оборудването (436), масово прихващане (437), масово събиране на комуникационни данни (438) и масова намеса в оборудването (439) (така нареченото „разкриване в чужбина“). По-специално органът, който издава заповедта, трябва да се увери, че са налице договорености, които гарантират, че третата държава, която получава данните, ограничава броя на лицата, които виждат материалите, степента на разкриване и броя на копията, които се правят от който и да е материал, до необходимия минимум за разрешените цели, определени в ЗПР от 2016 г. (440).

434

435

436

437

438

439

440

3.3.3.   Надзор

Надзор

| (244) | Надзор върху достъпа на правителството за цели, свързани с националната сигурност, се упражнява от редица различни органи. Комисарят по информацията контролира обработването на лични данни с оглед на ЗЗД от 2018 г. (за повече информация относно независимостта, ролята по отношение на назначаването и правомощията на комисаря вж. съображения 85—98), а независим и съдебен надзор върху упражняването на правомощията за разследване по ЗПР от 2016 г. се осигурява от IPC. IPC контролира упражняването на правомощията за разследване по ЗПР от 2016 г. както от правоприлагащите органи, така и от органите за национална сигурност. Политическият надзор се осигурява от Парламентарната комисия за разузнавателните служби. |
| --- | --- |

(244)

Надзор върху достъпа на правителството за цели, свързани с националната сигурност, се упражнява от редица различни органи. Комисарят по информацията контролира обработването на лични данни с оглед на ЗЗД от 2018 г. (за повече информация относно независимостта, ролята по отношение на назначаването и правомощията на комисаря вж. съображения 85—98), а независим и съдебен надзор върху упражняването на правомощията за разследване по ЗПР от 2016 г. се осигурява от IPC. IPC контролира упражняването на правомощията за разследване по ЗПР от 2016 г. както от правоприлагащите органи, така и от органите за национална сигурност. Политическият надзор се осигурява от Парламентарната комисия за разузнавателните служби.

3.3.3.1.   Контрол съгласно част 4 от ЗЗД

Контрол съгласно част 4 от ЗЗД

| (245) | Обработването на лични данни, извършвано от разузнавателните служби съгласно част 4 от ЗЗД от 2018 г., се надзирава от комисаря по информацията (441). |
| --- | --- |

(245)

Обработването на лични данни, извършвано от разузнавателните служби съгласно част 4 от ЗЗД от 2018 г., се надзирава от комисаря по информацията (441).

441

| (246) | Общите функции на комисаря по информацията във връзка с обработването на лични данни от разузнавателните служби съгласно част 4 от ЗЗД от 2018 г. са определени в приложение 13 към ЗЗД от 2018 г. Задачите му включват, без това изброяване да е изчерпателно, наблюдение и привеждане в изпълнение на част 4 от ЗЗД от 2018 г., повишаване на обществената осведоменост, предоставяне на консултации на Парламента, правителството и други институции относно законодателните и административните мерки, повишаване на осведомеността на администраторите и обработващите лични данни за техните задължения, предоставяне на информация на субекта на данни относно упражняването на неговите права, провеждане на разследвания и др. |
| --- | --- |

(246)

Общите функции на комисаря по информацията във връзка с обработването на лични данни от разузнавателните служби съгласно част 4 от ЗЗД от 2018 г. са определени в приложение 13 към ЗЗД от 2018 г. Задачите му включват, без това изброяване да е изчерпателно, наблюдение и привеждане в изпълнение на част 4 от ЗЗД от 2018 г., повишаване на обществената осведоменост, предоставяне на консултации на Парламента, правителството и други институции относно законодателните и административните мерки, повишаване на осведомеността на администраторите и обработващите лични данни за техните задължения, предоставяне на информация на субекта на данни относно упражняването на неговите права, провеждане на разследвания и др.

| (247) | Що се отнася до част 3 от ЗЗД от 2018 г., комисарят има правомощията да уведомява администраторите за твърдяно нарушение и да отправя предупреждения, че има вероятност дадено обработване да наруши правилата, както и да отправя официални предупреждения при потвърждаване на нарушението. Той може също така да издава изпълнителни и наказателни постановления за нарушения на определени разпоредби от закона (442). Въпреки това, за разлика от другите части на ЗЗД от 2018 г., комисарят не може да издаде ревизионно постановление на орган, свързан с националната сигурност (443). |
| --- | --- |

(247)

Що се отнася до част 3 от ЗЗД от 2018 г., комисарят има правомощията да уведомява администраторите за твърдяно нарушение и да отправя предупреждения, че има вероятност дадено обработване да наруши правилата, както и да отправя официални предупреждения при потвърждаване на нарушението. Той може също така да издава изпълнителни и наказателни постановления за нарушения на определени разпоредби от закона (442). Въпреки това, за разлика от другите части на ЗЗД от 2018 г., комисарят не може да издаде ревизионно постановление на орган, свързан с националната сигурност (443).

442

443

| (248) | Освен това в член 110 от ЗЗД от 2018 г. се предвижда изключение от използването на определени правомощия на комисаря, когато това е необходимо за целите на опазването на националната сигурност. Това включва правомощието на комисаря да издава (всякакъв вид) постановления съгласно ЗЗД (информационни, ревизионни, изпълнителни и наказателни), правомощието да извършва проверки в съответствие с международните задължения, правомощията за влизане и проверка, както и правилата относно нарушенията (444). Както е обяснено в съображение 126, тези изключения се прилагат само ако е необходимо и пропорционално и въз основа на анализа на всеки отделен случай. |
| --- | --- |

(248)

Освен това в член 110 от ЗЗД от 2018 г. се предвижда изключение от използването на определени правомощия на комисаря, когато това е необходимо за целите на опазването на националната сигурност. Това включва правомощието на комисаря да издава (всякакъв вид) постановления съгласно ЗЗД (информационни, ревизионни, изпълнителни и наказателни), правомощието да извършва проверки в съответствие с международните задължения, правомощията за влизане и проверка, както и правилата относно нарушенията (444). Както е обяснено в съображение 126, тези изключения се прилагат само ако е необходимо и пропорционално и въз основа на анализа на всеки отделен случай.

444

| (249) | ICO и разузнавателните служби на Обединеното кралство подписаха меморандум за разбирателство (445), с който се установява рамка за сътрудничество по редица въпроси, включително уведомленията за нарушения на сигурността на данните и разглеждането на жалбите на субектите на данни. По-специално в него се предвижда, че при получаване на жалба ICO преценява дали прилагането на освобождаване, свързано с националната сигурност, е направено законосъобразно. Отговорите на запитвания, отправени от ICO в контекста на разглеждането на индивидуални жалби, трябва да бъдат дадени в срок от 20 работни дни от съответната разузнавателна агенция, като се използват подходящи сигурни канали, ако тези отговори включват класифицирана информация. От април 2018 г. до момента ICO е получила 21 жалби от физически лица относно разузнавателните служби. Всяка жалба беше оценена и резултатът беше съобщен на субекта на данни (446). |
| --- | --- |

(249)

ICO и разузнавателните служби на Обединеното кралство подписаха меморандум за разбирателство (445), с който се установява рамка за сътрудничество по редица въпроси, включително уведомленията за нарушения на сигурността на данните и разглеждането на жалбите на субектите на данни. По-специално в него се предвижда, че при получаване на жалба ICO преценява дали прилагането на освобождаване, свързано с националната сигурност, е направено законосъобразно. Отговорите на запитвания, отправени от ICO в контекста на разглеждането на индивидуални жалби, трябва да бъдат дадени в срок от 20 работни дни от съответната разузнавателна агенция, като се използват подходящи сигурни канали, ако тези отговори включват класифицирана информация. От април 2018 г. до момента ICO е получила 21 жалби от физически лица относно разузнавателните служби. Всяка жалба беше оценена и резултатът беше съобщен на субекта на данни (446).

445

446

3.3.3.2.   Надзор на упражняването на правомощията за разследване съгласно ЗПР от 2016 г.

Надзор на упражняването на правомощията за разследване съгласно ЗПР от 2016 г.

| (250) | Съгласно част 8 от ЗПР от 2016 г. надзорът над упражняването на правомощията за разследване се осъществява от комисаря по правомощията за разследване (IPC). IPC се подпомага от други съдебни комисари, които заедно се наричат съдебни комисари (447). В ЗПР от 2016 г. се определят гаранциите, които защитават независимостта на съдебните комисари. От съдебните комисари се изисква да заемат или да са заемали висша съдебна длъжност (т.е. трябва да са или да са били членове на най-висшите съдилища) (448) и, като всеки член на съдебната власт, те са независими от правителството (449). Съгласно член 227 от ЗПР от 2016 г. министър-председателят назначава IPC и толкова съдебни комисари, колкото счита за необходимо. Всички комисари, независимо дали са настоящи или бивши членове на съдебната власт, могат да бъдат назначавани само въз основа на съвместна препоръка от трите главни съдии за Англия и Уелс, Шотландия и Северна Ирландия и лорд-канцлера (450). Министърът трябва да осигури на IPC персонал, помещения, оборудване и други съоръжения и услуги (451). Мандатът на комисарите е три години и те могат да бъдат преназначавани (452). Съдебните комисари могат да бъдат отстранявани от длъжност единствено при строги условия, налагащи висок праг: или от министър-председателя при специфичните обстоятелства, изброени изчерпателно в член 228, параграф 5 от ЗПР от 2016 г. (напр. несъстоятелност или лишаване от свобода), или ако всяка от камарите на Парламента приеме решение за одобряване на отстраняването (453). |
| --- | --- |

(250)

Съгласно част 8 от ЗПР от 2016 г. надзорът над упражняването на правомощията за разследване се осъществява от комисаря по правомощията за разследване (IPC). IPC се подпомага от други съдебни комисари, които заедно се наричат съдебни комисари (447). В ЗПР от 2016 г. се определят гаранциите, които защитават независимостта на съдебните комисари. От съдебните комисари се изисква да заемат или да са заемали висша съдебна длъжност (т.е. трябва да са или да са били членове на най-висшите съдилища) (448) и, като всеки член на съдебната власт, те са независими от правителството (449). Съгласно член 227 от ЗПР от 2016 г. министър-председателят назначава IPC и толкова съдебни комисари, колкото счита за необходимо. Всички комисари, независимо дали са настоящи или бивши членове на съдебната власт, могат да бъдат назначавани само въз основа на съвместна препоръка от трите главни съдии за Англия и Уелс, Шотландия и Северна Ирландия и лорд-канцлера (450). Министърът трябва да осигури на IPC персонал, помещения, оборудване и други съоръжения и услуги (451). Мандатът на комисарите е три години и те могат да бъдат преназначавани (452). Съдебните комисари могат да бъдат отстранявани от длъжност единствено при строги условия, налагащи висок праг: или от министър-председателя при специфичните обстоятелства, изброени изчерпателно в член 228, параграф 5 от ЗПР от 2016 г. (напр. несъстоятелност или лишаване от свобода), или ако всяка от камарите на Парламента приеме решение за одобряване на отстраняването (453).

447

448

449

450

451

452

453

| (251) | IPC и съдебните комисари се подпомагат в изпълнението на задълженията си от Службата на комисаря по правомощията за разследване (IPCO). Персоналът на IPCO включва екип от инспектори, вътрешни служители с правен и технически опит и Технически консултативен комитет, който предоставя експертни съвети. Както за отделните съдебни комисари, независимостта на IPCO е защитена. IPCO е „несвързан орган“ на Министерството на вътрешните работи, т.е. получава финансиране от Министерството на вътрешните работи, но изпълнява функциите си независимо (454). |
| --- | --- |

(251)

IPC и съдебните комисари се подпомагат в изпълнението на задълженията си от Службата на комисаря по правомощията за разследване (IPCO). Персоналът на IPCO включва екип от инспектори, вътрешни служители с правен и технически опит и Технически консултативен комитет, който предоставя експертни съвети. Както за отделните съдебни комисари, независимостта на IPCO е защитена. IPCO е „несвързан орган“ на Министерството на вътрешните работи, т.е. получава финансиране от Министерството на вътрешните работи, но изпълнява функциите си независимо (454).

454

| (252) | Основните функции на съдебните комисари са посочени в член 229 от ЗПР от 2016 г. (455). По-специално съдебните комисари имат широко правомощие за предварително одобрение, което е част от гаранциите, въведени в правната уредба на Обединеното кралство със ЗПР от 2016 г. Заповедите във връзка с целево прихващане, намеса в оборудването, масиви от лични данни, масово събиране на комуникационни данни, както и постановленията за съхраняване на данни за комуникацията трябва да бъдат одобрени от съдебни комисари (456). IPC също така трябва винаги да разрешава предварително събирането на комуникационни данни за целите на правоприлагането (457). Ако комисар откаже да одобри заповед, министърът може да обжалва отказа пред комисаря по правомощията за разследване, чието решение е окончателно. |
| --- | --- |

(252)

Основните функции на съдебните комисари са посочени в член 229 от ЗПР от 2016 г. (455). По-специално съдебните комисари имат широко правомощие за предварително одобрение, което е част от гаранциите, въведени в правната уредба на Обединеното кралство със ЗПР от 2016 г. Заповедите във връзка с целево прихващане, намеса в оборудването, масиви от лични данни, масово събиране на комуникационни данни, както и постановленията за съхраняване на данни за комуникацията трябва да бъдат одобрени от съдебни комисари (456). IPC също така трябва винаги да разрешава предварително събирането на комуникационни данни за целите на правоприлагането (457). Ако комисар откаже да одобри заповед, министърът може да обжалва отказа пред комисаря по правомощията за разследване, чието решение е окончателно.

455

456

457

| (253) | Специалният докладчик на ООН за правото на неприкосновеност на личния живот силно приветства създаването на длъжността „съдебен комисар“ със ЗПР от 2016 г., тъй като „всички по-чувствителни или свързани с намеса искания за провеждане на наблюдение трябва да бъдат разрешавани както от министър, така и от Службата на комисаря по правомощията за разследване“. По-специално той подчертава, че „този елемент на съдебен контрол [чрез функциите на IPC], подпомаган от по-добре осигурен с ресурси екип от опитни инспектори и експерти в областта на технологиите, е една от най-важните нови гаранции, въведени със ЗПР“, която заменя съществувалата по-рано фрагментирана система от надзорни органи и допълва ролята на парламентарната Комисия по разузнаване и сигурност и на Трибунала за правомощията за разследване“ (458). |
| --- | --- |

(253)

Специалният докладчик на ООН за правото на неприкосновеност на личния живот силно приветства създаването на длъжността „съдебен комисар“ със ЗПР от 2016 г., тъй като „всички по-чувствителни или свързани с намеса искания за провеждане на наблюдение трябва да бъдат разрешавани както от министър, така и от Службата на комисаря по правомощията за разследване“. По-специално той подчертава, че „този елемент на съдебен контрол [чрез функциите на IPC], подпомаган от по-добре осигурен с ресурси екип от опитни инспектори и експерти в областта на технологиите, е една от най-важните нови гаранции, въведени със ЗПР“, която заменя съществувалата по-рано фрагментирана система от надзорни органи и допълва ролята на парламентарната Комисия по разузнаване и сигурност и на Трибунала за правомощията за разследване“ (458).

458

| (254) | Освен това IPC има правомощията да осъществява последващ контрол на упражняването на правомощията за разследване съгласно ЗПР от 2016 г. (459), както и някои други правомощия и функции, предвидени в съответното законодателство (460). Резултатите от такъв последващ контрол се включват в доклада, който IPC трябва да изготвя ежегодно и да представя на министър-председателя (461) и който трябва да бъде публикуван и внесен в Парламента (462). Докладът съдържа подходящи статистически данни и информация за упражняването на правомощията за разследване от разузнавателните служби и от правоприлагащите органи, както и за прилагането на гаранциите по отношение на съобщения, които са обект на адвокатска тайна, поверителни журналистически материали и източници на журналистическа информация, и информация за предприетите мерки и оперативните цели, използвани в контекста на заповеди във връзка с масиви от данни. И накрая, в годишния доклад на IPCO се посочва в коя област са дадени препоръки на публичните органи и как тези препоръки са били отразени (463). |
| --- | --- |

(254)

Освен това IPC има правомощията да осъществява последващ контрол на упражняването на правомощията за разследване съгласно ЗПР от 2016 г. (459), както и някои други правомощия и функции, предвидени в съответното законодателство (460). Резултатите от такъв последващ контрол се включват в доклада, който IPC трябва да изготвя ежегодно и да представя на министър-председателя (461) и който трябва да бъде публикуван и внесен в Парламента (462). Докладът съдържа подходящи статистически данни и информация за упражняването на правомощията за разследване от разузнавателните служби и от правоприлагащите органи, както и за прилагането на гаранциите по отношение на съобщения, които са обект на адвокатска тайна, поверителни журналистически материали и източници на журналистическа информация, и информация за предприетите мерки и оперативните цели, използвани в контекста на заповеди във връзка с масиви от данни. И накрая, в годишния доклад на IPCO се посочва в коя област са дадени препоръки на публичните органи и как тези препоръки са били отразени (463).

459

460

461

462

463

| (255) | Съгласно член 231 от ЗПР от 2016 г., ако узнае за грешка от значение, допусната от публични органи при упражняването на техните правомощия за разследване, IPC трябва да уведоми заинтересованото лице, когато смята, че грешката е сериозна и че е в обществен интерес лицето да бъде информирано (464). По-специално в член 231 от ЗПР от 2016 г. е посочено, че когато уведомява лице за грешка, IPC трябва да предостави информация за всяко право на това лице да внесе иск пред Трибунала за правомощията за разследване, както и да предостави такива подробности, каквито комисарят сметне за необходими за упражняването на тези права и по отношение на които смята, че е в обществен интерес те да бъдат разкрити (465). |
| --- | --- |

(255)

Съгласно член 231 от ЗПР от 2016 г., ако узнае за грешка от значение, допусната от публични органи при упражняването на техните правомощия за разследване, IPC трябва да уведоми заинтересованото лице, когато смята, че грешката е сериозна и че е в обществен интерес лицето да бъде информирано (464). По-специално в член 231 от ЗПР от 2016 г. е посочено, че когато уведомява лице за грешка, IPC трябва да предостави информация за всяко право на това лице да внесе иск пред Трибунала за правомощията за разследване, както и да предостави такива подробности, каквито комисарят сметне за необходими за упражняването на тези права и по отношение на които смята, че е в обществен интерес те да бъдат разкрити (465).

464

465

3.3.3.3.   Парламентарен надзор на разузнавателните служби

Парламентарен надзор на разузнавателните служби

| (256) | Правното основание за парламентарния надзор, упражняван от Комисията по разузнаване и сигурност (ISC), е в Закона за правосъдието и сигурността (Justice and Security Act) от 2013 г. (ЗПС от 2013 г.) (466). Със Закона ISC се създава като комисия на Парламента на Обединеното кралство. От 2013 г. на ISC бяха предоставени по-големи правомощия, включително надзор на оперативните дейности на службите за сигурност. Съгласно член 2 от ЗПС от 2013 г., ISC има за задача да надзирава разходите, администрирането, политиките и операциите на националните агенции за сигурност. В ЗПС от 2013 г. се уточнява, че ISC има право да провежда разследвания по оперативни въпроси, когато те не са свързани с текущи операции (467). Меморандумът за разбирателство, договорен между министър-председателя и ISC (468), уточнява подробно елементите, които трябва да се вземат предвид, когато се преценява дали дадена дейност не е част от текуща операция (469). Министър-председателят може да поиска от ISC да разследва текущи операции и ISC може да прави преглед на информацията, предоставена доброволно от агенциите. |
| --- | --- |

(256)

Правното основание за парламентарния надзор, упражняван от Комисията по разузнаване и сигурност (ISC), е в Закона за правосъдието и сигурността (Justice and Security Act) от 2013 г. (ЗПС от 2013 г.) (466). Със Закона ISC се създава като комисия на Парламента на Обединеното кралство. От 2013 г. на ISC бяха предоставени по-големи правомощия, включително надзор на оперативните дейности на службите за сигурност. Съгласно член 2 от ЗПС от 2013 г., ISC има за задача да надзирава разходите, администрирането, политиките и операциите на националните агенции за сигурност. В ЗПС от 2013 г. се уточнява, че ISC има право да провежда разследвания по оперативни въпроси, когато те не са свързани с текущи операции (467). Меморандумът за разбирателство, договорен между министър-председателя и ISC (468), уточнява подробно елементите, които трябва да се вземат предвид, когато се преценява дали дадена дейност не е част от текуща операция (469). Министър-председателят може да поиска от ISC да разследва текущи операции и ISC може да прави преглед на информацията, предоставена доброволно от агенциите.

466

467

468

469

| (257) | Съгласно приложение 1 към ЗПС от 2013 г. ISC може да поиска от ръководителите на всяка една от трите разузнавателни служби да разкрият всякаква информация. Агенцията трябва да предостави тази информация, освен ако министърът не наложи вето (470). Според обясненията, предоставени от органите на Обединеното кралство, на практика много малко информация не се предоставя на ISC (471). |
| --- | --- |

(257)

Съгласно приложение 1 към ЗПС от 2013 г. ISC може да поиска от ръководителите на всяка една от трите разузнавателни служби да разкрият всякаква информация. Агенцията трябва да предостави тази информация, освен ако министърът не наложи вето (470). Според обясненията, предоставени от органите на Обединеното кралство, на практика много малко информация не се предоставя на ISC (471).

470

471

| (258) | ISC се състои от членове, принадлежащи към двете камари на Парламента и назначени от министър-председателя след консултация с лидера на опозицията (472). От ISC се изисква да представя на Парламента годишен доклад относно изпълнението на своите функции и други доклади, които счита за подходящи (473). Освен това ISC има право да получава на всеки три месеца списъка с оперативни цели, които се използват за проверка на масиви от получени материали (474). Министър-председателят изпраща на ISC копия от извършените от комисаря по правомощията за разследване разследвания, проверки или одити, когато разгледаният в докладите въпрос е от значение за законоустановените правомощия на комисията (475). И накрая, комисията може да поиска от IPC да извърши разследване и комисарят трябва да уведоми ISC за решението дали да се извърши такова разследване (476). |
| --- | --- |

(258)

ISC се състои от членове, принадлежащи към двете камари на Парламента и назначени от министър-председателя след консултация с лидера на опозицията (472). От ISC се изисква да представя на Парламента годишен доклад относно изпълнението на своите функции и други доклади, които счита за подходящи (473). Освен това ISC има право да получава на всеки три месеца списъка с оперативни цели, които се използват за проверка на масиви от получени материали (474). Министър-председателят изпраща на ISC копия от извършените от комисаря по правомощията за разследване разследвания, проверки или одити, когато разгледаният в докладите въпрос е от значение за законоустановените правомощия на комисията (475). И накрая, комисията може да поиска от IPC да извърши разследване и комисарят трябва да уведоми ISC за решението дали да се извърши такова разследване (476).

472

473

474

475

476

| (259) | ISC също така даде своя принос към проекта на ЗПР от 2016 г. и това доведе до редица изменения, които сега са отразени в ЗПР от 2016 г. (477). По-специално ISC препоръча да се засили защитата на неприкосновеността на личния живот чрез въвеждане на набор от мерки за защита на неприкосновеността на личния живот, които се прилагат в целия спектър от правомощия за разследване (478). Комисията също така предложи промени в предвижданите възможности по отношение на намесата в оборудването, големите масиви от лични данни и комуникационните данни и поиска други конкретни изменения, за да се засилят ограниченията и гаранциите при упражняването на правомощия за разследване (479). |
| --- | --- |

(259)

ISC също така даде своя принос към проекта на ЗПР от 2016 г. и това доведе до редица изменения, които сега са отразени в ЗПР от 2016 г. (477). По-специално ISC препоръча да се засили защитата на неприкосновеността на личния живот чрез въвеждане на набор от мерки за защита на неприкосновеността на личния живот, които се прилагат в целия спектър от правомощия за разследване (478). Комисията също така предложи промени в предвижданите възможности по отношение на намесата в оборудването, големите масиви от лични данни и комуникационните данни и поиска други конкретни изменения, за да се засилят ограниченията и гаранциите при упражняването на правомощия за разследване (479).

477

478

479

3.3.4.   Средства за правна защита

Средства за правна защита

| (260) | В областта на държавния достъп за цели, свързани с националната сигурност, субектите на данни трябва да имат възможност да заведат иск пред независим и безпристрастен съд, за да получат достъп до своите лични данни или за да бъдат техните лични данни коригирани или изтрити (480). Такъв съдебен орган трябва по-специално да има правомощието да приема решения, които са задължителни за разузнавателната служба (481). В Обединеното кралство, както е обяснено в съображения 261—271, с редица възможни средства за правна защита на субектите на данни се предоставя възможност да търсят и получават такава правна защита. |
| --- | --- |

(260)

В областта на държавния достъп за цели, свързани с националната сигурност, субектите на данни трябва да имат възможност да заведат иск пред независим и безпристрастен съд, за да получат достъп до своите лични данни или за да бъдат техните лични данни коригирани или изтрити (480). Такъв съдебен орган трябва по-специално да има правомощието да приема решения, които са задължителни за разузнавателната служба (481). В Обединеното кралство, както е обяснено в съображения 261—271, с редица възможни средства за правна защита на субектите на данни се предоставя възможност да търсят и получават такава правна защита.

480

481

3.3.4.1.   Механизми за правна защита, предвидени в част 4 от ЗЗД

Механизми за правна защита, предвидени в част 4 от ЗЗД

| (261) | Съгласно член 165 от ЗЗД от 2018 г. субектът на данни има право да подаде жалба до комисаря по информацията, ако смята, че във връзка с личните му данни е извършено нарушение на част 4 от ЗЗД от 2018 г. Комисарят по информацията има правомощието да оценява дали администраторът и обработващият данни спазват ЗЗД от 2018 г., както и да изисква от тях да предприемат необходимите действия. Освен това съгласно част 4 от ЗЗД от 2018 г. физическите лица имат право да поискат от Висшия съд (или Върховния съд по граждански дела (Court of Session) в Шотландия) да постанови мярка, с която на администратора се разпорежда да спазва правото на достъп до данните (482), да възразят срещу обработването (483) и на коригиране или изтриване (484). |
| --- | --- |

(261)

Съгласно член 165 от ЗЗД от 2018 г. субектът на данни има право да подаде жалба до комисаря по информацията, ако смята, че във връзка с личните му данни е извършено нарушение на част 4 от ЗЗД от 2018 г. Комисарят по информацията има правомощието да оценява дали администраторът и обработващият данни спазват ЗЗД от 2018 г., както и да изисква от тях да предприемат необходимите действия. Освен това съгласно част 4 от ЗЗД от 2018 г. физическите лица имат право да поискат от Висшия съд (или Върховния съд по граждански дела (Court of Session) в Шотландия) да постанови мярка, с която на администратора се разпорежда да спазва правото на достъп до данните (482), да възразят срещу обработването (483) и на коригиране или изтриване (484).

482

483

484

| (262) | Физическите лица също така имат право да поискат обезщетение за вреди от администратора или обработващия лични данни, претърпени поради нарушение на изискване на част 4 от ЗЗД от 2018 г. (485). Вредите включват както финансови загуби, така и вреди, които не са свързани с финансови загуби, като например емоционално страдание (486). |
| --- | --- |

(262)

Физическите лица също така имат право да поискат обезщетение за вреди от администратора или обработващия лични данни, претърпени поради нарушение на изискване на част 4 от ЗЗД от 2018 г. (485). Вредите включват както финансови загуби, така и вреди, които не са свързани с финансови загуби, като например емоционално страдание (486).

485

486

3.3.4.2.   Механизми за правна защита, предвидени в ЗПР от 2016 г.

Механизми за правна защита, предвидени в ЗПР от 2016 г.

| (263) | Физическите лица могат да получат правна защита във връзка с нарушения на ЗПР от 2016 г. от Трибунала за правомощията за разследване. |
| --- | --- |

(263)

Физическите лица могат да получат правна защита във връзка с нарушения на ЗПР от 2016 г. от Трибунала за правомощията за разследване.

| (264) | Трибуналът за правомощията за разследване е създаден със ЗУПР от 2000 г. и е независим от изпълнителната власт (487). В съответствие с член 65 от ЗУПР от 2000 г. членовете на този трибунал се назначават от Нейно Величество за срок от пет години. Член на този трибунал може да бъде отстранен от длъжност от Нейно величество след обръщение (488) от страна на двете камари на Парламента (489). |
| --- | --- |

(264)

Трибуналът за правомощията за разследване е създаден със ЗУПР от 2000 г. и е независим от изпълнителната власт (487). В съответствие с член 65 от ЗУПР от 2000 г. членовете на този трибунал се назначават от Нейно Величество за срок от пет години. Член на този трибунал може да бъде отстранен от длъжност от Нейно величество след обръщение (488) от страна на двете камари на Парламента (489).

487

488

489

| (265) | Съгласно член 65 от ЗУПР от 2000 г. Съдът е подходящият съдебен орган за всяка жалба от лице, пострадало в резултат на действия по ЗПР от 2016 г., по ЗУПР от 2000 г. или в резултат на каквото и да е действие на разузнавателните служби (490). |
| --- | --- |

(265)

Съгласно член 65 от ЗУПР от 2000 г. Съдът е подходящият съдебен орган за всяка жалба от лице, пострадало в резултат на действия по ЗПР от 2016 г., по ЗУПР от 2000 г. или в резултат на каквото и да е действие на разузнавателните служби (490).

490

| (266) | За да предяви иск пред Трибунала за правомощията за разследване („изискване за процесуална легитимация“), съгласно член 65 от ЗУПР от 2000 г. дадено лице трябва да е убедено (491), че спрямо него, спрямо негова собственост, спрямо съобщения, изпратени от него или до него, или предназначени за него, или спрямо използването от него на пощенска или далекосъобщителна услуга, или далекосъобщителна система е било извършено действие от разузнавателна служба“ (492). Освен това жалбоподателят трябва да е убеден, че действието е извършено при „подлежащи на обжалване обстоятелства“ (493) или „е извършено от или от името на разузнавателни служби“ (494). Тъй като по-специално понятието „убедено“ се тълкува доста широко (495), завеждането на дело пред този трибунал подлежи на ниски изисквания за процесуална легитимация. |
| --- | --- |

(266)

За да предяви иск пред Трибунала за правомощията за разследване („изискване за процесуална легитимация“), съгласно член 65 от ЗУПР от 2000 г. дадено лице трябва да е убедено (491), че спрямо него, спрямо негова собственост, спрямо съобщения, изпратени от него или до него, или предназначени за него, или спрямо използването от него на пощенска или далекосъобщителна услуга, или далекосъобщителна система е било извършено действие от разузнавателна служба“ (492). Освен това жалбоподателят трябва да е убеден, че действието е извършено при „подлежащи на обжалване обстоятелства“ (493) или „е извършено от или от името на разузнавателни служби“ (494). Тъй като по-специално понятието „убедено“ се тълкува доста широко (495), завеждането на дело пред този трибунал подлежи на ниски изисквания за процесуална легитимация.

491

492

493

494

495

| (267) | Когато Трибуналът за правомощията за разследване разглежда жалба, подадена до него, той е длъжен да разследва дали лицата, срещу които е отправено обвинение в жалбата, са имали контакт с жалбоподателя, както и да разследва органа, за който се твърди, че е участвал в нарушенията, и дали предполагаемото действие е било извършено (496). Когато води дадено производство, за да се произнесе в това производство, Трибуналът трябва да приложи същите принципи, които биха били приложени от съд във връзка с жалба по линия на за съдебния контрол (497). Освен това адресатите на заповедите или постановленията по ЗПР от 2016 г. и всяко друго лице, заемащо държавна длъжност, наето от полицията или от комисаря за разследване и проверка на полицията, са длъжни да разкрият пред този трибунал или да му предоставят всички документи и информация, които Трибуналът може да изиска, за да може да упражни своите правомощия (498). |
| --- | --- |

(267)

Когато Трибуналът за правомощията за разследване разглежда жалба, подадена до него, той е длъжен да разследва дали лицата, срещу които е отправено обвинение в жалбата, са имали контакт с жалбоподателя, както и да разследва органа, за който се твърди, че е участвал в нарушенията, и дали предполагаемото действие е било извършено (496). Когато води дадено производство, за да се произнесе в това производство, Трибуналът трябва да приложи същите принципи, които биха били приложени от съд във връзка с жалба по линия на за съдебния контрол (497). Освен това адресатите на заповедите или постановленията по ЗПР от 2016 г. и всяко друго лице, заемащо държавна длъжност, наето от полицията или от комисаря за разследване и проверка на полицията, са длъжни да разкрият пред този трибунал или да му предоставят всички документи и информация, които Трибуналът може да изиска, за да може да упражни своите правомощия (498).

496

497

498

| (268) | Трибуналът за правомощията за разследване трябва да уведоми жалбоподателя дали жалбата е решена в негова полза или не (499). Съгласно член 67, параграфи 6 и 7 от ЗУПР от 2000 г. Трибуналът има правомощието да налага временни мерки и да присъжда обезщетение или да постановява всяко друго решение, което счита за уместно. Това може да включва заповед за отмяна на заповед или разрешение, както и заповед, с която се изисква унищожаването на всички записи с информация, получена при упражняване на правомощия, предоставени със заповед, разрешение или постановление, или държана по друг начин от който и да е публичен орган във връзка с което и да е физическо лице (500). Съгласно член 67A от ЗУПР от 2000 г. решението на Трибунала може да бъде обжалвано, при условие че бъде допуснато от Трибунала или от съответния въззивен съд. |
| --- | --- |

(268)

Трибуналът за правомощията за разследване трябва да уведоми жалбоподателя дали жалбата е решена в негова полза или не (499). Съгласно член 67, параграфи 6 и 7 от ЗУПР от 2000 г. Трибуналът има правомощието да налага временни мерки и да присъжда обезщетение или да постановява всяко друго решение, което счита за уместно. Това може да включва заповед за отмяна на заповед или разрешение, както и заповед, с която се изисква унищожаването на всички записи с информация, получена при упражняване на правомощия, предоставени със заповед, разрешение или постановление, или държана по друг начин от който и да е публичен орган във връзка с което и да е физическо лице (500). Съгласно член 67A от ЗУПР от 2000 г. решението на Трибунала може да бъде обжалвано, при условие че бъде допуснато от Трибунала или от съответния въззивен съд.

499

500

| (269) | И накрая, заслужава да се отбележи, че ролята на Съда за разследващите правомощия е разглеждана няколко пъти в контекста на производства пред Европейския съд по правата на човека, особено по делото Kennedy/Обединено кралство (501) и по-наскоро по делото Big Brother Watch и др./Обединено кралство (502) , по което Съдът заявява, че „по правило Съдът за разследващите правомощия се е доказал като средство за защита, достъпно на теория и на практика, което е в състояние да предложи правна защита на жалбоподателите, които подават жалби както във връзка с конкретни случаи на наблюдение, така и във връзка с общото спазване на конвенцията в режимите за наблюдение“ (503). |
| --- | --- |

(269)

И накрая, заслужава да се отбележи, че ролята на Съда за разследващите правомощия е разглеждана няколко пъти в контекста на производства пред Европейския съд по правата на човека, особено по делото Kennedy/Обединено кралство (501) и по-наскоро по делото Big Brother Watch и др./Обединено кралство (502) , по което Съдът заявява, че „по правило Съдът за разследващите правомощия се е доказал като средство за защита, достъпно на теория и на практика, което е в състояние да предложи правна защита на жалбоподателите, които подават жалби както във връзка с конкретни случаи на наблюдение, така и във връзка с общото спазване на конвенцията в режимите за наблюдение“ (503).

501

502

503

3.3.4.3.   Други налични механизми за правна защита

Други налични механизми за правна защита

| (270) | Както е обяснено в съображения 109—111, средствата за правна защита съгласно Закона за правата на човека от 1998 г. и Европейският съд по правата на човека (504) са на разположение и в областта на националната сигурност. С член 65, параграф 2 от ЗУПР от 2000 г. на Трибунала за правомощията за разследване е предоставена изключителна компетентност по отношение на всички искове по Закона за правата на човека във връзка с разузнавателните служби (505). Това означава, както отбелязва Висшият съд (High Court), че „дали е налице нарушение на Закона за правата на човека по отношение на фактите по конкретно дело, е нещо, което по принцип може да бъде повдигнато пред и отсъдено от независим трибунал, който има достъп до всички релевантни материали, включително до секретни материали. [...] В този контекст също така имаме предвид, че решенията на Съда вече са предмет на възможността за обжалване пред подходящ висшестоящ съд (в Англия и Уелс, това би бил Апелативният съд); и че Върховният съд наскоро реши, че Съдът по принцип подлежи на съдебен контрол: вж. R (Privacy International)/Investigatory Powers Tribunal [2019] UKSC 22; [2019] 2 WLR 1219” (506). |
| --- | --- |

(270)

Както е обяснено в съображения 109—111, средствата за правна защита съгласно Закона за правата на човека от 1998 г. и Европейският съд по правата на човека (504) са на разположение и в областта на националната сигурност. С член 65, параграф 2 от ЗУПР от 2000 г. на Трибунала за правомощията за разследване е предоставена изключителна компетентност по отношение на всички искове по Закона за правата на човека във връзка с разузнавателните служби (505). Това означава, както отбелязва Висшият съд (High Court), че „дали е налице нарушение на Закона за правата на човека по отношение на фактите по конкретно дело, е нещо, което по принцип може да бъде повдигнато пред и отсъдено от независим трибунал, който има достъп до всички релевантни материали, включително до секретни материали. [...] В този контекст също така имаме предвид, че решенията на Съда вече са предмет на възможността за обжалване пред подходящ висшестоящ съд (в Англия и Уелс, това би бил Апелативният съд); и че Върховният съд наскоро реши, че Съдът по принцип подлежи на съдебен контрол: вж. R (Privacy International)/Investigatory Powers Tribunal [2019] UKSC 22; [2019] 2 WLR 1219” (506).

504

505

506

| (271) | От гореизложеното следва, че когато правоприлагащите органи или органите за национална сигурност на Обединеното кралство имат достъп до лични данни, попадащи в обхвата на настоящото решение, този достъп се урежда от закони, в които са определени условията, при които може да се осъществи достъпът, и се гарантира, че достъпът до данните и по-нататъшното им използване са ограничени до това, което е необходимо и пропорционално за преследваната цел, свързана с правоприлагането или националната сигурност. Освен това в повечето случаи условие за такъв достъп е предварителното разрешение от съдебен орган, чрез одобряване на заповед или на заповед за представяне, и във всеки случай подлежи на независим надзор. След като публичните органи са осъществили достъп до данните, обработването на данните, включително по-нататъшното им споделяне и по-нататъшното им предаване, е обект на специални гаранции за защита на данните съгласно част 3 от ЗЗД от 2018 г., в която са отразени предоставените от Директива (ЕС) 2016/680 гаранции — по отношение на обработването от правоприлагащите органи, и съгласно част 4 от ЗЗД от 2018 г. — по отношение на обработването от разузнавателни служби. И накрая, субектите на данни се ползват в тази област с ефективни права на административна и правна защита, включително правото да получат достъп до своите данни или правото на коригиране или изтриване на такива данни. |
| --- | --- |

(271)

От гореизложеното следва, че когато правоприлагащите органи или органите за национална сигурност на Обединеното кралство имат достъп до лични данни, попадащи в обхвата на настоящото решение, този достъп се урежда от закони, в които са определени условията, при които може да се осъществи достъпът, и се гарантира, че достъпът до данните и по-нататъшното им използване са ограничени до това, което е необходимо и пропорционално за преследваната цел, свързана с правоприлагането или националната сигурност. Освен това в повечето случаи условие за такъв достъп е предварителното разрешение от съдебен орган, чрез одобряване на заповед или на заповед за представяне, и във всеки случай подлежи на независим надзор. След като публичните органи са осъществили достъп до данните, обработването на данните, включително по-нататъшното им споделяне и по-нататъшното им предаване, е обект на специални гаранции за защита на данните съгласно част 3 от ЗЗД от 2018 г., в която са отразени предоставените от Директива (ЕС) 2016/680 гаранции — по отношение на обработването от правоприлагащите органи, и съгласно част 4 от ЗЗД от 2018 г. — по отношение на обработването от разузнавателни служби. И накрая, субектите на данни се ползват в тази област с ефективни права на административна и правна защита, включително правото да получат достъп до своите данни или правото на коригиране или изтриване на такива данни.

| (272) | Като се има предвид значението на тези условия, ограничения и гаранции за целите на настоящото решение, Комисията ще следи отблизо прилагането и тълкуването на правилата на Обединеното кралство, уреждащи достъпа на правителството до лични данни. Това ще включва съответните законодателни и регулаторни промени, развитието на съдебната практика, както и дейностите на ICO и други надзорни органи в тази област. Ще бъде обърнато специално внимание и на изпълнението от страна на Обединеното кралство на съответните решения на Европейския съд по правата на човека, включително мерките, посочени в „плановете за действие“ и „докладите за действие“, представени на Комитета на министрите в контекста на надзора за спазване на решенията на Съда. |
| --- | --- |

(272)

Като се има предвид значението на тези условия, ограничения и гаранции за целите на настоящото решение, Комисията ще следи отблизо прилагането и тълкуването на правилата на Обединеното кралство, уреждащи достъпа на правителството до лични данни. Това ще включва съответните законодателни и регулаторни промени, развитието на съдебната практика, както и дейностите на ICO и други надзорни органи в тази област. Ще бъде обърнато специално внимание и на изпълнението от страна на Обединеното кралство на съответните решения на Европейския съд по правата на човека, включително мерките, посочени в „плановете за действие“ и „докладите за действие“, представени на Комитета на министрите в контекста на надзора за спазване на решенията на Съда.

4.   ЗАКЛЮЧЕНИЕ

ЗАКЛЮЧЕНИЕ

| (273) | Комисията счита, че ОРЗД на Обединеното кралство и ЗЗД от 2018 г. гарантират ниво на защита на личните данни, предавани от Европейския съюз, което по същество е равностойно на гарантираното от Регламент (ЕС) 2016/679. |
| --- | --- |

(273)

Комисията счита, че ОРЗД на Обединеното кралство и ЗЗД от 2018 г. гарантират ниво на защита на личните данни, предавани от Европейския съюз, което по същество е равностойно на гарантираното от Регламент (ЕС) 2016/679.

| (274) | Комисията смята освен това, че като цяло механизмите за упражняване на надзор и възможностите за правна защита, предвидени от правото на Обединеното кралство, позволяват нарушенията да бъдат установени и реално наказани и предоставят на субекта на данни правни средства за защита за получаване на достъп до отнасящите се до него лични данни и в крайна сметка за коригиране или изтриване на такива данни. |
| --- | --- |

(274)

Комисията смята освен това, че като цяло механизмите за упражняване на надзор и възможностите за правна защита, предвидени от правото на Обединеното кралство, позволяват нарушенията да бъдат установени и реално наказани и предоставят на субекта на данни правни средства за защита за получаване на достъп до отнасящите се до него лични данни и в крайна сметка за коригиране или изтриване на такива данни.

| (275) | Накрая, въз основа на наличната информация относно правния ред на Обединеното кралство Комисията счита, че всяка намеса, свързана с основните права на физическите лица, чиито лични данни се предават от Европейския съюз на Обединеното кралство, от страна на публични органи на Обединеното кралство за цели от обществен интерес, по-специално за целите на правоприлагането и националната сигурност, ще бъде ограничена до строго необходимото за постигане на въпросната законна цел, и че съществува ефективна правна защита срещу подобна намеса. |
| --- | --- |

(275)

Накрая, въз основа на наличната информация относно правния ред на Обединеното кралство Комисията счита, че всяка намеса, свързана с основните права на физическите лица, чиито лични данни се предават от Европейския съюз на Обединеното кралство, от страна на публични органи на Обединеното кралство за цели от обществен интерес, по-специално за целите на правоприлагането и националната сигурност, ще бъде ограничена до строго необходимото за постигане на въпросната законна цел, и че съществува ефективна правна защита срещу подобна намеса.

| (276) | Поради това, предвид изложените в настоящото решение констатации следва да се вземе решение, че Обединеното кралство осигурява адекватно ниво на защита по смисъла на член 45 от Регламент (ЕС) 2016/679, тълкуван в светлината на Хартата на основните права на Европейския съюз. |
| --- | --- |

(276)

Поради това, предвид изложените в настоящото решение констатации следва да се вземе решение, че Обединеното кралство осигурява адекватно ниво на защита по смисъла на член 45 от Регламент (ЕС) 2016/679, тълкуван в светлината на Хартата на основните права на Европейския съюз.

| (277) | Това заключение се основава както на съответния вътрешен режим на Обединеното кралство, така и на международните му ангажименти, по-специално на спазването на Европейската конвенция за правата на човека и признаването на юрисдикцията на Европейския съд по правата на човека. Следователно спазването на такива международни задължения е особено важен елемент от оценката, на която се основава настоящото решение. |
| --- | --- |

(277)

Това заключение се основава както на съответния вътрешен режим на Обединеното кралство, така и на международните му ангажименти, по-специално на спазването на Европейската конвенция за правата на човека и признаването на юрисдикцията на Европейския съд по правата на човека. Следователно спазването на такива международни задължения е особено важен елемент от оценката, на която се основава настоящото решение.

5.   ПОСЛЕДИЦИ ОТ НАСТОЯЩОТО РЕШЕНИЕ И ДЕЙСТВИЯ НА ОРГАНИТЕ ЗА ЗАЩИТА НА ДАННИТЕ

ПОСЛЕДИЦИ ОТ НАСТОЯЩОТО РЕШЕНИЕ И ДЕЙСТВИЯ НА ОРГАНИТЕ ЗА ЗАЩИТА НА ДАННИТЕ

| (278) | Държавите членки и техните органи са длъжни да предприемат необходимите мерки за спазване на актовете на институциите на Съюза, тъй като тези актове по презумпция са законосъобразни и съответно произвеждат правно действие, докато срокът им на действие не изтече, не бъдат оттеглени, отменени вследствие на жалба за отмяна или обявени за невалидни вследствие на преюдициално запитване или възражение за незаконосъобразност. |
| --- | --- |

(278)

Държавите членки и техните органи са длъжни да предприемат необходимите мерки за спазване на актовете на институциите на Съюза, тъй като тези актове по презумпция са законосъобразни и съответно произвеждат правно действие, докато срокът им на действие не изтече, не бъдат оттеглени, отменени вследствие на жалба за отмяна или обявени за невалидни вследствие на преюдициално запитване или възражение за незаконосъобразност.

| (279) | Следователно решение на Комисията относно адекватното ниво на защита, прието съгласно член 45, параграф 3 от Регламент (ЕС) 2016/679, е обвързващо за всички органи на държавите членки, адресати на решението, включително за независимите им надзорни органи. По-специално, по време на периода на прилагане на настоящото решение предаването на данни от администратор или обработващ лични данни в Европейския съюз на администратори или обработващи лични данни в Обединеното кралство може да се извършва, без да е необходимо допълнително разрешение. |
| --- | --- |

(279)

Следователно решение на Комисията относно адекватното ниво на защита, прието съгласно член 45, параграф 3 от Регламент (ЕС) 2016/679, е обвързващо за всички органи на държавите членки, адресати на решението, включително за независимите им надзорни органи. По-специално, по време на периода на прилагане на настоящото решение предаването на данни от администратор или обработващ лични данни в Европейския съюз на администратори или обработващи лични данни в Обединеното кралство може да се извършва, без да е необходимо допълнително разрешение.

| (280) | Следва да се припомни, че съгласно член 58, параграф 5 от Регламент (ЕС) 2016/679 и както е обяснено от Съда в решението по дело Schrems (507), когато национален орган за защита на данните поставя под въпрос, включително въз основа на получена жалба, съгласуваността на дадено решение на Комисията относно адекватното ниво на защита с основните права на неприкосновеност на личния живот и на защита на данните на лицето, националното законодателство трябва да предвижда правни способи, позволяващи на съответния орган да представи възраженията си пред национална юрисдикция, която може да бъде длъжна да отправи преюдициално запитване до Съда на ЕС (508). |
| --- | --- |

(280)

Следва да се припомни, че съгласно член 58, параграф 5 от Регламент (ЕС) 2016/679 и както е обяснено от Съда в решението по дело Schrems (507), когато национален орган за защита на данните поставя под въпрос, включително въз основа на получена жалба, съгласуваността на дадено решение на Комисията относно адекватното ниво на защита с основните права на неприкосновеност на личния живот и на защита на данните на лицето, националното законодателство трябва да предвижда правни способи, позволяващи на съответния орган да представи възраженията си пред национална юрисдикция, която може да бъде длъжна да отправи преюдициално запитване до Съда на ЕС (508).

507

508

6.   НАБЛЮДЕНИЕ, СПИРАНЕ НА ДЕЙСТВИЕТО, ОТМЯНА ИЛИ ИЗМЕНЕНИЕ НА НАСТОЯЩОТО РЕШЕНИЕ

НАБЛЮДЕНИЕ, СПИРАНЕ НА ДЕЙСТВИЕТО, ОТМЯНА ИЛИ ИЗМЕНЕНИЕ НА НАСТОЯЩОТО РЕШЕНИЕ

| (281) | Съгласно член 45, параграф 4 от Регламент (ЕС) 2016/679 Комисията трябва да осъществява постоянно наблюдение на съответното развитие в Обединеното кралство след приемането на настоящото решение, за да прецени дали то все още осигурява по същество равностойно ниво на защита. Това наблюдение е особено важно в този случай, тъй като Обединеното кралство ще администрира, прилага и привежда в изпълнение нов режим за защита на данните, спрямо който вече не се прилага правото на Европейския съюз и който може да претърпи промени. Във връзка с това ще се обърне специално внимание на практическото прилагане на правилата на Обединеното кралство относно предаването на лични данни на трети държави и на въздействието, което това може да окаже върху нивото на защита на данните, предавани съгласно настоящото решение; ефективността на упражняването на индивидуалните права, включително всяко съответно развитие на законодателството и практиката относно изключенията или ограниченията на тези права (по-специално това, свързано с поддържането на ефективен имиграционен контрол); както и спазването на ограниченията и гаранциите по отношение на правителствения достъп. Наред с други елементи, развитието на съдебната практика и надзорът от страна на ICO и други независими органи ще бъдат използвани за мониторинга от страна на Комисията. |
| --- | --- |

(281)

Съгласно член 45, параграф 4 от Регламент (ЕС) 2016/679 Комисията трябва да осъществява постоянно наблюдение на съответното развитие в Обединеното кралство след приемането на настоящото решение, за да прецени дали то все още осигурява по същество равностойно ниво на защита. Това наблюдение е особено важно в този случай, тъй като Обединеното кралство ще администрира, прилага и привежда в изпълнение нов режим за защита на данните, спрямо който вече не се прилага правото на Европейския съюз и който може да претърпи промени. Във връзка с това ще се обърне специално внимание на практическото прилагане на правилата на Обединеното кралство относно предаването на лични данни на трети държави и на въздействието, което това може да окаже върху нивото на защита на данните, предавани съгласно настоящото решение; ефективността на упражняването на индивидуалните права, включително всяко съответно развитие на законодателството и практиката относно изключенията или ограниченията на тези права (по-специално това, свързано с поддържането на ефективен имиграционен контрол); както и спазването на ограниченията и гаранциите по отношение на правителствения достъп. Наред с други елементи, развитието на съдебната практика и надзорът от страна на ICO и други независими органи ще бъдат използвани за мониторинга от страна на Комисията.

| (282) | За да се улесни този мониторинг, органите на Обединеното кралство следва своевременно да информират Комисията за всяка материалноправна промяна в правния ред на Обединеното кралство, която оказва въздействие върху правната уредба, която е предмет на настоящото решение, както и за всяко развитие на практиките, свързани с обработването на личните данни, оценени в настоящото решение, както по отношение на обработването на лични данни от администраторите и обработващите лични данни съгласно ОРЗД на Обединеното кралство, така и по отношение на ограниченията и гаранциите, приложими относно достъпа на публичните органи до лични данни. Това следва да включва промените по отношение на елементите, посочени в съображение 281. |
| --- | --- |

(282)

За да се улесни този мониторинг, органите на Обединеното кралство следва своевременно да информират Комисията за всяка материалноправна промяна в правния ред на Обединеното кралство, която оказва въздействие върху правната уредба, която е предмет на настоящото решение, както и за всяко развитие на практиките, свързани с обработването на личните данни, оценени в настоящото решение, както по отношение на обработването на лични данни от администраторите и обработващите лични данни съгласно ОРЗД на Обединеното кралство, така и по отношение на ограниченията и гаранциите, приложими относно достъпа на публичните органи до лични данни. Това следва да включва промените по отношение на елементите, посочени в съображение 281.

| (283) | На следващо място, за да се даде възможност на Комисията да изпълнява ефективно функцията си по извършване на наблюдение, държавите членки следва да я информират за всички релевантни действия, предприети от националните органи по защита на данните, по-специално във връзка със запитвания или жалби на субекти на данни от ЕС във връзка с предаване на лични данни от Съюза към администратори или обработващи лични данни в Обединеното кралство. Комисията следва да бъде информирана и за всеки признак, че действията на публичните органи на Обединеното кралство, отговарящи за предотвратяването, разследването, разкриването или наказателното преследване на престъпления, или за националната сигурност, включително тези на надзорните органи, не гарантират изискваното ниво на защита. |
| --- | --- |

(283)

На следващо място, за да се даде възможност на Комисията да изпълнява ефективно функцията си по извършване на наблюдение, държавите членки следва да я информират за всички релевантни действия, предприети от националните органи по защита на данните, по-специално във връзка със запитвания или жалби на субекти на данни от ЕС във връзка с предаване на лични данни от Съюза към администратори или обработващи лични данни в Обединеното кралство. Комисията следва да бъде информирана и за всеки признак, че действията на публичните органи на Обединеното кралство, отговарящи за предотвратяването, разследването, разкриването или наказателното преследване на престъпления, или за националната сигурност, включително тези на надзорните органи, не гарантират изискваното ниво на защита.

| (284) | Когато наличната информация, по-специално информацията, получена в резултат на наблюдението на настоящото решение или предоставена от органите на Обединеното кралство или на държавите членки, показва, че нивото на защита, предлагано от Обединеното кралство, може вече да не е адекватно, Комисията следва да информира компетентните органи на Обединеното кралство за това и да поиска предприемането на подходящи мерки в определен разумен срок. При необходимост този срок може да бъде удължен за определен период от време, като се вземе предвид естеството на разглеждания въпрос и/или мерките, които трябва да бъдат предприети. Например такава процедура ще бъде задействана в случаите, когато по-нататъшно предаване, включително въз основа на нови наредби относно адекватното ниво на защита, приети от министъра, или международни споразумения, сключени от Обединеното кралство, вече няма да се извършва при гаранциите, осигуряващи непрекъснатост на защитата по смисъла на член 44 от Регламент (ЕС) 2016/679. |
| --- | --- |

(284)

Когато наличната информация, по-специално информацията, получена в резултат на наблюдението на настоящото решение или предоставена от органите на Обединеното кралство или на държавите членки, показва, че нивото на защита, предлагано от Обединеното кралство, може вече да не е адекватно, Комисията следва да информира компетентните органи на Обединеното кралство за това и да поиска предприемането на подходящи мерки в определен разумен срок. При необходимост този срок може да бъде удължен за определен период от време, като се вземе предвид естеството на разглеждания въпрос и/или мерките, които трябва да бъдат предприети. Например такава процедура ще бъде задействана в случаите, когато по-нататъшно предаване, включително въз основа на нови наредби относно адекватното ниво на защита, приети от министъра, или международни споразумения, сключени от Обединеното кралство, вече няма да се извършва при гаранциите, осигуряващи непрекъснатост на защитата по смисъла на член 44 от Регламент (ЕС) 2016/679.

| (285) | Ако при изтичането на посочения срок компетентните органи на Обединеното кралство не предприемат тези мерки или не докажат по друг задоволителен начин, че настоящото решение продължава да се основава на адекватно ниво на защита, Комисията ще започне процедурата, посочена в член 93, параграф 2 от Регламент (ЕС) 2016/679, с оглед частично или пълно спиране на действието или отмяна на настоящото решение. |
| --- | --- |

(285)

Ако при изтичането на посочения срок компетентните органи на Обединеното кралство не предприемат тези мерки или не докажат по друг задоволителен начин, че настоящото решение продължава да се основава на адекватно ниво на защита, Комисията ще започне процедурата, посочена в член 93, параграф 2 от Регламент (ЕС) 2016/679, с оглед частично или пълно спиране на действието или отмяна на настоящото решение.

| (286) | Като алтернативна възможност Комисията ще започне тази процедура с оглед изменение на Решението, по-специално като обвърже предаването на данни с допълнителни условия или като ограничи обхвата на констатацията за адекватност само до предаването на данни, за което продължава да се осигурява адекватно ниво на защита. |
| --- | --- |

(286)

Като алтернативна възможност Комисията ще започне тази процедура с оглед изменение на Решението, по-специално като обвърже предаването на данни с допълнителни условия или като ограничи обхвата на констатацията за адекватност само до предаването на данни, за което продължава да се осигурява адекватно ниво на защита.

| (287) | При надлежно обосновани наложителни причини за спешност Комисията ще използва възможността да приеме, в съответствие с процедурата, посочена в член 93, параграф 3 от Регламент (ЕС) 2016/679, актове за изпълнение с незабавно приложение за спиране на действието, отмяна или изменение на решението. |
| --- | --- |

(287)

При надлежно обосновани наложителни причини за спешност Комисията ще използва възможността да приеме, в съответствие с процедурата, посочена в член 93, параграф 3 от Регламент (ЕС) 2016/679, актове за изпълнение с незабавно приложение за спиране на действието, отмяна или изменение на решението.

7.   СРОК НА ДЕЙСТВИЕ И ПОДНОВЯВЯНАЕ НА НАСТОЯЩОТО РЕШЕНИЕ

СРОК НА ДЕЙСТВИЕ И ПОДНОВЯВЯНАЕ НА НАСТОЯЩОТО РЕШЕНИЕ

| (288) | Комисията трябва да вземе предвид, че в края на преходния период, предвиден в Споразумението за оттегляне, и веднага след като временната разпоредба по член 782 от Споразумението за търговия и сътрудничество между ЕС и Обединеното кралство престане да се прилага, Обединеното кралство ще администрира, прилага и привежда в изпълнение нов режим за защита на данните в сравнение с този, който е бил в сила, когато е било обвързано от правото на ЕС. Това може по-специално да включва изменения или промени в уредбата за защита на данните, оценена в настоящото решение, както и други релевантни развития. |
| --- | --- |

(288)

Комисията трябва да вземе предвид, че в края на преходния период, предвиден в Споразумението за оттегляне, и веднага след като временната разпоредба по член 782 от Споразумението за търговия и сътрудничество между ЕС и Обединеното кралство престане да се прилага, Обединеното кралство ще администрира, прилага и привежда в изпълнение нов режим за защита на данните в сравнение с този, който е бил в сила, когато е било обвързано от правото на ЕС. Това може по-специално да включва изменения или промени в уредбата за защита на данните, оценена в настоящото решение, както и други релевантни развития.

| (289) | Поради това е целесъобразно да се предвиди настоящото решение да се прилага за период от четири години, считано от влизането му в сила. |
| --- | --- |

(289)

Поради това е целесъобразно да се предвиди настоящото решение да се прилага за период от четири години, считано от влизането му в сила.

| (290) | Когато по-специално информацията, получена в резултат на наблюдението на настоящото решение, покаже, че констатациите относно адекватността на нивото на защита, осигурявано в Обединеното кралство, все още са фактически и правно обосновани, Комисията следва, най-късно шест месеца преди настоящото решение да престане да се прилага, да започне процедурата за изменение на настоящото решение чрез удължаване на неговия времеви обхват, по принцип, за допълнителен период от четири години. Всеки подобен акт за изпълнение, изменящ настоящото решение, трябва да бъде приет в съответствие с процедурата, посочена в член 93, параграф 2 от Регламент (ЕС) 2016/679. |
| --- | --- |

(290)

Когато по-специално информацията, получена в резултат на наблюдението на настоящото решение, покаже, че констатациите относно адекватността на нивото на защита, осигурявано в Обединеното кралство, все още са фактически и правно обосновани, Комисията следва, най-късно шест месеца преди настоящото решение да престане да се прилага, да започне процедурата за изменение на настоящото решение чрез удължаване на неговия времеви обхват, по принцип, за допълнителен период от четири години. Всеки подобен акт за изпълнение, изменящ настоящото решение, трябва да бъде приет в съответствие с процедурата, посочена в член 93, параграф 2 от Регламент (ЕС) 2016/679.

8.   ЗАКЛЮЧИТЕЛНИ СЪОБРАЖЕНИЯ

ЗАКЛЮЧИТЕЛНИ СЪОБРАЖЕНИЯ

| (291) | Европейският комитет по защита на данните публикува становището си (509), като то бе взето предвид при изготвянето на настоящото решение. |
| --- | --- |

(291)

Европейският комитет по защита на данните публикува становището си (509), като то бе взето предвид при изготвянето на настоящото решение.

509

| (292) | Мерките, предвидени в настоящото решение, са в съответствие със становището на комитета, създаден по силата на член 93 от Регламент (ЕС) 2016/679, |
| --- | --- |

(292)

Мерките, предвидени в настоящото решение, са в съответствие със становището на комитета, създаден по силата на член 93 от Регламент (ЕС) 2016/679,

ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:

Член 1

1.   За целите на член 45 от Регламент (ЕС) 2016/679 Обединеното кралство осигурява адекватно ниво на защита на личните данни, предавани от Европейския съюз към Обединеното кралство в рамките на приложното поле на Регламент (ЕС) 2016/679.

2.   Настоящото решение не обхваща лични данни, които се предават за целите на имиграционния контрол в Обединеното кралство или които по друг начин попадат в обхвата на изключението от прилагането на определени права на субекта на данни за целите на поддържането на ефективен имиграционен контрол съгласно параграф 4, точка 1 от приложение 2 към ЗЗД от 2018 г.

Член 2

Когато с цел защита на физическите лица във връзка с обработване на техни лични данни компетентните органи в държавите членки упражняват правомощията си по член 58 от Регламент (ЕС) 2016/679 по отношение на предаването на данни, попадащи в приложното поле, посочено в член 1, съответната държава членка незабавно уведомява Комисията.

Член 3

1.   Комисията наблюдава непрекъснато прилагането на правната рамка, на която се основава настоящото решение, включително условията, при които се извършват последващите предавания, условията, при които се упражняват индивидуалните права и при които публичните органи на Обединеното кралство имат достъп до данните, предадени въз основа на настоящото решение, с цел да прецени дали Обединеното кралство продължава да осигурява адекватно ниво на защита по смисъла на член 1.

2.   Държавите членки и Комисията се информират взаимно за случаите, в които комисарят по информацията или всеки друг компетентен орган на Обединеното кралство не е гарантирал спазването на правната уредба, на която се основава настоящото решение.

3.   Държавите членки и Комисията се информират взаимно за всеки признак, че намесата на публичните органи на Обединеното кралство в правото на физическите лица на защита на личните им данни надвишава строго необходимото или че няма ефективна правна защита срещу подобна намеса.

4.   Когато Комисията разполага с данни, че вече не се осигурява адекватно ниво на защита, тя информира компетентните органи на Обединеното кралство и може да спре действието, да отмени или да измени настоящото решение.

5.   Комисията може да спре действието, да отмени или да измени настоящото решение, ако липсата на съдействие от страна на правителството на Обединеното кралство не позволява Комисията да определи дали е засегната констатацията в член 1, параграф 1.

Член 4

Срокът на действие на настоящото решение изтича на 27 юни 2025 г., освен ако не бъде удължен в съответствие с процедурата, посочена в член 93, параграф 2 от Регламент (ЕС) 2016/679.

Член 5

Адресати на настоящото решение са държавите членки.

Съставено в Брюксел на 28 юни 2021 година.

За Комисията

Didier REYNDERS

Член на Комисията

---

(1)  
  OB L 119, 4.5.2016 г., стр. 1.

1

(2)  Вж. съображение 101 от Регламент (ЕС) 2016/679.

2

(3)  Вж., като най-скорошна практика, решение по дело C-311/18, Facebook Ireland/Schrems (решение по дело Schrems II), ECLI:EU:C:2020:559.

3

Facebook Ireland/Schrems

Schrems II

(4)  Референтният документ на Европейския комитет по защита на данните за адекватното ниво на защита WP 254 rev. 01. е достъпен на следния адрес: https://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=614108.

4

(5)  Решение по дело C-362/14, Schrems (решение по дело Schrems I), ECLI:EU:C:2015:650, т. 73.

5

Schrems

Schrems I

(6)  Решение по дело Schrems I, т. 74.

6

Schrems I

(7)  Вж. Съобщение на Комисията до Европейския парламент и Съвета „Обмен и защита на личните данни в един глобализиран свят“ (COM (2017)7 от 10.1.2017 г.), раздел 3.1, стр. 6—7, достъпно на следния адрес: https://eur-lex.europa.eu/legal-content/BG/TXT/PDF/?uri=CELEX:52017DC0007&from=BG.

7

(8)  Апелативен съд (Гражданско отделение), Open Rights Group/Secretary of State for the Home Department and Secretary of State for Digital, Culture, Media and Sport, [2021] EWCA Civ 800, точки 53—56. Апелативният съд отмени решението на Висшия съд (High Court of Justice), с което по-рано бе направена оценка на изключението с оглед на Регламент (ЕС) 2016/679 (по-специално член 23 от него) и Хартата на основните права на Европейския съюз и беше установено, че изключението е законосъобразно (Open Rights Group & Anor, R (ищци)/Secretary of State for the Home Department & Anor [2019] EWHC 2562).

8

Open Rights Group/Secretary of State for the Home Department and Secretary of State for Digital, Culture, Media and Sport,

High Court of Justice

Open Rights Group & Anor, R (ищци)/Secretary of State for the Home Department & Anor

(9)  Ако бъдат изпълнени приложимите условия, предаването за целите на имиграционния контрол на Обединеното кралство може да се извършва въз основа на механизмите за предаване, предвидени в членове 46—49 от Регламент (ЕС) 2016/679.

9

(10)  Първоначално принципите на Конвенция No 108 бяха въведени в правото на Обединеното кралство чрез Закона за защита на данните (Data Protection Act) от 1984 г., който беше заменен от ЗЗД от 1998 г., а след това от ЗЗД от 2018 г. (във връзка с ОРЗД на Обединеното кралство). Обединеното кралство също така е подписало Протокола за изменение на Конвенцията за защита на лицата при автоматизираната обработване на лични данни (известна като „Конвенция 108+“) през 2018 г. и понастоящем работи по ратифицирането ѝ.

10

Data Protection Act

(11)  Членове 6 и 8 от ЕКПЧ (вж. също приложение 1 към Закона за правата на човека от 1998 г.).

11

(12)  Член 6 от Закона за правата на човека от 1998 г.

12

(13)  Член 3 от Закона за правата на човека от 1998 г.

13

(14)  Споразумение за оттеглянето на Обединеното кралство Великобритания и Северна Ирландия от Европейския съюз и Европейската общност за атомна енергия (2019/C 384 I/01, XT/21054/2019/INIT, ОВ C 384I, 12.11.2019 г., стр. 1), достъпно на следния адрес: https://eur-lex.europa.eu/legal-content/BG/TXT/PDF/?uri=CELEX:12019W/TXT(02)&from=BG

14

(15)  Директива (ЕС) 2016/680 на Европейския парламент и на Съвета от 27 април 2016 г. относно защитата на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания и относно свободното движение на такива данни, и за отмяна на Рамково решение 2008/977/ПВР на Съвета (OB L 119, 4.5.2016 г., стр. 89), достъпна на следния адрес: https://eur-lex.europa.eu/legal-content/bg/TXT/PDF/?uri=CELEX:32016L0680 .

15

(16)  Закон за защита на данните от 2018 г., достъпен на следния адрес: https://www.legislation.gov.uk/ukpga/2018/12/contents/enacted

16

(17)  Закон за оттеглянето от Европейския съюз от 2018 г., достъпен на следния адрес: https://www.legislation.gov.uk/ukpga/2018/16/contents

17

(18)  Замисълът и правното действие на Закона от 2018 г. за оттеглянето от Европейския съюз е, че всички преки законодателни актове на Съюза, които са били включени в правото на Обединеното кралство в края на преходния период, са част от правото на Обединеното кралство така, както са били в сила непосредствено преди края на преходния период, вж. член 3 от Закона от 2018 г. за оттеглянето от Европейския съюз.

18

(19)  В Обяснителните бележки към Закона от 2018 г. за оттеглянето от Европейския съюз се уточнява, че: „когато законодателството се преобразува съгласно този член, самият текст на законодателния акт ще представлява част от вътрешното законодателство. Това ще включва пълния текст на законодателния акт на ЕС (заедно със съображенията към него)“. (Обяснителни бележки към Закона от 2018 г. за оттеглянето от Европейския съюз, точка 83, достъпни на следния адрес: https://www.legislation.gov.uk/ukpga/2018/16/pdfs/ukpgaen_20180016_en.pdf). Според информацията, предоставена от органите на Обединеното кралство, тъй като съображенията нямат статут на обвързващи правни норми, не е било необходимо те да бъдат изменяни по начина, по който членовете на Регламент (ЕС) 2016/679 са изменени с Наредбите за защита на данните, неприкосновеността на личния живот и електронните съобщения.

19

(20)  Член 6 от Закона от 2018 г. за оттеглянето от Европейския съюз.

20

(21)  Наредби от 2019 г. за защита на данните, неприкосновеността на личния живот и електронните съобщения (изменения и т.н.) (Напускане на ЕС), достъпни на следния адрес: https://www.legislation.gov.uk/uksi/2019/419/contents/made, изменени с Наредбите от 2020 г. за защита на данните, неприкосновеността на личния живот и електронните съобщения (изменения и т.н.) (Напускане на ЕС), достъпни на следния адрес: https://www.legislation.gov.uk/ukdsi/2020/9780348213522.

21

(22)  Тези изменения на ОРЗД и на ЗЗД от 2018 г. на Обединеното кралство имат предимно технически характер, като например заличаване на препратки към „държави членки“ или адаптиране на терминологията, напр. замяна на позоваванията на Регламент (ЕС) 2016/679 с позовавания на ОРЗД на Обединеното кралство. В някои случаи са били необходими промени, за да се отрази чисто националният контекст на разпоредбите, например по отношение на това „кой“ приема „наредби относно адекватното ниво на защита“ за целите на правната уредба на Обединеното кралство за защита на данните (вж. член 17А от ЗЗД от 2018 г.), т.е. министърът, а не Европейската комисия.

22

(23)  Общ регламент относно защитата на данните с отразени направените в него промени, достъпен на следния адрес: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/946117/20201102_-_GDPR_-__MASTER__Keeling_Schedule__with_changes_highlighted__V3.pdf.

23

(24)  Закон за защита на данните от 2018 г., с отразени направените в него промени, достъпен на следния адрес: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/946100/20201102_-_DPA_-__MASTER__Keeling_Schedule__with_changes_highlighted__V3.pdf.

24

(25)  Такива правомощия се съдържат например в член 16 (правомощие да се правят допълнителни изключения от специфични разпоредби на ОРЗД на Обединеното кралство в конкретни, тясно определени случаи), в член 17А (правомощие да се приемат наредби относно адекватното ниво на защита), в членове 212 и 213 (правомощие да се предприема законодателна инициатива и да се въвеждат преходни разпоредби) и в член 211 (правомощие да се извършват незначителни и последващи изменения) от ЗЗД от 2018 г.

25

(26)  Член 2, параграфи 1 и 5 от ОРЗД на Обединеното кралство.

26

(27)  Член 4, параграфи 1 и 2 от ОРЗД на Обединеното кралство.

27

(28)  Ръчното неструктурирано обработване на лични данни е определено в член 2, параграф 5, буква б) като обработване на лични данни, което не е автоматизирано или структурирано.

28

(29)  В член 2, параграф 1А от ОРЗД на Обединеното кралство е предвидено, че регламентът се прилага и за ръчното неструктурирано обработване на лични данни, съхранявани от публичен орган, отговарящ за свободата на информацията. Публични органи, отговарящи за свободата на информацията, са всички публични органи, определени в Закона за свобода на информацията от 2000 г. или всички шотландски публични органи, определени в Закона за свобода на информацията (Шотландия) от 2002 г. (Акт на парламента на Шотландия No 13). Член 21, параграф 5 от ЗЗД от 2018 г.

29

(30)  Член 2, параграф 2, буква а) от ОРЗД на Обединеното кралство.

30

(31)  Дейностите, свързани с националната сигурност, попадат в приложното поле на ОРЗД на Обединеното кралство, ако не се извършват от компетентен орган за целите на правоприлагането, в какъвто случай се прилага част 3 от ЗЗД от 2018 г., или от или от името на разузнавателна служба, чиито дейности са изключени от обхвата на ОРЗД на Обединеното кралство и са предмет на част 4 от ЗЗД от 2018 г. съгласно член 2, параграф 2, буква в) от ОРЗД на Обединеното кралство. Например полицейски орган може да извършва проверки за сигурност на служител с цел да се гарантира, че може да му се има доверие за достъп до материали, свързани с националната сигурност. Въпреки че полицията е компетентен орган за целите на правоприлагането, въпросното обработване на данни не е с цел правоприлагане и ОЗРД на Обединеното кралство би бил приложим. Вж. Обяснителна рамка на Обединеното кралство за обсъждане във връзка с адекватното ниво на защита, раздел H: Национална рамка за защита на данните и правомощията за разследване, стр. 8, достъпна на следния адрес: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/872239/H_-_National_Security.pdf

31

(32)  Член 2, параграф 1, букви а) и б) от ОРЗД на Обединеното кралство.

32

(33)  Член 2, параграф 2, букви б) и в) от ОРЗД на Обединеното кралство.

33

(34)  Същият териториален обхват се прилага и за обработването на лични данни съгласно част 2 от ЗЗД от 2018 г., която допълва ОРЗД на Обединеното кралство (член 207, параграф 1А).

34

(35)  Това по-специално означава, че ЗЗД от 2018 г., а следователно и настоящото решение не се прилагат за териториите, зависими от Британската корона (Джърси, Гърнзи и остров Ман), и за отвъдморските територии на Обединеното кралство, като например Фолкландските острови и територията на Гибралтар.

35

(36)  Член 4, параграфи 1, 2, 5, 7 и 8 от ОРЗД на Обединеното кралство.

36

(37)  
  „Биометрични данни“ означава лични данни, получени в резултат на специфично техническо обработване, които са свързани с физическите, физиологичните или поведенческите характеристики на дадено физическо лице и които позволяват или потвърждават уникалната идентификация на това физическо лице, като лицеви изображения или дактилоскопични данни.

37

(38)  
  „Данни за здравословното състояние“ означава лични данни, свързани с физическото или психическото здраве на физическо лице, включително предоставянето на здравни услуги, които дават информация за здравословното му състояние.

38

(39)  
  „Генетични данни“ означава лични данни, свързани с наследени или придобити генетични белези на дадено физическо лице, които дават уникална информация относно физиологията или здравето на това физическо лице и които са получени по-специално чрез анализ на биологична проба от въпросното физическо лице.

39

(40)  Съгласно член 6, параграф 1 от ОРЗД на Обединеното кралство обработването е законосъобразно само ако и доколкото: а) субектът на данни е дал съгласие за обработване на личните му данни за една или повече конкретни цели; б) обработването е необходимо за изпълнението на договор, по който субектът на данни е страна, или за предприемане на стъпки по искане на субекта на данни преди сключването на договор; в) обработването е необходимо за спазването на законово задължение, което се прилага спрямо администратора; г) обработването е необходимо, за да бъдат защитени жизненоважните интереси на субекта на данни или на друго физическо лице; д) обработването е необходимо за изпълнението на задача от обществен интерес или при упражняването на официални правомощия, които са предоставени на администратора; или е) обработването е необходимо за целите на легитимните интереси на администратора или на трета страна, освен когато пред такива интереси преимущество имат интересите или основните права и свободи на субекта на данни, които изискват защита на личните данни, по-специално когато субектът на данни е дете.

40

(41)  Точки 38—40 от приложение 1 към ЗЗД от 2018 г.

41

(42)  В член 13, параграф 1, буква е) и в член 14, параграф 1, буква е) позоваванията на решенията на Комисията относно адекватното ниво на защита са заменени с позовавания на равностоен инструмент на Обединеното кралство, т.е. на наредбите относно адекватното ниво на защита съгласно ЗЗД от 2018 г. Освен това в член 14, параграф 5, букви в)—г) позоваванията на правото на ЕС или на държавите членки са заменени с позоваване на националното право (като примери за разпоредби на националното право, които може да попаднат в приложното поле на член 14, параграф 5, буква в), Обединеното кралство е посочило член 7 от Закона за търговците на метален скрап от 2013 г., в който са предвидени правила за регистър на разрешенията за търговия с метален скрап, или част 35 от Закона за дружествата от 2006 г., в който са определени правилата относно дружествения регистър. Сред примерите за актове на националното право, които може да попаднат в приложното поле на член 14, параграф 5, буква г), биха могли да се посочат също актовете, в които са определени правила относно професионалната тайна или задължения, залегнали в трудови договори, или задължението за поверителност съгласно общото право (например лични данни, обработвани от медицински лица, специалисти по човешки ресурси, социални работници и т.н.).

42

(43)  В член 17, параграф 1, буква д) и в член 17, параграф 3, буква б) позоваванията на правото на ЕС или на държавите членки са заменени с позоваване на националното право (като примери за разпоредби на националното право по член 17, параграф 1, буква д) Обединеното кралство е посочило Наредбите от 2006 г. за образованието (Информация за учениците) (Англия), съгласно които се изисква имената на учениците да бъдат заличени от училищните регистри след напускане на училището, или член 34F от Закона за медицината от 1983 г., в който са определени правилата относно заличаването на имена от Регистъра на общопрактикуващите лекари и от Регистъра на специалистите.

43

(44)  Проектът на кодекса за поведение може да бъде намерен на следния адрес: https://ico.org.uk/media/about-the-ico/consultations/2616882/direct-marketing-code-draft-guidance.pdf

44

(45)  Обяснителна рамка на Обединеното кралство за обсъждане във връзка с адекватното ниво на защита, раздел E: Ограничения, стр. 1, достъпна на следния адрес: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/872232/E_-_Narrative_on_Restrictions.pdf

45

(46)  
  Open Rights Group & Anor, R (ищци)/Secretary of State for the Home Department & Anor [2019] EWHC 2562 (Admin), точки 40 и 41.

46

Open Rights Group & Anor, R (ищци)/Secretary of State for the Home Department & Anor

(47)  
  Guriev/Community Safety Development (United Kingdom) Ltd [2016] EWHC 643 (QB), т. 43. По този въпрос вж. също Lin/Commissioner of Police for the Metropolis [2015] EWHC 2484 (QB), т. 80.

47

Guriev/Community Safety Development (United Kingdom) Ltd

Lin/Commissioner of Police for the Metropolis

(48)  Точка 2 от приложение 2 към ЗЗД от 2018 г.

48

(49)  Точка 19 от приложение 2 към ЗЗД от 2018 г.

49

(50)  Точка 20 от приложение 2 към ЗЗД от 2018 г.

50

(51)  Точка 21 от приложение 2 към ЗЗД от 2018 г.

51

(52)  Например ограничения на правото на уведомление за нарушения на сигурността на данните се допускат само във връзка с престъпления и с данъчно облагане (точка 2 от приложение 2 към ЗЗД от 2018 г.), с парламентарен имунитет (точка 13 от приложение 2 към ЗЗД от 2018 г.) и с обработване за журналистически, академични, художествени и литературни цели (точка 26 от приложение 2 към ЗЗД от 2018 г.).

52

(53)  Точка 2 от приложение 2 към ЗЗД от 2018 г.

53

(54)  
  R (Lord)/Secretary of State for the Home Department [2003] EWHC 2073 (Admin), т. 100 и Guriev/Community Safety Development (United Kingdom) Ltd [2016] EWHC 643 (QB), т. 43.

54

R (Lord)/Secretary of State for the Home Department

Guriev/Community Safety Development (United Kingdom) Ltd

(55)  
  Open Rights Group & Anor, R (ищци)/Secretary of State for the Home Department & Anor, т. 31.

55

Open Rights Group & Anor, R (ищци)/Secretary of State for the Home Department & Anor,

(56)  Според информацията, предоставена от органите на Обединеното кралство, когато обработването се извършва в контекста на националната сигурност, администраторите обикновено прилагат засилени гаранции и мерки за сигурност по отношение на обработването, които отразяват неговия чувствителен характер. Кои гаранции са подходящи ще зависи от рисковете, породени от извършваното обработване. Това може да включва ограничения на достъпа до данните, така че той да може да се осъществява само от упълномощени лица с подходящо разрешение за достъп, строги ограничения за споделянето на данните и високи стандарти за сигурност, приложими към процедурите за съхранение и обработване.

56

(57)  Вж. също Guriev/Community Safety Development (United Kingdom) Ltd [2016] EWHC 643 (QB), т. 45; Lin/Commissioner of Police for the Metropolis [2015] EWHC 2484 (QB), т. 80.

57

Guriev/Community Safety Development (United Kingdom) Ltd

Lin/Commissioner of Police for the Metropolis

(58)  Вж. също насоките на комисаря по информацията относно изключението, свързано с националната сигурност и отбрана, достъпни на следния адрес: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/national-security-and-defence/

58

(59)  Според пример, предоставен от органите на Обединеното кралство, ако заподозрян терорист, срещу когото е в ход разследване на MI5, отправи искане за достъп до Министерството на вътрешните работи (например тъй като е страна по спор с Министерството на вътрешните работи по имиграционни въпроси), би било необходимо да се защитят от разкриване на субекта на данни всички данни, които MI5 може да е споделила с Министерството на вътрешните работи във връзка с текущи разследвания и които биха могли да засегнат чувствителни източници, методи или техники и/или да доведат до увеличаване на заплахата, която представлява лицето. При такива обстоятелства е вероятно прагът за прилагане на изключението по член 26 да е спазен и изключението от разкриване на информацията да е необходимо, за да се гарантира националната сигурност. Ако обаче Министерството на вътрешните работи разполага и с лични данни за лицето, които не са свързани с разследването на MI5, и тази информация може да бъде предоставена без риск от нанасяне на вреда за националната сигурност, тогава изключението във връзка с националната сигурност не би било приложимо, когато се преценява дали информацията да бъде разкрита на лицето. Комисарят по информацията понастоящем изготвя насоки за подхода, който администраторите следва да прилагат при използването на изключението по член 26. Насоките се очаква да бъдат публикувани в края на март 2021 г.

59

(60)  Съдът по въпросите на информацията е създаден, за да разглежда жалби във връзка със защита на данни съгласно Закона за защита на данните от 1984 г. През 2010 г., в рамките на реформата в структурата на системата от съдилища в Обединеното кралство, Съдът по въпросите на информацията стана част от отделението „Общи правни въпроси“ (General Regulatory Chamber) на трибунала от първа инстанция (First Tier Tribunal).

60

General Regulatory Chamber

First Tier Tribunal

(61)  Вж. дело Baker/Secretary of State for the Home Department [2001] UKIT NSA2 (Baker/Secretary of State).

61

Baker/Secretary of State for the Home Department

Baker/Secretary of State

(62)  Вж. член 85 от ОРЗД на Обединеното кралство и част 5, точка 26, подточка 9 от приложение 2 към ЗЗД от 2018 г.

62

(63)  В съответствие с част 5, точка 26, подточка 2 от приложение 2 към ЗЗД от 2018 г. изключението се прилага по отношение на обработването на лични данни, извършвано за специални цели (журналистически, академични, художествени и литературни), ако то се осъществява с оглед на публикуването от страна на физическо лице на журналистически, академичен, художествен или литературен материал и администраторът с основание е убеден, че публикуването на този материал би било в обществен интерес. Когато преценява дали дадена публикация би била в обществен интерес, администраторът трябва да вземе предвид особената важност на обществения интерес за свободата на изразяване и на информация. Освен това администраторът трябва да вземе предвид кодексите на поведение или насоките, които имат отношение към въпросната публикация (Редакционните насоки на Би Би Си (BBC Editorial Guidelines), Кодекса за телевизионно и радиоразпръскване на Службата по съобщенията (Ofcom Broadcasting Code) и Кодекса за поведение на редакторите (Editors’ Code of Practice). Освен това, за да се приложи дадено изключение, администраторът трябва с основание да е убеден, че спазването на съответната разпоредба би било несъвместимо със специалните цели (точка 26, подточка 3 от приложение 2 към ЗЗД от 2018 г.).

63

(64)  В решението по делото NT1/Google [2018] EWHC 799 (QB), т. 102 е разгледан подробно въпросът дали администраторът на данни е бил убеден с основание, че публикуването е в обществен интерес и че спазването на съответните разпоредби е несъвместимо със специалните цели. Съдът се е произнесъл, че разпоредбите на член 32, параграф 1, букви б) и в) от Закона за защита на данните от 1998 г. имат субективен и обективен елемент: администраторът на данни трябва да докаже, че е бил убеден, че публикуването би било в обществен интерес, и че това убеждение обективно е основателно; той трябва да докаже и субективното убеждение, че спазването на разпоредбата, от която се иска изключение, би било несъвместимо с въпросната специална цел.

64

NT1

Google

(65)  Пример за прилагането на изискването за преценка на „основателното убеждение“ се съдържа в решението на комисаря по информацията за налагането на глоба на True Visions Productions, прието съгласно Закона за защита на данните от 1998 г. Комисарят по информацията е приел, че е налице субективно убеждение на администратора на медийна информация, че спазването на първия принцип за защита на данните (добросъвестност и законосъобразност) е несъвместимо с журналистическите цели. Той обаче не се е съгласил, че това убеждение обективно е основателно. Решението на комисаря по информацията е достъпно на следния адрес: https://ico.org.uk/media/action-weve-taken/mpns/2614746/true-visions-productions-20190408.pdf

65

True Visions Productions

(66)  Съгласно насоките организациите трябва да са в състояние да обяснят защо спазването на съответната разпоредба на Закона за защита на данните от 1998 г. е несъвместимо с целите на журналистиката. По-специално администраторите трябва да постигнат баланс между неблагоприятните последици, които спазването на разпоредбите би имало за журналистиката, и неблагоприятните последици, които неспазването им би имало за правата на субекта на данни. Ако е основателно да се смята, че един журналист може да постигне редакционните си цели при спазване на стандартните разпоредби на ЗЗД, те трябва да се спазват. Организациите трябва да са в състояние да обосноват прилагането на ограничението по отношение на всяка разпоредба, която не са спазили. „Защита на данните и журналистика: ръководство за медиите“ (Data protection and journalism: a guide for the media), достъпно на следния адрес: https://ico.org.uk/media/for-organisations/documents/1552/data-protection-and-journalism-media-guidance.pdf

66

Data protection and journalism: a guide for the media

(67)  Общественият интерес би могъл да включва например разобличаване или разкриване на престъпления, защита на общественото здраве или безопасност, разобличаване на подвеждащи твърдения, отправени от лица или организации, или разкриване на некомпетентност, която засяга обществеността. Вж. насоките на Службата по съобщенията, достъпни на следния адрес: https://www.ofcom.org.uk/__data/assets/pdf_file/0017/132083/Broadcast-Code-Section-8.pdf, и Редакционните насоки на Би Би Си, достъпни на следния адрес: https://www.bbc.com/editorialguidelines/guidelines/privacy

67

(68)  Вж. член 89 от ОРЗД на Обединеното кралство и част 6, точка 27, подточка 2 и точка 28, подточка 2 от приложение 2 към ЗЗД от 2018 г.

68

(69)  При спазване на изискването личните данни да се обработват в съответствие с член 89, параграф 1 от ОРЗД на Обединеното кралство, допълнен от член 19 от ЗЗД от 2018 г.

69

(70)  Вж. съображения 281—287.

70

(71)  С изключение на член 48 от Регламент (ЕС) 2016/679, който Обединеното кралство е решило да не включва в ОРЗД на Обединеното кралство. В тази връзка най-напред следва да се припомни, че стандартът, за който следва да се счита, че осигурява адекватно ниво на защита, е по-скоро стандарт за „равностойност по същество“, а не за идентичност, както е уточнено от Съда на ЕС (дело Schrems I, точки 73—74) и признато от ЕКЗД (Референтен документ за адекватното ниво на защита, стр. 3). Поради това, както е обяснено от ЕКЗД в неговия Референтен документ за адекватното ниво на защита, „целта не е да се отрази точка по точка европейското законодателство, а да се установят съществените, основните изисквания на това законодателство“. В това отношение е важно да се отбележи, че макар правният ред на Обединеното кралство формално да не съдържа разпоредба, идентична с член 48, същият ефект се гарантира от други правни разпоредби и принципи, т.е. че в отговор на искане за лични данни от страна на съд или административен орган в трета държава личните данни могат да бъдат предадени на тази трета държава само ако е налице международно споразумение — въз основа на което въпросното съдебно решение или административно решение на третата държава се признава или изпълнява в Обединеното кралство — или ако това се основава на един от механизмите за предаване, предвидени в глава V от ОРЗД на Обединеното кралство. По-специално, за да приведат в изпълнение чуждестранно съдебно решение, съдилищата в Обединеното кралство трябва да могат да се позоват на общото право или на закон, който позволява изпълнението на това решение. Нито общото право обаче (вж. Adams и др./Cape Industries Plc., [1990] 2 W.L.R. 657), нито писаните закони предвиждат изпълнение на чуждестранни решения, съгласно които се изисква предаване на данни, без да е налице международно споразумение. В резултат на това съгласно правото на Обединеното кралство исканията за данни не подлежат на изпълнение при липса на такова международно споразумение. Освен това всяко предаване на лични данни към трети държави — включително по искане на чуждестранен съд или административен орган — остава подчинено на ограниченията, посочени в глава V от ОРЗД на Обединеното кралство, които са идентични със съответните разпоредби на Регламент (ЕС) 2016/679, и поради това се изисква позоваване на някое от основанията за предаване по глава V в съответствие със специфичните условия, на които то е подчинено съгласно посочената глава.

71

Schrems I

Adams и др.

Cape Industries Plc.

(72)  Органите на Обединеното кралство обясниха, че описанието на дадена държава или международна организация се отнася до ситуация, при която би било необходимо да се направи специфично и частично определяне на адекватността с целенасочени ограничения (напр. наредби относно адекватното ниво на защита по отношение само на определен вид предаване на данни).

72

(73)  Вж. Меморандума за разбирателство между министъра на цифровите технологии, културата, медиите и спорта и Службата на комисаря по информацията относно ролята на ICO във връзка с новата оценка на адекватността на Обединеното кралство, който може да бъде намерен на следния адрес: https://www.gov.uk/government/publications/memorandum-of-understanding-mou-on-the-role-of-the-ico-in-relation-to-new-uk-adequacy-assessments.

73

(74)  Ако бъде направено такова гласуване, в крайна сметка наредбите ще престанат да пораждат правно действие за в бъдеще.

74

(75)  В ОРЗД на Обединеното кралство са запазени правилата, предвидени в член 47 от Регламент (ЕС) 2016/679, като са извършени изменения само с оглед на съответствието им с националната уредба, например препратките към компетентния надзорен орган са заменени с препратки към комисаря по информацията, препратката към механизма за съгласуваност е премахната от параграф 1 и целият параграф 3 е заличен.

75

(76)  Съгласно член 49 от ОРЗД за Обединеното кралство предаването на данни е възможно, ако е изпълнено едно от следните условия: а) субектът на данни изрично е дал съгласието си за предлаганото предаване на данни, след като е бил информиран за възможните рискове, свързани с предаването, за субекта на данни поради липсата на решение относно адекватното ниво на защита и на подходящи гаранции; б) предаването е необходимо за изпълнението на договор между субекта на данни и администратора или за изпълнението на преддоговорни мерки, предприети по искане на субекта на данни; в) предаването е необходимо за сключването или изпълнението на договор, сключен в интерес на субекта на данни между администратора и друго физическо или юридическо лице; г) предаването е необходимо поради важни причини от обществен интерес; д) предаването е необходимо за установяването, упражняването или защитата на правни претенции; е) предаването е необходимо, за да бъдат защитени жизненоважните интереси на субекта на данни или на други лица, когато субектът на данни е физически или юридически неспособен да даде своето съгласие; ж) предаването се извършва от регистър, който съгласно националното право е предназначен за предоставяне на информация на обществеността и е открит за извършване на справки от широката общественост или от всяко лице, което може да докаже легитимен интерес, но само при условие че в конкретния случай са изпълнени предвидените в националното право условия за извършване на справки. Освен това, когато никое от горните условия не е приложимо, предаването на данни може да се извършва само ако не е повторяемо, засяга само ограничен брой субекти на данни, необходимо е за целите на неоспоримите легитимни интереси, преследвани от администратора, над които не стоят интересите или правата и свободите на субекта на данни, и администраторът е оценил всички обстоятелства, свързани с предаването на данните, и въз основа на тази оценка е предоставил подходящи гаранции във връзка със защитата на личните данни.

76

(77)  В съображение 111 от ОРЗД на Обединеното кралство се посочва, че предаването на данни във връзка с договор или правни претенции може да се извършва само спорадично.

77

(78)  Насоки на комисаря по информацията относно международното предаване на данни, достъпни на следния адрес: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/international-transfers/#ib7

78

(79)  За срок от максимум шест месеца, приключващ най-късно на 30 юни 2021 г., приложимостта на тази нова уредба трябва да се разглежда в светлината на член 782 от Споразумението за търговия и сътрудничество между Европейския съюз и Европейската общност за атомна енергия, от една страна, и Обединеното кралство Великобритания и Северна Ирландия, от друга страна (ОВ L 444, 31.12.2020 г., стр. 14) („СТС ЕС—Обединено кралство“), достъпно на следния адрес: https://eur-lex.europa.eu/legal-content/BG/TXT/PDF/?uri=CELEX:22020A1231(01)&from=EN

79

(80)  Когато е необходимо, тези препратки се заменят с препратки към органите на Обединеното кралство. Например съгласно раздел 17 от ЗЗД от 2018 г. комисарят по информацията или националният орган по акредитация на Обединеното кралство може да акредитира лице, отговарящо на изискванията, посочени в член 43 от ОРЗД на Обединеното кралство, да наблюдава съответствието с изискванията за сертифициране.

80

(81)  Годишен доклад и годишни финансови отчети на комисаря по информацията за 2019—2020 г., достъпни на следния адрес: https://ico.org.uk/media/about-the-ico/documents/2618021/annual-report-2019-20-v83-certified.pdf.

81

(82)  Отношенията им се уреждат със споразумение за управление. По-специално основните отговорности на DCMS като финансиращо ведомство включват: да гарантира, че комисарят по информацията е обезпечен с адекватно финансиране и ресурси; да представлява на интересите на комисаря по информацията пред Парламента и други държавни ведомства; да осигури наличието на солидна национална уредба за защита на данните; и да предоставя насоки и подкрепа на Службата на комисаря по информацията по корпоративни въпроси, като например въпроси, свързани с недвижимо имущество, наеми и обществени поръчки (Споразумението за управление за периода 2018—2021 г. е достъпно на следния адрес: https://ico.org.uk/media/about-the-ico/documents/2259800/management-agreement-2018-2021.pdf)

82

(83)  Кодекс за управление на публичните назначения, достъпен на следния адрес: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/578498/governance_code_on_public_appointments_16_12_2016.pdf.

83

(84)  Втори доклад от сесия 2015—2016 г. на комисията по култура, медии и спорт на Камарата на общините, достъпен на следния адрес: https://publications.parliament.uk/pa/cm201516/cmselect/cmcumeds/990/990.pdf.

84

(85)  
  „Обръщение“ е предложение, внесено в Парламента, което има за цел да запознае монарха със становищата на Парламента по даден въпрос.

85

(86)  Точка 3, подточка 3 от приложение 12 към ЗЗД от 2018 г.

86

(87)  Член 137 от ЗЗД от 2018 г., вж. съображение 17.

87

(88)  В членове 137 и 138 от ЗЗД от 2018 г. се съдържат редица гаранции, за да се осигури определянето на таксите на подходящо равнище. По-специално в член 137, параграф 4 се изброяват обстоятелствата, които министърът трябва да вземе предвид при приемането на наредби за определяне на сумите, дължими от различните организации. На второ място, в член 138, параграф 1 и член 182 от ЗЗД от 2018 г. също се съдържа правно изискване, преди наредбите да бъдат приети, министърът да се консултира с комисаря по информацията и с представители на други лица, които може да бъдат засегнати от наредбите, така че техните становища да могат да бъдат взети предвид. Освен това съгласно член 138, параграф 2 от ЗЗД от 2018 г. комисарят по информацията е длъжен да извършва преглед на действието на Наредбите за таксите и може да представя на министъра предложения за изменение на Наредбите. Накрая, с изключение на случаите, когато се приемат наредби само за да се вземе предвид увеличението на индекса на цените на дребно (в който случай спрямо тях ще се приложи процедурата за отрицателна резолюция), спрямо наредбите се прилага процедурата за потвърдителна резолюция и те не може да бъдат приети, докато не бъдат одобрени с резолюция на всяка камара на Парламента.

88

(89)  В Споразумението за управление се пояснява, че „министърът може да извършва плащания на комисаря по информацията със средства, предоставени от Парламента съгласно точка 9 от приложение 12 към ЗЗД от 2018 г. След консултация с комисаря по информацията DCMS ще му изплати съответните суми (безвъзмездна помощ) за административните разходи на ICO и за изпълнението на неговите функции във връзка с редица специфични функции, включително свобода на информацията“ (Споразумение за управление за периода 2018—2021 г., точка 1.12, вж. бележка под линия 82).

89

(90)  Вж. член 134 от ЗЗД от 2018 г.

90

(91)  Член 142 от ЗЗД от 2018 г. (при спазване на ограниченията по член 143 от ЗЗД от 2018 г.).

91

(92)  Член 146 от ЗЗД от 2018 г. (при спазване на ограниченията по член 147 от ЗЗД от 2018 г.).

92

(93)  Членове 149—151 от ЗЗД от 2018 г. (при спазване на ограниченията по член 152 от ЗЗД от 2018 г.).

93

(94)  Член 155 от ЗЗД от 2018 г. и член 83 от ОРЗД на Обединеното кралство.

94

(95)  Това следва от член 155, параграф 1 от ЗЗД от 2018 г., във връзка с член 149, параграфи 2 и 5 от Закона за защита на данните от 2018 г., и от член 156, параграф 4 от ЗЗД от 2018 г., с който издаването на наказателни постановления се ограничава само до комисарите по имотите и собствеността на Короната и администраторите за Кралския двор съгласно член 209, параграф 4 от ЗЗД от 2018 г.

95

(96)  Политика за регулаторните действия, достъпна на следния адрес: https://ico.org.uk/media/about-the-ico/documents/2259467/regulatory-action-policy.pdf.

96

(97)  Включително естеството и тежестта на неизпълнението (като се вземат предвид естеството, обхвата или целта на съответното обработване, както и броят на засегнатите субекти на данни и нивото на вредите, които са претърпели), дали неизпълнението е извършено умишлено или по небрежност, действията, предприети от администратора или обработващия лични данни за смекчаване на последиците от вредите, претърпени от субектите на данни, степента на отговорност на администратора или обработващия лични данни (като се вземат предвид техническите и организационните мерки, въведени от администратора или обработващия лични данни), евентуалните свързани предишни неизпълнения на администратора или обработващия лични данни; степента на сътрудничество с комисаря, категориите лични данни, засегнати от неизпълнението, всякакви други утежняващи или смекчаващи фактори, приложими към обстоятелствата по случая, като пряко или косвено реализирани финансови ползи или избегнати загуби вследствие на нарушението.

97

(98)  Според информацията, предоставена от органите на Обединеното кралство, през периода, обхванат от Годишния доклад на комисаря по информация за 2019—2020 г., в около 25 % от случаите не е установено нарушение, в около 29 % от случаите субектът на данни е поканен да внесе жалба до администратора на данни за първи път, да изчака отговора на администратора или да продължи вече започнал диалог с администратора на данни, в около 17 % от случаите не е установено нарушение, но е издадено предписание на администратора на данни, в около 25 % от случаите комисарят по информацията е установил нарушение и е издал предписание на администратора на данни, или администраторът на данни е задължен да предприеме определени действия, в около 3 % от случаите е установено, че жалбата не е попада в приложното поле на Регламент (ЕС) 2016/679, и около 1 % от случаите са били пренасочени към друг орган за защита на личните данни в рамките на Европейския комитет по защита на данните.

98

(99)  Комисарят по информацията може да започва такива разследвания въз основа на информация, получена от различни източници, включително уведомления за нарушение на сигурността на личните данни, сезиране от други публични органи на Обединеното кралство или от чуждестранни органи за защита на личните данни и жалби от лица или организации на гражданското общество.

99

(100)  Годишен доклад и годишни финансови отчети на комисаря по информацията за 2019—2020 г. (вж. бележка под линия 81).

100

(101)  Според предходния годишен доклад, обхващащ периода 2018—2019 г., комисарят по информацията е издал 22 наказателни постановления съгласно ЗЗД от 1998 г. през отчетния период и е наложил глоби или имуществени санкции на обща стойност 3 010 610 британски лири, включително две глоби или имуществени санкции в размер на 500 000 британски лири (максималният разрешен размер съгласно ЗЗД от 1998 г.). През 2018 г. комисарят по информацията е провел по-специално разследване относно използването на анализ на данни за политически цели след разкритията, свързани с Cambridge Analytica. В резултат на разследването са изготвени доклад за политиката и набор от препоръки, наложена е санкция на Facebook в размер на 500 000 британски лири и е издадено изпълнително постановление на Aggregate IQ — канадски брокер на данни, с което на компанията се нарежда да заличи личните данни, които притежава за граждани и жители на Обединеното кралство (вж. Годишен доклад и годишни финансови отчети на комисаря по информацията за 2018—2019 г., достъпен на следния адрес: https://ico.org.uk/media/about-the-ico/documents/2615262/anniversary-report-201819.pdf).

101

(102)  За обобщение на предприетите изпълнителни действия, вж. уебсайта на комисаря по информацията, достъпен на следния адрес: https://ico.org.uk/action-weve-taken/enforcement/.

102

(103)  Член 170 от ЗЗД от 2018 г.

103

(104)  Член 171 от ЗЗД от 2018 г.

104

(105)  Член 119 от ЗЗД от 2018 г.

105

(106)  Членове 144 и 148 от ЗЗД от 2018 г.

106

(107)  Член 117 от ЗЗД от 2018 г.

107

(108)  Съдебният състав за защита на данните отговаря за предоставянето на насоки и обучение на съдебната власт. Той също така разглежда жалби от субекти на данни във връзка с обработването на лични данни от съдилища, трибунали и физически лица, действащи в изпълнение на съдебните си функции. Съставът има за цел да осигури средствата, чрез които може да бъде решена всяка жалба. Ако жалбоподател не е удовлетворен от решение на Състава и е предоставил допълнителни доказателства, Съставът може да преразгледа решението си. Въпреки че самият Състав не налага финансови санкции, ако Съставът смята, че има достатъчно тежко нарушение на ЗЗД от 2018 г., той може да го отнесе до Службата за разглеждане на поведението в съдебната система (JCIO), която ще разгледа жалбата. Ако жалбата бъде уважена, лорд-канцлерът (Lord Chancellor) и главният съдия (или първият съдия, на когото е делегирано правомощието да действа от негово име) решават какви действия да бъдат предприети срещу заемащия длъжността. Това може да включва, по ред на тежестта: официално становище, предупреждение и официално предупреждение и, като крайна мярка, отстраняване от длъжност. Ако дадено лице не е удовлетворено от начина, по който JCIO е разгледала жалбата, то може да подаде друга жалба до омбудсмана по назначенията и поведението в съдебната система (вж. https://www.gov.uk/government/organisations/judicial-appointments-and-conduct-ombudsman). Омбудсманът има правомощието да поиска от JCIO да преразгледа жалбата и може да предложи на жалбоподателя да получи обезщетение, когато смята, че е претърпял вреди в резултат на лошо администриране.

108

Lord Chancellor

(109)  Декларацията за поверителност на главния съдия и първия председател на трибуналите е достъпна на следния адрес: https://www.judiciary.uk/about-the-judiciary/judiciary-and-data-protection-privacy-notice

109

(110)  Декларацията за поверителност на главния съдия на Северна Ирландия е достъпна на следния адрес: https://judiciaryni.uk/data-privacy.

110

(111)  Декларацията за поверителност на шотландските съдилища и трибунали е достъпна на следния адрес: https://www.judiciary.uk/about-the-judiciary/judiciary-and-data-protection-privacy-notice

111

(112)  DSJ предоставя насоки на съдебната власт и разглежда нарушения и/или жалби във връзка с обработването на лични данни от съдилища или физически лица, действащи в изпълнение на съдебните си функции.

112

(113)  Когато жалбата се смята за сериозна или нарушението за тежко, те се предават на служителя по жалбите във връзка със съдебната система за по-нататъшно разглеждане в съответствие с Кодекса за поведение във връзка с жалбите, издаден от главния съдия на Северна Ирландия. Такава жалба може да приключи: без по-нататъшни действия, със становище, с обучение или с наставничество, с неофициално предупреждение, с официално предупреждение, с последно предупреждение, с ограничаване на правото да се упражняват съдебни функции или с предаване на законоустановен трибунал. Кодексът за поведение във връзка с жалбите, издаден от главния съдия на Северна Ирландия, е достъпен на следния адрес: https://judiciaryni.uk/sites/judiciary/files/media-files/14G.%20CODE%20OF%20PRACTICE%20Judicial%20~%2028%20Feb%2013%20%28Final%29%20updated%20with%20new%20comp..__1.pdf.

113

(114)  Всяка основателна жалба се разглежда от съдията по надзора на данните и се предава на председателя на Върховния съд, който има правомощието да издаде становище, предупреждение или официално предупреждение, ако сметне това за необходимо (сходни правила съществуват за членовете на трибунала и са достъпни на следния адрес: https://www.judiciary.scot/docs/librariesprovider3/judiciarydocuments/complaints/complaintsaboutthejudiciaryscotlandrules2017_1d392ab6e14f6425aa0c7f48d062f5cc5.pdf?sfvrsn=5d3eb9a1_2).

114

(115)  Член 77 от ОРЗД на Обединеното кралство.

115

(116)  Член 166 от ЗЗД от 2018 г. се отнася конкретно до следните случаи: а) комисарят не е предприел подходящи действия, за да отговори на жалбата, б) комисарят не е предоставил на жалбоподателя информация за напредъка по жалбата или за резултата от нея преди изтичането на 3-месечния срок, считано от датата на получаване на жалбата от него, или в) ако разглеждането на жалбата от страна на комисаря не е приключило в този срок, не е предоставил тази информация на жалбоподателя в следващите 3 месеца.

116

(117)  Член 78, параграф 2 от ОРЗД на Обединеното кралство и член 166 от ЗЗД от 2018 г.

117

(118)  Член 78, параграф 1 от ОРЗД на Обединеното кралство и член 162 от ЗЗД от 2018 г.

118

(119)  Член 7, параграф 1 от Закона за правата на човека от 1998 г. Съгласно член 7, параграф 7 дадено лице е жертва на незаконосъобразно действие само ако би било жертва по смисъла на член 34 от Европейската конвенция за правата на човека, в случай че бъде образувано производство в Европейския съд по правата на човека по отношение на това действие.

119

(120)  Член 8, параграф 1 от Закона за правата на човека от 1998 г.

120

(121)  Вж. решение по дело Schrems II, т. 174—175 и цитираната съдебна практика. По отношение на достъпа от страна на публични органи на държави членки вж. също решението по дело C-623/17 Privacy International, ECLI:EU:C:2020:790, т. 65; и решението по съединени дела C-511/18, C-512/18 и C-520/18 La Quadrature du Net и др., ECLI:EU:C:2020:791, т. 175.

121

Schrems II

Privacy International

La Quadrature du Net и др.

(122)  Вж. решение по дело Schrems II, т. 176 и 181, както и цитираната съдебна практика. По отношение на достъпа от страна на публични органи на държави членки вж. също решението по дело Privacy International, т. 68 и по дело La Quadrature du Net и др., т. 132.

122

Schrems II

Privacy International

La Quadrature du Net и др.

(123)  Вж. решение по дело Schrems II, т. 176. По отношение на достъпа от страна на публични органи на държави членки вж. също решението по дело Privacy International, т. 68 и по дело La Quadrature du Net и др., т. 132.

123

Schrems II

Privacy International

La Quadrature du Net и др.

(124)  Вж. решение по дело Schrems II, т. 179.

124

Schrems II

(125)  Вж. решение по дело Schrems II, т. 181—182.

125

Schrems II

(126)  Вж. решение по дело Schrems I, т. 95, и решение по дело Schrems II, т. 194. В това отношение Съдът на Европейския съюз специално подчертава, че спазването на член 47 от Хартата на основните права, гарантиращо правото на ефективно средство за правна защита пред независим и безпристрастен съд, „също е част от изискваното ниво на защита в Съюза [и] Комисията трябва да [го] констатира, преди да приеме решение относно адекватното ниво на защита съгласно член 45, параграф 1 от [Регламент (ЕС) 2016/679]“ (дело Schrems II, т. 186).

126

Schrems I

Schrems II

Schrems II

(127)  Член 6 от Закона за правата на човека от 1998 г.

127

(128)  Европейски съд по правата на човека, Klass и др./Германия, жалба No 5029/71, т. 17—51.

128

Klass и др./Германия

(129)  Европейски съд по правата на човека, Kennedy/Обединено кралство, жалба No 26839/05 (решение Kennedy), т. 167 и 190.

129

Kennedy/Обединено кралство

Kennedy

(130)  За повече информация относно Европейската конвенция за правата на човека и нейното включване в правото на Обединеното кралство чрез Закона за правата на човека от 1998 г., както и относно Конвенция No 108, вж. съображение 9.

130

(131)  Също така съгласно член 11 от Конвенция No 108+ ограниченията на някои специфични права и задължения на Конвенцията за целите на националната сигурност или за предотвратяване, разследване и преследване на престъпления и изпълнение на наказания са допустими само когато такива ограничения са предвидени в закона, прилагат се при зачитане на същността на основните права и свободи и представляват необходима и пропорционална мярка в едно демократично общество. Дейностите по обработване на лични данни за целите на националната сигурност и отбрана също трябва да бъдат обект на независим и ефективен преглед и надзор съгласно националното законодателство на съответната страна по Конвенцията.

131

(132)  Член 31 от ЗЗД от 2018 г.

132

(133)  Компетентните органи, изброени в приложение 7, включват не само полицейските служби, но и всички министерски ведомства на Обединеното кралство, както и други органи с функции по разследване (напр. комисаря на Кралската данъчна и митническа служба, Националната агенция по престъпността, органа по приходите на Уелс, Органа за защита на конкуренцията и пазарите или Кралския имотен регистър), органи за наказателно преследване, други органи за наказателно правосъдие и други субекти или организации, които извършват дейности по правоприлагане (сред тях в приложение 7 към ЗЗД от 2018 г. са изброени главният прокурор, главният прокурор за Северна Ирландия или комисарят по информацията).

133

(134)  Член 30, параграф 2 от ЗЗД от 2018 г.

134

(135)  Член 35 от ЗЗД от 2018 г.

135

(136)  Член 36 от ЗЗД от 2018 г.

136

(137)  Член 37 от ЗЗД от 2018 г.

137

(138)  Член 38 от ЗЗД от 2018 г.

138

(139)  Член 39 от ЗЗД от 2018 г.

139

(140)  Член 40 от ЗЗД от 2018 г.

140

(141)  Член 44 от ЗЗД от 2018 г.

141

(142)  Член 45 от ЗЗД от 2018 г.

142

(143)  Членове 46 и 47 от ЗЗД от 2018 г.

143

(144)  Членове 49 и 50 от ЗЗД от 2018 г.

144

(145)  Членове 56—65 от ЗЗД от 2018 г.

145

(146)  Член 66 от ЗЗД от 2018 г.

146

(147)  Членове 67—68 от ЗЗД от 2018 г.

147

(148)  Членове 69—71 от ЗЗД от 2018 г.

148

(149)  Членове 67—68 от ЗЗД от 2018 г.

149

(150)  Част 3, глава 5 от ЗЗД от 2018 г.

150

(151)  Съгласно член 86, параграф 6 от ЗЗД от 2018 г., за да се определят добросъвестността и прозрачността на обработването, трябва да се вземе предвид методът, по който са получени данните. В този смисъл изискването за добросъвестност и прозрачност е изпълнено, ако данните са получени от лице, което е законно оправомощено или е длъжно да ги предостави.

151

(152)  Съгласно член 87 от ЗЗД от 2018 г. целите на обработването трябва да бъдат конкретни, изрично указани и легитимни. Данните не трябва да се обработват по начин, който е несъвместим с целите, за които се събират. Съгласно член 87, параграф 3 от ЗЗД от 2018 г. по-нататъшно съвместимо обработване на лични данни може да бъде разрешено само ако администраторът е оправомощен по закон да обработва данните за тази цел и обработването е необходимо и пропорционално на тази друга цел. Обработването следва да се счита за съвместимо, ако се състои в обработване за целите на архивиране в обществен интерес, за целите на научни или исторически изследвания или за статистически цели и при прилагането на подходящи гаранции (член 87, параграф 4 от ЗЗД от 2018 г.).

152

(153)  Личните данни трябва да бъдат подходящи, относими и да не надхвърлят необходимото (член 88 от ЗЗД от 2018 г.).

153

(154)  Личните данни трябва да бъдат точни и актуални (член 89 от ЗЗД от 2018 г.).

154

(155)  Личните данни не трябва да се съхраняват по-дълго от необходимото (член 90 от ЗЗД от 2018 г.).

155

(156)  Шестият принцип на защитата на данните е, че личните данни трябва да се обработват по начин, който включва вземането на подходящи мерки за сигурност по отношение на рисковете, произтичащи от обработването на лични данни. Рисковете включват (но не се ограничават до) случаен или неразрешен достъп до лични данни или унищожаване, загуба, използване, промяна или разкриване на лични данни (член 91 от ЗЗД от 2018 г.). В член 107 също така се изисква 1) всеки администратор да прилага съответни мерки за сигурност, подходящи за рисковете, произтичащи от обработването на лични данни, и 2) в случай на автоматизирано обработване всеки администратор и всеки обработващ лични данни да прилага, въз основа на оценка на риска, предотвратяващи или ограничаващи риска мерки.

156

(157)  Член 86, параграф 2, буква b) и приложение 10 от ЗЗД от 2018 г.

157

(158)  Част 4, глава 3 от ЗЗД от 2018 г., по-специално правата: на достъп, коригиране и заличаване, на възражение срещу обработването и спрямо тях да не се прилага автоматизирано вземане на решения, на намеса в автоматизирано вземане на решения и да бъдат информирани относно процеса на вземане на решения. Освен това администраторът трябва да предостави на субекта на данни информация относно обработването на неговите лични данни. Както е обяснено в насоките на ICO относно обработването от разузнавателните служби, физическите лица могат да упражняват всичките си права (включително искане за коригиране), като подадат жалба до ICO или отнесат въпроси в съда (вж. Ръководството на ICO за обработка на разузнавателните служби, достъпно на следния линкhttps://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-intelligence-services-processing/).

158

(159)  Член 103 от ЗЗД от 2018 г.

159

(160)  Член 109 от ЗЗД от 2018 г. Предаването на лични данни на международни организации или държави извън Обединеното кралство е възможно, ако предаването е необходима и пропорционална мярка, която се извършва за целите на законоустановените функции на администратора или за други цели, предвидени в конкретни разпоредби на Закона за службите за сигурност от 1989 г. и Закона за разузнавателните служби от 1994 г.

160

(161)  Насоки на комисаря по информацията, вж. бележка под линия 158.

161

Член 30 от ЗЗД от 2018 г. и приложение 7 към ЗЗД от 2018 г.

(162)  В член 110, параграф 2 от ЗЗД от 2018 г. са изброени разпоредбите, от които се допуска освобождаване. То включва принципите за защита на данните (с изключение на принципа на законосъобразност), правата на субекта на данни, задължението за информиране на комисаря по информацията относно нарушение на сигурността на данните, правомощията на комисаря по информацията да извършва проверки в съответствие с международните задължения, някои от правомощията на комисаря по информацията за привеждане в изпълнение, разпоредбите, които криминализират определени нарушения на защитата на данните, и разпоредбите, свързани с обработване поради специални цели, като например журналистически, академични или художествени.

162

(163)  Вж. Baker/Secretary of State, вж. бележка под линия 61.

163

Baker/Secretary of State

(164)  Обяснителна рамка на Обединеното кралство за обсъждане във връзка с адекватното ниво на защита, раздел H: Национална рамка за защита на данните и правомощията за разследване, стр. 15—16 (вж. бележка под линия 31). Вж. също решение по дело Baker/Secretary of State (вж. бележка под линия 61), в което съдът отменя удостоверение за национална сигурност, издадено от министъра на вътрешните работи, и потвърждава прилагането на изключението, свързано с националната сигурност, като счита, че няма причина да се предвиди общо изключение от задължението за отговор на искания за достъп и че допускането на такова изключение при всички обстоятелства без анализ на всеки отделен случай надхвърля необходимото и пропорционалното за защитата на националната сигурност.

164

Baker/Secretary of State

(165)  Вж. Меморандум за разбирателство между ICO и UKIC, съгласно който „При получаване на жалба от субект на данни ICO ще иска да се увери, че въпросът е бил разгледан правилно и, когато е приложимо, че прилагането на всяко освобождаване е било използвано по подходящ начин“. Меморандум за разбирателство между Службата на комисаря по информацията (ICO) и разузнавателната общност на Обединеното кралство (UKIC), точка 16, достъпен на следния адрес: https://ico.org.uk/media/about-the-ico/mou/2617438/uk-intelligence-community-ico-mou.pdf.

165

(166)  Със ЗЗД от 2018 г. беше отменена възможността за издаване на удостоверения съгласно член 28, параграф 2 от Закона за защита на данните от 1998 г. Въпреки това все още съществува възможност за издаване на „стари удостоверения“ дотолкова, доколкото се оспорва минало прилагане на Закона от 1998 г. (вж. част 5, точка 17 от приложение 20 към ЗЗД от 2018 г.). Тази възможност обаче изглежда много рядка и ще се прилага само в ограничени случаи, като например случаите, при които субектът на данни оспорва използването на изключението във връзка с националната сигурност по отношение на обработване от страна на публичен орган, който е извършил обработването съгласно Закона от 1998 г. Следва да се отбележи, че в тези случаи член 28 от ЗЗД от 1998 г. ще се прилага в своята цялост, което следователно включва възможността субектът на данни да оспори удостоверението пред Съда.

166

(167)  Насоки на правителството на Обединеното кралство относно удостоверенията за национална сигурност съгласно Закона за защита на данните от 2018 г., достъпни на следния адрес: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/910279/Data_Protection_Act_2018_-_National_Security_Certificates_Guidance.pdf. Според разясненията, предоставени от органите на Обединеното кралство, макар удостоверението да е убедително доказателство, че изключението е приложимо по отношение на описаните в него данни или дейности по обработване, то не освобождава администратора от изискването да преценява във всеки отделен случай дали прилагането на изключението е необходимо.

167

(168)  Съгласно член 130 от ЗЗД от 2018 г. комисарят по информацията може да реши да не публикува текста или част от текста на удостоверението, ако публикуването би било в противоречие с интересите на националната сигурност или обществения интерес, или би могло да застраши безопасността на някое лице. В тези случаи обаче комисарят по информацията ще публикува факта, че удостоверението е било издадено.

168

(169)  Насоки на правителството на Обединеното кралство относно удостоверенията за национална сигурност, точка 15, вж. бележка под линия 167.

169

(170)  Насоки на правителството на Обединеното кралство относно удостоверенията за национална сигурност, точка 5, вж. бележка под линия 167.

170

(171)  Вж. бележка под линия 164.

171

(172)  В член 102 от ЗЗД от 2018 г. се изисква администраторът да може да докаже, че е спазил разпоредбите на ЗЗД от 2018 г. Това означава, че разузнавателната служба ще трябва да докаже на ICO, че когато използва освобождаването, тя е разгледала конкретните обстоятелства по случая. ICO публикува и регистър на удостоверенията за национална сигурност, който е достъпен на следния адрес: е достъпен на следния адрес: https://ico.org.uk/about-the-ico/our-information/national-security-certificates/.

172

(173)  Член 111, параграф 3 от ЗЗД от 2018 г.

173

(174)  Трибуналът от по-горна инстанция е съдът, компетентен да разглежда жалби срещу решения, постановени от административни трибунали от по-долна инстанция, и има специална компетентност за пряко обжалване на решения на определени държавни органи.

174

(175)  Член 111, параграф 5 от ЗЗД от 2018 г.

175

(176)  По дело Baker/Secretary of State (вж. по-горе бележка под линия 61), Съдът по въпросите на информацията отмени удостоверение за национална сигурност, издадено от министъра на вътрешните работи, като счете, че няма причина да се предвиди общо изключение от задължението за отговаряне на искания за достъп и че допускането на такова изключение при всички обстоятелства, без анализ на всеки отделен случай, надхвърля необходимото и пропорционалното за защитата на националната сигурност.

176

Baker/Secretary of State

(177)  Насоки на правителството на Обединеното кралство относно удостоверенията за национална сигурност, точка 25, вж. бележка под линия 167.

177

(178)  Това включва: i) принципите за защита на данните от част 4, с изключение на изискването за законосъобразност на обработването съгласно първия принцип и факта, че обработването трябва да отговаря на едно от съответните условия, посочени в приложения 9 и 10; ii) правата на субектите на данни; и iii) задълженията, свързани с докладването на нарушения на ICO.

178

(179)  В част 4 от ЗЗД от 2018 г. е предвидена правната уредба, която се прилага за всички видове обработване на лични данни, извършвано от разузнавателните служби (а не само за изпълнението на техните задачи, свързани с националната сигурност). Поради това част 4 се прилага и когато разузнавателните служби обработват данни например за целите на управлението на човешките ресурси, в контекста на съдебни спорове или на обществени поръчки. Ограниченията, изброени в приложение 11, са предвидени да се прилагат основно в този друг контекст. Например в контекста на съдебен спор със служител може да се направи позоваване на ограничението за целите на „съдебното производство“ или в контекста на обществените поръчки може да се направи позоваване на ограничението за целите на „преговорите“ и т.н. Това е отразено в насоките на ICO относно обработването от разузнавателните служби, в които преговорите по спогодба между разузнавателна служба и бивш служител, който предявява иск по трудово правоотношение, са посочени като пример за прилагането на ограниченията по приложение 11 (вж. бележка под линия 161). Следва да се отбележи още, че съгласно част 2 от приложение 2 към ЗЗД от 2018 г. същите ограничения могат да се използват и от други публични органи.

179

(180)  Съгласно Обяснителната рамка на Обединеното кралство освобождаванията на база категории включват: i) информацията за присъждането на кралски почести и отличия; ii) адвокатската тайна; iii) поверителната информация, свързана с трудово правоотношение, обучение или образование; и iv) изпитните протоколи и оценки. Освобождаването на база накърняване на интерес обхваща следните въпроси: i) предотвратяването или разкриването на престъпления; задържането и наказателното преследване на извършители на престъпления; ii) парламентарния имунитет; iii) съдебните производства; iv) бойната готовност на въоръжените сили на Короната; v) икономическото благосъстояние на Обединеното кралство; vi) преговорите със субекта на данни; vii) научните или историческите изследвания или статистическите цели; viii) архивирането в обществен интерес. Обяснителна рамка на Обединеното кралство за обсъждане във връзка с адекватното ниво на защита, раздел H: Национална сигурност, стр. 13, вж. бележка под линия 31.

180

(181)  Получаването на съгласие не изглежда релевантно, когато става дума за гарантиране на адекватно ниво на защита, тъй като при предаването данните няма да бъдат събрани директно от правоприлагащия орган на Обединеното кралство от субект на данни от ЕС въз основа на съгласие.

181

(182)  За съответното правно основание вж. член 8 и сл. от Закона за полицията и доказателствата в наказателния процес от 1984 г. (за Англия и Уелс), член 10 и сл. от Наредбата за полицията и доказателствата в наказателния процес (Северна Ирландия) от 1989 г. и разпоредбите на общото право за Шотландия (вж. член 46 от Закона за наказателното правосъдие (Шотландия) от 2016 г. и член 23B от Наказателния закон (консолидиран) (Шотландия). За заповед за претърсване, издадена след задържане, правното основание е член 18 от Закона за полицията и доказателствата в наказателния процес от 1984 г. (за Англия и Уелс), член 20 и сл. от Наредбата за полицията и доказателствата в наказателния процес (Северна Ирландия) от 1989 г. и разпоредбите на общото право за Шотландия (вж. член 46 от Закона за наказателното правосъдие (Шотландия) от 2016 г.). Органите на Обединеното кралство поясниха, че заповедите за претърсване се издават от съд по молба на разследващия служител. Те дават право на служителя да влезе в определени помещения, за да търси материали или лица, свързани с провежданото от него разследване; за изпълнението на заповедта често е необходимо съдействието на полицейски служител.

182

(183)  Когато разследването се отнася за изпиране на пари (включително процедури за конфискация и граждански искове за възстановяване), съответното правно основание за подаване на молба за заповед за предоставяне е член 345 и сл. за Англия, Уелс и Северна Ирландия и член 380 и сл. от Закона за приходите от престъпна дейност от 2002 г. за Шотландия. Когато разследването се отнася за други въпроси, различни от изпирането на пари, молба за заповед за предоставяне може да бъде подадена съгласно член 9 от Закона за полицията и доказателствата в наказателния процес от 1984 г. и приложение 1 към него — за Англия и Уелс, и член 10 и сл. от Наредбата за полицията и доказателствата в наказателния процес (Северна Ирландия) от 1989 г. — за Северна Ирландия. За Шотландия правното основание се съдържа в разпоредбите на общото право (вж. член 46 от Закона за наказателното правосъдие (Шотландия) от 2016 г. и член 23B от Наказателния закон (консолидиран) (Шотландия). Органите на Обединеното кралство поясниха, че заповедта за предоставяне задължава лицето, посочено в нея, да предостави или да осигури достъп до материалите, които притежава или контролира (вж. точка 4 от приложение 1 към Закона за полицията и доказателствата в наказателния процес от 1984 г.).

183

(184)  Например в членове 8 и 18 от Закона за полицията и доказателствата в наказателния процес от 1984 г. са предвидени правомощия за изземване и задържане на всичко, за което е разрешено претърсването.

184

(185)  В членове 8 и 18 от Закона за полицията и доказателствата в наказателния процес са уредени съответно правомощията на мировите съдии да издават заповеди за претърсване и на полицейските служители да претърсват помещения. В първия случай (член 8), преди да издаде заповед за претърсване, мировият съдия трябва първо да се убеди, че са налице основателни причини да се предполага, че: i) е извършено престъпление от общ характер; ii) в помещенията има материали, които е вероятно да са от съществено значение (сами по себе си или заедно с други материали) за разследването на престъплението; iii) материалите е вероятно да представляват релевантно доказателство; iv) материалите не представляват, нито включват елементи, обект на адвокатска тайна, изключени материали или материали, подлежащи на специален режим; и v) не би било възможно да се получи достъп до помещенията без използването на заповед за претърсване. Във втория случай член 18 дава възможност полицейски служител да извърши претърсване в помещенията на лице, задържано за престъпление от общ характер, във връзка с материали, които не са обект на адвокатска тайна, ако има основателни причини да подозира, че в помещенията съществуват доказателства, свързани с това или с друго подобно или свързано престъпление от общ характер. Претърсването трябва да бъде ограничено до разкриването на такива материали и трябва да бъде разрешено писмено от полицейски служител най-малко с ранг инспектор, освен ако не е необходимо за разследването на престъплението. В такъв случай служител най-малко с ранг инспектор трябва да бъде информиран възможно най-скоро след извършването на претърсването. Основанията за претърсването и естеството на търсените доказателства трябва да бъдат документирани. Освен това в членове 15 и 16 от Закона за полицията и доказателствата в наказателния процес от 1984 г. са предвидени законоустановени гаранции, които трябва да се спазват при внасянето на молби за заповед за претърсване. В член 15 са посочени изискванията, приложими за издаването на заповед за претърсване (включително съдържанието на молбата, внасяна от полицейския служител, и фактът, че в заповедта трябва да бъде упоменат, наред с другото, актът, въз основа на който е издадена, и да бъдат посочени конкретно, доколкото е възможно, вещите и лицата, които ще се търсят, и помещенията, които ще бъдат претърсвани). Член 16 урежда как трябва да бъде извършено претърсването съгласно заповед за претърсване (напр.: в член 16, параграф 5 се предвижда, че служителят, изпълняващ заповедта за претърсване, представя на обитателя копие от заповедта; съгласно член 16, параграф 11 се изисква, след като бъде изпълнена, заповедта да се съхранява за период от 12 месеца; член 16, параграф 12 дава право на обитателя да прегледа заповедта през този период, ако желае). Тези разпоредби спомагат да се гарантира спазването на член 8 от ЕКПЧ (вж. напр. Kent Pharmaceuticals/Director of the Serious Fraud Office [2002] EWHC 3023 (QB), т. 30, главен съдия лорд Woolf). Неспазването на тези гаранции може да доведе до обявяването на претърсването за незаконно (вж. напр. R (Brook)/Preston Crown Court [2018] EWHC 2024 (Admin), [2018] ACD 95; R (Superior Import / Export Ltd)/Revenue and Customs Commissioners [2017] EWHC 3172 (Admin), [2018] Lloyd’s Rep FC 115; и R (F)/Blackfriars Crown Court [2014] EWHC 1541 (Admin). Членове 15 и 16 от Закона за полицията и доказателствата в наказателния процес от 1984 г. са допълнени с Кодекс B към Закона — кодекс за поведение, който урежда упражняването на полицейските правомощия за извършване на претърсване на помещения.

185

Kent Pharmaceuticals/Director of the Serious Fraud Office

R (Brook)/Preston Crown Court

R (Superior Import / Export Ltd)/Revenue and Customs Commissioners

R (F)/Blackfriars Crown Court

(186)  Например, когато се издава заповед за предоставяне съгласно Закона за приходите от престъпна дейност от 2002 г., освен изискването да са налице основателни причини за изпълнение на условията, определени в член 346, параграф 2 от Закона за приходите от престъпна дейност, трябва да има основателни причини да се предполага, че лицето притежава или контролира посочените материали и че те вероятно са от съществено значение. Освен това друго изискване за издаване на заповед за предоставяне е, че трябва да има основателни причини да се предполага, че предоставянето на материалите или осигуряването на достъп до тях е в обществен интерес, като се вземе предвид а) ползата, която е вероятно придобиването на материалите да донесе за разследването; и б) обстоятелствата, при които лицето, посочено в молбата, за което се предполага, че притежава или контролира материалите, разполага с тях. Съдът, който разглежда молба за издаване на заповед за предоставяне съгласно приложение 1 към Закона за полицията и доказателствата в наказателния процес от 1984 г., също трябва да се увери, че са изпълнени конкретни условия. По-специално в приложение 1 към Закона за полицията и доказателствата в наказателния процес са определени два отделни алтернативни набора от условия, единият от които трябва да бъде изпълнен, за да може съдията да издаде заповед за предоставяне. Съгласно първия набор от условия съдията трябва да има основателни причини да предполага, че i) е извършено престъпление от общ характер; ii) материалите, търсени в помещенията, представляват или включват материали, подлежащи на специален режим, но не и изключени материали; iii) материалите е вероятно да са от съществено значение, сами по себе си или заедно с други материали, за разследването; iv) материалите е вероятно да представляват релевантно доказателство; v) направен е опит материалите да бъдат придобити с други методи или не е правен такъв опит, тъй като той би бил обречен на неуспех; и vi) като се има предвид ползата за разследването и обстоятелствата, при които лицето притежава материалите, е в обществен интерес те да бъдат предоставени или да бъде осигурен достъп до тях. Съгласно втория набор от условия: i) в помещенията трябва да се съхраняват материали, които представляват материали, подлежащи на специален режим, или изключени материали; ii) ако съгласно законодателството, прието преди Закона за полицията и доказателствата в наказателния процес, не е съществувала забрана за извършване на претърсване по отношение на материали, подлежащи на специален режим, би могло да бъде издадена заповед за претърсване по отношение на тези материали; и iii) издаването на такава заповед би било уместно.

186

(187)  Правната процедура за обжалване на решения на публичен орган пред Висшия съд е съдебният контрол. Съдилищата разглеждат обжалваното решение и решават дали има основание да се твърди, че решението е неправилно от правна гледна точка, като се вземат предвид публичноправните концепции/принципи. Главните основания за съдебен контрол включват по-специално незаконосъобразност, необоснованост, процесуални нередности, пренебрегване на принципа на оправданите правни очаквания и нарушаване на правата на човека. След успешно обжалване по линия на съдебния контрол съдът може да разпореди редица различни средства за правна защита; най-често срещаното от тях е определение за отмяна (с което първоначалното решение — т.е. решението за издаване на заповед за претърсване — се отменя); при някои обстоятелства това може да включва и присъждане на финансово обезщетение. Допълнителни подробности относно съдебния контрол в Обединеното кралство могат да бъдат намерени в изданието на Правния отдел на правителството „Под зоркото око на съдията — ръководство за добро вземане на решения“ (Judge Over Your Shoulder — a guide to good decision-making), достъпно на следния адрес: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/746170/JOYS-OCT-2018.pdf.

187

(188)  Член 36, параграф 1 от ЗЗД на Обединеното кралство от 2018 г.

188

(189)  Член 37 от ЗЗД на Обединеното кралство от 2018 г.

189

(190)  Съгласно член 263, параграф 1 от ЗПР от 2016 г. „тежко престъпление“ означава престъпление, за което пълнолетно, неосъждано лице може основателно да се очаква, че ще бъде осъдено на лишаване от свобода за срок от 3 години или повече, или деянието е извършено с насилие, води до значителна финансова изгода или е извършено от голям брой лица. Освен това за целите на събирането на комуникационни данни съгласно част 4 от ЗПР от 2016 г. в член 87, параграф 10B е предвидено, че „тежко престъпление“ е престъпление, за което може да бъде наложено наказание лишаване от свобода от 12 месеца или повече, или престъпление, чийто извършител не е физическо лице, или престъпление, неразделна част от което е изпращането на комуникация или нарушаването на неприкосновеността на личния живот на дадено лице.

190

(191)  По-специално, заповед за целево прихващане може да се иска от следните правоприлагащи органи: генералния директор на Националната агенция по престъпността, комисаря на Метрополната полиция, началника на полицейската служба на Северна Ирландия, началника на полицейската служба на Шотландия, комисаря на Кралската данъчна и митническа служба, директора на Военното разузнаване и лице, което е компетентен орган на държава или територия извън Обединеното кралство за целите на инструмент на ЕС за взаимопомощ или на международно споразумение за взаимопомощ (член 18, параграф 1 от ЗПР от 2016 г.).

191

(192)  Вж. член 4 от ЗПР от 2016 г.

192

(193)  Вж. член 261, параграф 5 от ЗПР от 2016 г. и Кодекса за поведение относно масовото събиране на комуникационни данни, достъпен на следния адрес: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/715477/Bulk_Communications_Data_Code_of_Practice.pdf, точка 2.9.

193

(194)  Кодекс за поведение относно намесата в оборудването, достъпен на следния адрес: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/715479/Equipment_Interference_Code_of_Practice.pdf, точка 2.2.

194

(195)  Със заповедта за взаимопомощ орган на Обединеното кралство се оправомощава да съдейства на орган извън територията на Обединеното кралство за прихващане и разкриване на прихванатите материали на този орган в съответствие с международен инструмент за взаимопомощ (член 15, параграф 4 от ЗПР от 2016 г.).

195

(196)  Законът за правомощията за разследване от 2016 г. (вж.: https://www.legislation.gov.uk/ukpga/2016/25/contents/enacted) замени различни закони относно прихващането на комуникация, намесата в оборудването и събирането на комуникационни данни, по-специално част I от ЗУПР от 2000 г., в която се съдържаше предишната обща нормативна уредба за упражняването на правомощия за разследване от органите на реда и националната сигурност.

196

(197)  Член 138, параграф 1, член 158, параграф 1, член 178, параграф 1, член 199, параграф 1 от ЗПР от 2016 г.

197

(198)  В част 2, глава 2 от ЗПР от 2016 г. са предвидени ограничен брой случаи, при които прихващането може да се извършва без заповед. Това включва: прихващане със съгласието на подателя или получателя, прихващане за административни цели или за целите на принудителното изпълнение, прихващане, извършвано в определени институции (затвори, психиатрични болници и места за задържане на имигранти), както и прихващане, извършвано в съответствие с приложимо международно споразумение.

198

(199)  В повечето случаи органът, който издава заповедите съгласно ЗПР от 2016 г., е министърът (Secretary of State) на Обединеното кралство, а шотландските министри са оправомощени да издават заповеди за целево прихващане, заповеди за взаимопомощ и заповеди за целеви намеса в оборудването, когато лицата или помещенията, за които се отнася прихващането, и оборудването, в което се осъществява намесата, се намират в Шотландия (вж. членове 22 и 103 от ЗПР от 2016 г.). В случай на целева намеса в оборудването заповедта може да бъде издадена от ръководител на правоприлагащ орган (упоменат в част 1 и част 2 от приложение 6 към ЗПР от 2016 г.) при спазване на условията, предвидени в член 106 от ЗПР от 2016 г.

199

Secretary of State

(200)  Съдебните комисари подпомагат комисаря по правомощията за разследване — независим орган, който упражнява надзорни функции над упражняването на правомощия за разследване от разузнавателните служби (за повече подробности вж. съображение 162 и сл.).

200

(201)  Вж. по-специално членове 19 и 23 от ЗПР от 2016 г.

201

(202)  Член 36, параграф 3 от ЗЗД от 2018 г.

202

(203)  Член 56 от Закона за цифровата икономика от 2017 г., достъпен на следния адрес: https://www.legislation.gov.uk/ukpga/2017/30/section/56.

203

(204)  Член 48 от Закона за цифровата икономика от 2017 г.

204

(205)  Член 7 от Закона за престъпленията и съдилищата от 2013 г., достъпен на следния адрес: https://www.legislation.gov.uk/ukpga/2013/22/section/7.

205

(206)  Член 68 от Закона за тежките престъпления от 2007 г., достъпен на следния адрес: https://www.legislation.gov.uk/ukpga/2007/27/contents.

206

(207)  Разрешена професионална практика относно споделянето на информация, достъпна на следния адрес: https://www.app.college.police.uk/app-content/information-management/sharing-police-information.

207

(208)  Вж. напр. дело M, R/the Chief Constable of Sussex Police [2019] EWHC 975 (Admin), по което от Висшия съд е поискано да разгледа възможността за споделяне на данни между полицията и Партньорството за намаляване на икономическата престъпност (BCRP) — организация, оправомощена да управлява схеми за уведомяване за отстраняване, с която на лица се забранява да влизат в търговските помещения на нейните членове. Съдът разглежда споделянето на данни, което се осъществява въз основа на споразумение, имащо за цел защита на обществеността и предотвратяване на престъпления, и в крайна сметка стига до заключението, че повечето аспекти на споделянето на данни са законосъобразни, с изключение във връзка с определена чувствителна информация, споделяна между полицията и BCRP. Друг пример е дело Cooper/NCA [2019] EWCA Civ 16, в което Апелативният съд потвърждава споделянето на данни между полицията и Агенцията по тежката организирана престъпност (SOCA), която понастоящем е част от NCA.

208

M, R/the Chief Constable of Sussex Police

Cooper/NCA

(209)  Член 36, параграф 4 от ЗЗД от 2018 г.

209

(210)  Закон за борба с тероризма от 2008г., достъпен на следния адрес: https://www.legislation.gov.uk/ukpga/2008/28/section/19.

210

(211)  Закон за разузнавателните служби от 1994 г., достъпен на следния адрес: https://www.legislation.gov.uk/ukpga/1994/13/contents.

211

(212)  Закон за службите за сигурност от 1989 г., достъпен на следния адрес: https://www.legislation.gov.uk/ukpga/1989/5/contents.

212

(213)  В член 2, параграф 2 от Закона за разузнавателните служби от 1994 г. се предвижда, че „Началникът на Разузнавателната служба отговаря за ефикасността на тази служба и е длъжен да гарантира, че: а) са налице мерки за гарантиране, че Разузнавателната служба не получава информация, освен доколкото това е необходимо за правилното изпълнение на функциите ѝ, и че тя не разкрива информация, освен доколкото това е необходимо i) за тази цел; ii) в интерес на националната сигурност; iii) за целите на предотвратяването или разкриването на тежки престъпления; или iv) за целите на наказателно производство; и б) че Разузнавателната служба не предприема никакви действия за прокарване на интересите на някоя политическа партия в Обединеното кралство“, докато в член 2, параграф 2 от Закона за службите за сигурност от 1989 г. се предвижда, че „Генералният директор отговаря за ефикасността на Службата и е длъжен да гарантира, че: а) са налице мерки за гарантиране, че Службата не получава информация, освен доколкото това е необходимо за правилното изпълнение на функциите ѝ, нито разкрива информация, освен доколкото това е необходимо за тази цел или за целите на предотвратяването или разкриването на тежки престъпления, или за целите на наказателно производство; и б) че Службата не предприема никакви действия за прокарване на интересите на някоя политическа партия; и в) че са налице мерки, договорени с генералния директор на Националната агенция по престъпността, за координиране на дейностите на Службата съгласно член 1, параграф 4 от този закон с дейностите на полицейските сили, Националната агенция по престъпността и други правоприлагащи органи“.

213

(214)  Вж. част 3, глава 5 от ЗЗД от 2018 г.

214

(215)  Член 76 от ЗЗД от 2018 г.

215

(216)  Членове 54 и 130 от ЗПР от 2016 г. Издаващите органи трябва да преценят необходимостта от въвеждане на специфични гаранции за материалите, предадени на чужди органи, за да се гарантира, че по отношение на съхраняването, унищожаването и разкриването на данните ще се прилагат гаранции, сходни на тези, които са въведени съгласно членове 53 и 129 от ЗПР от 2016 г.

216

(217)  Споразумение между правителството на Обединеното кралство Великобритания и Северна Ирландия и правителството на Съединените американски щати относно достъпа до електрони данни с цел противодействие на тежката престъпност, достъпно на следния адрес: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/836969/CS_USA_6.2019_Agreement_between_the_United_Kingdom_and_the_USA_on_Access_to_Electronic_Data_for_the_Purpose_of_Countering_Serious_Crime.pdf

217

(218)  Това е първото споразумение, сключено съгласно Закона за изясняване на законосъобразното използване на данни в чужбина (CLOUD) на САЩ. Законът CLOUD на САЩ е американски федерален закон, приет на 23 март 2018 г., в който чрез изменение на Закона за съхраняваните съобщения от 1986 г. се изяснява, че доставчиците на услуги в САЩ са задължени да спазват американските заповеди за разкриване на съдържание и на данни без съдържание, независимо къде се съхраняват тези данни. Съгласно Закона CLOUD се допуска също сключването на изпълнителни споразумения с чужди правителства, въз основа на които доставчиците на услуги в САЩ да могат да предоставят данни със съдържание директно на тези чуждестранни правителства (текстът на Закона CLOUD е достъпен на следния адрес: https://www.congress.gov/115/bills/s2383/BILLS-115s2383is.pdf)

218

(219)  Член 1, параграф 14 от Споразумението.

219

(220)  Член 5, параграф 2 от Споразумението.

220

(221)  Член 5, параграф 1 от Споразумението.

221

(222)  Член 4, параграф 5 от Споразумението. По отношение на прихващането в реално време се прилагат допълнителни и по-строги изисквания: заповедите трябва да бъдат с ограничен срок, който не трябва да бъде по-дълъг от разумно необходимия за изпълнение на целите на заповедта, и се издават само ако същата информация практически не може да бъде получена със средства, които предполагат по-малка намеса (член 5, параграф 3 от Споразумението).

222

(223)  Споразумение между Съединените американски щати и Европейския съюз относно защитата на личната информация във връзка с предотвратяването, разследването, разкриването и наказателното преследване на престъпления, ОВ L 336, 10.12.2016 г., стр. 3, достъпно на следния адрес: https://eur-lex.europa.eu/legal-content/BG/TXT/PDF/?uri=CELEX:22016A1210(01)

223

(224)  Член 9, параграф 1 от Споразумението.

224

(225)  Член 9, параграф 1 от Споразумението.

225

(226)  Член 116 от ЗЗД от 2018 г.

226

(227)  Вж. ЗПР от 2016 г. и по-специално част 8, глава 1.

227

(228)  Точка 2 от приложение 13 към ЗЗД от 2018 г.

228

(229)  Да разпорежда на администратора и на обработващия лични данни (и при определени обстоятелства на всяко друго лице) да предоставят необходимата информация (член 142 от ЗЗД от 2018 г.).

229

(230)  Да разрешава извършването на разследвания и одити, при което администраторът или обработващият лични данни може да бъде задължен да допусне комисаря да влезе в определени помещения, да проверява или преглежда документи или оборудване, да изслушва лица, обработващи лични данни от името на администратора (член 146 от ЗЗД от 2018 г.).

230

(231)  Да дава разрешение за упражняването на корективни правомощия, за които може да се изисква администраторите/обработващите лични да предприемат или да се въздържат от предприемането на конкретни действия (член 149 от ЗЗД от 2018 г.).

231

(232)  Член 154 от ЗЗД от 2018 г.

232

(233)  Член 155 от ЗЗД от 2018 г.

233

(234)  Политика за регулаторните действия, вж. бележка под линия 96.

234

(235)  Годишен доклад и годишни финансови отчети на комисаря по информацията за 2018—2019 г., вж. бележка под линия 101.

235

(236)  Годишен доклад и годишни финансови отчети на комисаря по информацията за 2019—2020 г., вж. бележка под линия 82.

236

(237)  База данни, в която са записани разузнавателни данни, свързани с предполагаеми членове на банди и жертви на престъпления, свързани с банди.

237

(238)  Вж. изявление на комисаря по информацията, достъпно на следния адрес: https://ico.org.uk/about-the-ico/news-and-events/news-and-blogs/2020/07/oaic-and-ico-open-joint-investigation-into-clearview-ai-inc/

238

(239)  Член 170 от ЗЗД от 2018 г.

239

(240)  Член 171 от ЗЗД от 2018 г.

240

(241)  Член 119, параграф 6 от ЗЗД от 2018 г.

241

(242)  През финансовата година, обхващаща периода от 1 април 2019 г. до 31 март 2020 г., в резултат на разследванията на комисаря по информацията са издадени четири предупреждения и са заведени осем наказателни дела. Тези дела са заведени съгласно член 55 от Закона за защита на данните от 1998 г., член 77 от Закона за свобода на информацията от 2000 г. и член 170 от Закона за защита на данните от 2018 г. В 75 % от случаите обвиняемите са се признали за виновни, отказвайки се от воденето на продължителни съдебни процеси със свързаните с това разходи. (Годишен доклад и годишни финансови отчети на комисаря по информацията за 2019—2020 г. (вж. бележка под линия 87, стр. 40).

242

(243)  Длъжността „комисар по биометричните въпроси“ е създадена със Закона за защита на свободите от 2012 г. (вж.: https://www.legislation.gov.uk/ukpga/2012/9/contents). Наред с други функции комисарят по биометричните въпроси решава дали полицията може да съхранява ДНК профили и пръстови отпечатъци, снети от задържани лица, които не са обвинени в квалифицирано престъпление (член 63G от Закона за полицията и доказателствата в наказателния процес от 1984 г.). Освен това комисарят по биометричните въпроси носи обща отговорност да контролира съхранението и използването на ДНК и пръстови отпечатъци, както и за съхранението им на основания, свързани с националната сигурност (член 20, параграф 2 от Закона за защита на свободата от 2012 г.). Комисарят по биометрични въпроси се назначава съгласно Кодекса за публичните назначения (Кодексът е достъпен на следния адрес: Https://www.gov.uk/government/publications/governance-code-for-public-appointments) и от условията за неговото назначаване става ясно, че той може да бъде отстранен от длъжност от министъра на вътрешните работи само при строго определен набор от обстоятелства; сред тях са неизпълнение на задълженията му за срок от три месеца, осъждане за извършено престъпление или неспазване на условията за назначаване.

243

(244)  Длъжността „комисар относно камерите за наблюдение“ е създадена със Закона за защита на свободите от 2012 г. със задача да насърчава спазването на Кодекса за поведение относно използването на камери за наблюдение; да извършва преглед на действието на този кодекс; и да дава становище на министрите дали този кодекс се нуждае от изменение. Комисарят се назначава съгласно същите правила като комисаря по биометричните въпроси и разполага със сходни правомощия, ресурси и защита срещу отстраняване.

244

(245)  Виж https://committees.parliament.uk/committee/83/home-affairs-committee/news/100537/work-of-the-national-crime-agency-scrutinised/

245

(246)  Специалните комисии, включително Специалната комисия по вътрешните работи, трябва да спазват Правилника за вътрешния ред на Камарата на общините. В Правилника за вътрешния ред се съдържат правилата, приети от Камарата на общините, които уреждат работата на Парламента. Правомощията на специалните комисии са широки, като съгласно правило 152, параграф 1 „[с]пециалните комисии се назначават, за да извършват преглед на разходите, управлението и политиката на основните правителствени ведомства, както е посочено в параграф 2 от това правило, и на свързаните с тях публични органи.“ Това дава право на Специалната комисия по вътрешните работи да извърши преглед на всяка политика на Министерството на вътрешните работи, в която се съдържат политики (и свързаното с тях законодателство) относно правомощията за разследване. Освен това от правило 152, параграф 4 става ясно, че комисиите имат различни правомощия, включително да изискват от физически лица да дават показания или да предоставят документи по определен въпрос, както и да изготвят доклади. Текущите и предишните проверки на комисията са достъпни на следния адрес: https://committees.parliament.uk/committee/83/home-affairs-committee/.

246

(247)  Правомощията на Специалната комисията по вътрешните работи в Англия и Уелс са определени в Правилника за вътрешния ред на Камарата на общините, достъпен на следния адрес: https://www.parliament.uk/business/publications/commons/standing-orders-public11/.

247

(248)  Достъпен на следния адрес: https://publications.parliament.uk/pa/cm201415/cmselect/cmhaff/711/71103.htm.

248

(249)  Достъпен на следния адрес: https://committees.parliament.uk/committee/83/home-affairs-committee

249

(250)  Правилникът на Подкомисията по правосъдие и обществен ред в Шотландия е достъпен на следния адрес:https://www.parliament.scot/parliamentarybusiness/CurrentCommittees/justice-committee.aspx, а правилникът на Комисията по правосъдие в Северна Ирландия може да бъде намерен на следния адрес: http://www.niassembly.gov.uk/assembly-business/standing-orders/]

250

(251)  В последния годишен доклад на комисаря по информацията е дадена разбивка на естеството на получените и приключените жалби. По-специално броят на получените жалби, свързани с „дейности на полицията и регистри за съдимост“ възлиза на 6 % от общия брой на получените жалби (като бележи ръст от 1 % в сравнение с предходната финансова година). От годишния доклад става ясно също, че най-голям е броят на жалбите, свързани с искания за достъп на субекти на данни (46 % от общия брой жалби, което представлява ръст от 8 % в сравнение с предходната финансова година) (Годишен доклад на комисаря по информацията за 2019—2020 г., стр. 55; вж. бележка под линия 88.

251

(252)  Член 166 от ЗЗД от 2018 г. се отнася конкретно до следните случаи: а) комисарят не е предприел подходящи действия, за да отговори на жалбата, б) комисарят не е предоставил на жалбоподателя информация за напредъка по жалбата или за резултата от нея преди изтичането на 3-месечния срок, считано от датата на получаване на жалбата от него, или в) ако разглеждането на жалбата от страна на комисаря не е приключило в този срок, не е предоставил тази информация на жалбоподателя в следващите 3 месеца.

252

(253)  Трибуналът от първа инстанция е компетентният съд за разглеждане на жалби срещу решения, взети от държавни регулаторни органи. В случай на решение на комисаря по информацията компетентно е отделението „Общи правни въпроси“ (General Regulatory Chamber), което има юрисдикция за цялото Обединено кралство.

253

(254)  Член 166 от ЗЗД от 2018 г. Сред примерите за успешни дела срещу комисаря по информацията, заведени пред трибунала, са случай, при който комисарят по информацията е потвърдил получаването на жалба от субект на данни, но не е посочил действията, които възнамерява да предприеме, и поради това му е разпоредено да потвърди в рамките на 21 календарни дни дали ще разследва жалбата и, ако е така, да информира жалбоподателя за хода на разследването не по-рядко от всеки 21 календарни дни след това (решението все още не е публикувано), както и случай, при който трибуналът от първа инстанция е счел, че не е ясно дали отговорът, предоставен от комисаря по информацията на жалбоподателя, отразява правилно „резултата“ от жалбата (вж. решението по делото Susan Milne/The Information Commissioner [2020], достъпно на следния адрес: https://informationrights.decisions.tribunals.gov.uk/DBFiles/Decision/i2730/Milne,%20S%20-%20QJ2020-0296-GDPR-V,%20051220%20Section%20166%20DPA%20-DECISION.pdf)

254

(255)  Членове 162 и 163 от ЗЗД от 2018 г.

255

(256)  Вж. например делото Brown/Commissioner of Police of the Metropolis & Anor [2019] EWCA Civ 1724, в което е присъдено обезщетение от 9 000 британски лири съгласно ЗЗД от 1998 г. и съгласно Закона за правата на човека от 1998 г. за незаконно получаване на лична информация и злоупотреба с нея, и делотоR (с ищец Bridges)/Chief Constable of South Wales [2020] EWCA Civ 1058, в което Апелативният съд е обявил за незаконно внедряването на система за лицево разпознаване от полицията на Уелс, тъй като е в нарушение на член 8 от ЕКПЧ, и оценката на въздействието върху защитата на личните данни, изготвена от администратора, не съответства на ЗЗД от 2018 г.

256

(257)  Член 34 от Европейската конвенция за правата на човека гласи: „Съдът може да бъде сезиран с жалба от всяко лице, неправителствена организация или група лица, които твърдят, че са жертва на нарушение от страна на някоя от Βисокодоговарящите страни на правата, провъзгласени в Конвенцията или в Протоколите към нея. Βисокодоговарящите страни са длъжни да не създават по никакъв начин пречки за ефективното упражняване на това право“.

257

(258)  MI5 е на подчинение на министъра на вътрешните работи. Функциите на MI5 са описани в Закона за службите за сигурност от 1989 г: защита на националната сигурност (включително защита срещу заплахи от шпионаж, тероризъм и саботаж, от дейности на агенти на чужди сили и от действия, насочени към отхвърляне или подриване на парламентарната демокрация с политически, индустриални или насилствени средства), защита на икономическото благосъстояние на Обединеното кралство от външни заплахи и подкрепа на дейностите на полицейските служби и на други правоприлагащи органи за предотвратяването и разкриването на тежки престъпления.

258

(259)  Правителствената централа за комуникации е на подчинение на министъра на външните работи и нейните функции са описани в Закона за разузнавателните служби от 1994 г. Функциите ѝ включват получаването и предоставянето на информация, свързана с действията или намеренията на лица извън Британските острови, и изпълнението на други задачи, свързани с действията или намеренията на такива лица. Тези функции могат да се упражняват само в интерес на националната сигурност, в интерес на икономическото благосъстояние на Обединеното кралство или в подкрепа на предотвратяването или разкриването на тежки престъпления.

259

(260)  Правителствената централа за комуникации е на подчинение на министъра на външните работи и нейните функции са описани в Закона за разузнавателните служби от 1994 г. Те са а) наблюдение, използване или намеса в електромагнитни и други емисии и в оборудване, произвеждащо такива емисии, получаване и предоставяне на информация, извлечена от такива емисии или оборудване, или свързана с тях, както и от криптирани материали; б) предоставяне на консултантска помощ и съдействие по езикови въпроси, включително във връзка с техническа терминология и криптография и с други въпроси, свързани със защитата на информацията, на въоръжените сили, на правителството или на други организации или лица, които се считат за уместни. Тези функции може да се упражняват само в интерес на националната сигурност, в интерес на икономическото благосъстояние на Обединеното кралство във връзка с действията или намеренията на лица извън Британските острови или в подкрепа на предотвратяването или разкриването на тежки престъпления.

260

(261)  Други публични органи, упражняващи функции, свързани с националната сигурност, са Военното разузнаване, Съветът и Секретариатът за национална сигурност, Съвместната организация за разузнаване и Съвместният разузнавателен комитет. Нито Съвместният разузнавателен комитет, нито Съвместната организация за разузнаване обаче се ползват с правомощия за разследване съгласно ЗПР от 2016 г., а обхватът на правомощията на Военното разузнаване е ограничен.

261

(262)  Забраната се прилага както за обществени, така и за частни комуникационни мрежи, както и за обществените пощенски служби, когато прихващането се извършва в Обединеното кралство. Забраната не се прилага за администратора на частна мрежа, ако той е дал изрично или мълчаливо съгласие за извършване на прихващането (член 3 от ЗПР от 2016 г.).

262

(263)  В конкретни ограничени случаи е възможно прихващането да се извършва без заповед, тоест когато се осъществява със съгласието на подателя или получателя (член 44 от ЗПР от 2016 г.), когато се осъществява за административни цели или за целите на привеждането в изпълнение (членове 45—48 от ЗПР от 2016 г.), в някои специализирани институции (членове 49—51 от ЗПР от 2016 г.) и в съответствие с искания на чужди държави (член 52 от ЗПР от 2016 г.).

263

(264)  Що се отнася например до обхвата на тези мерки, в част 3 и част 4 (съхраняване и събиране на комуникационни данни), обхватът на мярката е тясно свързан с определението за „телекомуникационни оператори“, чиито данни на потребителите са предмет на мярката. Друг пример може да бъде даден във връзка с използването на „масови“ правомощия. В този случай обхватът на тези правомощия е ограничен до „комуникации, изпращани или получавани от лица извън Британските острови“.

264

(265)  В приложение 7 към ЗПР от 2016 г. са определени обхватът на кодексите, процедурата, която трябва да се следва при издаването им, правилата за тяхното преразглеждане и правните последици от кодексите.

265

(266)  Кодексите за поведение съгласно ЗПР от 2016 г. са достъпни на следния адрес: https://www.gov.uk/government/publications/investigatory-powers-act-2016-codes-of-practice

266

(267)  Съдилищата и трибуналите използват кодексите за поведение при оценка на законосъобразността на действията на органите. Вж. например: делото Dias/Cleveland Police, [2017] UKIPTrib15_586-CH, в което Трибуналът за правомощията за разследване се позовава на конкретни извадки от Кодекса за поведение относно комуникационните данни, за да изясни определението на основанието „за предотвратяване или разкриване на престъпления или за предотвратяване на безредици“, използвано в искания за събиране на комуникационни данни. Кодексът е включен в мотивите на решението, в което се заключава, че това основание е използвано неправилно. Въз основа на това съдът постановява, че оспорените действия са незаконни. Съдилищата също така са оценили нивото на гаранциите, предвидени в кодексите, вж. например решението по делото Just for Law Kids/Secretary of State for the Home Department [2019] EWHC 1772 (Admin), в което Върховният съд се произнася, че първичното и вторичното законодателство, заедно с вътрешните насоки, осигуряват достатъчни гаранции; или решението по делото R (National Council for Civil Liberties)/Secretary of State for the Home Department и други [2019] EWHC 2057 (Admin), в което съдът се произнася, че както ЗПР от 2016 г., така и Кодексът за поведение относно намесата в оборудването съдържат достатъчно разпоредби, свързани с необходимостта заповедите да бъдат конкретни.

267

(268)  По делото Big Brother Watch големият състав на Европейския съд по правата на човека отбелязва, че „[т]ъй като Кодексът за поведение относно прихващането на съобщения е публичен документ, който се одобрява и от двете камари на Парламента и се публикува онлайн и на хартия от правителството, той трябва да се зачита както от лицата, изпълняващи функции по прихващане, така и от съдилищата (вж. точки 93—94 по-горе). Вследствие на това Съдът прие, че неговите разпоредби могат да бъдат взети предвид при оценката на предвидимостта на ЗУПР (вж. решение по дело Kennedy, цитирано по-горе, § 157). Съответно Съдът би приел, че вътрешното право е било „достъпно“ по адекватен начин.“ (Вж. Европейски съд по правата на човека (голям състав), Big Brother Watch и др./Обединено кралство, жалби No 58170/13, 62322/14 и 24960/15 („Big Brother Watch и др.“) от 25 май 2021 г., т. 366).

268

(269)  Част 2 от ЗПР от 2016 г.

269

(270)  Част 3 от ЗПР от 2016 г.

270

(271)  Част 4 от ЗПР от 2016 г.

271

(272)  Част 5 от ЗПР от 2016 г.

272

(273)  За списъка на съответните правоприлагащи органи, които могат да упражняват целеви правомощия по разследване съгласно ЗПР от 2016 г., вж. предишната бележка под линия (139).

273

(274)  Член 136 от ЗПР от 2016 г.

274

(275)  Член 158 от ЗПР от 2016 г.

275

(276)  Член 176 от ЗПР от 2016 г.

276

(277)  Член 199 от ЗПР от 2016 г.

277

(278)  В Кодекса за поведение относно прихващането на комуникация се посочва, че другите елементи на проверката за пропорционалност включват: „i) обема на предложената намеса в личния живот спрямо това, което се цели да бъде постигнато; ii) как и защо методите, които ще бъдат възприети, ще доведат до възможно най-малка намеса по отношение на лицето и на други лица; iii) дали дейността представлява подходящо използване на закона и разумен начин за постигане на това, което се цели да бъде постигнато, като се вземат предвид всички разумни алтернативи; iv) какви други методи, според случая, са или не са били приложени, или са били използвани, но са оценени като недостатъчни за постигане на оперативните цели без упражняване на предложеното правомощие за разследване“. Параграф 4.16 от Кодекса за поведение относно прихващането на комуникация, достъпен на следния адрес: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/715480/Interception_of_Communications_Code_of_Practice.pdf

278

(279)  Вж. параграфи 4.12 и 4.15 от Кодекса за поведение относно прихващането на комуникация, достъпен на следния адрес: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/715480/Interception_of_Communications_Code_of_Practice.pdf

279

(280)  Вж. параграф 4.16 от Кодекса за поведение относно прихващането на комуникация.

280

(281)  Заключително изявление на специалния докладчик за правото на неприкосновеност на личния живот в края на неговата мисия в Обединеното кралство Великобритания и Северна Ирландия, достъпно на следния адрес: https://www.ohchr.org/EN/NewsEvents/Pages/DisplayNews.aspx?NewsID=23296&LangID=E, para 1.a.

281

(282)  Член 15, параграф 2 от ЗПР от 2016 г.

282

(283)  Член 15, параграф 4 от ЗПР от 2016 г.

283

(284)  Член 15, параграф 2 от ЗПР от 2016 г.

284

(285)  Вторичните данни са данни, които се добавят към или са логически свързани с прихванатата комуникация, могат да бъдат логически отделени от нея и, ако се отделят по този начин, не биха разкрили нищо от това, което би могло разумно да се счита за смисъл (ако има такъв) на комуникацията. Някои примери за вторични данни включват конфигурации на рутера или защитни стени, или периода от време, в който рутерът е бил активен в мрежата, когато те са част от прихванатата комуникация, добавят се към нея или са логично свързани с нея. За повече подробности вж. определението в член 16 от ЗПР от 2016 г. и параграф 2.19 от Кодекса за поведение относно прихващането на комуникация, вж. бележка под линия 278.

285

(286)  Този преглед се извършва като изключение от член 152, параграф 4 от ЗПР от 2016 г., в който е предвидена забрана на опитите за идентифициране на комуникацията на лица, които се намират на Британските острови. Вж. съображение 229.

286

(287)  Шотландският министър одобрява заповедта, когато се отнася за тежка престъпна дейност в Шотландия (вж. член 21 и член 22 от ЗПР от 2016 г.), а министърът на Обединеното кралство може да определи висш служител, който да издава заповеди за взаимопомощ, когато има вероятност прихващането да бъде свързано с лице или с помещения, намиращи се извън Обединеното кралство (член 40 от ЗПР от 2016 г.).

287

(288)  Член 19 и член 23 от ЗПР от 2016 г.

288

(289)  Член 32 от ЗПР от 2016 г.

289

(290)  Член 39 от ЗПР от 2016 г. Ограничени изменения на заповедите могат да се правят от точно определени лица при условията, определени в ЗПР от 2016 г. Лицето, издало заповедта, може да я отмени по всяко време. То трябва да отмени заповедта, ако тя вече не е необходима на каквото и да е подходящо основание или ако деянието, разрешено със заповедта, вече не е пропорционално на това, което се цели да бъде постигнато.

290

(291)  Член 33 от ЗПР от 2016 г. Решението за подновяване на заповедта трябва да бъде одобрено от съдебен комисар.

291

(292)  Член 19 от ЗПР от 2016 г.

292

(293)  По отношение на понятието „в интерес на икономическото благосъстояние, когато този интерес е от значение и за националната сигурност“ Европейският съд по правата на човека (голям състав) установи в т. 371 на решението си по дело Big Brother Watch and others/United Kingdom (вж. бележка под линия 268 по-горе), че това понятие е достатъчно фокусирано върху националната сигурност. Въпреки че констатацията на Съда по това дело е свързана с използването на понятието в ЗРРП от 2000 г., същото понятие се използва и в ЗПР от 2016 г.

293

(294)  Член 20, параграф 2 от ЗПР от 2016 г.

294

(295)  Член 20, параграф 3 от ЗПР от 2016 г.

295

(296)  Член 19, параграф 1, буква б), член 19, параграф 2, буква б) и член 19, параграф 3, буква б) от ЗПР от 2016 г.

296

(297)  Исканата информация включва подробности за ситуацията (описание на лицата/организациите/помещенията, комуникацията, която ще бъде прихваната) и как получаването на тази информация ще бъде от полза за разследването, както и описание на действията, за които се иска разрешение. В случай че не е възможно да се опишат лицата/организацията/помещенията, трябва да се включи обяснение защо това не е било възможно или защо е направено само общо описание (параграфи 5.32 и 5.34 от Кодекса за поведение относно прихващането на комуникация, вж. бележка под линия 278).

297

(298)  Член 17, параграф 2 от ЗПР от 2016 г. Вж. също параграф 5.11 и сл. от Кодекса за поведение относно прихващането на съобщения, вж. бележка под линия 278.

298

(299)  Член 31, параграфи 4 и 5 от ЗПР от 2016 г.

299

(300)  Член 31, параграф 8 от ЗПР от 2016 г.

300

(301)  Параграфи 5.37 и 5.38 от Кодекса за поведение относно прихващането на комуникация, вж. бележка под линия 278.

301

(302)  Одобрението от съдебен комисар не се изисква, когато министърът прецени, че има спешна необходимост от издаване на заповедта (член 19, параграф 1 от ЗПР). Съдебният комисар обаче трябва да бъде информиран в кратък срок и трябва да реши дали да одобри заповедта или не. Ако заповедта не бъде одобрена, тя престава да действа (член 24 и член 25 от ЗПР от 2016 г.).

302

(303)  Член 23, параграф 1 от ЗПР от 2016 г.

303

(304)  Член 23, параграф 2 от ЗПР от 2016 г.

304

(305)  Вж. членове 44—51 от ЗПР от 2016 г. и член 12 от Кодекса за поведение относно прихващането на комуникация (вж. бележка под линия 278).

305

(306)  Такъв е случаят например, когато е необходимо прихващане в затвор или в психиатрична болница (за да се провери поведението на задържано лице или пациент) или от пощенски или телекомуникационни оператор, например за откриване на съдържание, представляващо злоупотреба.

306

(307)  Вж. обратния случай в член 229, параграф 4 от ЗПР.

307

(308)  С членове 26—29 от ЗПР от 2016 г. се въвеждат ограничения за издаване на заповеди за целево прихващане и целеви преглед във връзка с прихващане на комуникации, изпратени или предназначени за лице, което е член на Парламента (всеки парламент на Обединеното кралство), прихващане на вещи, които са обект на адвокатска тайна, прихващане на комуникации, за които прихващащият орган смята, че съдържат поверителни журналистически материали, и когато целта на заповедта е да се идентифицира или потвърди източник на журналистическа информация.

308

(309)  Член 26 от ЗПР от 2016 г.

309

(310)  Член 19, параграф 1 от ЗПР от 2016 г.

310

(311)  Член 54 от ЗПР от 2016 г. Гаранциите, свързани с разкриването на материали пред чуждестранни органи, са допълнително уточнени в кодексите за поведение: вж. по-специално точка 9.26 и сл. и точка 9.87 от Кодекса за поведение относно прихващането на съобщения, както и точка 9.33 и сл. и точка 9.41 от Кодекса за поведение относно намесата в оборудването (вж. бележка под линия 278).

311

(312)  Тези цели са: по отношение на службата за сигурност: предотвратяване или разкриване на тежки престъпления или наказателно производство (член 2, параграф 2, буква а) от Закона за службите за сигурност от 1989 г.); по отношение на разузнавателната служба: интересите на националната сигурност, предотвратяването или разкриването на тежко престъпление или наказателно производство (член 2, параграф 2, буква а) от Закона за разузнавателните служби от 1994 г.); и по отношение на Правителствената централа за комуникации: наказателно производство (член 4, параграф 2, буква а) от Закона за разузнавателните служби от 1994 г.). Вж. също обяснителните бележки относно ЗЗД от 2018 г., които могат да бъдат намерени на следния адрес: https://www.legislation.gov.uk/ukpga/2018/12/contents/enacted.

312

(313)  Определение на „данни за съобщенията“ се съдържа в член 261, параграф 5 от ЗПР от 2016 г. Данните за съобщенията са разделени на „данни за събития“ (всякакви данни, с които се идентифицира или описва събитие, независимо дали по отношение на местоположението му или не, във или чрез далекосъобщителна система, когато събитието представлява извършване на определена дейност в определен момент от един или повече субекти) и „данни за субекта“ (всякакви данни, които а) са свързани със i) субект, ii) връзка между далекосъобщителна услуга и субект или iii) връзка между която и да е част от далекосъобщителна система и субект, б) се състоят от или включват данни, които идентифицират или описват субекта (независимо дали по отношение на неговото местоположение или не), и в) не са данни за събития).

313

(314)  Това следва от определението за комуникационни данни в член 261, параграф 5 от ЗПР от 2016 г., съгласно което комуникационните данни се съхраняват или получават от оператор на далекосъобщителна мрежа и или се отнасят до потребителя на далекосъобщителна услуга и са свързани с предоставянето на тази услуга, или се съдържат в дадена комуникация, представляват част от нея, добавени са към нея или са свързани логически с нея (вж. също Кодекса за поведение относно комуникационните данни, достъпен на следния адрес: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/757850/Communications_Data_Code_of_Practice.pdf, параграфи 2.22—2.33). Освен това съгласно определението за „оператор на далекосъобщителна мрежа“ в член 261, параграф 10 от ЗПР от 2016 г. операторът на далекосъобщителната мрежа трябва да е лице, което предлага или предоставя далекосъобщителна услуга на лица в Обединеното кралство, или лице, което контролира или предоставя далекосъобщителна система, която (изцяло или частично) се намира в Обединеното кралство или се контролира от Обединеното кралство. От тези определения става ясно, че не могат да бъдат налагани задължения съгласно ЗПР от 2016 г. на оператори на далекосъобщителни мрежи, чието оборудване не се намира в Обединеното кралство и не се контролира от него и които не предлагат или не предоставят услуги на лица в Обединеното кралство (вж. също Кодекса за поведение относно комуникационните данни, параграф 2.1). Ако абонати от ЕС (независимо дали се намират в ЕС или в Обединеното кралство) използват услуги в Обединеното кралство, всички комуникации във връзка с предоставянето на тези услуги ще се събират директно от доставчика на услуги в Обединеното кралство, а няма да подлежат на предаване от ЕС.

314

(315)  Тези органи са изброени в приложение 4 към ЗПР от 2016 г. и включват полицейските служби, разузнавателните служби, някои министерства и ведомства, Националната агенция по престъпността, Кралската данъчна и митническа служба, Органа за защита на конкуренцията и пазарите, комисаря по информацията, службите за бърза помощ, противопожарните и спасителните служби и органи например в областта на здравето и безопасността на храните.

315

(316)  Съединени дела C-203/15 и C-698/15, Tele2/Watson, ECLI:EU:C:2016:970).

316

(317)  Вж. член 61.7, буква б) относно придобиването на комуникационни данни и член 87.10A относно съхраняването на комуникационни данни.

317

(318)  Член 60A, параграф 6 от ЗПР от 2016 г.

318

(319)  Този период се намалява на три дни, когато разрешението се дава по неотложни причини (член 65, параграф 3, А от ЗПР от 2016 г.).

319

(320)  Съгласно член 65 от ЗПР от 2016 г. подновеното разрешение е валидно един месец от датата на изтичане на съществуващото разрешение. Лицето, издало разрешението, може да го отмени по всяко време, ако прецени, че то вече не отговаря на изискванията.

320

(321)  Член 60A, параграф 1 от ЗПР от 2016 г. Службата за разрешения за комуникационни данни (OCDA) изпълнява тази функция от името на IPC (вж. Кодекс на добрите практики за комуникационните данни, параграф 5.6)

321

(322)  Искането съгласно член 61, параграф 7, буква б) от ЗПР от 2016 г. се подава за „приложима цел, свързана с престъпление“, което съгласно член 61, параграф 7, A от ЗПР от 2016 г. означава: „за целите на предотвратяването или разкриването на тежко престъпление, когато комуникационните данни са изцяло или частично данни за събития; за целите на предотвратяването или разкриването на престъпление или за предотвратяването на безредици —във всички други случаи“.

322

(323)  В Кодекса за поведение относно комуникационните данни се посочва, че „когато искане, свързано с националната сигурност, може да бъде подадено, както съгласно член 60А, така и съгласно член 61, решението за това коя процедура за получаване на разрешение е най-подходяща във всеки отделен случай се взема от отделните публични органи. Публичните органи, които желаят да използват процедурата с определения висш служител, следва да имат ясни насоки за това кога тази процедура за получаване на разрешение е подходяща“ (параграф 5.19 от Кодекса за поведение относно комуникационните данни, достъпен на следния адрес: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/822817/Communications_Data_Code_of_Practice.pdf ).

323

(324)  В член 70, параграф 3 от ЗПР от 2016 г. е дадено определението на „определен служител“, което е различно в зависимост от съответния публичен орган (както е посочено в приложение 4 към ЗПР от 2016 г.).

324

(325)  Подробна информация за независимостта на определения висш служител са предоставени в Кодекса за поведение относно комуникационните данни (Кодекс за поведение относно комуникационните данни, параграфи 4.12—4.17, вж. бележка под линия 323).

325

(326)  Основанията са: i) национална сигурност; ii) предотвратяване или разкриване на престъпление или предотвратяване на безредици (в случай на „данни за събития“ — само тежко престъпление); iii) в интерес на икономическото благосъстояние на Обединеното кралство, доколкото този интерес е от значение и за интересите на националната сигурност; iv) в интерес на обществената безопасност; v) за предотвратяване на смърт или нараняване, или на каквито и да било увреждания на физическото или психичното здраве на дадено лице, или за ограничаване на наранявания или увреждания на физическото или психичното здраве на дадено лице; vi) за подпомагане на разследването на предполагаеми съдебни грешки или vii) за установяване на самоличността на мъртво лице или на лице, което не може да удостовери самоличността си поради определено състояние (член 61, параграф 7 от ЗПР от 2016 г.).

326

(327)  Член 60A, параграф 1, буква б) от ЗПР от 2016 г.

327

(328)  Параграф 3.3 и сл. от Кодекса за поведение относно комуникационните данни, вж. бележка под линия 323.

328

(329)  Параграф 3.13 от Кодекса за поведение относно комуникационните данни, вж. бележка под линия 323.

329

(330)  Член 60, параграф 1, буква c) от ЗПР от 2016 г.

330

(331)  Информацията, която трябва да бъде включена, трябва да съдържа: i) кратко описание на начина, по който получаването на данните ще допринесе за разследването или операцията; ii) обосновка на периодите от време, за които се отнася искането, включително по отношение на тяхната пропорционалност на разследваното събитие; iii) обосновка на нивото на намеса, като се вземе предвид ползата от данните за разследването (тази обосновка следва да включва преценка дали за постигане на целта може да бъдат предприети разследвания, които предполагат по-малка намеса); iv) анализ на правата (по-специално на неприкосновеност на личния живот и когато е уместно — на свобода на изразяване) на лицето и постигане на баланс между тези права и ползата за разследването; v) подробности за това каква странична намеса може да настъпи и как периодите от време, за които се отнася искането, влияят върху страничната намеса (Кодекс за поведение относно комуникационните данни, параграфи 3.22—3.26, вж. бележка под линия 323).

331

(332)  Вж. бележка под линия 313.

332

(333)  Когато се искат комуникационни данни, които предполагат по-голяма намеса (напр. данни за събитие), в кодекса е посочено, че е по-подходящо първо да се получат данни за субекта или директно да се получат данни за събития в ограничени специфични случаи на неотложност (Кодекс за поведение относно комуникационните данни, параграфи 6.10—6.14, вж. бележка под линия 323).

333

(334)  Параграфи 8.8—8.44 от Кодекса за поведение относно комуникационните данни, вж. бележка под линия 323.

334

(335)  В Кодекса за поведение се посочва, че „даващото разрешение лице трябва да обърне специално внимание, когато разглежда такива искания, включително да прецени допълнително дали може да има неволни последици от тях и дали искането обслужва най-добре обществения интерес“ (Кодекс за поведение относно комуникационните данни, параграф 8.8). Освен това трябва да се водят регистри на този тип искания и при следващата проверка вниманието на IPC следва да бъде насочено към такива искания (Кодекс за поведение относно комуникационните данни, параграф 8.10, вж. бележка под линия 323).

335

(336)  Членове 87—89 от ЗПР от 2016 г.

336

(337)  Съгласно член 90 от ЗПР от 2016 г. оператор на далекосъобщителна мрежа, на когото е връчено постановление за съхраняване, може да поиска министърът, който го е издал, да го преразгледа.

337

(338)  Съгласно член 87, параграф 2, буква а) от ЗПР от 2016 г. постановлението за съхраняване може да се отнася до „определен оператор или описание на група оператори“.

338

(339)  Целите са: i) в интерес на националната сигурност; ii) приложима цел, свързана с престъпността (съгласно определението в член 87, параграф 10A от ЗПР от 2016 г.); iii) в интерес на икономическото благосъстояние на Обединеното кралство, доколкото този интерес е от значение и за интересите на националната сигурност; iv) в интерес на обществената безопасност; v) предотвратяване на смърт или нараняване, или на каквито и да било увреждания на физическото или психичното здраве на дадено лице, или ограничаване на наранявания или увреждания на физическото или психичното здраве на дадено лице; или vi) подпомагане на разследването на предполагаеми съдебни грешки (член 87 от ЗПР).

339

(340)  Член 87 от ЗПР от 2016 г. Освен това, съгласно съответния кодекс за поведение, за да се оцени пропорционалността на постановлението за съхраняване, се прилагат критериите, предвидени в член 2, параграф 2 от ЗПР от 2016 г., по-специално изискването за оценка дали това, което се цели да бъде постигнато с постановлението, е практически възможно да бъде постигнато с други средства, които предполагат по-малка намеса. Както във връзка с оценката на пропорционалността при събиране на комуникационни данни, в Кодекса за поведение относно комуникационните данни се пояснява, че такава оценка включва „постигането на баланс между степента на намеса в правото на зачитане на неприкосновеността на личния живот на физическото лице и конкретната полза за разследването“ (Кодекс за поведение относно комуникационните данни, параграф 16.3, вж. бележка под линия 323).

340

(341)  Вж. член 88 от ЗПР от 2016 г.

341

(342)  Ползите могат да бъдат съществуващи или предвиждани и трябва да са свързани със законоустановените цели, за които могат да се съхраняват данните (Кодекс за поведение относно комуникационните данни, параграф 17.17, вж. бележка под линия 323).

342

(343)  Това включва да се определи дали пълният географски обхват на постановлението за съхраняване е необходим и пропорционален и дали е необходимо и пропорционално да се включат или изключат лица с някакви конкретни описания (Кодекс за поведение относно комуникационните данни, параграф 17.17, вж. бележка под линия 323).

343

(344)  Това ще помогне на министъра за прецени както нивото на намеса в личния живот на потребителите, така и вероятните ползи от данните, които трябва да бъдат съхранени (Кодекс за поведение относно комуникационните данни, параграф 17.17, вж. бележка под линия 323).

344

(345)  Член 88 от ЗПР от 2016 г.

345

(346)  Член 89 от ЗПР от 2016 г.

346

(347)  Съгласно член 135, параграф 1 и член 198, параграф 1 от ЗПР от 2016 г. понятието „оборудване“ включва оборудване, което създава електромагнитни, акустични или други емисии, и всяко устройство, което може да се използва във връзка с такова оборудване.

347

(348)  Кодекс за поведение относно намесата в оборудването, достъпен на следния адрес: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/715479/Equipment_Interference_Code_of_Practice.pdf , т. 2.2.

348

(349)  Данните от оборудването са определени в член 100 от ЗПР от 2016 г. като системни данни и данни, които а) се съдържат в дадена комуникация, представляват част от нея, добавени са към нея или са свързани логически с нея (независимо дали от подателя или по друг начин) или с която и да е друга информация; б) е възможно да бъдат логически отделени от останалата част на комуникацията или от информацията и в) ако бъдат отделени по този начин, не биха разкрили нищо от това, което би могло разумно да се счита за смисъл (ако има такъв) на комуникацията.

349

(350)  За да бъде условието за наличие на заповед задължително, съгласно член 13, параграф 1 от ЗПР от 2016 г. действията на разузнавателната служба трябва да съставляват едно или повече престъпления съгласно членове 1—3А от Закона за злоупотребата с компютри от 1990 г., какъвто би бил случаят при преобладаващото мнозинство от обстоятелства, вж. Кодекса за поведение относно намесата в оборудването, параграфи 3.32 и 3.6—3.9). Съгласно член 13, параграф 2 от ЗПР от 2016 г. „връзка с Британските острови“ има, ако а) някое от действията би било извършено на Британските острови (независимо от местоположението на оборудването, в което би била или може да бъде осъществена намеса), б) разузнавателната служба смята, че което и да е оборудване, в което би била или би могло да бъде осъществена намеса, би се намирало или може да се намира на Британските острови в даден момент, докато се осъществява намесата, или в) целта на намесата е да се получат i) комуникации, изпратени от или на лице, което се намира или за което разузнавателната служба смята, че към момента се намира на Британските острови, ii) лична информация, свързана с лице, което се намира или за което разузнавателната служба смята, че към момента се намира на Британските острови, или iii) данни за оборудване, които са част от комуникации или лична информация, които попадат в обхвата на подточка i) или подточка ii), или са свързани с тях.

350

(351)  От съображения за пълнота следва да се отбележи, че дори в ситуации, в които няма „връзка с Британските острови“ и следователно осъществяването на намеса в оборудването не подлежи на задължителното условия за наличие на заповед по член 13, параграф 1 от ЗПР от 2016 г., разузнавателна служба, която възнамерява да осъществи дейност, за която може да получи заповед за масова намеса в оборудването, по принцип следва да получи такава заповед (вж. Кодекс за поведение относно намесата в оборудването, параграф 3.24). Дори когато заповедта за намеса в оборудването по ЗПР от 2016 г. нито се изисква по закон, нито е получена на принципна основа, действията на разузнавателните служби подлежат на редица условия и ограничения съгласно член 7 от Закона за разузнавателните служби от 1994 г. Това включва по-специално изискването за разрешение от министъра, който трябва да се увери, че нито едно действие не надхвърля необходимото за правилното изпълнение на функциите на разузнавателната служба.

351

(352)  Съдържанието на заповедта е регламентирано в член 115 от ЗПР от 2016 г., където е уточнено, че в нея трябва да бъдат посочени имената на лицата или наименованията на организациите, или тяхно описание, местоположението или групата лица, които се явяват „обект“, описание на естеството на разследването и описание на дейностите, за които се използва оборудването. В нея също така трябва да бъде описан видът на оборудването и действията, които са разрешени на лицето, до което е адресирана заповедта.

352

(353)  Вж. също Кодекс за поведение относно намесата в оборудването, параграф 5.7, вж. бележка под линия 348.

353

(354)  Службите за национална сигурност могат да подават искания за заповед за намеса в оборудването, когато това е необходимо за целите на националната сигурност, за разкриване на тежки престъпления и/или в интерес на икономическото благосъстояние на Обединеното кралство, доколкото този интерес е от значение и за интересите на националната сигурност (член 102 и член 103 от ЗПР от 2016 г.). В зависимост от органа заповед за намеса в оборудването може да се иска за целите на правоприлагането, когато това е необходимо за разкриване или предотвратяване на тежко престъпление, или за предотвратяване на смърт или нараняване или на увреждане на физическото или психичното здраве на дадено лице, или за ограничаване на наранявания или увреждания на физическото или психичното здраве на дадено лице (вж. член 106, параграф 1 и член 106, параграф 3 от ЗПР от 2016 г.).

354

(355)  Член 102, параграф 1 от ЗПР от 2016 г.

355

(356)  Членове 129—131 от ЗПР от 2016 г.

356

(357)  Член 109 от ЗПР от 2016 г.

357

(358)  Член 109, параграф 4 от ЗПР от 2016 г.

358

(359)  Член 110, параграф 3, буква b) от ЗПР от 2016 г. Съгласно параграф 5.67 от Кодекса за поведение относно намесата в оборудването спешността се определя от това дали би било разумно осъществимо да се поиска одобрението на съдебния комисар да издаде заповедта в рамките на наличното време, за да се отговори на оперативна или следствена нужда. Спешните заповеди следва да попадат в едната или и в двете от следните категории: i) непосредствена заплаха за живота или заплаха от тежки посегателства – например ако дадено лице е било отвлечено и се преценява, че животът му е в непосредствена опасност; или ii) възможност за събиране на разузнавателна информация или за разследване с ограничено време за действие – например пратка наркотици от клас А предстои да влезе в Обединеното кралство, а правоприлагащите органи искат да бъдат обхванати извършителите на тежки престъпления, за да извършат арести. Вж. бележка под линия 348.

359

(360)  Член 108 от ЗПР от 2016 г.

360

(361)  Според доклада относно правомощията, свързани с масиви от данни, представен преди одобряването на ЗПР от 2016 г. от лорд Дейвид Андерсън, независим оценител на законодателството за борба с тероризма, „трябва да е ясно, че събирането и съхраняването на масиви от данни не е равносилно на така нареченото „масово наблюдение“
  . Всяка уважаваща себе си правна система ще предвиди ограничения и гаранции, чиято цел е именно да се гарантира, че достъпът до големи количества чувствителни данни (...) не се предоставя неизбирателно или необосновано.
  Такива ограничения и гаранции със сигурност съществуват в законопроекта.. Лорд Дейвид Андерсън, Доклад относно правомощията, свързани с масиви от данни, август 2016 г., параграф 1.9 (подчертаването е добавено), достъпен на следния адрес: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/546925/56730_Cm9326_WEB.PDF

361

трябва да е ясно, че събирането и съхраняването на масиви от данни не е равносилно на така нареченото „масово наблюдение“

Всяка уважаваща себе си правна система ще предвиди ограничения и гаранции, чиято цел е именно да се гарантира, че достъпът до големи количества чувствителни данни (...) не се предоставя неизбирателно или необосновано.

Такива ограничения и гаранции със сигурност съществуват в законопроекта.

(362)  Член 2,2 от ЗПР от 2016 г. Вж. например параграф 4.11 от Кодекса за поведение относно масовото събиране на комуникационни данни, достъпен на следния адрес: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/715477/Bulk_Communications_Data_Code_of_Practice.pdf

362

(363)  
  „Британските острови“ се състоят от Обединеното кралство, Англо-нормандски острови и остров Ман и са определени в приложение 1 към Закона за тълкуването от 1978 г., достъпно на следния адрес: https://www.legislation.gov.uk/ukpga/1978/30/schedule/1.

363

(364)  Съгласно член 136 от ЗПР от 2016 г. „свързана с чужбина комуникация“ означава: i) комуникация, изпратена от физически лица, които са извън Британските острови, или ii) комуникация, получена от физически лица, които са извън Британските острови. Този режим, както е потвърдено от органите на Обединеното кралство, обхваща и комуникацията между две лица, и двете от които са извън Британските острови. Големият състав на Европейския съд по правата на човека по дело Big Brother Watch и др./Обединено кралство (вж. бележка под линия 279 по-горе), точка 376, приема по отношение на сходно ограничение (отнасящо се до „външните комуникации“) на комуникациите, които могат да бъдат засечени чрез масово прихващане съгласно ЗУПР от 2000 г, че то е било достатъчно ограничено и предвидимо.

364

(365)  Член 136, параграф 4 от ЗПР от 2016 г. Според обясненията, предоставени от правителството на Обединеното кралство, прихващане в голям обем може да се извършва например за установяване на неизвестни досега заплахи за националната сигурност на Обединеното кралство чрез филтриране и анализ на прихванатите материали с цел да се установят съобщения с разузнавателна стойност (Обяснителна рамка на Обединеното кралство — раздел H: Национална сигурност, стр. 27—28, вж. бележка под линия 29. Както е обяснено от органите на Обединеното кралство, такива инструменти могат да се използват за установяване на връзки между известни на органите субекти, представляващи интерес за разследването, както и за търсене на следи от дейност на лица, които все още не са известни, но се появяват в хода на разследването, и за установяване на модели на поведение, които може да представляват заплаха за Обединеното кралство.

365

(366)  В съответствие с член 13, параграф 1 от ЗПР от 2016 г., за да осъществи дадена разузнавателна служба намеса в оборудването, е необходимо разрешение, което се издава чрез заповед съгласно ЗПР от 2016 г., при условие че има „връзка с Британските острови“; вж. съображение 211.

366

(367)  Член 176 от ЗПР от 2016 г. Със заповед за масова намеса в оборудването не може да се разрешават действия, които биха представлявали (освен ако не са извършени въз основа на законни правомощия) незаконно прихващане (освен по отношение на съхранявана комуникация). Съгласно Обяснителната рамка получената информация може да е необходима за установяване на лица, представляващи интерес за разследването, и обикновено би била подходяща при мащабни операции (Обяснителна рамка, раздел H: Национална сигурност, стр. 28, вж. бележка под линия 29.

367

(368)  Член 138, параграф 1 и член 178, параграф 1 от ЗПР от 2016 г.

368

(369)  Член 138, параграф 2 и член 178, параграф 2 от ЗПР от 2016 г.

369

(370)  Според обясненията, предоставени от органите на Обединеното кралство, една оперативна цел например може да ограничава обхвата на мярката до наличието на заплаха в конкретен географски район.

370

(371)  Член 142, параграфи 4—10 от ЗПР от 2016 г.

371

(372)  High Court of Justice, Liberty, [2019] EWHC 2057 (Admin), т. 167.

372

(373)  В член 152 и член 193 от ЗПР от 2016 г. са предвидени следните изисквания: а) подборът за преглед да се извършва само за оперативните цели, посочени в заповедта, б) подборът за преглед да е необходим и пропорционален при всички обстоятелства, и в) подборът за преглед да не нарушава забраната за подбор на материали и да не включва комуникация изпратена от или предназначена за лица, за които се знае, че по това време са на Британските острови.

373

(374)  Вж. параграф 6.6 от Кодекса за поведение относно прихващането на комуникация, вж. бележка под линия 278.

374

(375)  Член 138, параграф 1, букви b) и c) и член 178, букви b) и c) от ЗПР от 2016 г.

375

(376)  Параграф 4.10 от Кодекса за поведение относно прихващането на комуникация, вж. бележка под линия 278.

376

(377)  Кодекс за поведение относно прихващането на комуникация, параграф 6.20, вж. бележка под линия 278, и Кодекс за поведение относно намесата в оборудването, параграф 6.13, вж. бележка под линия 348.

377

(378)  Член 138, параграф 1, буква g) и член 178, параграф 1, буква f) от ЗПР от 2016 г. Предварителното разрешение от независим орган беше определено по-специално от Европейския съд по правата на човека като важна предпазна мярка срещу злоупотреби в контекста на масовото прихващане. Европейски съд по правата на човека (голям състав), Big Brother Watch и други/Обединено кралство (вж. бележка под линия 269 по-горе), точки 351 и 352. Важно е да се има предвид, че това решение се отнася до предишната правна уредба (ЗУПР от 2000 г.), която не съдържа някои от гаранциите (включително предварително разрешение от независим съдебен комисар), въведени със ЗПР от 2016 г.

378

(379)  Член 159, параграфи 3 и 4 от ЗПР от 2016 г.

379

(380)  Членове 143—146 и членове 184—188 от ЗПР от 2016 г. В случай на неотложност министърът може да направи изменението без одобрение, но трябва да уведоми комисаря и комисарят трябва да реши дали да одобри или да откаже изменението (член 147 от ЗПР от 2016 г.). Заповедта трябва да бъде отменена, когато вече не е необходима или пропорционална, или когато прегледът на прихванатото съдържание, метаданни или други данни, получени по силата на заповедта, вече не е необходим за нито една от оперативните цели, посочени в заповедта (член 148 и член 189 от ЗПР от 2016 г.).

380

(381)  Кодекс за поведение относно прихващането на комуникация, параграфи 6.44—6.47, вж. бележка под линия 278, и Кодекс за поведение относно намесата в оборудването, параграф 6.48, вж. бележка под линия 348.

381

(382)  Член 156 от ЗПР от 2016 г.

382

(383)  Член 150 и член 191 от ЗПР от 2016 г.

383

(384)  Големият състав на Европейския съд по правата на човека по дело Big Brother Watch и др./Обединено кралство (вж. бележка под линия 268 по-горе) потвърди системата от допълнителни гаранции за съхраняването, достъпа и оповестяването, предвидена в ЗУПР от 2000 г., вж. точки 392—394 и 402—405. Същата система от гаранции е предвидена в ЗПР от 2016 г.

384

(385)  Член 151 и член 192 от ЗПР от 2016 г.

385

(386)  За повече информация относно тези цели, вж. бележка под линия 312.

386

(387)  В това отношение в Кодекса относно прихващането на съобщения се посочва следното: „С тези системи за обработване се обработват данни от комуникационните връзки или сигнали, които прихващащият орган е избрал да прихване. След това към трафика по тези връзки и сигнали се прилага филтриране, чиято цел е да се изберат видовете комуникация с потенциална разузнавателна стойност, като същевременно се отхвърли комуникацията, която е най-малко вероятно да има разузнавателна стойност. В резултат на това филтриране, което е различно в различните системи за обработване, значителна част от комуникацията по тези връзки и сигнали ще бъде автоматично отхвърлена. След това може да се извършват допълнителни сложни търсения, за да се извлече допълнителна комуникация, за която е най-вероятно да има най-голяма разузнавателна стойност и която е свързана със законовите функции на агенцията. След това тези комуникации могат да бъдат подбрани за преглед за една или повече от оперативните цели, посочени в заповедта, когато са изпълнени условията за необходимост и пропорционалност. Упълномощените лица могат потенциално да подбират за преглед единствено информация, която не е била изключена при филтрирането“ (Кодекс за поведение относно прихващането на комуникации, параграф 6.6, вж. бележка под линия 278).

387

(388)  Вж. член 152, параграф 1, букви а) и b) от ЗПР от 2016 г., съгласно който прегледът на двата вида данни (прихванато съдържание и вторични данни) трябва да се извършва само за конкретната цел и да бъде необходим и пропорционален във всички случаи.

388

(389)  Този вид заповед не се изисква, когато данните, свързани с лица, които се намират на Британските острови, са „вторични данни“ (вж. член 152, параграф 1, буква с) от ЗПР от 2016 г.).

389

(390)  Членове 152 и 193 от ЗПР от 2016 г.

390

(391)  Членове 155 и 196 от ЗПР от 2016 г.

391

(392)  Членове 152 и 193 от ЗПР от 2016 г.

392

(393)  Член 229 от ЗПР от 2016 г.

393

(394)  Кодекс за поведение относно прихващането на комуникация, параграф 6.74, вж. бележка под линия 278, и Кодекс за поведение относно намесата в оборудването, параграф 6.78, вж. бележка под линия 348.

394

(395)  IPCO е създадена съгласно член 238 от ЗПР от 2016 г., за да се осигурят на комисаря по правомощията за разследване необходимият персонал, помещения, оборудване и други съоръжения и услуги, необходими за изпълнението на неговите функции (вж. съображение 251).

395

(396)  В годишния доклад на IPCO за 2018 г. се посочва, че обосновките, документирани от анализаторите от Правителствената централа за комуникации, „отговарят на изисквания стандарт и анализаторите отразяват достатъчно подробно пропорционалността на своите запитванията във връзка с масиви от данни“. Годишен доклад на комисаря по правомощията за разследване за 2018 г., параграф 6.22, вж. бележка под линия 464.

396

(397)  Годишен доклад на комисаря по правомощията за разследване за 2019 г., параграф 7.6, вж. бележка под линия 463.

397

(398)  Годишен доклад на комисаря по правомощията за разследване за 2019 г., параграф 10.22, вж. бележка под линия 463.

398

(399)  Това следва от определението за комуникационни данни в член 261, параграф 5 от ЗПР от 2016 г., съгласно което комуникационните данни се съхраняват или получават от оператор на далекосъобщителна мрежа и или се отнасят до потребителя на телекомуникационна услуга и са свързани с предоставянето на тази услуга, или се съдържат в дадена комуникация, представляват част от нея, добавени са към нея или са свързани логически с нея (вж. също Кодекса за поведение относно масовото събиране на комуникационни данни, достъпен на следния адрес: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/715477/Bulk_Communications_Data_Code_of_Practice.pdf paragraphs 2.15 to 2.22). Освен това съгласно определението за „оператор на далекосъобщителна мрежа“ в член 261, параграф 10 от ЗПР от 2016 г. операторът на далекосъобщителната мрежа трябва да е лице, което предлага или предоставя далекосъобщителна услуга на лица в Обединеното кралство, или лице, което контролира или предоставя далекосъобщителна система, която (изцяло или частично) се намира в Обединеното кралство или се контролира от Обединеното кралство. От тези определения става ясно, че не могат да бъдат налагани задължения съгласно ЗПР от 2016 г. на оператори на далекосъобщителни мрежи, чието оборудване не се намира в Обединеното кралство или не се контролира от него и които не предлагат или не предоставят услуги на лица в Обединеното кралство (вж. също Кодекса за поведение относно масовото събиране на комуникационни данни, параграф 2.2). Ако абонати от ЕС (независимо дали се намират в ЕС или в Обединеното кралство) използват услуги в Обединеното кралство, всички комуникации във връзка с предоставянето на тези услуги ще се събират директно от доставчика на услуги в Обединеното кралство, а няма да подлежат на предаване от ЕС.

399

(400)  В член 94, параграф 1 от Закона за далекосъобщенията (Telecommunication Act) от 1984 г. е предвидено, че министърът може да издава „указания от общ характер, които според него са необходими или целесъобразни в интерес на националната сигурност (...)“ (вж. бележка под линия 451).

400

(401)  Вж. решението по дело Privacy International, т. 78.

401

(402)  Вж. параграф 4.11 от Кодекса за поведение относно масовото събиране на комуникационни данни (вж. бележки под линия 399 и 414).

402

(403)  Заповед за масово събиране на данни може да се иска само от ръководителите на разузнавателните служби, които са: i) генералният директор на Службата за сигурност; ii) началникът на Службата за тайно разузнаване; или iii) директорът на Правителствената централа за комуникации (вж. член 158 и член 263 от ЗПР от 2016 г.).

403

(404)  Параграф 4.5 от Кодекса за поведение относно масовото събиране на комуникационни данни (вж. бележка под линия 399).

404

(405)  Съгласно член 161 от ЗПР от 2016 г. оперативните цели, посочени в заповедта, трябва да бъдат упоменати в списък, поддържан от ръководителите на разузнавателните служби („списъкът с оперативни цели“), като цели, които според тях представляват оперативни цели, за които комуникационните данни, получени по силата на заповеди за масово събиране на данни, може да подлежат на подбор за целите на прегледа.

405

(406)  Параграф 6.6 от Кодекса за поведение относно масовото събиране на комуникационни данни (вж. бележка под линия 399).

406

(407)  Съгласно член 172 от ЗПР от 2016 г. трябва да бъдат въведени специфични гаранции за етапа на филтриране и подбор на масивите от данни за целите на прегледа. Освен това преднамереният преглед в нарушение на тези гаранции представлява престъпление (вж. член 173 от ЗПР от 2016 г.).

407

(408)  Член 171 от ЗПР от 2016 г.

408

(409)  Член 171, параграф 9 от ЗПР от 2016 г.

409

(410)  Член 162 от ЗПР от 2016 г.

410

(411)  Член 163 от ЗПР от 2016 г.

411

(412)  Членове 164—166 от ЗПР от 2016 г.

412

(413)  Член 159 от ЗПР от 2016 г.

413

(414)  Годишен доклад на IPCO за 2019 г., параграф 8.6, вж. бележка под линия 463.

414

(415)  Годишен доклад на IPCO за 2019 г., параграф 10.4, вж. бележка под линия 463.

415

(416)  Годишен доклад на IPCO за 2019 г., параграф 8.37, вж. бележка под линия 463.

416

(417)  Член 200 от ЗПР от 2016 г.

417

(418)  Вж. Обяснителна рамка на Обединеното кралство за обсъждане във връзка с адекватното ниво на защита, раздел H: Национална сигурност, стр. 34, вж. бележка под линия 29.

418

(419)  Член 204 от ЗПР от 2016 г.

419

(420)  Параграф 4.7 от Кодекса за поведение относно съхраняването и използването на масиви от лични данни от разузнавателните служби, достъпен на следния адрес: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/715478/Bulk_Personal_Datasets_Code_of_Practice.pdf

420

(421)  Член 205 от ЗПР от 2016 г.

421

(422)  Като например чувствителни лични данни, вж. член 202 от ЗПР от 2016 г. и Кодекса за поведение относно съхраняването и използването на масиви от лични данни от разузнавателните служби, параграфи 4.21 и 4.12, вж. бележка под линия 469.

422

(423)  Молбата за заповед за конкретни масиви от лични данни трябва да бъде разгледана от министъра индивидуално, т.е. по отношение на един конкретен набор от данни. Съгласно член 205 от ЗПР разузнавателната служба трябва да включи в молбата си за заповед за конкретен масив от лични данни подробно обяснение на естеството и обхвата на въпросния материал и списък на „оперативните цели“, за които съответната разузнавателна служба желае да прегледа масива от лични данни (когато разузнавателната служба иска заповед за съхраняване и преглед, а не само за съхраняване). Когато издава групови заповеди за масиви от лични данни, министърът разглежда цялата категория набори от данни наведнъж.

423

(424)  Членове 204 и 205 от ЗПР от 2016 г.

424

(425)  Член 2 от ЗПР от 2016 г.

425

(426)  Член 204 и член 205 от ЗПР от 2016 г.

426

(427)  Кодекс за поведение относно съхраняването и използването на масиви от лични данни от разузнавателните служби, параграф 5.2, вж. бележка под линия 420.

427

(428)  Кодекс за поведение относно съхраняването и използването на масиви от лични данни от разузнавателните служби, параграфи 8.1—8.15, вж. бележка под линия 420.

428

(429)  Вж. Обяснителна рамка на Обединеното кралство за обсъждане във връзка с адекватното ниво на защита, раздел H: Национална сигурност, стр. 34, вж. бележка под линия 29.

429

(430)  Член 87, параграф 1 от ЗЗД от 2018 г.

430

(431)  Член 87, параграф 3 от ЗЗД от 2018 г. Въпреки че администраторите могат да бъдат освободени от този принцип в съответствие с член 110 от ЗЗД от 2018 г., доколкото такова изключение е необходимо за защита на националната сигурност, то трябва да се оценява за всеки отделен случай и може да се използва единствено доколкото прилагането на конкретна разпоредба би имало отрицателни последици за националната сигурност (вж. съображение (132)). Удостоверенията за национална сигурност за разузнавателните служби на Обединеното кралство (достъпни на следния адрес: https://ico.org.uk/about-the-ico/our-information/national-security-certificates/) do not cover Section 87(3) of the DPA 2018. Освен това, тъй като всяко обработване за различна цел трябва да бъде разрешено от закона, разузнавателните служби трябва да имат ясно правно основание за по-нататъшното обработване.

431

(432)  За повече информация относно тези цели, вж. бележка под линия 312.

432

(433)  Вж. бележка под линия 312.

433

(434)  Насоки на ICO относно обработването на лични данни от разузнавателните служби (вж. бележка под линия 161).

434

(435)  Член 54 от ЗПР от 2016 г.

435

(436)  Член 130 от ЗПР от 2016 г.

436

(437)  Член 151 от ЗПР от 2016 г.

437

(438)  Член 171, параграф 9 от ЗПР от 2016 г.

438

(439)  Член 192 от ЗПР от 2016 г.

439

(440)  Договореностите трябва да включват мерки, с които се осигурява, че всяко копие, направено от който и да е от тези материали, се съхранява по сигурен начин за срока на неговото съхраняване. Материалите, получени по силата на заповед, и всяко копие, направено от който и да е от тези материали, трябва да бъдат унищожени, когато съответните основания за съхраняването им отпаднат (вж. член 150, параграф 2, член 150, параграф 5 и член 151, параграф 2 от ЗПР от 2016 г.). Следва да се отбележи, че подобни гаранции, предвидени в предходната правна уредба (ЗУПР от 2000 г.), са били установени в съответствие с изискванията на Европейския съд по правата на човека за споделяне на материали, получени чрез масово прихващане, с чужди държави или международни организации (Европейски съд по правата на човека (голям състав), Big Brother Watch и др./Обединено кралство (вж. бележка под линия 279 по-горе), точки 362 и 399).

440

(441)  Член 116 от ЗЗД от 2018 г.

441

(442)  Съгласно точка 2 от приложение 13 към ЗЗД от 2018 г. на администратора или обработващия лични данни могат да бъдат издадени изпълнителни и наказателни постановления във връзка с нарушения по част 4, глава 2 от ЗЗД от 2018 г. (принципи на обработването), на разпоредба на част 4 от ЗЗД от 2018 г., предоставяща права на субект на данни, на изискване за съобщаване на комисаря за нарушение на сигурността на личните данни съгласно член 108 от ЗЗД от 2018 г. и на принципите за предаване на лични данни на трети държави, държави, които не са страни по Конвенцията, и международни организации, посочени в член 109 от ЗЗД от 2018 г. (за допълнителни подробности относно изпълнителните и наказателните постановления вж. съображение 92).

442

(443)  Съгласно член 147, параграф 6 от ЗЗД от 2018 г. комисарят по информацията не може да изпраща ревизионно постановление до орган, посочен в член 23, параграф 3 от Закона за свободата на информацията от 2000 г. Това включва Службата за сигурност (MI5), Службата за тайно разузнаване (MI6) и Правителствената централа за комуникации.

443

(444)  Разпоредбите, от които може да бъде получено освобождаване, са: член 108 (съобщаване на комисаря за нарушение на сигурността на личните данни), член 119 (проверка в съответствие с международните задължения); членове 142—154 и приложение 15 (постановления на комисаря и правомощия за влизане и проверка); и членове 170—173 (нарушения, свързани с лични данни). Освен това във връзка с обработването от разузнавателните служби, предвидено в точка 1, букви а) и g) и точка 2 от приложение 13 (други общи функции на комисаря).

444

(445)  Меморандум за разбирателство между Службата на комисаря по информацията и разузнавателната общност на Обединеното кралство, вж. бележка под линия 165.

445

(446)  В седем от тези случаи ICO е посъветвала жалбоподателя да повдигне въпроса пред администратора на лични данни (такъв е случаят, когато дадено лице е изпратило жалба до ICO, но първо е трябвало да изпрати запитване до администратора на данни), в един от тези случаи ICO е предоставила общи съвети на администратора на данни (това се използва, когато действията на администратора на лични данни не изглежда да са в нарушение на законодателството, но подобряване на практиките е можело да предотврати проблема, с който ICO е сезирана), а в останалите 13 случая не е било необходимо предприемането на действия от администратора на данни (това се използва, когато проблемът, повдигнат от лицето, попадат в обхвата на Закона за защита на данните от 2018 г., защото засяга обработването на лични данни, но въз основа на предоставената информация не изглежда администраторът да е нарушил законодателството).

446

(447)  В съответствие с член 227, параграфи 7 и 8 от ЗПР от 2016 г. комисарят по правомощията за разследване е съдебен комисар, а комисарят по правомощията за разследване и другите съдебни комисари се наричат заедно съдебни комисари. Понастоящем има 15 съдебни комисари.

447

(448)  Съгласно член 60, параграф 2 от част 3 от Закона за конституционната реформа от 2005 г. „висша съдебна длъжност“ означава длъжност като съдия в някое от следните съдилища: i) Върховния съд; ii) Апелативния съд в Англия и Уелс; iii) Висшия съд в Англия и Уелс; iv) Върховния съд по граждански дела (Court of Session); v) Апелативния съд в Северна Ирландия; vi) Висшия съд в Северна Ирландия; или като апелативен съдия в обикновен съд.

448

(449)  Независимостта на съдебната власт се основава на установена практика и е широко призната от Закона за наследяване на престола (Act of Settlement) от 1701 г.

449

(450)  Член 227, параграф 3 от ЗПР от 2016 г. Съдебните комисари трябва да бъдат препоръчани и от комисаря по правомощията за разследване, член 227, параграф 4, буква e) от ЗПР от 2016 г.

450

(451)  Член 238 от ЗПР от 2016 г.

451

(452)  Член 227, параграф 2 от ЗПР от 2016 г.

452

(453)  Процедурата за отстраняване е идентична с процедурата за отстраняване на други съдии в Обединеното кралство (вж. например член 11, параграф 3 от Закона за висшите съдилища (Senior Courts Act) от 1981 г. и член 33 от Закона за конституционната реформа от 2005 г., съгласно които също се изисква решение, прието и от двете камари на Парламента). Към днешна дата нито един съдебен комисар не е бил отстранен от длъжност.

453

(454)  Независим орган е организация или агенция, която получава финансиране от правителството, но може да действа независимо (за определение и повече информация за несвързаните органи вж. Наръчника на кабинета на министър-председателя за класификация на публичните органи, достъпен на следния адрес: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/519571/Classification-of-Public_Bodies-Guidance-for-Departments.pdf, както и първия доклад от сесията 2014—2015 г. на Специалната комисия за публичната администрация на Камарата на общините, достъпен на следния адрес: https://publications.parliament.uk/pa/cm201415/cmselect/cmpubadm/110/110.pdf )

454

(455)  Съгласно член 229 от ЗПР от 2016 г. съдебният комисар има широки надзорни правомощия, които обхващат и надзора върху съхранението и разкриването на данните, събирани от разузнавателните служби.

455

(456)  Решенията дали да бъде одобрено решение на министъра за издаване на заповед се вземат от самите съдебни комисари. Ако комисар откаже да одобри заповед, министърът може да обжалва отказа пред комисаря по правомощията за разследване, чието решение е окончателно.

456

(457)  Когато комуникационните данни се събират за целите на правоприлагането, винаги се изисква разрешението на IPC (член 60А от ЗПР от 2016 г.). Когато комуникационните данни се получават за целите на националната сигурност, разрешението може да бъде дадено от IPC или, като алтернатива, от специално определен висш служител на съответния публичен орган (вж. член 61 и член 61A от ЗПР от 2016 г. и съображение 203).

457

(458)  Заключително изявление на специалния докладчик за правото на неприкосновеност на личния живот в края на неговата мисия в Обединеното кралство Великобритания и Северна Ирландия (вж. бележка под линия 281).

458

(459)  Член 229 от ЗПР от 2016 г. Правомощията на съдебния комисар, свързани с разследването и информация, са посочени в член 235 от ЗПР от 2016 г.

459

(460)  Тези правомощия включват мерки за наблюдение по ЗУПР от 2000 г., упражняване на функции по част 3 от Закона за полицията от 1997 г. (разрешаване на действия по отношение на имущество) и упражняване от министъра на функции съгласно членове 5—7 от Закона за разузнавателните служби от 1994 г. (заповеди за намеса в безжична телеграфия, за влизане и за намеса в имущество (член 229 от ЗПР от 2016 г.).

460

(461)  Член 230 от ЗПР от 2016 г. IPC може също да изготвя доклади до министър-председателя по своя инициатива по всеки въпрос, свързан с неговите функции. IPC също така трябва да докладва на министър-председателя по негово искане, а министър-председателят може да нареди на IPC да извърши проверка на всяка от функциите на разузнавателните служби.

461

(462)  Някои части може да бъдат изключени, ако публикуването им би противоречало на националната сигурност.

462

(463)  Например в годишния доклад на IPCO за 2019 г. (параграф 6.38) се споменава, че на MI5 е било препоръчано да промени политиката си на съхраняване на масиви от лични данни, тъй като следва да възприеме подход, при който се взема предвид пропорционалността на съхраняването за всички полета в съхраняваните масиви от лични данни и за всеки съхраняван масив от лични данни. В края на 2018 г. IPCO не е удовлетворена от изпълнението на тази препоръка и в доклада за 2019 г. е обяснено, че MI5 понастоящем въвежда нова процедура, за да изпълни това изискване. В годишния доклад за 2019 г. (параграф 8.22) се споменава също така, че на Правителствената централа за комуникации са дадени редица препоръки относно документирането на пропорционалността на нейните запитвания във връзка с масиви от данни. В доклада се потвърждава, че към края на 2018 г. са направени подобрения в тази област. Годишен доклад на Службата на комисаря по правомощията за разследване за 2019 г., достъпен на следния адрес: https://www.ipco.org.uk/docs/IPC%20Annual%20Report%202019_Web%20Accessible%20version_final.pdf. Освен това всяка инспекция на IPCO на публичен орган завършва с доклад, който се предоставя на органа и включва всички препоръки, произтичащи от тази инспекция. След това IPCO започва всяка последваща инспекция с преглед на всички предишни препоръки от последната инспекция и в новия доклад от инспекцията е отразено дали предишните препоръки са били изпълнени или са били пренесени.

463

(464)  Дадена грешка се смята за „сериозна“, когато комисарят прецени, че е ощетила в значителна степен засегнатото лице или му е нанесла значителни вреди (член 231, параграф 2 от ЗПР от 2016 г.). През 2018 г. са били докладвани 22 грешки, от които осем са сметнати за сериозни и са довели до уведомяване на заинтересованото лице. Вж. Годишен доклад на Службата на комисаря по правомощията за разследване за 2018 г., приложение C (вж. https://www.ipco.org.uk/docs/IPCO%20Annual%20Report%202018%20final.pdf). През 2019 г. за сериозни са били сметнати 14 грешки. Вж. Годишен доклад на комисаря по правомощията за разследване за 2019 г., приложение В, вж. бележка под линия 463.

464

(465)  В член 231 от ЗПР от 2016 г. се уточнява, че когато уведомява лице за грешка, IPC трябва да предостави такива подробности, каквито сметне за необходими за упражняването на тези права, като взема предвид по-специално степента, до която разкриването на подробностите би противоречало на обществения интерес или би навредило на предотвратяването или разкриването на тежки престъпления, на икономическото благосъстояние на Обединеното кралство или на по-нататъшното изпълнение на функциите на някоя от разузнавателните служби.

465

(466)  Както беше обяснено от органите на Обединеното кралство, със ЗПС бяха разширени правомощията на ISC, за да ѝ отредят роля в надзора на разузнавателната общност отвъд трите агенции и да ѝ се даде възможност за ретроспективен надзор на оперативните дейности на агенциите по въпроси от значителен национален интерес.

466

(467)  Член 2 от ЗПС от 2013 г.

467

(468)  Меморандум за разбирателство между министър-председателя и ISC, достъпен на следния адрес: http://data.parliament.uk/DepositedPapers/Files/DEP2013-0415/AnnexA-JSBill-summaryofISCMoU.pdf

468

(469)  Меморандум за разбирателство между министър-председателя и ISC, параграф 14, вж. бележка под линия 468.

469

(470)  Министърът може да наложи вето върху разкриването на информация само на две основания: Министърът може да наложи вето върху разкриването на информация само на две основания: информацията е чувствителна и не следва да се разкрива на ISC в интерес на националната сигурност; или информацията е от такъв характер, че ако от министъра бъде изискано да я представи пред специална парламентарна комисия на Камарата на общините, министърът ще счете (не само на основания, засягащи националната сигурност) за неуместно да го направи (точка 4, подточка 2 от приложение 1 към ЗПС от 2013 г.).

470

(471)  Вж. Обяснителна рамка на Обединеното кралство за обсъждане във връзка с адекватното ниво на защита, раздел H: Национална сигурност, стр. 43, вж. бележка под линия 31.

471

(472)  Член 1 от ЗПС от 2013 г. Министрите не отговарят на условията за членство. Членовете на ISC заемат длъжността си за срока на мандата на Парламента, по време на който са били назначени. Те могат да бъдат отстранени с решение на камарата на Парламента, от чиято квота са били назначени, или ако престанат да бъдат членове на Парламента или станат министри. Всеки член може също така да подаде оставка.

472

(473)  Докладите и изявленията на Комисията са достъпни онлайн на следния адрес: https://isc.independent.gov.uk/publications/. През 2015 г. ISC публикува доклад относно „Неприкосновеност на личния живот и сигурността: модерна и прозрачна правна уредба“ (вж.: https://isc.independent.gov.uk/wp-content/uploads/2021/01/20150312_ISC_PSRptweb.pdf), в който се разглежда правната уредба на техниките за наблюдение, използвани от разузнавателните служби, и са отправени редица препоръки, впоследствие разгледани и включени в законопроекта за правомощията за разследване, който бе приет — ЗПР от 2016 г. Отговорът на правителството на доклада относно неприкосновеността на личния живот и сигурността е достъпен на следния адрес: https://b1cba9b3-a-5e6631fd-s-sites.googlegroups.com/a/independent.gov.uk/isc/files/20151208_Privacy_and_Security_Government_Response.pdf

473

(474)  Членове 142, 161 и 183 от ЗПР от 2016 г.

474

(475)  Член 234 от ЗПР от 2016 г.

475

(476)  Член 236 от ЗПР от 2016 г.

476

(477)  Парламентарна Комисия по разузнаване и сигурност, Доклад относно Законопроекта за правомощията за разследване, достъпен на следния адрес: https://isc.independent.gov.uk/wp-content/uploads/2021/01/20160209_ISC_Rpt_IPBillweb.pdf

477

(478)  Тези общи задължения във връзка с неприкосновеността на личния живот са определени в член 2, параграф 2 от ЗПР от 2016 г., в който се предвижда, че публичният орган, който действа съгласно ЗПР от 2016 г., трябва да вземе предвид дали това, което се цели да бъде постигнато със заповедта, разрешението или постановлението, е практически възможно да бъде постигнато с други средства, които предполагат по-малка намеса, дали нивото на защита, което трябва да се прилага във връзка с всяко получаване на информация по силата на заповедта, разрешението или постановлението, е по-високо поради особената чувствителност на тази информация, обществения интерес от целостта и сигурността на далекосъобщителните системи и пощенските услуги, и всички други аспекти на обществения интерес от защитата на правото на неприкосновеност на личния живот.

478

(479)  Например по искане на ISC дните, в които заповед „по неотложни причини“ може да бъде в сила, преди съдебният комисар да я одобри, са намалени от пет на три работни дни и на ISC е предоставено правомощието да отнася въпроси за разследване до комисаря по правомощията за разследване.

479

(480)  Решение по дело Schrems II, т. 194.

480

(481)  Решение по дело Schrems II, т. 197.

481

(482)  Член 94, параграф 11 от ЗЗД от 2018 г.

482

(483)  Член 99, параграф 4 от ЗЗД от 2018 г.

483

(484)  Член 100, параграф 1 от ЗЗД от 2018 г.

484

(485)  Съгласно член 169 от Закона за защита на данните от 2018 г. се допускат искове от „лице, което претърпява вреди поради нарушение на изискване на законодателството за защита на данните“. Според информацията, предоставена от органите на Обединеното кралство, на практика е вероятно иск или жалба срещу разузнавателните служби да бъдат подадени до Трибунала за правомощията за разследване, който има широка компетентност и е в състояние да присъди обезщетение за вреди, като предявяването на иск пред него не е свързано с никакви разходи.

485

(486)  Член 169, параграф 5 от ЗЗД от 2018 г.

486

(487)  Съгласно приложение 3 към ЗУПР от 2000 г. членовете трябва да имат определен съдебен опит и имат право на преназначаване.

487

(488)  
  „Обръщение“ е предложение, внесено в Парламента, което има за цел да запознае монарха със становищата на Парламента по даден въпрос.

488

(489)  Точка 1, подточка 5 от приложение 3 към ЗУПР от 2000 г.

489

(490)  Член 65, параграф 5 от ЗУПР от 2000 г.

490

(491)  Относно критериите за проверка на това „убеждение“ вж. дело Human Rights Watch/Secretary of State [2016] UKIPTrib15_165-CH, т. 41. По това дело Трибуналът за правомощията за разследване, позовавайки се на съдебната практика на Европейския съд по правата на човека, приема, че подходящият критерий за проверка на заявеното убеждение, че което и да е действие, попадащо в обхвата на член 68, параграф 5 от ЗУПР от 2000 г., е извършено от която и да е разузнавателна служба или от нейно име, е дали има основание за такова убеждение, така че дадено лице да може да твърди, че е жертва на нарушение, причинено от самото съществуване на специалните разузнавателни средства или на законодателство, позволяващо специални разузнавателни средства, само ако е в състояние да докаже, че поради личното си положение е изложено на риск от такива мерки.

491

(492)  Член 65, параграф 4, буква a) от ЗУПР от 2000 г.

492

(493)  Такива обстоятелства се отнасят до действия на публичните органи при упражняване на публична власт (напр. заповед, разрешение/постановление за получаване на комуникация и др.), или ако обстоятелствата са такива, че (независимо дали има упражняване на публична власт) не би било уместно действията да се извършат без упражняването ѝ или най-малкото без надлежно разглеждане на въпроса дали следва да се приложи такова упражняване на публична власт. Счита се, че действията, разрешени от съдебен комисар, са извършени при подлежащи на обжалване обстоятелства (член 65, параграф 7ЩA от ЗУПР от 2000 г.), докато други действия, извършени с разрешението на лице, заемащо съдебна длъжност, не се считат за извършени при подлежащи на обжалване обстоятелства (член 65, параграфи 7 и 8 от ЗУПР от 2000 г.).

493

(494)  Според информацията, предоставена от органите на Обединеното кралство, ниският праг за подаване на жалба води до това, че не е необичайно разследването на Трибунала да установи, че жалбоподателят в действителност никога не е бил обект на разследване от публичен орган. В последния статистически доклад на Трибунала за правомощията за разследване се посочва, че през 2016 г. Трибуналът е получил 209 жалби, 52 % от които са били счетени за недопустими, а 25 % са оставени „без разглеждане“. Органите на Обединеното кралство обясниха, че това означава, че по отношение на жалбоподателя не са били използвани специални разузнавателни средства/правомощия, или че са използвани специални разузнавателни техники и Трибуналът е установил, че действието е законосъобразно. Освен това 11 % от жалбите са били недопустими поради липса на компетентност, били са оттеглени или са били нередовни, 5 % са били недопустими, тъй като не са били подадени в срок, и 7 % са били отсъдени в полза на жалбоподателя. Статистически доклад на Трибунала за правомощията за разследване от 2016 г., достъпен на следния адрес: https://www.ipt-uk.com/docs/IPT%20Statisical%20Report%202016.pdf

494

(495)  Вж. дело Human Rights Watch/Secretary of State [2016] UKIPTrib15_165-CH. По това дело Трибуналът за правомощията за разследване, позовавайки се на съдебната практика на Европейския съд по правата на човека, приема, че подходящият критерий за проверка на убеждението, че действие, попадащо в обхвата на член 68, параграф 5 от ЗУПР от 2000 г., е извършено пряко от или от името на някоя разузнавателна служба, е дали има основание за такова убеждение, включително факта, че дадено лице може да твърди, че е жертва на нарушение, причинено от самото съществуване на специалните разузнавателни средства или на законодателство, позволяващо специални разузнавателни средства, само ако може да докаже, че поради личното си положение е изложено на риск от прилагането на такива средства спрямо него (вж. Human Rights Watch/Secretary of State, т. 41).

495

Human Rights Watch/Secretary of State

(496)  Член 67, параграф 3 от ЗУПР от 2000 г.

496

(497)  Член 67, параграф 2 от ЗУПР от 2000 г.

497

(498)  Член 68, параграфи 6—7 от ЗУПР от 2000 г.

498

(499)  Член 68, параграф 4 от ЗУПР от 2000 г.

499

(500)  Пример за прилагането на тези правомощия е дело Liberty & Others/the Security Service, SIS, GCHQ, [2015] UKIP Trib 13_77-H_2. Трибуналът отсъжда в полза на двама жалбоподатели, тъй като в единия случай комуникацията им е била запазена извън установените срокове, а в другия процедурата по разглеждане не е била спазена, както е предвидено във вътрешните правила на Правителствената централа за комуникации. По първото дело Съдът разпорежда на разузнавателните служби да унищожат комуникацията, която е била съхранена по-дълго от съответния срок. Във втория случай не е издадено разпореждане за унищожаване, тъй като комуникацията не е съхранена.

500

(501)  Дело Kennedy, вж. бележка под линия 129.

501

(502)  Европейски съд по правата на човека (голям състав), Big Brother Watch и др./Обединено кралство (вж. бележка под линия 268по-горе), точки 413 - 415.

502

(503)  Европейски съд по правата на човека, Big Brother Watch, т. 425.

503

(504)  Както се вижда например от неотдавнашното решение на големия състав на Европейския съд по правата на човека по дело Big Brother Watch и др./Обединено кралство (вж. бележка под линия 279 по-горе), това позволява ефективен съдебен контрол – подобен на този, на който подлежат държавите – членки на ЕС – от страна на международен съд върху спазването на основните права от страна на публичните органи при достъпа до лични данни. Освен това изпълнението на решенията на Европейския съд по правата на човека подлежи на специален надзор от страна на Съвета на Европа.

504

(505)  В Belhaj и други [2017] UKSC 3 определението за незаконосъобразността на прихващането на материали, които са обект на адвокатска тайна, се основава пряко на член 8 от ЕКПЧ (вж. определение 11).

505

(506)  High Court of Justice, Liberty, [2019] EWHC 2057 (Admin), т. 170.

506

(507)  Решение по дело Schrems, т. 65.

507

(508)  Решение по дело Schrems, т. 65. „В това отношение националният законодател трябва да предвиди правни способи, позволяващи на съответния национален надзорен орган да изложи твърденията за нарушения, които смята за основателни, пред националните юрисдикции, така че ако последните споделят съмненията на органа относно валидността на решението на Комисията, да отправят преюдициално запитване с цел проверка на валидността на решението.“.

508

(509)  Становище 14/2021 относно проекта на решение за изпълнение на Европейската комисия съгласно Регламент (ЕС) 2016/679 относно адекватната защита на личните данни в Обединеното кралство, достъпно на следния адрес: https://edpb.europa.eu/our-work-tools/our-documents/opinion-art-70/opinion-142021-regarding-european-commission-draft_en.

509

---

| 11.10.2021 | BG | Официален вестник на Европейския съюз | L 360/69 |
| --- | --- | --- | --- |

11.10.2021

BG

Официален вестник на Европейския съюз

L 360/69

---

РЕШЕНИЕ ЗА ИЗПЪЛНЕНИЕ (ЕС) 2021/1773 НА КОМИСИЯТА

от 28 юни 2021 година

съгласно Директива (ЕС) 2016/680 на Европейския парламент и на Съвета относно адекватното ниво на защита на личните данни от страна на Обединеното кралство

(нотифицирано под номер C(2021) 4801)

ЕВРОПЕЙСКАТА КОМИСИЯ,

като взе предвид Договора за функционирането на Европейския съюз,

като взе предвид Директива (ЕС) 2016/680 на Европейския парламент и на Съвета от 27 април 2016 г. относно защитата на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания и относно свободното движение на такива данни, и за отмяна на Рамково решение 2008/977/ПВР на Съвета (1), и по-специално член 36, параграф 3 от нея,

като има предвид, че:

1.   ВЪВЕДЕНИЕ

ВЪВЕДЕНИЕ

| (1) | В Директива (ЕС) 2016/680 се определят правилата за предаването на лични данни от компетентните органи в Съюза на трети държави и международни организации, доколкото това предаване попада в приложното ѝ поле. Правилата относно международното предаване на данни от компетентните органи са установени в глава V от Директива (ЕС) 2016/680, по-специално в членове 35—40. Въпреки че движението на лични данни към и от държави извън Европейския съюз е от съществено значение за ефикасното сътрудничество в областта на правоприлагането, трябва да се гарантира, че нивото на защита, което се предоставя на личните данни в Европейския съюз, не се излага на риск от такова предаване (2). |
| --- | --- |

(1)

В Директива (ЕС) 2016/680 се определят правилата за предаването на лични данни от компетентните органи в Съюза на трети държави и международни организации, доколкото това предаване попада в приложното ѝ поле. Правилата относно международното предаване на данни от компетентните органи са установени в глава V от Директива (ЕС) 2016/680, по-специално в членове 35—40. Въпреки че движението на лични данни към и от държави извън Европейския съюз е от съществено значение за ефикасното сътрудничество в областта на правоприлагането, трябва да се гарантира, че нивото на защита, което се предоставя на личните данни в Европейския съюз, не се излага на риск от такова предаване (2).

2

| (2) | Съгласно член 36, параграф 3 от Директива (ЕС) 2016/680 Комисията може да реши посредством акт за изпълнение, че дадена трета държава, територия или един или повече конкретни сектори в дадена трета държава, или дадена международна организация осигуряват адекватно ниво на защита. При това условие предаването на лични данни на трета държава може да се извършва, без да е необходимо допълнително разрешение (с изключение на случаите, когато друга държава членка, от която са получени данните, трябва да даде своето разрешение за предаването), както е предвидено в член 35, параграф 1 и съображение 66 от Директива (ЕС) 2016/680. |
| --- | --- |

(2)

Съгласно член 36, параграф 3 от Директива (ЕС) 2016/680 Комисията може да реши посредством акт за изпълнение, че дадена трета държава, територия или един или повече конкретни сектори в дадена трета държава, или дадена международна организация осигуряват адекватно ниво на защита. При това условие предаването на лични данни на трета държава може да се извършва, без да е необходимо допълнително разрешение (с изключение на случаите, когато друга държава членка, от която са получени данните, трябва да даде своето разрешение за предаването), както е предвидено в член 35, параграф 1 и съображение 66 от Директива (ЕС) 2016/680.

| (3) | Както е посочено в член 36, параграф 2 от Директива (ЕС) 2016/680, приемането на решение относно адекватното ниво на защита трябва да се основава на цялостен анализ на правовия ред на третата държава. В своята оценка Комисията трябва да определи дали въпросната трета държава гарантира ниво на защита, „по същество равностойно“ на осигуреното в рамките на Европейския съюз (съображение 67 от Директива (ЕС) 2016/680). Стандартът, спрямо който се оценява „равностойността по същество“, е определеният от законодателството на ЕС, по-специално от Директива (ЕС) 2016/680, както и от съдебната практика на Съда на Европейския съюз (3). Референтният документ на Европейския комитет по защита на данните за адекватното ниво на защита също е от значение в това отношение (4). |
| --- | --- |

(3)

Както е посочено в член 36, параграф 2 от Директива (ЕС) 2016/680, приемането на решение относно адекватното ниво на защита трябва да се основава на цялостен анализ на правовия ред на третата държава. В своята оценка Комисията трябва да определи дали въпросната трета държава гарантира ниво на защита, „по същество равностойно“ на осигуреното в рамките на Европейския съюз (съображение 67 от Директива (ЕС) 2016/680). Стандартът, спрямо който се оценява „равностойността по същество“, е определеният от законодателството на ЕС, по-специално от Директива (ЕС) 2016/680, както и от съдебната практика на Съда на Европейския съюз (3). Референтният документ на Европейския комитет по защита на данните за адекватното ниво на защита също е от значение в това отношение (4).

3

4

| (4) | Както бе изяснено от Съда на Европейския съюз, това не изисква установяване на идентично ниво на защита (5). По-специално средствата, до които въпросната трета държава прибягва за защита на личните данни, могат да са различни от прилаганите в Европейския съюз, стига те на практика да се окажат ефективни за осигуряването на адекватно ниво на защита (6). Поради това стандартът за адекватно ниво на защита не включва изискване за буквално възпроизвеждане на правилата на Съюза. Критерият се състои по-скоро в това дали чрез същността на правото на неприкосновеност на личния живот и неговото ефективно прилагане, надзор и изпълнение чуждестранната система като цяло осигурява необходимото ниво на защита (7). |
| --- | --- |

(4)

Както бе изяснено от Съда на Европейския съюз, това не изисква установяване на идентично ниво на защита (5). По-специално средствата, до които въпросната трета държава прибягва за защита на личните данни, могат да са различни от прилаганите в Европейския съюз, стига те на практика да се окажат ефективни за осигуряването на адекватно ниво на защита (6). Поради това стандартът за адекватно ниво на защита не включва изискване за буквално възпроизвеждане на правилата на Съюза. Критерият се състои по-скоро в това дали чрез същността на правото на неприкосновеност на личния живот и неговото ефективно прилагане, надзор и изпълнение чуждестранната система като цяло осигурява необходимото ниво на защита (7).

5

6

7

| (5) | Комисията анализира внимателно съответното законодателство и практиката на Обединеното кралство. Въз основа на своите констатации, изложени по-долу, Комисията стига до заключението, че Обединеното кралство осигурява адекватно ниво на защита на личните данни, предавани от компетентните органи в Съюза, попадащи в обхвата на Директива (ЕС) 2016/680, на компетентните органи в Обединеното кралство, попадащи в обхвата на част 3 от Закона за защита на данните от 2018 г. (ЗЗД от 2018 г.) (8). |
| --- | --- |

(5)

Комисията анализира внимателно съответното законодателство и практиката на Обединеното кралство. Въз основа на своите констатации, изложени по-долу, Комисията стига до заключението, че Обединеното кралство осигурява адекватно ниво на защита на личните данни, предавани от компетентните органи в Съюза, попадащи в обхвата на Директива (ЕС) 2016/680, на компетентните органи в Обединеното кралство, попадащи в обхвата на част 3 от Закона за защита на данните от 2018 г. (ЗЗД от 2018 г.) (8).

8

| (6) | В резултат на настоящото решение подобно предаване може да се извършва за период от четири години, без да е необходимо допълнително разрешение, като е възможно подновяване, и без да се засягат условията, предвидени в член 35 от Директива (ЕС) 2016/680. |
| --- | --- |

(6)

В резултат на настоящото решение подобно предаване може да се извършва за период от четири години, без да е необходимо допълнително разрешение, като е възможно подновяване, и без да се засягат условията, предвидени в член 35 от Директива (ЕС) 2016/680.

2.   ПРАВИЛА, КОИТО СЕ ПРИЛАГАТ ЗА ОБРАБОТВАНЕТО НА ЛИЧНИ ДАННИ ОТ КОМПЕТЕНТНИТЕ ОРГАНИ ЗА ЦЕЛИТЕ НА НАКАЗАТЕЛНОТО ПРАВОПРИЛАГАНЕ

ПРАВИЛА, КОИТО СЕ ПРИЛАГАТ ЗА ОБРАБОТВАНЕТО НА ЛИЧНИ ДАННИ ОТ КОМПЕТЕНТНИТЕ ОРГАНИ ЗА ЦЕЛИТЕ НА НАКАЗАТЕЛНОТО ПРАВОПРИЛАГАНЕ

2.1.   Конституционна уредба

Конституционна уредба

| (7) | Обединеното кралство е парламентарна демокрация. То има суверенен парламент, който е върховен спрямо всички останали държавни институции, изпълнителна власт, представителите на която се избират от парламента и се отчитат пред него, и независима съдебна власт. Изпълнителната власт черпи правомощията си от способността си да се ползва от доверието на избраната Камара на общините и се отчита пред двете камари на парламента (Камарата на общините и Камарата на лордовете), които отговарят за контрола върху правителството и за обсъждането и приемането на закони. Парламентът на Обединеното кралство е делегирал законодателни правомощия на парламента на Шотландия, парламента на Уелс (Senedd Cymru) и Събранието на Северна Ирландия по някои вътрешни въпроси в Шотландия, Уелс и Северна Ирландия. Макар защитата на данните да е въпрос, който е от компетентността на парламента на Обединеното кралство, т.е. едно и също законодателство се прилага в цялата страна, други области на политиката, свързани с настоящото решение, са делегирани. Например правомощията, свързани с наказателноправните системи на Шотландия и Северна Ирландия, включително полицейската дейност (дейностите, извършвани от полицейските служби), са делегирани съответно на парламента на Шотландия и на Събранието на Северна Ирландия (9). |
| --- | --- |

(7)

Обединеното кралство е парламентарна демокрация. То има суверенен парламент, който е върховен спрямо всички останали държавни институции, изпълнителна власт, представителите на която се избират от парламента и се отчитат пред него, и независима съдебна власт. Изпълнителната власт черпи правомощията си от способността си да се ползва от доверието на избраната Камара на общините и се отчита пред двете камари на парламента (Камарата на общините и Камарата на лордовете), които отговарят за контрола върху правителството и за обсъждането и приемането на закони. Парламентът на Обединеното кралство е делегирал законодателни правомощия на парламента на Шотландия, парламента на Уелс (Senedd Cymru) и Събранието на Северна Ирландия по някои вътрешни въпроси в Шотландия, Уелс и Северна Ирландия. Макар защитата на данните да е въпрос, който е от компетентността на парламента на Обединеното кралство, т.е. едно и също законодателство се прилага в цялата страна, други области на политиката, свързани с настоящото решение, са делегирани. Например правомощията, свързани с наказателноправните системи на Шотландия и Северна Ирландия, включително полицейската дейност (дейностите, извършвани от полицейските служби), са делегирани съответно на парламента на Шотландия и на Събранието на Северна Ирландия (9).

9

| (8) | Въпреки че Обединеното кралство не разполага с кодифицирана конституция в смисъла на утвърден учредителен документ, с течение на времето се е оформил обликът на неговите конституционни принципи, произтичащи по-специално от съдебната практика и конвенциите. Някои нормативни актове, като например Магна харта (Magna Carta), Законът за правата (Bill of Rights) от 1689 г. и Законът за правата на човека (Human Rights Act) от 1998 г., имат призната конституционна стойност. Като част от конституцията, основните права на физическите лица са развити чрез общото право, нормативните актове и международните договори, по-специално Европейската конвенция за правата на човека (ЕКПЧ), която Обединеното кралство ратифицира през 1951 г. Обединеното кралство също така ратифицира Конвенцията на Съвета на Европа за защита на лицата при автоматизираната обработка на лични данни (Конвенция No 108) през 1987 г. (10). |
| --- | --- |

(8)

Въпреки че Обединеното кралство не разполага с кодифицирана конституция в смисъла на утвърден учредителен документ, с течение на времето се е оформил обликът на неговите конституционни принципи, произтичащи по-специално от съдебната практика и конвенциите. Някои нормативни актове, като например Магна харта (Magna Carta), Законът за правата (Bill of Rights) от 1689 г. и Законът за правата на човека (Human Rights Act) от 1998 г., имат призната конституционна стойност. Като част от конституцията, основните права на физическите лица са развити чрез общото право, нормативните актове и международните договори, по-специално Европейската конвенция за правата на човека (ЕКПЧ), която Обединеното кралство ратифицира през 1951 г. Обединеното кралство също така ратифицира Конвенцията на Съвета на Европа за защита на лицата при автоматизираната обработка на лични данни (Конвенция No 108) през 1987 г. (10).

10

| (9) | Със Закона за правата на човека от 1998 г. правата, съдържащи се в ЕКПЧ, се въвеждат в правото на Обединеното кралство. По силата на този закон на всяко физическо лице се предоставят основните права и свободи, предвидени в членове 2—12 и в член 14 от ЕКПЧ, както и в членове 1—3 от Първия протокол към нея и в член 1 от Тринадесетия протокол към нея, във връзка с членове 16—18 от ЕКПЧ. Това включва правото на зачитане на личния и семейния живот, което на свой ред обхваща правото на защита на данните и правото на справедлив съдебен процес (11). По-специално, съгласно член 8 от ЕКПЧ държавните власти могат да се намесват в ползването на правото на неприкосновеност на личния живот само в случаите, предвидени в закона, когато това е необходимо в едно демократично общество в интерес на националната и обществената сигурност или на икономическото благосъстояние на страната, за предотвратяване на безредици или престъпления, за защита на здравето и морала или на правата и свободите на другите. |
| --- | --- |

(9)

Със Закона за правата на човека от 1998 г. правата, съдържащи се в ЕКПЧ, се въвеждат в правото на Обединеното кралство. По силата на този закон на всяко физическо лице се предоставят основните права и свободи, предвидени в членове 2—12 и в член 14 от ЕКПЧ, както и в членове 1—3 от Първия протокол към нея и в член 1 от Тринадесетия протокол към нея, във връзка с членове 16—18 от ЕКПЧ. Това включва правото на зачитане на личния и семейния живот, което на свой ред обхваща правото на защита на данните и правото на справедлив съдебен процес (11). По-специално, съгласно член 8 от ЕКПЧ държавните власти могат да се намесват в ползването на правото на неприкосновеност на личния живот само в случаите, предвидени в закона, когато това е необходимо в едно демократично общество в интерес на националната и обществената сигурност или на икономическото благосъстояние на страната, за предотвратяване на безредици или престъпления, за защита на здравето и морала или на правата и свободите на другите.

11

| (10) | В съответствие със Закона за правата на човека от 1998 г. всяко действие на публичните органи трябва да бъде съвместимо с право, гарантирано съгласно ЕКПЧ (12). Освен това първичното законодателство и подзаконовите актове трябва да се тълкуват и прилагат по начин, който е съвместим с тези права (13). В случай че дадено лице счита, че неговите права, включително правото на неприкосновеност на личния живот и защита на данните, са били нарушени от публични органи, то може да получи правна защита пред съдилищата на Обединеното кралство съгласно Закона за правата на човека от 1998 г., а впоследствие — след изчерпване на националните средства за правна защита — може да получи правна защита пред Европейския съд по правата на човека за нарушения на правата, гарантирани от ЕКПЧ. |
| --- | --- |

(10)

В съответствие със Закона за правата на човека от 1998 г. всяко действие на публичните органи трябва да бъде съвместимо с право, гарантирано съгласно ЕКПЧ (12). Освен това първичното законодателство и подзаконовите актове трябва да се тълкуват и прилагат по начин, който е съвместим с тези права (13). В случай че дадено лице счита, че неговите права, включително правото на неприкосновеност на личния живот и защита на данните, са били нарушени от публични органи, то може да получи правна защита пред съдилищата на Обединеното кралство съгласно Закона за правата на човека от 1998 г., а впоследствие — след изчерпване на националните средства за правна защита — може да получи правна защита пред Европейския съд по правата на човека за нарушения на правата, гарантирани от ЕКПЧ.

12

13

2.2.   Уредбата на Обединеното кралство за защита на данните

Уредбата на Обединеното кралство за защита на данните

| (11) | Обединеното кралство се оттегли от Съюза на 31 януари 2020 г. Въз основа на Споразумението за оттеглянето на Обединеното кралство Великобритания и Северна Ирландия от Европейския съюз и Европейската общност за атомна енергия (14) правото на Съюза продължи да се прилага в Обединеното кралство по време на преходния период до 31 декември 2020 г. Преди оттеглянето и по време на преходния период правната уредба относно защитата на личните данни в Обединеното кралство, уреждаща обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществената сигурност и тяхното предотвратяване, се състоеше от съответните части от Закона за защита на данните от 2018 г., с който е транспонирана Директива (ЕС) 2016/680. |
| --- | --- |

(11)

Обединеното кралство се оттегли от Съюза на 31 януари 2020 г. Въз основа на Споразумението за оттеглянето на Обединеното кралство Великобритания и Северна Ирландия от Европейския съюз и Европейската общност за атомна енергия (14) правото на Съюза продължи да се прилага в Обединеното кралство по време на преходния период до 31 декември 2020 г. Преди оттеглянето и по време на преходния период правната уредба относно защитата на личните данни в Обединеното кралство, уреждаща обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществената сигурност и тяхното предотвратяване, се състоеше от съответните части от Закона за защита на данните от 2018 г., с който е транспонирана Директива (ЕС) 2016/680.

14

| (12) | С цел подготвяне на излизането от ЕС правителството на Обединеното кралство прие Закона от 2018 г. за оттеглянето от Европейския съюз (EUWA) (15), с който пряко приложимите законодателни актове на Съюза бяха включени в правото на Обединеното кралство и се предвиди, че т. нар. „произтичащо от правото на ЕС национално законодателство“ ще продължи да поражда действие след края на преходния период. Съгласно EUWA част 3 от ЗЗД от 2018 г. (16), с който се транспонира Директива (ЕС) 2016/680, представлява „произтичащо от правото на ЕС национално законодателство“. По силата на EUWA „произтичащото от правото на ЕС национално законодателство“, което не е изменено, трябва да се тълкува от съдилищата на Обединеното кралство съгласно съответната съдебна практика на Съда на Европейския съюз (Съда) и общите принципи на правото на Съюза, тъй като те са били в сила непосредствено преди края на преходния период (наричани съответно „запазена съдебна практика на ЕС“ и „запазени общи принципи на правото на ЕС“) (17). |
| --- | --- |

(12)

С цел подготвяне на излизането от ЕС правителството на Обединеното кралство прие Закона от 2018 г. за оттеглянето от Европейския съюз (EUWA) (15), с който пряко приложимите законодателни актове на Съюза бяха включени в правото на Обединеното кралство и се предвиди, че т. нар. „произтичащо от правото на ЕС национално законодателство“ ще продължи да поражда действие след края на преходния период. Съгласно EUWA част 3 от ЗЗД от 2018 г. (16), с който се транспонира Директива (ЕС) 2016/680, представлява „произтичащо от правото на ЕС национално законодателство“. По силата на EUWA „произтичащото от правото на ЕС национално законодателство“, което не е изменено, трябва да се тълкува от съдилищата на Обединеното кралство съгласно съответната съдебна практика на Съда на Европейския съюз (Съда) и общите принципи на правото на Съюза, тъй като те са били в сила непосредствено преди края на преходния период (наричани съответно „запазена съдебна практика на ЕС“ и „запазени общи принципи на правото на ЕС“) (17).

15

16

17

| (13) | Съгласно EUWA министрите на Обединеното кралство имат правомощието чрез нормативни актове да създават вторично законодателство във връзка с въвеждането на необходими изменения в запазеното законодателство на ЕС, произтичащи от оттеглянето на Обединеното кралство от Съюза. Това правомощие беше упражнено с Наредбите от 2019 г. за защита на данните, неприкосновеността на личния живот и електронните съобщения (изменения и т.н.) (Напускане на ЕС) (18). С тях се изменя законодателството на Обединеното кралство за защита на данните, включително ЗЗД от 2018 г., с цел привеждане в съответствие с националния контекст (19). |
| --- | --- |

(13)

Съгласно EUWA министрите на Обединеното кралство имат правомощието чрез нормативни актове да създават вторично законодателство във връзка с въвеждането на необходими изменения в запазеното законодателство на ЕС, произтичащи от оттеглянето на Обединеното кралство от Съюза. Това правомощие беше упражнено с Наредбите от 2019 г. за защита на данните, неприкосновеността на личния живот и електронните съобщения (изменения и т.н.) (Напускане на ЕС) (18). С тях се изменя законодателството на Обединеното кралство за защита на данните, включително ЗЗД от 2018 г., с цел привеждане в съответствие с националния контекст (19).

18

19

| (14) | Следователно съгласно Споразумението за оттегляне след преходния период правните стандарти относно обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществената сигурност в Обединеното кралство и тяхното предотвратяване, ще продължат да бъдат определени в съответните части от ЗЗД от 2018 г., но изменени с Наредбите за защита на данните, неприкосновеността на личния живот и електронните съобщения, по-специално в част 3 от посочения акт. Общият регламент относно защитата на данните на Обединеното кралство (ОРЗД на Обединеното кралство) не се прилага за този вид обработване. |
| --- | --- |

(14)

Следователно съгласно Споразумението за оттегляне след преходния период правните стандарти относно обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществената сигурност в Обединеното кралство и тяхното предотвратяване, ще продължат да бъдат определени в съответните части от ЗЗД от 2018 г., но изменени с Наредбите за защита на данните, неприкосновеността на личния живот и електронните съобщения, по-специално в част 3 от посочения акт. Общият регламент относно защитата на данните на Обединеното кралство (ОРЗД на Обединеното кралство) не се прилага за този вид обработване.

| (15) | В част 3 от ЗЗД от 2018 г. са предвидени правилата за обработването на лични данни за целите на наказателното правоприлагане, включително принципите за защита на данните, правните основания за обработването (законосъобразността), правата на субектите на данни, задълженията на компетентните органи в качеството им на администратори и ограниченията за последващо предаване. Същевременно приложимите правила относно надзора, привеждането в изпълнение и средствата за защита, приложими за сектора на правоприлагането, са предвидени в части 5 и 6 от ЗЗД от 2018 г. |
| --- | --- |

(15)

В част 3 от ЗЗД от 2018 г. са предвидени правилата за обработването на лични данни за целите на наказателното правоприлагане, включително принципите за защита на данните, правните основания за обработването (законосъобразността), правата на субектите на данни, задълженията на компетентните органи в качеството им на администратори и ограниченията за последващо предаване. Същевременно приложимите правила относно надзора, привеждането в изпълнение и средствата за защита, приложими за сектора на правоприлагането, са предвидени в части 5 и 6 от ЗЗД от 2018 г.

| (16) | Също така, с оглед на съответната роля на полицейските служби в сектора на правоприлагането, следва да се вземат предвид правилата, уреждащи полицейската дейност. Тъй като полицейската дейност е делегиран въпрос, по отношение на нея в а) Англия и Уелс, б) Шотландия и в) Северна Ирландия (20) се прилагат различни законодателни актове, които обаче често са сходни по съдържание. Освен това в различни видове ръководства се предоставят допълнителни разяснения относно начина, по който следва да се използват правомощията на полицията. Съществуват три основни вида насоки в областта на полицейската дейност: 1) нормативни насоки, издадени съгласно законодателството, като Етичният кодекс (21) и Кодексът за поведение относно управлението на полицейска информация (22), издадени съгласно Закона за полицията от 1996 г. (23), или Кодексът за поведение на Закона за полицията и доказателствата в наказателния процес (24), издаден съгласно Закона за полицията и доказателствата в наказателния процес (25), 2) Ръководството за разрешена професионална практика относно управлението на полицейска информация (26), издадено от Полицейския колеж и 3) оперативните насоки (публикувани от самата полиция). Националният съвет на началниците на полицията (координационен орган за всички полицейски служби на Обединеното кралство) публикува оперативни насоки, които всички полицейски служби са одобрили и които следователно се прилагат на национално равнище (27). Целта на тези насоки е да се осигури съгласуваност между службите по отношение на начина, по който се управлява информацията (28). |
| --- | --- |

(16)

Също така, с оглед на съответната роля на полицейските служби в сектора на правоприлагането, следва да се вземат предвид правилата, уреждащи полицейската дейност. Тъй като полицейската дейност е делегиран въпрос, по отношение на нея в а) Англия и Уелс, б) Шотландия и в) Северна Ирландия (20) се прилагат различни законодателни актове, които обаче често са сходни по съдържание. Освен това в различни видове ръководства се предоставят допълнителни разяснения относно начина, по който следва да се използват правомощията на полицията. Съществуват три основни вида насоки в областта на полицейската дейност: 1) нормативни насоки, издадени съгласно законодателството, като Етичният кодекс (21) и Кодексът за поведение относно управлението на полицейска информация (22), издадени съгласно Закона за полицията от 1996 г. (23), или Кодексът за поведение на Закона за полицията и доказателствата в наказателния процес (24), издаден съгласно Закона за полицията и доказателствата в наказателния процес (25), 2) Ръководството за разрешена професионална практика относно управлението на полицейска информация (26), издадено от Полицейския колеж и 3) оперативните насоки (публикувани от самата полиция). Националният съвет на началниците на полицията (координационен орган за всички полицейски служби на Обединеното кралство) публикува оперативни насоки, които всички полицейски служби са одобрили и които следователно се прилагат на национално равнище (27). Целта на тези насоки е да се осигури съгласуваност между службите по отношение на начина, по който се управлява информацията (28).

20

21

22

23

24

25

26

27

28

| (17) | Кодексът за поведение относно управлението на полицейска информация беше издаден през 2005 г. от министъра, при използване на правомощията, предвидени в член 39А от Закона за полицията от 1996 г. (29). Всеки кодекс за поведение, издаден съгласно Закона за полицията, трябва да бъде одобрен от министъра, като преди внасянето му в парламента е необходимо да се проведе консултация с Националната агенция по престъпността (National Crime Agency). С член 39а, параграф 7 от Закона за полицията се въвежда изискване полицията надлежно да взема предвид кодексите, издадени съгласно Закона, следователно от полицията се очаква да го спазва (30). Освен това ненормативните насоки (като Ръководството за разрешена професионална практика относно управлението на полицейска информация) трябва винаги да са съгласувани с Кодекса за поведение относно управлението на полицейска информация, който се ползва с приоритет спрямо него (31). Във всеки случай, макар че може да има определени оперативни ситуации, при които е необходимо да се отклонят от тези насоки, полицейските служители остават задължени да съблюдават изискванията, определени в част 3 от ЗЗД от 2018 г. (32). |
| --- | --- |

(17)

Кодексът за поведение относно управлението на полицейска информация беше издаден през 2005 г. от министъра, при използване на правомощията, предвидени в член 39А от Закона за полицията от 1996 г. (29). Всеки кодекс за поведение, издаден съгласно Закона за полицията, трябва да бъде одобрен от министъра, като преди внасянето му в парламента е необходимо да се проведе консултация с Националната агенция по престъпността (National Crime Agency). С член 39а, параграф 7 от Закона за полицията се въвежда изискване полицията надлежно да взема предвид кодексите, издадени съгласно Закона, следователно от полицията се очаква да го спазва (30). Освен това ненормативните насоки (като Ръководството за разрешена професионална практика относно управлението на полицейска информация) трябва винаги да са съгласувани с Кодекса за поведение относно управлението на полицейска информация, който се ползва с приоритет спрямо него (31). Във всеки случай, макар че може да има определени оперативни ситуации, при които е необходимо да се отклонят от тези насоки, полицейските служители остават задължени да съблюдават изискванията, определени в част 3 от ЗЗД от 2018 г. (32).

29

National Crime Agency

30

31

32

| (18) | Допълнителни насоки относно законодателството на Обединеното кралство за защита на данните във връзка с обработването в сектора на правоприлагането се предоставят от комисаря по информацията (ICO) (33) (за повече подробности относно ICO вж. съображения 93—109). Въпреки че насоките не са правнообвързващи, по съдебно дело съдът ще бъде задължен да вземе предвид всяко тяхно нарушение, тъй като те имат тълкувателна тежест и показват как законодателството за защита на данните се тълкува и привежда в изпълнение на практика от комисаря (34). |
| --- | --- |

(18)

Допълнителни насоки относно законодателството на Обединеното кралство за защита на данните във връзка с обработването в сектора на правоприлагането се предоставят от комисаря по информацията (ICO) (33) (за повече подробности относно ICO вж. съображения 93—109). Въпреки че насоките не са правнообвързващи, по съдебно дело съдът ще бъде задължен да вземе предвид всяко тяхно нарушение, тъй като те имат тълкувателна тежест и показват как законодателството за защита на данните се тълкува и привежда в изпълнение на практика от комисаря (34).

33

34

| (19) | Накрая, както е посочено в съображения 8—10, правоприлагащите органи на Обединеното кралство трябва да осигурят спазването на ЕКПЧ и Конвенция No 108. |
| --- | --- |

(19)

Накрая, както е посочено в съображения 8—10, правоприлагащите органи на Обединеното кралство трябва да осигурят спазването на ЕКПЧ и Конвенция No 108.

| (20) | Следователно по своята структура и основни компоненти правната уредба за обработването на данни от правоприлагащите органи в областта на наказателното право на Обединеното кралство е много сходна с тази, която се прилага в ЕС. Това включва и факта, че тази уредба се основава не само на предвидени в националното право задължения, които са съобразени с правото на ЕС, но и на задължения, залегнали в международното право, по-специално чрез присъединяването на Обединеното кралство към ЕКПЧ и Конвенция No 108, както и подчиняването му на юрисдикцията на Европейския съд по правата на човека. Следователно тези задължения, които произтичат от правнообвързващи международни инструменти, отнасящи се по-специално до защитата на личните данни, са особено важен елемент от правната уредба, която е предмет на оценка в настоящото решение. |
| --- | --- |

(20)

Следователно по своята структура и основни компоненти правната уредба за обработването на данни от правоприлагащите органи в областта на наказателното право на Обединеното кралство е много сходна с тази, която се прилага в ЕС. Това включва и факта, че тази уредба се основава не само на предвидени в националното право задължения, които са съобразени с правото на ЕС, но и на задължения, залегнали в международното право, по-специално чрез присъединяването на Обединеното кралство към ЕКПЧ и Конвенция No 108, както и подчиняването му на юрисдикцията на Европейския съд по правата на човека. Следователно тези задължения, които произтичат от правнообвързващи международни инструменти, отнасящи се по-специално до защитата на личните данни, са особено важен елемент от правната уредба, която е предмет на оценка в настоящото решение.

2.3.   Материален и териториален обхват

Материален и териториален обхват

| (21) | Материалният обхват на част 3 от ЗЗД от 2018 г. съвпада с този на Директива (ЕС) 2016/680, определен в член 2, параграф 2 от нея. Част 3 се прилага за обработването от компетентен орган на лични данни изцяло или частично с автоматични средства, както и за обработването от компетентен орган с други средства на лични данни, които са част от регистър с лични данни или са предназначени да съставляват част от такъв регистър. |
| --- | --- |

(21)

Материалният обхват на част 3 от ЗЗД от 2018 г. съвпада с този на Директива (ЕС) 2016/680, определен в член 2, параграф 2 от нея. Част 3 се прилага за обработването от компетентен орган на лични данни изцяло или частично с автоматични средства, както и за обработването от компетентен орган с други средства на лични данни, които са част от регистър с лични данни или са предназначени да съставляват част от такъв регистър.

| (22) | Също така, за да попадне в обхвата на посочената част 3, администраторът трябва да бъде „компетентен орган“, а обработването трябва да се извършва за „целите на правоприлагането“. Поради това режимът за защита на данните, който се оценява в настоящото решение, се прилага за всички дейности по правоприлагане на тези компетентни органи. |
| --- | --- |

(22)

Също така, за да попадне в обхвата на посочената част 3, администраторът трябва да бъде „компетентен орган“, а обработването трябва да се извършва за „целите на правоприлагането“. Поради това режимът за защита на данните, който се оценява в настоящото решение, се прилага за всички дейности по правоприлагане на тези компетентни органи.

| (23) | Понятието „компетентен орган“ е определено в член 30 от ЗЗД като лице, посочено в приложение 7 към ЗЗД от 2018 г., както и всяко друго лице, доколкото това лице има законоустановени функции за някоя от целите на правоприлагането. Компетентните органи, изброени в приложение 7, включват не само полицейските служби, но и всички министерски ведомства на Обединеното кралство, както и други органи с функции по разследване (напр. комисаря на Кралската данъчна и митническа служба, органа по приходите на Уелс, Органа за защита на конкуренцията и пазарите, Кралския имотен регистър или Националната агенция по престъпността), органи за наказателно преследване, други органи за наказателно правосъдие и други субекти или организации, които извършват дейности по правоприлагане (35). Част 3 от ЗЗД от 2018 г. се прилага и за съдилищата и трибуналите, когато те упражняват своите правораздавателни функции, с изключение на частта, свързана с правата на субекта на данни и надзора от страна на ICO (36). Списъкът на компетентните органи, представен в приложение 7, не е окончателен и може да бъде актуализиран от министъра с наредби, като се вземат предвид промените в организацията на публичните служби (37). |
| --- | --- |

(23)

Понятието „компетентен орган“ е определено в член 30 от ЗЗД като лице, посочено в приложение 7 към ЗЗД от 2018 г., както и всяко друго лице, доколкото това лице има законоустановени функции за някоя от целите на правоприлагането. Компетентните органи, изброени в приложение 7, включват не само полицейските служби, но и всички министерски ведомства на Обединеното кралство, както и други органи с функции по разследване (напр. комисаря на Кралската данъчна и митническа служба, органа по приходите на Уелс, Органа за защита на конкуренцията и пазарите, Кралския имотен регистър или Националната агенция по престъпността), органи за наказателно преследване, други органи за наказателно правосъдие и други субекти или организации, които извършват дейности по правоприлагане (35). Част 3 от ЗЗД от 2018 г. се прилага и за съдилищата и трибуналите, когато те упражняват своите правораздавателни функции, с изключение на частта, свързана с правата на субекта на данни и надзора от страна на ICO (36). Списъкът на компетентните органи, представен в приложение 7, не е окончателен и може да бъде актуализиран от министъра с наредби, като се вземат предвид промените в организацията на публичните служби (37).

35

36

37

| (24) | Въпросното обработване трябва също така да бъде за „целите на правоприлагането“, определяни като предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществената сигурност и тяхното предотвратяване (38). Обработването от компетентен орган не се урежда от част 3 от ЗЗД от 2018 г., когато не се извършва за целите на правоприлагането. Такъв например ще бъде случаят, когато Органът за защита на конкуренцията и пазарите разследва случаи, които не са инкриминирани (напр. сливания между дружества). В този случай ще се прилага ОРЗД на Обединеното кралство, заедно с част 2 от ЗЗД от 2018 г., тъй като обработването на лични данни от компетентните органи се извършва за цели, различни от целите на правоприлагането. При определянето на приложимия режим за защита на данните (част 3 или част 2 от ЗЗД от 2018 г.) по отношение на въпросното обработване на лични данни компетентният орган, т.е. администраторът, трябва да прецени дали „основната цел“ на това обработване е една от целите на правоприлагането съгласно ЗЗД от 2018 г. |
| --- | --- |

(24)

Въпросното обработване трябва също така да бъде за „целите на правоприлагането“, определяни като предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществената сигурност и тяхното предотвратяване (38). Обработването от компетентен орган не се урежда от част 3 от ЗЗД от 2018 г., когато не се извършва за целите на правоприлагането. Такъв например ще бъде случаят, когато Органът за защита на конкуренцията и пазарите разследва случаи, които не са инкриминирани (напр. сливания между дружества). В този случай ще се прилага ОРЗД на Обединеното кралство, заедно с част 2 от ЗЗД от 2018 г., тъй като обработването на лични данни от компетентните органи се извършва за цели, различни от целите на правоприлагането. При определянето на приложимия режим за защита на данните (част 3 или част 2 от ЗЗД от 2018 г.) по отношение на въпросното обработване на лични данни компетентният орган, т.е. администраторът, трябва да прецени дали „основната цел“ на това обработване е една от целите на правоприлагането съгласно ЗЗД от 2018 г.

38

| (25) | Що се отнася до териториалния обхват на част 3 от ЗЗД от 2018 г., в член 207, параграф 2 се предвижда, че ЗЗД се прилага за обработването на лични данни в контекста на дейността на лице, установено на територията на Обединеното кралство. Това включва публичните органи на територията на Англия, Уелс, Шотландия и Северна Ирландия, които попадат в материалния обхват на част 3 от ЗЗД от 2018 г. (39). |
| --- | --- |

(25)

Що се отнася до териториалния обхват на част 3 от ЗЗД от 2018 г., в член 207, параграф 2 се предвижда, че ЗЗД се прилага за обработването на лични данни в контекста на дейността на лице, установено на територията на Обединеното кралство. Това включва публичните органи на територията на Англия, Уелс, Шотландия и Северна Ирландия, които попадат в материалния обхват на част 3 от ЗЗД от 2018 г. (39).

39

2.3.1.   Определение за лични данни и обработване

Определение за лични данни и обработване

| (26) | Ключовите понятия за лични данни и обработване са определени в член 3 от ЗЗД от 2018 г. и се прилагат в целия ЗЗД. Определенията следват стриктно съответните определения, установени в член 3 от Директива (ЕС) 2016/680. Съгласно ЗЗД от 2018 г. „лични данни“ означава всяка информация, свързана с идентифицирано живо физическо лице или живо физическо лице, което може да бъде идентифицирано (40). Съгласно член 3, параграф 3 от ЗЗД 2018 г. физическо лице, което може да бъде идентифицирано, е лице, което може да бъде идентифицирано, пряко или непряко, въз основа на информацията, включително чрез позоваване на име или идентификатор, или чрез позоваване на един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, икономическата, културната или социалната идентичност на това физическо лице. Понятието „обработване“ се определя като операция или съвкупност от операции, извършвани с информация или набор от информация, като: а) събиране, записване, организиране, структуриране или съхранение; б) адаптиране или промяна; в) извличане, консултиране или използване; г) разкриване чрез предаване, разпространяване или друга форма на осигуряване на достъп до данните; д) подреждане или комбиниране; или е) ограничаване, изтриване или унищожаване. Освен това в Закона „обработване на чувствителни данни“ се определя като: а) обработването на лични данни, разкриващо расов или етнически произход, политически възгледи, религиозни или философски убеждения или членство в професионални съюзи; б) обработването на генетични данни или биометрични данни с цел уникално идентифициране на физическото лице; в) обработването на данни за здравословното състояние; г) обработването на данни, свързани със сексуалния живот или сексуалната ориентация на физическото лице“ (41). В това отношение в член 205 от ЗЗД от 2018 г. се съдържат определенията за „биометрични данни“ (42), „данни за здравословното състояние“ (43) и „генетични данни“ (44). |
| --- | --- |

(26)

Ключовите понятия за лични данни и обработване са определени в член 3 от ЗЗД от 2018 г. и се прилагат в целия ЗЗД. Определенията следват стриктно съответните определения, установени в член 3 от Директива (ЕС) 2016/680. Съгласно ЗЗД от 2018 г. „лични данни“ означава всяка информация, свързана с идентифицирано живо физическо лице или живо физическо лице, което може да бъде идентифицирано (40). Съгласно член 3, параграф 3 от ЗЗД 2018 г. физическо лице, което може да бъде идентифицирано, е лице, което може да бъде идентифицирано, пряко или непряко, въз основа на информацията, включително чрез позоваване на име или идентификатор, или чрез позоваване на един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, икономическата, културната или социалната идентичност на това физическо лице. Понятието „обработване“ се определя като операция или съвкупност от операции, извършвани с информация или набор от информация, като: а) събиране, записване, организиране, структуриране или съхранение; б) адаптиране или промяна; в) извличане, консултиране или използване; г) разкриване чрез предаване, разпространяване или друга форма на осигуряване на достъп до данните; д) подреждане или комбиниране; или е) ограничаване, изтриване или унищожаване. Освен това в Закона „обработване на чувствителни данни“ се определя като: а) обработването на лични данни, разкриващо расов или етнически произход, политически възгледи, религиозни или философски убеждения или членство в професионални съюзи; б) обработването на генетични данни или биометрични данни с цел уникално идентифициране на физическото лице; в) обработването на данни за здравословното състояние; г) обработването на данни, свързани със сексуалния живот или сексуалната ориентация на физическото лице“ (41). В това отношение в член 205 от ЗЗД от 2018 г. се съдържат определенията за „биометрични данни“ (42), „данни за здравословното състояние“ (43) и „генетични данни“ (44).

40

41

42

43

44

| (27) | В член 32 от ЗЗД от 2018 г. се изясняват определенията за „администратор“ и „обработващ лични данни“ в контекста на обработването на лични данни за целите на правоприлагането, като стриктно се следват съответстващите им определения в Директива (ЕС) 2016/680. „Администратор“ означава компетентният орган, който определя целите и средствата за обработването на лични данни. Когато обработването се изисква от закона, администраторът е компетентният орган, на когото се налага такова задължение по съответния закон. „Обработващ лични данни“ се определя като всяко лице, което обработва лични данни от името на администратора (различно от лице, което е служител на администратора). |
| --- | --- |

(27)

В член 32 от ЗЗД от 2018 г. се изясняват определенията за „администратор“ и „обработващ лични данни“ в контекста на обработването на лични данни за целите на правоприлагането, като стриктно се следват съответстващите им определения в Директива (ЕС) 2016/680. „Администратор“ означава компетентният орган, който определя целите и средствата за обработването на лични данни. Когато обработването се изисква от закона, администраторът е компетентният орган, на когото се налага такова задължение по съответния закон. „Обработващ лични данни“ се определя като всяко лице, което обработва лични данни от името на администратора (различно от лице, което е служител на администратора).

2.4.   Гаранции, права и задължения

Гаранции, права и задължения

2.4.1.   Законосъобразност и добросъвестност на обработването

Законосъобразност и добросъвестност на обработването

| (28) | Съгласно член 35 от ЗЗД от 2018 г. обработването на лични данни трябва да бъде законосъобразно и добросъвестно, подобно на изискването по член 4, параграф 1, буква а) от Директива (ЕС) 2016/680. В съответствие с член 35, параграф 2 от ЗЗД от 2018 г. обработването на лични данни за всяка от целите на правоприлагането е законосъобразно само ако е въз основа на правото и ако или субектът на данни е дал съгласие за обработването за тази цел, или обработването е необходимо за изпълнението на задача, осъществявана за тази цел от компетентен орган. |
| --- | --- |

(28)

Съгласно член 35 от ЗЗД от 2018 г. обработването на лични данни трябва да бъде законосъобразно и добросъвестно, подобно на изискването по член 4, параграф 1, буква а) от Директива (ЕС) 2016/680. В съответствие с член 35, параграф 2 от ЗЗД от 2018 г. обработването на лични данни за всяка от целите на правоприлагането е законосъобразно само ако е въз основа на правото и ако или субектът на данни е дал съгласие за обработването за тази цел, или обработването е необходимо за изпълнението на задача, осъществявана за тази цел от компетентен орган.

2.4.1.1.   Обработване въз основа на правото

Обработване въз основа на правото

| (29) | Подобно на разпоредбите на член 8 от Директива (ЕС) 2016/680, за да се осигури законосъобразността на обработването, попадащо в обхвата на част 3 от ЗЗД от 2018 г., това обработване трябва да бъде „въз основа на правото“. „Законосъобразно“ обработване означава разрешено по силата на нормативен акт, общото право или кралски изключителни права (45). |
| --- | --- |

(29)

Подобно на разпоредбите на член 8 от Директива (ЕС) 2016/680, за да се осигури законосъобразността на обработването, попадащо в обхвата на част 3 от ЗЗД от 2018 г., това обработване трябва да бъде „въз основа на правото“. „Законосъобразно“ обработване означава разрешено по силата на нормативен акт, общото право или кралски изключителни права (45).

45

| (30) | Правомощията на компетентните органи като цяло се уреждат от нормативни актове, което означава, че техните функции и правомощия са ясно определени в законодателни актове, приети от Парламента (46). В определени случаи полицията, както и други компетентни органи, изброени в приложение 7 към ЗЗД от 2018 г., могат да се осланят на общото право, за да обработват данни (47). Общото право е създадено чрез прецеденти, установени с решения на съдилищата. Общото право е от значение в контекста на правомощията на полицията, която черпи от този източник на правото основното си задължение да защитава обществеността, като разкрива и предотвратява престъпления (48). Полицейските служби обаче имат както правомощия, произтичащи от общото право, така и законоустановени правомощия (49) да изпълняват това задължение. Когато полицията разполага със законоустановени правомощия, те се ползват с приоритет спрямо всички правомощия по общото право (50). |
| --- | --- |

(30)

Правомощията на компетентните органи като цяло се уреждат от нормативни актове, което означава, че техните функции и правомощия са ясно определени в законодателни актове, приети от Парламента (46). В определени случаи полицията, както и други компетентни органи, изброени в приложение 7 към ЗЗД от 2018 г., могат да се осланят на общото право, за да обработват данни (47). Общото право е създадено чрез прецеденти, установени с решения на съдилищата. Общото право е от значение в контекста на правомощията на полицията, която черпи от този източник на правото основното си задължение да защитава обществеността, като разкрива и предотвратява престъпления (48). Полицейските служби обаче имат както правомощия, произтичащи от общото право, така и законоустановени правомощия (49) да изпълняват това задължение. Когато полицията разполага със законоустановени правомощия, те се ползват с приоритет спрямо всички правомощия по общото право (50).

46

47

48

49

50

| (31) | Обхватът на правомощията и задълженията на полицейския служител по общото право е признат от съдилищата като обхващащ „всички дейности, които според него са необходими за поддържането на мира, предотвратяването на престъпления или защитата на имуществото от престъпления“ (51). Правомощията по общото право не са безусловни. Те подлежат на редица ограничения, включително такива, установени от съдилищата (52) и от законодателството, по-специално Закона за правата на човека от 1998 г. и Закона за равенството от 2010 г. (53). Освен това за компетентните органи, обработващи данни съгласно част 3 от ЗЗД от 2018 г., това включва упражняване на правомощията по общото право в съответствие с изискванията на ЗЗД от 2018 г. (54). Също така при решението за извършване на какъвто и да било вид обработване на данни трябва да се вземат предвид изискванията съгласно приложимите насоки, като например Кодекса за поведение относно управлението на полицейска информация, както и насоките, специфични за някоя от държавите от Обединеното кралство (55). Правителството и оперативните полицейски служби издават редица ръководства, за да се гарантира, че полицейските служители упражняват своите правомощия във връзка с обработването на данни в границите, определени от общото право или съответния нормативен акт (56). |
| --- | --- |

(31)

Обхватът на правомощията и задълженията на полицейския служител по общото право е признат от съдилищата като обхващащ „всички дейности, които според него са необходими за поддържането на мира, предотвратяването на престъпления или защитата на имуществото от престъпления“ (51). Правомощията по общото право не са безусловни. Те подлежат на редица ограничения, включително такива, установени от съдилищата (52) и от законодателството, по-специално Закона за правата на човека от 1998 г. и Закона за равенството от 2010 г. (53). Освен това за компетентните органи, обработващи данни съгласно част 3 от ЗЗД от 2018 г., това включва упражняване на правомощията по общото право в съответствие с изискванията на ЗЗД от 2018 г. (54). Също така при решението за извършване на какъвто и да било вид обработване на данни трябва да се вземат предвид изискванията съгласно приложимите насоки, като например Кодекса за поведение относно управлението на полицейска информация, както и насоките, специфични за някоя от държавите от Обединеното кралство (55). Правителството и оперативните полицейски служби издават редица ръководства, за да се гарантира, че полицейските служители упражняват своите правомощия във връзка с обработването на данни в границите, определени от общото право или съответния нормативен акт (56).

51

52

53

54

55

56

| (32) | Кралските изключителни права представляват друг компонент на „правото“ и се отнасят до определени правомощия, предоставени на Короната и упражнявани от изпълнителната власт, които не се основават на нормативен акт, а произтичат от суверенитета на монарха (57). Много малко са примерите за изключителни правомощия в контекста на правоприлагането. Те включват например рамката за правна взаимопомощ, с която се дава възможност за споделяне на данни от министър с трети държави за целите на правоприлагането, а правомощието за споделяне на данни по този начин невинаги е предвидено в нормативен акт (58). Кралските изключителни права са подчинени на принципите на общото право (59), а нормативните актове имат приоритет над тях, поради което за тях се прилагат ограниченията, предвидени в Закона за правата на човека от 1998 г. и ЗЗД от 2018 г. (60). |
| --- | --- |

(32)

Кралските изключителни права представляват друг компонент на „правото“ и се отнасят до определени правомощия, предоставени на Короната и упражнявани от изпълнителната власт, които не се основават на нормативен акт, а произтичат от суверенитета на монарха (57). Много малко са примерите за изключителни правомощия в контекста на правоприлагането. Те включват например рамката за правна взаимопомощ, с която се дава възможност за споделяне на данни от министър с трети държави за целите на правоприлагането, а правомощието за споделяне на данни по този начин невинаги е предвидено в нормативен акт (58). Кралските изключителни права са подчинени на принципите на общото право (59), а нормативните актове имат приоритет над тях, поради което за тях се прилагат ограниченията, предвидени в Закона за правата на човека от 1998 г. и ЗЗД от 2018 г. (60).

57

58

59

60

| (33) | Съгласно режима на Обединеното кралство, подобно на член 8 от Директива (ЕС) 2016/680, за да бъде спазен принципът на законосъобразност, от компетентните органи се изисква да осигурят, че обработването се основава на правото и че е „необходимо“ за изпълнението на задачата, осъществявана за целите на правоприлагането. ICO дава насоки в това отношение, като пояснява, че „това трябва да бъде целенасочен и пропорционален начин за постигане на целта. Обработването няма да бъде законосъобразно, ако целта може разумно да бъде постигната с други средства, които се характеризират с по-ниска степен на намеса. Не е достатъчно да се твърди, че обработването е необходимо, тъй като сте избрали да извършвате дейността си по определен начин. Въпросът е дали обработването е необходимо за посочената цел“ (61). |
| --- | --- |

(33)

Съгласно режима на Обединеното кралство, подобно на член 8 от Директива (ЕС) 2016/680, за да бъде спазен принципът на законосъобразност, от компетентните органи се изисква да осигурят, че обработването се основава на правото и че е „необходимо“ за изпълнението на задачата, осъществявана за целите на правоприлагането. ICO дава насоки в това отношение, като пояснява, че „това трябва да бъде целенасочен и пропорционален начин за постигане на целта. Обработването няма да бъде законосъобразно, ако целта може разумно да бъде постигната с други средства, които се характеризират с по-ниска степен на намеса. Не е достатъчно да се твърди, че обработването е необходимо, тъй като сте избрали да извършвате дейността си по определен начин. Въпросът е дали обработването е необходимо за посочената цел“ (61).

61

2.4.1.2.   Обработване въз основа на „съгласието“ на субекта на данни

Обработване въз основа на „съгласието“ на субекта на данни

| (34) | Както е посочено в съображение 28, в член 35, параграф 2 от ЗЗД от 2018 г. се предвижда възможността да се обработват лични данни въз основа на „съгласието“ на физическото лице. |
| --- | --- |

(34)

Както е посочено в съображение 28, в член 35, параграф 2 от ЗЗД от 2018 г. се предвижда възможността да се обработват лични данни въз основа на „съгласието“ на физическото лице.

| (35) | Съгласието обаче не изглежда да е правно основание от значение за операциите по обработване, попадащи в обхвата на настоящото решение. Всъщност операциите по обработване, обхванати от настоящото решение, винаги ще се отнасят до данни, които са били предадени съгласно Директива (ЕС) 2016/680 от компетентен орган на държава членка на компетентен орган на Обединеното кралство. Поради това те обикновено няма да включват вида пряко взаимодействие (събиране) между публичен орган и субекти на данни, което може да се основава на съгласие съгласно член 35, параграф 2, буква а) от ЗЗД от 2018 г. |
| --- | --- |

(35)

Съгласието обаче не изглежда да е правно основание от значение за операциите по обработване, попадащи в обхвата на настоящото решение. Всъщност операциите по обработване, обхванати от настоящото решение, винаги ще се отнасят до данни, които са били предадени съгласно Директива (ЕС) 2016/680 от компетентен орган на държава членка на компетентен орган на Обединеното кралство. Поради това те обикновено няма да включват вида пряко взаимодействие (събиране) между публичен орган и субекти на данни, което може да се основава на съгласие съгласно член 35, параграф 2, буква а) от ЗЗД от 2018 г.

| (36) | Макар поради тази причина да се счита, че използването на съгласие не е от значение за оценката, извършвана съгласно настоящото решение, от съображения за изчерпателност следва да се отбележи, че в контекста на правоприлагането обработването никога не се основава единствено на съгласие, тъй като компетентният орган трябва винаги да има основно правомощие, което му позволява да обработва данните (62). По-конкретно, и подобно на това, което е разрешено съгласно Директива (ЕС) 2016/680 (63), това означава, че съгласието служи като допълнително условие за някои ограничени и специфични операции по обработване, които в противен случай не би било възможно да се извършат, например събирането и обработването на проба ДНК от физическо лице, което не е заподозряно. В този случай обработването няма да се извърши, ако не е дадено съгласие или ако то е било оттеглено (64). |
| --- | --- |

(36)

Макар поради тази причина да се счита, че използването на съгласие не е от значение за оценката, извършвана съгласно настоящото решение, от съображения за изчерпателност следва да се отбележи, че в контекста на правоприлагането обработването никога не се основава единствено на съгласие, тъй като компетентният орган трябва винаги да има основно правомощие, което му позволява да обработва данните (62). По-конкретно, и подобно на това, което е разрешено съгласно Директива (ЕС) 2016/680 (63), това означава, че съгласието служи като допълнително условие за някои ограничени и специфични операции по обработване, които в противен случай не би било възможно да се извършат, например събирането и обработването на проба ДНК от физическо лице, което не е заподозряно. В този случай обработването няма да се извърши, ако не е дадено съгласие или ако то е било оттеглено (64).

62

63

64

| (37) | В случаите, когато се изисква съгласието на физическото лице, това съгласие трябва да бъде недвусмислено и да включва ясно потвърждаващо действие (65). От полицейските служби се изисква да разполагат с декларация за поверителност, включваща, наред с другото, необходимата информация, свързана с валидното използване на съгласието. Освен това някои от тях публикуват допълнителни материали за това как спазват законодателството за защита на данните, включително как и кога биха използвали съгласието като правно основание (66). |
| --- | --- |

(37)

В случаите, когато се изисква съгласието на физическото лице, това съгласие трябва да бъде недвусмислено и да включва ясно потвърждаващо действие (65). От полицейските служби се изисква да разполагат с декларация за поверителност, включваща, наред с другото, необходимата информация, свързана с валидното използване на съгласието. Освен това някои от тях публикуват допълнителни материали за това как спазват законодателството за защита на данните, включително как и кога биха използвали съгласието като правно основание (66).

65

66

2.4.1.3.   Обработване на чувствителни данни

Обработване на чувствителни данни

| (38) | Когато се обработват „специални категории данни“, следва да има специфични гаранции. В това отношение, подобно на предвиденото в член 10 от Директива (ЕС) 2016/680, в част 3 от ЗЗД от 2018 г. се предвиждат по-строги гаранции за така нареченото „обработване на чувствителни данни“ (67). |
| --- | --- |

(38)

Когато се обработват „специални категории данни“, следва да има специфични гаранции. В това отношение, подобно на предвиденото в член 10 от Директива (ЕС) 2016/680, в част 3 от ЗЗД от 2018 г. се предвиждат по-строги гаранции за така нареченото „обработване на чувствителни данни“ (67).

67

| (39) | Съгласно член 35, параграф 3 от ЗЗД от 1998 г. чувствителни данни може да бъдат обработвани от компетентните органи за целите на правоприлагането само в два случая: 1) субектът на данни е дал съгласието си за обработването за целите на правоприлагането и към момента на извършване на обработването администраторът има подходящ документ за политиката (68); или 2) обработването е строго необходимо за целите на правоприлагането, отговаря на поне едно от условията в приложение 8 към ЗЗД от 2018 г. и към момента на извършване на обработването администраторът има подходящ документ за политиката (69). |
| --- | --- |

(39)

Съгласно член 35, параграф 3 от ЗЗД от 1998 г. чувствителни данни може да бъдат обработвани от компетентните органи за целите на правоприлагането само в два случая: 1) субектът на данни е дал съгласието си за обработването за целите на правоприлагането и към момента на извършване на обработването администраторът има подходящ документ за политиката (68); или 2) обработването е строго необходимо за целите на правоприлагането, отговаря на поне едно от условията в приложение 8 към ЗЗД от 2018 г. и към момента на извършване на обработването администраторът има подходящ документ за политиката (69).

68

69

| (40) | Що се отнася до първия случай и както е обяснено в съображение 38, използването на съгласие не се счита за относимо с оглед на вида на прехвърлянето, което е предмет на настоящото решение (70). |
| --- | --- |

(40)

Що се отнася до първия случай и както е обяснено в съображение 38, използването на съгласие не се счита за относимо с оглед на вида на прехвърлянето, което е предмет на настоящото решение (70).

70

| (41) | Когато обработването на чувствителни данни не се основава на съгласие, то може да се извърши при спазване на едно от условията, изброени в приложение 8 към ЗЗД от 2018 г. Тези условия са свързани с обработване, необходимо за законоустановени цели; правораздаване; защита на жизненоважните интереси на субекта на данни или на друго физическо лице, защита на деца и на лица, изложени на риск; правни претенции; съдебни актове; предотвратяване на измами; архивиране; когато личните данни явно са направени обществено достояние от субекта на данни. Освен случая, когато данните явно са направени обществено достояние, всички условия, предвидени в приложение 8, подлежат на проверка за изпълнение на критерия „строга необходимост“. Както е пояснено от ICO, „строго необходимо в този контекст означава, че обработването трябва да е свързано с належаща обществена нужда, която не можете разумно да постигнете със средства, които се характеризират с по-ниска степен на намеса“ (71). Освен това някои от условията са предмет на допълнителни ограничения. Например, за да се използват условията за „законоустановени цели“ и за „защита на деца и на лица, изложени на риск“ (приложение 8, точки 1 и 4), трябва да се приложи допълнителен критерий за наличие на важен обществен интерес. Освен това, що се отнася до условието за защита на деца (приложение 8, точка 4), субектът на данни също така трябва да е на определена възраст и да се счита за изложен на риск. Освен това администраторът може да приложи условието, предвидено в приложение 8, точка 4, само при специфични обстоятелства (72). Аналогично съществуват ограничения за условията „съдебни актове“ и „предотвратяване на измами“ (приложение 8, съответно точки 7 и 8). И двете са приложими само за определени администратори. Само съд или друг съдебен орган може да използва условието „съдебни актове“ и само администратори, които са организации за борба с измамите, могат да използват условието „предотвратяване на измами“. |
| --- | --- |

(41)

Когато обработването на чувствителни данни не се основава на съгласие, то може да се извърши при спазване на едно от условията, изброени в приложение 8 към ЗЗД от 2018 г. Тези условия са свързани с обработване, необходимо за законоустановени цели; правораздаване; защита на жизненоважните интереси на субекта на данни или на друго физическо лице, защита на деца и на лица, изложени на риск; правни претенции; съдебни актове; предотвратяване на измами; архивиране; когато личните данни явно са направени обществено достояние от субекта на данни. Освен случая, когато данните явно са направени обществено достояние, всички условия, предвидени в приложение 8, подлежат на проверка за изпълнение на критерия „строга необходимост“. Както е пояснено от ICO, „строго необходимо в този контекст означава, че обработването трябва да е свързано с належаща обществена нужда, която не можете разумно да постигнете със средства, които се характеризират с по-ниска степен на намеса“ (71). Освен това някои от условията са предмет на допълнителни ограничения. Например, за да се използват условията за „законоустановени цели“ и за „защита на деца и на лица, изложени на риск“ (приложение 8, точки 1 и 4), трябва да се приложи допълнителен критерий за наличие на важен обществен интерес. Освен това, що се отнася до условието за защита на деца (приложение 8, точка 4), субектът на данни също така трябва да е на определена възраст и да се счита за изложен на риск. Освен това администраторът може да приложи условието, предвидено в приложение 8, точка 4, само при специфични обстоятелства (72). Аналогично съществуват ограничения за условията „съдебни актове“ и „предотвратяване на измами“ (приложение 8, съответно точки 7 и 8). И двете са приложими само за определени администратори. Само съд или друг съдебен орган може да използва условието „съдебни актове“ и само администратори, които са организации за борба с измамите, могат да използват условието „предотвратяване на измами“.

71

72

| (42) | И накрая, когато обработването се основава на едно от условията, изброени в приложение 8 и съответно в член 42 от ЗЗД от 2018 г., трябва да има „подходящ документ за политиката“, в който се обясняват процедурите на администратора за гарантиране на спазването на принципите за защита на данните и политиките на администратора по отношение на съхранението и изтриването на лични данни, и се прилагат задълженията за водене на разширен регистър. |
| --- | --- |

(42)

И накрая, когато обработването се основава на едно от условията, изброени в приложение 8 и съответно в член 42 от ЗЗД от 2018 г., трябва да има „подходящ документ за политиката“, в който се обясняват процедурите на администратора за гарантиране на спазването на принципите за защита на данните и политиките на администратора по отношение на съхранението и изтриването на лични данни, и се прилагат задълженията за водене на разширен регистър.

2.4.2.   Ограничаване в рамките на целта

Ограничаване в рамките на целта

| (43) | Личните данни следва да се обработват с конкретна цел и впоследствие да се използват само дотолкова, доколкото употребата им не е несъвместима с целта на обработването. Този принцип на защита на данните е гарантиран от член 36 от ЗЗД от 2018 г. Съгласно тази разпоредба, подобно на член 4, параграф 1, буква б) от Директива (ЕС) 2016/680, се изисква а) целта, свързана с правоприлагането, за която се събират лични данни, във всеки един случай да бъде конкретна, изрично указана и легитимна, и б) така събраните лични данни да не се обработват по начин, който е несъвместим с целта, за която са били събрани. |
| --- | --- |

(43)

Личните данни следва да се обработват с конкретна цел и впоследствие да се използват само дотолкова, доколкото употребата им не е несъвместима с целта на обработването. Този принцип на защита на данните е гарантиран от член 36 от ЗЗД от 2018 г. Съгласно тази разпоредба, подобно на член 4, параграф 1, буква б) от Директива (ЕС) 2016/680, се изисква а) целта, свързана с правоприлагането, за която се събират лични данни, във всеки един случай да бъде конкретна, изрично указана и легитимна, и б) така събраните лични данни да не се обработват по начин, който е несъвместим с целта, за която са били събрани.

| (44) | Когато компетентните органи обработват данни за целите на правоприлагането, това може да включва архивиране, научни или исторически изследвания и статистически цели (73). В тези случаи ЗЗД от 2018 г. пояснява също, че архивирането (или обработването за научни или исторически изследвания и статистически цели) не е разрешено, когато се извършва по отношение на решения, взети във връзка с конкретен субект на данни, или ако има вероятност да му причини значителни имуществени или неимуществени вреди (74). |
| --- | --- |

(44)

Когато компетентните органи обработват данни за целите на правоприлагането, това може да включва архивиране, научни или исторически изследвания и статистически цели (73). В тези случаи ЗЗД от 2018 г. пояснява също, че архивирането (или обработването за научни или исторически изследвания и статистически цели) не е разрешено, когато се извършва по отношение на решения, взети във връзка с конкретен субект на данни, или ако има вероятност да му причини значителни имуществени или неимуществени вреди (74).

73

74

2.4.3.   Точност и свеждане на данните до минимум

Точност и свеждане на данните до минимум

| (45) | Данните трябва да бъдат точни и при необходимост да бъдат поддържани в актуален вид. Те трябва също така да са подходящи, относими и да не надхвърлят необходимото във връзка с целите, за които се обработват. Подобно на член 4, параграф 1, букви в), г) и д) от Директива (ЕС) 2016/680, тези принципи са гарантирани в членове 37 и 38 от ЗЗД от 2018 г. Трябва да се предприемат всички разумни стъпки, за да се гарантира, че неточните (75) лични данни се изтриват или коригират незабавно (76), като се взема предвид целта, свързана с правоприлагането, за която се обработват (77), и за да се гарантира, че лични данни, които са неточни, непълни или вече не са актуални, не се предават или предоставят за някоя от целите на правоприлагането (78). |
| --- | --- |

(45)

Данните трябва да бъдат точни и при необходимост да бъдат поддържани в актуален вид. Те трябва също така да са подходящи, относими и да не надхвърлят необходимото във връзка с целите, за които се обработват. Подобно на член 4, параграф 1, букви в), г) и д) от Директива (ЕС) 2016/680, тези принципи са гарантирани в членове 37 и 38 от ЗЗД от 2018 г. Трябва да се предприемат всички разумни стъпки, за да се гарантира, че неточните (75) лични данни се изтриват или коригират незабавно (76), като се взема предвид целта, свързана с правоприлагането, за която се обработват (77), и за да се гарантира, че лични данни, които са неточни, непълни или вече не са актуални, не се предават или предоставят за някоя от целите на правоприлагането (78).

75

76

77

78

| (46) | Освен това, подобно на член 7 от Директива (ЕС) 2016/680, режимът за защита на данните на Обединеното кралство предвижда, че доколкото е възможно, личните данни, основани на факти, трябва да се разграничават от личните данни, основани на лични оценки (79). Когато е уместно и доколкото е възможно, трябва да се прави ясно разграничение между личните данни, отнасящи се до различни категории субекти на данни, като заподозрени, осъдени за престъпление, пострадали от престъпление и свидетели (80). |
| --- | --- |

(46)

Освен това, подобно на член 7 от Директива (ЕС) 2016/680, режимът за защита на данните на Обединеното кралство предвижда, че доколкото е възможно, личните данни, основани на факти, трябва да се разграничават от личните данни, основани на лични оценки (79). Когато е уместно и доколкото е възможно, трябва да се прави ясно разграничение между личните данни, отнасящи се до различни категории субекти на данни, като заподозрени, осъдени за престъпление, пострадали от престъпление и свидетели (80).

79

80

2.4.4.   Ограничение на съхранението

Ограничение на съхранението

| (47) | Съгласно член 5 от Директива (ЕС) 2016/680 като общо правило данните следва да се съхраняват за период, не по-дълъг от необходимото за целите, за които личните данни се обработват. Съгласно член 39 от ЗЗД от 2018 г. и подобно на член 5 от посочената директива се забранява да се съхраняват лични данни, обработвани за която и да е от целите на правоприлагането, за период, по-дълъг от необходимото във връзка с целта, за която се обработват. Правният режим на Обединеното кралство изисква да бъдат определени подходящи срокове за периодичния преглед на необходимостта от продължаване на съхраняването на лични данни за всяка от целите на правоприлагането. Допълнителни правила относно практиките, свързани със съхранението на лични данни, и приложимите срокове са определени в съответното законодателство и насоките, уреждащи правомощията и функционирането на полицията. Например в Англия и Уелс Кодексът за поведение относно управлението на полицейска информация на Полицейския колеж и Ръководството за разрешена професионална практика относно управлението на полицейска информация осигуряват рамка за гарантиране на последователен процес на съхранение, преглед и унищожаване, основан на риска, за управлението на оперативната полицейска информация (81). Тази рамка определя ясни очаквания в рамките на службата относно начина, по който информацията следва да бъде създавана, споделяна, използвана и управлявана в отделните полицейски служби и други агенции и между тях (82). От полицията се очаква да спазва Кодекса за поведение, а съответствието се проверява от Кралския инспекторат на полицейските, противопожарните и спасителните служби (83). |
| --- | --- |

(47)

Съгласно член 5 от Директива (ЕС) 2016/680 като общо правило данните следва да се съхраняват за период, не по-дълъг от необходимото за целите, за които личните данни се обработват. Съгласно член 39 от ЗЗД от 2018 г. и подобно на член 5 от посочената директива се забранява да се съхраняват лични данни, обработвани за която и да е от целите на правоприлагането, за период, по-дълъг от необходимото във връзка с целта, за която се обработват. Правният режим на Обединеното кралство изисква да бъдат определени подходящи срокове за периодичния преглед на необходимостта от продължаване на съхраняването на лични данни за всяка от целите на правоприлагането. Допълнителни правила относно практиките, свързани със съхранението на лични данни, и приложимите срокове са определени в съответното законодателство и насоките, уреждащи правомощията и функционирането на полицията. Например в Англия и Уелс Кодексът за поведение относно управлението на полицейска информация на Полицейския колеж и Ръководството за разрешена професионална практика относно управлението на полицейска информация осигуряват рамка за гарантиране на последователен процес на съхранение, преглед и унищожаване, основан на риска, за управлението на оперативната полицейска информация (81). Тази рамка определя ясни очаквания в рамките на службата относно начина, по който информацията следва да бъде създавана, споделяна, използвана и управлявана в отделните полицейски служби и други агенции и между тях (82). От полицията се очаква да спазва Кодекса за поведение, а съответствието се проверява от Кралския инспекторат на полицейските, противопожарните и спасителните служби (83).

81

82

83

| (48) | Полицейската служба на Северна Ирландия не е задължена по закон да спазва Кодекса за поведение относно управлението на полицейска информация. Рамката относно управлението на полицейска информация, приета през 2011 г., обаче е допълнена от Наръчник на полицейската служба на Северна Ирландия (84), в който се определят политики и процедури за начина, по който Кодексът за поведение относно управлението на полицейска информация се прилага в Северна Ирландия. |
| --- | --- |

(48)

Полицейската служба на Северна Ирландия не е задължена по закон да спазва Кодекса за поведение относно управлението на полицейска информация. Рамката относно управлението на полицейска информация, приета през 2011 г., обаче е допълнена от Наръчник на полицейската служба на Северна Ирландия (84), в който се определят политики и процедури за начина, по който Кодексът за поведение относно управлението на полицейска информация се прилага в Северна Ирландия.

84

| (49) | В Шотландия полицейските служби използват стандартна оперативна процедура (СОП) за съхраняване на информация (85), която подпомага политиката за управление на информацията на полицейската служба на Шотландия (86). СОП определя специфични правила за съхранение на информацията, съхранявана от полицията на Шотландия. |
| --- | --- |

(49)

В Шотландия полицейските служби използват стандартна оперативна процедура (СОП) за съхраняване на информация (85), която подпомага политиката за управление на информацията на полицейската служба на Шотландия (86). СОП определя специфични правила за съхранение на информацията, съхранявана от полицията на Шотландия.

85

86

| (50) | В допълнение към общото изискване за преглед на съхраняваната информация, което се прилага в цялото Обединено кралство, допълнителни подробности са предоставени в местни правила. Например в Англия и Уелс Законът за полицията и доказателствата в наказателния процес, изменен със Закона за защита на свободите от 2012 г., урежда съхранението на пръстови отпечатъци и ДНК профили, както и специален режим за лица, които не са осъдени (87). В Закона за защита на свободите беше създадена и длъжността комисар по въпросите на съхранението и използването на биометричен материал („комисарят по биометричните въпроси“) (88). Специфични правила относно фотографирането при задържане са изложени в Прегледа на фотографирането при задържане (Custody Image Review) от 2017 г. (89). В Шотландия Наказателно-процесуалният закон (Шотландия) от 1995 г. предвижда правила за получаване и съхранение на дактилоскопични и биологични проби (90). Подобно на Англия и Уелс, законодателството урежда съхранението на биометрични данни в различни случаи (91). |
| --- | --- |

(50)

В допълнение към общото изискване за преглед на съхраняваната информация, което се прилага в цялото Обединено кралство, допълнителни подробности са предоставени в местни правила. Например в Англия и Уелс Законът за полицията и доказателствата в наказателния процес, изменен със Закона за защита на свободите от 2012 г., урежда съхранението на пръстови отпечатъци и ДНК профили, както и специален режим за лица, които не са осъдени (87). В Закона за защита на свободите беше създадена и длъжността комисар по въпросите на съхранението и използването на биометричен материал („комисарят по биометричните въпроси“) (88). Специфични правила относно фотографирането при задържане са изложени в Прегледа на фотографирането при задържане (Custody Image Review) от 2017 г. (89). В Шотландия Наказателно-процесуалният закон (Шотландия) от 1995 г. предвижда правила за получаване и съхранение на дактилоскопични и биологични проби (90). Подобно на Англия и Уелс, законодателството урежда съхранението на биометрични данни в различни случаи (91).

87

88

89

90

91

2.4.5.   Сигурност на данните

Сигурност на данните

| (51) | Личните данни трябва да се обработват по начин, който гарантира тяхната сигурност, включително защита срещу неразрешено или незаконосъобразно обработване и срещу случайна загуба, унищожаване или повреждане. За тази цел публичните органи трябва да предприемат подходящи технически или организационни мерки за защита на личните данни от възможни заплахи. Тези мерки трябва да се оценяват, като се вземат предвид достиженията на техническия прогрес и съответните разходи. |
| --- | --- |

(51)

Личните данни трябва да се обработват по начин, който гарантира тяхната сигурност, включително защита срещу неразрешено или незаконосъобразно обработване и срещу случайна загуба, унищожаване или повреждане. За тази цел публичните органи трябва да предприемат подходящи технически или организационни мерки за защита на личните данни от възможни заплахи. Тези мерки трябва да се оценяват, като се вземат предвид достиженията на техническия прогрес и съответните разходи.

| (52) | Тези принципи са отразени в член 40 от ЗЗД от 2018 г., съгласно който, подобно на член 4, параграф 1, буква е) от Директива (ЕС) 2016/680, личните данни, обработвани за целите на правоприлагането, трябва да се обработват по начин, който гарантира подходящо ниво на сигурност на личните данни, като се прилагат подходящи технически или организационни мерки. Това включва защита на данните срещу неразрешено или незаконосъобразно обработване и срещу случайна загуба, унищожаване или повреждане (92). В член 66 от ЗЗД от 2018 г. допълнително се уточнява, че всеки администратор и всеки обработващ лични данни трябва да прилагат подходящи технически и организационни мерки, за да гарантират ниво на сигурност, съответстващо на рисковете, произтичащи от обработването на лични данни. Съгласно обяснителните бележки администраторът трябва да оцени рисковете и да приложи подходящи мерки за сигурност въз основа на тази оценка, например криптиране или специфични нива на разрешение за достъп за персонала, обработващ данните (93). При оценката трябва също така да се вземат предвид, например, естеството на обработваните данни и всички други значими фактори или обстоятелства, които биха могли да засегнат сигурността на обработването. |
| --- | --- |

(52)

Тези принципи са отразени в член 40 от ЗЗД от 2018 г., съгласно който, подобно на член 4, параграф 1, буква е) от Директива (ЕС) 2016/680, личните данни, обработвани за целите на правоприлагането, трябва да се обработват по начин, който гарантира подходящо ниво на сигурност на личните данни, като се прилагат подходящи технически или организационни мерки. Това включва защита на данните срещу неразрешено или незаконосъобразно обработване и срещу случайна загуба, унищожаване или повреждане (92). В член 66 от ЗЗД от 2018 г. допълнително се уточнява, че всеки администратор и всеки обработващ лични данни трябва да прилагат подходящи технически и организационни мерки, за да гарантират ниво на сигурност, съответстващо на рисковете, произтичащи от обработването на лични данни. Съгласно обяснителните бележки администраторът трябва да оцени рисковете и да приложи подходящи мерки за сигурност въз основа на тази оценка, например криптиране или специфични нива на разрешение за достъп за персонала, обработващ данните (93). При оценката трябва също така да се вземат предвид, например, естеството на обработваните данни и всички други значими фактори или обстоятелства, които биха могли да засегнат сигурността на обработването.

92

93

| (53) | Режимът, уреждащ спазването на принципите за сигурност на данните, е много подобен на режима, установен в членове 29—31 от Директива (ЕС) 2016/680. По-специално, в случай на нарушение на сигурността на личните данни във връзка с лични данни, за които администраторът носи отговорност, съгласно член 67, параграф 1 от ЗЗД от 2018 г. администраторът трябва, без излишно забавяне и когато това е осъществимо, в рамките на 72 часа, след като е узнал за нарушението, да уведоми комисаря по информацията за нарушението на сигурността на личните данни (94). Задължението за уведомяване не се прилага, ако няма вероятност нарушението на сигурността на личните данни да доведе до риск за правата и свободите на физическите лица (95). Администраторът трябва да документира фактите, свързани с всяко нарушение на сигурността на личните данни, последиците от него и предприетите действия за справяне с него по начин, който дава възможност на комисаря по информацията да провери съответствието със ЗЗД (96). Ако обработващият лични данни узнае за нарушение на сигурността, той трябва да уведоми администратора без излишно забавяне (97). |
| --- | --- |

(53)

Режимът, уреждащ спазването на принципите за сигурност на данните, е много подобен на режима, установен в членове 29—31 от Директива (ЕС) 2016/680. По-специално, в случай на нарушение на сигурността на личните данни във връзка с лични данни, за които администраторът носи отговорност, съгласно член 67, параграф 1 от ЗЗД от 2018 г. администраторът трябва, без излишно забавяне и когато това е осъществимо, в рамките на 72 часа, след като е узнал за нарушението, да уведоми комисаря по информацията за нарушението на сигурността на личните данни (94). Задължението за уведомяване не се прилага, ако няма вероятност нарушението на сигурността на личните данни да доведе до риск за правата и свободите на физическите лица (95). Администраторът трябва да документира фактите, свързани с всяко нарушение на сигурността на личните данни, последиците от него и предприетите действия за справяне с него по начин, който дава възможност на комисаря по информацията да провери съответствието със ЗЗД (96). Ако обработващият лични данни узнае за нарушение на сигурността, той трябва да уведоми администратора без излишно забавяне (97).

94

95

96

97

| (54) | Съгласно член 68, параграф 1 от ЗЗД от 2018 г., когато има вероятност нарушението на сигурността на личните данни да доведе до висок риск за правата и свободите на физическите лица, администраторът трябва да съобщи на субекта на данни за нарушението без излишно забавяне (98). Съобщението трябва да съдържа същата информация като уведомлението до комисаря по информацията, описано в съображение 53. Това задължение не се прилага, ако администраторът е предприел подходящи технически и организационни мерки за защита и тези мерки са били приложени по отношение на личните данни, засегнати от нарушението. То също така не се прилага, ако администраторът е взел впоследствие мерки, които гарантират, че вече няма вероятност да се материализира високият риск за правата и свободите на субектите на данни. И накрая, администраторът не е длъжен да уведомява субекта на данни, ако това то би довело до непропорционални усилия (99). В този случай информацията трябва да бъде предоставена на разположение на субекта на данни по друг също толкова ефективен начин, например чрез публично съобщение (100). Ако администраторът не е информирал субекта на данни за нарушението, комисарят по информацията, след като е бил уведомен съгласно раздел 67 от ЗЗД и след като отчете каква е вероятността нарушението на сигурността на личните данни да породи висок риск, може да изиска от администратора да съобщи на субекта на данни за нарушението (101). |
| --- | --- |

(54)

Съгласно член 68, параграф 1 от ЗЗД от 2018 г., когато има вероятност нарушението на сигурността на личните данни да доведе до висок риск за правата и свободите на физическите лица, администраторът трябва да съобщи на субекта на данни за нарушението без излишно забавяне (98). Съобщението трябва да съдържа същата информация като уведомлението до комисаря по информацията, описано в съображение 53. Това задължение не се прилага, ако администраторът е предприел подходящи технически и организационни мерки за защита и тези мерки са били приложени по отношение на личните данни, засегнати от нарушението. То също така не се прилага, ако администраторът е взел впоследствие мерки, които гарантират, че вече няма вероятност да се материализира високият риск за правата и свободите на субектите на данни. И накрая, администраторът не е длъжен да уведомява субекта на данни, ако това то би довело до непропорционални усилия (99). В този случай информацията трябва да бъде предоставена на разположение на субекта на данни по друг също толкова ефективен начин, например чрез публично съобщение (100). Ако администраторът не е информирал субекта на данни за нарушението, комисарят по информацията, след като е бил уведомен съгласно раздел 67 от ЗЗД и след като отчете каква е вероятността нарушението на сигурността на личните данни да породи висок риск, може да изиска от администратора да съобщи на субекта на данни за нарушението (101).

98

99

100

101

2.4.6.   Прозрачност

Прозрачност

| (55) | Субектите на данни трябва да бъдат информирани за основните характеристики на обработването на техните лични данни. Този принцип на защита на данните е отразен в член 44 от ЗЗД от 2018 г., в който, подобно на член 13 от Директива (ЕС) 2016/680, се предвижда, че администраторът има общо задължение да предоставя на субектите на данни информация относно обработването на техните лични данни (чрез предоставяне на свободно достъпна за обществеността информация или по друг начин) (102). Информацията, която се изисква да бъде предоставена, включва а) данни за идентифициране и координатите за връзка на администратора; б) координатите за връзка на длъжностното лице по защита на данните, когато е приложимо; в) целите, за които администраторът обработва лични данни; г) съществуването на права на субектите на данни да изискват от администратора достъп до, коригиране или изтриване на лични данни и ограничаване на обработването им; и д) съществуването на право да бъде подадена жалба до комисаря по информацията и координатите за връзка с комисаря (103). |
| --- | --- |

(55)

Субектите на данни трябва да бъдат информирани за основните характеристики на обработването на техните лични данни. Този принцип на защита на данните е отразен в член 44 от ЗЗД от 2018 г., в който, подобно на член 13 от Директива (ЕС) 2016/680, се предвижда, че администраторът има общо задължение да предоставя на субектите на данни информация относно обработването на техните лични данни (чрез предоставяне на свободно достъпна за обществеността информация или по друг начин) (102). Информацията, която се изисква да бъде предоставена, включва а) данни за идентифициране и координатите за връзка на администратора; б) координатите за връзка на длъжностното лице по защита на данните, когато е приложимо; в) целите, за които администраторът обработва лични данни; г) съществуването на права на субектите на данни да изискват от администратора достъп до, коригиране или изтриване на лични данни и ограничаване на обработването им; и д) съществуването на право да бъде подадена жалба до комисаря по информацията и координатите за връзка с комисаря (103).

102

103

| (56) | Администраторът трябва също така да предостави на субекта на данни, в конкретни случаи и с цел да му се даде възможност да упражни правата си по ЗЗД от 2018 г. (например когато обработваните лични данни са били събрани без знанието на субекта на данни), информация относно а) правното основание на обработването; б) срока, за който ще се съхраняват личните данни, а ако това е невъзможно — критериите, използвани за определяне на този срок; в) когато е приложимо, категориите получатели на личните данни (включително получатели в трети държави или международни организации); г) допълнителна информация, необходима за упражняването на правата на субекта на данни съгласно част 3 от ЗЗД от 2018 г. (104). |
| --- | --- |

(56)

Администраторът трябва също така да предостави на субекта на данни, в конкретни случаи и с цел да му се даде възможност да упражни правата си по ЗЗД от 2018 г. (например когато обработваните лични данни са били събрани без знанието на субекта на данни), информация относно а) правното основание на обработването; б) срока, за който ще се съхраняват личните данни, а ако това е невъзможно — критериите, използвани за определяне на този срок; в) когато е приложимо, категориите получатели на личните данни (включително получатели в трети държави или международни организации); г) допълнителна информация, необходима за упражняването на правата на субекта на данни съгласно част 3 от ЗЗД от 2018 г. (104).

104

2.4.7.   Индивидуални права

Индивидуални права

| (57) | На субектите на данни трябва да бъдат предоставени редица приложими права. Глава 3, част 3 от ЗЗД от 2018 г. предоставя на физическите лица права на достъп, коригиране, изтриване и ограничаване (105), които са сравними с предвидените в глава 3 от Директива (ЕС) 2016/680. |
| --- | --- |

(57)

На субектите на данни трябва да бъдат предоставени редица приложими права. Глава 3, част 3 от ЗЗД от 2018 г. предоставя на физическите лица права на достъп, коригиране, изтриване и ограничаване (105), които са сравними с предвидените в глава 3 от Директива (ЕС) 2016/680.

105

| (58) | Правото на достъп е уредено в член 45 от ЗЗД от 2018 г. Първо, дадено физическо лице има право да получи потвърждение от администратора дали неговите лични данни се обработват или не (106). Второ, когато се обработват лични данни, субектът на данни има право да получи достъп до тези данни и следната информация относно обработването: а) целите и правното основание за обработването; б) обработваните категории данни; в) получателя, пред когото са разкрити данните; г) срока, за който ще се съхраняват личните данни; д) съществуването на право на субекта на данни да изиска коригиране и изтриване на лични данни; е) правото да се подаде жалба; и ж) всякаква налична информация относно произхода на съответните лични данни (107). |
| --- | --- |

(58)

Правото на достъп е уредено в член 45 от ЗЗД от 2018 г. Първо, дадено физическо лице има право да получи потвърждение от администратора дали неговите лични данни се обработват или не (106). Второ, когато се обработват лични данни, субектът на данни има право да получи достъп до тези данни и следната информация относно обработването: а) целите и правното основание за обработването; б) обработваните категории данни; в) получателя, пред когото са разкрити данните; г) срока, за който ще се съхраняват личните данни; д) съществуването на право на субекта на данни да изиска коригиране и изтриване на лични данни; е) правото да се подаде жалба; и ж) всякаква налична информация относно произхода на съответните лични данни (107).

106

107

| (59) | Съгласно член 46 от ЗЗД от 2018 г. субектът на данни има право да изиска от администратора да коригира неточни лични данни, отнасящи се до него. Администраторът трябва да коригира данните (или когато данните са неточни, защото са непълни, да ги допълни) без излишно забавяне. Ако личните данни трябва да се съхраняват за доказателствени цели, администраторът трябва (вместо да коригира личните данни) да ограничи обработването им (108). |
| --- | --- |

(59)

Съгласно член 46 от ЗЗД от 2018 г. субектът на данни има право да изиска от администратора да коригира неточни лични данни, отнасящи се до него. Администраторът трябва да коригира данните (или когато данните са неточни, защото са непълни, да ги допълни) без излишно забавяне. Ако личните данни трябва да се съхраняват за доказателствени цели, администраторът трябва (вместо да коригира личните данни) да ограничи обработването им (108).

108

| (60) | Член 47 от ЗЗД от 2018 г. предоставя на физическите лица право на изтриване и ограничаване на обработването. Администраторът трябва (109) да изтрие личните данни без излишно забавяне, когато обработването на личните данни би нарушило някой от принципите за защита на данните, правните основания за обработването или гаранциите, свързани с архивирането и обработването на чувствителни данни. Администраторът трябва също така да изтрие данните, ако има правно задължение да направи това. Ако личните данни трябва да се съхраняват за доказателствени цели, администраторът трябва (вместо да изтрие личните данни) да ограничи обработването им (110). Администраторът трябва да ограничи обработването на лични данни, ако субектът на данни оспорва точността на личните данни, но не е възможно да се установи дали те са точни или не (111). |
| --- | --- |

(60)

Член 47 от ЗЗД от 2018 г. предоставя на физическите лица право на изтриване и ограничаване на обработването. Администраторът трябва (109) да изтрие личните данни без излишно забавяне, когато обработването на личните данни би нарушило някой от принципите за защита на данните, правните основания за обработването или гаранциите, свързани с архивирането и обработването на чувствителни данни. Администраторът трябва също така да изтрие данните, ако има правно задължение да направи това. Ако личните данни трябва да се съхраняват за доказателствени цели, администраторът трябва (вместо да изтрие личните данни) да ограничи обработването им (110). Администраторът трябва да ограничи обработването на лични данни, ако субектът на данни оспорва точността на личните данни, но не е възможно да се установи дали те са точни или не (111).

109

110

111

| (61) | Когато субект на данни поиска коригиране или изтриване на лични данни или ограничаване на обработването им, администраторът трябва писмено да уведоми субекта на данни дали искането е удовлетворено, а при отказ — да информира субекта на данни за причините за отказа и за наличните възможности за правна защита (правото на субекта на данни да отправи искане до комисаря по информацията да разследва дали ограничението е било приложено законно, правото да подаде жалба до комисаря по информацията и правото да поиска от съда заповед за изпълнение) (112). |
| --- | --- |

(61)

Когато субект на данни поиска коригиране или изтриване на лични данни или ограничаване на обработването им, администраторът трябва писмено да уведоми субекта на данни дали искането е удовлетворено, а при отказ — да информира субекта на данни за причините за отказа и за наличните възможности за правна защита (правото на субекта на данни да отправи искане до комисаря по информацията да разследва дали ограничението е било приложено законно, правото да подаде жалба до комисаря по информацията и правото да поиска от съда заповед за изпълнение) (112).

112

| (62) | Когато администраторът коригира лични данни, получени от друг компетентен орган, той трябва да уведоми другия орган (113). Когато администраторът коригира, изтрие или ограничи обработването на лични данни, които са били разкрити от администратора, администраторът трябва да уведоми получателите, а получателите трябва също така да коригират, изтрият или ограничат обработването на личните данни (доколкото те запазват отговорността си за тях) (114). |
| --- | --- |

(62)

Когато администраторът коригира лични данни, получени от друг компетентен орган, той трябва да уведоми другия орган (113). Когато администраторът коригира, изтрие или ограничи обработването на лични данни, които са били разкрити от администратора, администраторът трябва да уведоми получателите, а получателите трябва също така да коригират, изтрият или ограничат обработването на личните данни (доколкото те запазват отговорността си за тях) (114).

113

114

| (63) | Освен това субектът на данни има право да бъде информиран без излишно забавяне от администратора за нарушение на сигурността на личните данни, когато има вероятност то да породи висок риск за правата и свободите на физическите лица (115). |
| --- | --- |

(63)

Освен това субектът на данни има право да бъде информиран без излишно забавяне от администратора за нарушение на сигурността на личните данни, когато има вероятност то да породи висок риск за правата и свободите на физическите лица (115).

115

| (64) | По отношение на всички тези права на субекта на данни и подобно на предвиденото в член 12 от Директива (ЕС) 2016/680 администраторът е длъжен да гарантира, че всяка информация, която се предоставя на субекта на данни, е в сбита, разбираема и леснодостъпна форма (116) и при възможност се предоставя в същата форма като тази на искането (117). Администраторът трябва да изпълни искането на субекта на данни без излишно забавяне или във всички случаи, като общо правило, в срок от един месец от искането (118). Когато администраторът има основателни опасения във връзка със самоличността на дадено лице, той може да поиска допълнителна информация и да отложи разглеждането на искането до установяването на самоличността. Администраторът може да начисли такса в разумен размер или да откаже да предприеме действия, когато счете искането за очевидно неоснователно (119). ICO предостави насоки за това кога дадено искане се счита за очевидно неоснователно или прекомерно и кога може да бъде начислена такса (120). |
| --- | --- |

(64)

По отношение на всички тези права на субекта на данни и подобно на предвиденото в член 12 от Директива (ЕС) 2016/680 администраторът е длъжен да гарантира, че всяка информация, която се предоставя на субекта на данни, е в сбита, разбираема и леснодостъпна форма (116) и при възможност се предоставя в същата форма като тази на искането (117). Администраторът трябва да изпълни искането на субекта на данни без излишно забавяне или във всички случаи, като общо правило, в срок от един месец от искането (118). Когато администраторът има основателни опасения във връзка със самоличността на дадено лице, той може да поиска допълнителна информация и да отложи разглеждането на искането до установяването на самоличността. Администраторът може да начисли такса в разумен размер или да откаже да предприеме действия, когато счете искането за очевидно неоснователно (119). ICO предостави насоки за това кога дадено искане се счита за очевидно неоснователно или прекомерно и кога може да бъде начислена такса (120).

116

117

118

119

120

| (65) | Освен това съгласно член 53, параграф 4 от ЗЗД от 2018 г. министърът може с наредба да определи максималния размер на таксата. |
| --- | --- |

(65)

Освен това съгласно член 53, параграф 4 от ЗЗД от 2018 г. министърът може с наредба да определи максималния размер на таксата.

2.4.7.1.   Ограничения на правата на субекта на данни и задължения за прозрачност

Ограничения на правата на субекта на данни и задължения за прозрачност

| (66) | При определени обстоятелства компетентен орган може да ограничи някои права на субекта на данни: правото на достъп (121), на информация (122), да бъде уведомен за нарушение на сигурността на личните данни (123) и да бъде информиран за причината за отказ на искане за коригиране или изтриване на данни (124). Подобно на режима, който се съдържа в глава III от Директива (ЕС) 2016/680, компетентният орган може да прилага ограничението само когато то е необходимо и пропорционално, като се вземат предвид основните права и легитимните интереси на субекта на данни, за да: а) се избегне възпрепятстването на официални или съдебни проучвания, разследвания или процедури; б) не се допусне неблагоприятно влияние върху предотвратяването, разкриването, разследването или наказателното преследване на престъпления или изпълнението на наказания; в) се защити обществената сигурност; г) се защити националната сигурност; д) се защитят правата и свободите на други лица. |
| --- | --- |

(66)

При определени обстоятелства компетентен орган може да ограничи някои права на субекта на данни: правото на достъп (121), на информация (122), да бъде уведомен за нарушение на сигурността на личните данни (123) и да бъде информиран за причината за отказ на искане за коригиране или изтриване на данни (124). Подобно на режима, който се съдържа в глава III от Директива (ЕС) 2016/680, компетентният орган може да прилага ограничението само когато то е необходимо и пропорционално, като се вземат предвид основните права и легитимните интереси на субекта на данни, за да: а) се избегне възпрепятстването на официални или съдебни проучвания, разследвания или процедури; б) не се допусне неблагоприятно влияние върху предотвратяването, разкриването, разследването или наказателното преследване на престъпления или изпълнението на наказания; в) се защити обществената сигурност; г) се защити националната сигурност; д) се защитят правата и свободите на други лица.

121

122

123

124

| (67) | ICO предостави насоки за прилагането на тези ограничения. Съгласно тези насоки администраторите трябва да извършат анализ на всеки отделен случай, за да постигнат баланс между правата на лицето и вредата, която би настъпила в резултат на разкриването. По-специално те трябва да обосноват необходимостта и пропорционалността на всяко прилагано ограничение и могат да ограничат предоставяната информация само ако това би засегнало горепосочените цели (125). |
| --- | --- |

(67)

ICO предостави насоки за прилагането на тези ограничения. Съгласно тези насоки администраторите трябва да извършат анализ на всеки отделен случай, за да постигнат баланс между правата на лицето и вредата, която би настъпила в резултат на разкриването. По-специално те трябва да обосноват необходимостта и пропорционалността на всяко прилагано ограничение и могат да ограничат предоставяната информация само ако това би засегнало горепосочените цели (125).

125

| (68) | Съществуват и редица други насоки, издадени от компетентните органи, които предоставят подробна информация относно всички аспекти на законодателството за защита на данните, включително относно прилагането на ограниченията на правата на субектите на данни (126). Например в Наръчника за защита на данните на Националния съвет на началниците на полицията се посочва следното по отношение на член 45, параграф 4: „Важно е да се отбележи, че ограниченията могат да се прилагат само доколкото и докато е необходимо. Следователно не се допуска общо прилагане на ограничението по отношение на всички лични данни на заявителя или постоянно прилагане на ограничението. По последния въпрос често е необходимо личните данни, събрани без знанието на субект на данни, който е заподозрян в рамките на разследване, първоначално да бъдат защитени от разкриване пред него, за да се избегне неблагоприятно влияние върху разследването, докато то е в ход, но на по-късен етап не биха настъпили вреди от разкриването им, ако те са били разкрити пред лицето по време на разпит. Полицейските служби трябва да приемат процедури, които гарантират, че прилагането на тези ограничения е само в необходимата степен и само за необходимия срок“ (127). В споменатите насоки се дават и примери за това в кои случаи е вероятно да се приложи всяко едно от ограниченията (128). |
| --- | --- |

(68)

Съществуват и редица други насоки, издадени от компетентните органи, които предоставят подробна информация относно всички аспекти на законодателството за защита на данните, включително относно прилагането на ограниченията на правата на субектите на данни (126). Например в Наръчника за защита на данните на Националния съвет на началниците на полицията се посочва следното по отношение на член 45, параграф 4: „Важно е да се отбележи, че ограниченията могат да се прилагат само доколкото и докато е необходимо. Следователно не се допуска общо прилагане на ограничението по отношение на всички лични данни на заявителя или постоянно прилагане на ограничението. По последния въпрос често е необходимо личните данни, събрани без знанието на субект на данни, който е заподозрян в рамките на разследване, първоначално да бъдат защитени от разкриване пред него, за да се избегне неблагоприятно влияние върху разследването, докато то е в ход, но на по-късен етап не биха настъпили вреди от разкриването им, ако те са били разкрити пред лицето по време на разпит. Полицейските служби трябва да приемат процедури, които гарантират, че прилагането на тези ограничения е само в необходимата степен и само за необходимия срок“ (127). В споменатите насоки се дават и примери за това в кои случаи е вероятно да се приложи всяко едно от ограниченията (128).

126

127

128

| (69) | Освен това във връзка с възможността за ограничаване на което и да е от горепосочените права за защита на „националната сигурност“ администраторът може да подаде заявление за удостоверение, подписано от министър или от главния прокурор (или генералния адвокат на Шотландия), удостоверяващо, че ограничаването на тези права представлява необходима и пропорционална мярка за защита на националната сигурност (129). Правителството на Обединеното кралство издаде насоки относно удостоверенията за национална сигурност съгласно ЗЗД от 2018 г., в които по-специално се подчертава, че всяко ограничаване на правата на субектите на данни с цел опазване на националната сигурност трябва да бъде пропорционално и необходимо (130) (за повече информация относно удостоверенията за национална сигурност вж. съображения 131—134). |
| --- | --- |

(69)

Освен това във връзка с възможността за ограничаване на което и да е от горепосочените права за защита на „националната сигурност“ администраторът може да подаде заявление за удостоверение, подписано от министър или от главния прокурор (или генералния адвокат на Шотландия), удостоверяващо, че ограничаването на тези права представлява необходима и пропорционална мярка за защита на националната сигурност (129). Правителството на Обединеното кралство издаде насоки относно удостоверенията за национална сигурност съгласно ЗЗД от 2018 г., в които по-специално се подчертава, че всяко ограничаване на правата на субектите на данни с цел опазване на националната сигурност трябва да бъде пропорционално и необходимо (130) (за повече информация относно удостоверенията за национална сигурност вж. съображения 131—134).

129

130

| (70) | Освен това, когато се прилага ограничение на правото на субект на данни, компетентният орган трябва без излишно забавяне да информира субекта на данни, че правата му са били ограничени, за причините за ограничението и за наличните възможности за правна защита, освен ако предоставянето на тази информация би подкопало причината за прилагане на ограничението (131). Като допълнителна гаранция срещу злоупотребата с ограничения администраторът трябва да документира причините за ограничаване на информацията и при поискване да предостави записа на комисаря по информацията (132). |
| --- | --- |

(70)

Освен това, когато се прилага ограничение на правото на субект на данни, компетентният орган трябва без излишно забавяне да информира субекта на данни, че правата му са били ограничени, за причините за ограничението и за наличните възможности за правна защита, освен ако предоставянето на тази информация би подкопало причината за прилагане на ограничението (131). Като допълнителна гаранция срещу злоупотребата с ограничения администраторът трябва да документира причините за ограничаване на информацията и при поискване да предостави записа на комисаря по информацията (132).

131

132

| (71) | Ако администраторът откаже да предостави допълнителна информация, свързана с прозрачността, или откаже да предостави достъп или да изпълни искане за коригиране или изтриване на данни, или за ограничаване на обработването, лицето може да поиска от комисаря по информацията да разследва дали администраторът е приложил ограничението в съответствие със закона (133). Засегнатото лице може също така да подаде жалба до комисаря по информацията или да поиска от съда да разпореди на администратора да изпълни искането (134). |
| --- | --- |

(71)

Ако администраторът откаже да предостави допълнителна информация, свързана с прозрачността, или откаже да предостави достъп или да изпълни искане за коригиране или изтриване на данни, или за ограничаване на обработването, лицето може да поиска от комисаря по информацията да разследва дали администраторът е приложил ограничението в съответствие със закона (133). Засегнатото лице може също така да подаде жалба до комисаря по информацията или да поиска от съда да разпореди на администратора да изпълни искането (134).

133

134

2.4.7.2.   Автоматизирано вземане на решения

Автоматизирано вземане на решения

| (72) | Членове 49 и 50 от ЗЗД от 2018 г. обхващат съответно правата, свързани с автоматизираното вземане на решения, и гаранциите, които трябва да се прилагат (135). Подобно на член 11 от Директива (ЕС) 2016/680, администраторът може да вземе важно решение, основаващо се единствено на автоматизирано обработване на лични данни, само ако това се изисква или разрешава от закона (136). Решението е важно, ако би породило неблагоприятни правни последици за субекта на данни или би засегнало значително субекта на данни (137). |
| --- | --- |

(72)

Членове 49 и 50 от ЗЗД от 2018 г. обхващат съответно правата, свързани с автоматизираното вземане на решения, и гаранциите, които трябва да се прилагат (135). Подобно на член 11 от Директива (ЕС) 2016/680, администраторът може да вземе важно решение, основаващо се единствено на автоматизирано обработване на лични данни, само ако това се изисква или разрешава от закона (136). Решението е важно, ако би породило неблагоприятни правни последици за субекта на данни или би засегнало значително субекта на данни (137).

135

136

137

| (73) | Когато администраторът е задължен или оправомощен по закон да вземе важно решение, член 50 от ЗЗД от 2018 г. определя гаранциите, които ще се прилагат по отношение на такова решение (което е определено като „отговарящо на условията важно решение“). Администраторът трябва, веднага щом това е разумно осъществимо, да уведоми субекта на данни, че е взето такова решение. След това в рамките на един месец субектът на данни може да поиска от администратора да преразгледа решението или да вземе ново решение, което не се основава единствено на автоматизирано обработване. Администраторът трябва да разгледа искането и да информира субекта на данни за резултата от това разглеждане. ЗЗД от 2018 г. предоставя на министъра правомощието да приема наредби за допълнителни гаранции (138). Такива наредби все още не са приети. |
| --- | --- |

(73)

Когато администраторът е задължен или оправомощен по закон да вземе важно решение, член 50 от ЗЗД от 2018 г. определя гаранциите, които ще се прилагат по отношение на такова решение (което е определено като „отговарящо на условията важно решение“). Администраторът трябва, веднага щом това е разумно осъществимо, да уведоми субекта на данни, че е взето такова решение. След това в рамките на един месец субектът на данни може да поиска от администратора да преразгледа решението или да вземе ново решение, което не се основава единствено на автоматизирано обработване. Администраторът трябва да разгледа искането и да информира субекта на данни за резултата от това разглеждане. ЗЗД от 2018 г. предоставя на министъра правомощието да приема наредби за допълнителни гаранции (138). Такива наредби все още не са приети.

138

2.4.8.   Последващо предаване

Последващо предаване

| (74) | Нивото на защита на личните данни, предавани от правоприлагащ орган на държава членка на правоприлагащ орган на Обединеното кралство, не трябва да бъде подкопавано от по-нататъшно предаване на такива данни на получатели в трета държава. Подобно „последващо предаване“, което от гледна точка на правоприлагащ орган на Обединеното кралство представлява международно предаване на данни от Обединеното кралство, следва да бъде разрешено само когато новият получател извън Обединеното кралство също е обвързан от правила, гарантиращи ниво на защита, сходно с това в правния ред на Обединеното кралство. |
| --- | --- |

(74)

Нивото на защита на личните данни, предавани от правоприлагащ орган на държава членка на правоприлагащ орган на Обединеното кралство, не трябва да бъде подкопавано от по-нататъшно предаване на такива данни на получатели в трета държава. Подобно „последващо предаване“, което от гледна точка на правоприлагащ орган на Обединеното кралство представлява международно предаване на данни от Обединеното кралство, следва да бъде разрешено само когато новият получател извън Обединеното кралство също е обвързан от правила, гарантиращи ниво на защита, сходно с това в правния ред на Обединеното кралство.

| (75) | Режимът на Обединеното кралство по отношение на международното предаване на данни се урежда от глава 5, част 3 от ЗЗД от 2018 г. (139) и отразява подхода, възприет в глава V от Директива (ЕС) 2016/680. По-специално, за да предаде лични данни на трета държава, компетентният орган трябва да отговаря на три условия: а) предаването трябва да е необходимо за целите на правоприлагането; б) предаването трябва да се основава на: i) наредба относно адекватното ниво на защита по отношение на третата държава, ii) ако не се основава на наредба относно адекватното ниво на защита, то трябва да се основава на наличието на подходящи гаранции, или iii) ако не се основава на решение относно адекватното ниво на защита или подходящи гаранции, то трябва да се основава на специални обстоятелства; и в) получателят на предаването трябва да бъде: i) съответен орган (т.е. еквивалентен на компетентния орган) в третата държава; ii) „съответна международна организация“, например международен орган, който изпълнява функции, съответстващи на някоя от целите на правоприлагането; или iii) лице, различно от съответния орган, но само когато предаването е строго необходимо за изпълнението на една от целите на правоприлагането; не е налице предимство на основни права и свободи на съответния субект на данни пред обществения интерес, изискващ предаването; предаването на личните данни на съответния орган в третата държава би било неефективно или неподходящо; и получателят е информиран за целите, за които данните могат да бъдат обработвани (140). |
| --- | --- |

(75)

Режимът на Обединеното кралство по отношение на международното предаване на данни се урежда от глава 5, част 3 от ЗЗД от 2018 г. (139) и отразява подхода, възприет в глава V от Директива (ЕС) 2016/680. По-специално, за да предаде лични данни на трета държава, компетентният орган трябва да отговаря на три условия: а) предаването трябва да е необходимо за целите на правоприлагането; б) предаването трябва да се основава на: i) наредба относно адекватното ниво на защита по отношение на третата държава, ii) ако не се основава на наредба относно адекватното ниво на защита, то трябва да се основава на наличието на подходящи гаранции, или iii) ако не се основава на решение относно адекватното ниво на защита или подходящи гаранции, то трябва да се основава на специални обстоятелства; и в) получателят на предаването трябва да бъде: i) съответен орган (т.е. еквивалентен на компетентния орган) в третата държава; ii) „съответна международна организация“, например международен орган, който изпълнява функции, съответстващи на някоя от целите на правоприлагането; или iii) лице, различно от съответния орган, но само когато предаването е строго необходимо за изпълнението на една от целите на правоприлагането; не е налице предимство на основни права и свободи на съответния субект на данни пред обществения интерес, изискващ предаването; предаването на личните данни на съответния орган в третата държава би било неефективно или неподходящо; и получателят е информиран за целите, за които данните могат да бъдат обработвани (140).

139

140

| (76) | Разпоредбите относно адекватното ниво на защита по отношение на трета държава, територия или сектор в трета държава, международна организация или описание (141) на такава държава, територия, сектор или организация се приемат от министъра. Що се отнася до стандарта, който трябва да бъде спазен, министърът трябва да прецени дали такава територия/сектор/организация осигурява адекватно ниво на защита на личните данни. В член 74а, параграф 4 от ЗЗД от 2018 г. се уточнява, че за тази цел министърът трябва да вземе предвид редица елементи, които са отражение на елементите, изброени в член 36 от Директива (ЕС) 2016/680 (142). В това отношение, след края на преходния период, част 3 от ЗЗД от 2018 г. представлява „произтичащото от правото на ЕС национално законодателство“, което, както беше обяснено, ще бъде тълкувано от съдилищата на Обединеното кралство в съответствие с приложимата съдебна практика на Съда, датираща отпреди излизането на Обединеното кралство от Съюза, и общите принципи на правото на Съюза, тъй като те са били в сила непосредствено преди края на преходния период. Това включва стандарта за „равностойност по същество“, който съответно ще се прилага за оценките на адекватното ниво на защита, извършвани от органите на Обединеното кралство. |
| --- | --- |

(76)

Разпоредбите относно адекватното ниво на защита по отношение на трета държава, територия или сектор в трета държава, международна организация или описание (141) на такава държава, територия, сектор или организация се приемат от министъра. Що се отнася до стандарта, който трябва да бъде спазен, министърът трябва да прецени дали такава територия/сектор/организация осигурява адекватно ниво на защита на личните данни. В член 74а, параграф 4 от ЗЗД от 2018 г. се уточнява, че за тази цел министърът трябва да вземе предвид редица елементи, които са отражение на елементите, изброени в член 36 от Директива (ЕС) 2016/680 (142). В това отношение, след края на преходния период, част 3 от ЗЗД от 2018 г. представлява „произтичащото от правото на ЕС национално законодателство“, което, както беше обяснено, ще бъде тълкувано от съдилищата на Обединеното кралство в съответствие с приложимата съдебна практика на Съда, датираща отпреди излизането на Обединеното кралство от Съюза, и общите принципи на правото на Съюза, тъй като те са били в сила непосредствено преди края на преходния период. Това включва стандарта за „равностойност по същество“, който съответно ще се прилага за оценките на адекватното ниво на защита, извършвани от органите на Обединеното кралство.

141

142

| (77) | Що се отнася до процедурата, спрямо наредбите се прилагат „общите“ процесуални изисквания, предвидени в член 182 от ЗЗД от 2018 г. В рамките на тази процедура, когато предлага да се приемат бъдещи наредби на Обединеното кралство относно адекватното ниво на защита (143), министърът трябва да се консултира с комисаря по информацията. След като бъдат приети от министъра, тези наредби се представят пред Парламента и спрямо тях се прилага процедурата за „отрицателна резолюция“, съгласно която и двете камари на Парламента могат да осъществят контрол на наредбата и имат правомощието да приемат предложение за отмяна на наредбата в срок от 40 дни (144). |
| --- | --- |

(77)

Що се отнася до процедурата, спрямо наредбите се прилагат „общите“ процесуални изисквания, предвидени в член 182 от ЗЗД от 2018 г. В рамките на тази процедура, когато предлага да се приемат бъдещи наредби на Обединеното кралство относно адекватното ниво на защита (143), министърът трябва да се консултира с комисаря по информацията. След като бъдат приети от министъра, тези наредби се представят пред Парламента и спрямо тях се прилага процедурата за „отрицателна резолюция“, съгласно която и двете камари на Парламента могат да осъществят контрол на наредбата и имат правомощието да приемат предложение за отмяна на наредбата в срок от 40 дни (144).

143

144

| (78) | Съгласно член 74B, параграф 1 от ЗЗД от 2018 г. наредбите относно адекватното ниво на защита трябва да бъдат преразглеждани на интервали, не по-дълги от четири години, а министърът трябва постоянно да следи за събития в трети държави и международни организации, които биха могли да засегнат решенията за приемане на наредби относно адекватното ниво на защита или за изменение или отмяна на такива наредби. Когато министърът узнае, че дадена държава или организация вече не осигурява адекватно ниво на защита на личните данни, той трябва, доколкото е необходимо, да измени или отмени наредбите и да започне консултации със съответната трета държава или международна организация с цел да се отстрани липсата на адекватно ниво на защита. |
| --- | --- |

(78)

Съгласно член 74B, параграф 1 от ЗЗД от 2018 г. наредбите относно адекватното ниво на защита трябва да бъдат преразглеждани на интервали, не по-дълги от четири години, а министърът трябва постоянно да следи за събития в трети държави и международни организации, които биха могли да засегнат решенията за приемане на наредби относно адекватното ниво на защита или за изменение или отмяна на такива наредби. Когато министърът узнае, че дадена държава или организация вече не осигурява адекватно ниво на защита на личните данни, той трябва, доколкото е необходимо, да измени или отмени наредбите и да започне консултации със съответната трета държава или международна организация с цел да се отстрани липсата на адекватно ниво на защита.

| (79) | Подобно на предвиденото в член 37 от Директива (ЕС) 2016/680, при липсата на наредба относно адекватното ниво на защита предаването на лични данни в контекста на сектора на правоприлагането би било възможно, когато са налице подходящи гаранции. Такива гаранции се осигуряват чрез а) правнообвързващ инструмент, в който са предвидени подходящи гаранции за защитата на личните данни; или б) оценка, извършена от администратора, който, след оценка на всички обстоятелства около предаването, е стигнал до заключението, че по отношение на защитата на личните данни съществуват подходящи гаранции (145). Освен това, когато предаването се основава на подходящи гаранции, в ЗЗД от 2018 г. се предвижда, че в допълнение към обичайната надзорна роля на ICO компетентните органи трябва да предоставят на ICO конкретна информация за предаването на данни (146). |
| --- | --- |

(79)

Подобно на предвиденото в член 37 от Директива (ЕС) 2016/680, при липсата на наредба относно адекватното ниво на защита предаването на лични данни в контекста на сектора на правоприлагането би било възможно, когато са налице подходящи гаранции. Такива гаранции се осигуряват чрез а) правнообвързващ инструмент, в който са предвидени подходящи гаранции за защитата на личните данни; или б) оценка, извършена от администратора, който, след оценка на всички обстоятелства около предаването, е стигнал до заключението, че по отношение на защитата на личните данни съществуват подходящи гаранции (145). Освен това, когато предаването се основава на подходящи гаранции, в ЗЗД от 2018 г. се предвижда, че в допълнение към обичайната надзорна роля на ICO компетентните органи трябва да предоставят на ICO конкретна информация за предаването на данни (146).

145

146

| (80) | Ако предаването не се основава на решение относно адекватното ниво на защита или на подходящи гаранции, то може да се осъществи само при определени специфични обстоятелства, наричани „особени обстоятелства“ (147). Такъв е случаят, когато предаването е необходимо: а) за да бъдат защитени жизненоважни интереси на субекта на данни или на друго лице; б) за да бъдат защитени легитимни интереси на субекта на данни; в) за предотвратяване на непосредствена и сериозна заплаха за обществената сигурност на трета държава; г) в отделни случаи — за някоя от целите на правоприлагането; или д) в отделни случаи — с правна цел (напр. във връзка със съдебни производства или с цел получаване на правни съвети) (148). Може да се отбележи, че букви г) и д) не се прилагат, ако правата и свободите на субекта на данни надделяват над обществения интерес от предаването (149). Този набор от обстоятелства съответства на специфичните ситуации и условия, които се определят като „дерогации“ съгласно член 38 от Директива (ЕС) 2016/680. |
| --- | --- |

(80)

Ако предаването не се основава на решение относно адекватното ниво на защита или на подходящи гаранции, то може да се осъществи само при определени специфични обстоятелства, наричани „особени обстоятелства“ (147). Такъв е случаят, когато предаването е необходимо: а) за да бъдат защитени жизненоважни интереси на субекта на данни или на друго лице; б) за да бъдат защитени легитимни интереси на субекта на данни; в) за предотвратяване на непосредствена и сериозна заплаха за обществената сигурност на трета държава; г) в отделни случаи — за някоя от целите на правоприлагането; или д) в отделни случаи — с правна цел (напр. във връзка със съдебни производства или с цел получаване на правни съвети) (148). Може да се отбележи, че букви г) и д) не се прилагат, ако правата и свободите на субекта на данни надделяват над обществения интерес от предаването (149). Този набор от обстоятелства съответства на специфичните ситуации и условия, които се определят като „дерогации“ съгласно член 38 от Директива (ЕС) 2016/680.

147

148

149

| (81) | При тези обстоятелства датата, часът и обосновката на предаването, името и всяка друга относима информация за получателя и описанието на предадените лични данни трябва да бъдат документирани и при поискване предоставени на комисаря по информацията (150). |
| --- | --- |

(81)

При тези обстоятелства датата, часът и обосновката на предаването, името и всяка друга относима информация за получателя и описанието на предадените лични данни трябва да бъдат документирани и при поискване предоставени на комисаря по информацията (150).

150

| (82) | В член 78 от ЗЗД от 2018 г. се урежда случаят на „последващо предаване“, а именно когато лични данни, които са били предадени от Обединеното кралство на трета държава, впоследствие се предават на друга трета държава или на международна организация. В съответствие с член 78, параграф 1 предаващият администратор от Обединеното кралство трябва да постави като условие за предаването данните да не бъдат допълнително предавани на трета държава без разрешението на предаващия администратор. Освен това съгласно член 78, параграф 3 и подобно на предвиденото в член 35, параграф 1, буква д) от Директива (ЕС) 2016/680, в случай че се изисква такова разрешение, се прилагат редица материалноправни изисквания. По-конкретно, когато решава дали да разреши предаването или не, компетентният орган трябва да се увери, че по-нататъшното предаване е необходимо за целите на правоприлагането, и следва да вземе предвид, наред с други фактори, а) сериозността на обстоятелствата, довели до искането за разрешение, б) целта, за която личните данни са били първоначално предадени, и в) стандартите за защита на личните данни, които се прилагат в третата държава или международната организация, на която ще бъдат предадени личните данни. |
| --- | --- |

(82)

В член 78 от ЗЗД от 2018 г. се урежда случаят на „последващо предаване“, а именно когато лични данни, които са били предадени от Обединеното кралство на трета държава, впоследствие се предават на друга трета държава или на международна организация. В съответствие с член 78, параграф 1 предаващият администратор от Обединеното кралство трябва да постави като условие за предаването данните да не бъдат допълнително предавани на трета държава без разрешението на предаващия администратор. Освен това съгласно член 78, параграф 3 и подобно на предвиденото в член 35, параграф 1, буква д) от Директива (ЕС) 2016/680, в случай че се изисква такова разрешение, се прилагат редица материалноправни изисквания. По-конкретно, когато решава дали да разреши предаването или не, компетентният орган трябва да се увери, че по-нататъшното предаване е необходимо за целите на правоприлагането, и следва да вземе предвид, наред с други фактори, а) сериозността на обстоятелствата, довели до искането за разрешение, б) целта, за която личните данни са били първоначално предадени, и в) стандартите за защита на личните данни, които се прилагат в третата държава или международната организация, на която ще бъдат предадени личните данни.

| (83) | Освен това се прилагат допълнителни гаранции, когато данните, обект на последващо предаване от Обединеното кралство, първоначално са били прехвърлени от Европейския съюз. |
| --- | --- |

(83)

Освен това се прилагат допълнителни гаранции, когато данните, обект на последващо предаване от Обединеното кралство, първоначално са били прехвърлени от Европейския съюз.

| (84) | Първо, подобно на член 35, параграф 1, буква в) от Директива (ЕС) 2016/680, в член 73, параграф 1, буква b) от ЗЗД от 2018 г. се предвижда, че в случаите, когато личните данни първоначално са били предадени или предоставени по друг начин на администратора или на друг компетентен орган от държава членка, тази държава членка или който и да било субект, установен в тази държава членка, който е компетентен орган за целите на Директива (ЕС) 2016/680, трябва да са дали разрешение за предаването в съответствие с правото на държавата членка. |
| --- | --- |

(84)

Първо, подобно на член 35, параграф 1, буква в) от Директива (ЕС) 2016/680, в член 73, параграф 1, буква b) от ЗЗД от 2018 г. се предвижда, че в случаите, когато личните данни първоначално са били предадени или предоставени по друг начин на администратора или на друг компетентен орган от държава членка, тази държава членка или който и да било субект, установен в тази държава членка, който е компетентен орган за целите на Директива (ЕС) 2016/680, трябва да са дали разрешение за предаването в съответствие с правото на държавата членка.

| (85) | Подобно на член 35, параграф 2 от Директива (ЕС) 2016/680 обаче такова разрешение не се изисква, когато: а) предаването е необходимо за предотвратяването на непосредствена и сериозна заплаха за обществената сигурност на държава членка или на трета държава, или за основните интереси на държава членка, и б) разрешението не може да бъде получено своевременно. В този случай органът в държавата членка, който би бил отговорен за вземането на решение дали да разреши прехвърлянето, трябва да бъде информиран незабавно (151). |
| --- | --- |

(85)

Подобно на член 35, параграф 2 от Директива (ЕС) 2016/680 обаче такова разрешение не се изисква, когато: а) предаването е необходимо за предотвратяването на непосредствена и сериозна заплаха за обществената сигурност на държава членка или на трета държава, или за основните интереси на държава членка, и б) разрешението не може да бъде получено своевременно. В този случай органът в държавата членка, който би бил отговорен за вземането на решение дали да разреши прехвърлянето, трябва да бъде информиран незабавно (151).

151

| (86) | Второ, същият подход се прилага и в случай на данни, първоначално предадени от Европейския съюз на Обединеното кралство, след това предадени от Обединеното кралство на трета държава, която впоследствие ще ги предаде на трета държава. В този случай съгласно член 78, параграф 4 компетентният орган на Обединеното кралство не може да даде разрешение за последното предаване съгласно член 78, параграф 1, освен ако „държавата членка [която първоначално е предала въпросните данни] или който и да било субект, установен в тази държава членка, който е компетентен орган за целите на Директивата относно правоприлагането, са разрешили предаването в съответствие с правото на държавата членка“. Тези гаранции са важни, тъй като дават възможност на органите на държавите членки да гарантират непрекъснатост на защитата в съответствие със законодателството на ЕС за защита на данните по цялата „верига на предаване“. |
| --- | --- |

(86)

Второ, същият подход се прилага и в случай на данни, първоначално предадени от Европейския съюз на Обединеното кралство, след това предадени от Обединеното кралство на трета държава, която впоследствие ще ги предаде на трета държава. В този случай съгласно член 78, параграф 4 компетентният орган на Обединеното кралство не може да даде разрешение за последното предаване съгласно член 78, параграф 1, освен ако „държавата членка [която първоначално е предала въпросните данни] или който и да било субект, установен в тази държава членка, който е компетентен орган за целите на Директивата относно правоприлагането, са разрешили предаването в съответствие с правото на държавата членка“. Тези гаранции са важни, тъй като дават възможност на органите на държавите членки да гарантират непрекъснатост на защитата в съответствие със законодателството на ЕС за защита на данните по цялата „верига на предаване“.

| (87) | Тази нова рамка за международно предаване на данни започна да се прилага в края на преходния период (152). В точки 10—12 от приложение 21 (въведено с Наредбите за защита на данните, неприкосновеността на личния живот и електронните съобщения) обаче се предвижда, че след края на преходния период определени предавания на лични данни се третират така, все едно се основават на наредби относно адекватното ниво на защита. Тези предавания включват предавания към държава членка, държава от ЕАСТ, трета държава, спрямо която в края на преходния период се прилага решение на ЕС относно адекватното ниво на защита, и територията на Гибралтар. Следователно предаванията към тези държави може да продължат както преди оттеглянето на Обединеното кралство от Съюза. След края на преходния период министърът трябва да извърши преглед на тези констатации за адекватно ниво на защита в срок от четири години, т.е. до края на декември 2024 г. Според обяснението, предоставено от органите на Обединеното кралство, въпреки че министърът трябва да предприеме такъв преглед до края на декември 2024 г., сред преходните разпоредби няма разпоредба за изтичане на срока на действие и съответните преходни разпоредби няма автоматично да престанат да пораждат правно действие, ако прегледът не приключи до края на декември 2024 г. |
| --- | --- |

(87)

Тази нова рамка за международно предаване на данни започна да се прилага в края на преходния период (152). В точки 10—12 от приложение 21 (въведено с Наредбите за защита на данните, неприкосновеността на личния живот и електронните съобщения) обаче се предвижда, че след края на преходния период определени предавания на лични данни се третират така, все едно се основават на наредби относно адекватното ниво на защита. Тези предавания включват предавания към държава членка, държава от ЕАСТ, трета държава, спрямо която в края на преходния период се прилага решение на ЕС относно адекватното ниво на защита, и територията на Гибралтар. Следователно предаванията към тези държави може да продължат както преди оттеглянето на Обединеното кралство от Съюза. След края на преходния период министърът трябва да извърши преглед на тези констатации за адекватно ниво на защита в срок от четири години, т.е. до края на декември 2024 г. Според обяснението, предоставено от органите на Обединеното кралство, въпреки че министърът трябва да предприеме такъв преглед до края на декември 2024 г., сред преходните разпоредби няма разпоредба за изтичане на срока на действие и съответните преходни разпоредби няма автоматично да престанат да пораждат правно действие, ако прегледът не приключи до края на декември 2024 г.

152

2.4.9.   Отчетност

Отчетност

| (88) | Съгласно принципа на отчетност публичните органи, които обработват данни, са длъжни да въведат подходящи технически и организационни мерки за ефективно спазване на своите задължения за защита на данните и да могат да докажат това спазване, по-специално пред компетентния надзорен орган. |
| --- | --- |

(88)

Съгласно принципа на отчетност публичните органи, които обработват данни, са длъжни да въведат подходящи технически и организационни мерки за ефективно спазване на своите задължения за защита на данните и да могат да докажат това спазване, по-специално пред компетентния надзорен орган.

| (89) | Този принцип е отразен в член 56 от ЗЗД от 2018 г., с който се въвежда общо задължение за отчетност за администратора, т.е. задължение за прилагане на подходящи технически и организационни мерки, за да се гарантира и да може да се докаже, че обработването на лични данни е в съответствие с изискванията на част 3 от ЗЗД от 2018 г. Прилаганите мерки трябва да бъдат преразглеждани и, когато е необходимо, актуализирани и когато това е пропорционално по отношение на обработването, да включват подходящи политики за защита на данните. |
| --- | --- |

(89)

Този принцип е отразен в член 56 от ЗЗД от 2018 г., с който се въвежда общо задължение за отчетност за администратора, т.е. задължение за прилагане на подходящи технически и организационни мерки, за да се гарантира и да може да се докаже, че обработването на лични данни е в съответствие с изискванията на част 3 от ЗЗД от 2018 г. Прилаганите мерки трябва да бъдат преразглеждани и, когато е необходимо, актуализирани и когато това е пропорционално по отношение на обработването, да включват подходящи политики за защита на данните.

| (90) | В съответствие с глава IV от Директива (ЕС) 2016/680 в членове 55—71 от ЗЗД от 2018 г. се предвиждат различни механизми, чрез които се гарантира отчетност, а администраторите и обработващите лични данни могат да докажат, че спазват изискванията. По-специално администраторите са длъжни да прилагат мерки за защита на данните още на етапа на проектирането и по подразбиране, т.е. да гарантират, че принципите за защита на данните се прилагат ефективно, и са длъжни да поддържат регистри за всички категории дейности по обработване, за които отговаря администраторът (вкл. информация за самоличността на администратора, координатите за връзка на длъжностното лице по защита на данните, целите на обработването, категориите получатели на разкривания и описание на категориите субекти на данни и лични данни), и да съхраняват тези регистри на разположение на комисаря по информацията при поискване. Администраторът и обработващият лични данни трябва също така да водят записи за определени операции по обработване и да ги предоставят на комисаря по информацията (153). От администраторите също така се изисква по-специално да си сътрудничат с комисаря по информацията при изпълнението на задачите на комисаря. |
| --- | --- |

(90)

В съответствие с глава IV от Директива (ЕС) 2016/680 в членове 55—71 от ЗЗД от 2018 г. се предвиждат различни механизми, чрез които се гарантира отчетност, а администраторите и обработващите лични данни могат да докажат, че спазват изискванията. По-специално администраторите са длъжни да прилагат мерки за защита на данните още на етапа на проектирането и по подразбиране, т.е. да гарантират, че принципите за защита на данните се прилагат ефективно, и са длъжни да поддържат регистри за всички категории дейности по обработване, за които отговаря администраторът (вкл. информация за самоличността на администратора, координатите за връзка на длъжностното лице по защита на данните, целите на обработването, категориите получатели на разкривания и описание на категориите субекти на данни и лични данни), и да съхраняват тези регистри на разположение на комисаря по информацията при поискване. Администраторът и обработващият лични данни трябва също така да водят записи за определени операции по обработване и да ги предоставят на комисаря по информацията (153). От администраторите също така се изисква по-специално да си сътрудничат с комисаря по информацията при изпълнението на задачите на комисаря.

153

| (91) | В ЗЗД от 2018 г. се предвиждат и допълнителни изисквания за обработване, което може да породи висок риск за правата и свободите на физическите лица. Те включват задължение за извършване на оценка на въздействието върху защитата на данните и за консултиране с комисаря по информацията преди обработването, ако оценката показва, че обработването може да породи висок риск за правата и свободите на физическите лица (ако няма мерки за ограничаване на риска). |
| --- | --- |

(91)

В ЗЗД от 2018 г. се предвиждат и допълнителни изисквания за обработване, което може да породи висок риск за правата и свободите на физическите лица. Те включват задължение за извършване на оценка на въздействието върху защитата на данните и за консултиране с комисаря по информацията преди обработването, ако оценката показва, че обработването може да породи висок риск за правата и свободите на физическите лица (ако няма мерки за ограничаване на риска).

| (92) | Освен това администраторите трябва да назначат длъжностно лице по защита на данните, освен ако администраторът не е съд или друг съдебен орган, който действа в изпълнение на съдебните си функции (154). Администраторът трябва да гарантира, че длъжностното лице по защита на данните участва във всички въпроси, свързани със защитата на личните данни, разполага с необходимите ресурси и достъп до личните данни и операциите по обработване и може да изпълнява задачите си независимо. Задачите на длъжностното лице по защита на данните са посочени в член 71 от ЗЗД от 2018 г. и включват предоставяне на информация и съвети, наблюдение на спазването на изискванията, както и сътрудничество с комисаря по информацията и изпълнение на ролята на точка за контакт за комисаря по информацията. При изпълнението на своите задачи длъжностното лице по защита на данните трябва да отчита рисковете, свързани с операциите по обработване, като взема предвид естеството, обхвата, контекста и целите на обработването. |
| --- | --- |

(92)

Освен това администраторите трябва да назначат длъжностно лице по защита на данните, освен ако администраторът не е съд или друг съдебен орган, който действа в изпълнение на съдебните си функции (154). Администраторът трябва да гарантира, че длъжностното лице по защита на данните участва във всички въпроси, свързани със защитата на личните данни, разполага с необходимите ресурси и достъп до личните данни и операциите по обработване и може да изпълнява задачите си независимо. Задачите на длъжностното лице по защита на данните са посочени в член 71 от ЗЗД от 2018 г. и включват предоставяне на информация и съвети, наблюдение на спазването на изискванията, както и сътрудничество с комисаря по информацията и изпълнение на ролята на точка за контакт за комисаря по информацията. При изпълнението на своите задачи длъжностното лице по защита на данните трябва да отчита рисковете, свързани с операциите по обработване, като взема предвид естеството, обхвата, контекста и целите на обработването.

154

2.5.   Надзор и привеждане в изпълнение

Надзор и привеждане в изпълнение

2.5.1.   Независим надзор

Независим надзор

| (93) | С цел да се гарантира, че адекватното ниво на защита на данните се осигурява и на практика, трябва да съществува независим надзорен орган с правомощия за наблюдение и привеждане в изпълнение на правилата за защита на данните. Този орган трябва да действа с пълна независимост и безпристрастност при изпълнението на своите задължения и при упражняването на правомощията си. |
| --- | --- |

(93)

С цел да се гарантира, че адекватното ниво на защита на данните се осигурява и на практика, трябва да съществува независим надзорен орган с правомощия за наблюдение и привеждане в изпълнение на правилата за защита на данните. Този орган трябва да действа с пълна независимост и безпристрастност при изпълнението на своите задължения и при упражняването на правомощията си.

| (94) | В Обединеното кралство надзорът и привеждането в изпълнение на ОРЗД на Обединеното кралство и на ЗЗД от 2018 г. се осъществяват от комисаря по информацията (155). Комисарят по информацията надзирава и обработването на лични данни от компетентните органи, които попадат в обхвата на част 3 от ЗЗД от 2018 г. (156). Комисарят по информацията е еднолична корпоративна структура (corporation sole): отделен правен субект, учреден като едноличен орган. Комисарят по информацията се подпомага в работата си от служба. Към 31 март 2020 г. Службата на комисаря по информацията разполагаше със 768 постоянни служители (157). Комисарят по информацията е на бюджетна издръжка на Министерството на цифровите технологии, културата, медиите и спорта (DCMS) (158). |
| --- | --- |

(94)

В Обединеното кралство надзорът и привеждането в изпълнение на ОРЗД на Обединеното кралство и на ЗЗД от 2018 г. се осъществяват от комисаря по информацията (155). Комисарят по информацията надзирава и обработването на лични данни от компетентните органи, които попадат в обхвата на част 3 от ЗЗД от 2018 г. (156). Комисарят по информацията е еднолична корпоративна структура (corporation sole): отделен правен субект, учреден като едноличен орган. Комисарят по информацията се подпомага в работата си от служба. Към 31 март 2020 г. Службата на комисаря по информацията разполагаше със 768 постоянни служители (157). Комисарят по информацията е на бюджетна издръжка на Министерството на цифровите технологии, културата, медиите и спорта (DCMS) (158).

155

156

corporation sole

157

158

| (95) | Независимостта на комисаря е изрично уредена в член 52 от ОРЗД на Обединеното кралство, който отразява изискванията, предвидени в член 52, параграфи 1—3 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета (159). Комисарят трябва да действа напълно независимо при изпълнението на своите задачи и упражняването на своите правомощия в съответствие с ОРЗД на Обединеното кралство, да остане независим от външно влияние, било то пряко, или непряко, във връзка с тези задачи и правомощия, и нито да търси, нито да приема инструкции от когото и да било. Комисарят трябва също така да се въздържа от всякакви несъвместими със служебните му задължения действия и по време на своя мандат не трябва да се ангажира с никакви несъвместими функции, независимо дали срещу възнаграждение, или безвъзмездно. |
| --- | --- |

(95)

Независимостта на комисаря е изрично уредена в член 52 от ОРЗД на Обединеното кралство, който отразява изискванията, предвидени в член 52, параграфи 1—3 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета (159). Комисарят трябва да действа напълно независимо при изпълнението на своите задачи и упражняването на своите правомощия в съответствие с ОРЗД на Обединеното кралство, да остане независим от външно влияние, било то пряко, или непряко, във връзка с тези задачи и правомощия, и нито да търси, нито да приема инструкции от когото и да било. Комисарят трябва също така да се въздържа от всякакви несъвместими със служебните му задължения действия и по време на своя мандат не трябва да се ангажира с никакви несъвместими функции, независимо дали срещу възнаграждение, или безвъзмездно.

159

| (96) | Условията за назначаване и отстраняване на комисаря по информацията са посочени в приложение 12 към ЗЗД от 2018 г. Комисарят по информацията се назначава от кралицата по препоръка на правителството след провеждане на безпристрастен конкурс на общо основание. Кандидатът трябва да притежава подходящите квалификации, умения и компетентност. В съответствие с Кодекса за управление на публичните назначения (160) консултативна комисия за оценка изготвя списък на кандидатите, които могат да бъдат назначени. Преди министърът на цифровите технологии, културата, медиите и спорта да финализира решението си, съответната специална комисия на Парламента трябва да осъществи контрол преди назначаването. Становището на комисията се оповестява публично (161). |
| --- | --- |

(96)

Условията за назначаване и отстраняване на комисаря по информацията са посочени в приложение 12 към ЗЗД от 2018 г. Комисарят по информацията се назначава от кралицата по препоръка на правителството след провеждане на безпристрастен конкурс на общо основание. Кандидатът трябва да притежава подходящите квалификации, умения и компетентност. В съответствие с Кодекса за управление на публичните назначения (160) консултативна комисия за оценка изготвя списък на кандидатите, които могат да бъдат назначени. Преди министърът на цифровите технологии, културата, медиите и спорта да финализира решението си, съответната специална комисия на Парламента трябва да осъществи контрол преди назначаването. Становището на комисията се оповестява публично (161).

160

161

| (97) | Комисарят по информацията има мандат до седем години. Комисарят по информацията може да бъде отстранен от длъжност от Нейно величество след обръщение от страна на двете камари на Парламента (162). Искане за освобождаване от длъжност на комисаря по информацията не може да бъде представено пред никоя камара на Парламента, освен ако министър не е подал до Парламента доклад, в който посочва, че е убеден, че комисарят по информацията е извършил тежко нарушение и/или че комисарят вече не отговаря на условията, необходими за изпълнението на функциите на комисар (163). |
| --- | --- |

(97)

Комисарят по информацията има мандат до седем години. Комисарят по информацията може да бъде отстранен от длъжност от Нейно величество след обръщение от страна на двете камари на Парламента (162). Искане за освобождаване от длъжност на комисаря по информацията не може да бъде представено пред никоя камара на Парламента, освен ако министър не е подал до Парламента доклад, в който посочва, че е убеден, че комисарят по информацията е извършил тежко нарушение и/или че комисарят вече не отговаря на условията, необходими за изпълнението на функциите на комисар (163).

162

163

| (98) | Източниците на финансиране на комисаря по информацията са три: i) таксите за защита на данните, плащани от администраторите, които се определят с наредба на министъра (164) и възлизат на 85—90 % от годишния бюджет на Службата (165); ii) безвъзмездна помощ, която може да бъде изплатена от правителството на комисаря по информацията и се използва главно за финансиране на неговите оперативни разходи във връзка със задачи, които не са свързани със защитата на данните (166); iii) таксите, събирани за услуги (167). Понастоящем не се събират такива такси. |
| --- | --- |

(98)

Източниците на финансиране на комисаря по информацията са три: i) таксите за защита на данните, плащани от администраторите, които се определят с наредба на министъра (164) и възлизат на 85—90 % от годишния бюджет на Службата (165); ii) безвъзмездна помощ, която може да бъде изплатена от правителството на комисаря по информацията и се използва главно за финансиране на неговите оперативни разходи във връзка със задачи, които не са свързани със защитата на данните (166); iii) таксите, събирани за услуги (167). Понастоящем не се събират такива такси.

164

165

166

167

| (99) | Общите функции на комисаря по информацията във връзка с обработването на лични данни, които попадат в обхвата на част 3 от ЗЗД от 2018 г., са определени в приложение 13 към ЗЗД от 2018 г. Задачите му включват наблюдение и привеждане в изпълнение на част 3 от ЗЗД от 2018 г., повишаване на обществената осведоменост, предоставяне на консултации на Парламента, правителството и други институции относно законодателните и административните мерки, повишаване на осведомеността на администраторите и обработващите лични данни за техните задължения, предоставяне на информация на субекта на данни при упражняването на неговите права и провеждане на разследвания. С цел запазване на независимостта на съдебната власт комисарят по информацията няма право да изпълнява функциите си във връзка с обработването на лични данни чрез лице, действащо в изпълнение на съдебните си функции, или от съд или правораздавателен орган, действащ в изпълнение на съдебните си функции. Надзорът на съдебната власт обаче се осигурява от специализираните органи, разгледани по-нататък. |
| --- | --- |

(99)

Общите функции на комисаря по информацията във връзка с обработването на лични данни, които попадат в обхвата на част 3 от ЗЗД от 2018 г., са определени в приложение 13 към ЗЗД от 2018 г. Задачите му включват наблюдение и привеждане в изпълнение на част 3 от ЗЗД от 2018 г., повишаване на обществената осведоменост, предоставяне на консултации на Парламента, правителството и други институции относно законодателните и административните мерки, повишаване на осведомеността на администраторите и обработващите лични данни за техните задължения, предоставяне на информация на субекта на данни при упражняването на неговите права и провеждане на разследвания. С цел запазване на независимостта на съдебната власт комисарят по информацията няма право да изпълнява функциите си във връзка с обработването на лични данни чрез лице, действащо в изпълнение на съдебните си функции, или от съд или правораздавателен орган, действащ в изпълнение на съдебните си функции. Надзорът на съдебната власт обаче се осигурява от специализираните органи, разгледани по-нататък.

2.5.1.1.   Привеждане в изпълнение, включително санкции

Привеждане в изпълнение, включително санкции

| (100) | Комисарят има общи правомощия за разследване, корективни правомощия, правомощия за даване на разрешения и становища във връзка с обработването на лични данни, за които се прилага част 3 от ЗЗД от 2018 г. Комисарят има правомощия да уведомява администратора или обработващия лични данни за предполагаемо нарушение на част 3, да отправя предупреждения до администратора или обработващия лични данни, когато има вероятност операции по обработване на данни, които те възнамеряват да извършат, да нарушат разпоредбите на част 3, и да отправя официално предупреждение до администратора или обработващия лични данни, когато операции по обработване на данни са нарушили разпоредбите на част 3. Освен това комисарят може да издава по собствена инициатива или при поискване становища до Парламента на Обединеното кралство, правителството или до други институции и органи, както и до обществеността по всякакви въпроси, свързани със защитата на лични данни (168). |
| --- | --- |

(100)

Комисарят има общи правомощия за разследване, корективни правомощия, правомощия за даване на разрешения и становища във връзка с обработването на лични данни, за които се прилага част 3 от ЗЗД от 2018 г. Комисарят има правомощия да уведомява администратора или обработващия лични данни за предполагаемо нарушение на част 3, да отправя предупреждения до администратора или обработващия лични данни, когато има вероятност операции по обработване на данни, които те възнамеряват да извършат, да нарушат разпоредбите на част 3, и да отправя официално предупреждение до администратора или обработващия лични данни, когато операции по обработване на данни са нарушили разпоредбите на част 3. Освен това комисарят може да издава по собствена инициатива или при поискване становища до Парламента на Обединеното кралство, правителството или до други институции и органи, както и до обществеността по всякакви въпроси, свързани със защитата на лични данни (168).

168

| (101) | Освен това комисарят има правомощия:






  — | да разпорежда на администратора и на обработващия лични данни (и при определени обстоятелства на всяко друго лице) да предоставят необходимата информация, като издава информационно постановление („информационно постановление“) (169); |
| --- | --- | --- |

(101)

Освен това комисарят има правомощия:

—

да разпорежда на администратора и на обработващия лични данни (и при определени обстоятелства на всяко друго лице) да предоставят необходимата информация, като издава информационно постановление („информационно постановление“) (169);

169

| — | да провежда разследвания и одити, като издава ревизионно постановление, чрез който администраторът или обработващият лични данни бива задължен да допусне комисаря да влезе в определени помещения, да проверява или преглежда документи или оборудване, да изслушва лица, обработващи лични данни от името на администратора („ревизионно постановление“) (170); |
| --- | --- |

—

да провежда разследвания и одити, като издава ревизионно постановление, чрез който администраторът или обработващият лични данни бива задължен да допусне комисаря да влезе в определени помещения, да проверява или преглежда документи или оборудване, да изслушва лица, обработващи лични данни от името на администратора („ревизионно постановление“) (170);

170

| — | да получава по друг начин достъп до документите на администраторите и обработващите лични данни и достъп до техните помещения в съответствие с член 154 от ЗЗД от 2018 г. („правомощия за влизане и проверка“); |
| --- | --- |

—

да получава по друг начин достъп до документите на администраторите и обработващите лични данни и достъп до техните помещения в съответствие с член 154 от ЗЗД от 2018 г. („правомощия за влизане и проверка“);

| — | да упражнява корективни правомощия, включително чрез предупреждения и официални предупреждения, или да дава разпореждания чрез изпълнително постановление, чрез което администраторите/обработващите лични данни биват задължени да предприемат или да се въздържат от предприемането на конкретни действия („изпълнително постановление“) (171); и |
| --- | --- |

—

да упражнява корективни правомощия, включително чрез предупреждения и официални предупреждения, или да дава разпореждания чрез изпълнително постановление, чрез което администраторите/обработващите лични данни биват задължени да предприемат или да се въздържат от предприемането на конкретни действия („изпълнително постановление“) (171); и

171

| — | да налага административни наказания „глоба“ или „имуществена санкция“ под формата на наказателно постановление („наказателно постановление“) (172). |
| --- | --- |

—

да налага административни наказания „глоба“ или „имуществена санкция“ под формата на наказателно постановление („наказателно постановление“) (172).

172

| (102) | В Политиката на ICO за регулаторните действия се определят обстоятелствата, при които комисарят издава съответно информационно, ревизионно, изпълнително и наказателно постановление (173). С изпълнително постановление може да бъдат наложени изисквания, които комисарят смята за подходящи с цел отстраняване на неизпълнението. С наказателно постановление лицето се задължава да плати на комисаря по информацията посочена в постановлението сума. Наказателно постановление може да бъде издадено, когато е налице неизпълнение на определени разпоредби на ЗЗД от 2018 г. (174), или може да бъде връчено на администратор или обработващ лични данни, който не е изпълнил информационно постановление, ревизионно постановление или изпълнително постановление. |
| --- | --- |

(102)

В Политиката на ICO за регулаторните действия се определят обстоятелствата, при които комисарят издава съответно информационно, ревизионно, изпълнително и наказателно постановление (173). С изпълнително постановление може да бъдат наложени изисквания, които комисарят смята за подходящи с цел отстраняване на неизпълнението. С наказателно постановление лицето се задължава да плати на комисаря по информацията посочена в постановлението сума. Наказателно постановление може да бъде издадено, когато е налице неизпълнение на определени разпоредби на ЗЗД от 2018 г. (174), или може да бъде връчено на администратор или обработващ лични данни, който не е изпълнил информационно постановление, ревизионно постановление или изпълнително постановление.

173

174

| (103) | По-конкретно, когато се решава дали на администратор или обработващ лични данни да бъде връчено наказателно постановление и се определя размерът на санкцията, комисарят по информацията трябва да вземе предвид изброените в член 155, параграф 3 от ЗЗД от 2018 г. обстоятелства, включително естеството и тежестта на неизпълнението, дали неизпълнението е извършено умишлено или по небрежност, действията, предприети от администратора или обработващия лични данни за смекчаване на последиците от вредите, претърпени от субектите на данни, степента на отговорност на администратора или обработващия лични данни (като се вземат предвид техническите и организационните мерки, въведени от администратора или обработващия лични данни), евентуалните свързани предишни неизпълнения на администратора или обработващия лични данни; категориите лични данни, засегнати от неизпълнението, и дали санкцията би била ефективна, пропорционална и възпираща. |
| --- | --- |

(103)

По-конкретно, когато се решава дали на администратор или обработващ лични данни да бъде връчено наказателно постановление и се определя размерът на санкцията, комисарят по информацията трябва да вземе предвид изброените в член 155, параграф 3 от ЗЗД от 2018 г. обстоятелства, включително естеството и тежестта на неизпълнението, дали неизпълнението е извършено умишлено или по небрежност, действията, предприети от администратора или обработващия лични данни за смекчаване на последиците от вредите, претърпени от субектите на данни, степента на отговорност на администратора или обработващия лични данни (като се вземат предвид техническите и организационните мерки, въведени от администратора или обработващия лични данни), евентуалните свързани предишни неизпълнения на администратора или обработващия лични данни; категориите лични данни, засегнати от неизпълнението, и дали санкцията би била ефективна, пропорционална и възпираща.

| (104) | Максималният размер на санкцията, която може да бъде наложена с наказателно постановление, е a) 17 500 000 британски лири във връзка с неизпълнение на принципите за защита на данните (членове 35, 36, 37, член 38, параграф 1, член 39, параграф 1 и член 40 от ЗЗД от 2018 г.), задълженията за прозрачност и индивидуалните права (членове 44, 45, 46, 47, 48, 49, 52 и 53 от ЗЗД за 2018 г.) и принципите за международно предаване на лични данни (членове 73, 75, 76, 77 или 78 от ЗЗД от 2018 г.); и б) 8 700 000 британски лири в останалите случаи (175). При неизпълнение на информационно постановление, ревизионно постановление или изпълнително постановление максималният размер на санкцията, която може да бъде наложена с наказателно постановление, е 17 500 000 британски лири. |
| --- | --- |

(104)

Максималният размер на санкцията, която може да бъде наложена с наказателно постановление, е a) 17 500 000 британски лири във връзка с неизпълнение на принципите за защита на данните (членове 35, 36, 37, член 38, параграф 1, член 39, параграф 1 и член 40 от ЗЗД от 2018 г.), задълженията за прозрачност и индивидуалните права (членове 44, 45, 46, 47, 48, 49, 52 и 53 от ЗЗД за 2018 г.) и принципите за международно предаване на лични данни (членове 73, 75, 76, 77 или 78 от ЗЗД от 2018 г.); и б) 8 700 000 британски лири в останалите случаи (175). При неизпълнение на информационно постановление, ревизионно постановление или изпълнително постановление максималният размер на санкцията, която може да бъде наложена с наказателно постановление, е 17 500 000 британски лири.

175

| (105) | Според последните си годишни доклади (2018—2019 г. (176), 2019—2020 г. (177)) комисарят по информацията проведе редица разследвания във връзка с обработването на лични данни от правоприлагащи органи в областта на наказателното право. Например комисарят проведе разследване и през октомври 2019 г. публикува Становище относно използването от правоприлагащите органи на технологии за разпознаване на лица на обществени места. Разследването е съсредоточено по-специално върху използването на функции за разпознаване на лица на живо от полицията на Южен Уелс и Столичната полицейска служба (MPS). Освен това комисарят разследва матрицата за бандите (Gangs matrix) (178) на MPS и установи редица сериозни нарушения на законодателството за защита на данните, които има вероятност да подкопаят общественото доверие в матрицата и използването на данните. |
| --- | --- |

(105)

Според последните си годишни доклади (2018—2019 г. (176), 2019—2020 г. (177)) комисарят по информацията проведе редица разследвания във връзка с обработването на лични данни от правоприлагащи органи в областта на наказателното право. Например комисарят проведе разследване и през октомври 2019 г. публикува Становище относно използването от правоприлагащите органи на технологии за разпознаване на лица на обществени места. Разследването е съсредоточено по-специално върху използването на функции за разпознаване на лица на живо от полицията на Южен Уелс и Столичната полицейска служба (MPS). Освен това комисарят разследва матрицата за бандите (Gangs matrix) (178) на MPS и установи редица сериозни нарушения на законодателството за защита на данните, които има вероятност да подкопаят общественото доверие в матрицата и използването на данните.

176

177

178

| (106) | През ноември 2018 г. комисарят по информацията издаде изпълнително постановление и впоследствие MPS предприе необходимите действия за повишаване на сигурността и отчетността и за гарантиране на пропорционалното използване на данните. |
| --- | --- |

(106)

През ноември 2018 г. комисарят по информацията издаде изпълнително постановление и впоследствие MPS предприе необходимите действия за повишаване на сигурността и отчетността и за гарантиране на пропорционалното използване на данните.

| (107) | Друг пример за скорошно изпълнително действие е глобата в размер на 325 000 британски лири, наложена от комисаря през май 2018 г. на Кралската прокуратура за загубата на некриптирани DVD дискове, съдържащи записи на полицейски разпити. Освен това комисарят по информацията проведе разследвания по по-широки теми, например през първата половина на 2020 г., относно използването на извличането на данни от мобилни телефони за целите на полицията и обработването на данните на жертвите от полицията. |
| --- | --- |

(107)

Друг пример за скорошно изпълнително действие е глобата в размер на 325 000 британски лири, наложена от комисаря през май 2018 г. на Кралската прокуратура за загубата на некриптирани DVD дискове, съдържащи записи на полицейски разпити. Освен това комисарят по информацията проведе разследвания по по-широки теми, например през първата половина на 2020 г., относно използването на извличането на данни от мобилни телефони за целите на полицията и обработването на данните на жертвите от полицията.

| (108) | В допълнение към тези правомощия за привеждане в изпълнение на комисаря по информацията, някои нарушения на законодателството за защита на данните представляват престъпления и поради това за тях може да се налагат наказания (член 196 от ЗЗД от 2018 г.). Това се отнася например за получаването или разкриването на лични данни без съгласието на администратора и за предоставянето на друго лице на разкритите лични данни без съгласието на администратора (179); реидентифицирането на информация, която представлява деидентифицирани лични данни, без съгласието на администратора, отговарящ за деидентифицирането на личните данни (180); умишленото възпрепятстване на комисаря да упражнява правомощията си за проверката на лични данни в съответствие с международни задължения (181), представянето на неверни данни в отговор на информационно постановление или унищожаването на информация във връзка с информационни и ревизионни постановления (182). |
| --- | --- |

(108)

В допълнение към тези правомощия за привеждане в изпълнение на комисаря по информацията, някои нарушения на законодателството за защита на данните представляват престъпления и поради това за тях може да се налагат наказания (член 196 от ЗЗД от 2018 г.). Това се отнася например за получаването или разкриването на лични данни без съгласието на администратора и за предоставянето на друго лице на разкритите лични данни без съгласието на администратора (179); реидентифицирането на информация, която представлява деидентифицирани лични данни, без съгласието на администратора, отговарящ за деидентифицирането на личните данни (180); умишленото възпрепятстване на комисаря да упражнява правомощията си за проверката на лични данни в съответствие с международни задължения (181), представянето на неверни данни в отговор на информационно постановление или унищожаването на информация във връзка с информационни и ревизионни постановления (182).

179

180

181

182

| (109) | Комисарят по информацията също така има задължение по член 139 от ЗЗД от 2018 г. да представя пред всяка камара на Парламента общ доклад относно упражняването на функциите си съгласно Закона (183). |
| --- | --- |

(109)

Комисарят по информацията също така има задължение по член 139 от ЗЗД от 2018 г. да представя пред всяка камара на Парламента общ доклад относно упражняването на функциите си съгласно Закона (183).

183

2.5.2.   Надзор на съдебната власт

Надзор на съдебната власт

| (110) | Надзорът на обработването на лични данни от съдилищата и съдебната власт е двояк. Когато лице, заемащо съдебна длъжност, или съд не действа в изпълнение на съдебните си функции, надзорът се осъществява от комисаря по информацията. Когато администраторът действа в изпълнение на съдебните си функции, ICO не може да упражнява надзорните си функции (184) и надзорът се осъществява от специални органи. Това отразява подхода, възприет в член 32 от Директива (ЕС) 2016/680. |
| --- | --- |

(110)

Надзорът на обработването на лични данни от съдилищата и съдебната власт е двояк. Когато лице, заемащо съдебна длъжност, или съд не действа в изпълнение на съдебните си функции, надзорът се осъществява от комисаря по информацията. Когато администраторът действа в изпълнение на съдебните си функции, ICO не може да упражнява надзорните си функции (184) и надзорът се осъществява от специални органи. Това отразява подхода, възприет в член 32 от Директива (ЕС) 2016/680.

184

| (111) | По-специално във втория случай, за съдилищата в Англия и Уелс и трибунала от първа инстанция (First-tier Tribunal) и трибунала от по-горна инстанция (Upper Tribunal) на Англия и Уелс, такъв надзор се осъществява от Съдебния състав за защита на данните (185). Освен това главният съдия (Lord Chief Justice) и първият председател (Senior President) на трибуналите са издали декларация за поверителност (186), в която се посочва как съдилищата в Англия и Уелс обработват лични данни при изпълнение на съдебни функции. Подобна декларация е издадена от северноирландската (187) и шотландската (188) съдебни власти. |
| --- | --- |

(111)

По-специално във втория случай, за съдилищата в Англия и Уелс и трибунала от първа инстанция (First-tier Tribunal) и трибунала от по-горна инстанция (Upper Tribunal) на Англия и Уелс, такъв надзор се осъществява от Съдебния състав за защита на данните (185). Освен това главният съдия (Lord Chief Justice) и първият председател (Senior President) на трибуналите са издали декларация за поверителност (186), в която се посочва как съдилищата в Англия и Уелс обработват лични данни при изпълнение на съдебни функции. Подобна декларация е издадена от северноирландската (187) и шотландската (188) съдебни власти.

185

186

187

188

| (112) | Освен това в Северна Ирландия главният съдия на Северна Ирландия назначи съдия от Висшия съд като съдия по надзора на данните (DSJ) (189). Те също са издали насоки за съдебната власт на Северна Ирландия относно действията, които трябва да се предприемат в случай на загуба или възможна загуба на данни, и относно процедурата за решаване на всички въпроси, свързани с това (190). |
| --- | --- |

(112)

Освен това в Северна Ирландия главният съдия на Северна Ирландия назначи съдия от Висшия съд като съдия по надзора на данните (DSJ) (189). Те също са издали насоки за съдебната власт на Северна Ирландия относно действията, които трябва да се предприемат в случай на загуба или възможна загуба на данни, и относно процедурата за решаване на всички въпроси, свързани с това (190).

189

190

| (113) | В Шотландия председателят на Върховния съд (Lord President) е назначил съдия по надзора на данните, който да разглежда всички жалби на основание защита на данните. Това е уредено в правилата за жалбите във връзка със съдебната система, които съответстват на правилата, установени за Англия и Уелс (191). |
| --- | --- |

(113)

В Шотландия председателят на Върховния съд (Lord President) е назначил съдия по надзора на данните, който да разглежда всички жалби на основание защита на данните. Това е уредено в правилата за жалбите във връзка със съдебната система, които съответстват на правилата, установени за Англия и Уелс (191).

Lord President

191

| (114) | Накрая, един от върховните съдии във Върховния съд се определя да упражнява надзор на защитата на данните. |
| --- | --- |

(114)

Накрая, един от върховните съдии във Върховния съд се определя да упражнява надзор на защитата на данните.

2.5.3.   Средства за правна защита

Средства за правна защита

| (115) | С цел да се осигури адекватна защита, и по-специално упражняване на индивидуалните права, на субекта на данни следва да се предоставят ефективни административни и съдебни средства за правна защита, включително и обезщетение за вреди. |
| --- | --- |

(115)

С цел да се осигури адекватна защита, и по-специално упражняване на индивидуалните права, на субекта на данни следва да се предоставят ефективни административни и съдебни средства за правна защита, включително и обезщетение за вреди.

| (116) | Първо, субектът на данни има право да подаде жалба до комисаря по информацията, ако смята, че във връзка с личните му данни е извършено нарушение на част 3 от ЗЗД от 2018 г. (192). Както е описано в съображения 100 и 109, комисарят по информацията има правомощието да преценява спазването от администратора и обработващия лични данни на ЗЗД от 2018 г., да ги задължава да предприемат или да се въздържат от предприемането на необходимите действия в случай на неспазване и да налага глоби. |
| --- | --- |

(116)

Първо, субектът на данни има право да подаде жалба до комисаря по информацията, ако смята, че във връзка с личните му данни е извършено нарушение на част 3 от ЗЗД от 2018 г. (192). Както е описано в съображения 100 и 109, комисарят по информацията има правомощието да преценява спазването от администратора и обработващия лични данни на ЗЗД от 2018 г., да ги задължава да предприемат или да се въздържат от предприемането на необходимите действия в случай на неспазване и да налага глоби.

192

| (117) | Второ, в ЗЗД от 2018 г. се предвижда право на средства за правна защита срещу комисаря по информацията. Ако комисарят не постигне „напредък“ (193) по жалба, подадена от субекта на данни, жалбоподателят има достъп до съдебни средства за правна защита, тъй като може да поиска от трибунала от първа инстанция (194) да разпореди на комисаря да предприеме подходящи действия, за да отговори на жалбата, или да информира жалбоподателя за напредъка по жалбата (195). Освен това всяко лице, на което комисарят е издал някое от посочените по-горе постановления (информационно, ревизионно, изпълнително или наказателно постановление), може да го обжалва пред трибунала от първа инстанция. Ако трибуналът сметне, че решението на комисаря е незаконосъобразно или че комисарят по информацията е трябвало да упражни правото си на преценка по различен начин, трибуналът трябва да уважи жалбата или да замени постановлението с друго такова или с решение, което комисарят по информацията е можел да издаде или да постанови (196). |
| --- | --- |

(117)

Второ, в ЗЗД от 2018 г. се предвижда право на средства за правна защита срещу комисаря по информацията. Ако комисарят не постигне „напредък“ (193) по жалба, подадена от субекта на данни, жалбоподателят има достъп до съдебни средства за правна защита, тъй като може да поиска от трибунала от първа инстанция (194) да разпореди на комисаря да предприеме подходящи действия, за да отговори на жалбата, или да информира жалбоподателя за напредъка по жалбата (195). Освен това всяко лице, на което комисарят е издал някое от посочените по-горе постановления (информационно, ревизионно, изпълнително или наказателно постановление), може да го обжалва пред трибунала от първа инстанция. Ако трибуналът сметне, че решението на комисаря е незаконосъобразно или че комисарят по информацията е трябвало да упражни правото си на преценка по различен начин, трибуналът трябва да уважи жалбата или да замени постановлението с друго такова или с решение, което комисарят по информацията е можел да издаде или да постанови (196).

193

194

195

196

| (118) | Трето, физическите лица могат да получат съдебна защита срещу администраторите и обработващите лични данни пряко пред съдилищата съгласно член 167 от ЗЗД от 2018 г. Ако по искане на субект на данни съдът е убеден, че е налице нарушение на правата на субекта на данни съгласно законодателството за защита на данните, съдът може да разпореди на администратора по отношение на обработването или на обработващ лични данни, действащ от името на този администратор, да предприеме посочените в заповедта действия или да се въздържи от предприемането на посочените в заповедта действия. Освен това съгласно член 169 от ЗЗД от 2018 г. всяко лице, което е претърпяло вреда поради нарушение на изискване на законодателството за защита на данните (включително на част 3 от ЗЗД от 2018 г.), различно от ОРЗД на Обединеното кралство, има право на обезщетение за тази вреда от администратора или обработващия лични данни, освен ако администраторът или обработващият лични данни докаже, че администраторът или обработващият лични данни по никакъв начин не е отговорен за събитието, причинило вредата. Вредите включват както финансови загуби, така и вреди, които не са свързани с финансови загуби, като например емоционално страдание. |
| --- | --- |

(118)

Трето, физическите лица могат да получат съдебна защита срещу администраторите и обработващите лични данни пряко пред съдилищата съгласно член 167 от ЗЗД от 2018 г. Ако по искане на субект на данни съдът е убеден, че е налице нарушение на правата на субекта на данни съгласно законодателството за защита на данните, съдът може да разпореди на администратора по отношение на обработването или на обработващ лични данни, действащ от името на този администратор, да предприеме посочените в заповедта действия или да се въздържи от предприемането на посочените в заповедта действия. Освен това съгласно член 169 от ЗЗД от 2018 г. всяко лице, което е претърпяло вреда поради нарушение на изискване на законодателството за защита на данните (включително на част 3 от ЗЗД от 2018 г.), различно от ОРЗД на Обединеното кралство, има право на обезщетение за тази вреда от администратора или обработващия лични данни, освен ако администраторът или обработващият лични данни докаже, че администраторът или обработващият лични данни по никакъв начин не е отговорен за събитието, причинило вредата. Вредите включват както финансови загуби, така и вреди, които не са свързани с финансови загуби, като например емоционално страдание.

| (119) | Четвърто, доколкото дадено лице смята, че неговите права, включително правото на неприкосновеност на личния живот и на защита на данните, са били нарушени от публичните органи, то може да получи правна защита пред съдилищата на Обединеното кралство съгласно Закона за правата на човека от 1998 г. Съгласно част 3 от ЗЗД от 2018 г. администраторите, т.е. компетентните органи, винаги са публични органи по смисъла на Закона за правата на човека от 1998 г. Физическо лице, което твърди, че публичен орган е действал (или възнамерява да действа) по начин, който е несъвместим с право, прогласено по Конвенцията, и следователно е незаконосъобразен съгласно член 6, параграф 1 от Закона за правата на човека от 1998 г., може да заведе дело срещу органа в съответния съд или трибунал или да се позове на съответните права във всяко съдебно производство, когато лицето е (или би било) жертва на незаконосъобразното действие (197). |
| --- | --- |

(119)

Четвърто, доколкото дадено лице смята, че неговите права, включително правото на неприкосновеност на личния живот и на защита на данните, са били нарушени от публичните органи, то може да получи правна защита пред съдилищата на Обединеното кралство съгласно Закона за правата на човека от 1998 г. Съгласно част 3 от ЗЗД от 2018 г. администраторите, т.е. компетентните органи, винаги са публични органи по смисъла на Закона за правата на човека от 1998 г. Физическо лице, което твърди, че публичен орган е действал (или възнамерява да действа) по начин, който е несъвместим с право, прогласено по Конвенцията, и следователно е незаконосъобразен съгласно член 6, параграф 1 от Закона за правата на човека от 1998 г., може да заведе дело срещу органа в съответния съд или трибунал или да се позове на съответните права във всяко съдебно производство, когато лицето е (или би било) жертва на незаконосъобразното действие (197).

197

| (120) | Ако съдът установи, че акт на публичен орган е незаконосъобразен, в рамките на своите правомощия той може да предостави такова поправяне на вредите или обезщетение или да постанови такова разпореждане, каквото счита за справедливо и подходящо (198). Съдът може също така да обяви разпоредба от първичното право за несъвместима с право, гарантирано от ЕКПЧ. |
| --- | --- |

(120)

Ако съдът установи, че акт на публичен орган е незаконосъобразен, в рамките на своите правомощия той може да предостави такова поправяне на вредите или обезщетение или да постанови такова разпореждане, каквото счита за справедливо и подходящо (198). Съдът може също така да обяви разпоредба от първичното право за несъвместима с право, гарантирано от ЕКПЧ.

198

| (121) | Накрая, след изчерпване на националните средства за правна защита дадено лице може да получи правна защита от Европейския съд по правата на човека за нарушения на правата, гарантирани от ЕКПЧ. |
| --- | --- |

(121)

Накрая, след изчерпване на националните средства за правна защита дадено лице може да получи правна защита от Европейския съд по правата на човека за нарушения на правата, гарантирани от ЕКПЧ.

2.6.   Последващо споделяне

Последващо споделяне

| (122) | Правото на Обединеното кралство допуска, при определени условия, споделянето на данни от правоприлагащ орган с други органи на Обединеното кралство за цели, различни от тези, за които те са били първоначално събрани (т.нар. „последващо споделяне“). |
| --- | --- |

(122)

Правото на Обединеното кралство допуска, при определени условия, споделянето на данни от правоприлагащ орган с други органи на Обединеното кралство за цели, различни от тези, за които те са били първоначално събрани (т.нар. „последващо споделяне“).

| (123) | Подобно на предвиденото в член 4, параграф 2 от Директива (ЕС) 2016/680, член 36, параграф 3 от ЗЗД от 2018 г. позволява личните данни, събрани от компетентен орган за целите на правоприлагането, да бъдат обработвани по-нататък (независимо дали от първоначалния администратор или от друг администратор) за всяка друга цел на правоприлагането, при условие че администраторът е оправомощен по закон да обработва данни за другата цел и че обработването е необходимо и пропорционално (199). В този случай всички гаранции, предвидени в част 3 от ЗЗД от 2018 г. и анализирани по-горе, се прилагат за обработването, извършвано от получаващия орган. |
| --- | --- |

(123)

Подобно на предвиденото в член 4, параграф 2 от Директива (ЕС) 2016/680, член 36, параграф 3 от ЗЗД от 2018 г. позволява личните данни, събрани от компетентен орган за целите на правоприлагането, да бъдат обработвани по-нататък (независимо дали от първоначалния администратор или от друг администратор) за всяка друга цел на правоприлагането, при условие че администраторът е оправомощен по закон да обработва данни за другата цел и че обработването е необходимо и пропорционално (199). В този случай всички гаранции, предвидени в част 3 от ЗЗД от 2018 г. и анализирани по-горе, се прилагат за обработването, извършвано от получаващия орган.

199

| (124) | В правния ред на Обединеното кралство различни закони изрично позволяват последващо споделяне. По-специално i) Законът за цифровата икономика от 2017 г. позволява споделянето между публичните органи за няколко цели, например в случай на измама срещу публичния сектор, която би довела до загуба или риск от загуба за публичен орган (200) или в случай на дълг към публичен орган или към Короната (201); ii) Законът за престъпленията и съдилищата от 2013 г. позволява споделянето на информация с Националната агенция по престъпността (NCA) (202) с цел борба, разследване и наказателно преследване на тежката и организираната престъпност; iii) Законът за тежките престъпления от 2007 г. позволява на публичните органи да разкриват информация на организации за борба с измамите с цел предотвратяване на измами (203). |
| --- | --- |

(124)

В правния ред на Обединеното кралство различни закони изрично позволяват последващо споделяне. По-специално i) Законът за цифровата икономика от 2017 г. позволява споделянето между публичните органи за няколко цели, например в случай на измама срещу публичния сектор, която би довела до загуба или риск от загуба за публичен орган (200) или в случай на дълг към публичен орган или към Короната (201); ii) Законът за престъпленията и съдилищата от 2013 г. позволява споделянето на информация с Националната агенция по престъпността (NCA) (202) с цел борба, разследване и наказателно преследване на тежката и организираната престъпност; iii) Законът за тежките престъпления от 2007 г. позволява на публичните органи да разкриват информация на организации за борба с измамите с цел предотвратяване на измами (203).

200

201

202

203

| (125) | В тези закони изрично се предвижда, че споделянето на информация следва да става в съответствие с правилата, предвидени в ЗЗД от 2018 г. Освен това Полицейският колеж издаде Разрешена професионална практика относно споделянето на информация (204), за да помогне на полицията да изпълнява задълженията си за защита на данните съгласно ОРЗД на Обединеното кралство, ЗЗД и Закона за правата на човека от 1998 г. Дали споделянето е съобразено с приложимата правна уредба за защита на данните, разбира се, подлежи на съдебен контрол (205). |
| --- | --- |

(125)

В тези закони изрично се предвижда, че споделянето на информация следва да става в съответствие с правилата, предвидени в ЗЗД от 2018 г. Освен това Полицейският колеж издаде Разрешена професионална практика относно споделянето на информация (204), за да помогне на полицията да изпълнява задълженията си за защита на данните съгласно ОРЗД на Обединеното кралство, ЗЗД и Закона за правата на човека от 1998 г. Дали споделянето е съобразено с приложимата правна уредба за защита на данните, разбира се, подлежи на съдебен контрол (205).

204

205

| (126) | Освен това, подобно на предвиденото в член 9 от Директива (ЕС) 2016/680, в ЗЗД от 2018 г. се предвижда, че лични данни, събрани за целите на правоприлагането, могат да бъдат обработвани за цел, различна от правоприлагането, когато обработването е разрешено от закона (206). Този вид споделяне обхваща два случая: 1) когато правоприлагащ орган в областта на наказателното право споделя данни с правоприлагащ орган в друга правна област, различен от разузнавателна агенция (като например финансов или данъчен орган, орган за защита на конкуренцията, служба за закрила на младежта); 2) когато правоприлагащ орган в областта на наказателното право споделя данни с разузнавателна агенция. В първия случай обработването на лични данни ще попадне в приложното поле на ОРЗД на Обединеното кралство, както и в това на част 2 от ЗЗД от 2018 г. Както е посочено в решението, прието съгласно Регламент (ЕС) 2016/679, гаранциите, предвидени в ОРЗД на Обединеното кралство и в част 2 от ЗЗД от 2018 г., осигуряват ниво на защита, което по същество е равностойно на предоставяното в Съюза (207). |
| --- | --- |

(126)

Освен това, подобно на предвиденото в член 9 от Директива (ЕС) 2016/680, в ЗЗД от 2018 г. се предвижда, че лични данни, събрани за целите на правоприлагането, могат да бъдат обработвани за цел, различна от правоприлагането, когато обработването е разрешено от закона (206). Този вид споделяне обхваща два случая: 1) когато правоприлагащ орган в областта на наказателното право споделя данни с правоприлагащ орган в друга правна област, различен от разузнавателна агенция (като например финансов или данъчен орган, орган за защита на конкуренцията, служба за закрила на младежта); 2) когато правоприлагащ орган в областта на наказателното право споделя данни с разузнавателна агенция. В първия случай обработването на лични данни ще попадне в приложното поле на ОРЗД на Обединеното кралство, както и в това на част 2 от ЗЗД от 2018 г. Както е посочено в решението, прието съгласно Регламент (ЕС) 2016/679, гаранциите, предвидени в ОРЗД на Обединеното кралство и в част 2 от ЗЗД от 2018 г., осигуряват ниво на защита, което по същество е равностойно на предоставяното в Съюза (207).

206

207

| (127) | Във втория случай, по отношение на споделянето на данни, събрани от правоприлагащ орган в областта на наказателното право, с разузнавателна агенция за целите на националната сигурност, правното основание, което разрешава такова споделяне, е Законът за борба с тероризма от 2008 г. (ЗБТ от 2008 г.) (208). Съгласно ЗБТ от 2008 г. всяко лице може да предоставя информация на всяка от разузнавателните служби с цел изпълнение на някоя от функциите на тази служба, включително „националната сигурност“. |
| --- | --- |

(127)

Във втория случай, по отношение на споделянето на данни, събрани от правоприлагащ орган в областта на наказателното право, с разузнавателна агенция за целите на националната сигурност, правното основание, което разрешава такова споделяне, е Законът за борба с тероризма от 2008 г. (ЗБТ от 2008 г.) (208). Съгласно ЗБТ от 2008 г. всяко лице може да предоставя информация на всяка от разузнавателните служби с цел изпълнение на някоя от функциите на тази служба, включително „националната сигурност“.

208

| (128) | Що се отнася до условията, при които данните могат да бъдат споделяни за целите на националната сигурност, Законът за разузнавателните служби и Законът за службите за сигурност ограничават възможността на разузнавателните служби да получават данни до това, което е необходимо за изпълнение на техните законоустановени функции. Компетентните органи, които попадат в обхвата на част 3 от ЗЗД от 2018 г. и които желаят да споделят данни с разузнавателните служби, ще трябва да вземат предвид редица фактори/ограничения в допълнение към законоустановените функции на агенциите, определени в Закона за разузнавателните служби и Закона за службите за сигурност (209). В член 20 от ЗБТ от 2008 г. се пояснява, че всяко споделяне на данни съгласно член 19 от ЗБТ от 2008 г. трябва да продължава да е в съответствие със законодателството за защита на данните. Това означава, че се прилагат всички ограничения и изисквания на ЗЗД от 2018 г. Освен това правоприлагащите органи и разузнавателните служби са публични органи за целите на Закона за правата на човека от 1998 г. и следователно трябва да гарантират, че действат в съответствие с правата, гарантирани от ЕКПЧ, включително член 8 от нея. С други думи, тези изисквания означават, че всяко споделяне на данни между правоприлагащите органи и разузнавателните служби е в съответствие със законодателството за защита на данните и ЕКПЧ. |
| --- | --- |

(128)

Що се отнася до условията, при които данните могат да бъдат споделяни за целите на националната сигурност, Законът за разузнавателните служби и Законът за службите за сигурност ограничават възможността на разузнавателните служби да получават данни до това, което е необходимо за изпълнение на техните законоустановени функции. Компетентните органи, които попадат в обхвата на част 3 от ЗЗД от 2018 г. и които желаят да споделят данни с разузнавателните служби, ще трябва да вземат предвид редица фактори/ограничения в допълнение към законоустановените функции на агенциите, определени в Закона за разузнавателните служби и Закона за службите за сигурност (209). В член 20 от ЗБТ от 2008 г. се пояснява, че всяко споделяне на данни съгласно член 19 от ЗБТ от 2008 г. трябва да продължава да е в съответствие със законодателството за защита на данните. Това означава, че се прилагат всички ограничения и изисквания на ЗЗД от 2018 г. Освен това правоприлагащите органи и разузнавателните служби са публични органи за целите на Закона за правата на човека от 1998 г. и следователно трябва да гарантират, че действат в съответствие с правата, гарантирани от ЕКПЧ, включително член 8 от нея. С други думи, тези изисквания означават, че всяко споделяне на данни между правоприлагащите органи и разузнавателните служби е в съответствие със законодателството за защита на данните и ЕКПЧ.

209

| (129) | Спрямо обработването от страна на разузнавателните служби на лични данни, получени от правоприлагащите органи за целите на националната сигурност, се прилагат редица условия и гаранции (210). Част 4 от ЗЗД от 2018 г. се прилага за всяко обработване от разузнавателните служби или от тяхно име. В нея се определят основните принципи за защита на данните (законосъобразност, справедливост и прозрачност (211); ограничаване в рамките на целта (212); свеждане на данните до минимум (213); точност (214); ограничение на съхранението (215) и сигурност (216)), поставят се условия за обработването на специални категории данни (217), предоставят се права на субектите на данни (218), изисква се защита на данните на етапа на проектирането (219) и се урежда международното предаване на лични данни (220). |
| --- | --- |

(129)

Спрямо обработването от страна на разузнавателните служби на лични данни, получени от правоприлагащите органи за целите на националната сигурност, се прилагат редица условия и гаранции (210). Част 4 от ЗЗД от 2018 г. се прилага за всяко обработване от разузнавателните служби или от тяхно име. В нея се определят основните принципи за защита на данните (законосъобразност, справедливост и прозрачност (211); ограничаване в рамките на целта (212); свеждане на данните до минимум (213); точност (214); ограничение на съхранението (215) и сигурност (216)), поставят се условия за обработването на специални категории данни (217), предоставят се права на субектите на данни (218), изисква се защита на данните на етапа на проектирането (219) и се урежда международното предаване на лични данни (220).

210

211

212

213

214

215

216

217

218

219

220

| (130) | В същото време член 110 от ЗЗД от 2018 г. предвижда освобождаване от действието на определени разпоредби от част 4 на ЗЗД от 2018 г., когато такова освобождаване е необходимо за гарантиране на националната сигурност. В член 110, параграф 2 от ЗЗД от 2018 г. са изброени разпоредбите, от които се допуска освобождаване. То включва принципите за защита на данните (с изключение на принципа на законосъобразност), правата на субекта на данни, задължението за информиране на комисаря по информацията относно нарушение на сигурността на данните, правомощията на комисаря по информацията да извършва проверки в съответствие с международните задължения, някои от правомощията на комисаря по информацията за привеждане в изпълнение, разпоредбите, които криминализират определени нарушения на защитата на данните, и разпоредбите, свързани с обработване поради специални цели, като например журналистически, академични или художествени. Това освобождаване може да се използва въз основа на анализа на всеки отделен случай (221). Както е обяснено от органите на Обединеното кралство и потвърдено от съдебната практика на съдилищата на Обединеното кралство, „а) администраторът трябва да вземе предвид действителните последици за националната сигурност или отбрана, ако трябва да спазва конкретната разпоредба за защита на данните и ако би могъл разумно да спази обичайното правило, без да се засяга националната сигурност или отбрана“ (222). Дали освобождаването е било използвано по подходящ начин, подлежи на надзор от страна на ICO (223). |
| --- | --- |

(130)

В същото време член 110 от ЗЗД от 2018 г. предвижда освобождаване от действието на определени разпоредби от част 4 на ЗЗД от 2018 г., когато такова освобождаване е необходимо за гарантиране на националната сигурност. В член 110, параграф 2 от ЗЗД от 2018 г. са изброени разпоредбите, от които се допуска освобождаване. То включва принципите за защита на данните (с изключение на принципа на законосъобразност), правата на субекта на данни, задължението за информиране на комисаря по информацията относно нарушение на сигурността на данните, правомощията на комисаря по информацията да извършва проверки в съответствие с международните задължения, някои от правомощията на комисаря по информацията за привеждане в изпълнение, разпоредбите, които криминализират определени нарушения на защитата на данните, и разпоредбите, свързани с обработване поради специални цели, като например журналистически, академични или художествени. Това освобождаване може да се използва въз основа на анализа на всеки отделен случай (221). Както е обяснено от органите на Обединеното кралство и потвърдено от съдебната практика на съдилищата на Обединеното кралство, „а) администраторът трябва да вземе предвид действителните последици за националната сигурност или отбрана, ако трябва да спазва конкретната разпоредба за защита на данните и ако би могъл разумно да спази обичайното правило, без да се засяга националната сигурност или отбрана“ (222). Дали освобождаването е било използвано по подходящ начин, подлежи на надзор от страна на ICO (223).

221

222

223

| (131) | Освен това във връзка с възможността за ограничаване на някое от горепосочените права с цел защита на „националната сигурност“ член 79 от ЗЗД от 2018 г. дава възможност на администратора да подаде заявление за удостоверение, подписано от министър или от главния прокурор, удостоверяващо, че ограничаването на тези права представлява или в определен момент е представлявало необходима и пропорционална мярка за защита на националната сигурност (224). Правителството на Обединеното кралство издаде насоки относно удостоверенията за национална сигурност съгласно ЗЗД от 2018 г., в които по-специално се подчертава, че всяко ограничаване на правата на субектите на данни с цел опазване на националната сигурност трябва да бъде пропорционално и необходимо (225). Всички удостоверения за национална сигурност трябва да бъдат публикувани на уебсайта на ICO (226). |
| --- | --- |

(131)

Освен това във връзка с възможността за ограничаване на някое от горепосочените права с цел защита на „националната сигурност“ член 79 от ЗЗД от 2018 г. дава възможност на администратора да подаде заявление за удостоверение, подписано от министър или от главния прокурор, удостоверяващо, че ограничаването на тези права представлява или в определен момент е представлявало необходима и пропорционална мярка за защита на националната сигурност (224). Правителството на Обединеното кралство издаде насоки относно удостоверенията за национална сигурност съгласно ЗЗД от 2018 г., в които по-специално се подчертава, че всяко ограничаване на правата на субектите на данни с цел опазване на националната сигурност трябва да бъде пропорционално и необходимо (225). Всички удостоверения за национална сигурност трябва да бъдат публикувани на уебсайта на ICO (226).

224

225

226

| (132) | Удостоверението следва да бъде за определен срок, не по-дълъг от пет години, така че да бъде редовно преразглеждано от орган на изпълнителната власт (227). В удостоверението се посочват личните данни или категориите лични данни, предмет на освобождаването, както и разпоредбите на ЗЗД от 2018 г., за които се прилага освобождаването (228). |
| --- | --- |

(132)

Удостоверението следва да бъде за определен срок, не по-дълъг от пет години, така че да бъде редовно преразглеждано от орган на изпълнителната власт (227). В удостоверението се посочват личните данни или категориите лични данни, предмет на освобождаването, както и разпоредбите на ЗЗД от 2018 г., за които се прилага освобождаването (228).

227

228

| (133) | Важно е да се отбележи, че удостоверенията за национална сигурност не предвиждат допълнително основание за ограничаване на правата за защита на данните поради съображения, свързани с националната сигурност. С други думи, администраторът или обработващият лични данни може да използва удостоверение само когато е стигнал до заключението, че е необходимо да се използва освобождаването, свързано с националната сигурност, като то трябва да се прилага въз основа на анализа на всеки отделен случай. Дори ако по отношение на въпросния случай се прилага удостоверение за национална сигурност, ICO може да проучи дали в конкретен случай е оправдано да се използва освобождаването, свързано с националната сигурност (229). |
| --- | --- |

(133)

Важно е да се отбележи, че удостоверенията за национална сигурност не предвиждат допълнително основание за ограничаване на правата за защита на данните поради съображения, свързани с националната сигурност. С други думи, администраторът или обработващият лични данни може да използва удостоверение само когато е стигнал до заключението, че е необходимо да се използва освобождаването, свързано с националната сигурност, като то трябва да се прилага въз основа на анализа на всеки отделен случай. Дори ако по отношение на въпросния случай се прилага удостоверение за национална сигурност, ICO може да проучи дали в конкретен случай е оправдано да се използва освобождаването, свързано с националната сигурност (229).

229

| (134) | Всяко лице, пряко засегнато от издаването на удостоверението, може да обжалва решението за издаване на удостоверението (230) пред трибунала от по-горна инстанция (231) или, когато удостоверението идентифицира данни чрез общо описание, да оспори прилагането на удостоверението по отношение на конкретни данни (232). |
| --- | --- |

(134)

Всяко лице, пряко засегнато от издаването на удостоверението, може да обжалва решението за издаване на удостоверението (230) пред трибунала от по-горна инстанция (231) или, когато удостоверението идентифицира данни чрез общо описание, да оспори прилагането на удостоверението по отношение на конкретни данни (232).

230

231

232

| (135) | Трибуналът ще преразгледа решението за издаване на удостоверение и ще реши дали са били налице основателни причини за издаването му (233). Той може да разгледа широк кръг от въпроси, включително да прецени необходимостта, пропорционалността и законосъобразността, като отчита въздействието върху правата на субектите на данни и претегли необходимостта от опазване на националната сигурност. В резултат на това трибуналът може да реши, че удостоверението не се прилага за конкретни лични данни, които са предмет на обжалването (234). |
| --- | --- |

(135)

Трибуналът ще преразгледа решението за издаване на удостоверение и ще реши дали са били налице основателни причини за издаването му (233). Той може да разгледа широк кръг от въпроси, включително да прецени необходимостта, пропорционалността и законосъобразността, като отчита въздействието върху правата на субектите на данни и претегли необходимостта от опазване на националната сигурност. В резултат на това трибуналът може да реши, че удостоверението не се прилага за конкретни лични данни, които са предмет на обжалването (234).

233

234

| (136) | Различен набор от възможни ограничения се отнася до тези, които се прилагат съгласно приложение 11 към ЗЗД от 2018 г. за някои разпоредби на част 4 от ЗЗД от 2018 г. (235) с цел защита на други важни цели от обществен интерес или защитени интереси, като например парламентарния имунитет, адвокатската тайна, провеждането на съдебни производства или бойната готовност на въоръжените сили. Тези разпоредби не се прилагат (освобождаване) за определени категории информация („на база категории“) или доколкото прилагането им би могло да накърни защитения интерес („на база накърняване“) (236). Позоваване на освобождаването на база накърняване може да се прави само дотолкова, доколкото прилагането на въпросната разпоредба за защита на данните би могло да накърни конкретния интерес. Следователно използването на освобождаване трябва винаги да бъде обосновано с позоваване на съответното накърняване на интерес, което би могло да настъпи в конкретния случай. Освобождаването на база категории може да се използва само по отношение на конкретната, тясно определена категория информация, за която е предоставено освобождаване. Този тип освобождаване е сходно по цел и последици с няколко от освобождаванията от действието на ОРЗД на Обединеното кралство (съгласно приложение 2 към ЗЗД от 2018 г.), които на свой ред отразяват тези, предвидени в член 23 от ОРЗД. |
| --- | --- |

(136)

Различен набор от възможни ограничения се отнася до тези, които се прилагат съгласно приложение 11 към ЗЗД от 2018 г. за някои разпоредби на част 4 от ЗЗД от 2018 г. (235) с цел защита на други важни цели от обществен интерес или защитени интереси, като например парламентарния имунитет, адвокатската тайна, провеждането на съдебни производства или бойната готовност на въоръжените сили. Тези разпоредби не се прилагат (освобождаване) за определени категории информация („на база категории“) или доколкото прилагането им би могло да накърни защитения интерес („на база накърняване“) (236). Позоваване на освобождаването на база накърняване може да се прави само дотолкова, доколкото прилагането на въпросната разпоредба за защита на данните би могло да накърни конкретния интерес. Следователно използването на освобождаване трябва винаги да бъде обосновано с позоваване на съответното накърняване на интерес, което би могло да настъпи в конкретния случай. Освобождаването на база категории може да се използва само по отношение на конкретната, тясно определена категория информация, за която е предоставено освобождаване. Този тип освобождаване е сходно по цел и последици с няколко от освобождаванията от действието на ОРЗД на Обединеното кралство (съгласно приложение 2 към ЗЗД от 2018 г.), които на свой ред отразяват тези, предвидени в член 23 от ОРЗД.

235

236

| (137) | От гореизложеното следва, че са налице ограничения и условия съгласно приложимите правни разпоредби на Обединеното кралство, както се тълкуват също така от съдилищата и от комисаря по информацията, за да се гарантира, че тези освобождавания и ограничения остават в границите на това, което е необходимо и пропорционално за защита на националната сигурност. |
| --- | --- |

(137)

От гореизложеното следва, че са налице ограничения и условия съгласно приложимите правни разпоредби на Обединеното кралство, както се тълкуват също така от съдилищата и от комисаря по информацията, за да се гарантира, че тези освобождавания и ограничения остават в границите на това, което е необходимо и пропорционално за защита на националната сигурност.

| (138) | Обработването на лични данни, извършвано от разузнавателните служби съгласно част 4 от ЗЗД от 2018 г., се надзирава от комисаря по информацията (237). |
| --- | --- |

(138)

Обработването на лични данни, извършвано от разузнавателните служби съгласно част 4 от ЗЗД от 2018 г., се надзирава от комисаря по информацията (237).

237

| (139) | Общите функции на комисаря по информацията във връзка с обработването на лични данни от разузнавателните служби съгласно част 4 от ЗЗД от 2018 г. са определени в приложение 13 към ЗЗД от 2018 г. Задачите му включват, без това изброяване да е изчерпателно, наблюдение и привеждане в изпълнение на част 4 от ЗЗД от 2018 г., повишаване на обществената осведоменост, предоставяне на консултации на Парламента, правителството и други институции относно законодателните и административните мерки, повишаване на осведомеността на администраторите и обработващите лични данни за техните задължения, предоставяне на информация на субекта на данни относно упражняването на неговите права и провеждане на разследвания. |
| --- | --- |

(139)

Общите функции на комисаря по информацията във връзка с обработването на лични данни от разузнавателните служби съгласно част 4 от ЗЗД от 2018 г. са определени в приложение 13 към ЗЗД от 2018 г. Задачите му включват, без това изброяване да е изчерпателно, наблюдение и привеждане в изпълнение на част 4 от ЗЗД от 2018 г., повишаване на обществената осведоменост, предоставяне на консултации на Парламента, правителството и други институции относно законодателните и административните мерки, повишаване на осведомеността на администраторите и обработващите лични данни за техните задължения, предоставяне на информация на субекта на данни относно упражняването на неговите права и провеждане на разследвания.

| (140) | Що се отнася до част 3 от ЗЗД от 2018 г., комисарят има правомощието да уведомява администраторите за твърдяно нарушение и да отправя предупреждения, че има вероятност дадено обработване да наруши правилата, както и да отправя официални предупреждения при потвърждаване на нарушението. Той може също така да издава изпълнителни и наказателни постановления за нарушения на определени разпоредби от закона (238). Въпреки това, за разлика от другите части на ЗЗД от 2018 г., комисарят не може да издаде ревизионно постановление на орган, свързан с националната сигурност (239). |
| --- | --- |

(140)

Що се отнася до част 3 от ЗЗД от 2018 г., комисарят има правомощието да уведомява администраторите за твърдяно нарушение и да отправя предупреждения, че има вероятност дадено обработване да наруши правилата, както и да отправя официални предупреждения при потвърждаване на нарушението. Той може също така да издава изпълнителни и наказателни постановления за нарушения на определени разпоредби от закона (238). Въпреки това, за разлика от другите части на ЗЗД от 2018 г., комисарят не може да издаде ревизионно постановление на орган, свързан с националната сигурност (239).

238

239

| (141) | Освен това в член 110 от ЗЗД от 2018 г. се предвижда изключение от използването на определени правомощия на комисаря, когато това е необходимо за целите на опазването на националната сигурност. Това включва правомощието на комисаря да издава (всякакъв вид) постановления съгласно ЗЗД (информационни, ревизионни, изпълнителни и наказателни), правомощието да извършва проверки в съответствие с международните задължения, правомощията за влизане и проверка, както и правилата относно нарушенията (240). Както е обяснено в съображение 136, тези изключения ще се прилагат само ако е необходимо и пропорционално и въз основа на анализа на всеки отделен случай. Прилагането на тези изключения може да подлежи на съдебен контрол (241). |
| --- | --- |

(141)

Освен това в член 110 от ЗЗД от 2018 г. се предвижда изключение от използването на определени правомощия на комисаря, когато това е необходимо за целите на опазването на националната сигурност. Това включва правомощието на комисаря да издава (всякакъв вид) постановления съгласно ЗЗД (информационни, ревизионни, изпълнителни и наказателни), правомощието да извършва проверки в съответствие с международните задължения, правомощията за влизане и проверка, както и правилата относно нарушенията (240). Както е обяснено в съображение 136, тези изключения ще се прилагат само ако е необходимо и пропорционално и въз основа на анализа на всеки отделен случай. Прилагането на тези изключения може да подлежи на съдебен контрол (241).

240

241

| (142) | ICO и разузнавателните служби на Обединеното кралство подписаха меморандум за разбирателство (242), с който се установява рамка за сътрудничество по редица въпроси, включително уведомленията за нарушения на сигурността на данните и разглеждането на жалбите на субектите на данни. По-специално в него се предвижда, че при получаване на жалба ICO преценява дали е направено законосъобразно позоваване на освобождаване, свързано с националната сигурност. Отговорите на запитвания, отправени от ICO в контекста на разглеждането на индивидуални жалби, трябва да бъдат дадени в срок от 20 работни дни в съответствие със съответните Насоки на правителството на Обединеното кралство относно удостоверенията за национална сигурност съгласно Закона за защита на данните, като се използват подходящи сигурни канали, ако тези отговори включват класифицирана информация. От април 2018 г. до момента ICO е получила 21 жалби от физически лица относно разузнавателните служби. Всяка жалба беше оценена и резултатът беше съобщен на субекта на данни (243). |
| --- | --- |

(142)

ICO и разузнавателните служби на Обединеното кралство подписаха меморандум за разбирателство (242), с който се установява рамка за сътрудничество по редица въпроси, включително уведомленията за нарушения на сигурността на данните и разглеждането на жалбите на субектите на данни. По-специално в него се предвижда, че при получаване на жалба ICO преценява дали е направено законосъобразно позоваване на освобождаване, свързано с националната сигурност. Отговорите на запитвания, отправени от ICO в контекста на разглеждането на индивидуални жалби, трябва да бъдат дадени в срок от 20 работни дни в съответствие със съответните Насоки на правителството на Обединеното кралство относно удостоверенията за национална сигурност съгласно Закона за защита на данните, като се използват подходящи сигурни канали, ако тези отговори включват класифицирана информация. От април 2018 г. до момента ICO е получила 21 жалби от физически лица относно разузнавателните служби. Всяка жалба беше оценена и резултатът беше съобщен на субекта на данни (243).

242

243

| (143) | Освен това Комисията по разузнаване и сигурност (ISC) упражнява парламентарен надзор върху обработването на данни от разузнавателните агенции. Тази комисия има своето правно основание в Закона за правосъдието и сигурността от 2013 г. (ЗПС от 2013 г.) (244). Със Закона ISC се създава като комисия на Парламента на Обединеното кралство. ISC се състои от членове, принадлежащи към двете камари на Парламента и назначени от министър-председателя след консултация с лидера на опозицията (245). От ISC се изисква да представя на Парламента годишен доклад относно изпълнението на своите функции и други доклади, които счита за подходящи (246). |
| --- | --- |

(143)

Освен това Комисията по разузнаване и сигурност (ISC) упражнява парламентарен надзор върху обработването на данни от разузнавателните агенции. Тази комисия има своето правно основание в Закона за правосъдието и сигурността от 2013 г. (ЗПС от 2013 г.) (244). Със Закона ISC се създава като комисия на Парламента на Обединеното кралство. ISC се състои от членове, принадлежащи към двете камари на Парламента и назначени от министър-председателя след консултация с лидера на опозицията (245). От ISC се изисква да представя на Парламента годишен доклад относно изпълнението на своите функции и други доклади, които счита за подходящи (246).

244

245

246

| (144) | От 2013 г. на ISC бяха предоставени по-големи правомощия, включително надзор на оперативните дейности на службите за сигурност. Съгласно член 2 от ЗПС от 2013 г., ISC има за задача да надзирава разходите, администрирането, политиките и операциите на националните агенции за сигурност. В ЗПС от 2013 г. се уточнява, че ISC има право да провежда разследвания по оперативни въпроси, когато те не са свързани с текущи операции (247). Меморандумът за разбирателство, договорен между министър-председателя и ISC (248), уточнява подробно елементите, които трябва да се вземат предвид, когато се преценява дали дадена дейност не е част от текуща операция (249). Министър-председателят може да поиска от ISC да разследва текущи операции и ISC може да прави преглед на информацията, предоставена доброволно от агенциите. |
| --- | --- |

(144)

От 2013 г. на ISC бяха предоставени по-големи правомощия, включително надзор на оперативните дейности на службите за сигурност. Съгласно член 2 от ЗПС от 2013 г., ISC има за задача да надзирава разходите, администрирането, политиките и операциите на националните агенции за сигурност. В ЗПС от 2013 г. се уточнява, че ISC има право да провежда разследвания по оперативни въпроси, когато те не са свързани с текущи операции (247). Меморандумът за разбирателство, договорен между министър-председателя и ISC (248), уточнява подробно елементите, които трябва да се вземат предвид, когато се преценява дали дадена дейност не е част от текуща операция (249). Министър-председателят може да поиска от ISC да разследва текущи операции и ISC може да прави преглед на информацията, предоставена доброволно от агенциите.

247

248

249

| (145) | Съгласно приложение 1 към ЗПС от 2013 г. ISC може да поиска от ръководителите на всяка една от трите разузнавателни служби да разкрият всякаква информация. Агенцията трябва да предостави тази информация, освен ако министърът не наложи вето (250). Органите на Обединеното кралство обясниха, че на практика много малко информация не достига до ISC (251). |
| --- | --- |

(145)

Съгласно приложение 1 към ЗПС от 2013 г. ISC може да поиска от ръководителите на всяка една от трите разузнавателни служби да разкрият всякаква информация. Агенцията трябва да предостави тази информация, освен ако министърът не наложи вето (250). Органите на Обединеното кралство обясниха, че на практика много малко информация не достига до ISC (251).

250

251

| (146) | По отношение на средствата за правна защита, на първо място, съгласно член 165, параграф 2 от ЗЗД от 2018 г. субектът на данни може да подаде жалба до ICO, ако счита, че във връзка с отнасящите се до него лични данни е налице нарушение на част 4 от ЗЗД от 2018 г., включително всяко неправомерно използване на дерогациите и ограниченията, свързани с националната сигурност. |
| --- | --- |

(146)

По отношение на средствата за правна защита, на първо място, съгласно член 165, параграф 2 от ЗЗД от 2018 г. субектът на данни може да подаде жалба до ICO, ако счита, че във връзка с отнасящите се до него лични данни е налице нарушение на част 4 от ЗЗД от 2018 г., включително всяко неправомерно използване на дерогациите и ограниченията, свързани с националната сигурност.

| (147) | Освен това съгласно част 4 от ЗЗД от 2018 г. физическите лица имат право да поискат от Висшия съд (или Върховния съд по граждански дела (Court of Session) в Шотландия) да постанови мярка, с която на администратора се разпорежда да спазва правото на достъп до данните (252), да възразят срещу обработването (253) и на коригиране или изтриване. |
| --- | --- |

(147)

Освен това съгласно част 4 от ЗЗД от 2018 г. физическите лица имат право да поискат от Висшия съд (или Върховния съд по граждански дела (Court of Session) в Шотландия) да постанови мярка, с която на администратора се разпорежда да спазва правото на достъп до данните (252), да възразят срещу обработването (253) и на коригиране или изтриване.

252

253

| (148) | Физическите лица също така имат право да поискат обезщетение за вреди от администратора или обработващия лични данни, претърпени поради нарушение на изискване на част 4 от ЗЗД от 2018 г. (254). Вредите включват както финансови загуби, така и вреди, които не са свързани с финансови загуби, като например емоционално страдание (255). |
| --- | --- |

(148)

Физическите лица също така имат право да поискат обезщетение за вреди от администратора или обработващия лични данни, претърпени поради нарушение на изискване на част 4 от ЗЗД от 2018 г. (254). Вредите включват както финансови загуби, така и вреди, които не са свързани с финансови загуби, като например емоционално страдание (255).

254

255

| (149) | Накрая, дадено лице може да подаде жалба до Трибунала за правомощията за разследване (Investigatory Powers Tribunal) за всяко действие, извършено пряко от или от името на разузнавателните агенции на Обединеното кралство (256). Трибуналът за правомощията за разследване (IPT) е създаден със Закона за уреждане на правомощията за разследване от 2000 г. за Англия, Уелс и Северна Ирландия и Закона за уреждане на правомощията за разследване (Шотландия) от 2000 г. за Шотландия (ЗУПР от 2000 г.) и е независим от изпълнителната власт (257). В съответствие с член 65 от ЗУПР от 2000 г. членовете на IPT се назначават от Нейно Величество за срок от пет години. |
| --- | --- |

(149)

Накрая, дадено лице може да подаде жалба до Трибунала за правомощията за разследване (Investigatory Powers Tribunal) за всяко действие, извършено пряко от или от името на разузнавателните агенции на Обединеното кралство (256). Трибуналът за правомощията за разследване (IPT) е създаден със Закона за уреждане на правомощията за разследване от 2000 г. за Англия, Уелс и Северна Ирландия и Закона за уреждане на правомощията за разследване (Шотландия) от 2000 г. за Шотландия (ЗУПР от 2000 г.) и е независим от изпълнителната власт (257). В съответствие с член 65 от ЗУПР от 2000 г. членовете на IPT се назначават от Нейно Величество за срок от пет години.

256

257

| (150) | Член на Трибунала може да бъде отстранен от длъжност от Нейно величество след обръщение (258) от страна на двете камари на Парламента (259). |
| --- | --- |

(150)

Член на Трибунала може да бъде отстранен от длъжност от Нейно величество след обръщение (258) от страна на двете камари на Парламента (259).

258

259

| (151) | За да предяви иск пред IPT („изискване за процесуална легитимация“), съгласно член 65 от ЗУПР от 2000 г. дадено лице трябва да е убедено, че i) спрямо него, спрямо негова собственост, спрямо съобщения, изпратени от него или до него, или предназначени за него, или спрямо използването от него на пощенска или далекосъобщителна услуга, или далекосъобщителна система (260) е било извършено действие от разузнавателна служба, и ii) че действието е извършено при „подлежащи на обжалване обстоятелства“ (261) или „е извършено от или за сметка на разузнавателни служби“ (262). Тъй като по-специално понятието „убедено“ се тълкува доста широко (263), завеждането на дело пред Трибунала подлежи на сравнително ниски изисквания за процесуална легитимация. |
| --- | --- |

(151)

За да предяви иск пред IPT („изискване за процесуална легитимация“), съгласно член 65 от ЗУПР от 2000 г. дадено лице трябва да е убедено, че i) спрямо него, спрямо негова собственост, спрямо съобщения, изпратени от него или до него, или предназначени за него, или спрямо използването от него на пощенска или далекосъобщителна услуга, или далекосъобщителна система (260) е било извършено действие от разузнавателна служба, и ii) че действието е извършено при „подлежащи на обжалване обстоятелства“ (261) или „е извършено от или за сметка на разузнавателни служби“ (262). Тъй като по-специално понятието „убедено“ се тълкува доста широко (263), завеждането на дело пред Трибунала подлежи на сравнително ниски изисквания за процесуална легитимация.

260

261

262

263

| (152) | Когато Трибуналът разглежда жалба, подадена до него, той е длъжен да разследва дали лицата, за които в жалбата са направени определени твърдения, са имали контакт с жалбоподателя, както и да разследва органа, за който се твърди, че е участвал в нарушенията, и дали твърдяното действие е било извършено (264). Когато води дадено производство, Трибуналът трябва да прилага същите принципи за произнасяне в това производство, които биха били приложени от него във връзка с молба за съдебен контрол (265). |
| --- | --- |

(152)

Когато Трибуналът разглежда жалба, подадена до него, той е длъжен да разследва дали лицата, за които в жалбата са направени определени твърдения, са имали контакт с жалбоподателя, както и да разследва органа, за който се твърди, че е участвал в нарушенията, и дали твърдяното действие е било извършено (264). Когато води дадено производство, Трибуналът трябва да прилага същите принципи за произнасяне в това производство, които биха били приложени от него във връзка с молба за съдебен контрол (265).

264

265

| (153) | Трибуналът трябва да уведоми жалбоподателя дали жалбата е решена в негова полза или не (266). Съгласно член 67, параграфи 6 и 7 от ЗУПР от 2000 г. Трибуналът има правомощието да налага временни мерки и да присъжда обезщетение или да постановява всяко друго решение, което счита за уместно (267). Съгласно член 67а от ЗУПР от 2000 г. решението на Трибунала може да бъде обжалвано, при условие че бъде допуснато от Трибунала или от съответния въззивен съд. |
| --- | --- |

(153)

Трибуналът трябва да уведоми жалбоподателя дали жалбата е решена в негова полза или не (266). Съгласно член 67, параграфи 6 и 7 от ЗУПР от 2000 г. Трибуналът има правомощието да налага временни мерки и да присъжда обезщетение или да постановява всяко друго решение, което счита за уместно (267). Съгласно член 67а от ЗУПР от 2000 г. решението на Трибунала може да бъде обжалвано, при условие че бъде допуснато от Трибунала или от съответния въззивен съд.

266

267

| (154) | По-специално, физическите лица могат да предявят иск и да получат правна защита от IPT, когато считат, че публичен орган е действал (или възнамерява да действа) по начин, който е несъвместим с правата на ЕКПЧ, включително правото на неприкосновеност на личния живот и на защита на данните, и който следователно е незаконосъобразен съгласно член 6, параграф 1 от Закона за правата на човека от 1998 г. На IPT е предоставена изключителна компетентност по отношение на всички искове по Закона за правата на човека във връзка с разузнавателните агенции. Това означава, както отбелязва Висшият съд (High Court), че „дали е налице нарушение на Закона за правата на човека по отношение на фактите по конкретно дело, е нещо, което по принцип може да бъде повдигнато пред и отсъдено от независим трибунал, който има достъп до всички релевантни материали, включително до секретни материали. [...] В този контекст също така имаме предвид, че решенията на IPT вече могат да бъдат обжалвани пред подходящ въззивен съд (в Англия и Уелс, това ще бъде Апелативният съд); и че Върховният съд наскоро реши, че актовете на IPT по принцип подлежат на съдебен контрол: вж. R (Privacy International)/Investigatory Powers Tribunal [2019] UKSC 22; [2019] 2 WLR 1219“ (268). Ако IPT установи, че акт на публичен орган е незаконосъобразен, той може да предостави такова поправяне на вредите или обезщетение или да постанови такава мярка, в рамките на своите правомощия, каквито счита за справедливи и подходящи (269). |
| --- | --- |

(154)

По-специално, физическите лица могат да предявят иск и да получат правна защита от IPT, когато считат, че публичен орган е действал (или възнамерява да действа) по начин, който е несъвместим с правата на ЕКПЧ, включително правото на неприкосновеност на личния живот и на защита на данните, и който следователно е незаконосъобразен съгласно член 6, параграф 1 от Закона за правата на човека от 1998 г. На IPT е предоставена изключителна компетентност по отношение на всички искове по Закона за правата на човека във връзка с разузнавателните агенции. Това означава, както отбелязва Висшият съд (High Court), че „дали е налице нарушение на Закона за правата на човека по отношение на фактите по конкретно дело, е нещо, което по принцип може да бъде повдигнато пред и отсъдено от независим трибунал, който има достъп до всички релевантни материали, включително до секретни материали. [...] В този контекст също така имаме предвид, че решенията на IPT вече могат да бъдат обжалвани пред подходящ въззивен съд (в Англия и Уелс, това ще бъде Апелативният съд); и че Върховният съд наскоро реши, че актовете на IPT по принцип подлежат на съдебен контрол: вж. R (Privacy International)/Investigatory Powers Tribunal [2019] UKSC 22; [2019] 2 WLR 1219“ (268). Ако IPT установи, че акт на публичен орган е незаконосъобразен, той може да предостави такова поправяне на вредите или обезщетение или да постанови такава мярка, в рамките на своите правомощия, каквито счита за справедливи и подходящи (269).

High Court

R (Privacy International)/Investigatory Powers Tribunal

268

269

| (155) | След изчерпване на националните средства за правна защита дадено лице може да получи правна защита от Европейския съд по правата на човека за нарушения на правата, гарантирани от ЕКПЧ, включително на правото на неприкосновеност на личния живот и на защита на данните. |
| --- | --- |

(155)

След изчерпване на националните средства за правна защита дадено лице може да получи правна защита от Европейския съд по правата на човека за нарушения на правата, гарантирани от ЕКПЧ, включително на правото на неприкосновеност на личния живот и на защита на данните.

| (156) | От гореизложеното следва, че споделянето от страна на правоприлагащите органи в областта на наказателното право на Обединеното кралство, на данни, предавани съгласно настоящото решение, с други публични органи, включително разузнавателни агенции, е обхванато от ограничения и условия, които гарантират, че такова последващо споделяне ще бъде необходимо и пропорционално и ще подлежи на специални гаранции за защита на данните съгласно ЗЗД от 2018 г. Освен това обработването на данни от съответните публични органи се надзирава от независими органи и засегнатите лица имат достъп до ефективни средства за правна защита. |
| --- | --- |

(156)

От гореизложеното следва, че споделянето от страна на правоприлагащите органи в областта на наказателното право на Обединеното кралство, на данни, предавани съгласно настоящото решение, с други публични органи, включително разузнавателни агенции, е обхванато от ограничения и условия, които гарантират, че такова последващо споделяне ще бъде необходимо и пропорционално и ще подлежи на специални гаранции за защита на данните съгласно ЗЗД от 2018 г. Освен това обработването на данни от съответните публични органи се надзирава от независими органи и засегнатите лица имат достъп до ефективни средства за правна защита.

3.   ЗАКЛЮЧЕНИЕ

ЗАКЛЮЧЕНИЕ

| (157) | Комисията счита, че част 3 от ЗЗД от 2018 г. гарантира ниво на защита на личните данни, предавани за целите на наказателното правоприлагане от компетентните органи в Съюза на компетентните органи на Обединеното кралство, което по същество е равностойно на гарантираното от Директива (ЕС) 2016/680. |
| --- | --- |

(157)

Комисията счита, че част 3 от ЗЗД от 2018 г. гарантира ниво на защита на личните данни, предавани за целите на наказателното правоприлагане от компетентните органи в Съюза на компетентните органи на Обединеното кралство, което по същество е равностойно на гарантираното от Директива (ЕС) 2016/680.

| (158) | Комисията смята освен това, че като цяло механизмите за упражняване на надзор и възможностите за правна защита, предвидени от правото на Обединеното кралство, позволяват нарушенията да бъдат установени и реално наказани и предоставят на субекта на данни правни средства за защита за получаване на достъп до отнасящите се до него лични данни и в крайна сметка за коригиране или изтриване на такива данни. |
| --- | --- |

(158)

Комисията смята освен това, че като цяло механизмите за упражняване на надзор и възможностите за правна защита, предвидени от правото на Обединеното кралство, позволяват нарушенията да бъдат установени и реално наказани и предоставят на субекта на данни правни средства за защита за получаване на достъп до отнасящите се до него лични данни и в крайна сметка за коригиране или изтриване на такива данни.

| (159) | Накрая, въз основа на наличната информация относно правния ред на Обединеното кралство Комисията счита, че всяка намеса, свързана с основните права на физическите лица, чиито лични данни се предават от Европейския съюз на Обединеното кралство, от страна на публични органи на Обединеното кралство за цели от обществен интерес, включително в контекста на споделяне на лични данни между правоприлагащите органи и други публични органи, като например националните органи за сигурност, ще бъде ограничена до строго необходимото за постигане на въпросната законна цел, и че съществува ефективна правна защита срещу подобна намеса. |
| --- | --- |

(159)

Накрая, въз основа на наличната информация относно правния ред на Обединеното кралство Комисията счита, че всяка намеса, свързана с основните права на физическите лица, чиито лични данни се предават от Европейския съюз на Обединеното кралство, от страна на публични органи на Обединеното кралство за цели от обществен интерес, включително в контекста на споделяне на лични данни между правоприлагащите органи и други публични органи, като например националните органи за сигурност, ще бъде ограничена до строго необходимото за постигане на въпросната законна цел, и че съществува ефективна правна защита срещу подобна намеса.

| (160) | Поради това следва да се вземе решение, че Обединеното кралство осигурява адекватно ниво на защита по смисъла на член 36, параграф 2 от Директива (ЕС) 2016/680, тълкуван в светлината на Хартата на основните права. |
| --- | --- |

(160)

Поради това следва да се вземе решение, че Обединеното кралство осигурява адекватно ниво на защита по смисъла на член 36, параграф 2 от Директива (ЕС) 2016/680, тълкуван в светлината на Хартата на основните права.

| (161) | Това заключение се основава както на съответния вътрешен режим на Обединеното кралство, така и на международните му ангажименти, по-специално на спазването на Европейската конвенция за правата на човека и признаването на юрисдикцията на Европейския съд по правата на човека. Следователно спазването на такива международни задължения е особено важен елемент от оценката, на която се основава настоящото решение. |
| --- | --- |

(161)

Това заключение се основава както на съответния вътрешен режим на Обединеното кралство, така и на международните му ангажименти, по-специално на спазването на Европейската конвенция за правата на човека и признаването на юрисдикцията на Европейския съд по правата на човека. Следователно спазването на такива международни задължения е особено важен елемент от оценката, на която се основава настоящото решение.

4.   ПОСЛЕДИЦИ ОТ НАСТОЯЩОТО РЕШЕНИЕ И ДЕЙСТВИЯ НА ОРГАНИТЕ ЗА ЗАЩИТА НА ДАННИТЕ

ПОСЛЕДИЦИ ОТ НАСТОЯЩОТО РЕШЕНИЕ И ДЕЙСТВИЯ НА ОРГАНИТЕ ЗА ЗАЩИТА НА ДАННИТЕ

| (162) | Държавите членки и техните органи са длъжни да предприемат необходимите мерки за спазване на актовете на институциите на Съюза, тъй като тези актове по презумпция са законосъобразни и съответно произвеждат правно действие, докато срокът им на действие не изтече, не бъдат оттеглени, отменени вследствие на жалба за отмяна или обявени за невалидни вследствие на преюдициално запитване или възражение за незаконосъобразност. |
| --- | --- |

(162)

Държавите членки и техните органи са длъжни да предприемат необходимите мерки за спазване на актовете на институциите на Съюза, тъй като тези актове по презумпция са законосъобразни и съответно произвеждат правно действие, докато срокът им на действие не изтече, не бъдат оттеглени, отменени вследствие на жалба за отмяна или обявени за невалидни вследствие на преюдициално запитване или възражение за незаконосъобразност.

| (163) | Следователно решение на Комисията относно адекватното ниво на защита, прието съгласно член 36, параграф 3 от Директива (ЕС) 2016/680, е обвързващо за всички органи на държавите членки, адресати на решението, включително за независимите им надзорни органи. По-специално по време на периода на прилагане на настоящото решение предаването на данни от администратор или обработващ лични данни в Съюза на администратори или обработващи лични данни в Обединеното кралство може да се извършва без да е необходимо допълнително разрешение. |
| --- | --- |

(163)

Следователно решение на Комисията относно адекватното ниво на защита, прието съгласно член 36, параграф 3 от Директива (ЕС) 2016/680, е обвързващо за всички органи на държавите членки, адресати на решението, включително за независимите им надзорни органи. По-специално по време на периода на прилагане на настоящото решение предаването на данни от администратор или обработващ лични данни в Съюза на администратори или обработващи лични данни в Обединеното кралство може да се извършва без да е необходимо допълнително разрешение.

| (164) | Същевременно следва да се припомни, че съгласно член 47, параграф 5 от Директива (ЕС) 2016/680 и както е обяснено от Съда в решението по дело Schrems, когато национален орган за защита на данните поставя под въпрос, включително въз основа на получена жалба, съгласуваността на дадено решение на Комисията относно адекватното ниво на защита с основните права на неприкосновеност на личния живот и на защита на данните на лицето, националното законодателство трябва да предвижда правни способи, позволяващи на съответния орган да представи възраженията си пред национална юрисдикция, която може да бъде длъжна да отправи преюдициално запитване до Съда на ЕС (270). |
| --- | --- |

(164)

Същевременно следва да се припомни, че съгласно член 47, параграф 5 от Директива (ЕС) 2016/680 и както е обяснено от Съда в решението по дело Schrems, когато национален орган за защита на данните поставя под въпрос, включително въз основа на получена жалба, съгласуваността на дадено решение на Комисията относно адекватното ниво на защита с основните права на неприкосновеност на личния живот и на защита на данните на лицето, националното законодателство трябва да предвижда правни способи, позволяващи на съответния орган да представи възраженията си пред национална юрисдикция, която може да бъде длъжна да отправи преюдициално запитване до Съда на ЕС (270).

Schrems

270

5.   НАБЛЮДЕНИЕ, СПИРАНЕ НА ДЕЙСТВИЕТО, ОТМЯНА ИЛИ ИЗМЕНЕНИЕ НА НАСТОЯЩОТО РЕШЕНИЕ

НАБЛЮДЕНИЕ, СПИРАНЕ НА ДЕЙСТВИЕТО, ОТМЯНА ИЛИ ИЗМЕНЕНИЕ НА НАСТОЯЩОТО РЕШЕНИЕ

| (165) | Съгласно член 36, параграф 4 от Директива (ЕС) 2016/680 Комисията трябва да наблюдава постоянно съответните развития в Обединеното кралство след приемането на настоящото решение, за да прецени дали то все още осигурява равностойно по същество ниво на защита. Това наблюдение е особено важно в този случай, тъй като Обединеното кралство ще администрира, прилага и привежда в изпълнение нов режим за защита на данните, спрямо който вече не се прилага правото на Съюза и който може да претърпи промени. В това отношение ще се обърне специално внимание на практическото прилагане на правилата на Обединеното кралство относно предаването на лични данни на трети държави, включително чрез сключването на международни споразумения, и на въздействието, което това може да окаже върху нивото на защита на данните, предавани съгласно настоящото решение, както и на ефективността на упражняването на индивидуалните права в областите, обхванати от настоящото решение. Наред с други елементи, развитието на съдебната практика и надзорът от страна на ICO и други независими органи ще бъдат използвани за мониторинга от страна на Комисията. |
| --- | --- |

(165)

Съгласно член 36, параграф 4 от Директива (ЕС) 2016/680 Комисията трябва да наблюдава постоянно съответните развития в Обединеното кралство след приемането на настоящото решение, за да прецени дали то все още осигурява равностойно по същество ниво на защита. Това наблюдение е особено важно в този случай, тъй като Обединеното кралство ще администрира, прилага и привежда в изпълнение нов режим за защита на данните, спрямо който вече не се прилага правото на Съюза и който може да претърпи промени. В това отношение ще се обърне специално внимание на практическото прилагане на правилата на Обединеното кралство относно предаването на лични данни на трети държави, включително чрез сключването на международни споразумения, и на въздействието, което това може да окаже върху нивото на защита на данните, предавани съгласно настоящото решение, както и на ефективността на упражняването на индивидуалните права в областите, обхванати от настоящото решение. Наред с други елементи, развитието на съдебната практика и надзорът от страна на ICO и други независими органи ще бъдат използвани за мониторинга от страна на Комисията.

| (166) | За да се улесни този мониторинг, органите на Обединеното кралство следва своевременно и редовно да информират Комисията за всяка съществена промяна в правния ред на Обединеното кралство, която има отражение върху правната уредба, предмет на настоящото решение, както и за всяко развитие на практиките, свързани с обработването на личните данни, оценени в настоящото решение, и по-специално за елементите, посочени в съображение 165. |
| --- | --- |

(166)

За да се улесни този мониторинг, органите на Обединеното кралство следва своевременно и редовно да информират Комисията за всяка съществена промяна в правния ред на Обединеното кралство, която има отражение върху правната уредба, предмет на настоящото решение, както и за всяко развитие на практиките, свързани с обработването на личните данни, оценени в настоящото решение, и по-специално за елементите, посочени в съображение 165.

| (167) | На следващо място, за да се даде възможност на Комисията да изпълнява ефективно функцията си по извършване на наблюдение, държавите членки следва да я информират за всички релевантни действия, предприети от националните органи по защита на данните, по-специално във връзка със запитвания или жалби на субекти на данни от ЕС във връзка с предаване на лични данни от Съюза към компетентни органи на Обединеното кралство. Комисията следва да бъде информирана и за всеки признак, че действията на публичните органи на Обединеното кралство, отговарящи за предотвратяването, разследването, разкриването или наказателното преследване на престъпления, включително тези на надзорните органи, не гарантират изискваното ниво на защита. |
| --- | --- |

(167)

На следващо място, за да се даде възможност на Комисията да изпълнява ефективно функцията си по извършване на наблюдение, държавите членки следва да я информират за всички релевантни действия, предприети от националните органи по защита на данните, по-специално във връзка със запитвания или жалби на субекти на данни от ЕС във връзка с предаване на лични данни от Съюза към компетентни органи на Обединеното кралство. Комисията следва да бъде информирана и за всеки признак, че действията на публичните органи на Обединеното кралство, отговарящи за предотвратяването, разследването, разкриването или наказателното преследване на престъпления, включително тези на надзорните органи, не гарантират изискваното ниво на защита.

| (168) | Когато наличната информация, по-специално информацията, получена в резултат на наблюдението на настоящото решение или предоставена от органите на Обединеното кралство или на държавите членки, показва, че нивото на защита, предлагано от Обединеното кралство, може вече да не е адекватно, Комисията следва незабавно да информира компетентните органи на Обединеното кралство за това и да поиска предприемането на подходящи мерки в определен срок, който не може да надвишава три месеца. При необходимост този срок може да бъде удължен за определен период от време, като се вземе предвид естеството на разглеждания въпрос и/или мерките, които трябва да бъдат предприети. |
| --- | --- |

(168)

Когато наличната информация, по-специално информацията, получена в резултат на наблюдението на настоящото решение или предоставена от органите на Обединеното кралство или на държавите членки, показва, че нивото на защита, предлагано от Обединеното кралство, може вече да не е адекватно, Комисията следва незабавно да информира компетентните органи на Обединеното кралство за това и да поиска предприемането на подходящи мерки в определен срок, който не може да надвишава три месеца. При необходимост този срок може да бъде удължен за определен период от време, като се вземе предвид естеството на разглеждания въпрос и/или мерките, които трябва да бъдат предприети.

| (169) | Ако при изтичането на посочения срок компетентните органи на Обединеното кралство не предприемат тези мерки или не докажат по друг задоволителен начин, че настоящото решение продължава да се основава на адекватно ниво на защита, Комисията ще започне процедурата, посочена в член 58, параграф 2 от Директива (ЕС) 2016/680, с оглед частично или пълно спиране на действието или отмяна на настоящото решение. |
| --- | --- |

(169)

Ако при изтичането на посочения срок компетентните органи на Обединеното кралство не предприемат тези мерки или не докажат по друг задоволителен начин, че настоящото решение продължава да се основава на адекватно ниво на защита, Комисията ще започне процедурата, посочена в член 58, параграф 2 от Директива (ЕС) 2016/680, с оглед частично или пълно спиране на действието или отмяна на настоящото решение.

| (170) | Като алтернативна възможност Комисията ще започне тази процедура с оглед изменение на Решението, по-специално като обвърже предаването на данни с допълнителни условия или като ограничи обхвата на констатацията за адекватност само до предаването на данни, за което продължава да се осигурява адекватно ниво на защита. |
| --- | --- |

(170)

Като алтернативна възможност Комисията ще започне тази процедура с оглед изменение на Решението, по-специално като обвърже предаването на данни с допълнителни условия или като ограничи обхвата на констатацията за адекватност само до предаването на данни, за което продължава да се осигурява адекватно ниво на защита.

| (171) | При надлежно обосновани наложителни причини за спешност Комисията ще използва възможността да приеме, в съответствие с процедурата, посочена в член 58, параграф 3 от Директива (ЕС) 2016/680, актове за изпълнение с незабавно приложение за спиране на действието, отмяна или изменение на решението. |
| --- | --- |

(171)

При надлежно обосновани наложителни причини за спешност Комисията ще използва възможността да приеме, в съответствие с процедурата, посочена в член 58, параграф 3 от Директива (ЕС) 2016/680, актове за изпълнение с незабавно приложение за спиране на действието, отмяна или изменение на решението.

6.   СРОК НА ДЕЙСТВИЕ И ПОДНОВЯВЯНАЕ НА НАСТОЯЩОТО РЕШЕНИЕ

СРОК НА ДЕЙСТВИЕ И ПОДНОВЯВЯНАЕ НА НАСТОЯЩОТО РЕШЕНИЕ

| (172) | Следва да се вземе предвид, че в края на преходния период, предвиден в Споразумението за оттегляне, и веднага след като временната разпоредба по член 782 от Споразумението за търговия и сътрудничество между ЕС и Обединеното кралство престане да се прилага, Обединеното кралство ще администрира, прилага и привежда в изпълнение нов режим за защита на данните в сравнение с този, който е бил в сила, когато е било обвързано от правото на Европейския съюз. Това може по-специално да включва изменения или промени в уредбата за защита на данните, оценена в настоящото решение, както и други релевантни развития. |
| --- | --- |

(172)

Следва да се вземе предвид, че в края на преходния период, предвиден в Споразумението за оттегляне, и веднага след като временната разпоредба по член 782 от Споразумението за търговия и сътрудничество между ЕС и Обединеното кралство престане да се прилага, Обединеното кралство ще администрира, прилага и привежда в изпълнение нов режим за защита на данните в сравнение с този, който е бил в сила, когато е било обвързано от правото на Европейския съюз. Това може по-специално да включва изменения или промени в уредбата за защита на данните, оценена в настоящото решение, както и други релевантни развития.

| (173) | Поради това е целесъобразно да се предвиди настоящото решение да се прилага за период от четири години, считано от влизането му в сила. |
| --- | --- |

(173)

Поради това е целесъобразно да се предвиди настоящото решение да се прилага за период от четири години, считано от влизането му в сила.

| (174) | Когато по-специално информацията, получена в резултат на наблюдението на настоящото решение, покаже, че констатациите относно адекватността на нивото на защита, осигурявано в Обединеното кралство, все още са фактически и правно обосновани, Комисията следва, най-късно шест месеца преди настоящото решение да престане да се прилага, да започне процедурата за изменение на настоящото решение чрез удължаване на неговия времеви обхват, по принцип, за допълнителен период от четири години. Всеки подобен акт за изпълнение, изменящ настоящото решение, трябва да бъде приет в съответствие с процедурата, посочена в член 58, параграф 2 от Директива (ЕС) 2016/680. |
| --- | --- |

(174)

Когато по-специално информацията, получена в резултат на наблюдението на настоящото решение, покаже, че констатациите относно адекватността на нивото на защита, осигурявано в Обединеното кралство, все още са фактически и правно обосновани, Комисията следва, най-късно шест месеца преди настоящото решение да престане да се прилага, да започне процедурата за изменение на настоящото решение чрез удължаване на неговия времеви обхват, по принцип, за допълнителен период от четири години. Всеки подобен акт за изпълнение, изменящ настоящото решение, трябва да бъде приет в съответствие с процедурата, посочена в член 58, параграф 2 от Директива (ЕС) 2016/680.

7.   ЗАКЛЮЧИТЕЛНИ СЪОБРАЖЕНИЯ

ЗАКЛЮЧИТЕЛНИ СЪОБРАЖЕНИЯ

| (175) | Европейският комитет по защита на данните публикува становището си (271), като то бе взето предвид при изготвянето на настоящото решение. |
| --- | --- |

(175)

Европейският комитет по защита на данните публикува становището си (271), като то бе взето предвид при изготвянето на настоящото решение.

271

| (176) | Мерките, предвидени в настоящото решение, са в съответствие със становището на комитета, създаден по силата на член 58 от Директива (ЕС) 2016/680. |
| --- | --- |

(176)

Мерките, предвидени в настоящото решение, са в съответствие със становището на комитета, създаден по силата на член 58 от Директива (ЕС) 2016/680.

| (177) | В съответствие с член 6а от Протокол No 21 относно позицията на Обединеното кралство и Ирландия по отношение на пространството на свобода, сигурност и правосъдие, приложен към ДЕС и към ДФЕС, Ирландия не e обвързана от заложените в Директива (ЕС) 2016/680 правила и съответно от настоящото решение за изпълнение относно обработването на лични данни от държавите членки при осъществяване на дейности, попадащи в обхвата на трета част, дял V, глава 4 или глава 5 от ДФЕС, когато Ирландия не е обвързана от правилата, уреждащи формите на съдебно сътрудничество по наказателноправни въпроси или на полицейско сътрудничество, в рамките на които трябва да бъдат съблюдавани разпоредбите, установени въз основа на член 16 от ДФЕС. Освен това по силата на Решение за изпълнение (ЕС) 2020/1745 на Съвета (272) Директива (ЕС) 2016/680 трябва да бъде приведена в действие и да се прилага временно в Ирландия, считано от 1 януари 2021 г. Следователно Ирландия е обвързана от настоящото решение за изпълнение при същите условия, които се прилагат за прилагането на Директива (ЕС) 2016/680 в Ирландия, посочени в Решение за изпълнение (ЕС) 2020/1745 по отношение на достиженията на правото от Шенген, в които участва. |
| --- | --- |

(177)

В съответствие с член 6а от Протокол No 21 относно позицията на Обединеното кралство и Ирландия по отношение на пространството на свобода, сигурност и правосъдие, приложен към ДЕС и към ДФЕС, Ирландия не e обвързана от заложените в Директива (ЕС) 2016/680 правила и съответно от настоящото решение за изпълнение относно обработването на лични данни от държавите членки при осъществяване на дейности, попадащи в обхвата на трета част, дял V, глава 4 или глава 5 от ДФЕС, когато Ирландия не е обвързана от правилата, уреждащи формите на съдебно сътрудничество по наказателноправни въпроси или на полицейско сътрудничество, в рамките на които трябва да бъдат съблюдавани разпоредбите, установени въз основа на член 16 от ДФЕС. Освен това по силата на Решение за изпълнение (ЕС) 2020/1745 на Съвета (272) Директива (ЕС) 2016/680 трябва да бъде приведена в действие и да се прилага временно в Ирландия, считано от 1 януари 2021 г. Следователно Ирландия е обвързана от настоящото решение за изпълнение при същите условия, които се прилагат за прилагането на Директива (ЕС) 2016/680 в Ирландия, посочени в Решение за изпълнение (ЕС) 2020/1745 по отношение на достиженията на правото от Шенген, в които участва.

272

| (178) | В съответствие с членове 2 и 2а от Протокол No 22 относно позицията на Дания, приложен към Договора за Европейския съюз и към Договора за функционирането на Европейския съюз, Дания не е обвързана от правилата, установени в Директива (ЕС) 2016/680 и следователно от настоящото решение за изпълнение, нито от тяхното прилагане, свързано с обработването на лични данни от държавите членки при извършването на дейности, които попадат в обхвата на част трета, дял V, глава 4 или глава 5 от ДФЕС. Като се има предвид обаче, че Директива (ЕС) 2016/680 се основава на достиженията на правото от Шенген, в съответствие с член 4 от посочения протокол на 26 октомври 2016 г. Дания уведоми за решението си да прилага Директива (ЕС) 2016/680. Следователно по силата на международното право Дания е длъжна да прилага настоящото решение за изпълнение. |
| --- | --- |

(178)

В съответствие с членове 2 и 2а от Протокол No 22 относно позицията на Дания, приложен към Договора за Европейския съюз и към Договора за функционирането на Европейския съюз, Дания не е обвързана от правилата, установени в Директива (ЕС) 2016/680 и следователно от настоящото решение за изпълнение, нито от тяхното прилагане, свързано с обработването на лични данни от държавите членки при извършването на дейности, които попадат в обхвата на част трета, дял V, глава 4 или глава 5 от ДФЕС. Като се има предвид обаче, че Директива (ЕС) 2016/680 се основава на достиженията на правото от Шенген, в съответствие с член 4 от посочения протокол на 26 октомври 2016 г. Дания уведоми за решението си да прилага Директива (ЕС) 2016/680. Следователно по силата на международното право Дания е длъжна да прилага настоящото решение за изпълнение.

| (179) | По отношение на Исландия и Норвегия настоящото решение за изпълнение представлява развитие на разпоредбите на достиженията на правото от Шенген по смисъла на Споразумението, сключено от Съвета на Европейския съюз и Република Исландия и Кралство Норвегия за асоциирането на последните в процеса на изпълнение, прилагане и развитие на достиженията на правото от Шенген (273). |
| --- | --- |

(179)

По отношение на Исландия и Норвегия настоящото решение за изпълнение представлява развитие на разпоредбите на достиженията на правото от Шенген по смисъла на Споразумението, сключено от Съвета на Европейския съюз и Република Исландия и Кралство Норвегия за асоциирането на последните в процеса на изпълнение, прилагане и развитие на достиженията на правото от Шенген (273).

273

| (180) | По отношение на Швейцария настоящото решение за изпълнение представлява развитие на разпоредбите на достиженията на правото от Шенген по смисъла на Споразумението между Европейския съюз, Европейската общност и Конфедерация Швейцария относно асоциирането на Конфедерация Швейцария към изпълнението, прилагането и развитието на достиженията на правото от Шенген (274). |
| --- | --- |

(180)

По отношение на Швейцария настоящото решение за изпълнение представлява развитие на разпоредбите на достиженията на правото от Шенген по смисъла на Споразумението между Европейския съюз, Европейската общност и Конфедерация Швейцария относно асоциирането на Конфедерация Швейцария към изпълнението, прилагането и развитието на достиженията на правото от Шенген (274).

274

| (181) | По отношение на Лихтенщайн настоящото решение за изпълнение представлява развитие на разпоредбите на достиженията на правото от Шенген по смисъла на Протокола между Европейския съюз, Европейската общност, Конфедерация Швейцария и Княжество Лихтенщайн относно присъединяването на Княжество Лихтенщайн към Споразумението между Европейския съюз, Европейската общност и Конфедерация Швейцария относно асоциирането на Конфедерация Швейцария към изпълнението, прилагането и развитието на достиженията на правото от Шенген (275). |
| --- | --- |

(181)

По отношение на Лихтенщайн настоящото решение за изпълнение представлява развитие на разпоредбите на достиженията на правото от Шенген по смисъла на Протокола между Европейския съюз, Европейската общност, Конфедерация Швейцария и Княжество Лихтенщайн относно присъединяването на Княжество Лихтенщайн към Споразумението между Европейския съюз, Европейската общност и Конфедерация Швейцария относно асоциирането на Конфедерация Швейцария към изпълнението, прилагането и развитието на достиженията на правото от Шенген (275).

275

ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:

Член 1

За целите на член 36 от Директива (ЕС) 2016/680 Обединеното кралство осигурява адекватно ниво на защита на личните данни, предавани от Европейския съюз на публичните органи на Обединеното кралство, отговарящи за предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания.

Член 2

Когато с цел защита на физическите лица във връзка с обработване на техни лични данни компетентните надзорни органи в държавите членки упражняват правомощията си по член 47 от Директива (ЕС) 2016/680 по отношение на предаването на данни на публични органи в Обединеното кралство в рамките на приложното поле, посочено в член 1, съответната държава членка незабавно уведомява Комисията.

Член 3

1.   Комисията непрекъснато наблюдава прилагането на правната уредба, на която се основава настоящото решение, включително условията, при които се извършват последващите предавания и се упражняват индивидуалните права, с цел да прецени дали Обединеното кралство продължава да осигурява адекватно ниво на защита по смисъла на член 1.

2.   Държавите членки и Комисията се информират взаимно за случаите, в които комисарят по информацията или всеки друг компетентен орган на Обединеното кралство не е гарантирал спазването на правната уредба, на която се основава настоящото решение.

3.   Държавите членки и Комисията се информират взаимно за всеки признак, че намесата на публичните органи на Обединеното кралство в правото на физическите лица на защита на личните им данни надвишава строго необходимото или че няма ефективна правна защита срещу подобна намеса.

4.   Когато Комисията разполага с данни, че вече не се осигурява адекватно ниво на защита, тя информира компетентните органи на Обединеното кралство и може да спре действието, да отмени или да измени настоящото решение.

5.   Комисията може да спре действието, да отмени или да измени настоящото решение, ако липсата на съдействие от страна на правителството на Обединеното кралство не позволява Комисията да определи дали е засегната констатацията в член 1.

Член 4

Срокът на действие на настоящото решение изтича на 27 юни 2025 г., освен ако срокът му на действие не бъде удължен в съответствие с процедурата, посочена в член 58, параграф 2 от Директива (ЕС) 2016/680.

Член 5

Адресати на настоящото решение са държавите членки.

Съставено в Брюксел на 28 юни 2021 година.

За Комисията

Didier REYNDERS

Член на Комисията

---

(1)  
  ОВ L 119, 4.5.2016 г., стр. 89.

1

(2)  Вж. съображение 64 от Директива (ЕС) 2016/680.

2

(3)  Вж., като най-скорошна практика, решение по дело Maximilian Schrems/Data Protection Commissioner (C-311/18), ECLI:EU:C:2020:559 (решение по дело Schrems II).

3

Maximilian Schrems/Data Protection Commissioner

Schrems II

(4)  Вж. Препоръка 01/2021 относно референтния документ за адекватното ниво на защита съгласно Директивата относно правоприлагането в областта на защитата на данните, приета през февруари 2021 г., която е достъпна на следния адрес: https://edpb.europa.eu/our-work-tools/general-guidance/police-justice-guidelines-recommendations-best-practices_bg

4

(5)  Решение по дело Maximilian Schrems/Data Protection Commissioner (C-362/14), ECLI:EU:C:2015:650, т. 73 (решение по дело Schrems).

5

Maximilian Schrems/Data Protection Commissioner

Schrems

(6)  Решение по дело Schrems, т. 74.

6

Schrems

(7)  Съобщение на Комисията до Европейския парламент и Съвета „Обмен и защита на личните данни в един глобализиран свят“ (COM (2017) 7 от 10.1.2017 г.), раздел 3.1, стр. 6—7, достъпно на следния адрес: https://eur-lex.europa.eu/legal-content/BG/TXT/PDF/?uri=CELEX:52017DC0007&from=BG

7

(8)  Закон за защита на данните от 2018 г., достъпен на следния адрес: https://www.legislation.gov.uk/ukpga/2018/12/contents

8

(9)  Обяснителна рамка на Обединеното кралство за обсъждане във връзка с адекватното ниво на защита, раздел F: Правоприлагане (UK Explanatory Framework for Adequacy Discussion, section F: Law enforcement), достъпна на следния адрес: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/872237/F_-_Law_Enforcement_.pdf

9

(10)  Първоначално принципите на Конвенция No 108 бяха въведени в правото на Обединеното кралство чрез Закона за защита на данните (Data Protection Act) от 1984 г., който беше заменен от ЗЗД от 1998 г., а след това от ЗЗД от 2018 г. (във връзка с ОРЗД на Обединеното кралство). Обединеното кралство също така подписа Протокола за изменение на Конвенцията за защита на лицата при автоматизираната обработка на лични данни (известна като „Конвенция 108+“) през 2018 г. и понастоящем работи по ратифицирането на Конвенцията.

10

(11)  Членове 6 и 8 от ЕКПЧ (вж. също приложение 1 към Закона за правата на човека от 1998 г.).

11

(12)  Член 6 от Закона за правата на човека от 1998 г.

12

(13)  Член 3 от Закона за правата на човека от 1998 г.

13

(14)  Споразумение за оттеглянето на Обединеното кралство Великобритания и Северна Ирландия от Европейския съюз и Европейската общност за атомна енергия (2019/C 384 I/01, XT/21054/2019/INIT, ОВ C 384I, 12.11.2019 г., стр. 1—177) („Споразумение за оттегляне“), достъпно на следния адрес: https://eur-lex.europa.eu/legal-content/BG/TXT/PDF/?uri=CELEX:12019W/TXT(02)&from=BG

14

(15)  Закон от 2018 г. за оттеглянето от Европейския съюз, достъпен на следния адрес: https://www.legislation.gov.uk/ukpga/2018/16/contents

15

(16)  Закон за защита на данните от 2018 г., достъпен на следния адрес: https://www.legislation.gov.uk/ukpga/2018/12/contents

16

(17)  Член 6 от EUWA от 2018 г.

17

(18)  Наредби от 2019 г. за защита на данните, неприкосновеността на личния живот и електронните съобщения (изменения и т.н.) (Напускане на ЕС), достъпни на следния адрес: https://www.legislation.gov.uk/uksi/2019/419/contents/made, изменени с Наредбите от 2020 г. за защита на данните, неприкосновеността на личния живот и електронните съобщения (изменения и т.н.) (Напускане на ЕС), достъпни на следния адрес: https://www.legislation.gov.uk/ukdsi/2020/9780348213522

18

(19)  С Наредбите за напускане се въвеждат редица изменения в част 3 от ЗЗД от 2018 г. Много от тези изменения представляват технически промени, като например заличаване на позоваванията на „държава членка“ или на „Директивата относно правоприлагането в областта на защитата на данните“ (вж. напр. член 48, параграф 8 или член 73, параграф 5, буква а) от ЗЗД от 2018 г., където се заменя с „национално право“), така че част 3 да се прилага ефективно като национално законодателство след края на преходния период. На някои места са били необходими други видове промени, например по отношение на това „кой“ приема „решения относно адекватното ниво на защита“ за целите на правната уредба на Обединеното кралство за защита на данните (вж. член 74А от ЗЗД от 2018 г.), т.е. министърът, а не Европейската комисия.

19

(20)  За по-подробно обяснение относно полицейските служби и техните правомощия в Обединеното кралство вж.: Обяснителна рамка на Обединеното кралство за обсъждане във връзка с адекватното ниво на защита, раздел F: Правоприлагане (вж. бележка под линия 9).

20

(21)  Кодекс за поведение относно принципите и стандартите за професионално поведение на полицейската професия в Англия и Уелс (Code of Practice for the Principles and Standards of Professional Behaviour for the Policing Profession of England and Wales), достъпен на следния адрес: https://www.college.police.uk/What-we-do/Ethics/Documents/Code_of_Ethics.pdf; Етичен кодекс на полицейската служба на Северна Ирландия (Police Service Northern Ireland Code of Ethic), достъпен на следния адрес: https://www.nipolicingboard.org.uk/psni-code-ethics; Етичен кодекс за полицейската дейност в Шотландия (Code of Ethic for policing in Scotland), достъпен на следния адрес: https://www.scotland.police.uk/about-us/code-of-ethics-for-policing-in-scotland/

21

(22)  Кодекс за поведение относно управлението на полицейска информация (Code of Practice on the Management of Police Information), достъпен на следния адрес: http://library.college.police.uk/docs/APPref/Management-of-Police-Information.pdf

22

(23)  Закон за полицията (Police Act) от 1996 г., достъпен на следния адрес: https://www.legislation.gov.uk/ukpga/1996/16/contents

23

(24)  Кодекс за поведение на Закона за полицията и доказателствата в наказателния процес от 1984 г. (Police and Criminal Evidence Act 1984 (PACE) codes of practice), достъпен на следния адрес: https://www.gov.uk/guidance/police-and-criminal-evidence-act-1984-pace-codes-of-practice

24

(25)  Закон за полицията и доказателствата в наказателния процес (Police and Criminal Evidence Act) от 1984 г., достъпен на следния адрес: https://www.legislation.gov.uk/ukpga/1984/60/contents

25

(26)  Ръководство за разрешена професионална практика относно управлението на полицейска информация (Authorised Professional Practice on the Management of Police Information), достъпно на следния адрес: https://www.app.college.police.uk/app-content/information-management/management-of-police-information/

26

(27)  Наръчник за защита на данните за полицейски специалисти в областта на защитата на данните (Data Protection Manual for Police Data Protection Professionals), достъпен на следния адрес: https://www.npcc.police.uk/2019%20FOI/IMORCC/225%2019%20NPCC%20DP%20Manual%20Draft%200.11%20Mar%202019.pdf

27

(28)  Напр. Кодексът за поведение относно управлението на полицейска информация (вж. бележка под линия 22) се прилага по отношение на съхраняването на оперативна полицейска информация (вж. съображение 47 от настоящото решение).

28

(29)  Според информацията, предоставена от органите на Обединеното кралство, по време на разговорите относно адекватното ниво на защита Полицейският колеж е бил в процес на изготвяне на Кодекс за поведение относно управлението на информация и регистри, който да замени Кодекса за поведение относно управлението на полицейска информация. Проектът на кодекс е публикуван за обществена консултация на 25 януари 2021 г. и е достъпен на следния адрес: https://www.college.police.uk/article/information-records-management-consultation

29

(30)  По дело R/the Commission of Police of the Metropolis [2014] EWCA Civ 585 правният статут на Кодекса за поведение относно управлението на полицейска информация е потвърден и съдия Laws обявява, че съгласно член 39А от Закона за полицията от 1996 г. комисарят от Столичната полицейска служба (Metropolitan Police) е длъжен да се придържа към Кодекса за поведение относно управлението на полицейска информация и Ръководството за разрешена професионална практика относно управлението на полицейска информация.

30

(31)  Полицията е обект на проверки по отношение на спазването на Кодекса за поведение относно управлението на полицейска информация от Кралския инспекторат на полицейските, противопожарните и спасителните служби (Her Majesty’s Inspectorate of Constabulary and Fire & Rescue Services).

31

(32)  В тази връзка вж. позицията на Полицейския колеж относно спазването на Ръководството за разрешена професионална практика по отношение на всички елементи на полицейската дейност, в която се обяснява, че „Ръководството за разрешена професионална практика е oдобрено от професионалния орган за полицейска дейност (Полицейския колеж) като официален източник на професионална практика в областта на полицейската дейност. От полицейските служители се очаква да вземат предвид Ръководството за разрешена професионална практика при изпълнението на отговорностите си. Възможно е обаче да съществуват обстоятелства, при които да е налице основателна оперативна причина дадена служба да се отклони от Ръководството за разрешена професионална практика, при условие че има ясна обосновка за това. Съответната служба носи отговорност за всеки риск от местен или национален характер, свързан с отклоняването от договорените на национално равнище насоки, а ако в резултат на това възникне инцидент или започне разследване (напр. чрез независимата служба за полицейско поведение (Independent Office of Police Conduct), службата носи отговорност за всеки риск.“ Повече информация може да бъде намерена на следния адрес: https://www.app.college.police.uk/faq-page/

32

(33)  Насоки за обработване на данни в областта на правоприлагането (Guide to Law Enforcement Processing), достъпни на следния адрес: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-law-enforcement-processing/

33

(34)  Вж. дело Bridges/the Chief Constable of South Wales Police [2019] EWHC 2341 (Admin), по което, макар да отбелязва ненормативния характер на насоките на комисаря, Висшият съд посочва, че „[к]огато преценява дали администратор на данни е спазил или не задължението по член 64 [да извърши оценка на въздействието върху защитата на данните във връзка с високорисково обработване на данни], съдът ще вземе предвид насоките, издадени от комисаря по информацията, по отношение на оценките на въздействието върху защитата на данните“.

34

Bridges/the Chief Constable of South Wales Police

(35)  Сред тях в приложение 7 към ЗЗД от 2018 г. са изброени главният прокурор, главният прокурор за Северна Ирландия и комисарят по информацията.

35

(36)  Член 43, параграф 3 от ЗЗД от 2018 г.

36

(37)  Член 30, параграф 3 от ЗЗД от 2018 г. Разузнавателните служби (Службата за тайно разузнаване (Secret Intelligence Service), Службата за сигурност (Security Service) и Правителствената централа за комуникации (Government Communications Headquarters) не са компетентни органи (вж. член 30, параграф 2 от ЗЗД от 2018 г.) и част 3 от ЗЗД от 2018 г. не се прилага за никоя от техните дейности. Тези дейности попадат в обхвата на част 4 от ЗЗД от 2018 г.

37

(38)  Член 31 от ЗЗД от 2018 г.

38

(39)  Това означава, че ЗЗД от 2018 г., а следователно и настоящото решение не се прилагат за зависимите от Британската корона територии и другите отвъдморски територии на Обединеното кралство, като например Фолкландските острови и територията на Гибралтар.

39

(40)  Личните данни, свързани с починало лице, не попадат в обхвата на ЗЗД от 2018 г.

40

(41)  Член 35, параграф 8 от ЗЗД от 2018 г.

41

(42)  
  „Биометрични данни“ означава лични данни, получени в резултат на специфично техническо обработване, които са свързани с физическите, физиологичните или поведенческите характеристики на дадено физическо лице и които позволяват или потвърждават уникалната идентификация на това физическо лице, като лицеви изображения или дактилоскопични данни.

42

(43)  
  „Данни за здравословното състояние“ означава лични данни, свързани с физическото или психическото здраве на физическо лице, включително предоставянето на здравни услуги, които дават информация за здравословното му състояние.

43

(44)  
  „Генетични данни“ означава лични данни, свързани с наследени или придобити генетични белези на дадено физическо лице, които дават уникална информация относно физиологията или здравето на това физическо лице и които са получени по-специално чрез анализ на биологична проба от въпросното физическо лице.

44

(45)  Обяснителни бележки към ЗЗД от 2018 г., параграф 181, достъпни на следния адрес: https://www.legislation.gov.uk/ukpga/2018/12/pdfs/ukpgaen_20180012_en.pdf.

45

(46)  Националната агенция по престъпността например черпи правомощията си от Закона за престъпленията и съдилищата (Crime and Courts Act) от 2013 г., който е достъпен на следния адрес: https://www.legislation.gov.uk/ukpga/2013/22/contents. По подобен начин правомощията на Агенцията за стандартите за храните (Food Standards Agency) са предвидени в Закона за стандартите за храните (Food Standards Act) от 1999 г., който е достъпен на следния адрес: https://www.legislation.gov.uk/ukpga/1999/28/contents. Други примери включват Закона за наказателното преследване на извършителите (Prosecution of Offenders Act) от 1985 г., с който се създава Кралската прокуратура (Crown Prosecution Service) (вж. https://www.legislation.gov.uk/ukpga/1985/23/contents); Закона за данъчните и митническите служители (Commissioners for Revenue and Customs Act) от 2005 г., с който се установява Кралската данъчна и митническа служба (Her Majesty’s Revenue and Customs) (вж. https://www.legislation.gov.uk/ukpga/2005/11/contents); Наказателно-процесуалния закон (Шотландия) (Criminal Procedure (Scotland) Act) от 1995 г., с който се създава Шотландската комисия за преразглеждане на наказателни дела (Scottish Criminal Cases Review Commission) (вж. https://www.legislation.gov.uk/ukpga/1995/46/contents); Закона за правосъдието (Северна Ирландия) (Justice (Northern Ireland) Act) от 2002 г., с който се създава прокуратурата на Северна Ирландия (Public Prosecution Service in Northern Ireland) (вж. https://www.legislation.gov.uk/ukpga/2002/26/contents) и Службата за борба с тежките измами (Serious Fraud Office), която е създадена и черпи правомощията си от Закона за наказателното правораздаване (Criminal Justice Act) от 1987 г. (вж. https://www.legislation.gov.uk/ukpga/1987/38/contents).

46

(47)  Например според информацията, предоставена от органите на Обединеното кралство, в рамките на прокуратурата (Crown Office and Procurator Fiscal Service), отговаряща за наказателното преследване в Шотландия, главният прокурор (Lord Advocate), който е ръководител на системата на наказателното преследване в Шотландия, черпи правомощията си да разследва смъртни случаи и да преследва престъпления от общото право, докато някои от функциите му са установени в нормативни актове. Освен това Короната, а оттам и различни държавни ведомства и министри също черпят своите правомощия от комбинация от законодателни актове, общо право и кралски изключителни права (това са правомощия по общото право, които са предоставени на Короната, но се упражняват от министрите).

47

(48)  Обяснителна рамка на Обединеното кралство за обсъждане във връзка с адекватното ниво на защита, раздел F: Правоприлагане, стр. 8 (вж. бележка под линия 9).

48

(49)  Основните законодателни актове, с които се урежда режимът на главните полицейски правомощия (задържане, претърсване, разрешение за продължаване на задържане, снемане на пръстови отпечатъци, вземане на интимни проби, заповед за подслушване, достъп до комуникационни данни) са: i) за Англия и Уелс — Законът за полицията и доказателствата в наказателния процес от 1984 г., достъпен на следния адрес: https://www.legislation.gov.uk/ukpga/1984/60/contents (изменен със Закона за защитата на свободите (Protection of Freedoms Act) от 2012 г., достъпен на следния адрес: https://www.legislation.gov.uk/ukpga/2012/9/contents) и Законът за правомощията за разследване (Investigatory Powers Act) от 2016 г., достъпен на следния адрес: https://www.legislation.gov.uk/ukpga/2016/25/contents), ii) за Шотландия — Законът за наказателното правораздаване (Шотландия) (Criminal Justice (Scotland) Act) от 2016 г., достъпен на следния адрес: https://www.legislation.gov.uk/asp/2016/1/contents, и Наказателно-процесуалният закон (Шотландия) от 1995 г., достъпен на следния адрес: https://www.legislation.gov.uk/ukpga/1995/46/contents), iii) за Северна Ирландия — Наредба за полицията и доказателствата в наказателния процес (Северна Ирландия) (Police and Criminal Evidence (Northern Ireland) Order) от 1989 г., достъпна на следния адрес: https://www.legislation.gov.uk/nisi/1989/1341/contents

49

(50)  Органите на Обединеното кралство обясняват, че върховенството на законодателството отдавна е установено в Обединеното кралство, още от Решението по дело Entick/Carrington [1765] EWHC KB J98, в което се признава, че съществуват ограничения за упражняването на правомощия от страна на изпълнителната власт и се установява принципът, че правомощията по общото право и изключителните права на монарха и правителството са подчинени на местния закон.

50

Entick/Carrington

(51)  Вж. дело Rice/Connolly [1966] 2 QB 414.

51

Rice/Connolly

(52)  Вж. дело R(Catt)/Association of Chief police Officers [2015] AC 1065, по което във връзка с правомощията на полицията да получава и съхранява информация за лице (извършило престъпление) съдия Sumption счита, че съгласно общото право полицията има правомощието да получава и съхранява информация за полицейски цели, т.е. по-общо казано — за поддържането на обществения ред и предотвратяването и разкриването на престъпления. Тези правомощия не включват разрешение за използване на методи за получаване на информация, свързани с намеса, като например влизане в частна собственост или действия (различни от задържането съгласно правомощията по обичайното право), които биха представлявали нападение. Съдията намира, че в този случай правомощията по общото право са достатъчни, за да се разреши получаването и съхраняването на въпросния вид публична информация по тези жалби.

52

R(Catt)/Association of Chief police Officers

(53)  Закон за равенството (Equality Act) от 2010 г., достъпен на следния адрес: https://www.legislation.gov.uk/ukpga/2010/15/contents

53

(54)  Като пример за дело, при което правомощията на полицията по общото право се оценяват в рамките на ЗЗД от 1998 г., вж. решението на Висшия съд по дело Bridges/the Chief Constable of South Wales Police (вж. бележка под линия 33). Вж. също дела Vidal-Hall/Google Inc [2015] EWCA Civ 311 и Richard/BBC [2018] EWHC 1837 (Ch).

54

Bridges/the Chief Constable of South Wales Police

Vidal-Hall/Google Inc

Richard/BBC

(55)  Вж. например насоките на полицейската служба на Северна Ирландия относно инструкцията за управлението на регистри, достъпни на следния адрес: https://www.psni.police.uk/globalassets/advice--information/our-publications/policies-and-service-procedures/records-management-080819.pdf

55

(56)  Камарата на общините публикува кратък информационен документ, в който се определят основните правомощия по общото право и основните законоустановени правомощия на полицията в Англия и Уелс (вж. https://researchbriefings.files.uk/documents/CBP-8637/CBP-8637.pdf) Според този документ например, макар правомощията по поддържане на „мира в Кралството“ и „използването на сила“ да произтичат от общото право, „правомощията по спиране и претърсване“ винаги произтичат от нормативен акт. Освен това шотландското правителство предоставя на своя уебсайт информация относно полицейските правомощия по задържане и спиране и претърсване (вж. https://www.gov.scot/policies/police/police-powers/)

56

(57)  Според информацията, предоставена от органите на Обединеното кралство, изключителните правомощия, упражнявани от правителството, включват например изготвянето и ратифицирането на договори, провеждането на дипломация и използването на въоръжените сили в рамките на Обединеното кралство за поддържане на мира в подкрепа на полицията.

57

(58)  В тази връзка вж. оценката на режима на Обединеното кралство за последващо предаване в съображения 74—87.

58

(59)  Вж. дело Bancoult/Secretary of State for Foreign and Commonwealth Affairs [2008] UKHL 61, по което съдът приема, че изключителното правомощие за издаване на укази в Съвета също подлежи на обичайните основания за съдебен контрол.

59

Bancoult/Secretary of State for Foreign and Commonwealth Affairs

(60)  Вж. дело Attorney-General/De Keyser’s Royal Hotel Ltd [1920] [1920] AC 508, по което съдът постановява, че изключителните правомощия не могат да се използват, когато ги заместват законоустановени правомощия; дело Laker Airways Ltd/Department of Trade [1977] QB 643, по което съдът решава, че изключителните правомощия не могат да се използват за осуетяване на законодателството; дело R/Secretary of State for the Home Department, ex p. Fire Brigades Union [1995] UKHL 3, по което съдът постановява, че не могат да се използват изключителни правомощия, когато те противоречат на приетото законодателство, дори когато това прието законодателство все още не е влязло в сила; дело R (Miller)/Secretary of State for Exiting the European Union [2017] UKSC 5, по което съдът потвърждава възможността да се коригират и отменят изключителни правомощия с нормативен акт. За общ преглед на връзката между кралските изключителни правомощия и нормативите актове или правомощията по общото право вж. краткия информационния документ на Камарата на общините, достъпен на следния адрес: https://researchbriefings.files.parliament.uk/documents/SN03861/SN03861.pdf

60

Attorney-General/De Keyser’s Royal Hotel Ltd

Laker Airways Ltd/Department of Trade

R/Secretary of State for the Home Department, ex p. Fire Brigades Union

R (Miller)/Secretary of State for Exiting the European Union

(61)  Насоки за обработване на данни в областта на правоприлагането, „За какво се отнася първият принцип“ (Guide to Law Enforcement Processing, „What is the first principle about?“), достъпни на следния адрес: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-law-enforcement-processing/principles/#ib2

61

(62)  Това следва от формулировката на съответната разпоредба от ЗЗД от 2018 г., според която обработването на лични данни за всяка от целите на правоприлагането е законосъобразно само ако и до степен в която то е „въз основа на правото“ и ако или а) субектът на данни е дал съгласие за обработването за тази цел, или б) обработването е необходимо за изпълнението на задача, осъществявана за тази цел от компетентен орган.

62

(63)  Вж. съображения 35—37 от Директива (ЕС) 2016/680.

63

(64)  Органите на Обединеното кралство посочват като пример за случай, в който съгласието може да бъде подходящо основание за обработване, получаването на проба ДНК от полицията във връзка с изчезнало лице, за да се установи съвпадение с тяло, ако такова бъде открито. При такива обстоятелства би било неуместно полицията да принуди субекта на данни да представи проба; вместо това полицията ще поиска от лицето съгласие, което се дава свободно и може да бъде оттеглено по всяко време. Ако съгласието бъде оттеглено, данните не могат повече да бъдат обработвани, освен ако не бъде установено ново правно основание за продължаване на обработването на пробата (напр. ако субектът на данни се е превърнал в заподозряно лице). Друг пример би могъл да възникне, когато полицейска служба разследва престъпление, при което жертвата (може да става въпрос за жертва на грабеж, престъпление против половата неприкосновеност, домашно насилие, роднини в случай на убийство или друга жертва на престъпление) може да се възползва от насочване към службата за подкрепа за жертвите (независима благотворителна организация, посветена на подкрепата на хора, засегнати от престъпления и травматични инциденти). При такива обстоятелства полицията ще сподели със службата за подкрепа за жертвите само личните данни, като например името и координатите за връзка, ако жертвата е дала съгласие.

64

(65)  Няма отделно определение на понятието „съгласие“ за целите на обработването на лични данни съгласно част 3 от ЗЗД от 2018 г. ICO предостави насоки относно понятието „съгласие“ за целите на част 3 от ЗЗД от 2018 г., като поясни, че то има същото значение и следва да бъде приведено в съответствие с определението, предвидено в ОРЗД, а именно, че „съгласието трябва да бъде свободно изразено, конкретно и информирано и трябва да има реален избор за даване на съгласие за обработване на данните“ (Насоки за обработване на данни в областта на правоприлагането, „За какво се отнася първият принцип?“ (вж. бележка под линия 64) и Насоки за защита на данните относно съгласието (Guide to Data Protection on consent), достъпни на следния адрес: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/lawful-basis-for-processing/consent/).

65

(66)  Вж. например информацията на уебстраницата на полицията в Линкълншир (https://www.lincs.police.uk/resource-library/data-protection/law-enforcement-processing/) или на уебстраницата на полицията в Западен Йоркшир (вж. https://www.westyorkshire.police.uk/sites/default/files/2018-06/data_protection.pdf).

66

(67)  Член 35, параграф 8 от ЗЗД от 2018 г.

67

(68)  Член 35, параграф 4 от ЗЗД от 2018 г.

68

(69)  Член 35, параграф 5 от ЗЗД от 2018 г.

69

(70)  От съображения за изчерпателност следва да се отбележи, че когато обработването се основава на съгласие, съгласието трябва да бъде свободно изразено, конкретно и информирано и трябва да има конкретен избор за даване на съгласие за обработване на данните. Освен това при обработване въз основа на съгласието на субекта на данни от администратора се изисква да разполага с „подходящ документ за политиката“ (ПДП). В член 42 от ЗЗД от 2018 г. са посочени изискванията, на които трябва да отговаря ПДП. В него се пояснява, че документът трябва най-малкото да разяснява процедурите на администратора за гарантиране на спазването на принципите за защита на данните и да разяснява политиките на администратора по отношение на съхранението и изтриването на лични данни. Съгласно член 42 от ЗЗД от 2018 г. това означава, че администраторът трябва да представи документ, който а) обяснява процедурите на администратора за гарантиране на спазването на принципите за защита на данните; и б) разяснява политиката на администратора по отношение на съхранението и изтриването на лични данни, обработвани въз основа на съгласието на субекта на данни, или дава указания за вероятния срок на съхранение на тези лични данни. По-специално в документа за политиката се изисква от администратора, при спазване на задължението за документиране на дейностите по обработване, винаги да включва елементите, посочени в букви а) и б). ICO публикува образец (Насоки за обработване на данни в областта на правоприлагането, „Условия за обработване на чувствителни данни“) (Guide to Law Enforcement Processing, „Conditions for sensitive processing“), достъпни на следния адрес: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-law-enforcement-processing/conditions-for-sensitive-processing) и може да предприеме действия по правоприлагане, ако администраторите не изпълняват тези изисквания. ПДП се разглежда и от съдилищата във връзка с евентуални нарушения на ЗЗД от 2018 г. Например по неотдавнашното дело R (Bridges)/Chief Constable of South Wales Police съдилищата са разгледали ПДП на администратора и са установили, че той е подходящ, но би било добре да съдържа допълнителни подробности. В резултат на това полицията в Южен Уелс преразгледа ПДП и го актуализира в съответствие с новите насоки на ICO (вж. бележка под линия 33). Освен това съгласно член 42, параграф 3 от ЗЗД от 2018 г. администраторът следва да извършва периодичен преглед на ПДП. Накрая, като допълнителна гаранция, съгласно член 42, параграф 4 от ЗЗД от 2018 г. от администратора се изисква да води разширен регистър на дейностите по обработване, който включва допълнителни елементи в сравнение с общото задължение на администратора да води документация за дейностите по обработване съгласно член 61 от ЗЗД от 2018 г.

70

R (Bridges)/Chief Constable of South Wales Police

(71)  Насоки за обработване на данни в областта на правоприлагането, „Условия за обработване на чувствителни данни“ (вж. бележка под линия 70).

71

(72)  Обработването се извършва без съгласието на субекта на данни, когато: а) субектът на данни не може да даде съгласие за обработването; б) от администратора не може разумно да се очаква да получи съгласието на субекта на данни за обработването; в) обработването трябва да се извършва без съгласието на субекта на данни, тъй като получаването на съгласието на субекта на данни би засегнало предоставянето на защитата, посочена в алинея 1, буква а).

72

(73)  Вж. член 41, параграф 1 от ЗЗД от 2018 г.

73

(74)  Вж. член 41, параграф 2 от ЗЗД от 2018 г.

74

(75)  Съгласно член 205 от ЗЗД от 2018 г. понятието „неточни“ означава „неточни или подвеждащи“ лични данни. Органите на Обединеното кралство обясняват, че по принцип данните, свързани с наказателни разследвания, често са непълни, но въпреки това те могат да бъдат точни.

75

(76)  Член 38, параграф 1, буква b) от ЗЗД от 2018 г.

76

(77)  Съгласно Обяснителната рамка на Обединеното кралство за обсъждане във връзка с адекватното ниво на защита „това гарантира признаването както на правата на субектите на данни, така и на оперативните нужди на правоприлагащите органи. Този въпрос беше внимателно разгледан по време на етапите на изготвяне на законопроекта за защита на данните, тъй като може да има конкретни и ограничени оперативни причини, поради които данните не могат да бъдат коригирани. Най-често срещаният случай за това е при необходимост неточните лични данни да бъдат запазени в първоначалния им вид за доказателствени цели“ (вж. Обяснителната рамка на Обединеното кралство за обсъждане във връзка с адекватното ниво на защита, раздел F: Правоприлагане, стр. 21, вж. бележка под линия 9).

77

(78)  Член 38, параграф 4 от ЗЗД от 2018 г. Освен това съгласно член 38, параграф 5 от ЗЗД от 2018 г. качеството на личните данни трябва да бъде проверено, преди те да бъдат предадени или предоставени, при всяко предаване на лични данни се включва необходимата информация, позволяваща на получателя да оцени степента на точност, пълнота, надеждност и актуалност на данните, и ако след предаването на личните данни се окаже, че данните са били неточни или че предаването им е било незаконно, получателят трябва да бъде уведомен незабавно.

78

(79)  Член 38, параграф 2 от ЗЗД от 2018 г.

79

(80)  Член 38, параграф 3 от ЗЗД от 2018 г.

80

(81)  Тази рамка гарантира последователност при съхранението на получените лични данни. Периодът на преразглеждане зависи от престъпленията, които са разделени на четири групи: 1) някои въпроси, свързани с обществената защита; 2) други свързани с насилие и тежки престъпления против половата неприкосновеност; 3) всички други престъпления; 4) разни. Повече подробности могат да бъдат намерени в Ръководството за разрешена професионална практика относно управлението на полицейска информация (вж. бележка под линия 26).

81

(82)  Според информацията, предоставена от органите на Обединеното кралство, други организации могат да спазват принципите на Кодекса за поведение относно управлението на полицейска информация, ако желаят. Например Кралската данъчна и митническа служба и Националната агенция по престъпността доброволно приемат много от принципите на Кодекса за поведение относно управлението на полицейска информация, за да гарантират последователност в правоприлагането. Като цяло повечето организации ще предоставят на своите служители специфични политики и насоки за всички служители относно начина, по който да обработват лични данни като част от своите задължения, съобразени с конкретната организация. Това обикновено включва и задължително обучение.

82

(83)  Кодексът за поведение относно управлението на полицейска информация е издаден въз основа на правомощията, предвидени в Закона за полицията от 1996 г., който дава възможност на Полицейския колеж да издава кодекси за поведение, свързани с ефективното функциониране на полицията. Всеки кодекс за поведение, издаден съгласно посочения закон, трябва да бъде одобрен от министъра, като преди внасянето му в Парламента е необходимо да се проведе консултация с Националната агенция по престъпността. С член 39а, параграф 7 от Закона за полицията от 1996 г. се въвежда изискване полицията да отдава дължимото внимание на кодексите, издадени съгласно Закона за полицията от 1996 г.

83

(84)  Наръчник на полицейската служба на Северна Ирландия относно управлението на полицейска информация (PSNI MoPI Handbook), глави 1—6.

84

(85)  Стандартна оперативна процедура (СОП) за съхраняване на информация (Record Retention Standard Operating Procedure), достъпна на следния адрес: https://www.scotland.police.uk/spa-media/nhobty5i/record-retention-sop.pdf

85

(86)  За повече подробности относно управлението на информацията вж. информацията за Националните регистри на Шотландия, достъпна на следния адрес: https://www.nrscotland.gov.uk/record-keeping/records-management.

86

(87)  Сроковете за съхранение варират в зависимост от това дали дадено лице е било осъдено или не (членове 63I — 63KI от Закона за полицията и доказателствата в наказателния процес от 1984 г.). Например в случай на пълнолетно лице, осъдено за престъпление, подлежащо на вписване в регистрите за съдимост, неговите дактилоскопични отпечатъци и ДНК профил могат да бъдат съхранявани за неопределен срок (член 63I, параграф 2 от Закона за полицията и доказателствата в наказателния процес от 1984 г.). Съхранението на тези данни обаче ще бъде ограничено във времето, ако лицето е на възраст под 18 години, не е било осъждано преди и е осъдено за „леко“ престъпление, подлежащо на вписване в регистрите за съдимост (член 63К от Закона за полицията и доказателствата в наказателния процес от 1984 г.). В случай на задържано или обвинено лице, което не е било осъдено, данните се съхраняват за период до три години (член 63F от Закона за полицията и доказателствата в наказателния процес от 1984 г.). Удължаването на този срок за съхранение трябва да бъде одобрено от съдебен орган (член 63F, параграф 7 от Закона за полицията и доказателствата в наказателния процес от 1984 г.). Съхранението на данните не е възможно в случай на лица, които са задържани или обвинени в леко престъпление, но не са осъдени (член 63D и член 63H от Закона за полицията и доказателствата в наказателния процес от 1984 г.).

87

(88)  С член 20 от Закона за защита на свободите от 2012 г. се създава длъжността на комисаря по биометричните въпроси. Наред с други функции комисарят по биометричните въпроси решава дали полицията може да съхранява ДНК профили и пръстови отпечатъци, снети от задържани лица, които не са обвинени в квалифицирано престъпление (член 63G от Закона за полицията и доказателствата в наказателния процес от 1984 г.). Освен това комисарят по биометричните въпроси носи обща отговорност да контролира съхранението и използването на ДНК и пръстови отпечатъци, както и за съхранението им на основания, свързани с националната сигурност (член 20, параграф 2 от Закона за защита на свободите от 2012 г.). Комисарят по биометричните въпроси се назначава съгласно Кодекса за управление на публичните назначения (Кодексът е достъпен на следния адрес: Governance Code for Public Appointments - GOV.UK (www.gov.uk)) и условията за назначаването му ясно показват, че той може да бъде отстранен от длъжност от министъра на вътрешните работи само при строго определен набор от обстоятелства; сред тях са неизпълнение на задълженията му в продължение на три месеца, осъждане за престъпление или неизпълнение на условията за неговото назначаване.

88

(89)  Преглед на използването и съхранението на изображения, снети при задържане (Review of the Use and Retention of Custody Images), достъпен на следния адрес: https://www.gov.uk/government/publications/custody-images-review-of-their-use-and-retention

89

(90)  Член 18 и следващи от Наказателно-процесуалния закон (Шотландия) от 1995 г.

90

(91)  Сроковете за съхранение варират в зависимост от това дали лицето е осъдено (член 18, параграф 3 от Наказателно-процесуалния закон (Шотландия) от 1995 г.) или е непълнолетно. В последния случай срокът за съхранение е 3 години от присъдата на съда за непълнолетни (член 18E, параграф 8 от Наказателно-процесуалния закон (Шотландия) от 1995 г.). Данните на арестувани, но неосъдени лица не могат да бъдат съхранявани (член 18, параграф 3 от Наказателно-процесуалния закон (Шотландия) от 1995 г.), освен в конкретни случаи и в зависимост от тежестта на престъплението (член 18А от Наказателно-процесуалния закон (Шотландия) от 1995 г.). Със Закона за комисаря по биометричните въпроси на Шотландия (Scottish Biometrics Commissioner Act) от 2020 г. (вж. https://www.legislation.gov.uk/asp/2020/8/contents) се създава длъжността на комисаря по биометричните въпроси на Шотландия, който трябва да изготви и преразгледа кодекси за поведение (одобрени от парламента на Шотландия) относно получаването, съхранението, използването и унищожаването на биометрични данни за целите на наказателното правораздаване и дейността на полицията (член 7 от Закона за комисаря по биометричните въпроси на Шотландия от 2020 г.).

91

(92)  В съответствие с обяснителните бележки към ЗЗД от 2018 г. (вж. бележка под линия 45) администраторът трябва по-специално: да проектира и организира сигурността на личните данни с оглед на естеството им и на вредите, които може да настъпят вследствие на нарушение на сигурността; да определи ясно кой отговаря за гарантирането на сигурността на информацията в рамките на неговата организация; да гарантира, че разполага с необходимата физическа и техническа сигурност, подкрепена от надеждни политики и процедури и надежден и добре обучен персонал; и да бъде готов да реагира бързо и ефективно на всяко нарушение на сигурността.

92

(93)  Параграф 221 от обяснителните бележки към ЗЗД от 2018 г. (вж. бележка под линия 45).

93

(94)  В член 67, параграф 4 от ЗЗД от 2018 г. се предвижда, че уведомлението трябва да включва описание на естеството на нарушението на сигурността на личните данни (включително, когато е възможно, категориите и приблизителния брой на засегнатите субекти на данни и категориите и приблизителния брой на засегнатите записи на лични данни), името и координатите за връзка на точка за контакт, описание на евентуалните последици от нарушението на сигурността на личните данни и описание на предприетите или предложените от администратора мерки за справяне с нарушението на сигурността на личните данни (включително по целесъобразност мерки за намаляване на евентуалните неблагоприятни последици от него).

94

(95)  Член 67, параграф 2 от ЗЗД от 2018 г.

95

(96)  Член 67, параграф 6 от ЗЗД от 2018 г.

96

(97)  Член 67, параграф 9 от ЗЗД от 2018 г.

97

(98)  Съгласно член 68, параграф 7 от ЗЗД от 2018 г. администраторът може да ограничи изцяло или частично предоставянето на информация на субекта на данни, до такава степен и за толкова време, за колкото тази мярка е необходима и пропорционална, като се вземат предвид основните права и легитимните интереси на субекта на данни, за да а) се избегне възпрепятстването на официални или съдебни проучвания, разследвания или процедури; б) не се допусне неблагоприятно влияние върху предотвратяването, разкриването, разследването или наказателното преследване на престъпления или изпълнението на наказания; в) се защити обществената сигурност; г) се защити националната сигурност; д) се защитят правата и свободите на други лица.

98

(99)  Член 68, параграф 3 от ЗЗД от 2018 г.

99

(100)  Член 68, параграф 5 от ЗЗД от 2018 г.

100

(101)  Член 68, параграф 6 от ЗЗД от 2018 г., предмет на ограничението, предвидено в член 68, параграф 8 от ЗЗД от 2018 г.

101

(102)  В Насоките за обработване на данни в областта на правоприлагането е даден следният пример: „На Вашия уебсайт има обща декларация за поверителност, която съдържа основна информация за организацията, целта, за която обработвате лични данни, правата на субекта на данни и правото му да подаде жалба до комисаря по информацията. Вие сте получили сведения, че дадено лице е присъствало при извършването на престъпление. При първия разговор с това лице трябва да му предоставите общата информация, както и допълнителна подкрепяща информация, за да му дадете възможност да упражни правата си. Можете да ограничите информацията за добросъвестно обработване, която предоставяте, само ако тя ще се отрази неблагоприятно върху разследването, което предприемате“ (Насоки за обработване на данни в областта на правоприлагането, „Каква информация трябва да предоставим на дадено лице?“ (Guide to Law Enforcement Processing, „What information should we supply to an individual?“), достъпни на следния адрес: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-law-enforcement-processing/individual-rights/the-right-to-be-informed/#ib3).

102

(103)  В Насоките за обработване на данни в областта на правоприлагането се посочва, че предоставената информация относно обработването на лични данни трябва да бъде сбита, разбираема и леснодостъпна; написана на ясен и разбираем език, адаптиран към нуждите на уязвимите лица, като например децата; и безплатна (Насоки за обработване на данни в областта на правоприлагането, „Как да предоставим тази информация?“ (Guide to Law Enforcement Processing, „How should we provide this information?“), достъпни на следния адрес: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-law-enforcement-processing/individual-rights/the-right-to-be-informed/#ib1).

103

(104)  Член 44, параграф 2 от ЗЗД от 2018 г.

104

(105)  За подробен анализ на правата на субектите вж. Насоки за обработване на данни в областта на правоприлагането във връзка с индивидуалните права, достъпни на следния адрес: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-law-enforcement-processing/individual-rights/

105

(106)  Член 45, параграф 1 от ЗЗД от 2018 г.

106

(107)  Член 45, параграф 2 от ЗЗД от 2018 г.

107

(108)  Член 46, параграф 4 от ЗЗД от 2018 г.

108

(109)  Субектът на данни може да поиска от администратора да изтрие лични данни или да ограничи обработването им (но задълженията на администратора за изтриване на данните или ограничаване на обработването им се прилагат независимо от това дали е направено такова искане).

109

(110)  Член 46, параграф 4 и член 47, параграф 2 от ЗЗД от 2018 г.

110

(111)  Член 47, параграф 3 от ЗЗД от 2018 г.

111

(112)  Член 48, параграф 1 от ЗЗД от 2018 г.

112

(113)  Член 48, параграф 7 от ЗЗД от 2018 г.

113

(114)  Член 48, параграф 9 от ЗЗД от 2018 г.

114

(115)  Член 68 от ЗЗД от 2018 г.

115

(116)  Член 52, параграф 1 от ЗЗД от 2018 г.

116

(117)  Член 52, параграф 3 от ЗЗД от 2018 г.

117

(118)  Член 54 от ЗЗД от 2018 г. съдържа определение на понятието „приложим срок“, което означава срок от един месец или по-дълъг срок, който може да бъде посочен в наредби, считано от съответния момент (когато администраторът получи въпросното искане; когато администраторът получи информацията (ако има такава), поискана във връзка с искане по член 52, параграф 4 от ЗЗД; или когато се плати таксата (ако има такава), начислена във връзка с искането по член 53 от ЗЗД.

118

(119)  Член 53, параграф 1 от ЗЗД от 2018 г.

119

(120)  Съгласно насоките на ICO администраторът може да реши да начисли такса на субекта на данни, ако искането на последния е очевидно неоснователно или прекомерно, но все пак избере да отговори на него. Таксата трябва да бъде в разумен размер и да съответства на направените разходи. Насоки за обработване на данни в областта на правоприлагането, „Очевидно неоснователни и прекомерни искания“ (Guide to Law Enforcement Processing „Manifestly unfounded and excessive requests“), достъпни на следния адрес: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-law-enforcement-processing/individual-rights/manifestly-unfounded-and-excessive-requests/

120

(121)  Член 45, параграф 4 от ЗЗД от 2018 г.

121

(122)  Член 44, параграф 4 от ЗЗД от 2018 г.

122

(123)  Член 68, параграф 7 от ЗЗД от 2018 г.

123

(124)  Член 48, параграф 3 от ЗЗД от 2018 г.

124

(125)  Вж. например Насоки за обработване на данни в областта на правоприлагането във връзка с правото на достъп, достъпни на следния адрес: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-law-enforcement-processing/individual-rights/the-right-of-access/#ib8

125

(126)  Вж. например Наръчник за защита на данните за полицейски специалисти в областта на защитата на данните, издаден от Националния съвет на началниците на полицията (вж. бележка под линия 27), или насоките, предоставени от Службата за борба с тежките измами, достъпни на следния адрес: https://www.sfo.gov.uk/publications/guidance-policy-and-protocols/sfo-operational-handbook/data-protection/

126

(127)  Наръчник за защита на данните на Националния съвет на началниците на полицията (Data protection Manual of the National Police Chief Counsel), стр. 140 (вж. бележка под линия 27).

127

(128)  В Наръчника за защита на данните на Националния съвет на началниците на полицията се посочва, че целта „да се избегне възпрепятстването на официални или съдебни проучвания, разследвания или процедури“ е вероятно да е от значение за личните данни, обработвани във връзка с искания за информация, съдебни производства по семейни дела, дисциплинарни проверки, които нямат наказателноправен характер, и разследвания, като например независимото разследване във връзка със сексуалното насилие над деца; докато „защитата на правата и свободите на други лица“ е от значение за личните данни, които биха се отнасяли както за заявителя, така и за други лица“ (Наръчник за защита на данните на Националния съвет на началниците на полицията, стр. 140, вж. бележка под линия 27).

128

(129)  Член 79 от ЗЗД от 2018 г.

129

(130)  Насоки на правителството на Обединеното кралство относно удостоверенията за национална сигурност (UK Government Guidance on National Security Certificates), достъпни на следния адрес: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/910279/Data_Protection_Act_2018_-_National_Security_Certificates_Guidance.pdf.

130

(131)  Член 44, параграфи 5 и 6: Член 45, параграфи 5 и 6; Член 48, параграф 4 от ЗЗД от 2018 г.

131

(132)  Член 44, параграф 7; Член 45, параграф 7; член 48, параграф 6 от ЗЗД от 2018 г.

132

(133)  Член 51 от ЗЗД от 2018 г.

133

(134)  Член 167 от ЗЗД от 2018 г.

134

(135)  Що се отнася до обхвата на автоматизираното обработване, в обяснителните бележки към ЗЗД от 2018 г. се посочва, че: „тези разпоредби се отнасят до напълно автоматизираното вземане на решения, а не до автоматизираното обработване. Автоматизирано обработване (включително профилиране) е налице, когато дадена операция се извършва върху данни, без да е необходима човешка намеса. То се използва редовно в правоприлагането за филтриране на големи набори от данни до управляеми количества, които да се използват от човек оператор. Автоматизираното вземане на решения е форма на автоматизирано обработване и изисква окончателното решение да се взема без човешка намеса“. (Обяснителни бележки към ЗЗД, параграф 204, вж. бележка под линия 45).

135

(136)  В допълнение към защитата, предвидена в ЗЗД, съществуват и други законодателни ограничения в правната рамка на Обединеното кралство, които се прилагат за правоприлагащите агенции и биха предотвратили автоматизираното обработване (включително профилирането), което води до незаконна дискриминация. Със Закона за правата на човека от 1998 г. правата, съдържащи се в ЕКПЧ, се въвеждат в правото на Обединеното кралство, включително забраната за дискриминация съгласно член 14 от Конвенцията. По същия начин Законът за равенството от 2010 г. забранява дискриминацията на хора въз основа на защитени признаци (които включват пол, раса, увреждане и т.н.).

136

(137)  Член 49, параграф 2 от ЗЗД от 2018 г.

137

(138)  Член 50, параграф 4 от ЗЗД от 2018 г.

138

(139)  Тази нова рамка се прилага след края на преходния период, включително правомощието на министъра да приема наредби относно адекватното ниво на защита. Въпреки това в наредбите за защита на данните, неприкосновеността на личния живот и електронните съобщения (по-специално точки 10—12 от приложение 21, вмъкнато в ЗЗД от 2018 г. с тези наредби) се предвижда, че определени предавания на лични данни в края на преходния период и след него се третират така, сякаш се основават на наредби относно адекватното ниво на защита. Тези предавания включват предавания към трети държави, които са обект на решение на ЕС относно адекватното ниво на защита в края на преходния период, и към държави — членки на ЕС, държави от ЕАСТ и територията на Гибралтар на основание на прилагането от тяхна страна на Директивата относно правоприлагането в областта на защитата на данните при обработването на данни в областта на правоприлагането (държавите от ЕАСТ прилагат Директива (ЕС) 2016/680 в резултат на задълженията си съгласно достиженията на правото от Шенген). Това означава, че в края на преходния период предаването на данни към тези държави може да продължи както преди напускането на ЕС. След края на преходния период министърът трябва да извърши преглед на констатациите за адекватно ниво на защита в срок от четири години.

139

(140)  Членове 73 и 77 от ЗЗД от 2018 г.

140

(141)  Органите на Обединеното кралство обясниха, че описанието на дадена държава или международна организация се отнася до ситуация, при която би било необходимо да се направи специфично и частично определяне на адекватността с целенасочени ограничения (напр. наредба относно адекватното ниво на защита по отношение само на определен вид предаване на данни).

141

(142)  Вж. член 74а, параграф 4 от ЗЗД от 2018 г., в който се предвижда, че при оценяване на адекватността на нивото на защита „министърът трябва по-специално да вземе предвид а) върховенството на закона, спазването на правата на човека и основните свободи, съответното законодателство — както общо, така и секторно, включително в областта на обществената сигурност, отбраната, националната сигурност и наказателното право и достъпа на публичните органи до лични данни, а също и прилагането на това законодателство, правилата за защита на данните, професионалните правила и мерките за сигурност, включително правилата за последващо предаване на лични данни на друга трета държава или международна организация, които са в сила във въпросната държава или международна организация, съдебната практика, както и наличието на ефективни и приложими права на субектите на данни и ефективни административни и съдебни средства за защита за субектите на данни, чиито лични данни се предават, б) наличието и ефективното функциониране на един или повече независими надзорни органи във въпросната трета държава, или органи, на чийто надзор подлежи дадена международна организация, отговорни за осигуряване и привеждане в изпълнение на правилата за защита на данните, включително адекватни изпълнителни правомощия, за подпомагане и консултиране на субектите на данни при упражняването на техните права и за сътрудничество с комисаря, и в) международните ангажименти, които съответната трета държава или международна организация е поела, или други задължения, произтичащи от правно обвързващи конвенции или инструменти, както и от участието ѝ в многостранни или регионални системи, по-конкретно по отношение на защитата на личните данни.“

142

(143)  Вж. Меморандума за разбирателство между министъра на цифровите технологии, културата, медиите и спорта и Службата на комисаря по информацията във връзка с новата оценка на адекватното ниво на защита в Обединеното кралство, който може да бъде намерен на следния адрес: https://www.gov.uk/government/publications/memorandum-of-understanding-mou-on-the-role-of-the-ico-in-relation-to-new-uk-adequacy-assessments.

143

(144)  През този 40-дневен срок двете камари на Парламента имат възможност, ако желаят, да гласуват против наредбите. Ако бъде направено такова гласуване, в крайна сметка наредбите ще престанат да пораждат правно действие за в бъдеще.

144

(145)  Член 75 от ЗЗД от 2018 г.

145

(146)  Съгласно член 75, параграф 3 от ЗЗД от 2018 г., когато предаването на данни се извършва при използването на подходящи гаранции: а) предаването трябва да бъде документирано, б) при поискване документацията трябва да бъде предоставена на комисаря и в) документацията трябва да включва по-специално i) датата и часа на предаването, ii) името и всяка друга относима информация за получателя, iii) обосновката за предаването и iv) описание на предадените лични данни.

146

(147)  Насоки за обработване на данни в областта на правоприлагането, „Съществуват ли особени обстоятелства?“ (Guide to Law Enforcement Processing, „Are there any special circumstances?“), достъпни на следния адрес: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-law-enforcement-processing/international-transfers/#ib3).

147

(148)  Член 76 от ЗЗД от 2018 г.

148

(149)  Член 76 от ЗЗД от 2018 г.

149

(150)  Член 76, параграф 3 от ЗЗД от 2018 г.

150

(151)  Член 73, параграф 5 от ЗЗД от 2018 г.

151

(152)  Приложимостта на тази нова уредба трябва да се разглежда в светлината на член 782 от Споразумението за търговия и сътрудничество между Европейския съюз и Европейската общност за атомна енергия, от една страна, и Обединеното кралство Великобритания и Северна Ирландия, от друга страна (ОВ L 444, 31.12.2020 г., стр. 14) („СТС ЕС—Обединено кралство“), достъпно на следния адрес: https://eur-lex.europa.eu/legal-content/BG/TXT/PDF/?uri=CELEX:22020A1231(01)&from=EN

152

(153)  Член 62 от ЗЗД от 2018 г.

153

(154)  Член 69 от ЗЗД от 2018 г.

154

(155)  Член 36, параграф 2, буква б) от Директива (ЕС) 2016/680.

155

(156)  Член 116 от ЗЗД от 2018 г.

156

(157)  Годишен доклад и годишни финансови отчети на комисаря по информацията за 2019—2020 г., достъпни на следния адрес: https://ico.org.uk/media/about-the-ico/documents/2618021/annual-report-2019-20-v83-certified.pdf.

157

(158)  Отношенията им се уреждат със споразумение за управление. По-специално основните отговорности на DCMS като финансиращо ведомство включват: да гарантира, че ICO е обезпечена с адекватно финансиране и ресурси; да представлява на интересите на ICO пред Парламента и други държавни ведомства; да осигури наличието на солидна национална уредба за защита на данните; и да предоставя насоки и подкрепа на ICO по корпоративни въпроси, като например въпроси, свързани с недвижимо имущество, наеми и обществени поръчки (Споразумението за управление за периода 2018—2021 г. е достъпно на следния адрес: https://ico.org.uk/media/about-the-ico/documents/2259800/management-agreement-2018-2021.pdf).

158

(159)  Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) (OB L 119, 4.5.2016 г., стр. 1).

159

(160)  Кодекс за управление на публичните назначения, достъпен на следния адрес: https://www.gov.uk/government/publications/governance-code-for-public-appointments.

160

(161)  Втори доклад от сесия 2015—2016 г. на комисията по култура, медии и спорт на Камарата на общините, достъпен на следния адрес: https://publications.parliament.uk/pa/cm201516/cmselect/cmcumeds/990/990.pdf.

161

(162)  
  „Обръщение“ е предложение, внесено в Парламента, което има за цел да запознае монарха със становищата на Парламента по даден въпрос.

162

(163)  Точка 3 от приложение 12 към ЗЗД от 2018 г.

163

(164)  Член 137 от ЗЗД от 2018 г.

164

(165)  В членове 137 и 138 от ЗЗД от 2018 г. се съдържат редица гаранции, за да се осигури определянето на таксите на подходящо равнище. По-специално в член 137, параграф 4 от ЗЗД от 2018 г. се изброяват обстоятелствата, които министърът трябва да вземе предвид при приемането на наредби за определяне на сумите, дължими от различните организации. В член 138, параграф 1 и член 182 от ЗЗД от 2018 г. също се съдържа правно изискване, преди наредбите да бъдат приети, министърът да се консултира с комисаря по информацията и с представители на други лица, които може да бъдат засегнати от наредбите, така че техните становища да могат да бъдат взети предвид. Освен това съгласно член 138, параграф 2 от ЗЗД от 2018 г. комисарят по информацията е длъжен да извършва преглед на действието на Наредбите за таксите и може да представя на министъра предложения за изменение на Наредбите. Накрая, с изключение на случаите, когато се приемат наредби само за да се вземе предвид увеличението на индекса на цените на дребно (в който случай спрямо тях ще се приложи процедурата за отрицателна резолюция), спрямо наредбите се прилага процедурата за потвърдителна резолюция и те не може да бъдат приети, докато не бъдат одобрени с резолюция на всяка камара на Парламента.

165

(166)  В Споразумението за управление се пояснява, че „министърът може да извършва плащания на комисаря по информацията със средства, предоставени от Парламента съгласно точка 9 от приложение 12 към ЗЗД от 2018 г. След консултация с комисаря по информацията DCMS ще му изплати съответните суми (безвъзмездна помощ) за административните разходи на ICO и за изпълнението на неговите функции във връзка с редица специфични функции, включително свобода на информацията“ (Споразумение за управление за периода 2018—2021 г., точка 1.12, вж. бележка под линия 158).

166

(167)  Член 134 от ЗЗД от 2018 г.

167

(168)  Точка 2 от приложение 13 към ЗЗД от 2018 г.

168

(169)  Член 142 от ЗЗД от 2018 г. (при спазване на ограниченията по член 143 от ЗЗД от 2018 г.).

169

(170)  Член 146 от ЗЗД от 2018 г. (при спазване на ограниченията по член 147 от ЗЗД от 2018 г.).

170

(171)  Членове 149—151 от ЗЗД от 2018 г. (при спазване на ограниченията по член 152 от ЗЗД от 2018 г.).

171

(172)  Член 155 от ЗЗД от 2018 г. (при спазване на ограниченията по член 156 от ЗЗД от 2018 г.).

172

(173)  Политика за регулаторните действия, достъпна на следния адрес: https://ico.org.uk/media/about-the-ico/documents/2259467/regulatory-action-policy.pdf.

173

(174)  По-специално ICO може да издаде наказателно постановление за неизпълнение на разпоредбите на член 149, параграфи 2, 3, 4 или 5 от ЗЗД от 2018 г.

174

(175)  Член 157 от ЗЗД от 2018 г.

175

(176)  Годишен доклад и годишни финансови отчети на комисаря по информацията за 2018—2019 г., достъпни на следния адрес: https://ico.org.uk/media/about-the-ico/documents/2615262/annual-report-201819.pdf.

176

(177)  Годишен доклад на комисаря по информацията за 2019—2020 г. (вж. бележка под линия 157).

177

(178)  База данни, в която са записани разузнавателни данни, свързани с предполагаеми членове на банди и жертви на престъпления, свързани с банди.

178

(179)  Член 170 от ЗЗД от 2018 г.

179

(180)  Член 171 от ЗЗД от 2018 г.

180

(181)  Член 119 от ЗЗД от 2018 г.

181

(182)  Членове 144 и 148 от ЗЗД от 2018 г.

182

(183)  Както е посочено в Споразумението за управление, годишният доклад трябва: i) да обхваща всички предприятия, дъщерни предприятия и съвместни предприятия под контрола на ICO; ii) да спазва Наръчника за финансово отчитане на Министерството на финансите (FReM); iii) да съдържа декларация за управлението, в която се посочва как счетоводителят е управлявал и контролирал ресурсите, използвани в организацията през годината, като онагледява в каква степен организацията се справя с рисковете за постигането на своите цели и задачи; и iv) да очертава основните дейности и резултати през предходната финансова година и да представя в обобщен вид прогнозното планиране (Споразумение за управление за периода 2018—2021 г., точка 3.26, вж. бележка под линия 158).

183

(184)  Член 117 от ЗЗД от 2018 г.

184

(185)  Съдебният състав за защита на данните отговаря за предоставянето на насоки и обучение на съдебната власт. Той също така разглежда жалби от субекти на данни във връзка с обработването на лични данни от съдилища, трибунали и физически лица, действащи в изпълнение на съдебните си функции. Съставът има за цел да осигури средствата, чрез които може да бъде решена всяка жалба. Ако жалбоподател не е удовлетворен от решение на Състава и е предоставил допълнителни доказателства, Съставът може да преразгледа решението си. Въпреки че самият Състав не налага финансови санкции, ако Съставът смята, че има достатъчно тежко нарушение на ЗЗД от 2018 г., той може да го отнесе до Службата за разглеждане на поведението в съдебната система (JCIO), която ще разгледа жалбата. Ако жалбата бъде уважена, лорд-канцлерът (Lord Chancellor) и главният съдия (или първият съдия, на когото е делегирано правомощието да действа от негово име) решават какви действия да бъдат предприети срещу заемащия длъжността. Това може да включва, по ред на тежестта: официално становище, предупреждение и официално предупреждение и, като крайна мярка, отстраняване от длъжност. Ако дадено лице не е удовлетворено от начина, по който JCIO е разгледала жалбата, то може да подаде друга жалба до омбудсмана по назначенията и поведението в съдебната система (вж. https://www.gov.uk/government/organisations/judicial-appointments-and-conduct-ombudsman). Омбудсманът има правомощието да поиска от JCIO да преразгледа жалбата и може да предложи на жалбоподателя да получи обезщетение, когато смята, че е претърпял вреди в резултат на лошо администриране.

185

Lord Chancellor

(186)  Декларацията за поверителност на главния съдия и първия председател на трибуналите е достъпна на следния адрес: https://www.judiciary.uk/about-the-judiciary/judiciary-and-data-protection-privacy-notice.

186

(187)  Декларацията за поверителност на главния съдия на Северна Ирландия е достъпна на следния адрес: https://judiciaryni.uk/data-privacy.

187

(188)  Декларацията за поверителност на шотландските съдилища и трибунали е достъпна на следния адрес: https://www.judiciary.uk/about-the-judiciary/judiciary-and-data-protection-privacy-notice.

188

(189)  DSJ предоставя насоки на съдебната власт и разглежда нарушения и/или жалби във връзка с обработването на лични данни от съдилища или физически лица, действащи в изпълнение на съдебните си функции.

189

(190)  Когато жалбата се смята за сериозна или нарушението за тежко, те се предават на служителя по жалбите във връзка със съдебната система за по-нататъшно разглеждане в съответствие с Кодекса за поведение във връзка с жалбите, издаден от главния съдия на Северна Ирландия. Такава жалба може да приключи: без по-нататъшни действия, със становище, с обучение или с наставничество, с неофициално предупреждение, с официално предупреждение, с последно предупреждение, с ограничаване на правото да се упражняват съдебни функции или с предаване на законоустановен трибунал. Кодексът за поведение във връзка с жалбите, издаден от главния съдия на Северна Ирландия, е достъпен на следния адрес: https://judiciaryni.uk/sites/judiciary/files/media-files/14G.%20CODE%20OF%20PRACTICE%20Judicial%20~%2028%20Feb%2013%20%28Final%29%20updated%20with%20new%20comp..__1.pdf.

190

(191)  Всяка основателна жалба се разглежда от съдията по надзора на данните и се предава на председателя на Върховния съд, който има правомощието да издаде становище, предупреждение или официално предупреждение, ако сметне това за необходимо (сходни правила съществуват за членовете на трибунала и са достъпни на следния адрес: https://www.judiciary.scot/docs/librariesprovider3/judiciarydocuments/complaints/complaintsaboutthejudiciaryscotlandrules2017_1d392ab6e14f6425aa0c7f48d062f5cc5.pdf?sfvrsn=5d3eb9a1_2).

191

(192)  Член 165 от ЗЗД от 2018 г.

192

(193)  Член 166 от ЗЗД от 2018 г. се отнася конкретно до следните случаи: а) комисарят не е предприел подходящи действия, за да отговори на жалбата, б) комисарят не е предоставил на жалбоподателя информация за напредъка по жалбата или за резултата от нея преди изтичането на 3-месечния срок, считано от датата на получаване на жалбата от него, или в) ако разглеждането на жалбата от страна на комисаря не е приключило в този срок, не е предоставил тази информация на жалбоподателя в следващите 3 месеца.

193

(194)  Трибуналът от първа инстанция е компетентният съд за разглеждане на жалби срещу решения, взети от държавни регулаторни органи. В случай на решение на комисаря по информацията компетентно е отделението „Общи правни въпроси“ (General Regulatory Chamber), което има юрисдикция за цялото Обединено кралство.

194

General Regulatory Chamber

(195)  Член 166 от ЗЗД от 2018 г.

195

(196)  Членове 161 и 162 от ЗЗД от 2018 г.

196

(197)  Вж. дело Brown/Commissioner of the Met от 2016 г., в което съдът предоставя правна защита на ищеца в контекста на защитата на данните по дело, заведено срещу полицията. Съдът се произнася в полза на ищеца, като уважава исковете му за нарушение на задълженията по ЗЗД от 1998 г., нарушение на ЗПЧ от 1998 г. (и свързаното с него право по член 8 от ЕКПЧ) и непозволено увреждане, изразяващо се в злоупотреба с лична информация (ответникът в крайна сметка признава, че е нарушил ЗЗД и ЕКПЧ, така че решението се съсредоточава върху подходящото обезщетение). В резултат на тези нарушения съдът присъжда парично обезщетение на ищеца.

197

Brown/Commissioner of the Met

(198)  Член 8, параграф 1 от Закона за правата на човека от 1998 г.

198

(199)  Член 36, параграф 3 от ЗЗД от 2018 г.

199

(200)  Член 56 от Закона за цифровата икономика от 2017 г., достъпен на следния адрес: https://www.legislation.gov.uk/ukpga/2017/30/contents.

200

(201)  Член 48 от Закона за цифровата икономика от 2017 г.

201

(202)  Член 7 от Закона за престъпленията и съдилищата от 2013 г., достъпен на следния адрес: https://www.legislation.gov.uk/ukpga/2013/22/contents.

202

(203)  Член 68 от Закона за тежките престъпления от 2007 г., достъпен на следния адрес: https://www.legislation.gov.uk/ukpga/2007/27/contents.

203

(204)  Разрешената професионална практика относно споделянето на информация е достъпна на следния адрес: https://www.app.college.police.uk/app-content/information-management/sharing-police-information.

204

(205)  Вж. напр. дело M/the Chief Constable of Sussex Police [2019] EWHC 975 (Admin), по което от Висшия съд е поискано да разгледа възможността за споделяне на данни между полицията и Партньорството за намаляване на икономическата престъпност (BCRP) — организация, оправомощена да управлява схема за уведомяване за отстраняване, с която на лица се забранява да влизат в търговските помещения на нейните членове. Съдът разглежда споделянето на данни, което се осъществява въз основа на споразумение, имащо за цел защита на обществеността и предотвратяване на престъпления, и в крайна сметка стига до заключението, че повечето аспекти на споделянето на данни са законосъобразни, с изключение на определена чувствителна информация, споделяна между полицията и BCRP. Друг пример е дело Cooper/NCA [2019] EWCA Civ 16, в което Апелативният съд потвърждава споделянето на данни между полицията и Агенцията по тежката организирана престъпност (SOCA), която понастоящем е част от NCA.

205

M/the Chief Constable of Sussex Police

Cooper/NCA

(206)  Член 36, параграф 4 от ЗЗД от 2018 г.

206

(207)  Решение за изпълнение на Комисията съгласно Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета относно адекватното ниво на защита на личните данни от страна на Обединеното кралство (C(2021) 4800).

207

(208)  Член 19 от Закона за борба с тероризма от 2008 г., достъпен на следния адрес: https://www.legislation.gov.uk/ukpga/2008/28/section/19.

208

(209)  В член 2, параграф 2 от Закона за разузнавателните служби от 1994 г. (вж. https://www.legislation.gov.uk/ukpga/1994/13/contents) се предвижда, че „Началникът на Разузнавателната служба отговаря за ефикасността на тази служба и е длъжен да гарантира, че: а) са налице мерки за гарантиране, че Разузнавателната служба не получава информация, освен доколкото това е необходимо за правилното изпълнение на функциите ѝ, и че тя не разкрива информация, освен доколкото това е необходимо i) за тази цел; ii) в интерес на националната сигурност; iii) за целите на предотвратяването или разкриването на тежки престъпления; или iv) за целите на наказателно производство; и б) че Разузнавателната служба не предприема никакви действия за прокарване на интересите на някоя политическа партия в Обединеното кралство“, докато в член 2, параграф 2 от Закона за службите за сигурност от 1989 г. (вж. https://www.legislation.gov.uk/ukpga/1989/5/contents) се предвижда, че „Генералният директор отговаря за ефикасността на Службата и е длъжен да гарантира, че: а) са налице мерки за гарантиране, че Службата не получава информация, освен доколкото това е необходимо за правилното изпълнение на функциите ѝ, нито разкрива информация, освен доколкото това е необходимо за тази цел или за целите на предотвратяването или разкриването на тежки престъпления, или за целите на наказателно производство; и б) че Службата не предприема никакви действия за прокарване на интересите на някоя политическа партия; и в) че са налице мерки, договорени с генералния директор на Националната агенция по престъпността, за координиране на дейностите на Службата съгласно член 1, параграф 4 от този закон с дейностите на полицейските сили, Националната агенция по престъпността и други правоприлагащи органи“.

209

(210)  Гаранциите и ограниченията на правомощията на разузнавателните служби се уреждат и от Закона за правомощията за разследване от 2016 г., в който, наред със Закона за уреждане на правомощията за разследване от 2000 г. за Англия, Уелс и Северна Ирландия и Закона за уреждане на правомощията за разследване (Шотландия) от 2000 г. за Шотландия, е предвидено правното основание за използването на тези правомощия. Тези правомощия обаче не са от значение в контекста на „последващото споделяне“, тъй като обхващат прякото събиране на лични данни от разузнавателните агенции. За оценка на правомощията, предоставени на разузнавателните агенции съгласно Закона за уреждане на правомощията за разследване, вж. Решение за изпълнение на Комисията съгласно Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета относно адекватното ниво на защита на личните данни от страна на Обединеното кралство (C(2021) 4800).

210

(211)  Съгласно член 86, параграф 6 от ЗЗД от 2018 г., за да се определят справедливостта и прозрачността на обработването, следва да се вземе предвид методът, по който са получени данните. В този смисъл изискването за справедливост и прозрачност е изпълнено, ако данните са получени от лице, което е законно оправомощено или е длъжно да ги предостави.

211

(212)  Съгласно член 87 от ЗЗД от 2018 г. целите на обработването трябва да бъдат конкретни, изрично указани и легитимни. Данните не трябва да се обработват по начин, който е несъвместим с целите, за които се събират. Съгласно член 87, параграф 3 по-нататъшно съвместимо обработване на лични данни може да бъде разрешено само ако администраторът е оправомощен по закон да обработва данните за тази цел и обработването е необходимо и пропорционално на тази друга цел. Обработването следва да се счита за съвместимо, ако се състои в обработване за целите на архивиране в обществен интерес, за целите на научни или исторически изследвания или за статистически цели и при прилагането на подходящи гаранции (член 87, параграф 4 от ЗЗД от 2018 г.).

212

(213)  Личните данни трябва да бъдат подходящи, относими и не надхвърлят необходимото (член 88 от ЗЗД от 2018 г.).

213

(214)  Личните данни трябва да бъдат точни и актуални (член 89 от ЗЗД от 2018 г.).

214

(215)  Личните данни не трябва да се съхраняват по-дълго от необходимото (член 90 от ЗЗД от 2018 г.).

215

(216)  Шестият принцип на защитата на данните е, че личните данни трябва да се обработват по начин, който включва вземането на подходящи мерки за сигурност по отношение на рисковете, произтичащи от обработването на лични данни. Рисковете включват (но не се ограничават до) случаен или неразрешен достъп до лични данни или унищожаване, загуба, използване, промяна или разкриване на лични данни (член 91 от ЗЗД от 2018 г.). В член 107 също така се изисква 1) всеки администратор да прилага съответни мерки за сигурност, подходящи за рисковете, произтичащи от обработването на лични данни, и 2) в случай на автоматизирано обработване всеки администратор и всеки обработващ лични данни да прилага, въз основа на оценка на риска, предотвратяващи или ограничаващи риска мерки.

216

(217)  Член 86, параграф 2, буква b) и приложение 10 от ЗЗД от 2018 г.

217

(218)  Част 4, глава 3 от ЗЗД от 2018 г., по-специално правата: на достъп, коригиране и заличаване, на възражение срещу обработването и спрямо тях да не се прилага автоматизирано вземане на решения, на намеса в автоматизирано вземане на решения и да бъдат информирани относно процеса на вземане на решения. Освен това администраторът трябва да предостави на субекта на данни информация относно обработването на неговите лични данни.

218

(219)  Член 103 от ЗЗД от 2018 г.

219

(220)  Член 109 от ЗЗД от 2018 г. Предаването на лични данни на международни организации или държави извън Обединеното кралство е възможно, ако предаването е необходима и пропорционална мярка, която се извършва за целите на законоустановените функции на администратора или за други цели, предвидени в конкретни разпоредби на Закона за службите за сигурност от 1989 г. и Закона за разузнавателните служби от 1994 г.

220

(221)  Вж. дело Baker/Secretary of State for the Home Department [2001] UKIT NSA2 (
  „Baker/Secretary of State“).

221

Baker/Secretary of State for the Home Department

„Baker/Secretary of State“)

(222)  Обяснителна рамка на Обединеното кралство за обсъждане във връзка с адекватното ниво на защита, раздел H: Национална рамка за защита на данните и разследващите правомощия, стр. 15—16, достъпна на следния адрес: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/872239/H_-_National_Security.pdf. Вж. също решение по дело Baker/Secretary of State (вж. по-горе бележка под линия 220), в което Трибуналът отменя удостоверение за национална сигурност, издадено от министъра на вътрешните работи, и потвърждава прилагането на изключението, свързано с националната сигурност, като счита, че няма причина да се предвиди общо изключение от задължението за отговор на искания за достъп и че допускането на такова изключение при всички обстоятелства без анализ на всеки отделен случай надхвърля необходимото и пропорционалното за защитата на националната сигурност.

222

Baker/Secretary of State

(223)  Вж. Меморандум за разбирателство между ICO и UKIC, съгласно който „При получаване на жалба от субект на данни ICO ще иска да се увери, че въпросът е бил разгледан правилно и, когато е приложимо, че прилагането на всяко освобождаване е било използвано по подходящ начин“ (Меморандум за разбирателство между Службата на комисаря по информацията (ICO) и разузнавателната общност на Обединеното кралство (UKIC), точка 16, достъпен на следния линк: https://ico.org.uk/media/about-the-ico/mou/2617438/uk-intelligence-community-ico-mou.pdf).

223

(224)  ЗЗД от 2018 г. отмени възможността за издаване на удостоверение съгласно член 28, параграф 2 от Закона за защита на данните от 1998 г. Въпреки това възможността за издаване на „стари удостоверения“ все още съществува, доколкото е налице възможност за оспорване съгласно Закона от 1998 г. (вж. част 5, точка 17 от приложение 20 към ЗЗД от 2018 г.). Тази възможност обаче изглежда много рядка и ще се прилага само в ограничени случаи, например когато субектът на данни оспорва използването на изключението, свързано с националната сигурност, във връзка с обработване от публичен орган, който е извършил обработването съгласно Закона от 1998 г. Следва да се отбележи, че в тези случаи член 28 от ЗЗД от 1998 г. ще се прилага изцяло, и следователно това включва възможността субектът на данни да оспори удостоверението. В момента няма удостоверения за национална сигурност, издадени съгласно ЗЗД от 1998 г.

224

(225)  Насоки на правителството на Обединеното кралство относно удостоверенията за национална сигурност съгласно Закона за защита на данните от 2018 г., достъпни на следния адрес: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/910279/Data_Protection_Act_2018_-_National_Security_Certificates_Guidance.pdf.

225

(226)  Съгласно член 130 от ЗЗД от 2018 г. ICO може да реши да не публикува текста или част от текста на удостоверението, ако това би било в противоречие с интересите на националната сигурност или с обществения интерес, или би могло да застраши безопасността на което и да е лице. В тези случаи обаче ICO ще публикува факта, че удостоверението е било издадено.

226

(227)  Насоки на правителството на Обединеното кралство относно удостоверенията за национална сигурност, точка 15, вж. бележка под линия 225.

227

(228)  Насоки на правителството на Обединеното кралство относно удостоверенията за национална сигурност, точка 5, бележка под линия 225.

228

(229)  Член 102 от ЗЗД от 2018 г. изисква администраторът да може да докаже, че е спазил разпоредбите на ЗЗД от 2018 г. Това означава, че разузнавателната служба ще трябва да докаже на ICO, че когато използва освобождаването, тя е разгледала конкретните обстоятелства по случая. ICO публикува и регистър на удостоверенията за национална сигурност, който е достъпен на следния адрес: https://ico.org.uk/about-the-ico/our-information/national-security-certificates/.

229

(230)  Член 111, параграф 3 от ЗЗД от 2018 г.

230

(231)  Трибуналът от по-горна инстанция е съдът, компетентен да разглежда жалби срещу решения, постановени от административни трибунали от по-долна инстанция, и има специална компетентност за пряко обжалване на решения на определени държавни органи.

231

(232)  Член 111, параграф 5 от ЗЗД от 2018 г.

232

(233)  В дело Baker/Secretary of State (вж. по-горе бележка под линия 221), Трибуналът отмени удостоверение за национална сигурност, издадено от министъра на вътрешните работи, като счете, че няма причина да се предвиди общо изключение от задължението за отговаряне на искания за достъп и че допускането на такова изключение при всички обстоятелства, без анализ на всеки отделен случай, надхвърля необходимото и пропорционалното за защитата на националната сигурност.

233

Baker/Secretary of State

(234)  Насоки на правителството на Обединеното кралство относно удостоверенията за национална сигурност, точка 25, бележка под линия 225.

234

(235)  Това включва: i) принципите за защита на данните от част 4, с изключение на изискването за законосъобразност на обработването съгласно първия принцип и факта, че обработването трябва да отговаря на едно от съответните условия, посочени в приложения 9 и 10; ii) правата на субектите на данни; и iii) задълженията, свързани с докладването на нарушения на ICO.

235

(236)  Съгласно Обяснителната рамка на Обединеното кралство освобождаванията на база категории включват: i) информацията за присъждането на кралски почести и отличия; ii) адвокатската тайна; iii) поверителната информация, свързана с трудово правоотношение, обучение или образование; и iv) изпитните протоколи и оценки. Освобождаването на база накърняване на интерес обхваща следните въпроси: i) предотвратяването или разкриването на престъпления; задържането и наказателното преследване на извършители на престъпления; ii) парламентарния имунитет; iii) съдебните производства; iv) бойната готовност на въоръжените сили на Короната; v) икономическото благосъстояние на Обединеното кралство; vi) преговорите със субекта на данни; vii) научните или историческите изследвания или статистическите цели; viii) архивирането в обществен интерес. Обяснителна рамка на Обединеното кралство за обсъждане във връзка с адекватното ниво на защита, раздел H: Национална сигурност, стр. 13, вж. бележка под линия 222.

236

(237)  Член 116 от ЗЗД от 2018 г.

237

(238)  Съгласно член 149, параграф 2 във връзка с член 155 от ЗЗД от 2018 г. на администратора или обработващия лични данни могат да бъдат издадени изпълнителни и наказателни постановления във връзка с нарушения по част 4, глава 2 от ЗЗД от 2018 г. (принципи на обработването), на разпоредба на част 4 от ЗЗД от 2018 г., предоставяща права на субект на данни, на изискване за съобщаване на комисаря за нарушение на сигурността на личните данни съгласно член 108 от ЗЗД от 2018 г. и на принципите за предаване на лични данни на трети държави, държави, които не са страни по Конвенцията, и международни организации, посочени в член 109 от ЗЗД от 2018 г. (За повече подробности относно изпълнителните и наказателните постановления вж. съображения 102—103).

238

(239)  Съгласно член 147, параграф 6 от ЗЗД от 2018 г. комисарят по информацията не може да издава ревизионно постановление на орган, посочен в член 23, параграф 3 от Закона за свободата на информацията от 2000 г. Това включва Службата за сигурност (MI5), Тайната разузнавателна служба (MI6) и Държавния комуникационен щаб (Government Communications Headquarter).

239

MI5

MI6

Government Communications Headquarter

(240)  Разпоредбите, от които може да бъде получено освобождаване, са: член 108 (съобщаване на комисаря за нарушение на сигурността на личните данни), член 119 (проверка в съответствие с международните задължения); членове 142—154 и приложение 15 (постановления на комисаря и правомощия за влизане и проверка); и членове 170—173 (нарушения, свързани с лични данни). Освен това във връзка с обработването от разузнавателните служби, предвидено в точка 1, букви а) и g) и точка 2 от приложение 13 (други общи функции на комисаря).

240

(241)  Виж например дело Baker/Secretary of State for the Home Department (вж. бележка под линия 221).

241

Baker/Secretary of State for the Home Department

(242)  Меморандум за разбирателство между ICO и разузнавателната общност на Обединеното кралство, вж. бележка под линия 231.

242

(243)  В седем от тези случаи ICO е посъветвала жалбоподателя да повдигне въпроса пред администратора на лични данни (такъв е случаят, когато дадено лице е изпратило жалба до ICO, но първо е трябвало да изпрати запитване до администратора на данни), в един от тези случаи ICO е предоставила общи съвети на администратора на данни (това се използва, когато действията на администратора на лични данни не изглежда да са в нарушение на законодателството, но подобряване на практиките е можело да предотврати проблема, с който ICO е сезирана), а в останалите 13 случая не е било необходимо предприемането на действия от администратора на данни (това се използва, когато проблемът, повдигнат от лицето, попадат в обхвата на Закона за защита на данните от 2018 г., защото засяга обработването на лични данни, но въз основа на предоставената информация не изглежда администраторът да е нарушил законодателството).

243

(244)  Както беше обяснено от органите на Обединеното кралство, със ЗПС бяха разширени правомощията на ISC, за да ѝ отредят роля в надзора на разузнавателната общност отвъд трите агенции и да ѝ се даде възможност за ретроспективен надзор на оперативните дейности на агенциите по въпроси от значителен национален интерес.

244

(245)  Член 1 от ЗПС от 2013 г. Министрите не отговарят на условията за членство. Членовете на ISC заемат длъжността си за срока на мандата на Парламента, по време на който са били назначени. Те могат да бъдат отстранени с решение на камарата на Парламента, от чиято квота са били назначени, или ако престанат да бъдат членове на Парламента или станат министри. Всеки член може също така да подаде оставка.

245

(246)  Докладите и изявленията на Комисията са достъпни онлайн на следния адрес: http://isc.independent.gov.uk/committee-reports. През 2015 г. ISC публикува доклад относно „Неприкосновеност на личния живот и сигурността: модерна и прозрачна правна уредба“ (вж.: https://b1cba9b3-a-5e6631fd-s-sites.googlegroups.com/a/independent.gov.uk/isc/files/20150312_ISC_P%2BS%2BRpt%28web%29.pdf), в който се разглежда правната уредба на техниките за наблюдение, използвани от разузнавателните агенции, и в който бяха отправени редица препоръки, които след това бяха разгледани и включени в Законопроекта за правомощията за разследване, който бе приет и стана ЗПР от 2016 г. Отговорът на правителството на доклада относно неприкосновеността на личния живот и сигурността е достъпен на следния адрес: https://b1cba9b3-a-5e6631fd-s-sites.googlegroups.com/a/independent.gov.uk/isc/files/20151208_Privacy_and_Security_Government_Response.pdf.

246

(247)  Член 2 от ЗПС от 2013 г.

247

(248)  Меморандум за разбирателство между министър-председателя и ISC, достъпен на следния адрес: http://data.parliament.uk/DepositedPapers/Files/DEP2013-0415/AnnexA-JSBill-summaryofISCMoU.pdf.

248

(249)  Меморандум за разбирателство между министър-председателя и ISC, точка 14, вж. бележка под линия 248.

249

(250)  Министърът може да наложи вето върху разкриването на информация само на две основания: информацията е чувствителна и не следва да се разкрива на ISC в интерес на националната сигурност; или информацията е от такъв характер, че ако от министъра бъде изискано да я представи пред специална парламентарна комисия на Камарата на общините, министърът ще счете (не само на основания, засягащи националната сигурност) за неуместно да го направи (точка 4, подточка 2 от приложение 1 към ЗПС от 2013 г.)

250

(251)  Обяснителна рамка на Обединеното кралство, раздел H: Национална сигурност, стр. 43.

251

(252)  Член 94, параграф 11 от ЗЗД от 2018 г.

252

(253)  Член 99, параграф 4 от ЗЗД от 2018 г.

253

(254)  Член 169 от Закона за защита на данните от 2018 г., с който се допускат искове от „лице, което претърпява вреди поради нарушение на изискване на законодателството за защита на данните“.

254

(255)  Член 169, параграф 5 от ЗЗД от 2018 г.

255

(256)  Вж. член 65, параграф 2, буква b) от ЗУПР.

256

(257)  Съгласно приложение 3 към ЗУПР от 2000 г. членовете трябва да имат определен съдебен опит и имат право на преназначаване.

257

(258)  Относно понятието „обръщение“ вж. бележка под линия 183.

258

(259)  Точка 1, подточка 5 от приложение 3 към ЗУПР от 2000 г.

259

(260)  Член 65, параграф 4 от ЗУПР от 2000 г.

260

(261)  Такива обстоятелства се отнасят до действия на публичните органи при упражняване на публична власт (напр. заповед, разрешение/постановление за получаване на съобщения и др.), или ако обстоятелствата са такива, че (независимо дали има упражняване на публична власт) не би било уместно действията да се извършат без упражняването ѝ или най-малкото без надлежно разглеждане на въпроса дали следва да се приложи такова упражняване на публична власт. Счита се, че действията, разрешени от съдебен комисар, са извършени при подлежащи на обжалване обстоятелства (член 65, параграф 7ZA от ЗУПР от 2000 г.), докато други действия, извършени с разрешението на лице, заемащо съдебна длъжност, не се считат за извършени при подлежащи на обжалване обстоятелства (член 65, параграфи 7 и 8 от ЗУПР от 2000 г.).

261

(262)  Според информацията, предоставена от органите на Обединеното кралство, ниският праг за подаване на жалба води до това, че не е необичайно разследването на Трибунала да установи, че жалбоподателят в действителност никога не е бил обект на разследване от публичен орган. В последния статистически доклад на IPT се посочва, че през 2016 г. Трибуналът е получил 209 жалби, 52 % от които са били счетени за недопустими, а 25 % са оставени „без разглеждане“. Органите на Обединеното кралство обясниха, че това означава, че по отношение на жалбоподателя не са били използвани специални разузнавателни средства/правомощия, или че са използвани специални разузнавателни техники и Трибуналът е установил, че действието е законосъобразно. Освен това 11 % от жалбите са били недопустими поради липса на компетентност, били са оттеглени или са били нередовни, 5 % са били недопустими, тъй като не са били подадени в срок, и 7 % са били отсъдени в полза на жалбоподателя. Статистически доклад на Трибунала за правомощията за разследване от 2016 г., достъпен на следния адрес: https://www.ipt-uk.com/docs/IPT%20Statisical%20Report%202016.pdf.

262

(263)  Вж. дело Human Rights Watch/Secretary of State [2016] UKIPTrib15_165-CH. По това дело IPT, позовавайки се на съдебната практика на ЕСПЧ, приема, че подходящият критерий за проверка на убеждението, че действие, попадащо в обхвата на член 68, параграф 5 от ЗУПР от 2000 г., е извършено пряко от или от името на някоя разузнавателна служба, е дали има основание за такова убеждение, включително факта, че дадено лице може да твърди, че е жертва на нарушение, причинено от самото съществуване на специалните разузнавателни средства или на законодателство, позволяващо специални разузнавателни средства, само ако може да докаже, че поради личното си положение е изложено на риск от прилагането на такива средства спрямо него (вж. Human Rights Watch/Secretary of State, т. 41)..

263

Human Rights Watch/Secretary of State

Human Rights Watch/Secretary of State,

(264)  Член 67, параграф 3 от ЗРРП от 2000 г.

264

(265)  Член 67, параграф 2 от ЗРРП от 2000 г.

265

(266)  Член 68, параграф 4 от ЗУПР от 2000 г.

266

(267)  Това може да включва разпореждане, изискващо унищожаването на цялата информация, съхранявана от някой публичен орган по отношение на лице.

267

(268)  High Court of Justice, Liberty, [2019] EWHC 2057 (Admin), т. 170.

268

Liberty

(269)  Член 8, параграф 1 от Закона за правата на човека от 1998 г.

269

(270)  Решение по дело Schrems, т. 65.

270

Schrems

(271)  Становище 15/2021 относно проекта на решение за изпълнение на Европейската комисия съгласно Директива (ЕС) 2016/680 относно адекватната защита на личните данни в Обединеното кралство, достъпно на следния адрес: https://edpb.europa.eu/our-work-tools/our-documents/opinion-led/opinion-152021-regarding-european-commission-draft_en

271

(272)  Решение за изпълнение (ЕС) 2020/1745 на Съвета от 18 ноември 2020 г. относно привеждането в действие на разпоредбите на достиженията на правото от Шенген в областта на защитата на личните данни и относно временното привеждане в действие на някои разпоредби на достиженията на правото от Шенген в Ирландия (OВ L 393, 23.11.2020 г., стр. 3).

272

(273)  
  OВ L 176, 10.7.1999 г., стр. 36.

273

(274)  
  OВ L 53, 27.2.2008 г., стр. 52.

274

(275)  
  OВ L 160, 18.6.2011 г., стр. 21.

275

---

| 11.10.2021 | BG | Официален вестник на Европейския съюз | L 360/108 |
| --- | --- | --- | --- |

11.10.2021

BG

Официален вестник на Европейския съюз

L 360/108

---

РЕШЕНИЕ ЗА ИЗПЪЛНЕНИЕ (ЕС) 2021/1774 НА СЪВЕТА

от 5 октомври 2021 година

за изменение на Решение за изпълнение (ЕС) 2018/1493 за даване на разрешение на Унгария да въведе специална мярка за дерогация от член 26, параграф 1, буква а) и членове 168 и 168а от Директива 2006/112/ЕО относно общата система на данъка върху добавената стойност

СЪВЕТЪТ НА ЕВРОПЕЙСКИЯ СЪЮЗ,

като взе предвид Договора за функционирането на Европейския съюз,

като взе предвид Директива 2006/112/ЕО на Съвета от 28 ноември 2006 г. относно общата система на данъка върху добавената стойност (1), и по-специално член 395, параграф 1, първа алинея от нея,

като взе предвид предложението на Европейската комисия,

като има предвид, че:

| (1) | С Решение за изпълнение (ЕС) 2018/1493 на Съвета (2) на Унгария бе дадено разрешение до 31 декември 2021 г. да прилага специална мярка, състояща се, от една страна, в ограничаване до 50 % на правото на приспадане на данъка върху добавената стойност (ДДС) за разходите, свързани с леки автомобили, които не се използват изцяло за стопански цели, чрез дерогация от членове 168 и 168а от Директива 2006/112/ЕО, а от друга страна, чрез дерогация от член 26, параграф 1, буква а) от същата директива, във възможността да не се третира като възмездна доставка на услуги употребата за нестопански цели на лек автомобил, който е част от стопанските активи на данъчно задължено лице, когато за въпросния автомобил се прилага ограничение, разрешено съгласно член 1 от посоченото решение за изпълнение („специалната мярка“). |
| --- | --- |

(1)

С Решение за изпълнение (ЕС) 2018/1493 на Съвета (2) на Унгария бе дадено разрешение до 31 декември 2021 г. да прилага специална мярка, състояща се, от една страна, в ограничаване до 50 % на правото на приспадане на данъка върху добавената стойност (ДДС) за разходите, свързани с леки автомобили, които не се използват изцяло за стопански цели, чрез дерогация от членове 168 и 168а от Директива 2006/112/ЕО, а от друга страна, чрез дерогация от член 26, параграф 1, буква а) от същата директива, във възможността да не се третира като възмездна доставка на услуги употребата за нестопански цели на лек автомобил, който е част от стопанските активи на данъчно задължено лице, когато за въпросния автомобил се прилага ограничение, разрешено съгласно член 1 от посоченото решение за изпълнение („специалната мярка“).

| (2) | С писмо, заведено в Комисията на 25 февруари 2021 г., Унгария поиска разрешение да продължи да прилага специалната мярка („искането за удължаване“). |
| --- | --- |

(2)

С писмо, заведено в Комисията на 25 февруари 2021 г., Унгария поиска разрешение да продължи да прилага специалната мярка („искането за удължаване“).

| (3) | Съгласно член 395, параграф 2, втора алинея от Директива 2006/112/ЕО, с писма от 7 април 2021 г. Комисията препрати искането за удължаване до останалите държави членки. С писмо от 8 април 2021 г. Комисията уведоми Унгария, че разполага с пълната информация, необходима за разглеждане на искането за удължаване. |
| --- | --- |

(3)

Съгласно член 395, параграф 2, втора алинея от Директива 2006/112/ЕО, с писма от 7 април 2021 г. Комисията препрати искането за удължаване до останалите държави членки. С писмо от 8 април 2021 г. Комисията уведоми Унгария, че разполага с пълната информация, необходима за разглеждане на искането за удължаване.

| (4) | Съгласно член 5 от Решение за изпълнение (ЕС) 2018/1493 на Съвета заедно с искането за удължаване Унгария представи на Комисията доклад, включващ преглед на процента, определен за приспадането на ДДС. На базата на наличната в момента информация, а именно опита от данъчни ревизии и статистически данни относно употребата за лични нужди на леки автомобили, в искането за удължаване Унгария потвърждава, че ограничението от 50 % все още е обосновано и целесъобразно. Освен това, чрез опростяване на събирането на ДДС специалната мярка ефективно е намалила административната тежест за стопанските субекти и за данъчните органи. Същевременно, чрез нея се предотвратява отклонението от данъчно облагане чрез неправилно водене на документация. Поради това на Унгария следва да се разреши да продължи да прилага специалната мярка. |
| --- | --- |

(4)

Съгласно член 5 от Решение за изпълнение (ЕС) 2018/1493 на Съвета заедно с искането за удължаване Унгария представи на Комисията доклад, включващ преглед на процента, определен за приспадането на ДДС. На базата на наличната в момента информация, а именно опита от данъчни ревизии и статистически данни относно употребата за лични нужди на леки автомобили, в искането за удължаване Унгария потвърждава, че ограничението от 50 % все още е обосновано и целесъобразно. Освен това, чрез опростяване на събирането на ДДС специалната мярка ефективно е намалила административната тежест за стопанските субекти и за данъчните органи. Същевременно, чрез нея се предотвратява отклонението от данъчно облагане чрез неправилно водене на документация. Поради това на Унгария следва да се разреши да продължи да прилага специалната мярка.

| (5) | Удължаването на срока на действие на специалната мярка следва да се ограничи във времето, за да може да се направи оценка на ефективността ѝ и на подходящото процентно ограничение. Поради това на Унгария следва да се разреши да продължи да прилага специалната мярка за ограничен срок — до 31 декември 2024 г. |
| --- | --- |

(5)

Удължаването на срока на действие на специалната мярка следва да се ограничи във времето, за да може да се направи оценка на ефективността ѝ и на подходящото процентно ограничение. Поради това на Унгария следва да се разреши да продължи да прилага специалната мярка за ограничен срок — до 31 декември 2024 г.

| (6) | В случай че Унгария прецени, че е необходимо удължаване на срока на действие на разрешението след 2024 г., тя следва да изпрати на Комисията не по-късно от 31 март 2024 г. доклад, който включва преглед на прилаганото процентно ограничение, заедно с искането за удължаване на срока. |
| --- | --- |

(6)

В случай че Унгария прецени, че е необходимо удължаване на срока на действие на разрешението след 2024 г., тя следва да изпрати на Комисията не по-късно от 31 март 2024 г. доклад, който включва преглед на прилаганото процентно ограничение, заедно с искането за удължаване на срока.

| (7) | Специалната мярка ще има незначително отражение върху общия размер на данъчните приходи, събирани на етапа на крайно потребление, и няма да окаже отрицателно въздействие върху собствените ресурси на Съюза от ДДС. |
| --- | --- |

(7)

Специалната мярка ще има незначително отражение върху общия размер на данъчните приходи, събирани на етапа на крайно потребление, и няма да окаже отрицателно въздействие върху собствените ресурси на Съюза от ДДС.

| (8) | Поради това Решение за изпълнение (ЕС) 2018/1493 следва да бъде съответно изменено, |
| --- | --- |

(8)

Поради това Решение за изпълнение (ЕС) 2018/1493 следва да бъде съответно изменено,

ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:

Член 1

Член 5 от Решение за изпълнение (ЕС) 2018/1493 се заменя със следното:

„Член 5

Настоящото решение се прилага от 1 януари 2019 г. до 31 декември 2024 г.“

Всяко искане за удължаване на срока на действие на разрешението, предвидено в настоящото решение, се представя на Комисията до 31 март 2024 г. и се придружава от доклад, който включва преглед на процентното ограничение, определено в член 1.“

Член 2

Настоящото решение поражда действие в деня на нотифицирането му.

Член 3

Адресат на настоящото решение е Унгария.

Съставено в Люксембург на 5 октомври 2021 година.

За Съвета

Председател

A. ŠIRCELJ

---

(1)  
  ОВ L 347, 11.12.2006 г., стр. 1.

1

(2)  Решение за изпълнение (ЕС) 2018/1493 на Съвета от 2 октомври 2018 г. за даване на разрешение на Унгария да въведе специална мярка за дерогация от член 26, параграф 1, буква а) и членове 168 и 168а от Директива 2006/112/ЕО относно общата система на данъка върху добавената стойност (ОВ L 252, 8.10.2018 г., стр. 44).

2

---

| 11.10.2021 | BG | Официален вестник на Европейския съюз | L 360/110 |
| --- | --- | --- | --- |

11.10.2021

BG

Официален вестник на Европейския съюз

L 360/110

---

РЕШЕНИЕ ЗА ИЗПЪЛНЕНИЕ (ЕС) 2021/1775 НА СЪВЕТА

от 5 октомври 2021 година

за изменение на Решение за изпълнение (ЕС) 2018/789 за предоставяне на разрешение на Унгария да въведе специална мярка за дерогация от член 193 от Директива 2006/112/ЕО относно общата система на данъка върху добавената стойност

СЪВЕТЪТ НА ЕВРОПЕЙСКИЯ СЪЮЗ,

като взе предвид Договора за функционирането на Европейския съюз,

като взе предвид Директива 2006/112/ЕО на Съвета от 28 ноември 2006 г. относно общата система на данъка върху добавената стойност (1), и по-специално член 395, параграф 1, първа алинея от нея,

като взе предвид предложението на Европейската комисия,

като има предвид, че:

| (1) | Член 193 от Директива 2006/112/ЕО предвижда, че всяко данъчно задължено лице, което извършва облагаема доставка на стоки или услуги, е платец на данъка върху добавената стойност (ДДС) пред данъчните органи в общия случай. |
| --- | --- |

(1)

Член 193 от Директива 2006/112/ЕО предвижда, че всяко данъчно задължено лице, което извършва облагаема доставка на стоки или услуги, е платец на данъка върху добавената стойност (ДДС) пред данъчните органи в общия случай.

| (2) | С Решение за изпълнение (ЕС) 2018/789 на Съвета (2) на Унгария бе предоставено разрешение да въведе мярка за дерогация от член 193 от Директива 2006/112/ЕО по отношение на лицето – платец на ДДС, в случаи, при които някои доставки са извършвани от данъчно задължени лица в производство по ликвидация или каквото и да е друго производство за правно установяване на несъстоятелност (наричана по-нататък „специалната мярка“). |
| --- | --- |

(2)

С Решение за изпълнение (ЕС) 2018/789 на Съвета (2) на Унгария бе предоставено разрешение да въведе мярка за дерогация от член 193 от Директива 2006/112/ЕО по отношение на лицето – платец на ДДС, в случаи, при които някои доставки са извършвани от данъчно задължени лица в производство по ликвидация или каквото и да е друго производство за правно установяване на несъстоятелност (наричана по-нататък „специалната мярка“).

| (3) | С писмо, заведено в Комисията на 18 февруари 2021 г., Унгария подаде искане до Комисията за удължаване на срока на действие на разрешението за прилагане на специалната мярка до 31 декември 2026 г. (наричано по-нататък „искането“). Заедно с искането Унгария представи доклад, който съдържа преглед на специалната мярка. |
| --- | --- |

(3)

С писмо, заведено в Комисията на 18 февруари 2021 г., Унгария подаде искане до Комисията за удължаване на срока на действие на разрешението за прилагане на специалната мярка до 31 декември 2026 г. (наричано по-нататък „искането“). Заедно с искането Унгария представи доклад, който съдържа преглед на специалната мярка.

| (4) | Съгласно член 395, параграф 2, втора алинея от Директива 2006/112/ЕО, с писма от 7 април 2021 г. Комисията препрати искането до останалите държави членки. С писмо от 8 април 2021 г. Комисията уведоми Унгария, че разполага с цялата информация, необходима за разглеждане на искането. |
| --- | --- |

(4)

Съгласно член 395, параграф 2, втора алинея от Директива 2006/112/ЕО, с писма от 7 април 2021 г. Комисията препрати искането до останалите държави членки. С писмо от 8 април 2021 г. Комисията уведоми Унгария, че разполага с цялата информация, необходима за разглеждане на искането.

| (5) | Унгария твърди, че данъчно задължените лица в производство по ликвидация или срещу които е открито производство по несъстоятелност често не заплащат на данъчните органи дължимия от тях ДДС. Същевременно купувачът, който е данъчно задължено лице с право на приспадане, може все пак да приспадне заплатения ДДС, като това води до загуби за бюджета и финансира ликвидацията. В Унгария са регистрирани случаи на измама, при които дружества в ликвидация издават фиктивни фактури на действащи дружества и намаляват драстично техните данъчни задължения, без да има каквато и да е гаранция, че издателят на фактурата ще заплати дължимия ДДС. |
| --- | --- |

(5)

Унгария твърди, че данъчно задължените лица в производство по ликвидация или срещу които е открито производство по несъстоятелност често не заплащат на данъчните органи дължимия от тях ДДС. Същевременно купувачът, който е данъчно задължено лице с право на приспадане, може все пак да приспадне заплатения ДДС, като това води до загуби за бюджета и финансира ликвидацията. В Унгария са регистрирани случаи на измама, при които дружества в ликвидация издават фиктивни фактури на действащи дружества и намаляват драстично техните данъчни задължения, без да има каквато и да е гаранция, че издателят на фактурата ще заплати дължимия ДДС.

| (6) | Член 199, параграф 1, буква ж) от Директива 2006/112/ЕО дава възможност на държавите членки да предвидят лицето — платец на ДДС да бъде данъчно задълженото лице, за което се извършва доставката на недвижими вещи, продадени от длъжник, срещу когото е произнесено съдебно решение за изпълнение при процедура за публична продан („механизъм за обратно начисляване“). Специалната мярка позволява на Унгария да разшири обхвата на приложение на механизма за обратно начисляване, така че в него да се включат и други доставки, извършвани от данъчно задължени лица, срещу които е открито производство по несъстоятелност, и по-специално доставките на капиталови стоки и доставките на други стоки и услуги с пазарна цена, надвишаваща 100 000 унгарски форинта. |
| --- | --- |

(6)

Член 199, параграф 1, буква ж) от Директива 2006/112/ЕО дава възможност на държавите членки да предвидят лицето — платец на ДДС да бъде данъчно задълженото лице, за което се извършва доставката на недвижими вещи, продадени от длъжник, срещу когото е произнесено съдебно решение за изпълнение при процедура за публична продан („механизъм за обратно начисляване“). Специалната мярка позволява на Унгария да разшири обхвата на приложение на механизма за обратно начисляване, така че в него да се включат и други доставки, извършвани от данъчно задължени лица, срещу които е открито производство по несъстоятелност, и по-специално доставките на капиталови стоки и доставките на други стоки и услуги с пазарна цена, надвишаваща 100 000 унгарски форинта.

| (7) | Съгласно предоставената от Унгария информация прилагането на механизма за обратно начисляване към тези видове сделки действително е опростило събирането на данъка и е предотвратило отклонението от данъчно облагане. Прилагането на специалната мярка е ограничило загубите за държавния бюджет и е генерирало допълнителни приходи. Освен това е възможно икономическите последици от пандемията от COVID-19 да причинят рязко увеличение на броя на производствата по ликвидация в близко бъдеще, което да подчертае необходимостта от удължаване на срока на действие на специалната мярка. |
| --- | --- |

(7)

Съгласно предоставената от Унгария информация прилагането на механизма за обратно начисляване към тези видове сделки действително е опростило събирането на данъка и е предотвратило отклонението от данъчно облагане. Прилагането на специалната мярка е ограничило загубите за държавния бюджет и е генерирало допълнителни приходи. Освен това е възможно икономическите последици от пандемията от COVID-19 да причинят рязко увеличение на броя на производствата по ликвидация в близко бъдеще, което да подчертае необходимостта от удължаване на срока на действие на специалната мярка.

| (8) | Исканата дерогация следва да бъде ограничена във времето, но същевременно да дава на данъчната администрация време да въведе други конвенционални мерки за преодоляване на проблема и за намаляване на загубите за държавния бюджет, по-специално онези, дължащи се на измамничеки практики, преди изтичането на срока на действие на специалната мярка, като по този начин направи излишно допълнителното удължаване срока на действие на специалната мярка. Дерогация, позволяваща използването на механизма за обратно начисляване, се разрешава само по изключение за определени области с повече измами и се употребява в краен случай. Поради това срокът на действие на разрешението следва да бъде удължен само до 31 декември 2024 г. |
| --- | --- |

(8)

Исканата дерогация следва да бъде ограничена във времето, но същевременно да дава на данъчната администрация време да въведе други конвенционални мерки за преодоляване на проблема и за намаляване на загубите за държавния бюджет, по-специално онези, дължащи се на измамничеки практики, преди изтичането на срока на действие на специалната мярка, като по този начин направи излишно допълнителното удължаване срока на действие на специалната мярка. Дерогация, позволяваща използването на механизма за обратно начисляване, се разрешава само по изключение за определени области с повече измами и се употребява в краен случай. Поради това срокът на действие на разрешението следва да бъде удължен само до 31 декември 2024 г.

| (9) | Специалната мярка няма да окаже отрицателно въздействие върху собствените ресурси на Съюза от ДДС. |
| --- | --- |

(9)

Специалната мярка няма да окаже отрицателно въздействие върху собствените ресурси на Съюза от ДДС.

| (10) | Поради това Решение за изпълнение (ЕС) 2018/789 следва да бъде съответно изменено, |
| --- | --- |

(10)

Поради това Решение за изпълнение (ЕС) 2018/789 следва да бъде съответно изменено,

ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:

Член 1

В член 2 от Решение за изпълнение (ЕС) 2018/789 втората алинея се заменя със следното:

„Срокът на действие на настоящото решение изтича на 31 декември 2024 г.
  “

Член 2

Настоящото решение поражда действие в деня на нотифицирането му.

Член 3

Адресат на настоящото решение е Унгария.

Съставено в Люксембург на 5 октомври 2021 година.

За Съвета

Председател

A. ŠIRCELJ

---

(1)  
  ОВ L 347, 11.12.2006 г., стр. 1.

1

(2)  Решение за изпълнение (ЕС) 2018/789 на Съвета от 25 май 2018 г. за предоставяне на разрешение на Унгария да въведе специална мярка за дерогация от член 193 от Директива 2006/112/ЕО относно общата система на данъка върху добавената стойност (ОВ L 134, 31.5.2018 г., стр. 10).

2

---

| 11.10.2021 | BG | Официален вестник на Европейския съюз | L 360/112 |
| --- | --- | --- | --- |

11.10.2021

BG

Официален вестник на Европейския съюз

L 360/112

---

РЕШЕНИЕ ЗА ИЗПЪЛНЕНИЕ (ЕС) 2021/1776 НА СЪВЕТА

от 5 октомври 2021 година

за изменение на Решение 2009/791/ЕО за даване на разрешение на Федерална република Германия да продължи да прилага мярка за дерогация от член 168 от Директива 2006/112/ЕО относно общата система на данъка върху добавената стойност

СЪВЕТЪТ НА ЕВРОПЕЙСКИЯ СЪЮЗ,

като взе предвид Договора за функционирането на Европейския съюз,

като взе предвид Директива 2006/112/ЕО на Съвета от 28 ноември 2006 г. относно общата система на данъка върху добавената стойност (1), и по-специално член 395, параграф 1, първа алинея от нея,

като взе предвид предложението на Европейската комисия,

като има предвид, че:

| (1) | В членове 168 и 168а от Директива 2006/112/ЕО се урежда правото на данъчно задължените лица да приспадат данъка върху добавената стойност (ДДС), който е начислен върху стоките и услугите, доставени им за целите на техните облагаеми сделки. На Федерална република Германия („Германия“) е дадено разрешение да въведе мярка за дерогация, с която се цели да се изключи от правото на приспадане ДДС, начислен върху стоките и услугите, които се употребяват от данъчно задълженото лице повече от 90 % за неговите лични нужди или за тези на неговите служители, или по-общо — за цели извън предмета на стопанската му дейност или за неикономически дейности. |
| --- | --- |

(1)

В членове 168 и 168а от Директива 2006/112/ЕО се урежда правото на данъчно задължените лица да приспадат данъка върху добавената стойност (ДДС), който е начислен върху стоките и услугите, доставени им за целите на техните облагаеми сделки. На Федерална република Германия („Германия“) е дадено разрешение да въведе мярка за дерогация, с която се цели да се изключи от правото на приспадане ДДС, начислен върху стоките и услугите, които се употребяват от данъчно задълженото лице повече от 90 % за неговите лични нужди или за тези на неговите служители, или по-общо — за цели извън предмета на стопанската му дейност или за неикономически дейности.

| (2) | Първоначално с Решение 2000/186/ЕО на Съвета (2) на Германия бе дадено разрешение да въведе и да прилага мерки за дерогация от членове 6 и 17 от Директива 77/388/ЕИО на Съвета (3) до 31 декември 2002 г. С Решение 2003/354/ЕО на Съвета (4) на Германия бе дадено разрешение да прилага мярка за дерогация от член 17 от Директива 77/388/ЕИО до 30 юни 2004 г. С Решение 2004/817/ЕО на Съвета (5) срокът на действие на това разрешение бе удължен до 31 декември 2009 г. |
| --- | --- |

(2)

Първоначално с Решение 2000/186/ЕО на Съвета (2) на Германия бе дадено разрешение да въведе и да прилага мерки за дерогация от членове 6 и 17 от Директива 77/388/ЕИО на Съвета (3) до 31 декември 2002 г. С Решение 2003/354/ЕО на Съвета (4) на Германия бе дадено разрешение да прилага мярка за дерогация от член 17 от Директива 77/388/ЕИО до 30 юни 2004 г. С Решение 2004/817/ЕО на Съвета (5) срокът на действие на това разрешение бе удължен до 31 декември 2009 г.

| (3) | С Решение 2009/791/ЕО на Съвета (6) на Германия бе дадено разрешение да продължи да прилага мярка за дерогация от член 168 от Директива 2006/112/ЕО. След като бе удължен неколкократно, срокът на действие на това разрешение предстои да изтече на 31 декември 2021 г. |
| --- | --- |

(3)

С Решение 2009/791/ЕО на Съвета (6) на Германия бе дадено разрешение да продължи да прилага мярка за дерогация от член 168 от Директива 2006/112/ЕО. След като бе удължен неколкократно, срокът на действие на това разрешение предстои да изтече на 31 декември 2021 г.

| (4) | С Директива 2009/162/ЕС на Съвета (7) в Директива 2006/112/ЕО бе добавен член 168а с цел приспадането да се ограничи до дела на действителното използване за стопански цели и по този начин да се приложи по-ефективно принципът, според който приспадането възниква само доколкото съответните стоки и услуги се използват за целите на стопанската дейност на данъчно задълженото лице. Член 1 от Решение 2009/791/ЕО беше изменен, така че да включва позоваване към член 168а от Директива 2006/112/ЕО. Следователно е необходимо в заглавието на Решение 2009/791/ЕО да се добави и позоваване на член 168а от Директива 2006/112/ЕО. |
| --- | --- |

(4)

С Директива 2009/162/ЕС на Съвета (7) в Директива 2006/112/ЕО бе добавен член 168а с цел приспадането да се ограничи до дела на действителното използване за стопански цели и по този начин да се приложи по-ефективно принципът, според който приспадането възниква само доколкото съответните стоки и услуги се използват за целите на стопанската дейност на данъчно задълженото лице. Член 1 от Решение 2009/791/ЕО беше изменен, така че да включва позоваване към член 168а от Директива 2006/112/ЕО. Следователно е необходимо в заглавието на Решение 2009/791/ЕО да се добави и позоваване на член 168а от Директива 2006/112/ЕО.

| (5) | С писмо, заведено в Комисията на 19 февруари 2021 г., Германия подаде искане до Комисията за удължаване на срока на действие на разрешението да продължи да прилага мярка за дерогация от членове 168 и 168a от Директива 2006/112/ЕО (наричана по-нататък „специалната мярка“), за да се изключи изцяло от правото на приспадане ДДС, начислен върху стоките и услугите, които се употребяват повече от 90 % за лични нужди или за цели извън предмета на стопанската дейност на данъчно задълженото лице, включително за неикономически дейности („искането“). Искането бе придружено от доклад за прилагането на специалната мярка, включващ преглед на съотношението, прилагано спрямо правото на приспадане на ДДС, както се изисква по силата на член 2 от Решение 2009/791/ЕО. |
| --- | --- |

(5)

С писмо, заведено в Комисията на 19 февруари 2021 г., Германия подаде искане до Комисията за удължаване на срока на действие на разрешението да продължи да прилага мярка за дерогация от членове 168 и 168a от Директива 2006/112/ЕО (наричана по-нататък „специалната мярка“), за да се изключи изцяло от правото на приспадане ДДС, начислен върху стоките и услугите, които се употребяват повече от 90 % за лични нужди или за цели извън предмета на стопанската дейност на данъчно задълженото лице, включително за неикономически дейности („искането“). Искането бе придружено от доклад за прилагането на специалната мярка, включващ преглед на съотношението, прилагано спрямо правото на приспадане на ДДС, както се изисква по силата на член 2 от Решение 2009/791/ЕО.

| (6) | Съгласно член 395, параграф 2, втора алинея от Директива 2006/112/ЕО, с писма от 17 март 2021 г. Комисията препрати искането до останалите държави членки. С писмо от 18 март 2021 г. Комисията уведоми Германия, че разполага с цялата информация, необходима за разглеждане на искането. |
| --- | --- |

(6)

Съгласно член 395, параграф 2, втора алинея от Директива 2006/112/ЕО, с писма от 17 март 2021 г. Комисията препрати искането до останалите държави членки. С писмо от 18 март 2021 г. Комисията уведоми Германия, че разполага с цялата информация, необходима за разглеждане на искането.

| (7) | Според Германия специалната мярка се е оказала много ефективно средство за опростяване на събирането на ДДС и за предотвратяване на отклонението от данъчно облагане и избягването на данъци. Специалната мярка намалява административната тежест за предприятията и за данъчните администрации, тъй като не е необходимо да се проследява последващата употреба на стоките и услугите, за които изключването от приспадане е било приложимо към момента на придобиването им. Поради това на Германия следва да се разреши да продължи да прилага специалната мярка за допълнителен ограничен срок — до 31 декември 2024 г. |
| --- | --- |

(7)

Според Германия специалната мярка се е оказала много ефективно средство за опростяване на събирането на ДДС и за предотвратяване на отклонението от данъчно облагане и избягването на данъци. Специалната мярка намалява административната тежест за предприятията и за данъчните администрации, тъй като не е необходимо да се проследява последващата употреба на стоките и услугите, за които изключването от приспадане е било приложимо към момента на придобиването им. Поради това на Германия следва да се разреши да продължи да прилага специалната мярка за допълнителен ограничен срок — до 31 декември 2024 г.

| (8) | Ако Германия счете, че е необходимо срокът на действие на мярката да бъде удължен и след 2024 г., тя следва да подаде до 31 март 2024 г. искане до Комисията, придружено от доклад за прилагането на специалната мярка, който следва да включва преглед на прилаганото съотношение. |
| --- | --- |

(8)

Ако Германия счете, че е необходимо срокът на действие на мярката да бъде удължен и след 2024 г., тя следва да подаде до 31 март 2024 г. искане до Комисията, придружено от доклад за прилагането на специалната мярка, който следва да включва преглед на прилаганото съотношение.

| (9) | Специалната мярката за дерогация няма да окаже отрицателно въздействие върху собствените ресурси на Съюза, формирани от ДДС. |
| --- | --- |

(9)

Специалната мярката за дерогация няма да окаже отрицателно въздействие върху собствените ресурси на Съюза, формирани от ДДС.

| (10) | Поради това Решение 2009/791/ЕО следва да бъде съответно изменено, |
| --- | --- |

(10)

Поради това Решение 2009/791/ЕО следва да бъде съответно изменено,

ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:

Член 1

Решение 2009/791/ЕО се изменя, както следва:

| 1) | Заглавието се заменя със следното:

  „Решение 2009/791/ЕО на Съвета от 20 октомври 2009 година за даване на разрешение на Федерална република Германия да продължи да прилага мярка за дерогация от членове 168 и 168а от Директива 2006/112/ЕО относно общата система на данъка върху добавената стойност“. |
| --- | --- |

1)

Заглавието се заменя със следното:

„Решение 2009/791/ЕО на Съвета от 20 октомври 2009 година за даване на разрешение на Федерална република Германия да продължи да прилага мярка за дерогация от членове 168 и 168а от Директива 2006/112/ЕО относно общата система на данъка върху добавената стойност“.

| 2) | Член 2 се заменя със следното:

  „Член 2
  Срокът на действие на настоящото решение изтича на 31 декември 2024 г.
  Всяко искане за удължаване на срока на действие на мярката за дерогация, предвидена в настоящото решение, се представя на Комисията до 31 март 2024 г.
  Искането се придружава от доклад за прилагането на тази мярка, който включва преглед на съотношението, прилагано спрямо правото на приспадане на ДДС въз основа на настоящото решение.“ |
| --- | --- |

2)

Член 2 се заменя със следното:

„Член 2

Срокът на действие на настоящото решение изтича на 31 декември 2024 г.

Всяко искане за удължаване на срока на действие на мярката за дерогация, предвидена в настоящото решение, се представя на Комисията до 31 март 2024 г.

Искането се придружава от доклад за прилагането на тази мярка, който включва преглед на съотношението, прилагано спрямо правото на приспадане на ДДС въз основа на настоящото решение.“

Член 2

Настоящото решение поражда действие в деня на нотифицирането му.

Член 3

Адресат на настоящото решение е Федерална република Германия.

Съставено в Люксембург на 5 октомври 2021 година.

За Съвета

Председател

A. ŠIRCELJ

---

(1)  
  ОВ L 347, 11.12.2006 г., стр. 1.

1

(2)  Решение 2000/186/ЕО на Съвета от 28 февруари 2000 г. за предоставяне на разрешение на Федерална република Германия да прилага мерки за дерогация от членове 6 и 17 от Шеста директива 77/388/ЕИО относно хармонизиране на законодателствата на държавите членки относно данъците върху оборота — обща система на данъка върху добавената стойност: единна данъчна основа (ОВ L 59, 4.3.2000 г., стр. 12).

2

(3)  Шеста директива 77/388/ЕИО на Съвета от 17 май 1977 г. за хармонизирането на законодателствата на държавите членки, свързани с данъците върху оборота – Обща система на данъка върху добавената стойност: единна данъчна основа (ОВ L 145, 13.6.1977 г., стр. 1).

3

(4)  Решение 2003/354/ЕО на Съвета от 13 май 2003 г. за предоставяне на разрешение на Германия да прилага мярка за дерогация от член 17 от Шеста директива 77/388/ЕИО относно хармонизиране на законодателствата на държавите членки относно данъците върху оборота (ОВ L 123, 17.5.2003 г., стр. 47).

4

(5)  Решение 2004/817/ЕО на Съвета от 19 ноември 2004 г. за предоставяне на разрешение на Германия да прилага мярка за дерогация от член 17 от Шеста директива 77/388/ЕИО относно хармонизиране на законодателствата на държавите членки относно данъците върху оборота (ОВ L 357, 2.12.2004 г., стр. 33).

5

(6)  Решение 2009/791/ЕО на Съвета от 20 октомври 2009 г. за даване на разрешение на Федерална република Германия да продължи да прилага мярка за дерогация от член 168 от Директива 2006/112/ЕО относно общата система на данъка върху добавената стойност (ОВ L 283, 30.10.2009 г., стр. 55).

6

(7)  Директива 2009/162/ЕС на Съвета от 22 декември 2009 г. за изменение на различни разпоредби от Директива 2006/112/ЕО относно общата система на данъка върху добавената стойност, (ОВ L 10, 15.1.2010 г., стр. 14).

7

---

| 11.10.2021 | BG | Официален вестник на Европейския съюз | L 360/115 |
| --- | --- | --- | --- |

11.10.2021

BG

Официален вестник на Европейския съюз

L 360/115

---

РЕШЕНИЕ ЗА ИЗПЪЛНЕНИЕ (ЕС) 2021/1777 НА СЪВЕТА

от 5 октомври 2021 година

за разрешаване на Италия да прилага намалени ставки за данъчно облагане върху газьола, използван за отопление, и върху електроенергията доставяни в община Кампионе д’Италия

СЪВЕТЪТ НА ЕВРОПЕЙСКИЯ СЪЮЗ,

като взе предвид Договора за функционирането на Европейския съюз,

като взе предвид Директива 2003/96/ЕО на Съвета от 27 октомври 2003 г. относно преструктурирането на правната рамка на Общността за данъчно облагане на енергийните продукти и електроенергията (1), и по-специално член 19 от нея,

като взе предвид предложението на Европейската комисия,

като има предвид, че:

| (1) | С писмо от 7 август 2020 г. Италия поиска разрешение за срок от 1 януари 2021 г. до 31 декември 2026 г. да прилага в съответствие с член 19 от Директива 2003/96/ЕО намалени ставки за данъчно облагане върху газьола, използван за отопление, и върху електроенергията, доставяни в община Кампионе д’Италия. На 19 януари 2021 г. Италия представи допълнителни сведения и разяснения в подкрепа на искането. |
| --- | --- |

(1)

С писмо от 7 август 2020 г. Италия поиска разрешение за срок от 1 януари 2021 г. до 31 декември 2026 г. да прилага в съответствие с член 19 от Директива 2003/96/ЕО намалени ставки за данъчно облагане върху газьола, използван за отопление, и върху електроенергията, доставяни в община Кампионе д’Италия. На 19 януари 2021 г. Италия представи допълнителни сведения и разяснения в подкрепа на искането.

| (2) | Община Кампионе д’Италия е италиански ексклав в Швейцария със силно ограничен географски обхват и малко на брой население. Районът е планински, което ограничава градското развитие, промишлените дейности и цялостната му достъпност. Предвид географското положение на Кампионе д’Италия, липсата ѝ на достъп до мрежата за природен газ и тежките ѝ климатични условия, разходите за доставка на енергийни продукти до Кампионе д’Италия са високи, независимо дали доставката се извършва от Швейцария, или от Италия. Освен това включването на Кампионе д’Италия в митническата територия на Съюза на 1 януари 2020 г. доведе до увеличение на разходите за енергия на домакинствата и предприятията. В допълнение, Кампионе д’Италия преминава през сериозна икономическа криза, която беше утежнена от пандемията от COVID-19. |
| --- | --- |

(2)

Община Кампионе д’Италия е италиански ексклав в Швейцария със силно ограничен географски обхват и малко на брой население. Районът е планински, което ограничава градското развитие, промишлените дейности и цялостната му достъпност. Предвид географското положение на Кампионе д’Италия, липсата ѝ на достъп до мрежата за природен газ и тежките ѝ климатични условия, разходите за доставка на енергийни продукти до Кампионе д’Италия са високи, независимо дали доставката се извършва от Швейцария, или от Италия. Освен това включването на Кампионе д’Италия в митническата територия на Съюза на 1 януари 2020 г. доведе до увеличение на разходите за енергия на домакинствата и предприятията. В допълнение, Кампионе д’Италия преминава през сериозна икономическа криза, която беше утежнена от пандемията от COVID-19.

| (3) | За да се смекчат високите разходи за доставка на енергия в Кампионе д’Италия, следва да се намали данъчното облагане върху определени енергийни продукти. |
| --- | --- |

(3)

За да се смекчат високите разходи за доставка на енергия в Кампионе д’Италия, следва да се намали данъчното облагане върху определени енергийни продукти.

| (4) | Комисията направи преглед на исканата мярка и счете, че тя не нарушава конкуренцията, не възпрепятства правилното функциониране на вътрешния пазар и не може да бъде смятана за несъвместима с политиката на Съюза в областта на околната среда, енергетиката и транспорта. Намалените ставки за данъчно облагане както върху газьола, така и върху електроенергията остават равни на или по-високи от минималните равнища на данъчно облагане, определени в Директива 2003/96/ЕО, и биха компенсирали частично увеличените разходи за енергия в общината Кампионе д’Италия. Намалението на данъка не може да се ползва съвместно с други видове данъчни намаления. |
| --- | --- |

(4)

Комисията направи преглед на исканата мярка и счете, че тя не нарушава конкуренцията, не възпрепятства правилното функциониране на вътрешния пазар и не може да бъде смятана за несъвместима с политиката на Съюза в областта на околната среда, енергетиката и транспорта. Намалените ставки за данъчно облагане както върху газьола, така и върху електроенергията остават равни на или по-високи от минималните равнища на данъчно облагане, определени в Директива 2003/96/ЕО, и биха компенсирали частично увеличените разходи за енергия в общината Кампионе д’Италия. Намалението на данъка не може да се ползва съвместно с други видове данъчни намаления.

| (5) | Затова на Италия следва да бъде разрешено да прилага намалени данъчни ставки върху газьола, използван за отопление, и върху електроенергията, доставяни в община Кампионе д’Италия. |
| --- | --- |

(5)

Затова на Италия следва да бъде разрешено да прилага намалени данъчни ставки върху газьола, използван за отопление, и върху електроенергията, доставяни в община Кампионе д’Италия.

| (6) | За да се гарантира постигането на целите, преследвани с мярката за дерогация, и по-специално тези за избягване на неблагоприятните последици от настоящите икономически, социални и географски условия в Кампионе д’Италия и за осигуряване на равнопоставени условия на конкуренция чрез намаляване на високите разходи за енергия, е целесъобразно настоящото решение да се прилага от 1 януари 2021 г. Като се предвижда прилагане от дата, предхождаща влизането в сила на мярката за дерогация, се зачитат легитимните очаквания на участниците на пазара и на физическите лица, тъй като мярката за дерогация не засяга техните права и задължения. |
| --- | --- |

(6)

За да се гарантира постигането на целите, преследвани с мярката за дерогация, и по-специално тези за избягване на неблагоприятните последици от настоящите икономически, социални и географски условия в Кампионе д’Италия и за осигуряване на равнопоставени условия на конкуренция чрез намаляване на високите разходи за енергия, е целесъобразно настоящото решение да се прилага от 1 януари 2021 г. Като се предвижда прилагане от дата, предхождаща влизането в сила на мярката за дерогация, се зачитат легитимните очаквания на участниците на пазара и на физическите лица, тъй като мярката за дерогация не засяга техните права и задължения.

| (7) | Всяко разрешение, предоставено по силата на член 19, параграф 2 от Директива 2003/96/ЕО, трябва да е строго ограничено във времето. За да се обезпечи достатъчна степен на сигурност за община Кампионе д’Италия, разрешението следва да се предостави за срок от шест години. За да не бъде застрашено обаче бъдещото общо развитие на действащата нормативна уредба, е подходящо да се предвиди, че ако Съветът, като действа на основание на член 113 от Договора за функционирането на Европейския съюз, въведе изменена обща система за данъчно облагане на енергийните продукти, с която настоящото разрешение няма да бъде съобразено, настоящото разрешение следва да спре да се прилага на датата, на която започнат да се прилагат тези общи разпоредби. |
| --- | --- |

(7)

Всяко разрешение, предоставено по силата на член 19, параграф 2 от Директива 2003/96/ЕО, трябва да е строго ограничено във времето. За да се обезпечи достатъчна степен на сигурност за община Кампионе д’Италия, разрешението следва да се предостави за срок от шест години. За да не бъде застрашено обаче бъдещото общо развитие на действащата нормативна уредба, е подходящо да се предвиди, че ако Съветът, като действа на основание на член 113 от Договора за функционирането на Европейския съюз, въведе изменена обща система за данъчно облагане на енергийните продукти, с която настоящото разрешение няма да бъде съобразено, настоящото разрешение следва да спре да се прилага на датата, на която започнат да се прилагат тези общи разпоредби.

| (8) | Настоящото решение не засяга прилагането на правилата на Съюза относно държавните помощи, |
| --- | --- |

(8)

Настоящото решение не засяга прилагането на правилата на Съюза относно държавните помощи,

ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:

Член 1

На Италия се разрешава да прилага намалени ставки за данъчно облагане върху газьола, използван за отопление, и върху електроенергията, доставяни в община Кампионе д’Италия, при условие че са спазени минималните равнища на данъчно облагане, посочени в членове 9 и 10 от Директива 2003/96/ЕО.

Член 2

Настоящото решение се прилага от от 1 януари 2021 г. до 31 декември 2026 г.

Ако обаче Съветът, като действа на основание на член 113 или на друга относима разпоредба от Договора за функционирането на Европейския съюз, въведе изменена обща система за данъчно облагане на енергийните продукти, с която разрешението, предоставено по силата на член 1 от настоящото решение, няма да е съобразено, настоящото решение престава да се прилага на датата, от която започнат да се прилагат тези общи разпоредби.

Член 3

Адресат на настоящото решение е Италианската република.

Съставено в Люксембург на 5 октомври 2021 година.

За Съвета

Председател

A. ŠIRCELJ

---

(1)  
  ОВ L 283, 31.10.2003 г., стр. 51.

1

---

| 11.10.2021 | BG | Официален вестник на Европейския съюз | L 360/117 |
| --- | --- | --- | --- |

11.10.2021

BG

Официален вестник на Европейския съюз

L 360/117

---

РЕШЕНИЕ ЗА ИЗПЪЛНЕНИЕ (ЕС) 2021/1778 НА СЪВЕТА

от 5 октомври 2021 година

за предоставяне на разрешение на Федерална република Германия да прилага специална мярка за дерогация от член 193 от Директива 2006/112/ЕО относно общата система на данъка върху добавената стойност

СЪВЕТЪТ НА ЕВРОПЕЙСКИЯ СЪЮЗ,

като взе предвид Договора за функционирането на Европейския съюз,

като взе предвид Директива 2006/112/ЕО на Съвета от 28 ноември 2006 г. относно общата система на данъка върху добавената стойност (1), и по-специално член 395, параграф 1, първа алинея от нея,

като взе предвид предложението на Европейската комисия,

като има предвид, че:

| (1) | В член 193 от Директива 2006/112/ЕО се предвижда, че данъчно задълженото лице, извършващо доставки на стоки и услуги, е платец на данъка върху добавената стойност (ДДС) пред данъчните органи в общия случай. |
| --- | --- |

(1)

В член 193 от Директива 2006/112/ЕО се предвижда, че данъчно задълженото лице, извършващо доставки на стоки и услуги, е платец на данъка върху добавената стойност (ДДС) пред данъчните органи в общия случай.

| (2) | С писмо, заведено в Комисията на 15 март 2021 г., Федерална република Германия („Германия“) подаде искане до Комисията да ѝ бъде предоставено разрешение да прилага специална мярка за дерогация от член 193 от Директива 2006/112/ЕО по отношение на лицата — платци на ДДС, в случаите на прехвърляне на квоти за емисии, търгувани в рамките на национална система за търговия съгласно Закона за търговията с квоти за емисии от горива (Gesetz über einen nationalen Zertifikatehandel für Brennstoffemissionen – ‘BEHG) от 12 декември 2019 г. („искането“). |
| --- | --- |

(2)

С писмо, заведено в Комисията на 15 март 2021 г., Федерална република Германия („Германия“) подаде искане до Комисията да ѝ бъде предоставено разрешение да прилага специална мярка за дерогация от член 193 от Директива 2006/112/ЕО по отношение на лицата — платци на ДДС, в случаите на прехвърляне на квоти за емисии, търгувани в рамките на национална система за търговия съгласно Закона за търговията с квоти за емисии от горива (Gesetz über einen nationalen Zertifikatehandel für Brennstoffemissionen – ‘BEHG) от 12 декември 2019 г. („искането“).

| (3) | В съответствие с член 395, параграф 2, втора алинея от Директива 2006/112/ЕО с писма от 7 април 2021 г. Комисията препрати искането до останалите държави членки, а с писмо от 8 април 2021 г. уведоми Германия, че разполага с цялата информация, необходима за разглеждане на искането. |
| --- | --- |

(3)

В съответствие с член 395, параграф 2, втора алинея от Директива 2006/112/ЕО с писма от 7 април 2021 г. Комисията препрати искането до останалите държави членки, а с писмо от 8 април 2021 г. уведоми Германия, че разполага с цялата информация, необходима за разглеждане на искането.

| (4) | Разпоредбите на член 199а, параграф 1, букви а) и б) от Директива 2006/112/ЕО позволяват на държавите членки да определят като лица — платци на ДДС данъчно задължените лица, които получават прехвърляния на квоти за емисии на парникови газове съгласно определенията в член 3 от Директива 2003/87/ЕО на Европейския парламент и на Съвета (2), както и прехвърляния на други единици, които операторите биха могли да използват за постигане на съответствие с посочената директива („механизъм за обратно начисляване“). Тези разпоредби бяха включени в Директива 2006/112/ЕО посредством Директива 2010/23/ЕС на Съвета (3) с цел да се подпомогне борбата с измамите с ДДС. Прилагането на механизма за обратно начисляване по отношение на търговията с емисии на парникови газове съгласно член 199а, параграф 1, букви а) и б) от Директива 2006/112/ЕО е ограничено до размера на квотите, търгувани в рамките на схемата на ЕС за търговия с емисии („СТЕ на ЕС“). |
| --- | --- |

(4)

Разпоредбите на член 199а, параграф 1, букви а) и б) от Директива 2006/112/ЕО позволяват на държавите членки да определят като лица — платци на ДДС данъчно задължените лица, които получават прехвърляния на квоти за емисии на парникови газове съгласно определенията в член 3 от Директива 2003/87/ЕО на Европейския парламент и на Съвета (2), както и прехвърляния на други единици, които операторите биха могли да използват за постигане на съответствие с посочената директива („механизъм за обратно начисляване“). Тези разпоредби бяха включени в Директива 2006/112/ЕО посредством Директива 2010/23/ЕС на Съвета (3) с цел да се подпомогне борбата с измамите с ДДС. Прилагането на механизма за обратно начисляване по отношение на търговията с емисии на парникови газове съгласно член 199а, параграф 1, букви а) и б) от Директива 2006/112/ЕО е ограничено до размера на квотите, търгувани в рамките на схемата на ЕС за търговия с емисии („СТЕ на ЕС“).

| (5) | С BEHG Германия е въвела нормативна уредба за национална схема за търговия с емисии, която обхваща емисии, които не попадат в обхвата на СТЕ на ЕС. Следователно разпоредбите на член 199а, параграф 1, букви а) и б) от Директива 2006/112/ЕО не предоставят правно основание за прилагане на механизма за обратно начисляване по отношение на търговията с квоти съгласно BEHG. |
| --- | --- |

(5)

С BEHG Германия е въвела нормативна уредба за национална схема за търговия с емисии, която обхваща емисии, които не попадат в обхвата на СТЕ на ЕС. Следователно разпоредбите на член 199а, параграф 1, букви а) и б) от Директива 2006/112/ЕО не предоставят правно основание за прилагане на механизма за обратно начисляване по отношение на търговията с квоти съгласно BEHG.

| (6) | Според Германия търговията с квоти е особено уязвима по отношение на измами с ДДС. Търговията с квоти за емисии на горива съгласно BEHG може да се използва с цел измама по същия начин, както и търговията с квоти съгласно СТЕ на ЕС. Квотите за емисии могат да бъдат обменяни бързо, многократно и лесно. Поради това е много трудно за органите да установят такива промени на собствеността и да гарантират, че се събира правилния размер на данъка. Приобретателят на квотите, в качеството си на данъчно задължено лице с право на приспадане, би могъл да приспадне начисления ДДС, без доставчикът да е платил на данъчните органи фактурирания данък върху оборота. По-специално участието във веригата на доставки на „липсващи търговци“, които бързо изчезват или не притежават активи, възпрепятства събирането на укрития данък от страна на органите, което оказва отрицателно въздействие върху бюджета. С цел да бъдат компенсирани загубите за държавния бюджет, Германия поиска разрешение за дерогация от член 193 от Директива 2006/112/ЕО, за да прилага механизма за обратно начисляване по отношение на прехвърлянето на квоти за емисии. |
| --- | --- |

(6)

Според Германия търговията с квоти е особено уязвима по отношение на измами с ДДС. Търговията с квоти за емисии на горива съгласно BEHG може да се използва с цел измама по същия начин, както и търговията с квоти съгласно СТЕ на ЕС. Квотите за емисии могат да бъдат обменяни бързо, многократно и лесно. Поради това е много трудно за органите да установят такива промени на собствеността и да гарантират, че се събира правилния размер на данъка. Приобретателят на квотите, в качеството си на данъчно задължено лице с право на приспадане, би могъл да приспадне начисления ДДС, без доставчикът да е платил на данъчните органи фактурирания данък върху оборота. По-специално участието във веригата на доставки на „липсващи търговци“, които бързо изчезват или не притежават активи, възпрепятства събирането на укрития данък от страна на органите, което оказва отрицателно въздействие върху бюджета. С цел да бъдат компенсирани загубите за държавния бюджет, Германия поиска разрешение за дерогация от член 193 от Директива 2006/112/ЕО, за да прилага механизма за обратно начисляване по отношение на прехвърлянето на квоти за емисии.

| (7) | Определянето на получателя, който е данъчно задължено лице, като лице — платец на ДДС, в тези конкретни случаи ще опрости процедурата за събиране на ДДС и ще предотврати отклонението от данъчно облагане и избягването на данъци. Поради това на Германия следва да бъде разрешено да прилага механизма за обратно начисляване по отношение на прехвърлянето на квоти за емисии, търгувани в рамките на национална система за търговия съгласно BEHG („специалната мярка“). |
| --- | --- |

(7)

Определянето на получателя, който е данъчно задължено лице, като лице — платец на ДДС, в тези конкретни случаи ще опрости процедурата за събиране на ДДС и ще предотврати отклонението от данъчно облагане и избягването на данъци. Поради това на Германия следва да бъде разрешено да прилага механизма за обратно начисляване по отношение на прехвърлянето на квоти за емисии, търгувани в рамките на национална система за търговия съгласно BEHG („специалната мярка“).

| (8) | Специалната мярка следва да се предостави за ограничен срок. Поради това следва да се разреши на Германия да прилага специалната мярка до 31 декември 2024 г. |
| --- | --- |

(8)

Специалната мярка следва да се предостави за ограничен срок. Поради това следва да се разреши на Германия да прилага специалната мярка до 31 декември 2024 г.

| (9) | Предвид обхвата и безпрецедентния характер на специалната мярка, е важно въздействието ѝ да бъде оценено. Ето защо, ако Германия желае срокът на действие на специалната мярка да бъде удължен и след 2024 г., тя следва най-късно до 31 март 2024 г., заедно с искането за удължаване на срока на действие на мярката, да представи на Комисията доклад, включващ преглед на специалната мярка. Този доклад следва да включва оценка на въздействието на специалната мярка върху борбата с измамите с ДДС и броя на търговците и сделките, засегнати от специалната мярка. |
| --- | --- |

(9)

Предвид обхвата и безпрецедентния характер на специалната мярка, е важно въздействието ѝ да бъде оценено. Ето защо, ако Германия желае срокът на действие на специалната мярка да бъде удължен и след 2024 г., тя следва най-късно до 31 март 2024 г., заедно с искането за удължаване на срока на действие на мярката, да представи на Комисията доклад, включващ преглед на специалната мярка. Този доклад следва да включва оценка на въздействието на специалната мярка върху борбата с измамите с ДДС и броя на търговците и сделките, засегнати от специалната мярка.

| (10) | Специалната мярка няма да окаже отрицателно въздействие върху собствените ресурси на Съюза от ДДС, |
| --- | --- |

(10)

Специалната мярка няма да окаже отрицателно въздействие върху собствените ресурси на Съюза от ДДС,

ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:

Член 1

Чрез дерогация от член 193 от Директива 2006/112/ЕО, на Федерална република Германия се разрешава да предвиди, че лице — платец на ДДС е данъчно задълженото лице, към което се прави прехвърлянето на квоти за емисии, търгувани в рамките на национална система за търговия съгласно Закона за търговията с квоти за емисии (Gesetz über einen nationalen Zertifikatehandel für Brennstoffemissionen) от 12 декември 2019 г.

Член 2

Срокът на действие на настоящото решение изтича на 31 декември 2024 г.

Всяко искане за удължаване на срока на действие на специалната мярка, предвидена в настоящото решение, се представя на Комисията до 31 март 2024 г. и се придружава от доклад за прилагането на тази мярка, който включва оценка на въздействието на мярката върху борбата с измамите с ДДС и на броя на търговците и сделките, засегнати от мярката.

Член 3

Настоящото решение поражда действие в деня на нотифицирането му.

Член 4

Адресат на настоящото решение е Федерална република Германия.

Съставено в Люксембург на 5 октомври 2021 година.

За Съвета

Председател

A. ŠIRCELJ

---

(1)  
  ОВ L 347, 11.12.2006 г., стр. 1.

1

(2)  Директива 2003/87/ЕО на Европейския Парламент и на Съвета от 13 октомври 2003 г. за установяване на схема за търговия с квоти за емисии на парникови газове в рамките на Общността и за изменение на Директива 96/61/ЕО на Съвета (ОВ L 275, 25.10.2003 г., стр. 32).

2

(3)  Директива 2010/23/ЕС на Съвета от 16 март 2010 г. за изменение на Директива 2006/112/ЕО относно общата система на данъка върху добавената стойност по отношение на незадължително и временно прилагане на механизма за самоначисляване във връзка с доставки на някои услуги, при които съществува риск от измами (ОВ L 72, 20.3.2010 г., стр. 1.)

3

---

| 11.10.2021 | BG | Официален вестник на Европейския съюз | L 360/120 |
| --- | --- | --- | --- |

11.10.2021

BG

Официален вестник на Европейския съюз

L 360/120

---

РЕШЕНИЕ ЗА ИЗПЪЛНЕНИЕ (ЕС) 2021/1779 НА СЪВЕТА

от 5 октомври 2021 година

за изменение на Решение за изпълнение 2009/1013/ЕС за даване на разрешение на Република Австрия да продължи да прилага мярка за дерогация от член 168 от Директива 2006/112/ЕО относно общата система на данъка върху добавената стойност

СЪВЕТЪТ НА ЕВРОПЕЙСКИЯ СЪЮЗ,

като взе предвид Договора за функционирането на Европейския съюз,

като взе предвид Директива 2006/112/ЕО на Съвета от 28 ноември 2006 г. относно общата система на данъка върху добавената стойност (1), и по-специално член 395, параграф 1, първа алинея от нея,

като взе предвид предложението на Европейската комисия,

като има предвид, че:

| (1) | С Решение за изпълнение 2009/1013/ЕС на Съвета (2) на Република Австрия („Австрия“) бе разрешено да прилага специална мярка за дерогация от Директива 2006/112/ЕО („специалната мярка“). След като бе удължен неколкократно, срокът на действие на това разрешение предстои да изтече на 31 декември 2021 г. |
| --- | --- |

(1)

С Решение за изпълнение 2009/1013/ЕС на Съвета (2) на Република Австрия („Австрия“) бе разрешено да прилага специална мярка за дерогация от Директива 2006/112/ЕО („специалната мярка“). След като бе удължен неколкократно, срокът на действие на това разрешение предстои да изтече на 31 декември 2021 г.

| (2) | С Директива 2009/162/ЕС на Съвета (3) в Директива 2006/112/ЕО бе добавен член 168а с цел приспадането да се ограничи до дела на действителното използване за стопански цели и по този начин да се приложи по-ефективно принципът, според който приспадането възниква само доколкото съответните стоки и услуги се използват за целите на стопанската дейност на данъчно задълженото лице. Член 1 от Решение за изпълнение 2009/1013/ЕС беше изменен, за да включи позоваване на член 168а от Директива 2006/112/ЕО. Следователно е необходимо в заглавието на Решение за изпълнение 2009/1013/ЕС да се добави позоваване на член 168а от Директива 2006/112/ЕО. |
| --- | --- |

(2)

С Директива 2009/162/ЕС на Съвета (3) в Директива 2006/112/ЕО бе добавен член 168а с цел приспадането да се ограничи до дела на действителното използване за стопански цели и по този начин да се приложи по-ефективно принципът, според който приспадането възниква само доколкото съответните стоки и услуги се използват за целите на стопанската дейност на данъчно задълженото лице. Член 1 от Решение за изпълнение 2009/1013/ЕС беше изменен, за да включи позоваване на член 168а от Директива 2006/112/ЕО. Следователно е необходимо в заглавието на Решение за изпълнение 2009/1013/ЕС да се добави позоваване на член 168а от Директива 2006/112/ЕО.

| (3) | Специалната мярка представлява дерогация от членове 168 и 168а от Директива 2006/112/ЕО, в които се урежда правото на данъчно задължените лица да приспадат данъка върху добавената стойност (ДДС), начислен върху стоките и услугите, доставени им за целите на техните облагаеми сделки. Специалната мярка има за цел от правото на приспадане да се изключи ДДС, начислен върху стоки и услуги, които се използват от данъчно задължените лица повече от 90 % за техни лични нужди или за тези на техните служители или по-общо за нестопански цели или за неикономически дейности. |
| --- | --- |

(3)

Специалната мярка представлява дерогация от членове 168 и 168а от Директива 2006/112/ЕО, в които се урежда правото на данъчно задължените лица да приспадат данъка върху добавената стойност (ДДС), начислен върху стоките и услугите, доставени им за целите на техните облагаеми сделки. Специалната мярка има за цел от правото на приспадане да се изключи ДДС, начислен върху стоки и услуги, които се използват от данъчно задължените лица повече от 90 % за техни лични нужди или за тези на техните служители или по-общо за нестопански цели или за неикономически дейности.

| (4) | Целта на специалната мярка е да се опрости процедурата по начисляване и събиране на ДДС. Размерът на данъка, дължим на етапа на крайното потребление, е засегнат само в незначителна степен. |
| --- | --- |

(4)

Целта на специалната мярка е да се опрости процедурата по начисляване и събиране на ДДС. Размерът на данъка, дължим на етапа на крайното потребление, е засегнат само в незначителна степен.

| (5) | С писмо, заведено в Комисията на 19 март 2021 г., Австрия поиска да ѝ бъде разрешено да продължи да прилага тази специална мярка („искането“). |
| --- | --- |

(5)

С писмо, заведено в Комисията на 19 март 2021 г., Австрия поиска да ѝ бъде разрешено да продължи да прилага тази специална мярка („искането“).

| (6) | В съответствие с член 395, параграф 2, втора алинея от Директива 2006/112/ЕО, с писма от 7 април 2021 г. Комисията препрати искането до останалите държави членки. С писмо от 8 април 2021 г. Комисията съобщи на Австрия, че разполага с пълната информация, необходима за разглеждане на искането. |
| --- | --- |

(6)

В съответствие с член 395, параграф 2, втора алинея от Директива 2006/112/ЕО, с писма от 7 април 2021 г. Комисията препрати искането до останалите държави членки. С писмо от 8 април 2021 г. Комисията съобщи на Австрия, че разполага с пълната информация, необходима за разглеждане на искането.

| (7) | Според Австрия специалната мярка се е оказала много ефективно средство за опростяване на събирането на ДДС и за предотвратяване на отклонението от данъчно облагане и избягването на данъци. Мярката намалява административната тежест за предприятията и за данъчните администрации, тъй като не е необходимо да се проследява последващата употреба на стоките и услугите, за които изключването от приспадане е било приложимо към момента на придобиването им. Поради това на Австрия следва да се разреши да продължи да прилага специалната мярка за допълнителен ограничен срок — до 31 декември 2024 г. |
| --- | --- |

(7)

Според Австрия специалната мярка се е оказала много ефективно средство за опростяване на събирането на ДДС и за предотвратяване на отклонението от данъчно облагане и избягването на данъци. Мярката намалява административната тежест за предприятията и за данъчните администрации, тъй като не е необходимо да се проследява последващата употреба на стоките и услугите, за които изключването от приспадане е било приложимо към момента на придобиването им. Поради това на Австрия следва да се разреши да продължи да прилага специалната мярка за допълнителен ограничен срок — до 31 декември 2024 г.

| (8) | Ако Австрия счете, че е необходимо срокът на действие на мярката да бъде удължен и след 2024 г., тя следва да подаде до 31 март 2024 г. искане до Комисията, придружено от доклад за прилагането на специалната мярка, включващ преглед на прилаганото съотношение. |
| --- | --- |

(8)

Ако Австрия счете, че е необходимо срокът на действие на мярката да бъде удължен и след 2024 г., тя следва да подаде до 31 март 2024 г. искане до Комисията, придружено от доклад за прилагането на специалната мярка, включващ преглед на прилаганото съотношение.

| (9) | Специалната мярка няма да окаже отрицателно въздействие върху собствените ресурси на Съюза от ДДС. |
| --- | --- |

(9)

Специалната мярка няма да окаже отрицателно въздействие върху собствените ресурси на Съюза от ДДС.

| (10) | Поради това Решение за изпълнение 2009/1013/ЕС следва да бъде съответно изменено, |
| --- | --- |

(10)

Поради това Решение за изпълнение 2009/1013/ЕС следва да бъде съответно изменено,

ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:

Член 1

Решение за изпълнение 2009/1013/ЕС се изменя, както следва:

| 1) | заглавието се заменя със следното:

  „Решение за изпълнение 2009/1013/ЕС на Съвета от 22 декември 2009 година за даване на разрешение на Република Австрия да продължи да прилага мярка за дерогация от членове 168 и 168а от Директива 2006/112/ЕО относно общата система на данъка върху добавената стойност“; |
| --- | --- |

1)

заглавието се заменя със следното:

„Решение за изпълнение 2009/1013/ЕС на Съвета от 22 декември 2009 година за даване на разрешение на Република Австрия да продължи да прилага мярка за дерогация от членове 168 и 168а от Директива 2006/112/ЕО относно общата система на данъка върху добавената стойност“;

| 2) | членове 1 и 2 се заменят със следното:

  „Член 1
  Чрез дерогация от членове 168 и 168а от Директива 2006/112/ЕО на Република Австрия се дава разрешение да изключи напълно от правото на приспадане данъка върху добавената стойност (ДДС), начислен върху стоки и услуги, които се използват повече от 90 % за личните нужди на данъчно задълженото лице или на служители на данъчно задълженото лице или по-общо за нестопански цели или за неикономически дейности.


  Член 2
  Срокът на действие на настоящото решение изтича на 31 декември 2024 г.
  Всяко искане за удължаване на срока на действие на мярката за дерогация, предвидена в настоящото решение, се представя на Комисията до 31 март 2024 г.
  Искането се придружава от доклад за прилагането на тази мярка, който включва преглед на съотношението, прилагано спрямо правото на приспадане на ДДС въз основа на настоящото решение.“ |
| --- | --- |

2)

членове 1 и 2 се заменят със следното:

„Член 1

Чрез дерогация от членове 168 и 168а от Директива 2006/112/ЕО на Република Австрия се дава разрешение да изключи напълно от правото на приспадане данъка върху добавената стойност (ДДС), начислен върху стоки и услуги, които се използват повече от 90 % за личните нужди на данъчно задълженото лице или на служители на данъчно задълженото лице или по-общо за нестопански цели или за неикономически дейности.

Член 2

Срокът на действие на настоящото решение изтича на 31 декември 2024 г.

Всяко искане за удължаване на срока на действие на мярката за дерогация, предвидена в настоящото решение, се представя на Комисията до 31 март 2024 г.

Искането се придружава от доклад за прилагането на тази мярка, който включва преглед на съотношението, прилагано спрямо правото на приспадане на ДДС въз основа на настоящото решение.“

Член 2

Настоящото решение поражда действие в деня на нотифицирането му.

Член 3

Адресат на настоящото решение е Република Австрия.

Съставено в Люксембург на 5 октомври 2021 година.

За Съвета

Председател

A. ŠIRCELJ

---

(1)  
  ОВ L 347, 11.12.2006 г., стр. 1.

1

(2)  Решение 2009/1013/ЕС за изпълнение на Съвета от 22 декември 2009 г. за даване на разрешение на Република Австрия да продължи да прилага мярка за дерогация от член 168 от Директива 2006/112/ЕО относно общата система на данъка върху добавената стойност (ОВ L 348, 29.12.2009 г., стр. 21).

2

(3)  Директива 2009/162/ЕС на Съвета от 22 декември 2009 г. за изменение на различни разпоредби от Директива 2006/112/ЕО относно общата система на данъка върху добавената стойност, (ОВ L 10, 15.1.2010 г., стр. 14).

3

---

| 11.10.2021 | BG | Официален вестник на Европейския съюз | L 360/122 |
| --- | --- | --- | --- |

11.10.2021

BG

Официален вестник на Европейския съюз

L 360/122

---

РЕШЕНИЕ ЗА ИЗПЪЛНЕНИЕ (ЕС) 2021/1780 НА СЪВЕТА

от 5 октомври 2021 година

за изменение на Решение 2009/790/ЕО за даване на разрешение на Република Полша да приложи мярка за дерогация от член 287 от Директива 2006/112/ЕО относно общата система на данъка върху добавената стойност

СЪВЕТЪТ НА ЕВРОПЕЙСКИЯ СЪЮЗ,

като взе предвид Договора за функционирането на Европейския съюз,

като взе предвид Директива 2006/112/ЕО на Съвета от 28 ноември 2006 г. относно общата система за данъка върху добавената стойност (1), и по-специално член 395, параграф 1, първа алинея от нея,

като взе предвид предложението на Европейската комисия,

като има предвид, че:

| (1) | Съгласно член 287, точка 14 от Директива 2006/112/ЕО Република Полша („Полша“) има право да освобождава от данък върху добавената стойност (ДДС) данъчно задължените лица, чийто годишен оборот не надвишава равностойността в национална валута на 10 000 EUR по обменния курс в деня на присъединяването ѝ. |
| --- | --- |

(1)

Съгласно член 287, точка 14 от Директива 2006/112/ЕО Република Полша („Полша“) има право да освобождава от данък върху добавената стойност (ДДС) данъчно задължените лица, чийто годишен оборот не надвишава равностойността в национална валута на 10 000 EUR по обменния курс в деня на присъединяването ѝ.

| (2) | С Решение 2009/790/ЕО на Съвета (2) на Полша бе дадено разрешение да въведе специална мярка за дерогация от член 287 от Директива 2006/112/ЕО, за да освободи от ДДС данъчно задължените лица, чийто годишен оборот не надвишава равностойността в национална валута на 40 000 EUR (наричана по-долу „мярката за дерогация“). |
| --- | --- |

(2)

С Решение 2009/790/ЕО на Съвета (2) на Полша бе дадено разрешение да въведе специална мярка за дерогация от член 287 от Директива 2006/112/ЕО, за да освободи от ДДС данъчно задължените лица, чийто годишен оборот не надвишава равностойността в национална валута на 40 000 EUR (наричана по-долу „мярката за дерогация“).

| (3) | С Решение за изпълнение (ЕС) 2018/1919 на Съвета (3) на Полша бе дадено разрешение да продължи да прилага мярката за дерогация до настъпването на по-ранната от следните две дати: 31 декември 2021 г. или датата на влизане в сила на директива за изменение на разпоредбите на членове 281—294 от Директива 2006/112/ЕО. |
| --- | --- |

(3)

С Решение за изпълнение (ЕС) 2018/1919 на Съвета (3) на Полша бе дадено разрешение да продължи да прилага мярката за дерогация до настъпването на по-ранната от следните две дати: 31 декември 2021 г. или датата на влизане в сила на директива за изменение на разпоредбите на членове 281—294 от Директива 2006/112/ЕО.

| (4) | С писмо, заведено в Комисията на 1 март 2021 г., Полша отправи искане до Комисията за разрешение да продължи да прилага мярката за дерогация до 31 декември 2024 г.(наричано по-долу „искането“). |
| --- | --- |

(4)

С писмо, заведено в Комисията на 1 март 2021 г., Полша отправи искане до Комисията за разрешение да продължи да прилага мярката за дерогация до 31 декември 2024 г.(наричано по-долу „искането“).

| (5) | В съответствие с член 395, параграф 2, втора алинея от Директива 2006/112/ЕО, с писмо от 25 март 2021 г. Комисията препрати искането до останалите държави членки, освен Кипър, а с писмо от 26 март 2021 г. – и до Кипър. С писмо от 29 март 2021 г. Комисията уведоми Полша, че разполага с цялата информация, необходима за разглеждане на искането. |
| --- | --- |

(5)

В съответствие с член 395, параграф 2, втора алинея от Директива 2006/112/ЕО, с писмо от 25 март 2021 г. Комисията препрати искането до останалите държави членки, освен Кипър, а с писмо от 26 март 2021 г. – и до Кипър. С писмо от 29 март 2021 г. Комисията уведоми Полша, че разполага с цялата информация, необходима за разглеждане на искането.

| (6) | Мярката за дерогация е съгласувана с целите на Съобщението на Комисията от 25 юни 2008 г., озаглавено „Мисли първо за малките!“ — „Законодателен акт за малкия бизнес“ за Европа“. |
| --- | --- |

(6)

Мярката за дерогация е съгласувана с целите на Съобщението на Комисията от 25 юни 2008 г., озаглавено „Мисли първо за малките!“ — „Законодателен акт за малкия бизнес“ за Европа“.

| (7) | Съгласно предоставената от Полша информация мярката за дерогация ще има незначително въздействие върху общия размер на данъчните приходи на Полша, събирани на етапа на крайното потребление. Данъчно задължените лица ще могат да изберат да прилагат общия режим на ДДС. |
| --- | --- |

(7)

Съгласно предоставената от Полша информация мярката за дерогация ще има незначително въздействие върху общия размер на данъчните приходи на Полша, събирани на етапа на крайното потребление. Данъчно задължените лица ще могат да изберат да прилагат общия режим на ДДС.

| (8) | Вследствие на влизането в сила на Регламент (ЕС, Евратом) 2021/769 на Съвета (4) Полша няма да извършва изчисление на компенсацията въз основа на отчета за собствените ресурси от ДДС за финансовата 2021 година и след това. |
| --- | --- |

(8)

Вследствие на влизането в сила на Регламент (ЕС, Евратом) 2021/769 на Съвета (4) Полша няма да извършва изчисление на компенсацията въз основа на отчета за собствените ресурси от ДДС за финансовата 2021 година и след това.

| (9) | Като се има предвид потенциалното положително въздействие на мярката за дерогация за опростяване на задълженията по ДДС чрез намаляването на административната тежест и разходите за малките предприятия, на Полша следва да се разреши да прилага мярката за дерогация за допълнителен период. |
| --- | --- |

(9)

Като се има предвид потенциалното положително въздействие на мярката за дерогация за опростяване на задълженията по ДДС чрез намаляването на административната тежест и разходите за малките предприятия, на Полша следва да се разреши да прилага мярката за дерогация за допълнителен период.

| (10) | С Директива (ЕС) 2020/285 на Съвета (5) бяха изменени членове 281—294 от Директива 2006/112/ЕО по отношение на специалния режим за малките предприятия за определяне на нови правила за малките предприятия, включително въвеждане на праг на годишен оборот в държавата членка, който не може да надвишава 85 000 EUR или тяхната равностойност в национална валута. |
| --- | --- |

(10)

С Директива (ЕС) 2020/285 на Съвета (5) бяха изменени членове 281—294 от Директива 2006/112/ЕО по отношение на специалния режим за малките предприятия за определяне на нови правила за малките предприятия, включително въвеждане на праг на годишен оборот в държавата членка, който не може да надвишава 85 000 EUR или тяхната равностойност в национална валута.

| (11) | Разрешението за прилагане на мярката за дерогация следва да бъде ограничено във времето. Ограниченият срок на действие би следвало да бъде достатъчен, за да позволи да бъдат оценени ефективността и целесъобразността на прага. Освен това Директива (ЕС) 2020/285 изисква държавите членки да приемат и публикуват до 31 декември 2024 г. законовите, подзаконовите и административните разпоредби, необходими, за да се съобразят с член 1 от посочената директива и да прилагат тези разпоредби от 1 януари 2025 г. Следователно е целесъобразно да се разреши на Полша да прилага мярката за дерогация до 31 декември 2024 г. |
| --- | --- |

(11)

Разрешението за прилагане на мярката за дерогация следва да бъде ограничено във времето. Ограниченият срок на действие би следвало да бъде достатъчен, за да позволи да бъдат оценени ефективността и целесъобразността на прага. Освен това Директива (ЕС) 2020/285 изисква държавите членки да приемат и публикуват до 31 декември 2024 г. законовите, подзаконовите и административните разпоредби, необходими, за да се съобразят с член 1 от посочената директива и да прилагат тези разпоредби от 1 януари 2025 г. Следователно е целесъобразно да се разреши на Полша да прилага мярката за дерогация до 31 декември 2024 г.

| (12) | Поради това Решение 2009/790/ЕО следва да бъде съответно изменено, |
| --- | --- |

(12)

Поради това Решение 2009/790/ЕО следва да бъде съответно изменено,

ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:

Член 1

Член 2 от Решение 2009/790/ЕО се заменя със следното:

„Член 2

Настоящото решение се прилага от 1 януари 2010 г. до 31 декември 2024 г.“

Член 2

Настоящото решение поражда действие в деня на нотифицирането му.

Член 3

Адресат на настоящото решение е Република Полша.

Съставено в Люксембург на 5 октомври 2021 година.

За Съвета

Председател

A. ŠIRCELJ

---

(1)  
  ОВ L 347, 11.12.2006 г., стр. 1.

1

(2)  Решение 2009/790/ЕО на Съвета от 20 октомври 2009 г. за даване разрешение на Република Полша да приложи мярка за дерогация от член 287 от Директива 2006/112/ЕО относно общата система на данъка върху добавената стойност (ОВ L 283, 30.10.2009 г., стр. 53).

2

(3)  Решение за изпълнение (ЕС) 2018/1919 на Съвета от 4 декември 2018 г. за изменение на Решение 2009/790/ЕО за даване на разрешение на Република Полша да приложи мярка за дерогация от член 287 от Директива 2006/112/ЕО относно общата система на данъка върху добавената стойност (ОВ L 311, 7.12.2018 г., стр. 32).

3

(4)  Регламент (ЕС, Евратом) 2021/769 на Съвета от 30 април 2021 г. за изменение на Регламент (ЕИО, Евратом) No 1553/89 за окончателни унифицирани схеми за събирането на собствените ресурси, набирани от данък добавена стойност (ОВ L 165, 11.5.2021 г., стр. 9).

4

(5)  Директива (ЕС) 2020/285 на Съвета от 18 февруари 2020 г. за изменение на Директива 2006/112/ЕО относно общата система на данъка върху добавената стойност по отношение на специалния режим за малките предприятия и Регламент (ЕС) No 904/2010 относно административното сътрудничество и обмена на информация за целите на наблюдението на правилното прилагане на специалния режим за малките предприятия (ОВ L 62, 2.3.2020 г., стр. 13).

5

---

| 11.10.2021 | BG | Официален вестник на Европейския съюз | L 360/124 |
| --- | --- | --- | --- |

11.10.2021

BG

Официален вестник на Европейския съюз

L 360/124

---

РЕШЕНИЕ ЗА ИЗПЪЛНЕНИЕ (ЕС) 2021/1781 НА СЪВЕТА

от 7 октомври 2021 година

за спиране на прилагането на някои разпоредби на Регламент (ЕО) No 810/2009 на Европейския парламент и на Съвета по отношение на Гамбия

СЪВЕТЪТ НА ЕВРОПЕЙСКИЯ СЪЮЗ,

като взе предвид Договора за функционирането на Европейския съюз,

като взе предвид Регламент (ЕО) No 810/2009 на Европейския парламент и на Съвета от 13 юли 2009 г. за създаване на Визов кодекс на Общността (Визов кодекс) (1), и по-специално член 25а, параграф 5, буква а) от него,

като взе предвид предложението на Европейската комисия,

като има предвид, че:

| (1) | В края на февруари 2019 г. гамбийските власти решиха едностранно да наложат мораториум върху всички операции по принудително връщане и това попречи на ефективното връщане през по-голямата част от 2019 г. След отмяната на мораториума през януари 2020 г., държавите членки бяха изправени пред непрекъснати пречки, създавани от Гамбия при организирането и изпълнението на операции по връщане. Променливата степен на сътрудничество от страна на гамбийските власти също затрудняваше всички етапи на процеса на връщане, включително при прилагането на съществуващите добри практики и други оперативни договорености, които вече са били съгласувани между Съюза и Гамбия. На 6 април 2021 г. гамбийските власти посочиха, че за неопределено време страната не е в състояние да приема връщани лица, а през юни 2021 г. те потвърдиха съществуването на „мораториум върху принудителното връщане или репатрирането до след изборите през декември“. |
| --- | --- |

(1)

В края на февруари 2019 г. гамбийските власти решиха едностранно да наложат мораториум върху всички операции по принудително връщане и това попречи на ефективното връщане през по-голямата част от 2019 г. След отмяната на мораториума през януари 2020 г., държавите членки бяха изправени пред непрекъснати пречки, създавани от Гамбия при организирането и изпълнението на операции по връщане. Променливата степен на сътрудничество от страна на гамбийските власти също затрудняваше всички етапи на процеса на връщане, включително при прилагането на съществуващите добри практики и други оперативни договорености, които вече са били съгласувани между Съюза и Гамбия. На 6 април 2021 г. гамбийските власти посочиха, че за неопределено време страната не е в състояние да приема връщани лица, а през юни 2021 г. те потвърдиха съществуването на „мораториум върху принудителното връщане или репатрирането до след изборите през декември“.

| (2) | От 2019 г. насам Комисията предприе стъпки за подобряване на степента на сътрудничество на Гамбия в областта на обратното приемане на незаконно пребиваващи граждани на трети държави. Тези стъпки се състояха в няколко срещи на техническо и политическо равнище с гамбийските власти за намиране на взаимноприемливи решения и за договаряне на допълнителни проекти за подкрепа в полза на Гамбия. Успоредно с това се проведоха обсъждания на високо равнище между Комисията и Гамбия. Въпросите на обратното приемане бяха повдигнати пред Гамбия и при други срещи, организирани от ЕСВД. |
| --- | --- |

(2)

От 2019 г. насам Комисията предприе стъпки за подобряване на степента на сътрудничество на Гамбия в областта на обратното приемане на незаконно пребиваващи граждани на трети държави. Тези стъпки се състояха в няколко срещи на техническо и политическо равнище с гамбийските власти за намиране на взаимноприемливи решения и за договаряне на допълнителни проекти за подкрепа в полза на Гамбия. Успоредно с това се проведоха обсъждания на високо равнище между Комисията и Гамбия. Въпросите на обратното приемане бяха повдигнати пред Гамбия и при други срещи, организирани от ЕСВД.

| (3) | Като се имат предвид предприетите от Комисията до момента стъпки за подобряване на степента на сътрудничество и цялостните отношения на Съюза с Гамбия, се счита, че сътрудничеството на Гамбия със Съюза по въпросите на обратното приемане не е достатъчно и следователно са необходими действия от страна на Съюза. |
| --- | --- |

(3)

Като се имат предвид предприетите от Комисията до момента стъпки за подобряване на степента на сътрудничество и цялостните отношения на Съюза с Гамбия, се счита, че сътрудничеството на Гамбия със Съюза по въпросите на обратното приемане не е достатъчно и следователно са необходими действия от страна на Съюза.

| (4) | Поради това прилагането на някои разпоредби на Регламент (ЕО) No 810/2009 следва временно да бъде спряно по отношение на гражданите на Гамбия, за които се прилага изискването за притежаване на виза съгласно Регламент (ЕС) 2018/1806 на Европейския парламент и на Съвета (2). Това би трябвало да насърчи гамбийските власти да предприемат необходимите действия за подобряване на сътрудничеството по въпросите на обратното приемане. |
| --- | --- |

(4)

Поради това прилагането на някои разпоредби на Регламент (ЕО) No 810/2009 следва временно да бъде спряно по отношение на гражданите на Гамбия, за които се прилага изискването за притежаване на виза съгласно Регламент (ЕС) 2018/1806 на Европейския парламент и на Съвета (2). Това би трябвало да насърчи гамбийските власти да предприемат необходимите действия за подобряване на сътрудничеството по въпросите на обратното приемане.

| (5) | Разпоредбите, чието прилагане се спира временно, са изредени в член 25а, параграф 5, буква а) от Визовия кодекс: спиране на прилагането на предвидената в член 14, параграф 6 възможност за освобождаване от изискванията по отношение на документните доказателства, които трябва да бъдат представени от кандидатите за виза, спиране на общия срок за обработване от 15 календарни дни, посочен в член 23, параграф 1 (като в резултат на това се изключва и прилагането на правилото за удължаване на този срок до 45 дни в отделни случаи), спиране на издаването на многократни визи в съответствие с член 24, параграфи 2 и 2в и спиране на незадължителното освобождаване от визова такса за притежателите на дипломатически и служебни паспорти, предвидено в член 16, параграф 5, буква б). |
| --- | --- |

(5)

Разпоредбите, чието прилагане се спира временно, са изредени в член 25а, параграф 5, буква а) от Визовия кодекс: спиране на прилагането на предвидената в член 14, параграф 6 възможност за освобождаване от изискванията по отношение на документните доказателства, които трябва да бъдат представени от кандидатите за виза, спиране на общия срок за обработване от 15 календарни дни, посочен в член 23, параграф 1 (като в резултат на това се изключва и прилагането на правилото за удължаване на този срок до 45 дни в отделни случаи), спиране на издаването на многократни визи в съответствие с член 24, параграфи 2 и 2в и спиране на незадължителното освобождаване от визова такса за притежателите на дипломатически и служебни паспорти, предвидено в член 16, параграф 5, буква б).

| (6) | Съгласно член 21, параграф 1 от Договора за функционирането на Европейския съюз (ДФЕС) всеки гражданин на Съюза има право свободно да се движи и да пребивава в рамките на територията на държавите членки при спазване на ограниченията и условията, предвидени в Договорите, и на мерките, приети за тяхното привеждане в действие. Директива 2004/38/ЕО на Европейския парламент и на Съвета (3) привежда в действие тези ограничения и условия. Настоящото решение не засяга прилагането на посочената директива, която предоставя правото на свободно движение и на членовете на семейството, независимо от тяхното гражданство, когато придружават или се присъединяват към гражданина на Съюза. Следователно настоящото решение не се прилага по отношение на членове на семейството на гражданин на Съюза, за които се прилага Директива 2004/38/ЕО, или на членове на семейството на гражданин на трета държава, който се ползва от правото на свободно движение, равностойно на това на граждани на Съюза по силата на споразумение между Съюза и неговите държави членки, от една страна, и трета държава, от друга страна. |
| --- | --- |

(6)

Съгласно член 21, параграф 1 от Договора за функционирането на Европейския съюз (ДФЕС) всеки гражданин на Съюза има право свободно да се движи и да пребивава в рамките на територията на държавите членки при спазване на ограниченията и условията, предвидени в Договорите, и на мерките, приети за тяхното привеждане в действие. Директива 2004/38/ЕО на Европейския парламент и на Съвета (3) привежда в действие тези ограничения и условия. Настоящото решение не засяга прилагането на посочената директива, която предоставя правото на свободно движение и на членовете на семейството, независимо от тяхното гражданство, когато придружават или се присъединяват към гражданина на Съюза. Следователно настоящото решение не се прилага по отношение на членове на семейството на гражданин на Съюза, за които се прилага Директива 2004/38/ЕО, или на членове на семейството на гражданин на трета държава, който се ползва от правото на свободно движение, равностойно на това на граждани на Съюза по силата на споразумение между Съюза и неговите държави членки, от една страна, и трета държава, от друга страна.

| (7) | Мерките, предвидени в настоящото решение, не следва да засягат задълженията на държавите членки съгласно международното право като държави — домакини на международни междуправителствени организации или на международни конференции, свикани от международни междуправителствени организации, чийто домакин е държава членка. Следователно временното спиране не следва да се прилага за граждани на Гамбия, които кандидатстват за виза, доколкото това е необходимо, за да могат държавите членки да изпълнят задълженията си като държави домакини на такива организации или на такива конференции. |
| --- | --- |

(7)

Мерките, предвидени в настоящото решение, не следва да засягат задълженията на държавите членки съгласно международното право като държави — домакини на международни междуправителствени организации или на международни конференции, свикани от международни междуправителствени организации, чийто домакин е държава членка. Следователно временното спиране не следва да се прилага за граждани на Гамбия, които кандидатстват за виза, доколкото това е необходимо, за да могат държавите членки да изпълнят задълженията си като държави домакини на такива организации или на такива конференции.

| (8) | В съответствие с членове 1 и 2 от Протокол No 22 относно позицията на Дания, приложен към Договора за Европейския съюз и към Договора за функционирането на Европейския съюз, Дания не участва в приемането на настоящото решение и не е обвързана от него, нито от неговото прилагане. Доколкото настоящото решение представлява развитие на достиженията на правото от Шенген, в срок от шест месеца след вземането на решение от Съвета относно настоящото решение Дания взема решение, в съответствие с член 4 от посочения протокол, дали да го въведе в националното си право. |
| --- | --- |

(8)

В съответствие с членове 1 и 2 от Протокол No 22 относно позицията на Дания, приложен към Договора за Европейския съюз и към Договора за функционирането на Европейския съюз, Дания не участва в приемането на настоящото решение и не е обвързана от него, нито от неговото прилагане. Доколкото настоящото решение представлява развитие на достиженията на правото от Шенген, в срок от шест месеца след вземането на решение от Съвета относно настоящото решение Дания взема решение, в съответствие с член 4 от посочения протокол, дали да го въведе в националното си право.

| (9) | Настоящото решение представлява развитие на разпоредбите на достиженията на правото от Шенген, в които Ирландия не участва в съответствие с Решение 2002/192/ЕО на Съвета (4); следователно Ирландия не участва в приемането на настоящото решение и не е обвързана от него, нито от неговото прилагане. |
| --- | --- |

(9)

Настоящото решение представлява развитие на разпоредбите на достиженията на правото от Шенген, в които Ирландия не участва в съответствие с Решение 2002/192/ЕО на Съвета (4); следователно Ирландия не участва в приемането на настоящото решение и не е обвързана от него, нито от неговото прилагане.

| (10) | По отношение на Исландия и Норвегия настоящото решение представлява развитие на разпоредбите на достиженията на правото от Шенген по смисъла на Споразумението, сключено от Съвета на Европейския съюз и Република Исландия и Кралство Норвегия за асоциирането на последните в процеса на изпълнение, прилагане и развитие на достиженията на правото от Шенген (5), които попадат в областта, посочена в член 1, буква Б от Решение 1999/437/ЕО на Съвета (6). |
| --- | --- |

(10)

По отношение на Исландия и Норвегия настоящото решение представлява развитие на разпоредбите на достиженията на правото от Шенген по смисъла на Споразумението, сключено от Съвета на Европейския съюз и Република Исландия и Кралство Норвегия за асоциирането на последните в процеса на изпълнение, прилагане и развитие на достиженията на правото от Шенген (5), които попадат в областта, посочена в член 1, буква Б от Решение 1999/437/ЕО на Съвета (6).

| (11) | По отношение на Швейцария настоящото решение представлява развитие на разпоредбите на достиженията на правото от Шенген по смисъла на Споразумението между Европейския съюз, Европейската общност и Конфедерация Швейцария относно асоциирането на Конфедерация Швейцария към изпълнението, прилагането и развитието на достиженията на правото от Шенген (7), които попадат в областта, посочена в член 1, буква Б от Решение 1999/437/ЕО, във връзка с член 3 от Решение 2008/146/ЕО на Съвета (8). |
| --- | --- |

(11)

По отношение на Швейцария настоящото решение представлява развитие на разпоредбите на достиженията на правото от Шенген по смисъла на Споразумението между Европейския съюз, Европейската общност и Конфедерация Швейцария относно асоциирането на Конфедерация Швейцария към изпълнението, прилагането и развитието на достиженията на правото от Шенген (7), които попадат в областта, посочена в член 1, буква Б от Решение 1999/437/ЕО, във връзка с член 3 от Решение 2008/146/ЕО на Съвета (8).

| (12) | По отношение на Лихтенщайн настоящото решение представлява развитие на разпоредбите на достиженията на правото от Шенген по смисъла на Протокола между Европейския съюз, Европейската общност, Конфедерация Швейцария и Княжество Лихтенщайн относно присъединяването на Княжество Лихтенщайн към Споразумението между Европейския съюз, Европейската общност и Конфедерация Швейцария относно асоциирането на Конфедерация Швейцария към изпълнението, прилагането и развитието на достиженията на правото от Шенген (9), които попадат в областта, посочена в член 1, буква Б от Решение 1999/437/ЕО, във връзка с член 3 от Решение 2011/350/ЕС на Съвета (10). |
| --- | --- |

(12)

По отношение на Лихтенщайн настоящото решение представлява развитие на разпоредбите на достиженията на правото от Шенген по смисъла на Протокола между Европейския съюз, Европейската общност, Конфедерация Швейцария и Княжество Лихтенщайн относно присъединяването на Княжество Лихтенщайн към Споразумението между Европейския съюз, Европейската общност и Конфедерация Швейцария относно асоциирането на Конфедерация Швейцария към изпълнението, прилагането и развитието на достиженията на правото от Шенген (9), които попадат в областта, посочена в член 1, буква Б от Решение 1999/437/ЕО, във връзка с член 3 от Решение 2011/350/ЕС на Съвета (10).

| (13) | Настоящото решение представлява акт, който се основава на достиженията на правото от Шенген или по друг начин е свързан с тях съответно по смисъла на член 3, параграф 2 от Акта за присъединяване от 2003 г., на член 4, параграф 2 от Акта за присъединяване от 2005 г. и на член 4, параграф 2 от Акта за присъединяване от 2011 г., |
| --- | --- |

(13)

Настоящото решение представлява акт, който се основава на достиженията на правото от Шенген или по друг начин е свързан с тях съответно по смисъла на член 3, параграф 2 от Акта за присъединяване от 2003 г., на член 4, параграф 2 от Акта за присъединяване от 2005 г. и на член 4, параграф 2 от Акта за присъединяване от 2011 г.,

ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:

Член 1

Обхват

1.   Настоящото решение се прилага по отношение на гражданите на Гамбия, за които важи изискването за притежаване на виза съгласно Регламент (ЕС) 2018/1806.

2.   То не се прилага за граждани на Гамбия, които са освободени от изискването за виза съгласно членове 4 или 6 от Регламент (ЕС) 2018/1806.

3.   Настоящото решение не се прилага по отношение на граждани на Гамбия, които подават заявление за виза и които са членове на семейството на гражданин на Съюза, за които се прилага Директива 2004/38/ЕО, или които са членове на семейството на гражданин на трета държава, който се ползва от право на свободно движение, равностойно на това на гражданите на Съюза по силата на споразумение между Съюза и неговите държави членки, от една страна, и трета държава, от друга страна.

4.   Настоящото решение не засяга случаите, когато държава членка е обвързана от задължение съгласно международното право, а именно:

| а) | в качеството си на държава — домакин на международна междуправителствена организация; |
| --- | --- |

а)

в качеството си на държава — домакин на международна междуправителствена организация;

| б) | в качеството си на държава — домакин на международна конференция, свикана от или под егидата на Организацията на обединените нации или на други международни междуправителствени организации, чиято държава домакин е държава членка; |
| --- | --- |

б)

в качеството си на държава — домакин на международна конференция, свикана от или под егидата на Организацията на обединените нации или на други международни междуправителствени организации, чиято държава домакин е държава членка;

| в) | съгласно многостранно споразумение, предоставящо привилегии и имунитети; или |
| --- | --- |

в)

съгласно многостранно споразумение, предоставящо привилегии и имунитети; или

| г) | съгласно Помирителния договор от 1929 г. (Латеранския договор), сключен от Светия престол (градът-държава Ватикан) и Италия, както е изменен за последен път. |
| --- | --- |

г)

съгласно Помирителния договор от 1929 г. (Латеранския договор), сключен от Светия престол (градът-държава Ватикан) и Италия, както е изменен за последен път.

Член 2

Временно спиране на прилагането на някои разпоредби на Регламент (ЕО) No 810/2009

Временно се спира прилагането на следните разпоредби на Регламент (ЕО) No 810/2009:

| а) | член 14, параграф 6; |
| --- | --- |

а)

член 14, параграф 6;

| б) | член 16, параграф 5, буква б); |
| --- | --- |

б)

член 16, параграф 5, буква б);

| в) | член 23, параграф 1; |
| --- | --- |

в)

член 23, параграф 1;

| г) | член 24, параграфи 2 и 2в. |
| --- | --- |

г)

член 24, параграфи 2 и 2в.

Член 3

Адресати

Адресати на настоящото решение са: Кралство Белгия, Република България, Чешката република, Федерална република Германия, Република Естония, Република Гърция, Кралство Испания, Френската република, Република Хърватия, Италианската република, Република Кипър, Република Латвия, Република Литва, Великото херцогство Люксембург, Унгария, Република Малта, Кралство Нидерландия, Република Австрия, Република Полша, Португалската република, Румъния, Република Словения, Словашката република, Република Финландия и Кралство Швеция.

Съставено в Люксембург на 7 октомври 2021 година.

За Съвета

Председател

M. DIKAUČIČ

---

(1)  
  ОВ L 243, 15.9.2009 г., стр. 1.

1

(2)  Регламент (ЕС) 2018/1806 на Европейския парламент и на Съвета от 14 ноември 2018 г. за определяне на третите страни, чиито граждани трябва да притежават виза, когато преминават външните граници, както и тези, чиито граждани са освободени от това изискване (ОВ L 303, 28.11.2018 г., стр. 39).

2

(3)  Директива 2004/38/ЕО на Европейския парламент и на Съвета от 29 април 2004 г. относно правото на граждани на Съюза и на членове на техните семейства да се движат и да пребивават свободно на територията на държавите членки, за изменение на Регламент (ЕИО) No 1612/68 и отменяща Директиви 64/221/ЕИО, 68/360/ЕИО, 72/194/ЕИО, 73/148/ЕИО, 75/34/ЕИО, 75/35/ЕИО, 90/364/ЕИО, 90/365/ЕИО и 93/96/ЕИО (ОВ L 158, 30.4.2004 г., стр. 77).

3

(4)  Решение 2002/192/ЕО на Съвета от 28 февруари 2002 г. относно искането на Ирландия да участва в някои разпоредби от достиженията на правото от Шенген (ОВ L 64, 7.3.2002 г., стр. 20).

4

(5)  
  ОВ L 176, 10.7.1999 г., стр. 36.

5

(6)  Решение 1999/437/ЕО на Съвета от 17 май 1999 г. относно определени условия по прилагането на Споразумението между Европейския съюз и Република Исландия и Кралство Норвегия за асоцииране на тези две държави при изпълнението, прилагането и развитието на достиженията на правото от Шенген (ОВ L 176, 10.7.1999 г., стр. 31).

6

(7)  
  ОВ L 53, 27.2.2008 г., стр. 52.

7

(8)  Решение 2008/146/ЕО на Съвета от 28 януари 2008 г. за сключване от името на Европейската общност на Споразумение между Европейския съюз, Европейската общност и Конфедерация Швейцария за асоцииране на Конфедерация Швейцария към въвеждането, прилагането и развитието на достиженията на правото от Шенген (ОВ L 53, 27.2.2008 г., стр. 1).

8

(9)  
  ОВ L 160, 18.6.2011 г., стр. 21.

9

(10)  Решение 2011/350/ЕС на Съвета от 7 март 2011 г. за сключване от името на Европейския съюз на Протокола между Европейския съюз, Европейската общност, Конфедерация Швейцария и Княжество Лихтенщайн относно присъединяването на Княжество Лихтенщайн към Споразумението между Европейския съюз, Европейската общност и Конфедерация Швейцария относно асоциирането на Конфедерация Швейцария към изпълнението, прилагането и развитието на достиженията на правото от Шенген, по отношение на премахването на проверките по вътрешните граници и движението на хора (ОВ L 160, 18.6.2011 г., стр. 19).

10

---

ПРЕПОРЪКИ

| 11.10.2021 | BG | Официален вестник на Европейския съюз | L 360/128 |
| --- | --- | --- | --- |

11.10.2021

BG

Официален вестник на Европейския съюз

L 360/128

---

ПРЕПОРЪКА (ЕС) 2021/1782 НА СЪВЕТА

от 8 октомври 2021 година

за изменение на Препоръка (ЕС) 2020/912 на Съвета относно временното ограничение на неналожителните пътувания в ЕС и възможното премахване на това ограничение

СЪВЕТЪТ НА ЕВРОПЕЙСКИЯ СЪЮЗ,

като взе предвид Договора за функционирането на Европейския съюз, и по-специално член 77, параграф 2, букви б) и д) и член 292, първо и второ изречение от него,

като има предвид, че:

| (1) | На 30 юни 2020 г. Съветът прие препоръка относно временното ограничение на неналожителните пътувания в ЕС и възможното премахване на това ограничение (1) („препоръката на Съвета“). |
| --- | --- |

(1)

На 30 юни 2020 г. Съветът прие препоръка относно временното ограничение на неналожителните пътувания в ЕС и възможното премахване на това ограничение (1) („препоръката на Съвета“).

| (2) | Впоследствие Съветът прие препоръки (ЕС) 2020/1052 (2), (ЕС) 2020/1144 (3), (ЕС) 2020/1186 (4), (ЕС) 2020/1551 (5), (ЕС) 2020/2169 (6), (ЕС) 2021/89 (7), (ЕС) 2021/132 (8), (ЕС) 2021/767 (9), (ЕС) 2021/892 (10), (ЕС) 2021/992 (11), (ЕС) 2021/1085 (12), (ЕС) 2021/1170 (13), (ЕС) 2021/1346 (14), (ЕС) 2021/1459 (15) и (ЕС) 2021/1712 (16) за изменение на Препоръка (ЕС) 2020/912 на Съвета относно временното ограничение на неналожителните пътувания в ЕС и възможното премахване на това ограничение. |
| --- | --- |

(2)

Впоследствие Съветът прие препоръки (ЕС) 2020/1052 (2), (ЕС) 2020/1144 (3), (ЕС) 2020/1186 (4), (ЕС) 2020/1551 (5), (ЕС) 2020/2169 (6), (ЕС) 2021/89 (7), (ЕС) 2021/132 (8), (ЕС) 2021/767 (9), (ЕС) 2021/892 (10), (ЕС) 2021/992 (11), (ЕС) 2021/1085 (12), (ЕС) 2021/1170 (13), (ЕС) 2021/1346 (14), (ЕС) 2021/1459 (15) и (ЕС) 2021/1712 (16) за изменение на Препоръка (ЕС) 2020/912 на Съвета относно временното ограничение на неналожителните пътувания в ЕС и възможното премахване на това ограничение.

| (3) | На 20 май 2021 г. Съветът прие Препоръка (ЕС) 2021/816 за изменение на Препоръка (ЕС) 2020/912 на Съвета относно временното ограничение на неналожителните пътувания в ЕС и възможното премахване на това ограничение (17), за да актуализира критериите, използвани за оценка на това дали неналожителните пътувания от трети държави са безопасни и следва да бъдат разрешени. |
| --- | --- |

(3)

На 20 май 2021 г. Съветът прие Препоръка (ЕС) 2021/816 за изменение на Препоръка (ЕС) 2020/912 на Съвета относно временното ограничение на неналожителните пътувания в ЕС и възможното премахване на това ограничение (17), за да актуализира критериите, използвани за оценка на това дали неналожителните пътувания от трети държави са безопасни и следва да бъдат разрешени.

| (4) | Препоръката на Съвета предвижда, че считано от 1 юли 2020 г., държавите членки следва по координиран начин постепенно да премахнат временното ограничение на неналожителните пътувания в ЕС по отношение на лицата, пребиваващи в третите държави, изброени в приложение I към препоръката на Съвета. На всеки две седмици списъкът на третите държави, посочени в приложение I, следва да се преразглежда и при необходимост може да се актуализира от Съвета след тесни консултации с Комисията и съответните агенции и служби на ЕС вследствие на цялостна оценка въз основа на методиката, критериите и информацията, посочени в препоръката на Съвета. |
| --- | --- |

(4)

Препоръката на Съвета предвижда, че считано от 1 юли 2020 г., държавите членки следва по координиран начин постепенно да премахнат временното ограничение на неналожителните пътувания в ЕС по отношение на лицата, пребиваващи в третите държави, изброени в приложение I към препоръката на Съвета. На всеки две седмици списъкът на третите държави, посочени в приложение I, следва да се преразглежда и при необходимост може да се актуализира от Съвета след тесни консултации с Комисията и съответните агенции и служби на ЕС вследствие на цялостна оценка въз основа на методиката, критериите и информацията, посочени в препоръката на Съвета.

| (5) | Впоследствие в рамките на Съвета се проведоха обсъждания, в тесни консултации с Комисията и съответните агенции и служби на ЕС, относно преразглеждането на списъка на третите държави, поместен в приложение I към препоръката на Съвета, и при прилагане на критериите и методиката, определени в препоръката на Съвета, изменена с Препоръка (ЕС) 2021/816. В резултат от тези обсъждания списъкът на третите държави, поместен в приложение I, следва да бъде изменен. По-специално, Бахрейн и Обединените арабски емирства следва да бъдат добавени към списъка. |
| --- | --- |

(5)

Впоследствие в рамките на Съвета се проведоха обсъждания, в тесни консултации с Комисията и съответните агенции и служби на ЕС, относно преразглеждането на списъка на третите държави, поместен в приложение I към препоръката на Съвета, и при прилагане на критериите и методиката, определени в препоръката на Съвета, изменена с Препоръка (ЕС) 2021/816. В резултат от тези обсъждания списъкът на третите държави, поместен в приложение I, следва да бъде изменен. По-специално, Бахрейн и Обединените арабски емирства следва да бъдат добавени към списъка.

| (6) | Граничният контрол е от интерес не само за държавата членка, на чиято външна граница се извършва, но и за всички държави членки, премахнали вътрешния граничен контрол. Поради това държавите членки следва да гарантират, че мерките, които се предприемат по външните граници, са координирани, за да се осигури безпроблемното функциониране на Шенгенското пространство. За тази цел, считано от 8 октомври 2021 г., държавите членки следва да продължат да премахват по координиран начин временното ограничение на неналожителните пътувания към ЕС по отношение на лицата, пребиваващи в третите държави, специалните административни райони и други образувания и териториални власти, изброени в приложение I към препоръката на Съвета, изменена с настоящата препоръка. |
| --- | --- |

(6)

Граничният контрол е от интерес не само за държавата членка, на чиято външна граница се извършва, но и за всички държави членки, премахнали вътрешния граничен контрол. Поради това държавите членки следва да гарантират, че мерките, които се предприемат по външните граници, са координирани, за да се осигури безпроблемното функциониране на Шенгенското пространство. За тази цел, считано от 8 октомври 2021 г., държавите членки следва да продължат да премахват по координиран начин временното ограничение на неналожителните пътувания към ЕС по отношение на лицата, пребиваващи в третите държави, специалните административни райони и други образувания и териториални власти, изброени в приложение I към препоръката на Съвета, изменена с настоящата препоръка.

| (7) | В съответствие с членове 1 и 2 от Протокол No 22 относно позицията на Дания, приложен към Договора за Европейския съюз и към ДФЕС, Дания не участва в приемането на настоящата препоръка и не е обвързана от нея, нито от нейното прилагане. Доколкото тази препоръка представлява развитие на достиженията на правото от Шенген, в срок от шест месеца след вземането на решение от Съвета относно настоящата препоръка Дания взема решение, в съответствие с член 4 от посочения протокол, дали да я приложи. |
| --- | --- |

(7)

В съответствие с членове 1 и 2 от Протокол No 22 относно позицията на Дания, приложен към Договора за Европейския съюз и към ДФЕС, Дания не участва в приемането на настоящата препоръка и не е обвързана от нея, нито от нейното прилагане. Доколкото тази препоръка представлява развитие на достиженията на правото от Шенген, в срок от шест месеца след вземането на решение от Съвета относно настоящата препоръка Дания взема решение, в съответствие с член 4 от посочения протокол, дали да я приложи.

| (8) | Настоящата препоръка представлява развитие на разпоредбите на достиженията на правото от Шенген, в които Ирландия не участва, в съответствие с Решение 2002/192/ЕО на Съвета (18). Следователно Ирландия не участва в нейното приемане и не е обвързана от нея, нито от нейното прилагане. |
| --- | --- |

(8)

Настоящата препоръка представлява развитие на разпоредбите на достиженията на правото от Шенген, в които Ирландия не участва, в съответствие с Решение 2002/192/ЕО на Съвета (18). Следователно Ирландия не участва в нейното приемане и не е обвързана от нея, нито от нейното прилагане.

| (9) | По отношение на Исландия и Норвегия настоящата препоръка представлява развитие на разпоредбите на достиженията на правото от Шенген по смисъла на Споразумението, сключено от Съвета на Европейския съюз, от една страна, и Република Исландия и Кралство Норвегия, от друга страна, за асоциирането на последните в процеса на изпълнение, прилагане и развитие на достиженията на правото от Шенген, които попадат в областта, посочена в член 1, буква А от Решение 1999/437/ЕО на Съвета (19). |
| --- | --- |

(9)

По отношение на Исландия и Норвегия настоящата препоръка представлява развитие на разпоредбите на достиженията на правото от Шенген по смисъла на Споразумението, сключено от Съвета на Европейския съюз, от една страна, и Република Исландия и Кралство Норвегия, от друга страна, за асоциирането на последните в процеса на изпълнение, прилагане и развитие на достиженията на правото от Шенген, които попадат в областта, посочена в член 1, буква А от Решение 1999/437/ЕО на Съвета (19).

| (10) | По отношение на Швейцария настоящата препоръка представлява развитие на разпоредбите на достиженията на правото от Шенген по смисъла на Споразумението между Европейския съюз, Европейската общност и Конфедерация Швейцария относно асоциирането на Конфедерация Швейцария към изпълнението, прилагането и развитието на достиженията на правото от Шенген, които попадат в областта, посочена в член 1, буква А от Решение 1999/437/ЕО (20), във връзка с член 3 от Решение 2008/146/ЕО на Съвета (21). |
| --- | --- |

(10)

По отношение на Швейцария настоящата препоръка представлява развитие на разпоредбите на достиженията на правото от Шенген по смисъла на Споразумението между Европейския съюз, Европейската общност и Конфедерация Швейцария относно асоциирането на Конфедерация Швейцария към изпълнението, прилагането и развитието на достиженията на правото от Шенген, които попадат в областта, посочена в член 1, буква А от Решение 1999/437/ЕО (20), във връзка с член 3 от Решение 2008/146/ЕО на Съвета (21).

| (11) | По отношение на Лихтенщайн настоящата препоръка представлява развитие на разпоредбите на достиженията на правото от Шенген по смисъла на Протокола между Европейския съюз, Европейската общност, Конфедерация Швейцария и Княжество Лихтенщайн относно присъединяването на Княжество Лихтенщайн към Споразумението между Европейския съюз, Европейската общност и Конфедерация Швейцария относно асоциирането на Конфедерация Швейцария към изпълнението, прилагането и развитието на достиженията на правото от Шенген, които попадат в областта, посочена в член 1, буква А от Решение 1999/437/ЕО (22), във връзка с член 3 от Решение 2011/350/ЕС (23), |
| --- | --- |

(11)

По отношение на Лихтенщайн настоящата препоръка представлява развитие на разпоредбите на достиженията на правото от Шенген по смисъла на Протокола между Европейския съюз, Европейската общност, Конфедерация Швейцария и Княжество Лихтенщайн относно присъединяването на Княжество Лихтенщайн към Споразумението между Европейския съюз, Европейската общност и Конфедерация Швейцария относно асоциирането на Конфедерация Швейцария към изпълнението, прилагането и развитието на достиженията на правото от Шенген, които попадат в областта, посочена в член 1, буква А от Решение 1999/437/ЕО (22), във връзка с член 3 от Решение 2011/350/ЕС (23),

ПРИЕ НАСТОЯЩАТА ПРЕПОРЪКА:

Препоръка (ЕС) 2020/912 на Съвета, изменена с препоръки (ЕС) 2020/1052, (ЕС) 2020/1144, (ЕС) 2020/1186, (ЕС) 2020/1551, (ЕС) 2020/2169, (ЕС) 2021/89, (ЕС) 2021/132, (ЕС) 2021/767, (ЕС) 2021/816, (ЕС) 2021/892, (ЕС) 2021/992, (ЕС) 2021/1085, (ЕС) 2021/1170, (ЕС) 2021/1346, (ЕС) 2021/1459 и (ЕС) 2021/1712, относно временното ограничение на неналожителните пътувания в ЕС и възможното премахване на това ограничение се изменя, както следва:

| (1) | Първа алинея на точка 1 от препоръката на Съвета се заменя със следното:






  „1. | Считано от 8 октомври 2021 г., държавите членки следва по координиран начин постепенно да премахнат временното ограничение на неналожителните пътувания към ЕС по отношение на лицата, пребиваващи в третите държави, изброени в приложение I.“ |
| --- | --- | --- |

(1)

Първа алинея на точка 1 от препоръката на Съвета се заменя със следното:

„1.

| (2) | Приложение I към препоръката се заменя със следното:


  „Приложение I
  Трети държави, специални административни райони и други образувания и териториални власти, пребиваващите в които лица следва да не бъдат засегнати от временното ограничение на неналожителните пътувания към ЕС по външните граници:






  I. | ДЪРЖАВИ






  1. | АВСТРАЛИЯ |
| --- | --- | --- | --- |

(2)

Приложение I към препоръката се заменя със следното:

„Приложение I

Трети държави, специални административни райони и други образувания и териториални власти, пребиваващите в които лица следва да не бъдат засегнати от временното ограничение на неналожителните пътувания към ЕС по външните граници:

I.

ДЪРЖАВИ

1.

АВСТРАЛИЯ

| 2. | БАХРЕЙН |
| --- | --- |

2.

БАХРЕЙН

| 3. | КАНАДА |
| --- | --- |

3.

КАНАДА

| 4. | ЧИЛИ |
| --- | --- |

4.

ЧИЛИ

| 5. | ЙОРДАНИЯ |
| --- | --- |

5.

ЙОРДАНИЯ

| 6. | КУВЕЙТ |
| --- | --- |

6.

КУВЕЙТ

| 7. | НОВА ЗЕЛАНДИЯ |
| --- | --- |

7.

НОВА ЗЕЛАНДИЯ

| 8. | КАТАР |
| --- | --- |

8.

КАТАР

| 9. | РУАНДА |
| --- | --- |

9.

РУАНДА

| 10. | САУДИТСКА АРАБИЯ |
| --- | --- |

10.

САУДИТСКА АРАБИЯ

| 11. | СИНГАПУР |
| --- | --- |

11.

СИНГАПУР

| 12. | ЮЖНА КОРЕЯ |
| --- | --- |

12.

ЮЖНА КОРЕЯ

| 13. | УКРАЙНА |
| --- | --- |

13.

УКРАЙНА

| 14. | ОБЕДИНЕНИ АРАБСКИ ЕМИРСТВА |
| --- | --- |

14.

ОБЕДИНЕНИ АРАБСКИ ЕМИРСТВА

| 15. | УРУГВАЙ |
| --- | --- |

15.

УРУГВАЙ

| 16. | КИТАЙ (*1) |
| --- | --- |

16.

КИТАЙ (*1)

| II. | СПЕЦИАЛНИ АДМИНИСТРАТИВНИ РАЙОНИ НА КИТАЙСКАТА НАРОДНА РЕПУБЛИКА





  Специален административен район Хонконг |
| --- | --- |

II.

СПЕЦИАЛНИ АДМИНИСТРАТИВНИ РАЙОНИ НА КИТАЙСКАТА НАРОДНА РЕПУБЛИКА

Специален административен район Хонконг

| Специален административен район Макао |
| --- |

Специален административен район Макао

| III. | ОБРАЗУВАНИЯ И ТЕРИТОРИАЛНИ ВЛАСТИ, КОИТО НЕ СА ПРИЗНАТИ ЗА ДЪРЖАВИ ОТ ПОНЕ ЕДНА ДЪРЖАВА ЧЛЕНКА





  Тайван |
| --- | --- |

III.

ОБРАЗУВАНИЯ И ТЕРИТОРИАЛНИ ВЛАСТИ, КОИТО НЕ СА ПРИЗНАТИ ЗА ДЪРЖАВИ ОТ ПОНЕ ЕДНА ДЪРЖАВА ЧЛЕНКА

Тайван

(*1)  При условие че има потвърждение за реципрочност."

*1

Съставено в Люксембург на 8 октомври 2021 година.

За Съвета

Председател

M. DIKAUČIČ

---

(1)  1.ОВ L 208I, 1.7.2020 г., стр. 1.

1

(2)  
  ОВ L 230, 17.7.2020 г., стр. 26.

2

(3)  
  ОВ L 248, 31.7.2020 г., стр. 26.

3

(4)  
  ОВ L 261, 11.8.2020 г., стр. 83.

4

(5)  
  ОВ L 354, 26.10.2020 г., стр. 19.

5

(6)  
  ОВ L 431, 21.12.2020 г., стр. 75.

6

(7)  
  ОВ L 33, 29.1.2021 г., стр. 1.

7

(8)  
  ОВ L 41, 4.2.2021 г., стр. 1.

8

(9)  
  ОВ L 165I, 11.5.2021 г., стр. 66.

9

(10)  
  ОВ L 198, 4.6.2021 г., стр. 1.

10

(11)  
  ОВ L 221, 21.6.2021 г., стр. 12.

11

(12)  
  ОВ L 235, 2.7.2021 г., стр. 27.

12

(13)  
  ОВ L 255, 16.7.2021 г., стр. 3.

13

(14)  
  ОВ L 306, 31.8.2021 г., стр. 4.

14

(15)  
  ОВ L 320, 10.9.2021, стр. 1.

15

(16)  
  ОВ L 341, 24.9.2021 г., стр. 1.

16

(17)  
  ОВ L 182, 21.5.2021 г., стр. 1.

17

(18)  Решение 2002/192/ЕО на Съвета от 28 февруари 2002 г. относно искането на Ирландия да участва в някои разпоредби от достиженията на правото от Шенген (ОВ L 64, 7.3.2002 г., стр. 20).

18

(19)  
  ОВ L 176, 10.7.1999 г., стр. 31.

19

(20)  
  ОВ L 53, 27.2.2008 г., стр. 52.

20

(21)  Решение 2008/146/ЕО на Съвета от 28 януари 2008 г. за сключване от името на Европейската общност на Споразумение между Европейския съюз, Европейската общност и Конфедерация Швейцария за асоцииране на Конфедерация Швейцария към въвеждането, прилагането и развитието на достиженията на правото от Шенген (ОВ L 53, 27.2.2008 г., стр. 1).

21

(22)  
  ОВ L 160, 18.6.2011 г., стр. 21.

22

(23)  Решение 2011/350/ЕС на Съвета от 7 март 2011 г. за сключване от името на Европейския съюз на Протокола между Европейския съюз, Европейската общност, Конфедерация Швейцария и Княжество Лихтенщайн относно присъединяването на Княжество Лихтенщайн към Споразумението между Европейския съюз, Европейската общност и Конфедерация Швейцария относно асоциирането на Конфедерация Швейцария към изпълнението, прилагането и развитието на достиженията на правото от Шенген, по отношение на премахването на проверките по вътрешните граници и движението на хора (ОВ L 160, 18.6.2011 г., стр. 19).

23

---