# Dziennik Urzędowy C 34/2012

| | ISSN 1977-1002
  doi:10.3000/19771002.C_2012.034.pol |
| --- | --- |
| Dziennik Urzędowy
  Unii Europejskiej | C 34 |
| | |
| Wydanie polskie | Informacje i zawiadomienia | Tom 558 lutego 2012 |

ISSN 1977-1002

doi:10.3000/19771002.C_2012.034.pol

Dziennik Urzędowy

Unii Europejskiej

C 34

Wydanie polskie

Informacje i zawiadomienia

Tom 558 lutego 2012

---

| Powiadomienie nr | Spis treśći | Strona |
| --- | --- | --- |
| | I   Rezolucje, zalecenia i opinie |
| | OPINIE |
| | Europejski Inspektor Ochrony Danych |
| 2012/C 034/01 | Opinia Europejskiego Inspektora Ochrony Danych w sprawie neutralności sieci, zarządzania ruchem oraz ochrony prywatności i danych osobowych | 1 |
| 2012/C 034/02 | Opinia Europejskiego Inspektora Ochrony Danych w sprawie komunikatu Komisji do Parlamentu Europejskiego, Rady, Europejskiego Komitetu Ekonomiczno-Społecznego i Komitetu Regionów w sprawie migracji | 18 |

Powiadomienie nr

Spis treśći

Strona

I   Rezolucje, zalecenia i opinie

OPINIE

Europejski Inspektor Ochrony Danych

2012/C 034/01

Opinia Europejskiego Inspektora Ochrony Danych w sprawie neutralności sieci, zarządzania ruchem oraz ochrony prywatności i danych osobowych

1

2012/C 034/02

Opinia Europejskiego Inspektora Ochrony Danych w sprawie komunikatu Komisji do Parlamentu Europejskiego, Rady, Europejskiego Komitetu Ekonomiczno-Społecznego i Komitetu Regionów w sprawie migracji

18

| | IV   Informacje |
| --- | --- |
| | INFORMACJE INSTYTUCJI, ORGANÓW I JEDNOSTEK ORGANIZACYJNYCH UNII EUROPEJSKIEJ |
| | Komisja Europejska |
| 2012/C 034/03 | Kursy walutowe euro | 27 |

IV   Informacje

INFORMACJE INSTYTUCJI, ORGANÓW I JEDNOSTEK ORGANIZACYJNYCH UNII EUROPEJSKIEJ

Komisja Europejska

2012/C 034/03

Kursy walutowe euro

27

| | V   Ogłoszenia |
| --- | --- |
| | INNE AKTY |
| | Komisja Europejska |
| 2012/C 034/04 | Zawiadomienie dla Monira Chouki, Yassina Chouki i Mevlüta Kara dodanych do wykazu, o którym mowa w art. 2, 3 i 7 rozporządzenia Rady (WE) nr 881/2002 wprowadzającego niektóre szczególne środki ograniczające skierowane przeciwko niektórym osobom i podmiotom związanym z siecią Al-Kaida, na mocy rozporządzenia Komisji (UE) nr 97/2012 | 28 |

V   Ogłoszenia

INNE AKTY

Komisja Europejska

2012/C 034/04

Zawiadomienie dla Monira Chouki, Yassina Chouki i Mevlüta Kara dodanych do wykazu, o którym mowa w art. 2, 3 i 7 rozporządzenia Rady (WE) nr 881/2002 wprowadzającego niektóre szczególne środki ograniczające skierowane przeciwko niektórym osobom i podmiotom związanym z siecią Al-Kaida, na mocy rozporządzenia Komisji (UE) nr 97/2012

28

| PL | |
| --- | --- |

PL

---

I Rezolucje, zalecenia i opinie

OPINIE

Europejski Inspektor Ochrony Danych

| 8.2.2012 | PL | Dziennik Urzędowy Unii Europejskiej | C 34/1 |
| --- | --- | --- | --- |

8.2.2012

PL

Dziennik Urzędowy Unii Europejskiej

C 34/1

---

Opinia Europejskiego Inspektora Ochrony Danych w sprawie neutralności sieci, zarządzania ruchem oraz ochrony prywatności i danych osobowych

2012/C 34/01

EUROPEJSKI INSPEKTOR OCHRONY DANYCH,

uwzględniając Traktat o funkcjonowaniu Unii Europejskiej, w szczególności jego art. 16,

uwzględniając Kartę praw podstawowych Unii Europejskiej, w szczególności jej art. 7 i 8,

uwzględniając dyrektywę 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (1),

uwzględniając rozporządzenie (WE) nr 45/2001 Parlamentu Europejskiego i Rady z dnia 18 grudnia 2000 r. o ochronie osób fizycznych w związku z przetwarzaniem danych osobowych przez instytucje i organy wspólnotowe i o swobodnym przepływie takich danych (2), w szczególności jego art. 41 ust. 2,

uwzględniając dyrektywę 2002/58/WE Parlamentu Europejskiego i Rady z dnia 12 lipca 2002 r. dotyczącą przetwarzania danych osobowych i ochrony prywatności w sektorze łączności elektronicznej (3),

PRZYJMUJE NASTĘPUJĄCĄ OPINIĘ:

I.   WPROWADZENIE

I.1.   Informacje ogólne

| 1. | W dniu 19 kwietnia 2011 r. Komisja przyjęła komunikat w sprawie otwartego Internetu i neutralności sieci w Europie (4). |
| --- | --- |

1.

W dniu 19 kwietnia 2011 r. Komisja przyjęła komunikat w sprawie otwartego Internetu i neutralności sieci w Europie (4).

| 2. | Niniejszą opinię można uznać za reakcję EIOD na ten komunikat; jej celem jest wniesienie wkładu w toczącą się w UE debatę na temat neutralności sieci, zwłaszcza w aspektach związanych z ochroną danych i prywatnością. |
| --- | --- |

2.

Niniejszą opinię można uznać za reakcję EIOD na ten komunikat; jej celem jest wniesienie wkładu w toczącą się w UE debatę na temat neutralności sieci, zwłaszcza w aspektach związanych z ochroną danych i prywatnością.

| 3. | Opinia stanowi rozwinięcie odpowiedzi (5) EIOD na konsultacje społeczne Komisji dotyczące otwartego Internetu i neutralności sieci w Europie, które poprzedziły wydanie komunikatu przez Komisję. EIOD odnotował również niedawny projekt konkluzji Rady w sprawie neutralności sieci (6). |
| --- | --- |

3.

Opinia stanowi rozwinięcie odpowiedzi (5) EIOD na konsultacje społeczne Komisji dotyczące otwartego Internetu i neutralności sieci w Europie, które poprzedziły wydanie komunikatu przez Komisję. EIOD odnotował również niedawny projekt konkluzji Rady w sprawie neutralności sieci (6).

I.2.   Koncepcja neutralności sieci

| 4. | W toczącej się debacie na temat neutralności sieci chodzi o to, czy dostawcom usług internetowych (7) należy pozwolić na ograniczanie, filtrowanie lub blokowanie dostępu do Internetu lub też wpływanie na jego parametry w inny sposób. Koncepcja neutralności sieci wywodzi się z poglądu, że informacje w Internecie powinny być przekazywane w sposób bezstronny bez względu na treść, miejsce przeznaczenia lub źródło, a użytkownicy powinni mieć możliwość decydowania, jakich aplikacji, usług i sprzętu chcą używać. Oznacza to, że dostawcy usług internetowych nie mogą według swojego uznania przyznawać priorytetu ani też spowalniać dostępu do pewnych aplikacji lub usług takich jak sieci peer-to-peer („P2P”) (8). |
| --- | --- |

4.

W toczącej się debacie na temat neutralności sieci chodzi o to, czy dostawcom usług internetowych (7) należy pozwolić na ograniczanie, filtrowanie lub blokowanie dostępu do Internetu lub też wpływanie na jego parametry w inny sposób. Koncepcja neutralności sieci wywodzi się z poglądu, że informacje w Internecie powinny być przekazywane w sposób bezstronny bez względu na treść, miejsce przeznaczenia lub źródło, a użytkownicy powinni mieć możliwość decydowania, jakich aplikacji, usług i sprzętu chcą używać. Oznacza to, że dostawcy usług internetowych nie mogą według swojego uznania przyznawać priorytetu ani też spowalniać dostępu do pewnych aplikacji lub usług takich jak sieci peer-to-peer („P2P”) (8).

| 5. | Filtrowanie, blokowanie i inspekcja ruchu sieciowego rodzi ważne pytania, często niedostrzegane lub lekceważone, dotyczące poufności komunikacji oraz poszanowania prywatności osób fizycznych i ich danych osobowych podczas korzystania z Internetu. Na przykład niektóre techniki inspekcji wiążą się z monitorowaniem treści komunikacji, odwiedzonych stron internetowych, wysłanych i otrzymanych wiadomości e-mail, czasu poszczególnych zdarzeń itp., co umożliwia filtrowanie komunikacji. |
| --- | --- |

5.

Filtrowanie, blokowanie i inspekcja ruchu sieciowego rodzi ważne pytania, często niedostrzegane lub lekceważone, dotyczące poufności komunikacji oraz poszanowania prywatności osób fizycznych i ich danych osobowych podczas korzystania z Internetu. Na przykład niektóre techniki inspekcji wiążą się z monitorowaniem treści komunikacji, odwiedzonych stron internetowych, wysłanych i otrzymanych wiadomości e-mail, czasu poszczególnych zdarzeń itp., co umożliwia filtrowanie komunikacji.

| 6. | Dokonując inspekcji danych o komunikacji, dostawcy usług internetowych mogą naruszać poufność komunikacji, która jest prawem podstawowym zagwarantowanym przez art. 8 europejskiej Konwencji o ochronie praw człowieka i podstawowych wolności („EKPC”) oraz art. 7 i 8 Karty praw podstawowych Unii Europejskiej („Karty”). Poufność podlega ponadto ochronie na mocy prawodawstwa wtórnego UE, a mianowicie art. 5 dyrektywy o prywatności i łączności elektronicznej. |
| --- | --- |

6.

Dokonując inspekcji danych o komunikacji, dostawcy usług internetowych mogą naruszać poufność komunikacji, która jest prawem podstawowym zagwarantowanym przez art. 8 europejskiej Konwencji o ochronie praw człowieka i podstawowych wolności („EKPC”) oraz art. 7 i 8 Karty praw podstawowych Unii Europejskiej („Karty”). Poufność podlega ponadto ochronie na mocy prawodawstwa wtórnego UE, a mianowicie art. 5 dyrektywy o prywatności i łączności elektronicznej.

I.3.   Treść i struktura opinii

| 7. | Zdaniem EIOD każda poważna debata na temat neutralności sieci musi uwzględniać kwestię poufności komunikacji, jak również inne implikacje z punktu widzenia prywatności i ochrony danych. |
| --- | --- |

7.

Zdaniem EIOD każda poważna debata na temat neutralności sieci musi uwzględniać kwestię poufności komunikacji, jak również inne implikacje z punktu widzenia prywatności i ochrony danych.

| 8. | Niniejsza opinia stanowi wkład w tę debatę toczącą się w UE. Jej cel jest trojaki:






  — | wskazuje się w niej na znaczenie prywatności i ochrony danych w kontekście trwających dyskusji o neutralności sieci. W szczególności podkreśla się potrzebę poszanowania istniejących zasad dotyczących poufności komunikacji. Dopuszczalne powinny być jedynie praktyki cechujące się poszanowaniem tych zasad, |
| --- | --- | --- |

8.

Niniejsza opinia stanowi wkład w tę debatę toczącą się w UE. Jej cel jest trojaki:

—

wskazuje się w niej na znaczenie prywatności i ochrony danych w kontekście trwających dyskusji o neutralności sieci. W szczególności podkreśla się potrzebę poszanowania istniejących zasad dotyczących poufności komunikacji. Dopuszczalne powinny być jedynie praktyki cechujące się poszanowaniem tych zasad,

| — | neutralność sieci odnosi się do względnie nowych możliwości technicznych i na razie brakuje doświadczeń co do stosowania ram prawnych w tej dziedzinie. W związku z tym w obecnej opinii zawarto wskazówki dotyczące tego, w jaki sposób dostawcy usług internetowych muszą stosować ramy prawne ochrony danych i przestrzegać ich, jeżeli filtrują i blokują ruch sieciowy oraz dokonują jego inspekcji. Powinny one okazać się pomocne dla dostawców usług internetowych, jak również dla władz odpowiedzialnych za egzekwowanie tych ram, |
| --- | --- |

—

neutralność sieci odnosi się do względnie nowych możliwości technicznych i na razie brakuje doświadczeń co do stosowania ram prawnych w tej dziedzinie. W związku z tym w obecnej opinii zawarto wskazówki dotyczące tego, w jaki sposób dostawcy usług internetowych muszą stosować ramy prawne ochrony danych i przestrzegać ich, jeżeli filtrują i blokują ruch sieciowy oraz dokonują jego inspekcji. Powinny one okazać się pomocne dla dostawców usług internetowych, jak również dla władz odpowiedzialnych za egzekwowanie tych ram,

| — | jeżeli chodzi o ochronę danych i prywatność, w niniejszej opinii zidentyfikowano obszary zasługujące na szczególną uwagę oraz mogące wymagać działań na szczeblu UE. Jest to szczególnie ważne w związku z toczącą się debatą na szczeblu UE i środkami, które mogą zostać wdrożone przez Komisję w tym kontekście. |
| --- | --- |

—

jeżeli chodzi o ochronę danych i prywatność, w niniejszej opinii zidentyfikowano obszary zasługujące na szczególną uwagę oraz mogące wymagać działań na szczeblu UE. Jest to szczególnie ważne w związku z toczącą się debatą na szczeblu UE i środkami, które mogą zostać wdrożone przez Komisję w tym kontekście.

| 9. | EIOD ma świadomość, że neutralność sieci pociąga za sobą inne (opisane szerzej w dalszej części opinii) zagadnienia, na przykład związane z dostępem do informacji. Zagadnienia te uwzględniono jedynie w stopniu, w jakim są związane z ochroną danych i prywatnością lub mają na nie wpływ. |
| --- | --- |

9.

EIOD ma świadomość, że neutralność sieci pociąga za sobą inne (opisane szerzej w dalszej części opinii) zagadnienia, na przykład związane z dostępem do informacji. Zagadnienia te uwzględniono jedynie w stopniu, w jakim są związane z ochroną danych i prywatnością lub mają na nie wpływ.

| 10. | Struktura niniejszej opinii jest następująca: w sekcji II przedstawiono krótki przegląd praktyk dostawców usług internetowych w zakresie filtrowania. W sekcji III przedstawiono w zarysie ramy prawne UE dotyczące neutralności sieci. W sekcji IV zamieszczono opis techniczny wraz z oceną skutków poszczególnych technik z punktu widzenia prywatności. W sekcji V przeanalizowano aspekty praktyczne związane z zastosowaniem obecnych ram UE dotyczących prywatności i ochrony danych. W sekcji VI rozwinięto tę analizę, przedstawiając sugestie dotyczące kształtowania polityki i wskazując obszary, w których niezbędne może być wyjaśnienie oraz udoskonalenie ram prawnych. W sekcji VII zaprezentowano wnioski. |
| --- | --- |

10.

Struktura niniejszej opinii jest następująca: w sekcji II przedstawiono krótki przegląd praktyk dostawców usług internetowych w zakresie filtrowania. W sekcji III przedstawiono w zarysie ramy prawne UE dotyczące neutralności sieci. W sekcji IV zamieszczono opis techniczny wraz z oceną skutków poszczególnych technik z punktu widzenia prywatności. W sekcji V przeanalizowano aspekty praktyczne związane z zastosowaniem obecnych ram UE dotyczących prywatności i ochrony danych. W sekcji VI rozwinięto tę analizę, przedstawiając sugestie dotyczące kształtowania polityki i wskazując obszary, w których niezbędne może być wyjaśnienie oraz udoskonalenie ram prawnych. W sekcji VII zaprezentowano wnioski.

II.   NEUTRALNOŚĆ SIECI A POLITYKA ZARZĄDZANIA RUCHEM

Coraz częstsze wykorzystanie polityki zarządzania ruchem

| 11. | Obecnie dostawcy usług internetowych monitorują ruch sieciowy i wpływają na niego tylko w pewnych sytuacjach. Na przykład stosują oni techniki inspekcji i ograniczają przepływ informacji, aby zapewnić bezpieczeństwo sieci, np. w celu zwalczania wirusów. Dlatego też, ogólnie rzecz biorąc, Internet rozwija się, zachowując w znacznym stopniu neutralność. |
| --- | --- |

11.

Obecnie dostawcy usług internetowych monitorują ruch sieciowy i wpływają na niego tylko w pewnych sytuacjach. Na przykład stosują oni techniki inspekcji i ograniczają przepływ informacji, aby zapewnić bezpieczeństwo sieci, np. w celu zwalczania wirusów. Dlatego też, ogólnie rzecz biorąc, Internet rozwija się, zachowując w znacznym stopniu neutralność.

| 12. | W ostatnich latach część dostawców usług internetowych wykazuje jednak zainteresowanie inspekcją ruchu sieciowego w celu wyodrębnienia poszczególnych jego rodzajów i stosowania wobec nich różnych zasad, na przykład blokowania konkretnych usług lub udostępniania innych na preferencyjnych zasadach. Określa się to czasem mianem „polityki zarządzania ruchem” (9). |
| --- | --- |

12.

W ostatnich latach część dostawców usług internetowych wykazuje jednak zainteresowanie inspekcją ruchu sieciowego w celu wyodrębnienia poszczególnych jego rodzajów i stosowania wobec nich różnych zasad, na przykład blokowania konkretnych usług lub udostępniania innych na preferencyjnych zasadach. Określa się to czasem mianem „polityki zarządzania ruchem” (9).

| 13. | Dostawcy usług internetowych mają różnorakie powody, by dokonywać inspekcji i rozróżniania ruchu. Polityka zarządzania ruchem może na przykład pomagać w zarządzaniu ruchem podczas okresów znacznego obciążenia, choćby przez przyznawanie wysokiego priorytetu ruchowi uwarunkowanemu czasowo (jak transmisja strumieniowa wideo) oraz obniżanie priorytetu innych rodzajów ruchu, które mogą być mniej wrażliwe na upływ czasu (jak P2P) (10). Ponadto zarządzanie ruchem może być dla dostawcy usług internetowych sposobem uzyskania potencjalnego strumienia przychodów z różnych źródeł. Z jednej strony dostawcy usług internetowych mogliby pobierać opłaty od dostawców usług związanych z treścią, np. tych, których usługi wymagają większej szerokości pasma, dając im w zamian priorytet (a więc prędkość). Oznacza to, że dostęp do pewnej usługi, na przykład wyświetlania filmów na żądanie, byłby szybszy niż dostęp do innej podobnej usługi, w związku z którą nie podpisano umowy o wyższej prędkości transmisji. Przychody można byłoby również uzyskiwać od abonentów, którzy są zainteresowani wnoszeniem wyższych (lub niższych) opłat za zróżnicowane rodzaje abonamentów. Na przykład abonament bez dostępu do P2P mógłby być tańszy od abonamentu dającego nieograniczony dostęp. |
| --- | --- |

13.

Dostawcy usług internetowych mają różnorakie powody, by dokonywać inspekcji i rozróżniania ruchu. Polityka zarządzania ruchem może na przykład pomagać w zarządzaniu ruchem podczas okresów znacznego obciążenia, choćby przez przyznawanie wysokiego priorytetu ruchowi uwarunkowanemu czasowo (jak transmisja strumieniowa wideo) oraz obniżanie priorytetu innych rodzajów ruchu, które mogą być mniej wrażliwe na upływ czasu (jak P2P) (10). Ponadto zarządzanie ruchem może być dla dostawcy usług internetowych sposobem uzyskania potencjalnego strumienia przychodów z różnych źródeł. Z jednej strony dostawcy usług internetowych mogliby pobierać opłaty od dostawców usług związanych z treścią, np. tych, których usługi wymagają większej szerokości pasma, dając im w zamian priorytet (a więc prędkość). Oznacza to, że dostęp do pewnej usługi, na przykład wyświetlania filmów na żądanie, byłby szybszy niż dostęp do innej podobnej usługi, w związku z którą nie podpisano umowy o wyższej prędkości transmisji. Przychody można byłoby również uzyskiwać od abonentów, którzy są zainteresowani wnoszeniem wyższych (lub niższych) opłat za zróżnicowane rodzaje abonamentów. Na przykład abonament bez dostępu do P2P mógłby być tańszy od abonamentu dającego nieograniczony dostęp.

| 14. | Oprócz powodów skłaniających samych dostawców usług internetowych do wykorzystywania polityki zarządzania ruchem, wdrożeniem takiej polityki mogą też być zainteresowane inne podmioty. Jeżeli dostawcy usług internetowych będą zarządzać swoimi sieciami i dokonywać inspekcji treści przepływających przez ich urządzenia, wzrośnie prawdopodobnie ich zdolność do wykrywania domniemanego wykorzystania sieci niezgodnie z prawem, np. naruszania praw autorskich lub rozpowszechniania pornografii. |
| --- | --- |

14.

Oprócz powodów skłaniających samych dostawców usług internetowych do wykorzystywania polityki zarządzania ruchem, wdrożeniem takiej polityki mogą też być zainteresowane inne podmioty. Jeżeli dostawcy usług internetowych będą zarządzać swoimi sieciami i dokonywać inspekcji treści przepływających przez ich urządzenia, wzrośnie prawdopodobnie ich zdolność do wykrywania domniemanego wykorzystania sieci niezgodnie z prawem, np. naruszania praw autorskich lub rozpowszechniania pornografii.

Inne interesy, w tym ochrona danych i prywatność

| 15. | Opisana powyżej tendencja wywołała debatę na temat legalności tego rodzaju praktyk, a zwłaszcza tego, czy w prawie należy bardziej szczegółowo określić obowiązki związane z neutralnością sieci. |
| --- | --- |

15.

Opisana powyżej tendencja wywołała debatę na temat legalności tego rodzaju praktyk, a zwłaszcza tego, czy w prawie należy bardziej szczegółowo określić obowiązki związane z neutralnością sieci.

| 16. | Coraz częstsze wykorzystywanie polityki zarządzania ruchem przez dostawców usług internetowych mogłoby ograniczyć dostęp do informacji. Gdyby takie praktyki stały się powszechne i użytkownicy nie mieliby możliwości dostępu do całego Internetu w jego obecnej postaci (lub byłoby to bardzo kosztowne), zagrażałoby to dostępowi do informacji oraz zdolności użytkowników do wysyłania i otrzymywania wybranych przez siebie treści przy użyciu wybranych przez siebie aplikacji lub usług. Tego problemu mogłaby pozwolić uniknąć wiążąca prawnie zasada neutralności sieci. |
| --- | --- |

16.

Coraz częstsze wykorzystywanie polityki zarządzania ruchem przez dostawców usług internetowych mogłoby ograniczyć dostęp do informacji. Gdyby takie praktyki stały się powszechne i użytkownicy nie mieliby możliwości dostępu do całego Internetu w jego obecnej postaci (lub byłoby to bardzo kosztowne), zagrażałoby to dostępowi do informacji oraz zdolności użytkowników do wysyłania i otrzymywania wybranych przez siebie treści przy użyciu wybranych przez siebie aplikacji lub usług. Tego problemu mogłaby pozwolić uniknąć wiążąca prawnie zasada neutralności sieci.

| 17. | Tutaj pojawiają się implikacje zarządzania ruchem przez dostawców usług internetowych z punktu widzenia ochrony danych i prywatności. W szczególności:






  — | gdy dostawcy usług internetowych przetwarzają dane o ruchu wyłącznie w celu skierowania przepływu informacji od nadawcy do odbiorcy, generalnie przetwarzają dane w ograniczonym zakresie (11). Podobnie jak poczta przetwarza informacje podane na kopercie listu, dostawca usług internetowych przetwarza informacje niezbędne w celu skierowania wiadomości do odbiorcy. Nie jest to sprzeczne z wymogami prawnymi ochrony danych, prywatności i poufności komunikacji, |
| --- | --- | --- |

17.

Tutaj pojawiają się implikacje zarządzania ruchem przez dostawców usług internetowych z punktu widzenia ochrony danych i prywatności. W szczególności:

—

gdy dostawcy usług internetowych przetwarzają dane o ruchu wyłącznie w celu skierowania przepływu informacji od nadawcy do odbiorcy, generalnie przetwarzają dane w ograniczonym zakresie (11). Podobnie jak poczta przetwarza informacje podane na kopercie listu, dostawca usług internetowych przetwarza informacje niezbędne w celu skierowania wiadomości do odbiorcy. Nie jest to sprzeczne z wymogami prawnymi ochrony danych, prywatności i poufności komunikacji,

| — | gdy jednak dostawcy usług internetowych dokonują inspekcji danych o komunikacji w celu rozróżnienia poszczególnych strumieni komunikacji i zastosowania konkretnej polityki, która może być niekorzystna z punktu widzenia osób fizycznych, implikacje są bardziej znaczące. Zależnie od okoliczności w danym przypadku i od rodzaju dokonywanej analizy przetwarzanie może wyraźnie naruszać prywatność oraz ingerować w dane osobowe osób fizycznych. Jest to bardziej oczywiste, gdy polityka zarządzania prowadzi do ujawnienia treści komunikacji internetowej osób fizycznych, w tym wysłanych i otrzymanych wiadomości e-mail, odwiedzonych stron internetowych, pobranych lub przesłanych plików itp. |
| --- | --- |

—

gdy jednak dostawcy usług internetowych dokonują inspekcji danych o komunikacji w celu rozróżnienia poszczególnych strumieni komunikacji i zastosowania konkretnej polityki, która może być niekorzystna z punktu widzenia osób fizycznych, implikacje są bardziej znaczące. Zależnie od okoliczności w danym przypadku i od rodzaju dokonywanej analizy przetwarzanie może wyraźnie naruszać prywatność oraz ingerować w dane osobowe osób fizycznych. Jest to bardziej oczywiste, gdy polityka zarządzania prowadzi do ujawnienia treści komunikacji internetowej osób fizycznych, w tym wysłanych i otrzymanych wiadomości e-mail, odwiedzonych stron internetowych, pobranych lub przesłanych plików itp.

III.   PRZEGLĄD RAM PRAWNYCH UE DOTYCZĄCYCH NEUTRALNOŚCI SIECI ORAZ EWOLUCJI POLITYKI

III.1.   Ramy prawne w skrócie

| 18. | Do 2009 r. w instrumentach ustawodawczych UE brakowało przepisów wyraźnie zabraniających dostawcom usług internetowych filtrowania lub blokowania lub też naliczania abonentom dodatkowych opłat za dostęp do usług. Nie było w nich zarazem przepisów wyraźnie uznających istnienie takich praktyk. Sytuacja była do pewnego stopnia niepewna. |
| --- | --- |

18.

Do 2009 r. w instrumentach ustawodawczych UE brakowało przepisów wyraźnie zabraniających dostawcom usług internetowych filtrowania lub blokowania lub też naliczania abonentom dodatkowych opłat za dostęp do usług. Nie było w nich zarazem przepisów wyraźnie uznających istnienie takich praktyk. Sytuacja była do pewnego stopnia niepewna.

| 19. | Pakiet telekomunikacyjny z 2009 r. zmienił to, wprowadzając przepisy sprzyjające otwartości Internetu. Na przykład w art. 8 ust. 4 wspólnych ram regulacyjnych sieci i usług łączności elektronicznej („dyrektywa ramowa”) na organy regulacyjne nakłada się obowiązek wspierania zdolności użytkowników końcowych do dostępu do informacji oraz korzystania z dowolnych aplikacji i usług (12). Przepis ten dotyczy całości sieci, nie zaś poszczególnych dostawców usług. W niedawnym projekcie konkluzji Rady również podkreślono potrzebę zachowania otwartości Internetu (13). |
| --- | --- |

19.

Pakiet telekomunikacyjny z 2009 r. zmienił to, wprowadzając przepisy sprzyjające otwartości Internetu. Na przykład w art. 8 ust. 4 wspólnych ram regulacyjnych sieci i usług łączności elektronicznej („dyrektywa ramowa”) na organy regulacyjne nakłada się obowiązek wspierania zdolności użytkowników końcowych do dostępu do informacji oraz korzystania z dowolnych aplikacji i usług (12). Przepis ten dotyczy całości sieci, nie zaś poszczególnych dostawców usług. W niedawnym projekcie konkluzji Rady również podkreślono potrzebę zachowania otwartości Internetu (13).

| 20. | Dyrektywa o usłudze powszechnej (14) określa bardziej konkretne obowiązki. W art. 20 i 21 ustanowiono wymogi dotyczące przejrzystości w odniesieniu do ograniczeń dostępu do usług i aplikacji lub korzystania z nich. Wprowadzono też wymóg minimalnego poziomu jakości usług. |
| --- | --- |

20.

Dyrektywa o usłudze powszechnej (14) określa bardziej konkretne obowiązki. W art. 20 i 21 ustanowiono wymogi dotyczące przejrzystości w odniesieniu do ograniczeń dostępu do usług i aplikacji lub korzystania z nich. Wprowadzono też wymóg minimalnego poziomu jakości usług.

| 21. | W odniesieniu do praktyk dostawców usług internetowych związanych z inspekcją komunikacji między osobami fizycznymi, w motywie 28 dyrektywy zmieniającej dyrektywę o usłudze powszechnej i dyrektywę o prywatności i łączności elektronicznej (15) podkreślono: „w zależności od zastosowanej technologii i rodzaju ograniczenia, takie ograniczenia mogą wymagać zgody użytkownika zgodnie z dyrektywą 2002/58/WE (dyrektywa o prywatności i łączności elektronicznej)”. Tak więc w motywie 28 przypomina się o potrzebie zgody na podstawie art. 5 ust. 1 dyrektywy o prywatności i łączności elektronicznej na wszelkie ograniczenia oparte na monitorowaniu komunikacji. W sekcji IV poniżej przeanalizowano zastosowanie art. 5 ust. 1 oraz ogólnych ram prawnych dotyczących ochrony danych i prywatności. |
| --- | --- |

21.

W odniesieniu do praktyk dostawców usług internetowych związanych z inspekcją komunikacji między osobami fizycznymi, w motywie 28 dyrektywy zmieniającej dyrektywę o usłudze powszechnej i dyrektywę o prywatności i łączności elektronicznej (15) podkreślono: „w zależności od zastosowanej technologii i rodzaju ograniczenia, takie ograniczenia mogą wymagać zgody użytkownika zgodnie z dyrektywą 2002/58/WE (dyrektywa o prywatności i łączności elektronicznej)”. Tak więc w motywie 28 przypomina się o potrzebie zgody na podstawie art. 5 ust. 1 dyrektywy o prywatności i łączności elektronicznej na wszelkie ograniczenia oparte na monitorowaniu komunikacji. W sekcji IV poniżej przeanalizowano zastosowanie art. 5 ust. 1 oraz ogólnych ram prawnych dotyczących ochrony danych i prywatności.

| 22. | Wreszcie, w art. 22 ust. 3 dyrektywy o usłudze powszechnej przyznano krajowym organom regulacyjnym uprawnienia do nałożenia w razie potrzeby na dostawców usług internetowych minimalnych wymogów w zakresie jakości usług, aby zapobiec pogorszeniu się jakości usług oraz utrudnieniom lub spowolnieniom ruchu w sieciach publicznych. |
| --- | --- |

22.

Wreszcie, w art. 22 ust. 3 dyrektywy o usłudze powszechnej przyznano krajowym organom regulacyjnym uprawnienia do nałożenia w razie potrzeby na dostawców usług internetowych minimalnych wymogów w zakresie jakości usług, aby zapobiec pogorszeniu się jakości usług oraz utrudnieniom lub spowolnieniom ruchu w sieciach publicznych.

| 23. | Powyższe oznacza, że ogólną aspiracją na szczeblu UE jest otwarty Internet (zob. art. 8 ust. 4 dyrektywy ramowej). Ten cel polityczny, który dotyczy sieci jako całości, nie wiąże się jednak bezpośrednio z zakazami wobec poszczególnych dostawców usług internetowych ani z nakładanymi na nich obowiązkami. Innymi słowy, dostawca usług internetowych może wdrożyć politykę zarządzania siecią, w ramach której może wyłączyć dostęp do pewnych aplikacji, pod warunkiem, że użytkownicy końcowi uzyskali pełne informacje oraz wyrazili swoją zgodę w dobrowolny, konkretny i jednoznaczny sposób. |
| --- | --- |

23.

Powyższe oznacza, że ogólną aspiracją na szczeblu UE jest otwarty Internet (zob. art. 8 ust. 4 dyrektywy ramowej). Ten cel polityczny, który dotyczy sieci jako całości, nie wiąże się jednak bezpośrednio z zakazami wobec poszczególnych dostawców usług internetowych ani z nakładanymi na nich obowiązkami. Innymi słowy, dostawca usług internetowych może wdrożyć politykę zarządzania siecią, w ramach której może wyłączyć dostęp do pewnych aplikacji, pod warunkiem, że użytkownicy końcowi uzyskali pełne informacje oraz wyrazili swoją zgodę w dobrowolny, konkretny i jednoznaczny sposób.

| 24. | Sytuacja może się różnić w poszczególnych państwach członkowskich. W niektórych państwach członkowskich dostawcy usług internetowych mogą pod pewnymi warunkami wdrażać politykę zarządzania ruchem, na przykład blokować aplikacje takie jak telefonia internetowa (w ramach tańszego abonamentu internetowego) pod warunkiem, że osoby fizyczne wyraziły na to dobrowolną, konkretną i jednoznaczną, świadomą zgodę. Inne państwa członkowskie zdecydowały się wzmocnić zasadę neutralności sieci. Na przykład w lipcu 2011 r. holenderski parlament uchwalił ustawę ogólnie zabraniającą dostawcom utrudniania lub spowalniania działania aplikacji lub usług w Internecie (takich jak telefonia internetowa), chyba że jest to niezbędne, aby zminimalizować zatory, z powodów związanych z integralnością danych lub bezpieczeństwem, w celu walki ze spamem lub zgodnie z nakazem sądowym (16). |
| --- | --- |

24.

Sytuacja może się różnić w poszczególnych państwach członkowskich. W niektórych państwach członkowskich dostawcy usług internetowych mogą pod pewnymi warunkami wdrażać politykę zarządzania ruchem, na przykład blokować aplikacje takie jak telefonia internetowa (w ramach tańszego abonamentu internetowego) pod warunkiem, że osoby fizyczne wyraziły na to dobrowolną, konkretną i jednoznaczną, świadomą zgodę. Inne państwa członkowskie zdecydowały się wzmocnić zasadę neutralności sieci. Na przykład w lipcu 2011 r. holenderski parlament uchwalił ustawę ogólnie zabraniającą dostawcom utrudniania lub spowalniania działania aplikacji lub usług w Internecie (takich jak telefonia internetowa), chyba że jest to niezbędne, aby zminimalizować zatory, z powodów związanych z integralnością danych lub bezpieczeństwem, w celu walki ze spamem lub zgodnie z nakazem sądowym (16).

III.2.   Komunikat w sprawie neutralności sieci

| 25. | W swoim komunikacie w sprawie neutralności sieci (17) Komisja Europejska stwierdziła, że sytuacja w dziedzinie neutralności sieci wymaga monitorowania i dalszej analizy. Jej politykę określa się jako polegającą na „czekaniu i obserwowaniu” przed rozważeniem dalszych kroków regulacyjnych. |
| --- | --- |

25.

W swoim komunikacie w sprawie neutralności sieci (17) Komisja Europejska stwierdziła, że sytuacja w dziedzinie neutralności sieci wymaga monitorowania i dalszej analizy. Jej politykę określa się jako polegającą na „czekaniu i obserwowaniu” przed rozważeniem dalszych kroków regulacyjnych.

| 26. | W komunikacie Komisji stwierdza się, że wszelkie środki i dalsze kroki regulacyjne będą podlegać dogłębnej ocenie pod kątem ochrony danych oraz prywatności. W projekcie konkluzji Rady również odnotowano zagadnienia związane z ochroną danych i prywatnością (18). |
| --- | --- |

26.

W komunikacie Komisji stwierdza się, że wszelkie środki i dalsze kroki regulacyjne będą podlegać dogłębnej ocenie pod kątem ochrony danych oraz prywatności. W projekcie konkluzji Rady również odnotowano zagadnienia związane z ochroną danych i prywatnością (18).

| 27. | Z punktu widzenia ochrony danych i prywatności należy zadać sobie pytanie, czy polityka polegająca na czekaniu i obserwowaniu jest wystarczająca. Chociaż w obecnych ramach ochrony danych i prywatności przewidziano pewne zabezpieczenia, zwłaszcza wynikające z zasady poufności komunikacji, niezbędne wydaje się ścisłe monitorowanie przestrzegania przepisów oraz wydanie wytycznych co do kilku kwestii, które nie są w pełni jasne. Ponadto należy przedstawić pewne przemyślenia co do tego, w jaki sposób można wyjaśnić i dodatkowo udoskonalić te ramy w świetle rozwoju techniki. Jeżeli monitorowanie ujawni, że rynek ewoluuje w kierunku masowej inspekcji komunikacji w czasie rzeczywistym i występują problemy z przestrzeganiem ram, niezbędne okażą się środki ustawodawcze. Konkretne sugestie ich dotyczące zamieszczono w sekcji VI. |
| --- | --- |

27.

Z punktu widzenia ochrony danych i prywatności należy zadać sobie pytanie, czy polityka polegająca na czekaniu i obserwowaniu jest wystarczająca. Chociaż w obecnych ramach ochrony danych i prywatności przewidziano pewne zabezpieczenia, zwłaszcza wynikające z zasady poufności komunikacji, niezbędne wydaje się ścisłe monitorowanie przestrzegania przepisów oraz wydanie wytycznych co do kilku kwestii, które nie są w pełni jasne. Ponadto należy przedstawić pewne przemyślenia co do tego, w jaki sposób można wyjaśnić i dodatkowo udoskonalić te ramy w świetle rozwoju techniki. Jeżeli monitorowanie ujawni, że rynek ewoluuje w kierunku masowej inspekcji komunikacji w czasie rzeczywistym i występują problemy z przestrzeganiem ram, niezbędne okażą się środki ustawodawcze. Konkretne sugestie ich dotyczące zamieszczono w sekcji VI.

IV.   UWARUNKOWANIA TECHNICZNE ORAZ ZWIĄZANE Z NIMI IMPLIKACJE DLA PRYWATNOŚCI I OCHRONY DANYCH

| 28. | Przed dalszym zagłębieniem się w temat trzeba uważniej przyjrzeć się technikom inspekcji, jakie mogą stosować dostawcy usług internetowych w celu zarządzania ruchem, i temu, jak może to wpłynąć na zasadę neutralności sieci. Implikacje takich technik dla prywatności i ochrony danych znacząco się różnią w zależności od tego, która technika lub techniki są wykorzystywane. Poniższe informacje techniczne są niezbędne w celu zrozumienia i prawidłowego stosowania ram prawnych ochrony danych opisanych w sekcji V. Należy jednak zaznaczyć, że jest to obszar złożony i ulegający nieustannym zmianom. Dlatego też poniższy opis nie został stworzony z założeniem, że będzie przedstawiał wyczerpujący i w pełni aktualny stan rzeczy, ma on jedynie dostarczyć informacji technicznych niezbędnych w celu zrozumienia argumentacji prawnej. |
| --- | --- |

28.

Przed dalszym zagłębieniem się w temat trzeba uważniej przyjrzeć się technikom inspekcji, jakie mogą stosować dostawcy usług internetowych w celu zarządzania ruchem, i temu, jak może to wpłynąć na zasadę neutralności sieci. Implikacje takich technik dla prywatności i ochrony danych znacząco się różnią w zależności od tego, która technika lub techniki są wykorzystywane. Poniższe informacje techniczne są niezbędne w celu zrozumienia i prawidłowego stosowania ram prawnych ochrony danych opisanych w sekcji V. Należy jednak zaznaczyć, że jest to obszar złożony i ulegający nieustannym zmianom. Dlatego też poniższy opis nie został stworzony z założeniem, że będzie przedstawiał wyczerpujący i w pełni aktualny stan rzeczy, ma on jedynie dostarczyć informacji technicznych niezbędnych w celu zrozumienia argumentacji prawnej.

IV.1.   Przesyłanie informacji przez Internet: podstawy

| 29. | Gdy użytkownik przesyła wiadomość przez Internet, przesyłane informacje są dzielone na pakiety. Pakiety te są przesyłane przez Internet od nadawcy do odbiorcy. Każdy pakiet zawiera między innymi informacje o swoim źródle i miejscu przeznaczenia. Ponadto dostawcy usług internetowych mogą obudowywać pakiety dodatkowymi warstwami i protokołami (19) wykorzystywanymi w celu zarządzania poszczególnymi strumieniami ruchu w sieci danego dostawcy usług. |
| --- | --- |

29.

Gdy użytkownik przesyła wiadomość przez Internet, przesyłane informacje są dzielone na pakiety. Pakiety te są przesyłane przez Internet od nadawcy do odbiorcy. Każdy pakiet zawiera między innymi informacje o swoim źródle i miejscu przeznaczenia. Ponadto dostawcy usług internetowych mogą obudowywać pakiety dodatkowymi warstwami i protokołami (19) wykorzystywanymi w celu zarządzania poszczególnymi strumieniami ruchu w sieci danego dostawcy usług.

| 30. | Wracając do analogii z listem, korzystanie z protokołu służącego przesyłaniu informacji w sieci jest równoznaczne z włożeniem listu do koperty zaadresowanej w widoczny dla poczty sposób, a następnie z przekazaniem go poczcie do doręczenia. Poczta może w wewnętrznym obiegu używać dodatkowych protokołów w celu zarządzania wszystkimi przesyłanymi kopertami – celem jest, aby każda koperta dotarła do miejsca przeznaczenia zgodnie z pierwotnym zamiarem nadawcy. Posługując się tą analogią, każdy pakiet składa się z dwóch części – jedną jest ładunek IP, który zawiera treść wiadomości i stanowi odpowiednik listu. Zawiera on informacje skierowane jedynie do odbiorcy. Drugą częścią pakietu jest nagłówek IP, który zawiera między innymi adres nadawcy i odbiorcy, stanowiąc odpowiednik koperty. Nagłówek IP pozwala dostawcom usług internetowych i innym pośrednikom przesłać ładunek z adresu źródłowego pod adres docelowy. |
| --- | --- |

30.

Wracając do analogii z listem, korzystanie z protokołu służącego przesyłaniu informacji w sieci jest równoznaczne z włożeniem listu do koperty zaadresowanej w widoczny dla poczty sposób, a następnie z przekazaniem go poczcie do doręczenia. Poczta może w wewnętrznym obiegu używać dodatkowych protokołów w celu zarządzania wszystkimi przesyłanymi kopertami – celem jest, aby każda koperta dotarła do miejsca przeznaczenia zgodnie z pierwotnym zamiarem nadawcy. Posługując się tą analogią, każdy pakiet składa się z dwóch części – jedną jest ładunek IP, który zawiera treść wiadomości i stanowi odpowiednik listu. Zawiera on informacje skierowane jedynie do odbiorcy. Drugą częścią pakietu jest nagłówek IP, który zawiera między innymi adres nadawcy i odbiorcy, stanowiąc odpowiednik koperty. Nagłówek IP pozwala dostawcom usług internetowych i innym pośrednikom przesłać ładunek z adresu źródłowego pod adres docelowy.

| 31. | Dostawcy usług internetowych i inni pośrednicy dbają o to, aby pakiety IP przepływały w sieci między węzłami, które odczytują informacje zawarte w nagłówkach IP, porównują je z tablicami trasowania, a następnie przesyłają pakiet do kolejnego węzła na drodze do jego miejsca przeznaczenia. Proces ten jest dokonywany w sieci przy wykorzystaniu podejścia opartego na zapewnieniu najwyższej możliwej jakości (ang. best effort) bez przechowywania danych (ang. memoryless) – wszystkie pakiety docierające do węzła są traktowane w neutralny sposób. Po przesłaniu ich do następnego węzła nie ma potrzeby zachowywania informacji o nich w routerze (20). |
| --- | --- |

31.

Dostawcy usług internetowych i inni pośrednicy dbają o to, aby pakiety IP przepływały w sieci między węzłami, które odczytują informacje zawarte w nagłówkach IP, porównują je z tablicami trasowania, a następnie przesyłają pakiet do kolejnego węzła na drodze do jego miejsca przeznaczenia. Proces ten jest dokonywany w sieci przy wykorzystaniu podejścia opartego na zapewnieniu najwyższej możliwej jakości (ang. best effort) bez przechowywania danych (ang. memoryless) – wszystkie pakiety docierające do węzła są traktowane w neutralny sposób. Po przesłaniu ich do następnego węzła nie ma potrzeby zachowywania informacji o nich w routerze (20).

IV.2.   Techniki inspekcji

| 32. | Jak wskazano powyżej, dostawcy usług internetowych odczytują nagłówki IP, aby kierować pakiety do miejsca przeznaczenia. Jak jednak wspomniano, analiza ruchu (obejmująca nagłówki i ładunek IP) może być dokonywana w innych celach przy użyciu odmiennych technologii. Nowe podejście może wiązać się np. ze spowalnianiem pewnych aplikacji wykorzystywanych przez użytkowników, takich jak P2P, lub też przyspieszaniem ruchu w odniesieniu do pewnych usług takich jak wideo na żądanie dla wnoszących opłaty za to abonentów. Chociaż wszystkie techniki inspekcji polegają formalnie na inspekcji pakietów, wiążą się z różnym stopniem naruszenia prywatności. Istnieją dwie podstawowe kategorie technik inspekcji. Pierwsze bazują tylko na nagłówku IP, drugie natomiast również na ładunku IP.

  Techniki bazujące na informacjach zawartych w nagłówku IP. Inspekcja nagłówka pakietu IP ujawnia pewne pola, które mogą pozwolić dostawcom usług internetowych wdrożyć niektóre rodzaje polityki zarządzania ruchem. Te techniki, oparte wyłącznie na inspekcji nagłówków IP, polegają na przetworzeniu danych, które są w zasadzie przeznaczone do trasowania informacji, w innym celu (tj. rozróżniania ruchu). Badając adres źródłowy IP, dostawca usług internetowych może powiązać go z konkretnym abonentem i zastosować konkretną politykę, na przykład polegającą na skierowaniu pakietu szybszym lub wolniejszym łączem. Badając adres docelowy IP, dostawca usług internetowych też może zastosować konkretną politykę, na przykład blokując lub filtrując dostęp do pewnych stron internetowych.

  Techniki bazujące na głębszej inspekcji. Głęboka inspekcja pakietów pozwala dostawcy usług internetowych uzyskać dostęp do informacji skierowanych wyłącznie do odbiorcy wiadomości. Wracając do przykładu pocztowego, podejście to jest równoważne otwarciu koperty i przeczytaniu znajdującego się wewnątrz listu w celu dokonania analizy treści wiadomości (zawartej w pakietach IP), aby zastosować konkretną politykę sieciową. Istnieją różne sposoby dokonywania inspekcji, z których każdy wiąże się z innymi zagrożeniami dla osoby, której dane dotyczą.






  — | Głęboka inspekcja pakietów oparta na analizie protokołów i danych statystycznych. Oprócz protokołu IP, którego celem jest umożliwienie przesyłania danych przez Internet, istnieją dodatkowe protokoły (warstwy transportowej, sesji, prezentacji i aplikacji itp.), które służą zakodowaniu przesyłanych informacji w uzgodniony sposób. Celem tych protokołów jest zapewnienie wzajemnego zrozumienia między stronami komunikacji. Istnieją na przykład protokoły związane z przeglądaniem stron internetowych (21), inne zaś służą przesyłaniu plików (22) itp. W związku z tym celem technik inspekcji opartych na badaniu protokołów w połączeniu z analizą statystyczną jest określenie pewnych wzorców lub „odcisków palca” pozwalających stwierdzić, o jaki protokół chodzi (23). Te techniki inspekcji pozwalają dostawcom usług internetowych zidentyfikować rodzaj komunikacji (e-mail, przeglądanie sieci, przesyłanie plików), a w pewnych przypadkach zidentyfikować wykorzystywaną usługę lub aplikację, jak w przypadku niektórych rodzajów telefonii internetowej, gdzie wykorzystywane protokoły bardzo wyraźnie identyfikują konkretnego sprzedawcę lub dostawcę usług. Już sama wiedza o rodzaju komunikacji może umożliwić dostawcom usług internetowych stosowanie konkretnych rodzajów polityki zarządzania ruchem – na przykład zablokowanie ruchu WWW. Może ona też być pierwszym krokiem umożliwiającym dostawcy usług internetowych przeprowadzenie dalszej analizy, potencjalnie wymagającej pełnego dostępu do metadanych i treści wiadomości. |
| --- | --- | --- |

32.

Jak wskazano powyżej, dostawcy usług internetowych odczytują nagłówki IP, aby kierować pakiety do miejsca przeznaczenia. Jak jednak wspomniano, analiza ruchu (obejmująca nagłówki i ładunek IP) może być dokonywana w innych celach przy użyciu odmiennych technologii. Nowe podejście może wiązać się np. ze spowalnianiem pewnych aplikacji wykorzystywanych przez użytkowników, takich jak P2P, lub też przyspieszaniem ruchu w odniesieniu do pewnych usług takich jak wideo na żądanie dla wnoszących opłaty za to abonentów. Chociaż wszystkie techniki inspekcji polegają formalnie na inspekcji pakietów, wiążą się z różnym stopniem naruszenia prywatności. Istnieją dwie podstawowe kategorie technik inspekcji. Pierwsze bazują tylko na nagłówku IP, drugie natomiast również na ładunku IP.

Techniki bazujące na informacjach zawartych w nagłówku IP. Inspekcja nagłówka pakietu IP ujawnia pewne pola, które mogą pozwolić dostawcom usług internetowych wdrożyć niektóre rodzaje polityki zarządzania ruchem. Te techniki, oparte wyłącznie na inspekcji nagłówków IP, polegają na przetworzeniu danych, które są w zasadzie przeznaczone do trasowania informacji, w innym celu (tj. rozróżniania ruchu). Badając adres źródłowy IP, dostawca usług internetowych może powiązać go z konkretnym abonentem i zastosować konkretną politykę, na przykład polegającą na skierowaniu pakietu szybszym lub wolniejszym łączem. Badając adres docelowy IP, dostawca usług internetowych też może zastosować konkretną politykę, na przykład blokując lub filtrując dostęp do pewnych stron internetowych.

Techniki bazujące na głębszej inspekcji. Głęboka inspekcja pakietów pozwala dostawcy usług internetowych uzyskać dostęp do informacji skierowanych wyłącznie do odbiorcy wiadomości. Wracając do przykładu pocztowego, podejście to jest równoważne otwarciu koperty i przeczytaniu znajdującego się wewnątrz listu w celu dokonania analizy treści wiadomości (zawartej w pakietach IP), aby zastosować konkretną politykę sieciową. Istnieją różne sposoby dokonywania inspekcji, z których każdy wiąże się z innymi zagrożeniami dla osoby, której dane dotyczą.

—

Głęboka inspekcja pakietów oparta na analizie protokołów i danych statystycznych. Oprócz protokołu IP, którego celem jest umożliwienie przesyłania danych przez Internet, istnieją dodatkowe protokoły (warstwy transportowej, sesji, prezentacji i aplikacji itp.), które służą zakodowaniu przesyłanych informacji w uzgodniony sposób. Celem tych protokołów jest zapewnienie wzajemnego zrozumienia między stronami komunikacji. Istnieją na przykład protokoły związane z przeglądaniem stron internetowych (21), inne zaś służą przesyłaniu plików (22) itp. W związku z tym celem technik inspekcji opartych na badaniu protokołów w połączeniu z analizą statystyczną jest określenie pewnych wzorców lub „odcisków palca” pozwalających stwierdzić, o jaki protokół chodzi (23). Te techniki inspekcji pozwalają dostawcom usług internetowych zidentyfikować rodzaj komunikacji (e-mail, przeglądanie sieci, przesyłanie plików), a w pewnych przypadkach zidentyfikować wykorzystywaną usługę lub aplikację, jak w przypadku niektórych rodzajów telefonii internetowej, gdzie wykorzystywane protokoły bardzo wyraźnie identyfikują konkretnego sprzedawcę lub dostawcę usług. Już sama wiedza o rodzaju komunikacji może umożliwić dostawcom usług internetowych stosowanie konkretnych rodzajów polityki zarządzania ruchem – na przykład zablokowanie ruchu WWW. Może ona też być pierwszym krokiem umożliwiającym dostawcy usług internetowych przeprowadzenie dalszej analizy, potencjalnie wymagającej pełnego dostępu do metadanych i treści wiadomości.

| — | Głęboka inspekcja pakietów oparta na analizie treści wiadomości. Wreszcie, możliwa jest też inspekcja metadanych (24) oraz treści samej wiadomości. Technika ta polega na przechwyceniu wszystkich pakietów IP składających się na pierwotny strumień komunikacji w celu pełnej rekonstrukcji i analizy pierwotnej treści wiadomości. Na przykład w celu wykrycia szkodliwej lub nielegalnej treści takiej jak wirusy czy pornografia dziecięca niezbędna jest rekonstrukcja samej treści w celu jej analizy. Należy zauważyć, że czasem przesyłana wiadomość może być zaszyfrowana przez strony komunikacji między punktem początkowym i końcowym, co utrudnia dostawcom usług internetowych dokonanie analizy treści wiadomości. |
| --- | --- |

—

Głęboka inspekcja pakietów oparta na analizie treści wiadomości. Wreszcie, możliwa jest też inspekcja metadanych (24) oraz treści samej wiadomości. Technika ta polega na przechwyceniu wszystkich pakietów IP składających się na pierwotny strumień komunikacji w celu pełnej rekonstrukcji i analizy pierwotnej treści wiadomości. Na przykład w celu wykrycia szkodliwej lub nielegalnej treści takiej jak wirusy czy pornografia dziecięca niezbędna jest rekonstrukcja samej treści w celu jej analizy. Należy zauważyć, że czasem przesyłana wiadomość może być zaszyfrowana przez strony komunikacji między punktem początkowym i końcowym, co utrudnia dostawcom usług internetowych dokonanie analizy treści wiadomości.

IV.3.   Implikacje dla prywatności i ochrony danych

| 33. | Techniki inspekcji oparte na nagłówkach IP, a w szczególności oparte na inspekcji pakietów wiążą się z monitorowaniem i filtrowaniem danych oraz mają poważne implikacje z punktu widzenia prywatności i ochrony danych. Mogą również być nie do pogodzenia z prawem do poufności komunikacji. |
| --- | --- |

33.

Techniki inspekcji oparte na nagłówkach IP, a w szczególności oparte na inspekcji pakietów wiążą się z monitorowaniem i filtrowaniem danych oraz mają poważne implikacje z punktu widzenia prywatności i ochrony danych. Mogą również być nie do pogodzenia z prawem do poufności komunikacji.

| 34. | Wgląd do komunikacji osób fizycznych ma sam w sobie poważne implikacje z punktu widzenia prywatności i ochrony danych. Problem ten ma jednak charakter ogólniejszy, gdyż zależnie od celów, jakim służą monitorowanie i przechwytywanie danych, implikacje z punktu widzenia prywatności mogą być jeszcze większe. Inspekcja komunikacji jedynie w celu zapewnienia prawidłowego funkcjonowania systemu nie jest bowiem tym samym co inspekcja komunikacji w celu wdrożenia polityki mogącej mieć wpływ na osoby fizyczne. Gdy polityka związana z ruchem i selekcją ma na celu tylko uniknięcie zatorów sieciowych, zazwyczaj nie ma to większych implikacji z punktu widzenia prywatności osób fizycznych. Polityka zarządzania ruchem może jednak służyć blokowaniu pewnych treści lub wpływaniu na komunikację, np. przez stosowanie reklamy behawioralnej. W tych przypadkach naruszenie prywatności jest głębsze. Sytuacja staje się poważniejsza, gdy zdamy sobie sprawę, że takie informacje byłyby gromadzone nie w odniesieniu do niewielkiej grupy osób, ale w sposób uogólniony, w odniesieniu do wszystkich klientów dostawców usług internetowych (25). Jeżeli wszyscy dostawcy usług internetowych będą stosować techniki filtrowania, może to doprowadzić do ogólnego monitorowania wykorzystania Internetu. Ponadto, jeżeli skupimy się na rodzaju przetwarzanych informacji, ryzyko dla prywatności jest oczywiście poważne, gdyż znaczna część gromadzonych informacji będzie prawdopodobnie bardzo wrażliwa, a po zgromadzeniu staną się one dostępne dla dostawców usług internetowych i podmiotów pozyskujących od nich informacje. Ponadto informacje te mogą również być bardzo wartościowe z handlowego punktu widzenia. Już sam ten fakt skutkuje dużym ryzykiem rozrastania się funkcji systemu – pierwotny cel może łatwo przekształcić się w komercyjne lub inne wykorzystanie zgromadzonych informacji. |
| --- | --- |

34.

Wgląd do komunikacji osób fizycznych ma sam w sobie poważne implikacje z punktu widzenia prywatności i ochrony danych. Problem ten ma jednak charakter ogólniejszy, gdyż zależnie od celów, jakim służą monitorowanie i przechwytywanie danych, implikacje z punktu widzenia prywatności mogą być jeszcze większe. Inspekcja komunikacji jedynie w celu zapewnienia prawidłowego funkcjonowania systemu nie jest bowiem tym samym co inspekcja komunikacji w celu wdrożenia polityki mogącej mieć wpływ na osoby fizyczne. Gdy polityka związana z ruchem i selekcją ma na celu tylko uniknięcie zatorów sieciowych, zazwyczaj nie ma to większych implikacji z punktu widzenia prywatności osób fizycznych. Polityka zarządzania ruchem może jednak służyć blokowaniu pewnych treści lub wpływaniu na komunikację, np. przez stosowanie reklamy behawioralnej. W tych przypadkach naruszenie prywatności jest głębsze. Sytuacja staje się poważniejsza, gdy zdamy sobie sprawę, że takie informacje byłyby gromadzone nie w odniesieniu do niewielkiej grupy osób, ale w sposób uogólniony, w odniesieniu do wszystkich klientów dostawców usług internetowych (25). Jeżeli wszyscy dostawcy usług internetowych będą stosować techniki filtrowania, może to doprowadzić do ogólnego monitorowania wykorzystania Internetu. Ponadto, jeżeli skupimy się na rodzaju przetwarzanych informacji, ryzyko dla prywatności jest oczywiście poważne, gdyż znaczna część gromadzonych informacji będzie prawdopodobnie bardzo wrażliwa, a po zgromadzeniu staną się one dostępne dla dostawców usług internetowych i podmiotów pozyskujących od nich informacje. Ponadto informacje te mogą również być bardzo wartościowe z handlowego punktu widzenia. Już sam ten fakt skutkuje dużym ryzykiem rozrastania się funkcji systemu – pierwotny cel może łatwo przekształcić się w komercyjne lub inne wykorzystanie zgromadzonych informacji.

| 35. | Prawidłowe zastosowanie technik monitorowania, inspekcji i filtrowania musi być zgodne ze stosownymi zabezpieczeniami dotyczącymi ochrony danych i prywatności, w których określono ograniczenia co do dopuszczalnych czynności i okoliczności ich dokonywania. W następnej sekcji dokonano przeglądu stosownych zabezpieczeń na mocy obecnych ram prawnych UE dotyczących prywatności i ochrony danych. |
| --- | --- |

35.

Prawidłowe zastosowanie technik monitorowania, inspekcji i filtrowania musi być zgodne ze stosownymi zabezpieczeniami dotyczącymi ochrony danych i prywatności, w których określono ograniczenia co do dopuszczalnych czynności i okoliczności ich dokonywania. W następnej sekcji dokonano przeglądu stosownych zabezpieczeń na mocy obecnych ram prawnych UE dotyczących prywatności i ochrony danych.

V.   ZASTOSOWANIE RAM PRAWNYCH UE DOTYCZĄCYCH PRYWATNOŚCI I OCHRONY DANYCH

| 36. | Wspólnotowe ramy ochrony danych są neutralne z technologicznego punktu widzenia, nie regulują więc konkretnych technik inspekcji takich jak opisane powyżej. Dyrektywa o prywatności i łączności elektronicznej reguluje kwestie prywatności związane ze świadczeniem usług łączności elektronicznej w sieciach publicznych (zazwyczaj w związku z dostępem do Internetu i telefonią) (26), a dyrektywa o ochronie danych reguluje ogólnie przetwarzanie danych. Jako całość wspomniane ramy prawne ustanawiają różne obowiązki spoczywające na dostawcach usług internetowych, którzy przetwarzają oraz monitorują dane dotyczące ruchu i komunikacji. |
| --- | --- |

36.

Wspólnotowe ramy ochrony danych są neutralne z technologicznego punktu widzenia, nie regulują więc konkretnych technik inspekcji takich jak opisane powyżej. Dyrektywa o prywatności i łączności elektronicznej reguluje kwestie prywatności związane ze świadczeniem usług łączności elektronicznej w sieciach publicznych (zazwyczaj w związku z dostępem do Internetu i telefonią) (26), a dyrektywa o ochronie danych reguluje ogólnie przetwarzanie danych. Jako całość wspomniane ramy prawne ustanawiają różne obowiązki spoczywające na dostawcach usług internetowych, którzy przetwarzają oraz monitorują dane dotyczące ruchu i komunikacji.

V.1.   Podstawy prawne przetwarzania danych dotyczących ruchu i treści

| 37. | Na mocy prawodawstwa o ochronie danych przetwarzanie danych osobowych, jak w tym przypadku przetwarzanie danych dotyczących ruchu i komunikacji, wymaga stosownych podstaw prawnych. Oprócz tego ogólnego wymagania w pewnych przypadkach mogą obowiązywać wymagania szczegółowe. |
| --- | --- |

37.

Na mocy prawodawstwa o ochronie danych przetwarzanie danych osobowych, jak w tym przypadku przetwarzanie danych dotyczących ruchu i komunikacji, wymaga stosownych podstaw prawnych. Oprócz tego ogólnego wymagania w pewnych przypadkach mogą obowiązywać wymagania szczegółowe.

| 38. | W omawianym przypadku dane osobowe przetwarzane przez dostawców usług internetowych to dane o ruchu i treść komunikacji. Zarówno treść komunikacji, jak i dane o ruchu są chronione przez prawo do poufności korespondencji zagwarantowane przez art. 8 EKPC oraz przez art. 7 i 8 Karty. W szczególności w art. 5 ust. 1 dyrektywy o prywatności i łączności elektronicznej, zatytułowanym „Poufność komunikacji”, zobowiązuje się państwa członkowskie do zapewnienia poufności komunikacji i związanych z nią danych o ruchu za pośrednictwem publicznie dostępnej sieci łączności i publicznie dostępnych usług łączności elektronicznej. Jednocześnie w art. 5 ust. 1 dyrektywy o prywatności i łączności elektronicznej wskazuje się, że przetwarzanie danych o ruchu i treści przez dostawców usług internetowych może być w pewnych okolicznościach dozwolone za zgodą użytkowników. Czyni się to, zakazując „słuchania, nagrywania, przechowywania lub innych rodzajów przejęcia lub nadzoru komunikatu i związanych z nim danych o ruchu przez osoby inne niż użytkownicy, bez zgody zainteresowanych użytkowników, z wyjątkiem upoważnienia zgodnego z art. 15 ust. 1”. Poniżej kwestię tę opisano bardziej szczegółowo. |
| --- | --- |

38.

W omawianym przypadku dane osobowe przetwarzane przez dostawców usług internetowych to dane o ruchu i treść komunikacji. Zarówno treść komunikacji, jak i dane o ruchu są chronione przez prawo do poufności korespondencji zagwarantowane przez art. 8 EKPC oraz przez art. 7 i 8 Karty. W szczególności w art. 5 ust. 1 dyrektywy o prywatności i łączności elektronicznej, zatytułowanym „Poufność komunikacji”, zobowiązuje się państwa członkowskie do zapewnienia poufności komunikacji i związanych z nią danych o ruchu za pośrednictwem publicznie dostępnej sieci łączności i publicznie dostępnych usług łączności elektronicznej. Jednocześnie w art. 5 ust. 1 dyrektywy o prywatności i łączności elektronicznej wskazuje się, że przetwarzanie danych o ruchu i treści przez dostawców usług internetowych może być w pewnych okolicznościach dozwolone za zgodą użytkowników. Czyni się to, zakazując „słuchania, nagrywania, przechowywania lub innych rodzajów przejęcia lub nadzoru komunikatu i związanych z nim danych o ruchu przez osoby inne niż użytkownicy, bez zgody zainteresowanych użytkowników, z wyjątkiem upoważnienia zgodnego z art. 15 ust. 1”. Poniżej kwestię tę opisano bardziej szczegółowo.

| 39. | Oprócz zgody zainteresowanych użytkowników w dyrektywie o prywatności i łączności elektronicznej przewidziano inne podstawy legalności przetwarzania danych o ruchu i komunikacji przez dostawców usług internetowych. Stosownymi podstawami prawnymi przetwarzania są w tym przypadku: (i) świadczenie usługi; (ii) zapewnienie bezpieczeństwa usługi oraz (iii) minimalizacja zatorów. W punkcie (iv) poniżej omówiono inne możliwe podstawy legalności polityki zarządzania opartej na danych o ruchu lub komunikacji. |
| --- | --- |

39.

Oprócz zgody zainteresowanych użytkowników w dyrektywie o prywatności i łączności elektronicznej przewidziano inne podstawy legalności przetwarzania danych o ruchu i komunikacji przez dostawców usług internetowych. Stosownymi podstawami prawnymi przetwarzania są w tym przypadku: (i) świadczenie usługi; (ii) zapewnienie bezpieczeństwa usługi oraz (iii) minimalizacja zatorów. W punkcie (iv) poniżej omówiono inne możliwe podstawy legalności polityki zarządzania opartej na danych o ruchu lub komunikacji.

(i)   Podstawy prawne świadczenia usługi

| 40. | Zgodnie z opisem w sekcji IV dostawcy usług internetowych przetwarzają informacje w nagłówkach IP, aby skierować każdy pakiet IP do jego miejsca przeznaczenia. W art. 6 ust. 1 i ust. 2 dyrektywy o prywatności i łączności elektronicznej dopuszczono przetwarzanie danych o ruchu do celów przekazania komunikatu. Tak więc dostawcy usług internetowych mogą przetwarzać informacje niezbędne w celu świadczenia usługi. |
| --- | --- |

40.

Zgodnie z opisem w sekcji IV dostawcy usług internetowych przetwarzają informacje w nagłówkach IP, aby skierować każdy pakiet IP do jego miejsca przeznaczenia. W art. 6 ust. 1 i ust. 2 dyrektywy o prywatności i łączności elektronicznej dopuszczono przetwarzanie danych o ruchu do celów przekazania komunikatu. Tak więc dostawcy usług internetowych mogą przetwarzać informacje niezbędne w celu świadczenia usługi.

(ii)   Podstawy prawne zapewnienia bezpieczeństwa usługi

| 41. | Zgodnie z art. 4 dyrektywy o prywatności i łączności elektronicznej na dostawcy usług internetowych spoczywa ogólny obowiązek podjęcia stosownych działań w celu zapewnienia bezpieczeństwa oferowanych przez niego usług. Filtrowanie wirusów może wiązać się z przetwarzaniem nagłówków IP i ładunku IP. Biorąc pod uwagę fakt, że w art. 4 dyrektywy o prywatności i łączności elektronicznej wymaga się od dostawców usług internetowych, aby zapewnili bezpieczeństwo sieci, zgodnie z przepisem tym legalne są techniki inspekcji oparte na nagłówkach IP i treści, które służą wyłącznie osiągnięciu tego celu. W praktyce oznacza to, że w granicach wyznaczonych przez zasadę proporcjonalności (zob. sekcja V.3) dostawcy usług internetowych mogą monitorować i filtrować dane o komunikacji, aby zwalczać wirusy i ogólnie zapewnić bezpieczeństwo sieci (27). |
| --- | --- |

41.

Zgodnie z art. 4 dyrektywy o prywatności i łączności elektronicznej na dostawcy usług internetowych spoczywa ogólny obowiązek podjęcia stosownych działań w celu zapewnienia bezpieczeństwa oferowanych przez niego usług. Filtrowanie wirusów może wiązać się z przetwarzaniem nagłówków IP i ładunku IP. Biorąc pod uwagę fakt, że w art. 4 dyrektywy o prywatności i łączności elektronicznej wymaga się od dostawców usług internetowych, aby zapewnili bezpieczeństwo sieci, zgodnie z przepisem tym legalne są techniki inspekcji oparte na nagłówkach IP i treści, które służą wyłącznie osiągnięciu tego celu. W praktyce oznacza to, że w granicach wyznaczonych przez zasadę proporcjonalności (zob. sekcja V.3) dostawcy usług internetowych mogą monitorować i filtrować dane o komunikacji, aby zwalczać wirusy i ogólnie zapewnić bezpieczeństwo sieci (27).

(iii)   Podstawy prawne minimalizacji skutków zatorów

| 42. | Przesłankę dla tej podstawy prawnej można znaleźć w motywie 22 dyrektywy o prywatności i łączności elektronicznej, w którym wyjaśnia się zakaz przechowywania komunikatów zawarty w art. 5 ust. 1. Zakaz ten nie dotyczy automatycznego, pośredniego i przejściowego przechowywania informacji wówczas, gdy odbywa się to wyłącznie do celu przeprowadzenia transmisji oraz pod warunkiem, że informacja nie jest przechowywana przez okres dłuższy niż jest to konieczne w celu wykonania transmisji i zarządzania ruchem, oraz, że w okresie przechowywania zagwarantowana zostaje poufność. |
| --- | --- |

42.

Przesłankę dla tej podstawy prawnej można znaleźć w motywie 22 dyrektywy o prywatności i łączności elektronicznej, w którym wyjaśnia się zakaz przechowywania komunikatów zawarty w art. 5 ust. 1. Zakaz ten nie dotyczy automatycznego, pośredniego i przejściowego przechowywania informacji wówczas, gdy odbywa się to wyłącznie do celu przeprowadzenia transmisji oraz pod warunkiem, że informacja nie jest przechowywana przez okres dłuższy niż jest to konieczne w celu wykonania transmisji i zarządzania ruchem, oraz, że w okresie przechowywania zagwarantowana zostaje poufność.

| 43. | Jeżeli dochodzi do zatorów, pojawia się pytanie, czy dostawcy usług internetowych mogą uciekać się do losowego usuwania lub opóźniania części ruchu, czy też raczej powinni spowalniać komunikację, która nie jest wrażliwa na upływ czasu, np. P2P lub e-mail, co pozwoli na przykład zachować możliwą do przyjęcia jakość komunikacji głosowej. |
| --- | --- |

43.

Jeżeli dochodzi do zatorów, pojawia się pytanie, czy dostawcy usług internetowych mogą uciekać się do losowego usuwania lub opóźniania części ruchu, czy też raczej powinni spowalniać komunikację, która nie jest wrażliwa na upływ czasu, np. P2P lub e-mail, co pozwoli na przykład zachować możliwą do przyjęcia jakość komunikacji głosowej.

| 44. | Biorąc pod uwagę ogólny interes społeczny w zagwarantowaniu użytecznej sieci łączności, dostawcy usług internetowych mogą twierdzić, że przyznawanie ruchowi priorytetu lub ograniczanie go w celu radzenia sobie z zatorami jest legalnym środkiem niezbędnym w celu świadczenia właściwej jakości usług. Oznacza to, że w takich przypadkach istniałyby ogólne podstawy prawne przetwarzania danych osobowych w takim celu, a konkretna zgoda użytkowników nie byłaby konieczna. |
| --- | --- |

44.

Biorąc pod uwagę ogólny interes społeczny w zagwarantowaniu użytecznej sieci łączności, dostawcy usług internetowych mogą twierdzić, że przyznawanie ruchowi priorytetu lub ograniczanie go w celu radzenia sobie z zatorami jest legalnym środkiem niezbędnym w celu świadczenia właściwej jakości usług. Oznacza to, że w takich przypadkach istniałyby ogólne podstawy prawne przetwarzania danych osobowych w takim celu, a konkretna zgoda użytkowników nie byłaby konieczna.

| 45. | Jednocześnie możliwość ingerencji w ten sposób nie jest nieograniczona. Jeżeli dostawcy usług internetowych muszą dokonywać inspekcji komunikacji, wówczas z punktu widzenia poufności i ściśle stosując zasadę proporcjonalności, mają oni obowiązek wykorzystywania dla osiągnięcia tego celu najmniej naruszającej prywatność metody (unikając głębokiej inspekcji pakietów) i muszą wykorzystywać ją jedynie tak długo, jak jest to konieczne, by usunąć zator. |
| --- | --- |

45.

Jednocześnie możliwość ingerencji w ten sposób nie jest nieograniczona. Jeżeli dostawcy usług internetowych muszą dokonywać inspekcji komunikacji, wówczas z punktu widzenia poufności i ściśle stosując zasadę proporcjonalności, mają oni obowiązek wykorzystywania dla osiągnięcia tego celu najmniej naruszającej prywatność metody (unikając głębokiej inspekcji pakietów) i muszą wykorzystywać ją jedynie tak długo, jak jest to konieczne, by usunąć zator.

(iv)   Podstawy prawne przetwarzania danych w innych celach

| 46. | Dostawcy usług internetowych mogą również odczuwać potrzebę inspekcji danych o ruchu i treści w innych celach, chociażby oferowania ukierunkowanych abonamentów (np. abonamentu, który ogranicza dostęp do usług P2P, lub abonamentu zwiększającego prędkość dla pewnych aplikacji). Inspekcja oraz dalsze wykorzystanie danych o ruchu i komunikacji w celach innych niż świadczenie usługi lub zapewnienie jej bezpieczeństwa i zapobieżenie zatorom jest możliwe tylko pod ścisłymi warunkami, zgodnie z ramami prawnymi. |
| --- | --- |

46.

Dostawcy usług internetowych mogą również odczuwać potrzebę inspekcji danych o ruchu i treści w innych celach, chociażby oferowania ukierunkowanych abonamentów (np. abonamentu, który ogranicza dostęp do usług P2P, lub abonamentu zwiększającego prędkość dla pewnych aplikacji). Inspekcja oraz dalsze wykorzystanie danych o ruchu i komunikacji w celach innych niż świadczenie usługi lub zapewnienie jej bezpieczeństwa i zapobieżenie zatorom jest możliwe tylko pod ścisłymi warunkami, zgodnie z ramami prawnymi.

| 47. | Ramy prawne stanowi głównie art. 5 ust. 1 dyrektywy o prywatności i łączności elektronicznej, w którym wymaga się zgody użytkowników na słuchanie, nagrywanie, przechowywanie lub inne rodzaje przejęcia lub nadzoru komunikatu i związanych z nim danych o ruchu. W praktyce oznacza to, że w celu uczynienia legalnym przetwarzania zarówno danych o ruchu, jak i o komunikacji na mocy art. 5 ust. 1 potrzebna jest zgoda użytkowników uczestniczących w komunikacji. |
| --- | --- |

47.

Ramy prawne stanowi głównie art. 5 ust. 1 dyrektywy o prywatności i łączności elektronicznej, w którym wymaga się zgody użytkowników na słuchanie, nagrywanie, przechowywanie lub inne rodzaje przejęcia lub nadzoru komunikatu i związanych z nim danych o ruchu. W praktyce oznacza to, że w celu uczynienia legalnym przetwarzania zarówno danych o ruchu, jak i o komunikacji na mocy art. 5 ust. 1 potrzebna jest zgoda użytkowników uczestniczących w komunikacji.

| 48. | Jak wyjaśniono powyżej, zastosowanie technik inspekcji i filtrowania opiera się albo na nagłówkach IP, które stanowią dane o ruchu, albo na głębokiej inspekcji pakietów, co oznacza również ładunek IP (dane o komunikacji). Dlatego też zasadniczo stosowanie takich technik do celów innych niż świadczenie usługi lub zapewnienie bezpieczeństwa jest zabronione, chyba że przetwarzanie jest legalne na mocy uzasadnionej podstawy, na przykład zgody (art. 5 ust. 1). Artykuł 5 ust. 1 znalazłby na przykład zastosowanie, gdyby dostawca usług internetowych zdecydował się zaoferować klientom niższą stawkę za dostęp do Internetu w zamian za otrzymywanie reklamy behawioralnej, wykorzystując w celu jej serwowania głęboką inspekcję pakietów, a więc dane o komunikacji. W związku z tym konieczna jest prawdziwa, konkretna i świadoma zgoda zgodnie z art. 5 ust. 1. |
| --- | --- |

48.

Jak wyjaśniono powyżej, zastosowanie technik inspekcji i filtrowania opiera się albo na nagłówkach IP, które stanowią dane o ruchu, albo na głębokiej inspekcji pakietów, co oznacza również ładunek IP (dane o komunikacji). Dlatego też zasadniczo stosowanie takich technik do celów innych niż świadczenie usługi lub zapewnienie bezpieczeństwa jest zabronione, chyba że przetwarzanie jest legalne na mocy uzasadnionej podstawy, na przykład zgody (art. 5 ust. 1). Artykuł 5 ust. 1 znalazłby na przykład zastosowanie, gdyby dostawca usług internetowych zdecydował się zaoferować klientom niższą stawkę za dostęp do Internetu w zamian za otrzymywanie reklamy behawioralnej, wykorzystując w celu jej serwowania głęboką inspekcję pakietów, a więc dane o komunikacji. W związku z tym konieczna jest prawdziwa, konkretna i świadoma zgoda zgodnie z art. 5 ust. 1.

| 49. | Ponadto w art. 6 dyrektywy o prywatności i łączności elektronicznej zatytułowanym „Dane o ruchu” zawarto pewne zasady odnoszące się konkretnie do danych o ruchu. W szczególności przewidziano możliwość przetwarzania danych o ruchu przez dostawców usług internetowych w oparciu o zgodę użytkowników na otrzymywanie usług tworzących wartość dodaną (28). W przepisie tym zawarto wymóg zgody przewidziany w art. 5 ust. 1 w odniesieniu do danych o ruchu. |
| --- | --- |

49.

Ponadto w art. 6 dyrektywy o prywatności i łączności elektronicznej zatytułowanym „Dane o ruchu” zawarto pewne zasady odnoszące się konkretnie do danych o ruchu. W szczególności przewidziano możliwość przetwarzania danych o ruchu przez dostawców usług internetowych w oparciu o zgodę użytkowników na otrzymywanie usług tworzących wartość dodaną (28). W przepisie tym zawarto wymóg zgody przewidziany w art. 5 ust. 1 w odniesieniu do danych o ruchu.

| 50. | W praktyce nie zawsze musi być łatwe określenie na przykład w jakich przypadkach zgoda jest konieczna, a w jakich przypadkach podstawą legalności przetwarzania może być zapewnienie bezpieczeństwa sieci, zwłaszcza jeżeli cele technik inspekcji są dwojakie (na przykład uniknięcie zatorów i świadczenie usług tworzących wartość dodaną). Należy podkreślić, że zgody nie można uważać za łatwą, systemową furtkę umożliwiającą uzyskanie zgodności z zasadami ochrony danych. |
| --- | --- |

50.

W praktyce nie zawsze musi być łatwe określenie na przykład w jakich przypadkach zgoda jest konieczna, a w jakich przypadkach podstawą legalności przetwarzania może być zapewnienie bezpieczeństwa sieci, zwłaszcza jeżeli cele technik inspekcji są dwojakie (na przykład uniknięcie zatorów i świadczenie usług tworzących wartość dodaną). Należy podkreślić, że zgody nie można uważać za łatwą, systemową furtkę umożliwiającą uzyskanie zgodności z zasadami ochrony danych.

| 51. | Do tej pory zebrano niewiele doświadczeń dotyczących stosowania omówionych ram, w szczególności w odniesieniu do aspektów opisanych powyżej. Jest to obszar, w którym konieczne są dalsze wytyczne – zagadnienie to rozwinięto w sekcji VI. Ponadto trzeba rozważyć dodatkowe aspekty odnoszące się do uzyskiwania zgody. Opisano je poniżej. |
| --- | --- |

51.

Do tej pory zebrano niewiele doświadczeń dotyczących stosowania omówionych ram, w szczególności w odniesieniu do aspektów opisanych powyżej. Jest to obszar, w którym konieczne są dalsze wytyczne – zagadnienie to rozwinięto w sekcji VI. Ponadto trzeba rozważyć dodatkowe aspekty odnoszące się do uzyskiwania zgody. Opisano je poniżej.

V.2.   Kwestie odnoszące się do wyrażenia świadomej zgody jako podstawy prawnej

| 52. | Zgoda wymagana na mocy art. 5 i 6 dyrektywy o prywatności i łączności elektronicznej ma to samo znaczenie, co zgoda osoby, której dane dotyczą, opisana i szerzej określona dyrektywie 95/46/WE (29). Zgodnie z art. 2 lit. h) dyrektywy o ochronie danych „zgoda osoby, której dane dotyczą” oznacza „konkretne i świadome, dobrowolne wskazanie przez osobę, której dane dotyczą na to, że wyraża przyzwolenie na przetwarzanie odnoszących się do niej danych osobowych”. Grupa Robocza Art. 29 zajęła się niedawno rolą zgody oraz wymogami jej ważności w swojej opinii 15/2011 w sprawie zgody (30). |
| --- | --- |

52.

Zgoda wymagana na mocy art. 5 i 6 dyrektywy o prywatności i łączności elektronicznej ma to samo znaczenie, co zgoda osoby, której dane dotyczą, opisana i szerzej określona dyrektywie 95/46/WE (29). Zgodnie z art. 2 lit. h) dyrektywy o ochronie danych „zgoda osoby, której dane dotyczą” oznacza „konkretne i świadome, dobrowolne wskazanie przez osobę, której dane dotyczą na to, że wyraża przyzwolenie na przetwarzanie odnoszących się do niej danych osobowych”. Grupa Robocza Art. 29 zajęła się niedawno rolą zgody oraz wymogami jej ważności w swojej opinii 15/2011 w sprawie zgody (30).

| 53. | Tak więc dostawcy usług internetowych, którzy potrzebują zgody, aby dokonywać inspekcji oraz filtrować dane o ruchu i treść, muszą zapewnić dobrowolność i konkretność zgody, musi ona też być w pełni świadomym wskazaniem przez osobę, której dane dotyczą, na to, że wyraża przyzwolenie na przetwarzanie odnoszących się do niej danych osobowych. Potwierdzono to w motywie 17 dyrektywy o prywatności i łączności elektronicznej: „Zgoda może być udzielona w jakikolwiek sposób umożliwiający swobodne i świadome wyrażenie woli użytkownika, włączając zaznaczenie okna wyboru podczas przeglądania witryny internetowej”. Poniżej zamieszczono pewne praktyczne przykłady, co oznacza dobrowolność, konkretność i świadomość zgody w tym kontekście. |
| --- | --- |

53.

Tak więc dostawcy usług internetowych, którzy potrzebują zgody, aby dokonywać inspekcji oraz filtrować dane o ruchu i treść, muszą zapewnić dobrowolność i konkretność zgody, musi ona też być w pełni świadomym wskazaniem przez osobę, której dane dotyczą, na to, że wyraża przyzwolenie na przetwarzanie odnoszących się do niej danych osobowych. Potwierdzono to w motywie 17 dyrektywy o prywatności i łączności elektronicznej: „Zgoda może być udzielona w jakikolwiek sposób umożliwiający swobodne i świadome wyrażenie woli użytkownika, włączając zaznaczenie okna wyboru podczas przeglądania witryny internetowej”. Poniżej zamieszczono pewne praktyczne przykłady, co oznacza dobrowolność, konkretność i świadomość zgody w tym kontekście.

Zgoda: dobrowolne, konkretne i świadome wyrażenie woli

| 54. | Zgoda dobrowolna. Użytkownicy nie powinni napotykać na ograniczenia wiążące zgodę z abonamentem internetowym, który chcą wykupić. |
| --- | --- |

54.

Zgoda dobrowolna. Użytkownicy nie powinni napotykać na ograniczenia wiążące zgodę z abonamentem internetowym, który chcą wykupić.

| 55. | Zgoda osób fizycznych nie jest udzielana dobrowolnie, jeżeli muszą one zgodzić się na monitorowanie danych o ich komunikacji, aby uzyskać dostęp do usługi łączności. Byłoby tak tym bardziej, jeżeli wszyscy dostawcy na danym rynku zarządzaliby ruchem w celach wychodzących poza zapewnienie bezpieczeństwa sieci. Jedyną pozostającą możliwością byłoby niekorzystanie z usługi internetowej w ogóle. Biorąc pod uwagę, że Internet stał się niezbędnym narzędziem zarówno pracy, jak i rekreacji, niekorzystanie z usługi internetowej nie jest realną alternatywą. Wynikiem byłoby pozbawienie osób fizycznych realnego wyboru, a więc nie byłyby one w stanie dobrowolnie udzielić zgody (31). |
| --- | --- |

55.

Zgoda osób fizycznych nie jest udzielana dobrowolnie, jeżeli muszą one zgodzić się na monitorowanie danych o ich komunikacji, aby uzyskać dostęp do usługi łączności. Byłoby tak tym bardziej, jeżeli wszyscy dostawcy na danym rynku zarządzaliby ruchem w celach wychodzących poza zapewnienie bezpieczeństwa sieci. Jedyną pozostającą możliwością byłoby niekorzystanie z usługi internetowej w ogóle. Biorąc pod uwagę, że Internet stał się niezbędnym narzędziem zarówno pracy, jak i rekreacji, niekorzystanie z usługi internetowej nie jest realną alternatywą. Wynikiem byłoby pozbawienie osób fizycznych realnego wyboru, a więc nie byłyby one w stanie dobrowolnie udzielić zgody (31).

| 56. | Zdaniem EIOD istnieje oczywista potrzeba, aby Komisja i władze krajowe monitorowały rynek, w szczególności w celu ustalenia, czy opisany scenariusz – łączenie przez dostawców usług telekomunikacyjnych z monitorowaniem komunikacji – staje się powszechny. Dostawcy powinni oferować usługi alternatywne, w tym abonament internetowy niepodlegający zarządzaniu ruchem, nie obciążając osób fizycznych wyższymi kosztami. |
| --- | --- |

56.

Zdaniem EIOD istnieje oczywista potrzeba, aby Komisja i władze krajowe monitorowały rynek, w szczególności w celu ustalenia, czy opisany scenariusz – łączenie przez dostawców usług telekomunikacyjnych z monitorowaniem komunikacji – staje się powszechny. Dostawcy powinni oferować usługi alternatywne, w tym abonament internetowy niepodlegający zarządzaniu ruchem, nie obciążając osób fizycznych wyższymi kosztami.

| 57. | Zgoda konkretna. Wymóg konkretności zgody oznacza w tym przypadku, że dostawcy usług internetowych muszą zwrócić się o zgodę na monitorowanie danych o ruchu i komunikacji w jednoznaczny i wyraźny sposób. Zgodnie z opinią Grupy Roboczej Art. 29: „Aby zgoda była konkretna, musi być zrozumiała: powinna wyraźnie i precyzyjnie odnosić się do zakresu oraz konsekwencji przetwarzania danych. Nie może ona odnosić się do otwartego zbioru czynności przetwarzania. Innymi słowy, oznacza to, że kontekst, w jakim ma zastosowanie zgoda, jest ograniczony”. Konkretnej zgody raczej nie da się uzyskać, jeżeli zgoda na inspekcję danych o ruchu i komunikacji jest powiązana z ogólną zgodą na subskrypcję usługi. Konkretność wymaga wykorzystania ukierunkowanych środków w celu uzyskania zgody, jak na przykład odrębnego formularza zgody lub osobnego okna jednoznacznie poświęconego monitorowaniu (nie zaś umieszczenia informacji w ogólnych warunkach umowy i wymogu podpisania umowy w ustalonej formie). |
| --- | --- |

57.

Zgoda konkretna. Wymóg konkretności zgody oznacza w tym przypadku, że dostawcy usług internetowych muszą zwrócić się o zgodę na monitorowanie danych o ruchu i komunikacji w jednoznaczny i wyraźny sposób. Zgodnie z opinią Grupy Roboczej Art. 29: „Aby zgoda była konkretna, musi być zrozumiała: powinna wyraźnie i precyzyjnie odnosić się do zakresu oraz konsekwencji przetwarzania danych. Nie może ona odnosić się do otwartego zbioru czynności przetwarzania. Innymi słowy, oznacza to, że kontekst, w jakim ma zastosowanie zgoda, jest ograniczony”. Konkretnej zgody raczej nie da się uzyskać, jeżeli zgoda na inspekcję danych o ruchu i komunikacji jest powiązana z ogólną zgodą na subskrypcję usługi. Konkretność wymaga wykorzystania ukierunkowanych środków w celu uzyskania zgody, jak na przykład odrębnego formularza zgody lub osobnego okna jednoznacznie poświęconego monitorowaniu (nie zaś umieszczenia informacji w ogólnych warunkach umowy i wymogu podpisania umowy w ustalonej formie).

| 58. | Świadoma zgoda osoby zainteresowanej. Aby zgoda była ważna, musi być świadoma. Potrzeba uprzedniego przedstawienia wystarczających informacji wynika nie tylko z dyrektyw o prywatności i łączności elektronicznej oraz o ochronie danych, ale też z art. 20 i 21 dyrektywy o usłudze powszechnej zmienionej dyrektywą 2009/136/WE (32). Potrzebę informacji i zgody wyraźnie potwierdzono w motywie 28 dyrektywy 2009/136/WE: „Użytkownicy powinni być w każdym przypadku w pełni informowani o wszelkich warunkach ograniczających korzystanie z usług łączności elektronicznej wprowadzanych przez dostawcę usług lub sieci. W zależności od wyboru dostawcy, informacje takie powinny precyzować rodzaj treści, aplikacji lub danej usługi, indywidualne aplikacje lub usługi, albo też oba te elementy”. Następnie stwierdza się: „W zależności od zastosowanej technologii i rodzaju ograniczenia, takie ograniczenia mogą wymagać zgody użytkownika zgodnie z dyrektywą 2002/58/WE”. |
| --- | --- |

58.

Świadoma zgoda osoby zainteresowanej. Aby zgoda była ważna, musi być świadoma. Potrzeba uprzedniego przedstawienia wystarczających informacji wynika nie tylko z dyrektyw o prywatności i łączności elektronicznej oraz o ochronie danych, ale też z art. 20 i 21 dyrektywy o usłudze powszechnej zmienionej dyrektywą 2009/136/WE (32). Potrzebę informacji i zgody wyraźnie potwierdzono w motywie 28 dyrektywy 2009/136/WE: „Użytkownicy powinni być w każdym przypadku w pełni informowani o wszelkich warunkach ograniczających korzystanie z usług łączności elektronicznej wprowadzanych przez dostawcę usług lub sieci. W zależności od wyboru dostawcy, informacje takie powinny precyzować rodzaj treści, aplikacji lub danej usługi, indywidualne aplikacje lub usługi, albo też oba te elementy”. Następnie stwierdza się: „W zależności od zastosowanej technologii i rodzaju ograniczenia, takie ograniczenia mogą wymagać zgody użytkownika zgodnie z dyrektywą 2002/58/WE”.

| 59. | Biorąc pod uwagę złożoność tych technik monitorowania, uprzednie przedstawienie zrozumiałych informacji jest jednym z największych wyzwań, jeżeli chodzi o uzyskanie ważnej zgody. Konsumentów należy poinformować w sposób pozwalający im zrozumieć, jakie informacje są przetwarzane i w jaki sposób są wykorzystywane, oraz pojąć wpływ tych technik na poziom zadowolenia użytkowników, jak też stopień naruszenia prywatności z nimi związany. |
| --- | --- |

59.

Biorąc pod uwagę złożoność tych technik monitorowania, uprzednie przedstawienie zrozumiałych informacji jest jednym z największych wyzwań, jeżeli chodzi o uzyskanie ważnej zgody. Konsumentów należy poinformować w sposób pozwalający im zrozumieć, jakie informacje są przetwarzane i w jaki sposób są wykorzystywane, oraz pojąć wpływ tych technik na poziom zadowolenia użytkowników, jak też stopień naruszenia prywatności z nimi związany.

| 60. | Oznacza to nie tylko, że same informacje muszą być jasne i zrozumiałe dla przeciętnego użytkownika, ale też, że informacje muszą zostać przekazane bezpośrednio osobom fizycznym w wyraźny sposób, aby nie mogły zostać przeoczone. |
| --- | --- |

60.

Oznacza to nie tylko, że same informacje muszą być jasne i zrozumiałe dla przeciętnego użytkownika, ale też, że informacje muszą zostać przekazane bezpośrednio osobom fizycznym w wyraźny sposób, aby nie mogły zostać przeoczone.

| 61. | Wyrażenie woli. Zgoda na mocy stosownych ram prawnych wymaga też konkretnego działania ze strony użytkownika w celu wyrażenia przyzwolenia. Dorozumiana zgoda nie spełnia tych wymagań. Potwierdza to również potrzebę wykorzystania specjalnych środków, aby uzyskać zgodę umożliwiającą dostawcy usług internetowych inspekcję danych o ruchu i komunikacji w kontekście stosowania polityki zarządzania ruchem. W swojej niedawnej opinii w sprawie zgody Grupa Robocza Art. 29 podkreśliła wymóg szczegółowości uzyskiwanej zgody w odniesieniu do poszczególnych elementów, które składają się na przetwarzanie danych. |
| --- | --- |

61.

Wyrażenie woli. Zgoda na mocy stosownych ram prawnych wymaga też konkretnego działania ze strony użytkownika w celu wyrażenia przyzwolenia. Dorozumiana zgoda nie spełnia tych wymagań. Potwierdza to również potrzebę wykorzystania specjalnych środków, aby uzyskać zgodę umożliwiającą dostawcy usług internetowych inspekcję danych o ruchu i komunikacji w kontekście stosowania polityki zarządzania ruchem. W swojej niedawnej opinii w sprawie zgody Grupa Robocza Art. 29 podkreśliła wymóg szczegółowości uzyskiwanej zgody w odniesieniu do poszczególnych elementów, które składają się na przetwarzanie danych.

| 62. | Można argumentować, że jeżeli strony uczestniczące w komunikacji nie życzą sobie, aby dostawcy usług internetowych przechwytywali ją w celu zastosowania polityki zarządzania ruchem, mogą zawsze zaszyfrować komunikację. To podejście można uznać za przydatne w sensie praktycznym, wymaga ono jednak pewnego wysiłku i wiedzy technicznej oraz nie można go uznać za porównywalne z dobrowolną, konkretną i świadomą zgodą. Wykorzystanie technik szyfrowania nie zapewnia też pełnej poufności komunikacji, gdyż dostawca usług internetowych będzie co najmniej w stanie uzyskać dostęp do informacji zawartych w nagłówku IP w celu skierowania komunikatu do miejsca przeznaczenia; będzie również mógł przeprowadzić analizę statystyczną. |
| --- | --- |

62.

Można argumentować, że jeżeli strony uczestniczące w komunikacji nie życzą sobie, aby dostawcy usług internetowych przechwytywali ją w celu zastosowania polityki zarządzania ruchem, mogą zawsze zaszyfrować komunikację. To podejście można uznać za przydatne w sensie praktycznym, wymaga ono jednak pewnego wysiłku i wiedzy technicznej oraz nie można go uznać za porównywalne z dobrowolną, konkretną i świadomą zgodą. Wykorzystanie technik szyfrowania nie zapewnia też pełnej poufności komunikacji, gdyż dostawca usług internetowych będzie co najmniej w stanie uzyskać dostęp do informacji zawartych w nagłówku IP w celu skierowania komunikatu do miejsca przeznaczenia; będzie również mógł przeprowadzić analizę statystyczną.

| 63. | Zgodnie z art. 5 ust. 1 dyrektywy o prywatności i łączności elektronicznej zgodę trzeba uzyskać od zainteresowanych użytkowników. W wielu przypadkach użytkownik będzie tą samą osobą co abonent, co pozwala uzyskać zgodę w chwili dokonywania subskrypcji usług telekomunikacyjnych. W innych przypadkach, również tych, gdzie może chodzić o więcej niż jedną osobę, zgodę zainteresowanych użytkowników trzeba będzie uzyskiwać osobno. Może to wiązać się z problemami praktycznymi, co omówiono poniżej. |
| --- | --- |

63.

Zgodnie z art. 5 ust. 1 dyrektywy o prywatności i łączności elektronicznej zgodę trzeba uzyskać od zainteresowanych użytkowników. W wielu przypadkach użytkownik będzie tą samą osobą co abonent, co pozwala uzyskać zgodę w chwili dokonywania subskrypcji usług telekomunikacyjnych. W innych przypadkach, również tych, gdzie może chodzić o więcej niż jedną osobę, zgodę zainteresowanych użytkowników trzeba będzie uzyskiwać osobno. Może to wiązać się z problemami praktycznymi, co omówiono poniżej.

Zgoda wszystkich zainteresowanych użytkowników

| 64. | W art. 5 ust. 1 wskazano jako podstawę legalności przetwarzania zgodę użytkowników. Zgodę trzeba uzyskać od wszystkich użytkowników biorących udział w komunikacji. Przesłanką tego wymogu jest fakt, że w komunikacji uczestniczą zazwyczaj co najmniej dwie osoby fizyczne (nadawca i odbiorca). Jeżeli na przykład dostawca usług internetowych skanuje ładunek IP odnoszący się do wiadomości e-mail, dokonuje on inspekcji informacji dotyczących zarówno nadawcy, jak i odbiorcy tej wiadomości. |
| --- | --- |

64.

W art. 5 ust. 1 wskazano jako podstawę legalności przetwarzania zgodę użytkowników. Zgodę trzeba uzyskać od wszystkich użytkowników biorących udział w komunikacji. Przesłanką tego wymogu jest fakt, że w komunikacji uczestniczą zazwyczaj co najmniej dwie osoby fizyczne (nadawca i odbiorca). Jeżeli na przykład dostawca usług internetowych skanuje ładunek IP odnoszący się do wiadomości e-mail, dokonuje on inspekcji informacji dotyczących zarówno nadawcy, jak i odbiorcy tej wiadomości.

| 65. | Podczas monitorowania oraz przechwytywania ruchu i komunikacji (np. części ruchu WWW) wystarczające może być uzyskanie zgody użytkownika, czyli abonenta, przez dostawcę usług internetowych. Jest tak, ponieważ drugiej strony komunikacji – w tym przypadku odwiedzanej strony internetowej – można nie uznawać za „zainteresowanego użytkownika” (33). Sytuacja może jednak być bardziej złożona, gdy takie monitorowanie wiąże się z inspekcją treści wiadomości e-mail, a więc danych osobowych nadawcy i odbiorcy wiadomości e-mail, którzy niekoniecznie zawarli umowę z tym samym dostawcą usług internetowych. W takich przypadkach dostawca usług internetowych przetwarza w istocie dane osobowe (nazwisko, adres e-mail i potencjalnie wrażliwą treść) należące do osób niebędących jego klientami. Z praktycznej perspektywy uzyskanie zgody takich osób może być trudniejsze, gdyż należy ją uzyskać osobno w każdym przypadku, a nie w chwili zawarcia umowy o usługę telekomunikacyjną. Nie byłoby też realistyczne założenie, że abonent udzielił również zgody w imieniu innych użytkowników, a taka sytuacja może często zachodzić w prywatnych gospodarstwach domowych. |
| --- | --- |

65.

Podczas monitorowania oraz przechwytywania ruchu i komunikacji (np. części ruchu WWW) wystarczające może być uzyskanie zgody użytkownika, czyli abonenta, przez dostawcę usług internetowych. Jest tak, ponieważ drugiej strony komunikacji – w tym przypadku odwiedzanej strony internetowej – można nie uznawać za „zainteresowanego użytkownika” (33). Sytuacja może jednak być bardziej złożona, gdy takie monitorowanie wiąże się z inspekcją treści wiadomości e-mail, a więc danych osobowych nadawcy i odbiorcy wiadomości e-mail, którzy niekoniecznie zawarli umowę z tym samym dostawcą usług internetowych. W takich przypadkach dostawca usług internetowych przetwarza w istocie dane osobowe (nazwisko, adres e-mail i potencjalnie wrażliwą treść) należące do osób niebędących jego klientami. Z praktycznej perspektywy uzyskanie zgody takich osób może być trudniejsze, gdyż należy ją uzyskać osobno w każdym przypadku, a nie w chwili zawarcia umowy o usługę telekomunikacyjną. Nie byłoby też realistyczne założenie, że abonent udzielił również zgody w imieniu innych użytkowników, a taka sytuacja może często zachodzić w prywatnych gospodarstwach domowych.

| 66. | W tym kontekście EIOD uznaje, że dostawcy usług internetowych powinni przestrzegać istniejących wymogów prawnych i wdrażać politykę niewiążącą się z monitorowaniem oraz inspekcją informacji. Jest to jeszcze istotniejsze w odniesieniu do usług łączności z udziałem osób trzecich, które nie są w stanie wyrazić zgody na monitorowanie, zwłaszcza w stosunku do wysyłanych i otrzymywanych wiadomości e-mail (nie ma to zastosowania, gdy cel ma związek ze względami bezpieczeństwa). |
| --- | --- |

66.

W tym kontekście EIOD uznaje, że dostawcy usług internetowych powinni przestrzegać istniejących wymogów prawnych i wdrażać politykę niewiążącą się z monitorowaniem oraz inspekcją informacji. Jest to jeszcze istotniejsze w odniesieniu do usług łączności z udziałem osób trzecich, które nie są w stanie wyrazić zgody na monitorowanie, zwłaszcza w stosunku do wysyłanych i otrzymywanych wiadomości e-mail (nie ma to zastosowania, gdy cel ma związek ze względami bezpieczeństwa).

| 67. | Jednocześnie należy zauważyć, że prawo krajowe wdrażające art. 5 ust. 1 dyrektywy o prywatności i łączności elektronicznej może nie zawsze być zadowalające pod tym względem; ogólnie wydaje się, że istnieje potrzeba lepszych wytycznych co do wymogów dyrektywy o prywatności i łączności elektronicznej w tym kontekście. W związku z tym EIOD zachęca Komisję do większej aktywności w tym względzie i podjęcia inicjatywy, która mogłaby zyskać dzięki wkładowi ze strony organów nadzorczych zebranych w Grupie Roboczej Art. 29 oraz innych zainteresowanych stron. W razie potrzeby należy wnieść sprawę do Trybunału Sprawiedliwości, aby uzyskać pełną jasność co do znaczenia i konsekwencji art. 5 ust. 1. |
| --- | --- |

67.

Jednocześnie należy zauważyć, że prawo krajowe wdrażające art. 5 ust. 1 dyrektywy o prywatności i łączności elektronicznej może nie zawsze być zadowalające pod tym względem; ogólnie wydaje się, że istnieje potrzeba lepszych wytycznych co do wymogów dyrektywy o prywatności i łączności elektronicznej w tym kontekście. W związku z tym EIOD zachęca Komisję do większej aktywności w tym względzie i podjęcia inicjatywy, która mogłaby zyskać dzięki wkładowi ze strony organów nadzorczych zebranych w Grupie Roboczej Art. 29 oraz innych zainteresowanych stron. W razie potrzeby należy wnieść sprawę do Trybunału Sprawiedliwości, aby uzyskać pełną jasność co do znaczenia i konsekwencji art. 5 ust. 1.

V.3.   Proporcjonalność – zasada minimalizacji danych

| 68. | W art. 6 lit. c) dyrektywy o ochronie danych określono zasadę proporcjonalności (34), która ma zastosowanie do dostawców usług internetowych, gdyż monitorując i filtrując dane, są oni administratorami danych w rozumieniu tej dyrektywy. |
| --- | --- |

68.

W art. 6 lit. c) dyrektywy o ochronie danych określono zasadę proporcjonalności (34), która ma zastosowanie do dostawców usług internetowych, gdyż monitorując i filtrując dane, są oni administratorami danych w rozumieniu tej dyrektywy.

| 69. | Zgodnie z tą zasadą dane osobowe można gromadzić jedynie, jeżeli są one „prawidłowe, stosowne oraz nienadmierne ilościowo w stosunku do celów, dla których zostały zgromadzone i/lub dalej przetworzone”. Zastosowanie tej zasady wiąże się z potrzebą oceny, czy środki wykorzystane przy przetwarzaniu danych oraz rodzaje wykorzystywanych danych osobowych są odpowiednie i czy są podstawy, by założyć, że pozwolą osiągnąć cele. Jeżeli wniosek brzmi, że gromadzonych jest więcej danych, niż jest to potrzebne, wymogi tej zasady nie zostały spełnione. |
| --- | --- |

69.

Zgodnie z tą zasadą dane osobowe można gromadzić jedynie, jeżeli są one „prawidłowe, stosowne oraz nienadmierne ilościowo w stosunku do celów, dla których zostały zgromadzone i/lub dalej przetworzone”. Zastosowanie tej zasady wiąże się z potrzebą oceny, czy środki wykorzystane przy przetwarzaniu danych oraz rodzaje wykorzystywanych danych osobowych są odpowiednie i czy są podstawy, by założyć, że pozwolą osiągnąć cele. Jeżeli wniosek brzmi, że gromadzonych jest więcej danych, niż jest to potrzebne, wymogi tej zasady nie zostały spełnione.

| 70. | Zgodność pewnych rodzajów technik inspekcji z zasadą proporcjonalności trzeba oceniać osobno w poszczególnych przypadkach. Nie jest tu możliwe wyciągnięcie wniosków in abstracto. Można jednak wskazać pewne konkretne aspekty, które należy poddać ocenie, badając zgodność z zasadą proporcjonalności. |
| --- | --- |

70.

Zgodność pewnych rodzajów technik inspekcji z zasadą proporcjonalności trzeba oceniać osobno w poszczególnych przypadkach. Nie jest tu możliwe wyciągnięcie wniosków in abstracto. Można jednak wskazać pewne konkretne aspekty, które należy poddać ocenie, badając zgodność z zasadą proporcjonalności.

| 71. | Ilość przetwarzanych informacji. Nadzór nad komunikacją klientów dostawcy usług internetowych na najgłębszym możliwym poziomie będzie w większości przypadków nadmierny i nielegalny. Fakt, że można go prowadzić środkami niewidocznymi dla osób fizycznych, którym może być trudno zrozumieć, co ma miejsce, zwiększa skutki z punktu widzenia ich prywatności. Dostawcy usług internetowych powinni ocenić, jakie środki w mniejszym stopniu naruszające prywatność mogą umożliwić osiągnięcie wymaganego rezultatu. Czy można go osiągnąć na przykład przez monitorowanie nagłówków IP zamiast głębokiej inspekcji pakietów? Nawet przy wykorzystaniu głębokiej inspekcji pakietów niezbędnych informacji może dostarczyć sama identyfikacja pewnych protokołów. Użyteczne może też okazać się zastosowanie zabezpieczeń chroniących dane, w tym pseudoanonimizacji. Wynik oceny musi potwierdzać proporcjonalność przetwarzania danych. |
| --- | --- |

71.

Ilość przetwarzanych informacji. Nadzór nad komunikacją klientów dostawcy usług internetowych na najgłębszym możliwym poziomie będzie w większości przypadków nadmierny i nielegalny. Fakt, że można go prowadzić środkami niewidocznymi dla osób fizycznych, którym może być trudno zrozumieć, co ma miejsce, zwiększa skutki z punktu widzenia ich prywatności. Dostawcy usług internetowych powinni ocenić, jakie środki w mniejszym stopniu naruszające prywatność mogą umożliwić osiągnięcie wymaganego rezultatu. Czy można go osiągnąć na przykład przez monitorowanie nagłówków IP zamiast głębokiej inspekcji pakietów? Nawet przy wykorzystaniu głębokiej inspekcji pakietów niezbędnych informacji może dostarczyć sama identyfikacja pewnych protokołów. Użyteczne może też okazać się zastosowanie zabezpieczeń chroniących dane, w tym pseudoanonimizacji. Wynik oceny musi potwierdzać proporcjonalność przetwarzania danych.

| 72. | Efekty przetwarzania (bezpośrednio powiązane z celami). Zasada proporcjonalności może być naruszona w przypadkach, w których dostawcy usług internetowych wykorzystują politykę zarządzania ruchem wyłączającą dostęp do pewnych usług bez udostępnienia użytkownikom w zamian słusznej części zysku, który z tego wynika. |
| --- | --- |

72.

Efekty przetwarzania (bezpośrednio powiązane z celami). Zasada proporcjonalności może być naruszona w przypadkach, w których dostawcy usług internetowych wykorzystują politykę zarządzania ruchem wyłączającą dostęp do pewnych usług bez udostępnienia użytkownikom w zamian słusznej części zysku, który z tego wynika.

| 73. | Należy pamiętać, że zasada proporcjonalności obowiązuje nadal, nawet jeżeli inne obowiązkowe wymogi prawne zostały spełnione, w tym jeżeli dostawca usług internetowych uzyskał na przykład zgodę osób fizycznych na monitorowanie treści. Oznacza to, że przetwarzanie danych oparte na monitorowaniu treści może nadal być niezgodne z prawem, jeżeli narusza podstawową zasadę proporcjonalności. |
| --- | --- |

73.

Należy pamiętać, że zasada proporcjonalności obowiązuje nadal, nawet jeżeli inne obowiązkowe wymogi prawne zostały spełnione, w tym jeżeli dostawca usług internetowych uzyskał na przykład zgodę osób fizycznych na monitorowanie treści. Oznacza to, że przetwarzanie danych oparte na monitorowaniu treści może nadal być niezgodne z prawem, jeżeli narusza podstawową zasadę proporcjonalności.

V.4.   Środki bezpieczeństwa i organizacyjne

| 74. | W art. 4 dyrektywy o prywatności i łączności elektronicznej wyraźnie nakazuje się dostawcom usług internetowych podjęcie środków technicznych i organizacyjnych w celu zagwarantowania, że: (i) dostęp do danych osobowych może mieć wyłącznie uprawniony personel w dozwolonych prawem celach; (ii) dane osobowe będą chronione przed przypadkowym lub bezprawnym przetwarzaniem oraz (iii) zostanie wdrożona polityka bezpieczeństwa w odniesieniu do przetwarzania danych osobowych. Artykuł ten umożliwia też właściwym organom krajowym kontrolowanie tych środków. |
| --- | --- |

74.

W art. 4 dyrektywy o prywatności i łączności elektronicznej wyraźnie nakazuje się dostawcom usług internetowych podjęcie środków technicznych i organizacyjnych w celu zagwarantowania, że: (i) dostęp do danych osobowych może mieć wyłącznie uprawniony personel w dozwolonych prawem celach; (ii) dane osobowe będą chronione przed przypadkowym lub bezprawnym przetwarzaniem oraz (iii) zostanie wdrożona polityka bezpieczeństwa w odniesieniu do przetwarzania danych osobowych. Artykuł ten umożliwia też właściwym organom krajowym kontrolowanie tych środków.

| 75. | Ponadto zgodnie z art. 4 ust. 3 oraz art. 4 ust. 2 dyrektywy o prywatności i łączności elektronicznej dostawcy usług internetowych są zobowiązani w przypadku naruszenia danych osobowych powiadomić właściwe organy krajowe, jak również osoby fizyczne, których dotyczy naruszenie, w przypadku, gdy ujawnienie tych danych może mieć dla nich niekorzystne konsekwencje. |
| --- | --- |

75.

Ponadto zgodnie z art. 4 ust. 3 oraz art. 4 ust. 2 dyrektywy o prywatności i łączności elektronicznej dostawcy usług internetowych są zobowiązani w przypadku naruszenia danych osobowych powiadomić właściwe organy krajowe, jak również osoby fizyczne, których dotyczy naruszenie, w przypadku, gdy ujawnienie tych danych może mieć dla nich niekorzystne konsekwencje.

| 76. | Przetwarzanie danych osobowych zawartych w komunikacji w celu zastosowania polityki zarządzania ruchem może dać dostawcom usług internetowych dostęp do jeszcze bardziej wrażliwych danych niż dane o ruchu. |
| --- | --- |

76.

Przetwarzanie danych osobowych zawartych w komunikacji w celu zastosowania polityki zarządzania ruchem może dać dostawcom usług internetowych dostęp do jeszcze bardziej wrażliwych danych niż dane o ruchu.

| 77. | Dlatego też polityka bezpieczeństwa stworzona przez dostawców usług internetowych powinna obejmować konkretne zabezpieczenia w celu zapewnienia adekwatności podejmowanych środków do takiego ryzyka. Jednocześnie właściwe organy krajowe kontrolujące te środki powinny stawiać szczególnie wysokie wymagania. Wreszcie, należy zapewnić wdrożenie skutecznych procedur zawiadamiania służących informowaniu osób, których dane zostały ujawnione, co może wywrzeć na nie niekorzystny wpływ. |
| --- | --- |

77.

Dlatego też polityka bezpieczeństwa stworzona przez dostawców usług internetowych powinna obejmować konkretne zabezpieczenia w celu zapewnienia adekwatności podejmowanych środków do takiego ryzyka. Jednocześnie właściwe organy krajowe kontrolujące te środki powinny stawiać szczególnie wysokie wymagania. Wreszcie, należy zapewnić wdrożenie skutecznych procedur zawiadamiania służących informowaniu osób, których dane zostały ujawnione, co może wywrzeć na nie niekorzystny wpływ.

VI.   SUGESTIE DOTYCZĄCE POLITYKI I ŚRODKÓW USTAWODAWCZYCH

| 78. | Techniki inspekcji oparte na danych o ruchu i inspekcji ładunków IP, tj. treści komunikacji, mogą ujawniać aktywność internetową użytkowników: odwiedzane strony internetowe oraz działania z nimi związane, korzystanie z aplikacji P2P, pobrane pliki, wysłane i odebrane wiadomości e-mail (od kogo, na jaki temat, w jakim okresie itp.). Dostawcy mogą chcieć wykorzystywać te informacje w celu przyznania niektórym rodzajom komunikacji, jak na przykład wideo na żądanie, priorytetu przed innymi. Mogą też chcieć je wykorzystywać w celu identyfikacji wirusów lub budowy profilów, aby serwować reklamy behawioralne. Działania te ingerują w prawo do poufności komunikacji. |
| --- | --- |

78.

Techniki inspekcji oparte na danych o ruchu i inspekcji ładunków IP, tj. treści komunikacji, mogą ujawniać aktywność internetową użytkowników: odwiedzane strony internetowe oraz działania z nimi związane, korzystanie z aplikacji P2P, pobrane pliki, wysłane i odebrane wiadomości e-mail (od kogo, na jaki temat, w jakim okresie itp.). Dostawcy mogą chcieć wykorzystywać te informacje w celu przyznania niektórym rodzajom komunikacji, jak na przykład wideo na żądanie, priorytetu przed innymi. Mogą też chcieć je wykorzystywać w celu identyfikacji wirusów lub budowy profilów, aby serwować reklamy behawioralne. Działania te ingerują w prawo do poufności komunikacji.

| 79. | Zależnie od wykorzystywanych technik i konkretnych aspektów sprawy implikacje z punktu widzenia prywatności rosną. Im głębiej sięga przechwytywanie i analiza gromadzonych informacji, tym większy konflikt z zasadą poufności komunikacji. Cele, w jakich odbywa się monitoring, i zastosowane zabezpieczenia służące ochronie danych, są również podstawowymi elementami przy ustaleniu, w jakim stopniu dochodzi do naruszenia prywatności i danych osobowych osób fizycznych. Blokowania i monitorowania do celów zwalczania szkodliwego oprogramowania, ze ścisłymi ograniczeniami dotyczącymi zatrzymywania oraz wykorzystywania danych będących przedmiotem inspekcji, nie można porównać z sytuacjami, w których informacje są rejestrowane w celu budowy indywidualnych profilów służących serwowaniu reklamy behawioralnej. |
| --- | --- |

79.

Zależnie od wykorzystywanych technik i konkretnych aspektów sprawy implikacje z punktu widzenia prywatności rosną. Im głębiej sięga przechwytywanie i analiza gromadzonych informacji, tym większy konflikt z zasadą poufności komunikacji. Cele, w jakich odbywa się monitoring, i zastosowane zabezpieczenia służące ochronie danych, są również podstawowymi elementami przy ustaleniu, w jakim stopniu dochodzi do naruszenia prywatności i danych osobowych osób fizycznych. Blokowania i monitorowania do celów zwalczania szkodliwego oprogramowania, ze ścisłymi ograniczeniami dotyczącymi zatrzymywania oraz wykorzystywania danych będących przedmiotem inspekcji, nie można porównać z sytuacjami, w których informacje są rejestrowane w celu budowy indywidualnych profilów służących serwowaniu reklamy behawioralnej.

| 80. | EIOD uważa w zasadzie, że istniejące ramy wspólnotowe dotyczące prywatności i ochrony danych, jeżeli będą należycie interpretowane, stosowane oraz egzekwowane, wystarczą w celu zagwarantowania przestrzegania prawa do poufności oraz ogólnie zapobieżenia niebezpieczeństwom dla prywatności i ochrony danych osób fizycznych (35). Dostawcy usług internetowych nie powinni wykorzystywać omawianych mechanizmów, jeżeli nie zastosowali w należyty sposób ram prawnych. Elementy tych ram, które dostawcy usług internetowych powinni w szczególności rozważyć i uwzględnić, to między innymi następujące zagadnienia:






  — | dostawcy usług internetowych mogą stosować politykę zarządzania ruchem w celu zapewnienia bezpieczeństwa usługi oraz świadczenia usługi, w tym ograniczenia zatorów, zgodnie z art. 4 i 6 dyrektywy o prywatności i łączności elektronicznej, |
| --- | --- | --- |

80.

EIOD uważa w zasadzie, że istniejące ramy wspólnotowe dotyczące prywatności i ochrony danych, jeżeli będą należycie interpretowane, stosowane oraz egzekwowane, wystarczą w celu zagwarantowania przestrzegania prawa do poufności oraz ogólnie zapobieżenia niebezpieczeństwom dla prywatności i ochrony danych osób fizycznych (35). Dostawcy usług internetowych nie powinni wykorzystywać omawianych mechanizmów, jeżeli nie zastosowali w należyty sposób ram prawnych. Elementy tych ram, które dostawcy usług internetowych powinni w szczególności rozważyć i uwzględnić, to między innymi następujące zagadnienia:

—

dostawcy usług internetowych mogą stosować politykę zarządzania ruchem w celu zapewnienia bezpieczeństwa usługi oraz świadczenia usługi, w tym ograniczenia zatorów, zgodnie z art. 4 i 6 dyrektywy o prywatności i łączności elektronicznej,

| — | dostawcy usług internetowych potrzebują innej konkretnej podstawy prawnej, a potencjalnie również zgody użytkowników, aby stosować politykę zarządzania ruchem związaną z przetwarzaniem danych o ruchu lub komunikacji w celach innych niż powyższe. Na przykład świadoma zgoda użytkowników jest niezbędna, aby monitorować i filtrować komunikację osób fizycznych w celu ograniczenia (lub umożliwienia) dostępu do niektórych aplikacji i usług takich jak P2P lub telefonia internetowa, |
| --- | --- |

—

dostawcy usług internetowych potrzebują innej konkretnej podstawy prawnej, a potencjalnie również zgody użytkowników, aby stosować politykę zarządzania ruchem związaną z przetwarzaniem danych o ruchu lub komunikacji w celach innych niż powyższe. Na przykład świadoma zgoda użytkowników jest niezbędna, aby monitorować i filtrować komunikację osób fizycznych w celu ograniczenia (lub umożliwienia) dostępu do niektórych aplikacji i usług takich jak P2P lub telefonia internetowa,

| — | zgoda musi być dobrowolna, wyraźna i świadoma. Powinna ona zostać wyrażona przez konkretne działanie. W wymogach tych kładzie się silny nacisk na potrzebę większych wysiłków mających na celu należyte informowanie osób fizycznych w bezpośredni, zrozumiały i konkretny sposób, aby mogły one ocenić skutki danych praktyk i ostatecznie podjąć świadomą decyzję. Biorąc pod uwagę złożoność omawianych technik, uprzednie przedstawienie zrozumiałych informacji użytkownikom jest jednym z największych wyzwań, jeżeli chodzi o uzyskanie świadomej zgody. Oprócz tego użytkownicy, którzy nie zgadzają się na żadne monitorowanie, nie powinni odczuć negatywnych konsekwencji (w tym również kosztów finansowych), |
| --- | --- |

—

zgoda musi być dobrowolna, wyraźna i świadoma. Powinna ona zostać wyrażona przez konkretne działanie. W wymogach tych kładzie się silny nacisk na potrzebę większych wysiłków mających na celu należyte informowanie osób fizycznych w bezpośredni, zrozumiały i konkretny sposób, aby mogły one ocenić skutki danych praktyk i ostatecznie podjąć świadomą decyzję. Biorąc pod uwagę złożoność omawianych technik, uprzednie przedstawienie zrozumiałych informacji użytkownikom jest jednym z największych wyzwań, jeżeli chodzi o uzyskanie świadomej zgody. Oprócz tego użytkownicy, którzy nie zgadzają się na żadne monitorowanie, nie powinni odczuć negatywnych konsekwencji (w tym również kosztów finansowych),

| — | gdy dostawcy usług internetowych wdrażają politykę zarządzania ruchem, zasada proporcjonalności odgrywa podstawową rolę niezależnie od podstaw prawnych i celu przetwarzania: świadczenia usług, unikania zatorów lub oferowania ukierunkowanych abonamentów z dostępem do pewnych usług i aplikacji lub bez niego. Zasada ta ogranicza dostawcom usług internetowych możliwość monitorowania treści komunikacji osób fizycznych, które wiąże się z przetwarzaniem nadmiernej ilości informacji lub zyskami wyłącznie dla dostawcy usług internetowych. To, co z logistycznego punktu widzenia mogą robić dostawcy usług internetowych, zależy od stopnia naruszenia prywatności przez stosowane techniki, wymaganych rezultatów (z których mogą wynikać zyski) oraz konkretnych zastosowanych zabezpieczeń prywatności i bezpieczeństwa danych. Przed wdrożeniem technik inspekcji dostawcy usług internetowych muszą przeprowadzić ocenę, czy są one zgodne z zasadą proporcjonalności. |
| --- | --- |

—

gdy dostawcy usług internetowych wdrażają politykę zarządzania ruchem, zasada proporcjonalności odgrywa podstawową rolę niezależnie od podstaw prawnych i celu przetwarzania: świadczenia usług, unikania zatorów lub oferowania ukierunkowanych abonamentów z dostępem do pewnych usług i aplikacji lub bez niego. Zasada ta ogranicza dostawcom usług internetowych możliwość monitorowania treści komunikacji osób fizycznych, które wiąże się z przetwarzaniem nadmiernej ilości informacji lub zyskami wyłącznie dla dostawcy usług internetowych. To, co z logistycznego punktu widzenia mogą robić dostawcy usług internetowych, zależy od stopnia naruszenia prywatności przez stosowane techniki, wymaganych rezultatów (z których mogą wynikać zyski) oraz konkretnych zastosowanych zabezpieczeń prywatności i bezpieczeństwa danych. Przed wdrożeniem technik inspekcji dostawcy usług internetowych muszą przeprowadzić ocenę, czy są one zgodne z zasadą proporcjonalności.

| 81. | Choć obecne ramy prawne uwzględniają stosowne warunki i zabezpieczenia, trzeba zwracać szczególną uwagę na to, czy dostawcy usług internetowych w skuteczny sposób spełniają wymogi prawne, czy dostarczają konsumentom informacji niezbędnych w celu dokonania racjonalnych wyborów i czy przestrzegają zasady proporcjonalności. Na szczeblu krajowym organy odpowiedzialne za powyższe to z jednej strony krajowe organy ds. telekomunikacji, z drugiej zaś krajowe organy ochrony danych. Na szczeblu UE stosownym organem jest m.in. BEREC. EIOD może również być zdolny odegrać rolę w tym kontekście. |
| --- | --- |

81.

Choć obecne ramy prawne uwzględniają stosowne warunki i zabezpieczenia, trzeba zwracać szczególną uwagę na to, czy dostawcy usług internetowych w skuteczny sposób spełniają wymogi prawne, czy dostarczają konsumentom informacji niezbędnych w celu dokonania racjonalnych wyborów i czy przestrzegają zasady proporcjonalności. Na szczeblu krajowym organy odpowiedzialne za powyższe to z jednej strony krajowe organy ds. telekomunikacji, z drugiej zaś krajowe organy ochrony danych. Na szczeblu UE stosownym organem jest m.in. BEREC. EIOD może również być zdolny odegrać rolę w tym kontekście.

| 82. | Oprócz monitorowania aktualnego poziomu zgodności z przepisami, biorąc pod uwagę stosunkowo nową możliwość masowej inspekcji komunikacji w czasie rzeczywistym, niektóre poruszone w obecnej opinii aspekty związane z zastosowaniem ram wymagają dogłębniejszej analizy i dalszego wyjaśnienia. Szczególnie istotne wytyczne w kilku obszarach to między innymi:






  — | określenie legalnych praktyk w zakresie inspekcji zapewniających płynność ruchu, które mogą nie wymagać zgody użytkowników, jak na przykład zwalczanie spamu. Oprócz stopnia, w jakim stosowany monitoring narusza prywatność, istotne są też aspekty takie jak na przykład stopień zakłócenia płynności ruchu, do jakiego doszłoby w przeciwnym razie, |
| --- | --- | --- |

82.

Oprócz monitorowania aktualnego poziomu zgodności z przepisami, biorąc pod uwagę stosunkowo nową możliwość masowej inspekcji komunikacji w czasie rzeczywistym, niektóre poruszone w obecnej opinii aspekty związane z zastosowaniem ram wymagają dogłębniejszej analizy i dalszego wyjaśnienia. Szczególnie istotne wytyczne w kilku obszarach to między innymi:

—

określenie legalnych praktyk w zakresie inspekcji zapewniających płynność ruchu, które mogą nie wymagać zgody użytkowników, jak na przykład zwalczanie spamu. Oprócz stopnia, w jakim stosowany monitoring narusza prywatność, istotne są też aspekty takie jak na przykład stopień zakłócenia płynności ruchu, do jakiego doszłoby w przeciwnym razie,

| — | określenie technik inspekcji wykorzystywanych w celach związanych z bezpieczeństwem, które mogą nie wymagać zgody użytkowników, |
| --- | --- |

—

określenie technik inspekcji wykorzystywanych w celach związanych z bezpieczeństwem, które mogą nie wymagać zgody użytkowników,

| — | określenie, kiedy monitorowanie wymaga zgody osoby fizycznej, zwłaszcza zgody wszystkich zainteresowanych użytkowników, oraz dopuszczalnych parametrów technicznych w celu zagwarantowania, że technika inspekcji nie wiąże się z przetwarzaniem danych, które nie jest proporcjonalne z punktu widzenia zamierzonych celów, |
| --- | --- |

—

określenie, kiedy monitorowanie wymaga zgody osoby fizycznej, zwłaszcza zgody wszystkich zainteresowanych użytkowników, oraz dopuszczalnych parametrów technicznych w celu zagwarantowania, że technika inspekcji nie wiąże się z przetwarzaniem danych, które nie jest proporcjonalne z punktu widzenia zamierzonych celów,

| — | ponadto w trzech powyższych przypadkach mogą być potrzebne wytyczne co do zastosowania niezbędnych zabezpieczeń służących ochronie danych (zasada celowości, bezpieczeństwo itp.). |
| --- | --- |

—

ponadto w trzech powyższych przypadkach mogą być potrzebne wytyczne co do zastosowania niezbędnych zabezpieczeń służących ochronie danych (zasada celowości, bezpieczeństwo itp.).

| 83. | Biorąc pod uwagę, że kompetencje w tej dziedzinie przysługują zarówno państwom członkowskim, jak i UE, zdaniem EIOD niezbędna jest wymiana poglądów oraz doświadczeń w celu wypracowania zharmonizowanego podejścia. W tym celu EIOD sugeruje stworzenie platformy lub grupy eksperckiej, która powinna gromadzić przedstawicieli krajowych organów regulacyjnych, Grupy Roboczej Art. 29, EIOD i BEREC. Pierwszym celem tej platformy byłoby opracowanie wytycznych, przynajmniej w odniesieniu do kwestii wskazanych powyżej, aby zapewnić solidne i zharmonizowane podejście oraz równe warunki działania. EIOD wzywa Komisję do zorganizowania takiej inicjatywy. |
| --- | --- |

83.

Biorąc pod uwagę, że kompetencje w tej dziedzinie przysługują zarówno państwom członkowskim, jak i UE, zdaniem EIOD niezbędna jest wymiana poglądów oraz doświadczeń w celu wypracowania zharmonizowanego podejścia. W tym celu EIOD sugeruje stworzenie platformy lub grupy eksperckiej, która powinna gromadzić przedstawicieli krajowych organów regulacyjnych, Grupy Roboczej Art. 29, EIOD i BEREC. Pierwszym celem tej platformy byłoby opracowanie wytycznych, przynajmniej w odniesieniu do kwestii wskazanych powyżej, aby zapewnić solidne i zharmonizowane podejście oraz równe warunki działania. EIOD wzywa Komisję do zorganizowania takiej inicjatywy.

| 84. | Wreszcie, zarówno organy krajowe, jak i ich odpowiedniki na szczeblu UE, w tym BEREC i Komisja Europejska, muszą uważnie obserwować wydarzenia zachodzące na rynku w związku z tą dziedziną. Z punktu widzenia ochrony danych i prywatności scenariusz, w którym dostawcy usług internetowych rutynowo zarządzają ruchem, oferując abonamenty oparte na filtrowaniu dostępu do treści i aplikacji, byłby wysoce problematyczny. Gdyby taka sytuacja miała kiedykolwiek zaistnieć, należałoby wprowadzić stosowne prawodawstwo. |
| --- | --- |

84.

Wreszcie, zarówno organy krajowe, jak i ich odpowiedniki na szczeblu UE, w tym BEREC i Komisja Europejska, muszą uważnie obserwować wydarzenia zachodzące na rynku w związku z tą dziedziną. Z punktu widzenia ochrony danych i prywatności scenariusz, w którym dostawcy usług internetowych rutynowo zarządzają ruchem, oferując abonamenty oparte na filtrowaniu dostępu do treści i aplikacji, byłby wysoce problematyczny. Gdyby taka sytuacja miała kiedykolwiek zaistnieć, należałoby wprowadzić stosowne prawodawstwo.

VII.   WNIOSKI

| 85. | Coraz częstsze wykorzystywanie technik monitorowania i inspekcji przez dostawców usług internetowych narusza neutralność sieci oraz poufność komunikacji. Pociąga to za sobą poważne pytania dotyczące ochrony prywatności i danych osobowych użytkowników. |
| --- | --- |

85.

Coraz częstsze wykorzystywanie technik monitorowania i inspekcji przez dostawców usług internetowych narusza neutralność sieci oraz poufność komunikacji. Pociąga to za sobą poważne pytania dotyczące ochrony prywatności i danych osobowych użytkowników.

| 86. | Chociaż w komunikacie Komisji w sprawie otwartego Internetu i neutralności sieci w Europie pokrótce omawia się te zagadnienia, zdaniem EIOD należy uczynić więcej, aby wypracować zadowalającą politykę na przyszłość. Dlatego też w obecnej opinii EIOD wnosi wkład w toczącą się debatę na temat neutralności sieci, zwłaszcza w odniesieniu do ochrony danych i prywatności. |
| --- | --- |

86.

Chociaż w komunikacie Komisji w sprawie otwartego Internetu i neutralności sieci w Europie pokrótce omawia się te zagadnienia, zdaniem EIOD należy uczynić więcej, aby wypracować zadowalającą politykę na przyszłość. Dlatego też w obecnej opinii EIOD wnosi wkład w toczącą się debatę na temat neutralności sieci, zwłaszcza w odniesieniu do ochrony danych i prywatności.

| 87. | EIOD uważa, że krajowe organy i BEREC powinny monitorować sytuację na rynku. Monitorowanie powinno poskutkować jasnym obrazem pozwalającym stwierdzić, czy rynek ewoluuje w kierunku masowej inspekcji komunikacji w czasie rzeczywistym i problemów z przestrzeganiem ram prawnych. |
| --- | --- |

87.

EIOD uważa, że krajowe organy i BEREC powinny monitorować sytuację na rynku. Monitorowanie powinno poskutkować jasnym obrazem pozwalającym stwierdzić, czy rynek ewoluuje w kierunku masowej inspekcji komunikacji w czasie rzeczywistym i problemów z przestrzeganiem ram prawnych.

| 88. | Monitorowanie rynku nie powinno odbywać się w oderwaniu od dalszej analizy skutków nowych praktyk z punktu widzenia ochrony danych i prywatności w Internecie. W obecnej opinii zarysowano pewne obszary, w których użyteczne byłyby wyjaśnienia. Chociaż agencje i organy UE, takie jak BEREC, Grupa Robocza Art. 29 oraz EIOD mogą być w stanie wyjaśnić warunki stosowania ram, zdaniem EIOD obowiązek koordynacji tej debaty oraz sterowania nią spoczywa na Komisji. Dlatego też EIOD wzywa Komisję do podjęcia w tym celu inicjatywy angażującej wszystkie zainteresowane strony w formie platformy lub grupy roboczej. Jeżeli chodzi o kwestie wymagające dalszej analizy, należy zająć się następującymi zagadnieniami:






  — | określeniem legalnych praktyk w zakresie inspekcji zapewniających płynność ruchu oraz mających na celu zapewnienie bezpieczeństwa, |
| --- | --- | --- |

88.

Monitorowanie rynku nie powinno odbywać się w oderwaniu od dalszej analizy skutków nowych praktyk z punktu widzenia ochrony danych i prywatności w Internecie. W obecnej opinii zarysowano pewne obszary, w których użyteczne byłyby wyjaśnienia. Chociaż agencje i organy UE, takie jak BEREC, Grupa Robocza Art. 29 oraz EIOD mogą być w stanie wyjaśnić warunki stosowania ram, zdaniem EIOD obowiązek koordynacji tej debaty oraz sterowania nią spoczywa na Komisji. Dlatego też EIOD wzywa Komisję do podjęcia w tym celu inicjatywy angażującej wszystkie zainteresowane strony w formie platformy lub grupy roboczej. Jeżeli chodzi o kwestie wymagające dalszej analizy, należy zająć się następującymi zagadnieniami:

—

określeniem legalnych praktyk w zakresie inspekcji zapewniających płynność ruchu oraz mających na celu zapewnienie bezpieczeństwa,

| — | określeniem, kiedy monitorowanie wymaga zgody osoby fizycznej, zwłaszcza zgody wszystkich zainteresowanych użytkowników, oraz dopuszczalnych parametrów technicznych w celu zagwarantowania, że technika inspekcji nie wiąże się z przetwarzaniem danych, które nie jest proporcjonalne z punktu widzenia zamierzonych celów, |
| --- | --- |

—

określeniem, kiedy monitorowanie wymaga zgody osoby fizycznej, zwłaszcza zgody wszystkich zainteresowanych użytkowników, oraz dopuszczalnych parametrów technicznych w celu zagwarantowania, że technika inspekcji nie wiąże się z przetwarzaniem danych, które nie jest proporcjonalne z punktu widzenia zamierzonych celów,

| — | w powyższych przypadkach mogą być potrzebne wytyczne co do zastosowania niezbędnych zabezpieczeń służących ochronie danych (zasada celowości, bezpieczeństwo itp.). |
| --- | --- |

—

w powyższych przypadkach mogą być potrzebne wytyczne co do zastosowania niezbędnych zabezpieczeń służących ochronie danych (zasada celowości, bezpieczeństwo itp.).

| 89. | W zależności od dokonanych ustaleń niezbędne mogą być dodatkowe środki ustawodawcze. W takim przypadku Komisja powinna przedstawić środki mające na celu wzmocnienie ram prawnych i zagwarantowanie pewności prawa. Nowe środki powinny posłużyć wyjaśnieniu praktycznych konsekwencji zasady neutralności sieci, gdyż dokonano tego już w niektórych państwach członkowskich, jak też umożliwieniu użytkownikom dokonywania rzeczywistych wyborów, w szczególności zmuszając dostawców usług internetowych do oferowania niemonitorowanych połączeń. |
| --- | --- |

89.

W zależności od dokonanych ustaleń niezbędne mogą być dodatkowe środki ustawodawcze. W takim przypadku Komisja powinna przedstawić środki mające na celu wzmocnienie ram prawnych i zagwarantowanie pewności prawa. Nowe środki powinny posłużyć wyjaśnieniu praktycznych konsekwencji zasady neutralności sieci, gdyż dokonano tego już w niektórych państwach członkowskich, jak też umożliwieniu użytkownikom dokonywania rzeczywistych wyborów, w szczególności zmuszając dostawców usług internetowych do oferowania niemonitorowanych połączeń.

Sporządzono w Brukseli dnia 7 października 2011 r.

Peter HUSTINX

Europejski Inspektor Ochrony Danych

---

(1)  Dz.U. L 281 z 23.11.1995, s. 31 („dyrektywa o ochronie danych”).

1

(2)  Dz.U. L 8 z 12.1.2001, s. 1 („rozporządzenie o ochronie danych”).

2

(3)  Dz.U. L 201 z 31.7.2002, s. 37, zmieniona dyrektywą 2009/136/WE Parlamentu Europejskiego i Rady z dnia 25 listopada 2009 r. (zob. przypis 15) („dyrektywa o prywatności i łączności elektronicznej”).

3

(4)  COM(2011) 222 wersja ostateczna.

4

(5)  W swojej odpowiedzi EIOD podkreślił znaczenie uwzględnienia obok innych praw oraz wartości zagadnień ochrony danych i prywatności. Odpowiedź ta jest dostępna przed adresem: http://www.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/Consultation/Comments/2010/10-10-06_EC_Consultation_Open_Internet_EN.pdf

5

(6)  Dostępny pod adresem: http://register.consilium.europa.eu/pdf/en/11/st14/st14209.en11.pdf

6

(7)  Obejmuje to świadczenie usług dotyczących zarówno stacjonarnego, jak i mobilnego dostępu do Internetu.

7

(8)  Zasada ta nie dotyczy jednak ograniczania przez dostawców usług internetowych szybkości łącza lub ilości informacji, które abonent może przesłać lub otrzymać w przypadku abonamentu z ograniczeniem szerokości pasma lub ilości danych. W związku z tym zgodnie z zasadą neutralności sieci dostawcy usług internetowych mogliby nadal oferować abonamenty internetowe z ograniczeniem dostępu w oparciu o kryteria takie jak prędkość lub ilość danych, jeżeli tylko nie wymagałoby to faworyzowania lub dyskryminacji konkretnych treści.

8

(9)  Zob. np. przyjęty w dniu 27 maja 2011 r. raport OFCOM zatytułowany „Site blocking to reduce online copyright infringement” („Blokowanie stron internetowych w celu ograniczenia naruszania praw autorskich w internecie”) dostępny pod adresem: http://www.culture.gov.uk/images/publications/Ofcom_Site-Blocking-_report_with_redactions_vs2.pdf „Niektórzy dostawcy usług internetowych już teraz stosują w swoich sieciach systemy inspekcji pakietów do celów zarządzania ruchem i innych, zakładamy więc, że rozwiązanie takie można wdrożyć, choć będzie się to wiązać ze znacznymi komplikacjami i kosztami dla podmiotów, które nie uruchomiły jeszcze takich usług. Możliwe, że w perspektywie krótko- i średnioterminowej, ze względu na wymagane nakłady inwestycyjne, głęboką inspekcję pakietów będą w stanie wdrożyć tylko więksi dostawcy usług internetowych”.

9

(10)  Jakość działania aplikacji czasu rzeczywistego takich jak strumieniowa transmisja wideo zależy między innymi od latencji, tj. opóźnienia wynikającego na przykład z obciążenia sieci ruchem.

10

(11)  Nie uwzględnia to działań mających na celu zwiększenie bezpieczeństwa sieci i wykrycie szkodliwego ruchu oraz operacji wymaganych w związku z rozliczeniami i połączeniami z innymi operatorami. Nie uwzględnia też obowiązków wynikających z dyrektywy w sprawie zatrzymywania danych – dyrektywy 2006/24/WE Parlamentu Europejskiego i Rady z dnia 15 marca 2006 r. w sprawie zatrzymywania generowanych lub przetwarzanych danych w związku ze świadczeniem ogólnie dostępnych usług łączności elektronicznej lub udostępnianiem publicznych sieci łączności oraz zmieniającej dyrektywę 2002/58/WE (Dz.U. L 105 z 13.4.2006, s. 54) („dyrektywa w sprawie zatrzymywania danych”).

11

(12)  Dyrektywa 2002/21/WE z dnia 7 marca 2002 r. w sprawie wspólnych ram regulacyjnych sieci i usług łączności elektronicznej zmieniona dyrektywą 2009/140/WE i rozporządzeniem (WE) nr 544/2009 (Dz.U. L 337 z 18.12.2009, s. 37).

12

(13)  Zob. pkt 3 lit. e), w którym Rada wskazuje: „Potrzeba utrzymania otwartości Internetu przy jednoczesnym zagwarantowaniu, że będzie on mógł nadal dostarczać wysokiej jakości usług w ramach wspierających prawa podstawowe takie jak wolność wypowiedzi i wolność działalności gospodarczej oraz cechujących się poszanowaniem tych praw”, oraz pkt 8 lit. d), w którym państwa członkowskie zachęca się, aby „celem swojej polityki uczyniły otwarty i neutralny charakter Internetu”.

13

(14)  Dyrektywa 2002/22/WE zmieniona dyrektywą 2009/136/WE Parlamentu Europejskiego i Rady z dnia 25 listopada 2009 r. zmieniającą dyrektywę 2002/22/WE w sprawie usługi powszechnej i związanych z sieciami i usługami łączności elektronicznej praw użytkowników, dyrektywę 2002/58/WE dotyczącą przetwarzania danych osobowych i ochrony prywatności w sektorze łączności elektronicznej oraz rozporządzenie (WE) nr 2006/2004 w sprawie współpracy między organami krajowymi odpowiedzialnymi za egzekwowanie przepisów prawa w zakresie ochrony konsumentów (Dz.U. L 337 z 18.12.2009, s. 11). Por. również art. 1 ust. 3, w którym stwierdza się, że dyrektywa nie dopuszcza ani nie zakazuje warunków – nakładanych przez dostawców usług internetowych – ograniczających użytkownikom końcowym dostęp do usług i aplikacji lub korzystanie z nich, w przypadku gdy jest to dopuszczalne na mocy prawa krajowego i zgodne z prawem wspólnotowym; ustanawia jednak obowiązek dostarczania informacji dotyczących takich warunków.

14

(15)  Dyrektywa 2009/136/WE Parlamentu Europejskiego i Rady z dnia 25 listopada 2009 r. zmieniająca dyrektywę 2002/22/WE w sprawie usługi powszechnej i związanych z sieciami i usługami łączności elektronicznej praw użytkowników, dyrektywę 2002/58/WE dotyczącą przetwarzania danych osobowych i ochrony prywatności w sektorze łączności elektronicznej oraz rozporządzenie (WE) nr 2006/2004 w sprawie współpracy między organami krajowymi odpowiedzialnymi za egzekwowanie przepisów prawa w zakresie ochrony konsumentów.

15

(16)  Treść holenderskiej poprawki w oryginale można znaleźć pod adresem: https://zoek.officielebekendmakingen.nl/kst-32549-A.html Jak donosiła prasa, zdecydowano się na nią nie ze względu na kwestie związane z ochroną danych i prywatnością, ale ze względu na potrzebę zagwarantowania, że użytkownicy nie zostaną pozbawieni dostępu do informacji lub nie zostanie on ograniczony. Wydaje się zatem, że motywacją do wprowadzenia poprawki były zagadnienia związane z dostępem do informacji.

16

(17)  Porównaj: przypis 4.

17

(18)  Zob. pkt 4 lit. e), w którym Rada wskazuje: „Istnieją pewne obawy, zgłaszane głównie przez konsumentów i organy ochrony danych, dotyczące ochrony danych osobowych”.

18

(19)  Jak opisano bardziej szczegółowo w sekcji IV.2, protokoły takie (HTTP, FTP itp.) służą zakodowaniu informacji przesyłanych między punktem początkowym a końcowym w uzgodniony sposób, aby uczestnicy komunikacji wzajemnie się zrozumieli.

19

(20)  Osprzęt sieciowy wykorzystywany w Internecie korzysta niemniej z protokołów trasowania opartych na rejestracji aktywności, przetwarzaniu statystyk ruchu i wymianie informacji z pozostałym osprzętem sieciowym w celu kierowania pakietów IP najefektywniejszą drogą. Na przykład jeżeli dane łącze jest przeciążone lub uszkodzone i router otrzyma taką informację, aktualizuje on swoją tablicę trasowania, uwzględniając alternatywną drogę, która nie wykorzystuje tego łącza. Warto również zauważyć, że gromadzenie i przetwarzanie danych może w pewnych przypadkach odbywać się w związku z rozliczeniami, a wręcz zgodnie z wymogami dyrektywy w sprawie zatrzymywania danych.

20

(21)  HTTP (Hypertext Transfer Protocol) lub HTML (Hypertext Markup Language).

21

Hypertext Transfer Protocol

Hypertext Markup Language

(22)  FTP (File Transfer Protocol).

22

File Transfer Protocol

(23)  Istnieją różne sposoby identyfikacji wykorzystywanych protokołów. Można przeszukiwać konkretne pola protokołów wewnętrznych, np. w celu identyfikacji portów wykorzystywanych do nawiązania łączności. Można też uzyskać charakterystykę statystyczną strumienia komunikacji, analizując pewne konkretne pola i korelując protokoły wykorzystywane równocześnie w komunikacji między dwoma adresami IP.

23

(24)  Każdy protokół zawiera w nagłówku pewne pola dostarczające dodatkowych nieformalnych informacji o przesyłanej wiadomości. Dlatego też zawartość tych pól można określić jako metadane związane z wiadomością. Przykładem takich pól może być numer wykorzystywanego portu – gdy jest to np. numer 80, prawdopodobne jest, że chodzi o przeglądanie stron internetowych.

24

(25)  Możliwość śledzenia posiadają oczywiście nie tylko dostawcy usług internetowych. Dostawcy reklam również potrafią śledzić korzystanie z różnych stron internetowych przez użytkowników, korzystając z plików cookie osób trzecich (ang. third party cookies). Niedawno opublikowano artykuł dowodzący, że Google jest obecny na 97 ze 100 najważniejszych stron internetowych, co oznacza, że potrafi śledzić użytkowników, którzy nie zrezygnowali z używania plików cookie osób trzecich, gdy wchodzą oni na te popularne witryny. Zob.: Ayenson, Mika, Wambach, Dietrich James, Soltani, Ashkan, Good, Nathan and Hoofnagle, Chris Jay, Flash Cookies and Privacy II: Now with HTML5 and ETag Respawning (29 lipca 2011 r.). Artykuł dostępny w SSRN: http://ssrn.com/abstract=1898390. Problemem śledzenia użytkowników przy wykorzystaniu plików cookie osób trzecich zajęła się Grupa Robocza Art. 29. Zob. opinia 2/2010 w sprawie internetowej reklamy behawioralnej przyjęta w dniu 22 czerwca 2010 r. (WP 171).

25

cookie

third party cookies

cookie

Flash Cookies and Privacy II: Now with HTML5 and ETag Respawning

cookie

(26)  W motywie 10 dyrektywy 2002/58/WE stwierdza się: „W sektorze łączności elektronicznej dyrektywę 95/46/WE stosuje się w szczególności do wszystkich spraw dotyczących ochrony podstawowych praw i wolności, które nie są szczegółowo objęte przepisami niniejszej dyrektywy, włączając zobowiązania nałożone na kontrolera oraz prawa jednostek”. O zgodzie osób, których dane dotyczą, wspomina się w motywie 17: „Do celów niniejszej dyrektywy, zgoda użytkownika lub abonenta, niezależnie od tego czy abonentem jest osoba fizyczna czy prawna, powinna mieć to samo znaczenie co zgoda podmiotu danych opisana i szerzej określona w dyrektywie 95/46/WE”.

26

(27)  Opinia 2/2006 Grupy Roboczej Art. 29 dotycząca kwestii prywatności w związku ze świadczeniem usług skanowania wiadomości elektronicznych, przyjęta w dniu 21 lutego 2006 r. (WP 118). W opinii tej Grupa Robocza stwierdza, że wykorzystanie filtrów do celów określonych w art. 4 może być zgodne z art. 5 dyrektywy o prywatności i łączności elektronicznej.

27

(28)  W motywie 18 dyrektywy zawarto przykładowy wykaz usług tworzących wartość dodaną. To, czy usługi, do których odnosi się polityka zarządzania ruchem, mogłyby być interpretowane jako należące do tego wykazu, nie jest jasne. Politykę zarządzania ruchem mającą na celu przyznanie priorytetu pewnym treściom można uznać za służącą zapewnieniu jakości usług. Na przykład zarządzanie ruchem wiążące się wyłącznie z przetwarzaniem nagłówków IP w celu zaoferowania w wyższej cenie usług związanych z grami, w ramach których generowany przez użytkowników ruch związany z grami jest w sposób priorytetowy przesyłany przez sieć, można uznać za usługę tworzącą wartość dodaną. Z drugiej strony w żadnym wypadku nie jest jasne, czy zarządzanie ruchem mające ograniczyć pewne rodzaje ruchu, na przykład zredukować priorytet ruchu P2P, można uznać za taką usługę.

28

(29)  Zob. motyw 17 i art. 2 lit. f) dyrektywy o prywatności i łączności elektronicznej.

29

(30)  Przyjętej w dniu 13 lipca 2011 r. (WP 187).

30

(31)  Podobny przypadek zachodzi w odniesieniu do przekazywania danych PNR, gdzie dyskutowano, czy zgoda pasażerów na przekazanie danych o rezerwacji władzom USA jest ważna. Zdaniem Grupy Roboczej zgoda pasażerów nie może być dobrowolna, gdyż linie lotnicze mają obowiązek przesłać te dane przed odlotem, w związku z czym pasażerowie nie mają realnego wyboru, jeżeli chcą odbyć podróż; opinia 6/2002 Grupy Roboczej Art. 29 w sprawie przekazywania informacji na temat listy pasażerów i innych danych przez linie lotnicze Stanom Zjednoczonym.

31

(32)  Dyrektywa 2009/136/WE z dnia 25 listopada 2009 r. zmieniająca dyrektywę 2002/22/WE w sprawie usługi powszechnej i związanych z sieciami i usługami łączności elektronicznej praw użytkowników (zob. przypis 15).

32

(33)  Pomimo faktu, że występują przypadki, gdzie ruch WWW wiąże się z przesyłaniem danych osobowych jak np. zdjęć dających się zidentyfikować osób fizycznych zamieszczonych na stronie internetowej. Przetwarzanie takich danych wymaga podstaw prawnych, ale nie jest objęte art. 5 ust. 1, gdyż osoby te nie są „zainteresowanymi użytkownikami”.

33

(34)  Jak wskazano powyżej, dyrektywa o ochronie danych ma zastosowanie do wszystkich kwestii związanych z ochroną praw i wolności podstawowych, których nie dotyczy konkretnie dyrektywa o prywatności i łączności elektronicznej.

34

(35)  Nie zmienia to faktu, że istnieje potrzeba zmian prawa w związku z innymi zagadnieniami, szczególnie w kontekście ogólnego przeglądu ram prawnych ochrony danych w UE, aby uczynić je skuteczniejszymi w obliczu nowych technologii i globalizacji.

35

---

| 8.2.2012 | PL | Dziennik Urzędowy Unii Europejskiej | C 34/18 |
| --- | --- | --- | --- |

8.2.2012

PL

Dziennik Urzędowy Unii Europejskiej

C 34/18

---

Opinia Europejskiego Inspektora Ochrony Danych w sprawie komunikatu Komisji do Parlamentu Europejskiego, Rady, Europejskiego Komitetu Ekonomiczno-Społecznego i Komitetu Regionów w sprawie migracji

2012/C 34/02

EUROPEJSKI INSPEKTOR OCHRONY DANYCH,

uwzględniając Traktat o funkcjonowaniu Unii Europejskiej, w szczególności jego art. 16,

uwzględniając Kartę praw podstawowych Unii Europejskiej, w szczególności jej art. 7 i 8,

uwzględniając dyrektywę 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (1),

uwzględniając rozporządzenie (WE) nr 45/2001 Parlamentu Europejskiego i Rady z dnia 18 grudnia 2000 r. o ochronie osób fizycznych w związku z przetwarzaniem danych osobowych przez instytucje i organy wspólnotowe i o swobodnym przepływie takich danych, w szczególności jego art. 41 (2),

PRZYJMUJE NASTĘPUJĄCĄ OPINIĘ:

I.   WPROWADZENIE

| 1. | W dniu 4 maja 2011 r. Komisja wydała komunikat w sprawie migracji (3) („komunikat”). Zgodnie z art. 41 rozporządzenia (WE) nr 45/2001 EIOD przedstawia niniejszą opinię z własnej inicjatywy. |
| --- | --- |

1.

W dniu 4 maja 2011 r. Komisja wydała komunikat w sprawie migracji (3) („komunikat”). Zgodnie z art. 41 rozporządzenia (WE) nr 45/2001 EIOD przedstawia niniejszą opinię z własnej inicjatywy.

| 2. | Przed przyjęciem komunikatu nie skonsultowano się z EIOD. Jest to godne ubolewania, gdyż uwagi przedstawione na wcześniejszym etapie mogłyby pomóc w rozwiązaniu niektórych problemów opisanych w niniejszej opinii. |
| --- | --- |

2.

Przed przyjęciem komunikatu nie skonsultowano się z EIOD. Jest to godne ubolewania, gdyż uwagi przedstawione na wcześniejszym etapie mogłyby pomóc w rozwiązaniu niektórych problemów opisanych w niniejszej opinii.

Cele i zakres komunikatu

| 3. | Celem komunikatu jest osadzenie niedawnych i przyszłych wniosków dotyczących polityki w ramach uwzględniających wszelkie istotne aspekty migracji oraz uniknięcie „krótkoterminowego podejścia ograniczonego do kontroli granic, bez uwzględnienia kwestii długoterminowych” (4). Został on sporządzony głównie w reakcji na obecne wydarzenia w Afryce Północnej, a w szczególności konflikt w Libii. |
| --- | --- |

3.

Celem komunikatu jest osadzenie niedawnych i przyszłych wniosków dotyczących polityki w ramach uwzględniających wszelkie istotne aspekty migracji oraz uniknięcie „krótkoterminowego podejścia ograniczonego do kontroli granic, bez uwzględnienia kwestii długoterminowych” (4). Został on sporządzony głównie w reakcji na obecne wydarzenia w Afryce Północnej, a w szczególności konflikt w Libii.

| 4. | Aby osiągnąć ten cel, w komunikacie zajęto się kwestiami pomocy humanitarnej, zarządzania granicami, wiz, azylu oraz potrzeby gospodarczej imigracji i integracji. Odniesiono się w nim do pewnych wniosków ustawodawczych – niektóre z nich są nowością, inne natomiast przedstawiono już wcześniej. Wiele z tych wniosków dotyczy zarządzania granicami, które stanowi ważny element komunikatu. Niektóre z nich wiązałyby się z przetwarzaniem danych osobowych na dużą skalę. |
| --- | --- |

4.

Aby osiągnąć ten cel, w komunikacie zajęto się kwestiami pomocy humanitarnej, zarządzania granicami, wiz, azylu oraz potrzeby gospodarczej imigracji i integracji. Odniesiono się w nim do pewnych wniosków ustawodawczych – niektóre z nich są nowością, inne natomiast przedstawiono już wcześniej. Wiele z tych wniosków dotyczy zarządzania granicami, które stanowi ważny element komunikatu. Niektóre z nich wiązałyby się z przetwarzaniem danych osobowych na dużą skalę.

| 5. | Komunikat jest zaledwie pierwszym z serii komunikatów i wniosków, które mają zostać wydane w najbliższej przyszłości; każdy z nich będzie rozwinięciem pewnych aspektów, o których mowa w omawianym komunikacie. W tym kontekście w konkluzjach Rady Europejskiej z dnia 23–24 czerwca 2011 r (5). wspomina się: „[w]ysiłki te zostaną także wzmocnione szybką realizacją prac nad »inteligentnymi granicami«, by zagwarantować zastosowanie nowych technologii do wyzwań w zakresie nadzoru nad granicami. W szczególności należy wdrożyć system wjazdu/wyjazdu i program rejestrowania podróżnych. Rada Europejska z zadowoleniem przyjmuje osiągnięte porozumienie dotyczące agencji do spraw zarządzania operacyjnego wielkoskalowymi systemami informatycznymi w przestrzeni wolności, bezpieczeństwa i sprawiedliwości”. |
| --- | --- |

5.

Komunikat jest zaledwie pierwszym z serii komunikatów i wniosków, które mają zostać wydane w najbliższej przyszłości; każdy z nich będzie rozwinięciem pewnych aspektów, o których mowa w omawianym komunikacie. W tym kontekście w konkluzjach Rady Europejskiej z dnia 23–24 czerwca 2011 r (5). wspomina się: „[w]ysiłki te zostaną także wzmocnione szybką realizacją prac nad »inteligentnymi granicami«, by zagwarantować zastosowanie nowych technologii do wyzwań w zakresie nadzoru nad granicami. W szczególności należy wdrożyć system wjazdu/wyjazdu i program rejestrowania podróżnych. Rada Europejska z zadowoleniem przyjmuje osiągnięte porozumienie dotyczące agencji do spraw zarządzania operacyjnego wielkoskalowymi systemami informatycznymi w przestrzeni wolności, bezpieczeństwa i sprawiedliwości”.

Cel opinii EIOD

| 6. | Chociaż kwestie ochrony danych nie są podstawowym tematem komunikatu, wspomniano w nim niemniej o pewnych inicjatywach i wnioskach z dziedziny zarządzania granicami, jak na przykład o systemie kontroli wjazdów i wyjazdów oraz programie rejestrowania podróżnych, które będą miały znaczące skutki z punktu widzenia podstawowego prawa do ochrony danych. W tym kontekście w komunikacie podkreślono, że kontrola granic przyczynia się znacząco do zwalczania przestępczości, odwołując się do strategii bezpieczeństwa wewnętrznego przedstawionej przez Komisję w 2010 r (6). |
| --- | --- |

6.

Chociaż kwestie ochrony danych nie są podstawowym tematem komunikatu, wspomniano w nim niemniej o pewnych inicjatywach i wnioskach z dziedziny zarządzania granicami, jak na przykład o systemie kontroli wjazdów i wyjazdów oraz programie rejestrowania podróżnych, które będą miały znaczące skutki z punktu widzenia podstawowego prawa do ochrony danych. W tym kontekście w komunikacie podkreślono, że kontrola granic przyczynia się znacząco do zwalczania przestępczości, odwołując się do strategii bezpieczeństwa wewnętrznego przedstawionej przez Komisję w 2010 r (6).

| 7. | Wiele spośród wspomnianych wniosków i inicjatyw zostanie szczegółowo rozwiniętych w przyszłości, w związku z czym omawiany komunikat dostarcza sposobności, aby omówić te inicjatywy na wczesnym etapie. W przypadku inicjatyw, które już przedłożono, np. wniosku w sprawie rozporządzenia zmieniającego rozporządzenie Frontex (7), stanowi to okazję do powtórzenia najważniejszych uwag zgłoszonych przy wcześniejszych okazjach przed ostatecznym przyjęciem przez Radę i Parlament Europejski. |
| --- | --- |

7.

Wiele spośród wspomnianych wniosków i inicjatyw zostanie szczegółowo rozwiniętych w przyszłości, w związku z czym omawiany komunikat dostarcza sposobności, aby omówić te inicjatywy na wczesnym etapie. W przypadku inicjatyw, które już przedłożono, np. wniosku w sprawie rozporządzenia zmieniającego rozporządzenie Frontex (7), stanowi to okazję do powtórzenia najważniejszych uwag zgłoszonych przy wcześniejszych okazjach przed ostatecznym przyjęciem przez Radę i Parlament Europejski.

| 8. | Celem niniejszej opinii nie jest analiza wszystkich obszarów polityki, których dotyczy komunikat, i wspomnianych w nim wniosków, ale:






  — | wskazanie kilku zasad ochrony danych oraz pojęć takich jak zasada celowości, konieczności, proporcjonalności i wbudowanej ochrony prywatności, które należy brać pod uwagę, wdrażając w praktyce podejście nakreślone w komunikacie, |
| --- | --- | --- |

8.

Celem niniejszej opinii nie jest analiza wszystkich obszarów polityki, których dotyczy komunikat, i wspomnianych w nim wniosków, ale:

—

wskazanie kilku zasad ochrony danych oraz pojęć takich jak zasada celowości, konieczności, proporcjonalności i wbudowanej ochrony prywatności, które należy brać pod uwagę, wdrażając w praktyce podejście nakreślone w komunikacie,

| — | omówienie poszczególnych środków wnioskowanych w komunikacie z punktu widzenia ochrony danych oraz przedstawienie już na tym etapie wskazówek, jak zapewnić należyte poszanowanie praw podstawowych, a w szczególności prawa do ochrony danych osobowych. |
| --- | --- |

—

omówienie poszczególnych środków wnioskowanych w komunikacie z punktu widzenia ochrony danych oraz przedstawienie już na tym etapie wskazówek, jak zapewnić należyte poszanowanie praw podstawowych, a w szczególności prawa do ochrony danych osobowych.

| 9. | W tym celu opinię podzielono na dwie części. W części pierwszej znajdują się uwagi na temat ogólnego podejścia obranego w komunikacie oraz kwestii horyzontalnych dotyczących komunikatu, jak na przykład potrzeby oceny oraz implikacji praw podstawowych z punktu widzenia projektowania systemów informatycznych. W części drugiej zawarto uwagi dotyczące konkretnych wniosków i inicjatyw (8). |
| --- | --- |

9.

W tym celu opinię podzielono na dwie części. W części pierwszej znajdują się uwagi na temat ogólnego podejścia obranego w komunikacie oraz kwestii horyzontalnych dotyczących komunikatu, jak na przykład potrzeby oceny oraz implikacji praw podstawowych z punktu widzenia projektowania systemów informatycznych. W części drugiej zawarto uwagi dotyczące konkretnych wniosków i inicjatyw (8).

II.   UWAGI OGÓLNE

Podejście obrane w komunikacie

| 10. | EIOD z zadowoleniem przyjmuje cel Komisji, którym jest uniknięcie „krótkoterminowego podejścia ograniczonego do kontroli granic, bez uwzględnienia kwestii długoterminowych” (9). Kompleksowe i skuteczne podejście do migracji nie może opierać się wyłącznie na kontroli granic – musi też uwzględniać inne aspekty. |
| --- | --- |

10.

EIOD z zadowoleniem przyjmuje cel Komisji, którym jest uniknięcie „krótkoterminowego podejścia ograniczonego do kontroli granic, bez uwzględnienia kwestii długoterminowych” (9). Kompleksowe i skuteczne podejście do migracji nie może opierać się wyłącznie na kontroli granic – musi też uwzględniać inne aspekty.

| 11. | Takie kompleksowe podejście musi cechować się poszanowaniem praw podstawowych migrantów i uchodźców, w tym ich prawa do ochrony danych. Jest to tym ważniejsze, że grupy te często wymagają szczególnej troski. |
| --- | --- |

11.

Takie kompleksowe podejście musi cechować się poszanowaniem praw podstawowych migrantów i uchodźców, w tym ich prawa do ochrony danych. Jest to tym ważniejsze, że grupy te często wymagają szczególnej troski.

| 12. | W tym kontekście w komunikacie wspomina się, że podwójnym celem Unii musi być utrzymanie wysokiego poziomu bezpieczeństwa przy jednoczesnym ułatwieniu przekraczania granic osobom, które „powinny zostać wpuszczone na terytorium UE, z pełnym poszanowaniem ich praw podstawowych” (10). To sformułowanie może wywoływać wrażenie, że prawa podstawowe osób, które – z różnych przyczyn – nie powinny zostać wpuszczone, nie muszą być szanowane. Według EIOD oczywiste jest, iż wśród ich praw niekoniecznie musi się znaleźć prawo do osiedlenia się na terytorium UE; w tym przypadku konieczna jest stosowna reakcja, na przykład zawrócenie takich osób, ale zawsze z poszanowaniem praw podstawowych. |
| --- | --- |

12.

W tym kontekście w komunikacie wspomina się, że podwójnym celem Unii musi być utrzymanie wysokiego poziomu bezpieczeństwa przy jednoczesnym ułatwieniu przekraczania granic osobom, które „powinny zostać wpuszczone na terytorium UE, z pełnym poszanowaniem ich praw podstawowych” (10). To sformułowanie może wywoływać wrażenie, że prawa podstawowe osób, które – z różnych przyczyn – nie powinny zostać wpuszczone, nie muszą być szanowane. Według EIOD oczywiste jest, iż wśród ich praw niekoniecznie musi się znaleźć prawo do osiedlenia się na terytorium UE; w tym przypadku konieczna jest stosowna reakcja, na przykład zawrócenie takich osób, ale zawsze z poszanowaniem praw podstawowych.

| 13. | Zauważa się, że jeżeli chodzi o zarządzanie granicami, w komunikacie opowiedziano się za podejściem w znacznym stopniu opartym na wykorzystaniu technologii. Między innymi zaleca się w nim wzmożenie nadzoru granic (zob. planowany europejski system nadzoru granic Eurosur) (11). Planuje się również zbadanie możliwości stworzenia nowych wielkoskalowych systemów informatycznych służących przetwarzaniu informacji o podróżnych (system kontroli wjazdów i wyjazdów oraz program rejestrowania podróżnych) (12). Wreszcie zaleca się objęcie istniejącymi systemami nowych użytkowników (w przypadku Eurodac) (13). Ta koncentracja na aspekcie technologicznym odzwierciedla ogólną tendencję widoczną w ostatnich latach. |
| --- | --- |

13.

Zauważa się, że jeżeli chodzi o zarządzanie granicami, w komunikacie opowiedziano się za podejściem w znacznym stopniu opartym na wykorzystaniu technologii. Między innymi zaleca się w nim wzmożenie nadzoru granic (zob. planowany europejski system nadzoru granic Eurosur) (11). Planuje się również zbadanie możliwości stworzenia nowych wielkoskalowych systemów informatycznych służących przetwarzaniu informacji o podróżnych (system kontroli wjazdów i wyjazdów oraz program rejestrowania podróżnych) (12). Wreszcie zaleca się objęcie istniejącymi systemami nowych użytkowników (w przypadku Eurodac) (13). Ta koncentracja na aspekcie technologicznym odzwierciedla ogólną tendencję widoczną w ostatnich latach.

Ocena istniejących instrumentów przed zaproponowaniem nowych i kryterium konieczności

| 14. | EIOD wielokrotnie podkreślał, że przed zaproponowaniem nowych instrumentów należy ocenić już istniejące (14). W tym kontekście, przywołując orzecznictwo Europejskiego Trybunału Praw Człowieka (15) i Trybunału Sprawiedliwości (16), EIOD wskazuje, że ingerencje w prawo do życia prywatnego muszą spełniać wymóg „konieczności w społeczeństwie demokratycznym” oraz być zgodne z zasadą proporcjonalności. Koncepcja konieczności wskazuje na to, że ciężar dowodu musi być większy niż jedynie wykazanie „użyteczności” (17). Sugeruje to, że wszelkim wnioskom musi towarzyszyć jednoznaczny dowód ich konieczności i proporcjonalności. |
| --- | --- |

14.

EIOD wielokrotnie podkreślał, że przed zaproponowaniem nowych instrumentów należy ocenić już istniejące (14). W tym kontekście, przywołując orzecznictwo Europejskiego Trybunału Praw Człowieka (15) i Trybunału Sprawiedliwości (16), EIOD wskazuje, że ingerencje w prawo do życia prywatnego muszą spełniać wymóg „konieczności w społeczeństwie demokratycznym” oraz być zgodne z zasadą proporcjonalności. Koncepcja konieczności wskazuje na to, że ciężar dowodu musi być większy niż jedynie wykazanie „użyteczności” (17). Sugeruje to, że wszelkim wnioskom musi towarzyszyć jednoznaczny dowód ich konieczności i proporcjonalności.

| 15. | Dowód taki należy przedstawić w postaci wystarczająco udokumentowanej (18) oceny wpływu na prywatność (19). Nie wystarczy tu wybiórcze użycie statystyki i szacunków. EIOD zdaje sobie sprawę, że zgromadzenie wiarygodnych informacji na temat zjawisk takich jak nielegalna migracja jest trudne; takie oceny skutków musiałyby jednak uwzględniać również alternatywne rozwiązania napotykanych problemów w celu minimalizacji skutków z punktu widzenia praw podstawowych (20). Sam fakt, że pewne rozwiązania techniczne są wykonalne, nie oznacza, iż są one konieczne i proporcjonalne. |
| --- | --- |

15.

Dowód taki należy przedstawić w postaci wystarczająco udokumentowanej (18) oceny wpływu na prywatność (19). Nie wystarczy tu wybiórcze użycie statystyki i szacunków. EIOD zdaje sobie sprawę, że zgromadzenie wiarygodnych informacji na temat zjawisk takich jak nielegalna migracja jest trudne; takie oceny skutków musiałyby jednak uwzględniać również alternatywne rozwiązania napotykanych problemów w celu minimalizacji skutków z punktu widzenia praw podstawowych (20). Sam fakt, że pewne rozwiązania techniczne są wykonalne, nie oznacza, iż są one konieczne i proporcjonalne.

| 16. | Jeżeli ocena prowadzi do wniosku, że potrzebne są nowe wielkoskalowe systemy informatyczne, przy ich projektowaniu należy wziąć pod uwagę koncepcję wbudowanej ochrony prywatności. Administratorzy powinni być w stanie wykazać, że podjęto odpowiednie środki w celu zapewnienia spełnienia wymogów prywatności podczas projektowania systemów. W ten sposób można ograniczyć negatywny wpływ nowych środków na prywatność (lub zwiększyć wpływ pozytywny). Komisja poparła takie podejście (21). Wdrożenie wbudowanej ochrony prywatności w kontekście systemów takich jak system kontroli wjazdów i wyjazdów, o którym mowa w komunikacie, poskutkowałoby ograniczeniem gromadzenia danych osobowych do niezbędnego minimum, ograniczeniem okresów zatrzymywania oraz uczynieniem przetwarzania danych o charakterze prywatnym przyjaznym i przejrzystym dla osób, których dane dotyczą. |
| --- | --- |

16.

Jeżeli ocena prowadzi do wniosku, że potrzebne są nowe wielkoskalowe systemy informatyczne, przy ich projektowaniu należy wziąć pod uwagę koncepcję wbudowanej ochrony prywatności. Administratorzy powinni być w stanie wykazać, że podjęto odpowiednie środki w celu zapewnienia spełnienia wymogów prywatności podczas projektowania systemów. W ten sposób można ograniczyć negatywny wpływ nowych środków na prywatność (lub zwiększyć wpływ pozytywny). Komisja poparła takie podejście (21). Wdrożenie wbudowanej ochrony prywatności w kontekście systemów takich jak system kontroli wjazdów i wyjazdów, o którym mowa w komunikacie, poskutkowałoby ograniczeniem gromadzenia danych osobowych do niezbędnego minimum, ograniczeniem okresów zatrzymywania oraz uczynieniem przetwarzania danych o charakterze prywatnym przyjaznym i przejrzystym dla osób, których dane dotyczą.

| 17. | Ponadto trzeba również przestrzegać zasady celowości. Trzeba zapobiec rozrastaniu się funkcji. W komunikacie przewidziano na przykład ponowne podjęcie inicjatywy na rzecz udostępnienia organom ścigania systemu Eurodac (22), co wydaje się potwierdzać tendencję do przyznawania organom ścigania dostępu do wielkoskalowych systemów UE i prowadzi do obaw co do rozszerzania pierwotnego celu systemu. Przyznanie dodatkowym organom dostępu do baz danych jest krokiem, który może mieć poważne skutki: baza danych uważana za proporcjonalną przy jej wykorzystaniu w jednym konkretnym celu może stać się nieproporcjonalna, gdy wykorzystanie to zostanie później rozszerzone na inne cele (23). |
| --- | --- |

17.

Ponadto trzeba również przestrzegać zasady celowości. Trzeba zapobiec rozrastaniu się funkcji. W komunikacie przewidziano na przykład ponowne podjęcie inicjatywy na rzecz udostępnienia organom ścigania systemu Eurodac (22), co wydaje się potwierdzać tendencję do przyznawania organom ścigania dostępu do wielkoskalowych systemów UE i prowadzi do obaw co do rozszerzania pierwotnego celu systemu. Przyznanie dodatkowym organom dostępu do baz danych jest krokiem, który może mieć poważne skutki: baza danych uważana za proporcjonalną przy jej wykorzystaniu w jednym konkretnym celu może stać się nieproporcjonalna, gdy wykorzystanie to zostanie później rozszerzone na inne cele (23).

| 18. | W związku z tym EIOD nalega, aby wszelkim (obecnym i nowym) wnioskom wiążącym się z ograniczeniem podstawowego prawa do ochrony danych towarzyszył jednoznaczny dowód konieczności takich działań (24). Ponadto gdy za konieczne uznaje się wielkoskalowe systemy informatyczne, należy je projektować z należytym uwzględnieniem zasady wbudowanej ochrony prywatności. Dodatkowo wdrożone środki należy poddawać regularnej ocenie w celu ustalenia, czy są nadal konieczne. |
| --- | --- |

18.

W związku z tym EIOD nalega, aby wszelkim (obecnym i nowym) wnioskom wiążącym się z ograniczeniem podstawowego prawa do ochrony danych towarzyszył jednoznaczny dowód konieczności takich działań (24). Ponadto gdy za konieczne uznaje się wielkoskalowe systemy informatyczne, należy je projektować z należytym uwzględnieniem zasady wbudowanej ochrony prywatności. Dodatkowo wdrożone środki należy poddawać regularnej ocenie w celu ustalenia, czy są nadal konieczne.

III.   UWAGI SZCZEGÓŁOWE

Eurodac

| 19. | W komunikacie mowa jest o dostępie organów ścigania do systemu Eurodac; stwierdza się, że Eurodac będzie nie tylko narzędziem wspierającym skuteczne stosowanie rozporządzenia dublińskiego, ale też powinien „(odpowiadać) innym potrzebom służb ścigania” (25). |
| --- | --- |

19.

W komunikacie mowa jest o dostępie organów ścigania do systemu Eurodac; stwierdza się, że Eurodac będzie nie tylko narzędziem wspierającym skuteczne stosowanie rozporządzenia dublińskiego, ale też powinien „(odpowiadać) innym potrzebom służb ścigania” (25).

| 20. | Wniosek dotyczący reformy rozporządzenia w sprawie Eurodac (26) z grudnia 2008 r. nie zawierał przepisów umożliwiających dostęp organów ścigania. Zawarto je natomiast we wniosku przedstawionym przez Komisję we wrześniu 2009 r (27). W październiku 2010 r. Komisja przyjęła zmieniony wniosek (28), który nie zawierał już przepisów umożliwiających dostęp organów ścigania, podobnie jak wniosek pierwotny. |
| --- | --- |

20.

Wniosek dotyczący reformy rozporządzenia w sprawie Eurodac (26) z grudnia 2008 r. nie zawierał przepisów umożliwiających dostęp organów ścigania. Zawarto je natomiast we wniosku przedstawionym przez Komisję we wrześniu 2009 r (27). W październiku 2010 r. Komisja przyjęła zmieniony wniosek (28), który nie zawierał już przepisów umożliwiających dostęp organów ścigania, podobnie jak wniosek pierwotny.

| 21. | W swojej opinii z dnia 15 grudnia 2010 r. w sprawie Eurodac EIOD z zadowoleniem przyjął pominięcie przepisów o dostępie organów ścigania (29), przypominając, że takie wykorzystanie w innym celu musi opierać się na mocnych dowodach na związki między osobami ubiegającymi się o azyl a terroryzmem lub poważną przestępczością. Ponadto przy analizie konieczności i proporcjonalności takiego dostępu trzeba wziąć pod uwagę niepewną sytuację osób ubiegających się o azyl. |
| --- | --- |

21.

W swojej opinii z dnia 15 grudnia 2010 r. w sprawie Eurodac EIOD z zadowoleniem przyjął pominięcie przepisów o dostępie organów ścigania (29), przypominając, że takie wykorzystanie w innym celu musi opierać się na mocnych dowodach na związki między osobami ubiegającymi się o azyl a terroryzmem lub poważną przestępczością. Ponadto przy analizie konieczności i proporcjonalności takiego dostępu trzeba wziąć pod uwagę niepewną sytuację osób ubiegających się o azyl.

| 22. | Reforma rozporządzenia Eurodac stanowi element ustanowienia europejskiego systemu azylowego, który zgodnie z programem sztokholmskim powinien powstać do 2012 r. (30). Jedną z podanych przez Komisję przyczyn pominięcia dostępu organów ścigania we wniosku z października 2010 r. był argument, że nieuwzględnienie tego kontrowersyjnego środka może ułatwić terminowe przyjęcie pakietu azylowego (31). Ma to też związek z ustanowieniem agencji do spraw zarządzania operacyjnego wielkoskalowymi systemami informatycznymi w przestrzeni wolności, bezpieczeństwa i sprawiedliwości (32). |
| --- | --- |

22.

Reforma rozporządzenia Eurodac stanowi element ustanowienia europejskiego systemu azylowego, który zgodnie z programem sztokholmskim powinien powstać do 2012 r. (30). Jedną z podanych przez Komisję przyczyn pominięcia dostępu organów ścigania we wniosku z października 2010 r. był argument, że nieuwzględnienie tego kontrowersyjnego środka może ułatwić terminowe przyjęcie pakietu azylowego (31). Ma to też związek z ustanowieniem agencji do spraw zarządzania operacyjnego wielkoskalowymi systemami informatycznymi w przestrzeni wolności, bezpieczeństwa i sprawiedliwości (32).

| 23. | W tym kontekście i w świetle wcześniejszych uwag EIOD zajmuje stanowisko, że do tej pory nie przedstawiono wystarczających jednoznacznych i wiarygodnych dowodów na konieczność ponownego wprowadzenia przepisu umożliwiającego dostęp organów ścigania do systemu Eurodac. Takie ponowne wprowadzenie można rozważać jedynie po dokonaniu nowej oceny skutków uwzględniającej obawy dotyczące prywatności. Ponadto uwzględnienie dostępu dla organów ścigania wymagałoby znaczących zmian w bazie danych Eurodac w celu umożliwienia takiego dostępu w bezpieczny sposób. W nowej ocenie skutków należałoby też uwzględnić implikacje techniczne i finansowe takiego posunięcia (33). |
| --- | --- |

23.

W tym kontekście i w świetle wcześniejszych uwag EIOD zajmuje stanowisko, że do tej pory nie przedstawiono wystarczających jednoznacznych i wiarygodnych dowodów na konieczność ponownego wprowadzenia przepisu umożliwiającego dostęp organów ścigania do systemu Eurodac. Takie ponowne wprowadzenie można rozważać jedynie po dokonaniu nowej oceny skutków uwzględniającej obawy dotyczące prywatności. Ponadto uwzględnienie dostępu dla organów ścigania wymagałoby znaczących zmian w bazie danych Eurodac w celu umożliwienia takiego dostępu w bezpieczny sposób. W nowej ocenie skutków należałoby też uwzględnić implikacje techniczne i finansowe takiego posunięcia (33).

| 24. | Ponadto ponowne wprowadzenie wniosku mogłoby wywrzeć znaczący wpływ na harmonogram przyjęcia całego pakietu azylowego. Komisja nie wspomina o dacie, kiedy miałby zostać zgłoszony potencjalny nowy wniosek; nie wspomina też, czy takiemu wnioskowi towarzyszyłaby nowa ocena skutków. |
| --- | --- |

24.

Ponadto ponowne wprowadzenie wniosku mogłoby wywrzeć znaczący wpływ na harmonogram przyjęcia całego pakietu azylowego. Komisja nie wspomina o dacie, kiedy miałby zostać zgłoszony potencjalny nowy wniosek; nie wspomina też, czy takiemu wnioskowi towarzyszyłaby nowa ocena skutków.

System kontroli wjazdów i wyjazdów

| 25. | W komunikacie stwierdza się też, że we wrześniu 2011 r. ma zostać wydany komunikat w sprawie inteligentnych granic. W komunikacie tym ma zostać rozwinięta kwestia inicjatyw dotyczących systemu kontroli wjazdów i wyjazdów oraz programu rejestrowania podróżnych. Komisja przyznaje, że projekty te będą wymagać „znaczących inwestycji” w celu zapewnienia „wysokich standardów ochrony danych osobowych” (34). |
| --- | --- |

25.

W komunikacie stwierdza się też, że we wrześniu 2011 r. ma zostać wydany komunikat w sprawie inteligentnych granic. W komunikacie tym ma zostać rozwinięta kwestia inicjatyw dotyczących systemu kontroli wjazdów i wyjazdów oraz programu rejestrowania podróżnych. Komisja przyznaje, że projekty te będą wymagać „znaczących inwestycji” w celu zapewnienia „wysokich standardów ochrony danych osobowych” (34).

| 26. | Jeżeli chodzi o system kontroli wjazdów i wyjazdów, Komisja uzasadnia tę inicjatywę stwierdzeniem, że „nadmierne przedłużanie pobytu” jest „głównym źródłem nielegalnej imigracji w UE” (35). Poza tym w komunikacie nie przedstawiono innych wyjaśnień co do celów tego systemu. |
| --- | --- |

26.

Jeżeli chodzi o system kontroli wjazdów i wyjazdów, Komisja uzasadnia tę inicjatywę stwierdzeniem, że „nadmierne przedłużanie pobytu” jest „głównym źródłem nielegalnej imigracji w UE” (35). Poza tym w komunikacie nie przedstawiono innych wyjaśnień co do celów tego systemu.

| 27. | Zmniejszenie liczby osób nadmiernie przedłużających pobyt może z pewnością przynieść pozytywne skutki. EIOD przyjmuje do wiadomości, że system kontroli wjazdów i wyjazdów mógłby zniechęcić obywateli państw trzecich do nadmiernego przedłużania pobytu, gdyby wiedzieli oni, że zostaną prawdopodobnie automatycznie zidentyfikowani po wygaśnięciu ich wizy. Pozostaje jednak kilka pytań. |
| --- | --- |

27.

Zmniejszenie liczby osób nadmiernie przedłużających pobyt może z pewnością przynieść pozytywne skutki. EIOD przyjmuje do wiadomości, że system kontroli wjazdów i wyjazdów mógłby zniechęcić obywateli państw trzecich do nadmiernego przedłużania pobytu, gdyby wiedzieli oni, że zostaną prawdopodobnie automatycznie zidentyfikowani po wygaśnięciu ich wizy. Pozostaje jednak kilka pytań.

| 28. | Jak do tej pory brakuje spójnej polityki związanej ze zjawiskiem nadmiernego przedłużania pobytu w państwach członkowskich. Ogólnie pojęcie „nadmiernego przedłużania pobytu” nie jest jasno zdefiniowane; wypracowanie wspólnej definicji tego terminu byłoby niezbędnym pierwszym krokiem w kierunku pełnego zrozumienia problemu (36). |
| --- | --- |

28.

Jak do tej pory brakuje spójnej polityki związanej ze zjawiskiem nadmiernego przedłużania pobytu w państwach członkowskich. Ogólnie pojęcie „nadmiernego przedłużania pobytu” nie jest jasno zdefiniowane; wypracowanie wspólnej definicji tego terminu byłoby niezbędnym pierwszym krokiem w kierunku pełnego zrozumienia problemu (36).

| 29. | Ponadto liczby dostępne do tej pory są jedynie szacunkami (37). Warunkiem wstępnym racjonalnej oceny konieczności byłoby wyjaśnienie rozmiaru problemu. |
| --- | --- |

29.

Ponadto liczby dostępne do tej pory są jedynie szacunkami (37). Warunkiem wstępnym racjonalnej oceny konieczności byłoby wyjaśnienie rozmiaru problemu.

| 30. | Istniejącym środkiem służącym zapobieganiu wjazdowi konkretnych osób na terytorium strefy Schengen są wpisy na mocy art. 96 konwencji wykonawczej do układu z Schengen. Wpisy te można wykorzystać, aby uniemożliwić ponowny wjazd osobom, o których wiadomo, że nadmiernie przedłużyły pobyt (38). W niedawnym komunikacie Komisja wezwała państwa członkowskie, aby w jak największym stopniu korzystały z tej możliwości (39). Sugeruje to, że obecnie środek ten nie jest w pełni wykorzystywany. |
| --- | --- |

30.

Istniejącym środkiem służącym zapobieganiu wjazdowi konkretnych osób na terytorium strefy Schengen są wpisy na mocy art. 96 konwencji wykonawczej do układu z Schengen. Wpisy te można wykorzystać, aby uniemożliwić ponowny wjazd osobom, o których wiadomo, że nadmiernie przedłużyły pobyt (38). W niedawnym komunikacie Komisja wezwała państwa członkowskie, aby w jak największym stopniu korzystały z tej możliwości (39). Sugeruje to, że obecnie środek ten nie jest w pełni wykorzystywany.

| 31. | System kontroli wjazdów i wyjazdów opierałby się prawdopodobnie również na danych biometrycznych. Chociaż EIOD przyjmuje do wiadomości możliwe korzyści z użycia danych biometrycznych, jest również zmuszony wskazać ich słabości. Wszelkiemu wykorzystaniu danych biometrycznych muszą towarzyszyć ścisłe zabezpieczenia i należy brać pod uwagę ryzyko pomyłki (40). W tym kontekście EIOD zachęca do ustanowienia zestawu minimalnych kryteriów związanych z wykorzystaniem danych biometrycznych takich jak wiarygodność danych biometrycznych, ukierunkowana ocena skutków dotycząca danych biometrycznych, dokładność i procedura awaryjna (41). Ponadto pewna część ludności nie posiada odcisków palców, które mogłyby zostać odczytane przez taki system (42). Jeżeli system kontroli wjazdów i wyjazdów ma uwzględniać dane biometryczne, konieczne będzie przewidzenie procedur awaryjnych dla takich podróżnych (43). |
| --- | --- |

31.

System kontroli wjazdów i wyjazdów opierałby się prawdopodobnie również na danych biometrycznych. Chociaż EIOD przyjmuje do wiadomości możliwe korzyści z użycia danych biometrycznych, jest również zmuszony wskazać ich słabości. Wszelkiemu wykorzystaniu danych biometrycznych muszą towarzyszyć ścisłe zabezpieczenia i należy brać pod uwagę ryzyko pomyłki (40). W tym kontekście EIOD zachęca do ustanowienia zestawu minimalnych kryteriów związanych z wykorzystaniem danych biometrycznych takich jak wiarygodność danych biometrycznych, ukierunkowana ocena skutków dotycząca danych biometrycznych, dokładność i procedura awaryjna (41). Ponadto pewna część ludności nie posiada odcisków palców, które mogłyby zostać odczytane przez taki system (42). Jeżeli system kontroli wjazdów i wyjazdów ma uwzględniać dane biometryczne, konieczne będzie przewidzenie procedur awaryjnych dla takich podróżnych (43).

| 32. | EIOD pragnie również zwrócić uwagę na doświadczenia z podobnym systemem US-VISIT (United States Visitor and Immigrant Status Indicator Technology) stosowanym w USA. W ramach systemu US-VISIT większość obywateli państw trzecich ma obowiązek udostępnić dane biometryczne przy wjeździe na terytorium USA. Część systemu związana z wyjazdami jest nadal w budowie. W 2009 r. przeprowadzono dwa testy pilotażowe dotyczące gromadzenia danych biometrycznych na potrzeby tej części systemu (44). Departament Bezpieczeństwa Narodowego USA przyznał, że wyniki testów były „zawyżone w związku z ograniczeniami systemu związanymi z przypadkami, w których zapisy ADIS systemu informującego o wjazdach i wyjazdach nie odzwierciedlały aktualnego statusu podróżnego w związku z niedawnymi zmianami lub przedłużeniem tego statusu” (45). Podczas testów sprawdzano też obecność pasażerów na kilku listach obserwacyjnych, jednak „żadne z [...] trafień nie zapobiegłoby wyjazdowi” (46). Departament Bezpieczeństwa Narodowego wydał ogółem około 1,3 mld USD na opracowanie części systemu US-VISIT obsługującej wjazdy (47). Rodzi to pytanie, czy system kontroli wjazdów i wyjazdów jest opłacalną metodą redukującą nadmierne przedłużanie pobytu. |
| --- | --- |

32.

EIOD pragnie również zwrócić uwagę na doświadczenia z podobnym systemem US-VISIT (United States Visitor and Immigrant Status Indicator Technology) stosowanym w USA. W ramach systemu US-VISIT większość obywateli państw trzecich ma obowiązek udostępnić dane biometryczne przy wjeździe na terytorium USA. Część systemu związana z wyjazdami jest nadal w budowie. W 2009 r. przeprowadzono dwa testy pilotażowe dotyczące gromadzenia danych biometrycznych na potrzeby tej części systemu (44). Departament Bezpieczeństwa Narodowego USA przyznał, że wyniki testów były „zawyżone w związku z ograniczeniami systemu związanymi z przypadkami, w których zapisy ADIS systemu informującego o wjazdach i wyjazdach nie odzwierciedlały aktualnego statusu podróżnego w związku z niedawnymi zmianami lub przedłużeniem tego statusu” (45). Podczas testów sprawdzano też obecność pasażerów na kilku listach obserwacyjnych, jednak „żadne z [...] trafień nie zapobiegłoby wyjazdowi” (46). Departament Bezpieczeństwa Narodowego wydał ogółem około 1,3 mld USD na opracowanie części systemu US-VISIT obsługującej wjazdy (47). Rodzi to pytanie, czy system kontroli wjazdów i wyjazdów jest opłacalną metodą redukującą nadmierne przedłużanie pobytu.

| 33. | Krótko mówiąc, ani cel takiego systemu, ani sposób jego budowy i wdrożenia nie są wystarczająco jasne. Jeżeli chodzi o potrzebę działania, brakuje jasnej definicji podstawowego terminu „nadmierne przedłużanie pobytu”; w związku z tym nie ma wiarygodnych statystyk dotyczących rozmiaru problemu. Jeżeli chodzi o działania, jakie należy podjąć, istniejące instrumenty mające zapobiegać ponownemu wjazdowi osób, o których wiadomo, że nadmiernie przedłużyły pobyt, nie są prawdopodobnie wykorzystywane w wystarczającym stopniu; wątpliwości budzi też składnik biometryczny systemu kontroli wjazdów i wyjazdów. Jeżeli chodzi o wykonalność i koszt tego systemu, doświadczenia z USA sugerują, że wdrożenie systemu kontroli wjazdów i wyjazdów będzie kosztowne. Powyższe kwestie budzą wątpliwości co do konieczności i opłacalności wprowadzania systemu kontroli wjazdów i wyjazdów. |
| --- | --- |

33.

Krótko mówiąc, ani cel takiego systemu, ani sposób jego budowy i wdrożenia nie są wystarczająco jasne. Jeżeli chodzi o potrzebę działania, brakuje jasnej definicji podstawowego terminu „nadmierne przedłużanie pobytu”; w związku z tym nie ma wiarygodnych statystyk dotyczących rozmiaru problemu. Jeżeli chodzi o działania, jakie należy podjąć, istniejące instrumenty mające zapobiegać ponownemu wjazdowi osób, o których wiadomo, że nadmiernie przedłużyły pobyt, nie są prawdopodobnie wykorzystywane w wystarczającym stopniu; wątpliwości budzi też składnik biometryczny systemu kontroli wjazdów i wyjazdów. Jeżeli chodzi o wykonalność i koszt tego systemu, doświadczenia z USA sugerują, że wdrożenie systemu kontroli wjazdów i wyjazdów będzie kosztowne. Powyższe kwestie budzą wątpliwości co do konieczności i opłacalności wprowadzania systemu kontroli wjazdów i wyjazdów.

Program rejestrowania podróżnych

| 34. | W komunikacie wspomina się też o wprowadzeniu programu rejestrowania podróżnych. Nie jest do końca jasne, jaką wartość dodaną niósłby ten system w porównaniu na przykład do wykorzystania wizy wielokrotnego wjazdu o długim okresie ważności. Grupa docelowa byłaby taka sama (osoby często podróżujące). Fakt, że nadal występuje „niechęć” (48) do wydawania takich wiz, nie może sam w sobie posłużyć za powód proponowania w ich miejsce nowych środków, podczas gdy środki już istniejące – jeżeli zostaną w pełni wykorzystane – pozwoliłyby osiągnąć te same cele. W świetle powyższego EIOD nie jest w pełni przekonany o realnej konieczności wprowadzenia tego systemu. |
| --- | --- |

34.

W komunikacie wspomina się też o wprowadzeniu programu rejestrowania podróżnych. Nie jest do końca jasne, jaką wartość dodaną niósłby ten system w porównaniu na przykład do wykorzystania wizy wielokrotnego wjazdu o długim okresie ważności. Grupa docelowa byłaby taka sama (osoby często podróżujące). Fakt, że nadal występuje „niechęć” (48) do wydawania takich wiz, nie może sam w sobie posłużyć za powód proponowania w ich miejsce nowych środków, podczas gdy środki już istniejące – jeżeli zostaną w pełni wykorzystane – pozwoliłyby osiągnąć te same cele. W świetle powyższego EIOD nie jest w pełni przekonany o realnej konieczności wprowadzenia tego systemu.

| 35. | Ponadto w komunikacie wspomina się o „osobach podróżujących w dobrej wierze” (s. 12), odnosząc się przede wszystkim do programu rejestrowania podróżnych. Można uznać, że takie sformułowanie sugeruje istnienie „osób podróżujących w złej wierze”. Za „podróżujących w dobrej wierze” uznano by jedynie podróżnych podejmujących dodatkowe działania, zapisujących się do programu rejestrowania podróżnych i podających dodatkowe dane o sobie. Założeniem wyjściowym nie byłoby już, że należy ogólnie uznać, iż podróżni wjeżdżają do Unii w dobrej wierze, chyba że konkretne dowody budzą podejrzenia – byłoby nim, że podróżni powinni dowieść swojej niewinności, przedstawiając dodatkowe informacje o sobie, nawet przy braku jakichkolwiek dowodów. Implikuje to, że wskutek określenia tylko niektórych jako „podróżujących w dobrej wierze”, ci, którzy nie są skłonni podać dodatkowych informacji, są de facto określani jako „podróżujący w złej wierze”, choć odmowa podania dodatkowych informacji może mieć uzasadnione powody, np. gdy dana osoba nie podróżuje często (49). |
| --- | --- |

35.

Ponadto w komunikacie wspomina się o „osobach podróżujących w dobrej wierze” (s. 12), odnosząc się przede wszystkim do programu rejestrowania podróżnych. Można uznać, że takie sformułowanie sugeruje istnienie „osób podróżujących w złej wierze”. Za „podróżujących w dobrej wierze” uznano by jedynie podróżnych podejmujących dodatkowe działania, zapisujących się do programu rejestrowania podróżnych i podających dodatkowe dane o sobie. Założeniem wyjściowym nie byłoby już, że należy ogólnie uznać, iż podróżni wjeżdżają do Unii w dobrej wierze, chyba że konkretne dowody budzą podejrzenia – byłoby nim, że podróżni powinni dowieść swojej niewinności, przedstawiając dodatkowe informacje o sobie, nawet przy braku jakichkolwiek dowodów. Implikuje to, że wskutek określenia tylko niektórych jako „podróżujących w dobrej wierze”, ci, którzy nie są skłonni podać dodatkowych informacji, są de facto określani jako „podróżujący w złej wierze”, choć odmowa podania dodatkowych informacji może mieć uzasadnione powody, np. gdy dana osoba nie podróżuje często (49).

Frontex i współpraca między agencjami

| 36. | W komunikacie wzywa się do „ścisłej współpracy między agencjami”, tj. Europolem, Frontex-em, krajowymi organami celnymi i policyjnymi, którą uważa się za „niezbędną”, zwłaszcza między organami kontroli granicznej oraz organami celnymi (50). Współpracę tę mają wesprzeć wnioski w zakresie najlepszych praktyk, których przedstawienie planuje się na 2012 r. Komisja informuje też o planie przedstawienia w 2011 r. wniosku ustawodawczego umożliwiającego organom państw członkowskich prowadzącym nadzór granic „wymianę informacji operacyjnych i zapewnienie współpracy między tymi organami oraz między nimi a Frontex-em” (51). Wreszcie, na etapie negocjacji z Radą i Parlamentem Europejskim jest obecnie wniosek dotyczący aktualizacji ram prawnych działalności agencji Frontex, aby „umożliwić jej zwiększenie skuteczności pod względem jej możliwości operacyjnych” (52). |
| --- | --- |

36.

W komunikacie wzywa się do „ścisłej współpracy między agencjami”, tj. Europolem, Frontex-em, krajowymi organami celnymi i policyjnymi, którą uważa się za „niezbędną”, zwłaszcza między organami kontroli granicznej oraz organami celnymi (50). Współpracę tę mają wesprzeć wnioski w zakresie najlepszych praktyk, których przedstawienie planuje się na 2012 r. Komisja informuje też o planie przedstawienia w 2011 r. wniosku ustawodawczego umożliwiającego organom państw członkowskich prowadzącym nadzór granic „wymianę informacji operacyjnych i zapewnienie współpracy między tymi organami oraz między nimi a Frontex-em” (51). Wreszcie, na etapie negocjacji z Radą i Parlamentem Europejskim jest obecnie wniosek dotyczący aktualizacji ram prawnych działalności agencji Frontex, aby „umożliwić jej zwiększenie skuteczności pod względem jej możliwości operacyjnych” (52).

| 37. | W celu zapewnienia spójności i wartości dodanej z punktu widzenia ochrony danych odpowiednie przepisy zawarte w podstawach prawnych do zawarcia potencjalnych umów o współpracy i wymiany danych osobowych między Frontex-em a agencjami, z którymi ma on współpracować, powinny być spójne i konsekwentne, aby zapewnić pełną współpracę między tymi organami w odniesieniu do zasad ochrony danych. |
| --- | --- |

37.

W celu zapewnienia spójności i wartości dodanej z punktu widzenia ochrony danych odpowiednie przepisy zawarte w podstawach prawnych do zawarcia potencjalnych umów o współpracy i wymiany danych osobowych między Frontex-em a agencjami, z którymi ma on współpracować, powinny być spójne i konsekwentne, aby zapewnić pełną współpracę między tymi organami w odniesieniu do zasad ochrony danych.

| 38. | EIOD powtarza ponadto uwagi zgłoszone w opinii w sprawie wniosku dotyczącego zmiany rozporządzenia w sprawie agencji Frontex (53), w szczególności na temat potrzeby jednoznacznej podstawy prawnej przetwarzania danych osobowych. Jeżeli Frontex uzyska możliwość wymiany danych osobowych, powinna ona uwzględniać ściśle sformułowane, jednoznaczne przepisy o prawach osób, których dane dotyczą, jak też inne zabezpieczenia. Wszelkie przepisy pozwalające Frontex-owi przetwarzać lub wymieniać dane osobowe powinny być precyzyjne i jasno określone. |
| --- | --- |

38.

EIOD powtarza ponadto uwagi zgłoszone w opinii w sprawie wniosku dotyczącego zmiany rozporządzenia w sprawie agencji Frontex (53), w szczególności na temat potrzeby jednoznacznej podstawy prawnej przetwarzania danych osobowych. Jeżeli Frontex uzyska możliwość wymiany danych osobowych, powinna ona uwzględniać ściśle sformułowane, jednoznaczne przepisy o prawach osób, których dane dotyczą, jak też inne zabezpieczenia. Wszelkie przepisy pozwalające Frontex-owi przetwarzać lub wymieniać dane osobowe powinny być precyzyjne i jasno określone.

Eurosur

| 39. | Komisja zapowiada również na grudzień 2011 r. wniosek ustawodawczy służący określeniu zakresu, celu oraz ram technicznych i operacyjnych europejskiego systemu nadzoru granic (Eurosur) (54). Wniosek ten ma zapewnić „szersze wykorzystanie najnowszej technologii na granicach lądowych i morskich” (55), jak również wymianę informacji operacyjnych dotyczących incydentów (56). Ma on również związek z Frontex-em, gdyż Komisja planuje przedstawić kolejny wniosek umożliwiający organom państw członkowskich prowadzącym nadzór granic wymianę informacji operacyjnych między sobą, jak też z Frontex-em (57). |
| --- | --- |

39.

Komisja zapowiada również na grudzień 2011 r. wniosek ustawodawczy służący określeniu zakresu, celu oraz ram technicznych i operacyjnych europejskiego systemu nadzoru granic (Eurosur) (54). Wniosek ten ma zapewnić „szersze wykorzystanie najnowszej technologii na granicach lądowych i morskich” (55), jak również wymianę informacji operacyjnych dotyczących incydentów (56). Ma on również związek z Frontex-em, gdyż Komisja planuje przedstawić kolejny wniosek umożliwiający organom państw członkowskich prowadzącym nadzór granic wymianę informacji operacyjnych między sobą, jak też z Frontex-em (57).

| 40. | Nie jest jasne, czy i w jakim stopniu będzie się to wiązać z przetwarzaniem danych osobowych (58). EIOD zachęca Komisję do wyjaśnienia tych kwestii w przyszłych wnioskach. |
| --- | --- |

40.

Nie jest jasne, czy i w jakim stopniu będzie się to wiązać z przetwarzaniem danych osobowych (58). EIOD zachęca Komisję do wyjaśnienia tych kwestii w przyszłych wnioskach.

Europejski system straży granicznej

| 41. | W komunikacie wspomina się, że należy przeanalizować wykonalność utworzenia europejskiego systemu straży granicznej. Z tekstu nie wynika jasno, jak taki system mógłby wyglądać. Jak wspomniano, „nie musiałoby” (59) to oznaczać utworzenia scentralizowanej administracji, co nadal pozostawia otwartą możliwość jej powstania. Komisja sugeruje, że jeżeli nie byłoby scentralizowanej administracji, konieczne stałoby się doskonalenie „wspólnych możliwości” i „praktycznej współpracy” (60). |
| --- | --- |

41.

W komunikacie wspomina się, że należy przeanalizować wykonalność utworzenia europejskiego systemu straży granicznej. Z tekstu nie wynika jasno, jak taki system mógłby wyglądać. Jak wspomniano, „nie musiałoby” (59) to oznaczać utworzenia scentralizowanej administracji, co nadal pozostawia otwartą możliwość jej powstania. Komisja sugeruje, że jeżeli nie byłoby scentralizowanej administracji, konieczne stałoby się doskonalenie „wspólnych możliwości” i „praktycznej współpracy” (60).

| 42. | Nie jest jasne, czy celem ma być lepsze wdrożenie istniejących środków, czy też chodzi o nowe, niezapowiedziane do tej pory wnioski. Biorąc pod uwagę, że „praktyczna współpraca” prawdopodobnie obejmowałaby wymianę danych osobowych, która musi mieć podstawę prawną, należy to określić w przyszłych wnioskach, jeżeli projekt ten ma być kontynuowany. |
| --- | --- |

42.

Nie jest jasne, czy celem ma być lepsze wdrożenie istniejących środków, czy też chodzi o nowe, niezapowiedziane do tej pory wnioski. Biorąc pod uwagę, że „praktyczna współpraca” prawdopodobnie obejmowałaby wymianę danych osobowych, która musi mieć podstawę prawną, należy to określić w przyszłych wnioskach, jeżeli projekt ten ma być kontynuowany.

IV.   WNIOSKI I ZALECENIA

| 43. | Zgodnie z ustalonym orzecznictwem Europejskiego Trybunału Praw Człowieka i Trybunału Sprawiedliwości EIOD przypomina o wymogu konieczności i proporcjonalności w odniesieniu do wszystkich (obecnych oraz nowych) wniosków naruszających podstawowe prawa do prywatności i ochrony danych. W odniesieniu do każdego wniosku trzeba wykazać konieczność, przeprowadzając ocenę wpływu na prywatność. |
| --- | --- |

43.

Zgodnie z ustalonym orzecznictwem Europejskiego Trybunału Praw Człowieka i Trybunału Sprawiedliwości EIOD przypomina o wymogu konieczności i proporcjonalności w odniesieniu do wszystkich (obecnych oraz nowych) wniosków naruszających podstawowe prawa do prywatności i ochrony danych. W odniesieniu do każdego wniosku trzeba wykazać konieczność, przeprowadzając ocenę wpływu na prywatność.

| 44. | Proponując i projektując nowe wielkoskalowe systemy informatyczne, trzeba przestrzegać zasady wbudowanej ochrony prywatności i zasady celowości. |
| --- | --- |

44.

Proponując i projektując nowe wielkoskalowe systemy informatyczne, trzeba przestrzegać zasady wbudowanej ochrony prywatności i zasady celowości.

| 45. | EIOD przypomina, że każdemu wykorzystaniu danych biometrycznych powinny towarzyszyć ścisłe zabezpieczenia i procedury awaryjne dla osób, w przypadku których nie można ich wykorzystać. Ogólniej, należy określić warunki minimalne wykorzystania danych biometrycznych. |
| --- | --- |

45.

EIOD przypomina, że każdemu wykorzystaniu danych biometrycznych powinny towarzyszyć ścisłe zabezpieczenia i procedury awaryjne dla osób, w przypadku których nie można ich wykorzystać. Ogólniej, należy określić warunki minimalne wykorzystania danych biometrycznych.

| 46. | Ponadto EIOD wzywa Komisję do wyjaśnienia zakresu oraz treści jej wniosków, o których mowa w niniejszej opinii. Dotyczy to zapowiadanych wniosków ustawodawczych dotyczących systemu kontroli wjazdów i wyjazdów, programu rejestrowania podróżnych, Eurosur, Frontex i współpracy między agencjami, jak też komunikatu w sprawie inteligentnych granic oraz badania nad europejskim systemem straży granicznej. |
| --- | --- |

46.

Ponadto EIOD wzywa Komisję do wyjaśnienia zakresu oraz treści jej wniosków, o których mowa w niniejszej opinii. Dotyczy to zapowiadanych wniosków ustawodawczych dotyczących systemu kontroli wjazdów i wyjazdów, programu rejestrowania podróżnych, Eurosur, Frontex i współpracy między agencjami, jak też komunikatu w sprawie inteligentnych granic oraz badania nad europejskim systemem straży granicznej.

| 47. | Wzywa też Komisję do niezgłaszania ponownie wniosku dającego organom ścigania dostęp do systemu Eurodac, chyba że nowa ocena skutków jednoznacznie wykaże konieczność takiego wniosku, uwzględniając implikacje techniczne i finansowe dla systemu. |
| --- | --- |

47.

Wzywa też Komisję do niezgłaszania ponownie wniosku dającego organom ścigania dostęp do systemu Eurodac, chyba że nowa ocena skutków jednoznacznie wykaże konieczność takiego wniosku, uwzględniając implikacje techniczne i finansowe dla systemu.

| 48. | EIOD będzie uważnie śledzić wydarzenia i w stosownych przypadkach zgłaszać dodatkowe uwagi. Jest też gotowy na dalsze konsultacje w duchu dobrej współpracy. |
| --- | --- |

48.

EIOD będzie uważnie śledzić wydarzenia i w stosownych przypadkach zgłaszać dodatkowe uwagi. Jest też gotowy na dalsze konsultacje w duchu dobrej współpracy.

Sporządzono w Brukseli dnia 7 lipca 2011 r.

Peter HUSTINX

Europejski Inspektor Ochrony Danych

---

(1)  Dz.U. L 281 z 23.11.1995, s. 31.

1

(2)  Dz.U. L 8 z 12.1.2001, s. 1.

2

(3)  COM(2011) 248 wersja ostateczna.

3

(4)  Komunikat, s. 3.

4

(5)  Konkluzje Rady Europejskiej z dnia 23–24 czerwca 2011 r., EUCO 23/11.

5

(6)  Komunikat Komisji w sprawie strategii bezpieczeństwa wewnętrznego UE w działaniu: pięć kroków w kierunku bezpieczniejszej Europy, COM(2010) 673.

6

(7)  Wniosek w sprawie rozporządzenia zmieniającego rozporządzenie Rady (WE) nr 2007/2004 ustanawiające Europejską Agencję Zarządzania Współpracą Operacyjną na Zewnętrznych Granicach Państw Członkowskich Unii Europejskiej (Frontex), COM(2010) 61.

7

(8)  Obecna opinia wykorzystuje w szczególności i uzupełnia opinię EIOD z dnia 17 grudnia 2010 r. w sprawie komunikatu „Strategia bezpieczeństwa wewnętrznego UE w działaniu” („opinia EIOD z dnia 17 grudnia 2010 r.”) (Dz.U. C 101 z 1.4.2011, s. 6); opinię EIOD z dnia 15 grudnia 2010 r. w sprawie zmienionego wniosku dotyczącego rozporządzenia Parlamentu Europejskiego i Rady w sprawie ustanowienia systemu Eurodac („opinia EIOD z dnia 15 grudnia 2010 r.”) (Dz.U. C 101 z 1.4.2011, s. 14); opinię EIOD z dnia 30 września 2010 r. w sprawie komunikatu „Przegląd zarządzania informacjami w przestrzeni wolności, bezpieczeństwa i sprawiedliwości” („opinia EIOD z dnia 30 września 2010 r.”) (Dz.U. C 355 z 29.12.2010, s. 16); oraz wstępne uwagi EIOD z dnia 3 marca 2008 r. w sprawie pakietu granicznego („wstępne uwagi EIOD z dnia 3 marca 2008 r.”), dostępne na stronie internetowej EIOD.

8

(9)  Komunikat, s. 3.

9

(10)  Komunikat, s. 7.

10

(11)  Komunikat, s. 7–8. Zob. też pkt 42–44 niniejszej opinii.

11

(12)  Komunikat, s. 11.

12

(13)  Komunikat, s. 16.

13

(14)  Zob. opinię EIOD z dnia 30 września 2010 r. (zob. przypis powyżej) oraz wstępne uwagi EIOD w sprawie pakietu granicznego (zob. przypis powyżej). W tym kontekście EIOD z zadowoleniem przyjmuje prace zespołu ds. odwzorowania projektów informacyjnych w kontekście prac nad europejskim modelem wymiany informacji. Zakres tych działań należy jednak rozszerzyć, a podczas przyszłych prac w tej dziedzinie należy przyjąć szerszy punkt widzenia.

14

(15)  Zob. np. Europejski Trybunał Praw Człowieka, S. i Marper przeciwko Zjednoczonemu Królestwu, nr 30562/04 i 30566/04, wybrane do publikacji w Recueil des arrêts et décisions.

15

Recueil des arrêts et décisions

(16)  Na przykład sprawy połączone C-92/09 i C-93/09, Volker und Markus Schecke i Hartmut Eifert przeciwko Hesji [2010], jeszcze niepublikowane w European Court Report („Schecke”).

16

(17)  Liczne wyroki poczynając od Europejskiego Trybunału Praw Człowieka: Handyside przeciwko Zjednoczonemu Królestwu, nr 5493/72, seria A nr 24, §48.

17

(18)  Na ten temat zob. również opinię EIOD z dnia 25 marca 2011 r. w sprawie wniosku dotyczącego dyrektywy Parlamentu Europejskiego i Rady w sprawie wykorzystania danych dotyczących przelotu pasażera w celu zapobiegania przestępstwom terrorystycznym i poważnej przestępczości, ich wykrywania, prowadzenia dochodzeń w ich sprawie i ich ścigania („opinia EIOD z dnia 25 marca 2011 r.”), niepublikowaną jeszcze w Dz.U., zwłaszcza pkt 25.

18

(19)  Może ona przyjąć postać osobnej oceny wpływu na prywatność i ochronę danych lub zostać włączona do ogólnej oceny skutków. W obecnych wytycznych na temat oceny skutków (Wytyczne dotyczące oceny skutków Komisji Europejskiej, SEC(2009) 92) nie przewidziano osobnej oceny skutków w odniesieniu do skutków dla praw podstawowych takich jak ochrona danych; aspekty te mają zostać włączone do ogólnej oceny skutków. Tymczasem po komunikacie Komisji w sprawie strategii skutecznego wprowadzania w życie Karty praw podstawowych przez Unię Europejską (COM(2010) 573) sporządzono dodatkowe wytyczne w postaci dokumentu roboczego służb Komisji w sprawie wytycznych operacyjnych w sprawie uwzględniania praw podstawowych w ocenach skutków przeprowadzanych przez Komisję (SEC(2011) 567).

19

(20)  Na temat potrzeby rozważenia rozwiązań alternatywnych zob. też Trybunał Sprawiedliwości w Schecke (zob. przypis powyżej).

20

(21)  Komunikat Komisji w sprawie całościowego podejścia do kwestii ochrony danych osobowych w Unii Europejskiej, COM(2010) 609, s. 12. Zob. też opinię EIOD z dnia 14 stycznia 2011 r. w sprawie komunikatu Komisji do Parlamentu Europejskiego, Rady, Europejskiego Komitetu Ekonomiczno-Społecznego i Komitetu Regionów – „Całościowe podejście do kwestii ochrony danych osobowych w Unii Europejskiej” (Dz.U. C 181 z 22.6.2011, s. 1), pkt 108–115.

21

(22)  Komunikat, s. 16.

22

(23)  Zob. wstępne uwagi EIOD w sprawie pakietu granicznego (zob. przypis powyżej), s. 3.

23

(24)  Zob. też opinię EIOD z dnia 31 maja 2011 r. w sprawie sprawozdania Komisji dla Rady i Parlamentu Europejskiego oceniającego dyrektywę w sprawie zatrzymywania danych (dyrektywa 2006/24/WE) niepublikowaną jeszcze w Dz.U., jak też opinię EIOD z dnia 25 marca 2011 r.

24

(25)  Komunikat, s. 16.

25

(26)  Wniosek w sprawie rozporządzenia dotyczącego ustanowienia systemu Eurodac do porównywania odcisków palców w celu skutecznego stosowania rozporządzenia (WE) nr (.../...) (ustanawiającego kryteria i mechanizmy ustalania państwa członkowskiego odpowiedzialnego za rozpatrzenie wniosku o udzielenie ochrony międzynarodowej złożonego w jednym z państw członkowskich przez obywatela kraju trzeciego lub bezpaństwowca) (wersja przekształcona), COM(2008) 825.

26

(27)  Zmieniony wniosek w sprawie rozporządzenia Parlamentu Europejskiego i Rady dotyczącego ustanowienia systemu Eurodac do porównywania odcisków palców w celu skutecznego stosowania rozporządzenia (WE) nr (.../...) (ustanawiającego kryteria i mechanizmy ustalania państwa członkowskiego odpowiedzialnego za rozpatrzenie wniosku o udzielenie ochrony międzynarodowej złożonego w jednym z państw członkowskich przez obywatela kraju trzeciego lub bezpaństwowca) (wersja przekształcona), COM(2009) 342. EIOD wydał opinię na temat tego wniosku – zob. opinię EIOD z dnia 7 października 2009 r. na temat zmienionego wniosku w sprawie rozporządzenia Parlamentu Europejskiego i Rady dotyczącego ustanowienia systemu Eurodac do porównywania odcisków palców w celu skutecznego stosowania rozporządzenia (WE) nr (.../...) (ustanawiającego kryteria i mechanizmy ustalania państwa członkowskiego odpowiedzialnego za rozpatrzenie wniosku o udzielenie ochrony międzynarodowej złożonego w jednym z państw członkowskich przez obywatela państwa trzeciego lub bezpaństwowca) oraz na temat wniosku dotyczącego decyzji Rady w sprawie występowania przez organy ścigania państw członkowskich oraz Europol o porównanie z danymi Eurodac na potrzeby ochrony porządku publicznego („opinia EIOD z dnia 7 października 2009 r.”) (Dz.U. C 92 z 10.4.2010, s. 1).

27

(28)  Zmieniony wniosek w sprawie rozporządzenia dotyczącego ustanowienia systemu Eurodac do porównywania odcisków palców w celu skutecznego stosowania rozporządzenia (WE) nr (.../...) (ustanawiającego kryteria i mechanizmy ustalania państwa członkowskiego odpowiedzialnego za rozpatrzenie wniosku o udzielenie ochrony międzynarodowej złożonego w jednym z państw członkowskich przez obywatela kraju trzeciego lub bezpaństwowca) (wersja przekształcona), COM(2010) 555 („COM(2010) 555”). EIOD wydał opinię na temat tego wniosku, zob. opinię EIOD z dnia 15 grudnia 2010 r. (zob. przypis powyżej), zwłaszcza pkt 18–22, 28–33, 51–57.

28

(29)  Opinia EIOD z dnia 15 grudnia 2010 r., zwłaszcza pkt 12–17.

29

(30)  Rada Europejska: Program sztokholmski – Otwarta i bezpieczna Europa dla dobra i ochrony obywateli, s. 5 (Dz.U. C 115 z 4.5.2010, s. 1).

30

(31)  COM(2010) 555, zob. przypis powyżej, s. 3.

31

(32)  Tamże.

32

(33)  Wnioskowi z października 2010 r. nie towarzyszyła ocena skutków. Komisja odniosła się natomiast do oceny skutków przeprowadzonej w odniesieniu do wniosku z 2009 r., zob. dokument roboczy służb Komisji – dokument towarzyszący zmienionemu wnioskowi w sprawie rozporządzenia Parlamentu Europejskiego i Rady dotyczącego ustanowienia systemu Eurodac do porównywania odcisków palców w celu skutecznego stosowania rozporządzenia (WE) nr (.../...) [ustanawiającego kryteria i mechanizmy ustalania państwa członkowskiego odpowiedzialnego za rozpatrzenie wniosku o udzielenie ochrony międzynarodowej złożonego w jednym z państw członkowskich przez obywatela państwa trzeciego lub bezpaństwowca] (wersja przekształcona) oraz wnioskowi dotyczącemu decyzji Rady w sprawie występowania przez organy ścigania państw członkowskich oraz Europol o porównanie z danymi Eurodac na potrzeby ochrony porządku publicznego – ocena skutków, SEC(2009) 936. Zob. też COM(2010) 555 (zob. przypis powyżej), s. 3.

33

(34)  Komunikat, s. 11.

34

(35)  Komunikat, s. 11.

35

(36)  Trzeba byłoby również wyjaśnić, jakie wyjątki mają zastosowanie – np. z powodów medycznych lub humanitarnych.

36

(37)  Zob. opinię EIOD z dnia 30 września 2010 r. (zob. przypis powyżej), pkt 52–56.

37

(38)  Zob. wstępne uwagi EIOD z dnia 3 marca 2008 r. (zob. przypis powyżej), s. 4.

38

(39)  Komunikat Komisji: Sprawozdanie roczne na temat imigracji i azylu, COM(2011) 291, s. 9.

39

(40)  Zob. np. opinię EIOD z dnia 16 października 2006 r. w sprawie zmienionego wniosku dotyczącego rozporządzenia Rady zmieniającego rozporządzenie (WE) nr 1030/2002 ustanawiające jednolity wzór dokumentów pobytowych dla obywateli państw trzecich (Dz.U. C 320 z 28.12.2006, s. 21); zob. też opinię Grupy Roboczej art. 29 nr 3/2007 w sprawie wniosku dotyczącego rozporządzenia Parlamentu Europejskiego i Rady zmieniającego Wspólne Instrukcje Konsularne dla misji dyplomatycznych i urzędów konsularnych dotyczące wiz w związku z wprowadzeniem technologii biometrycznych, łącznie z przepisami dotyczącymi organizacji przyjmowania i rozpatrywania wniosków wizowych (COM(2006) 269 wersja ostateczna), WP 134 z dnia 1 marca 2007 r.

40

(41)  Zob. np. opinię EIOD z dnia 19 października 2005 r. w sprawie wniosku dotyczącego decyzji Rady w sprawie utworzenia, działania i wykorzystania Systemu Informacyjnego Schengen drugiej generacji (SIS II), wniosku dotyczącego rozporządzenia Parlamentu Europejskiego i Rady w sprawie utworzenia, eksploatacji i wykorzystania Systemu Informacyjnego Schengen (SIS II) drugiej generacji (...) (Dz.U. C 91 z 19.4.2006, s. 38); oraz „Towards more comprehensive data protection in Europe including Biometrics – a European perspective”, XII Konferencja Instytutu ds. Biometrii, Sydney (Australia), 26 maja 2011 r.:

41

http://www.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/EDPS/Publications/Speeches/2011/11-05-26_Biometrics_Institute_EN.pdf

(42)  Może to wynikać na przykład z chorób, niepełnosprawności, ran i oparzeń. Wydaje się też, że odciski palców osób pracujących w rolnictwie lub budownictwie mogą w niebłahej liczbie przypadków być uszkodzone w stopniu uniemożliwiającym odczyt. Zob. też opinię EIOD z dnia 15 grudnia 2010 r. (zob. przypis powyżej), pkt 19.

42

(43)  Podobne uwagi w kontekście Eurodac: zob. opinię EIOD z dnia 15 grudnia 2010 r., pkt 18–25.

43

(44)  Na jednym z lotnisk wybranych do celów testów 35 dni próbnego działania systemu wiązało się z kosztami pracy i wydatkami w wysokości 393 410 USD, prowadząc do wykrycia 90 przypadków podejrzewanego nadmiernego przedłużenia pobytu. Podczas drugiego z prowadzonych równolegle testów odnotowano 44 przypuszczalne trafienia kosztem 77 501 USD. Liczby te nie uwzględniają kosztów opracowania systemu. Ocena testów: United States Government Accountability Office: US-VISIT Pilot Evaluations Offer Limited Understanding of Air Exit Options, sierpień 2010, GAO-10-860, dokument dostępny pod adresem: http://www.gao.gov/new.items/d10860.pdf („US GAO: US-VISIT Pilot Evaluations”).

44

(45)  Cytat w US GAO: US-VISIT Pilot Evaluations, s. 72.

45

(46)  US GAO: US-VISIT Pilot Evaluations, s. 72.

46

(47)  Zob. wstępne uwagi EIOD z dnia 3 marca 2008 r. (zob. przypis powyżej), s. 4.

47

(48)  Komunikat, s. 12.

48

(49)  Zob. również wstępne uwagi EIOD z dnia 3 marca 2008 r. (zob. przypis powyżej).

49

(50)  Komunikat, s. 11.

50

(51)  Komunikat, s. 8.

51

(52)  Komunikat, s. 8.

52

(53)  Opinia EIOD z dnia 17 maja 2010 r. dotycząca wniosku w sprawie rozporządzenia Parlamentu Europejskiego i Rady zmieniającego rozporządzenie Rady (WE) nr 2007/2004 ustanawiające Europejską Agencję Zarządzania Współpracą Operacyjną na Zewnętrznych Granicach Państw Członkowskich Unii Europejskiej (Frontex), niepublikowana jeszcze w Dz.U.; zob. też opinię EIOD z dnia 17 grudnia 2010 r. (zob. przypis powyżej), pkt 48–51.

53

(54)  Komunikat, s. 20.

54

(55)  Komunikat, s. 8.

55

(56)  Komunikat, s. 8.

56

(57)  Komunikat, s. 8.

57

(58)  Zob. też opinię EIOD z dnia 17 grudnia 2010 r. (zob. przypis powyżej), pkt 46–47, w której była już mowa o tym zagadnieniu. W opinii tej mowa jest też o nierozstrzygniętej jeszcze kwestii charakteru przewidywanych powiązań między Frontex-em a Eurosur.

58

(59)  Komunikat, s. 8.

59

(60)  Komunikat, s. 8.

60

---

IV Informacje

INFORMACJE INSTYTUCJI, ORGANÓW I JEDNOSTEK ORGANIZACYJNYCH UNII EUROPEJSKIEJ

Komisja Europejska

| 8.2.2012 | PL | Dziennik Urzędowy Unii Europejskiej | C 34/27 |
| --- | --- | --- | --- |

8.2.2012

PL

Dziennik Urzędowy Unii Europejskiej

C 34/27

---

Kursy walutowe euro (1)

7 lutego 2012 r.

2012/C 34/03

1 euro =

| | Waluta | Kurs wymiany |
| --- | --- | --- |
| USD | Dolar amerykański | 1,3113 |
| JPY | Jen | 100,67 |
| DKK | Korona duńska | 7,4336 |
| GBP | Funt szterling | 0,83020 |
| SEK | Korona szwedzka | 8,8215 |
| CHF | Frank szwajcarski | 1,2087 |
| ISK | Korona islandzka | |
| NOK | Korona norweska | 7,6225 |
| BGN | Lew | 1,9558 |
| CZK | Korona czeska | 25,000 |
| HUF | Forint węgierski | 291,66 |
| LTL | Lit litewski | 3,4528 |
| LVL | Łat łotewski | 0,6990 |
| PLN | Złoty polski | 4,1783 |
| RON | Lej rumuński | 4,3523 |
| TRY | Lir turecki | 2,3076 |
| AUD | Dolar australijski | 1,2161 |
| CAD | Dolar kanadyjski | 1,3088 |
| HKD | Dolar Hongkongu | 10,1682 |
| NZD | Dolar nowozelandzki | 1,5747 |
| SGD | Dolar singapurski | 1,6370 |
| KRW | Won | 1 467,38 |
| ZAR | Rand | 9,9577 |
| CNY | Yuan renminbi | 8,2763 |
| HRK | Kuna chorwacka | 7,5750 |
| IDR | Rupia indonezyjska | 11 791,87 |
| MYR | Ringgit malezyjski | 3,9509 |
| PHP | Peso filipińskie | 55,715 |
| RUB | Rubel rosyjski | 39,2870 |
| THB | Bat tajlandzki | 40,611 |
| BRL | Real | 2,2636 |
| MXN | Peso meksykańskie | 16,6601 |
| INR | Rupia indyjska | 64,7060 |

Waluta

Kurs wymiany

USD

Dolar amerykański

1,3113

JPY

Jen

100,67

DKK

Korona duńska

7,4336

GBP

Funt szterling

0,83020

SEK

Korona szwedzka

8,8215

CHF

Frank szwajcarski

1,2087

ISK

Korona islandzka

NOK

Korona norweska

7,6225

BGN

Lew

1,9558

CZK

Korona czeska

25,000

HUF

Forint węgierski

291,66

LTL

Lit litewski

3,4528

LVL

Łat łotewski

0,6990

PLN

Złoty polski

4,1783

RON

Lej rumuński

4,3523

TRY

Lir turecki

2,3076

AUD

Dolar australijski

1,2161

CAD

Dolar kanadyjski

1,3088

HKD

Dolar Hongkongu

10,1682

NZD

Dolar nowozelandzki

1,5747

SGD

Dolar singapurski

1,6370

KRW

Won

1 467,38

ZAR

Rand

9,9577

CNY

Yuan renminbi

8,2763

HRK

Kuna chorwacka

7,5750

IDR

Rupia indonezyjska

11 791,87

MYR

Ringgit malezyjski

3,9509

PHP

Peso filipińskie

55,715

RUB

Rubel rosyjski

39,2870

THB

Bat tajlandzki

40,611

BRL

Real

2,2636

MXN

Peso meksykańskie

16,6601

INR

Rupia indyjska

64,7060

---

(1)  Źródło: referencyjny kurs wymiany walut opublikowany przez ECB.

---

V Ogłoszenia

INNE AKTY

Komisja Europejska

| 8.2.2012 | PL | Dziennik Urzędowy Unii Europejskiej | C 34/28 |
| --- | --- | --- | --- |

8.2.2012

PL

Dziennik Urzędowy Unii Europejskiej

C 34/28

---

Zawiadomienie dla Monira Chouki, Yassina Chouki i Mevlüta Kara dodanych do wykazu, o którym mowa w art. 2, 3 i 7 rozporządzenia Rady (WE) nr 881/2002 wprowadzającego niektóre szczególne środki ograniczające skierowane przeciwko niektórym osobom i podmiotom związanym z siecią Al-Kaida, na mocy rozporządzenia Komisji (UE) nr 97/2012

| 1. | We wspólnym stanowisku 2002/402/WPZiB (1) wzywa się Unię do zamrożenia funduszy oraz innych zasobów gospodarczych członków organizacji Al-Kaida oraz innych osób fizycznych, grup, przedsiębiorstw i podmiotów z nimi powiązanych, wymienionych w wykazie sporządzonym zgodnie z rezolucją Rady Bezpieczeństwa ONZ 1267 (1999) i 1333 (2000) i systematycznie aktualizowanym przez Komitet ONZ powołany na podstawie rezolucji Rady Bezpieczeństwa ONZ 1267 (1999).
  Wykaz sporządzony przez Komitet ONZ obejmuje:






  — | Al-Kaidę, |
| --- | --- | --- |

1.

We wspólnym stanowisku 2002/402/WPZiB (1) wzywa się Unię do zamrożenia funduszy oraz innych zasobów gospodarczych członków organizacji Al-Kaida oraz innych osób fizycznych, grup, przedsiębiorstw i podmiotów z nimi powiązanych, wymienionych w wykazie sporządzonym zgodnie z rezolucją Rady Bezpieczeństwa ONZ 1267 (1999) i 1333 (2000) i systematycznie aktualizowanym przez Komitet ONZ powołany na podstawie rezolucji Rady Bezpieczeństwa ONZ 1267 (1999).

Wykaz sporządzony przez Komitet ONZ obejmuje:

—

Al-Kaidę,

| — | osoby fizyczne lub prawne, podmioty, organy i grupy związane z Al-Kaidą, oraz |
| --- | --- |

—

osoby fizyczne lub prawne, podmioty, organy i grupy związane z Al-Kaidą, oraz

| — | osoby prawne, podmioty i organy będące własnością lub pozostające pod kontrolą jakiejkolwiek z tych powiązanych osób, podmiotów lub grup, względnie w jakikolwiek inny sposób je wspierające. |
| --- | --- |

—

osoby prawne, podmioty i organy będące własnością lub pozostające pod kontrolą jakiejkolwiek z tych powiązanych osób, podmiotów lub grup, względnie w jakikolwiek inny sposób je wspierające.

Działania lub czynności wskazujące na to, że dana osoba, grupa, przedsiębiorstwo lub podmiot są „powiązane” z Al-Kaidą, obejmują:

| a) | udział w finansowaniu, planowaniu, ułatwianiu, przygotowywaniu lub wykonywaniu działań lub czynności przez Al-Kaidę bądź jakąkolwiek jej komórkę, grupę powiązaną, wyodrębnioną lub pochodną, czy też dokonywanie tego wspólnie z nimi, pod ich nazwą, w ich imieniu lub w celu udzielenia im wsparcia; |
| --- | --- |

a)

udział w finansowaniu, planowaniu, ułatwianiu, przygotowywaniu lub wykonywaniu działań lub czynności przez Al-Kaidę bądź jakąkolwiek jej komórkę, grupę powiązaną, wyodrębnioną lub pochodną, czy też dokonywanie tego wspólnie z nimi, pod ich nazwą, w ich imieniu lub w celu udzielenia im wsparcia;

| b) | dostarczanie, sprzedaż lub przekazywanie którejkolwiek z wymienionych osób lub grup broni i podobnych materiałów; |
| --- | --- |

b)

dostarczanie, sprzedaż lub przekazywanie którejkolwiek z wymienionych osób lub grup broni i podobnych materiałów;

| c) | dokonywanie rekrutacji na rzecz którejkolwiek z wymienionych osób lub grup; lub |
| --- | --- |

c)

dokonywanie rekrutacji na rzecz którejkolwiek z wymienionych osób lub grup; lub

| d) | wspieranie działań lub czynności którejkolwiek z wymienionych osób lub grup w inny sposób. |
| --- | --- |

d)

wspieranie działań lub czynności którejkolwiek z wymienionych osób lub grup w inny sposób.

| 2. | W dniu 25 stycznia 2012 r. Komitet ONZ podjął decyzję o włączeniu do wykazu Monira Chouki, Yassina Chouki i Mevlüta Kara. Mogą oni w każdej chwili złożyć wniosek do rzecznika praw obywatelskich ONZ o ponowną weryfikację decyzji o dodaniu ich do wymienionego wyżej wykazu ONZ, wraz z dokumentami uzupełniającymi. Taki wniosek należy przesłać na poniższy adres rzecznika praw obywatelskich ONZ:





  United Nations — Office of the Ombudsperson |
| --- | --- |
| Room TB-08041D |
| New York, NY 10017 |
| UNITED STATES OF AMERICA |
| Tel. +1 2129632671 |
| Faks +1 2129631300 / 3778 |
| E-mail: ombudsperson@un.org |

2.

W dniu 25 stycznia 2012 r. Komitet ONZ podjął decyzję o włączeniu do wykazu Monira Chouki, Yassina Chouki i Mevlüta Kara. Mogą oni w każdej chwili złożyć wniosek do rzecznika praw obywatelskich ONZ o ponowną weryfikację decyzji o dodaniu ich do wymienionego wyżej wykazu ONZ, wraz z dokumentami uzupełniającymi. Taki wniosek należy przesłać na poniższy adres rzecznika praw obywatelskich ONZ:

United Nations — Office of the Ombudsperson

Room TB-08041D

New York, NY 10017

UNITED STATES OF AMERICA

Tel. +1 2129632671

Faks +1 2129631300 / 3778

E-mail: ombudsperson@un.org

Więcej informacji można znaleźć na stronie http://www.un.org/sc/committees/1267/delisting.shtml

| 3. | W następstwie decyzji ONZ, o której mowa w pkt 2, Komisja przyjęła rozporządzenie (UE) nr 97/2012 (2), zmieniające załącznik I do rozporządzenia Rady (WE) nr 881/2002 wprowadzającego niektóre szczególne środki ograniczające skierowane przeciwko niektórym osobom i podmiotom związanym z siecią Al-Kaida (3). Zmiana wprowadzona na mocy art. 7 ust. 1 lit. a) oraz art. 7a ust. 1 rozporządzenia (WE) nr 881/2002 polega na dodaniu Monira Chouki, Yassina Chouki i Mevlüta Kara do wykazu w załączniku I do tego rozporządzenia („załącznik I”).
  Do osób oraz podmiotów wpisanych do załącznika I mają zastosowanie następujące środki określone w rozporządzeniu (WE) nr 881/2002:






  1) | zamrożenie wszystkich należących do nich funduszy i zasobów gospodarczych, będących ich własnością lub w ich posiadaniu, a także zakaz (dotyczący wszystkich) udostępniania im lub na ich rzecz, bezpośrednio lub pośrednio, funduszy i zasobów gospodarczych (art. 2 i 2a (4)); oraz |
| --- | --- | --- |

3.

W następstwie decyzji ONZ, o której mowa w pkt 2, Komisja przyjęła rozporządzenie (UE) nr 97/2012 (2), zmieniające załącznik I do rozporządzenia Rady (WE) nr 881/2002 wprowadzającego niektóre szczególne środki ograniczające skierowane przeciwko niektórym osobom i podmiotom związanym z siecią Al-Kaida (3). Zmiana wprowadzona na mocy art. 7 ust. 1 lit. a) oraz art. 7a ust. 1 rozporządzenia (WE) nr 881/2002 polega na dodaniu Monira Chouki, Yassina Chouki i Mevlüta Kara do wykazu w załączniku I do tego rozporządzenia („załącznik I”).

Do osób oraz podmiotów wpisanych do załącznika I mają zastosowanie następujące środki określone w rozporządzeniu (WE) nr 881/2002:

1)

zamrożenie wszystkich należących do nich funduszy i zasobów gospodarczych, będących ich własnością lub w ich posiadaniu, a także zakaz (dotyczący wszystkich) udostępniania im lub na ich rzecz, bezpośrednio lub pośrednio, funduszy i zasobów gospodarczych (art. 2 i 2a (4)); oraz

| 2) | zakaz bezpośredniego lub pośredniego udzielania, sprzedaży, dostarczania lub przekazywania im doradztwa technicznego, pomocy lub szkoleń związanych z działalnością wojskową (art. 3). |
| --- | --- |

2)

zakaz bezpośredniego lub pośredniego udzielania, sprzedaży, dostarczania lub przekazywania im doradztwa technicznego, pomocy lub szkoleń związanych z działalnością wojskową (art. 3).

| 4. | Artykuł 7a rozporządzenia (WE) nr 881/2002 (5) przewiduje dokonanie procesu weryfikacji, w ramach którego osoby ujęte w wykazie mają możliwość zgłoszenia uwag dotyczących powodów ich umieszczenia na liście. Osoby i podmioty, dodane do załącznika I rozporządzeniem (UE) nr 97/2012, mogą zwrócić się do Komisji z wnioskiem o uzasadnienie umieszczenia ich w wykazie. Wniosek należy przesłać na poniższy adres służb Komisji Europejskiej zajmujących się środkami ograniczającymi:





  European Commission |
| --- | --- |
| ‘Restrictive measures’ |
| Rue de la Loi/Wetstraat 200 |
| 1049 Bruxelles/Brussel |
| BELGIQUE/BELGIË |

4.

Artykuł 7a rozporządzenia (WE) nr 881/2002 (5) przewiduje dokonanie procesu weryfikacji, w ramach którego osoby ujęte w wykazie mają możliwość zgłoszenia uwag dotyczących powodów ich umieszczenia na liście. Osoby i podmioty, dodane do załącznika I rozporządzeniem (UE) nr 97/2012, mogą zwrócić się do Komisji z wnioskiem o uzasadnienie umieszczenia ich w wykazie. Wniosek należy przesłać na poniższy adres służb Komisji Europejskiej zajmujących się środkami ograniczającymi:

European Commission

‘Restrictive measures’

Rue de la Loi/Wetstraat 200

1049 Bruxelles/Brussel

BELGIQUE/BELGIË

| 5. | Ponadto zwraca się uwagę zainteresowanych osób i podmiotów na fakt, że istnieje możliwość zaskarżenia rozporządzenia (UE) nr 97/2012 do Sądu Unii Europejskiej, zgodnie z postanowieniami art. 263 akapit czwarty i szósty Traktatu o funkcjonowaniu Unii Europejskiej. |
| --- | --- |

5.

Ponadto zwraca się uwagę zainteresowanych osób i podmiotów na fakt, że istnieje możliwość zaskarżenia rozporządzenia (UE) nr 97/2012 do Sądu Unii Europejskiej, zgodnie z postanowieniami art. 263 akapit czwarty i szósty Traktatu o funkcjonowaniu Unii Europejskiej.

| 6. | Dla zachowania należytego porządku zwraca się uwagę osób i podmiotów wymienionych w załączniku I na możliwość zwrócenia się z wnioskiem do właściwych władz odpowiedniego państwa członkowskiego (państw członkowskich), zgodnie z załącznikiem II do rozporządzenia (WE) nr 881/2002, w celu uzyskania zezwolenia na wykorzystanie zamrożonych funduszy i zasobów gospodarczych na podstawowe potrzeby lub szczególne płatności, zgodnie z art. 2a tego rozporządzenia. |
| --- | --- |

6.

Dla zachowania należytego porządku zwraca się uwagę osób i podmiotów wymienionych w załączniku I na możliwość zwrócenia się z wnioskiem do właściwych władz odpowiedniego państwa członkowskiego (państw członkowskich), zgodnie z załącznikiem II do rozporządzenia (WE) nr 881/2002, w celu uzyskania zezwolenia na wykorzystanie zamrożonych funduszy i zasobów gospodarczych na podstawowe potrzeby lub szczególne płatności, zgodnie z art. 2a tego rozporządzenia.

---

(1)  Dz.U. L 139 z 29.5.2002, s. 4.

(2)  Dz.U. L 35 z 8.2.2012, s. 4.

(3)  Dz.U. L 139 z 29.5.2002, s. 9.

(4)  Artykuł 2a dodany rozporządzeniem Rady (WE) nr 561/2003 (Dz.U. L 82 z 29.3.2003, s. 1).

(5)  Artykuł 7a dodany rozporządzeniem Rady (UE) nr 1286/2009 (Dz.U. L 346 z 23.12.2009, s. 42).

---