BG Официален вестник на Европейския съюз C 177/1

Становище на Европейския надзорен орган по защита на данните относно предложенията на Комисията за регламент на Европейския парламент и на Съвета относно злоупотребата с вътрешна информация и манипулирането на пазара и за директива на Европейския парламент и на Съвета относно наказателните санкции за злоупотреба с вътрешна информация и манипулиране на пазара

2012/C 177/01

ЕВРОПЕЙСКИЯТ НАДЗОРЕН ОРГАН ПО ЗАЩИТА НА ДАННИТЕ,

като взе предвид Договора за функционирането на Европейския съюз, и по-специално член 16 от него,

като взе предвид Хартата на основните права на Европейския съюз, и по-специално членове 7 и 8 от нея,

като взе предвид Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 г. за защитата на физическите лица при обработването на лични данни и за свободното движение на тези данни (1),

като взе предвид Регламент (ЕО) № 45/2001 на Европейския парламент и на Съвета от 18 декември 2000 г. относно защитата на лицата по отношение на обработката на лични данни от институции и органи на Общността и за свободното движение на такива данни (2), и по-специално член 28, параграф 2 от него,

ПРИЕ СЛЕДНОТО СТАНОВИЩЕ:

1. ВЪВЕДЕНИЕ

1.1. Консултация с ЕНОЗД

1. Настоящото становище е част от пакет от 4 становища на ЕНОЗД във връзка с финансовия сектор, като всички бяха приети в един ден (3).

2. На 20 октомври 2011 г. Комисията прие предложение за регламент на Европейския парламент и на Съвета относно злоупотребата с вътрешна информация и манипулирането на пазара („предложеният регламент“) и предложение за директива на Европейския парламент и на Съвета относно наказателните санкции за злоупотреба с вътрешна информация и манипулиране на пазара („предложената директива“). Предложените регламент и директива (съвместно наричани „предложенията“) бяха изпратени от Комисията и получени от ЕНОЗД за консултация на 31 октомври 2011 г. На 6 декември 2011 г. Съветът на Европейския съюз проведе консултация с ЕНОЗД относно предложенията.

3. Преди приемането на предложения регламент бе проведена неофициална консултация с ЕНОЗД. ЕНОЗД отбелязва, че някои от неговите коментари са били взети под внимание в предложението.

4. ЕНОЗД изразява удовлетворение от факта, че Комисията и Съветът са провели консултация с него.

1.2. Цели и обхват на предложенията

5. С директивата за пазарна злоупотреба („MAD“) (4), приета в началото на 2003 г., бе въведена обща правна рамка на ЕС за предотвратяване, разкриване и налагане на санкции както на търговията с вътрешна информация, така и на манипулирането на пазара.

6. След като MAD бе прилагана в продължение на няколко години Комисията оцени прилагането на тази директива и идентифицира редица проблеми като пропуски в регулирането на някои инструменти и пазари, проблеми при ефективното прилагане (регулаторните органи не разполагат с определена информация и правомощия, а санкциите или липсват, или не са достатъчно възпиращи), липса на яснота по някои ключови концепции и административна тежест за емитентите.

7. В контекста на тези проблеми и важните промени, въведени във финансовия сектор чрез законодателни, пазарни и технологични развития, Комисията прие законодателни предложения за реформа на MAD, която се състои от предложения регламент и предложената директива. Политическите цели на предложеното преразглеждане са да се повиши доверието на инвеститорите и интегритета на пазара и да бъдем в крак с новите развития във финансовия сектор.

8. С предложения регламент по-специално се разширява обхватът на рамката за пазарна злоупотреба, класифицират се опитите за манипулиране на пазара и злоупотреба с вътрешна информация като конкретни престъпления, подсилват се разследващите правомощия на компетентните органи и се въвеждат минимални правила за административни мерки, санкции и глоби.

9. Предложената директива изисква от държавите-членки да въведат наказателни санкции за умишлената злоупотреба с вътрешна информация или манипулиране на пазара, както и за подбуждане, подпомагане, съучастие или опит за извършване на тези престъпления. Освен това тя разширява отговорността до юридически лица, като по целесъобразност включва наказателна отговорност на юридически лица.

1.3. Цел на становището на ЕНОЗД

10. Някои от мерките, планирани в предложенията с цел повишаване на интегритета на пазара и защита на инвеститорите, оказват въздействие върху правата на лица във връзка с обработването на техните лични данни.

11. По-специално ще се събират, обработват и обменят лични данни, когато компетентните органи разследват или си сътрудничат с цел разкриване, докладване и/или санкциониране на злоупотреба с вътрешна информация или манипулиране на пазара. Освен това механизмът, с който се насърчава докладването на нарушения, също ще включва обработване на лични данни както на лицето, което докладва за нарушенията, така и на „обвиненото“ лице. На последно място режимът на санкциониране ще засегне правото на защита на личните данни, дотолкова доколкото санкциите, в които се посочва самоличността на лицето, отговорно за нарушаването на предложения регламент, ще бъдат публично разгласявани.

12. Докато предложеният регламент съдържа няколко разпоредби, които могат да засегнат правото на лицата да защитят своите лични данни, предложената директива не включва обработване на лични данни като такова. Поради това настоящото становище ще бъде насочено към предложения регламент и по-специално към следните въпроси: 1. приложимостта на законодателството за защита на данните; 2. списъци на лица, които имат достъп до вътрешна информация; 3. правомощията на компетентните органи; 4. въведените системи за разкриване и докладване на подозрителни сделки; 5. обмен на информация с трети държави; 6. публично разгласяване на санкции и докладване на нарушения.

2. АНАЛИЗ НА ПРЕДЛОЖЕНИЯТА

2.1. Приложимост на законодателството за защита на данните

13. Както в съображенията (5), така и в разпоредбите (6) на предложения регламент се посочват Хартата на основните права, Директива 95/46 и Регламент № 45/2001. По-специално в член 22 от предложения регламент изрично се предвижда като общо правило, че „при обработката на лични данни, извършвана от държавите-членки в съответствие с настоящия регламент, компетентните органи прилагат разпоредбите на Директива 95/46/ЕО. Когато ЕОЦКП обработва лични данни в съответствие с настоящия регламент, той спазва разпоредбите на Регламент (ЕО) № 45/2001“. Освен това разпоредбата предвижда, че личните данни се съхраняват за максимален срок от 5 години.

14. ЕНОЗД изразява голямо удовлетворение от тази основна разпоредба и като цяло приветства вниманието, което е отделено специално на законодателството за защитата на данните в предложения регламент. ЕНОЗД обаче предлага разпоредбата да бъде преработена, така че да се подчертае приложимостта на съществуващото законодателство за защита на данните. Освен това позоваването на Директива 95/46/ЕО следва да бъде пояснено, като се посочи, че разпоредбите ще се прилагат в съответствие с националните правила за прилагане на Директива 95/46/ЕО. ЕНОЗД отбелязва, че в някои разпоредби от предложения регламент се прави изрично позоваване на Директива 95/46/ЕО и/или Регламент (ЕО) № 45/2001. Така се подчертава прилагането на съответните правила за защита на данните в конкретни случаи, но това не означава, че правилата не са приложими, когато не са изрично посочени във всяка разпоредба, която (потенциално) води до обработване на лични данни.

15. Подобно на съображение 33, и в други съображения следва последователно да се използва изразът, че държавите-членки „спазват“, а не само че „следва да спазват“ съответното законодателство за защита на данните, тъй като вторият израз е в сила и няма свобода на действие по отношение на неговата приложимост.

2.2. Списъци на лица, които имат достъп до вътрешна информация

16. Предложеният регламент съдържа задължение за емитентите на финансови инструменти или участниците на пазара на квоти за емисии да изготвят списък на всички лица, които работят за тях по силата на трудов договор или по друг начин и които имат достъп до вътрешна информация (член 13, параграф 1). Емитентите на финансови инструменти, чиито финансови инструменти са допуснати до търгуване на развиващ се пазар на МСП, са освободени от това задължение, освен когато компетентният орган поиска да съставят такъв списък (член 13, параграф 2).

17. ЕНОЗД признава, че такива списъци са необходими, тъй като те представляват важен инструмент за компетентните органи, когато разследват евентуална злоупотреба с вътрешна информация или пазарна злоупотреба. При все това, тъй като тези списъци ще включват обработването на лични данни, в основния законодателен акт трябва да се определят общи правила и гаранции за защита на данните. Поради това ЕНОЗД препоръчва да се включи изрично позоваване на целта на тези списъци в материалноправна норма от предложения регламент. Целта в действителност е един от съществените елементи на всеки случай на обработване съгласно член 6 от Директива 95/46/ЕО.

18. В съответствие с член 13, параграф 3 от предложения регламент Комисията приема посредством делегиран акт мерки, с които се определя съдържанието на списъка (включително информация във връзка със самоличността на лицата и причините те да бъдат включени в списък на лица, които имат достъп до вътрешна информация) и условията, при които ще се изготвят такива списъци (включително условията за актуализиране, периодът на съхранение и отговорностите на вписаните лица). ЕНОЗД обаче препоръчва следното: — включване на основните елементи от списъка (и във всеки случай причините, поради които лицата следва да се включат в списъка) в самия предложен регламент, — включване на позоваване на необходимостта да се проведе консултация с ЕНОЗД, дотолкова доколкото делегираните актове са свързани с обработване на лични данни.

2.3. Правомощия на компетентните органи

19. В член 17, параграф 2 се изброяват надзорните и разследващите правомощия, с които компетентните органи разполагат най-малко с оглед изпълнение на своите задължения съгласно предложения регламент.

20. Две правомощия по-специално се нуждаят от специално внимание поради връзката им с правата на неприкосновеност на личния живот и защитата на данни: правомощието за достъп до частни помещения с цел изземване на документи в каквато и да било форма и правомощието за изискване на съществуващи записи за телефонни разговори и за пренос на данни.

2.3.1. Правомощие за достъп до частни помещения

21. Правомощието за достъп до частни помещения с цел изземване на документи в каквато и да било форма е действие с висока степен на намеса в личното пространство и засяга правото на неприкосновеност на личния живот. Поради това правомощието трябва да подлежи на строги условия и да се придружава от подходящи предпазни мерки (7). В член 17, параграф 2, буква д) се изисква достъпът до частни помещения да подлежи на предварително разрешение от съдебния орган в съответствие с националното законодателство и когато съществува основателно подозрение, че документите, свързани с предмета на проверката, могат да бъдат от значение за доказването на случай на злоупотреба с вътрешна информация или манипулиране на пазара. ЕНОЗД оценява факта, че в текста правомощията на компетентните органи за достъп до частни помещения са обвързани с условие за наличие на основателно подозрение за нарушаване на предложения регламент или директива и за предварително разрешение от съдебен орган. При все това ЕНОЗД счита, че общото изискване за предварително съдебно разрешение, независимо дали това се изисква от националното законодателство или не, е обосновано и необходимо с оглед на потенциалната намеса в личното пространство в резултат на упражняване на това правомощие.

22. В съображение 30 от предложения регламент се посочват случаи, в които достъпът до частни помещения е необходим, т.е. лицето, към което вече е било отправено искане за информация, не го спази (изцяло или частично) или когато има разумни основания да се смята, че ако бъде направено искане, то няма да бъде спазено, или че документите или информацията, за които се отнася искането за информация, биха били премахнати, изменени или унищожени. ЕНОЗД изразява удовлетворение от тези уточнения. При все това органът счита, че те са допълнителни предпазни мерки, които са необходими, за да се гарантира спазване на правото на неприкосновеност на личния живот и поради това следва да се включат в материалноправна норма като условие за достъп до частни помещения.

2.3.2. Правомощие за изискване на съществуващи записи за телефонни разговори и за пренос на данни

23. Член 17, параграф 2, буква е) оправомощава компетентните органи да „изискват записи за телефонни разговори и пренос на данни, съхранявани от далекосъобщителни оператори или инвестиционни фирми“, но се пояснява, че изискването трябва да се основава на „основателно подозрение“, че тези записи „могат да бъдат от значение за доказването на случай на злоупотреба с вътрешна информация или манипулиране на пазара“ съгласно предложения регламент или предложената директива. Тези записи обаче не включват „съдържанието на съответния разговор или пренос на данни“. Освен това в член 17, параграф 3 се предвижда, че правомощията, посочени в параграф 2, се упражняват в съответствие с националното законодателство.

24. Данните, свързани с използването на електронни средства за комуникация, могат да съдържат широк набор от лична информация, като самоличността на лицата, които осъществяват и приемат повикването, времето и продължителността на повикването, използваната мрежа, географското местоположение на потребителя в случай на преносими устройства и т.н. Освен това понякога информацията за пренос на данни, свързана с използване на интернет и електронна поща (напр. списък с посетени интернет страници), може да разкрие важни подробности за съдържанието на комуникацията. В допълнение към това обработването на данни за трафик е в разрез с поверителността на кореспонденцията. С оглед на това в Директива 2002/58/ЕО (8) (директивата за правото на неприкосновеност на личния живот и електронни комуникации) бе установен принципът, че данните за трафик трябва да бъдат изтрити или да се направят анонимни, когато не са необходими повече за целите на предаване на комуникация (9). Съгласно член 15, параграф 1 от тази директива държавите-членки могат да включват дерогации в националното си законодателство за конкретни законни цели, но те трябва да са необходими, подходящи и пропорционални мерки в рамките на демократично общество, за да се постигнат тези цели (10).

25. ЕНОЗД признава, че целите, преследвани от Комисията в настоящия случай, са законни. Той разбира необходимостта от инициативи за засилване на надзора на финансовите пазари с цел запазване на тяхната стабилност и по-добра защита на инвеститорите и икономиката като цяло. При все това, предвид техния потенциал за намеса в личното пространство, разследващите правомощия, пряко свързани с данните за трафик, следва да се съгласуват с изискванията за необходимост и пропорционалност, т.е. те трябва да са ограничени до необходимото за постигане на преследваната цел и да не надхвърлят необходимото за нейното постигане (11). Поради това от тази гледна точка е от съществено значение разпоредбите да са ясно формулирани по отношение на личния и материалния обхват, както и обстоятелствата и условията, при които могат да бъдат използвани. Освен това следва да се осигурят подходящи предпазни мерки срещу риска от злоупотреби.

26. Записите на телефонни разговори и пренос на данни очевидно ще включват лични данни по смисъла на Директива 95/46/ЕО, Директива 2002/58/ЕО и Регламент № 45/2001. В съображение 31 от предложения регламент се посочва, че: „чрез записите за телефонни разговори и пренос на данни може да се установи самоличността на лице, отговорно за разпространяването на невярна или подвеждаща информация, както и наличието на връзка между две или повече лица (12).“ Поради това трябва да се гарантира пълно спазване на условията за справедливо и законно обработване на лични данни, както е определено в директивите и регламента.

2.3.3. Изискване за съдебно разрешение

27. ЕНОЗД отбелязва, че съгласно член 17, параграф 3 това правомощие се упражнява в съответствие с националното законодателство, без изрично да се посочва предварително съдебно разрешение, какъвто е случаят по отношение на правомощието за достъп до частни помещения. ЕНОЗД счита, че наличието на общо изискване за предварително съдебно разрешение във всички случаи — независимо дали се изисква от националното законодателство или не — би било обосновано с оглед потенциалната намеса на въпросното правомощие в личното пространство и в интерес на хармонизираното прилагане на законодателството във всички държави-членки на ЕС. Освен това трябва да се отчете, че различни закони на държавите-членки предвиждат специални гаранции за неприкосновеност на дома срещу непропорционални и недобре регулирани проверки, обиски или конфискации, особено когато се извършват от институции от административно естество.

28. Освен това ЕНОЗД препоръчва да се включи изискване компетентните органи да изискват записи за телефонни разговори и пренос на данни с официално решение, в което се посочва правното основание и целта на искането, както и каква информация се иска, срокът, в който трябва да се предостави информацията, и правото на получателя решението да се прегледа от Съда.

2.3.4. Определение на записи за телефонни разговори и пренос на данни

29. В предложения регламент няма определение на концепцията „записи за телефонни разговори и пренос на данни“. В Директива 2002/58/ЕО (право на неприкосновеност на личния живот и електронни комуникации) се посочват единствено „данни за трафик“, но не и „записи за телефонни разговори и пренос на данни“. Несъмнено точното значение на тези концепции определя възможното въздействие от разследващото правомощие върху неприкосновеността на личния живот и защитата на данните на засегнатите лица. ЕНОЗД предлага да се използва терминологията, която вече е въведена в определението за „данни за трафик“ в Директива 2002/58/EO.

30. В член 17, параграф 2, буква е) се посочват „съществуващи записи за телефонни разговори и за пренос на данни, съхранявани от далекосъобщителен оператор“. В директивата за правото на неприкосновеност на личния живот и електронни комуникации се установява принципът, че данните за трафик трябва да се заличават, когато вече не са нужни за търговската цел, с която са били събрани. При все това въз основа на член 15, параграф 1 от директивата за правото на неприкосновеност на личния живот и електронни комуникации държавите-членки могат да разрешат дерогация от това задължение за целите на правоприлагането. Целта на директивата за запазване на данни е да съгласува инициативите на държавите-членки съгласно член 15, параграф 1 от директивата за правото на неприкосновеност на личния живот и електронни комуникации, дотолкова доколкото този член е свързан със запазване на данни за разследване, разкриване и преследване на „тежки“ престъпления.

31. Въпросът е дали записите за телефонни разговори и за пренос на данни, посочени в член 17, параграф 2, буква е), са отнасят до данните, налични поради съхранението на данни за трафик и местонахождение, регулирани от директивата за правото на неприкосновеност на личния живот и електронни комуникации, или до допълнителните данни, изисквани съгласно директивата за запазване на данни. Вторият вариант би довел до сериозни опасения, тъй като дерогациите, предвидени в член 15, параграф 1 от директивата за правото на неприкосновеност на личния живот и електронни комуникации (т.e. превенцията, разследването, разкриването и преследването на криминални нарушения), биха били използвани за разширяване на целите, за които се запазват данни съгласно директивата за запазване на данни (т.e разследване, разкриване и преследване на „тежки“ престъпления). С други думи по този начин данните, които се запазват съгласно директивата за запазване на данни, биха били използвани за цели, които не се предвиждат в тази директива. Това би означавало, че Европейският съюз насърчава използването на „вратичка в закона“, което представлява една от основните слабости на настоящата директива за запазване на данни (13).

32. Поради това ЕНОЗД горещо препоръчва да се определят категории записи за телефонни разговори и за пренос на данни, които компетентните органи могат да изискват. Тези данни трябва да са подходящи, уместни и да не са прекомерни от гледна точка на целта, за която до тях се осъществява достъп и се обработват. Освен това ЕНОЗД препоръчва ограничаване на член 17, параграф 2, буква е) до данните, които обикновено се обработват („съхраняват“) от далекосъобщителните оператори в рамките на Директива 2002/58/ЕО за правото на неприкосновеност на личния живот и електронни комуникации. Това по принцип изключва достъпа до данни, които се съхраняват за целите на директивата за запазване на данни, дотолкова доколкото този достъп не е с цел разследване, разкриване и преследване на „тежки“ престъпления (14).

33. В член 17, параграф 2, буква е) се предвижда достъп до „записи за телефонни разговори и за пренос на данни, съхранявани от инвестиционна фирма“. В текста следва да се посочват категориите записи и да се пояснят фирмите, за които важи разпоредбата. ЕНОЗД приема, че записите ще съвпаднат със записите, посочени в предложението за директива на Европейския парламент и на Съвета относно пазарите на финансови инструменти („предложената MiFID“). ЕНОЗД подчертава, че е изказал становище по това предложение, в което препоръчва да се пояснят и тези концепции (15). Освен това, дотолкова доколкото телефонните данни и данните за трафик са свързани с телефонни разговори и електронни комуникации, посочени в член 16, параграф 7 от предложената MiFID, ЕНОЗД препоръча да се определи целта на записването на такива комуникации и да се посочи какви видове комуникации и какви категории данни за комуникациите ще се записват (16).

34. На последно място ЕНОЗД изразява удовлетворение, че в текста се съдържа условие за достъп до записите да е налице основателно подозрение за нарушаване на предложения регламент или предложената директива и че изрично се изключва достъпът на компетентните органи до съдържанието на комуникациите.

2.4. Въведени системи за разкриване и докладване на подозрителни сделки

35. В член 11, параграф 1 от предложения регламент се предвижда, че всяко лице, което извършва дейност на тържище, приема и поддържа ефективни мерки и процедури, насочени към предотвратяване и разкриване на пазарна злоупотреба. Освен това съгласно параграф 2 се изисква, че всяко лице, натоварено професионално с организирането или извършването на сделки с финансови инструменти, разполага със системи за откриване и съобщаване на нарежданията и сделките, които биха могли да представляват злоупотреба с вътрешна информация, манипулиране на пазара или опит за манипулиране на пазара или за злоупотреба с вътрешна информация. В случай на съмнение компетентните органи се уведомяват незабавно. Комисията ще приеме регулаторните технически стандарти, за да определи подходящите разпоредби и процедури, посочени в първия параграф, и системите и формулярите за уведомления, посочени във втория параграф (член 11, параграф 3, последно изречение).

36. Дотолкова доколкото тези системи най-вероятно ще включват лични данни (например мониторинг на сделки, сключени от лицата, посочени в списъка на лицата, които имат достъп до вътрешна информация), ЕНОЗД би искал да подчертае, че тези стандарти следва да се разработят в съответствие с принципа „защита на личния живот още при проектирането“, т.e. интегрирането на защитата на данните и неприкосновеността на личния живот още от замислянето на нови продукти, услуги и процедури, които включват обработването на лични данни (17). Освен това ЕНОЗД препоръчва да се включи позоваване на необходимостта да се проведе консултация с ЕНОЗД, дотолкова доколкото тези регулаторни стандарти са свързани с обработването на лични данни.

2.5. Обмен на информация с трети държави

37. ЕНОЗД отчита позоваването на Директива 95/46/ЕО, по-специално на член 25 или 26 и конкретните предпазни мерки, посочени в член 23 от предложения регламент относно разкриването на лични данни на трети държави. По-специално следните предпазни мерки се считат за подходящи предпазни мерки с оглед на съответните рискове при такова предаване на данни: оценка поотделно на всеки случай, демонстриране на необходимостта от предаването на данни, изискване за предварително изрично разрешение от компетентния орган за последващо предаване на данни до и от трета държава и наличие на подходящо равнище на защита на личните данни в третата държава, която получава личните данни.

2.6. Публично разгласяне на санкции

2.6.1. Задължително публично разгласяне на санкции

38. Член 26, параграф 3 от предложения регламент задължава държавите-членки да гарантират, че компетентните органи публично разгласяват всяка наложена административна мярка и санкция за нарушение на настоящия регламент без неоправдано закъснение, в това число най-малкото информация за вида и характера на нарушението и самоличността на лицата, които са отговорни за него, освен ако това разгласяване би застрашило сериозно стабилността на финансовите пазари.

39. Публичното разгласяване на санкциите би допринесло да се подобри възпирането на нарушения, тъй като действителните и потенциалните нарушители ще бъдат обезкуражени да извършват нарушения, за да избегнат значителни щети по своята репутация. Освен това то би увеличило прозрачността, тъй като пазарните оператори ще разберат, че дадено лице е извършило нарушение. Това задължение отпада единствено когато публичното разгласяване би довело до непропорционални щети за засегнатите страни, като в този случай компетентните органи публикуват санкциите, без да се съобщават имената или наименованията на нарушителите.

40. ЕНОЗД изразява удовлетворение от позоваването на Хартата на основните права в съображение 35, и по-специално на правото на защита на личните данни при налагането и публичното разгласяване на санкции. При все това ЕНОЗД не е убеден, че в настоящия си вид задължителното публично разгласяване на санкции отговаря на изискванията на законодателството за защита на данните, изяснено от Съда в решението по делото Schecke (18). ЕНОЗД възприема становището, че целта, необходимостта и пропорционалността на мярката не са установени в достатъчна степен и че във всеки случай е трябвало да се предвидят подходящи предпазни мерки срещу рисковете за правата на лицата.

2.6.2. Необходимост и пропорционалност на публичното разгласяване

41. В решението по делото Schecke Съдът анулира разпоредбите на регламент на Съвета и регламент на Комисията, които предвиждаха задължително публично разгласяване на информация относно получателите на средства от земеделските фондове, включително самоличността на получателите и получените суми. Съдът постанови, че въпросното публично разгласяване представлява обработване на лични данни, попадащо в обхвата на член 8, параграф 2 от Хартата на основните права на Европейския съюз („Хартата“), а оттам и нарушаване на правата, признати с членове 7 и 8 от Хартата.

42. След като прецени, че „дерогациите и ограниченията на защитата на личните данни трябва да се въвеждат в границите на строго необходимото“, Съдът направи анализ на целта на публичното разгласяване и неговата пропорционалност. Той заключи, че в този случай няма нищо, което да показва, че при приемането на съответното законодателство Съветът и Комисията са взели под внимание методи за публично разгласяване на информацията, които биха били в съответствие с целта на това разгласяване и които същевременно биха довели до по-малка намеса в личния живот по отношение на получателите.

43. Член 26, параграф 3 от предложения регламент изглежда е засегнат от същите слабости като подчертаните от Съда на ЕС в решението по делото Schecke. Следва да се има предвид, че при оценяване на съответствието на дадена разпоредба с изискванията за защита на данните, когато тази разпоредба налага публично разкриване на лична информация, от изключително значение е да е налице ясна и добре определена цел, която предвиденото публично разгласяване следва да обслужва. Единствено при наличието на ясна и добре определена цел може да се оцени дали въпросното публично разгласяване на лични данни е действително необходимо и пропорционално (19).

44. След като прочете предложението и придружаващите го документи (т.е. доклада за оценка на въздействието) ЕНОЗД остава с впечатлението, че целта, а оттам и необходимостта на тази мярка не са ясно установени. Съображенията на предложението не съдържат нито дума по тези въпроси, а в оценката на въздействието се посочват единствено общите положителни въздействия (т.е. възпиращ ефект по отношение на злоупотребата с вътрешна информация, принос към защитата на инвеститорите, равнопоставено третиране на емитентите, подобрено прилагане на правилата) и просто се споменава, че „публичното разгласяване на санкциите е от голямо значение за повишаване на прозрачността и поддържане на доверието във финансовия пазар“ и че „публичното разгласяване на наложените санкции ще допринесе към целта за възпиране и ще подобри интегритета на пазара и защитата на инвеститорите“ (20). Такава обща формулировка не изглежда достатъчна, за да се демонстрира необходимостта от предложената мярка. Ако общата цел е подобряване на възпирането, изглежда Комисията е трябвало да обясни по-специално защо не биха били достатъчни по-тежки финансови глоби (или други санкции, които не представляват „посочване и порицаване“).

45. Освен това изглежда в доклада за оценка на въздействието не се отчитат в достатъчна степен методи с по-малка степен на намеса в личния живот, например публичното разгласяване да се обмисля поотделно за всеки случай. По-специално последният вариант prima facie изглежда по-пропорционално решение, особено предвид факта, че — както се признава в член 26, параграф 1, буква г) — самото публично разгласяване е санкция и следователно трябва да се оценява поотделно във всеки случай, като се вземат под внимание съответните обстоятелства, например тежест на нарушението, степен на лична отговорност, предходни нарушения, загуби за трети страни и др (21).

46. В доклада за оценка на въздействието не се обяснява защо решението за публично разгласяване поотделно за всеки случай е недостатъчно. В доклада се посочва единствено, че публичното разгласяване на наложените глоби ще „допринесе към целта за елиминиране на варианти и свобода на действие, където е възможно, чрез ограничаване на настоящата свобода на държавите-членки да не изискват такова публично разгласяване“ (22). Според ЕНОЗД възможността делото да се оцени в контекста на конкретните обстоятелства е по-пропорционален и следователно предпочитан вариант в сравнение със задължителното публично разгласяване във всички случаи. Тази свобода на действие например би дала на компетентния орган възможност да избегне публично разгласяване в случай на не толкова сериозни нарушения, случаи, в които нарушението не е довело до значителни щети, страната е сътрудничила и др. Поради това оценката, извършена в доклада за оценка на въздействието, не разсейва съмненията относно необходимостта и пропорционалността на мярката.

2.6.3. Необходимост от подходящи предпазни мерки

47. В предложения регламент е трябвало да се предвидят подходящи предпазни мерки, така че да се гарантира справедлив баланс между различните засегнати интереси. Първо, необходими са предпазни мерки във връзка с правото на обвинените лица да оспорят решението пред съд и презумпцията за невиновност. В това отношение в текста на член 26, параграф 3 е трябвало да бъде включена специална разпоредба, която да задължи компетентните органи да предприемат подходящи мерки по отношение на ситуации, в които решението подлежи на обжалване и в които в крайна сметка съдът го анулира (23).

48. Второ, предложеният регламент следва да гарантира, че правата на субектите на данни се зачитат по проактивен начин. ЕНОЗД оценява факта, че в окончателната версия на предложението се предвижда възможността да не се осъществява публично разгласяване на информация в случаи, в които това би довело до непропорционални щети. При все това проактивният подход следва да предполага, че субектите на данни се уведомяват предварително за факта, че решението за тяхното санкциониране ще бъде разгласено публично и им се дава възможност да възразят съгласно член 14 от Директива 95/46/ЕО поради императивни законни основания (24).

49. Трето, макар че в предложения регламент не се посочват средствата за информация, чрез които информацията ще бъде разгласена публично, на практика е вероятно в повечето държави-членки това разгласяване да се осъществява чрез интернет. Публичното разгласяване в интернет крие конкретни проблеми и рискове, по-специално свързани с необходимостта да се гарантира, че информацията е достъпна онлайн само за необходимия период и че данните не могат да се манипулират или изменят. Използването на външни търсачки също така крие риска информацията да бъде извадена от своя контекст и да бъде предавана чрез и извън мрежата по начини, които не могат лесно да се контролират (25).

50. С оглед на горепосоченото е необходимо държавите-членки да се задължат да гарантират, че личните данни на засегнатите лица са достъпни онлайн само в продължение на разумен период, след което системно се заличават (26). Освен това държавите-членки трябва да са задължени да гарантират въвеждането на подходящи мерки за сигурност и предпазни мерки, по-специално за защита от рисковете, свързани с използването на външни търсачки (27).

2.6.4. Заключение

51. ЕНОЗД е на мнение, че разпоредбата относно задължителното публично разгласяване на санкциите — в настоящия си вид — не съответства на основното право на неприкосновеност на личния живот и защита на данните. Законодателят следва внимателно да оцени необходимостта от предложената система и да провери дали задължението за публично разгласяване надхвърля необходимото за постигане на преследваната цел от обществен интерес и дали съществуват не толкова ограничаващи мерки за постигане на същата цел. В зависимост от резултата от този тест за пропорционалност, задължението за публично разгласяване във всеки случай следва да се придружава от подходящи предпазни мерки, които да гарантират зачитане на презумпцията за невиновност, правото на засегнатите лица да оспорят решението, сигурността/точността на данните и тяхното заличаване след подходящ период от време.

2.7. Докладване на нарушения

52. Член 29 от предложения регламент изисква от държавите-членки да въведат ефективни механизми за докладване на нарушения, известни и като схеми за подаване на сигнали за нарушения. Макар че те могат да представляват ефективен инструмент за спазване на разпоредбите, тези системи повдигат съществени въпроси от гледна точка на защитата на данните (28).

53. ЕНОЗД изразява удовлетворение от факта, че предложеният регламент съдържа конкретни предпазни мерки, които следва да се доразвият на национално равнище, относно защитата на лицата, които докладват за предполагаеми нарушения, и в по-общ смисъл относно защитата на личните данни. ЕНОЗД е наясно, че в предложения регламент единствено се определят основните елементи на схемата, която ще се прилага от държавите-членки. Независимо от това ЕНОЗД би искал да насочи вниманието към следните допълнителни точки.

54. Както и в другите си становища (29), ЕНОЗД подчертава необходимостта да се включи конкретно позоваване на нуждата от зачитане на поверителността на лицата, подаващи сигнал за нарушение, и самоличността на информаторите. ЕНОЗД подчертава, че лицата, подаващи сигнал за нарушение, се намират в деликатна позиция. На лицата, които предоставят такава информация, следва да се гарантира, че тяхната самоличност не се разкрива, по-специално във връзка с лицето, за което се докладва предполагаемо нарушение (30). Поверителността на самоличността на лицата, подаващи сигнал за нарушение, следва да се гарантира на всички етапи от процедурата, стига това да не е в разрез с национални правила относно съдебните производства. По-специално може да се наложи разкриване на самоличността в контекста на допълнително разследване или последващо откриване на съдебно производство в резултат на запитването (включително ако е било установено, че лицето, подаващо сигнал за нарушение, умишлено е подало погрешна информация за себе си) (31). С оглед на горепосоченото ЕНОЗД препоръчва в член 70, буква б) да се добави следната разпоредба: „неразкриването на самоличността на тези лица следва да се гарантира на всички етапи от процедурата, освен ако нейното разкриване се изисква от националното законодателство в контекста на допълнително разследване или последващо съдебно производство“.

55. ЕНОЗД изразява удовлетворение от факта, че член 29, параграф 1, буква в) изисква от държавите-членки да гарантират защитата на личните данни както на обвиненото, така и на обвиняващото лице, в съответствие с принципите, определени в Директива 95/46/ЕО. ЕНОЗД обаче предлага да се заличи изразът „принципите на“, така че позоваването на директивата да е по-пространно и обвързващо. Що се отнася до необходимостта от спазване на законодателството относно защитата на данни при практическото прилагане на схемите, ЕНОЗД би искал да подчертае по-специално препоръките на работната група по член 29 в нейното становище от 2006 г. относно подаването на сигнали за нарушения. Наред с други неща, при прилагането на националните схеми съответните субекти трябва да вземат под внимание необходимостта от пропорционалност, като се ограничават колкото се може повече категориите лица, които имат право да докладват за нарушения, категориите лица, които могат да бъдат подведени под отговорност, и нарушенията, за които могат да бъдат подведени под отговорност; необходимостта да се насърчават поверителни доклади, които позволяват идентифициране, а не анонимни доклади; необходимостта да се предвиди възможност за разкриване на самоличността на лицата, подаващи сигнал за нарушение, когато те умишлено подават погрешна информация; и необходимостта да се спазват строгите периоди за запазване на данни.

3. ЗАКЛЮЧЕНИЯ

56. ЕНОЗД изразява удовлетворение от вниманието, което е отделено специално на защитата на данните в предложения регламент.

57. ЕНОЗД отправя следните препоръки: — в член 13 да се посочи целта на списъка на лицата, които имат достъп до вътрешна информация, — в член 17, параграф 2, буква д) относно правомощието за достъп до частни помещения да се включи общо изискване за предварително съдебно разрешение, — в член 17, параграф 2, буква е) относно правомощието за изискване на записи за телефонни разговори и за пренос на данни да се включи общо изискване за предварително съдебно разрешение и изискване за официално решение, в което се посочват: i) правното основание; ii) целта на искането; iii) каква информация се иска; iv) срокът, в който трябва да се предостави информацията; и v) правото на получателя решението да се прегледа от Съда, — да се включат категориите записи за телефонни разговори и за пренос на данни, съхранявани от далекосъобщителни оператори и от инвестиционни фирми, които компетентните органи могат да изискват, и член 17, параграф 2, буква е) да се ограничи до данните, които нормално се обработват („съхраняват“) от далекосъобщителни оператори в рамките на Директива 2002/58/ЕО, — в член 29, параграф 1, буква б) да се добави разпоредба, която гласи: „неразкриването на самоличността на тези лица следва да се гарантира на всички етапи от процедурата, освен ако нейното разкриване се изисква от националното законодателство в контекста на допълнително разследване или последващо съдебно производство“, — в контекста на съмненията, изразени в настоящото становище, да се оцени необходимостта и пропорционалността на предложената система за задължително публично разгласяване на санкции. В зависимост от резултата от теста за необходимост и пропорционалност, във всеки случай да се предвидят подходящи предпазни мерки, които да гарантират зачитане на презумпцията за невиновност, правото на засегнатите лица да оспорят решението, сигурността/точността на данните и тяхното заличаване след подходящ период от време.

Съставено в Брюксел на 10 февруари 2012 година. Giovanni BUTTARELLI Асистент към Европейския надзорен орган по защита на данните

(1) ОВ L 281, 23.11.1995 г., стр. 31.

(2) ОВ L 8, 12.1.2001 г., стр. 1.

(3) Становища на ЕНОЗД от 10 февруари 2012 г. относно законодателния пакет за преразглеждането на законодателството в банковия сектор, агенциите за кредитен рейтинг, пазарите на финансови инструменти (MIFID/MIFIR) и пазарната злоупотреба.

(4) Директива 2003/6/ЕО на Европейския парламент и на Съвета от 28 януари 2003 г. относно търговията с вътрешна информация и манипулирането на пазара (пазарна злоупотреба), ОВ L 96, 12.4.2003 г., стр. 16.

(5) Виж съображения 33, 35, 39 и 40 от предложения регламент.

(6) Виж член 17, параграф 4, членове 22 и 23 и член 29, параграф 1, буква в) от предложения регламент.

(7) Виж по-специално ЕСПЧ, 23 февруари 1993 г., Funcke/Франция, 10828/84.

(8) Директива 2002/58/ЕО на Европейския парламент и на Съвета от 12 юли 2002 г. относно обработката на лични данни и защита на правото на неприкосновеност на личния живот в сектора на електронните комуникации (ОВ L 201, 31.7.2002 г., стр. 37).

(9) Виж член 6, параграф 1 от Директива 2002/58/ЕО (ОВ L 201, 31.7.2002 г., стр. 37).

(10) В член 15, параграф 1 от Директива 2002/58/ЕО се предвижда, че такова ограничение трябва да „представлява необходима, подходяща и пропорционална мярка в рамките на демократично общество, за да гарантира национална сигурност (т.е държавна сигурност), отбрана, обществена безопасност и превенцията, разследването, разкриването и преследването на криминални нарушения или неразрешено използване на електронна комуникационна система, както е посочено в член 13, параграф 1 от Директива 95/46/ЕО. В тази връзка, държавите-членки могат, inter alia, да одобрят законодателни мерки, предвиждащи съхранението на данни за ограничен период, оправдани на основанията, изложени в настоящия параграф (…)“.

(11) Виж например съединени дела C-92/09 и C-93/09, Volker und Markus Schecke GbR (C-92/09), Hartmut Eifert (C-92/09)/Land Hessen, все още непубликувано в Сборника, точка 74.

(12) Виж също стр. 12 от обяснителния меморандум към предложения регламент.

(13) В тази връзка виж становището на ЕНОЗД от 31 май 2011 г. относно доклада на Комисията до Съвета и Европейския парламент за оценка на директивата за запазване на данни (Директива 2006/24/ЕО), например точка 24.

(14) ЕНОЗД би искал да припомни проблемите, свързани с липсата на европейско определение на термина „тежко престъпление“. В действителност ЕНОЗД изразява съжаление, че докладът на Комисията за оценка на директивата за запазване на данни показва, че оставянето на избора на точно определение за това какво представлява „тежко престъпление“ на преценката на държавите-членки е довело до голямо разнообразие от цели, за които се използват данните. Комисията заяви, че „съгласно своето законодателство повечето от държавите-членки, които транспонираха директивата, позволяват достъпа до и използването на запазени данни за цели, които надхвърлят определените в директивата цели, включително предотвратяване и борба с престъпността като цяло и риска за живота и здравето“. Виж становището от 31 май 2011 г. относно доклада на Комисията до Съвета и Европейския парламент за оценка на директивата за запазване на данни (Директива 2006/24/ЕО), точки 24, 71 и 72.

(15) В съответствие с член 71, параграф 2, буква г) компетентните органи съгласно предложената MiFID имат право да изискват съществуващите записи за телефонни разговори и за пренос на данни, съхранявани от инвестиционни фирми, когато е налице основателно подозрение за нарушаване на предложената MIFIF.

(16) Виж становището на ЕНОЗД от 10 февруари 2012 г. относно предложение за директива на Европейския парламент и на Съвета относно пазарите на финансови инструменти и за отмяна на Директива 2004/39/ЕО на Европейския парламент и на Съвета (преработена) и предложение за регламент на Европейския парламент и на Съвета относно пазарите на финансови инструменти и за изменение на регламента [EMIR] за извънборсовите деривати, централните контрагенти и регистрите на трансакции.

(17) Виж становището на ЕНОЗД от 14 януари 2011 г. относно съобщението на Комисията до Европейския парламент, до Съвета, до Икономическия и социален комитет и до Комитета на регионите, озаглавено — „Всеобхватен подход за защита на личните данни в Европейския съюз“ (ОВ C 181, 22.6.2011 г., стр. 1), точки 108—115.

(18) Съединени дела C-92/09 и C-93/09, Schecke, точки 56—64.

(19) В тази връзка виж също становището на ЕНОЗД от 15 април 2011 г. относно финансовите правила, приложими за годишния бюджет на Съюза (ОВ C 215, 21.7.2011 г., стр. 13).

(20) Виж оценката на въздействието, стр. 166.

(21) Т.e. в съответствие с член 27 от предложения регламент, в който се посочват критериите за определяне на санкциите.

(22) Виж оценката на въздействието, стр. 167.

(23) Например националните органи биха могли да проучат следните мерки: публичното разгласяване да се отложи до отхвърляне на жалбата или, както се предлага в доклада за оценка на въздействието, ясно да се посочи, че решението все още подлежи на обжалване и че лицето се счита за невинно до излизането на окончателното решение, да се публикува поправка в случаите, в които решението бъде анулирано от съда.

(24) Виж становището на ЕНОЗД от 10 април 2007 г. относно финансирането на общата селскостопанска политика (ОВ C 134, 16.6.2007 г., стр. 1).

(25) В тази връзка виж документа, публикуван от италианския орган по защита на данните „Personal Data As Also Contained in Records and Documents by Public Administrative Bodies: Guidelines for Their Processing by Public Bodies in Connection with Web-Based Communication and Dissemination“ („Лични данни, така както се съдържат в записи и документи на органите на държавната администрация: насоки за тяхното обработване от държавни органи във връзка с комуникация и разпространение в интернет“), достъпен на уебсайта на италианския орган по защита на данните: http://www.garanteprivacy.it/garante/doc.jsp?ID=1803707

(26) Тези опасения също така са свързани с по-общото право „да бъдеш забравен“, чието включване в новата законодателна рамка за защитата на лични данни се обсъжда.

(27) Тези мерки за сигурност и предпазни мерки могат да се състоят например от забрана за индексиране на данни чрез външни търсачки.

(28) През 2006 г. работната група по член 29 публикува становище относно такива схеми, насочено към аспектите на това явление, свързани със защитата на данните: Становище 1/2006 относно прилагането на правилата на ЕС за защита на данните по отношение на вътрешните схеми за подаване на сигнали за нарушения в областта на счетоводството, вътрешния счетоводен контрол, одитите, борбата срещу подкупничеството, банковите и финансовите престъпления (становище на РГ относно подаването на сигнали за нарушения). Становището може да бъде открито на уебсайта на работната група по член 29: http://ec.europa.eu/justice/policies/privacy/workinggroup/index_en.htm

(29) Виж например становището на ЕНОЗД относно финансовите правила, приложими за годишния бюджет на Съюза от 15 април 2011 г., и становището относно разследванията, провеждани от Европейската служба за борба с измамите от 1 юни 2011 г., достъпни на адрес: http://www.edps.europa.eu

(30) ЕНОЗД вече подчерта, че е важно самоличността на лицето, подаващо сигнал за нарушение, да се пази в тайна в писмо до Европейския омбудсман от 30 юли 2010 г. по дело 2010-0458, което може да бъде открито на уебсайта на ЕНОЗД (http://www.edps.europa.eu). Виж също становищата на ЕНОЗД за предварителни проверки от 3 февруари 2012 г., 23 юни 2006 г., относно вътрешните разследвания, провеждани от OLAF (дело 2005-0418), и от 4 октомври 2007 г. относно външните разследвания на OLAF (дела 2007-47, 2007-48, 2007-49, 2007-50, 2007-72).

(31) Виж становището относно финансовите правила, приложими за годишния бюджет на Съюза от 15 април 2011 г., достъпно на адрес: http://www.edps.europa.eu