BG Официален вестник на Европейския съюз C 164/2

Резюме на становището на ЕНОЗД във връзка с предложението за Регламент относно защитата на лицата по отношение на обработката на лични данни от институциите, органите, службите и агенциите на Съюза и свободното движение на такива данни, и за отмяна на Регламент (ЕО) № 45/2001 и Решение № 1247/2002/ЕО

(Пълният текст на настоящото становище може да се намери на английски, френски и немски език на уебсайта на ЕНОЗД www.edps.europa.eu)

(2017/C 164/02)

Европейският съюз въвежда ново поколение стандарти за защита на данните. Приемането преди около година на Общия регламент относно защитата на данните и Директивата за полицията и правосъдието е най-амбициозното начинание на законодателя в ЕС за гарантиране на основните права на хората в цифровата епоха. Сега е време и за самите институции в ЕС да дадат пример по отношение на правилата, които въвеждат за себе си като администратори на лични данни и лица, обработващи данни. През последните 18 месеца ЕНОЗД провежда диалог с институциите в ЕС на най-високо равнище, за да ги подготви за новите предизвикателства, свързани със съответствието по отношение на защитата на данните, като поставя акцент върху новите принципи на отчетност при обработката на данни. С това становище ЕНОЗД цели да приложи своите дванадесет години опит в независимия надзор, политическите консултации и застъпничеството, за да се въведат подобрения в предложения Регламент за обработката на лични данни от институции и органи на ЕС.

Регламент 45/2001 е водещ документ, който описва директно приложимите задължения на контролиращите органи, правата на субектите на данни и посочва реално независим надзорен орган. ЕС трябва да гарантира съответствие с Общия регламент относно защитата на данните, като наблегне по-скоро на отчетността и защитните мерки за лицата, отколкото на процедурите. Допустимо е да има известно разминаване в правилата за обработка на данни от институциите на ЕС, така както в Общия регламент относно защитата на данните са включени някои изключения за публичния сектор, но те трябва да бъдат сведени до минимум.

От гледна точка на отделните лица е важно общите принципи, обхванати от мрежата за защита на данни в ЕС, да се прилагат последователно, независимо от това кой изпълнява ролята на администратор на лични данни. Важно е също цялата мрежа да се внедри едновременно до май 2018 г., когато Общият регламент относно защитата на данните става напълно приложим.

ЕНОЗД провежда консултации с Комисията по проекта за предложението съгласно трайните договорености между институциите. Считаме, че Комисията е постигнала сравнително добър баланс между различните интереси. Това становище посочва редица области, в които предложението търпи подобрение. Настояваме за подобрения в предложения регламент, особено що се касае до ограниченията в правата на субекта на данните и разпоредбите, съгласно които европейските институции трябва да използват механизми за сертифициране в определен контекст. По отношение на нашите задължения и правомощия като независим орган предложението очевидно е постигнало разумен баланс и описва обичайните функции на независим орган за защита на данните съгласно Хартата на основните права и, както беше потвърдено от скорошната практика на Съда, като правоприлагащ орган, орган за обработка на жалби и съветник на законодателя по политики, засягащи защитата на данните и правото на неприкосновеност на личния живот.

Насърчаваме законодателя в ЕС да постигне възможно най-бързо споразумение по предложението, за да позволи на институциите в ЕС да се възползват от разумния преходен период, преди Регламентът да стане напълно приложим.

1. ВЪВЕДЕНИЕ И ПРЕДИСТОРИЯ

1.1. Контекст

1. На 10 януари 2017 г. Европейската комисия прие предложение за Регламент на Европейския парламент и на Съвета относно защитата на лицата по отношение на обработката на лични данни от институциите, органите, службите и агенциите на Съюза и свободното движение на такива данни, и за отмяна на Регламент (ЕО) № 45/2001 и Решение № 1247/2002/ЕО (1) („Предложението“).

2. Основните права за защита на личните данни са залегнали в член 8 от Хартата на основните права на Европейския съюз („Хартата“) и член 16 от Договора за функционирането на Европейския съюз („ДФЕС“).

3. Европейският надзорен орган по защита на данните („ЕНОЗД“) е независим надзорен орган, който следи дали институциите, органите, службите и агенциите на Съюза („институциите на ЕС“) спазват закона за защита на данните, когато обработват лични данни (2). Изискването за независим контрол на системата на ЕС за защита на данните е залегнало в първичното право, в член 16, параграф 2 от ДФЕС и член 8, параграф 3 от Хартата. Европейският съд поддържа мнението, че контролът от независим орган е важен компонент от правото на защита на данните и определя критериите за тази независимост (3). Надзорният орган трябва да действа напълно независимо, което означава, че трябва да има правомощия за вземане на решения, независещи пряко или косвено от външно влияние (4), без никакви съмнения за пристрастност (5).

4. Основният правен инструмент за обработка на лични данни от институциите на ЕС е Регламент (ЕО) № 45/2001 (6) („Регламент 45/2001“), допълнен от Решение № 1247/2002/EО (7).

5. След приключване на продължителните преговори по новата обща рамка за защита на данните на ЕС на 27 април 2016 г., включваща Общ регламент относно защитата на данните („ОРЗД“) и Директива за полицията и правосъдието – настоящото предложение (заедно с предложение на Комисията за Регламент за правото на неприкосновеност на личния живот и електронните комуникации („Регламент за електронното право на неприкосновеност на личния живот“ (8)), стартира началото на важен етап от процеса на доизграждане на тази рамка за защита на данните на ЕС. Целта е да се съгласуват разпоредбите на Регламент 45/2001 с правилата, залегнали в ОРЗД, с цел създаване на по-надеждна и последователна рамка за защита на данните в Съюза и осигуряване на условия за прилагане и на двата инструмента едновременно (9). В предложението са включени и новите правила за защита на крайните устройства на крайните потребители, предвидени в предложението на Комисията за новия регламент за електронното право на неприкосновеност на личния живот.

6. В Стратегия 2015 — 2019 ЕНОЗД потвърждава ангажимента си да работи с Европейския парламент, Съвета и Комисията, за да се гарантира, че правилата, предвидени в Регламент 45/2001, са приведени в съответствие с ОРЗД и че променената рамка ще влезе в сила най-късно в началото на 2018 г. ЕНОЗД изразява задоволство от неофициалните консултации с Комисията преди приемане на предложението, както и от факта, че са взети предвид много от елементите, предложени по време на това неофициално сътрудничество. ЕНОЗД счита, че текущото предложение е повече от задоволително от гледна точка на максималното привеждане в съответствие с ОРЗД, освен ако по-тясно дефинирани особености на публичния сектор в ЕС не сочат друго, като цени особено баланса между различните засегнати интереси, постигнат от Комисията.

7. Независимо че в становището са описани сферите за подобрение, ЕНОЗД насърчава законодателя на ЕС да постигне споразумение относно Предложението максимално гладко, за да могат институциите на ЕС да се възползват от разумен преходен период, преди регламентът да стане напълно приложим.

1.2. Цели на предложението и срокове

8. В миналото ЕНОЗД е дал препоръки материалноправните норми за институциите на ЕС да се отразят в (тогавашната) проектоверсия на ОРЗД (10). Законодателят на ЕС е избрал друга възможност: отделен правен инструмент, приложим за европейските институции, съгласуван с и в същото време приложим за ОРЗД. ЕНОЗД подкрепя този подход: би било неприемливо, ако Европейската комисия и другите институции на ЕС не спазват правила, еквивалентни на тези, които скоро ще бъдат приложими на ниво държави членки. Освен това не би било желателно ЕНОЗД да контролира дали институциите на ЕС спазват материалноправни норми, които са по-малко строги от правилата, съблюдавани от техните колеги на национално ниво, особено предвид факта, че ЕНОЗД в бъдеще ще бъде член на Европейския комитет по защита на данните („ЕКЗД“) (11).

9. Тези бъдещи правила за обработка на лични данни от институциите на ЕС трябва да се съгласуват с разпоредбите на ОРЗД, освен ако по-тясно дефинирани особености на публичния сектор не сочат друго. В тази връзка ЕНОЗД приветства съображение 5 от предложението, в което се набляга на нуждата от максимално възможно съгласуване и се уточнява, че „Когато разпоредбите на настоящия регламент се основават на една и съща концепция с разпоредбите на [ОРЗД], уместно е тълкуването на тези две разпоредби да бъде еднозначно, особено защото структурата на настоящия регламент следва да се схваща като еквивалентна на структурата на [ОРЗД]“.

10. В същото време съгласуването с ОРЗД не може да бъде нито пълно, нито автоматично. ОРЗД съдържа редица клаузи, които позволяват на държавите членки да поддържат или въвеждат специфично законодателство в конкретни области, включително за публичните органи (12). В случаите, в които ОРЗД установява конкретни правила за публичните органи (13) или оставя на държавите членки да прилагат съответните разпоредби, може да се счита, че предложението играе ролята на национален закон за „прилагане“ на ОРЗД, като например в чл. 9 „Предаване на лични данни на получатели, които са различни от институции и органи на Съюза“ или чл. 66 „Административнонаказателни имуществени санкции“ от предложението (вижте раздел 2.8.1 по-долу). Важно е също да се гарантира поддържане на високото ниво на защита, приложимо към момента за европейските институции. Това налага и запазването на конкретни особености от Регламент 45/2001, например в член 25 Ограничения (вижте раздел 2.3.1 по-долу) и член 44 Назначаване на длъжностното лице по защита на данните (вижте раздел 2.4.5.1 по-долу).

11. Освен същественото съгласуване с ОРЗД е важно изменените правила да влязат в сила едновременно с ОРЗД или на 25 май 2018 г. Съществуващата мрежа от длъжностни лица за защита на данните („ДЛЗД“) представлява ефикасен канал за споделяне на информация и сътрудничество. Затова и ЕНОЗД е убеден, че съответствието може да се постигне в рамките на сравнително кратък период, например три месеца.

12. Принципът за определяне на отчетността на ОРЗД – както и на настоящото предложение – излиза извън рамките на съответствието с правилата, като изисква също така и културна промяна. За да се улесни преходът, ЕНОЗД стартира „проект за отчетност“. В тази връзка, през 2016 и 2017 г., ЕНОЗД поддържа контакти със седем ключови европейски институции и органи, за да се подготви в срок за влизането в сила на ОРЗД.

1.3. Обхват и взаимоотношения с други правни инструменти

13. В миналото ЕНОЗД се обръща на няколко пъти към Комисията, за да предложи стабилна и цялостна система, която е амбициозна и повишава ефективността и съгласуваността на защитата на данни в ЕС, като гарантира условия за последващо развитие в бъдеще (14). Комисията избира различен подход и предлага отделен правен инструмент за защита на данните в сферата на правоприлагането (15). Следват редица предложения за правни действия, въвеждащи отделни „самостоятелни“ режими за защита на данните (16).

14. ЕНОЗД признава, че текущата, макар и фрагментирана правна рамка за защита на личните данни, е най-добрият резултат, който може да се постигне към момента (17). ЕНОЗД разбира, че настоящото предложение ще остане валидно за онези институции на ЕС, които към момента попадат в обхвата на Регламент 45/2001 (18) (и по-специално бившите (19) институции, органи, офиси и агенции от 1-ви и 2-ри стълб), но като такова, няма да повлияе на съществуващите или чакащи одобрение „самостоятелни“ режими (20). Тези режими ще бъдат повлияни от настоящото предложение единствено ако и до степен, в която това е изрично посочено в съответния правен инструмент. ЕНОЗД приема този подход, но предлага той да се опише по-конкретно в преамбюла на предложението и, ако е възможно, в член 2 Обхват. Едновременно с това ЕНОЗД подчертава, че фрагментирането и повишената сложност на правната рамка за обработка на данни от отделните институции на ЕС, активни в бившите първи и трети „стълб“, не могат да се приемат за напълно задоволителен резултат и трябва да се разгледат от законодателя на ЕС в средносрочен план.

15. Регламент 45/2001 предвижда мерки, целящи защита на правото на неприкосновеност на личния живот и поверителния характер на комуникацията в случаите, в които институциите на ЕС отговарят за инфраструктурата, използвана за комуникация. За целта в него са предвидени разпоредби относно части от регулаторния обхват на Директива 2002/58/ЕО („Директива за правото на неприкосновеност на личния живот и електронните комуникации“) (21) и се определя принципът за последователно и хармонично прилагане на правилата за защита на основните права в рамките на Съюза, като се посочват и съответните инструменти като Директивата за правото на неприкосновеност на личния живот и електронните комуникации (22). Нуждата да се гарантира еднакво ниво на право на неприкосновеност на личния живот и поверителен характер на комуникациите, засягащи институциите на ЕС, остава непроменена и затова трябва да се поддържа принципът за последователно и хармонично прилагане. ЕНОЗД счита, че предложението трябва да гарантира, че съответните правила на ОРЗД и на бъдещия регламент за правото на неприкосновеност на личния живот и електронните комуникации, се прилагат от институциите на ЕС mutatis mutandis. Това означава едновременно запазване на поверителния характер и на правото на неприкосновеност на личния живот по отношение на комуникационните услуги, контролирани от институции на ЕС, както и на други принципи, залегнали в бъдещия регламент за правото на неприкосновеност на личния живот и електронните комуникации — защита на крайните устройства и други правила, например относно проследяването и нежеланата кореспонденция.

16. И накрая, независимо че законодателството на ЕС за защита на данните важи и за Европейското икономическо пространство и участващите държави от ЕАСТ също са длъжни да създадат независими надзорни органи съгласно ОРЗД, институциите на ЕАСТ не са обект на конкретни правила за защита на данните и надзор, въпреки че обменят лични данни с институции на ЕС. ЕНОЗД счита, че настоящото предложение е възможност да се разгледа този въпрос.

3. ЗАКЛЮЧЕНИЯ

90. Като цяло мнението на ЕНОЗД е, че Предложението успешно привежда в съответствие правилата за институциите на ЕС с ОРЗД, като в същото време взема предвид особеностите на публичния сектор на ЕС. По принцип високото ниво на защита при обработката на данни от институции на ЕС е запазено в Предложението. ЕНОЗД цени особено баланса между различните засегнати интереси, постигнат от Комисията.

91. ЕНОЗД счита, че Предложението търпи допълнителни промени, особено по отношение на начините за налагане на ограничения по член 25. За да гарантира съответствие с качеството на правните изисквания относно горепосоченото, член 25, параграф 1 от Предложението трябва да се измени така, че само правни действия, предприети въз основа на Договорите, да могат да ограничават основните права, налагайки по този начин на институциите на ЕС същите стандарти, които биха били валидни за държавите членки по ОРЗД. До степента, в която са предвидени ограничения в член 34 Поверителност на електронните съобщения, ЕНОЗД призовава законодателя на ЕС да гарантира, че ограниченията в основното право на неприкосновеност на личния живот по отношение на електронните съобщения на европейските институции в собствената им дейност са съобразени със същите стандарти като тези, заложени в законодателството на Съюза съгласно тълкуванията на Европейския съд в тази сфера.

92. ЕНОЗД приветства факта, че Предложението съдържа отделен член, посветен на ролята на ЕНОЗД като консултант на европейските институции (член 42 от предложението). Органът обаче изразява притеснението си, че формулировката „[с]лед приемането на предложения“ (вместо „[к]огато одобри законодателно предложение“ в член 28, параграф 2 от Регламент 45/2001) може да повдигне въпроса за трайния ангажимент на Европейската комисия да консултира по неформален начин ЕНОЗД по проектопредложения, обикновено на етап консултации между службите. Като отчита важността на неформалните консултации, ЕНОЗД ще приветства съображение, в което Комисията потвърждава ангажимента си по отношение на тази дългосрочна практика. Органът подкрепя и виждането, че предложението трябва да запази формулировката на член 28, параграф 2 от Регламент 45/2001 („при приемане“), което ще позволи по-голяма свобода на действие в тази връзка. Той смята, че така предложеният чл. 42 внася достатъчно яснота за конкретните задачи на ЕНОЗД и ЕКЗД, за да се избягва ненужното дублиране в бъдеще.

93. ЕНОЗД изразява становището, че възможността за възлагане на функцията на ДЛЗД на външен изпълнител не е подходяща за институции на ЕС, упражняващи публична власт. Следователно втората алтернатива на член 44, параграф 4 („или да изпълнява задачите въз основа на договор за услуги“) трябва да бъде изтрита.

94. ЕНОЗД приветства член 66 от Предложението, което предоставя на ЕНОЗД правомощия да налага административнонаказателни имуществени санкции. Той смята, че лишаването на надзорните органи на ЕС от възможността да налагат административнонаказателни имуществени санкции, по целесъобразност, ще постави институциите на ЕС в по-изгодна позиция в сравнение с институциите от публичния сектор в много държави членки.

95. ЕНОЗД изразява мнение, че механизмите за сертифициране могат да се окажат много полезен инструмент за институциите на ЕС и те вече се използват в определен контекст, напр. сертифициране на съответствието с общоприети стандарти. Препратки относно използването на сертифициране (но не на кодекси за поведение) трябва да се добавят към член 26 Отговорности на администратора, член 27 Защита на данните на етапа на проектирането и по подразбиране, както и към член 33 Сигурност на обработването.

96. Независимо че в становището са описани сферите за подобрение, ЕНОЗД насърчава законодателния орган на ЕС да постигне максимално гладко споразумение относно Предложението, за да могат институциите на ЕС да се възползват от разумен преходен период, преди регламентът да стане напълно приложим едновременно с ОРЗД през май 2018 г.

Брюксел, 15 март 2017 г. Giovanni BUTTARELLI Европейски надзорен орган по защита на данните

(1) COM(2017) 8 final; 2017/0002 (COD) (later, “the Proposal”).

(2) Article 286 EC rendered the (then) Community rules on data protection applicable to EU institutions and bodies and mandated the creation of a dedicated independent supervisory authority (later, the EDPS).

(3) Case C-518/07 Commission v Germany, EU:C:2010:125; Case C-614/10 Commission v Austria, EU:C:2012:631; Case C-288/12 Commission v Hungary, EU:C:2014:237; Case C-362/14 Maximilian Schrems v Data Protection Commissioner, ECLI:EU:C:2015:650.

(4) Case C-518/07 Commission v Germany, supra para. 19.

(5) Case C-288/12 Commission v Hungary, supra para. 53.

(6) See supra note 3.

(7) Decision No 1247/2002/EC of the European Parliament, of the Council and of the Commission of 1 July 2002 on the regulations and general conditions governing the performance of the European Data Protection Supervisor’s duties (OJ L 183, 12.7.2002, p. 1).

(8) Proposal for a Regulation of the European Parliament and of the Council concerning the respect for private life and the protection of personal data in electronic communications and repealing Directive 2002/58/EC (Regulation on Privacy and Electronic Communications), COM(2017) 10 final, 2017/0003 (COD).

(9) See Article 98 and recital 17 of the GDPR.

(10) See e.g. the EDPS Opinion of 7 March 2012 on the data protection reform package (OJ C 192, 30.6.2012, p. 7).

(11) EDPS Opinion of 7 March 2012 on the data protection reform package, p. 6.

(12) See in particular Article 6(3) and recital 10 to the GDPR: “Regarding the processing of personal data for compliance with a legal obligation, for the performance of a task carried out in the public interest or in the exercise of official authority vested in the controller, Member States should be allowed to maintain or introduce national provisions to further specify the application of the rules of this Regulation. In conjunction with the general and horizontal law on data protection implementing Directive 95/46/EC, Member States have several sector-specific laws in areas that need more specific provisions. This Regulation also provides a margin of manoeuvre for Member States to specify its rules, including for the processing of special categories of personal data (‘sensitive data’). To that extent, this Regulation does not exclude Member State law that sets out the circumstances for specific processing situations, including determining more precisely the conditions under which the processing of personal data is lawful.”

(13) E.g. last sentence of Article 6(1), Article 20(5), Article 27, Article 37, Article 41 or Article 46(2)(a) of the GDPR.

(14) See in particular the EDPS Opinion of 14 January 2011 on the Communication “A comprehensive approach on personal data in the European Union” (OJ L 181, 22.6.2011, p. 1).

(15) See supra note 5.

(16) Proposal for a Regulation of the European Parliament and of the Council on the European Union Agency for Law Enforcement Cooperation and Training (Europol) and repealing Decisions 2009/371/JHA and 2005/681/JHA, COM(2013) 173 final, now adopted as Regulation 2016/794 and published in OJ L 135, 24.5.2016, p. 53; Proposal for a Council Regulation on the establishment of the European Public Prosecutor's Office, COM(2013) 534 final. See also the Council General approach (First reading) on the Proposal for a Regulation on the European Union Agency for Criminal Justice Cooperation (Eurojust) available at: http://data.consilium.europa.eu/doc/document/ST-6643-2015-INIT/en/pdf

(17) EDPS Opinion 3/2015 “Europe’s big opportunity - EDPS recommendations on the EU’s options for data protection reform”, available at: https://secure.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/Consultation/Opinions/2015/15-10-09_GDPR_with_addendum_EN.pdf.

(18) See the list of EU institutions and bodies available at: http://publications.europa.eu/code/en/en-390500.htm.

(19) Regulation 45/2001 already today applies to, inter alia, the European Defence Agency, European Union Institute for Security Studies, and the European Union Satellite Centre.

(20) Europol, Eurojust, EPPO, supra note 21.

(21) Directive 2002/58/EC of the European Parliament and of the Council of 12 July 2002 concerning the processing of personal data and the protection of privacy in the electronic communications sector (Directive on privacy and electronic communications (OJ L 201, 31.7.2002, p. 37), as amended (later, “the ePrivacy Directive”).

(22) Recitals 10-12 ePrivacy Directive.