BG Официален вестник на Европейския съюз C 101/1

Становище на Европейския надзорен орган по защита на данните относно съобщението на Комисията до Европейския парламент, Съвета, Европейския икономически и социален комитет и Комитета на регионите относно радиочестотната идентификация в Европа: стъпки към изграждане на политическа рамка, CОМ(2007) 96

(2008/C 101/01)

ЕВРОПЕЙСКИЯТ НАДЗОРЕН ОРГАН ПО ЗАЩИТА НА ДАННИТЕ,

като взе предвид Договора за създаване на Европейската общност, и по-специално член 286 от него,

като взе предвид Хартата на основните права на Европейския съюз, и по-специално член 8 от нея,

като взе предвид Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 г. за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни,

като взе предвид Директива 2002/58/ЕО на Европейския парламент и на Съвета от 12 юли 2002 г. относно обработката на лични данни и защитата на правото на неприкосновеност на личния живот в сектора на електронните комуникации,

като взе предвид Регламент (ЕО) № 45/2001 на Европейския парламент и на Съвета от 18 декември 2000 г. относно защитата на лицата по отношение но обработката на лични данни от институции и органи на Общността и за свободното движение на такива данни, и по- специално член 41 от него,

ПРИЕ СЛЕДНОТО СТАНОВИЩЕ:

I. ВЪВЕДЕНИЕ

1. На 15 март 2007 г. Комисията прие Съобщение относно радиочестотната идентификация (РЧИ) в Европа: стъпки към изграждане на политическа рамка (1) (оттук нататък наричано „Съобщението“). Съгласно член 41 от Регламент (ЕО) № 45/2001 Европейският надзорен орган по защита на данните (ЕНОЗД) има за задача да предоставя съвети на институциите и органите на Общността по всички въпроси, свързани с обработката на лични данни. ЕНОЗД представя настоящото становище в съответствие с този член.

2. Настоящото становище следва да се разглежда като реакция на ЕНОЗД в отговор на Съобщението, както и на други действия в областта на РЧИ, които бяха предприети след приемане на Съобщението. Тези други действия в споменатата област, които са взети под внимание в настоящото становище, включват: — решението на Комисията от 28 юни 2007 г. за създаване на експертна група по радиочестотна идентификация (2) като пряко последствие от Съобщението. Тази група е известна още и като група на заинтересованите страни в областта на РЧИ. В съответствие с член 4, параграф 4, буква б) от това решение ЕНОЗД участва в дейностите на групата като наблюдател, — резолюцията на Съвета от 22 март 2007 г. относно стратегия за сигурност на информационното общество в Европа (3), — проекта „РЧИ и управление на идентичност“, започнат от Европейския парламент (4), — приетото през м. юни 2007 г. от работна група „Защита на данните/Член 29“ становище № 4/2007 относно понятието лични данни (5), — съобщението на Комисията до Европейския парламент и Съвета относно последващите действия по отношение на работната програма за по-добро прилагане на Директивата за защита на личните данни (6) и становището на ЕНОЗД от 25 юли 2007 г. относно това съобщение (7), — приетото от Комисията предложение за директива за изменение на (inter alia) Директива 2002/58/ЕО относно обработката на лични данни и защитата на правото на неприкосновеност на личния живот в сектора на електронните комуникации (8).

3. ЕНОЗД приветства съобщението на Комисията относно РЧИ, тъй като то се заема с решаване на основните въпроси, които възникват в контекста на разгръщането на технологията за РЧИ, без да подценява други определящи въпроси, свързани със защитата на личния живот и личните данни. Това съобщение извлече полза от една последователна и прецизна подготвителна работа. Съобщението наистина бе предшествано от пет тематични работни семинара и от обществено допитване (9) чрез интернет, поръчани от Комисията.

4. ЕНОЗД споделя мнението, че системите за РЧИ биха могли да играят ключова роля в развитието на информационното общество, обикновено наричано „Интернет на предметите“, и също напълно споделя споменатите в параграф 3.2 от Съобщението опасения, че системите за РЧИ могат да бъдат заплаха за защитата на личния живот на човека и за правото му на защита на личните данни. Наистина, в своя годишен доклад за 2005 г. ЕНОЗД определи РЧИ, наред с биометрията, интелигентните среди и системите за управление на идентичност, като технологични нововъведения, които се очаква да имат съществено влияние върху защитата на данните.

5. Според ЕНОЗД технологиите за РЧИ ще бъдат не само овладени и възприети от широката общественост благодарение на тяхната практическа полза или на новите услуги, които предлагат, но и ще бъдат улеснени от използването на умело замислени и последователни предпазни механизми за защита на данните.

6. Накратко: ЕНОЗД разглежда РЧИ като качествено ново достижение на технологията, което, както основателно се посочва в съобщението на Комисията, проправя пътя към нов етап в развитието на информационното общество.

7. Това технологично достижение повдига важни въпроси в различни области, една от които е защитата на личните данни и личния живот. Настоящото становище на ЕНОЗД се ограничава до тази област.

II. ОСНОВЕН АКЦЕНТ НА СТАНОВИЩЕТО

8. Основният акцент на настоящото становище е поставен по-специално върху възможните последици от тези нововъведения за защитата на личните данни и на личния живот. Тези последици в момента не са напълно изяснени, дори и поради факта, че разработването на системите за РЧИ и овладяването им са в пълен ход и съвсем не се знае докъде ще стигне този процес.

9. С оглед на това ЕНОЗД възприема следния подход: — на първо място, необходимо е да се изяснят практическите последици от разгръщането на системите за РЧИ за защитата на личните данни и на личния живот, — на второ място, необходимо е да се уточнят тези последици в контекста на съществуващата правна рамка за защита на личните данни и на личния живот, — на трето място, ЕНОЗД задава въпроса дали тези последици изискват по-специфични правила за разрешаване на проблемите по защита на личните данни, породени от използването на технологии за РЧИ. Този въпрос вече бе повдигнат от ЕНОЗД в становището му по Съобщението относно Директивата за защита на личните данни и ще бъде по-подробно развит в настоящото становище.

10. Възприемайки този подход, ЕНОЗД се стреми да защити идеята, че развитието на системите за РЧИ и тяхното овладяване ще отчете основателните опасения относно защитата на личните данни и на личния живот.

III. ИЗЯСНЯВАНЕ НА ПОСЛЕДИЦИТЕ

Системи и етикети за РЧИ

11. Независимо от факта, че, както вече бе отбелязано, процесът е в пълен ход и резултатите от него са неясни, напълно е възможно да се опишат основните характеристики на този процес от гледна точка на последиците му за защитата на данните.

12. При оценяване на потенциалните аспекти на технологията за РЧИ, свързани със защитата на данните и на личния живот, е особено уместно да се вземат предвид не само етикетите за РЧИ сами по себе си, но и цялостната инфраструктура за РЧИ: етикетът, четецът, мрежата, референтната база данни и базата данни, в която се съхраняват данните, генерирани от връзката етикет/четец. Както бе накратко подчертано в увода на Съобщението, етикетите за РЧИ не са просто „електронни етикети“ и поради това проблемите, свързани със защитата на данните, няма да се свеждат изключително до тях, а ще се отнасят за всички елементи на цялостната инфраструктура за РЧИ. Наистина, когато това е необходимо, всеки един от тези елементи има принос за прилагането на европейската правна рамка за защита на личните данни. Те ще бъдат поддържани от основните тенденции в развиващото се информационно общество, като например почти неограничен честотен диапазон, повсеместни връзки с мрежата и неизчерпаем капацитет за съхраняване на данни.

Въздействие на системите и етикетите за РЧИ

13. Както бе подчертано в предходния параграф, въпреки необходимостта от по-широк подход, разнообразни причини дават основание да се насочим първо към употребата на етикетите за РЧИ на ниво артикул в областта на потребителските стоки, подобно на тази в търговията на дребно. Най-очевидната от тях е, че се очаква употребата на тези етикети да нараства, като изглежда тенденцията е към повсеместното им използване. Сравнено с други приложения на РЧИ с по-тясна или ограничена употреба, използването на етикети на ниво артикул е с потенциал да се превърне в масова пазарна практика. Понастоящем при много потребителски стоки вече се използват етикети за РЧИ. С това е свързан фактът, че тази употреба ще засегне огромен брой лица, чиито лични данни е вероятно да бъдат обработвани всеки път, когато те закупуват стока, на която е поставен етикет за РЧИ.

14. Следва да се обърне специално внимание на последиците от използването на етикети за РЧИ за хората, закупили такива стоки. Системите за РЧИ могат да удължат във времето връзката между дадена стока и нейния купувач. При положение че тази връзка е удължена, купувачът на стоката може да бъде внимателно проучен и класифициран като „лице с малък бюджет“ или като „атрактивен обект“ за бъдещи сделки. прекомерното използване на персонализиран маркетинг (10) може да доведе до автоматично „наказване“ на определени типове поведение (задължение за рециклиране, отпадъци и т.н.). Физическите лица не следва да бъдат засегнати от действието на неблагоприятни за тях автоматизирани решения. Катализиран от тази способност на системите за РЧИ, нараства рискът информационното общество да се приближи до ситуация, при която ще се вземат автоматизирани решения и ще се злоупотребява с технологията, за да се регулира човешкото поведение.

15. Данните, съхранявани или генерирани от етикет за РЧИ, могат да бъдат лични данни съгласно член 2 от Директивата за защита на личните данни. Например, използваните при пътувания карти с чип могат да съдържат лични данни на притежателя и данни за последните му пътувания. Ако недобросъвестно лице желае да проследява други лица, ще бъде достатъчно да постави на стратегически места четци, които да дават информация за транзакциите на притежателите на карти, и по този начин ще наруши неприкосновеността на техния личен живот и на личните им данни.

16. Подобни заплахи за защитата на личния живот съществуват, дори ако съхраняваната в етикета за РЧИ информация не включва имена на лица. Етикетите за РЧИ съдържат уникални идентификационни данни, свързани с потребителските стоки: ако всеки етикет притежава уникален идентификационен номер, този номер може да се използва за проследяване на лицето. Например, ако някой използва часовник, който съдържа етикет за РЧИ с идентификационен номер, този номер може да послужи като уникален разпознавателен знак за притежателя на часовника, дори когато неговата самоличност не е известна. В зависимост от начина, по който информацията се използва или се поставя във връзка с часовника или притежателя му, Директивата се прилага или не се прилага. Тя би се прилагала например, ако е генерирана информация за местонахождението на лица, която е вероятно да бъде използвана за наблюдение на тяхното поведение или например за ценова диференциация, отказване на достъп или наложена реклама.

17. В този контекст е необходимо приложенията на РЧИ да се разгръщат, като се предвидят необходимите технически мерки за намаляване на риска от наложено разкриване на информация. Тези мерки могат да включват изискването инфраструктурата за РЧИ, в частност етикетите за РЧИ, да бъде проектирана така, че да предпазва от такъв резултат. Например етикетите за РЧИ могат да включват команда „kill“, която позволява да бъдат дезактивирани. Тази възможност ще бъде разгледана по-подробно в раздел IV от настоящото становище.

18. Като предоставят възможност за проследяване на стоки след момента на продажбата, системите за РЧИ повдигат нови въпроси в дебата за защитата на личния живот. Наистина, при анализа на тяхното въздействие ще трябва да се вземат под внимание два аспекта: доколко стоката се счита от личен характер и нейната мобилност (11).

19. Жизненият цикъл на една вещ може също да допълва необходимия анализ на риска и да допринася за количествената оценка на потенциалните заплахи за защитата на личния живот. Като се има предвид фактът, че даден етикет може да не е дезактивиран, един краен продукт с дълъг жизнен цикъл ще бъде в състояние да събира повече съществени данни за притежателя на продукта и да изгради по-точен профил за него. От друга страна късият жизнен цикъл на стока, като например кутия с безалкохолна напитка, от производството до рециклирането й поражда по-малко рискове и поради това може да изисква по-незначителни мерки, отколкото стока с по-дълъг жизнен цикъл.

Защита на личния живот и на личните данни при повсеместното използване на системите за РЧИ

20. За да бъдат по-добре разбрани последиците от използването на системите за РЧИ за защитата на личния живот и на личните данни, могат да се откроят пет основни проблема.

21. Първият проблем е идентифицирането на субекта на данните. Преди повече от шестдесет години целта на етикета за РЧИ беше да „идентифицира приятеля или врага“, който се задава. Днес системите за РЧИ могат не само да разпознават общите елементи на даден обект, но също и в крайна сметка да доведат до идентифицирането на човек и следователно това трябва да става по начин, съобразен с изискванията за защита на данните.

22. Вторият проблем е установяването на администратора, отговарящ за обработката на данните. При системите за РЧИ установяването на администратора, определен в член 2, буква г) от Директивата за защита на личните данни, може да се окаже по-трудно и поради това се нуждае от по-внимателен анализ. Независимо от това установяването на администратора остава ключова стъпка за определяне на отговорностите на всяко едно от действащите лица, които ще трябва да спазват законовата рамка в областта на защитата на личните данни. През жизнения цикъл на етикета администраторът по обработка на данните може да се променя многократно в зависимост от допълнителните услуги, които могат да бъдат предоставяни във връзка с етикетирания предмет.

23. Третият проблем е намалялото значение на традиционното разграничение между личната и обществената сфера. Въпреки че и в миналото разграничението между лично и обществено пространство не винаги е било ясно очертано, повечето хора са наясно с границите помежду им (както и със „сивите зони“) и вземат просветени или интуитивни решения как да действат съобразно с тях. Според Hall (12) личното пространство обикновено се изразява във физическа дистанция спрямо другите. Управлението на защитата на личния живот може също да се разглежда като динамичен процес на регулиране на границите (13). Ето защо не е изненадващо, че безжичният характер на комуникацията чрез етикети за РЧИ, както и нейната способност да чете отвъд зрителното поле, поражда тревога за защитата на личния живот, като размива тези традиционни граници и затруднява тяхното управление. И наистина, съществуват опасения, че лицето може частично или напълно да загуби контрол върху управлението на дистанцията, от който се е ползвало дотогава. Така обхватът на четене на първите приложения на системите за РЧИ бе обект на вниманието както на неговите защитници, така и на противниците му.

24. Четвъртият проблем се занимава с размерите и физическите свойства на етикетите за РЧИ. Тъй като е необходимо по същество етикетът да бъде с малки размери и евтин, мерките за сигурност, които биха могли да се приложат в тази част на системата за РЧИ, са по дефиниция ограничени. Все пак безжичният аспект на комуникацията също добавя елемент на риск в сравнение с кабелната комуникация и поради това са необходими допълнителни мерки за сигурност.

25. Петият проблем е липсата на прозрачност при обработката на данните. Системите за РЧИ могат да доведат до необявено събиране и обработване на информация, която може да бъде използвана за създаване на профил на определено лице. Тази последица може много добре да се илюстрира, като се сравнят системите за РЧИ с мобилните телефони — едно по-често използвано сравнение. От една страна технологията на мобилните телефони се ползваше от много благосклонен прием независимо от рисковете за потенциална намеса в личния живот. От това може да се извади заключението, че РЧИ ще бъде приета по същия начин. От друга страна следва да се подчертае, че мобилният телефон е видима вещ, която остава под контрола на крайния ползвател и може да бъде изключен. Не е такъв случаят с РЧИ.

26. Въпреки че посоченото по-горе необявено събиране и обработване на информация може да бъде законно, възможно и дори твърде вероятно е при различни обстоятелства да се осъществи незаконно събиране и обработване на такива данни.

27. Обясненията в настоящия раздел дават основание за следното заключение. Широкото приложение на технологията за РЧИ е качествено ново явление и може да има съществено влияние върху нашето общество и върху защитата на основни права в нашето общество, като например защитата на личния живот и на личните данни. РЧИ може да доведе до качествена промяна.

IV. УТОЧНЯВАНЕ НА ПОСЛЕДИЦИТЕ

Въведение

28. Този раздел ще се съсредоточи главно върху влиянието на РЧИ върху защитата на основни права в нашето общество като защитата на личния живот и на личните данни. Това ще бъде разгледано в две части, като първата ще бъде кратко описание на начина, по който тези основни права са защитени съгласно сега действащата правна рамка. Във втората част ЕНОЗД ще доразвие въпроса за възможностите за пълноценно използване на сегашната правна рамка. Този стремеж бе отразен в становището по Съобщението на Комисията относно Директивата за защита на личните данни като „пълноценно прилагане на настоящите разпоредби на директивата“.

29. Отправните точки са следните: новите технологични достижения, като системите за РЧИ, оказват силно въздействие върху необходимостта от ефективна правна рамка за защита на личните данни. Нещо повече, необходимостта от ефективна защита на личните данни може да наложи ограничения върху използването на тези нови технологии. По този начин взаимодействието е двустранно: технологията оказва влияние върху законодателството, а законодателството влияе върху технологията (14).

Защитата на основните права

30. В Европейския съюз защитата на основните права за неприкосновеност на личния живот и на личните данни е гарантирана на първо място от законодателна рамка, която е наложена от факта, че става въпрос за права, признати от член 8 от Европейската конвенция за правата на човека и основните свободи и от член 7 и член 8 от Хартата за основните права на ЕС. Приложимата законодателна рамка в областта на защитата на личните данни и на РЧИ се състои основно от Директива 95/46/EО относно защитата на личните данни и Директива 2002/58/EО за защитата на личния живот и електронните комуникации (15).

31. Общата законодателна рамка за защита на личните данни, залегнала в Директива 95/46/EО, е приложима към РЧИ, доколкото обработваните чрез системите за РЧИ данни попадат в обхвата на определението за лични данни. Ако в някои случаи приложенията на РЧИ явно се свеждат до обработката на лични данни и безспорно попадат в обхвата на Директивата за защита на личните данни, съществуват и такива, при които приложимостта на Директивата може да не е толкова очевидна. Становище № 4/2007 на работна група „Защита на данните/Член 29“ относно понятието лични данни се стреми да даде своя принос за едно по-избистрено и всеобщо признато разбиране на понятието лични данни и по този начин да намали подобна несигурност (16).

32. Що се отнася до Директивата за защитата на личния живот и електронните комуникации, положението е следното. До този момент не е ясно дали тази директива е приложима по отношение на приложенията на РЧИ. По тази причина предложението на Комисията от 13 ноември 2007 г. за изменение на директивата съдържа разпоредба, която има за цел да уточни, че директивата наистина е приложима по отношение на някои приложения на РЧИ. Други приложения на РЧИ обаче могат да не бъдат обхванати от нея поради това, че тя се ограничава до обработката на лични данни при предоставянето на обществено достъпни услуги за електронна комуникация чрез публични комуникационни мрежи.

33. Защитата на личните данни може да бъде допълнена с редица инструменти за саморегулиране (незаконодателна рамка). Използването на тези инструменти се насърчава активно и в двете директиви, в частност в член 27 от Директивата за защита на личните данни, в който се посочва, че държавите-членки и Комисията насърчават създаването на кодекси на поведение, чиято задача е да допринасят за правилното прилагане на директивата. Освен това инструментите за саморегулиране биха могли ефективно да допринасят за изпълнението на мерките за сигурност, залегнали в член 17 от Директивата за защита на личните данни и член 14 от Директивата за защитата на личния живот и електронните комуникации.

Цялостно прилагане на съществуващата законова рамка

34. Становището по Съобщението относно Директивата за защита на личните данни изброява редица налични инструменти за нейното по-добро прилагане. По-голямата част от необвързващите инструменти, посочени в становището, са от значение за РЧИ, като например тълкувателни или други съобщения, популяризиране на най-добри практики, използване на отличителни знаци, удостоверяващи, че са спазени изискванията за защита на личния живот, и външни одити на спазването на изискванията за защита на личния живот. Възможността за приемане на специфични правила за РЧИ ще бъде разгледана в раздел V. При все това подобрения са възможни и при сега действащата рамка.

Инструменти за саморегулиране

35. ЕНОЗД споделя становището на Комисията, че на първо време е уместно да се предвиди възможност за саморегулиране, което да позволи на заинтересованите страни бързо да създадат законосъобразна среда и по този начин да допринесат за създаването на по-сигурна правна среда.

36. Като се съветва с групата на заинтересованите страни в областта на РЧИ, Комисията се очаква да стимулира и напътства този процес на саморегулиране. В този контекст ЕНОЗД приветства представената в Съобщението препоръка, която се очаква да съдържа специфични насоки, определящи „принципите, които обществените органи и другите заинтересовани страни следва да прилагат по отношение на използването на РЧИ“.

37. Съобщението предвижда саморегулирането да приеме формата на кодекс на поведение или кодекс на добра практика. Според ЕНОЗД, независимо от това каква форма приеме саморегулирането, то следва: — да осигурява конкретно и практическо ръководство при специфични приложения на РЧИ и така да допринася за постигане на съответствие със законовата рамка в областта на защитата на данните, — да се занимава със специфичните въпроси и проблеми по защита на данните, които възникват в контекста на общите приложения на РЧИ, — да допринася за единното и хармонизирано прилагане на Директивата за защита на личните данни в целия Европейския съюз, по-конкретно в сектор, в който е вероятно един и същ тип приложения на РЧИ да се използват в целия ЕС, — да бъде прилагано от всички заинтересовани страни в тази област. Несъобразяването с това изискване следва да води до отрицателни (по възможност финансови) последици.

38. ЕНОЗД насочва вниманието към проблем, при който саморегулирането ще бъде особено полезно. При онези приложения на РЧИ, които предполагат обработка на лични данни, Директивата за защита на личните данни налага на администраторите на данни разнообразни задължения, по-специално съгласно член 17 (сигурност на обработката) и член 7 (необходимостта данните да се обработват само въз основа на приложимите в дадения случай правни основания). По силата на тези разпоредби администраторите на данни са длъжни, от една страна, да определят мерки срещу неразрешеното разкриване на данни. От друга страна администраторите на данни са длъжни да направят необходимото обработката на данните, например разкриването на информация чрез четците, ако е целесъобразно, да става с информираното съгласие на лицето, за което се отнасят данните.

39. Тези разпоредби на Директивата за защита на личните данни могат да се тълкуват като изискване приложенията на РЧИ да бъдат въвеждани заедно с необходимите технически решения, за да се предотвратят или сведат до минимум рисковете от нежелателно разкриване на информация и да се гарантира при необходимост, че обработката или преносът на данни стават само с информирано съгласие. По мнение на ЕНОЗД съществуването на такова задължение (а именно да се приложат необходимите технически решения за предотвратяване или свеждане до минимум на рисковете от неразрешено разкриване на данни) и неговият обвързващ характер за разпространителите на приложения на РЧИ ще бъдат още по-убедителни и недвусмислени, ако това изискване бъде заложено в споменатите по-горе кодекс на поведение или кодекс на добра практика. По тези съображения ЕНОЗД настоятелно съветва Комисията да включи в своята препоръка такова тълкуване на Директивата за защита на данните, което да подчертава наличието на задължение приложенията на РЧИ да бъдат съпроводени с необходимите технически мерки за предотвратяване на нежелателното събиране и разкриване на информация.

Необходимостта от насоки

40. ЕНОЗД препоръчва на Комисията да изготви, в тясно сътрудничество с експертната група по РЧИ, един или повече документи, които да дават ясни насоки как да се прилага сега съществуващата правна рамка към системите за РЧИ. Тези насоки следва да предвиждат практически способи за съобразяване с принципите, залегнали в Директивата за защита на личните данните и Директивата за защита на личния живот в електронните комуникации. Що се отнася до общия подход на насоките и тяхното конкретно съдържание, ЕНОЗД отправя следните предложения.

41. Насоките, определящи принципите, които се прилагат в областта на използването на РЧИ, следва да бъдат достатъчно конкретизирани и да предлагат специфичен подход за всеки сектор. Универсално приложим подход няма да изпълни целите за осигуряване на ясна и последователна правна рамка. Вместо това обхватът на насоките следва да се ограничи до добре дефинирани секторни приложения на РЧИ.

42. Освен това насоките следва да предлагат практически и ефективни методи за разработване на „методи и стандарти“, които биха могли да допринесат за привеждане на системите за РЧИ в съответствие с правната рамка за защита на данните и които ще доведат до използването на технология, при която защитата на личния живот е заложена още при проектирането.

43. При прилагането на сега действащата правна рамка към системите за РЧИ трябва да се обръща особено внимание на принципите и задълженията за защита на данните, приложими към администраторите на данни в приложенията на РЧИ. От особено значение в случая са следните задължения и принципи: — принципът за право на информация, в това число правото да се знае кога данните са били събрани посредством четци и, в определени случаи, че в стоките са поставени етикети за РЧИ, — понятието „съгласие“ като едно от правните основания за обработка на данните. Това понятие намира материален израз в задължението за дезактивиране на етикетите за РЧИ на мястото на продажбата, освен ако лицето не е дало съгласието си за обратното (17). Правото за дезактивиране на етикетите за РЧИ обслужва също целите за гарантиране на сигурността на информацията, т.е. гарантиране, че обработените чрез етикети за РЧИ данни не се разкриват пред нежелателни трети страни, — правото на лицата да не бъдат обект на неблагоприятни за тях решения, основани единствено на автоматизираната обработка на определен персонален профил.

44. Що се отнася до правото на информация, насоките следва да постановяват, че на лицата трябва да се предоставя информация относно обработката на техните лични данни. В частност лицата следва да бъдат предупреждавани, между другото, i) за наличието на четци и на активирани етикети за РЧИ върху стоките или техните опаковки; ii) за последствията от такова наличие от гледна точка на възможността за събиране на информация и iii) за какви цели ще бъде използвана събраната информация.

45. Употребата на емблеми може да бъде подходяща мярка за предоставяне на информация. Такива емблеми могат да се използват, за да се сигнализира наличието на четци и на етикети за РЧИ, за които се предполага, че ще останат активни. Употребата на емблеми обаче сама по себе си няма да е достатъчна за осигуряване на справедлива обработка на информацията, което налага на субектите на данните да бъде предоставяна информация по ясен и разбираем начин. Употребата на емблеми следва да се разглежда като мярка, допълваща предоставянето на по-подробна информация.

Крайъгълният камък: принципът на предварително съгласие

46. Там, където е необходимо, всички приложения на РЧИ следва да предвиждат решения, които да спазват и прилагат като необходима предпоставка принципа на предварителното съгласие на мястото на продажбата. Да се даде възможност на етикетите за РЧИ да продължат да предават информация и след продажбата би било незаконно, освен ако администраторът на данните не разполага със съответните правни основания за това. Такива правни основания обикновено биха могли да бъдат само а) съгласието на субекта на данните или б) ако подобно разкриване е необходимо за предоставяне на услуга — конкретно и свободно отправено искане от страна на посочения субект (18). Така и двете правни основания биха могли да се считат за „предварително съгласие“.

47. Съгласно принципа на предварителното съгласие етикетите следва да бъдат дезактивирани на мястото на продажба, освен ако лицето, закупило стоката, на която е поставен етикетът, не е пожелало да го остави активен. Упражнявайки правото си да го остави активен, лицето фактически се съгласява с по-нататъшната обработка на своите данни, например за предаване на данните на четеца при следващо посещение на лицето при администратора на данните.

48. За да се намери отговор на растящото разнообразие от приложения на РЧИ и да се улесни разработването на нови иновативни бизнес модели, ЕНОЗД изтъква важността на един гъвкав подход. При прилагането на принципа за предварително съгласие е необходимо да се осигури гъвкавост.

49. Възможностите за прилагане на принципа на предварително съгласие се многобройни. Например, като алтернатива на снемането на етикет може да се помисли за възможността етикетът да бъде блокиран, временно дезактивиран или запазен за конкретен ползвател по силата на модел на политиката по сигурността, наречен „модел на възкръсващото пате“ (19). При етикети с кратък жизнен цикъл, адресът на етикета, който точно локализира съхраняваната в база данни информация, може също да бъде изтрит от референтната база данни, с което се предотвратява бъдещата обработка на нови данни, събрани от етикета.

50. В заключение, макар ЕНОЗД да твърди, че „принципът на предварително съгласие“ на мястото на продажбата е законово задължение, което вече съществува в повечето случаи по силата на Директивата за защита на личните данни, налице са сериозни основания това задължение да се прецизира в инструменти за саморегулиране, за да се осигури освен това прилагането на принципа по най-подходящия начин. За онези приложения на РЧИ, които попадат извън обхвата на Директивата за защита на личните данни, е необходимо при всички случаи специфично прилагане.

Необходимостта защитата на личния живот да бъде заложена още при проектирането

51. За да се сведат до минимум заплахите за защитата на личния живот и за личните данни, Съобщението на Комисията потвърждава в част 3.2, стр. 6, идеята за уточняването и приемането на предварително разработени критерии за проектиране. ЕНОЗД приветства този подход. Наистина, приемането на спецификации и на критерии за проектиране, другаде наричани „най-добри налични техники“, ще представлява ефективен принос към изискванията за регламентиране и сигурност на защитата на данните. Определянето на технологични и организационни критерии, ако бъде подлагано на редовен преглед, ще засили модела на симбиоза на изискванията за защита на личния живот и на изискванията за сигурност, който ЕС разработва.

52. Адекватното определяне на най-добри налични техники в областта на защитата на личния живот и сигурността на системите за РЧИ също ще има решаващо значение за изграждането на заслужаваща доверие среда, която ще укрепи широкото одобрение за тях от страна на крайните потребители, а така също и за конкурентоспособността на европейската индустрия.

53. Процесът на подбиране на най-добри техники за системите за РЧИ следва да се подхранва от оценки на въздействието върху защитата на личния живот и защитата на личните данни, за които все още е необходимо да се положат усилия. ЕНОЗД е на мнение, че Европейската агенция за мрежова и информационна сигурност (ENISA), заедно със съвместните научно-изследователски центрове на Европейската комисия и в сътрудничество със заинтересованите представители на индустрията, могат да способстват за установяване на тези най-добри практики и за разработване на подобни методологии. Германската федерална служба за сигурност на информацията започна неотдавна работа по проект на тема „Технически насоки за системите за РЧИ“, с което даде сполучлив пример (20) за илюстрация на най-добрите практики, който сега следва да бъде доразвит на европейско равнище.

54. Стандартите също могат да играят решаваща роля в ранното приемане на принципа за залагане на защитата на личния живот още при проектирането. Ето защо Комисията следва да съдейства за приемането на гаранции за защитата на личния живот и на личните данни при разработването на международни стандарти в областта на РЧИ. В своя работен документ (21) относно РЧИ работна група „Защита на данните/Член 29“ нагледно илюстрира възможността стандартите да подпомогнат за развитие на системите за РЧИ, съобразено със защитата на личния живот.

55. Наред с това ЕНОЗД приветства възприетата от Комисията позиция относно научно-изследователската и развойна дейност в областта на технологиите за РЧИ и необходимостта да се намалят рисковете, свързани със защитата на личния живот. Наистина, необходимо е принципът за залагане на защитата на личния живот още при проектирането да бъде въведен на възможно най-ранен етап от развитието на технологиите, което оптимално ще подпомогне тяхното съответствие с правната рамка за защита на данните. Както бе накратко обявено в неговия годишен доклад за 2006 г., ЕНОЗД ще се включи в това усилие, като предоставя за всеки отделен случай становища и съвети по проекти на 7-та рамкова програма (2007-2013 г.).

V. НЕОБХОДИМИ ЛИ СА СПЕЦИАЛНИ ЗАКОНОДАТЕЛНИ МЕРКИ?

56. Саморегулирането може да се окаже недостатъчно средство за цялостното прилагане на съществуващата правна рамка за защита на данните и на личния живот. Дори ако саморегулирането отговаря на посочените по-горе изисквания, неговото прилагане е доброволно, а неспазването му не винаги може да бъде ефективно санкционирано. Освен това пак може да са необходими обвързващи законодателни мерки за гарантиране правата на защита на личния живот и на личните данни. Те са още по-необходими в случай на неуспех на подхода за саморегулиране.

57. Ключов въпрос е определянето на законови инструменти, гарантиращи, че приложенията на РЧИ се разгръщат заедно с необходимите технически решения за предотвратяване или свеждане до минимум на рисковете за защитата на личния живот и защитата на данните, както и че отговорни администратори на данни вземат адекватни мерки, за да изпълнят задълженията си съгласно съществуващата правна уредба. Това повдига някои допълнителни въпроси: — необходими ли са специфични правила? — ако е така, могат ли тези правила да бъдат приети в рамките на сега действащата правна уредба, например като се използва съществуващата процедура по комитология? — или е необходим нов законодателен инструмент, за да се осигури ефективното разгръщане на приложенията на РЧИ, които да съдържат внедрени технологии за подобряване на защитата на личния живот?

58. Настоящият раздел ще разгледа възможностите за създаване на обвързващи законодателни мерки в рамките на сега действащата правна уредба, а в раздел VI ще бъде обсъдена необходимостта от нов законодателен инструмент, защото тя представлява отделен въпрос.

59. На първо място следва да се обърне специално внимание на разпоредбите на член 17 от Директива 95/46/EО, член 14, параграф 3 от Директива 2002/58/EО и член 3, параграф 3, буква в) от Директива 99/5/EО. Член 14, параграф 3 позволява на държавите-членки да приемат мерки крайното оборудване да бъде конструирано по начин, който е съвместим с правото на потребителите да защитават и контролират използването на техните лични данни, в съответствие с Директива 1999/5/ЕО (22). Член 3, параграф 3, буква в) от Директива 99/5/EО предвижда, че Комисията може да вземе решение — с помощта на процедурата по комитология — апаратурата от определени класове оборудване или апаратурата от определени типове да бъде конструирана така, че да включва предпазни механизми, които осигуряват защита на личните данни и на личния живот на потребителя и на абоната. Член 3, параграф 3, буква в) от Директива 99/5/EО досега не е бил използван.

60. Тези разпоредби предоставят на законодателя — на национално и на общностно равнище — правомощия да предписва задължителното включване на предпазни механизми за защита на данните и на личния живот на етапа на производството на системите за РЧИ, понятие, известно като „защита на личния живот още при проектирането“ (23). Те препоръчват също използването на най-добрите налични техники.

61. С оглед на това използването на понятието „защита на личния живот още при проектирането“ да стане задължително, ЕНОЗД препоръчва на Комисията да използва механизма на член 3, параграф 3, буква в) от Директива 1999/5/ЕО, като се консултира с експертната група по РЧИ.

62. На второ място, възможно е да се уточни прилагането на съществуващата правна уредба към системите за РЧИ чрез изменение на самите директиви. Както бе посочено, наскоро Комисията представи предложение за изменение на Директивата за защитата на личния живот и електронните комуникации, което съдържа нова разпоредба в това отношение. ЕНОЗД приветства това първо потвърждение на приложимостта на директивата към приложенията за РЧИ. ЕНОЗД ще се занимае със специфичните въпроси, породени от връзката между Директивата за защитата на личния живот и електронните комуникации и РЧИ, в становището си по предложението за изменение, което ще бъде публикувано в началото на 2008 г.

63. Като се има предвид, че в близко бъдеще Комисията не предвижда никакво изменение на Директивата за защита на личните данни (24), възможностите за уточняване на прилагането на съществуващата правна уредба към РЧИ са ограничени.

VI. НЕОБХОДИМА ЛИ Е СПЕЦИАЛНА ПРАВНА УРЕДБА ЗА РЧИ?

Намерения на Комисията

64. В Съобщението (25), на Комисията се изтъква важността на сигурността и на обезпечаването на защита на личния живот още при проектирането. Изисква се също така участието на всички заинтересовани страни. Основният резултат от дейността на Комисията ще бъде „препоръка, в която да бъдат определени принципите, които обществените органи и останалите заинтересовани страни следва да прилагат по отношение на използването на РЧИ“. Препоръката ще бъде приета най-вероятно през пролетта на 2008 г. Посочените в Съобщението законодателни цели предвиждат два етапа. Комисията: — ще обмисли включването на подходящи разпоредби относно РЧИ в предстоящото предложение за изменение на Директивата за защитата на личния живот и електронните комуникации; Както вече бе казано, Комисията предложи такова изменение на Директивата през ноември 2007 г., с което потвърди приложимостта й към приложенията на РЧИ (26), но не предложи разширяване на обхвата на директивата и върху частните комуникационни мрежи, — ще оцени необходимостта от по-нататъшни законодателни инициативи за защита на личните данни и личния живот.

65. В резултат на тази политика може да се очаква, че Комисията не предвижда — поне не в краткосрочен план — да предложи ново специално законодателство за защита на личните данни и личния живот в областта на РЧИ.

Насоки за законодателя

66. В своето становище по Съобщението относно Директивата за защита на личните данни ЕНОЗД очерта някои насоки за законодателна дейност в областта на обработката на лични данни, които могат да бъдат обобщени, както следва: — първо, следва да бъдат запазени ключовите принципи на защитата на данни: „Не са необходими нови принципи, но съществува ясна необходимост от други административни мерки, които да бъдат от една страна ефективни и съобразени с едно общество на мрежите, а от друга — да свеждат до минимум административните разходи“ (27), — второ, законодателни предложения следва да се внасят, само ако достатъчно ясно е показана тяхната необходимост и пропорционалност. По тази причина в краткосрочен план не следва да се променя общата законодателна рамка за защита на данните, — трето, непрестанните промени в обществото могат да доведат до специални правни разпоредби с цел да се адаптират принципите на Директивата за защита на личните данни към проблемите, породени от специфични технологии като РЧИ. Несъмнено е необходимо и в този контекст условията за необходимост и пропорционалност да бъдат изпълнени.

67. Като следваща стъпка е полезно да се уточнят очакванията, които законодателят трябва да отчете в областта на РЧИ: — законодателството трябва да бъде гъвкаво и да дава възможност за иновации и технологично развитие. Това следва да доведе до създаването на законодателство, което е в достатъчна степен неутрално по отношение на технологията, — на второ място, необходимо е законодателството да обезпечава правна сигурност. Това следва да доведе до създаването на законодателство, което е в достатъчна степен специфично. Заинтересованите страни трябва да знаят точно как се регламентира поведението им, — на трето място, законодателството трябва ефикасно да защитава всички съществуващи основателни интереси. Това изисква във всички случаи контрол на изпълнението на законодателството и ясно определяне на отговорностите: коя страна носи отговорност за дадено поведение? (28) Тези изисквания са още по-приоритетни, когато става въпрос за защита на личния живот и на личните данни, за основни права на човека съгласно Европейската конвенция за човешките права и основните свободи и Хартата за основните права на Европейския съюз.

Позиция на ЕНОЗД

68. Според ЕНОЗД е ясно, че не всички технологични промени следва да водят до реакция от страна на европейския законодател. Технологичните промени могат да се извършват бързо, докато приемането и влизането в сила на законодателството отнема време и така трябва да бъде. Законодателството следва да бъде плод на балансиране на интересите на всички заинтересовани страни. Когато е избран правният инструмент директива, е необходимо още повече време, тъй като директивите трябва да бъдат напълно транспонирани в правните системи на държавите-членки.

69. Както бе подчертано на няколко места в настоящото становище, РЧИ обаче не е просто една от многото технологични промени. Съобщението на Комисията определя РЧИ като отправна точка към нова фаза в развитието на информационното общество, често наричана „интернет на предметите“, и етикетите за РЧИ ще бъдат ключови елементи на „интелигентните среди“. Тези среди са също така важни стъпки в придвижването към онова, което често се нарича „наблюдавано общество“ (29). При това положение могат да бъдат оправдани законодателни действия в областта на РЧИ. РЧИ може да доведе до качествена промяна.

70. С оглед на това ЕНОЗД препоръчва да бъде разгледан въпросът за приемане на (предложение за) законодателна мярка на Общността, регламентираща основните проблеми при използването на РЧИ в сектори от значение, в случай че не се осъществи адекватно прилагане на съществуващата правна рамка. След влизането й в сила подобна законодателна мярка трябва да бъде разглеждана като „lex specialis“ спрямо общата рамка за защита на личните данни.

71. Приемането на подобен законодателен инструмент има следните предимства: — този инструмент би могъл да заложи съществени параметри на механизмите за саморегулиране, — перспективата за приемане на законодателен инструмент може да докаже, че е ефикасен стимул за заинтересованите страни да създадат механизми за саморегулиране, предоставящи адекватна защита.

72. По чисто практични съображения на Комисията може да се възложи да подготви документ за консултация относно предимствата и недостатъците на една специфична законодателна мярка и относно основните елементи на подобна законодателна мярка. Разбира се, заинтересованите страни биха могли да бъдат поканени да участват в този процес на консултация. По същия начин би могла да бъде привлечена за участие и работна група „Защита на данните/Член 29“.

Възможни развития

73. С намесата на законодателя би могла да се създаде съобразена с целта правна уредба, представляваща комбинация от регулаторни инструменти, които определят и допълват съществуващата правна уредба. Тази съобразена с целта правна уредба следва да се основава на познатите принципи за защита на данните и да акцентира върху разпределението на отговорностите и върху ефективността на механизмите за контрол.

74. Една конкретна причина, поради която подобна подходяща за целта правна уредба може да бъде необходима, е свързана с факта, че не всички приложения на РЧИ предполагат обработка на лични данни. С други думи, ако приложенията на РЧИ не предполагат обработка на лични данни, страните, участващи в производството и продажбата на стоки, снабдени с приспособления за РЧИ, не са правно задължени да прилагат каквито и да било технически мерки, които биха предотвратили подслушване или поставяне на четци без съответното уведомяване на засегнатите лица. Въпреки това, както бе показано, рисковете за защитата на личния живот, произтичащи от евентуалното наблюдение на лица, съществуват и при такива приложения на РЧИ, поради което изискват същия вид предпазни механизми. По-конкретно това може се случи при поставянето на етикети на ниво артикул при потребителските стоки преди мястото на продажба. Накратко казано, приложенията на РЧИ, при които няма обработка на лични данни, могат все пак да бъдат заплаха за защитата на личния живот, тъй като позволяват скрито наблюдение и използване на информацията за неприемливи цели.

75. ЕНОЗД е на мнение, че подобен злополучен резултат следва да бъде избегнат. Тъй като сега действащото законодателство — или поне що се отнася до приложенията на РЧИ, при които няма обработка на лични данни — частично не е в състояние да противодейства на заплахата за защитата на личния живот и като се имат предвид недостатъците на законодателните решения с незадължителна сила, за да се постигне задоволителен резултат, вероятно е необходимо да се прибегне до законодателни мерки със задължителна сила.

76. При всички случаи подобни мерки следва: — да формулират принципа на предварителното съгласие на мястото на продажбата като ясно и неоспоримо законово задължение, валидно и за онези приложения на РЧИ, които попадат извън обхвата на Директивата за защита на личните данни (30), — да осигуряват задължителното въвеждане на приложенията на РЧИ заедно със съответните технически параметри, с други думи защитата на личния живот да бъде заложена още при проектирането.

VII. ПРОБЛЕМЪТ С УПРАВЛЕНИЕТО НА СИСТЕМАТА

77. Въпреки че „присъщо транс-граничното“ измерение на системите за РЧИ се разглежда в Съобщението само в рамките на вътрешния пазар, ЕНОЗД счита, че това измерение трябва да бъде разглеждано по-скоро на международно равнище. В даден магазин системите за РЧИ са вече „транс-гранични“, тъй като действието на етикета може да не спре на мястото на продажбата. На равнището на цялостната система за РЧИ, когато е възможно да стане пренос на лични данни в трета държава, тези технологии също се превръщат в „транс-гранични“, тъй като производителят на снабдената с етикет стока, която е част от системата за РЧИ, се намира извън територията на Европейския съюз (31).

78. От една по-прогностична гледна точка управлението на справочни бази данни за самоличности, установени чрез РЧИ, е също жизненоважно измерение за адекватното прилагане на европейската правна рамка в областта на защитата на данните. ЕНОЗД настоява да бъде намерено решение, тъй като по-нататъшната ерозия на тази правна рамка не би била приемлива.

79. ЕНОЗД разглежда проблема с управлението на РЧИ като голямо предизвикателство, което ще изисква значителни инвестиции. С цел да се осигури адекватното спазване на правата за защита на личните данни в тези международни среди ще трябва да се намерят подходящият форум за преговори и най-целесъобразната управленска структура.

80. С оглед на това ЕНОЗД приканва Комисията да представи своите възгледи по проблема с управлението на системата, по възможност след консултация с групата на заинтересованите страни в областта на РЧИ.

VIII. ЗАКЛЮЧЕНИЕ

81. ЕНОЗД приветства съобщението на Комисията относно РЧИ, тъй като то се заема с решаване на основните въпроси, които възникват в контекста на разгръщането на технологията за РЧИ, без да подценява определящи въпроси като защитата на личния живот и личните данни. Той изразява съгласие със становището, че системите за РЧИ биха могли да играят ключова роля в развитието на информационното общество, обикновено наричано „интернет на предметите“.

Изясняване на последствията

82. Широкото приложение на технологията за РЧИ е качествено ново явление и може да има съществено влияние върху нашето общество и върху защитата на основни права в нашето общество като защитата на личния живот и личните данни. РЧИ може да доведе до качествена промяна.

83. Могат да бъдат разграничени пет основни проблема, свързани със защитата на личния живот и със сигурността: — самоличността на субекта на данните, — самоличността на администратора(ите) на данните, — намалялото значение на традиционното разграничение между личната и обществената сфера, — последствията от размера и физичните свойства на етикетите за РЧИ, — липсата на прозрачност при обработката на данните.

Уточняване на последствията

84. Общата законодателна рамка за защита на данните, залегнала в Директива 95/46/EО, е приложима към РЧИ, доколкото обработените чрез системите за РЧИ данни попадат в обхвата на определението за лични данни.

85. Що се отнася до Директивата за защитата на личния живот и електронните комуникации, положението е следното: Предложението на Комисията от 13 ноември 2007 г. за изменение на директивата съдържа разпоредба, която има за цел да уточни, че директивата наистина се прилага по отношение на някои приложения на РЧИ. Някои други приложения на РЧИ обаче могат да не бъдат обхванати от нея поради това, че тя се ограничава до обработката на лични данни при предоставянето на обществено достъпни услуги за електронна комуникация чрез публичните съобщителни мрежи.

86. Защитата на личните данни може да бъде допълнена с редица инструменти за саморегулиране. Уместно е да се предвиди такава възможност за саморегулиране, стига то: — да осигурява конкретно и практическо ръководство по конкретни приложения на РЧИ, — да се занимава със специфичните въпроси и проблеми по защита на данните, които възникват в контекста на общите приложения на РЧИ, — да способства за единното и хармонизирано прилагане на Директивата за защита на личните данни в целия ЕС, — да се прилага от всички заинтересовани страни в тази област.

87. ЕНОЗД препоръчва на Комисията да изготви, в тясно сътрудничество с експертната група по РЧИ, един или повече документи, които дават ясни насоки как да се прилага сега действащата правна рамка към системите за РЧИ.

88. Насоките, които определят приложимите в областта на РЧИ принципи, следва да бъдат достатъчно конкретизирани и да възприемат специфичен подход по сектори. Освен това насоките следва да предлагат практически и ефективни методи за разработване на методи и стандарти, които могат да допринесат за привеждане на системите за РЧИ в съответствие с правната рамка за защита на данните и които ще доведат до използването на технология, при която защитата на личния живот е заложена още при проектирането.

89. ЕНОЗД приветства подхода в Съобщението на Комисията, с който се потвърждава идеята за уточняването и приемането на предварително разработени критерии за проектиране.

90. Въпреки че ЕНОЗД счита, че принципът на предварителното съгласие на мястото на продажбата е законово задължение, което вече съществува по силата на Директивата за защита на личните данни в много ситуации, това задължение трябва да бъде конкретизирано в инструменти за саморегулиране.

Необходими ли са конкретни правила?

91. С оглед на това използването на понятието „защита на личния живот още при проектирането“ да получи задължителен характер, ЕНОЗД препоръчва Комисията да използва механизма на член 3, параграф 3, буква в) от Директива 1999/5/ЕО, като се консултира с експертната група по РЧИ.

92. ЕНОЗД препоръчва да бъде разгледан въпросът за приемане на (предложение за) законодателство на Общността, регламентиращо основните проблеми при използването на РЧИ в сектори от значение, в случай че не се осъществи адекватно прилагане на съществуващата правна рамка. След влизането й в сила подобна законодателна мярка трябва да бъде разглеждана като „lex specialis“ по отношение на общата рамка за защита на личните данни. Тази законодателна мярка трябва също така да разгледа опасенията, свързани със защитата на личния живот и личните данни, които пораждат някои приложения на РЧИ, като например етикетирането на ниво артикул преди мястото на продажба, което може да не включва непременно обработка на лични данни.

93. Комисията следва да подготви документ за консултация относно предимствата и недостатъците на една специфична законодателна мярка и относно основните елементи на подобна законодателна мярка.

94. Намесата на законодателя би могла да предвиди съобразена с целта правна уредба, представляваща комбинация от регулаторни инструменти, които определят и допълват съществуващата правна уредба. При всички случаи мерките следва: — да формулират принципа на предварителното съгласие на мястото на продажбата като ясно и неоспоримо законово задължение, валидно и за онези приложения на РЧИ, които попадат извън обхвата на Директивата за защита на личните данни (32), — да осигурява задължителното въвеждане на приложенията на РЧИ заедно със съответните технически параметри, или „защита на личния живот още при проектирането“.

Проблемът с управлението на системата

95. ЕНОЗД приканва Комисията да представи своите възгледи по проблема с управлението на системата, по възможност след консултация с групата на заинтересованите страни в областта на РЧИ.

Съставено в Брюксел на 20 декември 2007 г. Peter HUSTINX Европейски надзорен орган по защита на данните

(1) COM(2007) 96 окончателен.

(2) Решение 467/2007/ЕО (ОВ L 176, 6.7.2007 г., стр. 25).

(3) ОВ C 68, 24.3.2007 г., стр. 1.

(4) Проект „RFID and identity management — Case studies from the frontline of the development towards ambient intelligence“ („РЧИ и управление на идентичността — Проучвания по конкретни случаи от челните достижения към интелигентна среда“), поръчан от службата на Европейския парламент за оценка на научни и технологични решения (STOA) и осъществяван от Европейската група за оценка на технологии (ETAG)

http://www.europarl.europa.eu/stoa/default_en.htm

(5) Документ WP 136, публикуван на интернет страницата на работната група.

(6) Съобщение на Комисията от 7 март 2007 г. до Европейския парламент и Съвета относно последващите действия по отношение на работната програма за по-добро прилагане на Директивата за защита на личните данни (COM(2007) 87 окончателен).

(7) ОВ C 255, 27.10.2007 г., стр. 1. Оттук нататък: „Становище по Съобщението относно Директивата за защита на личните данни“.

(8) Предложение от 13 ноември 2007 г. за директива на Европейския парламент и на Съвета за изменение на Директива 2002/22/ЕО относно универсалната услуга и правата на потребителите във връзка с електронните съобщителни мрежи и услуги, Директива 2002/58/ЕО на Европейския парламент и на Съвета от 12 юли 2002 г. относно обработката на лични данни и защитата на правото на неприкосновеност на личния живот в сектора на електронните комуникации и Регламент (ЕО) № 2006/2004 за сътрудничество в областта на защита на потребителите (COM(2007) 698 окончателен). Оттук нататък Директива 2002/58/EО ще бъде наричана „Директива за защитата на личния живот и електронните комуникации“.

(9) http://www.rfidconsultation.eu/

(10) Dr. Sarah Spiekermann, директор на Берлинския изследователски център по интернет икономика (Berlin Research Centre on Internet Economics), семинар на тема „РЧИ и повсеместната обработка на данни“, организиран от Трансатлантическия диалог на потребителите (Trans Atlantic Consumer Dialogue) и проведен на 13 март 2007 г.

(11) Dara J. Glasser, Kenneth W. Goodman and Norman G. Einspruch, „Чипове, етикети и радиочестотни антени: етични предизвикателства пред радиочестотната идентификация“, „Ethics and Information Technology“, том 9, бр. 2/2007.

(12) Edward T. Hall, 1966 г., „Скритото измерение“ (1-во изд.), Garden City, N.Y: Doubleday.

(13) Altman, I. 1975 г., „Среда и социално поведение“, Brooks/Cole Monterrey.

(14) Вж. коментарите на ЕНОЗД от м. март 2006 г. по съобщението на Комисията относно оперативната съвместимост на европейските бази данни, публикувано на интернет страницата на ЕНОЗД.

(15) Точка 59 от настоящото становище ще разгледа въпроса за целесъобразността на трета директива, а именно Директива 1999/5/ЕО на Европейския парламент и на Съвета от 9 март 1999 г. относно радионавигационното оборудване и далекосъобщителното крайно оборудване и взаимното признаване на тяхното съответствие (OВ L 91, 7.4.1999 г., стp. 10).

(16) Виж, inter alia, т. 10 от становището, цитирана в бележка под линия № 5.

(17) За повече подробности вж. т. 46-50 от настоящото становище.

(18) При някои приложения на РЧИ е възможно позоваването на други основания като например член 7, буква е), (законни интереси на администратора, при условие че са налице съответни гаранции).

(19) Името на този модел, разработен от Frank Stajano и Ross Anderson от университета в Кембридж, е било вдъхновено от „начина, по който новоизлюпеното пате приема, че първият движещ се обект, който вижда, трябва да е майка му“.

(20) http://www.bsi.bund.de/veranst/rfid/index.htm

(21) Работен документ (WP 105) по въпросите на защитата на данните във връзка с технологията за РЧИ, 19 януари 2005 г.

(22) И в съответствие с Решение 87/95/ЕИО на Съвета от 22 декември 1986 г. относно стандартизацията в областта на информационните технологии и съобщения (OВ L 36, 7.2.1987 г., стp. 31).

(23) Вж. раздел IV.

(24) ЕНОЗД подкрепя този подход, вж. т. 64.

(25) Вж. параграф 4.1 от Съобщението.

(26) Вж. предложения нов член 3 от Директива 2002/58.

(27) Точка 24 от становището по Съобщението относно Директивата за защита на личните данни.

(28) На терминологичния жаргон в областта на защитата на данните това предполага установяване на „администратора на данни“.

(29) Това съобщение бе повторено в изявление на европейските органи за защита на данните, прието в Лондон на 2 ноември 2006 г., което може да бъде прочетено на интернет страницата на ЕНОЗД:

http://www.edps.europa.eu/EDPSWEB/edps/lang/en/pid/51

(30) В раздел IV бе обоснована идеята, че принципът на предварителното съгласие на мястото на продажбата е законово задължение, което вече съществува по силата на Директивата за защита на личните данни.

(31) Задълженията, свързани с преноса на лични данни, се третират в членове 25 и 26 от Директивата за защита на личните данни.

(32) В раздел IV бе обоснована идеята, че принципът на предварителното съгласие на мястото на продажбата е законово задължение, което вече съществува по силата на Директивата за защита на личните данни.