CS Úřední věstník Evropské unie C 164/2

Shrnutí stanoviska evropského inspektora ochrany údajů k návrhu nařízení o ochraně fyzických osob v souvislosti se zpracováním osobních údajů institucemi, orgány, úřady a agenturami Unie a o volném pohybu těchto údajů a o zrušení nařízení (ES) č. 45/2001 a rozhodnutí č. 1247/2002/ES

(Úplné znění tohoto stanoviska je k dispozici v angličtině, francouzštině a němčině na webových stránkách evropského inspektora ochrany údajů na adrese www.edps.europa.eu)

(2017/C 164/02)

Evropská unie vyhlašuje novou generaci norem týkajících se ochrany údajů. Přijetí obecného nařízení o ochraně osobních údajů a směrnice pro policejní a justiční orgány téměř před rokem představovalo doposud nejambicióznější snahu zákonodárce EU s cílem zajistit základní práva fyzických osob v digitální éře. Nyní nastal čas, aby instituce EU šly příkladem, pokud jde o pravidla, která samy uplatňují jako správci údajů a zpracovatelé údajů. V uplynulých 18 měsících zahájil evropský inspektor ochrany údajů s institucemi EU dialog na nejvyšší úrovni s cílem připravit je na nové výzvy související s dodržováním předpisů v oblasti ochrany údajů, přičemž důraz je kladen na novou zásadu odpovědnosti za to, jak jsou údaje zpracovávány. Prostřednictvím tohoto stanoviska má evropský inspektor ochrany údajů v úmyslu využít dvanáct let zkušeností s nezávislým dohledem, poradenstvím v oblasti politik a obhajobou zájmů k navržení zlepšení navrhovaného nařízení o zpracování osobních údajů institucemi a orgány EU.

Nařízení (ES) č. 45/2001 sloužilo jako vodítko přímo stanovující platné povinnosti správců údajů, práva subjektů údajů a zcela nezávislý kontrolní orgán. EU musí nyní zajistit soulad s obecným nařízením o ochraně osobních údajů tak, že místo na postupy týkající se ochrany osob bude klást důraz na odpovědnost a záruky. Určité odchylky jsou v případě pravidel vztahujících se na zpracování údajů institucemi EU přípustné stejně tak, jak byly do obecného nařízení o ochraně osobních údajů zahrnuty výjimky pro veřejný sektor, avšak tyto odchylky by měly být minimální.

Z pohledu fyzických osob je však zásadní, aby společné principy byly důsledně uplatňovány v celém rámci ochrany údajů v EU bez ohledu na to, kdo je správcem údajů. Je rovněž nezbytné, aby celý rámec začal platit v květnu 2018, tedy v době, kdy má být plně použitelné obecné nařízení o ochraně osobních údajů.

Podle dlouhotrvající dohody mezi našimi institucemi konzultovala Komise předlohu návrhu s evropským inspektorem ochrany údajů. Domníváme se, že Komise dosáhla dobré celkové rovnováhy mezi různými zájmy zúčastněných stran. Toto stanovisko vymezuje řadu oblastí, kde by bylo možné návrh dále zlepšit. Zastáváme názor, že je možné dosáhnout zlepšení navrhovaného nařízení, zejména v souvislosti s omezeními práv subjektu údajů a ustanovením, které institucím EU umožňuje v určitých situacích použít mechanismus pro vydávání osvědčení. S ohledem na naše vlastní úkoly a pravomoci nezávislého orgánu se jeví, že návrh dosahuje přiměřené rovnováhy a že zohledňuje běžné funkce nezávislého orgánu pro ochranu údajů podle Listiny základních práv tak, jak je v nedávné judikatuře znovu potvrdil Soudní dvůr, tedy funkce orgánu vymáhajícího dodržování pravidel, ať již se jedná o veřejný donucovací orgán, orgán zabývající se stížnostmi nebo o poradce zákonodárce v souvislosti s politikami týkajícími se ochrany údajů a soukromí.

Vyzýváme zákonodárce EU, aby dohody o návrhu dosáhl co nejrychleji a umožnil tak institucím EU využít přiměřeného přechodného období před tím, než nové nařízení začne platit.

1. ÚVOD A ZÁKLADNÍ INFORMACE

1.1 Souvislosti

1. Dne 10. ledna 2017 přijala Evropská komise návrh nařízení Evropského parlamentu a Rady o ochraně fyzických osob v souvislosti se zpracováním osobních údajů institucemi, orgány, úřady a agenturami Unie a o volném pohybu těchto údajů a o zrušení nařízení (ES) č. 45/2001 a rozhodnutí č. 1247/2002/ES (1) (dále jen „návrh“).

2. Základní právo na ochranu osobních údajů je zakotveno v článku 8 Listiny základních práv Evropské unie (dále jen „Listina základních práv“) a v článku 16 Smlouvy o fungování Evropské unie (dále jen „Smlouva o fungování EU“).

3. Evropský inspektor ochrany údajů (dále jen „EIOÚ“) je nezávislý orgán dohledu odpovědný za zajištění toho, aby evropské instituce, orgány, úřady a agentury (dále jen „instituce EU“) dodržovaly právní předpisy upravující ochranu údajů při zpracování osobních údajů (2). Požadavek zajistit v systému ochrany údajů v EU nezávislou kontrolu je zakotven v primárním právu v čl. 16 odst. 2 Smlouvy o fungování EU i v čl. 8 odst. 3 Listiny základních práv. Soudní dvůr soustavně zdůrazňuje, že kontrola prováděná nezávislým orgánem je zásadní součástí práva na ochranu údajů, a stanovil kritéria této nezávislosti (3). Orgán dohledu musí zejména jednat zcela nezávisle, což znamená rozhodovací pravomoc nezávislou na jakémkoliv přímém nebo nepřímém vnějším vlivu (4) a bez podezření z podjatosti (5).

4. Hlavním právním nástrojem vztahujícím se na zpracování osobních údajů institucemi EU je nařízení (ES) č. 45/2001 (6) („nařízení č. 45/2001“) doplněné rozhodnutím č. 1247/2002/ES (7).

5. Poté, co dne 27. dubna 2016 skončila zdlouhavá jednání o novém rámci ochrany údajů v EU, tedy o obecném nařízení o ochraně osobních údajů (dále jen „obecné nařízení o ochraně osobních údajů“) a směrnici pro policejní a justiční orgány, představuje tento návrh spolu s návrhem Komise ohledně nařízení o soukromí a elektronických komunikacích (dále jen „nařízení o soukromí a elektronických komunikacích“ (8)) začátek rozhodující fáze v procesu dokončování tohoto rámce ochrany údajů v EU. Klade si za cíl sladit ustanovení nařízení č. 45/2001 s pravidly stanovenými v obecném nařízení o ochraně osobních údajů tak, aby vznikl silnější a soudržnější rámec ochrany údajů v Evropské unii a aby bylo možné uplatňovat oba předpisy zároveň (9). Kromě toho návrh rovněž obsahuje nová pravidla pro ochranu koncových zařízení koncových uživatelů stanovená v návrhu Komise nového nařízení o soukromí a elektronických komunikacích.

6. Ve strategii pro období 2015–2019 se Evropský inspektor ochrany údajů zavázal spolupracovat s Evropským parlamentem, Radou a Komisí s cílem zajistit, aby stávající pravidla stanovená v nařízení č. 45/2001 byla uvedena v soulad s obecným nařízením o ochraně osobních údajů a aby upravený rámec vstoupil v platnost nejpozději na začátku roku 2018. Evropský inspektor ochrany údajů uvítal, že s ním Komise před přijetím návrhu problematiku neformálně konzultovala a že návrh zřejmě zohledňuje řadu bodů doposud nadnesených v jeho neformálních příspěvcích. Shledává stávající návrh z hlediska maximálního souladu s obecným nařízením o ochraně osobních údajů více než uspokojivým, pokud by úzce vymezená specifika veřejného sektoru EU neopravňovala k jinému postupu, a zejména oceňuje rovnováhu různých dotčených zájmů, kterých Komise dosáhla.

7. Přestože stanovisko zmiňuje řadu oblastí, kde by bylo možné návrh dále zlepšit, evropský inspektor ochrany údajů vyzývá zákonodárce EU k co možná nejrychlejšímu dosažení dohody o návrhu tak, aby instituce EU měly možnost využít přiměřeného přechodného období před tím, než bude nové nařízení plně použitelné.

1.2 Cíle návrhu a časový rámec

8. V minulosti evropský inspektor ochrany údajů doporučil, aby byla do (tehdejší) předlohy obecného nařízení o ochraně osobních údajů začleněna hmotněprávní pravidla pro instituce EU (10). Zákonodárce EU zvolil jinou možnost: samostatný právní nástroj vztahující se na instituce EU, který je sladěn s obecným nařízením o ochraně osobních údajů a který začne platit zároveň s tímto obecným nařízením. Evropský inspektor ochrany údajů tento přístup podporuje: bylo by nepřijatelné, kdyby Evropská komise a jiné instituce EU nebyly vázány rovnocennými pravidly odpovídajícími těm, která budou brzy uplatňována na úrovni členských států. Kromě toho by bylo nežádoucí, aby evropský inspektor ochrany údajů dohlížel na to, zda instituce EU dodržují hmotněprávní pravidla, která nedosahují právní síly pravidel, na jejichž dodržování dohlíží jeho protějšky na vnitrostátní úrovni, zejména pak vzhledem k tomu, že evropský inspektor ochrany údajů bude členem budoucího Evropského sboru pro ochranu osobních údajů („EDPB“) (11).

9. Budoucí pravidla vztahující se na zpracování osobních údajů institucemi EU by tudíž měla být v souladu s ustanoveními obecného nařízení o ochraně osobních údajů, pokud neopravňují úzce vymezená specifika veřejného sektoru k jinému postupu. V této souvislosti evropský inspektor ochrany údajů vítá 5. bod odůvodnění návrhu, který zdůrazňuje potřebu co možná největšího souladu, a objasňuje, že „jestliže ustanovení tohoto nařízení vychází ze stejné koncepce jako ustanovení (obecného nařízení o ochraně osobních údajů), měla by se tato dvě ustanovení vykládat jednotně, a to zejména proto, že schéma tohoto nařízení by se mělo chápat jako ekvivalent schématu (obecného nařízení o ochraně osobních údajů)”.

10. Zároveň nemůže být sladění s obecným nařízením o ochraně osobních údajů úplné ani automatické. Obecné nařízení o ochraně osobních údajů obsahuje řadu článků, které členským státům umožňují zachovat nebo zavést zvláštní právní předpisy v určitých oblastech, včetně předpisů vztahujících se na orgány veřejné správy (12). V případech, kdy obecné nařízení o ochraně osobních údajů stanoví zvláštní pravidla pro orgány veřejné správy (13) nebo ponechává prostor pro provádění jeho ustanovení členskými státy, může návrh hrát úlohu srovnatelnou s vnitrostátním právem „provádějícím“ obecné nařízení o ochraně osobních údajů, jako například v článku 9 „Přenosy osobních údajů jiným příjemcům, než jsou instituce a orgány Unie“ nebo v článku 66 „Správní pokuty“ návrhu (viz oddíl 2.8.1 níže). Kromě toho je důležité zajistit, aby byla zachována vysoká úroveň ochrany, která se v současnosti na instituce EU vztahuje. Z tohoto důvodu je tedy potřeba zachovat určitá specifika nařízení č. 45/2001 jako v článku 25 Omezení (viz oddíl 2.3.1 níže) a článku 44 Jmenování pověřence pro ochranu osobních údajů (viz oddíl 2.4.5.1 níže).

11. Kromě věcného sladění s obecným nařízením o ochraně osobních údajů je důležité, aby upravená pravidla začala být plně uplatňována ve stejnou dobu jako obecné nařízení o ochraně osobních údajů, tedy dne 25. května 2018. Stávající síť pověřenců pro ochranu osobních údajů (dále jen „pověřenec pro ochranu osobních údajů“) nabízí účinný způsob sdílení informací a spolupráce. V důsledku toho je evropský inspektor ochrany údajů přesvědčen o tom, že shody by bylo možné dosáhnout po uplynutí relativně krátkého přechodného období, například v délce tří měsíců.

12. Zásada odpovědnosti, o kterou se obecné nařízení o ochraně osobních údajů i předkládaný návrh opírá, jde nad rámec prostého dodržování pravidel a předpokládá změnu kultury. Ve snaze tento přechod usnadnit zahájil evropský inspektor ochrany údajů „projekt odpovědnosti“. V této souvislosti byl evropský inspektor ochrany údajů v průběhu roku 2016 a 2017 v kontaktu se sedmi hlavními institucemi a orgány EU s cílem pomoci s včasnou přípravou na uplatňování obecného nařízení o ochraně osobních údajů.

1.3 Rozsah působnosti a vztah s dalšími právními nástroji

13. Evropský inspektor ochrany údajů v minulosti opakovaně vyzval Komisi, aby navrhla spolehlivý a komplexní systém, který by byl ambiciózní a který by zlepšil účinnost a soudržnost ochrany údajů v EU s cílem zajistit vhodné prostředí pro další rozvoj v nadcházejících letech (14). Komise zvolila odlišný přístup a navrhla samostatný právní nástroj pro ochranu údajů v oblasti vymáhání práva (15). Následovala řada návrhů právních aktů zavádějících oddělené „samostatné“ režimy ochrany údajů (16).

14. Evropský inspektor ochrany údajů připouští, že stávající, byť roztříštěný právní rámec ochrany osobních údajů je nejlepším dnes dosažitelným výsledkem (17). Evropský inspektor ochrany údajů usuzuje, že předkládaný návrh by se nadále vztahoval na instituce EU, které dnes spadají do oblasti působnosti nařízení č. 45/2001 (18) (v zásadě všechny instituce, orgány, úřady a agentury 1. a 2. „pilíře“ (19)), avšak jako takový by neovlivnil stávající či zaváděné „samostatné“ režimy (20). Tyto režimy budou předkládaným návrhem dotčeny jen v případě, že je to výslovně stanoveno v příslušném právním nástroji. Evropský inspektor ochrany údajů bere tento přístup na vědomí, avšak navrhuje, aby byl jasněji stanoven v preambuli návrhu a případně také v článku 2 Rozsah působnosti. Zároveň evropský inspektor ochrany údajů zdůraznil, že roztříštěný a stále složitější právní rámec pro zpracování údajů různými institucemi EU působícími v dřívějším prvním a třetím „pilíři“ není zcela uspokojivým výsledkem a že se tím zákonodárce EU možná bude muset ve střednědobém horizontu zabývat.

15. Nařízení č. 45/2001 poskytuje opatření zaměřující se na ochranu soukromí a důvěrnosti komunikace v případech, kdy instituce EU mají kontrolu nad infrastrukturou používanou při komunikaci. Za tímto účelem obsahuje určitá ustanovení zahrnující části, které spadají do oblasti působnosti směrnice 2002/58/ES (dále jen „směrnice o soukromí a elektronických komunikacích“) (21), a zavádí zásadu, že pravidla týkající se ochrany základních práv by měla být v celé Unii uplatňována důsledně a harmonizovaným způsobem, a odkazuje na příslušné akty, jako je směrnice o soukromí a elektronických komunikacích (22). Potřeba zajistit stejnou úroveň soukromí a důvěrnosti komunikace zahrnující instituce EU zůstává nezměněna, a tudíž by zásada důsledného a harmonizovaného uplatňování měla být zachována. Evropský inspektor ochrany údajů se tedy domnívá, že návrh by měl zajistit, aby se relevantní pravidla obecného nařízení o ochraně osobních údajů a budoucího nařízení o soukromí a elektronických komunikacích vztahovala na instituce EU mutatis mutandis. Měl by obsahovat zachování důvěrnosti a soukromí v souvislosti s komunikačními službami kontrolovanými institucemi EU i dalšími zásadami budoucího nařízení o soukromí a elektronických komunikacích, jako je ochrana koncových zařízení a dalšími pravidly, například ohledně sledování a nevyžádané pošty.

16. A nakonec, zatímco se právní předpisy EU upravující ochranu údajů vztahují také na Evropský hospodářský prostor a zatímco zúčastněné země Evropského sdružení volného obchodu (dále jen „ESVO“) mají povinnost vytvořit nezávislé orgány dohledu podle obecného nařízení o ochraně osobních údajů, nevztahují se na instituce ESVO žádná zvláštní pravidla a dohled, přestože si s institucemi EU vyměňují osobní údaje. Evropský inspektor ochrany údajů se domnívá, že předkládaný návrh může být příležitostí k vyřešení tohoto problému.

3. ZÁVĚRY

90. Evropský inspektor ochrany údajů se celkově domnívá, že návrh uspěl ve sladění pravidel pro instituce EU s obecným nařízením o ochraně osobních údajů a že přitom zohledňuje specifika veřejného sektoru EU. V návrhu je obecně zachována vysoká úroveň ochrany v souvislosti se zpracováním údajů institucemi EU. Evropský inspektor ochrany údajů obzvláště oceňuje rovnováhu různých dotčených zájmů, které Komise dosáhla.

91. Evropský inspektor ochrany údajů se domnívá, že návrh by měl být dále vylepšen, zejména pokud jde o postupy v souvislosti s omezeními podle článku 25. Mají-li být splněny požadavky týkající se kvality právních předpisů zmíněné výše, musel by být čl. 25 odst. 1 návrhu upraven tak, aby základní práva mohla být omezena pouze právními akty přijatými na základě Smluv, čímž by pro instituce EU byly zavedeny stejné normy, které by se podle obecného nařízení o ochraně osobních údajů vztahovaly na členské státy. V rozsahu, v jakém jsou zvažována omezení vztahující se k článku 34 Důvěrnost elektronických komunikací, evropský inspektor ochrany údajů vyzývá zákonodárce EU, aby se případná omezení základního práva na soukromí komunikace ze strany institucí EU při výkonu jejich vlastní činnosti řídila stejnými normami stanovenými v právu Unie v souladu s výkladem Soudního dvora v této oblasti.

92. Evropský inspektor ochrany údajů vítá skutečnost, že návrh obsahuje samostatný článek zabývající se úlohou evropského inspektora ochrany údajů jako poradce institucí EU (článek 42 návrhu). Je však znepokojen tím, že znění „v návaznosti na přijetí návrhů“ (na rozdíl od „při přijímání návrhů právních předpisů“ v čl. 28 odst. 2 nařízení č. 45/2001) může zpochybnit dlouhodobý závazek Evropské komise konzultovat předlohy návrhů neformálním způsobem s evropským inspektorem ochrany údajů, obvykle ve fázi konzultací mezi útvary. Vzhledem k důležitosti neformálních konzultací by evropský inspektor ochrany údajů uvítal odůvodnění v úvodní části návrhu, ve kterém by Komise potvrdila svůj závazek řídit se touto dlouhodobou praxí. Podpořil by také, aby návrh zachoval znění čl. 28 odst. 2 nařízení č. 45/2001 („při přijímání návrhů“), které evropskému inspektorovi ochrany údajů nabízí širší manévrovací prostor. Domnívá se, že článek 42 v navrhovaném znění dostatečně objasňuje příslušné úkoly evropského inspektora ochrany údajů a Evropské rady pro ochranu údajů, aby se v budoucnu předešlo zbytečnému zdvojování.

93. Evropský inspektor ochrany údajů se domnívá, že možnost zajišťovat funkci pověřence pro ochranu osobních údajů s použitím vnějších zdrojů není pro instituce EU při výkonu veřejné moci vhodná. Proto by se měla druhá možnost v čl. 44 odst. 4 („nebo může plnit úkoly na základě smlouvy o poskytování služeb“) odstranit.

94. Evropský inspektor ochrany údajů vítá článek 66 návrhu, který by evropskému inspektorovi ochrany údajů udělil pravomoc ukládat správní pokuty. Domnívá se, že zrušení možnosti orgánu dohledu EU ukládat v případě potřeby správní pokuty by vedlo k tomu, že by instituce EU ve srovnání s institucemi veřejného sektoru v mnoha členských státech měly výsadní postavení.

95. Evropský inspektor ochrany údajů se domnívá, že mechanismy pro vydávání osvědčení mohou být pro instituce EU velmi užitečným nástrojem, který se v určitých situacích již využívá, například při potvrzování souladu s obecně uznávanými normami. Odkazy na použití osvědčení (ale ne kodexů chování) by tudíž měly být doplněny v článku 26 Odpovědnost správce, článku 27 Záměrná a standardní ochrana osobních údajů i v článku 33 Zabezpečení.

96. Přestože stanovisko zmiňuje řadu oblastí, kde by bylo možné návrh dále zlepšit, vyzývá evropský inspektor ochrany údajů zákonodárce EU k co možná nejrychlejšímu dosažení dohody o návrhu tak, aby instituce EU měly možnost využít přiměřeného přechodného období před tím, než začne platit nové nařízení zároveň s obecným nařízením o ochraně osobních údajů v květnu 2018.

V Bruselu dne 15. března 2017. Giovanni BUTTARELLI evropský inspektor ochrany údajů

(1) COM(2017) 8 final; 2017/0002 (COD) (later, “the Proposal”).

(2) Article 286 EC rendered the (then) Community rules on data protection applicable to EU institutions and bodies and mandated the creation of a dedicated independent supervisory authority (later, the EDPS).

(3) Case C-518/07 Commission v Germany, EU:C:2010:125; Case C-614/10 Commission v Austria, EU:C:2012:631; Case C-288/12 Commission v Hungary, EU:C:2014:237; Case C-362/14 Maximilian Schrems v Data Protection Commissioner, ECLI:EU:C:2015:650.

(4) Case C-518/07 Commission v Germany, supra para. 19.

(5) Case C-288/12 Commission v Hungary, supra para. 53.

(6) See supra note 3.

(7) Decision No 1247/2002/EC of the European Parliament, of the Council and of the Commission of 1 July 2002 on the regulations and general conditions governing the performance of the European Data Protection Supervisor’s duties (OJ L 183, 12.7.2002, p. 1).

(8) Proposal for a Regulation of the European Parliament and of the Council concerning the respect for private life and the protection of personal data in electronic communications and repealing Directive 2002/58/EC (Regulation on Privacy and Electronic Communications), COM(2017) 10 final, 2017/0003 (COD).

(9) See Article 98 and recital 17 of the GDPR.

(10) See e.g. the EDPS Opinion of 7 March 2012 on the data protection reform package (OJ C 192, 30.6.2012, p. 7).

(11) EDPS Opinion of 7 March 2012 on the data protection reform package, p. 6.

(12) See in particular Article 6(3) and recital 10 to the GDPR: “Regarding the processing of personal data for compliance with a legal obligation, for the performance of a task carried out in the public interest or in the exercise of official authority vested in the controller, Member States should be allowed to maintain or introduce national provisions to further specify the application of the rules of this Regulation. In conjunction with the general and horizontal law on data protection implementing Directive 95/46/EC, Member States have several sector-specific laws in areas that need more specific provisions. This Regulation also provides a margin of manoeuvre for Member States to specify its rules, including for the processing of special categories of personal data (‘sensitive data’). To that extent, this Regulation does not exclude Member State law that sets out the circumstances for specific processing situations, including determining more precisely the conditions under which the processing of personal data is lawful.”

(13) E.g. last sentence of Article 6(1), Article 20(5), Article 27, Article 37, Article 41 or Article 46(2)(a) of the GDPR.

(14) See in particular the EDPS Opinion of 14 January 2011 on the Communication “A comprehensive approach on personal data in the European Union” (OJ L 181, 22.6.2011, p. 1).

(15) See supra note 5.

(16) Proposal for a Regulation of the European Parliament and of the Council on the European Union Agency for Law Enforcement Cooperation and Training (Europol) and repealing Decisions 2009/371/JHA and 2005/681/JHA, COM(2013) 173 final, now adopted as Regulation 2016/794 and published in OJ L 135, 24.5.2016, p. 53; Proposal for a Council Regulation on the establishment of the European Public Prosecutor's Office, COM(2013) 534 final. See also the Council General approach (First reading) on the Proposal for a Regulation on the European Union Agency for Criminal Justice Cooperation (Eurojust) available at: http://data.consilium.europa.eu/doc/document/ST-6643-2015-INIT/en/pdf

(17) EDPS Opinion 3/2015 “Europe’s big opportunity - EDPS recommendations on the EU’s options for data protection reform”, available at: https://secure.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/Consultation/Opinions/2015/15-10-09_GDPR_with_addendum_EN.pdf

(18) See the list of EU institutions and bodies available at: http://publications.europa.eu/code/en/en-390500.htm

(19) Regulation (EC) No 45/2001 already today applies to, inter alia, the European Defence Agency, European Union Institute for Security Studies, and the European Union Satellite Centre.

(20) Europol, Eurojust, EPPO, supra note 21.

(21) Directive 2002/58/EC of the European Parliament and of the Council of 12 July 2002 concerning the processing of personal data and the protection of privacy in the electronic communications sector (Directive on privacy and electronic communications (OJ L 201, 31.7.2002, p. 37), as amended (later, “the ePrivacy Directive”).

(22) Recitals 10-12 ePrivacy Directive.