80.

EDAPP pažymi, kad konkrečios sąlygos ir garantijos gali būti nustatytos tik kiekvienu konkrečiu atveju, atsižvelgiant į visus keitimosi duomenimis parametrus. Tačiau EDAPP kaip gaires toliau pateikia kai kuriuos principus ir garantijas, kurias turi taikyti trečiųjų šalių gavėjai, kad duomenų perdavimas įvyktų: — būtina patikrinti, koks yra duomenų tvarkymo veiklos vykdymo teisinis pagrindimas (t. y. ar tvarkymo operacijos grindžiamos teisiniu įsipareigojimu, esant duomenų subjektų sutikimui, ar kitu pagrįstu pateisinimu?), ar perduodant duomenis paisoma pradinio duomenų rinkimo tikslo. Duomenys negali būti perduodami kitokiu tikslu, nei minėtas tikslas. — Asmens duomenų, kuriais planuojama keistis, kiekis ir rūšis turi būti aiškiai nurodyta ir sumažinta iki tiek, kiek yra griežtai būtina perdavimo tikslui pasiekti. Surinkti ir perduoti asmens duomenys visų pirma gali apimti interneto naudotojų IP adresus, įtariamo pažeidimo datą ir laiką ir pažeidimo rūšį. EDAPP rekomenduoja tyrimo etape nesusieti duomenų su konkrečiu asmeniu ir primena, kad įtariamojo asmens tapatybė turi būti nustatyta tik pagal įstatymą ir kontroliuojant teisėjui. Šioje nuomonėje EDAPP pabrėžia, kad su INT pažeidimais ir šių pažeidimų įtarimais susiję duomenys yra specialios kategorijos duomenys, kuriuos paprastai gali tvarkyti tik teisėsaugos institucijos ir kuriems reikia taikyti papildomas garantijas. Todėl teisę tvarkyti su INT pažeidimais ir šių pažeidimų įtarimais susijusius duomenis turintys asmenys bei šių duomenų tvarkymo sąlygos turi būti konkrečiai apibrėžti pagal esamus duomenų apsaugos teisės aktus. — Asmenys, galintys keistis duomenimis, turi būti aiškiai nurodyti ir tolesnis perdavimas kitiems gavėjams iš esmės turėtų būti uždraustas, nebent toks perdavimas yra būtinas konkrečiam tyrimui. Šis ribojimas yra ypač svarbus, nes nustatytieji gavėjai neturėtų neteisėtai dalytis informacija su neįgaliotais gavėjais. — EDAPP daro prielaidą, kad ACTA bus ne tik numatytas valstybės institucijų bendradarbiavimas, bet ir suteiktos autorių teisių įgyvendinimo funkcijos privačioms organizacijoms (pvz., IPT, autorių teisių turėtojų organizacijoms ir kt.). Pastaruoju atveju būtina atidžiai įvertinti privačių organizacijų dalyvavimo įgyvendinant INT sąlygas ir lygį siekiant, kad ACTA priemonėmis IPT ir IN teisių turėtojų organizacijoms de facto nebūtų suteikta teisė stebėti naudotojų elgesį internete. Be to, galimybė privačioms organizacijoms tvarkyti asmens duomenis teisėsaugos institucijų siekiamais tikslais turėtų būti suteikta tik pagal atitinkamą teisinį pagrindą. Taip pat svarbu išsiaiškinti, ar privačios organizacijos bus priverstos bendradarbiauti su policija ir koks bus tokio bendradarbiavimo mastas. Tai bet kuriuo atveju turėtų būti susiję tik su „sunkiais nusikaltimais“, kurių apibrėžtį taip pat reikės tiksliai nurodyti, nes ne visi INT pažeidimai laikytini sunkiais nusikaltimais. — Keitimosi asmens duomenimis metodas turi būti aiškiai pasirinktas, visų pirma turėtų būti nurodyta, ar tai bus daroma pagal duomenų eksportavimo sistemą, pvz., IPT ir IN teisių turėtojų organizacijos perduos savo kontroliuojamus duomenis tretiesiems asmenims, pvz., užsienio policijai ir teisėsaugos institucijoms, arba duomenų importavimo sistemą, pvz., policija ir teisėsaugos institucijos turės tiesioginę prieigą prie privačių asmenų duomenų bazių ar duomenų bazių, kuriose informacija centralizuojama. Kaip jau nurodyta dėl PNR, duomenų eksportavimo sistema ES duomenų apsaugos požiūriu yra vienintelė duomenų apsaugos principus atitinkanti alternatyva, nes pagal ją ES siuntėjas, kuris, labiausiai tikėtina, yra duomenų valdytojas, įgyja teisę kontroliuoti duomenų perdavimą (47). — Turi būti nurodytas laikas, kurį gavėjai saugos asmens duomenis, taip pat tokio saugojimo būtinumo tikslas. Toks saugojimo laikotarpis turėtų būti proporcingas atsižvelgiant į siektiną tikslą, t. y. duomenys turėtų būti pašalinami arba ištrinami, kai tik tampa nebereikalingi tam tikslui pasiekti. — Turėtų būti aiškiai reglamentuoti trečiųjų šalių duomenų valdytojams nustatyti įpareigojimai. Turi būti užtikrinti priežiūros ir (arba) įgyvendinami atsakomybės mechanizmai, kad neteisėto tvarkymo ar kitų reikšmingų incidentų atveju būtų realių išteklių ir duomenų valdytojams būtų galima taikyti realias sankcijas. Be to, turėtų būti nustatyti žalos atlyginimo mechanizmai, kad asmenys galėtų pateikti skundą nepriklausomai duomenų apsaugos institucijai ir veiksmingai ginti savo teises nepriklausomame ir nešališkame teisme (48). — Tarp šalių sudarytuose dokumentuose turėtų būti aiškiai nurodytos duomenų subjektų teisės dėl jų asmens duomenų, kai šiuos duomenis tvarko trečiosios šalies gavėjas, siekiant užtikrinti jiems veiksmingas priemones ginti savo teises dėl užsienyje atlikto duomenų tvarkymo. — Be to, ypač svarbus yra skaidrumas, ir duomenų apsaugos susitarimo šalys turėtų susitarti dėl to, kaip jos praneš duomenų subjektams apie vykstantį duomenų tvarkymą, apie jų teises ir šių teisių gynimo būdus.