LT Europos Sąjungos oficialusis leidinys C 158/46

Tarybos motyvų pareiškimas. Per pirmąjį svarstymą (ES) Nr. 5/2016 priimta Tarybos pozicija siekiant priimti Europos Parlamento ir Tarybos direktyvą dėl fizinių asmenų apsaugos kompetentingoms institucijoms tvarkant asmens duomenis nusikalstamų veikų prevencijos, tyrimo, nustatymo ar traukimo baudžiamojon atsakomybėn už jas arba baudžiamųjų sankcijų vykdymo tikslais ir dėl laisvo tokių duomenų judėjimo, kuria panaikinamas Tarybos pamatinis sprendimas 2008/977/TVR

(2016/C 158/02)

I. ĮVADAS

2012 m. sausio 25 d. Komisija pasiūlė išsamų duomenų apsaugos dokumentų rinkinį, kurį sudarė:

— pasiūlymas dėl Bendrojo duomenų apsaugos reglamento, kuriuo siekiama pakeisti 1995 m. Duomenų apsaugos direktyvą (buvęs pirmasis ramstis) (toliau – reglamento projektas);

— pirmiau minėta Direktyva dėl fizinių asmenų apsaugos kompetentingoms institucijoms tvarkant asmens duomenis nusikalstamų veikų prevencijos, tyrimo, nustatymo ar traukimo baudžiamojon atsakomybėn už jas arba baudžiamųjų sankcijų vykdymo tikslais ir dėl laisvo tokių duomenų judėjimo (1), kuria siekiama pakeisti 2008 m. Duomenų apsaugos pamatinį sprendimą (buvęs trečiasis ramstis) (toliau – direktyvos projektas).

Europos Parlamentas nuomonę dėl direktyvos projekto priėmė 2014 m. kovo mėn. (2)

Taryba dėl bendro požiūrio susitarė 2015 m. spalio 9 d. (3), tokiu būdu suteikdama pirmininkaujančiai valstybei narei įgaliojimus pradėti trišalius dialogus su Europos Parlamentu.

Europos Parlamentas ir Taryba atitinkamai Piliečių laisvių, teisingumo ir vidaus reikalų komiteto ir Nuolatinių atstovų komiteto lygmeniu atitinkamai 2015 m. gruodžio 17 d. ir 18 d. patvirtino susitarimą dėl kompromisinio teksto, parengto atsižvelgiant į derybų trišalio dialogo posėdžiuose rezultatus.

Vasario 12 d. posėdyje Taryba pasiekė politinį susitarimą dėl direktyvos projekto (4). 2016 m. balandžio 21 d. Taryba priėmė poziciją per pirmąjį svarstymą, kuri visiškai atitinka neformaliose Tarybos ir Europos Parlamento derybose sutartą kompromisinį direktyvos tekstą.

Regionų komitetas pateikė nuomonę dėl reglamento (OL C 391, 2012 12 18, p. 127).

Buvo pasikonsultuota su Europos duomenų apsaugos priežiūros pareigūnu; pastarasis pirmą nuomonę pateikė 2012 m. spalio mėn. (OL C 192, 2012 6 30, p. 7), o antrą nuomonę – 2015 m. (OL C 301, 2015 9 12, p. 1–8).

Pagrindinių teisių agentūra nuomonę pateikė 2012 m. spalio 1 d.

II. PASIŪLYMO TIKSLAS

Direktyvos projekto tikslas – užtikrinti veiksmingą teisminį bendradarbiavimą baudžiamosiose bylose bei policijos bendradarbiavimą ir palengvinti valstybių narių kompetentingų institucijų keitimąsi asmens duomenimis, kartu užtikrinant nuoseklią aukšto lygio fizinių asmenų asmens duomenų apsaugą. Palyginti su Tarybos pamatiniu sprendimu 2008/977/TVR, kuris bus pakeistas direktyvos projektu, direktyvos projektu taip pat bus reglamentuojamas asmens duomenų tvarkymas nacionaliniu lygmeniu.

Sutarties dėl Europos Sąjungos veikimo 16 straipsnyje nustatytas naujas konkretus teisinis pagrindas taisyklėms dėl asmens duomenų apsaugos priimti, kuris taikomas ir asmens duomenų tvarkymui teisminio bendradarbiavimo baudžiamosiose bylose ir policijos bendradarbiavimo srityje.

III. PER PIRMĄJĮ SVARSTYMĄ PRIIMTOS TARYBOS POZICIJOS ANALIZĖ

A. Bendrosios pastabos

Šis direktyvos projektas yra duomenų apsaugos dokumentų rinkinio dalis. Kitas rinkinio pasiūlymas yra pirmiau minėtas Bendrasis duomenų apsaugos reglamentas.

Remdamiesi Komisijos pasiūlymu dėl direktyvos, Europos Parlamentas ir Taryba vedė neformalias derybas, kad būtų pasiektas susitarimas Tarybai priimant poziciją per pirmąjį svarstymą. Per pirmąjį svarstymą priimtos Tarybos pozicijos dėl direktyvos projekto tekstas visiškai atspindi abiejų teisėkūros institucijų, kurioms padėjo Europos Komisija, pasiektą kompromisą dėl direktyvos. Atsižvelgiant į tai, nuorodos į per pirmąjį svarstymą priimtą Tarybos poziciją turėtų būti suprantamos kaip nuorodos į trišalio dialogo posėdžiuose pasiektą kompromisą.

Fizinių asmenų apsauga tvarkant asmens duomenis yra viena iš pagrindinių teisių. Europos Sąjungos pagrindinių teisių chartijos 8 straipsnio 1 dalyje ir Sutarties dėl Europos Sąjungos veikimo 16 straipsnio 1 dalyje nustatyta, kad kiekvienas asmuo turi teisę į savo asmens duomenų apsaugą. Tuo remiantis per pirmąjį svarstymą priimtoje Tarybos pozicijoje nustatyti fizinių asmenų apsaugos tvarkant jų asmens duomenis principai ir taisyklės. Šiais principais ir taisyklėmis turi būti gerbiamos fizinių asmenų pagrindinės teisės ir laisvės, visų pirma jų teisė į asmens duomenų apsaugą, nepriklausomai nuo jų pilietybės ar gyvenamosios vietos.

Per pirmąjį svarstymą priimtoje Tarybos pozicijoje išlaikyti pamatinio sprendimo (5) ir Komisijos pasiūlymo tikslai, pavyzdžiui, pamatiniame sprendime nurodytas minimalaus suderinimo principas. Direktyvos projekto tekste pateikiamos aiškesnės ir konkretesnės nuostatos, susijusios su dauguma pamatiniame sprendime išdėstytų nuostatų, visų pirma labiau išplėtotos ir išplėstos nuostatos dėl asmens duomenų perdavimo trečiosioms valstybėms arba tarptautinėms organizacijoms.

Dėl bendro požiūrio dėl reglamento projekto Taryba susitarė 2015 m. birželio mėn., o dėl bendro požiūrio dėl direktyvos projekto – 2015 m. spalio mėn.

Naujas Sutartyje dėl Europos Sąjungos veikimo nustatytas teisinis pagrindas, apimantis asmens duomenų apsaugą, yra taikytinas visose politikos srityse, nedarant poveikio konkrečioms taisyklėms, nustatytinoms bendros užsienio ir saugumo politikos srityje. Tačiau prie Lisabonos sutarties pridėtoje 21 deklaracijoje pripažįstama, kad teisminio bendradarbiavimo baudžiamosiose bylose ir policijos bendradarbiavimo srityse gali reikėti konkrečių taisyklių. Dėl šių priežasčių ir atsižvelgiant į tai, kad direktyvos projektas yra duomenų apsaugos dokumentų rinkinio dalis, Taryba siekė tam tikrų nuostatų, išdėstytų direktyvos projekte, atveju direktyvos projekto tekstą suderinti su reglamento projekto tekstu. Visų pirma tai pasakytina apie apibrėžtis, principus, skyrių dėl duomenų valdytojų ir duomenų tvarkytojų, sprendimus dėl tinkamumo, taip pat skyrių dėl nepriklausomų priežiūros institucijų. Todėl šiame pranešime šios teksto dalys bus aptartos ne taip išsamiai.

B. Pagrindiniai politikos klausimai

1. Taikymo sritis (materialinė taikymo sritis ir taikymo sritis subjektų atžvilgiu)

Per pirmąjį svarstymą priimtoje Tarybos pozicijoje 1 straipsnio 1 dalyje nustatyta direktyvos projekto materialinė taikymo sritis. Ji apima kompetentingų institucijų atliekamą duomenų tvarkymą nusikalstamų veikų prevencijos, tyrimo, nustatymo ar traukimo baudžiamojon atsakomybėn už jas arba baudžiamųjų sankcijų vykdymo, be kita ko, apsaugos nuo grėsmių visuomenės saugumui ir jų prevencijos, tikslais. Tai reiškia, kad direktyvos projektas, kitaip nei Pamatinis sprendimas 2008/977/TVR, taikomas ir asmens duomenų tvarkymui nacionaliniu lygmeniu.

Antrosios duomenų apsaugos dokumentų rinkinio dalies – reglamento projekto – taikymo sritis neapima direktyvos taikymo srities, todėl šių dviejų teisės aktų taikymo sritys nesutampa. Reglamento projekte pateikiamos bendrosios taisyklės, o direktyvos projektas taikomas konkrečiam teisminio bendradarbiavimo baudžiamosiose bylose ir policijos bendradarbiavimo sektoriui.

Policijos ir kitų teisėsaugos institucijų darbas apima ir valdžios funkcijų vykdymą imantis prievartos priemonių, pavyzdžiui, policijos veiklą demonstracijų, svarbių sporto renginių ir riaušių metu. Per pirmąjį svarstymą priimtoje Tarybos pozicijoje siekiama suteikti galimybę tokioms institucijoms, visų pirma policijai, tvarkyti duomenis remiantis vienu teisės aktu – konkrečiai valstybės narės teisės aktu, kuriuo ši direktyva perkeliama į nacionalinę teisę. Vis dėlto, kai policija tvarko asmens duomenis tikslais, nepatenkančiais į direktyvos projekto taikymo sritį, taikomas reglamento projektas, kaip paaiškinta 7 punkte. Siekiant to tikslo, per pirmąjį svarstymą priimtoje Tarybos pozicijoje paaiškinta direktyvos taikymo sritis įrašant „apsaugos nuo grėsmių visuomenės saugumui ir jų prevencijos[, tikslais]“.

Kalbant apie taikymo sritį subjektų atžvilgiu, per pirmąjį svarstymą priimtoje Tarybos pozicijoje taikymo sritis išplėsta, kad apimtų ne tik valdžios institucijas, kompetentingas vykdyti nusikalstamų veikų prevenciją, jas tirti, nustatyti ar traukti baudžiamojon atsakomybėn už jas arba vykdyti baudžiamąsias sankcijas, bet ir įstaigas ar subjektus, kuriems pagal valstybių narių teisę pavesta vykdyti valdžios funkcijas ir naudotis viešaisiais įgaliojimais pirmiau nurodytais tikslais. Tačiau asmens duomenis perduoti kitiems trečiosiose valstybėse įsteigtiems duomenų gavėjams, nei direktyvos projekto tikslais kompetentinga institucija, gali tik valdžios institucijos.

2. Su asmens duomenimis susiję principai

a) Skaidrumas

Kitaip nei per pirmąjį svarstymą priimtoje Tarybos pozicijoje dėl reglamento projekto, per pirmąjį svarstymą priimtoje Tarybos pozicijoje dėl direktyvos projekto skaidrumo sąvoka neįtraukta tarp principų, susijusių su asmens duomenų tvarkymu, kadangi teisėsaugos srityje skaidrumas galėtų kelti pavojų vykdomiems tyrimams. Tačiau skaidrumas įtrauktas į su tais principais susijusią konstatuojamąją dalį, kartu paaiškinant, kad bus galima vykdyti tokią veiklą kaip slaptuosius tyrimus ar stebėjimą vaizdo kameromis.

b) Duomenų tvarkymo saugumas

Per pirmąjį svarstymą priimtoje Tarybos pozicijoje nurodyta, kad asmens duomenys turėtų būti tvarkomi taip, kad būtų užtikrintas tinkamas asmens duomenų saugumas, įskaitant apsaugą nuo tvarkymo be leidimo arba neteisėto tvarkymo ir nuo netyčinio praradimo, sunaikinimo ar sugadinimo. Be to, per pirmąjį svarstymą priimtoje Tarybos pozicijoje nurodyta, kad tuo tikslu turėtų būti taikomos tinkamos techninės ar organizacinės priemonės. Tai atitinka reglamento projekto tekstą.

3. Tolesnis duomenų tvarkymas

a) suderinamumas

Diskusijose dėl reglamento projekto kilo sunkumų, susijusių su tolesnio duomenų tvarkymo klausimu ir tuo, ar jį galėtų vykdyti tik tas pats duomenų valdytojas, ar taip pat ir kitas duomenų valdytojas, taip pat su suderinamų tikslų klausimu. Galiausiai, per pirmąjį svarstymą priimtoje Tarybos pozicijoje dėl direktyvos projekto laikomasi nuomonės, kad visas duomenų tvarkymas, atliktas bet kuriuo iš 1 straipsnio 1 dalyje išdėstytų tikslų, turėtų būti laikomas leidžiamu, jeigu duomenų valdytojas turėjo leidimą tvarkyti asmens duomenis tokiais tikslais pagal Sąjungos arba valstybės narės teisę ir jeigu toks duomenų tvarkymas pagal Sąjungos ar valstybės narės teisę buvo būtinas ir proporcingas kitam tikslui.

b) Duomenų tvarkymas kitais tikslais, patenkančiais į direktyvos projekto taikymo sritį

Per pirmąjį svarstymą priimtoje Tarybos pozicijoje nustatyta, kad tam pačiam ar kitam duomenų valdytojui tvarkyti duomenis bet kuriuo kitu iš 1 straipsnio 1 dalyje išdėstytų tikslų nei tikslas, kuriuo tie duomenys buvo surinkti, turi būti leidžiama tik tais atvejais, kai duomenų valdytojas turi leidimą tvarkyti tokius asmens duomenis tokiu tikslu pagal Sąjungos ar valstybių narių teisę ir kai toks duomenų tvarkymas yra būtinas ir proporcingas tam kitam tikslui pagal Sąjungos ar valstybės narės teisę. Tai suteikia galimybę, pavyzdžiui, prokurorui baudžiamojo persekiojimo už nusikaltimą tikslais tvarkyti tuos pačius asmens duomenis, kuriuos policija tvarkė siekdama išsiaiškinti nusikaltimą, nes abu šiame pavyzdyje nurodyti tikslai yra įtraukti į 1 straipsnio 1 dalį.

4. Saugojimo ir peržiūros terminai

Per pirmąjį svarstymą priimtoje Tarybos pozicijoje nustatyta, kad turi būti nustatyti tinkami asmens duomenų ištrynimo arba saugomų asmens duomenų periodinės peržiūros, kad būtų patikrinta, ar būtina juos toliau saugoti, terminai. Pamatiniame sprendime jau buvo nuostata dėl terminų, ir per pirmąjį svarstymą priimtoje Tarybos pozicijoje laikomasi nuomonės, kad tokia nuostata turi būti įtraukta.

Šia nuostata sustiprinamas 4 straipsnyje nustatytas principas, kad duomenys neturi būti saugomi ilgiau nei būtina tikslais, kuriais šie duomenys yra tvarkomi.

5. Skirtingos duomenų subjektų kategorijos

Per pirmąjį svarstymą priimtoje Tarybos pozicijoje nustatyta, kad valstybės narės turi numatyti, kad duomenų valdytojas, „kai taikytina ir kiek įmanoma“, aiškiai atskirtų skirtingų kategorijų asmens duomenis. Tačiau per pirmąjį svarstymą priimtoje Tarybos pozicijoje užtikrinta, kad priskiriant duomenų subjektus skirtingoms kategorijoms, visų pirma asmenų, kurių atveju turima rimtų priežasčių manyti, kad jie įvykdė arba netrukus įvykdys nusikalstamą veiką, kategorijai, nebūtų kliudoma taikyti Pagrindinių teisių chartija garantuojamą nekaltumo prezumpcijos teisę.

6. Duomenų tvarkymo teisėtumas

Per pirmąjį svarstymą priimtoje Tarybos pozicijoje nustatyta, kad asmens duomenų tvarkymas yra teisėtas tik tuo atveju, jeigu jis būtinas, ir tiek, kiek jis būtinas kompetentingai institucijai atlikti užduotį nusikalstamų veikų prevencijos, tyrimo, nustatymo ar traukimo baudžiamojon atsakomybėn už jas arba baudžiamųjų sankcijų vykdymo, be kita ko, apsaugos nuo grėsmių visuomenės saugumui ir jų prevencijos, tikslais, ir yra grindžiamas Sąjungos ar valstybės narės teise. Konstatuojamosiose dalyse aiškiai nurodyta, kad ši veikla apima gyvybinių duomenų subjektų interesų apsaugą.

Per pirmąjį svarstymą priimtoje Tarybos pozicijoje apibrėžti aspektai, kurie turi būti įtraukti į valstybių narių duomenų apsaugos teisės aktus, pavyzdžiui, duomenų tvarkymo siekiai ir tikslai.

7. Konkrečios duomenų tvarkymo sąlygos

Laikomasi pagrindinės taisyklės, kad asmens duomenys, kuriuos iš pradžių surinko kompetentinga institucija direktyvos projekto 1 straipsnio 1 dalyje nurodytais tikslais, turi būti tvarkomi tik vienu iš direktyvos projekte nustatytų tikslų. Tačiau asmens duomenys, kuriuos direktyvos projekte nustatytais tikslais iš pradžių surinko tokios institucijos, gali būti tvarkomi remiantis reglamento projektu, jei toks duomenų tvarkymas leidžiamas pagal Sąjungos arba valstybių narių teisę, išskyrus atvejus, kai duomenys tvarkomi vykdant veiklą, kuriai netaikoma Sąjungos teisė. Per pirmąjį svarstymą priimtoje Tarybos pozicijoje taip pat paaiškinti du atvejai, kuriais taikomas reglamento projektas. Pirma, reglamentas taikomas tais atvejais, kai kompetentingoms institucijoms pagal valstybių narių teisę pavedama vykdyti kitas užduotis, nei nustatytos 1 straipsnio 1 dalyje. Antra, reglamentas taip pat taikomas tvarkant asmens duomenis archyvavimo tikslais dėl viešojo intereso, mokslinių ir istorinių tyrimų tikslais arba statistiniais tikslais, išskyrus atvejus, kai duomenys tvarkomi vykdant veiklą, kuriai netaikoma Sąjungos teisė.

8. Specialių kategorijų asmens duomenys

Asmens duomenys, kurie yra itin opaus pobūdžio pagrindinių teisių ir laisvių atžvilgiu, turėtų būti ypač saugomi, kadangi dėl jų tvarkymo konteksto galėtų kilti didelis pavojus pagrindinėms teisėms ir laisvėms. Per pirmąjį svarstymą priimtoje Tarybos pozicijoje tokius duomenis tvarkyti leidžiama tik tuo atveju, kai tai tikrai būtina, ir su sąlyga, kad bus taikomos atitinkamos duomenų subjektų teisių ir laisvių apsaugos priemonės. Be to, tokį duomenų tvarkymą galima vykdyti tik tuomet, kai pagal ES ar valstybių narių teisę jis leidžiamas siekiant apsaugoti gyvybinius duomenų subjekto interesus arba kai tvarkomi duomenys, kuriuos duomenų subjektas yra akivaizdžiai paskelbęs viešai.

Kadangi direktyvos ir reglamento projektai sudaro vieną dokumentų rinkinį, į kategorijų sąrašą, pateiktą per pirmąjį svarstymą priimtoje Tarybos pozicijoje dėl direktyvos projekto, įtrauktos reglamento projekte išvardytos kategorijos, įskaitant „biometrinius duomenis“ ir „lytinę orientaciją“.

9. Automatizuotas individualių sprendimų priėmimas, įskaitant profiliavimą

Direktyvos projekte taip pat įtvirtintas principas, kad turi būti draudžiama priimti tik automatizuotu duomenų tvarkymu, įskaitant profiliavimą, grindžiamą sprendimą, dėl kurio duomenų subjektui kyla neigiamų teisinių pasekmių arba kuris turi jam didelės įtakos, išskyrus tuos atvejus, kai tai leidžiama pagal Sąjungos ar valstybės narės teisę ir yra nustatytos tinkamos duomenų subjekto teisių ir laisvių apsaugos priemonės. Tokios apsaugos priemonės turi apimti bent teisę reikalauti iš duomenų valdytojo žmogaus įsikišimo. Per pirmąjį svarstymą priimtoje Tarybos pozicijoje aiškiai nustatyta, kad tik automatizuotu duomenų tvarkymu grindžiamas sprendimas negali būti grindžiamas 10 straipsnyje išvardytais specialių kategorijų duomenimis, nebent taikomos atitinkamos duomenų subjekto teisių, laisvių ir teisėtų interesų apsaugos priemonės. Pozicijoje taip pat aiškiai nustatyta, kad 10 straipsnyje nurodytais specialių kategorijų duomenimis grindžiamas profiliavimas, kuris sukeltų diskriminaciją, turi būti draudžiamas.

10. Duomenų subjektų teisės

a) Pranešimas duomenų subjektui

Per pirmąjį svarstymą priimtoje Tarybos pozicijoje išdėstytos nuostatos dėl duomenų subjektų teisių. Kad duomenų subjektas galėtų naudotis savo teisėmis, būtina, kad jis būtų informuojamas apie jo asmens duomenų tvarkymą. Ši informacija turi būti pateikiama taip, kad ją būtų lengva suprasti, glausta, suprantama ir lengvai prieinama forma, aiškia ir paprasta kalba. Kitaip nei reglamento projekto tekste, per pirmąjį svarstymą priimtoje Tarybos pozicijoje dėl direktyvos projekto nereikalaujama, kad ši informacija būtų pateikiama skaidriai. Šios direktyvos taikymo srityje, pavyzdžiui, gali būti pakenkta tyrimo tikslui, jei ankstyvajame tyrimo etape duomenų subjektui būtų suteikiama informacija apie konkrečią tyrimo priemonę.

b) Informacija duomenų subjektui

Per pirmąjį svarstymą priimtoje Tarybos pozicijoje nustatyta, kokia informacija turi būti visuomet būti pateikta duomenų subjektui, t. y. duomenų valdytojo tapatybė bei kontaktiniai duomenys ir duomenų tvarkymo tikslas. Tokia informacija galėtų būti pateikta kompetentingos institucijos interneto svetainėje. Per pirmąjį svarstymą priimtoje Tarybos pozicijoje taip pat nurodyta papildoma informacija, kuri turi būti pateikiama konkrečiais atvejais. Tai apima teisinį pagrindą, laikotarpį, kuriuo duomenys gali būti saugomi, ir duomenų gavėjų kategorijas. Tam tikromis aplinkybėmis yra įmanoma atidėti ar apriboti papildomos informacijos pateikimą arba jos neteikti, pavyzdžiui, kai apribojimas yra būtina ir proporcinga demokratinės visuomenės priemonė atsižvelgiant į atitinkamo fizinio asmens pagrindines teises ir teisėtus interesus. Be to, kalbant apie papildomą informaciją, valstybės narės turėtų turėti galimybę teisės aktuose nustatyti, kad tam tikroms asmens duomenų tvarkymo kategorijoms informavimo prievolės gali būti netaikomos.

c) Teisė susipažinti su duomenimis

Per pirmąjį svarstymą priimtoje Tarybos pozicijoje nustatyta tiek teisė susipažinti su asmens duomenimis, tiek tos teisės apribojimai. Valstybės narės turėtų turėti galimybę apriboti teisę susipažinti su duomenimis tomis pačiomis sąlygomis, kuriomis papildomos informacijos pateikimas gali būti atidėtas ar apribotas arba ji gal būti nepateikiama. Kai teisė susipažinti su duomenimis yra apribojama, valstybės narės turi užtikrinti, kad duomenų valdytojas informuotų duomenų subjektą apie atsisakymo suteikti tokią teisę priežastis, išskyrus atvejus, kai duomenų subjektą informavus apie jo teisės apribojimo priežastis būtų sukliudyta siekti taikomos priemonės tikslo, pavyzdžiui, būtų pakenkta tyrimui.

d) Specialūs asmens duomenų tvarkymo apribojimo atvejai

Valstybės narės turi nustatyti, kad duomenų subjektui būtų garantuota teisė reikalauti ištaisyti ar ištrinti jo asmens duomenis arba apriboti jo asmens duomenų tvarkymą. Per pirmąjį svarstymą priimtoje Tarybos pozicijoje numatyta galimybė duomenų subjektui dviem konkrečiais atvejais reikalauti apriboti jo asmens duomenų tvarkymą užuot reikalaujant šiuos duomenis ištrinti. Pirmasis atvejis yra tada, kai duomenų subjektas užginčija duomenų tikslumą, o jų tikslumo arba netikslumo patvirtinti neįmanoma. Antrasis atvejis yra susijęs su asmens duomenų išsaugojimu įrodymų tikslais. Atitinkamoje konstatuojamojoje dalyje nurodyta, kad pastarojo atvejo pavyzdžiu gali būti situacijos, kai turima pagrįstų priežasčių manyti, kad gali būti padarytas poveikis duomenų subjekto teisėtiems interesams. Pastaruoju atveju duomenys gali būti tvarkomi tik remiantis motyvais, dėl kurių šie duomenys nebuvo ištrinti.

11. Naudojimasis duomenų subjektų teisėmis ir patikrinimas

Tais atvejais, kai apribojamos duomenų subjektų teisės gauti informaciją, susipažinti su duomenimis, juos ištaisyti, ištrinti arba apriboti jų tvarkymą, valstybės narės turi priimti priemones, kuriomis būtų nustatyta, kad duomenų subjekto teisėmis taip pat gali būti naudojamasi per kompetentingą priežiūros instituciją.

12. Duomenų valdytojas ir duomenų tvarkytojas

Kompetentingos institucijos direktyvą taikys nacionaliniu lygmeniu arba persiųsdamos asmens duomenis tarp ES valstybių narių, arba perduodamos asmens duomenis trečiosioms valstybėms ar tarptautinėms organizacijoms. Kompetentingos institucijos apibrėžiamos kaip valdžios institucijos arba bet kuri kita įstaiga ar subjektas, kuriems pagal valstybės narės teisę pavesta vykdyti viešosios valdžios funkcijas ir naudotis viešaisiais įgaliojimais. Direktyvos nuostatas taikys valdžios institucijos, o tam tikromis aplinkybėmis – privačios įstaigos. Kai kompetentingos institucijos, kaip apibrėžta šiame direktyvos projekte, tvarko asmens duomenis ne direktyvos tikslais, jos turi taikyti reglamentą. Todėl per pirmąjį svarstymą priimtoje Tarybos pozicijoje, kaip jau nurodyta šio pareiškimo įvadinėje dalyje, direktyvos projekto nuostatos tam tikru mastu suderinamos su reglamento projekto nuostatomis.

Vadovaujantis reglamento projektu, per pirmąjį svarstymą priimtoje Tarybos pozicijoje nustatoma, kad duomenų valdytojas turi įgyvendinti tinkamas technines ir organizacines priemones, kad užtikrintų ir galėtų įrodyti, jog jo vykdomas duomenų tvarkymas atitinka reikalavimus. Per pirmąjį svarstymą priimtoje Tarybos pozicijoje aiškiai išdėstomos duomenų tvarkytojo prievolės, pavyzdžiui:

— veikti tik pagal duomenų valdytojo nurodymus;

— užtikrinti, kad asmenys, kuriems leidžiama tvarkyti duomenis, laikytųsi konfidencialumo;

— pateikti duomenų valdytojui visą informaciją, įrodančią, kad jie vykdo savo prievoles.

13. Duomenų tvarkymo veiklos įrašai

Per pirmąjį svarstymą priimtoje Tarybos pozicijoje duomenų tvarkytojui nustatoma mažiau su įrašais susijusių prievolių; todėl joje duomenų valdytojo ir duomenų tvarkytojo prievolės išvardytos dviejose skirtingose dalyse. Per pirmąjį svarstymą priimtoje Tarybos pozicijoje nurodyta, kad nei duomenų valdytojas, nei duomenų tvarkytojas neturi registruoti kiekvieno atskiro duomenų tvarkymo veiksmo, o tik duomenų tvarkymo kategorijas. Per pirmąjį svarstymą priimtoje Tarybos pozicijoje nustatyta, kad pagal kitas atitinkamo straipsnio dalis duomenų valdytojas įpareigojamas pateikti pakankamai informacijos, kad būtų įgyvendintas įrašų darymo tikslas. Pavyzdžiui, duomenų valdytojas privalo įtraukti informaciją apie duomenų gavėjų, kuriems buvo arba bus atskleisti asmens duomenys, kategorijas, trečiajai valstybei arba tarptautinei organizacijai perduotų asmens duomenų kategorijas ir, jeigu įmanoma, numatomus įvairių kategorijų asmens duomenų ištrynimo terminus. Duomenų valdytojas taip pat turi pateikti informaciją apie profiliavimą; reglamento projekte tai nėra numatyta. Per pirmąjį svarstymą priimtoje Tarybos pozicijoje nustatyta, kad duomenų tvarkytojas turi tvarkyti tik registrą, kuriame pateikiamos, pavyzdžiui, kiekvieno duomenų valdytojo vardu vykdomo duomenų tvarkymo kategorijos ir, jeigu įmanoma, bendras techninių ir organizacinių saugumo priemonių aprašymas.

14. Registravimas

Registracijos įrašus svarbu saugoti, kad būtų galima nustatyti tam tikrų duomenų tvarkymo operacijų automatizuotose duomenų tvarkymo sistemose, pavyzdžiui, rinkimo, susipažinimo su duomenimis, atskleidimo ir perdavimo, pagrindimą, datą ir laiką. Susipažinimo su duomenimis ir jų atskleidimo registracijos įrašai taip pat suteikia galimybę nustatyti asmens, kuris susipažino su asmens duomenimis arba juos atskleidė, tapatybę ir tokių duomenų gavėjo tapatybę. Kaip ir pamatinio sprendimo atveju, registracijos įrašai turi būti naudojami tik siekiant patikrinti duomenų tvarkymo teisėtumą, vykdyti savikontrolę ir užtikrinti asmens duomenų vientisumą bei saugumą. Direktyvos projekte numatytas naujas elementas – registracijos įrašai gali būti naudojami ir baudžiamojo proceso tikslais. Tačiau automatizuotų duomenų tvarkymo sistemų suderinimas su reikalavimais yra labai sudėtingas, ilgas ir brangus procesas. Todėl per pirmąjį svarstymą priimtoje Tarybos pozicijoje leidžiama išimties tvarka pratęsti perkėlimo į nacionalinę teisę laikotarpį, per kurį iki direktyvos įsigaliojimo dienos sukurtos automatizuotos duomenų tvarkymo sistemos turi būti suderintos su reikalavimais, jeigu tam prireiktų neproporcingų pastangų. Išimtiniais atvejais numatomas papildomas konkrečiai iki direktyvos įsigaliojimo dienos sukurtos automatizuotos duomenų tvarkymo sistemos suderinimo su reikalavimais skirto laikotarpio pratęsimas, jeigu priešingu atveju dėl jos nesuderinimo kiltų didelių sunkumų norint eksploatuoti tą konkrečią automatizuotą duomenų tvarkymo sistemą.

15. Poveikio vertinimas

Pirminiame Komisijos pasiūlyme nebuvo numatyta jokio poveikio duomenų apsaugai vertinimo, tačiau ir į reglamento projekto tekstą, ir į per pirmąjį svarstymą priimtą Tarybos poziciją dėl direktyvos projekto įtrauktas straipsnis dėl poveikio vertinimo. Per pirmąjį svarstymą priimtoje Tarybos pozicijoje nustatoma duomenų valdytojo prievolė atlikti poveikio vertinimą. Duomenų valdytojas privalo atlikti poveikio vertinimą prieš pradėdamas duomenų tvarkymo veiksmą, jeigu dėl tokio duomenų tvarkymo gali kilti didelis pavojus fizinių asmenų teisėms ir laisvėms.

Direktyvos projekte nurodomi atvejai, kuriais poveikio vertinimas yra privalomas; jie suformuluoti panašiai, kaip reglamento projekto tekste. Tačiau direktyvos projekto tekstas dėl elementų, kuriuos turi apimti poveikio vertinimas, yra mažiau išsamus nei reglamento projekte. Vertinimą turi sudaryti bent bendras atliktino duomenų tvarkymo aprašymas, pavojaus duomenų subjektų teisėms ir laisvėms vertinimas, apsaugos priemonės, saugumo priemonės ir mechanizmai, kuriais užtikrinama asmens duomenų apsauga ir įrodoma, kad laikomasi direktyvos nuostatų.

16. Duomenų apsaugos pareigūnas

Per pirmąjį svarstymą priimtoje Tarybos pozicijoje nurodyta, jog valstybės narės turi užtikrinti, kad duomenų valdytojas paskirtų duomenų apsaugos pareigūną. Tačiau valstybės narės turėtų turėti galimybę šios prievolės netaikyti teismams ir kitoms teisminėms institucijoms, vykdantiems savo teismines funkcijas. Duomenų apsaugos pareigūno paskyrimo tikslas – pagerinti direktyvos nuostatų laikymąsi.

17. Duomenų perdavimas

Siekiant keistis duomenimis su trečiosiomis valstybėmis ir tarptautinėmis organizacijomis, būtina nustatyti taisykles dėl duomenų perdavimo. Kalbant apie bendruosius asmens duomenų perdavimo principus, per pirmąjį svarstymą priimta Tarybos pozicija buvo papildytos Komisijos pasiūlytos sąlygos, pavyzdžiui, nustatytas reikalavimas, kad gaunančioji institucija būtų kompetentinga 1 straipsnio 1 dalies tikslais ir kad tais atvejais, kai duomenis persiunčia arba galimybę jais naudotis suteikia kita valstybė narė, ta valstybė narė turėtų būti suteikusi išankstinį leidimą. Be to, per pirmąjį svarstymą priimtoje Tarybos pozicijoje aiškiai nurodyta, jog siekiant užtikrinti, kad nesumažėtų direktyvos projektu fiziniams asmenims garantuojamos apsaugos lygis, turi būti taikomos visos skyriaus dėl duomenų perdavimo nuostatos.

Straipsnyje dėl bendrųjų principų mažėjančia pirmenybės tvarka nustatomi variantai, kuriuos gali pasirinkti duomenų valdytojai perduodami asmens duomenis, pradedant sprendimais dėl tinkamumo. Toliau nurodomas duomenų perdavimas taikant tinkamas apsaugos priemones, po to – duomenų perdavimas taikant konkrečioms situacijoms skirtas nukrypti leidžiančias nuostatas. Straipsnyje dėl sprendimų dėl tinkamumo šiuo metu nurodyti tik tie sprendimai dėl tinkamumo, kurie priimami pagal pačią direktyvą (pagal reglamentą priimami sprendimai neįtraukiami). Aspektai, į kuriuos Komisija turi atsižvelgti vertindama direktyvos projekte nustatyto apsaugos lygio tinkamumą, yra identiški reglamento projekte išdėstytiems aspektams.

Per pirmąjį svarstymą priimtos Tarybos pozicijos straipsniuose dėl duomenų perdavimo taikant tinkamas apsaugos priemones ir konkrečioms situacijoms taikomas nukrypti leidžiančias nuostatas nurodoma, kad toks perdavimas turi būti dokumentuojamas ir kad tie dokumentai turi būti pateikiami priežiūros institucijai, taip pat išdėstomi elementai, kurie turi būti nurodyti tuose dokumentuose.

Per pirmąjį svarstymą priimtoje Tarybos pozicijoje nurodomas papildomas duomenų perdavimo pagrindas, konkrečiai – kompetentingoms institucijoms (tačiau tik kompetentingoms valdžios institucijoms, o ne įstaigoms ar subjektams, kuriems pagal valstybės narės teisę pavesta vykdyti viešosios valdžios funkcijas) suteikiama galimybė perduoti asmens duomenis trečiosiose valstybėse įsteigtiems duomenų gavėjams. Ši galimybė yra išimtis iš bendro principo, pagal kurį asmens duomenys perduodami tik tuo atveju, jei trečiosios valstybės ar tarptautinės organizacijos duomenų valdytojas yra institucija, kompetentinga direktyvos projekto 1 straipsnio 1 dalies tikslais. Todėl per pirmąjį svarstymą priimta Tarybos pozicija pirmiau nurodytoms kompetentingoms institucijoms leidžiama individualiais ir konkrečiais atvejais, jeigu laikomasi kitų direktyvos nuostatų ir yra įvykdytos kelios baigtiniame sąraše išvardytos sąlygos, perduoti asmens duomenis tiesiogiai duomenų gavėjams, nes tarptautiniai susitarimai ne visada suteikia galimybę greitai pateikti reikiamą atsakymą. Šios sąlygos apima atvejus, kai perduoti duomenis tikrai būtina siekiant įvykdyti duomenis perduodančios kompetentingos institucijos užduotį, kaip numatyta Sąjungos arba valstybės narės teisėje, 1 straipsnio 1 dalyje išdėstytais tikslais, kai duomenis perduodanti kompetentinga institucija laikosi nuomonės, kad duomenų perdavimas institucijai, kuri trečiojoje valstybėje yra kompetentinga 1 straipsnio 1 dalyje nurodytais tikslais, yra neveiksmingas arba netinkamas, visų pirma dėl to, kad duomenų perdavimo neįmanoma atlikti laiku ir kai duomenis perduodanti institucija informuoja duomenų gavėją apie konkrečiai nustatytą tikslą ar tikslus, kuriais turi būti tvarkomi asmens duomenys. Kaip ir duomenų perdavimo remiantis apsaugos priemonėmis ir konkrečioms situacijoms taikomomis nukrypti leidžiančiomis nuostatomis atvejais, įtraukta prievolė dokumentuoti duomenų perdavimą. Toks duomenų perdavimas galėtų būti ypač naudingas tuo atveju, kai būtina nedelsiant perduoti asmens duomenis siekiant išgelbėti asmenį, kuris gali tapti nusikalstamos veikos auka, gyvybę, arba siekiant užkirsti kelią realiai gresiančiam nusikaltimui, įskaitant terorizmą.

18. Priežiūros institucijos

Siekiant užtikrinti, kad būtų laikomasi direktyvoje nustatytų taisyklių, priežiūros institucijos vykdys direktyvos ir reglamento taikymo stebėseną. Direktyvos projekte nustatytos taisyklės dėl priežiūros institucijų daugiausia perimtos iš reglamento projekto teksto. Valstybėms narėms leidžiama numatyti, kad pagal reglamentą įsteigtos priežiūros institucijos vykdytų ir direktyvos taikymo priežiūrą. Tačiau pagal direktyvos projektą priežiūros institucijos, kaip apibrėžta direktyvos projekte, nevykdo duomenų tvarkymo operacijų, kurias atlieka teismai, vykdantys savo teismines funkcijas, priežiūros. Valstybės narės taip pat turėtų turėti galimybę nustatyti, kad priežiūros institucijos, kaip apibrėžta direktyvos projekte, nevykdytų duomenų tvarkymo operacijų, kurias atlieka kitos nepriklausomos teisminės institucijos, vykdančios savo teismines funkcijas, priežiūros. Tačiau tai nereiškia, kad nėra vykdoma tokių įstaigų atliekamo duomenų tvarkymo priežiūra. Todėl atitinkamoje konstatuojamojoje dalyje nurodyta, kad teismų ir kitų nepriklausomų teisminių institucijų atliekamoms duomenų tvarkymo operacijoms, vadovaujantis Europos Sąjungos pagrindinių teisių chartija, yra taikoma nepriklausoma priežiūra.

19. Priežiūros institucijų įgaliojimai

Per pirmąjį svarstymą priimtoje Tarybos pozicijoje nustatyta, kad kiekvienoje valstybėje narėje priežiūros institucijos turėtų vykdyti tas pačias užduotis ir naudotis tais pačiais veiksmingais įgaliojimais, kad turėtų galimybę visoje Sąjungoje vykdyti veiksmingą, patikimą ir nuoseklią direktyvos laikymosi stebėseną ir užtikrinti jos vykdymą.

Per pirmąjį svarstymą priimtoje Tarybos pozicijoje priežiūros institucijų įgaliojimai, kurie turi būti nustatyti teisės aktu, suskirstyti į tris skirtingas kategorijas, konkrečiai – veiksmingus tyrimo įgaliojimus, įgaliojimus imtis taisomųjų veiksmų ir patariamuosius įgaliojimus; taip pat numatytas įgaliojimas atkreipti teisminių institucijų dėmesį į pagal šią direktyvą priimtų nuostatų pažeidimus.

20. Ryšys su pirmiau sudarytais tarptautiniais susitarimais

Per pirmąjį svarstymą priimtoje Tarybos pozicijoje, kaip ir per pirmąjį svarstymą priimtoje Tarybos pozicijoje dėl reglamento projekto, nurodyta, kad tarptautiniai susitarimai, kuriuos valstybės narės sudarė iki direktyvos įsigaliojimo dienos ir kurie atitinka Sąjungos teisę, taikytiną iki šios direktyvos įsigaliojimo dienos, lieka galioti tol, kol bus iš dalies pakeisti, pakeisti naujais susitarimais arba panaikinti. Kaip nurodyta reglamento projekte, užtikrinus susitarimų galiojimą garantuojamas teisinis tikrumas duomenų valdytojams.

IV. IŠVADA

Per pirmąjį svarstymą priimta Tarybos pozicija atspindi kompromisą, pasiektą Tarybos ir Europos Parlamento derybose, padedant Komisijai. Patvirtindamas per pirmąjį svarstymą priimtą Tarybos poziciją be pakeitimų, Europos Parlamentas kartu su Taryba nustato aukštus duomenų apsaugos standartus tiek nacionaliniu, tiek tarpvalstybiniu lygmenimis ir taip sudaro sąlygas tvirtesniam teisėsaugos institucijų bendradarbiavimui.

(1) Dok. 5833/12.

(2) Dok. 7428/14.

(3) Dok. 12555/15.

(4) Dok. 5463/16.

(5) 2008 m. lapkričio 27 d. Tarybos pamatinis sprendimas 2008/977/TVR dėl asmens duomenų, tvarkomų vykdant policijos ir teisminį bendradarbiavimą baudžiamosiose bylose, apsaugos (OL L 350, 2008 12 30, p. 60).