Komisijos ataskaita dėl Vidaus rinkos informacinės sistemos duomenų apsaugos /* KOM/2010/0170 galutinis */





[pic] | EUROPOS KOMISIJA | Briuselis, 2010.4.22 KOM(2010)170 galutinis KOMISIJOS ATASKAITA dėl Vidaus rinkos informacinės sistemos duomenų apsaugos KOMISIJOS ATASKAITA dėl Vidaus rinkos informacinės sistemos duomenų apsaugos SANTRAUKA Komisija palankiai vertina tai, kaip Vidaus rinkos informacinėje sistemoje (IMI) užtikrinamos su asmens duomenimis susijusios asmens teisės ir laisvės (toliau – duomenų apsauga). IMI – internetinė saugi ir daugiakalbė keitimosi informacija sistema, kuria valstybėms narėms padedama atlikti administracinio bendradarbiavimo pareigas. Komisija taip pat patenkinta tuo, kaip įgyvendinama Komisijos rekomendacija dėl Vidaus rinkos informacinės sistemos (IMI) duomenų apsaugos gairių. Valstybių narių pranešimų apie duomenų apsaugos problemas negauta. Tai pateisina laipsnišką metodą, dėl kurio sutarta su Europos duomenų apsaugos priežiūros pareigūnu, kurti IMI teisinę sistemą atsižvelgiant į technikos raidą ir įtraukiant į šią sistemą kitas vidaus rinkos teisės aktų sritis. 2010 m. Komisija nagrinės galimybę pradėti taikyti IMI kitose vidaus rinkos srityse ir įgis daugiau patirties, susijusios su praktiniu sistemos naudojimu paslaugų srityje. 2011 m. pirmąjį ketvirtį Komisija paskelbs Komisijos tarnybų darbinį dokumentą apie IMI sistemos veikimą ir plėtojimą 2010 m., kuriame bus aptarta ir duomenų apsauga. ATASKAITOS TIKSLAS Šioje ataskaitoje, kuri nurodyta Komisijos rekomendacijoje dėl Vidaus rinkos informacinės sistemos duomenų apsaugos gairių[1] (toliau – Rekomendacija), apžvelgiama, kaip Rekomendaciją įgyvendina valstybės narės ir Komisija, ir vertinama IMI duomenų apsaugos būklė. Joje taip pat aptariami klausimai, kurie nebuvo paminėti Rekomendacijoje – visų pirma naujos Paslaugų direktyvos aprėptis. Rengdama ataskaitą Komisija atsižvelgė į valstybių narių informaciją, pateiktą per 2009 m. lapkritį pradėtą ad hoc konsultaciją[2], ir informaciją, gautą palaikant reguliarius ryšius su IMI koordinatoriais ir valstybių narių atstovais Vidaus rinkos ir IMI komiteto posėdžiuose. IMI KūRIMAS 2009 M. 2009 m. buvo labai svarbūs kuriant IMI. Išplėstas IMI naudojimas su profesinėmis kvalifikacijomis susijusių teisės aktų srityje – įtraukta 20 naujų profesijų, o daugiausia išteklių skirta pritaikyti IMI Paslaugų direktyvai[3]. Nacionaliniai IMI koordinatoriai dalyvavo bandomajame Paslaugų direktyvos informacijos keitimosi (naudoti tikri ir išgalvoti atvejai) projekte; mokymo kursai vyko Briuselyje[4]. Komisija išleido naują programinės įrangos versiją (1.7), kurioje numatyta savarankiškos kompetentingų institucijų registracijos galimybė. Metų pabaigoje ji taip pat išleido tarpinę versiją 2.0 su atskira IT programa įspėjimo sistemai[5]. Visos šios naujos programinės įrangos funkcijos pradėjo veikti 2010 m. pirmąjį ketvirtį. Dėl tokių Komisijos ir valstybių narių bendrų pastangų iki 2010 m. sausio mėn. pabaigos IMI buvo užsiregistravusios 4 508 kompetentingos institucijos; 3 698 iš jų turėjo prieigą prie naujos Paslaugų direktyvos srities, bet tikimasi, kad per ateinančius kelis mėnesius tokių institucijų skaičius gerokai išaugs. Vidutinis per dieną prie sistemos prisijungiančių naudotojų skaičius padidėjo nuo 40 2009 m. sausio mėn. iki 180 2009 m. gruodžio mėn. Bendras 2009 m. užklausų skaičius – per ketvirtį ir pagal teisės aktų sritį [pic] Profesinių kvalifikacijų srityje sistema baigta, o neabejotina jos taikymo sėkmė iliustruoja IMI, kaip administracinio bendradarbiavimo priemonės ES, potencialą. Per ketvirtį išsiųsta vidutiniškai 350 užklausų. Per 90 % visų 2009 m. siųstų užklausų, susijusių su profesinėmis kvalifikacijomis, buvo iš ES-15 (iki 2004 m. prie ES prisijungusių valstybių narių), o tai rodo darbo jėgos migracijos kryptį. 32 % visų užklausų gavo Lenkija ir Rumunija. Analizuojant šiuos skaičius, svarbu pažymėti, kad į 56 % visų užklausų atsakyta per vieną savaitę. Kiek laiko 2009 m. reikėjo užklausai pagal Profesinių kvalifikacijų direktyvą sutvarkyti Priimtų užklausų skaičius | Iš viso, % | Atsakytų užklausų skaičius | Iš viso, % | Per 3 dienas | 741 | 57,0 % | 518 | 43,0 % | Per 1 savaitę | 216 | 73,7 % | 167 | 56,8 % | Per 2 savaites | 166 | 86,5 % | 170 | 71,0 % | Per 4 savaites | 120 | 95,7 % | 164 | 84,6 % | Per 8 savaites | 35 | 98,4 % | 106 | 93,4 % | Daugiau negu 8 savaites | 21 | 100,0 % | 80 | 100,0 % | Iš viso | 1299 | 1205 | (* Priimtų ir atsakytų užklausų skaičius nesutampa dėl užklausų, kurios buvo atšauktos arba dar nebuvo atsakytos 2009 m. gruodžio mėn. pradžioje) IMI DUOMENų APSAUGOS GERINIMAS. LAIPSNIšKAS METODAS IMI laikomasi vadinamojo „privatumo užtikrinimo projektuojant“ principo, pagal kurį duomenų apsaugos reikalavimų laikymasis užtikrinamas nuo pat pradžių projektuojant sistemas, kuriose laikoma informacija. Duomenų apsaugos nuostatos taip pat yra susijusios su kasdieniu sistemos naudojimu ir yra įtrauktos į mokymo medžiagą – tai ne tik formali ar teorinė apsauga. Atrodo, kad tai pasiteisino, nes nė viena valstybė narė nepranešė apie su duomenų apsauga susijusį incidentą IMI ir negauta skundų iš duomenų subjektų. Pastaruosius dvejus metus Komisija palaikė dialogą su duomenų apsaugos institucijomis ir Europos duomenų apsaugos priežiūros pareigūnu (EDAPP). Pagrindinis laipsniško metodo principas yra toks: turint omenyje, kad sistema garantuojama aukšto lygio techninė ir procedūrinė duomenų apsauga, o Komisija yra aiškiai įsipareigojusi ir toliau ją tobulinti, IMI teisinė sistema turėtų būti keičiama atsižvelgiant į technikos raidą ir kitų vidaus rinkos teisės aktų sričių įtraukimą į sistemą. Kadangi sistema naudojama neilgai, remdamasi laipsnišku metodu Komisija galėjo imtis veiksmų reaguodama į visus 2007 m. gruodžio 12 d. EDAPP nuomonėje išdėstytus nuogąstavimus – ji priėmė tris teisės aktus, susijusius su IMI duomenų apsaugos klausimais. a) 2007 m. gruodžio 12 d. Europos Komisijos sprendimas dėl vidaus rinkos informacinės sistemos įgyvendinimo užtikrinant asmens duomenų apsaugą[6] b) 2009 m. kovo 26 d. Europos Komisijos rekomendacija dėl Vidaus rinkos informacinės sistemos (VRI) duomenų apsaugos gairių[7] c) 2009 m. spalio 2 d. Europos Komisijos sprendimas, kuriuo nustatomos valstybių narių informacijos mainų elektroniniu būdu praktinės priemonės pagal Europos Parlamento ir Tarybos direktyvos 2006/123/EB dėl paslaugų vidaus rinkoje VI skyrių[8] Šios ataskaitos 6 skirsnyje bus aptarti visi kiti klausimai, būsimų priemonių turinys ir jų ėmimasis laiku, įskaitant galimą teisinės priemonės priėmimą. KOMISIJOS REKOMENDACIJOS įGYVENDINIMAS Valstybių narių atlikti patobulinimai Ryšiai su duomenų apsaugos institucijomis Rekomendacijoje nacionaliniai IMI koordinatoriai „paraginti užmegzti ryšius su savo nacionalinėmis duomenų apsaugos institucijomis dėl gairių ir pagalbos ieškant geriausio šių gairių įgyvendinimo pagal nacionalinę teisę būdo“. Komisijai pateiktose ataskaitose dauguma valstybių narių nurodė, kad buvo konsultuotasi su jų nacionalinėmis duomenų apsaugos institucijomis. Per konsultacijas IMI naudotojams patvirtinta, kad naudojantis IMI asmens duomenimis galima keistis nepažeidžiant duomenų apsaugos teisės aktų; per jas nacionaliniai reguliuotojai taip pat galėjo užmegzti darbo santykius su valstybės administracijų, kurioms duomenų apsauga yra labai svarbi ir kurios yra įsipareigojusios užtikrinti šio tikro Europos projekto sėkmę, atstovais. Pareiškimai apie privatumo apsaugą Atsižvelgiant į Europos duomenų apsaugos priežiūros pareigūno pasiūlymą, Rekomendacijoje IMI koordinatoriai taip pat paraginti su vietos duomenų apsaugos institucijomis svarstyti pareiškimų apie privatumo apsaugą turinį. Šiuo klausimu nebuvo galima pateikti labai konkrečios rekomendacijos – nors Duomenų apsaugos direktyva nustatytos visapusiškai suderintos nuostatos, valstybės narės turi tam tikrą laisvę dėl kai kurių nuostatų įgyvendinimo. Valstybių narių pateiktos ataskaitos patvirtina, kad egzistuoja skirtinga nacionalinė praktika, susijusi su pareiškimų apie privatumo apsaugą turiniu ir forma. Kiek daugiau nei pusė valstybių narių laikėsi pozicijos, kad sprendimai dėl asmenims teiktinos informacijos formos ir turinio turėtų būti priimami vietos lygmeniu – tai turėtų spręsti kiekviena kompetentinga institucija, laikydamasi vietos teisės aktų reikalavimų. Kita vertus, kai kuriose valstybėse narėse siūlomi visos valstybės narės lygmeniu naudotini modeliai, kuriuos galima nesunkiai pritaikyti prie vietos sąlygų[9]. Informuotumas ir mokymas Vienas iš svarbiausių rekomendacijos pasiekimų – didesnis IMI dalyvių ir naudotojų informuotumas apie duomenų apsaugą, nes jie dabar yra susipažinę su bendraisiais duomenų apsaugos principais; joje taip pat pateikta praktinių patarimų, kaip IMI užtikrinti aukštą duomenų apsaugos lygį. Vadovaujantis rekomendacija, į kompetentingų institucijų parengtą IMI mokymo medžiagą buvo įtrauktos ir nuorodos į duomenų apsaugos gaires. Komisijos atlikti patobulinimai IMI saugumo planas Duomenų saugumas ir konfidencialumas reglamentuoti 2006 m. rugpjūčio 16 d. Komisijos sprendimu dėl taisyklių, susijusių su Europos Komisijos naudojamų informacinių sistemų saugumu[10]. Šis sprendimas buvo patikslintas 2009 m. priėmus įgyvendinimo taisykles ir neseniai patvirtinus gaires ir standartus, kurie iš esmės atitinka tarptautinius standartus. Atitinkamai buvo pakeistos ir patikslintos IMI saugumo priemonės, taip pat 2009 m. buvo parengtas išsamus Saugumo planas, kurį numatoma persvarstyti 2010 m. Techniniai patobulinimai Dabar, kai duomenų mainai būna susiję su ypatingais duomenimis, ekrane parodomas priminimas, kad keičiamasi ypatingais duomenimis ir kad bylą tvarkantis asmuo turėtų prašyti tokios informacijos, tik jei tai neabejotinai būtina ir tiesiogiai susiję su vertimusi profesine veikla ar konkrečios paslaugos teikimu. Į duomenų apsaugos nuostatas taip pat buvo visapusiškai atsižvelgta projektuojant ir įgyvendinant naują įspėjimo sistemą (žr. 5.2.3.2 skirsnį). Taip pat patobulinta IMI svetainė, kad naudotojams joje būtų patogiau rasti reikalingus dokumentus. Atnaujinta duomenų apsaugai skirta dalis[11] – įtraukti visi su duomenų apsauga susiję teisės aktai, susirašinėjimas su EDAPP ir sistemoje naudojami klausimų rinkiniai. Siekiant užtikrinti skaidrumą ir atsižvelgiant į Europos duomenų apsaugos priežiūros pareigūno pasiūlymą, buvo nustatyti su ypatingais duomenimis susiję klausimai. Nauja Paslaugų direktyvos teisės aktų sritis. IMI naudojimas įgyvendinant Paslaugų direktyvą Paslaugų direktyvoje nėra konkrečiai minima IMI (yra tik bendresnė nuoroda į elektroninę informacijos mainų sistemą). Todėl buvo būtina oficialiai nustatyti, kad tam būtų naudojama IMI. Tai padaryta Sprendimu[12], kurį Komisija priėmė vadovaudamasi Paslaugų direktyvoje nustatyta tvarka (komitologijos sprendimu). Komitologijos sprendime nustatytos Paslaugų direktyvos srities informacijos mainų, atliekamų naudojantis IMI, praktinės priemonės. Juo padedama užtikrinti sistemos aukšto lygio duomenų apsaugą, taip pat užtikrinamas papildomas Sprendimu 2008/49/EB nustatytų bendrųjų taisyklių ir Rekomendacijoje pateiktų duomenų apsaugos gairių skaidrumas ir tikslumas. Juo sudaroma galimybė, atsižvelgiant į sistemos naudojimo patirtį, prireikus ateityje priimti sprendimą dėl papildomų duomenų apsaugos priemonių[13]. Duomenų apsaugos principus atitinkanti įspėjimo sistema Įspėjimo sistema – pagal Paslaugų direktyvos 29 straipsnio 3 dalį ir 32 straipsnį sukurta sistema, kuri papildo su produktais susijusią RAPEX sistemą. Ja padedama užtikrinti paslaugų gavėjų rizikos prevenciją. Įspėjimo sistema suteikia valstybėms narėms galimybę laikytis teisinio įpareigojimo keistis informacija, taigi duomenų apsaugos požiūriu ji yra visiškai teisėta. Tačiau Komisija supranta, kokios gali būti su duomenų apsauga susijusios pasekmės naudojant tokią sistemą. Dėl to Komisija labai prižiūrėjo jos projektavimo veiklą, užtikrindama, kad ji atitiktų duomenų apsaugos principus, ir ragina valstybes nares, kurios yra atsakingos už duomenų apsaugą siunčiant arba gaunant įspėjimus, atidžiai stebėti, kad taisyklės būtų taikomos teisingai. Įspėjimo sistema turi nemažai bendrųjų IMI sistemos duomenų apsaugos priemonių, taip pat keletą specialių apsaugos priemonių, skirtų užtikrinti, kad: a) prieigą prie duomenų turėtų tik konkrečios kompetentingos institucijos ir (arba) naudotojai Laikantis bendro IMI principo, naudojant įspėjimo sistemą prieiga prie duomenų suteikiama tik tiems, kuriems tai būtina žinoti. Kompetentingos institucijos ir IMI naudotojai gali susipažinti su įspėjimais tik tuomet, jei valstybės narės jiems yra suteikusios specialią prieigą – ne tik prie IMI sistemos apskritai, bet ir prie specialios įspėjimų programos. Pagal standartinius nustatymus kompetentingos valdžios institucijos ir IMI naudotojai negali gauti įspėjimų arba juos siųsti. Ši galimybė turi būti suteikiama atskirai. b) nebūtų siunčiami nebūtini įspėjimai Įspėjimo negalima išsiųsti neužpildžius kontrolinio sąrašo, skirto užtikrinti kriterijų atitiktį; pavyzdžiui, kad yra sudėtingų specifinių aplinkybių arba faktų, susijusių su paslaugų veikla, dėl kurių gali būti padaryta didelė žala. Jei procedūrą pradedanti valdžios institucija nepatikrina visų susijusių kriterijų, sistema neleidžia išsiųsti įspėjimo. Be to, įspėjimas nesiunčiamas tiesiogiai kitoms valstybėms narėms, bet pirmiausia pateikiamas tos pačios valstybės narės įspėjimo koordinatoriui. Įspėjimo koordinatorius turėtų dar kartą įvertinti, ar įspėjimas turėtų būti perduotas kitoms valstybėms narėms. c) įspėjimai nebūtų platinami didesniam gavėjų skaičiui, nei būtina, siekiant laikytis teisės aktuose išdėstytų informacijos reikalavimų Kai įspėjimai siunčiami kitoms valstybėms narėms, procedūrą pradedanti valdžios institucija ir įspėjimo koordinatorius turi įvertinti, kurios valstybės narės turi gauti tą įspėjimą. Jei valstybė narė, kurioje teikiama paslauga, nori išsiųsti įspėjimą, numatyta, kad jį gaus tik ta valstybė narė, kurioje įsisteigęs paslaugos teikėjas, ir Komisija. Šiais standartiniais nustatymais užtikrinama, kad kitas valstybes nares į gavėjų sąrašą galima įtraukti tik priėmus sprendimą dėl kiekvienos iš jų atskirai pagal principą „būtina žinoti“. Be to, kai įspėjimas perduodamas kitoms valstybėms narėms, jis nesiunčiamas visoms gaunančiųjų valstybių narių kompetentingoms institucijoms, bet tik į gaunamų įspėjimų pašto dėžutę (paprastai nacionaliniam įspėjimų koordinatoriui). Gavėjas nuspręs, kuriai tos valstybės narės kompetentingai institucijai siųsti įspėjimą. d) Komisija, gaudama įspėjimus, kaip nustatyta Paslaugų direktyvoje, neturėtų prieigos prie asmens duomenų Paslaugų direktyvoje nustatyta, kad visi įspėjimai būtų siunčiami Komisijai, tačiau skirtingai nei valstybėms narėms Komisijai nereikia prieigos prie asmens duomenų. Taigi, Komisija gauna įspėjimus be asmens duomenų. e) išsiuntus nepagrįstus įspėjimus, nors ir yra atsargumo priemonės, tokius įspėjimus būtų galima greitai panaikinti arba neteisingus duomenis būtų galima ištaisyti arba ištrinti IMI sistemoje yra numatyta galimybė kompetentingai institucijai, išsiuntusiai nepagrįstą įspėjimą, jį nedelsiant panaikinti – padaryti, kad jis nebūtų matomas visiems IMI naudotojams. Jei įspėjimas pagrįstas, tačiau būtina pataisyti tam tikrą informaciją, tą bet kuriuo metu gali padaryti procedūrą pradedanti kompetentinga valdžios institucija. Be to, IMI sistemoje taip pat sudaryta galimybė kitoms kompetentingoms valdžios institucijoms, gavusioms įspėjimus, nurodyti, kad tam tikra įspėjime pateikta informacija yra neteisinga. f) įspėjimai būtų panaikinti iš karto, kai nebelieka rizikos; duomenys iš karto tampa nematomi visiems naudotojams, o asmens duomenys ištrinami praėjus šešiems mėnesiams nuo panaikinimo Įspėjimą reikia panaikinti, kai nebelieka rizikos, dėl kurios jis buvo išsiųstas. Taigi, IMI sistemoje leidžiama įsisteigimo valstybei narei panaikinti įspėjimą, o priminimai atsakingoms valdžioms institucijoms siunčiami e. paštu. Panaikinus įspėjimą, jis tampa nematomas. Visi asmens duomenys automatiškai ištrinami ir pašalinami iš sistemos vėliausiai praėjus šešiems mėnesiams nuo panaikinimo. IšSAMIAU SVARSTYTINI KLAUSIMAI Nors dauguma valstybių narių teigiamai įvertino IMI duomenų apsaugą, kelios valstybės narės iškėlė tam tikrus klausimus, kurie aptariami šiame skirsnyje. Duomenų saugumui ir konfidencialumui taikytinos taisyklės Asmens duomenų tvarkymas IMI sistemoje apima bendrą tvarkymą (Komisijos ir valstybių narių), bendrą valdymą (įvairių naudotojų ir dalyvių) ir bendrą priežiūrą (atliekamą nacionalinių duomenų apsaugos institucijų ir EDAPP). Tokiomis sudėtingomis aplinkybėmis ne visada lengva paskirstyti atsakomybę. Danijos ir Vokietijos duomenų apsaugos institucijos laikosi pozicijos, kad, kadangi jų teritorijoje esančios kompetentingos valdžios institucijos privalo laikytis tam tikrų nacionalinių reikalavimų (pvz., yra griežtesnė autentiškumo patvirtinimo sistema, kaip nurodyta tolesniame skirsnyje), jos turėtų reikalauti, kad IMI atitiktų šiuos nacionalinius reikalavimus, arba turėtų nebenaudoti sistemos. Kompetentingos institucijos šiuos prašymus persiuntė Komisijai, kuri yra atsakinga už sistemos saugumą. Komisija mano, kad IMI yra saugi sistema ir kad tikras Europos tinklas kaip IMI paprasčiausiai negalėtų veikti, jeigu kiekviena valstybė narė reikalautų atitikties su nacionaliniais saugumo standartais. Beveik prieš dvidešimt metų priimtos Duomenų apsaugos direktyvos tikslas buvo dvejopas – viena vertus, užtikrinti pagrindinę teisę į duomenų apsaugą, kita vertus, užtikrinti laisvą asmens duomenų judėjimą iš vienos valstybės narės į kitą ir iš valstybių narių į ES institucijas ir atvirkščiai[14]. Tuo remdamasi Komisija reikalauja, kad atsižvelgiant į aukšto lygio garantijas, susijusias su duomenų apsauga IMI sistemoje, ir į lojalaus bendradarbiavimo principą, nustatytą Europos Sąjungos sutarties 4 straipsnio 3 dalyje, nacionalinės duomenų apsaugos institucijos nesudarytų kliūčių nacionalinėms kompetentingoms institucijoms naudoti sistemą. Siekiant griežtesnio autentiškumo patvirtinimo IMI IMI autentiškumo patvirtinimo sistema – tai vieno veiksnio autentiškumo patvirtinimo patobulinta versija, nes joje naudotojo vardas ir slaptažodis susietas su PIN kodu. Naudotojui bandant prisijungti prie sistemos prašoma nurodyti atsitiktinės atrankos principu parinktą PIN kodo ženklų derinį. Vokietijos ir Danijos duomenų apsaugos institucijos pareiškė nuogąstavimų dėl IMI autentiškumo patvirtinimo sistemos. Komisija mano, kad dabartinė autentiškumo patvirtinimo sistema yra tinkama, turint omenyje jos naujausias galimybes ir diegimo sąnaudas, bet kartu sutinka, kad ilgalaikiu požiūriu pageidautinas griežtesnis autentiškumo patvirtinimas. Kadangi valstybės narės įdiegė skirtingas autentiškumo patvirtinimo sistemas, kurios ne visuomet dera tarpusavyje, priimtiniausias sprendimas, susijęs su griežtesniu autentiškumo patvirtinimu, ko gero būtų valstybių narių lygmeniu administruojama e. atpažintis, kurios sąveikumą būtų galima užtikrinti naudojant tarpinę programinę įrangą. Viena iš galimybių – šiuo metu konsorciumo, kuriame dalyvauja kai kurios valstybės narės, rengiamas STORK projektas, finansuojamas pagal Konkurencingumo ir inovacijų programą – IRT politikos rėmimo programą. Komisija per ateinančius mėnesius atidžiai stebės su tuo susijusią pažangą, nes nuo to priklausys sprendimas, ar jis bus naudojamas IMI. Daugiau apie duomenų saugumą rašoma 7.2 skirsnyje. Duomenų saugojimas IMI duomenų saugojimo politika yra labai griežta[15], ir kai kurie dalyviai ir naudotojai nurodė, kad ją reikėtų persvarstyti. Duomenų subjektui ne visuomet naudinga, kad asmens duomenys būtų greitai ištrinti iš sistemos; jis gal būt norėtų, kad jo ar jos duomenys IMI liktų ilgiau, pavyzdžiui, ryšium su teisiniu procesu. Europos Teisingumo Teismo neseniai priimtame sprendime[16] nurodyta, kad teisė gauti informaciją[17] galioja ne tik dabartinių duomenų, bet ir anksčiau turėtų duomenų atžvilgiu. Todėl Teismas laikosi nuomonės, kad prieigos ribojimas ištrinant duomenis gali prieštarauti įstatymui, nebent galima įrodyti, kad dėl ilgesnio informacijos saugojimo duomenų valdytojui atsirastų pernelyg didelė našta. Komisija nemano, kad dėl ilgesnio asmens duomenų saugojimo IMI atsirastų pernelyg didelė našta, todėl ji ketina svarstyti galimybę nustatyti ilgesnį saugojimo laikotarpį; taip pat gali būti numatytas pereinamasis duomenų blokavimo etapas, per kurį duomenys, prieš juos ištrinant, taptų nematomais visiems naudotojams. Bus atidžiai nagrinėjamos galimos blokavimo politikos pasekmės, taip pat kas galėtų turėti prieigą prie užblokuotų duomenų ir kokiems tikslams. Tai geras pavyzdys, kuris parodo, kad prieš priimant sprendimą dėl IMI veikimą reglamentuojančių taisyklių nustatymo teisiškai įpareigojančiame dokumente reikia labai gerai pagalvoti. Labai svarbu, kad užtikrindamos gerą duomenų apsaugą ir į šį procesą įtraukdamos duomenų apsaugos institucijas Komisija ir valstybės narės galėtų pasinaudoti pakankama sistemos naudojimo patirtimi, kad nebūtų nustatytos neveiksmingos duomenų apsaugos taisyklės arba tokios taisyklės, dėl kurių būtų priešingas, nei norimas, rezultatas. IMI naudojimas nacionaliniu mastu Nyderlanduose perkeliant Paslaugų direktyvą į nacionalinę teisę nustatyta, kad IMI turi būti naudojama nacionaliniais tikslais, t. y. ir keičiantis informacija tarp Nyderlandų valdžios institucijų. Europos Komisija teigiamai vertina tokį požiūrį, rodantį, kad IMI gali būti naudojama keičiantis duomenimis tarp valdžios institucijų. Vis dėlto valstybėms narėms naudojant IMI nacionaliniu mastu turi būti įvykdytos trys sąlygos: a) asmens duomenų tvarkymas ir informacijos saugojimas Komisijos serveriuose turi būti laikomas teisėtu pagal nacionalinę teisę, b) sistema turi būti naudojama tokia, kokia ji yra – su tais pačiais klausimų rinkiniais ir funkcijomis, tai pat c) valstybės narės turi prisiimti visą atsakomybę už bet kokias problemas (duomenų apsaugos ar kitokio pobūdžio problemas), susijusias su sistemos naudojimu nacionaliniais tikslais. Todėl, jei valstybės narės būtų suinteresuotos naudoti IMI nacionaliniu mastu, rekomenduojama, kad jos pirmiau pasikonsultuotų su savo nacionalinėmis duomenų apsaugos institucijomis ir tik paskui kreiptųsi į Komisiją šiuo klausimu, taip pat užtikrintų, kad dėl to nekiltų problemų, susijusių su duomenų apsaugos įstatymais. Specialios duomenų apsaugos priemonės teisiškai įpareigojančiuose Bendrijos teisės aktuose 2007 m. gruodžio 12 d. nuomonėje ir pasikeičiant laiškais su Komisija EDAPP paragino ES teisės aktuose nustatyti specialias teisiškai įpareigojančias duomenų apsaugos priemones, nes IMI taikymo sritis plečiasi neapsiribojant Paslaugų ir Profesinių kvalifikacijų direktyvomis. Panašią nuomonę išsakė Vokietijos duomenų apsaugos institucijos. 2010 m. naujai paskirta Komisija iš naujo nagrinės Bendrosios rinkos funkcionavimą ir kaip naudodamos IMI valstybės narės galėtų geriau įgyvendinti Vidaus rinkos teisės aktus. Taigi, ji nagrinės, kokiose kitose politikos srityse būtų naudinga naudoti IMI. Jau yra įdiegta nemažai duomenų apsaugos priemonių, o iš valstybių narių gauti atsiliepimai yra teigiami. Todėl Komisija mano, kad teisės akto pasiūlymą reikėtų teikti prieš tai apibrėžus IMI taikymo sritį ir pasirėmus patirtimi, susijusia su praktiniu sistemos naudojimu paslaugų srityje. Į tai turėtų būti deramai atsižvelgta ateityje rengiant bet kokį pasiūlymą, siekiant užtikrinti patikimą ir ilgalaikį IMI ir duomenų apsaugos pagrindą. Tuo tarpu Komisija, glaudžiai bendradarbiaudama su valstybėmis narėmis ir EDAPP, ir toliau stengsis gerinti IMI duomenų apsaugą. BūSIMI PATOBULINIMAI Techniniai patobulinimai Būsimoje programinėje įrangoje bus automatiniai priminimai ir skubos sąrašai atsakymui priimti (kad užklausos neliktų neužbaigtos ilgiau nei būtina). Kalbant apie internetinę duomenų taisymo, blokavimo arba ištrynimo procedūrą ir atsižvelgiant į tai, kad prašymų iki šiol negauta ir yra didelė tikimybė, kad ir ateityje tokių prašymų nebus daug, Komisija laikosi nuomonės, kad būtų tinkamiau, padedant Komisijos duomenų apsaugos pareigūnui ir EDAPP, įdiegti paprastesnę deramai dokumentuotą procedūrą. Duomenų saugumas Vadovaudamasi Komisijos neseniai patvirtintomis naujomis gairėmis ir standartais, Komisija 2010 m. atliks naują su IMI susijusį rizikos vertinimą ir atitinkamai patikslins saugumo planą – nustatys nagrinėtinas sistemos dalis, galimas grėsmes ir infrastruktūros bei programinės įrangos požiūriu reikalingas priemones. Jei atlikus rizikos vertinimą paaiškės, kad reikia papildomų saugumo priemonių, jos bus laipsniškai integruojamos į būsimas programinės įrangos versijas. 2011 m. pradžioje taip pat bus atliekamas išorės auditas – daugiausia dėmesio bus skirta sistemos veikimui ir stabilumui, bet jis gali apimti ir kai kuriuos duomenų apsaugos ir saugumo klausimus. Profesinių kvalifikacijų direktyvos apžvalga Profesinių kvalifikacijų direktyvos vertinimas bus atliekamas 2010–2011 m.; be kitų dalykų, bus vertinamas administracinis bendradarbiavimas ir IMI naudojimas, įskaitant duomenų apsaugos problemas. IšVADOS Komisija teigiamai vertina rekomendacijos įgyvendinimą ir IMI duomenų apsaugą. Vis dėlto ji ir toliau kurs papildomus sistemos patobulinimus, visų pirma techninio pobūdžio ir duomenų saugumo patobulinimus. Komisija taip pat ketina nagrinėti galimybę į IMI įtraukti ir kitas vidaus rinkos sritis, remiantis būsima praktine patirtimi, susijusia su sistemos naudojimu paslaugų srityje. Bet kokiame būsimame ES teisės akto pasiūlyme bus atsižvelgta į šiuos pokyčius ir svarstymus, kad būtų užtikrintas patikimas ir ilgalaikis IMI ir duomenų apsaugos pagrindas. 2011 m. pirmajame ketvirtyje bus paskelbtas Komisijos tarnybų darbinis dokumentas dėl IMI sistemos veikimo ir plėtojimo 2011 m. Šioje ataskaitoje bus aptariamas ir duomenų apsaugos klausimas. [1] C(2009) 2041galutinis. OL L 100, 2009 4 18, p. 12–28. [2] Per konsultacijas septyniolika valstybių atsakė į tokius klausimus:- Ar buvote susisiekę su savo nacionaline duomenų apsaugos institucija? Ar ji išsakė savo nuomonę dėl gairių įgyvendinimo nacionaliniu lygmeniu?- Ar parengėte pranešimą apie privatumo apsaugą visiems IMI naudotojams, ar tai daro kompetentingos institucijos vietos lygmeniu?- Ar Jūsų kompetentingos institucijos, IMI siųsdamos prašymus ar į juos atsakydamos, patyrė su duomenų apsauga susijusių problemų?- Ar Jūsų kompetentingos institucijos pranešė apie bet kokias problemas, susijusias su klausimų apie nuosprendžių registre esančia informacija tvarkymu?Ar Jūsų kompetentingos institucijos gavo duomenų subjektų prašymų dėl prieigos, ištrynimo ar ištaisymo?- Ar Jūsų kompetentingos institucijos žino apie sistemoje numatytą ankstyvo asmens duomenų ištrynimo galimybę? Ar jie ja naudojasi?Ar į Jūsų rengiamus IMI mokymo kursus įtraukta duomenų apsaugos tema? [3] 2006 m. gruodžio 12 d. Europos Parlamento ir Tarybos direktyva 2006/123/EB dėl paslaugų vidaus rinkoje, OL 376, 2006 12 27, p. 36–68. [4] 2009 m. Komisija Briuselyje tris kartus surengė vienos dienos mokymo kursus IMI koordinatoriams. Kiekviename iš jų dalyvavo maždaug po 60 dalyvių. Per tą patį laikotarpį valstybės narės organizavo iš viso per 100 mokymo kursų kompetentingoms valdžios institucijoms vietos, regioniniu ir nacionaliniu lygmeniu. [5] Žr. Paslaugų direktyvos 32 straipsnį. [6] C(2007) 6306, OL L 2008 1 16, p. 13–23. [7] C(2009) 2041 galutinis, OL L 100, 2009 4 18, p. 12–28. [8] C(2009) 7493, OL L 263, 2009 10 7, p. 32–34. [9] Geras nacionalinio modelio, parengto naudojantis nacionalinės duomenų apsaugos institucijos technine pagalba, pavyzdys – Ispanijos IMI kūrėjų komandos parengtas pareiškimas apie privatumo apsaugą ( cláusula de privacidad) http://www.mpt.es/documentacion/sistema_IMI/documentos/protec_datos/ClausulaIMI_ES/document_es/Clausula_IMI.pdf. [10] C(2006)3602. [11] http://ec.europa.eu/internal_market/imi-net/data_protection_en.html [12] 2009 m. spalio 2 d. Komisijos sprendimas, kuriuo nustatomos valstybių narių informacijos mainų elektroniniu būdu praktinės priemonės pagal Europos Parlamento ir Tarybos direktyvos 2006/123/EB dėl paslaugų vidaus rinkoje VI skyrių. [13] Žr. rekomendacijos 13 skyriaus skirsnio „Vykstantis darbas“ d punktą. [14] Šis principas aiškiai išdėstytas Duomenų apsaugos direktyvos 1 straipsnio 2 dalyje ir Duomenų apsaugos reglamento 1 straipsnio 1 dalyje ir 13 konstatuojamojoje dalyje: „Taip siekiama užtikrinti ir veiksmingą taisyklių, reglamentuojančių asmenų pagrindinių teisių ir laisvių apsaugą bei laisvą asmens duomenų judėjimą tarp valstybių narių ir Bendrijos institucijų ir įstaigų arba tarp Bendrijos institucijų ir įstaigų, siekiant su jų atitinkamos kompetencijos vykdymu susijusių tikslų“. [15] Ankstyvas asmens duomenų ištrynimas įmanomas keletu spustelėjimų; bet kuriuo atveju visi asmens duomenys automatiškai ištrinami po šešių mėnesių nuo informacijos prašymų panaikinimo. [16] C-553/07, Rotterdam v Rijkeboer. [17] Žr. Direktyvos 95/46/EB 12 straipsnio a punktą.