Komisijas ziņojums par datu aizsardzības stāvokli Iekšējā tirgus informācijas sistēmā /* COM/2010/0170 galīgā redakcija */





[pic] | EIROPAS KOMISIJA | Briselē, 22.4.2010 COM(2010) 170 galīgā redakcija KOMISIJAS ZIŅOJUMS par datu aizsardzības stāvokli Iekšējā tirgus informācijas sistēmā KOMISIJAS ZIŅOJUMS par datu aizsardzības stāvokli Iekšējā tirgus informācijas sistēmā 1. KOPSAVILKUMS Komisiju apmierina veids, kādā Iekšējā tirgus informācijas ( IMI ) sistēmā tiek nodrošinātas personas tiesības un brīvības attiecībā uz personas datiem (turpmāk “datu aizsardzība”). IMI sistēma ir internetā izvietota droša un daudzvalodu informācijas apmaiņas sistēma, kas sniedz atbalstu dalībvalstīm administratīvās sadarbības pienākumu izpildē. Komisiju apmierina arī tas, kā tiek īstenots IMI sistēmai paredzētais Ieteikums par datu aizsardzības pamatnostādnēm. Dalībvalstis nav ziņojušas par kādām datu aizsardzības problēmām. Tas attaisno ar Eiropas Datu aizsardzības uzraudzītāju saskaņoto pakāpenisko pieeju IMI juridiskās sistēmas izveidē atbilstoši tehniskajai attīstībai un sistēmas paplašināšanai, ietverot tajā citas iekšējā tirgus tiesību aktu jomas. Komisija 2010. gadā izpētīs iespēju paplašināt IMI sistēmu, ietverot tajā citas iekšējā tirgus jomām, un iegūs lielāku sistēmas praktiskās lietošanas pieredzi pakalpojumu sfērā. 2011. gada pirmajā ceturksnī tiks publicēts Komisijas dienestu darba dokuments par IMI sistēmas darbību un attīstību 2010. gadā, un tajā tiks aplūkoti arī datu aizsardzības jautājumi. 2. ZIņOJUMA MēRķIS Šajā ziņojumā, par kuru paziņots Komisijas Ieteikumā par datu aizsardzības pamatnostādnēm Iekšējā tirgus informācijas sistēmai[1] (turpmāk “Ieteikums”), aplūkots, kā dalībvalstis un Komisija īsteno Ieteikumu, un novērtēts datu aizsardzības stāvoklis IMI sistēmā. Tas skar arī jaunus, Ieteikumā nerisinātus — īpaši jaunās Pakalpojumu direktīvas — jautājumus. Gatavojot ziņojumu, Komisija ņēma vērā dalībvalstu sniegtās atsauksmes, kas gūtas gan ad hoc aptaujā 2009. gada novembrī[2], gan regulāri sazinoties ar IMI sistēmas koordinatoriem un dalībvalstu pārstāvjiem IMAC-IMI (Iekšējā tirgus — IMI komitejas) sanāksmēs. 3. IMI SISēTMAS ATTīSTīBA 2009. GADā 2009. gads IMI sistēmas izstrādē bija izšķirošs. IMI sistēmas lietošana attiecībā uz tiesību aktiem profesionālo kvalifikāciju jomā tika paplašināta ar 20 jaunām profesijām, un lielākā daļa resursu tika veltīta IMI sistēmas paplašināšanai, lai ietvertu Pakalpojumu direktīvu[3]. Valstu IMI sistēmas koordinatori iesaistījās eksperimentālā projektā, daloties informācijā par Pakalpojumu direktīvu (pamatojoties uz reālām un izdomātām situācijām), un piedalījās mācību nodarbībās Briselē[4]. Komisija izlaida jaunu programmatūras versiju (1.7), lai nodrošinātu kompetento iestāžu pašreģistrāciju. Gada beigās tā izlaida arī pagaidu versiju 2.0, kurā iekļāva atsevišķu IT lietojumprogrammu[5] brīdinājumu mehānismam. Šis jaunais programmatūras laidums kļuva pilnībā funkcionāls 2010. gada pirmajā ceturksnī. Komisijas un dalībvalstu kopējā darba rezultātā līdz 2010. gada beigām IMI sistēmā bija reģistrētas 4 508 kompetentās iestādes, tostarp 3 698 no tām bija piekļuve jaunajai pakalpojumu jomai, lai gan tiek prognozēts, ka šis skaitlis dažu nākamo mēnešu laikā ievērojami pieaugs. Vidējais ikdienā sistēmā pieteikušos dažādu lietotāju skaits pieauga no 40 lietotājiem 2009. gada janvārī līdz 180 lietotājiem decembrī. Kopējais 2009. gadā nosūtīto pieprasījumu skaits ceturksnī un pa likumdošanas jomām [pic] Profesionālo kvalifikāciju jomā sistēma ir pilnībā izveidota, un tās neapšaubāmie panākumi apliecina IMI sistēmas kā ES administratīvās sadarbības rīka potenciālu. Vidēji ceturksnī nosūtīti 350 informācijas pieprasījumi. Vairāk nekā 90 % no 2009. gadā nosūtītajiem pieprasījumiem saistībā ar profesionālo kvalifikāciju ir saņemti no ES 15 dalībvalstīm, kas pievienojās ES līdz 2004. gadam, tādējādi atspoguļojot darbaspēka migrācijas virzienu. Polija un Rumānija saņēma 32 % no visiem informācijas pieprasījumiem. Novērtējot šos skaitļus, svarīgi ņemt vērā, ka uz 56 % no visiem pieprasījumiem atbilde tika sniegta nedēļas laikā. Pieprasījuma izpildei saskaņā ar Profesionālo kvalifikāciju direktīvu nepieciešamais laiks 2009. gadā Akceptētie pieprasījumi | % no kopskaita | Izpildītie pieprasījumi | % no kopskaita | 3 dienu laikā | 741 | 57,0 % | 518 | 43,0 % | 1 nedēļas laikā | 216 | 73,7 % | 167 | 56,8 % | 2 nedēļu laikā | 166 | 86,5 % | 170 | 71,0 % | 4 nedēļu laikā | 120 | 95,7 % | 164 | 84,6 % | 8 nedēļu laikā | 35 | 98,4 % | 106 | 93,4 % | Ilgāk nekā 8 nedēļās | 21 | 100,0 % | 80 | 100,0 % | Kopā: | 1299 | 1205 | (* Starpību starp akceptētajiem un izpildītajiem pieprasījumiem veido pieprasījumi, kas tika atcelti vai līdz 2009. gada decembra beigām vēl nebija izpildīti) 4. DATU AIZSARDZīBAS UZLABOšANA IMI SISTēMā, PAKāPENISKA PIEEJA IMI sistēmā ir ievērota tā sauktā “integrēta privātās dzīves aizsardzības” pieeja, saskaņā ar kuru datu aizsardzības jau sākotnēji ir ietverta sistēmās, kurās glabājas informācija. Datu aizsardzības apsvērumi ir ņemti vērā arī sistēmas ikdienas lietošanā un iekļauti mācību materiālos. Šāda pieeja ir plašāka par formālu vai teorētisku aizsardzību. Šāda pieeja šķiet lietderīga, jo neviena dalībvalsts nav ziņojusi par kādu datu aizsardzības incidentu IMI sistēmā, un no datu subjektiem nav saņemtas sūdzības. Komisija pēdējo divu gadu laikā ir iesaistījusies dialogā ar datu aizsardzības iestādēm un Eiropas Datu aizsardzības uzraudzītāju (EDAU). Pakāpeniskās pieejas galvenais princips ir šāds. Ņemot vērā, ka sistēma garantē augsta līmeņa tehnisku un procedurālu datu aizsardzību un Komisija ir stingri apņēmusies turpināt tās uzlabošanu, IMI juridiskajai sistēmai ir jāseko tehniskajai attīstībai un sistēmas paplašināšanai, ietverot tajā citas iekšējā tirgus tiesību aktu jomas. Pakāpeniskā pieeja, pamatojoties uz ierobežoto pieredzi darbā ar sistēmu, ļāva Komisijai atbildēt uz visām EDAU 2007. gada 12. decembra atzinumā paustajām bažas un pieņemt trīs juridiskus dokumentus, kuros risināti ar IMI sistēmu saistīti datu aizsardzības jautājumi: a) Eiropas Komisijas 2007. gada 12. decembra Lēmums par Iekšējā tirgus informācijas sistēmas ( IMI ) īstenošanu attiecībā uz personas datu aizsardzību[6]; b) Eiropas Komisijas 2009. gada 26. marta Ieteikums par datu aizsardzības pamatnostādnēm Iekšējā tirgus informācijas sistēmai ( IMI )[7]; c) Eiropas Komisijas 2009. gada 2. oktobra Lēmums, ar ko nosaka praktisko kārtību informācijas elektroniskai apmaiņai starp dalībvalstīm saskaņā ar VI nodaļu Eiropas Parlamenta un Padomes Direktīvā 2006/123/EK par pakalpojumiem iekšējā tirgū[8]. Šā ziņojuma 6. iedaļā ir iztirzāti dažādi citi jautājumi, kā arī turpmāko pasākumu saturs un īstenošanas grafiks, ietverot iespējamu juridiska instrumenta pieņemšanu. 5. KOMISIJAS IETEIKUMA īSTENOšANA 5.1. Dalībvalstu veiktie uzlabojumi 5.1.1. Sazināšanās ar datu aizsardzības iestādēm Ieteikumā IMI sistēmas valstu koordinatori tika rosināti “ sazināties ar valsts datu aizsardzības iestādēm, lai saņemtu norādes un palīdzību par labāko veidu, kā īstenot minētās pamatnostādnes saskaņā ar valsts tiesību aktiem ”. Ziņojumos Komisijai lielākā daļa dalībvalstu apliecināja, ka tās ir apspriedušās ar savas valsts datu aizsardzības iestādēm. Šīs apspriedes ir pārliecinājušas IMI sistēmas lietotājus, ka personas datu apmaiņa IMI sistēmā atbilstoši tiesību aktiem par datu aizsardzību ir iespējama, turklāt arī ļāvušas valstu regulatoriem izveidot darba attiecības ar valsts pārvaldes iestāžu pārstāvjiem, kuri augstu vērtē datu aizsardzību un ir apņēmušās sekmīgi īstenot šo Eiropas mēroga projektu. 5.1.2. Konfidencialitātes paziņojumi Ievērojot EDAU priekšlikumu, Ieteikumā pausts pamudinājums IMI sistēmas koordinatoriem apspriest privātuma aizsardzības paziņojuma saturu ar vietējām datu aizsardzības iestādēm. Šajā jautājumā Ieteikumu nebija iespējams izstrādāt ļoti konkrēti, jo, lai gan ar Datu aizsardzības direktīva ir pilnīgi saskaņota, dažu noteikumu ieviešanā dalībvalstīm ir piešķirta zināma rīcības brīvība. Dalībvalstu ziņojumi apstiprina, ka attiecībā uz privātuma aizsardzības paziņojumu saturu un veidu valstīs izmantotā prakse ir dažāda. Neliels dalībvalstu vairākums uzskata, ka par atbilstošo personām sniedzamās informācijas veidu un saturu jālemj katrai vietējai kompetentajai iestādei atbilstoši vietējiem tiesību aktiem. Dažas dalībvalstis — tieši pretēji — piedāvā pielāgojamu dalībvalsts mēroga modeli[9]. 5.1.3. Informētība un apmācība Viens no svarīgākajiem Ieteikuma sasniegumiem — tas nodrošināja vairāk informācijas par datu aizsardzības jautājumiem ar IMI sistēmu saistītajām personām un lietotājiem, kas tagad ir iepazinušies ar vispārējiem datu aizsardzības principiem, kā arī sniedza praktiskus priekšlikumus augsta līmeņa datu aizsardzības garantēšanai sistēmā IMI . Ieteikums sekmēja atsauču uz datu aizsardzības pamatnostādnēm iekļaušanu arī kompetentajām iestādēm izstrādātajos IMI sistēmas mācību materiālos. 5.2. Komisijas veiktie uzlabojumi 5.2.1. IMI sistēmas drošības plāns Datu drošību un konfidencialitāti regulē Komisijas 2006. gada 16. augusta Lēmums par Eiropas Komisijas lietoto informācijas sistēmu drošību[10]. Šis lēmums ir atjaunināts, iekļaujot tajā 2009. gadā pieņemtos īstenošanas noteikumus un jaunākās pamatnostādnes un standartus, kas būtībā atbilst starptautiskiem standartiem. Ir pārstrādāti un attiecīgi atjaunināti IMI sistēmas drošības pasākumi, kā arī 2009. gadā izstrādāts visaptverošs drošības plāns, kuru pārskatīs 2010. gadā. 5.2.2. Tehniskie uzlabojumi Ja informācijas apmaiņa ietver konfidenciālus datus, ekrānā ir redzams paziņojums, ka informācija ir konfidenciāla un ka lietas apstrādātājam šī informācija ir jāpieprasa tikai gadījumā, ja tā noteikti nepieciešama un ir tieši saistīta ar profesionālās darbības veikšanu vai attiecīgā pakalpojuma sniegšanu. Datu aizsardzības apsvērumi ir pilnīgi ņemti vērā arī jaunā brīdinājumu mehānisma izstrādē un ieviešanā (sk. 5.2.3.2. iedaļu turpmāk). Uzlabota arī IMI sistēmas tīmekļa vietne, lai lietotāji vieglāk varētu atrast attiecīgos dokumentus. Iedaļa par datu aizsardzību ir atjaunināta, iekļaujot tajā visus juridiskos dokumentus, kas attiecas uz datu aizsardzību[11], saraksti ar EDAU un sistēmā lietotās jautājumu kopas. Pārskatāmības nolūkā pēc Eiropas datu aizsardzības uzraudzītāja ierosinājuma ir identificēti tie jautājumi, kas attiecas uz konfidenciālu informāciju. 5.2.3. Pakalpojumu direktīvas jaunā likumdošanas joma 5.2.3.1. IMI sistēmas izmantošana Pakalpojumu direktīvai Pakalpojumu direktīvā nav konkrētas atsauces uz IMI sistēmu (bet tikai vispārīgā veidā uz elektronisku sistēmu informācijas apmaiņai). Tādēļ vajadzēja formāli noteikt, ka IMI sistēmu lietos šajā nolūkā. Tas tika izdarīts ar lēmumu[12], ko Komisija pieņēma saskaņā ar Pakalpojumu direktīvā paredzēto procedūru (“komitoloģijas lēmums”). Komitoloģijas lēmums nosaka praktisku kārtību, kas jāievēro IMI sistēmā apmainoties ar informāciju pakalpojumu jomā. Tas veicina sistēmas augsta līmeņa datu aizsardzību un sniedz papildu pārskatāmību un precizitāti vispārējiem noteikumiem, kas izriet no Lēmuma 2008/49/EK un Ieteikumā ietvertajām datu aizsardzības pamatnostādnēm. Tas ļauj vajadzības gadījumā par iespējamiem datu aizsardzības papildu mehānismiem lemt vēlāk, ņemot vērā pieredzi darbā ar sistēmu[13]. 5.2.3.2. Datu aizsardzībai draudzīga brīdinājumu mehānisma struktūra Brīdinājumu mehānisms ir Pakalpojumu direktīvas 29. panta 3. punktā un 32. pantā noteiktais brīdināšanas mehānisms, kas ir precēm paredzētās sistēmas RAPEX papildinājums. Tas palīdz novērst pakalpojumu radīto risku saņēmējiem. Brīdinājumu mehānisms ļauj dalībvalstīm ievērot juridiskās saistības apmainīties ar informāciju un tādējādi ir pilnīgi likumīgs no datu aizsardzības viedokļa. Tomēr Komisija apzinās šādas sistēmas iespējamo ietekmi uz datu aizsardzību. Tādēļ īpašu uzmanību Komisija ir pievērsusi tās struktūrai, nodrošinot, ka tā ir datu aizsardzībai draudzīga, un aicina par datu aizsardzību atbildīgās dalībvalstis būt modrām, nosūtot vai saņemot brīdinājumus, un piemērot noteikumus pareizi. Brīdinājumu mehānismā ir ietverti vairāki datu aizsardzības drošības līdzekļi, kas ir vispārējās IMI sistēmas funkcijas, kā arī vēl dažas īpašas funkcijas, kuru mērķis ir nodrošināt turpmāk norādīto. a) Piekļuve datiem ir atļauta tikai konkrētām kompetentām iestādēm/lietotājiem Saskaņā ar vispārējo pieeju IMI sistēmas lietošanā piekļuve brīdinājumiem ir stingri ierobežota atbilstīgi informācijas nepieciešamības principam. Kompetentās iestādes un IMI sistēmas lietotāji var piekļūt brīdinājumiem tikai tad, ja dalībvalstis tiem ir piešķīrušas ne tikai vispārīgas tiesības piekļūt sistēmai IMI , bet arī piekļuves tiesības īpašai brīdinājumu lietojumprogrammai. Ar noklusējuma iestatījumiem kompetentās iestādes un IMI sistēmas lietotāji nevar ne nosūtīt, ne saņemt brīdinājumus. Šī funkcija ir jāaktivizē atsevišķi. b) Netiek sūtīti nevajadzīgi brīdinājumi Brīdinājumu nevar nosūtīt, neaizpildot kontrolsarakstu, lai nodrošinātu, ka tas atbilst visiem kritērijiem, piemēram, ka pastāv nopietnas konkrētas darbības vai apstākļi, kuri saistīti ar pakalpojumu sniegšanu un var radīt nopietnu kaitējumu. Ja brīdinājumu ierosinošā iestāde neatzīmē visus attiecīgos kritērijus, sistēma neļauj turpināt brīdinājuma nosūtīšanas darbību. Turklāt brīdinājumu nenosūta citām dalībvalstīm tieši, bet vispirms to saņem tās pašas dalībvalsts brīdinājumu koordinators. Brīdinājumu koordinatoram vēlreiz jālemj par brīdinājuma nosūtīšanu citām dalībvalstīm. c) Brīdinājumus nosūta tikai tik saņēmējiem, cik nepieciešams, lai ievērotu tiesību aktos noteiktās prasības informācijai Nosūtot brīdinājumus citām dalībvalstīm, ierosinošajai iestādei un brīdinājumu koordinatoram jānovērtē, kurām dalībvalstīm brīdinājums jāsaņem. Ja dalībvalsts, kurā sniedz pakalpojumu, vēlas nosūtīt brīdinājumu, saskaņā ar noklusējuma iestatījumu brīdinājumu saņems tikai dalībvalsts, kurā ir dibināts pakalpojuma sniedzējs, un Komisija. Šāds noklusējuma iestatījums nodrošina, ka citu dalībvalstu pievienošanai saņēmēju sarakstam ir jāpieņem atsevišķs lēmums, pamatojoties uz informācijas nepieciešamību. Turklāt, nosūtot brīdinājumu citām dalībvalstīm, to nenosūta visām kompetentajām iestādēm saņemošajās dalībvalstīs, bet tikai uz ienākošo brīdinājumu pastkastīti (parasti valsts brīdinājumu koordinatoram). Saņēmējs izlemj, uz kurām kompetentām iestādēm dalībvalstī tas attiecas un kurām tas jāpārsūta. d) Saņemot Pakalpojumu direktīvā paredzētos brīdinājumus, Komisija negūst piekļuvi personu datiem Pakalpojumu direktīva paredz, ka Komisijai ir jānosūta visi brīdinājumi, tomēr atšķirībā no dalībvalstīm Komisijai nav nepieciešama piekļuve personu datiem. Tādējādi Komisija saņem brīdinājumus bez personu datiem. e) Ja, neraugoties uz piesardzības pasākumiem, tomēr tiek nosūtīti nepamatoti brīdinājumi, tos var ātri atcelt un dzēst vai labot nepareizos datus IMI sistēma ļauj kompetentai iestādei, kas nosūtījusi nepamatotu brīdinājumu, to nekavējoties atcelt, padarot to neredzamu visiem IMI lietotājiem. Ja brīdinājums ir nosūtīts pamatoti, bet atsevišķa informācija tajā ir jālabo, ierosinošā kompetentā iestāde to var darīt jebkurā laikā. Turklāt IMI sistēma ļauj arī citām kompetentajām iestādēm, kas saņēmušas brīdinājumu, norādīt, ka noteikta brīdinājumā sniegtās informācijas daļa ir nepareiza. f) Brīdinājumus slēdz, tiklīdz risks vairs nepastāv; dati nekavējoties kļūst neredzami visiem lietotājiem, un personu datus dzēš sešus mēnešus pēc slēgšanas Kad brīdinājumu izraisošais risks ir zudis, brīdinājums ir jāslēdz. Tādēļ IMI sistēma ļauj tai dalībvalstij, kurā pakalpojumu sniedzējs ir dibināts, slēgt brīdinājumu, un atbildīgajām iestādēm tiek nosūtītas e-pasta vēstules ar atgādinājumu. Kad brīdinājums ir slēgts, sistēmā tas vairs nav redzams. Vēlākais sešus mēnešus pēc slēgšanas visi personas dati tiek automātiski dzēsti un izņemti no sistēmas. 6. TURPMāK APSVERAMI JAUTāJUMI Lai gan vairums dalībvalstu pauda pozitīvu viedokli par datu aizsardzību IMI sistēmā, atsevišķas dalībvalstis iesniedza dažus jautājumus, kas aplūkoti šajā ziņojuma iedaļā. 6.1. Piemērojamie noteikumi par datu drošību un konfidencialitāti Personas datu apstrāde IMI sistēmā ietver datu kopīgu apstrādi (starp Komisiju un dalībvalstīm), kopīgu kontroli (starp dažādiem lietotājiem un iesaistītajām personām) un kopīgu uzraudzību (starp valstu datu aizsardzības iestādēm un EDAU). Šādā sarežģītā struktūrā atbildību ne vienmēr ir viegli sadalīt. Dānijas un Vācijas datu aizsardzības iestādes uzskata — tā kā viņu valstī esošajām kompetentajām iestādēm jāievēro noteiktas valsts prasības (piemēram, stingrāks autentificēšanas mehānisms, nekā norādīts nākamajā iedaļā), tām jāpieprasa, lai IMI ievēro šīs valsts prasības vai pārstāj lietot sistēmu. Kompetentās iestādes nosūtīja šīs prasības Komisijai, kas ir atbildīga par sistēmas drošību. Komisija uzskata, ka IMI ir droša sistēma un ka tāds Eiropas mēroga tīkls kā IMI sistēma vienkārši nevarēs darboties, ja katra dalībvalsts pieprasīs ievērot savas valsts drošības standartus. Datu aizsardzības direktīvas pieņemšanai pirms gandrīz divdesmit gadiem bija divējāds mērķis, proti, no vienas puses aizsargāt pamattiesības uz datu aizsardzību un no otras puses — garantēt brīvu personas datu apriti starp dalībvalstīm un arī starp dalībvalstīm un ES iestādēm[14]. Tādēļ Komisija stingri pieturas pie uzskata, ka, ņemot vērā augsta līmeņa garantijas attiecībā uz datu aizsardzību IMI sistēmā un Eiropas Savienības dibināšanas līguma 4. panta 3. punktā ietverto atklātas sadarbības principu, atsevišķu valstu datu aizsardzības iestādes nedrīkst kompetentajām valstu iestādēm radīt šķēršļus sistēmas lietošanā. 6.2. Virzība uz stingrākiem autentificēšanas noteikumiem IMI sistēmā IMI autentificēšanas sistēma ir uzlabota vienfaktora autentiskuma apstiprināšanas versija, jo tajā lietotāja vārds un parole ir apvienota ar personas identifikācijas numuru ( PIN ). Mēģinot piekļūt sistēmai, lietotāju lūdz ievadīt nejauši izraudzītu rakstzīmju kombināciju no PIN koda. Vācijas un Dānijas datu aizsardzības iestādes ir izteikušas bažas par IMI autentificēšanas sistēmu. Komisija uzskata, ka pašreizējais autentificēšanas mehānisms ir atbilstošs, ņemot vērā tā pašreizējo pilnveides līmeni un ieviešanas izmaksas, tomēr piekrīt, ka ilgtermiņā vēlams ieviest stingrāku autentificēšanas sistēmu. Tā kā dalībvalstīs ir ieviestas atšķirīgas autentificēšanas sistēmas, kas ne vienmēr ir savietojamas, ieteicamais risinājums stingrākas autentificēšanas ieviešanai IMI sistēmā varētu būt e-identitātes programma, ko pārvalda dalībvalstu līmenī un kuras sadarbspēju nodrošina ar “starpprogrammatūras” palīdzību. Viena no iespējām ir projekts STORK , ko pašlaik izstrādā konsorcijs, kurā piedalās dažas dalībvalstis, un ko finansē no IKT politikas atbalsta programmas Konkurētspējas un jauninājumu pamatprogrammas līdzekļiem. Turpmāko mēnešu gaitā Komisija rūpīgi sekos tā attīstībai, kas būs izšķiroša, lai lemtu par tā izmantojumu IMI sistēmā. Turpmākas atsauces uz datu drošību ir sniegtas 7.2. iedaļā. 6.3. Datu saglabāšana Datu saglabāšanas politika IMI sistēmā ir ļoti stingra[15], un dažas iesaistītās personas un lietotāji ir norādījuši, ka tā būtu jāpārskata. Ātra personas datu dzēšana sistēmā ne vienmēr atbilst tā datu subjekta interesēm, kas, iespējams, vēlētos saglabāt savus datus IMI sistēmā ilgāku laiku, piemēram, saistībā ar tiesvedību. Nesen pieņemtā nolēmumā[16] Eiropas Kopienu Tiesa konstatēja, ka informācijas piekļuves tiesības[17] attiecas ne tikai uz pašreizējiem datiem, bet arī uz senāk glabātiem datiem. Tādēļ Tiesa uzskata, ka piekļuves ierobežošana, dzēšot attiecīgos datus, var būt pretlikumīga, ja nav iespējams uzskatāmi pierādīt, ka ilgāka informācijas glabāšana var radīt pārmērīgu slogu datu apstrādātājam. Komisija neuzskata, ka personas informācijas glabāšana IMI sistēmā ilgāku laiku radīs pārmērīgu slogu, un tādēļ tā plāno apsvērt ilgāku glabāšanas periodu, kurā varētu iekļaut arī pārejas posmu, kura laikā dati uz laiku tiek bloķēti un padarīti neredzami visiem lietotājiem, pirms tie tiek galīgi dzēsti. Iespējamā bloķēšanas politikas ietekme, tostarp jautājums par to, kam un kādiem mērķiem varētu piešķirt pieeju bloķētajiem datiem, tiks rūpīgi analizēta. Šis ir labs piemērs tam, ka pirms lēmuma pieņemšanas par IMI sistēmas darbības noteikumiem juridiski saistošā instrumentā viss ir ļoti rūpīgi jāapsver. Svarīgi, lai Komisija un dalībvalstis, garantējot labu datu aizsardzības darbību un datu aizsardzības iestāžu iesaistīšanos šajā procesā, gūtu arī labumu no pietiekamas pieredzes darbā ar sistēmu un izvairītos no neefektīvu vai pat pretēju efektu izraisošu noteikumu pieņemšanas par datu aizsardzību. 6.4. IMI sistēmas lietošana valstu mērogā Pakalpojumu direktīvas transponēšanā Nīderlandē IMI sistēmas lietošana ir paredzēta arī valsts vajadzībām, t.i., informācijas apmaiņai arī starp Nīderlandes pārvaldes iestādēm. Eiropas Komisija atzinīgi vērtē šādu pieeju, kas demonstrē IMI sistēmas lietošanas iespējas pārvaldes iestāžu līmenī. Tomēr IMI sistēmas lietošana valsts mērogā dalībvalstīs ir pakļauta šādiem trim nosacījumiem: a) personu datu apstrāde un informācijas glabāšana Komisijas serveros attiecīgās valsts tiesību aktos ir atzīta par likumīgu; b) sistēmu lieto, neko tajā nemainot, izmantojot esošos jautājumu kopumus un funkcionālās iespējas; un c) attiecīgā dalībvalsts uzņemas pilnu atbildību par visām problēmām (datu aizsardzības un citām), kas saistītas ar sistēmas lietošanu valsts mērķiem. Tādēļ, ja dalībvalstis ir ieinteresētas IMI sistēmas lietošanā valsts mērogā, tām ir ieteicams vispirms apspriesties ar savas valsts datu aizsardzības iestādēm un pēc tam sazināties ar Komisiju, lai pārrunātu šo jautājumu un pārliecinātos, ka šādā gadījumā nerodas problēmas no datu aizsardzības tiesību aktu viedokļa. 6.5. Konkrēti datu aizsardzības pasākumi saistošajos Kopienas tiesību aktos EDAU 2007. gada 12. decembra atzinumā un vēstuļu apmaiņā ar Komisiju aicināja ES tiesību aktos noteikt konkrētus juridiski saistošus datu aizsardzības pasākumus, jo IMI sistēmas lietošanas joma paplašinās, pārsniedzot Pakalpojumu direktīvas un Profesionālo kvalifikāciju direktīvas robežas. Vācijas datu aizsardzības iestādes ir izteikušas līdzīgu viedokli. Komisija jaunajā sastāvā 2010. gadā no jauna izvērtēs vienotā tirgus darbību un iespējamo IMI sistēmas ieguldījuma palielināšanu iekšējā tirgus tiesību aktu ieviešanā dalībvalstīs. Līdz ar to tā apsvērs, kādas politikas jomas vēl būtu ieguvējas IMI sistēmas lietošanas rezultātā. Jau ir ieviesta ievērojama datu aizsardzības pasākumu pakete, un no dalībvalstīm saņemtās atsauksmes ir pozitīvas. Tādēļ Komisija uzskata, ka nebūtu prātīgi virzīt likumdošanas priekšlikumu, pirms ir definēta IMI sistēmas piemērošanas joma un pirms gūta pieredze no sistēmas praktiskas lietošanas pakalpojumu sfērā. Visiem turpmākiem priekšlikumiem labi jāiekļaujas šajā izstrādē, lai nodrošinātu stabilu, nākotnesdrošu pamatu IMI sistēmai un datu aizsardzībai. Pagaidām Komisija turpinās uzlabot datu aizsardzību IMI sistēmā, cieši sadarbojoties ar dalībvalstīm un EDAU, kā aprakstīts turpmāk. 7. TURPMāKIE UZLABOJUMI 7.1. Tehniski uzlabojumi Turpmākajā programmatūras laidumā tiks iekļauti automātiskie atgādinājumi un steidzamie saraksti atbilžu akceptēšanai (lai pieprasījumi nebūtu atvērti ilgāk, kā nepieciešams). Attiecībā uz tiešsaistes datu labošanas, bloķēšanas vai dzēšanas procedūru Komisija uzskata — tā kā līdz šim nav bijis pieprasījumu un ir maz ticams, ka arī turpmāk tādu būs daudz, piemērotāk būtu ieviest atvieglotu procedūru, ko ar Komisijas datu aizsardzības inspektora un EDAU palīdzību atbilstoši dokumentēs. 7.2. Datu drošība Saskaņā ar Komisijas nesen pieņemtajām jaunajām pamatnostādnēm un standartiem 2010. gadā Komisija veiks jaunu IMI sistēmas risku novērtējumu un atbilstoši atjauninās drošības plānu, identificējot sistēmas daļas, kas jāizvērtē, iespējamos draudus un nepieciešamos infrastruktūras un programmnodrošinājuma pasākumus. Ja risku novērtējumā tiks atklāta nepieciešamība ieviest papildu drošības pasākumus, šos pasākumus pakāpeniski iekļaus turpmākajos programmatūras laidumos. 2011. gada sākumā tiks veikta arī ārējā revīzija, kurā galveno uzmanību pievērsīs sistēmas veiktspējai un stabilitātei, bet var iekļaut arī dažus datu aizsardzības un drošības jautājumus. 7.3. Profesionālo kvalifikāciju direktīvas pārskatīšana Profesionālo kvalifikāciju direktīvas izvērtēšana tiks veikta 2010.–2011. gadā. Izvērtējumā tiks ietverts administratīvās sadarbības un IMI sistēmas lietošanas novērtējums, tostarp datu aizsardzības jautājumi. 8. SECINāJUMI Komisija ir apmierināta ar Ieteikuma īstenošanu un datu aizsardzības stāvokli IMI sistēmā. Tomēr tā turpinās darbu pie turpmākiem sistēmas uzlabojumiem, jo īpaši tehniskiem un datu drošības pilnveidojumiem. Komisija plāno izpētīt arī iespēju paplašināt IMI sistēmas lietojumu, aptverot citas iekšējā tirgus jomas, vienlaikus gūstot labumu no turpmākās praktiskās pieredzes darbā ar sistēmu pakalpojumu jomā. Visi turpmākie ES likumdošanas priekšlikumi tiks izstrādāti, ņemot vērā minēto virzību un apsvērumus, lai nodrošinātu stingru un nākotnesdrošu pamatu IMI sistēmai un datu aizsardzībai. Komisijas dienestu darba dokuments par IMI sistēmas darbību un pilnveidi 2010. gadā tiks publicēts 2011. gada pirmajā ceturksnī. Šajā ziņojumā būs ietverti arī datu aizsardzības jautājumi. [1] C(2009) 2041 galīgā redakcija. OV L 100, 18.4.2009., 12.–28. lpp. [2] Aptaujā uz turpmāk norādītajiem jautājumiem atbildes sniedza septiņpadsmit dalībvalstis.- Vai esat sazinājušies ar savas valsts datu aizsardzības iestādi? Vai tā ir izteikusi viedokli par pamatnostādņu īstenošanu valstī?- Vai ir ieviests vispārējs privātuma aizsardzības paziņojums visiem IMI lietotājiem vai arī to lokāli īsteno kompetentās iestādes?- Vai kompetentajām iestādēm ir radušās ar datu aizsardzību saistītas problēmas, nosūtot vai atbildot uz informācijas pieprasījumiem IMI ?- Vai kompetentās iestādes ir ziņojušas par kādām problēmām, risinot jautājumus par ierakstiem sodāmības reģistrā?- Vai kompetentās iestādes ir saņēmušas datu subjektu lūgumu piekļūt datiem, dzēst vai labot tos?- Vai kompetentās iestādes ir informētas par iespēju dzēst personas datus no sistēmas pirms termiņa? Vai tās šo iespēju izmanto?- Vai datu aizsardzības tēma ir iekļauta IMI sistēmas apmācību nodarbībās? [3] Eiropas Parlamenta un Padomes 2006. gada 12. decembra Direktīva 2006/123/EK par pakalpojumiem iekšējā tirgū, OV 376, 27.12.2006., 36.–68. lpp. [4] 2009. gadā Komisija Briselē organizēja trīs vienas dienas mācību nodarbības IMI koordinatoriem, katru reizi nodrošinot ēdināšanu aptuveni 60 dalībniekiem. Dalībvalstīs minētajā gadā kompetentajām iestādēm vietējā, reģionālā un valsts līmenī kopumā organizēja vairāk nekā 100 mācību pasākumus. [5] Sk. Pakalpojumu direktīvas 32. pantu. [6] C(2007) 6306, OV L 13, 16.1.2008., 13.-23. lpp. [7] C(2009) 2041 galīgā redakcija, OV L 100, 18.4.2009., 12.-28. lpp. [8] C(2009) 7493, OV L 263, 7.10.2009., 32.-34. lpp. [9] Labs nacionālā modeļa piemērs, kas ir izstrādāts ar valsts datu aizsardzības atbildīgās iestādes tehnisko atbalstu, ir Spānijas IMI darba grupas izstrādātais slepenības paziņojums ( cláusula de privacidad ):http://www.mpt.es/documentacion/sistema_IMI/documentos/protec_datos/ClausulaIMI_ES/document_es/Clausula_IMI.pdf. [10] C(2006) 3602. [11] http://ec.europa.eu/internal_market/imi-net/data_protection_en.html [12] Eiropas Komisijas 2009. gada 2. oktobra Lēmums, ar ko nosaka praktisko kārtību informācijas elektroniskai apmaiņai starp dalībvalstīm saskaņā ar VI nodaļu Eiropas Parlamenta un Padomes Direktīvā 2006/123/EK par pakalpojumiem iekšējā tirgū. [13] Sk. Ieteikuma 13. nodaļas apakšpunkta “Nepabeigtais darbs” d) punktu. [14] Šis princips ir skaidri izklāstīts Datu aizsardzības direktīvas 1. panta 2. punktā un Datu aizsardzības regulas 1. panta 1. punktā un 13. apsvērumā: “Mērķis ir nodrošināt personu pamattiesību un brīvību aizsardzības noteikumu efektīvu ievērošanu un personas datu brīvu apriti starp dalībvalstīm un Kopienas iestādēm un struktūrām vai starp Kopienas iestādēm un struktūrām nolūkos, kas ir saistīti ar to darbību atbilstīgi savai kompetencei”. [15] Personas datu pirmstermiņa dzēšana ir iespējama vienkārši ar pāris klikšķiem, un jebkurā gadījumā visi personas dati tiek automātiski dzēsti sešus mēnešus pēc informācijas pieprasījuma slēgšanas. [16] C-553/07, Rotterdam pret Rijkeboer . [17] Sk. Direktīvas 95/46/EK 12. panta a) punktu.