LV Eiropas Savienības Oficiālais Vēstnesis C 101/1

Eiropas datu aizsardzības uzraudzītāja atzinums saistībā ar Komisijas paziņojumu Eiropas Parlamentam, Padomei, Eiropas Ekonomikas un sociālo lietu komitejai un Reģionu komitejai par radiofrekvenču identifikāciju (Radio Frequency Identification — RFID) Eiropā — ceļā uz politikas izstrādi COM(2007) 96

(2008/C 101/01)

EIROPAS DATU AIZSARDZĪBAS UZRAUDZĪTĀJS,

ņemot vērā Eiropas Kopienas dibināšanas līgumu un jo īpaši tā 286. pantu,

ņemot vērā Eiropas Savienības Pamattiesību hartu un jo īpaši tās 8. pantu,

ņemot vērā Eiropas Parlamenta un Padomes Direktīvu 95/46/EK (1995. gada 24. oktobris) par personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti,

ņemot vērā Eiropas Parlamenta un Padomes Direktīvu 2002/58/EK (2002. gada 12. jūlijs) par personas datu apstrādi un privātās dzīves aizsardzību elektronisko komunikāciju nozarē,

ņemot vērā Eiropas Parlamenta un Padomes Regulu (EK) Nr. 45/2001 (2000. gada 18. decembris) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi Kopienas iestādēs un struktūrās un par šādu datu brīvu apriti un jo īpaši tās 41. pantu,

IR PIEŅĒMIS ŠO ATZINUMU.

I. IEVADS

1. Komisija 2007. gada 15. martā pieņēma paziņojumu par radiofrekvenču identifikāciju (Radio Frequency Identification — RFID) — ceļā uz politikas izstrādi (1) (še turpmāk “paziņojums”). Saskaņā ar Regulas (EK) Nr. 45/2001 41. pantu, EDAU ir atbildīgs par Kopienas iestāžu un struktūru konsultēšanu visos jautājumos, kas ir saistīti ar personu datu apstrādi. Ievērojot minēto pantu, EDAU nāk klajā ar šo atzinumu.

2. Šis atzinums ir jāuzskata par EDAU reakciju uz paziņojumu, kā arī uz citām, pēc paziņojuma pieņemšanas veiktām darbībām radiofrekvenču identifikācijas jomā. Pie citām attiecīgām darbībām, kas ir ņemtas vērā šajā atzinumā, pieder: — Komisijas 2007. gada 28. jūnija lēmums, ar ko izveido radiofrekvenču identifikācijas ekspertu grupu (Expert Group on Radio Frequency Identification) (2), kas ir tiešas paziņojuma sekas. Grupu dēvē arī par radiofrekvenču identifikācijā ieinteresēto personu grupu (RFID-Stakeholders Group). Saskaņā ar lēmuma 4. panta 4. punkta b) apakšpunktu EDAU piedalās grupas darbībā kā novērotājs. — Padomes 2007. gada 22. marta rezolūcija par drošas Eiropas informācijas sabiedrības stratēģiju (strategy for a secure Information society in Europe) (3). — Eiropas Parlamenta ierosinātais projekts “Radiofrekvenču identifikācija un identitātes aizsardzība” (4). — 29. panta datu aizsardzības darba grupas 2007. gada jūnijā pieņemtais atzinums Nr. 4/2007 par personas datu jēdzienu (5). — Komisijas paziņojums Eiropas Parlamentam un Padomei par pasākumiem, kas veikti saskaņā ar darba programmu labākai datu aizsardzības direktīvas īstenošanai (6), un EDAU 2007. gada 25. jūlija atzinums par minēto paziņojumu (7). — Komisijas pieņemtais projekts direktīvai, ar ko (inter alia) groza Direktīvu 2002/58/EK par personas datu apstrādi un privātās dzīves aizsardzību elektronisko komunikāciju nozarē (8).

3. EDAU sveic Komisijas paziņojumu par radiofrekvenču identifikāciju, jo tajā ir aplūkotas galvenās problēmas, kas rodas radiofrekvenču identifikācijas tehnoloģiju izvēršanas sakarā, reizē neaizmirstot svarīgākās ar privātumu un datu aizsardzību saistītās problēmas. Paziņojumam ir palīdzējuši konsekventi un rūpīgi sagatavošanās darbi. Patiesi, pirms šā paziņojuma ir notikuši pieci Komisijas pasūtīti tematiski semināri, kā arī atklātas, tiešsaistē notikušas konsultācijas (9) ar sabiedrību.

4. EDAU piekrīt viedoklim, ka radiofrekvenču identifikācijas sistēmām varētu būt svarīga vieta, izvēršot informācijas sabiedrību, ko dažkārt dēvē par “lietu internetu”, un viņš arī pilnībā piekrīt paziņojuma 3.2. punktā paustajām bažām, ka radiofrekvenču identifikācijas sistēmas var apdraudēt indivīdu privātumu un datu aizsardzības tiesības. Patiesi, EDAU 2005. gada pārskatā norādīja, ka radiofrekvenču identifikācija līdz ar biometriju (biometrics), inteliģentām vidēm (ambient intelligence environments) un identitātes kontroles sistēmām (Identity Management Systems) ir tehnoloģiski jauninājumi, kas, paredzams, ļoti ietekmēs datu aizsardzību.

5. EDAU ir pārliecināts, ka radiofrekvenču identifikācijas tehnoloģiju apguvi un plašu to pieņemšanu nodrošinās ne tikai to ērtības pievilcība vai piedāvātie jaunie pakalpojumi, bet to atvieglinās arī labi izstrādātu un konsekventu datu aizsardzības elementu radītie ieguvumi.

6. Īsumā — EDAU atzīst radiofrekvenču identifikācijas tehnoloģijas par būtiski jaunu tehnoloģijas attīstības pakāpi, kas Komisijas paziņojumā ir pelnīti raksturota kā vārti uz jaunu informācijas sabiedrības attīstības fāzi.

7. Jaunā pakāpe rada svarīgus jautājumus dažādās jomās, no kurām viena joma ir datu aizsardzība un privātums. Šajā EDAU atzinumā būs aplūkots tikai šis aspekts.

II. ATZINUMA GALVENAIS UZSVARS

8. Šajā atzinumā galvenais uzsvars ir likts uz iespējamām sekām, ko minētie jauninājumi var radīt datu aizsardzībai un privātumam. Pašlaik sekas nav skaidras arī tāpēc, ka radiofrekvenču identifikācijas sistēmu izstrāde un apguve tagad notiek pilnā sparā, un nekādi nav zināms, ar ko tā beigsies.

9. To ņemot vērā, EDAU pieeja ir šāda: — Pirmkārt, ir jānoskaidro, kādas būs radiofrekvenču identifikācijas sistēmu izvēršanas praktiskās sekas datu aizsardzībai un privātumam. — Otrkārt, sekas ir jākonkretizē, ņemot vērā esošo datu aizsardzības un privātuma tiesisko regulējumu. — Treškārt, EDAU pievēršas jautājumam, vai minētās sekas prasa īpašākus noteikumus, lai risinātu datu aizsardzības problēmas, ko rada radiofrekvenču identifikācijas tehnoloģiju lietojums. EDAU bija jau izvirzījis šo problēmu atzinumā, kas bija izstrādāts saistībā ar paziņojumu par datu aizsardzības direktīvu, un šajā atzinumā tai pievērsīsies rūpīgāk.

10. Ar šādu pieeju EDAU tiecas izvērst domu, lai, konstruējot un apgūstot radiofrekvenču identifikācijas sistēmas, būtu ņemtas vērā pamatotas datu aizsardzības un privātuma intereses.

III. RADIOFREKVENČU IDENTIFIKĀCIJAS SISTĒMU IZVĒRŠANAS SEKAS

Radiofrekvenču identifikācijas sistēmas un birkas

11. Kaut arī — kā jau teikts — notikumi rit savu gaitu un iznākums nav zināms, ir viegli aprakstīt šo notikumu pamatiezīmes no viedokļa, kā tie ietekmē datu aizsardzību.

12. Izvērtējot iespējamus radiofrekvenču identifikācijas tehnoloģijas datu aizsardzības un privātuma aspektus, ļoti svarīgi ir aplūkot ne tikai radiofrekvenču identifikācijas birkas, bet arī visu radiofrekvenču identifikācijas infrastruktūru: birkas, birku lasītājus, tīklu, atsauces datu bāzi un datu bāzi, kur glabājas birkas un birku lasītāja sastatījumā iegūtie dati. Paziņojuma sākumā jau īsi norādīts, ka radiofrekvenču identifikācija nav tikai elektroniskas birkas, tālab datu aizsardzības jautājumi neaprobežosies tikai ar birkām, bet attieksies uz visām radiofrekvenču identifikācijas infrastruktūras daļām. Patiesi, vajadzības brīdī katram tās elementam ir nozīme, īstenojot Eiropas datu aizsardzības tiesisko regulējumu. Tos stimulēs svarīgākās tendences topošajā informācijas sabiedrībā, piemēram, gandrīz neierobežots joslas platums, visur esoši tīkla savienojumi un bezgalīga datu uzglabāšanas iekārtu ietilpība.

Radiofrekvenču identifikācijas sistēmu un birku radītās sekas

13. Kaut arī ir vajadzīga plašāka pieeja, kā uzsvērts iepriekšējā punktā, dažādi iemesli liek vispirms pievērsties radiofrekvenču identifikācijas lietojumam priekšmetu līmenī, piemēram, mazumtirdzniecībā piestiprinot birkas patēriņa precēm. Nav šaubu, ka ir paredzams — radiofrekvenču identifikāciju lietos aizvien vairāk — un tas, šķiet, nozīmē soli pretim lietojumam ļoti daudzās jomās. Atšķirībā no citiem radiofrekvenču identifikācijas lietojumiem, kas ir šaurāki vai aprobežojas ar konkrētu jomu, birku piestiprināšanai priekšmetu līmenī ir izredzes kļūt par masveidīgu tirgus parādību. Radiofrekvenču identifikācijas birkas jau tagad piestiprina daudzām patēriņa precēm. Ar to ir saistīts tas, ka to lietojums ietekmēs ļoti daudzus cilvēkus, kuru personas datus droši vien apstrādās ik reizi, kad viņi pirks kādu preci ar iestrādātu radiofrekvenču identifikācijas birku.

14. Īpaša uzmanība būtu jāpievērš sekām, ko lietu īpašniekiem radīs tām piestiprinātās radiofrekvenču identifikācijas birkas. Radiofrekvenču identifikācijas sistēmas varētu mākslīgi paplašināt lietu īpašnieku attiecības ar lietām. Kad minētās attiecības ir paplašinātas, īpašnieka datus var caurskatīt un viņu klasificēt kā “cilvēku ar mazu budžetu” vai “pievilcīgu mērķi” turpmākiem darījumiem; pārliecīga konkrētu datu piesaiste (one-to-one attribution) (10) var likt viņu “automātiski sodīt par konkrētu uzvedību” (uzlikt pienākumu nodot pārstrādei otrreizējas izejvielas, atkritumus, utt.). Indivīdus nevajadzētu pakļaut nelabvēlīgiem automatizēti pieņemtiem lēmumiem. Šī radiofrekvenču identifikācijas spēja darbojas kā katalizators, palielinot iespējamību, ka informācijas sabiedrībā drīz pienāks stāvoklis, kurā lēmumus pieņems automatizēti un kurā tehnoloģiju ļaunprātīgi izmantos, lai regulētu cilvēku uzvedību.

15. Dati, kas glabājas radiofrekvenču identifikācijas birkā vai ko tā rada, var būt personas dati, kā definēts datu aizsardzības direktīvas 2. pantā. Piemēram, ceļojumos izmantotās viedkartēs var būt identifikācijas informācija, kā arī informācija par dokumenta turētāja jaunākajiem ceļojumiem. Ja negodīgs cilvēks gribētu izsekot citus, pietiktu pareizi izvietot birku lasītājus, un tie informētu par karšu turētāju pārvietošanos, tādējādi ielaužoties viņu privātajā dzīvē un informācijā par konkrēto personu.

16. Līdzīgi privātuma apdraudējumi ir iespējami pat tad, ja radiofrekvenču identifikācijas birkās glabātajā informācijā nav cilvēku vārdu. Pie patēriņa precēm pievienotās radiofrekvenču identifikācijas birkās ir unikāli identitātes dati (ID) — un, ja katrā birkā ir unikāli identitātes dati, to identifikāciju var izmantot novērošanā. Piemēram, ja kāds valkā pulksteni, kam ir radiofrekvenču identifikācijas birka ar ID numuru, tas var arī noderēt par unikālu pulksteņa valkātāja identifikatoru, kaut arī viņa identitāte nebūtu zināma. Atkarībā no tā, kā informāciju lieto un kā to sastata ar pašu pulksteni vai cilvēku, direktīva varētu būtu vai nu piemērojama, vai ne. Direktīva būtu piemērojama, piemēram, ja tiktu iegūta tāda informācija par cilvēku atrašanās vietu, kuru varētu izmantot, lai uzraudzītu šo cilvēku uzvedību, vai, piemēram, lai diferencētu cenas, liegtu cilvēkiem kādu piekļuvi vai arī sūtītu viņiem reklāmu pret viņu gribu.

17. Tādā sakarā jānodrošina, lai radiofrekvenču identifikāciju lietotu līdz ar tehnoloģijas pasākumiem, kas ir vajadzīgi, lai mazinātu iespējamību, ka informāciju var negribot atklāt. Pie tādiem pasākumiem var piederēt prasība radiofrekvenču identifikācijas infrastruktūru, konkrēti radiofrekvenču identifikācijas birkas, konstruēt tā, lai novērstu tādu iespējamību. Piemēram, var lietot tādas radiofrekvenču identifikācijas birkas, kas reaģē uz deaktivācijas komandu (“kill command”) un kuras var atslēgt. Tāda iespējamība būs sīkāk izskatīta šā atzinuma IV nodaļā.

18. Tā kā radiofrekvenču identifikācijas sistēmas ļauj izsekot preces pēc pārdošanas, ir radušās jaunas problēmas debatēs par privātumu. Patiesi, analizējot to sekas, būs jāņem vērā divi elementi: par cik ļoti personisku ir uzskatāms attiecīgais priekšmets un kāda ir tā mobilitāte (11).

19. Vajadzīgajā riska analīzē priekšmeta kalpošanas laiks arī varētu būt papildu faktors, kas var palīdzēt kvantitatīvi analizēt potenciālus privātuma apdraudējumus. Ņemot vērā, ka birkas varbūt neatslēgs, ar galalietotājiem domātām precēm, kam ir ilgs kalpošanas laiks, varēs no preces īpašnieka savākt vairāk saistītu datu un sastādīt krietni precīzāku profilu. No otras puses, īss priekšmeta, piemēram, limonādes bundžas, kalpošanas laiks no ražošanas līdz pārstrādes stadijai var radīt mazākus draudus, un tālab pasākumi varētu būt vieglāki nekā precēm, kam kalpošanas laiks ir daudz ilgāks.

Radiofrekvenču identifikācijas sistēmu izvietošanas radītas privātuma un datu aizsardzības problēmas

20. Lai labāk izprastu sekas, ko radiofrekvenču identifikācijas sistēmas rada privātumam un datu aizsardzībai, var nošķirt piecus galvenos privātuma un drošības jautājumus.

21. Pirmā problēma ir datu subjekta identifikācija. Vairāk nekā pirms sešdesmit gadiem radiofrekvenču identifikācijas birku uzdevums bija “identificēt — vai tuvojas draugs vai ienaidnieks (“Identify the Friend or Foe”)”. Tagad radiofrekvenču identifikācijas sistēmas var ne tikai identificēt vispārējus kāda priekšmeta elementus, bet arī var galu galā ļaut identificēt konkrētas personas, un tālab tas jādara datu aizsardzībai draudzīgi.

22. Otrā problēma ir datu apstrādātāja(-u) identifikācija. Radiofrekvenču identifikācijas sistēmu gadījumā identificēt datu apstrādātāju, kā definēts datu aizsardzības direktīvas 2. panta d) punktā, varētu būt grūtāk, un tālab tas ir rūpīgāk jāanalizē. Tomēr identificēt datu apstrādātāju joprojām ir būtiski svarīgs pasākums, nosakot pienākumus katram attiecīgam darbību veicējam, kam vajadzēs ievērot datu aizsardzības tiesisko regulējumu. Birkas kalpošanas laikā datu apstrādātāji, kas apstrādā datus, vairākkārt varētu mainīties — atkarībā no papildu pakalpojumiem, ko var sniegt saistībā ar priekšmetu, kam piestiprināta birka.

23. Trešā problēma ir tāda, ka aizvien mazāka nozīme ir ierastajam personiskās un sabiedriskās jomas nošķīrumam. Kaut arī personiskās un sabiedriskās jomas nošķīrums arī pagātnē ne vienmēr ir bijis skaidrs, lielākā daļa cilvēku apzinās savstarpējās robežas (un pelēko zonu robežas), un pieņem informētus vai intuitīvus lēmumus, kā attiecīgi rīkoties. Saskaņā ar Hall viedokli (12) personisko telpu parasti izprot kā fizisku attālumu no pārējiem. Privātuma regulāciju var uzskatīt arī par dinamisku robežu nospraušanu (13). Tālab nav brīnums, ka birku saziņa, izmantojot radioviļņus, kā arī iespējamība tās lasīt ārpus tiešas redzamības loka, rada problēmas privātumam, jo noārda ierastās robežas un to regulāciju. Patiesi, pastāv bažas, ka cilvēki daļēji vai pilnībā var zaudēt kontroli pār spējām personiskai telpai novilkt robežas, ko līdz šim ir varējuši. Tāpēc arī pirmo radiofrekvenču identifikācijas sistēmu lasījuma diapazons ir izpelnījies uzbrukumus gan no to atbalstītājiem, gan noliedzējiem.

24. Ceturtā problēma ir saistīta ar radiofrekvenču identifikācijas birku lielumu un fiziskām īpašībām. Tā kā birkām noteikti jābūt mazām un lētām, drošības pasākumi, ko varētu izvērst no šī radiofrekvenču identifikācijas sistēmu aspekta, apjoma ziņā noteikti būs ierobežoti. Tomēr arī tas saziņas aspekts, ka tajā izmanto radioviļņus, nevis saziņu pa vadiem, rada veselu grupu apdraudējumu, un tālab ir jāizvirza papildu drošības prasības.

25. Piektā problēma ir nepietiekama datu apstrādes pārskatāmība. Radiofrekvenču identifikācijas sistēmu izmantojums var ļaut nemanāmi vākt un apstrādāt informāciju, ko var izmantot konkrētu personu profilu izstrādei. Tādas sekas var labi demonstrēt, radiofrekvenču identifikācijas sistēmas salīdzinot ar mobiliem telefoniem, jo tādus salīdzinājumus izdara aizvien biežāk. No vienas puses, mobilos telefonos ir pieļautas ļoti augsta līmeņa tehnoloģijas — neatkarīgi no tā, ka potenciāli tās rada nopietnus privātuma apdraudējumus. Varētu secināt, ka radiofrekvenču identifikāciju pieļaus tieši tāpat. No otras puses, ir jāuzsver, ka mobilie telefoni ir labi pamanāmi priekšmeti, kurus galalietotāji turklāt var kontrolēt — tos var izslēgt. Radiofrekvenču identifikācijas gadījumā tā nav.

26. Kaut arī nemanāma informācijas vākšana un apstrāde — kā iepriekš minēts — var būt likumīga, ir arī iespējams, un dažos apstākļos pat visnotaļ iespējams, ka notiks nelikumīga tādu datu vākšana un apstrāde.

27. Šajā nodaļā ietvertie skaidrojumi ļauj izdarīt šādu secinājumu. Plašs radiofrekvenču identifikācijas tehnoloģijas lietojums ir būtiski jauns un var nopietni ietekmēt mūsu sabiedrību un pamattiesību aizsardzību mūsu sabiedrībā, piemēram, privātuma un personas datu aizsardzību. Radiofrekvenču identifikācija var izraisīt pārmaiņas no kvalitātes aspekta.

IV. SEKU NOSKAIDROŠANA

Ievads

28. Šajā nodaļā uzmanība būs galvenokārt pievērsta tam, kā radiofrekvenču identifikācija iespaido mūsu sabiedrības pamattiesību, piemēram, privātuma un personas datu, aizsardzību. Analīze būs izvērsta divās pakāpēs, un pirmā no tām būs īss apraksts, kā saskaņā ar pašreizējo tiesisko regulējumu ir aizsargātas minētās pamattiesības. Otrajā pakāpē EDAU sīkāk aplūkos iespējas pilnībā izmantot pašreizējo tiesisko regulējumu. Tāda doma jau ir ietverta atzinumā, kas dots saistībā ar paziņojumu par datu aizsardzības direktīvu, — “pilnībā īstenot direktīvu”.

29. Sākumpunkts ir šāds — jaunas tehnoloģijas, piemēram, radiofrekvenču identifikācijas sistēmas, noteikti ietekmē efektīvam datu aizsardzības tiesiskam regulējumam izvirzītās prasības. Tāpat arī vajadzība efektīvi aizsargāt indivīdu personas datus var uzlikt lietojuma ierobežojumus tādām jaunām tehnoloģijām. Tādējādi mijdarbība ir divējāda — tehnoloģija ietekmē tiesību aktus, un tiesību akti ietekmē tehnoloģiju (14).

Pamattiesību aizsardzība

30. Pirmkārt, pamattiesības uz privātumu un datu aizsardzību Eiropas Savienībā garantē juridisks pamats, kas ir vajadzīgs, jo mums ir darīšana ar tiesībām, kas ir atzītas Eiropas Cilvēktiesību un pamatbrīvību aizsardzības konvencijas 8. pantā un Eiropas Savienības Pamattiesību hartas 7. un 8. pantā. Attiecīgais juridiskais pamats datu aizsardzībai un radiofrekvenču identifikācijai būtībā ir datu aizsardzības direktīva 95/46/EK un e-privātuma direktīva 2002/58/EK (15).

31. Vispārējais juridiskais pamats datu aizsardzībai, kas ir fiksēts Direktīvā 95/46/EK, attiecas uz radiofrekvenču identifikāciju, ciktāl radiofrekvenču identifikācijas sistēmu apstrādāti dati atbilst personas datu definīcijai. Kaut arī dažos gadījumos radiofrekvenču identifikācijas ierīcēs noteikti apstrādā personas datus un tās neapšaubāmi ir datu aizsardzības direktīvas darbības lokā, ir arī tādi lietojumi, kad nešķiet, ka noteikti būtu piemērojama datu aizsardzības direktīva. 29. panta datu aizsardzības darba grupas atzinumā Nr. 4/2007 par personas datu jēdzienu ir mēģināts palīdzēt skaidrāk un vispāratzītāk izstrādāt personas datu jēdziena izpratni un tādējādi mazināt neskaidrības (16).

32. Ciktāl ir runa par e-privātuma direktīvu, stāvoklis ir šāds. Joprojām nav skaidrs, vai šī direktīva attiecas uz radiofrekvenču identifikācijas lietojumiem. Tāpēc Komisijas 2007. gada 13. novembrī iesniegtajā direktīvas grozījumu priekšlikumā ir noteikums, kura mērķis ir konkretizēt, ka minētā direktīva tiešām attiecas uz dažiem radiofrekvenču identifikācijas lietojumiem. Tomēr tā var neattiekties uz citiem radiofrekvenču identifikācijas lietojumiem, jo minētā direktīva attiecas tikai uz personas datu apstrādi saistībā ar atklātībā pieejamu elektronisku saziņas pakalpojumu sniegšanu sabiedriskos saziņas tīklos.

33. Personas datu aizsardzību var papildināt ar veselu pašregulatīvu instrumentu klāstu (ar nejuridisku pamatu). Tādu instrumentu lietojums ir aktīvi atbalstīts abās direktīvās, jo īpaši datu aizsardzības direktīvas 27. pantā, kurā ir paredzēts, ka dalībvalstis un Komisija atbalsta uzvedības kodeksu izstrādi, lai palīdzētu pareizi īstenot minēto direktīvu. Turklāt pašregulatīvi instrumenti varētu palīdzēt efektīvā datu aizsardzības direktīvas 17. pantā un e-privātuma direktīvas 14. pantā paredzēto drošības pasākumu īstenošanā.

Pilnīgs esošās sistēmas īstenojums

34. Atzinumā, kas dots saistībā ar paziņojumu par datu aizsardzības direktīvu, ir uzskaitīti vairāki līdzekļi, ko var izmantot, lai direktīvu labāk īstenotu. Lielākā daļa šajā atzinumā minēto līdzekļu, kas neuzliek saistības, ir svarīgi radiofrekvenču identifikācijai, piemēram, interpretatīvi paziņojumi vai citādi paziņojumi, labākās prakses veicināšana, datu aizsardzības zīmogu lietojums un pieaicinātu trešo pušu veikti privātuma auditi. Iespējamība pieņemt īpašus noteikumus par radiofrekvenču identifikāciju būs aplūkota V nodaļā. Uzlabojumi gan ir iespējami arī pašreizējā sistēmā.

Pašregulatīvi instrumenti

35. EDAU ir vienisprātis ar Komisiju, ka pirmajā fāzē pareizi ir atvēlēt vietu pašregulācijai, ļaujot ieinteresētām pusēm ātri izveidot juridiski atbilstīgu vidi, tādējādi palīdzot veidot drošāku juridisko vidi.

36. Paredzams, ka Komisija saziņā ar radiofrekvenču identifikācijā ieinteresēto personu grupu stimulēs un vadīs minēto pašregulācijas procesu. Šajā sakarā EDAU apliecina gandarījumu par paziņojumā solīto ieteikumu, kurā, paredzams, būs konkrētas pamatnostādnes, kā izstrādāt “principus, kas valstu varasiestādēm un citām ieinteresētām pusēm būtu jāpiemēro, lietojot radiofrekvenču identifikāciju”.

37. Paziņojumā ir paredzēts, ka pašregulācija notiek, izmantojot uzvedības kodeksu vai labākās prakses kodeksu. Pēc EDAU domām, neatkarīgi no tā, kādā formā notiek pašregulācija, tai būtu: — Jādod konkrēta un praktiska vadība jautājumos par konkrētiem radiofrekvenču identifikācijas lietojuma tipiem un tātad jāpalīdz ievērot datu aizsardzības tiesisko regulējumu. — Jārisina konkrēti datu aizsardzības jautājumi un problēmas, kas rodas plaša radiofrekvenču identifikācijas lietojuma sakarā. — Jāpalīdz visā Eiropas Savienībā vienoti un saskaņoti īstenot datu aizsardzības direktīvu tieši tajā jomā, kurā, paredzams, visā Eiropas Savienībā izmantos tā paša tipa radiofrekvenču identifikāciju. — Jābūt tādai, ko lieto visas nozīmīgākās ieinteresētās personas. Tās neievērošanai būtu jārada negatīvas (iespējams, finanšu) sekas.

38. EDAU īpaši izceļ vienu jautājumu, kurā pašregulācija būs īpaši lietderīga. Tādiem radiofrekvenču identifikācijas lietojumiem, kuros jāapstrādā personas dati, ar datu aizsardzības direktīvu datu apstrādātājiem ir uzlikti dažādi pienākumi, jo īpaši saskaņā ar 17. pantu (daru apstrādes drošība) un saskaņā ar 7. pantu (vajadzība apstrādāt datus vienīgi ar attiecīgu juridisko pamatojumu). Saskaņā ar minētajiem noteikumiem datu apstrādātājiem no vienas puses ir jāparedz pasākumi, lai novērstu neatļautu datu atklāšanu. No otras puses, datu apstrādātājiem ir jānodrošina, lai datu apstrāde, piemēram, no birku lasītājiem iegūtas informācijas atklāšana attiecīgos gadījumos notiktu vienīgi ar informētu tā cilvēka piekrišanu, uz ko attiecas dati.

39. Tādus datu aizsardzības direktīvas noteikumus var interpretēt kā tādus, kas prasa radiofrekvenču identifikācijas ierīces izvietot, kad panākti vajadzīgie tehniskie risinājumi, lai novērstu vai mazinātu negribētas datu atklāšanas iespējamību un nodrošināt, ka datu apstrāde vai pārsūtīšana attiecīgos gadījumos notiek tikai saskaņā ar informētu piekrišanu. EDAU uzskata, ka tāds pienākums (t.i., piemērot vajadzīgos tehniskos risinājumus, lai novērstu vai mazinātu negribētas datu atklāšanas iespējamību), kā arī tas, ka minētais pienākums uzliek saistības radiofrekvenču identifikācijas ierīču izvietotājiem, būs vēl nopietnāks un skaidrāks, ja minēto prasību iekļaus iepriekš minētajā iecerētajā uzvedības kodeksā vai labākās prakses kodeksā. Minēto iemeslu dēļ EDAU nopietni iesaka Komisijas ieteikumā iekļaut tādu datu aizsardzības direktīvas interpretāciju, kurā būtu uzsvērts, ka pastāv pienākums radiofrekvenču identifikācijas ierīces izvietot, ievērojot vajadzīgos tehnoloģiskos pasākumus, lai novērstu negribētu informācijas vākšanu vai atklāšanu.

Vajadzība pēc norādījumiem

40. EDAU iesaka Komisijai ciešā sadarbībā ar radiofrekvenču identifikācijas ekspertu grupu (RFID Expert Group) izstrādāt vienu vai vairākus dokumentus ar skaidriem norādījumiem, kā pašreizējo tiesisko regulējumu piemērot radiofrekvenču identifikācijas vidē. Norādījumos vajadzētu praktiski paredzēt, kā ievērot datu aizsardzības direktīvā un e-privātuma direktīvā izklāstītos principus. Runājot par vispārēju pieeju norādījumiem un to konkrētam saturam, EDAU ir šādi ierosinājumi.

41. Norādījumiem, kuros būs noteikti radiofrekvenču identifikācijas lietojuma principi, būtu jābūt pietiekami konkretizētiem, un tajos jāizmanto katrai konkrētai lietojuma jomai piemērota pieeja. Pieeja — “viens lielums der visiem (one size fits all)” neatbildīs iecerei nodrošināt skaidru un vienotu sistēmu. Tā vietā norādījumu jomai ir jāaprobežojas ar skaidri norobežotu radiofrekvenču identifikācijas lietojumu konkrētās jomās.

42. Turklāt pamatnostādnēs būtu jāierosina praktiskas un efektīvas metodes, kā izstrādāt paņēmienus un standartus, lai radiofrekvenču identifikācijas sistēmas labāk atbilstu datu aizsardzības tiesiskajam regulējumam un ar kuriem veicinās sistēmā integrētas privātās dzīves aizsardzības (“privacy by design”) tehnoloģijas izmantojumu.

43. Radiofrekvenču identifikācijas vidē izmantojot pašreizējo tiesisko regulējumu, īpaša uzmanība ir jāpievērš tam, lai darbotos datu aizsardzības principi un pienākumi, kuri attiecas uz radiofrekvenču identifikācijas ierīcēs iegūtu datu apstrādātājiem. Īpaši svarīgi ir šādi pienākumi un principi: — Princips, kas paredz tiesības uz informāciju, arī tiesības zināt, kad dati ir vākti, izmantojot birku lasītājus, un attiecīgos gadījumos — zināt, ka precēm ir piestiprinātas birkas. — Piekrišanas jēdziens — kā viens no juridiskiem datu apstrādes pamatojumiem. Tāds jēdziens iegūst konkrētas aprises pienākumā atslēgt radiofrekvenču identifikācijas birkas pārdošanas vietā, ja vien datu subjekts nav piekritis, ka tas nenotiek (17). Tiesības atslēgt radiofrekvenču identifikācijas birkas arī palīdz garantēt informācijas drošību, t.i., nodrošināt, lai datus, ko apstrādā, izmantojot radiofrekvenču identifikācijas birkas, negribēti neatklāj trešām personām. — Cilvēku tiesības nodrošināt, lai par viņiem nepieņem nelabvēlīgus lēmumus, balstoties tikai uz automatizētu konkrēta personiska profila datu apstrādi.

44. Ciktāl ir runa par tiesībām uz informāciju, norādījumos būtu jānosaka, ka cilvēkiem ir jāsniedz informācija par viņu personas datu apstrādi. Konkrēti, viņi būtu citastarp jābrīdina par i) to, ka tuvumā atrodas birku lasītāji un tuvumā ir aktivētas radiofrekvenču identifikācijas birkas — uz precēm vai to iesaiņojuma; ii) to, kādas sekas to tuvums rada no informācijas vākšanas viedokļa, un iii) to, kādām vajadzībām lietos savākto informāciju.

45. Uzdruku lietojums var būt labs informēšanas pasākums. Uzdrukas var izmantot, lai brīdinātu par to, ka tuvumā ir birku lasītāji un radiofrekvenču identifikācijas birkas, kam paredzēts saglabāt aktivitāti. Tomēr ar uzdruku lietojumu vien nepietiks, lai nodrošinātu godīgu informācijas apstrādi, kas prasa, lai datu subjektus informētu skaidri un saprotami. Uzdruku lietojums būtu jāuzskata par pasākumu, ar ko papildināt sīkāk sniegtu informāciju.

Stūrakmens: princips, kas paredz brīvprātīgu iesaisti

46. Priekšnoteikumam būtu jābūt tādam — visos svarīgākajos radiofrekvenču identifikācijas lietojumos princips, kas paredz brīvprātīgu iesaisti, būtu jārespektē un jāīsteno pārdošanas vietās. Ļaut radiofrekvenču identifikācijas birkām turpināt raidīt informāciju, kad atstāta pārdošanas vieta, būtu nelikumīgi, ja datu apstrādātājam nav attiecīga juridiska pamatojuma. Attiecīgs juridisks pamatojums normālos apstākļos būtu a) datu subjekta piekrišana vai b) ja datu atklāšana būtu vajadzīga, lai sniegtu kādus pakalpojumus, ko konkrēti un brīvi būtu lūdzis attiecīgais cilvēks (18). Abus juridiskos pamatojumus tad varētu atzīt par brīvprātīgu iesaisti.

47. Saskaņā ar principu, kas paredz brīvprātīgu iesaisti, birkas būtu jāatslēdz pārdošanas punktā, ja cilvēks, kas ir nopircis preci ar piestiprinātu birku, negrib, lai tā paliek aktīva. Īstenojot tiesības atstāt birku aktīvu, cilvēks piekristu tam, ka turpinās viņa datu apstrāde, piemēram, nākamajā datu apstrādātāja apmeklējumā turpinās datu pārsūtīšana uz birku lasītāju.

48. Lai aptvertu aizvien lielāko radiofrekvenču identifikācijas lietojumu dažādību un veicinātu jaunu, novatorisku uzņēmējdarbības modeļu izstrādi, EDAU uzsver to, cik svarīga ir elastīga pieeja. Elastīgums ir jānodrošina, īstenojot principu, kas paredz brīvprātīgu iesaisti.

49. Iespējas īstenot principu, kas paredz brīvprātīgu iesaisti, ir daudzas un dažādas. Piemēram, kā alternatīvu birku noņemšanai varētu paredzēt, ka birkas bloķētu, padarītu uz laiku nedarbīgas vai — saskaņā ar drošības politikas modeli, ko dēvē par “atdzīvināma pīlēna modeli (resurrecting duckling model)” (19), — konkrētu birku saistītu ar konkrētu lietotāju. Tādas birkas gadījumā, kurai ir īss kalpošanas laiks, birkas adresi, kas precīzi norāda uz datubāzē glabātu informāciju, varētu arī dzēst no atsauces datu bāzes, izvairoties no turpmākas birkas savāktu papildu datu apstrādes.

50. Nobeigumā — kaut arī EDAU apgalvo, ka princips, kas paredz brīvprātīgu iesaisti pārdošanas punktā, saskaņā ar datu aizsardzības direktīvu lielākajā daļā gadījumu jau pastāv kā juridiskas saistības, ir nopietni iemesli sīkāk izstrādāt šīs saistības pašregulatīvos instrumentos, arī, lai nodrošinātu to, ka principu īstenos ar pašiem piemērotākajiem paņēmieniem. Konkrēta īstenošana noteikti ir vajadzīga tādos radiofrekvenču identifikācijas lietojumos, kas neietilpst datu aizsardzības direktīvas darbības jomā.

Vajadzība pēc integrētas privātās dzīves aizsardzības (“privacy by design”)

51. Lai mazinātu apdraudējumus privātumam un datu aizsardzībai, Komisijas paziņojuma 3.2. daļā (6. lappuse) ir atbalstīta doma par agrīnā posma izstrādes kritēriju izveidi un pieņemšanu. EDAU sveic tādu pieeju. Patiesi, tas, ka būs pieņemti izstrādes parametri un kritēriji, ko dēvē arī par labākajiem pieejamajiem paņēmieniem (Best Available Techniques — BAT), efektīvi palīdzēs datu aizsardzības regulācijā un drošības prasību izstrādē. Tehnoloģisku un organizatorisku kritēriju apzināšana — ja tos bieži pārskatīs — stiprinās privātuma un drošības prasību simbiozes modeli, ko izstrādā Eiropas Savienība.

52. Pareizi noteikti labākie pieejamie radiofrekvenču identifikācijas sistēmu privātuma un drošības paņēmieni arī būs paši svarīgākie, veidojot uzticamu vidi, un tas palīdzēs galalietotājiem tos plaši pieņemt, kā arī veicinās Eiropas rūpniecības konkurētspēju.

53. Process, kā radiofrekvenču identifikācijas sistēmām izvēlēties labākos pieejamos paņēmienus, būtu jāstimulē ar privātuma un drošības ietekmes novērtējumiem, un šajā jomā ir jāpieliek nopietnāki pūliņi. EDAU atzīst, ka Eiropas Tīklu un informācijas drošības aģentūra (European Network and Information Security Agency — ENISA) līdz ar Eiropas Komisijas apvienotajiem pētniecības centriem, saistībā ar svarīgākajiem ieinteresētajiem nozares pārstāvjiem var dot ieguldījumu minētās labākās prakses apzināšanā un tādu metodoloģiju izstrādē. Nesen sākot projektu “tehniskas radiofrekvenču identifikācijas pamatnostādnes (technical Guidelines RFID)”, Vācijas Federatīvais informācijas drošības birojs (Office for Information Security — BSI) (20) ir devis labu, uzskatāmu labāko pieejamo paņēmienu piemēru, ko tagad vajadzētu izvērst Eiropas mērogā.

54. Standartiem arī var būt ārkārtīgi svarīga nozīme, lai drīzumā pieņemtu integrētas privātās dzīves aizsardzības principu. Komisijai tālab būtu jādod ieguldījums privātuma un datu aizsardzības elementu izveidē, izstrādājot starptautiskus radiofrekvenču identifikācijas standartus. 29. panta darba grupas darba dokumentā (21) par radiofrekvenču identifikāciju ir skaidri rādīta iespējamība, ka standarti palīdzēs radīt privātumam draudzīgas radiofrekvenču identifikācijas sistēmas.

55. Turklāt EDAU ir gandarīts par Komisijas nostāju jautājumā par radiofrekvenču identifikācijas tehnoloģiju pētniecību un izstrādi un vajadzību mazināt apdraudējumus privātumam. Patiesi, integrētas privātās dzīves aizsardzības princips ir jāievieš pašā agrīnākajā tehnoloģiju attīstības stadijā, jo tā tās labāk saskanētu ar datu aizsardzības tiesisko regulējumu. EDAU, kā īsi norādīts viņa 2006. gada pārskatā, iesaistīsies šajos centienos, konkrētos gadījumos nākot klajā ar atzinumiem un padomiem par projektiem saistībā ar 7. pamatprogrammu (2007–2013).

V. VAI IR VAJADZĪGI ĪPAŠI JURIDISKI PASĀKUMI?

56. Var nepietikt ar pašregulāciju, lai pilnībā īstenotu esošo datu aizsardzības un privātuma sistēmu. Pat, ja pašregulācija atbilst iepriekš minētajām prasībām, to lieto brīvprātīgi, un par apietu pašregulāciju ne vienmēr var efektīvi uzlikt sankcijas. Turklāt, lai nodrošinātu aizsardzību cilvēku tiesībām uz privātumu un datu aizsardzību, varbūt tomēr būs vajadzīgi tiesību akti, kas uzliek saistības. Vēl jo vairāk tas būs vajadzīgs, ja pašregulācijas pieeja neizdotos.

57. Būtiski svarīgs jautājums ir — noteikt, kādi juridiski instrumenti ir vajadzīgi, lai nodrošinātu efektīvu radiofrekvenču identifikācijas ierīču izvietojumu ar vajadzīgajiem tehniskajiem risinājumiem, novēršot vai mazinot apdraudējumus datu aizsardzībai un privātumam, un to, ka atbildīgie datu apstrādātāji veic pietiekamus pasākumus, lai ievērotu pienākumus, ko uzliek esoši tiesiskie regulējumi. Tas liek uzdot dažus papildjautājumus: — vai ir vajadzīgi īpaši noteikumi? — ja ir, vai tos var pieņemt saskaņā ar esošo juridisko pamatu, piemēram, izmantojot esošās komitoloģijas procedūras? — vai arī ir vajadzīgs jauns juridisks instruments, lai nodrošinātu efektīvu tādu radiofrekvenču identifikācijas ierīču izvietojumu, kurās būtu iestrādātas privātuma aizsardzības tehnoloģijas.

58. Šajā nodaļā uzmanība būs pievērsta iespējām izdot tiesību aktus, kas uzliek saistības saskaņā ar esošo tiesisko regulējumu, savukārt VI nodaļā — tā kā tas ir atsevišķs jautājums — būs pārrunāta jauna juridiska instrumenta vajadzība.

59. Pirmkārt, īpaša uzmanība būtu jāpievērš Direktīvas 95/46/EK 17. pantam, Direktīvas 2002/58/EK 14. panta 3. punktam un Direktīvas 99/5/EK 3. panta 3. punkta c) apakšpunktam. 14. panta 3. punktā dalībvalstīm ir ļauts paredzēt pasākumus, lai nodrošinātu to, ka gala iekārtas būtu konstruētas tā, lai tās būtu saderīgas ar lietotāju tiesībām aizsargāt un kontrolēt savu personas datu lietojumu saskaņā ar Direktīvu 99/5/EK (22). Direktīvas 99/5/EK 3. panta 3. punkta c) apakšpunktā ir paredzēts, ka Komisija — saskaņā ar komitoloģijas procedūru — var pieņemt lēmumu, ka aparātus dažās iekārtu klasēs vai konkrētu tipu aparātus konstruē tā, lai tajos būtu iestrādāti aizsardzības elementi, ar ko nodrošināt lietotāju un abonentu personas datu un privātuma aizsardzību. Līdz pat šim laikam Direktīvas 99/5/EK 3. panta 3. punkta c) apakšpunkts nav izmantots.

60. Minētie noteikumi dod pilnvaras likumdevējiem gan attiecīgu valstu, gan Kopienas līmenī noteikt, ka privātuma un datu aizsardzības elementi ir jāiestrādā, izgatavojot radiofrekvenču identifikācijas sistēmas, koncepciju, ko dēvē par integrētu privātās dzīves aizsardzību (“privacy by design”) (23). Tas prasa arī lietot labākos pieejamos paņēmienus.

61. Lai koncepciju par integrētu privātās dzīves aizsardzību padarītu obligātu, EDAU iesaka Komisijai izmantot Direktīvas 99/5/EK 3. panta 3. punkta c) apakšpunktā paredzēto mehānismu, saziņā ar radiofrekvenču identifikācijas ekspertu grupu.

62. Otrkārt, var konkrēti norādīt, ka radiofrekvenču identifikācijai piemēro esošo juridisko pamatu, pārveidojot pašas direktīvas. Kā jau teikts, Komisija nupat ir nākusi klajā ar priekšlikumu e-privātuma direktīvas grozījumiem, kuros ir jauns noteikums ar šādu perspektīvi. EDAU ir gandarīts par pirmo apliecinājumu tam, ka direktīva ir piemērojama radiofrekvenču identifikācijas lietojumiem. EDAU atzinumā par ierosinātajiem grozījumiem pievērsīsies konkrētiem jautājumiem, ko rada e-privātuma direktīvas saistība ar radiofrekvenču identifikāciju, un ar to ir paredzēts nākt klajā 2008. gada sākumā.

63. Ņemot vērā to, ka tuvākā nākotnē Komisija neparedz nekādus grozījumus datu aizsardzības direktīvā (24), iespējas sīkāk izstrādāt nosacījumus, kā radiofrekvenču identifikācijai piemērot esošo juridisko pamatu, ir ierobežotas.

VI. VAI RADIOFREKVENČU IDENTIFIKĀCIJAI IR VAJADZĪGS ĪPAŠS TIESISKAIS REGULĒJUMS?

Komisijas ieceres

64. Paziņojumā (25) ir uzsvērts, cik ļoti svarīga ir drošība un integrēta privātās dzīves aizsardzība. Tas prasa arī visu ieinteresēto pušu iesaisti. Galvenais Komisijas darbību rezultāts būs “ieteikums izstrādāt principus, kas valstu iestādēm un citām ieinteresētām personām būtu jāpiemēro, lietojot radiofrekvenču identifikāciju”. Ieteikumu droši vien pieņems 2008. gada pavasarī. Paziņojumā minētajos likumdošanas centienos ir divas pakāpes. Komisija: — Izskatīs iespējas iecerētajā e-privātuma direktīvas grozījumu projektā ietvert attiecīgus noteikumus par radiofrekvenču identifikāciju. Kā jau teikts iepriekš, Komisija 2007. gada novembrī ir ierosinājusi tādus grozījumus e-privātuma direktīvā, apstiprinot to, ka minētā direktīva ir piemērojama radiofrekvenču identifikācijas lietojumiem (26), bet neierosina paplašināt e-privātuma direktīvas darbības jomu, lai tā attiektos arī uz privātiem tīkliem. — Izskatīs vajadzību pēc turpmākiem tiesiskiem pasākumiem, lai sargātu datu aizsardzību un privātumu.

65. Īstenojot tādu politiku, ir paredzams, ka Komisija — vismaz ne tuvākā laikā — neparedz ierosināt jaunus, īpašus tiesību aktus, lai radiofrekvenču identifikācijas jomā sargātu datu aizsardzību un privātumu.

Likumdevēju parametri

66. Atzinumā saistībā ar paziņojumu par datu aizsardzības direktīvu EDAU ir ieskicējis dažus aspektus tiesiskiem pasākumiem, kas būtu saistīti ar personas datu apstrādi, ko var apkopot šādi: — Pirmkārt būtu jāievēro datu aizsardzības pamatprincipi: “nav vajadzīgi jauni principi, bet ir skaidra vajadzība pēc citiem administratīviem mehānismiem, kas būtu reizē efektīvi un piemēroti datorizētai sabiedrībai un, no otras puses, mazinātu administratīvās izmaksas” (27). — Otrkārt, tiesību aktu ierosinājumi būtu jāiesniedz tikai gadījumos, ja pietiekami skaidra ir to vajadzība un samērība. Tāda iemesla dēļ tuvākajā laikā vispārējais juridiskais pamats datu aizsardzībai nebūtu jāmaina. — Treškārt, sabiedrības mainība var likt paredzēt īpašus tiesiskus regulējumus, lai datu aizsardzības direktīvas principus pielāgotu problēmām, ko rada konkrētas tehnoloģijas, piemēram, radiofrekvenču identifikācija. Ir skaidrs, ka arī šādā sakarā ir jāievēro tādi priekšnosacījumi kā vajadzība un samērība.

67. Nākamā pakāpē derētu konkrēti norādīt, ar kādām cerībām likumdevējiem jāsastopas radiofrekvenču identifikācijas jomā: — Tiesību aktiem jābūt elastīgiem un jāpieļauj jauninājumi un tehnoloģiju attīstība. Tam vajadzētu panākt to, ka tiesību akti ir pietiekami neitrāli no tehnoloģiju viedokļa. — Otrkārt, tiesību aktiem ir jādod tiesiska noteiktība. Tālab vajadzētu izstrādāt tādus tiesību aktus, kas ir pietiekami pielāgoti konkrētām vajadzībām. Ieinteresētajām pusēm ir precīzi jāzina, kā regulē to uzvedību. — Treškārt, tiesību aktiem efektīvi jāsargā visas pamatotās intereses, kas liktas uz spēles. Tas noteikti prasa īstenot tiesību aktus un skaidri definēt pienākumus: kura persona ir atbildīga par konkrētām darbībām? (28) Tādas prasības skan vēl jo skaļāk, ja uz spēles ir likts privātums un datu aizsardzība, cilvēku pamattiesības saskaņā ar Eiropas Cilvēktiesību un pamatbrīvību aizsardzības konvenciju un Eiropas Savienības Pamattiesību hartu.

EDAU viedoklis

68. EDAU nešaubās par to, ka Eiropas likumdevējiem nebūt nevajadzētu reaģēt uz visu, kas notiek tehnoloģijas attīstībā. Tehnoloģija var attīstīties strauji, bet tiesību aktu pieņemšana un stāšanās spēkā prasa laiku, un tā ir jābūt. Tiesību aktos būtu līdzsvaroti jāatspoguļo visas intereses, kas liktas uz spēles. Ja par instrumentu izvēlas direktīvu, ir vajadzīgs vēl vairāk laika, jo direktīvām ir jābūt pilnībā īstenotām dalībvalstu tiesiskās sistēmās.

69. Tomēr radiofrekvenču identifikācija nav tikai vēl viena tehnoloģijas attīstības pakāpe, kā uzsvērts vairākās šā atzinuma daļās. Paziņojumā radiofrekvenču identifikācija ir raksturota kā vārti uz jaunu fāzi informācijas sabiedrības attīstībā, ko bieži dēvē par lietu internetu, un “inteliģentās vidēs” radiofrekvenču identifikācijas birkas būs svarīgākie elementi. “Inteliģentās vides” arī būs svarīgi pasākumi, attīstot to, ko bieži dēvē par “novērotāju sabiedrību (Surveillance Society)” (29). To atceroties, var pamatot likumdošanas darbības radiofrekvenču identifikācijas jomā. Radiofrekvenču identifikācija var izraisīt pārmaiņas no kvalitātes aspekta.

70. No tāda viedokļa EDAU iesaka apsvērt iespēju pieņemt (priekšlikumu) Kopienas tiesību aktam, ar ko regulētu galvenos jautājumus saistībā ar radiofrekvenču identifikācijas lietojumu svarīgākās nozarēs, ja nevarētu pareizi īstenot esošo tiesisko regulējumu. Kad tiesību akts būs stājies spēkā, tas jāuzskata par “lex specialis” salīdzinājumā ar visu datu aizsardzības sistēmu.

71. Tāda juridiska instrumenta pieņemšanai būs šādas priekšrocības: — Instrumentā varētu būt paredzēti reāli pašregulatīvu mehānismu parametri. — Iespēja pieņemt juridisku instrumentu varētu izrādīties par efektīvu stimulu, lai ieinteresētas personas izveidotu pašregulatīvus mehānismus, kas dotu precīzu aizsardzību.

72. Lai praksē to varētu vieglāk īstenot, varētu lūgt Komisiju sagatavot konsultāciju dokumentu, kurā būtu uzskaitīti visi par un pret saistībā ar īpašiem tiesību aktiem, kā arī galvenie tādu tiesību aktu elementi. Protams, varētu lūgt ieinteresētās personas dot ieguldījumu tādās apspriedēs. Tāpat arī varētu iesaistīt 29. panta darba grupu.

Iespējami mehānismi

73. Likumdevēju iesaiste varētu nodrošināt īpaši piemērotu tiesisko regulējumu, kurā būtu apvienoti dažādi regulatīvi instrumenti, ar ko esošais tiesiskais regulējums būtu konkretizēts un papildināts. Tādam īpaši pielāgotam tiesiskam regulējumam būtu jābalstās uz pazīstamiem datu aizsardzības principiem un jāpievēršas pienākumu sadalījumam un kontroles mehānismu efektivitātei.

74. Īpašs iemesls, kāpēc tādi īpaši pielāgoti tiesību akti varētu būt vajadzīgi, ir saistīts ar to, ka nebūt ne visos radiofrekvenču identifikācijas lietojumos apstrādā personas datus. Citiem vārdiem sakot, ja radiofrekvenču identifikācijas lietojumos neapstrādā personas datus, personām, kas ir iesaistītas tādu preču izgatavošanā un pārdošanā, kuras spēj identificēt radiofrekvences, nav nekādu juridisku saistību īstenot tehnoloģiskus pasākumus, ar ko novērst noklausīšanos vai birku lasītāju uzstādīšanu, cilvēkus par to pienācīgi neinformējot. Tomēr, kā iepriekš izklāstīts, cilvēku novērošanas radīti privātuma apdraudējumi ir iespējami arī ar tādu radiofrekvenču identifikāciju, un tāpēc ir jāparedz tāda paša tipa privātuma aizsardzības pasākumi. Tieši tas varētu attiekties uz birku piestiprināšanu patēriņa precēm pirms pārdošanas vietas — priekšmetu līmenī. Tātad radiofrekvenču identifikācijas ierīces, ar ko neapstrādā personas datus, tomēr var apdraudēt cilvēku privāto dzīvi, darot iespējamu slepenu novērošanu un informācijas lietošanu nepieļaujamām vajadzībām.

75. EDAU uzskata, ka no tik bēdīga iznākuma būtu jāvairās. Tā kā pašlaik spēkā esošajos tiesību aktos — vismaz tajos, kas attiecas uz radiofrekvenču identifikācijas lietojumiem, neapstrādājot personas datus, — tāds privātuma apdraudējums nav apkarots, un, ņemot vērā nepilnības, kas piemīt tiesību normām, kuras neuzliek saistības, rodas iespaids, ka, lai panāktu pietiekamu iznākumu, būs jālieto tiesību akti, kuros paredzēti piespiešanas līdzekļi.

76. Ar tādiem pasākumiem noteikti vajadzētu: — Izstrādāt principu, kas paredz brīvprātīgu iesaisti pārdošanas punktā — kā precīzu un nenoliedzamu juridisku pienākumu, arī radiofrekvenču identifikācijas lietojumiem, uz ko neattiecas datu aizsardzības direktīvas darbības joma (30). — Nodrošināt, lai radiofrekvenču identifikācijas ierīces obligāti izvieto ar attiecīgiem tehniskiem elementiem vai integrētu privātās dzīves aizsardzību.

VII. JAUTĀJUMS PAR APSAIMNIEKOŠANU

77. Kaut arī paziņojumā radiofrekvenču identifikācijas sistēmu “būtiskais pārrobežu aspekts” ir aplūkots vienīgi iekšējā tirgū, EDAU ir pārliecināts, ka minētais aspekts būtu jāaplūko plašākā starptautiskā mērogā. Veikalos radiofrekvenču identifikācijas sistēmas jau ir pārrobežu sistēmas, jo birku darbības var nebeigties pārdošanas punktā. Visu radiofrekvenču identifikācijas sistēmu līmenī tādas tehnoloģijas kļūst par pārrobežu tehnoloģijām arī tad, ja tādu priekšmetu ražotājs, kuriem ir piestiprinātas radiofrekvenču identifikācijas sistēmas birkas, bāzējas ārpus Eiropas Savienības un ir iespējams, ka ar birkām pārsūta personas datus uz kādu trešo valsti (31).

78. Raugoties tālākā nākotnē, to datu bāzu apsaimniekošana, kurās glabājas radiofrekvenču identifikācijas identitātes atsauces dati, arī ir būtiski svarīgs aspekts, kā pienācīgi stiprināt Eiropas datu aizsardzības tiesisko regulējumu. EDAU aicina rast risinājumu šim jautājumam, jo nebūtu pieļaujama turpmāka šā regulējuma ietekmes mazināšana.

79. EDAU paredz, ka radiofrekvenču identifikācijas apsaimniekošanas problēma ir liels pārbaudījums, un tā prasīs lielas investīcijas. Būs jārod pareizs sarunu forums, kā arī piemērotākā vadības infrastruktūra, lai nodrošinātu to, ka datu aizsardzības tiesības būtu pienācīgi respektētas minētajās starptautiskajās vidēs.

80. No tādas perspektīves raugoties, EDAU aicina Komisiju nākt klajā ar viedokļiem par apsaimniekošanas jautājumu, iespējams, saziņā ar radiofrekvenču identifikācijā ieinteresēto personu grupu.

VIII. SECINĀJUMI

81. EDAU ir gandarīts par Komisijas paziņojumu saistībā ar radiofrekvenču identifikāciju, jo tajā uzmanība ir pievērsta galvenajiem jautājumiem, kas rodas saistībā ar radiofrekvenču identifikācijas tehnoloģiju izvietošanu, neaizmirstot svarīgākās, kas ir saistītas ar privātumu un datu aizsardzību. Viņš piekrīt uzskatam, ka radiofrekvenču identifikācijas sistēmām var būt svarīga nozīme tādas informācijas sabiedrības attīstīšanā, ko parasti dēvē par “lietu internetu”.

Noskaidrojot sekas

82. Plašs radiofrekvenču identifikācijas tehnoloģiju lietojums ir būtiski jauns, un tas var ārkārtīgi ietekmēt mūsu sabiedrību un pamattiesību aizsardzību mūsu sabiedrībā, piemēram, privātuma un datu aizsardzību. Radiofrekvenču identifikācija var izraisīt pārmaiņas no kvalitātes aspekta.

83. Var nošķirt piecus galvenos privātuma un drošības jautājumus: — Datu subjekta identifikācija. — Datu apstrādātāja(-u) identifikācija. — Zūd jēga ierastajam personiskās un publiskās jomas nošķīrumam. — Radiofrekvenču identifikācijas birku lieluma un fizisko īpašību radītās sekas. — Nepietiekama datu apstrādes pārskatāmība.

Pievēršoties konkrētiem seku aspektiem

84. Vispārējais datu aizsardzības juridiskais pamats, kas fiksēts Direktīvā 95/46/EK, attiecas uz radiofrekvenču identifikāciju, ciktāl radiofrekvenču identifikācijas sistēmu apstrādātie dati atbilst personas datu definīcijai.

85. Ciktāl ir runa par e-privātuma direktīvu — Komisijas 2007. gada 13. novembrī ierosinātajā direktīvas grozījumā ir noteikums, ar ko paredzēts precīzi noteikt, ka direktīva patiešām attiecas uz konkrētiem radiofrekvenču identifikācijas lietojumiem. Tā tomēr varētu neattiekties uz citiem konkrētiem radiofrekvenču identifikācijas lietojumiem, tāpēc ka minētā direktīva aprobežojas ar personas datu apstrādi saistībā ar atklātībā pieejamu elektroniskas saziņas pakalpojumu sniegšanu sabiedriskos saziņas tīklos.

86. Personas datu aizsardzību var papildināt ar veselu klāstu pašregulatīvu instrumentu. Ir pareizi pieļaut pašregulāciju — ar noteikumu, ka: — To izmantojot, ir doti konkrēti un praktiski norādījumi par konkrētu tipu radiofrekvenču identifikācijas lietojumiem. — Tā pievēršas konkrētiem datu aizsardzības jautājumiem un problēmām, kas rodas, plaši lietojot radiofrekvenču identifikāciju. — Tā palīdz vienādi un saskaņoti piemērot datu aizsardzības direktīvu visā Eiropas Savienībā. — To izmanto visas svarīgākās ieinteresētās personas.

87. EDAU iesaka Komisijai ciešā sadarbībā ar radiofrekvenču identifikācijas ekspertu grupu sagatavot vienu vai vairākus dokumentus ar skaidriem norādījumiem, kā radiofrekvenču identifikācijas vidē piemērot pašreizējo tiesisko regulējumu.

88. Norādījumiem, kuros būs nosprausti principi, kas attiecas uz radiofrekvenču identifikācijas lietojumu, būtu jābūt formulētiem pietiekami precīzi, un tajos būtu jāizmanto konkrētai jomai piemērota pieeja. Ar tiem būtu jāierosina praktiskas un efektīvas metodes, kā izstrādāt paņēmienus un standartus, lai radiofrekvenču identifikācijas sistēmas labāk atbilstu datu aizsardzības tiesiskajam regulējumam un ar kuriem veicinās sistēmā integrētas privātās dzīves aizsardzības (“privacy by design”) tehnoloģijas izmantojumu.

89. EDAU ir gandarīts par Komisijas paziņojumā izmantoto pieeju atbalstīt domu izveidot un pieņemt agrīnā posma izstrādes kritērijus.

90. Kaut arī EDAU uzskata, ka princips, kas paredz brīvprātīgu iesaisti pārdošanas vietā, ir likumīgi pamatots pienākums, kas lielākā daļā gadījumu jau ir uzlikts ar datu aizsardzības direktīvu, tāds pienākums būtu īpaši jānorāda pašregulatīvos instrumentos.

Vai ir vajadzīgi īpaši noteikumi?

91. Lai padarītu obligātu koncepciju par integrētu privātās dzīves aizsardzību, EDAU iesaka Komisijai izmantot Direktīvas 99/5/EK 3. panta 3. punkta c) apakšpunktā paredzēto mehānismu — saziņā ar radiofrekvenču identifikācijas ekspertu grupu.

92. EDAU iesaka apsvērt iespēju pieņemt (priekšlikumu) Kopienas tiesību aktam, ar ko regulētu galvenos jautājumus par radiofrekvenču identifikācijas lietojumu attiecīgās jomās — ja neizdotos pareizi īstenot esošo tiesisko regulējumu. Kad tāds tiesību akts būtu stājies spēkā, tas būtu jāuzskata par “lex specialis” vispārējā datu aizsardzības sistēmā. Tādā tiesiskā pasākumā būtu jāpievēršas arī privātuma un datu aizsardzības problēmām, kas rodas dažos radiofrekvenču identifikācijas lietojumos, piemēram, priekšmetu līmenī piestiprinot birkas pirms pārdošanas vietas, un kuros personas datus varbūt nemaz neapstrādā.

93. Komisijai būtu jāsagatavo konsultāciju dokuments par visiem par un pret saistībā ar īpašu tiesību aktu pieņemšanu un par galvenajiem tādu tiesību aktu elementiem.

94. Likumdevēju iejaukšanās varētu nodrošināt īpaši pielāgotu tiesisko regulējumu, kas sastāvētu no regulatīvu instrumentu kompleksa, ar ko esošais tiesiskais regulējums būtu precizēts un papildināts. Ar tādiem pasākumiem noteikti vajadzētu: — Izstrādāt principu, kas paredz brīvprātīgu iesaisti pārdošanas punktā — kā precīzu un neapstrīdamu juridisku pienākumu, kas attiecas arī uz tādām radiofrekvenču identifikācijas ierīcēm, uz kurām neattiecas datu aizsardzības direktīva (32). — Nodrošināt, lai radiofrekvenču identifikācijas ierīces obligāti izvieto ar attiecīgiem tehniskiem elementiem vai integrētu privātās dzīves aizsardzību.

Jautājums par apsaimniekošanu

95. EDAU aicina Komisiju darīt zināmu tās viedokli par apsaimniekošanu, iespējams, saziņā ar radiofrekvenču identifikācijā ieinteresēto personu grupu.

Briselē, 2007. gada 20. decembrī Peter HUSTINX Eiropas datu aizsardzības uzraudzītājs

(1) COM(2007) 96 galīgā redakcija.

(2) Lēmums Nr. 467/2007/EK (OV L 176, 6.7.2007., 25. lpp.).

(3) OV C 68, 24.3.2007., 1. lpp.

(4) Projekts “Radiofrekvenču identifikācija un identitātes aizsardzība — konkrētu gadījumu analīze progresīvos pētījumos, izstrādājot inteliģentas vides (RFID and identity management — Case studies from the frontline of the development towards ambient intelligence)”, ko pasūtījis Eiropas Parlamenta Zinātnes tehnoloģiju iespēju izvērtējumu dienests (Scientific Technology Option Assessment service — STOA) un veikusi Eiropas tehnoloģiju izvērtējuma grupa (ETAG — European Technology Assessment Group)

http://www.europarl.europa.eu/stoa/default_en.htm

(5) Dokuments Nr. WP 136, publicēts darba grupas tīkla vietnē.

(6) Komisijas 2007. gada 7. marta paziņojums Eiropas Parlamentam un Padomei par pasākumiem, kas veikti saskaņā ar darba programmu labākai datu aizsardzības direktīvas īstenošanai, COM(2007) 87 galīgā redakcija.

(7) OV C 255, 27.10.2007., 1. lpp. Še turpmāk: “Atzinums saistībā ar paziņojumu par datu aizsardzības direktīvu”.

(8) 2007. gada 13. novembrī pieņemtais projekts Eiropas Parlamenta un Padomes direktīvai, ar ko groza Direktīvu 2002/22/EK par universālo pakalpojumu un lietotāju tiesībām attiecībā uz elektronisko sakaru tīkliem un pakalpojumiem, Direktīvu 2002/58/EK par personas datu apstrādi un privātās dzīves aizsardzību elektronisko komunikāciju nozarē, Eiropas Parlamenta un Padomes Direktīvu 2002/58/EK (2002. gada 12. jūlijs) par personas datu apstrādi un privātās dzīves aizsardzību elektronisko komunikāciju nozarē, Regulu (EK) Nr. 2006/2004 par sadarbību patērētāju tiesību aizsardzības jomā, COM(2007) 698 galīgā redakcija. Uz Direktīvu 2002/58/EK še turpmāk atsauces būs dotas kā uz “e-privātuma direktīvu”.

(9) http://www.rfidconsultation.eu/

(10) Dr. Sarah Spiekermann, Interneta saimniecības Berlīnes pētniecības centra direktore, seminārs par radiofrekvenču identifikācijas sistēmām un pilnīgu datorizāciju (RFID and ubiquitous computing), ko organizējis Transatlantiskais patērētāju dialogs (Trans Atlantic Consumer Dialogue), 2007. gada 13. marts.

(11) Dara J. Glasser, Kenneth W. Goodman and Norman G. Einspruch, Chips, tags and scanners: Ethical challenges for radio frequency identification, Ethics and Information Technology, Volume 9, No 2 2007.

(12) Hall, E.T.1966. The Hidden Dimension. (1st ed.). Garden City, N.Y: Doubleday.

(13) Altman, I. 1975 The Environment and Social Behaviour, Brooks/Cole Monterrey.

(14) Skat. EDAU 2006. gada marta komentārus par Komisijas paziņojumu par Eiropas datu bāzu mijdarbību, kas ir publicēti EDAU tīkla lapā.

(15) Šā atzinuma 59. punktā būs aplūkots, cik svarīga ir vēl trešā direktīva, proti, Eiropas Parlamenta un Padomes Direktīva 1999/5/EK (1999. gada 9. marts) par radioiekārtām un telekomunikāciju termināla iekārtām un to atbilstības savstarpējo atzīšanu (OV L 91, 7.4.1999., 10. lpp.).

(16) Skat. inter alia 5. zemsvītras piezīmē citētā atzinuma 10. punktu.

(17) Sīkākus paskaidrojumus skat. šā atzinuma 46.–50. punktā.

(18) Dažos radiofrekvenču identifikācijas lietojumos var būt iespējams izmantot citus pamatojumus, piemēram, 7.f pantu (likumīgas datu apstrādātāja intereses — līdz ar pietiekamiem drošības elementiem).

(19) Šā modeļa autori Frank Stajano un Ross Anderson no Kembridžas universitātes tā šo modeli nosauca tāpēc, ka “tikko izšķīlies zoslēns par māti uzskata pirmo kustīgo objektu, ko ierauga”.

(20) http://www.bsi.bund.de/veranst/rfid/index.htm

(21) Darba dokuments (WP 105) par datu aizsardzības jautājumiem saistībā ar radiofrekvenču identifikācijas tehnoloģiju, 2005. gada 19. janvāris.

(22) Un saskaņā ar Padomes Lēmumu 87/95/EEK (1986. gada 22. decembris) par standartizāciju informācijas tehnoloģiju un komunikāciju jomā (OV L 36, 7.2.1987., 31. lpp.).

(23) Skat. IV nodaļu.

(24) EDAU atbalsta tādu pieeju, skat. 64. punktu.

(25) Skat. paziņojuma 4.1. punktu.

(26) Skat. ierosināto Direktīvas 2002/58/EK jauno 3. pantu.

(27) Punkts Nr. 24 Atzinumā saistībā ar paziņojumu par datu aizsardzības direktīvu.

(28) Datu aizsardzības terminoloģijā tas nozīmē identificēt “datu apstrādātāju”.

(29) Šī doma atkārtojās Eiropas datu aizsardzības iestāžu pieņemtā deklarācijā (Londona, 2006. gada 2. novembris), kas pieejama EDAU tīkla lapā:

http://www.edps.europa.eu/EDPSWEB/edps/lang/en/pid/51

(30) IV nodaļā ir pausts viedoklis, ka princips, kas paredz brīvprātīgu iesaisti pārdošanas punktā, ir juridisks pienākums, kas jau ir paredzēts datu aizsardzības direktīvā.

(31) Pienākumi saistībā ar personas datu pārsūtīšanu ir aplūkoti datu aizsardzības direktīvas 25. un 26. pantā.

(32) IV nodaļā ir pausts viedoklis, ka princips, kas paredz brīvprātīgu iesaisti pārdošanas punktā, ir juridisks pienākums, kas jau ir paredzēts datu aizsardzības direktīvā.