Tiek īstenoti vairāki ES projekti, kas nodrošina decentralizētu valstu elektronisko datubāzu savstarpēju savienojamību ES mērogā. Tiek uzskatīts, ka šā ziņojuma kontekstā būtiskas ir tālāk aprakstītās IT sistēmas.

Pašlaik centralizēti mehānismi, kuros iekļauta informācija par bankas kontiem, darbojas 15 dalībvalstīs. No dalībvalstīm saņemtās atbildes liecina, ka nedaudz lielāka priekšroka tiek dota centrālā reģistra tehniskajam risinājumam: 17 dalībvalstīs jau ir ieviesti vai tiks ieviesti centrālie reģistri, savukārt 9 dalībvalstis norādīja, ka tajās ir ieviestas vai ir paredzēts ieviest centrālās datu izguves sistēmas. Priekšroka arī tiek dota sistēmām, kurās papildus minimālajam informācijas kopumam par konta profilu saskaņā ar Nelikumīgi iegūtu līdzekļu legalizācijas novēršanas direktīvas 5. redakcijas 32.a panta 5. punktu ir iekļauti arī citi dati (attiecīgi 11 un 6 atbildes).

Saskaņā ar Nelikumīgi iegūtu līdzekļu legalizācijas novēršanas direktīvas 32.a panta 5. punktu Komisijai ir jānovērtē nosacījumi, tehniskās specifikācijas un procedūras centralizēto automatizēto mehānismu drošas un efektīvas savstarpējās savienojamības nodrošināšanai. Tāpēc šajā ziņojumā tiek novērtēti dažādi IT risinājumi ES līmenī, kas jau darbojas vai pašlaik ir izstrādes stadijā un kurus varētu izmantot kā paraugus iespējamas centralizētu mehānismu savstarpējas savienojamības kontekstā. Lai panāktu savstarpēju savienojamību, būtu nepieciešams likumdošanas instruments.

BRIS, IRI, LRI un ECRIS gadījumā par IT sistēmas uzturēšanu ir atbildīgi dažādi Eiropas Komisijas dienesti, t. i., tiem ir jānodrošina savstarpējās savienojamības komponenta pieejamība, kā arī tie sedz sistēmas izveidošanas un uzturēšanas izmaksas. e-CODEX sistēmu pagaidām uztur dalībvalstu konsorcijs (EISI eDelivery komponents ir Eiropas Komisijas kompetencē). EUCARIS gadījumā atbildīgas ir 28 dalībvalstis un iesaistītās trešās valstis, savukārt EBOCS sistēma pieder Eiropas Uzņēmējdarbības reģistru apvienībai (EBRA). Tā kā šīs IT sistēmas savstarpēji savieno valstu datubāzes, par valstu datubāzu uzturēšanu un pieejamību ir atbildīgas dalībvalstis.

Iespēja veikt aptuveno meklēšanu samazinātu automātisku pārbaudes procedūru izmantošanu un tādējādi varētu izvairīties no kļūdainām atbilstībām vai samazināt to skaitu, taču tas samazinātu arī sistēmas darbības vērtību. Izmantojot aptuveno meklēšanu, būtu jāapsver iespēja izmantot citus rīkus, ar kuriem samazina pikšķerēšanas mēģinājumu risku, piemēram, kā tas ir IRI gadījumā, kur ir noteikts maksimālais attēloto rezultātu skaits.

Jāpievērš uzmanība tam, kuram būs tiesības veikt meklēšanu (privātpersonām vai publiskām personām), kā arī tam, kādi dati varētu būt vai nebūt zināmi personai, kura veic meklēšanu. Ja tiks piemērota prasība, ka meklēšanā ir jāiekļauj dati, kas, visticamāk, nebūs zināmi personai, kura veic meklēšanu, tas var apgrūtināt efektīvu meklēšanu, padarot to sarežģītu vai neiespējamu. Jāatzīmē arī, ka ir gadījumi, kad finanšu ziņu vākšanas vienībai vai tiesībaizsardzības iestādei no vienas dalībvalsts nav zināms citas dalībvalsts pilsoņa dzimšanas datums vai valsts identifikācijas numurs. Ja šādai papildu informācijai centralizētajās sistēmās ir nodrošināta savstarpējā savienojamība, ir svarīgi noteikt, vai būs iespējams arī veikt meklēšanu, pamatojoties uz šādu papildu informāciju.

Attiecībā uz informācijas apmēru Nelikumīgi iegūtu līdzekļu legalizācijas novēršanas direktīvas 32.a panta 3. punktā ir norādīts, kāda informācija ir jāiekļauj visās centralizētajās sistēmās, piemēram, informācija par konta turētāju, par bankas kontiem, kas identificēti ar IBAN, un par individuālajiem seifiem, kurus tur kredītiestāde valsts teritorijā. Taču Nelikumīgi iegūtu līdzekļu legalizācijas novēršanas direktīvas 32.a panta 4. punktā ir paredzēta iespēja, ka dalībvalstis var iekļaut reģistros citu informāciju, ko tās uzskata par būtisku finanšu ziņu vākšanas vienībām un kompetentajām iestādēm to pienākumu izpildei saskaņā ar šo direktīvu. No personas datu aizsardzības viedokļa, šķiet, ir svarīgi ierobežot pieejamās informācijas apmēru savstarpējās savienojamības platformā līdz minimālajam obligātajam informācijas kopumam, kas definēts Nelikumīgi iegūtu līdzekļu legalizācijas novēršanas direktīvas 32.a panta 3. punktā. Saskaņā ar datu aizsardzības noteikumiem personas datu pieejamībai ir jābūt samērīgai ar Nelikumīgi iegūtu līdzekļu legalizācijas novēršanas direktīvā definētajiem mērķiem. Līdzīga pieeja ir īstenota arī Direktīvā par finanšu un citas informācijas izmantošanu. Tās 4. panta 2. punktā ir norādīts, ka kompetentās iestādes nevar piekļūt un veikt meklējumus papildu informācijā, kuru dalībvalstis ietver centralizētos mehānismos.

Ja savstarpējās savienojamības iespēja tiktu paplašināta, attiecinot to uz visām iestādēm, kurām pašlaik ir nodrošināta piekļuve saskaņā ar valsts tiesību aktiem, būtu jāizstrādā detalizēti noteikumi kompetentajām valsts iestādēm par piekļuves un meklēšanas nosacījumiem. Šajā ziņā ir svarīgi uzsvērt, ka attiecībā uz valsts līmenī izraudzītajām kompetentajām iestādēm Direktīvā par finanšu un citas informācijas izmantošanu ir paredzēti strikti noteikumi par centralizētajos automatizētajos mehānismos iekļautās bankas kontu informācijas pieejamību un meklēšanu. Tajos ir ietverts, piemēram, noteikums par to, ka piekļuve reģistriem un datu izguves sistēmām tiek nodrošināta tikai katras kompetentās iestādes īpaši izraudzītām un pilnvarotām personām. Vēl viens pasākums, ar ko mazināt riskus, kurus rada izraudzītajām valsts iestādēm piešķirtās paplašinātās piekļuves tiesības, varētu būt pieejamās informācijas apmēra ierobežošana savstarpējās savienojamības sistēmā līdz minimālajam informācijas kopumam par konta profilu, kā noteikts Nelikumīgi iegūtu līdzekļu legalizācijas novēršanas direktīvas 32.a panta 3. punktā.

Viena iespēja varētu būt, ka tām pašām iestādēm, kurām tiks nodrošināta tieša piekļuve centralizētajiem mehānismiem saskaņā ar Nelikumīgi iegūtu līdzekļu legalizācijas novēršanas direktīvu un Direktīvu par finanšu un citas informācijas izmantošanas atvieglošanu, tiks nodrošināta piekļuve arī savstarpējās savienojamības platformai. Vēl viena iespēja varētu būt tāda, ka piekļuves tiesības savstarpējās savienojamības sistēmai tiek piešķirtas viena un tā paša veida iestādēm visās dalībvalstīs, un to varētu panākt, izveidojot ES līmenī saskaņotu un slēgtu sarakstu, kurā būtu norādīti iestāžu veidi atbilstoši mērķim, kāpēc ir nepieciešama piekļuve informācijai.

Saskaņā ar Nelikumīgi iegūtu līdzekļu legalizācijas novēršanas direktīvu bankas kontu centralizēto mehānismu mērķis ir uzlabot cīņu pret nelikumīgi iegūtu līdzekļu legalizēšanu un teroristu finansēšanu, un šiem mehānismiem var piekļūt tikai noteiktas publiskas iestādes. Ar Direktīvu par finanšu un citas informācijas izmantošanas atvieglošanu tiek paplašināts informācijas izmantošanas mērķis centralizētajos mehānismos, aptverot arī smagus noziegumus un piešķirot piekļuves tiesības izraudzītām kompetentajām iestādēm. Visbeidzot, tas, kādā apmērā vietējās iestādes, kurām ir tieša piekļuve valsts reģistriem, varēs piekļūt informācijai, ir atkarīgs no dalībvalstīm, kuras šos reģistrus uztur. Tas var radīt pretrunas, jo noteikta veida iestādēm vienā dalībvalstī var būt piekļuve informācijai, bet citā dalībvalstī tā var būt liegta. Veicot pārrobežu informācijas apmaiņu ES mēroga savstarpējās savienojamības sistēmas ietvaros, tas var radīt situāciju, kad iestāde pieprasa informāciju no reģistra citā dalībvalstī, kurā šāda meklēšana līdzvērtīgai iestādei ir liegta.

1. tabula. Lietotājiem paredzētās sistēmas pieejamība mijiedarbībai ar savstarpēji savienotām IT sistēmām

Pieejama EUCARIS valstu kontaktpunktiem, ar kuru starpniecību publiskas iestādes var saņemt piekļuvi atkarībā no sadarbības juridiskā pamata.

Izvērtējot esošās sistēmas, ir skaidrs, ka lietotājiem paredzētās sistēmas pieejamība mijiedarbībai ar savstarpēji savienotām IT sistēmām ir atkarīga no mērķa, kādam tā ir izveidota. Ja savstarpējas savienojamības mērķis ir uzlabot informācijas pārredzamību uzņēmumiem iekšējā tirgū (BRIS, IRI), sistēma ir publiski pieejama. Ja savstarpējas savienojamības mērķis ir uzlabot pārrobežu sadarbību starp kompetentajām iestādēm tiesībaizsardzības vai valsts pārvaldes nolūkā, kā tas ir ECRIS vai EUCARIS Prīmes pakalpojuma gadījumā, piekļuve ir ierobežota.

BRIS gadījumā Komisijas iekšējā struktūra politikas lēmumu pieņemšanas, BRIS pārraudzības un pārvaldības kontekstā ir BRIS koordinācijas komiteja, savukārt struktūra sadarbībai starp iesaistītajiem dalībniekiem politikas līmenī ir Uzņēmējdarbības reģistru savstarpējās savienojamības sistēmas Uzņēmējdarbības tiesību ekspertu grupa (CLEG-BRIS). Līdzīgs nošķīrums starp politikas veidošanas un darbības struktūrām ir vērojams arī EUCARIS gadījumā, kur Ģenerālā asambleja, kuras sastāvā ir augsti valdības aģentūru pārstāvji, izstrādā īstenojamo politiku, apstiprina budžetu un ikgadējās iemaksas, kā arī organizē sistēmas pārvaldību.

3.4.Datu kontrole

Atbildība par IT sistēmas uzturēšanu atšķiras no atbildības par datu aizsardzību. Saskaņā ar Vispārīgo datu aizsardzības regulu datu pārzinis ir fiziska vai juridiska persona, kas viena pati vai kopīgi ar citām nosaka personas datu apstrādes nolūkus un līdzekļus un uzņemas atbildību par personas datu apstrādi. Kontroles jautājums ir sarežģīts, un, izvērtējot pārziņa darbību, ir būtiski daudzi faktori, tostarp jautājums par to, kas un kur uzglabā datus.

IRI gadījumā ES platforma tikai savstarpēji savieno decentralizētās valstu datubāzes un visi centrālajā platformā attēlotie dati ir vienkārši “pārejas dati” — ES komponentā netiek saglabāti ne tie, ne ieraksti no lietotāju vaicājumiem tīmekļa pakalpojumā, kas tiek ierakstīti vai glabāti centrā. Situācija ir nedaudz atšķirīga BRIS gadījumā, jo tajā tika ieviesta īpaša uzņēmumu profilu pamatdatu uzglabāšanas funkcija centrālajā komponentā Komisijas līmenī, kuru valstu reģistri regulāri atjaunina. Sākotnējais vaicājums tiek meklēts centrālajā datubāzē, un tā rezultātā tiek atvērts atbilstību saraksts ar uzņēmumu nosaukumiem. Informācijas pieprasītājs var iegūt detalizētus datus par konkrētu uzņēmumu, atbilstību sarakstā atlasot uzņēmuma nosaukumu, un šīs darbības rezultātā tiek nodrošināta tieša savstarpēja savienojamība ar informāciju valsts datubāzē.

Attiecībā uz centralizēto mehānismu iespējamu savstarpēju savienojamību ir jāapsver iespēja izstrādāt IT sistēmu, kurā centrālais maršrutēšanas komponents nesaglabā personas datus un kurā visi lēmumi attiecībā uz datu apstrādes līdzekļiem un nolūkiem tiek pieņemti valsts līmenī. Savstarpējās savienojamības pakalpojuma mērķis būtu vienkārši veicināt datu apstrādi centralizēto mehānismu uzdevumā, saglabājot attiecīgo datu kopu pārziņu funkciju.

3.5.Izveidošanas un uzturēšanas izmaksas

Tādas sistēmas izveide, kas savieno valstu centralizētos mehānismus, radīs izmaksas gan sistēmas ieviešanas, gan uzturēšanas kontekstā, un šīs izmaksas būtu jāsedz, sadalot starp ES un tās dalībvalstīm. Vērtējot izmaksu sadalījumu piemēros, var konstatēt, ka parasti izmaksas attiecībā uz ES komponentu (centrālo maršrutēšanas komponentu, ES platformu) tika finansētas no ES vispārējā budžeta, savukārt dalībvalstis sedza izmaksas, kas nepieciešamas valsts sistēmu pielāgošanai, nodrošinot to sadarbspēju ar ES savstarpējās savienojamības sistēmu. BRIS gadījumā pirmās versijas, kas sāka darboties 2017. gada jūnijā un ietvēra Eiropas Centrālo platformu, izstrādes izmaksas bija aptuveni 1,7 miljoni euro. IRI sistēmas gadījumā, kuras arhitektūra ir vienkāršāka, centralizētās meklēšanas izmēģinājuma sistēmas (IRI 1.0) izstrādes izmaksas bija aptuveni 280 000 euro, savukārt centralizētās meklēšanas lietojumprogrammas pielāgošana IRI 2.0 versijas izveidei izmaksās aptuveni 170 000 euro. ECRIS ieteicamās īstenošanas programmatūras — programmatūra informācijas apmaiņai starp dalībvalstīm saistībā ar sodāmības reģistriem — izstrādes kopējās izmaksas bija 2 050 000 euro. Sistēmas uzturēšanas izmaksas gadā bija 150 000 euro. EUCARIS uzturēšanas vajadzībām katrai iesaistītajai valstij tiek lūgts samaksāt vispārēju maksājumu aptuveni 20 000 euro apmērā.

Šie skaitļi liecina, ka izmaksas par ES mēroga savstarpējas savienojamības sistēmas izveidošanu un uzturēšanu ir relatīvi zemas, salīdzinot ar ieguvumiem, ko šāds projekts sniedz ES. Izmaksu efektivitāti varētu uzlabot, izmantojot esošos resursus (piem., eDelivery piekļuves punktus, Eiropas infrastruktūras savienošanas instrumenta pamatelementus, Eiropas Komisijas Informātikas ģenerāldirektorāta pamatleksikonu).

4.Sistēmu tehniskās specifikācijas, ietverot datu drošību

4.1.Izmantotais tīkls un datu drošība

EUCARIS un ECRIS Prīmes pakalpojums izmanto Transeiropas telemātikas pakalpojumus starp administrācijām (TESTA), kas ir privāts tīkls, kurš ir pilnībā nodalīts no publiskā interneta. Izraudzītajiem valstu kontaktpunktiem ir piekļuve šim privātajam tīklam. TESTA tīkla pakalpojumu īsteno Komisija, un tas nodrošina garantētu sniegumu un augsta līmeņa drošību. EUCARIS gadījumā ir iespējama tā lietošana, izmantojot publisko internetu, bet pašlaik tā netiek izmantota. Tas ir savienots ar visām ES iestādēm un valstu tīkliem, un tam tiek dota priekšroka tiesībaizsardzības iestāžu sadarbības kontekstā, kas ietver sensitīvu informāciju. ES iestādes ir izstrādājušas arī citus drošus tīklus, piemēram, kopējo sakaru tīklu / kopējo sistēmu saskarni (CCN/CSI), ko izmanto muitas un nodokļu iestādes.

BRIS, IRI, LRI un EBOCS izmanto publisko internetu (ar atbilstošu šifrēšanas tehnoloģiju attiecībā uz datiem, kas nonāk tīmeklī). Attiecībā uz drošu informācijas apmaiņu publiskajā internetā — eDelivery pamatelements ļauj uzņēmējiem un valstu administrācijām apmainīties ar citām organizācijām ar elektroniskajiem datiem un dokumentiem digitālā formātā sadarbspējīgā, drošā un uzticamā veidā. Tas atbilst elektroniski reģistrētu piegādes pakalpojumu definīcijai, kas dota eIDAS regulas 3. panta 36) punktā.

Iespējamai centralizēto sistēmu savstarpējai savienojamībai, kas pierādāmi ietver sensitīvu informāciju, var paredzēt TESTA izmantošanu. Tomēr varētu apsvērt arī publiskā interneta risinājumus. Gandrīz visu valstu centralizētās sistēmas izmanto publisko internetu. No datu drošības un integritātes viedokļa tas, ka sistēmu veidos decentralizētas datubāzes, samazinās iespējamus riskus, jo decentralizācija un sadalītās tehnoloģijas pašas par sevi ir noturīgākas pret kiberuzbrukumiem, proti, datus ir daudz grūtāk sabojāt vispārējā mērogā un daudz vieglāk atgūt pēc incidentiem.

4.2.Centrālais maršrutēšanas komponents

Ir divi galvenie IT sistēmu arhitektūras veidi — pilnībā decentralizētas sistēmas un sistēmas, kurām ir centrālā platforma vai maršrutēšanas komponents ES līmenī, ko izmanto kā decentralizēto valstu datubāzu “savienošanas instrumentu”.

“Pilnībā sadalītu sistēmu” gadījumā ES platformas vai komponenta nav, bet visas valstis sazinās cita ar citu tieši, izmantojot vienotus standartus, kas nodrošina tiešu vienādranga informācijas apmaiņu starp dalībvalstu savienotajiem punktiem. Kad tiek saņemts vaicājums, tas tiek nosūtīts uz katras citas valsts sistēmu atsevišķi, un saņemtās atbildes tiek apkopotas un attēlotas, izmantojot informācijas pieprasītāja tīmekļa-klienta saskarni. Šo tehnoloģiju izmanto EUCARIS, ECRIS un e-CODEX (paļaujoties uz kopīgi izstrādātu lietojumprogrammu).

“Sadalītās sistēmās ar centrālu maršrutēšanas komponentu” ir centralizēta ES līmeņa platforma: vienots, centralizēts tīmekļa pakalpojums, ko uztur un pārvalda ES līmenī un kas ir savienots ar visu valstu sistēmām. Lietotāji izdara vaicājumus, izmantojot centralizētu tīmekļa pakalpojumu, kas apkopo informāciju no valstu datubāzēm. Šo tehnoloģiju izmanto BRIS, EBOCS un IRI.

Risinājumu ar centrālu maršrutēšanas komponentu varētu būt vienkāršāk īstenot no savienojamības viedokļa. Ja ir viena vienota platforma, katrai dalībvalstij ir jāizveido un jāuztur tikai viens savienojums starp valsts sistēmu un šo centralizēto platformu. Taču, ja “reālas” centralizētas platformas nav, katrai dalībvalstij ir jāizveido, jātestē un jāuztur savienojumi ar visu citu dalībvalstu valsts sistēmām (piem., EUCARIS Prīmes pakalpojums pašlaik ietver gandrīz 756 savienojumus). Pilnībā sadalītas sistēmas problēma ir palielināts savienojumu skaits, kas var radīt vairāk problēmu saistībā ar pārvaldību, kontroli un revīziju. Tomēr liela skaita iespējamu savienojumu pārvaldības problēmai ir tehnoloģiski risinājumi. Tajā pašā laikā ir svarīgi pienācīgi ņemt vērā to, ka centrālā maršrutēšanas sistēmā centrālais komponents var kļūt par visas sistēmas atteices iemeslu.

4.3.Datu apmaiņas protokols

BRIS un e-CODEX izmanto EISI eDelivery risinājumu, savukārt IRI 2.0 izmantos gan EISI eDelivery, gan SOAP komunikācijas modeli. EUCARIS Prīmes pakalpojums un EBOCS izmanto uz SOAP balstītas saskarnes. LRI izmanto RESTful Web Sevices.