80.

EIOD podkreśla, że szczegółowe warunki i środki zabezpieczające można zdefiniować wyłącznie indywidualnie, po uwzględnieniu wszystkich wskaźników wymiany danych. Jako wskazówki EIOD wyszczególnia poniżej niektóre z zasad i środków zabezpieczających, które osoby trzecie będące odbiorcami danych muszą wprowadzić w celu umożliwienia przekazania danych: — należy sprawdzić, jakie jest prawne uzasadnienie, w ramach którego mają miejsce działania z zakresu przetwarzania danych (tj. czy operacje przetwarzania są oparte na wymogu prawnym, na zgodzie osób, których dane dotyczą, czy innym ważnym uzasadnieniu?) oraz czy przekazywanie danych jest zgodne z pierwotnym celem gromadzenia danych. Przekazywanie danych nie powinno wychodzić poza zakres określonego celu, — ilość i rodzaje danych osobowych, które mają podlegać wymianie, powinny zostać jasno określone i zminimalizowane do tego, co niezbędne w celu osiągnięcia celu przekazania danych. Dane osobowe zgromadzone i przekazane mogą w szczególności zawierać adresy IP użytkowników Internetu, datę i czas domniemanego przestępstwa i rodzaj przestępstwa. EIOD zaleca, by dane nie były wiązane z konkretną osobą fizyczną na etapie ścigania i przypomina, że identyfikacja podejrzanej osoby musi nastąpić zgodnie z prawem i pod nadzorem sądu. W tym względzie EIOD podkreśla, że dane odnoszące się do naruszeń praw własności intelektualnej i podejrzeń o naruszenia są specjalną kategorią danych, których przetwarzanie jest zazwyczaj zarezerwowane dla organów ścigania i wymaga zastosowania dodatkowych środków zabezpieczających. Osoby upoważnione do przetwarzania danych odnoszących się do naruszeń praw własności intelektualnej i podejrzeń o naruszenia oraz warunki przetwarzania tych danych muszą zatem zostać szczegółowo określone zgodnie z istniejącymi przepisami w zakresie ochrony danych, — osoby, wśród których dane mogą być wymieniane, muszą zostać wyraźnie wskazane i następnie przekazywanie danych innym odbiorcom powinno być zasadniczo zakazane, chyba że takie przekazywanie jest niezbędne dla konkretnego przypadku ścigania. Ograniczenie to ma szczególne znaczenie, ponieważ wyznaczeni odbiory nie powinni bezpodstawnie dzielić się informacjami z nieupoważnionymi odbiorcami, — EIOD spodziewa się, że ACTA nie tylko określi współpracę pomiędzy organami publicznymi, ale również powierzy zadania z zakresu egzekwowania prawa prywatnym organizacjom ( takim jak dostawcy usług internetowych, organizacje właścicieli praw autorskich itp.). W tym ostatnim przypadku warunki i stopień zaangażowania prywatnych organizacji w egzekwowanie praw własności intelektualnej muszą zostać ostrożnie ocenione, w tym sensie, że postanowienia ACTA nie powinny de facto nadawać dostawcom usług internetowych i organizacjom właścicieli praw własności intelektualnej prawa do monitorowania działań użytkowników on-line. Ponadto przetwarzanie danych osobowych przez prywatne organizacje w kontekście egzekwowania prawa powinno mieć miejsce wyłącznie w oparciu o właściwą podstawę prawną. Ważne również, by wyraźnie określić, czy prywatne organizacje będą zobowiązane do współpracy z policją oraz zdefiniować zakres takiej współpracy. We wszystkich przypadkach powinno się to ograniczać do „poważnych przestępstw”, których precyzyjna definicja również będzie niezbędna, ponieważ nie wszystkie naruszenia praw własności intelektualnej uznaje się za poważne przestępstwa, — metoda wykorzystywana do wymiany danych osobowych musi zostać doprecyzowana, w szczególności należy określić, czy wymiana będzie przebiegać w ramach systemu pchającego – np. dostawcy usług internetowych i organizacje właścicieli praw intelektualnych przekazywaliby w ramach pełnionej kontroli dane osobom trzecim, takim jak policja i organy ścigania, znajdującym się za granicą – lub system ssący – np. policja i organy ścigania miałyby bezpośredni dostęp do baz danych prywatnych podmiotów lub baz danych, w których informacje byłyby scentralizowane. Jak już przedstawiono w kontekście danych PNR, system pchający jest jedyną opcją zgodną z zasadami ochrony danych z punktu widzenia ochrony danych w UE, ponieważ upoważnia nadawcę z UE, którym najczęściej jest administrator danych, do pełnienia kontroli nad przesyłaniem danych (47). — należy określić czas, na jaki dane osobowe będą zatrzymywane oraz cel, dla którego takie zatrzymywanie jest konieczne. Ten okres zatrzymywania danych powinien być proporcjonalny do obranego celu, co oznacza, że dane powinny zostać usunięte/skasowane, gdy nie są już potrzebne do osiągnięcia tego celu, — należy wyraźnie określić obowiązki spoczywające na administratorach danych w państwach trzecich. Należy zagwarantować mechanizmy nadzoru lub mechanizmy pociągania do odpowiedzialności tak, by istniały skuteczne środki zaradcze i sankcje wobec administratorów danych w przypadku bezpodstawnego przetwarzania danych lub innych tego rodzaju zdarzeń. Ponadto należy prowadzić mechanizmy odwoławcze, by osoby fizyczne mogły złożyć skargę do niezależnego organu ochrony danych i by mogły domagać się swoich praw przed niezawisłym i bezstronnym sądem (48), — instrument wprowadzony pomiędzy stronami powinien jasno określać prawa osób, których dane dotyczą, w odniesieniu do ich danych osobowych, jeśli dane takie są przetwarzane przez osobę trzecią będącą odbiorcą, by zagwarantować im skuteczne środki egzekwowania swoich praw w odniesieniu do przetwarzania odbywającego się za granicą, — ponadto przejrzystość ma zasadnicze znaczenie i strony instrumentu ochrony danych muszą uzgodnić, w jaki sposób będą informować osoby, których dane dotyczą, o mającym miejsce przetwarzaniu danych oraz o ich prawach i sposobach ich wykonywania.