KOMUNIKAT KOMISJI DO PARLAMENTU EUROPEJSKIEGO na podstawie art. 294 ust. 6 Traktatu o funkcjonowaniu Unii Europejskiej dotyczący

punkt kompleksowej obsługi: „pojedynczy punkt kontaktowy” dla podmiotów gospodarczych: spółki będą musiały zwracać się wyłącznie do jednego organu nadzorczego, a nie do 28 organów. Dzięki temu prowadzenie działalności gospodarczej w całej UE stanie się łatwiejsze i tańsze;

prawa do przenoszenia danych – ułatwi to osobom fizycznym przenoszenie danych osobowych między dostawcami usług.

prawa do otrzymania informacji w przypadku złamania zabezpieczeń danych – spółki mają obowiązek zawiadomienia organu nadzorczego o naruszeniach ochrony danych, które narażają osoby fizyczne na ryzyko i przekazania informacji dotyczących wszystkich naruszeń wysokiego ryzyka, tak aby użytkownicy mogli podjąć odpowiednie działania;

„prawa do bycia zapomnianym” – jeżeli dana osoba fizyczna nie życzy sobie dłużej, aby jej dane były przetwarzane, oraz pod warunkiem że nie istnieją uzasadnione przesłanki ich zatrzymania, dane zostaną usunięte;

zapewnienia łatwiejszego dostępu osób fizycznych do ich danych osobowych – osoby fizyczne będą miały do dyspozycji więcej jasnych i zrozumiałych informacji na temat sposobu, w jaki ich dane są przetwarzane;

Zmiany te umożliwią społeczeństwu większą kontrolę nad danymi osobowymi i ułatwią mu do nich dostęp. Zostały one wypracowane z myślą o zapewnieniu ochrony danych osobowych, niezależnie od tego, gdzie się one znajdują. Nowe przepisy pozwalają rozwiać obawy związane z powyższymi zagadnieniami w drodze:

W związku z tym w dniu 25 stycznia 2012 r. Komisja przedstawiła wniosek dotyczący rozporządzenia mającego zastąpić dyrektywę 95/46/WE i określającego ogólne unijne ramy ochrony danych. We wniosku dotyczącym rozporządzenia zmodernizowano zasady przyjęte w dyrektywie z 1995 r., tym samym dostosowano je do ery cyfrowej oraz zharmonizowano przepisy dotyczące ochrony danych w Europie. Rygorystyczne przepisy dotyczące ochrony danych są niezbędne, tak aby osoby fizyczne ponownie nabrały zaufania do metod wykorzystywania ich danych.

Dyrektywa 95/46/WE – będąca głównym instrumentem prawnym w zakresie ochrony danych osobowych w Europie – była przełomowym dokumentem w historii ochrony danych. Nadal aktualne są jej cele polegające na zapewnieniu funkcjonowania jednolitego rynku i skutecznej ochrony praw podstawowych i wolności osób fizycznych. Została ona jednak przyjęta 21 lat temu, kiedy internet dopiero raczkował. W dzisiejszym nowym, wymagającym środowisku cyfrowym istniejące przepisy nie zapewniają wymaganego stopnia harmonizacji ani niezbędnej skuteczności gwarantującej prawo do ochrony danych osobowych.

KOMUNIKAT KOMISJI DO PARLAMENTU EUROPEJSKIEGO na podstawie art. 294 ust. 6 Traktatu o funkcjonowaniu Unii Europejskiej dotyczący

Ponadto proponowane rozporządzenie przewiduje, że organy nadzorcze będą mogły nakładać grzywny na przedsiębiorstwa, które nie przestrzegają unijnych przepisów do wysokości 2 % ich całkowitego rocznego obrotu.

3.Uwagi dotyczące stanowiska Rady

Stanowisko Rady odzwierciedla porozumienie polityczne osiągnięte przez Parlament Europejski i Radę w dniu 15 grudnia 2015 r. w ramach nieformalnych rozmów trójstronnych, które zostało następnie zatwierdzone przez Radę w dniu 8 kwietnia 2016 r.

Komisja popiera to porozumienie, ponieważ jest ono zgodne z celami przedstawionego przez nią wniosku.

W porozumieniu zachowano charakter instrumentu prawnego zaproponowany przez Komisję, czyli jest to rozporządzenie, a nie dyrektywa, której przyjęcie oznaczałoby konieczność transpozycji jej przepisów do 28 krajowych systemów prawnych. Ponadto zapewnia ono niezbędny poziom harmonizacji, pozostawiając pewien margines swobody państwom członkowskim co do szczegółowych rozwiązań w przepisach dotyczących ochrony danych w sektorze publicznym.

W swoim stanowisku Rada potwierdziła podejście Komisji co do terytorialnego zakresu stosowania rozporządzenia, mianowicie rozporządzenie będzie miało zastosowanie również do administratorów lub podmiotów przetwarzających mających siedzibę w państwie trzecim, jeżeli sprzedają oni towary lub świadczą usługi bądź monitorują zachowanie osób, których dane dotyczą, na terytorium Unii.

Porozumienie, zgodnie z podejściem Komisji, wzmacnia zasady przetwarzania danych (np. zasada minimalizacji danych) oraz prawa osób, których dane dotyczą, w drodze zapisania prawa do bycia zapomnianym i prawa do przenoszenia danych oraz dalszego kształtowania istniejących praw, takich jak prawo do informacji bądź prawo dostępu.

Ponadto w porozumieniu utrzymano i opracowano szerzej podejście oparte na analizie ryzyka, zaprezentowane już we wniosku Komisji, zgodnie z którym to podejściem administratorzy danych oraz w niektórych przypadkach podmioty przetwarzające uwzględniają charakter, zakres, kontekst i cele przetwarzania oraz ryzyka o zróżnicowanym prawdopodobieństwie wystąpienia i nasileniu dla praw i wolności podmiotu, którego dane dotyczą, wynikające z takiego przetwarzania. Ponadto porozumienie, jakie osiągnięto w sprawie „mechanizmu kompleksowej obsługi”, jest prawnie i instytucjonalnie zasadne oraz przynosi znaczną wartość dodaną spółkom i osobom, których dane dotyczą. Mechanizm ten będzie działał zgodnie z zasadą, że decyzję podejmuje „najbardziej kompetentny organ”, i będzie obejmował wyłącznie sprawy mające znaczący wymiar transgraniczny. W następstwie posiedzenia w Radzie utrzymano główne uproszczenie, jakim jest konieczność uzyskiwania jednej decyzji na terytorium całej UE, oraz zasadę kontaktowania się z jedną osobą zarówno w przypadku podmiotów gospodarczych, jak i osób fizycznych.

Ponadto porozumienie to wyjaśnia i precyzuje zasady dotyczące międzynarodowego przekazywania danych, np. w odniesieniu do kryteriów, które należy uwzględnić przy ocenie poziomu ochrony w państwie trzecim, lub narzędzi, które mogą zapewnić odpowiednie gwarancje na potrzeby międzynarodowego przekazywania danych.

Stanowisko Rady upoważnia organy nadzorcze do nakładania sankcji finansowych za naruszanie przepisów rozporządzenia, nawet do wysokości 2 – 4 % całkowitego rocznego obrotu przedsiębiorstwa.

W przeciwieństwie do wniosku Komisji stanowisko Rady nie uznaje rozporządzenia za środek służący rozwinięciu dorobku Schengen. Komisja uważa zatem, że oświadczenie w tej kwestii nie jest konieczne.

4.Podsumowanie

Komisja popiera wyniki negocjacji międzyinstytucjonalnych i może zatem przyjąć stanowisko Rady w pierwszym czytaniu.

5.Oświadczenie Komisji – rozporządzenie o znaczeniu dla Schengen

„Komisja wyraża ubolewanie, że do jej pierwotnego wniosku wprowadzono zmiany w drodze wykreślenia motywów 136, 137 i 138 związanych z dorobkiem Schengen. Komisja uważa, że w szczególności w odniesieniu do wiz, kontroli granic i powrotów, ogólne rozporządzenie o ochronie danych stanowi rozwój dorobku Schengen w przypadku czterech państw włączonych we wdrażanie, stosowanie i rozwój tego dorobku.”