6.2 Doprecyzowanie zasad stosowania niektórych przepisów rozporządzenia do przetwarzania danych operacyjnych

6.3 Uprawnienia EIOD dotyczące nadzoru nad jednostkami organizacyjnymi UE

7 Dalsze działania

ZAŁĄCZNIK

1Wprowadzenie

Rozporządzenie o ochronie danych dotyczące instytucji, organów i jednostek organizacyjnych Unii („rozporządzenie 2018/1725” lub „rozporządzenie”) stanowi główne ramy regulacyjne ochrony danych przez instytucje, organy i jednostki organizacyjne Unii, gdy przetwarzają one dane osobowe jako administratorzy lub podmioty przetwarzające. Rozporządzenie to jest częścią filaru dobrych rządów i dobrego postępowania administracyjnego na szczeblu UE. Ma zastosowanie od 11 grudnia 2018 r., kiedy to uchyliło i zastąpiło poprzedzające je rozporządzenie (WE) nr 45/2001.

W niniejszym komunikacie przedstawiono pierwsze sprawozdanie w sprawie stosowania rozporządzenia 2018/1725, zgodnie z jego art. 97. Dokonano w nim również przeglądu aktów prawnych przyjętych na podstawie Traktatów, które to akty prawne regulują przetwarzanie operacyjnych danych osobowych przez organy lub jednostki organizacyjne Unii wykonujące czynności, które wchodzą w zakres współpracy policyjnej i współpracy wymiarów sprawiedliwości w sprawach karnych, zgodnie z art. 98 rozporządzenia.

Komisja zgromadziła informacje dotyczące stosowania rozporządzenia przy pomocy ankiety, którą rozpoczęto w październiku 2021 r., i w ramach której zaproszono instytucje, organy i jednostki organizacyjne Unii do podzielenia się swoimi doświadczeniami w stosowaniu rozporządzenia. Na zaproszenie to odpowiedziało łącznie 56 instytucji, organów i jednostek organizacyjnych Unii, a statystyki przedstawione w niniejszym sprawozdaniu opierają się na tych odpowiedziach. Odrębny wniosek o przedstawienie uwag przesłano do Europejskiego Inspektora Ochrony Danych (EIOD) jako do organu pełniącego rolę nadzorczą. Ponadto Komisja opublikowała również zaproszenie do zgłaszania uwag, co umożliwiło także społeczeństwu przedstawienie swoich uwag. W niniejszym sprawozdaniu omówiono kwestie poruszone w bardzo nielicznych zgłoszeniach otrzymanych w odpowiedzi na zaproszenie do zgłaszania uwag.

W niniejszym sprawozdaniu wskazano, że rozporządzenie 2018/1725 stanowi część unijnych ram ochrony danych, przedstawiono jego zastosowanie w działaniach instytucji, organów i jednostek organizacyjnych Unii i EIOD oraz przeanalizowano stosowanie rozdziału, który ma zastosowanie do unijnych jednostek organizacyjnych prowadzących działania w zakresie współpracy policyjnej i współpracy wymiarów sprawiedliwości w sprawach karnych. Sprawozdanie zakończono zarysowaniem dalszych działań.

2Oddzielne przepisy o ochronie danych dotyczące instytucji, organów i jednostek organizacyjnych Unii dostosowane do prawodawstwa UE w dziedzinie ochrony danych

Głównymi instrumentami w dziedzinie ochrony danych w UE są ogólne rozporządzenie o ochronie danych („RODO”), dyrektywa o ochronie danych w sprawach karnych oraz dyrektywa o prywatności i łączności elektronicznej. Nie mają one jednak zastosowania do przetwarzania danych osobowych przez instytucje, organy i jednostki organizacyjne Unii. Potrzebne są zatem odrębne, lecz spójne z powyższymi aktami przepisy o ochronie danych dotyczące konkretnie instytucji, organów i jednostek organizacyjnych Unii. Przepisy te określono właśnie w rozporządzeniu 2018/1725.

W celu zapewnienia spójnego podejścia do ochrony danych osobowych i swobodnego przepływu takich danych w UE rozporządzenie 2018/1725 dostosowano w miarę możliwości do przepisów o ochronie danych przyjętych w odniesieniu do sektora publicznego, określonych w RODO i w dyrektywie o ochronie danych w sprawach karnych. W każdym przypadku, w którym przepisy rozporządzenia 2018/1725 opierają się na tych samych założeniach, co przepisy RODO, należy interpretować je tak samo, gdyż należy uznawać je za równoważne z RODO. To samo można przyjąć w odniesieniu do przepisów spójnych z dyrektywą o ochronie danych w sprawach karnych.

Jak opisano w punktach poniżej, rozporządzenie 2018/1725 dostosowano do szczególnego kontekstu instytucji, organów i jednostek organizacyjnych Unii.

·Ponieważ zakres jego stosowania dotyczy wyłącznie instytucji, organów i jednostek organizacyjnych Unii jako organów publicznych, pominięto w nim kilka przepisów z RODO, które mają zastosowanie wyłącznie do sektora prywatnego. Nie przewidziano w nim na przykład możliwości, by podstawą prawną przetwarzania danych były „prawnie uzasadnione interesy” administratora.

·W rozporządzeniu 2018/1725 nie powtórzono jako takich kilku uprawnień Komisji do przyjmowania aktów wykonawczych lub delegowanych, lecz zamiast tego zawarto w nim odesłania do RODO lub dyrektywy o ochronie danych w sprawach karnych. Rozporządzenie 2018/1725 nie przewiduje na przykład mechanizmu umożliwiającego przyjmowanie decyzji stwierdzających odpowiedni stopień ochrony w odniesieniu do międzynarodowego przekazywania danych, jednak instytucje, organy i jednostki organizacyjne Unii mogą opierać się również na decyzjach stwierdzających odpowiedni stopień ochrony przyjętych na podstawie RODO lub dyrektywy o ochronie danych w sprawach karnych.

·W rozporządzeniu 2018/1725 ustanowiono też bezpośrednio Europejskiego Inspektora Ochrony Danych (EIOD), określając jego zadania, uprawnienia i procedury jego powoływania. Zgodnie z RODO i dyrektywą o ochronie danych w sprawach karnych odpowiednie organy nadzorcze ustanawia się na podstawie prawa krajowego, zgodnie z wymogami tych dwóch aktów prawnych.

·Rozdział rozporządzenia mający zastosowanie do organów i jednostek organizacyjnych UE w obszarze ścigania przestępstw jest dla tych organów i jednostek organizacyjnych funkcjonalnie równoważny z dyrektywą o ochronie danych w sprawach karnych. Jako że rozporządzenie jest stosowane bezpośrednio, jego przepisy są jednak sformułowane w odmienny sposób. Określono w nim ogólne przepisy, które należy w stosownych przypadkach uzupełnić przepisami szczegółowymi w dokumentach ustanawiających organy i jednostki organizacyjne działające w tym obszarze. Określono w nim dostosowany system przetwarzania operacyjnych danych osobowych, przy uwzględnieniu szczególnego charakteru tego sektora, np. przepisów dotyczących informowania osób, których dane dotyczą, co zapewnia ochronę w ramach postępowania przygotowawczego.

3Wdrażanie rozporządzenia 2018/1725 w instytucjach, organach i jednostkach organizacyjnych Unii