ODPORÚČANIE KOMISIE

z 1. marca 2011

o usmerneniach týkajúcich sa implementácie pravidiel ochrany údajov v systéme spolupráce v oblasti ochrany spotrebiteľa (CPCS)

(2011/136/EÚ)

EURÓPSKA KOMISIA,

so zreteľom na Zmluvu o fungovaní Európskej únie, a najmä na jej článok 292,

keďže:

Článok 8 Charty základných práv Európskej únie uznáva právo na ochranu údajov. CPCS by mal zabezpečiť jasnú definíciu rozdielnych povinností a zodpovedností, o ktoré sa členské štáty delia s Komisiou, z hľadiska pravidiel ochrany údajov, ako aj to, aby osoby pracujúce s údajmi dostávali informácie a ľahko dostupné mechanizmy na výkon svojich práv.

Úradníci zodpovední za vynucovacie opatrenia by sa mali obracať na svoje vnútroštátne dozorné orgány na ochranu údajov so žiadosťami o podporu a pomoc ako čo najlepšie implementovať usmernenia v súlade s vnútroštátnymi zákonmi a v prípade potreby zabezpečiť, aby sa oznamovanie a postupy pred kontrolou, ktoré sa vzťahujú na operácie spracovávania údajov v rámci CPCS, vykonávali na vnútroštátnej úrovni.

Spätná väzba o implementácii usmernení by sa mala poskytnúť Komisii najneskôr dva roky po prijatí tohto odporúčania. Komisia by potom mala vykonať ďalšie hodnotenie úrovne ochrany údajov v CPCS a mala by zhodnotiť, či sú potrebné dodatočné nástroje vrátane regulačných opatrení.

Mali by sa podniknúť potrebné kroky na uľahčenie implementácie usmernení aktérmi a používateľmi CPCS. Vnútroštátne orgány na ochranu údajov a európsky dozorný úradník pre ochranu údajov by mali v úzkej spolupráci monitorovať trendy a implementáciu záruk na ochranu údajov v CPCS.

PRIJALA TOTO ODPORÚČANIE:

Členské štáty by mali dodržiavať usmernenia stanovené v prílohe.

(1) Ú. v. EÚ L 364, 9.12.2004, s. 1.

(2) Ú. v. ES L 281, 23.11.1995, s. 31.

(3) Ú. v. ES L 8, 12.1.2001, s. 1.

(4) Ú. v. EÚ L 32, 6.2.2007, s. 192.

(5) Stanovisko 6/2007 k otázkam ochrany údajov v súvislosti so systémom spolupráce v oblasti ochrany spotrebiteľa (CPCS) 01910/2007/EN – WP 130 – prijaté 21. septembra 2007.

(6) Stanovisko EDPS pod ref. č. 2010-0692.

PRÍLOHA

Usmernenia k implementácii pravidiel ochrany údajov v systéme spolupráce v oblasti ochrany spotrebiteľa (CPCS)

1. ÚVOD

Spolupráca medzi vnútroštátnymi orgánmi na ochranu spotrebiteľa je nevyhnutná na to, aby mohol vnútorný trh správne fungovať, pretože nedostatok efektívneho vynucovania v cezhraničných prípadoch oslabuje dôveru spotrebiteľov k cezhraničným ponukám, a teda ich dôveru k vnútornému trhu, a zároveň narušuje konkurenciu.

CPCS je informačný nástroj zriadený nariadením CPC, ktorý poskytuje štruktúrovaný mechanizmus na výmenu informácií medzi vnútroštátnymi orgánmi na ochranu spotrebiteľa, ktoré sú súčasťou siete CPC. Umožňuje verejnému orgánu požiadať ostatné verejné orgány zo siete CPC o pomoc pri vyšetrovaní a riešení možných porušení právnych predpisov EÚ týkajúcich sa ochrany spotrebiteľa a pri vykonávaní vynucovacích činností na zastavenie nelegálnych obchodných postupov predávajúcich a dodávateľov, ktorí sa zameriavajú na spotrebiteľov žijúcich v iných krajinách EÚ. Žiadosti o informácie a kompletná komunikácia medzi príslušnými verejnými orgánmi vzťahujúca sa na uplatňovanie nariadenia CPC prebiehajú prostredníctvom CPCS.

Cieľom nariadenia CPC je posilniť vynucovanie právnych predpisov v oblasti ochrany spotrebiteľa na vnútornom trhu ustanovením celoeurópskej siete vnútroštátnych vynucovacích orgánov, ako aj stanoviť rámec a všeobecné podmienky, za ktorých budú členské štáty navzájom spolupracovať. V nariadení CPC je stanovené, že k takýmto výmenám žiadostí o informácie a vzájomnú pomoc medzi vnútroštátnymi vynucovacími orgánmi má dochádzať prostredníctvom na to určenej databázy. CPCS vznikol, aby túto administratívnu spoluprácu a výmenu informácií zjednodušil a tým zabezpečil vynucovanie dodržiavania právnych predpisov EÚ týkajúcich sa ochrany spotrebiteľa.

Rozsah spolupráce sa obmedzuje na porušenia právnych predpisov v rámci Spoločenstva v zmysle právnych aktov uvedených v prílohe k nariadeniu CPC, ktoré chráni kolektívne ekonomické záujmy spotrebiteľov.

2. ROZSAH A CIEĽ TÝCHTO USMERNENÍ

Tieto usmernenia sú zamerané na ústredný problém zabezpečenia rovnováhy medzi efektívnou a účinnou vynucovacou spoluprácou medzi príslušnými orgánmi členských štátov pri dodržaní základných práv na súkromie a ochranu osobných údajov.

Osobné údaje sú v smernici o ochrane údajov (1) vymedzené ako akákoľvek informácia, ktorá sa týka identifikovanej alebo identifikovateľnej fyzickej osoby („údajového subjektu“); identifikovateľná osoba je osoba, ktorú možno identifikovať, priamo alebo nepriamo, najmä pomocou overenia identifikačného čísla alebo jedného alebo viacerých faktorov špecifických pre jeho fyzickú, fyziologickú, duševnú, hospodársku, kultúrnu alebo sociálnu identitu.

Keďže vnútroštátni vynucovací úradníci (osoby vybavujúce daný prípad), ktorí sú používateľmi CPCS, nemusia byť vždy odborníkmi na ochranu údajov a nemusia vždy dostatočne poznať požiadavky ochrany údajov predpísané ich vlastnými právnymi predpismi na ochranu údajov, odporúča sa používateľom CPCS poskytnúť usmernenia, v ktorých je fungovanie CPCS vysvetlené z pohľadu praktickej ochrany údajov a v ktorých sú podrobne opísané bezpečnostné záruky, ktoré sú zabudované do systému, a možné riziká spojené s ich používaním.

Cieľom usmernení je ponúknuť odpoveď na najdôležitejšie otázky spojené s ochranou údajov v súvislosti s CPCS a poskytnúť jednoduché vysvetlenie, o ktoré sa môžu všetci používatelia CPCS oprieť. V žiadnom prípade však nie sú komplexnou analýzou možných prípadov ochrany údajov v CPCS.

V každom prípade sa odporúča kontaktovať orgány na ochranu údajov v členských štátoch a tým zaručiť, že tieto odporúčania sa doplnia o špecifické povinnosti stanovené vo vnútroštátnych právnych predpisoch na ochranu údajov. Používatelia CPCS môžu tieto vnútroštátne orgány na ochranu údajov požiadať o ďalšiu pomoc a podporu na zabezpečenie toho, aby sa požiadavky ochrany údajov splnili. Zoznam týchto orgánov s kontaktnými údajmi a webovými stránkami nájdete na:

http://ec.europa.eu/justice_home/fsj/privacy/nationalcomm/#eu

Malo by byť jasné, že spracovanie osobných údajov by malo prebiehať v súlade so špecifickými zásadami a podmienkami stanovenými v smernici o ochrane údajov. Osoby, ktoré vybavujú daný prípad, majú v rámci nariadenia právo vymieňať si údaje, vrátane osobných údajov, prostredníctvom CPCS, ak je účelom spracovávania zastavenie porušovania právnych predpisov zákonov o spotrebiteľovi v EÚ, tak ako je to uvedené v prílohe k nariadeniu CPC. Pred spracovaním takýchto údajov je však treba dôkladne zhodnotiť, či boli dodržané pravidlá ochrany a či je spracovanie údajov nevyhnutné na dosiahnutie cieľov nariadenia CPC.

Na základe toho bude potrebné, aby osoby, ktoré vybavujú daný prípad a majú prístup k CPCS, vykonali pri každom prípade hodnotenie pred tým, ako začnú samotné osobné údaje spracovávať (2). Cieľom týchto usmernení je pomáhať s týmto hodnotením osobám, ktoré daný prípad vybavujú poskytnutím istých hlavných zásad ochrany údajov, ktoré sa musia vziať do úvahy.

Cieľom je tiež objasniť niektoré komplexné prvky štruktúry CPCS s ohľadom na spoločné operácie spracovávania a spoločnú kontrolu ustanovením úlohy Komisie a úlohy príslušných orgánov členských štátov ako „spolukontrolórov“ výmen údajov CPCS.

3. CPCS – INFORMAČNÝ NÁSTROJ PRE SPOLUPRÁCU V OBLASTI VYNUCOVANIA

CPCS je informačný nástroj vytvorený a spravovaný Komisiou v spolupráci s členskými štátmi. Cieľom CPCS je pomáhať členským štátom s praktickým vykonávaním právnych predpisov na ochranu spotrebiteľa v EÚ. Používa ho sieť CPC, ktorá pozostáva z verejných orgánov určených členskými štátmi a krajinami EHP pre vzájomnú spoluprácu a výmenu informácií v rámci vynucovania právnych predpisov na ochranu spotrebiteľa tak, ako je to uvedené v nariadení CPC.

Článok 10 nariadenia CPC uvádza:

„Komisia vedie elektronickú databázu, do ktorej ukladá a v ktorej spracováva informácie prijaté podľa článkov 7, 8 a 9. Iba príslušné orgány sprístupnia databázu na účely konzultácií …“

Článok 12 ods. 3 nariadenia CPC dodáva:

„Žiadosti o pomoc a všetky oznámenia informácií sa podávajú písomne na štandardnom tlačive a posielajú sa elektronicky prostredníctvom databázy zriadenej článkom 10.“

CPCS zjednodušuje spoluprácu a výmenu informácií obmedzenú len na porušovanie smerníc a nariadení v rámci Spoločenstva uvedených v prílohe k nariadeniu CPC, ktoré sa týkajú rôznych tém vrátane nespravodlivých obchodných postupov, predaja na diaľku, spotrebiteľských úverov, prepravy balíkov, neférových zmluvných podmienok, časovo vymedzeného využívania nehnuteľností, elektronického obchodu atď. CPCS sa nedá použiť na výmenu informácií v legislatívnych oblastiach, ktoré nie sú špecificky uvedené v tejto prílohe.

Príklady:

I. Obchodník so sídlom v Belgicku používa pri svojom jednaní so spotrebiteľmi z Francúzska nekalé praktiky, pričom porušuje smernicu o nekalých zmluvných podmienkach. Spotrebiteľský orgán vo Francúzsku môže využiť CPCS na podanie žiadosti spotrebiteľskému orgánu v Belgicku o vykonanie potrebných vynucovacích opatrení dostupných v Belgicku proti obchodníkovi, aby sa okamžite zastavilo porušovanie právnych predpisov v rámci Spoločenstva.

II. Spotrebiteľský orgán v Dánsku dostane sťažnosti na to, že istá webová stránka používa podvodné a klamné obchodné postupy, ktoré poškodzujú spotrebiteľov. Táto webová stránka je zaregistrovaná vo Švédsku. Dánsky spotrebiteľský orgán potrebuje informácie v súvislosti s touto webovou stránkou. Preto môže použiť CPCS na podanie žiadosti o informácie švédskemu spotrebiteľskému orgánu, ktorý je povinný takéto informácie poskytnúť.

Členské štáty načítajú informácie a uložia ich do CPCS, prístup k nim budú mať tie členské štáty, ktorým boli tieto informácie určené, a vymazávať ich bude Komisia (3). CPCS sa využíva ako depozitár informácií a ako prostriedok výmeny informácií prostredníctvom efektívneho a bezpečného systému komunikácie.

Z pohľadu ochrany údajov predstavuje zriadenie takejto databázy vždy isté riziká porušenia základného práva na ochranu údajov: výmena väčšieho množstva údajov, ako je nevyhnutne potrebné na účely efektívnej spolupráce; zachovávanie údajov, ktoré sa mali vymazať, uchovávanie údajov, ktoré už nie sú presné alebo sú nesprávne, ako aj neschopnosť zabezpečiť, aby boli rešpektované práva „údajových subjektov“ a povinnosti kontrolórov údajov. Preto je potrebné predísť takýmto rizikám zabezpečením toho, aby boli používatelia CPCS dobre informovaní a vyškolení v pravidlách ochrany údajov a aby dokázali zabezpečiť zhodu s príslušnými právnymi predpismi na ochranu údajov.

4. PRÁVNY A DOZORNÝ RÁMEC OCHRANY ÚDAJOV

Európska únia má právny rámec na ochranu údajov zriadený od roku 1995: ide o smernicu o ochrane údajov (4), ktorou sa riadi spracovávanie osobných údajov členskými štátmi a nariadenie o ochrane údajov (5), ktorým sa riadi spracovávanie osobných údajov inštitúciami a orgánmi Európskej únie. Uplatňovanie príslušného právneho predpisu na ochranu údajov závisí v súčasnosti od toho, kto je aktérom a kto používateľom CPCS.

Zákony o spracovávaní, ku ktorým sa zaviazala Komisia a ktoré sa riadia nariadením o ochrane údajov, a zákony o spracovávaní, ku ktorým sa zaviazali osoby, ktoré vybavujú daný prípad v príslušných národných vynucovacích orgánoch, sa riadia vnútroštátnymi právnymi predpismi na transpozíciu smernice o ochrane údajov.

Komisia a určené príslušné orgány, ako spolukontrolóri, ktorí sú dvomi hlavnými aktérmi so špecifickými úlohami v CPCS, majú povinnosť oznamovať a zasielať svoje operácie spracovávania údajov na predbežnú kontrolu príslušnými dozornými orgánmi a zabezpečovať súlad s pravidlami ochrany údajov. Napriek tomu môžu byť vo vnútroštátnych právnych predpisoch na transpozíciu smernice o ochrane údajov uvedené výnimky tak z oznamovacej povinnosti, ako aj z predbežnej kontroly.

Harmonizácia právnych predpisov na ochranu údajov bola určená tak na zabezpečenie vysokej úrovne ochrany údajov, ako aj na ochranu základných práv jednotlivcov, pričom umožnila voľný tok osobných údajov medzi členskými štátmi. Keďže vnútroštátne implementačné opatrenia môžu viesť k vzniku rôznych pravidiel, používateľom CPCS sa v snahe zabezpečenia súladu s pravidlami ochrany údajov odporúča prerokovať tieto usmernenia s ich vnútroštátnymi orgánmi na ochranu údajov, keďže pravidlá sa môžu líšiť napríklad v závislosti od informácií poskytovaných jednotlivcom alebo od povinnosti informovať orgány na ochranu údajov o istých operáciách spracovávania údajov.

Významnou funkciou právneho rámca EÚ na ochranu údajov je dozor zo strany nezávislých orgánov na spracovávanie údajov. Občania majú právo podávať sťažnosti adresované týmto orgánov a promptne riešiť svoje problémy s ochranou údajov mimosúdnou cestou. Na spracovávanie osobných údajov na vnútroštátnej úrovni dozerajú národné orgány na ochranu údajov a na spracovávanie osobných údajov v rámci európskych inštitúcií dozerá európsky dozorný úradník pre ochranu údajov (EDPS) (6). Komisia preto podlieha dozoru európskeho dozorného úradníka pre ochranu údajov a ostatní používatelia CPCS zasa dozoru vnútroštátnych orgánov na ochranu údajov.

5. KTO JE KTO V CPCS? – OTÁZKA SPOLOČNEJ KONTROLY

CPCS je jasným príkladom spoločných operácií spracovávania a spoločnej kontroly. Keďže v členských štátoch zhromažďujú, zaznamenávajú, šíria a vymieňajú si osobné údaje len príslušné orgány, uchovávanie a vymazávanie týchto údajov na ich serveroch je povinnosťou Komisie. Komisia nemá k týmto osobným údajom prístup, ale považuje sa za správcu a operátora systému.

V dôsledku toho sa dá rozdelenie rôznych úloh a zodpovedností medzi Komisiu a členské štáty zhrnúť takto:

— Každý príslušný orgán je kontrolórom údajov s ohľadom na svoje vlastné činnosti spracovávania údajov.

— Komisia nie je používateľom, ale operátorom systému, je zodpovedná najmä za údržbu a bezpečnosť štruktúry systému. Komisia však má prístup aj k upozorneniam, informáciám o spätnej väzbe a iným informáciám spojeným s prípadom (7). Účelom prístupu Komisie je monitorovať uplatňovanie nariadenia CPC, ako aj právnych predpisov v oblasti ochrany spotrebiteľa uvedených v prílohe k nariadeniu CPC a získavať štatistické informácie vyplývajúce z výkonu týchto povinností. Komisia však nemá prístup k informáciám uvedeným v žiadostiach o vzájomnú pomoc a vynucovacie opatrenia, pretože tieto sú adresované len príslušným orgánom členských štátov, ktoré riešia konkrétny prípad. Napriek tomu má Komisia v zmysle nariadenia CPC možnosť pomáhať príslušným orgánom v určitých sporoch (8) a byť prizvaná k spoluúčasti na koordinovanom vyšetrovaní, do ktorého sú zapojené viac ako dva členské štáty (9).

— Aktéri CPCS nesú spoločne zodpovednosť za ustanovenia týkajúce sa zákonnosti spracovávania a poskytovania informácií a majú spoločné práva na prístup, námietky a opravy.

— Ako Komisia, tak aj príslušné orgány sú vo svojich úlohách kontrolórov individuálne zodpovedné za zabezpečenie toho, aby pravidlá vzťahujúce sa na ich operácie spracovávania údajov boli kompatibilné s pravidlami ochrany údajov.

6. AKTÉRI A POUŽÍVATELIA V CPCS

V rámci CPCS existujú rôzne profily prístupu: prístup k databáze je obmedzený a pridelený len menovanému úradníkovi príslušného orgánu (oprávnený používateľ), ktorý nie je prenosný. Žiadosti o prístup k CPCS sa môžu udeliť len úradníkom oznámeným Komisii zo strany príslušných orgánov členských štátov. Na vstup do systému sa požaduje prihlasovacie meno a heslo, ktoré získate u jednotného úradu pre spoluprácu.

Plný prístup ku kompletným informáciám vymieňaným v danom prípade, ktoré zahŕňajú všetky prílohy v prípadovom súbore CPCS, majú iba používatelia v dožadovaných a dožadujúcich orgánoch. Jednotné úrady pre spoluprácu môžu vidieť len kľúčové informácie o prípade, ktoré im umožňujú identifikovať príslušný orgán, ktorému sa musí zaslať žiadosť. Nemôžu vidieť dôverné dokumenty pripojené k žiadosti alebo upozorneniu.

V prípadoch vynucovania sú všeobecné informácie rozdelené medzi používateľov vo všetkých príslušných orgánoch, ktorým bolo oznámené, že zodpovedajú za porušované zákony. Toto sa vykonáva prostredníctvom oznámení. Tieto oznámenia by mali poskytovať širší opis prípadu a nemali by obsahovať osobné údaje. Môžu existovať aj výnimky ako napr. v prípade mena predávajúceho alebo dodávateľa (ak ide o fyzické osoby).

Komisia nemá prístup k informáciám a žiadostiam o vynucovanie ani k dôverným dokumentom, ale prijíma oznámenia a upozornenia.

7. ZÁSADY OCHRANY ÚDAJOV PLATNÉ PRE VÝMENU INFORMÁCIÍ

Spracovávanie osobných údajov používateľmi CPCS v členských štátoch sa môže vykonať len za podmienok a v súlade so zásadami, ktoré sú stanovené v smernici o ochrane údajov. Kontrolór údajov je zodpovedný za zabezpečenie dodržania zásad ochrany údajov pri ich spracovávaní v CPCS.

Treba tiež podotknúť, že na CPCS sa vzťahujú pravidlá utajovania a ochrany údajov. Pravidlá utajovania a profesionálneho tajomstva sa môžu vzťahovať na údaje vo všeobecnosti, pričom pravidlá ochrany údajov sa obmedzujú na osobné údaje.

Je dôležité mať na pamäti, že používatelia CPCS v členských štátoch sú zodpovední za mnohé ostatné operácie spracovávania a nemusia byť odborníkmi na ochranu údajov. Zhoda ochrany údajov v CPCS nemusí byť zbytočne komplikovaná ani predstavovať nadmernú administratívnu záťaž. Rovnako nemusí ísť o jediný vzor pre všetky systémy. Tieto usmernenia sú odporúčaniami pre spracovávanie osobných údajov a malo by sa pripomenúť, že nie všetky údaje vymieňané v rámci CPCS sú osobné údaje.

Pred každým načítaním informácií do CPCS musia vynucovací úradníci zvážiť, či sú osobné údaje, ktoré sa majú poslať, nevyhnutné na dosiahnutie cieľov efektívnej spolupráce, a zvážiť, komu osobné údaje pošlú. Vynucovací úradník sa musí sám seba spýtať, či príjemca striktne potrebuje prijímať tieto informácie na účely upozornenia alebo žiadosti o vzájomné dodržiavanie.

Nasledujúci zoznam základných zásad ochrany údajov je zameraný na pomoc vynucovacím úradníkom, ktorí majú prístup k CPCS, aby mohli od prípadu k prípadu posúdiť, či sú pravidlá ochrany údajov spojené so spracovávaním osobných údajov dodržiavané pri každom spracovávaní osobných údajov v rámci systému. Vynucovací úradníci by mali mať na pamäti, že výnimky a obmedzenia uplatňovania zásad ochrany údajov, ktoré sú uvedené nižšie, môžu existovať na národnej úrovni, a mali by kontaktovať svoje národné orgány pre ochranu údajov (10).

Ktoré zásady ochrany údajov je potrebné dodržiavať?

Všeobecné zásady ochrany údajov, ktoré je potrebné mať na pamäti pred začatím spracovávania akýchkoľvek osobných údajov, sú založené na smernici o ochrane údajov. Keďže táto smernica bola transponovaná do vnútroštátnych právnych predpisov, osoby, ktoré vybavujú daný prípad, by sa mali obrátiť na svoje vnútroštátne dozorné orgány na ochranu údajov, pokiaľ ide o uplatňovanie zásad uvedených nižšie, a mali by si overiť, či pri uplatňovaní týchto zásad existujú nejaké výnimky alebo obmedzenia.

Zásada transparentnosti

V zmysle smernice o ochrane údajov má „údajový subjekt“ právo byť informovaný o spracovaní svojich osobných údajov. Kontrolór musí poskytnúť svoje meno a adresu, účel spracovania, príjemcov údajov a všetky ďalšie informácie, ktoré si vyžaduje spravodlivé spracovanie údajov (11).

Údaje sa môžu spracovávať len v týchto prípadoch (12):

— ak na to dal „údajový subjekt“ súhlas,

— ak je spracovanie nevyhnutné pre naplnenie, príp. uzavretie zmluvného vzťahu,

— ak je spracovanie nevyhnutné pre súlad s právnymi záväzkami,

— ak je spracovanie nevyhnutné pre ochranu existenčných záujmov „údajového subjektu“,

— ak je spracovanie nevyhnutné pre splnenie úlohy vykonávanej vo verejnom záujme alebo pri výkone úradnej moci pridelenej kontrolórovi alebo tretej strane, ktorej sa údaje zverejňujú,

— spracovanie je nevyhnutné na účely uplatňovania zákonných záujmov kontrolórom alebo treťou stranou, príp. stranami, ktorým sa údaje zverejňujú.

Zásada zákonnosti a spravodlivosti

Osobné údaje sa nemôžu zhromažďovať ani spracovávať nespravodlivým alebo nezákonným spôsobom, ani by sa nemali používať na účely, ktoré sú v rozpore s účelmi stanovenými v nariadení CPC. Ak má byť spracovávanie zákonné, osoby, ktoré vybavujú daný prípad, sa musia zaručiť, že majú jasné dôvody opodstatňujúce takúto potrebu spracovávania údajov. Spracovávanie údajov sa musí vykonávať na špecifikované, explicitné a zákonné účely a údaje sa nesmú ďalej spracovávať spôsobmi, ktoré nie sú zlučiteľné s týmito účelmi (13). To je možné zaručiť len nariadením CPC.

Ak má byť spracovávanie spravodlivé, osoby pracujúce s údajmi musia byť informované o účeloch, na ktoré sa budú ich údaje spracovávať, ako aj o práve na prístup, úpravy a námietky.

Zásada proporcionality, presnosti a dĺžky uchovávania údajov

Informácie musia byť úmerné, adekvátne, relevantné a nie neprimerané vo vzťahu k účelom, na ktoré sa zhromažďujú a/alebo ďalej spracúvajú. Údaje musia byť presné a v prípade potreby aktualizované; musia sa vykonať všetky primerané kroky na to, aby sa zaručilo, že údaje, ktoré sú nepresné alebo neúplné, budú s ohľadom na účel ich získania alebo ich ďalšieho spracovania vymazané alebo opravené; osobné údaje musia byť uchovávané vo formáte, ktorý umožňuje identifikáciu „údajového subjektu“ v lehote, ktorá zodpovedá účelu ich získania alebo spracovania. V systéme musia existovať príslušné bezpečnostné záruky týkajúce sa uchovávania osobných údajov na dlhšie obdobie z historických (dejepisných), štatistických alebo vedeckých dôvodov.

Osoby vybavujúce daný prípad musia posúdiť, či informácie, ktoré spracovávajú, sú skutočne nevyhnutné na dosiahnutie želaného cieľa.

Zásada obmedzenia účelu

Osobné údaje sa musia zhromažďovať na špecifikované, explicitné a zákonné účely a nesmú sa ďalej spracovávať spôsobmi, ktoré nie sú zlučiteľné s týmito účelmi, a musia sa dať do pozornosti osobám pracujúcim s údajmi. Osoby, ktoré vybavujú dané prípady, by mali spracovávať osobné údaje len vtedy, keď na to existuje jasný účel, teda keď existuje právne opodstatnenie v rámci nariadenia CPC, ktoré opodstatňuje tento prevod.

Práva na prístup

„Údajové subjekty“ majú podľa smernice o ochrane údajov (14) právo byť informované o tom, že sa ich osobné údaje spracovávajú, o účeloch takéhoto spracovávania, o príjemcoch údajov a o tom, že majú špecifické práva, teda právo na informácie a opravy. „Údajový subjekt“ má právo na prístup ku všetkým údajom, ktoré sú v jeho prípade spracovávané. „Údajový subjekt“ má takisto právo požiadať o opravu, vymazanie alebo zablokovanie údajov, ktoré sú neúplné, nepresné alebo ktoré nie sú spracovávané v súlade s pravidlami ochrany údajov (15).

Citlivé údaje

Spracovávanie údajov odhaľujúcich rasový alebo etnický pôvod, politické názory, náboženské alebo filozofické presvedčenia, členstvo v odborových zväzoch, zdravie, sexuálny život, trestných činov a usvedčenia z trestných činov je zakázané. Smernica o ochrane údajov (16) však pripúšťa isté výnimky z tohto pravidla, keď sa môžu citlivé údaje spracovávať za určitých podmienok (17). Keďže sa niektorí používatelia CPCS môžu ocitnúť v pozícii, že spracovávajú citlivé údaje (18), odporúča sa im k týmto údajom pristupovať opatrne. Používateľom CPCS sa odporúča kontaktovať vnútroštátny orgán na ochranu údajov ohľadom toho, či sa vyskytujú odchýlky pri spracovávaní citlivých údajov.

Výnimky

V súvislosti s prevenciou, vyšetrovaním, odhaľovaním a stíhaním trestných činov umožňuje smernica o ochrane údajov niekoľko výnimiek. Osoby, ktoré vybavujú daný prípad, by mali pri posudzovaní toho, či sú takéto výnimky možné a v akom rozsahu (19), postupovať na základe vnútroštátnych právnych predpisov. Ak by sa takéto výnimky použili, odporúča sa, aby sa jasne uviedli vo vyhlásení o ochrane osobných údajov každého príslušného orgánu.

Uplatňovanie zásad ochrany údajov

Uplatňovanie uvedených zásad ochrany údajov vo fungovaní CPCS vedie k nasledujúcim odporúčaniam:

1. Používanie CPCS by sa malo prísne obmedziť na účely stanovené v nariadení CPC. Článok 13 ods. 1 nariadenia CPC stanovuje, že oznámené informácie sa môžu použiť len na účel zabezpečenia zhody so zákonmi, ktoré chránia záujmy spotrebiteľov. Tieto zákony sú uvedené v prílohe k nariadeniu CPC.

2. Odporúča sa, aby vynucovací úradníci používali informácie získané zo žiadosti o vzájomnú pomoc alebo z upozornenia len na účely vzťahujúce sa na konkrétny prípad a v prísnom súlade s právnymi požiadavkami týkajúcimi sa ochrany údajov posúdili ešte vopred (ex ante) potrebu spracovania údajov v súvislosti s vyšetrovaniami, ktoré sa vedú v širšom verejnom záujme.

3. Pri výmene údajov vynucovací úradníci od prípadu k prípadu posúdia, kto by mal byť príjemcom spracovávaných informácií.

4. Používatelia CPCS by si mali dôkladne zvážiť otázky, ktoré kladú v žiadosti o vzájomnú pomoc, a nemali by žiadať viac údajov, než je potrebné. Nejde len o dodržiavanie zásad kvality údajov, ale aj o znižovanie administratívnej záťaže.

5. V smernici o ochrane údajov (20) sa požaduje, aby boli osobné údaje presné a aktuálne. Odporúča sa, aby snaha o zabezpečenie presnosti údajov uložených v CPCS vychádzala z príslušného orgánu, ktorý informácie poskytol. CPCS bol doplnený o rozbaľovacie (pop-up) správy, aby osobám, ktoré vybavujú daný prípad, pravidelne pripomínali, že majú skontrolovať, či sú osobné údaje presné a aktuálne.

6. Praktický spôsob, ako informovať „údajové subjekty“ o ich právach, je prostredníctvom vyhlásenia o ochrane osobných údajov na globálnej webovej stránke. Odporúča sa, aby každý príslušný orgán poskytol na svojej webovej stránke vyhlásenie o ochrane osobných údajov. Každé takéto vyhlásenie by malo spĺňať všetky požiadavky na informácie stanovené v smernici o ochrane údajov, zahŕňať odkaz na webovú stránku s vyhlásením o ochrane osobných údajov Komisie a malo by uvádzať ďalšie podrobnosti, vrátane kontaktných údajov príslušného orgánu, ako aj všetky národné obmedzenia práva na prístup k informáciám. Všetci zapojení kontrolóri údajov sú zodpovední za zabezpečenie zverejnenia oznámení o súkromí.

7. „Údajové subjekty“ môžu požiadať o prístup, opravu a vymazanie svojich osobných údajov z viac ako jedného zdroja. Hoci každý príslušný orgán zodpovedá ako kontrolór údajov za svoje vlastné operácie spracovávania údajov, mala by sa zvoliť koordinovaná odpoveď na žiadosti vzťahujúce sa na cezhraničné prípady. Odporúča sa, aby príslušné orgány v takýchto prípadoch informovali ostatné príslušné orgány o prijatí žiadosti. Keď príslušný orgán uzná, že udelenie žiadosti by mohlo ovplyvniť postup vyšetrovania alebo vynucovania, ktorý vykonávajú ostatné príslušné orgány, tento príslušný orgán by si mal pred udelením žiadosti vyžiadať stanovisko ostatných príslušných orgánov. „Údajový subjekt“ sa môže so svojou žiadosťou obrátiť aj na Komisiu. Komisia môže schváliť len žiadosť o také údaje, ku ktorým má prístup. Po prijatí žiadosti by sa mala Komisia obrátiť na príslušný orgán, ktorý informácie poskytol. Ak sa nevznesú žiadne námietky alebo ak príslušný orgán neodpovie v rozumnej lehote, Komisia môže rozhodnúť, či schváli, alebo neschváli žiadosť na základe nariadenia o ochrane údajov. Komisia by si mala vyžiadať aj stanovisko príslušných orgánov, ktorých vyšetrovacie a vynucovacie činnosti môžu byť v dôsledku udelenia žiadosti narušené. Komisia by mala zvážiť, či by zapracovanie ďalších technických funkcionalít do systému CPCS takéto výmeny uľahčilo.

8. Rozhodnutím o vykonávaní CPC 2007/76/ES sa v systéme CPCS zavádzajú dátové polia pre mená riaditeľov spoločností. Vynucovací úradníci potrebujú vykonať hodnotenie toho, či je zapojenie tohto typu osobných údajov potrebné na vyriešenie prípadu. V každom jednom prípade sa hodnotenie toho, či je potrebné zahrnúť meno riaditeľa spoločnosti do určených dátových polí, musí vykonať pred každým načítaním informácií do CPCS a pred odoslaním upozornenia alebo žiadosti o vzájomnú pomoc inému príslušnému orgánu.

9. Rozhodnutie o vykonávaní CPC 2007/76/ES si vyžaduje, aby príslušný orgán nahrávajúci informácie alebo žiadosti o vynucovacie opatrenie, príp. upozornenia uviedol, či sa budú informácie spracovávať ako dôverné. To je potrebné urobiť v každom jednom prípade. Podobne musí dožadovaný orgán pri poskytovaní informácií uviesť, či sa majú informácie spracovávať ako dôverné. CPCS obsahuje predvolené okienko, v ktorom používatelia CPCS výslovne udelia prístup k dokumentom zrušením kliknutia na pole dôvernosti.

8. CPCS A OCHRANA ÚDAJOV

Prostredie, v ktorom sú údaje dobre chránené

CPCS sa vyvíjal tak, aby boli dodržané požiadavky právnych predpisov na ochranu údajov:

— CPCS využíva komunikačnú infraštruktúru s-TESTA, čo je skratka pre „zabezpečené transeurópske telematické služby pre administratívne orgány“. Tá ponúka európskym a vnútroštátnym administratívnym orgánom riadenú, spoľahlivú a zabezpečenú paneurópsku komunikačnú platformu. Sieť s-TESTA je založená na špecializovanej súkromnej infraštruktúre, ktorá je úplne nezávislá od internetu. Do koncepčného riešenia systému boli zapracované primerané bezpečnostné prvky, ktoré majú zabezpečiť najlepšiu možnú ochranu siete. Sieť podlieha bezpečnostnej akreditácii, aby v nej mohlo dochádzať k výmene dôverných informácií klasifikovaných ako „EU Restricted“.

— Zaviedlo sa niekoľko technických funkcionalít: bezpečné a osobné heslá pre oznámených príslušných úradníkov z určených orgánov, používanie bezpečnej siete s-TESTA, rozbaľovacie (pop-up) správy, ktoré pripomínajú osobám, ktoré vybavujú daný prípad, že musia pri spracovávaní osobných údajov zvážiť pravidlá ochrany údajov, vytvorenie rôznych používateľských profilov, ktoré modulujú prístup k informáciám v závislosti od používateľovej úlohy (príslušný orgán, jednotný úrad pre spoluprácu alebo Komisia), možnosť obmedzenia prístupu k dokumentom zadefinovaním týchto dokumentov ako dôverných a správa na domovskej stránke CPCS odkazujúca na pravidlá ochrany údajov.

— Vykonávacie pravidlá (21), ktoré pokrývajú kľúčové aspekty zabezpečenia zhody ochrany údajov: jasné pravidlá vymazávania (aké informácie, ako a kedy vymazávať údaje), zásady, ktoré uvádzajú typy prístupu k informáciám (neobmedzený prístup majú len priamo dotknuté príslušné orgány, ostatné majú prístup len k všeobecným informáciám).

— Prevádzkové usmernenia (22), ktoré ďalej objasňujú, čo je potrebné zvážiť pri vypĺňaní rôznych dátových polí a integrácia týchto usmernení (23).

— Výročné kontroly na zabezpečenie toho, aby príslušné orgány overili presnosť osobných údajov (označovanie – tagging je naplánované, ale ešte nebolo implementované), ako aj toho, aby sa prípady uzavierali a/alebo vymazávali tak, ako sa predpokladá v pravidlách, aby sa na prípady nezabúdalo. Komisia v spolupráci s členskými štátmi pravidelne organizuje systematické kontroly prípadov, ktoré sú otvorené oveľa dlhšie, ako je priemerná lehota na vyriešenie prípadu.

— Automatické vymazávanie prípadov vzájomnej spolupráce 5 rokov po uzatvorení prípadu podľa požiadavky nariadenia CPC.

— CPCS je vyvíjajúcim sa informačným nástrojom, ktorý má dobre chrániť údaje. Mnohé ochranné funkcie už boli zabudované do štruktúry systému, ktorá bola opísaná vyššie. Komisia chce pokračovať v rozvoji ďalších vylepšení, ktoré vyplynú z požiadaviek.

Dodatočné usmernenia

Ako dlho by sa mal prípad uchovávať a kedy by sa mal uzavrieť a vymazať?

Iba Komisia môže vymazávať informácie z CPCS (24) a robí to bežne na žiadosť príslušného orgánu. Pri podaní takejto žiadosti potrebuje príslušný orgán uviesť dôvod žiadosti o vymazanie. Jedinou výnimkou sú žiadosti o vynucovacie opatrenie. Tieto vymazáva Komisia automaticky po 5 rokoch od uzavretia prípadu dožadujúcim orgánom.

Boli stanovené pravidlá s určenými lehotami, aby sa zabezpečilo vymazávanie údajov, ktoré už nie sú potrebné, sú nepresné, ukážu sa ako neopodstatnené a/alebo boli uložené na maximálne prípustný čas uloženia.

Prečo je obdobie uchovávania údajov stanovené na 5 rokov?

Cieľom obdobia uchovávania je zjednodušiť spoluprácu medzi verejnými orgánmi zodpovednými za vynucovanie zákonov, ktoré chránia záujmy spotrebiteľov v prípadoch porušenia právnych predpisov v rámci Spoločenstva, a prispieť k bezproblémovému fungovaniu vnútorného trhu, kvalite a konzistentnosti vynucovania zákonov, ktoré chránia záujmy spotrebiteľov, monitorovaniu ochrany ekonomických záujmov spotrebiteľov a prispieť k zvýšeniu štandardu a konzistentnosti vynucovania. Kým sú údaje uchovávané, môžu si poverení vynucovací úradníci pracujúci pre príslušný orgán, ktorý pôvodne prípad riešil, prezerať danú zložku, aby tak našli prepojenia na možné opakované porušovanie, čo prispieva k lepšiemu a efektívnejšiemu vynucovaniu.

Aké informácie môžu byť uvedené v diskusnom fóre?

K CPCS je pripojené diskusné fórum – ide o nástroj určený na výmenu informácií k otázkam ako nové právomoci na vynucovanie a najlepšie osvedčené postupy. Diskusné fórum, hoci nie je vynucovacími úradníkmi často využívané, by vo všeobecnosti nemalo slúžiť na výmenu údajov spojených s prípadmi a nemalo by odkazovať na osobné údaje.

Aký typ údajov sa môže uviesť v krátkych zhrnutiach a pripojených dokumentoch?

V rozhodnutí o vykonávaní CPC 2007/76/ES sa predpokladá dátové pole nazvané „pripojené dokumenty“ v prípade upozornení a žiadostí o informácie a vynucovacie opatrenie. Krátke zhrnutia sú polia, kde by sa malo opísať porušovanie právnych predpisov. Odporúča sa, aby sa v krátkych zhrnutiach neuvádzali osobné informácie, pretože cieľom tohto dátového poľa je získať všeobecný opis porušovania právnych predpisov. Osobné údaje v pripojených dokumentoch, ktoré nie sú striktne potrebné, by sa mali vymazať alebo odstrániť.

Čo znamená výraz „odôvodnené podozrenie“, ak došlo k porušeniu právnych predpisov?

Odôvodnené podozrenie sa musí interpretovať v súlade s vnútroštátnymi právnymi predpismi. Odporúča sa však, aby sa podozrenie na porušovanie právnych predpisov uviedlo v CPCS len vtedy, ak existujú dôkazy potvrdzujúce prípad, keď došlo alebo pravdepodobne dôjde k porušeniu právnych predpisov.

A čo prenos údajov do tretích krajín?

Nariadenie CPC (25) ustanovuje, že informácie oznamované v rámci nariadenia CPC môže členský štát oznámiť aj orgánu tretej krajiny, s ktorou má bilaterálnu dohodu o pomoci za predpokladu, že získal súhlas príslušného orgánu, ktorý pôvodne poskytol informácie, a že boli splnené ustanovenia o ochrane údajov.

Odporúča sa, aby pri chýbajúcej medzinárodnej dohode Európskej únie o dojednaniach týkajúcich sa vzájomnej spolupráce s treťou krajinou (26) každá bilaterálna dohoda o pomoci s určitou treťou krajinou poskytovala adekvátne záruky na ochranu údajov a aby boli oznámené príslušným dozorným orgánom na ochranu údajov tak, aby mohla byť vykonaná predbežná kontrola, pokiaľ Komisia nezistila, že daná tretia krajina má zabezpečenú primeranú úroveň ochrany osobných údajov prenesených z Únie v zmysle článku 25 smernice o ochrane údajov.

(1) Článok 2 písm. a).

(2) Treba poznamenať, že zásady ochrany údajov sa vzťahujú tak na elektronicky uložené údaje, ako aj na údaje uložené v papierovej forme.

(3) Špecifické pravidlá o vymazávaní nájdete v rozhodnutí 2007/76/ES a v dokumente Sieť spolupráce v oblasti ochrany spotrebiteľa: prevádzkové usmernenia.

(4) Smernica 95/46/EHS.

(5) Nariadenie (ES) č. 45/2001.

(6) http://www.edps.europa.eu/EDPSWEB/edps/EDPS

(7) Články 8, 9 a 15 nariadenia CPC (ES) č. 2006/2004.

(8) Článok 8 ods. 5 nariadenia CPC (ES) č. 2006/2004.

(9) Článok 9 nariadenia CPC (ES) č. 2006/2004.

(10) Článok 11 ods. 2 a článok 13 smernice 95/46/ES.

(11) Články 10 a 11 smernice 95/46/EHS.

(12) Článok 7 smernice 95/46/EHS.

(13) Článok 6.1 písm. b) smernice 95/46/EHS.

(14) Článok 10, 11 a 12 smernice 95/46/EHS.

(15) Článok 12 smernice 95/46/EHS.

(16) Článok 8 ods. 2 smernice 95/46/EHS.

(17) Článok 8 smernice 95/46/EHS.

(18) Kapitola 4 prílohy k rozhodnutiu 2007/76/ES.

(19) Stanovisko 6/2007 k otázkam ochrany údajov v súvislosti so systémom spolupráce v oblasti ochrany spotrebiteľa (CPCS) 01910/2007/EN – WP 130 – prijaté 21. septembra 2007, s. 24 – 26.

(20) Článok 6.1 písm. d) smernice 95/46/EHS.

(21) Rozhodnutie 2007/76/ES.

(22) Sieť spolupráce v oblasti ochrany spotrebiteľa: prevádzkové usmernenia – schválené Výborom CPC dňa 8. júna 2010.

(23) Obsah týchto usmerneniami bude súčasťou budúcich školení o CPCS.

(24) Článok 10 nariadenia CPC (ES) č. 2006/2004 a kapitola 2 prílohy k rozhodnutia o vykonávaní CPC 2007/76/ES.

(25) Článok 14 ods. 2 nariadenia CPC (ES) č. 2006/2004.

(26) Článok 18 nariadenia CPC (ES) č. 2006/2004.