SK Úradný vestník Európskej únie C 139/6

Stanovisko európskeho dozorného úradníka pre ochranu údajov k návrhu nariadenia Európskeho parlamentu a Rady, ktorým sa mení a dopĺňa nariadenie (ES) č. 1060/2009 o ratingových agentúrach

2012/C 139/02

EURÓPSKY DOZORNÝ ÚRADNÍK PRE OCHRANU ÚDAJOV,

so zreteľom na Zmluvu o fungovaní Európskej únie, a najmä na jej článok 16,

so zreteľom na Chartu základných práv Európskej únie, a najmä na jej články 7 a 8,

so zreteľom na smernicu Európskeho parlamentu a Rady 95/46/ES z 24. októbra 1995 o ochrane fyzických osôb pri spracovaní osobných údajov a voľnom pohybe týchto údajov (1),

so zreteľom na nariadenie Európskeho parlamentu a Rady (ES) č. 45/2001 z 18. decembra 2000 o ochrane jednotlivcov so zreteľom na spracovanie osobných údajov inštitúciami a orgánmi Spoločenstva a o voľnom pohybe takýchto údajov (2), a najmä na jeho článok 28 ods. 2,

PRIJAL TOTO STANOVISKO:

1. ÚVOD

1.1. Konzultácie s európskym dozorným úradníkom pre ochranu údajov

1. Toto stanovisko je súčasťou súboru štyroch stanovísk európskeho dozorného úradníka pre ochranu údajov, ktoré sa týkajú finančného sektora a ktoré boli všetky prijaté v ten istý deň.

2. Dňa 15. novembra 2011 Komisia prijala návrh týkajúci sa zmeneného a doplneného znenia nariadenia (ES) č. 1060/2009 o ratingových agentúrach (ďalej len „nariadenie o ratingových agentúrach“) (3). Tento návrh bol poslaný 18. novembra 2011 európskemu dozornému úradníkovi pre ochranu údajov na konzultácie.

3. Európsky dozorný úradník pre ochranu údajov víta skutočnosť, že Komisia s ním konzultuje a odporúča začleniť odkaz na toto stanovisko do preambuly prijatého nástroja.

4. Európsky dozorný úradník pre ochranu údajov však vyjadruje poľutovanie nad skutočnosťou, že Komisia s ním formálne nekonzultovala ani počas prípravy pôvodného nariadenia o ratingových agentúrach, ktoré nadobudlo účinnosť 7. decembra 2010, ani v súvislosti so súčasným zmeneným a doplneným znením uvedeného nariadenia (4).

5. Európsky dozorný úradník preto považuje za vhodné a užitočné zaoberať sa v tomto stanovisku otázkami týkajúcimi sa nariadenia o ratingových agentúrach, ktoré už je v platnosti. Po prvé zdôrazňuje prípadný vplyv nariadenia o ratingových agentúrach na ochranu údajov. Po druhé analýza uvedená v tomto stanovisku je priamo rozhodujúca pre uplatňovanie existujúcich právnych predpisov a pre ostatné nedokončené a prípadné budúce návrhy obsahujúce podobné ustanovenia ako tie, ktorými sa zaoberajú stanoviská európskeho dozorného úradníka pre ochranu údajov, týkajúce sa súboru legislatívnych opatrení na revíziu právnych predpisov v oblasti bankovníctva, trhov s finančnými nástrojmi (MIFID/MIFIR) a manipulácie s trhom.

1.2. Ciele a rozsah pôsobnosti návrhu a súčasného nariadenia

6. Komisia sa domnieva, že ratingové agentúry sú dôležitými účastníkmi finančného trhu a musia mať vhodný právny rámec. Prvé nariadenie o ratingových agentúrach nadobudlo účinnosť 7. decembra 2010. Stanovuje ratingovým agentúram povinnosť dodržiavať prísne pravidlá správania smerujúce k zníženiu rizika možného konfliktu záujmov a zabezpečeniu vysokej kvality a dostatočnej transparentnosti ratingov a ratingového postupu. Existujúce ratingové agentúry mali požiadať o registráciu a splniť požiadavky nariadenia do 7. septembra 2010.

7. V zmenenom a doplnenom znení nariadenia o ratingových agentúrach [nariadenie (EÚ) č. 513/2011], ktoré nadobudlo účinnosť 1. júna 2011, sa Európskemu orgánu pre cenné papiere a trhy (ESMA) zveruje výlučná právomoc dohľadu nad ratingovými agentúrami registrovanými v EÚ s cieľom centralizovať a zjednodušiť ich registráciu a dohľad nad nimi na európskej úrovni.

8. Súčasné navrhované právne predpisy predstavujú zmenu a doplnenie nariadenia o ratingových agentúrach, nenahrádzajú ho však. Hlavný cieľ navrhovanej revízie je upraviť viacero otázok týkajúcich sa ratingových agentúr a používania ratingov, ktoré dostatočne neupravuje existujúce nariadenie o ratingových agentúrach.

1.3. Cieľ stanoviska európskeho dozorného úradníka pre ochranu údajov

9. Keďže väčšina ustanovení nariadenia o ratingových agentúrach sa týka vykonávania činností ratingových agentúr a dohľadu nad ich činnosťami, vykonávanie a uplatňovanie právneho rámca môže mať v niektorých prípadoch vplyv na práva fyzických osôb v súvislosti so spracovaním ich osobných údajov.

10. Nariadenie o ratingových agentúrach umožňuje výmenu informácií medzi ESMA, príslušnými orgánmi, príslušnými odvetvovými orgánmi a prípadne tretími krajinami (5). Tieto informácie sa môžu týkať fyzických osôb, ako napríklad osôb, ktoré sa podieľajú na ratingových činnostiach, a osôb inak úzko a podstatne spojených s ratingovými činnosťami. Tieto ustanovenia môžu mať vplyv na ochranu údajov príslušných fyzických osôb.

11. Vzhľadom na vyššie uvedené skutočnosti sa toto stanovisko zameria na nasledujúce aspekty nariadenia o ratingových agentúrach, týkajúce sa ochrany súkromia a údajov: 1. uplatniteľnosť právnych predpisov o ochrane údajov; 2. prenosy údajov do tretích krajín; 3. prístup k záznamom telefonickej a dátovej prevádzky; a 4. zverejnenie podmienok týkajúcich sa štruktúrovaných finančných nástrojov a pravidelných platieb penále.

2. ANALÝZA NÁVRHU

2.1. Uplatniteľnosť právnych predpisov o ochrane údajov (6)

12. V niekoľkých odôvodneniach (7) nariadenia o ratingových agentúrach sa uvádza Charta základných práv, smernica 95/46/ES a nariadenie (ES) č. 45/2001. Odkaz na uplatniteľné právne predpisy o ochrane údajov by sa však mal začleniť do dôležitého článku nariadenia o ratingových agentúrach.

13. Dobrý príklad uvedeného dôležitého ustanovenia je v článku 22 nariadenia Európskeho parlamentu a Rady o obchodovaní s využitím dôverných informácií a o manipulácii s trhom (8), v ktorom sa výslovne vo všeobecnosti stanovuje, že pokiaľ ide o spracovanie osobných údajov v rámci nariadenia, uplatňuje sa smernica 95/46/ES a nariadenie (ES) č. 45/2001. Európsky dozorný úradník pre ochranu údajov dnes vydal stanovisko k tomuto návrhu, v ktorom veľmi oceňuje tento druh premosťujúceho ustanovenia. Európsky dozorný úradník pre ochranu údajov však navrhuje, aby sa odkaz na smernicu 95/46/ES spresnil tak, že uvedené ustanovenia sa budú uplatňovať v súlade s vnútroštátnymi pravidlami, ktorými sa vykonáva smernica 95/46/ES.

14. To je dôležité napríklad v súvislosti s rôznymi ustanoveniami týkajúcimi sa výmeny osobných informácií. Tieto ustanovenia sú úplne oprávnené, je však nevyhnutné, aby sa uplatňovali v súlade s právnymi predpismi o ochrane údajov. Predovšetkým je nevyhnutné zabrániť riziku ich výkladu ako všeobecného povolenia na výmenu všetkých druhov osobných informácií. Toto riziko by sa znížilo prostredníctvom odkazu na právne predpisy o ochrane údajov, uvedeného takisto v dôležitých ustanoveniach (9).

15. Európsky dozorný úradník pre ochranu údajov preto vzhľadom na návrhy, ktoré predložil k tomuto návrhu (10), navrhuje začleniť podobné dôležité ustanovenie ako v článku 22 návrhu nariadenia Európskeho parlamentu a Rady o obchodovaní s využitím dôverných informácií a o manipulácii s trhom (11), t. j. ustanovenie zdôrazňujúce uplatniteľnosť existujúcich právnych predpisov o ochrane údajov a odkazujúce na smernicu 95/46/ES prostredníctvom spresnenia, že sa ustanovenia budú uplatňovať v súlade s vnútroštátnymi právnymi predpismi, ktorými sa vykonáva smernica 95/46/ES.

2.2. Výmena informácií s tretími krajinami (12)

16. Európsky dozorný úradník pre ochranu údajov berie na vedomie, že v článku 34 ods. 3 nariadenia o ratingových agentúrach sa v súvislosti s prenosom osobných údajov do tretích krajín odkazuje na nariadenie (ES) č. 45/2001.

17. Vzhľadom na riziká súvisiace s uvedenými prenosmi však európsky dozorný úradník pre ochranu údajov odporúča pridať osobitné ochranné opatrenia, ako v článku 23 návrhu nariadenia Európskeho parlamentu a Rady o obchodovaní s využitím dôverných informácií a o manipulácii s trhom. Európsky dozorný úradník pre ochranu údajov v stanovisku k tomuto návrhu víta používanie uvedeného ustanovenia obsahujúceho primerané ochranné opatrenia, ako napríklad posúdenie na základe každého jednotlivého prípadu, uistenie sa o nevyhnutnosti prenosu a existencii primeranej úrovne ochrany osobných údajov v tretej krajine, ktorá tieto osobné údaje prijíma.

2.3. Právomoc ESMA požadovať záznamy telefonickej a dátovej prevádzky (13)

2.3.1. Súdne povolenie

18. V článku 23c ods. 1 písm. e) sa stanovuje, že ESMA môže s cieľom plniť svoje povinnosti podľa tohto nariadenia vykonávať všetky potrebné vyšetrovania. Úradníci a iné osoby poverené ESMA sú na tento účel oprávnení žiadať záznamy telefonickej a dátovej prevádzky. Vzhľadom na všeobecné znenie ustanovenia vznikajú pochybnosti týkajúce sa jeho vecnej a osobnej pôsobnosti. Podľa nariadenia o ratingových agentúrach je nevyhnutné predchádzajúce povolenie súdnych orgánov, aby ESMA mohol žiadať o prístup k záznamom telefonickej a dátovej prevádzky, pokiaľ je uvedené povolenie nevyhnutné podľa vnútroštátnych právnych predpisov (14).

19. V návrhu nariadenia nie sú vymedzené pojmy „záznamy telefonickej a dátovej prevádzky“. V smernici 2002/58/ES (v súčasnosti nazývanej smernica o súkromí a elektronických komunikáciách, zmenená a doplnená smernicou 2009/136/ES) sa odkazuje len na „prevádzkové dáta“, nie však na „záznamy telefonickej a dátovej prevádzky“. Je nepochybné, že presný význam týchto pojmov určuje vplyv, ktorý môže mať vyšetrovacia právomoc na ochranu súkromia a údajov príslušných osôb. Európsky dozorný úradník pre ochranu údajov navrhuje používať terminológiu pojmu „prevádzkové dáta“ vymedzenú v smernici 2002/58/ES.

20. Údaje týkajúce sa používania elektronických komunikačných prostriedkov môžu prenášať široký rozsah osobných informácií, ako napríklad totožnosť osôb zúčastnených na telefonickom hovore, čas a trvanie telefonického hovoru, použitá sieť, geografická poloha používateľa v prípade prenosného zariadenia atď. Niektoré prevádzkové dáta týkajúce sa používania internetu a e-mailu (napríklad zoznam navštívených webových stránok) môžu navyše odhaliť dôležité podrobné informácie o obsahu komunikácie. Okrem toho spracovanie prevádzkových dát je v rozpore s dôvernosťou korešpondencie. Vzhľadom na tieto skutočnosti smernica 2002/58/ES zavádza zásadu, že prevádzkové dáta sa musia vymazať alebo zanonymniť, ak už naďalej nie sú potrebné na účely prenosu správy (15). Podľa článku 15 ods. 1 uvedenej smernice môžu členské štáty začleniť do vnútroštátnych právnych predpisov odchýlky na osobitné oprávnené účely, musia však byť nevyhnutné, vhodné a primerané v demokratickej spoločnosti na dosiahnutie týchto cieľov (16).

21. Európsky dozorný úradník pre ochranu údajov uznáva, že ciele, ktoré sa Komisia usiluje dosiahnuť v nariadení o ratingových agentúrach, sú oprávnené. Chápe, že sú nevyhnutné iniciatívy zamerané na posilnenie dohľadu nad finančnými trhmi s cieľom zachovať ich spoľahlivosť a všeobecne lepšie chrániť investorov a hospodárstvo. Vyšetrovacia právomoc, ktorá priamo súvisí s prevádzkovými údajmi, však vzhľadom na svoj zasahujúci charakter musí byť v súlade s požiadavkami nevyhnutnosti a primeranosti, t. j. musí byť primeraná na dosiahnutie sledovaných cieľov a nesmie prekračovať rámec toho, čo je potrebné na ich dosiahnutie (17). Z tohto hľadiska je preto dôležité, aby sa ustanovenia navrhli jasne, pokiaľ ide o ich osobnú a vecnú pôsobnosť, ako aj o okolnosti a podmienky ich možného používania. Navyše je potrebné stanoviť primerané ochranné opatrenia proti riziku zneužitia.

22. Článok 23c udeľuje ESMA právomoc vykonávať vyšetrovania osôb zapojených do ratingových činností a osôb inak úzko a podstatne spriaznených alebo inak spojených s ratingovými agentúrami alebo ratingovými činnosťami. Podľa článku 23b môžu byť tieto fyzické osoby takisto požiadané, aby poskytli všetky potrebné informácie.

23. Z týchto ustanovení jasne vyplýva, že výmena osobných údajov sa uskutoční v rámci nariadenia o ratingových agentúrach. Zdá sa pravdepodobné – alebo aspoň nie je možné vylúčiť –, že záznamy príslušnej telefonickej a dátovej prevádzky obsahujú osobné údaje v zmysle smernice 95/46/ES a nariadenia (ES) č. 45/2001 a, v príslušnom rozsahu, smernice 2002/58/ES, t. j. údaje týkajúce sa telefonickej alebo dátovej prevádzky, identifikovaných alebo identifikovateľných fyzických osôb (18). V takomto prípade je potrebné zabezpečiť, aby sa úplne dodržiavali podmienky spravodlivého a zákonného spracovania osobných údajov, ako sa stanovuje v smerniciach a nariadení.

24. Európsky dozorný úradník pre ochranu údajov konštatuje, že článok 23c ods. 5 stanovuje povinnosť požiadať o povolenie súdneho orgánu, ak je toto povolenie nevyhnutné podľa vnútroštátnych predpisov. Európsky dozorný úradník pre ochranu údajov sa však domnieva, že všeobecná požiadavka získať predchádzajúce povolenie vo všetkých prípadoch – bez ohľadu na to, či je povolenie nevyhnutné podľa vnútroštátnych predpisov – by bola odôvodnená vzhľadom na prípadný rušivý charakter príslušnej právomoci a výber nariadenia ako primeraného právneho nástroja. Takisto je potrebné brať do úvahy, že rôzne právne predpisy členských štátov stanovujú osobitné záruky domácej nedotknuteľnosti voči neúmerným a nedôkladne upraveným kontrolám, vyhľadávaniu alebo využitiu, najmä ak ich vykonávajú administratívne inštitúcie.

25. Ako sa uvádza v časti 2.1, právomoc orgánov dohľadu žiadať o prístup k záznamom telefonickej a dátovej prevádzky nie je v európskych právnych predpisoch nová, keďže ju stanovuje viacero existujúcich smerníc a nariadení týkajúcich sa finančného sektora. Podobné ustanovenia obsahuje najmä smernica o zneužívaní trhu (19), smernica o trhoch s finančnými nástrojmi (20) a smernica PKIPCP (21). To isté sa týka viacerých návrhov, ktoré prijala Komisia, konkrétne návrhu smernice o správcoch alternatívnych investičných fondov (22), návrhu nariadenia o predaji nakrátko a určitých aspektoch swapov na úverové zlyhanie (23) a návrhu nariadenia o integrite a transparentnosti trhu s energiou (24).

26. Pokiaľ ide o uvedené existujúce a navrhované legislatívne nástroje, je potrebné rozlišovať vyšetrovacie právomoci udelené vnútroštátnym orgánom a udelenie takých právomocí orgánom EÚ. Niektoré nástroje stanovujú členským štátom povinnosť udeliť vnútroštátnym orgánom právomoc žiadať záznamy telefonickej a dátovej prevádzky v súlade s vnútroštátnymi predpismi (25). Vzhľadom na to skutočné plnenie tejto povinnosti nevyhnutne podlieha vnútroštátnym právnym predpisom vrátane predpisov, ktorými sa vykonávajú smernice 95/46/ES a 2002/58/ES, a ostatným vnútroštátnym predpisom, ktoré obsahujú ďalšie procesné záruky pre vnútroštátne orgány dohľadu a vyšetrovania.

27. Takáto podmienka sa neuvádza v nariadení o ratingových agentúrach alebo ostatných právnych nástrojoch, ktoré priamo európskym orgánom udeľujú právomoc žiadať záznamy telefonickej a dátovej prevádzky. Preto je v týchto prípadoch ešte naliehavejšie ujasniť v legislatívnom nástroji osobný a vecný rozsah pôsobnosti tejto právomoci a okolnosti a podmienky, za ktorých sa môže uplatňovať, a zabezpečiť zavedenie primeraných ochranných opatrení proti zneužitiu.

28. Podľa článku 23c ods. 1 písm. e) nariadenia môže ESMA žiadať záznamy telefonickej a dátovej prevádzky. Ako sa uvádza ďalej v texte, rozsah pôsobnosti ustanovenia, a najmä presný význam pojmu „záznamy telefonickej a dátovej prevádzky“ nie je jasný.

2.3.2. Vymedzenie pojmu „záznamy telefonickej a dátovej prevádzky“

29. Vymedzenie pojmu „záznamy telefonickej a dátovej prevádzky“ nie je úplne jasné, a preto je potrebné jeho spresnenie. Ustanovenie môže odkazovať na záznamy telefonickej a dátovej prevádzky, ktoré sú ratingové agentúry povinné archivovať počas svojej činnosti. V nariadení sa však nestanovuje, či a aké záznamy telefonickej a dátovej prevádzky musia ratingové agentúry zhromažďovať (26). Preto, pokiaľ by ustanovenie odkazovalo na záznamy archivované ratingovými agentúrami, je nevyhnutné presne vymedziť kategórie telefonickej a dátovej prevádzky, ktoré sa majú archivovať a ktoré môže ESMA žiadať. V súlade so zásadou primeranosti musia byť uvedené dáta primerané, podstatné a nie nadbytočné vo vzťahu k účelom dohľadu, na ktoré sa spracúvajú (27).

30. Spresnenie je nevyhnutné najmä v tomto prípade, pri posúdení vysokých pokút a pravidelných platieb penále, ktoré môžu byť uložené ratingovým agentúram a ostatným subjektom (vrátane fyzických osôb, pokiaľ ide o pravidelné platby penále) za porušenie nariadenia (pozri článok 36a a 36b).

31. Takisto je potrebné uviesť, že podľa článku 37 má Komisia právomoc prijímať zmeny a doplnenia, prostredníctvom ktorých môže zmeniť a doplniť prílohy nariadenia obsahujúce podrobné informácie o podmienkach vedenia záznamov, ktoré musia ratingové agentúry dodržiavať, a teda nepriamo právomoc, ktorú udelil ESMA, na prístup k záznamom telefonickej a dátovej prevádzky. V článku 290 ZFEÚ sa stanovuje, že legislatívny akt môže na Komisiu delegovať právomoc prijímať všeobecne záväzné nelegislatívne akty, ktorými sa dopĺňajú alebo menia určité nepodstatné prvky legislatívneho aktu. Európsky dozorný úradník pre ochranu údajov sa domnieva, že presná hranica právomoci na prístup k prevádzkovým dátam sa nemôže považovať za nepodstatný prvok nariadenia. Preto je potrebné spresniť vecný rozsah pôsobnosti priamo v texte nariadenia a neodkladať to na budúce delegované akty.

32. Európsky dozorný úradník pre ochranu údajov uznáva, že cieľ článku 23c ods. 1 písm. e) nie je umožniť ESMA získať prístup k prevádzkovým dátam priamo od poskytovateľov telekomunikačných služieb. Zdá sa, že to je logický záver najmä vzhľadom na skutočnosť, že v nariadení sa neodkazuje na všetky údaje, ktoré poskytovatelia telekomunikačných služieb majú, ani na požiadavky stanovené smernicou o súkromí a elektronických komunikáciách, ako sa uvádza v odseku 36 (28). Preto v záujme jasnosti odporúča, aby sa uvedený záver spresnil v článku 23c nariadenia o ratingových agentúrach prostredníctvom osobitného vylúčenia prevádzkových dát poskytovateľov telekomunikačných služieb.

33. V prípade, že by sa predpokladalo právo na prístup k prevádzkovým dátam priamo od poskytovateľov telekomunikačných služieb, európsky dozorný úradník pre ochranu údajov má vážne pochybnosti o nevyhnutnosti a primeranosti uvedeného práva, a preto odporúča, aby sa uvedené právo výslovne vylúčilo.

2.3.3. Prístup k osobným údajom

34. V článku 23c ods. 1 písm. e) sa neuvádzajú okolnosti a podmienky, za ktorých je možné žiadať o prístup. Takisto sa v ňom nestanovujú dôležité procesné záruky ani ochranné opatrenia proti riziku zneužitia. Európsky dozorný úradník v tejto súvislosti uvedie v nasledujúcich odsekoch niekoľko konkrétnych návrhov.

35. V článku 23c ods. 1 sa uvádza, že ESMA môže žiadať o prístup k záznamom telefonickej a dátovej prevádzky s cieľom vykonávať svoje povinnosti podľa nariadenia o ratingových agentúrach. Európsky dozorný úradník pre ochranu údajov sa domnieva, že je potrebné presnejšie vymedziť okolnosti a podmienky uplatňovania uvedenej právomoci. Európsky dozorný úradník pre ochranu údajov odporúča obmedziť prístup k záznamom telefonickej a dátovej prevádzky na osobitne určené a vážne porušenie navrhovaného nariadenia a na prípady, keď existuje odôvodnené podozrenie (ktoré je možné podporiť konkrétnym počiatočným dôkazom), že prišlo k porušeniu. Uvedené obmedzenie je takisto veľmi dôležité s cieľom zabrániť uplatneniu práva na prístup na účely takzvaných činností phishing alebo hĺbkovej analýzy údajov alebo na iné účely.

36. Navyše odporúča európsky dozorný úradník pre ochranu údajov zaviesť požiadavku, aby ESMA žiadal záznamy telefonickej a dátovej prevádzky prostredníctvom formálneho rozhodnutia, v ktorom bude uvedený právny základ a účel žiadosti a o aké informácie sa žiada, lehota na poskytnutie uvedených informácií, ako aj právo adresáta na preskúmanie rozhodnutia Súdnym dvorom.

2.4. Ustanovenia týkajúce sa zverejnenia informácií

2.4.1. Informácie týkajúce sa štruktúrovaných finančných nástrojov

37. V súčasnom návrhu zmeneného a doplneného znenia nariadenia o ratingových agentúrach (29) sa v navrhovanom článku 8a, týkajúcom sa informácií o štruktúrovaných finančných nástrojoch stanovuje, že emitent, pôvodca a sponzor štruktúrovaného finančného nástroja zverejní informácie o úverovej kvalite a výsledkoch jednotlivých podkladových aktív štruktúrovaných finančných nástrojov, o štruktúre sekuritizačných transakcií, o peňažných tokoch a expozícii na podporu kolaterálu a sekuritizačnej expozícii, ako aj všetky informácie, ktoré sú nevyhnutne potrebné na uskutočnenie súhrnných a dobre informovaných stresových testov hodnoty peňažných tokov a kolaterálu podporujúcich podkladové expozície. Povinnosť zverejniť informácie sa netýka poskytovania takých informácií, ktoré by porušili štatutárne ustanovenia upravujúce ochranu dôvernosti zdrojov informácií alebo zaobchádzanie s osobnými údajmi.

38. Tento článok sa zameriava na emitenta, pôvodcu a sponzora štruktúrovaného finančného nástroja. Európsky dozorný úradník pre ochranu údajov víta skutočnosť, že v súčasnom návrhu zmeneného a doplneného znenia nariadenia o ratingových agentúrach sa v navrhovanom článku 8a uvádza, že povinnosť zverejniť informácie sa netýka poskytovania takých informácií, ktoré by porušili štatutárne ustanovenia upravujúce ochranu dôvernosti zdrojov informácií alebo zaobchádzanie s osobnými údajmi.

39. Takéto zdôraznenie ochranných opatrení, ktoré poskytujú právne predpisy upravujúce spracovanie osobných údajov, je podľa názoru európskeho dozorného úradníka pre ochranu údajov krokom správnym smernom, v súlade s vyššie uvedenými odporúčaniami je však potrebné v dôležitom článku nariadenia o ratingových agentúrach uviesť jasný a výslovný odkaz na vnútroštátne právne predpisy, ktorými sa vykonáva smernica 95/46/ES.

2.4.2. Informácie týkajúce sa pravidelných platieb penále (30)

40. V článku 36d nariadenia o ratingových agentúrach sa stanovuje, že ESMA zverejňuje všetky pokuty a pravidelné platby penále, ktoré boli uložené, pokiaľ by ich zverejnenie vážne neohrozilo finančné trhy, ani nespôsobilo neprimeranú škodu zúčastneným stranám.

41. Podľa článku 36b a článku 23b ods. 1 osobám zapojeným do ratingových činností a osobám inak úzko a podstatne spriazneným alebo spojeným s ratingovými agentúrami alebo ratingovými činnosťami môžu byť uložené pravidelné platby penále.

42. Nariadenie o ratingových agentúrach preto oprávňuje ESMA stanoviť sankcie nielen úverovým inštitúciám, ale takisto osobám podstatne zodpovedným za porušenie. V rovnakom duchu článok 36d stanovuje ESMA povinnosť zverejniť všetky pravidelné platby penále, ktoré boli uložené za porušenie navrhovaného nariadenia.

43. Zverejnenie sankcií by prispelo k zvýšeniu zastrašovacích účinkov, keďže skutoční a prípadní páchatelia by boli odradení od páchania trestných činov, aby zabránili vážnemu poškodeniu dobrého mena. Podobne by sa zvýšila transparentnosť, keďže trhové subjekty by boli informované, že porušenie spáchala konkrétna osoba. V prípade, že by zverejnenie spôsobilo zúčastneným stranám neprimeranú ujmu, sa táto povinnosť zmierni a príslušné orgány zverejnia anonymné sankcie.

44. Európsky dozorný úradník pre ochranu údajov nie je presvedčený, že povinné zverejnenie sankcií tak, ako sa v súčasnosti navrhuje, spĺňa podmienky právnych predpisov na ochranu údajov, ako sa uvádza v rozsudku Súdneho dvora vo veci Schecke (31). Zastáva názor, že účel, nevyhnutnosť a primeranosť opatrenia sa dostatočne nepreukázali a že v súvislosti s právami fyzických osôb by sa v každom prípade mali stanoviť primerané ochranné opatrenia proti rizikám.

2.4.3. Nevyhnutnosť a primeranosť povinného zverejnenia sankcií

45. Súdny dvor vo svojom rozsudku vo veci Schecke zrušil ustanovenia nariadenia Rady a nariadenia Komisie, ktoré stanovujú povinné zverejnenie informácií týkajúcich sa príjemcov finančných prostriedkov z poľnohospodárskych fondov vrátane totožnosti príjemcov a prijatých súm. Súdny dvor konštatoval, že uvedené zverejnenie predstavuje spracovanie osobných údajov, na ktoré sa vzťahuje článok 8 ods. 2 Charty základných práv Európskej únie (ďalej len „charta“), a preto predstavuje zásah do práv uznaných článkami 7 a 8 charty.

46. Súdny dvor preskúmal, že „výnimky a obmedzenia z ochrany osobných údajov musia pôsobiť v rámci toho, čo je striktne nevyhnutné“ a ďalej analyzoval účel zverejnenia a jeho proporcionalitu. Konštatoval, že v uvedenom prípade nič nenaznačuje, že Rada a Komisia pri prijímaní príslušných právnych predpisov vzali do úvahy spôsoby zverejňovania informácií, ktoré by boli zlučiteľné na účely takého zverejňovania a súčasne by predstavovali menší zásah do práv uvedených príjemcov.

47. Zdá sa, že článok 36d nariadenia o ratingových agentúrach má rovnaké nedostatky ako zdôraznil Súdny dvor v rozsudku vo veci Schecke. Je potrebné pripomenúť, že pre posúdenie súladu s požiadavkami na ochranu údajov, uvedenými v ustanovení, podľa ktorého je zverejnenie osobných informácií povinné, je rozhodujúce mať jasný a dobre vymedzený účel predpokladaného zverejnenia. Len na základe jasného a dobre vymedzeného účelu je možné posúdiť, či je zverejnenie osobných údajov skutočne nevyhnutné a primerané (32).

48. Európsky dozorný úradník pre ochranu údajov sa preto domnieva, že účel, a teda ani nevyhnutnosť tohto opatrenia nie sú jasne preukázané. V odôvodneniach nariadenia o ratingových agentúrach sa táto otázka neuvádza. Ak je všeobecným cieľom zvýšiť odstrašujúce účinky, zdá sa, že Komisia by mala napríklad vysvetliť, prečo by neboli dostatočné vyššie finančné pokuty (alebo iné sankcie, ktoré by nespôsobili poškodenie dobrého mena).

49. Navyše je potrebné posúdiť menej zasahujúce spôsoby, ako napríklad zverejnenie obmedzené na ratingové agentúry alebo zverejnenie na základe posúdenia jednotlivých prípadov. Najmä zverejnenie na základe posúdenia podľa konkrétnych prípadov sa na prvý pohľad zdá ako primeranejšie riešenie.

50. Európsky dozorný úradník pre ochranu údajov sa však domnieva, že vzhľadom na možnosť posúdiť prípad na základe osobitných okolností je toto riešenie primeranejšie, a preto predstavuje uprednostňovanú možnosť v porovnaní s povinným zverejnením vo všetkých prípadoch. Takéto voľné rozhodovanie by napríklad poskytlo ESMA možnosť nezverejniť prípady menej vážnych porušení, keď porušenie nespôsobilo podstatné škody, keď zúčastnená strana ukázala ochotu spolupracovať atď.

2.4.4. Otázka primeraných ochranných opatrení

51. V nariadení o ratingových agentúrach by sa malo počítať s primeranými ochrannými opatreniami s cieľom zabezpečiť spravodlivú rovnováhu medzi rôznymi dotknutými záujmami. Po prvé ochranné opatrenia sú nevyhnutné v súvislosti s právom dotknutých osôb na odvolanie a prezumpciu neviny. Do článku 36d by sa malo v tejto súvislosti začleniť osobitné ustanovenie stanovujúce ESMA povinnosť prijať primerané opatrenia vzhľadom na prípady, keď je rozhodnutie predmetom odvolania a keď ho súd prípadne zruší (33).

52. Po druhé nariadenie o ratingových agentúrach by malo zabezpečiť aktívne dodržiavanie práv dotknutých osôb. Európsky dozorný úradník pre ochranu údajov oceňuje skutočnosť, že nariadenie o ratingových agentúrach predpokladá možnosť vylúčiť zverejnenie v prípadoch, keď by spôsobilo neprimeranú škodu. Aktívny prístup by však mal znamenať, že dotknuté osoby budú vopred informované o skutočnosti, že sa zverejní rozhodnutie, ktoré im ukladá pravidelné platby penále, a že majú právo vzniesť námietky z nevyvrátiteľných zákonných dôvodov podľa článku 14 smernice 95/46/ES (34).

53. Po tretie, keďže v nariadení o ratingových agentúrach sa nespresňuje, na akom médiu by sa mali informácie zverejniť, v praxi je mysliteľné, že zverejnenie sa uskutoční na internete. Zverejnenie na internete sa spája s osobitnými otázkami a rizikami týkajúcimi sa najmä nevyhnutnosti zabezpečiť, že informácie sa budú viesť online len nevyhnutnú dobu a že s údajmi nebude možné manipulovať, ani meniť ich. Používanie vonkajších vyhľadávacích zariadení takisto zahŕňa riziko, že informácie môžu byť vybrané z kontextu a posielané v rámci siete aj mimo nej spôsobom, ktorý nie je možné ľahko kontrolovať (35).

54. Vzhľadom na vyššie uvedené skutočnosti je nevyhnutné stanoviť orgánu ESMA povinnosť zabezpečiť, aby sa osobné údaje dotknutých osôb viedli online len primeranú dobu a aby sa po jej uplynutí systematicky vymazávali (36). Okrem toho by bolo potrebné stanoviť, aby členské štáty zabezpečili zavedenie primeraných bezpečnostných a ochranných opatrení, najmä na ochranu proti rizikám súvisiacim s používaním vonkajších vyhľadávacích zariadení (37).

2.4.5. Záver týkajúci sa zverejnenia informácií o pravidelných platbách penále

55. Európsky dozorný úradník pre ochranu údajov zastáva názor, že ustanovenie o povinnom zverejnení pravidelných platieb penále – ako sa v súčasnosti navrhuje – nie je v súlade so základnými právami na ochranu súkromia a údajov. Zákonodarca by mal dôkladne posúdiť nevyhnutnosť navrhovaného systému a overiť, či povinné zverejnenie nepresahuje rámec nevyhnutný na dosiahnutie cieľa verejného záujmu a či neexistujú menej obmedzujúce opatrenia na dosiahnutie toho istého cieľa. V závislosti od výsledku tohto testu primeranosti by sa povinné zverejnenie malo v každom prípade podporiť primeranými ochrannými opatreniami s cieľom zabezpečiť dodržiavanie prezumpcie neviny, práva dotknutých osôb podať námietku, bezpečnosť/presnosť údajov a ich vymazanie po uplynutí primeranej lehoty.

3. ZÁVERY

56. Európsky dozorný úradník pre ochranu údajov odporúča: — začleniť do nariadenia o ratingových agentúrach dôležité ustanovenie v nasledujúcom znení: „So zreteľom na spracovanie osobných údajov, ktoré vykonávajú členské štáty v rámci tohto nariadenia, príslušné orgány a príslušné odvetvové orgány uplatňujú ustanovenia vnútroštátnych právnych predpisov, ktorými sa vykonáva smernica 95/46/ES. So zreteľom na spracovanie osobných údajov, ktoré vykonáva ESMA v rámci tohto nariadenia, ESMA dodržiava ustanovenia nariadenia (ES) č. 45/2001“, — pridať k článku 34 nariadenia o ratingových agentúrach osobitné ochranné opatrenia, ako je to v prípade článku 23 návrhu nariadenia Európskeho parlamentu a Rady o obchodovaní s využitím dôverných informácií a o manipulácii s trhom. Európsky dozorný úradník pre ochranu údajov v stanovisku k tomuto návrhu víta uplatňovanie takého ustanovenia obsahujúceho primerané ochranné opatrenia, ako napríklad posúdenie v jednotlivých prípadoch, uistenie sa o nevyhnutnosti prenosu a existencii primeranej úrovne ochrany osobných údajov v tretej krajine prijímajúcej osobné údaje, — jasne určiť kategórie záznamov telefonickej a dátovej prevádzky, ktoré musia ratingové agentúry archivovať a/alebo poskytnúť ESMA. Uvedené údaje musia byť primerané, podstatné a nie nadbytočné vo vzťahu k účelu, na ktorý sa spracúvajú, — výslovne uviesť, že prístup k telefonickej a dátovej prevádzke priamo od poskytovateľov telekomunikačných služieb je vylúčený, — obmedziť prístup k záznamom telefonickej a dátovej prevádzky na určené a vážne porušenie navrhovaného nariadenia a v prípadoch existencie odôvodneného podozrenia z porušenia (ktoré by malo byť doložené konkrétnym počiatočným dôkazom), — posúdiť nevyhnutnosť navrhovaného systému v súvislosti so zverejňovaním pravidelných platieb penále a overiť, či povinné zverejnenie nepresahuje rámec nevyhnutný na dosiahnutie cieľa verejného záujmu a či neexistujú menej obmedzujúce opatrenia na dosiahnutie toho istého cieľa. V závislosti od výsledku tohto testu primeranosti by sa povinné zverejnenie malo v každom prípade podporiť primeranými ochrannými opatreniami s cieľom zabezpečiť dodržiavanie prezumpcie neviny, práva dotknutých osôb podať námietku, bezpečnosť/presnosť údajov a ich vymazanie po uplynutí primeranej lehoty.

V Bruseli 10. februára 2012 Giovanni BUTTARELLI Asistent európskeho dozorného úradníka pre ochranu údajov

(1) Ú. v. ES L 281, 23.11.1995, s. 31.

(2) Ú. v. ES L 8, 12.1.2001, s. 1.

(3) KOM(2011) 747.

(4) Nariadenie (EÚ) č. 513/2011, ktoré nadobudlo účinnosť 1. júna 2011.

(5) Pozri najmä články 23 a 27 nariadenia o ratingových agentúrach.

(6) Pozri takisto nedávne stanoviská EDPS k legislatívnym opatreniam na revíziu právnych predpisov v oblasti bankovníctva (časť 2.1), trhov s finančnými nástrojmi (MIFID/MIFIR) (časť 2.1) a manipulácie s trhom (časť 2.1).

(7) Pozri odôvodnenia 8, 33 a 34 nariadenia o ratingových agentúrach.

(8) KOM(2011) 651.

(9) Nariadenie o ratingových agentúrach obsahuje ustanovenia, ktoré umožňujú alebo stanovujú príslušným orgánom a príslušným odvetvovým orgánom vymieňať informácie medzi uvedenými orgánmi alebo s ESMA. Najmä článok 27 tohto nariadenia stanovuje orgánu ESMA, príslušným odvetvovým orgánom a príslušným orgánom povinnosť poskytovať si navzájom informácie potrebné na účely plnenia ich povinností stanovených v uvedenom nariadení. Takisto podľa článku 23c má ESMA právomoc vykonávať vyšetrovania osôb zapojených do ratingových činností a osôb inak úzko a podstatne spriaznených alebo spojených s ratingovými agentúrami alebo ratingovými činnosťami. V súlade s článkom 23b môžu byť uvedené fyzické osoby požiadané, aby poskytli ESMA všetky potrebné informácie. Z týchto ustanovení jasne vyplýva, že výmena osobných údajov sa uskutoční v rámci nariadenia o ratingových agentúrach.

(10) Pozri stanovisko EDPS z 10. februára 2012 k návrhu nariadenia Európskeho parlamentu a Rady o obchodovaní s využitím dôverných informácií a o manipulácii s trhom, KOM(2011) 651.

(11) Návrh nariadenia Európskeho parlamentu a Rady o obchodovaní s využitím dôverných informácií a o manipulácii s trhom, KOM(2011) 651.

(12) Pozri takisto nedávne stanoviská EDPS k legislatívnym opatreniam na revíziu právnych predpisov v oblasti bankovníctva (časť 2.2), trhov s finančnými nástrojmi (MIFID/MIFIR) (časť 2.8) a manipulácie s trhom (časť 2.5).

(13) Pozri takisto nedávne stanoviská EDPS k trhom s finančnými nástrojmi (MIFID/MIFIR) (časť 2.3) a manipulácii s trhom (časť 2.3.2).

(14) Článok 23c ods. 5.

(15) Pozri článok 6 ods. 1 smernice 2002/58/ES (Ú. v. ES L 201, 31.7.2002, s. 37).

(16) Článok 15 ods. 1 smernice 2002/58/ES stanovuje, že uvedené obmedzenie musí predstavovať „nevyhnutné, vhodné a primerané opatrenie v demokratickej spoločnosti na zabezpečenie národnej bezpečnosti (t. j. bezpečnosti štátu), obrany, verejnej bezpečnosti a na zabránenie, vyšetrovanie, odhaľovanie a stíhanie trestných činov alebo neoprávnené používanie elektronického komunikačného systému podľa článku 13 ods. 1 smernice 95/46/ES. Na tento účel členské štáty môžu, medzi iným, prijať legislatívne opatrenia umožňujúce zadržanie údajov na limitované obdobie, oprávnené z dôvodov stanovených v tomto odseku …“.

(17) Pozri napríklad spojené veci C-92/09 a C-93/09, Volker und Markus Schecke GbR (C-92/09), Hartmut Eifert (C-92/09) proti Land Hessen, zatiaľ neuverejnené v Zbierke, bod 74.

(18) Spravidla pracovníci, ktorým je možné telefonickú a dátovú prevádzku prisúdiť, ako aj príjemcovia a ostatní príslušní používatelia.

(19) Smernica Európskeho parlamentu a Rady 2003/6/ES z 28. januára 2003 o obchodovaní s využitím dôverných informácií a o manipulácii s trhom (zneužívanie trhu) (Ú. v. EÚ L 96, 12.4.2003, s. 16).

(20) Smernica Európskeho parlamentu a Rady 2004/39/ES z 21. apríla 2004 o trhoch s finančnými nástrojmi, o zmene a doplnení smerníc Rady 85/611/EHS a 93/6/EHS a smernice Európskeho parlamentu a Rady 2000/12/ES a o zrušení smernice 93/22/EHS (Ú. v. EÚ L 145, 30.4.2004, s. 1).

(21) Smernica Európskeho parlamentu a Rady 2009/65/ES z 13. júla 2009 o koordinácii zákonov, iných právnych predpisov a správnych opatrení týkajúcich sa podnikov kolektívneho investovania do prevoditeľných cenných papierov (PKIPCP) (Ú. v. EÚ L 302, 17.11.2009, s. 32).

(22) Návrh smernice Európskeho parlamentu a Rady z 30. apríla 2009 o správcoch alternatívnych investičných fondov, ktorou sa menia a dopĺňajú smernice 2004/39/ES a 2009/65/ES, KOM(2009) 207.

(23) Návrh nariadenia Európskeho parlamentu a Rady z 15. septembra 2010 o predaji nakrátko a určitých aspektoch swapov na úverové zlyhanie, KOM(2010) 482.

(24) Návrh nariadenia Európskeho parlamentu a Rady o integrite a transparentnosti trhu s energiou, KOM(2010) 726.

(25) Pozri napríklad článok 12 ods. 2 smernice o zneužívaní trhu, uvedenej v poznámke č. 20. Pozri takisto článok 50 smernice MiFID, uvedenej v poznámke č. 21.

(26) Pojem „záznamy telefonickej a dátovej prevádzky“ môže prípadne zahŕňať široký rozsah informácií vrátane trvania, času alebo objemu správ, použitého protokolu, polohy koncového zariadenia odosielateľa alebo príjemcu, siete, z ktorej správa pochádza alebo na ktorej končí, začiatku, konca alebo trvania spojenia, alebo dokonca zoznamu navštívených webových stránok a obsahu správ v prípade, že sa zaznamenávajú. Všetky uvedené informácie, pokiaľ sa týkajú identifikovaných alebo identifikovateľných fyzických osôb, sú osobné údaje.

(27) Pozri článok 6 ods. 1 písm. c) smernice 95/46/ES a článok 4 ods. 1 písm. c) nariadenia (ES) č. 45/2001. Takisto je potrebné posúdiť, či je možné vytvoriť osobitné ochranné opatrenia s cieľom zabrániť zachyteniu a spracovaniu údajov, ktoré súvisia so skutočne súkromným použitím.

(28) Ako sa uvádza, smernica o súkromí a elektronických komunikáciách stanovuje všeobecnú zásadu, že prevádzkové dáta sa musia vymazať alebo zanonymniť, ak už nie sú potrebné na účely prenosu správy. Uvedené dáta sa môžu ďalej spracúvať len na účely fakturácie a platieb za spojenie a len do konca obdobia, počas ktorého môže byť faktúra právne napadnutá alebo sa môže uplatniť nárok na platbu. Akákoľvek odchýlka od tejto zásady musí byť nevyhnutná, vhodná a primeraná v demokratickej spoločnosti na osobitné účely verejného poriadku [t. j. zabezpečenie národnej bezpečnosti (t. j. bezpečnosti štátu), obrany, verejnej bezpečnosti alebo na zabránenie, vyšetrovanie, odhaľovanie a stíhanie trestných činov alebo neoprávneného používania elektronického komunikačného systému].

(29) KOM(2011) 747.

(30) Pozri takisto nedávne stanoviská EDPS k legislatívnym opatreniam na revíziu právnych predpisov v oblasti bankovníctva (časť 2.4), trhov s finančnými nástrojmi (MIFID/MIFIR) (časť 2.5) a manipulácie s trhom (časť 2.6).

(31) Spojené veci C-92/09 a C-93/09, Schecke, body 56 – 64.

(32) Pozri v tejto súvislosti takisto stanovisko EDPS z 15. apríla 2011 k návrhu nariadenia o rozpočtových pravidlách, ktoré sa vzťahujú na ročný rozpočet Únie (Ú. v. EÚ C 215, 21.7.2011, s. 13).

(33) Napríklad vnútroštátne orgány by mohli posúdiť nasledujúce opatrenia: odložiť zverejnenie, kým nebude odvolanie zamietnuté, alebo, ako sa navrhuje v správe o hodnotení vplyvu, jasne uviesť, že proti rozhodnutiu je ešte možné podať odvolanie a že dotknutá osoba sa považuje za nevinnú, kým rozhodnutie nenadobudne právoplatnosť, zverejniť opravu v prípadoch, keď súd zruší rozhodnutie.

(34) Pozri stanovisko európskeho dozorného úradníka pre ochranu údajov z 10. apríla 2007 k návrhu nariadenia o financovaní Spoločnej poľnohospodárskej politiky (Ú. v. EÚ C 134, 16.6.2007, s. 1).

(35) Pozri v tejto súvislosti dokument, ktorý zverejnil taliansky orgán pre ochranu údajov, s názvom Osobné údaje, ktoré sú takisto uvedené v záznamoch a dokumentoch orgánov verejnej správy: usmernenia na ich spracovanie verejnými orgánmi v súvislosti s komunikáciou a šírením na internete (Personal Data As Also Contained in Records and Documents by Public Administrative Bodies: Guidelines for Their Processing by Public Bodies in Connection with Web-Based Communication and Dissemination), dostupný na webovej stránke talianskeho orgánu pre ochranu údajov, http://www.garanteprivacy.it/garante/doc.jsp?ID=1803707

(36) Tieto úvahy sa takisto spájajú so všeobecnejším právom byť zabudnutý, o ktorého začlenení do nového legislatívneho rámca na ochranu osobných údajov sa diskutuje.

(37) Tieto opatrenia a ochranné opatrenia môžu obsahovať napríklad vylúčenie indexácie údajov prostredníctvom vonkajších vyhľadávacích zariadení.