PRIPOROČILO KOMISIJE

z dne 26. marca 2009

o smernicah v zvezi z varstvom podatkov za informacijski sistem za notranji trg (IMI)

(notificirano pod dokumentarno številko C(2009) 2041)

(Besedilo velja za EGP)

(2009/329/ES)

KOMISIJA EVROPSKIH SKUPNOSTI –

ob upoštevanju Pogodbe o ustanovitvi Evropske skupnosti in zlasti druge alinee člena 211 Pogodbe,

po posvetovanju z Evropskim nadzornikom za varstvo podatkov,

ob upoštevanju naslednjega:

Sklep 2004/387/ES Evropskega parlamenta in Sveta z dne 21. aprila 2004 o interoperabilnem zagotavljanju vseevropskih e-vladnih storitev javnim upravam, podjetjem in državljanom (IDABC) (1) ter zlasti člen 4 Sklepa določa izvajanje projektov skupnega interesa, da se omogoči smotrna, učinkovita in varna izmenjava informacij med javnimi upravami na vseh ustreznih ravneh ter med takšnimi upravami in institucijami Skupnosti ali drugimi subjekti, če je to primerno.

Predstavniki držav članic v Svetovalnem odboru za usklajevanje na področju notranjega trga (2) so 17. marca 2006 odobrili globalni načrt izvajanja za informacijski sistem za notranji trg (v nadaljnjem besedilu „sistem IMI“) in njegov razvoj, ki je namenjen izboljšanju komunikacije med upravami držav članic.

Poleg te odobritve se je Komisija v svojih sklepih C(2006) 3606 z dne 14. avgusta 2006, C(2007) 3514 z dne 25. julija 2007 in C(2008) 1881 z dne 14. maja 2008 odločila za financiranje in vzpostavitev informacijskega sistema za notranji trg kot projekta skupnega interesa.

Cilj sistema IMI je podpreti ustrezne akte Skupnosti, ki določajo izmenjavo informacij med upravami držav članic, vključno z Direktivo Evropskega parlamenta in Sveta 2005/36/ES z dne 7. septembra 2005 o priznavanju poklicnih kvalifikacij (3) ter Direktivo 2006/123/ES Evropskega parlamenta in Sveta z dne 12. decembra 2006 o storitvah na notranjem trgu (4) .

Izmenjava informacij z elektronskimi sredstvi med državami članicami ter med državami članicami in Komisijo mora biti skladna s pravili o varstvu osebnih podatkov iz Direktive Evropskega parlamenta in Sveta 95/46/ES z dne 24. oktobra 1995 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov (5) ter Uredbe (ES) št. 45/2001 Evropskega parlamenta in Sveta z dne 18. decembra 2000 o varstvu posameznikov pri obdelavi osebnih podatkov v institucijah in organih Skupnosti in o prostem pretoku takih podatkov (6) .

Pravica do varstva podatkov je priznana v Listini Evropske unije o temeljnih pravicah in zlasti v členu 8 Listine; informacijski sistemi, kot je sistem IMI, morajo zagotoviti, da so različne odgovornosti in obveznosti, ki si jih Komisija in države članice delijo v zvezi s pravili o varstvu podatkov, jasne ter da imajo posamezniki, na katere se podatki nanašajo, na voljo preproste in lahko dostopne mehanizme za uveljavljanje svojih pravic.

Odločba Komisije 2008/49/ES z dne 12. decembra 2007 o izvajanju informacijskega sistema za notranji trg (IMI) v zvezi z varstvom osebnih podatkov (7) določa funkcije, pravice in obveznosti udeležencev in uporabnikov IMI. V tej odločbi Komisije je bilo upoštevano mnenje Delovne skupine iz člena 29 (8) .

Poleg sprejetja te odločbe je Evropski nadzornik za varstvo podatkov (ENVP) sprejel mnenje (9) , v katerem je pozval k sprejetju pravnega instrumenta, po možnosti v obliki uredbe Sveta in Parlamenta, glede na to, da se pričakuje, da se bo obseg sistema IMI postopno razširil na dodatna področja zakonodaje notranjega trga, zato se bosta povečala zapletenost ter število sodelujočih organov in izmenjav podatkov. Na številnih srečanjih ter prek izmenjave pisem med ENVP in službami Komisije (10) je bil dogovorjen postopni pristop, ki naj bi se začel s sprejetjem smernic v zvezi z varstvom podatkov, ki naj bi se oblikovale v tesnem posvetovanju z ENVP.

PRIPOROČA, DA DRŽAVE ČLANICE:

zagotovijo Evropski komisiji povratne informacije v zvezi z izvajanjem smernic iz Priloge najpozneje devet mesecev po sprejetju tega priporočila in s pomočjo nacionalnih koordinatorjev IMI. Evropska komisija bo te povratne informacije upoštevala v poročilu, ki ga bo pripravila najpozneje eno leto po sprejetju tega priporočila in v katerem bo ocenila razmere glede varstva podatkov v sistemu IMI ter vsebino in pravočasnost kakršnih koli prihodnjih ukrepov, vključno z morebitnim sprejetjem pravnega instrumenta.

(1) UL L 144, 30.4.2004, str. 62.

(2) Ustanovljen s Sklepom Komisije 93/72/EGS (UL L 26, 3.2.1993, str. 18).

(3) UL L 255, 30.9.2005, str. 22.

(4) UL L 376, 27.12.2006, str. 36.

(5) UL L 281, 23.11.1995, str. 31.

(6) UL L 8, 12.1.2001, str. 1.

(7) UL L 13, 16.1.2008, str. 18.

(8) Mnenje 01911/07/EN, WP 140.

(9) Mnenje Evropskega nadzornika za varstvo podatkov o Odločbi Komisije 2008/49ES z dne 12. decembra 2007 o izvajanju informacijskega sistema za notranji trg (IMI) v zvezi z varstvom osebnih podatkov (UL C 270, 25.10.2008, str. 1).

(10) http://www.edps.europa.eu/EDPSWEB/edps/site/mySite/pid/87

PRILOGA

SMERNICE V ZVEZI Z IZVAJANJEM PRAVIL O VARSTVU PODATKOV V SISTEMU IMI

1. SISTEM IMI – ORODJE ZA UPRAVNO SODELOVANJE

Sistem IMI je programska oprema, ki je dostopna prek spleta in ki jo je razvila Evropska komisija v sodelovanju z državami članicami. Glavni cilj sistema IMI je pomagati državam članicam pri praktičnem izvajanju zakonodaje EU, ki določa medsebojno pomoč in upravno sodelovanje. Sistem IMI ni zbirka podatkov, v kateri bi se dolgoročno shranjevale informacije, ampak centraliziran mehanizem, ki nacionalnim upravam držav članic EGP omogoča izmenjavo informacij z omejenimi obdobji hrambe.

Prijavna stran sistema IMI

Sistem IMI trenutno podpira izmenjave informacij v skladu z Direktivo o poklicnih kvalifikacijah, od konca leta 2009 pa bo podpiral tudi izmenjave informacij v skladu z Direktivo o storitvah. V prihodnosti bo morda podpiral izmenjave informacij na dodatnih zakonodajnih področjih notranjega trga. Posodobljen seznam teh zakonodajnih področij bo vedno na voljo v prilogi k Odločbi 2008/49/ES. Ta priloga se bo občasno spreminjala. Sistema IMI ni mogoče uporabljati za izmenjavo informacij na zakonodajnih področjih, ki niso izrecno navedena v tej prilogi.

Primer pogleda programske opreme v zvezi s pristojnimi organi, ki obravnavajo poklicne kvalifikacije

Sodelovanje med nacionalnimi upravami je bistveno za dobro delovanje notranjega trga. Evropski državljani ne morejo uveljavljati osnovnih pravic na področju notranjega trga, kot je svoboda ustanavljanja v drugi državi članici ali svoboda čezmejnega opravljanja storitev, če ni zagotovljena praktična ureditev za upravno sodelovanje.

Nekaj primerov

Nemška zdravnica, ki živi v Berlinu, se poroči s francoskim državljanom in se odloči začeti novo življenje v Parizu. Svoj poklic želi opravljati v Franciji, zato predloži nazive in diplome francoskemu združenju zdravnikov. Oseba, ki obravnava spis, dvomi o pristnosti ene od diplom, zato prek sistema IMI pri pristojnem organu v Berlinu preveri njeno pristnost.

Francoska družba za čiščenje objektov in opreme, ki deluje v Franciji, svoje storitve opravlja tudi čez mejo v Kataloniji (Španija). Ena od španskih nevladnih organizacij pri katalonskem oddelku za varstvo okolja vloži pritožbo, v kateri trdi, da francoska družba nima specializirane delovne sile, ki je potrebna za ravnanje z nekaterimi čistilnimi sredstvi. Katalonski pristojni organ prek sistema IMI ugotovi, ali družba za čiščenje v Franciji deluje zakonito.

Upravno sodelovanje v EU ni preprosta naloga. Soočiti se je treba z jezikovnimi ovirami (EU ima 23 uradnih jezikov), pomanjkanjem upravnih postopkov v zvezi s čezmejnim sodelovanjem, različnimi upravnimi strukturami in kulturami ter dejstvom, da partnerji v drugih državah članicah niso jasno opredeljeni.

Čeprav morajo učinkovito delovanje zakonodaje v zvezi z notranjim trgom na svojem ozemlju zagotoviti države članice, Komisija meni, da države članice potrebujejo orodja za sodelovanje. V skladu s tem je bil razvit sistem IMI, tj. za določanje ustreznega pristojnega organa v drugi državi članici (funkcija iskanja), upravljanje izmenjav informacij na podlagi preprostih in enotnih postopkov ter odpravljanje jezikovnih ovir na podlagi vnaprej določenih in prevedenih sklopov vprašanj.

Posnetka zaslona prikazujeta vprašanja v jezikih dveh pristojnih organov, ki sta vključena v izmenjavo informacij

2. PODROČJE UPORABE IN CILJ TEH SMERNIC

Uporabniki IMI so strokovnjaki na področjih iz svoje pristojnosti, ne glede na to, ali gre za pravila v zvezi s poklici ali predpise v zvezi z opravljanjem storitev. Vendar niso strokovnjaki na področju varstva podatkov in včasih morda zahtev o varstvu podatkov, ki jih določa njihova nacionalna zakonodaja o varstvu podatkov, ne poznajo dovolj dobro.

Zato je priporočljivo, da se uporabnikom IMI zagotovijo smernice, v katerih je delovanje sistema IMI pojasnjeno z vidika varstva podatkov, zaščitnih ukrepov v okviru sistema in morebitnih tveganj, povezanih z njegovo uporabo (1).

Namen teh smernic ni izčrpno obravnavati vsa vprašanja varstva podatkov v zvezi s sistemom IMI, ampak uporabniku prijazno pojasniti ta sistem in zagotoviti okvir za skladnost z zakonodajo, ki ga lahko razumejo vsi uporabniki IMI. Uporabniki IMI lahko dodatna navodila in pomoč po potrebi poiščejo pri organih za varstvo podatkov v državah članicah. Seznam teh organov, vključno s kontaktnimi podatki in spletnimi stranmi, je na voljo na naslednji spletni povezavi:

http://ec.europa.eu/justice_home/fsj/privacy/nationalcomm/index_en.htm

3. OKOLJE, KI JE PRIJAZNO VARSTVU PODATKOV

Sistem IMI se je razvil ob upoštevanju zahtev zakonodaje o varstvu podatkov in je že od samega začetka prijazen varstvu podatkov.

Uporabniki IMI so lahko prepričani, da je sistem IMI zanesljiva programska oprema z vidika varstva podatkov, kar dokazujejo naslednji preprosti primeri:

(a) Sistem IMI uporabljajo le pristojni organi znotraj Evropskega gospodarskega prostora (države članice EU ter Norveška, Islandija in Lihtenštajn), pri čemer prenos osebnih podatkov zunaj EGP ni dovoljen.

(b) Evropska komisija in koordinatorji IMI (2) nimajo dostopa do osebnih podatkov strokovnjakov ali ponudnikov storitev, ki se izmenjujejo v sistemu.

(c) Osebne podatke ponudnika storitev si lahko ogledajo le pristojni organi, ki se ukvarjajo z zahtevkom za informacije (3). Varstvo podatkov je celo tako strogo, da si naslovnik zahtevka ne more ogledati osebnih podatkov ponudnika storitev, dokler prejema zahtevka uradno ne potrdi. Primer zahtevka, preden prejemnik potrdi njegov prejem

(d) Vsi osebni podatki v zvezi z zahtevki se samodejno izbrišejo iz sistema šest mesecev po zaključku zahtevka ali celo prej, če to zahtevajo pristojni organi, ki so vključeni v izmenjavo (za več informacij glej poglavje 12 o obdobju hrambe).

4. KDO JE KDO V SISTEMU IMI? VPRAŠANJE SKUPNEGA UPRAVLJANJA

Sistem IMI je jasen primer postopkov skupne obdelave in skupnega upravljanja. Medtem ko si na primer osebne podatke izmenjujejo le pristojni organi v državah članicah, je za hrambo teh podatkov na svojih strežnikih odgovorna Evropska komisija. Medtem ko Evropska komisija nima dostopa do teh osebnih podatkov, je upravljavka sistema, ki fizično izbriše in popravi podatke.

To pomeni, da zaradi razdelitve različnih odgovornosti med Komisijo in državami članicami velja naslednje:

(a) Vsak pristojni organ in koordinator IMI je odgovoren za svoje dejavnosti obdelave podatkov.

(b) Komisija ni uporabnica, temveč upravljavka sistema, ter je odgovorna predvsem za vzdrževanje in varnost sistema (4).

(c) Udeleženci IMI si delijo odgovornosti glede obveščanja ter zagotavljanja pravic do dostopa, ugovora in popravka.

V zapletenih primerih skupnega upravljanja sistemov, kot je sistem IMI, se z vidika skladnosti zdi najučinkovitejše, da se varstvo podatkov vključi v sistem že na samem začetku (glej oddelek „Delo v teku“ v poglavju 13 „Sodelovanje z organi za varstvo podatkov in ENVP“) in da se opredeli okvir za skladnost z zakonodajo, kot je določeno v teh smernicah. Za skladnost z zakonodajo so odgovorni vsi udeleženci in uporabniki IMI.

5. UDELEŽENCI IN UPORABNIKI V SISTEMU IMI

Vse udeležence, ki uporabljajo sistem IMI, potrdijo koordinatorji IMI. Udeleženci in uporabniki, vključno z njihovimi funkcijami, pravicami in obveznostmi, so podrobno opisani v členih 6–12 Odločbe 2008/49/ES. Zato jih v teh smernicah ni treba ponoviti.

Poudariti je treba, da je sistem IMI zelo prilagodljiv, pri čemer lahko države članice dodelijo odgovornosti in funkcije pristojnim organom in koordinatorjem na več različnih načinov, tako da ustrezajo njihovi posebni upravni strukturi in zakonodajnim področjem, zajetim v upravno sodelovanje.

Poleg tega je treba upoštevati, da so uporabniki IMI v državah članicah odgovorni za številne druge postopke obdelave. Skladnost z zahtevami varstva podatkov v sistemu IMI ne sme biti neupravičeno zapletena ali povzročati čezmerne upravne obremenitve. Poleg tega ni treba, da temelji na enotnem pristopu.

V večini primerov morajo pristojni organi izvesti postopke obdelave v sistemu IMI v skladu z istimi pravili in dobrimi praksami, ki jih morajo običajno izvajati kot upravljavci podatkov, pri čemer upoštevajo svoje posebne potrebe in zakonodajo o varstvu podatkov v svojih državah članicah.

Poleg tega morajo izkoristiti okolje, ki je prijazno varstvu podatkov in ki ga omogoča sistem IMI. Pristojne organe se na primer spodbuja, da zahtevajo izbris osebnih podatkov, ki so se izmenjevali, iz sistema IMI še pred iztekom šestmesečnega obdobja hrambe, če izmenjave informacij več ni treba hraniti v sistemu IMI.

6. PRAVNA PODLAGA ZA IZMENJAVE OSEBNIH PODATKOV V SISTEMU IMI

Komisija je sprejela Odločbo 2008/49/ES, ki določa funkcije, pravice in obveznosti udeležencev in uporabnikov IMI glede izvajanja informacijskega sistema za notranji trg (IMI) v zvezi z varstvom osebnih podatkov.

Vse informacije, ki se izmenjujejo v sistemu IMI, niso osebni podatki. Informacije, ki se izmenjujejo, lahko na primer zadevajo pravne osebe (5) ali pa vprašanje in odgovor nista povezana z nobenim določenim posameznikom (npr. splošno vprašanje v zvezi s tem, ali je poklic v zadevni državi članici reguliran).

Vendar v številnih primerih izmenjave informacij dejansko zadevajo posameznike, zato je za obdelavo osebnih podatkov potrebna pravna podlaga. Uporaba sistema IMI je pogosto v interesu posameznika, na katerega se podatki nanašajo. Čeprav ni nujno, da je izmenjava informacij v interesu posameznika, na katerega se podatki nanašajo, lahko pristojni organi kljub temu izmenjujejo informacije v sistemu IMI, če takšno izmenjavo določa posebna pravna podlaga.

Člen 7 Direktive 95/46/ES določa pravno podlago za obdelavo osebnih podatkov. Za izmenjave podatkov v okviru sistema IMI sta najpomembnejša odstavka (c) in (e) tega člena.

I Skladnost z zakonsko obveznostjo (člen 7(c))

Na splošno velja, da morajo države članice EU obvezno sodelovati med seboj in z institucijami Skupnosti. Obveznost upravnega sodelovanja je izrecno in podrobno določena v Direktivi 2005/36/ES (o priznavanju poklicnih kvalifikacij) in Direktivi 2006/123/ES (Direktiva o storitvah).

Člen 56(1) in (2) Direktive o poklicnih kvalifikacijah določa naslednje:

„1. Pristojni organi države članice gostiteljice in države članice izvora tesno sodelujejo in si med seboj pomagajo, da bi olajšali uporabo te direktive. Zagotovijo zaupnost izmenjanih podatkov. 2. Pristojni organi države članice gostiteljice in države članice izvora si izmenjujejo podatke o sprejetih disciplinskih ukrepih ali kazenskih sankcijah ali o kakršnih koli drugih resnih in posebnih okoliščinah, ki bi lahko vplivale na opravljanje dejavnosti po tej direktivi, ob spoštovanju zakonodaje o varovanju osebnih podatkov, predvidene v direktivah Evropskega parlamenta in Sveta 95/46/ES z dne 24. oktobra 1995 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov […] in 2002/58/ES z dne 12. julija 2002 o obdelavi osebnih podatkov in varstvu zasebnosti na področju elektronskih komunikacij (Direktiva o zasebnosti in elektronskih komunikacijah (UL L 201, 31.7.2002, str. 37)).“

Člen 28(1) in (6) Direktive o storitvah določa naslednje:

„1. Države članice si medsebojno pomagajo in sprejmejo ukrepe, ki so potrebni za učinkovito medsebojno sodelovanje pri nadzoru ponudnikov in njihovih storitev […] 6. Države članice informacije, ki jih zahteva druga država članica ali Komisija, predložijo v najkrajšem možnem času po elektronski poti.“

Člen 34(1) Direktive o storitvah določa naslednje:

„1. Komisija v sodelovanju z državami članicami vzpostavi elektronski sistem za izmenjavo informacij med državami članicami, pri čemer upošteva obstoječe informacijske sisteme.“

II Izvajanje naloge, ki se opravlja v javnem interesu ali pri izvrševanju javne oblasti, dodeljene upravljavcu (člen 7(e))

Udeleženci in uporabniki IMI izvajajo naloge v javnem interesu ali izvršujejo javno oblast, ki jim je dodeljena. Vse registracije v sistemu IMI potrdi koordinator IMI, potem ko se prepriča, da zadevni pristojni organ dejansko izvaja naloge v javnem interesu (npr. ali zdravniki ali veterinarski organi zagotavljajo, da njihovi člani delujejo v skladu z etičnimi ali sanitarnimi pravili) ali izvršuje javno oblast, ki mu je dodeljena (npr. ali ministrstva za šolstvo zagotavljajo, da imajo srednješolski učitelji ustrezne kvalifikacije).

Na podlagi navedenega se lahko sistem IMI uporablja za izmenjavo osebnih podatkov v skladu z Direktivo o poklicnih kvalifikacijah in Direktivo o storitvah ter za namene, ki so opredeljeni v njunih določbah. V sistemu IMI ni mogoče izmenjavati informacij, povezanih z drugo zakonodajo glede notranjega trga. Če bo področje uporabe sistema IMI kadar koli razširjeno in bo vključevalo dodatno zakonodajo, bo ustrezno sklicevanje na zadevne akte Skupnosti dodano v prilogo k Odločbi 2008/49/ES.

7. VPRAŠANJE ZAKONODAJE, KI SE UPORABLJA, IN USTREZNEGA NADZORA

Zakonodaja o varstvu podatkov, ki se uporablja, je odvisna od tega, kdo je udeleženec ali uporabnik IMI. Za Evropsko komisijo se na primer uporablja Uredba (ES) št. 45/2001 o varstvu podatkov. Za nacionalnega uporabnika (npr. pristojni organ) se uporablja njegova nacionalna zakonodaja o varstvu podatkov, ki mora biti v skladu z Direktivo 95/46/ES (Direktiva o varstvu podatkov).

Evropska unija ima trden pravni okvir za varstvo podatkov, ki ga zagotavljata ta direktiva in Uredba (ES) št. 45/2001 (6). Direktiva o varstvu podatkov omogoča državam članicam določeno stopnjo prilagodljivosti. Zato je priporočljivo, da nacionalni koordinatorji IMI o teh smernicah razpravljajo s svojimi organi za varstvo podatkov, na primer v zvezi s posameznimi informacijami, ki se zagotovijo posameznikom (glej poglavje 9 na to temo), ali obveznim obveščanjem organov za varstvo podatkov o nekaterih postopkih obdelave podatkov.

Direktiva 95/46/ES zadeva notranji trg in ima dvojni namen. Namen usklajevanja nacionalne zakonodaje o varstvu podatkov je zagotoviti visoko stopnjo varstva podatkov in varovati temeljne pravice posameznikov ter s tem omogočiti prosti pretok osebnih podatkov med državami članicami. Zato nacionalne posebnosti ne smejo imeti nobenega praktičnega ali znatnega vpliva na uporabo sistema IMI in izmenjavo informacij, ki jih zahtevajo drugi akti Skupnosti.

Ena od najpomembnejših značilnosti pravnega okvira EU za varstvo podatkov je nadzor, ki ga izvajajo javni neodvisni organi za varstvo podatkov. Zato lahko državljani pri teh organih vložijo pritožbe, da bi se njihove težave v zvezi z varstvom podatkov razrešile čim prej in brez posredovanja sodišč. Obdelavo osebnih podatkov na nacionalni ravni nadzorujejo nacionalni organi za varstvo podatkov, medtem ko obdelavo osebnih podatkov, ki jo izvajajo evropske institucije, nadzoruje Evropski nadzornik za varstvo podatkov (ENVP). Zato je Evropska komisija pod nadzorom ENVP, medtem ko so drugi uporabniki IMI pod nadzorom zadevnih nacionalnih organov za varstvo podatkov. Za več informacij v zvezi z obravnavo pritožb ali zahtevkov posameznikov, na katere se podatki nanašajo, glej poglavje 10 o pravicah do dostopa in popravka ter poglavje 13 o vprašanju sodelovanja z organi za varstvo podatkov in ENVP.

8. NAČELA VARSTVA PODATKOV, KI VELJAJO ZA IZMENJAVE INFORMACIJ

Obdelava osebnih podatkov v skladu z zakonodajo ES lahko poteka le v določenih pogojih (glej poglavje 6 „Pravna podlaga za izmenjave osebnih podatkov v sistemu IMI“) in v skladu z nekaterimi načeli, ki se v Direktivi o varstvu podatkov imenujejo „načela v zvezi s kakovostjo podatkov“ (glej člen 6 te direktive).

Upravljavci podatkov lahko zbirajo osebne podatke le za zakonite in posebne namene ter jih ne smejo obdelovati za druge namene, ki niso združljivi z nameni, določenimi ob zbiranju podatkov. Klasičen primer nezdružljivih namenov bi bil, če bi pristojni organ podatke o naslovih, ki jih je zbiral za obravnavo primera strokovnjakov migrantov v skladu z Direktivo o storitvah, prodajal zasebnim družbam za namene trženja.

Poleg tega mora biti obdelava osebnih podatkov sorazmerna (primerna, ustrezna in ne pretirana) z nameni zbiranja podatkov, pri čemer mora upravljavec sprejeti tudi primerne ukrepe, da zagotovi, da se podatki posodobijo in uničijo ali spremenijo v anonimne, potem ko identifikacija posameznika, na katerega se podatki nanašajo, ni več potrebna. Načela v zvezi s kakovostjo podatkov so načela dobrega upravljanja informacij, ker dober informacijski sistem ni tisti sistem, ki brez posebnega razloga hrani veliko količino podatkov ter kmalu postane zastarel in nezanesljiv. Dober elektronski informacijski sistem mora zbirati le podatke, ki so potrebni za vnaprej določene namene, pri čemer je treba te podatke posodabljati, tako da so popolnoma zanesljivi.

Na podlagi uporabe teh načel v zvezi s kakovostjo podatkov pri delovanju sistema IMI se priporoči naslednje.

1. Uporaba sistema IMI mora biti strogo omejena na namene, ki so določeni v veljavni zakonodaji (npr. v primeru upravičenega dvoma ali iz kakršnega koli drugega razloga, določenega v veljavni zakonodaji). Ker se pričakuje, da bo sistem IMI postal standarden način izmenjave informacij med pristojnimi organi, mora biti popolnoma jasno, da se sistem IMI ne sme sistematično uporabljati za preverjanje preteklosti strokovnjakov migrantov ali migrantov ponudnikov storitev.

2. Pristojni organ prosilec mora zagotoviti le tiste osebne podatke, ki jih pristojni organ prejemnik potrebuje, da nedvoumno identificira zadevno osebo ali odgovori na vprašanja. Če je na primer strokovnjaka migranta mogoče identificirati po njegovem imenu in registracijski številki v strokovnem registru, ni treba zagotoviti tudi njegove osebne identifikacijske številke.

3. Uporabniki IMI morajo previdno izbrati vprašanja in ne smejo postavljati vprašanj, ki niso popolnoma nujna. To ni le vprašanje spoštovanja načel v zvezi s kakovostjo podatkov, ampak tudi zmanjšanja upravne obremenitve. Zaradi preglednosti so vnaprej določeni sklopi vprašanj objavljeni na spletni strani sistema IMI (7). Kaj so občutljivi podatki (8) ? To so podatki, ki razkrivajo rasno ali etnično pripadnost, politično prepričanje, verska ali filozofska prepričanja, pripadnost sindikatu, zdravstveno stanje, spolno življenje, prekrške, kazenske obsodbe ali varnostne ukrepe. Nekatere države članice kot občutljive podatke obravnavajo tudi informacije v zvezi z upravnimi sankcijami ali sodbami.

4. Pristojni organi morajo biti zlasti pazljivi, kadar izmenjave informacij zadevajo občutljive podatke. Izmenjava občutljivih podatkov je mogoča le v zelo omejenih okoliščinah. Najpomembnejše zahteve za obdelavo občutljivih podatkov v sistemu IMI so naslednje: (a) Obdelava občutljivih podatkov je potrebna za uveljavljanje, izvajanje ali obrambo pravnih zahtevkov (glej člen 8(2)(e) Direktive o varstvu podatkov in ustrezne določbe v nacionalni zakonodaji). To lahko velja za tiste izmenjave podatkov v sistemu IMI, pri katerih strokovnjak migrant ali migrant ponudnik storitev uveljavlja svojo pravico do opravljanja svojega poklica ali ustanovitve v drugi državi članici. Pristojni organi morajo v vsakem primeru natančno oceniti, ali je uporaba občutljivih podatkov dejansko nujno potrebna za uveljavljanje pravice. V zvezi z nekaterimi posebnimi občutljivimi podatki, ki se izmenjujejo v sistemu IMI, so države članice sprejele posebne določbe iz Direktive o poklicnih kvalifikacijah in Direktive o storitvah. 1. Člen 56(2) Direktive o poklicnih kvalifikacijah določa: „Pristojni organi države članice gostiteljice in države članice izvora si izmenjujejo podatke o sprejetih disciplinskih ukrepih ali kazenskih sankcijah ali o kakršnih koli drugih resnih in posebnih okoliščinah, ki bi lahko vplivale na opravljanje dejavnosti po tej direktivi, ob spoštovanju zakonodaje o varovanju osebnih podatkov […]“. 2. Člen 33 Direktive o storitvah določa posebna pravila za izmenjavo informacij v zvezi z dobrim imenom migranta ponudnika storitev: „Države članice na zahtevo pristojnega organa druge države članice v skladu s svojo nacionalno zakonodajo zagotovijo informacije o disciplinskih in upravnih ukrepih ali kazenskih sankcijah in odločitvah v zvezi s plačilno nesposobnostjo ali stečajem […].“ (b) Posameznik, na katerega se podatki nanašajo, da izrecno privolitev. Če je upravno sodelovanje v interesu posameznika, na katerega se podatki nanašajo, ne bi smelo biti težko pridobiti njegove izrecne privolitve za obdelavo osebnih podatkov.

5. Varnostni ukrepi glede informacij o kazenskih evidencah, pri katerih sta najpomembnejša točnost in posodobljenost, morajo biti zelo strogi. Zato se sme poleg skladnosti z drugimi načeli Direktive o varstvu podatkov in Uredbe iz tega priporočila (9) to kategorijo informacij zahtevati le, kadar je to dovoljeno v skladu z ustreznimi akti Skupnosti ter je nujno potrebno za sprejetje odločitve v zadevnem primeru, ki je neposredno povezan z zahtevkom. To pomeni, da mora biti obdelava neposredno povezana z izvajanjem poklicne dejavnosti ali zagotavljanjem storitve in nujna za preverjanje skladnosti z določbami zadevne direktive. Uporabniki IMI morajo vedno upoštevati, da se informacije, potrebne za sprejetje odločitve, pogosto ne nanašajo nujno na kazensko evidenco strokovnjaka migranta ali migranta ponudnika storitev. V sklopu vprašanj sistema IMI je dejansko navedenih le nekaj vprašanj, ki zadevajo kazenske evidence ali druge občutljive podatke (10). Poleg teh omejenih primerov se lahko občutljivi podatki izmenjujejo le v izjemnih primerih, v katerih so dejanske okoliščine primera take, da so občutljivi podatki neposredno povezani z izvajanjem zadevne dejavnosti in so nujno potrebni za uveljavljanje pravnih zahtevkov. Pristojni organi sistema IMI ne smejo uporabljati za rutinske preglede kriminalne preteklosti strokovnjakov migrantov, saj to ne bi bilo v skladu z namenom, s katerim je bil sistem IMI vzpostavljen. Vsaka poizvedba o prekrških ali disciplinskih ukrepih mora biti povezana z zadevnim poklicem ali storitvijo in ne z drugimi prekrški, ki jih je strokovnjak migrant morda storil v državi izvora, ali disciplinskimi ukrepi, ki so se mu morda izrekli. Za ugotovitev, ali je zdravnik zakonito registriran in uživa dober ugled pri drugih zdravnikih, pristojnemu organu prosilcu na primer ni treba vedeti, ali je v kazenski evidenci zdravnika zabeležen prometni prekršek, ker mu tak prekršek v matični državi ne bi preprečil opravljanja zdravniškega dela.

Vprašanje nadaljnje obdelave in shranjevanja zunaj IMI

Uporaba sistema IMI bo pogosto povezana z zagotavljanjem informacij za druge postopke obdelave, ki se izvajajo v državi članici (na primer pri obravnavi vloge za opravljanje storitve ali pri izdaji dovoljenja za zadevno dejavnost). Zato je običajno, da pristojni organi dodatno obdelajo podatke, pridobljene za te namene. Po pridobitvi podatkov prek sistema IMI in njihovi nadaljnji obdelavi zunaj sistema še vedno velja nacionalna zakonodaja o varstvu podatkov. Zato je treba zagotoviti, da:

— je nadaljnja obdelava združljiva z nameni zbiranja in izmenjave podatkov znotraj sistema IMI,

— je nadaljnja obdelava nujna in sorazmerna (primerna, ustrezna in ne pretirana) s prvotnimi nameni zbiranja v sistemu IMI,

— se sprejmejo primerni ukrepi za ohranjanje posodobljenih podatkov in njihov izbris, ko niso več potrebni,

— je posameznik, na katerega se podatki nanašajo, obveščen o izpisu podatkov iz sistema IMI za posredovanje tretji osebi, da se zagotovi poštena obdelava, razen če to ne bi bilo mogoče ali če bi vključevalo nesorazmeren napor ali če je posredovanje izrecno določeno z zakonom (glej člen 11(2) Direktive 95/46/ES o varstvu podatkov). Ob upoštevanju, da je posredovanje lahko določeno z zakoni le ene od vključenih držav članic in zato morda ni splošno znano drugod, Komisija meni, da si je treba prizadevati za zagotovitev informacij, tudi če je posredovanje izrecno določeno z zakonom.

9. ZAGOTAVLJANJE INFORMACIJ POSAMEZNIKOM, NA KATERE SE PODATKI NANAŠAJO

Eden od stebrov vsake sheme varstva podatkov je, da upravljavci podatkov posameznikom, na katere se podatki nanašajo, zagotovijo informacije o postopkih obdelave, ki jih nameravajo opraviti v zvezi z njihovimi osebnimi podatki.

Člen 10 Direktive o varstvu podatkov določa, da je treba ob zbiranju posameznikom, na katere se podatki nanašajo, zagotoviti vsaj informacije o istovetnosti upravljavca, namenu obdelave podatkov, prejemnikih ali vrstah prejemnikov podatkov, ali so odgovori na vprašanja obvezni, in tudi možnih posledicah, če ne odgovori, ter pravici do dostopa in pravici do popravka.

Zato mora pristojni organ pri zbiranju osebnih podatkov posameznika osebo, na katero se podatki nanašajo, obvestiti, da bodo podatki morda vključeni v sistem IMI zaradi korespondence z drugimi javnimi upravami v drugih državah članicah za namene zahtevka te osebe ter da lahko po potrebi ta oseba zahteva dostop do podatkov ali popravek podatkov, ki so bili predmet izmenjave, pri katerem koli pristojnem organu, ki se je ukvarjal z zahtevkom (za podrobnejše informacije v zvezi s tem glej poglavje 10 o pravici do dostopa in pravici do popravka).

Vsak pristojni organ se odloči, kako bo te informacije prenesel posameznikom, na katere se podatki nanašajo. Ker bo večina pristojnih organov (če ne vsi) opravljala postopke obdelave razen izmenjav informacij v sistemu IMI, lahko posameznike obveščajo, če je ustrezno, na enak način, kot ga uporabljajo za zagotavljanje podobnih informacij za druge postopke obdelave v skladu z nacionalno zakonodajo (npr. z napisi, v dopisih za posameznike, na katere se podatki nanašajo, in/ali na spletnih straneh).

Zagotavljanje podatkov v Direktivi o varstvu podatkov

Člen 10 Direktive o varstvu podatkov vsebuje seznam minimalnih informacij, ki jih je treba zagotoviti posameznikom, razen če te informacije že imajo:

(a) identiteta upravljavca ali upravljavcev (pristojni organ, ki zbira podatke, in podobni organi v drugih državah članicah);

(b) namen obdelave (korespondenca z drugimi organi v zvezi z zahtevkom strokovnjaka migranta ali migranta ponudnika storitev);

(c) vse nadaljnje informacije, če so take informacije potrebne za zagotavljanje poštene obdelave ali če nacionalna zakonodaja določa zagotavljanje nadaljnjih informacij, kot so: 1. prejemniki ali vrste prejemnikov; 2. obstoj pravice do dostopa in pravice do popravka podatkov, ki jih zadevajo, način izvajanja teh pravic v praksi in vse izjeme do teh pravic v skladu z nacionalno zakonodajo; 3. pravica do pravnih sredstev (npr. dostop do sodnega varstva in pravica do odškodninskega zahtevka); 4. shranjevanje in obdobje hrambe; 5. varnostni ukrepi; 6. povezave na ustrezne dokumente in spletne strani, vključno s spletno stranjo Komisije o sistemu IMI.

Direktiva o varstvu podatkov predvideva dve vrsti primerov, v katerih je treba posameznikom, na katere se podatki nanašajo, zagotoviti informacije: kadar se podatki zberejo neposredno od teh posameznikov in kadar so pridobljeni od tretje osebe. Kljub temu za ta zadnji primer člen 11 Direktive vsebuje pravilo razumne presoje („rule of reason“), v skladu s katerim zagotavljanje takšnih informacij ne bi bilo nujno, če bi vključevalo nesorazmeren napor ali če je evidentiranje ali posredovanje izrecno določeno z zakonom (kot v primeru izmenjav informacij v sistemu IMI), čeprav Direktiva v nadaljevanju določa, da v teh primerih „države članice predvidijo ustrezne zaščitne ukrepe“.

Zato bodo morali pristojni organi zagotavljanje informacij posameznikom, na katere se podatki nanašajo, morda podrobneje določiti na podlagi svojih nacionalnih zakonov o varstvu podatkov, po možnosti po posvetovanju z nacionalnimi koordinatorji IMI in nacionalnimi organi za varstvo podatkov. Priporočljivo je upoštevanje večplastnega pristopa, pri katerem se osnovne informacije zagotovijo ob zbiranju (npr. v vlogah pristojnim organom) in se ob tem navede, kje lahko posamezniki, na katere se podatki nanašajo, dobijo bolj izčrpne informacije, če jih zanimajo.

Za drugo, podrobnejšo plast informacij je eden od učinkovitih načinov zagotavljanja informacij posameznikom, na katere se podatki nanašajo, politika zasebnosti ali izjava o varstvu podatkov na spletnih straneh.

Če pristojni organi že imajo te izjave o varstvu podatkov, jih morajo posodobiti ali dopolniti tako, da se izrecno sklicujejo na izmenjavo osebnih podatkov v sistemu IMI. Če to ne velja, se morajo pristojni organi odločiti, ali uporaba sistema IMI in obseg zbiranja osebnih podatkov upravičujeta pripravo spletne izjave o varstvu podatkov.

V primerih, v katerih se sistem IMI uporablja zelo redko, lahko zadostuje, da se posameznike o sistemu IMI obvesti le na kratko ob zbiranju in po potrebi tudi pozneje. V teh primerih, v katerih posameznikom, na katere se podatki nanašajo, pristojni organ ne zagotovi posebne izjave o sistemu IMI glede varstva podatkov, mora pristojni organ jasno navesti, kje lahko posamezniki, na katere se podatki nanašajo, dobijo bolj izčrpne informacije, na primer, na spletni strani nacionalnega koordinatorja IMI in na spletni strani Komisije o sistemu IMI.

Oddelek o varstvu podatkov na spletni strani Komisije o sistemu IMI (11) vsebuje izjavo Komisije o varstvu podatkov v sistemu IMI. Vsebuje tudi dodatne informacije o tem, kako lahko posamezniki, na katere se podatki nanašajo, uveljavljajo svoje pravice in zaprosijo za pomoč nacionalne pristojne organe ali organe za varstvo podatkov, če je to potrebno.

Zelo je priporočljivo, da pomembni udeleženci v sistemu IMI, ki se ukvarjajo z velikim številom zahtevkov, objavijo svojo politiko zasebnosti na spletnih straneh. Politika zasebnosti mora vključevati povezavo na oddelek o varstvu podatkov na spletni strani Komisije o sistemu IMI. Drugi pristojni organi, ki obravnavajo majhno število zahtevkov, lahko uporabijo zlasti povezavo na spletno stran Komisije o sistemu IMI.

Nacionalni koordinatorji IMI morajo pristojnim organom zagotoviti pomoč. To lahko vključuje pomoč pri pripravi vzorčnega obvestila o varstvu zasebnosti, ki ga nacionalni pristojni organi lahko uporabijo kot predlogo. Namesto tega lahko nacionalni koordinator pripravi skupno nacionalno obvestilo o varovanju zasebnosti in ga objavi v spletu, vsak pristojni organ pa lahko zagotovi le povezavo na to obvestilo, kadar obravnava posameznike, na katere se podatki nanašajo (npr. v vlogah ali katerem koli drugem dokumentu, zagotovljenem posameznikom, na katere se podatki nanašajo).

Izjava Evropske komisije o varstvu podatkov

Informacijski sistem za notranji trg – IMI

1. Sistem IMI in njegovi uporabniki

Sistem IMI želi olajšati upravno sodelovanje in medsebojno pomoč med državami članicami ter tako zagotoviti pravilno delovanje notranjega trga in prost pretok ljudi in storitev. Sistem je orodje za izmenjavo informacij (tudi nekaterih osebnih podatkov) med nacionalnimi javnimi upravami držav članic Evropskega gospodarskega prostora.

Izjava o varstvu podatkov zadeva tisti del sistema IMI, ki je v pristojnosti Evropske komisije, tj. zbiranje, registracijo, hrambo in izbris osebnih podatkov prvih uporabnikov pri nacionalnih koordinatorjih IMI ter hrambo in izbris, ne pa tudi zbiranje in prikaz osebnih podatkov drugih uporabnikov sistema IMI in posameznikov, ki so predmet izmenjanih informacij. Izjava torej ne zadeva obdelave podatkov, ki sodi v pristojnost držav članic.

2. Kateri predpisi se uporabljajo?

Obdelavo podatkov, ki je v pristojnosti Evropske komisije, ureja Uredba (ES) št. 45/2001 Evropskega parlamenta in Sveta z dne 18. decembra 2000 o varstvu posameznikov pri obdelavi osebnih podatkov v institucijah in organih Skupnosti in o prostem pretoku takih podatkov.

Uporablja se tudi Odločba Komisije 2008/49/ES z dne 12. decembra 2007 o izvajanju informacijskega sistema za notranji trg (IMI) v zvezi z varstvom osebnih podatkov.

3. Katere podatke v sistemu IMI obdeluje Komisija?

Komisija zbira potrebne kontaktne podatke prvih uporabnikov pri nacionalnih koordinatorjih IMI, denimo ime, številko službenega telefona in telefaksa in elektronski naslov. Ti osebni podatki in podatki uporabnikov pri delegiranih koordinatorjih IMI in pri pristojnih organih so shranjeni na strežniku Komisije.

Osebni podatki posameznikov, ki so predmet izmenjanih informacij, bodo iz tehničnih razlogov shranjeni na strežniku Komisije.

4. Čemu obdelava podatkov v sistemu IMI?

Kontaktni podatki nacionalnih koordinatorjev IMI so nujni za vzpostavitev in vodenje sistema IMI. Komisija mora imeti dostop do teh podatkov, da z državami članicami lahko učinkovito sodeluje pri upravljanju sistema IMI.

Kar zadeva začasno shranjevanje osebnih podatkov posameznikov, ki so predmet izmenjanih informacij med nacionalnimi organi, je njihova obdelava v sistemu IMI potrebna za boljše in lažje sodelovanje med pristojnimi organi držav članic, ki ga vzpostavlja zakonodaja Skupnosti v tistih primerih, ko so za delovanje notranjega trga potrebne dodatne informacije iz druge države članice o začasnem opravljanju čezmejnih storitev ali sedežu ponudnika storitev v drugi državi članici.

5. Kdo dostopa do podatkov?

Po členu 12(7) Odločbe 2008/49/ES imajo lokalni skrbniki Komisije dostop do osebnih podatkov lokalnih skrbnikov nacionalnih koordinatorjev IMI. Osebje Komisije pa nikakor nima dostopa do osebnih podatkov posameznikov, ki so predmet izmenjanih informacij.

6. Kako dolgo hranimo podatke?

Osebne podatke uporabnikov pri pristojnih organih in koordinatorjih bomo hranili, dokler bodo uporabniki sistema IMI.

Vse osebne podatke, ki si jih bodo izmenjali pristojni organi in bodo obdelani v sistemu IMI, bo Komisija samodejno izbrisala šest mesecev po uradno končani izmenjavi informacij. Zaradi statističnih potreb bodo izmenjane informacije še naprej ostale v sistemu IMI, vendar bodo vsi osebni podatki poslej anonimni. Pristojni organ, ki je poslal neko določeno informacijo, lahko kadar koli po koncu izmenjave naroči Komisiji, naj določene osebne podatke izbriše. Komisija bo vsako tako navodilo izpolnila v desetih delovnih dneh, če se bodo s tem strinjali vsi zadevni pristojni organi.

7. Kateri varnostni ukrepi preprečujejo nedovoljen dostop?

Sistem IMI varujejo številni tehnični ukrepi. Posamezne ravni dostopa do podatkovne zbirke so zavarovane z običajnim geslom in dodatno številčno kodo, podobno tisti, ki se uporablja pri bančnem poslovanju na osebnem računalniku. Dovoljenje za dostop do osebnih podatkov v sistemu IMI ima samo omejena skupina ljudi, navedena v točki 5 zgoraj („Kdo dostopa do podatkov?“). Sistem varuje tudi posebni protokol, ki omogoča varno internetno povezavo (https).

8. Dostop do svojih osebnih podatkov

Nacionalni koordinatorji IMI lahko do svojih osebnih podatkov dostopajo na kontaktnem naslovu v točki 10 spodaj.

9. Dodatne informacije

Poleg te izjave o varstvu podatkov se uporablja še „pomembno pravno obvestilo“ (http://europa.eu/geninfo/legal_notices_sl.htm)

„Če menite, da so vaši osebni podatki v sistemu IMI, in želite imeti dostop do njih ali jih izbrisati oziroma popraviti, se obrnite na upravni ali poklicni organ, s katerim ste sodelovali, ali na uporabnika IMI, ki se je ukvarjal z zahtevkom. Če z odgovorom niste zadovoljni, se obrnite na drugega uporabnika IMI, ki se je ukvarjal z zahtevkom, ali se pritožite organu za varstvo podatkov pri katerem od pristojnih organov za vaš zahtevek, ki vam bo brezplačno pomagal. Seznam organov za varstvo podatkov boste našli na:

http://ec.europa.eu/justice_home/fsj/privacy/nationalcomm/index_en.htm

Opozarjamo vas, da po nacionalnem pravu v določenih primerih izjemoma nimate pravice dostopa do svojih osebnih podatkov.“

10. Kontakt

Sistem IMI upravlja Generalni direktorat za notranji trg in storitve pri Evropski komisiji (enota E.3). Odgovorna oseba (upravljavec) je vodja enote Nicholas Leapman. Kontaktni naslov sistema IMI je:

European Commission Internal Market and Services Directorate General Unit E.3 B-1049 Brussels markt-imi-dataprotection@ec.europa.eu

Z vsemi pritožbami glede obdelave podatkov v pristojnosti Evropske komisije se obrnite na Evropskega nadzornika za varstvo podatkov:

European Data Protection Supervisor (EDPS) Rue Wiertz 60 (MO 63) B-1047 Brussels Tel. (32 2) 283 19 00 Faks (32 2) 283 19 50 edps@edps.europa.eu

10. PRAVICA DO DOSTOPA IN PRAVICA DO POPRAVKA

Preglednost v zvezi s posameznikom, na katerega se podatki nanašajo, je najpomembnejša. Preglednost se zagotovi tako, da se posamezniku, na katerega se podatki nanašajo, najprej zagotovijo informacije, navedene v prejšnjem poglavju, in nato dodeli pravica do dostopa do njegovih osebnih podatkov ter, kjer je primerno, pravica do izbrisa ali popravka ali blokiranja podatkov, če so ti netočni ali so bili nezakonito obdelani.

Zaradi zapletenosti sistema IMI s številnimi udeleženci in uporabniki, vključenimi v postopke skupne obdelave in skupnega upravljanja, je potreben jasen pristop do posameznika, na katerega se podatki nanašajo. Ti posamezniki niso seznanjeni s tehničnimi podrobnostmi postopkov skupne obdelave ali z delovanjem sistema IMI, pri čemer jih s tem niti ni treba seznaniti.

Zato je treba vzpostaviti jasen in enostaven pristop: na splošno bodo posamezniki, na katere se podatki nanašajo, lahko uveljavljali pravico do dostopa, popravka in izbrisa podatkov tako, da se bodo obrnili na kateri koli pristojni organ, ki se je ukvarjal z zahtevkom, pri čemer bodo možne le upravičene izjeme, o katerih so se dogovorili posamezniki, na katere se podatki nanašajo, in vse druge zadevne stranke. Noben pristojni organ ne sme zavrniti dostopa, popravka ali izbrisa podatkov z utemeljitvijo, da podatkov ni vnesel v sistem ali da mora posameznik, na katerega se podatki nanašajo, stopiti v stik z drugim pristojnim organom. Pristojni organ prouči prejeti zahtevek in ga odobri ali zavrne glede na to, ali je zahtevek utemeljen, in v skladu z določbami lastne nacionalne zakonodaje o varstvu podatkov. Pristojni organ lahko pred sprejetjem odločitve stopi v stik z drugimi pristojnimi organi, če je to potrebno in primerno. Če se pristojni organi ne strinjajo, lahko vključijo svoje organe za varstvo podatkov, da se dogovor doseže pravočasno in učinkovito.

Če se posameznik, na katerega se podatki nanašajo, ne strinja s sprejeto odločitvijo, se lahko obrne na drug pristojni organ, vključen v izmenjavo informacij, ali na nacionalni organ za varstvo podatkov enega od teh pristojnih organov, ki mu najbolj ustreza: na primer organ države, v kateri ima sedež, ali svoj nacionalni organ za varstvo podatkov ali organ države, v kateri posameznik dela. Organi za varstvo podatkov morajo pri obravnavi pritožbe medsebojno sodelovati, če je to potrebno in primerno (glej člen 28 Direktive o varstvu podatkov).

Poudariti je treba, da imajo posamezniki, na katere se podatki nanašajo, vedno pravico, da kadar koli začnejo sodni postopek, in pravico do odškodnine, če je to primerno (glej člen 22 in 23 Direktive o varstvu podatkov ter ustrezne določbe v nacionalnih zakonih).

Člen 12(c) Direktive o varstvu podatkov določa, da upravljavec uradno obvesti tretje osebe, katerim so bili podatki posredovani, o vseh popravkih, izbrisu ali blokiranju, razen če se to izkaže za nemogoče ali če vključuje nesorazmeren napor. To velja tudi za informacije, ki se dodatno obdelajo zunaj sistema IMI.

Na podlagi priporočil Delovne skupine iz člena 29 in ENVP Komisija zdaj obravnava možnost v sistemu IMI (po vzoru že vzpostavljenega postopka za predčasni izbris podatkov na zahtevo pristojnih organov, glej poglavje 12), ki bi omogočila spletno popravljanje podatkov in s samodejnim uradnim obveščanjem zadevnih pristojnih organov. Ta možnost je tehnično zapletena, zato se predlaga, da v primeru popravka osebnih podatkov pristojni organi tak zahtevek za popravek naslovijo neposredno na upravljavca podatkov IMI pri Evropski komisiji (glej prejšnji oddelek „Izjava Evropske komisije o varstvu podatkov“), dokler funkcije ne bo mogoče izvajati.

Direktiva o varstvu podatkov in nacionalni zakoni, ki jo izvajajo, dajejo posameznikom, na katere se podatki nanašajo, tudi pravico do ugovora zoper obdelavo podatkov, ki se nanje nanašajo, ter do prekinitve obdelave, če je ugovor utemeljen. Če obravnavate posameznika, na katerega se podatki nanašajo in ki ugovarja obdelavi podatkov v zvezi z njim, stopite v stik z nacionalnim organom za varstvo podatkov, da dobite več informacij o pravici do ugovora v vaši državi članici.

11. VARNOST PODATKOV

Za zagotavljanje varnosti sistema IMI se uporablja več organizacijskih in tehničnih ukrepov, ki so podobni ukrepom, uporabljenim v nekaterih sistemih poslovanja z banko prek osebnega računalnika. Internetna komunikacija s sistemom IMI je zaščitena s posebnim protokolom, ki omogoča varno internetno povezavo (https). Tehnični ukrepi za varstvo sistema IMI morajo biti interoperabilni v celotni Evropski uniji. Tehnično varovanje sistema se bo dodatno razvilo ob upoštevanju stanja tehnologije in stroškov za njihovo izvajanje (glej člen 17 Direktive 95/46/ES in člen 22 Uredbe (ES) št. 45/2001).

Za več informacij o pravilih v zvezi z varovanjem informacijskih sistemov, ki jih uporablja Evropska komisija, glej Odločbo Komisije C(2006) 3602, ki je na voljo v oddelku o varstvu podatkov na spletni strani sistema IMI:

http://ec.europa.eu/internal_market/imi-net/data_protection_sl.html

12. OBDOBJE HRAMBE

Pravila v zvezi z obdobjem hrambe so določena v členih 4 in 5 Odločbe 2008/49/ES.

Na splošno bodo vsi osebni podatki, ki jih vsebujejo izmenjave informacij, samodejno izbrisani šest mesecev po uradnem zaključku izmenjave informacij. Komisija zdaj izvaja nekatere spremembe v sistemu (opomniki in seznami nujnih primerov), katerih cilj je čim hitrejši uradni zaključek zahtevkov.

Obstaja tudi možnost, da pristojni organ zahteva izbris osebnih podatkov še pred iztekom šestih mesecev. Če se drugi pristojni organ strinja, se Komisija na tako zahtevo odzove v roku desetih delovnih dni.

Pristojni organi morajo upoštevati, da se lahko zahtevki za izbris osebnih podatkov predložijo v spletu tako, da se pri ustreznem zaključenem zahtevku klikne gumb „Zahteva za izbris osebnih podatkov“.

Posnetek zaslona za zahtevek pristojnega organa za predčasni izbris osebnih podatkov

Posnetek zaslona za poizvedbo pri pristojnem organu glede predčasnega izbrisa osebnih podatkov

Komisija bo izvedla tudi nekatere izboljšave sistema, kot so samodejni opomniki za sprejetje odgovorov ali uradni zaključek zahtevkov, kadar je bil prejet zadovoljiv odgovor.

Poleg tega je treba opozoriti, da za vse osebne podatke zunaj sistema IMI, ki jih hranijo pristojni organi, veljajo nacionalna pravila o varstvu podatkov.

13. SODELOVANJE Z NACIONALNIMI ORGANI ZA VARSTVO PODATKOV IN ENVP

Mreža nacionalnih organov za varstvo podatkov in ENVP je eno od najboljših zagotovil za dobro delovanje našega sistema varstva podatkov. Pristojni organi se lahko nanjo zanesejo in poiščejo nasvete, kadar koli se srečajo s težkim vprašanjem, ki ni zajeto v teh smernicah. Nacionalni koordinatorji IMI so pozvani, da pri tem prevzamejo pomembno vlogo. Seznam stikov pri organih za varstvo podatkov je na voljo v oddelku o varstvu podatkov na spletni strani sistema IMI.

Pristojni organi morajo upoštevati tudi, da bodo morda morali pred vključitvijo v sistem IMI o tem obvestiti svoje nacionalne organe za varstvo podatkov. V nekaterih državah članicah je morda potrebna predhodna odobritev. Koordinatorji IMI morajo imeti dejavno usklajevalno vlogo pri navezovanju stikov z organi za varstvo podatkov, če je to potrebno.

Delo v teku

Naslednje izboljšave, ki so prijazne varstvu podatkov, bodo vključene v prihodnjo različico sistema IMI v letu 2009:

(a) če izmenjave informacij zadevajo občutljive podatke (npr. zdravstveni podatki ali kazenske evidence ali disciplinski ukrepi), bo obstajal opomnik, da so izmenjane informacije občutljive in da lahko odpravnik zadeve te informacije zahteva le, če so nujno potrebne in neposredno povezane z izvajanjem poklicne dejavnosti ali opravljanjem zadevne storitve;

(b) vzpostavljen bo spletni postopek (po vzoru že vzpostavljenega postopka za izbris podatkov na zahtevo pristojnih organov) za popravek, izbris ali blokiranje podatkov, ki so bili nezakonito obdelani ali so netočni;

(c) obstajali bodo samodejni opomniki in seznami za nujne primere za sprejetje odgovora, da zahtevki ne ostanejo nerešeni dlje, kot je potrebno;

(d) ustrezni ukrepi za obravnavo novega pretoka informacij v okviru Direktive o storitvah, tj. mehanizem opozarjanja in odstopanja za vsak primer posebej. Na splošno bo pri teh ukrepih upoštevan enak pristop, kot je zasnovan za splošne izmenjave informacij, na primer: opomniki za občutljivo naravo pretoka informacij, opomniki za izklop alarma takoj, ko je to izvedljivo, mogoči načini obveščanja posameznikov o izmenjavi informacij in njihovih pravicah do dostopa podatkov, ter, če je ustrezno, blokiranja, izbrisa ali popravka podatkov. Morda bodo za varstvo podatkov potrebni dodatni zaščitni ukrepi. Pripravljeni bodo v posvetovanju z ENVP.

14. KLAVZULA O PREGLEDU

Sistem IMI je pionirski informacijski sistem, ki se še vedno razvija. Komisija redno zbira prispevke koordinatorjev in pristojnih organov, da bi izboljšala sistem, zato je verjetno, da bodo spremembe izvedene v prihodnjih mesecih. Nekatere ne bodo imele posledic za varstvo podatkov, medtem ko jih bodo nekatere morda imele.

Te smernice se zato lahko še vedno spremenijo in jih bo treba posodobiti na podlagi izkušenj pri vsakodnevnem delu s sistemom IMI. Komisija bo najpozneje eno leto po sprejetju tega priporočila pripravila poročilo, v katerem bo ocenila stanje, vključno z možnostjo sprejetja dodatnega pravnega ukrepa.

(1) Države članice bi morale proučiti možnost vključitve informacij o varstvu podatkov v svoje ukrepe usposabljanja v zvezi s sistemom IMI.

(2) Glej člen 12 Odločbe 2008/49/ES.

(3) Pristojni organi se lahko pri izvajanju nadzora „povežejo“ z drugimi organi (npr. regionalni organ se poveže z zveznim organom). Na ta način so ti „povezani“ organi lahko obveščeni glede števila in narave zahtevkov, vendar nimajo dostopa do osebnih podatkov ponudnikov storitev ali strokovnjakov migrantov.

(4) Kot je določeno v členu 10(3) Odločbe 2008/49/ES, Komisija lahko sodeluje v izmenjavi informacij le v posebnih primerih, kadar ustrezni akt Skupnosti predvideva, da se informacije izmenjujejo med državami članicami in Komisijo. V teh primerih ima Komisija podobne obveznosti kot pristojni organ. Komisija mora na primer ustrezno obvestiti posameznike, na katere se podatki nanašajo, in jim na njihovo zahtevo omogočiti dostop do njihovih podatkov.

(5) Čeprav v nekaterih državah članicah, kot so Italija, Luksemburg, Avstrija in Danska, zakonodaja o varstvu podatkov delno zajema tudi pravne osebe.

(6) Direktiva 95/46/ES se uporablja za države članice, medtem ko se Uredba (ES) št. 45/2001 uporablja za evropske institucije.

(7) http://ec.europa.eu/internal_market/imi-net/docs/questions_and_data_fields_sl.pdf

(8) Za pravno opredelitev glej člen 8 Direktive 95/46/ES in člen 10 Uredbe (ES) št. 45/2001.

(9) Tj. ustrezne informacije je treba zagotoviti osebam, na katere se podatki nanašajo, obdelava mora biti sorazmerna, podatki pa se ne smejo nadalje obdelati za namene, ki niso združljivi z zbiranjem teh podatkov.

(10) Poseben seznam teh vprašanj je na voljo na spletni strani sistema IMI:

http://ec.europa.eu/internal_market/imi-net/docs/questions_and_data_fields_sl.pdf

(11) Oddelek o varstvu podatkov na spletni strani IMI vključuje vse dokumente o varstvu podatkov, povezane z IMI, ter povezavo na seznam vseh zakonodajnih dokumentov o varstvu podatkov na ravni EU:

http://ec.europa.eu/internal_market/imi-net/data_protection_sl.html