PRIPOROČILO KOMISIJE

z dne 1. marca 2011

o smernicah za izvajanje pravil o varstvu podatkov v sistemu sodelovanja na področju varstva potrošnikov (SSVP)

(2011/136/EU)

EVROPSKA KOMISIJA JE –

ob upoštevanju Pogodbe o delovanju Evropske unije in zlasti člena 292 Pogodbe,

ob upoštevanju naslednjega:

Namen Uredbe (ES) št. 2006/2004 Evropskega parlamenta in Sveta z dne 27. oktobra 2004 o sodelovanju med nacionalnimi organi, odgovornimi za izvrševanje zakonodaje o varstvu potrošnikov („Uredba o sodelovanju na področju varstva potrošnikov“) (1) (v nadaljnjem besedilu: Uredba o sodelovanju na področju varstva potrošnikov), je povečati sodelovanje pri izvrševanju zakonodaje o varstvu potrošnikov na enotnem trgu, vzpostaviti mrežo nacionalnih javnih izvršnih organov po celi EU (v nadaljnjem besedilu: mreža SVP) ter določiti okvir in splošne pogoje sodelovanja za izvršne organe držav članic, da se zaščiti skupni gospodarski interes potrošnikov.

Izmenjava informacij z elektronskimi sredstvi med državami članicami mora biti v skladu s pravili o varstvu osebnih podatkov iz Direktive Evropskega parlamenta in Sveta 95/46/ES z dne 24. oktobra 1995 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov (2) (v nadaljnjem besedilu: Direktiva o varstvu podatkov) ter Uredbe (ES) št. 45/2001 Evropskega parlamenta in Sveta z dne 18. decembra 2000 o varstvu posameznikov pri obdelavi osebnih podatkov v institucijah in organih Skupnosti in o prostem pretoku takih podatkov (3) (v nadaljnjem besedilu: Uredba o varstvu podatkov).

Člen 8 Listine Evropske unije o temeljnih pravicah priznava pravico do varstva podatkov. SSVP mora zagotoviti, da so različne odgovornosti in obveznosti, ki si jih Komisija in države članice delijo v zvezi s pravili o varstvu podatkov, jasne ter da imajo posamezniki, na katere se podatki nanašajo, na voljo preproste in lahko dostopne mehanizme za uveljavljanje svojih pravic.

Izvršilni uradniki se morajo usmerjanje in pomoč za najboljši način izvajanja teh smernic v skladu z nacionalno zakonodajo obrniti na nacionalne organe za nadzor varstva podatkov ter po potrebi zagotoviti, da se uradno obveščanje in postopki predhodnega preverjanja v zvezi s postopki obdelave izvajajo na nacionalni ravni v skladu s sistemom SSVP.

Povratne informacije o izvajanju smernic je treba Komisiji predložiti najpozneje dve leti po sprejetju tega priporočila. Komisija bo morala nato oceniti stopnjo varstva podatkov v sistemu SSVP in ugotoviti, ali so potrebni dodatni instrumenti, vključno z regulativnimi ukrepi.

Treba je sprejeti potrebne ukrepe, da bodo udeleženci in uporabniki sistema SSVP lažje izvajali smernice. Nacionalni organi za varstvo podatkov in Evropski nadzornik za varstvo podatkov morajo skrbno spremljati razvoj in izvajanje zaščitnih ukrepov za varstvo podatkov v zvezi s sistemom SSVP.

Smernice dopolnjujejo Odločbo Komisije 2007/76/ES (4) in upoštevajo mnenje Delovne skupine za varstvo posameznikov pri obdelavi osebnih podatkov iz člena 29 (5) Direktive o varstvu podatkov in mnenje Evropskega nadzornika za varstvo podatkov (6) iz člena 41 Uredbe o varstvu podatkov (v nadaljevanju: ENVP) –

SPREJELA NASLEDNJE PRIPOROČILO:

Države članice morajo upoštevati smernice iz Priloge.

(1) UL L 364, 9.12.2004, str. 1.

(2) UL L 281, 23.11.1995, str. 31.

(3) UL L 8, 12.1.2001, str. 1.

(4) UL L 32, 6.2.2007, str. 192.

(5) Mnenje 6/2001 o vprašanjih varstva podatkov v zvezi s sistemom sodelovanja za varstvo potrošnikov (SSVP) 01910/2007/EN – WP 130 – sprejeto 21. septembra 2007.

(6) Mnenje ENVP, Ref. 2010-0692.

PRILOGA

Smernice za izvajanje pravil o varstvu podatkov v sistemu sodelovanja na področju varstva potrošnikov (SSVP)

1. UVOD

Sodelovanje med nacionalnimi organi na področju varstva potrošnikov je ključnega pomena za pravilno delovanje notranjega trga, saj pomanjkanje učinkovitega izvrševanja zakonodaje v čezmejnih primerih slabi zaupanje potrošnikov v čezmejne ponudbe in s tem njihovo zaupanje v notranji trg, poleg tega pa povzroča izkrivljanje konkurence.

Sistem SSVP je orodje IT, vzpostavljeno z Uredbo SVP, ki zagotavlja strukturiran mehanizem za izmenjavo informacij med nacionalnimi organi za varstvo potrošnikov, ki so del mreže SVP. Ta sistem omogoča, da se javni organ obrne na druge javne organe mreže SVP za pomoč pri preiskovanju in spopadanju z morebitnimi kršitvami zakonodaje EU o varstvu potrošnikov ter pri sprejemanju izvršilnih ukrepov za preprečevanje nezakonitih trgovinskih praks prodajalcev in dobaviteljev, ki se osredotočajo na potrošnike iz drugih držav EU. Zahtevki za informacije in vsa komunikacija med pristojnimi javnimi organi o uporabi Uredbe SVP se izvaja po sistemu SSVP.

Cilj Uredbe SVP je izboljšati izvrševanje zakonodaje o varstvu potrošnikov po celem notranjem trgu, tako da se vzpostavi mreža nacionalnih izvršnih organov po celi EU, ter določiti pogoje, pod katerimi države članice sodelujejo med seboj. Uredba SVP določa, da se morajo take izmenjave informacij in zahtevki za vzajemno pomoč med nacionalnimi izvršnimi organi izvajati prek določene podatkovne baze. Sistem SSVP je bil oblikovan, da se olajšata upravno sodelovanje in izmenjava informacij z namenom okrepitve zakonodaje EU o varstvu potrošnikov.

Obseg sodelovanja je omejen na kršitve znotraj Skupnosti pravnih aktov iz Priloge k Uredbi SVP, ki ščiti skupne gospodarske interese potrošnikov.

2. PODROČJE UPORABE IN CILJ TEH SMERNIC

Te smernice namenjajo največ pozornosti vprašanju zagotavljanja ravnovesja med učinkovitim in uspešnim sodelovanjem pri izvrševanju zakonodaje med pristojnimi organi držav članic, pri čemer se upoštevajo temeljne pravice do zasebnosti in varstvo osebnih podatkov.

Osebni podatki so opredeljeni v Direktivi o varstvu podatkov (1) kot katere koli informacije, ki se nanašajo na določeno ali določljivo fizično osebo; določljiva oseba je tista, ki se lahko neposredno ali posredno identificira, zlasti s sklicevanjem na identifikacijsko številko ali na enega ali več dejavnikov, ki so značilni za njeno fizično, fiziološko, duševno, ekonomsko, kulturno ali socialno identiteto.

Ker niso vsi nacionalni izvršilni uradniki (vodje primera), ki so uporabniki sistema SSVP, strokovnjaki za varstvo podatkov in mogoče niso vedno najbolje seznanjeni z zahtevami o varstvu podatkov, ki jih določa njihova nacionalna zakonodaja o varstvu podatkov, se priporoča, da se za uporabnike sistema SSVP zagotovijo smernice, v katerih sta obrazložena delovanje sistema SSVP s praktičnega vidika varstva podatkov ter natančen opis v sistem vgrajenih zaščitnih ukrepov in morebitnih tveganj v zvezi z njegovo uporabo.

Namen smernic je zajeti najbolj pomembna vprašanja o varstvu podatkov v zvezi s sistemom SSVP in zagotoviti uporabniku prijazno razlago za vse uporabnike sistema SSVP. Vendar pa ne zagotavlja izčrpne analize vplivov sistema SSVP v zvezi z varstvom podatkov.

Močno se priporoča, da se za dopolnitev teh priporočil z obveznostmi iz nacionalnih zakonodaj o varnosti podatkov izvedejo posvetovanja tudi z državami članicami. Uporabniki sistema SSVP lahko od teh nacionalnih organov za varstvo podatkov pridobijo nadaljnjo pomoč in smernice za izpolnitev zahtev o varnosti podatkov. Seznam teh organov s kontaktnimi podatki in spletišči je na voljo na:

http://ec.europa.eu/justice_home/fsj/privacy/nationalcomm/#eu

Biti mora jasno, da je treba obdelavo osebnih podatkov izvesti v skladu z določenimi načeli in pogoji iz Direktive o varstvu podatkov. Vodje primera lahko v okviru Uredbe SVP izmenjujejo podatke, vključno z osebnimi podatki, po sistemu SSVP, če je namen te obdelave preprečitev kršitve zakonodaje EU o potrošnikih, kakor je navedeno v Prilogi k Uredbi SVP. Vendar je pred obdelavo takih podatkov treba skrbno oceniti, da se zagotovi spoštovanje načel v zvezi z varstvom podatkov in da je obdelava podatkov nujno potrebna za dosego ciljev iz Uredbe SVP.

Ob upoštevanju tega bodo vodje primera, ki imajo dostop do sistema SSVP, pred kakršno koli obdelavo osebnih podatkov izvedli oceno za vsak primer posebej (2). Namen teh smernic je vodjem primera pomagati pri oceni z zagotovitvijo nekaterih usmeritvenih načel varstva podatkov, ki ji je treba upoštevati.

Namen je tudi pojasniti nekatere bolj zapletene dele sistema SSVP glede postopkov skupne obdelave in skupnega upravljanja, tako da se določita vlogi Komisije in pristojnih organov držav članic kot „skupnih upravnikov“ izmenjave podatkov v sistemu SSVP.

3. SSVP – ORODJE IT ZA SODELOVANJE PRI IZVRŠEVANJU ZAKONODAJE

Sistem SSVP je orodje IT, ki ga je oblikovala in ga vzdržuje Komisija v sodelovanju z državami članicami. Namen sistema SSVP je državam članicam pomagati pri praktičnem izvajanju zakonodaje EU o varstvu potrošnikov. Uporablja se v mreži SVP, sestavljeni iz javnih organov, ki jih imenujejo države članice in države EGS, z namenom sodelovanja in izmenjave informacij med njimi pri izvrševanju zakonodaje o varstvu potrošnikov, kakor je določeno v Uredbi SVP.

Člen 10 Uredbe SVP določa:

„Komisija vzdržuje elektronsko bazo podatkov, v kateri hrani in obdeluje informacije, ki jih prejme v skladu s členi 7, 8 in 9. Baza podatkov je lahko dostopna samo pristojnim organom.“

Člen 12(3) Uredbe SVP dodaja:

„Prošnje za pomoč in za sporočanje informacij se sestavijo v pisni obliki z uporabo standardnega obrazca in se posredujejo elektronsko preko baze podatkov iz člena 10.“

Sistem SSVP lajša sodelovanje in izmenjavo informacij, omejeno na kršitve znotraj Skupnosti direktiv in uredb iz Priloge k Uredbi SVP, ki obravnavajo številne teme, vključno z nepoštenimi trgovinskimi praksami, prodajo na daljavo, potrošniškimi posojili, potovanji v paketu, nepoštenimi pogodbenimi pogoji, časovnim zakupom, e-trgovino itd. Sistema SSVP ni mogoče uporabljati za izmenjavo informacij na zakonodajnih področjih, ki niso izrecno navedena v tej prilogi.

Primeri:

I. Trgovec s sedežem v Belgiji uporablja nepoštene pogoje pri poslovanju s potrošniki, ki živijo v Franciji, s čimer krši Direktivo o nepoštenih pogodbenih pogojih. Potrošniški organ v Franciji lahko za pošiljanje zahtevka potrošniškemu organu v Belgiji uporabi sistem SSVP, da proti trgovcu sprejme vse potrebne izvršilne ukrepe, ki so na voljo v Belgiji, in da tako nemudoma prekine kršitev znotraj Skupnosti.

II. Potrošniški organ na Danskem prejme pritožbo, da določena spletna stran uporablja goljufive in zavajajoče trgovinske prakse v škodo potrošnikom. Gostitelj te spletne strani ima sedež na Švedskem. Danski potrošniški organ potrebuje informacije o tej spletni strani. Zato lahko uporabi sistem SSVP, da pošlje zahtevek za informacije švedskemu potrošniškemu organu, ki mu mora te informacije predložiti.

Informacije, ki se shranijo v sistem SSVP, naložijo države članice, do njih dostopajo države članice, na katere se te informacije nanašajo, izbriše pa jih Komisija (3). Sistem SSVP se uporablja kot podatkovna baza in sredstvo za izmenjavo informacij z učinkovitim in varnim komunikacijskim sistemom.

Z vidika varstva podatkov je oblikovanje take podatkovne baze vedno nekoliko tvegano za temeljno pravico o varstvu osebnih podatkov: izmenjava več podatkov, kot je nujno potrebno za namene učinkovitega sodelovanja, hranjenje podatkov, ki bi morali biti izbrisani, in hranjenje podatkov, ki niso več točni ali so napačni, ter upoštevanje pravic posameznikov, na katere se nanašajo informacije, in obveznosti upravljavcev podatkov. Zato je treba taka tveganja obravnavati, tako da se zagotovi, da so uporabniki sistema SSVP dobro seznanjeni in usposobljeni na področju varstva podatkov in lahko zagotovijo skladnost z veljavno zakonodajo o varstvu podatkov.

4. PRAVNI IN NADZORNI OKVIR VARSTVA PODATKOV

Evropska unija ima uveljavljen pravni okvir za varstvo podatkov od leta 1995: Direktiva o varstvu podatkov (4), ki ureja obdelavo osebnih podatkov s strani držav članic, in Uredba o varstvu podatkov (5), ki ureja obdelavo podatkov s strani institucij in organov Evropske unije. Uporaba zakonodaje o varstvu podatkov je trenutno odvisna od tega, kdo je udeleženec ali uporabnik sistema SSVP.

Obdelavo podatkov, ki jo izvaja Komisija, ureja Uredba o varstvu podatkov, obdelavo podatkov, ki jo izvajajo vodje primera v nacionalnih izvršnih pristojnih organih, pa ureja nacionalna zakonodaja, ki prenaša Direktivo o varstvu podatkov.

Ker sta Komisija in imenovani pristojni organi glavna udeleženca z določenimi vlogami v sistemu SSVP in zato soupravljavca, morata nujno obvestiti in predložiti svoje postopke obdelave v predhodno preverjanje zadevnim nadzornim organom in zagotoviti skladnost s pravili o varstvu podatkov. Navedena nacionalna zakonodaja, ki prenaša Direktivo o varstvu podatkov, lahko določa izjeme v obveščanju in zahtevah po predhodnem preverjanju.

Namen usklajevanja zakonodaje o varstvu podatkov je zagotoviti visoko stopnjo varstva podatkov in zaščititi temeljne pravice posameznikov ter s tem omogočiti prosti pretok osebnih podatkov med državami članicami. Ker se nacionalni izvedbeni ukrepi lahko različno razlagajo za zagotovitev skladnosti s pravili o varstvu podatkov, je zelo priporočljivo, da se uporabniki sistema SSVP o teh smernicah posvetujejo s svojimi nacionalnimi pristojnimi izvršnimi organi, ker se pravila o informacijah, na primer informacijah, ki se zagotovijo posamezniku, ali o obveznem obveščanju organov za varstvo podatkov o nekaterih postopkih obdelave podatkov, lahko razlikujejo.

Ena pomembnejših značilnosti pravnega okvira EU na področju varstva podatkov je nadzor, ki ga izvajajo neodvisni organi za varstvo podatkov. Državljani imajo pravico, da pri teh organih vložijo pritožbe in so njihove težave v zvezi z varstvom podatkov razrešene čim prej in brez posredovanja sodišč. Obdelavo osebnih podatkov na nacionalni ravni nadzorujejo nacionalni organi za varstvo podatkov, medtem ko obdelavo osebnih podatkov, ki jo izvajajo evropske institucije, nadzoruje Evropski nadzornik za varstvo podatkov (ENVP) (6). Zato je Komisija pod nadzorom ENVP, medtem ko so drugi uporabniki sistema SSVP pod nadzorom nacionalnih organov za varstvo podatkov.

5. KDO JE KDO V SISTEMU SSVP? – VPRAŠANJE SKUPNEGA UPRAVLJANJA

Sistem SSVP je nazoren primer postopkov skupne obdelave in skupnega upravljanja. Osebne podatke zbirajo, beležijo, razkrivajo in jih izmenjujejo le pristojni organi v državah članicah, za hrambo in izbris teh podatkov na svojih strežnikih pa je pristojna Evropska komisija. Komisija nima dostopa do teh osebnih podatkov, vendar se šteje, da je skrbnica in upravljavka sistema.

Zato se porazdelitev različnih nalog in odgovornosti med Komisijo in državami članicami lahko povzame na naslednji način:

— Vsak pristojni organ je pristojen za obdelavo svojih podatkov.

— Komisija ni uporabnica, temveč upravljavka sistema, ter je pristojna predvsem za vzdrževanje in varnost ustroja sistema. Vendar ima Komisija dostop tudi do opozoril, povratnih informacij in drugih informacij v zvezi s primerom (7). Komisija dostopa zato, da spremlja uporabo Uredbe SVP in zakonodajo o varstvu potrošnikov iz Priloge k Uredbi SVP ter zbira statistične podatke v zvezi z izvajanjem teh dolžnosti. Komisija nima dostopa do informacij iz zahtevkov za vzajemno pomoč in zahtevkov za izvršitev, ker so ti naslovljeni le na pristojne organe držav članic, ki obravnavajo zadevni posebni primer; Uredba SVP omogoča Komisiji, da pomaga pristojnim organom v primeru nekaterih pritožb (8) in sodeluje v usklajeni preiskavi, ki zajema več kot dve državi članici (9).

— Udeleženci sistema SSVP si delijo odgovornost glede zakonitosti obdelave, določb glede obveščanja ter zagotavljanja pravic do dostopa, ugovora in popravka.

— Komisija in pristojni organi so kot upravljavci odgovorni za zagotovitev, da so pravila o postopkih obdelave podatkov v skladu s pravili o varstvu podatkov.

6. UDELEŽENCI IN UPORABNIKI SISTEMA SSVP

V okviru sistema SSVP obstajajo različni dostopni profili: dostop do podatkovne baze je omejen in dodeljen samo imenovanemu uradniku pristojnega organa (pooblaščeni uporabnik), ki ni prenesljiv. Zahtevki za dostop od sistema SSVP se lahko dodelijo le uradnikom, o katerih pristojni organi držav članic obvestijo Komisijo. Za vstop v sistem sta potrebna uporabniško ime in geslo, ki ga lahko pridobi enotni povezovalni organ.

Samo uporabniki v zaprošenih pristojnih organih in pristojnih organih prosilcih imajo popoln dostop do vseh izmenjanih informacij za določen primer, kar vključuje tudi vse priloge spisa o zadevi v sistemu SSVP. Enotni povezovalni organi lahko o primeru preberejo le tiste ključne informacije, ki jim omogočijo, da lahko identificirajo pristojni organ, ki mu je treba poslati zahtevek. Zaupnih dokumentov, ki so priloženi zahtevku, ali opozorila ne morejo prebrati.

V izvršitvenih primerih se splošne informacije izmenjajo med uporabniki v vseh pristojnih organih, ki so bili obveščeni, da so pristojni za kršene pravne akte. To se izvede z obvestili. Ta obvestila morajo zajemati natančen opis primera in ne smejo vsebovati osebnih podatkov. Izjemoma se lahko navede na primer ime prodajalca ali dobavitelja (če gre za fizično osebo).

Komisija nima dostopa do zahtevkov za informacije in zahtevkov za izvršitev ali zaupnih informacij, vendar prejema obvestila in opozorila.

7. NAČELA V ZVEZI Z VARSTVOM PODATKOV, KI SE UPORABLJAJO ZA IZMENJAVO INFORMACIJ

Obdelava osebnih podatkov, ki jo izvedejo uporabniki sistema SSVP v državah članicah, lahko poteka le pod določenimi pogoji in v skladu z načeli, ki jih določa Direktiva o varstvu podatkov. Upravljavec podatkov mora zagotoviti, da se pri obdelavi osebnih podatkov v sistemu SSVP upoštevajo načela v zvezi z varstvom podatkov.

Treba je tudi opozoriti, da se za sistem SSVP uporabljajo pravila o zaupnosti in pravila o varstvu podatkov. Pravila o zaupnosti in pravila o poklicni skrivnosti se lahko uporabljajo za podatke na splošno, pravila o varstvu podatkov pa so omejena na osebne podatke.

Treba je upoštevati, da so uporabniki sistema SSVP v državah članicah pristojni za številne druge postopke obdelave in da mogoče niso strokovnjaki za varstvo podatkov. Skladnost z zahtevami o varstvu podatkov v sistemu SSVP ne sme biti neupravičeno zapletena ali povzročati čezmerne upravne obremenitve. Poleg tega ni treba, da temelji na enotnem pristopu. Te smernice so priporočila za obdelavo osebnih podatkov, zato je treba opozoriti, da niso vsi podatki, izmenjani v sistemu SSVP, osebni podatki.

Izvršilni uradniki morajo pred vsako naložitvijo informacij v sistem SSVP preveriti, ali je pošiljanje osebnih podatkov njuno potrebno za doseganje učinkovitega sodelovanja, in razmisliti, komu pošiljajo osebne podatke. Izvršilni uradnik se mora vprašati, ali je nujno, da prejemnik prejme te informacije zaradi opozarjanja ali zahtevka za vzajemno pomoč.

Namen naslednjega seznama temeljnih načel v zvezi z varstvom podatkov je pomagati izvršilnim uradnikom, ki imajo dostop do sistema SSVP, da analizirajo vsak primer posebej in ugotovijo, ali se pri obdelavi osebnih podatkov v sistemu vsakokrat upoštevajo načela v zvezi z varstvom podatkov, ki se nanašajo na obdelavo osebnih podatkov. Izvršilni uradniki morajo tudi upoštevati, da lahko obstajajo izjeme in omejitve pri uporabi spodaj navedenih načel v zvezi z varstvom podatkov na nacionalni ravni, in se jim priporoča, da se posvetujejo z nacionalnimi organi za varstvo podatkov (10).

Katera načela v zvezi z varstvom podatkov je treba upoštevati?

Pred obdelavo kakršnih koli osebnih podatkov je treba upoštevati glavna načela v zvezi z varstvom podatkov, ki so vzeta iz Direktive o varstvu podatkov. Ker je bila direktiva prenesena v nacionalno zakonodajo, se vodje primera opozarja, da se z nacionalnimi nadzornimi organi za varstvo podatkov posvetujejo glede uporabe spodaj navedenih načel in se pozanimajo, ali pri uporabi teh načel obstajajo izjeme ali omejitve.

Načelo preglednosti

V skladu z Direktivo o varstvu podatkov ima posameznik, na katerega se nanašajo informacije, pravico, da je seznanjen s tem, kdaj se njegovi podatki obdelujejo. Upravljavec mora zagotoviti njegovo ime in naslov, namen obdelave, prejemnike podatkov in vse druge informacije, ki se zahtevajo za pošteno obdelavo (11).

Podatki se lahko obdelajo samo pod naslednjimi pogoji (12):

— kadar je posameznik, na katerega se nanašajo informacije, v to privolil;

— kadar je obdelava potrebna za izvajanje ali sklenitev pogodbe,

— kadar je obdelava potrebna za skladnost s pravno obveznostjo,

— kadar je obdelava potrebna za zaščito ključnih interesov posameznika, na katerega se nanašajo informacije,

— kadar je obdelava potrebna za izvajanje naloge, ki se opravlja v javnem interesu, pri izvrševanju javne oblasti, dodeljene upravljavcu, ali za tretjo stran, ki se ji podatki razkrijejo,

— kadar je obdelava potrebna za zakonite namene, ki jih uresničujejo upravljavec, tretja stran ali strani, ki se jim podatki razkrijejo.

Načelo zakonitosti in poštenosti

Osebni podatki se ne smejo nepošteno in nezakonito zbirati ali obdelovati, prav tako se ne smejo uporabljati za namene, ki niso v skladu z nameni iz Uredbe SVP. Za zagotovitev zakonite obdelave podatkov morajo vodje primera jasno upravičiti potrebo po obdelavi. Obdelavo je treba izvajati za določene, izrecne in zakonite namene, prav tako nadaljnja obravnava ne sme biti nezdružljiva s temi nameni (13). To se lahko zagotovi le z Uredbo SVP.

Za zagotovitev poštene obdelave podatkov je treba posameznike, na katere se nanašajo podatki, obvestiti o namenih obdelave njegovih podatkov in o obstoju pravic do dostopa, ugovora in popravka.

Načelo sorazmernosti in natančnosti ter načelo v zvezi z obdobji hrambe

Informacije morajo biti sorazmerne, primerne, ustrezne in ne pretirane glede na namene, za katere se zbirajo in/ali naprej obdelujejo. Podatki morajo biti natančni in po potrebi posodobljeni, uporabiti je treba vse razumne ukrepe za zagotovitev, da se netočni ali nepopolni podatki zbrišejo ali popravijo ob upoštevanju namenov, za katere so bili zbrani ali za katere se nadalje obdelujejo. Osebni podatki se morajo hraniti v obliki, ki dopušča identifikacijo posameznikov, na katere se nanašajo, le toliko časa, kolikor je to potrebno za namene, za katere so bili zbrani ali za katere so bili obdelani. Treba je oblikovati ustrezne zaščitne ukrepe za osebne podatke, shranjene za daljša obdobja za zgodovinsko, statistično ali znanstveno uporabo.

Vodje primera morajo preučiti, ali se morajo informacije v obdelavi nujno arhivirati.

Načelo v zvezi z omejitvijo namena

Osebne podatke je treba zbrati za posebne, izrecne in zakonite namene in se jih ne sme nadalje obdelovati na način, ki ni združljiv s temi nameni, nato pa je o tem treba obvestiti posameznika, na katerega se ti podatki nanašajo. Vodje primera morajo obdelati osebne podatke samo, kadar za to obstaja jasen namen, npr. pravni razlogi iz Uredbe SVP, ki upravičujejo prenos.

Pravica do dostopa

Posamezniki, na katere se nanašajo informacije, imajo v skladu z Direktivo o varstvu podatkov (14) pravico, da so seznanjeni z obdelavo svojih podatkov, nameni obdelave, prejemnikih podatkov in da imajo posebne pravice, tj. pravico do informacij in popravka. Posameznik, na katerega se nanašajo informacije, ima pravico do dostopa do vseh svojih podatkov v obdelavi. Prav tako ima pravico, da zahteva popravek, izbris ali blokiranje podatkov, ki so nepopolni, nenatančni ali niso bili obdelani v skladu s pravili o varstvu podatkov (15).

Občutljivi podatki

Obdelava podatkov, ki razkrivajo rasno ali etnično pripadnost, politično prepričanje, verska ali filozofska prepričanja, pripadnost sindikatu, zdravstveno stanje, spolno življenje, prekrške in kazenske obsodbe, je prepovedana. Vendar Direktiva o varstvu podatkov (16) določa nekatere izjemne primere, v katerih se občutljivi podatki lahko obdelajo pod določenimi pogoji (17). Ker se lahko zgodi, da morajo uporabniki sistema SSVP upravljati občutljive podatke (18), se priporoča, da se občutljivi podatki obravnavajo previdno. Priporoča se, da se uporabniki sistema SSVP z nacionalnimi organi za varstvo podatkov posvetujejo, ali se za obdelavo občutljivih podatkov uporabijo odstopanja.

Izjeme

Direktiva o varstvu podatkov dovoljuje nekatere izjeme v okviru preprečevanja, preiskave, odkrivanja in pregona kaznivih dejanj. Priporoča se, da vodje primera preverijo nacionalno zakonodajo in tako ocenijo, ali so take izjeme možne in v kakšni meri (19). Priporoča se, da se v primeru izjem to jasno navede v izjavah o varstvu podatkov vsakega prisojnega organa.

Uporaba načel v zvezi z varstvom podatkov

Na podlagi uporabe teh načel v zvezi z varstvom podatkov pri delovanju sistema SSVP se priporoča naslednje:

1. Uporaba sistema SSVP mora biti strogo omejena na uporabo za namene iz Uredbe SVP. Člen 13(1) Uredbe SVP določa, da se sporočene informacije lahko uporabijo le za zagotavljanje skladnosti z zakonodajo, ki ščiti interese potrošnikov. Ta zakonodaja je navedena v Prilogi k Uredbi SVP.

2. Priporoča se, da izvršitveni uradniki uporabijo informacije, pridobljene iz zahtevka za vzajemno pomoč, ali pa pošljejo opozorilo samo v zvezi s tem posebnim primerom, v skladu s pravnimi zahtevami za varstvo podatkov, pri čemer morajo predhodno oceniti potrebo po obdelavi v okviru preiskav, ki so bile izvedene v širšem javnem interesu.

3. Pri prenosu podatkov izvršilni uradniki za vsak primer posebej ocenijo, kdo so prejemniki informacij, ki jih je treba obdelati.

4. Uporabniki sistema SSVP morajo previdno izbrati vprašanja, ki jih postavljajo v zahtevku za vzajemno pomoč, in ne smejo zahtevati več podatkov, kot je potrebno. To ni le vprašanje spoštovanja načel v zvezi s kakovostjo podatkov, ampak tudi zmanjšanja upravne obremenitve.

5. Direktiva o varstvu podatkov (20) določa, da morajo biti osebni podatki natančni in posodobljeni. Priporoča se, da pristojni organ, ki je predložil informacijo, prispeva k zagotavljanju natančnosti podatkov, ki so shranjeni v sistemu SSVP. V sistem SSVP so bila dodana sporočila, ki se občasno pojavijo in vodjo primera opomnijo, da preveri, ali so osebni podatki natančni in posodobljeni.

6. Praktični način obveščanja posameznikov, na katere se nanašajo informacije, o njihovih pravicah je s splošnim obvestilom o varovanju zasebnosti na spletiščih. Priporoča se, da vsak pristojni organ na svojih spletiščih zagotovi splošno obvestilo o varovanju zasebnosti na spletiščih. Vsako obvestilo o varovanju zasebnosti mora biti v skladu z obveznostmi glede informacij, kakor je določeno v Direktivi o varstvu podatkov, vključevati mora povezavo na obvestilo Komisije o varovanju zasebnosti na spletiščih ter navajati podrobnejše informacije, vključno s kontaktnimi podatki zadevnega pristojnega organa in vsemi nacionalnimi omejitvami o pravici do dostopa ali informacij. Vsi zadevni upravljavci podatkov morajo zagotoviti, da se obvestila o varovanju zasebnosti objavijo.

7. Posameznik, na katerega se nanašajo informacije, lahko zahteva dostop, popravek in izbris svojih osebnih podatkov iz več kot enega vira. Čeprav je vsak pristojni organ kot upravljavec podatkov pristojen za obdelavo podatkov, si je treba prizadevati za usklajen odziv na zahtevke v zvezi s čezmejnimi primeri. V teh primerih se priporoča, da pristojni organi o prejemu zahtevka obvestijo druge zadevne pristojne organe. Kadar pristojni organ meni, da odobritev zahtevka lahko vpliva na preiskavo ali postopek izvršitve, ki ga izvaja drugi pristojni organ, lahko pred odobritvijo zahtevka od tega pristojnega organa zahteva mnenje. Tudi posameznik, na katerega se nanašajo informacije, lahko Komisiji predloži zahtevek. Komisija lahko odobri zahtevek le za podatke, do katerih ima dostop. Po prejemu zahtevka se mora posvetovati s pristojnim organom, ki je predložil informacije. Če ni bilo predloženih nobenih pripomb ali pristojni organ ne odgovori v razumnem roku, lahko Komisija določi, ali bo odobrila zahtevek na podlagi Uredbe o varstvu podatkov ali ne. Zahtevati mora tudi mnenje pristojnih organov, katerih preiskovalne ali izvršilne dejavnosti so lahko zaradi odobritve zahtevka ogrožene. Preučiti mora, ali bo vključitev dodatnih tehničnih lastnosti v sistem SSVP olajšala take izmenjave.

8. Odločba 2007/76/ES o izvajanju SVP določa uvedbo podatkovnih polj v sistemu SSVP za imena direktorjev družb. Izvršilni uradniki morajo oceniti, ali je vključitev te vrste osebnih podatkov potrebna za rešitev primera. Da se ugotovi, ali je potrebno vključiti ime direktorja družba v opredeljeno podatkovno polje, je treba vsak primer posebej oceniti pred naložitvijo informacij v sistem SSVP in preden se drugemu pristojnemu organu pošlje opozorilo ali zahtevek za vzajemno pomoč.

9. Odločba 2007/76/ES o izvajanju SVP določa, da mora pristojni organ, ki naloži informacije, zahtevke za izvršitev ali opozorila, navesti, ali je treba te informacije obravnavati zaupno. To se izvede za vsak primer posebej. Podobno mora zaprošeni organi pri predložitvi informacij navesti, ali je treba informacije obravnavati zaupno. Sistem SSVP vključuje privzeto vrednost, ki jo uporabniki sistema SSVP uporabijo, če želijo izrecno dovoliti dostop do dokumentov, in sicer tako da odstranijo kljukico pri zastavici, ki označuje zaupnost.

8. SSVP IN VARSTVO PODATKOV

Okolje, prijazno varstvu podatkov

Pri oblikovanju sistema SSVP se je upoštevala zakonodaja o varstvu podatkov:

— Uporabniki SSVP uporabljajo s-TESTA (varne čezevropske telematske storitve med upravami), ki omogočajo vodeno, zanesljivo in varno vseevropsko komunikacijsko platformo za evropske in nacionalne uprave. Mreža s-TESTA temelji na zasebni infrastrukturi, ki je namenoma popolnoma ločena od interneta. Za zagotovitev najboljše zaščite za mrežo so bili v strukturo sistema vključeni ustrezni varnostni ukrepi. Mreža ima varnostno akreditacijo in je zato primerna za prenos zaupnih informacij vrste „Restreint UE“.

— Uvedene so bile številne tehnične lastnosti: varna in osebna gesla za prijavljene pristojne uradnike v imenovanih uradih, uporaba varne mreže)s-TESTA), pojavna okna s sporočilom, ki vodje primera opomnijo, da pri obdelavi osebnih podatkov upoštevajo pravila o varstvu podatkov, uporaba različnih uporabniških profilov, ki regulirajo dostop do informacij glede na vlogo (pristojni organ, enotni povezovalni organ ali Komisija), možnost omejitve dostopa do dokumentov, tako da se jih označi kot zaupne, ter sporočilo na domači strani sistema SSVP, ki napotuje na pravila o varstvu podatkov.

— Izvedbena pravila (21), ki zajemajo ključne vidike za zagotavljanje skladnosti z zahtevami o varstvu podatkov: jasna pravila o izbrisu (katere informacije, kako in kdaj izbrisati podatke), načela, ki določajo vrste dostopa do informacij (samo pristojni organi, na katere se te informacije neposredno nanašajo, imajo neomejen dostop, drugi pa imajo dostop le do splošnih informacij).

— Smernice za delovanje (22), ki podrobneje pojasnjujejo, kaj je treba upoštevati pri izpolnjevanju različnih podatkovnih polj, ter vključevanje teh smernic (23).

— Letni pregledi za zagotovitev, da pristojni organi preverijo natančnost osebnih podatkov (načrtovano je označevanje, vendar se še ne izvaja) in tistih primerov, ki so zaključeni in/ali zbrisani, kakor določajo pravila, za zagotovitev, da se navedeni primeri ne pozabijo. Komisija skupaj z državami članicami redno organizira sistematični pregled primerov, ki so bili odprti dlje, kot je povprečno obdobje obravnavanja primera.

— Avtomatični zbris primerov vzajemne pomoči 5 let po zaključku primera, kakor to zahteva Uredba SVP.

— Sistem SSVP je orodje IT, ki se še razvija in katerega namen je uporaba, prijazna varstvu podatkov. V ustroj sistema so bile vgrajene številne zgoraj opisane zaščitne lastnosti. Komisija namerava nadaljevati razvoj nadaljnjih izboljšav, kakor bo to potrebno.

Nekaj dodatnih smernic

Koliko časa je treba primer hraniti in kdaj ga je treba zaključiti in izbrisati?

Samo Komisija lahko izbriše informacije iz sistema SSVP (24) in to lahko stori le na zahtevo pristojnega organa. Pri oblikovanju takega zahtevka mora pristojni organ navesti razloge za izbris. Edina izjema so zahtevki za izvršitev. Te Komisija avtomatično izbriše 5 let po tem, ko pristojni organ zaključi primer.

Določena so bila pravila z določenimi časovnimi omejitvami, da se zagotovi izbris podatkov, ki niso več potrebni, niso natančni in za katere se je izkazalo, da so neupravičeni in/ali so dosegli najdaljše obdobje hrambe.

Zakaj je določeno obdobje hrambe 5 let?

Namen obdobja hrambe je, da se pri obravnavi kršitev znotraj Skupnosti olajša sodelovanje med javnimi organi, pristojnimi za izvrševanje zakonodaje o varstvu interesov potrošnikov, da se prispeva k nemotenemu delovanju notranjega trga, kakovosti in doslednosti izvrševanja zakonodaje o varstvu interesov potrošnikov, spremljanju varstva ekonomskih interesov potrošnikov ter da se prispeva k zviševanju standarda in usklajenosti izvrševanja. Pooblaščeni izvršitveni uradniki pristojnega organa, ki je prvotno obravnaval primer, lahko med obdobjem hrambe pregledajo dokumentacijo, da ugotovijo povezave za morebitne ponavljajoče se kršitve, kar pripomore k boljšemu in učinkovitejšemu izvrševanju.

Katere informacije se lahko vključijo v forum?

Forum, ki je vključen v sistem SSVP, je orodje, namenjeno izmenjavi informacij v zvezi z vprašanji, kot so nova izvršilna pooblastila in najboljše prakse. Ne glede na to, da izvršilni uradniki foruma ne uporabljajo pogosto, na splošno velja, da se ne sme uporabljati za izmenjavo podatkov o primeru in ne sme vsebovati osebnih podatkov.

Katere vrste podatkov se lahko vključijo v kratke povzetke in priložene dokumente?

Odločba 2007/76/ES o izvajanju SVP za primere opozoril ter zahtevkov za informacije in zahtevkov za izvršitev določa podatkovno polje „priloženi dokumenti“. „Kratki povzetki“ so polje, kamor se vpiše opis kršitve. Priporoča se, da se v kratke povzetke ne vključijo osebni podatki, saj je to podatkovno polje namenjeno splošnemu opisu kršitve. Osebne podatke v priloženih dokumentih, ki niso nujno potrebni, je treba zatemniti ali odstraniti.

Kaj pomeni „upravičen sum“, da se je zgodila kršitev?

Upravičen sum je treba razlagati v skladu z nacionalno zakonodajo. Vendar se priporoča, da se domnevne kršitve v sistemu SSVP vključijo le, če obstajajo dokazi, da se je taka kršitev zgodila ali se lahko zgodi.

Kako se obravnavajo prenosi v tretje države?

Uredba SVP (25) določa, da se informacije, ki se sporočajo v skladu z Uredbo SVP, lahko posredujejo tudi organu tretje države, s katero ima država članica dvostranski sporazum o pomoči, če je bila pridobljena privolitev pristojnega organa, ki je prvotno posredoval informacijo, in če so bile upoštevane določbe o varstvu podatkov.

Ker Evropska unija nima mednarodnega sporazuma za ureditev sodelovanja glede vzajemne pomoči (26) s tretjo državo, se priporoča, da vsak dvostranski sporazum o pomoči z dano tretjo državo določa ustrezne zaščitne ukrepe za varstvo podatkov, zadevni nacionalni organi za nadzor varstva podatkov pa morajo biti obveščeni, da se lahko izvede predhodno preverjanje, razen če Komisija meni, da tretja država v skladu s členom 25 Direktive o varstvu podatkov zagotavlja ustrezno raven varstva osebnih podatkov pri prenosih iz Unije.

(1) Člen 2(a).

(2) Treba je opozoriti, da se načela varstva podatkov uporabljajo za elektronsko shranjene podatke in podatke v papirni obliki.

(3) Za posebna pravila glede izbrisa glej: Odločba 2007/76/ES in „Mreža sodelovanja na področju varstva potrošnikov: smernice za delovanje“.

(4) Direktiva 95/46/ES.

(5) Uredba (ES) št. 45/2001.

(6) http://www.edps.europa.eu/EDPSWEB/edps/EDPS

(7) Členi 8, 9 in 15 Uredbe SVP (ES) št. 2006/2004.

(8) Člen 8(5) Uredbe SVP (ES) št. 2006/2004.

(9) Člen 9 Uredbe SVP (ES) št. 2006/2004.

(10) Člen 11(2) in člen 13 Direktive 95/46/ES.

(11) Člena 10 in 11 Direktive 95/46/ES.

(12) Člen 7 Direktive 95/46/ES.

(13) Člen 6(1)(b) Direktive 95/46/ES.

(14) Členi 10, 11 in 12 Direktive 95/46/ES.

(15) Člen 12 Direktive 95/46/ES.

(16) Člen 8(2) Direktive 95/46/ES.

(17) Člen 8 Direktive 95/46/ES.

(18) Poglavje 4 Priloge k Odločbi 2007/76/ES.

(19) Mnenje 6/2007 o vprašanjih varstva podatkov v zvezi s sistemom sodelovanja za varstvo potrošnikov (SSVP) 01910/2007/EN – WP 130 – sprejeto 21. septembra 2007, str. 24–26.

(20) Člen 6(1)(d) Direktive 95/46/ES.

(21) Odločba 2007/76/ES.

(22) Mreža sodelovanja na področju varstva potrošnikov: smernice za delovanje – potrdil Odbor SVP 8. junija 2010.

(23) Vsebina teh smernic bo vključena v prihodnje usposabljanje o SSVP.

(24) Člen 10 Uredbe SVP (ES) št. 2006/2004 in poglavje 2 Priloge k Odločbi 2007/76/ES o izvajanju SVP.

(25) Člen 14(2) Uredbe SVP (ES) št. 2006/2004.

(26) Člen 18 Uredbe SVP (ES) št. 2006/2004.