SL Uradni list Evropske unije C 158/46

Utemeljitev Sveta: Stališče Sveta (EU) št. 5/2016 v prvi obravnavi z namenom sprejetja Direktive Evropskega parlamenta in Sveta o varstvu fizičnih oseb pri obdelavi osebnih podatkov, ki jih pristojni organi obdelujejo za namene preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj ali izvrševanja kazenskih sankcij, in o prostem pretoku takih podatkov ter razveljavitve Okvirnega sklepa Sveta 2008/977/PNZ

(2016/C 158/02)

I. UVOD

Komisija je 25. januarja 2012 predlagala celovit sveženj o varstvu podatkov, ki ga sestavljata:

— predlog splošne uredbe o varstvu podatkov, ki naj bi nadomestila direktivo o varstvu podatkov iz leta 1995 (nekdanji prvi steber) (v nadaljnjem besedilu: osnutek uredbe);

— navedeni predlog direktive o varstvu posameznikov pri obdelavi osebnih podatkov, ki jih pristojni organi obdelujejo za namene preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj ali izvrševanja kazenskih sankcij, in o prostem pretoku takih podatkov (1), ki naj bi nadomestila okvirni sklep o varstvu podatkov iz leta 2008 (nekdanji tretji steber) (v nadaljnjem besedilu: osnutek direktive).

Evropski parlament je mnenje o osnutku direktive sprejel marca 2014 (2).

Svet se je 9. oktobra 2015 dogovoril o splošnem pristopu (3), s čimer je predsedstvu podelil mandat za začetek trialogov z Evropskim parlamentom.

Evropski parlament in Svet sta na ravni Odbora za državljanske svoboščine, pravosodje in notranje zadeve oziroma Odbora stalnih predstavnikov potrdila dogovor o kompromisnem besedilu, ki je rezultat pogajanj v okviru trialoga z dne 17. oziroma 18. decembra 2015.

Svet je na seji 12. februarja dosegel politični dogovor o osnutku direktive (4). Nato je 8. aprila 2016 sprejel stališče v prvi obravnavi, ki je v celoti skladno s kompromisnim besedilom direktive, kot je bilo dogovorjeno v neformalnih pogajanjih med Svetom in Evropskim parlamentom.

Odbor regij je predložil mnenje o uredbi (UL C 391, 18.12.2012, str. 127).

Opravljeno je bilo posvetovanje z Evropskim nadzornikom za varstvo podatkov, ki je prvo mnenje izdal leta 2012 (UL C 192, 30.6.2012, str. 7), drugo pa leta 2015 (UL C 301, 12.9.2015, str. 1–8).

Agencija za temeljne pravice je dala mnenje 1. oktobra 2012.

II. CILJ PREDLOGA

Namen osnutka direktive je zagotoviti učinkovito pravosodno sodelovanje v kazenskih zadevah in policijsko sodelovanje ter spodbujati izmenjavo osebnih podatkov med pristojnimi organi držav članic, obenem pa zagotoviti dosledno in visoko raven varstva osebnih podatkov fizičnih oseb. V primerjavi z Okvirnim sklepom Sveta 2008/977/PNZ, ki ga bo osnutek direktive nadomestil, bo osnutek direktive urejal tudi obdelavo osebnih podatkov na nacionalni ravni.

S členom 16 Pogodbe o delovanju Evropske unije je bila uvedena nova posebna pravna podlaga za sprejetje pravil o varstvu osebnih podatkov, ki se uporablja tudi za obdelavo osebnih podatkov na področju pravosodnega sodelovanja v kazenskih zadevah in policijskega sodelovanja.

III. ANALIZA STALIŠČA SVETA V PRVI OBRAVNAVI

A. Splošne ugotovitve

Osnutek direktive je del svežnja o varstvu podatkov. Drugi predlog tega svežnja je že omenjena splošna uredba o varstvu podatkov.

Evropski parlament in Svet sta na podlagi Komisijinega predloga direktive začela neformalna pogajanja, da bi dogovor dosegla že v fazi stališča Sveta v prvi obravnavi. V besedilu stališča Sveta v prvi obravnavi o osnutku direktive se v celoti odraža kompromis, ki sta ga sozakonodajalca s pomočjo Evropske komisije dosegla o direktivi. Zato je treba sklicevanja na stališče Sveta v prvi obravnavi razumeti kot sklicevanja na kompromis, dosežen s trialogi.

Varstvo fizičnih oseb pri obdelavi osebnih podatkov je temeljna pravica. V členu 8(1) Listine Evropske unije o temeljnih pravicah in členu 16(1) Pogodbe o delovanju Evropske unije je določeno, da ima vsakdo pravico do varstva osebnih podatkov, ki se nanašajo nanj. Zato so v stališču Sveta v prvi obravnavi določena načela in pravila o varstvu fizičnih oseb pri obdelavi njihovih osebnih podatkov. Ta načela in pravila morajo ne glede na državljanstvo ali prebivališče fizične osebe zagotavljati spoštovanje njenih temeljnih pravic in svoboščin, zlasti pravico do varstva osebnih podatkov.

V stališču Sveta v prvi obravnavi so ohranjeni cilji iz okvirnega sklepa (5) in predloga Komisije, med drugim načelo minimalne harmonizacije iz okvirnega sklepa. Večina določb iz okvirnega sklepa je jasneje zapisana in bolj specifična, dodelane in razširjene so bile zlasti določbe o prenosu osebnih podatkov v tretje države ali mednarodne organizacije.

Svet je junija 2015 dosegel splošni pristop o osnutku uredbe, oktobra 2015 pa splošni pristop o osnutku direktive.

Nova pravna podloga iz Pogodbe o delovanju Evropske unije, ki vključuje tudi varstvo osebnih podatkov, se uporablja za vsa področja politik, ne glede na specifična pravila, ki se določijo na področju skupne zunanje in varnostne politike. Toda v izjavi št. 21, ki je priložena Lizbonski pogodbi, je potrjeno, da bi bila lahko na področju pravosodnega sodelovanja v kazenskih zadevah in policijskega sodelovanja potrebna posebna pravila. Iz teh razlogov in ob upoštevanju, da je osnutek direktive del svežnja o varstvu podatkov, si je Svet pri več določbah osnutka direktive prizadeval besedilo osnutka direktive uskladiti z besedilom osnutka uredbe. To velja zlasti za opredelitve, načela, poglavje o upravljavcu in obdelovalcu, sklepe o ustreznosti, pa tudi za poglavje o neodvisnih nadzornih organih. Zato bodo ti deli v dopisu obravnavani manj podrobno.

B. Ključna politična vprašanja

1. Področje uporabe (vsebinsko in osebno)

V stališču Sveta v prvi obravnavi je v členu 1(1) določeno vsebinsko področje uporabe osnutka direktive. Obsega obdelavo osebnih podatkov s strani pristojnih organov za namene preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj ali izvrševanja kazenskih sankcij, vključno z varovanjem pred grožnjami javni varnosti in njihovim preprečevanjem. To pomeni, da se osnutek direktive za razliko od Okvirnega sklepa 2008/977/PNZ uporablja tudi za obdelavo osebnih podatkov na nacionalni ravni.

V drugem delu svežnja o varstvu podatkov – osnutku uredbe – je področje uporabe direktive izključeno iz področja uporabe, kar pomeni, da se med seboj izključujeta. Osnutek uredbe vsebuje splošna pravila, medtem ko se osnutek direktive specifično uporablja za pravosodno sodelovanje v kazenskih zadevah in policijsko sodelovanje.

Delo policije in drugih organov kazenskega pregona vključuje izvajanje pristojnosti s prisilnimi ukrepi, kot so policijske dejavnosti ob demonstracijah, na velikih športnih dogodkih in ob izgredih. Cilj stališča Sveta v prvi obravnavi je tem organom, zlasti policiji, omogočiti, da podatke obdelujejo v okviru enega samega instrumenta, tj. zakona, s katerim bo osnutek direktive prenesen v zakonodajo države članice. Kadar pa policija obdeluje osebne podatke za namene, ki ne spadajo v področje uporabe osnutka direktive, se uporablja osnutek uredbe, kot je določeno v točki 7 spodaj. Da bi ta cilj dosegli, je v stališču Sveta v prvi obravnavi jasneje določeno področje uporabe osnutka direktive, tako da je dodano „varovanje pred grožnjami javni varnosti in njihovo preprečevanje“.

Kar zadeva osebno področje uporabe, je v stališču Sveta v prvi obravnavi področje uporabe razširjeno z javnih organov, pristojnih za preprečevanje, preiskovanje, odkrivanje ali pregon kaznivih dejanj ali izvrševanje kazenskih sankcij, na take organe ali subjekte, ki v skladu z zakonodajo držav članic lahko izvajajo javno oblast in javna pooblastila za omenjene namene. Toda le javni organi imajo pravico do prenosa osebnih podatkov prejemnikom, ki niso organ, pristojen za namene osnutka direktive, s sedežem v tretjih državah.

2. Načela v zvezi z osebnimi podatki

(a) Preglednost

V stališču Sveta v prvi obravnavi glede osnutka direktive med načeli v zvezi z obdelavo osebnih podatkov, za razliko od stališča Sveta v prvi obravnavi glede osnutka uredbe, ni pojma „preglednost“, saj bi ta na področju kazenskega pregona lahko ogrozila preiskave, ki so v teku. Vendar je preglednost vključena v uvodno izjavo v zvezi z načeli, pri čemer je jasno poudarjeno, da bodo dovoljene dejavnosti, kot so tajne preiskave ali video nadzor.

(b) Varnost obdelave

V stališču Sveta v prvi obravnavi je dodano, da bi se morali osebni podatki obdelovati na način, ki zagotavlja ustrezno varnost osebnih podatkov, vključno z zaščito pred nedovoljeno ali nezakonito obdelavo ter pred nenamerno izgubo, uničenjem ali poškodbo. Dodano je tudi, da bi bilo treba v ta namen uporabiti ustrezne tehnične ali organizacijske ukrepe. To je skladno z besedilom osnutka uredbe.

3. Nadaljnja obdelava

(a) Združljivost

V razpravi o osnutku uredbe je bilo problematično vprašanje nadaljnje obdelave in vprašanje, ali bi jo lahko izvajal le isti upravljavec ali morda tudi kateri drugi, pa tudi vprašanje združljivih namenov. Na koncu je v stališču Sveta v prvi obravnavi o osnutku direktive obveljalo, da bi bilo treba vsako obdelavo, ki je opravljena za namene iz člena 1(1), šteti za dovoljeno, če je bil upravljavec pooblaščen za obdelavo osebnih podatkov za tak namen v skladu s pravom Unije ali pravom države članice, ter da je bila obdelava potrebna za drugi namen v skladu s pravom Unije ali pravom države članice in sorazmerna z njim.

(b) Obdelava v druge namene iz področje uporabe osnutka direktive

V stališču Sveta v prvi obravnavi je določeno, da se sme obdelava s strani istega ali drugega upravljavca za katere koli namene iz člena 1(1), ki so drugačni od namenov, za katere so bili pridobljeni osebni podatki, dovoliti le, če je upravljavec v skladu s pravom Unije ali pravom države članice pooblaščen za obdelavo takih osebnih podatkov v tak namen ter če je obdelava v skladu s pravom Unije ali pravom države članice potrebna za ta drugi namen in sorazmerna z njim, kar na primer dovoljuje, da bo lahko tožilec obdeloval iste osebne podatke za pregon kaznivega dejanja kot policija za odkrivanje kaznivega dejanja, če sta v členu 1(1) zajeta oba namena iz tega primera.

4. Rok hrambe in pregled

V stališču Sveta v prvi obravnavi je določeno, da je treba določiti ustrezne roke za izbris osebnih podatkov ali redno pregledovanje osebnih podatkov, ki se hranijo, da se preveri, ali jih je treba hraniti. Okvirni sklep je že vseboval določbo o rokih, in ocenjeno je bilo, da je treba takšno določbo vključiti tudi v stališče Sveta v prvi obravnavi.

Ta določba podpira načelo iz člena 4, da se podatki ne smejo hraniti dlje, kot je to potrebno za namene, zaradi katerih so bili obdelani.

5. Različne kategorije posameznikov, na katere se nanašajo osebni podatki

V stališču Sveta v prvi obravnavi je določeno, da morajo države članice zagotoviti, da upravljavec „po potrebi in v največji možni meri“ jasno razlikuje med osebnimi podatki različnih kategorij posameznikov, na katere se nanašajo osebni podatki. Zagotovljeno pa je, da se z razlikovanjem med različnimi kategorijami posameznikov, na katere se nanašajo osebni podatki, ne prepreči uveljavitev pravice do domneve nedolžnosti, kot je zagotovljena z Listino o temeljnih pravicah, zlasti kategorijam oseb, v zvezi s katerimi obstaja utemeljen sum, da so storile kaznivo dejanje ali ga nameravajo storiti.

6. Zakonitost obdelave

V stališču Sveta v prvi obravnavi je določeno, da je obdelava osebnih podatkov zakonita le, če je potrebna za opravljanje naloge, ki jo pristojni organ na podlagi prava Unije ali prava države članice izvaja za namene preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj ali izvrševanja kazenskih sankcij, vključno z varovanjem pred grožnjami javni varnosti in njihovim preprečevanjem, in v obsegu, v katerem je potrebna. V uvodnih izjavah je izrecno pojasnjeno, da te dejavnosti zajemajo zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki.

V stališču Sveta v prvi obravnavi so navedeni elementi, ki jih morajo vsebovati zakoni držav članic, ki urejajo varstvo podatkov, kot so cilji in nameni obdelave.

7. Posebni pogoji za obdelavo

Ključno pravilo je, da se morajo osebni podatki, ki jih je pristojni organ prvotno pridobil za namene iz člena 1(1) osnutka direktive, obdelovati le za enega od namenov iz osnutka direktive. Vendar se osebni podatki, ki jih taki organi prvotno pridobijo za namene iz osnutka direktive, lahko obdelujejo na podlagi osnutka uredbe, če je taka obdelava dovoljena na podlagi prava Unije ali prava države članice, razen če se obdelava izvaja v okviru dejavnosti, ki ne spada v področje uporabe prava Unije. V stališču Sveta v prvi obravnavi pa sta obrazložena tudi dva primera, v katerih se uporablja osnutek uredbe. Prvič, če so pristojni organi v skladu s pravom držav članic pooblaščeni za opravljanje nalog, ki so drugačne od tistih iz člena 1(1). In drugič, uredba se uporablja tudi za obdelavo za namene arhiviranja v javnem interesu ali znanstveno- in zgodovinskoraziskovalne namene ali statistične namene, razen če se obdelava izvaja v okviru dejavnosti, ki ne spada v področje uporabe prava Unije.

8. Posebne vrste osebnih podatkov

Posebno varstvo si zaslužijo osebni podatki, ki so po svoji naravi posebej občutljivi z vidika temeljnih pravic in svoboščin, saj bi okoliščine njihove obdelave lahko resno ogrožale temeljne pravice in svoboščine. V stališču Sveta v prvi obravnavi je obdelava takih podatkov dovoljena, vendar le, če je to nujno potrebno ter je zagotovljena ustrezna zaščita pravic in svoboščin posameznika, na katerega se osebni podatki nanašajo. Poleg tega je taka obdelava dovoljena le, če je določena v pravu EU ali pravu države članice zaradi zaščite življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali če je povezana s podatki, ki jih posameznik, na katerega se nanašajo osebni podatki, javno objavi.

Ker sta osnutek direktive in osnutek uredbe del svežnja, je v stališču Sveta v prvi obravnavi o osnutku direktive upoštevan seznam vrst osebnih podatkov iz osnutka uredbe, in sicer so vključeni „biometrični podatki“ in „spolna usmerjenost“.

9. Avtomatizirano sprejemanje posameznih odločitev, vključno z oblikovanjem profilov

Naslednje načelo iz osnutka direktive je, da mora biti prepovedana odločitev, ki temelji zgolj na avtomatizirani obdelavi, vključno z oblikovanjem profilov, ki ima negativen pravni učinek za posameznika, na katerega se nanašajo osebni podatki, ali ga zelo prizadene, razen če to dovoljuje pravo Unije ali pravo držav članic ter so navedeni ustrezni ukrepi za zaščito pravic in svoboščin posameznika, na katerega se nanašajo osebni podatki. Taki zaščitni ukrepi morajo vključevati vsaj pravico do človeškega posredovanja s strani upravljavca. V stališču Sveta v prvi obravnavi je jasno navedeno, da odločitev, ki je sprejeta izključno na podlagi avtomatizirane obdelave, ne more temeljiti na posebnih vrstah osebnih podatkov iz člena 10, razen če so vzpostavljeni ustrezni ukrepi za zaščito pravic in svoboščin ter zakonitih interesov posameznika, na katerega se nanašajo osebni podatki. Izrecno je določeno tudi, da mora biti prepovedano oblikovanje profilov na podlagi posebnih vrst osebnih podatkov iz člena 10, ki bi imelo za posledico diskriminacijo.

10. Pravice posameznikov, na katere se nanašajo osebni podatki

(a) Sporočila posamezniku, na katerega se nanašajo osebni podatki

Stališče Sveta v prvi obravnavi vsebuje določbe o pravicah posameznikov, na katere se nanašajo osebni podatki. Da bi posamezniki, na katere se nanašajo osebni podatki, lahko uresničevali svoje pravice, morajo biti obveščeni o tem, da se njihovi osebni podatki obdelujejo. Te informacije je treba posredovati v lahko razumljivi, jedrnati, berljivi in lahko dostopni obliki, napisane pa morajo biti v jasnem in preprostem jeziku. V nasprotju z osnutkom uredbe v stališču Sveta v prvi obravnavi o osnutku direktive ni zahtevano, da se take informacije posredujejo na pregleden način. Na področju, ki ga zajema direktiva, bi na primer lahko zgodnje posredovanje informacij o konkretnih preiskovalnih ukrepih posamezniku, na katerega se nanašajo osebni podatki, ogrozilo namen preiskave.

(b) Informacije, ki se zagotovijo posamezniku, na katerega se nanašajo osebni podatki

V stališču Sveta v prvi obravnavi je določeno, katere informacije je treba vedno zagotoviti posamezniku, na katerega se nanašajo osebni podatki, na primer identiteto in kontaktne podatke upravljavca ter namene obdelave. Te informacije bi lahko bile zagotovljene na spletnem mestu pristojnega organa. Določene so tudi dodatne informacije, ki jih je treba zagotoviti v posebnih primerih. Te vključujejo informacije o pravni podlagi, dovoljenem obdobju hrambe podatkov in kategorijah prejemnikov. V nekaterih okoliščinah je mogoče zadržati, omejiti ali opustiti zagotovitev dodatnih informacij, na primer, če je omejitev nujen in sorazmeren ukrep v demokratični družbi, pri katerem so upoštevane temeljne pravice in zakoniti interesi zadevne fizične osebe. Države članice bi poleg tega in v zvezi z dodatnimi informacijami morale imeti možnost, da z zakonom določijo, da so lahko nekatere vrste obdelave osebnih podatkov izvzete iz obveznosti zagotavljanja informacij.

(c) Pravica dostopa

V stališču Sveta v prvi obravnavi sta določeni tako pravica dostopa do osebnih podatkov kot omejitev te pravice. Države članice bi morale imeti možnost omejiti pravico do dostopa pod takimi pogoji, kakršni veljajo za zadržanje, omejitev ali opustitev zagotovitve dodatnih informacij. Če je bila pravica do dostopa omejena, morajo države članice določiti, da upravljavec posameznika, na katerega se nanašajo osebni podatki, obvesti o razlogih za to zavrnitev, razen če bi zagotovitev informacij o razlogih za omejitev posamezniku, na katerega se nanašajo osebni podatki, ogrozila namen ukrepa, na primer preiskave.

(d) Posebni primeri omejitve obdelave osebnih podatkov

Države članice morajo določiti, da ima posameznik, na katerega se nanašajo osebni podatki, pravico do popravka, izbrisa ali omejitve obdelave njegovih osebnih podatkov. V stališču Sveta v prvi obravnavi je poleg tega predvidena dodatna možnost, da posameznik, na katerega se nanašajo osebni podatki, namesto izbrisa svojih osebnih podatkov te omeji, in sicer v dveh določenih primerih. Prvi primer je, kadar posameznik, na katerega se nanašajo osebni podatki, izpodbija njihovo točnost in ni mogoče preveriti, ali so podatki točni ali ne. Drugi primer se nanaša na situacije, kadar je treba osebne podatke ohraniti za namene dokazovanja. V ustrezni uvodni izjavi je določeno, da so lahko ta drugi primer situacije, ko obstajajo utemeljeni razlogi za sum, da bi lahko bili prizadeti zakoniti interesi posameznika, na katerega se nanašajo osebni podatki. V tem primeru se lahko podatki obdelujejo le za namen, ki je preprečil njihov izbris.

11. Uresničevanje pravic posameznikov, na katere se nanašajo osebni podatki, in preverjanje

Če so pravice posameznikov, na katere se nanašajo osebni podatki, do informacij, dostopa, popravka, izbrisa ali omejitve obdelave omejene, morajo države članice sprejeti ukrepe, s katerimi zagotovijo, da se pravice posameznika, na katerega se nanašajo osebni podatki, lahko uresničujejo tudi prek pristojnega nadzornega organa.

12. Upravljavec in obdelovalec

Osnutek direktive bodo uporabljali pristojni organi na nacionalni ravni ali pri posredovanju osebnih podatkov med državami članicami EU ali pri prenosu osebnih podatkov v tretje države ali mednarodne organizacije. Pristojni organi so opredeljeni kot javni organi ali kateri koli drug organ ali subjekt, ki lahko v skladu s pravom države članice izvaja javno oblast in javna pooblastila. Določbe osnutka direktive bodo uporabljali javni organi in v določenih okoliščinah zasebna telesa. Pristojni organi, kot so opredeljeni v tem osnutku direktive, morajo za obdelavo osebnih podatkov v namene, ki niso nameni iz te direktive, uporabljati osnutek uredbe. V stališču Sveta v prvi obravnavi so zato, kot je navedeno že v uvodu te utemeljitve, do določene mere usklajene določbe osnutka direktive in določbe osnutka uredbe.

V skladu z osnutkom uredbe je v stališču Sveta v prvi obravnavi določeno, da mora upravljavec izvesti ustrezne tehnične in organizacijske ukrepe, da zagotovi in je zmožen dokazati skladnost obdelave, ki jo izvaja. Izrecno so določene tudi obveznosti obdelovalca, na primer da:

— deluje samo po navodilih upravljavca;

— zagotovi, da osebe, ki so pooblaščene za obdelavo osebnih podatkov, spoštujejo zaupnost;

— da upravljavcu na voljo vse informacije, potrebne za dokazovanje izpolnjevanja njegovih obveznosti.

13. Evidenca dejavnosti obdelave

V stališču Sveta v prvi obravnavi je obdelovalcu naloženih manj obveznosti glede vodenja evidence, zato so obveznosti upravljavca in obdelovalca navedene ločeno. Iz stališča Sveta v prvi obravnavi izhaja, da niti upravljavcu niti obdelovalcu ni treba voditi evidence o vsaki posamezni dejavnosti obdelave, temveč le o vrstah obdelave. V njem je določeno, da je upravljavec dolžan zagotoviti zadostne informacije za izpolnitev namena vodenja evidence. Upravljavec mora na primer vključiti informacije o kategorijah prejemnikov, ki so jim bili ali jim bodo razkriti osebni podatki, kategorijah prenosov osebnih podatkov v tretjo državo ali mednarodno organizacijo ali, če je mogoče, predvidene roke za izbris različnih vrst osebnih podatkov. Zagotoviti mora tudi informacije o oblikovanju profilov, kar je drugače kot pri osnutku uredbe. V stališču Sveta v prvi obravnavi je določeno, da mora obdelovalec voditi le evidenco o, na primer, vrstah obdelave, ki se izvaja v imenu vsakega upravljavca, ter, če je mogoče, splošnem opisu tehničnih in organizacijskih varnostnih ukrepov.

14. Vodenje dnevnikov

Vodenje dnevnikov je pomembno, saj omogoča utemeljitev in opredelitev datuma in časa določenih postopkov obdelave v avtomatiziranih sistemih obdelave, kot so zbiranje, vpogled, razkritje in prenosi. Dnevniki vpogleda in razkritja omogočajo tudi identifikacijo osebe, ki je vpogledala v osebne podatke ali jih razkrila, ter identiteto prejemnika. V skladu z Okvirnim sklepom se smejo dnevniki uporabiti zgolj za preverjanje zakonitosti obdelave, notranje spremljanje ter zagotavljanje neoporečnosti in varnosti osebnih podatkov. Nov element osnutka direktive je, da se lahko dnevniki uporabijo tudi za kazenske postopke. Vendar pa je uskladitev avtomatiziranih sistemov obdelave zelo zapleten, dolgotrajen in drag proces. V stališču Sveta v prvi obravnavi je zato izjemoma dovoljeno podaljšanje obdobja za prenos zaradi uskladitve avtomatiziranih sistemov obdelave, ki so bili vzpostavljeni pred začetkom veljavnosti osnutka te direktive, če bi to pomenilo nesorazmerni napor. Dodatno podaljšanje za uskladitev avtomatiziranih sistemov obdelave je predvideno še v izjemnih okoliščinah za določen avtomatizirani sistem obdelave, vzpostavljen pred začetkom veljavnosti osnutka te direktive, če bi to sicer povzročilo resne težave v delovanju tega avtomatiziranega sistema obdelave.

15. Ocena učinka

V prvotnem predlogu Komisije ocena učinka v zvezi z varstvom podatkov sicer ni bila predvidena, toda osnutek uredbe vsebuje člen o oceni učinka, ki je vključen tudi v stališče Sveta v prvi obravnavi na področju osnutka direktive. V stališču Sveta v prvi obravnavi je določeno, da je upravljavec dolžan opraviti oceno učinka. Oceno učinka je treba opraviti, preden lahko upravljavec izvede obdelavo, če bo obdelava verjetno znatno ogrozila pravice in svoboščine fizičnih oseb.

Situacije, v katerih je ocena učinka obvezna, so v osnutku direktive določene podobno kot v osnutku uredbe, vendar je besedilo glede elementov, ki jih mora vsebovati ocena učinka, manj podrobno kot v osnutku uredbe. Ocena mora vsebovati vsaj splošni opis obdelave, ki naj bi se izvedla, oceno tveganja za pravice in svoboščine posameznikov, na katere se nanašajo osebni podatki, zaščitne ukrepe, varnostne ukrepe ter mehanizme za zagotavljanje varstva osebnih podatkov in za dokazovanje skladnosti z določbami osnutka direktive.

16. Uradna oseba za varstvo podatkov

V stališču Sveta v prvi obravnavi je navedeno, da morajo države članice določiti, da upravljavci imenujejo uradno osebo za varstvo podatkov. Morale pa bi imeti možnost, da iz te obveznosti izvzamejo sodišča in druge pravosodne organe, kadar delujejo kot sodni organ. Namen imenovanja uradne osebe za varstvo podatkov je izboljšati skladnost z osnutkom direktive.

17. Prenosi

Za izmenjavo podatkov s tretjimi državami in mednarodnimi organizacijami so potrebna pravila o prenosih. Kar zadeva splošna načela pri prenosih osebnih podatkov, so v stališču Sveta v prvi obravnavi dopolnjeni pogoji, ki jih je predlagala Komisija, tako da mora biti organ prejemnik pristojen za namene iz člena 1(1) ter da je v primeru prenosa ali omogočanja dostopa do osebnih podatkov iz druge države članice zadevna država članica dala predhodno soglasje. V stališču Sveta v prvi obravnavi je tudi jasno določeno, da je treba uporabljati vse določbe poglavja o prenosih in tako zagotoviti, da ni ogrožena raven varstva fizičnih oseb, ki jo zagotavlja osnutek direktive.

V členu o splošnih načelih so določene možnosti upravljavcev za prenos osebnih podatkov v padajočem vrstnem redu, začenši s sklepom o ustreznosti. Nato so na vrsti prenosi, za katere se uporabljajo ustrezni zaščitni ukrepi, tem pa sledijo prenosi, za katere se uporabljajo odstopanja v posebnih primerih. Člen o sklepih o ustreznosti se sedaj nanaša le na sklepe o ustreznosti, sprejete na podlagi osnutka direktive in ne več na tiste, sprejete na podlagi uredbe. Elementi, ki jih mora Komisija upoštevati pri oceni ustreznosti ravni varstva, določeni v osnutku direktive, so enaki tistim iz osnutka uredbe.

V stališču Sveta v prvi obravnavi je tako v členu o prenosih, za katere se uporabljajo ustrezni zaščitni ukrepi, kot v členu o odstopanjih v posebnih primerih določeno, da je treba take prenose dokumentirati, pri čemer mora biti dokumentacija na zahtevo na voljo nadzornemu organu, določeno pa je tudi, kaj mora dokumentacija vsebovati.

V stališču Sveta v prvi obravnavi je določena še dodatna podlaga za prenose, tj. možnost, da pristojni organi – vendar le, če so javni organi in ne organi ali subjekti, ki v skladu z zakonodajo države članice izvajajo javna pooblastila, – prenesejo osebne podatke prejemnikom s sedežem v tretjih državah. Ta možnost je izjema od splošnega načela, da se osebni podatki posredujejo le, če je upravljavec v tretji državi ali mednarodni organizaciji organ, ki je pristojen za namene iz člena 1(1) osnutka direktive. Tako je v stališču Sveta v prvi obravnavi določeno, da lahko navedeni pristojni organi v posameznih in posebnih primerih ter pod pogojem, da so izpolnjene ostale določbe direktive in nekaj izmed izčrpno navedenih pogojev, prenesejo osebne podatke neposredno prejemnikom, kajti mednarodni sporazumi ne omogočajo vedno hitrega odziva, ki je morda potreben. Ti pogoji so med drugim, da je prenos nujno potreben za opravljanje naloge pristojnega organa za prenos, kot je določeno s pravom Unije ali pravom države članice za namene iz člena 1(1), da pristojni organ za prenos meni, da prenos na organ, ki je pristojen za namene iz člena 1(1) v tretji državi ni učinkovit ali primeren, zlasti ker prenosa ni mogoče doseči pravočasno, in da organ za prenos obvesti prejemnika o določenem namenu ali namenih, za katere se morajo obdelovati osebni podatki. Tako v primeru prenosov na podlagi zaščitnih ukrepov kot prenosov na podlagi odstopanj v posebnih primerih je bila dodana obveznost dokumentiranja prenosa. Taki prenosi bi bili lahko zlasti koristni, kadar je nujno posredovati osebne podatke, da bi rešili življenje osebi, ki je v nevarnosti, da postane žrtev kaznivega dejanja, ali zaradi preprečitve neposredne storitve kaznivega dejanja, vključno s terorizmom.

18. Nadzorni organi

Za zagotovitev skladnosti s pravili iz osnutka direktive bodo nadzorni organi spremljali tako izvajanje osnutka direktive kot izvajanje osnutka uredbe. Pravila o nadzornih organih v osnutku direktive so v veliki meri prevzeta iz besedila osnutka uredbe. Države članice lahko določijo, da nadzorni organi, ustanovljeni na podlagi osnutka uredbe, prevzamejo tudi nadzor nad izvajanjem osnutka direktive. Vendar je v osnutku direktive določeno, da nadzorni organi, kakor so opredeljeni v osnutku direktive, niso pristojni za nadzor postopkov obdelave sodišč, kadar delujejo kot sodni organ. Države članice bi morale imeti možnost določiti, da nadzorni organi, kot so opredeljeni v osnutku direktive, niso pristojni za nadzor postopkov obdelave drugih neodvisnih pravosodnih organov, kadar ti delujejo kot sodni organ. To pa ne pomeni, da je obdelava takih organov izvzeta iz nadzora. V ustrezni uvodni izjavi je zato dodatno navedeno, da se nad postopki obdelave, ki jih izvajajo sodišča in drugi neodvisni pravosodni organi, opravlja neodvisen nadzor v skladu z Listino Evropske unije o temeljnih pravicah.

19. Pooblastila nadzornih organov

V stališču Sveta v prvi obravnavi je določeno, da bi morali imeti nadzorni organi v vsaki državi članici enake naloge in učinkovita pooblastila, da bi lahko opravljali naloge učinkovitega, zanesljivega in doslednega spremljanja skladnosti z osnutkom direktive in njenim uveljavljanjem v vsej Uniji.

V stališču Sveta v prvi obravnavi so pooblastila nadzornih organov, ki jih je treba določiti z zakonom, razvrščena v tri različne kategorije, tj. dejanska preiskovalna, korektivna in svetovalna pooblastila, dodano pa je še pooblastilo, da pravosodne organe opozorijo na kršitve določb, sprejetih na podlagi osnutka direktive.

20. Razmerje do predhodno sklenjenih mednarodnih sporazumov

V stališču Sveta v prvi obravnavi je v skladu s stališčem Sveta v prvi obravnavi o osnutku uredbe določeno, da mednarodni sporazumi, ki so jih države članice sklenile pred datumom začetka veljavnosti osnutka direktive ter so skladni s pravom Unije, ki se je uporabljalo pred datumom začetka veljavnosti tega osnutka direktive, ostanejo veljavni, dokler niso spremenjeni, nadomeščeni ali razveljavljeni. Kot je navedeno za osnutek uredbe, ohranitev veljavnih sporazumov zagotavlja pravno varnost za upravljavce.

IV. ZAKLJUČEK

V stališču Sveta v prvi obravnavi se odraža kompromis, ki je bil ob pomoči Komisije dosežen v pogajanjih med Svetom in Evropskim parlamentom. Z odobritvijo stališča Sveta v prvi obravnavi brez sprememb Evropski parlament skupaj s Svetom tako na nacionalni kot na čezmejni ravni vzpostavlja visoke standarde varstva podatkov, ki omogočajo okrepljeno sodelovanje med organi pregona.

(1) 5833/12

(2) 7428/14

(3) 12555/15

(4) 5463/16

(5) Okvirni sklep Sveta 2008/977/PNZ z dne 27. novembra 2008 o varstvu osebnih podatkov, ki se obdelujejo v okviru policijskega in pravosodnega sodelovanja v kazenskih zadevah (UL L 350, 30.12.2008, str. 60).