SL Uradni list Evropske unije C 279/20

Mnenje Evropskega nadzornika za varstvo podatkov o predlogu uredbe Evropskega parlamenta in Sveta o celovitosti in preglednosti energetskega trga

2011/C 279/03

EVROPSKI NADZORNIK ZA VARSTVO PODATKOV JE –

ob upoštevanju Pogodbe o delovanju Evropske unije in zlasti člena 16 Pogodbe,

ob upoštevanju Listine Evropske unije o temeljnih pravicah ter zlasti členov 7 in 8 Listine,

ob upoštevanju Direktive 95/46/ES Evropskega parlamenta in Sveta z dne 24. oktobra 1995 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov (1),

ob upoštevanju Uredbe (ES) št. 45/2001 Evropskega parlamenta in Sveta z dne 18. decembra 2000 o varstvu posameznikov pri obdelavi osebnih podatkov v institucijah in organih Skupnosti in o prostem pretoku takih podatkov (2) ter zlasti člena 41 Uredbe –

SPREJEL NASLEDNJE MNENJE:

I. UVOD

1. Evropska komisija je 8. decembra 2010 sprejela predlog uredbe Evropskega parlamenta in Sveta o celovitosti in preglednosti energetskega trga (3) (v nadaljevanju: predlog).

2. Komisija se ni posvetovala z ENVP, čeprav se to zahteva v členu 28(2) Uredbe (ES) št. 45/2001. ENVP na podlagi člena 41(2) te uredbe sprejema to mnenje na lastno pobudo. ENVP se zaveda, da to svetovanje nastopa pozno v zakonodajnem postopku. Ker pa predlog lahko pomembno vpliva na pravico do zasebnosti in varstvo osebnih podatkov, se mu vseeno zdi ustrezno in koristno izdati to mnenje. V preambulo predloga je treba vključiti sklic na to mnenje.

3. Poglavitni cilj predloga je preprečiti tržno manipulacijo in trgovanje na podlagi notranjih informacij na energetskih (plin in električna energija) trgih na debelo. Celovitost in preglednost trgov na debelo, na katerih družbe, ki proizvajajo energijo, in trgovci trgujejo z električno energijo in plinom, sta bistvenega pomena za cene, ki jih na koncu plačajo potrošniki.

4. Zaradi tega je cilj predloga oblikovati celovita pravila na ravni EU, ki trgovcem preprečujejo, da v svojo korist uporabijo notranje informacije in izvajajo tržno manipulacijo z umetnim višanjem cen na raven, višjo od tiste, ki jo upravičujejo razpoložljivost in stroški proizvodnje, zmogljivost skladiščenja in prenosa energije. Predlagana pravila preprečujejo zlasti: — uporabo notranjih informacij pri prodajanju ali kupovanju energije na trgu na debelo; pred začetkom trgovanja je treba razkriti ekskluzivne in cenovno občutljive informacije; — transakcije, ki pomenijo napačna ali zavajajoča znamenja glede ponudbe, povpraševanja ali cen energetskih proizvodov na trgu na debelo, in — razširjanje napačnih novic ali govoric, ki pomenijo zavajajoča znamenja o teh proizvodih.

5. Za spremljanje trga na evropski ravni, s katerim se odkrijejo morebitne kršitve teh prepovedi, bo odgovorna Evropska agencija za sodelovanje energetskih regulatorjev (v nadaljevanju: agencija ACER) (4).

6. V skladu s predlogom bo imela agencija ACER pravočasen dostop do informacij o transakcijah na energetskih trgih na debelo. To vključuje informacije o ceni, prodani količini in udeleženih straneh. Ti zbirni podatki bodo poslani tudi nacionalnim regulativnim organom, ki bodo odgovorni za preiskavo sumov zlorab. V primerih čezmejnega vpliva bo agencija ACER pooblaščena za usklajevanje preiskav. Kazni bodo izterjali nacionalni regulativni organi v državah članicah.

7. V predlogu je upoštevana vrsta drugih nedavno sprejetih zakonodajnih predlogov za okrepitev obstoječih finančnih nadzornih ureditev ter izboljšanje usklajevanja in sodelovanja na ravni EU, med katere sodita tudi Direktiva o trgovanju z notranjimi informacijami in tržni manipulaciji (v nadaljevanju: Direktiva o zlorabi trga) (5) in Direktiva o trgih finančnih instrumentov (v nadaljevanju: Direktiva MiFID) (6). ENVP je pred kratkim komentiral še enega od teh nedavnih predlogov (7).

II. PRIPOMBE IN PRIPOROČILA ENVP

8. Predlog vključuje več določb, ki so pomembne za varstvo osebnih podatkov: — členi od 6 do 8 o spremljanju trga in poročanju, — člen 9 o „varstvu podatkov in zanesljivosti delovanja“, — člena 10 in 11 o preiskavah in izvrševanju zakonodaje ter — člen 14 o „odnosih s tretjimi državami“.

II.1. Spremljanje trga in poročanje (členi od 6 do 8)

Ustrezne določbe

9. Predlog izhaja iz domneve, da je za odkrivanje zlorabe trga (i) treba imeti dejansko delujoč sistem spremljanja trga, ki omogoča pravočasen dostop do popolnih podatkov o transakcijah, in da (ii) mora to vključevati spremljanje na ravni EU. V predlagani uredbi je zato predvideno, da agencija ACER zbira, pregleduje in posreduje (ustreznim nacionalnim organom in organom EU) velike količine zbirnih podatkov z energetskih trgov na debelo.

10. V predlagani uredbi se od udeležencev na trgu zlasti zahteva, da agenciji ACER zagotovijo „evidence o svojih transakcijah“ z energetskimi proizvodi na debelo. Udeleženci na trgu morajo poleg evidenc o transakcijah agenciji ACER poslati informacije, povezane z „zmogljivostjo obratov za proizvodnjo, skladiščenje, porabo ali prenos električne energije ali zemeljskega plina“.

11. Oblika in vsebina poročanih informacij ter čas poročanja bodo določeni v delegiranih aktih Komisije.

Pripombe in priporočila ENVP

12. Ker je v predlogu predvideno, da bo vsebina informacij, ki se zbirajo v okviru tega spremljanja in poročanja, v celoti določena v delegiranih aktih, ni mogoče izključiti, da bodo vključeni tudi osebni podatki – tj. katera koli informacija, ki se nanaša na določeno ali določljivo fizično osebo (8). V skladu s sedanjo zakonodajo EU je to dovoljeno samo, kadar je to potrebno in sorazmerno glede na posamezen namen (9). V predlagani uredbi je zato treba jasno opredeliti, ali in v kolikšnem obsegu lahko evidence transakcij in informacije o zmogljivosti, ki se zbirajo za spremljanje, vključujejo osebne podatke (10).

13. Če je predvidena obdelava osebnih podatkov, je mogoče treba zahtevati tudi posebne zaščitne ukrepe – na primer v zvezi z omejitvijo namena, obdobjem hranjenja in morebitnimi prejemniki informacij. Ker so ti zaščitni ukrepi v zvezi z varstvom podatkov bistvenega pomena, jih je treba določiti neposredno v predlagani uredbi, ne pa v delegiranih aktih.

14. Če pa po drugi strani obdelava osebnih podatkov ni predvidena (ali bi takšna obdelava nastopila izjemoma in bi bila omejena na redke primere, pri katerih bi bil lahko trgovec z energijo na debelo posameznik, ne pa pravni subjekt), je treba to jasno določiti v predlogu, vsaj v uvodni izjavi.

II.2. Varstvo podatkov in zanesljivost delovanja (člen 9)

Ustrezne določbe

15. Člen 9(1) vključuje zahtevo, da agencija ACER „zagotavlja zaupnost, celovitost in varstvo“ informacij, ki jih prejme v skladu s členom 7 (tj. evidence o transakcijah in informacije o zmogljivostih, zbrane v okviru spremljanja trga). V členu 9 je predvideno tudi, da agencija ACER pri obdelavi osebnih podatkov v skladu s členom 7, „kjer je to primerno“, „ravna skladno“ z Uredbo (ES) št. 45/2001.

16. Člen 9(1) vsebuje še zahtevo, da agencija ACER „ugotovi vire operativnega tveganja in jih zmanjša na najnižjo raven s pomočjo razvoja ustreznih sistemov, kontrol in postopkov“.

17. In nazadnje, člen 9(2) agenciji ACER dovoljuje, da nekatere dele informacij, ki jih hrani, dá na voljo javnosti, „pod pogojem, da se ne objavijo poslovno občutljive informacije o posameznih udeležencih na trgu ali posameznih transakcijah“.

Pripombe in priporočila ENVP

18. ENVP pozdravlja dejstvo, da je člen 9 deloma posvečen varstvu podatkov in da predlagana uredba vključuje izrecno zahtevo, da agencija ACER ravna v skladu z Uredbo št. 45/2001.

(a) Uporaba Uredbe (ES) št. 45/2001 in Direktive 95/46/ES

19. ENVP ob tem poudarja, da se na podlagi te uredbe Uredba (ES) št. 45/2001 uporablja za agencijo ACER v celoti, kadar koli slednja obdeluje osebne podatke. Zaradi tega bi moral predlog vključevati navedbo, da je treba Uredbo (ES) št. 45/2001 za agencijo ACER uporabljati ne samo v primerih, kadar obdeluje podatke v skladu s členom 7, temveč tudi v vseh drugih primerih: to je pomembno tudi za primere, kadar agencija ACER obdeluje osebne podatke v zvezi s sumom zlorabe trga/kršitev v skladu s členom 11. ENVP poleg tega priporoča, da bi situacije, ko je agencija ACER dolžna ravnati v skladu z Uredbo (ES) št. 45/2001, namesto s frazo „kjer je to potrebno“ opisali z natančnejšo formulacijo „kadar koli se obdelujejo osebni podatki“.

20. Potrebno je tudi sklicevanje na Direktivo 95/46/ES, saj ta direktiva obravnava obdelavo osebnih podatkov s strani udeleženih nacionalnih regulativnih organov. ENVP tako zaradi jasnosti priporoča, da se v predlagano uredbo vključi splošna navedba (vsaj v uvodni izjavi), da za agencijo ACER velja Uredba (ES) št. 45/2001, za zadevne nacionalne organe pa se uporablja Direktiva 95/46/ES.

(b) Odgovornost

21. ENVP pozdravlja zahtevo, da mora agencija ACER ugotoviti operativna tveganja in jih zmanjšati na najnižjo raven z razvojem ustreznih sistemov, kontrol in postopkov. Da bi dodatno okrepili načelo odgovornosti v primerih (11), kadar bi imela obdelava podatkov strukturno vlogo, je treba v predlagani uredbi izrecno zahtevati, da agencija ACER oblikuje jasen okvir odgovornosti, ki zagotavlja skladnost z varstvom podatkov in jo dokazuje. Ta jasni okvir, ki ga oblikuje agencija ACER, mora vsebovati različne elemente, na primer: — sprejetje politike varstva podatkov na podlagi ocene učinka (da se vključi tudi ocena varnosti tveganja) in njeno posodobitev, če je to potrebno. Ta politika varovanja podatkov mora vključevati tudi varnostni načrt; — izvajanje rednih revizij, da se zagotovi neprekinjena ustreznost politike varstva podatkov in skladnost z njo (vključno z revizijo varnostnega načrta); — objavo (vsaj delno) rezultatov teh revizij, da bodo zainteresirane strani prepričane o skladnosti z varstvom podatkov, in — sporočanje kršitev v zvezi s podatki in drugih varnostnih incidentov uradniku Komisije za varstvo podatkov, prizadetim posameznikom, na katere se podatki nanašajo, ter po potrebi drugim zainteresiranim stranem in organom (12).

22. Ustrezne zahteve je treba uporabljati tudi za nacionalne regulativne organe in druge zadevne organe EU.

(c) Objavljanje informacij s strani agencije ACER

23. Zahteva iz člena 9(2), da mora agencija ACER objavljati dele informacij, ki jih hrani, po mnenju ENVP ni namenjena temu, da bi imela agencija ACER dovoljenje za objavo podatkov zaradi „kazanja s prstom“ na gospodarske družbe ali posameznike in javnega razkrivanja njihovih prestopkov.

24. Glede na vse to v predlogu ni nikjer omenjeno, ali obstaja namen javnega razkritja osebnih podatkov. Da bi se tako izognili vsakršnemu dvomu, je treba v predlagani uredbi ali posebej določiti, da objavljene informacije ne smejo vsebovati nobenih osebnih podatkov, ali pa pojasniti, kateri, če sploh, osebni podatki se lahko razkrijejo.

25. Če bodo objavljeni kakršni koli osebni podatki, je treba skrbno razmisliti o potrebi po razkritju (npr. zaradi preglednosti) in jo uskladiti z drugimi prisotnimi vprašanji, kot je potreba po varovanju pravice do zasebnosti in varovanja osebnih podatkov zadevnih posameznikov.

26. Torej je treba pred kakršnim koli razkritjem izvesti oceno sorazmernosti, pri kateri se upoštevajo merila, ki jih je Sodišče Evropske unije določilo v zadevi Schecke (13). V tej zadevi je poudarilo, da je treba odstopanja in omejitve v zvezi z varstvom osebnih podatkov uporabljati samo, kolikor je to nujno potrebno. Sodišče Evropske unije je menilo še, da morajo evropske institucije preučiti različne metode objave in tako poiskati tisto, ki bi bila v skladu z namenom objave, pri čemer se najmanj posega v pravico posameznikov, na katere se podatki nanašajo, do zasebnega življenja in v varstvo osebnih podatkov.

II.3. Preiskovalna pooblastila (člen 10)

Ustrezne določbe

27. V predlogu je predvideno, da v primerih suma zlorabe trga spremljanju trga sledi preiskava, to pa lahko privede do ustreznih sankcij. Zlasti člen 10(1) zahteva, da države članice dodelijo nacionalnim regulativnim organom potrebna preiskovalna pooblastila za zagotovitev, da se uporabljajo določbe Uredbe o trgovanju z notranjimi informacijami in tržni manipulaciji (14).

Pripombe in priporočila ENVP

28. ENVP pozdravlja navedbo v členu 10(1), da (i) se preiskovalna pooblastila izvajajo (samo) za zagotovitev, da se uporabljajo določbe Uredbe o trgovanju z notranjimi informacijami in tržni manipulaciji (člena 3 in 4), ter da (ii) se ta pooblastila izvajajo sorazmerno.

29. V predlogu je torej treba dodatno zagotoviti pravno varnost in ustrezno raven varstva osebnih podatkov. Kot bo prikazano v nadaljevanju, v zvezi s predlaganim besedilom člena 10 nastopita dve glavni težavi. Prvič, v členu 10 ni dovolj jasno opisan obseg preiskovalnih pooblastil; tako na primer ni dovolj jasno, ali se lahko zahtevajo evidence zasebnih telefonskih pogovorov in ali je dovoljeno opraviti inšpekcijski pregled na kraju samem na zasebnem domu. Drugič, člen 10 prav tako ne predvideva ustreznih postopkovnih zaščitnih ukrepov proti tveganju neupravičenega vdora v zasebnost ali zlorabe osebnih podatkov; tako na primer ne vsebuje zahteve za nalog sodnega organa.

30. Tako obseg preiskovalnih pooblastil kot potrebni zaščitni ukrepi naj bi bili natančneje določeni v nacionalni zakonodaji. Člen 10(1) tako v resnici državam članicam dopušča mnogo možnosti, saj določa, da se preiskovalna pooblastila „lahko izvajajo (a) neposredno, (b) v sodelovanju z drugimi organi ali s tržnimi podjetji ali (c) z vložitvijo zahtevka pri pristojnih sodnih organih“. Zdi se, da to omogoča odstopanja med nacionalnimi praksami, na primer glede tega, ali in v katerih okoliščinah se zahteva nalog sodnega organa.

31. Nekateri nacionalni zakoni sicer mogoče že predvidevajo ustrezne zaščitne ukrepe v zvezi s postopkom in varstvom podatkov, da bi zagotovili pravno varnost posameznikom, na katere se podatki nanašajo, vseeno pa je treba navesti nekatera pojasnila in na ravni EU določiti nekatere minimalne zahteve v zvezi z zaščitnimi ukrepi glede postopka in varstva podatkov, in sicer v predlagani uredbi, kot bo obravnavano v nadaljevanju.

32. ENVP na splošno poudarja, da je treba v primerih, v katerih zakonodaja EU zahteva od držav članic sprejetje ukrepov na nacionalni ravni, ki vplivajo na temeljne pravice (kot sta pravici do zasebnosti in varstva osebnih podatkov), v zakonodajo vključiti tudi zahteve, da se učinkoviti ukrepi sprejmejo skupaj z restriktivnimi ukrepi za zagotovitev varovanja zadevnih temeljnih pravic. Z drugimi besedami, uskladitev ukrepov, ki lahko posegajo v zasebnost, kot so preiskovalna pooblastila, mora biti pospremljena z uskladitvijo ustreznih zaščitnih ukrepov glede postopka in varstva podatkov, in sicer na podlagi najboljše prakse.

33. S takšnim pristopom je mogoče preprečiti velika odstopanja na nacionalni ravni ter zagotoviti višjo in bolj poenoteno raven varstva podatkov po vsej Evropski uniji.

34. Če uskladitev minimalnih zaščitnih ukrepov na tej stopnji ni izvedljiva, ENVP priporoča vsaj vključitev izrecne zahteve v predlagano uredbo, da države članice sprejmejo nacionalne izvedbene ukrepe za zagotovitev ustreznih zaščitnih ukrepov v zvezi s postopkom in varstvom podatkov. To je še toliko bolj pomembno, ker je bila za pravni instrument izbrana uredba, ki se uporablja neposredno in navadno ne zahteva dodatnih izvedbenih ukrepov v državah članicah.

II.4. Inšpekcijski pregledi na kraju samem (člen 10(2)(c))

Ustrezne določbe

35. Predlog vsebuje zahtevo, da preiskovalna pooblastila, ki se dodelijo nacionalnim preiskovalnim organom, vključujejo tudi pooblastilo za opravljanje inšpekcijskih pregledov na kraju samem (člen 10(2)(c)).

Pripombe in priporočila ENVP

36. Ni jasno, ali bodo ti inšpekcijski pregledi omejeni na poslovno premoženje (prostori, zemljišče in vozila) udeleženca na trgu ali pa se lahko izvajajo tudi na zasebnem premoženju (prostori, zemljišče ali vozila) posameznikov. Prav tako ni jasno, ali je mogoče te inšpekcijske preglede opravljati brez predhodnega opozorila („nenapovedane racije“).

37. Če Komisija predvideva, da bo zahtevala od držav članic, da pooblastijo regulativne organe za izvajanje inšpekcijskih pregledov na kraju samem na zasebni lastnini posameznikov ali opravljanje nenapovedanih racij, je treba to predvsem jasno opredeliti.

38. Drugič, ENVP poudarja še, da sorazmernost inšpekcijskih pregledov na kraju samem na zasebni lastnini (na primer na zasebnem domu posameznika) vsekakor ni samoumevna in jo je treba – če je predvidena – posebej upravičiti.

39. Tretjič, za ta primer bi potrebovali dodatne zaščitne ukrepe, zlasti glede pogojev, v skladu s katerimi se lahko opravljajo takšni inšpekcijski pregledi. Tako bi bilo treba na primer, brez omejitev, v predlogu opredeliti, da se lahko inšpekcijski pregled na kraju samem opravi na posameznikovem domu le, če obstaja utemeljen in poseben sum, da so tam shranjeni dokazi, ki pomembno dokazujejo resno kršitev členov 3 in 4 Uredbe (tj. določbe o prepovedi trgovanja z notranjimi informacijami in tržne manipulacije). Pomembno je, da predlog vsebuje tudi zahtevo o sodnem nalogu v vseh državah članicah (15).

40. Četrtič, da bi zagotovili sorazmernost in preprečili pretirano poseganje v zasebno življenje, je treba za nenapovedane inšpekcijske preglede na zasebnih domovih uvesti dodaten pogoj, da bi bili v primeru napovedanega obiska dokazi verjetno uničeni ali spremenjeni. To je treba jasno predvideti v predlagani uredbi.

II.5. Pooblastila za zahtevanje „obstoječih evidenc o telefonskih pogovorih in podatkovnem prometu“ (člen 10(2)(d))

Ustrezne določbe

41. Člen 10(2)(d) predvideva, da morajo pooblastila nacionalnih regulativnih organov vključevati tudi posebno pooblastilo, da zahtevajo „obstoječe evidence o telefonskih pogovorih in podatkovnem prometu“.

Pripombe in priporočila ENVP

42. ENVP priznava vrednost evidenc o telefonskih pogovorih in podatkovnem prometu v primerih trgovanja z notranjimi informacijami, zlasti pri navezovanju stika med obveščenim posameznikom iz organizacije in trgovci. Ob upoštevanju tega je treba navesti, da obseg tega pooblastila ni dovolj jasen, prav tako niso predvideni ustrezni zaščitni ukrepi v zvezi s postopkom in varstvom podatkov. ENVP zaradi tega priporoča, da je treba predlog pojasniti v skladu z obravnavo v nadaljevanju. Treba je obravnavati zlasti naslednja vprašanja:

(a) Kakšno vrsto evidenc o telefonskih pogovorih in podatkovnem prometu je mogoče zahtevati?

43. Zaradi pravne varnosti je treba v predlogu najprej opredeliti, kakšne evidence, če je to potrebno, lahko zahtevajo organi.

44. V predlogu je treba posebej omejiti obseg preiskovalnih pooblastil na (i) vsebino evidenc o telefonskih pogovorih, elektronski pošti in drugem podatkovnem prometu, ki jih že rutinsko in zakonito zbirajo trgovci iz poslovnih razlogov kot dokazila o transakcijah, in na (b) podatke o prometu (npr. kdo je poklical ali poslal informacijo, komu je bila komunikacija namenjena in kdaj je potekala), ki jih je že mogoče dobiti neposredno od zadevnih udeležencev na trgu (trgovcev).

45. V predlogu je poleg tega treba opredeliti, da je treba evidence zbirati za zakonit namen in v skladu z veljavno zakonodajo o varstvu podatkov, vključno z določbo o zadostnem obveščanju posameznikov, na katere se podatki nanašajo, iz členov 10 in 11 Direktive 95/46/ES.

(b) Na kaj se nanaša oznaka „obstoječ“?

46. ENVP pozdravlja dejstvo, da je to pooblastilo v predlogu omejeno na „obstoječe“ evidence, in torej ne predvideva pooblastil regulativnih organov, da prisilijo trgovca ali tretjo stran k posebnemu prestrezanju, spremljanju, beleženju telefonskih pogovorov ali podatkovnega prometa za namene preiskave.

47. Da pa bi se izognili vsakršnemu dvomu, je treba ta namen bolje pojasniti, vsaj v uvodni izjavi. Poskrbeti je treba, da ne bo prostora za razlaganje predlagane uredbe, kot da nacionalnim organom daje pravno podlago za prestrezanje, spremljanje ali beleženje telefonskih pogovorov ali podatkovnih komunikacij, naj bo to tajno ali javno, z nalogom ali brez njega.

(c) Je mogoče zahtevati tudi vsebino telefonskih pogovorov in podatkovnega prometa, ali pa to velja zgolj za podatke o prometu?

48. Besedilo predloga se nanaša na „obstoječe evidence o telefonskih pogovorih in podatkovnem prometu“. Pri tem ni dovolj jasno, ali je mogoče zahtevati tako vsebino obstoječih telefonskih pogovorov in podatkovnega prometa kot podatke o prometu (npr. kdo je poklical ali poslal informacije, komu je bila komunikacija namenjena in kdaj je potekala).

49. To je treba bolje pojasniti z določbami predlagane uredbe. Kot je bilo že obravnavano v odstavkih od 43 do 45, je treba jasno določiti, kakšne vrste evidenc je mogoče zahtevati, poleg tega je treba predvsem zagotoviti, da so bile te evidence pridobljene v skladu z veljavnimi zakoni o varstvu podatkov.

(d) Je mogoče evidence zahtevati od ponudnika internetnih storitev in telekomunikacijskih družb?

50. V predlogu je treba nedvoumno opredeliti, od koga lahko nacionalni regulativni organi zahtevajo evidence. V tem smislu ENVP razume, da člen 10(2)(d) ni namenjen temu, da bi dovolil nacionalnim organom, da zahtevajo podatke o prometu od ponudnikov „javnosti dostopnih elektronskih komunikacijskih storitev“ (16) (kot so telefonske družbe ali ponudniki internetnih storitev).

51. Predlog se pravzaprav sploh ne nanaša na tovrstne ponudnike in v njem tudi ni uporabljen izraz „podatki o prometu“. Pomembno je tudi, da se niti posredno niti neposredno ne nanaša na dejstvo, da je mogoče zahtevati odstopanja na podlagi zahtev iz Direktive o e-zasebnosti (17), ki podaja splošno načelo, da je mogoče podatke o prometu nadalje obdelovati samo za namen zaračunavanja in medsebojnih povezav.

52. Da bi se izognili vsakršnemu dvomu, ENVP priporoča, da je treba v besedilu predlagane uredbe, vsaj v uvodni izjavi, izrecno omeniti dejstvo, da predlog ne pomeni pravne podlage, na podlagi katere bi lahko zahtevali podatke od ponudnikov javnosti dostopnih storitev elektronskih komunikacij.

(e) Je mogoče evidence zahtevati od drugih tretjih strani?

53. V predlogu je poleg tega treba pojasniti, ali lahko nacionalni regulativni organi zahtevajo evidence samo od udeleženca na trgu, ki se preiskuje, ali pa so pooblaščeni, da zahtevajo tudi od tretjih strani (na primer od stranke v transakciji z udeležencem na trgu, ki se preiskuje, ali hotela, v katerem prebiva posameznik, osumljen trgovanja z notranjimi informacijami), da jim zagotovijo lastne evidence.

(f) Je mogoče zahtevati kakršne koli zasebne evidence?

54. Nazadnje je treba v predlogu še pojasniti, ali lahko organi zahtevajo tudi zasebne evidence posameznikov, na primer zaposlenih ali vodilnega kadra udeleženca na trgu, ki se preiskuje (npr. besedilna sporočila, poslana z osebnih mobilnih naprav, ali zgodovino brskanja po spletu na domu, shranjeno na domačem računalniku).

55. Sorazmernost zahteve za zasebne evidence je sporna in – če je že predvidena – jo je treba posebej upravičiti.

56. Tako kot pri inšpekcijskih pregledih na kraju samem (glej odstavke od 35 do 40 zgoraj) je treba za primere, kadar organi zahtevajo zasebne evidence, v predlogu zahtevati nalog sodnega organa in dodatne posebne zaščitne ukrepe.

II.6. Poročanje o sumu zlorabe trga (člen 11): omejitev namena in hranjenje podatkov

Ustrezne določbe

57. Na področju čezmejnega sodelovanja ima agencija ACER pomembno vlogo, in sicer opozarja nacionalne regulativne organe na morebitno zlorabo trga ter omogoča izmenjavo informacij. Da bi olajšali sodelovanje, člen 11(2) tudi izrecno zahteva, da nacionalni regulativni organi obveščajo agencijo ACER „na čim bolj specifičen način“, kadar imajo utemeljene razloge za sum o kakršni koli kršitvi predlagane uredbe. Da bi zagotovili usklajen pristop, člen 11(3) zahteva tudi medsebojno obveščanje med nacionalnimi regulativnimi organi, pristojnimi finančnimi organi, agencijo ACER ter tudi Evropskim organom za vrednostne papirje in trge (ESMA) (18).

Pripombe in priporočila ENVP

58. V skladu z načelom omejitve namena (19) je treba v predlogu izrecno navesti, da se vsi osebni podatki, ki se prenašajo na podlagi člena 11 predlagane uredbe (poročila o sumu zlorabe trga), lahko uporabijo samo za namene preiskave suma zlorabe trga iz poročila. Informacij nikakor ni mogoče uporabiti za namene, ki niso združljivi s tem namenom.

59. Prav tako se podatki ne smejo hraniti daljša obdobja. To je še bolj pomembno v primerih, v katerih je mogoče dokazati, da je bil prvotni sum neutemeljen. V takih primerih je treba nadaljnje hranjenje posebej upravičiti (20).

60. Tako je treba v predlogu najprej določiti najdaljše obdobje, v katerem lahko agencija ACER in drugi prejemniki informacij hranijo podatke, pri čemer se upošteva namen hranjenja podatkov. Če sum zlorabe trga ni privedel do posebne preiskave in če preiskava ne poteka več, je treba po preteku določenega obdobja vse osebne podatke, povezane s sporočenim sumom zlorabe trga, izbrisati iz evidenc vseh prejemnikov. ENVP meni, da je treba podatke izbrisati vsaj dve leti po datumu poročanja o sumu, če ni jasno upravičeno daljše obdobje zadrževanja (21).

61. Za primere, kadar se sum izkaže za neupravičenega in/ali je preiskava zaključena brez nadaljnjega ukrepanja, je treba v predlog vključiti obveznost regulativnega organa, ki poroča, agencije ACER in vseh tretjih strani, ki imajo dostop do informacij o sumu zlorabe trga, da hitro obvesti te strani, da lahko v skladu s tem posodobijo svoje (in/ali izbrišejo informacije o sporočenem sumu iz svojih evidenc bodisi s takojšnjim učinkom bodisi po preteku sorazmernega obdobja zadrževanja) (22).

62. Te določbe naj bi pomagale zagotoviti, da v primerih suma, ki ni bil potrjen (ali celo ni bil dodatno raziskan) ali za katerega je bilo ugotovljeno, da ni utemeljen, nedolžni posamezniki ne bodo ostali na „črnem seznamu“ in ne bodo „osumljeni“ neupravičeno dolgo (glej člen 6(e) Direktive 95/46/ES in ustrezen člen 4(e) Uredbe (ES) št. 45/2001).

II.7. Prenosi podatkov v tretje države (člen 14)

Ustrezne določbe

63. Členi 7, 8 in 11 predlagane uredbe predvidevajo izmenjavo podatkov in informacij med agencijo ACER, organom ESMA in organi v državah članicah. Člen 14 („Odnosi s tretjimi državami“) določa, da agencija ACER „lahko sklepa upravne dogovore z mednarodnimi organizacijami in upravami tretjih držav“. Agencija ACER lahko na podlagi tega pošilja osebne podatke, to lahko stori tudi organ ESMA in/ali organi držav članic mednarodnim organizacijam in organom tretjih držav.

Pripombe in priporočila ENVP

64. ENVP priporoča, da se v členu 14 predloga pojasni, da lahko prenosi osebnih podatkov potekajo samo v skladu s členom 9 Uredbe (ES) št. 45/2001 ter členoma 25 in 26 Direktive 95/46/ES. Zlasti mednarodni prenosi potekajo samo, če zadevna tretja država zagotovi ustrezno raven zaščite, prenosi k subjektom ali posameznikom v tretji državi, ki ne zagotavlja zadostne zaščite, pa so mogoči samo, če nadzornik navede zadostne zaščitne ukrepe v zvezi z zaščito zasebnosti ter temeljnih pravic in svoboščin posameznikov ter v smislu izvajanja ustreznih pravic.

65. ENVP poudarja, da se odstopanja (kot je tisto iz člena 9(6) Uredbe (ES) št. 45/2001 in 26(1) Direktive), načeloma ne smejo uporabljati, da bi z njimi upravičili množične, sistematične in/ali strukturne prenose podatkov v tretje države.

II.8. Predhodno preverjanje usklajevalnih dejavnosti agencije ACER v zvezi s preiskavami

66. Nekateri podatki o sumih kršitev, ki si jih delijo organ ACER, agencija ESMA in različni organi v državah članicah, verjetno vsebujejo osebne podatke, kot so identiteta osumljenih storilcev ali drugih udeleženih posameznikov (npr. priče; osebe, ki so razkrile informacije o nezakonitosti; zaposleni ali drugi posamezniki, ki zastopajo podjetje, vključeno v trgovanje).

67. V členu 27(1) Uredbe (ES) št. 45/2001 je določeno, da mora „postopke obdelave, ki zaradi svojega značaja verjetno predstavljajo določeno tveganje za pravice in svoboščine posameznikov, na katere se nanašajo osebni podatki, njihov obseg ali njihove cilje, predhodno preveriti evropski nadzornik za varstvo podatkov“. Člen 27(2) posebej potrjuje, da „obdelava podatkov“ v zvezi s „sumi kaznivih dejanj“ in „kaznivih dejanj“ pomeni tako tveganje in zahteva predhodno preverjanje. Ob upoštevanju predvidene vloge agencije ACER pri usklajevanju preiskav se zdi verjetno, da bo obdelovala podatke v zvezi s „sumi kaznivih dejanj“, torej bodo njene dejavnosti predmet predhodnega preverjanja (23).

68. ENVP lahko v okviru postopka predhodnega preverjanja dá agenciji ACER dodatna navodila in posebna priporočila glede skladnosti s pravili varstva podatkov. Predhodno preverjanje dejavnosti agencije ACER je tudi lahko koristno, saj Uredba (ES) št. 713/2009, s katero je bila ustanovljena agencija ACER, ne vsebuje nobenega sklicevanja na varstvo osebnih podatkov in v zvezi z njo ni bilo izdano zakonodajno mnenje ENVP.

III. SKLEPNE UGOTOVITVE

69. V predlogu je treba pojasniti, ali se lahko v okviru spremljanja trga in poročanja obdelujejo osebni podatki in kateri zaščitni ukrepi bodo uporabljeni. Če pa po drugi strani obdelava osebnih podatkov ni predvidena (ali pa bi takšna obdelava nastopila izjemoma in bi bila omejena na redke primere, pri katerih bi bil lahko trgovec z energijo na debelo posameznik, ne pa pravni subjekt), je treba to jasno določiti v predlogu, vsaj v uvodni izjavi.

70. Določbe o varstvu podatkov, varnosti in odgovornosti je treba pojasniti in dodatno okrepiti, zlasti če bo imela obdelava osebnih podatkov bolj strukturno vlogo. Komisija mora zagotoviti vzpostavitev zadostnih kontrol za zagotovitev skladnosti z varstvom podatkov in dokazov o tem („odgovornost“).

71. V predlogu je treba pojasniti, ali naj bodo inšpekcijski pregledi na kraju samem omejeni na poslovno premoženje (prostori in vozila) udeleženca na trgu ali pa naj se uporabljajo tudi za zasebno lastnino (prostore in vozila) posameznikov. V slednjem primeru je treba jasno upravičiti nujnost in sorazmernost tega pooblastila, zahtevati je treba tudi sodni nalog in dodatne zaščitne ukrepe. To je treba jasno predvideti v predlagani uredbi.

72. Treba je pojasniti obseg pooblastil, da se zahtevajo „obstoječe evidence o telefonskih pogovorih in podatkovnem prometu“. V predlogu je treba nedvoumno določiti, katere evidence je mogoče zahtevati in od koga jih je mogoče zahtevati. V besedilu predlagane uredbe, vsaj v uvodni izjavi, je treba izrecno omeniti dejstvo, da podatkov ni mogoče zahtevati od ponudnikov javnosti dostopnih storitev elektronskih komunikacij. V predlogu je treba tudi pojasniti, ali lahko organi zahtevajo tudi zasebne evidence posameznikov, na primer zaposlenih ali vodilnega kadra udeleženca na trgu, ki se preiskuje (npr. besedilna sporočila, poslana z osebnih mobilnih naprav, ali zgodovino brskanja po spletu na domačem računalniku). V tem primeru je treba potrebnost in sorazmernost tega pooblastila jasno upravičiti in v predlog je treba vključiti tudi zahtevo po nalogu sodnega organa.

73. Kar zadeva poročanje o sumu zlorabe trga, je treba v predlogu izrecno navesti, da se vsi osebni podatki v teh poročilih lahko uporabijo samo za namene preiskave suma zlorabe trga iz poročila. Če sum zlorabe trga ni privedel do posebne preiskave in preiskava še poteka (ali pa se je pokazalo, da je sum utemeljen in je privedel do uspešne preiskave), je treba po preteku določenega obdobja (če ni utemeljeno drugače, najpozneje dve leti po datumu poročila) vse osebne podatke, povezane s sporočenim sumom zlorabe trga izbrisati iz evidenc vseh prejemnikov. Poleg tega se morajo strani, udeležene v izmenjavi informacij, medsebojno obvestiti, če se izkaže, da je sum neutemeljen in/ali je bila preiskava zaključena brez nadaljnjega ukrepanja.

74. V zvezi s prenosi osebnih podatkov v tretje države je treba v predlogu pojasniti, da je načeloma mogoče prenašati podatke subjektom ali posameznikom v tretji državi, ki ne zagotavlja zadostne zaščite, samo, če nadzornik navede zadostne zaščitne ukrepe v zvezi z zaščito zasebnosti ter temeljnih pravic in svoboščin posameznikov ter glede izvajanja ustreznih pravic.

75. Agencija ACER mora poslati ENVP v predhodno preverjanje svoje dejavnosti obdelave osebnih podatkov v zvezi z usklajevanjem preiskav v skladu s členom 11 predlagane uredbe.

V Bruslju, 21. junija 2011 Giovanni BUTTARELLI Pomočnik Evropskega nadzornika za varstvo podatkov

(1) UL L 281, 23.11.1995, str. 31 (v nadaljevanju: Direktiva 95/46/ES).

(2) UL L 8, 12.1.2001, str. 1 (v nadaljevanju: Uredba (ES) št. 45/2001).

(3) COM(2010) 726 konč.

(4) Agencija ACER je organ Evropske unije, ki je bil ustanovljen leta 2010. Njena naloga je pomagati nacionalnim energetskim regulativnim organom pri izvajanju njihovih regulativnih nalog, za katere so zadolžene v državah članicah, na ravni EU in po potrebi usklajevati njihovo delovanje.

(5) Direktiva 2003/6/ES Evropskega parlamenta in Sveta z dne 28. januarja 2003 o trgovanju z notranjimi informacijami in tržni manipulaciji (zloraba trga), UL L 96, 12.4.2003, str. 16.

(6) Direktiva 2004/39/ES Evropskega parlamenta in Sveta z dne 21. aprila 2004 o trgih finančnih instrumentov in o spremembah direktiv Sveta 85/611/EGS, 93/6/EGS in Direktive 2000/12/ES Evropskega parlamenta in Sveta ter o razveljavitvi Direktive Sveta 93/22/EGS, UL L 145, 30.4.2004, str. 1.

(7) Za več informacij o širšem ozadju ustreznih zakonodajnih predlogov glej Mnenje ENVP o predlogu uredbe Evropskega parlamenta in Sveta o izvedenih finančnih instrumentih OTC, centralnih nasprotnih strankah in repozitorijih sklenjenih poslov, izdano 19. aprila 2011; zlasti odstavke 4, 5 in od 17 do 20.

(8) Glej člen 2(a) Direktive 95/46/ES in člen 2(a) Uredbe (ES) št. 45/2001.

(9) Glej člena 6(1)(c) in 7(c) Direktive 95/46/ES ter člena 4(1)(c) in 5(b) Uredbe (ES) št. 45/2001.

(10) V členu 9(1) predloga – ki se sklicuje na Uredbo (ES) št. 45/2001 – je taka možnost predvidena, vendar ni obravnavana podrobneje. To vprašanje je dodatno obravnavano v oddelku II.2 tega mnenja.

(11) Glej oddelek 7 Mnenja ENVP o Sporočilu Komisije Evropskemu parlamentu, Svetu, Evropskemu ekonomsko-socialnemu odboru in Odboru regij – „Celovit pristop k varstvu osebnih podatkov v Evropski uniji“, izdano 14. januarja 2011 (http://www.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/Consultation/Opinions/2011/11-01-14_Personal_Data_Protection_EN.pdf).

(12) Glej oddelek 6.3 zgoraj navedenega mnenja ENVP z dne 14. januarja 2011.

(13) Sodba Sodišča Evropske unije z dne 9. novembra 2010, združeni zadevi C-92/09 in C-93/09 (Schecke in Eifert); glej zlasti odstavke 81, 65 in 86.

(14) Treba je opozoriti, da predlagana uredba ne podeljuje podobnih preiskovalnih pooblastil agenciji ACER. Takšna pooblastila za agencijo ACER niso predvidena niti v Uredbi (ES) št. 713/2009 Evropskega parlamenta in Sveta z dne 13. julija 2009 o ustanovitvi Agencije za sodelovanje energetskih regulatorjev, UL L 211, 14.8.2009, str. 1.

(15) Glej na primer sodbo Evropskega sodišča za človekove pravice v zadevi Funke proti Franciji (zadeva št. 82/1991/334/407), 25. februar 1993, odstavki od 55 do 57.

(16) Glej člen 2(c) Direktive 2002/21/ES Evropskega parlamenta in Sveta z dne 7. marca 2002 o skupnem regulativnem okviru za elektronska komunikacijska omrežja in storitve (okvirna direktiva), UL L 108, 24.4.2002, str. 33.

(17) Glej člen 6(1) Direktive 2002/58/ES Evropskega parlamenta in Sveta z dne 12. julija 2002 o obdelavi osebnih podatkov in varstvu zasebnosti na področju elektronskih komunikacij (Direktiva o zasebnosti in elektronskih komunikacijah), UL L 201, 31.7.2002, str. 37.

(18) ESMA je neodvisen organ EU, ki prispeva k ohranjanju stabilnosti finančnega sistema Evropske unije, tako da zagotavlja celovitost, preglednost, učinkovitost in urejeno delovanje trgov vrednostnih papirjev ter krepi zaščito vlagateljev.

(19) Glej člen 6(1)(b) Direktive 95/46/ES in člen 4(1)(b) Uredbe (ES) št. 45/2001.

(20) ENVP za ponazoritev tu omenja sodbo Evropskega sodišča za človekove pravice v zadevi S in Marper proti Združenemu kraljestvu (2008) (4. decembra 2008) (vlogi št. 30562/04 in 30566/04), v skladu s katero je dolgo zadrževanje podatkov o osebah, ki niso bile obsojene zaradi kaznivega dejanja, pomenilo kršitev njihove pravice do zasebnosti v skladu s členom 8 Evropske konvencije o človekovih pravicah.

(21) Za primere, kadar se sum izkaže za utemeljenega in privede do uspešne preiskave, je treba v predlogu določiti posebno – ne predolgo – obdobje zadrževanja po koncu preiskave.

(22) Te informacije je treba posredovati tudi zadevnemu posamezniku, na katerega se podatki nanašajo.

(23) Treba je opozoriti, da je obdelava podatkov pri nacionalnih organih lahko tudi predmet predhodnega preverjanja s strani nacionalnih ali regionalnih organov za varstvo podatkov v skladu z nacionalnimi zakoni o varstvu podatkov, sprejetimi v skladu s členom 20 Direktive 95/46/ES.