EVROPSKA KOMISIJA Bruselj, 24.7.2019 COM(2019) 374 final SPOROČILO KOMISIJE EVROPSKEMU PARLAMENTU IN SVETU Pravila o varstvu podatkov za utrjevanje zaupanja v EU in zunaj nje – ocena











Sporočilo Komisije Evropskemu parlamentu in Svetu Pravila o varstvu podatkov za utrjevanje zaupanja v EU in zunaj nje – ocena I.Uvod Splošna uredba o varstvu podatkov (v nadaljnjem besedilu: Uredba) se v Evropski uniji uporablja že več kot eno leto ter je središče usklajenega in moderniziranega področja varstva podatkov EU, ki vključuje tudi direktivo o varstvu podatkov pri preprečevanju, odkrivanju in preiskovanju kaznivih dejanj in uredbo o varstvu podatkov za institucije in organe EU. Ta okvir naj bi dopolnila uredba o zasebnosti in elektronskih komunikacijah, ki je trenutno v zakonodajnem postopku. Stroga pravila o varstvu podatkov so bistvena za zagotavljanje temeljne pravice do varstva osebnih podatkov. So osrednjega pomena za demokratično družbo in pomemben sestavni del vse bolj podatkovno vodenega gospodarstva. EU si prizadeva izkoristiti številne priložnosti, ki jih ponuja digitalizacija v smislu storitev, delovnih mest in inovacij, hkrati pa obravnavati izzive, ki pri tem nastajajo. Kraja identitete, razkritje občutljivih podatkov, diskriminacija posameznikov, inherentna pristranskost, izmenjava nezakonitih vsebin in razvoj vsiljivih nadzornih orodij je le nekaj primerov vprašanj, ki so vedno bolj prisotna v javni razpravi, iz katere je razvidno, da ljudje pričakujejo, da bodo njihovi podatki zaščiteni. Varstvo podatkov je postalo pravi globalni pojav, saj ljudje po celem svetu vse bolj cenijo varnost in varstvo svojih podatkov. Številne države so sprejele ali trenutno sprejemajo celovita pravila o varstvu podatkov na podlagi načel, podobnih tistim iz Uredbe, zaradi česar je prišlo do globalne konvergence pravil o varstvu podatkov. S tem so se pojavile nove priložnosti za olajšanje pretoka podatkov med komercialnimi operaterji ali javnimi organi, hkrati pa se izboljšuje raven varstva osebnih podatkov v EU in po vsem svetu. Varstvo podatkov se obravnava bolj resno kot kdaj koli prej in ima velik vpliv na različne deležnike in sektorje. Komisija je odločena poskrbeti, da bo EU uspešno izvajala novo ureditev varstva podatkov in bo podprla vse vidike te ureditve, da se bo ta začela v celoti izvajati. Komisija v tem sporočilu povzema dosežene rezultate v zvezi z doslednim izvajanjem pravil o varstvu podatkov v EU, delovanjem novega sistema upravljanja, vplivom na državljane in podjetja ter prizadevanji EU za spodbujanje konvergence ureditev varstva podatkov na svetovni ravni. To sporočilo je nadaljevanje sporočila Komisije o uporabi Uredbe iz januarja 2018 in temelji na delu večdeležniške skupine, zlasti o njenem prispevku k enoletnem pregledu stanja, pa tudi razpravah, ki so potekale ob pregledu stanja, ki ga je Komisija organizirala 13. junija 2019. Hkrati je tudi prispevek k pregledu, ki ga Komisija namerava izvesti do maja 2020. Zakonodajni okvir za varstvo podatkov v EU je temelj evropskega pristopa k inovacijam, osredotočenim na človeka. Postaja del regulativnega okvira za vse več politik, vključno z zdravstvom in raziskavami, umetno inteligenco, prometom, energijo, konkurenco ter preprečevanjem, odkrivanjem in preiskovanjem kaznivih dejanj. Komisija je dosledno poudarjala pomen ustreznega izvajanja in uveljavljanja novih pravil o varstvu podatkov, kot je poudarjeno v njenem sporočilu o uporabi Uredbe, izdanem januarja 2018, in njenih smernicah o uporabi osebnih podatkov v volilnem kontekstu, ki so bile objavljene septembra 2018. Do tega sporočila je bil pri doseganju tega cilja dosežen velik napredek, zagotovo pa je potrebnega več dela, da bi se Uredba lahko začela v celoti izvajati. II.Ena celina, en zakon: okvir varstva podatkov je v državah članicah vzpostavljen Eden od ključnih ciljev Uredbe je bil odpraviti razdrobljenost zaradi 28 različnih nacionalnih zakonov, ki so obstajali na podlagi prejšnje direktive o varstvu podatkov, in zagotoviti pravno varnost za posameznike in podjetja po vsej EU. Ta cilj je bil večinoma dosežen.



Harmonizacija pravnega okvira Čeprav se Uredba neposredno uporablja v državah članicah, jih tudi zavezuje, da na nacionalni ravni sprejmejo številne pravne ukrepe, zlasti za vzpostavitev in dodelitev pristojnosti nacionalnim organom za varstvo podatkov, določijo pravila o posebnih vprašanjih, kot so usklajevanje varstva osebnih podatkov s svobodo izražanja in obveščanja, ter spreminjajo ali razveljavljajo sektorsko zakonodajo, ki se nanaša na varstvo podatkov. V času tega sporočila so vse države članice razen treh posodobile svojo nacionalno zakonodajo o varstvu podatkov. Na nacionalni ravni še potekajo prizadevanja v zvezi s prilagajanjem sektorskih zakonov. Po vključitvi Uredbe v Sporazum o Evropskem gospodarskem prostoru je bila njena uporaba razširjena na Norveško, Islandijo in Lihtenštajn, ki so tudi sprejele svojo nacionalno zakonodajo o varstvu podatkov. Vendar deležniki pozivajo k še višji stopnji harmonizacije na nekaterih področjih. Uredba državam članicam omogoča, da podrobneje opredelijo njeno uporabo na nekaterih področjih, kot sta starostna meja privolitve s strani otrok za uporabo spletnih storitev ali obdelava osebnih podatkov na področjih, kot sta medicina in javno zdravje. V tem primeru ukrepanje držav članic temelji na dveh elementih: I)vsi zakoni, ki zadevajo nacionalno specifikacijo, morajo izpolnjevati zahteve iz Listine o temeljnih pravicah (in ne smejo presegati omejitev iz Uredbe, ki temelji na Listini); II)ne sme posegati v prosti pretok osebnih podatkov v EU. V nekaterih primerih so države članice poleg Uredbe uvedle nacionalne zahteve, zlasti s številnimi sektorskimi zakoni, kar povzroča razdrobljenost in nepotrebna bremena. Primer dodatne zahteve, ki so jo poleg Uredbe uvedle države članice, je obveznost iz nemške zakonodaje, da se imenuje pooblaščena oseba za varstvo podatkov v podjetjih z 20 ali več zaposlenimi, ki so stalno vključeni v avtomatizirano obdelavo osebnih podatkov. Nadaljnja prizadevanja za večjo usklajenost Komisija se udeležuje dvostranskih dialogov z nacionalnimi organi, v okviru katerih namenja posebno pozornost nacionalnim ukrepom v zvezi z:

·dejansko neodvisnostjo organov za varstvo podatkov, vključno z ustreznimi finančnimi, človeškimi in tehničnimi viri; ·tem, kako zakoni na nacionalni ravni omejujejo pravice posameznikov, na katere se nanašajo osebni podatki; ·dejstvom, da nacionalna zakonodaja ne bi smela uvajati zahtev, ki presegajo Uredbo, kadar niso predvidene druge specifikacije, kot so dodatni pogoji za obdelavo; ·izpolnitvijo obveznosti uskladitve pravice do varstva osebnih podatkov s svobodo izražanja in obveščanja, pri čemer je treba upoštevati, da se ta obveznost ne sme zlorabiti za zastraševanje novinarjev. Delo organov za varstvo podatkov, ki sodelujejo v okviru Evropskega odbora za varstvo podatkov (v nadaljnjem besedilu: odbor), je ključno gonilo za dosledno uporabo novih pravil, saj izvršilni ukrepi, ki vplivajo na več držav članic, potekajo v okviru mehanizma za sodelovanje in skladnost znotraj odbora, smernice, ki jih sprejme odbor, pa prispevajo k harmoniziranemu razumevanju Uredbe. Kljub temu pa deležniki pričakujejo, da bodo organi za varstvo podatkov na tem področju posegli dlje. Delo nacionalnih sodišč in Sodišča Evropske unije tudi prispeva k dosledni razlagi pravil o varstvu podatkov. Nacionalna sodišča so pred kratkim izdala sodbe, s katerimi se razveljavijo določbe v nacionalnih zakonih, ki odstopajo od Uredbe. III.Novi sistem upravljanja postaja vedno bolj izoblikovan Z Uredbo je bila vzpostavljena nova struktura upravljanja, ki je v središče postavila neodvisne nacionalne organe za varstvo podatkov, ki izvršujejo Uredbo in so prva kontaktna točka za deležnike. Čeprav je večina organov za varstvo podatkov v preteklem letu prejela več sredstev, so med državami članicami še vedno velike razlike. Organi za varstvo podatkov uporabljajo svoja nova pooblastila Uredba je organom za varstvo podatkov dodelila večja izvršilna pooblastila. Nacionalni organi za varstvo podatkov so kljub pomislekom nekaterih deležnikov pred majem 2018 sprejeli uravnotežen pristop v zvezi z izvršilnimi pooblastili. Osredotočili so se na dialog in ne na sankcije, zlasti z najmanjšimi subjekti, katerih osnovna dejavnost ni obdelava osebnih podatkov. Poleg tega so učinkovito uporabili svoje nove pristojnosti, ko je bilo to potrebno, vključno z uvedbo preiskav na področju družbenih medijev in naložitvijo upravnih glob v razponu od nekaj tisoč evrov do več milijonov evrov, odvisno od resnosti kršitev pravil o varstvu podatkov. Primeri glob, ki so jih naložili organi za varstvo podatkov: ·5 000 EUR za kavarno s športnimi stavami v Avstriji, za nezakonit video nadzor; ·220 000 EUR za podjetje za posredovanje podatkov na Poljskem, ker ni obvestilo posameznikov, da se njihovi podatki obdelujejo; ·250 000 EUR je bilo naloženo španski nogometni ligi LaLiga zaradi pomanjkanja preglednosti pri načrtovanju aplikacije za pametne telefone; ·50 milijonov EUR za Google v Franciji zaradi pogojev za pridobitev soglasja uporabnikov. Pri preiskovanju je bistvenega pomena, da organi za varstvo podatkov zberejo ustrezne dokaze, spoštujejo vse postopkovne korake v skladu z nacionalno zakonodajo in zagotovijo ustrezen postopek v pogosto zapletenih zadevah. Za to sta potrebna čas in ogromno dela, kar pojasnjuje, zakaj je večina preiskav, začetih po začetku uporabe Uredbe, še vedno v teku. Tako se uspešnost Uredbe ne bi smela meriti s številom naloženih glob, temveč s spremembami v kulturi in vedenju vseh udeležencev. V zvezi s tem imajo organi za varstvo podatkov na voljo druga orodja, kot je uvedba začasne ali dokončne omejitve obdelave, vključno s prepovedjo ali odreditvijo začasnega preklica pretoka podatkov prejemniku v tretji državi. Nekateri organi za varstvo podatkov so vzpostavili nova orodja, kot so telefonske številke za pomoč in nabor orodij za podjetja, medtem ko so drugi razvili nove pristope, kot so regulativni peskovniki za pomoč podjetjem pri njihovih prizadevanjih za skladnost. Vendar številni deležniki še vedno menijo, da zlasti mala in srednje velika podjetja v nekaterih državah članicah niso prejela dovolj podpore in informacij. Komisija v pomoč pri reševanju tega položaja organom za varstvo podatkov omogoča, da stopijo v stik z deležniki, zlasti posamezniki ter malimi in srednjimi podjetji.



Evropski odbor za varstvo podatkov je operativen

Organi za varstvo podatkov so okrepili delo v Evropskem odboru za varstvo podatkov. To intenzivno delo je odboru omogočilo sprejetje približno 20 smernic o ključnih vidikih Uredbe. Prihodnja področja dela odbora so predstavljena v dvoletnem programu, kot zahteva Uredba. V čezmejnih zadevah vsak organ za varstvo podatkov ni več zgolj nacionalni organ, temveč je del pravega vseevropskega postopka z vsemi fazami, od preiskave do odločitve. Takšno tesno sodelovanje je postalo vsakodnevna praksa: do konca junija 2019 je bilo s pomočjo mehanizma sodelovanja obravnavanih 516 čezmejnih zadev. Komisija dejavno prispeva k delu odbora ter spodbuja črko in duha Uredbe ter opozarja na splošna načela prava EU. Oblikovanje kulture varstva podatkov v EU Novi sistem upravljanja še vedno ni v celoti izkoristil svojega potenciala. Pomembno je, da odbor še poenostavi postopek odločanja in razvije skupno kulturo varstva podatkov EU med svojimi člani. Možnosti organov za varstvo podatkov, da združijo svoja prizadevanja v zvezi z vprašanji, ki zadevajo več kot eno državo članico, na primer za izvajanje skupnih preiskav in izvršilnih ukrepov, lahko prispevajo k takemu cilju, hkrati pa blažijo učinek omejenih virov. Številni deležniki želijo tesnejše sodelovanje z nacionalnimi organi za varstvo podatkov in enoten pristop z njihove strani. Od organov za varstvo podatkov zahtevajo tudi večjo doslednost pri svetovanju in popolno uskladitev nacionalnih smernic z navodili odbora. Nekateri deležniki pričakujejo tudi nadaljnje pojasnitve ključnih konceptov Uredbe, kot je pristop na podlagi tveganja, pri katerem je treba upoštevati pomisleke zlasti malih in srednjih podjetij. V tem okviru je bistvenega pomena, da se lahko deležniki bolje vključijo v delo odbora. Zato Komisija podpira sistematično javno posvetovanje, ki ga je v zvezi s smernicami organiziral odbor. To prakso, skupaj z organizacijo delavnic z deležniki o ciljno usmerjenih temah v zgodnji fazi razmisleka, bi bilo treba nadaljevati in dopolniti, da se zagotovi preglednost, vključenost in ustreznost dela odbora. IV.Posamezniki uveljavljajo svoje pravice, vendar bi se moralo ozaveščanje nadaljevati Še en ključni cilj uredbe je bil okrepiti pravice posameznikov. Združenja za civilne pravice in organizacije potrošnikov na splošno menijo, da pomeni Uredba pomemben prispevek k pravični digitalni družbi, ki temelji na medsebojnem zaupanju. Večja ozaveščenost o pravicah glede varstva podatkov. Posamezniki v EU se vedno bolj zavedajo pravil o varstvu podatkov in svojih pravic: 67 % vprašanih, ki so sodelovali v raziskavi Eurobarometer iz maja 2019, je seznanjenih s to uredbo, 57 % pa jih je vedelo, da obstaja nacionalni organ za varstvo podatkov, na katerega se lahko obrnejo za informacije ali pri njem vložijo pritožbe. 73 % jih je slišalo za vsaj eno od pravic, ki jih podeljuje Uredba. Vendar pa zelo veliko posameznikov v EU še vedno ne ukrepa aktivno, da bi zaščitili svoje osebne podatke na spletu. 44 % posameznikov na primer ni spremenilo privzetih nastavitev zasebnosti na družbenih omrežjih. Posamezniki vse pogosteje uveljavljajo svoje pravice To povečanje ozaveščenosti o pravicah je posameznike spodbudilo, da intenzivneje uveljavljajo svoje pravice z uporabo vprašalnikov za potrošnike in s stikom z organi za varstvo podatkov z namenom zaprositi za informacije ali vložiti pritožbo. Tudi podjetja poročajo, da se je število zahtev za dostop do osebnih podatkov povečalo v več sektorjih, na primer v bančništvu in telekomunikacijah. Posamezniki so tudi pogosteje umaknili svojo privolitev in uveljavljali svojo pravico do ugovora na komercialna sporočila. Kljub temu so nekateri gospodarski subjekti poročali o napakah posameznikov glede razumevanja pravil o varstvu podatkov, kot je prepričanje, da bi morali posamezniki privoliti v vsako obdelavo ali da je pravica do izbrisa absolutna (subjekti morajo včasih hraniti osebne podatke zaradi pravnih obveznosti). Organizacije civilne družbe pa se pritožujejo zaradi velikih zamud nekaterih podjetij in organov za varstvo podatkov pri odgovarjanju na vprašanja. Pomembno je, da so nevladne organizacije po pooblastilu posameznikov sprožile več zastopniških tožb in pri tem uporabile novo možnost iz Uredbe. Uporaba zastopniških tožb bi bila lažja, če bi več držav članic uporabilo možnost iz Uredbe, da se nevladnim organizacijam omogoči izvajanje ukrepov brez pooblastila. Potreba po nadaljevanju prizadevanj za ozaveščanje Zato je treba prizadevanja za dialog in ozaveščanje, ki se osredotočajo na splošno javnost, nadaljevati na nacionalni ravni in na ravni EU. V ta namen je Komisija julija 2019 začela izvajati novo spletno kampanjo, da bi posameznike spodbudila k branju izjav o varstvu osebnih podatkov in izboljšanju njihovih nastavitev zasebnosti. V.Podjetja prilagajajo svoje prakse Namen Uredbe je podpreti podjetja v digitalnem gospodarstvu z rešitvami, ki bodo primerne tudi v prihodnosti. Podjetja so na splošno zadovoljna z načelom odgovornosti v Uredbi, ki odpravlja prejšnji obremenjujoči predhodni pristop (odprava zahtev glede obveščanja, nadgradljivost obveznosti in prožnost načela vgrajenega in privzetega varstva podatkov, ki omogoča konkurenco na podlagi rešitev, ki varujejo zasebnost). Hkrati nekatera podjetja od organov za varstvo podatkov zahtevajo večjo pravno varnost in dodatne ali jasnejše smernice . Dobro upravljanje podatkov

Čeprav podjetja poročajo o številnih izzivih pri prilagajanju novim pravilom, pa mnoga druga poudarjajo, da je bila to tudi priložnost, da so na vprašanje varstva podatkov opozorila odbore podjetij, uredila svoje poslovanje v zvezi s podatki, s katerimi razpolagajo, izboljšala varnost, se bolje pripravila na incidente, zmanjšala izpostavljenost nepotrebnim tveganjem ter vzpostavila večje zaupanje s strankami in trgovinskimi partnerji. Kar zadeva preglednost, podjetja in organizacije civilne družbe omenjajo občutljivo ravnovesje, ki ga je treba doseči med zagotavljanjem vseh potrebnih informacij posameznikom v skladu z Uredbo ter uporabo jasnega in preprostega jezika, v obliki, ki je posameznikom razumljiva. Gospodarski subjekti razvijajo inovativne rešitve v tej smeri. Na splošno so podjetja navedla, da so lahko uresničila nove pravice posameznikov, na katere se nanašajo osebni podatki, čeprav so včasih težko izpolnila roke zaradi povečanega števila zahtev in njihovega širšega značaja ali zaradi preverjanja identitete osebe, ki je vložila zahtevo.



Vpliv na inovacije Uredba ne le dopušča, temveč spodbuja razvoj novih tehnologij, hkrati pa spoštuje temeljno pravico do varstva osebnih podatkov. To velja za področja, kot je na primer umetna inteligenca. Podjetja so začela pripravljati svojo ponudbo novih storitev, ki bodo varovale zasebnost. Na primer iskalniki, ki ne sledijo uporabnikom ali ki ne uporabljajo vedenjskega oglaševanja, v nekaterih državah članicah postopoma pridobivajo tržne deleže. Druga podjetja razvijajo storitve, ki temeljijo na novih pravicah, podeljenih posameznikom, kot je na primer prenosljivost njihovih osebnih podatkov. Vedno večje število podjetij spodbuja spoštovanje osebnih podatkov kot konkurenčno prednost in prodajno točko. Ta razvoj ni omejen le na EU, temveč se nanaša tudi na zelo inovativna tuja gospodarstva. Poseben položaj mikropodjetij in malih podjetij z „nizkim tveganjem“ Čeprav se razmere med državami članicami razlikujejo, imajo deležniki največ vprašanj o uporabi Uredbe v zvezi z mikropodjetji in malimi podjetji, pri katerih obdelava podatkov ni osnovna poslovna dejavnost. Čeprav se zdi, da so ta vprašanja delno posledica pomanjkanja ozaveščenosti o pravilih o varstvu podatkov, se njihovi pomisleki včasih še stopnjujejo s kampanjami svetovalnih podjetij, ki zagotavljajo plačljive nasvete, širjenjem napačnih informacij, na primer o potrebi po sistematičnem pridobivanju soglasja posameznikov, in dodatnimi zahtevami na nacionalni ravni. V zvezi s tem mikropodjetja in mala podjetja zahtevajo smernice, ki bi bile prilagojene njihovim posebnim položajem in bi zagotavljale zelo praktične informacije. Nekateri organi za varstvo podatkov so to že storili na nacionalni ravni. Da bi dopolnila nacionalne pobude, je Komisija izdala informativno gradivo, ki je s prikazom niza praktičnih korakov tem podjetjem v pomoč pri izpolnjevanju novih pravil. Uporaba zbirke orodij v okviru Uredbe Uredba določa orodja za dokazovanje skladnosti, kot so standardne pogodbene klavzule, kodeksi ravnanja in novi mehanizmi certificiranja. Standardne pogodbene klavzule so vzorčne klavzule, ki jih je mogoče prostovoljno vključiti v pogodbo med na primer upravljavcem podatkov in obdelovalcem podatkov in ki določajo obveznosti pogodbenih strank v skladu z Uredbo. Uredba razširja možnosti uporabe standardnih pogodbenih klavzul za mednarodne prenose in znotraj EU. Na področju mednarodnih prenosov njihova široka uporaba izkazuje, da so zelo koristna za podjetja pri njihovih prizadevanjih za doseganje skladnosti in da koristijo zlasti podjetjem, ki nimajo sredstev, da bi se o posameznih pogodbah pogajala z vsakim izvajalcem obdelave podatkov. Številni sektorji prav tako menijo, da je sprejetje standardnih pogodbenih klavzul koristen način za spodbujanje usklajevanja, zlasti kadar jih sprejme Komisija. Komisija bo sodelovala z deležniki, da bi izkoristila možnosti, ki jih ponuja Uredba, in posodobila obstoječe klavzule. Spoštovanje kodeksov ravnanja je še eno operativno in praktično orodje, ki je industriji na voljo za lažje dokazovanje skladnosti z Uredbo . Te kodekse bi morala oblikovati trgovinska združenja ali organi, ki zastopajo kategorije upravljavcev in obdelovalcev, opisovati pa bi morali, kako se lahko pravila o varstvu podatkov izvajajo v določenem sektorju. Ker obveznosti umerjajo s tveganji, so ti kodeksi lahko zelo koristni in stroškovno učinkoviti tudi za mala in srednje velika podjetja pri izpolnjevanju obveznosti. Tudi certificiranje je lahko uporaben instrument za dokazovanje skladnosti s posebnimi zahtevami iz Uredbe. To lahko poveča pravno varnost za podjetja in Uredbo promovira na svetovni ravni. Smernice za certificiranje in akreditacijo, ki jih je nedavno sprejel Evropski odbor za varstvo podatkov, bodo omogočile razvoj sistemov certificiranja v EU. Komisija bo spremljala ta razvoj in po potrebi uporabila pooblastilo iz Uredbe za opredelitev zahtev za certificiranje. Komisija lahko organom EU za standardizacijo izda tudi zahtevo za standardizacijo v zvezi z elementi, ki so pomembni za Uredbo. VI.Navzgor usmerjena konvergenca napreduje na mednarodni ravni Zahteva po varstvu osebnih podatkov ni omejena na EU. Kot kaže nedavna svetovna raziskava o varnosti na internetu, se po svetu širi pomanjkanje zaupanja, zaradi česar ljudje spreminjajo način vedenja na spletu. Vse več podjetij te pomisleke obravnava tako, da pravice, ki jih podeljuje Uredba, prostovoljno razširja na svoje stranke zunaj EU. Ker se države po svetu vse bolj spopadajo s podobnimi izzivi, sprejemajo nova pravila o varstvu podatkov ali posodabljajo že obstoječa. Ti zakoni imajo pogosto veliko značilnosti, ki so skupne z ureditvijo EU za varstvo podatkov, npr. krovna zakonodaja namesto sektorskih pravil, izvršljive individualne pravice in neodvisen nadzorni organ. Ta trend je resnično globalen in sega od Južne Koreje do Brazilije, od Čila do Tajske ter od Indije do Indonezije. Vse bolj splošno sodelovanje v „Konvenciji št. 108“ Sveta Evrope – nedavno posodobljeni z znatnim prispevkom Komisije – je še en jasen znak tega trenda navzgor usmerjene konvergence. Spodbujanje varnega in prostega pretoka podatkov s sklepi o ustreznosti in drugače Ta razvoj konvergence ponuja nove priložnosti za olajšanje pretoka podatkov in s tem trgovine ter sodelovanja med javnimi organi, hkrati pa izboljšuje raven varstva podatkov posameznikov v EU, ko se ti prenašajo v tujino.

Komisija je v okviru izvajanja strategije iz sporočila o izmenjavi in varovanju osebnih podatkov v globaliziranem svetu iz leta 2017 okrepila sodelovanje s tretjimi državami in drugimi mednarodnimi partnerji pri nadgrajevanju in nadaljnjem razvoju elementov konvergence med sistemi varstva zasebnosti. To je vključevalo preučitev možnosti sprejetja ugotovitev o ustreznosti z izbranimi tretjimi državami. Ta prizadevanja so prinesla pomembne rezultate, zlasti z začetkom veljavnosti sporazuma o vzajemni ustreznosti EU-Japonska, ki je začel veljati februarja 2019 in ki je ustvaril največje območje prostega in varnega pretoka podatkov na svetu. Pogajanja o ustreznosti z Južno Korejo so v napredni fazi, trenutno pa poteka raziskovalno delo, da bi se začela pogajanja o ustreznosti z več latinskoameriškimi državami, kot sta Čile in Brazilija, odvisno zaključka tekočih zakonodajnih postopkov. Razvoj dogodkov je obetaven tudi v nekaterih delih Azije, kot so Indija, Indonezija in Tajvan, pa tudi v evropskem vzhodnem in južnem sosedstvu, kar bi lahko odprlo vrata prihodnjim sklepom o ustreznosti. Hkrati se Komisija veseli dejstva, da so druge države, ki so vzpostavile instrumente prenosa, podobne ustreznosti iz Uredbe, priznale, da EU in države, ki jih EU priznava kot „ustrezne“, zagotavljajo zahtevano raven zaščite. S tem bi lahko ustvarili mrežo držav, v katerih bi se podatki lahko prosto pretakali. Poleg tega poteka intenzivno delo z drugimi tretjimi državami, kot so Kanada, Nova Zelandija, Argentina in Izrael, da se v okviru Uredbe zagotovi kontinuiteta o sklepih o ustreznosti, sprejetih na podlagi direktive o varstvu podatkov iz leta 1995. Izkazalo se je tudi, da je zasebnostni ščit EU-ZDA koristno orodje za zagotavljanje čezatlantskega pretoka podatkov na podlagi visoke ravni zaščite podatkov ob sodelovanju več kot 4 700 podjetij. Njegov letni pregled zagotavlja redno preverjanje pravilnega delovanja okvira in pravočasno reševanje novih vprašanj. Ker ni enotne rešitve za prenos podatkov, Komisija sodeluje tudi z deležniki in odborom, da se izkoristi celoten potencial nabora orodij Uredbe za mednarodni prenos podatkov. To zadeva instrumente, kot so standardne pogodbene klavzule, razvoj sistemov certificiranja, kodeksi ravnanja ali upravni dogovori za javne organe. V zvezi s tem se Komisija zanima za izmenjavo izkušenj in dobrih praks z drugimi sistemi, ki so pridobili posebno strokovno znanje o nekaterih od teh orodij. Komisija bo razmislila o uporabi pooblastil, dodeljenih na podlagi Uredbe, v zvezi z navedenimi orodji za prenos, zlasti v zvezi s standardnimi pogodbenimi klavzulami. Poleg zgolj dvostranskih orodij bi bilo smiselno preučiti tudi, ali bi lahko podobno misleče države v času, ko postajajo podatkovni tokovi vse pomembnejši sestavni del trgovine, komunikacij in družbenih interakcij, vzpostavile večnacionalni okvir na tem področju. Tak instrument bi omogočil prosti pretok podatkov med pogodbenicami, hkrati pa bi zagotavljal zahtevano raven varstva na podlagi skupnih vrednot in konvergenčnih sistemov. Razvijal bi se lahko na primer na podlagi posodobljene Konvencije št. 108 ali na podlagi pobude „prosti pretok podatkov z zaupanjem“, ki jo je na začetku tega leta sprožila Japonska. Razvoj novih sinergij med trgovinskimi instrumenti in instrumenti za varstvo podatkov Komisija je za spodbujanje konvergence standardov za varstvo podatkov na mednarodni ravni tudi odločena, da se bo spopadla z digitalnim protekcionizmom. V ta namen je pripravila posebne določbe o pretoku podatkov in varstvu podatkov v trgovinskih sporazumih, ki jih sistematično predlaga v dvostranskih in večstranskih pogajanjih, kot so sedanje razprave STO o e-trgovanju. Te horizontalne določbe prepovedujejo izključno protekcionistične ukrepe, kot so zahteve za prisilno lokalizacijo podatkov, hkrati pa ohranjajo regulativno avtonomijo pogodbenic, da zaščitijo temeljne pravice do varstva podatkov. Čeprav morajo dialogi o varstvu podatkov in trgovinskih pogajanjih potekati ločeno, se lahko medsebojno dopolnjujejo: sporazum o vzajemni ustreznosti med EU in Japonsko je najboljši primer takih sinergij, ki dodatno olajšujejo komercialne izmenjave in tako povečujejo koristi Sporazuma o gospodarskem partnerstvu z Japonsko. Dejansko ta vrsta konvergence, ki temelji na skupnih vrednotah in visokih standardih, podpira pa jo učinkovito izvrševanje, zagotavlja najmočnejše temelje za izmenjavo osebnih podatkov, kar vedno bolj priznavajo naši mednarodni partnerji. Glede na to, da podjetja vse pogosteje delujejo čezmejno in dajejo prednost podobnim pravilom pri vseh svojih poslovnih dejavnostih po vsem svetu, taka konvergenca prispeva k ustvarjanju okolja, ki spodbuja neposredne naložbe, olajšuje trgovino in izboljšuje zaupanje med trgovinskimi partnerji. Olajševanje izmenjave informacij za boj proti kriminalu in terorizmu na podlagi ustreznih zaščitnih ukrepov Večja združljivost med ureditvami za varstvo podatkov lahko tudi bistveno olajša nujno potrebne izmenjave informacij med organi EU ter tujimi regulativnimi, policijskimi in pravosodnimi organi ter na ta način prispeva k učinkovitejšemu in hitremu sodelovanju na področju preprečevanja, odkrivanja in preiskovanja kaznivih dejanj. Zato namerava Komisija za poglobitev sodelovanja s ključnimi partnerji v boju proti kriminalu in terorizmu uporabiti možnost sprejetja sklepov o ustreznosti v skladu z direktivo o varstvu podatkov pri preprečevanju, odkrivanju in preiskovanju kaznivih dejanj. Poleg tega se lahko krovni sporazum med EU in ZDA, ki je začel veljati februarja 2017, uporabi kot model za podobne sporazume z drugimi pomembnimi partnerji na področju varnosti. Druga primera, ki kažeta na pomen visokih standardov varstva podatkov kot podlage za stabilno sodelovanje s tretjimi državami na področju preprečevanja, odkrivanja in preiskovanja kaznivih dejanj, sta prenos evidenc podatkov o potnikih (PNR) in izmenjava operativnih informacij med Europolom in pomembnimi mednarodnimi partnerji. V zvezi s tem so trenutno v teku ali tik pred začetkom pogajanja o mednarodnih sporazumih z več državami južnega sosedstva. Trdni zaščitni ukrepi za varstvo podatkov bodo prav tako bistven element vsakega prihodnjega sporazuma o čezmejnem dostopu do elektronskih dokazov v kazenskih preiskavah, tako na dvostranski ravni (Sporazum EU-ZDA) kot na večstranski ravni (Drugi dodatni protokol h Konvenciji Sveta Evrope o kibernetski kriminaliteti (Budimpeški konvenciji)). Spodbujanje sodelovanja med nadzornimi organi, pristojnimi za varstvo podatkov V času, ko lahko vprašanja v zvezi s spoštovanjem zasebnosti ali incidenti v zvezi z varnostjo vplivajo hkrati na veliko število posameznikov v več jurisdikcijah, lahko tesnejše sodelovanje med nadzornimi organi na mednarodni ravni prispeva k učinkovitejšemu varstvu pravic posameznikov in stabilnejšemu okolju za nosilce dejavnosti. Komisija si bo v tem okviru in v tesnem stiku z odborom prizadevala za lajšanje sodelovanja pri izvrševanju in medsebojne pomoči med EU in tujimi nadzornimi organi, vključno z uporabo novih pristojnosti, ki jih na tem področju zagotavlja Uredba. To bi lahko zajemalo različne oblike sodelovanja pri oblikovanju skupnih razlagalnih ali praktičnih orodij za izmenjavo informacij o tekočih preiskavah. Komisija namerava okrepiti tudi dialog z regionalnimi organizacijami in mrežami, kot so Združenje držav jugovzhodne Azije (ASEAN), Afriška unija, forum organov Azijsko-pacifiške skupine za varstvo zasebnosti (APPA) ali Iberoameriška mreža za varstvo podatkov, ki imajo vse pomembnejšo vlogo pri oblikovanju skupnih standardov varstva podatkov, spodbujanju izmenjave dobrih praks in spodbujanju sodelovanja med nadzornimi organi. Sodelovala bo tudi z Organizacijo za gospodarsko sodelovanje in razvoj ter Organizacijo za gospodarsko sodelovanje v Azijsko-pacifiški regiji, da bi se dosegla konvergenca in s tem visoka raven varstva podatkov. VII.Zakonodaja o varstvu podatkov je sestavni del številnih politik Varstvo osebnih podatkov je zagotovljeno in vključeno v več politik Unije. Telekomunikacijske in elektronske komunikacijske storitve Komisija je januarja 2017 sprejela predlog uredbe o zasebnosti in elektronskih komunikacijah. Namen predloga je zaščititi zaupnost komunikacij, kot je določeno v Listini o temeljnih pravicah, pa tudi varovati osebne podatke, ki so lahko del komunikacijske in terminalske opreme končnih uporabnikov. Predlagana uredba o zasebnosti in elektronskih komunikacijah podrobno opredeljuje in dopolnjuje Uredbo, saj določa posebna pravila za navedene namene. Posodablja sedanja pravila EU o zasebnosti in elektronskih komunikacijah, ki odražajo tehnološki in pravni razvoj. Povečuje zasebnost posameznikov z razširitvijo področja uporabe novih pravil tudi na ponudnike povrhnjih komunikacijskih storitev (OTT) in tako ustvarja enake pogoje za vse elektronske komunikacijske storitve. Čeprav je Evropski parlament oktobra 2017 sprejel mandat za začetek trialogov, Svet še ni sprejel splošnega pristopa. Komisija ostaja v celoti zavezana uredbi o zasebnosti in elektronskih komunikacijah in bo sozakonodajalca podprla pri njunih prizadevanjih za hitro sprejetje predlagane uredbe.

Zdravstvo in raziskave Lajšanje izmenjave zdravstvenih podatkov, ki so na podlagi Uredbe občutljivi podatki, med državami članicami postaja vse pomembnejše na področju javnega zdravja iz razlogov splošnega interesa. Ti razlogi vključujejo zagotavljanje zdravstvenega varstva ali zdravljenje, zaščito pred resno čezmejno ogroženostjo zdravja ter zagotavljanje visokih standardov kakovosti in varnosti zdravstvenega varstva ter zdravil ali medicinskih pripomočkov. Uredba določa pravila, ki zagotavljajo zakonito in zanesljivo obdelavo ter izmenjavo zdravstvenih podatkov po EU. Ta pravila se uporabljajo tudi za dostop tretjih oseb do zdravstvenih podatkov bolnikov, vključno do podatkov v povzetkih o bolnikih, e-receptov, dolgoročno pa tudi obsežnih elektronskih zdravstvenih kartotek, ter za njihovo uporabo za namene znanstvenih raziskav. Za posebno področje kliničnih preskušanj je Komisija pripravila tudi posebna vprašanja in odgovore v zvezi z medsebojnim vplivanjem med uredbo o kliničnem preskušanju in Splošno uredbo o varstvu podatkov. Umetna inteligenca Ker umetna inteligenca pridobiva strateški pomen, je bistveno oblikovati globalna pravila za njen razvoj in uporabo. Komisija se je pri spodbujanju razvoja in uporabe umetne inteligence odločila za pristop, osredotočen na človeka, kar pomeni, da morajo biti aplikacije umetne inteligence v skladu s temeljnimi pravicami. V zvezi s tem pravila, določena v Uredbi, zagotavljajo splošen okvir in vsebujejo posebne obveznosti in pravice, ki so še posebej pomembne za obdelavo osebnih podatkov na področju umetne inteligence. Uredba na primer vključuje pravico ne biti izpostavljen zgolj avtomatiziranemu odločanju, razen v nekaterih primerih. Vključuje tudi posebne zahteve glede preglednosti pri uporabi avtomatiziranega odločanja, in sicer obveznost obveščanja o obstoju takih odločitev ter zagotavljanje smiselnih informacij in pojasnitev njihovega pomena ter predvidenih posledic obdelave za posameznika. Ta temeljna načela Uredbe so kot posebej pomembna za obravnavanje izzivov in priložnosti, ki jih prinaša umetna inteligenca, priznali strokovna skupina na visoki ravni za umetno inteligenco, Organizacija za gospodarsko sodelovanje in razvoj ter skupina G20. Evropski odbor za varstvo podatkov je umetno inteligenco opredelil kot eno od možnih tem v delovnem programu za obdobje 2019–2020. Promet Razvoj povezanih avtomobilov in pametnih mest je vedno bolj odvisen od obdelave in izmenjave velikih količin osebnih podatkov med več stranmi, vključno z avtomobili, proizvajalci avtomobilov, ponudniki telematskih storitev in javnimi organi, zadolženimi za cestno infrastrukturo. To večstransko okolje pomeni določeno kompleksnost pri dodeljevanju vlog in odgovornosti različnih udeležencev, ki sodelujejo pri obdelavi osebnih podatkov, ter pri tem, kako zagotoviti zakonitost obdelave s strani vseh udeležencev. Skladnost z Uredbo o zasebnosti in elektronskih komunikacijah ter zadevno zakonodajo je bistvenega pomena za uspešno uvajanje inteligentnih prometnih sistemov v vseh načinih prevoza in širjenje digitalnih orodij in storitev, ki omogočajo večjo mobilnost posameznikov in blaga. Energija Razvoj digitalnih rešitev v energetskem sektorju se vedno bolj zanaša na obdelavo osebnih podatkov. Zakonodaja, sprejeta kot del svežnja Čista energija za vse Evropejce, vsebuje nove določbe, ki omogočajo digitalizacijo sektorja električne energije, ter pravila o dostopu do podatkov, upravljanju podatkov in interoperabilnosti, ki omogočajo obdelavo podatkov potrošnikov v realnem času, da se doseže gospodarnost ter spodbudi lastna proizvodnja in udeležba na trgu energije. Zato je spoštovanje pravil o varstvu podatkov zelo pomembno za uspešno izvajanje teh določb. Konkurenca Obdelava osebnih podatkov je element, ki ga je treba vedno bolj upoštevati v politiki konkurence. Glede na to, da so organi za varstvo podatkov edini pristojni organi, ki ocenjujejo kršitev pravil o varstvu podatkov, organi za varstvo konkurence, potrošnikov in varstvo podatkov sodelujejo in bodo po potrebi še naprej sodelovali na področjih, na katerih se njihove pristojnosti prekrivajo. Komisija bo spodbujala tako sodelovanje in pozorno spremljala razvoj dogodkov. Volilni kontekst V svojih smernicah o uporabi osebnih podatkov v volilnem kontekstu, ki so bile izdane septembra 2018 kot del volilnega svežnja, je Komisija opozorila na pravila, ki so posebej pomembna za udeležence volitev, vključno z vprašanji, povezanimi z izjemno natančnim ciljnim usmerjanjem na volivce. Te smernice so bile povzete v izjavi Evropskega odbora za varstvo podatkov, številni organi za varstvo podatkov pa so izdali smernice na nacionalni ravni. V okviru volilnega svežnja je bila vsaka država članica tudi pozvana, naj vzpostavi nacionalno volilno mrežo, ki bo vključevala nacionalne organe, pristojne za volilne zadeve, in organe, pristojne za spremljanje in uveljavljanje pravil (npr. varstvo podatkov) v zvezi s spletnimi dejavnostmi, povezanimi z volitvami. Sprejeti so bili tudi novi ukrepi za uvedbo sankcij za kršitve pravil o varstvu podatkov s strani evropskih političnih strank in fundacij. Komisija je priporočila, naj države članice uporabijo enak pristop na nacionalni ravni. Ocena volitev v Evropski parlament leta 2019, ki naj bi bila izdana oktobra 2019, bo upoštevala tudi vidike varstva podatkov. Preprečevanje, odkrivanje in preiskovanje kaznivih dejanj Učinkovita in prava varnostna unija lahko temelji le na popolnem spoštovanju temeljnih pravic iz Listine EU in sekundarne zakonodaje EU, vključno z ustreznimi zaščitnimi ukrepi za varstvo podatkov, ki omogočajo varno izmenjavo osebnih podatkov za namene preprečevanja, odkrivanja in preiskovanja kaznivih dejanj. Za vse omejitve temeljne pravice do zasebnosti in varstva podatkov veljata strog preizkus nujnosti in sorazmernosti. VIII.Zaključek Komisija na podlagi trenutnih razpoložljivih informacij in dialoga z deležniki predhodno ocenjuje, da je bilo prvo leto uporabe uredbe na splošno pozitivno. Kot je razvidno iz tega sporočila, je na številnih področjih potreben nadaljnji napredek. Izvajanje in dopolnitev pravnega okvira: ·Tri države članice, ki še niso posodobile svoje nacionalne zakonodaje o varstvu podatkov, morajo to nujno storiti. Vse države članice bi morale dokončati uskladitev svoje sektorske zakonodaje z zahtevami iz Uredbe. ·Komisija bo uporabila vsa orodja, ki jih ima na voljo, vključno s postopki za ugotavljanje kršitev, da bi zagotovila, da države članice spoštujejo obveznosti iz Uredbe, in omejila kakršno koli razdrobljenost okvira za varstvo podatkov. Izkoriščanje celotnega potenciala novega sistema upravljanja: