SL Uradni list Evropske unije C 164/2

Povzetek mnenja ENVP o predlogu uredbe o varstvu posameznikov pri obdelavi osebnih podatkov v institucijah, organih, uradih in agencijah Unije in o prostem pretoku takih podatkov ter razveljavitvi Uredbe (ES) št. 45/2001 in Sklepa št. 1247/2002/ES

(Celotno besedilo tega mnenja je na voljo v angleščini, francoščini in nemščini na spletišču evropskega nadzornika za varstvo podatkov (v nadaljnjem besedilu: ENVP) www.edps.europa.eu.)

(2017/C 164/02)

Evropska unija objavlja novo generacijo standardov varstva podatkov. Splošna uredba o varstvu podatkov in direktiva za policijski in pravosodni sektor, ki sta bili sprejeti pred skoraj enim letom, pomenita doslej najbolje velepotezno prizadevanje zakonodajalca EU, da bi zagotovil temeljne pravice posameznikov v digitalni dobi. Institucije EU bi morale zdaj dajati zgled s pravili, ki jih uporabljajo kot upravljavci in obdelovalci podatkov. ENVP je v zadnjih osemnajstih mesecih začel dialog z institucijami EU na najvišji ravni, da bi jih pripravil na nove izzive glede skladnosti z zahtevami o varstvu podatkov, in poudaril novo načelo odgovornosti za način obdelave podatkov. S tem mnenjem želi prenesti dvanajstletne izkušnje v zvezi z izvajanjem neodvisnega nadzora, svetovanjem in zagovorništvom v svoje predloge za izboljšave predlagane uredbe o obdelavi osebnih podatkov v institucijah in organih EU.

Uredba 45/2001 ima vodilno vlogo pri zagotavljanju obveznosti upravljavcev, ki se neposredno uporabljajo, pravic za posameznike, na katere se nanašajo osebni podatki, in jasno neodvisnega nadzornega organa. EU mora zdaj zagotoviti skladnost z uredbo o varstvu podatkov, pri čemer mora biti poudarek na odgovornosti in zaščitnih ukrepih za posameznike in ne na postopkih. Nekatere razlike v pravilih, ki jih institucije EU uporabljajo za obdelavo podatkov, so upravičene, tako kot so bile izjeme za javni sektor vključene v uredbo o varstvu podatkov, vendar pa morajo biti čim manjše.

Z vidika posameznika je bistvenega pomena, da se ne glede na to, kdo je upravljavec podatkov, splošna načela dosledno uporabljajo v celotnem okviru EU za varstvo podatkov. Prav tako je pomembno, da se celoten okvir začne uporabljati hkrati, to je maja 2018, ko se bo začela v celoti uporabljati uredba o varstvu podatkov.

Komisija se je v skladu z dolgoletnim dogovorom med našimi institucijami posvetovala z ENVP glede osnutka predloga. Po našem mnenju je Komisija na splošno dobro uravnotežila različne interese. V mnenju so opredeljena številna področja, na katerih je mogoče predlog še izboljšati. Zagovarjamo izboljšanje predlagane uredbe, zlasti glede omejitev pravic za posameznike, na katere se nanašajo osebni podatki, in omogočanja institucijam EU, da v nekaterih okvirih uporabljajo mehanizme potrjevanja. Glede naših nalog in pooblastil neodvisnega organa se zdi, da predlog vzpostavlja ustrezno ravnotežje in izraža običajne funkcije, ki jih ima neodvisni organ za varstvo podatkov na podlagi Listine o temeljnih pravicah, kot je bilo vnovič potrjeno z nedavno sodno prakso Sodišča, bodisi da deluje v vlogi izvajalca, odgovorne osebe za zadevo in svetovalca zakonodajalca glede politik, ki vplivajo na varstvo podatkov in zasebnost.

Zakonodajalca EU spodbujamo, da čim prej doseže sporazum o predlogu, da bodo lahko institucije EU izkoristile razumno prehodno obdobje, preden se bo začela uporabljati nova uredba.

1. UVOD IN OZADJE

1.1 Ozadje

1. Evropska komisija je 10. januarja 2017 sprejela predlog uredbe Evropskega parlamenta in Sveta o varstvu posameznikov pri obdelavi osebnih podatkov v institucijah, organih, uradih in agencijah Unije in o prostem pretoku takih podatkov ter razveljavitvi Uredbe (ES) št. 45/2001 in Sklepa št. 1247/2002/ES (1) (v nadaljnjem besedilu: predlog).

2. Temeljna pravica do varstva osebnih podatkov je zapisana v členu 8 Listine Evropske unije o temeljnih pravicah (v nadaljnjem besedilu: Listina) in členu 16 Pogodbe o delovanju Evropske unije (v nadaljnjem besedilu: PDEU).

3. Evropski nadzornik za varstvo podatkov (v nadaljnjem besedilu: ENVP) je neodvisni nadzorni organ, ki zagotavlja, da evropske institucije, organi, uradi in agencije (v nadaljnjem besedilu: institucije EU) pri obdelavi osebnih podatkov izpolnjujejo zahteve, predpisane z zakonodajo o varstvu podatkov (2). Zahteva po zagotovitvi neodvisnega nadzora v sistemu varstva podatkov EU je zapisana v primarni zakonodaji, in sicer v členu 16(2) PDEU in členu 8(3) Listine. Sodišče stalno poudarja, da je nadzor, ki ga izvaja neodvisni organ, bistvena sestavina pravice do varstva podatkov, in je določilo pravila za takšno neodvisnost (3). Zlasti je pomembno, da je nadzorni organ pri svojem delovanju popolnoma neodvisen, kar pomeni, da je pristojnost odločanja neodvisna od vseh neposrednih ali posrednih zunanjih vplivov (4) in da ni prisoten sum o pristranskosti (5).

4. Glavni pravni instrument, ki ga institucije EU uporabljajo za obdelavo osebnih podatkov, je Uredba (ES) št. 45/2001 (6) (v nadaljnjem besedilu: Uredba 45/2001), ki jo dopolnjuje Sklep št. 1247/2002/ES (7).

5. Po zaključku dalj časa trajajočih pogajanj o novem okviru EU za varstvo podatkov (Splošna uredba o varstvu podatkov (v nadaljnjem besedilu: uredba o varstvu podatkov) in direktiva za policijski in pravosodni sektor) 27. aprila 2016 ta predlog (skupaj s predlogom Komisije za uredbo o zasebnosti in elektronskih komunikacijah (v nadaljnjem besedilu: direktiva o e-zasebnosti (8))) označuje začetek odločilne stopnje v postopku dopolnjevanja tega okvira EU za varstvo podatkov. Namen predloga je uskladiti določbe Uredbe 45/2001 s pravili iz uredbe o varstvu podatkov, da se oblikuje trdnejši in skladnejši okvir za varstvo podatkov v Uniji in omogoči sočasna uporaba obeh instrumentov (9). Predlog vključuje tudi nova pravila za varstvo terminalske opreme končnih uporabnikov, ki so določena v predlogu Komisije za novo direktivo o e-zasebnosti.

6. ENVP se je v strategiji za obdobje 2015–2019 zavezal, da bo sodeloval z Evropskim parlamentom, Svetom in Komisijo, da bi zagotovil skladnost veljavnih pravil, določenih v Uredbi 45/2001, z uredbo o varstvu podatkov in da bo spremenjeni okvir začel veljati najpozneje v začetku leta 2018. ENVP pozdravlja dejstvo, da se je Komisija pred sprejetjem predloga neuradno posvetovala z njim in da so bili v predlogu očitno upoštevani številni elementi, ki jih je do takrat izpostavil v svojih neuradnih prispevkih. Sedanji predlog je po njegovem mnenju več kot zadovoljiv z vidika čim večje uskladitve z uredbo o varstvu podatkov, razen če natančno določene posebnosti javnega sektorja EU dokazujejo drugače, in zlasti pozdravlja uravnoteženost različnih interesov, ki jo je dosegla Komisija.

7. Čeprav je v tem mnenju navedenih veliko področij, na katerih je mogoče predlog še izboljšati, ENVP zakonodajalca EU spodbuja, naj čim prej doseže sporazum o predlogu, da bodo lahko institucije EU izkoristile razumno prehodno obdobje, preden se bo začela v celoti uporabljati nova uredba.

1.2 Cilji predloga in časovni okvir

8. V preteklosti je ENVP priporočal, naj se vsebinska pravila za institucije EU vključijo v (takratni) osnutek uredbe o varstvu podatkov (10). Zakonodajalec EU je izbral drugo možnost: ločen pravni instrument, ki se je uporabljal za institucije EU ter je bil usklajen z uredbo o varstvu podatkov in se je začel uporabljal hkrati z njo. ENVP podpira ta pristop: nedopustno bi bilo, če Evropske komisije in drugih institucij EU ne bi zavezovala pravila, enakovredna tistim, ki se bodo kmalu začela uporabljati na ravni držav članic. Poleg tega bi bilo nezaželeno, da bi ENVP nadzoroval skladnost institucij EU z vsebinskimi pravili, ki bi bila podrejena pravilom, ki jih nadzorujejo njegovi sorodni organi na nacionalni ravni, zlasti ker bo ENVP član prihodnjega Evropskega odbora za varstvo podatkov (v nadaljnjem besedilu: EDPB) (11).

9. Zato morajo biti prihodnja pravila, ki jih bodo institucije EU uporabljale za obdelavo osebnih podatkov, usklajena z določbami uredbe o varstvu podatkov, razen če natančno določene posebnosti javnega sektorja dokazujejo drugače. V zvezi s tem ENVP pozdravlja uvodno izjavo 5 predloga, v kateri je poudarjena potreba po čim večji uskladitvi in pojasnjeno, da: „[k]adar temeljijo določbe te uredbe na enaki zasnovi kot določbe [uredbe o varstvu podatkov], mora biti razlaga obeh določb enotna, zlasti ker je treba shemo te uredbe razumeti kot enakovredno shemi [uredbe o varstvu podatkov].“

10. Hkrati uskladitev z uredbo o varstvu podatkov ne more biti popolna ali samodejna. Uredba o varstvu podatkov vključuje številne klavzule, ki državam članicam omogočajo, da na nekaterih področjih ohranijo ali uvedejo posebno zakonodajo, tudi za javne organe (12). V primerih, ko uredba o varstvu podatkov določa posebna pravila za javne organe (13) ali državam članicam omogoča, da izvajajo določbe iz te uredbe, se lahko šteje, da ima predlog vlogo, primerljivo z nacionalno zakonodajo, ki „izvaja“ uredbo o varstvu podatkov, kot na primer v členu 9 „Prenos osebnih podatkov prejemnikom, ki niso institucije in organi Skupnosti“, ali členu 66 „Upravne globe“ predloga (glej oddelek 2.8.1 v nadaljevanju). Poleg tega je treba zagotoviti, da se ohranja visoka raven varstva, ki se zdaj uporablja za institucije EU. Zato je treba ohraniti nekatere posebnosti iz Uredbe 45/2001, kot na primer v členu 25 „Omejitve“ (glej oddelek 2.3.1 v nadaljevanju) in členu 44 „Imenovanje uradne osebe za varstvo podatkov“ (glej oddelek 2.4.5.1 v nadaljevanju).

11. Poleg vsebinske uskladitve z uredbo o varstvu podatkov je pomembno, da se začnejo spremenjena pravila v celoti uporabljati hkrati z uredbo o varstvu podatkov, to je 25. maja 2018. Obstoječa mreža uradnih oseb za varstvo podatkov je učinkovit kanal za izmenjavo informacij in sodelovanje. Zato je ENVP prepričan, da je skladnost mogoče doseči v razmeroma kratkem prehodnem obdobju, na primer v treh mesecih.

12. Načelo odgovornosti, ki podpira uredbo o varstvu podatkov, in sedanji predlog presegata samo skladnost s pravili ter pomenita spremembo miselnosti. Za lažji prehod je ENVP začel izvajati „projekt odgovornosti“. V zvezi s tem je bil ENVP v letih 2016 in 2017 v stiku s sedmimi glavnimi institucijami in organi EU ter jim je pomagal, da so se lahko pravočasno pripravili na uporabo uredbe o varstvu podatkov.

1.3 Področje uporabe in povezava z drugimi pravnimi instrumenti

13. ENVP je v preteklosti večkrat pozval Komisijo, naj predlaga zanesljiv in izčrpen sistem, ki bi bil velikopotezen ter bi povečal učinkovitost in skladnost varstva podatkov v EU ter s tem zagotovil varno okolje za nadaljnji razvoj v prihodnjih letih (14). Komisija je izbrala drugačen pristop in predlagala ločen pravni instrument za varstvo podatkov na področju kazenskega pregona (15). Temu so sledili številni predlogi pravnih aktov za uvedbo „samostojnih“ ureditev varstva podatkov (16).

14. ENVP priznava, da je sedanji pravni okvir za varstvo osebnih podatkov, čeprav razdrobljen, najboljši možni rezultat (17). Razume, da se bo ta predlog še naprej uporabljal za institucije EU, ki zdaj spadajo na področje uporabe Uredbe 45/2001 (18) (praktično vse nekdanje institucije, organi, uradi in agencije iz prvega in drugega „stebra“ (19)), vendar kot take ne bi vplivale na obstoječe ali nedokončane „samostojne“ ureditve (20). Ta predlog bo vplival na take ureditve samo, če je to izrecno določeno v ustreznem pravnem instrumentu, in v obsegu, ki je izrecno določen v takem instrumentu. ENVP je seznanjen s tem pristopom, vendar predlaga, da se to natančneje navede v preambuli predloga in po možnosti tudi v členu 2 „Področje uporabe“. Hkrati poudarja, da razdrobljenost in vse večja zapletenost pravnega okvira za obdelavo podatkov v različnih institucijah EU, ki so dejavne v nekdanjem prvem in tretjem „stebru“, nista povsem zadovoljiv rezultat in da ju bo moral v vmesnem obdobju morda obravnavati zakonodajalec EU.

15. Uredba 45/2001 določa ukrepe za varstvo zasebnosti in zaupnost komunikacij v primerih, ko institucije EU nadzorujejo infrastrukturo, ki se uporablja za sporazumevanje. V ta namen uredba vključuje nekatere določbe, ki zajemajo dele področja uporabe Direktive 2002/58/ES (v nadaljnjem besedilu: direktiva o e-zasebnosti) (21), in uvaja načelo, da je treba pravila za varstvo temeljnih pravic uporabljati dosledno in usklajeno v vsej Uniji, pri čemer se sklicuje na ustrezne instrumente, kot je direktiva o zasebnosti in elektronskih komunikacijah (22). Potreba po zagotavljanju enake stopnje zasebnosti in zaupnosti komunikacij, ki vključujejo institucije EU, ostaja nespremenjena, zato je treba ohraniti načelo dosledne in usklajene uporabe. ENVP zato meni, da bi moral predlog zagotoviti, da se bodo ustrezna pravila iz uredbe o varstvu podatkov in prihodnje direktive o e-zasebnosti smiselno uporabljala za institucije EU. To bi moralo vključevati spoštovanje zaupnosti in zasebnosti v zvezi s komunikacijskimi storitvami, ki jih nadzorujejo institucije EU, ter druga načela iz prihodnje direktive o e-zasebnosti, kot je zaščita terminalske opreme, in druga pravila, na primer v zvezi s sledenjem in neželeno e-pošto.

16. Medtem ko se zakonodaja o varstvu podatkov uporablja tudi za Evropski gospodarski prostor in morajo sodelujoče države Efte v skladu z uredbo o varstvu podatkov vzpostaviti neodvisne organe nadzora, pa za institucije Efte ne veljajo posebna pravila o varstvu podatkov in nadzoru, čeprav si z institucijami EU izmenjujejo osebne podatke. ENVP meni, da bi lahko ta predlog izkoristili kot priložnost za obravnavanje tega vprašanja.

3. SKLEPNE UGOTOVITVE

90. ENVP na splošno meni, da je predlog uspešen pri usklajevanju pravil za institucije EU z uredbo o varstvu podatkov, ob upoštevanju posebnosti javnega sektorja EU. V predlogu je na splošno ohranjena visoka raven varstva glede obdelave podatkov, ki jo izvajajo institucije EU. ENVP pozdravlja zlasti uravnoteženost različnih interesov, ki jo je dosegla Komisija.

91. Meni, da bi bilo treba predlog še izboljšati, zlasti glede načinov omejitev na podlagi člena 25. Da bi se zagotovila skladnost s kakovostjo zahtev iz navedene zakonodaje, bi bilo treba člen 25(1) spremeniti tako, da bi se lahko temeljne pravice omejile samo s pravnimi akti, ki so bili sprejeti na podlagi Pogodb, s čimer bi se za institucije EU uvedli enaki standardi, kot bi se uporabljali za države članice na podlagi uredbe o varstvu podatkov. ENVP poziva zakonodajalca EU, naj v obsegu predvidenih omejitev člena 34 „Zaupnost elektronskih komunikacij“ zagotovi, da bodo pri morebitnih omejitvah temeljne pravice do zasebnosti komunikacij, ki bi jih lahko uvedle institucije EU pri svojem poslovanju, upoštevani enaki standardi, kot so določeni v pravu Unije, kot ga razlaga Sodišče na tem področju.

92. ENVP pozdravlja dejstvo, da predlog vključuje poseben člen, ki obravnava vlogo ENVP kot svetovalca institucij EU (člen 42 predloga). Vendar pa izraža zaskrbljenost, da bi lahko besedilo „[p]o sprejetju predlogov“ (namesto „[k]o sprejme zakonodajni predlog“ v členu 28(2) Uredbe 45/2001) dopuščalo dvom o dolgoletni obveznosti Evropske komisije, da neuradno svetuje ENVP o osnutkih predlogov, običajno v fazi posvetovanja med službami. Glede na pomembnost neformalnega posvetovanja bi bila dobrodošla tudi uvodna izjava, v kateri bi Komisija ponovno poudarila zavezanost tej dolgoletni praksi. ENVP bi tudi soglašal, da se v predlogu ohrani besedilo člena 28(2) Uredbe 45/2001 („kadar Komisija sprejema“), ki mu zagotavlja več manevrskega prostora. Po njegovem mnenju člen 42 zadostno pojasnjuje ustrezne naloge ENVP in EDPB, da v prihodnosti ne bo prišlo do nepotrebnih podvajanj.

93. ENVP meni, da možnost oddajanja funkcije uradnih oseb za varstvo podatkov v zunanje izvajanje ni primerna za institucije EU, ki izvajajo javno oblast. Zato bi bilo treba v členu 44(4) črtati drugo možnost („ali pa svoje naloge opravlja na podlagi pogodbe o storitvah“).

94. ENVP pozdravlja člen 66 predloga, na podlagi katerega bi mu bilo podeljeno pooblastilo za naložitev upravnih kazni. Po njegovem mnenju bi imele institucije EU zaradi odvzema možnosti nadzornemu organu EU, da naloži upravne kazni, kadar je to primerno, privilegiran položaj v primerjavi z institucijami javnega sektorja v številnih državah članicah.

95. ENVP meni, da so lahko mehanizmi potrjevanja, ki se v določenih okvirih, na primer pri potrjevanju skladnosti s splošno sprejetimi standardi, že uporabljajo, zelo koristen instrument za institucije EU. Zato je treba sklicevanja na uporabo potrjevanja (ne pa kodekse ravnanja) dodati v členu 26 „Pristojnost upravljavca“, členu 27 „Vgrajeno varstvo podatkov“ in členu 33 „Varnost“.

96. Čeprav je v tem mnenju navedenih veliko področij, na katerih je mogoče predlog še izboljšati, pa ENVP zakonodajalca EU spodbuja, naj čim prej doseže sporazum o predlogu, da bodo lahko institucije EU izkoristile razumno prehodno obdobje, preden začne hkrati z uredbo o varstvu podatkov veljati nova uredba, to je maja 2018.

V Bruslju, 15. marca 2017 Giovanni BUTTARELLI Evropski nadzornik za varstvo podatkov

(1) COM(2017) 8 final; 2017/0002 (COD) (later, “the Proposal”).

(2) Article 286 EC rendered the (then) Community rules on data protection applicable to EU institutions and bodies and mandated the creation of a dedicated independent supervisory authority (later, the EDPS).

(3) Case C-518/07 Commission v Germany, EU:C:2010:125; Case C-614/10 Commission v Austria, EU:C:2012:631; Case C-288/12 Commission v Hungary, EU:C:2014:237; Case C-362/14 Maximilian Schrems v Data Protection Commissioner, ECLI:EU:C:2015:650.

(4) Case C-518/07 Commission v Germany, supra para. 19.

(5) Case C-288/12 Commission v Hungary, supra para. 53.

(6) See supra note 3.

(7) Decision No 1247/2002/EC of the European Parliament, of the Council and of the Commission of 1 July 2002 on the regulations and general conditions governing the performance of the European Data Protection Supervisor’s duties (OJ L 183, 12.7.2002, p. 1).

(8) Proposal for a Regulation of the European Parliament and of the Council concerning the respect for private life and the protection of personal data in electronic communications and repealing Directive 2002/58/EC (Regulation on Privacy and Electronic Communications), COM(2017) 10 final, 2017/0003 (COD).

(9) See Article 98 and recital 17 of the GDPR.

(10) See e.g. the EDPS Opinion of 7 March 2012 on the data protection reform package (OJ C 192, 30.6.2012, p. 7).

(11) EDPS Opinion of 7 March 2012 on the data protection reform package, p. 6.

(12) See in particular Article 6(3) and recital 10 to the GDPR: “Regarding the processing of personal data for compliance with a legal obligation, for the performance of a task carried out in the public interest or in the exercise of official authority vested in the controller, Member States should be allowed to maintain or introduce national provisions to further specify the application of the rules of this Regulation. In conjunction with the general and horizontal law on data protection implementing Directive 95/46/EC, Member States have several sector-specific laws in areas that need more specific provisions. This Regulation also provides a margin of manoeuvre for Member States to specify its rules, including for the processing of special categories of personal data (‘sensitive data’). To that extent, this Regulation does not exclude Member State law that sets out the circumstances for specific processing situations, including determining more precisely the conditions under which the processing of personal data is lawful.”

(13) E.g. last sentence of Article 6(1), Article 20(5), Article 27, Article 37, Article 41 or Article 46(2)(a) of the GDPR.

(14) See in particular the EDPS Opinion of 14 January 2011 on the Communication “A comprehensive approach on personal data in the European Union” (OJ L 181, 22.6.2011, p. 1).

(15) See supra note 5.

(16) Proposal for a Regulation of the European Parliament and of the Council on the European Union Agency for Law Enforcement Cooperation and Training (Europol) and repealing Decisions 2009/371/JHA and 2005/681/JHA, COM(2013) 173 final, now adopted as Regulation 2016/794 and published in OJ L 135 24.05.2016, p. 53; Proposal for a Council Regulation on the establishment of the European Public Prosecutor's Office, COM(2013) 534 final. See also the Council General approach [First reading] on the Proposal for a Regulation on the European Union Agency for Criminal Justice Cooperation (Eurojust) available at: http://data.consilium.europa.eu/doc/document/ST-6643-2015-INIT/en/pdf.

(17) EDPS Opinion 3/2015 “Europe’s big opportunity - EDPS recommendations on the EU’s options for data protection reform”, available at: https://secure.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/Consultation/Opinions/2015/15-10-09_GDPR_with_addendum_EN.pdf.

(18) See the list of EU institutions and bodies available at: http://publications.europa.eu/code/en/en-390500.htm.

(19) Regulation 45/2001 already today applies to, inter alia, the European Defence Agency, European Union Institute for Security Studies, and the European Union Satellite Centre.

(20) Europol, Eurojust, EPPO, supra note 21.

(21) Directive 2002/58/EC of the European Parliament and of theCouncil of 12 July 2002 concerning the processing of personal data and the protection of privacy in the electronic communications sector (Directive on privacy and electronic communications) (OJ L 201, 31.7.2002, p. 37), as amended (later, “the ePrivacy Directive”).

(22) Recitals 10-12 ePrivacy Directive.