SL Uradni list Evropske unije C 94/3

Mnenje Evropskega nadzornika za varstvo podatkov o Predlogu uredbe Evropskega parlamenta in Sveta o spremembi Uredbe Sveta (ES) št. 515/97 o medsebojni pomoči med upravnimi organi držav članic in o sodelovanju med njimi in Komisijo zaradi zagotavljanja pravilnega izvajanja carinske in kmetijske zakonodaje (COM(2006) 866 konč.)

(2007/C 94/02)

EVROPSKI NADZORNIK ZA VARSTVO PODATKOV JE –

ob upoštevanju Pogodbe o ustanovitvi Evropske skupnosti in zlasti člena 286 Pogodbe,

ob upoštevanju Listine o temeljnih pravicah Evropske unije in zlasti člena 8 Listine,

ob upoštevanju Direktive 95/46/ES Evropskega parlamenta in Sveta z dne 24. oktobra 1995 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov (1),

ob upoštevanju Uredbe (ES) št. 45/2001 Evropskega parlamenta in Sveta z dne 18. decembra 2000 o varstvu posameznikov pri obdelavi osebnih podatkov v institucijah in organih Skupnosti in o prostem pretoku takih podatkov (2) ter zlasti člena 41 Uredbe,

ob upoštevanju prošnje Komisije za mnenje v skladu s členom 28(2) Uredbe (ES) št. 45/2001, prejete 4. januarja 2007 –

SPREJEL NASLEDNJE MNENJE:

UVOD

1. Cilj Predloga uredbe Evropskega parlamenta in Sveta o spremembi Uredbe Sveta (ES) št. 515/97 z dne 13. marca o medsebojni pomoči med upravnimi organi držav članic in o sodelovanju med njimi in Komisijo zaradi zagotavljanja pravilnega izvajanja carinske in kmetijske zakonodaje (3) (v nadaljevanju „predlog“) je dvojen. Po eni strani skuša uskladiti obstoječo Uredbo Sveta (ES) št. 515/97 z novimi pristojnostmi Skupnosti na področju carinskega sodelovanja Skupnosti, po drugi strani pa želi okrepiti sodelovanje in izmenjavo informacij med državami članicami ter med slednjimi in Komis

2. Da bi uresničil oba cilja, predlog med drugim veča funkcionalnost obstoječega carinskega informacijskega sistema (CIS – Custom Information System) in vzpostavlja dodatno evropsko podatkovno bazo, ki bo prikazala premike zabojnikov in/ali prevoznih sredstev ter blaga in oseb, ki jih ti premiki zadevajo (evropska podatkovna baza – „European Data Directory“).

3. Predlog poleg tega v zakonodajo Skupnosti uvaja identifikacijsko podatkovno bazo carinskih datotek (FIDE – Customs Files Identification Database), ki so jo prvotno oblikovale države članice na podlagi naslova VI Pogodbe o Evropski uniji (4). FIDE bo sedaj sodil tako v okvir dejavnosti Evropske skupnosti kot tudi v tretji steber, delovanje FIDE v posamezni situaciji pa bodo urejali ustrezni pravni instrumenti. Enako velja za CIS (5). V praksi se bo to doseglo z vzpostavitvijo dveh podatkovnih baz, ki bosta dostopni različnim službam, s čimer se bo zagotovilo, da se bosta uporabljali v različne namene (v okviru prvega in tretjega stebra).

I. Posvetovanje z Evropskim nadzornikom za varstvo podatkov

4. Komisija je Evropskemu nadzorniku za varstvo podatkov (ENVP) predlog poslala zaradi posvetovanja, predvidenega v členu 28(2) Uredbe (ES) št. 45/2001 Evropskega parlamenta in Sveta z dne 18. decembra 2000 o varstvu posameznikov pri obdelavi osebnih podatkov v institucijah in organih Skupnosti in o prostem pretoku takih podatkov (v nadaljevanju „Uredba (ES) št. 45/2001“). ENVP je omenjeno prošnjo prejel 4. januarja 2007.

5. Glede na obvezno naravo člena 28(2) Uredbe (ES) št. 45/2001 bi bilo treba sklicevanje na omenjeni postopek posvetovanja navesti v preambuli predloga, tj. pred uvodnimi izjavami. ENVP v ta namen predlaga zgledovanje po ubeseditvi sklicevanja v drugih zakonodajnih predlogih na mnenja ENVP (6), ki se glasi: „Po posvetovanju z Evropskim nadzornikom za varstvo podatkov“.

II. Pomen predloga z vidika varstva podatkov

6. Za oblikovanje in dopolnitev različnih instrumentov, ki naj bi okrepili sodelovanje v Skupnosti, denimo CIS, FIDES in evropska podatkovna baza, je potrebno povečati delež osebnih podatkov, ki se bodo prvotno zbrali in zatem izmenjali z upravnimi organi držav članic ter, v nekaterih primerih, tudi s tretjimi državami. Obdelani osebni podatki, ki se bodo zatem izmenjali, lahko zajemajo informacije o posameznikovi domnevni ali dokazani udeležbi pri kršitvah carinskih ali kmetijskih predpisov. Vpliv predloga je s tega vidika znaten za varstvo osebnih podatkov. Predlog pridobi še večji pomen, če pomislimo na vrsto zbranih in izmenjanih podatkov, zlasti glede suma kršitev s strani posameznikov, ter na končni namen in rezultat obdelave.

7. ENVP ob upoštevanju vpliva predloga na varstvo osebnih podatkov meni, da je smotrno podati to mnenje, saj preučuje vpliv predloga na varstvo pravic in svoboščin posameznikov pri obdelavi osebnih podatkov.

III. Glavne prvine predloga in uvodne pripombe

8. Glavne prvine predloga, pomembne z vidika varstva podatkov, so: (i) oblikovanje evropske podatkovne baze (člena 18a in 18b); (ii) določbe, ki dopolnjujejo pravila o CIS (členi 23 do 37), in (iii) pravila, ki opredeljujejo FIDE kot podatkovno bazo Skupnosti (členi 41a do 41d). Pomembne so tudi različne določbe, med drugim določbe o nadzoru nad varstvom podatkov, ki so bile spremenjene, da bi se upoštevalo sprejetje Uredbe (ES) št. 45/2001 (členi 37, 42 in 43).

9. ENVP opozarja, da je bila v njegovem predhodnem mnenju o Predlogu uredbe o medsebojni upravni pomoči za zaščito finančnih interesov Skupnosti pred goljufijami in drugimi oblikami nezakonitega ravnanja (7) izpostavljena potreba po prilagoditvi nekaterih določb Uredbe Sveta (ES) št. 515/97, da bi se uskladila z novo zakonodajo na področju varstva podatkov, ki velja za institucije EU, zlasti z Uredbo (ES) št. 45/2001. ENVP se zato veseli sprememb predloga v tej smeri.

10. ENVP poleg tega z zadovoljstvom ugotavlja, da določbe, ki vzpostavljajo evropsko podatkovno bazo, in določbe, ki dopolnjujejo pravila o CIS, vsebujejo zagotovila, ki naj bi jamčila za varstvo osebnih podatkov in zasebnosti posameznika. Pozdravlja tudi odločitev, da se FIDE uvrsti na področje zakonodaje Skupnosti in s tem v okvir Uredbe (ES) št. 45/2001.

11. ENVP se zaveda pomena ciljev predloga, in sicer okrepitve sodelovanja med državami članicami ter med slednjimi in Komisijo. Nadalje priznava, da je za uresničitev teh ciljev potrebno oblikovati nove instrumente ali posodobiti že obstoječe, kot sta CIS in FIDE. Kljub temu pa ENVP meni, da je mogoče izboljšati prizadevanja za zagotovitev vsesplošne združljivosti predloga z obstoječim pravnim okvirom na področju varstva podatkov in učinkovitega varstva osebnih podatkov posameznikov. V ta namen podaja pripombe in predloge, opisane v naslednjem delu.

ANALIZA PREDLOGA

I. Oblikovanje evropske podatkovne baze

12. Komisija bo v skladu s členom 18a1 predloga oblikovala in upravljala evropsko podatkovno bazo z namenom „ugotavljanj[a] pošiljk, ki lahko pomenijo dejanja, ki so v nasprotju s carinsko in kmetijsko zakonodajo, ter prevoznih sredstev“. Komisiji bodo večino podatkov posredovali javni ali zasebni ponudniki storitev, katerih dejavnosti so povezane z mednarodno logistično verigo ali prevozom blaga. Baza se v skladu s členom 18a2(b) lahko obogati „z drugimi viri podatkov“. V členu 18a.3 je naveden seznam podatkov, ki se lahko vnesejo v bazo, vključno s seznamom osebnih podatkov (8). Komisija bo poskrbela, da so podatki iz baze dostopni ustreznim organom v državah članicah.

13. Predlog zatrjuje, da bo oblikovanje podatkovne baze koristno pri odkrivanju morebitnih nepravilnosti v zvezi s carinsko in kmetijsko zakonodajo. ENVP kljub temu meni, da bi bilo treba – tako kot ob vsakem oblikovanju centralne podatkovne baze z osebnimi podatki – ustrezno in pozorno preučiti potrebo po takšni podatkovni bazi, po njeni vzpostavitvi pa v skladu z načeli varstva podatkov predvideti ustrezna zagotovila. Tako bi se namreč izognili posledicam, ki bi čezmerno škodile varstvu osebnih podatkov.

14. Po mnenju ENVP predlog ne nudi zadostnih argumentov v podporo potrebi po oblikovanju baze. Da bi zagotovili oblikovanje le zares potrebnih podatkovnih baz, ENVP poziva Komisijo, naj ustrezno preuči potrebo po oblikovanju baze in poroča o svojih ugotovitvah.

15. ENVP glede zagotovil za varstvo podatkov ugotavlja, da jih predlog nekaj zagotavlja, kljub temu pa meni, da so potrebni dodatni ukrepi.

I.1 Uporaba Uredbe (ES) št. 45/2001

16. ENVP ugotavlja, da za evropsko podatkovno bazo nedvomno velja Uredba (ES) št. 45/2001 o varstvu posameznikov pri obdelavi osebnih podatkov v institucijah in organih Skupnosti in o prostem pretoku takih podatkov, saj bo bazo vzpostavila in upravljala Komisija, vsebovala pa bo tudi osebne podatke. Komisija mora torej v vlogi nadzornika podatkov podatkovne baze (9) zagotoviti skladnost z vsemi določbami te uredbe.

17. Glede na zgoraj navedeno se Uredba (ES) št. 45/2001 kot taka uporablja za oblikovanje in upravljanje baze, zato ENVP meni, da bi bilo treba zaradi usklajenosti vključiti nov odstavek, ki bi opozoril na njeno uporabo. ENVP dejansko ugotavlja, da člen 34 predloga v zvezi s carinskim informacijskim sistemom (CIS) in identifikacijsko podatkovno bazo carinskih datotek (FIDE) vsebuje določbo, ki opozarja na uporabo Uredbe (ES) št. 45/2001. Zaradi usklajenosti z omenjenim pristopom bi bilo treba podobno določbo vključiti tudi v zvezi z bazo. ENVP zato predlaga, da se v člen 18.1 vključi nov odstavek po vzoru besedila iz člena 34: „Komisija obravnava evropsko podatkovno bazo kot sistem za obdelavo osebnih podatkov, ki ga ureja Uredba (ES) št. 45/2001“.

18. ENVP ugotavlja, da člen 18a.2(b) predloga potrjuje, da Uredba (ES) št. 45/2001 velja za nekatere uporabe baze, zlasti kadar Komisija bazo uporabi, da „primerja podatke … jih razvrsti, jih obogati.“ Če ni splošne izjave, ki bi potrjevala uporabo Uredbe (ES) št. 45/2001 za celotno bazo, tudi za postopek obdelave od vzpostavitve do upravljanja baze, se šteje, da nobena druga dejavnost/faza, ki ni izrecno omenjena v členu 18a.2 (b), ne sodi v okvir Uredbe (ES) št. 45/2001. S tem se dodatno upravičuje uvedba zgoraj predlaganega besedila.

19. ENVP opozarja, da bo Komisija zaradi spoštovanja Uredbe (ES) št. 45/2001 med drugim zavezana o tem obvestiti posameznike, katerih imena so vključena v bazo (10). Treba bi bilo zlasti upoštevati, da takšna pravica obstoja tudi v primeru, če so bili osebni podatki, vneseni v bazo, zbrani na podlagi javnih virov. Ob upoštevanju namena baze bo Komisijo poleg tega zavezoval tudi člen 27 Uredbe (ES) št. 45/2001, v skladu s katerim mora sistem pred izvajanjem predhodno preveriti evropski nadzornik za varstvo podatkov (11).

I.2. Uporaba nacionalnih določb o izvajanju Direktive 95/46/ES

20. V skladu s členom 18a2(c) predloga je Komisija pooblaščena, da podatke da na voljo pristojnim organom. ENVP ugotavlja, da ta prenos ureja Uredba (ES) št. 45/2001, medtem ko bodo nadaljnje uporabe podatkov s strani organov držav članic sodile v okvir Direktive 95/46/ES. Četudi se zdi, da želi člen 18a2(c) to zamisel izraziti, kakor je opisano v nadaljevanju, bi bilo besedilo člena mogoče izboljšati in zamisel jasneje opredeliti.

21. Člen 18a.2(c) navaja: „Komisija je pri upravljanju te podatkovne baze pooblaščena, da: (…) (c) podatke iz te podatkovne baze da na voljo pristojnim organom iz člena 1(1), izključno za namene doseganja ciljev iz te uredbe, pod pogojem, da se spoštujejo nacionalne določbe o izvajanju Direktive 95/46/ES.“ ENVP meni, da člen 18a.2(c) ne odraža ustrezno ideje, da nadaljnje uporabe osebnih podatkov s strani organov držav članic urejajo nacionalne določbe o izvajanju Direktive 95/46/ES. Zato meni, da bi bilo treba za nazornejšo pojasnitev te točke zadnji del člena 18a.2(c) spremeniti na naslednji način: „... izključno za namene doseganja ciljev iz te uredbe. Za nadaljnje uporabe osebnih podatkov s strani teh organov veljajo nacionalne določbe o izvajanju Direktive 95/46/ES“. Takšna nadaljnja uporaba na nacionalni ravni bo morala biti v vsakem primeru združljiva z namenom, zaradi katerega jih Komisija da na voljo, razen če so izpolnjeni posebni pogoji (glej člen 6.1.b in člen 13.1 Direktive 95/46/ES).

I.3. Dodatne pripombe

22. ENVP podpira pristop iz člena 18.4 predloga, da se znotraj Komisije omejijo službe, pooblaščene za obdelavo osebnih podatkov iz evropske podatkovne baze. Navedeno je v skladu s členom 22 Uredbe (ES) št. 45/2001, na podlagi katerega morajo upravljavci podatkov med drugim izvesti tehnične in organizacijske ukrepe, kot denimo zagotoviti dostopnost podatkov glede na potrebo po seznanitvi z njimi, da bi zajamčili ustrezno raven zavarovanja podatkov.

23. Zadnji odstavek člena 18.4 določa, da se iz osebnih podatkov, ki niso potrebni za namene, za katere so bili zbrani, odstranijo identifikacijski podatki. Nadalje sledi, da se podatkov nikakor ne sme hraniti dlje kot eno leto. ENVP pozdravlja obveznost, skladno s členom 4(1)(e) Uredbe, ki določa, da so lahko osebni podatki shranjeni v obliki, ki dopušča identifikacijo posameznikov, na katere se nanašajo osebni podatki, le toliko časa, kakor je potrebno za namene, za katere so bili zbrani ali za katere se nadalje obdelujejo.

24. Bazo je treba ustrezno zavarovati, kakor to določa člen 22 Uredbe (ES) št. 45/2001. Zagotavljanje optimalne stopnje varnosti baze je temeljni pogoj za varstvo osebnih podatkov, shranjenih v podatkovni bazi. Medtem ko določbe, ki urejajo carinski informacijski sistem, predvidevajo izvajanje posebnih varnostnih ukrepov, pa predlog za evropsko podatkovno bazo tega ne omenja. ENVP meni, da bi morala vprašanja v zvezi z varnostjo te baze urejati dodatna upravna pravila, ki bi uvedla posebne ukrepe, s katerimi bi se zagotovila zaupnost podatkov. Pri sprejemanju teh pravil bi se bilo treba posvetovati z ENVP.

II. Spremembe določb o carinskem informacijskem sistemu (CIS)

25. Členi 23 do 41 Uredbe Sveta (ES) št. 515/97 vsebujejo določbe o vzpostavitvi carinskega informacijskega sistema, tj. podatkovne baze, ki jo upravlja Komisija ter je dostopna državam članicam in Komisiji, njen namen pa je pomagati pri preprečevanju, odkrivanju in preganjanju dejanj, ki so v nasprotju s carinsko ali kmetijsko zakonodajo.

II.1. Razširitev možnih uporab osebnih podatkov, shranjenih v CIS

26. Predlog je spremenil nekaj prvotnih določb glede delovanja in uporabe CIS. Predvsem je člen 25 razširil kategorije osebnih podatkov, ki se lahko shranijo v CIS, člen 27 pa je razširil seznam možnih uporab osebnih podatkov, shranjenih v CIS, na operativne analize, ki med drugim omogočajo „presoj[o] zanesljivosti vira informacij in samih informacij“, „oblikovanje ugotovitev, (…) priporočil (…) za ugotavljanje (…) dejanj (…) in/ali za natančno ugotavljanje fizičnih(-e) ali pravnih(-e) oseb(-e).“ Člen 35.3 poleg tega omogoča kopiranje vsebine CIS v druge sisteme za obdelavo podatkov in s tem v „sisteme obvladovanja tveganj, pristojne za usmerjanje carinskih kontrol na nacionalni ravni, ali v sistem operativne analize, ki omogoča usmerjanje uskladitvenih ukrepov na ravni Skupnosti“.

27. Zgoraj navedene dodatne uporabe so v skladu s predlogom potrebne v pomoč pri ugotavljanju in pregonu dejanj, ki so v nasprotju s carinsko in kmetijsko zakonodajo. Četudi ENVP o takšnih potrebah ne dvomi, pa meni, da bi predlog Komisije v podporo takšni potrebi moral zagotoviti celovitejše informacije in tehtne razloge.

28. ENVP z zadovoljstvom ugotavlja, da navedene spremembe spremljajo zagotovila za varstvo podatkov. Predlog dejansko ohranja izčrpen seznam osebnih podatkov, ki se lahko vključijo v CIS (prej člen 25.1) oziroma se smejo vključiti samo, če obstajajo „dejanski dokazi“, da je ali bo zadevna oseba izvajala kršitve (prej člen 27.2). V CIS se tudi ne smejo vnesti občutljivi podatki (12) (prej člen 25.3). Člen 35.3 je poleg tega omejil posameznike, pooblaščene za kopiranje vsebine CIS za namene, določene v omenjenem členu, omejil pa je tudi čas hranjenja podatkov, skopiranih iz CIS. Ti ukrepi so v skladu z načelom kakovosti podatkov iz člena 4 Uredbe (ES) št. 45/2001.

II.2. Področje uporabe Uredbe (ES) št. 45/2001

29. Člen 34 predloga je upošteval sprejetje Uredbe (ES) št. 45/2001, ki se uporablja za obdelavo osebnih podatkov s strani institucij in organov Skupnosti. Od Komisije zato zahteva, naj upošteva, da se Uredba (ES) št. 45/2001 uporablja za CIS. Glede na to, da CIS vsebuje osebne podatke, Komisija pa ima dostop do podatkovne baze, v kateri ima vlogo nadzornika podatkov, ENVP potrjuje, da se Uredba (ES) št. 45/2001 za CIS nedvomno uporablja. ENVP zato pozdravlja to spremembo, ki odraža trenutni pravni okvir na področju varstva podatkov.

30. ENVP opozarja, da mora zaradi uporabe člena 27 Uredbe (ES) št. 45/2001 in dejstva, da utegnejo nameni CIS posebej ogroziti pravice in svoboščine posameznika, na katerega se podatki nanašajo, sistem predhodno preveriti.

31. Člen 34 predloga poleg uporabe Uredbe (ES) št. 45/2001 ohranja sočasno uporabo nacionalnih določb o izvajanju Direktive 95/46/ES. ENVP meni, da je to ustrezen pristop, saj organom držav članic omogoča dostop do CIS ter jih pooblašča za vključevanje in nadaljnjo obdelavo podatkov v CIS. ENVP kot sklepno ugotovitev navaja, da si nadzor nad CIS delita Komisija in države članice, ki delujejo kot sonadzorniki podatkov CIS.

II.3. ENVP v vlogi nadzornika CIS skupaj z nacionalnimi organi za varstvo podatkov

32. Evropski nadzornik za varstvo podatkov je na podlagi uporabe Uredbe (ES) št. 45/2001 odgovoren, da se zagotovi uporaba Uredbe, kar zadeva CIS. V nekaterih členih predloga se pristojnosti ENVP odražajo, v nekaterih pa ne. ENVP obžaluje zlasti, da nekateri deli člena 37 v zvezi z nadzorom niso bili ustrezno spremenjeni, zato zakonodajalce poziva, naj vnesejo spremembe, opisane v nadaljevanju.

33. ENVP ugotavlja, da člen 37.1 organom držav članic izrecno priznava pristojnosti za nadzor nad CIS. Člen 37.1 pa ne omenja podobnih pristojnosti, ki jih ima ENVP na podlagi Uredbe (ES) št. 45/2001. Problem dodatno poudarja člen 37.3, ki ga predlog ni spremenil. V členu 37.3 je navedeno: „Komisija v okviru svojih služb uvede vse ukrepe, ki so potrebni za zagotavljanje nadzora nad varstvom osebnih podatkov, ki ponuja zagotovila, ustrezna tistim iz odstavka 1“. Povedano drugače, člen 37.1 nadzor osebnih podatkov dodeljuje Komisiji. Ta člen bi bilo torej treba spremeniti tako, da bi odražal novo nadzorno vlogo ENVP. Člen 37.3 v trenutni obliki ni smiseln. Da bi težavo rešili, bi ga bilo treba spremeniti tako, da bi se glasil: „Evropski nadzornik za varstvo podatkov bo nadzoroval skladnost CIS z Uredbo (ES) št. 45/2001.“

34. Poleg tega bi morali nadzor nad CIS izvajati ENVP in nacionalni organi za varstvo podatkov, saj CIS ne ureja le Uredba (ES) št. 45/2001 temveč tudi nacionalne določbe o izvajanju Direktive 95/46/ES. Nazadnje, nadzorne dejavnosti nacionalnih nadzornih organov in ENVP bi bilo treba do določene mere uskladiti in s tem zagotoviti zadostno stopnjo doslednosti in učinkovitosti. Kakor je navedeno v predhodnih mnenjih ENVP v zvezi s podatkovnimi bazami pod nadzorom držav članic EU in ENVP, „obstaja potreba po usklajenem izvajanju Uredbe in po približevanju k skupnemu pristopu za reševanje skupnih težav“ (13).

35. Predlog žal ne predvideva postopka usklajevanja, s katerim bi se strukturiralo in spodbudilo sodelovanje med ENVP in nacionalnimi organi za varstvo podatkov. Za odpravo tega problema ENVP kot prvo možnost navaja, naj se v člen 37 vključi nov del, ki bi obravnaval nadzor nad varstvom podatkov in določal, da „ENVP vsaj enkrat letno skliče sestanek z vsemi nacionalnimi nadzornimi organi, na katerem se obravnavajo vprašanja, povezana z nadzorom CIS. Člani nacionalnih organov za varstvo podatkov in ENVP se imenujejo nadzorni organi“.

36. Boljša rešitev, ki bi odražala zgoraj omenjen večstopenjski pristop k nadzoru, bi bila, da se določbe o nadzoru (člen 37) ločijo na več določb, vsaka od teh pa bi bila posvečena eni stopnji nadzora, kakor je bilo to ustrezno urejeno v nedavno sprejetih pravnih instrumentih o vzpostavitvi Schengenskega informacijskega sistema (SIS II). Členi 44 do 46 Uredbe (ES) št. 1987/2006 Evropskega parlamenta in Sveta z dne 20. decembra 2006 o vzpostavitvi, delovanju in uporabi druge generacije schengenskega informacijskega sistema (SIS II) (14) uvajajo uravnotežen sistem nadzora, ki se v medsebojnem usklajevanju opravlja na nacionalni in evropski ravni. ENVP priporoča, naj se za CIS predvidi enak sistem nadzora (z manjšimi prilagoditvami). CIS in SIS II sta namreč v veliki meri primerljiva, kar zadeva strukturo nadzora.

37. Člen 43.5 predvideva, da se bo odbor v ad hoc sestavi iz člena 43.1 (v nadaljevanju „odbor v ad hoc sestavi“) redno sestajal in preučeval probleme v zvezi z varstvom podatkov v CIS. ENVP meni, da omenjeni odbor v ad hoc sestavi ne sme veljati za ustrezno telo za izvajanje nadzora nad CIS, saj so za to pristojni izključno nacionalni organi držav članic in ENVP. Ad hoc sestava iz člena 43.5 predstavlja namreč „komitološki “odbor.

38. ENVP kljub temu meni, da predstavlja odbor v ad hoc sestavi primeren forum za preučevanje problemov nadzora podatkov, povezanih z delovanjem CIS. Zato predlaga, da se besedilo člena 43.5 preoblikuje tako, da bi odražalo naloge in vlogo odbora v ad hoc sestavi iz člena 43.5: „Odbor skupaj z nadzorno skupino iz člena … preuči vse probleme, povezane z delovanjem CIS, na katere naletijo nadzorni organi. Odbor se v ad hoc sestavi sestane najmanj enkrat letno.“

39. ENVP želi zakonodajalca opozoriti na še eno lastnost, lastno sistemoma CIS in SIS II: oba delujeta v okviru prvega in tretjega stebra, zato sta za vsak sistem potrebni dve različni pravni podlagi. CIS v okviru tretjega stebra upravlja konvencija, omenjena v točki 3 tega mnenja. Posledično se med drugim spremeni struktura nadzora: CIS v okviru prvega stebra bo nadzoroval ENVP in nacionalni organi za varstvo podatkov, del v okviru tretjega stebra pa bo pod nadzorstvom skupnega nadzornega organa (v sestavi predstavnikov istih nacionalnih organov). Takšen sistem nadzora je razmeroma okoren, kar utegne povzročiti nedoslednost in ne največjo učinkovitost. Navedeno ponazarja težavnost tovrstnega zapletenega pravnega okolja.

40. Treba je opozoriti, da je evropski zakonodajalec v okviru SIS II izbral racionalizacijo nadzornega modela, saj je za sistem tako v okviru prvega kot tudi tretjega stebra uporabil enak, zgoraj opisan večstopenjski model. Ta pristop je nedvomno vredno preučiti, zato ENVP priporoča, naj se nadalje preuči, kako bi tak pristop lahko prispeval k boljšemu in doslednejšemu nadzoru.

II.4. Pravice posameznikov

41. Pravice posameznikov glede varstva podatkov v okviru predloga, zlasti pravico dostopa, urejata člena 36 in 37, ki ju je predlog delno spremenil. ENVP se želi posvetiti naslednjim trem vprašanjem, povezanim s pravico dostopa: (i) veljavna zakonodaja – prej člen 36.1; (ii) omejitve pravice dostopa – prej člen 36.2 in (iii) postopek, s katerim posamezniki predložijo zahtevke za dostop – prej člen 37.2 predloga.

42. Veljavna zakonodaja: Člen 36.1, ki ga predlog ni spremenil, vzporedno priznava pravice posameznikov do varstva podatkov in določa, da pravico dostopa ureja bodisi zakonodaja držav članic bodisi pravila o varstvu podatkov, ki veljajo za Komisijo, odvisno od tega, ali se takšne pravice uveljavljajo v državah članicah ali v institucijah EU. To merilo odraža zgoraj navedene ugotovitve o členu 34 predloga, in sicer, da sta Komisija in države članice sonadzornika CIS. ENVP se s tem pristopom strinja in z zadovoljstvom ugotavlja, da je predlog ohranil besedilo člena 36.1. Vsekakor je razvidno, da se ta določba implicitno sklicuje na ustrezno nacionalno zakonodajo o izvajanju Direktive 95/46/ES ali Uredbe (ES) št. 45/2001. Katera zakonodaja se v posameznem primeru uporablja, bo odvisno od tega, kje se pravice uveljavljajo.

43. Omejitve pravice dostopa: Drugi odstavek člena 36.2 določa, da se „med izvajanjem vpogleda, poročanjem in med potekom operativne analize ali preiskave dostop zavrne“. Zaradi zgoraj navedenih razlogov bi ENVP želel vključiti spremembo, ki se glasi: „dostop lahko zavrne “(v nasprotju z „dostop zavrne“).

44. Posamezniki so na podlagi Uredbe (ES) št. 45/2001 načeloma upravičeni do uveljavljanja pravice dostopa do svojih osebnih podatkov. Člen 20 Uredbe (ES) št. 45/2001 pa priznava, da se takšna pravica lahko omeji, če je izpolnjen eden od posebnih pogojev, ki omejitev upravičuje. Povedano drugače, posamezniki imajo načeloma pravico dostopa, a takšen dostop se lahko omeji. Nasprotno pa besedilo iz člena 36.2 „dostop zavrne“ne omogoča presoje o tem, ali se dostop lahko odobri ali ne. To dejansko pomeni, da posamezniki v določenem obdobju nimajo takšne pravice. Ni razloga, da splošni pristop iz Uredbe (ES) št. 45/2001 ne bi bil ustrezen v tem primeru, še posebej če bi člen 20 omogočil omejitev pravic dostopa v obdobju, predvidenem v členu 36.2. Če bi Komisija dejansko želela omejiti dostop, bi se lahko sklicevala na člen 20, v skladu s katerim se dostop lahko zavrne kot ukrep v zaščito raziskovanja.

45. ENVP meni, da bi bilo treba predlog oblikovati po zgledu Uredbe (ES) št. 45/2001. Nasprotno bi bilo v protislovju s splošnim okvirom, ki predvideva pravico dostopa v skladu z Uredbo (ES) št. 45/2001. Težavo bi lahko enostavno rešili tako, da bi besedo „zavrne “nadomestili z „lahko zavrne“.

46. Postopek, s katerim posamezniki predložijo zahtevke za dostop: predlog je spremenil prvotni člen 37.2 Uredbe (ES) št. 515/97, ki je obravnaval postopek za vložitev zahtevkov za dostop do informacij o tem, ali CIS vsebuje osebne podatke posameznika. Nov člen 37.2 priznava možnost posameznikov, da pri evropskem nadzorniku za varstvo podatkov in nacionalnih nadzornih organih – odvisno od tega, ali je podatke v CIS vnesla Komisija ali država članica – vložijo zahtevke za dostop.

47. ENVP pozdravlja to spremembo, ki je postopek nekoliko bolj uskladila z veljavnim pravnim okvirom na področju varstva podatkov. Kljub temu pa EDSP zaradi spodaj navedenih razlogov meni, da pristojnosti držav članic ali Komisije ne bi smel pogojevati subjekt, ki je podatke vnesel v CIS. Prvič, ENVP ugotavlja, da posamezniki najverjetneje ne bodo vedeli, kdo je podatke vnesel v CIS, torej Komisija ali država članica. Posledično tudi ne bodo vedeli, kdo je pristojen za obravnavo njihovega zahtevka za dostop. Postopek za vložitev zahtevka za dostop bo postal zavirajoč, če bodo morali posamezniki najprej ugotoviti, kdo je podatke vnesel. Drugič, ENVP meni, da je ta določba v nasprotju z merilom iz člena 36.1, po katerem pravico dostopa ureja zakonodaja držav članic ali pravila o varstvu podatkov, ki se uporabljajo za Komisijo, kar je odvisno od tega, ali se takšne pravice uveljavljajo v državah članicah ali v institucijah EU. Pristojnost glede zahtevkov za dostop bi torej moralo, vsaj zaradi usklajenosti s členom 36, pogojevati dejstvo, ali se je takšen dostop zaprosil pri nacionalnih nadzornih organih ali pri ENVP.

48. Za razrešitev problema bi bilo treba stavek „odvisno od tega, ali je podatke v CIS vnesla država članica ali Komisija“nadomestiti z „odvisno od tega, ali se pravice uveljavljajo pri nacionalnih nadzornih organih ali pri ENVP“. S takšnim pristopom bi tudi naslednji stavek iz odstavka 37.2 postal popolnoma smiseln: „Če je podatke vnesla druga država članica ali Komisija, se preveritev opravi v tesnem sodelovanju z nacionalnim nadzornim organom te države članice ali z Evropskim nadzornikom za varstvo podatkov.“

II.5. Izmenjave podatkov

49. Predlog ne dodaja novih elementov v zvezi z izmenjavami osebnih podatkov z organi tretjih držav. To vprašanje obravnava člen 30.4 Uredbe. ENVP meni, da bi bilo ta člen treba spremeniti, da bi opozoril na potrebo Komisije (ne le držav članic) po sprejetju posebnih ukrepov, ki bi zagotovili varstvo podatkov med njihovim posredovanjem ali predložitvijo službam s sedežem v tretjih državah. Poleg tega bi bilo treba spremeniti člen 30.4, da bi zagotovili skladnost z zakonodajo, ki se uporablja za prenos osebnih podatkov v tretje države.

III. Podatkovna baza carinskih datotek („FIDE“)

50. Členi 41a, b, c in d predloga določajo pravila za delovanje podatkovne baze carinskih datotek. FIDE pristojnim organom omogoča, da preverijo, ali je oseba oziroma podjetje v kazenski preiskavi v katerikoli državi članici.

51. FIDE že obstaja kot orodje, ki ga države članice uporabljajo v okviru tretjega stebra (15). Namen člena 41 je torej zagotoviti pravno podlago za FIDE Skupnosti, kar ENVP pozdravlja.

52. Pripombe iz dela II zgoraj se smiselno uporabljajo tudi za FIDE, saj se vse določbe predloga, ki se uporabljajo za CIS, uporabljajo tudi za FIDE – prej člen 41a.

III.1. Uporaba Uredbe (ES) št. 45/2001

53. ENVP ugotavlja, da se za FIDE nedvomno uporablja Uredba (ES) št. 45/2001 o varstvu posameznikov pri obdelavi osebnih podatkov v institucijah in organih Skupnosti in o prostem pretoku takih podatkov, saj je za obdelavo podatkov v FIDE pristojna Komisija. ENVP meni, da bi moral člen 41 opozoriti na uporabo Uredbe (ES) št. 45/2001 za FIDE in na nadzorne pristojnosti ENVP pri spremljanju in zagotavljanju skladnosti z določbami Uredbe.

54. ENVP opozarja, da se utegnejo zaradi uporabe člena 27 Uredbe (ES) št. 45/2001 ter ob upoštevanju namenov FIDE in narave vnesenih podatkov posebej ogroziti pravice in svoboščine posameznika, na katerega se podatki nanašajo, zato mora ENVP sistem predhodno preveriti.

III.2 Hramba podatkov

55. Člen 41d določa posebna obdobja za hrambo podatkov. ENVP meni, da so časovne omejitve iz člena 41d primerne.

56. Ni jasno, kako je ta določba povezana s členom 33, ki zadeva CIS. Določba 41d bi denimo imela prednost pred določbo o istem vprašanju, ki zadeva CIS, to pa v predlogu ni izrecno navedeno. Dobrodošla bi bila določba, ki bi to točko pojasnila.

III.3. Posodobitev podatkov v FIDE

57. Na podlagi načela kakovosti podatkov iz člena 4 Uredbe (ES) št. 45/2001 morajo biti osebni podatki primerni, ustrezni in ne pretirani glede na namen, za katerega se zbirajo. Očitno je, da je kakovost osebnih podatkov mogoče zagotoviti le, če se njihova točnost redno in ustrezno preverja. ENVP prav tako pozdravlja določbo člena 41d, ki določa, da je treba nemudoma izbrisati vse podatke, ki se nanašajo na osebo, glede katere v skladu z zakoni, pravili in postopki države članice, ki zagotovi podatke, ni več razlogov za sum.

58. Da pa bi nasprotno zagotovili, da nepotrebni podatki ne ostanejo v FIDE, ENVP predlaga, da se za FIDE uporabijo nekatera pravila o varstvu podatkov, ki so v členu 33 določena za CIS. ENVP predlaga zlasti, naj se za FIDE uporabijo določbe člena 33.1, v skladu s katerim uporabnica, ki je zagotovila podatke, preveri vsaj enkrat letno potrebo po njihovi hrambi. V ta namen predlaga, da se za členom 41d.2 vključi naslednje besedilo: „Potrebo po hrambi podatkov vsaj enkrat letno preveri država članica, ki je zagotovila podatke.“

SKLEPI

59. ENVP pozdravlja dejstvo, da je bilo z njim izvedeno posvetovanje glede predloga, ki predvideva oblikovanje ali dopolnitev različnih sistemov, ki vsebujejo osebne podatke, in sicer evropske podatkovne baze, carinskega informacijskega sistema (CIS) in podatkovne baze carinskih datotek (FIDE), s katerimi naj bi se okrepilo sodelovanje in izmenjava informacij med državami članicami ter med slednjimi in Komisijo.

60. ENVP v zvezi z vsebino predloga podaja naslednje sklepne ugotovitve: — Predlog ne zagotavlja zadostnih argumentov v podporo potrebi po oblikovanju evropske podatkovne baze. ENVP poziva Komisijo, naj ustrezno presodi potrebo po oblikovanju baze in poroča o svojih ugotovitvah. — V člen 18a.1 bi bilo treba vključiti naslednji nov odstavek, ki bi opozoril na uporabo Uredbe (ES) št. 45/2001 za evropsko podatkovno bazo: „Komisija obravnava evropsko podatkovno bazo kot sistem za obdelavo osebnih podatkov, ki ga ureja Uredba (ES) št. 45/2001“. — Pojasniti bi bilo treba, da se pri uporabi evropske podatkovne baze s strani držav članic uporabljajo nacionalne določbe o izvajanju Direktive 95/46/ES; ENVP predlaga naslednjo spremembo člena 18a2(c): „Komisija je pri upravljanju te podatkovne baze pooblaščena, da: (c) podatke iz te podatkovne baze da na voljo pristojnim organom iz člena 1(1), izključno za namene doseganja ciljev iz te uredbe. Pri nadaljnjih uporabah osebnih podatkov s strani teh organov se uporabljajo nacionalne določbe o izvajanju Direktive 95/46/ES“. — Predlog ne omenja varnostnih ukrepov v zvezi z evropsko podatkovno bazo. ENVP meni, da bi bilo treba dodati nov odstavek k členu 18a2 o sprejetju dodatnih upravnih pravil, ki bi uvedla posebne ukrepe, s katerimi bi se zagotovila zaupnost podatkov. Pri sprejemanju the pravil bi se bilo treba posvetovati z ENVP. — Predlog ne priznava v celoti nadzorne vloge ENVP, kar zadeva carinski informacijski sistem (CIS). Da bi problem rešili, bi bilo člen 37.3 treba spremeniti tako, da bi navajal: „Evropski nadzornik za varstvo podatkov bo nadzoroval skladnost CIS z Uredbo (ES) št. 45/2001.“ — Nadzorne dejavnosti nacionalnih nadzornih organov in ENVP bi bilo treba do določene mere uskladiti in s tem zagotoviti zadostno usklajenost in splošno učinkovitost pri nadzoru CIS. ENVP v ta namen kot prvo možnost predlaga, da se v člen 37 vključi nov del, ki bi določal, da „ENVP vsaj enkrat letno skliče sestanek z vsemi nacionalnimi nadzornimi organi, na katerem se obravnavajo vprašanja, povezana z nadzorom CIS. Člani nacionalnih organov za varstvo podatkov in ENVP se imenujejo nadzorni organi“. Še boljša rešitev pa bi bila zgledovanje po nedavno sprejetem naprednejšem modelu za drugo generacijo Schengenskega informacijskega sistema (SIS II). V skladu s tem pristopom bi se v vsakem primeru moral na naslednji način spremeniti člen 43.5: „Odbor skupaj z nadzorno skupino iz člena… preuči vse probleme, povezane z delovanjem CIS, na katere naletijo nadzorni organi iz člena 37. Odbor se v ad hoc sestavi sestane najmanj enkrat letno.“ — Drugi odstavek člena 36.2 o dostopu do osebnih podatkov, shranjenih v CIS, določa, da se „med izvajanjem vpogleda, poročanjem in med potekom operativne analize ali preiskave ′dostop zavrne′ “. Zaradi usklajenosti z Uredbo (ES) št. 45/2001 bi ENVP želel vključiti spremembo, ki bi se glasila „dostop lahko zavrne“. — Kar zadeva postopek glede zahtevka za dostop, in sicer dejstvo, ali je za dostop treba zaprositi ENVP ali nacionalne nadzorne organe, ENVP meni, da je predlagani sistem iz člena 37.2, po katerem je pristojni organ odvisen od tega, ali je podatke v CIS vnesla država članica ali Komisija, zelo zavirajoč. Bil bi tudi v nasprotju z ostalimi členi predloga. Da bi težavo odpravili, bi bilo treba del stavka „odvisno od tega, ali je podatke v CIS vnesla država članica ali Komisija“iz člena 37.2 nadomestiti z „odvisno od tega, ali se pravice uveljavljajo pri nacionalnih nadzornih organih ali pri ENVP.“ — ENVP meni, da bi moral člen 41a opozoriti na uporabo Uredbe (ES) št. 45/2001 za podatkovno bazo carinskih datotek (FIDE) in na nadzorne pristojnosti ENVP pri spremljanju in zagotavljanju skladnosti z določbami Uredbe.

61. Da bi zagotovili, da se nepotrebni podatki iz FIDE odstranijo, ENVP predlaga, da se za členom 41d.2 vključi naslednje besedilo: „Potrebo po hrambi podatkov vsaj enkrat letno preveri država članica, ki je zagotovila podatke.“

62. V zvezi s postopkom ENVP: — predlaga, da se v preambulo predloga vstavi izrecno sklicevanje na pričujoče mnenje: „Po posvetovanju z Evropskim nadzornikom za varstvo podatkov“; — opozarja, da mora ENVP v skladu s členom 27 Uredbe (ES) št. 45/2001 predhodno preveriti evropsko podatkovno bazo, CIS in FIDE, saj postopki obdelave vseh treh sistemov zaradi namena podatkovne baze in narave podatkov predstavljajo posebna tveganja za pravice in svoboščine posameznika, na katerega se podatki nanašajo.

V Bruslju, 22. februarja 2007. Peter HUSTINX Evropski nadzornik za varstvo podatkov

(1) UL L 281, 23.11.1995, str. 31.

(2) UL L 8, 12.1.2001, str. 1.

(3) UL L 82, 22.3.1997, str. 1.

(4) Protokol na podlagi člena 34 Pogodbe o Evropski uniji o spremembi Konvencije o uporabi informacijske tehnologije v carinske namene (Konvencija CIS) glede vzpostavitve identifikacijske podatkovne baze carinskih datotek. Protokol je bil sprejet z Aktom Sveta z dne 8. maja 2003 (2003/C 139/01),UL C 139, 13.6.2003, str. 1.

(5) Pravna podlaga medvladne podatkovne baze je Konvencija CIS, sestavljena na podlagi člena K.3 Pogodbe o Evropski uniji o uporabi informacijske tehnologije za carinske namene, UL C 316, 27.11.1995, str. 34.

(6) Glej Predlog uredbe Evropskega parlamenta in Sveta o spremembi Uredbe (ES) št. 1073/1999 o preiskavah, ki jih izvaja Evropski urad za boj proti goljufijam (OLAF), {SEC(2006) 638 } /* COM/2006/0244 konč. – COD 2006/0084.

(7) Mnenje Evropskega varuha osebnih podatkov o Predlogu uredbe Evropskega parlamenta in Sveta o medsebojni upravni pomoči za zaščito finančnih interesov Skupnosti pred goljufijami in drugimi oblikami nezakonitega ravnanja (KOM (2004) 509 končno, 20. julij 2004), UL C 301, 7.12.2004, str. 4.

(8) Člen 18.3(c) omejuje podatke na največ „priimek, dekliški priimek, imena, nadomestna imena, datum in kraj rojstva, državljanstvo, spol ter naslov lastnikov, pošiljateljev, prejemnikov, špediterjev, prevoznikov in drugih posrednikov ali oseb, vključenih v mednarodno logistično mrežo in prevoz blaga“.

(9) Nadzorniki podatkov so posamezniki ali telesa, ki opredelijo namene obdelave podatkov in sredstva za njihovo obdelavo v javnem in zasebnem sektorju.

(10) Razen če so v skladu z nacionalnimi določbami o izvajanju Direktive 95/46/ES o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov posameznike o tem že obvestili ponudniki storitev, ki podatke posredujejo Komisiji.

(11) Postopki obdelave podatkov, ki jih mora ENVP predhodno preveriti, zajemajo postopke, navedene v členu 27 Uredbe (ES) št. 45/2001, vključno s postopki obdelave podatkov v zvezi z zdravjem in sumi kaznivih dejanj, kaznivimi dejanji, kazenskimi obsodbami ali varnostnimi ukrepi; (b) postopki obdelave, ki so namenjeni ovrednotenju osebnih vidikov v zvezi s posameznikom, na katerega se nanašajo osebni podatki, vključno z njegovo sposobnostjo, učinkovitostjo in ravnanjem; (c) postopki obdelave za omogočanje povezav, ki niso predvidene skladno z nacionalno zakonodajo ali zakonodajo Skupnosti med podatki, obdelovanimi za različne namene; (d) postopki obdelave z namenom odvzema pravice, ugodnosti ali pogodbe posamezniku.

(12) Podatki o rasni ali etnični pripadnosti, političnem mnenju, verskem ali filozofskem prepričanju, sindikalni pripadnosti in podatki o zdravju ali spolni usmerjenosti osebe.

(13) Mnenje z dne 19. oktobra 2005 o treh predlogih glede druge generacije Schengenskega informacijskega sistema (SIS II) (COM (2005)230 konč., COM (2005)236 konč. in COM (2005)237 konč.), UL C 91,19.4.2006, str. 38; Mnenje z dne 23. marca 2005 o Predlogu uredbe Evropskega parlamenta in Sveta o Vizumskem informacijskem sistemu (VIS) in izmenjavi podatkov o vizumih za kratkoročno prebivanje med državami članicami, UL C 181, 23.7.2005, str. 13.

(14) UL L 381, 28.12.2006, str. 4-23.

(15) Ustanovljen z Aktom Sveta z dne 8. maja 2003 o pripravi Protokola o spremembi Konvencije o uporabi informacijske tehnologije v carinske namene.