SL Uradni list Evropske unije C 139/6

Mnenje Evropskega nadzornika za varstvo podatkov o predlogu Komisije za uredbo Evropskega parlamenta in Sveta o spremembi Uredbe (ES) št. 1060/2009 o bonitetnih agencijah

2012/C 139/02

EVROPSKI NADZORNIK ZA VARSTVO PODATKOV JE –

ob upoštevanju Pogodbe o delovanju Evropske unije in zlasti člena 16 Pogodbe,

ob upoštevanju Listine Evropske unije o temeljnih pravicah ter zlasti členov 7 in 8 Listine,

ob upoštevanju Direktive Evropskega parlamenta in Sveta 95/46/ES z dne 24. oktobra 1995 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov (1),

ob upoštevanju Uredbe (ES) št. 45/2001 Evropskega parlamenta in Sveta z dne 18. decembra 2000 o varstvu posameznikov pri obdelavi osebnih podatkov v institucijah in organih Skupnosti in o prostem pretoku takih podatkov (2) ter zlasti člena 28(2) Uredbe –

SPREJEL NASLEDNJE MNENJE:

1. UVOD

1.1 Posvetovanje z evropskim nadzornikom za varstvo podatkov (ENVP)

1. To mnenje je del svežnja štirih mnenj ENVP, ki se nanašajo na finančni sektor in so bila vsa sprejeta istega dne.

2. Komisija je 15. novembra 2011 sprejela predlog o spremembah Uredbe (ES) št. 1060/2009 o bonitetnih agencijah (v nadaljnjem besedilu: uredba o bonitetnih agencijah) (3). Predlog je bil 18. novembra 2011 poslan ENVP v posvetovanje.

3. ENVP pozdravlja dejstvo, da se Komisija posvetuje z njim, in priporoča, da se v preambulo sprejetega instrumenta vključi sklicevanje na to mnenje.

4. Vendar ENVP obžaluje, da se Komisija z njim ni uradno posvetovala niti med pripravo izvirne uredbe o bonitetnih agencijah, ki je začela veljati 7. decembra 2010, niti v zvezi z nedavnimi spremembami navedene uredbe (4).

5. Zato ENVP v tem mnenju meni, da je primerno in koristno obravnavati vprašanja v zvezi z že veljavno uredbo o bonitetnih agencijah. Prvič, ENVP poudarja morebitne posledice uredbe o bonitetnih agencijah za varstvo podatkov. Drugič, analiza, predstavljena v tem mnenju, neposredno zadeva uporabo veljavne zakonodaje ter druge, še nesprejete in morebitne prihodnje predloge, ki bi vsebovali podobne določbe, kot so tiste, ki so bile obravnavane v mnenjih ENVP o zakonodajnem svežnju o reviziji bančne zakonodaje, trgih finančnih instrumentov (MIFID/MIFIR) in zlorabi trga.

1.2 Cilji in področje uporabe predloga in sedanje uredbe

6. Komisija meni, da so bonitetne agencije pomembni udeleženci na finančnih trgih in da mora biti njihovo delovanje urejeno z ustreznim pravnim okvirom. Prva uredba o bonitetnih agencijah je začela veljati 7. decembra 2010. Od bonitetnih agencij zahteva upoštevanje strogih pravil o ravnanju, da bi se zmanjšala možna navzkrižja interesov ter zagotovili visoka kakovost in zadostna preglednost bonitetnih ocen in postopka bonitetnega ocenjevanja. Obstoječe bonitetne agencije so morale zaprositi za registracijo in izpolniti zahteve uredbe do 7. septembra 2010.

7. Spremembe uredbe o bonitetnih agencijah (Uredba (EU) št. 513/2011), ki so začele veljati 1. junija 2011, so Evropskemu organu za vrednostne papirje in trge (ESMA) zaupale izključna pooblastila za nadzor nad bonitetnimi agencijami, registriranimi v EU, in sicer z namenom centralizirati ter poenostaviti njihovo registracijo in nadzor na evropski ravni.

8. Sedanja predlagana zakonodaja vključuje spremembe uredbe o bonitetnih agencijah, vendar je ne nadomešča. Glavni politični cilj predlagane revizije je obravnavati številna vprašanja, povezana z bonitetnimi agencijami in uporabo bonitetnih ocen, ki niso bila ustrezno obravnavana v obstoječi uredbi o bonitetnih agencijah.

1.3 Namen mnenja ENVP

9. Čeprav se večina določb uredbe o bonitetnih agencijah nanaša na izvajanje dejavnosti bonitetnih agencij in nadzor nad njihovimi dejavnostmi, lahko izvajanje in uporaba pravnega okvira v nekaterih primerih vplivata na pravice posameznikov v zvezi z obdelavo njihovih osebnih podatkov.

10. Uredba o bonitetnih agencijah omogoča izmenjavo informacij med organom ESMA, pristojnimi organi, pristojnimi področnimi organi in, po možnosti, tretjimi državami (5). Te informacije se lahko nanašajo na posameznike, kot so osebe, ki so vključene v dejavnosti bonitetnega ocenjevanja, in osebe, ki so drugače tesno in pomembno povezane z bonitetnimi agencijami ali dejavnostmi bonitetnega ocenjevanja. Te določbe lahko imajo posledice za varstvo podatkov za zadevne posameznike.

11. Glede na navedeno bo glavna pozornost tega mnenja namenjena naslednjim vidikom uredbe o bonitetnih agencijah v zvezi z zasebnostjo in varstvom podatkov: 1. uporabi zakonodaje o varstvu podatkov, 2. prenosom podatkov tretjim državam, 3. dostopu do zapisov o telefonskem in podatkovnem prometu ter 4. zahtevam glede razkritja v zvezi s strukturiranimi finančnimi instrumenti in periodičnimi denarnimi kaznimi.

2. ANALIZA PREDLOGA

2.1 Uporaba zakonodaje o varstvu podatkov (6)

12. V več uvodnih izjavah (7) uredbe o bonitetnih agencijah so navedene Listina o temeljnih pravicah, Direktiva 95/46/ES in Uredba (ES) št. 45/2001. Vendar je treba sklic na veljavno zakonodajo o varstvu podatkov vključiti v vsebinski člen uredbe o bonitetnih agencijah.

13. Dober primer take vsebinske določbe je v členu 22 predloga uredbe Evropskega parlamenta in Sveta o trgovanju z notranjimi informacijami in tržni manipulaciji (8), ki kot splošno pravila izrecno določa, da se za obdelavo osebnih podatkov v okviru predloga uporabljata Direktiva 95/46/ES in Uredba (ES) št. 45/2001. ENVP je danes izdal mnenje o tem predlogu, v katerem je odločno pozdravil tovrstno splošno določbo. Vendar predlaga pojasnitev sklica na Direktivo 95/46/ES z opredelitvijo, da se bodo določbe uporabljale v skladu z nacionalnimi predpisi, ki izvajajo Direktivo 95/46/ES.

14. To je na primer pomembno v zvezi z različnimi določbami glede izmenjave osebnih podatkov. Te določbe so popolnoma legitimne, vendar jih je treba uporabljati skladno z zakonodajo o varstvu podatkov. Preprečiti je treba predvsem tveganje, da se te določbe štejejo za splošno pooblastilo za izmenjavo vseh vrst osebnih podatkov. Vključitev sklica na zakonodajo o varstvu podatkov, tudi v vsebinske določbe, bi bistveno zmanjšala tako tveganje (9).

15. ENVP zato predlaga vključitev podobne vsebinske določbe, kot je v členu 22 predloga za uredbo Evropskega parlamenta in Sveta o trgovanju z notranjimi informacijami in tržni manipulaciji (10), ob upoštevanju njegovih predlogov v zvezi s tem mnenjem (11), to je poudarek uporabe obstoječe zakonodaje o varstvu podatkov in pojasnitev sklica na Direktivo 95/46/ES z opredelitvijo, da se bodo določbe uporabljale v skladu z nacionalnimi predpisi, ki izvajajo Direktivo 95/46/ES.

2.2 Izmenjave informacij s tretjimi državami (12)

16. ENVP ugotavlja, da je v členu 34(3) uredbe o bonitetnih agencijah sklic na Uredbo (ES) št. 45/2001 v zvezi s prenosom osebnim podatkov tretjim državam.

17. Vendar ENVP zaradi zadevnih tveganj v zvezi s takimi prenosi priporoča, da se dodajo posebni zaščitni ukrepi, kot je bilo storjeno v členu 23 predloga uredbe Evropskega parlamenta in Sveta o trgovanju z notranjimi informacijami in tržni manipulaciji. ENVP je v svojem mnenju o tem predlogu pozdravil uporabo take določbe, ki vsebuje ustrezne zaščitne ukrepe, kot so ocena za vsaj primer posebej, zagotovilo o nujnosti prenosa in obstoj ustrezne ravni varstva osebnih podatkov v tretji državi, ki bo prejela osebne podatke.

2.3 Pristojnost organa ESMA, da zahteva zapise o telefonskem in podatkovnem prometu (13)

2.3.1 Pooblastilo sodišča

18. Člen 23c(1)(e) določa, da lahko organ ESMA za opravljanje svojih nalog po tej uredbi izvede vse potrebne preiskave. Zato imajo njegovi uradniki in druge osebe, ki jih organ ESMA za to pooblasti, pristojnost, da zahtevajo zapise o telefonskem in podatkovnem prometu. Ta določba zaradi svoje široke ubeseditve vzbuja več pomislekov glede stvarnega in osebnega obsega. Uredba o bonitetnih agencijah poleg tega zahteva predhodno pooblastilo sodišča, na podlagi katerega lahko organ ESMA zahteva dostop do zapisov o telefonskem in podatkovnem prometu, če je to potrebno v skladu z nacionalnimi predpisi (14).

19. V predlagani uredbi ni opredeljen pojem „zapisi telefonskega in podatkovnega prometa“. Direktiva 2002/58/ES (zdaj, kakor je bila spremenjena z Direktivo 2009/136/ES, imenovana „direktiva o e-zasebnosti“) se sklicuje le na „podatke o prometu“ in ne na „zapise o telefonskem in podatkovnem prometu“. Samo po sebi je umevno, da natančen pomen teh pojmov določa učinek, ki ga lahko imajo preiskovalna pooblastila na zasebnost in varstvo podatkov zadevnih oseb. ENVP predlaga uporabo terminologije, ki se že uporablja v opredelitvi pojma „podatki o prometu“ iz Direktive 2002/58/ES.

20. Informacije v zvezi z uporabo elektronskih komunikacijskih sredstev lahko vsebujejo zelo raznovrstne osebne podatke, kot so identiteta oseb, ki kličejo ali prejmejo klic, čas in trajanje klica, uporabljeno omrežje, geografska lokacija uporabnika v primeru prenosnih naprav itd. Nekateri podatki o prometu, ki se nanašajo na uporabo interneta in e-pošte (na primer seznam obiskanih spletnih strani), lahko razkrivajo tudi pomembne podrobnosti o vsebini sporočila. Poleg tega je obdelava podatkov o prometu v nasprotju s tajnostjo pisem in drugih občil. Zato je bilo v Direktivi 2002/58/ES določeno načelo, da morajo biti podatki o prometu, potem ko niso več potrebni za prenos sporočila, izbrisani ali predelani v anonimne (15). Države članice lahko v skladu s členom 15(1) te direktive v nacionalno zakonodajo vključijo odstopanja za posebne zakonite namene, vendar morajo biti ta odstopanja potrebna, primerna in sorazmerna znotraj demokratične družbe za izpolnitev teh namenov (16).

21. ENVP priznava, da so nameni Komisije v uredbi o bonitetnih agencijah zakoniti. Zaveda se potrebe po pobudah za okrepitev nadzora nad finančnimi trgi, da bi se ohranila njihova stabilnost ter bolje zaščitili vlagatelji in gospodarstvo na splošno. Vendar morajo biti preiskovalna pooblastila, ki so neposredno povezana s podatki o prometu, zaradi svoje potencialne invazivnosti usklajena z zahtevama nujnosti in sorazmernosti, kar pomeni, da morajo biti omejena na tisto, kar je primerno za uresničitev zastavljenega cilja, in da ne smejo prekoračiti okvirov, ki so potrebni za njegovo doseganje (17). Zato je v tem pogledu ključno, da so določbe jasno oblikovane, kar zadeva njihov osebni in stvarni obseg ter okoliščine in pogoje, v katerih oziroma pod katerimi jih je mogoče uporabiti. Poleg tega bi bilo treba predvideti ustrezne zaščitne ukrepe za tveganje zlorabe.

22. Člen 23c organ ESMA pooblašča za izvajanje preiskav oseb, ki so vključene v dejavnosti bonitetnega ocenjevanja, in oseb, ki so drugače tesno in pomembno povezane z bonitetnimi agencijami ali dejavnostmi bonitetnega ocenjevanja. V skladu s členom 23b se lahko poleg tega od teh fizičnih oseb zahteva, da organu ESMA zagotovijo vse informacije, ki se štejejo za potrebne.

23. Te določbe jasno kažejo, da bodo na podlagi uredbe o bonitetnih agencijah potekale izmenjave osebnih podatkov. Zdi se verjetno oziroma tega vsaj ni mogoče izključiti, da zadevni zapisi o telefonskem in podatkovnem prometu vključujejo osebne podatke v smislu Direktive 95/46/ES in Uredbe (ES) št. 45/2001 ter, v zadevnem obsegu, Direktive 2002/58/ES, to je podatke v zvezi s telefonskim in podatkovnim prometom določenih ali določljivih fizičnih oseb (18). Če to velja, bi bilo treba zagotoviti, da se v celoti upoštevajo pogoji poštene in zakonite obdelave osebnih podatkov, kot so določeni v navedenih direktivah in uredbi.

24. ENVP ugotavlja, da je v skladu s členom 23c(5) pooblastilo sodišča obvezno, kadar je tako pooblastilo potrebno v skladu z nacionalno zakonodajo. Vendar meni, da bi bila v vseh primerih upravičena splošna zahteva za predhodno pooblastilo sodišča, ne glede na to, ali to zahteva nacionalna zakonodaja, zaradi potencialne invazivnosti zadevnega pooblastila in izbire uredbe kot ustreznega pravnega instrumenta. Poleg tega je treba upoštevati, da različni zakoni držav članic določajo posebna jamstva o nedotakljivosti domovanja pred nesorazmernimi in zakonsko neskrbno urejenimi inšpekcijskimi pregledi, preiskavami in zasegi, zlasti kadar jih izvajajo upravne institucije.

25. Kot je bilo navedeno v zgornjem oddelku 2.1, pristojnost nadzornih organov, da zahtevajo dostop do zapisov o telefonskem in podatkovnem prometu, ni novost v evropski zakonodaji, saj je že predvidena v različnih veljavnih direktivah in uredbah v zvezi s finančnim sektorjem. Zlasti direktiva o zlorabi trga (19), direktiva o trgih finančnih instrumentov (20) in direktiva KNPVP (21) vse vsebujejo podobno oblikovane določbe. Enako velja za več nedavnih predlogov, ki jih je sprejela Komisija, in sicer za predloge direktive o upraviteljih alternativnih investicijskih skladov (22), uredbe o prodaji na kratko in nekaterih vidikih zamenjav kreditnega tveganja (23) ter uredbe o celovitosti in preglednosti energetskega trga (24).

26. Pri teh veljavnih in predlaganih pravnih instrumentih je treba razlikovati med preiskovalnimi pooblastili, podeljenimi nacionalnim organom, in tistimi, ki so podeljena organom EU. Več instrumentov določa, da morajo države članice nacionalnim organom podeliti pooblastilo za zahtevanje zapisov o telefonskem in podatkovnem prometu v skladu z nacionalnim pravom (25). Posledično se pri dejanskem izvajanju te obveznosti nujno upoštevajo nacionalni zakoni, vključno s tistimi o izvajanju direktiv 95/46/ES in 2002/58/ES ter drugimi nacionalnimi zakoni, ki vsebujejo dodatna postopkovna jamstva za nacionalne nadzorne in preiskovalne organe.

27. Uredba o bonitetnih agencijah ali drugi zakonodajni instrumenti, s katerimi se pooblastilo za zahtevanje zapisov o telefonskem in podatkovnem prometu neposredno podeljuje organom EU, ne vsebujejo nobenega takega pogoja. Zato se v teh primerih pojavlja še večja potreba po razjasnitvi samega pravnega instrumenta, osebnega in stvarnega obsega tega pooblastila ter okoliščin in pogojev, v katerih oziroma pod katerimi ga je mogoče uporabiti, ter zagotovitvi ustreznih zaščitnih ukrepov za primer zlorabe.

28. Člen 23c(1)(e) Uredbe organ ESMA pooblašča, da zahteva zapise o telefonskem in podatkovnem prometu. Kot bo nadalje pojasnjeno v nadaljevanju, področje uporabe določbe in zlasti natančen pomen izraza „zapisi o telefonskem in podatkovnem prometu“ nista jasna.

2.3.2 Opredelitev pojma „zapisi o telefonskem in podatkovnem prometu“

29. Opredelitev pojma „zapisi o telefonskem in podatkovnem prometu“ ni popolnoma jasna, zato jo je treba pojasniti. Ta določba bi se lahko nanašala na zapise o telefonskem in podatkovnem prometu, ki jih morajo bonitetne agencije hraniti med svojimi dejavnostmi. Vendar v uredbi ni natančno opredeljeno, ali morajo bonitetne agencije hraniti zapise o telefonskem in podatkovnem prometu, in če je tako, katere (26). Zato je, če se ta določba nanaša na evidence, ki jih hranijo bonitetne agencije, ključno, da se natančno opredelijo kategorije telefonskega in podatkovnega prometa, ki jih je treba hraniti in ki jih lahko zahteva organ ESMA. V skladu z načelom sorazmernosti morajo biti taki podatki primerni, ustrezni in ne pretirani glede na nadzorne namene, za katere se obdelujejo (27).

30. Večja natančnost je še posebno potrebna v tem primeru ob upoštevanju visokih denarnih kazni in periodičnih denarnih kazni, ki bi bile lahko naložene bonitetnim agencijam in drugim zadevnim osebam (v primeru periodičnih denarnih kazni tudi fizičnim osebam) ob kršitvi uredbe (glej člen 36(a) in člen 36(b)).

31. Prav tako je treba opozoriti, da se z zgoraj navedenim členom 37 na Komisijo prenaša pooblastilo za sprejetje sprememb, s katerimi lahko Komisija spremeni priloge k uredbi, ki vsebujejo zahteve glede vodenja evidenc za bonitetne agencije, s tem pa posredno tudi pooblastilo, ki ga podeli organ ESMA, za dostop do zapisov o telefonskem in podatkovnem prometu. Člen 290 PDEU določa, da se lahko v zakonodajnem aktu na Komisijo prenese pooblastilo za sprejemanje nezakonodajnih aktov, ki se splošno uporabljajo in dopolnjujejo ali spreminjajo nebistvene elemente zakonodajnega akta. Po mnenju ENVP se natančni obseg pooblastila za dostop do podatkov o prometu ne more šteti za nebistven element uredbe. Zato bi bilo treba stvarni obseg tega pooblastila opredeliti neposredno v besedilu te uredbe, ne pa njegove opredelitve prelagati na prihodnje delegirane akte.

32. ENVP razume, da namen člena 23c(1)(e) ni omogočiti organu ESMA pridobiti dostop do podatkov o prometu neposredno od ponudnikov telekomunikacijskih storitev. To sklepanje se zdi logično zlasti zato, ker uredba ne vsebuje nobenega sklicevanja na podatke, ki jih hranijo ponudniki telekomunikacijskih storitev, ali zahteve, določene v direktivi o e-zasebnosti in navedene v točki 36 v nadaljevanju (28). Zato ENVP zaradi jasnosti priporoča, naj se to sklepanje izrecneje navede v členu 23c uredbe o bonitetnih agencijah z izrecno izključitvijo podatkov o prometu, ki jih hranijo ponudniki telekomunikacijskih storitev.

33. Če pa bo predvidena pravica do dostopa do podatkov o prometu neposredno od ponudnikov telekomunikacijskih storitev, ENVP resno dvomi o nujnosti in sorazmernosti take pravice, zato predlaga izrecno izključitev take pravice.

2.3.3 Dostop do osebnih podatkov

34. V členu 23c(1)(e) niso navedeni okoliščine in pogoji, v katerih oziroma pod katerimi se lahko zahteva dostop. Poleg tega v njem niso določena pomembna postopkovna jamstva ali zaščitni ukrepi za tveganje zlorabe. ENVP bo v naslednjih odstavkih navedel nekaj konkretnih predlogov v zvezi s tem.

35. V členu 23c(1) je navedeno, da lahko organ ESMA zahteva dostop do zapisov o telefonskem in podatkovnem prometu za opravljanje nalog na podlagi uredbe o bonitetnih agencijah. ENVP meni, da je treba jasneje opredeliti okoliščine in pogoje uporabe takega pooblastila. Zato priporoča, naj se dostop do zapisov o telefonskem in podatkovnem prometu omeji na natančno opredeljene in hujše kršitve predlagane uredbe ter na primere, v katerih obstaja utemeljen sum (ki bi moral biti podprt s konkretnimi začetnimi dokazi), da je bila storjena kršitev. Poleg tega je taka omejitev posebno pomembna za to, da se prepreči možnost uporabe pooblastila v zvezi z dostopom za dejavnosti lovljenja osebnih podatkov, podatkovnega rudarjenja ali druge namene.

36. ENVP nadalje priporoča uvedbo zahteve za organ ESMA, da zapise o telefonskem in podatkovnem prometu zahteva z uradno odločbo, v kateri so pojasnjeni pravna podlaga in namen zahteve ter informacije, ki se zahtevajo, rok, v katerem je treba informacije predložiti, in pravica naslovnika, da to odločbo predloži v presojo Sodišču Evropske unije.

2.4 Določbe glede razkrivanja informacij

2.4.1 Informacije o strukturiranih finančnih instrumentih

37. V sedanjem predlogu za spremembe uredbe o bonitetnih agencijah (29) je v predlaganem členu 8a v zvezi z informacijami o strukturiranih finančnih instrumentih navedeno, da morajo izdajatelj, originator in sponzor strukturiranega finančnega instrumenta javno razkriti informacije o kreditni kakovosti in uspešnosti posameznega sredstva, na katerem temelji strukturirani finančni instrument, strukturi posla listinjenja, denarnih tokovih in kakršnih koli zavarovanjih za kritje izpostavljenosti iz naslova pozicije listinjenja ter vse informacije, ki so potrebne za izvedbo obsežnih in dobro premišljenih testov izjemnih situacij glede denarnih tokov in vrednosti zavarovanja za kritje izpostavljenosti iz naslova pozicije listinjenja. Obveznost razkritja informacij se ne razširi na zagotovitev takih informacij, ki bi kršila zakonske določbe, ki urejajo varstvo zaupnosti virov informacij ali obdelavo osebnih podatkov.

38. Ta člen je osredotočen na izdajatelja, originatorja in sponzorja strukturiranega finančnega instrumenta. ENVP pozdravlja dejstvo, da je v členu 8a sedanjega predloga za spremembe uredbe o bonitetnih agencijah navedeno, da se obveznost razkritja informacij ne razširi na zagotovitev takih informacij, ki bi kršila zakonske določbe, ki urejajo varstvo zaupnosti virov informacij ali obdelavo osebnih podatkov.

39. Tako poudarjanje zaščitnih ukrepov, ki jih omogoča zakonodaja o obdelavi osebnih podatkov, je po mnenju ENVP korak v pravo smer, vendar je treba v skladu z zgornjimi priporočili v vsebinski člen uredbe o bonitetnih agencijah vključiti jasen in izrecen sklic na nacionalne predpise, ki izvajajo Direktivo 95/46/ES.

2.4.2 Informacije o periodičnih denarnih kaznih (30)

40. V členu 36d uredbe o bonitetnih agencijah je navedeno, da organ ESMA javnosti razkrije vse periodične denarne kazni, ki jih je naložil, razen če bi tako razkritje javnosti resno ogrozilo finančne trge ali povzročilo nesorazmerno škodo vpletenim stranem.

41. V skladu s členom 36b in členom 23b(1) se lahko osebam, ki so vključene v dejavnosti bonitetnega ocenjevanja, in osebam, ki so drugače tesno in pomembno povezane z bonitetnimi agencijami ali dejavnostmi bonitetnega ocenjevanja, naložijo periodične denarne kazni.

42. Uredba o bonitetnih agencijah tako organ ESMA pooblašča, da nalaga sankcije, in sicer ne le kreditnim institucijam, temveč tudi posameznikom, ki so stvarno odgovorni za kršitev. Poleg tega mora organ ESMA v skladu s členom 36d objaviti vse periodične denarne kazni, ki jih je naložil zaradi kršitve predlagane uredbe.

43. Objava sankcij bi prispevala k povečanju odvračanja, saj bi bili dejanski in potencialni kršitelji odvrnjeni od storitve prekrškov, da bi preprečili precejšnjo škodo ugledu. Prav tako bi izboljšala preglednost, saj bi bili tržni operaterji seznanjeni, da je določena oseba storila prekršek. Ta obveznost je ublažena le, če bi objava povzročila nesorazmerno škodo vpletenim stranem, v tem primeru pa pristojni organi anonimno objavijo sankcije.

44. ENVP ni prepričan, da obvezna objava sankcij v sedanji obliki izpolnjuje zahteve zakonodaje o varstvu podatkov, kot je pojasnilo Sodišče Evropske unije v sodbi v zadevi Schecke (31). Meni, da namen, nujnost in sorazmernost ukrepa niso zadovoljivo opredeljeni, in da je treba v vsakem primeru predvideti ustrezne zaščitne ukrepe pred tveganji za pravice posameznikov.

2.4.3 Nujnost in sorazmernost obvezne objave sankcij

45. Sodišče Evropske unije je v sodbi v zadevi Schecke razveljavilo določbe uredbe Sveta in uredbe Komisije, v katerih je bila določena obvezna objava imen upravičencev do sredstev iz kmetijskih skladov, vključno z identiteto upravičencev in prejetimi zneski. Sodišče je menilo, da navedena objava pomeni obdelavo osebnih podatkov, ki spada na področje uporabe člena 8(2) Listine Evropske unije o temeljnih pravicah (v nadaljnjem besedilu: Listina), in zato kršitev pravic iz členov 7 in 8 Listine.

46. Sodišče je po analizi, da „morajo biti odstopanja in omejitve varstva osebnih podatkov strogo omejeni na tisto, kar je nujno“, analiziralo tudi namen in sorazmernost objave. Sklenilo je, da v tem primeru ni mogoče na podlagi ničesar sklepati, da sta Svet in Komisija ob sprejemanju zadevne zakonodaje upoštevala načine objave informacij, ki bi bili v skladu s ciljem take objave in ki bi hkrati manj posegali v pravice navedenih upravičencev.

47. Zdi se, da so v členu 36d uredbe o bonitetnih agencijah iste pomanjkljivosti, kot jih je Sodišče Evropske unije poudarilo v sodbi Schecke. Upoštevati je treba, da je pri ocenjevanju skladnosti določbe, ki zahteva javno razkritje osebnih podatkov, z zahtevami glede varstva podatkov bistven jasen in dobro opredeljen namen predvidene objave. Le na podlagi jasnega in dobro opredeljenega namena je mogoče oceniti, ali je objava zadevnih osebnih podatkov dejansko nujna in sorazmerna (32).

48. ENVP zato meni, da namen in posledično nujnost tega ukrepa nista jasno opredeljena. V uvodnih izjavah uredbe o bonitetnih agencijah ta vprašanja niso obravnavana. Če je splošen namen povečanje odvračanja, se zdi, da bi morala Komisija na primer pojasniti, zakaj ne bi zadostovale strožje finančne kazni (ali druge sankcije, ki ne povzročijo imenovanja in izpostavitve kršiteljev).

49. Poleg tega bi bilo treba razmisliti o manj intruzivnih ukrepih, kot sta objava, omejena na bonitetne agencije, ali objava, o kateri se odloča za vsak primer posebej. Zlasti zadnja možnost se zdi na prvi pogled bolj sorazmerna rešitev.

50. Vendar ENVP meni, da je ta rešitev zaradi možnosti ocene primera ob upoštevanju posebnih okoliščin bolj sorazmerna in je zato primernejša v primerjavi z obvezno objavo v vseh primerih. Ta diskrecijska pravica bi organu ESMA na primer omogočila preprečitev objave v primerih manj resnih kršitev, če ni bila povzročena velika škoda, če je bila stranka pripravljena sodelovati itd.

2.4.4 Vprašanje ustreznih zaščitnih ukrepov

51. V uredbi o bonitetnih agencijah bi bilo treba predvideti ustrezne zaščitne ukrepe za zagotovitev primernega ravnovesja med različnimi obstoječimi interesi. Prvič, zaščitni ukrepi so nujni v zvezi s pravico zadevnih oseb do pritožbe in načelom domneve nedolžnosti. V zvezi s tem bi bilo treba v besedilo člena 36d vključiti posebno ubeseditev, v skladu s katero bi moral organ ESMA sprejeti ustrezne ukrepe v zvezi s primeri, v katerih se je na odločbo mogoče pritožiti, in primeri, v katerih sodišče sčasoma razveljavi odločbo (33).

52. Drugič, v uredbi o bonitetnih agencijah je treba zagotoviti proaktivno spoštovanje pravic posameznikov, na katere se nanašajo osebni podatki. ENVP ceni dejstvo, da je v uredbi o bonitetnih agencijah predvidena možnost izključitve objave, kadar bi povzročila nesorazmerno škodo. Vendar mora proaktiven pristop pomeniti, da so posamezniki, na katere se nanašajo osebni podatki, predhodno obveščeni o dejstvu, da bo objavljena odločba, s katero jim bo naložena periodična denarna kazen, in da imajo v skladu s členom 14 Direktive 95/46/ES pravico do ugovora na podlagi nujnih in legitimnih razlogov (34).

53. Tretjič, čeprav v uredbi o bonitetnih agencijah ni opredeljen medij, v katerem je treba objaviti informacije, si je v praksi mogoče predstavljati, da bo objava spletna. V zvezi s spletnimi objavami se postavljajo posebna vprašanja in tveganja, zlasti glede potrebe po zagotavljanju, da se informacije na spletu ne hranijo dlje, kot je nujno, in da podatkov ni mogoče prirejati ali spreminjati. Tudi uporaba zunanjih iskalnikov pomeni tveganje, da bi lahko bile informacije vzete iz okvira in preusmerjene po spletu in zunaj njega na načine, ki jih ni mogoče zlahka nadzorovati (35).

54. Glede na zgoraj navedeno je treba organu ESMA naložiti obveznost zagotavljanja, da se osebni podatki zadevnih oseb hranijo na spletu le razumno obdobje, po katerem se sistematično izbrišejo (36). Poleg tega je treba od držav članic zahtevati zagotovilo, da so vzpostavljeni ustrezni varnostni in zaščitni ukrepi, zlasti za zaščito pred tveganji v zvezi z uporabo zunanjih iskalnikov (37).

2.4.5 Sklepna ugotovitev glede razkritja informacij o periodičnih denarnih kaznih

55. ENVP meni, da določba o obvezni objavi informacij o periodičnih denarnih kaznih, kot je oblikovana sedaj, ni v skladu s temeljnima pravicama do zasebnosti in varstva podatkov. Zakonodajalec mora pazljivo oceniti nujnost predlaganega sistema in preveriti, ali obveznost objave presega okvire, ki so potrebni za uresničitev zastavljenega cilja javnega interesa, in ali za izpolnitev istega cilja obstajajo manj omejevalni ukrepi. Ob upoštevanju rezultata tega preskusa sorazmernosti mora biti obveznost objave v vseh primerih podprta z ustreznimi zaščitnimi ukrepi za zagotavljanje spoštovanja načela domneve nedolžnosti, pravice zadevnih oseb do ugovora, varnosti/natančnosti podatkov in njihovega izbrisa po preteku ustreznega obdobja.

3. SKLEPNE UGOTOVITVE

56. Priporočila ENVP so: — vključitev naslednje vsebinske določbe v uredbo o bonitetnih agencijah: „V zvezi z obdelavo osebnih podatkov, ki jo v okviru te uredbe izvajajo države članice, pristojni organi in pristojni področni organi uporabljajo določbe nacionalnih predpisov, ki izvajajo Direktivo 95/46/ES. V zvezi z obdelavo osebnih podatkov, ki jo v okviru te uredbe izvaja organ ESMA, ta ravna v skladu z določbami Uredbe (ES) št. 45/2001.“, — dodatek posebnih zaščitnih ukrepov v člen 34 uredbe o bonitetnih agencijah, kot je bilo storjeno v členu 23 predloga uredbe Evropskega parlamenta in Sveta o trgovanju z notranjimi informacijami in tržni manipulaciji. ENVP je v mnenju o tem predlogu pozdravil uporabo take določbe, ki vsebuje ustrezne zaščitne ukrepe, kot so ocena za vsaj primer posebej, zagotovilo o nujnosti prenosa in obstoj ustrezne ravni varstva osebnih podatkov v tretji državi, ki bo prejela osebne podatke, — jasna opredelitev kategorij zapisov o telefonskem in podatkovnem prometu, ki jih morajo bonitetne agencije hraniti in/ali zagotoviti organu ESMA. Taki podatki morajo biti primerni, ustrezni in ne pretirani glede na namen, za katerega se obdelujejo, — izrecna navedba, da je pridobivanje dostopa do telefonskega in podatkovnega prometa neposredno od telekomunikacijskih podjetij izključeno, — omejitev dostopa do zapisov o telefonskem in podatkovnem prometu na opredeljene in hujše kršitve predlagane uredbe ter na primere, pri katerih obstaja utemeljen sum (ki bi moral biti podprt s konkretnimi začetnimi dokazi), da je bila storjena kršitev, — ocena nujnosti predlaganega sistema za obvezno objavo informacij o periodičnih denarnih kaznih in preveritev, ali obveznost objave presega okvire, ki so potrebni za uresničitev zastavljenega cilja javnega interesa, in ali za izpolnitev istega cilja obstajajo manj omejevalni ukrepi. Ob upoštevanju rezultata tega preskusa sorazmernosti mora biti obveznost objave v vseh primerih podprta z ustreznimi zaščitnimi ukrepi za zagotavljanje spoštovanja načela domneve nedolžnosti, pravice zadevnih oseb do ugovora, varnosti/natančnosti podatkov in njihovega izbrisa po preteku ustreznega obdobja.

V Bruslju, 10. februarja 2012 Giovanni BUTTARELLI Pomočnik Evropskega nadzornika za varstvo podatkov

(1) UL L 281, 23.11.1995, str. 31.

(2) UL L 8, 12.1.2001, str. 1.

(3) COM(2011) 747.

(4) Uredba (EU) št. 513/2011, ki je začela veljati 1. junija 2011.

(5) Glej zlasti člena 23 in 27 uredbe o bonitetnih agencijah.

(6) Glej tudi nedavna mnenja ENVP o zakonodajnem svežnju o reviziji bančne zakonodaje (oddelek 2.1), trgih finančnih instrumentov (MIFID/MIFIR) (oddelek 2.1) in zlorabi trga (oddelek 2.1).

(7) Glej uvodne izjave 8, 33 in 34 uredbe o bonitetnih agencijah.

(8) COM(2011) 651.

(9) Uredba o bonitetnih agencijah vsebuje določbe, ki pristojnim organom in pristojnim področnim organom omogočajo izmenjavo informacij med seboj ali z organom ESMA ali jo zahtevajo od njih. Zlasti člen 27 Uredbe določa, da si organ ESMA, pristojni področni organi in pristojni organi izmenjujejo informacije, potrebne za opravljanje dolžnosti, ki jih imajo po tej uredbi. Poleg tega člen 23c organ ESMA pooblašča za izvajanje preiskav oseb, ki so vključene v dejavnosti bonitetnega ocenjevanja, in oseb, ki so drugače tesno in pomembno povezane z bonitetnimi agencijami ali dejavnostmi bonitetnega ocenjevanja. V skladu s členom 23b se lahko od teh fizičnih oseb tudi zahteva, naj organu ESMA zagotovijo vse informacije, ki se štejejo za potrebne. Te določbe jasno kažejo, da bodo na podlagi uredbe o bonitetnih agencijah potekale izmenjave osebnih podatkov.

(10) Predlog Komisije za uredbo Evropskega parlamenta in Sveta o trgovanju z notranjimi informacijami in tržni manipulaciji, COM(2011) 651.

(11) Glej Mnenje ENVP z dne 10. februarja 2012 o predlogu uredbe Evropskega parlamenta in Sveta o trgovanju z notranjimi informacijami in tržni manipulaciji, COM(2011) 651.

(12) Glej tudi nedavna mnenja ENVP o zakonodajnem svežnju o reviziji bančne zakonodaje (oddelek 2.2), trgih finančnih instrumentov (MIFID/MIFIR) (oddelek 2.8) in zlorabi trga (oddelek 2.5).

(13) Glej tudi nedavni mnenji ENVP o trgih finančnih instrumentov (MIFID/MIFIR) (oddelek 2.3) in zlorabi trga (oddelek 2.3.2).

(14) Člen 23c(5).

(15) Glej člen 6(1) Direktive 2002/58/ES (UL L 201, 31.7.2002, str. 37).

(16) Člen 15(1) Direktive 2002/58/ES določa, da morajo takšne omejitve „pomeni[ti] potreben, primeren in ustrezen ukrep znotraj demokratične družbe za zaščito državne varnosti (to je Državne varnosti), obrambe, javne varnosti in preprečevanje, preiskovanje, odkrivanje in pregon kriminalnih dejanj ali nedovoljene uporabe elektronskega komunikacijskega sistema iz člena 13(1) Direktive 95/46/ES. V ta namen lahko države članice med drugim sprejmejo zakonske ukrepe, ki določajo zadrževanje podatkov za določeno obdobje, upravičeno iz razlogov iz tega odstavka.“.

(17) Glej na primer sodbo Sodišča Evropske unije v združenih zadevah Volker und Markus Schecke, C-92/09 in C-93/09, Hartmut Eifert (C-92/09) v. Land Hessen, še neobjavljena v ZOdl., točka 74.

(18) Navadno so to zaposleni, ki jim je mogoče pripisati telefonski in podatkovni promet, ter prejemniki in drugi zadevni uporabniki.

(19) Direktiva 2003/6/ES Evropskega parlamenta in Sveta z dne 28. januarja 2003 o trgovanju z notranjimi informacijami in tržni manipulaciji (zloraba trga) (UL L 96, 12.4.2003, str. 16).

(20) Direktiva 2004/39/ES Evropskega parlamenta in Sveta z dne 21. aprila 2004 o trgih finančnih instrumentov in o spremembah direktiv Sveta 85/611/EGS, 93/6/EGS in Direktive 2000/12/ES Evropskega parlamenta in Sveta ter o razveljavitvi Direktive Sveta 93/22/EGS (UL L 145, 30.4.2004, str. 1).

(21) Direktiva 2009/65/ES Evropskega parlamenta in Sveta z dne 13. julija 2009 o usklajevanju zakonov in drugih predpisov o kolektivnih naložbenih podjemih za vlaganja v prenosljive vrednostne papirje (KNPVP) (UL L 302, 17.11.2009, str. 32).

(22) Predlog z dne 30. aprila 2009 direktive Evropskega parlamenta in Sveta o upraviteljih alternativnih investicijskih skladov in spremembi direktiv 2004/39/ES in 2009/65/ES, COM(2009) 207.

(23) Predlog z dne 15. septembra 2010 uredbe Evropskega parlamenta in Sveta o prodaji na kratko in nekaterih vidikih zamenjav kreditnega tveganja, COM(2010) 482.

(24) Predlog uredbe Evropskega parlamenta in Sveta o celovitosti in preglednosti energetskega trga, COM(2010) 726.

(25) Glej na primer člen 12(2) direktive o zlorabi trga, navedene v opombi 20. Glej tudi člen 50 direktive o trgih finančnih instrumentov, navedene v opombi 21.

(26) Izraz „zapisi o telefonskem in podatkovnem prometu“ bi se lahko nanašal na zelo raznovrstne informacije, vključno s časom, trajanjem in velikostjo sporočila, uporabljenim protokolom, lokacijo pošiljateljeve ali prejemnikove terminalske opreme, omrežjem, iz katerega sporočilo izhaja ali v katerem se končuje, začetkom, koncem ali trajanjem povezave ali celo seznamom obiskanih spletnih strani in vsebino samih sporočil, če so shranjena. Če te informacije zadevajo določene ali določljive fizične osebe, gre za osebne podatke.

(27) Glej člen 6(1)(c) Direktive 95/46/ES in člen 4(1)(c) Uredbe (ES) št. 45/2001. Treba bi bilo tudi preučiti, ali je mogoče zasnovati posebne zaščitne ukrepe, da bi se preprečila zajetje in obdelava podatkov, povezanih z dejansko zasebno uporabo.

(28) Kot je bilo že navedeno, direktiva o e-zasebnosti določa splošno načelo, da morajo biti podatki o prometu, potem ko niso več potrebni za prenos sporočila, izbrisani ali predelani v anonimne. Taki podatki se lahko naprej obdelujejo le zaradi zaračunavanja in plačil za medsebojne povezave ter samo do poteka obdobja, med katerim se lahko obračun zakonito izpodbija ali sprožijo postopki za pridobitev plačila. Vsako odstopanje od tega načela mora biti potrebno, primerno in sorazmerno znotraj demokratične družbe za posebne namene javnega reda (in sicer zaščito nacionalne varnosti (to je državne varnosti), obrambe, javne varnosti ali preprečevanje, preiskovanje, odkrivanje in pregon kaznivih dejanj ali nedovoljene uporabe elektronskih komunikacijskih sistemov).

(29) COM(2011) 747.

(30) Glej tudi nedavna mnenja ENVP o zakonodajnem svežnju o reviziji bančne zakonodaje (oddelek 2.4), trgih finančnih instrumentov (MIFID/MIFIR) (oddelek 2.5) in zlorabi trga (oddelek 2.6).

(31) Sodba Sodišča Evropske unije v združenih zadevah C-92/09 in C-93/09, Schecke, odstavki od 56 do 64.

(32) V zvezi s tem glej tudi Mnenje ENVP z dne 15. aprila 2011 o predlogu uredbe Evropskega parlamenta in Sveta o finančnih pravilih, ki se uporabljajo za letni proračun Unije (UL C 215, 21.7.2011, str. 13).

(33) Nacionalni organi bi na primer lahko obravnavali naslednje ukrepe: počakati z objavo do zavrnitve pritožbe ali, kot je bilo predlagano v poročilu o oceni učinka, jasno navesti, da je odločba še vedno predmet pritožbe in da posameznik velja za nedolžnega, dokler odločba ne postane pravnomočna, objaviti popravek, kadar odločbo razveljavi sodišče.

(34) Glej Mnenje ENVP z dne 10. aprila 2007 o financiranju skupne kmetijske politike (UL C 134, 16.6.2007, str. 1).

(35) Glej v zvezi s tem dokument, ki ga je objavil italijanski organ za varstvo podatkov z naslovom Osebni podatki, kot se hranijo tudi v evidencah in dokumentih javnih upravnih organov: smernice za njihovo obdelavo, ki jo izvedejo javni organi, v zvezi s spletnim komuniciranjem in razširjanjem, na voljo na spletni strani italijanskega organa za varstvo podatkov na naslovu: http://www.garanteprivacy.it/garante/doc.jsp?ID=1803707

(36) Ti pomisleki so povezani tudi s splošnejšo pravico biti pozabljen, v zvezi s katero se še razpravlja o njeni vključitvi v novi zakonodajni okvir za varstvo osebnih podatkov.

(37) Ti ukrepi in zaščitni ukrepi lahko na primer vključujejo izključitev indeksacije podatkov z zunanjimi iskalniki.