Povzetek mnenja Evropskega nadzornika za varstvo podatkov (ENVP) o Predlogu uredbe o trgih kriptoimetij in spremembi Direktive (EU) 2019/1937

(Celotno besedilo tega mnenja je na voljo v angleščini, francoščini in nemščini na spletišču ENVP www.edps.europa.eu)

(2021/C 337/03)

Evropska komisija je 24. septembra 2020 sprejela Predlog uredbe o trgih kriptoimetij in spremembi Direktive (EU) 2019/1937 (v nadaljnjem besedilu: Predlog). Predlog določa zahteve glede preglednosti in razkritja v zvezi z izdajanjem kriptoimetij in njihovo uvrstitvijo v trgovanje; pravila o izdaji dovoljenj in nadzoru nad ponudniki storitev v zvezi s kriptoimetji in izdajatelji žetonov, vezanih na sredstva, ter izdajatelji elektronskih denarnih žetonov; ureja delovanje, organizacijo in upravljanje izdajateljev žetonov, vezanih na sredstva, izdajateljev žetonov elektronskega denarja in ponudnikov storitev v zvezi s kriptoimetji; in zagotavlja pravila o varstvu potrošnikov, kar zadeva izdajo, izmenjavo in skrbništvo kriptoimetij ter trgovanje z njimi, in tudi ukrepe za preprečevanje zlorabe trga za zagotavljanje celovitosti trgov s kriptoimetji.

ENVP opozarja, da je potreben širši razmislek o tem, kako bolje zagotoviti, da bo osnovna tehnologija kriptoimetij, in sicer tehnologija veriženja podatkovnih blokov in razpršene evidence, spoštovala pravila in načela o varstvu podatkov ter se v zvezi s tem sklicuje na splošne pripombe iz svojega mnenja o predlogu o pilotni ureditvi za tržne infrastrukture na podlagi tehnologije razpršene evidence, in ponovno poudarja, da je tako razpravo treba opraviti še pred začetkom veljavnosti zadevnih predlogov.

Hkrati ENVP poudarja odgovornost zakonodajalca EU, da zagotovi, da se obdelava iz zadevnega predloga lahko izvaja skladno z varstvom podatkov, ter odgovornost upravljavcev, da zagotovijo skladnost z načelom odgovornosti.

ENVP meni, da so izdajatelji kriptoimetij običajno upravljavci v skladu s Splošno uredbo o varstvu podatkov (GDPR), ob upoštevanju projekta izdajateljev in če projekt vključuje obdelavo osebnih podatkov. Da bi povečal pravno varnost, ENVP poziva zakonodajalca, naj v predlogu izrecno določi izdajatelje kot upravljavce. Poleg tega lahko obdelava osebnih podatkov izpolnjuje dve ali več meril, ki kažejo, da bo obdelava verjetno povzročila veliko tveganje v smislu zakonodaje o varstvu podatkov. Zato lahko za izdajatelja kriptoimetij velja obveznost iz člena 35 GDPR, da pred predvideno obdelavo osebnih podatkov izvede oceno varstva podatkov.

ENVP pozdravlja cilj predloga, da se izboljša varstvo potrošnikov kot kupcev kriptoimetij (vlagatelji). Hkrati ENVP meni, da bi moral predlog vključevati tudi obveznost za izdajatelje, da dajo poseben pomen določenim jamstvom glede varstva podatkov, da bi bolje zaščitili posameznike, na katere se nanašajo osebni podatki. ENVP priporoča, da se v predlog kot del informacij, ki jih je treba zagotoviti v zvezi z vsebino bele knjige o kriptoimetju, vključijo informacije o predvidenih postopkih obdelave, ki zadevajo osebne podatke, pa tudi o glavnih predvidenih tveganjih in strategijah zmanjševanja tveganj v zvezi z varstvom podatkov.

Glede objave upravnih kazni ENVP priporoča, naj se med merila, ki jih pristojni organ upošteva, vključijo učinki na varstvo osebnih podatkov posameznikov. Poleg tega ENVP opozarja, da načelo omejitve hrambe zahteva, da se osebni podatki hranijo le toliko časa, kolikor je potrebno za namene, za katere se osebni podatki obdelujejo, in priporoča določitev najdaljšega namesto najkrajšega obdobja hrambe podatkov v skladu s členom 95(4) Predloga.

1. Ozadje

1. Evropska komisija je 24. septembra 2020 sprejela Predlog uredbe o trgih kriptoimetij in spremembi Direktive (EU) 2019/1937 (v nadaljnjem besedilu: Predlog) ( 1 ) . Predlog je regulativni okvir, ki je bil pripravljen za regulacijo kriptoimetij, ki trenutno niso zajeta v zadevnem področju uporabe, in njihovih ponudnikov storitev v EU ter za zagotovitev enotne ureditve izdajanja dovoljenj v vseh državah članicah do leta 2024. Cilj predloga je uskladiti evropski okvir za izdajanje različnih vrst kriptožetonov in trgovanje z njimi v okviru evropske Strategije za digitalne finance.

2. Predlog je del svežnja o digitalnih financah, tj. svežnja ukrepov za nadaljnje omogočanje in podpiranje potenciala digitalnih financ, kar zadeva inovacije in konkurenco, ob hkratnem zmanjševanju tveganj. Sveženj o digitalnih financah vključuje novo strategijo za digitalne finance v finančnem sektorju EU ( 2 ) , katere cilj je zagotoviti, da bo EU evropskim potrošnikom in podjetjem omogočila koristi digitalnih financ. V svežnju je poleg tega predloga tudi predlog pilotne ureditve o uporabi tehnologije razpršene evidence v tržnih infrastrukturah („predlog o pilotni ureditvi“) ( 3 ) , predlog za digitalno operativno odpornost („DORA“) ( 4 ) in predlog za pojasnitev ali spremembo nekaterih povezanih pravil EU o finančnih storitvah ( 5 )

3. Z ENVP je bilo opravljeno posvetovanje o predlogu o pilotni ureditvi, o katerem je ENVP 23. aprila 2021 podal svoje mnenje ( 6 ) . Poleg tega je 29. aprila 2021 svetoval o predlogu za digitalno operativno odpornost, mnenje pa je podal 10. maja 2021 ( 7 )

4. Evropska komisija je 29. aprila 2021 v skladu s členom 42(1) Uredbe (EU) 2018/1725 ENVP zaprosila, naj izda mnenje o predlogu. Te pripombe so omejene le na določbe predloga, ki so pomembne z vidika varstva podatkov.

4. Sklepne ugotovitve

Glede na navedeno ENVP:

— opozarja, da sta potrebna širši razmislek in razprava, ne le v zvezi s kriptoimetji, temveč tudi o tem, kako zagotoviti, da bo osnovna tehnologija kriptoimetij, tj. tehnologija veriženja podatkovnih blokov in razpršene evidence, na najučinkovitejši način spoštovala pravila in načela o varstvu podatkov, ter ponovno poudarja, da je treba razpravo o tem opraviti pred začetkom veljavnosti zadevnih predlogov;

— priporoča, da se izdajatelji izrecno določijo za upravljavce, da bi se izognili morebitnim težavam v zvezi z razlago pri ocenjevanju vloge, zlasti ob upoštevanju kompleksnosti vsebine Predloga in odnosov med zadevnimi akterji;

— priporoča, da se v besedilo členov 5, 17 in 46 Predloga kot del informacij, ki jih je treba zagotoviti v zvezi z vsebino bele knjige o kriptoimetju, vključi naslednje: „kadar je primerno, seznam predvidenih postopkov obdelave, ki vključujejo osebne podatke, ter glavna predvidena tveganja in strategije za njihovo zmanjševanje v zvezi z varstvom podatkov“;

— v zvezi z objavo upravnih sankcij priporoča, da se med merila za obravnavo pristojnega organa vključijo tveganja za varstvo osebnih podatkov posameznikov in da se minimalno obdobje hrambe podatkov iz člena 95(4) „najmanj pet let“ nadomesti z določenim najdaljšim obdobjem hrambe podatkov;

— v zvezi z upravnim sodelovanjem med pristojnima organoma EBA in ESMA ter sodelovanjem z nadzornimi organi tretjih držav priporoča, da se preuči možnost črtanja sklicevanja na člen 108(3) GDPR , saj je v skladu s členom 88(2) predloga „horizontalno“ sklicevanje na uporabo GDPR.

Bruselj, 24. junija 2021. Wojciech Rafał WIEWIÓROWSKI

(1) Predlog uredbe Evropskega parlamenta in Sveta o trgih kriptoimetij in spremembi Direktive (EU) 2019/1937, 24. 9. 2020, 2020/0265 (COD).

(2) Sporočilo Komisije Evropskemu parlamentu, Evropskemu svetu, Svetu, Evropski centralni banki, Evropskemu ekonomsko-socialnemu odboru in Odboru regij o strategiji EU za digitalne finance, 24. september 2020, COM(2020) 591.

(3) Predlog uredbe Evropskega parlamenta in Sveta o pilotni ureditvi za tržne infrastrukture na podlagi tehnologije razpršene evidence, COM(2020) 594.

(4) Predlog uredbe Evropskega parlamenta in Sveta o digitalni operativni odpornosti za finančni sektor in spremembi uredb (ES) št. 1060/2009, (EU) št. 648/2012, (EU) št. 600/2014 in (EU) št. 909/2014, COM(2020) 595.

(5) Predlog direktive Evropskega parlamenta in Sveta o spremembi direktiv 2006/43/ES, 2009/65/ES, 2009/138/EU, 2011/61/EU, 2013/36/EU, 2014/65/EU, (EU) 2015/2366 in (EU) 2016/2341, COM(2020) 596.

(6) Mnenje št. 6/2021 o predlogu uredbe o pilotni ureditvi za tržne infrastrukture na podlagi tehnologije razpršene evidence, na voljo na naslovu: https://edps.europa.eu/system/files/2021-06/2021-0219_d0912_opinion_on_pilot_regime_for_market_infrastructures_en.pdf.

(7) Mnenje št. 7/2021 o predlogu uredbe o digitalni operativni odpornosti za finančni sektor in spremembi uredb (ES) 1060/2009, (EU) št. 648/2012, (EU) št. 600/2014 in (EU) št. 909/2014, na voljo na naslovu:https://edps.europa.eu/system/files/2021-05/2021-0203_d0943_opinion_digital_operational_resilience_for_the_financial_sector_en.pdf.