6 Pravila o varstvu podatkov za organe in agencije, ki se ukvarjajo s policijskim in pravosodnim sodelovanjem v kazenskih zadevah

·Poglavje uredbe EUDPR, ki se uporablja za organe in agencije EU na področju kazenskega pregona, je funkcionalno enakovredno direktivi o varstvu podatkov pri preprečevanju, odkrivanju in preiskovanju kaznivih dejanj za te organe in agencije. Vendar je kot uredba, ki se neposredno uporablja, oblikovana drugače. Določa splošna pravila, ki jih je treba po potrebi dopolniti s posebnimi določbami v ustanovitvenih aktih organov in agencij, ki delujejo na tem področju. Zagotavlja prilagojeno ureditev za obdelavo operativnih osebnih podatkov ob upoštevanju posebne narave tega sektorja, na primer pravil o obveščanju posameznikov, na katere se nanašajo osebni podatki, ki zagotavljajo zaščito preiskave.

·Z uredbo EUDPR je neposredno ustanovljeno tudi mesto ENVP, ki določa njegove naloge, pooblastila in postopke imenovanja. V skladu z GDPR in direktive o varstvu podatkov pri preprečevanju, odkrivanju in preiskovanju kaznivih dejanj so zadevni nadzorni organi ustanovljeni na podlagi nacionalnega prava v skladu z zahtevami iz teh dveh aktov.

·Več pooblastil, ki jih ima Komisija za sprejemanje izvedbenih ali delegiranih aktov, se kot taka ne ponovijo, temveč se uredba EUDPR sklicuje na GDPR ali direktivo o varstvu podatkov pri preprečevanju, odkrivanju in preiskovanju kaznivih dejanj. Uredba EUDPR na primer ne vsebuje mehanizma za sprejemanje sklepov o ustreznosti za mednarodne prenose, vendar se lahko EUIB oprejo tudi na sklepe o ustreznosti, sprejete na podlagi GDPR ali direktive o varstvu podatkov pri preprečevanju, odkrivanju in preiskovanju kaznivih dejanj.

·Ker so njeno področje uporabe izključno EUIB kot javni organi, je bilo izpuščenih več določb iz GDPR, ki so pomembne le za zasebni sektor. V uredbi EUDPR na primer ni možnosti za obdelavo na podlagi pravne podlage „zakonitih interesov“ upravljavca.

Za zagotovitev doslednega pristopa k varstvu osebnih podatkov in njihovemu prostemu pretoku v EU je uredba EUDPR čim bolj usklajena s pravili o varstvu podatkov, sprejetimi za javni sektor, določenimi v GDPR in direktivi o varstvu podatkov pri preprečevanju, odkrivanju in preiskovanju kaznivih dejanj. Kadar uredba EUDPR sledi istim načelom kot GDPR, bi jo bilo treba razlagati enako, saj bi jo bilo treba razumeti kot enakovredno GDPR. Enako velja za pravila, usklajena z direktivo o varstvu podatkov pri preprečevanju, odkrivanju in preiskovanju kaznivih dejanj.

Glavni instrumenti varstva podatkov v EU so splošna uredba o varstvu podatkov (v nadaljnjem besedilu: GDPR), direktiva o varstvu podatkov pri preprečevanju, odkrivanju in preiskovanju kaznivih dejanj ter direktiva o zasebnosti in elektronskih komunikacijah. Vendar se ne uporabljajo za obdelavo osebnih podatkov s strani EUIB. Zato so potrebna ločena, vendar usklajena pravila o varstvu podatkov za EUIB. Ta pravila določa uredba EUDPR.

V tem poročilu je uredba EUDPR umeščena v okvir zakonodaje EU o varstvu podatkov, predstavljena je njena uporaba s strani EUIB in dejavnosti ENVP ter analizirana uporaba poglavja, ki se uporablja za organe in agencije EU, ki izvajajo dejavnosti v okviru policijskega in pravosodnega sodelovanja v kazenskih zadevah. Poročilo se zaključi z opredelitvijo nadaljnjih korakov.

Komisija je informacije o uporabi uredbe EUDPR zbrala z anketo, ki se je začela oktobra 2021, v okviru katere so bili EUIB pozvani k izmenjavi izkušenj pri uporabi uredbe EUDPR. Skupno je odgovorilo 56 EUIB, statistični podatki o EUIB, predstavljeni v poročilu, pa temeljijo na teh odgovorih. Evropskemu nadzorniku za varstvo podatkov (v nadaljnjem besedilu: ENVP) v vlogi nadzornega organa je bil poslan ločen zahtevek za prispevek. Nazadnje je Komisija objavila tudi poziv k predložitvi dokazov, ki je predložitev pripomb omogočil tudi javnosti. V tem poročilu so obravnavana tudi vprašanja iz zelo maloštevilnih prispevkov, prejetih v odgovor na poziv k predložitvi dokazov.

Uredba o varstvu podatkov za institucije, organe, urade in agencije Evropske unije (v nadaljnjem besedilu: Uredba ali uredba EUDPR) je glavni okvir za varstvo podatkov za institucije, organe, urade in agencije EU (v nadaljnjem besedilu: EUIB), kadar obdelujejo osebne podatke kot upravljavci ali obdelovalci. Uredba je steber dobrega upravljanja in dobrega upravnega ravnanja na ravni EU. Uporablja se od 11. decembra 2018, ko je razveljavila in nadomestila prejšnjo Uredbo (ES) št. 45/2001.

3.1Vloga EUIB kot upravljavcev

Splošne povratne informacije EUIB kažejo, da so prva leta uporabe uredbe EUDPR uspešno prispevala h krepitvi njihove splošne kulture varstva podatkov. V zvezi s tem je 94 % EUIB navedlo, da je začetek veljavnosti uredbe EUDPR v določeni meri ali v veliki meri povečal ozaveščenost njihovih organizacij o pravilih o varstvu podatkov. EUIB so na splošno navedli, da je uredba EUDPR pozitivno vplivala na njihove politike varstva podatkov, osebje EUIB pa se bolj zaveda odgovornosti svoje organizacije kot upravljavcev podatkov in zahtev za obdelavo osebnih podatkov.

EUIB so omenili izvajanje ocen učinka v zvezi z varstvom podatkov, opredelitev in upravljanje kršitev varstva podatkov ter upoštevanje načela vgrajenega in privzetega varstva podatkov kot glavnih učinkov uredbe EUDPR v primerjavi z razveljavljeno Uredbo (ES) št. 45/2001. Z uredbo EUDPR je možnost skupnega upravljanja – več organizacij, ki skupaj opredeljujejo namene in sredstva za obdelavo osebnih podatkov – vidnejša, enako kot z GDPR. ENVP je pripravil smernice o tej temi, Komisija pa je pripravila notranje predloge za ureditve skupnega upravljanja.

Medtem ko so bile dodatne zahteve glede odgovornosti, potrebne za dokazovanje skladnosti z uredbo EUDPR za EUIB, na splošno dobrodošle, so nekateri EUIB opozorili, da so pravila uredb EUDPR povzročila večjo delovno obremenitev. Poudarili so tudi, da uredba EUDPR določa razmeroma zapletena pravila, kar pomeni, da je potrebno več strokovnega znanja v EUIB, tudi med njihovimi pooblaščenimi osebami za varstvo podatkov in v mrežah koordinatorjev za varstvo podatkov v tistih EUIB, ki imajo take mreže.

Vsi EUIB, razen dveh, vodijo evidence o postopkih obdelave v centralnem registru. Čeprav to v skladu z uredbo EUDPR ni posebna zahteva, je to dobra praksa, ki jo priporoča tudi ENVP. Poleg tega je 72 % EUIB v skladu s prejšnjo uredbo v evidence pretvorilo vsa svoja uradna obvestila pooblaščeni osebi za varstvo podatkov. Tisti, ki te naloge še niso opravili, bi morali pregledati in posodobiti svojo dokumentacijo o postopkih obdelave, da bi zagotovili, da je popolna in posodobljena.

3.2Uresničevanje pravic posameznikov, na katere se nanašajo osebni podatki

Uredba EUDPR posameznikom, na katere se nanašajo osebni podatki, zagotavlja širok nabor pravic v zvezi z obdelavo njihovih osebnih podatkov v skladu z GDPR. EUIB imajo kot upravljavci posebno obveznost, da olajšajo uveljavljanje teh pravic. Zato je 96 % EUIB navedlo, da so izvajali dejavnosti ozaveščanja, kot so posodabljanje javno dostopnih informacij o njihovih postopkih obdelave, informativna sporočila ali vodniki za posameznike, na katere se nanašajo osebni podatki.

Številni EUIB, kot so Komisija, Evropska centralna banka in Evropska služba za zunanje delovanje, so poročali o jasnem povečanju števila zahtevkov posameznikov med letoma 2018 in 2021. Vendar je bilo število drugih, kot so Sodišče Evropske unije, Evropski ekonomsko-socialni odbor in Agencija Evropske unije za azil, stabilno ali je nihalo brez jasnega trenda. Glede na to, kako se beleženje različnih vrst zahtev razlikuje od enega EUIB do drugega, po začetku veljavnosti uredbe EUDPR še ni mogoče ugotoviti jasnega trenda glede števila zahtev posameznikov, na katere se nanašajo osebni podatki.

3.3Omejevanje pravic posameznikov, na katere se nanašajo osebni podatki, z notranjimi pravili

Podobno kot v GDPR je v uredbi EUDPR določena možnost omejitve nekaterih pravic posameznikov, na katere se nanašajo osebni podatki. To je mogoče doseči z zakonodajnimi akti in notranjimi pravili. Za taka notranja pravila veljajo stroga merila. Biti morajo jasna in natančna, njihova uporaba pa mora biti predvidljiva za osebe, na katere se nanašajo. Pravila morajo biti objavljena v Uradnem listu in morajo izpolnjevati zahteve iz Listine o temeljnih pravicah ter Evropske konvencije o varstvu človekovih pravic in temeljnih svoboščin.

Omejitve, ki temeljijo na notranjih pravilih, se lahko nanašajo le na delovanje EUIB. Spoštovati morajo temeljne pravice, predstavljati potrebne in sorazmerne ukrepe v demokratični družbi ter si prizadevati za zaščito enega od ciljev, posebej navedenih v uredbi EUDPR. Vsak posameznik, na katerega se nanašajo osebni podatki, ki ima omejene pravice, ima pravico vložiti pritožbo pri ENVP.

Notranja pravila je sprejela velika večina (84 %) EUIB. Taka pravila so bila na primer uvedena, da se omogoči odložitev zagotavljanja informacij zadevni osebi v notranji upravni preiskavi. V drugih EUIB je bil cilj takih pravil zagotoviti nadaljnje učinkovito sodelovanje z državami članicami na tistih področjih, na katerih se dejavnosti EUIB opirajo na informacije, prejete od pristojnih organov držav članic. Notranja pravila, ki jih je Komisija sprejela za obdelavo osebnih podatkov na področju konkurence, boja proti goljufijam in notranje revizije, na primer vključujejo možnost uvedbe omejitev pravic posameznikov, na katere se nanašajo osebni podatki, kadar se osebni podatki pridobijo od pristojnih organov držav članic. Ta pravila določajo možnost uvedbe podobnih omejitev, kadar so nacionalni organi uvedli omejitve na podlagi zakonodajnega ukrepa, ki je mogoč na podlagi GDPR ali direktive o varstvu podatkov pri preprečevanju, odkrivanju in preiskovanju kaznivih dejanj.

Če so EUIB sprejeli notranja pravila, ki omogočajo omejitev pravic posameznikov, na katere se nanašajo osebni podatki, se običajno uporabljajo za vsak primer posebej, kot to zahtevajo njihova notranja pravila. Vendar 69 % EUIB z veljavnimi pravili iz člena 25 poroča, da jih še niso uporabili. Z izjemo Evropskega parlamenta in Komisije so tisti EUIB, ki so jih uporabili, poročali o manj kot 10 primerih omejitev. Potreba po omejitvah se je pogosteje pojavila pri dejavnostih urada OLAF, zlasti pri odložitvi zagotavljanja informacij posameznikom, na katere se nanašajo osebni podatki, o obdelavi njihovih osebnih podatkov, ko je preiskava še v zgodnji fazi, da ne bi posegala v zbiranje dokazov. Urad OLAF je uporabil tudi več omejitev v zvezi z zahtevami posameznikov, na katere se nanašajo osebni podatki, za dostop do njihovih osebnih podatkov, ki so bile zavrnjene zaradi varstva pravic in svoboščin drugih, npr. kadar bi zaradi razkritja podatkov obveščevalcu grozili povračilni ukrepi.

V skladu z notranjimi pravili EUIB morajo običajno pooblaščene osebe za varstvo podatkov obvestiti o vseh uporabljenih omejitvah ter jim zagotoviti dostop do evidence in vseh dokumentov o teh omejitvah.

3.4Pooblaščene osebe za varstvo podatkov

Obveznost imeti pooblaščeno osebo za varstvo podatkov v vsakem EUIB je bila določena že v prejšnji Uredbi (ES) št. 45/2001. Z uvedbo načela odgovornosti je uredba EUDPR tej vlogi omogočila večjo prepoznavnost. To pomeni, da je upravljavec odgovoren za spoštovanje pravil o varstvu podatkov in mora biti sposoben dokazati skladnost z njimi.

V 46 % EUIB njihove pooblaščene osebe za varstvo podatkov podpirajo mreže koordinatorjev za varstvo podatkov ali podobne strukture. Pri večjih EUIB je večja verjetnost, da imajo vzpostavljene take mreže (npr. Evropski parlament, generalni sekretariat Sveta, Komisija in Evropska služba za zunanje delovanje). Evropska služba za zunanje delovanje organizira in vzdržuje tudi mrežo korespondentov za varstvo podatkov v delegacijah EU.

Številni EUIB so opozorili na povečanje odgovornosti in delovne obremenitve svojih pooblaščenih oseb za varstvo podatkov (in posledično koordinatorjev za varstvo podatkov). Priznali so, da je treba pooblaščenim osebam za varstvo podatkov (in koordinatorjem za varstvo podatkov) zagotoviti več sredstev, da bodo lahko učinkovito izvajale politike EUIB na področju varstva podatkov. Omenjena je bila tudi potreba po zagotovitvi neodvisnosti pooblaščenih oseb za varstvo podatkov.

V zvezi s tem obstajata dva trenda: Po eni strani je v uredbi EUDPR večji poudarek na odgovornosti upravljavca, npr. z odpravo postopka predhodnega preverjanja, ki je obstajal v okviru prejšnje Uredbe (ES) št. 45/2001, s čimer se zmanjša upravno breme. Po drugi strani upravljavci od pooblaščenih oseb za varstvo podatkov/koordinatorjev za varstvo podatkov zahtevajo več smernic o tem, kako najbolje ravnati v skladu z uredbo EUDPR. V zvezi s tem je bilo ugotovljeno, da mreža pooblaščenih oseb za varstvo podatkov EUIB predstavlja pomemben forum za razpravo in pojasnitev nekaterih pravnih in tehničnih vidikov, značilnih za obdelavo podatkov s strani EUIB. Ta mreža zagotavlja platformo za izmenjavo med pooblaščenimi osebami za varstvo podatkov in ENVP ter med samimi pooblaščenimi osebami za varstvo podatkov. V okviru mreže poteka redno sodelovanje, sestane pa se običajno dvakrat letno.

Več kot polovica (54 %) EUIB je za svoje pooblaščene osebe za varstvo podatkov in funkcije varstva podatkov na splošno namenila več sredstev. Večina (84 %) EUIB je prilagodila svoje notranje postopke, da bi zagotovila, da njihovo osebje obvešča pooblaščene osebe za varstvo podatkov in se z njimi posvetuje o novih postopkih obdelave osebnih podatkov. To se običajno stori z vključitvijo pooblaščenih oseb za varstvo podatkov, na primer v postopke upravljanja sprememb ali v usmerjevalne odbore projektov.