SL Uradni list Evropske unije C 177/1

Mnenje Evropskega nadzornika za varstvo podatkov o predlogu Komisije za uredbo Evropskega parlamenta in Sveta o trgovanju z notranjimi informacijami in tržni manipulaciji ter o predlogu direktive Evropskega parlamenta in Sveta o kazenskih sankcijah za trgovanje z notranjimi informacijami in tržno manipulacijo

2012/C 177/01

EVROPSKI NADZORNIK ZA VARSTVO PODATKOV JE –

ob upoštevanju Pogodbe o delovanju Evropske unije in zlasti člena 16 Pogodbe,

ob upoštevanju Listine o temeljnih pravicah Evropske unije ter zlasti členov 7 in 8 Listine,

ob upoštevanju Direktive 95/46/ES Evropskega parlamenta in Sveta z dne 24. oktobra 1995 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov (1),

ob upoštevanju Direktive (ES) št. 45/2001/ES Evropskega parlamenta in Sveta z dne 18. decembra 2000 o varstvu posameznikov pri obdelavi osebnih podatkov v institucijah in organih Skupnosti in o prostem pretoku takih podatkov (2) in zlasti člena 28(2) –

SPREJEL NASLEDNJE MNENJE:

1. UVOD

1.1 Posvetovanje z Evropskim nadzornikom za varstvo podatkov

1. To mnenje je del svežnja štirih mnenj Evropskega nadzornika za varstvo podatkov (ENVP) v zvezi s finančnim sektorjem, vseh sprejetih na isti dan (3).

2. Komisija je 20. oktobra 2011 sprejela predlog uredbe Evropskega parlamenta in Sveta o trgovanju z notranjimi informacijami in tržni manipulaciji (v nadaljnjem besedilu: predlagana uredba) in predlog direktive Evropskega parlamenta in Sveta o kazenskih sankcijah za trgovanje z notranjimi informacijami in tržno manipulacijo (v nadaljnjem besedilu: predlagana direktiva). Predlagani uredbo in direktivo (v nadaljnjem besedilu: predloga) je poslala v posvetovanje ENVP, ki ju je prejel 31. oktobra 2011. Svet Evropske unije se je 6. decembra 2011 o obeh predlogih posvetoval z ENVP.

3. Komisija se je pred sprejetjem predlagane uredbe neuradno posvetovala z ENVP. Ta ugotavlja, da so bile v predlogu upoštevane številne njegove pripombe.

4. ENVP pozdravlja, da sta se Komisija in Svet posvetovala z njim.

1.2 Cilji in področje uporabe predlogov

5. Direktiva o zlorabi trga (4), sprejeta na začetku leta 2003, je uvedla skupni pravni okvir EU za preprečevanje, odkrivanje in sankcioniranje trgovanja z notranjimi informacijami in tržnih manipulacij.

6. Po nekaj letih veljavnosti je Komisija ocenila izvajanje direktive o zlorabi trga in opredelila več težav, na primer vrzeli v ureditvi nekaterih instrumentov in trgov, pomanjkanje učinkovitega uveljavljanja (zakonodajalci nimajo nekaterih informacij in pooblastil, sankcije pa bodisi manjkajo bodisi niso dovolj odvračilne), nejasnost nekaterih ključnih konceptov in upravna bremena izdajateljev.

7. Glede na te težave in pomembne spremembe, ki so se zgodile na finančnem področju z razvojem na področjih zakonodaje, trga in tehnologije, je Komisija sprejela zakonodajna predloga za reformo direktive o zlorabi trga, to je predlagano uredbo in predlagano direktivo. Cilj politike predlagane revizije je povečati zaupanje vlagateljev in celovitost trga ter slediti novemu razvoju na finančnem področju.

8. Predlagana uredba zlasti razširja področje uporabe okvira za zlorabe trga, uvršča poskuse tržne manipulacije in poskuse trgovanja z notranjimi informacijami med posebne prekrške, krepi preiskovalna pooblastila, dodeljena pristojnim organom in uvaja minimalna pravila za upravne ukrepe, sankcije in denarne kazni.

9. Predlagana direktiva nalaga državam članicam, da uvedejo kazenske sankcije za namerno trgovanje z notranjimi informacijami ali tržne manipulacije ter za pozivanje in napeljevanje h kaznivim dejanjem, pomoč pri takih dejanjih ali poskus storitve katerega od teh kaznivih dejanj. Razširja tudi odgovornost pravnih oseb in, kadar je mogoče, tudi kazensko odgovornost pravnih oseb.

1.3 Namen mnenja ENVP

10. Številni ukrepi, načrtovani v predlogih za doseganje večje celovitosti trga in zaščite vlagateljev, vplivajo na pravice posameznikov v zvezi z obdelavo njihovih osebnih podatkov.

11. Osebni podatki se zbirajo, obdelujejo in izmenjujejo zlasti, kadar pristojni organi raziskujejo ali sodelujejo, da bi odkrili, prijavili in/ali sankcionirali trgovanje z notranjimi informacijami in tržno manipulacijo. Tudi mehanizem za spodbujanje ljudi, naj prijavijo kršitve, vključuje obdelavo osebnih podatkov o osebi, ki je prijavila kršitve, in o „obdolženi“ osebi. Nazadnje, ureditev sankcioniranja bo vplivala na pravico do varstva osebnih podatkov, če se bodo sankcije, ki navajajo identiteto osebe, odgovorne za kršitev predlagane uredbe, objavile.

12. Predlagana uredba vsebuje nekaj določb, ki lahko vplivajo na posameznikovo pravico do varstva osebnih podatkov, predlagana direktiva pa kot taka ne vključuje obdelave osebnih podatkov. To mnenje bo zato osredotočeno na predlagano uredbo in zlasti na naslednja vprašanja: 1. uporabo zakonodaje o varstvu podatkov, 2. sezname oseb z dostopom do notranjih informacij, 3. pooblastila pristojnih organov, 4. sisteme, vzpostavljene za odkrivanje sumljivih poslov in poročanje o njih, 5. izmenjavo informacij s tretjimi državami ter 6. objavo sankcij in poročanje o kršitvah.

2. ANALIZA PREDLOGOV

2.1 Uporaba zakonodaje o varstvu podatkov

13. Uvodne izjave (5) in določbe (6) predlagane uredbe navajajo Listino o temeljnih pravicah, Direktivo 95/46/ES in Uredbo (ES) št. 45/2001. Zlasti člen 22 predlagane uredbe izrecno predvideva splošno pravilo, da „pri obdelavi osebnih podatkov s strani držav članic v okviru te uredbe pristojni organi uporabljajo določbe Direktive 95/46/ES. ESMA pri obdelavi osebnih podatkov v okviru te uredbe upošteva določbe Uredbe (ES) št. 45/2001“. Poleg tega določba predvideva, da se osebni podatki hranijo največ pet let.

14. ENVP z veseljem pozdravlja to pomembno določbo in na splošno ceni pozornost, ki jo predlagana uredba posebej namenja zakonodaji o varstvu podatkov. Vendar predlaga, da se določba preoblikuje tako, da bo poudarila uporabo zdajšnje zakonodaje o varstvu podatkov. Poleg tega bi bilo treba sklicevanje na Direktivo 95/46/ES razjasniti z navedbo, da se bodo določbe uporabljale v skladu z nacionalnimi pravili, ki izvajajo Direktivo 95/46/ES. ENVP opozarja, da se nekatere določbe predlagane uredbe izrecno nanašajo na Direktivo 95/46/ES in/ali Uredbo (ES) št. 45/2001. S tem je poudarjena uporaba ustreznih pravil o varstvu podatkov v posebnih primerih, vendar ne pomeni, da se pravila ne uporabljajo, kadar niso izrecno navedena v vsaki določbi, ki vključuje (morebitno) obdelavo osebnih podatkov.

15. Tako kot uvodna izjava 33 bi morale tudi druge uvodne izjave dosledno uporabljati ubeseditev, da države članice „upoštevajo“ in ne, da „bi morale upoštevati“ ustrezno zakonodajo o varstvu podatkov, saj je ta veljavna in o njeni uporabi ni mogoča prosta presoja.

2.2 Seznami oseb z dostopom do notranjih informacij

16. Predlagana uredba določa obveznost izdajateljev finančnega instrumenta ali udeležencev na trgu s pravicami do emisije, da sestavijo seznam vseh oseb, ki delajo zanje po pogodbi o zaposlitvi ali kako drugače in imajo dostop do notranjih informacij (člen 13.1). Izdajatelji finančnih instrumentov, katerih finančni instrumenti so uvrščeni v trgovanje na zagonskem trgu MSP, so oproščeni priprave takšnega seznama, razen če to zahteva pristojni organ.

17. ENVP priznava, da je tak seznam potreben kot pomembno orodje za pristojne organe pri preiskovanju morebitnega trgovanja z notranjimi informacijami ali zlorabe trga. A dokler bodo ti seznami vključevali obdelavo osebnih podatkov, je treba v osnovnem zakonu določiti glavna pravila in jamstva o varstvu podatkov. Zato ENVP priporoča izrecno sklicevanje na namen takega seznama v vsebinski določbi predlagane uredbe. Namen je resnično eden od ključnih elementov vsake obdelave po členu 6 Direktive 95/46/ES.

18. V skladu s členom 13.4 predlagane uredbe Komisija z delegiranimi akti sprejme ukrepe, ki določijo vsebino seznama (vključno z informacijami o istovetnostih in razlogih za vključitev na sezname oseb z dostopom do notranjih informacij) in pogoje, pod katerimi bo seznam sestavljen (vključno s pogoji za posodobitev, obdobjem shranjevanja in odgovornostmi naštetih oseb). ENVP ob tem priporoča: — vključitev glavnih elementov seznama (vsekakor razloge za vključitev osebe) v predlagano uredbo, — vključitev sklicevanja na potrebo po posvetovanju z ENVP, če se delegirani akti nanašajo na obdelavo osebnih podatkov.

2.3 Pooblastila pristojnih organov

19. Člen 17.2 našteva nadzorna in preiskovalna pooblastila, ki jih morajo imeti pristojni organi, da lahko izpolnjujejo svoje obveznosti na podlagi predlagane uredbe.

20. Posebno pozornost zaradi poseganja v pravice zasebnosti in varstva podatkov zahtevata zlasti dve pooblastili: pooblastilo za vstop v zasebne prostore zaradi zasega kakršnih koli dokumentov in pristojnost zahtevati obstoječe zapise podatkov o klicanih številkah ter prejetih klicih.

2.3.1 Pooblastilo za vstop v zasebne prostore

21. Pooblastilo za vstop v zasebne prostore zaradi zasega kakršnih koli dokumentov je izrazito vsiljivo in posega v pravico do zasebnosti. Zato morajo zanj veljati strogi pogoji in ustrezni zaščitni ukrepi (7). Člen 17.2(e) zahteva, da se dostop do zasebnih prostorov omogoči po predhodnem dovoljenju s strani sodnega organa v skladu z nacionalno zakonodajo in če obstaja utemeljen sum, da so lahko dokumenti, povezani z vsebino inšpekcijskega pregleda, pomembni za dokazovanje primera trgovanja z notranjimi informacijami ali tržne manipulacije. ENVP ceni, da besedilo priznava pooblastila pristojnih organov, da vstopijo v zasebne prostore, pod pogojem, da obstaja utemeljen sum kršitve predlagane uredbe ali direktive, in predhodno dovoljenje sodnega organa. Kljub temu meni, da je splošna zahteva po predhodni sodni odobritvi, ne glede na to, ali to zahteva nacionalna zakonodaja, upravičena in potrebna zaradi morebitne vsiljivosti zadevnega pooblastila.

22. Uvodna izjava 30 predlagane uredbe določa primere, ko je možnost vstopa v zasebne prostore nujna, to je kadar oseba (v celoti ali delno) ni izpolnila že predložene zahteve po informacijah ali obstajajo utemeljeni razlogi za sum, da zahteva po informacijah, če bi bila predložena, ne bi bila izpolnjena ali da bi se zahtevani dokumenti ali informacije odstranili, spremenili ali uničili. ENVP pozdravlja te natančne opredelitve. Vendar meni, da so za zagotovitev skladnosti s pravico do zasebnosti potrebni dodatni zaščitni ukrepi in bi jih bilo zato treba vključiti v vsebinsko določbo kot pogoj za dostop do zasebnih prostorov.

2.3.2 Pristojnost zahtevati obstoječe zapise telefonskih pogovorov in zapisov podatkov o klicanih številkah ter prejetih klicih

23. Člen 17.2(f) daje pristojnim organom pooblastilo, da „lahko zahtevajo obstoječe zapise telefonskih pogovorov in zapise podatkov o klicanih številkah ter prejetih klicih, ki jih ima telekomunikacijski operater ali investicijsko podjetje“, vendar pojasnjuje, da je pogoj za zahtevo, da obstaja „utemeljen sum“, da so lahko ti dokumenti „pomembni za dokazovanje primera trgovanja z notranjimi informacijami ali tržne manipulacije“ na podlagi predlagane uredbe ali predlagane direktive. Ti zapisi pa seveda ne vsebujejo „vsebine zadevnih sporočil“. Poleg tega tretji odstavek člena 17 določa, da se pooblastila iz drugega odstavka izvajajo v skladu z nacionalno zakonodajo.

24. Podatki, ki se nanašajo na uporabo sredstev elektronske komunikacije, lahko posredujejo najrazličnejše osebne informacije, kot so istovetnost oseb, ki kličejo ali sprejemajo klice, čas in trajanje klica, uporabljeno omrežje, geografsko lokacijo uporabnika v primeru prenosnih naprav itd. Nekateri podatki o prometu, ki se nanašajo na uporabo svetovnega spleta in elektronske pošte (na primer seznam obiskanih spletnih mest) lahko dodatno razkrivajo pomembne podrobnosti o vsebini komunikacije. Poleg tega je obdelava podatkov o prometu v nasprotju s tajnostjo dopisovanja. Glede na to je Direktiva 2002/58/ES (8) (direktiva o e-zasebnosti) vzpostavila načelo, da je treba podatke o prometu izbrisati ali zagotoviti njihovo anonimnost potem, ko niso več potrebni za namen prenosa sporočila (9). V skladu s členom 15.1. te direktive lahko države članice iz posebnih zakonitih namenov vključijo v nacionalno zakonodajo odstopanja, vendar morajo biti potrebna, primerna in ustrezna za doseganje teh namenov v demokratični družbi (10).

25. ENVP priznava, da so nameni Komisije v predlagani uredbi zakoniti. Zaveda se potrebe po pobudah za okrepitev nadzora nad finančnimi trgi, da bi se ohranila njihova stabilnost ter bolje zaščitili vlagatelji in gospodarstvo na splošno. Vendar morajo biti preiskovalna pooblastila, ki so neposredno povezana s podatki o prometu, zaradi svoje potencialne invazivnosti usklajena z zahtevama nujnosti in sorazmernosti, kar pomeni, da morajo biti omejena na tisto, kar je primerno za uresničitev zastavljenega cilja, in da ne smejo prekoračiti okvirov, ki so potrebni za njegovo doseganje (11). Zato je v tem pogledu ključno, da so jasno oblikovana, kar zadeva njihov osebni in stvarni obseg ter okoliščine in pogoje, v katerih oziroma pod katerimi jih je mogoče uporabiti. Poleg tega bi bilo treba predvideti ustrezne zaščitne ukrepe za tveganje zlorabe.

26. Zapisi telefonskih pogovorov in podatkov o klicanih številkah ter prejetih klicih bodo očitno vključevali osebne podatke v smislu Direktive 95/46/ES, Direktive 2002/58/ES in Uredbe (ES) št. 45/2001. Uvodna izjava 31 predlagane uredbe navaja: „Na podlagi zapisov telefonskih pogovorov in zapisov podatkov o klicanih številkah ter prejetih klicih se lahko ugotovi identiteta osebe, odgovorne za razširjanje napačnih ali zavajajočih informacij, pri čemer se lahko ugotovi tudi, da so bile osebe v določenem trenutku v stiku in da med dvema ali več osebami obstaja povezava (12).“ Zato je treba zagotoviti, da bodo pogoji za pošteno in zakonito obdelavo osebnih podatkov, kot so določeni v direktivah in uredbi, v celoti spoštovani.

2.3.3 Zahteva po sodni odobritvi

27. ENVP opozarja, da se v skladu s členom 17(3) to pooblastilo izvaja v skladu z nacionalno zakonodajo brez izrecnega sklicevanja na predhodno sodno odobritev, kot to velja pri pooblastilu za vstop v zasebne prostore. ENVP meni, da bi bila splošna zahteva po predhodni sodni odobritvi v vseh primerih – ne glede na to, ali to zahteva nacionalna zakonodaja –, upravičena glede na morebitno vsiljivost zadevnega pooblastila in v interesu usklajene uporabe zakonodaje v vseh državah članicah EU. Treba je tudi upoštevati, da različni zakoni držav članic predvidevajo posebna jamstva za nedotakljivost doma pred nesorazmernimi in ne dovolj urejenimi pregledi, preiskavami ali zasegi, zlasti kadar jih izvajajo upravne institucije.

28. Poleg tega ENVP priporoča, naj se doda pogoj, da morajo pristojni organi zahtevati zapise o telefonskem in podatkovnem prometu z uradno odločbo, v kateri so navedeni pravna podlaga in namen zahteve ter katere informacije se zahtevajo, rok, v katerem jih je treba predložiti, in pravica naslovnika, da to odločbo predloži v presojo Sodišču Evropske unije.

2.3.4 Opredelitev evidenc o telefonskem in podatkovnem prometu

29. V predlagani uredbi ni opredelitve pojma „evidence o telefonskem in podatkovnem prometu“. Direktiva 2002/58/ES (o e-zasebnosti) se sklicuje le na „podatke o prometu“, ne pa na „evidence o telefonskem in podatkovnem prometu“. Ni treba posebej poudarjati, da natančen pomen teh pojmov določa vpliv, ki ga lahko ima preiskovalno pooblastilo na zasebnost in varstvo podatkov zadevnih oseb. ENVP predlaga, da se uporablja terminologija, ki je že uveljavljena v opredelitvi „podatkov o prometu“ v Direktivi 2002/58/ES.

30. Člen 17.2(f) se sklicuje na „obstoječe zapise telefonskih pogovorov in zapise podatkov o klicanih številkah ter prejetih klicih, ki jih ima telekomunikacijski operater“. Direktiva o e-zasebnosti vzpostavlja načelo, da se morajo podatki o prometu izbrisati, ko niso več potrebni za tržni namen, zaradi katerega so se zbirali. Vendar lahko države članice na podlagi člena 15.1 direktive o e-zasebnosti odstopajo od te obveznosti zaradi kazenskega pregona. Direktiva o hrambi podatkov namerava uskladiti pobude držav članic na podlagi člena 15(1) direktive o e-zasebnosti v delu, ki se nanaša na hrambo podatkov za preiskovanje, odkrivanje in pregon „hudih“ kaznivih dejanj.

31. Vprašanje je, ali se zapisi telefonskih pogovorov in zapisi podatkov o klicanih številkah ter prejetih klicih, navedeni v členu 17.2(f), nanašajo na podatke, ki so dostopni ob shranjevanju podatkov o prometu in lokaciji, ki jih ureja direktiva o e-zasebnosti, ali na dodatne podatke, ki jih zahteva direktiva o hrambi podatkov. Zadnje navedena možnost bi vzbudila resno zaskrbljenost, saj bi se odstopanja, predvidena v členu 15.1 direktive o e-zasebnosti (to je preprečevanje, odkrivanje, preiskovanje in pregon kriminalnih dejanj), uporabila za razširitev namena, za katerega se podatki shranjujejo na podlagi direktive o hrambi podatkov (to je preiskovanje, odkrivanje in pregon „hudih“ kaznivih dejanj). Z drugimi besedami, podatki, ki se shranjujejo na podlagi direktive o hrambi podatkov, bi se tako uporabili za namene, ki niso predvideni v tej direktivi. To bi pomenilo evropsko spodbujanje uporabe „pravne praznine“, ki pomeni eno glavnih napak sedanje direktive o hrambi podatkov (13).

32. ENVP zato močno priporoča opredelitev kategorij evidenc o telefonskem in podatkovnem prometu, ki jih lahko pristojni organi zahtevajo. Taki podatki morajo biti zadostni, ustrezni in ne preobsežni glede na namen, za katerega se prenašajo ali dodatno obdelujejo. Poleg tega ENVP priporoča, naj se člen 17.2(f) omeji na podatke, ki jih telekomunikacijski operaterji običajno obdelujejo („hranijo“) v okviru direktive o e-zasebnosti 2001/58/ES. To izključuje načelo dostopa do podatkov, ki se hranijo za namene direktive o hrambi podatkov, če tak dostop ni za namen preiskovanja, odkrivanja in pregona „hudih“ kaznivih dejanj (14).

33. Člen 17.2(f) zagotavlja dostop do „zapisov telefonskih pogovorov in podatkov o klicanih številkah ter prejetih klicih, ki jih ima investicijsko podjetje“. Besedilo bi moralo opredeliti kategorije zapisov in pojasniti, na katera podjetja se določba nanaša. ENVP domneva, da bodo zapisi sovpadli s tistimi, na katere se nanaša predlog direktive Evropskega parlamenta in Sveta o trgih finančnih instrumentov („predlagana MiFID“). Poudarja, da je predložil nekaj pripomb o tem predlogu, v katerih je prav tako priporočil razjasnitev teh pojmov (15). Poleg tega je, če bi se podatki o telefonskem in podatkovnem prometu nanašali na telefonske pogovore in elektronsko komunikacijo iz člena 16.7 predlagane MiFID, priporočil, naj se opredelijo namen zapisa takih komunikacij ter katere vrste komunikacij in katere kategorije podatkov v komunikacijah se bodo zapisovali (16).

34. Nazadnje, ENVP je zadovoljen, da besedilo zahteva kot pogoj za dostop do zapisov utemeljen sum kršitve predlagane uredbe ali predlagane direktive in da izrecno izključuje dostop pristojnih organov do vsebine komunikacij.

2.4 Sistemi, vzpostavljeni za odkrivanje sumljivih poslov in poročanje o njih

35. Odstavek 1 člena 11.1 predlagane uredbe predvideva, da vsaka oseba, ki opravlja dejavnosti na mestu trgovanja, sprejme in vzdržuje učinkovito ureditev in postopke za preprečevanje in odkrivanje zlorabe trga. Poleg tega odstavek 2 zahteva, da ima vsaka oseba, ki se v okviru svojega poklica dogovarja za posle s finančnimi instrumenti ali jih izvaja, vzpostavljene sisteme za odkrivanje naročil in poslov, ki bi lahko pomenili trgovanje z notranjimi informacijami, tržno manipulacijo ali poskus tržne manipulacije ali trgovanja z notranjimi informacijami, ter poročanje o njih. V primeru suma o tem takoj obvesti pristojni organ. Komisija bo sprejela regulativne tehnične standarde za določitev ustreznih ureditev in postopkov iz prvega odstavka in za določitev sistemov in predlog za uradno obvestilo iz drugega odstavka (člen 11.3, zadnji stavek).

36. Ker bodo ti sistemi najverjetneje vključevali osebne podatke (npr. spremljanje poslov, ki jih opravijo osebe s seznama oseb z dostopom do notranjih informacij), ENVP poudarja, da je treba te standarde razviti v skladu z načelom „vgrajene zasebnosti“, to je vključevanja varstva podatkov in zasebnosti od same zasnove novih proizvodov, storitev in postopkov, ki vključujejo obdelavo osebnih podatkov (17). Poleg tega ENVP priporoča, da se vključi tudi sklicevanje na potrebo po posvetovanju z ENVP, če se ti regulativni standardi nanašajo na obdelavo osebnih podatkov.

2.5 Izmenjava informacij s tretjimi državami

37. ENVP navaja sklicevanje na Direktivo 95/46/ES, zlasti na člena 25 oziroma 26 ter posebne zaščitne ukrepe, navedene v členu 23 predlagane uredbe, glede razkritja osebnih podatkov tretjim državam. Kot primerni zaščitni ukrepi pred tveganji pri takih prenosih veljajo zlasti ocena posameznih primerov, zagotovitev nujnosti prenosa, zahteva po predhodni izrecni odobritvi pristojnega organa za nadaljnji prenos podatkov tretji državi in od te države ter obstoj ustrezne ravni varstva osebnih podatkov v tretji državi, ki sprejema osebne podatke.

2.6 Objava sankcij

2.6.1 Obvezna objava sankcij

38. V skladu s členom 26.3 predlagane uredbe morajo države članice zagotoviti, da pristojni organi takoj objavijo vsak upravni ukrep in sankcijo, ki se naloži zaradi kršitev predlagane uredbe, pri čemer vključijo vsaj informacije o vrsti in naravi kršitve ter o identiteti odgovornih oseb, razen če bi takšna objava resno ogrozila stabilnost finančnih trgov.

39. Objava sankcij bi prispevala k večjemu odvračanju, ker bi dejanske in morebitne storilce odvračala od kaznivih dejanj, da bi se izognili večjemu oškodovanju ugleda. Zato bi še bolj povečala preglednost, ker bi upravljavci trga izvedeli, da je kršitev storila zadevna oseba. Ta obveznost se zmanjša samo, če bi objava vpletenim stranem povzročila nesorazmerno škodo in v takem primeru pristojni organi objavijo sankcije anonimno.

40. ENVP pozdravlja sklicevanje v uvodni izjavi 35 Listine o temeljnih pravicah in zlasti pravico do varstva osebnih podatkov pri sprejetju in objavi sankcij. Vendar ni prepričan, da obvezna objava sankcij, kot je opredeljena zdaj, izpolnjuje zahteve zakonodaje o varstvu podatkov, kot je pojasnilo Sodišče v sodbi Schecke (18). ENVP meni, da namen, nujnost in sorazmernost ukrepa niso zadostno dokazani in da je treba v vsakem primeru zagotoviti ustrezne zaščitne ukrepe proti nevarnostim za pravice posameznikov, ki jih je treba predvideti.

2.6.2 Nujnost in sorazmernost objave

41. Sodišče je v sodbi Schecke razglasilo za nične določbe Uredbe Sveta in Uredbe Komisije, ki predvidevajo obvezno objavo informacij o upravičencih do sredstev iz kmetijskih skladov, vključno z istovetnostjo upravičencev in prejetimi zneski. Sodišče je menilo, da je navedena objava pomenila obdelavo osebnih podatkov, ki spadajo v okvir člena 8(2) Evropske listine o temeljnih pravicah (Listina), in s tem poseganje v pravice, ki jih priznavata člena 7 in 8 Listine.

42. Potem ko je Sodišče proučilo, da „je treba odstopanja in omejitve v zvezi z varstvom osebnih podatkov uporabljati le, če je to nujno potrebno“, je proučilo še namen objave in njeno sorazmernost. Sklenilo je, da nič ne kaže na to, da bi Svet in Komisija pri sprejemanju zadevne zakonodaje upoštevala načine objave informacij, ki bi bili v skladu s ciljem take objave, hkrati pa bi povzročali manj motenj upravičencem.

43. Zdi se, da ima člen 26.3 predlagane uredbe enake pomanjkljivosti, kot jih je poudarilo Evropsko sodišče v sodbi Schecke. Treba je upoštevati, da je pri presoji, ali je določba, ki zahteva javno razkritje osebnih informacij, skladna z zahtevami glede varstva podatkov, ključna jasna in natančna opredelitev namena, predvidenega z nameravano objavo. Samo z jasnim in natančno opredeljenim namenom je mogoče presoditi, ali je objava z vključitvijo osebnih podatkov zares potrebna in sorazmerna (19).

44. ENVP meni, potem ko je prebral predlog in spremljajoče dokumente (npr. poročilo o oceni učinka), da namen in posledično nujnost tega ukrepa nista jasno opredeljena. Medtem ko uvodne določbe predloga ne obravnavajo teh vprašanj, se ocena učinka sklicuje samo na splošne pozitivne učinke (to je odvračilni učinek zlorabe trga, prispevek k zaščiti vlagateljev, enaka obravnava izdajateljev, boljše izvajanje) in navaja le, da je „objava sankcij zelo pomembna za povečanje preglednosti in ohranjanje zaupanja v finančne trge“ in da bo „objava uvedenih sankcij prispevala k cilju odvračanja in izboljšala celovitost trga in zaščito vlagateljev“ (20). Taka splošna izjava ne zadošča za dokazovanje nujnosti predlaganega ukrepa. Če je splošen namen povečanje odvračilnega učinka, bi morala Komisija razložiti predvsem, zakaj ne bi zadoščale višje finančne kazni (ali druge sankcije, ki ne bi pomenile imenovanja in zasramovanja).

45. Poleg tega se zdi, da poročilo o oceni učinka ne upošteva manj vsiljivih načinov, na primer, da bi se o objavi odločalo za vsak primer posebej. Zlasti zadnje bi bilo na prvi pogled bolj sorazmerna rešitev, še posebno ob upoštevanju, da objava (kot potrjuje člen 26.1(d)) pomeni sankcijo, ki jo je zato treba ocenjevati za posamezne primere ob upoštevanju ustreznih okoliščin, kot so teža kršitve, stopnja osebne odgovornosti, ponavljanje dejanja, izguba za tretje osebe itd (21).

46. Poročilo o oceni učinka ne pojasnjuje, zakaj objava na podlagi posameznih primerov ni ustrezna možnost. Omenja le, da bo objava uvedenih sankcij „prispevala k cilju odprave možnosti in diskrecijske pravice, kjer je to mogoče, z odpravo sedanje diskrecijske pravice držav članic, da jim ni treba zahtevati take objave (22).“ Po mnenju ENVP je možnost ocenjevanja primera glede na posebne okoliščine bolj sorazmerna in zato bolj zaželena možnost v primerjavi z obvezno objavo v vseh primerih. Ta diskrecijska pravica bi na primer omogočila pristojnemu organu, da se izogne objavi v primeru lažjih kršitev, kadar kršitev ne povzroči večje škode, kadar stranka pokaže pripravljenost za sodelovanje ipd. Ocena, podana v oceni učinka, zato ne odpravlja dvomov o nujnosti in sorazmernosti ukrepa.

2.6.3 Potreba po ustreznih zaščitnih ukrepih

47. Predlagana uredba bi morala predvideti ustrezne zaščitne ukrepe, da bi zagotovila pravo ravnotežje med različnimi interesi. Prvič, zaščitni ukrepi so potrebni v zvezi s pravico obdolžene osebe, da izpodbija odločitev pred sodiščem, in domnevo nedolžnosti. V tem smislu bi bilo treba v besedilo člena 26.3 vključiti posebne izraze, ki bi zavezali pristojne organe, da sprejmejo ustrezne ukrepe v zvezi s primeri, kadar je odločitev predmet pritožbe, in primeri, ko jo na koncu razveljavi sodišče (23).

48. Drugič, predlagana uredba bi morala zagotoviti, da se pravice posameznikov, na katere se nanašajo podatki, spoštujejo proaktivno. ENVP ceni, da končna različica predloga predvideva možnost za izključitev objave v primerih, ko bi to povzročilo nesorazmerno škodo. Vendar mora proaktivni pristop pomeniti, da so posamezniki, na katere se nanašajo podatki, vnaprej obveščeni o tem, da bo odločitev o njihovem sankcioniranju objavljena in da imajo na podlagi zakonitih in nujnih razlogov pravico temu ugovarjati po členu 14 Direktive 95/46/ES (24).

49. Tretjič, predlagana uredba ne določa medija, v katerem je treba objaviti informacije, toda v praksi si je mogoče predstavljati, da bo objava v večini držav članic izvedena na svetovnem spletu. Spletne objave odpirajo posebna vprašanja in vzbujajo tveganja, predvsem potrebo po zagotovitvi, da informacije ne bodo na voljo dlje, kot je potrebno, in da se podatki ne bodo prikrojili ali spremenili. Uporaba zunanjih iskalnikov vključuje tudi tveganje, da se lahko informacije vzamejo iz konteksta in usmerijo po spletu ter iz njega na načine, ki jih ni preprosto nadzirati (25).

50. Glede na zgoraj navedeno je treba države članice zavezati k temu, da zagotovijo, da se osebni podatki zadevnih oseb hranijo na spletu samo v razumnem časovnem obdobju, potem pa se sistematično brišejo (26). Poleg tega je treba od držav članic zahtevati, da zagotovijo uvedbo ustreznih varnostnih in zaščitnih ukrepov, predvsem za zaščito pred tveganji, povezanimi z uporabo zunanjih iskalnikov (27).

2.6.4 Sklepne ugotovitve

51. ENVP meni, da določba o obvezni objavi sankcij (kot je opredeljena zdaj) ni v skladu s temeljnimi pravicami do zasebnosti in varstvom podatkov. Zakonodajalec bi moral previdno proučiti nujnost predlaganega sistema in preveriti, ali obveznost objave ne presega okvirov, ki so potrebni za doseganje cilja javnega interesa, in ali so na voljo manj omejevalni ukrepi za doseganje istega cilja. Odvisno od izida tega preizkusa sorazmernosti bi morala biti obveznost objave v vsakem primeru podprta z ustreznimi zaščitnimi ukrepi za zagotovitev spoštovanja domnevne nedolžnosti, pravice zadevnih oseb do ugovora, varnosti/natančnosti podatkov in njihov izbris po ustreznem obdobju.

2.7 Poročanje o kršitvah

52. V skladu s členom 29 predlagane uredbe morajo države članice uvesti učinkovite mehanizme za poročanje o kršitvah, znane tudi kot sheme prijavljanja nepravilnosti. Ti sistemi so lahko učinkovito orodje za usklajevanje, hkrati pa odpirajo pomembna vprašanja z vidika varstva podatkov (28).

53. ENVP pozdravlja to, da vsebuje predlagana uredba posebne zaščitne ukrepe, ki jih je treba še dodatno razviti na nacionalni ravni, o zaščiti oseb, ki sporočijo sum kršitve, in splošneje o varstvu osebnih podatkov. Zaveda se, da predlagana uredba določa samo glavne elemente sheme, ki jo morajo izvesti države članice. Kljub temu bi rad usmeril pozornost na naslednje dodatne točke.

54. ENVP poudarja, tako kot v primeru drugih mnenj (29), da je treba uvesti posebno sklicevanje na potrebo po spoštovanju zaupnosti identitete prijaviteljev nepravilnosti in informatorjev. Poudarja še, da je položaj prijaviteljev nepravilnosti občutljiv. Osebam, ki zagotavljajo take informacije, je treba zajamčiti, da bo njihova istovetnost ostala zaupna, zlasti v razmerju do osebe, o kateri sporočajo domnevno kršitev (30). Zaupnost istovetnosti prijaviteljev nepravilnosti mora biti zajamčena na vseh stopnjah postopka, če to ni v nasprotju z nacionalnimi predpisi, ki urejajo sodne postopke. Istovetnost je morda treba razkriti zlasti v primeru nadaljnje preiskave ali poznejšega sodnega postopka, uvedenega kot posledica poizvedbe (tudi če je bilo ugotovljeno, da so dajali zlonamerne lažne izjave o njem/njej) (31). ENVP glede na zgoraj navedeno priporoča, naj se v členu 29.1 v točki b doda naslednja določba: „identiteto teh oseb je treba zajamčiti na vseh stopnjah postopka, razen če se njihovo razkritje zahteva po nacionalni zakonodaji v okviru nadaljnje preiskave ali poznejšega sodnega postopka“.

55. ENVP je zadovoljen, da morajo države članice v skladu s členom 29.1(c) zagotoviti zaščito osebnih podatkov obeh oseb, obtožene in obtožujoče, v skladu z načeli, določenimi v Direktivi 95/46/ES. Predlaga, da bi črtali „z načeli iz“, da bi bilo sklicevanje na direktivo celovitejše in bolj zavezujoče. V zvezi s potrebo po spoštovanju zakonodaje o varstvu podatkov pri praktičnem izvajanju shem želi poudariti zlasti priporočila delovne skupine iz člena 29 v njenem mnenju iz leta 2006 o prijavljanju nepravilnosti. Zadevni subjekti bi morali pri izvajanju nacionalnih shem med drugim upoštevati potrebo po spoštovanju sorazmernosti s čim večjo omejitvijo kategorij oseb, upravičenih do sporočanja, kategorij oseb, ki so lahko obtožene, in kršitev, za katere so lahko obtožene, potrebo po spodbujanju upoštevnih in zaupnih sporočil v nasprotju z anonimnimi sporočili, potrebo po zagotovitvi razkritja istovetnosti prijaviteljev nepravilnosti, kadar prijavitelj podaja zlonamerne izjave; in potrebo po doslednem spoštovanju obdobij o hrambi podatkov.

3. SKLEPNE UGOTOVITVE

56. ENVP pozdravlja posebno pozornost, namenjeno varstvu podatkov v predlagani uredbi.

57. ENVP daje naslednja priporočila: — v členu 13 določiti namen seznama oseb z dostopom do notranjih informacij, — v členu 17.2(e), ki se nanaša na pooblastilo za vstop v zasebne prostore, uvesti predhodno sodno odobritev kot splošno zahtevo, — v členu 17.2(f), ki se nanaša na pristojnost zahtevati zapise o telefonskem in podatkovnem prometu, uvesti predhodno sodno odobritev kot splošno zahtevo in zahtevo po uradni odločbi, v kateri so navedeni: (i) pravna podlaga, (ii) namen zahteve, (iii) katere informacije se zahtevajo, (iv) rok, v katerem jih je treba predložiti, in (v) pravica naslovnika, da to odločbo predloži v presojo Sodišču Evropske unije, — določiti kategorije zapisov telefonskih pogovorov in zapisov podatkov o klicanih številkah ter prejetih klicih, ki jih hrani telekomunikacijski operater ali investicijsko podjetje, ki jih lahko pristojni organi zahtevajo, in omejiti člen 17.2(f) na podatke, ki jih telekomunikacijski operaterji običajno obdelujejo („hranijo“) v okviru direktive o e-zasebnosti 2001/58/ES, — dodati v členu 29.1(b) določbo, po kateri „je treba istovetnost teh oseb zajamčiti na vseh stopnjah postopka, razen če se njihovo razkritje zahteva po nacionalni zakonodaji v okviru nadaljnje preiskave ali poznejšega sodnega postopka“, — glede na dvome, izražene v tem mnenju, je treba proučiti nujnost in sorazmernost predlaganega sistema obvezne objave sankcij. Odvisno od izida preizkusa nujnosti in sorazmernosti je treba v vsakem primeru zagotoviti ustrezne zaščitne ukrepe za zagotovitev spoštovanja domnevne nedolžnosti, pravice zadevnih oseb do ugovora, varnosti/natančnosti podatkov in njihov izbris po ustreznem obdobju.

V Bruslju, 10. februarja 2012 Giovanni BUTTARELLI Pomočnik Evropskega nadzornika za varstvo podatkov

(1) UL L 281, 23.11.1995, str. 31.

(2) UL L 8, 12.1.2001, str. 1.

(3) Mnenja ENVP z dne 10. februarja 2012 o zakonodajnem svežnju o reviziji bančne zakonodaje, bonitetnih agencijah, trgih finančnih instrumentov (MIFID/MIFIR) in zlorabi trga.

(4) Direktiva 2003/6/ES Evropskega parlamenta in Sveta z dne 28. januarja 2003 o trgovanju z notranjimi informacijami in tržni manipulaciji (zloraba trga), UL L 96, 12.4.2003, str. 16.

(5) Glej uvodne izjave 33, 35, 39 in 40 predlagane uredbe.

(6) Glej člene 17.4, 22, 23 in 29.1(c) predlagane uredbe.

(7) Glej zlasti sodbo ESČP z dne 23. februarja 1993 v zadevi Funcke proti Franciji, 10828/84.

(8) Direktiva 2002/58/ES Evropskega parlamenta in Sveta z dne 12. julija 2002 o obdelavi osebnih podatkov in varstvu zasebnosti na področju elektronskih komunikacij (UL L 201, 31.7.2002, str. 37).

(9) Glej člen 6(1) Direktive 2002/58/ES (UL L 201, 31.7.2002, str. 37).

(10) Člen 15.1 Direktive 2002/58/ES določa, da morajo take omejitve „pomeniti potreben, primeren in ustrezen ukrep znotraj demokratične družbe za zaščito nacionalne varnosti (to je državne varnosti), obrambe, javne varnosti in preprečevanje, preiskovanje, odkrivanje in pregon kriminalnih dejanj ali nedovoljene uporabe elektronskega komunikacijskega sistema iz člena 13.1 Direktive 95/46/ES. V ta namen lahko države članice med drugim sprejmejo zakonske ukrepe, ki določajo zadrževanje podatkov za določeno obdobje, upravičeno iz razlogov iz tega odstavka […]“.

(11) Glej npr. združeni zadevi C-92/09 in C-93/09, Volker und Markus Schecke GbR (C-92/09), Hartmut Eifert (C-92/09) proti Land Hessen, še ni objavljeno v Zodl., točka 74.

(12) Glej tudi str. 12 obrazložitvenega memoranduma predlagane uredbe.

(13) Glej v zvezi s tem Mnenje ENVP z dne 31. maja 2011 o ocenjevalnem poročilu Komisije Svetu in Evropskemu parlamentu o [d]irektivi o hrambi podatkov (Direktiva 2006/24/ES), npr. odstavek 24.

(14) ENVP bi rad spomnil na težave, povezane s pomanjkanjem evropske opredelitve „hudega kaznivega dejanja“. ENVP resnično poudarja, da ocenjevalno poročilo Komisije o direktivi o hrambi podatkov kaže, da je odločitev, da se natančna opredelitev, kaj pomeni „hudo kaznivo dejanje“, prepusti presoji držav članic, vodila v veliko različnost namenov, za katere se podatki uporabljajo. Komisija je navedla, da „večina držav članic, ki so prenesle [d]irektivo, v skladu s svojo nacionalno zakonodajo omogoča dostop do hranjenih podatkov in njihovo uporabo za namene, ki presegajo namene, zajete v [d]irektivi, vključno s preprečevanjem kriminala in bojem proti njemu na splošno ter ogrožanjem življenja in fizične integritete“. Glej Mnenje ENVP z dne 31. maja 2011 o ocenjevalnem poročilu Komisije Svetu in Evropskemu parlamentu o [d]irektivi o hrambi podatkov (Direktiva 2006/24/ES), §§ 24, 71 in 72.

(15) V skladu s členom 71.2(d) imajo pristojni organi na podlagi predlagane MiFID pravico zahtevati obstoječe zapise telefonskih pogovorov in zapise podatkov o klicanih številkah ter prejetih klicih, ki jih ima investicijsko podjetje, če obstaja utemeljen sum prekršitve predlagane MIFIF.

(16) Glej mnenji ENVP z dne 10. februarja 2012 o predlogu direktive Evropskega parlamenta in Sveta o trgih finančnih instrumentov in razveljavitvi Direktive 2004/39/ES Evropskega Parlamenta in Sveta (Prenovitev) in o predlogu uredbe Evropskega parlamenta in Sveta o trgih finančnih instrumentov in spremembi Uredbe (uredba o infrastrukturi evropskega trga) o izvedenih finančnih instrumentih OTC, centralnih nasprotnih strankah in repozitorijih sklenjenih poslov.

(17) Glej Mnenje ENVP z dne 14. januarja 2011 o Sporočilu Komisije Evropskemu parlamentu, Svetu, Evropskemu ekonomsko-socialnemu odboru in Odboru regij – „Celovit pristop k varstvu osebnih podatkov v Evropski uniji“ (UL C 181, 22.6.2011, str. 1), §108–115.

(18) Združeni zadevi C-92/09 in C-93/09, Schecke, odstavki 56–64.

(19) Glej v tem smislu tudi mnenje ENVP z dne 15. aprila 2011 o finančnih pravilih, ki se uporabljajo za letni proračun Unije (UL C 215, 21.7.2011, str. 13).

(20) Glej oceno učinka, str. 166.

(21) To je v skladu s členom 27 predlagane uredbe, ki določa merila za določitev sankcij.

(22) Glej oceno učinka, str. 167.

(23) Nacionalni organi bi na primer lahko razmislili o naslednjih ukrepih: da se objava odloži, dokler ni pritožba zavrnjena, ali, kot je predlagano v poročilu o oceni učinka, da se jasno navede, da je odločitev še vedno predmet pritožbe in da je posameznik domnevno nedolžen, dokler ni sprejeta dokončna odločitev, da se v primerih, ko sodišče razveljavi odločitev, objavi popravek.

(24) Glej mnenje ENVP z dne 10. aprila 2007 o financiranju skupne kmetijske politike (UL C 134, 16.6.2007, str. 1).

(25) Glej v zvezi s tem dokument, ki ga je objavil italijanski DPA, Osebni podatki, kot jih vsebujejo tudi zapisi in dokumenti javnoupravnih organov: Smernice za njihovo obdelavo s strani javnih organov v zvezi s spletnimi sporočili in razširjanjem, na voljo na spletnem mestu italijanskega DPA, http://www.garanteprivacy.it/garante/doc.jsp?ID=1803707

(26) Te skrbi so povezane tudi s splošnejšo pravico biti pozabljen, o kateri poteka razprava, da bi jo vključili v nov zakonodajni okvir za varstvo osebnih podatkov.

(27) Ti varnostni in zaščitni ukrepi lahko na primer vključujejo izključitev indeksacije podatkov s pomočjo zunanjih spletnih iskalnikov.

(28) Delovna skupina iz člena 29 je leta 2006 objavila mnenje o takih shemah, ki obravnava vidike zaščite podatkov tega pojava. Mnenje 1/2006 o uporabi pravil EU o varstvu podatkov za sheme prijavljanja nepravilnosti na področju računovodstva, notranjega računovodskega nadzora, revizijskih vprašanj, boja proti podkupovanju, bančnemu in finančnemu kriminalu (mnenje delovne skupine o prijavljanju nepravilnosti). Mnenje delovne skupine iz člena 29 je na voljo na spletni strani: http://ec.europa.eu/justice/policies/privacy/workinggroup/index_en.htm

(29) Glej na primer mnenje o finančnih pravilih, ki se uporabljajo za letni proračun Unije z dne 15. aprila 2011, in mnenje o preiskavah, ki jih izvaja urad OLAF, z dne 1. junija 2011, obe sta na voljo na naslovu http://www.edps.europa.eu

(30) Pomembnost ohranjanja zaupnosti istovetnosti prijavitelja nepravilnosti je ENVP poudaril že v dopisu Evropskemu varuhu človekovih pravic dne 30. julija 2010 v zadevi 2010-0458, ki je na voljo na spletnem mestu ENVP (http://www.edps.europa.eu). Glej tudi mnenja ENVP o predhodnem preverjanju z dne 3. februarja 2012, 23. junija 2006 o mednarodnih preiskavah urada OLAF (zadeva 2005-0418) in z dne 4. oktobra 2007 o zunanjih preiskavah urada OLAF (zadeve 2007-47, 2007-48, 2007-49, 2007-50, 2007-72).

(31) Glej mnenje o finančnih pravilih, ki se uporabljajo za letni proračun Unije, z dne 15. aprila 2011, ki je na voljo na naslovu http://www.edps.europa.eu