CELEX: 32011H0136
Language: bg
Date: 2011-03-01 00:00:00
Title: 2011/136/ЕС: Препоръка на Комисията от 1 март 2011 година относно насоки за прилагането на правилата за защитата на данни в Системата за сътрудничество в областта на защитата на потребителите (ССОЗП)

2.3.2011   
            
            
               BG
            
            
               Официален вестник на Европейския съюз
            
            
               L 57/44
            
         ПРЕПОРЪКА НА КОМИСИЯТА
   от 1 март 2011 година
   относно насоки за прилагането на правилата за защитата на данни в Системата за сътрудничество в областта на защитата на потребителите (ССОЗП)
   (2011/136/ЕС)
   ЕВРОПЕЙСКАТА КОМИСИЯ,
   като взе предвид Договора за функционирането на Европейския съюз, и по-специално член 292 от него,
   като има предвид, че:
   
               (1)
            
            
               Регламент (ЕО) № 2006/2004 на Европейския парламент и на Съвета от 27 октомври 2004 г. за сътрудничество между националните органи, отговорни за прилагане на законодателството за защита на потребителите (регламент за сътрудничество в областта на защита на потребителите) (1) (наричан по-долу „регламентът за СОЗП“) има за цел засилване на сътрудничеството в областта на прилагане на законодателството за защита на потребителите в рамките на единния пазар, създаване в рамките на ЕС на мрежа от национални публични органи, отговарящи за прилагане на законодателството, (наричана по-долу „мрежа за СОЗП“) и определя рамката и общите условия, при които органите на държавите-членки, отговарящи за прилагане на законодателството, си сътрудничат за защита на колективните икономически интереси на потребителите.
            
         
               (2)
            
            
               Сътрудничеството между националните органи, отговарящи за прилагане на законодателството, е от основно значение, за да може единният пазар да функционира ефективно, като в рамките на мрежата за СОЗП всеки орган има възможност да иска помощ от другите органи при разследването на евентуални нарушения на законодателството на ЕС за защита на потребителите.
            
         
               (3)
            
            
               Целта на Системата за сътрудничество в областта на защитата на потребителите (наричана по-долу „ССОЗП“) е да даде възможност на публичните органи, отговарящи за прилагане на законодателството, да обменят информация относно евентуални нарушения на законодателството за защита на потребителите в безопасна и сигурна среда.
            
         
               (4)
            
            
               Обменът на информация по електронен път между държавите-членки трябва да бъде съобразен с правилата за защита на личните данни, установени в Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 г. за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни (2) (наричана по-долу „директивата за защита на данните“) и в Регламент (ЕО) № 45/2001 на Европейския парламент и на Съвета от 18 декември 2000 г. относно защитата на лицата по отношение на обработката на лични данни от институции и органи на Общността и за свободното движение на такива данни (3) (наричан по-долу „регламентът за защита на данните“).
            
         
               (5)
            
            
               В член 8 от Хартата на основните права на Европейския съюз се признава правото на защита на данните. ССОЗП следва да гарантира, че различните задължения и отговорности, които се споделят от Комисията и държавите-членки по отношение на правилата за защита на данните, са ясни и че съответните физически лица разполагат с информация и леснодостъпни механизми за отстояване на правата си.
            
         
               (6)
            
            
               Целесъобразно е да се установят насоки за прилагане в ССОЗП на правилата за защита на данните (наричани по-долу „насоките“), за да се гарантира, че когато се обработват данни в рамките на ССОЗП се спазват правилата за защита на данните.
            
         
               (7)
            
            
               Длъжностните лица от органите, отговарящи за прилагане на законодателството, следва да се насърчават да установят контакт със своите национални надзорни органи по защита на данните за получаване на насоки и на помощ относно най-добрия начин за прилагане на насоките в съответствие с националното законодателство и ако е необходимо, за да гарантират, че процедурите по уведомяване и предварителна проверка, свързани с дейностите по обработване в рамките на ССОЗП, се извършват на национално равнище.
            
         
               (8)
            
            
               Настоятелно се препоръчва участието в обучения, организирани от Комисията за подпомагане на прилагането на насоките.
            
         
               (9)
            
            
               Предоставянето на обратна информация на Комисията за изпълнението на насоките следва да се извърши не по-късно от две години след приемането на настоящата препоръка. След това Комисията следва да направи допълнителна оценка на нивото на защита на данните в ССОЗП и следва да прецени дали има необходимост от допълнителни инструменти, включително от регулаторни мерки.
            
         
               (10)
            
            
               Следва да бъдат предприети необходимите стъпки, за да се улесни прилагането на насоките от участниците и ползвателите на ССОЗП. Националните органи за защита на данните и Европейският надзорен орган по защита на данните (ЕНОЗД) наблюдават внимателно разработването и прилагането на гаранции за защита на данните по отношение на ССОЗП.
            
         
               (11)
            
            
               С насоките се допълва Решение 2007/76/ЕО на Комисията (4) и се взема предвид становището на Работната група за защита на лицата при обработването на лични данни, създадена по силата на член 29 (5) от директивата за защита на данните, и становището на Европейския надзорен орган по защита на данните, създаден по силата на член 41 (6) от регламента за защита на данните (наричан по-долу „ЕНОЗД“),
            
         ПРИЕ НАСТОЯЩАТА ПРЕПОРЪКА:
   Държавите-членки следва да спазват насоките, определени в приложението.
   
      Съставено в Брюксел на 1 март 2011 година.
      
         
            За Комисията
         
         John DALLI
         
            Член на Комисията
         
      
   
   
      (1)  ОВ L 364, 9.12.2004 г., стр. 1.
   
      (2)  ОВ L 281, 23.11.1995 г., стр. 31.
   
      (3)  ОВ L 8, 12.1.2001 г., стр. 1.
   
      (4)  ОВ L 32, 6.2.2007 г., стр. 192.
   
      (5)  Становище 6/2007 по въпросите на защитата на данните във връзка със Системата за сътрудничество в областта на защитата на потребителите (ССОЗП) 01910/2007/EN — WP 130 — прието на 21 септември 2007 г.
   
      (6)  Становище на ЕНОЗД, реф. № 2010-0692.
   
      ПРИЛОЖЕНИЕ
      
         Насоки за прилагането на правилата за защитата на данни в Системата за сътрудничество в областта на защитата на потребителите (ССОЗП)
      
      1.   ВЪВЕДЕНИЕ
      Сътрудничеството между националните органи за защита на потребителите е от основно значение за правилното функциониране на вътрешния пазар, тъй като липсата на ефективно прилагане на законодателството при случаи с трансграничен характер подкопава доверието на потребителите при приемането на трансгранични оферти, и оттук тяхното доверие във вътрешния пазар, и също така води до нарушаване на конкуренцията.
      ССОЗП представлява компютърно приложение, създадено по силата на регламента за СОЗП, предоставящо структуриран механизъм за обмен на информация между националните органи за защита на потребителите, които са част от мрежата за СОЗП. То позволява на публични органи да се обръщат към други публични органи от мрежата за СОЗП за помощ при разследването и справянето с евентуални нарушения на законодателството на ЕС за защита на потребителите и при предприемането на действия по прилагане на законодателството за спиране на незаконни търговски практики на продавачи и доставчици, насочени към потребители, живеещи в други държави от ЕС. Исканията за получаване на информация и цялата комуникация между компетентните публични органи, свързани с прилагането на регламента за СОЗП, се извършват посредством ССОЗП.
      Целта на регламента за СОЗП е да се подобри прилагането на законодателството за защита на потребителите в рамките на вътрешния пазар чрез създаване в рамките на ЕС на мрежа на националните органи, отговарящи за прилагане на законодателството, и определяне на условията, при които държавите-членки да си сътрудничат. Регламентът за СОЗП постановява, че подобен обмен на информация и искания за взаимна помощ между националните органи, отговарящи за прилагане на законодателството, трябва да се извършва чрез специално определена база данни. Поради това ССОЗП бе проектирана така, че да улеснява това административно сътрудничество и обмен на информация с цел прилагане на законодателството на ЕС за защита на потребителите.
      Обхватът на сътрудничеството е ограничен до вътрешнообщностните нарушения на правните актове, изброени в приложението към регламента за СОЗП, който защитава колективните икономически интереси на потребителите.
      2.   ОБХВАТ И ЦЕЛ НА НАСТОЯЩИТЕ НАСОКИ
      Настоящите насоки имат за цел да отговорят на главната загриженост относно осигуряването на баланс между ефикасното и ефективно осъществяване на сътрудничество между компетентните органи на държавите-членки при зачитане на основните права на неприкосновеност на личния живот и на защита на личните данни.
      В директивата за защита на данните (1) личните данни се определят като всяка информация, свързана с физическо лице с установена или подлежаща на установяване самоличност; лице с подлежаща на установяване самоличност е лице, чиято самоличност може пряко или косвено да се установи, по-специално по идентификационен номер или по един или повече специфични признаци, отнасящи се до неговата физическа, физиологична, умствена, икономическа, културна или социална самоличност.
      Тъй като е възможно длъжностните лица от националните органи, отговарящи за прилагане на законодателството, (работещи по отделните случаи), които са ползватели на ССОЗП, да не са експерти в областта на защитата на данните и да не са запознати в достатъчна степен с изискванията за защита на данните, налагани от собственото им национално законодателство за защита на данните, е препоръчително на ползвателите на ССОЗП да се предоставят насоки, в които се обяснява функционирането на ССОЗП от практическа гледна точка на защитата на данните, както и подробно описание на предпазните механизми, вградени в системата, и възможните рискове, свързани с нейното използване.
      Целта на насоките е да обхванат повечето от значимите въпроси относно защитата на данните, имащи отношение към ССОЗП, и да послужат като лесно за ползване обяснение, на което могат да се позовават всички ползватели на ССОЗП. Те обаче нямат за цел да предоставят изчерпателен анализ на последиците за ССОЗП, имащи отношение към защитата на данните.
      Настоятелно се препоръчва да се проведат консултации с органите за защита на данните в държавите-членки, за да се гарантира, че препоръките се допълват със специфичните задължения, установени в националните законодателства за защита на данните. Ползвателите на ССОЗП могат също така да получат допълнителна помощ и насоки от тези национални органи за защита на данните, за да се гарантира, че са изпълнени изискванията относно защитата на данните. Списък на тези органи с данните за контакт и съответните уебсайтове може да бъде намерен на следния адрес:
      http://ec.europa.eu/justice_home/fsj/privacy/nationalcomm/#eu.
      Трябва да е ясно, че обработването на лични данни следва да се извършва в съответствие със специфичните принципи и условия, определени в директивата за защита на данните. Служителите, работещи по отделните случаи, имат право в контекста на регламента да извършват обмен на данни, включително на лични данни, посредством ССОЗП, ако целта на обработването е да се преустанови нарушение на законодателството на ЕС, свързано с потребителите, посочено в приложението към регламента за СОЗП. Преди обработването на такива данни обаче е необходимо да се извърши внимателна оценка, за да се гарантира, че са спазени принципите за защита на данните и че обработването е абсолютно необходимо за постигането на целите на регламента за СОЗП.
      Предвид това служителите, работещи по отделните случаи, които имат достъп до ССОЗП, ще е необходимо да извършват преценка във всеки отделен случай, преди да може да бъде извършено каквото и да е обработване на лични данни (2). Целта на настоящите насоки е да се подпомагат служителите, работещи по отделните случаи, при извършването на тази преценка, като им се предоставят някои ръководни принципи за защита на данните, които трябва да бъдат вземани предвид.
      Целта е също да се изяснят някои от сложните аспекти на архитектурата на ССОЗП по отношение на операциите по съвместно обработване на данни и съвместен контрол чрез определяне на ролята на Комисията и ролята на компетентните органи на държавите-членки като „съвместни администратори“ при обмена на данни в ССОЗП.
      3.   ССОЗП — КОМПЮТЪРНО ПРИЛОЖЕНИЕ ЗА ЗАСИЛВАНЕ НА СЪТРУДНИЧЕСТВОТО
      ССОЗП е компютърно приложение, проектирано и поддържано от Комисията в сътрудничество с държавите-членки. Целта на ССОЗП е да подпомага държавите-членки при практическото прилагане на законодателството на ЕС за защита на потребителите. Тя се използва в мрежата за СОЗП, която е съставена от публичните органи, определени от държавите-членки и държавите от ЕИП за осъществяване на сътрудничество и обмен на информация относно прилагането на законодателството за защита на потребителите съгласно предвиденото в регламента за СОЗП.
      Член 10 от регламента за СОЗП постановява следното:
      
         „Комисията поддържа електронна база данни, където съхранява и обработва информацията, която получава съгласно членове 7, 8 и 9. Базата данни се използва за справка само от компетентните органи …“
      
      В член 12, параграф 3 от регламента за СОЗП се предвижда следното:
      
         „Исканията за помощ и съобщаването на цялата информация се отправят писмено чрез използване на стандартен формуляр и се изпращат по електронен път посредством базата данни, създадена по силата на член 10.“
      
      ССОЗП улеснява сътрудничеството и обмена на информация, които се ограничават до вътрешнообщностните нарушения на изброените в приложението към регламента за СОЗП директиви и регламенти, с който се уреждат редица въпроси, включително нелоялните търговски практики, дистанционните продажби, потребителските кредити, пакетните туристически пътувания, неравноправните клаузи в договорите, разпределеното във времето ползване на собственост, електронната търговия и др. ССОЗП не може да бъде използвана за обмен на информация в законодателни области, които не са изрично изброени в приложението.
      Примери:
      
                  I.
               
               
                  Търговец, който е установен в Белгия, използва неравноправни клаузи в отношенията си с потребители, които пребивават във Франция, в нарушение на директивата за неравноправните клаузи в договорите. Органът за защита на потребителите във Франция може да използва ССОЗП, за да отправи искане до органа за защита на потребителите в Белгия за незабавно предприемане срещу търговеца на всички необходими мерки по прилагане на законодателството, които съществуват в Белгия, с цел преустановяване на вътрешнообщностното нарушение.
               
            
                  II.
               
               
                  Органът за защита на потребителите в Дания получава оплаквания, че даден уебсайт използва измамни и заблуждаващи търговски практики в ущърб на потребителите. Уебсайтът се хоства в Швеция. Датският орган за защита на потребителите се нуждае от информация във връзка с уебсайта. Ето защо той може да използва ССОЗП, за да отправи искане за информация до шведския орган за защита на потребителите, който е задължен да предостави информацията.
               
            Информацията се въвежда от държавите-членки, съхранява се в ССОЗП, до нея имат достъп държавите-членки, до които тя е била адресирана, и се заличава от Комисията (3). ССОЗП се използва като хранилище за информация и като средство за обмен на информация чрез ефикасна и сигурна комуникационна система.
      От гледна точка на защитата на данните създаването на такава база данни винаги създава определени рискове за основното право на защита на личните данни: от споделяне на по-голямо количество данни от строго необходимото за целите на ефективното сътрудничество, от съхраняване на данни, които е следвало да бъдат изтрити, от разполагане с данни, които вече не са точни или са неверни, и от липсата на гаранции, че се спазват правата на съответните физически лица и задълженията на администраторите на данни. Поради това е необходимо тези рискове да бъдат преодолени, като се гарантира, че ползвателите на ССОЗП са добре информирани и обучени по отношение на правилата за защитата на данните и че са в състояние да осигурят съответствие с приложимото законодателство за защита на данните.
      4.   ПРАВНА И НАДЗОРНА РАМКА ПО ОТНОШЕНИЕ НА ЗАЩИТАТА НА ДАННИ
      Европейският съюз разполага от 1995 г. с установена правна уредба по отношение на защитата на данните: това са директивата за защита на данните (4), която урежда обработването на лични данни от държавите-членки, и регламентът за защита на данните (5), който урежда обработването на лични данни от институциите и органите на Европейския съюз. Прилагането на законодателството в областта на защитата на данните понастоящем зависи от това кои са участниците в ССОЗП или нейните ползватели.
      Действията по обработване на данни, предприети от Комисията, се уреждат от регламента за защита на данните, а действията по обработване на данни, предприети от служителите, работещи по отделните случаи в компетентните национални органи, отговарящи за прилагане на законодателството, се уреждат от националните закони, с които се транспонира директивата за защита на данните.
      Тъй като представляват двамата основни участници със специфични роли в ССОЗП, Комисията и определените компетентни органи, в ролята им на съвместни администратори, имат задължението да извършват уведомление и да подлагат извършваните от тях съответни операции по обработване на предварителна проверка от съответните надзорни органи и да осигуряват съответствие с правилата за защита на данните. Въпреки това националните закони, транспониращи директивата за защита на данните, могат да предвиждат изключения както от изискванията за уведомление, така и за извършване на предварителна проверка.
      Хармонизирането на законодателствата за защита на данните имаше за цел да гарантира висока степен на защита на данните и опазване на основните права на отделните лица, като същевременно способства за свободното предаване на лични данни между държавите-членки. Като се има предвид, че националните мерки за прилагане могат да доведат до появата на различаващи се правила, за да се осигури съответствие с правилата за защита на данните, на ползвателите на ССОЗП настоятелно се препоръчва да обсъдят настоящите насоки със своите национални органи за защита на данните, тъй като правилата могат да се различават, например по отношение на информацията, която се предоставя на физически лица, или по отношение на задължението за уведомяване на органите за защита на данните за някои операции по обработване на данни.
      Една от важните отличителни черти на правната уредба на ЕС в областта на защитата на данните е че тя подлежи на надзор от независими органи за защита на данните. Гражданите имат право да подават жалби до тези органи и да разрешават извънсъдебно и бързо своите проблеми, свързани със защитата на данните. Обработването на лични данни на национално равнище се контролира от националните органи за защита на данните, а обработването на лични данни от европейските институции се контролира от Европейския надзорен орган по защита на данните (ЕНОЗД) (6). Следователно ЕНОЗД упражнява надзор върху Комисията, а националните органи за защита на данните — върху другите ползватели на ССОЗП.
      5.   КОЙ КАКЪВ Е В ССОЗП И ВЪПРОСЪТ ЗА ОСЪЩЕСТВЯВАНЕТО НА СЪВМЕСТЕН КОНТРОЛ
      ССОЗП е красноречив пример за операции по съвместно обработване на данни и съвместен контрол. Докато само компетентните органи в държавите-членки събират, записват, правят публично достъпни и обменят лични данни, Комисията носи отговорност за съхраняването на тези данни на нейните сървъри и за изтриването им от тях. Комисията няма достъп до тези лични данни, но е считана за системен администратор и оператор на системата.
      Следователно разпределянето на различните задачи и отговорности между Комисията и държавите-членки може да бъде обобщено както следва:
      
                  —
               
               
                  всеки компетентен орган изпълнява функцията на администратор на данни по отношение на извършваните от него дейности по обработване на данните;
               
            
                  —
               
               
                  Комисията не се явява ползвател на системата, а неин оператор, отговорен преди всичко за поддръжката и сигурността на архитектурата на системата. Въпреки това Комисията има достъп и до сигналите, обратната информация и информацията, свързана с други случаи (7). Целта на достъпа на Комисията е да извършва наблюдение на прилагането на регламента за СОЗП и на законодателството за защита на потребителите, изброено в приложението към регламента за СОЗП, и да събира статистическа информация във връзка с изпълнението на тези задължения. Комисията обаче няма достъп до информацията, съдържаща се в искания за взаимна помощ и прилагане на законодателството, тъй като те се адресират само към компетентните органи на държавите-членки, работещи по въпросния конкретен случай. Въпреки това регламентът за СОЗП предвижда възможност Комисията да подпомага компетентните органи при някои спорове (8) и да бъде поканена да участва в координирано разследване, което включва повече от две държави-членки (9);
               
            
                  —
               
               
                  участниците в ССОЗП си поделят отговорността по отношение на законосъобразността на обработването, предоставянето на информация и правата на достъп, възражение и поправяне;
               
            
                  —
               
               
                  Комисията и компетентните органи в ролята им на администратори са индивидуално отговорни за гарантирането на съвместимостта на правилата, свързани с извършваните от тях операции по обработване на данни, с правилата за защита на данните.
               
            6.   УЧАСТНИЦИ И ПОЛЗВАТЕЛИ НА ССОЗП
      В рамките на ССОЗП съществуват различни профили за достъп: достъпът до базата данни е ограничен, предоставя се само на посочен поименно компетентен орган (удостоверен ползвател) и не може да бъде прехвърлян. Исканията за достъп до ССОЗП могат да бъдат удовлетворявани, само ако става дума за длъжностни лица, за които Комисията е била уведомена от компетентните органи на държавите-членки. За влизане в системата се изисква потребителско име и парола, които могат да бъдат получени от единната служба за връзка.
      Единствено ползвателите от компетентния орган, към когото е отправено искането, и от компетентен орган заявител имат неограничен достъп до цялата информация, обменяна по даден случай, включително до всички приложени документи в досието в ССОЗП. Единните служби за връзка могат само да виждат най-важната информация по даден случай, която им позволява да определят към кой компетентен орган трябва да се прехвърли съответното искане. Те нямат достъп до поверителните документи, придружаващи дадено искане или сигнал.
      В случаите на прилагане на законодателството между ползвателите във всички компетентни органи, които са били уведомени, тъй като отговарят за нарушените правни актове, се споделя информация от общ характер. Това се прави чрез уведомленията. В тях следва да се прави общо описание на случая и да се избягва включването на лични данни. Могат да съществуват изключения, като името на продавача или доставчика (ако е физическо лице).
      Комисията няма достъп до исканията за информация и прилагане на законодателството или до поверителните документи, но получава уведомленията и сигналите.
      7.   ПРИНЦИПИ НА ЗАЩИТА НА ДАННИТЕ, ПРИЛОЖИМИ КЪМ ОБМЕНА НА ИНФОРМАЦИЯ
      Обработването на лични данни от ползвателите на ССОЗП в държавите-членки може да се осъществява единствено при условията и в съответствие с принципите, установени от директивата за защита на данните. Администраторът на данните е отговорен за гарантирането на спазването на принципите за защита на данните при обработването на лични данни в ССОЗП.
      Следва също да се отбележи, че към ССОЗП се прилагат както правилата за поверителност, така също и тези за защита на данните. Правилата за поверителност и служебната тайна могат да се прилагат по отношение на данните като цяло, докато правилата за защита на данните са ограничени до личните данни.
      Не трябва да се забравя, че ползвателите на ССОЗП в държавите-членки са отговорни за много други операции, свързани с обработването на данни, и че е възможно те да не са експерти в областта на защитата на данните. Спазването на правилата за защита на данните в ССОЗП не трябва да бъде неоправдано усложнявано или да поражда прекалена административна тежест, нито пък е необходимо ССОЗП да бъде система, която е приложима във всички ситуации. Настоящите насоки представляват препоръки за обработването на лични данни и следва да се напомни, че не всички данни, обменяни в рамките на ССОЗП, са лични данни.
      Преди всяко въвеждане на информация в ССОЗП длъжностните лица от органите, отговарящи за прилагане на законодателството, трябва да преценят дали личните данни, които ще се изпращат, са абсолютно необходими за постигане на целите на ефективното сътрудничество, и да вземат предвид на кого се изпращат те. Длъжностните лица от органите, отговарящи за прилагане на законодателството, трябва да си зададат въпроса дали получателят се нуждае на всяка цена от тази информация за целите на сигнала или искането за взаимна помощ.
      Посоченият по-долу списък от основни принципи за защита на данните има за цел да подпомогне длъжностните лица от органите, отговарящи за прилагане на законодателството, които разполагат с достъп до ССОЗП, да извършват преценка във всеки отделен случай дали правилата за защита на данните, свързани с обработването на лични данни, се спазват всеки път, когато те обработват лични данни в рамките на системата. Длъжностните лица от органите, отговарящи за прилагане на законодателството, следва също да имат предвид, че изключения и ограничения по отношение на прилагането на изброените по-долу принципи за защита на данните могат да съществуват и на национално равнище, така че е препоръчително те да се консултират със своите националните органи за защита на данните (10).
      
         Кои принципи за защита на данните трябва да се спазват?
      
      Общите принципи за защита на данните, които трябва да се имат предвид, преди да започне обработването на каквито и да е лични данни, са изведени от директивата за защита на данните. Тъй като посочената директива е транспонирана в националното законодателство, на служителите, работещи по отделните случаи, се напомня да се консултират със своите национални надзорни органи по защита на данните по отношение на прилагането на изброените по-долу принципи и се препоръчва да бъде проверено дали по отношение на прилагането на тези принципи съществуват някакви изключения или ограничения.
      
         Принцип на прозрачност
      
      Съгласно директивата за защита на данните съответното физическо лице има право да бъде информирано, когато неговите данни са предмет на обработване. Администраторът е длъжен да предостави своето име и адрес, целта на обработването, получателите на данните и всяка друга информация, изисквана за гарантиране на справедливата обработка на данните (11).
      Данните могат да бъдат обработвани само при следните обстоятелства (12):
      
                  —
               
               
                  когато съответното физическо лице е дало своето съгласие за това;
               
            
                  —
               
               
                  когато обработването е необходимо за изпълнението на договор или за сключването на договор;
               
            
                  —
               
               
                  когато обработването е необходимо за спазването на правно задължение;
               
            
                  —
               
               
                  когато обработването е необходимо, за да бъдат защитени жизненоважни интереси на съответното физическо лице;
               
            
                  —
               
               
                  обработването е необходимо за изпълнението на задача, която се осъществява в обществен интерес или при упражняване на официалните правомощия, които са предоставени на администратора или на трето лице, на което се разкриват данните;
               
            
                  —
               
               
                  обработването е необходимо за целите на законните интереси, преследвани от администратора или от третото лице или лица, на което(които) се разкриват данните.
               
            
         Принцип на законност и справедливост
      
      Личните данни не могат да се събират и обработват по несправедлив или незаконен начин, нито пък да се използват за цели, които са несъвместими с установените в регламента за СОЗП цели. За да бъде обработването законно, служителите, работещи по отделните случаи, трябва да се уверят, че разполагат с ясни мотиви, обосноваващи необходимостта от такова обработване. Обработването трябва да бъде провеждано за постигане на конкретни, изрично указани и законни цели и данните не могат да бъдат допълнително обработвани по начин, несъвместим с тези цели (13). Това може да бъде предвидено само в регламента за СОЗП.
      За да бъде обработването справедливо, съответното физическо лице трябва да бъде информирано за целите, за които ще се обработват неговите данни, и за наличието на право на достъп, поправяне и възражение.
      
         Принцип на пропорционалност, точност и срокове на съхранение
      
      Информацията трябва да бъде пропорционална, адекватна, относима и да не е прекомерна спрямо целите, за които се събира и/или обработва допълнително. Данните трябва да бъдат точни и при необходимост актуализирани; трябва да се предприема всяка разумна стъпка, за да се гарантира, че данните, които са неточни или непълни с оглед на целите, за които са били събрани или за които се обработват допълнително, се заличават или поправят; личните данни е необходимо да се съхраняват във формат, който дава възможност за идентифициране на съответните физически лица за срок, който не превишава времето, необходимо за постигане на целите, за които тези данни са били събрани или обработени. Необходимо е да бъдат предвидени подходящи гаранции за личните данни, съхранявани за по-дълги срокове за исторически, статистически или научни цели.
      Служителите, работещи по отделните случаи, трябва да преценят дали информацията, която обработват, е абсолютно необходима за постигане на съответните цели.
      
         Принцип на ограничаване на целите
      
      Личните данни трябва да бъдат събирани за конкретни, изрично указани и законосъобразни цели и да не бъдат допълнително обработвани по несъвместим с тези цели начин, като съответното физическо лице трябва да бъде уведомено за тях. Служителите, работещи по отделните случаи, следва за обработват лични данни, само когато е налице ясна цел това да бъде извършено, тоест когато в регламента за СОЗП съществуват правни основания, обосноваващи тяхното прехвърляне.
      
         Права на достъп
      
      Съответните физически лица имат право съгласно директивата за защита на данните (14) да бъдат информирани, че техните данни са предмет на обработване, какви са целите на това обработване, кои са получателите на данните и че разполагат с конкретни права, тоест с правото на информация и поправяне. Съответното физическо лице има право на достъп до всички обработвани данни относно него. То има право също така да поиска поправяне, заличаване или блокиране на данните, които са непълни, неточни или не са обработени в съответствие с правилата за защитата на данните (15).
      
         Чувствителни данни
      
      Забранено е обработването на данни, разкриващи расов или етнически произход, политически възгледи, религиозни или философски убеждения, членство в профсъюзни организации, както и на данни, свързани със здравословното състояние, сексуалния живот, закононарушения и наказателни присъди. Въпреки това в директивата за защита на данните (16) се предвиждат някои изключения от това правило, при които чувствителни данни могат да бъдат обработвани при определени условия (17). Тъй като ползвателите на ССОЗП могат да се окажат в положение, при което боравят с чувствителни данни (18), се препоръчва към такива данни да се подхожда предпазливо. На ползвателите на ССОЗП се препоръчва да се консултират със своя национален орган за защита на данните за това дали се прилагат дерогации по отношение на обработването на чувствителни данни.
      
         Изключения
      
      В контекста на предотвратяването, разследването, разкриването и преследването на престъпления се допускат някои изключения от директивата за защита на данните. На служителите, работещи по отделните случаи, се препоръчва да направят справка с националното законодателство, за да преценят дали подобни изключения са възможни и до каква степен (19). В случай че се прилагат подобни изключения, е препоръчително те да са ясно посочени в декларациите относно поверителното третиране на личните данни на всеки компетентен орган.
      
         Прилагане на принципите за защита на данните
      
      Прилагането на тези принципи за защита на данните при функционирането на ССОЗП води до следните препоръки:
      
                  1)
               
               
                  Използването на ССОЗП следва да бъде строго ограничено до установените в регламента за СОЗП цели. В член 13, параграф 1 от регламента за СОЗП се постановява, че съобщената информация може да се използва само за целите на осигуряване спазването на законите, които защитават интересите на потребителите. Тези законови актове са изброени в приложението към регламента за СОЗП.
               
            
                  2)
               
               
                  Препоръчително е длъжностните лица от органите, отговарящи за прилагане на законодателството, да използват информацията, получена в рамките на искане за взаимна помощ или сигнал, единствено за целите, свързани с този конкретен случай, при стриктно спазване на законовите изисквания за защита на данните, като извършват оценка ex ante на необходимостта от обработване в контекста на разследвания, провеждани в по-широк обществен интерес.
               
            
                  3)
               
               
                  В случай на прехвърляне на данни длъжностните лица от органите, отговарящи за прилагане на законодателството, правят преценка във всеки отделен случай кои следва да бъдат получателите на информацията, която ще се обработва.
               
            
                  4)
               
               
                  Ползвателите на ССОЗП следва внимателно да подбират въпросите, които задават при искането за взаимна помощ, като не трябва да искат повече данни от необходимото. В този случай не става дума само за спазване на принципите на качеството на данните, но също и за намаляване на административната тежест.
               
            
                  5)
               
               
                  В директивата за защита на данните (20) се изисква личните данни да бъдат точни и актуализирани. Препоръчително е компетентният орган, който е предоставил информацията, да допринася за това, като гарантира точността на данните, съхранявани в ССОЗП. В ССОЗП бе добавена възможността за показване на изскачащи съобщения, които периодично да напомнят на служителите, работещи по отделните случаи, да проверяват дали личните данни са точни и актуализирани.
               
            
                  6)
               
               
                  Един практически начин съответните физически лица да бъдат информирани за техните права, е чрез публикуване на уебстраница с подробно уведомление относно поверителното третиране на личните данни. Препоръчително е всеки компетентен орган да публикува на своя уебсайт уебстраница с уведомление относно поверителното третиране на личните данни. Всяко уведомление относно поверителното третиране на личните данни следва да бъде в съответствие с всички задължения за информиране, установени от директивата за защита на данните, да включва препратка към уебстраницата на Комисията с уведомлението относно неприкосновеността на личния живот и следва да предоставя допълнителни подробности, включително данни за контакт с въпросния компетентен орган, както и всички национални ограничения на правото на достъп или информация. Всички участващи администратори на данни отговарят за публикуването на уведомленията относно поверителното третиране на личните данни.
               
            
                  7)
               
               
                  Съответните физически лица могат да поискат достъп, поправяне и заличаване на техните лични данни от повече от един източник. Въпреки че всеки компетентен орган е отговорен, като администратор на данни, за извършваните от него операции по обработване на данни, целта следва да бъде предоставянето на координиран отговор на исканията, свързани със случаи с трансграничен характер. Препоръчително е в такива случаи компетентните органи да информират останалите съответни компетентни органи за получаването на искането.
                  Когато компетентен орган счита, че удовлетворяването на искане може да повлияе на разследване или на процедура по прилагане на законодателството, осъществявани от други компетентни органи, той следва да поиска становището на последните, преди да удовлетвори искането.
                  Съответните физически лица могат също да отправят своето искане към Комисията. Комисията може да удовлетвори само искане за данни, до които има достъп. При получаване на искане Комисията следва да извърши консултация с предоставилия информацията компетентен орган. Ако не бъдат повдигнати възражения или ако компетентният орган не отговори в разумен срок, Комисията може да реши дали да удовлетвори искането въз основа на регламента за защита на данните. Комисията следва също така да потърси становището на компетентните органи, чиито дейности по разследване или прилагане на законодателството могат да бъдат изложени на риск в резултат от удовлетворяване на искането. Комисията следва да проучи дали включването на допълнителни технически функции в ССОЗП ще улесни този обмен.
               
            
                  8)
               
               
                  В Решение 2007/76/ЕО за прилагане на СОЗП се предвижда създаването в ССОЗП на полета за данни за имената на управителите на дружества. Длъжностните лица от органите, отговарящи за прилагане на законодателството, трябва да преценят дали включването на този тип лични данни е необходимо за разрешаването на случая. Преди всяко въвеждане на информация в ССОЗП и преди изпращането на сигнал или искане за взаимна помощ до друг компетентен орган трябва да се направи преценка за всеки отделен случай дали е необходимо да се включва името на управителя на дружеството в определените за това полета за данни.
               
            
                  9)
               
               
                  В Решение 2007/76/ЕО за прилагане на СОЗП се изисква компетентният орган, който въвежда информация, искания за прилагане на законодателството или сигнали, да посочва дали информацията трябва да бъде третирана като поверителна. Това трябва да бъде извършвано за всеки отделен случай. Също така когато органът, към когото е отправено искането, предоставя информация, трябва да посочва дали е необходимо информацията да бъде третирана като поверителна. В ССОЗП има възможност за въвеждане на стойност по подразбиране, когато ползвателите на ССОЗП трябва изрично да предоставят достъп до документи, като премахнат отметката за поверителния характер.
               
            8.   СОЗП И ЗАЩИТАТА НА ДАННИТЕ
      
         Среда, съобразена със защитата на данни
      
      ССОЗП е проектирана, като са взети предвид изискванията на законодателството за защита на данните:
      
                  —
               
               
                  ССОЗР използва мрежата s-TESTA (secured Trans European Services for Telematics between Administrations), което означава защитени трансевропейски телематични услуги между администрациите. Тя предлага управляема, надеждна и сигурна общоевропейска комуникационна платформа за европейските и национални администрации. Мрежата s-TESTA се основава на специално предназначена за тази цел частна инфраструктура, която е напълно отделена от интернет. В проекта на системата са включени подходящи мерки за сигурност за осигуряване на възможно най-добра защита на мрежата. Мрежата подлежи на акредитация по отношение на сигурността, за да стане подходяща за предаване на класифицирана информация на ниво „само за служебно ползване в ЕС“ (EU Restricted).
               
            
                  —
               
               
                  Въведени са редица функции от технически характер: надеждни и персонализирани пароли за уведомяване на компетентните длъжностни лица в определените органи; използване на защитена мрежа s-TESTA, изскачащи съобщения, които напомнят на служителите, работещи по отделните случаи, че трябва да вземат предвид правилата за защита на данните, когато обработват лични данни, създаване на различни потребителски профили, които предоставят различна степен на достъп до информацията в зависимост от изпълняваната роля от ползвателя (компетентен орган, единна служба за връзка или Комисията), възможност за ограничаване на достъпа до документи, чрез обозначаването им като поверителни, и съобщението на началната страница на ССОЗП, което насочва към правилата за защита на данните.
               
            
                  —
               
               
                  Правила за прилагане (21), които обхващат ключовите аспекти за гарантиране на спазването на правилата за защита на данните: ясни правила относно заличаването на данни (каква информация да се заличава, как и кога да се заличават данни); принципи, определящи видовете достъп до информацията (само пряко засегнатите компетентни органи имат неограничен достъп, а останалите имат само достъп до информация от общ характер).
               
            
                  —
               
               
                  Насоки за работа (22), които доизясняват какво трябва да се взема предвид при попълване на различните полета за данни, и интегриране на настоящите насоки (23).
               
            
                  —
               
               
                  Годишни прегледи, за да се гарантира, че компетентните органи проверяват точността на личните данни (планира се въвеждането на маркиране, но то все още не се прилага) както и че разглеждането на случаите е прекратено и/или те са заличени, както е предвидено в правилата, целящи да гарантират, че няма забравени случаи. Комисията организира редовно с държавите-членки систематичен преглед на случаите, които са били в процес на разглеждане за срок, значително по-дълъг от средния срок на разглеждане на случаите.
               
            
                  —
               
               
                  Автоматично заличаване на случаите на взаимна помощ 5 години след приключване на случая, както се изисква от регламента за защита на данните.
               
            
                  —
               
               
                  ССОЗП е развиващо се компютърно приложение, което цели да способства за защитата на данните. Много предпазни механизми вече са вградени в архитектурата на системата, описана по-горе. Комисията възнамерява да продължи да работи по допълнителни подобрения в съответствие с изискванията.
               
            
         Някои допълнителни насоки
      
      
         Колко дълго следва да се съхранява информация за всеки отделен случай и кога той следва да бъде приключен и заличен?
      
      Единствено Комисията може да заличава информация от ССОЗП (24), като тя прави това обикновено по искане на компетентен орган. Когато отправя подобно искане, компетентният орган трябва да посочи основанията за исканото заличаване. Единственото изключение е свързано с исканията за прилагане на законодателството. Те се заличават автоматично от Комисията 5 години след приключването на случая от страна на органа заявител.
      Установени са правила с определени срокове за гарантиране на заличаването на данните, които вече не са необходими, са неточни, за които се докаже, че за събирането им липсва основание и/или са съхранявани през предвидените максимални срокове за това.
      
         Защо е установен 5-годишен срок за съхранението на данни?
      
      Срокът на съхранение има за цел да се улесни сътрудничеството между публичните органи, отговорни за прилагането на законодателствата за защита на интересите на потребителите при справяне с вътреобщностни нарушения и да се спомогне за ефективното функциониране на вътрешния пазар, за качественото и последователното прилагане на законодателствата за защита на интересите на потребителите, за наблюдението на защитата на икономическите интереси на потребителите и да се спомогне за постигане на по-високи стандарти и последователност на прилагането на законодателството. По време на периода на съхранение оправомощените длъжностни лица от органите, отговарящи за прилагане на законодателството, работещи за компетентен орган, който първоначално се е занимавал с определен случай, могат да правят справки с досието, за да се установят връзки с възможни повторни нарушения, което допринася за по-добро и по-ефективно прилагане на законодателството.
      
         Каква информация може да бъде включена в дискусионния форум?
      
      Дискусионният форум е свързан със ССОЗП и представлява инструмент, предназначен за обмен на информация по въпроси като новите правомощия по прилагане на законодателството и най-добрите практики. По принцип дискусионният форум, който макар и да не се използва често от длъжностните лица от органите, отговарящи за прилагане на законодателството, не следва да служи за обмен на данни, свързани с отделните случаи, и не следва да включва позовавания на лични данни.
      
         Какъв тип данни могат да бъдат включвани в кратките обобщения и в приложените документи?
      
      В Решение 2007/76/ЕО за прилагане на СОЗП се предвижда наличието на поле за данни „приложени документи“ в случай на сигнали и информация, както и на искания за прилагане на законодателството. Кратките обобщения представляват полета, в които следва да се направи описание на нарушението. Препоръчително е в кратките обобщения да не се включват лични данни, тъй като целта на това поле за данни е предоставяне на общо описание на нарушението. Личните данни в приложените документи, които не са абсолютно необходими, следва да бъдат почернени или заличени.
      
         Както се има предвид с израза „основателно съмнение“ за извършване на нарушение?
      
      Основателното съмнение трябва да бъде тълкувано в съответствие с националното законодателство. Въпреки това е препоръчително предполагаемите нарушения да бъдат включени в ССОЗП само ако са налице доказателства, че има нарушение или че е вероятно такова да възникне.
      
         Какво е положението по отношение на прехвърлянията на данни към трети държави?
      
      В регламента за СОЗП (25) се предвижда, че информацията, съобщена съгласно регламента за СОЗП, може също така да бъде съобщена на орган на трета държава от държава-членка, която е сключила двустранно споразумение за помощ, при условие че е получено съгласието на компетентния орган, който първоначално е предал информацията, и са спазени разпоредбите за защита на данните.
      Препоръчително е при липсата на международно споразумение на Европейския съюз с трета държава за мерки за взаимна помощ и сътрудничество (26), всяко двустранно споразумение за помощ с дадена трета държава да предоставя подходящи гаранции за защита на данните и за него да се уведомяват съответните надзорни органи по защита на данните, така че да може да се осъществява предварителна проверка, освен ако Комисията установи, че третата държава осигурява подходящо равнище на защита на личните данни, прехвърляни от Съюза в съответствие с член 25 от директивата за защита на данните.
      
         (1)  Член 2, буква а).
      
         (2)  Следва да се отбележи, че принципите на защита на данните се прилагат както към данните, съхранявани в електронен вид, така и към данните, съхранявани на хартиен носител.
      
         (3)  За специфичните правила относно заличаването вж. Решение 2007/76/ЕО и „Мрежата за сътрудничество в областта на защитата на потребителите: насоки за работа“.
      
         (4)  Директива 95/46/ЕО.
      
         (5)  Регламент (ЕО) № 45/2001.
      
         (6)  http://www.edps.europa.eu/EDPSWEB/edps/EDPS.
      
         (7)  Членове 8, 9 и 15 от регламента за СОЗП (Регламент (ЕО) № 2006/2004).
      
         (8)  Член 8, параграф 5 от регламента за СОЗП (Регламент (ЕО) № 2006/2004).
      
         (9)  Член 9 от регламента за СОЗП (Регламент (ЕО) № 2006/2004).
      
         (10)  Член 11, параграф 2 и член 13 от Директива 95/46/ЕО.
      
         (11)  Членове 10 и 11 от Директива 95/46/ЕО.
      
         (12)  Член 7 от Директива 95/46/ЕО.
      
         (13)  Член 6, параграф 1, буква б) от Директива 95/46/ЕО.
      
         (14)  Членове 10, 11 и 12 от Директива 95/46/ЕО.
      
         (15)  Член 12 от Директива 95/46/ЕО.
      
         (16)  Член 8, параграф 2 от Директива 95/46/ЕО.
      
         (17)  Член 8 от Директива 95/46/ЕО.
      
         (18)  Глава 4 от приложението към Директива 2007/76/ЕО.
      
         (19)  Становище 6/2007 по въпросите на защитата на данните във връзка със Системата за сътрудничество в областта на защитата на потребителите (ССОЗП) 01910/2007/EN — WP 130 — прието на 21 септември 2007 г., стр. 24—26.
      
         (20)  Член 6, параграф 1, буква г) от Директива 95/46/ЕО.
      
         (21)  Решение 2007/76/ЕО.
      
         (22)  Мрежата за сътрудничество в областта на защитата на потребителите: насоки за работа — одобрени от Комитета за СОЗП на 8 юни 2010 г.
      
         (23)  Съдържанието на настоящите насоки ще бъде интегрирано в бъдещите обучения относно ССЗОП.
      
         (24)  Член 10 от регламента за СОЗП (Регламент (ЕО) № 2006/2004) и глава 2 от приложението към Решение 2007/76/ЕО за прилагане на СОЗП.
      
         (25)  Член 14, параграф 2 от регламента за СОЗП (Регламент (ЕО) № 2006/2004).
      
         (26)  Член 18 от регламента за СОЗП (Регламент (ЕО) № 2006/2004).