CELEX: 32009H0329
Language: bg
Date: 2009-03-26 00:00:00
Title: 2009/329/ЕО: Препоръка на Комисията от 26 март 2009 година относно насоки за защита на данните в Информационната система за вътрешния пазар (IMI) (нотифицирано под номер C(2009) 2041) (Текст от значение за ЕИП)

18.4.2009   
            
            
               BG
            
            
               Официален вестник на Европейския съюз
            
            
               L 100/12
            
         
      ПРЕПОРЪКА НА КОМИСИЯТА
   
   от 26 март 2009 година
   относно насоки за защита на данните в Информационната система за вътрешния пазар (IMI)
   (нотифицирано под номер C(2009) 2041)
   (текст от значение за ЕИП)
   (2009/329/ЕО)
   КОМИСИЯТА НА ЕВРОПЕЙСКИТЕ ОБЩНОСТИ,
   като взе предвид Договора за създаване на Европейската общност, и по-специално член 211, второ тире от него,
   след консултация с Европейския надзорен орган по защита на данните (ЕНЗД),
   като има предвид, че:
   
               (1)
            
            
               В Решение 2004/387/ЕО на Европейския парламент и на Съвета от 21 април 2004 г. относно взаимно предоставяне на паневропейски електронноправителствени услуги за публичните администрации, стопанските предприятия и гражданите (IDABC) (1), и по-специално в член 4 от него се предвижда осъществяването на проекти от общ интерес, които да способстват за ефикасен, даващ добри резултати и сигурен обмен на информация между публичните администрации на всички подходящи равнища, както и между тези администрации и институциите на Общността или други субекти, по целесъобразност.
            
         
               (2)
            
            
               На 17 март 2006 г. представителите на държавите-членки в Консултативния комитет за вътрешния пазар (2) приеха Общ план за прилагане на Информационната система за вътрешния пазар, наричана по-долу „IMI“, като нейното разработване имаше за цел да подобри комуникациите между публичните администрации на държавите-членки.
            
         
               (3)
            
            
               В допълнение към одобрението на плана Комисията прие решения C(2006) 3606 от 14 август 2006 г., C(2007) 3514 от 25 юли 2007 г. и C(2008) 1881 от 14 май 2008 г. относно финансирането и определянето на Информационната система за вътрешния пазар като проект от общ интерес.
            
         
               (4)
            
            
               Целта е посредством IMI да се подкрепят отделни правни актове на Общността, които изискват обмен на информация между администрациите на държавите-членки, включително Директива 2005/36/ЕО на Европейския парламент и на Съвета от 7 септември 2005 г. относно признаването на професионалните квалификации (3) и Директива 2006/123/ЕО на Европейския парламент и на Съвета от 12 декември 2006 г. относно услугите на вътрешния пазар (4).
            
         
               (5)
            
            
               Необходимо е обменът на информация по електронен път между държавите-членки, както и между държавите-членки и Комисията да е в съответствие с правилата за защита на личните данни, предвидени в Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 г. за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни (5) и в Регламент (ЕО) № 45/2001 на Европейския парламент и на Съвета от 18 декември 2000 г. относно защитата на лицата по отношение на обработката на лични данни от институции и органи на Общността и за свободното движение на такива данни (6).
            
         
               (6)
            
            
               Правото на защита на данните е признато в Хартата на основните права на Европейския съюз, по-специално в член 8 от нея. Информационни системи като IMI следва да гарантират, че различните отговорности и задължения, които имат Комисията и държавите-членки по отношение на правилата за защитата на данни, са ясни и че субектите, чиито данни са предмет на обмен, разполагат с прост и леснодостъпен механизъм за отстояване на своите права.
            
         
               (7)
            
            
               С Решение 2008/49/ЕО на Комисията от 12 декември 2007 г. относно защитата на личните данни при въвеждането на Информационна система за вътрешния пазар (7) се определят компетенциите, правата и задълженията на органите, работещи с IMI, и на ползвателите на IMI. Същото решение на Комисията взе предвид становището на работната група по член 29 (8).
            
         
               (8)
            
            
               Наред с приемането на това решение Европейският надзорен орган по защита на данните (ЕНЗД) прие становище (9), в което призова за приемането на правен акт, за предпочитане под формата на регламент на Парламента и на Съвета, тъй като се очаква обхватът на IMI да бъде постепенно разширен, като в него се включат допълнителни области от законодателството на вътрешния пазар, които се отличават със значителна сложност, все повече органи и повишен обмен на данни. В хода на редица срещи и в кореспонденция между ЕНЗД и службите на Комисията (10) беше постигнато съгласие да се възприеме поетапен подход, като се започне с приемането на насоки за защитата на данни, които трябва да бъдат изготвени в тясно сътрудничество с ЕНЗД.
            
         
               (9)
            
            
               Настоящите насоки допълват Решение 2008/49/ЕО на Комисията и вземат предвид както препоръките на работната група по член 29, така и тези на ЕНЗД,
            
         ПРЕПОРЪЧВА НА ДЪРЖАВИТЕ-ЧЛЕНКИ:
   
               1.
            
            
               Да предприемат действия, насочени към органите, работещи с IMI, и ползвателите на IMI, с които да гарантират прилагането на изложените в приложението насоки.
            
         
               2.
            
            
               Да поощрят националните координиращи звена на IMI да сключат с техните национални органи за защитата на данни споразумения за предоставяне на насоки и оказване на съдействие относно най-подходящата форма за прилагане на настоящите насоки в рамките на националното законодателство.
            
         
               3.
            
            
               Със съдействието на националните координиращи звена по IMI да предоставят обратна информация на Европейската комисия относно прилагането на изложените в приложението насоки най-късно девет месеца след приемането на настоящата препоръка. Европейската комисия ще вземе предвид тази обратна информация при изготвянето на доклад най-късно една година след приемането на настоящата препоръка, в който ще се оцени състоянието на IMI по отношение на защитата на данни, както и съдържанието и графика на всякакви бъдещи мерки, включително евентуално приемане на правен акт.
            
         
      Съставено в Брюксел на 26 март 2009 година.
      
         
            За Комисията
         
         Charlie McCREEVY
         
         
            Член на Комисията
         
      
   
   
      (1)  ОВ L 144, 30.4.2004 г., стр. 62.
   
      (2)  Създаден с Решение 93/72/ЕИО на Комисията (ОВ L 26, 3.2.1993 г., стр. 18).
   
      (3)  ОВ L 255, 30.9.2005 г., стр. 22.
   
      (4)  ОВ L 376, 27.12.2006 г., стр. 36.
   
      (5)  ОВ L 281, 23.11.1995 г., стр. 31.
   
      (6)  ОВ L 8, 12.1.2001 г., стр. 1.
   
      (7)  ОВ L 13, 16.1.2008 г., стр. 18.
   
      (8)  Становище 01911/07/EN, работна група 140.
   
      (9)  Становище на Европейския надзорен орган по защита на данните относно Решение 2008/49/ЕО на Комисията от 12 декември 2007 г. относно защитата на личните данни при въвеждането на информационна система за вътрешния пазар (IМI) по отношение на защитата на личните данни (ОВ C 270, 25.10.2008 г., стр. 1).
   
      (10)  http://www.edps.europa.eu/EDPSWEB/edps/site/mySite/pid/87
   
      ПРИЛОЖЕНИЕ
      
         НАСОКИ ЗА ПРИЛАГАНЕ В IMI НА ПРАВИЛАТА ЗА ЗАЩИТАТА НА ДАННИ
      
      1.   IMI — СРЕДСТВО ЗА АДМИНИСТРАТИВНО СЪТРУДНИЧЕСТВО
      IMI е достъпно чрез интернет софтуерно приложение, изработено от Европейската комисия в сътрудничество с държавите-членки. Основната му цел е да подпомага държавите-членки при практическото прилагане на законодателството на ЕС, което изисква оказването на взаимопомощ и административно сътрудничество. IMI не е база данни, предназначена за дълготрайно съхраняване на информация, а по-скоро централизиран механизъм, който позволява на националните администрации на държавите-членки на Европейското икономическо пространство да обменят информация, която се съхранява за ограничен период от време.
      
         Страница за влизане в IMI
      
      
         
      Понастоящем IMI поддържа обмена на информация, изискван по силата на Директивата за признаване на професионалните квалификации, като от края на 2009 г. чрез нея ще се извършва и обменът на информация, предвиден в Директивата за услугите. В бъдеще тя може да поддържа обмена на информация, произтичащ от други правни актове в областта на вътрешния пазар. Актуализиран списък на тези законодателни области е на разположение по всяко време в приложението към Решение 2008/49/ЕО. Това приложение ще бъде изменяно периодично. IMI не може да бъде използвана за обмен на информация в законодателни области, които не са изрично изброени в приложението.
      
         Примерна страница от софтуерното приложение за нуждите на компетентните органи в областта на професионалните квалификации
      
      
         
      Сътрудничеството между националните администрации е от изключително значение за доброто функциониране на вътрешния пазар. Без наличието на установени практики за административно сътрудничество европейските граждани не могат да извлекат полза от свързаните с вътрешния пазар основни права, като свободата на установяване в друга държава-членка или свободата на трансгранично предоставяне на услуги.
      
         Няколко примера
      
      Лекарка от Германия, живееща в Берлин, се омъжва за французин и решава да се установи в Париж. Тя желае да практикува професията си във Франция и затова представя званията и дипломите си на Лекарския съюз (L’Ordre des Medecins) във Франция. Служителят, обработващ документите, има съмнения относно автентичността на една от дипломите и използва IMI, за да извърши проверка с компетентните органи в Берлин.
      Френско предприятие за промишлено чистене, извършващо дейност във Франция, предлага почистващи услуги и в презграничния район на Каталуня (Испания). Испанска неправителствена организация внася оплакване в службата по околната среда в Каталуня, според което сред персонала на френското предприятие няма специалисти, което е изискване за работа с определени почистващи препарати. Компетентният орган на Каталуня използва IMI, за да установи дали почистващото предприятие притежава разрешително за извършване на дейност във Франция.
      Административно сътрудничество в ЕС не се постига лесно. Съществуват езикови препятствия (в ЕС има 23 официални езика), липса на административни процедури за трансгранично сътрудничество, различни административни структури и култури, както и липса на конкретни партньори в другите държави-членки.
      Въпреки че държавите-членки отговарят за създаването на условия за успешното прилагане на техните територии на законодателството в областта на вътрешния пазар, Комисията смята, че държавите-членки се нуждаят от инструменти, които да им позволят да работят заедно. Точно това е и идеята на IMI: да се установят съответните компетентни органи в другата държава-членка (функция за търсене), да се управлява обменът на информация на базата на прости и уеднаквени процедури и да се премахнат езиковите препятствия на базата на предварително зададен и преведен списък от въпроси.
      
         Снимка на екрани, показващи въпроси на езиците на два компетентни органа, отговарящи за обмена на информация
      
      
         
      
         
      2.   ОБХВАТ И ЦЕЛ НА НАСТОЯЩИТЕ НАСОКИ
      Ползвателите на IMI са експерти в съответните области, които попадат в тяхната компетенция, независимо дали това са правилата относно признаването на професионална квалификация или действащите разпоредби за предоставяне на услуги. Те обаче не са експерти в областта на защитата на данни и е възможно да не бъдат винаги достатъчно осведомени относно изискванията, свързани със защитата на данни, наложени от тяхното собствено законодателство в тази област.
      Затова се препоръчва на ползвателите на IMI да бъдат предоставени насоки, в които се обясняват функционирането на IMI от гледна точка на защитата на данни, както и предпазните механизми, вградени в системата, и възможните рискове, свързани с нейното използване (1).
      Настоящите насоки нямат за цел да представят изчерпателен преглед на въпросите относно защитата на данни при работа с IMI, а по-скоро да послужат като лесно за ползване обяснение, рамка за съблюдаване, която е понятна за всички ползватели на IMI. При необходимост ползвателите на IMI могат винаги да получат допълнителни насоки и съдействие от органите по защитата на данни в държавите-членки. Списък на тези органи, с контакти за връзка и интернет страници, може да бъде намерен на адрес:
      http://ec.europa.eu/justice_home/fsj/privacy/nationalcomm/index_en.htm
      3.   СРЕДА, СЪОБРАЗЕНА СЪС ЗАЩИТАТА НА ДАННИ
      При разработването на IMI са взети предвид изискванията на законодателството в областта на защитата на данни и още от самото начало тя е съобразена с тези изисквания.
      Ползвателите на IMI могат да бъдат уверени, че IMI е надеждно софтуерно приложение от гледна точка на защитата на данни, като няколко прости примера служат за доказателство в този смисъл:
      
                  а)
               
               
                  IMI се използва само от компетентните органи в рамките на Европейското икономическо пространство (държавите-членки на ЕС плюс Норвегия, Исландия и Лихтенщайн) и личните данни не се предават извън ЕИП.
               
            
                  б)
               
               
                  Европейската комисия и координиращите звена по IMI (2) нямат достъп до личните данни на специалисти или доставчици на услуги, обменяни чрез системата.
               
            
                  в)
               
               
                  Само компетентните органи, работещи върху запитването за информация, имат право на достъп до личните данни на доставчика на услуги (3). Всъщност защитата е толкова всеобхватна, че не позволява на служителя, до когото е адресирано запитването, да види личните данни на доставчика на услуги, докато той не го приеме официално.
                  
                     Примерно запитване преди приемането му от получателя
                  
                  
                     
               
            
                  г)
               
               
                  Всички лични данни, свързани със запитванията, се изтриват автоматично от системата шест месеца след приключването на работата по запитването или дори преди това, ако съответните компетентни органи го изискат (за повече подробности вижте глава 12 относно срока за задържане на данните).
               
            4.   КОЙ КОЙ Е В IMI? ВЪПРОСИ, СВЪРЗАНИ С ОСЪЩЕСТВЯВАНЕТО НА ОБЩ КОНТРОЛ
      IMI е ясен пример за операции по общо обработване на данни и общ контрол. Например, въпреки че само компетентните органи в държавата-членка обменят лични данни, Европейската комисия носи отговорност за съхраняването на тези данни върху нейните сървъри. Въпреки че Европейската комисия няма достъп до тези лични данни, операторът на системата физически извършва заличаването и поправката на данните.
      С други думи, в резултат на разпределянето на различни отговорности между Комисията и държавите-членки:
      
                  а)
               
               
                  всеки компетентен орган и всеки оператор на IMI упражнява контролни функции по отношение на извършваните от него дейности по обработване на данните;
               
            
                  б)
               
               
                  Комисията не се явява ползвател на системата, а неин оператор, отговорен основно за поддръжката и сигурността на системата (4);
               
            
                  в)
               
               
                  всички участници в работата на IMI си поделят отговорността по отношение на предоставянето на уведомление и правото на достъп, възражение и поправка.
               
            При по-сложни схеми на съвместен контрол, какъвто е случаят с IMI, изглежда най-ефективно от гледна точка на спазване на изискванията в тази област защитата на данни да бъде вградена в самата система още от самото начало (вж. глава 13: „Сътрудничество с националните органи за защитата на данни и ЕНЗД“, раздел „Какво остава да бъде свършено?“) и да бъде определена рамка на съответствие, както е предвидено в настоящите насоки. Органите, работещи с IMI, и ползвателите на IMI отговарят за съблюдаването на тази рамка.
      5.   ОРГАНИ, РАБОТЕЩИ С IMI, И ПОЛЗВАТЕЛИ НА IMI
      Всички органи, които работят с IMI, са одобрени от координиращите звена по IMI. Органите, работещи с IMI, и ползвателите, както и техните компетенции, права и задължения са подробно описани в членове 6—12 от Решение 2008/49/ЕО, поради което не е необходимо да бъдат повтаряни в настоящите насоки.
      Важно е да се разбере, че IMI е изключително гъвкава система, посредством която държавите-членки могат по най-различен начин да разпределят отговорности и компетенции на компетентни органи и координиращите звена, които да са съобразени с особеностите на тяхната административна структура и законодателните области, които са предмет на административно сътрудничество.
      Не трябва да се забравя също, че ползвателите на IMI в държавите-членки са отговорни за много други операции, свързани с обработването на данни. Спазването на правилата за защитата на данни в IMI не трябва да бъде излишно усложнявано или да поражда прекалена административна тежест. Нито пък е необходимо IMI да бъде система, която е приложима във всички ситуации.
      В повечето случаи компетентните органи просто трябва да извършват операциите по обработването на данни в рамките на IMI при същите правила и добри практики, които по принцип прилагат в качеството си на администратори на данни в съответствие с техните конкретни нужди и със законите в областта на защитата на данни в техните държави-членки.
      Те следва също да се възползват от съществуващата в IMI среда, която е съобразена със защитата на данни. Например те се приканват да изискват заличаването в IMI на обменените лични данни, дори преди да са изтекли шестте месеца на съхраняване на данните, ако запазването на тази информация в IMI вече не е необходимо.
      6.   НОРМАТИВНА УРЕДБА ЗА ОБМЕНА НА ЛИЧНИ ДАННИ В IMI
      Комисията прие Решение 2008/49/ЕО, с което се определят компетенциите, правата и задълженията на органите, работещи с IMI, и на ползвателите на IMI по отношение на защитата на данни при използването на IMI.
      Само част от информацията, обменяна в IMI, съдържа лични данни. Например обменяната информация може да се отнася до юридически лица (5) или запитването и полученият отговор може да не бъдат свързани с конкретно физическо лице (напр. общ въпрос относно това, дали дадена професия е регулирана в дадена държава-членка).
      В много случаи обаче обменът на информация се отнася до физически лица и затова трябва да съществува правна основа за защита на личните данни. Използването на IMI често е в интерес на лицата, за които се обменят данни. Въпреки това, дори ако обменът на информация не е непременно в интерес на тези лица, информацията може да бъде обменена между компетентните органи посредством IMI, при условие че този обмен е предвиден в определен правен акт.
      В член 7 от Директива 95/46/ЕО са изброени правните основания за обработване на лични данни. От тях член 7, букви в) и д) са с най-голямо отношение към обмена на данни чрез IMI.
      I.   Спазване на правно задължение (член 7, буква в))
      По принцип държавите-членки на ЕС са задължени да си сътрудничат помежду си и с институциите на Комисията. Задължението за административно сътрудничество е изрично и конкретно формулирано в Директива 2005/36/ЕО (Признаване на професионалните квалификации) и Директива 2006/123/ЕО (Директива за услугите).
      В член 56, параграфи 1 и 2 от Директивата за професионалните квалификации се предвижда следното:
      
         „1.   Компетентните органи на приемащата държава-членка и на държавата-членка по произход работят в тясно сътрудничество и си предоставят взаимно съдействие с цел улесняване на прилагането на настоящата директива. Те гарантират поверителния характер на информацията, която си разменят.
         2.   Компетентните органи на приемащата държава-членка и държавата-членка по произход си разменят информация относно предприети дисциплинарни мерки или наказателни преследвания, или други сериозни конкретни обстоятелства, които може да засегнат изпълнението на дейностите по настоящата директива, като съблюдават правилата за защита на личните данни, предвидени в Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 г. за защитата на лицата при обработката на личните данни и за свободното движение на такива данни (…) и Директива 2002/58/ЕО на Европейския парламент и на Съвета от 12 юли 2002 г. относно обработката на лични данни и защита на неприкосновеността в електронния съобщителен сектор (Директива за неприкосновеността и електронните съобщения) (ОВ L 201, 31.7.2002 г., стр. 37).“
      
      В член 28, параграфи 1 и 6 от Директивата за услугите се предвижда следното:
      
         „1.   Държавите-членки си оказват взаимопомощ и прилагат мерки за ефективно взаимно сътрудничество, за да се осигури надзор над доставчиците и услугите, които те предоставят (.…)
         6.   Държавите-членки предоставят информацията, поискана от други държави-членки или Комисията, по електронен път и в рамките на възможно най-краткия период.“
      
      В член 34, параграф 1 от Директивата за услугите се предвижда следното:
      
         „1.   Комисията, в сътрудничество с държавите-членки, установява електронна система за обмен на информация между държавите-членки, като взема предвид съществуващите информационни системи.“.
      
      II.   Изпълнението на задача, която се осъществява в обществен интерес или при упражняване на официалните правомощия, които са предоставени на администратора (член 7, буква д))
      Органите, работещи с IMI, и ползвателите на IMI изпълняват задачи, които са в обществен интерес или в интерес на упражняване на официалните им правомощия. Всяка регистрация в IMI се валидира от координиращото звено по IMI, след като бъде потвърдено, че съответният компетентен орган изпълняват задачи, които са в обществен интерес (например ветеринарните и медицинските органи гарантират, че техните членове спазват етичните и санитарните правила) или в интерес на упражняване на официалните им правомощия (напр. министерствата на образованието гарантират, че гимназиалните учители притежават необходимата квалификация).
      Въз основа на горепосоченото IMI може да се използва за обмен на лични данни по силата на директивите за признаване на професионалната квалификация и Директивата за услугите за целите, посочени в техните разпоредби. Чрез IMI не може да се обменя информация, свързана с друго законодателство в областта на вътрешния пазар. Ако на даден етап обхватът на IMI бъде разширен, за да включва допълнително законодателство, в приложението към Решение 2008/49/ЕО ще бъдат добавени подходящи позовавания на съответните правни актове на Общността.
      7.   ДЕЙСТВАЩА ПРАВНА РАМКА И ПОДХОДЯЩ НАДЗОР
      Приложимото право в областта на защитата на данни зависи от това, кои са органите, работещи с IMI, и ползвателите на IMI. В случая с Европейската комисия например се прилага Регламент (ЕО) № 45/2001 за защита на данни. За националните ползватели (напр. компетентен орган) приложимата правна рамка е националният закон за защита на данни, който трябва да бъде в съответствие с Директива 95/46/ЕО (Директива за защитата на данни).
      Европейският съюз разполага с твърдо установена законодателна рамка в областта на защитата на данни на базата на същата директива и Регламент (ЕО) № 45/2001 (6) Директивата за защита на данни предоставя известна свобода на държавите-членки. Поради това националните координиращи звена по IMI се приканват да обсъдят настоящите насоки със своите органи по защита на данни, например въпроса колко подробна трябва да бъде информацията, предоставяна на физическите лица (вж. глава 9 по този въпрос), или задължението да информират органите по защита на данни относно някои операции за обработване на данни.
      Директива 95/46/ЕО, която е директива в областта на вътрешния пазар, има двойна цел. Хармонизирането на националното законодателство в областта на защитата на данни има за цел както да гарантира висока степен на защита на данни, така и да допринесе за спазване на основните права на отделните лица, като същевременно способства за свободното предаване на лични данни между държавите-членки. Следователно националните особености не трябва да оказват практическо или съществено въздействие върху използването на IMI и върху обмена на информация, изисквана по силата на други правни актове на Общността.
      Една от най-важните отличителни черти на правната рамка на ЕС в областта на защитата на данни е надзорът, извършван от обществени независими органи по защита на данни. По този начин гражданите могат да подават жалби до тези органи за бързо и извънсъдебно разрешаване на техните проблеми, свързани със защитата на данни. Обработването на лични данни на национално равнище се контролира от националните органи за защитата на данни, а обработването на лични данни от европейските институции се наблюдава от Европейския надзорен орган по защита на данните (ЕНЗД). Следователно Европейската комисия подлежи на надзор от ЕНЗД, а другите ползватели на IMI — на надзор от националните органи за защитата на данни. За по-подробна информация относно разглеждането на жалби или запитвания от физически лица вижте глава 10 относно правото на достъп и поправка и глава 13 относно сътрудничеството с органите за защита на данни и ЕНЗД.
      8.   ПРИНЦИПИ НА ЗАЩИТА НА ДАННИ, ПРИЛОЖИМИ КЪМ ОБМЕНА НА ИНФОРМАЦИЯ
      Обработването на лични данни съгласно правото на ЕО може да бъде извършено само при определени условия (вж. глава 6: „Нормативна уредба за обмена на лични данни в IMI“) и в съответствие с някои принципи — така наречените в Директивата да защитата на данни „принципи, отнасящи се до качеството на данните“ (вж. член 6 от нея).
      Администраторите на данни следва да събират лични данни само за законни и конкретни цели, като не могат да ги обработват за цели, различни от целите, посочени при събиране на данните. Класически пример за несъответстващи цели би било, ако даден компетентен орган продаде на частно дружество за маркетингови цели адресите, които той е събрал във връзка с работа, свързана със специалисти мигранти съгласно Директивата за услугите.
      Освен това обработването на личните данни трябва да е съразмерно (адекватно, съответстващо и в границите) на целите за тяхното събиране, като администраторът трябва също да вземе разумни мерки, за да гарантира, че данните са актуализирани, както и че са заличени или е осигурена анонимността им, след като идентифицирането на лицето вече не е необходимо. Принципите относно качеството на данните са принципите на добро управление на информацията, защото поддържането на огромно количество данни без специален повод, които скоро губят актуалност и надеждност, не отговаря на определението за добра информационна система. Добрата електронна информационна система трябва да събира само данните, които са необходими за предварително набелязаните цели, като тези данни трябва да се актуализират, за да бъдат напълно надеждни.
      Прилагането на тези принципи за качеството на данните при работата с IMI води до следните препоръки:
      
                  1.
               
               
                  Използването на IMI трябва да бъде строго ограничено да определените в действащото законодателство цели (напр. при възникване на основателни съмнения или поради други причини, посочени в действащото законодателство). Затова, въпреки че се очаква IMI да се превърне в обичайния начин за обмен на информация между компетентните органи, трябва да бъде напълно ясно, че IMI не следва да се използва системно за извършване на проверка на личното досие на специалисти мигранти или доставчици на услуги.
               
            
                  2.
               
               
                  Компетентният орган, изпращащ запитването, следва да предостави само личните данни, необходими на отговарящия компетентен орган да идентифицира еднозначно въпросното лице и да отговори на въпросите. Например ако специалист мигрант може да бъде идентифициран посредством неговото име и регистрационен номер в професионалния регистър, не е необходимо да се предоставя неговият личен идентификационен номер.
               
            
                  3.
               
               
                  Ползвателите на IMI следва внимателно да подбират въпросите, като ги ограничават до тези, които са абсолютно необходими. В този случай не става дума само за спазване на принципите на качеството на данните, но също и за намаляване на административната тежест. Наборът от предварително определени въпроси е публикуван на уебстраницата на IMI (7) с цел да се придаде повече прозрачност на този процес.
                  
                     Кои данни са от личен характер
                      (8)
                     ?
                  
                  Това са данни, разкриващи расов или етнически произход, политически възгледи, религиозни или философски убеждения, членство в синдикални организации, както и данни, свързани със здравето или сексуалния живот, нарушения, криминални присъди или наложени мерки за сигурност. Някои държави-членки могат да смятат за данни от личен характер също данни, отнасящи се до административни санкции и до решения по граждански дела.
               
            
                  4.
               
               
                  Компетентните органи трябва да бъдат изключително внимателни при обмен на информация относно данни от личен характер. Обменът на данни от личен характер се разрешава само в много ограничени случаи. Най-важните изкисвания за обработването в IMI на данни от личен характер са:
                  
                              а)
                           
                           
                              Обработването на данни от личен характер се налага при установяването, изпълнението или защитата на правни искове (вж. член 8, параграф 2, буква д) от Директивата за защита на данни и съответните разпоредби в националното законодателство).
                              Подобен обмен на данни в IMI може да се наложи, ако специалист мигрант или доставчик на услуги предяви правото си да упражнява професията си или да бъде установен в друга държава-членка. Във всеки случай компетентните органи трябва внимателно да преценят дали е абсолютно необходимо използването на данни от личен характер за установяване на правото.
                              По отношение на някои конкретни данни от личен характер, обменени в рамките на IMI, държавите-членки са приели конкретни разпоредби в Директивата за признаване на професионалните квалификации и в Директивата за услугите:
                              
                                          1.
                                       
                                       
                                          Съгласно член 56, параграф 2 от Директивата за признаване на професионалните квалификации „Компетентните органи на приемащата държава-членка и държавата-членка по произход си разменят информация относно предприети дисциплинарни мерки или наказателни преследвания, или други сериозни конкретни обстоятелства, които може да засегнат изпълнението на дейностите по настоящата директива, като съблюдават правилата за защита на личните данни…“
                                       
                                    
                                          2.
                                       
                                       
                                          В член 33 от Директивата за услугите са предвидени конкретни правила за обмен на информация във връзка с добрата репутация на мигранта, доставчик на услуги. „По искане на компетентна власт на друга държава-членка, държавите предоставят в съответствие с националното си законодателство, информация за дисциплинарни, административни мерки или наказателноправни санкции и решения относно неплатежоспособност или несъстоятелност (…)“
                                       
                                    
                        
                              б)
                           
                           
                              Лицето, чиито данни са предмет на обмен, дава изрично съгласието си за това. Вероятно получаването на изричното съгласие на субекта на данните за обработване на личните му данни няма да представлява проблем, ако осъществяването на административно сътрудничество е в негов интерес.
                           
                        
            
                  5.
               
               
                  Трябва да се подхожда изключително предпазливо към информация, свързана със съдебното досие на даден субект, като е много важно съдържащата се в него информация да е вярна и актуализирана. Затова наред със спазване на други принципи от Директивата за защитата на данни и регламента, посочени в настоящата препоръка (9) този вид информация следва да се изисква само когато е разрешена по силата на съответните правни актове на Общността и е абсолютно необходима за вземането на решение по конкретен случай, който е пряко свързан със запитването. С други думи, обработването трябва да бъде пряко свързано с упражняването на професионалната дейност или предоставянето на услуга и да се налага с цел да се провери дали се спазват разпоредбите на съответните директиви. Ползвателите на IMI следва да не забравят, че в много случаи информацията, необходима за вземането на решение, не е задължително да се позовава конкретно на съдебното досие на специалиста или доставчика на услуги — мигрант.
                  Всъщност само малък брой въпроси от въпросите в списъка в IMI касаят съдебното досие или други данни от личен характер (10) С изключение на тези ограничени случаи обменът на данни от личен характер следва да се извършва само при извънредни случаи, където поради конкретните обстоятелства около случая данните от личен характер са пряко свързани с упражняването на въпросната дейност и са абсолютно необходими за установяване на правните искове.
                  Компетентните органи не трябва да използват IMI за рутинни проверки на съдебното досие на специалистите мигранти, тъй като това не би отговаряло на целта, за която е изградена IMI. Всякакви запитвания относно нарушения и дисциплинарни мерки трябва също да бъдат свързани с въпросната професия или услуга, а не с други нарушения и дисциплинарни мерки, които специалистът мигрант може да е извършил в страната по произход. Например за да се установи дали даден лекар е правно регистриран и се ползва с добра репутация в лекарския съюз, компетентният орган, изпращащ запитването, не е необходимо да знае дали лекарят е извършил пътнотранспортно нарушение, тъй като подобно нарушение не представлява пречка за упражняване на професията в държавата по произход.
               
            
         Въпроси относно допълнително обработване на данни и съхраняването им извън IMI
      
      Използването на IMI често се свързва с предоставянето на данни за друга операция по обработване, която се извършва в държавата-членка (например разглеждането на молба за предоставяне на услуга или за получаване на лиценз за дадена дейност). Поради това е естествено компетентните органи допълнително да обработват данните, получени за тези цели. Когато данните са получени чрез IMI и се обработват допълнително извън рамките на системата, се прилага националното законодателство за защита на данни. В тези случаи трябва да се гарантира следователно, че:
      
                  —
               
               
                  това допълнително обработване е съвместимо с целите на събиране на данните и на обмена, извършен в рамките на IMI,
               
            
                  —
               
               
                  това допълнително обработване е необходимо и съразмерно (адекватно, съответстващо и в границите) на първоначалните цели, за които е събрана информацията в рамките на IMI,
               
            
                  —
               
               
                  се полагат разумни усилия за актуализиране на данните и за тяхното заличаване, след като вече не са необходими,
               
            
                  —
               
               
                  когато от IMI се извличат данни, които се предават на трета страна, субектът на данни трябва да бъде информиран за това, за да се гарантира безпристрастно обработване, освен ако това е невъзможно или е свързано с прекомерно усилие, или ако разкриването на информацията е изрично предвидено в законодателството (вж. член 11, параграф 2 от Директивата за защитата на данни 95/46/ЕО). Тъй като е възможно разкриването на информацията да се изисква съгласно законодателството само на едната от засегнатите държави-членки и този факт може да не е общоизвестен извън страната, Комисията предлага да се положат усилия за предоставяне на информацията, дори в случаите, когато разкриването на информацията е изрично посочено в законодателството.
               
            9.   ПРЕДОСТАВЯНЕ НА ИНФОРМАЦИЯ НА ЛИЦАТА, ПРЕДМЕТ НА ОБМЕНА НА ДАННИ
      Един от стожерите на всяка схема за защита на данни е, че администраторите на данните предоставят информация на лицата, предмет на обмена на данни, относно операциите по обработване на личните данни, които възнамеряват да извършат.
      В член 10 от Директивата за защитата на данни се предвижда, че по всяко време от процеса на събиране на данните субектът на данни следва да бъде уведомяван за самоличността на администратора, целите на обработването, получателите или категориите получатели на данните, дали е задължително да се отговори на въпросите, евентуалните последствия при пропуск да се отговори, както и правото на достъп до данните и тяхното коригиране.
      Поради това, когато събира лични данни от физическо лице, компетентният орган трябва да информира субекта на данни, че данните могат да бъдат въведени в IMI с цел осъществяването на кореспонденция с публичните администрации в други държави-членки във връзка с изпратеното от него запитване и че при необходимост лицето може да поиска достъп до информацията или нейното коригиране от всеки компетентен орган, работещ по запитването (за повече подробности по този въпрос вж. глава 10 за правото на достъп до данните и тяхното коригиране).
      Всеки компетентен орган решава как да предаде тази информация на субекта на данни. След като повечето (ако не и всички) компетентни органи освен обмена на информация в IMI извършват и други обработващи операции, физическите лица могат да бъдат информирани по същия начин, ако е уместно, използван за предаването на подобна информация във връзка с други обработващи операции, предвидени в националното законодателство (напр. с информационни табла, чрез кореспонденция със субектите на данни и/или на уебстраници).
      
         Разпоредба относно информацията в Директивата за защитата на данни
      
      В член 10 от Директивата за защитата на данни се съдържа списък с минималния набор от информация, която трябва да бъде предоставена на физическите лица, освен в случаите, когато те вече разполагат с нея:
      
                  а)
               
               
                  самоличност на администратора или администраторите (компетентния орган, събиращ данните, и подобни органи в други държави-членки);
               
            
                  б)
               
               
                  целта на обработване на информацията (кореспонденция с други органи във връзка със запитването на специалиста или доставчика на услуги — мигрант);
               
            
                  в)
               
               
                  всякаква допълнителна информация, доколкото тя е необходима за гарантиране на безпристрастно обработване на данните или ако предоставянето на допълнителна информация се изисква от националното законодателство, като:
                  
                              1.
                           
                           
                              получатели или категории получатели;
                           
                        
                              2.
                           
                           
                              наличието на право на достъп или право на коригиране на данните, как тези права се упражняват на практика и изключения от тези права съгласно националното законодателство;
                           
                        
                              3.
                           
                           
                              правото на регресен иск (напр. достъп до съд и правото на обезщетение);
                           
                        
                              4.
                           
                           
                              съхраняване и срок за запазване на данните;
                           
                        
                              5.
                           
                           
                              мерки за сигурност;
                           
                        
                              6.
                           
                           
                              линкове към съответни документи и уебстраници, включително страницата на IMI на уебстраницата на Комисията.
                           
                        
            Директивата за защитата на данни предвижда два случая, при които информацията трябва да се предостави на субектите на данни: когато данните се събират пряко от тях и когато данните са получени чрез трето лице. В последния случай обаче в член 11 от директивата се съдържа правило за причината, поради която предоставянето на такава информация не се изисква, а именно ако това е свързано с прекомерно усилие или ако вписването или разкриването на информацията е изрично посочено в законодателството (какъвто е случаят с обмена на информация в IMI), въпреки че в директивата се посочва също така, че в подобни случаи „държавите-членки ще предвидят подходящи гаранции“.
      В тази връзка е възможно компетентните органи да трябва да приемат въз основа на техните национални закони за защитата на данни и евентуално в консултация с националните координиращи звена по IMI и националните органи за защита на данни ясни и подробни правила относно предоставянето на информация на субектите на данни. Препоръчва се да се следва стъпаловиден подход с предоставянето на основна информация при събирането (напр. чрез формуляри за молби, подавани до компетентните органи), като се посочва редът, по който субектите на данни могат, ако желаят, да получат по-подробна информация.
      На втория етап, при който на субекта на данни трябва да се предостави по-подробна информация, това може да бъде успешно постигнато посредством оповестяване върху съответните уебстраници на политиките за защитата на данни или на заявления относно защитата на данни.
      Ако компетентните органи вече разполагат с тези заявления относно защитата на данни, те трябва да ги актуализират или допълнят, така че да се отнасят конкретно до обмена на лични данни в IMI. В противен случай компетентните органи трябва да решат дали използването на IMI и количеството на събраните лични данни налагат съставянето на декларация относно защитата на данни, което да бъде достъпно в интернет.
      Ако IMI се използва рядко, може да е достатъчно лицата да бъдат информирани накратко по време на събиране на данните, както и по-късно, ако това се налага. Ако компетентният орган не предоставя на субектите на данни конкретно заявления относно защитата на данни в IMI, компетентният орган следва ясно да посочи къде тези субекти могат да намерят по-подробна информация по този въпрос: например на уебстраницата на националното координиращо звено по IMI и на интернет страницата на IMI на уебсайта на Комисията.
      Частта от страницата IMI на уебсайта на Комисията (11) посветена на защитата на данни, съдържа декларацията на Комисията относно защитата на данни в IMI. Тя съдържа и допълнителна информация за субектите на данни, как да упражняват правата си и да получат съдействие от националните компетентни органи или от органите за защита на данни, ако е необходимо:
      
         „Ако смятате, че личните Ви данни са в IMI и бихте желали да имате достъп до тях или те да бъдат заличени или променени, можете да се обърнете към административната служба или професионалния орган, с които вече сте установили връзка, или към всеки друг ползвател на IMI, който е работил по запитването. Ако полученият отговор не Ви удовлетворява, Вие можете или да се обърнете към друг ползвател на IMI, или да подадете жалба в органа за защитата на данни към агенцията на един от ползвателите на IMI, работещ по запитването, който трябва да Ви окаже безплатна помощ. Списък с органите за защита на данни е на разположение на следния адрес:
         http://ec.europa.eu/justice_home/fsj/privacy/nationalcomm/index_en.htm
         Следва да се има предвид, че в някои случаи националното законодателство може да предвижда изключения от Вашето право на достъп до личните Ви данни.“
      
      Силно се препоръчва важни органи, работещи с IMI, които обработват значително количество запитвания, да публикуват на уебстраниците си свои политики за защитата на данни. Тези политики следва да включват линк към страницата на IMI, посветена на защитата на данни, на уебсайта на Комисията. Други компетентни органи, които обработват по-малко на брой запитвания, могат основно да разчитат на линк към страницата на IMI на уебсайта на Комисията.
      Националните координиращи звена по IMI следва да оказват съдействие на компетентните органи. Това може да включва съдействие при съставяне на примерни съобщения за защитата на данни, които могат да се използват като образци от националните компетентни органи. Или националното координиращо звено може да изработи и да публикува в интернет общо национално уведомление за защитата на данни, след което всеки компетентен орган, когато обслужва субекти на лични данни, може просто да предостави линка към това уведомление (напр. линкът може да бъде посочен във формуляри за молби или други документи, предоставяни на субектите на лични данни).
      
         ДЕКЛАРАЦИЯ НА ЕВРОПЕЙСКАТА КОМИСИЯ ЗА ЗАЩИТА НА ЛИЧНИТЕ ДАННИ
      
      
         Информационна система на вътрешния пазар — IMI
      
      1.   Цел на IMI и органи, работещи с IMI
      
      Целта на IMI е да улесни административното сътрудничество и взаимопомощта между държавите-членки, за да се гарантират правилното функциониране на вътрешния пазар и свободното движение на хора и услуги. Тази цел се постига посредством предоставянето на инструмент за обмен на информация (включително някои лични данни) между националните администрации от държавите-членки на Европейското икономическо пространство.
      Декларацията за защита на личните данни обхваща частта от IMI, за която отговаря Комисията, т.е. събирането, регистрацията, съхраняването и заличаването на личните данни на първите ползватели, които работят в националните координиращи звена по IMI, както и съхраняването и заличаването на информацията, но не и нейното събиране и извличане или разглеждането на личните данни от други ползватели на IMI и от лица, които са предмет на обмен на информация. Следователно декларацията не засяга действията за обработване на данните, които попадат под отговорността на държавите-членки.
      2.   Какво е действащото право?
      
      Всички действия за обработване на данни, които попадат в рамките на отговорността на Европейската комисия, са регламентирани в Регламент (ЕО) № 45/2001 на Европейския парламент и на Съвета от 18 декември 2000 г. относно защитата на лицата по отношение на обработката на лични данни от институции и органи на Общността и за свободното движение на такива данни.
      По отношение на защитата на данни също се прилага и Решение 2008/49/ЕО на Комисията от 12 декември 2007 г. относно защитата на личните данни при въвеждането на Информационната система за вътрешния пазар.
      3.   Кои данни се обработват от Комисията в рамките на IMI?
      
      Комисията събира необходимата информация за връзка с първите ползватели, които работят в националните координиращи звена по IMI, като име, служебен телефон, факс номер и адрес на електронната поща. Тези лични данни, както и тези на ползвателите в делегираните координиращи звена по IMI и в компетентните органи се съхраняват на сървъра на Комисията.
      По технически причини личните данни на лица, които са предмет на обмен на информация, се съхраняват на сървъра на Комисията.
      4.   Каква е целта на обработването на данни в IMI?
      
      Информацията за връзка с националните координиращи звена по IMI е от съществено значение за създаването и работата на IMI. Комисията се нуждае от достъп до тези данни, за да си сътрудничи ефективно с държавите-членки във връзка с управлението на IMI.
      По отношение на временното съхраняване на лични данни на лица, които са предмет на обмен на информация между националните органи, обработването на данни в IMI се извършва с цел да се подобри и улесни сътрудничеството между компетентните органи на държавите-членки по силата на законодателството на Общността, прието с оглед постигането на вътрешния пазар, в случаите, в които съществува необходимост от допълнителна информация от друга държава-членка по отношение на временно трансгранично предоставяне на услуги или установяване на доставчик на услуги в друга държава-членка.
      5.   Кой има достъп до данните?
      
      В рамките на ограниченията, формулирани в член 12, параграф 7 от Решение 2008/49/ЕО по отношение на защитата на личните данни, местните администратори на данни на Комисията разполагат с достъп до личните данни на местните администратори на данни на националните координиращи звена по IMI. При никакви обстоятелства персоналът на Комисията няма достъп до личните данни на лице, което е предмет на обмен на информация.
      6.   Колко време се съхраняват данните Ви?
      
      Личните данни на ползвателите, работещи в компетентните органи и в координационните звена, се съхраняват за времето, през което те са ползватели на IMI.
      Всички лични данни, обменени между компетентните органи и обработени в IMI, се заличават автоматично от Комисията 6 месеца след официалното приключване на обмена на информация. По статистически причини обменът на информация ще продължи да се поддържа в IMI, като на всички лични данни се осигурява анонимност. Компетентен орган, работещ по конкретен обмен на информация, може по всяко време след приключване на този обмен на информация да изиска от Комисията да заличи конкретните лични данни. Комисията изпълнява всяко подобно искане в рамките на 10 работни дни, след съгласие от другия компетентен орган, работещ по случая.
      7.   Какви мерки за сигурност съществуват срещу неразрешен достъп до данните?
      
      IMI е защитена чрез редица технически мерки. Различните нива на достъп до базата данни са осигурени чрез обикновена система с парола и допълнителен цифров код, подобни на тези, използвани в системите за извършване на банкови операции в интернет от личния компютър. Само ограничена група ползватели имат достъп до личните данни в IMI, както е описано по-горе в точка 5 „Кой има достъп до данните?“. Системата е защитена и чрез специалния интернет протокол https за повишена сигурност.
      8.   Достъп до Вашите лични данни
      
      Достъпът до Вашите лични данни в националното координиращо звено по IMI е възможен посредством адресите за връзка, посочени в точка 10 по-долу.
      9.   Допълнителна информация
      
      Наред с декларациите за защитата на личните данни се прилага и „важната правна информация“ (http://europa.eu/geninfo/legal_notices_en.htm).
      
         Ако смятате, че личните Ви данни са в IMI и бихте желали да имате достъп до тях или те да бъдат заличени или променени, можете да се обърнете към административната служба или професионалния орган, с които вече сте установили връзка, или към всеки друг ползвател на IMI, който е работил по запитването. Ако полученият отговор не Ви удовлетворява, Вие можете или да се обърнете към друг ползвател на IMI, или да подадете жалба в органа за защитата на данни към агенцията на един от ползвателите на IMI, работещ по запитването, който трябва да Ви окаже безплатна помощ. Списък с органите за защита на данни е на разположение на следния адрес:
      
      
         http://ec.europa.eu/justice_home/fsj/privacy/nationalcomm/index_en.htm
      
      
         Следва да се има предвид, че в някои случаи националното законодателство може да предвижда изключения от Вашето право на достъп до личните Ви данни.
      
      10.   За връзка
      
      IMI се управлява от отдел E.3 на Генерална дирекция „Вътрешен пазар и услуги“ към Европейската комисия. Отговорно лице (администратор) е г-н Nicholas Leapman, началник отдел. Адресът за връзка с IMI е:
      
                  European Commission
               
            
                  Internal Market and Services Directorate General
               
            
                  Unit E.3
               
            
                  B-1049 Brussels
               
            
                  markt-imi-dataprotection@ec.europa.eu
               
            Ако желаете да подадете жалба срещу всякаква дейност по обработване на лични данни, извършена в рамките на отговорността на Комисията, може да се обърнете към Европейския надзорен орган по защита на данните.
      
                  European Data Protection Supervisor (EDPS)
               
            
                  Rue Wiertz 60 (MO 63)
               
            
                  B-1047 Brussels
               
            
                  Телефон +32 2 283 19 00
               
            
                  Факс +32 2 283 19 50
               
            
                  edps@edps.europa.eu
               
            10.   ПРАВО НА ДОСТЪП ДО ДАННИТЕ И ТЯХНОТО КОРИГИРАНЕ
      Изключително важно е установяването на прозрачност в отношенията със субекта на данни. Това се постига, първо, като му се предоставя обсъжданата в предишната глава информация, както и правото на достъп до личните данни, когато е уместно, правото да изисква тяхното заличаване, коригиране или блокиране, ако данните се неверни или са били незаконно обработени.
      Сложността на системата IMI поради големия брой на органите, работещи с IMI, и нейните ползватели, които участват в операциите по взаимно обработване и взаимно администриране, изисква прилагането на ясен и пряк подход към субекта на данните. Субектите на данни не са и не е необходимо да бъдат запознати с техническите аспекти на операциите по взаимно обработване или функциониране на IMI.
      Поради това трябва да се възприеме ясен и улеснен подход. Като общо правило с обосновани изключения, за които е получено съгласието на субекта на данни и другите засегнати страни, субектите на данни трябва да могат да упражняват правото си на достъп, коригиране и заличаване, като отправят искане в този смисъл до някой от компетентните органи, работещи по запитването. Никой компетентен орган не може да откаже да предостави достъп, да коригира или да заличи данните с аргумента, че той лично не е въвел данните в системата, или да пренасочи субекта на данни към друг компетентен орган. Компетентният орган, който получава искането, го разглежда и го приема или отхвърля в зависимост от обосновката на искането и разпоредбите на своето национално законодателство за защитата на данни. Ако е необходимо и уместно, преди да вземе решение, компетентният орган може да се обърне към други компетентни органи. В случай на спор между компетентните органи те трябва да изискат намесата на техните органи по защитата на данни с оглед бързо и успешно постигне на съгласие.
      Ако субектът на данни не е удовлетворен от взетото решение, той може да се обърне към друг компетентен орган, участвал в обмена на данни, или към националния орган за защитата на данни към един от тези компетентни органи, по свое предпочитание: например органа на страната, в която субектът е установен, или органа за защитата на данни в държавата по произход, или органа на държавата, в която субектът работи. Ако е целесъобразно, органите за защитата на данни си сътрудничат за целите на разглеждане на жалбата (вж. член 28 от Директивата за защитата на данни).
      Трябва да се подчертае, че субектите на данни винаги имат право да заведат съдебно дело по всяко време и да получат обезщетение, когато е уместно (вж. членове 22 и 23 от Директивата за защитата на данни и съответните разпоредби в националните законодателства).
      В член 12, буква в) от Директивата за защитата на данни се предвижда, че администраторът уведомява трети страни, на които са били разкрити данните, за всяка корекция, заличаване или блокиране, освен ако това е невъзможно или свързано с несъразмерно големи усилия. Това важи и за информация, която е била допълнително обработена извън IMI.
      В допълнение към препоръките на работната група от член 29 и на ЕНЗД Комисията е в процес на разработване на програма в системата IMI (подобно на вече съществуваща процедура за ранно заличаване на данни по искане на компетентните органи, вж. глава 12), която ще позволи коригиране на данните онлайн, като заинтересованите компетентни органи ще бъдат автоматично уведомявани за това. Тъй като тази процедура е свързана с известна техническа сложност, се предлага, докато тази функция бъде приложена, при необходимост от корекция на лични данни компетентните органи да изпращат подобно искане за поправка направо на администратора на данни в IMI в Европейската комисия (вж. предходния раздел „Декларация на Европейската комисия за защита на личните данни“).
      Директивата за защитата на данни и националните законодателства, приети с цел нейното прилагане, също вменяват на субектите на данни правото да оспорват обработването на свързани с тях данни и да изискват преустановяване на обработването при наличието на основателно възражение. В случай че получите възражение от субект на данни относно обработване на свързани с него данни, моля да се обърнете към националните органи за защитата на данни, за да получите повече информация за това, как се прилага правото на възражение във вашата държава-членка.
      11.   СИГУРНОСТ НА ДАННИТЕ
      Сигурността на IMI се осигурява посредством няколко организационни и технически мерки, подобни на тези, използвани при някои от системите за извършване на банкови операции в Интернет от личния компютър. Връзката с IMI през Интернет е защитена и чрез специалния интернет протокол https за повишена сигурност. Техническите мерки за защитата на IMI трябва да са оперативно съвместими в целия Европейски съюз. Техническата защита на системата ще бъде допълнително доразвита, като се вземат предвид съвременните достижения на техниката и разходите за прилагането им (вж. член 17 от Директива 95/46/ЕО и член 22 от Регламент (ЕО) № 45/2001).
      Повече информация относно правилата за сигурността на информационните системи, използвани от Европейската комисия, се съдържа в Решение C(2006) 3602 на Комисията, което е на разположение на уебстраницата на IMI, в частта за защитата на данните:
      http://ec.europa.eu/internal_market/imi-net/data_protection_en.html
      12.   ПЕРИОД НА ЗАДЪРЖАНЕ НА ДАННИТЕ
      Правилата относно периода на задържане на данните са посочени в членове 4 и 5 от Решение 2008/49/ЕО.
      По правило всички лични данни, които са част от обмена на информация, се заличават автоматично шест месеца след официалното приключване на обмена на информация. Понастоящем Комисията прилага някои изменения в системата (напомняне и спешни списъци), които имат за цел официалното приключване на обмена да се извършва във възможно най-кратки срокове.
      Съществува и възможността даден компетентен орган да изиска заличаването на личните данни преди изтичането на шестмесечния срок. При съгласие от страна на другия компетентен орган Комисията изпълнява това искане в рамките на десет работни дни.
      Компетентните органи следва да имат предвид, че исканията за заличаване на лични данни могат да се подават онлайн просто чрез отваряне съответното искане за приключване и чрез натискане на бутона „Искане за заличаване на личните данни“.
      
         Снимка на екрана за искане, подадено от компетентния орган, за по-ранно заличаване на личните данни
      
      
         
      
         Снимка на екрана за запитване, получено от компетентния орган, за по-ранно заличаване на личните данни
      
      
         
      Комисията ще направи и някои подобрения на системата, като автоматично напомняне да се приемат отговорите или официално да се приключат запитванията, в случаите, когато е получен задоволителен отговор.
      Важно е също така да се напомни, че националните правила за защитата на данни се прилагат по отношение на съхраняване от страна на компетентните органи на всички лични данни извън IMI.
      13.   СЪТРУДНИЧЕСТВО С НАЦИОНАЛНИТЕ ОРГАНИ ЗА ЗАЩИТАТА НА ДАННИ И ЕНЗД
      Мрежата от национални органи за защитата на данни и ЕНЗД е една от най-сигурните гаранции за доброто функциониране на нашата система за защитата на данни. Компетентните органи могат да разчитат на тази мрежа да намерят разрешение, когато се изправени пред трудна задача, която не попада в обхвата на настоящите насоки. Националните координиращи звена по IMI са призвани да играят важна роля в това отношение. Списък от лица за контакт в органите за защитата на данни е на разположение на уебстраницата на IMI, в частта за защитата на данни.
      Компетентните органи трябва да имат предвид, че може да е необходимо да уведомят своите съответни национални органи по защитата на данни, преди да се включат в IMI. В някои държави-членки може да се изисква предварително разрешение. Координиращите звена по IMI следва да играят активна координираща роля, като осъществяват контакт с органите по защитата на данни, когато това се налага.
      
         Какво остава да бъде свършено?
      
      През 2009 г. следните подобрения, насочени към защитата на данни, ще бъдат включени в бъдеща версия на IMI:
      
                  а)
               
               
                  Ако обменът на информация е свързан с данни от личен характер (напр. данни за здравното състояние, съдебно досие или дисциплинарни мерки), ще съществува напомняне, че обменът на данни е с поверителен характер и че администраторът на този случай трябва да изисква тази информация единствено ако тя е абсолютно необходима и пряко свързана с упражняване на служебните му задължения или за извършването на дадена услуга.
               
            
                  б)
               
               
                  Ще бъде създадена процедура в Интернет (подобно на съществуващата вече процедура за ранно заличаване на данни по искане на компетентните органи) за коригиране, заличаване или блокиране на онези данни, които са обработени незаконно или са с невярно съдържание.
               
            
                  в)
               
               
                  Ще бъдат добавени автоматични напомняния и спешни списъци за приемане на отговор, така че запитванията да не остават отворени по-дълго, отколкото е необходимо.
               
            
                  г)
               
               
                  Подходящи мерки за работа с нови потоци от информация съгласно Директивата за услугите, т.е. механизъм за сигнализиране и дерогации, обвързани със спецификата на всеки случай. По правило тези мерки ще следват същия подход, предвиден за общия обмен на информация. Например: напомняния за поверителния характер на тези потоци от информация, напомняния за приключване на сигнализирането при първа възможност и възможни начини за уведомяване на лицата относно обмена на информация и техните права за достъп до данните и, ако е уместно, за предявяване на искане те да бъдат блокирани, заличени или коригирани. Възможно е да са необходими допълнителни предпазни механизми за защита на данни, които ще бъдат изработени съвместно с ЕНЗД.
               
            14.   КЛАУЗА ЗА ПРЕРАЗГЛЕЖДАНЕ
      IMI е новаторска информационна система и все още е в процес на развитие. Комисията постоянно събира идеи и предложения от координиращите звена и компетентните органи за подобряване на системата и затова е вероятно през идните месеци да бъдат направени някои промени. Някои, за разлика от други, може да не са свързани със защитата на данни.
      Затова настоящите насоки не са окончателни и подлежат на актуализиране, което ще отразява резултатите от ежедневната работа на IMI. Най-късно една година след приемането на настоящата препоръка Комисията ще изготви доклад, в който ще се оцени състоянието на системата, включително евентуалното приемане на други правни мерки.
      
         (1)  Държавите-членки следва да обмислят включването на информацията относно защитата на данни като част от дейностите по обучение за работа с IМI.
      
         (2)  Вж. член 12 от Решение 2008/49/ЕО.
      
         (3)  Компетентните органи могат да имат други „свързани“ органи за надзор (напр. регионалните органи са свързани с федералните органи). По този начин тези „свързани органи“ могат да разполагат с информация относно броя и естеството на молбите, но те нямат достъп до личните данни на доставчиците на услуги или до специалистите мигранти.
      
         (4)  Както се предвижда в член 10, параграф 3 от Решение 2008/49/ЕО, Комисията може да участва в обмена на информация само в определени случаи, когато съответният акт на Общността предвижда обмен на информация между държавите-членки и Комисията. В тези случаи Комисията има същите задължения като компетентните органи: например да предостави подходящо уведомление на субектите на данни, както и да им осигури достъп до техните данни, ако те го изискат.
      
         (5)  Въпреки че в някои държави-членки като Италия, Люксембург, Австрия и Дания обхватът на законодателството за защитата на данни обхваща до известна степен и юридическите лица.
      
         (6)  Директива 95/46/ЕО се прилага по отношение на държавите-членки, докато Регламент (ЕО) № 45/2001 — за европейските институции.
      
         (7)  http://ec.europa.eu/internal_market/imi-net/docs/questions_and_data_fields_en.pdf
      
         (8)  За правното определение вж. член 8 от Директива 95/46/ЕО и член 10 от Регламент (ЕО) № 45/2001.
      
         (9)  Т.е. на лицата, предмет на обмена на данни, трябва да бъде предоставена подходяща информация, обработването трябва да отговаря на целите и данните не трябва да бъдат подлагани на допълнително обработване за цели, различни от целта за тяхното събиране.
      
         (10)  Точен списък с тези въпроси е на разположение на уебстраницата на ИМИ:
      http://ec.europa.eu/internal_market/imi-net/docs/questions_and_data_fields_en.pdf
      
         (11)  Частта от уебстраницата на IМI, посветена на защитата на данните, съдържа всички конкретни документи на IМI относно защитата на данни, както и линк към списък от законодателни документи относно защитата на данни на равнище ЕС:
      http://ec.europa.eu/internal_market/imi-net/data_protection_en.html