CELEX: 32021R1232
Language: bg
Date: 2021-07-14 00:00:00
Title: Регламент (ЕС) 2021/1232 на Европейския парламент и на Съвета от 14 юли 2021 година относно временна дерогация от някои разпоредби на Директива 2002/58/ЕО по отношение на използването на технологии от доставчици на междуличностни съобщителни услуги без номерà за обработване на лични и други данни за целите на борбата с онлайн сексуалното насилие над деца (текст от значение за ЕИП)

30.7.2021   
               
               
                  BG
               
               
                  Официален вестник на Европейския съюз
               
               
                  L 274/41
               
            
         РЕГЛАМЕНТ (ЕС) 2021/1232 НА ЕВРОПЕЙСКИЯ ПАРЛАМЕНТ И НА СЪВЕТА
         от 14 юли 2021 година
         относно временна дерогация от някои разпоредби на Директива 2002/58/ЕО по отношение на използването на технологии от доставчици на междуличностни съобщителни услуги без номерà за обработване на лични и други данни за целите на борбата с онлайн сексуалното насилие над деца
         (текст от значение за ЕИП)
         ЕВРОПЕЙСКИЯТ ПАРЛАМЕНТ И СЪВЕТЪТ НА ЕВРОПЕЙСКИЯ СЪЮЗ,
         като взеха предвид Договора за функционирането на Европейския съюз, и по-специално член 16, параграф 2 във връзка с член 114, параграф 1 от него,
         като взеха предвид предложението на Европейската комисия,
         след предаване на проекта на законодателния акт на националните парламенти,
         като взеха предвид становището на Европейския икономически и социален комитет (1),
         в съответствие с обикновената законодателна процедура (2),
         като имат предвид, че:
         
                     (1)
                  
                  
                     В Директива 2002/58/ЕО на Европейския парламент и на Съвета (3) се определят правила, които гарантират правото на неприкосновеност на личния живот и на поверителност по отношение на обработването на лични данни при обмен на данни в сектора на електронните комуникации. Посочената директива конкретизира и допълва Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета (4).
                  
               
                     (2)
                  
                  
                     Директива 2002/58/ЕО се прилага при обработването на лични данни във връзка с предоставянето на публично достъпни електронни съобщителни услуги. До 21 декември 2020 г. се прилагаше определението на електронна съобщителна услуга, посочено в член 2, буква в) от Директива 2002/21/ЕО на Европейския парламент и на Съвета (5). На тази дата Директива (ЕС) 2018/1972 на Европейския парламент и на Съвета (6) отмени Директива 2002/21/ЕО. Определението за електронни съобщителни услуги в член 2, точка 4 от Директива (ЕС) 2018/1972 включва междуличностните съобщителни услуги без номерà по смисъла на определението в член 2, точка 7 от посочената директива. Следователно междуличностните съобщителни услуги без номерà, които включват например пренос на глас чрез интернет протокол, услуги за изпращане на съобщения и уеб базирана електронна поща, бяха включени в обхвата на Директива 2002/58/ЕО на 21 декември 2020 г.
                  
               
                     (3)
                  
                  
                     В съответствие с член 6, параграф 1 от Договора за Европейския съюз (ДЕС) Съюзът признава правата, свободите и принципите, прогласени в Хартата на основните права на Европейския съюз („Хартата“). С член 7 от Хартата се защитава основното право на всеки на зачитане на неговия личен и семеен живот, на неговото жилище и тайната на неговите съобщения, което включва поверителността на съобщенията. В член 8 от Хартата се съдържа правото на защита на личните данни.
                  
               
                     (4)
                  
                  
                     В член 3, параграф 1 от Конвенцията на Организацията на обединените нации от 1989 г. за правата на детето (КООНПД) и в член 24, параграф 2 от Хартата се посочва, че при всички действия, които се предприемат от публичните власти или частни институции по отношение на децата, висшият интерес на детето трябва да бъде от първостепенно значение. Освен това член 3, параграф 2 от КООНПД и член 24, параграф 1 от Хартата се отнасят до правото на децата на такава закрила и на грижите, необходими за тяхното благоденствие.
                  
               
                     (5)
                  
                  
                     Защитата на децата, както офлайн, така и онлайн, е един от приоритетите на Съюза. Сексуалното насилие и сексуалната експлоатация на деца представляват сериозни нарушения на правата на човека и на основните права, и по-специално на правата на децата да бъдат защитени от всякакви форми на насилие, злоупотреба и липса на грижи, малтретиране или експлоатация, включително сексуално насилие, както е предвидено в КООНПД и в Хартата. Цифровизацията донесе много ползи за обществото и икономиката, но също така донесе предизвикателства, сред които увеличаване на онлайн сексуалното насилие над деца. На 24 юли 2020 г. Комисията прие съобщение, озаглавено „Стратегия на ЕС за по-ефективна борба срещу сексуалното насилие над деца“ (наричана по-нататък „стратегията“). Стратегията има за цел да се реагира по ефективен начин на равнището на Съюза на престъплението сексуално насилие над деца.
                  
               
                     (6)
                  
                  
                     В съответствие с Директива 2011/93/ЕС на Европейския парламент и на Съвета (7) настоящият регламент не урежда политиките на държавите членки по отношение на сексуалните действия по взаимно съгласие, в които могат да участват деца и които могат да се считат за нормално откриване на сексуалността в хода на човешкото развитие, като се вземат предвид различните културни и правни традиции, както и появата на нови форми на установяване и поддържане на отношения между деца и подрастващи, включително посредством информационните и комуникационните технологии.
                  
               
                     (7)
                  
                  
                     Някои доставчици на определени междуличностни съобщителни услуги без номерà (наричани по-нататък „доставчиците“), например уеб базирана електронна поща и услуги за изпращане на съобщения, вече доброволно използват специални технологии за откриване на онлайн сексуално насилие над деца в своите услуги и докладват за него на правоприлагащите органи и на организациите, действащи в обществен интерес срещу сексуалното насилие над деца, чрез сканиране или на съдържанието, като изображения и текст, или на данните за трафика на съобщения, като в някои случаи използват данни за минали периоди. Технологията, използвана за тези дейности, може да бъде технология за хеширане („раздробяване“) на изображения и видеоматериали и класификатори и изкуствен интелект за анализиране на текст или на данни за трафика. При използването на технология за хеширане даден онлайн материал, съдържащ сексуално насилие над деца, се докладва при наличието на положителен резултат, което ще рече съвпадение в резултат на сравнение между изображение или видеоматериал и уникален, неконвертируем цифров подпис („хеш“) от база данни, която се поддържа от организация, действаща в обществен интерес срещу сексуалното насилие над деца, и съдържа проверени онлайн материали, съдържащи сексуално насилие над деца. Тези доставчици препращат към национални горещи линии за докладване на онлайн материали, съдържащи сексуално насилие над деца, и към организации, които се намират както в Съюза, така и в трети държави, чиято цел е да се идентифицират децата, да се намали сексуалната експлоатация на деца и сексуалното насилие над деца и да се предотврати виктимизацията на деца. Такива организации може да не попадат в обхвата на Регламент (ЕС) 2016/679. Като съвкупност подобни доброволни дейности играят ценна роля за подпомагане на идентифицирането и спасяването на жертвите, чиито основни права на човешко достойнство и на физическа и психическа неприкосновеност са сериозно нарушени. Тези доброволни дейности са важни също и за намаляване на по-нататъшното разпространение на онлайн материали, съдържащи сексуално насилие над деца, и допринасят за идентифицирането и разследването на нарушителите и за предотвратяване, разкриване, разследване и наказателно преследване на престъпления, състоящи се в сексуално насилие над деца.
                  
               
                     (8)
                  
                  
                     Независимо от законната си цел, доброволните действия от страна на доставчиците за разкриване на онлайн сексуално насилие над деца в техните услуги и докладването му представляват намеса в основните права на зачитане на личния и семейния живот и на защитата на личните данни на всички потребители на междуличностни съобщителни услуги без номерà (наричани по-нататък „потребителите“). Нито едно ограничение на упражняването на основното право на зачитане на личния и семейния живот, включително на поверителност на съобщенията, не може да бъде обосновано само с това, че доставчиците са използвали някои технологии по време, когато междуличностните съобщителни услуги без номерà не са попадали в обхвата на определението за електронни съобщителни услуги. Подобни ограничения са възможни само при определени условия. Съгласно член 52, параграф 1 от Хартата тези ограничения трябва да бъдат предвидени в закон и да зачитат основното съдържание на правата на личен и семеен живот и на защитата на личните данни и, при спазване на принципа на пропорционалност, трябва да са необходими и действително да отговарят на признати от Съюза цели от общ интерес или на необходимостта да се защитят правата и свободите на други хора. Когато подобни ограничения постоянно включват общо и неизбирателно наблюдение и анализ на съобщенията на всички потребители, те нарушават правото на поверителност на съобщенията.
                  
               
                     (9)
                  
                  
                     До 20 декември 2020 г. обработването на лични данни от доставчици чрез доброволни мерки с цел откриване на онлайн сексуално насилие над деца в услугите им, докладването му и премахването от услугите им на онлайн материалите, съдържащи сексуално насилие над деца, се уреждаше единствено от Регламент (ЕС) 2016/679. Директива (ЕС) 2018/1972, която трябваше да бъде транспонирана до 20 декември 2020 г., включи доставчиците в обхвата на Директива 2002/58/ЕО. За да продължат да използват такива доброволни мерки и след 20 декември 2020 г., доставчиците следва да отговарят на условията, определени в настоящия регламент. Регламент (ЕС) 2016/679 ще продължи да се прилага по отношение на обработването на лични данни, извършвано чрез подобни доброволни мерки.
                  
               
                     (10)
                  
                  
                     Директива 2002/58/ЕО не съдържа специални разпоредби относно обработването на лични данни от доставчиците във връзка с предоставянето на електронни съобщителни услуги с цел откриване на онлайн сексуално насилие над деца в услугите им, докладването му и премахването на онлайн материалите, съдържащи сексуално насилие над деца, от техните услуги. При все това съгласно член 15, параграф 1 от Директива 2002/58/ЕО държавите членки могат да приемат законодателни мерки за ограничаване на обхвата на правата и задълженията, предвидени, inter alia, в членове 5 и 6 от посочената директива, които засягат поверителността на съобщенията и данните за трафика, с цел предотвратяване, разкриване, разследване и преследване на престъпления, свързани със сексуално насилие над деца. При липсата на такива национални законодателни мерки и в очакване на приемането на по-дългосрочна правна рамка за борба със сексуалното насилие над деца на равнището на Съюза доставчиците няма да могат да се позовават на Регламент (ЕС) 2016/679, за да продължат да използват доброволни мерки за откриване на онлайн сексуално насилие над деца в своите услуги, да го докладват и да премахват от услугите си онлайн материалите, съдържащи сексуално насилие над деца, след 21 декември 2020 г. В настоящия регламент не се предвижда правно основание за обработването на лични данни от доставчиците единствено с цел откриване на онлайн сексуално насилие над деца в техните услуги, докладването му и премахването от услугите им на онлайн материали, съдържащи сексуално насилие над деца, но в него се предвижда дерогация от определени разпоредби на Директива 2002/58/ЕО. В настоящия регламент се определят допълнителни предпазни мерки, които трябва да бъдат спазвани от доставчиците, ако те желаят да се позоват на него.
                  
               
                     (11)
                  
                  
                     Обработването на данни за целите на настоящия регламент може да доведе до обработването на специални категории лични данни, както е посочено в Регламент (ЕС) 2016/679. Обработването на изображения и видеоматериали чрез специални технически средства, които дават възможност за уникална идентификация или удостоверяване на автентичността на дадено физическо лице, се счита за обработване на специални категории лични данни.
                  
               
                     (12)
                  
                  
                     В настоящия регламент се предвижда временна дерогация от член 5, параграф 1 и член 6, параграф 1 от Директива 2002/58/ЕО, с които се защитават поверителността на съобщенията и данните за трафика. Доброволното използване от доставчиците на технологии за обработване на лични и други данни до степента, необходима за откриване на онлайн сексуално насилие над деца в техните услуги, докладването му и премахването от услугите им на онлайн материали, съдържащи сексуално насилие над деца, попада в обхвата на дерогацията, предвидена в настоящия регламент, при условие че това използване отговаря на условията, определени в настоящия регламент, и следователно подлежи на гаранциите и условията, определени в Регламент (ЕС) 2016/679.
                  
               
                     (13)
                  
                  
                     Директива 2002/58/ЕО е приета на основание член 114 от Договора за функционирането на Европейския съюз (ДФЕС). Освен това не всички държави членки са приели законодателни мерки в съответствие с Директива 2002/58/ЕО за ограничаване на обхвата на правата и задълженията, свързани с поверителността на съобщенията и данните за трафика, предвидени в посочената директива, и приемането на такива мерки се съпътства от значителен риск от фрагментиране, което може да има отрицателно въздействие върху вътрешния пазар. Следователно, настоящият регламент следва да се основава на член 114 от ДФЕС.
                  
               
                     (14)
                  
                  
                     Като се има предвид, че данните, свързани с електронните съобщения между физически лица, обикновено се квалифицират като лични данни, настоящият регламент следва да се основава и на член 16 от ДФЕС, с който се въвежда специално правно основание за приемането на правила във връзка със защитата на лицата по отношение на обработването на лични данни от институциите, органите, службите и агенциите на Съюза и от страна на държавите членки при осъществяването на дейности, които попадат в обхвата на правото на Съюза, и правила във връзка със свободното движение на тези данни.
                  
               
                     (15)
                  
                  
                     Регламент (ЕС) 2016/679 се прилага за обработването на лични данни във връзка с предоставянето на електронни съобщителни услуги от доставчиците единствено с цел откриване на онлайн сексуално насилие над деца в техните услуги, докладването му и премахването от услугите им на онлайн материалите, съдържащи сексуално насилие над деца, доколкото това обработване попада в обхвата на дерогацията, предвидена в настоящия регламент.
                  
               
                     (16)
                  
                  
                     Видовете технологии, използвани за целите на настоящия регламент, следва да водят до най-ниска степен на вмешателство в неприкосновеността на личния живот съобразно актуалното технологично равнище в този сектор. Тези технологии не следва да се използват за систематично филтриране и сканиране на текст в съобщения освен ако това е с цел само да откриват модели, които сочат възможни конкретни причини, даващи основание да се заподозре евентуално онлайн сексуално насилие над деца, и не следва да са в състояние да изведат същността на съдържанието на съобщенията. В случая на технология, използвана за идентифициране на установяване на контакт с деца, тези конкретни причини, даващи основание за подозрение, следва да се основават на обективно идентифицирани рискови фактори, като възрастовата разлика и вероятното участие на дете в сканираното съобщение.
                  
               
                     (17)
                  
                  
                     Следва да се въведат подходящи процедури и механизми за правна защита, за да се гарантира, че физическите лица могат да подават жалби до доставчиците. Тези процедури и механизми са особено важни, когато съдържание, което не представлява онлайн сексуално насилие над деца, е премахнато или докладвано на правоприлагащите органи или на организация, действаща в обществен интерес срещу сексуалното насилие над деца.
                  
               
                     (18)
                  
                  
                     За да се осигури възможно най-голяма точност и надеждност, използваната за целите на настоящия регламент технология следва, в зависимост от актуалното технологично равнище в сектора, да ограничава броя и процента на грешките (фалшивите положителни резултати) до максималната възможна степен и следва, когато е необходимо, да коригира незабавно всички такива грешки, евентуално възникнали въпреки това.
                  
               
                     (19)
                  
                  
                     Обработваните данни за съдържанието и данни за трафика и личните данни, генерирани при извършване на дейностите, обхванати от настоящия регламент, и срокът, през който данните се съхраняват впоследствие в случай на идентифициране на предполагаема онлайн сексуална злоупотреба с деца, следва да останат ограничени до строго необходимото за извършването на тези дейности. Всички данни следва да бъдат незабавно и окончателно заличени, щом вече не са строго необходими за някоя от целите, посочени в настоящия регламент, включително когато не е идентифицирано предполагаемо онлайн сексуално насилие над деца, и при всички случаи не по-късно от 12 месеца от датата на предполагаемото онлайн сексуално насилие над деца. Това не следва да засяга възможността за съхраняване на съответните данни за съдържанието и данни за трафика в съответствие с Директива 2002/58/ЕО. Настоящият регламент не засяга прилагането на никое правно задължение съгласно правото на Съюза или националното право за запазване на данни, което се прилага спрямо доставчиците.
                  
               
                     (20)
                  
                  
                     Настоящият регламент не възпрепятства доставчик, който е докладвал онлайн сексуално насилие над деца на правоприлагащите органи, да изисква доказателство за получаване на докладването от правоприлагащите органи.
                  
               
                     (21)
                  
                  
                     За да се осигури прозрачност и отчетност по отношение на дейностите, предприемани по силата на дерогацията, предвидена в настоящия регламент, доставчиците следва да публикуват и да предоставят доклади на компетентния надзорен орган, определен съгласно Регламент (ЕС) 2016/679 (наричан по-нататък „надзорният орган“) и на Комисията до 3 февруари 2022 г. и до 31 януари всяка година след това. Тези доклади следва да обхващат обработването, попадащо в обхвата на настоящия регламент, включително вида и обема на обработените данни, конкретното основание за обработването на лични данни съгласно Регламент (ЕС) 2016/679, основанията за предаването на лични данни извън Съюза съгласно глава V от Регламент (ЕС) 2016/679, когато е приложимо, броя на идентифицираните случаи на онлайн сексуално насилие на деца, като се прави разграничение между онлайн материали, съдържащи сексуално насилие над деца, и установяване на контакт с деца, броя на случаите, в които потребител е подал жалба до вътрешния механизъм за правна защита или e потърсил правна защита от съдебен орган, и резултата от тези жалби и съдебни производства, броя и процента на грешките (фалшиви положителни) при различните използвани технологии, приложените мерки за ограничаване на процента на грешка и постигнатия процент на грешка, приложените политика за съхранение и гаранции за защита на данните съгласно Регламент (ЕС) 2016/679 и имената на организациите, действащи в обществен интерес срещу сексуалното насилие над деца, с които са били споделени данни съгласно настоящия регламент.
                  
               
                     (22)
                  
                  
                     За да се подпомогнат надзорните органи при изпълнението на техните задачи, Комисията следва да изиска от Европейския комитет по защита на данните да издаде насоки относно спазването на Регламент (ЕС) 2016/679 при обработването, попадащо в обхвата на дерогацията, предвидена в настоящия регламент. Когато надзорните органи преценяват дали дадена вече установена или нова технология, която ще се използва, е в съответствие с актуалното технологично равнище в сектора, води до най-ниска степен на вмешателство в неприкосновеността на личния живот и функционира въз основата на подходящо правно основание съгласно Регламент (ЕС) 2016/679, тези насоки следва по-специално да подпомагат надзорните органи при предоставянето на съвети в рамките на процедурата на предварителна консултация, предвидена в посочения регламент.
                  
               
                     (23)
                  
                  
                     С настоящия регламент се ограничава правото на защита на поверителността на съобщенията и се въвежда дерогация от решението, възприето в Директива (ЕС) 2018/1972, междуличностните съобщителни услуги без номерà да бъдат подчинени на същите правила, които се прилагат за всички други електронни съобщителни услуги по отношение на неприкосновеността на личния живот, единствено с цел откриване на онлайн сексуално насилие над деца в тези услуги и докладването му на правоприлагащите органи и на организациите, действащи в обществен интерес срещу сексуалното насилие над деца, и премахване от тези услуги на онлайн материали, съдържащи сексуално насилие над деца. Поради това срокът на прилагане на настоящия регламент следва да бъде ограничен до три години от датата на неговото прилагане, за да се предостави необходимото време за приемането на нова дългосрочна правна рамка. В случай че дългосрочната правна рамка бъде приета и влезе в сила преди тази дата, с нея следва да се отмени настоящият регламент.
                  
               
                     (24)
                  
                  
                     По отношение на всички други дейности, които попадат в обхвата на Директива 2002/58/ЕО, за доставчиците следва да важат специалните задължения, определени в посочената директива, и следователно правомощията за наблюдение и разследване на компетентните органи, определени съгласно посочената директива.
                  
               
                     (25)
                  
                  
                     Криптирането от край до край е важен инструмент за гарантиране на сигурността и поверителността на съобщенията на потребителите, включително на децата. При всяко отслабване на криптирането би могло да се злоупотребява от страна на злонамерени трети лица. Поради това нищо в настоящия регламент не следва да се тълкува като забрана или отслабване на криптирането от край до край.
                  
               
                     (26)
                  
                  
                     Правото на зачитане на личния и семейния живот, включително на поверителността на съобщенията, е основно право, гарантирано от член 7 от Хартата. Следователно то е и предпоставка за сигурни съобщения между жертвите на сексуално насилие над деца и доверено пълнолетно лице или организации с дейност в областта на борбата със сексуалното насилие над деца, както и за съобщенията между жертвите и техните адвокати.
                  
               
                     (27)
                  
                  
                     Настоящият регламент не следва да засяга правилата относно професионалната тайна съгласно националното право, като правилата за защита на професионалните съобщения между лекарите и техните пациенти, между журналистите и техните източници или между адвокатите и техните клиенти, особено предвид на това, че поверителността на съобщенията между адвокатите и техните клиенти е от ключово значение за гарантиране на ефективното упражняване на правото на защита като съществена част от правото на справедлив съдебен процес. Настоящият регламент също така не следва да засяга националните правила относно регистрите на публичните органи или организациите, които предлагат консултации на лица в затруднено положение.
                  
               
                     (28)
                  
                  
                     Доставчиците следва да съобщят на Комисията наименованията на организациите, действащи в обществен интерес срещу сексуалното насилие над деца, на които докладват за възможно онлайн сексуално насилие над деца съгласно настоящия регламент. Въпреки че доставчиците, действащи като администратори, са единствените отговорни да преценят с кое трето лице могат да споделят лични данни съгласно Регламент (ЕС) 2016/679, Комисията следва да осигури прозрачност по отношение на предаването на възможни случаи на онлайн сексуално насилие над деца, като публикува на своя уебсайт списък на организациите, действащи в обществен интерес срещу сексуалното насилие над деца, за които е била уведомена. Този публичен списък следва да бъде лесно достъпен. Също така следва да е възможно доставчиците да използват този списък за идентифициране на съответните организации в глобалната борба срещу онлайн сексуалното насилие над деца. Този списък следва да не засяга задълженията на доставчиците, действащи като администратори съгласно Регламент (ЕС) 2016/679, включително по отношение на задължението им да извършват всяко предаване на лични данни извън Съюза съгласно глава V от посочения регламент и задължението им да изпълняват всички задължения по глава IV от посочения регламент.
                  
               
                     (29)
                  
                  
                     Статистическите данни, които държавите членки трябва да предоставят съгласно настоящия регламент, са важни показатели за оценката на политиката, включително на законодателните мерки. Освен това е важно да се признае въздействието на вторичната виктимизация, присъща на споделянето на изображения и видеоматериали на жертви на сексуално насилие над деца, които може да са били разпространявани в продължение на години, и което не е напълно отразено в подобни статистически данни.
                  
               
                     (30)
                  
                  
                     В съответствие с изискванията, определени в Регламент (ЕС) 2016/679, и по-специално с изискването държавите членки да гарантират, че надзорните органи разполагат с човешките, техническите и финансовите ресурси, необходими за ефективното изпълнение на техните задачи и за упражняване на правомощията им, държавите членки следва да гарантират, че надзорните органи разполагат с достатъчно такива ресурси за ефективното изпълнение на задачите си и за упражняването на правомощията си съгласно настоящия регламент.
                  
               
                     (31)
                  
                  
                     Когато доставчик е извършил оценка на въздействието върху защитата на данните и се е консултирал с надзорните органи по отношение на дадена технология в съответствие с Регламент (ЕС) 2016/679 преди влизането в сила на настоящия регламент, този доставчик не следва да бъде задължен съгласно настоящия регламент да извърши допълнителна оценка на въздействието върху защитата на данните или допълнителна консултация, при условие че надзорните органи са посочили, че обработването на данни чрез тази технология няма да доведе до висок риск за правата и свободите на физическите лица или че администраторът е предприел мерки за смекчаване на подобен риск.
                  
               
                     (32)
                  
                  
                     Потребителите следва да имат правото на ефективни правни средства за защита, когато правата им са били нарушени в резултат на обработването на лични и други данни за целите на откриването на онлайн сексуално насилие над деца в междуличностни съобщителни услуги без номepà, докладването му и премахването от тези услуги на онлайн материали, съдържащи сексуално насилие над деца, например в случаите, в които съдържание на потребителя или самоличността на потребителите са били докладвани на организация, действаща в обществен интерес срещу сексуалното насилие над деца, или на правоприлагащите органи, или когато съдържание на потребителя е било премахнато, профилът на потребителя е бил блокиран или предлаганата на потребителя услуга е била спряна.
                  
               
                     (33)
                  
                  
                     В съответствие с Директива 2002/58/ЕО и с принципа на свеждане на данните до минимум обработването на лични данни и други данни следва да остане ограничено до данни за съдържанието и свързаните данни за трафика, доколкото това е строго необходимо за постигане на целта на настоящия регламент.
                  
               
                     (34)
                  
                  
                     Дерогацията, предвидена в настоящия регламент, следва да обхваща и категориите данни, посочени в член 5, параграф 1 и член 6, параграф 1 от Директива 2002/58/ЕО, които са приложими за обработването както на лични, така и на нелични данни, обработвани в контекста на предоставянето на междуличностни съобщителни услуги без номepà.
                  
               
                     (35)
                  
                  
                     Целта на настоящия регламент е да се въведе временна дерогация от някои разпоредби на Директива 2002/58/ЕО, без това да доведе до фрагментиране на вътрешния пазар. Освен това най-вероятно национални законодателни мерки няма да могат да бъдат приети своевременно във всички държави членки. Доколкото целта на настоящия регламент не може да бъде постигната в достатъчна степен от държавите членки, а може да бъде по-добре постигната на равнището на Съюза, Съюзът може да приеме мерки в съответствие с принципа на субсидиарност, уреден в член 5 от ДЕС. В съответствие с принципа на пропорционалност, уреден в същия член, настоящият регламент не надхвърля необходимото за постигането на тази цел. С него се въвежда временна и строго ограничена дерогация от прилагането на член 5, параграф 1 и член 6, параграф 1 от Директива 2002/58/ЕС, допълнена от определени гаранции, за да се гарантира, че с нея не се надхвърля необходимото за постигането на заложената цел.
                  
               
                     (36)
                  
                  
                     Европейския надзорен орган по защита на данните беше консултиран в съответствие с член 42, параграф 1 от Регламент (ЕС) 2018/1725 на Европейския парламент и на Съвета (8) и прие своето становище на 10 ноември 2020 г.,
                  
               ПРИЕХА НАСТОЯЩИЯ РЕГЛАМЕНТ:
         
            Член 1
            Предмет и обхват
            
               1.   С настоящия регламент се определят временни и строго ограничени правила, които представляват дерогация от някои задължения, предвидени в Директива 2002/58/ЕО, с единствената цел да се даде възможност на доставчиците на някои междуличностни съобщителни услуги без номерà (наричани по-нататък „доставчиците“) да използват, без да се засяга Регламент (ЕС) 2016/679, специални технологии за обработване на лични и други данни до степента, строго необходима за откриване на онлайн сексуално насилие над деца в своите услуги, докладването му и премахването от услугите им на онлайн материалите, съдържащи сексуално насилие над деца.
            
            
               2.   Настоящият регламент не се прилага за сканирането на аудио съобщения.
            
         
         
            Член 2
            Определения
            За целите на настоящия регламент се прилагат следните определения:
            
                        1)
                     
                     
                        „междуличностна съобщителна услуга без номер“ означава междуличностна съобщителна услуга без номер съгласно определението в член 2, точка 7 от Директива (ЕС) 2018/1972;
                     
                  
                        2)
                     
                     
                        „онлайн материал, съдържащ сексуално насилие над деца“ означава:
                        
                                    а)
                                 
                                 
                                    детска порнография съгласно определението в член 2, буква в) от Директива 2011/93/ЕС;
                                 
                              
                                    б)
                                 
                                 
                                    порнографско представление съгласно определението в член 2, буква д) от Директива 2011/93/ЕС;
                                 
                              
                  
                        3)
                     
                     
                        „установяване на контакт с деца“ означава всяко умишлено деяние, което представлява престъпление съгласно член 6 от Директива 2011/93/ЕС;
                     
                  
                        4)
                     
                     
                        „онлайн сексуално насилие над деца“ означава oнлайн материал, съдържащ сексуално насилие над деца и установяване на контакт с деца.
                     
                  
         
            Член 3
            Приложно поле на дерогацията
            
               1.   Член 5, параграф 1 и член 6, параграф 1 от Директива 2002/58/ЕО, не се прилагат за поверителността на съобщенията, при което доставчиците обработват лични и други данни във връзка с предоставянето на междуличностни съобщителни услуги без номерà, при условие че:
               
                           а)
                        
                        
                           обработването е:
                           
                                       i)
                                    
                                    
                                       строго необходимо за използването на специална технология единствено с цел откриване и премахване на онлайн материали, съдържащи сексуално насилие над деца, и докладването им на правоприлагащите органи и на организациите, действащи в обществен интерес срещу сексуалното насилие над деца, както и за откриването на установяване на контакт с деца и докладването му на правоприлагащите органи или на организациите, действащи в обществен интерес срещу сексуалното насилие над деца;
                                    
                                 
                                       ii)
                                    
                                    
                                       пропорционално и ограниченo до технологии, които са използвани от доставчиците за целта, посочена в точка i);
                                    
                                 
                                       iii)
                                    
                                    
                                       ограничено до данните за съдържанието и свързаните данни за трафика, които са строго необходими за целта, посочена в точка i);
                                    
                                 
                                       iv)
                                    
                                    
                                       ограничено до това, което е строго необходимо за целта, посочена в точка i);
                                    
                                 
                     
                           б)
                        
                        
                           технологиите, използвани за целта, посочена в буква а), точка i) от настоящия параграф, са в съответствие с актуалното технологично равнище в сектора, и водят до най-ниска степен на вмешателство в неприкосновеността на личния живот, включително по отношение на принципа на защита на данните на етапа на проектирането и по подразбиране, както е посочено в член 25 от Регламент (ЕС) 2016/679, и доколкото се използват за сканиране на текст в съобщения, те не са в състояние да изведат същността на съдържанието на съобщенията, а само да откриват модели, които сочат възможно онлайн сексуално насилие над деца;
                        
                     
                           в)
                        
                        
                           по отношение на всяка специална технология, използвана за посочената в буква а), точка i) от настоящия параграф цел, са проведени предварителна оценка на въздействието върху защитата на данните съгласно член 35 от Регламент (ЕС) 2016/679 и процедура на предварителна консултация съгласно член 36 от посочения регламент;
                        
                     
                           г)
                        
                        
                           по отношение на нова технология, а именно технология, използвана за целите на откриването на онлайн материали, съдържащи сексуално насилие над деца, която не е била използвана от нито един доставчик във връзка с услуги, предоставяни на потребители на междуличностни съобщителни услуги без номерà (наричани по-нататък „потребители“) в Съюза преди 2 август 2021 г., и по отношение на технология, използвана за целите на идентифицирането на възможно установяване на контакт с деца, доставчикът докладва на компетентните органи за мерките, които са предприети за доказване на спазването на писменото становище, изготвено съгласно член 36, параграф 2 от Регламент (ЕС) 2016/679 от компетентния надзорен орган, определен съгласно глава VI, раздел 1 от посочения регламент (наричан по-нататък „надзорният орган“) в хода на процедурата на предварителна консултация;
                        
                     
                           д)
                        
                        
                           използваните технологии са достатъчно надеждни, доколкото ограничават във възможно най-голяма степен процента на грешки при откриването на съдържание, представляващо онлайн сексуално насилие над деца, а когато възникнат такива грешки, техните последствия се отстраняват незабавно;
                        
                     
                           е)
                        
                        
                           използваните технологии за откриване на модели на възможно установяване на контакт с деца се ограничават до използването на относими ключови показатели и обективно идентифицирани рискови фактори, като възрастовата разлика и вероятното участие на дете в сканираното съобщение, без да се засяга правото на преглед от човек.
                        
                     
                           ж)
                        
                        
                           доставчиците:
                           
                                       i)
                                    
                                    
                                       са установили вътрешни процедури за предотвратяване на злоупотреби със, неразрешен достъп до и неразрешено предаване на лични и други данни;
                                    
                                 
                                       ii)
                                    
                                    
                                       осигуряват надзор от човек и при необходимост — човешка намеса, при обработването на лични и други данни с помощта на технологии, попадащи в обхвата на настоящия регламент;
                                    
                                 
                                       iii)
                                    
                                    
                                       гарантират, че на правоприлагащите органи или организациите, действащи в обществен интерес срещу сексуалното насилие над деца, не се докладва за онлайн материали, за които все още не е установено, че съдържат сексуално насилие над деца или установяване на контакт с деца, без предварително потвърждение от човек;
                                    
                                 
                                       iv)
                                    
                                    
                                       са въвели подходящи процедури и механизми за правна защита, за да се гарантира, че потребителите могат да подават жалби до тях в разумен срок с цел да представят мнението си;
                                    
                                 
                                       v)
                                    
                                    
                                       уведомяват потребителите ясно, видимо и разбираемо относно факта, че в съответствие с настоящия регламент са се позовавали на дерогацията от член 5, параграф 1 и член 6, параграф 1 на Директива 2002/58/ЕО относно поверителността на съобщенията на потребителите единствено за целта, посочена в буква а), точка i) от настоящия параграф, основанието за мерките, които са предприели съгласно дерогацията и последиците за поверителността на съобщенията на потребителите, включително възможността лични данни да бъдат споделяни с правоприлагащите органи и с организациите, действащи в обществен интерес срещу сексуалното насилие над деца;
                                    
                                 
                                       vi)
                                    
                                    
                                       уведомяват потребителите за следното, когато тяхното съдържание е премахнато, техният профил е блокиран или предлаганата им услуга е спряна:
                                       
                                                   1)
                                                
                                                
                                                   възможните начини за търсене на правна защита от тях;
                                                
                                             
                                                   2)
                                                
                                                
                                                   възможността за подаване на жалба до компетентен надзорен орган; и
                                                
                                             
                                                   3)
                                                
                                                
                                                   правото да се ползват средства за правна защита;
                                                
                                             
                                 
                                       vii)
                                    
                                    
                                       до 3 февруари 2022 г. и до 31 януари всяка година след това публикуват и предоставят на компетентния надзорен орган и на Комисията доклад относно обработването на лични данни съгласно настоящия регламент, включително:
                                       
                                                   1)
                                                
                                                
                                                   вида и обема на обработените данни;
                                                
                                             
                                                   2)
                                                
                                                
                                                   конкретното основание за обработването съгласно Регламент (ЕС) 2016/679;
                                                
                                             
                                                   3)
                                                
                                                
                                                   основанието за предаването на лични данни извън Съюза съгласно глава V от Регламент (ЕС) 2016/679, когато е приложимо;
                                                
                                             
                                                   4)
                                                
                                                
                                                   броя на идентифицираните случаи на онлайн сексуално насилие над деца, като се прави разграничение между онлайн материали, съдържащи сексуално насилие над деца, и установяване на контакт с деца;
                                                
                                             
                                                   5)
                                                
                                                
                                                   броя на случаите, в които потребител е подал жалба до вътрешния механизъм за правна защита или до съдебен орган, и резултата от тези жалби;
                                                
                                             
                                                   6)
                                                
                                                
                                                   броя и процента на грешките (фалшиви положителни) при различните използвани технологии;
                                                
                                             
                                                   7)
                                                
                                                
                                                   приложените мерки за ограничаване на процента на грешка и постигнатия процент на грешка;
                                                
                                             
                                                   8)
                                                
                                                
                                                   приложените политика за запазване и гаранции за защита на данните съгласно Регламент (ЕС) 2016/679;
                                                
                                             
                                                   9)
                                                
                                                
                                                   имената на организациите, действащи в обществен интерес срещу сексуалното насилие над деца, с които са били споделени данни съгласно настоящия регламент;
                                                
                                             
                                 
                     
                           з)
                        
                        
                           когато бъде идентифицирано предполагаемо сексуално насилие над деца, данните за съдържанието и свързаните данни за трафика, които са обработени за целта, посочена в буква а), точка i),и личните данни, генерирани при подобно обработване, се съхраняват по сигурен начин единствено за целите на:
                           
                                       i)
                                    
                                    
                                       незабавно докладване на предполагаемото онлайн сексуално насилие над деца на компетентните правоприлагащи и съдебни органи или на организациите, действащи в обществен интерес срещу сексуалното насилие над деца;
                                    
                                 
                                       ii)
                                    
                                    
                                       блокиране на профила или спиране или прекратяване на предоставянето на услугата на съответния потребител;
                                    
                                 
                                       iii)
                                    
                                    
                                       създаване на уникален, неконвертируем цифров подпис („хеш“) за данни, които надеждно са идентифицирани като онлайн материали, съдържащи сексуално насилие над деца;
                                    
                                 
                                       iv)
                                    
                                    
                                       осигуряване на възможност на съответния потребител да потърси правна защита от доставчика или да се възползва от административно производство по обжалване или от правни средства за защита по въпроси, свързани с предполагаемото онлайн сексуално насилие над деца; или
                                    
                                 
                                       v)
                                    
                                    
                                       даване на отговор на искания на компетентни правоприлагащи и съдебни органи в съответствие с приложимото право за предоставяне на необходимите данни с оглед на предотвратяването, разкриването, разследването или наказателното преследване на престъпления, посочени в Директива 2011/93/ЕС;
                                    
                                 
                     
                           и)
                        
                        
                           данните се съхраняват не повече от строго необходимото за съответната цел, посочена в буква з), и във всички случаи не повече от 12 месеца от датата на идентифициране на предполагаемото онлайн сексуално насилие над деца;
                        
                     
                           й)
                        
                        
                           всички случаи на обосновано и потвърдено подозрение за онлайн сексуално насилие над деца се докладват незабавно на компетентните национални правоприлагащи органи или на организациите, действащи в обществен интерес срещу сексуалното насилие над деца.
                        
                     
            
               2.   До 3 април 2022 г. условието, посочено в параграф 1, буква в), не се прилага за доставчици, които:
               
                           а)
                        
                        
                           са използвали специална технология преди 2 август 2021 г. за целта, посочена в параграф 1, буква а), точка i), без преди това да са провели процедура на консултация във връзка с тази технология;
                        
                     
                           б)
                        
                        
                           започнат процедура на консултация преди 3 септември 2021 г.; и
                        
                     
                           в)
                        
                        
                           надлежно сътрудничат на компетентния надзорен орган във връзка с процедурата на консултация, посочена в буква б).
                        
                     
            
               3.   До 3 април 2022 г. условието, посочено в параграф 1, буква г), не се прилага за доставчици, които:
               
                           а)
                        
                        
                           са използвали технология, посочена в параграф 1, буква г), преди 2 август 2021 г., без преди това да са провели процедура на консултация във връзка с тази технология;
                        
                     
                           б)
                        
                        
                           започнат процедура по параграф 1, буква г) преди 3 септември 2021 г.; и
                        
                     
                           в)
                        
                        
                           надлежно сътрудничат на компетентния надзорен орган във връзка с процедурата, посочена в параграф 1, буква г).
                        
                     
         
         
            Член 4
            Насоки на Европейски комитет по защита на данните
            До 3 септември 2021 г. и в съответствие с член 70 от Регламент (ЕС) 2016/679 Комисията изисква от Европейския комитет по защита на данните да издаде насоки с цел да подпомогне надзорните органи да преценят дали обработването, попадащо в обхвата на настоящия регламент, за съществуващи и нови технологии, използвани за целите, посочени в член 3, параграф 1, буква а), точка i) от настоящия регламент, е в съответствие с Регламент (ЕС) 2016/679.
         
         
            Член 5
            Ефективни правни средства за защита
            В съответствие с член 79 от Регламент (ЕС) 2016/679 и с член 15, параграф 2 от Директива 2002/58/ЕО потребителите имат правото на ефективни правни средства за защита, когато считат, че правата им са били нарушени в резултат на обработване на лични или други данни за целта, посочена в член 3, параграф 1, буква а), точка i) от настоящия регламент.
         
         
            Член 6
            Надзорни органи
            Надзорните органи, определени съгласно глава VI, раздел 1 от Регламент (ЕС) 2016/679, наблюдават обработването, попадащо в обхвата на настоящия регламент, в съответствие със своята компетентност и правомощия съгласно посочената глава.
         
         
            Член 7
            Публичен списък с организациите, действащи в обществен интерес срещу сексуалното насилие над деца
            
               1.   До 3 септември 2021 г. доставчиците съобщават списък с наименованията на организации, действащи в обществен интерес срещу сексуалното насилие над деца съгласно настоящия регламент. Доставчиците редовно осведомяват Комисията за евентуални промени в този списък.
            
            
               2.   До 3 октомври 2021 г. Комисията оповестява наименованията на съобщените ѝ съгласно параграф 1 организации, действащи в обществен интерес срещу сексуалното насилие над деца. Комисията поддържа публичния списък актуален.
            
         
         
            Член 8
            Статистически данни
            
               1.   До 3 август 2022 г. и ежегодно след това държавите членки правят обществено достояние и представят на Комисията доклади със статистически данни относно следното:
               
                           а)
                        
                        
                           общия брой на докладите при откриване на онлайн сексуално насилие над деца, предоставени от доставчици и организации, действащи в обществен интерес срещу сексуалното насилие над деца, на компетентните национални правоприлагащи органи, като се прави разграничение, когато има подобна информация, между абсолютния брой случаи и случаите, докладвани няколко пъти, и вида на доставчика, в чиято услуга е открито онлайн сексуалното насилие над деца;
                        
                     
                           б)
                        
                        
                           броя на децата, идентифицирани чрез действия съгласно член 3, с разбивка по пол;
                        
                     
                           в)
                        
                        
                           броя на осъдените извършители.
                        
                     
            
               2.   Комисията обобщава статистическите данни, посочени в параграф 1 от настоящия член, и ги взема предвид, когато подготвя доклада за изпълнението съгласно член 9.
            
         
         
            Член 9
            Доклад за изпълнението
            
               1.   Въз основа на докладите, предоставени съгласно член 3, параграф 1, буква ж), точка vii), и статистическите данни, предоставени съгласно член 8, до 3 август 2023 г. Комисията изготвя доклад относно изпълнението на настоящия регламент и го предава и представя на Европейския парламент и на Съвета.
            
            
               2.   В доклада за изпълнението Комисията разглежда по-специално:
               
                           а)
                        
                        
                           условията за обработването на лични и други данни, посочени в член 3, параграф 1, буква а), точка ii) и член 3, параграф 1, букви б), в) и г);
                        
                     
                           б)
                        
                        
                           пропорционалността на дерогацията, предвидена в настоящия регламент, включително оценка на статистическите данни, представени от държавите членки съгласно член 8;
                        
                     
                           в)
                        
                        
                           развитието на технологичния напредък по отношение на дейностите в обхвата на настоящия регламент и степента, до която това развитие подобрява точността и намалява броя и процента на грешките (фалшивите положителни резултати).
                        
                     
         
         
            Член 10
            Влизане в сила и прилагане
            Настоящият регламент влиза в сила на третия ден след публикуването му в Официален вестник на Европейския съюз.
            
            Прилага се до 3 август 2024 година.
         
         
            Настоящият регламент е задължителен в своята цялост и се прилага пряко във всички държави членки.
            Съставено в Брюксел на 14 юли 2021 година.
            
               
                  За Европейския парламент
               
               
                  Председател
               
               D. M. SASSOLI
            
            
               
                  За Съвета
               
               
                  Председател
               
               A. LOGAR
            
         
         
            (1)  ОВ C 10, 11.1.2021 г., стр. 63.
         
            (2)  Позиция на Европейския парламент от 6 юли 2021 г. (все още непубликувана в Официален вестник) и решение на Съвета от 12 юли 2021 г.
         
            (3)  Директива 2002/58/ЕО на Европейския парламент и на Съвета от 12 юли 2002 г. относно обработката на лични данни и защита на правото на неприкосновеност на личния живот в сектора на електронните комуникации (Директива за правото на неприкосновеност на личния живот и електронни комуникации) (ОВ L 201, 31.7.2002 г., стр. 37).
         
            (4)  Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните) (ОВ L 119, 4.5.2016 г., стр. 1).
         
            (5)  Директива 2002/21/ЕО на Европейския парламент и на Съвета от 7 март 2002 г. относно общата регулаторна рамка за електронните съобщителни мрежи и услуги (Рамкова директива) (ОВ L 108, 24.4.2002 г., стр. 33).
         
            (6)  Директива (ЕС) 2018/1972 на Европейския парламент и на Съвета от 11 декември 2018 г. за установяване на Европейски кодекс за електронни съобщения (ОВ L 321, 17.12.2018 г., стр. 36).
         
            (7)  Директива 2011/93/ЕС на Европейския парламент и на Съвета от 13 декември 2011 г. относно борбата със сексуалното насилие и със сексуалната експлоатация на деца, както и с детската порнография и за замяна на Рамково решение 2004/68/ПВР на Съвета (ОВ L 335, 17.12.2011 г., стр. 1).
         
            (8)  Регламент (ЕС) 2018/1725 на Европейския парламент и на Съвета от 23 октомври 2018 г. относно защитата на физическите лица във връзка с обработването на лични данни от институциите, органите, службите и агенциите на Съюза и относно свободното движение на такива данни и за отмяна на Регламент (ЕО) № 45/2001 и Решение № 1247/2002/ЕО (ОВ L 295, 21.11.2018 г., стр. 39).