CELEX: 32009H0329
Language: lt
Date: 2009-03-26 00:00:00
Title: 2009 m. kovo 26 d. Komisijos rekomendacija dėl Vidaus rinkos informacinės sistemos (VRI) duomenų apsaugos gairių (pranešta dokumentu Nr. C(2009) 2041) (Tekstas svarbus EEE)

18.4.2009   
            
            
               LT
            
            
               Europos Sąjungos oficialusis leidinys
            
            
               L 100/12
            
         
      KOMISIJOS REKOMENDACIJA
   
   2009 m. kovo 26 d.
   dėl Vidaus rinkos informacinės sistemos (VRI) duomenų apsaugos gairių
   (pranešta dokumentu Nr. C(2009) 2041)
   (Tekstas svarbus EEE)
   (2009/329/EB)
   EUROPOS BENDRIJŲ KOMISIJA,
   atsižvelgdama į Europos bendrijos steigimo sutartį, ypač į jos 211 straipsnio antrąją įtrauką,
   pasikonsultavusi su Europos duomenų apsaugos priežiūros pareigūnu,
   kadangi:
   
               (1)
            
            
               2004 m. balandžio 21 d. Europos Parlamento ir Tarybos sprendime 2004/387/EB dėl suderinto paneuropinių e. valdžios paslaugų teikimo valstybės valdymo institucijoms, verslo subjektams ir piliečiams (IDABC) (1) ir visų pirma jo 4 straipsnyje numatytas bendros svarbos projektų įgyvendinimas, siekiant sudaryti sąlygas veiksmingiems, produktyviems ir saugiems informacijos mainams tarp valstybės valdymo institucijų visais tinkamais lygiais, taip pat tarp tokių valdymo institucijų ir Bendrijos institucijų ar kitų tam tikrų ūkio subjektų.
            
         
               (2)
            
            
               2006 m. kovo 17 d. valstybių narių atstovai Vidaus rinkos patariamajame komitete (2) patvirtino bendrąjį vidaus rinkos informacinės sistemos (toliau – VRI, angl. IMI) įgyvendinimo ir jos plėtros siekiant gerinti valstybių narių valdymo institucijų bendradarbiavimą planą.
            
         
               (3)
            
            
               Be tokio patvirtinimo, Komisija 2006 m. rugpjūčio 14 d. Sprendimu C(2006) 3606, 2007 m. liepos 25 d. Sprendimu C(2007) 3514 ir 2008 m. gegužės 14 d. Sprendimu C(2008) 1881 nusprendė suteikti finansavimą ir sukurti vidaus rinkos informacinę sistemą kaip bendros svarbos projektą.
            
         
               (4)
            
            
               VRI siekiama padėti įgyvendinti svarbius Bendrijos teisės aktus, pagal kuriuos reikalaujama keistis informacija tarp valstybių narių valdymo institucijų, įskaitant 2005 m. rugsėjo 7 d. Europos Parlamento ir Tarybos direktyvą 2005/36/EB dėl profesinių kvalifikacijų pripažinimo (3) ir 2006 m. gruodžio 12 d. Europos Parlamento ir Tarybos direktyvą 2006/123/EB dėl paslaugų vidaus rinkoje (4).
            
         
               (5)
            
            
               Keisdamosi informacija elektroninėmis priemonėmis valstybės narės ir valstybės narės bei Komisija turėtų laikytis asmens duomenų apsaugos taisyklių, nustatytų 1995 m. spalio 24 d. Europos Parlamento ir Tarybos direktyvoje 95/46/EB dėl asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo (5) ir 2000 m. gruodžio 18 d. Europos Parlamento ir Tarybos reglamente (EB) Nr. 45/2001 dėl asmenų apsaugos Bendrijos institucijoms ir įstaigoms tvarkant asmens duomenis ir laisvo tokių duomenų judėjimo (6).
            
         
               (6)
            
            
               Teisė į duomenų apsaugą pripažįstama Europos Sąjungos pagrindinių teisių chartijoje, visų pirma jos 8 straipsnyje; naudojant informacines sistemas, kaip antai VRI, reikėtų užtikrinti, kad Komisijai ir valstybėms narėms tenkanti bendra įvairi atsakomybė ir įsipareigojimai, susiję su duomenų apsaugos taisyklėmis, būtų aiškūs ir kad duomenų subjektams būtų suteikta paprastų ir lengvai prieinamų būdų savo teisėms ginti.
            
         
               (7)
            
            
               2007 m. gruodžio 12 d. Komisijos sprendime 2008/49/EB dėl vidaus rinkos informacinės sistemos (VRI) įgyvendinimo užtikrinant asmens duomenų apsaugą (7) nustatytos VRI dalyvių ir VRI naudotojų funkcijos, teisės ir įsipareigojimai. Šiame Komisijos sprendime atsižvelgiama į 29 straipsnyje nurodytos darbo grupės nuomonę (8).
            
         
               (8)
            
            
               Be šio sprendimo priėmimo, Europos duomenų apsaugos priežiūros pareigūnas (EDAPP) pateikė nuomonę (9), kurioje paragino priimti teisės aktą, kuris, pageidautina, būtų Tarybos ir Parlamento reglamentas, atsižvelgiant į tai, kad tikimasi, jog laipsniškai bus išplėsta VRI aprėptis įtraukiant papildomų vidaus rinkos teisės aktų sričių, dėl to didėjant sistemos sudėtingumui, dalyvaujančių institucijų skaičiui ir duomenų mainų mastui. Keliuose EDAPP ir Komisijos tarnybų posėdžiuose ir apsikeitus raštais (10) susitarta laikytis laipsniško metodo, kurį taikant visų pirmą būtų priimtos duomenų apsaugos gairės, kurios būtų parengtos nuodugniai konsultuojantis su EDAPP.
            
         
               (9)
            
            
               Šios gairės papildo Sprendimą 2008/49/EB ir jose atsižvelgiama į 29 straipsnyje nurodytos darbo grupės ir EDAPP rekomendacijas,
            
         REKOMENDUOJA VALSTYBĖMS NARĖMS:
   
               1.
            
            
               Imtis priemonių, kad užtikrintų priede pateiktų gairių įgyvendinimą VRI dalyvių ir naudotojų atžvilgiu.
            
         
               2.
            
            
               Paraginti nacionalinius VRI koordinatorius užmegzti ryšius su savo nacionalinėmis duomenų apsaugos institucijomis dėl gairių ir pagalbos ieškant geriausio šių gairių įgyvendinimo pagal nacionalinę teisę būdo.
            
         
               3.
            
            
               Pateikti grįžtamąją informaciją Europos Komisijai dėl priede pateiktų gairių įgyvendinimo ne vėliau kaip per devynis mėnesius nuo šios rekomendacijos priėmimo ir padedant nacionaliniams VRI koordinatoriams. Europos Komisija atsižvelgs į tokią informaciją ataskaitoje, kurią parengs ne vėliau kaip praėjus metams nuo šios rekomendacijos priėmimo ir kurioje įvertins VRI duomenų apsaugos padėtį, taip pat bet kokių būsimų priemonių turinį ir priėmimą laiku, įskaitant galimą teisės akto priėmimą.
            
         
      Priimta Briuselyje 2009 m. kovo 26 d.
      
         
            Komisijos vardu
         
         Charlie McCREEVY
         
         
            Komisijos narys
         
      
   
   
      (1)  OL L 144, 2004 4 30, p. 62.
   
      (2)  Įsteigtas Komisijos sprendimu 93/72/EEB (OL L 26, 1993 2 3, p. 18).
   
      (3)  OL L 255, 2005 9 30, p. 22.
   
      (4)  OL L 376, 2006 12 27, p. 36.
   
      (5)  OL L 281, 1995 11 23, p. 31.
   
      (6)  OL L 8, 2001 1 12, p. 1.
   
      (7)  OL L 13, 2008 1 16, p. 18.
   
      (8)  Nuomonė 01911/07/EN, WP 140.
   
      (9)  Europos duomenų apsaugos priežiūros pareigūno nuomonė dėl 2007 m. gruodžio 12 d. Komisijos sprendimo 2008/49/EB dėl vidaus rinkos informacinės sistemos įgyvendinimo užtikrinant asmens duomenų apsaugą (OL C 270, 2008 10 25, p. 1).
   
      (10)  http://www.edps.europa.eu/EDPSWEB/edps/site/mySite/pid/87
   
      PRIEDAS
      
         VRI DUOMENŲ APSAUGOS TAISYKLIŲ ĮGYVENDINIMO GAIRĖS
      
      1.   VRI – administracinio bendradarbiavimo priemonė
      VRI – internetinė programa, parengta Europos Komisijos bendradarbiaujant su valstybėmis narėmis. Jos pagrindinė paskirtis – padėti valstybėms narėms praktiškai įgyvendinti ES teisės aktus, kuriuose numatyta abipusė pagalba ir administracinis bendradarbiavimas. VRI – ne duomenų bazė, skirta informacijai rinkti ilgą laiką, bet centralizuotas būdas leisti EEE valstybių narių nacionalinėms valdymo institucijoms keistis informacija, kai duomenys laikomi ribotą laikotarpį.
      
         VRI prisijungimo puslapis
      
      
         
      Naudojantis VRI dabar keičiamasi informacija pagal Profesinių kvalifikacijų direktyvą, o nuo 2009 m. pabaigos ja taip pat bus keičiamasi informacija pagal Paslaugų direktyvą. Ateityje ja gali būti naudojamasi siekiant keistis informacija kitose vidaus rinkos teisės aktų srityse. Atnaujintą tokių teisės aktų sričių sąrašą visada galima rasti Sprendimo 2008/49/EB priede. Šis priedas bus retkarčiais iš dalies keičiamas. VRI negali būti naudojama informacijos mainams teisės aktų srityse, kurios konkrečiai nenurodytos šiame priede.
      
         Programos, skirtos kompetentingoms institucijoms, sprendžiančioms profesinės kvalifikacijos klausimus, rodinio pavyzdys
      
      
         
      Kad vidaus rinka gerai veiktų, labai svarbu, kad nacionalinės valdžios institucijos bendradarbiautų. Nesant praktinių administracinio bendradarbiavimo priemonių, Europos piliečiai negali pasinaudoti pagrindinėmis vidaus rinkos teisėmis, kaip antai laisvė įsisteigti kitoje valstybėje narėje arba laisvė teikti paslaugas kitose valstybėse.
      
         Keli pavyzdžiai
      
      Berlyne gyvenanti vokietė gydytoja išteka už prancūzo ir nusprendžia pradėti naują gyvenimą Paryžiuje. Vokietė gydytoja nori verstis gydytojo praktika Prancūzijoje, todėl pateikia gydytojų institucijai Prancūzijoje savo diplomus ir nurodo mokslinį laipsnį. Jos bylą tvarkančiam asmeniui kyla abejonių dėl vieno iš diplomų autentiškumo ir jis pasinaudoja VRI, kad susisiektų su kompetentinga institucija Berlyne ir jį patikrintų.
      Prancūzijoje veikianti prancūzų pramoninio valymo bendrovė teikia valymo paslaugas ir kitos valstybės (Ispanijos) Katalonijos regione. Ispanijos NVO pateikia skundą Katalonijos aplinkos apsaugos departamentui dėl to, kad prancūzų bendrovė neturi kompetentingos darbo jėgos, kurios reikia dirbant su tam tikromis valymo medžiagomis. Kompetentinga Katalonijos institucija pasinaudoja VRI, kad nustatytų, ar valymo bendrovė Prancūzijoje veikia legaliai.
      Administracinis bendradarbiavimas ES – nelengva užduotis. Kyla kalbos kliūčių (ES vartojamos 23 oficialiosios kalbos), trūksta administracinių tarpvalstybinio bendradarbiavimo procedūrų, skirtingos administracinės struktūros ir kultūra, trūksta aiškiai identifikuotų partnerių kitose valstybėse narėse.
      Nors pačios valstybės narės turi užtikrinti, kad vidaus rinkos teisės aktai jų teritorijose veiktų veiksmingai, Komisija mano, kad valstybėms narėms reikia priemonių, kurios leistų dirbti kartu. VRI sukurta turint omenyje šią idėją: identifikuoti tinkamas kompetentingas institucijas kitoje valstybėje narėje (paieškos funkcija), valdyti informacijos mainus naudojantis paprastomis ir vienodomis procedūromis ir pašalinti kalbos kliūtis naudojantis iš anksto apibrėžtų ir išverstų klausimų rinkiniais.
      
         Momentinės ekrano kopijos, kuriose matyti klausimai dviejų informacijos mainuose dalyvaujančių kompetentingų institucijų kalbomis
      
      
         
      
         
      2.   ŠIŲ GAIRIŲ APRĖPTIS IR TIKSLAS
      VRI naudotojai – tam tikros kompetencijos (tai gali būti taisyklės, kuriomis reglamentuojama profesija, ar paslaugų teikimo nuostatai) specialistai. Tačiau jie nėra duomenų apsaugos specialistai ir ne visada gali pakankamai žinoti duomenų apsaugos reikalavimus, nustatytus jų šalies duomenų apsaugos teisės aktuose.
      Todėl rekomenduotina VRI naudotojams pateikti gaires, kuriose būtų paaiškintas VRI veikimas duomenų apsaugos požiūriu, taip pat į sistemą įdiegtos apsaugos priemonės ir su sistemos naudojimu susiję galimi pavojai (1).
      Šios gairės turėtų būti ne išsami visų su VRI susijusių duomenų apsaugos klausimų apžvalga, bet naudotojui suprantamas paaiškinimas, pateikiant reikalavimų laikymosi sistemą, kurią galėtų suprasti visi VRI naudotojai. Prireikus VRI naudotojai visada gali gauti gairių ir pagalbos iš valstybėse narėse veikiančių duomenų apsaugos institucijų. Tokių institucijų sąrašą, jų duomenis ryšiams ir tinklalapius galima rasti
      http://ec.europa.eu/justice_home/fsj/privacy/nationalcomm/index_en.htm
      3.   DUOMENŲ APSAUGAI PALANKI APLINKA
      VRI sukurta atsižvelgiant į duomenų apsaugos teisės aktų reikalavimus ir nuo pat jos sumanymo sukurta duomenų apsaugai palanki aplinka.
      VRI naudotojai gali būti tikri, kad duomenų apsaugos požiūriu VRI yra patikima programa ir tai galima įrodyti keletu paprastų pavyzdžių:
      
                  a)
               
               
                  VRI naudoja tik Europos ekonominėje erdvėje (ES valstybės narės, Norvegija, Islandija bei Lichtenšteinas) esančios kompetentingos institucijos, asmens duomenys neperduodami už EEE ribų.
               
            
                  b)
               
               
                  Europos Komisija ir VRI koordinatoriai (2) neturi prieigos prie darbuotojų ar paslaugų teikėjų asmens duomenų, kuriais keičiamasi sistemoje.
               
            
                  c)
               
               
                  Paslaugų teikėjo asmens duomenis gali matyti tik su informacijos prašymu susijusios kompetentingos institucijos (3). Iš tikrųjų apsauga aprėpia tiek, kad prašymo adresatas negalėtų matyti paslaugų teikėjo asmens informacijos, kol adresatas oficialiai prašymo nepriima.
                  
                     Prašymo rodinio prieš gavėjui jį priimant pavyzdys
                  
                  
                     
               
            
                  d)
               
               
                  Visi su prašymais susiję asmens duomenys automatiškai ištrinami iš sistemos praėjus šešiems mėnesiams nuo prašymo užbaigimo ar net anksčiau, jei to paprašo dalyvaujančios kompetentingos institucijos (daugiau informacijos žr. 12 skyriuje „Duomenų laikymo laikotarpis“).
               
            4.   KAS YRA KAS VRI? BENDRO VALDYMO KLAUSIMAS
      VRI – aiškus bendrų tvarkymo operacijų ir bendro valdymo pavyzdys. Pavyzdžiui, nors asmens duomenimis keistis gali tik valstybių narių kompetentingos institucijos, už tokių duomenų laikymą savo serveriuose atsakinga Europos Komisija. Nors Europos Komisijai neleidžiama matyti tų asmens duomenų, fiziškai ištrinti ar ištaisyti duomenis gali tik sistemos operatorius.
      Kitaip tariant dėl skirtingos atsakomybės paskirstymo Komisijai ir valstybėms narėms:
      
                  a)
               
               
                  kiekviena kompetentinga institucija ir kiekvienas VRI koordinatorius yra savo duomenų tvarkymo veiklos valdytojas;
               
            
                  b)
               
               
                  Komisija nėra naudotojas, ji – sistemos operatorė, pirmiausia atsakinga už sistemos techninę priežiūrą ir saugumą (4);
               
            
                  c)
               
               
                  VRI dalyviai dalijasi atsakomybe, susijusia su pranešimų teikimu ir prieigos prie duomenų, prieštaravimo jų tvarkymui ir jų ištaisymo teisėmis.
               
            Sudėtinguose bendro valdymo scenarijuose, kaip antai VRI atveju, reikalavimų laikymosi požiūriu atrodo veiksmingiausia nuo pat pradžios į sistemą įdiegti duomenų apsaugą (žr. 13 skyriaus „Bendradarbiavimas su nacionalinėmis duomenų apsaugos institucijomis ir EDAP“ skirsnį „Vykstantis darbas“) ir apibrėžti reikalavimų laikymosi sistemą, kaip numatyta šiose gairėse. Už sistemos reikalavimų laikymąsi atsakingi visi VRI dalyviai ir naudotojai.
      5.   VRI DALYVIAI IR NAUDOTOJAI
      Visi dalyviai, kurie naudojasi VRI, patvirtinami VRI koordinatorių. Dalyviai ir naudotojai, taip pat jų funkcijos, teisės ir įsipareigojimai išsamiai aprašyti Sprendimo 2008/49/EB 6–12 straipsniuose. Todėl šiose gairėse jų dar kartą nurodyti nereikia.
      Svarbu suprasti, kad VRI yra labai lanksti sistema, kuria valstybės narės gali paskirstyti atsakomybę ir funkcijas kompetentingoms institucijoms ir koordinatoriams daugeliu įvairių būdų, kad būtų laikomasi jų konkrečios administracinės struktūros ir teisės aktų sričių, kurias aprėpia administracinis bendradarbiavimas.
      Taip pat svarbu nepamiršti, kad VRI naudotojai valstybėse narėse yra atsakingi už daugelį kitų duomenų tvarkymo operacijų. VRI duomenų apsaugos reikalavimų laikymasis neturi būti per daug sudėtingas ar sudaryti per didelės administracinės naštos. Jis taip pat neturi nesąlygiškai tikti visiems.
      Daugeliu atvejų kompetentingoms institucijoms paprasčiausiai reikia atlikti duomenų tvarkymo operacijas VRI viduje laikantis vienodų taisyklių ir gerosios patirties, kuria jos paprastai vadovaujasi veikdamos kaip duomenų valdytojos, atsižvelgdamos į savo konkrečius poreikius ir savo valstybių narių duomenų apsaugos įstatymus.
      Jos taip pat turėtų pasinaudoti VRI siūloma duomenų apsaugai palankia aplinka. Pavyzdžiui, jos raginamos prašyti, kad asmens duomenys, kuriais buvo apsikeista, būtų ištrinti iš VRI net nepraėjus šešių mėnesių laikotarpiui, jei informacijos mainų nebereikia laikyti VRI.
      6.   TEISINIS VRI ASMENS INFORMACIJOS MAINŲ PAGRINDAS
      Komisija priėmė Sprendimą 2008/49/EB, kuriame nustatytos VRI dalyvių ir naudotojų funkcijos, teisės ir įsipareigojimai, susiję su VRI įgyvendinimu asmens duomenų apsaugos atžvilgiu.
      Ne visa informacija, kuria keičiamasi VRI, yra asmens duomenys. Pavyzdžiui, informacija, kuria keičiamasi, gali būti susijusi su juridiniais asmenimis (5) arba klausimas ir atsakymas gali būti nesusiję su jokiu konkrečiu asmeniu (pvz., bendras klausimas, ar profesija reglamentuojama tam tikroje valstybėje narėje).
      Tačiau daugeliu atvejų informacijos mainai susiję su asmenimis, todėl turi būti teisinis asmens duomenų tvarkymo pagrindas. VRI naudojimu dažnai suinteresuotas duomenų subjektas. Nepaisant to, net jei duomenų subjektas nebūtinai suinteresuotas informacijos mainais, per VRI gali vykti informacijos mainai tarp kompetentingų institucijų, jei tokių mainų reikalaujama pagal specialų teisinį pagrindą.
      Direktyvos 95/46/EB 7 straipsnyje nurodytas teisinis asmens duomenų tvarkymo pagrindas. Keičiantis duomenimis VRI, svarbiausi yra 7 straipsnio c ir e punktai.
      I)   Vykdant teisinę prievolę (7 straipsnio c punktas).
      Apskritai ES valstybės narės turi pareigą bendradarbiauti tarpusavyje ir su Bendrijos institucijomis. Administracinio bendradarbiavimo pareiga aiškiai ir konkrečiai nustatyta Direktyvoje 2005/36/EB (Profesinių kvalifikacijų pripažinimas) ir Direktyvoje 2006/123/EB (Paslaugų direktyva).
      Profesinių kvalifikacijų direktyvos 56 straipsnio 1 ir 2 punkte nustatyta:
      
         „1.   Priimančiosios valstybės narės ir kilmės valstybės narės kompetentingos institucijos glaudžiai bendradarbiauja ir teikia abipusę pagalbą, kad šią direktyvą būtų lengviau įgyvendinti. Jos užtikrina informacijos, kuria keičiasi, konfidencialumą.
         2.   Priimančiosios ir kilmės valstybės narės kompetentingos institucijos keičiasi informacija apie drausminius veiksmus ar baudžiamąsias sankcijas, kurių imtasi, arba bet kokias kitas rimtas, savitas aplinkybes, kurios gali turėti pasekmių pagal šią direktyvą vykdomai veiklai, gerbdamos asmens duomenų apsaugos teisės aktus, numatytus 1995 m. spalio 24 d. . Europos Parlamento ir Tarybos direktyvoje 95/46/EB dėl asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir 2002 m. liepos 12 d. Europos Parlamento ir Tarybos direktyvoje 2002/58/EB dėl asmens duomenų tvarkymo ir privatumo apsaugos elektroninių ryšių sektoriuje (Direktyva dėl privatumo ir elektroninių ryšių, OL L 201, 2002 7 31, p. 37).“
      
      Paslaugų direktyvos 28 straipsnio 1 ir 6 punkte nustatyta:
      
         „1.   Valstybės narės teikia abipusę pagalbą ir, siekdamos užtikrinti teikėjų ir jų teikiamų paslaugų priežiūrą, imasi veiksmingam abipusiam bendradarbiavimui būtinų priemonių […]
         6.   Valstybės narės teikia kitų valstybių narių arba Komisijos reikalaujamą informaciją elektroninėmis priemonėmis ir kuo greičiau.“
      
      Paslaugų direktyvos 34 straipsnio 1 punkte nustatyta:
      
         „1.   Bendradarbiaudama su valstybėmis narėmis Komisija sukuria elektroninę sistemą valstybėms narėms keistis informacija, atsižvelgdama į esamas informacines sistemas.“
      
      II)   Vykdant užduotį, atliekamą visuomenės labui, arba įgyvendinant oficialius įgaliojimus, suteiktus duomenų valdytojui (7 straipsnio e punktas).
      VRI dalyviai ir naudotojai vykdo užduotis visuomenės labui arba įgyvendina jiems suteiktus oficialius įgaliojimus. Bet kokią registraciją VRI sistemoje patvirtina VRI koordinatorius, įsitikinęs, kad konkreti kompetentinga institucija vykdo savo užduotis visuomenės labui (pvz., gydytojų ar veterinarijos organizacijos, užtikrinančios, kad jų nariai laikytųsi etikos ar higienos taisyklių) arba įgyvendina jai suteiktus oficialius įgaliojimus (pvz., švietimo ministerijos, užtikrinančios, kad vidurinės mokyklos mokytojai turėtų tinkamą kvalifikaciją).
      Remiantis tuo, kas išdėstyta, jūs galite naudotis VRI pasikeisti asmens duomenimis pagal Profesinių kvalifikacijų ir Paslaugų direktyvas jų nuostatose nustatytais tikslais. VRI negali būti keičiamasi informacija, susijusia su kitais vidaus rinkos teisės aktais. Jei bet kuriame etape VRI aprėptis išsiplės ir bus įtraukti kiti teisės aktai, Sprendimo 2008/49/EB priede bus įrašytos tam tikros nuorodos į susijusius Bendrijos teisės aktus.
      7.   GALIOJANČIOS TEISĖS IR TINKAMOS PRIEŽIŪROS KLAUSIMAS
      Kuris duomenų apsaugos teisės aktas galioja, priklauso nuo to, kas yra VRI dalyvis ar naudotojas. Pavyzdžiui, Europos Komisijai taikomas Duomenų apsaugos reglamentas (EB) Nr. 45/2001. Nacionaliniam naudotojui (pvz., kompetentingai institucijai) galioja tos valstybės duomenų apsaugos įstatymas, kuris privalo atitikti Direktyvą 95/46/EB (Duomenų apsaugos direktyvą).
      Europos Sąjunga turi tvirtą teisinę duomenų apsaugos sistemą, nustatytą šioje direktyvoje ir Reglamente (EB) Nr. 45/2001 (6). Duomenų apsaugos direktyvoje valstybėms narėms suteikta tam tikro lankstumo. Todėl VRI nacionaliniams koordinatoriams patartina aptarti šias gaires su savo duomenų apsaugos institucijomis, pavyzdžiui, dėl informacijos, kuri pateiktina asmenims, detalių (apie tai žr. 9 skyrių) ar dėl pareigos apie tam tikras duomenų tvarkymo operacijas pranešti duomenų apsaugos institucijoms.
      Direktyva 95/46/EB – vidaus rinkos direktyva, kurios paskirtis dvejopa. Suderinti nacionalinius duomenų apsaugos teisės aktus siekiama tam, kad būtų užtikrinta aukšto lygio duomenų apsauga bei apsaugotos pagrindinės asmenų teisės ir kad būtų įmanomas laisvas asmens duomenų judėjimas tarp valstybių narių. Todėl nacionalinės specifikacijos neturėtų turėti jokio praktinio ar didelio poveikio VRI naudojimui ir informacijos mainams, kurių reikalaujama pagal kitus Bendrijos teisės aktus.
      Vienas iš svarbiausių ES duomenų apsaugos teisinės sistemos bruožų – viešųjų nepriklausomų duomenų apsaugos institucijų vykdoma priežiūra. Todėl piliečiai gali pateikti skundus tokioms institucijoms, siekdami, kad jų duomenų apsaugos problemos būtų išspręstos greitai ir nesikreipiant į teismą. Asmens duomenų tvarkymą nacionaliniu lygmeniu prižiūri nacionalinės duomenų apsaugos institucijos, o asmens duomenų tvarkymą Europos institucijose prižiūri Europos duomenų apsaugos priežiūros pareigūnas (EDAPP). Taigi Europos Komisiją prižiūri EDAPP, o kitus VRI naudotojus – susijusios nacionalinės duomenų apsaugos institucijos. Daugiau informacijos apie tai, kaip nagrinėjami skundai ar duomenų subjektų prašymai, žr. 10 skyrių apie teisę susipažinti su duomenimis ir juos ištaisyti ir 13 skyrių apie bendradarbiavimą su duomenų apsaugos institucijomis ir EDAPP.
      8.   INFORMACIJOS MAINAMS TAIKOMI DUOMENŲ APSAUGOS PRINCIPAI
      Pagal EB teisę asmens duomenys gali būti tvarkomi tam tikromis sąlygomis (žr. 6 skyrių „Teisinis VRI asmens informacijos mainų pagrindas“) ir laikantis tam tikrų principų, kurie Duomenų apsaugos direktyvoje vadinami duomenų kokybės principais (žr. direktyvos 6 straipsnį).
      Duomenų valdytojai turėtų rinkti asmens duomenis tik teisėtais ir konkrečiais tikslais ir netvarkyti jų jokiais kitais tikslais, kurie būtų nesuderinami su tais, kurie nurodyti duomenis renkant. Klasikinis nesuderinamų tikslų pavyzdys būtų atvejis, kai kompetentinga institucija parduoda privačioms bendrovėms rinkodaros tikslais adreso duomenis, surinktus siekiant tvarkyti migruojančių darbuotojų bylas pagal Paslaugų direktyvą.
      Be to, asmens duomenų tvarkymas turi būti proporcingas (adekvatus, tiesiogiai susijęs ir ne per didelis) rinkimo tikslams ir valdytojas taip pat privalo imtis pagrįstų priemonių užtikrinti, kad duomenys būtų atnaujinami ir sunaikinami ar paverčiami anonimiškais, kai nebereikia identifikuoti duomenų subjekto. Duomenų kokybės principai – gero informacijos valdymo principai, nes gera informacijos sistema ne ta, kurioje laikomi gigabaitai duomenų be jokios konkrečios priežasties ir kuri greitai pasensta ir tampa nepatikima. Geroje elektroninėje informacijos sistemoje turėtų būti renkami tik tie duomenys, kurių reikia iš anksto nustatytais tikslais, ir tokie duomenys turėtų būti atnaujinami, kad jais būtų galima visiškai pasikliauti.
      Taikant tokius duomenų kokybės principus VRI veikimui, pateikiamos šios rekomendacijos:
      
                  1)
               
               
                  VRI turėtų būti naudojama tik griežtai tais tikslais, kurie nustatyti galiojančiuose teisės aktuose (pvz., kai yra pagrįstų dvejonių ar dėl kitų priežasčių, nurodytų galiojančiuose teisės aktuose). Kadangi tikimasi, kad kompetentingoms institucijoms taps įprasta keistis informacija naudojant VRI, todėl turi būti visiškai aišku, kad VRI neturėtų būti sistemingai naudojama siekiant atlikti migruojančių darbuotojų ar paslaugų teikėjų asmens patikrinimus.
               
            
                  2)
               
               
                  Prašymą atsiuntusi kompetentinga institucija turėtų pateikti tik tuos asmens duomenis, kurių atsakymą teikiančiai institucijai reikia, kad ji galėtų vienareikšmiškai identifikuoti tą asmenį ar atsakyti į klausimus. Pavyzdžiui, jei migruojantis darbuotojas gali būti identifikuotas pagal pavardę ir registracijos numerį darbuotojų registre, neturėtų reikėti pateikti ir jo asmens kodo.
               
            
                  3)
               
               
                  VRI naudotojai turėtų atidžiai parinkti klausimus ir neklausti daugiau, nei neabejotinai būtina. Tai susiję ne tik su duomenų kokybės principų laikymusi, bet ir su administracinės naštos mažinimu. Siekiant skaidrumo, iš anksto nustatytų klausimų rinkinys skelbiamas VRI tinklalapyje (7).
                  
                     Kas yra ypatingi duomenys ?
                      (8)
                  
                  Tai duomenys apie rasinę ar etninę kilmę, politines pažiūras, religinius ar filosofinius įsitikinimus, narystę profesinėje sąjungoje, sveikatą, lytinį gyvenimą, nusikaltimus, teistumą ar apsaugos priemones. Kai kuriose valstybėse narėse ypatingais duomenimis gali būti laikoma informacija apie administracines sankcijas ar nuosprendžius.
               
            
                  4)
               
               
                  Kompetentingos institucijos turi būti labai budrios, kai keičiasi informacija, susijusia su ypatingais duomenimis. Ypatingų duomenų mainai galimi tik esant keletui tam tikrų aplinkybių. Svarbiausi reikalavimai VRI tvarkant ypatingus duomenis yra tokie:
                  
                              a)
                           
                           
                              tvarkomi tokie duomenys, kurie yra reikalingi nustatyti, įvykdyti ar apginti teisinius ieškinius (žr. Duomenų apsaugos direktyvos 8 straipsnio 2 dalies e punktą ir atitinkamas nacionalinės teisės nuostatas).
                              Tai gali būti taikoma VRI duomenų mainams, kai migruojantis darbuotojas ar paslaugų teikėjas teigia, kad turi teisę verstis profesine veikla ar yra įsisteigęs kitoje valstybėje narėje. Kiekvienu atveju kompetentingos institucijos privalo atidžiai įvertinti, ar siekiant nustatyti tokią teisę iš tikrųjų neabejotinai būtina naudotis ypatingais duomenimis.
                              Dėl tam tikrų konkrečių ypatingų duomenų mainų VRI, valstybės narės patvirtino specialias nuostatas Profesinių kvalifikacijų direktyvoje ir Paslaugų direktyvoje:
                              
                                          1)
                                       
                                       
                                          Profesinių kvalifikacijų direktyvos 56 straipsnio 2 dalyje nustatyta, kad „Priimančiosios ir kilmės valstybės narės kompetentingos institucijos keičiasi informacija apie drausminius veiksmus ar baudžiamąsias sankcijas, kurių imtasi, arba bet kokias kitas rimtas, savitas aplinkybes, kurios gali turėti pasekmių pagal šią direktyvą vykdomai veiklai, gerbdamos asmens duomenų apsaugos teisės aktus […]“
                                       
                                    
                                          2)
                                       
                                       
                                          Paslaugų direktyvos 33 straipsnyje numatytos specialios taisyklės, taikomos informacijos apie gerą migruojančio paslaugų teikėjo reputaciją mainams: „Laikydamosi nacionalinės teisės aktų valstybės narės kitos valstybės narės kompetentingos institucijos prašymu teikia informaciją apie drausminius ar administracinius veiksmus arba baudžiamąsias sankcijas ir sprendimus, susijusius su nemokumu ar bankrotu […]“
                                       
                                    
                        
                              b)
                           
                           
                              The data subject gives his explicit consent. If the administrative cooperation is in the data subject’s interest, it may not be difficult to obtain the data subject’s explicit consent for the processing of personal data.
                           
                        
            
                  5)
               
               
                  Duomenų subjektas duoda aiškų sutikimą. Jei duomenų subjektas suinteresuotas administraciniu bendradarbiavimu, neturėtų būti sunku gauti aiškų duomenų subjekto sutikimą tvarkyti asmens duomenis. Dėl informacijos, susijusios su nuosprendžių registre esančia informacija, kurios tikslumas ir naujumas yra labai svarbus, būtinas ypatingas atsargumas. Todėl reikia ne tik laikytis kitų šioje rekomendacijoje minimos Duomenų apsaugos direktyvos ir reglamento principų (9), bet ir tokios kategorijos informacijos turėtų būti prašoma, kai tai leistina pagal susijusius Bendrijos aktus ir neabejotinai būtina siekiant priimti sprendimą ypatingu atveju, kuris tiesiogiai susijęs su prašymu. Kitaip tariant, duomenų tvarkymas turi būti tiesiogiai susijęs su profesinės veiklos vykdymu ar paslaugų teikimu ir būtinas siekiant patikrinti, ar laikomasi susijusios direktyvos nuostatų. VRI naudotojai turėtų visada turėti omenyje, kad daugeliu atvejų informacija, būtina priimant sprendimą, neturi būti susijusi konkrečiai su migruojančio darbuotojo ar paslaugų teikėjo informacija iš nuosprendžių registro.
                  Iš tikrųjų VRI klausimų rinkinyje yra tik keli klausimai, susiję su nuosprendžių registru ar kitais ypatingais duomenimis (10). Be šių ribotų atvejų, ypatingų duomenų mainai turėtų vykti tik tais išskirtiniais atvejais, kai konkrečios atvejo aplinkybės yra tokios, kad ypatingi duomenys yra tiesiogiai susiję su vertimusi konkrečia veikla ir neabejotinai būtini nustatant teisinius ieškinius.
                  Kompetentingos institucijos privalo VRI nenaudoti įprastiems migruojančių darbuotojų kriminalinės praeities patikrinimams, nes tai neatitiktų VRI įdiegimo tikslo. Bet koks pasiteiravimas apie nusikaltimus ar drausmines priemones turi būti taip pat susijęs su konkrečia profesija ar paslaugomis, bet ne su kitais nusikaltimais ar drausminėmis priemonėmis, kurių galėjo būti migruojančio darbuotojo kilmės šalyje. Pavyzdžiui, siekiant nustatyti, ar gydytojas teisėtai registruotas ir turi gerą reputaciją gydytojų institucijoje, prašymą atsiuntusioji kompetentinga institucija neturi žinoti, ar gydytojas yra padaręs kelių eismo nusižengimų ir apie tai įrašyta nuosprendžių registre, nes toks nusižengimas netrukdytų jam atlikti gydytojo darbo savo šalyje.
               
            
         Tolesnio duomenų tvarkymo ir laikymo už VRI ribų klausimas
      
      VRI naudojimas bus dažnai susijęs su informacijos teikimu kitai tvarkymo operacijai, kuri vyksta valstybėje narėje (pvz., tvarkant prašymą teikti paslaugą ar išduoti licenciją tam tikrai veiklai). Todėl įprasta, kad kompetentinga institucija toliau tvarkys tokiais tikslais gautus duomenis. Kai duomenys gaunami per VRI ir toliau tvarkomi už sistemos ribų, vis tiek taikomi nacionalinės duomenų apsaugos teisės aktai. Todėl reikėtų įsitikinti, kad:
      
                  —
               
               
                  toks tolesnis tvarkymas nėra nesuderinamas su VRI vykusio duomenų rinkimo ir mainų tikslais,
               
            
                  —
               
               
                  toks tolesnis tvarkymas būtinas ir proporcingas (adekvatus, tiesiogiai susijęs ir ne per didelis) pirminiams duomenų rinkimo VRI tikslams,
               
            
                  —
               
               
                  imamasi pagrįstų priemonių duomenims atnaujinti ir ištrinti, kai jų nebereikia,
               
            
                  —
               
               
                  kai duomenys gaunami iš VRI ir atskleidžiami trečiajai šaliai, duomenų subjektas turi būti informuojamas apie tokią aplinkybę, kad būtų užtikrintas sąžiningas duomenų tvarkymas, išskyrus tuos atvejus, kai tai būtų neįmanoma ar reikėtų neproporcingų pastangų, arba jei atskleisti duomenis aiškiai reikalaujama įstatymuose (žr. Duomenų apsaugos direktyvos 95/46/EB 11 straipsnio 2 dalį). Atsižvelgiant į tai, kad atskleisti duomenis gali būti reikalaujama tik vienos dalyvaujančios valstybės narės įstatymuose, o plačiau apie tai gali būti nežinoma kitur, Komisija siūlo, kad būtų dedamos pastangos teikti informaciją, net kai įstatymuose aiškiai reikalaujama atskleisti informaciją.
               
            9.   INFORMACIJOS TEIKIMAS DUOMENŲ SUBJEKTAMS
      Vienas iš bet kurios duomenų apsaugos sistemos ramsčių yra tas, kad duomenų valdytojai teikia informaciją duomenų subjektams apie tvarkymo operacijas, kurias ketina vykdyti jų asmens duomenų atžvilgiu.
      Duomenų apsaugos direktyvos 10 straipsnyje nustatyta, kad tuo metu, kai renkami duomenys, duomenų subjektui privalo būti suteikta bent jau informacija apie valdytojo tapatybę, tvarkymo tikslus, duomenų gavėjus ar gavėjų kategorijas, taip pat apie tai, ar privaloma atsakyti į klausimus ir galimas neatsakymo pasekmes, taip pat teisę susipažinti su duomenimis ir juos ištaisyti.
      Todėl, rinkdama asmens duomenis iš asmens, kompetentinga institucija privalo informuoti duomenų subjektą, kad duomenys gali būti įvesti į VRI siekiant susirašinėti su kitomis valstybės valdymo institucijomis kitose valstybėse narėse tokio asmens prašymo tikslais ir kad prireikus toks asmuo galėtų prašyti prieigos prie duomenų, kurie gaunami iš bet kurios tvarkant prašymą dalyvaujančios kompetentingos institucijos, ar tokių duomenų ištaisymo (daugiau informacijos apie tai žr. 10 skyrių dėl teisės susipažinti su duomenimis ir juos ištaisyti).
      Todėl kiekviena kompetentinga institucija nusprendžia, kaip duomenų subjektams suteikti tokią informaciją. Kadangi beveik visos (jei ne visos) kompetentingos institucijos vykdys ne tik informacijos mainus VRI, bet ir atliks kitas tvarkymo operacijas, asmenis prireikus jos gali informuoti taip pat, kaip pasirinkta teikti panašią informaciją kitoms tvarkymo operacijoms pagal nacionalinę teisę (pvz., plakatuose, susirašinėjant su duomenų subjektais ir (arba) tinklalapiuose).
      
         Informacijos teikimas pagal Duomenų apsaugos direktyvą
      
      Duomenų apsaugos direktyvos 10 straipsnyje pateikiamas sąrašas, kuriame nurodyta bent tokia informacija, kuri turi būti teikiama asmenims, jeigu jie jos dar neturi:
      
                  a)
               
               
                  duomenų valdytojo ar valdytojų tapatybė (duomenis renkanti kompetentinga institucija ir panašios institucijos kitose valstybėse narėse);
               
            
                  b)
               
               
                  duomenų tvarkymo tikslas (susirašinėjimas su kitomis institucijomis, susijęs su migruojančio darbuotojo ar paslaugų teikėjo prašymu);
               
            
                  c)
               
               
                  bet kuri kita informacija, kiek jos reikia siekiant užtikrinti sąžiningą duomenų tvarkymą arba jei teikti kitą informaciją reikalaujama pagal nacionalinę teisę, pvz.:
                  
                              1)
                           
                           
                              duomenų gavėjai ar gavėjų kategorijos;
                           
                        
                              2)
                           
                           
                              teisė susipažinti su duomenimis, susijusiais su jais, ir duomenų ištaisymo teisė, kaip tokiomis teisėmis galima pasinaudoti praktiškai ir bet kurios šioms teisėms taikomos išimtys pagal nacionalinę teisę;
                           
                        
                              3)
                           
                           
                              ) žalos atlyginimo teisė (pvz., galimybė kreiptis į teismus ir teisė reikalauti kompensuoti žalą);
                           
                        
                              4)
                           
                           
                              duomenų laikymo ir saugojimo laikotarpis;
                           
                        
                              5)
                           
                           
                              apsaugos priemonės;
                           
                        
                              6)
                           
                           
                              nuorodos į susijusius dokumentus ir tinklalapius, įskaitant Komisijos VRI tinklalapį.
                           
                        
            Duomenų apsaugos direktyvoje numatyti du atvejai, kuriais informacija privalo būti suteikta duomenų subjektams: kai duomenys renkami tiesiogiai iš jų ir kai duomenys gaunami iš kur nors kitur. Tačiau pastaruoju atveju direktyvos 11 straipsnyje yra pagrįstumo taisyklė, pagal kurią nebūtina teikti tokią informaciją, jeigu tam reikia neproporcingų pastangų arba jeigu įstatymai aiškiai reikalauja duomenis įrašyti ar atskleisti (taip yra ir keičiantis informacija VRI), nors direktyvoje toliau sakoma, kad tokiais atvejais „valstybės narės užtikrina tinkamas apsaugos priemones“.
      Todėl kompetentingoms institucijoms gali reikėti reglamentuoti informacijos teikimą duomenų subjektams savo atitinkamuose nacionaliniuose duomenų apsaugos įstatymuose, galbūt pasikonsultavus su nacionaliniais VRI koordinatoriais ir nacionalinėmis duomenų apsaugos institucijomis. Rekomenduojama laikytis pakopų metodo, kai pagrindinė informacija teikiama renkant (pvz., prašymų kompetentingoms institucijoms formose) kartu su nurodymu, kur duomenų subjektai gali gauti išsamesnės informacijos, jei susidomėtų.
      Šiuo antruoju atveju, kai informacija yra išsamesnė, veiksmingas būdas teikti informaciją duomenų subjektams – privatumo politiką nurodyti ar pareiškimus apie privatumo pateikti apsaugą tinklalapiuose.
      Jei kompetentingos institucijos jau turi tokius pareiškimus apie privatumo apsaugą, jos turėtų juos atnaujinti ar papildyti ir konkrečiai nurodyti asmens duomenų mainus VRI. Jei taip nėra, kompetentingos institucijos turėtų nuspręsti, ar VRI naudojimas ir renkamų asmens duomenų kiekis pateisina pareiškimo apie privatumo apsaugą internete rengimą.
      Tais atvejais, kai VRI naudojama tik retsykiais, gali pakakti trumpai informuoti asmenis apie VRI tuo metu, kai renkami duomenys ir vėliau, kai prireikia. Tokiais atvejais, kai kompetentinga institucija duomenų subjektams nepateikia konkretaus su VRI susijusio pareiškimo apie privatumo apsaugą, kompetentinga institucija turėtų aiškiai nurodyti, kur duomenų subjektai gali gauti išsamesnės informacijos, pavyzdžiui, nacionalinio VRI koordinatoriaus tinklalapyje ir Komisijos VRI tinklalapyje.
      Komisijos VRI tinklalapio duomenų apsaugos skyriuje (11) pateiktas Komisijos VRI pareiškimas apie privatumo apsaugą. Jame taip pat pateikiama papildoma informacija duomenų subjektams apie tai, kaip pasinaudoti savo teisėmis ir prireikus gauti pagalbos iš nacionalinių kompetentingų institucijų ar duomenų apsaugos institucijų:
      
         „Jei manote, kad jūsų asmens duomenys yra VRI ir norėtumėte juos peržiūrėti, ištrinti arba pataisyti, susisiekite su administracija arba profesine organizacija, su kuria turėjote ryšių, arba su bet kuriuo kitu jūsų užklausos tvarkymo procedūroje dalyvavusiu VRI naudotoju. Jei būtumėte nepatenkintas atsakymu, galite kreiptis į kitą VRI naudotoją arba pateikti skundą kurio nors užklausos tvarkymo procedūroje dalyvavusio VRI naudotojo duomenų apsaugos institucijai. Ji jums padės nemokamai. Duomenų apsaugos institucijų sąrašą rasite šiuo adresu:
         http://ec.europa.eu/justice_home/fsj/privacy/nationalcomm/index_en.htm
         Primename, kad kai kurių šalių teisės aktuose gali būti numatyta išimčių, susijusių su jūsų prieigos prie asmens duomenų teise.“
      
      Labai rekomenduojama, kad svarbūs VRI dalyviai, tvarkantys daug prašymų, savo tinklalapiuose skelbtų apie vykdomą privatumo politiką. Skelbiant apie tokią privatumo politiką reikėtų pateikti nuorodą į Komisijos VRI tinklalapio duomenų apsaugos skyrių. Kitos kompetentingos institucijos, kurios tvarko nedaug prašymų, gali pirmiausia naudotis nuoroda į Komisijos VRI tinklalapį.
      Pagalbą kompetentingoms institucijoms turėtų teikti nacionaliniai VRI koordinatoriai. Tai gali būti pagalba rengiant pareiškimo apie privatumo apsaugą pavyzdį, kurį nacionalinės kompetentingos institucijos gali naudoti kaip šabloną. Kitais atvejais nacionalinis koordinatorius gali parengti ir internete paskelbti bendrą nacionalinį pareiškimą apie privatumo apsaugą ir kiekviena kompetentinga institucija, bendraudama su duomenų subjektais, galėtų paprasčiausiai pateikti nuorodą į šį pranešimą (pvz., prašymo formose ar kituose duomenų subjektams teikiamuose dokumentuose).
      
         EUROPOS KOMISIJOS PAREIŠKIMAS APIE PRIVATUMO APSAUGĄ
      
      
         Vidaus rinkos informacinė sistema (VRI, angl. IMI)
      
      1.   VRI paskirtis ir dalyviai
      
      VRI skirta administraciniam bendradarbiavimui ir valstybių narių savitarpio pagalbos teikimui palengvinti, siekiant užtikrinti tinkamą vidaus rinkos veikimą ir laisvą asmenų bei paslaugų judėjimą. Ši sistema – tai priemonė EEE valstybių narių nacionalinėms valdžios įstaigoms keistis informacija (įskaitant ir tam tikrus asmens duomenis).
      Šis pareiškimas apie privatumo apsaugą susijęs su ta VRI dalimi, už kurią atsakinga Europos Komisija, t. y. su nacionalinių VRI koordinatorių pirmųjų registruotų naudotojų asmens duomenų rinkimu, registravimu, saugojimu ir šalinimu, bet ne su kitų VRI naudotojų ir asmenų, kurių informacija keičiamasi, asmens duomenų rinkimu, paieška ar peržiūrėjimu. Taigi šis pareiškimas netaikomas tokiam duomenų tvarkymui, už kurį atsakingos valstybės narės.
      2.   Kokie teisės aktai taikomi?
      
      Visam duomenų tvarkymui, už kurį atsakinga Europos Komisija, taikomas 2000 m. gruodžio 18 d. Europos Parlamento ir Tarybos reglamentas (EB) Nr. 45/2001 dėl asmenų apsaugos Bendrijos institucijoms ir įstaigoms tvarkant asmens duomenis ir laisvo tokių duomenų judėjimo.
      Taip pat taikomas 2007 m. gruodžio 12 d. Komisijos sprendimas 2008/49/EB dėl vidaus rinkos informacinės sistemos įgyvendinimo užtikrinant asmens duomenų apsaugą.
      3.   Kokius VRI duomenis tvarko Europos Komisija?
      
      Europos Komisija renka reikalingus nacionalinių VRI koordinatorių pirmųjų registruotų naudotojų kontaktinius duomenis – vardą, pavardę, darbo telefono bei fakso numerius ir e. pašto adresus. Šie asmens duomenys, kaip ir įgaliotųjų VRI koordinatorių bei kompetentingų institucijų naudotojų duomenys, saugomi Europos Komisijos serveryje.
      Asmenų, kurių informacija keičiamasi, asmens duomenys dėl techninių priežasčių bus saugomi Europos Komisijos serveryje.
      4.   Kodėl reikia tvarkyti VRI duomenis?
      
      Nacionalinių VRI koordinatorių duomenys būtinai reikalingi tam, kad būtų galima sudaryti VRI ir ja naudotis. Europos Komisija turi turėti galimybę naudotis tais duomenimis, kad galėtų kartu su valstybėmis narėmis veiksmingai tvarkyti VRI.
      Asmenų, kurių informacija tarpusavyje keičiasi nacionalinės valdžios institucijos, asmens duomenys laikinai saugomi tam, kad naudodamosi VRI valstybių narių kompetentingos institucijos galėtų geriau ir lengviau bendradarbiauti vykdydamos Bendrijos teisės aktų dėl vidaus rinkos sukūrimo nuostatas, kai iš kitos valstybės narės prireikia papildomos informacijos, susijusios su laikinu paslaugu teikimu kitoje valstybėje ar paslaugų teikėjo įsisteigimu kitoje valstybėje narėje.
      5.   Kas turi teisę susipažinti su duomenimis?
      
      Atsižvelgiant į Sprendimo 2008/49/EB 12 straipsnio 7 dalyje nustatytus apribojimus, susipažinti su nacionalinių VRI koordinatorių vietos duomenų administratorių asmens duomenimis turi teisę Europos Komisijos vietos duomenų administratoriai. Tačiau Europos Komisijos darbuotojai jokiomis aplinkybėmis neturi teisės susipažinti su asmenų, kurių informacija keičiamasi, asmens duomenimis.
      6.   Kiek laiko bus saugomi jūsų duomenys?
      
      Kompetentingų institucijų ir koordinatorių asmens duomenys bus saugomi tol, kol jie bus VRI naudotojai.
      Visus asmens duomenis, kuriais kompetentingos institucijos keitėsi ir kurie buvo tvarkomi VRI sistemoje, Europos Komisija automatiškai ištrins nuo oficialios informacijos apsikeitimo pabaigos praėjus 6 mėnesiams. Statistinių duomenų kaupimo sumetimais informacijos apsikeitimo duomenys bus ir toliau saugomi VRI, bet visi asmens duomenys taps anoniminiai. Tam tikrą informaciją gavusi ar siuntusi kompetentinga institucija gali bet kuriuo metu po tos informacijos keitimosi pabaigos paprašyti Europos Komisijos ištrinti tam tikrus asmens duomenis. Europos Komisija įvykdys visus tokius prašymus per 10 darbo dienų, jei su tuo sutiks kita informacijos keitimesi dalyvavusi kompetentinga institucija.
      7.   Kokios saugumo priemonės taikomos saugantis nuo neteisėto naudojimosi sistema VRI?
      
      VRI įdiegta keletas techninių priemonių. Įvairių lygių prieigos teisės užtikrinamos įprastine slaptažodžių sistema ir papildomu skaitmeniniu kodavimu, panašiu į tą, kuris naudojamas individualiems klientams skirtose elektroninėse bankininkystės sistemose. Naudotis VRI saugomais asmens duomenimis leidžiama tik nedidelei darbuotojų grupei, kaip aprašyta 5 punkte „Kas turi teisę susipažinti su duomenimis?“ Sistema taip pat apsaugota naudojant ypatingą saugaus ryšio interneto protokolą (https).
      8.   Prieiga prie jūsų asmens duomenų
      
      Nacionaliniai VRI koordinatoriai gali susipažinti su savo asmens duomenimis, kreipęsi 10 punkte pateiktu adresu.
      9.   Papildoma informacija
      
      Be šio pareiškimo apie privatumo apsaugą, reikia vadovautis ir svarbia teisine informacija (http://europa.eu/geninfo/legal_notices_en.htm).
      Jei manote, kad jūsų asmens duomenys yra VRI ir norėtumėte juos peržiūrėti, ištrinti arba pataisyti, susisiekite su administracija arba profesine organizacija, su kuria turėjote ryšių, arba su bet kuriuo kitu jūsų užklausos tvarkymo procedūroje dalyvavusiu VRI naudotoju. Jei būtumėte nepatenkintas atsakymu, galite kreiptis į kitą VRI naudotoją arba pateikti skundą kurio nors užklausos tvarkymo procedūroje dalyvavusio VRI naudotojo duomenų apsaugos institucijai. Ji jums padės nemokamai.
      Duomenų apsaugos institucijų sąrašą rasite šiuo adresu:
      http://ec.europa.eu/justice_home/fsj/privacy/nationalcomm/index_en.htm.
      Primename, kad kai kurių šalių teisės aktuose gali būti numatyta išimčių, susijusių su jūsų prieigos prie asmens duomenų teise.
      10.   Kontaktiniai duomenys
      
      VRI tvarko Europos Komisijos vidaus rinkos ir paslaugų generalinio direktorato E.3 skyrius. Atsakingas asmuo (duomenų valdytojas) yra skyriaus vadovas Nicholas Leapman. VRI kontaktinis adresas:
      
                  European Commission
               
            
                  Internal Market and Services Directorate General
               
            
                  Unit E.3
               
            
                  B-1049 Brussels
               
            
                  markt-imi-dataprotection@ec.europa.eu
               
            Jei norite pateikti skundą dėl kurio nors duomenų tvarkymo veiksmo, už kurį atsakinga Europos Komisija, galite kreiptis į Europos duomenų apsaugos priežiūros pareigūną:
      
                  European Data Protection Supervisor (EDPS)
               
            
                  Rue Wiertz 60 (MO 63)
               
            
                  B-1047 Brussels
               
            
                  Tel. (+32 2) 283 19 00
               
            
                  Faks: (+32 2) 283 19 50
               
            
                  edps@edps.europa.eu
               
            10.   TEISĖ SUSIPAŽINTI SU DUOMENIMIS IR JUOS IŠTAISYTI
      Skaidrumas duomenų subjekto atžvilgiu yra labai svarbus. Jis užtikrinamas pirmiausia suteikiant asmeniui informacijos, aptariamos ankstesniame skyriuje, ir, antra, suteikiant asmeniui prieigos prie savo asmens duomenų teisę ir prireikus teisę reikalauti, kad duomenys būtų ištrinti, ištaisyti arba užblokuoti, jei jie netikslūs ar neteisėtai tvarkomi.
      Dėl sistemos VRI, kurioje yra daug dalyvių ir naudotojų, kurie vykdo bendras tvarkymo ir valdymo operacijas, sudėtingumo reikia nesudėtingo būdo bendrauti su duomenų subjektu. Duomenų subjektai nežino bendrų tvarkymo operacijų ar VRI veikimo techninių aspektų ir jiems nereikia to žinoti.
      Todėl reikia aiškaus ir paprasto būdo: paprastai, išskyrus tik pagrįstas išimtis, dėl kurių susitaria duomenų subjektas ir visos kitos susijusios šalys, duomenų subjektai galės pasinaudoti savo prieigos teise, teisėmis ištaisyti ir ištrinti duomenis, kreipdamiesi į bet kurią su prašymu susijusią kompetentingą instituciją. Nė viena kompetentinga institucija neturėtų atsisakyti suteikti prieigos teisę, ištaisyti ar ištrinti duomenis dėl to, kad neįrašė duomenų į sistemą ar kad duomenų subjektas turėtų susisiekti su kita kompetentinga institucija. Prašymą gaunanti kompetentinga institucija išnagrinės prašymą ir patenkins arba atmes jį atsižvelgdama į prašymo esmę ir savo nacionalinės duomenų apsaugos teisės nuostatas. Jei būtina ir tinkama, prieš priimdama sprendimą kompetentinga institucija gali susisiekti su kita kompetentinga institucija. Kilus nesutarimų tarp kompetentingų institucijų, jos turi pasitelkti savo atitinkamas duomenų apsaugos institucijas ir laiku bei veiksmingai susitarti.
      Jei duomenų subjektas nepatenkintas priimtu sprendimu, jis gali susisiekti su kita kompetentinga institucija, kuri dalyvauja informacijos mainuose, ar su vienos iš tų kompetentingų institucijų nacionaline duomenų apsaugos institucija, kuri geriausiai tam subjektui tinka: pavyzdžiui, šalies, kurioje subjektas įsisteigęs, institucija arba jo paties nacionaline duomenų apsaugos institucija, arba šalies, kurioje subjektas dirba, institucija. Jei būtina ir tinkama, duomenų apsaugos institucijos nagrinėdamos skundus turėtų tarpusavyje bendradarbiauti (žr. Duomenų apsaugos direktyvos 28 straipsnį).
      Turi būti pabrėžta, kad duomenų subjektai visada turi teisę bet kada kreiptis į teismą ir tam tikrais atvejais gauti žalos atlyginimą (žr. Duomenų apsaugos direktyvos 22 ir 23 straipsnius ir atitinkamas nacionalinių įstatymų nuostatas).
      Duomenų apsaugos direktyvos 12 straipsnio c punkte nustatyta, kad duomenų valdytojas praneš trečiosioms šalims, kurioms duomenys buvo atskleisti, kad duomenys ištaisyti, ištrinti ar blokuoti, nebent tai padaryti būtų neįmanoma arba pernelyg sunku. Tai taip pat taikoma informacijai, kuri toliau tvarkoma už VRI ribų.
      Atsižvelgdama į 29 straipsnyje nurodytos darbo grupės ir EDAPP rekomendacijas, Komisija dabar siekia į sistemą VRI įtraukti funkciją (panašiai kaip jau taikomos ankstyvo duomenų ištrynimo kompetentingų institucijų prašymu procedūros atveju, žr. 12 skyrių), kuri leistų ištaisyti duomenis internete ir apie tai automatiškai pranešti dalyvaujančioms kompetentingoms institucijoms. Techniškai tai gana sudėtinga, taigi siūloma, kad iki to laiko, kol šią funkciją bus galima įdiegti, jei prireiktų ištaisyti asmens duomenis, kompetentinga institucija turėtų nukreipti tokį ištaisymo prašymą tiesiai VRI duomenų valdytojui Europos Komisijoje (žr. ankstesnį skyrių „Europos Komisijos pareiškimas apie privatumo apsaugą“).
      Duomenų apsaugos direktyvoje ir nacionaliniuose įstatymuose, kuriais ji įgyvendinama, duomenų subjektams taip pat suteikiama teisė prieštarauti su jais susijusių duomenų tvarkymui ir pasiekti, kad tvarkymas būtų sustabdytas, kai toks reikalavimas pagrįstas. Jei su jumis susisiekia duomenų subjektas, kuris prieštarauja su juo susijusių duomenų tvarkymui, prašom susisiekti su savo šalies duomenų apsaugos institucija ir gauti daugiau informacijos apie tai, kaip tokia teisė prieštarauti taikoma jūsų valstybėje narėje.
      11.   DUOMENŲ SAUGUMAS
      Siekiant užtikrinti VRI saugumą naudojama nemažai organizacinių ir techninių priemonių, panašių į tas, kurios naudojamos individualiems klientams skirtose elektroninėse bankininkystės sistemose. Ryšiai su VRI internete saugomi pagal specialų, saugų interneto protokolą (https). Techninės VRI apsaugos priemonės turi būti sąveikios visoje Europos Sąjungoje. Techninė sistemos apsauga bus toliau plėtojama atsižvelgiant į naujausias galimybes ir diegimo sąnaudas (žr. Direktyvos 95/46/EB 17 straipsnį ir Reglamento (EB) Nr. 45/2001 22 straipsnį).
      Norėdami gauti daugiau informacijos apie taisykles, susijusias su Europos Komisijos naudojamų informacinių sistemų saugumu, žr. Komisijos sprendimą C(2006) 3602, kuris pateiktas VRI tinklalapio duomenų apsaugos skyriuje
      http://ec.europa.eu/internal_market/imi-net/data_protection_en.html.
      12.   DUOMENŲ LAIKYMO LAIKOTARPIS
      Su duomenų laikymo laikotarpiu susijusios taisyklės nustatytos Sprendimo 2008/49/EB 4 ir 5 straipsniuose.
      Paprastai visi į informacijos mainus įtraukti asmens duomenys automatiškai ištrinami praėjus šešiems mėnesiams nuo oficialaus informacijos mainų užbaigimo. Komisija dabar diegia tam tikrus sistemos pakeitimus (priminimus ir skubos sąrašus), kuriais siekiama kuo skubiau oficialiai užbaigti prašymą.
      Taip pat yra galimybė, kad kompetentinga institucija paprašys ištrinti asmens duomenis dar nepraėjus šešiems mėnesiams. Jei kita kompetentinga institucija sutinka, Komisija įvykdo tokius prašymus per dešimt darbo dienų.
      Kompetentingos institucijos turėtų žinoti, kad prašymai ištrinti asmens duomenis gali būti teikiami internetu, paprasčiausiai prisijungus prie atitinkamo jau užbaigto prašymo ir paspaudus mygtuką „Paprašyti pašalinti asmens duomenis“.
      
         Momentinė ekrano, kai kompetentinga institucija prašo asmens duomenis pašalinti anksčiau, kopija
      
      
         
      
         Momentinė ekrano, kai su kompetentinga institucija konsultuojamasi dėl galimybės asmens duomenis pašalinti anksčiau, kopija
      
      
         
      Komisija į sistemą įdiegs keletą patobulinimų, kaip antai automatiniai priminimai priimti atsakymus ar oficialiai užbaigti prašymus tais atvejais, kai atsakymas tenkina.
      Taip pat svarbu nepamiršti, kad bet kurių asmens duomenų laikymui kompetentingose institucijose už VRI ribų taikomos nacionalinės duomenų apsaugos taisyklės.
      13.   BENDRADARBIAVIMAS SU NACIONALINĖMIS DUOMENŲ APSAUGOS INSTITUCIJOMIS IR EDAPP
      Nacionalinių duomenų apsaugos institucijų tinklas ir EDAPP – viena tvirčiausių garantijų, kad mūsų duomenų apsaugos sistema veiktų tinkamai. Kompetentingos institucijos gali į juos kreiptis konsultacijos, bet kuriuo metu susidūrusios su problema, kuri neaptarta šiose gairėse. Nacionaliniai VRI koordinatoriai raginami šiuo atžvilgiu atlikti svarbų vaidmenį. Duomenų apsaugos institucijų asmenų ryšiams sąrašas pateiktas VRI tinklalapio duomenų apsaugos skyriuje.
      Kompetentingos institucijos taip pat privalo žinoti, kad prieš dalyvaujant VRI joms gali reikėti pranešti apie tai savo atitinkamoms nacionalinėms duomenų apsaugos institucijoms. Kai kuriose valstybėse narėse gali reikėti prieš tai gauti leidimą. VRI koordinatoriai turėtų atlikti aktyvų koordinatorių vaidmenį, kai reikia susisiekti su duomenų apsaugos institucijomis.
      
         Vykstantis darbas
      
      2009 m. į būsimą VRI versiją bus įtraukta šių duomenų apsaugai palankių patobulinimų:
      
                  a)
               
               
                  Kai duomenų mainai yra susiję su ypatingais duomenimis (pvz., sveikatos duomenimis, nuosprendžių registro įrašais ar drausminėmis priemonėmis), bus priminimas, kad keičiamasi ypatingais duomenimis ir kad bylą tvarkantis asmuo turėtų prašyti tokios informacijos, tik jei tai neabejotinai būtina ir tiesiogiai susiję su vertimusi profesine veikla ar konkrečios paslaugos teikimu.
               
            
                  b)
               
               
                  Bus sukurta procedūra internete (panaši į tą, kuri jau naudojama ankstyvo duomenų ištrynimo kompetentingų institucijų prašymu atveju), skirta neteisėtai tvarkomiems ar netiksliems duomenims ištaisyti, ištrinti ar užblokuoti.
               
            
                  c)
               
               
                  Bus automatiniai priminimai ir skubos sąrašai, leidžiantys priimti atsakymą taip, kad prašymai neliktų užbaigti ilgiau nei tai būtina.
               
            
                  d)
               
               
                  Tinkamos priemonės, padedančios susidoroti su naujais informacijos srautais pagal Paslaugų direktyvą, t. y. perspėjimo mechanizmas ir kiekvienam atvejui skirtos leidžiančios nukrypti nuostatos. Apskritai šios priemonės bus sukurtos panašiai, kaip bendrieji informacijos mainai, pavyzdžiui: priminimai apie tokių informacijos srautų ypatingą pobūdį, priminimai išjungti perspėjimus tada, kai tai tinkama, ir galimi būdai informuoti asmenis apie informacijos mainus ir jų prieigos prie duomenų teises ir prireikus duomenis užblokuoti, ištrinti ar ištaisyti. Gali būti, kad prireiks papildomų duomenų apsaugos priemonių. Jos bus parengtos konsultuojantis su EDAPP.
               
            14.   PERŽIŪROS STRAIPSNIS
      VRI yra pirmoji informacinė sistema ir ji dar tebekuriama. Komisija nuolat renka koordinatorių ir kompetentingų institucijų atsiliepimus, kad galėtų tobulinti sistemą, todėl gali būti, kad ateinančiais mėnesiais bus įdiegta pakeitimų. Kai kurie jų gali neturėti poveikio duomenų apsaugai, o kai kurie – gali.
      Todėl šios gairės nėra galutinės ir jas reikės atnaujinti atsižvelgiant į kasdienio VRI darbo patirtį. Ne vėliau kaip po metų nuo šios rekomendacijos priėmimo Komisija parengs ataskaitą, kurioje bus vertinama padėtis, taip pat bus galima patvirtinti kitą teisinę priemonę.
      
         (1)  Valstybės narės turėtų apsvarstyti, ar į savo mokymo apie VRI veiklą nereikėtų įtraukti informacijos apie duomenų apsaugą.
      
         (2)  Žr. Sprendimo 2008/49/EB 12 straipsnį.
      
         (3)  Kompetentingos institucijos gali turėti kitų susijusių institucijų, kurias prižiūri (pvz., regioninė institucija yra susijusi su federaline institucija). Taigi tokios susijusios institucijos gali sužinoti prašymų skaičių ir pobūdį, bet neturi prieigos prie paslaugų teikėjų ar migruojančių darbuotojų asmens duomenų.
      
         (4)  Kaip numatyta Komisijos sprendimo 2008/49/EB 10 straipsnio 3 dalyje, Komisija gali dalyvauti informacijos mainuose tiktai konkrečiais atvejais, kai atitinkamame Bendrijos teisės akte numatyta keistis informacija tarp valstybių narių ir Komisijos. Tokiais atvejais Komisijos įsipareigojimai panašūs į kompetentingos institucijos įsipareigojimus. Pavyzdžiui, ji turi pateikti tam tikrą pranešimą duomenų subjektams, taip pat prieigą prie jų duomenų, jei jie to prašo.
      
         (5)  Nors kai kuriose valstybėse narėse, kaip antai Italijoje, Liuksemburge, Austrijoje ir Danijoje, duomenų apsaugos teisės aktai tam tikru mastu taip pat taikomi ir juridiniams asmenims.
      
         (6)  Direktyva 95/46/EB taikoma valstybėms narėms, o Reglamentas (EB) Nr. 45/2001 – Europos institucijoms.
      
         (7)  http://ec.europa.eu/internal_market/imi-net/docs/questions_and_data_fields_en.pdf
      
         (8)  Teisinė apibrėžtis pateikiama Direktyvos 95/46/EB 8 straipsnyje ir Reglamento (EB) Nr. 45/2001 10 straipsnyje.
      
         (9)  T. y. duomenų subjektams turėtų būti suteikta tam tikra informacija, tvarkymas turėtų būti proporcingas, o duomenys neturėtų būti toliau tvarkomi tikslais, kurie nesuderinami su tų duomenų rinkimu.
      
         (10)  Konkretų tokių klausimų sąrašą galima rasti VRI tinklalapyje
      http://ec.europa.eu/internal_market/imi-net/docs/questions_and_data_fields_en.pdf
      
         (11)  VRI tinklalapio duomenų apsaugos skyriuje pateikiami visi VRI svarbūs duomenų apsaugos dokumentai, taip pat nuoroda į visų teisinių dokumentų, susijusių su duomenų apsauga ES lygmeniu, sąrašą
      http://ec.europa.eu/internal_market/imi-net/data_protection_lt.html