natgillin/translations-raw huggingface dataset:
Чрез обмена на лична информация посредством канала за селективно съобщаване компетентните органи изпълняват ролята на „администратори“ по отношение на обработването на тези лични данни и по този начин поемат отговорността за законосъобразността на обработването на данните и за спазването на задълженията за защита на данните, посочени в приложимото национално законодателство, с което се транспонира Директива 95/46/ЕО.
By exchanging personal information through the selective messaging channel, competent authorities take the role of ‘controller’ with respect to the processing of these personal data and therefore assume responsibility for the lawfulness of their processing activities and for ensuring compliance with data protection obligations set out in the applicable national laws transposing Directive 95/46/EC.
Кой е „администраторът“?
Who is the ‘controller’?
За целите на Директива 95/46/ЕО „администратор означава физическо или юридическо лице, държавен орган, агенция или друг орган, който сам или съвместно с други определя целите и средствата на обработка на лични данни“ [17].
For the purposes of Directive 95/46/EC, ‘ “controller” shall mean the natural or legal person, public authority, agency or any other body which alone or jointly with others determines the purposes and means of the processing of personal data’ [17].
По принцип ползвателите в Комисията и ECDC не разполагат с достъп до лични данни, обменяни чрез канала за селективно съобщаване [18].
In principle, users at the Commission and the ECDC do not have access to personal data exchanged through the selective messaging channel [18].
Въпреки това по технически причини Комисията носи окончателната отговорност за централното съхранение на данните в СРПР в качеството си на системен администратор и координатор.
However, for technical reasons, the central storage of data in the EWRS is the ultimate responsibility of the Commission as the system administrator and coordinator.
В това си качество Комисията също така отговаря и за регистрацията, съхранението и допълнителното обработване на личните данни на оправомощените ползватели на СРПР, необходими за управлението на системата.
In this capacity, the Commission is also responsible for the registration, storage and further processing of personal data of the EWRS authorised users necessary to run the system.
Така СРПР е ясен пример за осъществяване на съвместно администриране, при което отговорността за осигуряване на защита на данните се разпределя на различни равнища между Комисията и държавите-членки.
The EWRS is therefore a clear example of joint controllership, where the responsibility for ensuring data protection is allocated, at different levels, between the Commission and the Member States.
Освен това, от 2005 г. Комисията и държавите-членки в качеството си на съадминистратори делегират текущото управление на софтуерното приложение за СРПР на ECDC, който изпълнява тази задача от името на Комисията.
Moreover, since 2005 the Commission and the Member States in their capacity as co-controllers have decided to delegate the daily operation of the EWRS informatics application to the ECDC, which performs this task on behalf of the Commission.
В допълнение към тези делегирани задължения, ECDC е поел отговорността да гарантира в качеството си на „обработващо лице“ поверителността и сигурността на операциите по обработка на данните, извършени в рамките на системата, в съответствие със задълженията, предвидени в членове 21 и 22 от Регламент (ЕО) № 45/2001.
Further to this delegation, the agency has assumed the responsibility to ensure, as ‘processor’, the confidentiality and security of the processing operations carried out within the system, in accordance with the obligations laid down in Articles 21 and 22 of Regulation (EC) No 45/2001.
Кой е „обработващо лице“ и какви са неговите задължения?
Who is the ‘processor’ and what are its obligations?
За целите на Регламент (ЕО) № 45/2001 „обработващо лице означава физическо или юридическо лице, публична власт, агенция или друг орган, който извършва обработка на лични данни от името на контролиращия орган“ [19].
For the purposes of Regulation (EC) No 45/2001, ‘ “processor” shall mean a natural or legal person, public authority, agency or any other body which processes personal data on behalf of the controller’ [19].
Регламентът предвижда, че когато обработката се извършва от негово име, контролиращият орган избира обработващо лице, което предоставя достатъчни гаранции по отношение на техническите и организационните мерки, необходими с оглед на сигурността на данните.
The Regulation foresees that, where a processing operation is carried out on its behalf, the controller shall choose a processor providing sufficient guarantees in respect of the technical and organisational measures required for data security purposes.
Контролиращият орган носи окончателната отговорност за осигуряване на спазването на тези мерки.
The controller shall be ultimately responsible for ensuring compliance with those measures.
Въпреки това задълженията, предвидени в членове 21 и 22 от Регламента по отношение на поверителността и сигурността на обработката, се отнасят също и за обработващото лице [20].
Nevertheless, the obligations set out in Articles 21 and 22 of the Regulation with regard to the confidentiality and security of processing are also incumbent on the processor [20].
ПРИЛОЖИМИ ПРИНЦИПИ ЗА ЗАЩИТА НА ДАННИТЕ
APPLICABLE DATA PROTECTION PRINCIPLES
Обработването на лични данни в рамките на СРПР трябва да отговаря на принципите за защита на данните, определени в Регламент (ЕО) № 45/2001 и в Директива 95/46/ЕО.
The processing of personal data within the EWRS must comply with a set of data protection principles set out in Regulation (EC) No 45/2001 and Directive 95/46/EC.
В качеството си на администратори, Комисията и компетентните органи в държавите-членки трябва да гарантират спазването на тези принципи при всяко обработване на лични данни чрез СРПР.
In their capacity as controllers, the Commission and the competent authorities in the Member States are responsible for ensuring compliance with these principles each time they process personal data through the EWRS.
Някои от основните принципи за защита на данните са посочени по-долу.
A selection of core data protection principles is provided hereafter.
Това не засяга други приложими изисквания за защита на данните, установени в съответните правни инструменти, за които се дават указания в други раздели от настоящите насоки.
This is without prejudice to other applicable data protection requirements set out in the relevant legal instruments, for which guidance is given under different sections of the present guidelines.
По-специално на ползвателите на СРПР се препоръчва да прочетат внимателно раздел 8 относно предоставянето на информация на субектите на данни и раздел 9 относно достъпа и други права на субектите на данни.
In particular, EWRS users are invited to read carefully Section 8 on the provision of information to data subjects and Section 9 on access and other rights of data subjects.
Принципи, отнасящи се до законосъобразността на обработката и до ограничаването на целите
Principles relating to the lawfulness of processing and to purpose limitation
Администраторите следва да гарантират, че личните данни се обработват по справедлив и законосъобразен начин.
Controllers should ensure that personal data are processed fairly and lawfully.
Този принцип предполага на първо място, че събирането и по-нататъшното обработване на лични данни трябва да се извършва на базата на легитимни основания, предвидени от закона [21].
This principle implies, first of all, that the collection and any further processing of personal data should be based on legitimate grounds provided by law [21].
На второ място лични данни могат да се събират само за конкретни, ясно формулирани и законни цели и не трябва да бъдат допълнително обработвани по начин, който е несъвместим с тези цели [22].
Secondly, personal data may be collected only for specified, explicit and legitimate purposes and should not be further processed in a way incompatible with those purposes [22].
Принципи, отнасящи се до качеството на данните
Principles on data quality
Администраторите следва да гарантират, че личните данни са достатъчни, уместни и не повече от необходимото предвид целите, за които се събират.
Controllers should ensure that personal data are adequate, relevant and not excessive in relation to the purposes for which they are collected.
Освен това данните трябва да бъдат точни и актуални [23].
Furthermore, data should be accurate and kept up to date [23].
Принципи, отнасящи се до запазването на данните
Principles on data retention
Администраторите следва да гарантират, че личните данни се съхраняват по начин, който позволява установяване на самоличността на субектите на данни в продължение на период, който не надвишава необходимото за целите, за които се събират или впоследствие обработват данните [24].
Controllers should ensure that personal data are kept in a form which permits identification of data subjects for no longer than it is necessary in view of the purposes for which the data were collected, or for which they are further processed [24].
Принципи, отнасящи се до поверителността и сигурността на данните
Principles on confidentiality and data security
Администраторите следва да гарантират, че всяко лице, имащо достъп до лични данни и действащо под тяхното ръководство или под ръководството на обработващото лице, в това число самото обработващо лице, следва да обработва тези данни само по нареждане на администратора [25].
Controllers should ensure that any person having access to personal data and acting under their authority or under the authority of the processor, including the processor himself, do not process these data except on instructions from the controller [25].
Освен това, администраторите трябва да прилагат подходящи технически и организационни мерки за защита на личните данни от случайно, непозволено или незаконно унищожаване или загуба, промяна, разкриване или достъп, както и от всякакви други незаконни форми на обработка [26].
Furthermore, controllers are required to implement appropriate technical and organisational measures to protect personal data against accidental, unauthorised or unlawful destruction or loss, alteration, disclosure or access, and against all other unlawful forms of processing [26].
С оглед на правилното и ефективно прилагане на горепосочените принципи при използването на системата, на ползвателите на СРПР се препоръчва следното:
In view of a correct and effective application of the abovementioned principles in the context of their use of the system, EWRS users are recommended in particular that:
За да се уверят, че операциите по обработка се извършват на базата на правно основание, че данните се събират за законни и ясно формулирани цели и че те не се обработват допълнително по начин, който е несъвместим с тези цели, при всяко събиране или обработване по някакъв друг начин на лични данни чрез СРПР ползвателите на СРПР следва да:
In order to make sure that the processing operation has a legal basis, that data are collected for legitimate and explicit purposes and that they are not further processed in a way incompatible with those purposes, each time they collect or otherwise process personal data through the EWRS, EWRS users should:
оценяват за всеки отделен случай дали въвеждането на координирани мерки за проследяване на контакти и последващото активиране на селективния канал на СРПР за обмен на свързани с това данни за проследяване на контакти и други лични данни е оправдано предвид естеството на заболяването и научно доказаните ползи от проследяването на контакти за предотвратяването или намаляването на по-нататъшното разпространение на болестта, като се вземе предвид оценката на риска, направена от здравните органи в държавите-членки и от съществуващите агенции за научни изследвания, а именно ECDC и СЗО;
assess on a case-by-case basis whether the implementation of coordinated contact tracing measures, and the consequent activation of the EWRS selective channel to exchange related contact tracing and other personal data, is justified in consideration of the nature of the disease and the scientifically proven benefits of contact tracing for preventing or reducing the further spread of the disease, taking into account the risk assessment provided by the health authorities in Member States and by the existing scientific agencies, namely ECDC and WHO,
не използват канала за общи съобщения при обмена на данни за проследяване на контакти и други лични данни.
not use the general messaging channel to exchange contact tracing and other personal data.
Те следва по-конкретно да гарантират, че такива данни не се съдържат в текста на общите съобщения, които публикуват, в прикачените файлове или под каквато и да било друга форма.
They should ensure, in particular, that no such data are included in the body of the general messages they post, in their attachments or in any other form.
Използването на канала за общи съобщения за целите на проследяване на контактите би било незаконосъобразно и непропорционално, тъй като би довело до разкриване на лични данни на получатели (в това число на Комисията и на ECDC), които нямат отношение към дадена процедура за проследяване на контакти и не се нуждаят от достъп до тези данни;
The use of the general messaging channel for contact tracing purposes would be illegitimate and disproportionate, since it would result in personal data being disclosed to recipients (including the Commission and the ECDC) not concerned by a given contact tracing procedure and which do not need to have access to those data,
при използването на функцията за селективно съобщаване да използват подход, основан на действителната необходимост от достъп до информацията, и да избират за получатели на селективни съобщения, съдържащи лични данни, само компетентните органи в държавите-членки, които трябва да си сътрудничат във връзка с дадена процедура за проследяване на контакти.
when using the selective functionality, adopt a ‘need-to-know’ approach and select as recipients of selective messages containing personal data only the competent authorities in the Member States which need to cooperate on a given contact tracing procedure.
Ползвателите на СРПР следва да бъдат особено внимателни, когато обменят посредством канала за селективно съобщаване чувствителни данни, отнасящи се до здравословното състояние на физическо лице с установена или подлежаща на установяване самоличност, като заразени лица или лица, изложени на потенциален риск от заразяване, чиито данни за връзка или друга лична информация се оповестяват едновременно чрез СРПР, така че въпросното лице да може да бъде пряко или непряко идентифицирано.
EWRS users should be particularly vigilant when exchanging, through the selective messaging channel, sensitive data concerning the health conditions of an identified or identifiable person, e.g. infected or potentially exposed persons whose contact details or other personal information are concomitantly disclosed through the EWRS, so that the person in question may be directly or indirectly identified.
В този случай всички горепосочени препоръки продължават да бъдат приложими; освен това ползвателите на СРПР не трябва да забравят, че съгласно Директива 95/46/ЕО обменът на чувствителни данни е възможен само при строго ограничени обстоятелства.
In this case, all the abovementioned recommendations continue to apply; additionally, EWRS users should remember that the exchange of sensitive data is permitted under Directive 95/46/EC only in very limited circumstances.
По-специално [27]:
In particular [27]:
ако лицето, чиито данни се събират, е дало своето изрично съгласие за тяхното обработване (член 8, параграф 2, буква а) от Директива 95/46/ЕО).
the person whose data are being collected has given his or her explicit consent to their processing (Article 8(2)(a) of Directive 95/46/EC).
Въпреки това нуждата от своевременна намеса в спешни медицински ситуации може да направи невъзможно предоставянето на цялата информация, от която субектите на данни се нуждаят, за да дадат своето информирано съгласие (вж. раздел 8 относно предоставянето на информация на субектите на данни).
However, the need to timely intervene in situations of sanitary emergency may render it impossible to provide data subjects with all the information required for them to be able to signify an informed consent (see Section 8 on the provision of information to data subjects).
Освен това вероятността данните евентуално да бъдат разкрити чрез СРПР може да не е известна към момента на тяхното събиране;
Furthermore, the possibility that data may be eventually disclosed through the EWRS is not necessarily known at the time when they are collected,
при липса на съгласие от страна на субектите на данни, обработването на данни, отнасящи се до здравето, може да се счита за законосъобразно, ако е необходимо за „целите на профилактичната медицина, поставяне на медицинска диагноза, предоставяне на грижи или лечение, или за управлението на здравни служби“, когато здравните данни се обработват от медицинско лице, което е длъжно да спазва задълженията за професионална тайна, или от друго лице, което е също обвързано с равностойно задължение за пазене на тайна (член 8, параграф 3 от Директива 95/46/ЕО).
failing data subjects’ consent, processing of health data may be considered legitimate if it is necessary for the ‘purposes of preventive medicine, medical diagnosis, the provision of care or treatment or the management of health-care services’, provided that health data are processed by a health professional subject to the obligation of professional secrecy, or by another person also subject to an equivalent obligation (Article 8(3) of Directive 95/46/EC).
С други думи, всеки път, когато изпращат селективни съобщения, съдържащи чувствителни здравни данни, на получатели в други държави-членки, ползвателите на СРПР трябва да преценят дали разкриването на такива данни е абсолютно необходимо, за да могат компетентните органи в съответните държави-членки да приложат конкретни мерки за постигането на някоя от горепосочените цели.
In other terms, each time they send a selective message containing sensitive health data to recipients in other Member States, EWRS users should assess whether disclosing such data is strictly necessary to allow competent authorities in the concerned Member States to implement specific measures required for one of the abovementioned purposes.
На ползвателите на СРПР също така се напомня, че допълнителни основания за обработване на здравни данни могат да бъдат предвидени в съответните техни национални закони, с които се транспонира Директива 95/46/ЕО, или в решение на техния национален ОЗД [28].
EWRS users are also reminded that additional grounds for processing health data may be provided by their respective national laws transposing Directive 95/46/EC, or by decision of their national DPA [28].
За да се гарантира качеството на личните данни, които те обменят чрез системата, и по-специално преди да публикуват селективни съобщения, ползвателите на СРПР трябва да преценят дали:
In order to ensure the quality of personal data they exchange through the system, and in particular, before posting a selective message, EWRS users need to consider whether:
Личните данни, които искат да обменят, са абсолютно необходими за ефективното провеждане на процедура за проследяване на контакти.
the personal data they want to exchange are strictly needed to allow an efficient contact tracing procedure.
С други думи, компетентният орган, който публикува съобщението, следва да предостави на органа или органите в другата заинтересована държава-членка или държави-членки само тези лични данни, които са необходими за недвусмисленото идентифициране на заразените лица или на лицата, изложени на потенциален риск от заразяване.
In other terms, the competent authority posting the message should provide the authority(s) in the other concerned Member State(s) only with those personal data which are needed to unambiguously identify the infected or exposed persons.
Примерният списък на лични данни, които могат да се обменят при проследяване на контактите, приложен към Решение 2009/547/ЕО, не трябва да се възприема като предоставяне на общо и безусловно разрешение за обработване на тези категории данни.
The indicative list of personal data which may be exchanged for contact tracing purposes, annexed to Decision 2009/547/EC, should not be seen as granting a blanket and unconditional authorisation to process these categories of data.
Едновременно с това трябва да се проявява изключителна предпазливост при обработването на лични данни, различни от тези, изброени в това приложение, тъй като е вероятно разкриването да бъде прекомерно и неуместно.
At the same time, precaution must be extreme as regards processing of personal data other than those listed in that Annex, as disclosure is likely to be excessive and unreasonable.
Вместо това, трябва да се извършва оценка на всеки отделен случай, за да се прецени дали включването на определени лични данни е абсолютно необходимо за целите на дадена процедура за проследяване на контакти.
Instead, a case-by-case assessment should be made of whether inclusion of a certain personal data is strictly necessary for the purposes of a given contact tracing procedure.
Допълнителна обработване и съхранение на лични данни извън СРПР:
Further processing and storage of personal data outside the EWRS:
От изключителна важност е да се отбележи, че националните закони за защита на данните, с които се транспонира Директива 95/46/ЕО, се прилагат и по отношение на съхранението и допълнителното обработване извън СРПР на лични данни, получени чрез системата.
It is of the utmost importance to note that national data protection laws transposing Directive 95/46/EC also apply to the storage and further processing, outside the EWRS, of personal data obtained through the system.
Те са приложими например в случаите, когато личните данни, съхранявани централно от системата, след това се съхраняват в локалните компютри на ползвателите или в национални бази данни; или ако тези данни бъдат предадени от компетентния орган, отговорен за обработването им в рамките на СРПР, на други органи или на трети страни.
This may occur, for instance, when personal data stored centrally by the system are then stored in the local PCs of users or in databases established at national level; or whether these data are transmitted by the competent authority responsible for their processing within the EWRS to other authorities or to any third parties.
В тези случаи на ползвателите на СРПР се напомня, че:
In these cases, EWRS users are reminded that:
съхранението и допълнителното обработване извън СРПР не трябва да бъдат несъвместими с първоначалните цели, за които данните са били събрани и обменени в рамките на СРПР;
the storage and further processing outside the EWRS must not be incompatible with the original purposes for which data were collected and exchanged within the EWRS,
това допълнително обработване трябва да се опира на правно основание в съответните национални закони за защита на данните; то трябва да бъде необходимо, адекватно, релевантно и не трябва да бъде прекомерно по отношение на първоначалните цели, за които данните са били събрани в СРПР;
this further processing must have a legal basis in the relevant national data protection laws; be necessary, adequate, relevant and not excessive in relation to the original purposes of collection in the EWRS,
данните трябва да се актуализират и да бъдат заличени веднага щом престанат да бъдат необходими за целите, за които са били допълнително обработени;
data must be kept up to date and deleted once no longer needed for the purposes for which they were further processed,