This document is an excerpt from the EUR-Lex website
Document 52016PC0237
Proposal for a COUNCIL DECISION on the conclusion, on behalf of the European Union, of an Agreement between the United States of America and the European Union on the protection of personal information relating to the prevention, investigation, detection, and prosecution of criminal offenses
Предложение за РЕШЕНИЕ НА СЪВЕТА относно сключването, от името на Европейския съюз, на Споразумение между Съединените американски щати и Европейския съюз относно защитата на личната информация във връзка с предотвратяването, разследването, разкриването и наказателното преследване на престъпления
Предложение за РЕШЕНИЕ НА СЪВЕТА относно сключването, от името на Европейския съюз, на Споразумение между Съединените американски щати и Европейския съюз относно защитата на личната информация във връзка с предотвратяването, разследването, разкриването и наказателното преследване на престъпления
COM/2016/0237 final - 2016/0126 (NLE)
ЕВРОПЕЙСКА КОМИСИЯ
Брюксел, 29.4.2016
COM(2016) 237 final
2016/0126(NLE)
Предложение за
РЕШЕНИЕ НА СЪВЕТА
относно сключването, от името на Европейския съюз, на Споразумение между Съединените американски щати и Европейския съюз относно защитата на личната информация във връзка с предотвратяването, разследването, разкриването и наказателното преследване на престъпления
ОБЯСНИТЕЛЕН МЕМОРАНДУМ
1.КОНТЕКСТ НА ПРЕДЛОЖЕНИЕТО
•Причини за и цели на предложението
През ноември 2006 г. беше създадена Контактна група на високо равнище, състояща се от висши служители от Комисията, председателството на Съвета, министерствата на правосъдието и на вътрешна сигурност на САЩ, както и от Държавния департамент на САЩ, с цел да проучи начините, по които ЕС и САЩ могат да работят в по-тясно сътрудничество и по-ефикасно при обмена на информация за целите на правоприлагането, като същевременно гарантират защитата на личните данни и неприкосновеността на личния живот. Заключението в окончателния доклад на Контактната група на високо равнище от октомври 2009 г. 1 бе, че най-добрият вариант е международно споразумение, обвързващо ЕС и САЩ, чрез което да се прилагат договорени общи принципи за защита на данните при трансатлантическото предаване на данни в областта на правоприлагането. Предимството на този вариант е, че създава основите за ефективна защита на неприкосновеността на личния живот и на личните данни при всеки обмен на информация за целите на правоприлагането и че би осигурил най-високата степен на правна сигурност.
На 3 декември 2010 г. Съветът прие решение, с което оправомощава Комисията да започне преговори по споразумение между Европейския съюз и Съединените американски щати относно защитата на личните данни при предаването и обработването им за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления, включително тероризъм, в рамките на полицейското сътрудничество и съдебното сътрудничество по наказателноправни въпроси (наричано по-надолу „Рамковото споразумение“) 2 .
На 28 март 2011 г. Комисията започна преговорите. На 8 септември 2015 г. страните парафираха текста.
Рамковото споразумение установява (за първи път досега) всеобхватна рамка от принципи и гаранции за защита на данните при предаване на лична информация 3 за целите на наказателното правоприлагане между САЩ, от една страна, и ЕС или държавите му членки, от друга страна. Двойната му цел е да осигури високо ниво на защита на данните и по този начин да укрепи сътрудничеството между двете страни. Въпреки че само по себе си рамковото споразумение не е правно основание за предаване на лична информация на САЩ, то допълва, когато е необходимо, гаранциите в съществуващите и бъдещите споразумения за предаване на данни или националните разпоредби, позволяващи такова предаване.
Това представлява значително подобрение спрямо настоящото положение, при което трансатлантическото предаване на лична информация се осъществява въз основа на правни инструменти (международни споразумения или национално право), които обикновено не съдържат или съдържат само слаби разпоредби за защита на данните.
• Съгласуваност със съществуващите разпоредби в тази област на политиката
Рамковото споразумение ще увеличи защитата на личните данни, предоставяна на субектите на данни от ЕС, когато тези данни се обменят със САЩ за целите на наказателното правоприлагане. Като установява всеобхватна рамка от гаранции за защита на данните, споразумението ще допълни съществуващите договорености (както двустранните споразумения между държавите членки и САЩ, така и споразуменията между ЕС и САЩ), въз основата на които лични данни се изпращат в САЩ за целите на правоприлагането, ако и доколкото в тях липсва необходимото ниво на защита и гаранции.
Освен това споразумението ще предостави „защитна мрежа“ за бъдещи споразумения между ЕС и неговите държави членки и САЩ, под нивото на която защитата не може да падне. Това представлява важна гаранция за бъдещето и бележи съществено развитие спрямо настоящата ситуация, при която гаранциите, защитата и правата трябва да се договарят наново за всяко отделно ново споразумение.
Като цяло рамковото споразумение ще има голяма добавена стойност, тъй като ще увеличи нивото на защита на субектите на данни от ЕС в съответствие с изискванията на първичното и вторичното право на ЕС. За първи път ще се въведе инструмент за защита на данните, уреждащ по един всеобхватен и последователен начин всяко предаване на данни в определена област (т.е. трансатлантическия обмен на данни в областта на полицейското сътрудничество и съдебното сътрудничество по наказателноправни въпроси). Освен това рамковото споразумение ще конкретизира в трансатлантическия контекст общите изисквания за международното предаване на данни, залегнали в бъдещата Директивата относно защитата на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказателни санкции и относно свободното движение на такива данни (наричана по-нататък „Директивата за полицейското сътрудничество“) 4 , приета на 14 април 2016 г. В светлината на гореизложеното, рамковото споразумение също представлява важен прецедент за подобни споразумения с други международни партньори.
•Съгласуваност с другите политики на Съюза
Очаква се рамковото споразумение да има значително въздействие върху полицейското сътрудничество и сътрудничеството в областта на правоприлагането със Съединените щати . То установява обща и всеобхватна рамка от правила и гаранции за защита на данните и по този начин позволява на ЕС или на неговите държави членки, от една страна, и на органите за наказателно правоприлагане в САЩ, от друга, да си сътрудничат по-ефективно. Освен това то ще гарантира, че съществуващите споразумения съдържат всички необходими елементи на защита. Това ще осигури последователност в сътрудничеството в областта на правоприлагането, като същевременно ще гарантира по-голяма правна сигурност при предаването на лични данни. Споразумението също така ще улесни сключването на бъдещи споразумения за предаване на данни със САЩ в областта на наказателното правоприлагане, тъй като вече ще се договорени гаранциите за защита на данните и няма да се налага да се водят отново преговори по тях. На последно място, установяването на общи стандарти в тази ключова, но сложна област на сътрудничество, е важно постижение, което може значително да допринесе за възстановяване на доверието в трансатлантическите потоци от данни.
2.ПРАВНО ОСНОВАНИЕ, СУБСИДИАРНОСТ И ПРОПОРЦИОНАЛНОСТ
•Правно основание
Правното основание за това предложение е член 16 от ДФЕС във връзка с член 218, параграф 6, буква а) от ДФЕС.
•Субсидиарност
Рамковото споразумение попада в изключителната компетентност на ЕС по силата на член 3, параграф 2 от ДФЕС. Следователно принципът за субсидиарност не се прилага.
•Пропорционалност
Рамковото споразумение предвижда гаранциите за защита на данните, изисквани съгласно изготвените от Съвета указания за водене на преговори. Те се смятат за елементи, необходими за осигуряването на изискваната степен на защита при предаване на лични данни на трета държава, както съгласно Хартата на основните права, така и съгласно развиващите се достижения на правото на ЕС. Нито значително по-малък набор от такива гаранции, нито инструмент с по-малка задължителна сила не може да се сметне за достатъчен за предоставяне на такова ниво на защита. Следователно предложението не отива отвъд необходимото, за да се постигне целта на политиката за установяване на рамка за защита на личните данни при предаването им между Съединените щати, от една страна, и Европейския съюз или неговите държави членки, от друга, в контекста на правоприлагането.
•Избор на инструмент
Установяването на задължителна рамка за защита на личните данни, която ще допълва съществуващите споразумения и ще представлява основа за бъдещи споразумения, може да се гарантира само посредством международно споразумение, сключено между ЕС и Съединените щати.
В допълнение, както се подчертава в доклада на Контактната група на високо равнище от октомври 2009 г., международното споразумение предоставя най-високата степен на правна сигурност.
3.РЕЗУЛТАТИ ОТ ПОСЛЕДВАЩИТЕ ОЦЕНКИ, ОТ КОНСУЛТАЦИИТЕ СЪС ЗАИНТЕРЕСОВАНИТЕ СТРАНИ И ОТ ОЦЕНКИТЕ НА ВЪЗДЕЙСТВИЕТО
•Последващи оценки/проверки за пригодност на съществуващото законодателство
Не е приложимо.
•Консултации със заинтересованите страни
Комисията докладва редовно, както устно, така и писмено, пред определения за тази цел специален комитет на Съвета относно напредъка на преговорите. Европейският парламент е информиран редовно устно и писмено в рамките на неговата Комисия по граждански свободи, правосъдие и вътрешни работи (LIBE).
•Събиране и използване на експертни становища
С инициативата се изпълняват указанията на Съвета за водене на преговори от 3 декември 2010 г.
•Оценка на въздействието
Не бе необходима оценка на въздействието. Предложеното споразумение е в съответствие с указанията за водене на преговори на Съвета.
•Пригодност и опростяване на законодателството
Не е приложимо.
•Основни права
С разпоредбите на рамковото споразумение се цели да бъдат защитени основното право на защита на личните данни и правото на ефективни правни средства за защита и на справедлив съдебен процес, както са залегнали съответно в член 8 и член 47 от Хартата на основните права на Европейския съюз.
4.ОТРАЖЕНИЕ ВЪРХУ БЮДЖЕТА
Предложеното споразумение няма отражение върху бюджета.
5.ДРУГИ ЕЛЕМЕНТИ
•Планове за изпълнение и мерки за мониторинг, оценка и докладване
Ще е необходимо изпълнение от държавите членки, но не се очакват съществени законови изменения, тъй като материалноправните разпоредби на рамковото споразумение отразяват до голяма степен правила, които вече се прилагат по отношение на органите на ЕС и националните органи съгласно правото на ЕС и/или националното право.
•Подробно разяснение на конкретните разпоредби на предложението
Рамковото споразумение, в съответствие с указанията за водене на преговори на Съвета, обхваща пет категории разпоредби: i) хоризонтални разпоредби; ii) принципи и гаранции за защита на данните; iii) права на физическите лица; iv) аспекти, свързани с приложението на споразумението и надзора; и v) заключителни разпоредби.
i) Хоризонтални разпоредби
i) Предмет на споразумението (член 1)
За да се постигне целта на споразумението (т.е. да се гарантира високо ниво на защита на личната информация и да се засили сътрудничеството в областта на правоприлагането), рамковото споразумение създава уредба за защитата на личната информация при предаването ѝ между Съединените щати, от една страна, и Европейския съюз и неговите държави членки, от друга страна за предотвратяването, разследването, разкриването или наказателното преследване на престъпления, включително тероризъм. Позоваването на понятията „предотвратяване, разкриване, разследване и наказателно преследване на престъпления“ (наричани по-долу общо с термина „правоприлагане“) гарантира, че настоящото споразумение ще е съвместимо със структурата на действащите и бъдещите достижения на правото на ЕС в областта на защитата на данните (по-специално разграничението между приложното поле на Регламента относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни („общ регламент относно защитата на данните“ 5 ) и на „Директивата за полицейското сътрудничество“).
Като посочва, че рамковото споразумение само по себе си не е правно основание за предаване на лична информация и че винаги се изисква (отделно) правно основание , член 1 също пояснява, че рамковото споразумение е по своята същност споразумение за основните права, установяващо набор от защити и гаранции, приложими към такова предаване.
ii) Определения (член 2)
Основните понятия в рамковото споразумение са определени в член 2. Определенията за „лична информация“, „обработване на лична информация“, „страни“, „държава членка“ и „компетентен орган“ по същество съответстват на определенията на тези понятия в други споразумения между ЕС и САЩ и/или в достиженията на правото на ЕС в областта на защитата на данните.
iii) Приложно поле на споразумението (член 3)
В член 3 от рамковото споразумение се определя неговото приложно поле . Този член гарантира, че защитите и гаранциите, които рамковото споразумение предоставя, се прилагат за всеки обмен на данни, осъществяван в контекста на трансатлантическото сътрудничество в областта на правоприлагането по наказателноправни въпроси. Това включва предаване въз основа на национално право, споразумения между ЕС и САЩ (например Договора за правна взаимопомощ между ЕС и САЩ), споразумения между държави членки на ЕС и САЩ (например договори за правна взаимопомощ, споразумения за засилване на сътрудничеството в предотвратяването и борбата с тежката престъпност, споразумения или договорености за информация относно проверки за разкриване на терористи), както и конкретни споразумения, предвиждащи предаването на лични данни от страна на частни субекти за целите на правоприлагането (например съгласно Споразумението за резервационните данни на пътниците („PNR данни“) 6 между ЕС и САЩ и Споразумението за програмата за проследяване на финансирането на тероризма 7 („ППФТ“). Приложното поле е формулирано „въз основа на предаването на данни“, т.е. по принцип то обхваща всяко предаване на данни за целите на наказателното правоприлагане между ЕС и САЩ, независимо от гражданството или местопребиваването на съответния субект на данните.
Рамковото споразумение няма да обхваща предаване на лични данните (или други форми на сътрудничество) между органите на САЩ и органите на държавите членки, отговарящи за опазването на националната сигурност.
iv) Недискриминация (член 4)
Член 4 предвижда, че всяка страна ще изпълнява рамковото споразумение без произволна или необоснована дискриминация между гражданите си и гражданите на другата страна.
Този член допълва и засилва други разпоредби в споразумението (по-специално членовете, предоставящи гаранции на физическите лица като достъп, поправяне и защита по административен ред, вж. по-долу), тъй като гарантира, че европейските граждани принципно ще се ползват от равно третиране спрямо гражданите на САЩ по отношение на практическото изпълнение на тези разпоредби от органите на САЩ.
v) Действие на споразумението (член 5)
Що се отнася до съществуващите споразумения между ЕС/държавите членки и САЩ, рамковото споразумение ще ги допълва при необходимост, т.е. ако и доколкото в тях липсват необходимите гаранции за защита на данните 8 .
Ефективното изпълнение на рамковото споразумение (и по-специално на членовете му относно правата на физическите лица) е свързано с презумпцията за съвместимост с приложимите правила за международно предаване на данни. Тази презумция не е нито автоматична, нито обща и, подобно на всички презумпции, може да бъде оборена. Тя не е автоматична презумпция, защото приложението ѝ зависи изрично от ефективното изпълнение на рамковото споразумение от САЩ и по-конкретно — както изрично се посочва в член 5, параграф 2 — от ефективното изпълнение на членовете относно правата на физическите лица (по-специално по отношение на достъпа, поправянето и защитата по административен и съдебен ред). Тя също така не е обща презумпция: предвид това, че рамковото споразумение не е „самостоятелен“ инструмент за предаване на данни, презумпцията по необходимост се прилага в зависимост от всеки отделен случай, т.е. като се оценява дали комбинацията от рамковото споразумение и конкретното правно основание за предаването предоставят ниво на защита в съответствие с правилата на ЕС за защита на данните. С други думи, за разлика от констатацията за адекватност, тази клауза не предоставя признаване en bloc на нивото на защита, предоставяно в САЩ, или общо разрешение за предаване на данни.
ii) Принципи и гаранции за защита на данните
Членовете, описани по-долу, обхващат важни принципи, уреждащи обработването на лични данни, както и ключови гаранции и ограничения.
i) Ограничения на предмета и използването (член 6)
В съответствие с Хартата на основните права на ЕС и достиженията на правото на ЕС, член 6 прилага принципа за ограничаване на предмета спрямо всяко предаване на лични данни, обхванато от рамковото споразумение, както за предаване по отношение на конкретни случаи, така и когато САЩ и ЕС/неговите държави членки сключват споразумение, разрешаващо предаването на масиви лични данни. Обработването (което включва предаването) може да се осъществява само за изрични и законни цели в рамките на приложното поле на рамковото споразумение, т.е. предотвратяването, разследването, разкриването и наказателното преследване на престъпления, включително тероризъм.
Освен това по-нататъшното обработване на лична информация от други (правоприлагащи, регулаторни или административни) органи, различни от първия приемащ орган на дадена страна, се разрешава, при условие че не е несъвместимо с целите, за които е направено първоначалното предаване и че този друг орган спазва всички останали разпоредби на рамковото споразумение.
Предаващият компетентен орган може също да наложи допълнителни условия (например за използването на данните) в конкретни случаи.
Накрая, личната информация се обработва само „по начин, който е пряко свързан и не е прекомерен или твърде обширен по отношение на целите на такова обработване“.
Член 6 е ключова разпоредба в споразумението: той гарантира прилагането на гаранциите за целия „жизнен цикъл“ на определен набор от данни — от първоначалното предаване от ЕС до обработването от страна на компетентния орган на САЩ и обратното, както и възможното по-нататъшно споделяне със/обработване от друг орган на САЩ или, в случая с предаване на данни от САЩ на компетентен орган на ЕС или (една от) неговите държави членки, възможното по-нататъшно споделяне със/ обработване от друг орган на ЕС или на държава членка.
ii) Последващо предаване (член 7)
Ограниченията за последващото предаване, посочени в член 7, изискват в случай че орган на САЩ възнамерява да предаде данните, които е получил от ЕС или от негова държава членка на трета държава/международна организация, необвързана от споразумението, той да трябва първо да получи съгласието на правоприлагащия орган в ЕС, извършил първоначалното предаване на данните на Съединените щати. Това правило се прилага по същия начин за случаи, когато ЕС или някоя от неговите държави членки възнамерява да предаде данни, получени от САЩ, на трета държава/международна организация.
При предоставяне на съгласието си за предаване, компетентният орган, който първоначално е предал информацията, трябва да отчете всички релевантни фактори, включително целта, с която данните са били първоначално предадени, и дали държавата или международната организация осигуряват подходящо ниво на защита на личната информация. Той може също така да наложи конкретни условия за предаването.
Нещо повече, по отношение на членовете за ограничаване на предмета(вж. член 6 по-горе), сроковете на съхранение (вж. член 12 по-долу) и чувствителните данни (вж. член 13 по-долу), този член изрично взема предвид чувствителния характер на предаването на масиви от данни, засягащи незаподозрени лица (например резервационни данни за всеки пътник, предприемащ полет, независимо от наличие на конкретно подозрение), тъй като предвижда, че всякакво по-нататъшно предаване на лична информация „по друг повод освен във връзка с конкретни случаи“ може да се осъществи единствено при конкретните условия, посочени в споразумението, предоставящи надлежно обосноваване на последващото предаване.
Особената ситуация на последващо предаване към друга държава в рамките на ЕС (например френската полиция споделя с германската полиция информация от американското Федерално бюро за разследване) също е обхваната от този член (параграф 4), в който се постановява, че ако по действащите правила подобно предаване е обект на предварително съгласие, органът, който първоначално е предал информацията (например американското Федерално бюро за разследване), няма да може да откаже съгласие или да наложи изисквания, обусловени от защитата на данните (тъй като всички участващи органи са обвързани от рамковото споразумение).
iii) Качество на данните и цялост на информацията (член 8)
Страните ще предприемат разумни стъпки, за да гарантират, че предаваните лични данни се поддържат с такава точност, релевантност, актуалност и пълнота, каквито са необходими и целесъобразни за осигуряване на законосъобразно обработване на информацията. Когато получаващият или предаващият орган има значителни съмнения относно точността, релевантността, актуалността и пълнотата на получените или предадените лични данни, той уведомява, когато е възможно, предаващия/получаващия орган за това.
iv) Сигурност на информацията (член 9) и уведомяване за инцидент, свързан със сигурността на информацията (член 10)
Тези членове допринасят за гарантиране на висока степен на сигурност на личните данни, предмет на обмен от страните по рамковото споразумение.
Първо, по силата на член 9 страните осигуряват подходящи технически и организационни мерки и мерки за сигурност за защита на личната информация срещу случайно или неправомерно унищожаване, случайна загуба и неразрешено разкриване, промяна, достъп или друго обработване. Тези мерки включват също гаранции, че достъп до лична информация се предоставя само на персонал, получил разрешение за това.
На второ място, по силата на член 10 в случай на инцидент, свързан със сигурността на информацията, представляващ значителен риск от настъпването на вреди, се предприемат незабавно подходящи действия за намаляване на вредите, включително уведомяване на предаващия орган и, когато е уместно предвид обстоятелствата на инцидента, засегнатото физическо лице. Разпоредбата съдържа изчерпателен списък с изключенията от задължението за уведомяване, които отговарят на разумните ограничения (напр. национална сигурност).
v) Поддържане на записи (член 11)
Страните трябва да въведат ефективни начини (като регистрационни файлове) за доказване на законосъобразността на обработването и използването на лична информация.
Това изискване представлява значителна гаранция за физическите лица, тъй като налага на правоприлагащите органи задължението да докажат, че дадена операция за обработване на данните е извършена съгласно закона. Задължението да се документират операциите за обработване на данните води по-специално до това да има „следа“ в случай на неправомерно обработване. Това следва да улесни разглеждането на жалби и подаването на искове във връзка със законосъобразността на операциите за обработване.
vi) Срок на съхранение (член 12)
Обработването на данни ще бъде предмет на специфични срокове на съхранение, за да се гарантира, че данните няма да се съхраняват по-дълго, отколкото е необходимо и подходящо. За да се определи продължителността на тези срокове на съхранение, трябва да се вземат предвид редица елементи, по-специално целта на обработването или използването, естеството на данните и въздействието върху правата и интересите на засегнатите субекти на данните.
Уточнява се също, че когато страните сключат споразумение за предаване на „масиви от данни“, такова споразумение трябва да съдържа специална разпоредба за приложимия срок на съхранение. С тази разпоредба страните приемат принципа, че такива споразумения за предаване на масиви от данни трябва да съдържат специфичен срок на съхранение, който следователно не трябва да се договаря отново.
Сроковете на съхранение ще са предмет на периодични прегледи, за да се определи дали променените обстоятелства налагат изменение на съответния срок.
За да се гарантира прозрачност, сроковете на съхранение трябва да се публикуват или оповестяват по друг начин.
vii) Специални категории данни (член 13)
Обработването на лични данни, разкриващи расов или етнически произход, политически убеждения или религиозни или други вярвания, членство в синдикални организации или лична информация, отнасяща се до здравето или сексуалния живот, може да се осъществява единствено когато има предвидени подходящи гаранции в съответствие със закона (напр. да се маскира информацията след осъществяване на целта, за която е обработена, или изискване на одобрение от надзорните органи за получаване на достъп до информацията).
Споразуменията, позволяващи предаването на „масиви от данни“, ще трябва допълнително да определят стандартите и условията, при които могат да се обработват специалните категории данни.
Разпоредбите за специалните категории данни са съвместими с изискването, че обработването се извършва по начин, който е пряко свързан и не е прекомерен по отношение на целите на такова обработване,съгласно член 6 за ограничаването на предмета и използването.
viii) Автоматизирани решения (член 15)
Обработването на данни, което може да има за резултат решения с отрицателни последици върху физическо лице (напр. при профилиране), не може да се основава единствено на автоматичното обработване на лична информация, освен ако това се разрешава в националното право, и при условие че съществуват подходящи гаранции, включително възможността да се изиска човешка намеса.
ix) Прозрачност (член 20)
Физическите лица имат право да получават информация (чрез общи известия или чрез лично известяване, подлежащи на „разумни ограничения“) относно целта на обработването и възможното по-нататъшно използване на личните им данни, законите или правилата, в съответствие с които се извършва обработването, кои са третите страни, на които може да бъде разкрита личната им информация, както и съществуващите механизми за достъп, поправяне и правна защита.
Повишаването на осведомеността сред физическите лица относно това защо и от кого се обработват техните данни спомага за възможността им да упражняват правата си на достъп, поправяне и правна защита (вж. чл. 16 —19 по-долу).
iii) Права на физическите лица
Тези права имат особено значение за защитата на субектите на данните, които за първи път ще могат да се позоват на права с общо приложение за всяко трансатлантическо предаване на лични данни в областта на наказателното правоприлагане.
i) Достъп и поправяне (член 16 и член 17)
Правото на достъп позволява на всяко физическо лице да поиска и да получи достъп до личните си данни. Основанията за ограничаване на достъпа са посочени изчерпателно и съответстват на разумните ограничения (напр. защитата на националната сигурност, ако се възпрепятства разследване или съдебно преследване на престъпления, защитата на правата и свободите на други). На физическото лице не могат да се налагат прекомерни разноски като условие за достъп до личната му информация.
Правото на поправяне позволява на всяко физическо лице да поиска коригиране или поправяне на личните си данни в случай, че са или неточни, или предмет на неправилно обработване. Това може да включва допълване, заличаване, блокиране или други мерки или методи за поправяне на неточностите или неправилното обработване.
Когато компетентният орган на приемащата държава направи заключение, след подадено искане от страна на физическо лице, уведомление от предоставящия личната информация орган или собствено разследване, че информацията е неточна или е била предмет на неправилно обработване, той взема мерки за допълване, заличаване, блокиране или други мерки за корекция или поправяне.
Когато се позволява от националното право, всяко физическо лице има правото да упълномощи надзорен орган (т.е. национален орган за защита на данните за субект на данни от ЕС) да поиска достъп или поправяне от негово име. Тази възможност за непряко упражняване на права посредством даден орган и в рамките на правна система, с които са запознати, следва конкретно да е от помощ за субектите на данните, когато искат да упражнят правата си.
Ако исканията за достъп или поправяне бъдат отказани или ограничени, органът, в който е постъпило искането, предоставя на физическото лице (или негов надлежно упълномощен представител) отговор, в който се посочват причините за отказа или ограничението на достъпа или поправянето. Задължението да се предостави обоснован отговор на физическото лице цели да се позволи и улесни упражняването на правото му на защита по съдебен или административен ред, в случай че съответният правоприлагащ орган откаже или ограничи достъпа/поправянето.
ii) Защита по административен ред (член 18)
Ако физическо лице не е съгласно с решението по негово искане за достъп/поправяне на личните данни, то ще има право да потърси защита по административен ред. По отношение на достъпа и поправянето, с цел да се улесни ефективното упражняване на това право, съответният субект на данните има правото да упълномощи надзорен орган (т.е. национален орган за защита на данните за субект на данни от ЕС) или друг представител, когато това се позволява по приложимото национално право.
Органът, от който се търсят корективни действия, ще предостави на съответния субект на данните писмен отговор, посочвайки, когато е приложимо, предприетите действия за подобряване или коригиране на ситуацията.
iii) Защита по съдебен ред (член 19)
Гражданите на всяка от страните по споразумението могат да потърсят съдебна защита в случай на i) отказ на достъп, ii) отказ за поправяне или iii) незаконно разкриване от органите на другата страна.
В САЩ това е отразено в Закона за съдебната защита, подписан от президента Обама на 24 февруари 2016 г. Този Закон ще прилага и за гражданите на „обхванатите държави“ 9 трите основания за съдебна защита, предвидени съгласно Закона на САЩ за защита на личните данни от 1974 г., но които понастоящем са на разположение само за гражданите на САЩ и на постоянно пребиваващите в тази държава. Четвъртото съображение в преамбюла на рамковото споразумение пояснява, че това разширяване на прилагането ще обхване също данните, предмет на обмен съгласно споразуменията за резервационните данни на пътниците и ППФТ. Заедно с приемането на Закона за съдебната защита, член 19 ще подобри значително съдебната закрила за гражданите на ЕС.
Въпреки че Законът за съдебната защита съдържа редица ограничения (по-специално, той се прилага само за данните на граждани от „обхванатите държави“, предадени по-специално от правоприлагащите органи на ЕС, т.е. за граждани на ЕС, но и не само за тях), член 19 от рамковото споразумение удовлетворява искане, което ЕС бе отправил много отдавна.
Разпоредбата отговаря на политическите насоки на председателя Юнкер, според които „Съединените щати трябва [...] да гарантират, че всички граждани на ЕС имат право да упражняват правата си за защита на данните в американските съдилища, независимо от това дали пребивават в САЩ. Премахването на такава дискриминация ще е от съществено значение за възстановяване на доверието в трансатлантическите отношения“. По същия начин това съответства на Резолюцията на Европейския парламент от 12 март 2014 г. относно програмата за наблюдение на Агенцията за национална сигурност на САЩ, чрез която Парламентът поиска незабавното подновяване на преговорите със САЩ по „рамковото споразумение“, така че САЩ „да поставят правата на гражданите на ЕС на равна основа с правата на гражданите на САЩ (…)“ и да се предоставят „ефективни административни и съдебни средства за защита с изпълнителна сила в САЩ, недопускащи дискриминация“ 10 .
Параграф 3 на член 19 пояснява, че разширяването на трите гореспоменати основания за съдебна защита не засяга евентуалните други начини за съдебен контрол, които съществуват по отношение на обработването на данни (напр. съгласно Административно-процесуалния закон, Закона за неприкосновеността на личния живот в областта на електронните комуникации или Закона за свободата на информацията). Тези други правни основания за съдебен контрол са отворени за всички субекти на данни от ЕС, засегнати от предаването на данни за целите на правоприлагането, независимо от тяхното гражданство или местопребиваване.
iv) Аспекти, свързани с прилагането на рамковото споразумение и надзора
i) Отчетност (член 14)
Приемат се мерки за насърчаване на отчетността на органите, обработващи личната информация, обхваната от рамковото споразумение. По-специално, при последващо предаване на лични данни от получаващия орган към други органи последните следва да бъдат информирани за гаранциите, приложими съгласно настоящото споразумение, както и за възможни допълнителни (ограничителни) условия, които се прилагат спрямо предаването по силата на член 6, параграф 3 (относно ограниченията на предмета и използването). Сериозни нарушения се третират чрез целесъобразни и възпиращи наказателни, граждански или административни санкции.
Мерките за насърчаване на отчетността включват също, когато е уместно, преустановяването на последващото предаване на лични данни към субекти на страните, които не се обхващат от рамковото споразумение, в случай, че те не гарантират ефективна защита на личната информация с оглед предмета на споразумението (и по-конкретно разпоредбите за ограничаването на предмета и последващото предаване). Тази разпоредба урежда ситуация, при която личните данни са изпратени от орган на ЕС до федерален орган на САЩ (т.е. орган, обхванат от настоящото споразумение) и след това се предават на правоприлагащ орган на щатско равнище. Съгласно конституцията на САЩ, САЩ са ограничени във възможността си да обвързват федеративните щати на международно равнище 11 . При все това, за да се гарантира непрекъснатостта на защитата на данните, предадени на федерални агенции на САЩ и след това споделени с правоприлагащи органи на щатско равнище, този член i) включва в приложното си поле „други органи“ на страните (т.е. органи, които не се обхващат от настоящото споразумение, като например щатски органи на САЩ); ii) посочва, че гаранциите, предоставени по настоящото споразумение, им се съобщават; и iii) предвижда, че когато е уместно предаването до такива органи се преустановява, ако те не защитават ефективно личните данни с оглед предмета на рамковото споразумение и по-специално членовете за ограничаването на предмета и последващото предаване .
Като цели да гарантира, че компетентните правоприлагащи органи ще бъдат държани отговорни за спазването на рамковото споразумение, този член е важен градивен елемент на една ефективна система на изпълнение и надзор по силата на споразумението. Той също така ще улесни подаването на искове от страна на физически лица в случай на нарушения (и съответната отговорност на публичните органи).
Накрая, органите на ЕС ще могат да изразяват възникнали опасения и да получават съответната информация от партньорите си от САЩ относно това как те спазват задълженията си по член 14 (включително и предприетите в това отношение мерки ). Също така по време на съвместните прегледи (вж. чл. 23 по-долу) ще се обръща специално внимание на ефективното изпълнение на този член.
ii) Ефективен надзор (член 21)
Страните имат един или повече публични органи, упражняващи функции и правомощия на независим надзор, в това число контрол, разследване и намеса. Тези органи имат правомощието да приемат и да предприемат действия по жалби, подадени от физически лица във връзка с мерките за изпълнение на рамковото споразумение, и да отнасят нарушения, свързани с настоящото споразумение, за наказателно преследване или дисциплинарни действия. Предвид особеностите на системата на САЩ, различни надзорни органи (включително главните служители по неприкосновеността на личния живот (Chief Privacy Officers), главните инспектори (Inspector Generals), Надзорния съвет за неприкосновеност на личния живот и гражданските свободи (Privacy and Civil Liberties Oversight Board) и т.н.) ще упражняват съвместно надзорните функции, изпълнявани от органите за защита на данните в ЕС.
Този член допълва наличните гаранции въз основа на разпоредбите за достъп, поправяне и защита по административен ред. По-специално той позволява на физическите лица да подават жалби пред независими органи относно това как другата страна изпълнява рамковото споразумение.
iii) Сътрудничество между надзорните органи (член 22)
Надзорните органи ще си сътрудничат с цел да се гарантира ефективно изпълнение на споразумението и по-специално по отношение на системата за непряко упражняване на правата на физическите лица на достъп, поправяне и защита по административен ред (вж. чл. 16 —18 по-горе).
В допълнение се създават национални звена за контакт, които да оказват помощ при установяване на надзорния орган, към който да се обърне лицето в конкретния случай. Предвид наличието на редица различни надзорни органи в САЩ, създаването на централно „входящо звено“ за искания за помощ и сътрудничество трябва да спомогне за ефикасното обработване на такива искания.
iv) Съвместен преглед (член 23)
Страните ще провеждат периодични съвместни прегледи на изпълнението и ефективността на рамковото споразумение, като обръщат особено внимание на ефективното изпълнение на членовете, отнасящи се до правата на физическите лица (достъп, поправяне, административна и съдебна защита), както и на въпроса за предаването на данни на териториални единици, които не се обхващат от споразумението (т.е. щатите на САЩ). Първият съвместен преглед ще се проведе не по-късно от три години след влизането в сила на споразумението и редовно след това.
Съставът на съответните делегации включва представители както на органите за защита на данните, така и на правоприлагащите/съдебните органи. Заключенията от съвместните прегледи се оповестяват публично.
v) Заключителни разпоредби
Рамковото споразумение съдържа редица заключителни клаузи относно:
— уведомяването на другата страна за нормативни актове, които имат съществено отражение върху изпълнението на споразумението. САЩ ще уведомят ЕС по-специално по отношение на всички мерки, свързани с прилагането на разпоредбите от Закона за съдебната защита (член 24);
— консултации в случай на спор относно тълкуването или прилагането на споразумението (член 25);
— възможността едната страна да суспендира споразумението в случай на съществено нарушение на споразумението от другата страна (член 26);
— териториалното приложение на споразумението, за да се отчете специфичното положение на Обединеното кралство, Ирландия и Дания (член 27);
— неограничения срок на действие на споразумението (което се обосновава от естеството на споразумението, предоставящо защита и гаранции, както и предвид възможността за суспендиране и прекратяване на споразумението) (член 28);
— възможността всяка страна да прекрати споразумението с уведомяване на другата страна, като се уточнява, че личната информация, предадена преди прекратяването, ще продължи да се обработва в съответствие с правилата на рамковото споразумение (член 29, параграфи 2 и 3);
— влизането в сила на споразумението на първия ден от месеца, следващ датата, на която страните са разменили уведомления относно приключването на вътрешните процедури за одобрение (член 29, параграф 1);
— езиковата клауза (непосредствено преди реда за подпис), предвиждаща, че i) споразумението ще се подпише на английски език и ще се състави от ЕС на останалите 23 официални езика на ЕС; ii) възможността след подписване текстът на споразумението да бъде заверен на всеки от останалите официални езици на ЕС посредством обмен на дипломатически ноти със САЩ; iii) в случай на разлики между различните автентични езикови версии на споразумението, версията на английски език ще има превес.
2016/0126 (NLE)
Предложение за
РЕШЕНИЕ НА СЪВЕТА
относно сключването, от името на Европейския съюз, на Споразумение между Съединените американски щати и Европейския съюз относно защитата на личната информация във връзка с предотвратяването, разследването, разкриването и наказателното преследване на престъпления
СЪВЕТЪТ НА ЕВРОПЕЙСКИЯ СЪЮЗ,
Като взе предвид Договора за функционирането на Европейския съюз, и по-специално член 16 във връзка с член 218, параграф 6, буква а) от него,
Като взе предвид предложението на Европейската комисия,
Като взе предвид одобрението на Европейския парламент, 12
След консултация с Европейския надзорен орган по защита на данните,
Като има предвид, че:
(1)Съгласно Решение […] от […] 13 на Съвета, Споразумението между Съединените американски щати и Европейския съюз относно защитата на личната информация във връзка с предотвратяването, разследването, разкриването и наказателното преследване на престъпления („споразумението“), бе подписано на XX XXXX 2016 г., при условие че бъде сключено на по-късна дата.
(2)Споразумението цели да се създаде всеобхватна рамка от принципи и гаранции за защита на данните при предаването на лична информация за целите на наказателното правоприлагане между САЩ, от една страна, и ЕС или неговите държавите членки, от друга. Целта е да се гарантира високо ниво на защита на данните и по този начин да се засили сътрудничеството между страните. Въпреки че само по себе си рамковото споразумение не е правно основание за предаване на лична информация на САЩ, то допълва, когато е необходимо, гаранциите в съществуващите и бъдещите споразумения за предаване на данни или националните разпоредби, позволяващи такова предаване.
(3)Съюзът е компетентен по отношение на всички разпоредби в споразумението. По-специално, Съюзът е приел Директива 2016/XXX/ЕС 14 относно защитата на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказателни санкции и относно свободното движение на такива данни.
(4)Европейският съюз разполага с изключителна компетентност, доколкото споразумението може да засегне общи правила на Съюза или да измени приложното им поле.
(5)В съответствие с член 6а от Протокол № 21 относно позицията на Обединеното кралство и Ирландия по отношение на пространството на свобода, сигурност и правосъдие, приложен към ДЕС и към ДФЕС, Обединеното кралство и Ирландия не са обвързани от заложените в настоящото споразумение правила, отнасящи се до обработването на лични данни при извършването на дейности, попадащи в приложното поле на част трета, дял V, глава 4 (Съдебно сътрудничество по наказателноправни въпроси) или глава 5 (Полицейско сътрудничество) от ДФЕС, когато Обединеното кралство и Ирландия не са обвързани от правилата, изискващи съблюдаване на споразумението.
(6)В съответствие с членове 1 и 2 от Протокол № 22 относно позицията на Дания, приложен към Договора за Европейския съюз и към Договора за функционирането на Европейския съюз, Дания не участва в приемането на настоящото решение и не е обвързана от споразумението, нито от неговото прилагане.
(7)Споразумението следва да бъде одобрено от името на Съюза.
ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:
Член 1
Споразумението между Съединените американски щати и Европейския съюз относно защитата на личната информация във връзка с предотвратяването, разследването, разкриването и наказателното преследване на престъпления се одобрява от името на Европейския съюз.
Текстът на споразумението е приложен към настоящото решение.
Член 2
Председателят на Съвета посочва лицето, упълномощено да извърши от името на Съюза нотифицирането, предвидено в член 29, параграф 1 от споразумението, за да изрази съгласието на Европейския съюз да бъде обвързван със споразумението.
Член 3
Настоящото решение влиза в сила в деня на публикуването му в Официален вестник на Европейския съюз 15 .
Съставено в Брюксел на година.
За Съвета
Председател
ЕВРОПЕЙСКА КОМИСИЯ
Брюксел, 29.4.2016
COM(2016) 237 final
ПРИЛОЖЕНИЕ
СПОРАЗУМЕНИЕ МЕЖДУ СЪЕДИНЕНИТЕ АМЕРИКАНСКИ ЩАТИ И
ЕВРОПЕЙСКИЯ СЪЮЗ ОТНОСНО ЗАЩИТАТА НА ЛИЧНАТА ИНФОРМАЦИЯ ВЪВ ВРЪЗКА С ПРЕДОТВРАТЯВАНЕТО, РАЗСЛЕДВАНЕТО, РАЗКРИВАНЕТО И НАКАЗАТЕЛНОТО ПРЕСЛЕДВАНЕ НА ПРЕСТЪПЛЕНИЯ
придружаващо
Предложение за Решение на Съвета
относно сключването, от името на Европейския съюз, на Споразумение между Съединените американски щати и Европейския съюз относно защитата на личната информация във връзка с предотвратяването, разследването, разкриването и наказателното преследване на престъпления
СПОРАЗУМЕНИЕ МЕЖДУ СЪЕДИНЕНИТЕ АМЕРИКАНСКИ ЩАТИ И
ЕВРОПЕЙСКИЯ СЪЮЗ ОТНОСНО ЗАЩИТАТА НА ЛИЧНАТА ИНФОРМАЦИЯ ВЪВ ВРЪЗКА С предотвратяването, разследването, разкриването и наказателното преследване на престъпления
СЪДЪРЖАНИЕ
Преамбюл
Член 1: Предмет
Член 2: Определения
Член 3: Приложно поле
Член 4: Недискриминация
Член 5: Действие на споразумението
Член 6: Ограничения на предмета и използването
Член 7: Последващо предаване
Член 8: Поддържане на качеството и целостта на информацията
Член 9: Сигурност на информацията
Член 10: Уведомяване за инцидент, свързан със сигурността на информацията
Член 11: Поддържане на записи
Член 12: Срок на съхранение
Член 13: Специални категории лична информация
Член 14: Отчетност
Член 15: Автоматизирани решения
Член 16: Достъп
Член 17: Поправяне
Член 18: Защита по административен ред
Член 19: Защита по съдебен ред
Член 20: Прозрачност
Член 21: Ефективен надзор
Член 22: Сътрудничество между надзорните органи
Член 23: Съвместен преглед
Член 24: Уведомяване
Член 25: Консултации
Член 26: Суспендиране
Член 27: Териториално приложение
Член 28: Срок
Член 29: Влизане в сила и прекратяване на прилагането
Като имат предвид, че Съединените щати и Европейският съюз се ангажират да осигурят високо ниво на защита на личната информация, разменяна в контекста на предотвратяването, разследването, разкриването и наказателното преследване на престъпления, включително тероризъм;
Като възнамеряват да създадат трайна правна уредба за улесняване на обмена на информация, което е от съществено значение за предотвратяването, разследването, разкриването и наказателното преследване на престъпления, включително тероризъм, като средство за защита на своите демократични общества и общите ценности;
Като възнамеряват по-специално да осигурят стандарти за защита на обмена на лична информация въз основата както на съществуващите, така и на бъдещите споразумения между САЩ и ЕС и неговите държави членки в областта на предотвратяването, разследването, разкриването и наказателното преследване на престъпления, включително тероризъм;
Като отчитат, че в някои от съществуващите между страните споразумения относно обработването на лична информация се предвижда, че тези споразумения осигуряват адекватно ниво на защита на данните в своето приложно поле, страните потвърждават, че настоящото споразумение не следва да се тълкува като изменящо, обуславящо или по друг начин дерогиращо тези споразумения; като отбелязват обаче, че задълженията по член 19 от настоящото споразумение относно търсенето на защита по съдебен ред ще се прилагат по отношение на всяко предаване, което попада в приложното поле на настоящото споразумение, и че това не засяга евентуалното бъдещо преразглеждане или изменение на такива споразумения в съответствие с техните разпоредби;
Като признават утвърдените традиции и на двете страни за зачитане на правото на личен живот, включително както са отразени в Принципите за неприкосновеност на личния живот и защитата на личните данни за целите на правоприлагането, разработени от Контактната група на високо равнище ЕС—САЩ относно обмена на информация и защитата на неприкосновеността на личния живот и личните данни, в Хартата на основните права на Европейския съюз и приложимото право на ЕС, Конституцията на Съединените щати и приложимите закони на САЩ, и Принципите на деонтологическия кодекс за информацията на Организацията за икономическо сътрудничество и развитие; и
Като отчитат принципите на пропорционалност и необходимост, както и на релевантност и основателност, както се прилагат от страните в съответните им правни уредби;
Съединените американски щати и Европейският съюз СЕ СПОРАЗУМЯХА ЗА СЛЕДНОТО:
Член 1: Предмет на споразумението
1. Предметът на настоящото споразумение е да се осигури високо ниво на защита на личната информация и да се засили сътрудничеството между Съединените щати и Европейския съюз и неговите държави членки в областта на предотвратяването, разследването, разкриването и наказателното преследване на престъпления, включително тероризъм.
2. За тази цел с настоящото споразумение се създава уредба на защитата на личната информация при предаването ѝ между Съединените щати, от една страна, и Европейския съюз и неговите държави членки, от друга страна.
3. Настоящото споразумение само по себе си не може да бъде правно основание за предаването на лична информация. За подобно предаване винаги се изисква наличието на правно основание.
Член 2: Определения
За целите на настоящото споразумение:
1.„Лична информация“ е информация, свързана с физическо лице, чиято самоличност е или може да бъде установена; Физическо лице, чиято самоличност може да бъде установена, е лице, което може да бъде идентифицирано пряко или косвено, по-специално по идентификационен номер или по един или няколко елемента, които са специфични за неговата физическа, физиологическа, психическа, икономическа, културна или социална идентичност.
2.„Обработване на лична информация“ е всяка операция или набор от операции, чрез които се прави събиране, поддържане, използване, изменение, организиране или структуриране, разкриване или разпространение, или освобождаване от информация.
3.„Страни“ са Европейският съюз и Съединените американски щати.
4.„Държава членка“ е държава — членка на Европейския съюз.
5.„Компетентен орган“ е за Съединените щати — американски национален правоприлагащ орган, който отговаря за предотвратяването, разследването, разкриването или наказателното преследване на престъпления, включително тероризъм, а за Европейския съюз — орган на Европейския съюз и орган на държава членка, който отговаря за предотвратяването, разследването, разкриването или наказателното преследване на престъпления, включително тероризъм.
Член 3: Приложно поле
1. Настоящото споразумение се прилага към личната информация, предавана между компетентните органи на едната страна и компетентните органи на другата страна или предавана по друг начин в съответствие със споразумение, сключено между Съединените щати и Европейския съюз или неговите държави членки, за целите на предотвратяването, разкриването, разследването и наказателното преследване на престъпления, включително тероризъм.
2. Настоящото споразумение не засяга и не накърнява предаването или другите форми на сътрудничество между органите на държавите членки и на Съединените щати, различни от посочените в член 2, параграф 5, които отговарят за опазване на националната сигурност.
Член 4: Недискриминация
Всяка от страните изпълнява задълженията си по настоящото споразумение за целите на защитата на личната информация на собствените си граждани и на гражданите на другата страна, независимо от гражданството им и без произволна и необоснована дискриминация.
Член 5: Действие на споразумението
1. Настоящото споразумение допълва при необходимост, но не заменя разпоредбите относно защитата на личната информация в международни споразумения между страните или между Съединените щати и държавите членки, които уреждат въпроси, попадащи в приложното поле на настоящото споразумение.
2. Страните предприемат всички необходими мерки за изпълнение на настоящото споразумение, в това число по-специално своите съответни, предвидени в него задължения във връзка с достъпа, поправянето и търсенето на защита по административен и съдебен ред от страна на физически лица. Физическите лица и образуванията се ползват със защитата на правата си и средствата за защита, предвидени в настоящото споразумение, по предвидения за това начин в приложимото национално право на всяка от страните. Задълженията на Съединените щати се прилагат по начин, съвместим с основните принципи на федерализма.
3. С привеждането в действие на параграф 2 обработването на лична информация от Съединените щати или Европейския съюз и неговите държави членки, по отношение на въпросите, попадащи в приложното поле на настоящото споразумение, се счита за съобразено със съответното им законодателство в областта на защитата на данните, което ограничава или обуславя международното предаване на лична информация, и няма да се изисква получаването на допълнително разрешение по силата на такова законодателство.
Член 6: Ограничения на предмета и използването
1. Предаването на лична информация за конкретни цели е разрешено от правното основание за предаването, предвидено в член 1.
2. По-нататъшното обработване на лична информация от една от страните не трябва да бъде несъвместимо с целите, за които е предадена информацията. Обработване, съвместимо с целите, включва обработване, извършвано съгласно условията на съществуващите международни споразумения и писмената международна уредба на предотвратяването, разкриването, разследването или наказателното преследване на тежки престъпления. Всяко такова обработване на лична информация от други национални правоприлагащи, регулаторни или административни органи трябва да спазва другите разпоредби на настоящото споразумение.
3. Настоящият член не засяга възможността в конкретен случай предаващият компетентен орган да наложи допълнителни условия, доколкото приложимата правна уредба за предаването позволява това. Такива условия не могат да включват общи условия за защита на данните, т.е. наложени условия, които не са свързани с конкретните факти по случая. Ако информацията е обект на условия, приемащият компетентен орган се съобразява с тях. Компетентният орган, предоставящ информацията, може също така да изиска получателят да даде информация относно използването на предадената информация.
4. Когато Съединените щати, от една страна, и Европейският съюз или държава членка, от друга страна, сключат споразумение относно предаването на лична информация по друг повод освен във връзка с конкретни случаи, разследвания или наказателни преследвания, целите, за които е посочено, че се предава и обработва информацията, се определят допълнително в такова споразумение.
5. Страните следят за това съгласно съответните си законодателства личната информация да се обработва по начин, който е пряко свързан и не е прекомерен или твърде обширен по отношение на целите на такова обработване.
Член 7: Последващо предаване
1. Когато компетентен орган на едната страна е предал лична информация, отнасяща се до конкретен случай, на компетентен орган на другата страна, тази информация може да бъде предадена на държава, която не е обвързана от настоящото споразумение, или на международен орган само ако е получено предварителното съгласие на компетентния орган, който първоначално е изпратил тази информация.
2. При предоставяне на съгласието си за предаване по параграф 1 компетентният орган, който първоначално е предал информацията, трябва да отчете всички релевантни фактори, включително тежестта на престъплението, целта, с която данните са били първоначално предадени, и дали държавата, която не е обвързана от настоящото споразумение, или международният орган осигурява подходящо ниво на защита на личната информация. Той може също така да се обвърже предаването с определени условия.
3. Когато Съединените щати, от една страна, и Европейският съюз или държава членка, от друга страна, сключат споразумение относно предаването на лична информация по друг повод освен във връзка с конкретни случаи, разследвания или наказателни преследвания, последващото предаване на лична информация може да се извърши само в съответствие с определени условия, предвидени в споразумението, които предоставят надлежна обосновка за последващото предаване. В споразумението трябва да се предвидят също така подходящи механизми за предоставяне на информация между компетентните органи.
4. Нищо в настоящия член не може се тълкува като засягащо определено изискване, задължение или практика, съгласно които предварителното съгласие на компетентния орган, който първоначално е предал информацията, трябва да бъде получено преди информацията да е предадена по-нататък на държава или орган, които са обвързани от настоящото споразумение, при условие че нивото на защита на данните в такава държава или орган не е основание за отказ на съгласие или за налагане на условия за такова предаване.
Член 8: Поддържане на качеството и целостта на информацията
Страните предприемат разумни мерки, за да осигурят поддържането на личната информация с такава точност, релевантност, актуалност и пълнота, каквито са необходими и целесъобразни за осигуряване на законосъобразно обработване на информацията. За тази цел компетентните органи прилагат процедури, чиято цел е да се осигурят качеството и целостта на личната информация, включително следното:
а) мерките по член 17;
б) когато предаващият компетентен орган има сериозни съмнения относно релевантността, актуалността, пълнотата или точността на такава лична информация или на оценка, която е предал, той уведомява, когато е възможно, приемащия компетентен орган за това;
в) когато приемащият компетентен орган има сериозни съмнения относно релевантността, актуалността, пълнотата или точността на лична информация, получена от държавен орган, или на оценка, извършена от предаващия компетентен орган, по отношение на точността на информацията или надеждността на източника, той уведомява, когато е възможно, предаващия компетентен орган за това.
Член 9: Сигурност на информацията
Страните гарантират осигуряването на подходящи технически и организационни мерки и мерки за сигурност за защита на личната информация срещу всичко, изброено по-долу:
а) случайно или неправомерно унищожаване;
б) случайна загуба; и
в) неразрешено разкриване, промяна, достъп или друг вид обработване.
Тези мерки трябва да съдържат подходящи гаранции по отношение на изискваното разрешение за достъп до лична информация.
Член 10: Уведомяване за инцидент, свързан със сигурността на информацията
1. При откриване на инцидент, свързан със случайна загуба или унищожаване, или неразрешен достъп, разкриване или промяна на лична информация, при който има значителен риск от настъпването на вреди, приемащият компетентен орган своевременно оценява вероятността и мащаба на вредите за физическите лица и за интегритета на програмата на предаващия компетентен орган, и своевременно предприема подходящи действия за намаляване на такива вреди.
2. Действията за намаляване на вредите включват уведомяване на предаващия компетентен орган. Уведомлението може обаче:
а) да включва подходящи ограничения за по-нататъшното предаване на уведомлението;
б) да бъде забавено или пропуснато, ако такова уведомление може да застраши националната сигурност;
в) да бъде забавено, ако такова уведомление може да застраши операции за обществена сигурност.
3. Действията за намаляване на вредите включват и уведомяване на физическото лице, когато това е целесъобразно, като се имат предвид обстоятелствата на инцидента, освен ако такова уведомяване може да застраши:
а) обществената или националната сигурност;
б) официални следствия, разследвания или производства;
в) предотвратяването, разкриването, разследването или наказателното преследване на престъпления;
г) правата и свободите на други лица, по-специално защитата на жертвите и свидетелите.
4. Компетентните органи, които участват в предаването на лична информация, могат да извършват справки относно инцидента и свързаните с него реакции.
Член 11: Поддържане на записи
1. Страните трябва да въведат ефективни начини за доказване на законосъобразността на обработването на личната информация, което може да включва използването на регистрационни файлове или други форми на запис.
2. Компетентните органи могат да използват такива регистрационни файлове или записи за поддържане на нормалното функциониране на съответните бази данни или файлове, за да се осигури целостта и сигурността на данните, и когато е необходимо, да следват процедури за резервно копиране.
Член 12: Срок на съхранение
1. Страните предвиждат в приложимите си правни уредби специфични срокове на съхранение на записите, съдържащи личната информация, чиято цел е да се осигури, че личната информация не се съхранява по-дълго, отколкото е необходимо и подходящо. Тези срокове на съхранение трябва да отчитат целите на обработването, естеството на данните и органа, който обработва информацията, въздействието върху съответните права и интереси на засегнатите физически лица и други приложими правни съображения.
2. Когато Съединените щати, от една страна, и Европейският съюз или държава членка, от друга страна, сключат споразумение относно предаването на лична информация по друг повод освен във връзка с конкретни случаи, разследвания или наказателни преследвания, такова споразумение трябва да включва специална и договорена по взаимно съгласие разпоредба за сроковете на съхранение.
3. Страните трябва да предвидят процедури за периодичен преглед на срока на съхранение, за да се определи дали променените обстоятелства налагат допълнително изменение на приложимия срок.
4. Страните публикуват или по друг начин оповестяват тези срокове на съхранение.
Член 13: Специални категории лична информация
1. Обработването на лична информация, разкриваща расов или етнически произход, политически убеждения или религиозни или други вярвания, членство в синдикални организации или лична информация, отнасяща се до здравето или сексуалния живот, се извършва само при наличието на подходящи гаранции в съответствие със закона. Такива подходящи гаранции може да включват: ограничаване на целите, за които информацията може да бъде обработвана, като например допускане на обработването само в зависимост от конкретния случай; маскиране, заличаване или блокиране на информацията след осъществяване на целите, за които е била обработвана; ограничаване на служителите, на които е разрешен достъп до информацията; изискване служителите, които имат достъп до информацията, да са преминали специализирано обучение; изискване на одобрение от надзорните органи за получаване на достъп до информацията; или други защитни мерки. При тези гаранции надлежно се отчитат естеството на информацията, особената чувствителност на информацията и целта, за която се обработва информацията.
2. Когато Съединените щати, от една страна, и Европейският съюз или държава членка, от друга страна, сключат споразумение относно предаването на лична информация по друг повод освен във връзка с конкретни случаи, разследвания или наказателни преследвания, в такова споразумение трябва да се уточняват допълнително стандартите и условията, при които тази информация може да бъде обработвана, като надлежно се отчитат естеството на информацията и целта, за която се използва.
Член 14: Отчетност
1. Страните трябва да въведат мерки за насърчаване на отчетността на обработването на личната информация в приложното поле на настоящото споразумение от своите компетентни органи и от всеки друг свой орган, на който е била предадена лична информация. Такива мерки трябва да включват уведомяване за гаранциите, приложими към предаването на лична информация съгласно настоящото споразумение, и за условията, които могат да бъдат налагани от предаващия компетентен орган съгласно член 6, параграф 3. Тежките нарушения трябва да се третират с помощта на целесъобразни и възпиращи наказателни, граждански или административни санкции.
2. Мерките, предвидени в параграф 1, включват, когато е целесъобразно, прекъсване на предаването на лична информация до органи на съставните териториални единици на страните, които не са обхванати от настоящото споразумение, които не са защитили ефективно личната информация, като се отчита целта на настоящото споразумение, и по-специално разпоредбите на настоящото споразумение за ограниченията на предмета и използването и за последващото предаване.
3. В случай на твърдения за неправилно прилагане на настоящия член всяка страна може да поиска от другата страна да ѝ предостави релевантна информация, включително, когато е уместно, относно мерките, предприети съгласно настоящия член.
Член 15: Автоматизирани решения
Решения, които имат значително неблагоприятно въздействие по отношение на релевантните интереси на физическото лице, не могат да се основават единствено на автоматично обработване на лична информация, без човешко участие, освен ако това е разрешено съгласно националното право и при наличието на подходящи гаранции, които включват възможността да се изиска човешка намеса.
Член 16: Достъп
1. Страните следят за това всяко физическо лице да може да поиска достъп до личната си информация и при спазване на ограниченията по параграф 2 да получи такъв достъп. Такъв достъп трябва да се поиска и получи от компетентния орган в съответствие с приложимата правна уредба на държавата, в която се търси защитата на правата.
2. Получаването на такава информация във всеки конкретен случай може да подлежи на разумни ограничения, предвидени в националното право, в които се отчитат законните интереси на засегнатото физическо лице, така че:
а) да се защитят правата и свободите на други лица, включително тяхната лична информация;
б) да се опази обществената и националната сигурност;
в) да се защити чувствителната информация в областта на правоприлагането;
г) да се избегне възпрепятстването на официални или съдебни следствия, разследвания или производства;
д) да се избегне неблагоприятно влияние върху предотвратяването, разкриването, разследването и наказателното преследване на престъпления или изпълнението на наказателни санкции;
е) по друг начин да се осигури защитата на предвидените в законодателството интереси, свързани със свободата на информацията и публичния достъп до документи.
3. Не е допустимо на физическото лице да се налагат прекомерни разноски като условие за достъп до личната му информация.
4. Когато това е допустимо по приложимото национално право, всяко физическо лице може да разреши на надзорен орган или на друг представител да поиска достъп от негово име.
5. В случай на отказ или ограничаване на достъпа замоленият компетентен орган, без необосновано забавяне, трябва да предостави на физическото лице или на неговия надлежно упълномощен представител, както е предвидено в параграф 4, основанията за отказа или ограничаването на достъпа.
Член 17: Поправяне
1. Страните следят за това всяко физическо лице да може да поиска коригиране или поправяне на личната си информация, за която твърди, че е неточна или че е била обработена неправилно. Коригирането или поправянето може да включва допълване, заличаване, блокиране или други мерки или начини за отстраняване на неточностите или на неправилното обработване. Такова коригиране или поправяне трябва да се поиска и получи от компетентния орган в съответствие с приложимата правна уредба на държавата, в която се търси защитата на правата.
2. Когато приемащият компетентен орган заключи вследствие на:
а) искане по параграф 1;
б) уведомление от доставчика; или
в) свои собствени разследвания или проведени анкети;
че информацията, получена по силата на настоящото споразумение, е неточна или е била обработена неправилно, той предприема мерки за нейното допълване, заличаване, блокиране или други начини за коригиране или поправяне, когато това е целесъобразно.
3. Когато това е допустимо по приложимото национално право, всяко физическо лице може да разреши на надзорен орган или друг представител да поиска коригиране или поправяне от негово име.
4. В случай на отказ или ограничаване на коригирането или поправянето замоленият компетентен орган, без необосновано забавяне, трябва да предостави на физическото лице или на неговия надлежно упълномощен представител, както е предвидено в параграф 3, отговор, разясняващ основанието за отказа или ограничаването на коригирането или поправянето.
Член 18: Защита по административен ред
1. Страните следят за това всяко физическо лице да може да потърси защита по административен ред, когато смята, че искането му за достъп по член 16 или за поправяне на неточна информация или неправилно обработване по член 17 е било неправилно отхвърлено. Тази защита по административен ред трябва да се поиска и получи от компетентния орган в съответствие с приложимата правна уредба на държавата, в която се търси защитата на правата.
2. Когато това е допустимо по приложимото национално право, всяко физическо лице може да разреши на надзорен орган или друг представител да потърси защита по административен ред от негово име.
3. Компетентният орган, от който се търси защитата на правата, трябва да извърши необходимите запитвания и проверки и без неоправдано забавяне да отговори писмено, включително по електронен път, за постигнатия резултат, включително относно предприетите действия за подобряване или коригиране на ситуацията, ако е приложимо. Известяването за процедурата за търсене на допълнителна административна защита се извършва съгласно предвиденото в член 20.
Член 19: Защита по съдебен ред
1. Страните предвиждат в приложимите си правни уредби, че, при спазване на всички изисквания за изчерпване първо на средствата за защита по административен ред, всеки гражданин на едната страна има право да поиска съдебен контрол по отношение на:
а) отказ от компетентен орган на достъп до записите, които съдържат негова лична информация;
б) отказ от компетентен орган да измени записите, които съдържат негова лична информация; и
в) незаконно разкриване на такава информация, извършено преднамерено или умишлено, което трябва да включва възможността за обезщетение за вреди.
2. Такъв съдебен контрол трябва да се поиска и осъществи в съответствие с приложимата правна уредба на държавата, в която се търси защитата на правата.
3. Параграфи 1 и 2 не засягат евентуалните други начини за съдебен контрол, които съществуват по отношение на обработването на личната информация на физически лица съгласно правото на държавата, в която се търси защитата на правата.
4. В случай на суспендиране или прекратяване на прилагането на споразумението, член 26, параграф 2 и член 29, параграф 3 не създават основание за търсене на защита по съдебен ред, което вече не е допустимо съгласно правото на съответната страна.
Член 20: Прозрачност
1. Страните уведомяват дадено физическо лице за неговата лична информация, като това може да се извърши от компетентните органи чрез публикуването на общи известия или чрез лично известяване, по начин и във време, предвидени в правото, приложимо към органа, който публикува известието, по отношение на:
а) целите на обработването на такава информация от този орган;
б) целите, за които информацията може да се споделя с други органи;
в) законите или правилата, в съответствие с които се извършва обработването;
г) третите страни, на които се разкрива тази информация; и
д) достъпа, коригирането или поправянето и начините за търсене на правна защита.
2. Такова изискване за известяване подлежи на разумни ограничения съгласно националното право по отношение на въпросите, посочени в член 16, параграф 2, букви а)—е).
Член 21: Ефективен надзор
1. Страните разполагат с един или няколко публични надзорни органа, които:
а) упражняват независимо своите надзорни функции и правомощия, включително такива на контрол, разследване и намеса, при необходимост по своя собствена инициатива;
б) имат правомощието да приемат и разглеждат жалби, подадени от физически лица, свързани с мерките за изпълнение на настоящото споразумение; и
в) имат правомощието да отнасят нарушенията на закона, свързани с настоящото споразумение, за наказателно преследване или дисциплинарни действия, когато това е целесъобразно.
2. Европейският съюз осигурява надзора съгласно настоящия член чрез органите си за защита на данните и тези на държавите членки.
3. Съединените щати осигуряват надзора съгласно настоящия член кумулативно чрез повече от един орган, като такива са, наред с другото, генералните инспектори, началниците на службите за защита на личните данни, правителствените служби за отчетност, надзорните съвети за защита на личните данни и гражданските свободи и други изпълнителни и законодателни контролни органи за защита на личните данни и гражданските свободи.
Член 22: Сътрудничество между надзорните органи
1. Консултациите между надзорните органи по член 21 се извършват по целесъобразност във връзка с изпълнението на функциите по настоящото споразумение, за да се осигури ефективно прилагане на разпоредбите на членове 16, 17 и 18.
2. Страните създават национални звена за контакт, които ще съдействат за установяването на това кой надзорен орган трябва да бъде сезиран във всеки конкретен случай.
Член 23: Съвместен преглед
1. Страните трябва да провеждат периодични съвместни прегледи на политиките и процедурите, чрез които се прилага настоящото споразумение, и на тяхната ефективност. В съвместните прегледи трябва да се обръща особено внимание на ефективното прилагане на защитните мерки по член 14 за отчетността, член 16 за достъпа, член 17 за поправянето, член 18 за търсенето на защита по административен ред и член 19 за търсенето на защита по съдебен ред.
2. Първият съвместен преглед се извършва не по-късно от три години от датата на влизане в сила на настоящото споразумение и редовно след това. Страните предварително и съвместно определят реда и условията за това и се уведомяват взаимно за състава на съответните си делегации, които трябва да включват представители на публичните надзорни органи по член 21 за ефективния надзор и на правоприлагащите и съдебните органи. Констатациите от съвместния преглед се оповестяват публично.
3. Когато страните или Съединените щати и държава членка са сключили друго споразумение, чийто предмет също попада в приложното поле на настоящото споразумение, и ако в това друго споразумение се предвижда извършването на съвместни прегледи, те не следва да се дублират и доколкото е уместно констатациите им следва да станат част от констатациите на съвместния преглед по настоящото споразумение.
Член 24: Уведомяване
1. Съединените щати уведомяват Европейския съюз за всяко обозначаване, извършено от органите на САЩ във връзка с член 19, и всички изменения в тази връзка.
2. Страните полагат разумни усилия да се уведомяват взаимно за влизането в сила на всички закони или приемането на нормативни актове, които засягат изпълнението на настоящото споразумение по същество, когато е възможно преди тяхното влизане в сила.
Член 25: Консултации
Всеки спор, възникнал от тълкуването или прилагането на настоящото споразумение, води до консултации между страните за постигане на взаимно приемливо решение.
Член 26: Суспендиране
1. В случай на съществено нарушение на настоящото споразумение всяка от страните може да суспендира изцяло или отчасти прилагането на настоящото споразумение чрез писмено уведомление до другата страна по дипломатически път. Такова писмено уведомление може да се прави едва след като страните са започнали, в разумен срок, консултации и не са намерили решение, а суспендирането влиза в действие двадесет дни след датата на получаване на такова уведомление. Такова суспендиране може да бъде отменено от суспендиращата страна чрез писмено уведомление до другата страна. Суспендирането се отменя незабавно след получаване на такова уведомление.
2. Независимо от евентуалното суспендиране на настоящото споразумение, лична информация, попадаща в приложното поле на настоящото споразумение и предадена преди суспендирането му, продължава да се обработва в съответствие с разпоредбите на настоящото споразумение.
Член 27: Териториално приложение
|
1. Споразумението се прилага за Дания, Обединеното кралство или Ирландия единствено ако Европейската комисия уведоми Съединените щати писмено, че Дания, Обединеното кралство или Ирландия са решили, че настоящото споразумение се прилага за тяхната държава. 2. Ако преди влизането в сила на споразумението Европейската комисия уведоми Съединените щати, че споразумението ще се прилага за Дания, Обединеното кралство или Ирландия, настоящото споразумение се прилага за тези държави от датата на влизането му в сила. 3. Ако Европейската комисия уведоми Съединените щати след влизането в сила на настоящото споразумение, че то се прилага за Дания, Обединеното кралство или Ирландия, настоящото споразумение се прилага за тези държави от първия ден на месеца, който следва получаването от страна на Съединените щати на уведомлението. |
Член 28: Срок на споразумението
Настоящото споразумение се сключва за неопределен срок.
Член 29: Влизане в сила и прекратяване на прилагането
1. Настоящото споразумение влиза в сила на първия ден от месеца, следващ датата, на която страните са разменили уведомления, посочващи, че са приключили вътрешните си процедури за влизане в сила.
2. Всяка от страните може да прекрати прилагането на настоящото споразумение чрез писмено уведомление до другата страна по дипломатически път. Прекратяването на прилагането влиза в действие тридесет дни след датата на получаване на такова уведомление.
3. Независимо от евентуалното прекратяване на прилагането на настоящото споразумение, лична информация, попадаща в приложното поле на настоящото споразумение и предадена преди прекратяването му, продължава да се обработва в съответствие с разпоредбите на настоящото споразумение.
В ПОТВЪРЖДЕНИЕ НА КОЕТО долуподписаните упълномощени представители подписаха настоящото споразумение.
Съставено в _ на _ ден от _ 201_ година в два оригинални екземпляра на английски език. Съгласно правото на ЕС настоящото споразумение се изготвя от ЕС също на български, гръцки, датски, естонски, ирландски, испански, италиански, латвийски, литовски, малтийски, немски, нидерландски, полски, португалски, румънски, словашки, словенски, унгарски, фински, френски, хърватски, чешки и шведски език. Тези допълнителни езикови версии могат да бъдат заверени чрез размяна на дипломатически ноти между Съединените щати и Европейския съюз. В случай на несъответствие между автентични езикови версии предимство има текстът на английски език.