31.8.2017   

BG

Официален вестник на Европейския съюз

C 288/107

Докладчик:

г-н Jorge PEGADO LIZ

1.1

С разглежданото предложение Комисията ефективно привежда в изпълнение по акуратен и подходящ от чисто правна и техническа гледна точка начин необходимото адаптиране на настоящия режим на Регламент (ЕО) № 45/2001 на Европейския парламент и на Съвета  (1) и Решение № 1247/2002/ЕО на Европейския парламент и на Съвета  (2) относно защитата на личните данни от институциите, органите, службите и агенциите на Съюза в съответствие с Общия регламент относно защитата на данните (ОРЗД) (3), който ще започне да се прилага навсякъде в Европейския съюз на 25 май 2018 г.

1.2

Това не е пречка ЕИСК да припомни съдържанието на своите бележки и препоръки относно предложението за ОРЗД, понастоящем превърнато в действащия ОРЗД, и да изрази съжаление, че в този окончателен вариант те не са цялостно взети предвид, както и да изрази опасение, че предвид бързото технологично развитие в тази област, късното приемане и влизане в сила на документа увеличава рисковете от злоупотреба с данни и с тяхното обработване и използването им за комерсиални цели, като се опасява, че този окончателен вариант ще остарее преди дори да влезе в сила. Дотолкова доколкото разглежданото предложение представлява адаптиране на ОРЗД към функционирането на европейските институции, споменатите опасения важат, mutatis mutandis, за разглеждания текст, и по-специално що се отнася до неясния му и труден за разбиране от средностатистическия гражданин език.

1.3

От друга страна, ЕИСК счита, че случващото се в европейските институции следва да служи за пример за процедурите на национално равнище и поради това смята, че е необходимо да се отдели специално внимание при изготвянето на анализираното предложение.

1.4

В тази връзка ЕИСК намира, че аспекти като съгласуването на анализираното предложение с Правилника за длъжностните лица на Европейския съюз, действията в случай на тормоз, кибертормоз и подаване на сигнали за нередности в институциите на ЕС, прилагането на предложението във връзка с Интернет на предметите, с големите информационни масиви и с използването на търсачки с цел достъп, създаване или използване на лични данни, както и на лична информация, публикувана на страниците на институциите в социалните мрежи (Facebook, Twitter, Instagram, Linkedin и др.), би трябвало да бъдат разгледани изрично.

1.5

Освен това ЕИСК счита, че в предложението би трябвало да се формулират условията за сигурността на информационните системи, на които се базира обработването на данни, и гаранциите срещу кибератаки и нарушение на сигурността на тези данни или изтичането им, като се гарантира технологична неутралност, а не се разчита само на специфичните за всяка служба вътрешни правила, така че да се изясни по-добре връзката между защитата на данните и борбата срещу престъпността и тероризма, без това да означава приемането на непропорционални или прекомерни мерки за наблюдение, които така или иначе винаги подлежат на контрол от страна на Европейския надзорен орган по защита на данните (ЕНОЗД).

1.6

Счита също, че предложението би трябвало да включва общо определение на уменията и изискванията за образование и пригодност, необходими за назначаване като длъжностно лице по защита на данните (ДЛЗД), администратор на данни или обработващ лични данни към институциите на ЕС, които винаги подлежат на контрол и мониторинг от страна на ЕНОЗД.

1.7

ЕИСК счита още, че предвид спецификата на събираните данни, които имат пряко отношение към личния живот на субекта на данни, и по-точно данни за здравословното състояние, данъчна информация и информация от социалните мрежи, то тези данни би трябвало да се ограничат до минимума, необходим за целите, за които са предназначени, и да бъде гарантирана максимална защита и предоставени максимални гаранции във връзка с обработването на такива особено чувствителни лични данни, като се използват за база международните правни норми, най-напредналите национални законодателства и най-добрите практики на някои държави членки.

1.8

ЕИСК подчертава необходимостта предложението изрично да предвижда увеличаване на бюджета на ЕНОЗД и назначаване на достатъчно служители с високи познания и техническа компетентност в областта на защитата на данните.

1.9

ЕИСК за пореден път потвърждава необходимостта данните на учредените по закон юридически лица (предприятия, неправителствени организации, търговски дружества и др.) също да подлежат на защита при събирането и обработването им.

1.10

И накрая, ЕИСК включва в конкретния си анализ редица изменения в различни разпоредби, които ако бъдат приети, ще допринесат за по-ефективна защита на личните данни в институциите на ЕС, не само що се отнася до служителите на ЕС, но и до хилядите европейски граждани, които контактуват с тях. Поради това настоятелно призовава Комисията, а също и Европейския парламент и Съвета да вземат предвид тези изменения при окончателното редактиране на предложението.

2.1

Както посочва Комисията в съответния обяснителен меморандум, целта на предложението ѝ е да се пристъпи към отмяна на Регламент (ЕО) № 45/2001  (4) и Решение № 1247/2002/ЕО относно защитата на личните данни от институциите, органите, службите и агенциите на Съюза, с две предвидени цели:

2.2

След продължителна и тежка работа Съветът и Парламентът в крайна сметка приеха Общия регламент относно защитата на данните (ОРЗД) (5), който ще започне да се прилага в целия ЕС на 25 май 2018 г. Посоченият регламент изисква адаптирането на някои законодателни инструменти (6), сред които се открояват споменатите Регламент (ЕО) № 45/2001 и Решение № 1247/2002/ЕО.

2.3

Като взе предвид резултатите от проучванията и консултациите със заинтересованите страни, както и оценката на прилагането на регламента през последните 15 години, за което Комисията подробно съобщава, тя направи следните заключения:

2.4

Като взе предвид естеството и обхвата на измененията, които трябва да бъдат направени на предходните правни инструменти, Комисията взе решение за пълната им отмяна и за заменянето им с разглеждания регламент, съгласуван с останалите цитирани разпоредби, като това трябва да стане едновременно с влизането в сила на Регламент (ЕС) 2016/679 и в съответствие с член 98 от него.

3.1

От чисто правна и техническа гледна точка, ЕИСК изразява принципното си съгласие относно:

3.2

Това не засяга съдържанието на забележките и препоръките на ЕИСК относно предложението за ОРЗД (8), понастоящем превърнато в действащия ОРЗД (9), които не са взети изцяло предвид в този окончателен вариант и чието късно приемане и влизане в сила има още по-неблагоприятно влияние, предвид бързото технологично развитие в тази област, което увеличава рисковете от злоупотреба с данни и с тяхното обработване и използването им за комерсиални цели, като ЕИСК изразява опасение, че този окончателен вариант ще остарее преди дори да влезе в сила. Дотолкова доколкото разглежданото предложение представлява адаптиране на ОРЗД към функционирането на европейските институции, споменатите опасения важат, mutatis mutandis, за разглеждания текст, и по-специално що се отнася до неясния му и труден за разбиране от средностатистическия гражданин език. Би било по-добре двете предложения да бъдат представени и обсъдени едновременно.

3.3

От друга страна, като взе предвид, че случващото се в европейските институции следва да служи за пример за процедурите на национално равнище, ЕИСК счита, че някои теми би трябвало да бъдат засегнати в анализираното предложение.

3.4

Не става веднага ясно дали това предложение е надлежно съгласувано с Правилника за длъжностните лица на Европейския съюз (Регламент № 31 EИО (10)), тъй като липсват конкретни подзаконови нормативни разпоредби, които да гарантират, че личните данни на служителите и сътрудниците към институциите ще бъдат обхванати от по-ефикасна гаранция за защита, що се отнася до наемането им, кариерите им, сроковете на техните трудови договори, евентуалните продължения и атестациите им.

3.4.1

Ако не в този текст, то по принцип би следвало да бъдат предвидени разпоредби от общ характер с правила относно медицинските досиета на служителите и членовете на техните семейства, защитата на създадените или използваните от служителите данни и на съответните им генетични данни, обработването и защитата на изпратени по електронна поща съобщения, независимо дали са изпратени от граждани към службите на ЕС, от дадени служители на тези служби на други или на външни адресати, както и относно съдържанието на тези електронни съобщения и посетените уебстраници (11).

3.4.2

Освен това, трябва да бъдат разгледани по-специално ситуациите на тормоз, кибертормоз (cyberbullying) и подаване на сигнал за нередности (whistle blowing) в институциите на ЕС, независимо от разпоредбите на член 68.

3.4.3

ЕИСК поставя въпроса и за условията на прилагане на анализираното предложение и на Регламент (ЕС) № 2016/679 във връзка с Интернет на предметите, с големите информационни масиви и с използването на търсачки с цел достъп, създаване или използване на лични данни, както и на лична информация, публикувана на страниците на институциите в социалните мрежи (Facebook, Twitter, Instagram, Linkedin и др.), независимо от изричното съгласие на субекта на данните.

3.5

ЕИСК би искал освен позоваването на поверителността на електронните съобщения в член 34 от предложението за регламент, предложението на Комисията да съдържа условия за сигурността на информационните системи, на базата на които ще се извършва обработване на данни, и гаранции срещу кибератаки и нарушение на сигурността на тези данни или изтичането им (12), като се гарантира технологичната неутралност, а не се разчита само на специфични за всяка служба вътрешни правила, така че да се изясни по добре връзката между защитата на данните и борбата срещу престъпността и тероризма, без това да означава приемането на непропорционални или прекомерни мерки за наблюдение, които така или иначе подлежат на контрол от страна на ЕНОЗД.

3.6

ЕИСК подчертава, че комбинирането на личните данни в институциите на ЕС не може да се подчинява само на принципа на отчетност, предвиден в съображение 16, и в тази връзка е наложително Комисията да въведе конкретно правило, изискващо комбинирането на данни да може да се извършва само след разрешение от ЕНОЗД, поискано от администратора на данни, или съвместно с обработващия лични данни.

3.7

Без да се засяга съдържанието на съображение 51 от Преамбюла и на член 44, параграф 3 от предложението, ЕИСК счита също, че би трябвало да има общо определение на уменията и изискванията за образование и пригодност, необходими за назначаване като длъжностно лице по защита на данните, администратор на данни или обработващ лични данни към институциите на ЕС (13), като евентуалните нарушения на служебните им задължения следва да подлежат на формулираните в предложението дисциплинарни, гражданскоправни и наказателноправни санкции, които са достатъчно възпиращи и винаги подлежат на контрол и мониторинг от страна на ЕНОЗД.

3.8

Макар да признава, че анализираното предложение включва повишаване на нивото на защита в сравнение с действащия понастоящем Регламент (ЕО) № 45/2001, ЕИСК счита, че предвид спецификата на събираните данни, които имат пряко отношение към личния живот на субекта на данни, и по-точно данни за здравословното състояние, данъчна информация и информация от социалните мрежи, предложението би трябвало да ограничи тези данни до минимума, необходим за целите, за които са предназначени, и да осигури максимална защита и максимални гаранции във връзка с обработването на личните данни, като се опира на международните правни норми и на най-напредналите национални законодателства и на най-добрите практики на някои държави членки (14).

3.9

Макар да съзнава, че както Регламент (ЕС) № 2016/679, така и разглежданото предложение, се прилагат само за данни, чиито субекти са физически лица, ЕИСК потвърждава необходимостта данните на учредените по закон юридически лица (предприятия, неправителствени организации, търговски дружества и др.) също да подлежат на защита при събирането и обработването им.

4.1

В конкретния анализ на текста на предложението са изразени някои съмнения и резерви от гледна точка на основните принципи за защита на личния живот, залегнали в Хартата на основните права на Европейския съюз, и от гледна точка на принципите на пропорционалност и на предпазливост.

4.3.1

Като отчита, че разглежданият регламент се прилага за данни, обработвани в рамките на институциите на ЕС, ЕИСК би искал в регламента изрично да залегне въвеждането на принципа за недопускане на дискриминация, въз основа на обработените данни.

4.3.2

Що се отнася до член 4, параграф 1, буква б), обработването за целите на архивирането в обществен интерес, за научни или исторически изследвания или за статистически цели следва да подлежи на предварително разрешение от страна на Европейския надзорен орган по защита на данните, което не е предвидено в член 58.

4.3.3

И накрая, ЕИСК счита, че би трябвало да съществува изрична разпоредба, отговаряща на сегашния член 7 от Регламент (ЕО) 45/2001 относно предаването на данните между институциите на ЕС.

4.4.1

Не е ясно по каква причина член 5, параграф 1, буква б) от предложението за регламент не попада под обхвата на предвиденото в параграф 2 от същия член, за разлика от букви в) и д) от член 6, обхванати от разпоредбите на параграф 3 от ОРЗД.

4.4.2

ЕИСК счита, че в буква г) трябва да се добави, че съгласието следва да се подчинява на принципа на добросъвестност.

4.5.1

Прилагането на този член следва винаги да подлежи на разрешение от страна на Европейския надзорен орган по защита на данните.

4.5.2

В тези случаи субектът на данни следва винаги да бъде предварително информиран за тази възможност в момента на събирането на данни или при вземането на ново решение, като следва да може да поиска коригиране или изтриване на личните данни или упражняване на правото си на възражение или ограничаване на обработването на тези данни.

4.6.1

ЕИСК намира, че изключението от правилото за действителност на съгласието за деца на възраст под 16 години (между 13 и 16-годишна възраст), което е нелогично само по себе си, е приемливо само за държавите членки, поради причини от културно естество, свързани с националното законодателство (член 8 от ОРЗД), но не следва да бъде приемано като правило за институциите на ЕС (член 8, параграф 1), където е определена възраст от 13 години.

4.6.2

От друга страна, не е уточнено по какъв начин ЕНОЗД следва да обръща посоченото в член 58, параграф 1, буква б) „специално внимание“ на децата, по-специално във връзка с предвидените в член 36 указатели на потребителите, когато съдържащите се в тези указатели лични данни са обществено достъпни.

4.7.1

В параграф 1 следва да се включат партийната принадлежност (която не е синоним на политически възгледи) и личният живот.

4.7.2

В параграф 2, буква б), дори и за целите на изпълнението на задълженията и упражняването на специалните права на субекта на данните, субектът винаги следва да бъде предварително информиран.

4.7.3

В параграф 2, буква г) обработването на данните трябва да може да се извършва само със съгласие на субекта.

4.7.4

Буква д) следва да представлява изключение, само когато може с основание да се предположи от декларациите на заинтересованото лице, че е налице съгласие за обработване на данните.

4.9.1

По отношение на допълнителната информация, предвидена в член 15, параграф 2, следва да се добави изискването субектът на данни да бъде информиран относно задължителния или факултативен характер на отговора на администратора на данни, както и относно възможните последствия от липсата на отговор.

4.9.2

В случай на събиране на данни в открити мрежи, субектът на данни следва да бъде информиран винаги когато е възможно движение на личните му данни в мрежи без условия за сигурност, където те са изложени на риск да бъдат видени и използвани от трети неоправомощени за целта лица.

4.9.3

Предвиденото в член 17, параграф 1 право следва да бъде получавано свободно и без ограничения, с разумна периодичност, експедитивно или незабавно и безплатно.

4.9.4

ЕИСК предлага субектът на данни да бъде задължително информиран за това дали свързани с него лични данни се обработват или не.

4.9.5

Предоставяната по член 17, параграф 1 информация трябва да бъде понятна, ясна и разбираема, особено що се отнася до подлежащите на обработване данни и до всякаква информация за произхода на тези данни.

4.11.1

ЕИСК счита, че в параграф 2, буква в) следва да се добави, че това съгласие се получава едва след изрично информиране относно отражението на решенията върху правната сфера на субекта на данни, тъй като само тази мярка прави съгласието надлежно информирано.

4.11.2

Що се отнася до параграф 3, ЕИСК счита, че подходящите мерки би следвало да бъдат дефинирани от Европейския надзорен орган по защита на данните, а не от администратора на данни.

4.12.1

ЕИСК изразява опасение, че текстът на член 25 от настоящото предложение за регламент тълкува в много широк смисъл разпоредбите на член 23 от ОРЗД що се отнася до обхвата на ограниченията за прилагане на предписанията, предвиждащи основните права на субекта на данни, и счита за препоръчително критичното преразглеждане на този текст на базата на внимателен и евентуално ограничителен анализ на различните букви, и по-точно във връзка с ограничаване на правото на поверителност в електронните съобщителни мрежи, предвидено в член 7 от Хартата на основните права на Европейския съюз, взета предвид в действащата Директива за правото на неприкосновеност на личния живот и електронни комуникации и запазена в предложението за регламент, разгледано в друго становище на ЕИСК.

4.12.2

ЕИСК категорично се противопоставя на предвидената в член 25, параграф 2 възможност за ограничаване от страна на институциите и службите на Съюза на прилагането на ограниченията на правата на субектите на данни, непроизтичащи от изрични правни актове, които да ги разрешават. Същото се отнася за член 34.

—

да се предотврати достъпът до съоръженията за обработка на данни на лица, които нямат разрешение за това,

—

да се предотврати неразрешено четене, копиране, изменяне или премахване на носители на данни,

—

да се предотврати неразрешеното въвеждане на данни, както и неразрешеното запознаване с, изменяне или заличаване на вече въведени лични данни,

—

да не се допуска използването на автоматизирана система за обработка на данни от неоправомощени лица чрез устройства за предаване на информация,

—

да се осигури проверката на структурите, на които могат да бъдат предадени личните данни,

—

да се гарантира, че само оправомощените лица могат да имат достъп до данните в обхвата на предварителното разрешение.

4.20.1

Без да се засяга горепосоченото и предвид естеството на работата му, ако длъжностното лице по защита на данните не е длъжностно лице на ЕС, то следва да може да бъде освобождавано от длъжност по всяко време, като е достатъчно само съгласието на ЕНОЗД (член 45, параграф 8 от регламента).

4.20.2

ЕИСК счита, че лицето следва да бъде назначавано за фиксиран период от 5 години и да може да бъде преназначавано само веднъж.

4.25

Предложението за регламент е пълно с изрази или понятия с двусмислен характер, поради което се препоръчва да се преразгледа и редактира. Такива са, например, изразите „доколкото е възможно“, „по възможност“, „без забавяне“, „висок риск“, „надлежно“, „разумен срок“, „особено значение“.