6.6.2009   

CS

Úřední věstník Evropské unie

C 128/1

1.

S ohledem na summit EU dne 12. června 2008 oznámilo předsednictví Rady Evropské unie dne 28. května 2008 Coreperu, že Kontaktní skupina EU-USA na vysoké úrovni (dále jen „kontaktní skupina“) pro sdílení informací a ochranu soukromí a osobních údajů dokončila zprávu. Tato zpráva byla zveřejněna dne 26. června 2008 (1).

2.

Zpráva usiluje o určení společných zásad týkajících se ochrany soukromí a údajů jakožto prvního kroku k výměně informací se Spojenými státy za účelem boje proti terorismu a závažné nadnárodní trestné činnosti.

3.

Předsednictví Rady ve svém oznámení uvádí, že by uvítalo jakékoli názory, pokud jde o činnosti navazující na tuto zprávu, a zejména odezvu na doporučení ohledně dalších opatření určených ve zprávě. Evropský inspektor ochrany údajů (EIOÚ) na tuto výzvu reaguje předložením tohoto stanoviska vycházejícího ze současné situace, jak je známa, a aniž je dotčen jakýkoli další postoj, který případně zaujme na základě posouzení vývoje dané otázky.

4.

EIOÚ bere na vědomí, že činnost kontaktní skupiny proběhla v souvislostech, v nichž zejména od 11. září 2001 došlo k rozvoji výměny údajů mezi USA a EU prostřednictvím mezinárodních dohod či jiných druhů nástrojů. Mezi ně patří dohody Europolu a Eurojustu se Spojenými státy i dohody o jmenné evidenci cestujících a věc Swift, které vedly k výměně dopisů mezi úředníky EU a USA v zájmu stanovení minimálních záruk ochrany údajů (2).

5.

EU dále rovněž vyjednává a schvaluje obdobné nástroje, jimiž se stanoví výměna osobních údajů s dalšími třetími zeměmi. Nedávným příkladem je dohoda mezi Evropskou unií a Austrálií o zpracovávání údajů jmenné evidence cestujících (PNR) ze zdrojů Evropské unie leteckými dopravci a o jejich předávání Australské celní správě (3).

6.

Z uvedených souvislostí se zdá, že okruh žádostí donucovacích orgánů třetích zemí o osobní informace je stále širší a že se z tradičních vládních databází rozšiřují i na další druhy souborů, zejména soubory údajů shromážděných soukromím sektorem.

7.

Jako významnou souvislost EIOÚ rovněž připomíná skutečnost, že otázkou převodu osobních údajů do třetích zemí v rámci policejní a justiční spolupráce v trestních věcech se zabývá rámcové rozhodnutí Rady o ochraně osobních údajů zpracovávaných v rámci policejní a justiční spolupráce v trestních věcech (4), které bude pravděpodobně přijato do konce roku 2008.

8.

Lze očekávat, že tato transatlantická výměna informací bude pouze vzrůstat a zasáhne i další odvětví, v nichž jsou zpracovávány osobní údaje. V této souvislosti je dialog o „transatlantickém vynucování práva“ vítán a zároveň představuje citlivou otázku. Je vítán v tom smyslu, že by mohl poskytnout jasnější rámec pro výměny údajů, které probíhají či proběhnou. Jde i o citlivou otázku, jelikož takový rámec by mohl legalizovat hromadná předávání údajů v oblasti vynucování práva, což je oblast, v níž je dopad na fyzické osoby zvláště závažný a je především zapotřebí přísných a spolehlivých ochranných opatření a záruk (5).

9.

Stanovisko se bude v následující kapitole zabývat současným stavem a dalšími možnými opatřeními. Kapitola III se zaměří na oblast působnosti a povahu nástroje, který by umožnil sdílení informací. V kapitole IV bude stanovisko z obecného hlediska analyzovat právní otázky související s obsahem případné dohody. Bude se věnovat otázkám, jako jsou podmínky posouzení úrovně ochrany poskytované ve Spojených státech, a bude projednávat otázku využití regulačního rámce EU jako kritéria pro posouzení této úrovně ochrany. Uvedená kapitola bude rovněž obsahovat seznam základních požadavků, které mají být do této dohody zahrnuty. A v kapitole V stanoviska budou analyzovány zásady týkající se soukromí související se zprávou.

10.

EIOÚ hodnotí současný stav takto. Ve vymezení společných standardů pro sdílení informací a ochranu soukromí a osobních údajů bylo dosaženo určitého pokroku.

11.

Přípravné práce nejsou však dokončeny na žádném druhu dohody mezi EU a USA. Je třeba pokračovat v práci. Samotná zpráva kontaktní skupiny uvádí celou řadu nevyřešených otázek, z nichž nejvýznačnější je otázka „nápravy“. Přetrvává neshoda ohledně nezbytné oblasti působnosti soudní nápravy (6). V kapitole III zprávy bylo určeno pět dalších nevyřešených otázek. Z tohoto stanoviska navíc vyplývá, že dosud není vyřešeno mnoho dalších otázek, například oblast působnosti a povaha nástroje pro sdílení informací.

12.

Vzhledem k tomu, že preferovanou možností, které dává přednost i EIOÚ, je závazná dohoda, je skutečně zapotřebí jednat uvážlivě. Než bude možné dosáhnout dohody, je třeba dalších důkladných a zevrubných příprav.

13.

Podle EIOÚ by bylo nejvhodnější, kdyby dohoda byla uzavřena v rámci Lisabonské smlouvy, samozřejmě v závislosti na jejím vstupu v platnost. V rámci Lisabonské smlouvy by skutečně nedošlo k právní nejistotě ohledně dělící čáry mezi pilíři EU. Bylo by rovněž zajištěno plné zapojení Evropského parlamentu, jakož i soudní kontrola ze strany Soudního dvora.

14.

Za těchto okolností by nejlepším opatřením bylo vypracovat plán pro případnou dohodu v pozdější fázi. Součástí plánu by byly tyto prvky:

15.

Podle EIOÚ je zásadní, aby jako první krok vytvoření tohoto nástroje byla jasně vymezena oblast působnosti a povaha případného nástroje, včetně zásad ochrany údajů.

16.

Pokud jde o oblast působnosti, dalšími otázkami, na něž je třeba odpovědět, jsou tyto:

17.

Vymezením povahy by se objasnily tyto otázky:

18.

Přestože ve zprávě kontaktní skupiny není jasně uvedena přesná oblast působnosti budoucího nástroje, ze zásad, které jsou v ní uvedeny, lze vyvodit, že se má vztahovat na předávání mezi soukromými a veřejnými subjekty (7) i mezi veřejnými orgány.

19.

EIOÚ považuje uplatňování budoucího nástroje na předávání mezi soukromými a veřejnými subjekty za logické. Tento nástroj je vytvořen na základě žádostí o informace od soukromých stran, které USA vyslovila v posledních letech. EIOÚ konstatuje, že z hlediska vynucování práva se soukromé subjekty skutečně stávají systematickým zdrojem informací, a to na úrovni EU či na mezinárodní úrovni (8). Věc SWIFT představovala důležitý precedens, při němž byla soukromá společnost požádána, aby systematicky předávala hromadné údaje donucovacím orgánům třetího státu (9). Shromažďování údajů PNR od leteckých společností se řídí stejnými zásadami. EIOÚ zpochybnil oprávněnost této tendence již ve svém postoji k návrhu rámcového rozhodnutí o evropském systému PNR (10).

20.

Existují dva další důvody, proč váhat ohledně začlenění předávání údajů mezi soukromými a veřejnými subjekty do budoucího nástroje.

21.

Zaprvé by začlenění mohlo mít nežádoucí dopad na území samotné EU. EIOÚ má vážné obavy, že lze-li údaje soukromých společností (jako jsou například finanční instituce) v zásadě předávat třetím zemím, mohlo by to vyvolat silný tlak, aby byl v rámci EU stejný druh údajů zpřístupněn obdobným způsobem i donucovacím orgánům. Režim PNR je příkladem takového nevítaného vývoje, který začal tím, že Spojené státy hromadně shromažďovaly údaje cestujících, a poté byl přenesen i do vnitřního evropského kontextu (11), aniž by byla jasně prokázána nezbytnost a přiměřenost daného systému.

22.

Zadruhé EIOÚ v postoji k návrhu Komise o EU PNR rovněž vznesl otázku rámce pro ochranu údajů (první či třetí pilíř) použitelného na podmínky spolupráce mezi veřejnými a soukromými subjekty: měla by pravidla vycházet z povahy správce údajů (soukromý sektor), nebo ze sledovaného účelu (vynucování práva)? Dělící čára mezi prvním a třetím pilířem není zdaleka jasná v situacích, kdy povinnost zpracovávat soukromé údaje pro účely vynucování práva je uložena na soukromé subjekty. V této souvislosti je významné, že generální advokát Bot ve svém nedávném stanovisku ve věci týkající se uchovávání údajů (12) navrhl v daných situacích dělící čáru, ale k tomuto návrhu dodává: „Tato dělící čára jistě není prosta kritiky a v určitém ohledu se může zdát, že je vytvořena uměle.“ EIOÚ rovněž konstatuje, že rozsudek Soudního dvora ve věci PNR (13) plně neodpovídá na otázku použitelného právního rámce. Například skutečnost, že směrnice 95/46/ES se nevztahuje na určité činnosti, automaticky neznamená, že tyto činnosti lze regulovat podle třetího pilíře. Výsledkem je, že možná ponechává právní mezeru, co se týče použitelných právních předpisů, a každopádně z ní vyplývá právní nejistota v souvislosti s právními zárukami, které mají subjekty údajů k dispozici.

23.

Z tohoto hlediska EIOÚ zdůrazňuje, že je třeba zajistit, že budoucí nástroj s obecnými zásadami ochrany údajů nebude moci legalizovat transatlantické předávání osobních údajů mezi soukromými a veřejnými stranami jako takové. Toto předávání údajů může být v budoucím nástroji zahrnuto, pouze pokud:

EIOÚ rovněž bere na vědomí nejistotu ohledně použitelného rámce pro ochranu údajů a naléhavě proto žádá, aby v žádném případě nebylo předávání osobních údajů mezi soukromými a veřejnými stranami zahrnuto do současné podoby právních předpisů EU.

24.

Přesná oblast výměny informací není jasná. Při další práci na vytvoření společného nástroje by v první řadě měla být ujasněna předpokládaná oblast působnosti tohoto nástroje. Otázkou zůstává zejména:

25.

Vymezení účelu případné dohody rovněž ponechává prostor k nejistotě. Účely vynucování práva jsou jasně uvedeny v úvodu, jakož i v první zásadě uvedené v příloze zprávy a budou dále analyzovány v kapitole IV tohoto stanoviska. EIOÚ již nyní konstatuje, že z daných prohlášení se zdá, že výměna údajů by se zaměřila na záležitosti třetího pilíře, ale bylo by zajímavé vědět, zda se jedná pouze o první krok k rozsáhlejší výměně informací. Zdá se zřejmé, že účely „veřejné bezpečnosti“ uvedené ve zprávě zahrnují boj proti terorismu, organizované trestné činnosti a jiným trestným činům. Znamená to však, že se umožní výměna údajů, pokud jde o další veřejné zájmy, jako jsou případná ohrožení veřejného zdraví?

26.

EIOÚ doporučuje omezit účel na přesně stanovené předávání údajů a odůvodnit politické rozhodnutí vedoucí k danému vymezení účelu.

27.

Široká oblast působnosti této zprávy byl měla být zasazena do perspektivy globálního transatlantického prostoru bezpečnosti, o kterém jednala tzv. „Skupina pro budoucnost“ (14). Zpráva této skupiny, která byla vydána v červnu roku 2008, se do určité míry zaměřuje na vnější rozměr politiky v oblasti vnitřních věcí. Uvádí, že „do roku 2014 by Evropská unie měla učinit rozhodnutí o politickém cíli, jímž je vytvoření evropsko-atlantské oblasti spolupráce se Spojenými státy v oblasti svobody, bezpečnosti a práva“. Tato spolupráce by přesahovala oblast bezpečnosti v užším slova smyslu a zahrnovala by alespoň témata, jimiž se zabývá stávající hlava IV Smlouvy o ES, jako je přistěhovalectví, víza a azyl a spolupráce v oblasti občanského práva. Je třeba zvážit, do jaké míry by dohoda o základních zásadách ochrany údajů, jako jsou zásady uvedené ve zprávě kontaktní skupiny, mohla a měla být základem pro výměnu informací v tak široké oblasti.

28.

Za běžné situace nebude v roce 2014 struktura pilířů již existovat a bude jeden právní základ pro ochranu údajů v rámci EU jako takové (podle Lisabonské smlouvy článek 16 o fungování Evropské unie). Ze skutečnosti, že existuje harmonizace na úrovni EU v souvislosti s nařízením o ochraně údajů, však nevyplývá, že by jakákoli dohoda se třetí zemí umožnila předávání jakýchkoli osobních údajů bez ohledu na účel. V závislosti na souvislostech a podmínkách zpracování údajů by pro určité oblasti, jako je vynucování práva, mohly být požadovány upravené záruky ochrany údajů. EIOÚ doporučuje, aby důsledky těchto různých hledisek byly zohledněny při přípravě budoucí dohody.

29.

V krátkodobém horizontu je každopádně nutné určit, v rámci kterého pilíře bude ujednání vyjednáváno. Je toho zapotřebí zejména vzhledem k vnitřnímu regulačnímu rámci pro ochranu údajů, na který bude mít tato dohoda dopad. Bude se jednat o rámec prvního pilíře, v zásadě o směrnici 95/45/ES se zvláštním režimem pro předávání údajů do třetích zemí, nebo o rámec třetího pilíře s méně přísným režimem pro předávání údajů do třetích zemí? (15)

30.

Přestože , jak již bylo uvedeno, účely vymáhání práva převládají, zpráva kontaktní skupiny zmiňuje shromažďování údajů od soukromých subjektů a účely mohou být rovněž vykládány v širším slova smyslu, který by mohl přesahovat pouhou bezpečnost, včetně například přistěhovalectví a otázek hraniční kontroly, ale případně i veřejného zdraví. S ohledem na tyto nejasnosti, by bylo značně vhodnější vyčkat s jasným zavedením právního rámce pro jednání a se stanovením konkrétní role evropských orgánů, zejména Evropského parlamentu a Komise, na harmonizaci pilířů v rámci právních předpisů EU, jak je stanoveno v Lisabonské smlouvě.

31.

Je třeba ujasnit, zda závěry jednání vyústí v memorandum o porozumění či v jiný nezávazný nástroj, nebo zda půjde o závaznou mezinárodní dohodu.

32.

EIOÚ podporuje volbu, která je upřednostňována ve zprávě, tedy závaznou dohodu. Úřední závazná dohoda je dle EIOÚ nezbytným předpokladem pro jakékoli předávání údajů mimo EU, bez ohledu na daný účel předávání údajů. Bez patřičných podmínek a ochranných opatření zahrnutých ve zvláštním (a závazném) právním rámci nemůže proběhnout žádné předání údajů třetí zemi. Jinak řečeno, memorandum o porozumění či jiný nezávazný nástroj mohou být užitečné pro nasměrování jednání o další závazné dohodě, ale nikdy nemohou nahradit nezbytnost závazné dohody.

33.

Ustanovení nástroje by měla být stejně závazná pro USA i pro EU a její členské státy.

34.

Rovněž je třeba zajistit, že na základě dohodnutých zásad budou fyzické osoby oprávněny vykonávat svá práva, a zejména dosáhnout nápravy. Podle EIOÚ lze tohoto výsledku nejlépe dosáhnout v případě, že podstatná ustanovení nástroje budou formulována tak, aby měla přímý účinek na osoby s bydlištěm v Evropské unii a mohla být uplatňována před soudem. V nástroji musí tedy být jasně uveden přímý účinek ustanovení mezinárodní dohody, jakož i podmínky jejího provedení do vnitřních evropských právních předpisů a do vnitrostátního práva za účelem zajištění účinnosti opatření.

35.

Další základní otázkou rovněž je, do jaké míry je dohoda samostatným nástrojem, či zda musí být v jednotlivých případech doplněna dalšími dohodami o konkrétních výměnách údajů. Je opravdu sporné, zda by se jediná dohoda s jediným souborem standardů mohla patřičně vztahovat na rozmanitá specifika zpracovávání údajů v rámci třetího pilíře. A lze mít ještě větší pochybnosti o tom, že by bez dodatečných jednání a opatření na ochranu údajů mohla umožnit celkové schválení jakéhokoli předávání osobných údajů, bez ohledu na účel a povahu dotčených údajů. Kromě toho dohody se třetími zeměmi nemusí být trvalé, jelikož mohou souviset s konkrétními hrozbami, mohou podléhat revizi a ustanovením o skončení platnosti. Na druhé straně by společné minimální standardy uznané v závazném nástroji mohly usnadnit veškerá další jednání o převádění osobních údajů, pokud jde o konkrétní databáze či zpracovávání.

36.

EIOÚ by tudíž před možností v podobě samostatné dohody upřednostnil vypracování minimálního souboru kritérií pro ochranu údajů, který by byl v jednotlivých případech doplněn dodatečnými zvláštními ustanoveními, jak je uvedeno ve zprávě kontaktní skupiny. Tato dodatečná zvláštní ustanovení jsou předpokladem pro umožnění předávání údajů v konkrétním případě. Toto opatření by podpořilo harmonizovaný přístup, pokud jde o ochranu údajů.

37.

Je třeba rovněž posoudit, jakým způsobem by případná obecná dohoda byla kombinována se stávajícími dohodami, které již byly mezi EU a USA uzavřeny. Je třeba uvést, že tyto stávající dohody nemají stejnou závaznou povahu: zejména je třeba zmínit dohodu PNR (která poskytuje největší právní jistotu), dohodu Europolu a dohodu Eurojustu či výměnu dopisů týkající se SWIFT (16). Doplňoval by nový všeobecný rámec tyto stávající nástroje, nebo by zůstaly beze změn, přičemž nový rámec by se použil pouze pro další budoucí výměny osobních údajů? Podle EIOÚ by právní soulad vyžadoval harmonizovaný soubor pravidel, která by se uplatňovala na stávající i budoucí dohody o předávání údajů a tyto dohody by doplňovala.

38.

Výhodou použitelnosti obecné dohody v případě stávajících nástrojů by bylo posílení jejich závazné povahy. To by bylo zvláště vítáno v případě nástrojů, jež nejsou právně závazné, jako je výměna dopisů ohledně SWIFT, jelikož by tak byl alespoň zaveden soulad se souborem obecných zásad týkajících se soukromí.

39.

Tato kapitola se bude věnovat tomu, jakým způsobem je třeba se zabývat úrovní ochrany konkrétního rámce či nástroje, včetně otázky referenčních kritérií, která mají být použita, a nezbytných základních požadavků.

40.

Podle EIOÚ je třeba jasně uvést, že jedním z hlavních výsledků budoucího nástroje by bylo, že by k předávání osobních údajů Spojeným státům mohlo dojít pouze tehdy, pokud by úřady ve Spojených státech zajistily odpovídající úroveň ochrany (a naopak).

41.

EIOÚ se domnívá, že dostatečné záruky, pokud jde o úroveň ochrany osobních údajů, by zajistila pouze zkouška skutečné přiměřenosti. Domnívá se, že by bylo obtížné, aby obecná rámcová dohoda s natolik širokou oblastí působnosti, jako je oblast uvedená ve zprávě kontaktní skupiny, prošla jako taková zkouškou skutečné odpovídající úrovně ochrany. Odpovídající úroveň obecné dohody by bylo možné uznat, pouze pokud je zkombinována s odpovídající úrovní zvláštních dohod uzavřených v jednotlivých případech.

42.

Posuzování úrovně ochrany poskytované třetími zeměmi není neobvyklé, zejména v případě Evropské komise: přiměřenost je podle prvního pilíře požadavkem pro předávání údajů. Při různých příležitostech byla podle článku 25 směrnice 95/46 měřena na základě zvláštních kritérií a Evropská komise ji potvrdila ve svých rozhodnutích (17). V rámci třetího pilíře tento systém není výslovně stanoven: Měření odpovídající úrovně ochrany je stanoveno pouze v konkrétních situacích článku 11 a 13 dosud nepřijatého rámcového nařízení o ochraně údajů (18) a je ponecháno na členských státech.

43.

Ve stávajícím případě se rozsah opatření týká účelů vynucování práva a jednání vede Komise pod dohledem Rady. Souvislosti se od hodnocení zásad „bezpečného přístavu“ (Safe Harbour) či od odpovídající úrovně kanadských právních předpisů odlišují a více souvisejí s nedávnými jednáními se Spojenými státy a Austrálií ohledně PNR, která proběhla v právním rámci třetího pilíře. Zásady kontaktní skupiny však byly rovněž uvedeny v souvislosti s programem bezvízového styku, který se týká hranic a přistěhovalectví, a tudíž otázek prvního pilíře.

44.

EIU doporučuje, aby jakékoli rozhodnutí o odpovídající úrovni podle budoucího nástroje vycházelo ze zkušeností v těchto různých oblastech. Doporučuje rozpracování pojetí „odpovídající úrovně“ v souvislosti s budoucím nástrojem, a to na základě kritérií podobných těm, která byla užita v předchozích určováních odpovídající úrovně.

45.

Druhá složka úrovně ochrany se týká vzájemného uznávání systémů EU a USA. Zpráva kontaktní skupiny v této souvislosti uvádí, že cílem by bylo „uznat účinnost systému, který využívá druhá strana pro ochranu soukromí a údajů, v oblastech, jichž se tyto zásady týkají“ (19) a dosáhnout „rovnocenného a vzájemného uplatňování právních předpisů v oblasti ochrany soukromí a osobních údajů“.

46.

EIOÚ považuje za zřejmé, že vzájemné uznávání (neboli vzájemnost) je možné pouze tehdy, pokud je zajištěna odpovídající úroveň ochrany. Jinými slovy: budoucí nástroj by harmonizoval minimální úroveň ochrany (prostřednictvím rozhodnutí o odpovídající ochraně, přičemž by se zohlednilo, že v jednotlivých případech je třeba zvláštních dohod). Pouze za tohoto předpokladu by mohla být vzájemnost uznána.

47.

Prvním prvkem, který je třeba zohlednit, je vzájemnost podstatných ustanovení o ochraně údajů. Podle EIOÚ by se dohoda měla zabývat pojetím vzájemnosti podstatných ustanovení o ochraně údajů tak, aby na jedné straně zajistila, že zpracovávání údajů na území EU (a USA) plně dodržuje vnitrostátní právní předpisy o ochraně údajů, a na straně druhé by zaručila, že zpracovávání mimo zemi původu údajů, které spadá do oblasti působnosti dohody, dodržuje zásady ochrany údajů, jak je uvedeno v dohodě.

48.

Druhým prvkem je vzájemnost mechanismu nápravy. Je třeba zajistit, aby evropští občané měli k dispozici odpovídající nápravu, jsou-li údaje, které s nimi souvisejí, zpracovávány ve Spojených státech (bez ohledu na právní předpisy použitelné pro toto zpracovávání), a aby Evropská unie a její členské státy stejně tak poskytly rovnocenná práva občanům USA.

49.

Třetím prvkem je vzájemnost týkající se přístupu donucovacích orgánů k osobním údajům. Pokud jakýkoli nástroj umožňuje orgánům Spojených států přístup k údajům pocházejícím z Evropské unie, ze vzájemnosti by vyplývalo, že orgány EU by měly mít stejný přístup, pokud jde o údaje pocházející z USA. Vzájemnost nesmí mít negativní dopad na účinnost ochrany subjektu údajů. Jedná se o podmínku pro umožnění transatlantického přístupu donucovacím orgánům. Konkrétně to znamená, že:

50.

Přesné stanovení podmínek posouzení (odpovídající úroveň, rovnocennost, vzájemné uznávání) je zásadní, jelikož vymezuje obsah, pokud jde o přesnost, právní jistotu a účinnost ochrany. Obsah budoucího nástroje musí být přesný a správný.

51.

Mělo by být rovněž zřejmé, že jakákoli zvláštní dohoda uzavřená v další fázi bude přesto muset zahrnovat podrobná a úplná opatření na ochranu údajů, pokud jde o subjekt plánované výměny údajů. Pouze taková dvojí úroveň konkrétních zásad ochrany údajů by zajistila nezbytnou „vzájemnou způsobilost“ mezi obecnou dohodou a zvláštními dohodami, jak již bylo uvedeno v bodě 35 a 36 tohoto stanoviska.

52.

Zvláštní pozornost si zaslouží míra, do jaké by se dohoda s USA mohla stát předlohou pro další třetí země. EIOÚ konstatuje, že výše uvedená zpráva Skupiny pro budoucnost uvádí jako strategického partnera EU kromě USA i Rusko. Jsou-li zásady neutrální a v souladu se základními ochrannými opatřeními EU, mohly by představovat užitečný precedens. Specifika související například s právním rámcem přijímací země či účel předávání údajů by však úplnému provedení dohody zabránily. Stejně tak rozhodující bude situace v oblasti demokracie ve třetích zemích: je třeba se ujistit, že dohodnuté zásady budou v přijímací zemi skutečně zajištěny a prováděny.

53.

Implicitní i explicitní odpovídající úroveň by každopádně měla být v souladu s mezinárodním i evropským právním rámcem, a zejména se společně dohodnutými opatřeními na ochranu údajů. Tato opatření jsou zakotvena v pokynech Organizace spojených národů, v úmluvě č. 108 Rady Evropy a v jejím dodatečném protokolu, v pokynech OECD a v rámcovém rozhodnutí o ochraně údajů, jakož i v případě aspektů prvního pilíře ve směrnici 95/46/ES (20). Všechny tyto nástroje obsahují podobné zásady, jež jsou obecněji uznány za základ ochrany osobních údajů.

54.

Je proto důležité, aby výše uvedené zásady byly řádně zohledněny, přičemž byl zvážen dopad takové případné dohody, jako je dohoda uvedená ve zprávě kontaktní skupiny. Nástroj zabývající se celým odvětvím vynucování práva ve třetí zemi by skutečně představoval bezprecedentní situaci. Stávající rozhodnutí v rámci prvního pilíře týkající se přiměřenosti, jakož i dohody uzavřené se třetími zeměmi v rámci třetího pilíře EU (Europol, Eurojust) vždy souvisely s konkrétním předáváním údajů, zatímco tento nástroj by vzhledem k obsáhlému účelu, k němuž má sloužit (boj proti trestným činům, vnitrostátní a veřejná bezpečnost, vymáhání práva na hranicích), a vzhledem k neznámému množství příslušných databází umožnil předávání s mnohem rozsáhlejší oblastí působnosti.

55.

Podmínky, jež je třeba dodržovat v souvislosti s předáváním osobních údajů třetím zemím, byly vypracovány v pracovním dokumentu Pracovní skupiny článku 29 (21). Jakákoli dohoda o minimálních zásadách týkajících se soukromí by měla uspět ve zkoušce souladu zajišťující účinnost opatření na ochranu údajů.

56.

Kromě uvedených třech základních požadavků je třeba věnovat zvláštní pozornost specifikům souvisejícím se zpracováváním osobních údajů v kontextu vynucování práva. Jedná se skutečně o oblast, v níž mohou být lidská práva určitým způsobem omezena. Je tedy třeba přijmout opatření na ochranu údajů s cílem vyrovnat omezení práv fyzických osob, zejména v souvislosti s následujícími aspekty, a to s ohledem na dopad na fyzické osoby:

57.

Tato kapitola analyzuje dvanáct zásad zahrnutých v dokumentu kontaktní skupiny z následujícího hlediska:

58.

První zásada uvedená v příloze zprávy kontaktní skupiny uvádí, že osobní informace jsou zpracovávány pro zákonné účely vynucování práva. Jak bylo uvedeno, pro Evropskou unii to znamená předcházení, zadržení, vyšetřování či stíhání trestných činů. Pro USA však výklad vynucování práva přesahuje trestné činy a zahrnuje „účely vynucování práva na hranicích, veřejné bezpečnosti a vnitrostátní bezpečnosti“. Důsledky těchto rozdílů mezi uvedenými účely EU a USA nejsou jasné. Přestože zpráva zmiňuje, že účely se v praxi mohou do značné míry shodovat, je dosud rozhodující přesně vědět, do jaké míry se neshodují. Vzhledem k dopadu opatření na fyzické osoby musí být v oblasti vynucování práva zásada omezení účely vždy přísně dodržována a uvedené účely musí být jasné a zřetelně vymezeny. Vezmeme-li v úvahu vzájemnost uvedenou ve zprávě, zdá se, že sblížení daných účelů je rovněž zásadní. Stručně řečeno, je třeba ujasnit, jak je tato zásada chápána.

59.

EIOÚ vítá ustanovení požadující přesné, patřičné, včasné a úplné osobní informace nezbytné pro zákonné zpracovávání. Tato zásada je základní podmínkou jakékoli účinného zpracovávání údajů.

60.

Tato zásada stanoví jasnou vazbu mezi shromážděnými informacemi a jejich nezbytností k dosažení účelu vynucování práva stanoveného právními předpisy. Tento požadavek právního základu představuje pozitivní faktor pro zajištění zákonnosti zpracovávání. EIOÚ však konstatuje, že přestože se tím posiluje právní jistota zpracovávání, jeho právní základ spočívá v právních předpisech třetí země. Právní předpisy třetí země nemohou samy o sobě představovat zákonný základ pro předávání osobních údajů (22). V souvislosti se zprávou kontaktní skupiny se zdá, že je považováno za samozřejmé, aby oprávněnost právních předpisů třetí země, tedy Spojených států, byla v zásadě uznána. Je třeba mít na paměti, že jestliže takové úvahy mohou být v tomto případě opodstatněné, jelikož Spojené státy jsou demokratickým státem, stejný režim by neplatil nebo by nemohl být přenesen do vztahů se žádnou další třetí zemí.

61.

Podle přílohy zprávy kontaktní skupiny musí být veškeré předávání osobních údajů náležité, nezbytné a patřičné. EIOÚ zdůrazňuje, že proto, aby zpracovávání bylo přiměřené, nesmí být nepřiměřeně rušivé a způsoby zpracovávání musí být vyvážené a musí zohledňovat práva a zájmy subjektů údajů.

62.

Z tohoto důvodu by měl být přístup k informacím umožňován případ od případu, v závislosti na praktických potřebách v souvislosti s konkrétním vyšetřováním. Stálý přístup donucovacích orgánů třetí země do databází umístěných v EU by byl považován za nepřiměřený a za nedostatečně odůvodněný. EIOÚ připomíná, že i v rámci stávajících dohod o výměně údajů, například pokud jde o dohodu PNR, vychází výměna údajů z konkrétních okolností a je uzavírána na omezenou dobu (23).

63.

Vycházíme-li ze stejné logiky, doba uchovávání údajů by měla být regulována: údaje by měly být uchovávány, pouze dokud jsou nezbytné, přičemž by měl být zohledněn konkrétní sledovaný účel. Pokud již nemají význam pro stanovený účel, měly by být odstraněny. EIOÚ důrazně odmítá zřízení databází, v nichž by byly uloženy informace o nepodezřelých fyzických osobách pro případ, že jich bude později případně třeba.

64.

Jsou vypracovány zásady týkající se opatření a postupů pro ochranu údajů proti zneužití, pozměnění a dalším rizikům, jakož i ustanovení omezující přístup neoprávněným fyzickým osobám. EIOÚ považuje tuto skutečnost za uspokojivou.

65.

Zásadu by rovněž mohlo doplňovat ustanovení uvádějící, že je třeba uchovat záznamy o subjektech, které do daných údajů nahlížejí. Tím by se posílila účinnost ochranných opatření, pokud jde o omezení přístupu a předcházení zneužití údajů.

66.

Pro případ narušení bezpečnosti by bylo stanoveno rovněž vzájemné informování: příjemci v USA, jakož i v EU by byli odpovědni za informování svých protějšků v případě, že obdržené údaje byly nezákonně zpřístupněny. Toto opatření přispěje k posílení odpovědnosti za bezpečné zpracovávání údajů.

67.

Zásada zakazující zpracovávání citlivých údajů je podle EIOÚ značně oslabena výjimkou umožňující jakékoli zpracovávání citlivých údajů, pro něž vnitrostátní právní předpisy stanoví „vhodná ochranná opatření“. Právě vzhledem k citlivé povaze údajů musí být jakákoli výjimka ze zásady zákazu patřičně a přesně odůvodněna a musí se uvést seznam účelů a okolností, za nichž lze stanovený druh citlivých údajů zpracovávat, jakož i udat povahu správců oprávněných zpracovávat tento druh údajů. Co se týče ochranných opatření, která mají být přijata, EIOÚ se domnívá, že citlivé údaje jako takové by neměly představovat prvek, jenž by mohl ohrozit vyšetřování. Za zvláštních okolností by mohly být k dispozici, ale pouze jako dodatečné informace v souvislosti se subjektem údajů, který je již vyšetřován. Ve znění zásady musí být uveden restriktivní výčet těchto ochranných opatření a podmínek.

68.

Jak již bylo podrobněji uvedeno v bodech 55 a 56 tohoto stanoviska, je třeba účinně zajistit odpovědnost veřejných subjektů zpracovávajících osobní údaje a stanovit v dohodě způsob, jímž bude zaručena. Jde o velmi důležitou otázku, jelikož transparentnost, jež je tradičně spojována se zpracováváním osobních údajů v oblasti vynucování práva, není dostatečná. V této souvislosti není dostatečnou zárukou uvést, jako nyní v příloze, že veřejné subjekty jsou odpovědné, aniž by se dále vysvětlila podoba a důsledky této odpovědnosti. EIOÚ doporučuje, aby bylo toto vysvětlení uvedeno ve znění nástroje.

69.

EIOÚ plně podporuje zařazení ustanovení o nezávislém a účinném dohledu ze strany jednoho veřejného orgánu dohledu či několika takových orgánů. Domnívá se, že by mělo být ujasněno, jakým způsobem je nezávislost vykládána, zejména na kom jsou tyto orgány nezávislé a komu podávají zprávy. V tomto ohledu je zapotřebí kritérií, jež by měla zohledňovat vzájemnou závislost institucí a činností v souvislosti s výkonnými a zákonodárnými orgány. EIOÚ připomíná, že jde o zásadní prvek pro zajištění účinného dodržování dohodnutých zásad. Pravomoc zakročit a vynucovat právo, kterou mají tyto orgány, je rovněž zásadní, pokud jde o otázku odpovědnosti veřejných subjektů zpracovávajících osobní údaje, jak již bylo uvedeno. Aby subjekty údajů mohly vykonávat svá práva, měly by být jasně informovány o tom, že tyto orgány existují a jaké jsou jejich pravomoci, zejména pokud nese odpovědnost několik orgánů v závislosti na souvislostech zpracovávání údajů.

70.

EIOÚ rovněž doporučuje, aby budoucí dohoda také stanovila mechanismus spolupráce mezi orgány dohledu.

71.

Pokud jde o přístup a opravy v souvislosti s vynucováním práva, je třeba zvláštních záruk. V tomto ohledu EIOÚ vítá zásadu uvádějící, že fyzické osoby mají či měly by mít přístup a prostředky k „opravám a odstranění svých osobních informací“. Přetrvávají však určité pochybnosti v souvislosti s vymezením „fyzických osob“ (chráněny by měly být veškeré subjekty údajů, nejen občané dotčené země) a s podmínkami, za nichž by fyzické osoby mohly vznést námitky proti zpracovávání svých informací. Je třeba přesněji stanovit „vhodné případy“, v nichž by bylo, nebo nebylo možné vznést námitky. Subjekty údajů by měly jasně vědět, za jakých okolností budou moci svá práva vykonávat, tedy například v závislosti na druhu orgánu, druhu vyšetřování či na jiných kritériích.

72.

Pokud není možné vznášet námitky proti zpracovávání z oprávněných důvodů přímo, mělo by být k dispozici nepřímé ověřování prostřednictvím nezávislého orgánu odpovědného za dohled nad zpracováváním údajů.

73.

EIOÚ opět zdůrazňuje význam účinné transparentnosti, aby se fyzickým osobám umožnilo vykonávat jejich práva a přispělo k obecné odpovědnosti veřejných orgánů zpracovávajících osobní údaje. Podporuje navrhované zásady, a trvá zejména na nezbytnosti obecného a individuálního oznamování fyzickým osobám. To se odráží ve znění zásady navrhovaném v bodě 9 přílohy.

74.

Zpráva však v kapitole 2, A. B („Dohodnuté zásady“) uvádí, že v USA může transparentnost zahrnovat „jednotlivě či v kombinaci zveřejnění ve federálním rejstříku, individuální oznámení a zpřístupnění při soudním řízení“. Musí být jasné, že samotné zveřejnění v úředním věstníku pro zajištění, že subjekt údajů bude náležitě informován, nepostačuje. Kromě toho, že je třeba individuálního oznámení, EIOU rovněž připomíná, že informace musí být podány v podobě a v jazyce, které jsou subjektu údajů snadno srozumitelné.

75.

Má-li být fyzickým osobám zaručen účinný výkon jejich práv, musí být schopny podat stížnost k nezávislému orgánu ochrany údajů a musí mít možnost podat opravný prostředek k nezávislému a nestrannému soudu. Obě možnosti nápravy by měly být dostupné stejným způsobem.

76.

Přístup k nezávislému orgánu ochrany údajů je nezbytný, jelikož poskytuje pružnou a méně nákladnou pomoc v určité oblasti (vynucování práva), která může být pro fyzické osoby poněkud nejasná. Orgány ochrany údajů mohou rovněž poskytnou pomoc tím, že jménem subjektů údajů uplatní právo přístupu, jestliže výjimky brání subjektům údajů v přímém přístupu k jejich osobním údajům.

77.

Přístup k justičnímu systému je další dodatečnou a nepostradatelnou zárukou, že subjekty údajů mohou usilovat o nápravu před orgánem, jenž náleží do jiné složky demokratického systému, než jsou veřejné orgány, které jejich údaje zpracovávají. Evropský soudní dvůr (24) považoval tento účinný opravný prostředek před soudem za „zásadní pro zajištění účinné ochrany práv fyzické osoby. (...) Odráží obecnou zásadu práva Společenství, která zdůrazňuje ústavní tradice společné členským státům a jež byla zakotvena v článcích 6 a 13 Evropské úmluvy o ochraně lidských práv a základních svobod.“ Opravný prostředek je rovněž výslovně stanoven v článku 47 Listiny základních práv Evropské unie a v článku 22 směrnice 95/46/ES, aniž je dotčen jakýkoli správní opravní prostředek.

78.

EIOÚ vítá ustanovení, které zavádí patřičná ochranná opatření v případě automatizovaného zpracovávání osobních informací. Konstatuje, že shoda názorů ohledně toho, co je myšleno pojmem „podstatná nepříznivá činnost týkající se příslušných zájmů fyzické osoby“, by objasnila podmínky použitelnosti této zásady.

79.

V případě některých dalších předávání údajů jsou příslušné podmínky nejasné. Zejména pokud další předávání musí být v souladu s mezinárodními ujednáními a dohodami mezi vysílajícími a přijímacími zeměmi, je třeba přesně stanovit, zda se jedná o dohody mezi dvěma zeměmi, které zahájily první předání údajů, nebo mezi dvěma zeměmi, které jsou zapojeny do dalšího předávání. Podle EIOÚ jsou dohody mezi dvěma zeměmi, které zahájily první předání údajů, v každém případě nezbytné.

80.

EIOÚ rovněž poukazuje na velmi široké vymezení „oprávněných veřejných zájmů“, které umožňují další předávání údajů. Oblast působnosti veřejné bezpečnosti je i nadále nejasná a rozšíření předávání údajů v případě porušení etických zásad či regulovaných povolání je v souvislosti s vynucováním práva patrně neoprávněné a nadměrné.

81.

EIOÚ vítá společnou práci orgánů EU a USA v oblasti vynucování práva, v níž je ochrana údajů zásadní. Chtěl by však zdůraznit, že se jedná o složitou otázku, zejména pokud jde o přesnou oblast působnosti a povahu, a že si tedy zaslouží pozornou a podrobnou analýzu. Je třeba bedlivě zvážit dopad transatlantického nástroje na ochranu údajů v souvislosti se stávajícím právním rámcem a s důsledky pro občany.

82.

EIOÚ vyzývá k větší srozumitelnosti a ke konkrétnějším ustanovením, zejména ohledně těchto aspektů:

83.

EIOÚ zdůrazňuje, že vypracování zásad není třeba uspěchat, jelikož by to vedlo pouze k neuspokojivým řešením s opačnými účinky, než jsou účinky zamýšlené v souvislosti o ochranou údajů. V tomto okamžiku by tedy nejlepším postupem bylo sestavit plán pro případné vypracování dohody v pozdější fázi.

84.

EIOÚ rovněž vyzývá k větší transparentnosti, co se týče postupu vypracovávání zásad ochrany údajů. Pouze pokud se zapojí veškeré zúčastněné strany, včetně Evropského parlamentu, bude nástroj moci využít demokratické diskuse a získat nezbytnou podporu a uznání.

—

Dohoda mezi Spojenými státy americkými a Evropským policejním úřadem ze dne 6. prosince 2001 a Dodatková dohoda mezi Europolem a USA o výměně osobních údajů a souvisejících informací zveřejněná na internetových stránkách Europolu;

—

Dohoda mezi Spojenými státy americkými a Eurojustem o justiční spolupráci, 6. listopadu 2006, zveřejněna na internetové stránce Eurojustu;

—

Dohoda mezi Evropskou unií a Spojenými státy americkými o zpracovávání údajů jmenné evidence cestujících (PNR) leteckými dopravci a o jejich předávání Ministerstvu vnitřní bezpečnosti Spojených států amerických (dohoda PNR 2007), podepsána v Bruselu dne 23. července 2007 a ve Washingtonu dne 26. července 2007, Úř. věst. L 204, 4.8.2007, s. 18;

—

Výměna dopisů mezi úřady USA a EU ohledně programu sledování financování terorismu, 28. června 2007.

—

Pokyny OSN o elektronických souborech osobních údajů přijaté Valným shromážděním dne 14. prosince 1990, které jsou dostupné na adrese: www.unhchr.ch/html/menu3/b/71.htm;

—

Úmluva Rady Evropy o ochraně fyzických osob v souvislosti s automatickým zpracováváním osobních údajů, 28. ledna 1981, dostupná na adrese: www.conventions.coe.int/treaty/en/Treaties/html/108.htm;

—

Pokyny OECD o ochraně soukromí a přeshraničních toků osobních údajů přijaté dne 23. září 1980, které jsou dostupné na adrese: www.oecd.org/document/20/0,3343,en_2649_34255_15589524_1_1_1_1,00.html

—

Návrh rámcového rozhodnutí Rady o ochraně osobních údajů zpracovávaných v rámci policejní a justiční spolupráce v trestních věcech, který je dostupný na adrese: http://ec.europa.eu/prelex/detail_dossier_real.cfm?CL=en&DosId=193371

—

Směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů, Úř. věst. L 281, 23.11.1995, s. 31.