31.8.2017   

CS

Úřední věstník Evropské unie

C 288/107

Zpravodaj:

Jorge PEGADO LIZ

1.1

Komise předmětným návrhem z čistě technicko-právního hlediska všeobecně správným a přiměřeným způsobem účinně splnila potřebu přizpůsobit současný režim nařízení Evropského parlamentu a Rady (ES) č. 45/2001  (1) a rozhodnutí Evropského parlamentu, Tady a Komise č. 1247/2002/ES  (2) týkajících se ochrany osobních údajů orgány, institucemi a jinými subjekty Unie novému obecnému nařízení o ochraně osobních údajů (3), které se v celé EU použije ode dne 25. května 2018.

1.2

To nebrání tomu, aby EHSV připomněl obsah svých připomínek a doporučení týkajících se návrhu obecného nařízení o ochraně osobních údajů v současnosti změněného v platné znění obecného nařízení a vyjádřil politování nad skutečností, že v konečném znění nebyly zcela zohledněny, přičemž se s ohledem na rychlý technologický vývoj v této oblasti obává, že jeho opožděné přijetí a vstup v platnost povedou ke zvýšení rizika neoprávněného využívání údajů a zneužívání jejich zpracování a marketingu a že nařízení bude zastaralé již před svým provedením. Vzhledem k tomu, že předmětný návrh představuje přizpůsobení obecného nařízení o ochraně osobních údajů fungování evropských orgánů, uvedené obavy platí obdobně i pro posuzovaný text, zejména pokud jde o nejasnost použitého jazyka, kterému běžný občan jen těžko porozumí.

1.3

EHSV se na druhou stranu domnívá, že to, co se děje v orgánech EU, by mělo sloužit jako příklad pro postupy na vnitrostátní úrovni, a proto požaduje, aby vypracování předmětného návrhu byla věnována mimořádná pozornost.

1.4

EHSV by v tomto směru uvítal, pokud by byly výslovně řešeny prvky, jako je propojení předmětného návrhu se služebním řádem úředníků Evropské unie, řešení situací obtěžování, kyberšikany a tzv. whistleblowingu v orgánech EU, uplatňování návrhu, pokud jde o internet věcí, data velkého objemu a využívání vyhledávačů za účelem přístupu k osobním údajům, jejich vytváření a využívání, jakož i zveřejňování osobních informací na stránkách institucí na sociálních sítích (Facebook, Twitter, Instagram, Linkedin atd.).

1.5

EHSV by rovněž uvítal, pokud by v návrhu byly uvedeny bezpečnostní podmínky počítačových systémů, které budou sloužit jako zařízení pro zpracování údajů, a záruky proti kybernetickým útokům a porušování ochrany těchto údajů nebo jejich únikům, přičemž by se měla zaručit jejich technologická neutralita a nemělo by se spoléhat jen na specifické interní normy jednotlivých služeb. Rovněž by se měl vyjasnit vztah mezi ochranou údajů a bojem proti trestné činnosti a terorismu, aniž by to znamenalo přijímání nepřiměřených nebo zbytečných sledovacích opatření, která by v každém případě podléhala kontrole evropského inspektora ochrany údajů (EIOÚ).

1.6

Dále by uvítal, kdyby byly v návrhu vymezeny dovednosti a typ vzdělání a důvěryhodnosti nezbytné pro jmenování pověřence pro ochranu osobních údajů, správce nebo zpracovatele v orgánech EU, přičemž musí vždy podléhat kontrole a monitorování EIOÚ.

1.7

EHSV by též s ohledem na specifičnost shromažďovaných údajů, které se přímo týkají soukromého života subjektů údajů, zejména pokud jde o zdraví a daňové a sociální údaje, uvítal, kdyby se tyto údaje omezily na nezbytné minimum potřebné pro příslušné účely a zajistila se maximální ochrana a maximální záruky při zpracování těchto obzvláště citlivých osobních údajů, přičemž by se měly zohlednit nejmodernější mezinárodní normy a vnitrostátní právní předpisy a osvědčené postupy některých členských států.

1.8

EHSV zdůrazňuje, že je zapotřebí, aby se v návrhu výslovně stanovilo posílení prostředků EIOÚ a přidělení dostatečného počtu pracovníků s důkladnými znalostmi a technickými dovednostmi v oblasti ochrany údajů.

1.9

EHSV znovu opakuje, že je třeba, aby se na údaje právnických osob (podniků, nevládních organizací, obchodních společností atd.) zřízených v souladu se zákonem rovněž vztahovala ochrana v oblasti shromažďování a zpracování údajů.

1.10

EHSV ve své analýze konkrétně uvádí několik změn v různých ustanoveních, jež po přijetí přispějí k účinnější ochraně osobních údajů v rámci orgánů EU, a to nejen co se týče úředníků těchto orgánů, ale i milionů evropských občanů, kteří se na ně obracejí, a proto vyzývá Komisi, ale i Evropský parlament a Radu, aby tyto změny zohlednily během konečných úprav návrhu.

2.1

Jak Komise uvedla v příslušné důvodové zprávě, cílem jejího návrhu je přistoupit ke zrušení nařízení (ES) č. 45/2001  (4) a  rozhodnutí č. 1247/2002/ES , které se týkají ochrany osobních údajů orgány, institucemi a jinými subjekty Unie, a to s dvojím cílem:

2.2

Po dlouhém a složitém vývoji nakonec došlo k tomu, že Rada a Parlament přijaly obecné nařízení o ochraně osobních údajů (5), které se v celé EU použije ode dne 25. května 2018. Toto nařízení vyžaduje přizpůsobení různých právních nástrojů (6), jako například uvedeného nařízení (ES) č. 45/2001 a rozhodnutí č. 1247/2002/ES.

2.3

Komise s ohledem na výsledky průzkumů a konzultací se zúčastněnými stranami a hodnotící studie týkající se uplatňování nařízení za posledních 15 let, o kterém rozsáhle informuje, dospěla konkrétně k závěru, že:

2.4

S ohledem na povahu a rozsah změn, které se mají zavést do předchozích právních předpisů, rozhodla Komise o jejich úplném zrušení a nahrazení předmětným nařízením v souladu s ostatními uvedenými předpisy, jež mají vstoupit v platnost zároveň s nařízením (EU) 2016/679, a v souladu s jeho článkem 98.

3.1

Z čistě technicko-právního hlediska EHSV v zásadě souhlasí s:

3.2

To není v rozporu s obsahem připomínek a doporučení EHSV týkajících se návrhu obecného nařízení o ochraně osobních údajů (8) v současnosti změněného v platné znění obecného nařízení (9), které v tomto konečném znění nebyly zcela zohledněny. EHSV se s ohledem na rychlý technologický vývoj v této oblasti obává, že jeho opožděné přijetí a vstup v platnost povedou ke zvýšení rizika neoprávněného využívání údajů a zneužívání jejich zpracování a marketingu a že bude zastaralé již před svým provedením. Jelikož současný návrh představuje přizpůsobení obecného nařízení o ochraně osobních údajů fungování evropských institucí, platí uvedené obavy obdobně i pro posuzovaný text, zejména pokud jde o nejasnost použitého jazyka, kterému běžný občan jen těžko porozumí, a bylo by lepší, kdyby byl předložen a projednán spolu s uvedeným návrhem.

3.3

Na druhou stranu by EHSV uvítal, kdyby se předmětný návrh zabýval určitými tématy, protože to, co se děje v institucích EU, by mělo sloužit jako příklad pro postupy na vnitrostátní úrovni.

3.4

Není předně jasné, zda byl návrh náležitě sklouben se služebním řádem úředníků Evropské unie (nařízení č. 31 EHS (10)), neboť chybějí konkrétní normativní ustanovení, která by zaručila, že osobní údaje úředníků a spolupracovníků institucí budou předmětem účinnější ochrany, co se týče jejich náboru, kariérního postupu, období platnosti smlouvy a případných prodloužení a hodnocení.

3.4.1

Když ne v tomto dokumentu, měly by se vytvořit všeobecné předpisy s pravidly týkajícími se zdravotních záznamů úředníků a jejich rodinných příslušníků, ochrany údajů vytvořených nebo využívaných úředníky a příslušných genetických údajů, zpracování a ochrany e-mailových zpráv zasílaných občany úřadům EU nebo zpráv, které si posílají či vyměňují úředníci těchto úřadů mezi sebou a s vnějšími subjekty, a jejich obsahu, jakož i navštívených internetových stránek (11).

3.4.2

Zvláštní přístup by si též zasloužily situace obtěžování v podobě kyberšikany a tzv. whistleblowingu v institucích EU, navzdory ustanovení v článku 68.

3.4.3

EHSV si rovněž klade otázku ohledně podmínek používání předmětného návrhu a nařízení (EU) 2016/679, co se týče internetu věcí, dat velkého objemu a využívání vyhledávačů za účelem přístupu k osobním údajům, jejich vytváření a využívání, jakož i zveřejňování osobních informací na stránkách institucí na sociálních sítích (Facebook, Twitter, Instagram, Linkedin atd.) bez výslovného souhlasu subjektu údajů.

3.5

EHSV by uvítal, kdyby se v návrhu Komise kromě zmínky o důvěrnosti elektronické komunikace v článku 34 návrhu nařízení uvedly bezpečnostní podmínky počítačových systémů, které budou sloužit jako zařízení pro zpracování údajů, a záruky proti kybernetickým útokům a porušování ochrany těchto údajů nebo jejich únikům (12), přičemž by se měla zaručit jejich technologická neutralita a nemělo by se spoléhat jen na specifické interní normy jednotlivých služeb. Rovněž by se měl lépe vysvětlit vztah mezi ochranou údajů a bojem proti trestné činnosti a terorismu, aniž by to znamenalo přijímání nepřiměřených nebo zbytečných sledovacích opatření, která by v každém případě podléhala kontrole EIOÚ.

3.6

EHSV zdůrazňuje, že propojení osobních údajů v rámci organizací EU nelze ponechat jen na zásadě odpovědnosti, která se předpokládá v 16. bodě odůvodnění, a vyzývá v tomto směru Komisi, aby zavedla zvláštní pravidlo vyžadující, aby propojení, o které požádá správce nebo obecně zpracovatel, bylo možné uskutečnit jen po schválení ze strany EIOÚ.

3.7

Dále by uvítal, kdyby byly v návrhu vymezeny dovednosti a typ vzdělání a důvěryhodnosti nezbytné pro jmenování pověřence pro ochranu osobních údajů, správce a zpracovatele v orgánech EU (13), aniž by byl dotčen 51. bod odůvodnění a čl. 44 odst. 3 návrhu, přičemž případné porušení jejich pracovních povinností by mělo podléhat skutečně odrazujícím sankcím na disciplinární, občanskoprávní a trestněprávní úrovni, které budou uvedeny v návrhu a vždy budou podléhat kontrole a monitorování EIOÚ.

3.8

Ačkoli EHSV uznává, že předmětný návrh představuje zvýšení úrovně ochrany oproti současnému nařízení (ES) č. 45/2001, s ohledem na specifičnost shromažďovaných údajů, které se přímo týkají soukromého života subjektů údajů, zejména pokud jde o zdraví, daňové a sociální údaje, by uvítal, kdyby se údaje v návrhu omezily na nezbytné minimum potřebné pro příslušné účely a zajistila se maximální ochrana a maximální záruky při zpracování osobních údajů, přičemž by se měly zohlednit nejmodernější mezinárodní normy a vnitrostátní právní předpisy a osvědčené postupy některých členských států (14).

3.9

I když si je EHSV vědom, že nařízení (EU) 2016/679 se stejně jako předmětný návrh týká jen údajů, u nichž jsou subjekty údajů fyzickými osobami, znovu opakuje, že je třeba, aby se na údaje právnických osob (podniků, nevládních organizací, obchodních společností atd.) zřízených v souladu se zákonem rovněž vztahovala ochrana v oblasti shromažďování a zpracování údajů.

4.1

S ohledem na základní zásady ochrany soukromého života zakotvené v Listině základních práv Evropské unie a na zásady proporcionality a předběžné opatrnosti vyplynulo ze zvláštní analýzy textu návrhu několik pochybností a výhrad.

4.3.1

S ohledem na skutečnost, že se předmětné nařízení vztahuje na údaje zpracovávané v prostředí orgánů EU, by EHSV uvítal výslovné uvedení zásady zákazu diskriminace, pokud jde o zpracovávané údaje.

4.3.2

Pokud jde o čl. 4 odst. 1 písm. b), zpracování pro účely archivace ve veřejném zájmu, pro účely vědeckého či historického výzkumu nebo pro statistické účely by mělo podléhat předchozímu schválení ze strany evropského inspektora ochrany údajů, které v článku 58 stanoveno není.

4.3.3

Dále se domnívá, že by mělo existovat výslovné ustanovení rovnocenné současnému článku 7 nařízení (ES) č. 45/2001 týkající se předávání údajů mezi orgány EU.

4.4.1

EHSV nechápe, proč není čl. 5 odst. 1 písm. b) návrhu nařízení v souladu s ustanovením odstavce 2 tohoto článku, na rozdíl od čl. 6 písm. c) a e), která jsou obě v souladu s ustanoveními článku 3 obecného nařízení o ochraně osobních údajů.

4.4.2

EHSV se domnívá, že do písmene d) by se mělo doplnit, že souhlas musí podléhat zásadě dobré víry.

4.5.1

Uplatňování tohoto článku musí vždy podléhat schválení ze strany evropského inspektora ochrany údajů.

4.5.2

V těchto případech musí být při shromažďování údajů nebo v okamžiku přijetí nového rozhodnutí vždy předem informován subjekt údajů, aby mohl případně požádat o opravu, výmaz nebo omezení tohoto zpracování údajů či proti němu vznést námitku.

4.6.1

EHSV se domnívá, že výjimka z pravidla platnosti souhlasu dětí mladších 16 let (ve věku 13 až 16 let), která je již sama o sobě absurdní, je přípustná pouze v členských státech z kulturních důvodů v rámci vnitrostátního práva (článek 8 obecného nařízení o ochraně osobních údajů), ale nesmí být přijata jako pravidlo pro orgány EU (čl. 8 odst. 1), které stanovuje hranici 13 let.

4.6.2

Na druhé straně není specifikováno, jakým způsobem má EIOÚ věnovat dětem „zvláštní pozornost“ stanovenou v čl. 58 odst. 1 písm. b), zejména v případech zpřístupňování údajů ze seznamů uživatelů stanovených v článku 36 veřejnosti.

4.7.1

V odstavci 1 by se měla též doplnit stranická příslušnost (která není totéž co politický názor) a soukromý život.

4.7.2

V odst. 2 písm. b) by se mělo uvést, že i za účelem plnění povinností a výkonu zvláštních práv subjektu údajů by měl být tento subjekt údajů vždy předem informován.

4.7.3

V odst. 2 písm. d) by se mělo uvést, že zpracování lze provádět pouze se souhlasem subjektu údajů.

4.7.4

Písmeno e) by mělo představovat výjimku, pouze pokud lze z prohlášení subjektu údajů oprávněně vyvodit jeho souhlas se zpracováním údajů.

4.9.1

V případě dalších informací stanovených v čl. 15 odst. 2 je třeba ještě doplnit požadavek, aby byl subjekt údajů informován o tom, zda je odpověď správce povinná nebo dobrovolná, a o možných důsledcích neposkytnutí odpovědi.

4.9.2

V případě shromažďování údajů v rámci otevřených sítí musí být subjekt údajů informován vždy, když může dojít k tomu, že se budou jeho údaje pohybovat na sítích, aniž by byly zaručeny bezpečnostní podmínky a hrozí riziko, že je uvidí a budou neoprávněně používat třetí strany.

4.9.3

Právo stanovené v čl. 17 odst. 1 by se mělo nabývat svobodně a bez omezení, v přiměřených intervalech, rychle nebo bezprostředně a bez nákladů.

4.9.4

EHSV navrhuje, aby byl subjekt údajů též povinně informován o potvrzení toho, zda se údaje, které se jej týkají, zpracovávají, nebo ne.

4.9.5

Informace uvedené v čl. 17 odst. 1 by se měly poskytovat snadno pochopitelným, jasným a srozumitelným způsobem, zejména pokud se týkají zpracovávaných údajů a jakýchkoli informací o původu těchto údajů.

4.11.1

EHSV se domnívá, že do odst. 2 písm. c) by se mělo doplnit, že k danému souhlasu dochází až po výslovném informování subjektu údajů o důsledcích rozhodnutí na právní účinky, které se jej týkají, protože pouze za této podmínky se bude jednat o náležitě informovaný souhlas.

4.11.2

Pokud jde o odstavec 3, EHSV se domnívá, že vhodná opatření by měl vymezit evropský inspektor ochrany údajů, a nikoli správce údajů.

4.12.1

EHSV se obává, že znění článku 25 návrhu nařízení představuje příliš volný výklad článku 23 obecného nařízení o ochraně osobních údajů, pokud jde o rozsah omezení týkajících se uplatňování předpisů, ve kterých se stanoví základní práva subjektu údajů, a doporučoval by jeho kritický přezkum na základě důkladné analýzy, jež by mohla případně omezit několik písmen tohoto článku, zejména co se týče omezení práva na důvěrnost informací v sítích elektronických komunikací stanovenou v článku 7 Listiny základních práv, která je zohledněna v současné směrnici o soukromí a elektronických komunikacích a zachována v návrhu nařízení, jenž se posuzuje v jiném stanovisku EHSV.

4.12.2

EHSV se otevřeně staví proti možnosti uvedené v čl. 25 odst. 2, kterou je možnost orgánů a institucí Unie omezit uplatňování omezení práv subjektů údajů, které nevyplývají z právních aktů, jež tato omezení výslovně umožňují. Totéž platí pro článek 34.

—

zabránit všem nepovolaným osobám v přístupu k zařízení používanému ke zpracování údajů;

—

zabránit neoprávněnému čtení, kopírování, měnění nebo mazání nosičů údajů;

—

zamezit veškerým neoprávněným zadáváním údajů, jakož i seznámení se s uloženými osobními údaji, jejich úpravám nebo výmazům;

—

zabránit neoprávněným osobám v použití automatizovaných systémů zpracování údajů prostřednictvím zařízení pro přenos údajů;

—

zaručit ověřování subjektů, kterým lze osobní údaje předat;

—

zaručit, že oprávněné osoby mohou mít přístup pouze k údajům podléhajícím předchozímu schválení.

4.20.1

Bez ohledu na výše uvedené a pokud není pověřenec pro ochranu údajů úředníkem, lze ho na základě povahy jeho funkce kdykoli odvolat, schválí-li to EIOÚ (čl. 45 odst. 8 nařízení).

4.20.2

Domnívá se, že délka jeho funkčního období by měla být pevně stanovena na pět let, přičemž by mělo být možné ji prodloužit jen jednou.

4.25

V návrhu nařízení je uvedeno obrovské množství nejednoznačných nebo subjektivních výrazů a pojmů, které by bylo vhodné přezkoumat a nahradit. Jde například o výrazy „pokud je to možné“, „je-li to možné“, „bez zbytečného odkladu“, „vysoké riziko“, „řádně“, „přiměřená lhůta“, „obzvláště důležité“.