26.7.2011   

CS

Úřední věstník Evropské unie

C 220/1

1.

Dne 24. února 2011 přijala Evropská komise návrh směrnice Evropského parlamentu a Rady, kterou se mění směrnice 89/666/EHS, 2005/56/ES a 2009/101/ES, pokud jde o propojení ústředních, obchodních a podnikových rejstříků (3) (dále jen „návrh“), a následně konzultovala evropského inspektora ochrany údajů.

2.

Evropský inspektor ochrany údajů je potěšen tím, že byl konzultován, jak požaduje čl. 28 odst. 2 nařízení (ES) č. 45/2001, a že v preambuli návrhu je uveden odkaz na toto stanovisko.

3.

Cílem návrhu je usnadnit a zintenzivnit přeshraniční spolupráci a výměnu informací mezi obchodními rejstříky v Evropském hospodářském prostoru a zvýšit tak transparentnost i spolehlivost přeshraničně dostupných informací. Účinné postupy správní spolupráce týkající se obchodních rejstříků mají zásadní význam pro posílení důvěry v evropský jednotný trh zajištěním bezpečnějšího podnikatelského prostředí pro spotřebitele, věřitele a další obchodní partnery, snížením administrativní zátěže a zvýšením právní jistoty. Zlepšení postupů správní spolupráce týkající se obchodních rejstříků v Evropě je zvláště důležité v postupech pro přeshraniční fúze, přemístění sídel a aktualizaci zapsaných údajů zahraničních poboček tam, kde mechanismy spolupráce v současné době chybí nebo jsou omezené.

4.

Proto je cílem návrhu pozměnit tři stávající směrnice takto:

5.

Obchodní rejstříky existují v každém členském státě; jsou organizovány na celostátní, regionální či místní úrovni. V roce 1968 byla přijata společná pravidla, která měla stanovit minimální standardy pro zveřejňování (registraci a publikování) obchodních informací (7). Od 1. ledna 2007 musí členské státy vést i elektronické obchodní rejstříky (8) a musí třetím stranám umožnit přístup k obsahu daného rejstříku on-line.

6.

Spolupráci týkající se obchodních rejstříků z různých členských států výslovně požadují některé evropské právní nástroje s cílem usnadnit přeshraniční fúze kapitálových společností (9) a přeshraniční přemístění sídla evropské společnosti (SE) (10) a evropské družstevní společnosti (SCE) (11).

7.

V roce 1992 byl vytvořen mechanismus dobrovolné spolupráce mezi obchodními rejstříky v Evropě. K dnešnímu dni tzv. evropský obchodní rejstřík (European Business Register, EBR) (12) spojuje oficiální obchodní rejstříky devatenácti členských států a šesti dalších evropských jurisdikcí. V letech 2006 až 2009 se EBR podílel na výzkumném projektu s názvem BRITE (13), jenž měl za cíl vyvinout technologickou platformu pro interoperabilitu obchodních rejstříků v celé Evropě. Posouzení dopadů, které návrh doprovází, však vysvětluje, že evropský obchodní rejstřík se potýká se značnými problémy, pokud jde o jeho rozšíření, financování a správu: podle posouzení dopadů není stávající mechanismus spolupráce ve své současné podobě pro potenciální uživatele plně dostačující.

8.

Důvodová zpráva, která návrh doprovází, připomíná, že portál evropské e-justice (14) se má stát klíčovým místem přístupu k právním informacím, právním a správním institucím, rejstříkům, databázím a dalším službám v EU. Dále potvrzuje, že návrh projekt e-justice doplňuje a měl by přispět k zjednodušení přístupu k informacím o společnostech pro třetí strany prostřednictvím tohoto portálu.

9.

Podle posouzení dopadů je dalším relevantním projektem s potenciální součinností systém pro výměnu informací o vnitřním trhu (Internal Market Information System, IMI) (15). IMI je elektronický nástroj, který má podporovat každodenní správní spolupráci mezi orgány veřejné správy v rámci směrnice o službách (2006/123/ES) a směrnice o uznávání odborných kvalifikací (2005/36/ES). Systém IMI je v současné době rozšiřován a podle posouzení dopadů by mohl podporovat rovněž prosazování ostatních směrnic, také v oblasti práva společností.

10.

Článek 3 návrhu pozměňuje směrnici 2009/101/ES v několika ohledech. Dvě z těchto změn jsou velmi relevantní pro ochranu údajů.

11.

Článek 2 směrnice 2009/101/ES v aktuálním platném znění již požaduje, aby byly v obchodním rejstříku každého členského státu zveřejňovány určité minimální údaje, aby si třetí strany mohly zjišťovat informace o společnostech. Jak je vysvětleno v oddílu 1.2 výše, musí členské státy vést i elektronické obchodní rejstříky a musí třetím stranám umožnit přístup k obsahu těchto rejstříků on-line.

12.

Článek 2 uvádí výčet jedenácti položek základních informací o společnosti, které musí být zveřejňovány, včetně těchto údajů:

13.

Z hlediska ochrany údajů je důležité, že článek 2 také požaduje, aby bylo zveřejňováno „jmenování, ukončení funkce a totožnost“ (doplněno zvýraznění) osob, které i) jsou oprávněny zastupovat společnost a/nebo ii) se jinak účastní „správy, dozoru nebo kontroly společnosti“.

14.

Výčet položek, které musí být zveřejňovány podle článku 2, se návrhem nemění. Ani požadavek, aby každý členský stát tyto údaje zveřejňoval elektronicky, není nový. Novinkou v návrhu je skutečnost, že údaje, které byly dosud k dispozici v roztříštěné podobě, často jen v místních jazycích a prostřednictvím místních internetových stránek, budou nyní snadno dostupné prostřednictvím jednotné evropské platformy/místa přístupu v mnohojazyčném prostředí.

15.

Za tím účelem by návrh do směrnice vložil nový článek 3a, který stanoví: „Členské státy zajistí, aby listiny a údaje uvedené v článku 2, které byly uloženy v jejich rejstříku, bylo možné na žádost jakéhokoli žadatele obdržet v elektronické formě prostřednictvím jednotné evropské elektronické platformy přístupné z každého členského státu.“ Veškeré další podrobnosti návrh ponechává na aktech v přenesené pravomoci.

16.

Návrh by do téže směrnice 2009/101/ES vložil nový článek 4a, který stanoví: „Členské státy přijmou nezbytná opatření k zajištění toho, aby rejstříky uvedené v čl. 3 odst. 1 byly interoperabilní a tvořily elektronickou síť.“ Další podrobnosti návrh opět ponechává na aktech v přenesené pravomoci.

17.

S cílem řešit otázky ochrany údajů by návrh do textu všech tří směrnic, které mají být pozměněny, vložil zvláštní článek o ochraně údajů, který stanoví, že „[z]pracování osobních údajů prováděné v rámci [této] směrnice se řídí směrnicí Evropského parlamentu a Rady 95/46/ES“.

18.

Evropský inspektor ochrany údajů sdílí názor Komise, že i) využití informačních a komunikačních technologií může pomoci zvýšit účinnost spolupráce týkající se obchodních rejstříků a ii) zvýšení dostupnosti informací z obchodních rejstříků může vést ke zvýšené transparentnosti. Proto evropský inspektor ochrany údajů podporuje cíle návrhu. Jeho připomínky je nutno posuzovat ve světle tohoto konstruktivního přístupu.

19.

Současně evropský inspektor ochrany údajů rovněž zdůrazňuje, že zvýšená dostupnost osobních údajů vede také ke zvýšeným rizikům pro osobní údaje. Například ačkoli lze usnadnit správné určení totožnosti zástupce společnosti, je-li zveřejněna jeho soukromá adresa, mohlo by zveřejnění mít i nepříznivý dopad na právo této fyzické osoby na ochranu osobních údajů. Zvláště se to týká osobních údajů daných široce k dispozici na internetu v digitální podobě ve více jazycích a prostřednictvím snadno přístupné evropské platformy/místa přístupu.

20.

V nikoli příliš vzdálené minulosti byly osobní údaje z obchodních rejstříků (např. jméno, adresa a podpisový vzor ředitele) veřejnosti sdělovány v papírové podobě a v místním jazyce, často až po návštěvě žadatele na místním rejstříkovém úřadu. Je důležité uznat, že tato situace je kvalitativně odlišná od zveřejnění údajů v digitální podobě prostřednictvím celostátního elektronického místa přístupu. Zveřejnění osobních údajů prostřednictvím snadno přístupné celoevropské platformy/míst přístupu tento krok posouvá ještě dále a ještě více zvyšuje dostupnost údajů, jakož i rizika v oblasti ochrany osobních údajů dotčených fyzických osob.

21.

Přítomná rizika pro ochranu soukromí (v důsledku snadné dostupnosti údajů v digitální podobě prostřednictvím jednotného místa elektronického přístupu) zahrnují krádež totožnosti a ostatní trestné činnosti, jakož i riziko, že zveřejněné údaje mohou být nezákonně shromažďovány a po profilování dotčených fyzických osob využívány společnostmi pro obchodní účely, které nebyly původně předpokládány. Bez přiměřených ochranných opatření lze údaje rovněž prodávat jiným stranám nebo kombinovat s jinými informacemi a prodávat zpět státním správám k využití pro nesouvisející a nezveřejněné účely (např. pro prosazování daňových právních předpisů nebo pro jiná trestní či správní vyšetřování) bez odpovídajícího právního základu (16).

22.

Z těchto důvodů je třeba pečlivě posoudit, jaké osobní údaje by měly být dány k dispozici prostřednictvím jednotné evropské platformy/místa přístupu a jaká dodatečná opatření pro ochranu údajů – včetně technických opatření k omezení možností pro vyhledávání nebo stahování a shromažďování údajů – by měla platit.

23.

Jak je uvedeno v oddílech 2.1 a 2.2 výše, navrhované články 3a a 4a směrnice 2009/101/ES jsou velmi obecné a mnoho klíčových otázek ponechávají na aktech v přenesené pravomoci.

24.

Ačkoli evropský inspektor ochrany údajů uznává potřebu flexibility, a tudíž také potřebu aktů v přenesené pravomoci, zdůrazňuje, že potřebná opatření pro ochranu údajů jsou podstatné prvky, které by měly být jasně a konkrétně stanoveny přímo v textu samotné navrhované směrnice. V tomto ohledu je nelze považovat za „nepodstatné prvky“, které lze začlenit do následných aktů v přenesené pravomoci přijatých podle článku 290 Smlouvy o fungování Evropské unie.

25.

Proto evropský inspektor ochrany údajů doporučuje, aby byla ustanovení návrhu týkající se ochrany údajů konkrétnější a šla dále než jen k odkazu na směrnici 95/46/ES (viz oddíly 3.4 až 3.13). Následně lze další ustanovení o provádění konkrétních ochranných opatření zařadit do aktů v přenesené pravomoci na základě konzultace s evropským inspektorem ochrany údajů a případně s vnitrostátními orgány pro ochranu údajů (viz oddíly 3.5, 3.6, 3.8, 3.9, 3.10, 3.12 a 3.13 níže).

26.

Návrh se nezmiňuje nejen o klíčových opatřeních v oblasti ochrany údajů, je velmi neurčitý i v dalších ohledech. Zejména také ponechává na aktech v přenesené pravomoci určení podstatných prvků způsobu, jakým hodlá návrh realizovat navrhované i) propojení obchodních rejstříků a ii) zveřejňování údajů.

27.

Jasné stanovení těchto dalších podstatných prvků návrhu je nezbytným předpokladem pro přijetí přiměřených opatření na ochranu údajů. Proto evropský inspektor ochrany údajů doporučuje, aby byly tyto podstatné prvky stanoveny v samotné navrhované směrnici (viz oddíly 3.4 a 3.5 níže).

28.

V této chvíli návrh ponechává na aktech v přenesené pravomoci, aby určily pravidla správy, řízení, provozu a zastupování elektronické sítě (17).

29.

Ačkoli posouzení dopadů a důvodová zpráva určují některé druhy součinnosti se systémem IMI a portálem e-justice, text navrhované směrnice ponechává otevřené dveře pro různé možnosti, jakými lze kteroukoli nebo všechny tyto součinnosti realizovat, včetně přepracování evropského obchodního rejstříku, využití systému IMI pro určité výměny údajů a/nebo využití portálu e-justice jako platformy/místa přístupu k poskytování informací z obchodních rejstříků veřejnosti.

30.

Ani ostatní možnosti nejsou vyloučeny, například vyhlášení výběrového řízení k udělení práva navrhnout a provozovat příslušnou elektronickou síť nebo to, aby měla Komise při navrhování a provozování daného systému přímou úlohu. Na správní struktuře elektronické sítě se mohou podílet i zástupci členských států.

31.

Kromě toho, ačkoli návrh ve své současné podobě předpokládá „jednotnou evropskou elektronickou platformu“ (doplněno zvýraznění), není vyloučeno, že bude text v dalším legislativním postupu možná ještě upraven s cílem stanovit decentralizovanější strukturu.

32.

Evropský inspektor ochrany údajů rovněž konstatuje, že ačkoli se současný návrh konkrétně nezabývá otázkou propojení obchodních rejstříků s ostatními databázemi (například s katastry nemovitostí nebo občanskými rejstříky), jistě to představuje technickou možnost a proces, který již v některých členských státech probíhá (18).

33.

Volba jedné z těchto možností může vést ke zcela odlišné struktuře správy elektronické sítě a elektronického nástroje, který bude používán ke zveřejňování. To pak vede k odlišným úlohám a odpovědnostem zúčastněných stran, z nichž vyplývají i jiné úlohy a odpovědnosti z hlediska ochrany údajů.

34.

V tomto ohledu evropský inspektor ochrany údajů zdůrazňuje, že v každé situaci, kdy jsou zpracovávány osobní údaje, je zásadní správně určit, kdo je „správcem“. To zdůraznila i pracovní skupina pro ochranu údajů zřízená podle článku 29 ve svém stanovisku 1/2010 k pojmům „správce“ a „zpracovatel“ (19). Hlavní důvod, proč je jasná a jednoznačná identifikace správce tak zásadní, spočívá v tom, že tato identifikace určuje, kdo bude nést odpovědnost za dodržování předpisů na ochranu osobních údajů, a je rovněž relevantní pro určení použitelného práva (20).

35.

Jak je uvedeno ve stanovisku pracovní skupiny zřízené podle článku 29: „[n]ení-li dostatečně jasné, co se požaduje od koho (například odpovědný není nikdo nebo existuje velký počet možných správců), existuje zjevné riziko, že se stane pouze velmi málo (pokud vůbec) a že právní předpisy nebudou účinné.“

36.

Evropský inspektor ochrany údajů zdůrazňuje, že jasné určení je třeba zejména v situacích, kdy se vztahu v rámci spolupráce účastní více subjektů. To se často stává v případě informačních systémů v rámci EU užívaných pro veřejné účely, kdy účel zpracování definují právní předpisy EU.

37.

Z těchto důvodů evropský inspektor ochrany údajů doporučuje, aby bylo v textu navrhované směrnice konkrétně, jasně a jednoznačně stanoveno:

38.

Z pohledu ochrany údajů by tato vyjasnění měla být také konkrétní a jednoznačná za účelem toho, aby bylo možné na základě samotné navrhované směrnice určit, zda by měl být konkrétní subjekt považován za „správce“ nebo „zpracovatele“.

39.

Jak se zdá ze současného navrženého textu, měl by návrh v zásadě výslovně přispět k určení toho, že každý ze subjektů, které vedou obchodní rejstříky, i z provozovatelů systému by měl být s ohledem na svou vlastní činnost považován za správce údajů. Vzhledem k výše uvedenému a s ohledem na to, že v současné době návrh nepopisuje strukturu správy a nedefinuje, kdo bude/budou provozovatel/provozovatelé elektronického systému, nelze vyloučit, že některý ze subjektů, které budou nakonec daný systém provozovat na praktické úrovni, bude vystupovat spíše jako zpracovatel než jako správce. Může k tomu dojít zvláště v případě, že tato činnost bude subdodavatelsky zadána třetí straně, která bude jednat přesně podle pokynů. V každém případě se zdá, že nadále existuje více správců údajů, alespoň jeden v každém členském státě: subjekty, které vedou obchodní rejstříky. Tento aspekt nemění ani skutečnost, že mohou existovat další (soukromé) subjekty zapojené jakožto provozovatelé, „distributoři“ či jinak. V každém případě by to mělo být v navrhované směrnici upřesněno, aby byla zajištěna jasnost a právní jistota.

40.

A v neposlední řadě by návrh měl také konkrétněji a obsažněji popisovat odpovědnosti, které z uvedených úloh vyplývají. Například by měl návrh zahrnovat úlohu provozovatele(ů) při zajišťování toho, aby byl systém navržen způsobem příznivým pro ochranu soukromí, jakož i jeho/jejich koordinační úlohu v oblasti ochrany údajů.

41.

Evropský inspektor ochrany údajů upozorňuje, že všechna tato vyjasnění budou relevantní i pro účely určení toho, které orgány dozoru nad ochranou údajů mají příslušnou pravomoc a pro které zpracování osobních údajů.

42.

Zdá se, že v současné podobě se nepředpokládá, že by elektronická síť automaticky zpřístupňovala všechny informace vedené v každém obchodním rejstříku všem ostatním obchodním rejstříkům ve všech ostatních členských státech: návrh pouze požaduje propojení a interoperabilitu obchodních rejstříků, a proto stanoví podmínky, které by v budoucnosti umožnily výměny informací a přístup. Aby zabezpečil právní jistotu, měl by návrh vyjasnit, zda je tento výklad správný.

43.

Kromě toho návrh také neupřesňuje, jaké toky dat/postupy správní spolupráce se mohou prostřednictvím propojených obchodních rejstříků uskutečňovat (21). Evropský inspektor ochrany údajů má za to, že může být potřebný určitý stupeň flexibility, aby bylo zajištěno, že bude možné naplnit potřeby, které případně v budoucnosti vyvstanou. S ohledem na výše uvedené se evropský inspektor ochrany údajů domnívá, že je nezbytné, aby návrh upřesnil rámec toků dat a postupů správní spolupráce, které se mohou v budoucnosti za pomoci elektronické sítě uskutečňovat. To je zvláště důležité pro zajištění toho, aby i) veškeré výměny údajů probíhaly na silném právním základě a aby ii) byla stanovena přiměřená opatření na ochranu údajů.

44.

Podle evropského inspektora ochrany údajů by každá výměna údajů nebo jiná činnost zpracování údajů za pomoci elektronické sítě (např. zveřejnění osobních údajů prostřednictvím jednotné platformy/místa přístupu) měla být založena na závazném aktu EU přijatém na silném právním základě. Tento základ by měl být jasně stanoven v navrhované směrnici (22).

45.

Kromě toho návrh stanoví, že akty v přenesené pravomoci určují tyto otázky (23):

46.

Pokud jde o první a druhou odrážku, má evropský inspektor ochrany údajů za to, že určitá nezbytná ochranná opatření by měla být stanovena v samotné navrhované směrnici (viz oddíly 3.12 a 3.13 níže). Další podrobnosti pak lze stanovit v aktech v přenesené pravomoci.

47.

Pokud jde o automatizované výměny dat, evropský inspektor ochrany údajů je potěšen tím, že návrh požaduje, aby akty v přenesené pravomoci stanovily „definici norem pro formát, obsah a omezení pro uchovávání a vyhledávání listin a údajů, které by umožňovaly automatizovanou výměnu dat“.

48.

Pro zajištění větší jasnosti v tomto ohledu evropský inspektor ochrany údajů doporučuje, aby sama navrhovaná směrnice jasně specifikovala, že elektronická síť umožňuje i) specifické manuální individuální výměny dat mezi obchodními rejstříky (jak je stanoveno v aktu EU, například v případě fúze nebo přemístění sídla), a ii) automatizované přenosy dat (jak je stanoveno v aktu EU, například v případě aktualizace údajů v rejstříku zahraničních poboček).

49.

Pro další zvýšení jasného vyjádření evropský inspektor ochrany údajů také doporučuje, aby navrhovaný text příslušného čl. 4a odst. 3 písm. i) směrnice 2009/101/ES byl upraven tak, aby zajišťoval, že i) akty v přenesené pravomoci budou komplexně upravovat manuální i automatizované výměny dat a ii) budou zahrnuty veškeré operace zpracování, které mohou zahrnovat osobní údaje (nejen pouze uchovávání a vyhledávání), a že iii) specifická ustanovení o ochraně údajů v aktech v přenesené pravomoci budou rovněž zajišťovat praktické používání příslušných opatření zajišťujících ochranu údajů.

50.

Pro ilustraci, čl. 4a odst. 3 písm. i) lze například upravit do tohoto znění:

51.

V rámci předběžné poznámky evropský inspektor ochrany údajů zdůrazňuje, že ačkoli jména (a případně další údaje, například soukromé adresy) zástupců společností (a jiných osob, které se účastní správy společností) nepochybně představují nejvíce zjevné osobní údaje, které je možno zpracovávat prostřednictvím elektronické sítě a/nebo zveřejňovat pomocí jednotné elektronické platformy/místa přístupu, nejsou to rozhodně jediné osobní údaje vedené v obchodních rejstřících.

52.

Především mohou některé dokumenty uvedené ve výčtu v článku 2 směrnice 2009/101/ES (např. zakládající akt, stanovy a účetní doklady) obsahovat též osobní údaje dalších fyzických osob. Tyto údaje mohou mimo jiné obsahovat jména, adresy, případně identifikační čísla a data narození, a dokonce i skeny vlastních podpisů celé řady fyzických osob včetně osob, které danou společnost založily, akcionářů společnosti, právních zástupců, účetních, zaměstnanců či státních notářů.

53.

Zadruhé, údaje společností, jsou-li spojeny se jménem fyzické osoby (například ředitele), by rovněž bylo možné považovat za osobní údaje týkající se dané fyzické osoby. Například jestliže údaje z obchodního rejstříku ukazují, že určitá osoba je členem představenstva společnosti, jež je v likvidaci, je tato informace relevantní i pro danou osobu.

54.

S cílem zabezpečit jasné vyjádření ohledně toho, jaké osobní údaje jsou zpracovávány, a zajistit, aby škála zpracovávaných údajů byla úměrná cílům návrhu, doporučuje evropský inspektor ochrany údajů vyjasnění uvedená níže v tomto oddílu 3.7.

55.

Článek 2 směrnice 2009/101/ES nedefinuje, jaké údaje uvádějící „totožnost“ dotčených osob (zástupců společnosti a ostatních osob zapojených do správy společnosti) musí být zveřejňovány.

56.

Různé jazykové verze návrhu skutečně vykazují významné rozdíly, pokud jde o překlad výrazu „totožnost osob“ (v anglickém jazyce „particulars of persons“). Například ve francouzštině je výraz uveden jako „l’identité des personnes“ (tzn. totožnost osob), v italštině jako „le generalità delle persone“ (tzn. osobní údaje, jako je jméno a příjmení), v maďarštině „személyek adatai“ (tzn. údaje osob), v holandštině jako „de identiteit van de personen“ (tzn. totožnost osob) a v rumunštině jako „identitatea persoanelor“ (tzn. totožnost osob).

57.

Kromě toho jsou v některých členských státech na internetu běžně zveřejňovány soukromé adresy ředitelů společností a/nebo jiných osob, například některých akcionářů. V některých jiných členských státech obchodní rejstřík, kterému byly informace předány, tyto informace uchovává jako důvěrné z důvodů utajení, také včetně obav z krádeže totožnosti.

58.

Evropský inspektor ochrany údajů doporučuje, aby byl článek 2 směrnice 2009/101/ES upraven s cílem vyjasnit, jaké osobní údaje, pokud vůbec nějaké, musí být zveřejňovány kromě jmen dotčených fyzických osob (zástupců společnosti a ostatních osob zapojených do správy společnosti). Přitom je třeba pečlivě zvážit potřebu transparentnosti a přesné identifikace těchto fyzických osob, kterou je však třeba vyvážit vůči ostatním protichůdným obavám, jako je potřeba ochrany soukromí dotčených osob (24).

59.

Pokud by nebylo dosaženo žádné dohody v důsledku rozdílů ve vnitrostátní praxi, měl by být článek 2 upraven alespoň tak, aby požadoval, aby bylo zveřejňováno „celé jméno dotčených fyzických osob, a pokud to výslovně požadují vnitrostátní právní předpisy, další údaje nutné k určení jejich totožnosti“. Pak bude jasné, že je ponecháno na každém členském státě, aby ve vnitrostátních právních předpisech rozhodl, jaké údaje o „totožnosti“, pokud vůbec nějaké, musí být kromě jména zveřejněny, a že zveřejňování dalších osobních údajů bude požadováno jen v případě, že bude nezbytné pro určení totožnosti dotčených osob.

60.

Alternativně a s přihlédnutím k tomu, že článek 2 obsahy obchodních rejstříků v celé Evropě plně neharmonizuje, ale uvádí „minimální údaje“, bylo by možné výraz „totožnost osob“ prostě nahradit výrazem „celá jména osob“. Pak by bylo na každém členském státě, aby rozhodl, jaké další údaje chce zveřejňovat, pokud vůbec nějaké.

61.

Článek 2 směrnice 2009/101/ES také vyžaduje zveřejňování údajů o osobách, které se účastní „správy, dozoru nebo kontroly“ společnosti. Na základě této obecné formulace není zcela jasné, jaké informace o akcionářích musí být zveřejňovány: konkrétně informace o akcionářích, kteří mají i) významný, vlivný nebo rozhodující podíl převyšující určitou prahovou hranici nebo kteří ii) na základě přednostních akcií, zvláštních smluvních ujednání či jinak danou společnost účinně ovlivňují či ovládají.

62.

Evropský inspektor ochrany údajů chápe, že široká formulace je nutná k zahrnutí celé velké škály struktur správy společností, které v současné době pro kapitálové společnosti v jednotlivých členských státech existují. Přitom však je právní jistota ve věci kategorií fyzických osob, jejichž osobní údaje mohou být zveřejňovány, z hlediska ochrany údajů nezbytná. Evropský inspektor ochrany údajů doporučuje, aby byl článek 2 směrnice 2009/101/ES upraven s cílem vyjasnit, jaké osobní údaje akcionářů, pokud vůbec nějaké, musí být zveřejňovány. V rámci těchto úvah je nutné provést i analýzu proporcionality podle rozsudku ve věci Schecke (viz výše).

63.

Ačkoli návrh nepožaduje výměnu nebo zveřejnění osobních údajů nad minimální požadavky stanovené v článku 2 směrnice 2009/101/ES, nevylučuje také, že by členské státy, pokud se tak rozhodnou, mohly požadovat, aby jejich obchodní rejstříky zpracovávaly nebo zveřejňovaly další osobní údaje a tyto údaje dávaly k dispozici i prostřednictvím jednotné evropské platformy/místa přístupu a/nebo si takové údaje vyměňovaly s ostatními obchodními rejstříky v jiných členských státech.

64.

Tato otázka je zvláště citlivá, pokud jde o „černé listiny“. V některých zemích elektronický rejstřík funguje také de facto jako určitý druh „černé listiny“ a třetí strany v něm mohou vyhledávat prostřednictvím elektronického portálu informace o zástupcích společnosti, kterým byl vydán zákaz činnosti.

65.

Pro řešení tohoto problému evropský inspektor ochrany údajů doporučuje v návrhu vyjasnit, zda a do jaké míry mohou případně členské státy zveřejňovat více informací prostřednictvím společného portálu a/nebo si mohou případně na základě svých vnitrostátních právních předpisů vzájemně vyměňovat více informací, pokud se tak rozhodnou. V tomto případě by mělo přísné posouzení proporcionality (viz věc Schecke, citováno výše) vycházet z vnitrostátních právních předpisů a mělo by rovněž přihlížet k cílům vnitřního trhu.

66.

Kromě toho evropský inspektor ochrany údajů navrhuje vázat využití těchto pravomocí na určitou úlohu vnitrostátních orgánů pro ochranu údajů, například v podobě konzultace.

67.

A v neposlední řadě evropský inspektor ochrany údajů zdůrazňuje, že pokud by se mělo u evropského systému výslovně předpokládat vyžadování takovýchto „černých listin“, mělo by to být konkrétně stanoveno v navrhované směrnici (25).

68.

Evropský inspektor ochrany údajů doporučuje, aby navrhovaná směrnice výslovně stanovovala, že ve všech případech, kdy jsou zveřejňovány nebo jinak mezi obchodními rejstříky sdíleny osobní údaje, měla by existovat dostatečná ochranná opatření, zvláště proti sběru údajů, shromažďování údajů, kombinování údajů a nepřijatelnému vyhledávání, aby bylo zajištěno, že osobní údaje zveřejněné pro účely transparentnosti nebudou zneužity pro další, nesouvisející účely (26).

69.

Evropský inspektor ochrany údajů zvláště zdůrazňuje, že je nutné uvážit technologická a organizační opatření dodržující zásadu „ochrany soukromí již od návrhu“ (viz oddíl 3.14 níže). Praktické provádění těchto ochranných opatření lze ponechat na aktech v přenesené pravomoci. Zásady by však měly být stanoveny v samotné navrhované směrnici.

70.

Evropský inspektor ochrany údajů doporučuje, aby navrhovaná směrnice obsahovala zvláštní ustanovení, které by vyžadovalo, aby informace podle článků 10 a 11 směrnice 95/46/ES (a případně odpovídajících ustanovení nařízení (ES) č. 45/2001) byly účinně a komplexně poskytovány subjektům údajů. Kromě toho a v závislosti na správní struktuře, která bude sjednána, a na úlohách a odpovědnostech jednotlivých zapojených stran, může směrnice výslovně požadovat, aby měl provozovatel systému aktivní úlohu při zveřejňování oznámení a jiných informací pro subjekty údajů na své internetové stránce, také „jménem“ obchodních rejstříků. Další podrobnosti lze dle potřeby začlenit do aktů v přenesené pravomoci nebo lze jejich stanovení ponechat na politice ochrany údajů.

71.

Návrh by měl obsahovat přinejmenším odkaz na požadavek vypracovat možnosti opatření (v aktech v přenesené pravomoci) umožňujících subjektům údajů využívat svých práv. Měl by být uveden odkaz i na možnost vybudování modulu ochrany údajů a možnost řešení vytvořených podle zásady ochrany soukromí již od návrhu pro spolupráci mezi orgány ve věci práv přístupu i „oprávnění subjektů údajů“ v nutných případech.

72.

S ohledem na to, že je možné, že osobní údaje v elektronické síti bude zpracovávat i Komise nebo jiný orgán/instituce EU (například jakožto provozovatel sítě nebo při vyhledávání osobních údajů ze sítě), měl by být uveden i odkaz na nařízení (ES) č. 45/2001.

73.

Také by mělo být vyjasněno, že směrnice 95/46/ES je použitelná na obchodní rejstříky i na ostatní strany, které jednají podle svých vnitrostátních právních předpisů v členských státech, zatímco nařízení (ES) č. 45/2001 je použitelné na Komisi a ostatní orgány a instituce EU.

74.

Pokud jde o předávání osobních údajů subjektem, který vede obchodní rejstřík v EU, subjektu, který vede obchodní rejstřík ve třetí zemi, která nezajišťuje odpovídající úroveň ochrany osobních údajů, evropský inspektor ochrany údajů především zdůrazňuje, že je důležité rozlišovat mezi dvěma situacemi:

75.

V prvním případě čl. 26 odst. 1 písm. f) směrnice 95/46/ES povoluje výjimku, pokud „k předání dochází z [veřejného] rejstříku“, s výhradou dodržení určitých podmínek. Například pokud subjekt, který vede obchodní rejstřík v evropské zemi, hodlá předat určitý soubor osobních údajů (např. v souvislosti s registrací zahraničních poboček) subjektu, který vede obchodní rejstřík ve třetí zemi, a stejné údaje by již v každém případě byly veřejně dostupné, mělo by být předání možné i v případě, že dotčená třetí země nezajišťuje odpovídající úroveň ochrany.

76.

Ve druhém případě evropský inspektor ochrany údajů doporučuje, aby předání údajů, které nejsou veřejně dostupné, bylo vůči subjektům nebo fyzickým osobám ve třetí zemi, která nezajišťuje odpovídající ochranu, možné pouze v případě, že správce poskytne dostatečná ochranná opatření pro ochranu soukromí a základních práv a svobod osob, jakož i pro výkon odpovídajících práv. Tato ochranná opatření mohou zejména vyplývat z vhodných smluvních doložek stanovených podle čl. 26 odst. 2 směrnice 95/46/ES (27). V případech, kdy taková předání údajů do třetích zemí systematicky zahrnují údaje sdílené mezi obchodními rejstříky ve dvou či více zemích EU nebo kdy je jinak žádoucí opatření na úrovni EU, mohla by také proběhnout jednání o smluvních doložkách na úrovni EU (čl. 26 odst. 4).

77.

Evropský inspektor ochrany údajů zdůrazňuje, že jiné výjimky, například případ, kdy „předání je nezbytné nebo se stává právně závazným pro zachování důležitého veřejného zájmu nebo pro zjištění, výkon nebo obranu právních nároků před soudem“ (čl. 26 písm. d)), by neměly být využívány k odůvodnění systematických předávání údajů do třetích zemí pomocí elektronické sítě.

78.

Evropský inspektor ochrany údajů doporučuje, aby návrh konkrétně zmiňoval a snažil se provádět zásadu odpovědnosti (28) a stanovil jasný rámec pro přiměřené vnitřní mechanismy a kontrolní systémy s cílem zajistit dodržování požadavků na ochranu údajů a poskytnout o něm důkazy, například:

79.

Pokud jde o ochranu soukromí již od návrhu (29), měl by návrh tuto zásadu zvlášť zmínit a měl by tento závazek realizovat v podobě konkrétních opatření. Návrh by zejména měl stanovit, že elektronická síť musí být vybudována bezpečně a důkladně tak, aby implicitně zahrnovala širokou škálu opatření na ochranu soukromí. K několika možným příkladům ochranných opatření podle zásady ochrany soukromí již od návrhu patří:

80.

Evropský inspektor ochrany údajů podporuje cíle návrhu. Jeho připomínky je nutno posuzovat ve světle tohoto konstruktivního přístupu.

81.

Evropský inspektor ochrany údajů zdůrazňuje, že potřebná opatření pro ochranu údajů by měla být jasně a konkrétně stanovena přímo v textu samotné navrhované směrnice, protože tato opatření považuje za podstatné prvky. Další ustanovení o provádění konkrétních ochranných opatření pak lze stanovit v aktech v přenesené pravomoci.

82.

V navrhované směrnici by měly být upraveny otázky správy, úloh, kompetencí a odpovědností. Proto by navrhovaná směrnice měla stanovit:

83.

Jakákoli činnost zpracování údajů za pomoci elektronické sítě by měla být založena na závazném právním nástroji, jakým je konkrétní akt Unie přijatý na silném právním základě. Tento základ by měl být v navrhované směrnici jasně stanoven.

84.

Měla by být vyjasněna ustanovení o použitelném právu a měl by být uveden odkaz na nařízení (ES) č. 45/2001.

85.

Pokud jde o předávání osobních údajů do třetích zemí, měl by návrh vyjasnit, že v zásadě a s výjimkou případů spadajících do oblasti působnosti čl. 26 odst. 1 písm. f) směrnice 95/46/ES lze údaje předávat subjektům nebo fyzickým osobám ve třetí zemi, která nezajišťuje odpovídající ochranu, pouze pokud správce poskytne dostatečná ochranná opatření pro ochranu soukromí a základních práv a svobod osob, jakož i pro výkon odpovídajících práv. Tato ochranná opatření mohou podle článku 26 směrnice 95/46/ES zejména vyplývat z vhodných smluvních doložek.

86.

Komise by dále měla pečlivě uvážit, jaká technická a organizační opatření musí být přijata, aby byla ochrana soukromí a údajů „navržena“ do architektury elektronické sítě („ochrana soukromí již od návrhu“) a aby existovala vhodná kontrolní opatření, která zajistí dodržování požadavků na ochranu údajů a poskytnou o něm důkazy („odpovědnosti“).

87.

Další doporučení evropského inspektora ochrany údajů:

26.7.2011   

CS

Úřední věstník Evropské unie

C 220/12

26.7.2011   

CS

Úřední věstník Evropské unie

C 220/16

26.7.2011   

CS

Úřední věstník Evropské unie

C 220/17