25.5.2012   

CS

Úřední věstník Evropské unie

C 147/1

1.

Toto stanovisko je součástí balíčku 4 stanovisek evropského inspektora ochrany údajů týkajících se finančního odvětví, který byl vydán téhož dne (3).

2.

Komise dne 20. října 2011 přijala návrh směrnice Evropského parlamentu a Rady o trzích finančních nástrojů a o zrušení směrnice Evropského parlamentu a Rady 2004/39/ES (4) („navrhovaná směrnice“) a návrh nařízení Evropského parlamentu a Rady o trzích finančních nástrojů, kterým se mění nařízení (EMIR) o OTC derivátech, ústředních protistranách a registrech obchodních údajů („navrhované nařízení“) (oba texty dále jen společně „návrhy“).

3.

Před přijetím návrhů proběhla neformální konzultace s evropským inspektorem ochrany údajů. Evropský inspektor ochrany údajů uvádí, že některé jeho připomínky byly do návrhů zapracovány.

4.

Směrnice o trzích finančních nástrojů („MiFID“), která je v platnosti od listopadu 2007, je hlavním pilířem integrace finančních trhů EU. V současné době sestává z rámcové směrnice (směrnice 2004/39/ES), prováděcí směrnice (směrnice 2006/73/ES) a prováděcího nařízení (nařízení (ES) č. 1287/2006).

5.

Směrnice MiFID stanoví regulační rámec pro poskytování investičních služeb v oblasti finančních nástrojů (jako je makléřství, poradenství, obchodování, správa portfolia, upisování apod.) bankami a investičními podniky a pro provozování regulovaných trhů tržními subjekty. Dále stanoví pravomoci a povinnosti příslušných vnitrostátních orgánů ve vztahu k těmto činnostem. Konkrétně zrušuje možnost, kdy mohly členské státy požadovat, aby veškeré obchodování s finančními nástroji probíhalo pouze na speciálních/tradičních burzách, a umožňuje celoevropskou konkurenci mezi tradičními burzami a alternativními obchodními místy.

6.

Po více než třech letech platnosti se vytvořila větší konkurence mezi místy obchodování s finančními nástroji a objevilo se více možností výběru pro investory ve smyslu poskytovatelů služeb a dostupných finančních nástrojů. Na povrch však vyplynuly i některé problémy. Například výhody větší konkurence se nedostaly ve stejné míře ke všem účastníkům trhu a ne vždy byly přeneseny na konečné investory, profesionální i neprofesionální, vývoj trhu a technologií různá ustanovení směrnice MiFID předběhl a finanční krize odhalila nedostatky v regulaci některých nástrojů.

7.

Cílem revize směrnice MiFID je upravit a aktualizovat stávající pravidla tak, aby reagovala na vývoj trhů, včetně finanční krize a technologického pokroku, a aby se zlepšila jejich účinnost.

8.

Několik aspektů návrhů má dopad na práva jednotlivců v souvislosti se zpracováním jejich osobních údajů. Jedná se o: 1) povinnost uchovávat záznamy a oznamovat transakce; 2) pravomoci příslušných orgánů (včetně pravomoci kontrolovat a pravomoci vyžadovat záznamy o telefonním a datovém provozu); 3) zveřejňování sankcí; 4) oznamování porušení pravidel a zejména ustanovení o informátorech; 5) spolupráce mezi příslušnými orgány členských států a ESMA.

9.

V několika bodech odůvodnění (5) návrhů se nacházejí zmínky o Listině základních práv, směrnici 95/46/ES a nařízení (ES) č. 45/2001. Odkaz na platnost právních předpisů o ochraně osobních údajů by však měl být uveden v hmotném ustanovení návrhů.

10.

Dobrý příklad takového hmotného ustanovení je v článku 22 návrhu nařízení Evropského parlamentu a Rady o obchodování zasvěcených osob a manipulaci s trhem (6), který výslovně stanoví jako obecné pravidlo, že směrnice 95/46/ES a nařízení (ES) č. 45/2001 se vztahují na zpracování osobních údajů v rámci návrhu. Evropský inspektor ochrany údajů nedávno vydal k tomuto návrhu stanovisko, v němž velice vítá toto zastřešující ustanovení. Evropský inspektor ochrany údajů však navrhuje, aby byl odkaz na směrnici 95/46/ES upřesněn, a to v tom smyslu, že ustanovení platí v souladu s vnitrostátními pravidly, jimiž se provádí směrnice 95/46/ES.

11.

Evropský inspektor ochrany údajů proto navrhuje vložit podobné hmotné ustanovení jako v článku 22 návrhu nařízení Evropského parlamentu a Rady o obchodování zasvěcených osob a manipulaci s trhem (7), po úpravě podle doporučení, která k tomuto návrhu vydal (8), tj. zdůraznit platnost stávajících právních předpisů na ochranu osobních údajů a upřesnit odkaz na směrnici 95/46/ES, aby bylo zřejmé, že tato ustanovení platí v souladu s vnitrostátními předpisy, kterými se provádí směrnice 95/46/ES.

12.

V bodech odůvodnění je třeba také důsledně používat text, z nějž bude zřejmé, že členské státy „musí“, a nejen „měly by“ dodržovat příslušné platné právní předpisy o ochraně osobních údajů a že o jejich platnosti nelze libovolně rozhodovat.

13.

V bodu odůvodnění 27 a v článcích 21 až 23 návrhu nařízení se zavádí zásada, podle níž musí příslušné orgány koordinované orgánem ESMA sledovat činnosti investičních podniků, aby zajistily, že budou jednat čestně, spravedlivě a profesionálně a takovým způsobem, který podporuje integritu trhu. Proto musí být tyto orgány schopny identifikovat osobu, která učinila investiční rozhodnutí, jakož i osoby odpovědné za jeho realizaci (bod odůvodnění 28).

14.

Aby bylo možno provádět toto sledování, stanoví článek 22 investičním podnikům povinnost vést po dobu minimálně 5 let záznamy příslušných údajů týkajících se všech transakcí s finančními nástroji, které uskutečnily, a poskytnout je příslušnému orgánu. Tyto záznamy musí obsahovat všechny informace a podrobnosti o totožnosti klienta. Podrobnosti o transakcích s finančními nástroji mají být oznamovány příslušným orgánům, aby tyto orgány mohly zjistit a vyšetřit možné případy zneužití trhu, sledovat správné a řádné fungování trhů, jakož i činnosti investičních firem. Přístup k těmto údajům může požadovat také ESMA.

15.

Investiční podnik musí co nejrychleji oznámit podrobnosti o těchto transakcích, včetně totožnosti klientů, příslušným orgánům (článek 23). Jestliže jsou dotčenými klienty fyzické osoby, tyto operace zahrnují zpracování osobních údajů ve smyslu směrnice 95/46/ES a nařízení (ES) č. 45/2001, popřípadě vytváření všeobecných databází.

16.

Zdá se, že v posouzení dopadů není řešeno hodnocení pětileté doby uchovávání zpráv o transakcích. Jak vyžaduje čl. 6 odst. 1 písm. e) směrnice 95/46/ES, osobní údaje nesmí být uchovávány déle, než je nezbytné pro účel, za nímž byly shromážděny. Aby byl tento požadavek splněn, evropský inspektor ochrany údajů navrhuje nahradit minimální dobu uchovávání v délce 5 let maximální dobou uchovávání. Zvolená doba by měla být nezbytná a úměrná účelu, pro nějž byly údaje shromážděny.

17.

V článku 16 směrnice jsou uvedeny organizační požadavky vztahující se na investiční podniky. Podniky musí zejména zajistit, aby byly uchovávány záznamy o všech poskytnutých službách a provedených transakcích, podle nichž mohou příslušné orgány sledovat, zda jsou plněny požadavky stanovené ve směrnici. Tyto záznamy umožní kontrolovat, zda investiční podnik plní povinnosti týkající se klientů nebo potenciálních klientů. Ačkoli to v textu není upřesněno, lze předpokládat, že tyto údaje budou obsahovat osobní údaje zákazníků a zaměstnanců.

18.

Komise je podle čl. 16 odst. 12 oprávněna přijmout akty v přenesené pravomoci, které upřesní konkrétní organizační požadavky stanovené v tomto článku. V této souvislosti evropský inspektor ochrany údajů vyzývá Komisi, aby jej při přijímání uvedených aktů v přenesené pravomoci konzultovala. V každém případě by měla takováto opatření směřovat k minimalizaci doby ukládání a zpracování osobních údajů, jež mají investiční podniky zaznamenávat. Jak již bylo uvedeno v souvislosti s nařízením, Komise by rovněž měla pečlivě posuzovat, jakou dobu uchovávání je třeba pro uvedené údaje stanovit, aby bylo zajištěno, že doba uchovávání bude přiměřená.

19.

Podle navrhované směrnice musí být zaznamenávány telefonní hovory nebo elektronická komunikace.

20.

Záznamy telefonních hovorů nebo elektronické komunikace obvykle obsahují osobní údaje účastníků komunikace, i když se týkají finančních transakcí nebo odborných činností. Údaje o elektronické komunikaci mohou obsahovat nejrůznější osobní údaje, včetně provozních údajů, ale také obsah komunikace. Navíc použití výrazu „hovor“ naznačuje, že bude zaznamenáván obsah komunikace.

21.

Co se týká osobních údajů ve smyslu směrnice 95/46/ES a nařízení (ES) č. 45/2001, platí hlavní pravidla ochrany osobních údajů, a zejména pak zásady omezení účelu, nezbytnosti a přiměřenosti a povinnost neuchovávat údaje déle, než je nezbytné.

22.

Podle čl. 6 odst. 1 písm. b) směrnice 95/46/ES musí být osobní údaje shromažďovány pro stanovené účely, výslovně vyjádřené a legitimní, a nesmějí být dále zpracovávány způsobem neslučitelným s těmito účely.

23.

V čl. 16 odst. 7 navrhované směrnice není výslovně uveden účel zaznamenávání telefonních hovorů a elektronické komunikace. Několik různých účelů je však uvedeno v bodu 42 odůvodnění, v čl. 16 odst. 6 navrhované směrnice, v doporučení Výboru evropských regulátorů cenných papírů (CESR) a v hodnocení dopadů.

24.

V čl. 16 odst. 6 navrhované směrnice je stanoveno, že investiční podnik povede záznamy o všech uskutečněných službách a transakcích, „které příslušnému orgánu umožní sledovat plnění požadavků této směrnice, a zejména ověřit, zda investiční podnik plní všechny povinnosti vůči klientům nebo potenciálním klientům“.

25.

V bodu odůvodnění 42 navrhované směrnice je vysvětleno, že „Zaznamenávání telefonních hovorů nebo elektronické komunikace zahrnující příkazy klientů (…) je odůvodněno v zájmu posílení ochrany investorů, lepšího dohledu nad trhem a vyšší právní jistoty ve prospěch investičních podniků a jejich klientů“. Odůvodnění rovněž odkazuje na odborné poradenství k významu takovýchto záznamů, které dne 29. července 2010 Evropské komisi poskytl Výbor evropských regulátorů cenných papírů (CESR) (9).

26.

V doporučení CESR je zdůrazněno, že podle příslušných orgánů je zaznamenávání hovorů nezbytné i) pro zajištění důkazů pro případ řešení sporů mezi investičním podnikem a jeho klienty týkajících se podmínek transakcí; ii) jako pomoc při dohledové práci v souvislosti s dodržováním obchodních pravidel a iii) jako pomoc při prevenci a zjišťování případů zneužití trhu a pro usnadnění vymáhání práva v této oblasti. Záznamy nebudou jediným prostředkem zajištění dohledu ze strany orgánů, ale „mohou pomoci“ příslušnému orgánu kontrolovat, zda jsou například dodržovány požadavky směrnice MiFID na informování klientů a potenciálních klientů, na řádné provádění a vyřizování objednávek klientů.

27.

V hodnocení dopadů je vysvětleno, že „příslušné orgány tyto informace (tj. záznamy telefonních hovorů a elektronické komunikace) potřebují, aby mohly zajistit integritu trhu a vymáhat dodržování obchodních pravidel“ (10).

28.

Různé účely zmiňované v bodu 42 odůvodnění, v čl. 16 odst. 6 navrhované směrnice, v doporučení CESR a v hodnocení dopadů nejsou popsány logicky a důsledně, ale nacházejí se na několika místech v návrhu a ve vedlejších dokumentech. Podle čl. 6 odst. 1 směrnice 95/46/ES musí být údaje shromažďovány pro stanovené účely, výslovně vyjádřené a legitimní. Evropský inspektor ochrany údajů proto vyzývá zákonodárce, aby v čl. 16 odst. 7 navrhované směrnice jasně a přesně definoval účel záznamu telefonních hovorů a elektronické komunikace.

29.

Podle čl. 6 odst. 1 písm. c) směrnice 95/46/ES musí být osobní údaje přiměřené, podstatné a nepřesahující míru s ohledem na účely, pro které jsou shromažďovány anebo dále zpracovávány, tj. shromážděné údaje se musí omezovat na to, co je vhodné pro dosažení sledovaného cíle, a nesmí jít nad to, co je nezbytné pro jeho dosažení.

30.

V čl. 16 odst. 7 se hovoří o telefonních hovorech nebo elektronické komunikaci zahrnující alespoň transakce uzavřené při obchodování na vlastní účet a příkazy klientů, pokud se poskytují služby přijímání a předávání příkazů a provádění příkazů na účet klientů.

31.

Zaprvé, s výjimkou výslovně zmíněných transakcí není v čl. 16 odst. 7 upřesněno, k jakým telefonním hovorům a elektronické komunikaci se tyto záznamy vztahují. Evropský inspektor ochrany údajů se domnívá, že se týkají komunikace související se službami a transakcemi uskutečněnými investičním podnikem. Toto je však třeba jasně uvést. Dále použití výrazu „zahrnující alespoň“ ponechává prostor pro zaznamenávání nejrůznějších telefonních hovorů nebo elektronické komunikace. Toto ustanovení by mělo naopak jasně definovat komunikaci, která nebude zaznamenávána, a omezit ji na komunikaci potřebnou pro účel záznamu.

32.

Zadruhé, toto ustanovení neupřesňuje, jaké kategorie údajů budou uchovávány. Jak již bylo uvedeno, mohou údaje o elektronické komunikaci zahrnovat nejrůznější osobní údaje, např. totožnost volajících a volaných osob, časové údaje, použitou síť, zeměpisné umístění uživatele v případě přenosných zařízení atd. Naznačuje to také možný přístup k obsahu komunikace. Navíc odkaz na „hovory“ naznačuje, že bude zaznamenáván obsah komunikace. Podle zásady přiměřenosti se musí osobní údaje obsažené v záznamech telefonních hovorů a elektronické komunikace omezovat na to, co je potřebné pro účel, pro který byly shromážděny.

33.

Jestliže je například účelem záznamu komunikace uchování důkazu o transakcích, zdá se, že neexistují jiné alternativy, než pořídit záznam obsahu komunikace, aby bylo možno později získat důkazy o transakcích. Zaznamenávání obsahu komunikace pro účely napomáhání a zjišťování případů zneužití trhu nebo pro obecné sledování, zda jsou dodržovány požadavky podle navrhované směrnice, by však bylo nadbytečné a nepřiměřené. V tomto smyslu čl. 71 odst. 2 písm. d) navrhované směrnice, který přiznává příslušnému orgánu pravomoc požadovat záznamy telefonních a provozních údajů v držení investičního podniku, existuje-li důvodné podezření na porušení navrhované směrnice, výslovně vylučuje obsah komunikace. Stejně tak čl. 17 odst. 2 písm. f) návrhu nařízení Evropského parlamentu a Rady o obchodování zasvěcených osob a manipulaci s trhem (11), který dává stejnou vyšetřovací pravomoc příslušným orgánům za účelem dokazování obchodování zasvěcených osob nebo manipulace s trhem, výslovně vylučuje obsah komunikace.

34.

Evropský inspektor ochrany údajů proto důrazně doporučuje v čl. 16 odst. 7 navrhované směrnice upřesnit, jaký druh telefonních hovorů a elektronické komunikace a jaké kategorie údajů týkajících se hovorů a komunikace budou zaznamenávány. Tyto údaje musí být přiměřené, podstatné a nesmí být nadbytečné s ohledem na stejný účel.

35.

Podle čl. 6 odst. 1 písm. e) směrnice 95/46/ES mají být osobní údaje uchovávány ve formě umožňující identifikaci subjektů údajů po dobu ne delší, než je nezbytné pro uskutečnění cílů, pro které jsou shromažďovány (12). Doba uchovávání uvedená v čl. 16 odst. 7 je tři roky. V hodnocení dopadů se uvádí, že každé opatření v této oblasti musí respektovat pravidla EU o ochraně osobních údajů stanovená ve směrnici 95/46/ES. Zdůrazňuje se v něm však, že doba uchovávání, která bude stanovena, má brát v úvahu stávající právní úpravu EU o uchovávání údajů vytvořených či zpracovaných v souvislosti s poskytováním veřejně dostupných služeb elektronické komunikace pro účely boje se závažnými trestnými činy. V hodnocení se uvádí, že jako maximální doba, která se slučuje se zásadami nezbytnosti a přiměřenosti a zaručuje, že zásah do základního práva bude zákonný, byly shledány tři roky (13).

36.

Podle názoru evropského inspektora ochrany údajů není analýza přiměřenosti a nezbytnosti doby trvání tohoto opatření adekvátní. V žádném z různých (a poněkud nejasných) účelů pro zaznamenávání telefonních hovorů a elektronické komunikace, které jsou uvedeny v čl. 16 odst. 6, v bodu 42 odůvodnění, v hodnocení dopadů nebo v doporučení CESR, není zmínka o boji se závažnou trestnou činností.

37.

Hodnocení je třeba provést v souladu s účely zaznamenávání v rámci navrhované směrnice. Jestliže je například účelem „zajištění důkazu pro případ řešení sporů mezi investičním podnikem a jeho klienty týkajících se podmínek transakcí“ (14), pak by v hodnocení dopadů mělo být posouzeno, jak dlouho musí být údaje uchovávány ve vztahu ke stavu omezení práv, na jejichž základě mohou takové spory vzniknout.

38.

Evropský inspektor ochrany údajů proto vyzývá zákonodárce, aby pečlivě zvážil, jaká doba uchovávání je nezbytná pro účel záznamu telefonních hovorů a elektronické komunikace v konkrétním rámci návrhu.

39.

V článku 71 směrnice je uveden seznam dohlížecích a vyšetřovacích pravomocí příslušných orgánů.

40.

Čl. 71 odst. 4 odkazuje na směrnici 95/46/ES, když stanoví, že zpracování osobních údajů shromážděných při výkonu dohlížecích a vyšetřovacích pravomocí musí být v každém případě prováděno při dodržování základních práv na soukromí a ochranu údajů. Evropský inspektor ochrany údajů vítá toto ustanovení, které konkrétně řeší souvislost mezi rolí orgánů jako vyšetřovatelů a zpracováním osobních údajů, k němuž dochází při jejich činnosti.

41.

V čl. 71 odst. 2 písm. c) je stanovena pravomoc příslušných orgánů provádět kontroly na místě. Na rozdíl od návrhu nařízení Evropského parlamentu a Rady o obchodování zasvěcených osob a manipulaci s trhem (15) neobsahuje toto ustanovení žádný odkaz na pravomoc příslušných orgánů „vstupovat do soukromých prostor s cílem zajistit dokumenty“. To by mohlo naznačovat, že kontrolní pravomoc je omezena na prostory investičních podniků a nevztahuje se na soukromé prostory. V zájmu ujasnění proto navrhujeme, aby bylo toto omezení v textu upřesněno. Pokud by však Komise měla v úmyslu povolit kontrolu v soukromých prostorách, odkazuje evropský inspektor ochrany údajů na připomínku, kterou k této záležitosti vznesl ve svém stanovisku k výše uvedenému nařízení (16), kdy se domnívá, že vzhledem k tomu, že tato pravomoc může narušovat soukromí, by byl odůvodněný všeobecný požadavek na předchozí soudní povolení bez ohledu na to, zda to vyžadují vnitrostátní zákony.

42.

V čl. 71 odst. 2 písm. d) navrhované směrnice je stanovena pravomoc příslušných orgánů „požadovat existující telefonní záznamy a existující záznamy o datovém provozu v držení investičních podniků“. Je zde upřesněno, že podmínkou žádosti je existence „přiměřeného podezření“, že tyto záznamy „mohou být důležité k prokázání případu porušení povinností investičního podniku“ podle této směrnice. V každém případě záznamy nesmí zahrnovat „obsah komunikace, k níž se vztahují“. Evropský inspektor ochrany údajů oceňuje, že v textu je podmíněna pravomoc příslušných orgánů stanovením podmínky pro přístup k záznamům přiměřeným podezřením na porušení pravidel a vyloučením přístupu příslušných orgánů k obsahu komunikace.

43.

V navrhované směrnici však není žádná definice pojmů „záznamy o telefonním a datovém provozu“. Směrnice 2002/58/ES (směrnice o soukromí a elektronických komunikacích) hovoří pouze o „provozních údajích“, nikoli však o „záznamech o telefonním a datovém provozu“. Je jasné, že přesný význam těchto pojmů předurčuje dopad, který může mít vyšetřovací pravomoc na soukromí a ochranu osobních údajů dotčených osob. Evropský inspektor ochrany údajů navrhuje používat již zavedenou terminologii v definici „provozních údajů“ ve směrnici 2002/58/ES.

44.

Údaje o použití prostředků elektronické komunikace mohou zahrnovat nejrůznější osobní údaje, např. totožnost volajících a volaných osob, čas a délku trvání hovoru, použitou síť a zeměpisné umístění uživatele v případě přenosných zařízení atd. Některé provozní údaje týkající se používání internetu a elektronické pošty (např. seznam navštívených internetových stránek) mohou navíc odhalovat důležité podrobnosti o obsahu komunikace. Zpracování provozních údajů je také v rozporu s poštovním tajemstvím. Proto je ve směrnici 2002/58/ES stanovena zásada, že provozní údaje musí být vymazány nebo anonymizovány, jakmile již nejsou potřebné pro přenos sdělení (17). Podle čl. 15 odst. 1 této směrnice mohou členské státy pro zvláštní a odůvodněné účely přijmout legislativní opatření, kterými omezí rozsah práv a povinností, ale toto omezení musí v demokratické společnosti představovat nezbytné, přiměřené a úměrné opatření pro dosažení těchto účelů (18).

45.

Evropský inspektor ochrany údajů uznává, že cíle, které Komise nařízením sleduje, jsou oprávněné. Chápe nutnost iniciativ směřujících k posílení dohledu nad finančními trhy, aby byla zachována jejich poctivost a aby byly lépe chráněni investoři a hospodářství celkově. Vyšetřovací pravomoci týkající se přímo provozních údajů však s ohledem na jejich charakter, který může ohrožovat soukromí, musí splňovat požadavky na nezbytnost a přiměřenost, tj. musí být omezeny na to, co je přiměřené pro dosažení sledovaného cíle, a nesmí jít nad rámec toho, co je nezbytné pro jeho dosažení (19). Proto je v tomto směru velmi důležité, aby byla jasně formulována ustanovení o osobním a materiálovém rozsahu a o okolnostech a podmínkách, za nichž mohou být uvedené pravomoci využity. Kromě toho je třeba zajistit přiměřené bezpečnostní mechanismy proti riziku zneužití.

46.

Uvedené záznamy telefonního a datového provozu budou samozřejmě zahrnovat osobní údaje ve smyslu směrnice 95/46/ES, směrnice 2002/58/ES a nařízení (ES) č. 45/2001. Proto je třeba zajistit, aby byly v plné míře dodržovány podmínky pro řádné a zákonné zpracování osobních údajů stanovené ve směrnicích a nařízení.

47.

Evropský inspektor ochrany údajů uvádí, že podle čl. 71 odst. 3 je soudní povolení povinné, pokud to vyžadují vnitrostátní právní předpisy. Evropský inspektor ochrany údajů se domnívá, že obecný požadavek na předchozí soudní povolení by byl důvodný ve všech případech bez ohledu na to, zda je vyžadují vnitrostátní právní předpisy, protože uvedená pravomoc může narušovat soukromí a neboť je to v zájmu harmonizovaného uplatňování právních předpisů ve všech členských státech EU. Rovněž je třeba vzít v úvahu, že různé právní předpisy členských států stanovují zvláštní záruky nedotknutelnosti obydlí, a pravomoci provádět kontroly a prohlídky či zabavovat věci proto musí být přiměřené a pečlivě upravené, zejména pak v případě, že je vykonávají instituce správního charakteru.

48.

Dále evropský inspektor ochrany údajů doporučuje uvést požadavek, aby orgán ESMA žádal o záznamy telefonního a datového provozu formálním rozhodnutím, v němž uvede právní důvod a účel žádosti a jaké informace požaduje, časovou lhůtu, v níž mají být informace poskytnuty, a právo adresáta na soudní přezkum rozhodnutí.

49.

Výraz „existující telefonní záznamy a existující záznamy o datovém provozu“ není dostatečně jasný. Telefonní záznamy a záznamy o datovém provozu nejsou definovány, ačkoli je v čl. 71 odst. 2 bod 2) návrhu směrnice MiFID upřesněno, že jde pouze o záznamy „v držení investičních podniků“. Údaje v držení investičních podniků jsou pravděpodobně údaje uvedené v čl. 16 odst. 6 a čl. 16 odst. 7, které jsou připomínkovány výše. To by mělo znamenat, že text vylučuje záznamy v držení poskytovatelů služeb elektronických komunikací, které mají smlouvu o poskytování služeb s příslušným investičním podnikem. Pro upřesnění evropský inspektor ochrany údajů doporučuje vyjasnit, co přesně znamenají telefonní záznamy a záznamy o datovém provozu v držení investičních podniků.

50.

V článku 74 navrhované směrnice je stanovena povinnost členských států zajistit, aby příslušné orgány zveřejnily každou sankci nebo opatření uložené za porušení návrhu nařízení nebo vnitrostátních ustanovení přijatých při provádění navrhované směrnice bez zbytečného odkladu, včetně informací o druhu a povaze porušení a totožnosti osob za ně odpovědných, pokud však takové zveřejnění vážně neohrozí stabilitu finančních trhů. Tato povinnost je zmírněna jen v případě, že by zveřejnění způsobilo „nepřiměřenou škodu“ zúčastněným stranám. V takovém případě musí příslušné orgány zveřejnit opatření a sankce anonymně.

51.

Zveřejnění sankcí by přispělo ke zvýšení odstrašujícího účinku, neboť skuteční i potenciální pachatelé by byli odrazováni od páchání přestupků, aby neutrpěli značné škody na pověsti. Dále by to zvýšilo průhlednost, neboť tržní operátoři by byli informováni, že konkrétní osoba porušila zákon (20). Tato povinnost je zmírněna jen v případě, že by zveřejnění způsobilo nepřiměřenou škodu zúčastněným stranám. V takovém případě musí příslušné orgány zveřejnit opatření a sankce anonymně. I když se v hodnocení dopadů uznává, že zavedení sankčního režimu (ať již formou minimální, nebo úplné harmonizace) by mělo dopad na základní práva, jako jsou práva zakotvená v článku 7 (respektování soukromého a rodinného života) a článku 8 (ochrana osobních údajů), popřípadě také v článku 47 (právo na účinnou právní ochranu a spravedlivý proces) a článku 48 (presumpce neviny a právo na obhajobu) Listiny základních práv EU (21), nejsou zde zkoumány možné účinky zveřejnění sankcí samotných na tato práva.

52.

Podle čl. 75 odst. 2 písm. a) již příslušné orgány mají v rámci svých sankčních pravomocí pravomoc vydat veřejné prohlášení, v němž je uvedena fyzická nebo právnická osoba a povaha porušení předpisů (22). Není jasné, jak se povinnost zveřejnění podle článku 74 slučuje s pravomocí vydat veřejné prohlášení podle čl. 75 odst. 2 písm. a). Zařazení pravomoci vydat veřejné prohlášení do čl. 75 odst. 2 písm. a) ukazuje, že zveřejnění je samo o sobě skutečnou sankcí, což je třeba posuzovat případ od případu ve světle kritéria přiměřenosti zakotveného v článku 76 (23).

53.

Evropský inspektor ochrany údajů však není přesvědčen, že povinné zveřejnění sankcí v té podobě, jak je nyní formulováno, splňuje požadavky zákona o ochraně osobních údajů ve smyslu rozsudku Soudního dvora ve věci Schecke  (24). Domnívá se, že účel, nezbytnost a přiměřenost opatření nejsou dostatečně stanoveny a že v každém případě je třeba zajistit přiměřené bezpečnostní mechanismy proti rizikům ohrožujícím práva jednotlivců.

54.

V rozsudku ve věci Schecke zrušil Soudní dvůr ustanovení nařízení Rady a nařízení Komise stanovující povinné zveřejnění informací o příjemcích zemědělských fondů, včetně totožnosti příjemců a výše přijatých částek. Soud shledal, že uvedené zveřejnění představuje zpracování osobních údajů spadající pod čl. 8 odst. 2 Evropské listiny základních práv („Listina základních práv“), a proto došlo k zásahu do práv zakotvených v článcích 7 a 8 Listiny základních práv.

55.

Po analyzování, že „výjimky a omezení ve vztahu k ochraně osobních údajů musí platit pouze v nezbytně nutné míře“, přešel soud k analýze účelu zveřejnění a jeho přiměřenosti. Dospěl k závěru, že nic neukazuje, že by Rada a Komise při přijímání příslušných právních předpisů vzala v úvahu způsoby zveřejnění informací, které by odpovídaly cíli takového zveřejnění a současně méně zasahovaly do práv příjemců.

56.

Zdá se, že článek 74 navrhované směrnice trpí stejnými nedostatky, na něž upozornil ESD v rozsudku ve věci Schecke. Je třeba mít na mysli, že pro posouzení toho, zda ustanovení vyžadující zveřejnění osobních údajů splňuje požadavky na ochranu osobních údajů, je zásadně důležité mít jasný a dobře definovaný účel, jemuž má zamýšlené zveřejnění sloužit. Pouze u jasného a dobře definovaného účelu lze posoudit, zda je dané zveřejnění osobních údajů skutečně nezbytné a přiměřené (25).

57.

Po přečtení návrhu a průvodních dokumentů (tj. zprávy o hodnocení dopadů) má evropský inspektor ochrany údajů dojem, že účel, a tedy i nezbytnost tohoto opatření nejsou jasně stanoveny. Zatímco odůvodnění návrhu o těchto záležitostech mlčí, hodnocení dopadů se pouze zmiňuje, že „zveřejnění sankcí je důležitý prvek pro zajištění, aby sankce měly odrazující účinek na adresáty, a je nezbytné pro zajištění, aby sankce měly odrazující účinek na širokou veřejnost“ (26). Takovéto obecné prohlášení není dostačující, aby prokázalo nezbytnost navrhovaného opatření. Jestliže je obecným účelem zvýšit odstrašující účinek, měla zřejmě Komise zejména vysvětlit, proč na to nestačí vyšší finanční pokuty (nebo jiné sankce nespočívající ve jmenování a vystavování hanbě).

58.

Zdá se také, že zpráva o hodnocení dopadů nebere dostatečně v úvahu metody, které soukromí narušují méně, jako je zveřejnění omezené na úvěrové instituce nebo zveřejnění, o němž se rozhoduje případ od případu. Zejména tato druhá možnost by mohla být prima facie přiměřenějším řešením, zejména vezmeme-li v úvahu, že – jak se uvádí v čl. 75 odst. 2 písm. a) – zveřejnění je sankcí, kterou je proto třeba posuzovat případ od případu a vzít při tom v úvahu podstatné okolnosti, jakými jsou závažnost porušení, stupeň osobní odpovědnosti, recidiva, ztráty pro třetí strany atd. (27).

59.

Podle názoru evropského inspektora ochrany údajů je možnost hodnotit věc ve světle konkrétních okolností přiměřenější, a proto je vhodnější než povinné zveřejňování ve všech případech. Tato varianta by například umožnila, aby příslušný orgán nezveřejňoval případy méně závažných porušení, kdy nebyla způsobena žádná významná škoda, kdy strana prokázala ochotu spolupracovat atd.

60.

Čl. 35 odst. 6 návrhu nařízení se týká zveřejnění oznámení na webových stránkách ESMA o každém rozhodnutí uložit nebo obnovit omezení schopnosti osoby obchodovat komoditní derivát. Zveřejněna má tedy být totožnost osob, jejichž obchodování ESMA omezila, společně s příslušnými finančními nástroji, příslušnými množstevními opatřeními, jako je maximální počet smluv, který dotyčná osoba nebo kategorie osob může uzavřít, a důvody, jež k tomu vedly. Opatření vstoupí v účinnost v okamžiku vlastního zveřejnění (čl. 35 odst. 7). Na základě zdůvodnění v souvislosti s ustanoveními směrnice vyzývá evropský inspektor ochrany údajů zákonodárce, aby zvážil, zda je zveřejnění nezbytné a zda v případech zahrnujících fyzické osoby neexistují prostředky, které narušují soukromí méně.

61.

Návrh směrnice by měl předjímat přiměřené bezpečnostní mechanismy, aby byla zajištěna vyváženost mezi různými zájmy, o něž se jedná. Zaprvé, bezpečnostní mechanismy jsou nezbytné ve vztahu k právu obviněných osob napadnout rozhodnutí u soudu a k presumpci neviny. Do textu článku 74 je v této souvislosti třeba zahrnout zvláštní formulaci, která stanoví příslušným orgánům povinnost učinit vhodná opatření s ohledem na situace, kdy je proti rozhodnutí podáno odvolání a kdy je rozhodnutí nakonec soudem zrušeno (28).

62.

Zadruhé, navrhovaná směrnice by měla zajistit aktivní ochranu práv subjektů údajů. Evropský inspektor ochrany údajů oceňuje skutečnost, že v konečné verzi návrhu je předvídána možnost vyloučit zveřejnění v případech, kdy by to způsobilo nepřiměřenou škodu. Aktivní přístup by však měl zahrnovat to, že subjekty údajů budou informovány předem o skutečnosti, že bude zveřejněno rozhodnutí o jejich sankcionování, a že jim bude dáno právo vznést z vážných legitimních důvodů námitku podle článku 14 směrnice 95/46/ES (29).

63.

Zatřetí, i když v navrhované směrnici není upřesněn způsob zveřejnění informací, v praxi si lze představit, že ve většině členských států půjde o zveřejnění na internetu. Zveřejnění na internetu představuje zvláštní problémy a rizika, spojené zejména s nutností zajistit, aby byly informace dostupné online jen po nezbytnou dobu a aby s údaji nebylo možno manipulovat nebo je měnit. Také použití externích vyhledávacích programů s sebou nese riziko, že informace by mohly být vytrženy z kontextu a vedeny přes internet a mimo něj způsoby, které nelze snadno kontrolovat (30).

64.

Vzhledem k výše uvedenému je nutno stanovit členským státům povinnost zajistit, aby byly osobní údaje zúčastněných osob k dispozici online jen po přiměřenou dobu, po jejímž uplynutí budou systematicky mazány (31). Navíc je třeba požadovat, aby členské státy zajistily zavedení přiměřených bezpečnostních opatření a mechanismů, zejména na ochranu proti rizikům spojeným s používáním externích vyhledávacích programů (32).

65.

Evropský inspektor ochrany údajů se domnívá, že ustanovení o povinném zveřejňování sankcí – tak jak je v současnosti formulováno – není v souladu se základními právy na soukromí a ochranu osobních údajů. Zákonodárce by měl pečlivě zvážit nutnost navrhovaného systému a ověřit, zda povinnost zveřejnění nezachází nad rámec toho, co je nezbytné pro dosažení sledovaného cíle, tedy veřejného zájmu, a zda neexistují opatření, která narušují soukromí méně a přitom mohou dosáhnout stejného cíle. Podle výsledku tohoto testu přiměřenosti by měla být povinnost zveřejnění v každém případě doplněna přiměřenými bezpečnostními mechanismy, aby bylo zajištěno dodržování presumpce neviny, právo zúčastněných osob vznést námitku, bezpečnost/přesnost údajů a jejich vymazání po uplynutí přiměřené lhůty.

66.

Článek 77 navrhované směrnice pojednává o mechanismech oznamování případů porušení pravidel, známých také jako programy varování. I když tyto systémy mohou sloužit jako účinný nástroj na zajištění dodržování pravidel, z pohledu ochrany údajů vzbuzují závažné obavy (33). Evropský inspektor ochrany údajů vítá skutečnost, že navrhovaná směrnice obsahuje konkrétní bezpečnostní mechanismy týkající se ochrany osob oznamujících podezření na porušení pravidel a obecněji na ochranu osobních údajů, které budou dále rozvíjeny na vnitrostátní úrovni. V hodnocení dopadů se uvádějí programy varování jako součást možností zavést sankce v posouzení základních práv (34) a připomíná se zde nutnost přijmout prováděcí předpisy, které budou v souladu se zásadami ochrany osobních údajů a kritérii stanovenými orgány ochrany osobních údajů. Evropský inspektor ochrany údajů si je vědom skutečnosti, že směrnice stanoví pouze hlavní prvky programu, který má být realizován členskými státy. Přesto by chtěl upozornit na několik dalších bodů.

67.

Evropský inspektor ochrany údajů zdůrazňuje stejně jako u jiných stanovisek (35) nutnost uvést zvláštní odkaz na zajištění důvěrnosti a utajení totožnosti varujících a informujících osob. Evropský inspektor ochrany údajů podotýká, že postavení varujících osob je velmi citlivé. Osobám, které poskytnou takovéto informace, je třeba zaručit, že jejich totožnost zůstane utajena zejména vůči osobě, na níž bylo podáno oznámení o údajném přestupku (36). Utajení totožnosti varujících osob je třeba zaručit ve všech fázích řízení, pokud to není v rozporu s vnitrostátními předpisy upravujícími soudní řízení. Totožnost může být nutné zveřejnit zejména v kontextu dalšího vyšetřování nebo následného soudního řízení zahájeného v důsledku vyšetřování (včetně případů, kdy bylo zjištěno, že došlo k podání křivé výpovědi) (37). Vzhledem k výše uvedenému evropský inspektor ochrany údajů doporučuje přidat k čl. 77 odst. 1 písm. b) toto ustanovení: „utajení totožnosti těchto osob je třeba zaručit ve všech fázích řízení, pokud její odhalení není požadováno vnitrostátním právním předpisem v rámci dalšího vyšetřování nebo následného soudního řízení“.

68.

Evropský inspektor ochrany údajů dále zdůrazňuje význam stanovení správných pravidel, aby bylo chráněno právo přístupu obviněných osob, což úzce souvisí s právem na obhajobu (38). Postupy příjímání hlášení a jejich následné vyřízení zmiňované v čl. 77 odst. 1 písm. a) musí zajistit, aby práva obviněných osob na obhajobu, jako je právo být informován, právo nahlížet do vyšetřovacího spisu a presumpce neviny, byla řádně dodržována a aby byla omezena jen v nezbytné míře (39). Evropský inspektor ochrany údajů v tomto směru navrhuje přidat rovněž do navrhované směrnice ustanovení čl. 29 písm. d) návrhu Komise na nařízení Evropského parlamentu a Rady o obchodování zasvěcených osob a manipulaci s trhem, které požaduje, aby členské státy zavedly „vhodné postupy k zajištění práva obviněného na obhajobu a práva být vyslechnut před přijetím rozhodnutí, které se jej týká, a práva na účinný soudní opravný prostředek proti rozhodnutí nebo opatření, která se jej týkají“.

69.

A konečně, pokud jde o čl. 77 odst. 1 písm. c), evropský inspektor ochrany údajů s potěšením konstatuje, že toto ustanovení požaduje, aby členské státy zajistily ochranu osobních údajů týkajících se jak osoby, která oznamuje porušení, tak obviněné osoby v souladu se zásadami stanovenými ve směrnici 95/46/ES. Navrhuje však odstranit z textu „zásadami stanovenými ve“, aby byl odkaz na směrnici obecnější a závazný. Co se týká nutnosti dodržovat při praktické realizaci programů právní předpisy na ochranu osobních údajů, evropský inspektor ochrany údajů by chtěl upozornit zejména na doporučení k varování z roku 2006 uvedená ve stanovisku pracovní skupiny zřízené podle článku 29. Mimo jiné by zúčastněné subjekty při realizaci vnitrostátních programů měly mít na mysli nutnost respektovat zásadu přiměřenosti, a proto co nejvíce zúžit kategorie osob, které mohou podávat oznámení, kategorie osob, které mohou být obviněny, a typy přestupků, za něž mohou být obviněny; nutnost podporovat neanonymní a důvěrná oznámení oproti anonymním oznámením; nutnost zajistit odhalení totožnosti osoby, která podala oznámení, v případě, že tato osoba učinila křivou výpověď; a nutnost přísně dodržovat lhůty pro uchovávání údajů.

70.

V článku 83 je stanovena povinnost spolupráce mezi příslušnými orgány členských států navzájem a mezi těmito orgány a orgánem ESMA. Zejména v čl. 83 odst. 5 je předjímána povinnost příslušných orgánů sdělit orgánu ESMA a dalším orgánům podrobnosti o a) každé žádosti směrované na osobu, která poskytla informace o celkové expozici, aby velikost této expozice omezila (podle čl. 72 odst. 1 písm. f), a o b) jakýchkoli omezeních možností osob uzavřít smlouvy na komodity (podle čl. 72 odst. 1 písm. g). Toto sdělení musí obsahovat podrobnosti o totožnosti osoby, na niž byla tato opatření uplatněna, rozsah omezení, druh finančních nástrojů, kterých se to týká, a další informace.

71.

Dále je zde stanoveno, že příslušné orgány členských států, které obdrží výše popsané oznámení, „mohou přijmout opatření v souladu s čl. 72 odst. 1 písm. f) nebo g), pokud jsou přesvědčeny, že dané opatření je nezbytné k dosažení cíle jiného příslušného orgánu“. Evropský inspektor ochrany údajů by chtěl zdůraznit, že takovéto rozhodnutí, které má příslušný orgán učinit, by mohlo být vykládáno jako rozhodnutí naplňující kritéria „automatizovaného individuálního rozhodnutí“ dle článku 15 směrnice 95/46/ES: tento výklad vychází ze skutečnosti, že v článku 72 se požaduje, aby přijímající příslušný orgán ověřil, zda může dané opatření splnit cíl jiného příslušného orgánu. Příslušný orgán členského státu, který oznámení obdržel, tedy není konkrétně povinen provádět nezávislou analýzu okolností případu – vycházející také z osobních údajů subjektu – aby bylo možno vydat opatření, které omezí jeho práva. V článku 15 směrnice 95/46/ES je stanoveno, že každá osoba má právo nestat se subjektem rozhodnutí, které vůči ní zakládá právní účinky nebo které se jí významně dotýká, přijatého výlučně na základě automatizovaného zpracování údajů určeného k hodnocení určitých rysů její osobnosti, například pracovního výkonu, důvěryhodnosti, spolehlivosti, chování atd. Pro zkoumaný kontext je podstatný čl. 15 odst. 2 směrnice 95/46/ES: tento článek stanoví, že osoba může být subjektem výše uvedeného rozhodnutí, pokud je toto rozhodnutí „povoleno právním předpisem“ a pokud jsou zavedena opatření zajišťující ochranu oprávněných zájmů subjektu údajů. Právní základ pro výjimku z čl. 15 odst. 2 směrnice 95/46/ES by tvořily vnitrostátní právní předpisy provádějící směrnici 95/46/ES, nejsou však zde žádné konkrétní bezpečnostní mechanismy, které by chránily oprávněné zájmy subjektu údajů.

72.

Zdá se tedy, že text navrhované směrnice zavádí možnost automatizovaného rozhodnutí, které ovlivní schopnost uzavírat smlouvy, přijatého orgánem se sídlem v jiném členském státě než je stát, v němž byla sankce původně uložena. Vzhledem k dopadu, jaký může takovéto rozhodnutí mít na práva osob profesionálně vykonávajících investiční činnosti, evropský inspektor ochrany údajů zdůrazňuje, že v textu by měl být uveden výslovný odkaz na právo vznést námitku proti automatizovaným individuálním rozhodnutím podle článku 15 směrnice 95/46/ES. Měly by zde být výslovně stanoveny bezpečnostní mechanismy, aby bylo zaručeno, že subjekt údajů bude informován o předání a o tom, že přijímající příslušný orgán zahájil proces k přijetí takovéhoto rozhodnutí, aby mohl účinně vykonat své právo na námitku.

73.

V čl. 34 odst. 2 nařízení je stanoveno, že poté, co ESMA obdrží oznámení o jakémkoli opatření podle čl. 83 odst. 5 směrnice, toto opatření a jeho důvody zaznamená a v souvislosti s opatřeními podle čl. 72 odst. 1 písm. f) a g) směrnice vede a zveřejní na svých webových stránkách databázi se souhrny platných opatření „včetně podrobností o dotčené osobě nebo kategorii osob“.

74.

Takovéto zveřejnění představuje další zpracování zahrnující osobní údaje. Na tento případ se vztahují stejné připomínky jako v kapitole 2.5 v souvislosti se zveřejněním sankcí. Zdá se, že u tohoto druhu zveřejnění na internetu nebylo provedeno žádné hodnocení dopadů na základní práva. Evropský inspektor ochrany údajů proto vyzývá, aby zákonodárce zvážil skutečnou nezbytnost a přiměřenost tohoto opatření.

75.

Evropský inspektor ochrany údajů uvádí odkaz na směrnici 95/46/ES, zejména na kapitolu 4, a na nařízení (ES) č. 45/2001 v článku 92 navrhované směrnice.

76.

Vzhledem k rizikům, která takovéto předání zahrnuje, evropský inspektor ochrany údajů doporučuje doplnit konkrétní bezpečnostní mechanismy, jako je posouzení jednotlivých případů, ujištění se o nezbytnosti předání, požadavek na předchozí výslovný souhlas příslušného orgánu s dalším předáním údajů do třetí země a touto zemí a existence přiměřené úrovně ochrany osobních údajů v třetí zemi, která má osobní údaje obdržet.

77.

Dobrý příklad takového ustanovení, které obsahuje přiměřené bezpečnostní mechanismy, lze nalézt v článku 23 návrhu nařízení Evropského parlamentu a Rady o obchodování zasvěcených osob a manipulaci s trhem (40).

78.

Evropský inspektor ochrany údajů podává následující doporučení:

25.5.2012   

CS

Úřední věstník Evropské unie

C 147/15

25.5.2012   

CS

Úřední věstník Evropské unie

C 147/17

25.5.2012   

CS

Úřední věstník Evropské unie

C 147/18

1.

Evropská komise, Generální ředitelství pro humanitární pomoc a civilní ochranu, zveřejňuje výzvu k předkládání návrhů s cílem určit návrhy týkající se cvičení, jež mohou být způsobilá pro finanční podporu v rámci rozhodnutí Rady 2007/162/ES, Euratom (1) o zřízení finančního nástroje pro civilní ochranu, přijatého dne 5. března 2007, a podle rozhodnutí Rady 2007/779/ES, Euratom (2) o vytvoření mechanizmu civilní ochrany Společenství (přepracovaná verze), přijatého dne 8. listopadu 2007. Finanční podpora bude mít podobu grantů.

2.

Dotyčné oblasti, povaha a obsah návrhů a finanční podmínky pro udělení podpory jsou stanoveny v příslušných pokynech pro podávání žádostí o grant, které také obsahují podrobné instrukce o místě a datu předkládání návrhů. Pokyny pro podávání žádostí o grant, jakož i příslušné formuláře žádosti o grant jsou k dispozici na internetových stránkách Europa na adrese:

http://ec.europa.eu/echo/funding/opportunities/proposals_en.htm

3.

Návrhy musí být zaslány Komisi na adresu uvedenou v pokynech pro podávání žádostí o grant do 16. července 2012. Návrhy musí být podány poštou nebo prostřednictvím osobního kurýra nejpozději do 16. července 2012 (rozhodným datem je den odeslání, datum potvrzené razítkem nebo datum potvrzení o podání). Lze je rovněž doručit osobně na konkrétní adresu uvedenou v pokynech pro podávání žádostí o grant nejpozději dne 16. července 2012 do 17:00 hodin (rozhodným datem je datum potvrzení o převzetí a podpis odpovědného úředníka).

Návrhy odeslané faxem, elektronickou poštou, neúplné žádosti nebo žádosti odeslané po částech se nepřijímají.

4.

Pro udělení grantu je stanoven tento postup:

Úspěšní kandidáti budou vybráni na základě kritérií stanovených v pokynech pro podávání žádosti o grant a v rámci dostupného rozpočtu.

V případě schválení Komisí bude mezi Komisí a stranou, která návrh předkládá, uzavřena dohoda o grantu.

Postup je přísně důvěrný.