31.8.2017   

LV

Eiropas Savienības Oficiālais Vēstnesis

C 288/107

Ziņotājs:

PEGADO LIZ

1.1.

Izskatāmajā priekšlikumā Eiropas Komisija kopumā pareizi un atbilstīgi un tikai no tehniskā un juridiskā viedokļa reaģē uz nepieciešamību pašreizējo kārtību, kas noteikta Eiropas Parlamenta un Padomes Regulā (EK) Nr. 45/2001  (1) un Eiropas Parlamenta, Padomes un Komisijas Lēmumā Nr. 1247/2002/EK  (2) un attiecas uz personas datu aizsardzību ES iestādēs, struktūrās, birojos un aģentūrās, pielāgot jaunajai Vispārīgajai datu aizsardzības regulai (VDAR) (3), kura būs piemērojama visā ES no 2018. gada 25. maija.

1.2.

Tomēr EESK atgādina par savām piezīmēm un ieteikumiem, ko tā sniedza attiecībā uz jau pieņemto Vispārīgās datu aizsardzības regulas priekšlikumu, un pauž nožēlu, ka regulas galīgajā redakcijā šīs piezīmes un ieteikumi netika pilnībā ņemti vērā. Turklāt EESK pauž bažas, ka, ņemot vērā straujo tehnoloģiju attīstību šajā jomā, regulas novēlotā pieņemšana un stāšanās spēkā varētu palielināt datu nelikumīgas piesavināšanās risku, kā arī risku, ka notiek pārkāpumi to apstrādē un komercializācijā, jo regula var kļūt novecojusi, vēl pirms tā īstenota. Tā kā izskatāmajā priekšlikumā paredzēts VDAR pielāgot ES iestāžu darbībai, līdzīgas bažas raisa arī pašreiz izskatāmais teksts, jo īpaši tāpēc, ka tajā lietoti neskaidri formulējumi, kas grūti saprotami vidusmēra iedzīvotājiem.

1.3.

Turklāt EESK uzskata, ka ES iestādēs pieņemtie noteikumi būtu jāizmanto kā paraugs valstu līmeņa procedūrām, un tādēļ izskatāmā priekšlikuma teksts ir jāizstrādā īpaši rūpīgi.

1.4.

Ņemot vērā iepriekš minēto, EESK uzskata, ka būtu vajadzējis nepārprotami formulēt dažus aspektus, piemēram, izskatāmā priekšlikuma sasaisti ar Eiropas Savienības Civildienesta noteikumiem, rīcību uzmākšanās, kiberterorizēšanas un trauksmes celšanas (whistleblowing) gadījumos ES iestādēs, regulas īstenošanu attiecībā uz lietu internetu, lielajiem datiem un meklētājprogrammu lietošanu personas datu atrašanai, izveidošanai vai izmantošanai, kā arī iestāžu sociālo tīklu (Facebook, Twitter, Instagram, LinkedIn utt.) lapās publicēto personas informāciju.

1.5.

Tāpat EESK vēlētos, lai priekšlikumā būtu noteikti to informācijas sistēmu drošības noteikumi, kas tiek izmantotas datu apstrādei, kā arī aizsardzības pasākumi pret kiberuzbrukumiem un šo datu viltošanu vai noplūdi. Nosakot šādus noteikumus, vajadzētu rūpēties, lai tie būtu tehnoloģiski neitrāli un lai tie nebūtu atkarīgi no katra dienesta konkrētajiem iekšējiem noteikumiem, un skaidri atklātos saikne starp datu aizsardzību un cīņu pret noziedzību un terorismu, taču vienlaikus nedrīkst pieļaut nesamērīgu vai pārmērīgu uzraudzības pasākumu pieņemšanu, turklāt jānodrošina, lai šādus pasākumus vienmēr kontrolē Eiropas Datu aizsardzības uzraudzītājs (EDAU).

1.6.

EESK arī vēlētos, lai priekšlikumā būtu noteikts, kādas ir nepieciešamās prasmes un izpildāmās izglītības un godprātības prasības personām, ko ieceļ par datu aizsardzības speciālistiem, datu pārziņiem un datu apstrādātājiem ES iestādēs, kā arī noteikts, ka šo jomu vienmēr kontrolē un uzrauga EDAU.

1.7.

EESK tāpat uzskata, ka, ņemot vērā savākto datu, jo īpaši ar veselību saistīto datu un informācijas par nodokļiem un sociālajiem aspektiem, iezīmes un šo datu tiešo ietekmi uz datu subjektu privāto dzīvi, datu vākšanas apjoms jāierobežo, lai tiktu vākti tikai tādi dati, kas patiešām nepieciešami mērķiem, kuriem tie paredzēti, un ka īpaši sensitīvu personas datu apstrādē jāpanāk drošība un maksimālas garantijas, pamatojoties uz visprogresīvākajiem starptautiskajiem standartiem un valstu tiesību aktiem, kā arī dažu dalībvalstu paraugpraksi.

1.8.

EESK uzsver, ka priekšlikumā nepieciešams skaidri paredzēt Eiropas Datu aizsardzības uzraudzītāja līdzekļu palielināšanu un pietiekamu skaitu darbinieku, kam ir augsta līmeņa zināšanas un tehniskā kompetence datu aizsardzības jomā.

1.9.

EESK atkārtoti uzsver, ka datu vākšanas un apstrādes jomā jānodrošina arī likumīgi izveidotu juridisko personu (uzņēmumu, NVO, komercsabiedrību utt.) datu aizsardzība.

1.10.

Visbeidzot, EESK īpašajās piezīmēs ierosina virkni dažādu noteikumu grozījumu, lai – ja tie tiktu pieņemti – palielinātu personas datu aizsardzības efektivitāti ES iestādēs ne tikai ierēdņu vajadzībām, bet arī to tūkstošu Eiropas iedzīvotāju vajadzībām, ar kuriem šīs iestādes sazinās. EESK arī uzstāj, lai Komisija, kā arī Eiropas Parlaments un Padome, gatavojot priekšlikuma galīgo redakciju, ņemtu vērā EESK sniegtās piezīmes.

2.1.

Kā Komisija norāda priekšlikuma paskaidrojuma rakstā, tā mērķis ir atcelt Regulu (EK) Nr. 45/2001  (4) un Lēmumu Nr. 1247/2002/EK , kas attiecas uz personas datu aizsardzību ES iestādēs, struktūrās, birojos un aģentūrās, lai sasniegtu divus mērķus:

2.2.

Ilga un sarežģīta sagatavošanās procesa rezultātā Padome un Parlaments pieņēma Vispārīgo datu aizsardzības regulu (VDAR) (5), ko piemēros visā ES no 2018. gada 25. maija; saistībā ar šo regulu ir jāpielāgo dažādi tiesību akti (6), tostarp iepriekš minētā Regula (EK) Nr. 45/2001 un Lēmums Nr. 1247/2002/EK.

2.3.

Ņemot vērā apsekojumu un apspriežu ar ieinteresētajām personām rezultātus, kā arī izvērtējumu par regulas īstenošanu pēdējos 15 gados, par kuru tajā ir sniegts izsmeļošs pārskats, Komisija ir nonākusi pie šādiem secinājumiem:

2.4.

Ņemot vērā līdzšinējos tiesību aktos veicamo grozījumu veidu un apmēru, Komisija nolēma tos pilnībā atcelt un aizstāt ar izskatāmo regulas priekšlikumu, kas saskaņots ar pārējiem minētajiem aktiem, kuri stāsies spēkā vienlaikus ar Regulu (ES) 2016/679, un tādējādi tiks īstenots šīs regulas 98. pantā noteiktais.

3.1.

Tīri tehniskā un juridiskā ziņā EESK principā atbalsta:

3.2.

Šis principiālais atbalsts neskar piezīmes un ieteikumus, kurus EESK ir sniegusi attiecībā uz Vispārīgās datu aizsardzības regulas priekšlikumu (8), uz kura pamata tika pieņemta pašreiz spēkā esošā VDAR (9), kuras galīgajā redakcijā šie ieteikumi nav pilnībā ņemti vērā. EESK pauž bažas, ka, ņemot vērā straujo tehnoloģiju attīstību šajā jomā, regulas novēlotā pieņemšana un stāšanās spēkā varētu palielināt datu nelikumīgas piesavināšanās risku, kā arī risku, ka notiek pārkāpumi to apstrādē un komercializācijā, jo regula var kļūt novecojusi, vēl pirms tā īstenota. Tā kā izskatāmajā priekšlikumā paredzēts VDAR pielāgot ES iestāžu darbībai, līdzīgas bažas raisa arī pašreiz izskatāmais teksts, jo īpaši tāpēc, ka tajā lietoti neskaidri formulējumi, kas grūti saprotami vidusmēra iedzīvotājiem; šī problēma ir tik izteikta, ka būtu bijis labāk pašreiz izskatāmo tekstu un VDAR priekšlikumu iesniegt un izskatīt vienlaikus.

3.3.

Turklāt, tā kā ES iestādēs īstenotie pasākumi ir jāveido kā paraugs valstu līmeņa procedūrām, EESK uzskata, ka izskatāmajā priekšlikumā būtu jāietver vairāki jautājumi.

3.4.

Pirmkārt, nav skaidra priekšlikuma sasaiste ar Eiropas Savienības Civildienesta noteikumiem (Regula Nr. 31 (EEK) (10)) – tajā nav paredzēti konkrēti reglamentējoši noteikumi, kas garantētu iestāžu darbinieku un līdzstrādnieku personas datu aizsardzību ar efektīvākiem pasākumiem atlases, karjeras un līguma darbības laikā, kā arī iespējamo pagarinājumu laikā, kā arī to novērtējums.

3.4.1.

Vai nu izskatāmajā tekstā, vai citur būtu jāparedz vispārīgi noteikumi, ko papildinātu noteikumi par ierēdņu un viņu ģimenes locekļu veselības datu reģistru, ierēdņu radīto vai izmantoto datu un viņu ģenētisko datu aizsardzību, elektroniskā pasta ziņojumu (arī to satura, kā arī apmeklēto tīmekļa vietņu) – gan ierēdņu sūtīto ziņojumu, gan to ziņojumu, kurus iedzīvotāji sūta ES struktūrām, – apstrādi un aizsardzību neatkarīgi no tā, vai ziņojumus nosūtījuši šo struktūru ierēdņi, vai tie sūtīti ierēdņu savstarpējās sarakstes vai ārējās sarakstes ietvaros (11).

3.4.2.

Tāpat būtu lietderīgi konkrēti noteikumi par aizskaršanas, kiberterorizēšanas un trauksmes celšanas (whistleblowing) situācijām ES iestādēs, neskarot 68. panta noteikumus.

3.4.3.

EESK arī nav skaidrs, kā izskatāmais priekšlikums un Regula (ES) 2016/679 tiks piemēroti attiecībā uz lietu internetu, lielajiem datiem un meklētājprogrammu lietošanu personas datu atrašanai, izveidošanai vai izmantošanai, kā arī attiecībā uz personas informāciju, kas iestāžu sociālo tīklu (Facebook, Twitter, Instagram, LinkedIn u. c.) lapās publicēta bez datu subjekta nepārprotamas piekrišanas.

3.5.

Komiteja vēlētos, lai Komisijas priekšlikumā papildus 34. pantā sniegtajai norādei par elektroniskās saziņas konfidencialitāti būtu izklāstīti arī to informācijas sistēmu drošības noteikumi, kas tiks izmantotas datu apstrādei, kā arī aizsardzības pasākumi pret kiberuzbrukumiem un šo datu viltošanu vai noplūdi (12), vienlaikus nodrošinot to tehnoloģisku neitrāli un panākot, lai tie nebūtu atkarīgi no katra dienesta konkrētajiem iekšējiem noteikumiem. Būtu arī skaidri jānorāda, kāda ir saikne starp datu aizsardzību un cīņu pret noziedzību un terorismu, vienlaikus nepieļaujot, ka šajā saistībā tiek veikti nesamērīgi vai pārmērīgi uzraudzības pasākumi, un nodrošinot, lai šādus pasākumus vienmēr kontrolē EDAU.

3.6.

EESK uzsver, ka personas datu starpsavienošanu ES struktūrās nevar pakļaut tikai pārskatatbildības principam, kas minēts 16. apsvērumā, un tādēļ aicina Komisiju ieviest konkrētu noteikumu, kurš paredzētu, ka starpsavienošanu var veikt tikai tad, ja EDAU ir devis atļauju, ko pieprasījis datu pārzinis vai datu apstrādātājs (sadarbībā ar datu pārzini).

3.7.

EESK arī vēlētos, lai – neskarot preambulas 51. punktā un priekšlikuma 44. panta 3. punktā noteikto – tiktu precīzāk noteikts, kādas ir nepieciešamās prasmes un izpildāmās izglītības un godprātības prasības personām, ko ieceļ par datu aizsardzības speciālistiem, datu pārziņiem un datu apstrādātājiem ES iestādēs (13). Gadījumos, kad šīs atbildīgās personas nepilda savus operatīvos pienākumus, būtu jāpiemēro patiešām atturošas sankcijas – gan disciplināras, gan civiltiesiskas, gan krimināltiesiskas sankcijas, kas izklāstītas priekšlikumā un kuras vienmēr kontrolē un uzrauga EDAU.

3.8.

EESK atzīst, ka priekšlikums uzlabo aizsardzības līmeni salīdzinājumā ar pašreizējo Regulu (EK) Nr. 45/2001, tomēr uzskata, ka, ņemot vērā savākto datu, jo īpaši ar veselību saistīto datu un informācijas par nodokļiem un sociālajiem aspektiem, iezīmes un šo datu tiešo ietekmi uz datu subjektu privāto dzīvi, priekšlikumā būtu jāparedz datu vākšanas ierobežojums, lai tiktu vākti tikai tādi dati, kas patiešām nepieciešami mērķiem, kuriem tie paredzēti, un ka personas datu apstrādē jāgarantē drošība un jāveic visstingrākie aizsardzības pasākumi. Šo aizsardzības pasākumu pamatā vajadzētu būt visprogresīvākajiem starptautiskajiem standartiem un valstu tiesību aktiem, kā arī dažu dalībvalstu paraugpraksei (14).

3.9.

Apzinoties, ka gan Regula (ES) 2016/679, gan izskatāmais priekšlikums attiecas tikai un vienīgi uz fizisku personu datiem, EESK tomēr atkārtoti uzsver, ka jānodrošina arī likumīgi izveidotu juridisko personu (uzņēmumu, NVO, komercsabiedrību utt.) datu aizsardzība to vākšanas un apstrādes laikā.

4.1.

Detalizēti izskatot priekšlikuma tekstu, rodas šaubas un iebildumi Eiropas Savienības Pamattiesību hartā noteikto privātās dzīves aizsardzības pamatprincipu, kā arī proporcionalitātes un piesardzības principa kontekstā.

4.3.1.

Tā kā izskatāmā regula attiecas uz datiem, ko apstrādā ES iestādēs, EESK vēlētos, lai, ņemot vērā apstrādāto datu veidu, tiek skaidri minēts nediskriminēšanas princips.

4.3.2.

Attiecībā uz 4. panta 1. punkta b) apakšpunktu – būtu jānosaka, ka apstrādi arhivēšanas nolūkos sabiedrības interesēs, zinātniskās vai vēstures pētniecības nolūkos vai statistikas nolūkos var veikt tikai ar iepriekšēju Eiropas Datu aizsardzības uzraudzītāja atļauju, kas nav minēta 58. pantā.

4.3.3.

Visbeidzot, noteikti būtu jāietver īpašs noteikums, kas būtu līdzvērtīgs pašreizējam Regulas (EK) Nr. 45/2001 7. pantam par datu nosūtīšanu starp ES iestādēm.

4.4.1.

Nav skaidrs, kāpēc uz regulas priekšlikuma 5. panta 1. punkta b) apakšpunktu nav attiecināti tā paša panta 2. punkta noteikumi, pretstatā 6. panta c) un e) apakšpunktam, uz kuriem abiem attiecas Vispārīgās datu aizsardzības regulas 3. punkta nosacījumi.

4.4.2.

EESK uzskata, ka d) apakšpunktā vajadzētu iekļaut norādi, ka uz piekrišanu attiecināms labticības princips.

4.5.1.

Šā panta piemērošanu vienmēr vajadzētu pakļaut Eiropas Datu aizsardzības uzraudzītāja atļaujai.

4.5.2.

Šādos gadījumos datu subjekts vienmēr par šādu iespēju būtu jāinformē jau iepriekš – datu savākšanas brīdī vai brīdī, kad tiek pieņemts jauns lēmums, un attiecīgā gadījumā šai personai jābūt iespējai prasīt datu labošanu vai dzēšanu, iebilst pret to apstrādi vai prasīt apstrādes ierobežošanu.

4.6.1.

EESK uzskata, ka derīguma noteikumu izņēmums, kurš attiecas uz bērnu, kuri jaunāki par 16 gadiem (13–16 gadus veci bērni), piekrišanu, kas pati par sevi jau ir absurda, dalībvalstīs pieļaujams tikai, pamatojoties uz kultūras apsvērumiem valsts tiesību aktu ietvaros (vispārīgās regulas 8. pants). To nevajadzētu pieļaut kā ES iestādēm piemērojamu noteikumu (8. panta 1. punkts), saskaņā ar kuru noteikts robežvecums – 13 gadi.

4.6.2.

Turklāt nav precīzi noteikts, kādā veidā EDAU jāpievērš “īpaša uzmanība” bērniem, kā minēts 58. panta 1. punkta b) apakšpunktā, jo īpaši saistībā ar 36. pantā minētajiem lietotāju sarakstiem, ja to dati ir publiski pieejami.

4.7.1.

Panta 1. punktā vajadzētu minēt arī politisko piederību (tā nav tas pats, kas politiskie uzskati) un privāto dzīvi.

4.7.2.

Panta 2. punkta b) apakšpunktā vajadzētu norādīt, ka par datu apstrādi vienmēr iepriekš jāpaziņo datu subjektam, pat ja to veic, lai izpildītu pienākumus vai īstenotu datu subjekta tiesības.

4.7.3.

Panta 2. punkta d) apakšpunktā vajadzētu norādīt, ka apstrādi var veikt tikai ar datu subjekta piekrišanu.

4.7.4.

Savukārt e) apakšpunktam vajadzētu būt izņēmumam tikai gadījumos, kad no datu subjekta paziņojumiem ir iespējams pamatoti secināt, ka tas piekrīt datu apstrādei.

4.9.1.

Attiecībā uz 15. panta 2. punktā paredzēto papildu informāciju būtu jāpievieno arī prasība, ka datu subjekts jāinformē par to, vai datu pārzinim atbilde jāsniedz obligāti vai neobligāti, kā arī par to, kādas būtu sekas iespējamai atbildes nesniegšanai.

4.9.2.

Ja dati tiek vākti atvērtos tīklos, datu subjekts vienmēr jāinformē, ka tā personas dati var nonākt apritē tīklos bez drošības pasākumiem un ka tādējādi pastāv risks, ka tiem var piekļūt un tos var izmantot trešās personas, kurām nav attiecīgas atļaujas.

4.9.3.

Jānodrošina 17. panta 1. punktā minēto tiesību brīva īstenošana bez ierobežojumiem un bez maksas, ievērojot saprātīgu regularitāti un šo tiesību īstenošanu nodrošinot ātri vai nekavējoties.

4.9.4.

EESK ierosina noteikt, ka datu subjektam ir obligāti jāsaņem apstiprinājums par to, vai tā dati pašreiz tiek vai netiek apstrādāti.

4.9.5.

Informācija, kas minēta 17. panta 1. punktā, jāsniedz saprotamā un skaidrā veidā, jo īpaši informācija par datiem, kas pašreiz tiek apstrādāti, kā arī jebkāda informācija par šo datu izcelsmi.

4.11.1.

Pēc EESK domām, 2. punkta c) apakšpunktu vajadzētu papildināt, norādot, ka piekrišanai jābūt sniegtai pēc tam, kad datu subjektam sniegta skaidra informācija par lēmumu sekām uz viņa juridisko situāciju, jo tikai pēc šādas informēšanas uzskatāms, ka datu subjekta piekrišana ir balstīta uz pietiekamu informāciju.

4.11.2.

Attiecībā uz 3. punktu komiteja uzskata, ka atbilstīgie pasākumi jānosaka Eiropas Datu aizsardzības uzraudzītājam, nevis datu pārzinim.

4.12.1.

EESK pauž bažas par to, ka regulas priekšlikuma 25. panta redakcija sniedz pārāk plašu Vispārīgās datu aizsardzības regulas 23. panta interpretāciju, proti, paredz pārāk plašus ierobežojumus attiecībā uz to noteikumu piemērošanu, ar kuriem nostiprinātas datu subjektu pamattiesības. Tā mudina Komisiju kritiski pārskatīt dažus punktus, pamatojoties uz padziļinātu un vajadzības gadījumā ierobežojošu analīzi, un jo īpaši pārskatīt ierobežojumu, kas skar tiesības uz elektroniskās saziņas konfidencialitāti tīklos, jo šīs tiesības ir noteiktas Pamattiesību hartas 7. pantā un minētas pašreizējā direktīvā par privāto dzīvi un elektronisko komunikāciju, kā arī nostiprinātas regulas projektā, kuru pašreiz, gatavojot citu atzinumu, izskata EESK.

4.12.2.

EESK stingri iebilst pret 25. panta 2. punktā paredzēto iespēju, ka ES iestādes un struktūras var ierobežot tiesību subjektu tiesību piemērošanu, ja šādi ierobežojumi nav paredzēti un atļauti ar tiesību aktiem. Tas pats attiecas uz 34. pantu.

—

novērst, ka personas bez atļaujas varētu piekļūt iekārtām, ko izmanto datu apstrādei,

—

nepieļaut datu nesējos saglabāto datu neatļautu nolasīšanu, kopēšanu, mainīšanu vai izņemšanu,

—

novērst integrētu personas datu neatļautu ievadīšanu sistēmā, kā arī to neatļautu apskati, mainīšanu vai dzēšanu,

—

liegt nepilnvarotām personām lietot automatizētas datu apstrādes sistēmas ar datu pārraides ierīču palīdzību,

—

nodrošināt, ka tiek pārbaudīts, kurām iestādēm personas datus drīkst nosūtīt,

—

nodrošināt, ka tikai personas, kam ir attiecīga atļauja, var piekļūt datiem, uz kuriem attiecas iepriekšējas atļaujas sniegšana.

4.20.1.

Neskarot iepriekš minēto un ņemot vērā datu aizsardzības speciālistu darba specifiku, tajos gadījumos, kad šis speciālists nav ierēdnis, ir jābūt iespējai to atsaukt no amata jebkurā brīdī, pamatojoties tikai uz attiecīgu Eiropas Datu aizsardzības uzraudzītāja atzinumu (regulas 45. panta 8. punkts).

4.20.2.

Komiteja uzskata, ka datu aizsardzības speciālista pilnvaru termiņam jābūt pieciem gadiem un ka jāparedz iespēja to pagarināt tikai vienu reizi.

4.25.

Regulas priekšlikumā ir virkne neviennozīmīgu un subjektīvu formulējumu un jēdzienu – ieteicams tos pārskatīt un mainīt. Tādi ir, piemēram, formulējumi “ja iespējams”, “ja nepieciešams”, “bez nepamatotas kavēšanās”, “augsts risks”, “pienācīgi ņemot vērā”, “saprātīgs termiņš” un “īpaši svarīgs”.