KOMISJA EUROPEJSKA
Bruksela, dnia 30.10.2019
COM(2019) 551 final
ZAŁĄCZNIK
do dokumentu
zalecenie DECYZJA RADY
upoważniająca do podjęcia rokowań w sprawie umowy między Unią Europejską a Nową Zelandią dotyczącej wymiany danych osobowych między Agencją Unii Europejskiej ds. Współpracy Organów Ścigania (Europol) i właściwymi organami ds. zwalczania poważnej przestępczości i terroryzmu w Nowej Zelandii
ZAŁĄCZNIK
W trakcie rokowań Komisja powinna dążyć do osiągnięcia celów przedstawionych szczegółowo poniżej.
1)Celem umowy powinno być ustanowienie podstawy prawnej dla przekazywania danych osobowych między Europolem a właściwymi organami w Nowej Zelandii, odpowiednio, aby wesprzeć i wzmocnić działania podejmowane przez właściwe organy tego państwa i państw członkowskich oraz wesprzeć i zacieśnić ich współpracę w zapobieganiu poważnej przestępczości transgranicznej i terroryzmowi i w zwalczaniu ich, przy jednoczesnym zapewnieniu stosownych zabezpieczeń w zakresie ochrony prywatności, danych osobowych i podstawowych praw i wolności osób fizycznych.
2)Z myślą o zagwarantowaniu przestrzegania zasady celowości współpraca i wymiana danych na mocy umowy powinna odnosić się jedynie do przestępstw i przestępstw powiązanych wchodzących w zakres kompetencji Europolu zgodnie z art. 3 rozporządzenia 2016/794 (łącznie „przestępstwa”). W szczególności współpraca powinna mieć na celu zapobieganie terroryzmowi i jego zwalczanie, przeciwdziałanie przestępczości zorganizowanej oraz zwalczanie cyberprzestępczości. Umowa powinna określać zakres i cele, w których Europol może przekazywać dane osobowe właściwym organom Nowej Zelandii;
3)Umowa powinna określać w sposób jasny i precyzyjny niezbędne zabezpieczenia i mechanizmy kontrolne w odniesieniu do ochrony danych osobowych, poszanowania podstawowych praw i wolności osób fizycznych, niezależnie od ich przynależności państwowej i miejsca zamieszkania, w przypadku wymiany danych osobowych między Europolem a właściwymi organami w Nowej Zelandii. Oprócz zabezpieczeń określonych poniżej, powinien tam się znaleźć wymóg, by przekazywanie danych osobowych podlegało zasadzie poufności oraz by dane osobowe nie były wykorzystywane do żądania, orzekania lub wykonania kary śmierci ani do żadnego innego okrutnego lub nieludzkiego traktowania, bez uszczerbku dla dodatkowych zabezpieczeń, które mogą być wymagane.
W szczególności:
a)Umowa powinna zawierać definicje kluczowych terminów, a także definicję danych osobowych zgodną z art. 3 ust. 1 dyrektywy (UE) 2016/680.
b)umowa powinna respektować zasadę ograniczonego celu, zapewniając, że dane nie będą przetwarzane do celów innych niż cele przekazania. Dlatego należy w sposób jasny i precyzyjny określić cele przetwarzania przez strony danych osobowych w ramach umowy. Cele te nie powinny wykraczać poza działanie, które jest konieczne w poszczególnych przypadkach, aby zapobiegać terroryzmowi i przestępstwom, o których mowa w umowie, i je zwalczać.
c)Dane osobowe przekazywane przez Europol zgodnie z umową powinny być przetwarzane w sposób rzetelny, na uzasadnionej podstawie i wyłącznie do celów, do których zostały przekazane. Umowa powinna przewidywać wymóg wskazania przez Europol, w momencie przekazywania danych, wszelkich ograniczeń dotyczących dostępu lub wykorzystywania, w tym w zakresie przekazywania, usuwania, niszczenia lub dalszego przetwarzania tych danych. Umowa powinna zobowiązywać właściwe organy Nowej Zelandii do przestrzegania tych ograniczeń i określać, w jaki sposób przestrzeganie tych ograniczeń będzie egzekwowane w praktyce. Dane osobowe powinny być adekwatne, właściwe i ograniczone do tego, co jest niezbędne do osiągnięcia tego celu. Dane te powinny być dokładne i aktualne. Nie powinny one być przetrzymywane przez okres dłuższy niż jest to konieczne do celów, dla których zostały one przekazane. Umowie powinien towarzyszyć załącznik zawierający wyczerpujący wykaz właściwych organów w Nowej Zelandii, którym Europol może przekazywać dane osobowe, oraz krótki opis ich kompetencji.
d)Przekazywanie przez Europol danych osobowych ujawniających pochodzenie rasowe lub etniczne, opinie polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych, dane genetyczne i dane osobowe dotyczące stanu zdrowia i życia seksualnego powinno być zakazane, chyba że jest to absolutnie niezbędne i proporcjonalne w indywidualnych przypadkach w celu zapobiegania przestępstwom kryminalnym, o których mowa w umowie, i ich zwalczania, z zastrzeżeniem odpowiednich zabezpieczeń. Umowa powinna także zawierać szczegółowe zabezpieczenia dotyczące przekazywania danych osobowych ofiar przestępstw, świadków lub innych osób, które mogą dostarczyć informacji na temat przestępstw, oraz małoletnich.
e)Umowa powinna gwarantować możliwe do wyegzekwowania na drodze prawnej prawa osób, których dane osobowe są przetwarzane, poprzez określenie zasad dotyczących prawa do dostępu, poprawienia i usuwania danych, w tym konkretne powody, z uwagi na które można stosować wszelkie niezbędne i proporcjonalne ograniczenia. Umowa powinna zapewniać także możliwość wyegzekwowania praw do administracyjnych i sądowych środków odwoławczych dla osób, których dane są przetwarzane w ramach umowy, oraz gwarancję skutecznych środków odwoławczych.
f)Umowa powinna określać przepisy dotyczące przechowywania, przeglądania, poprawiania i usuwania danych osobowych oraz prowadzenia ewidencji do celów rejestracji i dokumentacji, jak również przepisy dotyczące informacji udostępnianych osobom prywatnym. Powinna również uwzględniać zabezpieczenia odnoszące się do zautomatyzowanego przetwarzania danych osobowych.
g)Umowa powinna określać kryteria, na podstawie których ocenia się wiarygodność źródła i dokładność danych.
h)Umowa powinna objąć zobowiązanie do zapewnienia bezpieczeństwa danych osobowych poprzez odpowiednie środki techniczne i organizacyjne, w tym poprzez umożliwienie dostępu do danych osobowych tylko osobom upoważnionym. Umowa powinna uwzględnić również zobowiązanie do zgłoszenia naruszenia ochrony danych osobowych, które dotyczy danych przekazywanych na mocy tej umowy.
i)Dalsze przekazywanie informacji przez właściwe organy Nowej Zelandii innym organom w Nowej Zelandii, w tym do wykorzystania w postępowaniu sądowym, powinno być dozwolone wyłącznie w pierwotnym celu przekazania danych przez Europol i powinno podlegać odpowiednim warunkom i zabezpieczeniom, łącznie z wydaniem przez Europol uprzedniego zezwolenia.
j)Takie same warunki jak w lit. i) powinny mieć zastosowanie do dalszego przekazywania informacji przez właściwe organy Nowej Zelandii organom w państwie trzecim, przy spełnieniu dodatkowego wymogu, zgodnie z którym takie dalsze przekazywanie danych powinno być dozwolone wyłącznie w odniesieniu do państw trzecich, którym Europol ma prawo przekazywać dane osobowe na podstawie art. 25 ust. 1 rozporządzenia (UE) 2016/794.
k)Umowa powinna zapewniać system kontroli przez co najmniej jeden niezależny podmiot sektora publicznego odpowiedzialny za ochronę danych wyposażony w faktyczne kompetencje w zakresie przeprowadzania dochodzenia i interwencji w celu sprawowania nadzoru nad tymi organami publicznymi Nowej Zelandii, które wykorzystują dane osobowe/wymieniane informacje, i w zakresie udziału w postępowaniach sądowych. W szczególności niezależne organy powinny posiadać kompetencje do rozpatrywania skarg osób fizycznych dotyczących wykorzystania ich danych osobowych. Organy publiczne, które wykorzystują dane osobowe, powinny odpowiadać za przestrzeganie przepisów dotyczących ochrony danych osobowych na mocy umowy.
4)Umowa powinna przewidywać skuteczny mechanizm rozstrzygania sporów w zakresie jej wykładni i stosowania, aby zapewnić przestrzeganie przez strony wspólnie uzgodnionych zasad.
5)Umowa powinna zawierać postanowienia dotyczące jej monitorowania i okresowej oceny.
6)Umowa powinna zawierać postanowienia dotyczące jej wejścia w życie i obowiązywania oraz postanowienie, na mocy którego każda ze stron może wypowiedzieć umowę lub ją zawiesić, zwłaszcza w przypadku gdy dane państwo trzecie nie zapewnia już skutecznej ochrony podstawowych praw i wolności na poziomie wymaganym na mocy tej umowy. Umowa powinna też określać, czy dane osobowe objęte jej zakresem i przekazane przed jej zawieszeniem lub wypowiedzeniem dalej mogą być przetwarzane. Dalsze przetwarzanie danych osobowych, jeżeli miałoby być dozwolone, powinno w każdym przypadku być zgodne z postanowieniami umowy w momencie zawieszenia lub wypowiedzenia.
7)W stosownych przypadkach umowa może zawierać klauzulę określającą jej terytorialny zakres stosowania.
8)Umowa powinna być na równi autentyczna w języku angielskim, bułgarskim, chorwackim, czeskim, duńskim, estońskim, fińskim, francuskim, greckim, hiszpańskim, litewskim, łotewskim, maltańskim, niderlandzkim, niemieckim, polskim, portugalskim, rumuńskim, słowackim, słoweńskim, szwedzkim, węgierskim i włoskim i zawierać w tym celu klauzulę językową.