(1)

Identyfikacja radiowa (RFID) stanowi nowy etap rozwoju społeczeństwa informacyjnego, w którym obiekty wyposażone w mikroelektronikę, mogącą automatycznie przetwarzać dane, w coraz większym stopniu będą stawały się integralną częścią życia codziennego.

(2)

Stopniowo zwiększa się powszechność identyfikacji radiowej, która tym samym staje się częścią życia osób fizycznych w wielu różnych dziedzinach, takich jak: logistyka (1), opieka zdrowotna, transport publiczny, handel detaliczny, w szczególności w zakresie poprawy bezpieczeństwa produktów i szybszego wycofywania produktów z rynku, rozrywka, praca, zarządzanie opłatami drogowymi, zarządzanie bagażem i dokumenty podróży.

(3)

Technologia RFID może stać się nowym motorem wzrostu gospodarczego i zatrudnienia, a tym samym stanowić znaczący wkład w realizację strategii lizbońskiej, ponieważ jest bardzo obiecująca z ekonomicznego punktu widzenia – może pociągać za sobą nowe możliwości działalności gospodarczej, obniżenie kosztów i wzrost wydajności, w szczególności w zakresie radzenia sobie z podrabianiem produktów, zarządzania odpadami elektronicznymi i materiałami niebezpiecznymi, a także recyklingu zużytych produktów.

(4)

Technologia identyfikacji radiowej umożliwia przetwarzanie danych, w tym danych osobowych, na niewielkich odległościach bez fizycznego lub widocznego kontaktu między czytnikiem lub urządzeniem zapisującym a identyfikatorem, w ten sposób, że dana osoba nie ma świadomości tego kontaktu.

(5)

Zastosowania technologii RFID mają możliwość przetwarzania danych dotyczących zidentyfikowanej lub identyfikowalnej osoby fizycznej, przy czym osoba fizyczna jest identyfikowana bezpośrednio lub pośrednio. Mogą również przetwarzać takie dane osobowe przechowywane w identyfikatorze jak nazwisko osoby, data urodzenia, adres, dane biometryczne lub dane łączące poszczególny numer RFID produktu z danymi osobowymi przechowywanymi w innym miejscu w systemie. Ponadto istnieje możliwość wykorzystywania tej technologii do monitorowania osób fizycznych na podstawie posiadania przez nie jednego lub więcej produktów zawierających numer RFID produktu.

(6)

Przy wdrażaniu technologii RFID należy zwrócić szczególną uwagę na prywatność i ochronę danych, gdyż rozwiązania te mogą być jednocześnie wszechobecne i praktycznie niewidoczne. W związku z tym elementy prywatności i bezpieczeństwa informacji należy włączyć do zastosowań identyfikacji radiowej przed ich powszechnym wykorzystaniem (zasada „bezpieczeństwa i poszanowania prywatności od samego początku”).

(7)

Technologia RFID będzie mogła przynosić liczne korzyści gospodarcze i społeczne tylko wtedy, gdy zostaną wprowadzone skuteczne środki w celu zapewnienia ochrony danych osobowych, prywatności i związanych z nimi zasad etycznych, które są centralnym punktem dyskusji na temat społecznej akceptacji technologii RFID.

(8)

Państwa członkowskie i zainteresowane strony powinny dołożyć dalszych starań, aby, szczególnie w obecnej początkowej fazie wdrażania technologii RFID, zapewnić monitorowanie zastosowań technologii RFID i przestrzeganie praw i wolności jednostki.

(9)

W komunikacie Komisji z dnia 15 marca 2007 r.„Identyfikacja radiowa (RFID) w Europie: w stronę ram polityki” (2) zapowiedziano przedstawienie wyjaśnień i wytycznych dotyczących aspektów ochrony danych i prywatności zastosowań RFID w drodze jednego lub kilku zaleceń Komisji.

(10)

Prawa i obowiązki dotyczące ochrony danych osobowych i ich swobodnego przepływu, określone w dyrektywie 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (3) i w dyrektywie 2002/58/WE Parlamentu Europejskiego i Rady z dnia 12 lipca 2002 r. dotyczącej przetwarzania danych osobowych i ochrony prywatności w sektorze łączności elektronicznej (dyrektywa o prywatności i łączności elektronicznej) (4), mają w pełni zastosowanie do wykorzystywania zastosowań RFID, które przetwarzają dane osobowe.

(11)

Zasady określone w dyrektywie 1999/5/WE Parlamentu Europejskiego i Rady z dnia 9 marca 1999 r. w sprawie urządzeń radiowych i końcowych urządzeń telekomunikacyjnych oraz wzajemnego uznawania ich zgodności (5) należy stosować przy opracowaniu zastosowań RFID.

(12)

Opinia Europejskiego Inspektora Ochrony Danych (6) zawiera wytyczne dotyczące sposobów postępowania z produktami zawierającymi identyfikatory dostarczanymi osobom fizycznym i wzywa do sporządzenia ocen skutków w zakresie prywatności i bezpieczeństwa celem określenia i opracowania „najlepszej dostępnej technologii”, która zapewni ochronę prywatności i bezpieczeństwa systemów RFID.

(13)

Operatorzy zastosowań RFID powinni podjąć wszelkie racjonalne działania mające na celu dopilnowanie, aby dane nie były – za pomocą jakiegokolwiek środka możliwego do użycia przez operatora rozwiązań RFID lub jakąkolwiek inną osobę – powiązane ze zidentyfikowaną lub identyfikowalną osobą fizyczną, chyba że dane te są przetwarzane zgodnie z mającymi zastosowanie zasadami i przepisami prawa dotyczącymi ochrony danych.

(14)

Komunikat Komisji z dnia 2 maja 2007 r. w sprawie lepszej ochrony danych z wykorzystaniem technologii na rzecz ochrony prywatności (7) jasno określa działania prowadzące do ograniczenia przetwarzania danych osobowych i jak najpowszechniejszego wykorzystywania danych anonimowych lub pseudoanonimowych przez wspieranie rozwoju technologii na rzecz ochrony prywatności i wykorzystanie ich przez administratorów danych oraz użytkowników.

(15)

Komunikat Komisji z dnia 31 maja 2006 r.„Strategia na rzecz bezpiecznego społeczeństwa informacyjnego – »Dialog, partnerstwo i przejmowanie inicjatywy«” (8) potwierdza, że różnorodność, otwartość, interoperacyjność, użyteczność i konkurencja są kluczowymi czynnikami dla bezpieczeństwa społeczeństwa informacyjnego, podkreśla rolę państw członkowskich i administracji publicznej w podnoszeniu świadomości i wspieraniu dobrych praktyk w dziedzinie bezpieczeństwa oraz zachęca zainteresowane strony z sektora prywatnego do podejmowania inicjatyw związanych z pracami na rzecz stworzenia przystępnych cenowo systemów certyfikacji bezpieczeństwa produktów, procesów i usług, dopasowanych do konkretnych potrzeb UE (w szczególności w odniesieniu do prywatności).

(16)

Celem rezolucji Rady z dnia 22 marca 2007 r. w sprawie strategii na rzecz bezpiecznego społeczeństwa informacyjnego w Europie (9) jest zachęcenie państw członkowskich do zwrócenia należnej uwagi na potrzebę zapobiegania nowym i istniejącym zagrożeniom dla sieci łączności elektronicznej i zwalczania takich zagrożeń.

(17)

Ramy opracowane na poziomie wspólnotowym w celu przeprowadzenia ocen skutków w zakresie ochrony danych i prywatności zapewnią spójne stosowanie się do przepisów niniejszego zalecenia we wszystkich państwach członkowskich. Opracowanie tych ram powinno opierać się na istniejących praktykach i doświadczeniach zdobytych w państwach członkowskich, w krajach trzecich i w ramach prac prowadzonych przez Europejską Agencję ds. Bezpieczeństwa Sieci i Informacji (ENISA) (10).

(18)

Komisja zapewni opracowanie na poziomie wspólnotowym wytycznych dotyczących zarządzania bezpieczeństwem informacji w zastosowaniach RFID, opierając się na istniejących praktykach i doświadczeniach zdobytych w państwach członkowskich i krajach trzecich. Państwa członkowskie powinny włączyć się w ten proces i zachęcać do uczestnictwa w nim również podmioty prywatne i władze publiczne.

(19)

Ocena skutków w zakresie ochrony danych i prywatności przeprowadzona przez operatora przed wdrożeniem zastosowania RFID dostarczy informacji wymaganych do zapewnienia odpowiednich środków ochronnych. Potrzebne będzie monitorowanie i poddawanie przeglądowi tych środków w trakcie użytkowania zastosowania RFID.

(20)

Ocena skutków w zakresie ochrony danych i prywatności w sektorze handlu detalicznego w odniesieniu do sprzedawanych klientom produktów zawierających identyfikatory dostarczy informacji koniecznych do określenia prawdopodobieństwa zagrożenia dla prywatności lub ochrony danych osobowych.

(21)

Wykorzystanie międzynarodowych norm, takich jak normy opracowane przez Międzynarodową Organizację Normalizacyjną (ISO), kodeksów postępowania i najlepszych praktyk, zgodnych z ramami prawnymi UE, może pomóc w zarządzaniu bezpieczeństwem informacji i środkami ochrony prywatności podczas całego procesu biznesowego wykorzystującego identyfikację radiową.

(22)

Zastosowania RFID mające skutki dla ogółu społeczeństwa, takie jak bilety elektroniczne w transporcie publicznym, wymagają odpowiednich środków ochronnych. Zastosowania RFID mające wpływ na osoby fizyczne poprzez przetwarzanie na przykład ich danych identyfikacji biometrycznej lub danych dotyczących zdrowia są szczególnie krytyczne w odniesieniu do bezpieczeństwa informacji i prywatności, w związku z czym wymagają szczególnej uwagi.

(23)

Społeczeństwo jako całość musi mieć świadomość obowiązków i praw mających zastosowanie w związku z wykorzystywaniem rozwiązań RFID. Dlatego na stronach wdrążających tę technologię spoczywa odpowiedzialność dostarczenia osobom fizycznym informacji na temat wykorzystania tych zastosowań.

(24)

Podnoszenie świadomości wśród społeczeństwa oraz małych i średnich przedsiębiorstw (MŚP) na temat cech i możliwości identyfikacji radiowej umożliwi tej technologii spełnienie oczekiwań gospodarczych i zmniejszy tym samym ryzyko wykorzystania jej ze szkodą dla interesu publicznego, podnosząc w ten sposób poziom jej akceptacji.

(25)

Komisja będzie miała bezpośredni i pośredni wkład we wdrażanie niniejszego zalecenia przez ułatwienie dialogu i współpracy między zainteresowanymi stronami, w szczególności przy pomocy programu ramowego na rzecz konkurencyjności i innowacji (CIP), ustanowionego na mocy decyzji nr 1639/2006/WE Parlamentu Europejskiego i Rady (11), oraz siódmego programu ramowego w dziedzinie badań (FP7), ustanowionego na mocy decyzji nr 1982/2006/WE Parlamentu Europejskiego i Rady (12).

(26)

Na poziomie wspólnotowym zasadnicze jest podjęcie prac badawczo-rozwojowych w odniesieniu do tanich technologii poprawy prywatności i bezpieczeństwa informacji w celu wspierania szerszego wykorzystania tych technologii zgodnie z dopuszczalnymi warunkami.

(27)

Niniejsze zalecenie opiera się na poszanowaniu praw podstawowych i przestrzeganiu zasad uznanych w szczególności w Karcie praw podstawowych Unii Europejskiej. Celem niniejszego zalecenia jest w szczególności zapewnienie pełnego poszanowania życia prywatnego i rodzinnego oraz ochrony danych osobowych,