This document is an excerpt from the EUR-Lex website
Document 52011XX0622(01)
Opinion of the European Data Protection Supervisor on the Communication from the Commission to the European Parliament, the Council, the Economic and Social Committee and the Committee of the Regions — ‘A comprehensive approach on personal data protection in the European Union’
Stanovisko európskeho dozorného úradníka pre ochranu údajov k oznámeniu Komisie Európskemu parlamentu, Rade, Európskemu hospodárskemu a sociálnemu výboru a Výboru regiónov – Komplexný prístup k ochrane osobných údajov v Európskej únii
Stanovisko európskeho dozorného úradníka pre ochranu údajov k oznámeniu Komisie Európskemu parlamentu, Rade, Európskemu hospodárskemu a sociálnemu výboru a Výboru regiónov – Komplexný prístup k ochrane osobných údajov v Európskej únii
Ú. v. EÚ C 181, 22.6.2011, p. 1–23
(BG, ES, CS, DA, DE, ET, EL, EN, FR, IT, LV, LT, HU, MT, NL, PL, PT, RO, SK, SL, FI, SV)
22.6.2011 |
SK |
Úradný vestník Európskej únie |
C 181/1 |
Stanovisko európskeho dozorného úradníka pre ochranu údajov k oznámeniu Komisie Európskemu parlamentu, Rade, Európskemu hospodárskemu a sociálnemu výboru a Výboru regiónov – Komplexný prístup k ochrane osobných údajov v Európskej únii
2011/C 181/01
EURÓPSKY DOZORNÝ ÚRADNÍK PRE OCHRANU ÚDAJOV,
so zreteľom na Zmluvu o fungovaní Európskej únie, a najmä na jej článok 16,
so zreteľom na Chartu základných práv Európskej únie, a najmä na jej články 7 a 8,
so zreteľom na smernicu Európskeho parlamentu a Rady 95/46/ES z 24. októbra 1995 o ochrane fyzických osôb pri spracovaní osobných údajov a o voľnom pohybe týchto údajov (1),
so zreteľom na nariadenie Európskeho parlamentu a Rady (ES) č. 45/2001 z 18. decembra 2000 o ochrane jednotlivcov so zreteľom na spracovanie osobných údajov inštitúciami a orgánmi Spoločenstva a o voľnom pohybe takýchto údajov (2), a najmä na jeho článok 41,
PRIJAL TOTO STANOVISKO
A. VŠEOBECNÁ ČASŤ
1. Úvod
1.1. Prvé, všeobecné hodnotenie
1. |
Komisia prijala 4. novembra 2010 oznámenie s názvom Komplexný prístup k ochrane osobných údajov v Európskej únii (ďalej len „oznámenie“) (3). Oznámenie bolo poslané európskemu dozornému úradníkovi pre ochranu údajov, aby sa k nemu vyjadril. Európsky dozorný úradník pre ochranu údajov víta skutočnosť, že s ním Komisia v súlade s článkom 41 nariadenia (ES) č. 45/2001 viedla konzultácie. Navyše ešte pred prijatím oznámenia mu bola poskytnutá možnosť, aby neformálne vyjadril svoje pripomienky. Niektoré z týchto pripomienok boli pri príprave konečného znenia dokumentu zohľadnené. |
2. |
Cieľom tohto oznámenia je ustanoviť postup Komisie v súvislosti so skúmaním právneho systému EÚ v oblasti ochrany osobných údajov vo všetkých okruhoch činnosti Európskej únie a zohľadniť pri tom najmä výzvy, ktoré sú dôsledkom globalizácie a nových technológií (4). |
3. |
Európsky dozorný úradník pre ochranu údajov oznámenie vo všeobecnosti víta, pretože je presvedčený, že skúmanie súčasného právneho rámca na ochranu údajov v EÚ je na zabezpečenie účinnej ochrany údajov v neustále sa rozvíjajúcej informačnej spoločnosti potrebné. Už vo svojom stanovisku z 25. júla 2007 o vykonávaní smernice o ochrane údajov (5) skonštatoval, že z dlhodobého hľadiska sa zmeny smernice 95/46/ES zdajú nevyhnutné. |
4. |
Oznámenie predstavuje dôležitý krok smerom k legislatívnej zmene, ktorá by následne predstavovala najdôležitejší pokrok v oblasti ochrany údajov v EÚ od prijatia smernice 95/46/ES, čo sa vo všeobecnosti považuje za základný kameň ochrany údajov v rámci Európskej únie (a širšie v rámci Európskeho hospodárskeho priestoru). |
5. |
Oznámenie utvára vhodný priestor na správne zamerané skúmanie aj preto, že vo všeobecnosti pomenúva hlavné problémy a úlohy. Európsky dozorný úradník pre ochranu údajov zastáva názor Komisie, že dobre fungujúci systém ochrany údajov bude v budúcnosti stále potrebný, čo vyplýva z toho, že existujúce všeobecné zásady ochrany údajov platia v spoločnosti, ktorá v dôsledku výrazného technického pokroku a globalizácie prechádza významnými zmenami. Táto skutočnosť si vyžaduje skúmanie platných právnych predpisov. |
6. |
V oznámení sa správne zdôrazňuje, že výzvy sú obrovské. Európsky dozorný úradník pre ochranu údajov v plnej miere s týmto vyhlásením súhlasí a na základe toho zdôrazňuje, aby navrhované riešenia boli primerane k tomu ambiciózne a aby zvyšovali účinnosť ochrany údajov. |
1.2. Cieľ stanoviska
7. |
V tomto stanovisku sa posudzujú navrhované riešenia v oznámení na základe dvoch kritérií: ambicióznosti a účinnosti. Vo všeobecnosti sa v ňom zaujíma kladný postoj. Európsky dozorný úradník pre ochranu údajov oznámenie podporuje, ale zároveň je kritický v tých prípadoch, v ktorých by podľa neho väčšia ambicióznosť viedla k účinnejšiemu systému. |
8. |
Cieľom európskeho dozorného úradníka pre ochranu údajov je, aby toto stanovisko prispelo k ďalšiemu rozvíjaniu právneho rámca na ochranu údajov. S radosťou očakáva návrh Komisie, ktorý by mal byť predložený do konca júna roku 2011, a dúfa, že jeho odporúčania budú v znení tohto návrhu zohľadnené. Okrem toho poznamenáva, že oznámenie v rámci všeobecného nástroja už zrejme nepočíta s určitými oblasťami, ako je napríklad spracúvanie údajov inštitúciami a orgánmi EÚ. Ak by sa Komisia v tejto fáze skutočne rozhodla vynechať určité oblasti, čo by európsky úradník pre ochranu údajov prijímal s poľutovaním, vyzýva potom Komisiu, aby sa zaviazala, že v krátkom vopred stanovenom časovom rámci vytvorí komplexnú štruktúru. |
1.3. Základné piliere tohto stanoviska
9. |
Toto stanovisko nie je osamotené. Vychádza z predchádzajúcich stanovísk, ktoré boli pri rozličných príležitostiach prijaté európskym dozorným úradníkom pre ochranu údajov či európskymi orgánmi na ochranu údajov. Predovšetkým je potrebné zdôrazniť, že niektoré základné prvky budúcej zmeny boli identifikované a rozpracované v už spomínanom stanovisku európskeho dozorného úradníka pre ochranu údajov z 25. júla 2007. (6) Stanovisko vychádza tiež z diskusií s ostatnými zainteresovanými stranami v oblasti ochrany súkromia a údajov. Ich príspevky do diskusie poskytli veľmi užitočný materiál pre oznámenie aj toto stanovisko. Z tohto hľadiska možno skonštatovať, že v otázke spôsobu zvyšovania účinnosti ochrany údajov možno badať veľkú mieru súčinnosti. |
10. |
Ďalším dôležitým stavebným kameňom tohto stanoviska je dokument s názvom Budúcnosť ochrany súkromia, spoločný príspevok pracovnej skupiny pre ochranu údajov zriadenej podľa článku 29 a pracovnej skupiny pre políciu a justíciu ku konzultáciám, ktoré začala Komisia v roku 2009 (ďalej len „dokument pracovných skupín o budúcnosti ochrany súkromia“) (7). |
11. |
Európsky dozorný úradník pre ochranu údajov prvýkrát reagoval na toto oznámenie v nedávnom období, na tlačovej konferencii konanej 15. novembra 2010. V tomto stanovisku sú širšie rozpracované názory vyjadrené počas uvedenej tlačovej konferencie. (8) |
12. |
A posledný základný pilier tohto stanoviska predstavuje množstvo predošlých stanovísk európskeho dozorného úradníka pre ochranu údajov, ako aj dokumentov pracovnej skupiny pre ochranu údajov zriadenej podľa článku 29. Odkazy na tieto stanoviská a dokumenty možno nájsť na viacerých príslušných miestach tohto stanoviska. |
2. Kontext
13. |
K skúmaniu pravidiel týkajúcich sa ochrany údajov dochádza vo významnom historickom okamihu. V oznámení sa tento historický kontext obšírne a presvedčivo opisuje. Na základe tohto opisu rozpoznáva európsky dozorný úradník pre ochranu údajov štyri hlavné skutočnosti, ktoré charakterizujú prostredie, v rámci ktorého sa proces skúmania uskutočňuje. |
14. |
Prvou skutočnosťou je technický pokrok. Súčasné technológie nie sú také isté, ako boli technológie, keď sa vypracúvala a prijímala smernica 95/46/ES. Technologické javy, ako sú napríklad internetový oblak počítačov, behaviorálna reklama, sociálne siete, výber cestného mýta či zariadenia na zistenie zemepisnej polohy, úplne zmenili spôsob, akým sa údaje spracúvajú, a v súvislosti s ochranou údajov predstavujú obrovskú výzvu. Skúmanie pravidiel Európskej únie týkajúcich sa ochrany údajov bude musieť tejto výzve účinne čeliť. |
15. |
Druhou skutočnosťou je globalizácia. Pokračujúce odstraňovanie obchodných prekážok dáva obchodovaniu čoraz výraznejší svetový rozmer. Pokiaľ ide o spracúvanie údajov v zahraničí či prenos údajov z jednej krajiny do druhej, za posledné roky bol zaznamenaný obrovský nárast. Spracúvanie údajov sa navyše stalo v dôsledku nových informačných a komunikačných technológií doslova všadeprítomné: internet a internetový oblak počítačov umožnili spracúvanie nesmierneho množstva údajov po celej planéte bez priestorových obmedzení. V poslednom desaťročí bol okrem toho zaznamenaný nárast aj pokiaľ ide o medzinárodné policajné a justičné činnosti týkajúce sa boja proti terorizmu a ďalším formám medzinárodného organizovaného zločinu, čo súvisí s rozsiahlou výmenou informácií na účely presadzovania práva. Všetko toto si vyžaduje vážne zamyslenie sa nad tým, ako možno v globalizovanom svete účinným spôsobom zabezpečiť ochranu osobných údajov bez toho, aby sa výraznejšie obmedzili medzinárodné činnosti súvisiace so spracúvaním údajov. |
16. |
Treťou skutočnosťou je Lisabonská zmluva. Nadobudnutím platnosti Lisabonskej zmluvy vstupuje ochrana údajov do novej éry. V článku 16 Zmluvy o fungovaní Európskej únie sa nielenže spomínajú práva osoby, ktorej údaje sa spracúvajú, tento článok predstavuje tiež priamy právny základ pre kvalitné právne predpisy týkajúce sa ochrany údajov v celej EÚ. Zrušenie pilierovej štruktúry okrem toho núti Európsky parlament a Radu, aby zabezpečili ochranu údajov vo všetkých oblastiach právnych predpisov EÚ. Inými slovami to umožňuje komplexný právny rámec na ochranu údajov, uplatniteľný na súkromný sektor, na verejný sektor v členských štátoch a na inštitúcie a orgány EÚ. V Štokholmskom programe (9) sa v tejto súvislosti dôsledne uvádza, že Európska únia musí zaistiť komplexnú stratégiu na ochranu údajov vo svojom rámci, ale aj vo vzťahu s inými krajinami. |
17. |
Štvrtou skutočnosťou je pokrok, ktorý sa paralelne dosahuje v rámci medzinárodných organizácií. Prebiehajú rozličné diskusie, ktoré sa zameriavajú na modernizáciu súčasných právnych nástrojov na ochranu údajov. V tejto súvislosti je potrebné spomenúť aktuálne úvahy, pokiaľ ide o budúce preskúmanie dohovoru Rady Európy č. 108 (10) a usmernení týkajúcich sa ochrany súkromia organizácie OECD (11). Ďalší významný pokrok sa týka prijímania medzinárodných noriem v oblasti ochrany osobných údajov a súkromia, čo by prípadne mohlo viesť k prijatiu nástroja na ochranu údajov, ktorý by bol záväzný na celom svete. Všetky tieto iniciatívy si zaslúžia plnú podporu. Ich spoločným cieľom by malo byť zabezpečenie účinnej a dôslednej ochrany údajov v technologicky vyspelom a globalizovanom svete. |
3. Hlavné hľadiská
3.1. Ochrana údajov posilňuje dôveru a musí podporovať aj ďalšie (verejné) záujmy
18. |
Kvalitný právny rámec na ochranu údajov je nevyhnutným dôsledkom toho, aký význam sa ochrane údajov pripisuje v Lisabonskej zmluve, predovšetkým v článku 8 Charty základných práv Európskej únie a v článku 16 Zmluvy o fungovaní Európskej únie, ale úzke prepojenie je aj s článkom 7 charty (12). |
19. |
Kvalitný právny rámec na ochranu údajov však okrem toho slúži aj širšiemu verejnému a súkromnému záujmu v informačnej spoločnosti, v ktorej je spracúvanie údajov všadeprítomné. Ochrana údajov posilňuje dôveru a dôvera je neodmysliteľnou súčasťou dobrého fungovania našej spoločnosti. Podstatné je prijímať opatrenia na ochranu údajov tak, aby v maximálnej možnej miere aktívne podporovali ďalšie oprávnené nároky a záujmy, nie aby im bránili. |
20. |
Dôležitými príkladmi ďalších oprávnených záujmov sú silné európske hospodárstvo, bezpečnosť jednotlivcov, ako aj zodpovednosť vlád. |
21. |
Hospodársky rozvoj v EÚ úzko súvisí so zavádzaním nových technológií a služieb a ich uvádzaním na trh. V informačnej spoločnosti závisí vývoj a úspešné zavádzanie informačných a komunikačných technológií a služieb od dôvery. Ak ľudia nebudú informačným a komunikačným technológiám dôverovať, je pravdepodobné, že tieto technológie sa nepresadia (13). A ľudia budú dôverovať informačným a komunikačným technológiám iba vtedy, keď budú ich údaje účinne chránené. Z tohto dôvodu by ochrana údajov mala byť neoddeliteľnou súčasťou technológií a služieb. Prísne požiadavky na ochranu údajov posilňujú európske hospodárstvo za predpokladu, že tieto požiadavky sú nielen prísne, ale zároveň primerané. V tomto ohľade je kľúčová ďalšia harmonizácia v rámci EÚ a minimalizácia administratívnej záťaže (pozri kapitolu 5 stanoviska). |
22. |
V posledných rokoch sa toho veľa povedalo o potrebe vyváženosti ochrany súkromia a bezpečnosti, a to predovšetkým v súvislosti s nástrojmi na spracúvanie a výmenu údajov v oblasti policajnej a justičnej spolupráce (14). Ochrana údajov sa veľmi často nesprávne ponímala ako prekážka dôkladnej ochrany fyzickej bezpečnosti osôb (15) alebo prinajmenšom ako nevyhnutná podmienka, ktorú musia rešpektovať orgány činné v trestnom konaní. Toto však nie je všetko. Kvalitný právny rámec na ochranu údajov môže zlepšiť a posilniť bezpečnosť. Na základe zásad ochrany údajov, ak sa uplatňujú správnym spôsobom, sú prevádzkovatelia údajov povinní zabezpečiť, aby informácie boli správne a aktuálne a aby zbytočné osobné údaje, ktoré nie sú nevyhnutné na presadzovanie práva, boli zo systémov odstránené. Rovnako možno poukazovať na povinnosti v oblasti ochrany údajov zavádzať technické a organizačné opatrenia na zaistenie bezpečnosti systémov, ako je napríklad ochrana systémov pred neoprávneným prezradením alebo prístupom. |
23. |
Dodržiavanie zásad ochrany údajov môže ďalej zabezpečiť, aby orgány činné v trestnom konaní vykonávali svoju činnosť v súlade so zásadami právneho štátu, čo vyvoláva dôveru v ich prácu, a preto v širšom zmysle posilňuje dôveru v našej spoločnosti. Judikatúra vyplývajúca z článku 8 Európskeho dohovoru o ľudských právach zabezpečuje, aby policajné a justičné orgány mohli spracúvať všetky údaje, ktoré sa týkajú ich práce, ale nie neobmedzeným spôsobom. Ochrana údajov si vyžaduje kontrolu a rovnováhu (k polícii a justícii pozri kapitolu 9 stanoviska). |
24. |
V demokratickej spoločnosti je za všetky jej činnosti zodpovedná vláda, a to vrátane jej používania osobných údajov v súvislosti s rozličnými verejnými záujmami, ktorým tieto údaje slúžia. Tu treba rozlišovať uverejňovanie údajov na internete, aby sa zabezpečila transparentnosť, využívanie údajov na podporu politík v oblastiach, ako je verejné zdravie, doprava alebo dane, či sledovanie osôb na účely presadzovania práva. Kvalitný právny rámec na ochranu údajov umožňuje vládam, aby si v rámci dobrej správy vecí verejných plnili svoje povinnosti a aby boli zodpovedné. |
3.2. Dôsledky pre právny rámec na ochranu údajov
3.2.1.
25. |
V oznámení sa správne konštatuje, že jedným z najzákladnejších nedostatkov súčasného právneho rámca je to, že členským štátom ponecháva príliš veľa voľnosti rozhodovania pri zavádzaní európskych ustanovení do ich vnútroštátnych právnych predpisov. Nedostatok harmonizácie má v informačnej spoločnosti, kde sú fyzické hranice medzi jednotlivými členskými štátmi čoraz menej dôležité, množstvo negatívnych dôsledkov (pozri kapitolu 5 stanoviska). |
3.2.2.
26. |
Prvý, formálnejší dôvod, prečo by sa všeobecné zásady ochrany údajov nemali a ani nemohli meniť, je právnej povahy. Tieto zásady sú ustanovené v dohovore Rady Európy č. 108, ktorý je záväzný pre všetky členské štáty. Tento dohovor predstavuje právny základ ochrany údajov v EÚ. Okrem toho sú niektoré z hlavných zásad výslovne uvedené v článku 8 Charty základných práv Európskej únie. Na zmenu uvedených zásad by teda bola potrebná zmena zmlúv. |
27. |
Toto však nie je všetko. Na to, aby sa všeobecné zásady nemenili, existujú aj vecné dôvody. Európsky dozorný úradník pre ochranu údajov je presvedčený, že informačná spoločnosť nemôže a nemala by fungovať bez primeranej ochrany súkromia a osobných údajov jednotlivcov. Keď sa spracúva viac informácií, potrebná je zároveň lepšia ochrana. Informačná spoločnosť, v rámci ktorej sa o každej osobe spracúva obrovské množstvo informácií, musí byť vybudovaná na systéme kontroly jednotlivcom, aby mu bolo umožnené konať ako jednotlivcovi a mohol požívať svoje slobody v demokratickej spoločnosti, ako je napríklad sloboda prejavu či sloboda slova. |
28. |
Navyše je dosť ťažké predstaviť si kontrolu jednotlivca bez povinností prevádzkovateľov údajov obmedziť spracúvanie údajov v súlade so zásadami nevyhnutnosti, proporcionality a obmedzenia účelu. Rovnako ťažké je predstaviť si kontrolu jednotlivcom, ak by sa nedodržiavali rešpektované práva dotknutých osôb, ako je právo na prístup k údajom, ich opravu, vymazanie alebo zablokovanie. |
3.2.3.
29. |
Európsky dozorný úradník pre ochranu údajov zdôrazňuje, že ochrana údajov sa považuje za jedno zo základných práv. Toto neznamená, že ochrana údajov by mala mať v demokratickej spoločnosti vždy prednosť pred ostatnými dôležitými právami a záujmami, má to však dôsledky, pokiaľ ide o povahu a rozsah ochrany údajov v právnom rámci EÚ, keďže sa musí zabezpečiť, aby požiadavky na ochranu údajov boli vždy primerane zohľadnené. |
30. |
Najzákladnejšie spomedzi týchto dôsledkov možno formulovať takto:
Európsky dozorný úradník pre ochranu údajov odporúča, aby Komisia pri vypracúvaní legislatívnych riešení brala tieto skutočnosti do úvahy. |
3.2.4.
31. |
Oznámenie sa správne sústreďuje na potrebu posilnenia právnych predpisov týkajúcich sa ochrany údajov. V tejto súvislosti je vhodné pripomenúť, že v dokumente pracovných skupín o budúcnosti ochrany súkromia (17) orgány na ochranu údajov zdôraznili potrebu významnejších úloh rozličných subjektov v oblasti ochrany údajov, a to predovšetkým dotknutých osôb, prevádzkovateľov údajov a samotných dozorných orgánov. |
32. |
Zdá sa, že medzi zainteresovanými stranami panuje všeobecná zhoda v tom, že kvalitnejšie právne predpisy, ktoré zohľadnia technický pokrok a globalizáciu, sú aj v budúcnosti pre ambicióznu a účinnú ochranu údajov kľúčové. Ako už bolo uvedené v bode 7, toto sú kritériá európskeho dozorného úradníka pre ochranu údajov pre posudzovanie akéhokoľvek navrhovaného riešenia. |
3.2.5.
33. |
Ako sa uvádza aj v oznámení, smernica 95/46/ES sa vzťahuje na všetky činnosti spracúvania osobných údajov v členských štátoch vo verejnom, ako aj súkromnom sektore, s výnimkou činností, ktoré nepatria do oblasti pôsobnosti predošlých právnych predpisov Spoločenstva (18). Kým táto výnimka bola podľa predošlej zmluvy potrebná, toto už neplatí po tom, ako nadobudla platnosť Lisabonská zmluva. Takáto výnimka je okrem toho v rozpore so znením a v každom prípade s duchom článku 16 Zmluvy o fungovaní Európskej únie. |
34. |
Komplexný právny nástroj na ochranu údajov, a to vrátane policajnej a justičnej spolupráce v trestných veciach, treba podľa európskeho dozorného úradníka pre ochranu údajov považovať za jedno z hlavných vylepšení, ktoré môže nový právny rámec priniesť. Ide o nevyhnutnú podmienku účinnej ochrany údajov v budúcnosti. |
35. |
Európsky dozorný úradník pre ochranu údajov uvádza v prospech takéhoto tvrdenia tieto argumenty:
|
36. |
Zahrnutie polície a justície do všeobecného právneho nástroja by nielenže poskytlo väčšie záruky občanom, ale navyše by tiež zjednodušilo úlohu policajných orgánov. Uplatňovanie rozličných súborov pravidiel je nepohodlné, zbytočne časovo náročné a je navyše prekážkou medzinárodnej spolupráce (pozri ďalej kapitolu 9 stanoviska). Toto je okrem toho dôvodom aj pre zahrnutie činností týkajúcich sa spracúvania údajov bezpečnostnými službami jednotlivých štátov, ak je to v rámci súčasného stavu právnych predpisov EÚ možné. |
3.2.6.
37. |
Obdobie od prijatia smernice 95/46/ES v roku 1995 po dnešok možno z technologického hľadiska charakterizovať ako búrlivé. Neustále sa objavujú nové technické výdobytky a zariadenia. Toto vedie v mnohých prípadoch k zásadným zmenám v spôsobe spracúvania osobných údajov jednotlivcov. Informačná spoločnosť už nemôže byť považovaná za nejaké paralelné prostredie, v ktorom sa môžu jednotlivci dobrovoľne realizovať, stala sa neoddeliteľnou súčasťou našich každodenných životov. Len na ilustráciu, napríklad v rámci koncepcie internetu vecí (22) sa zisťuje prepojenie medzi fyzickými objektmi a on-line informáciami, ktoré sa ich týkajú. |
38. |
Technológie sa budú naďalej vyvíjať. Toto má svoje dôsledky pre nový právny rámec, ktorý musí byť účinný počas dlhšieho obdobia a zároveň nesmie nebrániť neustálemu technickému pokroku. Toto si vyžaduje, aby boli právne predpisy technologicky neutrálne. Právny rámec však musí okrem toho prinášať aj viac právnej istoty pre spoločnosti i pre jednotlivcov. Spoločnosti i jednotlivci musia rozumieť tomu, čo sa od nich očakáva, a musí im byť umožnené uplatňovanie ich práv. Toto si vyžaduje, aby boli právne predpisy dôkladné. |
39. |
Všeobecný právny nástroj na ochranu údajov musí byť podľa európskeho dozorného úradníka pre ochranu údajov formulovaný tak, aby bol podľa možností technologicky neutrálny. To znamená, že práva a povinnosti rozličných subjektov sa musia stanoviť nejakým všeobecným a neutrálnym spôsobom, aby v zásade zostali platné a vykonateľné bez ohľadu na zvolenú technológiu spracovania osobných údajov. Vzhľadom na rýchle tempo technického pokroku v súčasnosti neexistuje iná možnosť. Európsky dozorný úradník pre ochranu údajov navrhuje, aby sa popri platných zásadách ochrany údajov zaviedli nové, technologicky neutrálne práva, ktoré by mohli mať osobitný význam v rýchlo sa meniacom elektronickom prostredí (pozri predovšetkým kapitoly 6 a 7). |
3.2.7.
40. |
Smernica 95/46 bola v období posledných 15 rokov hlavným prvkom v oblasti ochrany údajov v EÚ. Bola zavedená do právnych predpisov členských štátov a uplatňovaná rozličnými subjektmi. V priebehu rokov sa v rámci uplatňovania využili praktické skúsenosti a ďalšie usmernenia Komisie, orgánov na ochranu údajov (na vnútroštátnej úrovni či v rámci pracovnej skupiny zriadenej podľa článku 29) a súdov Európskej únie i jej jednotlivých členských štátov. |
41. |
Treba tu zdôrazniť, že uvedené zlepšenia potrebujú čas. Tento čas, predovšetkým s ohľadom na skutočnosť, že tu ide o všeobecný rámec, ktorý sa týka uplatňovania základného práva, je potrebný na vytvorenie právnej istoty a stability. Potrebné je navrhnúť nový všeobecný právny nástroj s ambíciou, že bude schopný zabezpečiť právnu istotu a stabilitu počas dlhšieho obdobia, pričom treba mať na pamäti, že je veľmi ťažké vopred určiť, akým spôsobom sa budú ďalej vyvíjať technológie a globalizácia. Európsky dozorný úradník pre ochranu údajov v každom prípade v plnej miere podporuje cieľ vytvoriť právnu istotu na dlhšie obdobie, porovnateľne s perspektívou smernice 95/46/ES. Jednoducho povedané, aj keď budú technológie napredovať rýchlym tempom, právne predpisy musia zostať stabilné. |
3.2.8.
42. |
Pokiaľ ide o krátkodobý horizont, podstatné je zabezpečiť účinnosť existujúcich právnych predpisov, pričom sa treba v prvom rade sústrediť na presadzovanie práva, a to na úrovni jednotlivých členských štátov, ako aj na úrovni EÚ (pozri kapitolu 11 tohto stanoviska). |
B. PRVKY NOVÉHO PRÁVNEHO RÁMCA
4. Komplexný prístup
43. |
Európsky dozorný úradník pre ochranu údajov v plnej miere podporuje komplexný prístup k ochrane osobných údajov, čo nie je iba názov oznámenia, ale aj jeho východiskový bod, ktorý nevyhnutne zahŕňa rozšírenie všeobecných pravidiel ochrany údajov na policajnú a justičnú spoluprácu v trestných veciach (23). |
44. |
Všíma si však, že Komisia nemá v úmysle zahrnúť do tohto všeobecného právneho nástroja všetky činnosti týkajúce sa spracúvania údajov. Ide najmä o spracúvanie údajov inštitúciami, orgánmi, úradmi a agentúrami EÚ, ktoré doňho nebude zahrnuté. Komisia iba vyhlasuje, že jedným z jej krokov „bude posúdenie potreby prispôsobiť iné právne nástroje novému všeobecnému rámcu ochrany údajov“. |
45. |
Európsky dozorný úradník pre ochranu údajov jednoznačne uprednostňuje, aby bolo do všeobecného právneho rámca zahrnuté spracúvanie údajov na úrovni EÚ. Pripomína, že toto bolo pôvodným zámerom niekdajšieho článku 286 Zmluvy o ES, v ktorom sa prvýkrát spomínala ochrana údajov na úrovni zmluvy. V článku 286 Zmluvy o ES sa jednoducho uvádzalo, že právne nástroje na spracúvanie osobných údajov sa budú uplatňovať rovnako aj v inštitúciách. A čo je dôležitejšie, práve takýto právny text zabraňuje nebezpečenstvu nesúladu medzi ustanoveniami a bol by najvhodnejší na výmenu údajov medzi orgánmi EÚ a verejnými a súkromnými subjektmi v členských štátoch. Vyhýbal by sa tiež riziku toho, že po úprave smernice 95/46/ES sa už nenájde politická vôľa na zmenu a doplnenie nariadenia (ES) č. 45/2001 alebo na to, aby sa táto úprava dostatočne časovo uprednostnila, aby sa zabránilo nesúladu dátumov nadobudnutia účinnosti. |
46. |
Európsky dozorný úradník pre ochranu údajov vyzýva Komisiu, aby sa v prípade, ak by prišla k záveru, že k zahrnutiu spracúvania údajov na úrovni EÚ do všeobecného právneho nástroja nedôjde, zaviazala navrhnúť úpravu nariadenia (ES) č. 45/2001 (neposudzovať potrebu) v čo možno najkratšom čase, najlepšie do konca roku 2011. |
47. |
Rovnako dôležité je, aby Komisia zabezpečila, aby nezaostávali ani ďalšie oblasti, a to predovšetkým:
|
48. |
Všeobecný právny nástroj na ochranu údajov napokon môže a pravdepodobne musí byť doplnený ďalšími odvetvovými a osobitnými nariadeniami, týkajúcimi sa napríklad policajnej a justičnej spolupráce, ale aj iných oblastí (25). Takéto dodatočné nariadenia by sa mali v prípade, že je to potrebné a že to neodporuje zásade subsidiarity, prijímať na úrovni EÚ. Členské štáty môžu v osobitných oblastiach, ak je to opodstatnené, prijímať ďalšie pravidlá (pozri 5.2). |
5. Ďalšia harmonizácia a zjednodušovanie
5.1. Potreba harmonizácie
49. |
Harmonizácia má pre právne predpisy EÚ týkajúce sa ochrany údajov mimoriadny význam. V oznámení sa správne zdôrazňuje, že ochrana údajov sa výrazným spôsobom dotýka vnútorného trhu, keďže v rámci vnútorného trhu je medzi členskými štátmi potrebné zaistiť voľný pohyb osobných údajov. Úroveň harmonizácie v rámci súčasnej smernice sa však hodnotí ako neveľmi uspokojivá. V oznámení sa uznáva, že toto je jednou z hlavných pretrvávajúcich obáv zainteresovaných strán, ktoré zdôrazňujú najmä potrebu zvýšiť právnu istotu, znížiť administratívnu záťaž a zaistiť rovnaké podmienky pre ekonomické subjekty. Ako Komisia správne poznamenáva, toto je najmä prípad prevádzkovateľov údajov, ktorí pôsobia vo viacerých členských štátoch a sú povinní dodržiavať (možno rozchádzajúce sa) požiadavky právnych predpisov na ochranu údajov každého z týchto štátov (26). |
50. |
Harmonizácia nie je dôležitá iba pre vnútorný trh, ale tiež s ohľadom na zabezpečenie primeranej ochrany údajov. V článku 16 Zmluvy o fungovaní Európskej únie sa uvádza, že každý má právo na ochranu osobných údajov, ktoré sa ho týkajú. Na to, aby sa toto právo účinne dodržiavalo, sa musí zabezpečiť ekvivalentná úroveň ochrany údajov v rámci celej EÚ. V dokumente pracovných skupín o budúcnosti ochrany súkromia sa zdôrazňuje, že niektoré ustanovenia týkajúce sa postavenia dotknutých osôb neboli vykonávané alebo vykladané vo všetkých členských štátoch jednotne (27). V globalizovanom a vzájomne prepojenom svete by takáto nejednotnosť mohla narušiť alebo obmedziť ochranu jednotlivcov. |
51. |
Európsky dozorný úradník pre ochranu údajov sa domnieva, že ďalšia a lepšia harmonizácia je jedným zo základných cieľov procesu skúmania. Európsky dozorný úradník pre ochranu údajov víta záväzok Komisie preskúmať prostriedky na dosiahnutie ďalšej harmonizácie ochrany údajov na úrovni EÚ. S určitým prekvapením si však všíma, že Komisia nenavrhla v tejto fáze žiadne konkrétne možnosti. Z toho dôvodu sám poukazuje na niekoľko oblastí, v ktorých je väčšie zbližovanie najnaliehavejšie (pozri 5.3). Ďalšia harmonizácia v týchto oblastiach by sa mala dosiahnuť nielen zúžením manévrovacieho priestoru, pokiaľ ide o právne predpisy jednotlivých členských štátov, ale aj predchádzaním ich nesprávneho vykonávania (pozri tiež kapitolu 11) a zabezpečením súdržnejšieho a koordinovanejšieho presadzovania práva (pozri tiež kapitolu 10). |
5.2. Zúženie manévrovacieho priestoru, pokiaľ ide o vykonávanie smernice
52. |
V smernici sa nachádza množstvo ustanovení, ktoré sú formulované príliš všeobecne, čo následne ponecháva veľký priestor na odchýlky pri jej vykonávaní. V odôvodnení 9 smernice sa výslovne potvrdzuje, že členským štátom sa ponecháva určitý manévrovací priestor a že v rámci tohto priestoru by mohli pri vykonávaní smernice vzniknúť určité rozdiely. Niekoľko ustanovení zaviedli členské štáty odlišne, a to vrátene niektorých ustanovení, ktoré sú kľúčové (28). Takáto situácia nie je uspokojujúca a malo by sa vynaložiť úsilie na väčšie zbližovanie. |
53. |
Toto neznamená, že rozdiely by sa mali úplne odstrániť. V určitých oblastiach by mohla byť pružnosť potrebná, aby sa ochránili odôvodnené osobitosti, dôležité verejné záujmy alebo inštitucionálna autonómia členských štátov. Priestor na odchýlky medzi jednotlivými členskými štátmi by sa podľa európskeho dozorného úradníka pre ochranu údajov mal zúžiť predovšetkým v súvislosti s týmito osobitnými záležitosťami:
|
5.3. Oblasti pre ďalšiu harmonizáciu
54. |
Definície (článok 2 smernice 95/46/ES). Definície sú základným kameňom právneho systému a mali by sa vykladať vo všetkých členských štátoch jednotne, bez akéhokoľvek priestoru na ich rozdielne zavádzanie. V rámci súčasného právneho rámca vznikli rozdiely napríklad pri výklade pojmu prevádzkovateľ (29). Európsky dozorný úradník pre ochranu údajov navrhuje, aby sa s cieľom zabezpečiť väčšiu právnu istotu pridali do súčasného zoznamu v článku 2 ďalšie veci, ako sú anonymné údaje, pseudonymné údaje, justičné údaje, poskytovanie údajov a úradník pre ochranu údajov. |
55. |
Zákonnosť spracovania údajov (článok 5). Nový právny nástroj by mal byť čo najpresnejší, pokiaľ ide o kľúčové prvky, ktoré určujú, či je spracovanie údajov zákonné, alebo nie je. Článok 5 smernice (ako aj jej odôvodnenie 9), usmerňujúci členské štáty, aby presnejšie stanovili podmienky, za ktorých je spracovanie údajov zákonné, tak už nemusí byť v budúcom právnom rámci potrebný. |
56. |
Dôvody na spracovanie údajov (články 7 a 8). Definícia podmienok spracúvania údajov je základným prvkom akýchkoľvek právnych predpisov na ochranu údajov. Členským štátom by nemalo byť umožnené, aby dodatočne zavádzali alebo upravovali dôvody na spracovanie údajov alebo aby akékoľvek z dôvodov vypúšťali. Možnosť výnimiek by sa mala vylúčiť alebo obmedziť [predovšetkým pokiaľ ide o citlivé údaje (30)]. V novom právnom rámci by dôvody na spracovanie údajov mali byť jasne formulované, aby sa tým obmedzila voľnosť pri ich zavádzaní alebo pri presadzovaní práva. Predovšetkým bude zrejme potrebné presnejšie vymedziť pojem súhlasu (pozri časť 6.5). Navyše dôvody na základe oprávneného záujmu prevádzkovateľa údajov [článok 7 písmeno f)] umožňujú v dôsledku toho, že majú flexibilnú povahu, veľmi odlišné výklady. Potrebné je ďalšie spresnenie. Ďalšie ustanovenie, ktoré možno bude musieť byť spresnené, je článok 8 ods. 2 písm. b), kde sa umožňuje spracovanie citlivých údajov nevyhnutných na účely vykonávania záväzkov a špecifických práv prevádzkovateľa v oblasti pracovného práva (31). |
57. |
Práva dotknutých osôb (články 10 – 15). Toto je jedna z oblastí, v ktorých neboli členskými štátmi dôsledne zavedené a interpretované všetky prvky smernice. Práva dotknutých osôb sú ústredným bodom účinnej ochrany údajov. V dôsledku toho by sa tu mal manévrovací priestor podstatne zúžiť. Európsky dozorný úradník pre ochranu údajov odporúča, aby informácie, ktoré prevádzkovateľ údajov poskytuje dotknutým osobám, boli v rámci celej EÚ jednotné. |
58. |
Poskytovanie údajov medzi jednotlivými štátmi (články 25 – 26). Toto je oblasť, ktorá z dôvodu nejednotného postupu v rámci EÚ vyvolala veľmi rozsiahlu kritiku. Zainteresované strany kritizovali najmä to, že rozhodnutia Komisie v súvislosti s primeranosťou členské štáty vykladajú a vykonávajú veľmi rozdielne. Záväzné firemné pravidlá (BCR) sú ďalšou oblasťou, kde európsky dozorný úradník pre ochranu údajov odporúča väčšiu harmonizáciu (pozri kapitolu 9). |
59. |
Štátne orgány na ochranu údajov (článok 28). Orgány na ochranu údajov jednotlivých členských štátov EÚ podliehajú veľmi rozdielnym pravidlám, predovšetkým pokiaľ ide o ich štatút, zdroje a právomoci. K uvedeným rozdielom čiastočne prispel aj článok 28, pretože je dosť neurčitý (32) a mal by sa ďalej spresniť, a to v súlade s rozsudkom Európskeho súdneho dvora vo veci C-518/07 (33) (pozri ďalej kapitolu 10). |
5.4. Zjednodušenie systému oznamovania
60. |
Požiadavky na oznamovanie (články 18 – 21 smernice 95/46/ES) sú ďalšou oblasťou, v ktorej bola členským štátom doposiaľ poskytovaná značná voľnosť. V oznámení sa správne uznáva, že harmonizovaným systémom by sa znížili náklady a aj administratívna záťaž prevádzkovateľov údajov (34). |
61. |
Toto je oblasť, kde by zjednodušenie malo byť hlavným cieľom. Skúmanie právneho rámca na ochranu údajov je jedinečnou príležitosťou na ďalšie zjednodušenie súčasných požiadaviek na oznamovanie a/alebo zmenšenie ich rozsahu. V oznámení sa uznáva, že medzi zainteresovanými stranami panuje všeobecná zhoda v názore, že súčasný systém oznamovania je dosť ťažkopádny a sám osebe neprináša v súvislosti s ochranou osobných údajov jednotlivcov žiadnu pridanú hodnotu (35). Európsky dozorný úradník pre ochranu údajov teda víta záväzok Komisie preskúmať rozličné možnosti zjednodušenia súčasného systému oznamovania. |
62. |
Východiskovým bodom tohto zjednodušenia by podľa jeho názoru bol posun od systému, v ktorom je oznamovanie pravidlom, ak to nie je ustanovené inak (tzv. systém oslobodenia), k systému, ktorý by bol cielenejší. Systém oslobodenia sa ukázal byť neúčinný, keďže bol v rámci členských štátov uplatňovaný nejednotne (36). Európsky dozorný úradník pre ochranu údajov navrhuje, aby sa zvážili tieto alternatívy:
Okrem toho by sa mohol pre celú Európu zaviesť štandardný notifikačný formulár, aby sa zabezpečil harmonizovaný prístup, pokiaľ ide o požadované informácie. |
63. |
Skúmanie súčasného systému oznamovania by sa nemalo dotýkať sprísňovania povinností predbežnej kontroly v prípade určitých povinností súvisiacich so spracovaním údajov, ktoré pravdepodobne predstavujú osobitné riziká (ako napríklad rozsiahle informačné systémy). Európsky dozorný úradník pre ochranu údajov by uprednostňoval, aby sa do nového právneho rámca zahrnul nejaký orientačný zoznam prípadov, v ktorých sa takáto predbežná kontrola vyžaduje. Nariadenie (ES) č. 45/2001 o ochrane jednotlivcov so zreteľom na spracovanie osobných údajov inštitúciami a orgánmi Spoločenstva slúži na tento účel ako užitočný vzor (37). |
5.5. Nariadenie, nie smernica
64. |
Európsky dozorný úradník pre ochranu údajov sa napokon domnieva, že proces skúmania je tiež príležitosťou na prehodnotenie druhu právneho nástroja na ochranu údajov. Nariadenie, jediný nástroj, ktorý sa v členských štátoch uplatňuje priamo, je najúčinnejším prostriedkom na zabezpečenie základného práva na ochranu údajov a na vytvorenie skutočného vnútorného trhu, kde sa osobné údaje môžu voľne pohybovať a kde úroveň ich ochrany je rovnaká, bez ohľadu na krajinu alebo odvetvie, kde sa spracúvajú. |
65. |
Nariadenie by zúžilo priestor na vzájomne si odporujúce výklady a na neodôvodnené rozdiely v súvislosti s vykonávaním a uplatňovaním právnych predpisov. Okrem toho by tiež znížilo význam určovania právnych predpisov uplatniteľných na operácie spracovania údajov v rámci EÚ, čo je jedným z najkontroverznejších aspektov súčasného systému (pozri kapitolu 9). |
66. |
V oblasti ochrany údajov je nariadenie tým viac odôvodnené, že:
|
67. |
Zvolením nariadenia za všeobecný nástroj sa umožní, aby boli v prípade potreby ustanovenia adresované priamo členským štátom, kde sa vyžaduje flexibilita. Nemá to ani vplyv na právomoc členských štátov prijímať v prípade potreby v súlade s právnymi predpismi EÚ dodatočné pravidlá na ochranu údajov. |
6. Posilnenie práv jednotlivcov
6.1. Potreba posilnenia práv
68. |
Európsky dozorný úradník pre ochranu údajov v plnej miere podporuje oznámenie, pokiaľ ide o návrh posilnenia práv jednotlivcov, keďže existujúce právne nástroje úplne nezabezpečujú účinnú ochranu údajov, ktorá je v čoraz zložitejšom digitálnom svete potrebná. |
69. |
Na jednej strane vývoj digitálneho sveta znamená prudký nárast, pokiaľ ide o získavanie, využívanie a ďalší prenos osobných údajov mimoriadne zložitým a netransparentným spôsobom. Jednotlivci si často nie sú vedomí toho, resp. nerozumejú tomu, ako sa toto deje, kto zbiera ich údaje alebo ako vykonávať kontrolu. Príkladom na tento jav je monitorovanie toho, čo si jednotlivci prezerajú na internetových stránkach, prevádzkovateľmi reklamných sietí, využívanie cookies alebo podobných vecí na účely cielenej reklamy. Keď používateľ navštívi webové stránky, neočakáva, že nejaká neviditeľná tretia strana jeho návštevy registruje a vytvára si o používateľovi záznamy na základe informácií, ktoré prezrádzajú jeho životný štýl alebo to, čo má alebo nemá rád. |
70. |
Na druhej strane tento vývoj nabáda jednotlivcov, aby si aktívne vzájomne vymieňali svoje osobné informácie, napríklad v rámci sociálnych sietí. V sociálnych sieťach sa registruje a navzájom komunikuje čoraz viac mladých ľudí. Je veľmi sporné, či si (mladí) ľudia v plnej miere uvedomujú rozsah svojho odhalenia a dlhodobé účinky svojich činností. |
6.2. Zvýšenie transparentnosti
71. |
Transparentnosť má mimoriadny význam v akomkoľvek režime ochrany údajov, a to nielen pre jej vlastnú hodnotu, ale tiež preto, že umožňuje, aby sa uplatňovali aj ďalšie zásady ochrany údajov. Jednotlivec si bude schopný uplatňovať svoje práva iba vtedy, ak bude o spracovaní údajov vedieť. |
72. |
V smernici 95/46/ES sa transparentnosti týka niekoľko ustanovení. V článkoch 10 a 11 sa spomína povinnosť informovať jednotlivcov o získavaní ich osobných údajov. V článku 12 sa okrem toho uznáva právo jednotlivca dostať v zrozumiteľnej podobe kópiu jeho vlastných osobných údajov (právo na prístup k údajom). V článku 15 sa uznáva, že jednotlivec má právo poznať spôsob, na základe ktorého sa prijímajú automatizované rozhodnutia s právnymi účinkami. A v neposlednom rade obsahuje požiadavku transparentnosti aj článok 6.1 písm. a), kde sa vyžaduje, aby spracovanie údajov bolo spravodlivé. Osobné údaje sa nemôžu spracúvať na základe žiadnych skrytých alebo utajených dôvodov. |
73. |
V oznámení sa navrhuje pridať všeobecnú zásadu transparentnosti. V reakcii na tento návrh európsky dozorný úradník pre ochranu údajov zdôrazňuje, že pojem transparentnosti už je neoddeliteľnou súčasťou súčasného právneho rámca na ochranu údajov, aj keď iba implicitne. Toto je možné zistiť na základe viacerých ustanovení súvisiacich s transparentnosťou, ako sa už uvádza v predchádzajúcom odseku. Podľa európskeho dozorného úradníka pre ochranu údajov by výslovné zahrnutie zásady transparentnosti, či už v súvislosti s existujúcim ustanovením o spravodlivom spracovaní údajov, alebo nie, mohlo mať pridanú hodnotu. Zvýšila by sa tým právna istota a tiež by sa potvrdilo, že prevádzkovateľ údajov by mal transparentným spôsobom spracúvať osobné údaje za každých okolností, nielen na požiadanie, alebo keď je tak povinný urobiť na základe osobitného právneho ustanovenia. |
74. |
Dôležitejšie však možno je, aby sa posilnili existujúce ustanovenia týkajúce sa transparentnosti, ako napríklad články 10 a 11 smernice 95/46/ES. Tieto ustanovenia bližšie určujú informačné prvky, ktoré sa musia poskytnúť, ale nie sú presné, pokiaľ ide o postupy. Európsky dozorný úradník pre ochranu údajov konkrétne navrhuje posilniť existujúce ustanovenia takto:
|
6.3. Podpora povinnosti oznamovať narušenie bezpečnosti údajov
75. |
Európsky dozorný úradník pre ochranu údajov podporuje návrh, uvedený v oznámení, aby sa do všeobecného nástroja zaviedlo ustanovenie týkajúce sa oznamovania narušenia ochrany osobných údajov, čím by sa rozšírila táto povinnosť len z určitých poskytovateľov údajov, ako sa to nachádza v revidovanej smernici o elektronickom súkromí, na všetkých prevádzkovateľov údajov. Podľa revidovanej smernice o elektronickom súkromí sa povinnosť vzťahuje iba na poskytovateľov elektronických komunikačných služieb (poskytovateľov telefónnych služieb – vrátane prenosu hlasu prostredníctvom internetu – a poskytovateľov internetového pripojenia). Iných prevádzkovateľov údajov sa povinnosť netýka. Dôvody tejto povinnosti sa v plnej miere vzťahujú aj na iných prevádzkovateľov údajov, ako sú poskytovatelia elektronických komunikačných služieb. |
76. |
Oznamovanie narušenia bezpečnosti údajov slúži na rozličné účely a ciele. Najzreteľnejším z nich, ako sa zdôrazňuje v oznámení, je to, že slúži ako informačný nástroj, aby si jednotlivci uvedomovali riziká, ktorým čelia, keď sú ich osobné údaje ohrozené. Toto im môže zároveň pomáhať prijať opatrenia nevyhnutné na zmiernenie takýchto rizík. Napríklad keď sú jednotlivci varovaní o narušení týkajúcom sa ich finančných informácií, následne si budú môcť okrem iného zmeniť prístupové heslá alebo zrušiť svoje účty. Oznamovanie narušenia bezpečnosti údajov navyše prispieva k účinnému uplatňovaniu ďalších zásad a povinností, uvedených v smernici. Požiadavky oznamovania narušenia bezpečnosti údajov sú napríklad pre prevádzkovateľov údajov podnetom, aby zavádzali prísnejšie bezpečnostné opatrenia, ktoré by narušeniu zabraňovali. Narušenie bezpečnosti údajov je okrem toho tiež nástrojom zvyšovania spoľahlivosti prevádzkovateľov údajov a konkrétnejšie posilňovania ich zodpovednosti (pozri kapitolu 7). A napokon slúži ako nástroj presadzovania práva zo strany orgánov na ochranu údajov. Oznámenie narušenia bezpečnosti údajov orgánom na ochranu údajov môže viesť k vyšetrovaniu celkovej činnosti prevádzkovateľa údajov. |
77. |
O osobitných pravidlách týkajúcich sa narušenia bezpečnosti údajov v zmenenej a doplnenej smernici o elektronickom súkromí sa viedla počas parlamentnej fázy legislatívneho rámca, ktorá predchádzala prijatiu smernice o elektronickom súkromí, rozsiahla diskusia. V rámci tejto diskusie boli zohľadnené stanoviská pracovnej skupiny zriadenej podľa článku 29 a európskeho dozorného úradníka pre ochranu údajov, spoločne s názormi ďalších zainteresovaných strán. Pravidlá odrážajú názory rozličných zainteresovaných strán. Predstavujú určitú rovnováhu záujmov: kritériá, na základe ktorých je stanovená oznamovacia povinnosť, sú v podstate primerané, aby chránili jednotlivcov, a zároveň to robia tak, že neukladajú príliš náročné, neužitočné požiadavky. |
6.4. Posilňovanie súhlasu
78. |
V článku 7 smernice o ochrane údajov sa nachádza zoznam šiestich právnych základov pre spracúvanie osobných údajov. Súhlas daného jednotlivca je jedným z nich. Prevádzkovateľ údajov môže spracúvať osobné údaje v rozsahu, v ktorom mu daný jednotlivec poskytol vedomý súhlas s tým, aby boli jeho údaje zhromaždené a ďalej spracované. |
79. |
V skutočnosti majú používatelia často iba obmedzenú kontrolu nad svojimi údajmi, a to predovšetkým v technologickom prostredí. Jedným zo spôsobov, ktorý sa niekedy využíva, je tichý súhlas, čo je súhlas, ktorý sa vopred predpokladá. Môže sa vopred predpokladať na základe nejakej činnosti jednotlivca (napr. činnosť spočívajúca v používaní webovej stránky sa zároveň považuje za súhlas so zaznamenaním údajov používateľa na marketingové účely). Okrem toho sa môže predpokladať na základe mlčania alebo nečinnosti (za súhlas sa považuje neodškrtnutie zaškrtávacieho políčka). |
80. |
V súlade so smernicou môže byť platný iba súhlas, ktorý je vedomý, poskytnutý na základe slobodného rozhodnutia a výslovný. Musí tu dôjsť k vedomému vyjadreniu želania jednotlivca, ktorým dáva najavo svoj súhlas s tým, aby sa osobné údaje, ktoré sa ho týkajú, mohli spracovať. Spôsob, akým je súhlas poskytnutý, musí byť jednoznačný. |
81. |
Súhlas, ktorý sa vopred predpokladá na základe nejakej činnosti a predovšetkým mlčanlivosti alebo nečinnosti, často nebýva jednoznačným súhlasom. Nie vždy je však celkom jasné, čo tvorí skutočný, jednoznačný súhlas. Niektorí prevádzkovatelia údajov využívajú túto nejasnosť tak, že sa spoliehajú na spôsoby, ktoré nie sú na poskytovanie skutočného, jednoznačného súhlasu vhodné. |
82. |
Európsky dozorný úradník pre ochranu údajov na základe uvedených skutočností podporuje Komisiu, pokiaľ ide o potrebu spresniť hranice súhlasu a zabezpečiť, aby sa za skutočný súhlas považoval iba súhlas, ktorý je poskytnutý dostatočným spôsobom. Európsky dozorný úradník pre ochranu údajov v tejto súvislosti navrhuje, že (39):
|
6.5. Prenosnosť údajov a právo byť zabudnutý
83. |
Prenosnosť údajov a právo byť zabudnutý sú dva vzájomne súvisiace pojmy, ktoré sa v oznámení využívajú s cieľom posilniť práva dotknutých osôb. Tieto pojmy dopĺňajú zásady, ktoré sú už uvedené v smernici, a stanovujú právo dotknutej osoby namietať proti ďalšiemu spracovaniu jej osobných údajov a povinnosť prevádzkovateľa údajov vymazať informácie hneď, ako prestanú byť potrebné na účely spracovania. |
84. |
Uvedené nové dva pojmy majú najväčšiu pridanú hodnotu v kontexte informačnej spoločnosti, v ktorej sa čoraz viac údajov automaticky ukladá a uchováva na neobmedzené časové úseky. Z praxe vyplýva, že aj keď sú údaje prenášané samotnou dotknutou osobou, miera kontroly, ktorou táto osoba nad svojimi osobnými údajmi účinne disponuje, je v skutočnosti veľmi nízka. Toto platí ešte väčšmi s ohľadom na obrovskú pamäť, ktorú v súčasnosti predstavuje internet. Z hospodárskeho hľadiska je pre prevádzkovateľa údajov okrem toho nákladnejšie vymazať údaje než ich uchovávať. Uplatňovanie práv jednotlivca sa preto stavia proti prirodzeným hospodárskym záujmom. |
85. |
Prenosnosť údajov aj právo byť zabudnutý by mohli prispieť k posunutiu jazýčka na váhe v prospech dotknutej osoby. Cieľom prenosnosti údajov by bolo to, aby bola jednotlivcovi poskytnutá väčšia kontrola nad jeho údajmi, a právo byť zabudnutý by zabezpečovalo, aby sa informácie po určitom období automaticky vymazávali, a to aj bez toho, že by dotknutá osoba v tomto ohľade niečo urobila alebo by si bola dokonca vedomá, že jej údaje boli vôbec niekedy uchovávané. |
86. |
Prenosnosť údajov sa konkrétnejšie chápe ako schopnosť používateľa zmeniť prioritu, pokiaľ ide o spracovanie jeho údajov, a to predovšetkým v súvislosti s novými technologickými službami. Toto sa čoraz viac týka služieb, ktoré súvisia s uchovávaním informácií vrátane osobných údajov, ako sú napríklad telefónne služby mobilných operátorov, a služieb, prostredníctvom ktorých sa uchovávajú fotky, e-maily a ďalšie informácie, pričom sa často využívajú služby internetového oblaku. |
87. |
Jednotlivcovi musí byť umožnené, aby mohol jednoducho a slobodne zmeniť poskytovateľa služby a preniesť svoje osobné údaje k inému poskytovateľovi. Európsky dozorný úradník pre ochranu údajov sa domnieva, že existujúce práva, ustanovené v smernici 95/46/ES, by sa mohli posilniť uplatňovaním práva na prenosnosť údajov predovšetkým v súvislosti so službami informačnej spoločnosti, aby sa pomohlo zabezpečiť, že poskytovatelia služieb a ďalší príslušní prevádzkovatelia údajov umožnia jednotlivcom prístup k ich osobným informáciám, a zároveň zabezpečiť aj to, aby poskytovatelia služieb alebo ďalší prevádzkovatelia údajov po určitom období tieto informácie vymazali, a to aj keby ich chceli uchovávať na svoje vlastné legitímne účely. |
88. |
Nedávno kodifikované právo byť zabudnutý by zabezpečovalo vymazanie osobných údajov alebo zákaz ich ďalšieho využívania, a to bez potreby toho, že by v tomto ohľade dotknutá osoba niečo musela urobiť, ale pod podmienkou, že tieto údaje už boli určité obdobie uchovávané. Údajom by sa inými slovami priraďoval akýsi dátum spotreby. Táto zásada je už potvrdená v rámci vnútroštátnych súdnych sporov či uplatňovaná v určitých osobitných oblastiach, ako sú napríklad policajné spisy, registre trestov alebo disciplinárne záznamy: v súlade s právnymi predpismi niektorých členských štátov sú informácie o jednotlivcoch automaticky vymazávané alebo sa ďalej nevyužívajú ani nešíria, a to predovšetkým po stanovenom období a bez potreby toho, aby vymazaniu predchádzala analýza každého konkrétneho prípadu. |
89. |
V tomto zmysle by nové právo byť zabudnutý malo súvisieť s prenosnosťou údajov. Pridaná hodnota, ktorú by právo byť zabudnutý prinášalo, spočíva v tom, že dotknutá osoba by v súvislosti s vymazaním jej údajov nemusela nič urobiť ani vyžadovať, keďže k vymazaniu by malo dôjsť objektívne a automaticky. Poskytovateľ údajov by mohol mať nárok na uchovávanie údajov iba v prípade mimoriadnych okolností, keď by sa mohla preukázať osobitná potreba uchovávať údaje dlhšie. Právo byť zabudnutý by tak v súvislosti so spracovaním osobných údajov prenášalo dôkazné bremeno z jednotlivca na prevádzkovateľa údajov a stanovilo by nastavenie štandardnej ochrany súkromia. |
90. |
Európsky dozorný úradník pre ochranu údajov sa domnieva, že právo byť zabudnutý by sa mohlo ukázať ako užitočné predovšetkým v súvislosti so službami informačnej spoločnosti. Povinnosť vymazať alebo ďalej nešíriť informácie po určitom stanovenom období má zmysel najmä v oblasti masmédií alebo internetu, predovšetkým sociálnych sietí. Toto by mohlo byť prospešné aj čo sa týka koncových zariadení: údaje ukladané v mobilných zariadeniach alebo v počítačoch, ktoré by už neboli vo vlastníctve daného jednotlivca, by boli po stanovenom období automaticky vymazávané alebo blokované. V tomto zmysle možno právo byť zabudnutý spájať aj s povinnosťou ochrany súkromia už v štádiu návrhu príslušných technológií. |
91. |
Stručne povedané, európsky dozorný úradník pre ochranu údajov sa domnieva, že prenosnosť údajov i právo byť zabudnutý sú užitočné koncepcie. Zahrnúť ich do právneho nástroja by mohlo byť prospešné, ale ich využitie by sa malo pravdepodobne obmedziť iba na elektronické prostredie. |
6.6. Spracovanie osobných údajov týkajúcich sa detí
92. |
V smernici 95/46/ES sa nenachádzajú žiadne osobitné pravidlá týkajúce sa spracúvania osobných údajov detí. Nepopisuje sa tu potreba osobitnej ochrany detí za určitých okolností v dôsledku ich zraniteľnosti, pretože to vyvoláva právnu neistotu, a to predovšetkým v týchto oblastiach:
|
93. |
Európsky dozorný úradník pre ochranu údajov sa domnieva, že ak by sa v novom právnom nástroji nachádzali dodatočné ustanovenia, ktoré by sa osobitne týkali zhromažďovania a ďalšieho spracovania údajov detí, špecifické záujmy detí by boli chránené lepšie. Príslušné osobitné ustanovenia by v tejto osobitnej oblasti okrem toho poskytovali právnu istotu a boli by užitočné pre prevádzkovateľov údajov, na ktorých sa v súčasnosti vzťahujú rozličné právne požiadavky. |
94. |
Európsky dozorný úradník pre ochranu údajov navrhuje, aby sa do právneho nástroja zahrnuli tieto ustanovenia:
|
6.7. Mechanizmy kolektívneho odškodnenia
95. |
Posilnenie podstaty práv jednotlivcov by bolo zbytočné, ak by neexistovali účinné procedurálne mechanizmy na presadzovanie týchto práv. V tejto súvislosti európsky dozorný úradník pre ochranu údajov odporúča, aby sa do právnych predpisov EÚ zaviedli mechanizmy kolektívneho odškodnenia za porušenie pravidiel týkajúcich sa ochrany údajov. Mechanizmy kolektívneho odškodnenia, ktoré umožňujú skupinám občanov spojiť ich žaloby do žaloby jedinej, by mohli predovšetkým predstavovať veľmi účinný nástroj, čo by uľahčoval presadzovanie pravidiel týkajúcich sa ochrany údajov. (42) Túto inováciu podporujú tiež orgány na ochranu údajov v dokumente pracovných skupín o budúcnosti ochrany súkromia. |
96. |
V prípadoch s menším dosahom je vzhľadom na náklady, prieťahy, neistoty, riziká a záťaže, ktorým by obete porušenia pravidiel týkajúcich sa ochrany osobných údajov boli vystavené, nepravdepodobné, že by tieto podali na prevádzkovateľov údajov svoje jednotlivé žaloby. Uvedené ťažkosti by bolo možné prekonať alebo podstatne zmierniť, ak by existoval systém kolektívneho odškodnenia, ktorý by umožňoval obetiam porušenia pravidiel spojiť ich individuálne žaloby do žaloby jedinej. Európsky dozorný úradník pre ochranu údajov by sa okrem toho prikláňal k tomu, aby na podávanie žalôb v mene obetí narušenia ochrany údajov boli splnomocnené určité kvalifikované subjekty, ako sú napríklad spotrebiteľské organizácie alebo verejné orgány. Hromadné žaloby by mali byť umožnené bez toho, aby bolo dotknuté právo jednotlivých osôb podávať individuálne žaloby. |
97. |
Hromadné žaloby nie sú dôležité len na zabezpečenie plnej náhrady škody alebo iného opravného opatrenia; nepriamo tiež plnia odstrašujúcu funkciu. Riziko spôsobenia obrovských škôd, nahromadených v takýchto žalobách, by bolo výraznejším podnetom pre prevádzkovateľov údajov, aby účinne zabezpečovali dodržiavanie pravidiel. V tomto ohľade by posilnené presadzovanie práva súkromnými osobami prostredníctvom mechanizmov kolektívneho odškodnenia dopĺňalo presadzovanie práva verejnými orgánmi. |
98. |
V oznámení sa v súvislosti s touto témou nezaujíma žiadne stanovisko. Európsky dozorný úradník pre ochranu údajov vie o prebiehajúcej diskusii na európskej úrovni o zavedení kolektívneho uplatňovania nárokov spotrebiteľov na nápravu. Rovnako si je vedomý nebezpečenstva, že tieto mechanizmy môžu spôsobiť určité vybočenie z medzí, pokiaľ ide o ich praktické uplatňovanie v iných právnych systémoch. Tieto činitele však podľa jeho názoru nie sú dostatočnými argumentmi na odmietnutie alebo odloženie zavedenia uvedených mechanizmov do právnych predpisov na ochranu údajov, a to vzhľadom na výhody, ktoré by mechanizmy so sebou priniesli (43). |
7. Posilnenie úlohy organizácií/prevádzkovateľov údajov
7.1. Všeobecné
99. |
Európsky dozorný úradník pre ochranu údajov sa domnieva, že okrem prostriedkov na posilnenie práv jednotlivcov musí moderný právny nástroj na ochranu údajov obsahovať tiež prostriedky, ktoré sú potrebné na zvýšenie zodpovednosti prevádzkovateľov údajov. Právny rámec musí konkrétnejšie obsahovať určité podnety, aby prevádzkovatelia údajov v súkromnom alebo verejnom sektore aktívne zapájali opatrenia na ochranu údajov do svojich obchodných postupov. Takéto nástroje by boli užitočné v prvom rade preto, že technický pokrok, ako už bolo povedané vyššie, má za následok prudký nárast, pokiaľ ide o získavanie, využívanie a ďalší prenos osobných údajov, čo zvyšuje v súvislosti s ochranou súkromia a osobných údajov jednotlivcov riziká, ktoré by sa mali účinným spôsobom kompenzovať. Súčasný právny rámec v druhom rade nemá – okrem niekoľkých presne určených ustanovení (pozri nižšie) – takéto nástroje k dispozícii a prevádzkovatelia údajov môžu k ochrane údajov a súkromia zaujať reaktívny postoj a konať až vtedy, keď sa vyskytne nejaký problém. Takýto prístup sa odráža v štatistikách, ktoré ukazujú, že nedostatočná snaha o dodržiavanie predpisov a strata údajov sú neustále sa opakujúce problémy. |
100. |
Na to, aby sa zaistila účinná ochrana osobných údajov v súčasných i budúcich podmienkach, existujúci právny rámec podľa európskeho dozorného úradníka pre ochranu údajov nestačí. Čím väčšie je nebezpečenstvo, tým väčšia je potreba vykonávať konkrétne opatrenia, ktoré chránia informácie na praktickej úrovni a zabezpečujú účinnú ochranu. Ak sa takéto aktívne opatrenia v skutočnosti nevykonávajú, pravdepodobne naďalej dochádza k chybám, nehodám a nedbalosti, pričom je ohrozené súkromie jednotlivcov v tejto čoraz viac digitálnej spoločnosti. Na to, aby sa dosiahla účinná ochrana, európsky dozorný úradník pre ochranu údajov navrhuje nasledovné opatrenia. |
7.2. Posilnenie zodpovednosti prevádzkovateľov údajov
101. |
Európsky dozorný úradník pre ochranu údajov odporúča, aby sa do právneho nástroja vložilo nové ustanovenie, na základe ktorého by sa vyžadovalo, aby prevádzkovatelia údajov vykonávali vhodné a účinné opatrenia s cieľom uplatňovať zásady a plniť povinnosti uvedené v právnom nástroji a aby toto na požiadanie preukázali. |
102. |
Takýto druh ustanovenia by nebol celkom nový. V článku 6 ods. 2 smernice 95/46/ES sa upozorňuje na zásady týkajúce sa kvality údajov a uvádza sa, že „Úlohou prevádzkovateľa je zaistiť dodržiavanie odseku 1“. V článku 17 ods. 1 sa podobne požaduje, aby prevádzkovatelia údajov vykonávali opatrenia, a to technickej aj organizačnej povahy. Tieto ustanovenia majú však len obmedzený rozsah platnosti. Vloženie všeobecného ustanovenia týkajúceho sa zodpovednosti by bolo podnetom pre prevádzkovateľov údajov, aby vykonávali aktívne opatrenia s cieľom dodržiavať všetky prvky právnych predpisov na ochranu údajov. |
103. |
Ustanovenie týkajúce sa zodpovednosti by malo za následok, že od prevádzkovateľov údajov by sa požadovalo zavedenie interných mechanizmov a kontrolných systémov, ktoré by zabezpečovali dodržiavanie zásad a povinností právneho rámca. Toto by napríklad vyžadovalo zapojenie vrcholového manažmentu do politík týkajúcich sa ochrany údajov, mapovanie postupov na zabezpečenie riadnej identifikácie všetkých operácií spracovania údajov, záväznosť politík týkajúcich sa ochrany údajov, ktoré by sa okrem toho mali neustále posudzovať a aktualizovať, aby reagovali na nové operácie spracovania údajov, pričom by sa dodržiavali zásady kvality údajov, oznamovania, bezpečnosti, prístupu atď. Vyžadovalo by to tiež, aby si prevádzkovatelia údajov viedli záznamy s cieľom preukázať na požiadanie orgánov dodržiavanie pravidiel. Okrem toho by malo byť v určitých prípadoch povinné poskytovať všeobecný dôkaz dodržiavania pravidiel verejnosti. Toto by sa mohlo uskutočňovať napríklad tak, že by sa od prevádzkovateľov údajov požadovalo zahrnúť tému ochrany údajov do verejných (výročných) správ, ak sú takéto správy povinní podávať na základe niečoho iného. |
104. |
Interné a externé opatrenia, ktoré sa majú vykonať, musia byť, samozrejme, primerané a závislé od skutočností a okolností každého jednotlivého prípadu. Treba rozlišovať, či prevádzkovateľ údajov spracúva niekoľko stoviek záznamov o zákazníkoch, ktoré pozostávajú iba z mien a adries, alebo spracúva záznamy miliónov pacientov, a to vrátane ich všetkých chorobopisov. To isté platí aj pre osobitné spôsoby, ktorými sa musí hodnotiť účinnosť opatrení. Potrebné je, aby sa dali odstupňovať. |
105. |
Všeobecný, komplexný právny nástroj na ochranu údajov by nemal ustanoviť osobitné požiadavky, pokiaľ ide o zodpovednosť, ale iba jej podstatné prvky. V oznámení sa predpokladajú určité prvky týkajúce sa posilnenia zodpovednosti prevádzkovateľov údajov, ktoré sú veľmi vítané. Európsky dozorný úradník pre ochranu údajov predovšetkým v plnej miere podporuje, aby sa za určitých hraničných podmienok stanovila povinnosť vymenovania úradníkov pre ochranu údajov a vypracovania hodnotení vplyvu na ochranu súkromia. |
106. |
Európsky dozorný úradník pre ochranu údajov okrem toho odporúča, aby sa v súlade s článkom 290 Zmluvy o fungovaní Európskej únie udelila Komisii právomoc doplniť základné požiadavky nevyhnutné na splnenie noriem zodpovednosti. Takouto právomocou by sa zväčšila právna istota prevádzkovateľov údajov a zlepšila harmonizácia dodržiavania pravidiel v rámci EÚ. Pri vytváraní takýchto osobitných nástrojov by sa mali viesť konzultácie s pracovnou skupinou zriadenou podľa článku 29 i s európskym dozorným úradníkom pre ochranu údajov. |
107. |
Konkrétne opatrenia týkajúce sa zodpovednosti, ktoré majú prevádzkovatelia údajov vykonať, by im napokon mohli nariadiť tiež orgány na ochranu údajov v rámci svojich právomocí presadzovať právo. Aby sa toto dalo realizovať, orgánom na ochranu údajov by mali byť poskytnuté nové právomoci, ktoré by im umožňovali ukladať opravné opatrenia alebo sankcie. Medzi príklady by malo patriť vytváranie interných programov dodržiavania pravidiel, aby sa v rámci určitých produktov a služieb uplatňovala ochrana súkromia už v štádiu návrhu príslušných technológií, a podobne. Opravné opatrenia by sa mali nariadiť iba vtedy, ak sú zodpovedajúce, primerané a účinné, aby sa zabezpečil súlad s uplatniteľnými a vymáhateľnými právnymi normami. |
7.3. Ochrana súkromia už v štádiu návrhu príslušných technológií
108. |
Ochrana súkromia už v štádiu návrhu príslušných technológií znamená začleňovanie ochrany údajov a súkromia od úplného začiatku nových produktov, služieb a postupov, ktoré sa týkajú spracovania osobných údajov. Podľa európskeho dozorného úradníka pre ochranu údajov je ochrana súkromia už v štádiu návrhu príslušných technológií jedným z prvkov zodpovednosti. V súlade s tým by sa od prevádzkovateľov údajov v prípade potreby tiež vyžadovalo, aby preukázali, že ochranu súkromia už v štádiu návrhu príslušných technológií zaviedli. V rámci 32. medzinárodnej konferencie komisárov pre ochranu údajov a súkromia, ktorá sa konala nedávno, bolo vydané uznesenie, kde sa uznáva, že ochrana súkromia už v štádiu návrhu príslušných technológií je neodmysliteľnou súčasťou základnej ochrany súkromia (44). |
109. |
V smernici 95/46/ES sa nachádza niekoľko ustanovení, ktoré ochranu súkromia už v štádiu návrhu príslušných technológií podporujú (45), aj keď sa v smernici povinnosť takejto ochrany výslovne neuvádza. Európsky dozorný úradník pre ochranu údajov je s podporou ochrany súkromia už v štádiu návrhu príslušných technológií ako nástrojom na zabezpečenie súladu s pravidlami týkajúcimi sa ochrany údajov, vyplývajúcou z oznámenia, spokojný. Navrhuje zahrnúť záväzné ustanovenie, v ktorom by sa uvádzala povinnosť ochrany súkromia už v štádiu návrhu príslušných technológií a ktoré by mohlo vychádzať zo znenia odôvodnenia 46 smernice 95/46/ES. V ustanovení by sa konkrétnejšie výslovne vyžadovalo, aby prevádzkovatelia údajov, predovšetkým s cieľom zabezpečiť ochranu osobných údajov a zabrániť akémukoľvek neoprávnenému spracovaniu údajov, vykonávali technické a organizačné opatrenia, a to jednak v štádiu návrhu systému spracovania údajov, jednak v štádiu samotného spracovania údajov (46). |
110. |
Na základe takéhoto ustanovenia by boli prevádzkovatelia údajov okrem iného povinní zabezpečiť, aby systémy spracovania údajov boli navrhnuté tak, aby spracúvali tak málo osobných údajov, ako je len možné, aby zaviedli nastavenie štandardnej ochrany súkromia, napríklad pokiaľ ide o sociálne siete, aby uchovávali profily jednotlivcov spôsobom, že sa k nim nikto iný nedostane, a aby zaviedli nástroje, ktoré by používateľom umožňovali lepšie chrániť ich osobné údaje (napr. kontrola prístupu k údajom, šifrovanie). |
111. |
Výhody jednoznačnejších ustanovení týkajúcich sa ochrany súkromia už v štádiu návrhu príslušných technológií možno zhrnúť takto:
|
112. |
Kombinovaný účinok tejto povinnosti by mal za následok väčší dopyt po produktoch a službách ochrany súkromia už v štádiu návrhu príslušných technológií, čo by malo byť silnejším podnetom pre priemysel, aby tento dopyt uspokojoval. Malo by sa navyše zvážiť zavedenie nejakej samostatnej povinnosti pre návrhárov a výrobcov nových produktov a služieb, ktoré môžu mať určitý dosah na ochranu údajov a súkromia. Európsky dozorný úradník pre ochranu údajov navrhuje zahrnúť takúto samostatnú povinnosť, ktorá by naďalej umožňovala prevádzkovateľom údajov plniť si ich vlastné povinnosti. |
113. |
Kodifikácia ochrany súkromia už v štádiu návrhu príslušných technológií by mohla byť doplnená ustanovením, kde by sa uvádzali všeobecné požiadavky na ochranu súkromia už v štádiu návrhu príslušných technológií, ktoré by boli uplatniteľné v súvislosti s jednotlivými odvetviami, produktmi a službami, ako je napríklad zabezpečenie opatrení týkajúcich sa posilnenia práv používateľa, ktoré sa prijmú v súlade s danou zásadou. |
114. |
Európsky dozorný úradník pre ochranu údajov okrem toho odporúča, aby sa v prípade potreby v súlade s článkom 290 Zmluvy o fungovaní Európskej únie udelila Komisii právomoc doplniť základné požiadavky na ochranu súkromia už v štádiu návrhu príslušných technológií, pokiaľ ide o vybraté produkty a služby. Takouto právomocou by sa zväčšila právna istota prevádzkovateľov údajov a zlepšila harmonizácia dodržiavania pravidiel v rámci EÚ. Pri vytváraní takýchto osobitných nástrojov by sa mali viesť konzultácie s pracovnou skupinou zriadenou podľa článku 29 i s európskym dozorným úradníkom pre ochranu údajov (pozri v tom istom zmysle aj bod 106 týkajúci sa zodpovednosti). |
115. |
Orgánom na ochranu údajov by sa napokon mala udeliť právomoc ukladať opravné opatrenia alebo sankcie, a to za podobných obmedzujúcich podmienok, ako sú tie, čo sa uvádzajú v bode 107, keď prevádzkovatelia údajov jednoznačne nedokážu uskutočniť konkrétne opatrenia v prípadoch, v ktorých sa to vyžaduje. |
7.4. Certifikačné služby
116. |
V oznámení sa uznáva potreba preskúmania možností na vytvorenie certifikačných schém EÚ pre produkty a služby, ktoré spĺňajú požiadavky na ochranu súkromia. Európsky dozorný úradník pre ochranu údajov tento cieľ v plnej miere podporuje a navrhuje zahrnutie ustanovenia, ktoré zabezpečí ich vytvorenie a ich možný dosah v rámci celej EÚ, pričom toto sa môže v dodatočných právnych predpisoch neskôr ďalej rozvíjať. Ustanovenie by malo dopĺňať ustanovenia týkajúce sa zodpovednosti a ochrany súkromia už v štádiu návrhu príslušných technológií. |
117. |
Dobrovoľné certifikačné schémy by umožňovali overenie toho, či prevádzkovateľ údajov prijal opatrenia potrebné na dosiahnutie súladu s právnym nástrojom. Prevádzkovatelia údajov, alebo dokonca produkty či služby, ktoré by mali právo používať certifikačnú značku, by okrem toho pravdepodobne získali v porovnaní s ostatnými konkurenčnú výhodu. Takéto schémy by navyše pomohli orgánom na ochranu údajov v súvislosti s ich úlohou dozoru a presadzovania práva. |
8. Globalizácia a uplatniteľné právne predpisy
8.1. Jednoznačná potreba dôslednejšej ochrany údajov
118. |
Ako už bolo uvedené v kapitole 2, prenos osobných údajov za hranice EÚ sa v dôsledku rozvoja nových technológií, úlohy nadnárodných spoločností a zvýšeného vplyvu vlád na spracovanie a vzájomné vymieňanie osobných údajov na medzinárodnej úrovni nepredstaviteľne zvýšil. Toto je jedným z hlavných dôvodov na revíziu súčasného právneho rámca. A v dôsledku toho je toto jednou z oblastí, kde európsky dozorný úradník pre ochranu údajov žiada ambicióznosť a účinnosť, pretože potreba dôslednejšej ochrany údajov v prípadoch, keď sa údaje spracúvajú mimo EÚ, je jednoznačná. |
8.2. Investovanie do medzinárodných pravidiel
119. |
Podľa európskeho dozorného úradníka na ochranu údajov sú v súvislosti s vytváraním medzinárodných pravidiel potrebné väčšie investície. Väčšia harmonizácia jednotlivých krajín sveta, pokiaľ ide o úroveň ochrany osobných údajov, by značne objasnila podstatu zásad, ktoré sa majú dodržiavať, a podmienok prenosu údajov. Takéto celosvetové pravidlá by museli zladiť požiadavku vysokej úrovne ochrany údajov – vrátane základných prvkov ochrany údajov v EÚ – s regionálnymi osobitosťami. |
120. |
Európsky dozorný úradník pre ochranu údajov podporuje ambicióznu prácu, ktorá sa doposiaľ vykonala v rámci medzinárodnej konferencie komisárov pre ochranu údajov, pokiaľ ide o rozvíjanie a šírenie takzvaných madridských noriem, s ohľadom na ich začlenenie do nejakého záväzného nástroja a možné zvolanie medzivládnej konferencie (47). Vyzýva Komisiu, aby vyvinula iniciatívu potrebnú na umožnenie realizácie tohto cieľa. |
121. |
Podľa názoru európskeho dozorného úradníka pre ochranu údajov je okrem toho dôležité tiež zabezpečiť súdržnosť medzi touto iniciatívou týkajúcou sa medzinárodných noriem, súčasným skúmaním právneho rámca EÚ na ochranu údajov a ďalšími činnosťami, ako je napríklad súčasná revízia usmernení týkajúcich sa ochrany súkromia organizácie OECD či dohovoru č. 108 Rady Európy, ktorá je pripravená na podpis tretích krajín (pozri tiež bod 17). Európsky dozorný úradník pre ochranu údajov sa domnieva, že Komisia tu musí zohrať osobitnú úlohu pri stanovení toho, akým spôsobom takúto súdržnosť v rámci rokovaní v organizácii OECD a v Rade Európy podporovať. |
8.3. Objasnenie kritérií na určenie uplatniteľných právnych predpisov
122. |
Keďže úplnú súdržnosť ľahko dosiahnuť nemožno, prinajmenšom v blízkej budúcnosti zostanú určité rozdiely medzi právnymi predpismi jednotlivých členských štátov EÚ a tým skôr medzi právnymi predpismi štátov za hranicami EÚ. Európsky dozorný úradník pre ochranu údajov sa domnieva, že nový právny nástroj bude musieť objasniť kritériá na určenie uplatniteľných právnych predpisov a zabezpečiť zjednodušené mechanizmy toku údajov, ako aj zodpovednosť subjektov zahrnutých do toku údajov. |
123. |
Právny nástroj by mal v prvom rade zabezpečiť, aby sa uplatňovali právne predpisy EÚ vtedy, keď sú síce osobné údaje spracované za hranicami EÚ, ale existuje odôvodnený nárok právne predpisy EÚ uplatňovať. Príkladom toho, prečo je toto potrebné, môžu byť služby internetového oblaku poskytovateľov sídliacich mimo Európy, ktoré sú však určené pre obyvateľov EÚ. V prostredí, v ktorom údaje nie sú fyzicky uchovávané a spracúvané na nejakom pevnom mieste, kde poskytovatelia a používatelia služieb sídliaci v rozličných krajinách zasahujú do údajov vzájomne sa prelínajúcim spôsobom, je veľmi ťažké zistiť, kto je zodpovedný za dodržiavanie zásad ochrany údajov a aké zásady ochrany údajov sa majú uplatňovať. Existuje usmernenie, predovšetkým zo strany orgánov na ochranu údajov, ako v takýchto prípadoch vykladať a uplatňovať smernicu 95/46, ale samotné usmernenie na zabezpečenie právnej istoty v tomto novom prostredí nestačí. |
124. |
Potrebu väčšej presnosti v právnom rámci a zjednodušenia kritérií na určenie uplatniteľných právnych predpisov na území EÚ zdôraznila pracovná skupiny zriadená podľa článku 29 vo svojom nedávnom stanovisku (48). |
125. |
Podľa európskeho dozorného úradníka pre ochranu údajov by zrejme najlepším riešením bolo ustanoviť právny rámec v nariadení, čo by malo za následok rovnaké pravidlá, uplatniteľné vo všetkých členských štátoch. Potreba určenia uplatniteľných právnych predpisov by sa nariadením stala menej dôležitou. Toto je jedným z dôvodov, prečo európsky dozorný úradník pre ochranu údajov jednoznačne uprednostňuje prijatie nariadenia. Ale aj nariadenie by mohlo členským štátom ponechať určitý manévrovací priestor. Ak sa im v novom nástroji ponechá nejaký významnejší manévrovací priestor, európsky dozorný úradník pre ochranu údajov by podporoval návrh pracovnej skupiny, aby sa prešlo od individuálneho uplatňovania rozličných právnych predpisov jednotlivých členských štátov k centralizovanému uplatňovaniu jednotných právnych predpisov vo všetkých členských štátoch, v ktorých má daný prevádzkovateľ údajov prevádzkové zariadenia. Okrem toho tiež žiada o lepšiu spoluprácu a koordináciu medzi orgánmi na ochranu údajov v medzinárodných prípadoch a sťažnostiach (pozri kapitolu 10). |
8.4. Zjednodušené mechanizmy toku údajov
126. |
Potreba súdržnosti a náročných kritérií sa musí brať do úvahy nielen s ohľadom na globálne zásady ochrany údajov, ale aj s ohľadom na prenos údajov z jednej krajiny do druhej. Európsky dozorný úradník pre ochranu údajov v plnej miere podporuje cieľ Komisie zjednodušiť súčasné postupy týkajúce sa prenosu údajov z jednej krajiny do druhej a zabezpečiť jednotnejší a ucelenejší prístup voči tretím krajinám a medzinárodným organizáciám. |
127. |
Mechanizmus toku údajov zahŕňa aj prenos údajov v rámci súkromného sektora, predovšetkým prostredníctvom zmluvných doložiek alebo záväzných firemných pravidiel (BCR), aj prenos údajov medzi verejnými orgánmi. Záväzné firemné pravidlá sú jednou z vecí, kde by bol súdržnejší a jednoduchší prístup vhodný. Európsky dozorný úradník pre ochranu údajov odporúča, aby sa v novom právnom nástroji pre záväzné firemné pravidlá explicitne určili podmienky (49), konkrétne aby sa:
|
9. Oblasť polície a súdnictva
9.1. Všeobecný nástroj
128. |
Komisia opakovane zdôrazňuje dôležitosť posilnenia ochrany údajov v súvislosti s presadzovaním práva a predchádzaním trestnej činnosti, čo sú oblasti, v ktorých sa výmena a využívanie osobných informácií významne zintenzívnili. Rovnako Štokholmský program, ktorý schválila Európska rada, upozorňuje na kvalitný režim ochrany údajov ako na základný predpoklad stratégie riadenia informácií Európskej únie v tejto oblasti (50). |
129. |
Skúmanie všeobecného právneho rámca na ochranu údajov je výbornou príležitosťou na pokrok v tejto záležitosti, predovšetkým preto, že v oznámení sa správne opisuje rámcové rozhodnutie 2008/977 ako nedostatočné (51). |
130. |
Európsky dozorný úradník pre ochranu údajov v časti 3.2.5 tohto stanoviska uviedol dôvody, prečo by sa do všeobecného nástroja mala zahrnúť oblasť policajnej a justičnej spolupráce. Začlenenie polície a súdnictva má množstvo dodatočných výhod. Znamenalo by to, že pravidlá by sa už neuplatňovali iba v prípade cezhraničnej výmeny údajov (52), ale tiež v prípade spracúvania údajov v rámci jednotlivých štátov. Bola by vo väčšej miere zaručená primeraná ochrana osobných údajov pri ich výmene s tretími krajinami, a to aj s ohľadom na medzinárodné dohody. Orgány na ochranu údajov by mali navyše rovnako rozsiahle a harmonizované právomoci voči policajným a justičným orgánom ako majú voči ďalším prevádzkovateľom údajov. A napokon súčasný článok 13, ktorý v prípade špecifických verejných záujmov udeľuje členským štátom právomoc prijímať osobitné právne predpisy obmedzujúce povinnosti a práva v rámci všeobecného nástroja, by musel byť uplatňovaný tým istým obmedzujúcim spôsobom, ako sa uplatňuje v iných oblastiach. Predovšetkým by sa osobitné záruky, poskytnuté v tejto oblasti v rámci všeobecného nástroja, museli rešpektovať aj v právnych predpisoch jednotlivých štátov, prijatých v oblasti policajnej a justičnej spolupráce. |
9.2. Ďalšie osobitné pravidlá pre políciu a súdnictvo
131. |
Uvedené zahrnutie však nevylučuje osobitné pravidlá a výnimky, ktoré náležite zohľadňujú osobitosti tejto oblasti, a to v súlade s vyhlásením 21, pripojeným k Lisabonskej zmluve. S obmedzením práv dotknutých osôb sa môže počítať, ale obmedzenie musí byť nevyhnutné, primerané a nesmie meniť podstatné prvky práva samotného. V tejto súvislosti by sa malo zdôrazniť, že smernica 95/46/ES, a to vrátane jej článku 13, sa v súčasnosti používa na presadzovanie práva v rozličných oblastiach (napr. daňovej, colnej, proti podvodom), ktoré nie sú v zásade veľmi odlišné od mnohých oblastí činnosti polície a súdnictva. |
132. |
Okrem toho je tiež potrebné poskytnúť osobitné záruky s cieľom odškodniť dotknutú osobu tým, že sa jej zabezpečí dodatočná ochrana v oblasti, kde môže spracovanie osobných údajov vo väčšej miere zasahovať do jej súkromia. |
133. |
Vzhľadom na uvedené skutočnosti sa európsky dozorný úradník pre ochranu údajov domnieva, že nový právny rámec by mal v súlade s dohovorom č. 108 a odporúčaním R (87) 15 obsahovať prinajmenšom tieto prvky:
|
9.3. Sektorové režimy ochrany údajov
134. |
V oznámení sa uvádza, že „sa týmto rámcovým rozhodnutím nenahrádzajú najrôznejšie sektorové legislatívne nástroje v oblasti policajnej a justičnej spolupráce v trestných veciach, ktoré boli prijaté na úrovni EÚ, najmä tie, ktorými sa riadi fungovanie Europolu, Eurojustu, Schengenského informačného systému (SIS) a Colného informačného systému (CIS). Tieto legislatívne nástroje buď obsahujú osobitné režimy ochrany údajov a/alebo zvyčajne uvádzajú odkaz na nástroje Rady Európy v oblasti ochrany údajov“. |
135. |
Podľa názoru európskeho dozorného úradníka pre ochranu údajov by nový právny rámec mal byť čo možno najjasnejší, najjednoduchší a najdôslednejší. Tam, kde sa uplatňuje viacero rozličných režimov, napríklad v prípade Europolu, Eurojustu, Schengenského informačného systému a Prümskej zmluvy, dodržiavanie pravidiel ostáva zložité alebo sa dokonca stáva ešte zložitejšie. Toto je jedným z dôvodov, prečo európsky dozorný úradník pre ochranu údajov uprednostňuje komplexný právny nástroj pre všetky sektory. |
136. |
Európsky dozorný úradník pre ochranu údajov si však uvedomuje, že zladenie pravidiel z rozličných systémov si bude vyžadovať značné množstvo práce, ktorá sa bude musieť starostlivo vykonať. Európsky dozorný úradník pre ochranu údajov sa domnieva, že postupný proces, ktorý sa uvádza v oznámení, má zmysel, ak záväzok zabezpečiť vysokú úroveň ochrany údajov dôsledným a účinným spôsobom zostane jasný a zrejmý. Konkrétnejšie:
|
10. Orgány na ochranu údajov a spolupráca medzi týmito orgánmi
10.1. Posilnenie úlohy orgánov na ochranu údajov
137. |
Európsky dozorný úradník pre ochranu údajov v plnej miere podporuje cieľ Komisie riešiť otázku štatútu orgánov na ochranu údajov (DPA) a konkrétnejšie posilniť ich nezávislosť, zdroje a právomoci presadzovať právo. |
138. |
Európsky dozorný úradník pre ochranu údajov okrem toho trvá na potrebe objasniť v novom právnom nástroji kľúčový pojem nezávislosti orgánov na ochranu údajov. Európsky súdny dvor nedávno prijal v súvislosti s touto otázkou rozhodnutie vo veci C-518/07 (54), v ktorom zdôraznil, že nezávislosť znamená neprítomnosť akéhokoľvek vonkajšieho vplyvu. Orgán na ochranu údajov nesmie požadovať ani prijímať pokyny od nikoho. Európsky dozorný úradník pre ochranu údajov navrhuje, aby sa takéto poňatie nezávislosti v právnych predpisoch výslovne kodifikovalo. |
139. |
Aby si orgány na ochranu údajov mohli plniť svoje úlohy, musia sa im poskytnúť dostatočné ľudské a finančné zdroje. Európsky dozorný úradník pre ochranu údajov navrhuje zahrnúť túto požiadavku do právnych predpisov (55). A napokon zdôrazňuje potrebu overenia toho, či boli právomoci orgánov v plnej miere harmonizované, pokiaľ ide o vyšetrovanie a ukladanie dostatočne odradzujúcich a opravných opatrení a sankcií. Toto by zväčšilo právnu istotu dotknutých osôb i prevádzkovateľov údajov. |
140. |
Posilnenie nezávislosti, zdrojov a právomocí orgánov na ochranu údajov by malo úzko súvisieť s posilnenou mnohostrannou spoluprácou, a to predovšetkým s ohľadom na rastúci počet otázok týkajúcich sa ochrany údajov na európskej úrovni. Hlavnou základňou, ktorá by sa v rámci tejto spolupráce mala využívať, je jednoznačne pracovná skupina zriadená podľa článku 29. |
10.2. Posilnenie úlohy pracovnej skupiny
141. |
Minulosť ukazuje, že činnosť skupiny sa od jej začiatkov v roku 1997 až podnes vyvíja. Smeruje k čoraz väčšej nezávislosti a už ju v skutočnosti nemožno považovať za obyčajnú poradnú pracovnú skupinu Komisie. Európsky dozorný úradník pre ochranu údajov navrhuje ďalšie zlepšenia činnosti pracovnej skupiny, a to vrátane jej infraštruktúry a jej nezávislosti. |
142. |
Európsky dozorný úradník pre ochranu údajov je presvedčený, že sila skupiny v skutočnosti spočíva v nezávislosti a právomociach jej členov. Nezávislosť pracovnej skupiny by sa mala v novom právnom rámci zabezpečiť v súlade s kritériami úplnej nezávislosti orgánov na ochranu údajov, stanovenými Európskym súdnym dvorom vo veci C-518/07. Európsky dozorný úradník pre ochranu údajov sa domnieva, že pracovnej skupine by sa s cieľom podporiť jej činnosť okrem toho mali poskytnúť aj dostatočné zdroje a finančné prostriedky a mal by sa posilniť jej sekretariát. |
143. |
Pokiaľ ide o sekretariát pracovnej skupiny, európsky dozorný úradník pre ochranu údajov oceňuje skutočnosť, že je tento súčasťou oddelenia pre ochranu údajov GR pre spravodlivosť, čo prináša výhodu toho, že samotná pracovná skupina môže využívať účinné a flexibilné kontakty a najnovšie informácie o pokroku v oblasti ochrany údajov. Na druhej strane má pochybnosti v súvislosti s tým, že Komisia (konkrétnejšie spomínané oddelenie), je zároveň súčasťou, sekretariátom i adresátom stanovísk pracovnej skupiny. Toto by bolo dôvodom na väčšiu nezávislosť sekretariátu. Európsky dozorný úradník pre ochranu údajov vyzýva Komisiu, aby po dôkladnej porade so zainteresovanými stranami posúdila, akým najlepším možným spôsobom túto nezávislosť zabezpečiť. |
144. |
A napokon posilnenie právomocí orgánov na ochranu údajov si vyžaduje tiež väčšie právomoci pracovnej skupiny, ktoré by mali okrem iného zahŕňať lepšie pravidlá a záruky a väčšiu transparentnosť. Toto by sa malo rozvíjať s ohľadom na poradnú úlohu pracovnej skupiny, ako aj na jej úlohu presadzovania práva. |
10.3. Poradná úloha pracovnej skupiny
145. |
Pokiaľ ide o poradnú úlohu pracovnej skupiny vo vzťahu ku Komisii, predovšetkým v súvislosti s výkladom a uplatňovaním zásad smernice a ďalších nástrojov na ochranu údajov, stanoviská pracovnej skupiny sa musia účinne zavádzať, resp. sa musí zabezpečiť, aby boli uznávané a rešpektované. Aby sa stanovilo, akým spôsobom toto do právneho nástroja zahrnúť, je potrebná ďalšia diskusia medzi orgánmi na ochranu údajov. |
146. |
Európsky dozorný úradník pre ochranu údajov odporúča riešenie, na základe ktorého by stanoviská pracovnej skupiny nadobudli väčší vplyv, a to bez toho, že by sa podstatným spôsobom zmenila jej činnosť. Európsky dozorný úradník pre ochranu údajov navrhuje zaviesť povinnosť, aby orgány na ochranu údajov s Komisiou v čo najväčšej miere zohľadňovali stanoviská a spoločné stanoviská, ktoré pracovná skupina zaujala, a to na základe modelu prijatého v súvislosti so stanoviskami Orgánu európskych regulátorov pre elektronické komunikácie (BEREC) (56). Nový právny nástroj by mohol okrem toho pracovnej skupine výslovne prideliť úlohu prijímať tzv. výkladové odporúčania. Takýmto alternatívnym riešením by stanoviská pracovnej skupiny nadobudli väčší význam, a to aj pred súdmi. |
10.4. Koordinované presadzovanie práva pracovnou skupinou
147. |
V súlade so súčasným právnym rámcom sa presadzovanie právnych predpisov týkajúcich sa ochrany údajov v jednotlivých členských štátoch ponecháva na orgánoch na ochranu údajov týchto štátov, pričom v osobitných prípadoch dochádza k ich určitej koordinácii. V prípadoch, čo sa týkajú viac ako len jedného členského štátu alebo čo majú jednoznačne celosvetový rozmer, sa týmto podnikom, ktoré sú z dôvodu tej istej činnosti nútené sa zaoberať rozličnými verejnými orgánmi, zvyšujú náklady a zvyšuje sa aj nebezpečenstvo nejednotného uplatňovania právnych predpisov: vo výnimočných prípadoch sa môžu tie isté činnosti týkajúce sa spracovania údajov považovať jedným orgánom na ochranu údajov za zákonné a druhým za nezákonné. |
148. |
Niektoré prípady majú strategický význam a vtedy by sa mali riešiť jednotne. Pracovná skupina zriadená podľa článku 29 uľahčuje koordináciu jednotlivých orgánov na ochranu údajov a presadzovanie práva týmito orgánmi (57) v závažných otázkach týkajúcich sa ochrany údajov so spomínanými medzinárodnými dôsledkami. Toto bol prípad sociálnych sietí a vyhľadávačov (58), ako aj koordinovaných inšpekcií, ktoré sa vykonali v rozličných členských štátoch v súvislosti s otázkami týkajúcimi sa telekomunikácií a zdravotného poistenia. |
149. |
V súlade so súčasným právnym rámcom však existujú určité obmedzenia činností, ktoré pracovná skupina môže v súvislosti s presadzovaní práva vykonávať. Pracovná skupina môže prijímať spoločné stanoviská, ale nejestvuje žiaden nástroj, ktorý by zabezpečoval, aby sa tieto stanoviská účinne zavádzali do praxe. |
150. |
Európsky dozorný úradník pre ochranu údajov navrhuje, aby sa do právneho nástroja zahrnuli dodatočné ustanovenia, ktoré by mohli podporovať koordinované presadzovanie práva, a to predovšetkým:
|
151. |
Európsky dozorný úradník pre ochranu údajov by neodporúčal zavedenie prísnejších opatrení, napríklad aby sa stanoviská pracovnej skupiny zriadenej podľa článku 29 stali záväznými. Týmto by narušil štatút nezávislosti jednotlivých orgánov na ochranu údajov, ktorý musí byť garantovaný členskými štátmi v rámci ich vnútroštátnych právnych predpisov. Ak by rozhodnutia pracovnej skupiny mali priamy dosah na tretie strany, akými sú prevádzkovatelia údajov, muselo by sa počítať s novými postupmi, a to vrátane záruk, napríklad transparentnosti a nápravy, alebo možno aj žaloby na Európskom súdnom dvore. |
10.5. Spolupráca medzi európskym dozorným úradníkom pre ochranu údajov a pracovnou skupinou
152. |
Spôsob, akým spolupracujú európsky dozorný úradník pre ochranu údajov a pracovná skupina, by sa tiež mohol zlepšiť. Európsky dozorný úradník pre ochranu údajov je členom pracovnej skupiny a v rámci skupiny prispieva k jej stanoviskám k hlavným strategickým otázkam EÚ a zároveň zabezpečuje súlad jej stanovísk so svojimi vlastnými stanoviskami. Európsky dozorný úradník pre ochranu údajov si všíma rastúci počet otázok týkajúcich sa ochrany súkromia, a to v súkromnom, ako aj vo verejnom sektore, ktoré so sebou prinášajú dôsledky na vnútroštátnej úrovni mnohých členských štátov a v súvislosti s ktorými musí pracovná skupina zohrávať osobitnú úlohu. |
153. |
Jednou z doplňujúcich úloh európskeho dozorného úradníka pre ochranu údajov je poskytovať rady k otázkam zachovania určitých trendov na úrovni EÚ. Ako európsky orgán vykonáva túto poradnú úlohu vo vzťahu k inštitúciám EÚ takým istým spôsobom, ako orgány na ochranu údajov jednotlivých členských štátov radia svojim vládam. |
154. |
Európsky dozorný úradník pre ochranu údajov a pracovná skupina vykonávajú svoju činnosť rozličným, ale vzájomne sa doplňujúcim spôsobom. Z uvedených dôvodov je potrebné zachovať a možno dokonca zlepšiť koordináciu medzi pracovnou skupinou a európskym dozorným úradníkom pre ochranu údajov, aby bolo isté, že spolupracujú pri najdôležitejších otázkach týkajúcich sa ochrany údajov, napríklad pravidelným koordinovaním programov (61) či zabezpečením transparentnosti v prípade otázok, ktoré majú výraznejší vnútroštátny alebo špecifický európsky aspekt. |
155. |
V súčasnej smernici sa koordinácia nespomína z jednoduchého dôvodu, a to že funkcia európskeho dozorného úradníka pre ochranu údajov v čase, keď sa smernica prijímala, nejestvovala, ale po šiestich rokoch jej existencie je komplementárnosť európskeho dozorného úradníka pre ochranu údajov a pracovnej skupiny očividná a mohla by sa formálne uznať. Európsky dozorný úradník pre ochranu údajov pripomína, že v súlade s nariadením (ES) č. 45/2001 má povinnosť spolupracovať s orgánmi na ochranu údajov jednotlivých členských štátov a zapájať sa do činností pracovnej skupiny. Odporúča preto, aby sa v novom právnom nástroji spolupráca výslovne uviedla a v prípade potreby sa rozviedol jej spôsob, napríklad ustanovením postupu spolupráce. |
10.6. Spolupráca medzi európskym dozorným úradníkom pre ochranu údajov a orgánmi na ochranu údajov v rámci dozoru nad systémami EÚ
156. |
Tieto úvahy platia aj pre oblasti, v ktorých musia byť európska a vnútroštátna úroveň dozoru koordinované. Toto je prípad orgánov EÚ, ktoré spracúvajú veľké množstvá údajov poskytnutých vnútroštátnymi orgánmi, alebo rozsiahlych informačných systémov, na ktorých sa podieľa Európska únia i jednotlivé štáty. |
157. |
Existujúci systém pre niektoré orgány EÚ a rozsiahle informačné systémy – napríklad Europol, Eurojust a Schengenský informačný systém prvej generácie (SIS) majú spoločné dozorné orgány so zástupcami orgánov na ochranu údajov jednotlivých štátov – je pozostatkom medzivládnej spolupráce v období pred nadobudnutím platnosti Lisabonskej zmluvy a nerešpektuje inštitucionálnu štruktúru EÚ, ktorej sú v súčasnosti Europol a Eurojust neoddeliteľnou súčasťou a do ktorej sa teraz okrem toho začlenilo aj schengenské acquis (62). |
158. |
V oznámení sa uvádza, že Komisia začne viesť v roku 2011 konzultácie so zainteresovanými stranami o revízii týchto dozorných systémov. Európsky dozorný úradník pre ochranu údajov vyzýva Komisiu, aby čo možno najskôr (v krátkom čase, ktorý bude stanovený vopred; pozri vyššie) zaujala stanovisko v prebiehajúcej diskusii o dozore. On sám bude v tejto diskusii zastávať nasledujúci postoj. |
159. |
Na začiatok by sa malo garantovať, že všetky dozorné orgány spĺňajú nevyhnutné kritériá nezávislosti, zdrojov a právomocí presadzovania práva. Okrem toho by sa malo zabezpečiť, aby sa zobrali do úvahy hľadiská a odborné poznatky, ktoré sú na úrovni EÚ k dispozícii. To znamená, že spolupráca by mala prebiehať nielen medzi vnútroštátnymi orgánmi, ale spolupracovať by sa malo tiež s európskym orgánom na ochranu údajov (v súčasnosti európskym dozorným úradníkom pre ochranu údajov). Európsky dozorný úradník pre ochranu údajov považuje za potrebné riadiť sa modelom, ktorý tieto požiadavky spĺňa (63). |
160. |
V posledných rokoch bol vytvorený model tzv. koordinovaného dozoru. Tento model dozoru, ktorý v súčasnosti funguje v systéme Eurodac a v častiach Colného informačného systému, bude onedlho rozšírený na Vízový informačný systém (VIS) a na Schengenský informačný systém druhej generácie (SIS II). Model má tri úrovne: 1. dozor na úrovni jednotlivých členských štátov zabezpečujú ich orgány na ochranu údajov; 2. dozor na úrovni EÚ zabezpečuje európsky dozorný úradník pre ochranu údajov; 3. koordinácia sa zabezpečuje prostredníctvom pravidelných stretnutí, ktoré zvoláva európsky dozorný úradník pre ochranu údajov, pričom plní úlohu sekretariátu tohto koordinačného mechanizmu. Tento model sa ukázal ako úspešný a účinný a malo by sa s ním v súvislosti s ďalšími informačnými systémami v budúcnosti počítať. |
C. AKO ZLEPŠIŤ UPLATŇOVANIE SÚČASNÉHO PRÁVNEHO RÁMCA?
11. Krátkodobý horizont
161. |
Počas prebiehajúceho procesu skúmania by sa malo venovať úsilie zabezpečeniu dôkladného a účinného vykonávania súčasných pravidiel. Tieto pravidlá budú platné dovtedy, kým nebude prijatý a následne zavedený do vnútroštátnych právnych predpisov členských štátov budúci právny rámec. V tomto ohľade možno stanoviť niekoľko druhov činností. |
162. |
Po prvé Komisia by mala pokračovať v monitorovaní dodržiavania smernice 95/46 členskými štátmi a v prípade potreby využívať svoje právomoci v súlade s článkom 258 Zmluvy o fungovaní Európskej únie. Nedávno sa začali konania o porušení právnych predpisov z dôvodu nesprávneho vykonávania článku 28 smernice, pokiaľ ide o požiadavku nezávislosti orgánov na ochranu údajov (64). Dôkladné dodržiavanie pravidiel je potrebné monitorovať a presadzovať tiež aj v ďalších oblastiach (65). Európsky dozorný úradník pre ochranu údajov preto víta a plne podporuje záväzok Komisie, ktorý sa uvádza v oznámení, a to presadzovať aktívnu politiku týkajúcu sa porušovania právnych predpisov. Komisia by okrem toho mala pokračovať v štruktúrovanom dialógu s členskými štátmi o vykonávaní právnych predpisov (66). |
163. |
Po druhé presadzovanie práva na úrovni jednotlivých členských štátov sa musí podporovať s cieľom zabezpečiť uplatňovanie pravidiel týkajúcich sa ochrany údajov v praxi, a to aj s ohľadom na nové technologické javy a globálnych hráčov. Orgány na ochranu údajov by mali v plnej miere využívať svoje vyšetrovacie a sankčné právomoci. Okrem toho je tiež dôležité, aby sa existujúce práva dotknutých osôb, predovšetkým ich právo na prístup k údajom, v plnej miere zavádzali do praxe. |
164. |
Po tretie pri presadzovaní práva v krátkodobom horizonte sa zdá nevyhnutné dosiahnutie väčšej koordinácie. Úloha pracovnej skupiny zriadenej podľa článku 29 a jej vysvetľujúcich dokumentov je z tohto hľadiska kľúčová, ale tiež orgány na ochranu údajov by sa mali čo možno najviac snažiť uvádzať ich do praxe. Malo by sa zabrániť dosiahnutiu rôznych výsledkov v prípadoch zasahujúcich celú EÚ alebo celý svet a v rámci pracovnej skupiny sa môže a by sa malo dospieť k spoločnému prístupu. Okrem toho môžu značnú pridanú hodnotu priniesť celoeurópske koordinované vyšetrovania pod patronátom pracovnej skupiny. |
165. |
Po štvrté zásady ochrany údajov by mali byť aktívnou súčasťou nových nariadení, ktoré môžu mať nejaký vplyv, či už priamy, alebo nepriamy, na ochranu údajov. Na úrovni EÚ sa ku kvalitnejším európskym právnym predpisom snaží v značnej miere prispievať európsky dozorný úradník pre ochranu údajov a rovnaké úsilie sa musí vyvíjať aj na úrovni jednotlivých členských štátov. Orgány na ochranu údajov by z toho dôvodu mali v plnej miere využívať svoje poradné právomoci, aby sa takýto aktívny prístup zabezpečil. Orgány na ochranu údajov vrátane európskeho dozorného úradníka pre ochranu údajov môžu hrať aktívnu úlohu aj v rámci monitorovania technického pokroku. Monitorovanie je dôležité s ohľadom na včasné odhaľovanie nových trendov, upozornenie na ich možné dôsledky na ochranu údajov, podporovanie riešení zohľadňujúcich ochranu údajov a zvyšovanie informovanosti zainteresovaných strán. |
166. |
A napokon po piate je potrebné sa aktívne usilovať o ďalšiu spoluprácu medzi rozličnými subjektmi na medzinárodnej úrovni. Z toho dôvodu je dôležité posilniť medzinárodné nástroje spolupráce. Iniciatívy, ako madridské normy či prebiehajúce činnosti v rámci Rady Európy a organizácie OECD, si zaslúžia plnú podporu. V tejto súvislosti je veľmi prospešné, že skupina komisárov pre ochranu súkromia a údajov sa v rámci ich medzinárodnej konferencie teraz rozšírila aj o Federálny obchodný výbor USA. |
D. ZÁVERY
VŠEOBECNÉ PRIPOMIENKY
167. |
Európsky dozorný úradník pre ochranu údajov oznámenie Komisie vo všeobecnosti víta, pretože je presvedčený, že skúmanie súčasného právneho rámca na ochranu osobných údajov je na zabezpečenie účinnej ochrany údajov v čoraz väčšmi sa rozvíjajúcej a globalizovanej informačnej spoločnosti nevyhnutné. |
168. |
V oznámení sa pomenúvajú hlavné problémy a úlohy. Európsky dozorný úradník pre ochranu údajov zastáva názor Komisie, že dobre fungujúci systém ochrany údajov bude v budúcnosti stále potrebný, čo vyplýva z toho, že existujúce všeobecné zásady ochrany údajov platia v spoločnosti, ktorá prechádza významnými zmenami. Európsky dozorný úradník pre ochranu údajov v plnej miere súhlasí s tvrdením, uvedeným v oznámení, že výzvy sú obrovské, a zdôrazňuje, aby navrhované riešenia boli primerane k tomu ambiciózne a aby zvyšovali účinnosť ochrany údajov. V dôsledku toho žiada v prípade množstva záležitostí ambicióznejší prístup. |
169. |
Európsky dozorný úradník pre ochranu údajov v plnej miere podporuje komplexný prístup k ochrane údajov. S poľutovaním však konštatuje, že oznámenie v rámci všeobecného právneho nástroja už nepočíta s určitými oblasťami, ako je napríklad spracúvanie údajov inštitúciami a orgánmi EÚ. Ak by sa Komisia rozhodla tieto oblasti vynechať, európsky dozorný úradník pre ochranu údajov ju vyzýva, aby v čo možno najkratšom čase, najlepšie do konca roku 2011, prijala príslušný návrh na úrovni EÚ. |
HLAVNÉ HĽADISKÁ
170. |
Pre európskeho dozorného úradníka pre ochranu údajov sú východiskové body procesu skúmania takéto:
|
PRVKY NOVÉHO PRÁVNEHO RÁMCA
Harmonizácia a zjednodušovanie
171. |
Európsky dozorný úradník pre ochranu údajov víta záväzok Komisie preskúmať prostriedky na dosiahnutie ďalšej harmonizácie ochrany údajov na úrovni EÚ. Európsky dozorný úradník pre ochranu údajov uvádza oblasti, v ktorých je nutná ďalšia a lepšia harmonizácia: vymedzenia, dôvody na spracovanie údajov, práva dotknutých osôb, prenos údajov z jednej krajiny do druhej a orgány na ochranu údajov. |
172. |
Európsky dozorný úradník pre ochranu údajov navrhuje zvážiť tieto možnosti zjednodušenia požiadaviek na oznamovanie a/alebo zmenšenia ich rozsahu:
|
173. |
Podľa európskeho dozorného úradníka pre ochranu údajov je nariadenie, jediný nástroj, ktorý sa v členských štátoch uplatňuje priamo, najúčinnejším prostriedkom na zabezpečenie základného práva na ochranu údajov a na dosiahnutie ďalšieho zbližovania na vnútornom trhu. |
Posilnenie práv jednotlivcov
174. |
Európsky dozorný úradník pre ochranu údajov podporuje oznámenie, pokiaľ ide o návrh posilnenia práv jednotlivcov. Podáva tieto návrhy:
|
Posilnenie povinností organizácií/prevádzkovateľov údajov
175. |
Nový právny rámec musí obsahovať určité podnety, aby prevádzkovatelia údajov aktívne zapájali opatrenia na ochranu údajov do svojich obchodných postupov. Európsky dozorný úradník pre ochranu údajov navrhuje zavedenie všeobecných ustanovení týkajúcich sa zodpovednosti a ochrany súkromia už v štádiu návrhu príslušných technológií. Malo by sa tiež zaviesť ustanovenie týkajúce sa certifikačných schém ochrany súkromia. |
Globalizácia a uplatniteľné právne predpisy
176. |
Európsky dozorný úradník pre ochranu údajov podporuje ambicióznu prácu v rámci medzinárodnej konferencie komisárov pre ochranu údajov, pokiaľ ide o rozvíjanie takzvaných madridských noriem, s ohľadom na ich začlenenie do nejakého záväzného nástroja a možné zvolanie medzivládnej konferencie. Európsky dozorný úradník pre ochranu údajov vyzýva Komisiu, aby v tomto ohľade prijala v úzkej spolupráci s organizáciou OECD a Radou Európy konkrétne opatrenia. |
177. |
Nový právny nástroj musí objasniť kritériá na určenie uplatniteľných právnych predpisov. Malo by sa zabezpečiť, aby údaje, ktoré sa spracúvajú mimo EÚ, podliehali právomoci EÚ, ak existuje odôvodnený nárok uplatňovať právne predpisy EÚ. Ak by mal právny rámec podobu nariadenia, vo všetkých členských štátoch by platili rovnaké pravidlá a určenie uplatniteľných právnych predpisov (v rámci EÚ) by bolo menej dôležité. |
178. |
Európsky dozorný úradník pre ochranu údajov v plnej miere podporuje cieľ zabezpečiť jednotnejší a ucelenejší prístup voči tretím krajinám a medzinárodným organizáciám. Do právneho nástroja by sa mali zahrnúť záväzné firemné pravidlá (BCR). |
Oblasť polície a súdnictva
179. |
Komplexný právny nástroj vrátane polície a súdnictva môže brať do úvahy osobitné pravidlá, ktoré náležite zohľadňujú osobitosti tejto oblasti, a to v súlade s vyhlásením 21, pripojeným k Lisabonskej zmluve. Potrebné je poskytnúť osobitné záruky s cieľom odškodniť dotknutú osobu tým, že sa jej zabezpečí dodatočná ochrana v oblasti, kde spracovanie osobných údajov vo väčšej miere prirodzene zasahuje do jej súkromia. |
180. |
Nový právny rámec by mal byť čo možno najjasnejší, najjednoduchší a najdôslednejší. Malo by sa zabrániť uplatňovaniu viacerých rozličných režimov, napríklad v prípade Europolu, Eurojustu, Schengenského informačného systému a Prümskej zmluvy. Európsky dozorný úradník pre ochranu údajov si uvedomuje, že zladenie pravidiel z rozličných systémov sa bude musieť vykonať starostlivo a postupne. |
Orgány na ochranu údajov a spolupráca medzi týmito orgánmi
181. |
Európsky dozorný úradník pre ochranu údajov v plnej miere podporuje cieľ Komisie riešiť otázku štatútu orgánov na ochranu údajov (DPA) a posilniť ich nezávislosť, zdroje a právomoci presadzovať právo. Odporúča:
|
182. |
Európsky dozorný úradník pre ochranu údajov navrhuje ďalšie zlepšenia činnosti pracovnej skupiny zriadenej podľa článku 29, a to vrátane jej infraštruktúry a jej nezávislosti. Pracovnej skupine by sa okrem toho mali poskytnúť aj dostatočné zdroje a mal by sa posilniť jej sekretariát. |
183. |
Európsky dozorný úradník pre ochranu údajov navrhuje posilniť poradnú úlohu pracovnej skupiny zavedením povinnosti, aby orgány na ochranu údajov s Komisiou v čo najväčšej miere zohľadňovali stanoviská a spoločné stanoviská, ktoré pracovná skupina prijala. Európsky dozorný úradník pre ochranu údajov neodporúča, aby sa stanoviská pracovnej skupiny stali záväznými, a to predovšetkým z dôvodu štatútu nezávislosti jednotlivých orgánov na ochranu údajov. Odporúča však, aby Komisia v novom právnom nástroji zaviedla osobitné ustanovenia na posilnenie spolupráce s európskym dozorným úradníkom pre ochranu údajov. |
184. |
Európsky dozorný úradník pre ochranu údajov vyzýva Komisiu, aby čo možno najskôr zaujala stanovisko k otázke dozoru nad orgánmi EÚ a rozsiahlymi informačnými systémami, pričom zoberie do úvahy, že všetky dozorné orgány by mali spĺňať nevyhnutné kritériá nezávislosti, dostatočných zdrojov a právomocí presadzovania práva a že by sa mala zabezpečiť dostatočná prítomnosť celoeurópskej perspektívy. Európsky dozorný úradník pre ochranu údajov podporuje model tzv. koordinovaného dozoru. |
Zlepšenia v rámci súčasného systému:
185. |
Európsky dozorný úradník pre ochranu údajov odporúča Komisii, aby:
|
V Bruseli 14. januára 2011
Peter HUSTINX
európsky dozorný úradník pre ochranu údajov
(1) Ú. v. ES L 281, 23.11.1995, s. 31.
(2) Ú. v. ES L 8, 12.1.2001, s. 1.
(3) KOM(2010) 609 v konečnom znení.
(4) Pozri s. 5 oznámenia, prvý odsek.
(5) Stanovisko európskeho dozorného úradníka pre ochranu údajov z 25. júla 2007 k oznámeniu Komisie Európskemu parlamentu a Rade o pokračovaní pracovného programu pre lepšiu implementáciu smernice o ochrane údajov, (Ú. v. EÚ C 255, 27.10.2007, s. 1).
(6) Predovšetkým (pozri bod 77 stanoviska): nie sú potrebné nové zásady, ale sú zreteľne potrebné iné administratívne opatrenia; široký rozsah právnych predpisov na ochranu údajov uplatniteľných na používanie osobných údajov by sa nemal meniť; právne predpisy na ochranu údajov by mali v konkrétnych prípadoch umožňovať vyvážený prístup a mali by tiež umožňovať orgánom na ochranu údajov stanoviť priority; systém by sa mal úplne uplatňovať na používanie osobných údajov na účely presadzovania práva, hoci na riešenie osobitných problémov v tejto oblasti môžu byť potrebné vhodné dodatočné opatrenia.
(7) Dokument WP 168 (http://ec.europa.eu/justice/policies/privacy/docs/wpdocs/2009/wp168_en.pdf). Hlavným odkazom v ňom je, že legislatívna zmena je dobrou príležitosťou na vyjasnenie niektorých kľúčových pravidiel a zásad (napr. udeľovanie súhlasu, transparentnosť), zavedenie niektorých nových zásad (napr. ochrana súkromia už v štádiu návrhu príslušných technológií, zodpovednosť), zvýšenie účinnosti modernizáciou určitých opatrení (napr. obmedzením existujúcich požiadaviek v súvislosti s oznamovacou povinnosťou) a zahrnutie všetkého do jedného komplexného právneho rámca (vrátane policajnej a justičnej spolupráce).
(8) Témy tlačovej konferencie sú k dispozícii na webovej stránke európskeho dozorného úradníka pre ochranu údajov: http://www.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/EDPS/Publications/Speeches/2010/10-11-15_Press_conf_speaking_points_PHBG_EN.pdf
(9) Štokholmský program – otvorená a bezpečná Európa, ktorá slúži občanom a chráni ich. (Ú. v. EÚ C 115, 4.5.2010, s. 1), konkrétne s. 10.
(10) Dohovor Rady Európy č. 108 o ochrane osôb pri automatickom spracúvaní osobných údajov, ETS č. 108, 28. januára 1981.
(11) Usmernenia OECD o ochrane súkromia a cezhraničných tokoch osobných údajov, uverejnené na webovej stránke: http://www.oecd.org
(12) Tento význam ochrany údajov a spojitosť s ochranou súkromia v charte zdôraznil Súdny dvor vo svojom rozsudku z 9. novembra 2010, spojené veci C-92/09 a C-93/09, Schecke, zatiaľ neuverejnený v Zbierke.
(13) Pozri stanovisko európskeho dozorného úradníka pre ochranu údajov z 18. marca 2010 k podpore dôvery v informačnej spoločnosti posilňovaním ochrany údajov a súkromia, (Ú. v. EÚ C 280, 16.10.2010, s. 1), ods. 113.
(14) Pozri napríklad stanovisko európskeho dozorného úradníka pre ochranu údajov z 10. júla 2009 k oznámeniu Komisie Európskemu parlamentu a Rade o priestore slobody, bezpečnosti a spravodlivosti pre občanov, (Ú. v. EÚ C 276, 17.9.2009, s. 8).
(15) Bezpečnosť je širší pojem ako fyzická bezpečnosť, ale na ilustráciu príslušných argumentov sa tu výraz bezpečnosť používa v užšom zmysle slova.
(16) Pozri tiež stanovisko európskeho dozorného úradníka pre ochranu údajov z 25. júla 2007 k oznámeniu Komisie Európskemu parlamentu a Rade o pokračovaní pracovného programu pre lepšiu implementáciu smernice o ochrane údajov, ods. 17, ktoré sa opiera o judikatúru Európskeho súdu pre ľudské práva a Súdneho dvora.
(17) Porovnaj poznámku pod čiarou 7.
(18) Toto stanovisko sa bude sústreďovať predovšetkým na bývalý tretí pilier (policajná a justičná spolupráca v trestných veciach), keďže bývalý druhý pilier je nielen zložitejšia oblasť právnych predpisov EÚ (ako sa tiež uznáva v článku 16 Zmluvy o fungovaní Európskej únie a v článku 39 Zmluvy o Európskej únii), ale okrem toho sa v menšej miere dotýka ochrany údajov.
(19) Pozri napríklad oznámenie Komisie o všeobecnom prístupe k prenosu osobných záznamov o cestujúcich do tretích krajín, KOM(2010) 492 v konečnom znení.
(20) Smernica Európskeho parlamentu a Rady 2006/24/ES z 15. marca 2006 o uchovávaní údajov vytvorených alebo spracovaných v súvislosti s poskytovaním verejne dostupných elektronických komunikačných služieb alebo verejných komunikačných sietí a o zmene a doplnení smernice 2002/58/ES (Ú. v. EÚ L 105, 13.4.2006, s. 54).
(21) Rámcové rozhodnutie Rady 2008/977/SVV z 27. novembra 2008 o ochrane osobných údajov spracúvaných v rámci policajnej a justičnej spolupráce v trestných veciach (Ú. v. EÚ L 350, 30.12.2008, s. 60).
(22) Ako sa stanovuje v oznámení Komisie s názvom Internet vecí: akčný plán pre Európu, KOM(2009) 278 v konečnom znení.
(23) Pozri s. 14 oznámenia a časť 3.2.5 tohto stanoviska.
(24) Pozri tiež stanovisko európskeho dozorného úradníka pre ochranu údajov z 24. novembra 2010 k oznámeniu Komisie Európskemu parlamentu a Rade týkajúcemu sa politiky EÚ v oblasti boja proti terorizmu: hlavné úspechy a budúce výzvy, bod 31.
(25) Pozri tiež dokument pracovných skupín o budúcnosti ochrany súkromia (poznámka pod čiarou 7), body 18 – 21.
(26) Oznámenie, s. 10.
(27) Pozri dokument pracovných skupín o budúcnosti ochrany súkromia (poznámka pod čiarou 7), bod 70. Dokument poukazuje predovšetkým na ustanovenia týkajúce sa zodpovednosti a na možnosť uplatňovania nárokov na náhradu nemateriálnej škody.
(28) Niekoľko odlišných prístupov existuje tiež v súvislosti s manuálnym narábaním s údajmi.
(29) Pozri stanovisko 1/2010 pracovnej skupiny zriadenej podľa článku 29 k pojmom prevádzkovateľ a spracovateľ (WP 169).
(30) Článok 8 ods. 4 a ods. 5 v súčasnosti za určitých podmienok oprávňuje členské štáty, aby vykonávali ďalšie výnimky, pokiaľ ide o citlivé údaje.
(31) Pozri v tejto súvislosti Prvú správu o vykonávaní smernice o ochrane údajov Komisie, ktorá je citovaná vyššie, s. 14.
(32) Dokument pracovných skupín o budúcnosti ochrany súkromia, ods. 87.
(33) Vec C-518/07, Komisia/Nemecko, zatiaľ neuverejnené v Zbierke.
(34) Porovnaj poznámku pod čiarou 26.
(35) Porovnaj poznámku pod čiarou 26.
(36) Pracovná skupina zriadená podľa článku 29 podáva správu o oznamovacej povinnosti voči štátnym dozorným orgánom, najlepšom využití výnimiek a zjednodušení a o úlohe úradníkov pre ochranu údajov v Európskej únii, WP 106, 2005, s. 7.
(37) Pozri článok 27 nariadenia, (Ú. v. ES L 8, 12.1.2001, s. 1).
(38) Pozri oznámenie, s. 6.
(39) Pracovná skupina zriadená podľa článku 29 v súčasnosti pracuje na stanovisku k „súhlasu“. Toto stanovisko by mohlo viesť k ďalším návrhom.
(40) Súhlas sa zvyčajne spája s vekom, keď je dieťa spôsobilé na právne úkony. Toto je vek, v ktorom sa očakáva, že dieťa dosiahlo určitý stupeň dospelosti. Napríklad španielske právne predpisy vyžadujú súhlas rodičov so zhromažďovaním údajov detí u osôb, ktoré ešte nedovŕšili 14 rokov života. U detí starších ako 14 rokov sa predpokladá, že budú schopné poskytnúť súhlas. V Spojenom kráľovstve sa v zákone o ochrane údajov určitý vek alebo určitá veková hranica neuvádza. Úrad pre ochranu údajov Spojeného kráľovstva však predpokladá, že súhlas môžu poskytovať deti staršie ako 12 rokov. Naproti tomu deti, ktoré sú mladšie ako 12 rokov, súhlas poskytovať nemôžu a na získanie ich osobných údajov je nevyhnutné dostať najskôr súhlas ich rodiča alebo poručníka.
(41) V Spojených štátoch amerických vyžaduje zákon o ochrane súkromia detí v rámci on-line režimov od prevádzkovateľov komerčných webových stránok alebo on-line služieb určených pre deti do 13 rokov, aby pred zhromažďovaním osobných informácií získali súhlas rodičov, a od prevádzkovateľov komerčných webových stránok vo všeobecnosti, aby disponovali reálnou vedomosťou o tom, že určitými návštevníkmi sú deti.
(42) Pozri tiež stanovisko európskeho dozorného úradníka pre ochranu údajov z 25. júla 2007 k oznámeniu Komisie Európskemu parlamentu a Rade o pokračovaní pracovného programu pre lepšiu implementáciu smernice o ochrane údajov, (Ú. v. EÚ C 255, 27.10.2007, s. 10).
(43) Právne predpisy niektorých členských štátov už podobné mechanizmy zabezpečujú.
(44) Uznesenie o ochrane súkromia už v štádiu návrhu príslušných technológií, prijaté na 32. medzinárodnej konferencii komisárov pre ochranu údajov a súkromia, ktorá sa konala v Jeruzaleme 27. – 29. októbra 2010.
(45) V smernici sa nachádzajú ustanovenia, v ktorých sa nepriamo, v rozličných situáciách, požaduje zavedenie ochrany súkromia už v štádiu návrhu príslušných technológií. Predovšetkým v článku 17 sa vyžaduje, aby prevádzkovatelia údajov prijali príslušné technické a organizačné opatrenia s cieľom zabrániť nezákonnému spracovaniu údajov. V smernici o súkromí a elektronických komunikáciách je to vyjadrené explicitnejšie. V článku 14 ods. 3 sa uvádza, že „V prípade, že sa to požaduje, môžu sa prijať opatrenia, ktoré sa týkajú kompatibility konštrukcie koncového zariadenia s právom užívateľov na ochranu a kontrolu používania ich osobných údajov v súlade so smernicou 1999/5/ES a rozhodnutím Rady 87/95/EHS z 22. decembra 1986 o normalizácii v oblasti informačnej technológie a telekomunikácií“.
(46) Odôvodnenie 46 v súlade so súčasným právnym rámcom odporúča prevádzkovateľom údajov, aby prijali takéto opatrenia, ale odôvodnenie nie je, samozrejme, právne záväzné.
(47) Ako sa navrhuje v uznesení o medzinárodných normách, prijatom na 32. medzinárodnej konferencii komisárov pre ochranu údajov a súkromia, ktorá sa konala v Jeruzaleme 27. – 29. októbra 2010.
(48) Stanovisko 8/2010 pracovnej skupiny zriadenej podľa článku 29 k uplatniteľným právnym predpisom, WP 179.
(49) K prenosu údajov z jednej krajiny do druhej pozri tiež kapitolu 8 stanoviska.
(50) K tomuto pozri stanovisko európskeho dozorného úradníka pre ochranu údajov z 30. septembra 2010 k oznámeniu Komisie Európskemu parlamentu a Rade s názvom Prehľad o riadení informácií v oblasti slobody, bezpečnosti a spravodlivosti, ods. 9 – 19.
(51) Pozri časť 3.2.5 vyššie.
(52) Toto je súčasný obmedzený rozsah platnosti rámcového rozhodnutia 2008/977.
(53) V tejto súvislosti pozri dokument pracovných skupín o budúcnosti ochrany súkromia, bod 112.
(54) Vec C-518/07, Komisia/Nemecko, zatiaľ neuverejnená v Zbierke.
(55) Pozri napríklad článok 43 ods. 2 nariadenia (ES) č. 45/2001, v ktorom sa takáto požiadavka európskeho dozorného úradníka pre ochranu údajov nachádza.
(56) Nariadenie Európskeho parlamentu a Rady (ES) č. 1211/2009 z 25. novembra 2009, ktorým sa zriaďuje Orgán európskych regulátorov pre elektronické komunikácie (BEREC) a jeho úrad, (Ú. v. EÚ L 337, 18.12.2009, s. 1).
(57) Okrem pracovnej skupiny zriadenej podľa článku 29 vytvorila európska konferencia komisárov pre ochranu údajov približne pred desiatimi rokmi stálu pracovnú skupinu, ktorá sa koordinovane zaoberá riešením cezhraničných sťažností. Aj keď táto pracovná skupina prináša z hľadiska koordinácie zamestnancov jednotlivých orgánov na ochranu údajov nepopierateľnú pridanú hodnotu a poskytuje spoľahlivú sieť kontaktných miest, nemožno ju považovať za koordinačný mechanizmus rozhodovania.
(58) Pozri listy pracovnej skupiny zriadenej podľa článku 29 z 12. mája 2010 a 26. mája 2010, uverejnené na webovej stránke skupiny (http://ec.europa.eu/justice/policies/privacy/workinggroup/wpdocs/2010-others_en.htm).
(59) Ako už bolo uvedené vyššie, podobná povinnosť je ustanovená v nariadení (ES) č. 1211/2009, v ktorom sa bližšie určuje úloha Orgánu európskych regulátorov pre elektronické komunikácie (BEREC).
(60) Pozri v tejto súvislosti článok 3 nariadenia (ES) č. 1211/2009, čo sa cituje vyššie.
(61) Napr. na základe zoznamu legislatívnych činností, každoročne zverejňovaného a pravidelne aktualizovaného, ktorý je k dispozícii na webovej stránke európskeho dozorného úradníka pre ochranu údajov.
(62) V súlade s nariadením (ES) č. 45/2001 má európsky dozorný úradník pre ochranu údajov povinnosť s týmito orgánmi spolupracovať.
(63) V prípade Eurojustu by model mal zobrať do úvahy aj to, že dozor nad ochranou údajov rešpektuje nezávislosť súdnictva, keď Eurojust spracúva údaje v súvislosti s trestným konaním.
(64) Pozri vec C-518/07, citovanú vyššie, a tlačové vyhlásenie Komisie z 28. októbra 2010 (IP/10/1430).
(65) Komisia začala konanie o porušení právnych predpisov proti Spojenému kráľovstvu z dôvodu údajného porušenia rozličných ustanovení týkajúcich sa ochrany údajov, a to vrátane požiadavky dôvernosti elektronickej komunikácie s ohľadom na behaviorálnu reklamu. Pozri tlačové vyhlásenie Komisie z 9. apríla 2009 (IP/09/570).
(66) Pozri Prvú správu o vykonávaní smernice o ochrane údajov Komisie, ktorá je citovaná vyššie, s. 22 a nasledujúce.