11.9.2008   

SK

Úradný vestník Európskej únie

C 233/1

1.

Komisia zaslala návrh nariadenia Európskeho parlamentu a Rady o kódexe správania pre používanie počítačových rezervačných systémov (ďalej len „návrh“ EDPS na konzultáciu v súlade s článkom 28 ods. 2 nariadenia (ES) č. 45/2001.

2.

Návrh sa týka spracovania údajov o cestujúcich počítačovými rezervačnými systémami (ďalej len PRS) a úzko súvisí s inými systémami zberu a používania údajov o cestujúcich v EÚ alebo vo vzťahu s tretími krajinami. Tieto systémy sú pre EDPS veľmi zaujímavé, a preto víta žiadosť Komisie o konzultáciu.

3.

Cieľom návrhu je aktualizovať ustanovenia kódexu správania pre počítačové rezervačné systémy, ktorý bol vytvorený v roku 1989 nariadením Rady (EHS) č. 2299/89. Zdá sa, že kódex čím ďalej tým horšie zodpovedá novým trhovým podmienkam a bolo by ho potrebné zjednodušiť, aby sa posilnila hospodárska súťaž, pričom by sa zachovali základné záruky a zabezpečilo poskytovanie neutrálnych informácií spotrebiteľom.

4.

Ťažiskom návrhu nie je ochrana osobných údajov. Avšak vzhľadom na skutočnosť, že PRS spracúvajú nesmierne množstvo osobných údajov, sa do návrhu zapracoval osobitný článok o ochrane údajov, aby doplnil ustanovenia smernice 95/46/ES, ktorá sa aj naďalej uplatňuje ako lex generalis.

5.

Ostatné ustanovenia návrhu majú tiež vplyv na ochranu údajov, i keď ich hlavným cieľom je zabezpečiť rovnaké informácie pre všetkých zúčastnených aktérov z hľadiska spravodlivej hospodárskej súťaže: aj ochrana totožnosti predplatiteľov, či už sú fyzickými osobami alebo podnikmi, je z hľadiska ochrany súkromia vítaná.

6.

EDPS si všíma, že návrh sa zaoberá iba činnosťami PRS, ktoré súvisia s funkciou rozhrania medzi leteckými spoločnosťami a cestovnými agentmi. Nezaoberá sa poskytovaním iných služieb IT, akou je napr. hostenie rezervačného systému leteckých spoločností. Na osobné údaje spracované v takomto osobitnom kontexte sa preto nebudú vzťahovať niektoré záruky stanovené v kódexe správania. Napriek tomu sa však na ne bude vzťahovať všeobecný režim ochrany údajov zo smernice 95/46/ES.

7.

Stanovisko EDPS začne rozsahom pôsobnosti a podmienkami uplatňovania návrhu vo vzťahu k uplatňovaniu smernice 95/46/ES. Potom sa sústredí na podstatu a analyzuje články návrhu týkajúce sa otázok ochrany údajov. Určia sa pozitívne aspekty a navrhnú možné zlepšenia. Osobitná pozornosť sa bude venovať podmienkam vynútiteľnosti týchto ustanovení.

8.

Ako posledný bod sa stanovisko posunie za konkrétne ustanovenia návrhu a bude sa zaoberať širšími dôsledkami spracovania údajov o cestujúcich prostredníctvom PRS, či už vo funkcii rozhrania pre cestovné kancelárie alebo vo funkcii poskytovateľov služieb IT. V osobitnej analýze sa bude skúmať prístup tretích krajín k údajom o cestujúcich uchovávaným PRS.

9.

Návrh obsahuje podrobné ustanovenia o ochrane osobných údajov. Tieto ustanovenia „zreteľne formulujú a dopĺňajú“ ustanovenia smernice 95/46/ES bez toho, aby sa dotýkali ustanovení uvedenej smernice (1). Explicitný vzťah medzi týmito dvoma nástrojmi je pozitívnym prvkom.

10.

EDPS však konštatuje, že rozsah uplatňovania kódexu správania nie je totožný s rozsahom pôsobnosti smernice 95/46/ES. Skutočným rozhodujúcim kritériom uplatňovania kódexu správania je použitie alebo ponuka na použitie systému na území EÚ (2). Ustanovenia smernice sa uplatňujú, keď je kontrolór usadený v členskom štáte, alebo keď je kontrolór usadený mimo EÚ, ale používa zariadenie nachádzajúce sa v EÚ (3).

11.

Pri uplatňovaní kódexu správania a smernice by teda mohli nastať rozličné scenáre:

Hoci kritériá uplatňovania kódexu správania a smernice sú odlišné, v praxi by z nich malo vyplývať kombinované uplatňovanie oboch nástrojov: ponúkanie služieb PRS v EÚ prináša povinnosť uplatňovať kódex správania a táto ponuka služieb sa v praxi uskutočňuje prostredníctvom používania (počítačového) vybavenia, ktoré sa nachádza v EÚ, z čoho následne vyplýva uplatňovanie smernice.

12.

Ďalším dôsledkom širokého rozsahu uplatňovania kódexu správania a smernice je ich vplyv na letecké spoločnosti, ktoré môžu byť usadené v EÚ alebo mimo nej. Letecké spoločnosti usadené mimo EÚ v zásade nepodliehajú zásadám európskej ochrany údajov, okrem prípadov, ak na spracovanie osobných údajov používajú zariadenie nachádzajúce sa v EÚ (uplatňovanie smernice). To nastane napríklad, ak používajú PRS umiestnený v EÚ ako „hostiteľa“ pre rezervačné služby. Je potrebné poznamenať aj to, že údaje týkajúce sa letov leteckých spoločností podliehajú právnym predpisom EÚ v momente, keď ich spracuje PRS umiestnený v EÚ, alebo ak ponúkajú v EÚ služby (uplatňovanie kódexu správania).

13.

V článku 11 návrhu sa ustanovuje zoznam záruk týkajúcich sa spracovania osobných údajov vrátanie obmedzenia účelu, potrebnosti údajov, špecifickej ochrany citlivých údajov, obmedzeného uchovávania, práv na informácie a prístup dotknutých osôb.

14.

V článku 11 sa poskytuje aj cenné upresnenie o funkcii PRS, ktoré sa majú na účely rezervácií alebo vydávania lístkov na dopravné produkty považovať za kontrolórov údajov. Dotknuté osoby budú schopné uplatniť si svoje práva nielen voči cestovným agentom alebo leteckým spoločnostiam, ale vo vhodných prípadoch aj voči PRS.

15.

Povinnosť zúčastnených prepravcov a sprostredkovateľov zabezpečiť presnosť údajov (hoci sa neobmedzuje na osobné údaje) ustanovená v článku 9 je výslovným odkazom na smernicu 95/46/ES, podľa ktorej musia byť osobné údaje presné.

16.

Je potrebné uviesť, že tieto ustanovenia návrhu sú v súlade s poznámkami, ktoré pracovná skupina článku 29 uviedla v odporúčaní č. 1/98 (4). Sú o to cennejšie, že upresňujú niektoré ustanovenia smernice 95/46/ES: odkazuje sa konkrétne na obmedzené obdobie uchovávania osobných údajov off-line (72 hodín) a vymazanie informácií po troch rokoch s obmedzenými podmienkami prístupu v súvislosti s pôvodným účelom spracovania (riešenie sporov o účtovaní ceny). Ustanovuje sa aj transparentnosť spracovania, v rámci ktorej predplatiteľ uvedie konktatné údaje predajcu systému a informácie o uplatňovaní prístupových práv.

17.

Okrem týchto prvkov, ktoré už v návrhu sú, by sa mohol doplniť ešte o tri aspekty.

18.

Po prvé, pokiaľ ide o možnosť, aby dotknutá osoba súhlasila so spracovaním citlivých údajov, malo by sa výslovne uviesť, že súhlas sa musí zakladať na primeraných informáciách. Hoci z článku 2 písm. h) smernice 95/46/ES vyplýva, že každý súhlas by mal byť „slobodne poskytnutý, špecifický a informovaný“, v praxi to tak vždy nemusí byť. Článok 11 ods. 3 by sa preto mohol doplniť takto: „… takéto údaje sa spracujú, iba ak dotknutá osoba dala k spracovaniu týchto údajov svoj výslovný súhlas na základe informovanosti“.

19.

Po druhé, pokiaľ ide o otázky bezpečnosti, predpokladá sa, že sa budú uplatňovať všeobecné zásady smernice 95/46/ES. EDPS odporúča doplniť tieto zásady povinnosťami, ktoré sa ešte viac sústredia na osobitné vlastnosti osobných údajov, ktoré spracúvajú PRS. Keďže PRS môžu byť globálnym rozhraním pre letecké spoločnosti ale tiež poskytovateľom služieb alebo „hostiteľom“ pre konkrétnu leteckú spoločnosť, veľké množstvo spracúvaných údajov v rámci týchto dvoch odlišných funkcií by sa malo jasne izolovať použitím „čínskych“ múrov a iných vhodných bezpečnostných opatrení. EDPS to odporúča doplniť ako ďalší odsek v článku 11.

20.

Článok 11 by sa tak po odseku 3 mohol ukončiť novým odsekom 4, ktorý by znel takto: „Ak PRS prevádzkuje databázy v rôznych funkciách ako rozhranie alebo hostiteľ pre letecké spoločnosti, musia sa prijať technické a organizačné opatrenia, ktoré zabránia prepojeniu databáz a zabezpečia, že osobné údaje sú prístupné iba na osobitný účel, na ktorý sa zhromažďovali“.

21.

Po tretie, EDPS víta podmienky stanovené v článku 7 a v článku 11 ods. 5 uložené na spracovanie údajov s výhľadom trhovej analýzy. Tieto údaje môžu predajcovia systémov poskytovať tretím stranám iba v neidentifikovateľnom formáte, či už sú o organizáciách, spoločnostiach alebo o fyzických osobách. Hoci tu je cieľom najmä zabrániť identifikácii cestovných agentov (5), predpokladá sa, že anonymizácia sa týka všetkých druhov osobných údajov spracovaných počas rezervácie a teda aj osobných údajov klientov cestovných agentov. To by sa malo osobitne uviesť v návrhu, doplnením článku 11 ods. 5 takto: „Anonymizácia sa uplatňuje na všetky dotknuté osoby zúčastnené na postupe rezervácie vrátane konečného spotrebiteľa“.

22.

Dôsledkom širokého rozsahu uplatňovania nariadenia sa právomoc Komisie a úradov na ochranu údajov zabezpečovať súlad zúčastnených strán rozširuje na kontrolórov údajov usadených mimo EÚ. Je nevyhnutné, aby Komisia, ktorá je v návrhu výslovne uvedená ako zodpovedná za vynucovanie kódexu správania, mala účinné prostriedky na zabezpečenie dodržiavania zásad ochrany údajov.

23.

Na zabezpečenie efektívneho vynucovania kódexu správania by sa mala zabezpečiť kontrola a sledovateľnosť osobných údajov v sieti PRS. V skutočnosti osobné údaje zasielajú a majú k nim prístup rozliční aktéri, ako sú letecké spoločnosti alebo cestovné agentúry a PRS ich spracúvajú v závislosti od funkcie, ktorú plnia, niekedy konajú v mene leteckých spoločností, inokedy nie.

24.

Okrem potreby jasného rozlíšenia medzi rozličnými činnosťami PRS sa ako nevyhnutná podmienka na získanie jasnej predstavy o obehu osobných údajov medzi leteckými spoločnosťami, cestovnými agentúrami a PRS javí schéma dátových tokov v rámci systému. To je nevyhnutné na posúdenie právomoci rozličných vynucovacích orgánov (DPA a Komisia).

25.

Je to potrebné o to viac, že PRS sú prepojené, a že sa siete PRS vyznačujú zložitosťou. Musí sa vyjasniť rozsah, v akom sa dá získať prístup napríklad k osobným údajom vloženým leteckou spoločnosťou alebo cestovnou agentúrou, klientom PRS, a do akej miery sa dajú spracovať prostredníctvom PRS iného, ako je pôvodný.

26.

Podľa článku 12 návrhu bude Komisia oprávnená v prípade porušenia nariadenia začať vynucovacie konanie. Právomoc Komisie bude preto okrem iného zahŕňať kontrolu dodržiavania zásad ochrany údajov uvedených v tomto nariadení.

27.

Pri plnení tejto úlohy môže dôjsť k prekrývaniu s úlohami národných úradov na ochranu údajov v miere, v akej činnosti PRS alebo predajcu systému patria do rozsahu pôsobnosti vnútroštátnych predpisov o ochrane údajov. V takýchto prípadoch by sa mali zabezpečiť zosúladené postupy vynucovania a vzájomná spolupráca. Pracovná skupina článku 29 by mohla byť vhodným fórom na uľahčenie takejto koordinácie.

28.

Okrem toho bude Komisia počas výkonu svojich právomocí nakladať so špecifickými súbormi vrátane všetkých prvkov údajného porušovania (napr. prístup dotknutých strán k súborom, ktorý sa rieši v článku 15 návrhu). V týchto súboroch sa nevyhnutne budú nachádzať osobné údaje, z čoho by vyplývala právomoc EDPS dohliadať na spracovanie ako súčasť jeho úloh voči európskym inštitúciám v súlade s nariadením (ES) č. 45/2001, podobne ako vo všetkých ostatných prípadoch, kde Komisia koná ako kontrolór údajov.

29.

Prístup tretích krajín k údajom o cestujúcich viedol k uzavretiu osobitných dohôd medzi Európskou úniou a týmito tretími krajinami, konkrétne k dohode uzavretej medzi EÚ a Kanadou v júli 2005 a medzi EÚ a Spojenými štátmi v júli 2007. Podľa týchto dohôd musia údaje PNR oznamované cudzím orgánom leteckými spoločnosťami spĺňať v súvislosti s ochranou údajov osobitné podmienky.

30.

V tomto kontexte je úloha PRS odlišná a závisí od ich funkcie hostiteľa alebo rozhrania pre letecké spoločnosti.

31.

Ako sa už uviedlo, letecké spoločnosti, ktoré si samy nespravujú svoj systém rezervácií, obyčajne túto prácu zadávajú externe tretej strane, ktorá môže byť PRS. PRS tu nekoná vo funkcii rozhrania pre cestovných agentov, ale ako poskytovateľ služieb pre leteckú spoločnosť. V tejto „hostiteľskej“ funkcii môže PRS oznamovať informácie PNR orgánom tretej krajiny.

32.

Podľa Komisie (6) nepatrí táto činnosť PRS do rozsahu pôsobnosti nariadenia a jeho povinnosti týkajúce sa prenosu tretím stranám sa preto za týchto okolností neporušujú. Všeobecné zásady smernice 95/46/ES na ochranu údajov sa však uplatňujú, ako aj zásady dohovoru Rady Európy č. 108, pokiaľ ide o podmienky prenosu do tretích krajín.

33.

EDPS sa domnieva, že subjekty, ktoré poskytujú takéto služby IT, sú za služby, ktoré ponúkajú, a za ďalšie presuny údajov tretej strane zodpovedné. V tomto zmysle by sa spolu s príslušnými leteckými spoločnosťami vzhľadom na poskytované služby mali považovať za spolukontrolórov. Z toho vyplýva, že prenos údajov o cestujúcom do tretej krajiny, ktorý vykonáva poskytovateľ služby, či už PRS alebo poskytovateľ inej služby IT, musí spĺňať podmienky akejkoľvek medzinárodnej zmluvy uzavretej s touto krajinou.

34.

Povinnosti môžu zahŕňať vyriešenie praktických otázok, ako napr. podmienok prenosu údajov a prechod z „push“ na „pull“, čo znamená, že služba IT kontroluje podmienky prenosu a kvalitu prenášaných údajov. Mali by sa zohľadniť aj povinnosti transparentnosti v súčinnosti s leteckými spoločnosťami a v rozsahu, v akom služba IT prakticky vykonáva rezervačné služby leteckých spoločností. Dotknuté osoby by mali mať tiež k dispozícii nápravné prostriedky voči PRS v súvislosti so spracovaním údajov, ktoré v kontexte prenosu tretej strane vykonal PRS.

35.

Nezávisle od situácie, v ktorej PRS koná vo funkcii poskytovateľa služby a musí zohľadňovať medzinárodné dohody uzavreté medzi EÚ a tretími krajinami, mal by sa zohľadňovať aj prípad, keď PRS plní funkciu rozhrania: v tomto prípade každá žiadosť tretej strany o osobné údaje spĺňa podmienky nariadenia a v zásade by sa prenos nemal umožniť. Lebo podľa článku 11 ods. 4 návrhu možno prístup do PRS umožniť iba z dôvodov sporov týkajúcich sa účtovania platieb. Dôležitým je fakt, že toto ustanovenie sa uplatňuje nezávisle od umiestnenia PRS (či je v EÚ alebo v Spojených štátoch), pokiaľ sa služby ponúkajú na použitie na území Spoločenstva.

36.

EDPS víta začlenenie zásad ochrany údajov, ktoré uvádzajú ustanovenia smernice 95/46/ES do návrhu. Tieto ustanovenia zlepšujú právnu istotu a bolo by dobré doplniť ich dodatočnými zárukami v troch bodoch: zabezpečiť plne informovaný súhlas dotknutých osôb na spracovanie citlivých údajov; ustanovenie bezpečnostných opatrení, ktoré zohľadnia rozličné služby ponúkané PRS a ochrana marketingových informácií (pozri body 18 – 21 tohto stanoviska).

37.

Pokiaľ ide o rozsah uplatňovania návrhu, kritériá ktorými sa návrh uplatňuje na PRS umiestnené v tretích krajinách, nastoľujú otázku jeho praktického uplatňovania, ktoré by malo byť jednotné s uplatňovaním lex generalis, t. j. smernicou 95/46/ES (pozri body 9 – 12).

38.

EDPS sa domnieva, že na zabezpečenie účinného vykonávania návrhu je potrebné mať jasný a komplexný prehľad o celej problematike PRS, ktorý by zohľadňoval zložitosť sietí PRS a podmienky prístupu tretích strán k osobným údajom, ktoré PRS spracúvajú.

39.

Aj keď tieto otázky presahujú konkrétne ustanovenia návrhu, napriek tomu sa považuje za nevyhnutné uviesť otázku PRS do globálneho kontextu s plným vedomím dôsledkov a výziev, ktoré vyplývajú zo spracúvania takého veľkého množstva osobných údajov, z ktorých niektoré sú citlivé, v globálnej sieti prakticky dostupnej orgánom tretích štátov.

40.

Je preto rozhodujúce, aby orgány zodpovedné za vynucovanie, t. j. Komisia, ako sa uvádza v návrhu, a orgány ochrany údajov (pozri body 22 – 35), zabezpečili účinné dodržiavanie nielen tých aspektov návrhu, ktoré sa týkajú hospodárskej súťaže, ale aj zásad ochrany údajov.

11.9.2008   

SK

Úradný vestník Európskej únie

C 233/6

11.9.2008   

SK

Úradný vestník Európskej únie

C 233/7

—

webovej stránke Europa competition (http://ec.europa.eu/comm/competition/mergers/cases/). Táto webová stránka poskytuje rôzne možnosti pomoci na lokalizáciu individuálnych rozhodnutí o fúziách, vrátane názvu spoločnosti, čísla prípadu, dátumu a sektorových indexov,

—

v elektronickej forme na webovej stránke EUR-Lex pod číslom dokumentu 32008M5230. EUR-Lex je počítačový dokumentačný systém práva Európskeho spoločenstva (http://eur-lex.europa.eu).

11.9.2008   

SK

Úradný vestník Európskej únie

C 233/8

11.9.2008   

SK

Úradný vestník Európskej únie

C 233/9

11.9.2008   

SK

Úradný vestník Európskej únie

C 233/12

11.9.2008   

SK

Úradný vestník Európskej únie

C 233/14

—

umožniť a podporovať propagáciu a pohyb európskych audiovizuálnych a kinematografických diel na obchodných výstavách, veľtrhoch a audiovizuálnych festivaloch v Európe a na celom svete, ak takéto podujatia môžu zohrávať dôležitú úlohu v propagácii európskych diel a vytváraní sietí profesionálov,

—

zlepšiť prístup európskej a medzinárodnej verejnosti k európskym audiovizuálnym dielam.

—

európsky rozmer programu (15 bodov),

—

kultúrna a zemepisná rozmanitosť programu (20 bodov),

—

kvalita a inovatívny charakter programu (10 bodov),

—

publikum a súvisiace činnosti (30 bodov),

—

vplyv na podporu a šírenie európskych audiovizuálnych diel (15 bodov),

—

účasť profesionálov z oblasti filmu (10 bodov).

—

31. október 2008 – pre projekty začínajúce medzi 1. májom 2009 a 31. októbrom 2009,

—

30. apríl 2009 – pre projekty začínajúce medzi 1. novembrom 2009 a 30. aprílom 2010.

Agence Exécutive Éducation Audiovisuel et Culture (EACEA)

Unité Programme MEDIA — P8

Appel de propositions — EACEA/18/08 — Festivals audiovisuels

M. Constantin DASKALAKIS

BOUR 03/30

Avenue du Bourget 1

B-1140 Bruxelles

11.9.2008   

SK

Úradný vestník Európskej únie

C 233/16

11.9.2008   

SK

Úradný vestník Európskej únie

C 233/s3