31.8.2017   

SL

Uradni list Evropske unije

C 288/107

Poročevalec:

Jorge PEGADO LIZ

1.1

Komisija s tem predlogom na splošno pravilen in primeren način z izključno tehnično-pravnega vidika izvaja potrebno prilagoditev sedanje ureditve iz Uredbe (ES) št. 45/2001 Evropskega parlamenta in Sveta  (1) in Sklepa št. 1247/2002/ES Evropskega parlamenta, Sveta in Komisije  (2) o varstvu osebnih podatkov v institucijah, organih in uradih Unije novi Splošni uredbi o varstvu podatkov (3), ki se bo po 25. maju 2018 uporabljala v vsej EU.

1.2

EESO kljub temu opozarja na vsebino svojih ugotovitev in priporočil o zdaj že sprejetem predlogu Splošne uredbe o varstvu podatkov, in obžaluje, da v tej končni različici niso popolnoma upoštevani. Poleg tega izraža zaskrbljenost, da bi lahko pozna sprejetje in začetek veljavnosti zaradi hitrega tehnološkega razvoja na tem področju povečala tveganje za protipravno prilastitev podatkov ter zlorabo pri njihovi obdelavi in trženju ter da bi lahko uredba zastarela še pred začetkom izvajanja. Ker je obravnavani predlog prilagoditev Splošne uredbe o varstvu podatkov delovanju evropskih institucij, se enaki pomisleki pojavljajo tudi v zvezi s tem besedilom, zlasti glede nejasnega jezika, ki je povprečnemu državljanu nerazumljiv.

1.3

EESO tudi meni, da bi moralo biti delovanje institucij EU vzor za izvajanje postopkov na nacionalni ravni, zato je treba pripravi tega predloga nameniti posebno pozornost.

1.4

EESO zato želi, da bi bili izrecno obravnavani vidiki tega predloga, kot so njegova povezava s Kadrovskimi predpisi za uradnike Evropske unije, obravnava primerov nadlegovanja, ustrahovanja na spletu in prijavljanja nepravilnosti v institucijah EU ter njegova uporaba na področju interneta stvari, masovnih podatkov, uporabe iskalnikov za dostop do osebnih podatkov, njihovo ustvarjanje ali uporabo ter dajanje osebnih podatkov, objavljenih na straneh institucij, na družabna omrežja (Facebook, Twitter, Instagram, Linkedin itd.).

1.5

EESO prav tako želi, da bi predlog vključeval opredelitev varnostnih pogojev informacijskih sistemov za obdelavo podatkov in zaščite pred kibernetskimi napadi, kršitvami varstva podatkov ali uhajanjem podatkov, s čimer bi zagotavljali tehnološko nevtralnost, namesto da bi se zanašali izključno na notranja pravila posamezne službe; želi si tudi boljše pojasnitve povezave med varstvom podatkov in bojem proti kriminalu in terorizmu, ne da bi to privedlo do sprejetja nesorazmernih ali pretiranih ukrepov nadzora, ki jih mora sicer vedno spremljati Evropski nadzornik za varstvo podatkov.

1.6

Želi tudi, da bi bili v predlogu opredeljeni usposobljenost, izobrazba in primernost, ki se zahtevajo za imenovanje na položaj pooblaščene osebe za varstvo podatkov, upravljavca in obdelovalca podatkov v institucijah EU, ki jih prav tako vedno nadzira in spremlja Evropski nadzornik za varstvo podatkov.

1.7

EESO želi tudi, naj predlog zaradi specifičnosti zbranih podatkov, ki so neposredno povezani z zasebnostjo posameznikov, na katere se nanašajo osebni podatki, zlasti v zvezi zdravjem, davčne in socialne podatke omeji zgolj na najnujnejše za določen namen ter naj zagotovi najboljše varstvo in zaščitne ukrepe za obdelavo posebno občutljivih osebnih podatkov, pri čemer naj se opre na mednarodne predpise ter najnaprednejše zakonodaje in dobre prakse nekaterih držav članic.

1.8

EESO poudarja, da mora predlog izrecno določati povečanje sredstev za Evropskega nadzornika za varstvo podatkov, da bo mogoče zaposliti dovolj osebja z visoko ravnjo znanja in tehnične usposobljenosti na področju varstva podatkov.

1.9

EESO znova poudarja, da je treba pri zbiranju in obdelavi podatkov prav tako varovati podatke zakonito ustanovljenih pravnih oseb (podjetij, nevladnih organizacij, gospodarskih družb itd.).

1.10

EESO v posebnih ugotovitvah tudi navaja tudi vrsto sprememb nekaterih predpisov, ki bi, če bi bile sprejete, prispevale k učinkovitejšemu varovanju osebnih podatkov v institucijah EU, ne samo zaposlenih v institucijah EU, temveč tudi tisočih evropskih državljanov, ki z njimi stopajo v stik, zato Komisijo, Evropski parlament in Svet poziva, naj te spremembe upoštevajo v končnem besedilu predloga.

2.1

Kot Komisija navaja v obrazložitvenem memorandumu, je namen njenega predloga razveljavitev Uredbe (ES) št. 45/2001  (4) in Sklepa št. 1247/2002/ES o varstvu osebnih podatkov v institucijah, organih in uradih Unije z dvema ciljema:

2.2

Svet in Evropski parlament sta po dolgem in zapletenem postopku sprejela Splošno uredbo o varstvu podatkov (5), ki se bo po 25. maju 2018 uporabljala v vsej EU; ta uredba pomeni prilagoditev različnih zakonodajnih instrumentov (6), med drugim Uredbe (ES) št. 45/2001 in Sklepa št. 1247/2002/ES.

2.3

Ob upoštevanju rezultatov anket in posvetovanj z deležniki ter ocenjevalne študije o uporabi uredbe v preteklih 15 letih je Komisija v podrobnem poročilu ugotovila zlasti, da:

2.4

Glede na naravo in obseg sprememb prejšnjih pravnih instrumentov, se je Komisija odločila, da jih v celoti razveljavi in nadomesti z obravnavanim predlogom uredbe, ki se bo skupaj z drugimi navedenimi določbami začela uporabljati sočasno z Uredbo (EU) 2016/679, kot je določeno v členu 98 te uredbe.

3.1

Z izključno tehnično-pravnega vidika EESO načelno odobrava:

3.2

To ne vpliva na vsebino ugotovitev in priporočil Odbora o predlogu Splošne uredbe o varstvu podatkov (8), ki je zdaj že sprejeta (9) ter teh ugotovitev in priporočil ne upošteva v celoti. EESO izraža bojazen, da se bo zaradi poznega sprejetja in začetka veljavnosti uredbe in glede na hiter tehnološki razvoj na tem področju še povečalo tveganje za protipravno prilastitev podatkov in zlorabo pri njihovi obdelavi in trženju in da bo uredba zastarela še pred začetkom izvajanja. Ker je ta predlog prilagoditev Splošne uredbe o varstvu podatkov delovanju evropskih institucij, se enaki pomisleki pojavljajo tudi v zvezi s tem besedilom, zlasti glede nejasnega jezika, ki je povprečnemu državljanu nerazumljiv. Bolje bi bilo oba predloga predstaviti in obravnavati skupaj.

3.3

Ker mora biti delovanje institucij EU vzor za postopke na nacionalni ravni, EESO tudi meni, da bi morala biti v tem predlogu obravnavana vrsta vprašanj.

3.4

Predvsem ni jasno, ali je predlog usklajen s Kadrovskimi predpisi za uradnike Evropske unije (Uredba št. 31 EGS (10)), saj ni posebnega ureditvenega okvira, ki bi zagotavljal učinkovitejše varstvo osebnih podatkov uslužbencev in sodelavcev institucij glede njihove zaposlitve, poklicne poti, obdobja veljavnosti pogodb in njihovega morebitnega podaljšanja ter njihovega ocenjevanja.

3.4.1

Če ne v tem aktu, bi bilo treba drugače opredeliti splošne določbe glede zdravstvenih evidenc uslužbencev in njihovih družinskih članov, varstva podatkov, ki jih ustvarijo ali uporabljajo uslužbenci, ter glede njihovih genskih podatkov, obdelave in zaščite sporočil, ki jih po elektronski pošti pošiljajo bodisi državljani organom EU bodisi si jih med seboj ali s tretjimi osebami izmenjujejo uslužbenci uradov, ter glede vsebin in obiskanih spletnih strani (11).

3.4.2

Prav tako bi morali biti brez poseganja v člen 68 posebej obravnavani primeri nadlegovanja, ustrahovanja na spletu in prijavljanja nepravilnosti v institucijah EU.

3.4.3

EESO se sprašuje tudi o uporabi sedanjega predloga in Uredbe (EU) 2016/679 v zvezi z internetom stvari, masovnimi podatki, uporabo iskalnikov za dostop do osebnih podatkov, njihovo ustvarjanje ali uporabo ter dajanje osebnih podatkov, objavljenih na straneh institucij, na družabna omrežja (Facebook, Twitter, Instagram, Linkedin itd.) ne glede na izrecno privolitev posameznikov, na katere se nanašajo osebni podatki.

3.5

EESO želi, da bi predlog uredbe Komisije poleg sklicevanja na zaupnost elektronskih komunikacij v členu 34 vključeval tudi opredelitev varnostnih pogojev za informacijske sisteme za obdelavo podatkov in zaščito pred kibernetskimi napadi, kršitvami varstva podatkov ali uhajanjem podatkov (12), s čimer bi zagotavljali tehnološko nevtralnost, namesto da bi se zanašali izključno na notranja pravila posamezne službe; želi si tudi boljše pojasnitve povezave med varstvom podatkov in bojem proti kriminalu in terorizmu, ne da bi to privedlo do sprejetja nesorazmernih ali pretiranih ukrepov nadzora, ki jih mora sicer vedno spremljati Evropski nadzornik za varstvo podatkov.

3.6

EESO poudarja, da se medsebojna povezava osebnih podatkov znotraj institucij EU ne more urejati zgolj na podlagi načela odgovornosti iz uvodne izjave 16, zato poziva Komisijo, naj uvede posebno pravilo, v skladu s katerim bi se medsebojna povezava izvedla šele po odobritvi Evropskega nadzornika za varstvo podatkov na prošnjo upravljavca ali prošnjo upravljavca skupaj z obdelovalcem.

3.7

Želi tudi, da bi predlog brez poseganja v vsebino točke 51 preambule in člena 44(3) predloga opredelil usposobljenost, izobrazbo in primernost, ki se zahtevajo za imenovanje na položaj pooblaščene osebe za varstvo podatkov, upravljavca in obdelovalca podatkov v institucijah EU (13), ki bi bili v primeru kršitve uradnih dolžnosti sankcionirani z resnično odvračilnimi disciplinskimi, civilnimi in kazenskimi sankcijami, ki so navedene v predlogu ter jih prav tako nadzira in spremlja Evropski nadzornik za varstvo podatkov.

3.8

Čeprav EESO priznava, da ta predlog povečuje raven varstva v primerjavi z obstoječo Uredbo (ES) št. 45/2001, želi, naj predlog zaradi specifičnosti zbranih podatkov, ki so neposredno povezani z zasebnostjo posameznikov, na katere se nanašajo osebni podatki, zlasti v zvezi z zdravjem, davčne in socialne podatke omeji zgolj na najnujnejše za določen namen ter naj zagotovi najboljše varstvo in zaščitne ukrepe za obdelavo posebno občutljivih osebnih podatkov, pri čemer naj se opre na mednarodne predpise ter najnaprednejše zakonodaje in dobre prakse nekaterih držav članic (14).

3.9

Čeprav se EESO zaveda, da se Uredba (EU) 2016/679 in ta predlog uporabljata le za podatke fizičnih oseb, na katere se nanašajo osebni podatki, znova poudarja, da je treba pri zbiranju in obdelavi podatkov prav tako varovati podatke zakonito ustanovljenih pravnih oseb (podjetij, nevladnih organizacij, gospodarskih družb itd.).

4.1

Podrobna analiza predlaganega besedila je pokazala nekatere dvome in zadržke glede temeljnih načel varstva zasebnosti iz Listine EU o temeljnih pravicah, načela sorazmernosti in previdnostnega načela.

4.3.1

Ker se ta uredba uporablja za obdelavo podatkov v okviru institucij EU, EESO želi, da se glede na naravo podatkov, ki se obdelujejo, izrecno vključi načelo nediskriminacije.

4.3.2

V zvezi s členom 4(1)(b) bi moral obdelavo osebnih podatkov za namene arhiviranja v javnem interesu, za znanstveno- ali zgodovinskoraziskovalne namene ali statistične namene odobriti Evropski nadzornik za varstvo podatkov, česar člen 58 ne določa.

4.3.3

Prav tako meni, da bi bilo treba vključiti določbo, ki bi bila enakovredna sedanjemu členu 7 Uredbe (ES) št. 45/2001 o prenosu podatkov med institucijami EU.

4.4.1

Ni jasno, zakaj za člen 5(1)(b) predloga uredbe ne velja zahteva iz točke 2 tega člena, drugače kot za odstavka (c) in (e) člena 6, za katera velja določba iz točke 3 Splošne uredbe o varstvu podatkov.

4.4.2

EESO meni, da bi moralo biti v odstavku (d) poudarjeno, da je privolitev dana v skladu z načelom dobre vere.

4.5.1

Uporabo tega člena mora vedno odobriti Evropski nadzornik za varstvo podatkov.

4.5.2

V teh primerih je treba posameznika, na katerega se nanašajo osebni podatki, še pred zbiranjem podatkov ali v trenutku nove odločitve o zbiranju o tem vedno obvestiti. Posameznik lahko obdelavi podatkov ugovarja ali zahteva popravek, izbris ali omejitev tovrstnega dejanja.

4.6.1

EESO meni, da je izjema od pravila glede veljavnosti privolitve otroka, mlajšega od 16 let (med 13. in 16. letom) – ki je že sama po sebi odstopanje od pravila –, neprimerna in se državam članicam dopušča zgolj zaradi kulturnih razlogov nacionalnega prava (člen 8 Splošne uredbe o varstvu podatkov), vendar ne bi smela biti sprejeta kot pravilo za institucije EU, ki določa starost 13 let (člen 8(1)).

4.6.2

Prav tako ni pojasnjeno, kako naj bi Evropski nadzornik za varstvo podatkov posvetil „posebno pozornost“ otrokom, kot navaja člen 58(1)(b), zlasti glede imenikov uporabnikov iz člena 36, kadar so njihovi podatki javno dostopni.

4.7.1

Člen 10(1) bi moral zajemati tudi strankarsko pripadnost (ki ni sopomenka političnega stališča) in zasebnost.

4.7.2

Člen 10(2)(b) bi moral predhodno obveščenost posameznika, na katerega se nanašajo osebni podatki, zahtevati tudi v primeru obdelave za namene izpolnjevanja obveznosti in izvajanja posebnih pravic tega posameznika.

4.7.3

V členu 10(2)(d) bi morala biti obdelava izvedena zgolj s privolitvijo posameznika, na katerega se nanašajo osebni podatki.

4.7.4

Odstavek (e) sme predstavljati izjemo le, če se lahko iz izjav posameznika, na katerega se nanašajo osebni podatki, upravičeno sklepa, da je privolil v obdelavo podatkov.

4.9.1

V primeru dodatnih informacij, določenih v členu 15(2), je treba poudariti tudi zahtevo, da se posameznika, na katerega se nanašajo osebni podatki, obvesti o tem, ali mora upravljavec odgovoriti obvezno ali neobvezno, in o možnih posledicah, če tega ne stori.

4.9.2

V primeru zbiranja podatkov na odprtih omrežjih je treba posameznika, na katerega se nanašajo osebni podatki, obvestiti vedno, kadar lahko njegovi osebni podatki krožijo po omrežjih brez varnostnih pogojev, in mu pojasniti, da ob tem obstaja tveganje, da bi jih videle ali uporabile tretje nepooblaščene osebe.

4.9.3

Pravico iz člena 17(1) je treba zagotavljati svobodno, neomejeno, brezplačno in v razumnih časovnih presledkih, hitro oziroma takoj.

4.9.4

EESO predlaga, da bi moral posameznik, na katerega se nanašajo osebni podatki, obvezno pridobiti potrditev, ali se podatki, ki se nanašajo nanj, obdelujejo ali ne.

4.9.5

Informacije iz člena 17(1), zlasti o podatkih, ki bodo obdelani, in o njihovem izvoru, morajo biti pregledne, jasne in razumljive.

4.11.1

EESO meni, da bi bilo treba v členu 24(2)(c) poudariti, da je privolitev možna samo po izrecni obvestitvi posameznika, na katerega se nanašajo osebni podatki, o posledicah odločitve za pravne učinke v zvezi z njim, saj bo privolitev samo tako ustrezno ozaveščena.

4.11.2

Glede člena 24(3) EESO meni, da bi moral ustrezne ukrepe opredeliti Evropski nadzornik za varstvo podatkov, in ne upravljavec podatkov.

4.12.1

EESO je zaskrbljen, da člen 25 predloga uredbe preširoko razlaga člen 23 Splošne uredbe o varstvu podatkov glede omejitev uporabe predpisov, ki določajo temeljne pravice posameznika, na katerega se nanašajo osebni podatki. Zato poziva Komisijo, naj ga kritično pregleda, in sicer tako da na podlagi strogih meril analizira vrsto odstavkov (in morebiti opredeli njihov obseg), zlasti tiste v zvezi z omejitvijo pravice do zaupnosti na elektronskih komunikacijskih omrežjih, opredeljeno v členu 7 Listine o temeljnih pravicah, omenjeno v sedanji direktivi o zasebnosti in elektronskih komunikacijah in ohranjeno v predlogu uredbe, ki jo EESO obravnava v drugem mnenju.

4.12.2

EESO odločno nasprotuje možnosti iz člena 25(2), po kateri lahko institucije in uradi Unije omejijo uporabo omejitev pravic posameznikov, na katere se nanašajo osebni podatki, kadar to ne izhaja iz izrecnih pravnih aktov, ki omejitve dovoljujejo. Enako velja za člen 34.

—

preprečita dostop nepooblaščenih oseb do naprav za obdelovanje podatkov,

—

preprečita branje, kopiranje, spreminjanje ali odvzem nosilcev podatkov s strani nepooblaščenih tretjih oseb,

—

preprečita nepooblaščen vnos ter nepooblaščeno pridobitev informacij, spreminjanje ali izbris vnesenih osebnih podatkov,

—

preprečita, da bi lahko sisteme avtomatizirane obdelave podatkov uporabile nepooblaščene osebe prek naprav za prenos podatkov,

—

zagotovita preverjanje subjektov, ki se jim lahko posredujejo osebni podatki,

—

zagotovita, da imajo pooblaščene osebe dostop zgolj do predhodno odobrenih podatkov.

4.20.1

Če pooblaščena oseba za varstvo podatkov ni uradnik, mora biti možno, da se jo brez poseganja v predhodne določbe in ob upoštevanju narave njenih zadolžitev kadar koli razreši, za kar mora zadostovati pozitivno mnenje Evropskega nadzornika za varstvo podatkov (člen 45(8) uredbe).

4.20.2

Obdobje njenega mandata mora biti 5 let, podaljša pa se lahko samo enkrat.

4.25

Predlog uredbe vsebuje številne dvoumne izraze in pojme, ki bi jih bilo treba pregledati in nadomestiti. To velja npr. za izraze „čim bolj“, „po možnosti“, „brez odlašanja“, „veliko tveganje“, „se upošteva“, „v razumnem roku“ in „zlasti pomembno“.