12.9.2015

Uradni list Evropske unije

C 301/1

Priporočila ENVP o možnostih EU za reformo varstva podatkov

(Celotno besedilo je na voljo v angleščini, francoščini in nemščini na spletni strani ENVP (www.edps.europa.eu))

(2015/C 301/01)

Evropski parlament, Svet in Evropska komisija, ki so tri glavne institucije EU, so 24. junija 2015 začeli pogajanja v okviru postopka soodločanja o predlagani Splošni uredbi o varstvu podatkov (GDPR), poznan kot neuradni „trialog“ (1). Podlaga za trialog so predlog Komisije iz januarja 2012, zakonodajna resolucija Evropskega parlamenta z dne 12. marca 2014 in splošni pristop Sveta, sprejet 15. junija 2015 (2). Te tri institucije so zavezane k obravnavi uredbe GDPR kot del širšega svežnja reform varstva podatkov, ki vključuje predlagano direktivo za policijske in pravosodne dejavnosti. Postopek bi se moral končati konec leta 2015, uradno sprejetje obeh instrumentov, ki mu bo sledilo dvoletno prehodno obdobje, pa bo najverjetneje mogoče v začetku leta 2016 (3).

Evropski nadzornik za varstvo podatkov (ENVP) je neodvisna institucija EU. ENVP ne sodeluje v trialogu, vendar je na podlagi člena 41(2) Uredbe (ES) št. 45/2001 „v zvezi z obdelavo osebnih podatkov odgovoren za zagotovitev, da institucije in organi Skupnosti spoštujejo temeljne pravice in svoboščine fizičnih oseb ter predvsem njihovo pravico do zasebnosti“ ter „za svetovanje institucijam in organom Skupnosti ter posameznikom, na katere se nanašajo osebni podatki, o vseh zadevah v zvezi z obdelavo osebnih podatkov“.Nadzornik in pomočnik nadzornika sta bila decembra 2014 imenovana s posebno nalogo, da morata biti pri svojem delu bolj konstruktivna in proaktivna, marca 2015 pa sta objavila petletno strategijo o tem, kako bosta to nalogo izvajala ter zanjo odgovarjala (4).

To mnenje je prvi mejnik v strategiji ENVP. Cilj naših priporočil je na podlagi razprav z institucijami EU, državami članicami, civilno družbo, industrijo in drugimi zainteresiranimi stranmi pomagati udeležencem v trialogu pravočasno doseči ustrezno soglasje. V mnenju se uredba GDPR obravnava v dveh delih, in sicer v:

—	viziji ENVP za v prihodnost usmerjene predpise o varstvu podatkov s ponazoritvenimi primeri naših priporočil ter

—	prilogi („Priloga k Mnenju 3/2015: primerjalna preglednica besedil uredbe GDPR s priporočilom ENVP“), ki vključuje preglednico s štirimi stolpci za primerjavo posameznih členov besedila uredbe GDPR, kot so ga sprejeli Komisija, Parlament oziroma Svet, skupaj s priporočilom ENVP.

Mnenje se objavi na našem spletišču in prek mobilne aplikacije. Jeseni 2015 bo dopolnjeno s priporočili k uvodnim izjavam uredbe GDPR ter, potem ko bo Svet sprejel splošno stališče, k direktivi o varstvu podatkov, ki se uporablja za policijske in pravosodne dejavnosti.

Izčrpno mnenje ENVP o svežnju reform, ki ga je marca 2012 predlagala Komisija, je še vedno aktualno. Vendar je bilo treba naša priporočila po treh letih posodobiti, da bi bolj neposredno upoštevali stališča sozakonodajalcev ter zagotovili posebna priporočila (5). Enako kot mnenje iz leta 2012 je tudi to mnenje v skladu z mnenji in izjavami delovne skupine iz člena 29, vključno s „prilogo“ o „osrednjih temah z vidika trialoga“, ki je bila sprejeta 17. junija in h kateri je ENVP prispeval kot polnopravni član delovne skupine (6).

Redka priložnost: zakaj je ta reforma tako pomembna

EU je v zadnji fazi napornih prizadevanj za reformo svojih predpisov o osebnih podatkih. Splošna uredba o varstvu podatkov bo v naslednjih desetletjih verjetno vplivala na vse posameznike v EU, vse organizacije v EU, ki obdelujejo osebne podatke, in organizacije zunaj EU, ki obdelujejo osebne podatke o posameznikih v EU (7). Nastopil je čas za zaščito temeljnih pravic in svoboščin posameznikov v družbi, ki bo v prihodnosti temeljila na podatkih.

Učinkovito varstvo podatkov krepi vlogo posameznika ter spodbuja odgovorno ravnanje podjetij in javnih organov. Zakoni na tem področju so zapleteni in tehnični ter zahtevajo strokovno svetovanje, zlasti neodvisnih organov za varstvo podatkov, ki razumejo izzive, povezane s skladnostjo. Uredba GDPR bo verjetno ena od najdaljših v Uradnem listu Unije, zato mora biti EU selektivna in se osredotočiti na določbe, ki so dejansko potrebne, ter se izogniti podrobnostim, ki bi lahko posledično nenamerno pretirano ovirale prihodnje tehnologije. V besedilih vsake od institucij sta poudarjeni jasnost in razumljivost pri obdelavi osebnih podatkov, zato se mora uredba GDPR ravnati po svojih načelih, tako da je čim bolj natančna in razumljiva.

Parlament in Svet morata kot sozakonodajalca sprejeti končno pravno besedilo ob pomoči Komisije, ki je pobudnica zakonodaje in varuhinja Pogodb. ENVP ni vključen v pogajanja v okviru „trialoga“, vendar ima pravno pristojnost za dajanje priporočil, pri čemer mora to nalogo izvajati proaktivno v skladu z nalogami nadzornika in pomočnika nadzornika, določenimi ob imenovanju, ter zadnjo strategijo ENVP. To mnenje upošteva večdesetletne izkušnje s področja nadzora skladnosti z zahtevami varstva podatkov ter svetovanja glede politik za pomoč pri usmerjanju institucij k cilju, ki bo sledil interesom posameznika.

Zakonodaja je umetnost mogočega. Razpoložljive možnosti v obliki zadevnih besedil, ki jih predlagajo Komisija, Parlament in Svet, vsebujejo številne koristne določbe, vendar je mogoče vsako od njih izboljšati. Čeprav končni izid po našem mnenju ne bo popoln, nameravamo institucije podpirati pri doseganju najboljšega mogočega rezultata. Zato so naša priporočila v skladu s tremi besedili. Naša prizadevanja temeljijo na treh stalnih izzivih:

—	večja korist za državljane,

—	predpisi, ki bodo delovali v praksi,

—	predpisi, ki se bodo ohranili skozi generacijo.

Namen tega mnenja je povečati preglednost in odgovornost, pri čemer gre za načeli, ki sta najverjetneje najpomembnejši novosti uredbe GDPR. Proces trialoga je pod večjim drobnogledom kot kadar koli prej. Naša priporočila so javna, vse institucije EU pa pozivamo, naj prevzamejo pobudo ter dajejo zgled, da bo ta zakonodajna reforma rezultat preglednega postopka in ne skrivnega kompromisa.

EU potrebuje nov dogovor o varstvu podatkov in začeti novo poglavje. Dogajanje pozorno spremljajo po vsem svetu. Kakovost nove zakonodaje ter njen vpliv na pravne sisteme in trende po svetu sta bistvenega pomena. ENVP s tem mnenjem sporoča, da je pripravljen in na voljo za pomoč pri zagotavljanju, da EU čim bolje izkoristi to zgodovinsko priložnost.

1. Večja korist za državljane

Predpisi EU so bili vedno usmerjeni v olajševanje prenosa podatkov znotraj EU ter med EU in njenimi trgovskimi partnerji, pri čemer je bila glavna skrb varstvo pravic in svoboščin posameznika. Internet je omogočil doslej največjo stopnjo povezanosti, samoizražanja ter možnosti za zagotavljanje koristi podjetjem in potrošnikom. Vendar pa je Evropejcem zasebnost bolj pomembna kot kdaj koli prej. Glede na raziskavo Eurobarometra o varstvu podatkov iz junija 2015 (8) več kot šest od desetih državljanov ne zaupa spletnim podjetjem, dve tretjini pa sta zaskrbljeni, ker nimata popolnega nadzora nad informacijami, ki jih zagotavljata na spletu.

Prenovljeni okvir mora ohraniti in po možnosti izboljšati standarde za posameznika. Sveženj reform varstva podatkov je bil najprej predlagan kot sredstvo za „krepitev pravic spletne zasebnosti“, z zagotovitvijo, da bodo ljudje „bolje obveščeni o svojih pravicah in […] bodo imeli boljši nadzor nad svojimi podatki“ (9). Predstavniki organizacij civilne družbe so aprila 2015 Evropski komisiji poslali dopis, v katerem so jo pozvali, naj si prizadeva, da bodo institucije ostale zveste tem namenom (10).

Obstoječa načela iz Listine, ki je primarna zakonodaja EU, je treba uporabljati dosledno, dinamično in inovativno, da bi bila za državljane učinkovita v praksi. Reforma mora biti temeljita, kar je privedlo do odločitve o svežnju. Ker pa bo obdelava podatkov verjetno spadala pod ločene pravne instrumente, je treba pojasniti njihovo točno področje uporabe in način njihove interakcije, pri čemer je treba odpraviti vrzeli, ki bi ogrozile zaščitne ukrepe (11).

Za ENVP je izhodišče dostojanstvo posameznika, ki presega vprašanje same skladnosti z zakonodajo (12). Naša priporočila temeljijo na posamezni in skupni oceni vsakega člena uredbe GDPR glede na to, ali bo okrepil položaj posameznika v primerjavi s trenutnim okvirom. Referenčna točka so načela, ki so v središču varstva podatkov, tj. člen 8 Listine o temeljnih pravicah (13).

1.1 Opredelitev: kaj so osebni podatki

Posamezniki bi morali imeti možnost učinkovitejšega uveljavljanja svojih pravic v zvezi z vsemi podatki, na podlagi katerih jih je mogoče identificirati ali prepoznati, tudi če se podatki štejejo za „psevdonimizirane“ (14).

1.2 Vsaka obdelava podatkov mora biti tako zakonita kot tudi upravičena

—

Zahteve, da je treba vse podatke obdelovati za posebne namene in na pravni podlagi, so kumulativne in se ne izključujejo. Priporočamo izogibanje kakršnemu koli združevanju, s katerim bi se ta načela oslabila. Namesto tega bi morala EU ohraniti, poenostaviti in udejanjiti uveljavljeno načelo, da bi se morali osebni podatki uporabljati samo v skladu s prvotnimi nameni zbiranja (15).

—

Privolitev je ena od mogočih pravnih podlag za obdelavo podatkov, vendar moramo preprečiti uporabo prisilnih potrditvenih polj, pri katerih posameznik nima ustrezne izbire in pri katerih sploh ni potrebe po obdelavi podatkov. Priporočamo, da se ljudem omogoči, da na primer za klinične raziskave dajo široko ali omejeno privolitev, ki se spoštuje in ki jo je mogoče preklicati (16).

—

ENVP podpira preudarne in inovativne rešitve za mednarodne prenose osebnih podatkov, ki olajšajo izmenjavo podatkov ter spoštujejo načeli varstva podatkov in nadzora. Močno priporočamo, da se ne dovolijo prenosi na podlagi pravnih interesov upravljavca, saj to pomeni nezadostno varstvo za posameznika, hkrati pa EU organom tretjih držav ne bi smela dovoliti neposrednega dostopa do podatkov v EU. Kakršen koli zahtevek za prenos, ki ga izdajo organi v tretji državi, se lahko prizna samo, če je v skladu s pravili, določenimi v pogodbah o medsebojni pravni pomoči, mednarodnih sporazumih ali drugih zakonitih sredstvih za mednarodno sodelovanje (17).

1.3 Bolj neodvisen in bolj avtoritativen nadzor

—	Organi EU za varstvo podatkov bi morali biti pripravljeni na opravljanje svojih nalog od začetka veljavnosti uredbe GDPR, Evropski odbor za varstvo podatkov pa bi moral v celoti začeti delovati takoj, ko se bo Uredba začela uporabljati (18).

—	Organi bi morali imeti možnost obravnavati in preiskovati pritožbe in zahtevke, ki jih predložijo posamezniki, na katere se nanašajo osebni podatki, ali organi, organizacije in združenja.

—

Za uveljavljanje individualnih pravic je potreben učinkovit sistem odgovornosti in nadomestil za škodo, nastalo zaradi nezakonite obdelave podatkov. Glede na jasne ovire pri pridobivanju pravnega varstva v praksi bi morali imeti posamezniki možnost, da jih v sodnih postopkih zastopajo organi, organizacije in združenja (19).

2. Predpisi, ki bodo delovali v praksi

Zaščitni ukrepi se ne bi smeli zamenjevati s formalnostmi. V prihodnosti bi lahko pretirana osredotočenost na podrobnosti ali poskusi mikroupravljanja poslovnih procesov postali zastareli. Tukaj se lahko zgledujemo po smernicah EU na področju konkurence, kjer se sorazmerno omejen sklop sekundarne zakonodaje dosledno uveljavlja ter spodbuja kulturo odgovornosti in ozaveščenost med podjetji (20).

V vsakem od treh besedil se zahteva jasnejše in enostavnejše delovanje odgovornih oseb za obdelavo osebnih podatkov (21). Poleg tega morajo biti natančne in lahko razumljive tudi tehnične obveznosti, če naj jih upravljavci ustrezno izvajajo (22).

Obstoječi postopki niso nedotakljivi: cilj naših priporočil je opredeliti načine za debirokratizacijo ter zmanjšanje količine predpisov v zvezi z dokumentacijo in nepomembnimi formalnostmi. Sprejemanje zakonov priporočamo samo, kadar so dejansko potrebni. To zagotavlja manevrski prostor za podjetja, javne organe ali organe za varstvo podatkov: prostor, ki ga je treba zapolniti z odgovornostjo in smernicami organov za varstvo podatkov. Na splošno bi bila uredba GDPR na podlagi naših priporočil skoraj za 30 % krajša od povprečne dolžine besedil treh institucij (23).

2.1 Učinkoviti zaščitni ukrepi, ne postopki

—

Dokumentacija bi morala biti sredstvo za dosego skladnosti in ne njen cilj; reforma se mora osredotočiti na rezultate. Priporočamo prožen pristop, ki obveznosti upravljavcev v zvezi z dokumentacijo združuje v enoten ukrep za zagotavljanje njene skladnosti z uredbo ob upoštevanju tveganj, pri čemer se skladnost dokaže pregledno za prenose, pogodbe z obdelovalci ali obvestila o kršitvah (24).

—

Na podlagi izrecnih meril za oceno tveganj in naših izkušenj z nadziranjem institucij EU priporočamo, da se obvestila nadzornim organom o kršitvah varstva podatkov ter ocene učinka o varstvu podatkov zahtevajo samo v primerih, kadar so ogrožene pravice in svoboščine posameznikov, na katere se nanašajo osebni podatki (25).

—	Pobude industrije prek zavezujočih poslovnih pravil ali pečatov zaupnosti je treba dejavno spodbujati (26).

2.2 Boljše ravnovesje med javnim interesom in varstvom osebnih podatkov

—

Predpisi o varstvu podatkov ne bi smeli ovirati zgodovinskih, statističnih in znanstvenih raziskav, ki so resnično v javnem interesu. Odgovorni morajo sprejeti potrebne ukrepe za preprečevanje uporabe osebnih podatkov v nasprotju z interesom posameznika, pri čemer je treba posebno pozornost nameniti na primer predpisom, ki urejajo občutljive informacije v zvezi z zdravjem (27).

—	Raziskovalci in arhivarji bi morali imeti možnost shranjevanja podatkov za toliko časa, kot je potrebno, ob upoštevanju teh zaščitnih ukrepov (28).

2.3 Zaupanje v nadzorne organe in krepitev njihove vloge

—	Priporočamo, da se nadzornim organom omogoči izdajanje smernic upravljavcem podatkov ter razvoj lastnega notranjega poslovnika za poenostavljeno in preprostejšo uporabo uredbe GDPR s strani enega samega nadzornega organa („vse na enem mestu“), ki je blizu državljanu („bližina“) (29).

—	Organi bi morali imeti možnost določanja učinkovitih, sorazmernih in odvračilnih popravnih ter upravnih sankcij na podlagi vseh ustreznih okoliščin (30).

3. Predpisi, ki se bodo ohranili skozi generacijo

Direktiva 95/46/ES, ki je glavni steber sedanjega okvira, je model za nadaljnje zakonodajne predpise o obdelavi podatkov v EU in po svetu ter je bila celo podlaga za besedilo o pravici do varstva osebnih podatkov v členu 8 Listine o temeljnih pravicah. Ta reforma bo oblikovala obdelavo podatkov za generacijo, ki ne pozna življenja brez interneta. EU mora zato v celoti razumeti posledice tega ukrepa za posameznike in njegovo trajnost z vidika tehnološkega razvoja.

V zadnjih letih so se eksponentno povečali pridobivanje, zbiranje, analiziranje in izmenjava osebnih podatkov, kar je posledica tehnoloških inovacij, kot so internet stvari, računalništvo v oblaku, veliki podatki in odprti podatki, katerih izkoriščanje je za EU ključno pri doseganju njene konkurenčnosti (31). Glede na dolgotrajnost Direktive 95/46/ES je razumno pričakovati podoben časovni okvir pred naslednjo večjo revizijo predpisov o varstvu podatkov, ki se bo morda začela šele konec tridesetih let tega stoletja. Za podatkovno vodene tehnologije se lahko pričakuje, da se bodo že veliko pred tem združile z umetno inteligenco, obdelavo naravnega jezika in biometričnimi sistemi, pri tem pa se bo krepila vloga aplikacij za napredno inteligenco s sposobnostjo strojnega učenja.

Te tehnologije pomenijo izziv za načela varstva podatkov. Reforma, usmerjena v prihodnost, mora zato temeljiti na dostojanstvu posameznika in etiki. Odpraviti mora neravnovesje med inovacijami na področju varstva osebnih podatkov in njihovim izkoriščanjem ter tako zagotoviti učinkovitost zaščitnih ukrepov v naši digitalizirani družbi.

3.1 Odgovorne poslovne prakse in inovativne tehnologije

—

Reforma bi morala obrniti nedavni trend skrivnega sledenja in odločanja na podlagi profilov, ki so posamezniku skriti. Težava ni ciljno oglaševanje ali praksa profiliranja, temveč pomanjkanje pomembnih informacij o algoritmični logiki, ki je podlaga za razvoj teh profilov in vpliva na posameznika, na katerega se nanašajo osebni podatki (32). Priporočamo večjo preglednost delovanja upravljavcev.

—	Odločno podpiramo uvedbo načel vgrajenega in privzetega varstva podatkov kot sredstva za spodbujanje tržnih rešitev v digitalnem gospodarstvu. Priporočamo enostavnejše besedilo za zahtevo, da se pravice in interesi posameznika vključijo v razvoj proizvoda in privzete nastavitve (33).

3.2 Krepitev vloge posameznika

Prenosljivost podatkov v digitalnem okolju pomeni dostop do nadzora uporabnikov, za katerega se posamezniki zdaj vse bolj zavedajo, da ga primanjkuje. Priporočamo, da se omogoči neposredni prenos podatkov med upravljavci na zahtevo posameznika, na katerega se nanašajo osebni podatki, in da se takemu posamezniku podeli pravica, da prejme kopijo podatkov, ki jih lahko sam posreduje drugemu upravljavcu (34).

3.3 Predpisi, primerni za prihodnost

Odsvetujemo uporabo jezika in praks, ki bodo verjetno postali zastareli ali sporni (35).

4. Nedokončano delo

Sprejetje v prihodnost usmerjenega svežnja reform varstva podatkov bo velik, vendar nepopoln dosežek.

Vse institucije se strinjajo, da bi morala načela uredbe GDPR dosledno veljati za vse institucije EU. Zagovarjali smo pravno varnost in enotnost pravnega okvira, pri čemer smo priznavali edinstvenost javnega sektorja EU ter potrebo po preprečevanju kakršnega koli zmanjšanja trenutnih ravni obveznosti (kot tudi potrebo po zagotavljanju pravne in organizacijske podlaga ENVP). Zato mora Komisija čim prej po končanih pogovorih o uredbi GDPR pripraviti predlog za spremembo Uredbe (ES) št. 45/2001, skladen z uredbo GDPR, da bi se lahko obe besedili začeli uporabljati hkrati (36).

Poleg tega je jasno, da bo treba Direktivo 2002/58/ES („direktiva o e-zasebnosti“) spremeniti. Še veliko pomembneje je, da EU potrebuje jasen okvir za zaupnost komunikacij, ki je sestavni del pravice do zasebnosti ter ureja vse storitve, ki omogočajo komunikacije, in ne le ponudnike javno dostopnih elektronskih komunikacij. To je treba doseči s pravno varno in usklajevalno uredbo, ki ob enakih pogojih delovanja predvideva vsaj enake standarde varstva, kot veljajo v direktivi o e-zasebnosti.

V tem mnenju se zato priporoča, da je treba pozvati k zavezanosti k čim prejšnjemu sprejetju predlogov na teh dveh področjih.

5. Prelomen trenutek za digitalne pravice v Evropi in zunaj nje

Prvič v generaciji ima EU priložnost, da posodobi in uskladi predpise o ravnanju z osebnimi podatki. Zasebnost in varstvo podatkov ne konkurirata niti z gospodarsko rastjo in mednarodno trgovino niti s pomembnimi storitvami in proizvodi – sta del kakovosti in vrednosti ponudbe. Kot priznava Evropski svet, je zaupanje nujen predpogoj za inovativne proizvode in storitve, ki so odvisne od obdelave osebnih podatkov.

EU je bila 1995 pionirka na področju varstva podatkov. Danes ima več kot 100 držav po svetu zakonodajo o varstvu podatkov, pri čemer jih je manj kot polovica evropskih držav (37). EU je kljub temu še vedno deležna posebne pozornosti držav, ki razmišljajo o oblikovanju ali spreminjanju svojih pravnih okvirov. V času, ko je zaupanje ljudi v podjetja in vlade omajano zaradi razkritij o množičnem nadzoru in kršitvah varstva podatkov, to pomeni precejšnjo odgovornost za zakonodajalce EU, katerih odločitve letos najverjetneje ne bodo imele učinka zunaj Evrope.

Po mnenju ENVP so besedila uredbe GDPR na dobri poti, vendar pomisleki ostajajo, pri čemer so nekateri zelo resni. V postopku soodločanja vedno obstaja tveganje, da bodo dobronamerni pogajalci v želji po političnem kompromisu oslabili nekatere določbe. Vendar je v primeru reforme varstva podatkov drugače, saj obravnavamo temeljne pravice in način njihove zaščite za celotno generacijo.

V skladu s tem naj bi to mnenje glavnim institucijam EU pomagalo pri reševanju težav. Želimo večje pravice za posameznika, na katerega se nanašajo osebni podatki, in večjo odgovornost upravljavca ter hkrati spodbuditi inovacije na podlagi pravnega okvira, ki je nevtralen do tehnologije, vendar naklonjen koristim, ki jih lahko tehnologija prinese družbi.

Glede na to, da so pogajanja v zadnji fazi, upamo, da bodo naša priporočila EU pomagala izvesti reformo, ki bo sledila svojemu namenu v naslednjih letih in desetletjih: novo poglavje za varstvo podatkov z globalno razsežnostjo, kjer lahko EU daje zgled.

V Bruslju, 27. julija 2015

Giovanni BUTTARELLI

Evropski nadzornik za varstvo podatkov

(1) Skupne izjave Evropskega parlamenta, Sveta in Komisije: Skupna izjava o praktičnih ureditvah za postopek soodločanja (člen 251 Pogodbe ES) (2007/C 145/02) (UL C 145, 30.6.2007).

(2) COM(2012) 11 final; Zakonodajna resolucija Evropskega parlamenta z dne 12. marca 2014 o predlogu uredbe Evropskega parlamenta in Sveta o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov (Splošna uredba o varstvu podatkov), P7_TA(2014)0212; Predlog uredbe Evropskega parlamenta in Sveta o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov (Splošna uredba o varstvu podatkov) – priprava splošnega pristopa, dokument Sveta 9565/15 z dne 11. junija 2015.

(3) Celoten naslov je Predlog direktive o varstvu posameznikov pri obdelavi osebnih podatkov, ki jih pristojni organi obdelujejo za namene preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj ali izvrševanja kazenskih sankcij, in o prostem pretoku takih podatkov, COM(2012) 10 final; Zakonodajna resolucija Evropskega parlamenta z dne 12. marca 2014 o predlogu direktive Evropskega parlamenta in Sveta o varstvu posameznikov pri obdelavi osebnih podatkov, ki jih pristojni organi obdelujejo za namene preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj ali izvrševanja kazenskih sankcij, in o prostem pretoku takih podatkov, P7_TA(2014)0219. Časovni razpored in obseg trialoga sta na voljo v sklepih Evropskega sveta z dne 25. in 26. junija 2015, EUCO 22/15; „časovni načrt“ trialoga je bil predstavljen na skupni tiskovni konferenci Parlamenta, Sveta in Komisije (http://audiovisual.europarl.europa.eu/AssetDetail.aspx?id=690e8d8d-682d-4755-bfb6-a4c100eda4ed) [nazadnje obiskano 20. julija 2015], vendar še ni bil uradno objavljen. Uredba GDPR bo začela veljati 20 dni po objavi v Uradnem listu in naj bi se v celoti začela uporabljati dve leti po začetku veljavnosti (člen 91).

(4) Objava prostega delovnega mesta za evropskega nadzornika za varstvo podatkov COM/2014/10354 (2014/C 163 A/02), UL L 163 A/6, 28.5.2014. ENVP se je v strategiji za obdobje 2015–2019 zavezal, da bo „iskal uporabne rešitve za skrajšanje nepotrebnih birokratskih postopkov, ostal prilagodljiv, kar zadeva tehnološke inovacije in čezmejni prenos podatkov, ter posameznikom omogočal, da učinkoviteje uveljavljajo svoje pravice na spletu in zunaj njega“; Zgledno delovanje: Strategija ENVP za obdobje 2015–2019, marec 2015.

(5) Mnenje ENVP o svežnju reform varstva podatkov z dne 7. marca 2012.

(6) Glej prilogo k dopisu delovne skupine iz člena 29, naslovljenemu na Vĕro Jourovo, komisarko za pravosodje, potrošnike in enakost spolov, z dne 17. junija 2015.

(7) Stvarno in ozemeljsko področje uporabe uredbe GDPR je težko povzeti na kratko. Institucije se strinjajo vsaj v tem, da področje uporabe zajema organizacije s sedežem v EU, ki so odgovorne za obdelavo osebnih podatkov v EU ali zunaj nje, ter organizacije s sedežem zunaj EU, ki v okviru ponujanja blaga ali storitev posameznikom v EU ali spremljanja takih posameznikov obdelujejo njihove osebne podatke. (Glej člen 2 o stvarnem področju uporabe in člen 3 o ozemeljskem področju uporabe.)

(8) Poleg tega je sedem od desetih državljanov zaskrbljenih zaradi možnosti, da se njihove informacije uporabljajo za drugačen namen od tistega, za katerega so bile zbrane, eden od sedmih meni, da bi bilo treba v vseh primerih zahtevati predhodno izrecno odobritev zbiranja in obdelave podatkov, dve tretjini pa menita, da je pomembno, da se lahko osebni podatki s starega ponudnika storitev prenesejo na novega; posebna raziskava Eurobarometra 431 o varstvu podatkov iz junija 2015. Primerljive rezultate je dala raziskava Pew iz leta 2014, v okviru katere je bilo ugotovljeno naslednje: 91 % Američanov meni, da so izgubili nadzor nad tem, kako podjetja zbirajo in uporabljajo osebne podatke, 80 % uporabnikov družabnih omrežij je zaskrbljenih zaradi možnosti, da bi njihove podatke pridobile tretje osebe, kot so oglaševalci ali podjetja, 64 % vprašanih pa je menilo, da bi morala vlada storiti več za nadzor nad oglaševalci; Pew Research Privacy Panel Survey iz januarja 2014.

(9) Komisija predlaga temeljito reformo predpisov o varstvu podatkov za boljši nadzor uporabnikov nad njihovimi podatki in znižanje stroškov za podjetja.

(10) Dopis NVO predsedniku Junckerju z dne 21. aprila 2015 (https://edri.org/files/DP_letter_Juncker_20150421.pdf) in odgovor vodje kabineta podpredsednika Timmermansa z dne 17. julija 2015 (https://edri.org/files/eudatap/Re_EC_EDRi-GDPR.pdf) [obiskano 23. julija 2015]. ENVP se je maja 2015 sestal z več predstavniki teh NVO, da bi razpravljali o njihovih pomislekih; SPOROČILO ZA JAVNOST EDPS/2015/04 z dne 1. junija 2015 o reformi varstva podatkov v EU: srečanje ENVP z mednarodnimi skupinami za državljanske svoboščine; celoten posnetek razprave je na voljo na spletišču ENVP (https://secure.edps.europa.eu/EDPSWEB/edps/EDPS/Pressnews/Videos/GDPR_civil_soc).

(11) Člen 2(2)(e).

(12) Člen 1.

(13) V členu 8 Listine je navedeno [dodan poudarek]:

„1.	Vsakdo ima pravico do varstva osebnih podatkov, ki se nanj nanašajo.

2.	Osebni podatki se morajo obdelovati pošteno, za določene namene in na podlagi privolitve prizadete osebe ali na drugi legitimni podlagi, določeni z zakonom. Vsakdo ima pravico dostopa do podatkov, zbranih o njem, in pravico zahtevati, da se ti podatki popravijo.

3.	Spoštovanje teh pravil nadzira neodvisen organ.“

(14) Člen 10. Razen če ne bo in dokler ne bo obstajala jasna in pravno zavezujoča opredelitev za „psevdonimizirane podatke“, ki bi jih razlikovala od „osebnih podatkov“, mora ta vrsta podatkov ostati znotraj področja uporabe predpisov o varstvu podatkov.

(15) Člena 6(2) in (4). Ker je obstajala določena negotovost v zvezi s pomenom izraza „skladnost“, na podlagi mnenja delovne skupine iz člena 29 o omejitvi namena priporočamo oblikovanje splošnih meril za oceno, ali je obdelava skladna (glej člen 5(2)).

(16) Učinkovita funkcijska ločitev je sredstvo za zagotavljanje zakonite obdelave ob odsotnosti privolitve, vendar se pravni interes ne sme razlagati preširoko. V nekaterih primerih je lahko primerna alternativa tudi brezpogojna pravica do zavrnitve. Ocena, ali je privolitev prostovoljna, je deloma odvisna od tega, (a) ali obstaja znatno neravnovesje med posameznikom, na katerega se nanašajo osebni podatki, in upravljavcem ter (b) ali je v primerih obdelave na podlagi člena 6(1)(b) izvajanje pogodbe ali zagotavljanje storitve odvisno od privolitve k obdelavi podatkov, ki niso potrebni za te namene. (Glej člen 7(4)). To ustreza določbi v pravu varstva potrošnikov EU: v členu 3(1) Direktive 93/13/EGS z dne 5. aprila 1993 o nedovoljenih pogojih v potrošniških pogodbah je navedeno: „Pogodbeni pogoj, o katerem se stranki nista dogovorili posamično, velja za nedovoljenega, če v nasprotju z zahtevo dobre vere v škodo potrošnika povzroči znatno neravnotežje v pogodbenih pravicah in obveznostih strank“.

(17) Taka pravila vključujejo sklepe o ustreznosti za določene sektorje in ozemlja, redno preverjanje sklepov o ustreznosti ter zavezujoča poslovna pravila. Glej člene 40 do 45.

(18) Člen 73.

(19) Člen 76. Opis težav pri pridobivanju pravnega varstva zaradi kršitev predpisov o varstvu podatkov je na voljo v poročilu Agencije za temeljne pravice z naslovom „Dostop do pravnih sredstev v zvezi z varstvom podatkov v državah članicah EU“ iz leta 2013.

(20) Pravila EU poudarjajo samoocenjevanje podjetij v zvezi s skladnostjo s členom 101 Pogodbe o delovanju Evropske unije (PDEU) o prepovedi protikonkurenčnih sporazumov, medtem ko imajo prevladujoča podjetja na trgu „posebno odgovornost“, da se izogibajo kakršnim koli ukrepom, ki bi lahko škodili učinkoviti konkurenci (odstavek 9 Navodil Komisije 2009/C 45/02); glej predhodno mnenje ENVP o zasebnosti in konkurenčnosti v dobi velikih podatkov z dne 14. marca 2014.

(21) Tri besedila se različno sklicujejo na naslednje: „razumljiv način in v razumljivi obliki, ob uporabi enostavnega in jasnega jezika“ (uvodna izjava (57) EP; člen 19 Komisija in Svet), biti „jasen in nedvoumen“ (uvodna izjava 99 EP; člen 10a EP), zagotavljanje „jasnih in lahko razumljivih informacij“ (člen 10 EP, člen 11 EP) ter informacije, ki so „natančne, pregledne in lahko dostopne“ (uvodna izjava 25 EP, Komisija in Svet; člen 11 EP).

(22) Določbe v zvezi z delegiranimi akti so bile iz različic Parlamenta in Sveta večinoma črtane. Menimo, da bi lahko EU šla še korak dlje in te tehnične zadeve prepustila v strokovno presojo neodvisnim organom.

(23) V skladu z našimi priporočili bi besedilo vsebovalo približno 20 000 besed, medtem ko je povprečna dolžina besedil treh institucij približno 28 000 besed.

(24) Člen 22.

(25) Člena 31 in 33.

(26) Člen 39.

(27) Člen 83. Raziskovanje in arhiviranje sama po sebi ne pomenita pravne podlage za obdelavo, zato priporočamo izbris člena 6(2).

(28) Člen 83a.

(29) Delovna skupina iz člena 29 je predstavila vizijo upravljanja, mehanizem za skladnost in storitev „vse na enem mestu“ na podlagi zaupanja v neodvisne organe za varstvo podatkov ter v okviru treh ravni:

—	posamezen organ za varstvo podatkov, ki je močan in ima na voljo vsa sredstva za obravnavo primerov v okviru svojih pristojnosti,

—	učinkovito sodelovanje med organi za varstvo podatkov z jasno vodilno vlogo v čezmejnih primerih,

—

Evropski odbor za varstvo podatkov, ki mora biti avtonomen, imeti lastno pravno osebnost, imeti na voljo zadostna sredstva, vključevati enakopravne organe za varstvo podatkov, ki sodelujejo za solidarnost, imeti pooblastila za sprejemanje zavezujočih odločitev ter imeti podporo sekretariata, ki za odbor deluje prek predsednika.

(30) Poleg tega priporočamo, da se pojasnijo pristojnosti nadzornih organov in imenuje vodilni organ v primeru obdelave na nadnacionalni ravni ter ohrani zmožnosti nadzornih organov, da obravnavajo povsem lokalne primere. Priporočamo poenostavljeno različico mehanizma za skladnost z več informacijami o tem, kako določiti primere, v katerih bi se morali nadzorni organi posvetovati z Evropskim odborom za varstvo podatkov ter v katerih bi moral odbor izdati zavezujočo odločitev, da se zagotovi dosledna uporaba Uredbe.

(31) Sporočilo Komisije o strategiji za enotni digitalni trg za Evropo, COM(2015) 192 final; sklepi Evropskega sveta iz junija 2015, EUCO 22/15; sklepi Sveta o digitalizaciji evropske industrije, 8993/15.

(32) Člen 14(h).

(33) Člen 23.

(34) Člen 18. Da bi bila pravica do prenosljivosti podatkov učinkovita, priporočamo, da se ta pravica ne uporablja samo za postopke obdelave podatkov, ki jih zagotovi posameznik, na katerega se nanašajo osebni podatki, temveč da se zagotovi široko področje njene uporabe.

(35) Priporočamo na primer opuščanje izrazov, kot so „na spletu“, „pisno“ in „informacijska družba“.

(36) Ena od možnosti, za katero se zavzemamo, je, da se to doseže z vključitvijo določbe v samo uredbo GDPR.

(37) Greenleaf, Graham, Global Data Privacy Laws 2015 (Zakonodaje o varstvu podatkov po svetu): 109 Countries, with European Laws Now a Minority (109 držav, pri čemer so evropske zakonodaje zdaj v manjšini) (30. januar 2015); (2015) 133 Privacy Laws & Business International Report (mednarodno poročilo podjetja Privacy Laws & Business, izdaja 133) iz februarja 2015; UNSW Law Research Paper (raziskava pravne fakultete UNSW) št. 2015-21.

		ISSN 1977-1045
Uradni list Evropske unije		C 301

Slovenska izdaja	Informacije in objave	Zvezek 58 12. september 2015

Obvestilo št.	Vsebina	Stran
	I Resolucije, priporočila in mnenja
	PRIPOROČILA
	Evropski nadzornik za varstvo podatkov
2015/C 301/01	Priporočila ENVP o možnostih EU za reformo varstva podatkov	1

	II Sporočila
	SPOROČILA INSTITUCIJ, ORGANOV, URADOV IN AGENCIJ EVROPSKE UNIJE
	Evropska komisija
2015/C 301/02	Nenasprotovanje priglašeni koncentraciji (Zadeva M.7579 – Royal Dutch Shell/Keele Oy/Aviation Fuel Services Norway) ( 1 )	9
2015/C 301/03	Nenasprotovanje priglašeni koncentraciji (Zadeva M.7685 – Perrigo/GSK Divestment Businesses) ( 1 )	9

	IV Informacije
	INFORMACIJE INSTITUCIJ, ORGANOV, URADOV IN AGENCIJ EVROPSKE UNIJE
	Evropska komisija
2015/C 301/04	Menjalni tečaji eura	10
	INFORMACIJE DRŽAV ČLANIC
2015/C 301/05	Sporočilo Komisije v skladu s členom 16(4) Uredbe (ES) št. 1008/2008 Evropskega parlamenta in Sveta o skupnih pravilih za opravljanje zračnih prevozov v Skupnosti – Obveznosti javne službe glede rednih zračnih prevozov ( 1 )	11
2015/C 301/06	Sporočilo Komisije v skladu s členom 17(5) Uredbe (ES) št. 1008/2008 Evropskega parlamenta in Sveta o skupnih pravilih za opravljanje zračnih prevozov v Skupnosti – Javni razpis za opravljanje rednih zračnih prevozov v skladu z obveznostmi javne službe ( 1 )	12
2015/C 301/07	Sporočilo Komisije v skladu s členom 17(5) Uredbe (ES) št. 1008/2008 Evropskega parlamenta in Sveta o skupnih pravilih za opravljanje zračnih prevozov v Skupnosti – Javni razpis za opravljanje rednih zračnih prevozov v skladu z obveznostmi javne službe ( 1 )	13

	V Objave
	POSTOPKI V ZVEZI Z IZVAJANJEM POLITIKE KONKURENCE
	Evropska komisija
2015/C 301/08	Predhodna priglasitev koncentracije (Zadeva M.7697 – Aéroports de Paris / Select Service Partner Group / JV) – Zadeva, primerna za obravnavo po poenostavljenem postopku ( 1 )	14
2015/C 301/09	Predhodna priglasitev koncentracije (Zadeva M.7595 – TDR Capital/LeasePlan) – Zadeva, primerna za obravnavo po poenostavljenem postopku ( 1 )	15
2015/C 301/10	Predhodna priglasitev koncentracije (Zadeva M.7705 – Benson Elliot/Walton Street/Starwood/Hotel Portfolio) – Zadeva, primerna za obravnavo po poenostavljenem postopku ( 1 )	16
2015/C 301/11	Predhodna priglasitev koncentracije (Zadeva M.7743 – Trailstone/E2M) – Zadeva, primerna za obravnavo po poenostavljenem postopku ( 1 )	17

	Valuta	Menjalni tečaj
USD	ameriški dolar	1,1268
JPY	japonski jen	136,02
DKK	danska krona	7,4608
GBP	funt šterling	0,73060
SEK	švedska krona	9,3709
CHF	švicarski frank	1,1031
ISK	islandska krona
NOK	norveška krona	9,2710
BGN	lev	1,9558
CZK	češka krona	27,074
HUF	madžarski forint	314,74
PLN	poljski zlot	4,2080
RON	romunski leu	4,4189
TRY	turška lira	3,4302
AUD	avstralski dolar	1,5955
CAD	kanadski dolar	1,4945
HKD	hongkonški dolar	8,7327
NZD	novozelandski dolar	1,7914
SGD	singapurski dolar	1,5948
KRW	južnokorejski won	1 333,25
ZAR	južnoafriški rand	15,2887
CNY	kitajski juan	7,1832
HRK	hrvaška kuna	7,5500
IDR	indonezijska rupija	16 114,26
MYR	malezijski ringit	4,8642
PHP	filipinski peso	52,755
RUB	ruski rubelj	76,6060
THB	tajski bat	40,734
BRL	brazilski real	4,3272
MXN	mehiški peso	18,8722
INR	indijska rupija	74,8967


	(1) Besedilo velja za EGP