Opinia w sprawie wniosku Komisji dotyczącego rozporządzenia Parlamentu Europejskiego i Rady w sprawie współpracy...

1.

Dnia 29 sierpnia 2011 r. Komisja przyjęła wniosek dotyczący rozporządzenia (zwany dalej "wnioskiem" lub "wnioskowanym rozporządzeniem") Parlamentu Europejskiego i Rady w sprawie współpracy administracyjnej za pośrednictwem systemu wymiany informacji na rynku wewnętrznym ("IMI")⁽³⁾. Tego samego dnia wniosek przesłano EIOD do konsultacji.

2.

Przed przyjęciem wniosku EIOD miał możliwość zgłoszenia nieformalnych uwag na temat wniosku, wcześniej zaś na temat komunikatu Komisji "Lepsze zarządzanie jednolitym rynkiem dzięki ściślejszej współpracy administracyjnej: Strategia rozszerzania i rozwoju systemu wymiany informacji na rynku wewnętrznym ("IMI")" ("komunikatu w sprawie strategii IMI")⁽⁴⁾, który poprzedził wniosek. Wiele z tych uwag uwzględniono we wniosku, w wyniku czego zabezpieczenia związane z ochroną danych zawarte we wniosku zostały udoskonalone.

3.

EIOD z zadowoleniem przyjmuje fakt przeprowadzenia z nim formalnych konsultacji przez Komisję oraz zamieszczenia odniesienia do obecnej opinii w preambule wniosku.

4.

System IMI jest narzędziem informatycznym umożliwiającym właściwym organom w państwach członkowskich wzajemną wymianę informacji podczas stosowania prawodawstwa dotyczącego rynku wewnętrznego. System ten umożliwia władzom krajowym, regionalnym i lokalnym państw członkowskich UE szybką oraz łatwą komunikację z odpowiednikami w pozostałych krajach europejskich. Wiąże się to również z przetwarzaniem stosownych danych osobowych, w tym danych szczególnie chronionych.

5.

System IMI powstał pierwotnie jako narzędzie komunikacyjne służące bezpośredniej wymianie informacji na mocy dyrektywy w sprawie uznawania kwalifikacji zawodowych⁽⁵⁾ i dyrektywy usługowej⁽⁶⁾. Pomaga on użytkownikom znaleźć właściwy organ, z którym należy się skontaktować w innym państwie, oraz skomunikować się z nim za pomocą już przetłumaczonych zestawów standardowych pytań i odpowiedzi⁽⁷⁾.

6.

IMI jest jednak w założeniu elastycznym, horyzontalnym systemem, który można dostosować do potrzeb wielu obszarów prawodawstwa dotyczącego rynku wewnętrznego. Przewiduje się, że jego zastosowanie będzie w przyszłości stopniowo rozszerzane na dodatkowe obszary prawodawstwa.

7.

Planuje się również rozszerzenie funkcji IMI. Oprócz wymiany informacji między dwiema stronami planuje się także, lub też wdrożono już, inne funkcje takie jak "procedury powiadamiania, mechanizmy ostrzegania, procedury wzajemnej pomocy oraz rozwiązywania problemów"⁽⁸⁾, jak też "repozytorium informacji do późniejszego wykorzystania przez uczestników IMI"⁽⁹⁾. Wiele, choć nie wszystkie, z tych funkcji może się także wiązać z przetwarzaniem danych osobowych.

8.

Celem wniosku jest zapewnienie IMI jednoznacznej podstawy prawnej i kompleksowych ram ochrony danych.

9.

Wiosną 2007 r. Komisja poprosiła o opinię Grupy Roboczej Art. 29 dotyczącą implikacji IMI z punktu widzenia ochrony danych. Grupa Robocza wydała opinię dnia 20 września 2007 r.⁽¹⁰⁾. W opinii zalecono, aby Komisja zapewniła bardziej jednoznaczną podstawę prawną i konkretne zabezpieczenia związane z ochroną danych przy ich wymianie w ramach IMI. EIOD wziął aktywny udział w pracach podgrupy zajmującej się IMI i poparł wnioski zawarte w opinii Grupy Roboczej Art. 29.

10.

Na późniejszym etapie EIOD nadal przedstawiał Komisji wskazówki dotyczące sposobu stopniowego zapewnienia IMI bardziej kompleksowych ram ochrony danych⁽¹¹⁾. W ramach tej współpracy od chwili wydania w dniu 22 lutego 2008 r. opinii w sprawie wdrożenia IMI⁽¹²⁾ EIOD konsekwentnie opowiada się za stworzeniem nowego instrumentu prawnego w ramach zwykłej procedury ustawodawczej w celu ustanowienia w odniesieniu do IMI bardziej kompleksowych ram ochrony danych i zagwarantowania pewności prawa. Obecnie przedstawiono wniosek dotyczący takiego instrumentu prawnego⁽¹³⁾.

11.

EIOD ogólnie pozytywnie ocenia IMI. Popiera on cele Komisji polegające na ustanowieniu elektronicznego systemu wymiany informacji oraz uregulowaniu jego aspektów dotyczących ochrony danych. Usprawniony system nie tylko zwiększy efektywność współpracy, ale może też pomóc w zapewnieniu trwałej zgodności ze stosownymi przepisami dotyczącymi ochrony danych. Będzie to możliwe dzięki określeniu jasnych zasad, jakie informacje można wymieniać, z kim i pod jakimi warunkami.

12.

EIOD z zadowoleniem przyjmuje również fakt, że Komisja proponuje horyzontalny instrument prawny dla IMI w postaci rozporządzenia Rady i Parlamentu. Z zadowoleniem stwierdza, że we wniosku kompleksowo wskazano najistotniejsze kwestie dotyczące ochrony danych w związku z IMI. Jego uwagi należy zatem interpretować w tym pozytywnym kontekście.

13.

EIOD ostrzega niemniej, że ustanowienie jednego scentralizowanego systemu elektronicznego dla większej liczby obszarów współpracy administracyjnej wiąże się także z ryzykiem. Najważniejszym rodzajem ryzyka jest możliwość udostępniania większej ilości danych szerszej grupie odbiorców, niż jest to konieczne do celów efektywnej współpracy, oraz fakt, że dane, w tym również potencjalnie dane nieaktualne i niedokładne, mogą pozostawać w systemie elektronicznym dłużej, niż jest to niezbędne. Wrażliwą kwestią jest też bezpieczeństwo systemu informacyjnego dostępnego w 27 państwach członkowskich, gdyż cały system będzie tylko tak bezpieczny, jak najsłabsze ogniwo łańcucha.

14.

W odniesieniu do ram prawnych IMI, które mają zostać ustanowione we wnioskowanym rozporządzeniu, EIOD zwraca uwagę na dwa główne wyzwania:

15.

Te główne wyzwania stanowią ważne punkty odniesienia i w znacznej mierze decydują o podejściu przyjętym przez EIOD w obecnej opinii.

16.

Po pierwsze, system IMI jest wykorzystywany w 27 państwach członkowskich. Na obecnym etapie harmonizacji przepisów europejskich między krajowymi procedurami administracyjnymi oraz krajowymi przepisami dotyczącymi ochrony danych występują znaczące różnice. System IMI trzeba skonstruować w taki sposób, aby użytkownicy w każdym z 27 państw członkowskich mieli możliwość przestrzegania swojego prawa krajowego, w tym krajowych przepisów dotyczących ochrony danych, przy wymianie danych osobowych za jego pośrednictwem. Jednocześnie osoby, których dane dotyczą, muszą również mieć pewność, że ich dane będą podlegać spójnej ochronie niezależnie od ich przekazywania za pośrednictwem IMI do innego państwa członkowskiego. Zapewnienie spójności przy poszanowaniu różnorodności jest jednym z głównych wyzwań z punktu widzenia budowy infrastruktury zarówno technicznej, jak i prawnej systemu IMI. Należy unikać nadmiernej złożoności i rozdrobnienia. Czynności przetwarzania danych w ramach IMI muszą być przejrzyste, a odpowiedzialność za podejmowanie decyzji dotyczących konstrukcji systemu, jego bieżącego utrzymywania i wykorzystania, jak również nadzoru nad nim musi być określona w jednoznaczny sposób.

17.

Po drugie, w przeciwieństwie do niektórych innych wielkoskalowych systemów informatycznych takich jak system informacyjny Schengen, wizowy system informacyjny, system informacji celnej czy Eurodac, które skupiają się bez wyjątku na współpracy w konkretnych, wyraźnie określonych obszarach, system IMI jest horyzontalnym narzędziem wymiany informacji i może być wykorzystywany w celu jej ułatwienia w wielu różnych obszarach polityki. Oczekuje się również, że zakres IMI ulegnie stopniowemu rozszerzeniu o dodatkowe obszary polityki, a jego funkcje mogą także ulec zmianie, obejmując nieokreślone jak dotąd rodzaje współpracy administracyjnej. Te szczególne cechy systemu IMI utrudniają jednoznaczne określenie jego funkcji oraz rodzajów wymiany danych, które mogą następować w ramach systemu. Dlatego też trudniej jest jednoznacznie określić stosowne zabezpieczenia związane z ochroną danych.

18.

EIOD przyznaje, że niezbędna jest elastyczność i dostrzega pragnienie Komisji, aby uczynić rozporządzenie odpornym na upływ czasu. Nie powinno to jednak skutkować brakiem jasności lub pewności prawa, jeżeli chodzi o funkcje systemu oraz wdrażane zabezpieczenia związane z ochroną danych. Z tego powodu, gdy tylko jest to możliwe, wniosek powinien mieć bardziej szczegółowy charakter, wychodząc poza powtórzenie najważniejszych zasad ochrony danych określonych w dyrektywie 95/46/WE i rozporządzeniu (WE) nr 45/2011⁽¹⁴⁾.

19.

EIOD z zadowoleniem przyjmuje jednoznaczne określenie we wniosku obecnego zakresu systemu IMI; w załączniku I wymieniono stosowne akty unijne, na podstawie których może dochodzić do wymiany informacji. Przewidziano tam współpracę na mocy konkretnych przepisów dyrektywy w sprawie uznawania kwalifikacji zawodowych, dyrektywy usługowej oraz dyrektywy w sprawie stosowania praw pacjentów w transgranicznej opiece zdrowotnej⁽¹⁵⁾.

20.

Przewidywane jest rozszerzenie zakresu IMI, więc potencjalne obszary jego rozszerzenia wymieniono w załączniku II. Pozycje z załącznika II mogą być przenoszone do załącznika I aktem delegowanym przyjmowanym przez Komisję po ocenie skutków⁽¹⁶⁾.

21.

EIOD przyjmuje tę zasadę z zadowoleniem, gdyż (i) wyraźnie określa ona zakres IMI oraz (ii) zapewnia przejrzystość; a zarazem (iii) umożliwia elastyczność w przypadkach, w których system IMI będzie w przyszłości wykorzystywany do dodatkowej wymiany informacji. Gwarantuje ona również, że za pośrednictwem systemu IMI nie będą mogły być dokonywane wymiany informacji bez (i) właściwej podstawy prawnej w konkretnym prawodawstwie w sprawie rynku wewnętrznego umożliwiającym lub nakazującym wymianę informacji⁽¹⁷⁾ oraz (ii) zamieszczenia odniesienia do tej podstawy prawnej w załączniku I do rozporządzenia.

22.

Mimo tego nadal występuje niepewność w odniesieniu do zakresu IMI, w odniesieniu do obszarów polityki, które może objąć system oraz w odniesieniu do funkcji, które zawiera on lub może zawierać.

23.

Po pierwsze, nie można wykluczyć, że zakres IMI zostanie rozszerzony poza obszary polityki wymienione w załączniku I i II. Może tak się stać, jeżeli wykorzystanie IMI zostanie zapisane w odniesieniu do pewnych rodzajów wymiany informacji nie w akcie delegowanym Komisji, ale w akcie przyjętym przez Parlament i Radę w przypadku, którego nie przewidziano w załączniku II⁽¹⁸⁾.

24.

Po drugie, chociaż rozszerzenie zakresu na nowe obszary polityki może w pewnych przypadkach wymagać niewielkich lub nie wymagać żadnych zmian istniejących funkcji systemu⁽¹⁹⁾, inne rozszerzenia mogą wymagać nowych i innych funkcji lub też znaczących zmian funkcji istniejących:

–

jak dotąd system IMI określany jest jako narzędzie informatyczne służące wymianie informacji, a więc innymi słowy narzędzie komunikacyjne (zob. np. art. 3 wniosku). Niektóre spośród funkcji, o których jest mowa we wniosku, w tym funkcja "repozytorium informacji", wydają się wszakże wychodzić poza ten zakres. Wnioskowane wydłużenie okresów zatrzymywania danych do pięciu lat również sugeruje przejście w stronę "bazy danych". W fundamentalny sposób zmieniłoby to charakter IMI⁽²¹⁾.

25.

Aby zaradzić tym niejasnościom, EIOD zaleca dwojakie podejście. Proponuje po pierwsze, aby jasno opisać i konkretnie wskazać możliwe już teraz do przewidzenia funkcje; po drugie, aby zastosować odpowiednie zabezpieczenia proceduralne zapewniające wnikliwe uwzględnienie kwestii ochrony danych również podczas przyszłego rozwoju systemu IMI.

26.

EIOD zaleca, aby w rozporządzeniu bardziej szczegółowo opisać te funkcje, które są już znane, na przykład wymiany informacji, o których mowa w załącznikach I i II.

27.

Można na przykład przewidzieć bardziej szczegółowe i wyraźne środki związane z integracją SOLVIT-u⁽²²⁾ z systemem IMI (przepisy dotyczące "podmiotów zewnętrznych" i "rozwiązywania problemów") oraz z wykazami specjalistów i dostawców usług (przepisy dotyczące "repozytoriów").

28.

Należy też zamieścić dodatkowe wyjaśnienia odnoszące się do "ostrzeżeń", które są już wykorzystywane na mocy dyrektywy usługowej i mogą zostać wprowadzone w dodatkowych obszarach polityki. W szczególności "ostrzeżenie" jako funkcję należy wyraźnie zdefiniować w art. 5 (wraz z innymi funkcjami takimi jak wymiana informacji między dwiema stronami i repozytoria). Należy też zamieścić wyjaśnienia dotyczące praw dostępu i okresów zatrzymywania w odniesieniu do ostrzeżeń⁽²³⁾.

29.

Jeżeli zamierzeniem jest zapewnienie rozporządzeniu odporności na upływ czasu w odniesieniu do dodatkowych funkcji, które mogą być niezbędne w perspektywie długookresowej, a tym samym dopuszczenie dodatkowych funkcji niezdefiniowanych jeszcze w rozporządzeniu, powinny temu towarzyszyć odpowiednie zabezpieczenia proceduralne zapewniające podjęcie stosownych działań na rzecz wdrożenia niezbędnych zabezpieczeń związanych z ochroną danych przed wprowadzeniem nowych funkcji. Powinno to też dotyczyć rozszerzania systemu na nowe obszary polityki, gdy ma to skutki z punktu widzenia ochrony danych.

30.

EIOD zaleca wprowadzenie jednoznacznego mechanizmu zapewniającego wnikliwą ocenę zagadnień związanych z ochroną danych przed każdym rozszerzeniem funkcjonalności lub objęciem nowego obszaru polityki zakresem IMI; w razie potrzeby w architekturze systemu należy uwzględnić dodatkowe zabezpieczenia lub środki techniczne. W szczególności:

31.

Powyższe zabezpieczenia proceduralne (ocena skutków z punktu widzenia ochrony danych i konsultacje) powinny odnosić się do rozszerzenia zarówno za pośrednictwem aktu delegowanego Komisji (przeniesienia pozycji z załącznika II do załącznika I), jak i za pośrednictwem rozporządzenia Parlamentu i Rady uwzględniającego pozycję, której nie zawarto w załączniku II.

32.

Wreszcie, EIOD zaleca, aby w rozporządzeniu wyjaśniono, czy zakres aktów delegowanych, które Komisja będzie mogła przyjmować na mocy art. 23, obejmie jakiekolwiek inne kwestie poza przenoszeniem pozycji z załącznika II do załącznika I. W miarę możliwości Komisja powinna na mocy rozporządzenia zyskać uprawnienia do przyjmowania konkretnych aktów wykonawczych lub delegowanych w celu sprecyzowania wszelkich dodatkowych funkcji systemu lub też odniesienia się do ewentualnych przyszłych kwestii związanych z ochroną danych.

33.

EIOD z zadowoleniem przyjmuje poświęcenie pełnego rozdziału (Rozdziału II) wyjaśnieniu kwestii funkcji i obowiązków poszczególnych podmiotów zaangażowanych w IMI. Przepisy te można dodatkowo udoskonalić w sposób opisany poniżej.

34.

W art. 9 opisano obowiązki wynikające z roli Komisji jako administratora danych. EIOD zaleca ponadto zamieszczenie dodatkowego przepisu dotyczącego roli Komisji w dopilnowaniu, aby system zaprojektowano z uwzględnieniem zasad ochrony prywatności, jak też dotyczącego jej roli jako koordynatora kwestii związanych z ochroną danych.

35.

EIOD z zadowoleniem odnotowuje fakt, że wśród zadań koordynatorów IMI określonych w art. 7 wymieniono konkretnie koordynację związaną z ochroną danych, w tym pełnienie roli punktu kontaktowego dla Komisji. Zaleca ponadto doprecyzowanie, że powyższe zadania związane z koordynacją obejmują też kontakty z krajowymi organami ochrony danych.

36.

W art. 10 zawarto zabezpieczenia dotyczące praw dostępu. EIOD z zadowoleniem przyjmuje fakt, że po zgłoszeniu przez niego uwag przepisy te znacząco udoskonalono.

37.

Biorąc pod uwagę horyzontalny charakter IMI i rozszerzanie się systemu, ważne jest dopilnowanie, aby gwarantował on zastosowanie "chińskich murów" ograniczających przetwarzanie informacji w danym obszarze polityki wyłącznie do tego obszaru: użytkownicy IMI powinni: (i) mieć dostęp do informacji wyłącznie zgodnie z zasadą ograniczonego dostępu oraz (ii) mieć dostęp ograniczony do danego obszaru polityki.

38.

Jeżeli nie da się uniknąć sytuacji, w której użytkownik IMI ma prawo dostępu do informacji dotyczących kilku obszarów polityki (może tak być na przykład w przypadku niektórych instytucji samorządowych), system powinien co najmniej zapobiegać łączeniu informacji pochodzących z różnych obszarów polityki. Ewentualne niezbędne wyjątki należy określić w przepisach wykonawczych lub w akcie Unii, ściśle przestrzegając zasady celowości.

39.

Zasady te naszkicowano ogólnie w tekście rozporządzenia, ale można je dodatkowo wzmocnić i zapewnić ich realizację.

40.

W odniesieniu do praw dostępu przyznanych Komisji EIOD z zadowoleniem przyjmuje fakt, że w art. 9 ust. 2, art. 9 ust. 4 i art. 10 ust. 6 wniosku czytanych łącznie stwierdza się, iż Komisja nie będzie miała dostępu do danych osobowych wymienianych między państwami członkowskimi z wyjątkiem przypadków, w których Komisję wskazano jako uczestnika procedury współpracy administracyjnej.

41.

Należy również doprecyzować prawa dostępu podmiotów zewnętrznych oraz prawo dostępu do ostrzeżeń⁽²⁴⁾. Jeżeli chodzi o ostrzeżenia, EIOD zaleca, aby w rozporządzeniu znalazł się zapis, że nie należy ich domyślnie przesyłać wszystkim stosownym właściwym organom we wszystkich państwach członkowskich, ale jedynie organom, których one dotyczą - zgodnie z zasadą ograniczonego dostępu. Nie wyklucza to przesyłania ostrzeżeń wszystkim państwom członkowskim w konkretnych przypadkach lub konkretnych obszarach polityki, jeżeli dotyczą one wszystkich państw. Podobnie niezbędna jest analiza indywidualnych przypadków, aby zadecydować, czy Komisja powinna mieć dostęp do ostrzeżeń.

42.

W art. 13 wniosku wydłużono okres przechowywania danych w IMI z obecnych sześciu miesięcy (liczonych od zamknięcia sprawy) do pięciu lat, przy czym dane są "blokowane" po 18 miesiącach. Podczas okresu "blokady" dane są dostępne jedynie przy zastosowaniu konkretnej procedury, którą można zainicjować tylko na wniosek osoby, której dane dotyczą, lub w przypadku, gdy dane są konieczne "do celów udostępnienia dowodu potwierdzającego przeprowadzenie wymiany informacji za pomocą IMI".

43.

W rezultacie przechowywanie danych w IMI można więc podzielić na trzy okresy:

44.

Oprócz tych zasad ogólnych w art. 13 ust. 2 dopuszcza się zatrzymanie danych w "repozytorium informacji" tak długo, jak są one potrzebne do tego celu, za zgodą osoby, której dane dotyczą, lub gdy "jest to konieczne, aby zastosować się do przepisów aktu Unii". Ponadto w art. 14 przewidziano podobny mechanizm blokowania w odniesieniu do zatrzymywania danych osobowych użytkowników IMI - przez pięć lat od daty, gdy przestają oni być użytkownikami IMI.

45.

Innych konkretnych przepisów brak. Dlatego też ogólne zasady mają przypuszczalnie znaleźć zastosowanie nie tylko do wymian między dwiema stronami, ale też do ostrzeżeń, rozwiązywania problemów (jak w przypadku SOLVIT-u⁽²⁶⁾) oraz wszystkich innych funkcji związanych z przetwarzaniem danych osobowych.

46.

EIOD ma kilka uwag w odniesieniu do okresów zatrzymywania danych w świetle art. 6 ust. 1 lit. e) dyrektywy 95/46/WE i art. 4 ust. 1 lit. e) rozporządzenia (WE) nr 45/2001, zgodnie z którymi dane osobowe nie mogą być przechowywane dłużej, niż jest to konieczne do celów, dla których dane były gromadzone lub dla których są przetwarzane dalej.

47.

W odniesieniu do pierwszego okresu - od przesłania informacji do zamknięcia sprawy - EIOD żywi obawy związane z ryzykiem, że pewne sprawy mogą nie zostać zamknięte nigdy lub zostać zamknięte dopiero po nieproporcjonalnie długim czasie. Może to skutkować pozostawieniem pewnych danych osobowych w bazie danych dłużej, niż jest to konieczne, lub nawet na czas nieokreślony.

48.

EIOD zdaje sobie sprawę, że Komisja dokonała praktycznych postępów w redukcji zaległości w IMI, wdrożono też w odniesieniu do wymian między dwiema stronami system monitorujący punktualne zamykanie spraw i wysyłający regularne przypomnienia spóźniającym się podmiotom. Ponadto nowo wprowadzona zmiana funkcji systemu pozwala, zgodnie z zasadą "ochrony prywatności w fazie projektowania", zaakceptować odpowiedź, a zarazem zamknąć sprawę jednym wciśnięciem przycisku. Wcześniej wymagało to dwóch osobnych kroków, co mogło prowadzić do pozostania w systemie części nieaktywnych spraw.

49.

EIOD z zadowoleniem przyjmuje te wysiłki o charakterze praktycznym. Zaleca jednak, aby w tekście samego rozporządzenia zawarto gwarancje, że sprawy w IMI będą zamykane punktualnie, a sprawy nieaktywne (w odniesieniu do których nie podejmowano ostatnio żadnych działań) zostaną usunięte z bazy danych.

50.

EIOD zachęca do ponownego rozważenia, czy istnieje wystarczające uzasadnienie dla wydłużenia obecnego sześciomiesięcznego okresu do 18 miesięcy od chwili zamknięcia sprawy, a jeżeli tak, czy to uzasadnienie dotyczy jedynie wymian informacji między dwiema stronami, czy też innych funkcji. IMI istnieje już od kilku lat i należy wziąć pod uwagę praktyczne doświadczenia zgromadzone pod tym względem.

51.

Jeżeli IMI pozostanie narzędziem wymiany informacji (a nie systemem obsługi dokumentów, bazą danych lub archiwum), i jeżeli właściwym organom udostępni się środki umożliwiające pobranie z systemu otrzymanych informacji (elektronicznie lub w formie papierowej, ale w każdym przypadku w sposób pozwalający wykorzystać pobrane informacje jako dowody⁽²⁷⁾), wydaje się, że w ogóle nie ma większej potrzeby przechowywania danych w IMI po zamknięciu sprawy.

52.

W przypadku wymian informacji między dwiema stronami potencjalna potrzeba zadania dalszych pytań nawet po przyjęciu odpowiedzi, a więc po zamknięciu sprawy, może uzasadniać (rozsądnie krótki) okres zatrzymywania danych po zamknięciu sprawy. Na pierwszy rzut oka obecny sześciomiesięczny okres wydaje się wystarczająco długi w tym celu.

53.

Zdaniem EIOD Komisja nie przedstawiła również wystarczającego uzasadnienia dla konieczności i proporcjonalności zatrzymywania "danych zablokowanych" przez okres do pięciu lat.

54.

Na stronie 9 uzasadnienia znajduje się odniesienie do orzeczenia Trybunału Sprawiedliwości w sprawie Rijkeboer⁽²⁸⁾. EIOD zaleca Komisji ponowne rozważenie implikacji tej sprawy z punktu widzenia zatrzymywania danych w IMI. Jego zdaniem sprawa Rijkeboer nie pociąga za sobą konieczności takiej konfiguracji IMI, by dane były zatrzymywane przez pięć lat po zamknięciu sprawy.

55.

EIOD nie uważa odniesienia do wyroku w sprawie Rijkeboer lub do praw osób, których dane dotyczą, do dostępu do tych danych, za wystarczające i odpowiednie uzasadnienie zatrzymywania danych w IMI przez pięć lat od chwili zamknięcia sprawy. Mniej naruszającą prywatność możliwością, która może zasługiwać na dalsze rozważenie, jest przechowywanie jedynie dzienników (ściśle określonych danych z wyłączeniem treści, w tym wszelkich załączników lub danych szczególnie chronionych). Na tym etapie EIOD nie jest wszakże przekonany, czy nawet taki środek byłby konieczny lub proporcjonalny.

56.

Ponadto problematyczny jest także brak jasności co do tego, kto może uzyskać dostęp do "danych zablokowanych" i w jakich celach. Nie wystarcza tutaj po prostu odwołać się do wykorzystania "do celów udostępnienia dowodu potwierdzającego przeprowadzenie wymiany informacji" (jak w art. 13 ust. 3). Jeżeli przepis dotyczący "blokowania" zostanie utrzymany, należy w każdym razie dokładniej określić, kto może zwrócić się o dowód potwierdzający przeprowadzenie wymiany informacji i w jakim kontekście. Czy inne podmioty oprócz osoby, której dane dotyczą, również będą miały prawo wnioskować o dostęp? Jeżeli tak, czy chodzi wyłącznie o właściwe organy, i wyłącznie w celu udowodnienia, że doszło do konkretnej wymiany informacji o konkretnej treści (na wypadek, gdyby taką wymianę zakwestionowały właściwe organy, które wysłały lub otrzymały komunikat)? Czy przewidziano inne możliwe sposoby wykorzystania danych "do celów udostępnienia dowodu potwierdzającego przeprowadzenie wymiany informacji"⁽²⁹⁾?

57.

EIOD zaleca dokonanie wyraźniejszego rozróżnienia między ostrzeżeniami a repozytoriami informacji. Wykorzystanie ostrzeżenia jako narzędzia komunikacji w celu zawiadomienia właściwych organów o konkretnym wykroczeniu lub podejrzeniu jest jedną rzeczą; zupełnie inną jest natomiast przechowywanie tego ostrzeżenia w bazie danych przez dłuższy lub wręcz nieokreślony czas. Przechowywanie informacji o ostrzeżeniach budziłoby dodatkowe obawy i wymagałoby konkretnych zasad oraz dodatkowych zabezpieczeń związanych z ochroną danych.

58.

Dlatego też EIOD zaleca, aby w rozporządzeniu ustanowić następującą domyślną zasadę: (i) jeżeli prawodawstwo pionowe nie stanowi inaczej i pod warunkiem zastosowania odpowiednich dodatkowych zabezpieczeń, okres zatrzymywania ostrzeżeń powinien wynosić sześć miesięcy oraz, co ważne, (ii) okres ten powinien być liczony od chwili wysłania ostrzeżenia.

59.

Alternatywnie EIOD zaleca ustanowienie we wnioskowanym rozporządzeniu szczegółowych zabezpieczeń w odniesieniu do ostrzeżeń. Jeżeli obrane zostałoby podejście drugie, EIOD jest gotowy wspomagać Komisję i prawodawców dalszymi poradami w tym zakresie.

60.

EIOD z zadowoleniem przyjmuje rozróżnienie dokonane między danymi osobowymi, o których mowa w art. 8 ust. 1 dyrektywy 95/46/WE z jednej strony, a danymi osobowymi, o których mowa w art. 8 ust. 5 z drugiej strony. Z zadowoleniem przyjmuje też fakt, że w rozporządzeniu stwierdza się jednoznacznie, iż szczególne kategorie danych mogą być przetwarzane wyłącznie na szczególnych warunkach określonych w art. 8 dyrektywy 95/46/WE.

61.

W tym kontekście EIOD sądzi, że IMI będzie przetwarzać znaczącą ilość danych szczególnie chronionych objętych art. 8 ust. 2 dyrektywy 95/46/WE. W istocie IMI od chwili pierwszego wdrożenia systemu do celów wspierania współpracy administracyjnej na mocy dyrektyw usługowej i w sprawie uznawania kwalifikacji zawodowych miał przetwarzać takie dane, a w szczególności dane odnoszące się do przestępstw i naruszeń administracyjnych, które mogą mieć wpływ na prawo specjalisty lub dostawcy usług do wykonywania pracy/świadczenia usług w innym państwie członkowskim.

62.

Ponadto od chwili jego rozszerzenia o moduł SOLVIT⁽³⁰⁾ w IMI będzie również zapewne przetwarzana znacząca ilość danych szczególnie chronionych na mocy art. 8 ust. 1 (głównie związanych ze stanem zdrowia). Wreszcie, nie można wykluczyć, że dodatkowe dane szczególnie chronione będą też gromadzone za pośrednictwem IMI w przyszłości - w sposób doraźny lub systematyczny.

63.

EIOD z zadowoleniem stwierdza, że art. 16 odnosi się konkretnie do obowiązku przestrzegania przez Komisję jej własnych zasad wewnętrznych przyjętych dla zapewnienia zgodności z art. 22 rozporządzenia (WE) nr 45/2001 oraz przyjęcia i stałej aktualizacji planu bezpieczeństwa dla IMI.

64.

Aby dodatkowo udoskonalić te przepisy, EIOD zaleca, aby w rozporządzeniu zawarto wymóg oceny ryzyka oraz przeglądu planu bezpieczeństwa przed każdym rozszerzeniem IMI na nowy obszar polityki lub przed dodaniem nowych funkcji niosących skutki z punktu widzenia danych osobowych⁽³¹⁾.

65.

Ponadto EIOD zauważa także, że w art. 16 i motywie 16 znajdują się wyłącznie odniesienia do obowiązków Komisji i nadzorczej roli EIOD. Odniesienia te mogą być mylące. Chociaż prawdą jest, że operatorem systemu jest Komisja, w związku z czym jest ona w przeważającej mierze odpowiedzialna za zapewnienie bezpieczeństwa IMI, na właściwych organach również spoczywają obowiązki, których wypełnianie nadzorują z kolei krajowe organy ochrony danych. Dlatego też art. 16 i motyw 16 powinny odnosić się także do obowiązków związanych z bezpieczeństwem spoczywających na pozostałych podmiotach zaangażowanych w IMI na mocy dyrektywy 95/46/WE i do uprawnień nadzorczych krajowych organów ochrony danych.

66.

W odniesieniu do art. 17 ust. 1 EIOD zaleca zamieszczenie w rozporządzeniu bardziej szczegółowych przepisów, aby zapewnić pełne informowanie osób, których dane dotyczą, o przetwarzaniu ich danych w IMI. Biorąc pod uwagę, że IMI jest wykorzystywany przez wiele właściwych organów, w tym liczne niewielkie instytucje samorządowe bez wystarczających zasobów, zdecydowanie zaleca się, aby zapewnienie informacji koordynowano na szczeblu krajowym.

67.

W art. 17 ust. 2 lit. a) wymaga się, aby Komisja przedstawiła informację o polityce prywatności w odniesieniu do przetwarzania przez nią danych na mocy art. 10 i 11 rozporządzenia (WE) nr 45/2011. Ponadto w art. 17 ust. 2 lit. b) wymaga się, aby Komisja przedstawiła również informacje na temat "aspektów procedur współpracy administracyjnej w ramach IMI, o których mowa w art. 12, związanych z ochroną danych". Wreszcie, w art. 17 ust. 2 lit. c) wymaga się, aby Komisja przedstawiła informacje na temat "przypadków, w których prawa osób, których dane dotyczą, podlegają wyłączeniu lub ograniczeniu, o czym mowa w art. 19".

68.

EIOD z zadowoleniem przyjmuje te przepisy, które pomagają zapewnić przejrzystość czynności przetwarzania danych w IMI. Jak wskazano w sekcji 2.1, w przypadku systemu informatycznego wykorzystywanego w 27 różnych państwach członkowskich podstawową kwestią jest zapewnienie spójności w odniesieniu do funkcjonowania systemu, zastosowanych zabezpieczeń związanych z ochroną danych oraz informacji przedstawianych osobom, których dane dotyczą⁽³²⁾.

69.

Mimo to przepisy art. 17 ust. 2 należy dodatkowo udoskonalić. Jako operator systemu, Komisja ma największe możliwości przyjęcia aktywnej roli w zakresie przedstawienia pierwszej "warstwy" informacji o polityce prywatności oraz innych stosownych informacji osobom, których dane dotyczą, na swojej wielojęzycznej stronie internetowej, również "w imieniu" właściwych organów, a więc informacji wymaganych na mocy art. 10 lub 11 dyrektywy 95/46/WE. W takim przypadku często wystarczałoby, aby informacje przedstawione przez właściwe organy w państwach członkowskich po prostu odnosiły się do informacji przedstawionych przez Komisję, uzupełniając je tylko w razie konieczności dostarczenia konkretnych dodatkowych informacji wymaganych na mocy prawa krajowego.

70.

Ponadto w art. 17 ust. 2 lit. b) należy wyjaśnić, że informacje przedstawiane przez Komisję obejmują w kompleksowy sposób wszystkie obszary polityki, wszystkie rodzaje procedur współpracy administracyjnej i wszystkie funkcje IMI, jak też obejmują w szczególności kategorie danych, które mogą być przetwarzane. Powinny one też objąć publikację zestawów pytań wykorzystywanych we współpracy między dwiema stronami na stronie internetowej IMI, co obecnie ma miejsce w praktyce.

71.

EIOD pragnie ponownie odnieść się do wskazanej w sekcji 2.1 konieczności zapewnienia spójności w odniesieniu do funkcjonowania systemu oraz zastosowanych zabezpieczeń związanych z ochroną danych. Z tego powodu EIOD zaleca uszczegółowienie przepisów dotyczących prawa do dostępu do danych oraz żądania ich sprostowania i usunięcia.

72.

W art. 18 należy określić, do kogo osoby, których dane dotyczą, powinny zwracać się z wnioskiem o dostęp. Należy to jasno określić w odniesieniu do dostępu do danych w poszczególnych okresach:

73.

W rozporządzeniu należy również zawrzeć wymóg, aby właściwe organy współpracowały w miarę potrzeb w odniesieniu do wniosków o dostęp. Sprostowania i usunięcia danych należy dokonywać "jak najszybciej, ale nie później niż w terminie 60 dni", nie zaś "w terminie 60 dni". Należy również zamieścić odniesienie do możliwości stworzenia modułu ochrony danych oraz możliwości wdrożenia rozwiązań z uwzględnieniem ochrony prywatności w fazie projektowania służących współpracy między organami w zakresie prawa dostępu, jak też "wzmocnienia uprawnień osób, których dane dotyczą", na przykład poprzez umożliwienie im w stosownych przypadkach bezpośredniego dostępu do ich danych, gdy jest to wykonalne.

74.

W ostatnich latach powstał model "skoordynowanego nadzoru". Ten model nadzoru, wdrożony obecnie w Eurodac i częściowo w ramach systemu informacji celnej, przyjęto również w przypadku wizowego systemu informacyjnego (VIS) oraz systemu informacyjnego Schengen drugiej generacji (SIS-II).

75.

Model ten składa się z trzech warstw:

76.

Model ten dowiódł swojej przydatności i skuteczności, należy więc w przyszłości planować jego wdrażanie w odniesieniu do innych systemów informacyjnych.

77.

EIOD z zadowoleniem przyjmuje fakt, że w art. 20 wniosku przewidziano skoordynowany nadzór z udziałem krajowych organów ochrony danych i EIOD oparty ogólnie na modelu ustanowionym w rozporządzeniach w sprawie VIS i SIS II⁽³³⁾.

78.

EIOD zaleca udoskonalenie przepisów o skoordynowanym nadzorze w pewnych aspektach; w tym celu zaleca wprowadzenie przepisów podobnych, jak np. obowiązujące w kontekście wizowego systemu informacyjnego (art. 41-43 rozporządzenia w sprawie VIS), systemu Schengen II (art. 44-46 rozporządzenia w sprawie SIS-II) oraz planowane w odniesieniu do Eurodac⁽³⁴⁾. W szczególności przydatne byłoby w odniesieniu do rozporządzenia:

–

bardziej szczegółowe określenie, co może obejmować współpraca, na przykład przez wprowadzenie wymogu, aby krajowe organy ochrony danych i EIOD, "działając w ramach swoich kompetencji, w miarę potrzeb dokonywali wymiany stosownych informacji, wspomagali się wzajemnie w przeprowadzaniu kontroli i inspekcji, analizowali trudności w interpretowaniu lub stosowaniu rozporządzenia w sprawie IMI, badali problemy związane ze sprawowaniem niezależnego nadzoru lub z wykonywaniem praw osób, których dane dotyczą, sporządzali uzgodnione wnioski w sprawie wspólnych rozwiązań problemów oraz upowszechniali wiedzę o prawach dotyczących ochrony danych"⁽³⁷⁾.

79.

Mimo to EIOD ma świadomość mniejszej ilości przetwarzanych obecnie danych, ich odmiennego charakteru oraz zmieniającego się charakteru IMI. Dlatego też przyznaje, że w odniesieniu do częstotliwości spotkań i kontroli wskazana może być większa elastyczność. Krótko mówiąc, EIOD zaleca, aby w rozporządzeniu ustanowić zasady minimalne konieczne w celu zapewnienia skutecznej współpracy, ale nie nakładać zbędnych obciążeń administracyjnych.

80.

W art. 20 ust. 3 wniosku nie wymaga się regularnych spotkań, stwierdzając po prostu, że EIOD może "w razie konieczności wystąpić do krajowych organów nadzorczych z zaproszeniem do udziału w spotkaniu". EIOD z zadowoleniem przyjmuje fakt, że w przepisach tych decyzję o częstotliwości i trybie przeprowadzania spotkań oraz o innych elementach proceduralnych współpracy pozostawiono zainteresowanym stronom. Kwestie te można uzgodnić w regulaminach, o których mowa we wniosku.

81.

Jeżeli chodzi o regularne kontrole, skuteczniejsze może również być umożliwienie współpracującym organom samodzielnego określenia w ich regulaminach czasu i częstotliwości przeprowadzania takich kontroli. Mogą one zależeć od pewnych czynników i zmieniać się z czasem. Dlatego też EIOD popiera podejście Komisji, które umożliwia również w tym zakresie większą elastyczność.

82.

EIOD z zadowoleniem przyjmuje fakt, że we wniosku ustanowiono jednoznaczną podstawę prawną krajowego wykorzystania IMI i podlega ono pewnym warunkom; między innymi zastrzeżono konieczność konsultacji z krajowym organem ochrony danych oraz zgodność wykorzystania z przepisami prawa krajowego.

83.

EIOD z zadowoleniem przyjmuje wymogi ustanowione w art. 22 ust. 1 w odniesieniu do wymiany informacji, jak również fakt, że w art. 22 ust. 3 zapewniono przejrzystość rozszerzania mechanizmu poprzez publikację w Dzienniku Urzędowym zaktualizowanego wykazu państw trzecich korzystających z IMI (art. 22 ust. 3).

84.

EIOD zaleca ponadto, aby Komisja zawęziła odniesienie poczynione do odstępstw na mocy art. 26 dyrektywy 95/46/WE jedynie do art. 26 ust. 2. Innymi słowy, właściwe organy lub inne podmioty zewnętrzne z państwa trzeciego, które nie zapewnia odpowiedniego stopnia ochrony, nie powinny uzyskać bezpośredniego dostępu do IMI, jeżeli nie obowiązują stosowne klauzule umowne. Negocjacja tych klauzul powinna przebiegać na szczeblu UE.

85.

EIOD podkreśla, że nie należy stosować innych odstępstw takich jak "przekazanie danych jest konieczne lub wymagane przez prawo z ważnych względów publicznych lub w celu ustanowienia, wykonania lub obrony tytułu prawnego" w celu uzasadnienia przekazywania danych państwom trzecim przy wykorzystaniu bezpośredniego dostępu do IMI⁽³⁸⁾.

86.

W związku z przewidywanymi działaniami na rzecz zwiększenia rozliczalności podczas przeglądu unijnych ram ochrony danych⁽³⁹⁾ EIOD zaleca ustanowienie w rozporządzeniu jednoznacznych ram dla odpowiednich mechanizmów kontroli wewnętrznej, zapewniających zgodność z zasadami ochrony danych i dowodzących tej zgodności, z uwzględnieniem co najmniej elementów wskazanych poniżej.

87.

W tym kontekście EIOD z zadowoleniem przyjmuje zamieszczony w art. 26 ust. 2 rozporządzenia wymóg, aby Komisja raz na trzy lata przedstawiała EIOD sprawozdanie dotyczące aspektów związanych z ochroną danych, w tym bezpieczeństwa danych. Wskazane byłoby wyjaśnienie w rozporządzeniu, że EIOD ma z kolei obowiązek udostępnić sprawozdanie Komisji krajowym organom ochrony danych w ramach skoordynowanego nadzoru, o którym mowa w art. 20. Przydatne byłoby też wyjaśnienie, że w sprawozdaniu należy omówić w odniesieniu do poszczególnych obszarów polityki i poszczególnych funkcji sposób praktycznego uwzględnienia najważniejszych zasad oraz zagadnień związanych z ochroną danych (np. informacji przedstawianych osobom, których dane dotyczą, praw dostępu, bezpieczeństwa).

88.

Ponadto w rozporządzeniu należy wyjaśnić, że mechanizmy kontroli wewnętrznej powinny w swoich ramach uwzględniać też oceny w zakresie prywatności (obejmujące także analizę ryzyka z punktu widzenia bezpieczeństwa), politykę ochrony danych (obejmującą plan bezpieczeństwa) przyjętą w oparciu o wyniki tych ocen, jak również okresowe przeglądy i kontrole.

89.

EIOD z zadowoleniem przyjmuje odniesienie do tej zasady w motywie 6 rozporządzenia⁽⁴⁰⁾. Zaleca on, aby oprócz tego odniesienia w rozporządzeniu wprowadzono również konkretne zabezpieczenia związane z uwzględnieniem ochrony prywatności w fazie projektowania takie jak:

90.

EIOD ogólnie pozytywnie ocenia IMI. Popiera on cele Komisji polegające na ustanowieniu elektronicznego systemu wymiany informacji oraz uregulowaniu jego aspektów dotyczących ochrony danych. EIOD z zadowoleniem przyjmuje również fakt, że Komisja proponuje horyzontalny instrument prawny dla IMI w postaci rozporządzenia Parlamentu i Rady. Z radością stwierdza, że we wniosku kompleksowo wskazano najistotniejsze kwestie dotyczące ochrony danych w związku z IMI.

91.

W odniesieniu do ram prawnych IMI, które mają zostać ustanowione we wnioskowanym rozporządzeniu, EIOD zwraca uwagę na dwa główne wyzwania:

92.

Możliwe już do przewidzenia funkcje IMI należy jasno opisać i konkretnie wskazać.

93.

Należy zastosować odpowiednie zabezpieczenia proceduralne zapewniające wnikliwe uwzględnienie kwestii ochrony danych podczas przyszłego rozwoju IMI. Powinny one obejmować ocenę skutków i konsultacje z EIOD oraz krajowymi organami ochrony danych przed każdym rozszerzeniem zakresu IMI na nowy obszar polityki lub dodaniem nowych funkcji.

94.

Należy doprecyzować prawa dostępu podmiotów zewnętrznych oraz prawo dostępu do ostrzeżeń.

95.

W odniesieniu do okresów zatrzymywania danych:

96.

W rozporządzeniu należy zawrzeć wymóg oceny ryzyka oraz przeglądu planu bezpieczeństwa przed każdym rozszerzeniem IMI na nowy obszar polityki lub przed dodaniem nowych funkcji niosących skutki z punktu widzenia danych osobowych.

97.

Przepisy dotyczące informacji przedstawianych osobom, których dane dotyczą, oraz praw dostępu należy udoskonalić i powinny one zachęcać do bardziej spójnego podejścia.

98.

EIOD zaleca udoskonalenie przepisów o skoordynowanym nadzorze w pewnych aspektach; w tym celu zaleca wprowadzenie przepisów podobnych, jak np. obowiązujące w kontekście wizowego systemu informacyjnego i systemu Schengen II oraz planowane w odniesieniu do Eurodac. W odniesieniu do częstotliwości spotkań i kontroli EIOD popiera elastyczne podejście przyjęte we wniosku, którego celem jest ustanowienie w rozporządzeniu zasad minimalnych koniecznych dla zapewnienia skutecznej współpracy bez nakładania zbędnych obciążeń administracyjnych.

99.

W rozporządzeniu należy zawrzeć gwarancje, że właściwe organy lub inne podmioty zewnętrzne z państwa trzeciego, które nie zapewnia odpowiedniego stopnia ochrony, nie uzyskają bezpośredniego dostępu do IMI, jeżeli nie obowiązują stosowne klauzule umowne. Negocjacja tych klauzul powinna przebiegać na szczeblu UE.

100.

W rozporządzeniu należy ustanowić jasne ramy odpowiednich mechanizmów kontroli wewnętrznej, które zapewniają zgodność z zasadami ochrony danych i dowodzą tej zgodności, w tym ocen w zakresie prywatności (obejmujących także analizę ryzyka z punktu widzenia bezpieczeństwa), polityki ochrony danych (obejmującej plan bezpieczeństwa) przyjętej w oparciu o wyniki tych ocen, jak również okresowych przeglądów i kontroli.

101.

W rozporządzeniu należy też wprowadzić konkretne zabezpieczenia związane z uwzględnieniem ochrony prywatności w fazie projektowania.

Sporządzono w Brukseli dnia 22 listopada 2011 r.

	Giovanni BUTTARELLI
	Zastępca Europejskiego Inspektora Ochrony Danych

Opinia w sprawie wniosku Komisji dotyczącego rozporządzenia Parlamentu Europejskiego i Rady w sprawie współpracy administracyjnej za pośrednictwem systemu wymiany informacji na rynku wewnętrznym ("IMI").

Dz.U.UE.C.2012.48.2