KOMISIJOS SPRENDIMAS
2007 m. gruodžio 12 d.
dėl vidaus rinkos informacinės sistemos įgyvendinimo užtikrinant asmens duomenų apsaugą
(pranešta dokumentu Nr. C(2007) 6306)
(Tekstas svarbus EEE)
(2008/49/EB)
EUROPOS BENDRIJŲ KOMISIJA,
atsižvelgdama į Europos bendrijos steigimo sutartį,
atsižvelgdama į 2004 m. balandžio 21 d. Europos Parlamento ir Tarybos sprendimą 2004/387/EB dėl suderinto paneuropinių e. valdžios paslaugų teikimo valstybės valdymo institucijoms, verslo subjektams ir piliečiams (IDABC) (1), ypač į jo 4 straipsnį,
kadangi:
(1)
2006 m. kovo 17 d. valstybių narių atstovai Vidaus rinkos patariamajame komitete (2) patvirtino bendrąjį vidaus rinkos informacinės sistemos (toliau - VRI) įgyvendinimo ir jos plėtros siekiant gerinti valstybių narių administracijų bendradarbiavimą planą.
(2)
Komisija 2006 m. rugpjūčio 14 d. Sprendimu COM/2006/3606 dėl IDABC 2005-2009 m. darbo programos trečiosios peržiūros nusprendė suteikti finansavimą ir sukurti Vidaus rinkos informacinę sistemą kaip bendros svarbos projektą.
(3)
Papildomą finansavimą buvo numatyta skirti 2007 m. liepos 25 d. Komisijos sprendimu COM/2007/3514 dėl IDABC darbo programos ketvirtosios peržiūros.
(4)
VRI siekiama padėti įgyvendinti vidaus rinkos srities teisės aktus, pagal kuriuos nustatomas valstybių narių administracijų keitimasis informacija, įskaitant 2006 m. gruodžio 12 d. Europos Parlamento ir Tarybos direktyvą 2006/123/EB dėl paslaugų vidaus rinkoje (3) ir 2005 m. rugsėjo 7 d. Europos Parlamento ir Tarybos direktyvą 2005/36/EB dėl profesinių kvalifikacijų pripažinimo (4).
(5)
VRI turi būti užtikrinta asmens duomenų apsauga, todėl sprendimą, kuriuo sukurta VRI, būtina papildyti su tuo susijusiomis nuostatomis. Vykdydamos įvairias su VRI susijusias užduotis ir funkcijas Komisija ir valstybės narės prisiims atsakomybę ir pareigas pagal duomenų apsaugos taisykles, tad būtina apibrėžti atitinkamas jų funkcijas, atsakomybę ir prieigos teises.
(6)
Pagal 29 straipsnį įkurtos darbo grupės nuomonėje dėl Vidaus rinkos informacinės sistemos (VRI) duomenų apsaugos (5) aiškiai skatinama priimti Komisijos sprendimą, kuriame būtų nustatytos VRI dalyvių teisės ir pareigos.
(7)
Keisdamosi informacija elektroninėmis priemonėmis valstybės narės turėtų laikytis asmens duomenų apsaugos taisyklių, apibrėžtų 1995 m. spalio 24 d. Europos Parlamento ir Tarybos direktyvoje 95/46/EB dėl asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo (6) ir 2000 m. gruodžio 18 d. Europos Parlamento ir Tarybos reglamente (EB) Nr. 45/2001 dėl asmenų apsaugos Bendrijos institucijoms ir įstaigoms tvarkant asmens duomenis ir laisvo tokių duomenų judėjimo (7).
(8)
Siekiant užtikrinti kompetentingoms institucijoms galimybę toliau svarstyti klausimus ir apibrėžti atvejus, kai duomenų subjektas nori apskųsti nepalankų administracijos sprendimą, priimtą remiantis informacija, gauta pasikeičiant, visi asmens duomenys, kuriais keičiasi kompetentingos institucijos ir kurie tvarkomi VRI sistemoje, turėtų būti laikomi šešis mėnesius po oficialaus informacijos mainų užbaigimo. Pasibaigus šešių mėnesių laikotarpiui visi asmens duomenys turėtų būti ištrinami. Šešių mėnesių duomenų laikymo laikotarpis laikomas tinkamu, nes tiek trunka administracinės procedūros, kaip numatyta Bendrijos teisės aktuose, pagal kuriuos keičiamasi informacija,
PRIĖMĖ ŠĮ SPRENDIMĄ:
1 SKYRIUS
BENDROSIOS NUOSTATOS
1 straipsnis
Dalykas
Šiame sprendime nustatomos 6 straipsnyje nurodytų VRI dalyvių ir VRI naudotojų funkcijos, teisės ir pareigos vykdant duomenų apsaugos reikalavimus, taikomus naudojantis Vidaus rinkos informacine sistema (toliau - VRI).
2 straipsnis
Duomenų kokybė
Valstybių narių kompetentingos institucijos keičiasi asmens duomenimis ir toliau juos tvarko siekdamos tik tų tikslų, kurie apibrėžti atitinkamuose Bendrijos teisės aktuose, kurie nurodyti priede ir kurių pagrindu keičiamasi tokia informacija (toliau - atitinkami Bendrijos teisės aktai).
Prašymai pateikti informaciją, kuriuos vienos valstybės narės kompetentingos institucijos teikia kitai valstybei narei, ir atsakymai į tokius prašymus parengiami pagal keliomis kalbomis pateiktus klausimus ir duomenų laukus VRI sistemoje, kuriuos Komisija nustato ir parengia bendradarbiaudama su valstybėmis narėmis.
3 straipsnis
Duomenų valdytojai
Direktyvos 95/46/EB 2 straipsnio d punkte ir Reglamento (EB) Nr. 45/2001 2 straipsnio d punkte nustatytas duomenų valdytojų atsakomybę VRI dalyviai pagal 6 straipsnį prisiima bendrai, atsižvelgiant į atitinkamą atsakomybę, susijusią su VRI.
Duomenų valdytojai užtikrina, kad duomenų subjektas galėtų veiksmingai pasinaudoti savo teise į informavimą, teisėmis gauti informaciją, pataisyti duomenis ir prieštarauti pagal taikomus duomenų apsaugos teisės aktus. VRI dalyviai pateikia atitinkamos formos pareiškimus apie privatumo užtikrinimą.
4 straipsnis
Informacijos mainų duomenų subjektų asmens duomenų laikymas
Visi informacijos mainų duomenų subjektų asmens duomenys, kuriais keičiasi kompetentingos institucijos ir kurie tvarkomi su VRI, ištrinami praėjus šešiems mėnesiams po oficialaus informacijos mainų laikotarpio pabaigos, nebent kompetentinga institucija aiškiai paprašytų Komisijos tuos duomenis ištrinti anksčiau.
Komisija, gavusi tokį prašymą, patenkina jį per 10 darbo dienų, jeigu tam pritaria kita mainuose dalyvaujanti kompetentinga institucija.
5 straipsnis
VRI naudotojų asmens duomenų laikymas
6 straipsnyje nurodytų VRI naudotojų asmens duomenys laikomi VRI tol, kol jie yra VRI naudotojai, o kai jie nebėra naudotojai, kompetentingos institucijos tuos duomenis ištrina.
Pirmoje pastraipoje minimi asmens duomenys yra VRI naudotojo vardas, pavardė, tarnybinis elektroninio pašto adresas, tarnybinio telefono ir fakso numeriai.
2 SKYRIUS
SU VRI SUSIJUSIOS FUNKCIJOS IR ATSAKOMYBĖ
6 straipsnis
VRI dalyviai ir naudotojai
1. VRI dalyviai yra:
a)
valstybių narių kompetentingos institucijos pagal 7 straipsnį;
b)
koordinatoriai pagal 8 straipsnį;
c)
Komisija.
2. Pagal 9 straipsnį naudotis VRI gali tiktai fiziniai asmenys, kontroliuojami kompetentingos institucijos arba koordinatoriaus (toliau - VRI naudotojai).
7 straipsnis
Kompetentingos institucijos
Įgyvendindamos tikslus, apibrėžtus atitinkamame Bendrijos teisės akte, kurio pagrindu keičiamasi informacija, kompetentingos institucijos užtikrina konkrečios informacijos mainus per VRI.
8 straipsnis
VRI koordinatoriai
1. Kiekviena valstybė narė skiria vieną nacionalinį VRI koordinatorių, siekdama užtikrinti, kad VRI bus įgyvendinta nacionaliniu lygmeniu.
Kiekviena valstybė narė, atsižvelgdama į vidaus administracinę struktūrą, gali skirti dar vieną ar du įgaliotuosius VRI koordinatorius, kurie atsakytų už koordinavimą tam tikroje teisės aktų priėmimo srityje, administraciniame padalinyje ar geografiniame regione.
2. Komisija registruoja nacionalinius VRI koordinatorius VRI sistemoje ir suteikia jiems prieigą prie VRI.
3. Jeigu valstybė narė skiria įgaliotąjį VRI koordinatorių pagal 1 dalį, nacionalinis VRI koordinatorius registruoja tokį įgaliotąjį VRI koordinatorių VRI sistemoje ir suteikia jam prieigą prie VRI.
4. Koordinatoriai registruoja prieigos prie VRI prašančias kompetentingas institucijas arba patvirtina jų registraciją ir užtikrina, kad ta prieiga jos galės veiksmingai naudotis. Koordinatoriai suteikia kompetentingoms institucijoms prieigą prie tų teisės aktų priėmimo sričių, kuriose jos yra kompetentingos.
5. Visi koordinatoriai gali veikti kaip kompetentingos institucijos. Tokiais atvejais koordinatorius naudojasi tokiomis pačiomis prieigos teisėmis kaip ir kompetentinga institucija.
9 straipsnis
VRI naudotojų vaidmenys
1. VRI naudotojai gali turėti vieną ar kelis šiuos vaidmenis: būti prašymų tvarkytojai, skirstytojai, vyresnieji tvarkytojai ir vietos duomenų administratoriai.
2. Kiekvienam VRI naudotojui pateikiamas nustatytas prieigos teisių, susijusių su tokių teisių naudotojų vaidmeniu, kaip apibrėžta 12 straipsnyje, paketas.
3. Visi VRI naudotojai gali atlikti konkrečios kompetentingos institucijos paiešką.
4. VRI naudotojai, paskirti prašymų tvarkytojais, gali dalyvauti informacijos mainuose savo kompetentingos institucijos vardu.
5. VRI naudotojai, paskirti skirstytojais kompetentingoje institucijoje, prašymą pateikti informaciją gali priskirti vienam ar keliems prašymų tvarkytojams toje institucijoje.
VRI naudotojai, paskirti skirstytojais koordinatoriuje, prašymą pateikti informaciją gali priskirti vienam ar keliems vyresniesiems tvarkytojams toje institucijoje.
6. VRI naudotojai koordinatoriuje gali būti paskirti vyresniaisiais tvarkytojais.
Jie gali tvirtinti kompetentingos institucijos siunčiamus prašymus ar atsakymus, jeigu koordinatorius reikalauja tokios patvirtinimo tvarkos, gali išreikšti sutikimą ar nesutikimą, jeigu prašymą atsiuntusi kompetentinga institucija nepatenkinta gautu atsakymu.
7. VRI naudotojai, paskirti vietos duomenų administratoriais, gali atlikti visus šiuos veiksmus:
a)
atnaujinti savo institucijos VRI naudotojų asmens duomenis;
b)
savo institucijoje registruoti papildomus naudotojus;
c)
keisti savo institucijos naudotojų profilius.
10 straipsnis
Komisija
1. Komisija užtikrina, kad IT infrastruktūra, kurios pagrindu veiks VRI, būtų sukurta ir prižiūrima. Ji sukuria daugiakalbę sistemą, veikiančią visomis oficialiosiomis kalbomis, ir centrinę pagalbos tarnybą padėti valstybėms narėms naudotis VRI.
2. Komisija viešai paskelbia 2 straipsnio antroje pastraipoje minimus klausimų rinkinius ir duomenų laukus.
3. Komisija gali dalyvauti informacijos mainuose tiktai konkrečiais atvejais, kai atitinkamame Bendrijos teisės akte numatyta keistis informacija tarp valstybių narių ir Komisijos.
4. 3 dalyje minimais atvejais Komisija naudojasi tokiomis pačiomis prieigos teisėmis kaip ir kompetentinga institucija pagal 12 straipsnį.
3 SKYRIUS
TEISĖ GAUTI ASMENS DUOMENIS
11 straipsnis
Duomenų subjektas
Šiame skyriuje sąvoka „duomenų subjektas“ reiškia tiktai konkretaus informacijos mainų duomenų subjektą ir neaprėpia VRI naudotojų.
12 straipsnis
VRI naudotojų prieigos teisės
1. Keisdamiesi informacija kompetentingos institucijos prašymų tvarkytojai turi teisę gauti tiktai tokius asmens duomenis, kurie susiję su:
a)
kitais tos pačios kompetentingos institucijos atitinkamuose informacijos mainuose dalyvaujančiais prašymų tvarkytojais;
b)
kitos atitinkamuose informacijos mainuose dalyvaujančios kompetentingos institucijos prašymų tvarkytoju;
c)
atitinkamuose informacijos mainuose dalyvaujančiais koordinatorių vyresniaisiais tvarkytojais;
d)
atitinkamų informacijos mainų duomenų subjektais. Atsakymą teikianti kompetentinga institucija turi teisę gauti duomenų subjektų asmens duomenis tik tada, kai jų kompetentinga institucija priima prašymą.
2. Kompetentingos institucijos skirstytojai turi teisę gauti tiktai tokius asmens duomenis, kurie susiję su:
a)
visais tos pačios kompetentingos institucijos prašymų tvarkytojais;
b)
kitos atitinkamuose informacijos mainuose dalyvaujančios kompetentingos institucijos prašymų tvarkytoju;
c)
atitinkamuose informacijos mainuose dalyvaujančių koordinatorių vyresniaisiais tvarkytojais.
Jie neturi teisės gauti duomenų subjektų asmens duomenų.
3. Koordinatoriaus skirstytojai turi teisę gauti tiktai tokius asmens duomenis, kurie susiję su:
a)
visais to paties koordinatoriaus vyresniaisiais tvarkytojais;
b)
atitinkamuose informacijos mainuose dalyvaujančių kompetentingų institucijų prašymų tvarkytojais;
c)
kito atitinkamuose informacijos mainuose dalyvaujančio koordinatoriaus vyresniuoju tvarkytoju.
Jie neturi teisės gauti duomenų subjektų asmens duomenų.
4. Vyresnieji tvarkytojai turi teisę gauti tiktai tokius asmens duomenis, kurie susiję su:
a)
atitinkamuose informacijos mainuose dalyvaujančių koordinatorių vyresniaisiais tvarkytojais;
b)
atitinkamuose informacijos mainuose dalyvaujančių kompetentingų institucijų vyresniaisiais tvarkytojais.
Jie neturi teisės gauti duomenų subjektų asmens duomenų.
5. Kompetentingos institucijos vietos duomenų administratoriai turi teisę gauti tiktai visų tos pačios kompetentingos institucijos VRI naudotojų asmens duomenis.
Jie neturi teisės gauti duomenų subjektų asmens duomenų.
6. Koordinatoriaus vietos duomenų administratoriai turi teisę gauti tiktai tokius asmens duomenis, kurie susiję su:
a)
visais to paties koordinatoriaus VRI naudotojais;
b)
visais kompetentingų institucijų ir koordinatorių, kurių koordinatoriai jie yra, vietos duomenų administratoriais.
Jie neturi teisės gauti duomenų subjektų asmens duomenų.
7. Komisijos vietos duomenų administratoriai turi teisę gauti tiktai tokius asmens duomenis, kurie susiję su:
a)
visais kitais Komisijos vietos duomenų administratoriais;
b)
visais nacionalinių VRI koordinatorių vietos duomenų administratoriais.
Komisijos vietos duomenų administratoriai gali ištrinti duomenų subjektų asmens duomenis pagal 4 straipsnį, tačiau negali jų peržiūrėti.
4 SKYRIUS
BAIGIAMOSIOS NUOSTATOS
13 straipsnis
Adresatai
Šis sprendimas skirtas valstybėms narėms.
Priimta Briuselyje, 2007 m. gruodžio 12 d.