Реформа в областта на защитата на данните в ЕС: Съветът потвърди споразумението с Европейския парламент

На 18 декември 2015 г. Комитетът на постоянните представители (Корепер) потвърди договорените с Европейския парламент компромисни текстове относно реформата в областта на защитата на данните. Споразумението беше постигнато между Съвета, Европейския парламент и Комисията на 15 декември. То отговаря на искането на Европейския съвет преговорите относно реформата в областта на защитата на данните да приключат до края на 2015 г.

Феликс Браз, министър на правосъдието на Люксембург и председател на Съвета, заяви: „Това е основополагащо споразумение с важни последици. Реформата не само укрепва правата на гражданите, но и приспособява правилата за дружествата към цифровата ера, като същевременно намалява административната тежест. Текстовете са амбициозни и ориентирани към бъдещето. Можем да имаме пълно доверие в резултата.“  

Реформата в областта на защитата на данните представлява законодателен пакет, предложен от Комисията през 2012 г. с цел актуализиране и осъвременяване на правилата за защита на данните.  Тя е свързана с два законодателни инструмента: общия регламент относно защитата на данните (който трябва да замени Директива 95/46/ЕО) и директивата за защита на данните в областта на правоприлагането (която да замени Рамковото решение от 2008 г. за защита на данните). 

Защитата на физическите лица във връзка с обработването на личните им данни е основно право, залегнало в Хартата на основните права на ЕС (член 8) и в Договора за функционирането на Европейския съюз (член 16).

Общ регламент относно защитата на данните

Общият регламент относно защитата на данните има за цел да повиши нивото на защита на личните данни на лицата, чиито лични данни се обработват, както и да подобри бизнес възможностите в цифровия единен пазар, включително чрез намаляване на административната тежест. 

Подобрено ниво на защита на данните

Принципите и правилата относно обработването на личните данни на физическите лица трябва да зачитат основните права и свободи, и по-специално правото на защита на личните данни. Укрепените права на защита на данните дават на субектите на данни (лицата, чиито лични данни се обработват) по-голям контрол върху техните лични данни: 

• по-конкретни правила, които позволяват на администраторите на лични данни (отговарящите за обработването на данните) да обработват лични данни, включително чрез изискване за съгласие на засегнатите лица.
• по-лесен достъп до техните лични данни.
• повече информация за това какво се случва с личните данни, след като бъдат споделени. Това включва уведомяване на лицата относно политиката за защита на личните данни на ясен и разбираем език, което може да става чрез стандартизирани икони.
• право на заличаване на лични данни и право „да бъдеш забравен“. Това например позволява на субектите да поискат незабавното премахване на лични данни, събрани или публикувани в социална мрежа, когато лицето все още е било дете.
• ако младеж под 16 години желае да използва онлайн услуги, доставчикът на услуги трябва да направи проверка дали е дадено съгласието на родителите. Държавите членки могат да свалят тази възрастова граница най-много до 13 години.
• право на преносимост, което улеснява прехвърлянето на лични данни от един доставчик на услуги, например социална мрежа, на друг. Това не само ще увеличи правата, свързани със защитата на данните, но и ще засили конкуренцията сред доставчиците на услуги.
• право на възражение срещу обработването на лични данни, свързано с обществения интерес или със законните интереси на администратора. Това право обхваща използването на лични данни за целите на „профилирането“.
• общи предпазни мерки, свързани с обработването на лични данни за целите на архивирането, когато това е в обществен интерес, както и за научни и исторически изследвания или за статистически цели.

С оглед да се гарантира достъпност на правната защита, субектите на данни имат право да поискат всяко решение на техния орган за защита на данните да бъде преразгледано от съответния национален съд, независимо от държавата членка, в която е установен администраторът на личните данни. 

Подобрени бизнес възможности в рамките на цифровия единен пазар

В регламента се предвижда единен набор от правила, които ще важат в целия ЕС и ще се отнасят както за европейските, така и за неевропейските дружества, предлагащи онлайн услуги в ЕС. Така се избягва ситуация, в която противоречащи си национални правила за защита на данните биха могли да нарушат трансграничния обмен на данни. Освен това се предвижда засилено сътрудничество между държавите членки, за да се осигури съгласувано прилагане на правилата за защита на данните в ЕС. Това ще създаде лоялна конкуренция и ще насърчи дружествата, особено малките и средните предприятия, да се възползват в максимална степен от цифровия единен пазар. 

С цел намаляване на разходите и гарантиране на правна сигурност, по важни трансгранични случаи, при които са ангажирани няколко национални надзорни органа, ще се взема едно-единствено надзорно решение. Този механизъм за обслужване на едно гише позволява на дружество, извършващо дейност в няколко държави членки, да контактува само с органа за защита на данните в държавата членка на основното място на установяване. При спорове механизмът предвижда и едно-единствено решение, приложимо за цялата територия на ЕС. 

С цел намаляване на административните разходи регламентът предвижда основан на риска подход: администраторите на данни могат да прилагат мерки в зависимост от риска, свързан с операциите по обработване на данни, които извършват. Различните предприятия имат различни дейности и рисковете от тези дейности за неприкосновеността на личния живот може да варират. Регламентът не предписва едно-единствено универсално решение: колкото по-големи са рисковете от дейностите за личните данни, толкова по-строги са задълженията. 

Повече и по-добри инструменти за спазване на правилата за защита на данните

С цел да се гарантира пълното спазване на новите правила за защита на личните данни, регламентът предвижда редица мерки за увеличаване на отговорността и отчетността на администраторите на данни. Администраторите на данни трябва да въведат редица мерки, свързани със сигурността, включително изискването в определени случаи да уведомяват за нарушения на сигурността на личните данни. За да запази регламентът валидността си и в бъдеще, се въвеждат принципите на защита на данните още при проектирането и по подразбиране. Публичните органи и дружествата, които извършват някои рискови операции по обработване на данни, трябва да определят длъжностно лице по защита на данните, за да се гарантира съответствие с правилата. 

Субектите на данни и, при определени условия, организациите за защита на данните могат да подадат жалба до надзорен орган или да потърсят правна защита в случаите, в които не са спазени правилата за защита на данните. На администраторите на данни могат да бъдат наложени максимални глоби в размер до 20 милиона евро или 4 % от техния общ годишен оборот. 

Гаранции относно предаването на лични данни извън ЕС

Регламентът установява правила за предаването на лични данни на трети държави и международни организации. Предаването може да се осъществи, ако са изпълнени редица условия и предпазни мерки, и по-специално когато Комисията реши, че е налице адекватно ниво на защита. Новите решения относно адекватността ще трябва да се преразглеждат най-малко на всеки 4 години. Съществуващите решения относно адекватността и разрешенията остават в сила, докато не бъдат изменени, заменени или отменени.   

Директива за защитата на данните в областта на правоприлагането

Тази директива е насочена към осигуряването на защита на личните данни, обработвани за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказателни санкции, включително предпазването от заплахи за обществената сигурност и предотвратяването им. 

Особено важно е да се осигури последователно и високо ниво на защита на личните данни на физическите лица, като същевременно се улесни обменът на лични данни между правоприлагащите органи в различните държави членки. 

По-широк обхват на прилагане

Освен че обхваща дейности, насочени към предотвратяването, разследването, разкриването и наказателното преследване на престъпления, новата директива беше разширена и с цел включване на мерките за защита и предотвратяване на заплахи за обществената сигурност. 

Новата директива ще се прилага както по отношение на трансграничното обработване на лични данни, така и на обработване на лични данни от полицията и съдебните органи на чисто национално равнище. Рамковото решение, което ще бъде заменено, обхващаше само трансграничния обмен на данни. 

Права на субектите на данни

С правилата се постига равновесие между правото на неприкосновеност на личния живот и необходимостта полицията да не разкрива, че се извършва обработване на данни на ранен етап от разследването. Все пак, в текста се посочва типът информация, която субектът на данни винаги има право да получи, за да защити своите права, ако се опасява, че е извършено нарушение, свързано с неговите данни. 

Новите правила ще продължат да се прилагат и по отношение на предаването на лични данни на трети държави и международни организации. 

Спазване на правилата

Новата директива предвижда назначаването на длъжностно лице по защита на данните, което да помага на компетентните органи да осигуряват спазването на правилата за защита на данните. 

Друг инструмент за гарантиране на спазването е оценката на въздействието. Ако има вероятност видът обработване да породи голям риск за правата и свободите на лицата, компетентните органи трябва да извършат оценка на потенциалното въздействие на определено обработване, по-специално при използването на нови технологии.   

Наблюдение и обезщетение

Текстът на директивата е приведен в съответствие с текста на регламента, за да се гарантира прилагането като цяло на едни и същи общи принципи. Освен това, правилата за надзорния орган са в голяма степен сходни, тъй като надзорният орган, създаден съгласно общия регламент за защита на данните, може да разглежда и въпроси от обхвата на директивата. Новата директива ще предостави на субектите на данни правото да бъдат компенсирани за претърпени вреди в резултат на обработване, което не е било извършено съобразно правилата.                        

СЛЕДВАЩИ СТЪПКИ

На 17 декември, на извънредно заседание Комисията на Европейския парламент по граждански свободи, правосъдие и вътрешни работи одобри текстовете, договорени на тристранните срещи. Тази подкрепа позволи на Корепер да потвърди днес окончателните компромисни текстове на регламента и директивата. След редакция от страна на юрист-лингвистите, текстовете ще бъдат представени за приемане от Съвета, а впоследствие и от Парламента. Регламентът и директивата вероятно ще влязат в сила през пролетта на 2018 г.