Opinia Europejskiego Inspektora Ochrony Danych na temat wniosku dotyczącego dyrektywy Rady nakładającej na państwa członkowskie obowiązek utrzymywania minimalnych zapasów ropy naftowej lub produktów naftowych(2009/C 128/05)
(Dz.U.UE C z dnia 6 czerwca 2009 r.)
EUROPEJSKI INSPEKTOR OCHRONY DANYCH,
uwzględniając Traktat ustanawiający Wspólnotę Europejską, w szczególności jego art. 286,
uwzględniając Kartę praw podstawowych Unii Europejskiej, w szczególności jej art. 8,
uwzględniając dyrektywę 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych(1),
uwzględniając rozporządzenie (WE) nr 45/2001 Parlamentu Europejskiego i Rady z dnia 18 grudnia 2000 r. o ochronie osób fizycznych w związku z przetwarzaniem danych osobowych przez instytucje i organy wspólnotowe i o swobodnym przepływie takich danych, w szczególności jego art. 41(2),
uwzględniając wniosek o wydanie opinii zgodnie z art. 28 ust. 2 rozporządzenia (WE) nr 45/2001 wysłany do Europejskiego Inspektora Ochrony Danych w dniu 14 listopada 2008 r.,
PRZYJMUJE NASTĘPUJĄCĄ OPINIĘ:
I. WPROWADZENIE
1. W dniu 13 listopada 2008 r. Komisja przyjęła wniosek dotyczący dyrektywy Rady nakładającej na państwa członkowskie obowiązek utrzymywania minimalnych zapasów ropy naftowej lub produktów naftowych (dalej zwany "wnioskiem")(3).
2. Wniosek ma na celu zapewnienie wysokiego poziomu bezpieczeństwa zaopatrzenia w ropę naftową we Wspólnocie, za pomocą niezawodnych i przejrzystych mechanizmów opartych na solidarności między państwami członkowskimi, utrzymywanie minimalnych zapasów ropy naftowej lub produktów naftowych oraz wprowadzenie niezbędnych proceduralnych środków zapobiegania poważnym niedoborom.
3. W dniu 14 listopada 2008 r. Komisja przekazała EIOD wniosek do konsultacji zgodnie z art. 28 ust. 2 rozporządzenia (WE) nr 45/2001. EIOD z zadowoleniem przyjmuje fakt, że zasięgnięto jego opinii w tej kwestii i zauważa, że odniesienie do tej konsultacji znajduje się w preambule wniosku zgodnie z art. 28 rozporządzenia (WE) nr 45/2001.
4. Przed przyjęciem wniosku Komisja konsultowała się z EIOD w sposób nieformalny w sprawie konkretnego artykułu zawartego we wniosku (obecnego art. 19). EIOD z zadowoleniem przyjął tę nieformalną konsultację, ponieważ umożliwiła ona mu przedstawienie pewnych propozycji przed przyjęciem wniosku przez Komisję.
II. ANALIZA WNIOSKU
Analiza ogólna
5. Bieżąca kwestia stanowi dobrą ilustrację tego, że należy być ciągle świadomym zasad ochrony danych. W sytuacji dotyczącej państw członkowskich i ich obowiązku utrzymywania awaryjnych zapasów ropy naftowej, które to zapasy są własnością głównie osób prawnych, przetwarzanie danych osobowych nie jest zbyt wyraźnie zaznaczone, jednak nawet jeśli nie jest ono przewidziane jako takie, może mimo wszystko mieć miejsce. W każdym przypadku należy zatem uwzględniać prawdopodobieństwo, że przetwarzanie danych osobowych ma miejsce i należy podejmować odpowiednie działania.
6. W dyrektywie przedstawione są zasadniczo dwa działania, które mogłyby pociągać za sobą przetwarzanie danych osobowych w obecnej sytuacji. Pierwsze z nich to gromadzenie przez państwa członkowskie informacji o zapasach ropy naftowej i następnie przekazywanie tych informacji Komisji. Drugie działanie wiąże się z uprawnieniem Komisji do przeprowadzania kontroli w państwach członkowskich. Gromadzenie informacji o właścicielach zapasów ropy naftowej może obejmować dane osobowe, jak nazwiska i dane kontaktowe dyrektorów spółek. Gromadzenie tych informacji oraz ich przekazywanie Komisji stanowiłoby zatem przetwarzanie danych osobowych i miałyby do niego zastosowanie przepisy dyrektywy 95/46/WE lub rozporządzenia (WE) nr 45/2001 w zależności od tego, kto faktycznie przetwarza te dane. Także udzielenie Komisji prawa do przeprowadzania kontroli zapasów awaryjnych w państwach członkowskich, obejmującego prawo do gromadzenia informacji ogólnie, może obejmować gromadzenie, a zatem także i przetwarzanie, danych osobowych.
7. Podczas nieformalnej konsultacji - która ograniczała się wyłącznie do przepisu dotyczącego uprawnienia do kontroli posiadanego przez Komisję - EIOD poradził Komisji, by ustaliła, czy przetwarzanie danych w ramach kontroli prowadzonej przez Komisję miałoby charakter incydentalny, czy odbywałoby się regularnie i służyło celom kontroli. Na podstawie wyniku tej oceny zaproponowano dwa podejścia.
8. Jeżeli nie przewidziano przetwarzania danych i miałoby ono zatem wyłącznie charakter incydentalny, EIOD zalecił, by najpierw wyraźnie zaznaczyć, że przetwarzanie danych nie służy celom kontroli prowadzonej przez Komisję, a następnie by oświadczyć, że żadne dane osobowe, na które Komisja natknie się w trakcie kontroli, nie zostaną zgromadzone ani uwzględnione, a w przypadku niezamierzonego zgromadzenia zostaną natychmiast zniszczone. Ponadto EIOD zaproponował, by w ramach ogólnej klauzuli pomocniczej wprowadzić przepis stanowiący, że dyrektywa nie będzie naruszać przepisów o ochronie danych zawartych w dyrektywie 95/46/WE i w rozporządzeniu (WE) nr 45/2001.
9. Jeżeli jednak przewiduje się, że przetwarzanie danych będzie się odbywało regularnie w ramach kontroli prowadzonej przez Komisję, EIOD zalecił, by Komisja wprowadziła tekst odzwierciedlający wynik właściwej oceny pod kątem ochrony danych. Ocena taka powinna zawierać następujące elementy: (I) faktyczny cel przetwarzania danych; (II) potrzebę przetwarzania danych do realizacji tego celu; i (III) proporcjonalność przetwarzania danych.
10. Wprawdzie nieformalna porada EIOD dotyczyła wyłącznie uprawnień Komisji do prowadzenia kontroli, jednak jego uwagi miały również zastosowanie do drugiego głównego działania przedstawionego w proponowanej dyrektywie, mianowicie do gromadzenia i przekazywania Komisji informacji przez państwa członkowskie.
11. Jak wyraźnie wynika z ostatecznego wniosku dotyczącego dyrektywy - Komisja stwierdziła, iż nie przewiduje się przetwarzania danych do celów dyrektywy. EIOD z zadowoleniem stwierdza, że pierwsze zaproponowane przez niego podejście zostało całkowicie uwzględnione we wniosku.
12. EIOD wyraża zatem swoje poparcie dla sposobu, w jaki Komisja zapewniła przestrzeganie zasad ochrony danych w proponowanej dyrektywie. W pozostałej części niniejszej porady przekazane zostaną jedynie pewne szczegółowe zalecenia.
Uwagi na temat szczegółów
13. Artykuł 15 proponowanej dyrektywy dotyczy obowiązku państw członkowskich polegającego na przekazywaniu Komisji cotygodniowych podsumowań statystycznych dotyczących wysokości zapasów handlowych przechowywanych na terytorium danego państwa. Informacje takie zazwyczaj zawierają niewiele danych osobowych. Mogą one jednak obejmować informacje o osobach fizycznych, które są właścicielami zapasów ropy naftowej, lub które pracują dla osoby prawnej, która jest właścicielem tych zapasów. Aby nie dopuścić do przekazywania takich informacji Komisji przez państwa członkowskie, w art. 15 ust. 1 stwierdza się, że jeśli państwa członkowskie przekazują te informacje, to "unikają podawania nazwisk właścicieli przedmiotowych zapasów". Chociaż należy być świadomym, że usunięcie nazwiska nie zawsze spowoduje, że danych nie będzie można przyporządkować osobie fizycznej, wydaje się jednak, że w obecnej sytuacji (statystyczne podsumowania wysokości zapasów ropy naftowej) to dodatkowe sformułowanie będzie wystarczające, aby zagwarantować, że do Komisji nie będą przekazywane dane osobowe.
14. Uprawnienia Komisji do prowadzenia kontroli są zawarte w art. 19 proponowanej dyrektywy. Artykuł ten wyraźnie wskazuje, że Komisja przyjęła pierwsze podejście, objaśnione w punkcie 8 powyżej. Artykuł ten stanowi, że przetwarzanie danych osobowych nie może być częścią kontroli przeprowadzanych przez Komisję. Nawet jeśli Komisja natknie się na takie dane, nie może ona ich uwzględnić i muszą one zostać zniszczone w razie ich niezamierzonego zgromadzenia. By ujednolicić brzmienie tego artykułu z brzmieniem przepisów prawa o ochronie danych i zapobiec nieporozumieniom, EIOD zaleca zastąpienie wyrazu "gromadzenie" w pierwszym zdaniu ustępu 2 wyrazem "przetwarzanie".
15. EIOD dostrzega także z zadowoleniem, że we wniosku zawarta jest ogólna klauzula pomocnicza dotycząca odnośnego prawodawstwa z zakresu ochrony danych. W art. 20 przypomina się wyraźnie państwom członkowskim oraz Komisji i innym organom Wspólnoty o ich obowiązkach w ramach dyrektywy 95/46/WE i rozporządzenia (WE) nr 45/2001. Ponadto w klauzuli tej podkreśla się prawa, jakie osoby, których dane dotyczą, posiadają na mocy tych przepisów; prawa te obejmują prawo do przetwarzania danych, do dostępu do tych danych i prawo do poprawienia danych w razie wystąpienia błędów. Można by uczynić jedną uwagę co do miejsca tego przepisu we wniosku. Z racji ogólnego charakteru tego przepisu nie jest on ograniczony wyłącznie do uprawnienia Komisji do przeprowadzania kontroli. EIOD zaleca zatem, by artykuł ten przenieść do pierwszej części dyrektywy, np. po art. 2.
16. Motyw 25 zawiera odwołanie do dyrektywy 95/46/WE i do rozporządzenia (WE) nr 45/2001. Cel tego motywu jest jednak niejasny, ponieważ wymienia się w nim tylko prawodawstwo dotyczące ochrony danych jako takie i nie przedstawia się dalszych stwierdzeń. W motywie powinno się wyraźnie stwierdzać, że przepisy dyrektywy nie naruszają wspomnianego prawodawstwa. Ponadto ostatnie zdanie motywu wydaje się oznaczać, że w prawodawstwie dotyczącym ochrony danych jedno-znacznie żąda się od kontrolujących natychmiastowego zniszczenia przypadkowo zgromadzonych danych. Ogólną zasadą ochrony danych jest to, że dane osobowe nie są przetrzymywane dłużej niż jest to konieczne do celów, do których zostały zgromadzone lub do których są dalej przetwarzane. Jeżeli pierwsza część motywu zostanie skorygowana według propozycji, to ostatnie zdanie staje się zbędne. EIOD proponuje zatem skreślić ostatnie zdanie motywu 25.
III. WNIOSEK
17. EIOD pragnie wyrazić poparcie dla sposobu, w jaki Komisja zapewniła przestrzeganie zasad ochrony danych w proponowanej dyrektywie.
18. Na bardziej szczegółowym poziomie EIOD proponuje, co następuje:
– zastąpić wyraz "gromadzenie" w pierwszym zdaniu art. 19 ust. 2 wyrazem "przetwarzanie";
– przenieść art. 20, który stanowi ogólny przepis o ochronie danych, do pierwszej części dyrektywy, bezpośrednio po art. 2;
– dodać do motywu 25 stwierdzenie, że przepisy dyrektywy nie naruszają przepisów dyrektywy 95/46/WE ani rozporządzenia (WE) nr 45/2001;
– skreślić ostatnie zdanie w motywie 25.
Sporządzono w Brukseli, dnia 3 lutego 2009 r.
|
Peter HUSTINX |
|
|
|
Europejski Inspektor Ochrony Danych |
______
(1) Dz.U. L 281 z 23.11.1995, s. 31.
(2) Dz.U. L 8 z 12.1.2001, s. 1.
(3) COM(2008) 775 wersja ostateczna.
