Opinia Europejskiego Inspektora Ochrony Danych w sprawie wniosku na temat rozporządzenia Parlamentu Europejskiego i Rady dotyczącego ustanowienia systemu Eurodac do porównywania odcisków palców w celu skutecznego stosowania rozporządzenia (WE) nr [.../...] (ustanawiającego kryteria i mechanizmy ustalania państwa członkowskiego odpowiedzialnego za rozpatrzenie wniosku o udzielenie ochrony międzynarodowej złożonego w jednym z państw członkowskich przez obywatela kraju trzeciego lub bezpaństwowca) (COM(2008) 825)(2009/C 229/02)
(Dz.U.UE C z dnia 23 września 2009 r.)
EUROPEJSKI INSPEKTOR OCHRONY DANYCH,
uwzględniając Traktat ustanawiający Wspólnotę Europejską, w szczególności jego art. 286,
uwzględniając Kartę praw podstawowych Unii Europejskiej, w szczególności jej art. 8,
uwzględniając dyrektywę 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych(1),
uwzględniając rozporządzenie (WE) nr 45/2001 Parlamentu Europejskiego i Rady z dnia 18 grudnia 2000 r. o ochronie osób fizycznych w związku z przetwarzaniem danych osobowych przez instytucje i organy wspólnotowe i o swobodnym przepływie takich danych(2), w szczególności jego art. 41,
uwzględniając wniosek o wydanie opinii złożony zgodnie z art. 28 ust. 2 rozporządzenia (WE) nr 45/2001 i otrzymany od Komisji w dniu 3 grudnia 2008 r.,
PRZYJMUJE NASTĘPUJĄCĄ OPINIĘ:
I. WPROWADZENIE
Konsultacje z Europejskim Inspektorem Ochrony Danych
1. Wniosek w sprawie rozporządzenia Parlamentu Europejskiego i Rady dotyczącego ustanowienia systemu Eurodac do porównywania odcisków palców w celu skutecznego stosowania rozporządzenia (WE) nr [.../...] [ustanawiającego kryteria i mechanizmy ustalania państwa członkowskiego odpowiedzialnego za rozpatrzenie wniosku o udzielenie ochrony międzynarodowej złożonego w jednym z państw członkowskich przez obywatela kraju trzeciego lub bezpaństwowca] (zwany dalej "wnioskiem" lub "wnioskiem Komisji") został w dniu 3 grudnia 2008 r. przekazany przez Komisję Europejskiemu Inspektorowi Ochrony Danych do konsultacji, zgodnie z art. 28 ust. 2 rozporządzenia (WE) nr 45/2001. O konsultacjach tych należy wyraźnie wspomnieć w preambule rozporządzenia.
2. Jak wspomniano w uzasadnieniu, Europejski Inspektor Ochrony Danych zgłaszał na wcześniejszych etapach uwagi do przedmiotowego wniosku i wiele z jego nieformalnych komentarzy zostało uwzględnionych w ostatecznej wersji wniosku Komisji.
Kontekst wniosku
3. Rozporządzenie Rady nr 2725/2000/WE(3) z dnia 11 grudnia 2000 r. dotyczące ustanowienia systemu Eurodac (zwane dalej "rozporządzeniem Eurodac") weszło w życie w dniu 15 grudnia 2000 r. Eurodac, ogólnowspólnotowy system informatyczny, został stworzony w celu ułatwienia stosowania konwencji dublińskiej, która miała na celu ustanowienie przejrzystego i sprawnego mechanizmu określania odpowiedzialności za wnioski o azyl składane w jednym z państw członkowskich. Konwencja dublińska została następnie zastąpiona wspólnotowym aktem prawnym - rozporządzeniem Rady (WE) nr 343/2003 z dnia 18 lutego 2003 r. ustanawiającym kryteria i mechanizmy określania państwa członkowskiego właściwego dla rozpatrywania wniosku o azyl, wniesionego w jednym z państw członkowskich przez obywatela państwa trzeciego(4) (zwanego dalej "rozporządzeniem dublińskim")(5). Eurodac zaczął działać w dniu 15 stycznia 2003 r.
4. Wniosek stanowi zmianę rozporządzenia Eurodac i jego rozporządzenia wykonawczego, którym jest rozporządzenie Rady nr 407/2002/WE; ma on na celu między innymi:
– usprawnienie dotyczące stosowania rozporządzenia Eurodac,
– zapewnienie spójności ze wspólnotowym dorobkiem prawnym dotyczącym azylu powstałym od czasu przyjęcia wyżej wymienionego rozporządzenia,
– aktualizację szeregu przepisów z uwzględnieniem zmian stanu faktycznego, do których doszło od czasu przyjęcia rozporządzenia,
– ustanowienie nowych ram dotyczących zarządzania.
5. Należy również podkreślić, że jednym z głównych celów wniosku jest zapewnienie pełniejszego poszanowania praw podstawowych, a w szczególności ochrony danych osobowych. Niniejsza opinia ma na celu przeanalizowanie, czy przepisy zawarte w przedmiotowym wniosku odpowiednio wypełniają ten cel.
6. Wniosek uwzględnia wyniki sprawozdania Komisji z oceny systemu dublińskiego z czerwca 2007 r. (zwanego dalej "sprawozdaniem z oceny"), która dotyczy pierwszych 3 lat funkcjonowania Eurodac C (lata 2003-2005).
7. W sprawozdaniu z oceny Komisja uznała, że system ustanowiony rozporządzeniem został w państwach członkowskich wdrożony w sposób na ogół zadowalający, jednak wskazała także na pewne problemy dotyczące wydajności aktualnych przepisów i określiła kwestie, które należy rozwiązać w celu usprawnienia systemu Eurodac i ułatwienia stosowania rozporządzenia dublińskiego. W sprawozdaniu w szczególności odnotowano, że niektóre państwa członkowskie nadal przekazują odciski palców z opóźnieniem. Rozporządzenie Eurodac przewiduje obecnie jedynie bardzo nieprecyzyjny termin przesyłania odcisków palców, co w praktyce może prowadzić do znacznych opóźnień. Kwestia ta ma kluczowe znaczenie dla skuteczności systemu, ponieważ zwłoka w przekazywaniu może powodować rezultaty sprzeczne z zasadami ustalania odpowiedzialności ustanowionymi w rozporządzeniu dublińskim.
8. W sprawozdaniu z oceny podkreślono też, że brak wydajnej metody pozwalającej państwom członkowskim wymieniać informacje na temat statusu osób ubiegających się o azyl prowadził wielokrotnie do nieefektywnego zarządzania procesem usuwania danych. Państwa członkowskie, które wprowadzają dane dotyczące konkretnych osób są często nieświadome faktu, że inne państwo członkowskie pochodzenia skasowało takie dane i dlatego nie zdają sobie sprawy, że powinny usunąć także swoje dane dotyczące tych osób. W rezultacie nie można w dostatecznym stopniu zapewnić przestrzegania zasady stanowiącej, że "żadne dane nie powinny być przechowywane w formie umożliwiającej identyfikację osób, których dane te dotyczą, przez okres dłuższy niż ten potrzebny do celów, do jakich dane zostały zgromadzone".
9. Ponadto, zgodnie z analizą zawartą w sprawozdaniu z oceny, brak jasnego określenia krajowych organów mających dostęp do systemu Eurodac utrudnia Komisji i Europejskiemu Inspektorowi Ochrony Danych pełnienie powierzonej im roli polegającej na monitorowaniu.
Zakres opinii
10. Z uwagi na swą aktualną rolę organu nadzorczego w stosunku do Eurodac, Europejski Inspektor Ochrony Danych jest szczególnie zainteresowany wnioskiem Komisji i pozytywnym wynikiem modyfikacji całego systemu Eurodac.
11. Europejski Inspektor Ochrony Danych zauważa, że wniosek obejmuje różne aspekty dotyczące praw podstawowych osób ubiegających się o azyl, takie jak prawo do azylu, prawo do informacji w szerokim rozumieniu tego pojęcia czy prawo do ochrony danych osobowych. Z uwagi na misję Europejskiego Inspektora Ochrony Danych niniejsza opinia skupia się głównie na poruszanych w zmienianym rozporządzeniu kwestiach, które związane są z ochroną danych. W tym kontekście Europejski Inspektor Ochrony Danych z zadowoleniem odnotowuje fakt, że we wniosku dużo uwagi poświęcono poszanowaniu i ochronie danych osobowych. Korzystając z okazji, Inspektor pragnie podkreślić, że zapewnienie wysokiego poziomu ochrony danych osobowych i sprawniejsze zastosowanie takiej ochrony w praktyce powinno być traktowane jako warunek wstępny niezbędny dla poprawy funkcjonowania systemu Eurodac.
12. Niniejsza opinia dotyczy przede wszystkich następujących zmian brzmienia, ponieważ są one najbardziej istotne z punktu widzenia ochrony danych osobowych:
– nadzór ze strony Europejskiego Inspektora Ochrony Danych, łącznie z przypadkami, w których zarządzanie systemem powierza się częściowo innemu podmiotowi (na przykład spółce prywatnej),
– procedura pobierania odcisków palców, łącznie z określeniem granic wieku,
– prawa osoby, której dane dotyczą.
II. UWAGI OGÓLNE
13. Europejski Inspektor Ochrony Danych z zadowoleniem odnotowuje, że autorzy wniosku starali się zachować spójność z innymi instrumentami prawnymi regulującymi tworzenie lub wykorzystywanie innych obszernych systemów informatycznych. W szczególności podział odpowiedzialności w zakresie bazy danych oraz sposób określenia modelu nadzoru we wniosku są spójne z instrumentami prawnymi ustanawiającymi system informacyjny Schengen II (SIS II) oraz wizowy system informacyjny (VIS).
14. Europejski Inspektor Ochrony Danych zauważa też spójność wniosku z dyrektywą 95/46/WE i rozporządzeniem (WE) nr 45/2001. W związku z tym Europejski Inspektor Ochrony Danych przyjmuje z zadowoleniem w szczególności nowe motywy 17, 18 i 19, które stanowią, że na mocy proponowanego rozporządzenia dyrektywa 95/46/WE i rozporządzenie (WE) nr 45/2001 mają zastosowanie do przetwarzania danych osobowych - odpowiednio - przez państwa członkowskie i przez odnośne instytucje i organy wspólnotowe.
15. Ponadto, Europejski Inspektor Ochrony Danych zwraca uwagę na potrzebę doprowadzenia do pełnej spójności między rozporządzeniem Eurodac i rozporządzeniem dublińskim i korzystając z okazji pragnie w niniejszej opinii przedstawić bardziej szczegółowe wskazówki dotyczące takiej zgodności. Zauważa on jednak, że w niektórych aspektach kwestia ta została już we wniosku uwzględniona, np. w uzasadnieniu, w którym wspomina się, że: "potrzeba zapewnienia spójności z rozporządzeniem dublińskim (oraz uwzględnienia problemów związanych z ochroną danych, w szczególności dotyczących przestrzegania zasady proporcjonalności) zostanie zaspokojona przez uzgodnienie okresu przechowywania danych na temat obywateli krajów trzecich oraz bezpaństwowców, od których pobrano odciski palców w związku z nielegalnym przekroczeniem granicy zewnętrznej, z okresem przez który, zgodnie z art. 14 ust. 1 rozporządzenia dublińskiego, państwo członkowskie pozostaje odpowiedzialne na podstawie tej informacji (tzn. okresem jednego roku)".
III. UWAGI SZCZEGÓŁOWE
III.1. Nadzór ze strony Europejskiego Inspektora Ochrony Danych
16. Europejski Inspektor Ochrony Danych z zadowoleniem przyjmuje model nadzoru ustanowiony we wniosku, jak również konkretne zadania, które zostały mu przydzielone na mocy art. 25 i 26 wniosku. Artykuł 25 powierza Europejskiemu Inspektorowi Ochrony Danych dwa zadania z zakresu nadzoru:
– "sprawdzanie, czy działania organu zarządzającego związane z przetwarzaniem danych osobowych przeprowadzane są zgodnie z niniejszym rozporządzeniem" (art. 25 ust. 1), oraz
– "zapewnianie, by audyt działań organu zarządzającego związanych z przetwarzaniem danych osobowych przeprowadzany był zgodnie z międzynarodowymi standardami audytu, co najmniej raz na cztery lata".
Artykuł 26 porusza kwestię współpracy między krajowymi organami nadzorczymi a Europejskim Inspektorem Ochrony Danych.
17. Europejski Inspektor Ochrony Danych zauważa także, że we wniosku zaproponowano podejście podobne do tego, które przyjęto w odniesieniu do systemów SIS II i VIS: wielowarstwowy system nadzoru, w ramach którego krajowe organy ds. ochrony danych i Europejski Inspektor Ochrony Danych sprawują nadzór odpowiednio na szczeblu krajowym i na szczeblu UE, a między tymi dwoma szczeblami funkcjonuje system współpracy. Model współpracy przewidziany we wniosku odzwierciedla również aktualne praktyki, które okazały się wydajne i doprowadziły do nawiązania ścisłej współpracy między Europejskim Inspektorem Ochrony Danych a krajowymi organami ds. ochrony danych. Dlatego też Europejski Inspektor Ochrony Danych z zadowoleniem przyjmuje fakt, że prawodawca w sposób formalny uwzględnił tę współpracę we wniosku, zapewniając jednocześnie spójność z systemami nadzoru innych obszernych systemów informatycznych.
III.2. Podwykonawstwo
18. Europejski Inspektor Ochrony Danych zauważa, że we wniosku nie poruszono kwestii powierzania części zadań Komisji innym organizacjom lub podmiotom (takim jak spółki prywatne). Mimo to Komisja powszechnie korzysta z usług podwykonawców w ramach zarządzania i rozwoju systemu oraz infrastruktury komunikacyjnej. Podwykonawstwo samo w sobie nie stoi w sprzeczności z wymogami ochrony danych, jednak należy wprowadzić odpowiednie zabezpieczenia, tak aby mieć pewność, że podwykonawstwo niektórych działań nie będzie miało żadnego wpływu na stosowanie rozporządzenia (WE) nr 45/2001, w tym na nadzór nad ochroną danych sprawowany przez Europejskiego Inspektora Ochrony Danych. Ponadto należy przyjąć dodatkowe zabezpieczenia bardziej technicznej natury.
19. W związku z tym Europejski Inspektor Ochrony Danych proponuje wprowadzenie w ramach zmiany rozporządzenia Eurodac podobnych zabezpieczeń prawnych do tych przewidzianych w instrumentach prawnych dotyczących systemu SIS II, tak aby jasno określić, że nawet w przypadku powierzenia przez Komisję zarządzania systemem innemu organowi, Komisja dokłada starań, aby to "nie wpłynęło niekorzystnie na jakikolwiek system skutecznej kontroli ustanowiony prawem wspólnotowym, sprawowanej przez Trybunał Sprawiedliwości, Trybunał Obrachunkowy lub też przez Europejskiego Inspektora Ochrony Danych" (art. 15 ust. 7 decyzji i rozporządzenia SIS II).
20. Przepisy art. 47 rozporządzenia SIS II są jeszcze bardziej szczegółowe i stanowią, że: "Jeżeli w okresie przejściowym Komisja deleguje swoje obowiązki innemu organowi lub organom (...), zapewnia ona Europejskiemu Inspektorowi Ochrony Danych prawo oraz możliwość pełnego wykonywania jego zadań, w tym przeprowadzania kontroli na miejscu oraz wykonywania wszelkich innych powierzonych mu uprawnień na mocy art. 47 rozporządzenia (WE) nr 45/2001".
21. Wyżej wymienione przepisy zapewniają należytą jasność co do konsekwencji powierzenia części zadań Komisji innym organom. Europejski Inspektor Ochrony Danych proponuje zatem dodanie do treści wniosku Komisji przepisów mających taki sam skutek.
III.3. Procedura pobierania odcisków palców (art. 3.5 i 6)
22. Artykuł 3 ust. 5 wniosku dotyczy procedury pobierania odcisków palców. Przepis ten stanowi, że procedurę tę "ustala się i stosuje zgodnie z praktyką obowiązującą w danym państwie członkowskim i zgodnie z gwarancjami ustanowionymi w Karcie praw podstawowych Unii Europejskiej, w Konwencji o ochronie praw człowieka i podstawowych wolności, jak również w europejskiej konwencji praw człowieka oraz w konwencji Organizacji Narodów Zjednoczonych o prawach dziecka". Artykuł 6 wniosku przewiduje, że minimalna granica wieku w przypadku wnioskodawców, od których pobiera się odciski palców, wynosi 14 lat, a odciski pobierane są nie później niż w ciągu 48 godzin od złożenia wniosku.
23. Przede wszystkim, jeśli chodzi o granicę wieku, Europejski Inspektor Ochrony Danych podkreśla potrzebę zapewnienia spójności wniosku z rozporządzeniem dublińskim. System Eurodac został ustanowiony w celu zapewnienia skutecznego wykonania rozporządzenia dublińskiego. Oznacza to, że jeśli wprowadzenie przedmiotowych zmian do rozporządzenia dublińskiego będzie miało wpływ na jego zastosowanie do małoletnich ubiegających się o azyl, powinno zostać to odzwierciedlone w rozporządzeniu Eurodac(6).
24. Po drugie, jeśli chodzi o określanie granic wieku dla potrzeb pobierania odcisków palców w ogóle, Europejski Inspektor Ochrony Danych pragnie pokreślić, że większość aktualnie dostępnych dokumentów zdaje się wskazywać, iż precyzja identyfikacji na podstawie odcisków palców maleje wraz z wiekiem danej osoby. W związku z tym zaleca się dokładne monitorowanie badań dotyczących odcisków palców prowadzonych w ramach wdrożenia systemu VIS. Europejski Inspektor Ochrony Danych nie chce uprzedzać wyników tych badań, jednak już teraz pragnie podkreślić, że we wszystkich sytuacjach, w których pobranie odcisków palców okaże się niemożliwe lub wyniki badania byłyby niewiarygodne, należy skorzystać z procedur awaryjnych, które powinny zapewniać pełne poszanowanie godności danej osoby.
25. Po trzecie, Europejski Inspektor Ochrony Danych odnotowuje działania podejmowane przez prawodawcę w celu zapewnienia zgodności przepisów dotyczących pobierania palców z wymogami międzynarodowych i europejskich przepisów dotyczących praw człowieka. Mimo to Inspektor zwraca uwagę na trudności, na które napotykają niektóre państwa członkowskie w związku z ustalaniem wieku młodych osób ubiegających się o azyl. Bardzo często osoby ubiegające się o azyl lub nielegalni imigranci nie mają dokumentów tożsamości, a w celu ustalenia, czy należy od nich pobrać odciski palców konieczne jest określenie ich wieku. Metody stosowane w tym celu są przedmiotem wielu dyskusji w poszczególnych państwach członkowskich.
26. W związku z tym Europejski Inspektor Ochrony Danych zwraca uwagę na fakt, że grupa ds. koordynowania nadzoru nad systemem Eurodac(7) rozpoczęła skoordynowaną kontrolę dotyczącą tej kwestii, a jej wyniki - których ogłoszenie przewidziane jest na pierwszą połowę 2009 r. - powinny ułatwić określenie wspólnych procedur w tym zakresie.
27. Reasumując, Europejski Inspektor Ochrony Danych dostrzega potrzebę lepszej koordynacji i harmonizacji na szczeblu UE procedur pobierania odcisków palców w jak największym możliwym zakresie.
III.4. Najlepsze z dostępnych technik (art. 4)
28. Artykuł 4 ust. 1 wniosku stanowi: "Po okresie przejściowym odpowiedzialność za zarządzanie operacyjne systemem Eurodac spoczywać będzie na organie zarządzającym, finansowanym z budżetu ogólnego Unii Europejskiej. Organ zarządzający zapewnia, we współpracy z państwami członkowskimi, by w systemie centralnym stosowane były zawsze, gdy przemawiają za tym wyniki analizy kosztów i korzyści, najlepsze z dostępnych technologii". Chociaż Europejski Inspektor Ochrony Danych z zadowoleniem przyjmuje wymóg przewidziany w art. 4 ust. 1, pragnie zauważyć, że sformułowanie "najlepsze z dostępnych technologii" zastosowane w wyżej wymienionym przepisie powinno zostać zastąpione określeniem "najlepsze z dostępnych technik", które obejmuje zarówno stosowane technologie, jak i metody projektowania, budowy, konserwacji i eksploatacji instalacji.
III.5. Wcześniejsze usunięcie danych (art. 9)
29. Artykuł 9 ust. 1 wniosku porusza kwestię wcześniejszego usunięcia danych. Przepis ten zobowiązuje państwo członkowskie pochodzenia do usunięcia z systemu centralnego "danych odnoszących się do osoby, która uzyskała obywatelstwo któregokolwiek z państw członkowskich przed upływem okresu, o którym mowa w art. 8", zaraz po tym, gdy tylko państwo członkowskie pochodzenia uzyska informację, że dana osoba uzyskała takie obywatelstwo. Europejski Inspektor Ochrony Danych z zadowoleniem przyjmuje obowiązek usunięcia danych, ponieważ jest on zgodny z zasadą jakości danych. Ponadto, Europejski Inspektor Ochrony Danych uważa, że zmiana tego przepisu jest okazją, aby zachęcić państwa członkowskie do wprowadzenia procedur zapewniających rzetelne i terminowe (w miarę możliwości automatyczne) usunięcie danych odnoszących się do osoby, która uzyskała obywatelstwo któregokolwiek z państw członkowskich.
30. Co więcej, Europejski Inspektor Ochrony Danych pragnie podkreślić, że art. 9 ust. 2 dotyczący wcześniejszego usunięcia danych powinien zostać zmieniony, ponieważ w obecnym brzmieniu jest on niejasny. Tytułem poprawki stylistycznej Europejski Inspektor Ochrony Danych sugeruje zastąpienie sformułowania "to państwo" wyrażeniem "te państwa".
III.6. Okres przechowywania danych obywateli krajów trzecich zatrzymanych w związku z nielegalnym przekroczeniem granicy (art. 12)
31. Artykuł 12 wniosku dotyczy przechowywania danych. Europejski Inspektor Ochrony Danych pragnie zauważyć, że ustanowienie okresu przechowywania danych o długości do 1 roku (zamiast 2 lat przewidzianych w aktualnej wersji rozporządzenia) stanowi przykład dobrego zastosowania zasady jakości danych, która przewiduje, że dane nie powinny być przechowywane przez okres dłuższy niż potrzebny do realizacji celów, do jakich dane te są przetwarzane. Zmiana ta jest pożądana.
III.7. Wykaz organów mających dostęp do Eurodac (art. 20)
32. Przepis przewidujący publikowanie przez organ zarządzający wykazu organów mających dostęp do danych Eurodac stanowi pożądaną zmianę. Pozwoli to na poprawę przejrzystości i stanowić będzie praktyczne narzędzie umożliwiające lepszy nadzór nad systemem, np. przez organy ds. ochrony danych.
III.8. Rejestr (art. 21)
33. Artykuł 21 wniosku dotyczy prowadzenia rejestru wszystkich operacji związanych z przetwarzaniem danych w systemie centralnym. Artykuł 21 ust. 2 stanowi, że rejestr ten można wykorzystywać tylko do monitorowania, czy operacje przetwarzania są dopuszczalne w świetle zasad ochrony danych (...). W związku z tym wskazane byłoby wyjaśnienie, że obejmuje to także środki kontroli własnej.
III.9. Prawa osoby, której dane dotyczą (art. 23)
34. Artykuł 23 ust. 1 lit. e) wniosku stanowi:
"Państwo Członkowskie pochodzenia podaje osobie objętej zakresem niniejszego rozporządzenia (...) następujące informacje:
e) o prawie do dostępu do danych dotyczących tej osoby oraz prawie do żądania poprawienia nieprawidłowych danych dotyczących tej osoby lub usunięcia danych dotyczących tej osoby przetworzonych niezgodnie z prawem, łącznie z prawem otrzymania informacji na temat procedur korzystania z tych praw, jak również dane kontaktowe krajowych organów nadzorczych, o których mowa w art. 25 ust. 1, które rozpatrują skargi dotyczące ochrony danych osobowych".
35. Europejski Inspektor Ochrony Danych zauważa, że skuteczne stosowanie prawa do informacji jest bardzo ważne dla prawidłowego funkcjonowania systemu Eurodac. W szczególności konieczne jest dostarczanie informacji w taki sposób, aby osoba ubiegająca się o azyl w pełni rozumiała swoją sytuację oraz przysługujące jej prawa, w tym procedury, z których może skorzystać w następstwie decyzji administracyjnych podjętych w jej sprawie.
36. Jeśli chodzi o aspekty praktyczne wykonywania tego prawa, Europejski Inspektor Ochrony Danych pragnie podkreślić, że chociaż krajowe organy ds. ochrony danych, wymienione są faktycznie organami właściwymi do rozpatrywania skarg dotyczących ochrony danych osobowych, to wniosek powinien być sformułowany tak, aby wnioskodawca (osoba, której dane dotyczą) miał możliwość skierowania wniosku przede wszystkim do administratora danych. Zawarty w art. 23 ust. 1 lit. e) przepis w obecnym brzmieniu zdaje się sugerować, że wnioskodawca powinien swój wniosek przedkładać - bezpośrednio i w każdym przypadku - krajowemu organowi ds. ochrony danych, chociaż zgodnie ze standardowymi procedurami i praktykami przyjętymi w państwach członkowskich wnioskodawca składa skargę najpierw u administratora danych.
37. Europejski Inspektor Ochrony Danych zaleca także zmianę brzmienia art. 23 ust. 1 lit. e), tak aby doprecyzować, jakie prawa przyznane będą wnioskodawcy. Tekst w proponowanym brzmieniu jest niejasny, ponieważ możliwa jest interpretacja, zgodnie z którą "prawo otrzymania informacji na temat procedur korzystania z tych praw (...)" jest we wniosku uznawane za część prawa dostępu do danych lub prawa do żądania poprawienia nieprawidłowych danych (...). Ponadto zgodnie z obecnym brzmieniem powyższego przepisu państwa członkowskie mają informować osobę objętą zakresem rozporządzenia nie o treści jej praw, ale o ich "istnieniu". Ponieważ wydaje się, że ten drugi problem jest kwestią stylu, Europejski Inspektor Ochrony Danych zaleca, aby art. 23 ust. 1 lit. e) otrzymał następujące brzmienie
"Państwo Członkowskie pochodzenia podaje osobie objętej zakresem niniejszego rozporządzenia (...) następujące informacje:
g) o prawie dostępu danych dotyczących tej osoby oraz prawie do żądania poprawienia nieprawidłowych danych jej dotyczących lub usunięcia danych jej dotyczących przetworzonych niezgodnie z prawem, jak również o procedurach służących wykonywaniu tych praw, co obejmuje także dane kontaktowe krajowych organów nadzorczych, o których mowa w art. 25 ust. 1".
38. Na tej samej zasadzie art. 23 ust. 10 powinien otrzymać następujące brzmienie: "W każdym państwie członkowskim krajowy organ nadzorczy, w stosownych przypadkach (lub: na wniosek osoby, której dane dotyczą), wspiera osobę, której dane dotyczą, zgodnie z art. 28 ust. 4 dyrektywy 95/46/WE, w wykonywaniu jej praw". Europejski Inspektor Ochrony Danych pragnie ponownie podkreślić, że interwencja organu ds. ochrony danych nie powinna być zasadniczo konieczna; wręcz przeciwnie - należy zachęcać administratora danych, aby odpowiednio reagował na skargi osób, których dane dotyczą. To samo dotyczy przypadków, w których potrzebna jest współpraca między organami różnych państw członkowskich. To administratorzy danych powinni być przede wszystkim odpowiedzialni za rozpatrywanie wniosków i podejmowanie współpracy w tym zakresie.
39. Jeśli chodzi o art. 23 ust. 9, Europejski Inspektor Ochrony Danych z zadowoleniem przyjmuje nie tylko samo założenie tego przepisu (który przewiduje kontrolę korzystania z prawa do przeprowadzania "specjalnych przeszukiwań", zgodnie z zaleceniami organów ds. ochrony danych zawartymi w ich pierwszym sprawozdaniu w sprawie skoordynowanych kontroli), ale także z satysfakcją odnotowuje zaproponowaną w tym celu procedurę.
40. Jeśli chodzi o metody udzielania informacji wnioskodawcom, Europejski Inspektor Ochrony Danych wskazuje na działania podejmowane przez grupę ds. koordynowania nadzoru nad systemem Eurodac. Grupa ta aktualnie analizuje tę kwestię w ramach systemu Eurodac w celu zaproponowania właściwych wskazówek, kiedy tylko zostaną opracowane i udostępnione wyniki krajowych postępowań wyjaśniających.
IV. KONKLUZJE
41. Europejski Inspektor Ochrony Danych popiera wniosek w sprawie rozporządzenia Parlamentu Europejskiego i Rady dotyczącego ustanowienia systemu Eurodac do porównywania odcisków palców w celu skutecznego stosowania rozporządzenia (WE) nr [.../...] ustanawiającego kryteria i mechanizmy ustalania państwa członkowskiego odpowiedzialnego za rozpatrzenie wniosku o udzielenie ochrony międzynarodowej złożonego w jednym z państw członkowskich przez obywatela kraju trzeciego lub bezpaństwowca.
42. Europejski Inspektor Ochrony Danych z zadowoleniem przyjmuje model nadzoru zaproponowany we wniosku, jak również rolę i zadania przydzielone mu w nowym systemie. Przewidziany model odzwierciedla aktualne praktyki, które okazały się wydajne.
43. Europejski Inspektor Ochrony Danych z zadowoleniem zauważa, że autorzy wniosku starali się zachować spójność z innymi instrumentami prawnymi regulującymi tworzenie lub wykorzystywanie innych obszernych systemów informatycznych.
44. Europejski Inspektor Ochrony Danych zauważa, że we wniosku dużo uwagi poświęcono poszanowaniu praw podstawowych, a w szczególności ochronie danych osobowych. Jak już wspomniano w opinii dotyczącej zmiany rozporządzenia dublińskiego, Europejski Inspektor Ochrony Danych uznaje to podejście za warunek wstępny niezbędny dla usprawnienia procedur udzielania azylu w Unii Europejskiej.
45. Europejski Inspektor Ochrony Danych zwraca uwagę na potrzebę doprowadzenia do pełnej spójności między rozporządzeniem Eurodac i rozporządzeniem dublińskim.
46. Europejski Inspektor Ochrony Danych dostrzega potrzebę lepszej koordynacji i harmonizacji na szczeblu UE procedur pobierania odcisków palców, zarówno w stosunku do osób ubiegających się o azyl jak i innych osób objętych procedurą Eurodac. Zwraca on szczególną uwagę na kwestię granic wieku w związku z pobieraniem odcisków palców, a w szczególności na problemy, jakie niektóre państwa członkowskie napotykają w związku z określeniem wieku młodych osób ubiegających się o azyl.
47. Europejski Inspektor Ochrony Danych obstaje przy stanowisku, że konieczne jest doprecyzowanie procedur dotyczących praw osób, których dane dotyczą i podkreśla w szczególności, że to przede wszystkim krajowi administratorzy danych odpowiedzialni są za zapewnienie wykonania takich praw.
Sporządzono w Brukseli dnia 18 lutego 2009 r.
|
Peter HUSTINX |
|
Europejski Inspektor Ochrony Danych |
______
(1) Dz.U. L 281 z 23.11.1995, s. 31.
(2) Dz.U. L 8 z 12.1.2001, s. 1.
(3) Dz.U. L 316 z 15.12.2000, s. 1.
(4) Dz.U. L 50 z 25.2.2003, s. 1.
(5) Rozporządzenie dublińskie jest obecnie również przedmiotem zmian (COM(2008) 820 wersja ostateczna), 3.12.2008 (przekształcenie). Europejski Inspektor Ochrony Danych wydał również opinię dotyczącą wniosku dublińskiego.
(6) W tym względzie Europejski Inspektor Ochrony Danych zwraca uwagę na fakt, że we wniosku Komisji dotyczącym zmiany rozporządzenia dublińskiego przedstawionym w dniu 3 grudnia 2008 r. (COM(2008) 825 wersja ostateczna) "małoletni" oznacza "obywatela kraju trzeciego lub bezpaństwowca w wieku poniżej 18 lat".
(7) Wyjaśnienia dotyczące działalności i statusu grupy znajdują się pod adresem internetowym: http://www.edps.europa.eu/EDPSWEB/edps/site/mySite/pid/79. Grupa ta sprawuje skoordynowany nadzór nad systemem EURODAC.
