Streszczenie opinii Europejskiego Inspektora Ochrony Danych na temat wniosku dotyczącego rozporządzenia w sprawie rynków kryptoaktywów i zmieniającego dyrektywę (UE) 2019/1937 (Pełny tekst niniejszej opinii jest dostępny w wersji angielskiej, francuskiej i niemieckiej na stronie internetowej EIOD www.edps.europa.eu).

Streszczenie opinii Europejskiego Inspektora Ochrony Danych na temat wniosku dotyczącego rozporządzenia w sprawie rynków kryptoaktywów i zmieniającego dyrektywę (UE) 2019/1937

(Pełny tekst niniejszej opinii jest dostępny w wersji angielskiej, francuskiej i niemieckiej na stronie internetowej EIOD www.edps.europa.eu)

(2021/C 337/03)

(Dz.U.UE C z dnia 23 sierpnia 2021 r.)

W dniu 24 września 2020 r. Komisja Europejska przyjęła wniosek dotyczący rozporządzenia w sprawie rynków kryptoaktywów i zmieniającego dyrektywę (UE) 2019/1937 (zwany dalej "wnioskiem"). We wniosku ustanowiono wymogi dotyczące przejrzystości i ujawniania informacji w odniesieniu do emisji i dopuszczania kryptoaktywów do obrotu; przepisy dotyczące udzielania zezwolenia dostawcom usług w zakresie kryptoaktywów oraz emitentom tokenów powiązanych z aktywami i emitentom tokenów będących pieniądzem elektronicznym, a także sprawowania nad nimi nadzoru; wniosek reguluje działalność, organizację i zasady zarządzania emitentów tokenów powiązanych z aktywami, emitentów tokenów będących pieniądzem elektronicznym i dostawców usług w zakresie kryptoaktywów; oraz zawiera przepisy dotyczące ochrony konsumentów w zakresie emisji kryptoaktywów, obrotu kryptoaktywami, wymiany kryptoaktywów i przechowywania kryptoaktywów, jak również środki zapobiegania nadużyciom na rynku w celu zapewnienia integralności rynku kryptoaktywów.

EIOD przypomina o potrzebie szerszej refleksji nad tym, jak lepiej zapewnić zgodność z przepisami i zasadami ochrony danych technologii bazowej kryptoaktywów, mianowicie technologię blockchain i technologię rozproszonego rejestru, a także odnosi się w tym względzie do ogólnych uwag zawartych w opinii na temat wniosku w sprawie systemu pilotażowego na potrzeby infrastruktur rynkowych opartych na technologii rozproszonego rejestru oraz ponownie podkreśla potrzebę przeprowadzenia takiej dyskusji przed wejściem w życie odpowiedniego wniosku lub wniosków.

Jednocześnie EIOD podkreśla odpowiedzialność unijnego prawodawcy za dopilnowanie, by przetwarzanie, o którym mowa we wniosku, mogło być realizowane w sposób zgodny z przepisami o ochronie danych, a także podkreśla odpowiedzialność administratorów danych za zapewnienie zgodności z przepisami według zasady rozliczalności.

EIOD uważa, że administratorami danych na mocy RODO byliby najczęściej emitenci kryptoaktywów, biorąc pod uwagę projekt emitentów i w zakresie, w jakim wiąże się on z przetwarzaniem danych osobowych. Aby zwiększyć pewność prawa, EIOD zachęca prawodawcę do wyraźnego wskazania we wniosku emitentów jako administratorów danych. Ponadto przetwarzanie danych osobowych może spełniać co najmniej dwa kryteria wskazujące, że przetwarzanie może powodować wysokie ryzyko w rozumieniu prawa o ochronie danych. W związku z tym emitent kryptoaktywów może podlegać obowiązkowi przewidzianemu w art. 35 RODO, który dotyczy przeprowadzenia oceny skutków dla ochrony danych przed przewidywanym przetwarzaniem danych osobowych.

EIOD z zadowoleniem przyjmuje cel wniosku, jakim jest zwiększenie ochrony konsumentów jako nabywców kryptoaktywów (inwestorów). Jednocześnie EIOD uważa, że wniosek powinien również zawierać obowiązek emitentów do szczególnego wyeksponowania pewnych gwarancji dotyczących ochrony danych w celu lepszej ochrony osób, których dane dotyczą. EIOD zaleca włączenie do wniosku, w ramach informacji, które mają być przedstawione w dokumencie informacyjnym dotyczącym kryptoaktywów, informacji dotyczących przewidywanych czynności przetwarzania danych osobowych, a także głównych przewidywanych zagrożeń i strategii łagodzących w odniesieniu do ochrony danych.

EIOD zaleca, aby w odniesieniu do publikacji kar administracyjnych wśród kryteriów branych pod uwagę przez właściwy organ uwzględnić skutki dla ochrony danych osobowych osób fizycznych. Ponadto EIOD przypomina, że zgodnie z zasadą ograniczenia przechowywania dane osobowe muszą być przechowywane przez okres nie dłuższy niż jest to konieczne do celów, dla których dane osobowe są przetwarzane, i zaleca ustanowienie maksymalnego, a nie minimalnego okresu przechowywania danych na mocy art. 95 ust. 4 wniosku.

1. Kontekst

1. W dniu 24 września 2020 r. Komisja Europejska przyjęła wniosek dotyczący rozporządzenia w sprawie rynków kryp- toaktywów i zmieniającego dyrektywę (UE) 2019/1937 (zwany dalej "wnioskiem") ¹ . Wniosek stanowi ramy regulacyjne opracowane w celu uregulowania obecnie nieobjętych zakresem rozporządzenia kryptoaktywów i dostawców usług w zakresie kryptoaktywów w UE oraz zapewnienia jednolitego systemu licencjonowania we wszystkich państwach członkowskich do 2024 r. Wniosek ma na celu zharmonizowanie europejskich ram emisji i obrotu różnymi rodzajami tokenów w ramach europejskiej strategii w zakresie finansów cyfrowych.

2. Wniosek stanowi część pakietu dotyczącego finansów cyfrowych, czyli pakietu środków umożliwiających i wspierających wykorzystanie potencjału finansów cyfrowych w zakresie innowacyjności i konkurencji przy jednoczesnym ograniczeniu ryzyka. Pakiet dotyczący finansów cyfrowych obejmuje nową strategię w zakresie finansów cyfrowych dla unijnego sektora finansowego ² , której celem jest zapewnienie, aby UE umożliwiła konsumentom i przedsiębiorstwom w Europie dostęp do korzyści wynikających z finansów cyfrowych. Oprócz niniejszego wniosku pakiet zawiera także wniosek w sprawie systemu pilotażowego na potrzeby infrastruktur rynkowych w oparciu o technologię rozproszonego rejestru (DLT) ("wniosek w sprawie systemu pilotażowego") ³ , wniosek w sprawie operacyjnej odporności cyfrowej ("DORA") ⁴ , a także wniosek w sprawie wyjaśnienia lub zmiany niektórych powiązanych przepisów w zakresie unijnych usług finansowych ⁵ .

3. Przeprowadzono konsultacje z Europejskim Inspektorem Ochrony Danych w sprawie wniosku dotyczącego systemu pilotażowego i wydał on swoją opinię 23 kwietnia 2021 r. ⁶  W dniu 29 kwietnia 2021 r. przeprowadzono z nim również konsultacje w sprawie wniosku dotyczącego operacyjnej odporności cyfrowej i wydał on swoją opinię w dniu 10 maja 2021 r. ⁷

4. W dniu 29 kwietnia 2021 r. Komisja Europejska zwróciła się do Europejskiego Inspektora Ochrony Danych o wydanie opinii w sprawie wniosku, zgodnie z art. 42 ust. 1 rozporządzenia (EU) 2018/1725. Uwagi te ograniczają się do przepisów wniosku, które są istotne z punktu widzenia ochrony danych.

4. Wnioski

W związku z powyższym EIOD:

– przypomina o potrzebie szerszej refleksji i dyskusji, nie tylko związanych z kryptoaktywami, na temat tego, jak zapewnić, by technologia bazowa kryptoaktywów, mianowicie technologia blockchain i technologia rozproszonego rejestru, była jak najbardziej zgodna z przepisami i zasadami dotyczącymi ochrony danych, oraz ponownie podkreśla potrzebę przeprowadzenia takiej dyskusji przed wejściem w życie odpowiedniego wniosku lub wniosków;

– zaleca wyraźne wskazanie emitentów jako administratorów danych w celu uniknięcia wszelkich możliwych problemów interpretacyjnych przy ocenie roli, w szczególności biorąc pod uwagę złożoność przedmiotu wniosku oraz relacje pomiędzy odpowiednimi podmiotami;

– zaleca włączenie do art. 5, 17 i 46 wniosku, w ramach informacji, które mają być przedstawione w dokumencie informacyjnym dotyczącym kryptoaktywów, następującej informacji: "w stosownych przypadkach, wykaz przewidywanych czynności przetwarzania dotyczących danych osobowych, a także główne przewidywane zagrożenia i strategie łagodzące ryzyka w odniesieniu do ochrony danych";

– w odniesieniu do publikacji kar administracyjnych EIOD zaleca, by wśród kryteriów branych pod uwagę przez właściwy organ uwzględnić ryzyko dla ochrony danych osobowych osób fizycznych oraz zastąpić minimalny okres przechowywania danych na mocy art. 95 ust. 4 " co najmniej pięć lat" określonym maksymalnym okresem przechowywania danych;

– w odniesieniu do współpracy administracyjnej między właściwymi organami, EUNB i ESMA, a także współpracy z organami nadzoru państw trzecich, EIOD zaleca rozważenie usunięcia odniesienia do EUDPR na mocy art. 108 ust. 3, biorąc pod uwagę "horyzontalne" odniesienie do stosowania EUDPR zawarte w art. 88 ust. 2 wniosku.

Bruksela, dnia 24 czerwca 2021 r.

Wojciech Rafał WIEWIÓROWSKI

1 Wniosek dotyczący rozporządzenia Parlamentu Europejskiego i Rady w sprawie rynków kryptoaktywów oraz zmieniającego dyrektywę (UE) 2019/1937, 24 września 2020, 2020/0265 (COD).

2 Komunikat Komisji do Parlamentu Europejskiego, Rady Europejskiej, Rady, Europejskiego Banku Centralnego, Europejskiego Komitetu Ekonomiczno-Społecznego i Komitetu Regionów w sprawie strategii dla UE w zakresie finansów cyfrowych, 24 września 2020 r., COM(2020) 591.

3 Wniosek dotyczący rozporządzenia Parlamentu Europejskiego i Rady w sprawie systemu pilotażowego na potrzeby infrastruktur rynkowych opartych na technologii rozproszonego rejestru - COM(2020) 594.

4 Wniosek dotyczący rozporządzenia Parlamentu Europejskiego i Rady w sprawie operacyjnej odporności cyfrowej sektora finansowego i zmieniającego rozporządzenia (WE) nr 1060/2009, (UE) nr 648/2012, (UE) nr 600/2014 oraz (UE) nr 909/2014 - COM(2020) 595.

5 Wniosek dotyczący dyrektywy Parlamentu Europejskiego i Rady zmieniającej dyrektywy 2006/43/WE, 2009/65/WE, 2009/138/WE, 2011/61/UE, 2013/36/UE, 2014/65/UE, (UE) 2015/2366 i (UE) 2016/2341 - COM(2020) 596.

6 Opinia 6/2021 w sprawie wniosku dotyczącego systemu pilotażowego dla infrastruktur rynkowych opartych na technologii rozproszonego rejestru, dostępna pod adresem https://edps.europa.eu/system/files/2021-06/2021-0219_d0912_opinion_on_pilot_regime_ for_market_infrastructures_en.pdf.

7 Opinia 7/2021 w sprawie wniosku dotyczącego rozporządzenia w sprawie operacyjnej odporności cyfrowej sektora finansowego i zmieniającego rozporządzenia (WE) nr 1060/2009, (UE) nr 648/2012, (UE) nr 600/2014 oraz (UE) nr 909/2014, dostępna pod adresem https:// edps.europa.eu/system/files/2021-05/2021-0203_d0943_opinion_digital_operational_resilience_for_the_financial_sector_en.pdf

• Identyfikator: Dz.U.UE.C.2021.337.4
• Rodzaj: Informacja
• Tytuł: Streszczenie opinii Europejskiego Inspektora Ochrony Danych na temat wniosku dotyczącego rozporządzenia w sprawie rynków kryptoaktywów i zmieniającego dyrektywę (UE) 2019/1937 (Pełny tekst niniejszej opinii jest dostępny w wersji angielskiej, francuskiej i niemieckiej na stronie internetowej EIOD www.edps.europa.eu).
• Data aktu: 23/08/2021
• Data ogłoszenia: 23/08/2021