Европейската комисия предложи нови правила в подкрепа ефективността и ефикасността на прилагането на Общия регламент за защита на данните (GDPR) в трансгранични случаи. Процедурният регламент на GDPR има за цел да рационализира сътрудничеството между органите за защита на данните (DPA), като хармонизира някои аспекти на техните административни процедури в трансгранични случаи. По този повод от комисията дават отговори на някои крюбови въпроси:
Това предложение променя ли правилата за защита на данните?
Не. Както видяхме, GDPR работи. Процедурният регламент на Комисията не засяга никакви съществени елементи от GDPR, като правата на субектите на данни, задълженията на администраторите и обработващите данни или законовите основания за обработка на лични данни, както е определено от GDPR.
В своя доклад за 2020 г. относно прилагането на GDPR Комисията установи, че процедурните разлики, прилагани от DPA, пречат на гладкото и ефективно функциониране на механизмите за сътрудничество и разрешаване на спорове на GDPR в трансгранични случаи (т.е. когато има жалбоподатели, намиращи се в повече от една държава-членка).
Комисията установи, че един по-хармонизиран подход по въпроси като допустимостта на жалбите, упражняването на правата на надлежен процес и участието на жалбоподателите в процедурата би подобрил ефективността и резултатите както за гражданите, предприятията, така и за органите за защита на данните. Тези елементи също бяха определени като важни от Европейския парламент и Европейския съвет за защита на данните (EDPB).
Предложението променя ли системата за обслужване на едно гише?
Не. Регламентът напълно поддържа тази система, където лица и организации могат да бъдат обслужени от местния/водещия DPA. Физическите лица се възползват от предимствата на системата „обслужване на едно гише“ всеки ден, като разчитат на своя местен DPA да защити правата им, независимо къде се намира организацията, обработваща техните данни. Предприятията също се възползват от правото да работят с един орган за защита на данните.
Предложението допълва GDPR, като определя подробни процедурни правила за трансграничната система за принудително изпълнение – регламентът ще действа в рамката, установена от GDPR. То не променя процедурните стъпки, предвидени от GDPR, нито ролите на участниците в процедурата по трансгранично принудително изпълнение – жалбоподатели, водещият DPA, засегнатите DPA.
Как DPA си сътрудничат по трансгранични случаи?
GDPR се прилага от независими национални DPA, както и от национални съдилища. В случаите, които включват трансгранично обработване на лични данни (обработване, което се извършва или съществено засяга субектите на данни в повече от една държава членка), се прилага системата за прилагане на GDPR „обслужване на едно гише“. В такива случаи DPA, където е установено разследваното образувание, провежда разследването в сътрудничество с други съответни DPA.
Съгласно GDPR DPA си сътрудничат, за да постигнат консенсус относно прилагането на регламента. Когато DPA не могат да постигнат консенсус в трансграничен случай, GDPR предвижда разрешаване на спорове от Европейския съвет за защита на данните (EDPB).
Как DPA ще си сътрудничат по новото предложение на Комисията?
Предложението въвежда допълнителни стъпки в сътрудничеството между DPA за улесняване на ранното постигане на консенсус и за намаляване на разногласията по-късно в процеса, което би изисквало използването на механизма за разрешаване на спорове.
В началото на разследването водещият DPA трябва да изпрати „обобщение на ключовите въпроси“ на съответните си колеги в ЕС. Това резюме идентифицира основните елементи, обект на разследване, и вижданията на водещия DPA по случая. Това ще гарантира, че съответните DPA разполагат с цялата необходима информация, за да предоставят своето мнение по случая на ранен етап.
Ако DPA не е съгласен с оценката на водещия DPA, този орган може да поиска съвместна операция или механизъм за взаимопомощ, както е предвидено в GDPR. Ако DPA все още не са съгласни относно обхвата на основан на жалба случай, предложението упълномощава Европейския съвет за защита на данните (ЕКЗД) да приеме спешна обвързваща резолюция за разрешаване на такова несъгласие в началото на процеса.
Какво означава предложението за жалбоподателите?
Понастоящем DPA имат фрагментирани подходи към понятието жалба. Предложението хармонизира елементите, които трябва да бъдат предоставени от жалбоподателите в трансгранични случаи. DPA, който получава жалба, трябва да отговаря за определянето на нейната допустимост.
Предложението също така гарантира, че жалбоподателите ще имат еднакви процесуални права в трансгранични случаи, независимо от това къде е подадена жалбата или кой DPA води разследването, като например правото да бъдат изслушани преди решение за пълно или частично отхвърляне на жалбата. Регламентът признава полезността на спогодбите по взаимно съгласие чрез DPA, които осигуряват бързо разрешаване.
Когато DPA предприеме последващи действия по жалба, жалбоподателите ще могат да изложат гледната си точка относно обвиненията срещу администратора или обработващия лични данни и, когато е необходимо, да получат достъп до документи в административното досие. Предложението хармонизира правото на жалбоподателя да бъде изслушан преди пълното или частичното отхвърляне на жалба. Той гарантира, че когато дадена жалба бъде отхвърлена, жалбоподателите трябва да могат да оспорват решението в съда.
Какво означава това за разследваните администратори и обработващи данни?
Съгласно новите правила разследваните страни ще имат право да бъдат изслушани на ключови етапи от процедурата, включително по време на разрешаване на спорове от ЕКЗД. Той също така изяснява съдържанието на административната преписка и правата на страните за достъп до преписката.
Водещият DPA трябва да съобщи своите „предварителни констатации“ на тези страни, а именно твърденията и подкрепящите доказателства. Съгласно механизма за разрешаване на спорове ЕКЗД следва да позволи на страните да упражнят правото си да бъдат изслушани, преди да приеме своето решение.
Предложението също така определя подробни правила относно третирането на поверителна информация.
