24.5.2017   

HR

Službeni list Europske unije

C 164/1

24.5.2017   

HR

Službeni list Europske unije

C 164/2

1.

Europska je komisija 10. siječnja 2017. donijela Prijedlog Uredbe Europskog parlamenta i Vijeća o zaštiti pojedinaca u vezi s obradom osobnih podataka u institucijama, tijelima, uredima i agencijama Unije i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Uredbe (EZ) br. 45/2001 i Odluke br. 1247/2002/EZ (1) („Prijedlog”).

2.

Temeljno pravo zaštite osobnih podataka utvrđeno je u članku 8. Povelje Europske unije o temeljnim pravima („Povelja”) i članku 16. Ugovora o funkcioniranju Europske unije („TFEU”).

3.

Europski nadzornik za zaštitu podataka („EDPS”) nezavisno je nadzorno tijelo odgovorno za to da se institucije, tijela, uredi i agencije („institucije EU-a”) pridržavaju zakona o zaštiti podataka prilikom obrade osobnih podataka (2). Zahtjev za nezavisnu kontrolu u sustavu EU-a za zaštitu podataka utvrđen je u primarnom pravu, u članku 16. stavku 2. (TFEU) i u članku 8. stavku 3. Povelje. Sud je dosljedno naglašavao da je nadzor koji provodi neovisno tijelo ključna sastavnica prava na zaštitu podataka i utvrdio je kriterije za takvu neovisnost (3). Nadzorno tijelo mora djelovati potpuno neovisno, što podrazumijeva ovlasti odlučivanja neovisne od bilo kojeg izravnog ili neizravnog utjecaja (4) i nepostojanje bilo kakve sumnje na pristranost (5).

4.

Uredba (EZ) br. 45/2001 (6) („Uredba 45/2001”), nadopunjena Odlukom br. 1247/2002/EZ (7), glavni je pravni instrument primjenjiv na obradu osobnih podataka u institucijama EU-a.

5.

Nakon završetka produljenih pregovora o novom okviru EU-a za zaštitu podataka 27. travnja 2016. – Opća uredba o zaštiti podataka („GDPR”) i Direktiva za policijski i pravosudni sektor – ovaj Prijedlog (uz prijedlog Komisije za Uredbu o privatnosti i elektroničkim komunikacijama („Uredba o e-privatnosti” (8)) označavaju početak ključne faze u procesu dovršavanja ovog okvira EU-a za zaštitu podataka. Njegov je cilj uskladiti odredbe Uredbe 45/2001 s pravilima utvrđenim u GDPR-u kako bi se stvorio snažniji i koherentniji okvir za zaštitu podataka u Uniji i kako bi se omogućila istovremena primjena oba instrumenta (9). Osim toga, Prijedlog također sadrži nova pravila za zaštitu opreme terminala krajnjih korisnika, koja su utvrđena u prijedlogu Komisije za novu Uredbu o e-privatnosti.

6.

U Strategiji 2015.–2019., EDPS se obvezao na suradnju s Europskim parlamentom, Vijećem i Komisijom kako bi osigurao da se trenutačna pravila uspostavljena u Uredbi 45/2001 usklade s GDPR-om i da revidirani okvir stupi na snagu najkasnije početkom 2018. EDPS pozdravlja to što se Komisija neslužbeno savjetovala s njime prije donošenja Prijedloga i to što prijedlog sadrži brojne elemente koje je istaknuo u svojim dosadašnjim neslužbenim doprinosima. Iz perspektive maksimalnog usklađivanja s GDPR-om EDPS smatra da je trenutačni Prijedlog i više nego zadovoljavajući, osim ako usko definirane specifičnosti javnog sektora EU-a ne budu zahtijevale drukčiji prijedlog, a posebno ga se dojmila ravnoteža koju je Komisija ostvarila između različitih interesa.

7.

Iako ovo Mišljenje ukazuje na područja u kojima se prijedlog može dodatno poboljšati, EDPS podržava zakonodavca EU-a u što bržem postizanju dogovora o Prijedlogu kako bi se institucijama EU-a omogućilo razumno prijelazno razdoblje prije nego što nova Uredba postane potpuno primjenjiva.

8.

U prošlosti je EDPS preporučio da se materijalna pravila za institucije EU-a uvrste u (tadašnji) nacrt GDPR-a (10). Zakonodavac EU-a odabrao je drugu opciju: zaseban pravni instrument koji je primjenjiv na institucije EU-a sukladne s GDPR-om i primjenjive istovremeno kad i GDPR. EDPS podržava ovaj pristup: bilo bi neprihvatljivo da Europska komisija i ostale institucije EU-a nisu obvezane pravilima koja su ekvivalentna onima koja će uskoro postati primjenjiva na razini država članica. Štoviše, bilo bi nepoželjno da EDPS nadzire usklađivanje institucija EU-a s materijalnim pravilima koja bi bila inferiorna pravilima koja nadziru slična tijela na nacionalnoj razini, osobito jer će EDPS biti član Europskog odbora za zaštitu podataka („EDPB-a”) (11).

9.

Buduća pravila primjenjiva na obradu osobnih podataka u institucijama EU-a trebaju stoga biti usklađena s odredbama GDPR-a, osim ako usko utvrđene specifičnosti javnog sektora EU-a ne budu opravdavala drukčija pravila. U tom pogledu, EDPS pozdravlja uvodnu izjavu 5. Prijedloga u kojoj se naglašava potreba za najvećim mogućim usklađivanjem te pojašnjava „kad god se odredbe ove Uredbe temelje na istom konceptu kao odredbe [GDPR-a], te dvije odredbe trebaju se protumačiti homogeno, osobito jer se shema ove Uredbe treba shvatiti kao ekvivalent sheme [GDPR-a].”

10.

Istovremeno, usklađivanje s GDPR-om ne može biti potpuno ni automatsko. GDPR uključuje brojne klauzule koje omogućuju državama članicama da zadrže ili uvedu posebno zakonodavstvo u određenim područjima, uključujući za državna tijela (12). U slučajevima kada GDPR navodi posebna pravila za državna tijela (13) ili ostavlja prostor za provedbu svojih odredbi u državama članicama, može se smatrati da Prijedlog ima sličnu ulogu kao nacionalni zakon kojim se „provodi” GDPR, kao primjerice u članku 9., „Prijenos osobnih podataka primateljima koji nisu institucije i tijela Unije” ili u članku 66. „Upravne novčane kazne” Prijedloga (pogledajte odjeljak 2.8.1. u nastavku). Osim toga, važno je osigurati zadržavanje visoke razine zaštite koja se trenutačno primjenjuje na institucije EU-a. Stoga je potrebno zadržati neke specifičnosti Uredbe 45/2001, kao u članku 25. Ograničenja (pogledajte odjeljak 2.3.1. u nastavku) i članku 44. Imenovanje službenika za zaštitu podataka (pogledajte odjeljak 2.4.5.1 u nastavku).

11.

Osim materijalnog usklađivanja s GDPR-om nužno je da revidirana pravila postanu potpuno primjenjiva istovremeno kad i GDPR, odnosno 25. svibnja 2018. Postojeća mreža službenika za zaštitu podataka („DPO”) predstavlja učinkovit kanal za razmjenu informacija i suradnju. Posljedično, EDPS smatra da se usklađivanje može ostvariti u relativno kratkom prijelaznom razdoblju, npr. u tri mjeseca.

12.

Načelo odgovornosti na kojem se temelji GDPR – kao i ovaj Prijedlog – podrazumijeva mnogo više od jednostavnog usklađivanja s pravilima i podrazumijeva promjenu kulture. Kako bi se olakšao prijelaz, EDPS je pokrenuo „projekt odgovornosti”. U tu svrhu EDPS je bio u kontaktu sa sedam ključnih institucija i tijela EU-a tijekom 2016. i 2017. kako bi se na vrijeme pripremio za primjenu GDPR-a.

13.

EDPS je u nekoliko navrata u prošlosti pozvao Komisiju da predloži velik i sveobuhvatan sustav koji bi bio ambiciozan i poboljšao učinkovitost i koherentnost zaštite podataka u EU-u, kako bi se osigurali dobri uvjeti za daljnji razvoj u nadolazećim godinama (14). Komisija je odabrala drukčiji pristup i predložila zaseban pravni instrument za zaštitu podataka u području provedbe zakona (15). Uslijedili su brojni prijedlozi za pravne akte koji uvode zasebne „samostalne” režime zaštite podataka (16).

14.

EDPS priznaje da je trenutačni zakonski okvir za zaštitu osobnih podataka, iako je fragmentiran, najbolji ishod koji se danas može ostvariti (17). EDPS razumije da će se ovaj Prijedlog nastaviti primjenjivati na one institucije EU-a koje danas spadaju u područje primjene Uredbe 45/2001 (18) (u načelu, sve institucije, tijela, uredi i agencije prijašnjeg prvog ili drugog „stupa” (19)), ali neće kao takav utjecati na postojeće „samostalne” režime ili one koji su na čekanju (20). Takvi režimi bit će pod utjecajem ovog prijedloga samo ako i do mjere do koje je to izričito određeno u relevantnom pravnom instrumentu. EDPS je upoznat s ovim pristupom, ali sugerira da je ovo jasnije navedeno u preambuli Prijedloga i, moguće, u njegovom članku 2. Područje primjene. Istovremeno, EDPS naglašava da fragmentacija i sve veća složenost pravnog okvira za obradu podataka u različitim institucijama EU-a aktivnim u prijašnjim prvim i trećim „stupovima” nije potpuno zadovoljavajući ishod te da će zakonodavac EU-a možda trebati riješiti to pitanje srednjoročno.

15.

Uredba 45/2001 utvrđuje mjere koje za cilj imaju zaštitu privatnosti i povjerljivosti komunikacija u slučajevima kada institucije EU-a nadziru infrastrukturu koja se upotrebljava za komunikaciju. S tim ciljem uredba uključuje neke odredbe koje pokrivaju dijelove regulatornog opsega Direktive 2002/58/EZ („Direktiva o e-privatnosti”) (21) i utemeljuje načelo da se pravila za zaštitu temeljenih prava trebaju primijeniti na dosljedan i skladan način u cijeloj Uniji, pozivajući se na relevantne instrumente poput Direktive o privatnosti i elektroničkim komunikacijama (22). Potreba za osiguranjem jednake razine privatnosti i povjerljivosti komunikacija koje uključuju institucije EU-a ostaje neizmijenjena i iz tog se razloga načelo dosljednosti i usklađene primjene treba zadržati. EDPS stoga smatra da bi ovaj Prijedlog trebao osigurati da se relevantna pravila GDPR-a i buduća Uredba o e-privatnosti primjenjuju na institucije EU-a mutatis mutandis. Navedeno treba uključivati očuvanje povjerljivosti i privatnosti s obzirom na komunikacijske usluge koje kontroliraju institucije EU-a, kao i druga načela buduće Uredbe o e-privatnosti, poput zaštite uređaja terminala i druga pravila, npr. o praćenju i neželjenoj elektroničkoj pošti.

16.

Na kraju, dok se zakonodavstvo EU-a o zaštiti podataka također primjenjuje na Europski gospodarski prostor i države koje sudjeluju u EFTA-i moraju osnovati nezavisna tijela za nadzor prema GDPR-u, institucije EFTA-e nisu podložne nikakvim posebnim pravilima ni nadzoru u pogledu zaštite podataka iako razmjenjuju osobne podatke s institucijama EU-a. EDPS smatra da bi ovaj Prijedlog mogao biti prilika za rješavanje navedenog pitanja.

90.

Općenito, EDPS smatra da je Prijedlog uspješan u usklađivanju pravila za institucije EU-a s GDPR-om, uzimajući pritom u obzir specifičnosti javnog sektora EU-a. Visoka razina zaštite po pitanju obrade podataka u institucijama EU-a sačuvana je u Prijedlogu. EDPS osobito cijeni ravnotežu koju je Komisija postigla između različitih interesa.

91.

EDPS smatra da se Prijedlog još treba poboljšati, ponajviše modaliteti za ograničenja pod člankom 25. Kako bi se osiguralo usklađivanje s prethodno navedenim zahtjevima o kvaliteti prava, članak 25. podstavak 1. Prijedloga treba se izmijeniti tako da se samo pravnim aktima usvojenim na temelju Ugovora smiju ograničiti temeljna prava, namećući na taj način institucijama EU-a iste standarde koji bi bili primjenjivi na države članice prema GDPR-u. Do mjere u kojoj se razmatraju ograničenja članka 34. Povjerljivost elektroničkih komunikacija, EDPS poziva zakonodavca EU-a da osigura da moguća ograničenja temeljnog prava na privatnost komunikacija u institucijama EU-a u njihovim vlastitim operacijama prate iste standarde koji su utvrđeni u zakonu Unije na način na koji to tumači Sud u ovoj domeni.

92.

EDPS pozdravlja činjenicu da Prijedlog dodjeljuje zaseban članak ulozi EDPS-a kao savjetniku institucija EU-a (članak 42. Prijedloga). Međutim, zabrinut je da tekst „[n]akon donošenja prijedloga” (naspram „[k]ada usvaja zakonski prijedlog” u članku 28. stavku 2. Uredbe 45/2001) može dovesti u pitanje dugotrajnu obvezu Europske komisije za neslužbeno savjetovanje s EDPS-om o nacrtima prijedloga, obično u fazi savjetovanja između službi. S obzirom na važnost neslužbenog savjetovanja, EDPS bi pozdravio uvodnu izjavu u kojoj bi Komisija ponovila svoju posvećenost ovoj dugotrajnoj praksi. Također bi podržao to da se u Prijedlogu zadrži tekst iz članka 28. stavka 2. Uredbe 45/2001 („[k]ada usvaja”) koji dopušta veći prostor za manevar. Smatra da se predloženim člankom 42. dovoljno objašnjavaju zadatci EDPS-a i EDPB-a kako bi se izbjeglo nepotrebno udvostručavanje u budućnosti.

93.

EDPS smatra da mogućnost izdvajanja funkcije službenika za zaštitu podataka nije prikladna za institucije EU-a koje obavljaju javne ovlasti. Posljedično, druga alternativa članka 44. stavka 4. („ili obavljati zadaće na temelju ugovora o djelu”) treba se izbrisati.

94.

EDPS pozdravlja članak 66. Prijedloga kojim se EDPS-u daje ovlast određivanja upravnih novčanih kazni. Smatra da bi lišavanje nadzornog tijela EU-a ovlasti za određivanje upravnih novčanih kazni, gdje je prikladno, rezultiralo privilegiranom pozicijom institucija EU-a u usporedbi s institucijama državnog sektora u mnogim državama članicama.

95.

EDPS smatra da mehanizmi certificiranja mogu biti veoma koristan instrument za institucije EU-a i već se upotrebljavaju u određenim situacijama, npr. pri potvrđivanju usklađivanja s općeprihvaćenim standardima. Reference na upotrebu certificiranja (ali ne kodeksi ponašanja) trebaju se dodati članku 26. Obveze voditelja obrade podataka, članku 27. Tehnička i integrirana zaštita podataka kao i članku 33. Sigurnost.

96.

Iako se u ovom Mišljenju navode područja u kojima se prijedlog može dodatno poboljšati, EDPS bi podržao zakonodavca EU-a u postizanju što bržeg dogovora o Prijedlogu kako bi se institucijama EU-a omogućilo razumno prijelazno razdoblje prije nego što nova Uredba postane primjenjiva istovremeno kad i GDPR, u svibnju 2018.

24.5.2017   

HR

Službeni list Europske unije

C 164/7

1.

Komisija je 15. svibnja 2017. zaprimila prijavu predložene koncentracije u skladu s člankom 4. Uredbe Vijeća (EZ) br. 139/2004 (1) kojom poduzetnici Zalando SE (Njemačka) i Bestseller United A/S (Danska) stječu, u smislu članka 3. stavka 1. točke (b) i članka 3. stavka 4. Uredbe o koncentracijama, zajedničku kontrolu nad zajedničkim pothvatom Fashiontrade.com B.V. (Nizozemska) povećanjem kapitala u Fashiontrade.com B.V., čime Zalando SE i Bestseller United A/S pojedinačno stječu 50 % dioničkog kapitala u zajedničkom pothvatu.

2.

Poslovne su djelatnosti predmetnih poduzetnika sljedeće:

—   Zalando SE: Zalando SE posluje u području B2C maloprodaje odjeće i obuće. Na njegovoj internetskoj platformi za e-trgovinu potrošači mogu kupovati iz velike ponude odjeće i obuće različitih robnih marki. Poduzetnik prodaje odjeću i obuću i u svojoj internetskoj outlet trgovini. Uz to, Zalando pruža usluge platforme za e-trgovinu (B2C) i druga rješenja za robne marke.

—   Bestseller United A/S: Bestseller United A/S međunarodno je modno poduzeće koje posluje s nizom različitih modnih marki. Poduzeće posluje u B2B veleprodaji i B2C maloprodaji odjeće i obuće različitih robnih marki.

—   Fashiontrade.com B.V.: Fashiontrade.com B.V. poslovat će na tržištu kao pružatelj usluga platforme za e-trgovinu (B2B). Platforma će povezivati modne marke (trgovine na veliko) i trgovine na malo.

3.

Preliminarnim ispitivanjem Komisija je ocijenila da bi prijavljena transakcija mogla biti obuhvaćena područjem primjene Uredbe o koncentracijama. Međutim konačna odluka još nije donesena. U skladu s Obavijesti Komisije o pojednostavnjenom postupku za postupanje s određenim koncentracijama prema Uredbi Vijeća (EZ) br. 139/2004 (2) treba napomenuti da je ovaj predmet primjeren za primjenu postupka iz Obavijesti.

4.

Komisija poziva zainteresirane treće osobe da joj podnesu moguća očitovanja o predloženoj koncentraciji.

Očitovanja se Komisiji moraju dostaviti najkasnije 10 dana od datuma ove objave. Očitovanja se, uz naznaku referentnog broja M.8433 – Zalando/Bestseller United/JV, Komisiji mogu poslati telefaksom (+32 22964301), e-poštom na adresu COMP-MERGER-REGISTRY@ec.europa.eu ili poštom na sljedeću adresu: