Grupa robocza powołana na mocy art. 29

Transkrypt

1 Grupa robocza powołana na mocy art /06/PL WP 125 Dokument roboczy w sprawie ochrony danych i wpływu na prywatność w kontekście inicjatywy ecall przyjęty dnia 26 września 2006 r. Niniejsza grupa robocza została ustanowiona zgodnie z art. 29 dyrektywy 95/46/WE. Jest ona niezależnym europejskim organem doradczym w zakresie ochrony danych i prywatności. Jej zadania opisane są w art. 30 dyrektywy 95/46/WE i art. 15 dyrektywy 2002/58/WE. Obsługę sekretariatu zapewnia Dyrekcja C (Sądownictwo Cywilne, Prawa i Obywatelstwo) Dyrekcji Generalnej ds. Sprawiedliwości, Wolności i Bezpieczeństwa Komisji Europejskiej, B-1049 Bruksela, Belgia, biuro nr LX-46 01/43 Strona internetowa:

2 GRUPA ROBOCZA DS. OCHRONY OSÓB FIZYCZNYCH W ZAKRESIE PRZETWARZANIA DANYCH OSOBOWYCH, ustanowiona na mocy dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. 1, uwzględniając art. 29 oraz art. 30 ust. 1 lit. c) i ust. 3 wymienionej dyrektywy, uwzględniając swój regulamin wewnętrzny, w szczególności jego art. 12 i 14, PRZYJMUJE NINIEJSZY DOKUMENT ROBOCZY: 1. WPROWADZENIE Celem niniejszego dokumentu roboczego jest przedstawienie obaw dotyczących ochrony danych i prywatności powstałych w związku z planowanym wprowadzeniem jednolitego ogólnoeuropejskiego systemu alarmowego do automatycznego informowania o wypadkach drogowych ( ecall ), instalowanego w pojazdach i bazującego na wspólnym europejskim numerze alarmowym Jednym z pomysłów Komisji Europejskiej było ustanowienie forum esafety, inicjatywy skierowanej do przedsiębiorców i władz publicznych, mającej na celu poprawę bezpieczeństwa na drogach dzięki zastosowaniu zaawansowanej technologii informacyjnej i komunikacyjnej. W ramach tego forum ecall uznano za jeden z najważniejszych priorytetów i powołano grupę sterującą ds. systemu ecall, skupiającą wszystkie zainteresowane osoby 3. Grupa sterująca ds. systemu ecall opracowała zalecenia, w tym wytyczne dotyczące uruchomienia systemu, które powinny ułatwić wprowadzenie systemu ecall w życie we wszystkich państwach członkowskich jako standardowy element wyposażenia instalowany we wszystkich nowych pojazdach począwszy od dnia 1 września 2010 r. 4. Grupa sterująca ds. systemu ecall opracowała protokół ustaleń w sprawie realizacji ecall. Celem protokołu jest zapewnienie funkcjonowania tego systemu we wszystkich państwach członkowskich. Protokół jest wiążący dla stron realizujących wspólnie inicjatywę ecall na podstawie wspólnej zatwierdzonej struktury i specyfikacji interfejsów, w tym minimalnego zbioru danych (ang. Minimum Set of Data, MSD). Protokół został podpisany w sierpniu 2004 r. przez Komisję Europejską, Stowarzyszenie Europejskich Producentów Samochodów (ACEA) w imieniu branży motoryzacyjnej oraz wielobranżowe partnerstwo ERTICO. Obecnie protokół liczy ponad 60 sygnatariuszy, w tym siedem państw członkowskich UE 5, Szwajcarię i Norwegię Dz.U. L 281 z , str. 31, dostępna na stronie Komunikat Komisji: drugi komunikat Komisji na temat ebezpieczeństwa: Zapewnić obywatelom możliwość elektronicznego powiadamiania o wypadkach ecall (COM (2005) 431), dostępny na stronie: Komunikat Komisji: Technologie teleinformatyczne na rzecz bezpiecznych i inteligentnych pojazdów, COM(2003) 542 wersja ostateczna z r. Zalecenie grupy sterującej ds. systemu ecall wraz ze wszystkimi załącznikami można znaleźć na następującej stronie: Finlandia, Szwecja, Grecja, Włochy, Litwa, Słowenia i Cypr. -2-

3 Niedawno Parlament Europejski zatwierdził dużą większością głosów rezolucję popierającą uruchomienie systemu ecall, 6 wzywając państwa członkowskie do podpisania protokołu ustaleń. Powołana na mocy art. 29 grupa robocza uznaje korzyść społeczno-gospodarczą, jaką wprowadzenie systemu ecall na szeroką skalę mogłoby przynieść obywatelom, jednak uważa, że powinno się podkreślić i należycie rozważyć wpływ uruchomienia ecall na prywatność i ochronę danych. W związku z powyższym powołana na mocy art. 29 grupa robocza, w świetle zadań powierzonych jej na mocy art. 30 ust. 1 lit. a) dyrektywy o ochronie danych osobowych i w celu udzielenia odpowiedzi na pytania dotyczące prywatności i ochrony danych powstające w związku z rozważanym uruchomieniem ecall, uważa za konieczne przeanalizowanie zaistniałej sytuacji i poświęcenie tym zagadnieniom dokumentu roboczego. 2. ZASADA DZIAŁANIA SYSTEMU ECALL Proponowana struktura ecall opiera się na połączeniu urządzenia ecall z najbliższym punktem przyjmowania zgłoszeń o wypadkach (ang. Public Safety Answering Point, PSAP ); w ramach tego połączenia przekaz głosu i danych odbywa się niemal jednocześnie. Punktem przyjmowania zgłoszeń może być organ publiczny albo prywatny usługodawca działający pod nadzorem organu publicznego. Urządzenie ecall uruchamia wezwanie ecall, wysyłane automatycznie przez czujniki pojazdu w razie wypadku lub ręcznie przez osoby znajdujące się w pojeździe, i przekazuje to wezwanie odpowiedniemu punktowi przyjmowania zgłoszeń. Na wezwanie ecall składają się dwa elementy: zwykłe głosowe (audio) zgłoszenie telefoniczne oparte na numerze 112 i minimalny zbiór danych. Wezwanie ecall (dane i głos) przekazywane poprzez sieć komórkową jest rozpoznawane przez operatora sieci jako zgłoszenie do numeru alarmowego 112. Na podstawie procedury dotyczącej numeru 112 operator uzupełnia zgłoszenie o identyfikację numeru osoby wywołującej (CLI) oraz, zgodnie z dyrektywą o usłudze powszechnej 7 i zaleceniem E112 8, możliwie najdokładniejsze określenie miejsca przebywania osoby wywołującej. Następnie operator sieci telefonicznej przekazuje stosownemu punktowi przyjmowania zgłoszeń o wypadkach zgłoszenie do numeru 112 wraz z identyfikacją numeru osoby wywołującej, możliwie najdokładniejszym określeniem miejsca przebywania osoby wywołującej i minimalnym zbiorem danych. Punkt przyjmowania zgłoszeń wysyła potwierdzenie do urządzenia ecall, informujące, że minimalny zbiór danych został należycie odebrany Sprawozdanie dotyczące bezpieczeństwa na drogach: Zapewnić obywatelom możliwość elektronicznego powiadamiania o wypadkach ecall. Sprawozdawca: Gary Titley (A6-0072/2006). Dyrektywa 2002/22/WE Parlamentu Europejskiego i Rady z dnia 7 marca 2002 r. w sprawie usługi powszechnej i związanych z sieciami i usługami łączności elektronicznej praw użytkowników, Dz.U. L 108 z , str. 51. Zalecenie Komisji 2003/558/WE z dnia 25 lipca 2003 r. w sprawie przetwarzania informacji o miejscu przebywania osoby wywołującej w elektronicznych sieciach łączności dla potrzeb usługi numeru alarmowego rozszerzonej o informacje o miejscu przebywania, Dz.U. L 189, str

4 Należy podkreślić, że w ramach usługi ecall system w pojeździe nie będzie stale śledzony przez osoby trzecie, ponieważ nie będzie podłączony na stałe do sieci telefonii komórkowej, a jedynie uruchamiany w razie wypadku lub ręcznie przez osoby znajdujące się w pojeździe. Minimalny zbiór danych 9 zawiera następujące dane: (i) czas wypadku, (ii) dokładne miejsce, w tym wskazanie kierunku jazdy, (iii) identyfikację pojazdu, (iv) oznaczenie ecall określające wagę wypadku (przynajmniej informacja, czy system ecall został uruchomiony ręcznie czy automatycznie), (v) informacje o ewentualnym usługodawcy. Dane fakultatywne dotyczące statusu wypadku, przewidziane jako część minimalnego zbioru danych, są nadal przedmiotem dyskusji. Podawanie danych fakultatywnych (tj. rodzaj paliwa, jakiego używa pojazd) powinno odbywać się zgodnie z przepisami w dziedzinie ochrony danych, a w szczególności z zasadą proporcjonalności: należy podawać jedynie dane konieczne w celu podjęcia odpowiednich działań w razie wypadku. W ramach proponowanej struktury ecall rozważana jest możliwość zwiększenia skuteczności ecall poprzez podanie dodatkowych danych osobowych i danych dotyczących pojazdu przez usługodawcę posiadającego dodatkowe dane pełny zbiór danych (ang. full set of data - FSD). 3. ECALL Z PUNKTU WIDZENIA PRYWATNOŚCI I OCHRONY DANYCH ORAZ LOGIKI PRAWNEJ 3.1. Charakter obowiązkowy lub fakultatywny Na razie Komisja Europejska wspólnie z państwami członkowskimi i branżą opowiedziały się za samoregulacją, jednak w przypadku gdy proces uruchamiania systemu ecall nie będzie postępował zgodnie z ustalonymi wytycznymi, Komisja może rozważyć zastosowanie innych środków, w tym podjęcie działań regulacyjnych. Powołana na mocy art. 29 grupa robocza zdaje sobie sprawę z korzyści społecznogospodarczej i wartości związanej z bezpieczeństwem publicznym, jakie wprowadzenie systemu ecall na szeroką skalę mogłoby przynieść, niemniej jednak uważa, że należy rozważyć pewne związane z tą inicjatywą problemy dotyczące ochrony danych i prywatności. Przed szerszym omówieniem skutków związanych z ochroną danych grupa robocza rozważyła dwie opcje wprowadzenia w życie systemu ecall, które należy uwzględnić na samym początku i następnie przeanalizować: Opcja 1: system ecall powinien być fakultatywny lub Opcja 2: system ecall powinien być obowiązkowy. W odniesieniu do opcji 1: 9 Patrz opis minimalnego zbioru danych, ostateczne zalecenia grupy sterującej ds. systemu ecall, część

5 Jeżeli system ecall będzie fakultatywny i oferowany jako rodzaj zaawansowanej usługi mającej na celu zwiększenie bezpieczeństwa na drogach, należy wprowadzić łatwy sposób włączania i wyłączania systemu. W takim wypadku system byłby na stałe zainstalowany w pojeździe, a jego uruchomienie byłoby uzależnione od decyzji użytkownika. 10 Użytkownik, który nie musi koniecznie być właścicielem pojazdu, ma możliwość włączenia lub wyłączenia systemu w dowolnym momencie bez żadnych ograniczeń technicznych lub finansowych. Można na przykład dać możliwość wyboru, instalując specjalny, łatwy w użyciu przycisk/ przełącznik, podobny do tego stosowanego przy poduszce powietrznej pasażera. Stanowisko to opiera się na fakcie, że jednym z głównych kryteriów zapewniających zgodność przetwarzania danych z prawem jest art. 7 lit. a) dyrektywy o ochronie danych osobowych, w którym zezwala się na przetwarzanie danych w przypadku, gdy osoba, której dane dotyczą, udzieliła wyraźnej zgody na ich przetwarzanie. Taka zgoda musi być dobrowolna ; osoba, której dane dotyczą, powinna również mieć możliwość wycofania swojej zgody. Należy podkreślić, że zgoda nie jest dobrowolna, jeżeli osoba, której dane dotyczą, musi zaakceptować taką klauzulę w ramach umowy zawierającej klauzule niepodlegające negocjacji (tak zazwyczaj jest w przypadku umów sprzedaży samochodów). Ponadto powołana na mocy art. 29 grupa robocza uważa za nielegalne np. wywieranie przez towarzystwa ubezpieczeń samochodowych lub agencje wynajmu samochodów nacisku na klientów, aby uruchamiali system ecall. Podobne zobowiązanie mogłoby zostać nałożone na pracowników korzystających z samochodów służbowych, na których można by bezpośrednio lub pośrednio wymusić zgodę na uruchomienie systemu ecall. Grupa robocza pragnie podkreślić, że jeżeli systemu ecall nie będzie można włączyć lub, w szczególności, wyłączyć w dowolnym momencie, natychmiast, bez konieczności podejmowania dodatkowych działań i bezpłatnie, użytkownicy będą się obawiać potencjalnych skutków związanych z prywatnością i mogą postanowić z niego nie korzystać. Łatwy i bezpłatny sposób wyłączenia systemu należy również wprowadzić z uwagi na to, że może on być decydujący dla powodzenia planu rozpowszechnienia systemu ecall. Chociaż często przetwarzanie danych może leżeć w interesie osoby, której dane te dotyczą i w takiej sytuacji podstawą do uruchomienia systemu ecall może być art. 7 lit. c), d) i e) dyrektywy o ochronie danych osobowych nie jest tak w każdym przypadku. Na przykład może zaistnieć sytuacja, w której zdarza się wypadek, wezwanie ecall zostaje automatycznie wysłane, ale udzielenie pilnej pomocy nie jest konieczne. Grupa robocza rozumie, w oparciu o obecnie dostępne informacje na temat konfiguracji systemu ecall, że będzie można zlokalizować dany pojazd, ale nie będzie on systematycznie śledzony to znaczy system będzie łączył się z siecią komunikacyjną tylko w razie wypadku lub jeżeli zostanie ręcznie uruchomiony. Grupa robocza przyjmuje to z zadowoleniem i pragnie podkreślić, że z punktu widzenia ochrony danych nie do przyjęcia byłoby stałe podłączenie tego typu urządzeń do sieci komunikacyjnej i, w konsekwencji, stałe śledzenie pojazdu w związku z możliwością uruchomienia 10 Nie oznacza to, że system nie może być włączony automatycznie po uruchomieniu silnika, ale że jego włączenie lub wyłączenie w dowolnym momencie powinno zależeć od decyzji użytkownika. -5-

6 systemu ecall. Oznacza to, że na przykład można zaakceptować, by urządzenie ecall przechowywało w swojej pamięci trzy ostatnie miejsca, w których znajdował się pojazd, wykryte przez systemy GPS/ Galileo (jeżeli są one zainstalowane w pojeździe i połączone z urządzeniem ecall), jednak nie przekazywało danych, dopóki system nie zostałby uruchomiony (w wyniku wypadku lub ręcznie). W takim przypadku konieczne byłoby jasne określenie zakresu zgromadzonych danych i uniemożliwienie dalszego ich wykorzystania tj. wykorzystania do celów innych niż zapewnienie bezpieczeństwa na drogach. W odniesieniu do opcji 2: Gdyby usługa ecall była obowiązkowa, system byłby na stałe zainstalowany w samochodzie, a jego uruchomienie byłoby obowiązkowe. Jednakże obowiązek ten musiałby zostać nałożony specjalnym aktem prawnym obejmującym swoim zakresem stosowania całą UE. Wprowadzenie takiego aktu musiałoby być należycie uzasadnione z punktu widzenia ochrony danych. Jeżeli ecall miałby być obowiązkowy, wszystkie ograniczenia dotyczące prywatności związane ze stosowaniem zasad zawartych w dyrektywie o ochronie danych, takich jak na przykład zasada proporcjonalności, muszą być jasno określone w przepisach prawnych. System ecall powinien być wyposażony w technologie na rzecz ochrony sfery prywatnej w celu zapewnienia użytkownikom ecall pożądanego poziomu ochrony prywatności. Należy również opracować i zainstalować w systemie zabezpieczenia zapobiegające stosowaniu nadzoru i niewłaściwemu wykorzystaniu. Ma to również zastosowanie do opcji 1. Należy zasięgnąć opinii krajowych organów ochrony danych w celu uzyskania porad dotyczących wzorcowych praktyk. Podsumowując: jeżeli ecall byłby fakultatywny, należy wprowadzić przyjazne użytkownikowi rozwiązanie uwzględniające wolny wybór użytkownika pojazdu, polegające na technicznym umożliwieniu wyłączenia/ włączenia systemu ecall zależnie od przypadku. Rozwiązanie takie mogłoby przybrać postać przełączników elektronicznych, kart inteligentnych lub innych urządzeń umożliwiających dobrowolne uruchomienie urządzenia ecall, a także, jeżeli użytkownik sobie tego życzy, przesłanie danych wykraczających poza minimalny zbiór danych. Jeżeli ecall miałby być obowiązkowy, przepisy dotyczące tej kwestii muszą zostać zawarte w specjalnym akcie prawnym i uwzględniać zasady ochrony danych. W obu powyższych przypadkach powołana na mocy art. 29 grupa robocza będzie wspierać podnoszenie świadomości ze szczególnym naciskiem na skutki dotyczące prywatności i ochrony danych. Krajowe organy ochrony danych, działając pod egidą powołanej na mocy art. 29 grupy roboczej, będą pomagać w szerzeniu świadomości na temat ecall z naciskiem na kwestie dotyczące ochrony danych, takie jak przejrzyste i zgodne z prawem przetwarzanie danych zgromadzonych przy użyciu systemu ecall. Grupa robocza skłania się ku opcji dobrowolnego korzystania z systemu ecall. W razie zastosowania opcji obowiązkowego korzystania z ecall należy wprowadzić system należytych zabezpieczeń dotyczących ochrony danych. -6-

7 3.2. Dwa poziomy usług Niezależnie od tego, czy ecall będzie obowiązkowy czy fakultatywny, inicjatywa ecall jest zapowiedzią możliwości istnienia rozszerzonego systemu, w ramach którego usługodawcy będą świadczyć usługi charakteryzujące się wartością dodaną. W takim przypadku będą istnieć dwa następujące poziomy usług: (1) W pierwszym rozważanym przypadku informacje zawarte w minimalnym zbiorze danych są przekazywane stosownemu punktowi przyjmowania zgłoszeń o wypadkach. Informacje te obejmują miejsce, w którym znajduje się pojazd, czas wypadku, dane identyfikacyjne pojazdu i status zgłoszenia ecall (przynajmniej wskazanie, czy system został uruchomiony ręcznie czy automatycznie), który świadczy o powadze wypadku. Taką podstawową usługę popiera Komisja Europejska. (2) Drugi poziom usługi polega na dodaniu do przekazanych podstawowych informacji zawartych w minimalnym zbiorze danych informacji dodatkowych znajdujących się w posiadaniu osoby trzeciej świadczącej usługi o wartości dodanej, takiej jak towarzystwo ubezpieczeniowe, samochodowe centrum obsługi telefonicznej, klinika medyczna, prawnik, klub samochodowy itp. W przypadku przekazania pełnego zbioru danych wymagana jest stosowna umowa pomiędzy właścicielem pojazdu a usługodawcą. W takim przypadku użytkownik udzielałby usługodawcy zezwolenia na odbiór dodatkowych informacji związanych z wypadkiem lub osobami znajdującymi się w pojeździe, w celu zapewnienia np. pomocy towarzystwa ubezpieczeniowego, wsparcia klubu samochodowego lub wsparcia językowego itp. Oczekuje się, że taka rozszerzona usługa rozwinie się wskutek działania sił rynkowych. Zasadniczo nie ma powodów, aby sprzeciwiać się takiemu planowi. Jednakże pewne kwestie z nim związane są bardziej złożone i wymagają dokładniejszego rozważenia. W szczególności konieczne jest ścisłe przestrzeganie przepisów dotyczących bezpieczeństwa danych, gdyż pewne dane, które będą przetwarzane, mają delikatny charakter. Jeżeli chodzi o rozszerzenie podstawowych funkcji systemu ecall, tj. przekazywanie prywatnemu usługodawcy pełnego zbioru danych jako uzupełnienie minimalnego zbioru danych, potrzebna jest szczegółowa definicja. Usługi te powinny być w pełni zgodne ze stosownymi przepisami dotyczącymi ochrony danych i prywatności. Powołana na mocy art. 29 grupa robocza pragnie przypomnieć podstawowe zasady, jakie powinni uwzględnić usługodawcy będący osobami trzecimi: (i) Grupa robocza chciałaby podkreślić, że pełny zbiór danych nie będzie z góry określonym zbiorem informacji, lecz wynikiem ustaleń zawartych w umowach pomiędzy właścicielem/ użytkownikiem pojazdu w zależności od rodzaju pełnego zbioru danych a danym usługodawcą (towarzystwem ubezpieczeniowym, klubem samochodowym, kliniką medyczną itp.). W związku z tym cele, do jakich może zostać wykorzystany pełny zbiór danych i jego -7-

8 poszczególne elementy, muszą być jasno określone w poszczególnych umowach. Umowy powinny również zawierać jasne stwierdzenie, że usługodawca będący osobą trzecią jest administratorem tych danych i podlega zobowiązaniom związanym z ochroną danych i prywatnością, nałożonym na administratorów danych na mocy dyrektywy o ochronie danych oraz przepisów krajowych. (ii) (iii) (iv) (v) Można przekazywać jedynie dane konieczne i stosowne do określonych celów, tzn. należy zapewnić, by każdy usługodawca będący osobą trzecią otrzymywał wyłącznie dane wymagane w ramach danej umowy. Z punktu widzenia ochrony danych jasne jest, że nie dopuszcza się przekazów całości pełnego zbioru danych. Prawdopodobnie zastrzeżenie to będzie wymagało odpowiednich ustaleń technicznych zapewniających możliwość wyboru przez system ecall jedynie tych danych, które są stosowne w odniesieniu do danego usługodawcy. Konieczne będzie również rozważenie, czy stosowne informacje należy przekazywać we wszystkich przypadkach jak wspomniano powyżej, mogą zaistnieć sytuacje, w których zdarzy się wypadek i system zostanie uruchomiony, ale nie ma potrzeby udzielenia pilnej pomocy (medycznej). Branża samochodowa i zainteresowane osoby powinny dokładnie zdefiniować kategorie informacji zawartych w pełnym zbiorze danym, a właścicielom pojazdów należy przekazać odpowiednie informacje dotyczące sposobu działania systemu. Właściciel pojazdu powinien również otrzymać informacje o skutkach ewentualnego wycofania swojej zgody na przekazanie pełnego zbioru danych lub części pełnego zbioru danych; należy ponownie podkreślić, że wycofanie zgody nie powinno mieć żadnych negatywnych skutków dla właściciela pojazdu. Jeżeli pełny zbiór danych zawiera informacje medyczne lub inne delikatne informacje, konieczne będzie szczególnie ostrożne obchodzenie się z tymi informacjami. Przetwarzanie tych danych wymaga, poza obowiązkiem uzyskania wyraźnej zgody właściciela pojazdu, podjęcia szczególnych środków bezpieczeństwa, które w pewnych przypadkach są określone w prawie krajowym. Konieczne jest przestrzeganie przepisów dotyczących dalszego przekazywania danych, w szczególności w przypadkach, gdy usługodawca będący osobą trzecią podzleca działania związane z przetwarzaniem danych (lub ich część) podmiotom mającym swoją siedzibę w krajach trzecich; za przydatne wytyczne w tym temacie mogą posłużyć rozważania zawarte w dokumencie WP INNE KWESTIE ZWIĄZANE Z SYSTEMEM ECALL Ogólnie rzecz biorąc, należy również rozważyć zagadnienia związane z tworzeniem baz danych przez operatorów sieci telekomunikacyjnych, okresami przechowywania zgromadzonych danych oraz bezpieczeństwem przechowywanych danych

9 4.1. Bazy danych Kolejna obawa dotycząca ochrony danych pojawia się w związku z bazami danych tworzonymi w celu uniknięcia niewłaściwego wykorzystania/ nadużycia systemu, w których tożsamość właściciela pojazdu jest przypisana do danej karty SIM systemu ecall. Taka baza danych służyłaby do wyszukiwania osób nadużywających systemu, np. kierowców, którzy zgubili drogę. W przypadku niewłaściwego wykorzystania/ nadużycia systemu, mogącego utrudnić pracę punktowi przyjmowania zgłoszeń o wypadkach (np. gdy system wysyła wielokrotne zgłoszenia ecall bez uzasadnionej przyczyny), PSAP powinny ustalić procedurę mającą na celu odnalezienie osoby niewłaściwie korzystającej z systemu. W takim przypadku można przyjąć jedną z dwóch następujących procedur: (i) nałożenie na operatorów sieci telefonii komórkowej obowiązku zidentyfikowania właściciela urządzenia (dzięki informacjom przechowywanym w bazie danych SIM), tak jak dzieje się to w przypadku zgłoszeń do numeru 112, (ii) nałożenie wymogu zidentyfikowania organu posiadającego informacje o numerach indentyfikacyjnych pojazdu. Jedną z głównych obaw powołanej na mocy art. 29 grupy roboczej jest potencjalne ryzyko, że jakakolwiek osoba trzecia mogłaby uzyskać dostęp do tych baz danych i wykorzystać je do innych celów. W związku z tym grupa robocza pragnie podkreślić, że wszelkie inne wykorzystanie danych, np. do procedur ścigania w sprawach drogowych, powinno być zabronione, gdyż byłoby sprzeczne z zasadami dyrektywy o ochronie danych Kwestie bezpieczeństwa Inne obawy związane są z kwestiami bezpieczeństwa i dotyczą tego, czy system ecall jest dostatecznie zabezpieczony przez dostępem osób nieupoważnionych. Aby utworzyć system godny zaufania i nie dopuścić do uzyskania dostępu przez nieupoważnione osoby trzecie do danych osobowych przechowywanych w systemie ecall, należy zapewnić dostateczny poziom bezpieczeństwa systemu zainstalowanego w pojeździe i protokołu przekazu Proporcjonalność Podczas korzystania z systemu ecall w obiegu znajdzie się minimalny zbiór danych służący podjęciu działań związanych z wypadkiem. Powołana na mocy art. 29 grupa robocza uważa, że minimalny zbiór danych zawierający pełny numer identyfikacyjny pojazdu w postaci, w jakiej podaje się go obecnie, może wykraczać poza zakres konieczny do osiągnięcia celu, który jest jasno określony. 12 Oczekuje się, że producenci samochodów zapewnią dostateczny poziom bezpieczeństwa danych przechowywanych w systemie zainstalowanym w pojeździe. Oczekuje się także, że protokół przekazu, który obecnie jest normalizowany przez Europejski Instytut Norm Telekomunikacyjnych, zapewni dostateczny poziom bezpieczeństwa. -9-

10 Powołana na mocy art. 29 grupa robocza uważa, że wprowadzenie systemu ecall nie w każdym przypadku musi być konieczne, ponieważ w niektórych państwach członkowskich już istnieje dobrze działający system zgłoszeń nagłych wypadków. Wydaje się, że jest to ważny argument, gdyż dotyczy proporcjonalności, tj. tego, czy proporcjonalne jest wprowadzenie systemu zgłoszeń o wypadkach opartego na lokalizacji pojazdu w krajach, w których taki system już istnieje i dobrze działa? 4.4. Charakter administratora danych Administratorem danych w przypadku systemu ecall będzie punkt przyjmowania zgłoszeń o wypadkach, który winien ustalić protokoły dotyczące przechowywania, przetwarzania i ochrony danych osobowych podobne do protokołów stosowanych w przypadku wszelkich innych zgłoszeń nagłych wypadków. Operatorzy sieci telefonii komórkowej będą przekazywać minimalny zbiór danych w przejrzysty sposób; powinni również dopilnować tego, by dane wykorzystywane przez system ecall nie były przechowywane dłużej, niż jest to konieczne w celu przekazania ich odpowiedniemu PSAP. Następnie minimalny zbiór danych należy usunąć. Jeżeli chodzi o identyfikację numeru osoby wywołującej i informacje dotyczące lokalizacji przekazane do PSAP, konieczne byłoby ustanowienie protokołów podobnych do tych stosowanych przy przetwarzaniu zgłoszeń E112 (numer alarmowy rozszerzony o informacje o miejscu przebywania) zgodnie z dyrektywą o usłudze powszechnej i zaleceniem Komisji w sprawie przetwarzania informacji o miejscu przebywania osoby wywołującej w elektronicznych sieciach łączności dla potrzeb usługi numeru alarmowego rozszerzonej o informacje o miejscu przebywania Okres przechowywania danych Powołana na mocy art. 29 grupa robocza pragnie podkreślić, że dla każdej ze stron uczestniczących w łańcuchu usługi ecall powinno się określić długość właściwego okresu przechowywania danych wykorzystywanych przez system ecall. Organy krajowe czuwają nad tym, aby długość takiego okresu została ustalona i aby ustaleń tych przestrzegano. -10-

11 5. WNIOSKI Z uwagi na kwestie dotyczące prywatności związane z systemem ecall powołana na mocy art. 29 grupa robocza preferuje i zaleca wprowadzenie systemu ecall na zasadzie dobrowolnego wyboru użytkownika. Z punktu widzenia ochrony danych zgłoszenie nagłego wypadku wysłane automatycznie przez urządzenie lub ręcznie i przekazane przez sieć telefonii komórkowej, którego skutkiem jest lokalizacja wypadku, jest zasadniczo dopuszczalne, pod warunkiem że istnieje odpowiednia podstawa prawna i dostateczne zabezpieczenia w zakresie ochrony danych. Jednakże należy zawsze uwzględniać cele systemu zgłoszeń nagłych wypadków i stosowność danych, jakie będą przetwarzane, w szczególności jeżeli przetwarzane są dane należące do tzw. pełnego zbioru danych. Sporządzono w Brukseli dnia 26 września 2006 r. W imieniu grupy roboczej Wiceprzewodniczący Jose Luis Piñar Mañas -11-