Rada Unii Europejskiej Bruksela, 25 maja 2018 r. (OR. en)

Conseil UE Rada Unii Europejskiej Bruksela, 25 maja 2018 r. (OR. en) Międzyinstytucjonalny numer referencyjny: 2017/0003 (COD) 9079/18 LIMITE PUBLIC TELECOM 144 COMPET 322 MI 362 DATAPROTECT 97 CONSOM 146 JAI 438 DIGIT 98 FREMP 78 CYBER 106 CODEC 798 NOTA Od: Do: Nr dok. Kom.: Dotyczy: Prezydencja Komitet Stałych Przedstawicieli / Rada 5358/17 TELECOM 12 COMPET 32 MI 45 DATAPROTECT 4 CONSOM 19 JAI 40 DIGIT 10 FREMP 3 CYBER 10 IA 12 CODEC 52 Wniosek dotyczący rozporządzenia Parlamentu Europejskiego i Rady w sprawie poszanowania życia prywatnego oraz ochrony danych osobowych w łączności elektronicznej i uchylającego dyrektywę 2002/58/WE (rozporządzenie w sprawie prywatności i łączności elektronicznej) Sprawozdanie z postępu prac / debata orientacyjna Prezydencja zamierza przedstawić sprawozdanie z postępu prac nad powyższym dossier na posiedzeniu Rady ds. TTE 8 czerwca 2018 r. Wówczas odbędzie się też debata orientacyjna. Aby poinformować ministrów o poczynionych dotąd postępach i wskazać kwestie wymagające dalszej dyskusji, prezydencja sporządziła sprawozdanie z postępu prac (załącznik I). W załączniku II delegacje otrzymują proponowane pytania na debatę orientacyjną ministrów. Coreper/Rada są proszone o przyjęcie do wiadomości sprawozdania z postępu prac zawartego w załączniku I. Rada jest proszona o odpowiedź na pytania przedstawione w załączniku II. 9079/18 ako/mo/mf 1 DGE2B LIMITE PL

ZAŁĄCZNIK I Sprawozdanie z postępu prac nad wnioskiem dotyczącym rozporządzenia w sprawie prywatności i łączności elektronicznej Niniejsze sprawozdanie zostało sporządzone pod kierunkiem prezydencji bułgarskiej i nie ma wpływu na konkretne kwestie stanowiące przedmiot zainteresowania poszczególnych delegacji ani na ich dalsze uwagi. Przedstawia dotychczasowe postępy w pracach prowadzonych przez organy przygotowawcze Rady oraz podsumowuje aktualny stan analizy wyżej wymienionego wniosku. I. WPROWADZENIE 1. 10 stycznia 2017 r. Komisja przyjęła wniosek dotyczący rozporządzenia w sprawie prywatności i łączności elektronicznej w celu zastąpienia obecnej dyrektywy o prywatności i łączności elektronicznej 1. Przyjęcie wniosku było jednym z działań przewidzianych w strategii jednolitego rynku cyfrowego 2 mających na celu wzmocnienie zaufania i zwiększenie bezpieczeństwa na tym rynku. 2. 19 października 2017 r. w Parlamencie Europejskim przedmiotowo właściwa Komisja Wolności Obywatelskich, Sprawiedliwości i Spraw Wewnętrznych (LIBE) przyjęła sprawozdanie wraz z mandatem do rozpoczęcia negocjacji międzyinstytucjonalnych, co zostało potwierdzone w głosowaniu na posiedzeniu plenarnym 26 października 2017 r. Sprawozdawczynią odpowiedzialną za to dossier jest Birgit Sippel (S&D, Niemcy). 3. W Radzie analizę wniosku prowadziła Grupa Robocza ds. Telekomunikacji i Społeczeństwa Informacyjnego (zwana dalej grupą roboczą TELE ). Rada ds. TTE obradująca 9 czerwca 2017 r. 3 i 4 grudnia 2017 r. 4 zapoznała się z postępami poczynionymi podczas prezydencji, odpowiednio, maltańskiej i estońskiej. 1 Dyrektywa 2002/58/WE Parlamentu Europejskiego i Rady z dnia 12 lipca 2002 r. dotycząca przetwarzania danych osobowych i ochrony prywatności w sektorze łączności elektronicznej (dyrektywa o prywatności i łączności elektronicznej). 2 Dok. 8672/15. 3 Dok. 9324/17. 4 Dok. 14374/17 + COR 1. 9079/18 ako/mo/mf 2

4. Intensywne prace kontynuowano podczas prezydencji bułgarskiej. Grupa robocza TELE omawiała wniosek na sześciu całodniowych posiedzeniach. Ponadto prezydencja zorganizowała dwa wspólne posiedzenia grupy roboczej TELE i grupy DAPIX w formacie Grupy Przyjaciół Prezydencji zatrzymywanie danych (zwanej dalej grupą DAPIX ); posiedzenia dotyczyły kwestii wchodzących w zakres kompetencji obu grup. Prezydencja moderowała dyskusje, opierając się na kilku dokumentach przedstawiających możliwości działania 5 ; wydała też kilka tekstów kompromisowych 6. Uważa, że w sprawie dossier poczyniono istotne postępy, i jest wdzięczna delegacjom za konstruktywne podejście w tej sprawie. Na podstawie dyskusji grupy roboczej TELE i uwag pisemnych przekazanych przez delegacje prezydencja sporządziła niniejsze sprawozdanie z postępu prac. II. STAN PRAC W RADZIE i. Zakres stosowania i związek z ogólnym rozporządzeniem o ochronie danych (zwanym dalej GDPR ) 7 5. Podczas dyskusji i w pisemnych uwagach przedstawionych przez państwa członkowskie kilkakrotnie powracała kwestia zakresu stosowania wniosku oraz jego związku z GDPR. Pytano o ochronę treści łączności elektronicznej, w szczególności o to, kiedy kończy się ochrona gwarantowana przez rozporządzenie w sprawie prywatności i łączności elektronicznej. Zdaniem prezydencji ochronę treści należy zapewniać podczas całej wymiany między użytkownikami końcowymi, aż do chwili, w której odbiorca przejmuje kontrolę nad treścią. Wtedy rozpoczyna się ochrona przewidziana w GDPR. Wydaje się, że wiele delegacji popiera tę zasadę, jednak konieczne jest znalezienie odpowiedniego sformułowania, które będzie wystarczająco neutralne z punktu widzenia technologii i jasne z punktu widzenia prawa. 5 Dok. 5165/18, 5569/18, 5827/18. 6 Dok. 6726/18, 7207/18, 7820/18, 8537/18. 7 Rozporządzenie (UE) 2016/679. 9079/18 ako/mo/mf 3

6. Na wniosek delegacji w motywach zawarto dodatkowe wyjaśnienia dotyczące ogólnego związku między rozporządzeniem w sprawie prywatności i łączności elektronicznej a GDPR. Ponadto prezydencja zaproponowała tekst, który doprecyzowuje zakres stosowania wniosku, w tym w odniesieniu do przetwarzania treści łączności elektronicznej przez użytkowników końcowych po otrzymaniu tych treści lub w odniesieniu do danych osób zmarłych, które to dane pochodzą z łączności elektronicznej, a nie są objęte rozporządzeniem w sprawie prywatności i łączności elektronicznej. ii. Przetwarzanie danych pochodzących z łączności elektronicznej (treści i metadanych) (art. 6 ust. 1) 7. W następstwie dyskusji i w oparciu o pisemne uwagi państw członkowskich poszerzono zakres dozwolonego przetwarzania danych pochodzących z łączności elektronicznej w celu utrzymania i przywrócenia bezpieczeństwa sieci i usług łączności elektronicznej tak aby objąć nim możliwość znalezienia rozwiązania w przypadku wystąpienia ryzyka w zakresie bezpieczeństwa. W motywach dodatkowo doprecyzowano pojęcie bezpieczeństwa jako takiego, a także kwestię stosowania wspomnianej podstawy przetwarzania danych. Delegacje pozytywnie oceniły te zmiany, jednak konieczne mogą okazać się dalsze uściślenia. iii. Przetwarzanie metadanych pochodzących z łączności elektronicznej (art. 6 ust. 2 i 3 lit. a)) 8. Jedną z głównych kwestii budzących wątpliwości delegacji jest dozwolone przetwarzanie metadanych i zapewnienie odpowiedniej równowagi między wysokim poziomem ochrony poufności z jednej strony, a wystarczającymi zachętami do innowacji z drugiej strony. W związku z tym prezydencja przewidziała kilka nowych sytuacji, w których dopuszczalne jest przetwarzanie metadanych pochodzących z łączności elektronicznej; są to w szczególności sytuacje, w których następuje przetwarzanie do celów zarządzania siecią i optymalizacji sieci oraz do celów obliczeń statystycznych. Uzupełnieniem tych nowych podstaw przetwarzania są stosowne gwarancje i w dodatkowych motywach zawarto dalsze wyjaśnienia na temat ich stosowania. 9079/18 ako/mo/mf 4

9. Ponadto prezydencja ponownie zmieniła lub przeformułowała inne podstawy przetwarzania już obecne w tekście, takie jak ochrona żywotnych interesów lub wykonanie umowy. 10. Niektóre delegacje stwierdziły, że są to zmiany w dobrym kierunku. Dalsze prace są jednak niezbędne, także nad ewentualnymi nowymi podstawami przetwarzania. Temat ten to nadal jedna z najbardziej newralgicznych kwestii. iv. Ochrona informacji przechowywanych w urządzeniu końcowym (art. 8) 11. Również w odniesieniu do ochrony informacji przechowywanych w urządzeniu końcowym delegacje podkreśliły potrzebę znalezienia równowagi w zakresie zapewnienia odpowiedniej ochrony prywatności bez podważania uzasadnionych modeli biznesowych. W wyniku dyskusji grupy roboczej TELE zachowano ogólną strukturę artykułu 8 dopuszczającego ochronę informacji przechowywanych w urządzeniu końcowym użytkownika końcowego. Zakazane jest korzystanie z możliwości przetwarzania i przechowywania, którymi dysponuje urządzenie końcowe, oraz gromadzenie informacji z urządzenia końcowego użytkownika końcowego, w tym informacji o oprogramowaniu i sprzęcie, przez osoby inne niż użytkownik końcowy, z wyjątkiem dokładnie określonych przypadków. 12. Prezydencja wprowadziła nowy wyjątek od tego zakazu: nie obowiązuje on, gdy celem jest utrzymanie lub przywrócenie bezpieczeństwa usług społeczeństwa informacyjnego, zapobieganie oszustwom lub wykrywanie wad technicznych. Nowy tekst motywu zawiera dalsze doprecyzowania np. dotyczące sytuacji, w których zgoda nie jest konieczna, lub dotyczące uzależnienia dostępu do stron internetowych od zgody na przechowywanie plików cookie. 9079/18 ako/mo/mf 5

v. Ustawienia prywatności (art. 10) 13. W wyniku dyskusji prezydencja dokonała znacznych zmian w art. 10 dotyczącym ustawień prywatności. Chociaż w tekście utrzymano wymóg, by wprowadzane do obrotu oprogramowanie umożliwiające łączność elektroniczną oferowało ustawienia prywatności, dostawcy oprogramowania zgodnie z najnowszą wersją są zobowiązani tylko do informowania użytkowników końcowych o tych ustawieniach i sposobie ich użytkowania w chwili instalacji lub pierwszego zastosowania oraz gdy aktualizacje zmieniają te ustawienia. W przepisie tym wprowadza się wymóg, by oprogramowanie oferowało użytkownikom końcowym możliwość wyboru, czy chcą, by przypominać im o opcjach ustawień prywatności. Ponadto tekst precyzuje, że przepis ten nie ma zastosowania do oprogramowania, które jest już nieaktualne. W preambule zawarto też dalsze wyjaśnienia na temat dostawców stron internetowych, którzy żądają plików cookie niezależnie od ustawień prywatności. 14. Choć delegacje ogólnie pozytywnie oceniły tendencję w nowych fragmentach, część z nich wyraziła wątpliwości co do wartości dodanej przepisu. vi. Elementy dotyczące zatrzymywania danych (art. 2 i 11) 15. Kwestia zatrzymywania danych wchodzi w zakres kompetencji przede wszystkim Rady ds. Wymiaru Sprawiedliwości i Spraw Wewnętrznych i na szczeblu roboczym była analizowana na forum grupy DAPIX. Jednak dyskusje na temat niektórych elementów będących przedmiotem wspólnego zainteresowania, w szczególności na temat ograniczenia praw i obowiązków, związanych z zakresem stosowania rozporządzenia w sprawie prywatności i łączności elektronicznej przeprowadzono na dwóch wspólnych posiedzeniach grupy roboczej TELE i grupy DAPIX. 9079/18 ako/mo/mf 6

16. Opierając się na uwagach delegacji, prezydencja dokonała kilku zmian. W nowym tekście wyłączono z zakresu stosowania wniosku działania związane z bezpieczeństwem narodowym i obroną. Zaproponowano dodanie nowych rodzajów interesu publicznego, umożliwiając wprowadzanie w krajowych lub unijnych przepisach wykonawczych ograniczanie przewidzianych we wniosku praw i obowiązków, aby chronić osoby, których dane dotyczą, lub chronić prawa i wolności innych osób, a także aby zapewnić egzekucję roszczeń cywilnoprawnych. Ponadto prezydencja wprowadziła konkretne odniesienie do gwarancji przewidzianych w GDPR. 17. Delegacje pozytywnie oceniły kierunek zmian zaproponowanych przez prezydencję, jednak konieczna jest dalsza praca nad tekstem. vii. Wyjątki dotyczące wyświetlania i ograniczania identyfikacji rozmów przychodzących i wychodzących, dostęp do służb ratunkowych (art. 13) 18. W odniesieniu do art. 13 dyskusje i zaproponowane zmiany dotyczyły głównie umożliwienia zignorowania decyzji użytkownika końcowego o odrzucaniu połączeń przychodzących, w przypadku których nie wyświetla się identyfikacja rozmowy przychodzącej, w razie łączności w sytuacjach nagłych. Kolejne wprowadzone zmiany umożliwiają także dostęp do urządzenia końcowego użytkownika końcowego, który wykonuje połączenie do organizacji zajmującej się łącznością w sytuacjach nagłych; umożliwienie dostępu ma na celu ustalenie lokalizacji użytkownika, po to by zareagować na to połączenie. vii. Publicznie dostępne spisy numerów (art. 15) 19. Utrzymano tekst zobowiązujący dostawców publicznie dostępnych usług łączności interpersonalnej wykorzystującej numery do uzyskania zgody użytkowników końcowych, będących osobami fizycznymi, na umieszczenie ich danych osobowych w spisie. W wyniku dalszych dyskusji wprowadzono zapis, że państwa członkowskie mogą wprowadzić odstępstwo od wymogu uzyskania tej zgody i ustanowić przepisy, według których umieszczanie w spisie będzie możliwe, pod warunkiem że osoby fizyczne będą miały prawo sprzeciwić się takiemu umieszczeniu. 9079/18 ako/mo/mf 7

20. W przypadku użytkowników końcowych będących osobami prawnymi w tekście zachowano możliwość wyrażenia tego sprzeciwu. Nowy motyw precyzuje, że do celów tego przepisu użytkownicy końcowi będący osobami fizycznymi, ale działającymi w ramach wykonywania zawodu, powinni być traktowani jak osoby prawne. 21. Państwa członkowskie zgłosiły wątpliwości dotyczące podmiotów, które mają obowiązek udostępniania użytkownikom końcowym środków służących weryfikowaniu, poprawianiu lub usuwaniu danych zamieszczonych w publicznie dostępnych spisach numerów. W najnowszej wersji tekstu obowiązkiem tym objęci są dostawcy publicznie dostępnych usług łączności interpersonalnej wykorzystującej numery. Jednak prezydencja, kierując się uwagami państw członkowskich, zapewniła państwom możliwość ustanowienia przepisów, według których wspomniany wymóg ma dotyczyć dostawców publicznie dostępnych spisów numerów w uzupełnieniu albo w miejsce dostawców publicznie dostępnych usług łączności interpersonalnej wykorzystującej numery; tym samym prezydencja przywróciła elastyczność przewidzianą w obecnej dyrektywie. 22. Dodatkowo w nowym przepisie przejściowym doprecyzowano, że dane zamieszczone w publicznie dostępnym spisie numerów przed wejściem w życie rozporządzenia w sprawie prywatności i łączności elektronicznej mogą pozostać w tych spisach, chyba że użytkownik końcowy się temu sprzeciwi. 23. Wydaje się, że teraz poparcie delegacji dla tego przepisu jest całkiem duże. viii. Niezamawiane komunikaty do celów marketingu bezpośredniego (art. 16) 24. W następstwie szerokich dyskusji oraz po uwzględnieniu pisemnych uwag państw członkowskich ponownie poprawiono tekst przepisu o niezamawianych komunikatach do celów marketingu bezpośredniego. W odniesieniu do marketingu bezpośredniego skierowanego do własnych klientów nowy tekst umożliwia państwom członkowskim ustanowienie przepisów wskazujących maksymalny okres, przez jaki można wykorzystywać dane kontaktowe klientów do celów marketingu bezpośredniego. 9079/18 ako/mo/mf 8

25. Na podstawie uwag państw członkowskich z zakresu stosowania tego artykułu oraz odnośnych motywów usunięto podawanie komunikatów do celów marketingu bezpośredniego. Ponadto w motywie doprecyzowano zakres stosowania tego przepisu, wyjaśniając, że nie obejmuje on wyświetlania reklam skierowanych na stronie internetowej do ogółu społeczeństwa. 26. Wydaje się, że przepis ten zyskał ogólne poparcie delegacji. Być może w kwestii tej konieczne będą jeszcze dodatkowe prace. ix. Organy nadzorcze (art. 18) 27. W obecnej wersji tekstu przewiduje się, że organy odpowiedzialne za monitorowanie stosowania rozporządzenia (UE) 2016/679 są również odpowiedzialne za monitorowanie stosowania rozdziału II rozporządzenia w sprawie prywatności i łączności elektronicznej. Państwa członkowskie mają obowiązek zlecenia monitorowania stosowania rozdziału III organom nadzorczym, które dysponują odpowiednią wiedzą fachową i są niezależne. Organy te powinny zostać uprawnione do zapewnienia środków zaradczych i nakładania administracyjnych kar pieniężnych zgodnie z rozdziałem V wniosku. 28. Z kolejnych dyskusji na ten temat jasno wynikło, że choć niektóre delegacje ogólnie poparły obecne brzmienie większość delegacji dąży do zapewnienia jeszcze szerszej elastyczności w odniesieniu do organów nadzorczych i że konieczne są w tej kwestii dalsze prace. Prezydencja chciałaby podkreślić, że w dalszych pracach trzeba będzie uwzględnić wymogi wynikające z art. 8 ust. 3 karty i z art. 16 ust. 2 TFUE. 9079/18 ako/mo/mf 9

ZAŁĄCZNIK II Pytania na debatę orientacyjną Rady ds. TTE w dniu 8 czerwca 2018 r. Ze sprawozdania przedstawionego w załączniku I wyraźnie wynika, że w ciągu ostatnich 16 miesięcy osiągnięto istotny postęp w technicznych dyskusjach na forum Rady, choć dyskusje te miały złożony i newralgiczny charakter. Najnowsza wersja tekstu przygotowana przez prezydencję jest zamieszczona w dok. 8537/18. Z myślą o osiągnięciu w pracach nad wnioskiem postępu, który umożliwiłby wypracowanie wspólnego stanowiska Rady, prezydencja chciałaby prosić ministrów o wskazówki co do przyszłych działań w poniższych kwestiach: 1) Czy Państwa zdaniem obecne podejście, które prezydencja proponuje w odniesieniu do dozwolonego przetwarzania metadanych (art. 5 i 6), jest możliwą do zaakceptowania podstawą dalszych prac? Jakie inne ulepszenia można by wprowadzić? 2) Czy w Państwa opinii podejście dotyczące ochrony urządzeń końcowych i ustawień prywatności (art. 8 i 10) jest możliwą do zaakceptowania podstawą dalszych prac? 3) Czy Państwa zdaniem najnowsza kompromisowa wersja zaproponowana przez prezydencję pozwoli europejskiemu przemysłowi na zwiększenie swojej konkurencyjności, jeżeli chodzi o dostarczanie innowacyjnych usług, a zarazem będzie zapewniać poufność danych obywateli w łączności elektronicznej i chronić ich dane osobowe (lub dane wrażliwe)? 9079/18 ako/mo/mf 10 ZAŁĄCZNIK II DGE2B LIMITE PL