Rada Unii Europejskiej Bruksela, 19 maja 2017 r. (OR. en) Międzyinstytucjonalny numer referencyjny: 2017/0003 (COD) 9324/17 TELECOM 127 COMPET 416 MI 428 DATAPROTECT 101 CONSOM 219 JAI 497 DIGIT 141 FREMP 62 CYBER 77 IA 87 CODEC 834 NOTA Od: Do: Prezydencja Komitet Stałych Przedstawicieli / Rada Nr poprz. dok.: 9131/17 TELECOM 116 COMPET 339 MI 409 DATAPROTECT 96 CONSOM 205 JAI 420 DIGIT 134 FREMP 60 CYBER 73 IA 85 CODEC 793 Nr dok. Kom.: Dotyczy: 5358/17 TELECOM 12 COMPET 32 MI 45 DATAPROTECT 4 CONSOM 19 JAI 40 DIGIT 10 FREMP 3 CYBER 10 IA 12 CODEC 52 Wniosek dotyczący rozporządzenia Parlamentu Europejskiego i Rady w sprawie poszanowania życia prywatnego oraz ochrony danych osobowych w łączności elektronicznej i uchylającego dyrektywę 2002/58/WE (rozporządzenie w sprawie prywatności i łączności elektronicznej) Sprawozdanie z postępu prac Niniejsze sprawozdanie zostało sporządzone pod kierunkiem prezydencji maltańskiej i nie ma wpływu na konkretne kwestie stanowiące przedmiot zainteresowania poszczególnych delegacji ani na ich dalsze uwagi. Przedstawia ono dotychczasowe postępy w pracach prowadzonych przez organy przygotowawcze Rady oraz podsumowuje aktualny stan analizy wyżej wymienionego wniosku. 9324/17 mo/md/mk 1
I. WPROWADZENIE 1. W dniu 10 stycznia 2017 r. Komisja przyjęła wniosek dotyczący rozporządzenia w sprawie prywatności i łączności elektronicznej. Proponowane rozporządzenie zastąpi obecną dyrektywę o prywatności i łączności elektronicznej 1, której przegląd został przewidziany w strategii jednolitego rynku cyfrowego 2 jako jedno z działań na rzecz zwiększenia zaufania i bezpieczeństwa, a także zapewnienia równych warunków działania dla wszystkich uczestników jednolitego rynku cyfrowego. 2. Wniosek ten, którego podstawę stanowią art. 16 i 114 TFUE, ma na celu zapewnienie ochrony podstawowych praw i wolności, w szczególności prawa do poszanowania życia prywatnego i komunikowania się oraz prawa do ochrony danych osobowych w sektorze łączności elektronicznej. Ma też na celu zagwarantowanie swobodnego przepływu danych i usług związanych z łącznością elektroniczną w UE. Ponadto wniosek ma służyć dostosowaniu zasad w zakresie łączności elektronicznej do nowych standardów określonych w ogólnym rozporządzeniu o ochronie danych 3 (dalej: GDPR) przyjętym w 2016 r. 3. Wniosek zawiera przepisy zapewniające poufność łączności elektronicznej i precyzuje, w jakich warunkach dozwolone jest przetwarzanie danych pochodzących z łączności elektronicznej. Obejmuje on ochronę końcowych urządzeń użytkowników, aktualizuje przepisy dotyczące śledzenia w internecie oraz wprowadza przepisy dotyczące śledzenia w celu określenia cech urządzenia. Jeśli chodzi o kontrolę użytkowników końcowych nad ich działalnością w sferze łączności elektronicznej, wniosek przewiduje możliwość zablokowanie wyświetlania identyfikacji rozmów przychodzących i aktualizuje obecne przepisy w sprawie publicznych spisów numerów i spamu. 1 2 3 Dyrektywa 2002/58/WE Parlamentu Europejskiego i Rady z dnia 12 lipca 2002 r. dotycząca przetwarzania danych osobowych i ochrony prywatności w sektorze łączności elektronicznej (dyrektywa o prywatności i łączności elektronicznej). Dok. 8672/15. Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych). 9324/17 mo/md/mk 2
4. Wniosek rozszerza zakres obowiązujących przepisów, tak aby objąć nimi nie tylko tradycyjnych operatorów telekomunikacyjnych, ale również nowe, internetowe usługi umożliwiające komunikację międzyludzką, takie jak telefonia internetowa (VoIP), komunikatory internetowe, poczta elektroniczna przez internet. Egzekwowanie nowych przepisów zostałoby powierzone krajowym organom ochrony danych. Proponowana data rozpoczęcia stosowania to 25 maja 2018 r. dzień wejścia w życie GDPR. 5. W Parlamencie Europejskim na sprawozdawcę wyznaczono posłankę Marju Lauristin (komisja LIBE). Oczekuje się, że opinie wydadzą komisje ITRE, IMCO i JURI. Głosowanie w komisji LIBE zaplanowano wstępnie na październik 2017 r. 6. W dniu 3 maja 2017 r. Europejski Inspektor Ochrony Danych (dalej: EIOD) przedstawił swoją opinię 4 działającej w ramach Rady Grupie Roboczej ds. Telekomunikacji i Społeczeństwa Informacyjnego. EIOD wyraził swoje poparcie dla specjalnego instrumentu prawnego w odniesieniu do prywatności i łączności elektronicznej oraz w odniesieniu do kilku aspektów wniosku Komisji, takich jak forma instrumentu prawnego, rozszerzenie zakresu, aby objąć nim podmioty działające na rynku usług OTT, oraz ambitny cel wniosku polegający na ochronie zarówno treści, jak i metadanych. EIOD zwrócił też uwagę na kilka kwestii budzących jego wątpliwości, takich jak konieczność zaostrzenia przepisów dotyczących zgody użytkownika końcowego, brak ambicji, jeśli chodzi o ochronę przed zaporami wymuszającymi zgodę na śledzenie ( tracking walls ), konieczność zapewnienia domyślnych, sprzyjających ochronie prywatności, ustawień oprogramowania do łączności elektronicznej lub brak zabezpieczeń w odniesieniu do śledzenia w celu określenia cech urządzenia. 7. Europejski Komitet Ekonomiczno-Społeczny nie przyjął jeszcze opinii, a Komitet Regionów na posiedzeniu w dniu 31 marca 2017 r. postanowił nie wydawać opinii w tej sprawie, lecz udzielić odpowiedzi w formie pisma. 4 Opinia 6/2017 z dnia 24 kwietnia 2017 r. 9324/17 mo/md/mk 3
II. STAN PRAC W RADZIE 8. Komisja przedstawiła wniosek i ocenę skutków Grupie Roboczej ds. Telekomunikacji i Społeczeństwa Informacyjnego odpowiednio w dniu 8 i 28 lutego 2017 r. Grupa Robocza ds. Telekomunikacji i Społeczeństwa Informacyjnego przeprowadziła analizę poszczególnych artykułów wniosku w dniach 29 marca i 3 maja 2017 r. i jak dotąd przeanalizowała art. 1 8. Państwa członkowskie są jeszcze w trakcie analizowania tego wniosku i formułowania swoich stanowisk krajowych. Mając na celu przekazanie ministrom stosownych informacji na posiedzeniu Rady ds. TTE w dniu 9 czerwca2017 r., a także na podstawie wstępnych uwag zgłoszonych przez delegacje na posiedzeniach wspomnianej grupy roboczej, prezydencja sporządziła niniejsze sprawozdanie z postępu prac podsumowujące kwestie omawiane do tej pory. 9. W dniu 28 lutego 2017 r. Grupa Robocza ds. Telekomunikacji i Społeczeństwa Informacyjnego omówiła stosowną ocenę skutków. Ponadto kilka delegacji przedstawiło pisemne uwagi lub wypełnione kwestionariusze do celów oceny skutków. Zasadniczo większość delegacji była zdania, że ocena skutków przedstawia dobrą analizę głównych problemów i możliwe rozwiązania oraz daje odpowiednie wsparcie dla wniosku Komisji. Podczas dyskusji lub w pisemnych uwagach poruszono w szczególności następujące kwestie: 9324/17 mo/md/mk 4
Niektóre delegacje opowiadałyby się za bardziej szczegółową analizą w odniesieniu do ewentualnego pokrywania się lub powielania przepisów lub sprzeczności z innymi przepisami, w szczególności z GDPR i europejskim kodeksem łączności elektronicznej 5. Niektóre delegacje wyraziły wątpliwości co do przedstawionych uzasadnień dotyczących wyznaczenia krajowych organów ochrony danych jako organów nadzorczych do celów rozporządzenia w sprawie prywatności i łączności elektronicznej, i stwierdziły, że w ocenie skutków brakuje dowodów na to, że niniejszy wniosek rozwiąże problem niespójnego wdrażania i egzekwowania przepisów dotyczących prywatności i łączności elektronicznej. Niektóre delegacje uważały, że należy dokładniej wyjaśnić wpływ rozszerzenia zakresu na podmioty działające na rynku usług OTT, a pewne delegacje krytycznie odniosły się do braku analizy w kwestii włączenia podmiotów świadczących usługi pomocnicze. Niektóre delegacje wyraziły wątpliwości co do tego, czy proponowane rozwiązanie dotyczące plików cookie (wyrażanie zgody poprzez ustawienia przeglądarki) przyczyni się do osiągnięcia pożądanych celów. Część delegacji z zadowoleniem przyjęłaby bardziej pogłębioną analizę wpływu tych przepisów na określone podmioty działające na rynku, w szczególności internetowe agencje reklamowe w internecie lub modele biznesowe wykorzystujące pliki cookie pochodzące od podmiotów trzecich. Jeśli chodzi o publiczne spisy numerów, niektóre delegacje wolałyby, by przeprowadzono bardziej szczegółową ocenę skutków pod kątem bezpośredniego wpływu przejścia z systemu opt-out do systemu opt-in na podmioty udostępniające spisy abonentów, jak również pod kątem pośredniego wpływu tego procesu na małe przedsiębiorstwa i osoby pracujące na własny rachunek w zakresie widoczności w internecie, a także wpływu na kwestię włączania nowych danych. 5 Dok. 12252/1/16 REV 1. 9324/17 mo/md/mk 5
10. W trakcie dyskusji na forum Grupy Roboczej ds. Telekomunikacji i Społeczeństwa Informacyjnego delegacje generalnie pozytywnie odniosły się do tego wniosku i poparły cel polegający na zapewnieniu wysokiego poziomu ochrony prywatności w łączności elektronicznej. Chociaż delegacje zasadniczo nie sprzeciwiają się formie rozporządzenia, uznają one, że ta forma aktu prawnego wymaga wyższego stopnia precyzji i jasności niż dyrektywa, a zatem grupa robocza musi przeprowadzić gruntowną analizę wniosku. W tym kontekście delegacje uważają, że proponowana data rozpoczęcia stosowania tego rozporządzenia 25 maja 2018 r., jest nierealistyczna. Inne kwestie ogólne, które trzeba będzie szczegółowo omówić, to m.in. interakcje między nowymi przepisami a GDPR i europejskim kodeksem łączności elektronicznej, struktura instytucjonalna oraz kwestia zatrzymywania danych. 11. Delegacje podniosły również kilka konkretnych kwestii: a) Jeśli chodzi o zakres stosowania (art. 2 i 3), konieczne będą dalsze dyskusje na temat jego rozszerzenia na podmioty działające na rynku usług OTT oraz na temat włączenia usług pomocniczych. Delegacje domagały się również wyjaśnień w odniesieniu do usług łączności elektronicznej, które nie są dostępne publicznie nieobjętych zakresem odnośnego wniosku. Trzeba się będzie zająć szeregiem kwestii związanych z komunikatami w trybie maszyna-maszyna. Choć wydaje się, że delegacje popierają ogólną logikę przepisu dotyczącego zakresu terytorialnego i przedstawiciela, konieczne będą dalsze dyskusje w tym zakresie, np. na temat ewentualnych sankcji w przypadku niepowołania przedstawiciela. b) Jeśli chodzi o poufność danych pochodzących z łączności elektronicznej (art. 5), niektóre delegacje mają wątpliwości co do różnic między nowym przepisem i przepisami obecnej dyrektywy, a niektóre uznają ten przepis za zbyt szeroki i ogólny. Z drugiej strony, niektóre delegacje uznają, że przepis dotyczący dozwolonego przetwarzania danych (art. 6) jest zbyt restrykcyjny i zwracają się o większą elastyczność; należy przy tym pamiętać, że GDPR przewiduje pewną liczbę prawnych podstaw przetwarzania danych osobowych. 9324/17 mo/md/mk 6
c) Potrzebne będą również dalsze prace w kwestii ochrony informacji przechowywanych w urządzeniu końcowym użytkownika końcowego lub wysyłanych przez urządzenie końcowe użytkownika końcowego (art. 8). Kilka delegacji poprosiło o wyjaśnienia dotyczące wyjątków zarówno w odniesieniu do plików cookie, jak i do śledzenia w celu określenia cech urządzenia, a niektóre z nich zaproponowały dodanie do wykazu kolejnych wyjątków. Niezbędne jest znalezienie wyważonego rozwiązania, aby rozwiązać problem zmęczenia udzielaniem zgody, w szczególności w przypadkach stanowiących ograniczone lub żadne ryzyko dla prywatności. III. ANY 12. Wymienione powyżej kwestie pojawiły się w dotychczasowych dyskusjach na forum Grupy Roboczej ds. Telekomunikacji i Społeczeństwa Informacyjnego. Prace nad wnioskiem są w toku, a prezydencja zaplanowała kilka dodatkowych posiedzeń grupy roboczej na ten temat. Celem jest zakończenie pierwszej analizy wniosku przed końcem prezydencji maltańskiej w czerwcu 2017 r. tak, by zapewnić solidną podstawę przyszłych prac nad tym dossier. 9324/17 mo/md/mk 7