Докладът на FRA показва много важни, но скрити от обществото проблеми
Агенцията на Европейския съюз за основните права (European Union Agency for Fundamental Rights, Fundamental Rights Agency, FRA) публикува доклада си, който трябва да допълни предстоящата оценка на Европейската комисия на GDPR.
Правилата за защита на данните защитават поверителността и предотвратяват злоупотреба с лична информация. Когато общият регламент за защита на данните (GDPR) влезе в сила през 2018 г., той засили ролята на органите за защита на данните. Тези надзорни органи са основните изпълнители на основното право на защита на личните данни. Този доклад анализира предизвикателствата, пред които са изправени при прилагането на GDPR, пише в сайта на FRA.
И още – „Преди втората оценка (през 2024 г. ) Европейската комисия поиска FRA да събере данни за опита, предизвикателствата и практиките, идентифицирани от DPA (надзорните органи) при прилагането на GDPR.
В отговор на това искане между юни 2022 г. и юни 2023 г. FRA проведе 70 качествени интервюта с представители на DPA от всички 27 държави членки на ЕС. Трима служители бяха интервюирани поотделно във всеки DPA, с изключение на пет DPA, където бяха интервюирани по-малко членове на персонала. Тримата членове на персонала бяха ръководителят на DPA, длъжностно лице, отговарящо за международното сътрудничество, и длъжностно лице, отговарящо за обработката на жалби, разследвания и/или санкции в DPA. Интервюираните бяха разпитани относно техния опит в следните области: независимост на DPA; институционалния капацитет; съвременни технологични предизвикателства; повишаване на обществената осведоменост; разследващите правомощия; санкциониране на нарушения на GDPR; сътрудничество между DPA на ЕС и механизма за съгласуваност на GDPR; сътрудничество с други национални регулатори; и защитата на личните данни и конкуриращите се основни права.
Този доклад обсъжда някои от предизвикателствата и обещаващите практики, идентифицирани и подчертани от служителите на DPA. Той не предоставя никакъв сравнителен правен анализ, нито предоставя задълбочен анализ на работата на DPA въз основа на качествени данни, като годишните бюджети на DPA, броя на получените жалби или броя на проведените разследвания. Целта на доклада е да допълни тези данни – налични в докладите на DPA, Европейския комитет по защита на данните (EDPB/ЕКЗД) и Европейската комисия – с конкретни и подробни примери за разработени практики и трудности, пред които са изправени DPA.
От данните от полевата работа FRA идентифицира четири ключови области, свързани с предизвикателствата, пред които са изправени DPA при прилагането на GDPR. Те са обхванати от доклада, както следва. Глава 1 се фокусира върху независимостта. Тук FRA анализира това, което DPA възприемат като предизвикателство по отношение на запазването на своята независимост, като разглежда както адекватността на техните ресурси, така и свободата им от външно влияние. Глави 2 и 3 разглеждат двата стълба на мандата на DPA: съответно техните надзорни и консултативни правомощия. И накрая, глава 4 разглежда сътрудничеството, установено от DPA с други регулатори на национално ниво и с други DPA и ЕКЗД на ниво ЕС.
Всички тези области са засегнати, пряко или непряко, от наличието на човешки, финансови и технически ресурси на DPA. Въпреки че няколко доклада на национално и европейско ниво вече посочиха, че DPA не разполагат с ресурси в целия ЕС, изследването на FRA предоставя практическо разбиране на разнообразните и многопластови трудности, пред които DPA са изправени при ежедневното управление на изпълнението на своя мандат и в прилагането на правото на защита на данните в ЕС. Изследването също така идентифицира решения, разработени за смекчаване на тези предизвикателства. Освен това той събира подробности за обещаващи практики, които DPA са разработили, за да смекчат предизвикателствата, пред които са изправени при прилагането на GDPR.
Констатациите в този доклад следва да се тълкуват в контекста на констатациите от предишни публикации на FRA относно ролята, ефективността, функционирането и независимостта на DPA. Тенденциите в данните могат да се видят при сравняване на констатациите от текущото изследване с констатациите на FRA, публикувани през 2010 г. и 2014 г. По-специално, този доклад показва, че 14 години по-късно пропуските във финансовите и човешки ресурси на DPA остават, докато броят на задачите, за които отговарят DPA, се е увеличил.
Изследването има за цел да допълни доказателствата, събрани от Европейската комисия, както и проучванията и докладите, изготвени от Европейския парламент, Съвета на Европейския съюз и EDPB. Ето защо, за да се избегне дублиране със събирането на данни от Европейската комисия, този доклад предоставя принос, фокусиран върху ролята и обстоятелствата на DPA, като се основава на техния практически опит, без да се извършва цялостна оценка на прилагането на GDPR от DPA.
Недостатъчните ресурси рискуват да подкопаят изпълнението на мандата на органите за защита на данните и тяхната независимост
С влизането в сила на GDPR на DPA бяха възложени повече задачи и правомощията им бяха засилени. Член 57 от GDPR изброява редица задачи, които DPA трябва да изпълняват, като предоставяне на съвети на различни заинтересовани страни, повишаване на осведомеността, разглеждане на жалби и разследване на нарушения на защитата на данните по тяхна собствена инициатива и при поискване.
… Това изследване признава усилията на държавите членки да увеличат общите бюджети и персонал на DPA, когато GDPR влезе в сила. Независимо от това, огромно мнозинство от интервюираните заявиха, че натоварването на DPA също се е увеличило значително с въвеждането на GDPR. Те многократно подчертаваха растящите натоварвания, които DPA трябва да управляват с ограничен персонал и недостатъчно финансиране.
Притесненията, изразени от интервюираните, се отнасят главно до изключително големия и нарастващ брой подавани индивидуални жалби, включително незначителни жалби, които DPA са длъжни да разгледат в разумен срок съгласно член 57, параграф 1, буква е) от GDPR. Този доклад показва, че тъй като DPA се оказват с недостатъчно финансиране и персонал, много от тях са задължени да дават приоритет на обработката на жалби пред други регулаторни задачи, които GDPR им е поверил – като насърчаване на осведомеността сред органите на публичната администрация и частния сектор относно техните задължения по GDPR, повишаване на осведомеността на хората относно правото на защита на данните и предоставяне на висококачествени съвети на публичните институции относно законодателни предложения. Някои интервюирани посочиха, че поради липса на ресурси техният DPA не е в състояние да предприеме по собствена инициатива разследвания на операции по обработка на данни, които биха могли да представляват риск за субектите на данни. Това ограничение изглежда възпрепятства способността на DPA да предоставят независим надзор, включително надзор на публични институции и други органи. Освен това се съобщава за недостатъчни ресурси, които подкопават способността на DPA да допринасят ефективно за нарастващия обем от дейности на ЕКЗД и да участват в механизми за външно сътрудничество, създадени съгласно глава VII от GDPR.
Освен това няколко респонденти подчертаха, че новото законодателство на ЕС, прието след влизането в сила на GDPR, натовари DPA с допълнителни задължения и отговорности, разширявайки допълнително работното им натоварване, въпреки че нивото на ресурсите остава същото. Някои интервюирани споменаха, че законодателството на ЕС изисква DPA да контролират прилагането на нови, широкомащабни системи за информационни технологии (ИТ) на ЕС в областта на миграцията и граничния контрол. Те включват системата за влизане/излизане, която ще обработва биометричните данни на стотици милиони хора на границите, идващи в ЕС за краткосрочни посещения от края на 2024 г. Някои респонденти посочиха, че може да възникнат и нови надзорни роли в контекста на развитието на технологии, управлявани от ИИ, с предстоящото приемане на Регламента за изкуствения интелект.
За да изпълняват ефективно своите задължения в развиващи се и сложни технически области, DPA се нуждаят от квалифицирани правни и ИТ специалисти с познания по защита на данните. Няколко интервюирани обаче посочиха, че набирането на професионалисти с подходящи правни и технически познания е предизвикателство, особено като се има предвид, че DPA трябва да се конкурират с частния сектор. Някои респонденти също подчертаха, че в тяхната държава членка процесът на набиране на персонал се провежда чрез конкурси, които обикновено привличат специалисти от общ характер. Това ограничава автономията на DPA да подбират и наемат квалифициран персонал, което означава, че се изисква обучение на работното място, което се отразява отрицателно върху качеството и навременността на работата на DPA.
Следователно голямо мнозинство от интервюираните подчертаха, че неадекватните финансови и човешки ресурси са основна пречка за тяхното DPA да изпълнява пълния обхват на задачите, изисквани от GDPR съгласно член 52 и съображение 121 от GDPR.
Член 52 от GDPR определя елементи на независимостта на DPA, които държавите членки трябва да защитават. Тези елементи включват свобода от външно влияние и им позволяват да гарантират, че техните човешки, финансови и технически ресурси са достатъчни за изпълнение на задължителните им задачи. Изследванията на FRA, публикувани през 2010 г. и 2014 г., както и докладът на FRA за основните права – 2021 г. и бюлетин 2 на FRA относно последиците от пандемията COVID-19 върху основните права, установиха, че върху някои DPA е упражняван външен политически натиск, особено по време на COVID-19 пандемията. Това се съобщава по-рядко по време на настоящото теренно изследване.“