Европейски омбудсман

Публичен регистър на дейностите по обработване:

Използване на услугата за електронен подпис (EU Sign) в Службата за наблюдение на Земята

1. Последна актуализация на този запис: 14.11.2023

2. Референтен номер: 2/2022

Ref. Ares(2023)8192524 — 30.11.2023 г.

3. Име и данни за контакт на администратора: Европейски омбудсман, 1 avenue du Président Robert Schuman, CS 30403, F-67001 Strasbourg Cedex - EO@ombudsman.europa.eu

Отговорен отдел: Дирекция „Администрация“ на Европейския омбудсман — екип за процеси и уплътнения; управление на документи, непрекъснатост на дейността и инфраструктура

4. Име и данни за контакт на длъжностното лице по защита на данните: г-жа Francesca PAVESI-

Заместник-длъжностно лице по защита на данните: г-н Nicholas HERNANZ

Електронна поща: Dpo-Euro-Ombudsman@ombudsman.europa.eu

5. Име и данни за контакт на обработващия лични данни: Европейската комисия — ГД „Информатика“ — управлява знака на ЕС от името на ЕО^[1], за да създава, валидира и/или разширява електронните подписи и/или печати върху електронните документи.

Електронна поща: EU-SIGN-SERVICE@ec.europa.eu

6. Име и данни за контакт на съвместния администратор (съвместните администратори): Не е приложимо

7. Цел(и) на обработването:

Целта на обработването е да се използва EU Sign за издаването на до 10 квалифицирани цифрови сертификата от разстояние, за предоставянето на един квалифициран сертификат за цифрово запечатване, както и за услугите, предоставяни от платформата EU Sign Web („услугите“) за срок от една година^[2].

EU Sign обработва лични данни за следните две цели:

А) Обработването на електронните подписи:

При тази обработка EU Sign създава, валидира и/или разширява електронни подписи и/или печати върху електронни документи, квалифицирани или усъвършенствани в зависимост от квалификацията на удостоверението, представено от крайния потребител, и неговата поддръжка съгласно Регламента относно електронната идентификация и удостоверителните услуги[3] Обработката за тази цел се използва и за ефективното функциониране на услугата EU Sign.

Б) Обработката за идентифициране на естествени потребители, за да се даде възможност на партньора доставчик на квалифицирани удостоверителни услуги (QTSP) да издава "дистанционни" квалифицирани удостоверения (това са удостоверенията, които се съхраняват на устройството за създаване на квалифициран подпис на QTSP).

Обработването в рамките на услугата за електронен подпис включва:

• удостоверяване на автентичността и права на достъп
• обработване на личната информация за издаване на квалифицирани удостоверения (информация за документ за самоличност, номер на мобилен телефон)
• обработка на електронните подписи
• предоставяне на подкрепа на всички потребители на услугата както за издаване на удостоверенията, така и за обработка на подписите
• обработка на информация за целите на управлението на услугите (включително статистически доклади, информационни табла)

8. Описание на категориите субекти на данни и на категориите лични данни:

- Категории субекти на данни: всички служители на ИО, използващи EU Sign.

- Категории лични данни: всеки път, когато потребителят поиска от услугата за електронни подписи действие (подпис/печат, валидиране, разширяване), свързано с електронните подписи, следните данни (според случая) могат да се съхраняват криптирани в базата данни:

Лични данни, свързани с потребителите на услугата EU Sign:

• Име, фамилия
• Идентификатор на потребителя
• Професионален електронен адрес
• данни, налични в удостоверението за подписване за потребителите на функцията за дистанционно подписване (определена от издателя; тя може да бъде/но не се ограничава до: собствено/фамилно име, дата на раждане, идентификационен номер, членство, звание/роля)

Освен това за физическите лица, които поискат „дистанционно“ квалифицирано удостоверение за електронен подпис, EU Sign ще обработва следната информация:

• Име(на), фамилно(и) име(на) съгласно документа за самоличност
• Вид документ за самоличност
• Номер на документа за самоличност
• Държава, издала документа за самоличност
• дата на изтичане на срока на валидност на документа за самоличност
• копие от документа за самоличност
• националност
• номер на мобилен телефон
• данни, свързани с организацията, за която работи потребителят

След това тази информация се предава на „QTSP“, който издава квалифицираното удостоверение за електронен подпис. След като сертификатът бъде издаден правилно, данните се заличават от базата данни EU Sign.

За лицата, получаващи "дистанционно" квалифицирано удостоверение за електронен подпис, след издаването на удостоверението се обработват следните лични данни:

• Идентификатор на потребителя на EU Sign
• дата на искането за сертификат
• дата на издаване на сертификата
• информация за валидността на сертификата
• криптирана информация, свързана със сертификата (напр. публичен ключ, псевдоним на сертификата и др.)

Административни данни, свързани с ползвателя на услугата за електронен подпис:

• административна длъжност
• Организация (ЕО)

Технически данни, свързани с използването на услугата за електронен подпис:

• Вид на поисканата операция (подпис/печат, проверка, удължаване)
• дата/час на искането за операция
• Цел на операцията (каква стойност/политика на подписа (напр. вътрешен електронен подпис, печат, квалифициран електронен подпис)

Регистрационни файлове:

Всеки път, когато потребителят полага подпис, EU Sign ще съхранява горепосочените категории с изключение на личните данни, свързани с подписването на удостоверения.

Освен горепосочените категории EU Sign ще съхранява история на всички операции, извършени от дадено лице, в собствената си база данни за целите на отстраняването на неизправности.

9. Срок за съхранение на данните и, когато е възможно, за заличаване:

Европейската комисия, която поддържа EU Sign, определя политиката за съхранение на лични данни, свързани с приложението. Моля, направете справка с регистъра на Комисията за защита на данните в EU Sign.

Комисията съхранява ограничени лични данни, събирани само за времето, необходимо за изпълнение на целта на събирането.

Комисията ще съхранява данните в EU Sign, свързани със следните категории данни, в продължение на 25 месеца:

• Лични данни, свързани с ползвателя на услугата за електронен подпис,

• административни данни, свързани с ползвателя на услугата за електронен подпис, и
• Технически данни, свързани с използването на услугата за електронен подпис
• история на всички операции, извършени от дадено лице

Личните данни (напр. документът за самоличност) за физическите лица, които искат „дистанционни“ удостоверения за електронния подпис, ще се съхранява до издаването на удостоверението (2—5 дни).

Само за потребителите на дистанционен подпис, личната информация, налична в удостоверението за подписване, ще се съхранява за срока на валидност на удостоверението (3 или 4 години в зависимост от политиката на QTSP) + допълнително 6 месеца.

Личните данни се предават на партньора^[4] доставчик на квалифицирани удостоверителни услуги (QTSP) за издаване на удостоверение за електронен подпис. Данните ще се съхраняват от QTSP в съответствие с Регламента относно електронната идентификация и удостоверителните услуги^[5] и неговото транспониране в националното законодателство^[6] (понастоящем до 7 години в съответствие с португалското законодателство относно електронните подписи).

Регистрите се съхраняват в продължение на 6 месеца.

10. Получатели на данните:

В рамките на Службата за наблюдение на Земята: всеки ползвател на услугата и/или всеки, който е получил електронно подписания документ, ще види информацията, съдържаща се в удостоверението за електронен подпис.

Извън Службата за наблюдение на избори достъп до личните данни се предоставя на служителите на Комисията, отговарящи за извършването на тази операция по обработване, и на упълномощени служители в съответствие с принципа „необходимост да се знае“. Този персонал спазва законоустановените задължения и, когато е необходимо, допълнителни споразумения за поверителност.

Освен това за физическите лица, които искат „дистанционно“ удостоверение за електронен подпис, техните лични данни ще бъдат изпратени на партньора на EU Sign — доставчик на квалифицирани удостоверителни услуги, за издаване на удостоверение за квалифициран електронен подпис^[7].

Личните данни няма да бъдат предавани на трети държави или международни организации.

11. Има ли предаване на лични данни на трети държави и/или на международни организации? Не, не е вярно.

12. Общо описание на мерките за сигурност:

Всички лични данни в електронен формат (електронни писма, документи, бази данни, качени групи от данни и т.н.) се съхраняват на сървърите на Комисията. Всички операции по обработване се извършват в съответствие с Решение (ЕС, Евратом) 2017/46 на Комисията от 10 януари 2017 г. относно сигурността на комуникационните и информационните системи в Европейската комисия.

Изпълнителите на Комисията са обвързани с конкретна договорна клауза^[8] за всички операции по обработване на данни от потребителите на EU Sign от името на Комисията, както и със задълженията за поверителност, произтичащи от транспонирането на Общия регламент относно защитата на данните в държавите — членки на ЕС („ОРЗД“ Регламент (ЕС) 2016/679).

С цел защита на личните данни Комисията въведе редица технически и организационни мерки. Техническите мерки включват подходящи действия за справяне с онлайн сигурността, риска от загуба на данни, промяна на данни или неразрешен достъп, като се вземат предвид рискът, свързан с обработването, и естеството на обработваните лични данни. Организационните мерки включват ограничаване на достъпа до личните данни единствено до оправомощени лица със законна необходимост да знаят за целите на тази операция по обработване.

13. Информация за това как субектите на данни могат да упражняват правата си на достъп и коригиране и, когато е приложимо, на заличаване, ограничаване и преносимост на данните:

Субектите на данни могат да поискат достъп до собствените си лични данни и до съответната информация относно начина, по който ИО ги използва. Те могат също така да поискат коригиране на всички непълни или неточни данни, които се отнасят до тях. Те могат да коригират идентификационните данни по всяко време. Те имат право по всяко време да възразят срещу използването на техните данни от ИО на основания, свързани с тяхното конкретно положение. При определени условия те имат право да поискат от ИО да изтрие личните им данни или да ограничи използването им.

По всяко време те могат да поискат информация относно обработването на личните им данни по електронна поща (EO@ombudsman.europa.eu)или като се свържат с директора на дирекция „Администрация“. Той/тя ще отговори на техните искания във възможно най-кратък срок и най-късно в срок от един месец. Те могат също така да се свържат с длъжностното лице по защита на данните на адрес: dpo-euro-ombudsman@ombudsman.europa.eu.

Ако желаят да се оплачат от начина, по който омбудсманът обработва личните им данни, те могат да се свържат с Европейския надзорен орган по защита на данните (www.edps.europa.eu)на следния адрес: EDPS@edps.europa.eu

Декларация за поверителност във връзка с използването на услугата за електронен подпис (EU Sign) в Службата на Европейския омбудсман

Ref. Ares(2023)8192524 — 30.11.2023 г.

В настоящата декларация за поверителност се обясняват причината за обработването, начинът, по който Европейският омбудсман (ЕО) събира, обработва и гарантира защитата на всички предоставени лични данни, как се използва тази информация и какви права могат да упражняват субектите на данни във връзка с техните данни.

Контрольорът е ИО. Обработващият лични данни е генерална дирекция „DIGIT“ на Европейската комисия (ЕК), която управлява знака на ЕС от името на ИО за създаване, валидиране и/или разширяване на електронни подписи и/или печати върху електронни документи.

1. Какви лични данни ще обработва Европейският омбудсман?

Ако използвате EU Sign като служител на Европейския омбудсман, ще обработваме следните лични данни:

• Вашето име, фамилия

• Идентификатор на потребителя

• професионален електронен адрес

• данни, налични в удостоверението за подписване за потребителите на функцията за дистанционно подписване

Освен това, ако сте поискали „дистанционно“ квалифицирано удостоверение за електронен подпис, EU Sign ще обработва допълнителни лични данни, като например Вашия мобилен телефонен номер или Вашата националност.

Вашите лични данни могат да бъдат предадени и на трета страна, наречена доставчик на квалифицирани удостоверителни услуги „QTSP“, която издава квалифицираното удостоверение за електронен подпис. След като сертификатът бъде издаден правилно, вашите данни се изтриват от базата данни EU Sign.

2. Защо Европейският омбудсман обработва тези лични данни?

Обработваме Вашите лични данни, тъй като искаме да използваме EU Sign за издаването на до 10 квалифицирани цифрови сертификата от разстояние, за предоставянето на един квалифициран цифров сертификат за запечатване, както и за услугите, предоставяни от платформата EU Sign Web („услугите“) в продължение на една година.

3. Какви са правните основания и необходимостта от обработването на тези данни?

Обработването е необходимо за изпълнението на задача от обществен интерес (член 5, параграф 1, буква а) от Регламент 2018/1725). ИО трябва да обработва данните в приложението EU Sign за издаването на 10 квалифицирани цифрови сертификата от разстояние, предоставянето на един квалифициран сертификат за цифрово запечатване и да се възползва от услугите, предоставяни от платформата EU Sign Web („услугите“), в продължение на една година.

4. Кой отговаря за обработката на данните?

Данните се обработват от дирекция „Администрация“ — екип „Процес и ампериране“, „Управление на документи“, „Непрекъснатост на дейността“ и „Инфраструктура“ към Европейския омбудсман.

5. Кои ще бъдат получателите на данните?

Получателите са следните:

• в рамките на Службата за наблюдение на Земята: всеки ползвател на услугата и/или всеки, който е получил електронно подписания документ, ще види информацията, съдържаща се в удостоверението за електронен подпис;

• извън Службата за наблюдение на избори достъп до личните данни се предоставя на служителите на Комисията, отговарящи за извършването на тази операция по обработване, и на упълномощени служители в съответствие с принципа „необходимост да се знае“. Този персонал спазва законоустановените и, когато е необходимо, допълнителни споразумения за поверителност.

Освен това за членовете на персонала на ИО, които искат „дистанционно“ удостоверение за електронен подпис, техните лични данни ще бъдат изпратени на партньора на EU Sign — доставчик на квалифицирани удостоверителни услуги (QTSP), за издаване на удостоверението за квалифициран електронен подпис.

6. Колко дълго ще се съхраняват данните?

Комисията, която управлява EU Sign от името на ИО, съхранява ограничени лични данни, събирани само за времето, необходимо за изпълнение на целта на събирането.

ЕК ще съхранява данните в EU Sign, свързани със следните категории данни, в продължение на 25 месеца:

• лични данни, свързани с ползвателя на услугата за електронен подпис;

• административни данни, свързани с ползвателя на услугата за електронен подпис, и технически данни, свързани с използването на услугата за електронен подпис;

• история на всички операции, извършени от дадено лице.

Личните данни (напр. Документ за самоличност) за членовете на персонала на ИО, които искат „дистанционни“ удостоверения за електронния подпис, се съхраняват до издаването на удостоверението (2—5 дни).

Само за потребителите на дистанционен подпис, личната информация, налична в удостоверението за подписване, ще се съхранява за срока на валидност на удостоверението (3 или 4 години в зависимост от политиката на QTSP) + допълнително 6 месеца.

Личните данни се предават на QTSP за издаване на удостоверение за електронен подпис. Данните ще се съхраняват от QTSP за срок до 7 години в съответствие с португалското законодателство относно електронните подписи.

7. Как защитаваме Вашите данни?

Всички лични данни в електронен формат (електронни писма, документи, бази данни, качени групи от данни и т.н.) се съхраняват на сървърите на Комисията.

Изпълнителите на Комисията са обвързани с конкретна договорна клауза за всички операции по обработване на данните на ползвателите на EU Sign от името на Комисията, както и със задълженията за поверителност, произтичащи от транспонирането на Общия регламент относно защитата на данните в държавите — членки на ЕС („ОРЗД“, Регламент (ЕС) 2016/679).

С цел защита на личните данни Комисията въведе редица технически и организационни мерки. Техническите мерки включват подходящи действия за справяне с онлайн сигурността, риска от загуба на данни, промяна на данни или неразрешен достъп, като се вземат предвид рискът, свързан с обработването, и естеството на обработваните лични данни. Организационните мерки включват ограничаване на достъпа до личните данни единствено до оправомощени лица със законна необходимост да знаят за целите на тази операция по обработване.

8. Какви са вашите права и как можете да ги упражнявате?

Имате право на достъп до собствените си лични данни и до съответната информация относно начина, по който ИО ги използва.

При определени условия имате право да поискате коригиране на всички непълни или неточни данни, отнасящи се до Вас. Можете да коригирате идентификационните данни по всяко време. Имате право по всяко време да възразите срещу използването на Вашите данни от ИО на основания, свързани с Вашата конкретна ситуация. При определени условия имате право да поискате от ИО да изтрие личните Ви данни или да ограничи използването им.

ИО ще отговори на исканията във възможно най-кратък срок и най-късно в срок от един месец.

9. Към кого да се обърнете в случай на запитвания или жалби относно въпроси, свързани със защитата на данните?

По всяко време можете да изпращате на ИО въпроси, свързани със защитата на данните, относно използването на знака на ЕС в Службата за наблюдение на избори на следния адрес:

Европейски омбудсман

1 avenue du Président Робер Шуман

CS 30403

F-67001 Страсбург Cedex

EO@ombudsman.europa.eu

Можете също така да се свържете с длъжностното лице по защита на данните на службата на ИО на следния адрес: ДЛЗД-Euro-Ombudsman@ombudsman.europa.eu

Можете да подадете жалба до Европейския надзорен орган по защита на данните по всяко време на следния адрес: ЕНОЗД@edps.europa.eu

 

[1] Вж. споразумението за нивото на обслужване (СНО), подписано между ЕО и ГД „Информатика“ на ЕК, относно EU Sign. В допълнението се определят условията за сътрудничество между ГД „Информатика“ („доставчика на услуги“) и ИО („клиента“) по отношение на издаването на до 10 квалифицирани цифрови сертификата от разстояние, предоставянето на 1 квалифицирано цифрово удостоверение за запечатване, както и услугите, предоставяни от платформата EU Sign Web („услугите“) за една година съгласно описанието, предоставено в приложение 1 към допълнението.

[2] Вж. описанието, предоставено в приложение 1 към допълнението към споразумението за нивото на обслужване (СНО), подписано между ЕО и ГД „Информатика“ на ЕК на EU Sign.

[3] Регламент (ЕС) No 910/2014 на Европейския парламент и на Съвета от 23 юли 2014 г. относно електронната идентификация и удостоверителните услуги при електронни трансакции на вътрешния пазар и за отмяна на Директива 1999/93/ЕО: https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=uriserv%3AOJ.L_.2014.257.01.0073.01.ENG

[4] QTSP е следният: DigitalSign - Certificadora Digital, S.A. (за квалифицирани електронни подписи) Largo Pe. Bernardino Ribeiro Fernandes, 264835-489 Nespereira – Guimarães, Португалия

[5] Регламент (ЕС) No 910/2014 на Европейския парламент и на Съвета от 23 юли 2014 г. относно електронната идентификация и удостоверителните услуги при електронни трансакции на вътрешния пазар и за отмяна на Директива 1999/93/ЕО: https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=uriserv%3AOJ.L_.2014.257.01.0073.01.ENG

[6] Вж. разпоредбите на член 13, буква е) от Декрет-закон No 12/2021 от 9 февруари 2021 г.

[7] Вж. бележка под линия 4.

[8] Вж. СНО, подписано между ЕО и ГД „Информатика“ на ЕК (по-специално допълнение А) относно EU Sign.