(EU) 2018/573Nařízení Komise v přenesené pravomoci (EU) 2018/573 ze dne 15. prosince 2017 o klíčových prvcích smluv o uchovávání údajů, jež mají být uzavírány v rámci systému sledovatelnosti tabákových výrobků (Text s významem pro EHP. )

NAŘÍZENÍ KOMISE V PŘENESENÉ PRAVOMOCI (EU) 2018/573

ze dne 15. prosince 2017

o klíčových prvcích smluv o uchovávání údajů, jež mají být uzavírány v rámci systému sledovatelnosti tabákových výrobků

(Text s významem pro EHP)

EVROPSKÁ KOMISE,

s ohledem na Smlouvu o fungování Evropské unie,

s ohledem na směrnici Evropského parlamentu a Rady 2014/40/EU ze dne 3. dubna 2014 o sbližování právních a správních předpisů členských států týkajících se výroby, obchodní úpravy a prodeje tabákových a souvisejících výrobků a o zrušení směrnice 2001/37/ES (1), a zejména na čl. 15 odst. 12 uvedené směrnice,

vzhledem k těmto důvodům:

(1)

Ustanovení čl. 15 odst. 8 směrnice 2014/40/EU vyžaduje, aby každý výrobce a dovozce v rámci systému sledovatelnosti tabákových výrobků dále specifikovaného v prováděcím nařízení Komise (EU) 2018/574 (2) uzavřel smlouvu s poskytovatelem, který je nezávislou třetí stranou, za účelem spravování informací souvisejících se svými tabákovými výrobky. Ustanovení čl. 15 odst. 12 směrnice 2014/40/EU Komisi svěřuje pravomoc vymezit klíčové prvky uvedených smluv.

(2)

Za účelem zajištění efektivního fungování systému sledovatelnosti tabákových výrobků obecně a konkrétně interoperability systému úložišť je vhodné stanovit klíčové prvky smluv o uchovávání údajů, aby byly zahrnuty specifikace týkající se provozuschopnosti, dostupnosti a výkonu služeb, jež mají poskytovat poskytovatelé uchovávání údajů. K zajištění efektivního a nepřetržitého fungování systému sledovatelnosti a systému pro uchovávání údajů, který je jeho součástí, je nezbytné, aby poskytovatelé stanovili jasné požadavky na přenositelnost údajů pro případy, kdy se výrobce nebo dovozce rozhodne změnit poskytovatele. Smlouvy by tudíž měly obsahovat ustanovení vyžadující používání technologie, která je na trhu dostupná a v daném odvětví se běžně používá, aby byl zajištěn efektivní a nepřerušovaný přenos údajů mezi stávajícím a novým poskytovatelem.

(3)

Za účelem zajištění nezbytné míry flexibility by mělo být možné požadovat, aby poskytovatel uchovávání údajů za poplatek poskytoval doplňkové technické služby související s provozem primárního úložiště, jako je rozšiřování provozní funkčnosti uživatelských rozhraní, za předpokladu, že doplňkové služby přispívají k řádnému fungování systému úložišť a nejsou v rozporu s žádnými požadavky stanovenými v prováděcím nařízení (EU) 2018/574. Smlouva by proto měla takovou možnost stanovit.

(4)	Aby byl vždy zaručen nezávislý provoz systému sledovatelnosti, měla by mít Komise možnost zrušit schválení poskytovatele uchovávání údajů, s nímž již byla uzavřena smlouva, pokud na základě posouzení či opětovného posouzení technické kapacity nebo nezávislosti poskytovatele shledá, že není vhodný.

(5)	Za účelem zajištění efektivní organizace každodenního fungování systému by poskytovatelé primárních úložišť měli spolupracovat mezi sebou i s příslušnými orgány členských států a Komisí,

PŘIJALA TOTO NAŘÍZENÍ:

Článek 1

Předmět

Toto nařízení stanoví klíčové prvky, které mají být obsaženy ve smlouvách o uchovávání údajů uvedených v čl. 15 odst. 8 směrnice 2014/40/EU.

Článek 2

Definice

Pro účely tohoto nařízení se kromě definicí uvedených ve směrnici 2014/40/EU a prováděcím nařízení (EU) 2018/574 použijí tyto definice:

1)	„smlouvou“ se rozumí smluvní ujednání mezi výrobcem nebo dovozcem tabákových výrobků a poskytovatelem systémů pro uchovávání údajů v souladu s čl. 15 odst. 8 směrnice 2014/40/EU a prováděcím nařízením (EU) 2018/574;

2)	„poskytovatelem“ se rozumí jakákoli právnická osoba, s níž výrobce nebo dovozce tabákových výrobků uzavřel smlouvu za účelem zřízení a provozování svého primárního úložiště a poskytování souvisejících služeb;

3)	„přenositelností údajů“ se rozumí možnost přenášet údaje mezi různými úložišti s využitím technologie, která je dostupná na trhu a běžně používaná v daném odvětví.

Článek 3

Hlavní povinnosti podle smlouvy

1.   Smlouva stanoví hlavní služby, které má poskytovatel poskytovat a které zahrnují:

1)	zřízení a provoz primárního úložiště v souladu s článkem 26 prováděcího nařízení (EU) 2018/574;

2)	je-li provozovatel primárního úložiště jmenován poskytovatelem sekundárního úložiště, zřízení a provoz sekundárního úložiště a routeru v souladu s články 27, 28 a 29 prováděcího nařízení (EU) 2018/574;

3)	na žádost poskytování dalších doplňkových technických služeb souvisejících s provozem primárního úložiště, které přispívají k řádnému fungování systému úložišť.

2.   Při vymezování hlavních služeb uvedených v odst. 1 bodech 1) a 2) smlouva stanoví specifikace týkající se provozuschopnosti, dostupnosti a výkonu služeb, které splňují minimální požadavky stanovené v tomto nařízení a v kapitole V prováděcího nařízení (EU) 2018/574.

Článek 4

Technická odbornost

Smlouva stanoví povinnost poskytovatelů vystavit výrobci nebo dovozci písemné prohlášení, že mají nezbytnou technickou a provozní odbornost k poskytování služeb uvedených v článku 3 a ke splnění požadavků stanovených v kapitole V prováděcího nařízení (EU) 2018/574 nebo mají takovou odbornost k dispozici.

Článek 5

Dostupnost primárního úložiště

1.   Smlouva specifikuje garantovanou měsíční dobu provozuschopnosti a dostupnost primárního úložiště na úrovni 99,5 %.

2.   Smlouva vyžaduje, aby poskytovatel zavedl odpovídající zálohovací mechanismy, aby se zamezilo případné ztrátě údajů, které jsou uloženy, obdrženy nebo přenášeny v okamžiku, kdy dojde k nedostupnosti primárního úložiště.

Článek 6

Přístupová práva

Smlouva stanoví požadavky na fyzický a virtuální přístup do primárního úložiště poskytovaný na úrovni serveru a na úrovni databáze vnitrostátním správcům členských států, Komisi a jmenovaným externím auditorům v souladu s článkem 25 prováděcího nařízení (EU) 2018/574.

Článek 7

Subdodávky

1.   Stanoví-li smlouva, že poskytovatel může některé povinnosti ze smlouvy plnit formou subdodávek, musí obsahovat ustanovení, které jasně uvádí, že uzavřením smlouvy o subdodávce není dotčena primární odpovědnost poskytovatele za plnění smlouvy.

2.   Smlouva musí dále požadovat, aby poskytovatel:

a)	zajistil, že navrhovaný subdodavatel disponuje nezbytnou technickou odborností a splňuje požadavky na nezávislost stanovené v článku 35 prováděcího nařízení (EU) 2018/574;

b)	předložil Komisi kopii prohlášení uvedeného v článku 8 tohoto nařízení podepsaného příslušným subdodavatelem či subdodavateli.

Článek 8

Právní a finanční nezávislost

Smlouva vyžaduje, aby poskytovatelé a v příslušných případech jejich subdodavatelé vystavili výrobci nebo dovozci společně se smlouvou o uchovávání údajů písemné prohlášení, že splňují požadavky týkající se právní a finanční nezávislosti stanovené v článku 35 prováděcího nařízení (EU) 2018/574.

Článek 9

Ochrana údajů a důvěrnost

1.   Smlouva specifikuje, že poskytovatel přijme veškerá odpovídající opatření nezbytná k zajištění důvěrnosti, integrity a dostupnosti všech údajů uchovávaných v rámci plnění této smlouvy. Tato opatření zahrnují kontroly administrativní, technické a fyzické bezpečnosti a zabezpečení.

2.   Smlouva vyžaduje, aby osobní údaje, s nimiž se nakládá podle smlouvy, byly zpracovávány v souladu se směrnicí Evropského parlamentu a Rady 95/46/ES (3).

Článek 10

Řízení bezpečnosti informací

Smlouva vyžaduje, aby poskytovatelé učinili prohlášení, že primární a v příslušných případech sekundární úložiště je řízené v souladu s mezinárodně uznávanými normami řízení bezpečnosti informací. Předpokládá se, že poskytovatelé certifikovaní dle ISO/IEC 27001:2013 uvedené normy splňují.

Článek 11

Náklady

Smlouva vyžaduje, aby náklady, které poskytovatelé účtují výrobcům nebo dovozcům v souladu s článkem 30 prováděcího nařízení (EU) 2018/574, byly spravedlivé, opodstatněné a přiměřené:

a)	poskytovaným službám a

b)	počtu jedinečných identifikátorů, které si během daného období dotčený výrobce nebo dovozce vyžádal.

Článek 12

Účast na systému sekundárního úložiště

1.   Smlouva vyžaduje, aby se poskytovatel podílel na zřízení systému sekundárního úložiště (pokud sekundární systém nebyl k datu uzavření smlouvy ještě zřízen), jak může být požadováno v souladu s pravidly stanovenými v kapitole V prováděcího nařízení (EU) 2018/574.

2.   Smlouva obsahuje ustanovení, které poskytovatelům umožní požadovat po výrobcích a dovozcích tabákových výrobků náhradu nákladů vzniklých v souvislosti se zřízením, provozováním a údržbou sekundárního úložiště a routeru uvedených v kapitole V prováděcího nařízení (EU) 2018/574.

Článek 13

Doba trvání

Doba trvání smlouvy se stanoví minimálně na pět let s možností prodloužení, pokud se na něm strany dohodnou a pokud poskytovatel nadále splňuje požadavky stanovené ve směrnici 2014/40/EU a prováděcím nařízení (EU) 2018/574.

Článek 14

Komunikace s ostatními stranami

Smlouva vyžaduje, aby poskytovatelé spolupracovali mezi sebou a s příslušnými orgány členských států, a to v míře nezbytné k zajištění efektivní organizace každodenního fungování systému úložišť.

Článek 15

Audity

1.   Smlouva stanoví podmínky, které externím auditorům schváleným Komisí v souladu s čl. 15 odst. 8 směrnice 2014/40/EU umožní provádět oznámené a neoznámené audity v souvislosti s primárním úložištěm a v příslušných případech sekundárním úložištěm, včetně posouzení, zda poskytovatel a případně jeho subdodavatelé splňují příslušné zákonné požadavky.

2.   Smlouva specifikuje, že externím auditorům je po dobu trvání auditu umožněn neomezený fyzický a virtuální přístup do primárního úložiště a v příslušných případech do sekundárního úložiště a k souvisejícím službám.

Článek 16

Odpovědnost

Smlouva stanoví podmínky podrobně vymezující odpovědnost stran, a to i odpovědnost za přímé a nepřímé škody, které mohou vzniknout při plnění smlouvy, v souladu s platnými právními předpisy. Aniž jsou dotčeny platné právní předpisy, smlouva dále specifikuje, že odpovědnost není omezena v případě porušení důvěrnosti nebo porušení pravidel týkajících se ochrany údajů.

Článek 17

Ukončení smlouvy

1.   Smlouva stanoví podmínky týkající se ukončení smlouvy, a to v souladu s platnými právními předpisy. V případě ukončení smlouvy smlouva vyžaduje, aby strana ukončující smlouvu uvědomila Komisi v souladu s procesními požadavky stanovenými v příloze I prováděcího nařízení (EU) 2018/574.

2.   Smlouva vyžaduje, aby strany stanovily minimálně pětiměsíční výpovědní lhůtu pro ukončení smlouvy.

Odchylně od prvního pododstavce smlouva vyžaduje, aby výrobci a dovozci ukončili smlouvu s okamžitou platností:

a)	pokud poskytovatel závažným způsobem poruší své povinnosti podle smlouvy;

b)	pokud se poskytovatel dostane do platební neschopnosti podle platných právních předpisů nebo hrozí bezprostřední riziko, že se tak stane.

3.   Pro účely odst. 2 písm. a) závažné porušení zahrnuje:

a)	situaci, kdy poskytovatel neplní své povinnosti nebo neposkytuje služby stanovené ve smlouvě, které jsou nezbytné k efektivnímu fungování systému sledovatelnosti, zejména nedodržuje požadavky stanovené v kapitole V prováděcího nařízení (EU) 2018/574;

b)	situaci, kdy poskytovatel přestane splňovat požadavky na právní a finanční nezávislost stanovené v čl. 35 odst. 2 prováděcího nařízení (EU) 2018/574 a kdy do uplynutí lhůty uvedené v čl. 35 odst. 6 prováděcího nařízení (EU) 2018/574 nemohl být soulad s požadavky zaveden.

Článek 18

Přerušení poskytování služeb

Smlouva stanoví zákaz přerušení poskytování služeb v případě prodlení s platbami na straně výrobce nebo dovozce poskytovateli, pokud prodlení nepřekračuje konečný termín splatnosti o třicet či více dní.

Článek 19

Přenositelnost údajů

1.   Smlouva vyžaduje, aby poskytovatelé zajistili úplnou přenositelnost údajů v případech, kdy výrobce nebo dovozce uzavře smlouvu o provozování primárního úložiště s novým poskytovatelem. Stávající poskytovatel novému poskytovateli před datem ukončení smlouvy předá aktuální kopii všech údajů uchovávaných v primárním úložišti. Veškeré aktualizace údajů po uvedeném předání jsou bez zbytečného odkladu migrovány k novému poskytovateli.

2.   V zájmu zajištění kontinuity činností smlouva zahrnuje platný plán ukončení, který stanoví postup, jímž se strany musejí řídit, pokud dojde k ukončení smlouvy a výrobce nebo dovozce uzavře smlouvu s novým poskytovatelem. Plán zahrnuje požadavek, aby stávající poskytovatel poskytoval své služby až do okamžiku, kdy bude nový poskytovatel provozuschopný.

3.   Smlouva obsahuje ustanovení, která zajistí, aby stávající poskytovatel neměl zadržovací právo, pokud jde o jakékoli údaje, informace či jiné nezbytné materiály související s primárním úložištěm, poté co byly předány novému poskytovateli.

Článek 20

Rozhodné právo a jurisdikce

1.   Smlouva se řídí právními předpisy jednoho z členských států Evropské unie, jak se dohodnou strany smlouvy.

2.   Smlouva podléhá jurisdikci jednoho z členských států Evropské unie, jak se dohodnou strany smlouvy.

Článek 21

Vstup v platnost

Toto nařízení vstupuje v platnost dvacátým dnem po vyhlášení v Úředním věstníku Evropské unie.

---

(1)  Úř. věst. L 127, 29.4.2014, s. 1.

(2)  Prováděcí nařízení Komise (EU) 2018/574 ze dne 15. prosince 2017 o technických normách pro zavedení a provoz systému sledovatelnosti tabákových výrobků (viz strana 7 v tomto čísle Úředního věstníku).

(3)  Směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (Úř. věst. L 281, 23.11.1995, s. 31).

---