Скачать PDF

Рекомендация № 2009/387/ЕС Комиссии Европейских сообществ

№ 2009/387/ЕСДействующий акт

Актуально на 08.11.2026.

Как цитировать: Рекомендация N 2009/387/ЕС Комиссии Европейских сообществ. 2009/387/ЕС. https://bukva.ai/docs/2009387es

«По имплементации принципов неприкосновенности частной жизни и защиты данных в приложениях, поддерживаемых на основе радиочастотной идентификации» (С (2009) 3200) [рус., англ.]

(Принята в г. Брюсселе 12.05.2009)

Примечание

Россия не участвует.

[неофициальный перевод] <*>

КОМИССИЯ ЕВРОПЕЙСКИХ СООБЩЕСТВ

РЕКОМЕНДАЦИЯ № 2009/387/ЕС ЕВРОПЕЙСКОЙ КОМИССИИ ПО ИМПЛЕМЕНТАЦИИ ПРИНЦИПОВ НЕПРИКОСНОВЕННОСТИ ЧАСТНОЙ ЖИЗНИ И ЗАЩИТЫ ДАННЫХ В ПРИЛОЖЕНИЯХ, ПОДДЕРЖИВАЕМЫХ НА ОСНОВЕ РАДИОЧАСТОТНОЙ ИДЕНТИФИКАЦИИ <**>

(Брюссель, 12 мая 2009 года)

(Регистрационный номер документа С (2009) 3200))

<*> Перевод Кудиновой О.П.

<**> Commission Recommendation of 12 May 2009 on the implementation of privacy and data protection principles in applications supported by radio-frequency identification.

Комиссия Европейских сообществ,

руководствуясь Договором об учреждении Европейского сообщества, и, в частности, статьей 211,

после консультации с Европейским надзорным органом по защите данных,

поскольку:

  1. Радиочастотная идентификация (RFID) знаменует собой новое развитие в информационном обществе, в котором объекты, оснащенные микроэлектроникой, способной обрабатывать данные автоматически, в возрастающей степени будут становиться неотъемлемой частью повседневной жизни.

  2. RFID постепенно становится все более распространенной, и, следовательно, занимает место в жизни физических лиц в различных областях, таких как логистика <*>, здравоохранение, общественный транспорт, розничная торговля, и используется, в частности, для улучшения безопасности товаров и более быстрого возврата товаров, развлечения, работы, управления платными дорогами, багажом и проездными документами.

<*> COM (2007) 607 окончательное.

  1. RFID технология потенциально может стать новым двигателем роста и рабочих мест, и тем самым сделать мощный вклад в Лиссабонскую стратегию, так как она несет большое обещание в экономическом плане, когда она может привести к новым возможностям для бизнеса, снижению затрат и повышенной эффективности, в частности, в борьбе с подделками и в управлении электронными отходами, опасными материалами, и в переработке товаров по истечении срока их эксплуатации.

  2. RFID технология позволяет обрабатывать данные, в том числе персональные данные, на коротких расстояниях без физического контакта или видимого взаимодействия между считывающим или записывающим устройством и тегом, таким образом, что это взаимодействие может произойти без уведомления физического лица, которого оно касается.

  3. Приложения RFID обладают потенциалом для обработки данных, касающихся идентифицированных или идентифицируемых физических лиц, при этом физическое лицо идентифицируется явно или неявно. Они могут обрабатывать персональные данные, хранящиеся на теге, такие как имя человека, дату рождения, адрес или биометрические данные или данные, соединяющие номер конкретного RFID тега с персональными данными, хранящимися в других частях системы. Кроме того, существует потенциальная возможность использования этой технологии для отслеживания физических лиц, если они обладают одной или несколькими тегами, которые содержат номер RFID тега.

  4. В силу возможности RFID использоваться повсеместно и практически незаметно при ее разработке требуется уделить особое внимание вопросам неприкосновенности частной жизни и защиты данных. Таким образом, средства защиты конфиденциальности и информации должны быть встроены в приложения RFID до начала их широкого использования (принцип «проектируемая безопасность и конфиденциальность»).

  5. RFID сможет принести свои многочисленные экономические и социальные выгоды только в том случае, если имеются эффективные меры для обеспечения защиты персональных данных, неприкосновенности частной жизни и связанных с этим этических принципов, которые занимают центральное место в спорах относительно общественного признания RFID.

  6. Государства-члены ЕС и заинтересованные лица должны, особенно на этом начальном этапе имплементации RFID, приложить дальнейшие усилия для обеспечения контроля приложений RFID и соблюдения прав и свобод человека.

  7. Сообщение Европейской комиссии от 15 марта 2007 г. «Радиочастотная идентификация (RFID) в Европе: шаги в направлении политических рамок» <*> провозгласило, что будут представлены уточнение и руководящие указания относительно аспектов защиты данных и информации о частной жизни в приложениях RFID посредством одной или нескольких рекомендаций Европейской комиссии.

<*> COM (2007) 96 окончательное.

  1. Относительно использования приложений RFID, которые обрабатывают персональные данные, в полной мере применяются права и обязанности, касающиеся защиты персональных данных и свободного обращения таких данных, предусмотренные Директивой 95/46/ЕС Европейского парламента и Совета ЕС от 24 октября 1995 г. о защите физических лиц в отношении обработки персональных данных и свободного обращения таких данных <*> и Директивой 2002/58/ЕС Европейского парламента и Совета ЕС от 12 июля 2002 г., касающейся обработки персональных данных и защиты информации о частной жизни в сфере электронных коммуникаций (Директива о конфиденциальности информации о частной жизни в сфере электронных коммуникаций) <**>.

<*> ОЖ № L 281, 23.11.1995, стр. 31.

<**> ОЖ № L 201, 31.7.2002, стр. 37.

  1. При разработке приложений RFID должны применяться принципы, изложенные в Директиве 1999/5/ЕС Европейского парламента и Совета ЕС от 9 марта 1999 г. о радиооборудовании и телекоммуникационном терминальном оборудовании и взаимном признании их соответствия <*>.

<*> ОЖ № L 91, 07.04.1999, стр. 10.

  1. Заключение Европейского надзорного органа по защите данных <*> дает руководящие указания о том, как обращаться с товарами, которые содержат теги и которые предоставляются физическим лицам, и призывает оценивать воздействие на конфиденциальность и безопасность для выявления и развития «наилучших доступных технологий» для обеспечения конфиденциальности и безопасности RFID систем.

<*> ОЖ № C 101, 23.04.2008, стр. 1.

  1. Операторы приложений RFID должны принять все разумные шаги для гарантии того, что данные не относятся к идентифицируемому или идентифицирующему физическому лицу с помощью любых средств, с вероятностью используемых оператором RFID приложений и любым другим лицом, если эти данные не обрабатываются в соответствии с применимыми принципами и правовыми нормами о защите данных.
  2. Сообщение Европейской комиссии от 2 мая 2007 г. «Содействие защите данных посредством технологий повышения конфиденциальности (PETs)» <*> устанавливает четкие действия для достижения цели минимизации обработки персональных данных и использования анонимных данных или данных под псевдонимом, где это возможно, с помощью поддержки развития PETs и их использования контроллерами данных и физическими лицами.

<*> КОМ (2007) 228 окончательное.

  1. Сообщение Европейской комиссии от 31 мая 2006 г. «Стратегия безопасного информационного общества — „Диалог, партнерство и расширение возможностей“ <*> признает, что разнообразие, открытость, совместимость, удобство использования и конкуренция являются ключевыми факторами развития безопасного информационного общества, подчеркивает роль государств-членов ЕС и органов государственного управления в повышении осведомленности и содействии надлежащей практике безопасности, и предлагает заинтересованным частным лицам выступать с инициативами по работе над доступными схемами подтверждения безопасности товаров, процессов и услуг, обращенными к особым потребностям ЕС, в частности, в отношении конфиденциальности.»

<*> КОМ (2006) 251 окончательное.

  1. Резолюция Совета ЕС от 22 марта 2007 г. о стратегии безопасного информационного общества в Европе <*> приглашает государства-члены ЕС уделить должное внимание необходимости предотвращения и борьбы с новыми и существующими угрозами безопасности электронным коммуникационным сетям.

<*> ОЖ № C 68, 24.03.2007, стр. 1.

  1. Рамки, разработанные на уровне Сообщества для проведения оценок влияния конфиденциальности и защиты данных, будут гарантировать, что государства-члены ЕС последовательно придерживаются положений настоящей Рекомендации. Разработка таких рамок будет опираться на существующие практики и опыт, накопленный в государствах-членах ЕС, в третьих странах и в работе, проводимой Европейским агентством безопасности сетей и информации (ENISA) <*>.

<*> Статья 2 (1) Регламента (ЕС) 460/2004 Европейского парламента и Совета ЕС (ОЖ № L 77, 13.03.2004, стр. 1).

  1. Европейская комиссия будет обеспечивать развитие руководящих принципов управления информационной безопасностью для приложений RFID на уровне Сообщества, строящихся на существующих практиках и опыте, накопленном в государствах-членах ЕС и третьих странах. Государства-члены ЕС должны содействовать этому процессу и поощрять участие в нем частных лиц и государственных органов.
  2. Оценка воздействия защиты конфиденциальности и данных, осуществляемая оператором до имплементации приложения RFID, предоставит информацию, необходимую для осуществления соответствующих защитных мер. Такие меры должны будут отслеживаться и пересматриваться на протяжении всего срока эксплуатации приложения RFID.
  3. В секторе розничной торговли оценка воздействия защиты конфиденциальности и защиты данных применительно к товарам, которые содержат теги и продаются потребителям, должна обеспечить необходимую информацию для определения вероятности наличия угрозы для конфиденциальности или защиты персональных данных.
  4. Использование международных стандартов, например, тех, что разработаны Международной организацией по стандартизации (ISO), кодексов поведения и лучших практик, которые соответствуют нормативным рамкам ЕС, может помочь в принятии мер по информационной безопасности и конфиденциальности во всем процессе бизнеса, осуществляемого с поддержкой RFID.
  5. Приложения RFID, оказывающие воздействие на основное население, такие как система электронных билетов в общественном транспорте, требуют соответствующих защитных мер. Приложения RFID, которые воздействуют на физических лиц путем обработки, например, биометрических идентификационных данных или данных, связанных со здоровьем, особенно критичны в связи с информационной безопасностью и конфиденциальностью, поэтому требуют особого внимания.
  6. Общество в целом должно быть осведомлено об обязательствах и правах, которые применяются в отношении использования приложений RFID. Поэтому стороны, развертывающие технологию, обязаны предоставлять физическим лицам информацию об использовании этих приложений.
  7. Рост осведомленности среди общественности и малых и средних предприятий (SMEs), об особенностях и возможностях RFID поможет позволить этой технологии выполнить свои экономические обещания и в то же время смягчить риски от использования ее в ущерб общественным интересам, повышая тем самым ее приемлемость.
  8. Европейская комиссия будет содействовать имплементации этой Рекомендации, прямо или косвенно способствуя диалогу и сотрудничеству между заинтересованными лицами, в частности, с помощью Рамочной программы о конкурентоспособности и инновациях (CIP), установленной Решением 1639/2006/ЕС Европейского парламента и Совета ЕС <*> и Седьмой рамочной программой исследований (FP7), установленной Решением 1982/2006/ЕС Европейского парламента и Совета ЕС <**>.

<*> ОЖ № L 310, 09.11.2006, стр. 15.

<**> ОЖ № L 412, 30.12.2006, стр. 1.

  1. На уровне Сообщества необходимы исследования и разработки в области недорогих технологий повышения конфиденциальности и технологий информационной безопасности для содействия более широкому принятию этих технологий на приемлемых условиях.
  2. Настоящая Рекомендация соблюдает основные права и принципы, признанные в частности, Хартией Европейского Союза об основных правах. В частности, данная Рекомендация направлена на обеспечение полного уважения частной и семейной жизни и защиты персональных данных,

настоящим рекомендует:

Область применения

1. Настоящая Рекомендация предусматривает руководство для государств-членов ЕС по разработке и использованию в работе приложений RFID законным, этическим и социально и политически приемлемым способом, с соблюдением права на неприкосновенность частной жизни и обеспечением защиты персональных данных.

2. Настоящая Рекомендация предусматривает руководство относительно мер, подлежащих принятию для развертывания приложений RFID в целях гарантии соблюдения в необходимых случаях национального законодательства по имплементации Директив 95/46/ЕС, 1999/5/ЕС и 2002/58/ЕС при развертывании таких приложений.

Определения

3. Для целей настоящей Рекомендации должны применяться определения, изложенные в Директиве 95/46/ЕС. Также должны применяться следующие определения:

a) «радиочастотная идентификация (RFID)» — это использование электромагнитных волн или реактивного поля, взаимодействующих в радиочастотной части спектра для установления связи с тегом посредством различных модуляций и схем кодирования для однозначного считывания идентификационной информации радиочастотного тега или других хранящихся на нем данных;

b) «RFID тег» или «тег» — это устройство RFID, способное производить радиосигнал, или устройство RFID, которое заново взаимодействует, обратно рассеивает или отражает (в зависимости от типа устройства), а также модулирует несущий сигнал, полученный от считывающего или записывающего устройства;

c) «RFID считыватель или райтер» или «считыватель» — это стационарное или мобильное устройство для сбора данных и идентификации, использующее радиочастотную электромагнитную волну или реактивное поле, которые взаимодействуют для того, чтобы стимулировать и произвести модулированный ответ данных с тега или группы тегов;

d) «приложение RFID» или «приложение» — это приложение, которое обрабатывает данные с помощью использования тегов и считывателей, и которое поддерживается вспомогательной системой и сетевой коммуникационной инфраструктурой;

e) «оператор приложения RFID» или «оператор» — это физическое или юридическое лицо, государственный орган, учреждение или любой другой орган, который самостоятельно или совместно с другими определяет цели и средства работы приложения, в том числе контроллеров персональных данных, использующих приложение RFID;

f) «информационная безопасность» — это сохранение конфиденциальности, целостности и доступности информации;

g) «отслеживание» — это любая деятельность, осуществляемая с целью выявления, наблюдения, копирования или записи месторасположения, движения, деятельности или состояния человека.

Оценки воздействия защиты конфиденциальности и данных

4. Государства-члены ЕС должны гарантировать, что отрасль в сотрудничестве с соответствующими заинтересованными лицами гражданского общества разрабатывает рамки для оценок воздействия конфиденциальности и защиты данных. Эти рамки должны быть представлены на одобрение Рабочей группе по защите данных, предусмотренной статьей 29, в течение 12 месяцев со дня опубликования настоящей Рекомендации в Официальном журнале Европейского Союза.

5. Государства-члены ЕС должны гарантировать, что операторы, несмотря на другие свои обязательства, предусмотренные Директивой 95/46/ЕС:

a) проводят оценку последствий применения приложения для защиты персональных данных и конфиденциальности, в том числе выясняют, может ли приложение быть использовано для отслеживания человека. Уровень детальности оценки должен соответствовать рискам для конфиденциальности, которые могут быть связаны с приложением;

b) принимают соответствующие технические и организационные меры в целях обеспечения защиты персональных данных и конфиденциальности;

c) назначают лицо или группу лиц, ответственных за пересмотр оценок и дальнейшей уместности технических и организационных мер для обеспечения защиты персональных данных и конфиденциальности;

d) предоставляют оценку компетентному органу власти не позднее, чем за шесть недель до развертывания приложения;

e) имплементируют вышеуказанные положения в соответствии с рамками оценок воздействия защиты конфиденциальности и данных с момента появления последних.

Информационная безопасность

6. Государства-члены ЕС должны поддерживать Европейскую комиссию в определении тех приложений, которые могут вызывать угрозы безопасности информации, с последствиями для населения в целом. Для таких приложений государства-члены ЕС должны гарантировать, что операторы вместе с национальными компетентными органами и организациями гражданского общества разрабатывают новые схемы или применяют существующие методы, такие как сертификация или самооценка оператора для демонстрации установления соответствующего уровня информационной безопасности и защиты конфиденциальности в отношении оцененных рисков.

Информация и прозрачность использования RFID

7. Без ущерба для обязательств контроллеров данных в соответствии с Директивами 95/46/ЕС и 2002/58/ЕС государства-члены ЕС должны гарантировать, что операторы разрабатывают и опубликовывают краткую, точную и не сложную для понимания информационную политику для каждого из своих приложений. Политика должна, по меньшей мере, включать:

a) идентификацию и адрес операторов;

b) цель приложения;

c) информацию о том, какие данные должны быть обработаны приложением, в частности, будут ли обрабатываться персональные данные, и будет ли отслеживаться местоположение меток;

d) краткую информацию об оценке воздействия защиты конфиденциальности и данных;

e) вероятные риски для конфиденциальности, если таковые имеются, связанные с использованием меток в приложении, и меры, которые могут быть приняты физическими лицами для снижения этих рисков.

8. Государства-члены ЕС должны гарантировать, что операторы принимают меры для информирования физических лиц о присутствии считывателей на основе общего Европейского знака, разработанного Европейскими организациями по стандартизации при поддержке заинтересованных лиц. Знак должен содержать идентификацию оператора и контактный пункт для получения физическими лицами информационной политики о приложении.

Приложения RFID, используемые в розничной торговле

9. На основе общего Европейского знака, разработанного Европейскими организациями по стандартизации при поддержке заинтересованных лиц, операторы должны информировать физических лиц о наличии тегов, которые нанесены на товары или встроены в них.

10. При проведении оценки воздействия защиты конфиденциальности и данных, указанной в пунктах 4 и 5, оператор приложения должен конкретно определить, представляют ли теги, нанесенные на товары или встроенные в товары, продаваемые потребителям через розничных торговцев, не являющихся операторами, возможную угрозу конфиденциальности или защите персональных данных.

11. Продавцы, участвующие в розничной торговле, должны дезактивировать или снять в пункте продажи теги, используемые в их приложении, если потребители после получения информации о политике, указанной в пункте 7, не дали свое согласие на сохранение тегов в рабочем состоянии. Под дезактивацией тегов следует понимать любой процесс, который останавливает те взаимодействия тегов с их средой, которые не требуют активного участия потребителей. Дезактивация или снятие тегов продавцом должна быть сделана немедленно и бесплатно для потребителя. Потребители должны иметь возможность убедиться, что дезактивация или снятие тегов прошли успешно.

12. Пункт 11 не должен применяться, если оценка воздействия защиты конфиденциальности и данных приходит к выводу о том, что теги, которые используется в приложении розничной торговли и которые будут оставаться в рабочем состоянии после пункта продажи, не представляют собой угрозу для конфиденциальности и защиты персональных данных. Тем не менее, продавцы, участвующие в розничной торговле, должны предоставлять бесплатные и простые средства, позволяющие немедленно или позднее дезактивировать или снять эти теги.

13. Дезактивация или снятие тегов не должны влечь за собой уменьшение или прекращение законных обязательств продавца или производителя перед потребителем.

14. Пункты 11 и 12 должны применяться только в отношении розничных торговцев, которые являются операторами.

Действия по повышению осведомленности

15. Государства-члены ЕС в сотрудничестве с отраслью, Европейской комиссией и другими заинтересованными лицами должны принять соответствующие меры по информированию и повышению осведомленности органов государственной власти и компаний, в частности, SMEs о потенциальных выгодах и рисках, связанных с использованием технологии RFID. Особое внимание должно быть уделено аспектам информационной безопасности и конфиденциальности.

16. Государства-члены ЕС в сотрудничестве с отраслью, ассоциациями гражданского общества, Европейской комиссией и другими соответствующими заинтересованными лицами должны определить и привести примеры надлежащей практики имплементации приложений RFID для информирования и повышения осведомленности среди основного населения. Они также должны принять соответствующие меры, такие как крупномасштабные пилотные проекты, для того, чтобы повысить осведомленность населения о технологии RFID, ее преимуществах, рисках и последствиях использования в качестве предварительного условия для более широкого принятия этой технологии.

Исследование и разработка

17. Государства-члены ЕС должны сотрудничать с отраслью, соответствующими заинтересованными лицами гражданского общества и Европейской комиссией для стимулирования и поддержки внедрения принципа «проектируемой безопасности и конфиденциальности» на ранней стадии разработки приложений RFID.

Контроль исполнения

18. Государства-члены ЕС должны принять все необходимые меры по доведению данной Рекомендации до сведения всех заинтересованных лиц, которые участвуют в разработке и работе приложений RFID в рамках Сообщества.

19. Государства-члены ЕС должны информировать Европейскую комиссию не позднее 24 месяцев после опубликования данной Рекомендации в Официальном журнале Европейского Союза о действиях, принятых в ответ на данную Рекомендацию.

20. В течение трех лет с даты публикации настоящей Рекомендации в Официальном журнале Европейского Союза, Европейская комиссия представит отчет об имплементации настоящей Рекомендации, ее эффективности и влиянии на операторов и потребителей, в частности, в отношении мер, рекомендованных в пунктах 9 - 14.

Адресаты

21. Настоящая Рекомендация адресована государствам-членам ЕС.

Совершено в Брюсселе 12 мая 2009 г.

За Европейскую комиссию
Член Европейской комиссии
Viviane REDING

COMMISSION RECOMMENDATION № 2009/387/EC ON THE IMPLEMENTATION OF PRIVACY AND DATA PROTECTION PRINCIPLES IN APPLICATIONS SUPPORTED BY RADIO-FREQUENCY IDENTIFICATION

(Brussels, 12.V.2009)

(Notified under document number C(2009) 3200)

The Commission of the European Communities,

Having regard to the Treaty establishing the European Community, and in particular Article 211 thereof,

After consulting the European Data Protection Supervisor,

Whereas:

(1) Radio frequency identification (RFID) marks a new development in the information society where objects equipped with microelectronics that can process data automatically will increasingly become an integral part of every day life.

(2) RFID is progressively becoming more common, and hence a part of individuals' lives in a variety of domains such as logistics <*>, healthcare, public transport, the retail trade, in particular for improved product safety and faster product recalls, entertainment, work, road toll management, luggage management, and travel documents.

<*> COM (2007) 607 final.

(3) RFID technology has the potential to become a new motor for growth and jobs and thus make a powerful contribution to the Lisbon Strategy, as it holds great promise in economic terms, where it can bring about new business opportunities, cost reduction and increased efficiency, in particular in tackling counterfeiting and in managing e-waste, hazardous materials, and the recycling of products at their end of life.

(4) RFID technology enables the processing of data, including personal data, over short distances without physical contact or visible interaction between the reader or writer and the tag, such that this interaction can happen without the individual concerned being aware of it.

(5) RFID applications hold the potential to process data relating to an identified or identifiable natural person, a natural person being identified directly or indirectly. They can process personal data stored on the tag such as a person's name, birth date or address or biometric data or data connecting a specific RFID item number to personal data stored elsewhere in the system. Furthermore, the potential exists for this technology to be used to monitor individuals through their possession of one or more items that contain an RFID item number.

(6) Because of its potential to be both ubiquitous and practically invisible, particular attention to privacy and data protection issues is required in the deployment of RFID. Consequently, privacy and information security features should be built into RFID applications before their wide spread use (principle of «security and privacy-by-design»).

(7) RFID will only be able to deliver its numerous economic and societal benefits if effective measures are in place to safeguard personal data protection, privacy and the associated ethical principles that are central to the debate on public acceptance of RFID.

(8) Member States and stakeholders should, especially in this initial phase of RFID implementation, make further efforts to ensure that RFID applications are monitored and the rights and freedoms of individuals are respected.

(9) The Commission communication of 15 March 2007 «Radio frequency identification (RFID) in Europe: steps towards a policy framework» <*> announced that clarification and guidance would be provided on the data protection and privacy aspects of RFID applications through one or more Commission Recommendations.

<*> COM (2007) 96 final.

(10) The rights and obligations concerning the protection of personal data and the free movement of such data, as provided for by Directive 95/46/EC of the European Parliament and of the Council of 24 October 1995 on the protection of individuals with regard to the processing of personal data and on the free movement of such data <*> and Directive 2002/58/EC of the European Parliament and of the Council of 12 July 2002 concerning the processing of personal data and the protection of privacy in the electronic communications sector (Directive on privacy and electronic communications) <**> are fully applicable to the use of RFID applications that process personal data.

<*> OJ L 281, 23.11.1995, p. 31.

<**> OJ L 201, 31.7.2002, p. 37.

(11) The principles laid down in Directive 1999/5/EC of the European Parliament and of the Council of 9 March 1999 on radio equipment and telecommunications terminal equipment and the mutual recognition of their conformity <*> should be applied in the development of RFID applications.

<*> OJ L 91, 7.4.1999, p. 10.

(12) The Opinion of the European Data Protection Supervisor <*> provides guidance as to how to handle products that contain tags which are provided to individuals and calls for privacy and security impact assessments to identify and develop «best available techniques» to safeguard the privacy and security of RFID systems.

<*> OJ C 101, 23.4.2008, p. 1.

(13) RFID application operators should take all reasonable steps to ensure that data does not relate to an identified or identifiable natural person through any means likely to be used by either the RFID application operator or any other person, unless such data is processed in compliance with the applicable principles and legal rules on data protection.

(14) The Commission communication of 2 May 2007 «Promoting data protection by privacy enhancing technologies (PETs)» <*> sets out clear actions to achieve the goal of minimising the processing of personal data and using anonymous or pseudonymous data wherever possible by supporting the development of PETs and their use by data controllers and individuals.

<*> COM (2007) 228 final.

(15) The Commission communication of 31 May 2006 «A strategy for a secure information society — „Dialogue, partnership and empowerment“ <*> acknowledges that diversity, openness, interoperability, usability and competition are key drivers for a secure information society, highlights the role of Member States and public administrations in improving awareness and in promoting good security practices, and invites private-sector stake holders to take initiatives to work towards affordable security certification schemes for products, processes and services addressing EU-specific needs, in particular with respect to privacy.»

<*> COM (2006) 251 final.

(16) The Council Resolution of 22 March 2007 on a strategy for a secure information society in Europe <*> invites Member States to give due attention to the need to prevent and fight new and existing security threats to electronic communications networks.

<*> OJ C 68, 24.3.2007, p. 1.

(17) A framework developed at Community level for conducting privacy and data protection impact assessments will ensure that the provisions of this Recommendation are followed coherently across Member States. The development of such framework should build on existing practices and experiences gained in Member States, in third countries and in the work conducted by the European Network and Information Security Agency (ENISA) <*>.

<*> Article 2 (1) of Regulation (EC) No 460/2004 of the European Parliament and of the Council (OJ L 77, 13.3.2004, p. 1).

(18) The Commission will ensure the development of guidelines at Community level on information security management for RFID applications, building on existing practices and experiences gained in Member States and third countries. Member States should contribute to that process and encourage private entities and public authorities to participate.

(19) An assessment of the privacy and data protection impacts carried by the operator prior to the implementation of an RFID application will provide the information required for appropriate protective measures. Such measures will need to be monitored and reviewed throughout the lifetime of the RFID application.

(20) In the retail trade sector, an assessment of the privacy and data protection impacts of products containing tags which are sold to consumers should provide the necessary information to determine whether there is a likely threat to privacy or the protection of personal data.

(21) The use of international standards, such as those developed by the International Organisation for Standardisation (ISO), codes of conduct and best practices which are compliant with the EU regulatory framework can help to manage information security and privacy measures throughout the whole RFID-enabled business process.

(22) RFID applications with implications for the general public, such as electronic ticketing in public transport, require appropriate protective measures. RFID applications that affect individuals by processing, for example, biometric identification data or health-related data, are especially critical with regard to information security and privacy and therefore require specific attention.

(23) Society as a whole needs to be aware of the obligations and rights that are applicable in relation to the use of RFID applications. The parties that deploy the technology therefore have a responsibility to provide individuals with information on the use of these applications.

(24) Raising awareness among the public and small and medium-sized enterprises (SMEs) about the features and capabilities of RFID will help allow this technology to fulfil its economic promise while at the same time mitigating the risks of it being used to the detriment of the public interest, thus enhancing its acceptability.

(25) The Commission will contribute to the implementation of this Recommendation directly and indirectly by facilitating dialogue and cooperation among stakeholders, in particular through the Competitiveness and Innovation Framework Programme (CIP) established by Decision No 1639/2006/EC of the European Parliament and of the Council <*> and Seventh Framework Research Programme (FP7) established by Decision No 1982/2006/EC of the European Parliament and of the Council <**>.

<*> OJ L 310, 9.11.2006, p. 15.

<**> OJ L 412, 30.12.2006, p. 1.

(26) Research and development on low-cost privacy-enhancing technologies and information security technologies is essential at Community level to promote a wider take-up of these technologies under acceptable conditions.

(27) This Recommendation respects the fundamental rights and observes the principles recognised in particular by the Charter of Fundamental Rights of the European Union. In particular, this Recommendation seeks to ensure full respect for private and family life and the protection of personal data,

Hereby recommends:

Scope

1. This Recommendation provides guidance to Member States on the design and operation of RFID applications in a lawful, ethical and socially and politically acceptable way, respecting the right to privacy and ensuring protection of personal data.

2. This Recommendation provides guidance on measures to be taken for the deployment of RFID applications to ensure that national legislation implementing Directives 95/46/EC, 1999/5/EC and 2002/58/EC is, where applicable, respected when such applications are deployed.

Definitions

3. For the purposes of this Recommendation the definitions set out in Directive 95/46/EC should apply. The following definitions should also apply:

(a) «radio frequency identification (RFID)» means the use of electromagnetic radiating waves or reactive field coupling in the radio frequency portion of the spectrum to communicate to or from a tag through a variety of modulation and encoding schemes to uniquely read the identity of a radio frequency tag or other data stored on it;

(b) «RFID tag» or «tag» means either a RFID device having the ability to produce a radio signal or a RFID device which re-couples, back-scatters or reflects (depending on the type of device) and modulates a carrier signal received from a reader or writer;

(c) «RFID reader or writer» or «reader» means a fixed or mobile data capture and identification device using a radio frequency electromagnetic wave or reactive field coupling to stimulate and effect a modulated data response from a tag or group of tags;

(d) «RFID application» or «application» means an application that processes data through the use of tags and readers, and which is supported by a back-end system and a networked communication infrastructure;

(e) «RFID application operator» or «operator» means the natural or legal person, public authority, agency, or any other body, which, alone or jointly with others, determines the purposes and means of operating an application, including controllers of personal data using an RFID application;

(f) «information security» means preservation of the confidentiality, integrity and availability of information;

(g) «monitoring» means any activity carried out for the purpose of detecting, observing, copying or recording the location, movement, activities or state of an individual.

Privacy and data protection impact assessments

4. Member States should ensure that industry, in collaboration with relevant civil society stakeholders, develops a framework for privacy and data protection impact assessments. This framework should be submitted for endorsement to the Article 29 Data Protection Working Party within 12 months from the publication of this Recommendation in the Official Journal of the European Union.

5. Member States should ensure that operators, notwith standing their other obligations pursuant to Directive 95/46/EC:

(a) conduct an assessment of the implications of the application implementation for the protection of personal data and privacy, including whether the application could be used to monitor an individual. The level of detail of the assessment should be appropriate to the privacy risks possibly associated with the application;

(b) take appropriate technical and organisational measures to ensure the protection of personal data and privacy;

(c) designate a person or group of persons responsible for reviewing the assessments and the continued appropriateness of the technical and organisational measures to ensure the protection of personal data and privacy;

(d) make available the assessment to the competent authority at least six weeks before the deployment of the application;

(e) once the framework for privacy and data protection impact assessments as set out in point 4 is available, implement the above provisions in accordance with it.

Information security

6. Member States should support the Commission in identifying those applications that might raise information security threats with implications for the general public. For such applications, Member States should ensure that operators, together with national competent authorities and civil society organisations, develop new schemes, or apply existing schemes, such as certification or operator self-assessment, in order to demonstrate that an appropriate level of information security and protection of privacy is established in relation to the assessed risks.

Information and transparency on RFID use

7. Without prejudice to the obligations of data controllers, in accordance with Directives 95/46/EC and 2002/58/EC, Member States should ensure that operators develop and publish a concise, accurate and easy to understand information policy for each of their applications. The policy should at least include:

(a) the identity and address of the operators;

(b) the purpose of the application;

(c) what data are to be processed by the application, in particular if personal data will be processed, and whether the location of tags will be monitored;

(d) a summary of the privacy and data protection impact assessment;

(e) the likely privacy risks, if any, relating to the use of tags in the application and the measures that individuals can take to mitigate these risks.

8. Member States should ensure that operators take steps to inform individuals of the presence of readers on the basis of a common European sign, developed by European standardisation organisations, with the support of concerned stakeholders. The sign should include the identity of the operator and a point of contact for individuals to obtain the information policy for the application.

RFID applications used in the retail trade

9. On the basis of a common European sign, developed by European standardisation organisations, with the support of concerned stakeholders, operators should inform individuals of the presence of tags that are placed on or embedded in products.

10. When conducting the privacy and data protection impact assessment as referred to in points 4 and 5, the operator of an application should specifically determine whether tags placed on or embedded in products sold to consumers through retailers who are not operators of that application represent a likely threat to privacy or the protection of personal data.

11. Retailers should deactivate or remove at the point of sale tags used in their application unless consumers, after being informed of the policy referred to in point 7, give their consent to keep tags operational. Deactivation of the tags should be understood as any process that stops those interactions of a tag with its environment which do not require the active involvement of the consumer. Deactivation or removal of tags by the retailer should be done immediately and free of charge for the consumer. Consumers should be able to verify that the deactivation or removal is effective.

12. Point 11 should not apply if the privacy and data protection impact assessment concludes that tags that are used in a retail application and would remain operational after the point of sale do not represent a likely threat to privacy or the protection of personal data. Nevertheless, retailers should make available free of charge an easy means to, immediately or at a later stage, deactivate or remove these tags.

13. Deactivation or removal of tags should not entail any reduction or termination of the legal obligations of the retailer or manufacturer towards the consumer.

14. Points 11 and 12 should apply only to retailers that are operators.

Awareness raising actions

15. Members States, in collaboration with industry, the Commission and other stakeholders, should take appropriate measures to inform and raise awareness among public authorities and companies, in particular SMEs, of the potential benefits and risks associated with the use of RFID technology. Specific attention should be given to information security and privacy aspects.

16. Member States, in collaboration with industry, civil society associations, the Commission and other relevant stakeholders, should identify and provide examples of good practice in the implementation of RFID applications to inform and raise awareness among the general public. They should also take appropriate measures, such as large-scale pilot projects, to increase public awareness of RFID technology, its benefits, risks and implications of use, as a prerequisite for wider take-up of this technology.

Research and development

17. Member States should cooperate with industry, relevant civil society stakeholders and the Commission to stimulate and support the introduction of the «security and privacy by design» principle at an early stage in the development of RFID applications.

Follow-up

18. Member States should take all necessary measures to bring this Recommendation to the attention of all stakeholders which are involved in the design and operation of RFID applications within the Community.

19. Member States should inform the Commission at the latest 24 months following the publication of this Recommendation in the Official Journal of the European Union of action taken in response to this Recommendation.

20. Within three years from the publication of this Recommendation in the Official Journal of the European Union, the Commission will provide a report on the implementation of this Recommendation, its effectiveness and its impact on operators and consumers, in particular as regards the measures recommended in points 9 to 14.

Addressees

21. This Recommendation is addressed to the Member States.

Done at Brussels, 12 May 2009.

For the Commission
Member of the Commission
Viviane REDING