# Официален вестник L 236/2020

| | ISSN 1977-0618 |
| --- | --- |
| Официален вестник
  на Европейския съюз | L 236 |
| | |
| Издание на български език | Законодателство | Година 6322 юли 2020 г. |

ISSN 1977-0618

Официален вестник

на Европейския съюз

L 236

Издание на български език

Законодателство

Година 6322 юли 2020 г.

---

| Съдържание | | II   Незаконодателни актове | Страница |
| --- | --- | --- | --- |
| | | ВЪТРЕШНИ И ПРОЦЕДУРНИ ПРАВИЛНИЦИ |
| | * | Решение на Европейския инвестиционен фонд от 4 юни 2020 година относно вътрешните правила за ограниченията на някои права на субектите на данни във връзка с обработването на лични данни в рамките на дейности, извършвани от Европейския инвестиционен фонд | 1 |
| | * | Решение No 1/2020 на Управителния съвет на съвместното предприятие Shift2Rail от 27 март 2020 година за определяне на вътрешни правила относно ограниченията на определени права на субекти на данни във връзка с обработването на лични данни в рамките на функционирането на СП S2R | 7 |

Съдържание

II   Незаконодателни актове

Страница

ВЪТРЕШНИ И ПРОЦЕДУРНИ ПРАВИЛНИЦИ

*

Решение на Европейския инвестиционен фонд от 4 юни 2020 година относно вътрешните правила за ограниченията на някои права на субектите на данни във връзка с обработването на лични данни в рамките на дейности, извършвани от Европейския инвестиционен фонд

1

*

Решение No 1/2020 на Управителния съвет на съвместното предприятие Shift2Rail от 27 март 2020 година за определяне на вътрешни правила относно ограниченията на определени права на субекти на данни във връзка с обработването на лични данни в рамките на функционирането на СП S2R

7

| BG | Актовете, чиито заглавия се отпечатват с нормален шрифт, са актове по текущо управление на селскостопанската политика и имат кратък срок на действие.
  Заглавията на всички останали актове се отпечатват с удебелен шрифт и се предшестват от звезда. |
| --- | --- |

BG

Актовете, чиито заглавия се отпечатват с нормален шрифт, са актове по текущо управление на селскостопанската политика и имат кратък срок на действие.

Заглавията на всички останали актове се отпечатват с удебелен шрифт и се предшестват от звезда.

---

II Незаконодателни актове

ВЪТРЕШНИ И ПРОЦЕДУРНИ ПРАВИЛНИЦИ

| 22.7.2020 | BG | Официален вестник на Европейския съюз | L 236/1 |
| --- | --- | --- | --- |

22.7.2020

BG

Официален вестник на Европейския съюз

L 236/1

---

РЕШЕНИЕ НА ЕВРОПЕЙСКИЯ ИНВЕСТИЦИОНЕН ФОНД

от 4 юни 2020 година

относно вътрешните правила за ограниченията на някои права на субектите на данни във връзка с обработването на лични данни в рамките на дейности, извършвани от Европейския инвестиционен фонд

ЕВРОПЕЙСКИЯТ ИНВЕСТИЦИОНЕН ФОНД (ЕИФ),

като взе предвид Договора за функционирането на Европейския съюз,

като взе предвид Регламент (ЕС) 2018/1725 на Европейския парламент и на Съвета от 23 октомври 2018 година относно защитата на физическите лица във връзка с обработването на лични данни от институциите, органите, службите и агенциите на Съюза и относно свободното движение на такива данни и за отмяна на Регламент (ЕО) No 45/2001 и Решение No 1247/2002/ЕО (1) (наричан по-долу „Регламентът“), и по-специално член 25 от него,

като взе предвид становището (2) на Европейския надзорен орган за защита на данните (ЕНОЗД),

като има предвид, че:

| (1) | В контекста на неговите функции, Отделът по съответствие на ЕИФ може да провежда административни разследвания въз основа на Кодекса за поведение на служителите на Групата на ЕИБ, който включва обработване на информация, включително и лични данни. |
| --- | --- |

(1)

В контекста на неговите функции, Отделът по съответствие на ЕИФ може да провежда административни разследвания въз основа на Кодекса за поведение на служителите на Групата на ЕИБ, който включва обработване на информация, включително и лични данни.

| (2) | Длъжностното лице за защита на данните на ЕИФ може, по своя собствена инициатива или по искане на администратора или на което и да е лице, да разследва въпроси и събития, пряко свързани с неговите задачи, които са му известни и да докладва на лицето, което е възложило разследването или на администратора, съгласно член 45, параграф 2 от регламента. |
| --- | --- |

(2)

Длъжностното лице за защита на данните на ЕИФ може, по своя собствена инициатива или по искане на администратора или на което и да е лице, да разследва въпроси и събития, пряко свързани с неговите задачи, които са му известни и да докладва на лицето, което е възложило разследването или на администратора, съгласно член 45, параграф 2 от регламента.

| (3) | В контекста на неговите функции, Отделът по управление на човешки ресурси може да провежда дисциплинарни производства въз основа на Раздел 6 от Правилника за длъжностните лица на ЕИФ, Дял IV от Политика относно защитата на достойнството на работното място и приложимите етични правила на ЕИФ. |
| --- | --- |

(3)

В контекста на неговите функции, Отделът по управление на човешки ресурси може да провежда дисциплинарни производства въз основа на Раздел 6 от Правилника за длъжностните лица на ЕИФ, Дял IV от Политика относно защитата на достойнството на работното място и приложимите етични правила на ЕИФ.

| (4) | Членовете на Съвета на директорите на ЕИФ, изпълнителният директор и заместник изпълнителният директор, както и служителите и свързаните с дейността/операциите лица са длъжни да докладват на Отдела за разследване на измами на ЕИБ („ГИ/РИ“) всяко евентуално забранено поведение, (напр. измама или корупция), които накърняват интересите на ЕИФ и на Съюза, или да докладват на други компетентни служби, във връзка с изпълнението на служебни задължения, което може да породи сериозни пропуски при осъществяване на възложените отговорности. Наред с това, всеки член на обществото, физическо лице или юридическо лице може да съобщи твърдения за забранено поведение пред ГИ/РИ. |
| --- | --- |

(4)

Членовете на Съвета на директорите на ЕИФ, изпълнителният директор и заместник изпълнителният директор, както и служителите и свързаните с дейността/операциите лица са длъжни да докладват на Отдела за разследване на измами на ЕИБ („ГИ/РИ“) всяко евентуално забранено поведение, (напр. измама или корупция), които накърняват интересите на ЕИФ и на Съюза, или да докладват на други компетентни служби, във връзка с изпълнението на служебни задължения, което може да породи сериозни пропуски при осъществяване на възложените отговорности. Наред с това, всеки член на обществото, физическо лице или юридическо лице може да съобщи твърдения за забранено поведение пред ГИ/РИ.

| (5) | Разследванията за забранено поведение, съгласно политиката срещу измамите на ЕИФ, се провеждат от ГИ/РИ, в качеството му на обработващ данни, в съответствие с рамковото споразумение между ЕИФ и ЕИБ във връзка с предоставянето на услуги. |
| --- | --- |

(5)

Разследванията за забранено поведение, съгласно политиката срещу измамите на ЕИФ, се провеждат от ГИ/РИ, в качеството му на обработващ данни, в съответствие с рамковото споразумение между ЕИФ и ЕИБ във връзка с предоставянето на услуги.

| (6) | ЕИФ извършва одити на своите дейности. Към момента това се извършва от отдел „Вътрешен одит“ на ЕИБ, в съответствие с рамковото споразумение между ЕИФ и ЕИБ във връзка с предоставянето на услуги. |
| --- | --- |

(6)

ЕИФ извършва одити на своите дейности. Към момента това се извършва от отдел „Вътрешен одит“ на ЕИБ, в съответствие с рамковото споразумение между ЕИФ и ЕИБ във връзка с предоставянето на услуги.

| (7) | В контекста на задачите, описани в съображения 1 — 6, ЕИФ може да предоставя и получава помощ и съдействие на и от други институции, органи, служби и агенции на Съюза, както е посочено в съответните споразумения за нивото на обслужване, меморандуми за разбирателство и споразумения за сътрудничество. |
| --- | --- |

(7)

В контекста на задачите, описани в съображения 1 — 6, ЕИФ може да предоставя и получава помощ и съдействие на и от други институции, органи, служби и агенции на Съюза, както е посочено в съответните споразумения за нивото на обслужване, меморандуми за разбирателство и споразумения за сътрудничество.

| (8) | ЕИФ може да предоставя и получава помощ и съдействие на и от публични органи на държави членки на ЕС по тяхно искане или по собствена инициатива. |
| --- | --- |

(8)

ЕИФ може да предоставя и получава помощ и съдействие на и от публични органи на държави членки на ЕС по тяхно искане или по собствена инициатива.

| (9) | ЕИФ може да предоставя и получава помощ и съдействие на и от национални органи на трети държави и международни организации по тяхно искане или по собствена инициатива. |
| --- | --- |

(9)

ЕИФ може да предоставя и получава помощ и съдействие на и от национални органи на трети държави и международни организации по тяхно искане или по собствена инициатива.

| (10) | В контекста на горепосочените дейности, ЕИФ, в качеството му на администратор на данни или всеки от деловите партньори на ЕИФ, посочен в съображението по-горе, включително Отдела за разследване на измами на ЕИФ, в качеството му на обработващ данни или всяка друга компетентна служба, може да събира и обработва информация и лични данни, включително данни за самоличността на физическо лице, информация за връзка, професионални функции и задачи, информация за поведението в личния и професионалния живот и за трудовото изпълнение, както и финансови данни. |
| --- | --- |

(10)

В контекста на горепосочените дейности, ЕИФ, в качеството му на администратор на данни или всеки от деловите партньори на ЕИФ, посочен в съображението по-горе, включително Отдела за разследване на измами на ЕИФ, в качеството му на обработващ данни или всяка друга компетентна служба, може да събира и обработва информация и лични данни, включително данни за самоличността на физическо лице, информация за връзка, професионални функции и задачи, информация за поведението в личния и професионалния живот и за трудовото изпълнение, както и финансови данни.

| (11) | Въведени са подходящи предпазни мерки за защита на личните данни и за предотвратяване на достъпа до тях или прехвърлянето им по незаконен начин, както ако се съхраняват на склад в електронна среда, така и в електронна среда. След обработка, данните се запазват в съответствие с приложимите правила за запазване на данните на ЕИФ, както са определени в протоколите за защита на данните въз основа на член 31 от регламента. В края на срока за съхранение, свързаната със случая информация, включително и лични данни, в съответствие с принципите на европейските регламенти за защита на данните и свързаните нормативни актове или политиките на ЕИФ, се изтрива, анонимизира напълно или се прехвърля в историческия архив. |
| --- | --- |

(11)

Въведени са подходящи предпазни мерки за защита на личните данни и за предотвратяване на достъпа до тях или прехвърлянето им по незаконен начин, както ако се съхраняват на склад в електронна среда, така и в електронна среда. След обработка, данните се запазват в съответствие с приложимите правила за запазване на данните на ЕИФ, както са определени в протоколите за защита на данните въз основа на член 31 от регламента. В края на срока за съхранение, свързаната със случая информация, включително и лични данни, в съответствие с принципите на европейските регламенти за защита на данните и свързаните нормативни актове или политиките на ЕИФ, се изтрива, анонимизира напълно или се прехвърля в историческия архив.

| (12) | В този контекст, ЕИФ се ангажира да изпълни задължението си да предоставя информация на субектите на данни във връзка с горепосочените дейности по обработване и да зачита правата на субектите на данни, както е посочено в регламента. |
| --- | --- |

(12)

В този контекст, ЕИФ се ангажира да изпълни задължението си да предоставя информация на субектите на данни във връзка с горепосочените дейности по обработване и да зачита правата на субектите на данни, както е посочено в регламента.

| (13) | Може да е необходимо да се съгласуват правата на субектите на данни съгласно регламента с нуждите на горепосочените дейности, като същевременно се зачитат изцяло основните права и свободи на други субекти на данни. За тази цел член 25 от Регламента предвижда, при строго определени условия, възможността за ограничаване на прилагането на членове 14 — 20, 35 и 36, както и на член 4, доколкото неговите разпоредби съответстват на правата и задълженията, предвидени в членове 14—20. В този случай е необходимо да се приемат вътрешни правила, съгласно които ЕИФ може да ограничава гореспоменатите права на субектите на данни в съответствие със същия член от регламента. |
| --- | --- |

(13)

Може да е необходимо да се съгласуват правата на субектите на данни съгласно регламента с нуждите на горепосочените дейности, като същевременно се зачитат изцяло основните права и свободи на други субекти на данни. За тази цел член 25 от Регламента предвижда, при строго определени условия, възможността за ограничаване на прилагането на членове 14 — 20, 35 и 36, както и на член 4, доколкото неговите разпоредби съответстват на правата и задълженията, предвидени в членове 14—20. В този случай е необходимо да се приемат вътрешни правила, съгласно които ЕИФ може да ограничава гореспоменатите права на субектите на данни в съответствие със същия член от регламента.

| (14) | Такъв може да е по-специално случаят, когато се предоставя информация относно обработването на лични данни на субекта на данните по време на фазата на предварителна оценка от административно разследване или по време на самото разследване, преди евентуално прекратяване на делото или предварителен етап от разследването. При определени обстоятелства предоставянето на такава информация може сериозно да засегне способността на ЕИФ да провежда разследването по ефективен начин, винаги когато, например, има риск засегнатото лице да унищожи доказателства или да окаже въздействие върху потенциални свидетели, преди да бъдат снети показанията им. Освен това, ЕИФ може да се нуждае да защити правата и свободите на други засегнати лица. По-конкретно, може да е необходимо да се защити свидетел или подало сигнал лице, което е поискало да не бъде разкривана самоличността му. В такъв случай ЕИФ може да реши да ограничи достъпа до самоличността, изявленията и други данни, свързани с лицата, които подават сигнали за нередности, и/или други засегнати лица, с цел да се защитят техните права и свободи. |
| --- | --- |

(14)

Такъв може да е по-специално случаят, когато се предоставя информация относно обработването на лични данни на субекта на данните по време на фазата на предварителна оценка от административно разследване или по време на самото разследване, преди евентуално прекратяване на делото или предварителен етап от разследването. При определени обстоятелства предоставянето на такава информация може сериозно да засегне способността на ЕИФ да провежда разследването по ефективен начин, винаги когато, например, има риск засегнатото лице да унищожи доказателства или да окаже въздействие върху потенциални свидетели, преди да бъдат снети показанията им. Освен това, ЕИФ може да се нуждае да защити правата и свободите на други засегнати лица. По-конкретно, може да е необходимо да се защити свидетел или подало сигнал лице, което е поискало да не бъде разкривана самоличността му. В такъв случай ЕИФ може да реши да ограничи достъпа до самоличността, изявленията и други данни, свързани с лицата, които подават сигнали за нередности, и/или други засегнати лица, с цел да се защитят техните права и свободи.

| (15) | При предоставяне или получаване на помощ и съдействие на и от други институции, органи, бюра и агенции на Съюза, публични органи на държави — членки на ЕС, национални органи на трети държави и международни организации в контекста на гореспоменатите дейности, ЕИФ, при някои обстоятелства и при спазване на минималното ниво на защита на данните, изисквано от ЕНОЗД, може да има нужда да запази ефективността на своите разследвания или на такива, извършвани от юридическото лице, с което си сътрудничи и да защити, според необходимостта, засегнати лица и техните права и свободи. |
| --- | --- |

(15)

При предоставяне или получаване на помощ и съдействие на и от други институции, органи, бюра и агенции на Съюза, публични органи на държави — членки на ЕС, национални органи на трети държави и международни организации в контекста на гореспоменатите дейности, ЕИФ, при някои обстоятелства и при спазване на минималното ниво на защита на данните, изисквано от ЕНОЗД, може да има нужда да запази ефективността на своите разследвания или на такива, извършвани от юридическото лице, с което си сътрудничи и да защити, според необходимостта, засегнати лица и техните права и свободи.

| (16) | ЕИФ прилага ограничения само когато те зачитат основното съдържание на основните права и свободи и са строго необходими и пропорционални мерки в едно демократично общество. ЕИФ представя обосновки, обясняващи основанията за тези ограничения. |
| --- | --- |

(16)

ЕИФ прилага ограничения само когато те зачитат основното съдържание на основните права и свободи и са строго необходими и пропорционални мерки в едно демократично общество. ЕИФ представя обосновки, обясняващи основанията за тези ограничения.

| (17) | Въз основа на принципа на отчетност, ЕИФ води регистър на прилаганите ограничения. |
| --- | --- |

(17)

Въз основа на принципа на отчетност, ЕИФ води регистър на прилаганите ограничения.

| (18) | При обработването на лични данни, обменяни с други организации в контекста на неговите задачи, ЕИФ се консултира с и получава консултации от тях относно възможните съответни основания за налагане на ограничения и необходимостта и пропорционалността на ограниченията, освен ако това не застрашава дейностите на ЕИФ. |
| --- | --- |

(18)

При обработването на лични данни, обменяни с други организации в контекста на неговите задачи, ЕИФ се консултира с и получава консултации от тях относно възможните съответни основания за налагане на ограничения и необходимостта и пропорционалността на ограниченията, освен ако това не застрашава дейностите на ЕИФ.

| (19) | Член 25, параграф 6 от Регламента задължава администратора да информира субектите на данни за основните причини, на които се основава прилагането на ограничението, както и за правото им да подадат жалба до ЕНОЗД. |
| --- | --- |

(19)

Член 25, параграф 6 от Регламента задължава администратора да информира субектите на данни за основните причини, на които се основава прилагането на ограничението, както и за правото им да подадат жалба до ЕНОЗД.

| (20) | Съгласно член 25, параграф 8 от Регламента, ЕИФ може да отложи, да пропусне или да откаже предоставянето на информация относно причините за прилагането на ограничение за субекта на данните, ако това по някакъв начин би премахнало ефекта от ограничението. ЕИФ преценява във всеки отделен случай дали съобщаването на ограничението би обезсилило неговото въздействие. |
| --- | --- |

(20)

Съгласно член 25, параграф 8 от Регламента, ЕИФ може да отложи, да пропусне или да откаже предоставянето на информация относно причините за прилагането на ограничение за субекта на данните, ако това по някакъв начин би премахнало ефекта от ограничението. ЕИФ преценява във всеки отделен случай дали съобщаването на ограничението би обезсилило неговото въздействие.

| (21) | ДЛЗД може да прави независим преглед на прилагането на ограниченията с оглед гарантиране на спазването на настоящото решение, |
| --- | --- |

(21)

ДЛЗД може да прави независим преглед на прилагането на ограниченията с оглед гарантиране на спазването на настоящото решение,

ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:

Член 1

Предмет и приложно поле

С настоящото решение се определят правила относно условията, при които ЕИФ може да ограничава прилагането на членове 14—20, 35 и 36, както и член 4 от него въз основа на член 25 от регламента.

Член 2

Ограничения

1.   Съгласно член 25, параграф 1 от Регламента, като изрично преценява всеки отделен случай, ЕИФ може да ограничи прилагането на членове 14 до 20, 35 и 36, както и на член 4, при положение, че неговите разпоредби са в съответствие с правата и задълженията, предвидени в членове 14 до 20, когато:

| а) | провежда административни разследвания въз основа на Кодекса за поведение на служителите на Групата на ЕИБ и други приложими кодекси за поведение; |
| --- | --- |

а)

провежда административни разследвания въз основа на Кодекса за поведение на служителите на Групата на ЕИБ и други приложими кодекси за поведение;

| б) | провежда разследвания, свързани с въпроси и събития, пряко свързани със задачите на ДЛЗД, съгласно член 45, параграф 2 от регламента; |
| --- | --- |

б)

провежда разследвания, свързани с въпроси и събития, пряко свързани със задачите на ДЛЗД, съгласно член 45, параграф 2 от регламента;

| в) | провежда дисциплинарно производство на основание член 6 от Правилника за персонала на ЕИФ, дял IV от Политиката относно защитата на достойнството на работното място, Кодекса за поведение на служителите на Групата на ЕИБ и други приложими кодекси за поведение на ЕИФ; |
| --- | --- |

в)

провежда дисциплинарно производство на основание член 6 от Правилника за персонала на ЕИФ, дял IV от Политиката относно защитата на достойнството на работното място, Кодекса за поведение на служителите на Групата на ЕИБ и други приложими кодекси за поведение на ЕИФ;

| г) | гарантира, че служителите на ЕИФ могат поверително да докладват факти, когато смятат, че има сериозни нередности, уредени от политиката на Групата на ЕИБ за подаване на сигнали за нередности; |
| --- | --- |

г)

гарантира, че служителите на ЕИФ могат поверително да докладват факти, когато смятат, че има сериозни нередности, уредени от политиката на Групата на ЕИБ за подаване на сигнали за нередности;

| д) | гарантира, че служители на ЕИФ могат поверително да докладват за факти, които считат за подозрения за забранено поведение, включително измама или корупция, увреждащи интересите на Съюза или за поведение, свързано с изпълнението на служебни задължения, което може да представлява сериозно нарушение на задълженията на служители на ЕИФ, уредени от политиката на Групата на ЕИБ за подаване на сигнали за нередности, Политиката на ЕИФ за борба с измамите и съответните кодекси за поведение на ЕИФ; |
| --- | --- |

д)

гарантира, че служители на ЕИФ могат поверително да докладват за факти, които считат за подозрения за забранено поведение, включително измама или корупция, увреждащи интересите на Съюза или за поведение, свързано с изпълнението на служебни задължения, което може да представлява сериозно нарушение на задълженията на служители на ЕИФ, уредени от политиката на Групата на ЕИБ за подаване на сигнали за нередности, Политиката на ЕИФ за борба с измамите и съответните кодекси за поведение на ЕИФ;

| е) | провежда разследване на забранено поведение съгласно Политиката за борба с измамите на ЕИФ; |
| --- | --- |

е)

провежда разследване на забранено поведение съгласно Политиката за борба с измамите на ЕИФ;

| ж) | извършва вътрешни одити във връзка с всички дейности и отдели на ЕИФ; |
| --- | --- |

ж)

извършва вътрешни одити във връзка с всички дейности и отдели на ЕИФ;

| з) | предоставя или получава помощ и съдействие на и от други институции, органи, бюра и агенции на Съюза в контекста на горепосочените дейности, както е посочено в съответните споразумения за нивото на обслужване, меморандуми за разбирателство и споразумения за сътрудничество; |
| --- | --- |

з)

предоставя или получава помощ и съдействие на и от други институции, органи, бюра и агенции на Съюза в контекста на горепосочените дейности, както е посочено в съответните споразумения за нивото на обслужване, меморандуми за разбирателство и споразумения за сътрудничество;

| и) | предоставя и получава помощ и съдействие на и от публични органи на държави членки на ЕС по тяхно искане или по собствена инициатива; |
| --- | --- |

и)

предоставя и получава помощ и съдействие на и от публични органи на държави членки на ЕС по тяхно искане или по собствена инициатива;

| й) | предоставя или получава помощ и съдействие на и от национални органи на трети държави и международни организации по тяхно искане или по собствена инициатива. |
| --- | --- |

й)

предоставя или получава помощ и съдействие на и от национални органи на трети държави и международни организации по тяхно искане или по собствена инициатива.

2.   Категориите данни могат да включват лични данни, данни за самоличността на физическо лице, информация за връзка, професионални функции и задачи, информация за поведението в личния и професионалния живот и за трудовото изпълнение, както и финансови данни.

3.   Прилагането на посочените по-горе ограничения не засяга възможното прилагане на разпоредбите на член 16, параграф 5 и член 17, параграф 4 от Регламента, отнасящи се съответно до правото на информация, когато данните не са получени от субекта на данните, както и правото на достъп на субекта на данните.

4.   Всички ограничения зачитат основното съдържание на основните права и свободи и са необходими и пропорционални в едно демократично общество по смисъла на регламента, съответните нормативни актове или вътрешните политики на ЕИФ или Групата на ЕИБ.

5.   Всяко ограничение се основава на изрично разрешение в действаща вътрешна политика или процедура на ЕИФ и засяга в най-малка степен правата на субекта(-те) на данни, както е потвърдено от ДЛЗД.

6.   За всеки отделен случай се извършва проверка на необходимостта и пропорционалността и на удовлетвореността на длъжностното лице за защита на данните (ДЛЗД), преди да се прилагат ограниченията. Ограниченията се свеждат до строго необходимото за постигане на поставените цели. Ограниченията се установяват само за времето, което е от значение съгласно параграф 1, което се нарича „мотивиране на ограничението“, както се изисква от ДЛЗД.

7.   Когато ГИ/РИ ограничи, частично или изцяло, предоставянето на информация на субекти на данни, свързани с разследване (засегнато лице, свидетел или информатор), основанията за ограничението се записват, включително с оценка на необходимостта за това и съразмерността на ограничението. В този смисъл, записът посочва по какъв начин предоставянето на информация би застрашило целта на разследващите действия на ГИ/РИ или на ограниченията по член 2, параграф 1, букви е), ж) и з) на настоящото решение, или би увредило правата и свободите на други субекти на данни. Записът и оправдателните документи с фактически и правни аспекти, според случая, се завеждат в регистър. При поискване, те се предоставят на Европейския надзорен орган за защита на данните (ЕНОЗД).

8.   За целите на отчетността, ЕИФ представя отчет, в който се описват причините за приложените ограничения, които са сред изброените в параграф 1, и резултатите от проверката за необходимост и пропорционалност. Тези записи са част от временен регистър, който при поискване се предоставя на ЕНОЗД.

9.   При обработването на лични данни, обменяни с други организации в контекста на неговите задачи, ЕИФ се консултира с и получава консултации от тях относно възможните съответни основания за налагане на ограничения и необходимостта и пропорционалността на ограниченията, освен ако това не застрашава дейностите на ЕИФ.

Член 3

Рискове за правата и свободите на субектите на данни

Оценката на рисковете за правата и свободите на субектите на данни, чиито лични данни могат да бъдат обект на ограничения, както и техният срок на съхранение, са посочени в записа за съответните дейности по обработване в съответствие с член 31 от регламента и, ако е приложимо, в съответните оценки на въздействието върху защитата на данните въз основа на член 39 от регламента.

Член 4

Срокове за съхранение и предпазни мерки

ЕИФ прилага предпазни мерки за предотвратяване на злоупотреби или незаконен достъп или предаване на лични данни, които могат да бъдат обект на ограничения. Тези гаранции включват технически и организационни мерки и, при необходимост, подробни във вътрешните решения, процедури и правила за прилагане на ЕИФ. Гаранциите включват:

| 1. | адекватно определяне на ролите, отговорностите и процедурните стъпки; |
| --- | --- |

1.

адекватно определяне на ролите, отговорностите и процедурните стъпки;

| 2. | ако е приложимо, сигурна електронна среда, която предотвратява незаконен или случаен достъп или прехвърляне на електронни данни на лица, които нямат разрешение за това; |
| --- | --- |

2.

ако е приложимо, сигурна електронна среда, която предотвратява незаконен или случаен достъп или прехвърляне на електронни данни на лица, които нямат разрешение за това;

| 3. | ако е приложимо, сигурно съхранение и обработка на документи на хартиен носител; |
| --- | --- |

3.

ако е приложимо, сигурно съхранение и обработка на документи на хартиен носител;

| 4. | надлежно наблюдение на ограниченията и периодично преразглеждане от страна на ДЛЗД, което се извършва най-малко на всеки шест месеца. Преразглеждане трябва също така да се извършва, когато съществени елементи на случая се променят. Ограниченията се премахват веднага щом обстоятелствата, които ги обосновават, престанат да се прилагат. |
| --- | --- |

4.

надлежно наблюдение на ограниченията и периодично преразглеждане от страна на ДЛЗД, което се извършва най-малко на всеки шест месеца. Преразглеждане трябва също така да се извършва, когато съществени елементи на случая се променят. Ограниченията се премахват веднага щом обстоятелствата, които ги обосновават, престанат да се прилагат.

Член 5

Информация и преглед от длъжностното лице по защита на данните

1.   ДЛЗД се информира без ненужно забавяне винаги, когато правата на субекти на данни са ограничени в съответствие с настоящото решение и му се предоставя пълен и неограничен достъп до всички данни и документи, съдържащи основните фактологични и правни елементи, които са от значение за решението за ограничаване и за наблюдението върху поддържането на ограничението.

2.   ДЛЗД може да поиска преразглеждане на прилагането на ограничението.

3.   Ако в хода на собствените си разследвания ДЛЗД прилага ограничения, длъжностното лице за защита на данните ще информира администратора без ненужно забавяне.

4.   Участието на ДЛЗД в процеса на ограничаване, включително обмен на информация, се документира в подходяща форма и се включва в съответните записи и регистри.

5.   В контекста на разследвания за забранено поведение, отделът на ЕИБ за разследване на измами ще се консултира с ДЛЗД преди да се позове на определени основания за налагане на ограничения, посочени в член 25 от Регламента, които визират операции за обработване на данни като част от неговите задачи, предвидени в политиката на ЕИФ за борба с измамите, в Хартата на отдела за разследване на измами и в процедурите за разследване.

Член 6

Информация, предоставяна на субектите на данни относно ограниченията на техните права

1.   ЕИФ включва в обявленията за защита на данните, публикувани на неговия уебсайт, обща информация за субектите на данни, свързани с потенциалните ограничения на правата на всички субекти на данни, описани в член 2, параграф 1. Информацията обхваща правата, които могат да бъдат ограничени.

2.   ЕИФ информира поотделно субектите на данни относно настоящи или бъдещи ограничения на техните права без необосновано забавяне и в писмена форма, както е уточнено допълнително в членове 7, 8 и 9.

Член 7

Право на информация, която се предоставя на субектите на данни и на съобщения за нарушения на сигурността на данните

1.   Когато в контекста на действията, предвидени в настоящия Правилник за дейността, ЕИФ ограничи изцяло или частично правата на субектите на данни, уредени в членове 14 до 16 и 35 от Регламента, субектите на данни се уведомяват за основните причини, породили основания за ограниченията, за правото им да подадат жалба пред ЕНОЗД, както и да потърсят съдебна защита пред Съда на Европейския съюз. Това ограничение следва установените правила и процеса, описани в настоящия правилник за дейността.

2.   ЕИФ може да отложи, да пропусне или да откаже предоставянето на информация относно причините за ограничението, посочено в параграф 1, до такава степен и за толкова време, колкото би застрашило целта на ограничението. Тази оценка се извършва за всеки отделен случай. Всяко подобно отлагане или отказ трябва да бъде надлежно обосновани по удовлетворителен за ДЛЗД начин и да бъдат включени в съответните записи и регистри. За да се избегнат съмнения, засегнатите субекти на данни се информират за правата им да подадат жалба до ЕНОЗД, както и за търсене на защита по съдебен ред пред Съда на Европейския съюз срещу решението да бъде отложено или да им се откаже предоставянето на информацията, посочена в параграф 1 по-горе.

Член 8

Право на субектите на данни на достъп, коригиране, заличаване и ограничаване на обработването

1.   Когато в контекста на дейностите, посочени в настоящото решение, ЕИФ ограничава изцяло или частично правото на достъп до лични данни, правото на коригиране, заличаване и ограничаване на обработването, както е посочено съответно в членове 17—20 от регламента, в отговора си на искането той информира субекта на данните за основните причини, на които се основава прилагането на ограничението, както и за възможността за подаване на жалба пред Европейския надзорен орган по защита на данните или за търсене на защита по съдебен ред пред Съда на Европейския съюз.

2.   Когато правото на достъп е изцяло или частично ограничено, при разследване на искането ЕИФ информира субекта на данните само за това дали данните са били обработени правилно, и ако това не е така — дали са направени необходимите корекции в съответствие с член 25, параграф 7 от регламента.

3.   ЕИФ може да отложи, да пропусне или да откаже предоставянето на информация относно причините за ограничението, посочено в параграф 1 и 2, до такава степен и за толкова време, колкото би застрашило целта на ограничението. Тази оценка се извършва за всеки отделен случай и следва установените правила и процеса, описани в настоящото решение.

Член 9

Поверителност на електронната комуникация

1.   При извънредни обстоятелства и в съответствие с разпоредбите и обосновката на Директива 2002/58/ЕО на Европейския парламент и на Съвета (3), ЕИФ може да ограничи правото на поверителност на електронните съобщения, както е посочено в член 36 от Регламента. В този случай ЕИФ представя подробно обстоятелствата, основанията, съответните рискове и свързаните с тях гаранции в конкретни вътрешни правила.

2.   Когато ЕИФ ограничава правото на поверителност на електронните съобщения, той информира в отговора на искането съответния субект на данни за основните причини, на които се основава прилагането на ограничението, както и за възможността за подаване на жалба пред ЕНОЗД или за търсене на защита по съдебен ред пред Съда на Европейския съюз.

3.   ЕИФ може да отложи, да пропусне или да откаже предоставянето на информация относно причините за ограничението, посочено в параграфи 1 и 2, доколкото това би премахнало ефекта от ограничението. Тази оценка се извършва за всеки отделен случай.

Член 10

Влизане в сила

Настоящото решение и всички изменения в него се одобряват от Съвета на директорите на ЕИФ и влиза в сила на двадесетия ден след публикуването му в Официален вестник на Европейския съюз.

Официален вестник на Европейския съюз.

Съставено в Люксембург на 4 юни 2020 година

---

(1)  
  ОВ L 295, 21.11.2018 г., стр. 39.

1

(2)  Коментари и препоръки на ЕНОЗД от 20 февруари 2020 г. (DH/CCP/ALS/D(2020) 0372 C2019-1114).

2

(3)  Директива 2002/58/ЕО на Европейския парламент и на Съвета от 12 юли 2002 година относно обработката на лични данни и защита на правото на неприкосновеност на личния живот в сектора на електронните комуникации (Директива за правото на неприкосновеност на личния живот и електронни комуникации) (ОВ L 201, 31.7.2002 г., стр. 37).

3

---

| 22.7.2020 | BG | Официален вестник на Европейския съюз | L 236/7 |
| --- | --- | --- | --- |

22.7.2020

BG

Официален вестник на Европейския съюз

L 236/7

---

РЕШЕНИЕ No 1/2020 НА УПРАВИТЕЛНИЯ СЪВЕТ НА СЪВМЕСТНОТО ПРЕДПРИЯТИЕ SHIFT2RAIL

от 27 март 2020 година

за определяне на вътрешни правила относно ограниченията на определени права на субекти на данни във връзка с обработването на лични данни в рамките на функционирането на СП S2R

УПРАВИТЕЛНИЯТ СЪВЕТ НА СЪВМЕСТНОТО ПРЕДПРИЯТИЕ SHIFT2RAIL (наричано по-долу „СП S2R“)

като взе предвид Договора за функционирането на Европейския съюз (1),

като взе предвид Регламент (ЕС) 2018/1725 на Европейския парламент и на Съвета от 23 октомври 2018 г. относно защитата на физическите лица във връзка с обработването на лични данни от институциите, органите, службите и агенциите на Съюза и относно свободното движение на такива данни и за отмяна на Регламент (ЕО) No 45/2001 и Решение No 1247/2002/ЕО (2), и по-специално член 25 от него,

като взе предвид Регламент (ЕС) No 642/2014 на Съвета от 16 юни 2014 г. за създаването на съвместно предприятие Shift2Rail (3), и по-специално член 8 от устава, приложен към въпросния регламент,

като взе предвид насоките на Европейския надзорен орган по защита на данните относно член 25 от новия регламент и вътрешните правила,

след като се консултира с ЕНОЗД на 12 ноември 2019 г. в съответствие с член 41, параграф 2 от Регламент (ЕС) 2018/1725,

като взе предвид становището на Европейския надзорен орган по защита на данните („ЕНОЗД“) от 18 декември 2019 г.,

след като се консултира с Комитета по персонала на СП S2R,

като има предвид, че:

| (1) | Само в правни актове, приети въз основа на Договорите, се предвижда ограничаване на правата на субекта на данни. Когато тези ограничения не могат да се основават на правни актове, приети въз основа на Договорите, в Регламент (ЕС) 2018/1725 се предвижда, че по въпроси, свързани с функционирането на СП S2R, могат да бъдат предвидени ограничения чрез вътрешни правила, включително разпоредби относно оценката на необходимостта и пропорционалността на дадено ограничение. |
| --- | --- |

(1)

Само в правни актове, приети въз основа на Договорите, се предвижда ограничаване на правата на субекта на данни. Когато тези ограничения не могат да се основават на правни актове, приети въз основа на Договорите, в Регламент (ЕС) 2018/1725 се предвижда, че по въпроси, свързани с функционирането на СП S2R, могат да бъдат предвидени ограничения чрез вътрешни правила, включително разпоредби относно оценката на необходимостта и пропорционалността на дадено ограничение.

| (2) | В съответствие с член 25, параграф 1 от Регламент (ЕС) 2018/1725 ограниченията на прилагането на членове 14—22, 35 и 36, както и на член 4 от същия регламент, доколкото неговите разпоредби съответстват на правата и задълженията, предвидени в членове 14—22, следва да се основават на вътрешни правила, приети от СП S2R. |
| --- | --- |

(2)

В съответствие с член 25, параграф 1 от Регламент (ЕС) 2018/1725 ограниченията на прилагането на членове 14—22, 35 и 36, както и на член 4 от същия регламент, доколкото неговите разпоредби съответстват на правата и задълженията, предвидени в членове 14—22, следва да се основават на вътрешни правила, приети от СП S2R.

| (3) | В рамките на административното си функциониране СП S2R може да провежда административни проучвания, дисциплинарни производства, да извършва предварителни действия във връзка със случаи на потенциални нередности, докладвани на Европейската служба за борба с измамите (OLAF), да обработва сигнали за нередности, да провежда (официални и неофициални) процедури, свързани с тормоз, да обработва вътрешни и външни жалби, да извършва вътрешни одити, разследвания от страна на длъжностното лице по защита на данните в съответствие с член 45, параграф 2 от Регламент (ЕС) 2018/1725, както и вътрешни разследвания в областта на сигурността (на ИТ). |
| --- | --- |

(3)

В рамките на административното си функциониране СП S2R може да провежда административни проучвания, дисциплинарни производства, да извършва предварителни действия във връзка със случаи на потенциални нередности, докладвани на Европейската служба за борба с измамите (OLAF), да обработва сигнали за нередности, да провежда (официални и неофициални) процедури, свързани с тормоз, да обработва вътрешни и външни жалби, да извършва вътрешни одити, разследвания от страна на длъжностното лице по защита на данните в съответствие с член 45, параграф 2 от Регламент (ЕС) 2018/1725, както и вътрешни разследвания в областта на сигурността (на ИТ).

| (4) | СП S2R обработва няколко категории лични данни, например данни за идентификация, данни за контакт, професионални данни, административни данни, данни, получени от специфични източници, електронни съобщения и данни за трафик, както и данни, свързани със случая (напр. мотиви, данни относно поведението, оценки, данни за работната ефективност и действия, както и данни, свързани или предоставени във връзка с предмета на процедурата или дейността) (4). |
| --- | --- |

(4)

СП S2R обработва няколко категории лични данни, например данни за идентификация, данни за контакт, професионални данни, административни данни, данни, получени от специфични източници, електронни съобщения и данни за трафик, както и данни, свързани със случая (напр. мотиви, данни относно поведението, оценки, данни за работната ефективност и действия, както и данни, свързани или предоставени във връзка с предмета на процедурата или дейността) (4).

| (5) | СП S2R, представлявано от изпълнителния директор, действа като администратор на данни. |
| --- | --- |

(5)

СП S2R, представлявано от изпълнителния директор, действа като администратор на данни.

| (6) | Личните данни се съхраняват в сигурна електронна среда или на хартия с оглед на предотвратяването на незаконния достъп до тях или предаването на данни на лица, които не е необходимо да се запознават с тях. Обработваните лични данни се съхраняват за срок, не по-дълъг от необходимия за целите, за които се обработват данните, за периода, посочен в информацията за защита на данните, декларациите за защита на личните данни или регистрите на СП S2R. |
| --- | --- |

(6)

Личните данни се съхраняват в сигурна електронна среда или на хартия с оглед на предотвратяването на незаконния достъп до тях или предаването на данни на лица, които не е необходимо да се запознават с тях. Обработваните лични данни се съхраняват за срок, не по-дълъг от необходимия за целите, за които се обработват данните, за периода, посочен в информацията за защита на данните, декларациите за защита на личните данни или регистрите на СП S2R.

| (7) | Вътрешните правила следва да се прилагат за всички операции по обработване, извършвани от СП S2R за целите на административни проучвания, дисциплинарни производства, предварителни действия във връзка със случаи на потенциални нередности, докладвани на OLAF, процедури за подаване на сигнали за нередности, (официални и неофициални) процедури при случаи на тормоз, обработване на вътрешни и външни жалби, вътрешни одити, разследвания от страна на длъжностното лице по защита на данните в съответствие с член 45, параграф 2 от Регламент (ЕС) 2018/1725, разследвания в областта на сигурността (на ИТ), извършвани вътрешно или с външно участие (напр. CERT-EU). |
| --- | --- |

(7)

Вътрешните правила следва да се прилагат за всички операции по обработване, извършвани от СП S2R за целите на административни проучвания, дисциплинарни производства, предварителни действия във връзка със случаи на потенциални нередности, докладвани на OLAF, процедури за подаване на сигнали за нередности, (официални и неофициални) процедури при случаи на тормоз, обработване на вътрешни и външни жалби, вътрешни одити, разследвания от страна на длъжностното лице по защита на данните в съответствие с член 45, параграф 2 от Регламент (ЕС) 2018/1725, разследвания в областта на сигурността (на ИТ), извършвани вътрешно или с външно участие (напр. CERT-EU).

| (8) | Те следва да се прилагат към операции по обработване, извършвани преди започване на горепосочените процедури, по време на тези процедури и по време на наблюдението на последващите действия във връзка с резултата от тях. Те следва да включват съдействие и сътрудничество, предоставяни от СП S2R на националните органи и международните организации извън рамките на административните разследвания на съвместното предприятие. |
| --- | --- |

(8)

Те следва да се прилагат към операции по обработване, извършвани преди започване на горепосочените процедури, по време на тези процедури и по време на наблюдението на последващите действия във връзка с резултата от тях. Те следва да включват съдействие и сътрудничество, предоставяни от СП S2R на националните органи и международните организации извън рамките на административните разследвания на съвместното предприятие.

| (9) | В случаите, в които се прилагат тези вътрешни правила, СП S2R трябва да даде обосновка на причините, поради които ограниченията са строго необходими и пропорционални в демократично общество, както и да гарантира, че са съобразени с характера на основните права и свободи. |
| --- | --- |

(9)

В случаите, в които се прилагат тези вътрешни правила, СП S2R трябва да даде обосновка на причините, поради които ограниченията са строго необходими и пропорционални в демократично общество, както и да гарантира, че са съобразени с характера на основните права и свободи.

| (10) | В тази рамка СП S2R е задължено да зачита във възможно най-голяма степен основните права на субектите на данни при изпълнението на горепосочените процедури, и по-специално тези, които са свързани с правото на предоставяне на информация, достъп и коригиране, право на изтриване, ограничаване на обработването, право на съобщаване на субекта на данните за нарушение на сигурността на личните данни или на поверителност на съобщаването, заложени в Регламент (ЕС) 2018/1725. |
| --- | --- |

(10)

В тази рамка СП S2R е задължено да зачита във възможно най-голяма степен основните права на субектите на данни при изпълнението на горепосочените процедури, и по-специално тези, които са свързани с правото на предоставяне на информация, достъп и коригиране, право на изтриване, ограничаване на обработването, право на съобщаване на субекта на данните за нарушение на сигурността на личните данни или на поверителност на съобщаването, заложени в Регламент (ЕС) 2018/1725.

| (11) | Същевременно СП S2R може да има задължението да ограничава информацията до правата на субекта на данни или на други субекти на данни, за да защити по-специално собствените си разследвания, разследванията и производствата на други публични органи, както и правата на други лица, свързани с неговите разследвания или други процедури. |
| --- | --- |

(11)

Същевременно СП S2R може да има задължението да ограничава информацията до правата на субекта на данни или на други субекти на данни, за да защити по-специално собствените си разследвания, разследванията и производствата на други публични органи, както и правата на други лица, свързани с неговите разследвания или други процедури.

| (12) | В случаите, когато СП S2R обмисля да наложи ограничение, рисковете за правата и свободите на субектите на данни се оценяват по-специално спрямо риска за правата и свободите на други субекти на данни и риска от анулиране на ефекта от разследванията или процедурите на СП S2R, например чрез унищожаване на доказателства. Рисковете за правата и свободите на субекта на данни засягат главно, но не се ограничават до рискове за репутацията и рискове за правото на защита и правото на изслушване. |
| --- | --- |

(12)

В случаите, когато СП S2R обмисля да наложи ограничение, рисковете за правата и свободите на субектите на данни се оценяват по-специално спрямо риска за правата и свободите на други субекти на данни и риска от анулиране на ефекта от разследванията или процедурите на СП S2R, например чрез унищожаване на доказателства. Рисковете за правата и свободите на субекта на данни засягат главно, но не се ограничават до рискове за репутацията и рискове за правото на защита и правото на изслушване.

| (13) | Следователно СП S2R може да ограничава информацията с цел да защити разследването и основните права и свободи на други субекти на данни. |
| --- | --- |

(13)

Следователно СП S2R може да ограничава информацията с цел да защити разследването и основните права и свободи на други субекти на данни.

| (14) | СП S2R следва периодично да наблюдава дали се прилагат условията, обосноваващи ограничаването, и да го премахва, когато те вече не се прилагат. |
| --- | --- |

(14)

СП S2R следва периодично да наблюдава дали се прилагат условията, обосноваващи ограничаването, и да го премахва, когато те вече не се прилагат.

| (15) | Администраторът следва да информира длъжностното лице по защита на данните към момента на отлагане и по време на преразглеждането, |
| --- | --- |

(15)

Администраторът следва да информира длъжностното лице по защита на данните към момента на отлагане и по време на преразглеждането,

ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:

Член 1

Предмет и обхват

1.   С настоящото решение се определят правила относно условията, при които СП S2R в рамките на своите процедури, посочени в параграф 2, може да ограничава прилагането на правата, заложени в членове 14—21, 35 и 36, както и член 4 от него, като се спазва член 25 от Регламент (ЕС) 2018/1725.

2.   В рамките на административното функциониране на СП S2R настоящото решение се прилага за операциите по обработване на лични данни, извършвани от програмната служба за целите на административни проучвания, дисциплинарни производства, предварителни действия във връзка със случаи на потенциални нередности, докладвани на OLAF, обработване на сигнали за нередности, (официални и неофициални) процедури, свързани с тормоз, обработване на вътрешни и външни жалби, провеждане на вътрешни одити, разследвания от страна на длъжностното лице по защита на данните в съответствие с член 45, параграф 2 от Регламент (ЕС) 2018/1725, както и разследвания в областта на сигурността (на ИТ), извършвани вътрешно или с външно участие (напр. CERT-EU).

3.   Категориите на въпросните данни включват данни за идентификация, данни за контакт, професионални данни, административни данни, данни, получени от специфични източници, електронни съобщения и данни за трафик, както и данни, свързани със случая, например мотиви, данни относно поведението, оценки, данни за работната ефективност и действия, както и данни, свързани или предоставени във връзка с предмета на процедурата или дейността.

4.   Когато изпълнява задълженията си във връзка с правата на субект на данни съгласно Регламент (ЕС) 2018/1725, СП S2R преценява дали е приложимо някое от изключенията, предвидени в този регламент.

Член 2

Спецификации на администратора

Администраторът на операциите по обработване е СП S2R, представлявано от изпълнителния директор.

Член 3

Спецификация на предпазните мерки

1.   СП S2R въвежда следните предпазни мерки, насочени към предотвратяване на злоупотреби или незаконен достъп или предаване на лични данни:

| а) | документите на хартиен носител се съхраняват в обезопасени шкафове и са достъпни само за упълномощени служители; |
| --- | --- |

а)

документите на хартиен носител се съхраняват в обезопасени шкафове и са достъпни само за упълномощени служители;

| б) | всички електронни данни се съхраняват в защитено ИТ приложение в съответствие със стандартите за сигурност на СП S2R, както и в специфични електронни папки, достъпни само за упълномощени служители. Подходящите нива на достъп се предоставят на индивидуална основа; |
| --- | --- |

б)

всички електронни данни се съхраняват в защитено ИТ приложение в съответствие със стандартите за сигурност на СП S2R, както и в специфични електронни папки, достъпни само за упълномощени служители. Подходящите нива на достъп се предоставят на индивидуална основа;

| в) | базата данни е защитена с парола в единна система за вписване и е автоматично свързана с потребителското име и паролата на потребителя, включително „псевдонимизация“ и/или „криптиране“, когато това е целесъобразно. Строго забранена е смяната на потребителите с други. Сигурността на електронните регистри се гарантира, за да се запази поверителността и неприкосновеността на съдържащите се в тях данни; |
| --- | --- |

в)

базата данни е защитена с парола в единна система за вписване и е автоматично свързана с потребителското име и паролата на потребителя, включително „псевдонимизация“ и/или „криптиране“, когато това е целесъобразно. Строго забранена е смяната на потребителите с други. Сигурността на електронните регистри се гарантира, за да се запази поверителността и неприкосновеността на съдържащите се в тях данни;

| г) | всички лица с достъп до данните са обвързани със задължение за поверителност. |
| --- | --- |

г)

всички лица с достъп до данните са обвързани със задължение за поверителност.

2.   В съответствие с член 6, параграф 3 предпазните мерки, посочени в параграф 1, следва да бъдат предмет на периодичен преглед

3.   Срокът на запазване на личните данни, посочен в член 1, параграф 3, е отбелязан в съответните съобщения за защитата на личните данни, декларациите за поверителност или регистрите, посочени в член 7, параграф 1. При всички случаи срокът не е по-дълъг от необходимото и е подходящ за целите, за които се обработват данните (5).

Член 4

Основания за ограничения

1.   Всяко ограничение се прилага от СП S2R единствено с цел да се гарантират:

| а) | националната сигурност, обществената сигурност или отбраната на държавите членки; |
| --- | --- |

а)

националната сигурност, обществената сигурност или отбраната на държавите членки;

| б) | предотвратяването, разследването, разкриването и наказателното преследване на престъпления или изпълнението на наказания, включително защитата срещу и предотвратяването на заплахи за обществената сигурност; |
| --- | --- |

б)

предотвратяването, разследването, разкриването и наказателното преследване на престъпления или изпълнението на наказания, включително защитата срещу и предотвратяването на заплахи за обществената сигурност;

| в) | други важни цели от общ обществен интерес на Съюза или на държава членка, по-специално целите на общата външна политика и политиката на сигурност на Съюза или важен икономически или финансов интерес на Съюза или на държава членка, включително парични, бюджетни и данъчни въпроси, общественото здраве и социалната сигурност; |
| --- | --- |

в)

други важни цели от общ обществен интерес на Съюза или на държава членка, по-специално целите на общата външна политика и политиката на сигурност на Съюза или важен икономически или финансов интерес на Съюза или на държава членка, включително парични, бюджетни и данъчни въпроси, общественото здраве и социалната сигурност;

| г) | вътрешната сигурност на институциите и органите на Съюза, включително техните електронни съобщителни мрежи; |
| --- | --- |

г)

вътрешната сигурност на институциите и органите на Съюза, включително техните електронни съобщителни мрежи;

| д) | предотвратяването, разследването, разкриването и наказателното преследване на нарушения на етичните кодекси при регулираните професии; |
| --- | --- |

д)

предотвратяването, разследването, разкриването и наказателното преследване на нарушения на етичните кодекси при регулираните професии;

| е) | функция по наблюдението, проверката или регламентирането, свързана, макар и епизодично, с упражняването на официални правомощия в случаите, посочени в букви а) до в); |
| --- | --- |

е)

функция по наблюдението, проверката или регламентирането, свързана, макар и епизодично, с упражняването на официални правомощия в случаите, посочени в букви а) до в);

| ж) | защитата на субекта на данните или на правата и свободите на други лица; |
| --- | --- |

ж)

защитата на субекта на данните или на правата и свободите на други лица;

| з) | изпълнението по гражданскоправни претенции. |
| --- | --- |

з)

изпълнението по гражданскоправни претенции.

2.   Като специфично приложение на целите, описани в параграф 1 по-горе, СП S2R може да прилага ограничения при следните обстоятелства:

| а) | във връзка с лични данни, обменяни със служби на Комисията или други институции, органи, агенции и служби на Съюза;






  — | когато такава служба на Комисията, институция, орган или агенция на Съюза има право да ограничава упражняването на изброените права въз основа на други актове, предвидени в член 25 от Регламент (ЕС) 2018/1725, или в съответствие с глава IX от този Регламент или с учредителните актове на други институции, органи, агенции и служби на Съюза; |
| --- | --- | --- |

а)

във връзка с лични данни, обменяни със служби на Комисията или други институции, органи, агенции и служби на Съюза;

—

когато такава служба на Комисията, институция, орган или агенция на Съюза има право да ограничава упражняването на изброените права въз основа на други актове, предвидени в член 25 от Регламент (ЕС) 2018/1725, или в съответствие с глава IX от този Регламент или с учредителните актове на други институции, органи, агенции и служби на Съюза;

| — | когато целта на подобно ограничение от тази служба на Комисията, институция, орган или агенция на Съюза би била застрашена, ако СП S2R не приложи еквивалентно ограничение по отношение на едни и същи лични данни. |
| --- | --- |

—

когато целта на подобно ограничение от тази служба на Комисията, институция, орган или агенция на Съюза би била застрашена, ако СП S2R не приложи еквивалентно ограничение по отношение на едни и същи лични данни.

| б) | във връзка с личните данни, обменяни с компетентните органи на държавите членки;






  — | когато такива компетентни органи на държави членки имат право да ограничават упражняването на изброените права въз основа на актове, посочени в член 23 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета (6), или съгласно националните мерки за транспониране на член 13, параграф 3, член 15, параграф 3 или член 16, параграф 3 от Директива (ЕС) 2016/680 на Европейския парламент и на Съвета (7); |
| --- | --- | --- |

б)

във връзка с личните данни, обменяни с компетентните органи на държавите членки;

—

когато такива компетентни органи на държави членки имат право да ограничават упражняването на изброените права въз основа на актове, посочени в член 23 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета (6), или съгласно националните мерки за транспониране на член 13, параграф 3, член 15, параграф 3 или член 16, параграф 3 от Директива (ЕС) 2016/680 на Европейския парламент и на Съвета (7);

| — | когато целта на подобно ограничение от този компетентен орган би била застрашена, ако СП S2R не приложи еквивалентно ограничение по отношение на едни и същи лични данни. |
| --- | --- |

—

когато целта на подобно ограничение от този компетентен орган би била застрашена, ако СП S2R не приложи еквивалентно ограничение по отношение на едни и същи лични данни.

| в) | във връзка с лични данни, обменяни с трети държави или международни организации, когато има ясни доказателства, че има вероятност упражняването на тези права и задължения да застраши сътрудничеството на СП S2R с трети държави или международни организации при изпълнението на неговите задачи. |
| --- | --- |

в)

във връзка с лични данни, обменяни с трети държави или международни организации, когато има ясни доказателства, че има вероятност упражняването на тези права и задължения да застраши сътрудничеството на СП S2R с трети държави или международни организации при изпълнението на неговите задачи.

Преди да наложи ограниченията в обстоятелствата, посочени в букви а) и б) от първа алинея, СП S2R се консултира със съответните служби на Комисията, институции, органи, агенции, служби на Съюза или компетентните органи на държавите членки, освен ако за СП S2R не е ясно, че налагането на ограничение е предвидено в един от актовете, посочен в този букви.

Член 5

Ограничения и права на субектите на данни

1.   В надлежно обосновани случаи и при условията, определени в настоящото решение, следните права могат да бъдат ограничени от администратора в контекста на операциите по обработване, изброени в член 1, параграф 2 и в параграф 2 по-долу, когато това е необходимо и пропорционално:

| а) | правото на информация; |
| --- | --- |

а)

правото на информация;

| б) | правото на достъп; |
| --- | --- |

б)

правото на достъп;

| в) | правото на коригиране, изтриване и ограничаване на обработването; |
| --- | --- |

в)

правото на коригиране, изтриване и ограничаване на обработването;

| г) | правото на съобщаване на субекта на данните за нарушение на сигурността на личните данни; |
| --- | --- |

г)

правото на съобщаване на субекта на данните за нарушение на сигурността на личните данни;

| д) | правото на поверителност на електронните съобщения; |
| --- | --- |

д)

правото на поверителност на електронните съобщения;

2.   В надлежно обосновани случаи и с цел защита на целите, посочени в член 4, параграф 1, администраторът може да наложи ограничения в контекста на следните операции по обработване, посочени в член 1, параграф 2:

| а) | провеждане на административни проверки и дисциплинарни производства; |
| --- | --- |

а)

провеждане на административни проверки и дисциплинарни производства;

| б) | предварителни дейности, свързани със случаи на потенциални нередности, докладвани на OLAF; |
| --- | --- |

б)

предварителни дейности, свързани със случаи на потенциални нередности, докладвани на OLAF;

| в) | процедури за подаване на сигнали за нередности; |
| --- | --- |

в)

процедури за подаване на сигнали за нередности;

| г) | (формални и неформални) процедури, свързани със случаи на тормоз; |
| --- | --- |

г)

(формални и неформални) процедури, свързани със случаи на тормоз;

| д) | обработване на вътрешни и външни жалби; |
| --- | --- |

д)

обработване на вътрешни и външни жалби;

| е) | вътрешни одити; |
| --- | --- |

е)

вътрешни одити;

| ж) | разследванията, извършени от длъжностното лице по защита на данните в съответствие с член 45, параграф 2 от Регламент (ЕС) 2018/1725; |
| --- | --- |

ж)

разследванията, извършени от длъжностното лице по защита на данните в съответствие с член 45, параграф 2 от Регламент (ЕС) 2018/1725;

| з) | разследвания на сигурността (на ИТ), провеждани на вътрешно ниво или с участието на външни служители (напр. CERT-EU); |
| --- | --- |

з)

разследвания на сигурността (на ИТ), провеждани на вътрешно ниво или с участието на външни служители (напр. CERT-EU);

| и) | в рамките на управлението на безвъзмездните средства или на процедурата за възлагане на обществена поръчка след крайната дата за представяне на покани за представяне на предложения или след подаване на оферти. |
| --- | --- |

и)

в рамките на управлението на безвъзмездните средства или на процедурата за възлагане на обществена поръчка след крайната дата за представяне на покани за представяне на предложения или след подаване на оферти.

3.   В контекста на процедурата за случаи на тормоз посочените в параграф 1 права могат да бъдат ограничени при същите условия, с изключение на правото на съобщаване на субекта на данните за нарушение на сигурността на личните данни, посочено в параграф 1, буква г).

4.   В контекста на процедурата за случаи на тормоз посочените в параграф 1 права могат да бъдат ограничени при същите условия, с изключение на правото на коригиране, изтриване и ограничаване на обработването, посочено в параграф 1, буква в).

5.   В надлежно обосновани случаи и при условията, определени в настоящото решение, правото на коригиране, изтриване и ограничаване може бъде ограничено от администратора, като се прилагат изключенията, предвидени в параграфи 3 и 4.

6.   Ако СП S2R ограничава изцяло или частично прилагането на правата, посочени в параграфи 1, 3, 4 и 5, то предприема стъпките, предвидени в членове 6 и 7 от настоящото решение.

7.   Когато субектите на данни поискат достъп до личните си данни, обработвани в контекста на един или повече конкретни случаи или за конкретна операция по обработване, в съответствие с член 17 от Регламент (ЕС) 2018/1725 СП S2R ограничава оценката си на искането единствено до тези лични данни.

Член 6

Необходимост и пропорционалност на ограниченията

1.   Всяко ограничение, основаващо се на член 4, е необходимо и пропорционално, като се имат предвид рисковете за правата и свободите на субектите на данни, и е съобразено със същността на основните права и свободи в демократичното общество.

2.   Ако се обмисля налагане на ограничение, въз основа на настоящите правила се извършва проверка на необходимостта и пропорционалността. Проверката се извършва и в рамката на периодичния преглед след оценка на това дали все още се прилагат фактическите и правните основания за ограничението. Това се документира чрез записка за вътрешна оценка за целите на отчетността за всеки отделен случай.

3.   Ограниченията са временни. Те продължават да се прилагат, докато причините за тях продължават да са валидни. По-специално, когато се счита, че с упражняването на ограничено право вече не би се отменил ефектът на наложеното ограничение или то не би имало неблагоприятно въздействие върху правата или свободите на други субекти на данни.

СП S2R преразглежда прилагането на ограничението на всеки шест месеца, считано от приемането му, и при приключване на съответната проверка, процедура или разследване. След това на всеки шест месеца администраторът осъществява наблюдение върху необходимостта от запазване на всяко едно ограничение.

4.   Когато прилага изцяло или частично ограниченията, основаващи се на член 4 от настоящото решение, СП S2R записва причините за ограничението, правното основание в съответствие с параграф 1 по-горе, както и оценката на необходимостта и пропорционалността на ограничението.

Този документ и, ако е приложимо, документите, съдържащи основните фактологични и правни елементи, се вписват в регистъра. При поискване те се предоставят на Европейския надзорен орган по защита на данните.

Член 7

Задължение за информиране

1.   В съобщенията за защита на данните, декларациите за поверителност или регистрите по смисъла на член 31 от Регламент (ЕС) 2018/1725, публикувани на неговия уебсайт и/или в интранет, от който субектите на данни получават информация за своите права в рамките на дадена процедура, СП S2R включва информация, свързана с потенциалното ограничаване на тези права. Информацията обхваща правата, които може да бъдат ограничени, причините и потенциалния срок.

Без да се засягат разпоредбите на член 6, параграф 4, СП S2R също така уведомява без ненужно забавяне и в писмена форма, ако е целесъобразно, индивидуално всички субекти на данни, считани за лица, заинтересовани от специфичната операция по обработване, за техните права във връзка с настоящи или бъдещи ограничения.

2.   Когато ограничава изцяло или частично правата, изложени в член 5, СП S2R информира засегнатия субект на данни за наложеното ограничение и за основните причини за него, както и за възможността за подаване на жалба до Европейския надзорен орган по защита на данните или за търсенето на защита по съдебен ред пред Съда на Европейския съюз;

Предоставянето на информацията, посочена в параграф 2, може да бъде отложено, пропуснато или отказано, ако предоставянето би премахнало ефекта от ограничението в съответствие с член 25, параграф 8 от Регламент (ЕС) 2018/1725.

Член 8

Преглед от длъжностното лице по защита на данните

1.   СП S2R уведомява своевременно своето длъжностно лице по защита на данните („ДЛЗД“) на СП S2R всеки път, когато администраторът ограничава прилагането на правата на субектите на данни или разширява обхвата на ограничението съгласно настоящото решение. Администраторът предоставя на ДЛЗД достъп до регистъра, съдържащ оценката на необходимостта и пропорционалността на ограничението, и документира в регистъра датата, на която е уведомил ДЛЗД.

2.   ДЛЗД може да изиска от администратора в писмен вид да преразгледа прилагането на ограниченията. Администраторът уведомява ДЛЗД относно резултата от искането за преразглеждане.

3.   ДЛЗД участва в цялата процедура. Администраторът уведомява ДЛЗД, когато ограничението е отменено.

Член 9

Влизане в сила

Настоящото решение влиза в сила на двадесетия ден след деня на публикуването му в Официален вестник на Европейския съюз.

Официален вестник на Европейския съюз.

Съставено в Брюксел на 26 март 2020 година.

За управителния съвет на СП S2R

Henrik HOLOLEI

Председател

---

(1)  
  ОВ C 202, 7.6.2016 г., стр. 47.

1

(2)  
  ОВ L 295, 21.11.2018 г., стр. 39.

2

(3)  
  ОВ L 177, 17.6.2014 г., стр. 9.

3

(4)  В случаи на съвместни администратори данните се обработват в съответствие със средствата и целите, установени в съответното споразумение между съвместните администратори, както е определено в член 28 от Регламент (ЕС) 2018/1725.

4

(5)  Политиката на запазване на S2R се основава на запазването на преписки в Комисията, уредено с Общия списък за запазването на преписки — регулаторен документ (последна версия SEC(2019)900) под формата на таблица, в който се определят сроковете на съхраняване на различните видове преписки на Комисията

5

(6)  Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) (OB L 119, 4.5.2016 г., стр. 1).

6

(7)  Директива (ЕС) 2016/680 на Европейския парламент и на Съвета от 27 април 2016 г. относно защитата на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания и относно свободното движение на такива данни, и за отмяна на Рамково решение 2008/977/ПВР на Съвета (OB L 119, 4.5.2016 г., стр. 89).

7

---