# Dziennik Urzędowy L 236/2020

| | ISSN 1977-0766 |
| --- | --- |
| Dziennik Urzędowy
  Unii Europejskiej | L 236 |
| | |
| Wydanie polskie | Legislacja | Rocznik 6322 lipca 2020 |

ISSN 1977-0766

Dziennik Urzędowy

Unii Europejskiej

L 236

Wydanie polskie

Legislacja

Rocznik 6322 lipca 2020

---

| Spis treści | | II   Akty o charakterze nieustawodawczym | Strona |
| --- | --- | --- | --- |
| | | REGULAMINY WEWNĘTRZNE |
| | * | Decyzja Europejskiego Funduszu Inwestycyjnego z dnia 4 czerwca 2020 r. w sprawie przepisów wewnętrznych dotyczących ograniczenia określonych praw osób, których dane dotyczą, w związku z przetwarzaniem danych osobowych w ramach czynności wykonywanych przez Europejski Fundusz Inwestycyjny | 1 |
| | * | Decyzja Rady Zarządzającej Wspólnego Przedsięwzięcia Shift2Rail nr 1/2020 z dnia 26 marca 2020 r. ustanawiająca wewnętrzne zasady dotyczące ograniczenia pewnych praw osób, których dotyczą dane, w związku z przetwarzaniem danych osobowych w ramach funkcjonowania Wspólnego Przedsięwzięcia S2R | 7 |

Spis treści

II   Akty o charakterze nieustawodawczym

Strona

REGULAMINY WEWNĘTRZNE

*

Decyzja Europejskiego Funduszu Inwestycyjnego z dnia 4 czerwca 2020 r. w sprawie przepisów wewnętrznych dotyczących ograniczenia określonych praw osób, których dane dotyczą, w związku z przetwarzaniem danych osobowych w ramach czynności wykonywanych przez Europejski Fundusz Inwestycyjny

1

*

Decyzja Rady Zarządzającej Wspólnego Przedsięwzięcia Shift2Rail nr 1/2020 z dnia 26 marca 2020 r. ustanawiająca wewnętrzne zasady dotyczące ograniczenia pewnych praw osób, których dotyczą dane, w związku z przetwarzaniem danych osobowych w ramach funkcjonowania Wspólnego Przedsięwzięcia S2R

7

| PL | Akty, których tytuły wydrukowano zwykłą czcionką, odnoszą się do bieżącego zarządzania sprawami rolnictwa i generalnie zachowują ważność przez określony czas.
  Tytuły wszystkich innych aktów poprzedza gwiazdka, a drukuje się je czcionką pogrubioną. |
| --- | --- |

PL

Akty, których tytuły wydrukowano zwykłą czcionką, odnoszą się do bieżącego zarządzania sprawami rolnictwa i generalnie zachowują ważność przez określony czas.

Tytuły wszystkich innych aktów poprzedza gwiazdka, a drukuje się je czcionką pogrubioną.

---

II Akty o charakterze nieustawodawczym

REGULAMINY WEWNĘTRZNE

| 22.7.2020 | PL | Dziennik Urzędowy Unii Europejskiej | L 236/1 |
| --- | --- | --- | --- |

22.7.2020

PL

Dziennik Urzędowy Unii Europejskiej

L 236/1

---

DECYZJA EUROPEJSKIEGO FUNDUSZU INWESTYCYJNEGO

z dnia 4 czerwca 2020 r.

w sprawie przepisów wewnętrznych dotyczących ograniczenia określonych praw osób, których dane dotyczą, w związku z przetwarzaniem danych osobowych w ramach czynności wykonywanych przez Europejski Fundusz Inwestycyjny

EUROPEJSKI FUNDUSZ INWESTYCYJNY (EFI),

uwzględniając Traktat o funkcjonowaniu Unii Europejskiej,

uwzględniając rozporządzenie Parlamentu Europejskiego i Rady (UE) 2018/1725 z dnia 23 października 2018 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez instytucje, organy i jednostki organizacyjne Unii i swobodnego przepływu takich danych oraz uchylenia rozporządzenia (WE) nr 45/2001 i decyzji nr 1247/2002/WE (1) (zwane dalej „rozporządzeniem”), w szczególności jego art. 25,

uwzględniając opinię (2) Europejskiego Inspektora Ochrony Danych (EIOD),

a także mając na uwadze, co następuje:

| (1) | Wydział ds. zgodności EFI może w ramach swojego funkcjonowania prowadzić dochodzenia administracyjne na podstawie Kodeksu postępowania dla pracowników Grupy EBI, co wiąże się z przetwarzaniem informacji, w tym danych osobowych. |
| --- | --- |

(1)

Wydział ds. zgodności EFI może w ramach swojego funkcjonowania prowadzić dochodzenia administracyjne na podstawie Kodeksu postępowania dla pracowników Grupy EBI, co wiąże się z przetwarzaniem informacji, w tym danych osobowych.

| (2) | Inspektor ochrony danych EFI może z własnej inicjatywy lub na wniosek administratora danych bądź dowolnej osoby fizycznej badać zgłaszane mu sprawy i zdarzenia bezpośrednio związane z jego zadaniami, a także składać sprawozdania osobie zlecającej przeprowadzenie dochodzenia lub administratorowi danych zgodnie z art. 45 ust. 2 rozporządzenia. |
| --- | --- |

(2)

Inspektor ochrony danych EFI może z własnej inicjatywy lub na wniosek administratora danych bądź dowolnej osoby fizycznej badać zgłaszane mu sprawy i zdarzenia bezpośrednio związane z jego zadaniami, a także składać sprawozdania osobie zlecającej przeprowadzenie dochodzenia lub administratorowi danych zgodnie z art. 45 ust. 2 rozporządzenia.

| (3) | Wydział ds. zarządzania kadrami i zasobami EFI może w ramach swojego funkcjonowania prowadzić postępowania dyscyplinarne na podstawie par. 6 Regulaminu pracowniczego EFI, tytułu IV Polityki godności w miejscu pracy oraz obowiązujących w EFI kodeksów postępowania. |
| --- | --- |

(3)

Wydział ds. zarządzania kadrami i zasobami EFI może w ramach swojego funkcjonowania prowadzić postępowania dyscyplinarne na podstawie par. 6 Regulaminu pracowniczego EFI, tytułu IV Polityki godności w miejscu pracy oraz obowiązujących w EFI kodeksów postępowania.

| (4) | Członkowie Rady Dyrektorów, dyrektor naczelny, zastępca dyrektora naczelnego i pracownicy EFI oraz podmioty powiązane uczestniczące w operacjach/transakcjach mają obowiązek zgłaszania wydziałowi ds. badania nadużyć finansowych EBI („IG/IN”) wszelkich potencjalnych działań zabronionych (np. nadużyć finansowych lub przypadków korupcji) szkodzących interesom EFI i Unii, a także zgłaszania innym właściwym służbom wszelkich działań związanych z wykonywaniem obowiązków służbowych, które mogą stanowić poważne zaniedbanie w wypełnianiu jakichkolwiek stosownych zobowiązań. Ponadto domniemane działania zabronione mogą być zgłaszane do IG/IN przez obywateli oraz inne osoby fizyczne i podmioty. |
| --- | --- |

(4)

Członkowie Rady Dyrektorów, dyrektor naczelny, zastępca dyrektora naczelnego i pracownicy EFI oraz podmioty powiązane uczestniczące w operacjach/transakcjach mają obowiązek zgłaszania wydziałowi ds. badania nadużyć finansowych EBI („IG/IN”) wszelkich potencjalnych działań zabronionych (np. nadużyć finansowych lub przypadków korupcji) szkodzących interesom EFI i Unii, a także zgłaszania innym właściwym służbom wszelkich działań związanych z wykonywaniem obowiązków służbowych, które mogą stanowić poważne zaniedbanie w wypełnianiu jakichkolwiek stosownych zobowiązań. Ponadto domniemane działania zabronione mogą być zgłaszane do IG/IN przez obywateli oraz inne osoby fizyczne i podmioty.

| (5) | Dochodzenia w sprawie działań zabronionych w rozumieniu obowiązującej w EFI Polityki zwalczania nadużyć finansowych przeprowadza IG/IN – występujący w roli podmiotu przetwarzającego dane – na podstawie umowy ramowej między EFI a EBI w sprawie świadczenia usług. |
| --- | --- |

(5)

Dochodzenia w sprawie działań zabronionych w rozumieniu obowiązującej w EFI Polityki zwalczania nadużyć finansowych przeprowadza IG/IN – występujący w roli podmiotu przetwarzającego dane – na podstawie umowy ramowej między EFI a EBI w sprawie świadczenia usług.

| (6) | EFI przeprowadza audyty dotyczące swoich działań. Obecnie są one realizowane za pośrednictwem działu audytu wewnętrznego EBI na podstawie umowy ramowej między EFI a EBI w sprawie świadczenia usług. |
| --- | --- |

(6)

EFI przeprowadza audyty dotyczące swoich działań. Obecnie są one realizowane za pośrednictwem działu audytu wewnętrznego EBI na podstawie umowy ramowej między EFI a EBI w sprawie świadczenia usług.

| (7) | W kontekście zadań opisanych w motywach 1–6 EFI może udzielać pomocy innym instytucjom, organom, urzędom i jednostkom organizacyjnym Unii, korzystać z ich pomocy oraz współpracować z nimi zgodnie z postanowieniami odpowiednich umów o gwarantowanym poziomie usług, protokołów ustaleń i umów o współpracy. |
| --- | --- |

(7)

W kontekście zadań opisanych w motywach 1–6 EFI może udzielać pomocy innym instytucjom, organom, urzędom i jednostkom organizacyjnym Unii, korzystać z ich pomocy oraz współpracować z nimi zgodnie z postanowieniami odpowiednich umów o gwarantowanym poziomie usług, protokołów ustaleń i umów o współpracy.

| (8) | EFI może udzielać pomocy organom publicznym państw członkowskich UE, korzystać z ich pomocy oraz współpracować z nimi na ich wniosek lub z własnej inicjatywy. |
| --- | --- |

(8)

EFI może udzielać pomocy organom publicznym państw członkowskich UE, korzystać z ich pomocy oraz współpracować z nimi na ich wniosek lub z własnej inicjatywy.

| (9) | EFI może udzielać pomocy organom krajowym państw trzecich i organizacjom międzynarodowym, korzystać z ich pomocy oraz współpracować z nimi na ich wniosek lub z własnej inicjatywy. |
| --- | --- |

(9)

EFI może udzielać pomocy organom krajowym państw trzecich i organizacjom międzynarodowym, korzystać z ich pomocy oraz współpracować z nimi na ich wniosek lub z własnej inicjatywy.

| (10) | W kontekście wyżej wymienionych działań EFI (występujący w roli administratora danych), dowolny z partnerów handlowych EFI, o których mowa w motywie 4 powyżej, w tym wydział ds. badania nadużyć finansowych EBI (występujący w roli podmiotu przetwarzającego dane), bądź też dowolna inna właściwa służba może gromadzić i przetwarzać informacje i dane osobowe, w tym dane identyfikacyjne osoby fizycznej, informacje kontaktowe, informacje o rolach i zadaniach zawodowych, informacje o postępowaniu i wynikach w sferze prywatnej i zawodowej oraz dane finansowe. |
| --- | --- |

(10)

W kontekście wyżej wymienionych działań EFI (występujący w roli administratora danych), dowolny z partnerów handlowych EFI, o których mowa w motywie 4 powyżej, w tym wydział ds. badania nadużyć finansowych EBI (występujący w roli podmiotu przetwarzającego dane), bądź też dowolna inna właściwa służba może gromadzić i przetwarzać informacje i dane osobowe, w tym dane identyfikacyjne osoby fizycznej, informacje kontaktowe, informacje o rolach i zadaniach zawodowych, informacje o postępowaniu i wynikach w sferze prywatnej i zawodowej oraz dane finansowe.

| (11) | Istnieją odpowiednie zabezpieczenia służące ochronie danych osobowych i zapobieganiu przypadkowemu lub bezprawnemu dostępowi do nich bądź ich przekazywaniu, które obejmują dane przechowywane zarówno w środowisku fizycznym, jak i w środowisku elektronicznym. Po zakończeniu przetwarzania dane są zatrzymywane zgodnie z obowiązującymi w EFI zasadami zatrzymywania danych, które określono w rejestrach dotyczących ochrony danych prowadzonych na podstawie art. 31 rozporządzenia. Po upływie okresu zatrzymywania informacje dotyczące sprawy, w tym dane osobowe, są usuwane, całkowicie anonimizowane lub przekazywane do archiwów historycznych zgodnie z zasadami określonymi w ogólnym rozporządzeniu o ochronie danych i związanych z nim aktach prawnych lub w regulaminach EFI. |
| --- | --- |

(11)

Istnieją odpowiednie zabezpieczenia służące ochronie danych osobowych i zapobieganiu przypadkowemu lub bezprawnemu dostępowi do nich bądź ich przekazywaniu, które obejmują dane przechowywane zarówno w środowisku fizycznym, jak i w środowisku elektronicznym. Po zakończeniu przetwarzania dane są zatrzymywane zgodnie z obowiązującymi w EFI zasadami zatrzymywania danych, które określono w rejestrach dotyczących ochrony danych prowadzonych na podstawie art. 31 rozporządzenia. Po upływie okresu zatrzymywania informacje dotyczące sprawy, w tym dane osobowe, są usuwane, całkowicie anonimizowane lub przekazywane do archiwów historycznych zgodnie z zasadami określonymi w ogólnym rozporządzeniu o ochronie danych i związanych z nim aktach prawnych lub w regulaminach EFI.

| (12) | W tym kontekście EFI jest zobowiązany do wypełniania obowiązku udzielania informacji osobom, których dane dotyczą, w związku z powyższymi czynnościami przetwarzania oraz do przestrzegania praw osób, których dane dotyczą, określonych w rozporządzeniu. |
| --- | --- |

(12)

W tym kontekście EFI jest zobowiązany do wypełniania obowiązku udzielania informacji osobom, których dane dotyczą, w związku z powyższymi czynnościami przetwarzania oraz do przestrzegania praw osób, których dane dotyczą, określonych w rozporządzeniu.

| (13) | Może być konieczne pogodzenie praw osób, których dane dotyczą, wynikających z rozporządzenia z potrzebami wyżej wymienionych działań przy pełnym poszanowaniu podstawowych praw i wolności innych osób, których dane dotyczą. W tym celu art. 25 rozporządzenia przewiduje, na ściśle określonych warunkach, możliwość ograniczenia stosowania art. 14–20, 35 i 36, jak również art. 4 w zakresie, w jakim jego przepisy odpowiadają prawom i obowiązkom przewidzianym w art. 14–20. W takim przypadku konieczne jest przyjęcie przepisów wewnętrznych, na mocy których EFI może ograniczyć powyższe prawa osób, których dane dotyczą, zgodnie z tym samym artykułem rozporządzenia. |
| --- | --- |

(13)

Może być konieczne pogodzenie praw osób, których dane dotyczą, wynikających z rozporządzenia z potrzebami wyżej wymienionych działań przy pełnym poszanowaniu podstawowych praw i wolności innych osób, których dane dotyczą. W tym celu art. 25 rozporządzenia przewiduje, na ściśle określonych warunkach, możliwość ograniczenia stosowania art. 14–20, 35 i 36, jak również art. 4 w zakresie, w jakim jego przepisy odpowiadają prawom i obowiązkom przewidzianym w art. 14–20. W takim przypadku konieczne jest przyjęcie przepisów wewnętrznych, na mocy których EFI może ograniczyć powyższe prawa osób, których dane dotyczą, zgodnie z tym samym artykułem rozporządzenia.

| (14) | Może to mieć miejsce w szczególności w przypadku udzielania informacji o przetwarzaniu danych osobowych osobie, której dane dotyczą, na etapie oceny wstępnej dochodzenia administracyjnego lub podczas samego dochodzenia, przed ewentualnym oddaleniem sprawy lub na etapie przeddyscyplinarnym. W pewnych okolicznościach udzielenie takich informacji może poważnie wpłynąć na zdolność EFI do skutecznego prowadzenia dochodzenia, na przykład w każdym przypadku, gdy istnieje ryzyko, że dana osoba zniszczy dowody lub będzie wpływać na potencjalnych świadków przed przesłuchaniem. Ponadto może być konieczne zapewnienie przez EFI ochrony praw i wolności innych zaangażowanych osób. W szczególności konieczna może być ochrona prywatności świadka lub osoby zgłaszającej przypadki naruszenia, która poprosiła o nieujawnianie tożsamości. W takim przypadku EFI może podjąć decyzję o ograniczeniu dostępu do danych dotyczących tożsamości, zeznań i innych danych osoby zgłaszającej przypadki naruszenia i/lub innych zaangażowanych osób w celu ochrony ich praw i wolności. |
| --- | --- |

(14)

Może to mieć miejsce w szczególności w przypadku udzielania informacji o przetwarzaniu danych osobowych osobie, której dane dotyczą, na etapie oceny wstępnej dochodzenia administracyjnego lub podczas samego dochodzenia, przed ewentualnym oddaleniem sprawy lub na etapie przeddyscyplinarnym. W pewnych okolicznościach udzielenie takich informacji może poważnie wpłynąć na zdolność EFI do skutecznego prowadzenia dochodzenia, na przykład w każdym przypadku, gdy istnieje ryzyko, że dana osoba zniszczy dowody lub będzie wpływać na potencjalnych świadków przed przesłuchaniem. Ponadto może być konieczne zapewnienie przez EFI ochrony praw i wolności innych zaangażowanych osób. W szczególności konieczna może być ochrona prywatności świadka lub osoby zgłaszającej przypadki naruszenia, która poprosiła o nieujawnianie tożsamości. W takim przypadku EFI może podjąć decyzję o ograniczeniu dostępu do danych dotyczących tożsamości, zeznań i innych danych osoby zgłaszającej przypadki naruszenia i/lub innych zaangażowanych osób w celu ochrony ich praw i wolności.

| (15) | Przy udzielaniu pomocy innym instytucjom, organom, urzędom i jednostkom organizacyjnym Unii, organom publicznym państw członkowskich UE, organom krajowym państw trzecich oraz organizacjom międzynarodowym, korzystaniu z ich pomocy bądź współpracy z nimi w kontekście wyżej wymienionych działań, w określonych okolicznościach i z zastrzeżeniem utrzymania minimalnego poziomu ochrony danych wymaganego przez EIOD, może zaistnieć konieczność zachowania przez EFI skuteczności prowadzonych przez siebie dochodzeń lub dochodzeń prowadzonych przez podmiot, z którym współpracuje, oraz, w razie potrzeby, ochrony zaangażowanych osób oraz ich praw i wolności. |
| --- | --- |

(15)

Przy udzielaniu pomocy innym instytucjom, organom, urzędom i jednostkom organizacyjnym Unii, organom publicznym państw członkowskich UE, organom krajowym państw trzecich oraz organizacjom międzynarodowym, korzystaniu z ich pomocy bądź współpracy z nimi w kontekście wyżej wymienionych działań, w określonych okolicznościach i z zastrzeżeniem utrzymania minimalnego poziomu ochrony danych wymaganego przez EIOD, może zaistnieć konieczność zachowania przez EFI skuteczności prowadzonych przez siebie dochodzeń lub dochodzeń prowadzonych przez podmiot, z którym współpracuje, oraz, w razie potrzeby, ochrony zaangażowanych osób oraz ich praw i wolności.

| (16) | EFI stosuje ograniczenia tylko wtedy, gdy respektują one istotę podstawowych praw i wolności oraz są w demokratycznym społeczeństwie środkiem bezwzględnie niezbędnym i proporcjonalnym. EFI ma obowiązek przedstawić w takim przypadku uzasadnienie wyjaśniające powody zastosowania tych ograniczeń. |
| --- | --- |

(16)

EFI stosuje ograniczenia tylko wtedy, gdy respektują one istotę podstawowych praw i wolności oraz są w demokratycznym społeczeństwie środkiem bezwzględnie niezbędnym i proporcjonalnym. EFI ma obowiązek przedstawić w takim przypadku uzasadnienie wyjaśniające powody zastosowania tych ograniczeń.

| (17) | Zgodnie z zasadą rozliczalności EFI ma obowiązek prowadzić rejestr stosowania ograniczeń. |
| --- | --- |

(17)

Zgodnie z zasadą rozliczalności EFI ma obowiązek prowadzić rejestr stosowania ograniczeń.

| (18) | Przetwarzając dane osobowe wymieniane z innymi organizacjami w ramach wykonywania swoich zadań, EFI konsultuje się z tymi organizacjami i uzyskuje od nich informacje w sprawie możliwych istotnych powodów nałożenia ograniczeń oraz konieczności i proporcjonalności tych ograniczeń, chyba że zagrażałoby to działalności EFI. |
| --- | --- |

(18)

Przetwarzając dane osobowe wymieniane z innymi organizacjami w ramach wykonywania swoich zadań, EFI konsultuje się z tymi organizacjami i uzyskuje od nich informacje w sprawie możliwych istotnych powodów nałożenia ograniczeń oraz konieczności i proporcjonalności tych ograniczeń, chyba że zagrażałoby to działalności EFI.

| (19) | Art. 25 ust. 6 rozporządzenia zobowiązuje administratora danych do informowania osób, których dane dotyczą, o podstawowych powodach zastosowania ograniczenia oraz o przysługującym im prawie do wniesienia skargi do EIOD. |
| --- | --- |

(19)

Art. 25 ust. 6 rozporządzenia zobowiązuje administratora danych do informowania osób, których dane dotyczą, o podstawowych powodach zastosowania ograniczenia oraz o przysługującym im prawie do wniesienia skargi do EIOD.

| (20) | Zgodnie z art. 25 ust. 8 rozporządzenia EFI może wstrzymać przekazanie osobie, której dane dotyczą, informacji o powodach zastosowania ograniczenia, pominąć je lub go odmówić, gdyby mogło ono w jakikolwiek sposób unieważnić skutek ograniczenia. EFI ocenia w poszczególnych przypadkach, czy powiadomienie o ograniczeniu unieważniłoby jego skutek. |
| --- | --- |

(20)

Zgodnie z art. 25 ust. 8 rozporządzenia EFI może wstrzymać przekazanie osobie, której dane dotyczą, informacji o powodach zastosowania ograniczenia, pominąć je lub go odmówić, gdyby mogło ono w jakikolwiek sposób unieważnić skutek ograniczenia. EFI ocenia w poszczególnych przypadkach, czy powiadomienie o ograniczeniu unieważniłoby jego skutek.

| (21) | Inspektor ochrony danych może przeprowadzić niezależny przegląd stosowania ograniczeń w celu zapewnienia zgodności z niniejszą decyzją. |
| --- | --- |

(21)

Inspektor ochrony danych może przeprowadzić niezależny przegląd stosowania ograniczeń w celu zapewnienia zgodności z niniejszą decyzją.

PRZYJMUJE NINIEJSZĄ DECYZJĘ:

Artykuł 1

Przedmiot i zakres stosowania

Niniejsza decyzja ustanawia zasady dotyczące warunków, na jakich EFI może ograniczyć stosowanie art. 14–20, 35 i 36 oraz art. 4 rozporządzenia na podstawie art. 25 rozporządzenia.

Artykuł 2

Ograniczenia

1.   Zgodnie z art. 25 ust. 1 rozporządzenia EFI może w poszczególnych przypadkach ograniczyć stosowanie art. 14–20, 35 i 36 oraz art. 4 rozporządzenia w zakresie, w jakim jego przepisy odpowiadają prawom i obowiązkom przewidzianym w art. 14–20, w przypadku:

| a) | prowadzenia dochodzeń administracyjnych na podstawie Kodeksu postępowania dla pracowników Grupy EBI i innych obowiązujących kodeksów postępowania; |
| --- | --- |

a)

prowadzenia dochodzeń administracyjnych na podstawie Kodeksu postępowania dla pracowników Grupy EBI i innych obowiązujących kodeksów postępowania;

| b) | prowadzenia dochodzeń dotyczących spraw i zdarzeń bezpośrednio związanych z zadaniami inspektora ochrony danych zgodnie z art. 45 ust. 2 rozporządzenia; |
| --- | --- |

b)

prowadzenia dochodzeń dotyczących spraw i zdarzeń bezpośrednio związanych z zadaniami inspektora ochrony danych zgodnie z art. 45 ust. 2 rozporządzenia;

| c) | prowadzenia postępowań dyscyplinarnych na podstawie par. 6 Regulaminu pracowniczego EFI, tytułu IV Polityki godności w miejscu pracy, Kodeksu postępowania dla pracowników Grupy EBI oraz innych obowiązujących w EFI kodeksów postępowania; |
| --- | --- |

c)

prowadzenia postępowań dyscyplinarnych na podstawie par. 6 Regulaminu pracowniczego EFI, tytułu IV Polityki godności w miejscu pracy, Kodeksu postępowania dla pracowników Grupy EBI oraz innych obowiązujących w EFI kodeksów postępowania;

| d) | zapewniania pracownikom EFI możliwości poufnego zgłaszania sytuacji, w których ich zdaniem występują poważne nieprawidłowości, na zasadach przewidzianych w Polityce zgłaszania nieprawidłowości Grupy EBI; |
| --- | --- |

d)

zapewniania pracownikom EFI możliwości poufnego zgłaszania sytuacji, w których ich zdaniem występują poważne nieprawidłowości, na zasadach przewidzianych w Polityce zgłaszania nieprawidłowości Grupy EBI;

| e) | zapewniania pracownikom EFI możliwości poufnego zgłaszania sytuacji, w których ich zdaniem zachodzi podejrzenie zaistnienia działań zabronionych (w tym nadużyć finansowych lub przypadków korupcji) szkodzących interesom Unii bądź działań związanych z wykonywaniem obowiązków służbowych, które mogą stanowić poważne zaniedbanie w wypełnianiu zobowiązań pracowników EFI, na zasadach przewidzianych w Polityce zgłaszania nieprawidłowości Grupy EBI, Polityce zwalczania nadużyć finansowych EFI i obowiązujących w EFI kodeksach postępowania; |
| --- | --- |

e)

zapewniania pracownikom EFI możliwości poufnego zgłaszania sytuacji, w których ich zdaniem zachodzi podejrzenie zaistnienia działań zabronionych (w tym nadużyć finansowych lub przypadków korupcji) szkodzących interesom Unii bądź działań związanych z wykonywaniem obowiązków służbowych, które mogą stanowić poważne zaniedbanie w wypełnianiu zobowiązań pracowników EFI, na zasadach przewidzianych w Polityce zgłaszania nieprawidłowości Grupy EBI, Polityce zwalczania nadużyć finansowych EFI i obowiązujących w EFI kodeksach postępowania;

| f) | prowadzenia dochodzeń dotyczących działań zabronionych zgodnie z obowiązującą w EFI Polityką zwalczania nadużyć finansowych; |
| --- | --- |

f)

prowadzenia dochodzeń dotyczących działań zabronionych zgodnie z obowiązującą w EFI Polityką zwalczania nadużyć finansowych;

| g) | prowadzenia audytów wewnętrznych w odniesieniu do wszystkich działań i wydziałów EFI; |
| --- | --- |

g)

prowadzenia audytów wewnętrznych w odniesieniu do wszystkich działań i wydziałów EFI;

| h) | udzielania pomocy innym instytucjom, organom, urzędom i jednostkom organizacyjnym Unii, korzystania z ich pomocy oraz współpracy z nimi w kontekście wyżej wymienionych działań zgodnie z postanowieniami odpowiednich umów o gwarantowanym poziomie usług, protokołów ustaleń i umów o współpracy; |
| --- | --- |

h)

udzielania pomocy innym instytucjom, organom, urzędom i jednostkom organizacyjnym Unii, korzystania z ich pomocy oraz współpracy z nimi w kontekście wyżej wymienionych działań zgodnie z postanowieniami odpowiednich umów o gwarantowanym poziomie usług, protokołów ustaleń i umów o współpracy;

| i) | udzielania pomocy organom publicznym państw członkowskich UE, korzystania z ich pomocy oraz współpracy z nimi na ich wniosek lub z własnej inicjatywy; |
| --- | --- |

i)

udzielania pomocy organom publicznym państw członkowskich UE, korzystania z ich pomocy oraz współpracy z nimi na ich wniosek lub z własnej inicjatywy;

| j) | udzielania pomocy organom krajowym państw trzecich i organizacjom międzynarodowym, korzystania z ich pomocy oraz współpracy z nimi na ich wniosek lub z własnej inicjatywy. |
| --- | --- |

j)

udzielania pomocy organom krajowym państw trzecich i organizacjom międzynarodowym, korzystania z ich pomocy oraz współpracy z nimi na ich wniosek lub z własnej inicjatywy.

2.   Kategorie danych mogą obejmować dane identyfikacyjne osoby fizycznej, informacje kontaktowe, informacje o rolach i zadaniach zawodowych, informacje o postępowaniu i wynikach w sferze prywatnej i zawodowej, dane dotyczące zaangażowania w sprawę oraz dane finansowe.

3.   Stosowanie wyżej wymienionych ograniczeń pozostaje bez uszczerbku dla ewentualnego stosowania przepisów art. 16 ust. 5 i art. 17 ust. 4 rozporządzenia, odnoszących się odpowiednio do prawa do informacji, gdy dane nie zostały uzyskane od osoby, której dane dotyczą, oraz do prawa dostępu osoby, której dane dotyczą.

4.   Wszelkie ograniczenia muszą być stosowane z poszanowaniem istoty podstawowych praw i wolności oraz być w demokratycznym społeczeństwie środkiem niezbędnym i proporcjonalnym zgodnie z postanowieniami rozporządzenia, odpowiednich aktów prawnych bądź polityki wewnętrznej EFI lub Grupy EBI.

5.   Każde ograniczenie musi wynikać z wyraźnego zezwolenia zawartego w obowiązującej polityce lub procedurze wewnętrznej EFI, a jego stosowanie musi w jak najmniejszym stopniu wpływać na prawa osób, których dane dotyczą, co potwierdza inspektor ochrony danych.

6.   Przed zastosowaniem ograniczeń należy przeprowadzić w poszczególnych przypadkach test konieczności i proporcjonalności, przy czym test taki musi zostać przeprowadzony w sposób uznawany przez inspektora ochrony danych za zadowalający. Ograniczenia nie mogą wykraczać poza to, co jest niezbędne do osiągnięcia wyznaczonych celów. Ponadto ograniczenia ustanawia się wyłącznie na czas wymagany zgodnie z odpowiednią przesłanką przewidzianą w ust. 1, która została przywołana jako uzasadnienie danego ograniczenia, przy czym zaistnienie takiej przesłanki należy wykazać w sposób uznawany przez inspektora ochrony danych za zadowalający.

7.   W przypadku całkowitego lub częściowego ograniczenia przez IG/IN przekazywania informacji osobom, których dane dotyczą, istotnym dla danego dochodzenia (zainteresowanej osobie, świadkowi lub informatorowi), IG/IN odnotowuje przyczyny zastosowania takiego ograniczenia, w tym ocenę jego konieczności i proporcjonalności. W tym celu we wpisie określa się, w jaki sposób przekazanie takich informacji zagroziłoby celowi działań dochodzeniowych prowadzonych przez IG/IN lub celowi ograniczeń mających zastosowanie zgodnie z art. 2 ust. 1 lit. f), g) i h) niniejszej decyzji bądź jaki negatywny wpływ wywarłoby na prawa i wolności innych osób, których dane dotyczą. W rejestrze uwzględnia się wspomniany wpis oraz, w stosownych przypadkach, leżące u jego podstaw dokumenty zawierające elementy stanu faktycznego i aspekty prawne. Udostępnia się je na żądanie Europejskiego Inspektora Ochrony Danych (EIOD).

8.   W celu zapewnienia rozliczalności EFI prowadzi dokumentację opisującą powody zastosowania ograniczeń, mające zastosowanie przesłanki wymienione w ust. 1 oraz wynik testu konieczności i proporcjonalności. Dokumentacja ta wchodzi w skład rejestru prowadzonego ad hoc, który jest udostępniany na wniosek EIOD.

9.   Przetwarzając dane osobowe wymieniane z innymi organizacjami w ramach wykonywania swoich zadań, EFI konsultuje się z tymi organizacjami i uzyskuje od nich informacje w sprawie możliwych istotnych powodów nałożenia ograniczeń oraz konieczności i proporcjonalności tych ograniczeń, chyba że zagrażałoby to działalności EFI.

Artykuł 3

Zagrożenia dla praw i wolności osób, których dane dotyczą

Ocena zagrożeń dla praw i wolności osób, których dane dotyczą i których dane osobowe mogą podlegać ograniczeniom, jak również okres zatrzymywania danych, są określone w rejestrze odpowiednich czynności przetwarzania prowadzonym zgodnie z art. 31 rozporządzenia oraz, w stosownych przypadkach, w odpowiednich ocenach skutków dla ochrony danych dokonywanych na podstawie art. 39 rozporządzenia.

Artykuł 4

Okresy przechowywania i zabezpieczenia

EFI ma obowiązek wdrożenia zabezpieczeń mających na celu zapobieganie nadużyciom, bezprawnemu dostępowi do danych osobowych, które mogą podlegać ograniczeniom, oraz przekazywaniu takich danych. Powyższe zabezpieczenia muszą obejmować środki techniczne i organizacyjne, które należy wyszczególnić w zależności od potrzeb w wewnętrznych decyzjach, procedurach i przepisach wykonawczych EFI. Zabezpieczenia te obejmują:

| 1. | odpowiednie określenie ról, obowiązków i kroków proceduralnych; |
| --- | --- |

1.

odpowiednie określenie ról, obowiązków i kroków proceduralnych;

| 2. | w stosownych przypadkach – korzystanie z bezpiecznego środowiska elektronicznego, które uniemożliwia bezprawny lub przypadkowy dostęp do danych w formie elektronicznej lub przekazywanie takich danych osobom nieupoważnionym; |
| --- | --- |

2.

w stosownych przypadkach – korzystanie z bezpiecznego środowiska elektronicznego, które uniemożliwia bezprawny lub przypadkowy dostęp do danych w formie elektronicznej lub przekazywanie takich danych osobom nieupoważnionym;

| 3. | w stosownych przypadkach – bezpieczne przechowywanie i przetwarzanie dokumentów w formie papierowej; |
| --- | --- |

3.

w stosownych przypadkach – bezpieczne przechowywanie i przetwarzanie dokumentów w formie papierowej;

| 4. | należyte monitorowanie ograniczeń oraz dokonywanie przez inspektora ochrony danych okresowych przeglądów nie rzadziej niż co sześć miesięcy, a także każdorazowo w przypadku zmiany istotnych elementów danej sprawy. Ograniczenia zostają zniesione, gdy tylko okoliczności, które je uzasadniają, przestają mieć zastosowanie. |
| --- | --- |

4.

należyte monitorowanie ograniczeń oraz dokonywanie przez inspektora ochrony danych okresowych przeglądów nie rzadziej niż co sześć miesięcy, a także każdorazowo w przypadku zmiany istotnych elementów danej sprawy. Ograniczenia zostają zniesione, gdy tylko okoliczności, które je uzasadniają, przestają mieć zastosowanie.

Artykuł 5

Informacje udzielane inspektorowi ochrony danych i przegląd dokonywany przez inspektora ochrony danych

1.   Inspektor ochrony danych jest informowany bez zbędnej zwłoki o każdym przypadku ograniczenia praw osób, których dane dotyczą, zgodnie z niniejszą decyzją, a także otrzymuje pełny i nieograniczony dostęp do wszelkich wpisów i dokumentów zawierających elementy stanu faktycznego i aspekty prawne, które są istotne z punktu widzenia decyzji o ograniczeniu oraz z punktu widzenia monitorowania dalszego utrzymywania ograniczenia.

2.   Inspektor ochrony danych może złożyć wniosek o dokonanie przeglądu stosowania ograniczenia.

3.   Jeśli inspektor ochrony danych zastosuje ograniczenia w toku przeprowadzania własnych dochodzeń, to poinformuje o tym bez zbędnej zwłoki administratora danych.

4.   Zaangażowanie inspektora ochrony danych w proces stosowania ograniczeń, w tym wymianę informacji, dokumentuje się w odpowiedniej formie i uwzględnia we właściwych wpisach oraz rejestrach.

5.   W kontekście dochodzeń dotyczących działań zabronionych wydział ds. badania nadużyć finansowych EBI konsultuje się z inspektorem ochrony danych przed zastosowaniem określonych podstaw wprowadzania ograniczeń, o których mowa w art. 25 rozporządzenia, w odniesieniu do operacji przetwarzania danych wykonywanych w ramach zadań tego wydziału określonych w obowiązującej w EFI Polityce zwalczania nadużyć finansowych, Karcie wydziału ds. badania nadużyć finansowych oraz procedurach prowadzenia dochodzeń.

Artykuł 6

Informowanie osób, których dane dotyczą, o ograniczeniach ich praw

1.   EFI umieszcza w publikowanych na swojej stronie internetowej oświadczeniach o ochronie danych ogólne informacje dla osób, których dane dotyczą, dotyczące potencjalnych ograniczeń praw wszystkich osób, których dane dotyczą, opisanych w art. 2 ust. 1. Informacje te obejmują wskazanie praw, które mogą podlegać ograniczeniu.

2.   EFI informuje indywidualnie osoby, których dane dotyczą, o obecnych lub przyszłych ograniczeniach ich praw bez zbędnej zwłoki i z zachowaniem formy pisemnej na zasadach określonych szczegółowo w art. 7, 8 i 9.

Artykuł 7

Prawo do informacji, które należy przekazać osobom, których dane dotyczą, oraz prawo do informacji o naruszeniach ochrony danych

1.   Jeśli w ramach działań wymienionych w niniejszej decyzji EFI ogranicza, w całości lub w części, prawa osób, których dane dotyczą, wymienione w art. 14–16 i 35 rozporządzenia, to osoby, których dane dotyczą, muszą zostać poinformowane o podstawowych powodach zastosowania ograniczenia oraz o przysługującym im prawie do wniesienia skargi do EIOD i odwołania się do Trybunału Sprawiedliwości Unii Europejskiej. Ponadto powyższe ograniczenie musi być stosowane zgodnie z zasadami i procedurami określonymi i opisanymi w niniejszej decyzji.

2.   EFI może wstrzymać przekazanie informacji o powodach zastosowania ograniczenia, o których mowa w ust. 1, pominąć je lub go odmówić w zakresie, w jakim, oraz przez czas, przez jaki zagrażałoby to celowi ograniczenia. Stosowna ocena jest dokonywana indywidualnie w poszczególnych przypadkach. Każdy przypadek wstrzymania lub odmowy przekazania informacji należy odpowiednio uzasadnić w sposób uznawany przez inspektora ochrony danych za zadowalający i uwzględnić we właściwych wpisach oraz rejestrach. W celu uniknięcia wątpliwości wskazuje się, że zainteresowane osoby, których dane dotyczą, muszą zostać poinformowane o przysługującym im prawie do wniesienia skargi do EIOD i odwołania się do Trybunału Sprawiedliwości Unii Europejskiej w związku z decyzją o wstrzymaniu lub odmowie przekazania informacji, o których mowa w ust. 1 powyżej.

Artykuł 8

Prawo osób, których dane dotyczą, do dostępu do danych, poprawiania danych, usunięcia danych i ograniczenia przetwarzania

1.   Jeśli w ramach działań wymienionych w niniejszej decyzji EFI ogranicza, w całości lub w części, prawo dostępu do danych osobowych, prawo do poprawiania danych, prawo do usunięcia danych i prawo do ograniczenia przetwarzania, o których mowa odpowiednio w art. 17–20 rozporządzenia, to ma obowiązek poinformować zainteresowaną osobę, której dane dotyczą, w odpowiedzi na jej wniosek, o podstawowych powodach zastosowania ograniczenia oraz o możliwości wniesienia skargi do EIOD lub odwołania się do Trybunału Sprawiedliwości Unii Europejskiej.

2.   Zgodnie z art. 25 ust. 7 rozporządzenia w przypadku całkowitego lub częściowego ograniczenia prawa do dostępu do danych EFI po rozważeniu skargi informuje osobę, której dane dotyczą, czy dane zostały przetworzone prawidłowo, a jeżeli nie, czy dokonano koniecznych poprawek.

3.   EFI może wstrzymać przekazanie informacji o powodach zastosowania ograniczenia, o których mowa w ust. 1 i 2, pominąć je lub go odmówić w zakresie, w jakim, oraz przez czas, przez jaki zagrażałoby to celowi ograniczenia. Stosowna ocena jest dokonywana indywidualnie w poszczególnych przypadkach zgodnie z zasadami i procedurami określonymi i opisanymi w niniejszej decyzji.

Artykuł 9

Poufność łączności elektronicznej

1.   W wyjątkowych okolicznościach oraz zgodnie z przepisami i przesłankami dyrektywy 2002/58/WE Parlamentu Europejskiego i Rady (3) EFI może ograniczyć prawo do poufności łączności elektronicznej, o którym mowa w art. 36 rozporządzenia. W takim przypadku EFI ma obowiązek wyszczególnić okoliczności, powody, istotne zagrożenia i związane z nimi zabezpieczenia w szczegółowych przepisach wewnętrznych.

2.   Jeżeli EFI ogranicza prawo do poufności łączności elektronicznej, to ma obowiązek poinformować zainteresowaną osobę, której dane dotyczą, w odpowiedzi na jej wniosek, o podstawowych powodach zastosowania ograniczenia oraz o możliwości wniesienia skargi do EIOD lub odwołania się do Trybunału Sprawiedliwości Unii Europejskiej.

3.   EFI może wstrzymać przekazanie informacji o powodach zastosowania ograniczenia, o których mowa w ust. 1 i 2, pominąć je lub go odmówić przez czas, przez jaki mogłoby ono unieważnić skutek ograniczenia. Stosowna ocena jest dokonywana indywidualnie w poszczególnych przypadkach.

Artykuł 10

Wejście w życie

Niniejsza decyzja oraz wszelkie jego zmiany podlegają zatwierdzeniu przez Radę Dyrektorów EFI i wchodzą w życie dwudziestego dnia od momentu publikacji w Dzienniku Urzędowym Unii Europejskiej.

Dzienniku Urzędowym Unii Europejskiej

Sporządzono w Luksemburgu dnia 4 czerwca 2020 r.

---

(1)  
  Dz.U. L 295 z 21.11.2018, s. 39.

1

(2)  Uwagi i zalecenia EIOD z dnia 20 lutego 2020 r. (DH/CCP/ALS/D(2020) 0372 C2019-1114).

2

(3)  Dyrektywa 2002/58/WE Parlamentu Europejskiego i Rady z dnia 12 lipca 2002 r. dotycząca przetwarzania danych osobowych i ochrony prywatności w sektorze łączności elektronicznej (dyrektywa o prywatności i łączności elektronicznej) (Dz.U. L 201 z 31.7.2002, s. 37).

3

---

| 22.7.2020 | PL | Dziennik Urzędowy Unii Europejskiej | L 236/7 |
| --- | --- | --- | --- |

22.7.2020

PL

Dziennik Urzędowy Unii Europejskiej

L 236/7

---

DECYZJA RADY ZARZĄDZAJĄCEJ WSPÓLNEGO PRZEDSIĘWZIĘCIA SHIFT2RAIL nr 1/2020

z dnia 26 marca 2020 r.

ustanawiająca wewnętrzne zasady dotyczące ograniczenia pewnych praw osób, których dotyczą dane, w związku z przetwarzaniem danych osobowych w ramach funkcjonowania Wspólnego Przedsięwzięcia S2R

RADA ZARZĄDZAJĄCA WSPÓLNEGO PRZEDSIĘWZIĘCIA SHIFT2RAIL (zwanego dalej „Wspólnym Przedsięwzięciem S2R”)

uwzględniając Traktat o funkcjonowaniu Unii Europejskiej (1),

uwzględniając rozporządzenie Parlamentu Europejskiego i Rady (UE) 2018/1725 z dnia 23 października 2018 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez instytucje, organy i jednostki organizacyjne Unii i swobodnego przepływu takich danych oraz uchylenia rozporządzenia (WE) nr 45/2001 i decyzji nr 1247/2002/WE (2), w szczególności jego art. 25,

uwzględniając rozporządzenie Rady (UE) nr 642/2014 z dnia 16 czerwca 2014 r. w sprawie ustanowienia Wspólnego Przedsięwzięcia Shift2Rail (3), w szczególności art. 8 statutu załączonego do tego rozporządzenia,

uwzględniając wytyczne Europejskiego Inspektora Ochrony Danych w sprawie art. 25 nowego rozporządzenia i wewnętrznych zasad,

po zasięgnięciu opinii Europejskiego Inspektora Ochrony Danych w dniu 12 listopada 2019 r., zgodnie z art. 41 ust. 2 rozporządzenia (UE) 2018/1725,

uwzględniając zalecenia Europejskiego Inspektora Ochrony Danych (zwanego dalej „EIOD”) z dnia 18 grudnia 2019 r.,

po zasięgnięciu opinii Komitetu Pracowniczego Wspólnego Przedsięwzięcia S2R,

a także mając na uwadze, co następuje:

| 1) | Jedynie akty prawne przyjęte na podstawie traktatów przewidują ograniczenie praw osób, których dane dotyczą. Jeżeli ograniczenia te nie mogą opierać się na aktach prawnych przyjętych na podstawie traktatów, rozporządzenie (UE) 2018/1725 stanowi, że w sprawach dotyczących działalności Wspólnego Przedsięwzięcia S2R ograniczenia mogą być przewidziane w wewnętrznych zasadach, w tym w przepisach dotyczących oceny konieczności i proporcjonalności ograniczenia. |
| --- | --- |

1)

Jedynie akty prawne przyjęte na podstawie traktatów przewidują ograniczenie praw osób, których dane dotyczą. Jeżeli ograniczenia te nie mogą opierać się na aktach prawnych przyjętych na podstawie traktatów, rozporządzenie (UE) 2018/1725 stanowi, że w sprawach dotyczących działalności Wspólnego Przedsięwzięcia S2R ograniczenia mogą być przewidziane w wewnętrznych zasadach, w tym w przepisach dotyczących oceny konieczności i proporcjonalności ograniczenia.

| 2) | Zgodnie z art. 25 ust. 1 rozporządzenia (UE) 2018/1725 ograniczenia w stosowaniu art. 14–22, 35 i 36, jak również art. 4 tego rozporządzenia, w zakresie, w jakim przepisy te odnoszą się do praw i obowiązków przewidzianych w art. 14–22, powinny być oparte na wewnętrznych zasadach przyjętych przez Wspólne Przedsięwzięcie S2R. |
| --- | --- |

2)

Zgodnie z art. 25 ust. 1 rozporządzenia (UE) 2018/1725 ograniczenia w stosowaniu art. 14–22, 35 i 36, jak również art. 4 tego rozporządzenia, w zakresie, w jakim przepisy te odnoszą się do praw i obowiązków przewidzianych w art. 14–22, powinny być oparte na wewnętrznych zasadach przyjętych przez Wspólne Przedsięwzięcie S2R.

| 3) | Wspólne Przedsięwzięcie S2R może, w ramach swojej działalności administracyjnej, prowadzić postępowania administracyjne, dyscyplinarne i czynności wstępne dotyczące potencjalnych nieprawidłowości zgłoszonych do Europejskiego Urzędu ds. Zwalczania Nadużyć Finansowych (OLAF), rozpatrywać sprawy związane ze zgłoszeniami przypadków naruszeń przez sygnalistów, przeprowadzać (formalne i nieformalne) procedury dotyczące nękania, rozpatrywać wewnętrzne i zewnętrzne skargi, prowadzić audyty wewnętrzne, prowadzić postępowania wyjaśniające właściwe dla inspektora ochrony danych zgodnie z art. 45 ust. 2 rozporządzenia (UE) 2018/1725 oraz wewnętrzne postępowania wyjaśniające dotyczące bezpieczeństwa (informatycznego). |
| --- | --- |

3)

Wspólne Przedsięwzięcie S2R może, w ramach swojej działalności administracyjnej, prowadzić postępowania administracyjne, dyscyplinarne i czynności wstępne dotyczące potencjalnych nieprawidłowości zgłoszonych do Europejskiego Urzędu ds. Zwalczania Nadużyć Finansowych (OLAF), rozpatrywać sprawy związane ze zgłoszeniami przypadków naruszeń przez sygnalistów, przeprowadzać (formalne i nieformalne) procedury dotyczące nękania, rozpatrywać wewnętrzne i zewnętrzne skargi, prowadzić audyty wewnętrzne, prowadzić postępowania wyjaśniające właściwe dla inspektora ochrony danych zgodnie z art. 45 ust. 2 rozporządzenia (UE) 2018/1725 oraz wewnętrzne postępowania wyjaśniające dotyczące bezpieczeństwa (informatycznego).

| 4) | Wspólne Przedsięwzięcie S2R przetwarza kilka kategorii danych osobowych, takich jak dane umożliwiające identyfikację, dane kontaktowe, dane zawodowe, dane administracyjne, dane pozyskane z określonych źródeł, dane pochodzące z łączności elektronicznej i dane dotyczące ruchu oraz dane związane ze sprawą (takie jak tok rozumowania, dane behawioralne, oceny, dane o zachowaniu i postępowaniu, jak również dane związane z przedmiotem procedury lub czynności) (4). |
| --- | --- |

4)

Wspólne Przedsięwzięcie S2R przetwarza kilka kategorii danych osobowych, takich jak dane umożliwiające identyfikację, dane kontaktowe, dane zawodowe, dane administracyjne, dane pozyskane z określonych źródeł, dane pochodzące z łączności elektronicznej i dane dotyczące ruchu oraz dane związane ze sprawą (takie jak tok rozumowania, dane behawioralne, oceny, dane o zachowaniu i postępowaniu, jak również dane związane z przedmiotem procedury lub czynności) (4).

| 5) | Wspólne Przedsięwzięcie S2R, reprezentowane przez dyrektora wykonawczego, pełni funkcję administratora danych. |
| --- | --- |

5)

Wspólne Przedsięwzięcie S2R, reprezentowane przez dyrektora wykonawczego, pełni funkcję administratora danych.

| 6) | Dane osobowe są przechowywane w sposób bezpieczny w środowisku elektronicznym lub w wersji papierowej w sposób uniemożliwiający bezprawny dostęp lub przekazanie danych osobom, które nie muszą mieć do nich dostępu. Przetwarzane dane osobowe są przechowywane przez okres nie dłuższy niż to konieczne i właściwe dla celów, dla których są przetwarzane, wskazany w informacji o zasadach przetwarzania danych, oświadczeniach o ochronie prywatności lub rejestrach Wspólnego Przedsięwzięcia S2R. |
| --- | --- |

6)

Dane osobowe są przechowywane w sposób bezpieczny w środowisku elektronicznym lub w wersji papierowej w sposób uniemożliwiający bezprawny dostęp lub przekazanie danych osobom, które nie muszą mieć do nich dostępu. Przetwarzane dane osobowe są przechowywane przez okres nie dłuższy niż to konieczne i właściwe dla celów, dla których są przetwarzane, wskazany w informacji o zasadach przetwarzania danych, oświadczeniach o ochronie prywatności lub rejestrach Wspólnego Przedsięwzięcia S2R.

| 7) | Wewnętrzne zasady należy stosować w odniesieniu do wszystkich procesów przetwarzania prowadzonych przez Wspólne Przedsięwzięcie S2R w ramach przeprowadzania postępowań administracyjnych, dyscyplinarnych, prowadzenia czynności wstępnych dotyczących potencjalnych nieprawidłowości zgłoszonych do OLAF, rozpatrywania spraw związanych ze zgłoszeniami przypadków naruszeń przez sygnalistów, przeprowadzania (formalnych i nieformalnych) procedur dotyczących przypadków nękania, rozpatrywania wewnętrznych i zewnętrznych skarg, prowadzenia audytów wewnętrznych, prowadzenia postępowań wyjaśniających przez inspektora ochrony danych zgodnie z art. 45 ust. 2 rozporządzenia (UE) 2018/1725 oraz postępowań wyjaśniających dotyczących bezpieczeństwa (informatycznego) prowadzonych wewnętrznie lub z udziałem podmiotów zewnętrznych (np. CERT-EU). |
| --- | --- |

7)

Wewnętrzne zasady należy stosować w odniesieniu do wszystkich procesów przetwarzania prowadzonych przez Wspólne Przedsięwzięcie S2R w ramach przeprowadzania postępowań administracyjnych, dyscyplinarnych, prowadzenia czynności wstępnych dotyczących potencjalnych nieprawidłowości zgłoszonych do OLAF, rozpatrywania spraw związanych ze zgłoszeniami przypadków naruszeń przez sygnalistów, przeprowadzania (formalnych i nieformalnych) procedur dotyczących przypadków nękania, rozpatrywania wewnętrznych i zewnętrznych skarg, prowadzenia audytów wewnętrznych, prowadzenia postępowań wyjaśniających przez inspektora ochrony danych zgodnie z art. 45 ust. 2 rozporządzenia (UE) 2018/1725 oraz postępowań wyjaśniających dotyczących bezpieczeństwa (informatycznego) prowadzonych wewnętrznie lub z udziałem podmiotów zewnętrznych (np. CERT-EU).

| 8) | Przepisy te powinny mieć zastosowanie do operacji przetwarzania danych prowadzonych przed uruchomieniem procedur, o których mowa powyżej, w trakcie tych procedur oraz podczas monitorowania działań następczych podejmowanych w rezultacie wspomnianych procedur. Powinny one również obejmować pomoc i współpracę ze strony Wspólnego Przedsięwzięcia S2R udzielaną organom krajowym i organizacjom międzynarodowym poza administracyjnymi postępowaniami wyjaśniającymi. |
| --- | --- |

8)

Przepisy te powinny mieć zastosowanie do operacji przetwarzania danych prowadzonych przed uruchomieniem procedur, o których mowa powyżej, w trakcie tych procedur oraz podczas monitorowania działań następczych podejmowanych w rezultacie wspomnianych procedur. Powinny one również obejmować pomoc i współpracę ze strony Wspólnego Przedsięwzięcia S2R udzielaną organom krajowym i organizacjom międzynarodowym poza administracyjnymi postępowaniami wyjaśniającymi.

| 9) | W przypadkach, w których zastosowanie mają wewnętrzne zasady, Wspólne Przedsięwzięcie S2R przedstawia uzasadnienie ścisłej konieczności i proporcjonalności ograniczeń w społeczeństwie demokratycznym oraz postępuje z poszanowaniem istoty podstawowych praw i wolności. |
| --- | --- |

9)

W przypadkach, w których zastosowanie mają wewnętrzne zasady, Wspólne Przedsięwzięcie S2R przedstawia uzasadnienie ścisłej konieczności i proporcjonalności ograniczeń w społeczeństwie demokratycznym oraz postępuje z poszanowaniem istoty podstawowych praw i wolności.

| 10) | W ramach powyższego Wspólne Przedsięwzięcie S2R podczas realizacji wspomnianych procedur ma obowiązek przestrzegać w możliwie szerokim zakresie praw podstawowych osób, których dane dotyczą, w szczególności związanych z prawem do udzielania informacji, prawem dostępu, prawem do sprostowania danych, prawem do usunięcia danych, prawem do ograniczeniem przetwarzania, prawem do zawiadomienia osoby, której dane dotyczą, o naruszeniu ochrony danych lub prawem do poufności łączności, które to prawa przewidziano w rozporządzeniu (UE) 2018/1725. |
| --- | --- |

10)

W ramach powyższego Wspólne Przedsięwzięcie S2R podczas realizacji wspomnianych procedur ma obowiązek przestrzegać w możliwie szerokim zakresie praw podstawowych osób, których dane dotyczą, w szczególności związanych z prawem do udzielania informacji, prawem dostępu, prawem do sprostowania danych, prawem do usunięcia danych, prawem do ograniczeniem przetwarzania, prawem do zawiadomienia osoby, której dane dotyczą, o naruszeniu ochrony danych lub prawem do poufności łączności, które to prawa przewidziano w rozporządzeniu (UE) 2018/1725.

| 11) | Wspólne Przedsięwzięcie S2R może być jednak zobowiązane do ograniczenia informacji udzielanych osobie, której dane dotyczą, i innych praw takiej osoby w celu zapewnienia ochrony – w szczególności – własnych postępowań wyjaśniających, postępowań wyjaśniających i postępowań innych organów publicznych, jak również praw innych osób w związku z postępowaniami wyjaśniającymi lub innymi procedurami. |
| --- | --- |

11)

Wspólne Przedsięwzięcie S2R może być jednak zobowiązane do ograniczenia informacji udzielanych osobie, której dane dotyczą, i innych praw takiej osoby w celu zapewnienia ochrony – w szczególności – własnych postępowań wyjaśniających, postępowań wyjaśniających i postępowań innych organów publicznych, jak również praw innych osób w związku z postępowaniami wyjaśniającymi lub innymi procedurami.

| 12) | W sytuacji, gdy Wspólne Przedsięwzięcie S2R rozważa zastosowanie ograniczenia, należy porównać zagrożenie dla praw i wolności osób, których dane dotyczą, z zagrożeniem – w szczególności – dla praw i wolności innych osób, których dane dotyczą, jak również z zagrożeniem unieważnienia skutku postępowań wyjaśniających lub procedur Wspólnego Przedsięwzięcia S2R, przykładowo ze względu na zniszczenie materiału dowodowego. Zagrożenia dla praw i wolności osób, których dane dotyczą, wiążą się przede wszystkim, choć nie wyłącznie, z zagrożeniem dla reputacji oraz zagrożeniem dla prawa do obrony oraz prawa do bycia wysłuchanym. |
| --- | --- |

12)

W sytuacji, gdy Wspólne Przedsięwzięcie S2R rozważa zastosowanie ograniczenia, należy porównać zagrożenie dla praw i wolności osób, których dane dotyczą, z zagrożeniem – w szczególności – dla praw i wolności innych osób, których dane dotyczą, jak również z zagrożeniem unieważnienia skutku postępowań wyjaśniających lub procedur Wspólnego Przedsięwzięcia S2R, przykładowo ze względu na zniszczenie materiału dowodowego. Zagrożenia dla praw i wolności osób, których dane dotyczą, wiążą się przede wszystkim, choć nie wyłącznie, z zagrożeniem dla reputacji oraz zagrożeniem dla prawa do obrony oraz prawa do bycia wysłuchanym.

| 13) | Wspólne Przedsięwzięcie S2R może zatem ograniczyć informacje dla celów ochrony postępowania wyjaśniającego oraz ochrony praw podstawowych i wolności innych osób, których dane dotyczą. |
| --- | --- |

13)

Wspólne Przedsięwzięcie S2R może zatem ograniczyć informacje dla celów ochrony postępowania wyjaśniającego oraz ochrony praw podstawowych i wolności innych osób, których dane dotyczą.

| 14) | Wspólne Przedsięwzięcie S2R powinno okresowo dokonywać przeglądu, czy warunki uzasadniające ograniczenie nadal występują i znieść ograniczenie, gdy nie można stwierdzić ich występowania. |
| --- | --- |

14)

Wspólne Przedsięwzięcie S2R powinno okresowo dokonywać przeglądu, czy warunki uzasadniające ograniczenie nadal występują i znieść ograniczenie, gdy nie można stwierdzić ich występowania.

| 15) | Administrator informuje inspektora ochrony danych w chwili odroczenia i podczas przeglądu, |
| --- | --- |

15)

Administrator informuje inspektora ochrony danych w chwili odroczenia i podczas przeglądu,

PRZYJMUJE NINIEJSZĄ DECYZJĘ:

Artykuł 1

Przedmiot i zakres

1.   Niniejsza decyzja określa zasady dotyczące warunków, w których Wspólne Przedsięwzięcie S2R w ramach własnych procedur określonych w ust. 2, może zgodnie z art. 25 rozporządzenia (UE) 2018/1725 ograniczyć stosowanie praw przewidzianych w art. 14–21, 35 i 36, jak również art. 4.

2.   W ramach działalności administracyjnej Wspólnego Przedsięwzięcia S2R niniejsza decyzja ma zastosowanie w odniesieniu do procesów przetwarzania danych osobowych prowadzonych przez Biuro Programowe na potrzeby przeprowadzania postępowań administracyjnych, dyscyplinarnych, prowadzenia czynności wstępnych dotyczących potencjalnych nieprawidłowości zgłoszonych do OLAF, rozpatrywania spraw związanych ze zgłoszeniami przypadków naruszeń przez sygnalistów, przeprowadzania (formalnych i nieformalnych) procedur dotyczących nękania, rozpatrywania wewnętrznych i zewnętrznych skarg, prowadzenia audytów wewnętrznych, prowadzenia postępowań wyjaśniających przez inspektora ochrony danych zgodnie z art. 45 ust. 2 rozporządzenia (UE) 2018/1725 oraz postępowań wyjaśniających dotyczących bezpieczeństwa (informatycznego) prowadzonych wewnętrznie lub z udziałem podmiotu zewnętrznego (np. CERT-UE).

3.   Przedmiotowe kategorie danych obejmują dane umożliwiające identyfikację, dane kontaktowe, dane zawodowe, dane administracyjne, dane pozyskane z określonych źródeł, dane pochodzące z łączności elektronicznej i dane dotyczące ruchu oraz dane związane ze sprawą, takie jak tok rozumowania, dane behawioralne, oceny, dane o zachowaniu i postępowaniu, jak również dane związane z przedmiotem procedury lub czynności.

4.   Wspólne Przedsięwzięcie S2R, realizując swoje obowiązki w odniesieniu do praw osób, których dane dotyczą, przewidziane rozporządzeniem (UE) 2018/1725, rozważa, czy zastosowanie ma którykolwiek z wyjątków przewidzianych w rozporządzeniu.

Artykuł 2

Określenie administratora

Administratorem operacji przetwarzania danych jest Wspólne Przedsięwzięcie S2R reprezentowane przez dyrektora wykonawczego.

Artykuł 3

Określenie zabezpieczeń

1.   Wspólne Przedsięwzięcie S2R wprowadza następujące zabezpieczenia w celu uniemożliwienia nadużywania, bezprawnego dostępu lub przekazywania danych osobowych:

| a) | dokumenty papierowe są przechowywane w zabezpieczonych szafkach i dostęp do nich ma tylko upoważniony personel; |
| --- | --- |

a)

dokumenty papierowe są przechowywane w zabezpieczonych szafkach i dostęp do nich ma tylko upoważniony personel;

| b) | wszystkie dane elektroniczne są przechowywane w bezpiecznej aplikacji informatycznej zgodnej z normami bezpieczeństwa Wspólnego Przedsięwzięcia S2R, jak również w konkretnych folderach elektronicznych, do których dostęp ma tylko upoważniony personel. odpowiedni poziom dostępu jest przyznawany indywidualnie; |
| --- | --- |

b)

wszystkie dane elektroniczne są przechowywane w bezpiecznej aplikacji informatycznej zgodnej z normami bezpieczeństwa Wspólnego Przedsięwzięcia S2R, jak również w konkretnych folderach elektronicznych, do których dostęp ma tylko upoważniony personel. odpowiedni poziom dostępu jest przyznawany indywidualnie;

| c) | baza danych jest chroniona hasłem w ramach systemu pojedynczego logowania i łączy się automatycznie z identyfikatorem i hasłem użytkownika, w tym – w stosownych przypadkach – za pomocą „pseudonimizacji” lub „szyfrowania”. Bezwzględnie zakazane jest korzystanie z danych użytkownika przez inne osoby. Rejestry elektroniczne przechowywane są w sposób bezpieczny w celu zapewnienia ich poufności i ochrony prywatności oraz zawartych w nich danych; |
| --- | --- |

c)

baza danych jest chroniona hasłem w ramach systemu pojedynczego logowania i łączy się automatycznie z identyfikatorem i hasłem użytkownika, w tym – w stosownych przypadkach – za pomocą „pseudonimizacji” lub „szyfrowania”. Bezwzględnie zakazane jest korzystanie z danych użytkownika przez inne osoby. Rejestry elektroniczne przechowywane są w sposób bezpieczny w celu zapewnienia ich poufności i ochrony prywatności oraz zawartych w nich danych;

| d) | wszystkie osoby z dostępem do danych mają obowiązek zachować ich poufność. |
| --- | --- |

d)

wszystkie osoby z dostępem do danych mają obowiązek zachować ich poufność.

2.   Zgodnie z art. 6 ust. 3 zabezpieczenia, o których mowa w ust. 1, powinny podlegać okresowemu przeglądowi.

3.   Okres przechowywania danych osobowych, o którym mowa w art. 1 ust. 3, określono w odpowiednich informacjach o ochronie danych, oświadczeniach o ochronie prywatności oraz prowadzonych rejestrach, o których mowa w art. 7 ust. 1. Okres przechowywania w żadnym wypadku nie jest dłuższy niż to konieczne i właściwe dla celów, dla których dane są przetwarzane (5).

Artykuł 4

Podstawy ograniczeń

1.   Wszelkie ograniczenia są stosowane przez Wspólne Przedsięwzięcie S2R w celu zapewnienia:

| a) | bezpieczeństwa narodowego, bezpieczeństwa publicznego lub obronności państw członkowskich; |
| --- | --- |

a)

bezpieczeństwa narodowego, bezpieczeństwa publicznego lub obronności państw członkowskich;

| b) | zapobiegania przestępstwom, prowadzenia postępowań wyjaśniających, wykrywania przestępstw oraz ścigania przestępstw lub wykonywania kar, w tym zabezpieczenia przed zagrożeniami dla bezpieczeństwa publicznego oraz zapobiegania takim zagrożeniom; |
| --- | --- |

b)

zapobiegania przestępstwom, prowadzenia postępowań wyjaśniających, wykrywania przestępstw oraz ścigania przestępstw lub wykonywania kar, w tym zabezpieczenia przed zagrożeniami dla bezpieczeństwa publicznego oraz zapobiegania takim zagrożeniom;

| c) | realizacji innych ważnych celów leżących w interesie publicznym Unii lub państwa członkowskiego, w szczególności celów wspólnej polityki zagranicznej i bezpieczeństwa Unii lub ważnego interesu gospodarczego lub finansowego Unii lub państwa członkowskiego, w tym kwestii pieniężnych, budżetowych i podatkowych, zdrowia publicznego i zabezpieczenia społecznego; |
| --- | --- |

c)

realizacji innych ważnych celów leżących w interesie publicznym Unii lub państwa członkowskiego, w szczególności celów wspólnej polityki zagranicznej i bezpieczeństwa Unii lub ważnego interesu gospodarczego lub finansowego Unii lub państwa członkowskiego, w tym kwestii pieniężnych, budżetowych i podatkowych, zdrowia publicznego i zabezpieczenia społecznego;

| d) | wewnętrznego bezpieczeństw instytucji i organów Unii, w tym ich sieci łączności elektronicznej; |
| --- | --- |

d)

wewnętrznego bezpieczeństw instytucji i organów Unii, w tym ich sieci łączności elektronicznej;

| e) | zapobiegania naruszeniom etyki zawodów regulowanych, prowadzenia postępowań wyjaśniających w sprawie takich naruszeń, wykrywania ich oraz ścigania; |
| --- | --- |

e)

zapobiegania naruszeniom etyki zawodów regulowanych, prowadzenia postępowań wyjaśniających w sprawie takich naruszeń, wykrywania ich oraz ścigania;

| f) | monitorowania funkcji kontrolującej, inspekcyjnej lub regulacyjnej związanej choćby sporadycznie z realizacją zadań, o których mowa w lit. a) do c); |
| --- | --- |

f)

monitorowania funkcji kontrolującej, inspekcyjnej lub regulacyjnej związanej choćby sporadycznie z realizacją zadań, o których mowa w lit. a) do c);

| g) | ochrony osób, których dane dotyczą, bądź praw i wolności innych osób; |
| --- | --- |

g)

ochrony osób, których dane dotyczą, bądź praw i wolności innych osób;

| h) | egzekucji roszczeń cywilnoprawnych. |
| --- | --- |

h)

egzekucji roszczeń cywilnoprawnych.

2.   Jako szczególne zastosowanie w celach opisanych w ust. 1 powyżej, Wspólne Przedsięwzięcie S2R może zastosować ograniczenia w następujących okolicznościach:

| a) | w związku z danymi osobowymi wymienianymi ze służbami Komisji lub innymi instytucjami, organami i jednostkami organizacyjnymi Unii:






  — | jeżeli służby Komisji lub inne instytucje, organy i jednostki organizacyjne Unii są upoważnione do ograniczenia wykonywania wymienionych praw na podstawie innych aktów, o których mowa w art. 25 rozporządzenia (UE) 2018/1725 lub zgodnie z rozdziałem IX tego rozporządzenia lub aktami założycielskimi innych instytucji, organów i jednostek organizacyjnych Unii, |
| --- | --- | --- |

a)

w związku z danymi osobowymi wymienianymi ze służbami Komisji lub innymi instytucjami, organami i jednostkami organizacyjnymi Unii:

—

jeżeli służby Komisji lub inne instytucje, organy i jednostki organizacyjne Unii są upoważnione do ograniczenia wykonywania wymienionych praw na podstawie innych aktów, o których mowa w art. 25 rozporządzenia (UE) 2018/1725 lub zgodnie z rozdziałem IX tego rozporządzenia lub aktami założycielskimi innych instytucji, organów i jednostek organizacyjnych Unii,

| — | jeżeli cel takiego ograniczenia nałożonego przez służby Komisji lub instytucje, organy i jednostki organizacyjne Unii byłby zagrożony, gdyby Wspólne Przedsięwzięcie S2R nie zastosowało równoważnego ograniczenia w odniesieniu do tych samych danych osobowych. |
| --- | --- |

—

jeżeli cel takiego ograniczenia nałożonego przez służby Komisji lub instytucje, organy i jednostki organizacyjne Unii byłby zagrożony, gdyby Wspólne Przedsięwzięcie S2R nie zastosowało równoważnego ograniczenia w odniesieniu do tych samych danych osobowych.

| b) | w związku z danymi osobowymi wymienianymi z właściwymi organami państw członkowskich:






  — | jeżeli właściwe organy państw członkowskich są upoważnione do ograniczenia wykonywania wymienionych praw na podstawie aktów, o których mowa w art. 23 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (6) lub środków krajowych transponujących art. 13 ust. 3, art. 15 ust. 3 lub art. 16 ust. 3 dyrektywy Parlamentu i Rady (UE) 2016/680 (7), |
| --- | --- | --- |

b)

w związku z danymi osobowymi wymienianymi z właściwymi organami państw członkowskich:

—

jeżeli właściwe organy państw członkowskich są upoważnione do ograniczenia wykonywania wymienionych praw na podstawie aktów, o których mowa w art. 23 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (6) lub środków krajowych transponujących art. 13 ust. 3, art. 15 ust. 3 lub art. 16 ust. 3 dyrektywy Parlamentu i Rady (UE) 2016/680 (7),

| — | jeżeli cel takiego ograniczenia nałożonego przez taki właściwy organ byłby zagrożony, gdyby Wspólne Przedsięwzięcie S2R nie zastosowało równoważnego ograniczenia w odniesieniu do tych samych danych osobowych. |
| --- | --- |

—

jeżeli cel takiego ograniczenia nałożonego przez taki właściwy organ byłby zagrożony, gdyby Wspólne Przedsięwzięcie S2R nie zastosowało równoważnego ograniczenia w odniesieniu do tych samych danych osobowych.

| w | związku z danymi osobowymi wymienianymi z państwami trzecimi lub organizacjami międzynarodowymi, przypadku gdy istnieją wyraźne dowody na to, że wykonywanie tych prai obowiązkóramach realizacji zadań Wspólnego Przedsięwzięcia S2R może zagrozić jego współpracy z państwami trzecimi lub organizacjami międzynarodowymi. |
| --- | --- |

w

związku z danymi osobowymi wymienianymi z państwami trzecimi lub organizacjami międzynarodowymi, przypadku gdy istnieją wyraźne dowody na to, że wykonywanie tych prai obowiązkóramach realizacji zadań Wspólnego Przedsięwzięcia S2R może zagrozić jego współpracy z państwami trzecimi lub organizacjami międzynarodowymi.

Przed zastosowaniem ograniczeń w okolicznościach, o których mowa w lit. a) i b) akapitu pierwszego, Wspólne Przedsięwzięcie S2R konsultuje się z odpowiednimi służbami Komisji, instytucjami, organami i jednostkami organizacyjnymi Unii lub właściwymi organami państw członkowskich, chyba że dla Wspólnego Przedsięwzięcia S2R oczywiste jest, że stosowanie ograniczenia przewidziano w jednym z aktów, o których mowa w lit. a) i b).

Artykuł 5

Ograniczenia i prawa osób, których dane dotyczą

1.   W należycie uzasadnionych przypadkach i z zastrzeżeniem warunków określonych w niniejszej decyzji administrator może ograniczyć, gdy jest to konieczne i proporcjonalne, następujące prawa w kontekście operacji przetwarzania, o których mowa w art. 1 ust. 2 i ust. 2 poniżej:

| a) | prawo do informacji; |
| --- | --- |

a)

prawo do informacji;

| b) | prawo dostępu; |
| --- | --- |

b)

prawo dostępu;

| c) | prawo do sprostowania, usunięcia i ograniczenia przetwarzania; |
| --- | --- |

c)

prawo do sprostowania, usunięcia i ograniczenia przetwarzania;

| d) | prawo do zawiadomienia osoby, której dane dotyczą, o naruszeniu ochrony danych osobowych; |
| --- | --- |

d)

prawo do zawiadomienia osoby, której dane dotyczą, o naruszeniu ochrony danych osobowych;

| e) | prawo do poufności łączności elektronicznej. |
| --- | --- |

e)

prawo do poufności łączności elektronicznej.

2.   W należycie uzasadnionych przypadkach i w celu zagwarantowania celów, o których mowa w art. 4 ust. 1, administrator może zastosować ograniczenia w kontekście następujących operacji przetwarzania, o których mowa w art. 1 ust. 2:

| a) | realizacji postępowań wyjaśniających administracyjnych i postępowań dyscyplinarnych; |
| --- | --- |

a)

realizacji postępowań wyjaśniających administracyjnych i postępowań dyscyplinarnych;

| b) | czynności wstępnych związanych z przypadkami potencjalnych nieprawidłowości zgłaszanych do Europejskiego Urzędu ds. Zwalczania Nadużyć Finansowych (OLAF); |
| --- | --- |

b)

czynności wstępnych związanych z przypadkami potencjalnych nieprawidłowości zgłaszanych do Europejskiego Urzędu ds. Zwalczania Nadużyć Finansowych (OLAF);

| c) | procedur związanych ze zgłoszeniami przypadków naruszeń przez sygnalistów; |
| --- | --- |

c)

procedur związanych ze zgłoszeniami przypadków naruszeń przez sygnalistów;

| d) | (formalnych i nieformalnych) procedur podejmowanych w przypadkach nękania; |
| --- | --- |

d)

(formalnych i nieformalnych) procedur podejmowanych w przypadkach nękania;

| e) | rozpatrywania wewnętrznych i zewnętrznych skarg; |
| --- | --- |

e)

rozpatrywania wewnętrznych i zewnętrznych skarg;

| f) | audytów wewnętrznych; |
| --- | --- |

f)

audytów wewnętrznych;

| g) | badania spraw prowadzonego przez inspektora ochrony danych zgodnie z art. 45 ust. 2 rozporządzenia (UE) 2018/1725; |
| --- | --- |

g)

badania spraw prowadzonego przez inspektora ochrony danych zgodnie z art. 45 ust. 2 rozporządzenia (UE) 2018/1725;

| h) | postępowań wyjaśniających dotyczących bezpieczeństwa (informatycznego) prowadzonych wewnętrznie lub z udziałem podmiotów zewnętrznych (np. CERT-EU); |
| --- | --- |

h)

postępowań wyjaśniających dotyczących bezpieczeństwa (informatycznego) prowadzonych wewnętrznie lub z udziałem podmiotów zewnętrznych (np. CERT-EU);

| i) | w ramach procedur zarządzania dotacjami lub udzielania zamówień publicznych, po upłynięciu terminu składania zaproszeń do składania ofert lub wniosków. |
| --- | --- |

i)

w ramach procedur zarządzania dotacjami lub udzielania zamówień publicznych, po upłynięciu terminu składania zaproszeń do składania ofert lub wniosków.

3.   W kontekście procedury dotyczącej przypadków nękania prawa, o których mowa w ust. 1, mogą być ograniczone na tych samych warunkach, z wyjątkiem prawa do zawiadomienia osoby, której dane dotyczą, o naruszeniu ochrony danych osobowych, o którym mowa w ust. 1 lit. d).

4.   W kontekście procedury zarządzania dotacjami lub udzielania zamówień publicznych prawa, o których mowa w ust. 1, mogą być ograniczone na tych samych warunkach, z wyjątkiem prawa do sprostowania danych, ich usunięcia i ograniczenia przetwarzania, o którym mowa w ust. 1 lit. c).

5.   W należycie uzasadnionych przypadkach i z zastrzeżeniem warunków określonych w niniejszej decyzji administrator może ograniczyć prawo do sprostowania danych, ich usunięcia i ograniczenia przetwarzania, z zastrzeżeniem wyjątków przewidzianych w ust. 3 i 4.

6.   Jeżeli Wspólne Przedsięwzięcie S2R ogranicza, w całości lub w części, stosowanie praw, o których mowa w ust. 1, 3, 4 i 5, podejmuje kroki określone w art. 6 i 7 niniejszej decyzji.

7.   Jeżeli osoby, których dane dotyczą, żądają dostępu do swoich danych osobowych przetwarzanych w kontekście co najmniej jednej sprawy lub konkretnej operacji przetwarzania, zgodnie z art. 17 rozporządzenia (UE) 2018/1725 Wspólne Przedsięwzięcie S2R ogranicza się w ocenie wniosku wyłącznie do takich danych osobowych.

Artykuł 6

Konieczność i proporcjonalność ograniczeń

1.   Wszelkie ograniczenia wynikające z art. 4 są konieczne i proporcjonalne, zważywszy na zagrożenie dla praw i wolności osób, których dane dotyczą oraz przestrzeganie istoty praw podstawowych i wolności w społeczeństwie demokratycznym.

2.   Jeżeli rozważane jest zastosowanie ograniczenia, przeprowadza się analizę konieczności i proporcjonalności opartą na zasadach przedstawionych poniżej. Badanie przeprowadza się również w ramach przeglądu okresowego, po dokonaniu oceny, czy nadal występują faktyczne i prawne powody ograniczenia. Proces ten zostaje udokumentowany wewnętrzną notą oceny dla celów rozliczalności, osobno dla każdego przypadku.

3.   Ograniczenia mają charakter tymczasowy. Ograniczenia stosuje się dopóki zastosowanie mają przyczyny uzasadniające ich stosowanie. W szczególności, jeżeli uznaje się, że realizacja ograniczonego prawa nie unieważniałaby już skutku ograniczenia lub nie wpływałaby już negatywnie na prawa lub wolności innych osób, których dotyczą dane.

Wspólne Przedsięwzięcie S2R dokonuje przeglądu stosowania ograniczenia co sześć miesięcy od chwili przyjęcia ograniczenia, jak również z chwilą zakończenia danego postępowania, danej procedury lub danego postępowania wyjaśniającego. Następnie administrator monitoruje konieczność utrzymania ograniczenia co sześć miesięcy.

4.   Jeżeli Wspólne Przedsięwzięcie S2R stosuje, w całości lub w części, ograniczenia wynikające z art. 4 niniejszej decyzji, dokumentuje przyczyny ograniczenia, podstawę prawną zgodnie z ust. 1 powyżej, w tym ocenę konieczności i proporcjonalności ograniczenia.

Rejestr oraz – w stosownych przypadkach – dokumenty zawierające okoliczności faktyczne i prawne leżące u podstaw takiej decyzji są dokumentowane. Udostępnia się je na żądanie Europejskiemu Inspektorowi Ochrony Danych.

Artykuł 7

Obowiązek informowania

1.   Wspólne Przedsięwzięcie S2R zamieszcza informacje o potencjalnym ograniczeniu praw w informacjach o ochronie danych osobowych, oświadczeniach o ochronie prywatności lub rejestrze w rozumieniu art. 31 rozporządzenia (UE) 2018/1725, publikowanych na stronie internetowej lub w intranecie, gdzie zawarta jest informacja dla osób, których dane dotyczą, na temat praw przysługujących im w ramach danej procedury. Informacja zawiera wskazanie danych, które mogą podlegać ograniczeniu, przyczyny ograniczenia oraz potencjalny okres obowiązywania ograniczenia.

Bez uszczerbku dla przepisów art. 6 ust. 4 Wspólne Przedsięwzięcie S2R, w sytuacji gdy jest to proporcjonalne, bez zbędnej zwłoki informuje również na piśmie indywidualnie wszystkie osoby, których dane dotyczą, uznawane za osoby objęte konkretną operacją przetwarzania danych, o przysługujących im prawach odnośnie do obecnych lub przyszłych ograniczeń.

2.   Jeżeli Wspólne Przedsięwzięcie S2R ogranicza, w całości lub w części, prawa określone w art. 5, informuje osobę, której dane dotyczą, o zastosowanym ograniczeniu i jego głównych przyczynach, jak również o możliwości wniesienia skargi do Europejskiego Inspektora Ochrony Danych lub o możliwości odwołania się do Trybunału Sprawiedliwości Unii Europejskiej;

Wspólne Przedsięwzięcie S2R może odroczyć udzielenie informacji, pominąć je lub odmówić udzielenia informacji, o których mowa w ust. 2, jeżeli unieważniłoby to skutek ograniczenia zgodnie z art. 25 ust. 8 rozporządzenia (UE) 2018/1725.

Artykuł 8

Przegląd dokonywany przez inspektora ochrony danych

1.   Wspólne Przedsięwzięcie S2R bez zbędnej zwłoki informuje inspektora ochrony danych („IOD”) Wspólnego Przedsięwzięcia S2R o każdym przypadku, w którym administrator ogranicza stosowanie praw osób, których dane dotyczą, lub rozszerza ograniczenie zgodnie z niniejszą decyzją. Administrator zapewnia inspektorowi ochrony danych dostęp do rejestru zawierającego ocenę konieczności i proporcjonalności ograniczenia oraz odnotowuje datę powiadomienia inspektora ochrony danych.

2.   Inspektor ochrony danych może na piśmie wymagać od administratora przedstawienia przeglądu stosowania ograniczeń. Administrator informuje inspektora ochrony danych na piśmie o rezultatach żądanego przeglądu.

3.   Inspektor ochrony danych uczestniczy w całej procedurze. Administrator informuje inspektora ochrony danych o zniesieniu ograniczenia, gdy do niego dojdzie.

Artykuł 9

Wejście w życie

Niniejsza decyzja wchodzi w życie dwudziestego dnia po jej opublikowaniu w Dzienniku Urzędowym Unii Europejskiej.

Dzienniku Urzędowym Unii Europejskiej

Sporządzono w Brukseli dnia 26 marca 2020 r.

W imieniu Rady Zarządzającej

Wspólnego Przedsięwzięcia S2R

Henrik HOLOLEI

Przewodniczący

---

(1)  
  Dz.U. C 202 z 7.6.2016, s. 47.

1

(2)  
  Dz.U. L 295 z 21.11.2018, s. 39.

2

(3)  
  Dz.U. L 177 z 17.6.2014, s. 9.

3

(4)  W przypadku współadministracji dane przetwarzane są zgodnie ze środkami i celami ustanowionymi w odpowiednim uzgodnieniu między współadministratorami określonym w art. 28 rozporządzenia (UE) 2018/1725.

4

(5)  Polityka zatrzymywania danych Wspólnego Przedsięwzięcia S2R opiera się na zatrzymywaniu dokumentacji w Komisji regulowanym przez wspólny wykaz zatrzymywanych danych, czyli dokument regulacyjny (ostatnia wersja: SEC(2019)900) w formie harmonogramu zatrzymywania, w którym określono okresy zatrzymywania poszczególnych rodzajów akt Komisji.

5

(6)  Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych), (Dz.U. L 119 z 4.5.2016, s. 1).

6

(7)  Dyrektywa Parlamentu Europejskiego i Rady (UE) 2016/680 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar, w sprawie swobodnego przepływu takich danych oraz uchylająca decyzję ramową Rady 2008/977/WSiSW (Dz.U. L 119 z 4.5.2016, s. 89).

7

---