# Úřední věstník L 236/2020

| | ISSN 1977-0626 |
| --- | --- |
| Úřední věstník
  Evropské unie | L 236 |
| | |
| České vydání | Právní předpisy | Ročník 6322. července 2020 |

ISSN 1977-0626

Úřední věstník

Evropské unie

L 236

České vydání

Právní předpisy

Ročník 6322. července 2020

---

| Obsah | | II   Nelegislativní akty | Strana |
| --- | --- | --- | --- |
| | | JEDNACÍ ŘÁDY |
| | * | Rozhodnutí Evropského investičního fondu ze dne 4. června 2020, kterým se stanoví vnitřní př edpisy týkající se omezení některých práv subjektů údajů v oblasti zpracování osobních údajů v rámci činností prováděných Evropským investičním fondem | 1 |
| | * | Rozhodnutí správní rady společného podniku SHIFT2RAIL č. 1/2020 ze dne 26. března 2020, kterým se stanoví vnitřní předpisy týkající se omezení některých práv subjektů údajů, pokud jde o zpracování osobních údajů v rámci fungování společného podniku S2R | 7 |

Obsah

II   Nelegislativní akty

Strana

JEDNACÍ ŘÁDY

*

Rozhodnutí Evropského investičního fondu ze dne 4. června 2020, kterým se stanoví vnitřní př edpisy týkající se omezení některých práv subjektů údajů v oblasti zpracování osobních údajů v rámci činností prováděných Evropským investičním fondem

1

*

Rozhodnutí správní rady společného podniku SHIFT2RAIL č. 1/2020 ze dne 26. března 2020, kterým se stanoví vnitřní předpisy týkající se omezení některých práv subjektů údajů, pokud jde o zpracování osobních údajů v rámci fungování společného podniku S2R

7

| CS | Akty, jejichž název není vytištěn tučně, se vztahují ke každodennímu řízení záležitostí v zemědělství a obecně platí po omezenou dobu.
  Názvy všech ostatních aktů jsou vytištěny tučně a předchází jim hvězdička. |
| --- | --- |

CS

Akty, jejichž název není vytištěn tučně, se vztahují ke každodennímu řízení záležitostí v zemědělství a obecně platí po omezenou dobu.

Názvy všech ostatních aktů jsou vytištěny tučně a předchází jim hvězdička.

---

II Nelegislativní akty

JEDNACÍ ŘÁDY

| 22.7.2020 | CS | Úřední věstník Evropské unie | L 236/1 |
| --- | --- | --- | --- |

22.7.2020

CS

Úřední věstník Evropské unie

L 236/1

---

ROZHODNUTÍ EVROPSKÉHO INVESTIČNÍHO FONDU

ze dne 4. června 2020,

kterým se stanoví vnitřní př edpisy týkající se omezení některých práv subjektů údajů v oblasti zpracování osobních údajů v rámci činností prováděných Evropským investičním fondem

EVROPSKÝ INVESTIČNÍ FOND (EIF)

s ohledem na Smlouvu o fungování Evropské unie,

s ohledem na nařízení Evropského parlamentu a Rady (EU) 2018/1725 ze dne 23. října 2018 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů orgány, institucemi a jinými subjekty Unie a o volném pohybu těchto údajů a o zrušení nařízení (ES) č. 45/2001 a rozhodnutí č. 1247/2002/ES (1) (dále jen „nařízení“), a zejména na článek 25 tohoto nařízení;

s ohledem na stanovisko (2) evropského inspektora ochrany údajů (EDPS),

Vzhledem k těmto důvodům:

| (1) | Oddělení EIF pro otázky compliance může vést v rámci svého působení na základě etického kodexu zaměstnanců skupiny EIB správní šetření, která implicitně zahrnují zpracování informací včetně osobních údajů; |
| --- | --- |

(1)

Oddělení EIF pro otázky compliance může vést v rámci svého působení na základě etického kodexu zaměstnanců skupiny EIB správní šetření, která implicitně zahrnují zpracování informací včetně osobních údajů;

| (2) | Pověřenec EIF pro ochranu osobních údajů může ze svého vlastního podnětu nebo na žádost správce údajů nebo jakékoli osoby vyšetřovat otázky a skutečnosti, které přímo souvisejí s jeho úkoly a které mu byly oznámeny, a podat zprávu osobě, která o prošetření požádala, nebo správci, a to podle čl. 45 odst. 2 nařízení; |
| --- | --- |

(2)

Pověřenec EIF pro ochranu osobních údajů může ze svého vlastního podnětu nebo na žádost správce údajů nebo jakékoli osoby vyšetřovat otázky a skutečnosti, které přímo souvisejí s jeho úkoly a které mu byly oznámeny, a podat zprávu osobě, která o prošetření požádala, nebo správci, a to podle čl. 45 odst. 2 nařízení;

| (3) | Oddělení EIF pro řízení lidských a jiných zdrojů EIF může vést v rámci svého působení disciplinární řízení na základě článku 6 služebního řádu EIF, kapitoly 4 zásad důstojnosti při práci a příslušných etických pravidel EIF. |
| --- | --- |

(3)

Oddělení EIF pro řízení lidských a jiných zdrojů EIF může vést v rámci svého působení disciplinární řízení na základě článku 6 služebního řádu EIF, kapitoly 4 zásad důstojnosti při práci a příslušných etických pravidel EIF.

| (4) | Členové správní rady EIF, generální ředitel, zástupce generálního ředitele a zaměstnanci EIF, jakož i subjekty spojené s operacemi/transakcemi jsou povinny učinit oznámení divizi EIB pro vyšetřování podvodů (dále jen „divize IG/IN“) ohledně možného protiprávního jednání (např. podvodu či korupce), které poškozuje zájmy EIF a Evropské unie, nebo učinit oznámení jiným příslušným službám ohledně jakéhokoli jednání souvisejícího s plněním služebních povinností, pokud takové jednání může představovat závažné porušení jakýchkoli relevantních povinností. Krom toho může údajné protiprávní jednání oznámit divizi IG/IN kdokoli z veřejnosti či jakákoli osoba nebo subjekt. |
| --- | --- |

(4)

Členové správní rady EIF, generální ředitel, zástupce generálního ředitele a zaměstnanci EIF, jakož i subjekty spojené s operacemi/transakcemi jsou povinny učinit oznámení divizi EIB pro vyšetřování podvodů (dále jen „divize IG/IN“) ohledně možného protiprávního jednání (např. podvodu či korupce), které poškozuje zájmy EIF a Evropské unie, nebo učinit oznámení jiným příslušným službám ohledně jakéhokoli jednání souvisejícího s plněním služebních povinností, pokud takové jednání může představovat závažné porušení jakýchkoli relevantních povinností. Krom toho může údajné protiprávní jednání oznámit divizi IG/IN kdokoli z veřejnosti či jakákoli osoba nebo subjekt.

| (5) | Vyšetřování protiprávního jednání, jak je tento pojem vymezen v politice EIF v oblasti boje proti podvodům, provádí divize IG/IN jako zpracovatel údajů na základě Rámcové dohody mezi EIF a EIB o poskytování služeb. |
| --- | --- |

(5)

Vyšetřování protiprávního jednání, jak je tento pojem vymezen v politice EIF v oblasti boje proti podvodům, provádí divize IG/IN jako zpracovatel údajů na základě Rámcové dohody mezi EIF a EIB o poskytování služeb.

| (6) | EIF provádí audity své činnosti. Tyto audity v současné době provádí oddělení Vnitřní audit EIB na základě Rámcové dohody mezi EIF a EIB o poskytování služeb. |
| --- | --- |

(6)

EIF provádí audity své činnosti. Tyto audity v současné době provádí oddělení Vnitřní audit EIB na základě Rámcové dohody mezi EIF a EIB o poskytování služeb.

| (7) | V rámci úkolů popsaných v bodech 1 až 6 odůvodnění může EIF poskytovat pomoc a součinnost jiným orgánům, institucím a jiným subjektům Unie a od takových jiných orgánů, institucí a subjektů Unie pomoc a součinnost přijímat, jak je stanoveno v příslušných dohodách o poskytování služeb, memorandech o porozumění a smlouvách o spolupráci. |
| --- | --- |

(7)

V rámci úkolů popsaných v bodech 1 až 6 odůvodnění může EIF poskytovat pomoc a součinnost jiným orgánům, institucím a jiným subjektům Unie a od takových jiných orgánů, institucí a subjektů Unie pomoc a součinnost přijímat, jak je stanoveno v příslušných dohodách o poskytování služeb, memorandech o porozumění a smlouvách o spolupráci.

| (8) | EIF může poskytovat pomoc a součinnost veřejným orgánům členských států EU a od takových orgánů pomoc a součinnost přijímat, a to na jejich žádost nebo z vlastního podnětu. |
| --- | --- |

(8)

EIF může poskytovat pomoc a součinnost veřejným orgánům členských států EU a od takových orgánů pomoc a součinnost přijímat, a to na jejich žádost nebo z vlastního podnětu.

| (9) | EIF může poskytovat pomoc a součinnost vnitrostátním orgánům třetích zemí a mezinárodním organizacím a od takových orgánů a organizací pomoc přijímat, a to na jejich žádost nebo z vlastního podnětu. |
| --- | --- |

(9)

EIF může poskytovat pomoc a součinnost vnitrostátním orgánům třetích zemí a mezinárodním organizacím a od takových orgánů a organizací pomoc přijímat, a to na jejich žádost nebo z vlastního podnětu.

| (10) | V rámci výše uvedených činností jsou EIF jako správce údajů nebo kterýkoli z partnerů EIF uvedených v bodě 4 odůvodnění, včetně divize EIB pro vyšetřování podvodů jako zpracovatele údajů, či jakákoli jiná příslušná služba oprávněni shromažďovat a zpracovávat informace a osobní údaje včetně identifikačních údajů fyzických osob, kontaktních údajů, pracovních funkcí a úkolů, informací o chování a výkonnosti v soukromém a pracovním životě, jakož i finančních údajů. |
| --- | --- |

(10)

V rámci výše uvedených činností jsou EIF jako správce údajů nebo kterýkoli z partnerů EIF uvedených v bodě 4 odůvodnění, včetně divize EIB pro vyšetřování podvodů jako zpracovatele údajů, či jakákoli jiná příslušná služba oprávněni shromažďovat a zpracovávat informace a osobní údaje včetně identifikačních údajů fyzických osob, kontaktních údajů, pracovních funkcí a úkolů, informací o chování a výkonnosti v soukromém a pracovním životě, jakož i finančních údajů.

| (11) | Jsou zavedeny odpovídající záruky, jejichž účelem je chránit osobní údaje a zabránit náhodnému či protiprávnímu přístupu k nim nebo jejich neoprávněnému předávání, bez ohledu na to, zda jsou uloženy ve fyzické nebo elektronické formě. Po zpracování jsou údaje uchovávány v souladu s platnými předpisy EIF o uchovávání údajů, jak vyplývají ze záznamů o ochrany údajů na základě článku 31 nařízení. Na konci doby uchovávání jsou informace týkající se jednotlivých případů, včetně osobních údajů, v souladu se zásadami evropských nařízení o ochraně údajů a souvisejícími správními předpisy či zásadami EIF vymazány, zcela anonymizovány nebo přeneseny do historických archivů. |
| --- | --- |

(11)

Jsou zavedeny odpovídající záruky, jejichž účelem je chránit osobní údaje a zabránit náhodnému či protiprávnímu přístupu k nim nebo jejich neoprávněnému předávání, bez ohledu na to, zda jsou uloženy ve fyzické nebo elektronické formě. Po zpracování jsou údaje uchovávány v souladu s platnými předpisy EIF o uchovávání údajů, jak vyplývají ze záznamů o ochrany údajů na základě článku 31 nařízení. Na konci doby uchovávání jsou informace týkající se jednotlivých případů, včetně osobních údajů, v souladu se zásadami evropských nařízení o ochraně údajů a souvisejícími správními předpisy či zásadami EIF vymazány, zcela anonymizovány nebo přeneseny do historických archivů.

| (12) | V této souvislosti se EIF zavazuje plnit svou povinnost poskytovat subjektům údajů informace ohledně výše uvedených činností zpracování údajů a chránit práva subjektů údajů podle nařízení. |
| --- | --- |

(12)

V této souvislosti se EIF zavazuje plnit svou povinnost poskytovat subjektům údajů informace ohledně výše uvedených činností zpracování údajů a chránit práva subjektů údajů podle nařízení.

| (13) | Může být zapotřebí uvést práva subjektů údajů podle nařízení do souladu s potřebami vyplývajícími z výše uvedených činností, při plném respektování základních práv a svobod jiných subjektů údajů. Pro tyto účely stanoví článek 25 nařízení, že za přísných podmínek je možné omezit použití článků 14 až 20, 35 a 36, jakož i článku 4 uvedeného nařízení, v rozsahu, v jakém jeho ustanovení odpovídají právům a povinnostem stanoveným v článcích 14 až 20. V takovém případě je nezbytné přijmout vnitřní předpisy, podle kterých může EIF v souladu se stejným článkem nařízení výše uvedená práva subjektů údajů omezit. |
| --- | --- |

(13)

Může být zapotřebí uvést práva subjektů údajů podle nařízení do souladu s potřebami vyplývajícími z výše uvedených činností, při plném respektování základních práv a svobod jiných subjektů údajů. Pro tyto účely stanoví článek 25 nařízení, že za přísných podmínek je možné omezit použití článků 14 až 20, 35 a 36, jakož i článku 4 uvedeného nařízení, v rozsahu, v jakém jeho ustanovení odpovídají právům a povinnostem stanoveným v článcích 14 až 20. V takovém případě je nezbytné přijmout vnitřní předpisy, podle kterých může EIF v souladu se stejným článkem nařízení výše uvedená práva subjektů údajů omezit.

| (14) | Toto může nastat zejména v případě poskytování informací o zpracování osobních údajů subjektu údajů ve fázi předběžného posouzení v rámci správního šetření nebo během samotného šetření, avšak ještě před možným odložením věci, nebo v předběžném disciplinárním řízení. Za určitých okolností by poskytnutí takových informací mohlo závažným způsobem ovlivnit schopnost EIF účinně provádět šetření, například kdykoli, kdy existuje nebezpečí, že dotčená osoba zničí důkazy nebo bude ovlivňovat možné svědky před jejich výslechem. EIF může také potřebovat zajistit ochranu práv a svobod dalších zúčastněných osob. Zejména může být nezbytné, aby chránil soukromí svědka nebo oznamovatele, který požádal o utajení své totožnosti. V takovém případě se EIF může rozhodnout, že omezí přístup k totožnosti, prohlášením a dalším údajům týkajícím se daného oznamovatele nebo dalších zúčastněných osob, aby zajistil ochranu jejich práv a svobod. |
| --- | --- |

(14)

Toto může nastat zejména v případě poskytování informací o zpracování osobních údajů subjektu údajů ve fázi předběžného posouzení v rámci správního šetření nebo během samotného šetření, avšak ještě před možným odložením věci, nebo v předběžném disciplinárním řízení. Za určitých okolností by poskytnutí takových informací mohlo závažným způsobem ovlivnit schopnost EIF účinně provádět šetření, například kdykoli, kdy existuje nebezpečí, že dotčená osoba zničí důkazy nebo bude ovlivňovat možné svědky před jejich výslechem. EIF může také potřebovat zajistit ochranu práv a svobod dalších zúčastněných osob. Zejména může být nezbytné, aby chránil soukromí svědka nebo oznamovatele, který požádal o utajení své totožnosti. V takovém případě se EIF může rozhodnout, že omezí přístup k totožnosti, prohlášením a dalším údajům týkajícím se daného oznamovatele nebo dalších zúčastněných osob, aby zajistil ochranu jejich práv a svobod.

| (15) | Při poskytování pomoci a součinnosti dalším orgánům, institucím a jiným subjektům Unie, veřejným orgánům členských států EU a vnitrostátním orgánům třetích zemí a mezinárodním organizacím a při přijímání pomoci a součinnosti od těchto subjektů v rámci výše uvedených činností by EIF za určitých okolností a za podmínky dodržení minimální úrovně ochrany osobních údajů vyžadované EDPS mohl potřebovat zachovat účinnost svých šetření nebo šetření prováděných subjektem, s nímž spolupracuje, a případně zajistit ochranu zúčastněných osob včetně jejich práv a svobod. |
| --- | --- |

(15)

Při poskytování pomoci a součinnosti dalším orgánům, institucím a jiným subjektům Unie, veřejným orgánům členských států EU a vnitrostátním orgánům třetích zemí a mezinárodním organizacím a při přijímání pomoci a součinnosti od těchto subjektů v rámci výše uvedených činností by EIF za určitých okolností a za podmínky dodržení minimální úrovně ochrany osobních údajů vyžadované EDPS mohl potřebovat zachovat účinnost svých šetření nebo šetření prováděných subjektem, s nímž spolupracuje, a případně zajistit ochranu zúčastněných osob včetně jejich práv a svobod.

| (16) | EIF uplatní omezení pouze tehdy, budou-li respektovat podstatu základních práv a svobod a budou-li představovat nezbytné a přiměřené opatření v demokratické společnosti. Uvede přitom důvody pro zavedení případných omezení. |
| --- | --- |

(16)

EIF uplatní omezení pouze tehdy, budou-li respektovat podstatu základních práv a svobod a budou-li představovat nezbytné a přiměřené opatření v demokratické společnosti. Uvede přitom důvody pro zavedení případných omezení.

| (17) | V souladu se zásadou odpovědnosti povede EIF záznamy o uplatněných omezeních. |
| --- | --- |

(17)

V souladu se zásadou odpovědnosti povede EIF záznamy o uplatněných omezeních.

| (18) | Pokud jsou osobní údaje vyměňovány s jinými organizacemi v rámci plnění úkolů EIF, uskuteční s těmito organizacemi konzultace k možným relevantním důvodům uplatnění omezení a k nezbytnosti a přiměřenosti omezení, ledaže by tím byla ohrožena činnost EIF. |
| --- | --- |

(18)

Pokud jsou osobní údaje vyměňovány s jinými organizacemi v rámci plnění úkolů EIF, uskuteční s těmito organizacemi konzultace k možným relevantním důvodům uplatnění omezení a k nezbytnosti a přiměřenosti omezení, ledaže by tím byla ohrožena činnost EIF.

| (19) | Ustanovení čl. 25 odst. 6 nařízení ukládá správci údajů povinnost informovat subjekty údajů o hlavních důvodech pro použití omezení a o jejich právu podat stížnost u EDPS. |
| --- | --- |

(19)

Ustanovení čl. 25 odst. 6 nařízení ukládá správci údajů povinnost informovat subjekty údajů o hlavních důvodech pro použití omezení a o jejich právu podat stížnost u EDPS.

| (20) | Podle čl. 25 odst. 8 nařízení může EIF odložit, neprovést nebo odepřít poskytnutí informací o důvodech uplatňování omezení vůči subjektu údajů, pokud by mařilo účinek uloženého omezení. EIF posoudí v každém jednotlivém případě, zda by sdělení informace o omezení zmařilo jeho účinek. |
| --- | --- |

(20)

Podle čl. 25 odst. 8 nařízení může EIF odložit, neprovést nebo odepřít poskytnutí informací o důvodech uplatňování omezení vůči subjektu údajů, pokud by mařilo účinek uloženého omezení. EIF posoudí v každém jednotlivém případě, zda by sdělení informace o omezení zmařilo jeho účinek.

| (21) | Pověřenec pro ochranu osobních údajů je oprávněn provádět nezávislý přezkum uplatňování omezení za účelem zajištění souladu s tímto rozhodnutím, |
| --- | --- |

(21)

Pověřenec pro ochranu osobních údajů je oprávněn provádět nezávislý přezkum uplatňování omezení za účelem zajištění souladu s tímto rozhodnutím,

PŘIJAL TOTO ROZHODNUTÍ:

Článek 1

Předmět a oblast působnosti

Toto rozhodnutí stanoví pravidla týkající se podmínek, za kterých může EIF na základě článku 25 nařízení omezit použití článků 14 až 20, 35 a 36, jakož i článku 4 nařízení.

Článek 2

Omezení

1.   V souladu s čl. 25 odst. 1 nařízení může EIF v jednotlivých případech omezit použití článků 14 až 20, 35 a 36, jakož i článku 4 nařízení v rozsahu, v němž ustanovení tohoto článku odpovídají právům a povinnostem stanoveným v článcích 14 až 20, v případech, kdy:

| a) | vede správní šetření na základě etického kodexu zaměstnanců skupiny EIB a dalších platných etických kodexů; |
| --- | --- |

a)

vede správní šetření na základě etického kodexu zaměstnanců skupiny EIB a dalších platných etických kodexů;

| b) | vede vyšetřování ohledně otázek a skutečností, které přímo souvisejí s úkoly pověřence pro ochranu osobních údajů podle čl. 45 odst. 2 nařízení; |
| --- | --- |

b)

vede vyšetřování ohledně otázek a skutečností, které přímo souvisejí s úkoly pověřence pro ochranu osobních údajů podle čl. 45 odst. 2 nařízení;

| c) | vede disciplinární řízení na základě článku 6 služebního řádu EIF, kapitoly 4 zásad důstojnosti při práci a příslušných etických pravidel EIB; |
| --- | --- |

c)

vede disciplinární řízení na základě článku 6 služebního řádu EIF, kapitoly 4 zásad důstojnosti při práci a příslušných etických pravidel EIB;

| d) | zajišťuje, aby zaměstnanci EIF mohli důvěrným způsobem oznamovat skutečnosti, o kterých se domnívají, že představují závažné nesrovnalosti podle zásad EIB pro oznamování podezření z protiprávního jednání. |
| --- | --- |

d)

zajišťuje, aby zaměstnanci EIF mohli důvěrným způsobem oznamovat skutečnosti, o kterých se domnívají, že představují závažné nesrovnalosti podle zásad EIB pro oznamování podezření z protiprávního jednání.

| e) | zajišťuje, aby zaměstnanci EIF mohli důvěrným způsobem oznamovat skutečnosti, u kterých mají za to, že existuje podezření na protiprávní jednání, včetně případů podvodu a korupce, a které poškozují zájmy Unie, nebo jednání související s plněním služebních povinností, jež může představovat závažné nedodržení povinností zaměstnanců EIF, jak upravují zásady EIB pro oznamování podezření z protiprávního jednání, politika EIF v oblasti boje proti podvodům a relevantní etické kodexy EIF. |
| --- | --- |

e)

zajišťuje, aby zaměstnanci EIF mohli důvěrným způsobem oznamovat skutečnosti, u kterých mají za to, že existuje podezření na protiprávní jednání, včetně případů podvodu a korupce, a které poškozují zájmy Unie, nebo jednání související s plněním služebních povinností, jež může představovat závažné nedodržení povinností zaměstnanců EIF, jak upravují zásady EIB pro oznamování podezření z protiprávního jednání, politika EIF v oblasti boje proti podvodům a relevantní etické kodexy EIF.

| f) | vede vyšetřování protiprávního jednání v souladu s politikou EIF v oblasti boje proti podvodům; |
| --- | --- |

f)

vede vyšetřování protiprávního jednání v souladu s politikou EIF v oblasti boje proti podvodům;

| g) | provádí interní audity týkající se všech činností a oddělení EIF; |
| --- | --- |

g)

provádí interní audity týkající se všech činností a oddělení EIF;

| h) | poskytuje pomoc a součinnost ostatním orgánům, institucím a jiným subjektům Unie nebo od nich pomoc a součinnost přijímá v rámci výše uvedených činností, jak je stanoveno v příslušných dohodách o poskytování služeb, memorandech o porozumění a smlouvách o spolupráci; |
| --- | --- |

h)

poskytuje pomoc a součinnost ostatním orgánům, institucím a jiným subjektům Unie nebo od nich pomoc a součinnost přijímá v rámci výše uvedených činností, jak je stanoveno v příslušných dohodách o poskytování služeb, memorandech o porozumění a smlouvách o spolupráci;

| i) | poskytuje pomoc a součinnost veřejným orgánům členských států EU nebo od nich pomoc a součinnost přijímá, a to na jejich žádost nebo z vlastního podnětu; |
| --- | --- |

i)

poskytuje pomoc a součinnost veřejným orgánům členských států EU nebo od nich pomoc a součinnost přijímá, a to na jejich žádost nebo z vlastního podnětu;

| j) | poskytuje pomoc a součinnost vnitrostátním orgánům třetích zemí a mezinárodním organizacím nebo od nich pomoc a součinnost přijímá, a to na jejich žádost nebo z vlastního podnětu. |
| --- | --- |

j)

poskytuje pomoc a součinnost vnitrostátním orgánům třetích zemí a mezinárodním organizacím nebo od nich pomoc a součinnost přijímá, a to na jejich žádost nebo z vlastního podnětu.

2.   Kategorie údajů mohou zahrnovat identifikační údaje fyzických osob, kontaktní údaje, pracovní funkce a úkoly, informace o chování a výkonnosti v soukromém a pracovním životě, jakož i finanční údaje.

3.   Uplatněním výše uvedených omezení není dotčeno možné použití ustanovení čl. 16 odst. 5 a čl. 17 odst. 4 nařízení, která se týkají práva na informace v případě, že údaje nebyly získány od subjektu údajů, a práva subjektu údajů na přístup k těmto údajům.

4.   Jakékoli omezení musí respektovat podstatu základních práv a svobod a představovat nezbytné a přiměřené opatření v demokratické společnosti, jak stanoví nařízení, příslušné správní předpisy nebo vnitřní politiky a zásady EIF či EIB.

5.   Jakékoli omezení bude založeno na výslovném zmocnění stanoveném v účinném vnitřním předpisu či postupu EIF a práva subjektu či subjektů údajů jím budou dotčena v co nejmenší možné míře, což potvrdí pověřenec pro ochranu osobních údajů.

6.   Před uplatněním omezení je nutné v každém jednotlivém případě provést posouzení nezbytnosti a přiměřenosti, jehož výsledek musí být uspokojivý pro pověřence pro ochranu osobních údajů. Omezení nepůjdou nad rámec toho, co je striktně nezbytné k dosažení stanovených cílů. Omezení budou zavedena pouze na dobu, kterou vyžaduje jakýkoli relevantní důvod podle odstavce 1, který bude uveden jako příčina pro dané omezení, což je třeba doložit ke spokojenosti pověřence pro ochranu osobních údajů.

7.   Pokud divize IG/IN zcela nebo zčásti omezí poskytnutí informací subjektům údajů relevantním pro vyšetřování (dotčená osoba, svědek nebo oznamovatel), zaznamená důvody takového omezení včetně posouzení nezbytnosti a přiměřenosti tohoto omezení. Pro tyto účely se v záznamu uvede, jak by poskytnutí informací ohrozilo účel vyšetřovacích činností divize IG/IN nebo omezení uplatňovaných podle čl. 2 odst. 1 písm. f), g) a h) tohoto rozhodnutí, nebo jak by negativně ovlivnilo práva a svobody jiných subjektů údajů. Záznam a případně i dokumenty obsahující věcné a právní podklady budou archivovány. Na žádost se zpřístupní evropskému inspektorovi ochrany údajů (EDPS).

8.   V souladu se zásadou odpovědnosti povede EIF záznamy popisující odůvodnění uplatněných omezení a uvádějící, které z důvodů uvedených v odstavci 1 byly uplatněny a jaký byl výsledek posouzení nezbytnosti a přiměřenosti. Tyto záznamy budou součástí ad hoc rejstříku, který se na žádost zpřístupní EDPS.

9.   Pokud jsou osobní údaje vyměňovány s jinými organizacemi v rámci plnění úkolů EIF, uskuteční s těmito organizacemi konzultace k možným relevantním důvodům uplatnění omezení a k nezbytnosti a přiměřenosti omezení, ledaže by tím byla ohrožena činnost EIF.

Článek 3

Rizika pro práva a svobody subjektů údajů

Posouzení rizik pro práva a svobody subjektů údajů, jejichž osobní údaje mohou být předmětem omezení, jakož i doba uchovávání těchto údajů, se zaznamenají v záznamech o příslušných činnostech zpracování podle článku 31 nařízení a případně v posouzeních vlivu týkajících se ochrany údajů podle článku 39 nařízení.

Článek 4

Doby uložení údajů a záruky

EIF zavede záruky za účelem předejití zneužití osobních údajů, neoprávněnému přístupu k nim nebo neoprávněnému předávání osobních údajů, které mohou být předmětem omezení. Tyto záruky zahrnují mimo jiné technická a organizační opatření, která budou případně popsána ve vnitřních rozhodnutích, postupech a prováděcích předpisech EIF. Záruky zahrnují:

| 1. | přiměřené vymezení úloh, povinností a procesních kroků; |
| --- | --- |

1.

přiměřené vymezení úloh, povinností a procesních kroků;

| 2. | případně zabezpečené elektronické prostředí, které zabrání protiprávnímu či náhodnému přístupu k elektronickým údajů nebo jejich předání neoprávněným osobám; |
| --- | --- |

2.

případně zabezpečené elektronické prostředí, které zabrání protiprávnímu či náhodnému přístupu k elektronickým údajů nebo jejich předání neoprávněným osobám;

| 3. | případně bezpečné uložení a zpracování papírových dokumentů; |
| --- | --- |

3.

případně bezpečné uložení a zpracování papírových dokumentů;

| 4. | pravidelné monitorování omezení a periodické přehodnocení ze strany pověřence pro ochranu osobních údajů, které musí být provedeno přinejmenším každých šest měsíců. Přehodnocení musí být provedeno rovněž v případě změny podstatných okolností daného případu. Omezení se zruší, jakmile okolnosti, které je odůvodňují, již nejsou dány. |
| --- | --- |

4.

pravidelné monitorování omezení a periodické přehodnocení ze strany pověřence pro ochranu osobních údajů, které musí být provedeno přinejmenším každých šest měsíců. Přehodnocení musí být provedeno rovněž v případě změny podstatných okolností daného případu. Omezení se zruší, jakmile okolnosti, které je odůvodňují, již nejsou dány.

Článek 5

Informování pověřence pro ochranu osobních údajů a přezkum pověřencem pro ochranu osobních údajů

1.   Pověřence pro ochranu osobních údajů je třeba neprodleně informovat vždy, když v souladu s tímto rozhodnutím dochází k omezení práv jakéhokoli subjektu údajů, a pověřenci bude poskytnut plný a neomezený přístup ke všem záznamům a jakýmkoli dokumentům obsahujícím věcné a právní podklady relevantní pro rozhodování o daném omezení a o monitorování dalšího trvání daného omezení.

2.   Pověřenec pro ochranu osobních údajů může požádat o přezkum uplatňování daného omezení.

3.   Pokud v průběhu svého vlastního vyšetřování uplatní pověřenec pro ochranu osobních údajů omezení, neprodleně o tom uvědomí správce údajů.

4.   Zapojení pověřence pro ochranu osobních údajů do procesu omezení včetně výměny informací bude vhodnou formou zdokumentováno a zahrnuto do příslušných záznamů a rejstříků.

5.   V souvislosti s vyšetřováním protiprávního jednání uskuteční divize EIB pro vyšetřování podvodů předtím, než na operace zpracování údajů prováděné v rámci jejích úkolů stanovených v politice EIF v oblasti proti podvodům, v chartě divize pro vyšetřování podvodů a ve vyšetřovacích postupech uplatní určité důvody pro omezení uvedené v článku 25 nařízení, konzultace s pověřencem pro ochranu osobních údajů.

Článek 6

Informování subjektů údajů o omezení jejich práv

1.   V oznámeních o ochraně osobních údajů zveřejňovaných na internetové stránce EIF uvede EIF obecné informace pro subjekty údajů týkající se možných omezení práv všech subjektů údajů popsaných v čl. 2 odst. 1. Součástí informací bude i upřesnění, která práva mohou být omezena.

2.   EIF bude informovat subjekty údajů o stávajících nebo budoucích omezeních jejich práv jednotlivě a bez zbytečného odkladu písemnou formou, jak je dále uvedeno v článcích 7, 8 a 9.

Článek 7

Právo na informace poskytované subjektům údajů a sdělení o porušení ochrany údajů

1.   Pokud v rámci činností uvedených v tomto rozhodnutí EIF zcela nebo zčásti omezí práva subjektů údajů uvedená v článcích 14 až 16 a v článku 35 nařízení, budou subjekty údajů informovány o hlavních důvodech, na nichž se zakládá uplatnění takového omezení, a také o svém právu podat stížnost k EDPS nebo uplatnit opravný prostředek u Soudního dvora Evropské unie. Takové omezení se řídí zavedenými pravidly a postupem popsaným v tomto rozhodnutí.

2.   EIF může poskytnutí informací o důvodech omezení uvedených v odstavci 1 odložit, neuskutečnit nebo odmítnout v rozsahu a po dobu, kdy by poskytnutí těchto informací zbavilo toto omezení účinku. Toto posouzení se provede případ od případu. Jakékoli takové odložení nebo odmítnutí musí být dostatečně odůvodněno ke spokojenosti pověřence pro ochranu osobních údajů a bude uvedeno v příslušných záznamech a rejstřících. Pro vyloučení pochybností platí, že dotčené subjekty údajů budou informovány o svém právu podat v souvislosti s rozhodnutím odložit či odmítnout jim poskytnutí informací uvedených v odstavci 1 stížnost k EDPS a uplatnit v tomto směru opravný prostředek u Soudního dvora Evropské unie.

Článek 8

Práva subjektů údajů na přístup k údajům, jejich opravu a výmaz a omezení zpracování

1.   Pokud v rámci činností uvedených v tomto jednacím řádu EIF zcela nebo zčásti omezí právo na přístup k osobním údajům, právo na opravu, výmaz či omezení zpracování osobních údajů, jak stanoví článek 17 až 20 nařízení, bude EIF informovat dotčené subjekty údajů v rámci své odpovědi na žádost o hlavních důvodech, na nichž se omezení zakládá, a také o právu podat stížnost k EDPS nebo uplatnit opravný prostředek u Soudního dvora Evropské unie.

2.   Pokud je právo na přístup k údajům zcela nebo zčásti omezeno, bude EIF při šetření žádosti informovat subjekt údajů pouze o tom, zda byly údaje zpracovány řádně, a pokud nebyly, o tom, zda byla učiněna příslušná náprava podle čl. 25 odst. 7 nařízení.

3.   EIF může poskytnutí informací o důvodech omezení uvedených v odstavci 1 a 2 odložit, neuskutečnit nebo odmítnout v rozsahu a po dobu, kdy by poskytnutí těchto informací zbavilo toto omezení účinku. Toto posouzení se provede případ od případu a bude se řídit zavedenými pravidly a postupem popsaným v tomto rozhodnutí.

Článek 9

Důvěrnost elektronických komunikací

1.   Za výjimečných okolností a v souladu s ustanoveními a účelem směrnice Evropského parlamentu a Rady 2002/58/ES (3) může EIF omezit právo na důvěrnost elektronických komunikací upravenou v článku 36 nařízení. V takovém případě uvede EIF v konkrétních vnitřních předpisech podrobný popis okolností, důvodů, relevantních rizik a souvisejících záruk.

2.   Pokud EIF omezí právo na důvěrnost elektronických komunikací, bude ve své odpovědi na žádost informovat dotčený subjekt údajů o hlavních důvodech pro uplatnění daného omezení a o možnosti podat stížnost k EDPS nebo uplatnit opravný prostředek u Soudního dvora Evropské unie;

3.   EIF může poskytnutí informací o důvodech omezení uvedených v odstavci 1 a 2 odložit, neuskutečnit nebo odmítnout v rozsahu a po dobu, kdy by poskytnutí těchto informací zbavilo toto omezení účinku. Toto posouzení se provede případ od případu.

Článek 10

Vstup v platnost

Toto rozhodnutí a jakékoli jeho změny a doplňky schvaluje správní rada EIF a vstupuje v platnost dvacátého dne po uveřejnění v Úředním věstníku Evropské unie.

Úředním věstníku Evropské unie

V Lucemburku dne 4. června 2020.

---

(1)  
  Úř. věst. L 295, 21.11.2018, s. 39.

1

(2)  Připomínky a doporučení evropského inspektora ochrany údajů (EDPS) ze dne 20. února 2020 (DH/CCP/ALS/D(2020) 0372 C2019-1114)

2

(3)  Směrnice Evropského parlamentu a Rady 2002/58/ES ze dne 12. července 2002 o zpracování osobních údajů a ochraně soukromí v odvětví elektronických komunikací (Směrnice o soukromí a elektronických komunikacích) (Úř. věst. L 201, 31.7.2002, s. 37).

3

---

| 22.7.2020 | CS | Úřední věstník Evropské unie | L 236/7 |
| --- | --- | --- | --- |

22.7.2020

CS

Úřední věstník Evropské unie

L 236/7

---

ROZHODNUTÍ SPRÁVNÍ RADY SPOLEČNÉHO PODNIKU SHIFT2RAIL Č. 1/2020

ze dne 26. března 2020,

kterým se stanoví vnitřní předpisy týkající se omezení některých práv subjektů údajů, pokud jde o zpracování osobních údajů v rámci fungování společného podniku S2R

SPRÁVNÍ RADA SPOLEČNÉHO PODNIKU SHIFT2RAIL (dále jen „společný podnik S2R”)

s ohledem na Smlouvu o fungování Evropské unie (1),

s ohledem na nařízení Evropského parlamentu a Rady (EU) 2018/1725 ze dne 23. října 2018 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů orgány, institucemi a jinými subjekty Unie a o volném pohybu těchto údajů a o zrušení nařízení (ES) č. 45/2001 a rozhodnutí č. 1247/2002/ES (2), a zejména na článek 25 tohoto nařízení,

s ohledem na nařízení Rady (EU) č. 642/2014 ze dne 16. června 2014 o zřízení společného podniku S2R (3), a zejména na článek 8 stanov přiložených k nařízení Rady (EU) č. 642/2014,

s ohledem na pokyny evropského inspektora ochrany údajů k článku 25 nového nařízení a vnitřním předpisům,

v návaznosti na konzultaci s evropským inspektorem ochrany údajů ze dne 12. listopadu 2019 v souladu s čl. 41 odst. 2 nařízení (EU) 2018/1725,

s ohledem na doporučení evropského inspektora ochrany údajů ze dne 18. prosince 2019,

v návaznosti na konzultaci s výborem zaměstnanců společného podniku S2R,

vzhledem k těmto důvodům:

| (1) | Pouze právní akty přijaté na základě Smluv smí stanovit omezení práv subjektů údajů. Pokud se tato omezení nemohou zakládat na právních aktech přijatých na základě Smluv, nařízení (EU) 2018/1725 stanoví, že v záležitostech týkajících se činnosti společného podniku S2R mohou omezení stanovit vnitřní předpisy, a to včetně ustanovení týkajících se posouzení nezbytnosti a přiměřenosti omezení. |
| --- | --- |

(1)

Pouze právní akty přijaté na základě Smluv smí stanovit omezení práv subjektů údajů. Pokud se tato omezení nemohou zakládat na právních aktech přijatých na základě Smluv, nařízení (EU) 2018/1725 stanoví, že v záležitostech týkajících se činnosti společného podniku S2R mohou omezení stanovit vnitřní předpisy, a to včetně ustanovení týkajících se posouzení nezbytnosti a přiměřenosti omezení.

| (2) | V souladu s čl. 25 odst. 1 nařízení (EU) 2018/1725 by omezení použití článků 14 až 22, 35 a 36, jakož i článku 4 uvedeného nařízení v rozsahu, v jakém jeho ustanovení odpovídají právům a povinnostem stanoveným v článcích 14 až 22, měla vycházet z vnitřních předpisů, které přijme společný podnik S2R. |
| --- | --- |

(2)

V souladu s čl. 25 odst. 1 nařízení (EU) 2018/1725 by omezení použití článků 14 až 22, 35 a 36, jakož i článku 4 uvedeného nařízení v rozsahu, v jakém jeho ustanovení odpovídají právům a povinnostem stanoveným v článcích 14 až 22, měla vycházet z vnitřních předpisů, které přijme společný podnik S2R.

| (3) | V rámci svého správního fungování může společný podnik S2R vést správní šetření či disciplinární řízení, vykonávat předběžné činnosti související s případy možných nesrovnalostí oznámených úřadu OLAF, zpracovávat případy whistleblowingu, vyřizovat (formální a neformální) řízení v případě obtěžování, vyřizovat interní a externí stížnosti, provádět interní audity, provádět šetření ze strany pověřence pro ochranu osobních údajů v souladu s čl. 45 odst. 2 nařízení (EU) 2018/1725 a šetření interní (IT) bezpečnosti. |
| --- | --- |

(3)

V rámci svého správního fungování může společný podnik S2R vést správní šetření či disciplinární řízení, vykonávat předběžné činnosti související s případy možných nesrovnalostí oznámených úřadu OLAF, zpracovávat případy whistleblowingu, vyřizovat (formální a neformální) řízení v případě obtěžování, vyřizovat interní a externí stížnosti, provádět interní audity, provádět šetření ze strany pověřence pro ochranu osobních údajů v souladu s čl. 45 odst. 2 nařízení (EU) 2018/1725 a šetření interní (IT) bezpečnosti.

| (4) | Společný podnik S2R zpracovává několik kategorií osobních údajů, jako jsou například údaje o totožnosti, kontaktní údaje, profesní údaje, administrativní údaje, údaje získané ze zvláštních zdrojů, elektronické komunikace a údaje o datovém provozu a údaje týkající se konkrétních případů (např. odůvodnění, údaje o chování, hodnocení, údaje o výkonnosti a jednání a údaje související nebo předložené v souvislosti s předmětem řízení nebo činnosti) (4). |
| --- | --- |

(4)

Společný podnik S2R zpracovává několik kategorií osobních údajů, jako jsou například údaje o totožnosti, kontaktní údaje, profesní údaje, administrativní údaje, údaje získané ze zvláštních zdrojů, elektronické komunikace a údaje o datovém provozu a údaje týkající se konkrétních případů (např. odůvodnění, údaje o chování, hodnocení, údaje o výkonnosti a jednání a údaje související nebo předložené v souvislosti s předmětem řízení nebo činnosti) (4).

| (5) | Jako správce údajů vystupuje společný podnik S2R zastupovaný svým výkonným ředitelem. |
| --- | --- |

(5)

Jako správce údajů vystupuje společný podnik S2R zastupovaný svým výkonným ředitelem.

| (6) | Osobní údaje jsou bezpečně uloženy v elektronické nebo fyzické podobě, což brání protiprávnímu přístupu k údajům nebo jejich protiprávnímu předání osobám, které je nepotřebují znát. Zpracovávané osobní údaje jsou uchovávány jen po nezbytnou dobu a k účelům, pro které se zpracovávají během období uvedeného v oznámeních o ochraně údajů, prohlášeních o ochraně soukromí nebo v záznamech společného podniku S2R. |
| --- | --- |

(6)

Osobní údaje jsou bezpečně uloženy v elektronické nebo fyzické podobě, což brání protiprávnímu přístupu k údajům nebo jejich protiprávnímu předání osobám, které je nepotřebují znát. Zpracovávané osobní údaje jsou uchovávány jen po nezbytnou dobu a k účelům, pro které se zpracovávají během období uvedeného v oznámeních o ochraně údajů, prohlášeních o ochraně soukromí nebo v záznamech společného podniku S2R.

| (7) | Vnitřní předpisy by měly platit pro všechny operace zpracování provedené společným podnikem S2R v rámci správních šetření, disciplinárních řízení, předběžných činností souvisejících s případy možných nesrovnalostí oznámených úřadu OLAF, řízení v případě whistleblowingu, (formálních a neformálních) řízení v případech obtěžování, vyřizování interních a externích stížností, interních auditů, šetření prováděných pověřencem pro ochranu osobních údajů v souladu s čl. 45 odst. 2 nařízení (EU) 2018/1725, (IT) šetření bezpečnosti prováděných interně nebo se zapojením externích subjektů (např. skupiny CERT-EU). |
| --- | --- |

(7)

Vnitřní předpisy by měly platit pro všechny operace zpracování provedené společným podnikem S2R v rámci správních šetření, disciplinárních řízení, předběžných činností souvisejících s případy možných nesrovnalostí oznámených úřadu OLAF, řízení v případě whistleblowingu, (formálních a neformálních) řízení v případech obtěžování, vyřizování interních a externích stížností, interních auditů, šetření prováděných pověřencem pro ochranu osobních údajů v souladu s čl. 45 odst. 2 nařízení (EU) 2018/1725, (IT) šetření bezpečnosti prováděných interně nebo se zapojením externích subjektů (např. skupiny CERT-EU).

| (8) | Měly by platit pro operace zpracování provedené před zahájením výše uvedených řízení, během těchto řízení a během sledování opatření v návaznosti na výsledky řízení. Součástí by rovněž měla být pomoc a spolupráce, kterou společný podnik S2R nabízí vnitrostátním orgánům a mezinárodním organizacím nad rámec svých správních šetření. |
| --- | --- |

(8)

Měly by platit pro operace zpracování provedené před zahájením výše uvedených řízení, během těchto řízení a během sledování opatření v návaznosti na výsledky řízení. Součástí by rovněž měla být pomoc a spolupráce, kterou společný podnik S2R nabízí vnitrostátním orgánům a mezinárodním organizacím nad rámec svých správních šetření.

| (9) | V případech, kdy se použijí tyto vnitřní předpisy, je společný podnik S2R povinen uvést odůvodnění vysvětlující, proč jsou daná omezení v demokratické společnosti naprosto nezbytná a přiměřená, a respektovat podstatu základních práv a svobod. |
| --- | --- |

(9)

V případech, kdy se použijí tyto vnitřní předpisy, je společný podnik S2R povinen uvést odůvodnění vysvětlující, proč jsou daná omezení v demokratické společnosti naprosto nezbytná a přiměřená, a respektovat podstatu základních práv a svobod.

| (10) | V této souvislosti je společný podnik S2R v průběhu výše uvedených řízení povinen dodržovat v maximální možné míře základní práva subjektů údajů, zejména ta, která se týkají práva na poskytování informací, práva na přístup k osobním údajům, práva na jejich opravu, výmaz, a omezení zpracování, práva na oznamování případů porušení zabezpečení osobních údajů subjektu údajů nebo na důvěrnost komunikace, jak je zakotveno v nařízení (EU) 2018/1725. |
| --- | --- |

(10)

V této souvislosti je společný podnik S2R v průběhu výše uvedených řízení povinen dodržovat v maximální možné míře základní práva subjektů údajů, zejména ta, která se týkají práva na poskytování informací, práva na přístup k osobním údajům, práva na jejich opravu, výmaz, a omezení zpracování, práva na oznamování případů porušení zabezpečení osobních údajů subjektu údajů nebo na důvěrnost komunikace, jak je zakotveno v nařízení (EU) 2018/1725.

| (11) | Je však možné, že společný podnik S2R bude muset omezit informace poskytované subjektu údajů a jiná práva subjektu údajů, a to zejména s cílem chránit vlastní šetření, šetření a řízení jiných veřejných orgánů a rovněž práva jiných osob v souvislosti se svými šetřeními či jinými řízeními. |
| --- | --- |

(11)

Je však možné, že společný podnik S2R bude muset omezit informace poskytované subjektu údajů a jiná práva subjektu údajů, a to zejména s cílem chránit vlastní šetření, šetření a řízení jiných veřejných orgánů a rovněž práva jiných osob v souvislosti se svými šetřeními či jinými řízeními.

| (12) | Pokud společný podnik S2R uvažuje o uplatnění omezení, zváží riziko pro práva a svobody subjektu údajů především ve srovnání s rizikem pro práva a svobody jiných subjektů údajů a s rizikem maření účinku šetření nebo řízení vedených společným podnikem S2R, například formou likvidace důkazů. Rizika pro práva a svobody subjektu údajů se týkají především, ale nikoliv výlučně rizik poškození dobré pověsti a rizik spojených s právem na obhajobu a právem být vyslechnut. |
| --- | --- |

(12)

Pokud společný podnik S2R uvažuje o uplatnění omezení, zváží riziko pro práva a svobody subjektu údajů především ve srovnání s rizikem pro práva a svobody jiných subjektů údajů a s rizikem maření účinku šetření nebo řízení vedených společným podnikem S2R, například formou likvidace důkazů. Rizika pro práva a svobody subjektu údajů se týkají především, ale nikoliv výlučně rizik poškození dobré pověsti a rizik spojených s právem na obhajobu a právem být vyslechnut.

| (13) | Společný podnik S2R je tedy oprávněn omezit informace pro účely ochrany šetření a základních práv a svobod jiných subjektů údajů. |
| --- | --- |

(13)

Společný podnik S2R je tedy oprávněn omezit informace pro účely ochrany šetření a základních práv a svobod jiných subjektů údajů.

| (14) | Společný podnik S2R by měl pravidelně sledovat, že platí podmínky odůvodňující dané omezení, a omezení zrušit, pokud podmínky již neplatí. |
| --- | --- |

(14)

Společný podnik S2R by měl pravidelně sledovat, že platí podmínky odůvodňující dané omezení, a omezení zrušit, pokud podmínky již neplatí.

| (15) | Správce by měl informovat pověřence pro ochranu osobních údajů v okamžiku odkladu a během přezkumů, |
| --- | --- |

(15)

Správce by měl informovat pověřence pro ochranu osobních údajů v okamžiku odkladu a během přezkumů,

PŘIJALA TOTO ROZHODNUTÍ:

Článek 1

Předmět a rozsah působnosti

1.   Tímto rozhodnutím se stanoví předpisy týkající se podmínek, za nichž je společný podnik S2R oprávněn v rámci svých řízení uvedených v odstavci 2 omezit uplatňování práv zakotvených v článcích 14 až 21, 35 a 36, jakož i v článku 4 nařízení (EU) 2018/1725, a to v souladu s článkem 25 tohoto nařízení.

2.   V rámci správního fungování společného podniku S2R platí toto rozhodnutí pro operace zpracování osobních údajů prováděné programovou kanceláří pro účely provádění správních šetření, disciplinárních řízení, předběžných činností souvisejících s případy možných nesrovnalostí oznámených úřadu OLAF, projednávání případů whistleblowingu, (formálních a neformálních) řízení v případech obtěžování, vyřizování interních a externích stížností, provádění interních auditů, šetření prováděných pověřencem pro ochranu osobních údajů v souladu s čl. 45 odst. 2 nařízení (EU) 2018/1725, šetření (IT) bezpečnosti prováděných interně nebo se zapojením externích subjektů (např. skupiny CERT-EU).

3.   Mezi dotčené kategorie údajů patří údaje o totožnosti, kontaktní údaje, profesní údaje, administrativní údaje, údaje získané ze zvláštních zdrojů, elektronické komunikace a údaje o datovém provozu a údaje týkající se konkrétních případů, např. odůvodnění, údaje o chování, hodnocení, údaje o výkonnosti a jednání a údaje související nebo předložené v souvislosti s předmětem řízení nebo činnosti.

4.   V případech, kdy společný podnik S2R vykonává své povinnosti s ohledem na práva subjektu údajů podle nařízení (EU) 2018/1725, zváží, zda neplatí kterákoliv z výjimek uvedených v tomto nařízení.

Článek 2

Specifikace správce

Správcem operací zpracování je společný podnik S2R zastupovaný svým výkonným ředitelem.

Článek 3

Specifikace záruk

1.   Společný podnik S2R zavede tyto záruky, jejichž cílem bude zamezit zneužití osobních údajů a protiprávnímu přístupu k nim nebo jejich protiprávnímu předání:

| a) | papírové dokumenty se uchovávají v zabezpečených skříních a přístup k nim mají pouze oprávnění zaměstnanci; |
| --- | --- |

a)

papírové dokumenty se uchovávají v zabezpečených skříních a přístup k nim mají pouze oprávnění zaměstnanci;

| b) | veškeré údaje v elektronické podobě se uchovávají v zabezpečené IT aplikaci podle bezpečnostních norem společného podniku S2R a ve zvláštních elektronických adresářích, k nimž mají přístup pouze oprávnění zaměstnanci. Vhodné úrovně přístupu se udělují individuálně; |
| --- | --- |

b)

veškeré údaje v elektronické podobě se uchovávají v zabezpečené IT aplikaci podle bezpečnostních norem společného podniku S2R a ve zvláštních elektronických adresářích, k nimž mají přístup pouze oprávnění zaměstnanci. Vhodné úrovně přístupu se udělují individuálně;

| c) | databáze je chráněna heslem v rámci jednotného systému přihlašování a propojena automaticky s uživatelským jménem a heslem daného uživatele, včetně případné pseudonymity a/nebo šifrování. Nahrazování uživatelů je přísně zakázáno. Elektronické záznamy jsou uchovávány zabezpečeným způsobem, aby se zajistila důvěrnost a soukromí údajů v nich obsažených; |
| --- | --- |

c)

databáze je chráněna heslem v rámci jednotného systému přihlašování a propojena automaticky s uživatelským jménem a heslem daného uživatele, včetně případné pseudonymity a/nebo šifrování. Nahrazování uživatelů je přísně zakázáno. Elektronické záznamy jsou uchovávány zabezpečeným způsobem, aby se zajistila důvěrnost a soukromí údajů v nich obsažených;

| d) | všechny osoby, které mají přístup k údajům, jsou vázány povinností zachovávat důvěrnost. |
| --- | --- |

d)

všechny osoby, které mají přístup k údajům, jsou vázány povinností zachovávat důvěrnost.

2.   V souladu s čl. 6 odst. 3 by měly být záruky uvedené v odstavci 1 pravidelně přezkoumávány.

3.   Doba uchovávání osobních údajů podle čl. 1 odst. 3 nesmí být delší, než je uvedeno v oznámeních o ochraně údajů, prohlášeních o ochraně soukromí nebo záznamech uvedených v čl. 7 odst. 1. Doba uchovávání nesmí být v žádném případě delší, než je nezbytné a přiměřené účelům, pro které jsou údaje zpracovávány (5).

Článek 4

Odůvodnění omezení

1.   Jakékoli omezení společný podnik S2R uplatní výhradně za účelem zabezpečení:

| a) | národní bezpečnosti, veřejné bezpečnosti nebo obrany členských států; |
| --- | --- |

a)

národní bezpečnosti, veřejné bezpečnosti nebo obrany členských států;

| b) | prevence, vyšetřování, odhalování a stíhání trestných činů nebo výkonu trestů, včetně ochrany před hrozbami pro veřejnou bezpečnost a jejich předcházení; |
| --- | --- |

b)

prevence, vyšetřování, odhalování a stíhání trestných činů nebo výkonu trestů, včetně ochrany před hrozbami pro veřejnou bezpečnost a jejich předcházení;

| c) | jiných důležitých cílů obecného veřejného zájmu Unie nebo některého členského státu, zejména cílů společné zahraniční a bezpečnostní politiky Unie nebo důležitých hospodářských nebo finančních zájmů Unie nebo některého členského státu, včetně měnových, rozpočtových a daňových záležitostí, veřejného zdraví a sociálního zabezpečení; |
| --- | --- |

c)

jiných důležitých cílů obecného veřejného zájmu Unie nebo některého členského státu, zejména cílů společné zahraniční a bezpečnostní politiky Unie nebo důležitých hospodářských nebo finančních zájmů Unie nebo některého členského státu, včetně měnových, rozpočtových a daňových záležitostí, veřejného zdraví a sociálního zabezpečení;

| d) | vnitřní bezpečnosti orgánů a subjektů Unie, včetně jejich sítí elektronických komunikací; |
| --- | --- |

d)

vnitřní bezpečnosti orgánů a subjektů Unie, včetně jejich sítí elektronických komunikací;

| e) | prevence, vyšetřování, odhalování a stíhání porušování etických pravidel u regulovaných povolání; |
| --- | --- |

e)

prevence, vyšetřování, odhalování a stíhání porušování etických pravidel u regulovaných povolání;

| f) | monitorovací, inspekční nebo regulační funkce spojené, i pouze příležitostně, s výkonem veřejné moci v případech uvedených v písmenech a) až c); |
| --- | --- |

f)

monitorovací, inspekční nebo regulační funkce spojené, i pouze příležitostně, s výkonem veřejné moci v případech uvedených v písmenech a) až c);

| g) | ochrany subjektu údajů nebo práv a svobod druhých; |
| --- | --- |

g)

ochrany subjektu údajů nebo práv a svobod druhých;

| h) | vymáhání občanskoprávních nároků. |
| --- | --- |

h)

vymáhání občanskoprávních nároků.

2.   V rámci zvláštního uplatnění účelů uvedených v odstavci 1 výše je společný podnik S2R oprávněn uplatnit omezení za těchto okolností:

| a) | v souvislosti s osobními údaji, které si vymění s útvary Komise nebo jinými orgány, institucemi a jinými subjekty Unie;






  — | pokud jsou útvary Komise, orgány, instituce a jiné subjekty Unie oprávněny omezit výkon uvedených práv na základě jiných aktů stanovených v článku 25 nařízení (EU) 2018/1725 nebo v souladu s kapitolou IX tohoto nařízení nebo se zakládacími akty jiných orgánů, institucí a jiných subjektů Unie, |
| --- | --- | --- |

a)

v souvislosti s osobními údaji, které si vymění s útvary Komise nebo jinými orgány, institucemi a jinými subjekty Unie;

—

pokud jsou útvary Komise, orgány, instituce a jiné subjekty Unie oprávněny omezit výkon uvedených práv na základě jiných aktů stanovených v článku 25 nařízení (EU) 2018/1725 nebo v souladu s kapitolou IX tohoto nařízení nebo se zakládacími akty jiných orgánů, institucí a jiných subjektů Unie,

| — | pokud by byl účel takového omezení ze strany těchto útvarů Komise nebo orgánů, institucí nebo jiných subjektů Unie ohrožen, pokud by společný podnik S2R neuplatnil stejné omezení ve vztahu k týmž osobním údajům; |
| --- | --- |

—

pokud by byl účel takového omezení ze strany těchto útvarů Komise nebo orgánů, institucí nebo jiných subjektů Unie ohrožen, pokud by společný podnik S2R neuplatnil stejné omezení ve vztahu k týmž osobním údajům;

| b) | v souvislosti s osobními údaji, které si vymění s příslušnými orgány členských států;






  — | pokud jsou tyto příslušné orgány členských států oprávněny omezit výkon uvedených práv na základě aktů uvedených v článku 23 nařízení Evropského parlamentu a Rady (EU) 2016/679 (6) nebo v souladu s vnitrostátními opatřením, jimiž se provádí čl. 13 odst. 3, čl. 15 odst. 3 nebo čl. 16 odst. 3 směrnice Evropského parlamentu a Rady (EU) 2016/680 (7), |
| --- | --- | --- |

b)

v souvislosti s osobními údaji, které si vymění s příslušnými orgány členských států;

—

pokud jsou tyto příslušné orgány členských států oprávněny omezit výkon uvedených práv na základě aktů uvedených v článku 23 nařízení Evropského parlamentu a Rady (EU) 2016/679 (6) nebo v souladu s vnitrostátními opatřením, jimiž se provádí čl. 13 odst. 3, čl. 15 odst. 3 nebo čl. 16 odst. 3 směrnice Evropského parlamentu a Rady (EU) 2016/680 (7),

| — | pokud by byl účel takového omezení ze strany příslušného orgánu ohrožen, pokud by společný podnik S2R neuplatnil stejné omezení ve vztahu k týmž osobním údajům; |
| --- | --- |

—

pokud by byl účel takového omezení ze strany příslušného orgánu ohrožen, pokud by společný podnik S2R neuplatnil stejné omezení ve vztahu k týmž osobním údajům;

| c) | v souvislosti s osobními údaji, které si vymění s třetími zeměmi nebo mezinárodními organizacemi, pokud existují jasné důkazy o tom, že výkon těchto práv a povinností pravděpodobně ohrozí spolupráci společného podniku S2R s třetími zeměmi nebo mezinárodními organizacemi při plnění jeho úkolů. |
| --- | --- |

c)

v souvislosti s osobními údaji, které si vymění s třetími zeměmi nebo mezinárodními organizacemi, pokud existují jasné důkazy o tom, že výkon těchto práv a povinností pravděpodobně ohrozí spolupráci společného podniku S2R s třetími zeměmi nebo mezinárodními organizacemi při plnění jeho úkolů.

Před uplatněním omezení za okolností uvedených v písmenech a) a b) prvního pododstavce se společný podnik S2R obrátí na příslušné útvary Komise, orgány, instituce a jiné subjekty Unie nebo příslušné orgány členských států, pokud nebude společnému podniku S2R zřejmé, že uplatnění daného omezení umožňuje jeden z aktů uvedených v těchto písmenech.

Článek 5

Omezení a práva subjektů údajů

1.   V řádně odůvodněných případech a za podmínek stanovených v tomto rozhodnutí je správce oprávněn v souvislosti s operacemi zpracování uvedenými v čl. 1 odst. 2 a odstavci 2 níže v případech, kdy to bude nutné a přiměřené, omezit tato práva:

| a) | právo na informace; |
| --- | --- |

a)

právo na informace;

| b) | právo na přístup; |
| --- | --- |

b)

právo na přístup;

| c) | právo na opravu, výmaz a omezení zpracování údajů; |
| --- | --- |

c)

právo na opravu, výmaz a omezení zpracování údajů;

| d) | právo na oznámení případů porušení zabezpečení osobních údajů subjektu údajů; |
| --- | --- |

d)

právo na oznámení případů porušení zabezpečení osobních údajů subjektu údajů;

| e) | právo na důvěrnost elektronické komunikace; |
| --- | --- |

e)

právo na důvěrnost elektronické komunikace;

2.   V řádně odůvodněných případech a s cílem zajistit naplnění účelů uvedených v čl. 4 odst. 1 je správce oprávněn uplatnit omezení v souvislosti s těmito operacemi zpracování podle čl. 1 odst. 2:

| a) | provádění správních šetření a disciplinárních řízení; |
| --- | --- |

a)

provádění správních šetření a disciplinárních řízení;

| b) | předběžné činnosti související s případy možných nesrovnalostí oznámených úřadu OLAF; |
| --- | --- |

b)

předběžné činnosti související s případy možných nesrovnalostí oznámených úřadu OLAF;

| c) | řízení v případě whistleblowingu; |
| --- | --- |

c)

řízení v případě whistleblowingu;

| d) | (formální a neformální) řízení v případech obtěžování; |
| --- | --- |

d)

(formální a neformální) řízení v případech obtěžování;

| e) | vyřizování interních a externích stížností; |
| --- | --- |

e)

vyřizování interních a externích stížností;

| f) | interní audity; |
| --- | --- |

f)

interní audity;

| g) | šetření prováděná pověřencem pro ochranu osobních údajů v souladu s čl. 45 odst. 2 nařízení (EU) 2018/1725; |
| --- | --- |

g)

šetření prováděná pověřencem pro ochranu osobních údajů v souladu s čl. 45 odst. 2 nařízení (EU) 2018/1725;

| h) | šetření (IT) bezpečnosti prováděná interně nebo se zapojením externích subjektů (např. skupiny CERT-EU); |
| --- | --- |

h)

šetření (IT) bezpečnosti prováděná interně nebo se zapojením externích subjektů (např. skupiny CERT-EU);

| i) | v rámci řízení grantů nebo zadávání veřejných zakázek, po uzávěrce pro podání výzev k předložení návrhů nebo uplatnění nabídek. |
| --- | --- |

i)

v rámci řízení grantů nebo zadávání veřejných zakázek, po uzávěrce pro podání výzev k předložení návrhů nebo uplatnění nabídek.

3.   V souvislosti s řízeními v případech obtěžování mohou být práva uvedená v odstavci 1 omezena za stejných podmínek s výjimkou práva na oznamování případů porušení zabezpečení osobních údajů subjektu údajů podle odst. 1 písm. d).

4.   V souvislosti s řízením grantů nebo zadáváním veřejných zakázek mohou být práva uvedená v odstavci 1 omezena za stejných podmínek s výjimkou práva na opravu, výmaz a omezení zpracování podle odst. 1 písm. c).

5.   V řádně odůvodněných případech a za podmínek stanovených v tomto rozhodnutí je správce oprávněn omezit právo na opravu, výmaz a omezení zpracování s výjimkami stanovenými v odstavcích 3 a 4.

6.   Pokud společný podnik S2R zcela nebo částečně omezí uplatňování práv uvedených v odstavcích 1, 3, 4 a 5, podnikne kroky stanovené v článcích 6 a 7 tohoto rozhodnutí.

7.   Pokud subjekty údajů požádají o přístup ke svým osobním údajům zpracovávaným v souvislosti s jedním nebo více konkrétními případy nebo ke konkrétní operaci zpracování v souladu s článkem 17 nařízení (EU) 2018/1725, omezí se společný podnik S2R v rámci posuzování této žádosti jen na tyto osobní údaje.

Článek 6

Nezbytnost a přiměřenost omezení

1.   Všechna omezení na základě článku 4 musí být nezbytná a přiměřená vzhledem k rizikům pro práva a svobody subjektů údajů a musí respektovat podstatu základních práv a svobod v demokratické společnosti.

2.   Zvažuje-li se použití omezení, provede se test nezbytnosti a přiměřenosti na základě těchto pravidel. Tento test bude proveden i v rámci pravidelného přezkumu v návaznosti na posouzení toho, zda nadále přetrvávají faktické a právní důvody omezení. Test se v každém jednotlivém případě zdokumentuje prostřednictvím oznámení o interním posuzování za účelem vyvození odpovědnosti.

3.   Omezení musí být dočasná. Zůstanou v platnosti, dokud budou existovat důvody, které je opodstatňují. Zejména v případech, kdy bude usouzeno, že uplatňování omezeného práva by již nezmařilo účinek uloženého omezení nebo by nepříznivě ovlivňovalo práva nebo svobody jiných subjektů údajů.

Společný podnik S2R přezkoumá použití omezení každých šest měsíců ode dne jejich přijetí a při uzavření příslušného šetření, řízení nebo vyšetřování. Následně správce každých šest měsíců sleduje nutnost nadále uplatňovat veškerá omezení.

4.   Pokud společný podnik S2R zcela nebo zčásti uplatní omezení na základě článku 4 tohoto rozhodnutí, zaznamená důvody tohoto omezení a právní základ v souladu s odstavcem 1 výše, včetně posouzení nezbytnosti a přiměřenosti omezení.

Záznam a případně i dokumenty obsahující věcné a právní prvky budou zaevidovány a na žádost přístupné evropskému inspektorovi ochrany údajů.

Článek 7

Povinnost informovat

1.   Společný podnik S2R v oznámeních o ochraně údajů, prohlášeních o ochraně soukromí nebo v záznamech ve smyslu článku 31 nařízení (EU) 2018/1725 zveřejněných na jeho internetových stránkách a/nebo na intranetu, kde informuje subjekty údajů o jejich právech v rámci daného řízení, uvede informace související s možným omezením těchto práv. Tyto informace se týkají toho, která práva mohou být omezena, odůvodnění a případné délky trvání omezení.

Aniž jsou dotčena ustanovení čl. 6 odst. 4, informuje společný podnik S2R, je-li to přiměřené, jednotlivě všechny subjekty údajů, o nichž se domnívá, že jsou dotčenými osobami v rámci konkrétní operace zpracování, neprodleně a písemně o jejich právech v souvislosti se stávajícími nebo budoucími omezeními.

2.   Pokud společný podnik S2R zčásti nebo zcela omezí práva uvedená v článku 5, informuje dotčený subjekt údajů o uplatněném omezení a o jeho hlavních důvodech a také o možnosti podat stížnost u evropského inspektora ochrany údajů nebo požádat o soudní ochranu u Soudního dvora Evropské unie.

Poskytnutí informací uvedených v odstavci 2 výše lze odložit, neprovést nebo odepřít, pokud by to mařilo účinek omezení uloženého podle čl. 25 odst. 8 nařízení (EU) 2018/1725.

Článek 8

Přezkum pověřencem pro ochranu osobních údajů

1.   Společný podnik S2R neprodleně informuje svého pověřence pro ochranu osobních údajů, pokud správce omezí uplatňování práv subjektů údajů nebo prodlouží platnost omezení, a to v souladu s tímto rozhodnutím. Správce poskytne pověřenci pro ochranu osobních údajů přístup k záznamům obsahujícím posouzení nezbytnosti a přiměřenosti omezení a v záznamu uvede datum informování pověřence pro ochranu osobních údajů.

2.   Pověřenec pro ochranu osobních údajů může správce písemně požádat, aby přezkoumal použití omezení. Správce písemně informuje pověřence pro ochranu osobních údajů o výsledku vyžádaného přezkumu.

3.   Pověřenec pro ochranu osobních údajů je zapojen během celého postupu. Správce v případě zrušení omezení informuje pověřence pro ochranu osobních údajů.

Článek 9

Vstup v platnost

Toto rozhodnutí vstupuje v platnost dvacátým dnem po vyhlášení v Úředním věstníku Evropské unie.

Úředním věstníku Evropské unie

V Bruselu dne 26. března 2020.

Za správní radu společného podniku S2R

Henrik HOLOLEI

předseda

---

(1)  
  Úř. věst. C 202, 7.6.2016, s. 47.

1

(2)  
  Úř. věst. L 295, 21.11.2018, s. 39.

2

(3)  
  Úř. věst. L 177, 17.6.2014, s. 9.

3

(4)  V případě společné správy se údaje zpracovávají za použití prostředků a pro účely stanovené v příslušné dohodě mezi společnými správci ve smyslu článku 28 nařízení (EU) 2018/1725.

4

(5)  Zásady uchovávání údajů společného podniku S2R se zakládají na uchovávání spisů v Komisi, které upravuje společný seznam pro uchovávání spisů, což je regulační dokument (poslední verze: SEC(2019) 900) v podobě harmonogramu archivace, který stanoví dobu uchovávání pro různé typy spisů Komise.

5

(6)  Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. L 119, 4.5.2016, s. 1).

6

(7)  Směrnice Evropského parlamentu a Rady (EU) 2016/680 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, o volném pohybu těchto údajů a o zrušení rámcového rozhodnutí Rady 2008/977/SVV (Úř. věst. L 119, 4.5.2016, s. 89).

7

---