# Úřední věstník L 221/2019

| | ISSN 1977-0626 |
| --- | --- |
| Úřední věstník
  Evropské unie | L 221 |
| | |
| České vydání | Právní předpisy | Ročník 6226. srpna 2019 |

ISSN 1977-0626

Úřední věstník

Evropské unie

L 221

České vydání

Právní předpisy

Ročník 6226. srpna 2019

---

| Obsah | | II   Nelegislativní akty | Strana |
| --- | --- | --- | --- |
| | | JEDNACÍ ŘÁDY |
| | * | Rozhodnutí správní rady Evropského orgánu pro pojišťovnictví a zaměstnanecké penzijní pojištění ze dne 23. května 2019 o vnitřních předpisech týkajících se omezení některých práv subjektů údajů, pokud jde o zpracování osobních údajů v rámci fungování orgánu EIOPA | 1 |

Obsah

II   Nelegislativní akty

Strana

JEDNACÍ ŘÁDY

*

Rozhodnutí správní rady Evropského orgánu pro pojišťovnictví a zaměstnanecké penzijní pojištění ze dne 23. května 2019 o vnitřních předpisech týkajících se omezení některých práv subjektů údajů, pokud jde o zpracování osobních údajů v rámci fungování orgánu EIOPA

1

| CS | Akty, jejichž název není vytištěn tučně, se vztahují ke každodennímu řízení záležitostí v zemědělství a obecně platí po omezenou dobu.
  Názvy všech ostatních aktů jsou vytištěny tučně a předchází jim hvězdička. |
| --- | --- |

CS

Akty, jejichž název není vytištěn tučně, se vztahují ke každodennímu řízení záležitostí v zemědělství a obecně platí po omezenou dobu.

Názvy všech ostatních aktů jsou vytištěny tučně a předchází jim hvězdička.

---

II Nelegislativní akty

JEDNACÍ ŘÁDY

| 26.8.2019 | CS | Úřední věstník Evropské unie | L 221/1 |
| --- | --- | --- | --- |

26.8.2019

CS

Úřední věstník Evropské unie

L 221/1

---

ROZHODNUTÍ SPRÁVNÍ RADY EVROPSKÉHO ORGÁNU PRO POJIŠŤOVNICTVÍ A ZAMĚSTNANECKÉ PENZIJNÍ POJIŠTĚNÍ

ze dne 23. května 2019

o vnitřních předpisech týkajících se omezení některých práv subjektů údajů, pokud jde o zpracování osobních údajů v rámci fungování orgánu EIOPA

SPRÁVNÍ RADA EVROPSKÉHO ORGÁNU PRO POJIŠŽOVNICTVÍ A ZAMĚSTNANECKÉ PENZIJNÍ POJIŠTĚNÍ,

s ohledem na Smlouvu o fungování Evropské unie,

s ohledem na nařízení Evropského parlamentu a Rady (EU) 2018/1725 ze dne 23. října 2018 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů orgány, institucemi a jinými subjekty Unie a o volném pohybu těchto údajů a o zrušení nařízení (ES) č. 45/2001 a rozhodnutí č. 1247/2002/ES (1) (dále jen „nařízení (EU) 2018/1725“), a zejména na článek 25 tohoto nařízení,

s ohledem na nařízení Evropského parlamentu a Rady (EU) č. 1094/2010 ze dne 24. listopadu 2010 o zřízení Evropského orgánu dohledu (Evropského orgánu pro pojišťovnictví a zaměstnanecké penzijní pojištění), o změně rozhodnutí č. 716/2009/ES a o zrušení rozhodnutí Komise 2009/79/ES (2), a zejména na čl. 47 odst. 1 uvedeného nařízení,

s ohledem na stanovisko evropského inspektora ochrany údajů (dále jen „EIOÚ“) ze dne 14. května 2019,

vzhledem k těmto důvodům:

| (1) | V souladu s čl. 25 odst. 1 nařízení (EU) 2018/1725 by omezení použití článků 14 až 22, 35 a 36, jakož i článku 4 uvedeného nařízení v rozsahu, v jakém jeho ustanovení odpovídají právům a povinnostem stanoveným v článcích 14 až 22, měla vycházet z vnitřních předpisů přijatých orgánem EIOPA, pokud nevycházejí z právních aktů přijatých na základě Smluv. |
| --- | --- |

(1)

V souladu s čl. 25 odst. 1 nařízení (EU) 2018/1725 by omezení použití článků 14 až 22, 35 a 36, jakož i článku 4 uvedeného nařízení v rozsahu, v jakém jeho ustanovení odpovídají právům a povinnostem stanoveným v článcích 14 až 22, měla vycházet z vnitřních předpisů přijatých orgánem EIOPA, pokud nevycházejí z právních aktů přijatých na základě Smluv.

| (2) | Tyto vnitřní předpisy, včetně ustanovení o posouzení nezbytnosti a přiměřenosti daného omezení, by se neměly použít v případě, kdy omezení práv subjektů údajů stanoví právní akt přijatý na základě Smluv. |
| --- | --- |

(2)

Tyto vnitřní předpisy, včetně ustanovení o posouzení nezbytnosti a přiměřenosti daného omezení, by se neměly použít v případě, kdy omezení práv subjektů údajů stanoví právní akt přijatý na základě Smluv.

| (3) | V případech, kdy orgán EIOPA vykonává své povinnosti s ohledem na práva subjektu údajů podle nařízení (EU) 2018/1725, tento orgán zváží, zda se neuplatní kterákoliv z výjimek uvedených v tomto nařízení. |
| --- | --- |

(3)

V případech, kdy orgán EIOPA vykonává své povinnosti s ohledem na práva subjektu údajů podle nařízení (EU) 2018/1725, tento orgán zváží, zda se neuplatní kterákoliv z výjimek uvedených v tomto nařízení.

| (4) | V rámci svého správního fungování může orgán EIOPA provádět správní šetření, kárná řízení, vykonávat předběžné činnosti související s případy možných nesrovnalostí oznámených úřadu OLAF, zpracovávat případy whistleblowingu, vyřizovat (formální a neformální) řízení v případě obtěžování, vyřizovat interní a externí stížnosti, provádět interní audity, provádět vyšetřování ze strany pověřence pro ochranu osobních údajů v souladu s čl. 45 odst. 2 nařízení (EU) 2018/1725 a vyšetřování interní (IT) bezpečnosti. |
| --- | --- |

(4)

V rámci svého správního fungování může orgán EIOPA provádět správní šetření, kárná řízení, vykonávat předběžné činnosti související s případy možných nesrovnalostí oznámených úřadu OLAF, zpracovávat případy whistleblowingu, vyřizovat (formální a neformální) řízení v případě obtěžování, vyřizovat interní a externí stížnosti, provádět interní audity, provádět vyšetřování ze strany pověřence pro ochranu osobních údajů v souladu s čl. 45 odst. 2 nařízení (EU) 2018/1725 a vyšetřování interní (IT) bezpečnosti.

| (5) | Orgán EIOPA zpracovává několik kategorií osobních údajů, včetně „tvrdých“ údajů („objektivní“ údaje, jako jsou údaje o totožnosti, kontaktní údaje, profesní údaje, správní podrobnosti, údaje získané ze zvláštních zdrojů, elektronická komunikace a provozní údaje) nebo „měkkých“ údajů („subjektivní“ údaje týkající se daného případu, např. odůvodnění, údaje o chování, hodnocení, údaje o výkonu a jednání a údaje související nebo předložené v souvislosti s předmětem řízení nebo činnosti). |
| --- | --- |

(5)

Orgán EIOPA zpracovává několik kategorií osobních údajů, včetně „tvrdých“ údajů („objektivní“ údaje, jako jsou údaje o totožnosti, kontaktní údaje, profesní údaje, správní podrobnosti, údaje získané ze zvláštních zdrojů, elektronická komunikace a provozní údaje) nebo „měkkých“ údajů („subjektivní“ údaje týkající se daného případu, např. odůvodnění, údaje o chování, hodnocení, údaje o výkonu a jednání a údaje související nebo předložené v souvislosti s předmětem řízení nebo činnosti).

| (6) | Orgán EIOPA, zastoupený svým výkonným ředitelem, vystupuje jako správce údajů bez ohledu na další přenesení pravomocí spojených s úlohou správce v rámci orgánu EIOPA s cílem zohlednit provozní odpovědnost za konkrétní operace zpracování osobních údajů. |
| --- | --- |

(6)

Orgán EIOPA, zastoupený svým výkonným ředitelem, vystupuje jako správce údajů bez ohledu na další přenesení pravomocí spojených s úlohou správce v rámci orgánu EIOPA s cílem zohlednit provozní odpovědnost za konkrétní operace zpracování osobních údajů.

| (7) | Osobní údaje jsou bezpečně uloženy v elektronickém prostředí nebo v papírové podobě, která brání protiprávnímu přístupu nebo předání údajů osobám, které je nepotřebují znát. Zpracovávané osobní údaje jsou uchovávány jen po nezbytnou dobu a k účelům, pro které se zpracovávají během období uvedeného v oznámeních o ochraně údajů, prohlášení o ochraně soukromí nebo v záznamech orgánu EIOPA. |
| --- | --- |

(7)

Osobní údaje jsou bezpečně uloženy v elektronickém prostředí nebo v papírové podobě, která brání protiprávnímu přístupu nebo předání údajů osobám, které je nepotřebují znát. Zpracovávané osobní údaje jsou uchovávány jen po nezbytnou dobu a k účelům, pro které se zpracovávají během období uvedeného v oznámeních o ochraně údajů, prohlášení o ochraně soukromí nebo v záznamech orgánu EIOPA.

| (8) | Tyto vnitřní předpisy by měly platit pro všechny operace zpracování provedené orgánem EIOPA v rámci správních šetření, kárných řízení, předběžných činností souvisejících s případy možných nesrovnalostí oznámených úřadu OLAF, řízení v případě whistleblowingu, (formálních a neformálních) řízení v případech obtěžování, vyřizování interních a externích stížností, interních auditů, vyšetřování ze strany pověřence pro ochranu osobních údajů v souladu s čl. 45 odst. 2 nařízení (EU) 2018/1725, vyšetřování (IT) bezpečnosti prováděných interně nebo se zapojením externích subjektů (např. skupiny CERT-EU). |
| --- | --- |

(8)

Tyto vnitřní předpisy by měly platit pro všechny operace zpracování provedené orgánem EIOPA v rámci správních šetření, kárných řízení, předběžných činností souvisejících s případy možných nesrovnalostí oznámených úřadu OLAF, řízení v případě whistleblowingu, (formálních a neformálních) řízení v případech obtěžování, vyřizování interních a externích stížností, interních auditů, vyšetřování ze strany pověřence pro ochranu osobních údajů v souladu s čl. 45 odst. 2 nařízení (EU) 2018/1725, vyšetřování (IT) bezpečnosti prováděných interně nebo se zapojením externích subjektů (např. skupiny CERT-EU).

| (9) | Tyto vnitřní předpisy by měly platit pro operace zpracování provedené před zahájením výše uvedených řízení, během těchto řízení a během sledování návazného postupu v reakci na výstupy těchto řízení. Součástí by rovněž měla být pomoc a spolupráce, kterou orgán EIOPA nabídne vnitrostátním orgánům a mezinárodním organizacím nad rámec svých správních vyšetřování. |
| --- | --- |

(9)

Tyto vnitřní předpisy by měly platit pro operace zpracování provedené před zahájením výše uvedených řízení, během těchto řízení a během sledování návazného postupu v reakci na výstupy těchto řízení. Součástí by rovněž měla být pomoc a spolupráce, kterou orgán EIOPA nabídne vnitrostátním orgánům a mezinárodním organizacím nad rámec svých správních vyšetřování.

| (10) | V případech, kdy se použijí tyto vnitřní předpisy, musí orgán EIOPA uvést odůvodnění vysvětlující, proč jsou omezení přísně vzato nezbytná a přiměřená v demokratické společnosti, a dodržovat podstatu základních práv a svobod. |
| --- | --- |

(10)

V případech, kdy se použijí tyto vnitřní předpisy, musí orgán EIOPA uvést odůvodnění vysvětlující, proč jsou omezení přísně vzato nezbytná a přiměřená v demokratické společnosti, a dodržovat podstatu základních práv a svobod.

| (11) | V této souvislosti je orgán EIOPA během výše uvedených řízení povinen dodržovat v maximální možné míře základní práva subjektů údajů, zejména ta, která se týkají práva na poskytování informací, práva na přístup k údajům a jejich opravu, práva na výmaz, omezení zpracování, práva na oznamování případů porušení zabezpečení osobních údajů subjektu údajů nebo na důvěrnost komunikace, jak je zakotveno v nařízení (EU) 2018/1725. |
| --- | --- |

(11)

V této souvislosti je orgán EIOPA během výše uvedených řízení povinen dodržovat v maximální možné míře základní práva subjektů údajů, zejména ta, která se týkají práva na poskytování informací, práva na přístup k údajům a jejich opravu, práva na výmaz, omezení zpracování, práva na oznamování případů porušení zabezpečení osobních údajů subjektu údajů nebo na důvěrnost komunikace, jak je zakotveno v nařízení (EU) 2018/1725.

| (12) | Je však možné, že orgán EIOPA bude muset omezit informace poskytované subjektu údajů a jiná práva subjektu údajů, a to zejména s cílem chránit vlastní vyšetřování orgánu, vyšetřování a řízení jiných veřejných orgánů, jakož i práva jiných osob související s vyšetřováními a jinými řízeními orgánu. |
| --- | --- |

(12)

Je však možné, že orgán EIOPA bude muset omezit informace poskytované subjektu údajů a jiná práva subjektu údajů, a to zejména s cílem chránit vlastní vyšetřování orgánu, vyšetřování a řízení jiných veřejných orgánů, jakož i práva jiných osob související s vyšetřováními a jinými řízeními orgánu.

| (13) | Orgán EIOPA tudíž může omezit informace pro účely ochrany vyšetřování a základních práv a svobod jiných subjektů údajů. |
| --- | --- |

(13)

Orgán EIOPA tudíž může omezit informace pro účely ochrany vyšetřování a základních práv a svobod jiných subjektů údajů.

| (14) | Orgán EIOPA by měl pravidelně sledovat, že platí podmínky odůvodňující dané omezení, a omezení zrušit, pokud podmínky již neplatí. |
| --- | --- |

(14)

Orgán EIOPA by měl pravidelně sledovat, že platí podmínky odůvodňující dané omezení, a omezení zrušit, pokud podmínky již neplatí.

| (15) | Správce by měl informovat pověřence pro ochranu osobních údajů v okamžiku odkladu a během přezkumů. |
| --- | --- |

(15)

Správce by měl informovat pověřence pro ochranu osobních údajů v okamžiku odkladu a během přezkumů.

PŘÍJALA TOTO ROZHODNUTÍ:

Článek 1

Předmět a oblast působnosti

1.   Tímto rozhodnutím se stanoví pravidla týkající se podmínek, za nichž může orgán EIOPA v rámci svých řízení stanovených v druhém odstavci omezit uplatňování práv zakotvených v článcích 14 až 21, 35 a 36, jakož i ve článku 4 uvedeného nařízení, a to v souladu s článkem 25 nařízení (EU) 2018/1725.

2.   V rámci správního fungování orgánu EIOPA platí toto rozhodnutí pro operace zpracování osobních údajů provedené orgánem EIOPA pro účely: provádění správních šetření, kárných řízení, předběžných činností souvisejících s případy možných nesrovnalostí oznámených úřadu OLAF, projednávání případů whistleblowingu, (formálních a neformálních) řízení v případech obtěžování, vyřizování interních a externích stížností, interních auditů, vyšetřování ze strany pověřence pro ochranu osobních údajů v souladu s čl. 45 odst. 2 nařízení (EU) 2018/1725, vyšetřování (IT) bezpečnosti prováděných interně nebo se zapojením externích subjektů (např. skupiny CERT-EU).

3.   Dotčenými kategoriemi údajů jsou „tvrdé“ údaje („objektivní“ údaje, jako jsou údaje o totožnosti, kontaktní údaje, profesní údaje, správní podrobnosti, údaje získané ze zvláštních zdrojů, elektronická komunikace a provozní údaje) a/nebo „měkké“ údaje („subjektivní“ údaje týkající se daného případu, např. odůvodnění, údaje o chování, hodnocení, údaje o výkonu a jednání a údaje související nebo předložené v souvislosti s předmětem řízení nebo činnosti).

4.   V případech, kdy orgán EIOPA vykonává své povinnosti s ohledem na práva subjektu údajů podle nařízení (EU) 2018/1725, tento orgán zváží, zda se neuplatní kterákoliv z výjimek uvedených v tomto nařízení.

5.   V závislosti na podmínkách stanovených v tomto rozhodnutí mohou platit omezení pro tato práva: poskytování informací subjektům údajů, právo na přístup, opravu, výmaz, omezení zpracování, oznamování případů porušení zabezpečení osobních údajů subjektu údajů a důvěrnost komunikace.

Článek 2

Specifikace správce a záruky

1.   Jsou zavedeny tyto záruky, aby se předešlo porušení zabezpečení osobních údajů, únikům údajů či jejich neoprávněnému zpřístupnění:

| a) | papírové dokumenty se uchovávají v zabezpečených skříních a přístup k nim mají pouze oprávnění zaměstnanci; |
| --- | --- |

a)

papírové dokumenty se uchovávají v zabezpečených skříních a přístup k nim mají pouze oprávnění zaměstnanci;

| b) | veškeré elektronické údaje se uchovávají v zabezpečené aplikaci IT podle bezpečnostních norem orgánu EIOPA, jakož i ve zvláštních elektronických adresářích, k nimž mají přístup pouze oprávnění zaměstnanci. Vhodné úrovně přístupu se udělují individuálně; |
| --- | --- |

b)

veškeré elektronické údaje se uchovávají v zabezpečené aplikaci IT podle bezpečnostních norem orgánu EIOPA, jakož i ve zvláštních elektronických adresářích, k nimž mají přístup pouze oprávnění zaměstnanci. Vhodné úrovně přístupu se udělují individuálně;

| c) | databáze je chráněna heslem v rámci jednotného systému přihlašování a propojena automaticky s uživatelským jménem a heslem daného uživatele. Nahrazování uživatelů je přísně zakázáno. Elektronické záznamy jsou uchovávány zabezpečeným způsobem, aby se zajistila důvěrnost a soukromí údajů v nich obsažených; |
| --- | --- |

c)

databáze je chráněna heslem v rámci jednotného systému přihlašování a propojena automaticky s uživatelským jménem a heslem daného uživatele. Nahrazování uživatelů je přísně zakázáno. Elektronické záznamy jsou uchovávány zabezpečeným způsobem, aby se zajistila důvěrnost a soukromí údajů v nich obsažených;

| d) | všechny osoby, které mají přístup k údajům, jsou vázány povinností zachovávat důvěrnost. |
| --- | --- |

d)

všechny osoby, které mají přístup k údajům, jsou vázány povinností zachovávat důvěrnost.

2.   Správcem operací zpracování je orgán EIOPA, zastoupený svým výkonným ředitelem, který může delegovat funkci správce. Subjekty údajů jsou informovány delegovaným správcem formou oznámení o ochraně údajů nebo prostřednictvím záznamů zveřejněných na webové stránce a/nebo na intranetu orgánu EIOPA.

3.   Období uchovávání osobních údajů uvedených v čl. 1 odst. 3 nesmí být delší, než je nezbytné a vhodné pro účely, pro něž se údaje zpracovávají. Každopádně však nesmí být delší než období uchovávání uvedené v oznámení o ochraně údajů, prohlášení o ochraně soukromí nebo v záznamech podle čl. 5 odst. 1.

4.   Pokud orgán EIOPA zvažuje použití omezení, zváží se riziko pro práva a svobody subjektu údajů především ve srovnání s rizikem hrozícím právům a svobodám jiných subjektů údajů a rizikem maření účinku vyšetřování nebo řízení vedených orgánem EIOPA, například formou likvidace důkazů. Rizika pro práva a svobody subjektu údajů se týkají především, ale nikoliv výlučně rizik ohrožení dobrého jména a rizik spojených s právem na obhajobu a právem být vyslechnut.

Článek 3

Omezení

1.   Veškerá omezení použije orgán EIOPA pouze k zabezpečení:

| a) | prevence, vyšetřování, odhalování a stíhání trestných činů nebo výkonu trestů, včetně ochrany před hrozbami pro veřejnou bezpečnost a jejich předcházení; |
| --- | --- |

a)

prevence, vyšetřování, odhalování a stíhání trestných činů nebo výkonu trestů, včetně ochrany před hrozbami pro veřejnou bezpečnost a jejich předcházení;

| b) | jiných důležitých cílů obecného veřejného zájmu Unie nebo některého členského státu, zejména cílů společné zahraniční a bezpečnostní politiky Unie nebo důležitých hospodářských nebo finančních zájmů Unie nebo některého členského státu, včetně měnových, rozpočtových a daňových záležitostí, veřejného zdraví a sociálního zabezpečení; |
| --- | --- |

b)

jiných důležitých cílů obecného veřejného zájmu Unie nebo některého členského státu, zejména cílů společné zahraniční a bezpečnostní politiky Unie nebo důležitých hospodářských nebo finančních zájmů Unie nebo některého členského státu, včetně měnových, rozpočtových a daňových záležitostí, veřejného zdraví a sociálního zabezpečení;

| c) | vnitřní bezpečnosti orgánů a subjektů Unie, včetně jejich sítí elektronických komunikací; |
| --- | --- |

c)

vnitřní bezpečnosti orgánů a subjektů Unie, včetně jejich sítí elektronických komunikací;

| d) | předcházení, vyšetřování, odhalování a stíhání případů porušení etických pravidel regulovaných povolání; |
| --- | --- |

d)

předcházení, vyšetřování, odhalování a stíhání případů porušení etických pravidel regulovaných povolání;

| e) | monitorovací, inspekční nebo regulační funkce spojené, i pouze příležitostně, s výkonem veřejné moci v případech uvedených v písmenech a) až c); |
| --- | --- |

e)

monitorovací, inspekční nebo regulační funkce spojené, i pouze příležitostně, s výkonem veřejné moci v případech uvedených v písmenech a) až c);

| f) | ochrany subjektu údajů nebo práv a svobod druhých. |
| --- | --- |

f)

ochrany subjektu údajů nebo práv a svobod druhých.

2.   Jako zvláštní případ účelů uvedených v odstavci 1 výše může orgán EIOPA použít omezení v souvislosti s osobními údaji vyměněnými s útvary Komise nebo orgány, institucemi a jinými subjekty Unie, příslušnými orgány členských států nebo třetích zemí nebo mezinárodními organizacemi, a to za těchto okolností:

| a) | pokud by výkon těchto práv a povinností mohl být omezen útvary Komise nebo orgány, institucemi a jinými subjekty Unie na základě jiných aktů, jak stanoví článek 25 nařízení (EU) 2018/1725, nebo v souladu s kapitolou IX uvedeného nařízení nebo se zřizovacími akty orgánů, institucí a jiných subjektů Unie; |
| --- | --- |

a)

pokud by výkon těchto práv a povinností mohl být omezen útvary Komise nebo orgány, institucemi a jinými subjekty Unie na základě jiných aktů, jak stanoví článek 25 nařízení (EU) 2018/1725, nebo v souladu s kapitolou IX uvedeného nařízení nebo se zřizovacími akty orgánů, institucí a jiných subjektů Unie;

| b) | pokud by výkon těchto práv a povinností mohl být omezen příslušnými orgány členských států na základě aktů uvedených v článku 23 nařízení Evropského parlamentu a Rady (EU) 2016/679 (3) nebo v souladu s vnitrostátními opatřeními, jimiž se provádí čl. 13 odst. 3, čl. 15 odst. 3 nebo čl. 16 odst. 3 směrnice Evropského parlamentu a Rady (EU) 2016/680 (4); |
| --- | --- |

b)

pokud by výkon těchto práv a povinností mohl být omezen příslušnými orgány členských států na základě aktů uvedených v článku 23 nařízení Evropského parlamentu a Rady (EU) 2016/679 (3) nebo v souladu s vnitrostátními opatřeními, jimiž se provádí čl. 13 odst. 3, čl. 15 odst. 3 nebo čl. 16 odst. 3 směrnice Evropského parlamentu a Rady (EU) 2016/680 (4);

| c) | pokud by výkon těchto práv a povinností mohl ohrozit spolupráci orgánu EIOPA s třetími zeměmi nebo mezinárodními organizacemi při provádění jeho úkolů. |
| --- | --- |

c)

pokud by výkon těchto práv a povinností mohl ohrozit spolupráci orgánu EIOPA s třetími zeměmi nebo mezinárodními organizacemi při provádění jeho úkolů.

Před použitím omezení za okolností uvedených v písm. a) a b) prvního pododstavce konzultuje orgán EIOPA příslušné útvary Komise, orgány, instituce a jiné subjekty Unie nebo příslušné orgány členských států, ledaže je orgánu EIOPA zjevné, že použití omezení je stanoveno jedním z aktů uvedených v těchto písmenech.

3.   Všechna omezení musejí být nezbytná a přiměřená vzhledem k rizikům pro práva a svobody subjektů údajů a musejí dodržovat podstatu základních práv a svobod v demokratické společnosti.

4.   Zvažuje-li se použití omezení, provede se test nezbytnosti a přiměřenosti na základě těchto pravidel. Test se v každém jednotlivém případě zdokumentuje prostřednictvím oznámení o interním posuzování za účelem vyvození odpovědnosti.

5.   Omezení se zruší, jakmile pominou okolnosti, které tato omezení odůvodňují. Zejména pak v případě, že se má za to, že uplatňování omezeného práva by již nemařilo účinek uloženého omezení nebo by nepříznivě ovlivňovalo práva nebo svobody jiných subjektů údajů.

Článek 4

Přezkum pověřencem pro ochranu osobních údajů

1.   Orgán EIOPA neprodleně informuje svého pověřence pro ochranu osobních údajů, pokud správce omezí uplatňování práv subjektů údajů nebo prodlouží platnost omezení, a to v souladu s tímto rozhodnutím. Správce poskytne pověřenci pro ochranu osobních údajů přístup k záznamům obsahujícím posouzení nezbytnosti a přiměřenosti omezení a zdokumentuje do záznamu datum informování pověřence pro ochranu osobních údajů.

2.   Pověřenec pro ochranu osobních údajů může správce písemně požádat, aby přezkoumal použití omezení. Správce písemně informuje pověřence pro ochranu osobních údajů o výsledku vyžádaného přezkumu.

3.   Správce informuje pověřence pro ochranu osobních údajů, pokud bylo omezení zrušeno.

Článek 5

Poskytování informací subjektu údajů

1.   V řádně odůvodněných případech a za podmínek stanovených v tomto rozhodnutí může správce omezit právo na informace v souvislosti s těmito operacemi zpracování:

| a) | provádění správních šetření a kárných řízení; |
| --- | --- |

a)

provádění správních šetření a kárných řízení;

| b) | předběžné činnosti související s případy možných nesrovnalostí oznámených úřadu OLAF; |
| --- | --- |

b)

předběžné činnosti související s případy možných nesrovnalostí oznámených úřadu OLAF;

| c) | řízení v případě whistleblowingu; |
| --- | --- |

c)

řízení v případě whistleblowingu;

| d) | (formální a neformální) řízení v případech obtěžování; |
| --- | --- |

d)

(formální a neformální) řízení v případech obtěžování;

| e) | vyřizování interních a externích stížností; |
| --- | --- |

e)

vyřizování interních a externích stížností;

| f) | interní audity; |
| --- | --- |

f)

interní audity;

| g) | vyšetřování prováděná pověřencem pro ochranu osobních údajů v souladu s čl. 45 odst. 2 nařízení (EU) 2018/1725; |
| --- | --- |

g)

vyšetřování prováděná pověřencem pro ochranu osobních údajů v souladu s čl. 45 odst. 2 nařízení (EU) 2018/1725;

| h) | vyšetřování (IT) bezpečnosti prováděná interně nebo se zapojením externích subjektů (např. skupiny CERT-EU). |
| --- | --- |

h)

vyšetřování (IT) bezpečnosti prováděná interně nebo se zapojením externích subjektů (např. skupiny CERT-EU).

Orgán EUIPA v oznámeních o ochraně údajů, prohlášení o ochraně soukromí nebo v záznamech ve smyslu článku 31 nařízení (EU) 2018/1725 zveřejněných na jeho webových stránkách a/nebo na intranetu, kde informuje subjekty údajů o jejich právech v rámci daného řízení, uvede informace související s možným omezením těchto práv. Součástí informací je i to, která práva mohou být omezena, důvody a případná délka trvání.

2.   Aniž jsou dotčena ustanovení třetího odstavce, informuje orgán EIOPA, je-li to přiměřené, jednotlivě všechny subjekty údajů, o nichž se domnívá, že jsou dotčenými osobami v rámci konkrétní operace zpracování, neprodleně a písemně o jejich právech v souvislosti se současnými a budoucími omezeními.

3.   Pokud orgán EIOPA zcela nebo částečně omezí poskytování informací subjektům údajů, jak je uvedeno v odstavci 2, zaznamená důvody omezení a právní základ v souladu s článkem 3 tohoto rozhodnutí, včetně posouzení nezbytnosti a přiměřenosti omezení.

4.   Je třeba vložit do rejstříku záznam a případně dokumenty obsahující věcné a právní prvky, z nichž omezení vychází. Ty jsou pak na požádání přístupné EIOÚ.

5.   Omezení uvedené ve třetím odstavci platí, dokud budou platit důvody, které jeho platnost odůvodňují.

6.   Pokud důvody omezení již neplatí, orgán EIOPA poskytne informace subjektu údajů o hlavních důvodech, na nichž je použití omezení založeno. Současně orgán EIOPA informuje subjekt údajů o právu kdykoliv podat stížnost u EIOÚ nebo žádat o soudní ochranu u Soudního dvora Evropské unie.

7.   Orgán EIOPA přezkoumá použití omezení každých šest měsíců ode dne přijetí omezení a při uzavření příslušného šetření, řízení nebo vyšetřování. Následně správce každých šest měsíců sleduje nutnost nadále uplatňovat veškerá omezení.

Článek 6

Právo subjektu údajů na přístup k údajům

1.   V řádně odůvodněných případech a za podmínek stanovených v tomto rozhodnutí může správce omezit právo na přístup, pokud je to nezbytné a přiměřené, v souvislosti s těmito operacemi zpracování:

| a) | provádění správních šetření a kárných řízení; |
| --- | --- |

a)

provádění správních šetření a kárných řízení;

| b) | předběžné činnosti související s případy možných nesrovnalostí oznámených úřadu OLAF; |
| --- | --- |

b)

předběžné činnosti související s případy možných nesrovnalostí oznámených úřadu OLAF;

| c) | řízení v případě whistleblowingu; |
| --- | --- |

c)

řízení v případě whistleblowingu;

| d) | (formální a neformální) řízení v případech obtěžování; |
| --- | --- |

d)

(formální a neformální) řízení v případech obtěžování;

| e) | vyřizování interních a externích stížností; |
| --- | --- |

e)

vyřizování interních a externích stížností;

| f) | interní audity; |
| --- | --- |

f)

interní audity;

| g) | vyšetřování prováděná pověřencem pro ochranu osobních údajů v souladu s čl. 45 odst. 2 nařízení (EU) 2018/1725; |
| --- | --- |

g)

vyšetřování prováděná pověřencem pro ochranu osobních údajů v souladu s čl. 45 odst. 2 nařízení (EU) 2018/1725;

| h) | vyšetřování (IT) bezpečnosti prováděná interně nebo se zapojením externích subjektů (např. skupiny CERT-EU). |
| --- | --- |

h)

vyšetřování (IT) bezpečnosti prováděná interně nebo se zapojením externích subjektů (např. skupiny CERT-EU).

Pokud subjekty údajů požádají o přístup ke svým osobním údajům zpracovávaným v souvislosti s jedním nebo více konkrétními případy nebo ke konkrétní operaci zpracování v souladu s článkem 17 nařízení (EU) 2018/1725, omezí orgán EIOPA posouzení žádosti pouze na tyto osobní údaje.

2.   Pokud orgán EIOPA zcela nebo částečně omezí právo na přístup uvedené v článku 17 nařízení (EU) 2018/1725, podnikne následující kroky:

| (a) | ve své odpovědi na žádost informuje dotčený subjekt údajů o platném omezení a o hlavních důvodech tohoto omezení a také o možnosti podat stížnost u EIOÚ nebo žádat o soudní ochranu u Soudního dvora Evropské unie; |
| --- | --- |

(a)

ve své odpovědi na žádost informuje dotčený subjekt údajů o platném omezení a o hlavních důvodech tohoto omezení a také o možnosti podat stížnost u EIOÚ nebo žádat o soudní ochranu u Soudního dvora Evropské unie;

| (b) | v oznámení o interním posuzování zdokumentuje důvody omezení, včetně posouzení nezbytnosti a přiměřenosti omezení a délku jeho trvání. |
| --- | --- |

(b)

v oznámení o interním posuzování zdokumentuje důvody omezení, včetně posouzení nezbytnosti a přiměřenosti omezení a délku jeho trvání.

Poskytnutí informací uvedených v písmenu a) lze odložit, neprovést nebo odepřít, pokud by mařilo účinek omezení uloženého podle čl. 25 odst. 8 nařízení (EU) 2018/1725.

3.   Orgán EIOPA přezkoumá použití omezení každých šest měsíců ode dne přijetí omezení a při uzavření příslušného vyšetřování. Následně správce každých šest měsíců sleduje nutnost nadále uplatňovat veškerá omezení. Pověřenec pro ochranu osobních údajů je náležitě vyrozuměn.

4.   Je třeba vložit do rejstříku záznam a případně dokumenty obsahující věcné a právní prvky, z nichž omezení vychází. Ty jsou pak na požádání přístupné EIOÚ.

Článek 7

Právo na opravu, výmaz a omezení zpracování údajů

1.   V řádně odůvodněných případech a za podmínek stanovených v tomto rozhodnutí může správce omezit právo na opravu, výmaz a omezení zpracování, pokud je to nezbytné a přiměřené, v souvislosti s těmito operacemi zpracování:

| a) | provádění správních šetření a kárných řízení; |
| --- | --- |

a)

provádění správních šetření a kárných řízení;

| b) | předběžné činnosti související s případy možných nesrovnalostí oznámených úřadu OLAF; |
| --- | --- |

b)

předběžné činnosti související s případy možných nesrovnalostí oznámených úřadu OLAF;

| c) | řízení v případě whistleblowingu; |
| --- | --- |

c)

řízení v případě whistleblowingu;

| d) | (formální a neformální) řízení v případech obtěžování; |
| --- | --- |

d)

(formální a neformální) řízení v případech obtěžování;

| e) | vyřizování interních a externích stížností; |
| --- | --- |

e)

vyřizování interních a externích stížností;

| f) | interní audity; |
| --- | --- |

f)

interní audity;

| g) | vyšetřování prováděná pověřencem pro ochranu osobních údajů v souladu s čl. 45 odst. 2 nařízení (EU) 2018/1725; |
| --- | --- |

g)

vyšetřování prováděná pověřencem pro ochranu osobních údajů v souladu s čl. 45 odst. 2 nařízení (EU) 2018/1725;

| h) | vyšetřování (IT) bezpečnosti prováděná interně nebo se zapojením externích subjektů (např. skupiny CERT-EU). |
| --- | --- |

h)

vyšetřování (IT) bezpečnosti prováděná interně nebo se zapojením externích subjektů (např. skupiny CERT-EU).

2.   Pokud orgán EIOPA zcela nebo částečně omezí uplatňování práva na opravu, výmaz a omezení zpracování uvedeného v článku 18, čl. 19 odst. 1 a čl. 20 odst. 1 nařízení (EU) 2018/1725, podnikne kroky stanovené v čl. 6 odst. 2 tohoto rozhodnutí a vloží do rejstříku záznam v souladu s čl. 6 odst. 3 rozhodnutí.

Článek 8

Oznamování případů porušení zabezpečení osobních údajů subjektu údajů a důvěrnost elektronických komunikací

1.   V řádně odůvodněných případech a za podmínek stanovených v tomto rozhodnutí může správce omezit právo na oznamování případů porušení zabezpečení osobních údajů, pokud jde to nezbytné a přiměřené, v souvislosti s těmito operacemi zpracování:

| a) | provádění správních šetření a kárných řízení; |
| --- | --- |

a)

provádění správních šetření a kárných řízení;

| b) | předběžné činnosti související s případy možných nesrovnalostí oznámených úřadu OLAF; |
| --- | --- |

b)

předběžné činnosti související s případy možných nesrovnalostí oznámených úřadu OLAF;

| c) | řízení v případě whistleblowingu; |
| --- | --- |

c)

řízení v případě whistleblowingu;

| d) | (formální a neformální) řízení v případech obtěžování; |
| --- | --- |

d)

(formální a neformální) řízení v případech obtěžování;

| e) | vyřizování interních a externích stížností; |
| --- | --- |

e)

vyřizování interních a externích stížností;

| f) | interní audity; |
| --- | --- |

f)

interní audity;

| g) | vyšetřování prováděná pověřencem pro ochranu osobních údajů v souladu s čl. 45 odst. 2 nařízení (EU) 2018/1725; |
| --- | --- |

g)

vyšetřování prováděná pověřencem pro ochranu osobních údajů v souladu s čl. 45 odst. 2 nařízení (EU) 2018/1725;

| h) | vyšetřování (IT) bezpečnosti prováděná interně nebo se zapojením externích subjektů (např. skupiny CERT-EU). |
| --- | --- |

h)

vyšetřování (IT) bezpečnosti prováděná interně nebo se zapojením externích subjektů (např. skupiny CERT-EU).

2.   V řádně odůvodněných případech a za podmínek stanovených v tomto rozhodnutí může správce omezit právo na důvěrnost elektronických komunikací, pokud je to nezbytné a přiměřené, v souvislosti s těmito operacemi zpracování:

| a) | provádění správních šetření a kárných řízení; |
| --- | --- |

a)

provádění správních šetření a kárných řízení;

| b) | předběžné činnosti související s případy možných nesrovnalostí oznámených úřadu OLAF; |
| --- | --- |

b)

předběžné činnosti související s případy možných nesrovnalostí oznámených úřadu OLAF;

| c) | řízení v případě whistleblowingu; |
| --- | --- |

c)

řízení v případě whistleblowingu;

| d) | formální řízení v případech obtěžování; |
| --- | --- |

d)

formální řízení v případech obtěžování;

| e) | vyřizování interních a externích stížností; |
| --- | --- |

e)

vyřizování interních a externích stížností;

| f) | vyšetřování (IT) bezpečnosti prováděná interně nebo se zapojením externích subjektů (např. skupiny CERT-EU). |
| --- | --- |

f)

vyšetřování (IT) bezpečnosti prováděná interně nebo se zapojením externích subjektů (např. skupiny CERT-EU).

3.   Pokud orgán EIOPA omezí oznamování případů porušení zabezpečení osobních údajů subjektu údajů a důvěrnost elektronických komunikací uvedené v článcích 35 a 36 nařízení (EU) 2018/1725, zaznamená a vloží do rejstříku důvody omezení v souladu s čl. 5 odst. 3 tohoto rozhodnutí. Použije se čl. 5 odst. 4 tohoto rozhodnutí.

Článek 9

Vstup v platnost

Toto rozhodnutí vstupuje v platnost prvním dnem po vyhlášení v Úředním věstníku Evropské unie.

Úředním věstníku Evropské unie

Ve Frankfurtu nad Mohanem dne 23. května 2019.

Za orgán EIOPA

Gabriel BERNARDINO

předseda správní rady

---

(1)  
  Úř. věst. L 295, 21.11.2018, s. 39.

1

(2)  
  Úř. věst. L 331, 15.12.2010, s. 48.

2

(3)  Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. L 119, 4.5.2016, s. 1).

3

(4)  Směrnice Evropského parlamentu a Rady (EU) 2016/680 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, o volném pohybu těchto údajů a o zrušení rámcového rozhodnutí Rady 2008/977/SVV (Úř. věst. L 119, 4.5.2016, s. 89).

4

---