ROZHODNUTÍ EVROPSKÉ INVESTIČNÍ BANKY

ze dne 26. února 2019,

kterým se stanoví vnitřní pravidla pro zpracování osobních údajů personálním ředitelstvím Evropské investiční banky v souvislosti s poskytováním informací subjektům údajů a omezením některých jejich práv

EVROPSKÁ INVESTIČNÍ BANKA (dále jen „EIB“),

s ohledem na Smlouvu o fungování Evropské unie, a zejména na článek 309 uvedené smlouvy,

s ohledem na nařízení Evropského parlamentu a Rady (EU) 2018/1725 ze dne 23. října 2018 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů orgány, institucemi a jinými subjekty Unie a o volném pohybu těchto údajů a o zrušení nařízení (ES) č. 45/2001 a rozhodnutí č. 1247/2002/ES,

Vzhledem k těmto důvodům:

Podle článku 38 služebního řádu I a II EIB lze zaměstnancům, kteří nesplní své povinnosti vůči EIB, uložit kárná opatření v řízení upraveném v článku 40 uvedeného řádu. Podle článku 41 služebního řádu I a II EIB mohou být jiné spory, než ty, které vyplývají z uplatnění kárných opatření upravených v článku 38 uvedeného řádu, předloženy smírčí radě. Podle zásad EIB o důstojnosti v práci a směrnice EIB o odvolacím řízení v oblasti hodnocení je EIB povinna řešit stížnosti na obtěžování a také opravné prostředky týkající se hodnocení pracovních výsledků.

Za organizaci a správu řízení upravených v článcích 40 a 41 služebního řádu I a II EIB a rovněž v zásadách EIB o důstojnosti v práci a směrnici EIB o odvolacím řízení v oblasti hodnocení nese hlavní odpovědnost personální ředitelství EIB. Personální ředitelství zejména poskytuje podporu orgánům pověřeným vedením daných řízení a působí také jako jejich právní sekretariát.

Při provádění svých úkolů je personální ředitelství povinno dodržovat práva fyzických osob při zpracovávání osobních údajů, která jsou uznána článkem 8 odst. 1 Listiny základních práv Evropské unie a článkem 16 odst. 1 Smlouvy o fungování Evropské unie, jakož i právními akty vycházejícími z těchto ustanovení. Personální ředitelství musí zároveň dodržovat přísná pravidla zachování důvěrnosti a služebního tajemství uvedená ve služebním řádu EIB a v etickém kodexu zaměstnanců EIB a zajistit dodržování procesních práv dotčených osob a svědků, zejména práv dotčených osob na řádný proces, práva obhajoby a presumpci neviny.

Za určitých okolností je však třeba sladit práva subjektů údajů uvedená v nařízení Evropského parlamentu a Rady (EU) 2018/1725 (1) s úkoly a potřebami personálního ředitelství, jakož i s plným dodržováním základních práv a svobod jiných subjektů údajů. Pro tyto účely umožňuje článek 25 tohoto nařízení personálnímu ředitelství, aby omezilo použití článků 14 až 22 a 35, jakož i článku 4 nařízení v rozsahu, v jakém jeho ustanovení odpovídají právům a povinnostem stanoveným v článcích 14 až 22.

Za účelem zajištění účinnosti řízení vedených kárnou komisí a smírčí radou, které byly ustaveny podle článků 40 a 41 služebního řádu I a II EIB, a výborem pro důstojnost v práci a rozhodčím výborem, jež byly ustaveny podle zásad EIB o důstojnosti v práci a odvolacího řízení EIB v oblasti hodnocení, při současném dodržení standardů ochrany osobních údajů podle nařízení (EU) 2018/1725, je nutné přijmout vnitřní pravidla, na jejichž základě může personální ředitelství omezit práva subjektů údajů v souladu s čl. 25 odst. 1 písm. c), g) a h) nařízení (EU) 2018/1725.

Tato vnitřní pravidla by se měla uplatnit na všechny operace zpracování údajů prováděné personálním ředitelstvím při výkonu jeho pověření podle článků 40 a 41 služebního řádu I a II EIB a podle zásad EIB o důstojnosti v práci a směrnice EIB o odvolacím řízení v oblasti hodnocení. Tato pravidla by se měla uplatnit na operace zpracování údajů prováděné před zahájením řízení vedených kárnou komisí, smírčí radou, výborem pro důstojnost v práci a rozhodčím výborem, po dobu trvání takových řízení a v rámci následných kroků vycházejících z výsledků těchto řízení.

Za účelem dodržení článků 14, 15 a 16 nařízení (EU) 2018/1725 by příslušný správce údajů měl informovat všechny osoby o svých činnostech, při kterých jsou zpracovávány jejich osobní údaje, a o jejich právech, a to transparentním a uceleným způsobem v podobě prohlášení o ochraně údajů zveřejněných na intranetu EIB, jakož i individuálně informovat subjekty údajů dotčené jeho činností, zejména dotčené osoby, účastníky řízení a svědky.

Kromě toho za účelem zachování účinné spolupráce může být personální ředitelství nuceno uplatnit omezení práv subjektů údajů, aby ochránilo informace obsahující osobní údaje pocházející od jiných útvarů EIB, orgánů, institucí a jiných subjektů Evropské unie, příslušných orgánů členských států a třetích zemí, jakož i od mezinárodních organizací. Pro tyto účely by mělo personální ředitelství s těmito jinými útvary EIB, orgány, institucemi a jinými subjekty, orgány a mezinárodními organizacemi konzultovat relevantní důvody pro tato omezení a jejich nezbytnost a přiměřenost.

Personální ředitelství by mělo všechna omezení uplatňovat transparentním způsobem a zaregistrovat každé použití omezení do příslušného záznamového systému.

Podle čl. 25 odst. 8 nařízení (EU) 2018/1725 mohou správci poskytnutí informací odložit, neprovést nebo odepřít z důvodů uplatňování omezení na subjekt údajů, pokud by to jakýmkoliv způsobem ohrozilo účely omezení. Tak je tomu zejména v případě omezení práv stanovených v článcích 16 a 35 nařízení (EU) 2018/1725. K tomu, aby bylo právo subjektu údajů být informován v souladu s články 16 a 35 nařízení (EU) 2018/1725 omezeno pouze po dobu, po níž trvají důvody odkladu, by mělo personální ředitelství své stanovisko pravidelně přezkoumávat.

Pokud je uplatněno omezení práv dalších subjektů údajů, mělo by personální ředitelství případ od případu posoudit, zda by informování o omezení ohrozilo jeho účel.

Inspektor ochrany údajů EIB (dále jen „inspektor“) je oprávněn provádět nezávislý přezkum uplatňování omezení, aby se zajistil soulad s tímto rozhodnutím,

PŘIJALA TOTO ROZHODNUTÍ:

Článek 1 Předmět a oblast působnosti 1. Toto rozhodnutí stanoví pravidla, která musí dodržovat správce údajů, vymezený v čl. 2 odst. 1, při informování subjektů údajů o zpracování jejich údajů v souladu s články 14, 15 a 16 nařízení (EU) 2018/1725. Rovněž stanoví podmínky, za nichž může příslušný správce údajů omezit použití článků 14 až 22 a 35, a také článku 4 nařízení, v souladu s čl. 25 odst. 1 písm. c), g) a h) nařízení. 2. Toto rozhodnutí se vztahuje na zpracování osobních údajů personálním ředitelstvím pro účely činností prováděných při plnění jeho úkolů uvedených v článcích 40 a 41 služebního řádu I a II EIB, jakož i v zásadách EIB o důstojnosti v práci a ve směrnici EIB o odvolacím řízení v oblasti hodnocení, v jejich platném znění, nebo v souvislosti s takovými činnostmi. 3. V rámci svého pověření zpracovává personální ředitelství několik kategorií osobních údajů, zejména identifikační údaje, kontaktní údaje, profesní údaje a údaje o zapojení do věci.

Článek 2 Vymezení správce a pojistky 1. Správcem údajů v rámci operací zpracování je generální ředitel pro personál. 2. Osobní údaje jsou uchovávány v zabezpečeném elektronickém a fyzickém prostředí, které brání nezákonnému přístupu k údajům nebo předání údajů osobám, které je nepotřebují znát. 3. Zpracovávané osobní údaje jsou uchovávány po dobu nejméně šesti měsíců a nejdéle deseti let. Další podrobnosti o přesné době uchovávání údajů u každého řízení lze nalézt v pravidlech vedení záznamů personálního ředitelství. 4. Výše uvedené doby lze překročit jen ve výjimečných a řádně odůvodněných případech, a to se souhlasem inspektora.

Článek 3 Platné výjimky a omezení 1. V případech, kdy personální ředitelství vykonává své povinnosti s ohledem na práva subjektů údajů podle nařízení (EU) 2018/1725, posoudí, zda se použije některá z výjimek stanovených v uvedeném nařízení. 2. S výhradou článků 4 až 7 tohoto rozhodnutí může personální ředitelství omezit použití článků 14 až 22 a 35 nařízení (EU) 2018/1725, jakož i článku 4 nařízení, v rozsahu, v jakém jeho ustanovení odpovídají právům a povinnostem stanoveným v článcích 14 až 22 tohoto nařízení, pokud by výkon těchto práv a povinností ohrozil účel řízení upravených v článcích 40 a 41 služebního řádu I a II EIB, jakož i v zásadách EIB o důstojnosti v práci a ve směrnici EIB o odvolacím řízení v oblasti hodnocení, nebo by negativně ovlivnil práva a svobody jiných subjektů údajů. 3. S výhradou článků 4 až 7 tohoto rozhodnutí může personální ředitelství omezit práva a povinnosti uvedené v odstavci 2 tohoto článku ve vztahu k osobním údajům získaným od jiných útvarů EIB nebo orgánů, institucí a jiných subjektů Evropské unie, příslušných orgánů členských států nebo od mezinárodních organizací, a to za těchto okolností: a) pokud by výkon těchto práv a povinností mohl být omezen ze strany jiných útvarů EIB nebo dalších orgánů, institucí a jiných subjektů Evropské unie na základě jiných aktů uvedených v článku 25 nařízení nebo v souladu s kapitolou IX uvedeného nařízení; b) pokud by výkon těchto práv a povinností mohl být omezen ze strany příslušných orgánů členských států na základě aktů uvedených v článku 23 nařízení Evropského parlamentu a Rady (EU) 2016/679 (2) nebo na základě vnitrostátních opatření provádějících čl. 13 odst. 3, čl. 15 odst. 3 nebo čl. 16 odst. 3 směrnice Evropského parlamentu a Rady (EU) 2016/680 (3); c) pokud by výkon těchto práv a povinností mohl při plnění úkolů personálního ředitelství ohrozit jeho spolupráci se třetími zeměmi a mezinárodními organizacemi. Dříve než personální ředitelství použije omezení za okolností uvedených v prvním pododstavci písm. a) a b), konzultuje příslušné útvary EIB, orgány, instituce a jiné subjekty Evropské unie nebo příslušné orgány členských států, pokud není personálnímu ředitelství jasné, že uplatnění omezení je stanoveno v některém z právních aktů uvedených v těchto písmenech. Ustanovení prvního pododstavce písm. c) se nepoužije, pokud zájmy nebo základní práva a svobody subjektů údajů převáží nad zájmem Evropské unie o spolupráci se třetími zeměmi nebo mezinárodními organizacemi. 4. Ustanoveními odstavců 1, 2 a 3 není dotčeno použití jiných rozhodnutí EIB, kterými se stanoví vnitřní pravidla poskytování informací subjektům údajů a omezení některých práv podle článku 25 nařízení (EU) 2018/1725.

Článek 4 Poskytování informací subjektům údajů 1. Personální ředitelství zveřejní na intranetu EIB prohlášení o ochraně údajů, jimiž informuje všechny subjekty údajů o svých činnostech, při kterých jsou zpracovávány jejich osobní údaje. 2. Personální ředitelství informuje individuálně subjekty údajů, které jsou účastníky řízení, osoby dotčené řízením či svědky. 3. Pokud personální ředitelství zcela nebo zčásti omezí poskytování informací subjektům údajů uvedeným v odstavci 2, zaznamená důvody tohoto omezení, včetně posouzení nezbytnosti a přiměřenosti omezení. Pro tyto účely se v záznamu uvede, jak by poskytnutí informací ohrozilo účel příslušného řízení nebo omezení uplatňovaných podle čl. 3 odst. 3, nebo jak by negativně ovlivnilo práva a svobody jiných subjektů údajů. Záznam a případně dokumenty obsahující podkladové faktické a právní prvky se zaregistrují. Na žádost se zpřístupní evropskému inspektorovi ochrany údajů (EIOÚ). 4. Omezení uvedená v odstavci 3 platí tak dlouho, dokud jsou platné důvody odůvodňující omezení. Jakmile důvody omezení pominou, personální ředitelství poskytne subjektu údajů dotčené informace a uvede důvody omezení. Současně personální ředitelství informuje subjekt údajů o možnosti podat kdykoliv stížnost u EIOÚ nebo uplatnit opravný prostředek u Soudního dvora Evropské unie. Personální ředitelství přezkoumá použití omezení přinejmenším každých šest měsíců od jeho přijetí a při uzavření příslušného řízení. Potřebu zachovat jakékoli omezení poté monitoruje správce jednou ročně.

Článek 5 Právo subjektu údajů na přístup k údajům 1. Pokud subjekty údajů požadují v souladu s článkem 17 nařízení (EU) 2018/1725 přístup ke svým osobním údajům zpracovávaným v kontextu jednoho nebo více zvláštních případů nebo konkrétní operace zpracování údajů, personální ředitelství omezí své posouzení žádosti pouze na tyto osobní údaje. 2. Pokud personální ředitelství zcela nebo zčásti omezí právo na přístup uvedené v článku 17 tohoto nařízení, učiní následující kroky: (a) ve své odpovědi na žádost informuje dotčený subjekt údajů o použitých omezeních a o jejich hlavních důvodech a o možnosti podat stížnost u EIOÚ nebo uplatnit opravný prostředek u Soudního dvora Evropské unie; (b) zaznamená důvody omezení, včetně posouzení nezbytnosti a přiměřenosti omezení. Pro tyto účely se v záznamu uvede, jak by poskytnutí informací ohrozilo účel příslušného řízení nebo omezení uplatňovaných podle čl. 3 odst. 3, nebo jak by negativně ovlivnilo práva a svobody jiných subjektů údajů. Poskytnutí informací uvedených v písmenu a) může být v souladu s čl. 25 odst. 8 nařízení (EU) 2018/1725 odloženo, neprovedeno nebo odepřeno. 3. Záznam uvedený v odst. 2 prvním pododstavci písm. b) a případně dokumenty obsahující podkladové faktické a právní prvky se zaregistrují. Na vyžádání se zpřístupní EIOÚ. Použije se čl. 25 odst. 7 nařízení (EU) 2018/1725.

Článek 6 Právo na opravu, výmaz a omezení zpracování údajů Pokud personální ředitelství zcela nebo zčásti omezí uplatnění práva na opravu, výmaz nebo omezení zpracování údajů podle článku 18, čl. 19 odst. 1 a čl. 20 odst. 1 nařízení (EU) 2018/1725, učiní kroky stanovené v čl. 5 odst. 2 tohoto rozhodnutí a provede záznam v souladu s čl. 5 odst. 3 tohoto rozhodnutí.

Článek 7 Oznámení o porušení zabezpečení osobních údajů subjektu údajů Pokud personální ředitelství omezí oznámení o porušení zabezpečení osobních údajů subjektu údajů podle článku 35 nařízení (EU) 2018/1725, zaznamená důvody omezení v souladu s čl. 4 odst. 3 tohoto rozhodnutí. Použije se ustanovení čl. 4 odst. 4 tohoto rozhodnutí.

Článek 8 Přezkum inspektorem ochrany údajů Personální ředitelství informuje inspektora bez zbytečného odkladu vždy, když omezí možnost uplatnění práv subjektů údajů podle tohoto rozhodnutí, a poskytne přístup k záznamu a posouzení nezbytnosti a přiměřenosti daného omezení. Inspektor může personální ředitelství písemně vyzvat k přezkoumání uplatnění daných omezení. Personální ředitelství bude inspektora písemně informovat o výsledku požadovaného přezkumu.

Článek 9 Vstup v platnost Toto rozhodnutí schválila správní rada EIB dne 26. února 2019 a vstupuje v platnost dnem jeho zveřejnění na internetových stránkách EIB.

V Lucemburku dne 26. února 2019.

(1) Nařízení Evropského parlamentu a Rady (EU) 2018/1725 ze dne 23. října 2018 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů orgány, institucemi a jinými subjekty Unie a o volném pohybu těchto údajů a o zrušení nařízení (ES) č. 45/2001 a rozhodnutí č. 1247/2002/ES (Úř. věst. L 295, 21.11.2018, s. 39).

(2) Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. L 119, 4.5.2016, s. 1).

(3) Směrnice Evropského parlamentu a Rady (EU) 2016/680 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, o volném pohybu těchto údajů a o zrušení rámcového rozhodnutí Rady 2008/977/SVV (Úř. věst. L 119, 4.5.2016, s. 89).