CS Úřední věstník Evropské unie C 308/1

Prováděcí pravidla týkající se nařízení Evropského parlamentu a Rady (ES) č. 45/2001 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů orgány a institucemi Společenství a o volném pohybu těchto údajů

Rozhodnutí předsednictva ze dne 22. června 2005

(2005/C 308/01)

PŘEDSEDNICTVO,

s ohledem na Smlouvu o založení Evropského společenství, a zejména článek 286 této smlouvy,

s ohledem na nařízení Evropského parlamentu a Rady (ES) č. 45/2001 ze dne 18. prosince 2000 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů orgány a institucemi Společenství a o volném pohybu těchto údajů, a zejména jeho čl. 24 odst. 8,

s ohledem na čl. 22 odst. 2 jednacího řádu Evropského parlamentu,

vzhledem k těmto důvodům:

(1) Nařízení (ES) č. 45/2001 (dále jen „nařízení“) vymezuje zásady a pravidla použitelná na všechny orgány a instituce Společenství a stanoví, že každý orgán a instituce Společenství jmenuje inspektora ochrany údajů.

(2) Čl. 24 odst. 8 nařízení stanoví, že každý orgán nebo instituce Společenství přijme dodatečná prováděcí pravidla v souladu s ustanoveními uvedenými v příloze nařízení. Tato dodatečná pravidla se týkají zejména úkolů, povinností a pravomocí inspektora ochrany údajů.

(3) Prováděcí pravidla mají za cíl upřesnit postupy, které umožní subjektům údajů vykonávat svá práva, a všem osobám, které v orgánech a institucích Společenství působí v oblasti zpracování osobních údajů, plnit jejich povinnosti.

ROZHODLO:

Článek 1

Účel

1. Toto rozhodnutí stanovuje obecná pravidla k provedení nařízení ve vztahu k Evropskému parlamentu. Zejména doplňuje ustanovení nařízení týkající se úkolů, povinností a pravomocí inspektora nebo inspektorů ochrany údajů Evropského parlamentu.

2. Dále stanovuje způsoby výkonu práv subjektu údajů i postup pro oznámení o zpracování a postup pro přístup do rejstříku zpracování, který spravuje inspektor ochrany údajů.

Článek 2

Jmenování, status a nezávislost

1. Generální tajemník jmenuje inspektora ochrany údajů, vybraného z úředníků orgánů a institucí Společenství, na základě jeho osobních a profesních kvalit, a zejména jeho odborných znalostí v oblasti ochrany údajů. Inspektor ochrany osobních údajů je jmenován v souladu s postupem stanoveným v článku 29 služebního řádu úředníků.

2. Generální tajemník sdělí jméno inspektora ochrany údajů evropskému inspektorovi ochrany údajů.

3. Aby mohl vykonávat své povinnosti, je inspektor ochrany údajů osvobozen od veškeré ostatní činnosti v Evropském parlamentu. Jiné funkce může vykonávat tehdy, nedávají-li prostor ke střetu zájmů s povinnostmi inspektora, zejména v souvislosti s prováděním nařízení.

4. Inspektor ochrany údajů je jmenován na období pěti let, které lze jednou opakovat. Ze své funkce může být odvolán pouze se souhlasem evropského inspektora ochrany údajů, přestane-li splňovat podmínky požadované pro výkon jeho funkce. Konzultace s evropským inspektorem ochrany údajů se vede písemně a kopie se zasílá inspektorovi ochrany údajů.

5. Inspektor ochrany údajů vykonává své služební povinnosti nezávisle. Nesmí přijímat žádné příkazy, zvláště ne od orgánu oprávněného ke jmenování, od generálního tajemníka nebo pokyny z jakéhokoli jiného zdroje, souvisejí-li s vnitřním prováděním nařízení nebo s jeho spoluprací s evropským inspektorem ochrany údajů. Inspektor ochrany údajů se zdrží jednání, které je neslučitelné s povahou jeho povinností.

6. Inspektor ochrany údajů ohlásí příslušným úřadům Evropského parlamentu počet zaměstnanců a prostředků potřebných k výkonu svých povinností. Dále se může obrátit na externí odborníky, aby mu byli nápomocni v plnění jeho povinností.

7. Inspektor ochrany údajů a jeho zaměstnanci podléhají nařízením a ustanovením služebního řádu úředníků a pracovního řádu ostatních zaměstnanců.

8. Inspektor ochrany údajů a jeho zaměstnanci, na které se vztahuje článek 287 Smlouvy, jsou vázáni povinností zachovávat profesní tajemství, a to i po ukončení svých funkcí, týkající se všech důvěrných dokumentů nebo informací, které získali při výkonu svých služebních povinností.

Článek 2a

Zástupci inspektora

1. Generální tajemník může jmenovat zástupce inspektora ochrany údajů. Čl. 2 odst. 4, 5, 7 a 8 se vztahuje rovněž na zástupce inspektora.

2. Inspektor, zástupci inspektora a ostatní zaměstnanci jsou nedílnou součástí oddělení „Ochrana osobních údajů“. Toto oddělení řídí inspektor ochrany údajů.

3. Inspektorovi může být při výkonu všech jeho služebních povinností nápomocen nebo jej, v případě nepřítomnosti či zaneprázdnění, zastupovat zástupce.

Článek 3

Povinnosti

1. Inspektor ochrany údajů dbá o provádění nařízení v Evropském parlamentu. Své úkoly plní ve spolupráci s evropským inspektorem ochrany údajů.

2. Na inspektora ochrany údajů se kdykoli může obrátit jakékoli osoba, zejména však subjekty údajů, s otázkami, které se týkají provádění nařízení. Inspektor je zejména povinen poskytovat poradenství oddělení rejstříku, aby byl zajištěn soulad s rozhodnutím předsednictva ze dne 28. listopadu 2001 o přístupu veřejnosti k dokumentům Evropského parlamentu.

3. Inspektor ochrany údajů zastupuje generální sekretariát Parlamentu ve všech záležitostech spojených s ochranou údajů; zejména se může účastnit schůzí výborů nebo příslušných orgánů na mezinárodní úrovni.

Článek 4

Úkoly

Inspektor ochrany údajů plní tyto úkoly:

— Informace: inspektor informuje správce a subjekty údajů Evropského parlamentu o jejich právech a povinnostech vyplývajících z nařízení. Za tím účelem poskytuje informace o platných právních předpisech, probíhajících postupech, stávajících oznámených registrech a usnadňuje výkon příslušných práv a povinností.

— Žádosti evropského inspektora ochrany údajů: inspektor odpovídá na žádosti evropského inspektora ochrany údajů.

— Spolupráce s evropským inspektorem ochrany údajů: inspektor v oblasti své působnosti spolupracuje s evropským inspektorem, a to jak na jeho žádost, tak ze svého vlastního podnětu, zvláště při zpracování stížností a výkonu svých kontrolních povinností.

— Poskytování informací evropskému inspektorovi ochrany osobních údajů: inspektor informuje evropského inspektora o nových skutečnostech v Evropském parlamentu, jež mají význam pro ochranu osobních údajů.

— Vedení rejstříku zpracování: inspektor vede, v souladu s článkem 26 nařízení, rejstřík zpracování, která provedli správci a do tohoto rejstříku umožní komukoli nahlédnout.

— Oznámení zpracování, která mohou představovat zvláštní rizika: inspektor oznámí evropskému inspektorovi ochrany údajů všechny zpracovatelské úkony, které mohou představovat zvláštní rizika ve smyslu článku 27 nařízení. V případě pochybnosti o nezbytnosti předběžné kontroly se inspektor ochrany údajů poradí s evropským inspektorem ochrany údajů.

— Zajištění práv a svobod subjektů údajů: inspektor dbá o to, aby při zpracování nedocházelo k poškozování práv a svobod subjektů údajů a aby se zajistilo, že žádná osoba neutrpí újmu za to, že inspektora ochrany údajů upozornila na skutečnost, která podle ní představuje porušení nařízení.

Článek 5

Pravomoci

1. Za účelem plnění svých povinností a za podmínek stanovených v nařízení inspektor ochrany údajů může:

— z vlastního podnětu formulovat doporučení určená správcům nebo generálnímu tajemníkovi, která souvisejí s otázkami provádění ustanovení týkajících se ochrany údajů nebo obsažených v současných prováděcích pravidlech;

— z vlastního podnětu nebo na žádost správce, výboru zaměstnanců Evropského parlamentu nebo jakýchkoli fyzických osob posuzovat otázky a skutečnosti, které přímo souvisejí s jeho úkoly a které mu byly oznámeny. Toto posouzení musí dodržovat zásadu nestrannosti a práva subjektu údajů. Inspektor ochrany údajů seznámí s výsledky svého posouzení osobu, která žádost předložila a správce.

— seznámit generálního tajemníka s jakýmkoli porušováním nařízení;

— pravidelně se účastnit schůzí s evropským inspektorem ochrany údajů nebo s inspektory ochrany údajů z jiných orgánů a institucí s cílem rozvinout vzájemnou výměnu informací, zajistit interinstitucionální spolupráci a harmonizovat platné postupy.

— vypracovat výroční zprávu o činnosti pro generálního tajemníka a pro evropského inspektora ochrany údajů o činnostech v oblasti ochrany údajů v Evropském parlamentu, kterou zpřístupní zaměstnancům Evropského parlamentu.

— vydávat stanovisko k zákonnosti probíhajících nebo navrhovaných zpracovatelských úkonů, k opatřením nezbytným pro zaručení jejich zákonnosti nebo k vhodnosti či nepřiměřenosti údajů či bezpečnostních opatření. Toto stanovisko se může týkat zejména jakýchkoli otázek spojených s oznámením úkonů zpracování údajů.

2. Inspektor ochrany údajů má kdykoli přístup k údajům, které jsou předmětem zpracování, a přístup do všech kanceláří, do zařízení pro zpracování údajů a přístup k nosičům dat.

Článek 6

Postup oznámení zpracování

1. Před vlastním zpracováním údajů a v dostatečném předstihu, aby mohla být provedena případná předběžná kontrola ve smyslu čl. 27 odst. 3 nařízení, informuje správce inspektora ochrany údajů. Za tímto účelem může použít oznamovací formulář, který je k dispozici na intranetu Evropského parlamentu. V každém případě musí být oznámení v souladu s odstavcem 3. Oznámení musí být podepsáno správcem a musí být doručeno do oddělení „Ochrana osobních údajů“ vnitřní poštou, elektronickou poštou nebo faxem. V případě elektronické pošty nebo faxu musí oddělení „Ochrana osobních údajů“ ve lhůtě 10 kalendářních dnů po odeslání obdržet podepsaný originál na papíře.

2. Správce neprodleně oznámí postupem oznámení podle odstavce 1 zpracování, která již probíhala k datu vstupu nařízení v platnost, tj. ke dni 1. února 2002.

3. Podávané informace obsahují alespoň:

a) jméno a adresu správce a informace o oddělení Evropského parlamentu pověřeném zpracováním osobních údajů s konkrétním cílem;

b) účel nebo účely zpracování;

c) popis kategorie nebo kategorií subjektů údajů a údajů nebo kategorií údajů, které se na ně vztahují;

d) právní základ zpracování, pro které jsou údaje určeny;

e) příjemce nebo kategorie příjemců, kterým mohou být údaje sděleny;

f) obecné udání lhůt pro blokování a výmaz jednotlivých kategorií údajů;

g) zamýšlené předání údajů třetím zemím nebo mezinárodním organizacím i příjemcům, pro které platí vnitrostátní právní předpisy členského státu;

h) obecný popis umožňující předběžně posoudit vhodnost opatření přijatých pro zajištění bezpečnosti zpracování podle článku 22 nařízení.

4. Správce okamžitě oznamuje inspektorovi ochrany údajů jakékoli změny, které se týkají informací uvedených v odstavci 3.

Článek 7

Rejstřík zpracování

1. Inspektor ochrany údajů vede rejstřík zpracování oznámených v souladu s článkem 6. Tento rejstřík obsahuje podrobnosti o zpracováních oznámených v Evropskému parlamentu a zejména informace o oddělení odpovědném za zpracování, o zpracovávaných údajích a o sledovaném účelu.

Rejstřík je určen pro poskytování volně přístupných informací a dále usnadňuje výkon práv přiznaných subjektu údajů uvedených v článcích 13 až 19 nařízení.

2. Rejstřík obsahuje informace uvedené v čl. 6 odst. 3 písm. a) až g) tohoto rozhodnutí.

3. Pokládá-li to za nutné, může inspektor ochrany údajů podniknout kroky vedoucí k opravení údajů obsažených v rejstříku s cílem zajistit jejich přesnost.

Článek 8

Obecná ustanovení o výkonu práv ze strany subjektů údajů

1. Práva na přístup, opravu, blokování, výmaz a námitku může vykonávat subjekt údajů nebo jeho řádně zmocněný zástupce.

2. Žádost o výkon některého z těchto práv musí být zaslána správci. Formulář je k dispozici v elektronické podobě na intranetu Evropského parlamentu. Žádost musí obsahovat:

— příjmení, jméno a kontaktní údaje subjektu údajů;

— údaj o vykonávaném právu;

— v případě potřeby dokumenty podporující žádost;

— příslušnou kategorii či kategorie údajů;

— podpis a datum podání žádosti.

Žádost lze zaslat vnitřní či běžnou poštou, elektronickou poštou nebo faxem, které umožňují potvrdit zaslání a přijetí žádosti. V případě nesprávných nebo chybějících údajů v žádosti může správce požádat o doplňující údaje. Správce je povinen ověřit pravost žadatelových údajů.

3. Správce je povinen odpovědět na žádost o výkonu práv i v případě, kdy zpracovávané osobní údaje v registru nejsou. Žadateli je nejpozději 5 pracovních dnů od přijetí jeho žádosti zasláno potvrzení o přijetí. Správce však není povinen zaslat potvrzení o přijetí v případě, že je v téže lhůtě 5 pracovních dnů zaslána plnohodnotná odpověď. Odpověď je zaslána stejným způsobem, který použil subjekt údajů.

4. Správce je povinen informovat subjekt údajů o jeho právu podat stížnost evropskému inspektorovi ochrany údajů, jestliže se subjekt údajů domnívá, že práva, které mu náležejí podle článku 286 Smlouvy, byla porušena při zpracování osobních údajů, jež se ho týkají.

5. Výkon všech těchto práv je pro subjekt údajů bez poplatku.

6. Žádost o výkon práva lze odmítnout v případech uvedených v článku 20 nařízení, za podmínky uplatnění článku 17 tohoto rozhodnutí.

Článek 9

Právo na přístup

1. Subjekt údajů má neomezené právo získat od správce kdykoli ve lhůtě tří měsíců od přijetí žádosti a bezplatně:

— potvrzení, že údaje, které se ho týkají, jsou či nejsou zpracovávány;

— informace týkající se alespoň účelů zpracování, kategorií zpracovávaných údajů a příjemců či kategorií příjemců, kterým jsou údaje sdělovány;

— sdělení srozumitelnou formou o údajích, které jsou předmětem zpracování, a veškeré dostupné informace o původu údajů;

— oznámení o postupu automatického zpracování údajů, které se subjektu údajů týká.

2. Subjekt údajů má přístup ke svým osobním údajům prostřednictvím:

— konzultace na místě;

— doručení ověřené kopie vystavené správcem;

— doručení elektronické kopie;

— jiných prostředků, které má k dispozici správce, uzpůsobených podle konfigurace registru.

Článek 10

Právo na opravu

1. Subjekt údajů má právo, aby správce neprodleně opravil nepřesné nebo neúplné osobní údaje.

2. V žádosti o opravu musejí být přesně uvedeny údaje, které se mají opravit, a oprava, která se má provést. V případě potřeby lze k žádosti připojit odpovídající podklady.

3. Je-li žádost o opravu schválena, musí být oprava provedena neprodleně a oznámena subjektu údajů. V případě zamítnutí žádosti o opravu má správce 15 pracovních dnů k tomu, aby subjekt údajů uvědomil dopisem s odůvodněním.

Článek 11

Právo na blokování

1. Subjekt údajů má právo, aby správce blokoval údaje, pokud:

a) subjekt údajů popírá jejich správnost, a to na dobu potřebnou k tomu, aby správce ověřil správnost údajů včetně jejich úplnosti,

b) správce už údaje ke splnění svých povinností nepotřebuje, ale je třeba je uchovat jako důkaz, nebo

c) zpracování je nedovolené a subjekt údajů odmítá jejich výmaz, a místo toho žádá o jejich blokování.

2. V žádosti o blokování musejí být přesně uvedeny údaje, které mají být blokovány. Subjekt údajů, který požádal o blokování a dosáhl jej, je o něm uvědomen správcem. Je rovněž uvědomen o odblokování, a to alespoň 15 pracovních dnů před tím, než k němu dojde.

3. Správce se musí vyslovit ve lhůtě 15 pracovních dnů od přijetí žádosti o blokování. Je-li žádost schválena, musí být vykonána ve lhůtě 30 pracovních dnů a subjekt údajů o tom musí být uvědomen. V případě zamítnutí žádosti o blokování má správce 15 pracovních dnů k tomu, aby subjekt údajů uvědomil dopisem s odůvodněním.

4. V automatických registrech se blokování zajišťuje technickými prostředky. V systému se uvede, že osobní údaje jsou blokovány, tak aby bylo jasné, že tyto osobní údaje nelze používat.

5. Osobní údaje blokované podle tohoto článku jsou, s výjimkou jejich skladování, zpracovávány pouze jako důkaz nebo se souhlasem subjektu údajů nebo za účelem ochrany práv třetích osob.

Článek 12

Právo na výmaz

1. Subjekt údajů má právo, aby správce vymazal údaje, je-li jejich zpracování nedovolené.

2. V žádosti o výmaz musejí být přesně uvedeny údaje, které mají být vymazány. Popírá-li správce, že je zpracování nedovolené, je povinen předložit důkaz, že se jedná o dovolené zpracování.

3. Správce musí odpovědět ve lhůtě 15 pracovních dnů od přijetí žádosti o výmaz. Je-li žádost schválena, výmaz musí být proveden neprodleně. Domnívá-li se správce, že žádost není oprávněná, má 15 pracovních dnů na to, aby subjekt údajů uvědomil dopisem s odůvodněním.

4. Výmaz vyžaduje fyzické zmizení údajů, aniž by se nahradily kódem a aniž by se vytvořil alternativní registr, který by smazané údaje obsahoval. Ukáže-li se, že je výmaz z technických důvodů nemožný, správce okamžitě přistoupí k blokování údajů. Subjekt údajů je o tomto postupu náležitě uvědomen.

Článek 12a

Oznámení třetí osobě

Subjekt údajů má právo, aby správce oznámil třetí osobě, které byly údaje sděleny, veškeré opravy, výmazy a blokování v souladu s články 10 až 12, pokud se to neukáže jako nemožné nebo to nevyžaduje nepřiměřené úsilí. V případě zamítnutí oznámení třetí osobě z důvodu nemožnosti nebo nepřiměřeného úsilí má správce 15 pracovních dnů, aby subjekt údajů informoval dopisem s odůvodněním.

Článek 13

Právo na námitku

1. Subjekt údajů má právo kdykoli z vážných a legitimních důvodů souvisejících s jeho osobní situací vznést námitku proti zpracování svých osobních údajů, kromě případů zahrnutých v čl. 5 písm. b), c) a d) nařízení.

2. Subjekt údajů má právo být informován dříve, než jsou osobní údaje poprvé sděleny třetí osobě nebo použity na její účet pro účely přímého marketingu a musí mu být výslovně poskytnuto právo bezplatně vznést námitky proti zmíněnému sdělení nebo použití.

3. Námitka musí přesně uvádět příslušný údaj či údaje.

4. Správce musí subjektu údajů odpovědět ve lhůtě 15 pracovních dnů od přijetí námitky. Domnívá-li se správce, že námitka není oprávněná, uvědomí o tom subjekt údajů dopisem s odůvodněním.

5. V případě oprávněné námitky se příslušné zpracování uvedené v odstavci 1 nesmí těchto údajů nadále týkat.

Článek 14

Postup kontroly

1. Každý správce je povinen napomáhat inspektorovi ochrany údajů při plnění jeho povinností a poskytovat mu informace, o které žádá, ve lhůtě 20 pracovních dnů. Při plnění svých povinností má inspektor ochrany údajů kdykoli přístup k údajům, které jsou předmětem zpracování, a přístup do všech kanceláří, do zařízení pro zpracování údajů a přístup k nosičům dat.

2. Inspektor ochrany údajů se kdykoli může rozhodnout provést jakýkoli další druh kontroly, aby se zajistilo řádné provádění nařízení Evropským parlamentem.

Článek 15

Opravné prostředky

1. Každá osoba zaměstnaná Evropským parlamentem může podat stížnost ve smyslu článku 33 nařízení k evropskému inspektorovi ochrany údajů. Podání stížnosti nemá za následek pozastavení lhůty na podání stížnosti ve smyslu článku 90 služebního řádu úředníků.

2. Nezávisle na právu uvedeném v odstavci 1 může každá osoba zaměstnaná Evropským parlamentem ve smyslu článku 90 služebního řádu úředníků podat stížnost týkající se zpracování osobních údajů k orgánu oprávněnému ke jmenování. V takovém případě požádají příslušná oddělení o stanovisko inspektora ochrany údajů.

Článek 16

Omezení

1. Správce může z důvodů uvedených v čl. 20 odst. 1 nařízení omezit práva stanovená v článcích 9 až 13 tohoto rozhodnutí. Správce předběžně konzultuje s inspektorem ochrany údajů.

2. Uplatňuje-li se omezení, správce o něm v souladu s právem Společenství informuje subjekt údajů a informuje jej o hlavních důvodech tohoto omezení a o jeho právu předložit věc evropskému inspektorovi ochrany údajů a Soudnímu dvoru.

3. Správce neprodleně odpoví na žádosti týkající se uplatnění omezení výkonu práv a rozhodnutí, které v tomto ohledu přijal, odůvodní.

Článek 17

Správcové

1. Generální tajemník může zvláštním rozhodnutím ve smyslu čl. 2 písm. d) nařízení jmenovat jemu podřízený orgán správcem.

2. Správce je pověřen dohlížet, aby zpracování provedená pod jeho dohledem byla v souladu s nařízením, a zejména je pověřen:

— být nápomocen inspektorovi ochrany údajů a evropskému inspektorovi ochrany údajů při výkonu jejich povinností, zejména tím, že jim na jejich žádost předává informace ve lhůtě nejvýše 20 pracovních dnů;

— provádět příslušná technická a organizační opatření a dávat zaměstnancům Evropského parlamentu či jiným zaměstnancům podléhajícím pravomoci zaměstnanců Evropského parlamentu odpovídající instrukce, aby se zajistila jak důvěrnost zpracování, tak úroveň bezpečnosti odpovídající rizikům, která zpracování představuje;

— uvědomit inspektora ochrany údajů o veškerém zpracování údajů dříve, než k němu dojde, v souladu s článkem 6.

Článek 17a

Přístup k dokumentům

1. Rejstřík zpracování je veřejný a přístupný v elektronické podobě. Kdokoli do něj může přímo nahlédnout a vyžádat si kopii podle zápisu o konkrétním zpracování u inspektora ochrany údajů Evropského parlamentu. Možný je rovněž nepřímý přístup prostřednictvím evropského inspektora ochrany údajů.

2. Dokumenty inspektora ochrany údajů a jeho oddělení podléhají nařízení Evropského parlamentu a Rady (ES) č. 1049/2001 ze dne 30. května 2001 o přístupům veřejnosti k dokumentům Evropského parlamentu, Rady a Komise.

Článek 18

Vstup v platnost

Toto rozhodnutí vstupuje v platnost prvním dnem po zveřejnění v Úředním věstníku Evropské unie.