EUROOPA INVESTEERIMISPANGA OTSUS,

26. veebruar 2019,

millega sätestatakse Euroopa Investeerimispanga personali direktoraadis isikuandmete töötlemise sise-eeskirjad seoses andmesubjektide teavitamisega ja nende teatavate õiguste piiramisega

EUROOPA INVESTEERIMISPANK (edaspidi „EIP“),

võttes arvesse Euroopa Liidu toimimise lepingut ja eriti selle artiklit 309,

võttes arvesse Euroopa Parlamendi ja nõukogu 23. oktoobri 2018. aasta määrust (EL) 2018/1725, mis käsitleb füüsiliste isikute kaitset isikuandmete töötlemisel liidu institutsioonides, organites ja asutustes ning isikuandmete vaba liikumist, ning millega tunnistatakse kehtetuks määrus (EÜ) nr 45/2001 ja otsus nr 1247/2002/EÜ,

ning arvestades järgmist:

EIP personalieeskirjade I ja II versiooni artikli 38 alusel võib võtta distsiplinaarmeetmeid töötajate vastu, kes ei täida oma kohustusi EIP ees, nende eeskirjade artiklis 40 sätestatud korras. EIP personalieeskirjade I ja II versiooni artikli 41 alusel võib vaidlused, välja arvatud nende eeskirjade artiklis 38 sätestatud distsiplinaarmeetmete kohaldamisest tulenevad vaidlused, esitada lepitusnõukogule. Kooskõlas EIP töökohas väärika kohtlemise poliitikaga ja EIP hindamiste edasikaebemenetluse suunistega peab EIP lahendama vastavalt ahistamiskaebusi ja tulemuslikkuse hindamiste kohta esitatud edasikaebusi.

EIP personalieeskirjade I ja II versiooni artiklites 40 ja 41, samuti EIP töökohas väärika kohtlemise poliitikas ja EIP hindamiste edasikaebemenetluse suunistest sätestatud menetluste korraldamine ja juhtimine on peamiselt EIP personali direktoraadi ülesanne. Personali direktoraat pakub eelkõige toetust ja tegutseb õigusliku sekretariaadina nimetatud menetluste eest vastutavate organite jaoks.

Personali direktoraat peab oma ülesandeid täites järgima füüsiliste isikute isikuandmete töötlemisega seotud õigusi, mida tunnustatakse Euroopa Liidu põhiõiguste harta artikli 8 lõikega 1 ja Euroopa Liidu toimimise lepingu artikli 16 lõikega 1 ning kõnealustel sätetel põhinevate õigusaktidega. Samal ajal peab personali direktoraat järgima EIP personalieeskirjades ja EIP töötajate tegevusjuhendis osutatud rangeid konfidentsiaalsuse ja ametisaladuse eeskirju ning tagama juurdlusaluste isikute ja tunnistajate menetlusõiguste järgimise, eelkõige juurdlusaluste isikute õiguse nõuetekohasele menetlusele, kaitseõigused ja süütuse presumptsiooni.

Teatavatel juhtudel on vaja leida tasakaal andmesubjektidele määruse (EL) 2018/1725 (1) alusel antud õiguste ning personali direktoraadi ülesannete eesmärkide ja vajaduste, samuti teiste andmesubjektide põhiõiguste ja -vabaduste täieliku austamise vahel. Seda silmas pidades on selle määruse artiklis 25 sätestatud personali direktoraadi jaoks võimalus piirata artiklite 14–22 ja 35 ning samuti artikli 4 kohaldamist, kui need sätted vastavad artiklites 14–22 sätestatud õigustele ja kohustustele.

Selleks et tagada distsiplinaarkomitee ja lepitusnõukogu (mis on vastavalt asutatud personalieeskirjade I ja II versiooni artiklite 40 ja 41 alusel) ning töökohas väärika kohtlemise vaekogu ja lepitusvaekogu (mis on vastavalt asutatud töökohas väärika kohtlemise poliitika alusel ja EIP hindamiste edasikaebemenetluse suuniste alusel) kasutatavate menetluste tõhusus, järgides samal ajal isikuandmete kaitse standardeid määruse (EL) 2018/1725 alusel, tuleb vastu võtta sise-eeskirjad, mille alusel personali direktoraat võib piirata andmesubjektide õigusi kooskõlas määruse (EL) 2018/1725 artikli 25 lõike 1 punktidega c, g ja h.

Sise-eeskirju tuleks kohaldada kõikide töötlemistoimingute suhtes, mida personali direktoraat teeb oma volituse täitmisel kooskõlas EIP personalieeskirjade I ja II versiooni artiklitega 40 ja 41 ning kooskõlas EIP töökohas väärika kohtlemise poliitikaga ja hindamiste edasikaebemenetluse suunistega. Neid eeskirju tuleks kohaldada töötlemistoimingute suhtes, mida tehakse enne distsiplinaarkomitee, lepitusnõukogu, töökohas väärika kohtlemise vaekogu ja lepitusvaekogu menetluste algatamist, nende menetluste ajal ning nende tulemuse järelmeetmete võtmise käigus.

Määruse (EL) 2018/1725 artiklite 14, 15 ja 16 täitmiseks peaks asjaomane vastutav töötleja teavitama kõiki isikuid oma tegevusest, mis hõlmab nende isikuandmete töötlemist, ja nende õigustest läbipaistval ja sidusal viisil isikuandmete kaitse põhimõtete teadetes, mis avaldatakse EIP sisevõrgus, samuti teavitama individuaalselt oma tegevuse asjaomaseid andmesubjekte, nimelt juurdlusaluseid isikuid, osapooli ja tunnistajaid.

Lisaks võib personali direktoraat olla tõhusa koostöö säilitamiseks sunnitud piirama andmesubjektide õigusi teistelt EIP talitustelt, Euroopa Liidu institutsioonidelt, organitelt ja asutustelt, liikmesriikide ja kolmandate riikide pädevatelt asutustelt ning rahvusvahelistelt organisatsioonidelt pärit isikuandmeid sisaldava teabe kaitsele. Seepärast peaks personali direktoraat nende teiste EIP talituste, institutsioonide, organite, asutuste, ametiasutuste ja rahvusvaheliste organisatsioonidega konsulteerima, et välja selgitada asjakohased alused piirangute kehtestamiseks ning piirangute vajalikkus ja proportsionaalsus.

Personali direktoraat peaks käsitlema kõiki piiranguid läbipaistvalt ja registreerima kõik kohaldatavad piirangud vastavas dokumenteerimissüsteemis.

Vastavalt määruse (EL) 2018/1725 artikli 25 lõikele 8 võivad vastutavad töötlejad andmesubjekti suhtes piirangu kohaldamise põhjustest teavitamise edasi lükata, selle tegemata jätta või sellest keelduda, kui see kahjustaks mingil viisil piirangu eesmärgi saavutamist. Sellega on tegu eelkõige määruse (EL) 2018/1725 artiklites 16 ja 35 sätestatud õiguste piirangute korral. Selleks et tagada, et andmesubjekti õigust saada teavet vastavalt määruse (EL) 2018/1725 artiklitele 16 ja 35 piiratakse ainult niikaua, kuni edasilükkamise põhjused kehtivad, peaks personali direktoraat oma seisukoha korrapäraselt läbi vaatama.

Kui piiratakse teiste andmesubjektide õigusi, peaks personali direktoraat iga juhtumi puhul eraldi hindama, kas piirangust teatamine kahjustaks selle kehtestamise eesmärgi saavutamist.

EIP andmekaitseametnik võib läbi viia piirangute kohaldamise sõltumatu läbivaatamise eesmärgiga tagada käesolevale otsusele vastavus,

ON VASTU VÕTNUD KÄESOLEVA OTSUSE::

Artikkel 1 Reguleerimisese ja kohaldamisala 1. Käesolevas otsuses sätestatakse eeskirjad, mida vastutav töötleja peab järgima, nagu on kindlaks määratud artikli 2 lõikes 1, et teavitada andmesubjekte kooskõlas määruse (EL) 2018/1725 artiklitega 14, 15 ja 16 nende andmete töötlemisest. Lisaks sätestatakse käesolevas otsuses tingimused, mille korral asjaomane vastutav töötleja võib vastavalt kõnealuse määruse artikli 25 lõike 1 punktidele c, g ja h piirata määruse artiklite 14–22, 35 ja 4 kohaldamist. 2. Käesolevat otsust kohaldatakse isikuandmete töötlemise suhtes personali direktoraadi poolt toiminguteks või seoses toimingutega, mida ta teeb EIP personalieeskirjade I ja II versiooni artiklites 40 ja 41, samuti EIP töökohas väärika kohtlemise poliitikas ja hindamiste edasikaebemenetluse suunistes ning nende hilisemates versioonides osutatud ülesannete täitmiseks. 3. Personali direktoraat töötleb oma volituste alusel mitme kategooria isikuandmeid, eelkõige identifitseerimisandmeid, kontaktandmed, kutsealaseid andmeid ja juhtumisse kaasatuse andmeid.

Artikkel 2 Vastutava töötleja ja kaitsemeetmete määratlemine 1. Töötlemistoimingute vastutav töötleja on personali direktoraadi peadirektor. 2. Isikuandmeid säilitatakse turvalises elektroonilises ja füüsilises keskkonnas, mis aitab ära hoida ebaseaduslikku juurdepääsu või andmete edastamist isikutele, kellel puudub teadmisvajadus. 3. Töödeldavaid isikuandmeid säilitatakse vähemalt kuus kuud ja kuni kümme aastat. Lisateavet säilitamisperioodide täpse pikkuse kohta olenevalt menetlusest leiab personali direktoraadi dokumentide säilitamise kavast. 4. Eespool märgitust pikemaid perioode kohaldatakse kokkuleppel andmekaitseametnikuga erakorralistel ja nõuetekohaselt põhjendatud juhtudel.

Artikkel 3 Kohaldatavad erandid ja piirangud 1. Personali direktoraat kaalub oma kohuste täitmisel andmesubjektide õiguste suhtes vastavalt määrusele (EL) 2018/1725, kas on kohaldatav mõni selles määruses sätestatud eranditest. 2. Kui käesoleva otsuse artiklitest 4–7 ei tulene teisiti, võib personali direktoraat määruse (EL) 2018/1725 artiklite 14–22 ja artikli 35, samuti artikli 4 kohaldamist piirata, kui käesoleva otsuse sätted vastavad määruse (EL) 2018/1725 artiklites 14–22 sätestatud õigustele ja kohustustele ning kui asjaomaste õiguste kasutamine ja kohustuste täitmine ohustaks EIP personalieeskirjade I ja II versiooni artiklites 40 ja 41 ning EIP töökohas väärika kohtlemise poliitikas ja EIP hindamiste edasikaebemenetluse suunistes sätestatud menetluste eesmärki või kahjustaks teiste andmesubjektide õigusi ja vabadusi. 3. Kui käesoleva otsuse artiklitest 4–7 ei tulene teisiti, võib personali direktoraat piirata ka käesoleva artikli lõikes 2 osutatud õigusi ja kohustusi seoses EIP talitustelt või muudelt Euroopa Liidu institutsioonidelt, organitelt, ja asutustelt, liikmesriikide pädevatelt asutustelt või rahvusvahelistelt organisatsioonidelt saadud isikuandmetega järgmistel juhtudel: a) kui nende õiguste kasutamist ja kohustuste täitmist võiksid piirata teised EIP talitused või Euroopa Liidu institutsioonid, organid ja asutused määruse artiklis 25 osutatud muude õigusaktide alusel või kooskõlas nimetatud määruse IX peatükiga; b) kui nende õiguste järgimist ja kohustuste täitmist võiksid piirata liikmesriikide pädevad asutused Euroopa Parlamendi ja nõukogu määruse (EL) 2016/679 (2) artiklis 23 osutatud õigusaktide alusel või selliste riigisiseste meetmete alusel, millega on üle võetud Euroopa Parlamendi ja nõukogu direktiivi (EL) 2016/680 artikli 13 lõige 3, artikli 15 lõige 3 või artikli 16 lõige 3 (3); c) kui nende õiguste kasutamine ja kohustuste täitmine võiks kahjustada personali direktoraadi koostööd kolmandate riikide või rahvusvaheliste organisatsioonidega tema ülesannete täitmisel. Enne piirangute kohaldamist esimese lõigu punktides a ja b kirjeldatud asjaoludel konsulteerib personali direktoraat asjaomaste EIP talituste, Euroopa Liidu institutsioonide, organite või asutuste või liikmesriikide pädevate asutustega, välja arvatud juhul, kui personali direktoraadi jaoks on selge, et piirangu kohaldamine on ette nähtud mõne neis punktides osutatud õigusaktiga. Esimese lõigu punkti c ei kohaldata, kui andmesubjekti huvid või põhiõigused ja -vabadused on kaalukamad kui Euroopa Liidu huvi teha koostööd kolmandate riikide või rahvusvaheliste organisatsioonidega. 4. Lõigete 1, 2 ja 3 kohaldamine ei piira EIP teiste otsuste kohaldamist, millega sätestatakse sise-eeskirjad, mis käsitlevad teabe esitamist andmesubjektidele ning teatavate õiguste piiramist määruse (EL) 2018/1725 artikli 25 alusel.

Artikkel 4 Andmesubjektide teavitamine 1. Personali direktoraat avaldab EIP sisevõrgus andmekaitseteate, mis teavitab kõiki andmesubjekte tema tegevusest, milles töödeldakse nende isikuandmeid. 2. Personali direktoraat teavitab individuaalselt andmesubjekte, kes on menetluse osalised, keda menetlus puudutab või kes on tunnistajad. 3. Kui personali direktoraat piirab lõikes 2 osutatud andmesubjektide teavitamist täielikult või osaliselt, dokumenteerib ta piirangu kehtestamise põhjused, sealhulgas hinnangu selle piirangu vajalikkuse ja proportsionaalsuse kohta. Selleks tuleb dokumenteerida, kuidas ohustaks asjaomase teabe esitamine vastava menetluse eesmärki või artikli 3 lõike 3 kohaselt kehtestatud piirangute eesmärke või kuidas see kahjustaks teiste andmesubjektide õigusi ja vabadusi. Põhjusi sisaldav dokument ja vajaduse korral ka asjakohaseid faktilisi ning õiguslikke elemente sisaldavad dokumendid registreeritakse. Taotluse korral tehakse need kättesaadavaks Euroopa Andmekaitseinspektorile. 4. Lõikes 3 osutatud piirangut kohaldatakse seni, kuni kehtivad selle kehtestamise põhjused. Kui piirangu põhjused enam ei kehti, edastab personali direktoraat andmesubjektile asjakohase teabe ja piirangu põhjused. Samal ajal teavitab personali direktoraat andmesubjekti võimalusest esitada kaebus Euroopa Andmekaitseinspektorile või pöörduda Euroopa Liidu Kohtusse. Personali direktoraat vaatab piirangu kohaldamise läbi vähemalt iga kuue kuu tagant pärast selle vastuvõtmist ning samuti asjaomase menetluse lõpetamise korral. Pärast seda hindab piirangu kohaldamise vajalikkust vastutav töötleja üks kord aastas.

Artikkel 5 Andmesubjekti õigus andmetega tutvuda 1. Kui andmesubjektid taotlevad juurdepääsu oma isikuandmetele, mida töödeldakse seoses ühe või mitme konkreetse juhtumiga, või konkreetsele isikuandmete töötlemise toimingule kooskõlas määruse (EL) 2018/1725 artikliga 17, piirdub personali direktoraat taotluse hindamisel ainult nende isikuandmetega. 2. Kui personali direktoraat piirab nimetatud määruse artiklis 17 sätestatud andmetega tutvumise õigust täielikult või osaliselt, teeb ta järgmist: a) teatab oma vastuses andmesubjekti taotlusele piirangu kehtestamisest, selle peamistest põhjustest ning võimalusest esitada kaebus Euroopa Andmekaitseinspektorile või pöörduda Euroopa Liidu Kohtusse; b) dokumenteerib piirangu kehtestamise põhjused, sealhulgas hinnangu selle piirangu vajalikkuse ja proportsionaalsuse kohta; selleks tuleb dokumenteerida, kuidas ohustaks juurdepääsu võimaldamine asjaomase menetluse eesmärki või artikli 3 lõike 3 kohaselt kehtestatud piirangute eesmärke või kuidas see kahjustaks teiste andmesubjektide õigusi ja vabadusi. Punktis a osutatud teabe esitamist võib edasi lükata, teabe võib esitamata jätta või selle esitamisest keelduda kooskõlas määruse (EL) 2018/1725 artikli 25 lõikega 8. 3. Lõike 2 esimese lõigu punktis b osutatud põhjusi sisaldav dokument ja vajaduse korral asjakohaseid faktilisi ning õiguslikke elemente sisaldavad dokumendid registreeritakse. Taotluse korral tehakse need kättesaadavaks Euroopa Andmekaitseinspektorile. Kohaldatakse määruse (EL) 2018/1725 artikli 25 lõiget 7.

Artikkel 6 Andmete parandamise ja kustutamise ning nende töötlemise piiramise õigus Kui personali direktoraat piirab isikuandmete parandamise, kustutamise või nende töötlemise piiramise õigust osaliselt või täielikult, nagu on osutatud määruse (EL) 2018/1725 artiklis 18, artikli 19 lõikes 1 ja artikli 20 lõikes 1, võtab ta käesoleva otsuse artikli 5 lõikes 2 sätestatud meetmed ja registreerib asjaomased dokumendid kooskõlas artikli 5 lõikega 3.

Artikkel 7 Andmesubjekti teavitamine isikuandmetega seotud rikkumisest Kui personali direktoraat piirab andmesubjekti teavitamist isikuandmetega seotud rikkumistest, nagu on osutatud määruse (EL) 2018/1725 artiklis 35, dokumenteerib ja registreerib ta piirangu põhjused kooskõlas käesoleva otsuse artikli 4 lõikega 3. Kohaldatakse käesoleva otsuse artikli 4 lõiget 4.

Artikkel 8 Andmekaitseametniku teostatav läbivaatamine Personali direktoraat teavitab põhjendamatu viivituseta andmekaitseametnikku, kui ta piirab andmesubjektide õigusi vastavalt käesolevale otsusele, ning annab juurdepääsu põhjusi sisaldavale dokumendile ning piirangu vajalikkuse ja proportsionaalsuse hinnangule. Andmekaitseametnik võib taotleda personali direktoraadilt kirjalikult piirangute läbivaatamist. Personali direktoraat teavitab andmekaitseametnikku taotluse kohaselt korraldatud läbivaatamise tulemustest kirjalikult.

Artikkel 9 Jõustumine Käesoleva otsuse kiitis EIP direktorite nõukogu heaks 26. veebruaril 2019 ning see jõustub otsuse EIP veebisaidil avaldamise kuupäeval.

Luxembourg, 26. veebruar 2019

(1) Euroopa Parlamendi ja nõukogu 23. oktoobri 2018. aasta määrus (EL) 2018/1725, mis käsitleb füüsiliste isikute kaitset isikuandmete töötlemisel liidu institutsioonides, organites ja asutustes ning isikuandmete vaba liikumist, ning millega tunnistatakse kehtetuks määrus (EÜ) nr 45/2001 ja otsus nr 1247/2002/EÜ (ELT L 295, 21.11.2018, lk 39).

(2) Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määrus (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) (ELT L 119, 4.5.2016, lk 1).

(3) Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta direktiiv (EL) 2016/680, mis käsitleb füüsiliste isikute kaitset seoses pädevates asutustes isikuandmete töötlemisega süütegude tõkestamise, uurimise, avastamise ja nende eest vastutusele võtmise või kriminaalkaristuste täitmisele pööramise eesmärgil ning selliste andmete vaba liikumist ning millega tunnistatakse kehtetuks nõukogu raamotsus 2008/977/JSK (ELT L 119, 4.5.2016, lk 89).