·A Bizottság végrehajtási vagy felhatalmazáson alapuló jogi aktusok elfogadására vonatkozó több felhatalmazása nincs megismételve, hanem az EUDPR az általános adatvédelmi rendeletre vagy a bűnüldözésben érvényesítendő adatvédelemről szóló irányelvre hivatkozik. Például az EUDPR nem tartalmaz mechanizmust a nemzetközi adattovábbításokra vonatkozó megfelelőségi határozatok elfogadására, de az uniós intézmények, szervek, hivatalok és ügynökségek az általános adatvédelmi rendelet vagy a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv alapján elfogadott megfelelőségi határozatokra is támaszkodhatnak.

A Bizottság egy 2021 októberében indított felmérés keretében gyűjtött információkat az EUDPR alkalmazásáról, amelyben felkérte az uniós intézményeket, szerveket, hivatalokat és ügynökségeket, hogy osszák meg az EUDPR alkalmazásával kapcsolatos tapasztalataikat. Összesen 56 uniós intézmény, szerv, hivatal és ügynökség válaszolt, és a jelentésben bemutatott, rájuk vonatkozó statisztikák e válaszokon alapulnak. Külön hozzájárulási kérelmet kapott az európai adatvédelmi biztos (EDPS) mint felügyeleti hatóság. Végül a Bizottság véleményezési felhívást is közzétett, amely lehetővé tette a nyilvánosság számára, hogy észrevételeket tegyen. Ez a jelentés foglalkozik a véleményezési felhívásra válaszul beérkezett nagyon kevés beadványban felvetett kérdésekkel.

3.1.Az uniós intézmények, szervek, hivatalok és ügynökségek szerepe adatkezelőként

Az uniós intézmények, szervek, hivatalok és ügynökségek általános visszajelzései azt mutatják, hogy az EUDPR alkalmazásának első évei sikeresen hozzájárultak általános adatvédelmi kultúrájuk megerősítéséhez. E tekintetben az uniós intézmények, szervek, hivatalok és ügynökségek 94 %-a állította, hogy az EUDPR hatálybalépése bizonyos vagy jelentős mértékben növelte szervezetük tudatosságát az adatvédelmi szabályokkal kapcsolatban. Az uniós intézmények, szervek, hivatalok és ügynökségek általánosságban jelezték, hogy az EUDPR pozitív hatást gyakorolt adatvédelmi szabályzataikra, és az uniós intézmények, szervek, hivatalok és ügynökségek személyzete jobban tisztában van szervezetük adatkezelőként való elszámoltathatóságával és a személyes adatok kezelésére vonatkozó követelményekkel.

Az uniós intézmények, szervek, hivatalok és ügynökségek az adatvédelmi hatásvizsgálatok elvégzését, az adatvédelmi incidensek azonosítását és kezelését, valamint a beépített és alapértelmezett adatvédelem figyelembevételét említették az EUDPR fő hatásaiként a hatályon kívül helyezett 45/2001/EK rendelethez képest. Az EUDPR az általános adatvédelmi rendelethez hasonlóan láthatóbbá teszi a közös adatkezelés intézményét, azaz a személyes adatok kezelésének céljait és eszközeit együttesen meghatározó több szervezet lehetőségét. Az európai adatvédelmi biztos iránymutatásokat adott e témában, és a Bizottság belső sablonokat dolgozott ki a közös adatkezelési megállapodásokhoz.

Bár az uniós intézmények, szervek, hivatalok és ügynökségek általánosságban üdvözölték az EUDPR-nek való megfelelés igazolásához szükséges további elszámoltathatósági követelményeket, néhány uniós intézmény, szerv, hivatal és ügynökség megjegyezte, hogy az EUDPR szabályai megnövekedett munkaterhet eredményeztek. Rámutattak arra is, hogy az EUDPR viszonylag összetett szabályokat határoz meg, ami azt jelenti, hogy több szakértelemre van szükség az uniós intézményeknél, szerveknél, hivataloknál és ügynökségeknél, többek között adatvédelmi tisztviselőik körében, valamint az ilyen hálózatokkal rendelkező uniós intézmények, szervek, hivatalok és ügynökségek adatvédelmi koordinátorainak hálózataiban.

Kettő kivételével valamennyi uniós intézmény, szerv, hivatal és ügynökség központi nyilvántartásban vezeti adatkezelési műveleteit. Bár ez az EUDPR-ben nem szerepel konkrét követelményként, ez az európai adatvédelmi biztos által is ajánlott bevált gyakorlat. Ezenkívül az uniós intézmények, szervek, hivatalok és ügynökségek 72 %-a az előző rendelet alapján az adatvédelmi tisztviselőnek küldött valamennyi értesítését nyilvántartássá alakította át. Azoknak, akik még nem fejezték be ezt a feladatot, felül kell vizsgálniuk és frissíteniük kell adatkezelési műveleteik dokumentációját annak biztosítása érdekében, hogy az teljes és naprakész legyen.

3.2.Az érintettek jogainak gyakorlása

Az EUDPR az általános adatvédelmi rendelettel összhangban széles körű jogokat biztosít az érintettek számára személyes adataik kezeléséhez. Az uniós intézmények, szervek, hivatalok és ügynökségek mint adatkezelők kötelesek megkönnyíteni e jogok gyakorlását. Ennek eredményeként az uniós intézmények, szervek, hivatalok és ügynökségek 96 %-a jelezte, hogy tudatosságnövelő tevékenységeket folytatott, így például frissítette az adatkezelési műveleteire vonatkozó nyilvánosan elérhető információkat, tájékoztató üzeneteket vagy az érintetteknek szóló útmutatókat.

Számos uniós intézmény, szerv, hivatal és ügynökség – például a Bizottság, az Európai Központi Bank és az Európai Külügyi Szolgálat – arról számolt be, hogy 2018 és 2021 között egyértelműen nőtt a természetes személyektől érkező kérelmek száma. Mások, például az Európai Unió Bírósága, az Európai Gazdasági és Szociális Bizottság és az Európai Unió Menekültügyi Ügynöksége esetében azonban a számok stabilak voltak, vagy egyértelmű tendencia nélkül ingadoztak. Az EUDPR hatálybalépését követően még nem állapítható meg egyértelmű tendencia az érintettek által benyújtott kérelmek számában, mivel a különböző típusú kérelmek nyilvántartásának módjai az egyes uniós intézmények, szervek, hivatalok és ügynökségek esetében eltérőek.

3.3.Az érintettek jogainak korlátozása belső szabályok révén

Az EUDPR az általános adatvédelmi rendelethez hasonlóan lehetővé teszi az érintettek bizonyos jogainak korlátozását. Ez jogalkotási aktusokkal és belső szabályokkal valósítható meg. Az ilyen belső szabályokra szigorú kritériumok alkalmazandók. Egyértelműnek és pontosnak kell lenniük, alkalmazásuknak pedig előre láthatónak kell lennie az érintett személyek számára. A szabályokat közzé kell tenni a Hivatalos Lapban, és azoknak meg kell felelniük az Alapjogi Chartában és az emberi jogok és alapvető szabadságok védelméről szóló európai egyezményben meghatározott követelményeknek.

A belső szabályokon alapuló korlátozások csak az uniós intézmények, szervek, hivatalok és ügynökségek működéséhez kapcsolódhatnak. Tiszteletben kell tartaniuk az alapvető jogokat, egy demokratikus társadalomban szükséges és arányos intézkedéseknek kell lenniük, és az EUDPR-ben kifejezetten felsorolt célkitűzések egyikének biztosítására kell irányulniuk. Minden olyan érintettnek, akinek a jogait korlátozták, jogában áll panaszt benyújtani az európai adatvédelmi biztoshoz.

Az uniós intézmények, szervek, hivatalok és ügynökségek nagy többsége (84 %) fogadott el belső szabályokat. Ilyen szabályokat vezettek be például annak érdekében, hogy lehetővé tegyék a belső igazgatási vizsgálat során érintett személy tájékoztatásának elhalasztását. Más területeken az ilyen szabályok célja a tagállamokkal való hatékony együttműködés folyamatos biztosítása azokon a területeken, ahol az uniós intézmények, szervek, hivatalok és ügynökségek tevékenységei a tagállamok illetékes hatóságaitól kapott információkra támaszkodnak. Például a Bizottság által a verseny, a csalás elleni küzdelem és a belső ellenőrzési tevékenységek során a személyes adatok kezelésére vonatkozóan elfogadott belső szabályok magukban foglalják annak lehetőségét, hogy korlátozzák az érintettek jogait, amennyiben a személyes adatokat a tagállamok illetékes hatóságaitól szerzik be. E szabályok lehetővé teszik hasonló korlátozások előírását abban az esetben, ha a nemzeti hatóságok az általános adatvédelmi rendelet vagy a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv alapján lehetséges jogalkotási intézkedésen alapuló korlátozásokat vezettek be.

Amennyiben az uniós intézmények, szervek, hivatalok és ügynökségek olyan belső szabályokat fogadtak el, amelyek lehetővé teszik az érintettek jogainak korlátozását, azokat általában eseti alapon alkalmazzák, a vonatkozó belső szabályaik előírásainak megfelelően. A 25. cikk szerinti szabályokat alkalmazó uniós intézmények, szervek, hivatalok és ügynökségek 69 %-a azonban arról számolt be, hogy még nem alkalmazták azokat. Azok, akik igen, kevesebb mint 10 esetben számoltak be korlátozásról, kivéve az Európai Parlamentet és a Bizottságot. Az OLAF tevékenységeiben gyakoribbá vált a korlátozások szükségessége, különösen az érintettek személyes adataik kezelésével kapcsolatos tájékoztatásának elhalasztása érdekében, amikor a vizsgálat még korai szakaszban van, hogy a bizonyítékok összegyűjtését ne veszélyeztessék. Az OLAF több korlátozást is alkalmazott az érintettek saját személyes adataikhoz való hozzáférés iránti kérelmei tekintetében, amelyeket csak mások jogainak és szabadságainak védelme érdekében utasítottak el, például amikor az adatok nyilvánosságra hozatala megtorló intézkedések kockázatával fenyegetné az informátort.

Az uniós intézmények, szervek, hivatalok és ügynökségek belső szabályai általában előírják számukra, hogy tájékoztassák adatvédelmi tisztviselőjüket az alkalmazott korlátozásokról, és biztosítsanak hozzáférést az adatvédelmi tisztviselők számára a nyilvántartáshoz és az e korlátozásokkal kapcsolatos dokumentumokhoz.

3.4.Adatvédelmi tisztviselők

A korábbi 45/2001/EK rendelet már rögzítette azt a kötelezettséget, hogy minden uniós intézménynek, szervnek, hivatalnak és ügynökségnek adatvédelmi tisztviselővel kell rendelkeznie. Az EUDPR az elszámoltathatóság elvének bevezetésével nagyobb láthatóságot biztosított e szerepnek. Ez azt jelenti, hogy az adatkezelő felelős az adatvédelmi szabályoknak való megfelelésért, és képesnek kell lennie annak bizonyítására.

Az uniós intézmények, szervek, hivatalok és ügynökségek 46 %-ában adatvédelmi tisztviselőjüket adatvédelmi koordinátorok hálózatai vagy hasonló struktúrák támogatják. A nagyobb uniós intézmények, szervek, hivatalok és ügynökségek nagyobb valószínűséggel rendelkeznek ilyen hálózatokkal (pl. az Európai Parlament, a Tanács Főtitkársága, a Bizottság és az Európai Külügyi Szolgálat [EKSZ]). Az EKSZ emellett adatvédelmi kapcsolattartói hálózatot szervez és tart fenn az uniós küldöttségeken.

Számos uniós intézmény, szerv, hivatal és ügynökség megjegyezte az adatvédelmi tisztviselő (és tágabb értelemben az adatvédelmi koordinátorok) feladatkörének és munkaterhének növekedését. Elismerték, hogy több forrást kell biztosítani az adatvédelmi tisztviselők (és az adatvédelmi koordinátorok) számára annak biztosítása érdekében, hogy hatékonyan végre tudják hajtani az uniós intézmények, szervek, hivatalok és ügynökségek adatvédelmi politikáit. Megemlítették továbbá, hogy biztosítani kell az adatvédelmi tisztviselők függetlenségét.

Ebben az összefüggésben két tendencia figyelhető meg: Egyrészt az EUDPR nagyobb hangsúlyt fektet az adatkezelő elszámoltathatóságára, például azáltal, hogy megszünteti a korábbi 45/2001/EK rendelet szerinti előzetes ellenőrzési eljárást, ezáltal csökkentve az adminisztratív terheket. Másrészt az adatkezelők több iránymutatást kérnek az adatvédelmi tisztviselőktől/adatvédelmi koordinátoroktól arra vonatkozóan, hogy miként lehet a legjobban megfelelni az EUDPR-nek. E tekintetben megjegyezték, hogy az uniós intézmények, szervek, hivatalok és ügynökségek adatvédelmi tisztviselőinek hálózata fontos fórumot biztosított az uniós intézmények, szervek, hivatalok és ügynökségek általi adatkezeléssel kapcsolatos egyes jogi és technikai szempontok megvitatására és tisztázására. Ez a hálózat platformot biztosít az adatvédelmi tisztviselők és az európai adatvédelmi biztos, valamint maguk az adatvédelmi tisztviselők közötti információcseréhez. Folyamatosan együttműködik, és általában évente kétszer ülésezik.

Az uniós intézmények, szervek, hivatalok és ügynökségek több mint fele (54 %) több forrást biztosított adatvédelmi tisztviselőik és általánosabb adatvédelmi funkcióik számára. Az uniós intézmények, szervek, hivatalok és ügynökségek többsége (84 %) módosította belső eljárásait annak biztosítása érdekében, hogy személyzetük tájékoztassa az adatvédelmi tisztviselőket és konzultáljon velük az új személyesadat-kezelési műveletekről. Ez általában úgy történik, hogy az adatvédelmi tisztviselőket bevonják például a változáskezelési folyamatokba vagy a projektirányító testületekbe.