KOMISIJOS SPRENDIMAS (ES) 2020/969

2020 m. liepos 3 d.

kuriuo nustatomos įgyvendinimo taisyklės, susijusios su duomenų apsaugos pareigūnu, duomenų subjektų teisių apribojimais ir Europos Parlamento ir Tarybos reglamento (ES) 2018/1725 taikymu, ir panaikinamas Komisijos sprendimas 2008/597/EB

EUROPOS KOMISIJA,

atsižvelgdama į Sutartį dėl Europos Sąjungos veikimo, ypač į jos 249 straipsnio 1 dalį,

atsižvelgdama į 2018 m. spalio 23 d. Europos Parlamento ir Tarybos reglamentą (ES) 2018/1725 dėl fizinių asmenų apsaugos Sąjungos institucijoms, organams, tarnyboms ir agentūroms tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo, kuriuo panaikinamas Reglamentas (EB) Nr. 45/2001 ir Sprendimas Nr. 1247/2002/EB (1), ypač į jo 45 straipsnio 3 dalį,

kadangi:

Reglamentu (ES) 2018/1725 aiškiai nustatytos duomenų valdytojų pareigos, visų pirma duomenų subjektų atžvilgiu. Siekiant užtikrinti, kad Komisija, kaip duomenų valdytoja, veiktų nuosekliai ir skaidriai, kiek tai susiję su jos pareigomis, turėtų būti nustatytos taisyklės, reglamentuojančios Komisijos tarnyboje ar tarnybose už Komisijos vardu atliekamą duomenų tvarkymo operaciją atsakingo asmens nustatymo procedūrą. Šiuo atžvilgiu tam, kad būtų tiksliai nurodytos Komisijos subjektų pareigos, visų pirma susijusios su individualiais sprendimais dėl duomenų subjektų teisių, tikslinga įtraukti sąvoką „įgaliotasis duomenų valdytojas“. Be to, tikslinga įtraukti sąvoką „vykdomasis duomenų valdytojas“, kuriam pavedama užtikrinti praktinį reikalavimų laikymąsi ir tvarkyti duomenų subjektų prašymus, susijusius su duomenų tvarkymo operacija, įgaliotajam duomenų valdytojui už tai prisiimant atsakomybę. Vykdomojo duomenų valdytojo paskyrimas neužkerta kelio praktiškai naudotis kontaktiniu punktu, pavyzdžiui, funkcine e. pašto dėžute, į kurią duomenų subjektai gali siųsti savo prašymus;

tam tikromis aplinkybėmis duomenų subjektų teises pagal Reglamentą (ES) 2018/1725 būtina derinti su Komisijos poreikiu vykdyti duomenų apsaugos pareigūno atliekamas stebėsenos, tyrimo, audito ar konsultavimo užduotis, poreikiu užtikrinti keitimosi informacija su kitomis Komisijos tarnybomis konfidencialumą ir poreikiu visapusiškai paisyti kitų duomenų subjektų pagrindinių teisių ir laisvių. Tuo tikslu Reglamento (ES) 2018/1725 25 straipsnio 1 dalyje numatyta galimybė Komisijai apriboti 14–17, 19, 20 ir 35 straipsnių, taip pat 4 straipsnio 1 dalies a punkte nustatyto skaidrumo principo – tiek, kiek jo nuostatos atitinka to reglamento 14–17, 19 ir 20 straipsniuose nustatytas teises ir pareigas, – taikymą;

siekdama laikytis Reglamento (ES) 2018/1725 14, 15 ir 16 straipsnių, Komisija turėtų informuoti visus fizinius asmenis apie duomenų apsaugos pareigūno vykdomas stebėsenos, tyrimo, audito ar konsultavimo užduotis, kurias atliekant tvarkomi jų asmens duomenys, ir apie jų teises pagal Reglamentą (ES) 2018/1725. Komisija turėtų tuos fizinius asmenis informuoti skaidriai ir nuosekliai, savo interneto svetainėje paskelbdama duomenų apsaugos pranešimus, be to, ji turėtų informuoti kiekvieną su duomenų apsaugos pareigūno vykdoma stebėsenos, tyrimo, audito ar konsultavimo veikla susijusį duomenų subjektą;

be to, Komisija turėtų apsaugoti pranešėjų tapatybę, nes jie neturėtų patirti neigiamų pasekmių dėl bendradarbiavimo su duomenų apsaugos pareigūnu;

dėl šių priežasčių Komisijai gali reikėti duomenų tvarkymo operacijoms, kurios atliekamos duomenų apsaugos pareigūnui vykdant Reglamento (ES) 2018/1725 45 straipsnyje nustatytas stebėsenos, tyrimo, audito ar konsultavimo užduotis, taikyti to reglamento 25 straipsnio 1 dalies c, g ir h punktuose nurodytus apribojimų taikymo pagrindus;

be to, siekiant išlaikyti veiksmingą bendradarbiavimą, Komisijai gali reikėti taikyti duomenų subjektų teisių apribojimus, kad būtų apsaugota kitų Komisijos tarnybų, Sąjungos institucijų ar įstaigų pateikta informacija, kurioje yra asmens duomenų. Tuo tikslu duomenų apsaugos pareigūnas turėtų konsultuotis su tomis tarnybomis, institucijomis ar įstaigomis dėl apribojimų taikymo atitinkamų pagrindų ir apribojimų būtinumo ir proporcingumo;

PRIĖMĖ ŠĮ SPRENDIMĄ:

1 SKYRIUS

BENDROSIOS NUOSTATOS

3. Šiame sprendime taip pat nustatomos sąlygos, kuriomis Komisija gali pagal Reglamento (ES) 2018/1725 25 straipsnio 1 dalies c, g ir h punktus apriboti jo 4, 14–17, 19, 20 ir 35 straipsnių taikymą, kiek tai susiję su duomenų apsaugos pareigūno vykdomomis stebėsenos, tyrimo, audito ar konsultavimo užduotimis.

įgaliotasis duomenų valdytojas – generalinio direktorato, tarnybos ar kabineto vadovas, kuris, įgyvendindamas to generalinio direktorato, tarnybos ar kabineto tikslus, Komisijos vardu atlieka duomenų tvarkymo operaciją;

2 SKYRIUS

DUOMENŲ APSAUGOS PAREIGŪNAS IR DUOMENŲ APSAUGOS KOORDINATORIUS

Duomenų apsaugos pareigūnas atrenkamas iš Komisijos darbuotojų atsižvelgiant į jo profesinę kompetenciją, be kita ko, gerą Komisijos tarnybų, jų struktūros ir administracinių taisyklių bei procedūrų išmanymą.

paprašyti įgaliotojo duomenų valdytojo arba duomenų tvarkytojo per nustatytą terminą pranešti jam apie tolesnius veiksmus, kurių imtasi atsižvelgiant į jo rekomendaciją ar konsultaciją;

įspėti įgaliotąjį duomenų valdytoją arba duomenų tvarkytoją, kai duomenų tvarkymo operacija pažeidžia Reglamento (ES) 2018/1725 nuostatas, ir prireikus paprašyti jo nustatytu būdu ir per nustatytą laikotarpį užtikrinti, kad duomenų tvarkymo operacijos atitiktų reikalavimus;

c)

c)

Paskirtas naujas duomenų apsaugos koordinatorius per šešis mėnesius nuo paskyrimo turi baigti mokymus, kad įgytų kompetencijų, būtinų pareigoms eiti. Tas reikalavimas baigti mokymus netaikomas duomenų apsaugos koordinatoriui, kuris anksčiau ėjo duomenų apsaugos koordinatoriaus pareigas kitame generaliniame direktorate ar tarnyboje arba dvejus metus iki paskyrimo duomenų apsaugos koordinatoriumi buvo duomenų apsaugos pareigūno darbuotojas.

3 SKYRIUS

DUOMENŲ VALDYTOJAI

c)

per duomenų apsaugos koordinatorių praneša duomenų apsaugos pareigūnui apie bet kokio iš duomenų subjekto gauto prašymo dėl naudojimosi savo teisėmis nagrinėjimą.

gali per duomenų apsaugos koordinatorių konsultuotis su duomenų apsaugos pareigūnu dėl duomenų tvarkymo operacijų atitikties reikalavimams, ypač tais atvejais, kai kyla abejonių dėl atitikties;

4 SKYRIUS

KITOS PAREIGOS IR PROCEDŪROS

9 straipsnis

Informavimas

Įgaliotasis duomenų valdytojas kartu su duomenų apsaugos koordinatoriumi informuoja duomenų apsaugos pareigūną tais atvejais, kai pagal Reglamentą (ES) 2018/1725, visų pirma pagal to reglamento 40 ir 41 straipsnius, jis konsultuojasi su Europos duomenų apsaugos priežiūros pareigūnu arba jį informuoja. Be to, įgaliotasis duomenų valdytojas, vykdomasis duomenų valdytojas arba duomenų apsaugos koordinatorius informuoja duomenų apsaugos pareigūną apie bet kokius kitus tiesioginius ryšius su Europos duomenų apsaugos priežiūros pareigūnu, susijusius su Reglamento (ES) 2018/1725 įgyvendinimu.