REGULAMIN WEWNĘTRZNY O PRZETWARZANIU I OCHRONIE DANYCH OSOBOWYCH W EUROJUŚCIE

KOLEGIUM EUROJUSTU,

uwzględniając rozporządzenie Parlamentu Europejskiego i Rady (UE) 2018/1727 z dnia 14 listopada 2018 r. w sprawie Agencji Unii Europejskiej ds. Współpracy Wymiarów Sprawiedliwości i w Sprawach Karnych (Eurojust) oraz zastąpienia i uchylenia decyzji Rady 2002/187/WSiSW, zwane dalej „rozporządzeniem o Eurojuście”,

uwzględniając rozporządzenie Parlamentu Europejskiego i Rady (UE) 2018/1725 z dnia 23 października 2018 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez instytucje, organy i jednostki organizacyjne Unii i swobodnego przepływu takich danych oraz uchylenia rozporządzenia (WE) nr 45/2001 i decyzji nr 1247/2002/WE, zwane dalej „rozporządzeniem 2018/1725”,

uwzględniając regulamin wewnętrzny Eurojustu zatwierdzony przez Radę decyzją wykonawczą (UE) 2019/2250 z dnia 19 grudnia 2019 r. i przyjęty przez kolegium w dniu 20 grudnia 2019 r.i w szczególności jego art. 17,

uwzględniając opinie Wspólnego Organu Nadzorczego wydane w dniu 28 października 2019 r. i w dniu 11 grudnia 2019 r.,

uwzględniając opinię Europejskiego Inspektora Ochrony Danych wydaną w dniu 13 grudnia 2019 r.,

uwzględniając zatwierdzenie niniejszego regulaminu wewnętrznego przez Radę w drodze decyzji wykonawczej (UE) 2019/2250 z dnia 19 grudnia 2019 r.,

PRZYJMUJE REGULAMIN WEWNĘTRZNY O PRZETWARZANIU I OCHRONIE DANYCH OSOBOWYCH W EUROJUŚCIE W DNIU 20 GRUDNIA 2019 r:

TYTUŁ I

ZAKRES STOSOWANIA, STRUKTURA I DEFINICJE

2. Ma zastosowanie do przetwarzania danych osobowych w sposób całkowicie lub częściowo zautomatyzowany oraz do przetwarzania w sposób inny niż zautomatyzowany danych osobowych stanowiących lub mających stanowić część zbioru danych.

TYTUŁ II

PRZEPISY DOTYCZĄCE OPERACJI PRZETWARZANIA OPERACYJNYCH DANYCH OSOBOWYCH

ROZDZIAŁ I

Ogólne zasady przetwarzania operacyjnych danych osobowych

Przedstawiciele krajowi otrzymujący operacyjne dane osobowe od właściwych organów krajowych przestrzegają szczególnych warunków przetwarzania nałożonych przez nie zgodnie z art. 9 ust. 3 i 4 dyrektywy (UE) 2016/680 i i informują także te organy krajowe o wszelkich szczególnych warunkach nałożonych na nich przez mające zastosowanie prawo UE, które to warunki mają zastosowanie do wszelkich operacyjnych danych osobowych przekazywanych, w odpowiednich przypadkach, przez przedstawicieli krajowych organom krajowym.

Wszyscy pracownicy Eurojustu są odpowiednio poinformowani o polityce bezpieczeństwa Eurojustu oraz obowiązani do wykorzystywania środków technicznych i organizacyjnych oddanych im do dyspozycji, w tym do odbycia wymaganego szkolenia, zgodnie z mającymi zastosowanie wymogami dotyczącymi ochrony danych i bezpieczeństwa danych.

ROZDZIAŁ II

Prawa osób, których dane dotyczą

5. Inspektor ochrony danych przekazuje osobie, której dane dotyczą, decyzję podjętą przez danego przedstawiciela krajowego lub danych przedstawicieli krajowych w imieniu Eurojustu i informuje tę osobę o możliwości złożenia skargi do EIOD, jeśli nie odpowiada jej podjęta decyzja, lub wniesienia środka prawnego do Trybunału Sprawiedliwości.

ROZDZIAŁ III

Zautomatyzowany system zarządzania sprawami

6. Dany przedstawiciel krajowy lub dani przedstawiciele krajowi zapewniają, by informacje zawarte w indeksie były wystarczające do realizacji zadań Eurojustu określonych w art. 2 rozporządzenia o Eurojuście.

5. W przypadku gdy zgodnie z art. 23 ust. 6 rozporządzenia o Eurojuście przedstawiciele krajowi chcą tymczasowo przechowywać i analizować dane osobowe do celów ustalenia, czy takie dane są istotne dla zadań Eurojustu, tworzą projekt akt tymczasowych, który pozostanie dostępny tylko dla nich i dla osób przez nich upoważnionych figurujących w profilu ich biura krajowego. Po trzech miesiącach projekt akt tymczasowych powinien zostać przekształcony w akta tymczasowe w zautomatyzowanym systemie zarządzania sprawami lub powinien zostać automatycznie usunięty przez system. System wysyła danemu przedstawicielowi krajowemu powiadomienie o zbliżającym się upływie tego terminu, by przypomnieć mu o potrzebie podjęcia decyzji co do projektu akt.

2. Jeżeli przedstawiciel krajowy odpowiedzialny za prowadzenie akt tymczasowych zgodnie z art. 24 ust. 1 rozporządzenia o Eurojuście udostępnia akta tymczasowe lub ich część uczestniczącemu przedstawicielowi krajowemu lub większej ich liczbie, zautomatyzowany system zarządzania sprawami zapewnia upoważnionym użytkownikom figurującym w profilu biura krajowego podlegającego temu przedstawicielowi krajowemu dostęp do odpowiednich części akt, lecz nie umożliwia im modyfikacji danych wprowadzonych przez pierwotnego autora. Upoważnieni użytkownicy mogą jednak dodawać wszelkie istotne informacje do nowych części akt tymczasowych. Także informacje znajdujące się w indeksie mogą być odczytywane przez wszystkich upoważnionych użytkowników systemu, ale zmieniać może je wyłącznie ich pierwotny autor.

1. Eurojust podejmuje odpowiednie środki techniczne w celu zapewnienia, by inspektor ochrony danych był automatycznie powiadamiany o wyjątkowych przypadkach, w których, przez ograniczony okres, jest stosowany art. 27 ust. 3 rozporządzenia o Eurojuście. W zautomatyzowanymi systemie zarządzania sprawami dane te powinny zostać oznaczone w sposób, który będzie przypominać osobie, która wprowadziła dane do systemu, o tym, że dane te mogą być przechowywane tylko przez ograniczony okres.

Artykuł 12

Udzielenie dostępu do operacyjnych danych osobowych

1. Każdy z przedstawicieli krajowych w Eurojuście prowadzi dokumentację dotyczącą polityki udzielania dostępu do operacyjnych danych osobowych, którą zgodnie z art. 34 rozporządzenia o Eurojuście prowadzi w swoim biurze krajowym, i przekazuje inspektorowi ochrony danych informacje na jej temat.

2. Przedstawiciele krajowi mogą w poszczególnych przypadkach postanowić o udzieleniu szczególnego zezwolenia na dostęp do akt tymczasowych lub do ich części osobie, która nie jest członkiem personelu Eurojustu, ale pracuje w imieniu Eurojustu i należy do szczególnej kategorii pracowników, którzy zostali uprzednio upoważnieni przez dyrektora administracyjnego Eurojustu, zgodnie z art. 24 ust. 2 rozporządzenia o Eurojuście, do dostępu do zautomatyzowanego systemu zarządzania sprawami.

3. Przedstawiciele krajowi zapewniają, by w ich biurach krajowych zostały wprowadzone i były przestrzegane stosowne rozwiązania natury organizacyjnej i by odpowiednio wykorzystywane były środki techniczne i organizacyjne, w tym odbycie wymaganego szkolenia, oddane im do dyspozycji przez Eurojust.