SKLEP UPRAVNEGA ODBORA AGENCIJE ZA PODPORO BEREC-U (URAD BEREC)

z dne 10. septembra 2019

o določitvi notranjih pravil glede omejitev določenih pravic posameznikov, na katere se nanašajo osebni podatki, v zvezi z obdelavo osebnih podatkov v okviru dejavnosti, ki jih izvaja Urad BEREC

UPRAVNI ODBOR JE –

ob upoštevanju Uredbe (EU) 2018/1971 Evropskega parlamenta in Sveta z dne 11. decembra 2018 o ustanovitvi Organa evropskih regulatorjev za elektronske komunikacije (BEREC) in Agencije za podporo BEREC-u (Urad BEREC), spremembi Uredbe (EU) 2015/2120 ter razveljavitvi Uredbe (ES) št. 1211/2009 (1) in zlasti člena 36(4) Uredbe,

ob upoštevanju Uredbe (EU) 2018/1725 Evropskega parlamenta in Sveta z dne 23. oktobra 2018 o varstvu posameznikov pri obdelavi osebnih podatkov v institucijah, organih, uradih in agencijah Unije in o prostem pretoku takih podatkov ter o razveljavitvi Uredbe (ES) št. 45/2001 in Sklepa št. 1247/2002/ES (2) (v nadaljnjem besedilu: „Uredba“) ter zlasti člena 25 Uredbe,

ob upoštevanju naslednjega:

(1) Urad BEREC lahko v okviru svojega delovanja izvaja administrativne poizvedbe, preddisciplinske in disciplinske postopke ter postopke začasne odstranitve z delovnega mesta na podlagi Priloge IX h Kadrovskim predpisom za uradnike Evropske unije in Pogojem za zaposlitev drugih uslužbencev Evropske unije (3) ter v skladu s Sklepom MC/2012/3 upravnega odbora Urada Organa evropskih regulatorjev za elektronske komunikacije (Urad BEREC) o določitvi splošnih izvedbenih določb o izvajanju administrativnih poizvedb in disciplinskih postopkov, kar pomeni obdelavo informacij, vključno z osebnimi podatki.

(2) Člani osebja Urada BEREC morajo poročati o morebitnih nezakonitih dejavnostih, vključno z zlorabami ali korupcijo, ki škodijo interesom Unije, ali o ravnanju v zvezi z opravljanjem poklicnih nalog, ki lahko pomeni hudo kršenje obveznosti članov osebja Unije. To ureja Sklep št. MC/2018/11 upravnega odbora Urada Organa evropskih regulatorjev za elektronske komunikacije (Urad BEREC) o določitvi smernic o prijavljanju nepravilnosti v Uradu BEREC.

(3) Urad BEREC je določil politiko preprečevanja in učinkovite obravnave dejanskih ali potencialnih primerov psihološkega ali spolnega nadlegovanja na delovnem mestu, kot je določena v Sklepu št. MC/2016/15 upravnega odbora Urada Organa evropskih regulatorjev za elektronske komunikacije (Urad BEREC) o politiki o varstvu človekovega dostojanstva ter preprečevanju psihičnega in spolnega nadlegovanja.

(4) V okviru zgoraj omenjenih dejavnosti Urad BEREC zbira in obdeluje pomembne informacije in več kategorij osebnih podatkov, vključno z identifikacijskimi podatki fizične osebe, kontaktnimi informacijami, poklicnimi vlogami in nalogami, informacijami o ravnanju in delovanju v zasebnem in poklicnem življenju ter finančnih podatkih. Urad BEREC deluje kot upravljavec podatkov.

(5) Vzpostavljeni so ustrezni zaščitni ukrepi za varovanje osebnih podatkov in preprečevanje nenamernega ali nezakonitega dostopa do njih ali prenosa teh podatkov, ne glede na to, ali so shranjeni v fizičnem ali elektronskem okolju. Po obdelavi se podatki hranijo v skladu z veljavnimi pravili Urada BEREC o hrambi podatkov, kot so določeni v evidenci varstva osebnih podatkov na podlagi člena 31 Uredbe. Ob koncu obdobja hrambe so informacije v zvezi s primerom, vključno z osebnimi podatki, izbrisane, anonimizirane ali prenesene v zgodovinske arhive.

(6) V tem okviru je Urad BEREC zavezan k izpolnitvi svoje obveznosti zagotavljanja informacij posameznikom, na katere se nanašajo osebni podatki, v zvezi s prej navedenimi dejavnostmi obdelave ter k spoštovanju pravic posameznikov, na katere se nanašajo osebni podatki, kot je navedeno v Uredbi.

(7) Morda je treba pravice posameznikov, na katere se nanašajo osebni podatki, v skladu z Uredbo uskladiti s potrebami prej omenjenih dejavnosti ob sočasnem spoštovanju temeljnih pravic in svoboščin drugih posameznikov, na katere se nanašajo osebni podatki. V ta namen člen 25 Uredbe pod strogimi pogoji določa možnost omejitve uporabe členov 14 do 20, členov 35 in 36 ter člena 4, če se njegove določbe ujemajo s pravicami in obveznostmi, določenimi v členih 14 do 20. V tem primeru je treba sprejeti notranja pravila, po katerih lahko Urad BEREC v skladu z istim členom Uredbe te pravice omeji.

(8) To lahko zlasti velja pri zagotavljanju informacij o obdelavi osebnih podatkov posamezniku, na katerega se nanašajo osebni podatki, v fazi predhodne ocene administrativne poizvedbe, pred morebitno opustitvijo primera ali v fazi preddisciplinskega postopka. V določenih okoliščinah lahko predložitev takšnih informacij resno vpliva na zmožnost Urada BEREC, da učinkovito izvede poizvedbo, kadar na primer obstaja tveganje, da bi zadevna oseba uničila dokaze ali skušala vplivati na morebitne priče, preden so zaslišane. Poleg tega bi moral Urad BEREC morda zaščititi njihove pravice in svoboščine ter pravice in svoboščine drugih vpletenih oseb.

(9) Lahko bi se izkazalo, da je treba zaščititi zaupnost priče ali prijavitelja kršitev, ki je prosil, da ostane nerazkrit. Da zaščiti pravice in svoboščine prijavitelja kršitev ter drugih vpletenih oseb, se Urad BEREC v takem primeru lahko odloči omejiti dostop do njihovih podatkov o identiteti, izjav in drugih osebnih podatkov.

(10) Lahko bi se izkazalo, da je treba zaščititi zaupnost člana osebja, ki se je obrnil na zaupne svetovalce Urada BEREC v postopku prijave nadlegovanja. Da zaščiti pravice in svoboščine domnevne žrtve, domnevnega nadlegovalca in drugih vpletenih oseb, se Urad BEREC v takem primeru lahko odloči omejiti dostop do podatkov o identiteti, izjav in drugih osebnih podatkov.

(11) Urad BEREC lahko uporabi omejitve le, če je pri njih upoštevano bistvo temeljnih pravic in svoboščin ter če so nujno potreben in sorazmeren ukrep v demokratični družbi. Urad BEREC mora utemeljiti razloge za te omejitve.

(12) Na podlagi načela odgovornosti mora Urad BEREC voditi evidenco o uporabi omejitev.

(13) Člen 25(6) Uredbe zavezuje upravljavca podatkov, da posameznike, na katere se nanašajo osebni podatki, obvesti o glavnih razlogih, ki so podlaga za uporabo omejitev, in o njihovi pravici do vložitve pritožbe pri ENVP.

(14) V skladu s členom 25(8) Uredbe lahko Urad BEREC preloži, opusti ali zavrne posredovanje informacij o razlogih za uporabo omejitve posamezniku, na katerega se nanašajo osebni podatki, če bi to lahko na kakršen koli način izničilo učinek omejitve. Urad BEREC mora za vsak primer posebej oceniti, ali bi sporočanje omejitve izničilo njen učinek.

(15) Urad BEREC mora omejitev odpraviti takoj, ko ni več pogojev, ki jo upravičujejo, in mora te pogoje redno ocenjevati.

(16) Da zagotovi čim večjo zaščito pravic in svoboščin posameznikov, na katere se nanašajo osebni podatki, ter v skladu s členom 44(1) Uredbe mora biti pooblaščena oseba za varstvo podatkov pravočasno obveščena o uporabljenih omejitvah in mora preveriti skladnost s tem sklepom.

(17) Zgoraj navedene omejitve se uporabljajo brez poseganja v morebitno uporabo določb členov 16(5) in 17(4) Uredbe, ki se nanašata na pravico do informacij, če podatki niso pridobljeni od posameznika, na katerega se nanašajo osebni podatki, in na pravico do dostopa posameznika, na katerega se nanašajo osebni podatki.

(18) Posvetovanje z Evropskim nadzornikom za varstvo podatkov („ENVP“) je bilo opravljeno 27. maja 2019 –

SPREJEL NASLEDNJI SKLEP:

Člen 1 Vsebina in obseg Ta sklep določa pravila glede pogojev, pod katerimi lahko Urad BEREC na podlagi člena 25 Uredbe omeji uporabo členov 14 do 20, členov 35 in 36 ter člena 4 Uredbe.

Člen 2 Omejitve 1. V skladu s členom 25(1) Uredbe lahko Urad BEREC omeji uporabo členov 14 do 20, členov 35 in 36 ter člena 4 Uredbe, če so njegove določbe skladne s pravicami in obveznostmi, določenimi v členih 14 do 20, pri: (a) izvajanju administrativnih poizvedb, preddisciplinskih in disciplinskih postopkov ter postopkov začasne odstranitve z delovnega mesta na podlagi Priloge IX h Kadrovskim predpisom za uradnike Evropske unije in Pogojem za zaposlitev drugih uslužbencev Evropske unije ter v skladu s Sklepom MC/2012/3 upravnega odbora Urada Organa evropskih regulatorjev za elektronske komunikacije (Urad BEREC) o določitvi splošnih izvedbenih določb o izvajanju administrativnih poizvedb in disciplinskih postopkov, kar pomeni obdelavo informacij, vključno z osebnimi podatki. Ustrezne omejitve lahko temeljijo na členu 25(1)(c), (g) in (h) Uredbe; (b) zagotavljanju, da člani osebja Urada BEREC lahko zaupno poročajo o dejstvih, kadar menijo, da obstajajo resne nepravilnosti, v skladu s Sklepom št. MC/2018/11 upravnega odbora Urada Organa evropskih regulatorjev za elektronske komunikacije (Urad BEREC) o določitvi smernic o prijavljanju nepravilnosti v Uradu BEREC. Ustrezne omejitve lahko temeljijo na členu 25(1)(h) Uredbe; (c) zagotavljanju, da lahko člani osebja Urada BEREC zaupno poročajo zaupnim svetovalcem v okviru postopka prijave nadlegovanja v skladu s Sklepom št. MC/2016/15 upravnega odbora Urada Organa evropskih regulatorjev za elektronske komunikacije (Urad BEREC) o politiki o varstvu človekovega dostojanstva ter preprečevanju psihičnega in spolnega nadlegovanja. Ustrezne omejitve lahko temeljijo na členu 25(1)(h) Uredbe; 2. V kategorije podatkov so vključeni identifikacijski podatki fizične osebe, kontaktne informacije, poklicne vloge in naloge, informacije o ravnanju in delovanju v zasebnem in poklicnem življenju ter finančni podatki. 3. Pri vseh omejitvah mora biti upoštevano bistvo temeljnih pravic in svoboščin, omejitve pa morajo biti nujen in sorazmeren ukrep v demokratični družbi. 4. Pred uporabo omejitev je treba za vsak primer posebej izvesti preizkus nujnosti in sorazmernosti. Omejitve morajo biti omejene na to, kar je nujno potrebno za doseganje določenih ciljev ob upoštevanju tveganj pri pravicah in svoboščinah posameznikov, na katere se nanašajo osebni podatki. 5. Urad BEREC mora za namene odgovornosti vložiti evidenco, v kateri so opisani razlogi za uporabljene omejitve in v kateri je navedeno, kateri od razlogov, naštetih v odstavku 1, veljajo, ter rezultat preizkusa nujnosti in sorazmernosti. Ta evidenca mora biti del registra, ki je temu namenjen in mora biti na zahtevo dan na voljo ENVP. Redno mora biti na voljo poročilo o uporabi člena 25 Uredbe.

Člen 3 Tveganja pri pravicah in svoboščinah posameznikov, na katere se nanašajo osebni podatki Ocena tveganj pri pravicah in svoboščinah posameznikov, na katere se nanašajo osebni podatki in katerih osebni podatki so lahko predmet omejitev, ter obdobje njihovega zadržanja sta navedena v evidenci ustreznih dejavnosti obdelav v skladu s členom 31 Uredbe in, če je to smiselno, v ustrezni oceni učinka v zvezi z varstvom podatkov na podlagi člena 39 Uredbe.

Člen 4 Obdobja hrambe in zaščitni ukrepi Urad BEREC uvede zaščitne ukrepe za preprečevanje zlorabe ali nezakonitega dostopa ali prenosa osebnih podatkov, za katere lahko veljajo omejitve. Ti zaščitni ukrepi vključujejo tehnične in organizacijske ukrepe in so po potrebi podrobno navedeni v notranjih sklepih, postopkih in izvedbenih pravilih Urada BEREC. Zaščitni ukrepi vključujejo: (a) ustrezno opredelitev vlog, odgovornosti in postopkovnih korakov; (b) če je smiselno, varno elektronsko okolje, ki nepooblaščenim osebam preprečuje nezakonit ali nenameren dostop do elektronskih podatkov ali njihov prenos; (c) če je smiselno, varno hrambo in obdelavo papirnih dokumentov; (d) ustrezno spremljanje omejitev in redno revizijo, ki mora biti opravljena vsaj vsakih šest mesecev. Revizijo je treba izvesti tudi takrat, ko se bistveni elementi zadevnega primera spremenijo. Omejitve je treba odpraviti takoj, ko okoliščin, zaradi katerih so bile omejitve upravičene, ni več.

Člen 5 Informacije za pooblaščeno osebo za varstvo podatkov in pregled, ki ga izvede ta oseba 1. Pooblaščena oseba za varstvo podatkov Urada BEREC mora biti brez nepotrebnega odlašanja obveščena vsakič, ko so pravice posameznika, na katerega se nanašajo osebni podatki, omejene v skladu s tem sklepom, omogočen pa ji mora biti tudi dostop do evidence in vseh dokumentov, ki so podlaga za stvarne in pravne elemente. 2. Pooblaščena oseba za varstvo podatkov Urada BEREC lahko zahteva pregled uporabe omejitve. Urad BEREC mora pooblaščeno osebo za varstvo podatkov pisno obvestiti o rezultatu zahtevanega pregleda. 3. Vključitev pooblaščene osebe za varstvo podatkov Urada BEREC v postopek omejitev, vključno z izmenjavo informacij, mora biti dokumentiran v ustrezni obliki.

Člen 6 Obveščanje posameznikov, na katere se nanašajo osebni podatki, o omejitvah njihovih pravic 1. Urad BEREC mora v obvestila o varstvu podatkov, objavljena na svojem spletnem mestu, vključiti splošne informacije za posameznike, na katere se nanašajo osebni podatki, glede morebitnih omejitev pravic vseh posameznikov, na katere se nanašajo osebni podatki, opisanih v členu 2(1) tega sklepa. Informacije morajo zajemati podatke o tem, katere pravice so lahko omejene, razloge za omejitev in njeno morebitno trajanje. 2. Poleg tega mora Urad BEREC vsakega posameznika, na katerega se nanašajo osebni podatki, posebej obvestiti o trenutnih ali prihodnjih omejitvah njihovih pravic brez nepotrebnega odlašanja in v pisni obliki, kot je navedeno v členih 7, 8 in 9 tega sklepa.

Člen 7 Pravica do informacij, ki se zagotovijo posameznikom, na katere se nanašajo osebni podatki, in sporočanje o kršitvah podatkov 1. Kadar Urad BEREC v okviru dejavnosti, omenjenih v tem sklepu, v celoti ali delno omejuje pravice iz členov 14 do 16 in člena 35 Uredbe, morajo biti posamezniki, na katere se nanašajo osebni podatki, obveščeni o glavnih razlogih, ki so podlaga za uporabo omejitve, in o svoji pravici do vložitve pritožbe pri ENVP, pa tudi o pravici do uveljavitve pravnega sredstva pri Sodišču Evropske unije. 2. Urad BEREC lahko preloži, opusti ali zavrne predložitev informacij o razlogih za omejitev iz odstavka 1, če bi to izničilo učinek omejitve. To oceno je treba izvesti pri vsakem primeru posebej.

Člen 8 Pravica posameznika, na katerega se nanašajo osebni podatki, do dostopa, popravka, izbrisa in omejitve obdelave 1. Kadar Urad BEREC v okviru dejavnosti, omenjenih v tem sklepu, v celoti ali delno omejuje pravico dostopa do osebnih podatkov, pravico do popravka, izbrisa in omejitve obdelave, kot so navedene v členih 17 do 20 Uredbe, mora zadevnega posameznika, na katerega se nanašajo osebni podatki, v svojem odgovoru na njegovo zahtevo obvestiti o glavnih razlogih, ki so podlaga za uporabo omejitve, in o možnosti vložitve pritožbe pri ENVP ali o pravici do uveljavitve pravnega sredstva pri Sodišču Evropske unije. 2. Urad BEREC lahko preloži, izpusti ali zavrne predložitev informacij o razlogih za omejitev, navedeno v odstavku 1, če bi to izničilo učinek omejitve. To oceno je treba izvesti pri vsakem primeru posebej.

Člen 9 Zaupnost elektronskih komunikacij 1. Urad BEREC lahko v izjemnih okoliščinah ter v skladu z določbami in utemeljitvami Direktive 2002/58/ES Evropskega parlamenta in Sveta (4) omeji pravico do zaupnosti elektronskih komunikacij, kot je navedena v členu 36 Uredbe. V tem primeru mora Urad BEREC podrobno navesti okoliščine, razloge, pomembna tveganja in s tem povezane zaščitne ukrepe v specifičnih notranjih pravilih. 2. Če Urad BEREC omejuje pravico do zaupnosti elektronskih komunikacij, mora zadevnega posameznika, na katerega se nanašajo osebni podatki, v svojem odgovoru na njegovo zahtevo obvestiti o glavnih razlogih, ki so podlaga za uporabo omejitve, in možnosti vložitve pritožbe pri ENVP ali o pravici do uveljavitve pravnega sredstva pri Sodišču Evropske unije. 3. Urad BEREC lahko preloži, izpusti ali zavrne predložitev informacij o razlogih za omejitev, navedeno v odstavkih 1 in 2, če bi to izničilo učinek omejitve. To oceno je treba izvesti pri vsakem primeru posebej.

Člen 10 Začetek veljavnosti Ta sklep začne veljati na dan objave v Uradnem listu Evropske unije.

V Rigi, 10. septembra 2019 Za Agencijo za podporo BEREC-u Jeremy GODFREY Predsednik upravnega odbora

(1) UL L 321, 17.12.2018, str. 1.

(2) UL L 295, 21.11.2018, str. 39.

(3) Uredba Sveta (EGS, Euratom, ESPJ) št. 259/68 z dne 29. februarja 1968 o določitvi Kadrovskih predpisov za uradnike in Pogojev za zaposlitev drugih uslužbencev Evropskih skupnosti ter uvedbi posebnih ukrepov, ki se začasno uporabljajo za uradnike Komisije (UL L 56, 4.3.1968, str. 1).

(4) Direktiva 2002/58/ES Evropskega parlamenta in Sveta z dne 12. julija 2002 o obdelavi osebnih podatkov in varstvu zasebnosti na področju elektronskih komunikacij (Direktiva o zasebnosti in elektronskih komunikacijah) (UL L 201, 31.7.2002, str. 37).