SL Uradni list Evropske unije C 68/1

DOLOČBE NOTRANJEGA POSLOVNIKA EUROJUSTA O OBDELAVI IN VARSTVU OSEBNIH PODATKOV

(Besedilo, ki ga soglasno sprejme Kolegij Eurojusta na svoji seji dne 21. oktobra 2004 in potrdi Svet dne 24. februarja 2005)

(2005/C 68/01)

NASLOV I

OPREDELITVE

Člen 1

Opredelitve

Za namene tega poslovnika in vseh drugih izvedbenih besedil:

(a) ''Sklep o Eurojustu'' pomeni Sklep Sveta z dne 28. februarja 2002 o ustanovitvi Eurojusta za okrepitev boja proti težjim oblikam kriminala, kot je bil spremenjen s Sklepom Sveta z dne 18. junija 2003;

(b) „Kolegij“ pomeni Kolegij Eurojusta iz člena 10 Sklepa o Eurojustu;

(c) „nacionalni član“ pomeni nacionalnega člana, ki ga Eurojustu dodeli vsaka država članica v skladu s členom 2(1) Sklepa o Eurojustu;

(d) „pomočnik“ pomeni osebo, ki pomaga posameznemu nacionalnemu članu v skladu s členom 2(2) Sklepa o Eurojustu;

(e) „osebje Eurojusta“ pomeni upravnega direktorja iz člena 29 Sklepa o Eurojustu in osebje iz člena 30 Sklepa o Eurojustu;

(f) „pooblaščenec za varstvo podatkov“ pomeni osebo, imenovano v skladu s členom 17 Sklepa o Eurojustu;

(g) „Skupni nadzorni organ“ pomeni neodvisni organ, ustanovljen v skladu s členom 23 Sklepa o Eurojustu;

(h) „osebni podatki“ pomeni katerekoli informacije, ki se nanašajo na določeno ali določljivo fizično osebo („posameznik, na katerega se nanašajo osebni podatki“); določljiva oseba je tista, ki se lahko neposredno ali posredno identificira, zlasti s pomočjo identifikacijske številke ali enega ali več dejavnikov, značilnih za njeno fizično, fiziološko, duševno, ekonomsko, kulturno ali socialno istovetnost;

(i) „obdelava osebnih podatkov“ („obdelava“) pomeni kakršenkoli postopek ali niz postopkov, ki se izvajajo v zvezi z osebnimi podatki z avtomatskimi sredstvi ali brez njih, kakršno je zbiranje, beleženje, urejanje, shranjevanje, spreminjanje ali predelava, iskanje, posvetovanje, uporaba, razkritje s prenosom, širjenje ali drugo razpolaganje, prilagajanje ali kombiniranje, zadrževanje, izbris ali uničenje;

(j) „zbirka osebnih podatkov“ („zbirka“) pomeni vsak strukturiran niz osebnih podatkov, ki je dostopen v skladu s posebnimi merili, bodisi da je centraliziran, decentraliziran ali razpršen na funkcionalni ali geografski podlagi;

(k) „upravljavec“ pomeni osebo, ki sama ali v sodelovanju z drugimi določa namen in način obdelave osebnih podatkov; kadar namene in sredstva obdelave določajo nacionalna ali evropska zakonodaja ali predpisi, lahko upravljavca ali posebna merila za njegovo imenovanje določi nacionalna zakonodaja ali evropska zakonodaja;

(l) „obdelovalec“ pomeni fizično ali pravno osebo, javni organ, agencijo ali katerikoli drug organ, ki obdeluje osebne podatke v imenu upravljavca;

(m) „tretja oseba“ pomeni katerokoli fizično ali pravno osebo, javni organ, agencijo ali katerikoli drug organ, ki ni posameznik, na katerega se osebni podatki nanašajo, upravljavec, obdelovalec in osebe, ki so pod neposredno oblastjo upravljavca ali obdelovalca pooblaščene za obdelavo podatkov; ter

(n) „prejemnik“ pomeni fizično ali pravno osebo, javni organ, agencijo ali kateri kolidrug organ, ki se mu posreduje podatke, bodisi da je tretja oseba ali ne.

NASLOV II

PODROČJE UPORABE IN SESTAVA

Člen 2

Področje uporabe

1. Ta poslovnik Eurojust uporablja za obdelavo osebnih podatkov, ki poteka v celoti ali delno z avtomatskimi sredstvi, in za obdelavo osebnih podatkov, ki so del zbirke ali bodo postali del zbirke v skladu s Sklepom o Eurojustu, brez avtomatskih sredstev.

2. Ta poslovnik Eurojust uporablja za vse zbrane in obdelane informacije, tj. informacije, ki jih ima, jih je sestavil ali prejel in se nanašajo na politike, dejavnosti in odločitve, ki spadajo na področje pristojnosti Eurojusta.

3. Ta poslovnik se ne uporablja za informacije, ki so bile posredovane nacionalnemu članu Eurojusta izključno za izvajanje njegovih ali njenih pravosodnih pooblastil v skladu s členom 9(3) Sklepa o Eurojustu.

Člen 3

Sestava

1. Vsi osebni podatki se obravnavajo kot s primerom povezani podatki ali kot podatki, ki niso povezani s primerom. Osebni podatki se obravnavajo kot s primerom povezani podatki, če so povezani z nalogami Eurojusta, določenimi v členih 5, 6 in 7 Sklepa o Eurojustu.

2. Obdelava s primerom povezanih podatkov poteka v skladu z naslovoma III in IV. Obdelava podatkov, ki niso povezani s primerom, poteka v skladu z naslovoma III in V.

NASLOV III

SPLOŠNA NAČELA UPORABE ZA EUROJUST

Člen 4

Pravica do zasebnosti in varstva podatkov

Eurojust pri svojem delovanju v celoti upošteva človekove pravice in osnovne svoboščine posameznikov, še zlasti pravico do zasebnosti pri obdelavi osebnih podatkov ne glede na državljanstvo ali stalno bivališče.

Člen 5

Načela zakonitosti in nepristranskosti, sorazmernosti in nujnosti obdelave

1. Osebni podatki morajo biti obdelani pošteno in zakonito.

2. Eurojust obdeluje samo tiste osebne podatke, ki so nujni in ustrezni ter ne presegajo namena, za katerega se zbirajo in nadalje obdelujejo.

3. Eurojust postopke in sisteme obdelave določi v skladu s ciljem zbiranja in nadaljnje obdelave samo tistih osebnih podatkov, ki so opredeljeni kot nujni v skladu z odstavkom 2. Predvsem pa, kolikor je mogoče, uporablja možnost preimenovanja in zagotavljanja anonimnosti podatkov ter pri tem upošteva namen obdelave in upravičenost vloženega dela.

Člen 6

Kakovost podatkov

1. Eurojust mora zagotoviti, da so osebni podatki točni in po potrebi posodobljeni; uporabiti je treba vse upravičene ukrepe, da se zagotovi izbris ali popravek netočnih ali nepopolnih podatkov, pri čemer je treba upoštevati namene, za katere so bili zbrani ali za katere se nadalje obdelujejo.

2. Osebni podatki so shranjeni v obliki, ki dopušča identifikacijo posameznikov, na katere se nanašajo, le toliko časa, kot je potrebno za namene, za katere so bili zbrani ali za katere se dodatno obdelujejo, v skladu s členom 5(2).

Člen 7

Varnost podatkov

1. V skladu s členom 22 Sklepa o Eurojustu in s tem poslovnikom, mora Eurojust uvesti vse potrebne tehnične in organizacijska ukrepe za varstvo osebnih podatkov pred naključnim ali nezakonitim uničenjem, naključno izgubo ali nepooblaščenim razkritjem, spreminjanjem in dostopom ali katero koli drugo nepooblaščeno obliko obdelave. Še zlasti je treba sprejeti ukrepe, ki bodo zagotovili dostop do teh osebnih podatkov samo pooblaščenim osebam.

2. Vsi sprejeti ukrepi morajo ustrezati predvidenemu tveganju zaradi obdelave in narave obdelovanih podatkov.

3. Eurojust razvija celostno varnostno politiko v skladu s členom 22(2) Sklepa o Eurojustu in tem poslovnikom. Ta politika mora v celoti upoštevati občutljivost dela, ki ga izvaja enota za pravosodno sodelovanje in vsebovati predpise glede razvrščanja dokumentov, preverjanja zanesljivosti osebja Eurojusta in ukrepe v primeru kršitev varnosti. Glede varnostne politike se Eurojust posvetuje s Skupnim nadzornim organom.

4. Vsi Eurojustovi nameščenci morajo biti primerno obveščeni o varnostni politiki Eurojusta in uporabljati tehnične in organizacijske ukrepe, ki jih imajo na razpolago, v skladu z veljavnimi zahtevami o varstvu podatkov in varnostni.

Člen 8

Pravica do obveščenosti posameznika, na katerega se nanašajo osebni podatki

1. Ne glede na posebne določbe iz naslova IV glede s primerom povezanih podatkov in iz naslova V glede podatkov, ki s primerom niso povezani, morajo biti posamezniki, na katere se osebni podatki nanašajo, obveščeni o namenu obdelave podatkov, o identiteti upravljavca podatkov, prejemnikov ali kategorij prejemnikov, o pravici do dostopa in pravici do popravljanja podatkov, ki se nanj ali nanjo nanašajo; prav tako morajo prejeti vse nadaljnje informacije, če so te potrebne, npr. o pravni podlagi za obdelavo, ki so ji podatki namenjeni, o časovni omejitvi shranjevanja podatkov in o pravici do pritožbe skupnemu nadzornemu organu v kateri koli fazi postopka, pri čemer je treba upoštevati namene in posebne okoliščine obdelave podatkov, da se zagotovi obdelava, ki je poštena do posameznika, na katerega se podatki nanašajo.

2. Te informacije je treba zagotoviti najkasneje ob začetku zbiranja podatkov od posameznika, na katerega se podatki nanašajo, ali, če te podatke posreduje tretja oseba, ob začetku beleženja osebnih podatkov, ali, če je predvideno razkritje tretji osebi, najkasneje takrat, ko so podatki prvič razkriti, ali, v primerih iz poglavja II naslova IV tega poslovnika, takoj ko namen obdelave, nacionalne preiskave in pregoni ter pravice in svoboščine tretjih oseb niso ogroženi.

Člen 9

Pravica posameznika, na katerega se nanašajo podatki, do dostopa, popravkov, zadrževanja in izbrisa

1. Posameznika, na katerega se nanašajo podatki, ima pravico do dostopa, popravkov, zadrževanja in, odvisno od primera, izbrisa. Eurojust v sodelovanju s posameznimi zadevnimi nacionalnimi pristojnimi organi določi, če je potrebno, postopke za pospeševanje uveljavljanja pravic posameznikov, na katere so podatki nanašajo.

2. Pooblaščenec za varstvo podatkov zagotavlja, da so posamezniki, na katere se podatki nanašajo, na svojo prošnjo obveščeni o svojih pravicah.

Člen 10

Zaupnost obdelave

V skladu s členom 25 Sklepa o Eurojustu, vse osebe, ki delajo v okviru Eurojusta ali z njim sodelujejo, zavezuje stroga obveza zaupnosti. Eurojust mora sprejeti vse potrebne ukrepe, da zagotovi izpolnjevanje te obveznosti in da sta v primeru kršitev takoj obveščena pooblaščenec za varstvo podatkov in vodja oddelka za varovanje, ki zagotovita ustrezne nadaljnje ukrepe.

Člen 11

Notranji obdelovalci

Oseba v vlogi obdelovalca v okviru Eurojusta, ki ima dostop do osebnih podatkov, teh podatkov ne sme obdelovati brez navodila upravljavca, če tega ne zahteva nacionalna ali evropska zakonodaja.

Člen 12

Poizvedovanje, prošnje za informacije in zahtevki Eurojustovih nameščencev

1. Za namene členov 17(2) in 17(4) Sklepa o Eurojustu, pooblaščenec za varstvo podatkov informacije o Eurojustovi obdelavi podatkov posreduje Eurojustovim nameščencem na njihovo prošnjo. Pooblaščenec za varstvo podatkov odgovarja na poizvedovanja in vse prošnje za informacije ali zahteve glede domnevnih kršitev določb Sklepa o Eurojustu, tega poslovnika ali drugih predpisov o obdelavi osebnih podatkov v Eurojustu. Nihče ne sme biti oškodovan zaradi tega, ker je pooblaščencu za varstvo osebnih podatkov prijavil domnevno kršitev predpisov o obdelavi osebnih podatkov.

2. Vse osebe, ki delajo v Eurojustu, morajo sodelovati s Kolegijem, nacionalnimi člani, pooblaščencem za varstvo podatkov in Skupnim nadzornim organom v okviru poizvedb, preiskav, revizij in drugih dejavnosti, povezanih z varstvom osebnih podatkov.

NASLOV IV

PREDPISI ZA POSTOPKE OBDELAVE S PRIMEROM POVEZANIH PODATKOV

Poglavje I

Pogoji za pravno utemeljenost obdelave osebnih podatkov

Člen 13

Obdelava osebnih podatkov v okviru s primerom povezanih dejavnosti

1. V okviru s primerom povezanih dejavnosti Eurojust, kolikor je to potrebno za dosego njegovih ciljev, osebne podatke obdeluje avtomatsko ali v strukturiranih ročno vodenih datotekah v skladu s členi 14, 15, in 16 Sklepa o Eurojustu.

2. Nacionalni član(-i), ki obdeluje(-jo) osebne podatke v posameznih primerih, določijo namen in način obdelave osebnih podatkov in so torej obravnavani kot upravljavci ali, če je to primerno, kot soupravljavci.

Člen 14

Zakonitost in nepristranskost obdelave

Zbiranje in nadaljnja obdelava osebnih podatkov je možna v okviru s primerom povezanih dejavnosti, če je obdelava potrebna zaradi izvedbe nalog Eurojusta pri okrepitvi boja proti težjim oblikam kriminala.

Člen 15

Omejitev namena

Osebni podatki, ki jih obdeluje Eurojust v okviru preiskav in pregonov, ne smejo biti pod nobenimi pogoji obdelovani v kakršenkoli drug namen.

Člen 16

Kakovost podatkov

1. Kadar država članica ali zunanja oseba Eurojustu posreduje podatke v okviru preiskave ali pregona, Eurojust ni odgovoren za pravilnost prejetih informacij, mora pa takoj, ko jih prejme, zagotoviti vse primerne ukrepe za njihovo posodabljanje.

2. Če Eurojust odkrije nepravilnosti, ki se nanašajo na zadevne podatke, mora o tem obvestiti tretjo osebo, ki je informacije posredovala, in informacije popraviti.

Člen 17

Posebne vrste podatkov

1. Eurojust mora sprejeti ustrezne tehnične ukrepe, ki zagotavljajo, da bo pooblaščenec za varstvo podatkov samodejno obveščen o izjemnih primerih, pri katerih se uporablja člen 15(4) Sklepa o Eurojustu. Sistem upravljanja primerov zagotavlja, da takšni podatki ne morejo biti vključeni v seznam iz člena 16(1) Sklepa o Eurojustu.

2. Kadar se ti podatki nanašajo na priče ali žrtve iz člena 15(2) Sklepa o Eurojustu, sistem upravljanja primerov ne zabeleži teh informacij, če Kolegij ni sprejel odločitve o njihovi obdelavi.

Člen 18

Obdelava posebnih osebnih podatkov iz člena 15(3) Sklepa o Eurojustu

1. Eurojust mora sprejeti ustrezne tehnične ukrepe, ki zagotavljajo, da bo pooblaščenec za varstvo podatkov samodejno obveščen o izjemnih primerih, pri katerih se za omejeno časovno obdobje uporablja člen 15(3) Sklepa o Eurojustu.

2. Če se ti podatki nanašajo na priče ali žrtve iz člena 15(1) Sklepa o Eurojustu, sistem upravljanja primerov ne zabeleži teh informacij, če nista vsaj dva nacionalna člana sprejela odločitve o njihovi obdelavi.

Poglavje II

Pravice posameznikov, na katere se nanašajo osebni podatki

Člen 19

Izjeme glede pravice do obveščenosti posameznikov, na katere se nanašajo osebni podatki

1. V okviru operativnega dela Eurojusta morajo biti posameznikom, na katere se osebni podatki nanašajo, zagotovljene informacije v zvezi z obdelavo takoj, ko je očitno, da posredovanje teh podatkov posameznikom, na katere se nanašajo, ne bo ogrožalo:

(a) izvajanja Eurojostovih nalog in krepitve boja proti težjim oblikam kriminala; ali

(b) nacionalnih preiskav in pregonov, pri katerih Eurojust sodeluje; ali

(c) spremljevalnih, nadzornih ali regulativnih nalog, povezanih, čeprav občasno, z izvajanjem javne oblasti v primerih iz (a) in (b); ali

(d) pravic in svoboščin tretjih oseb.

2. Pristop k primerom, naštetih v odstavku 1, mora biti zabeležen v začasni delovni datoteki, povezani s primerom, hkrati z navedbo, na kakšni osnovi je bila sprejeta odločitev nacionalnega člana ali članov, odgovornih za to datoteko.

Člen 20

Pravica posameznikov, na katere se nanašajo osebni podatki, do dostopa

Vsak posameznik je upravičen do dostopa do osebnih podatkov, ki se nanašajo nanj in jih obdeluje Eurojust, v skladu z določbami iz člena 19 Sklepa o Eurojustu.

Člen 21

Postopek za uresničevanje pravic posameznikov, na katere se podatki nanašajo

1. Osebe, ki želijo uveljavljati svoje pravice posameznika, na katerega se nanašajo podatki, lahko naslovijo svoj zahtevek neposredno Eurojustu ali v ta namen imenovanemu organu v državi članici po svoji izbiri, ki zahtevek posreduje Eurojustu.

2. Zahtevke uveljavitev pravic obravnava(-jo) nacionalni član(-i), ki jih zahtevek zadeva, kopijo zahtevka posredujejo pooblaščencu za varstvo podatkov zaradi registracije.

3. Nacionalni član(-i), ki ga/jih zahtevek zadeva, opravijo potrebne poizvedbe in obvestijo pooblaščenca za varstvo podatkov o odločitvi, ki se nanaša na ta primer. Ta odločitev v celoti upošteva ta poslovnik in zakonodajo, ki se uporablja za zahtevek, kot določa člen 19(3) Sklepa o Eurojustu, ter razloge za zavrnitev iz člena 19(4) Sklepa o Eurojustu in posvetovanja s pristojnimi organi pregona, ki morajo biti opravljena pred sprejemom odločitve v skladu s členom 19(9) Sklepa o Eurojustu.

4. Pooblaščenec za varstvo podatkov opravi, če je to v posameznem primeru potrebno, dodatna preverjanja v sistemu upravljanja primerov in obvesti zadevne nacionalne(-ga) člane/a, če so bile v teh dodatnih preverjanjih pridobljene kakršnekoli dodatne pomembne informacije. Zadevni nacionalni član(-i) se lahko na podlagi informacij, ki jih je posredoval pooblaščenec za varstvo podatkov, odloči(-jo) za ponovno preučitev prvotne odločitve.

5. Pooblaščenec za varstvo podatkov sporoči končno odločitev, ki jo je/so jo sprejel(-i) zadevni nacionalni član(-i) posamezniku, na katerega se nanašajo podatki, v skladu s členom 19(6) Sklepa o Eurojustu, in ga obvesti o možnosti pritožbe Skupnemu nadzornemu organu, če z odgovorom Eurojusta ni zadovoljen.

6. Zahtevek je treba obravnati v treh mesecih po prejemu. Posameznik, na katerega se podatki nanašajo, predloži zadevo Skupnemu nadzornemu organu, če v tem roku ni prejel odgovora.

7. Če je bil zahtevek posredovan preko nacionalnega pristojnega organa, zadevni nacionalni član(-i) zagotovijo, da bo ta organ obveščen o odgovoru, ki ga je posamezniku, na katerega se nanašajo podatki, posredoval pooblaščenec za varstvo podatkov.

8. Eurojust določi postopke sodelovanja z nacionalnimi pristojnimi organi, ki so bili imenovani za obravnavo pravic posameznikov, na katere se podatki nanašajo, da bi zagotovili ustrezno in pravočasno predajo zahtevkov Eurojustu.

Člen 22

Informacije tretjim osebam po popravljanju, zadrževanju ali izbrisu s primerom osebnih podatkov

Eurojust določi ustrezne tehnične ukrepe, ki bodo zagotovili, da se v primerih, ko Eurojust po prejemu zahtevka popravi, zadržuje ali izbriše osebne podatke, samodejno vzpostavi seznam dobaviteljev in naslovi teh podatkov. V skladu s členom 20(5) Sklepa o Eurojustu upravljavec zagotovi, da so vsi, iz seznama, obveščeni o opravljenih spremembah osebnih podatkov.

Poglavje III

Varnost podatkov

Člen 23

Samodejni sistem upravljanja primerov

1. Eurojust uvede samodejni sistem upravljanja primerov, ki vključuje zbirko in začasne delovne datoteke ter seznem, kot jih določa člen 16 Sklepa o Eurojustu, za uporabo s strani nacionalnih članov pri obravnavi s primerom povezanih dejavnosti. Ta sistem vsebuje funkcionalnosti kot so upravljanje primerov, opis delovnega poteka, primerjava podatkov in varnost.

2. Sistem upravljanja primerov odobri Kolegij po posvetovanju s pooblaščencem za varstvo podatkov, Skupnim nadzornim organom in ustreznim osebjem Eurojusta in pri tem v celoti upošteva zahteve iz člena 22 in vse druge določbe Sklepa o Eurojustu.

3. Sistem upravljanja primerov omogoča nacionalnim članom ugotavljanje namena in posebnih ciljev, za katere je odprta začasna delovna datoteka, v okviru nalog iz sklepov 5, 6 in 7 Sklepa o Eurojustu.

Člen 24

Začasne delovne datoteke in seznam

1. Eurojust v skladu členoma 14(4) in 16 Sklepa o Eurojustu izdela seznam podatkov, ki se nanašajo na preiskave, in začasne delovne datoteke, ki prav tako vsebujejo osebne podatke. Seznam in začasne delovne datoteke so del sistema upravljanja primerov iz člena 23 in upoštevajo omejitve o obdelavi osebnih podatkov iz člena 15 Sklepa o Eurojustu.

2. Nacionalni člani so odgovorni za odpiranje novih začasnih delovnih datotek, povezanih s primeri, ki jih obravnavajo. Sistem upravljanja primerov vsaki novi odprti začasni delovni datoteki samodejno dodeli sklicno številko (identifikator).

3. Eurojust uvede samodejni sistem upravljanja primerov, ki omogoča nacionalnim članom varno shranjevanje osebnih podatkov, ki jih obdelujejo, v začasnih delovnih datotekah, ali jim dopušča, da omogočijo dostop do njih ali njihovih posameznih delov drugemu/im nacionalnemu/im članu/om, ki je/so vključen/i v primer, na katerega se datoteka nanaša. Sistem upravljanja primerov dovoljuje nacionalnim članom, da določijo posebne osebne in neosebne podatke, do katerih želijo omogočiti dostop drugemu/im nacionalnemu/im članu/om, pomočniku/om ali pooblaščenim članom osebja, ki so vključeni v obravnavo primera; prav tako jim dovoljuje, da izberejo tiste podatke, za katere želijo, da so vključeni v seznam v skladu s členoma 14 in 15 Sklepa o Eurojustu, in zagotavlja da so v seznam vključene vsaj naslednje postavke: sklic na začasno delovno datoteko vrsta kaznivega dejanja, države članice, mednarodne organizacije in telesa in/ali organi vključenih tretjih držav; vključevanje Evropske komisije ali organov in subjektov EU; cilji in status primera (odprt/zaprt).

4. Če nacionalni član omogoči dostop do začasne delovne datoteke ali do njenega dela enemu ali več vključenim nacionalnim članom, sistem upravljanja primerov zagotavlja, da imajo pooblaščeni uporabniki dostop do ustreznih delov datoteke, ne morejo pa spreminjati podatkov, ki jih je vnesel avtor. Vendar pa pooblaščeni uporabniki lahko dodajo ustrezne informacije v nov del začasnih delovnih datotek. Podobno lahko informacijo s seznama berejo vsi pooblaščeni uporabniki sistema, spreminja pa jo lahko samo avtor.

5. Sistem samodejno obvesti pooblaščenca za varstvo podatkov o nastanku vsake nove delovne datoteke, ki vsebuje osebne podatke, še zlasti o izrednih primerih, h katerim se pristopa v skladu s členom 15(3) Sklepa o Eurojustu. Sistem upravljanja primerov označi takšne podatke tako, da opomni osebo, ki je vnesla podatke v sistem, na obveznost hranjenja teh podatkov za omejeno časovno obdobje. Če se ti podatki nanašajo na priče ali žrtve iz člena 15(2) Sklepa o Eurojustu, sistem ne zabeleži teh informacij, če nista vsaj dva nacionalna člana sprejela odločitve o njihovi obdelavi.

6. Sistem za upravljanje primerov samodejno obvesti pooblaščenca za varstvo podatkov o izjemnih primerih, pri katerih se uporablja člen 15(4) Sklepa o Eurojustu. Kadar se ti podatki nanašajo na priče ali žrtve iz člena 15(2) Sklepa o Eurojustu, sistem ne zabeleži teh informacij, če Kolegij ni sprejel odločitve o njihovi obdelavi.

7. Sistem upravljanja primerov zagotavlja, da so lahko v seznamu zabeleženi samo podatki iz člena 15(1) (a) do (i) in (k) in člena 15(2) Sklepa o Eurojustu.

8. Informacije iz seznama morajo zadostne za uskladitev z nalogami Eurojusta in še zlasti s cilji iz člena 16(1) Sklepa o Eurojustu.

Člen 25

Datoteke z dnevnikom in revizijske sledi

1. Eurojust uvede ustrezne tehnične ukrepe za zagotovitev, da bodo vsi postopki obdelave, ki so bili izvedeni v zvezi z osebnimi podatki, zabeleženi. Sistem upravljanja primerov mora še zlasti zagotoviti, da se obdrži zapis o prenosu in prejemu podatkov iz člena 17(2) (b) Sklepa o Eurojustu za namene člena 19(3) Sklepa o Eurojustu. Takšen zapis zagotovlja, kot določa člen 22 Sklepa o Eurojustu, da je naknadno možno preveriti in ugotoviti, komu so bili preneseni osebni podatki in kateri osebni podatki so bili vneseni v sisteme za avtomatsko obdelavo podatkov ter kdo in kdaj je te podatke vnašal.

2. Pooblaščenec za varstvo podatkov redno pregleduje te zapise, da lahko pomaga nacionalnim članom in Kolegiju glede vseh vprašanj v zvezi z varstvom podatkov in vprimeru nepravilnosti izvede potrebna poizvedovanja. Če je potrebno, pooblaščenec za varstvo podatkov obvesti Kolegij in Skupni nadzorni organ po postopku iz člena 17(3) Sklepa o Eurojustu o vseh kršitvah varstva podatkov, ki so bile zabeležene v omenjenih zapisih. Pooblaščenec za varstvo podatkov zagotovi, da je po potrebi obveščen upravni direktor, ki lahko sprejme potrebne ukrepe znotraj uprave.

3. Pooblaščenec za varstvo podatkov omogoči Skupnemu nadzornemu organu neomejen dostop do zapisov iz člena 1, če to zahteva.

Člen 26

Dovoljeni dostop do osebnih podatkov

1. Eurojust sprejme ustrezne tehnične in organizacijske ukrepe, ki bodo zagotovili dostop do osebnih podatkov, ki jih v okviru svojih operativnih dejavnosti obdeluje Eurojust, za namen uresničitve ciljev Eurojusta samo nacionalnim članom in njihovi pomočnikom ter pooblaščenemu osebju Eurojusta.

2. Ti ukrepi v celoti upoštevajo namene, za katere so bili podatki zbrani in obdelovani, stanje tehnike, zahtevano raven varnosti zaradi občutljivosti dela, ki ga izvaja Eurojust, in zahteve iz člena 22 Sklepa o Eurojustu.

3. Vsak nacionalni član Eurojusta z dokazi utemelji politiko dostopa, ki jo je glede s primerom povezanih podatkov odobril v sklopu svojega nacionalnega urada, in o tem obvesti pooblaščenca za varstvo podatkov. Še zlasti nacionalni člani zagotovijo ustrezna skladna organizacijska navodila in primerno uporabo tehničnih in organizacijskih ukrepov, ki jim jih je dal na razpolago Eurojust.

4. Kolegij lahko odobri dostop do s primerom povezanih datotek tudi drugemu osebju Eurojusta, če je to potrebno zaradi opravljanja nalog Eurojusta.

Člen 27

Revizija in nadzor

1. Pooblaščenec za varstvo podatkov spremlja zakonitost in skladnost z določbami iz Sklepa o Eurojustu, tega poslovnika ali drugih predpisov o obdelavi osebnih podatkov s strani Eurojusta. V ta namen pooblaščenec za varstvo podatkov pomaga nacionalnim članom glede vprašanj, povezanih z varstvom osebnih podatkov in v okviru letnih pregledov preverja skladnost z zgoraj omenjenimi predpisi v Eurojustu. Pooblaščenec za varstvo podatkov poroča Kolegiju in skupnemu nadzornemu organu o rezultatih teh pregledov in o vseh drugih ustreznih dogajanjih znotraj Eurojusta. Pooblaščenec za varstvo podatkov zagotovi, da je po potrebi obveščen upravni direktor, ki lahko sprejme potrebne ukrepe znotraj uprave.

2. Skupni nadzorni organ izvaja nadzor in revizije v skladu s členom 23(7) Sklepa o Eurojustu.

Poglavje IV

Pretok podatkov tretjim osebam ali organizacijam

Člen 28

Pretok podatkov tretjim osebam ali organizacijam

1. Eurojust si prizadeva za uvedbo sporazumov o sodelovanju, ki vsebujejo primerne določbe glede izmenjave osebnih podatkov z vsemi sodelavci, s katerimi redno poteka izmenjava.

2. Brez poseganja v primere, pri katerih obstajajo takšni sporazumi o sodelovanju, Eurojust posreduje osebne podatke tretjim državam ali drugim subjektom iz člena 27(1) Sklepa o Eurojustu le v primeru, če so v skladu s Konvencijo o varstvu posameznikov pri avtomatski obdelavi osebnih podatkov, podpisano v Strasbourgu dne 28. januarja 1981, ali če je zagotovljena primerna raven varstva.

3. Odločitev, ki se nanaša na prenos nepogodbenicam Konvencije Sveta Evrope z dne 28. januarja 1981, sprejme(-jo) vključeni nacionalni član(-i) na osnovi ocene ustreznosti ravni varstva, ki jo naredi pooblaščenec za varstvo podatkov. Ustreznost ravni varstva je ocenjena ob upoštevanju okoliščin posameznega prenosa ali vrste prenosov. Še zlasti morajo biti pri ocenjevanju pregledani naslednji elementi: vrsta podatkov, namen in trajanje obdelave, za katero se podatki posredujejo, izvorna in namembna država, splošni in sektorski predpisi iz zakonodaje, ki se uporablja v zadevni državi ali organizaciji, tam uporabljani poklicni in varnostni predpisi, kot tudi zadostna zaščita, ki jo zagotovi prejemnik prenosa. Ta zaščita je lahko predvsem rezultat pisnih sporazumov, ki zavezujejo upravljavca, ki opravlja prenos, in prejemnika, ki ni pod pristojnostjo pogodbenice Konvencije. Ti sporazumi morajo vsebovati ustrezne elemente glede varstva podatkov. V primerih, pri katerih ocena ravni varstva povzroča težave, se pooblaščenec za varstvo podatkov pred oceno posebnega prenosa posvetuje s Skupnim nadzornim organom.

4. Vendar pa lahko nacionalni član, tudi v primeru, če pogoji iz prejšnjih odstavkov niso izpolnjeni, in v primeru izjemnih okoliščin iz člena 27(6) Sklepa o Eurojustu, posreduje podatke tretji državi z enim samim ciljem, to je sprejemom nujnih ukrepov za odpravo neposredne resne nevarnosti, ki ogroža osebo ali javno varnost. Nacionalni član zabeleži takšen izredni prenos v začasni delovni datoteki, ki je povezana s primerom, z navedbo razlogov za takšen prenos in o njem obvesti pooblaščenca za varstvo podatkov. Pooblaščenec za varstvo podatkov preveri, če se takšni prenosi res izvajajo samo v izrednih in nujnih primerih.

Poglavje V

Časovne omejitve za hrambo osebnih podatkov

Člen 29

Časovne omejitve za hrambo osebnih podatkov

1. Eurojust uvede ustrezne tehnične ukrepe, da zagotovi upoštevanje časovnih omejitev za hrambo osebnih podatkov iz člena 21 Sklepa o Eurojustu.

2. Sistem upravljanja primerov predvsem zagotavlja, da se vsaka tri leta po vnosu podatkov preveri potreba po njihovi hrambi v začasnih delovnih datotekah. Takšen pregled mora biti ustrezno dokumentiran v sistemu, vključno z razlogom za sprejeto odločitev, njegovi rezultati pa morajo biti samodejno sporočeni pooblaščencu za varstvo podatkov.

3. Sistem upravljanja primerov mora predvsem označiti podatke, ki so zabeleženi za omejeno časovno obdobje v skladu s členom 15(3) Sklepa o Eurojustu. Pri teh vrstah podatkov mora biti preučitev potrebe za zadržanje podatkov izvedena vsake tri mesece, dokumentirana pa mora biti tako, kot je določeno v odstavkih 1 in 2.

4. Glede odločitve o zadržanju podatkov za daljše obdobje se upravljavec po preverjanju, kadar je potrebno, posvetuje s Kolegijem in pooblaščencem za varstvo podatkov.

NASLOV IV

PREDPISI ZA POSTOPKE OBDELAVE PODATKOV, KI NISO POVEZANI S PRIMEROM

Poglavje I

Splošna načela

Člen 30

Zakonitost in nepristranskost obdelave

Osebni podatki morajo biti obdelani pošteno in zakonito. Osebni podatki se lahko obdelujejo samo, če:

(a) je obdelava potrebna zaradi skladnosti s pravno zavezo, ki ji je zavezan upravljavec, ali

(b) je obdelava potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali je treba na zahtevo posameznika, na katerega se nanašajo osebni podatki, izvesti ukrepe pred sklenitvijo pogodbe, ali

(c) je posameznik, na katerega se nanašajo osebni podatki, nedvoumno dal svojo privolitev, ali

(d) je obdelava potrebna za varstvo življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali

(e) je obdelava potrebna za namene zakonitih interesov upravljavca, razen v primeru, če imajo prednosti pred njimi osnovne pravice in svoboščine posameznika, na katerega se nanašajo podatki, in ta posameznik zahteva varstvo v skladu člena 4 tega poslovnika.

Člen 31

Omejitev namena

1. Osebni podatki se obdelujejo za posebne in natančno določene pravno utemeljene in zakonite namene in se kasneje dodatno obdelujejo samo, če to ni nezdružljivo z izhodiščnim namenom obdelave.

2. Osebni podatki, zbrani izključno za zagotovitev varnosti ali nadzora in upravljanja sistemov obdelave ali delovnih postopkov, se ne smejo uporabiti za noben drug namen, razen za preprečevanje, preiskovanje, odkrivanje in pregon težjih kaznivih dejanj.

Člen 32

Obdelava posebnih vrst podatkov

1. Obdelava osebnih podatkov, iz katerih so razvidni rasni ali etični izvor, politična mnenja, verska ali filozofska prepričanja in članstvo v sindikatih ter podatkov o zdravju, spolnem življenju ali obsodbah zaradi kaznivih dejanj je za namene, ki niso povezani s primerom, prepovedana.

2. Ta prepoved ne velja, če:

(a) je posameznik, na katerega se nanašajo osebni podatki, dal soglasje za obdelavo teh podatkov, ali

(b) je obdelava nujna zaradi skladnosti s posebnimi pravicami in pravnimi obveznostmi upravljavca, npr. z obveznostmi na področju davčne ali delovnopravne zakonodaje, ki se uporablja za upravljavca, ali, če je potrebno in se s tem pooblaščenec za varstvo podatkov strinja, je ustrezno zaščitena, ali

(c) je obdelava potrebna za varstvo življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge osebe, kadar je posameznik, na katerega se nanašajo osebni podatki, fizično ali pravno nesposoben dati svojo privolitev, ali

(d) se obdelava nanaša na podatke, ki jih posameznik, na katerega se nanašajo, javno objavil, ali je potrebna za uveljavljanje, izvajanje ali obrambo pravnih zahtevkov.

3. Podatki iz odstavka 1 se obdelujejo samo za namene, zaradi katerih so bili prvotno zbrani.

Člen 33

Izjeme glede pravice do obveščenosti posameznika, na katerega se nanašajo podatki

1. V okviru neoperativnega dela Eurojusta, so možne izjeme glede splošnega načela o obveščenosti posameznika, na katerega se osebni podatki nanašajo, če bi posredovanje teh informacij posamezniku, na katerega se podatki nanašajo, ogrožalo:

(a) pomemben gospodarski ali finančni interes države članice ali Evrospke unije, ali

(b) varstvo posameznika, na katerega se nanašajo osebni podatki, ali pravic in svoboščin drugih, ali

(c) državno varnost, javno varnost ali obrambo držav članic.

2. O takšnih izjemah mora biti takoj obveščen pooblaščenec za varstvo podatkov.

Člen 34

Uradno obvestilo pooblaščencu za varstvo podatkov

1. Vsak upravljavec vnaprej obvesti pooblaščenca za varstvo podatkov o vsakem postopku obdelave ali nizu takih postopkov, ki so namenjeni enemu samemu cilju ali več povezanim ciljem.

2. Informacije, ki jih mora posredovati, zajemajo:

(a) ime upravljavca in prikaz organizacijskih delov institucije ali organa, ki mu je zaupana obdelava osebnih podatkov za posamezni namen;

(b) namen ali namene obdelave;

(c) opis vrste ali vrst posameznikov, na katere se osebni podatki nanašajo, in podatkov ali vrst podatkov, ki se nanje nanašajo;

(d) pravno podlago postopka obdelave podatkov;

(e) prejemnike ali vrste prejemnikov, ki bi jim lahko bili posredovani podatki; ter

(f) splošni opis, ki omogoča predhodno oceno ustreznosti varnostnih ukrepov.

3. O vsaki bistveni spremembi, ki vpliva na informacije iz prejšnjega odstavka, je treba takoj uradno obvestiti uradno pooblaščenca za varstvo podatkov.

Člen 35

Katalog

1. Pooblaščenec za varstvo podatkov vodi katalog uradnih obvestil o postopkih obdelave v skladu s prejšnjo določbo.

2. Katalogi vsebujejo vsaj tiste informacije, ki so navedene v členu 34(2)(a) do (f).

3. Pooblaščenec za varstvo podatkov omogoči Skupnemu nadzornemu organu dostop do zapisov iz člena 1, če to zahteva.

Člen 36

Obdelava osebnih podatkov v imenu upravljavcev

1. Kadar postopek obdelave v imenu upravljavca izvaja zunanji obdelovalec, upravljavec izbere obdelovalca, ki zagotovi zadostna jamstva v zvezi s tehničnimi in organizacijskimi varnostnimi ukrepi, določenimi v členu 22 Sklepa o Eurojustu, ter vsemi nadaljnimi ustreznimi dokumenti, in zagotovi skladnost temi ukrepi.

2. Če postopek obdelave izvaja zunanji obdelovalec, ga ureja pogodba ali pravni predpis, ki obdelovalca zavezuje upravljavcu in zlasti določa, da:

(a) obdelovalec deluje samo po navodilih upravljavca, ter

(b) obveznosti v zvezi z zaupnostjo in varnostjo, ki jih določata Sklep o Eurojustu in ta poslovnik, morajo veljati tudi za obdelovalca, razen če na podlagi člena 16 ali druge alinee člena 17(3), Direktive 95/46/ES z dne 24. oktobra 1995 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov (1) obdelovalca glede zaupnosti in varnosti že obvezuje nacionalna zakonodaja ene od držav članic.

3. Zaradi dokazovanja morajo biti deli pogodbe ali pravnega akta, ki se nanaša na varstvo podatkov, in zahteve v zvezi z zaupnostjo in varnostnimi ukrepi v pisni ali drugi enakovredni obliki.

Člen 37

Samodejne posamezne odločitve

Posameznik, na katerega se nanašajo osebni podatki, ima pravico do tega, da se nanj ne nanaša odločitev, ki ima v zvezi z njim pravne učinke ali nanj pomembno vpliva in ki temelji samo na avtomatizirani obdelavi podatkov, namenjenih ovrednotenju posameznih osebnih vidikov v zvezi z njim, kot na primer njegova uspešnost pri delu, zanesljivost ali vedenje; to ne velja v primeru, če je odločitev izrecno odobrena skladno z nacionalno ali evropsko zakonodajo ali jo je po potrebi odobril pooblaščenec za varstvo podatkov. V vsakem primeru pa je treba sprejeti ukrepe za zaščito zakonitih interesov posameznika, na katerega se nanašajo osebni podatki, kot so postopki, v katerih lahko izrazi svoje stališče ali možnost, da razume potek postopka obdelave.

Poglavje II

Notranja pravila glede varstva osebnih podatkov in zasebnosti v okviru notranjih telekomunikacijskih omrežij

Člen 38

Področje uporabe

1. To poglavje vsebuje predpise, ki ne posegajo v prejšnje člene, in se uporabljajo pri obdelavi osebnih podatkov v zvezi z uporabo in upravljanjem telekomunikacijskih omrežij ali terminalske opreme, ki deluje pod nadzorom Eurojusta.

2. Za namene predpisov iz tega poglavja, „uporabnik“ pomeni vsako fizično osebo, ki uporablja telekominukacijsko omrežje ali terminalsko opremo, ki deluje pod nadzorom Eurojusta.

Člen 39

Varnost

1. Eurojust sprejme ustrezne tehnične in organizacijske ukrepe za zaščito varne uporabe telekomunikacijskih omrežij in terminalske opreme (računalniki, strežniki, strojna in programska oprema) po potrebi skupaj s ponudniki javno dostopnih telekomunikacijskih storitev ali ponudniki javnih telekomunikacijskih omrežij. Ob upoštevanju stanja tehnike in stroškov za izvedbo, morajo ti ukrepi zagotoviti raven varnosti, ki ustreza predvidenemu tveganju.

2. V primeru kateregakoli posebnega tveganja glede ogrožanja varnosti mreže in terminalske opreme Eurojust obvesti uporabnike o obstoju tega tveganja in o vseh možnih pravnih sredstvih in alternativnih načinih komunikacije.

Člen 40

Zaupnost komunikacij

Eurojust zagotovi zaupnost komunikacij preko telekomunikacijskih omrežij in terminalske opreme v skladu z zakonodajo Skupnosti.

Člen 41

Podatki o prometu in zaračunavanju storitev

1. Podatki o prometu v zvezi z uporabniki, ki so v obdelavi zaradi vzpostavitve klicev in drugih zvez preko telekomunikacijskega omrežja, morajo biti izbrisani ali ostati anonimni po zaključku klica ali druge povezave.

2. Izjeme pri tem splošnem načelu (kot npr. nujnost hranjenja nekaterih podatkov o prometu, če so povezani z postopkom prijave v sistem, potrebnega za določene datoteke ali zaradi zaračunavanja zasebnih klicev) so dovoljene le v primeru, če so predvidene v notranjih predpisih, ki jih sprejme Eurojust po posvetovanju s pooblaščencem za varstvo podatkov. Če pooblaščenec za varstvo podatkov meni, da te izjeme niso zakonite ali ustrezne, se je treba posvetovatis s Skupnim nadzornim organom.

3. Obdelavo podatkov o prometu in zaračunavanju storitev izvajajo samo osebe, ki se ukvarjajo z zaračunavanjem storitev, s prometom ali vodenjem proračuna.

Člen 42

Imeniki uporabnikov

1. Osebni podatki, ki jih vsebujejo natisnjeni ali elektronski imeniki uporabnikov, ter dostop do takih imenikov, so omejeni na tisto, kar je nujno potrebno za določene namene imenika.

2. Ti imeniki so dostopni samo uporabnikom Eurojusta samo za notranjo uporabo ali v drugih ustreznih medinstitucionalnih imenikih.

Poglavje III

Posebni členi

Člen 43

Dodatni predpisi

Če je potrebno, bo Europol popravil dodatne predpise glede obdelave osebnih podatkov v postopkih, ki niso povezani s primerom. O njih mora obvestiti Skupni nadzorni organ in jih objaviti v ločenih internih priročnikih.

NASLOV VI

DRUGE DOLOČBE

Člen 44

Pregled tega poslovnika

1. Ta poslovnik je treba redno pregledovati, da se ugotovi, če so potrebne spremembe. Vse spremembe tega poslovnika morajo potekati v skladu s predpisi, določenimi za njegovo odobritev v Sklepu o Eurojustu.

2. Pooblaščenec za varstvo podatkov obvesti predsednika Kolegija in Skupni nadzorni organ, če meni, da so v tem poslovniku potrebne spremembe.

3. Skupni nadzorni odbor posreduje Kolegiju predloge in priporočila glede sprememb tega poslovnika.

Člen 45

Začetek veljavnosti in uporaba

1. Ta poslovnik začne veljati dan po dokončni odobritvi Sveta.

2. Sklep se objavi v Uradnem listu Evropske unije.

(1) UL L 281, 23.11.1995, str.31.