SKLEP UPRAVNEGA ODBORA EUROPOLA

z dne 9. junija 2020

o notranjih pravilih glede omejitev nekaterih pravic posameznikov, na katere se nanašajo osebni podatki, v zvezi z obdelavo upravnih osebnih podatkov s strani Europola

UPRAVNI ODBOR EUROPOLA JE –

ob upoštevanju Pogodbe o delovanju Evropske unije,

ob upoštevanju Uredbe (EU) 2016/794 Evropskega parlamenta in Sveta z dne 11. maja 2016 o Agenciji Evropske unije za sodelovanje na področju preprečevanja, odkrivanja in preiskovanja kaznivih dejanj (Europol) ter nadomestitvi in razveljavitvi sklepov Sveta 2009/371/PNZ, 2009/934/PNZ, 2009/935/PNZ, 2009/936/PNZ in 2009/968/PNZ (1) ter zlasti člena 46 Uredbe,

ob upoštevanju Uredbe (EU) 2018/1725 Evropskega parlamenta in Sveta z dne 23. oktobra 2018 o varstvu posameznikov pri obdelavi osebnih podatkov v institucijah, organih, uradih in agencijah Unije in o prostem pretoku takih podatkov ter o razveljavitvi Uredbe (ES) št. 45/2001 in Sklepa št. 1247/2002/ES (2) in zlasti člena 25 Uredbe,

ob upoštevanju smernic glede člena 25 Uredbe (EU) 2018/1725 in notranjih predpisov Evropskega nadzornika za varstvo podatkov (ENVP) iz decembra 2018,

ob upoštevanju pripomb ENVP k osnutku sklepa upravnega odbora Europola o notranjih pravilih glede omejitev nekaterih pravic posameznikov, na katere se nanašajo osebni podatki, v zvezi z obdelavo osebnih podatkov s strani Europola z dne 14. januarja 2020,

ob upoštevanju naslednjega:

(1) Europol obdeluje operativne podatke in neoperativne (upravne) podatke, ki niso povezani s kazenskimi preiskavami, kot so osebni podatki o osebju Europola, ponudnikih storitev ali obiskovalcih. Za obdelavo operativnih podatkov se uporabljajo določbe uredbe o Europolu, za neoperativne (upravne) podatke pa velja Uredba (EU) 2018/1725.

(2) V skladu s členom 25(1) Uredbe (EU) 2018/1725 bi morale omejitve pri uporabi členov 14 do 22, 35 in 36 ter člena 4 navedene uredbe, če njegove določbe ustrezajo pravicam in obveznostim iz členov 14 do 22, temeljiti na notranjih predpisih, ki jih sprejme Europol, kadar ti ne temeljijo na pravnih aktih, sprejetih na podlagi Pogodb.

(3) Ti notranji predpisi, vključno z določbami o oceni nujnosti in sorazmernosti omejitve, se ne bi smeli uporabljati, kadar pravni akt, sprejet na podlagi Pogodb, določa omejitev pravic posameznikov, na katere se nanašajo osebni podatki.

(4) Europol lahko v okviru svojega delovanja izvaja upravne poizvedbe, preddisciplinske in disciplinske postopke ter postopke začasne odstranitve z delovnega mesta. Upravne poizvedbe mora izvajati služba za notranje preiskave, ki predstavlja tudi organ, pooblaščen za sklepanje pogodb o zaposlitvi iz člena 6 Pogojev za zaposlitev pred disciplinskim odborom na podlagi člena 86 Kadrovskih predpisov za uradnike Evropske unije (3) in v skladu s sklepom upravnega odbora Europola o določitvi splošnih izvedbenih določb o izvajanju upravnih poizvedb in disciplinskih postopkov (EDOC #417349).

(5) Člani osebja Europola morajo poročati o morebitnih nezakonitih dejavnostih, vključno z zlorabami ali korupcijo, ki škodijo interesom Unije, ali o ravnanju v zvezi z opravljanjem poklicnih nalog, ki lahko pomeni hudo kršenje obveznosti uradnikov Unije. To je podrobneje pojasnjeno v smernicah za osebje Europola o ureditvah v zvezi z prijavljanjem nepravilnosti (EDOC #903736).

(6) Europol je določil politiko preprečevanja in učinkovite obravnave dejanskih ali potencialnih primerov psihološkega ali spolnega nadlegovanja na delovnem mestu, kot je določena v sklepu upravnega odbora Europola o politiki o varstvu človekovega dostojanstva ter preprečevanju psihičnega in spolnega nadlegovanja (EDOC #958626). V tem sklepu je določen neformalni postopek, v katerem se lahko domnevna žrtev nadlegovanja obrne na zaupnike Europola.

(7) Pooblaščena oseba za varstvo podatkov lahko v skladu s členom 13 sklepa upravnega odbora Europola, ki določa izvedbena pravila v zvezi s pooblaščeno osebo za varstvo podatkov (EDOC #845687), izvaja preiskave v zvezi z zadevo pritožbe.

(8) Europol lahko izvaja preglede svojih dejavnosti, za kar je zadolžen oddelek Europola za notranjo revizijo, ki ga je ustanovil upravni odbor na svojem sestanku 1. maja 2017 na podlagi člena 11(1) uredbe o Europolu in je odgovoren izključno temu organu.

(9) V okviru zgoraj navedenih nalog lahko Europol drugim institucijam, organom, uradom in agencijam Unije zagotavlja pomoč, jo od njih prejema ter z njimi sodeluje, kot je določeno v ustreznih sporazumih o ravni storitve, memorandumih o soglasju in sporazumih o sodelovanju.

(10) Glede na Uredbo (EU) 2018/1725 se lahko pojavi potreba po uskladitvi pravic posameznikov, na katere se nanašajo osebni podatki, s potrebami prej navedenih dejavnosti ob sočasnem spoštovanju temeljnih pravic in svoboščin drugih posameznikov, na katere se nanašajo osebni podatki. V ta namen člen 25 Uredbe (EU) 2018/1725 pod strogimi pogoji določa možnost omejitve uporabe členov 14 do 20, členov 35 in 36 ter člena 4, če se njegove določbe ujemajo s pravicami in obveznostmi, določenimi v členih 14 do 20. V tem primeru je treba sprejeti notranja pravila, po katerih lahko Europol v skladu z istim členom Uredbe (EU) 2018/1725 te pravice omeji.

(11) To lahko zlasti velja pri zagotavljanju informacij o obdelavi osebnih podatkov posamezniku, na katerega se nanašajo osebni podatki, v fazi predhodne ocene upravne poizvedbe, pred morebitno opustitvijo primera ali v fazi preddisciplinskega postopka. V določenih okoliščinah lahko predložitev takih informacij resno vpliva na zmožnost službe za notranje preiskave, da učinkovito izvede poizvedbo, kadar na primer obstaja tveganje, da bi zadevna oseba uničila dokaze ali skušala vplivati na morebitne priče, preden so zaslišane. Poleg tega bi moral Europol morda zaščititi njihove pravice in svoboščine ter pravice in svoboščine drugih vpletenih oseb.

(12) Lahko bi se izkazalo, da je treba zaščititi identiteto priče ali prijavitelja kršitev, ki je prosil, da ostane nerazkrit. Da Europol zaščiti pravice in svoboščine prijavitelja kršitev ter drugih vpletenih oseb, se v takem primeru lahko odloči omejiti dostop do njihovih podatkov o identiteti, izjav in drugih osebnih podatkov.

(13) Lahko bi se izkazalo, da je treba zaščititi identiteto člana osebja, ki se je obrnil na zaupnike Europola v postopku prijave nadlegovanja. Da bi Europol zaščitil pravice in svoboščine domnevne žrtve, domnevnega nadlegovalca in drugih vpletenih oseb, se v takem primeru lahko odloči omejiti dostop do podatkov o identiteti, izjav in drugih osebnih podatkov.

(14) Pri obravnavanju poizvedb o dejavnostih obdelave, ki se izvajajo v Europolu, bo pooblaščena oseba za varstvo podatkov v določenih primerih morda morala ohraniti učinkovitost svojih poizvedb ter po potrebi zaščititi vpletene osebe, njihove pravice in svoboščine.

(15) Europol lahko uporabi omejitve le, če te upoštevajo bistvo temeljnih pravic in svoboščin ter če predstavljajo nujno potreben in sorazmeren ukrep v demokratični družbi. Europol mora utemeljiti razloge za te omejitve.

(16) Na podlagi načela odgovornosti mora Europol voditi evidenco o uporabi omejitev.

(17) Pri obdelavi upravnih osebnih podatkov, izmenjanih z drugimi organizacijami v okviru svojih nalog, se mora Europol posvetovati s temi organizacijami o možnih ustreznih razlogih za uvedbo omejitev ter nujnosti in sorazmernosti omejitev, razen če bi to ogrozilo dejavnosti Europola.

(18) Člen 25(6) Uredbe (EU) 2018/1725 zavezuje upravljavca podatkov, da posameznike, na katere se nanašajo osebni podatki, obvesti o glavnih razlogih, ki so podlaga za uporabo omejitev, in o njihovi pravici do vložitve pritožbe pri Europolu.

(19) V skladu s členom 25(8) Uredbe (EU) 2018/1725 lahko Europol preloži, opusti ali zavrne posredovanje informacij o razlogih za uporabo omejitve posamezniku, na katerega se nanašajo osebni podatki, če bi to lahko kakor koli izničilo učinek omejitve.

(20) Europol mora za vsak primer posebej in v sodelovanju s pooblaščeno osebo za varstvo podatkov oceniti, ali bi sporočanje omejitve izničilo njen učinek.

(21) Da bi pooblaščena oseba za varstvo podatkov zagotovila čim večjo zaščito pravic in svoboščin posameznikov, na katere se nanašajo osebni podatki, ter v skladu s členom 44(1) Uredbe (EU) 2018/1725 mora biti pravočasno obveščena o uporabljenih omejitvah in mora preveriti skladnost s tem sklepom.

(22) Zgoraj navedene omejitve se uporabljajo brez poseganja v morebitno uporabo določb členov 16(5) in 17(4) Uredbe (EU) 2018/1725, ki se nanašata na pravico do informacij, če podatki niso pridobljeni od posameznika, na katerega se nanašajo osebni podatki, in na pravico do dostopa posameznika, na katerega se nanašajo osebni podatki –

SPREJEL NASLEDNJI SKLEP:

Člen 1 Vsebina in obseg Ta sklep določa predpise glede pogojev, pod katerimi lahko Europol na podlagi člena 25 Uredbe (EU) 2018/1725 omeji uporabo členov 14 do 20, členov 35 in 36 ter člena 4.

Člen 2 Opredelitev upravljavca 1. Upravljavec postopkov obdelave je Europol, ki ga zastopa izvršni direktor, ki lahko funkcijo upravljavca prenese. 2. Posameznike, na katere se nanašajo osebni podatki, se o pooblaščenem upravljavcu obvesti z izjavami ali evidencami o varstvu podatkov, objavljenimi na spletišču in/ali intranetu Europola.

Člen 3 Omejitve 1. Europol pri izvajanju svojih nalog v zvezi s pravicami posameznikov, na katere se nanašajo osebni podatki, v skladu z Uredbo (EU) 2018/1725, prouči, ali velja katera od izjem iz navedene uredbe. 2. V skladu s členom 25(1) Uredbe (EU) 2018/1725 lahko Europol omeji uporabo členov 14 do 20, členov 35 in 36 ter člena 4 Uredbe, če so njegove določbe skladne s pravicami in obveznostmi, določenimi v členih 14 do 20, kadar: (a) služba za notranje preiskave opravlja predhodne preiskave in upravne poizvedbe, disciplinski odbor izvaja disciplinske postopke na podlagi Kadrovskih predpisov za uradnike Evropske unije ter sklepa upravnega odbora Europola o določitvi splošnih izvedbenih določb o izvajanju upravnih poizvedb in disciplinskih postopkov. Ustrezne omejitve lahko temeljijo na členu 25(1)(c), (g) in (h) Uredbe (EU) 2018/1725; (b) v okviru postopkov prijavljanja nepravilnosti, da bi zagotovili, da lahko člani osebja Europola zaupno poročajo o dejstvih, kadar menijo, da obstajajo resne nepravilnosti, kot so navedene v smernicah o ureditvah prijavljanja nepravilnosti. Ustrezne omejitve lahko temeljijo na členu 25(1)(h) Uredbe (EU) 2018/1725; (c) v formalnih in neformalnih postopkih za primere nadlegovanja, ki zagotavljajo, da lahko člani osebja Europola zaupno poročajo zaupnikom v okviru postopka prijave nadlegovanja, kot je določeno v sklepu upravnega odbora Europola o politiki o varstvu človekovega dostojanstva ter preprečevanju psihičnega in spolnega nadlegovanja. Ustrezne omejitve lahko temeljijo na členu 25(1)(h) Uredbe (EU) 2018/1725; (d) pooblaščena oseba za varstvo podatkov opravlja preiskave o dejavnostih obdelave, ki se izvajajo v Europolu, v skladu s členom 13 sklepa upravnega odbora Europola, ki določa izvedbena pravila v zvezi s pooblaščeno osebo za varstvo podatkov. Ustrezne omejitve lahko temeljijo na členu 25(1)(c), (g) in (h) Uredbe (EU) 2018/1725; (e) oddelek za notranjo revizijo izvaja notranje revizije v zvezi z vsemi dejavnostmi in oddelki v Europolu. Ustrezne omejitve lahko temeljijo na členu 25(1)(c), (g) in (h) Uredbe (EU) 2018/1725; (f) Europol zagotavlja drugim institucijam, organom, uradom in agencijam Unije pomoč, jo od njih prejema ter z njimi sodeluje v okviru zgoraj navedenih nalog, kot je določeno v ustreznih sporazumih o ravni storitve, memorandumih o soglasju in sporazumih o sodelovanju. Ustrezne omejitve lahko temeljijo na členu 25(1)(c), (d), (g) in (h) Uredbe (EU) 2018/1725. 3. V kategorije podatkov so vključeni identifikacijski podatki fizične osebe, kontaktne informacije, poklicne vloge in naloge, informacije o ravnanju in delovanju v zasebnem in poklicnem življenju ter finančni podatki. 4. Pri vseh omejitvah mora biti upoštevano bistvo temeljnih pravic in svoboščin, omejitve pa morajo biti nujen in sorazmeren ukrep v demokratični družbi. 5. Pred uporabo omejitev je treba za vsak primer posebej izvesti preizkus nujnosti in sorazmernosti. Omejitve morajo biti omejene na to, kar je nujno potrebno za doseganje določenih ciljev. 6. Upravljavec podatkov mora omejitve ustrezno spremljati ter redno izvajati preglede s preizkusom nujnosti in sorazmernosti vsakih šest mesecev po njihovem sprejetju v posvetovanju s pooblaščeno osebo za varstvo podatkov. 7. Omejitve se odpravijo takoj, ko prenehajo okoliščine, ki jih upravičujejo. Upravljavec podatkov v posvetovanju s pooblaščeno osebo za varstvo podatkov zagotovi informacije v zvezi s posameznikom, na katerega se nanašajo osebni podatki, skupaj z informacijo o možnosti, da lahko kadar koli vloži pritožbo pri ENVP ali da lahko uveljavlja pravno sredstvo na Sodišču Evropske unije. 8. Europol mora za namene odgovornosti predložiti evidenco, v kateri so opisani razlogi za uporabljene omejitve in v kateri je navedeno, kateri od razlogov, naštetih v odstavku 1, veljajo, ter rezultat preizkusa nujnosti in sorazmernosti. Ta evidenca mora biti del registra, ki je temu namenjen in ga vodi pooblaščena oseba za varstvo podatkov, ter mora biti na zahtevo dan na voljo ENVP. Redno mora biti na voljo poročilo o uporabi člena 25 Uredbe (EU) 2018/1725. 9. Pri obdelavi upravnih osebnih podatkov, izmenjanih z drugimi organizacijami v okviru svojih nalog, se Europol posvetuje s temi organizacijami o možnih ustreznih razlogih za uvajanje omejitev ter o nujnosti in sorazmernosti omejitev, razen če bi to ogrozilo dejavnosti Europola.

Člen 4 Tveganja za pravice in svoboščine posameznikov, na katere se nanašajo osebni podatki Ocena tveganj za pravice in svoboščine posameznikov, na katere se nanašajo osebni podatki in katerih osebni podatki so lahko predmet omejitev, ter obdobje njihove hrambe sta navedena v evidenci ustreznih dejavnosti obdelav v skladu s členom 31 Uredbe (EU) 2018/1725 in, če je to smiselno, v ustrezni oceni učinka v zvezi z varstvom podatkov na podlagi člena 39 navedene uredbe.

Člen 5 Obdobja hrambe in zaščitni ukrepi 1. Europol uvede zaščitne ukrepe za preprečevanje zlorabe ali nezakonitega dostopa ali prenosa osebnih podatkov, za katere lahko veljajo omejitve. Ti zaščitni ukrepi vključujejo tehnične in organizacijske ukrepe za varovanje osebnih podatkov pred naključnim ali nezakonitim uničenjem, naključno izgubo ali nepooblaščenim razkritjem, spremembo in dostopom ali drugimi nezakonitimi oblikami obdelave. Zaščitni ukrepi vključujejo: (a) jasno opredelitev vlog, odgovornosti in postopkovnih korakov; (b) če je primerno, varno elektronsko okolje, ki nepooblaščenim osebam preprečuje nezakonit ali nenameren dostop do elektronskih podatkov ali njihov prenos; (c) če je primerno, varno hrambo in obdelavo papirnih dokumentov; (d) ustrezno spremljanje omejitev in redni pregled njihove uporabe. 2. Obdobje hrambe osebnih podatkov, za katere lahko veljajo omejitve, ni daljše, kot je potrebno in primerno za namene, za katere se podatki obdelujejo. V nobenem primeru ne presega obdobja hrambe, določenega v izjavah o varstvu podatkov, izjavah o varovanju zasebnosti ali zgoraj navedenih evidencah.

Člen 6 Informacije, ki se posredujejo pooblaščeni osebi za varstvo podatkov, in pregled, ki ga izvede ta oseba 1. S pooblaščeno osebo za varstvo podatkov se je treba brez nepotrebnega odlašanja posvetovati vsakič, ko namerava upravljavec podatkov uporabiti omejitve pravic posameznika, na katerega se nanašajo osebni podatki, v skladu s tem sklepom, omogočen pa ji mora biti tudi dostop do evidence, ki vsebuje oceno nujnosti in sorazmernosti, ter vseh dokumentov, ki so podlaga za stvarne in pravne elemente. 2. Vključitev pooblaščene osebe za varstvo podatkov v postopek določanja omejitev, vključno z izmenjavo informacij, se dokumentira v ustrezni obliki.

Člen 7 Obveščanje posameznikov, na katere se nanašajo osebni podatki, o omejitvah njihovih pravic 1. Europol objavi na Europolovem intranetu izjave o varstvu podatkov, s katerimi vse posameznike, na katere se nanašajo osebni podatki, obvesti o dejavnostih obdelave, ki vključujejo obdelavo njihovih osebnih podatkov, za katere lahko veljajo omejitve v skladu s temi predpisi. 2. Upravljavci podatkov posamično obvestijo posameznike, na katere se nanašajo osebni podatki, ki so stranke v postopku, preiskovanci v postopku ali priče, o njihovih pravicah in morebitnih omejitvah.

Člen 8 Pravica do informacij, ki se zagotovijo posameznikom, na katere se nanašajo osebni podatki, in sporočanje o kršitvah podatkov 1. Kadar Europol v okviru dejavnosti, navedenih v tem sklepu, v celoti ali delno omeji pravice iz členov 14 do 16 in člena 35 Uredbe (EU) 2018/1725, morajo biti posamezniki, na katere se nanašajo osebni podatki, obveščeni o glavnih razlogih, ki so podlaga za uporabo omejitve, in o svoji pravici do vložitve pritožbe pri ENVP, pa tudi o pravici do uveljavitve pravnega sredstva pri Sodišču Evropske unije. 2. Europol lahko preloži, opusti ali zavrne predložitev informacij o razlogih za omejitev iz odstavka 1, če bi to izničilo učinek omejitve. To oceno je treba izvesti pri vsakem primeru posebej v sodelovanju s pooblaščeno osebo za varstvo podatkov.

Člen 9 Pravica posameznika, na katerega se nanašajo osebni podatki, do dostopa, popravka, izbrisa in omejitve obdelave 1. Kadar Europol v okviru dejavnosti, navedenih v tem sklepu, v celoti ali delno omeji pravico dostopa do osebnih podatkov, pravico do popravka, izbrisa in omejitve obdelave, kot so navedene v členih 17 do 20 Uredbe (EU) 2018/1725, mora zadevnega posameznika, na katerega se nanašajo osebni podatki, v svojem odgovoru na njegovo zahtevo obvestiti o glavnih razlogih, ki so podlaga za uporabo omejitve, in o možnosti vložitve pritožbe pri ENVP ali o pravici do uveljavitve pravnega sredstva pri Sodišču Evropske unije. 2. Europol lahko preloži, opusti ali zavrne predložitev informacij o razlogih za omejitev, navedeno v odstavku 1, če bi to izničilo učinek omejitve. To oceno je treba izvesti pri vsakem primeru posebej v sodelovanju s pooblaščeno osebo za varstvo podatkov.

Člen 10 Zaupnost elektronskih komunikacij 1. Europol lahko v izjemnih okoliščinah ter v skladu z določbami in utemeljitvami Direktive 2002/58/ES Evropskega parlamenta in Sveta (4) omeji pravico do zaupnosti elektronskih komunikacij, kot je navedena v členu 36 Uredbe (EU) 2018/1725. 2. Če Europol omeji pravico do zaupnosti elektronskih komunikacij, mora zadevnega posameznika, na katerega se nanašajo osebni podatki, v svojem odgovoru na njegovo zahtevo obvestiti o glavnih razlogih, ki so podlaga za uporabo omejitve, in možnosti vložitve pritožbe pri ENVP ali o pravici do uveljavitve pravnega sredstva pri Sodišču Evropske unije. 3. Europol lahko preloži, opusti ali zavrne predložitev informacij o razlogih za omejitev, navedeno v odstavkih 1 in 2, če bi to izničilo učinek omejitve. To oceno je treba izvesti pri vsakem primeru posebej v sodelovanju s pooblaščeno osebo za varstvo podatkov.

Člen 11 Začetek veljavnosti Ta sklep začne veljati dvajseti dan po objavi v Uradnem listu Evropske unije.

V Haagu, 9. junija 2020 Za upravni odbor Andrei LINTA Predsednik

(1) UL L 135, 24.5.2016, str. 53.

(2) UL L 295, 21.11.2018, str. 39.

(3) Kadrovski predpisi za uradnike Evropske unije, določeni z Uredbo Sveta (EGS, Euratom, ESPJ) št. 259/68 (UL L 56, 4.3.1968, str. 1).

(4) Direktiva 2002/58/ES Evropskega parlamenta in Sveta z dne 12. julija 2002 o obdelavi osebnih podatkov in varstvu zasebnosti na področju elektronskih komunikacij (Direktiva o zasebnosti in elektronskih komunikacijah) (UL L 201, 31.7.2002, str. 37).