SKLEP KOMISIJE (EU) 2019/165

z dne 1. februarja 2019

o določitvi notranjih pravil glede zagotavljanja informacij posameznikom, na katere se nanašajo osebni podatki, in omejevanja nekaterih njihovih pravic do varstva podatkov s strani Komisije v okviru upravnih preiskav, preddisciplinskih in disciplinskih postopkov ter postopkov začasne odstranitve z delovnega mesta

EVROPSKA KOMISIJA JE –

ob upoštevanju Pogodbe o delovanju Evropske unije in zlasti člena 249(1) Pogodbe,

ob upoštevanju naslednjega:

(1) Komisija izvaja upravne preiskave, preddisciplinske in disciplinske postopke ter postopke začasne odstranitve z delovnega mesta na podlagi člena 86 Kadrovskih predpisov za uradnike Evropske unije (1) ter v skladu s Prilogo IX h kadrovskim predpisom in Sklepom Komisije C(2004) 1588 (2). Navedene naloge so zlasti v pristojnosti Preiskovalnega in disciplinskega urada Komisije („IDOC“), ki je direktorat, priključen Generalnemu direktoratu za človeške vire in varnost. Disciplinski postopki lahko vključujejo preiskave, ki jih izvaja disciplinska komisija Komisije v skladu s členom 17 Priloge IX h kadrovskim predpisom.

(2) V okviru teh dejavnosti zadevne službe Komisije zbirajo in obdelujejo zadevne informacije. Te informacije vključujejo osebne podatke, zlasti identifikacijske in kontaktne podatke ter podatke o vedenju. Zadevne službe Komisije osebne podatke posredujejo drugim službam Komisije na podlagi potrebe po seznanitvi s podatki.

(3) Osebni podatki se hranijo v varnem fizičnem in elektronskem okolju, da se prepreči nezakonit dostop ali prenos podatkov osebam, ki nimajo potrebe po seznanitvi z njimi. Po koncu obdelave se podatki hranijo v skladu z veljavnimi pravili Komisije (3).

(4) Komisija mora pri opravljanju svojih nalog spoštovati pravice fizičnih oseb v zvezi z obdelavo osebnih podatkov, ki jih priznavata člen 8(1) Listine Evropske unije o temeljnih pravicah in člen 16(1) Pogodbe, ter pravice na podlagi Uredbe (EU) 2018/1725 Evropskega parlamenta in Sveta (4), ki je nadomestila Uredbo (ES) št. 45/2001 Evropskega parlamenta in Sveta (5). Hkrati mora Komisija upoštevati stroga pravila o zaupnosti in poklicni skrivnosti ter zagotoviti spoštovanje procesnih pravic zadevnih oseb in prič, zlasti domneve nedolžnosti zadevne osebe.

(5) V nekaterih okoliščinah je treba uskladiti pravice, ki jih imajo posamezniki, na katere se nanašajo osebni podatki, na podlagi Uredbe (EU) 2018/1725, s potrebo po učinkovitosti upravnih preiskav, preddisciplinskih in disciplinskih postopkov ter postopkov začasne odstranitve z delovnega mesta, ob tem pa v celoti spoštovati temeljne pravice in svoboščine drugih posameznikov, na katere se nanašajo osebni podatki. V ta namen člen 25(1)(c), (g) in (h) Uredbe (EU) 2018/1725 Komisiji omogoča omejitev uporabe členov 14 do 17, 19, 20 in 35 ter načela preglednosti, določenega v členu 4(1)(a), kolikor njegove določbe ustrezajo pravicam in obveznostim iz členov 14 do 17, 19, 20 in 35 navedene uredbe.

(6) To lahko velja zlasti za zagotavljanje informacij o obdelavi osebnih podatkov zadevni osebi na začetku upravne preiskave. Zagotavljanje takih informacij bi lahko vplivalo na zmožnost Komisije za izvajanje upravne preiskave, na primer zato, ker bi lahko zadevna oseba uničila dokaze, preden bi jih Komisija preučila, ali skušala vplivati na morebitne priče, preden bi bile te zaslišane. Podobno bi lahko zagotavljanje dostopa do osebnih podatkov v fazah postopka, v katerih zadevna oseba nima dostopa do spisa, na primer med predhodno oceno ali upravno preiskavo, razkrilo informacije, ki bi lahko negativno vplivale na izvedbo upravne preiskave. V obeh primerih je morda treba omejiti pravice zadevne osebe, da se zagotovi funkcija spremljanja, pregledovanja ali urejanja, povezana z izvajanjem javne oblasti, kadar gre za pomemben cilj v splošnem javnem interesu Unije, in sicer za zagotavljanje, da osebje Komisije spoštuje svoje zakonske obveznosti in ravna etično.

(7) Pravico zadevne osebe do dostopa do osebnih podatkov je morda treba omejiti tudi, kadar bi se zaradi takega dostopa razkrile informacije o priči ali žvižgaču, ki je zaprosil, naj se njegova identiteta ne razkrije. V takem primeru se Komisija lahko odloči, da omeji dostop do izjave v zvezi z zadevno osebo, da se zaščitijo pravice in svoboščine te priče ali žvižgača.

(8) Za zagotovitev zaupnosti in učinkovitosti upravnih preiskav, preddisciplinskih in disciplinskih postopkov ter postopkov začasne odstranitve z delovnega mesta ob upoštevanju standardov varstva osebnih podatkov iz Uredbe (EU) 2018/1725 je treba sprejeti notranja pravila, na podlagi katerih lahko Komisija omeji pravice posameznikov, na katere se nanašajo osebni podatki, v skladu s členom 25(1)(c),(g) in (h) Uredbe (EU) 2018/1725.

(9) Notranja pravila bi se morala uporabljati za vse postopke obdelave, ki jih izvaja Komisija pri opravljanju svojih nalog, vključno s postopki obdelave, ki se izvajajo pred začetkom upravne preiskave ter med pomočjo in sodelovanjem, ki ju Komisija zagotavlja nacionalnim organom in mednarodnim organizacijam zunaj svojih dejavnosti.

(10) Za zagotovitev skladnosti s členi 14, 15 in 16 Uredbe (EU) 2018/1725 bi morala Komisija vse posameznike pregledno in usklajeno obveščati o svojih dejavnostih, ki vključujejo obdelavo njihovih osebnih podatkov, in o njihovih pravicah z obvestili o varstvu podatkov, objavljenimi na spletišču Komisije. Prav tako bi morala Komisija posamično in v ustrezni obliki obvestiti posameznike, na katere se nanašajo osebni podatki, ki so vključeni v upravno preiskavo, preddisciplinski ali disciplinski postopek ali postopek začasne odstranitve z delovnega mesta.

(11) Da se ohrani učinkovito sodelovanje, je morda poleg tega potrebno, da Komisija omeji uporabo pravic posameznikov, na katere se nanašajo osebni podatki, da se zaščitijo postopki obdelave drugih institucij, organov, uradov in agencij Unije ali organov držav članic in tretjih držav ter mednarodnih organizacij. V ta namen bi se morala Komisija z navedenimi institucijami, organi, uradi in agencijami ter organi in mednarodnimi organizacijami posvetovati o ustreznih razlogih za uvedbo omejitev ter o potrebi po omejitvah in njihovi sorazmernosti, razen če bi to ogrozilo dejavnosti Komisije.

(12) Komisija mora morda omejiti tudi zagotavljanje informacij posameznikom, na katere se nanašajo osebni podatki, in uporabo drugih pravic posameznikov, na katere se nanašajo osebni podatki, v zvezi z osebnimi podatki, prejetimi od tretjih držav ali mednarodnih organizacij, da bi izpolnila svojo dolžnost sodelovanja s temi državami ali organizacijami in tako ohranila pomemben cilj v splošnem javnem interesu Unije. Vendar pa lahko v nekaterih okoliščinah interes ali temeljne pravice posameznika, na katerega se nanašajo osebni podatki, prevladajo nad interesom mednarodnega sodelovanja.

(13) Komisija bi morala vse omejitve obravnavati pregledno in vsako uporabo omejitev registrirati v ustreznem sistemu evidentiranja.

(14) V skladu s členom 25(8) Uredbe (EU) 2018/1725 lahko upravljavci preložijo, opustijo ali zavrnejo zagotavljanje informacij o razlogih za uporabo omejitve posamezniku, na katerega se nanašajo osebni podatki, če bi zagotovitev teh informacij na kakršen koli način ogrozila namen omejitve. To zlasti velja za primere omejitev pravic iz členov 16 in 35 Uredbe (EU) 2018/1725.

(15) Komisija bi morala redno pregledovati naložene omejitve za zagotovitev, da so pravice posameznika, na katerega se nanašajo osebni podatki, do obveščenosti v skladu s členoma 16 in 35 Uredbe (EU) 2018/1725 omejene le, dokler so take omejitve potrebne, da se Komisiji omogoči izvajanje upravnih preiskav, preddisciplinskih in disciplinskih postopkov ter postopkov začasne odstranitve z delovnega mesta.

(16) Kadar se omejijo druge pravice posameznikov, na katere se nanašajo osebni podatki, bi moral upravljavec za vsak primer posebej oceniti, ali bi sporočanje omejitve ogrozilo njen namen.

(17) Pooblaščena oseba za varstvo podatkov Evropske komisije bi morala opraviti neodvisen pregled uporabe omejitev, da se zagotovi skladnost s tem sklepom.

(18) Evropski nadzornik za varstvo podatkov je mnenje izdal 5. decembra 2018 –

SPREJELA NASLEDNJI SKLEP:

Člen 1 Predmet urejanja in področje uporabe 1. Ta sklep določa pravila, ki jih mora Komisija upoštevati za obveščanje posameznikov, na katere se nanašajo osebni podatki, o obdelavi njihovih podatkov v skladu s členi 14, 15 in 16 Uredbe (EU) 2018/1725, kadar izvaja upravne preiskave, preddisciplinske in disciplinske postopke ter postopke začasne odstranitve z delovnega mesta. 2. Določa tudi pogoje, pod katerimi lahko Komisija omeji uporabo členov 4(1)(a), 14 do 17, 19, 20 in 35 Uredbe (EU) 2018/1725 v skladu s členom 25(1)(c), (g) in (h) navedene uredbe. 3. Ta sklep se uporablja za obdelavo osebnih podatkov s strani Komisije v skladu s členom 86 kadrovskih predpisov in Prilogo IX h kadrovskim predpisom ter Sklepom C(2004) 1588. 4. Ta sklep se uporablja za obdelavo osebnih podatkov s strani Komisije, kadar ta obdeluje osebne podatke za namene, povezane z upravnimi preiskavami, preddisciplinskimi in disciplinskimi postopki ter postopki začasne odstranitve z delovnega mesta. 5. Kategorije osebnih podatkov, ki jih zajema ta sklep, vključujejo identifikacijske in kontaktne podatke ter podatke o vedenju.

Člen 2 Veljavne izjeme in omejitve 1. Komisija pri izvajanju svojih nalog v zvezi s pravicami posameznikov, na katere se nanašajo osebni podatki, v skladu z Uredbo (EU) 2018/1725 preuči, ali velja katera od izjem iz navedene uredbe. 2. Ob upoštevanju členov 3 do 7 tega sklepa lahko Komisija omeji uporabo členov 14 do 17, 19, 20 in 35 Uredbe (EU) 2018/1725 ter načela preglednosti iz člena 4(1)(a) navedene uredbe, kolikor njegove določbe ustrezajo pravicam in obveznostim iz členov 14 do 17, 19, 20 in 35 navedene uredbe, kadar bi izvrševanje teh pravic in obveznosti ogrozilo namen upravnih preiskav, preddisciplinskih in disciplinskih postopkov ter postopkov začasne odstranitve z delovnega mesta ali negativno vplivalo na pravice in svoboščine drugih posameznikov, na katere se nanašajo osebni podatki. 3. Ob upoštevanju členov 3 do 7 lahko Komisija omeji pravice in obveznosti iz odstavka 2 tega člena v zvezi z osebnimi podatki, pridobljenimi od drugih institucij, organov, agencij in uradov Unije, pristojnih organov držav članic ali tretjih držav ali mednarodnih organizacij, v naslednjih okoliščinah: (a) kadar bi izvrševanje teh pravic in obveznosti lahko omejile druge institucije, organi, agencije in uradi Unije na podlagi drugih aktov iz člena 25 Uredbe (EU) 2018/1725 ali v skladu s poglavjem IX navedene uredbe ali v skladu z Uredbo (EU) 2016/794 Evropskega parlamenta in Sveta (6) ali Uredbo Sveta (EU) 2017/1939 (7); (b) kadar bi izvrševanje teh pravic in obveznosti lahko omejili pristojni organi držav članic na podlagi aktov iz člena 23 Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta (8) ali v skladu z nacionalnimi ukrepi za prenos členov 13(3), 15(3) ali 16(3) Direktive (EU) 2016/680 Evropskega parlamenta in Sveta (9); (c) kadar bi izvrševanje teh pravic in obveznosti lahko ogrozilo sodelovanje Komisije s tretjimi državami ali mednarodnimi organizacijami pri izvajanju upravnih preiskav, preddisciplinskih in disciplinskih postopkov ter postopkov začasne odstranitve z delovnega mesta. Komisija se pred uporabo omejitev v okoliščinah iz točk (a) in (b) prvega pododstavka posvetuje z zadevnimi institucijami, organi, agencijami ali uradi Unije ali pristojnimi organi držav članic, razen če je Komisiji jasno, da je uporaba omejitve določena z enim od aktov iz navedenih točk, ali bi tako posvetovanje ogrozilo dejavnosti Komisije. Točka (c) prvega pododstavka se ne uporablja, kadar interesi ali temeljne pravice in svoboščine posameznikov, na katere se nanašajo osebni podatki, prevladajo nad interesom Komisije za sodelovanje s tretjimi državami ali mednarodnimi organizacijami.

Člen 3 Zagotavljanje informacij posameznikom, na katere se nanašajo osebni podatki 1. Komisija na svojem spletišču objavi obvestila o varstvu podatkov, s katerimi vse posameznike, na katere se nanašajo osebni podatki, obvesti o svojih dejavnostih, ki vključujejo obdelavo njihovih osebnih podatkov. 2. Komisija posamično in v ustrezni obliki obvesti osebo, ki jo zadeva upravna preiskava, preddisciplinski ali disciplinski postopek ali postopek začasne odstranitve z delovnega mesta, ter priče, od katerih se zahteva zagotovitev informacij v zvezi s temi postopki, o obdelavi njihovih osebnih podatkov. 3. Kadar Komisija v skladu s členom 2 tega sklepa v celoti ali delno omeji zagotavljanje informacij iz odstavka 2, razloge za omejitev evidentira in registrira v skladu s členom 6.

Člen 4 Pravica posameznikov, na katere se nanašajo osebni podatki, do dostopa, pravica do izbrisa in pravica do omejitve obdelave 1. Kadar Komisija v celoti ali delno omeji pravico posameznikov, na katere se nanašajo osebni podatki, do dostopa do osebnih podatkov, pravico do izbrisa ali pravico do omejitve obdelave iz členov 17, 19 oziroma 20 Uredbe (EU) 2018/1725, zadevnega posameznika, na katerega se nanašajo osebni podatki, v svojem odgovoru na zahtevo za dostop, izbris ali omejitev obdelave obvesti o uporabljeni omejitvi in glavnih razlogih zanjo ter o možnosti vložitve pritožbe pri Evropskem nadzorniku za varstvo podatkov ali možnosti uveljavljanja pravnega sredstva na Sodišču Evropske unije. 2. Zagotavljanje informacij o razlogih za omejitev iz odstavka 1 se lahko preloži, opusti ali zavrne za tako dolgo, dokler bi ogrožalo namen omejitve. 3. Komisija razloge za omejitev evidentira v skladu s členom 6 tega sklepa. 4. Kadar je pravica do dostopa v celoti ali delno omejena, lahko posameznik, na katerega se nanašajo osebni podatki, pravico do dostopa uveljavlja prek Evropskega nadzornika za varstvo podatkov v skladu členom 25(6), (7) in (8) Uredbe (EU) 2018/1725.

Člen 5 Sporočanje kršitev varstva osebnih podatkov posameznikom, na katere se nanašajo osebni podatki Kadar Komisija omeji sporočanje kršitve varstva osebnih podatkov posamezniku, na katerega se nanašajo osebni podatki, iz člena 35 Uredbe (EU) 2018/1725, razloge za omejitev evidentira in registrira v skladu s členom 6 tega sklepa.

Člen 6 Evidentiranje omejitev in njihov vpis v register 1. Komisija evidentira razloge za kakršno koli omejitev, ki se uporabi na podlagi tega sklepa, vključno z oceno potrebe po omejitvi in njene sorazmernosti za vsak primer posebej. V ta namen se evidentira, kako bi uveljavljanje pravice ogrozilo namen upravne preiskave, preddisciplinskega ali disciplinskega postopka ali postopka začasne odstranitve z delovnega mesta ali omejitev, ki se uporabljajo na podlagi člena 2(2) ali (3), ali negativno vplivalo na pravice in svoboščine drugih posameznikov, na katere se nanašajo osebni podatki. 2. Evidenca in po potrebi dokumenti, ki vsebujejo temeljna dejstva in pravne elemente, se registrirajo. Na zahtevo se predložijo Evropskemu nadzorniku za varstvo podatkov.

Člen 7 Trajanje omejitev 1. Omejitve iz členov 3, 4 in 5 se še naprej uporabljajo, dokler obstajajo razlogi, ki jih upravičujejo. 2. Ko razlogi za omejitev iz členov 3 in 5 ne obstajajo več, Komisija odpravi omejitev in glavne razloge zanjo sporoči posamezniku, na katerega se nanašajo osebni podatki. Komisija hkrati obvesti posameznika, na katerega se nanašajo osebni podatki, da lahko kadar koli vloži pritožbo pri Evropskem nadzorniku za varstvo podatkov ali uveljavlja pravno sredstvo na Sodišču Evropske unije. 3. Komisija uporabo omejitev iz členov 3 in 5 pregleda vsakih šest mesecev od njihovega sprejetja, v vsakem primeru pa ob zaključku upravne preiskave, preddisciplinskega ali disciplinskega postopka ali postopka začasne odstranitve z delovnega mesta. Komisija nato vsako leto preuči potrebo po ohranitvi kakršne koli preložitve.

Člen 8 Pregled s strani pooblaščene osebe za varstvo podatkov Evropske komisije 1. Pooblaščena oseba za varstvo podatkov Evropske komisije se brez nepotrebnega odlašanja obvesti, kadar se pravice posameznikov, na katere se nanašajo osebni podatki, omejijo v skladu s tem sklepom. Na zahtevo se pooblaščeni osebi za varstvo podatkov zagotovi dostop do evidence in vseh dokumentov, ki vsebujejo temeljna dejstva in pravne elemente. 2. Pooblaščena oseba za varstvo podatkov lahko zahteva pregled omejitve. Pooblaščena oseba za varstvo podatkov se pisno obvesti o rezultatu zahtevanega pregleda.

Člen 9 Začetek veljavnosti Ta sklep začne veljati tretji dan po objavi v Uradnem listu Evropske unije.

V Bruslju, 1. februarja 2019 Za Komisijo Predsednik Jean-Claude JUNCKER

(1) Uredba Sveta (EGS, Euratom, ESPJ) št. 259/68 z dne 29. februarja 1968 o določitvi Kadrovskih predpisov za uradnike in Pogojev za zaposlitev drugih uslužbencev Evropskih skupnosti ter uvedbi posebnih ukrepov, ki se začasno uporabljajo za uradnike Komisije (UL L 56, 4.3.1968, str. 1).

(2) Sklep Komisije C(2004) 1588 o določitvi splošnih izvedbenih določb o izvajanju upravnih preiskav in disciplinskih postopkov.

(3) Skupni seznam hrambe na ravni Komisije za spise Evropske komisije – SEC(2012) 713.

(4) Uredba (EU) 2018/1725 Evropskega parlamenta in Sveta z dne 23. oktobra 2018 o varstvu posameznikov pri obdelavi osebnih podatkov v institucijah, organih, uradih in agencijah Unije in o prostem pretoku takih podatkov ter o razveljavitvi Uredbe (ES) št. 45/2001 in Sklepa št. 1247/2002/ES (UL L 295, 21.11.2018, str. 39).

(5) Uredba (ES) št. 45/2001 Evropskega parlamenta in Sveta z dne 18. decembra 2000 o varstvu posameznikov pri obdelavi osebnih podatkov v institucijah in organih Skupnosti in o prostem pretoku takih podatkov (UL L 8, 12.1.2001, str. 1).

(6) Uredba (EU) 2016/794 Evropskega parlamenta in Sveta z dne 11. maja 2016 o Agenciji Evropske unije za sodelovanje na področju preprečevanja, odkrivanja in preiskovanja kaznivih dejanj (Europol) ter nadomestitvi in razveljavitvi sklepov Sveta 2009/371/PNZ, 2009/934/PNZ, 2009/935/PNZ, 2009/936/PNZ in 2009/968/PNZ (UL L 135, 24.5.2016, str. 53).

(7) Uredba Sveta (EU) 2017/1939 z dne 12. oktobra 2017 o izvajanju okrepljenega sodelovanja v zvezi z ustanovitvijo Evropskega javnega tožilstva (EJT) (UL L 283, 31.10.2017, str. 1).

(8) Uredba (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) (UL L 119, 4.5.2016, str. 1).

(9) Direktiva (EU) 2016/680 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov, ki jih pristojni organi obdelujejo za namene preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj ali izvrševanja kazenskih sankcij, in o prostem pretoku takih podatkov ter o razveljavitvi Okvirnega sklepa Sveta 2008/977/PNZ (UL L 119, 4.5.2016, str. 89).