SKLEP EVROPSKE INVESTICIJSKE BANKE

z dne 26. februarja 2019

o določitvi notranjih pravil glede obdelave osebnih podatkov s strani direktorata za kadre Evropske investicijske banke v zvezi z zagotavljanjem informacij posameznikom, na katere se nanašajo osebni podatki, in omejevanjem nekaterih njihovih pravic

EVROPSKA INVESTICIJSKA BANKA („EIB“) JE –

ob upoštevanju Pogodbe o delovanju Evropske unije in zlasti člena 309 Pogodbe,

ob upoštevanju Uredbe (EU) 2018/1725 Evropskega parlamenta in Sveta z dne 23. oktobra 2018 o varstvu posameznikov pri obdelavi osebnih podatkov v institucijah, organih, uradih in agencijah Unije in o prostem pretoku takih podatkov ter o razveljavitvi Uredbe (ES) št. 45/2001 in Sklepa št. 1247/2002/ES,

ob upoštevanju naslednjega:

Na podlagi člena 38 Kadrovskih predpisov EIB I in II se lahko zoper zaposlene, ki ne izpolnjujejo svojih obveznosti do EIB, sprejmejo disciplinski ukrepi v skladu s postopkom iz člena 40 navedenih predpisov. Na podlagi člena 41 Kadrovskih predpisov EIB I in II se lahko spori predložijo spravnemu odboru, razen tistih, ki izhajajo iz uporabe disciplinskih ukrepov iz člena 38 navedenih predpisov. V skladu s Politiko EIB o dostojanstvu pri delu in Smernicami EIB o obravnavanju pritožb zoper ocene mora EIB s pritožbami zaradi nadlegovanja in pritožbami zoper ocene uspešnosti ravnati spoštljivo.

Za organizacijo in upravljanje postopkov, določenih v členih 40 in 41 Kadrovskih predpisov EIB I in II kot tudi v Politiki EIB o dostojanstvu pri delu in Smernicah EIB o obravnavanju pritožb zoper ocene, je prvenstveno odgovoren direktorat za kadre EIB. Direktorat za kadre zlasti zagotavlja podporo organom, ki so pristojni za navedene postopke, in deluje kot njihov pravni sekretariat.

Direktorat za kadre mora pri opravljanju svojih nalog spoštovati pravice posameznikov v zvezi z obdelavo osebnih podatkov, ki jih priznavajo člen 8(1) Listine Evropske unije o temeljnih pravicah in člen 16(1) Pogodbe o delovanju Evropske unije ter pravni akti, ki temeljijo na teh določbah. Direktorat za kadre mora hkrati spoštovati stroga pravila o zaupnosti in poklicni skrivnosti iz Kadrovskih predpisov EIB in Kodeksa ravnanja zaposlenih EIB ter zagotoviti spoštovanje procesnih pravic preiskovancev in prič, zlasti pravico preiskovancev do zakonitega pravnega postopka, do obrambe in do domneve nedolžnosti.

V nekaterih okoliščinah je treba uskladiti pravice posameznikov, na katere se nanašajo osebni podatki, v skladu z Uredbo (EU) 2018/1725 (1) z nameni in potrebami nalog direktorata za kadre ter ob doslednem spoštovanju temeljnih pravic in svoboščin drugih posameznikov, na katere se nanašajo osebni podatki. V ta namen člen 25 navedene uredbe direktoratu za kadre omogoča omejitev uporabe njenih členov 14 do 22 in 35 ter člena 4, kolikor njegove določbe ustrezajo pravicam in obveznostim iz členov 14 do 22.

Za zagotovitev učinkovitosti postopkov, ki jih izvajajo disciplinski odbor in spravni odbor, ki sta bila ustanovljena v skladu s členom 40 oziroma 41 Kadrovskih predpisov EIB I in II, ter odbor za dostojanstvo pri delu in odbor za pritožbe, ki sta bila ustanovljena v skladu s Politiko EIB o dostojanstvu pri delu oziroma postopkom obravnavanja pritožb zoper ocene, ter ob upoštevanju standardov varstva osebnih podatkov v skladu z Uredbo (EU) 2018/1725, je treba sprejeti notranja pravila, na podlagi katerih lahko direktorat za kadre omeji pravice posameznikov, na katere se nanašajo osebni podatki, v skladu s členom 25(1)(c)(g) in (h) Uredbe (EU) 2018/1725.

Notranja pravila bi se morala uporabljati za vse postopke obdelave, ki jih direktorat za kadre izvaja pri uresničevanju svojega mandata v skladu s členoma 40 in 41 Kadrovskih predpisov EIB I in II ter v skladu s Politiko EIB o dostojanstvu pri delu in Smernicami o obravnavanju pritožb zoper ocene. Ta pravila bi se morala uporabljati za postopke obdelave, izvedene pred začetkom postopkov v pristojnosti disciplinskega odbora, spravnega odbora, odbora za dostojanstvo pri delu in odbora za pritožbe, pa tudi med postopki samimi in med spremljanjem nadaljnjih ukrepov v zvezi z rezultati teh postopkov.

Za zagotovitev skladnosti s členi 14, 15 in 16 Uredbe (EU) 2018/1725 bi moral upravljavec podatkov vse posameznike obvestiti o svojih dejavnostih, ki vključujejo obdelavo njihovih osebnih podatkov, in o njihovih pravicah na pregleden in usklajen način v obliki obvestil o varstvu podatkov, objavljenih na intranetu EIB, posameznike, na katere se nanašajo osebni podatki in ki jih zadeva preiskava, namreč preiskovance, priče in informatorje, pa bi moral obvestiti posamično.

Poleg tega je možno, da bo moral direktorat za kadre za ohranitev učinkovitega sodelovanja uporabiti omejitve pravic posameznikov, na katere se nanašajo osebni podatki, da se zaščitijo informacije, ki vsebujejo osebne podatke in katerih vir so druge službe EIB, institucije, organi, uradi in agencije Evropske unije, pristojni organi držav članic in tretjih držav ter mednarodne organizacije. V ta namen bi se moral direktorat za kadre posvetovati z zadevnimi drugimi službami EIB, institucijami, organi, uradi, agencijami, pristojnimi organi in mednarodnimi organizacijami o ustreznih razlogih za omejitve ter o nujnosti in sorazmernosti omejitev.

Direktorat za kadre bi moral vse omejitve obravnavati pregledno in vsako uporabo omejitev registrirati v ustreznem evidenčnem sistemu.

V skladu s členom 25(8) Uredbe (EU) 2018/1725 lahko upravljavci odložijo, opustijo ali zavrnejo zagotavljanje informacij posamezniku, na katerega se nanašajo osebni podatki, o razlogih za uporabo omejitve, če bi to kakor koli ogrozilo namen omejitve. To še zlasti velja za omejitve pravic iz členov 16 in 35 Uredbe (EU) 2018/1725. Za zagotovitev, da je pravica posameznika, na katerega se nanašajo osebni podatki, do obveščenosti v skladu s členoma 16 in 35 Uredbe (EU) 2018/1725 omejena le, dokler obstajajo razlogi za odlog, bi moral direktorat za kadre redno proučevati svoje stališče.

Če se uporabi omejitev pravic drugih posameznikov, na katere se nanašajo osebni podatki, bi moral direktorat za kadre za vsak primer posebej oceniti, ali bi sporočanje omejitve ogrozilo njen namen.

Uradna oseba za varstvo podatkov EIB lahko izvede neodvisen pregled uporabe omejitev, da se zagotovi skladnost s tem sklepom –

SPREJELA NASLEDNJI SKLEP:

Člen 1 Predmet urejanja in področje uporabe 1. Ta sklep določa pravila, ki jih mora upravljavec podatkov, kot je opredeljen v členu 2(1), upoštevati za obveščanje posameznikov, na katere se nanašajo osebni podatki, o obdelavi njihovih podatkov v skladu s členi 14, 15 in 16 Uredbe (EU) 2018/1725. Določa tudi pogoje, pod katerimi lahko ustrezni upravljavec podatkov omeji uporabo členov 14 do 22 in 35 ter člena 4 navedene uredbe v skladu z njenim členom 25(1)(c), (g) in (h). 2. Ta sklep se uporablja za obdelavo osebnih podatkov s strani direktorata za kadre za namene dejavnosti ali v zvezi z dejavnostmi, ki jih direktorat za kadre izvaja za izpolnitev nalog iz členov 40 in 41 Kadrovskih predpisov EIB I in II kot tudi iz Politike EIB o dostojanstvu pri delu in Smernic o obravnavi pritožb zoper ocene ter njihovih poznejših sprememb. 3. Direktorat za kadre v okviru svojega mandata obdeluje več kategorij osebnih podatkov, zlasti identifikacijske podatke, kontaktne podatke, podatke o poklicnih dejavnostih in podatke o povezanosti z zadevo.

Člen 2 Določitev upravljavca podatkov in zaščitnih ukrepov 1. Upravljavec podatkov je generalni direktor za kadre 2. Osebni podatki so shranjeni v varnem elektronskem in fizičnem okolju, kar preprečuje nezakonit dostop do podatkov ali njihov prenos osebam, ki nimajo potrebe po seznanitvi z njimi. 3. Obdelani osebni podatki se hranijo najmanj šest mesecev in največ deset let. Podrobnejši podatki o natančnem trajanju obdobja hrambe v posameznem postopku so navedeni v načrtu hrambe direktorata za kadre. 4. Daljša obdobja od zgoraj navedenega se uporabijo v izjemnih in ustrezno utemeljenih primerih ter s soglasjem uradne osebe za varstvo podatkov.

Člen 3 Veljavne izjeme in omejitve 1. Direktorat za kadre pri izvajanju svojih nalog v zvezi s pravicami posameznikov, na katere se nanašajo osebni podatki, v skladu z Uredbo (EU) 2018/1725 prouči, ali velja katera od izjem iz navedene uredbe. 2. V skladu s členi 4 do 7 tega sklepa lahko direktorat za kadre omeji uporabo členov 14 do 22 in 35 Uredbe (EU) 2018/1725 kot tudi člena 4 navedene uredbe, kolikor njegove določbe ustrezajo pravicam in obveznostim iz členov 14 do 22 navedene uredbe, če bi izvrševanje teh pravic in obveznosti ogrozilo namen postopkov iz členov 40 in 41 Kadrovskih predpisov EIB I in II ter iz Politike EIB o dostojanstvu pri delu in Smernic o obravnavi pritožb zoper ocene, ali bi negativno vplivalo na pravice in svoboščine drugih posameznikov, na katere se nanašajo osebni podatki. 3. V skladu s členi 4 do 7 tega sklepa lahko direktorat za kadre omeji pravice in obveznosti iz odstavka 2 tega člena v zvezi z osebnimi podatki, pridobljenimi od drugih služb EIB ali institucij, organov, agencij in uradov Evropske unije, pristojnih organov držav članic ali mednarodnih organizacij, v naslednjih okoliščinah: (a) če bi izvrševanje teh pravic in obveznosti lahko omejile druge službe EIB ali institucije, organi, agencije in uradi Evropske unije na podlagi drugih aktov iz člena 25 uredbe ali v skladu s poglavjem IX navedene uredbe; (b) če bi izvrševanje teh pravic in obveznosti lahko omejili pristojni organi držav članic na podlagi aktov iz člena 23 Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta (2) ali v skladu z nacionalnimi ukrepi za prenos členov 13(3), 15(3) ali 16(3) Direktive (EU) 2016/680 Evropskega parlamenta in Sveta (3); (c) če bi izvrševanje teh pravic in obveznosti lahko ogrozilo sodelovanje direktorata za kadre s tretjimi državami ali mednarodnimi organizacijami pri opravljanju njegovih nalog. Direktorat za kadre se pred uporabo omejitev v okoliščinah iz točk (a) in (b) prvega pododstavka posvetuje z ustreznimi službami EIB ali institucijami, organi, agencijami ali uradi Evropske Unije ali pristojnimi organi držav članic, razen če mu je jasno, da je uporaba omejitve določena z enim od aktov iz navedenih točk. Točka (c) prvega pododstavka se ne uporablja, kadar nad interesom Evropske Unije za sodelovanje s tretjimi državami ali mednarodnimi organizacijami prevladajo interesi ali temeljne pravice in svoboščine posameznikov, na katere se nanašajo osebni podatki. 4. Odstavki 1, 2 in 3 ne posegajo v uporabo drugih sklepov EIB, ki določajo notranja pravila glede zagotavljanja informacij posameznikom, na katere se nanašajo osebni podatki, in omejitev nekaterih pravic na podlagi člena 25 Uredbe (EU) 2018/1725.

Člen 4 Zagotavljanje informacij posameznikom, na katere se nanašajo osebni podatki 1. Direktorat za kadre na intranetu EIB objavi obvestila o varstvu podatkov, s katerimi so vsi posamezniki, na katere se nanašajo osebni podatki, obveščeni o njegovih dejavnostih, ki vključujejo obdelavo njihovih osebnih podatkov. 2. Direktorat za kadre vse posameznike, ki so stranke v postopku, preiskovanci v postopku ali priče, obvesti posamično. 3. Kadar direktorat za kadre v celoti ali delno omeji zagotavljanje informacij posameznikom iz odstavka 2, na katere se nanašajo osebni podatki, v evidenci zabeleži razloge za omejitev, vključno z oceno nujnosti in sorazmernosti omejitve. V ta namen se v evidenci navede, kako bi zagotavljanje informacij ogrozilo namen zadevnega postopka ali omejitev, ki se uporabijo v skladu s členom 3(3), ali kako bi negativno vplivalo na pravice in svoboščine drugih posameznikov, na katere se nanašajo osebni podatki. Evidenca in po potrebi dokumenti, ki vsebujejo temeljna dejstva in pravne elemente, se registrirajo. Na zahtevo se predložijo Evropskemu nadzorniku za varstvo podatkov. 4. Omejitev iz odstavka 3 se uporablja, dokler obstajajo razlogi, ki jo upravičujejo. Ko razlogi za omejitev ne obstajajo več, direktorat za kadre zadevne informacije in razloge za omejitev sporoči posamezniku, na katerega se nanašajo osebni podatki. Direktorat za kadre posameznika, na katerega se nanašajo osebni podatki, hkrati obvesti o možnosti, da lahko kadar koli vloži pritožbo pri Evropskem nadzorniku za varstvo podatkov ali uveljavlja pravno sredstvo na Sodišču Evropske unije. Direktorat za kadre pregleda uporabo omejitve najmanj vsakih šest mesecev od njene uvedbe in ob zaključku zadevnega postopka. Nato upravljavec prouči potrebo po ohranitvi kakršne koli omejitve enkrat na leto.

Člen 5 Pravica posameznika, na katerega se nanašajo osebni podatki, do dostopa 1. Kadar posamezniki, na katere se nanašajo osebni podatki, v skladu s členom 17 Uredbe (EU) 2018/1725 zahtevajo dostop do svojih osebnih podatkov, ki se obdelujejo v okviru enega ali več posebnih primerov, ali do določenega postopka obdelave, direktorat za kadre svojo oceno zahteve omeji le na te osebne podatke. 2. Kadar direktorat za kadre v celoti ali delno omeji pravico do dostopa iz člena 17 navedene uredbe, sprejme naslednje ukrepe: (a) posameznika, na katerega se nanašajo osebni podatki, v svojem odgovoru na zahtevo obvesti o uporabljeni omejitvi in glavnih razlogih zanjo ter o možnosti vložitve pritožbe pri Evropskem nadzorniku za varstvo podatkov ali uveljavljanja pravnega sredstva na Sodišču Evropske unije; (b) v evidenci zabeleži razloge za omejitev, vključno z oceno nujnosti in sorazmernosti omejitve; v ta namen se v evidenci navede, kako bi zagotovitev dostopa ogrozila namen zadevnega postopka ali omejitev, ki se uporabijo v skladu s členom 3(3), ali bi negativno vplivala na pravice in svoboščine drugih posameznikov, na katere se nanašajo osebni podatki. Zagotavljanje informacij iz točke (a) se lahko odloži, opusti ali zavrne v skladu s členom 25(8) Uredbe (EU) 2018/1725. 3. Evidenca iz točke (b) prvega pododstavka odstavka 2 in po potrebi dokumenti, ki vsebujejo temeljna dejstva in pravne elemente, se registrirajo. Na zahtevo se predložijo Evropskemu nadzorniku za varstvo podatkov. Uporablja se člen 25(7) Uredbe (EU) 2018/1725.

Člen 6 Pravica do popravka, izbrisa in omejitve obdelave Kadar direktorat za kadre v celoti ali delno omeji izvrševanje pravice do popravka, izbrisa ali omejitve obdelave iz členov 18, 19(1) in 20(1) Uredbe (EU) 2018/1725, sprejme ukrepe iz člena 5(2) tega sklepa in registrira evidenco v skladu s členom 5(3) tega sklepa.

Člen 7 Obveščanje posameznika, na katerega se nanašajo osebni podatki, o kršitvah varstva osebnih podatkov Kadar direktorat za kadre omeji obveščanje posameznika, na katerega se nanašajo osebni podatki, o kršitvah varstva osebnih podatkov, kakor je navedeno v členu 35 Uredbe (EU) 2018/1725, razloge za omejitev zabeleži v evidenci in registrira v skladu s členom 4(3) tega sklepa. Uporablja se člen 4(4) tega sklepa.

Člen 8 Pregled s strani uradne osebe za varstvo podatkov Direktorat za kadre brez nepotrebnega odlašanja obvesti uradno osebo za varstvo podatkov, kadar se pravice posameznikov, na katere se nanašajo osebni podatki, omejijo v skladu s tem sklepom, ter ji zagotovi dostop do evidence o oceni nujnosti in sorazmernosti omejitve. Uradna oseba za varstvo podatkov lahko od direktorata za kadre pisno zahteva pregled uporabe omejitev. Direktorat za kadre pisno obvesti uradno osebo za varstvo podatkov o rezultatu zahtevanega pregleda.

Člen 9 Začetek veljavnosti Ta sklep je potrdil svet direktorjev EIB 26. februarja 2019 in začne veljati na dan objave na spletišču EIB.

V Luxembourgu, 26. februarja 2019

(1) Uredba (EU) 2018/1725 Evropskega parlamenta in Sveta z dne 23. oktobra 2018 o varstvu posameznikov pri obdelavi osebnih podatkov v institucijah, organih, uradih in agencijah Unije in o prostem pretoku takih podatkov ter o razveljavitvi Uredbe (ES) št. 45/2001 in Sklepa št. 1247/2002/ES (UL L 295, 21.11.2018, str. 39).

(2) Uredba (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) (UL L 119, 4.5.2016, str. 1).

(3) Direktiva (EU) 2016/680 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov, ki jih pristojni organi obdelujejo za namene preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj ali izvrševanja kazenskih sankcij, in o prostem pretoku takih podatkov ter o razveljavitvi Okvirnega sklepa Sveta 2008/977/PNZ (UL L 119, 4.5.2016, str. 89).