CELEX: 32020D0969
Language: hu
Date: 2020-07-03 00:00:00
Title: A Bizottság (EU) 2020/969 határozata (2020. július 3.) az adatvédelmi tisztviselőre, az érintettek jogainak korlátozására és az (EU) 2018/1725 európai parlamenti és tanácsi rendelet alkalmazására vonatkozó végrehajtási szabályok megállapításáról és a 2008/597/EK bizottsági határozat hatályon kívül helyezéséről

6.7.2020   
               
               
                  HU
               
               
                  Az Európai Unió Hivatalos Lapja
               
               
                  L 213/12
               
            
         A BIZOTTSÁG (EU) 2020/969 HATÁROZATA
         (2020. július 3.)
         az adatvédelmi tisztviselőre, az érintettek jogainak korlátozására és az (EU) 2018/1725 európai parlamenti és tanácsi rendelet alkalmazására vonatkozó végrehajtási szabályok megállapításáról és a 2008/597/EK bizottsági határozat hatályon kívül helyezéséről
         AZ EURÓPAI BIZOTTSÁG,
         tekintettel az Európai Unió működéséről szóló szerződésre és különösen annak 249. cikke (1) bekezdésére,
         tekintettel a természetes személyeknek a személyes adatok uniós intézmények, szervek, hivatalok és ügynökségek általi kezelése tekintetében való védelméről és az ilyen adatok szabad áramlásáról, valamint a 45/2001/EK rendelet és az 1247/2002/EK határozat hatályon kívül helyezéséről szóló, 2018. október 23-i (EU) 2018/1725 európai parlamenti és tanácsi rendeletre (1) és különösen annak 45. cikke (3) bekezdésére,
         mivel:
         
                     (1)
                  
                  
                     A bizottsági adatvédelmi tisztviselő hivatalának megfelelő működését biztosítandó részletesen meg kell határozni az adatvédelmi tisztviselő feladatait, kötelességeit és hatáskörét.
                  
               
                     (2)
                  
                  
                     Az (EU) 2018/1725 rendelet egyértelmű felelősségi köröket ruház az adatkezelőkre, mindenekelőtt az érintettekkel szemben. Annak biztosítása érdekében, hogy a Bizottság adatkezelőként egységes és átlátható módon lássa el feladatait, szabályokat kell megállapítani annak meghatározására, hogy az adott bizottsági szolgálatnál vagy szolgálatoknál ki lesz a felelős a Bizottság nevében végzett adatkezelési műveletért. Ezzel összefüggésben indokolt bevezetni a felhatalmazott adatkezelő fogalmát annak érdekében, hogy pontosan meg lehessen határozni a Bizottság szervezeteinek felelősségi körét, különösen az érintettek jogait érintő egyedi határozatok tekintetében. Indokolt továbbá bevezetni az operatív adatkezelő fogalmát, akit a felhatalmazott adatkezelő jelöl ki – felelőssége fenntartása mellett – a szabályoknak való megfelelés gyakorlati biztosítására, és az érintettek adatkezelési művelettel kapcsolatos kérelmeinek feldolgozására. Az operatív adatkezelő kijelölése nem akadályozza meg a kapcsolattartó pont gyakorlatban történő alkalmazását, például az érintettek kérelmeinek fogadására rendelkezésre álló funkcionális postafiók formájában.
                  
               
                     (3)
                  
                  
                     Bizonyos esetekben több bizottsági szolgálat közösen is végezhet adatkezelési műveletet a rájuk bízott feladat teljesítése érdekében. Az ilyen esetekben biztosítaniuk kell, hogy belső intézkedések foganatosításával átlátható módon meghatározzák az (EU) 2018/1725 rendelet szerinti felelősségi köreiket, különösen az érintettekkel szembeni felelősségükkel, az európai adatvédelmi biztos tájékoztatásával és a nyilvántartások vezetésével kapcsolatosan.
                  
               
                     (4)
                  
                  
                     Annak érdekében, hogy megkönnyítsék a felhatalmazott adatkezelők felelősségi körének gyakorlását, minden bizottsági szolgálatnak ki kell kineveznie egy adatvédelmi koordinátort. Az adatvédelmi koordinátornak részt kell vennie a Bizottság adatvédelmi koordinátorainak hálózatában az (EU) 2018/1725 rendelet Bizottságon belüli koherens végrehajtásának és értelmezésének biztosítása érdekében, valamint a közös érdeklődésre számot tartó témák megvitatása érdekében.
                  
               
                     (5)
                  
                  
                     Az adatvédelmi tisztviselőnek a felelősségi körök (EU) 2018/1725 rendelet 45. cikke (1) bekezdésének b) pontja szerinti kijelölésével kapcsolatban kiegészítő iránymutatást kell kiadnia az adatvédelmi koordinátor feladatköréről.
                  
               
                     (6)
                  
                  
                     A Bizottság a személyes adatok különböző kategóriáit dolgozza fel az adatvédelmi tisztviselő nyomonkövetési, vizsgálati, ellenőrzési és konzultációs tevékenységeinek céljából. A Bizottság főleg azonosító adatokat, kapcsolattartási adatokat, szakmai adatokat és egy adott ügyben való érintettségre vonatkozó adatokat kezel. Ezeket az adatokat a tevékenységek lezárását követően öt évig őrzik meg az Európai Bizottság aktáinak közös megőrzési listájával összhangban (2).
                  
               
                     (7)
                  
                  
                     Bizonyos körülmények esetén össze kell egyeztetni az érintettek (EU) 2018/1725 rendelet szerinti jogait annak szükségességével, hogy a Bizottság adatvédelmi tisztviselője elvégezze nyomonkövetési, vizsgálati, ellenőrzési és konzultációs tevékenységeit, továbbá hogy a más bizottsági szolgálatokkal folyó információcsere bizalmas legyen, ugyanakkor a többi érintett alapvető jogainak és szabadságainak teljeskörű tiszteletben tartásával. E célból az (EU) 2018/1725 rendelet 25. cikke (1) bekezdése lehetőséget biztosít arra, hogy a Bizottság korlátozza a 14–17., 19., 20. és 35. cikk alkalmazását, továbbá a 4. cikk (1) bekezdésének a) pontjában meghatározott átláthatóság elvének alkalmazását, amennyiben a korlátozó jogi aktus rendelkezései megfelelnek az említett rendelet 14–17., 19., és 20. cikkében meghatározott jogoknak és kötelezettségeknek.
                  
               
                     (8)
                  
                  
                     Az adatvédelmi tisztviselő által végzett nyomonkövetési, vizsgálati, ellenőrzési és konzultációs tevékenységek bizalmas jellegének és hatékonyságának biztosítása érdekében a személyes adatok (EU) 2018/1725 rendelet szerinti védelmére vonatkozó előírások tiszteletben tartása mellett belső szabályokat kell elfogadni, amelyek alapján az adatvédelmi tisztviselő az érintettek jogait az (EU) 2018/1725 rendelet 25. cikkével összhangban korlátozhatja.
                  
               
                     (9)
                  
                  
                     Indokolt, hogy e belső szabályok a Bizottság által végzett valamennyi adatkezelési műveletre vonatkozzanak az adatvédelmi tisztviselő nyomonkövetési, vizsgálati, ellenőrzési és konzultációs tevékenységeinek végrehajtása során. Indokolt, hogy e szabályok a vizsgálat vagy ellenőrzés megindítása előtt, a vizsgálati vagy ellenőrzési folyamat során, és a vizsgálat vagy ellenőrzés eredményének nyomon követése során végzett adatkezelési műveletek esetében egyaránt alkalmazandók legyenek. Ezeknek a szabályoknak vonatkozniuk kell az adatvédelmi tisztviselő vizsgálati vagy ellenőrzési feladatköréhez kapcsolódó adatkezelési műveletekre is, például az adatvédelmi tisztviselő által lefolytatott panaszkezelési eljárásokra is. A szabályoknak az adatvédelmi tisztviselő által végzett olyan nyomon követésre és konzultációkra is vonatkozniuk kell, amikor az adatvédelmi tisztviselő a saját igazgatási vizsgálatai és ellenőrzésein kívül nyújt segítséget és együttműködést a Bizottság szolgálatainak.
                  
               
                     (10)
                  
                  
                     Az (EU) 2018/1725 rendelet 14., 15. és 16. cikkének való megfelelés érdekében a Bizottságnak minden magánszemélyt tájékoztatnia kell az adatvédelmi tisztviselő azon nyomonkövetési, vizsgálati, ellenőrzési és konzultációs tevékenységeiről, amelyek személyes adataik kezelésével járnak és érintik az (EU) 2018/1725 rendelet szerinti jogaikat. A Bizottságnak ezeket a magánszemélyeket átlátható és koherens módon, a honlapján közzétett adatvédelmi nyilatkozat formájában kell tájékoztatnia, valamint minden érintettet tájékoztatnia kell az adatvédelmi tisztviselő nyomonkövetési, vizsgálati, ellenőrzési és konzultációs tevékenységeiről.
                  
               
                     (11)
                  
                  
                     Bizonyos körülmények között előfordulhat, hogy a Bizottságnak korlátoznia kell az érintettek tájékoztatását és az érintettek egyéb jogainak alkalmazását. Ezt az adatvédelmi tisztviselő nyomonkövetési, vizsgálati, ellenőrzési és konzultációs tevékenységeinek, más bizottsági szolgálatok kapcsolódó vizsgálatainak és eljárásainak, az adatvédelmi tisztviselő vizsgálati és ellenőrzési eszközeinek és módszereinek, valamint az adatvédelmi tisztviselő tevékenységéhez kapcsolódó más személyek jogainak védelme érdekében teheti.
                  
               
                     (12)
                  
                  
                     Egyes esetekben az érintettek bizonyos konkrétumokról vagy az adatvédelmi tisztviselő nyomonkövetési, vizsgálati, ellenőrzési és konzultációs tevékenységeiről való tájékoztatása ellehetetlenítheti vagy súlyosan veszélyeztetheti az adatkezelési művelet célját és az adatvédelmi tisztviselő ilyen tevékenység végzésére irányuló képességét.
                  
               
                     (13)
                  
                  
                     Továbbá a Bizottságnak titokban kell tartania az informátorok kilétét, hogy az adatvédelmi tisztviselővel való együttműködésük ne járhasson negatív következményekkel számukra.
                  
               
                     (14)
                  
                  
                     Ezen okokból előfordulhat, hogy a Bizottságnak az (EU) 2018/1725 rendelet 25. cikke (1) bekezdésének c), g) és h) pontjában említett okokból kifolyólag korlátozásokat kell alkalmaznia az adatvédelmi tisztviselőnek az említett rendelet 45. cikkében meghatározott nyomonkövetési, vizsgálati, ellenőrzési és konzultációs tevékenységei keretében végzett adatkezelési műveletekre.
                  
               
                     (15)
                  
                  
                     Ezen túlmenően a hatékony együttműködés fenntartása érdekében előfordulhat, hogy a Bizottságnak a más bizottsági szolgálatoktól, uniós intézményektől vagy szervektől származó, személyes adatokat tartalmazó információk védelme érdekében korlátoznia kell az érintettek jogait. Ennek érdekében az adatvédelmi tisztviselőnek konzultálnia kell ezen szolgálatokkal, intézményekkel vagy szervekkel a korlátozások bevezetésének releváns okairól, valamint a korlátozások szükségességéről és arányosságáról.
                  
               
                     (16)
                  
                  
                     Az adatvédelmi tisztviselő a nyomonkövetési, vizsgálati, ellenőrzési és konzultációs tevékenységei keretében információkat, ezen belül személyes adatokat cserél más bizottsági szolgálatokkal. Az adatvédelmi tisztviselő által végzett adatkezelési műveletek védelme érdekében ezért minden bizottsági szolgálatnak az ebben a határozatban megállapított szabályokat kell alkalmaznia azon személyes adatok kezelésére, amelyeket feladatai ellátása során az adatvédelmi tisztviselő is feldolgoz. Ilyen körülmények között az érintett bizottsági szolgálatoknak ezért konzultálniuk kell az adatvédelmi tisztviselővel a korlátozások lényeges okairól, valamint azok szükségességéről és arányosságáról annak érdekében, hogy biztosítsák azok következetes alkalmazását.
                  
               
                     (17)
                  
                  
                     Az adatvédelmi tisztviselőnek – és adott esetben a Bizottság más szolgálatainak – átlátható módon kell kezelnie az összes korlátozást, és a megfelelő nyilvántartó rendszerben minden egyes korlátozás alkalmazását nyilvántartásba kell vennie.
                  
               
                     (18)
                  
                  
                     Az (EU) 2018/1725 rendelet 25. cikkének (8) bekezdése értelmében az adatkezelők elhalaszthatják vagy mellőzhetik az érintettnek a korlátozás okairól való tájékoztatását, ha ez bármilyen módon veszélyeztetné a korlátozás célját. A korlátozás bejelentése különösen a 16. és a 35. cikk szerinti jogok korlátozásakor veszélyeztetné a korlátozás célját. Annak biztosítása érdekében, hogy az érintettnek az (EU) 2018/1725 rendelet 16. és 35. cikke szerinti, tájékoztatáshoz való jogát csak addig korlátozzák, amíg a halasztás okai fennállnak, a Bizottságnak rendszeresen felül kell vizsgálnia az álláspontját.
                  
               
                     (19)
                  
                  
                     Amennyiben más érintettek jogait korlátozzák, az adatkezelőnek eseti alapon értékelnie kell, hogy a korlátozásról való tájékoztatás ellehetetlenítené-e annak célját;
                  
               
                     (20)
                  
                  
                     Az e határozatnak való megfelelés biztosítása érdekében az adatvédelmi tisztviselőnek független módon felül kell vizsgálnia más bizottsági szolgálatok e határozat alapján alkalmazott korlátozásait.
                  
               
                     (21)
                  
                  
                     Az e határozat alapján alkalmazott bármilyen korlátozásnak az érintettek jogait és szabadságait érintő kockázatokra figyelemmel szükségesnek és arányosnak kell lennie.
                  
               
                     (22)
                  
                  
                     Az európai adatvédelmi biztos megkapta az (EU) 2018/1725 rendelet 41. cikkének (1) és (2) bekezdése szerinti tájékoztatást és konzultációs lehetőséget, majd 2019. szeptember 16-án kinyilvánította véleményét.
                  
               
                     (23)
                  
                  
                     A 2008/597/EK bizottsági határozat (3) megállapítja az adatvédelmi tisztviselőre vonatkozó végrehajtási szabályokat a 45/2001/EK európai parlamenti és tanácsi rendelet (4) szerint. Az (EU) 2018/1725 rendelet 2019. december 11-i hatállyal hatályon kívül helyezte a 45/2001/EK rendeletet. Annak biztosítása érdekében, hogy az adatvédelmi tisztviselőre csak egy végrehajtási szabályrendszer vonatkozzon, a 2008/597/EK határozatot is hatályon kívül kell helyezni,
                  
               ELFOGADTA EZT A HATÁROZATOT:
         1. FEJEZET
         
            ÁLTALÁNOS RENDELKEZÉSEK
         
         
            1. cikk
            Tárgy és hatály
            
               (1)   Ez a határozat előírja az (EU) 2018/1725 rendelet Bizottság általi alkalmazására vonatkozó szabályokat, valamint megállapítja a Bizottság adatvédelmi tisztviselőjére vonatkozó végrehajtási szabályokat.
            
            
               (2)   Ez a határozat meghatározza azokat a szabályokat is, amelyeket a Bizottságnak az adatvédelmi tisztviselő nyomonkövetési, vizsgálati, ellenőrzési és konzultációs tevékenységeivel kapcsolatban kell követnie az érintetteknek az (EU) 2018/1725 rendelet 14., 15. és 16. cikke szerinti adatkezelésről való tájékoztatása tekintetében.
            
            
               (3)   E határozat megállapítja továbbá azokat a feltételeket, amelyek mellett a Bizottság az adatvédelmi tisztviselő nyomonkövetési, vizsgálati, ellenőrzési és konzultációs tevékenységeivel kapcsolatban korlátozhatja az (EU) 2018/1725 rendelet 4., 14–17., 19., 20. és 35. cikkének alkalmazását ugyanezen rendelet 25. cikke (1) bekezdésének c), g) és h) pontjával összhangban.
            
            
               (4)   Ez a határozat a személyes adatoknak a Bizottság általi kezelésére vonatkozik az adatvédelmi tisztviselőnek az (EU) 2018/1725 rendelet 45. cikkében említett – különösen a nyomonkövetési, vizsgálati, ellenőrzési és konzultációs – feladataival és azok céljával kapcsolatban.
            
         
         
            2. cikk
            Adatkezelés
            E határozat alkalmazásában a Bizottság az (EU) 2018/1725 rendelet 3. cikkének 8. pontja értelmében vett adatkezelőnek minősül.
         
         
            3. cikk
            Fogalommeghatározások
            E határozat alkalmazásában:
            
                        1.
                     
                     
                        az „adatvédelmi tisztviselő” a Bizottság által az (EU) 2018/1725 rendelet 43. cikke szerint kijelölt személy,
                     
                  
                        2.
                     
                     
                        az „adatvédelmi tisztviselő feladatai” az (EU) 2018/1725 rendelet 45. cikkében említett adatvédelmi tisztviselői feladatok, mindenekelőtt az adatvédelmi tisztviselő nyomonkövetési, vizsgálati, ellenőrzési és konzultációs feladatai,
                     
                  
                        3.
                     
                     
                        az „adatvédelmi koordinátor” a Bizottság személyi állományának tagja, akit a bizottsági főigazgatóság vagy szolgálat nevez ki a főigazgatóságon vagy szolgálaton belüli személyesadat-védelem valamennyi vonatkozásának koordinálására,
                     
                  
                        4.
                     
                     
                        a „felhatalmazott adatkezelő” azon főigazgatóság, szolgálat vagy kabinet vezetője, amely küldetésének teljesítése során a Bizottság nevében adatkezelési műveletet végez;
                     
                  
                        5.
                     
                     
                        az „operatív adatkezelő”: a Bizottság személyzetének közép- vagy felsővezetői szintű tagja, akit a felhatalmazott adatkezelő jelöl ki az adatkezelési művelet nyilvántartásának biztosítására, valamint arra, hogy elsődleges kapcsolattartóként szolgáljon az érintettek számára a szóban forgó adatkezelési művelettel kapcsolatban;
                     
                  
                        6.
                     
                     
                        a „belső megállapodás”: két vagy több főigazgatóság vagy szolgálat közötti megállapodás, amely meghatározza felelősségi köreiket és összehangolja az adatkezelésről végzett nyilvántartás vezetését azon adatkezelési művelettel kapcsolatosan, amelynek tekintetében közösen határozzák meg az adatkezelés célját és eszközeit, vagy amelynél egy vagy több főigazgatóság vagy szolgálat végzi el a felhatalmazott adatkezelő adatkezelési műveleteinek egy részét;
                     
                  
                        7.
                     
                     
                        az „informátor” olyan magánszemély, aki az adatvédelmi tisztviselőt az (EU) 2018/1725 rendelet rendelkezéseinek állítólagos megsértéséről tájékoztatja, vagy attól olyan ügyek és események kivizsgálását kéri, amelyek közvetlenül kapcsolódnak annak feladataihoz, és amelyekről az adott magánszemély tájékoztatta az adatvédelmi tisztviselőt.
                     
                  
         2. FEJEZET
         
            AZ ADATVÉDELMI TISZTVISELŐ ÉS AZ ADATVÉDELMI KOORDINÁTOR
         
         
            4. cikk
            Kinevezés és álláshely
            Az adatvédelmi tisztviselőt a Bizottság alkalmazottai közül választják ki a szakmai alkalmasság – és így többek között a bizottsági szolgálatoknak, azok felépítésének, valamint adminisztratív szabályainak és eljárásainak alapos ismerete – alapján.
         
         
            5. cikk
            Feladatok és kötelességek
            
               (1)   Az adatvédelmi tisztviselő hozzájárul a személyes adatok védelmére vonatkozó Bizottságon belüli – kockázatértékelésen és elszámoltathatóságon alapuló – kultúra kialakításához.
            
            
               (2)   Az adatvédelmi tisztviselő nyomon követi az (EU) 2018/1725 rendelet Bizottságon belüli végrehajtását, egyebek mellett évente kidolgozza és végrehajtja a vizsgálati és ellenőrzési munkaprogramot.
            
            
               (3)   Az adatvédelmi tisztviselő megszervezi és levezeti az adatvédelmi koordinátorok rendszeres üléseit.
            
            
               (4)   Az adatvédelmi tisztviselő nyilvántartást vezet a Bizottság adatkezelési tevékenységeiről egy központi nyilvántartásban, amelyet nyilvánosan hozzáférhetővé tesz.
               Az adatvédelmi tisztviselő egy belső bizottsági nyilvántartást is vezet az (EU) 2018/1725 rendelet 3. cikkének 16. pontja szerinti adatvédelmi incidensekről.
            
            
               (5)   Feladatainak ellátása során az adatvédelmi tisztviselő együttműködik a többi uniós intézmény és szerv által kijelölt adatvédelmi tisztviselőkkel.
            
            
               (6)   Az adatvédelmi tisztviselő felhatalmazott adatkezelőnek minősül az adatvédelmi tisztviselő adatkezelési műveletei keretében hozott azon egyedi határozatok alkalmazásában, amelyek az érintetteknek az (EU) 2018/1725 rendelet szerinti jogaira vonatkoznak.
            
         
         
            6. cikk
            Hatáskörök
            Az adatvédelmi tisztviselői feladatok ellátása során az adatvédelmi tisztviselő:
            
                        a)
                     
                     
                        ha a feladataihoz szükséges, bármikor betekinthet a személyesadat-feldolgozási műveletek tárgyát képező adatokba, beléphet valamennyi hivatali helyiségbe, valamint hozzáférhet valamennyi adatfeldolgozó berendezéshez és adathordozóhoz;
                     
                  
                        b)
                     
                     
                        jogi véleményt kérhet a Bizottság Jogi Szolgálatától;
                     
                  
                        c)
                     
                     
                        a közte és a felhatalmazott adatkezelő, operatív adatkezelő vagy adatfeldolgozó közötti, az (EU) 2018/1725 rendelet értelmezésével kapcsolatos konfliktus esetén tájékoztathatja az illetékes felhatalmazott adatkezelőt és a főtitkárt;
                     
                  
                        d)
                     
                     
                        a megfelelő nyomon követés céljából ügyeket rendelhet a Bizottság érintett főigazgatóságaihoz vagy szolgálataihoz;
                     
                  
                        e)
                     
                     
                        kérésre vagy saját kezdeményezésére – a 11. cikkben meghatározott eljárásnak megfelelően – megvizsgálhat olyan ügyeket és eseményeket, amelyek közvetlenül kapcsolódnak a feladataihoz;
                     
                  
                        f)
                     
                     
                        ajánlások megfogalmazása és a tanácsadás során:
                        
                                    i.
                                 
                                 
                                    felszólíthatja a felhatalmazott adatkezelőt vagy az adatfeldolgozót, hogy teljesítse az érintettnek az (EU) 2018/1725 rendelet szerinti jogai gyakorlására vonatkozó kérelmét;
                                 
                              
                                    ii.
                                 
                                 
                                    figyelmeztetheti a felhatalmazott adatkezelőt vagy az adatfeldolgozót, hogy az adott adatkezelési művelet sérti az (EU) 2018/1725 rendelet rendelkezéseit, és felszólíthatja őket, hogy adott esetben meghatározott módon és határidőn belül hozzák összhangba a jogszabállyal az adatkezelési műveleteket;
                                 
                              
                                    iii.
                                 
                                 
                                    felszólíthatja a felhatalmazott adatkezelőt vagy az adatfeldolgozót, hogy függessze fel a tagállambeli címzett vagy harmadik ország vagy nemzetközi szervezet felé irányuló adatáramlást;
                                 
                              
                                    iv.
                                 
                                 
                                    felkérheti a felhatalmazott adatkezelőt vagy az adatfeldolgozót, hogy meghatározott határidőn belül tegyen jelentést az adatkezelő tisztviselő részére az adatkezelő tisztviselő ajánlását vagy tanácsát követő intézkedésekről;
                                 
                              
                  
                        g)
                     
                     
                        felhívhatja a főtitkár figyelmét arra, ha a felhatalmazott adatkezelő, az operatív adatkezelő vagy az adatfeldolgozó nem tesz eleget a 6. cikk f) pontja alapján hozott intézkedéseknek;
                     
                  
                        h)
                     
                     
                        az 1049/2001/EK európai parlamenti és tanácsi rendelet (5) alapján neki kell meghoznia a hivatala által tárolt dokumentumokhoz való hozzáférés iránti kérelmekről szóló kezdeti határozatokat.
                     
                  
         
            7. cikk
            Az adatvédelmi koordinátorok
            
               (1)   A felhatalmazott adatkezelő kinevezi az adatvédelmi koordinátort, és adott esetben egy vagy több helyettes adatvédelmi koordinátort a felelősségi körébe tartozó főigazgatóságon vagy szolgálaton belül. A következetesség vagy a hatékonyság okán két vagy több felhatalmazott adatkezelő úgy is dönthet, hogy közös adatvédelmi koordinátort vagy adatvédelmi koordinátor helyettest nevez ki, vagy hogy közösen veszi igénybe egy már kinevezett adatvédelmi koordinátor vagy adatvédelmi koordinátor helyettes szolgálatait. Az érintett felhatalmazott adatkezelők erre vonatkozó beleegyezésüket írásban rögzítik.
            
            
               (2)   A főigazgatóság vagy szolgálat által kinevezett adatvédelmi koordinátor az adott főigazgatóságért vagy szolgálatért felelős kabinetnél is hatáskörrel rendelkezik. A főtitkárság által kinevezett adatvédelmi koordinátor az elnöki kabinetnél is hatáskörrel is rendelkezik, valamint azon kabineteknél is, amelyeknek a főtitkárság az egyetlen támogató szolgálata. Amennyiben egy kabinet több főigazgatóságért vagy szolgálatért is felelős, a felhatalmazott adatkezelők döntik el, hogy az adott kabinet melyik adatvédelmi koordinátoruk hatáskörébe tartozik.
            
            
               (3)   Új adatvédelmi koordinátor kinevezésekor tájékoztatni kell az adatvédelmi tisztviselőt, az érintett főigazgatóságot vagy szolgálatot és az érintett kabinetet.
               Az új adatvédelmi koordinátorok a kinevezésüket követő hat hónapon belül elvégzik az adatvédelmi koordinátori szerepük betöltéséhez szükséges kompetenciák megszerzésére irányuló képzéseket. E képzési követelmény alól mentesül az az adatvédelmi koordinátor, aki egy másik főigazgatóságon vagy szolgálaton belül előzőleg már töltött be adatvédelmi koordinátori álláshelyet vagy az adatvédelmi koordinátori kinevezését megelőző két évben az adatvédelmi tisztviselő alkalmazottja volt.
            
            
               (4)   A felhatalmazott adatkezelők megfelelő intézkedéseket hoznak annak érdekében, hogy az adatvédelmi koordinátor megfelelően és kellő időben bekapcsolódjon minden, a főigazgatóságukon vagy szolgálatukon belüli adatvédelemmel kapcsolatos ügybe, és hogy az adatvédelmi koordinátor által kiadott véleményeket az adatvédelmi koordinátor kérésére haladéktalanul a felhatalmazott adatkezelő tudomására hozzák.
            
            
               (5)   Az adatvédelmi koordinátorok kiválasztása a szóban forgó főigazgatóság vagy szolgálat működésével kapcsolatos ismeretek és tapasztalatok, a feladattal kapcsolatos motiváció, az adatvédelemmel kapcsolatos készségek, az információs rendszer elveinek megértése és a kommunikációs készségek alapján történik.
            
            
               (6)   Az adatvédelmi koordinátor feladatai egyéb feladatokkal is összekapcsolhatók. A felhatalmazott adatkezelő biztosítja, hogy ezek a feladatok összeegyeztethetők legyenek az adatvédelmi koordinátor feladataival.
            
            
               (7)   Az adatvédelmi koordinátori feladatköre a személyzet minden egyes, adatvédelmi koordinátorként kinevezett tagja munkaköri leírásának részét képezi. Adatvédelmi feladataikról és eredményeikről az éves értékelő jelentésben említést kell tenni.
            
            
               (8)   Az adatvédelmi koordinátor kapcsolattartó pontként működik a felhatalmazott adatkezelő, az operatív adatkezelő és az adatfeldolgozó, valamint az adatvédelmi tisztviselő között.
            
            
               (9)   Az adatvédelmi koordinátorok a főigazgatóságukon vagy szolgálatukon belül minden olyan információt beszerezhetnek, amely az adatvédelmi koordinátori feladataik ellátásához szükséges. Az adatvédelmi koordinátorok csak akkor férhetnek hozzá személyes adatokhoz, ha az a feladatuk ellátásához szükséges.
            
            
               (10)   Az adatvédelmi koordinátor nyilvántartást vezet az érintettek által benyújtott kérelmekről, és olyan anonimizált statisztikákat bocsát a főigazgatóság, szolgálat vagy kabinet rendelkezésére, amelyekben feltünteti a kérelmek számát, illetve a részben vagy egészben elutasított kérelmek számát. Az adatvédelmi tisztviselő meghatározza a kérelmek azon kategóriáit, amelyekről statisztikát kell vezetni. Az adatvédelmi tisztviselő meghatározhatja, hogy milyen további részletes adatokat kell megadni.
               Az adatvédelmi koordinátor anonimizált statisztikákat vezet a főigazgatóság, szolgálat vagy kabinet által kezelt adatvédelmi incidensekről. A statisztikákban feltünteti az adatvédelmi incidensek összesített számát, az európai adatvédelmi biztos részére bejelentett adatvédelmi incidensek számát, valamint az érintettekkel közölt adatvédelmi incidensek számát.
            
            
               (11)   Az adatvédelmi koordinátor növeli az adatvédelmi ügyekkel kapcsolatos tudatosságot a főigazgatóságán vagy szolgálatán belül, valamint tanácsot ad és segítséget nyújt a felhatalmazott adatkezelőknek és az operatív adatkezelőknek a kötelezettségeik teljesítéséhez különösen az alábbiak tekintetében:
               
                           a)
                        
                        
                           az (EU) 2018/1725 rendelet általános elveinek végrehajtása;
                        
                     
                           b)
                        
                        
                           az adatkezelési műveletek dokumentációja;
                        
                     
                           c)
                        
                        
                           a felhatalmazott adatkezelők adatkezelési műveleteire vonatkozó nyilvántartások benyújtása az adatvédelmi tisztviselőnek a 10. cikkel összhangban;
                        
                     
                           d)
                        
                        
                           adatvédelmi nyilatkozatok elkészítése.
                        
                     
            
               (12)   Az adatvédelmi koordinátorok részt vesznek az adatvédelmi koordinátorok ülésein és szükség esetén azok munkacsoportjaiban.
            
            
               (13)   Az adatvédelmi tisztviselő további iránymutatást ad ki az adatvédelmi koordinátor felelősségi területéről és feladatairól.
            
         
         3. FEJEZET
         
            ADATKEZELŐK
         
         
            8. cikk
            Felhatalmazott adatkezelők és operatív adatkezelők
            
               (1)   A felhatalmazott adatkezelők az (EU) 2018/1725 rendelet végrehajtásának alkalmazásában adatkezelőként járnak el a Bizottság nevében.
            
            
               (2)   A felhatalmazott adatkezelők és az operatív adatkezelők:
               
                           a)
                        
                        
                           az adatvédelmi koordinátoron keresztül konzultálhatnak az adatvédelmi tisztviselővel a tekintetben, hogy az adatkezelési műveletek megfelelnek-e a rendelet előírásainak, különösen ha e megfelelés tekintetében kétségek merülnek fel;
                        
                     
                           b)
                        
                        
                           az adatvédelmi koordinátoron keresztül jelentést tesznek az adatvédelmi tisztviselőnek az érintettektől kapott joggyakorlás iránti kérelmek kezeléséről.
                        
                     
            
               (3)   A felhatalmazott adatkezelő:
               
                           a)
                        
                        
                           operatív adatkezelőt jelöl ki, aki a felhatalmazott adatkezelőt az (EU) 2018/1725 rendeletnek való, főleg az érintettekkel szembeni megfelelés biztosításában segít;
                        
                     
                           b)
                        
                        
                           biztosítja, hogy a többi igazgatósággal vagy szolgálattal belső megállapodások legyenek érvényben, ha a felhatalmazott adatkezelő a szóban forgó főigazgatóságokkal vagy szolgálatokkal közösen hajt végre adatkezelési műveleteket, vagy ha a szóban forgó főigazgatóságok vagy szolgálatok végzik el a felhatalmazott adatkezelő adatkezelési műveleteinek egy részét.
                        
                     Az első albekezdés b) pontjában említett megállapodások meghatározzák az adatvédelmi kötelezettségeik teljesítéséért fennálló felelősségüket. Rendelkeznek mindenekelőtt azon felhatalmazott adatkezelő kilétéről, aki meghatározza az adatkezelési művelet eszközeit és céljait, valamint az adatkezelést végző operatív adatkezelőt, és azt – ahol ez indokolt –, hogy milyen személy és/vagy szervezetek segítik az operatív adatkezelőt többek között adatvédelmi incidensek esetén vagy az érintettek jogainak érvényesítésében.
            
            
               (4)   Az operatív adatkezelő:
               
                           a)
                        
                        
                           fogadja és feldolgozza az érintettektől beérkező valamennyi kérést;
                        
                     
                           b)
                        
                        
                           tájékoztatja az európai adatvédelmi biztost adatvédelmi incidensek esetén;
                        
                     
                           c)
                        
                        
                           tájékoztatja az adatvédelmi koordinátort és az adatvédelmi tisztviselőt adatvédelmi incidensek esetén, és adott esetben értesíti az érintettet;
                        
                     
                           d)
                        
                        
                           biztosítja az adatvédelmi koordinátor tájékoztatását minden adatvédelmi üggyel kapcsolatban, különösen az érintettektől származó kérelmekről;
                        
                     
                           e)
                        
                        
                           a felhatalmazott adatkezelő kérésére elvégzi az e határozat hatálya alá tartozó egyéb feladatokat.
                        
                     
         
         4. FEJEZET
         
            EGYÉB KÖTELEZETTSÉGEK ÉS ELJÁRÁSOK
         
         
            9. cikk
            Tájékoztatás
            A felhatalmazott adatkezelő az adatvédelmi koordinátorral együttműködve tájékoztatja az adatvédelmi tisztviselőt arról, amikor az (EU) 2018/1725 rendelettel – és különösen annak 40. és 41. cikkével – összhangban konzultál vagy információt közöl az európai adatvédelmi biztossal. Ezen túlmenően a felhatalmazott adatkezelő, az operatív adatkezelő vagy az adatvédelmi koordinátor tájékoztatja az adatvédelmi tisztviselőt az európai adatvédelmi biztossal az (EU) 2018/1725 rendelet végrehajtásával kapcsolatban folytatott bármely egyéb közvetlen kapcsolatfelvételről.
         
         
            10. cikk
            Nyilvántartás
            
               (1)   Az adatvédelmi tisztviselő biztosítja, hogy a Bizottság adatkezelési műveleteinek nyilvántartása elérhető legyen az adatvédelmi tisztviselőnek a bizottsági intraneten és az EUROPA honlapon található weboldalán is.
            
            
               (2)   A felhatalmazott adatkezelők az adatkezelési műveleteikről vezetett nyilvántartásaikat az adatvédelmi koordinátoron keresztül, a Bizottság online bejelentőrendszerén nyújtják be az adatvédelmi tisztviselőnek; ez a bejelentőrendszer az adatvédelmi tisztviselő bizottsági intraneten található weboldalán keresztül érhető el.
            
         
         
            11. cikk
            Vizsgálati eljárás
            
               (1)   A 6. cikk e) bekezdésében említett vizsgálat elindítására irányuló kérelmet írásban kell benyújtani az adatvédelmi tisztviselőnek. Az adatvédelmi tisztviselő a kézhezvételt követő tizenöt munkanapon belül átvételi elismervényt küld a vizsgálatot kérelmezőnek, és ellenőrzi, hogy a kérelmet a vonatkozó titoktartás biztosítása érdekében bizalmasan kell-e kezelni, kivéve, ha az érintett egyértelműen hozzájárul a kérelem nem bizalmas kezeléséhez. A vizsgálati kérelem jogával való nyilvánvaló visszaélés esetén az adatvédelmi tisztviselő nem köteles választ adni a kérelmezőnek.
            
            
               (2)   Az adatvédelmi tisztviselő írásos állásfoglalást kér az ügyről a kérdéses adatkezelési műveletért felelős felhatalmazott adatkezelőtől. A felhatalmazott adatkezelő tizenöt munkanapon belül megküldi válaszát az adatvédelmi tisztviselőnek. Az adatvédelmi tisztviselő tizenöt munkanapon belül kiegészítő információkat kérhet a felhatalmazott adatkezelőtől, az adatfeldolgozótól vagy egyéb más felektől.
            
            
               (3)   Az adatvédelmi tisztviselő a kérelem kézhezvételtől számított legkésőbb három hónapon belül jelentést küld a vizsgálatot kérelmező személynek. Ez a határidő mindaddig felfüggeszthető, amíg az adatvédelmi tisztviselő meg nem kapja az általa kért minden szükséges információt.
            
            
               (4)   Senki sem szenvedhet sérelmet amiatt, hogy az (EU) 2018/1725 rendelet rendelkezéseinek vélt megsértésével kapcsolatban felhívta az adatvédelmi tisztviselő figyelmét egy ügyre.
            
         
         
            12. cikk
            Igazgatás és irányítás
            
               (1)   Az adatvédelmi tisztviselő igazgatásilag a főigazgatósághoz tartozik. Ezzel összefüggésben az adatvédelmi tisztviselő részt vesz a főigazgatóság éves irányítási tervének és előzetes költségvetés-tervezetének elkészítésében.
            
            
               (2)   Az adatvédelmi tisztviselő az Adatvédelmi hivatal személyzete esetében ellátja az értékelő tisztviselő szerepét. Ellenjegyző tisztviselőként a főtitkárhelyettes jár el. Az adatvédelmi tisztviselő adott esetben részt vesz a főtitkárság irányításának koordinálásában.
            
         
         5. FEJEZET
         
            AZ ÉRINTETTEK JOGAINAK KORLÁTOZÁSAI
         
         
            13. cikk
            Alkalmazandó kivételek és korlátozások
            
               (1)   Amennyiben a Bizottság feladatait az (EU) 2018/1725 rendeletnek megfelelően az érintettek jogaira vonatkozóan gyakorolja, mérlegelnie kell, hogy alkalmazandó-e az említett rendeletben megállapított kivételek valamelyike.
            
            
               (2)   E határozat 14–18. cikkére is figyelemmel a Bizottság korlátozhatja az (EU) 2018/1725 rendelet 14–17., 19., 20. és 35. cikkének alkalmazását, továbbá a 4. cikk (1) bekezdésének a) pontjában meghatározott átláthatóság elvének alkalmazását, amennyiben a korlátozó jogi aktus rendelkezései megfelelnek az (EU) 2018/1725 rendelet 14–17., 19. és 20. cikkében foglalt jogoknak és kötelezettségeknek, amennyiben e jogok és kötelezettségek gyakorlása – egyebek mellett például a vizsgálati eszközök és módszerek feltárása révén – veszélyeztetné az adatvédelmi tisztviselő vizsgálati és végrehajtási tevékenységeinek célját, vagy hátrányosan érintené más érintettek jogait és szabadságait a 25. cikk (1) bekezdésének c), g) és h) pontjával összhangban.
            
            
               (3)   E határozat 14–18. cikkére figyelemmel, a Bizottság az adatvédelmi tisztviselő által a bizottsági szolgálatoktól vagy más uniós intézményektől, szervektől, kapott személyes adatok vonatkozásában is korlátozhatja az e cikk (2) bekezdésében említett jogokat és kötelezettségeket. A Bizottság akkor járhat el így, ha a szóban forgó bizottsági szolgálatok vagy más uniós intézmények, szervek korlátozhatnák e jogok gyakorlását és kötelezettségek teljesítését az (EU) 2018/1725 rendelet 25. cikkében meghatározott vagy az említett rendelet IX. fejezetével, az (EU) 2016/794 európai parlamenti és tanácsi rendelettel (6) vagy az (EU) 2017/1939 tanácsi rendelettel (7) összhangban álló egyéb jogi aktusok alapján.
               Az első albekezdésben említett körülmények fennállása esetén a Bizottság a korlátozások alkalmazását megelőzően konzultál az érintett uniós intézményekkel vagy szervekkel, kivéve, ha a Bizottság számára egyértelmű, hogy az említett albekezdésben hivatkozott jogi aktusok valamelyike előírja a korlátozás alkalmazását.
            
            
               (4)   A jogok és kötelezettségek alkalmazásának e cikk (2) bekezdésében említett bármilyen korlátozásának az érintettek jogait és szabadságait érintő kockázatokra figyelemmel szükségesnek és arányosnak kell lennie.
            
         
         
            14. cikk
            Az érintettek tájékoztatása
            
               (1)   A Bizottság saját honlapján közzéteszi azon adatvédelmi nyilatkozatokat, amelyek az összes érintettet tájékoztatják az adatvédelmi tisztviselő azon feladatairól, amelyek személyes adataik kezelésével járnak.
            
            
               (2)   A Bizottság egyénileg, megfelelő módon tájékoztat minden olyan természetes személyt, akit az adatvédelmi tisztviselő feladatai által érintett személynek vagy informátornak minősít.
            
            
               (3)   Amennyiben a Bizottság részben vagy egészben korlátozza az érintettek (2) bekezdés szerinti tájékoztatását, e határozat 17. cikkével összhangban feljegyzi és nyilvántartásba veszi a korlátozás okait.
            
         
         
            15. cikk
            Az érintettek hozzáféréshez, törléshez és az adatkezelés korlátozásához való joga
            
               (1)   Amennyiben a Bizottság részben vagy egészben korlátozza az érintetteknek az (EU) 2018/1725 rendelet 17., 19. és 20. cikkében említett hozzáférési, törlési vagy adatkezelés-korlátozási jogát, a hozzáférés, törlés vagy adatkezelés-korlátozás iránti kérelemre adott válaszában tájékoztatja az érintettet az alkalmazott korlátozásról és annak fő okairól, valamint arról, hogy panasszal élhet az európai adatvédelmi biztosnál, vagy bírósági jogorvoslatot kérhet az Európai Unió Bíróságánál.
            
            
               (2)   Az (1) bekezdésben említett korlátozás okairól szóló tájékoztatást el lehet halasztani, el lehet hagyni vagy meg lehet tagadni, amennyiben az meghiúsítaná a korlátozás célját.
            
            
               (3)   A Bizottság a 17. cikkel összhangban feljegyzi és nyilvántartásba veszi a korlátozás okait.
            
            
               (4)   Amennyiben a hozzáférés jogát részben vagy egészben korlátozták, az érintettnek joga van az európai adatvédelmi biztos közvetítésével gyakorolni hozzáférési jogát az (EU) 2018/1725 rendelet 25. cikkének (6), (7) és (8) bekezdésével összhangban.
            
         
         
            16. cikk
            Az érintett tájékoztatása az adatvédelmi incidensről
            Amennyiben a Bizottság korlátozza az érintettnek az adatvédelmi incidensről való, az (EU) 2018/1725 rendelet 35. cikke szerinti tájékoztatását, e határozat 17. cikkével összhangban feljegyzi és nyilvántartásba veszi a korlátozás okait.
         
         
            17. cikk
            A korlátozások feljegyzése és nyilvántartásba vétele
            
               (1)   A Bizottság feljegyzi az e határozat alapján alkalmazott korlátozások okait, beleértve a korlátozás szükségességének és arányosságának eseti alapon történő értékelését, figyelembe véve az (EU) 2018/1725 rendelet 25. cikkének (2) bekezdésében szereplő vonatkozó elemeket.
               Ebből a célból a feljegyzésben szerepeltetni kell, hogy a jog gyakorlása milyen módon veszélyeztetné az adatvédelmi tisztviselő e határozat szerinti feladatainak célját vagy a 13. cikk (2) vagy (3) bekezdése alapján alkalmazott korlátozásokat, vagy miként érintené hátrányosan más érintettek jogait és szabadságait.
            
            
               (2)   A feljegyzést és adott esetben a mögöttes ténybeli és jogi elemeket tartalmazó dokumentumokat nyilvántartásba kell venni. Kérésre ezeket az európai adatvédelmi biztos rendelkezésére bocsátják.
            
         
         
            18. cikk
            A korlátozások időtartama
            
               (1)   A 14., 15. és 16. cikkben említett korlátozások mindaddig alkalmazandók, amíg azok okai fennállnak.
            
            
               (2)   Amennyiben a 14. vagy 16. cikkben említett korlátozás okai már nem állnak fenn, a Bizottság feloldja a korlátozást, és az érintettet tájékoztatja a korlátozás okairól. Ezzel egyidejűleg a Bizottság tájékoztatja az érintettet arról a jogáról, hogy bármikor panaszt nyújthat be az európai adatvédelmi biztoshoz, vagy bírósági jogorvoslati kérelmet terjeszthet elő az Európai Unió Bíróságán.
            
            
               (3)   A Bizottság a 14. és a 16. cikkben említett korlátozások alkalmazását annak kezdetétől fogva hathavonta, és az illetékes adatvédelmi tisztviselő adott tevékenységének lezárultakor felülvizsgálja. Ezt követően a Bizottság évente felülvizsgálja az esetleges korlátozás vagy halasztás fenntartásának szükségességét.
            
         
         
            19. cikk
            Az adatvédelmi tisztviselő általi felülvizsgálat
            
               (1)   Amennyiben más bizottsági szolgálatok arra a következtetésre jutnak, hogy az érintett jogait e határozat alapján korlátozni kell, tájékoztatják az adatvédelmi tisztviselőt. E bizottsági szolgálatok hozzáférést biztosítanak az adatvédelmi tisztviselő számára a nyilvántartáshoz, valamint az alapul szolgáló tényszerű és jogi elemeket tartalmazó dokumentumokhoz.
            
            
               (2)   Az adatvédelmi tisztviselő kérheti, hogy az érintett bizottsági szolgálat felhatalmazott adatkezelője felülvizsgálja a korlátozások alkalmazását. A bizottsági szolgálat felhatalmazott adatkezelője írásban tájékoztatja az adatvédelmi tisztviselőt a kért felülvizsgálat eredményéről.
            
         
         6. FEJEZET
         
            ZÁRÓ RENDELKEZÉSEK
         
         
            20. cikk
            Hatályon kívül helyezés
            A 2008/597/EK határozat hatályát veszti.
         
         
            21. cikk
            Hatálybalépés
            Ez a határozat az Európai Unió Hivatalos Lapjában való kihirdetését követő huszadik napon lép hatályba.
         
         
            Kelt Brüsszelben, 2020. július 3-án.
            
               
                  a Bizottság részéről
               
               
                  az elnök
               
               Ursula VON DER LEYEN
            
         
         
            (1)  HL L 295., 2018.11.21., 39. o.
         
         
            (2)  SEC(2019) 900/2.
         
            (3)  A Bizottság 2008/597/EK határozata (2008. június 3.) az adatvédelmi tisztviselőre vonatkozó végrehajtási szabályoknak a személyes adatok közösségi intézmények és szervek által történő feldolgozása tekintetében az egyének védelméről, valamint az ilyen adatok szabad áramlásáról szóló 45/2001/EK rendelet 24. cikkének (8) bekezdése szerinti elfogadásáról (HL L 193., 2008.7.22., 7. o.).
         
            (4)  Az Európai Parlament és a Tanács 45/2001/EK rendelete (2000. december 18.) a személyes adatok közösségi intézmények és szervek által történő feldolgozása tekintetében az egyének védelméről, valamint az ilyen adatok szabad áramlásáról (HL L 8., 2001.1.12., 1. o.).
         
            (5)  Az Európai Parlament és a Tanács 1049/2001/EK rendelete (2001. május 30.) az Európai Parlament, a Tanács és a Bizottság dokumentumaihoz való nyilvános hozzáférésről (HL L 145., 2001.5.31., 43. o.).
         
            (6)  Az Európai Parlament és a Tanács (EU) 2016/794 rendelete (2016. május 11.) a Bűnüldözési Együttműködés Európai Uniós Ügynökségéről (Europol), valamint a 2009/371/IB, a 2009/934/IB, a 2009/935/IB, a 2009/936/IB és a 2009/968/IB tanácsi határozat felváltásáról és hatályon kívül helyezéséről (HL L 135., 2016.5.24., 53. o.).
         
            (7)  A Tanács (EU) 2017/1939 rendelete (2017. október 12.) az Európai Ügyészség létrehozására vonatkozó megerősített együttműködés bevezetéséről (HL L 283., 2017.10.31., 1. o.).