CELEX: 32020Q0116(01)
Language: sk
Date: 2019-06-28 00:00:00
Title: Rozhodnutie správnej rady Európskeho monitorovacieho centra pre drogy a drogovú závislosť z 28. Júna 2019 o interných predpisoch týkajúcich sa obmedzení určitých práv dotknutých osôb v súvislosti so spracúvaním osobných údajov v rámci činnosti EMCDDA

16.1.2020   
               
               
                  SK
               
               
                  Úradný vestník Európskej únie
               
               
                  L 12/29
               
            
         ROZHODNUTIE SPRÁVNEJ RADY EURÓPSKEHO MONITOROVACIEHO CENTRA PRE DROGY A DROGOVÚ ZÁVISLOSŤ
         z 28. Júna 2019
         o interných predpisoch týkajúcich sa obmedzení určitých práv dotknutých osôb v súvislosti so spracúvaním osobných údajov v rámci činnosti EMCDDA
         SPRÁVNA RADA EMCDDA
         so zreteľom na Zmluvu o fungovaní Európskej únie,
         so zreteľom na nariadenie Európskeho parlamentu a Rady (EÚ) 2018/1725 z 23. októbra 2018 o ochrane fyzických osôb pri spracúvaní osobných údajov inštitúciami, orgánmi, úradmi a agentúrami Únie a o voľnom pohybe takýchto údajov, ktorým sa zrušuje nariadenie (ES) č. 45/2001 a rozhodnutie č. 1247/2002/ES (1), a najmä na jeho článok 25,
         so zreteľom na nariadenie Európskeho parlamentu a Rady (ES) č. 1920/2006 z 12. decembra 2006 o Európskom monitorovacom centre pre drogy a drogovú závislosť (2), a najmä na jeho články 6 a 9,
         so zreteľom na stanovisko EDPS z 29. mája 2019 a na usmernenia EDPS k článku 25 nového nariadenia a k interným predpisom,
         keďže:
         
                     (1)
                  
                  
                     EMCDDA vykonáva svoje činnosti v súlade s uvedeným nariadením Rady (ES) č. 1920/2006.
                  
               
                     (2)
                  
                  
                     V súlade s článkom 25 ods. 1 nariadenia (EÚ) 2018/1725 obmedzenia uplatňovania článkov 14 až 22, 35 a 36, ako aj článku 4 uvedeného nariadenia, pokiaľ jeho ustanovenia zodpovedajú právam a povinnostiam stanoveným v článkoch 14 až 22 by mali vychádzať z interných predpisov prijatých EMCDDA, ak nie sú založené na právnych aktoch prijatých na základe zmlúv.
                  
               
                     (3)
                  
                  
                     Tieto interné predpisy vrátane ustanovení o posúdení nutnosti a primeranosti obmedzenia by sa nemali uplatňovať v prípade, keď právny akt prijatý na základe zmlúv stanovuje obmedzenie práv dotknutej osoby.
                  
               
                     (4)
                  
                  
                     Ak EMCDDA vykonáva svoje povinnosti v súvislosti s právami dotknutých osôb podľa nariadenia (EÚ) 2018/1725, vezme do úvahy, či sa vzťahuje niektorá z výnimiek stanovených v uvedenom nariadení.
                  
               
                     (5)
                  
                  
                     V rámci svojho administratívneho fungovania môže EMCDDA vykonávať administratívne vyšetrovania, disciplinárne konania, uskutočňovať predbežné činnosti týkajúce sa prípadov potenciálnych nezrovnalostí nahlasovaných úradu OLAF, zaoberať sa prípadmi oznamovania protispoločenskej činnosti, zaoberať sa (formálnymi a neformálnymi) postupmi pre prípady obťažovania, vybavovať interné a externé sťažnosti, vykonávať vnútorné audity, vykonávať vyšetrovania zo strany zodpovednej osoby v súlade s článkom 45 ods. 2 nariadenia (EÚ) 2018/1725 a interné vyšetrovania v oblasti bezpečnosti informačných technológií.
                  
               
                     (6)
                  
                  
                     EMCDDA spracúva niekoľko kategórií osobných údajov vrátane tvrdých údajov („objektívne“ údaje, ako sú identifikačné údaje, kontaktné údaje, služobné údaje, správne údaje, údaje získané z konkrétnych zdrojov, elektronické komunikácie a prevádzkové údaje) a/alebo mäkkých údajov („subjektívne“ údaje týkajúce sa konkrétneho prípadu, ako napríklad odôvodnenie, údaje o správaní, hodnotenia, údaje o výkonnosti a výkone povolania a údaje súvisiace s predmetom alebo predložené v súvislosti s predmetom postupu alebo činnosti).
                  
               
                     (7)
                  
                  
                     EMCDDA, zastúpené riaditeľom, koná vo vzťahu k údajom ako prevádzkovateľ bez ohľadu na ďalšie delegovanie úlohy prevádzkovateľa v rámci EMCDDA, ktoré zohľadňuje prevádzkové povinnosti pri konkrétnych operáciách spracúvania osobných údajov.
                  
               
                     (8)
                  
                  
                     Osobné údaje sa bezpečne uchovávajú v elektronickom prostredí alebo na papieri, čím sa zabraňuje nezákonnému prístupu k nim alebo ich nezákonnému prenosu osobám, ktoré tieto údaje nepotrebujú poznať. Spracúvané osobné údaje sa neuchovávajú dlhšie, než je potrebné a vhodné na účely, na ktoré sa údaje spracúvajú počas obdobia uvedeného v oznámeniach o ochrane údajov, vyhláseniach o ochrane osobných údajov alebo v záznamoch EMCDDA.
                  
               
                     (9)
                  
                  
                     Tieto interné predpisy by sa mali vzťahovať na všetky spracovateľské operácie, ktoré EMCDDA uskutočňuje pri výkone administratívnych vyšetrovaní, disciplinárnych konaniach, predbežných činnostiach týkajúcich sa prípadov možných nezrovnalostí nahlasovaných úradu OLAF, pri postupoch oznamovania protispoločenskej činnosti, pri (formálnych a neformálnych) postupoch v prípadoch obťažovania, vybavovaní interných a externých sťažností, vnútorných auditoch, vyšetrovaniach, ktoré vykonáva zodpovedná osoba v súlade s článkom 45 ods. 2 nariadenia (EÚ) 2018/1725, vyšetrovaniach v oblasti bezpečnosti informačných technológií vykonávaných interne alebo so zapojením externých subjektov (napr. CERT-EU).
                  
               
                     (10)
                  
                  
                     Tieto vnútorné predpisy by mali platiť pre spracovateľské operácie vykonané pred začatím uvedených postupov, počas týchto postupov a počas monitorovania opatrení nadväzujúcich na výsledky týchto postupov. Mala by tu patriť aj pomoc a spolupráca, ktorú EMCDDA poskytuje vnútroštátnym orgánom a medzinárodným organizáciám mimo administratívnych vyšetrovaní.
                  
               
                     (11)
                  
                  
                     V prípadoch, v ktorých sa tieto interné predpisy uplatňujú, EMCDDA musí odôvodniť, prečo sú obmedzenia nevyhnutne potrebné a primerané v demokratickej spoločnosti a že rešpektujú podstatu základných práv a slobôd.
                  
               
                     (12)
                  
                  
                     V tomto rámci je EMCDDA povinné v maximálnej možnej miere rešpektovať základné práva dotknutých osôb počas uvedených postupov, najmä tie, ktoré sa týkajú práva na poskytovanie informácií, prístupu a opravy, práva na vymazanie, obmedzenia spracúvania, práva na oznámenie porušenia ochrany osobných údajov dotknutej osobe alebo na dôvernosť komunikácie, ako je to zakotvené v nariadení (EÚ) 2018/1725.
                  
               
                     (13)
                  
                  
                     EMCDDA však môže mať povinnosť obmedziť informácie pre dotknutú osobu a iné práva dotknutej osoby, s cieľom chrániť najmä svoje vlastné vyšetrovania, vyšetrovania a postupy iných orgánov verejnej moci, ako aj práva iných osôb, ktoré súvisia s jeho vyšetrovaním alebo inými postupmi.
                  
               
                     (14)
                  
                  
                     EMCDDA preto môže tieto informácie obmedziť na účely ochrany vyšetrovania a základných práv a slobôd iných dotknutých osôb.
                  
               
                     (15)
                  
                  
                     EMCDDA by malo pravidelne monitorovať uplatňovanie podmienok, ktorými sa toto obmedzenie odôvodňuje, a zrušiť obmedzenie, pokiaľ sa tieto podmienky už neuplatňujú.
                  
               
                     (16)
                  
                  
                     Prevádzkovateľ by mal informovať zodpovednú osobu v čase odkladu a počas revízií.
                  
               PRIJALA TOTO ROZHODNUTIE:
         
            Článok 1
            Predmet úpravy a rozsah pôsobnosti
            
               1.   V tomto rozhodnutí sa stanovujú pravidlá týkajúce sa podmienok, za ktorých EMCDDA v rámci svojich postupov stanovených v odseku 2 môže podľa článku 25 nariadenia (EÚ) 2018/1725 obmedziť uplatňovanie práv zakotvených v článkoch 14 až 21, 35 a 36, ako aj v jeho článku 4.
            
            
               2.   V rámci administratívnej činnosti EMCDDA sa toto rozhodnutie vzťahuje na operácie spracúvania osobných údajov, ktoré EMCDDA vykonáva na účely: administratívnych vyšetrovaní, disciplinárnych konaní, predbežných činností týkajúcich sa prípadov možných nezrovnalostí nahlasovaných úradu OLAF, spracúvania prípadov oznamovania protispoločenskej činnosti, vybavovania (formálnych a neformálnych) postupov zameraných na prípady obťažovania, vybavovania interných a externých sťažností, vykonávania vnútorných auditov, vyšetrovaní, ktoré vykonáva zodpovedná osoba v súlade s článkom 45 ods. 2 nariadenia (EÚ) 2018/1725 a vyšetrovaní v oblasti bezpečnosti informačných technológií realizovaných interne alebo so zapojením externých subjektov (napr. CERT-EU)..
            
            
               3.   Kategórie dotknutých osobných údajov predstavujú tvrdé údaje („objektívne“ údaje, ako sú identifikačné údaje, kontaktné údaje, služobné údaje, správne údaje, údaje získané z konkrétnych zdrojov, elektronické komunikácie a prevádzkové údaje) a/alebo mäkké údaje („subjektívne“ údaje týkajúce sa konkrétneho prípadu, ako napríklad odôvodnenie, údaje o správaní, hodnotenia, údaje o výkonnosti a výkone povolania a údaje súvisiace s predmetom alebo predložené v súvislosti s predmetom postupu alebo činnosti).
            
            
               4.   Ak EMCDDA vykonáva svoje povinnosti v súvislosti s právami dotknutých osôb podľa nariadenia (EÚ) 2018/1725, vezme do úvahy, či sa vzťahuje niektorá z výnimiek stanovených v uvedenom nariadení.
            
            
               5.   S výhradou podmienok stanovených v tomto rozhodnutí sa obmedzenia môžu vzťahovať na tieto práva: poskytovanie informácií dotknutým osobám, právo prístupu, právo na opravu, vymazanie, obmedzenie spracúvania, oznamovanie porušenia ochrany osobných údajov dotknutej osobe alebo dôvernosť komunikácie.
            
         
         
            Článok 2
            Špecifikácia prevádzkovateľa a záruk
            
               1.   Existujúce záruky na zabránenie prípadom porušenia ochrany údajov, únikom alebo neoprávnenému zverejneniu sú tieto:
               
                           a)
                        
                        
                           papierové dokumenty sa uchovávajú v zabezpečených skriniach a prístup k nim majú len oprávnení zamestnanci;
                        
                     
                           b)
                        
                        
                           všetky elektronické údaje sa uchovávajú v zabezpečenej aplikácii IT v súlade s bezpečnostnými štandardmi EMCDDA, ako aj v špecifických elektronických adresároch, ku ktorým majú prístup len oprávnení zamestnanci. Príslušné úrovne prístupu sa udeľujú individuálne;
                        
                     
                           c)
                        
                        
                           databáza musí byť chránená heslom v rámci jednotného systému prihlasovania a automaticky napojená na identifikátor a heslo používateľa. Nahrádzanie používateľov je prísne zakázané. Elektronické záznamy sa uchovávajú v bezpečí, aby sa zabezpečila dôvernosť a ochrana údajov, ktoré obsahujú;
                        
                     
                           d)
                        
                        
                           všetky osoby, ktoré majú prístup k údajom sú viazané povinnosťou zachovávať dôvernosť.
                        
                     
            
               2.   Prevádzkovateľom vo vzťahu k spracovateľským operáciám je EMCDDA, zastúpené svojim riaditeľom, ktorý môže funkciu prevádzkovateľa delegovať. Dotknuté osoby sú o delegovanom prevádzkovateľovi informované prostredníctvom oznámení o ochrane údajov alebo záznamov uverejnených na webovej stránke a/alebo na intranete EMCDDA.
            
            
               3.   Obdobie uchovávania osobných údajov uvedené v článku 1 ods. 3 nesmie byť dlhšie, ako je potrebné a vhodné na účely, na ktoré sa údaje spracúvajú. V žiadnom prípade nesmie byť dlhšie, než je obdobie uchovávania údajov uvedené v oznámeniach o ochrane údajov, vyhláseniach o ochrane osobných údajov alebo v záznamoch uvedených v článku 5 ods. 1
            
            
               4.   Ak EMCDDA uvažuje o uplatnení obmedzenia, zváži riziko spojené s právami a slobodami dotknutej osoby, najmä v porovnaní s rizikom pre práva a slobody iných dotknutých osôb a rizikom, že zruší účinok vyšetrovaní alebo postupov EMCDDA, napríklad tým, že zničí dôkazy. Riziká ohrozujúce práva a slobody dotknutej osoby sa týkajú predovšetkým, ale nielen, rizika poškodenia dobrej povesti a rizík spojených s právom na obhajobu a právom na vypočutie.
            
         
         
            Článok 3
            Obmedzenia
            
               1.   EMCDDA uplatní akékoľvek obmedzenie len s cieľom zaistiť:
               
                           a)
                        
                        
                           predchádzanie trestným činom, ich vyšetrovanie, odhaľovanie alebo stíhanie alebo výkon trestných sankcií vrátane ochrany pred ohrozeniami verejnej bezpečnosti a predchádzania týmto ohrozeniam;
                        
                     
                           b)
                        
                        
                           iné dôležité ciele všeobecného verejného záujmu Únie alebo členského štátu, najmä ciele spoločnej zahraničnej a bezpečnostnej politiky Únie alebo dôležitý hospodársky alebo finančný záujem Únie alebo členského štátu vrátane peňažných, rozpočtových a daňových záležitostí, verejného zdravia a sociálneho zabezpečenia;
                        
                     
                           c)
                        
                        
                           vnútornú bezpečnosť inštitúcií a orgánov Únie vrátane ich elektronických komunikačných sietí;
                        
                     
                           d)
                        
                        
                           ochranu nezávislosti súdnictva a súdnych konaní;
                        
                     
                           e)
                        
                        
                           predchádzanie porušeniam etiky v prípade regulovaných povolaní, ich vyšetrovanie, odhaľovanie a stíhanie;
                        
                     
                           f)
                        
                        
                           monitorovaciu, kontrolnú alebo regulačnú funkciu spojenú, hoci aj príležitostne, s výkonom verejnej moci v prípadoch uvedených v písmenách a) až c);
                        
                     
                           g)
                        
                        
                           ochranu dotknutej osoby alebo práv a slobôd iných.
                        
                     
            
               2.   Ako osobitné uplatňovanie účelov opísaných v odseku 1 môže EMCDDA použiť obmedzenia vo vzťahu k osobným údajom vymieňaným s útvarmi Komisie alebo inými inštitúciami, orgánmi, agentúrami a úradmi Únie, príslušnými orgánmi členských štátov alebo tretích krajín alebo medzinárodnými organizáciami za týchto okolností:
               
                           a)
                        
                        
                           ak by uplatňovanie uvedených práv a povinností mohli obmedziť útvary Komisie alebo iné inštitúcie, orgány, úrady a agentúry Únie na základe iných aktov podľa článku 25 nariadenia (EÚ) 2018/1725 alebo v súlade s kapitolou IX uvedeného nariadenia, resp. na základe zakladajúcich aktov iných inštitúcií, orgánov, úradov a agentúr Únie;
                        
                     
                           b)
                        
                        
                           ak by uplatňovanie uvedených práv a povinností mohli obmedziť príslušné orgány členských štátov na základe aktov podľa článku 23 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 (3) alebo na základe vnútroštátnych opatrení, ktorými sa transponuje článok 13 ods. 3, článok 15 ods. 3 alebo článok 16 ods. 3 smernice Európskeho parlamentu a Rady (EÚ) 2016/680 (4);
                        
                     
                           c)
                        
                        
                           ak by uplatňovanie uvedených práv a povinností mohlo ohroziť spoluprácu EMCDDA s tretími krajinami alebo medzinárodnými organizáciami pri plnení jeho úloh.
                        
                     Pred uplatnením obmedzení za okolností uvedených v prvom pododseku písm. a) a b) sa EMCDDA poradí s príslušnými útvarmi Komisie, inštitúciami, orgánmi, úradmi a agentúrami Únie alebo príslušnými orgánmi členských štátov, pokiaľ nie je EMCDDA jasné, či je uplatnenie obmedzenia stanovené v niektorom z právnych aktov uvedených v týchto písmenách.
            
            
               3.   Každé obmedzenie je potrebné a primerané pri zohľadnení rizík spojených s právami a slobodami dotknutých osôb a rešpektuje podstatu základných práv a slobôd v demokratickej spoločnosti.
            
            
               4.   V prípade, že sa zvažuje uplatnenie obmedzenia, na základe príslušných pravidiel sa overí nevyhnutnosť a primeranosť. Vypracuje sa ako oznámenie o vnútornom posúdení a vykonáva sa na účely zodpovednosti individuálne v jednotlivých prípadoch.
            
            
               5.   Obmedzenia sa zrušia, len čo prestanú existovať okolnosti, na základe ktorých boli zavedené. Platí to najmä v prípade, že sa predpokladá, že výkon obmedzeného práva by už nerušil účinok uloženého obmedzenia ani nepriaznivo neovplyvňoval práva alebo slobody iných dotknutých osôb.
            
         
         
            Článok 4
            Preskúmanie zodpovednou osobou
            
               1.   EMCDDA bez zbytočného odkladu informuje svoju zodpovednú osobu vždy, keď prevádzkovateľ obmedzí uplatňovanie práv dotknutých osôb alebo rozšíri obmedzenie v súlade s týmto rozhodnutím. Prevádzkovateľ poskytne zodpovednej osobe prístup k záznamu, ktorý obsahuje posúdenie nevyhnutnosti a primeranosti obmedzenia, a v zázname uvedie zapojenie zodpovednej osoby do jednotlivých postupov.
            
            
               2.   Zodpovedná osoba môže písomne požiadať prevádzkovateľa o preskúmanie uplatňovania obmedzení. Prevádzkovateľ písomne informuje zodpovednú osobu o výsledku požadovaného preskúmania.
            
            
               3.   Prevádzkovateľ informuje zodpovednú osobu o zrušení obmedzenia.
            
         
         
            Článok 5
            Poskytovanie informácií dotknutej osobe
            
               1.   V riadne odôvodnených prípadoch a za podmienok stanovených v tomto rozhodnutí môže prevádzkovateľ obmedziť právo na informácie v súvislosti s týmito spracovateľskými operáciami:
               
                           a)
                        
                        
                           vykonávanie administratívnych vyšetrovaní a disciplinárnych konaní;
                        
                     
                           b)
                        
                        
                           predbežné činnosti súvisiace s prípadmi možných nezrovnalostí nahlasovaných úradu OLAF;
                        
                     
                           c)
                        
                        
                           postupy oznamovania protispoločenskej činnosti;
                        
                     
                           d)
                        
                        
                           (formálne a neformálne) postupy pre prípady obťažovania;
                        
                     
                           e)
                        
                        
                           vybavovanie interných a externých sťažností;
                        
                     
                           f)
                        
                        
                           vnútorný audit;
                        
                     
                           g)
                        
                        
                           vyšetrovania, ktoré vykonáva zodpovedná osoba v súlade s článkom 45 ods. 2 nariadenia (EÚ) 2018/1725;
                        
                     
                           h)
                        
                        
                           vyšetrovania v oblasti bezpečnosti informačných technológií realizované interne alebo s externým zapojením (napr. CERT-EU).
                        
                     EMCDDA zahrnie do oznámení o ochrane osobných údajov, vyhlásení o ochrane osobných údajov alebo záznamov v zmysle článku 31 nariadenia (EÚ) 2018/1725, ktoré sú uverejnené na jeho webovej stránke a/alebo na intranete na účely informovania dotknutých osôb o ich právach v rámci príslušného postupu, informácie týkajúce sa možného obmedzenia týchto práv. Ide o informácie o tom, ktoré práva môžu byť obmedzené, dôvody a možné trvanie obmedzenia.
            
            
               2.   Bez toho, aby boli dotknuté ustanovenia v odseku 3, EMCDDA, ak je to primerané, individuálne, bez zbytočného odkladu a písomne informuje všetky dotknuté osoby, o ktorých sa domnieva, že sa ich týka konkrétna spracovateľská operácia, o ich právach v súvislosti so súčasnými alebo budúcimi obmedzeniami.
            
            
               3.   Ak EMCDDA úplne alebo čiastočne obmedzí poskytnutie informácií dotknutým osobám podľa odseku 2, zaznamená dôvody tohto obmedzenia a právny základ v súlade s článkom 3 tohto rozhodnutia vrátane posúdenia nevyhnutnosti a primeranosti obmedzenia.
               Uvedený záznam a v náležitých prípadoch aj dokumenty obsahujúce súvisiace faktické a právne prvky sa zaregistrujú. Na požiadanie sa sprístupnia európskemu dozornému úradníkovi pre ochranu údajov.
            
            
               4.   Obmedzenie uvedené v odseku 3 sa uplatňuje dovtedy, kým platia dôvody, ktoré ho opodstatňujú.
               Ak dôvody na obmedzenie prestanú platiť, EMCDDA poskytne dotknutej osobe informácie o hlavných dôvodoch, na základe ktorých bolo obmedzenie uplatnené. Súčasne bude EMCDDA dotknutú osobu informovať o práve podať kedykoľvek sťažnosť európskemu dozornému úradníkovi pre ochranu údajov, alebo žiadať o súdne prostriedky nápravy na Súdnom dvore Európskej únie.
               EMCDDA preskúma uplatňovanie obmedzenia každých šesť mesiacov od jeho zavedenia a pri ukončení príslušného skúmania, postupu alebo vyšetrovania. Prevádzkovateľ následne každých šesť mesiacov sleduje, či je potrebné zachovať všetky obmedzenia.
            
         
         
            Článok 6
            Právo dotknutej osoby na prístup k údajom
            
               1.   V riadne odôvodnených prípadoch a za podmienok stanovených v tomto rozhodnutí môže prevádzkovateľ, ak je to potrebné a primerané, obmedziť právo na prístup k údajom v súvislosti s týmito spracovateľskými operáciami:
               
                           a)
                        
                        
                           vykonávanie administratívnych vyšetrovaní a disciplinárnych konaní;
                        
                     
                           b)
                        
                        
                           predbežné činnosti súvisiace s prípadmi možných nezrovnalostí nahlasovaných úradu OLAF;
                        
                     
                           c)
                        
                        
                           postupy oznamovania protispoločenskej činnosti;
                        
                     
                           d)
                        
                        
                           (formálne a neformálne) postupy pre prípady obťažovania;
                        
                     
                           e)
                        
                        
                           vybavovanie interných a externých sťažností;
                        
                     
                           f)
                        
                        
                           vnútorný audit;
                        
                     
                           g)
                        
                        
                           vyšetrovania, ktoré vykonáva zodpovedná osoba v súlade s článkom 45 ods. 2 nariadenia (EÚ) 2018/1725;
                        
                     
                           h)
                        
                        
                           vyšetrovania v oblasti bezpečnosti informačných technológií realizované interne alebo s externým zapojením (napr. CERT-EU).
                        
                     Ak dotknuté osoby žiadajú o prístup k svojim osobným údajom spracúvaným v súvislosti s jedným alebo viacerými konkrétnymi prípadmi alebo konkrétnou spracovateľskou operáciou v súlade s článkom 17 nariadenia (EÚ) 2018/1725, EMCDDA obmedzí svoje posúdenie žiadosti len na takéto osobné údaje.
            
            
               2.   Ak EMCDDA úplne alebo čiastočne obmedzí právo prístupu uvedené v článku 17 nariadenia (EÚ) 2018/1725, uskutoční tieto opatrenia:
               
                           a)
                        
                        
                           vo svojej odpovedi na príslušnú žiadosť informuje danú dotknutú osobu o uplatnenom obmedzení a o hlavných dôvodoch tohto obmedzenia, ako aj o možnosti podať sťažnosť európskemu dozornému úradníkovi pre ochranu údajov alebo požiadať o súdny prostriedok nápravy na Súdnom dvore Európskej únie;
                        
                     
                           b)
                        
                        
                           v oznámení o vnútornom posúdení sa zdokumentujú dôvody obmedzenia vrátane posúdenia nevyhnutnosti a primeranosti obmedzenia a dĺžky jeho trvania.
                        
                     Poskytnutie informácií uvedených v písmene a) sa môže odložiť, môže sa od neho upustiť alebo sa môže zamietnuť, ak by sa ním zrušil účinok obmedzenia v súlade s článkom 25 ods. 8 nariadenia (EÚ) 2018/1725.
               EMCDDA preskúma uplatňovanie obmedzenia každých šesť mesiacov od jeho zavedenia a pri ukončení príslušného vyšetrovania. Prevádzkovateľ následne každých šesť mesiacov sleduje, či je potrebné zachovať všetky obmedzenia.
            
            
               3.   Uvedený záznam a v náležitých prípadoch aj dokumenty obsahujúce súvisiace faktické a právne prvky sa zaregistrujú. Na požiadanie sa sprístupnia európskemu dozornému úradníkovi pre ochranu údajov.
            
         
         
            Článok 7
            Právo na opravu, vymazanie a obmedzenie spracúvania
            
               1.   V riadne odôvodnených prípadoch a za podmienok stanovených v tomto rozhodnutí môže prevádzkovateľ, ak je to potrebné a primerané, obmedziť právo na opravu, vymazanie a obmedzenie spracúvania v súvislosti s týmito spracovateľskými operáciami:
               
                           a)
                        
                        
                           vykonávanie administratívnych vyšetrovaní a disciplinárnych konaní;
                        
                     
                           b)
                        
                        
                           predbežné činnosti súvisiace s prípadmi možných nezrovnalostí nahlasovaných úradu OLAF;
                        
                     
                           c)
                        
                        
                           postupy oznamovania protispoločenskej činnosti;
                        
                     
                           d)
                        
                        
                           (formálne a neformálne) postupy pre prípady obťažovania;
                        
                     
                           e)
                        
                        
                           vybavovanie interných a externých sťažností;
                        
                     
                           f)
                        
                        
                           vnútorný audit;
                        
                     
                           g)
                        
                        
                           vyšetrovania, ktoré vykonáva zodpovedná osoba v súlade s článkom 45 ods. 2 nariadenia (EÚ) 2018/1725;
                        
                     
                           h)
                        
                        
                           vyšetrovania v oblasti bezpečnosti informačných technológií realizované interne alebo s externým zapojením (napr. CERT-EU).
                        
                     
            
               2.   Ak EMCDDA úplne alebo čiastočne obmedzí uplatňovanie práva na opravu, vymazanie a obmedzenie spracúvania uvedeného v článkoch 18, 19 ods. 1 a 20 ods. 1 nariadenia (EÚ) 2018/1725, vykoná kroky stanovené v článku 6 ods. 2 tohto rozhodnutia a vykoná záznam v súlade s článkom 6 ods. 3 tohto rozhodnutia.
            
         
         
            Článok 8
            Oznamovanie porušenia ochrany osobných údajov dotknutej osobe a dôvernosť elektronických komunikácií
            
               1.   V riadne odôvodnených prípadoch a za podmienok stanovených v tomto rozhodnutí môže prevádzkovateľ, ak je to potrebné a vhodné, obmedziť právo na oznamovanie porušenia ochrany osobných údajov v súvislosti s týmito spracovateľskými operáciami:
               
                           a)
                        
                        
                           vykonávanie administratívnych vyšetrovaní a disciplinárnych konaní;
                        
                     
                           b)
                        
                        
                           predbežné činnosti súvisiace s prípadmi možných nezrovnalostí nahlasovaných úradu OLAF;
                        
                     
                           c)
                        
                        
                           postupy oznamovania protispoločenskej činnosti;
                        
                     
                           d)
                        
                        
                           (formálne a neformálne) postupy pre prípady obťažovania;
                        
                     
                           e)
                        
                        
                           vybavovanie interných a externých sťažností;
                        
                     
                           f)
                        
                        
                           vnútorný audit;
                        
                     
                           g)
                        
                        
                           vyšetrovania, ktoré vykonáva zodpovedná osoba v súlade s článkom 45 ods. 2 nariadenia (EÚ) 2018/1725;
                        
                     
                           h)
                        
                        
                           vyšetrovania v oblasti bezpečnosti informačných technológií realizované interne alebo s externým zapojením (napr. CERT-EU).
                        
                     
            
               2.   V riadne odôvodnených prípadoch a za podmienok stanovených v tomto rozhodnutí môže prevádzkovateľ, ak je to potrebné a primerané, obmedziť právo na opravu, právo na dôvernosť elektronických komunikácií v súvislosti s týmito spracovateľskými operáciami:
               
                           a)
                        
                        
                           vykonávanie administratívnych vyšetrovaní a disciplinárnych konaní;
                        
                     
                           b)
                        
                        
                           predbežné činnosti súvisiace s prípadmi možných nezrovnalostí nahlasovaných úradu OLAF;
                        
                     
                           c)
                        
                        
                           postupy oznamovania protispoločenskej činnosti;
                        
                     
                           d)
                        
                        
                           formálne postupy pre prípady obťažovania;
                        
                     
                           e)
                        
                        
                           vybavovanie interných a externých sťažností;
                        
                     
                           f)
                        
                        
                           bezpečnostné vyšetrovania realizované interne alebo s externým zapojením (napr. CERT-EU).
                        
                     
            
               3.   Ak EMCDDA obmedzí oznámenie porušenia ochrany osobných údajov dotknutej osobe alebo dôvernosť elektronických komunikácií uvedených v článkoch 35 a 36 nariadenia (EÚ) 2018/1725, zaznamená a zaregistruje dôvody obmedzenia v súlade s článkom 5 ods. 3 tohto rozhodnutia. Uplatňuje sa článok 5 ods. 4 tohto rozhodnutia.
            
         
         
            Článok 9
            Nadobudnutie účinnosti
            Toto rozhodnutie nadobúda účinnosť dňom nasledujúcim po jeho uverejnení v Úradnom vestníku Európskej únie.
         
         
            V Lisabone 28. júna 2019
            
               
                  Za správnu radu
               
               
                  predsedníčka
               
               Laura D’ARRIGO
            
         
         
            (1)  Ú. v. EÚ L 295, 21.11.2018, s. 39.
         
            (2)  Ú. v. EÚ L 376, 27.12.2006, s. 1.
         
            (3)  Nariadenie Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) (Ú. v. EÚ L 119, 4.5.2016, s. 1).
         
            (4)  Smernica Európskeho parlamentu a Rady (EÚ) 2016/680 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov príslušnými orgánmi na účely predchádzania trestným činom, ich vyšetrovania, odhaľovania alebo stíhania alebo na účely výkonu trestných sankcií a o voľnom pohybe takýchto údajov a o zrušení rámcového rozhodnutia Rady 2008/977/SVV (Ú. v. EÚ L 119, 4.5.2016, s. 89).