CELEX: 32020Q0424(01)
Language: et
Date: 2019-09-10 00:00:00
Title: BERECi tugiameti (BERECi büroo) haldusnõukogu otsus, 10. september 2019, millega kehtestatakse sise-eeskirjad andmesubjektide teatavate õiguste piiramise kohta isikuandmete töötlemisel BERECi büroo tegevuse raames

24.4.2020   
               
               
                  ET
               
               
                  Euroopa Liidu Teataja
               
               
                  L 130/28
               
            
         BERECI TUGIAMETI (BERECI BÜROO) HALDUSNÕUKOGU OTSUS,
         10. september 2019,
         millega kehtestatakse sise-eeskirjad andmesubjektide teatavate õiguste piiramise kohta isikuandmete töötlemisel BERECi büroo tegevuse raames
         HALDUSNÕUKOGU,
         võttes arvesse Euroopa Parlamendi ja nõukogu 11. detsembri 2018. aasta määrust (EL) 2018/1971, millega asutatakse elektroonilise side Euroopa reguleerivate asutuste amet (BEREC) ja BERECi tugiamet (BERECi büroo) ja muudetakse määrust (EL) 2015/2120 ning tunnistatakse kehtetuks määrus (EÜ) nr 1211/2009, (1) eelkõige selle artikli 36 lõiget 4,
         võttes arvesse Euroopa Parlamendi ja nõukogu 23. oktoobri 2018. aasta määrust (EL) 2018/1725, mis käsitleb füüsiliste isikute kaitset isikuandmete töötlemisel liidu institutsioonides, organites ja asutustes ning isikuandmete vaba liikumist ning millega tunnistatakse kehtetuks määrus (EÜ) nr 45/2001 ja otsus nr 1247/2002/EÜ (2) (edaspidi „määrus“), eelkõige selle artiklit 25,
         ning arvestades järgmist:
         
                     (1)
                  
                  
                     BERECi büroo võib oma tööga seoses läbi viia haldusjuurdlusi, distsiplinaarmenetlusele eelnevaid menetlusi, distsiplinaar- ja töösuhte peatamise menetlusi vastavalt Euroopa Liidu ametnike personalieeskirjade ja Euroopa Liidu muude teenistujate teenistustingimuste IX lisale (3) ning Elektroonilise Side Euroopa Reguleerivate Asutuste Ühendatud Ameti Büroo (BERECi büroo) otsusele nr MC/2012/3, millega kehtestatakse teabe töötlemist, sealhulgas isikuandmete töötlemist hõlmavate haldusjuurdluste ja distsiplinaarmenetluste läbiviimise üldised rakendussätted.
                  
               
                     (2)
                  
                  
                     BERECi büroo töötajatel on kohustus teatada võimalikust ebaseaduslikust tegevusest, sealhulgas liidu huve kahjustavast pettusest või korruptsioonist või ametiülesannetega seotud käitumisest, mis võib endast kujutada liidu teenistujate kohustuste rasket rikkumist. Seda reguleeritakse Elektroonilise Side Euroopa Reguleerivate Asutuste Ühendatud Ameti Büroo (BERECi büroo) otsusega nr MC/2018/11, mis sätestab BERECi büroo rikkumistest teatamise suunised.
                  
               
                     (3)
                  
                  
                     BERECi büroo on kehtestanud põhimõtted, et ennetada ja lahendada tõhusalt ja tulemuslikult tegelikke või võimalikke psühholoogilise või seksuaalse ahistamise juhtumeid töökohal, nagu on sätestatud Elektroonilise Side Euroopa Reguleerivate Asutuste Ühendatud Ameti Büroo (BERECi büroo) otsuses nr MC/2016/15 isikuväärikuse kaitsmise ning psühholoogilise ja seksuaalse ahistamise ennetamise kohta.
                  
               
                     (4)
                  
                  
                     Eelnimetatud tegevusega seoses kogub ja töötleb BERECi büroo asjaomast teavet ning mitme kategooria isikuandmeid, sealhulgas eraisikute identifitseerimisandmeid, kontaktteavet, ametialaste rollide ja ülesannetega seotud teavet, teavet eraelulise ning ametialase käitumise ja tulemuslikkuse kohta ning finantsandmeid. Vastutav töötleja on BERECi büroo.
                  
               
                     (5)
                  
                  
                     Olemas on piisavad kaitsemeetmed isikuandmete kaitsmiseks ning neile juhusliku või ebaseadusliku juurdepääsu ennetamiseks andmete säilitamisel nii füüsilises kui ka elektroonilises keskkonnas. Pärast töötlemist säilitatakse andmeid vastavalt BERECi büroo säilitamiseeskirjadele, mis on esitatud määruse artiklil 31 põhinevates andmekaitsedokumentides. Juhtumiteave, sealhulgas isikuandmed, kustutatakse, muudetakse anonüümseks või arhiivitakse säilitamisperioodi lõpus.
                  
               
                     (6)
                  
                  
                     Selles kontekstis on BERECi büroo kohustatud andma andmesubjektidele teavet eespool nimetatud töötlemistegevuste kohta ning austama andmesubjektide õigusi, nagu on sätestatud määruses.
                  
               
                     (7)
                  
                  
                     Määrusest tulenevaid andmesubjektide õigusi võib olla vaja ühitada eespool nimetatud tegevusvajadustega, austades samas ka teiste andmesubjektide põhiõigusi ja -vabadusi. Selleks nähakse määruse artikliga 25 ette võimalus piirata rangetel tingimustel artiklite 14–20, 35 ja 36 ning ka artikli 4 kohaldamist, kuivõrd nende sätted vastavad artiklites 14–20 ettenähtud õigustele ja kohustustele. Sel juhul on vaja võtta vastu sise-eeskirjad, mille kohaselt võib BERECi büroo neid õigusi vastavalt määruse samale artiklile piirata.
                  
               
                     (8)
                  
                  
                     Eelkõige võidakse seda teha siis, kui andmesubjektile antakse teavet isikuandmete töötlemise kohta haldusjuurdluse esialgses hindamisetapis või juurdluse käigus enne juhtumi võimalikku sulgemist või distsiplinaarmenetlusele eelnevas etapis. Teatud asjaoludel võib sellise teabe andmine oluliselt mõjutada BERECi büroo suutlikkust juurdlust tulemuslikult läbi viia, näiteks kui esineb oht, et asjaomane isik hävitab tõendid või mõjutab võimalikke tunnistajaid enne nende küsitlemist. Lisaks võib BERECi bürool olla vaja kaitsta nende isikute õigusi ja vabadusi ning ka teiste asjassepuutuvate isikute õigusi ja vabadusi.
                  
               
                     (9)
                  
                  
                     Võib olla vajalik kaitsta sellise tunnistaja või rikkumisest teataja konfidentsiaalsust, kes on palunud oma isikut mitte avaldada. Sellisel juhul võib BERECi büroo piirata juurdepääsu rikkumisest teataja ja teiste asjasse puutuvate isikute identifitseerimisandmetele, avaldustele ja muudele isikuandmetele, et kaitsta nende õigusi ja vabadusi.
                  
               
                     (10)
                  
                  
                     Vaja võib olla kaitsta ka selle töötaja konfidentsiaalsust, kes on ahistamismenetluse raames võtnud ühendust BERECi büroo konfidentsiaalsete nõustajatega. Sellisel juhul võib BERECi büroo otsustada piirata juurdepääsu väidetava ohvri, väidetava ahistaja ja teiste asjasse puutuvate isikute identifitseerimisandmetele, avaldustele ja muudele isikuandmetele, et kaitsta nende õigusi ja vabadusi.
                  
               
                     (11)
                  
                  
                     BERECi büroo peaks piiranguid kohaldama üksnes siis, kui need järgivad põhiõiguste ja -vabaduste olemust ning on demokraatlikus ühiskonnas rangelt vajalikud ja proportsionaalsed. BERECi büroo peab esitama põhjendused, milles selgitab piirangute aluseid.
                  
               
                     (12)
                  
                  
                     Vastutuspõhimõtte kohaselt peab BERECi büroo piirangute kohaldamise dokumenteerima.
                  
               
                     (13)
                  
                  
                     Määruse artikli 25 lõikega 6 kohustatakse vastutavat töötlejat teavitama andmesubjekte peamistest põhjustest, mille alusel piirangut kohaldatakse, ja nende õigusest esitada Euroopa Andmekaitseinspektorile kaebus.
                  
               
                     (14)
                  
                  
                     Määruse artikli 25 lõike 8 kohaselt võib BERECi büroo andmesubjektile piirangu kohaldamise põhjuste kohta teabe andmist edasi lükata, ära jätta või sellest keelduda, kui piirang kaotaks seeläbi oma mõju. BERECi büroo peaks iga juhtumi korral eraldi hindama, kas piirangust teatamine kaotaks selle piirangu mõju.
                  
               
                     (15)
                  
                  
                     BERECi büroo peaks piirangu kohaldamise lõpetama, kui piirangu aluseks olnud tingimused enam ei kehti, ning hindama neid tingimusi korrapäraselt.
                  
               
                     (16)
                  
                  
                     Andmesubjektide õiguste ja vabaduste parima kaitse tagamiseks ning vastavalt määruse artikli 44 lõikele 1 tuleks andmekaitseametnikku aegsasti teavitada mis tahes kohaldatavatest piirangutest ning kontrollida nende vastavust käesolevale otsusele.
                  
               
                     (17)
                  
                  
                     Eelnimetatud piirangute kohaldamine ei piira määruse artikli 16 lõike 5 ja artikli 17 lõike 4 sätete võimalikku kohaldamist seoses õigusega teabele, kui andmed ei pärine andmesubjektilt, ja andmesubjekti õigusega tutvuda andmetega.
                  
               
                     (18)
                  
                  
                     Euroopa Andmekaitseinspektoriga konsulteeriti 27. mail 2019,
                  
               ON VASTU VÕTNUD KÄESOLEVA OTSUSE:
         
            Artikkel 1
            Sisu ja kohaldamisala
            Käesoleva otsusega kehtestatakse eeskirjad seoses tingimustega, mille korral võib BERECi büroo määruse artikli 25 alusel piirata artiklite 14–20, 35 ja 36 ja ka artikli 4 kohaldamist.
         
         
            Artikkel 2
            Piirangud
            
               1.   Vastavalt määruse artikli 25 lõikele 1 võib BERECi büroo piirata artiklite 14–20, 35 ja 36 ja ka artikli 4 kohaldamist, kuivõrd nende sätted vastavad artiklitega 14–20 ettenähtud õigustele ja kohustustele, kui:
               
                           a)
                        
                        
                           viiakse läbi haldusjuurdlusi, distsiplinaarmenetlusele eelnevaid, distsiplinaar- ja töösuhte peatamise menetlusi vastavalt Euroopa Liidu ametnike personalieeskirjade ja Euroopa Liidu muude teenistujate teenistustingimuste IX lisale ning Elektroonilise Side Euroopa Reguleerivate Asutuste Ühendatud Ameti Büroo (BERECi büroo) otsusele nr MC/2012/3, millega kehtestatakse teabe töötlemist, sealhulgas isikuandmete töötlemist hõlmavate haldusjuurdluste ja distsiplinaarmenetluste läbiviimise üldised rakendussätted; asjaomased piirangud võivad põhineda määruse artikli 25 lõike 1 punktil c, g, h;
                        
                     
                           b)
                        
                        
                           tagamaks, et BERECi büroo töötajatel on võimalik anda konfidentsiaalsetele nõustajatele aru asjaoludest, mida nad peavad raskeks rikkumiseks vastavalt Elektroonilise Side Euroopa Reguleerivate Asutuste Ühendatud Ameti Büroo (BERECi büroo) otsusele nr MC/2018/11, milles sätestatakse BERECi büroo rikkumistest teatamise suunised; asjaomased piirangud võivad põhineda määruse artikli 25 lõike 1 punktil h;
                        
                     
                           c)
                        
                        
                           tagamaks, et BERECi büroo töötajad saavad ahistamismenetlusega seoses anda konfidentsiaalsetele nõustajatele konfidentsiaalselt aru vastavalt Elektroonilise Side Euroopa Reguleerivate Asutuste Ühendatud Ameti Büroo (BERECi büroo) otsusele nr MC/2016/15 isikuväärikuse kaitsmise ning psühholoogilise ja seksuaalse ahistamise ennetamise kohta; asjaomased piirangud võivad põhineda määruse artikli 25 lõike 1 punktil h.
                        
                     
            
               2.   Andmekategooriad hõlmavad eraisikute identifitseerimisandmeid, kontaktteavet, ametialaseid rolle ja ülesandeid, teavet era- ja tööelulise käitumise ja tegevuse kohta ning finantsandmeid.
            
            
               3.   Mis tahes piirangud peavad järgima põhiõiguste ja -vabaduste olemust ning peavad olema demokraatlikus ühiskonnas vajalikud ja proportsionaalsed.
            
            
               4.   Enne piirangute kohaldamist tuleb iga juhtumi korral teha vajalikkuse ja proportsionaalsuse test. Piirangute kehtestamisel piirdutakse sellega, mis on seatud eesmärkide saavutamiseks rangelt vajalik, võttes arvesse riske andmesubjektide õigustele ja vajadustele.
            
            
               5.   BERECi büroo koostab aruandluskohustuse eesmärgil dokumendi, milles dokumenteerib kohaldatavate piirangute põhjused, millised lõikes 1 loetletud aluste kehtivad ning vajalikkuse ja proportsionaalsuse testi tulemuse. Need dokumendid kuuluvad sihtotstarbelisse registrisse, mis tehakse Euroopa Andmekaitseinspektorile esitatud taotlusel kättesaadavaks. Määruse artikli 25 kohaldamise aruanne tehakse korrapäraselt kättesaadavaks.
            
         
         
            Artikkel 3
            Riskid andmesubjektide õigustele ja vajadustele
            Ühtlasi hinnatakse riske nende andmesubjektide õigustele ja vajadustele, kelle isikuandmetele võidakse kohaldada piiranguid. Need riskihinnangud ja andmete säilitamisperiood on esitatud määruse artikli 31 kohases töötlemistegevuse dokumendis ja vajadusel määruse artikli 39 kohastes asjaomastes andmekaitsealastes mõjuhinnangutes.
         
         
            Artikkel 4
            Säilitamise ajavahemikud ja kaitsemeetmed
            BERECi büroo rakendab kaitsemeetmeid, et vältida selliste isikuandmete väärkasutamist või ebaseaduslikku juurdepääsu või edastamist, mille suhtes võidakse kohaldada piiranguid. Kaitsemeetmed hõlmavad tehnilisi ja organisatsioonilisi meetmeid ning vajaduse korral kirjeldatakse neid üksikasjalikult BERECi büroo sisemistes otsustes, menetlustes ja rakenduseeskirjades. Kaitsemeetmed hõlmavad järgmist:
            
                        a)
                     
                     
                        rollide, kohustuste ja menetlusetappide piisav määratlus;
                     
                  
                        b)
                     
                     
                        asjakohasel juhul turvaline elektrooniline keskkond, millega takistatakse ebaseaduslikku või juhuslikku juurdepääsu elektroonilistele andmetele või nende edastamist volitamata isikutele;
                     
                  
                        c)
                     
                     
                        asjakohasel juhul paberdokumentide turvaline talletamine ja töötlemine;
                     
                  
                        d)
                     
                     
                        piirangute nõuetekohane seire ja korrapärane läbivaatamine, mida tehakse vähemalt iga kuue kuu järel. Läbivaatamine tuleb teha ka siis, kui käsitletava juhtumi olulised elemendid on muutunud. Piirangud tühistatakse kohe, kui neid õigustavad tingimused enam ei kehti.
                     
                  
         
            Artikkel 5
            Andmekaitseametnikule esitatav teave ja temapoolne läbivaatamine
            
               1.   BERECi büroo andmekaitseametnikku teavitatakse tarbetu viivituseta, kui andmesubjekti õigusi piiratakse vastavalt käesolevale otsusele, ning talle antakse juurdepääs registrile ning mis tahes faktiliste ja juriidiliste elementide aluseks olevatele dokumentidele.
            
            
               2.   BERECi büroo andmekaitseametnik võib esitada kirjaliku taotluse piirangu kohaldamise läbivaatamiseks. BERECi büroo teavitab oma andmekaitseametnikku kirjalikult taotletud läbivaatamise tulemustest.
            
            
               3.   BERECi büroo andmekaitseametniku osalemine piirangumenetluses, sealhulgas teabevahetus, dokumenteeritakse asjakohases vormis.
            
         
         
            Artikkel 6
            Andmesubjektidele antav teave nende õiguste piiramise kohta
            
               1.   BERECi büroo lisab oma veebilehel avaldatavatesse andmekaitseteadetesse üldteabe käesoleva otsuse artikli 2 lõikes 1 kirjeldatud kõigi andmesubjektide õiguste võimaliku piiramise kohta. Teabes kirjeldatakse, mis õigusi võidakse piirata, piirangute põhjusi ja nende võimalikku kestust.
            
            
               2.   Lisaks teavitab BERECi büroo iga andmesubjekti eraldi kas praegustest või tulevastest piirangutest või nende õigustest tarbetu viivituseta ja kirjalikult, nagu on täpsustatud käesoleva otsuse artiklites 7, 8 ja 9.
            
         
         
            Artikkel 7
            Andmesubjektide õigus saada teavet ja teavitamine andmetega seotud rikkumistest
            
               1.   Kui BERECi büroo piirab käesolevas otsuses nimetatud tegevuse raames täielikult või osaliselt määruse artiklites 14–16 ja 35 osutatud andmesubjektide õigusi, teavitatakse andmesubjekte peamistest põhjustest, mille alusel piirangut kohaldatakse, ja nende õigusest esitada Euroopa Andmekaitseinspektorile kaebus ja pöörduda õiguskaitse saamiseks Euroopa Kohtusse.
            
            
               2.   BERECi büroo võib lõikes 1 osutatud piirangute kohta teabe esitamist edasi lükata, selle ära jätta või sellest keelduda, kui piirangud kaotaksid seeläbi oma mõju. Seda hinnatakse iga juhtumi korral eraldi.
            
         
         
            Artikkel 8
            Andmesubjektide õigus andmetega tutvuda, neid parandada ja kustutada ning piirata andmete töötlemist
            
               1.   Kui BERECi büroo piirab käesolevas otsuses osutatud tegevuse raames täielikult või osaliselt määruse artiklites 17–20 nimetatud õigusi andmetega tutvuda, andmeid parandada ja kustutada ning piirata andmete töötlemist, teavitab ta oma vastuses asjaomase andmesubjekti päringule teda peamistest põhjustest, mille alusel piirangut kohaldatakse, ja võimalusest esitada Euroopa Andmekaitseinspektorile kaebus või pöörduda õiguskaitse saamiseks Euroopa Kohtusse.
            
            
               2.   BERECi büroo võib lõikes 1 osutatud piirangute kohta teabe esitamist edasi lükata, selle ära jätta või sellest keelduda, kui piirangud kaotaksid seeläbi oma mõju. Seda hinnatakse iga juhtumi korral eraldi.
            
         
         
            Artikkel 9
            Elektroonilise side konfidentsiaalsus
            
               1.   Erakorralistel asjaoludel ning kooskõlas Euroopa Parlamendi ja nõukogu direktiivi 2002/58/EÜ (4) sätete ja põhjendustega võib BERECi büroo piirata määruse artiklis 36 osutatud õigust elektroonilise side konfidentsiaalsusele. Sel juhul esitab BERECi büroo oma sise-eeskirjades üksikasjalikult asjaolud, alused, asjaomased riskid ja seonduvad kaitsemeetmed.
            
            
               2.   Kui BERECi büroo piirab õigust elektroonilise side konfidentsiaalsusele, teavitab ta oma vastuses andmesubjekti päringule teda piirangu kehtestamisest, selle peamistest põhjustest ning võimalusest esitada kaebus Euroopa Andmekaitseinspektorile või pöörduda õiguskaitse saamiseks Euroopa Liidu Kohtusse.
            
            
               3.   BERECi büroo võib lõigetes 1 ja 2 osutatud piirangute kohta teabe esitamist edasi lükata, selle ära jätta või sellest keelduda, kui piirangud kaotaksid seeläbi oma mõju. Seda hinnatakse iga juhtumi korral eraldi.
            
         
         
            Artikkel 10
            Jõustumine
            Käesolev otsus jõustub selle Euroopa Liidu Teatajas avaldamise päeval.
         
         
            Riia, 10. september 2019
            
               
                  BERECi tugiameti nimel
               
               
                  haldusnõukogu esimees
               
               Jeremy GODFREY
            
         
         
            (1)  ELT L 321, 17.12.2018, lk 1.
         
            (2)  ELT L 295, 21.11.2018, lk 39.
         
            (3)  Nõukogu 29. veebruari 1968. aasta määrus (EMÜ, Euratom, ESTÜ) nr 259/68, millega kehtestatakse Euroopa ühenduste ametnike personalieeskirjad ja muude teenistujate teenistustingimused ning komisjoni ametnike suhtes ajutiselt kohaldatavad erimeetmed (EÜT L 56, 4.3.1968, lk 1).
         
            (4)  Euroopa Parlamendi ja nõukogu 12. juuli 2002. aasta direktiiv 2002/58/EÜ, milles käsitletakse isikuandmete töötlemist ja eraelu puutumatuse kaitset elektroonilise side sektoris (eraelu puutumatust ja elektroonilist sidet käsitlev direktiiv) (EÜT L 201, 31.7.2002, lk 37).