CELEX: 32020Q1204(01)
Language: cs
Date: 2020-05-06 00:00:00
Title: Rozhodnutí správní rady Evropského střediska pro rozvoj odborného vzdělávání (Cedefop) ze dne 6. května 2020 o přijetí vnitřních předpisů týkajících se omezení určitých práv subjektů údajů v souvislosti se zpracováním osobních údajů v rámci fungování střediska Cedefop

4.12.2020   
               
               
                  CS
               
               
                  Úřední věstník Evropské unie
               
               
                  L 408/12
               
            
         ROZHODNUTÍ SPRÁVNÍ RADY EVROPSKÉHO STŘEDISKA PRO ROZVOJ ODBORNÉHO VZDĚLÁVÁNÍ (CEDEFOP)
         ze dne 6. května 2020
         o přijetí vnitřních předpisů týkajících se omezení určitých práv subjektů údajů v souvislosti se zpracováním osobních údajů v rámci fungování střediska Cedefop
         SPRÁVNÍ RADA,
         s ohledem na Smlouvu o fungování Evropské unie,
         s ohledem na nařízení Evropského parlamentu a Rady (EU) 2018/1725 ze dne 23. října 2018 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů orgány, institucemi a jinými subjekty Unie a o volném pohybu těchto údajů a o zrušení nařízení (ES) č. 45/2001 a rozhodnutí č. 1247/2002/ES (1), a zejména na článek 25 tohoto nařízení,
         s ohledem na nařízení Evropského parlamentu a Rady (EU) 2019/128 ze dne 16. ledna 2019 o zřízení Evropského střediska pro rozvoj odborného vzdělávání (Cedefop) a o zrušení nařízení Rady (EHS) č. 337/75 (2), a zejména na čl. 23 odst. 4 tohoto nařízení,
         s ohledem na stanovisko evropského inspektora ochrany údajů ze dne 12. prosince 2019 a na pokyny evropského inspektora ochrany údajů k článku 25 nového nařízení a k vnitřním předpisům (3),
         VZHLEDEM K TĚMTO DŮVODŮM:
         
                     (1)
                  
                  
                     Středisko Cedefop vykonává svoji činnost v souladu s nařízením (EU) 2019/128.
                  
               
                     (2)
                  
                  
                     V souladu s čl. 25 odst. 1 nařízení (EU) 2018/1725 by omezení použití článků 14 až 22, 35 a 36, jakož i článku 4 uvedeného nařízení v rozsahu, v jakém jeho ustanovení odpovídají právům a povinnostem stanoveným v článcích 14 až 22, měla vycházet z vnitřních předpisů, které přijme středisko Cedefop, pokud nevycházejí z právních aktů přijatých na základě Smluv.
                  
               
                     (3)
                  
                  
                     Tyto vnitřní předpisy, včetně ustanovení o posouzení nezbytnosti a přiměřenosti daného omezení, by se neměly použít v případě, kdy omezení práv subjektů údajů stanoví právní akt přijatý na základě Smluv.
                  
               
                     (4)
                  
                  
                     V případech, kdy středisko Cedefop vykonává své povinnosti s ohledem na práva subjektu údajů podle nařízení (EU) 2018/1725, zváží, zda se neuplatní některá z výjimek stanovených v uvedeném nařízení.
                  
               
                     (5)
                  
                  
                     V rámci svého správního fungování může středisko Cedefop provádět správní šetření, disciplinární řízení, vykonávat předběžné činnosti související s případy možných nesrovnalostí oznámených úřadu OLAF, zpracovávat případy oznámení podezření z protiprávního jednání (whistleblowingu), vyřizovat (formální a neformální) řízení v případě obtěžování, vyřizovat interní a externí stížnosti, provádět interní audity, provádět vyšetřování ze strany pověřence pro ochranu osobních údajů v souladu s čl. 45 odst. 2 nařízení (EU) 2018/1725 a vyšetřování interní (IT) bezpečnosti a vyřizovat žádosti zaměstnanců o přístup k jejich zdravotní dokumentaci.
                     Středisko Cedefop zpracovává několik kategorií osobních údajů, včetně „tvrdých“ údajů („objektivních“ údajů, jako jsou údaje o totožnosti, kontaktní údaje, profesní údaje, administrativní údaje, údaje získané ze zvláštních zdrojů, elektronická komunikace a provozní údaje) a/nebo „měkkých“ údajů („subjektivních“ údajů týkajících se daného případu, např. odůvodnění, údaje o chování, hodnocení, údaje o výkonu a jednání a údaje související nebo předložené v souvislosti s předmětem řízení nebo činnosti).
                  
               
                     (6)
                  
                  
                     Středisko Cedefop, zastoupené svým výkonným ředitelem, vystupuje jako správce (údajů) bez ohledu na další přenesení pravomocí spojených s úlohou správce v rámci střediska Cedefop s cílem zohlednit provozní odpovědnost za konkrétní operace zpracování osobních údajů.
                  
               
                     (7)
                  
                  
                     Osobní údaje jsou bezpečně uloženy v elektronickém prostředí nebo v papírové podobě, která brání zneužití údajů nebo protiprávnímu přístupu k údajům ze strany osob, které je nepotřebují znát, nebo předání údajů těmto osobám. Zdravotní dokumentace je uložena u externího poskytovatele služeb, kterého středisko Cedefop využívá. Zpracovávané osobní údaje jsou uchovávány jen po nezbytnou dobu a k účelům, pro které se zpracovávají během období uvedeného v oznámeních o ochraně údajů nebo v záznamech střediska Cedefop.
                  
               
                     (8)
                  
                  
                     Tyto vnitřní předpisy by měly platit pro všechny operace zpracování provedené střediskem Cedefop v rámci správních šetření, disciplinárních řízení, předběžných činností souvisejících s případy možných nesrovnalostí oznámených úřadu OLAF, řízení v případě whistleblowingu, (formálních a neformálních) řízení v případech obtěžování, vyřizování interních a externích stížností, interních auditů, vyšetřování prováděných pověřencem pro ochranu osobních údajů v souladu s čl. 45 odst. 2 nařízení (EU) 2018/1725, vyšetřování (IT) bezpečnosti prováděných interně nebo se zapojením externích subjektů (např. skupiny CERT-EU) a vyřizování žádostí zaměstnanců o přístup k jejich zdravotní dokumentaci.
                  
               
                     (9)
                  
                  
                     Tyto vnitřní předpisy by měly platit pro operace zpracování provedené před zahájením výše uvedených řízení, během těchto řízení a během sledování navazujícího postupu v reakci na výsledky těchto řízení. Součástí by rovněž měla být pomoc a spolupráce, kterou středisko Cedefop nabídne vnitrostátním orgánům a mezinárodním organizacím nad rámec svých správních vyšetřování.
                  
               
                     (10)
                  
                  
                     V případech, kdy se použijí tyto vnitřní předpisy, by mělo středisko Cedefop uvést odůvodnění vysvětlující, proč jsou omezení přísně vzato nezbytná a přiměřená v demokratické společnosti, a dodržovat podstatu základních práv a svobod.
                  
               
                     (11)
                  
                  
                     V této souvislosti je středisko Cedefop během výše uvedených řízení povinno dodržovat v maximální možné míře základní práva subjektů údajů, zejména ta, která se týkají práva subjektu údajů na informace, práva na přístup k osobním údajům a jejich opravu, práva na výmaz, omezení zpracování, práva na oznamování případů porušení zabezpečení osobních údajů subjektu údajů a na důvěrnost elektronických komunikací, jak je zakotveno v nařízení (EU) 2018/1725.
                  
               
                     (12)
                  
                  
                     Je však možné, že středisko Cedefop bude muset omezit právo subjektu údajů na informace a jiná práva subjektu údajů, a to zejména s cílem chránit vlastní vyšetřování, vyšetřování a řízení jiných veřejných orgánů, jakož i práva jiných osob související s vyšetřováními a jinými řízeními střediska Cedefop.
                  
               
                     (13)
                  
                  
                     Středisko Cedefop by mělo pravidelně sledovat, zda platí podmínky odůvodňující dané omezení, a omezení zrušit, pokud podmínky již neplatí.
                  
               
                     (14)
                  
                  
                     Správce by měl informovat pověřence pro ochranu osobních údajů v okamžiku, kdy existuje záměr uplatnit omezení, a během následných přezkumů a zapojit ho během celého řízení až do zrušení omezení,
                  
               PŘIJALA TOTO ROZHODNUTÍ:
         
            Článek 1
            Předmět a oblast působnosti
            
               1.   Toto rozhodnutí stanoví předpisy týkající se podmínek, za nichž může středisko Cedefop v rámci řízení uvedených v odstavci 2 omezit uplatňování práv zakotvených v článcích 14 až 21, 35 a 36, jakož i v článku 4 nařízení (EU) 2018/1725, a to v souladu s článkem 25 uvedeného nařízení.
            
            
               2.   V rámci správního fungování střediska Cedefop platí toto rozhodnutí pro operace zpracování osobních údajů provedené střediskem Cedefop pro účely provádění správních šetření, disciplinárních řízení, předběžných činností souvisejících s případy možných nesrovnalostí oznámených úřadu OLAF, projednávání případů whistleblowingu, (formálních a neformálních) řízení v případech obtěžování, vyřizování interních a externích stížností, provádění interních auditů, vyšetřování prováděná pověřencem pro ochranu osobních údajů v souladu s čl. 45 odst. 2 nařízení (EU) 2018/1725, vyšetřování (IT) bezpečnosti prováděných interně nebo se zapojením externích subjektů (např. skupiny CERT-EU) a vyřizování žádostí zaměstnanců o přístup k jejich zdravotní dokumentaci.
            
            
               3.   Dotčenými kategoriemi údajů jsou „tvrdé“ údaje („objektivní“ údaje, jako jsou údaje o totožnosti, kontaktní údaje, profesní údaje, administrativní údaje, údaje získané ze zvláštních zdrojů, elektronická komunikace a provozní údaje) a/nebo „měkké“ údaje („subjektivní“ údaje týkající se daného případu, např. odůvodnění, údaje o chování, hodnocení, údaje o výkonu a jednání a údaje související nebo předložené v souvislosti s předmětem řízení nebo činnosti).
            
            
               4.   V případech, kdy středisko Cedefop vykonává své povinnosti s ohledem na práva subjektu údajů podle nařízení (EU) 2018/1725, zváží, zda se neuplatní některá z výjimek stanovených v uvedeném nařízení.
            
            
               5.   S výhradou podmínek stanovených v tomto rozhodnutí se mohou omezení vztahovat na tato práva: právo subjektu údajů na informace, právo subjektu údajů na přístup k osobním údajům, jejich opravu, výmaz a omezení zpracování, práva na oznamování případů porušení zabezpečení osobních údajů subjektu údajů a na důvěrnost elektronických komunikací.
            
         
         
            Článek 2
            Specifikace správce a záruky
            
               1.   S cílem předejít zneužití, nezákonnému přístupu nebo předání údajů zavede středisko Cedefop tyto záruky:
               
                           a)
                        
                        
                           papírové dokumenty se uchovávají v zabezpečených skříních a přístup k nim mají pouze oprávnění zaměstnanci;
                        
                     
                           b)
                        
                        
                           veškeré elektronické údaje se uchovávají v zabezpečené aplikaci IT podle bezpečnostních norem střediska Cedefop, jakož i ve zvláštních elektronických adresářích, k nimž mají přístup pouze oprávnění zaměstnanci. Vhodné úrovně přístupu se udělují individuálně;
                        
                     
                           c)
                        
                        
                           IT prostředí střediska Cedefop je přístupné prostřednictvím systému jediného přihlášení a je propojeno automaticky s uživatelským jménem a heslem daného uživatele. Elektronické záznamy jsou uchovávány zabezpečeným způsobem, aby se zajistila důvěrnost a soukromí údajů v nich obsažených;
                        
                     
                           d)
                        
                        
                           všechny osoby, které mají přístup k údajům, jsou vázány povinností zachovávat důvěrnost;
                        
                     
                           e)
                        
                        
                           externí poskytovatel služeb uchovávající zdravotní dokumentaci je vázán smluvními doložkami o důvěrnosti a zpracování osobních údajů.
                        
                     
            
               2.   Správcem operací zpracování je středisko Cedefop, zastoupené svým výkonným ředitelem, který může delegovat funkci správce. Subjekty údajů jsou informovány delegovaným správcem formou oznámení o ochraně údajů nebo prostřednictvím záznamů zveřejněných na internetových stránkách a na intranetu střediska Cedefop.
            
            
               3.   Období uchovávání osobních údajů uvedených v čl. 1 odst. 3 tohoto rozhodnutí nesmí být delší, než je nezbytné a vhodné pro účely, pro něž se údaje zpracovávají. Každopádně však nesmí být delší než období uchovávání uvedené v oznámeních o ochraně údajů nebo v záznamech podle čl. 3 odst. 3 tohoto rozhodnutí.
            
            
               4.   Pokud středisko Cedefop zvažuje použití omezení, zváží riziko pro práva a svobody subjektu údajů především ve srovnání s rizikem hrozícím právům a svobodám jiných subjektů údajů a rizikem maření účinku vyšetřování nebo řízení vedených střediskem Cedefop, například formou ničení důkazů. Rizika pro práva a svobody subjektu údajů se týkají především, ale nikoliv výlučně rizik poškození dobré pověsti a rizik spojených s právem na obhajobu a právem být vyslechnut.
            
         
         
            Článek 3
            Omezení
            
               1.   Středisko Cedefop uplatňuje omezení pouze na základě jednoho nebo více důvodů uvedených v čl. 25 odst. 1 písm. a) až i) nařízení (EU) 2018/1725. Zejména v souvislosti s účely zpracování osobních údajů uvedenými v čl. 1 odst. 2 tohoto rozhodnutí mohou omezení vycházet z těchto důvodů:
               
                           a)
                        
                        
                           při provádění správních šetření a disciplinárních řízení mohou omezení vycházet z čl. 25 odst. 1 písm. b), c), g) a h) nařízení (EU) 2018/1725;
                        
                     
                           b)
                        
                        
                           u předběžných činností souvisejících s případy možných nesrovnalostí oznámených úřadu OLAF mohou omezení vycházet z čl. 25 odst. 1 písm. b), c), f), g) a h) nařízení (EU) 2018/1725;
                        
                     
                           c)
                        
                        
                           v rámci řízení v případě whistleblowingu mohou omezení vycházet z čl. 25 odst. 1 písm. b), c), f), g) a h) nařízení (EU) 2018/1725;
                        
                     
                           d)
                        
                        
                           u (formálních a neformálních) řízení v případech obtěžování mohou omezení vycházet z čl. 25 odst. 1 písm. b), f), h) a i) nařízení (EU) 2018/1725;
                        
                     
                           e)
                        
                        
                           při vyřizování interních a externích stížností mohou omezení vycházet z čl. 25 odst. 1 písm. c), g) a h) nařízení (EU) 2018/1725;
                        
                     
                           f)
                        
                        
                           u interních auditů mohou omezení vycházet z čl. 25 odst. 1 písm. c), g) a h) nařízení (EU) 2018/1725;
                        
                     
                           g)
                        
                        
                           u vyšetřování prováděných pověřencem pro ochranu osobních údajů v souladu s čl. 45 odst. 2 nařízení (EU) 2018/1725 mohou omezení vycházet z čl. 25 odst. 1 písm. c), g) a h) uvedeného nařízení;
                        
                     
                           h)
                        
                        
                           u vyšetřování (IT) bezpečnosti prováděných interně nebo se zapojením externích subjektů (např. skupiny CERT-EU) mohou omezení vycházet z čl. 25 odst. 1 písm. c), d), g) a h) nařízení (EU) 2018/1725;
                        
                     
                           i)
                        
                        
                           při vyřizování žádostí zaměstnanců o přístup k jejich zdravotní dokumentaci mohou omezení vycházet z čl. 25 odst. 1 písm. h) nařízení (EU) 2018/1725.
                        
                     
            
               2.   Na základě zvláštního uplatnění účelů popsaných výše v odstavci 1 může středisko Cedefop omezení práv uvedených v čl. 1 odst. 5 tohoto rozhodnutí použít za těchto okolností:
               
                           a)
                        
                        
                           pokud je jiný orgán, instituce nebo jiný subjekt Unie oprávněn omezit výkon těchto práv na základě jiných aktů podle článku 25 nařízení (EU) 2018/1725 nebo v souladu s kapitolou IX uvedeného nařízení nebo se svými zakládajícími akty a účel takového omezení příslušným jiným orgánem, institucí nebo jiným subjektem Unie by byl ohrožen, jestliže by středisko Cedefop u stejných osobních údajů neuplatnilo obdobné omezení;
                        
                     
                           b)
                        
                        
                           pokud je příslušný orgán členského státu oprávněn omezit výkon těchto práv na základě aktů uvedených v článku 23 nařízení Evropského parlamentu a Rady (EU) 2016/679 (4) nebo na základě vnitrostátních opatření provádějících čl. 13 odst. 3, čl. 15 odst. 3 nebo čl. 16 odst. 3 směrnice Evropského parlamentu a Rady (EU) 2016/680 (5) a účel takového omezení příslušným orgánem členského státu by byl ohrožen, jestliže by středisko Cedefop u stejných osobních údajů neuplatnilo obdobné omezení;
                        
                     
                           c)
                        
                        
                           pokud by výkon těchto práv ohrozil spolupráci střediska Cedefop s třetími zeměmi nebo mezinárodními organizacemi při provádění jeho úkolů.
                        
                     Před použitím omezení za okolností uvedených v písm. a) a b) prvního pododstavce konzultuje středisko Cedefop příslušné orgány, instituce a jiné subjekty Unie nebo příslušné orgány členských států, pokud mu není zjevné, že použití omezení je stanoveno jedním z aktů uvedených v těchto písmenech.
            
            
               3.   Středisko Cedefop v oznámeních o ochraně údajů nebo v záznamech ve smyslu článku 31 nařízení (EU) 2018/1725 zveřejněných na internetových stránkách a na intranetu střediska, kde informuje subjekty údajů o jejich právech v rámci daného řízení, uvede informace související s možným omezením práv, včetně toho, která práva mohou být omezena, důvodů a případné délky trvání.
               Aniž jsou dotčena ustanovení čl. 5 odst. 2, informuje středisko Cedefop, je-li to přiměřené, rovněž jednotlivě všechny subjekty údajů, o nichž se domnívá, že jsou dotčenými osobami v rámci konkrétní operace zpracování, neprodleně a písemně o jejich právech v souvislosti se současnými a budoucími omezeními.
            
            
               4.   Všechna omezení musí být nezbytná a přiměřená vzhledem k rizikům pro práva a svobody subjektů údajů a musí respektovat podstatu základních práv a svobod v demokratické společnosti.
            
            
               5.   Zvažuje-li se použití omezení, provede se test nezbytnosti a přiměřenosti na základě těchto předpisů. Test se v každém jednotlivém případě zdokumentuje prostřednictvím oznámení o interním posouzení za účelem vyvození odpovědnosti.
            
            
               6.   Omezení se zruší, jakmile pominou okolnosti, které tato omezení odůvodňují.
            
         
         
            Článek 4
            Přezkum pověřencem pro ochranu osobních údajů
            
               1.   Pověřenec pro ochranu osobních údajů střediska Cedefop (dále jen „pověřenec pro ochranu osobních údajů“) je neprodleně informován, pokud správce zamýšlí omezit uplatňování práv subjektů údajů nebo prodloužit platnost omezení, a to v souladu s tímto rozhodnutím. Správce poskytne pověřenci pro ochranu osobních údajů přístup k záznamům obsahujícím posouzení nezbytnosti a přiměřenosti omezení a zdokumentuje do záznamu datum informování pověřence pro ochranu osobních údajů. Pověřenec pro ochranu osobních údajů je zapojen během celého řízení až do zrušení omezení.
            
            
               2.   Pověřenec pro ochranu osobních údajů může správce písemně požádat, aby přezkoumal použití omezení. Správce písemně informuje pověřence pro ochranu osobních údajů o výsledku vyžádaného přezkumu.
            
            
               3.   Správce informuje pověřence pro ochranu osobních údajů, pokud bylo omezení zrušeno.
            
         
         
            Článek 5
            Omezení práva subjektu údajů na informace
            
               1.   V řádně odůvodněných případech a za podmínek stanovených v tomto rozhodnutí může správce omezit právo subjektu údajů na informace v souvislosti s těmito operacemi zpracování:
               
                           a)
                        
                        
                           provádění správních šetření a disciplinárních řízení;
                        
                     
                           b)
                        
                        
                           předběžné činnosti související s případy možných nesrovnalostí oznámených úřadu OLAF;
                        
                     
                           c)
                        
                        
                           řízení v případě whistleblowingu;
                        
                     
                           d)
                        
                        
                           (formální a neformální) řízení v případech obtěžování;
                        
                     
                           e)
                        
                        
                           vyřizování interních a externích stížností;
                        
                     
                           f)
                        
                        
                           interní audity;
                        
                     
                           g)
                        
                        
                           vyšetřování prováděná pověřencem pro ochranu osobních údajů v souladu s čl. 45 odst. 2 nařízení (EU) 2018/1725;
                        
                     
                           h)
                        
                        
                           vyšetřování (IT) bezpečnosti prováděná interně nebo se zapojením externích subjektů (např. skupiny CERT-EU).
                        
                     
            
               2.   Pokud středisko Cedefop zcela nebo částečně omezí právo subjektů údajů na informace poskytované podle článků 14 až 16 nařízení (EU) 2018/1725, zaznamená důvody omezení a právní základ (základy) v souladu s článkem 3 tohoto rozhodnutí, včetně posouzení nezbytnosti a přiměřenosti omezení.
               Je třeba vložit do rejstříku záznam a případně dokumenty obsahující věcné a právní
               prvky, z nichž omezení vychází. Ty jsou pak na požádání přístupné evropskému inspektorovi ochrany údajů.
            
            
               3.   Omezení uvedené v odstavci 2 platí, dokud budou platit důvody, které jeho platnost odůvodňují.
               Pokud důvody omezení již neplatí, středisko Cedefop poskytne informace subjektu údajů o hlavních důvodech, na nichž je použití omezení založeno. Současně středisko Cedefop informuje subjekt údajů o právu kdykoli podat stížnost u evropského inspektora ochrany údajů nebo žádat o soudní ochranu u Soudního dvora Evropské unie (dále jen „Soudní dvůr“).
               Středisko Cedefop přezkoumá použití omezení každých šest měsíců ode dne přijetí omezení a při uzavření příslušného šetření, řízení nebo vyšetřování. Následně správce každých šest měsíců posoudí nutnost nadále uplatňovat omezení. Test nezbytnosti a přiměřenosti uvedený v čl. 3 odst. 5 se provádí také v souvislosti s každým pravidelným přezkumem po posouzení toho, zda věcné a právní důvody stále platí.
            
         
         
            Článek 6
            Omezení práva subjektu údajů na přístup k osobním údajům
            
               1.   V řádně odůvodněných případech a za podmínek stanovených v tomto rozhodnutí může správce omezit právo subjektu údajů na přístup k osobním údajům, pokud je to nezbytné a přiměřené, v souvislosti s těmito operacemi zpracování:
               
                           a)
                        
                        
                           provádění správních šetření a disciplinárních řízení;
                        
                     
                           b)
                        
                        
                           předběžné činnosti související s případy možných nesrovnalostí oznámených úřadu OLAF;
                        
                     
                           c)
                        
                        
                           řízení v případě whistleblowingu;
                        
                     
                           d)
                        
                        
                           (formální a neformální) řízení v případech obtěžování;
                        
                     
                           e)
                        
                        
                           vyřizování interních a externích stížností;
                        
                     
                           f)
                        
                        
                           interní audity;
                        
                     
                           g)
                        
                        
                           vyšetřování prováděná pověřencem pro ochranu osobních údajů v souladu s čl. 45 odst. 2 nařízení (EU) 2018/1725;
                        
                     
                           h)
                        
                        
                           vyšetřování (IT) bezpečnosti prováděná interně nebo se zapojením externích subjektů (např. skupiny CERT-EU);
                        
                     
                           i)
                        
                        
                           vyřizování žádostí zaměstnanců o přístup k jejich zdravotní dokumentaci.
                        
                     Pokud subjekty údajů požádají o přístup ke svým osobním údajům zpracovávaným v souvislosti s jedním nebo více konkrétními případy nebo ke konkrétní operaci zpracování v souladu s článkem 17 nařízení (EU) 2018/1725, omezí středisko Cedefop posouzení žádosti pouze na tyto osobní údaje.
            
            
               2.   Pokud středisko Cedefop omezí, ať už zcela, nebo částečně, právo na přístup k osobním údajům uvedené v článku 17 nařízení (EU) 2018/1725, podnikne tyto kroky:
               
                           a)
                        
                        
                           ve své odpovědi na žádost informuje dotčený subjekt údajů o platném omezení a o hlavních důvodech tohoto omezení a také o možnosti podat stížnost u evropského inspektora ochrany údajů nebo žádat o soudní ochranu u Soudního dvora;
                        
                     
                           b)
                        
                        
                           v oznámení o interním posouzení zdokumentuje důvody omezení, včetně posouzení nezbytnosti a přiměřenosti omezení a délky jeho trvání.
                        
                     Uložená omezení práva zaměstnanců na přístup k jejich zdravotní dokumentaci se týkají pouze žádostí zaměstnanců o přímý přístup ke zdravotním údajům psychologického nebo psychiatrického charakteru, pokud se na základě individuálního posouzení zjistí, že nepřímý přístup je nezbytný k ochraně subjektu údajů. Přístup k těmto údajům bude poskytnut prostřednictvím lékaře jmenovaného dotčeným subjektem údajů. Lékař zvolený subjektem údajů získá přístup ke všem informacím a pravomoc podle vlastního uvážení rozhodnout jak a jaký přístup subjektu údajů poskytnout.
               V souladu s čl. 25 odst. 8 nařízení (EU) 2018/1725 lze poskytnutí informací uvedených v písmenu a) odložit, neprovést nebo odepřít, pokud by mařilo účinek omezení.
               Středisko Cedefop přezkoumá použití omezení každých šest měsíců ode dne přijetí omezení a při uzavření příslušného šetření, řízení nebo vyšetřování. Následně správce každých šest měsíců posoudí nutnost nadále uplatňovat omezení. Test nezbytnosti a přiměřenosti uvedený v čl. 3 odst. 5 se provádí také v souvislosti s každým pravidelným přezkumem po posouzení toho, zda věcné a právní důvody stále platí.
            
            
               3.   Je třeba vložit do rejstříku záznam a případně dokumenty obsahující věcné a právní prvky, z nichž omezení vychází. Ty jsou pak na požádání přístupné evropskému inspektorovi ochrany údajů.
            
         
         
            Článek 7
            Omezení práva subjektu údajů na opravu, výmaz a omezení zpracování
            
               1.   V řádně odůvodněných případech a za podmínek stanovených v tomto rozhodnutí může správce omezit právo subjektu údajů na opravu, výmaz a omezení zpracování, pokud je to nezbytné a přiměřené, v souvislosti s těmito operacemi zpracování:
               
                           a)
                        
                        
                           provádění správních šetření a disciplinárních řízení;
                        
                     
                           b)
                        
                        
                           předběžné činnosti související s případy možných nesrovnalostí oznámených úřadu OLAF;
                        
                     
                           c)
                        
                        
                           řízení v případě whistleblowingu;
                        
                     
                           d)
                        
                        
                           (formální a neformální) řízení v případech obtěžování;
                        
                     
                           e)
                        
                        
                           vyřizování interních a externích stížností;
                        
                     
                           f)
                        
                        
                           interní audity;
                        
                     
                           g)
                        
                        
                           vyšetřování prováděná pověřencem pro ochranu osobních údajů v souladu s čl. 45 odst. 2 nařízení (EU) 2018/1725;
                        
                     
                           h)
                        
                        
                           vyšetřování (IT) bezpečnosti prováděná interně nebo se zapojením externích subjektů (např. skupiny CERT-EU).
                        
                     
            
               2.   Pokud středisko Cedefop zcela nebo částečně omezí uplatňování práva subjektu údajů na opravu, výmaz a omezení zpracování uvedeného v článku 18, čl. 19 odst. 1 a čl. 20 odst. 1 nařízení (EU) 2018/1725, podnikne kroky stanovené v čl. 6 odst. 2 tohoto rozhodnutí a vloží do rejstříku záznam v souladu s čl. 6 odst. 3 tohoto rozhodnutí.
            
         
         
            Článek 8
            Omezení práva na oznamování případů porušení zabezpečení osobních údajů subjektu údajů a práva na důvěrnost elektronických komunikací
            
               1.   V řádně odůvodněných případech a za podmínek stanovených v tomto rozhodnutí může správce omezit právo na oznamování případů porušení zabezpečení osobních údajů subjektu údajů, pokud je to nezbytné a přiměřené, v souvislosti s těmito operacemi zpracování:
               
                           a)
                        
                        
                           provádění správních šetření a disciplinárních řízení;
                        
                     
                           b)
                        
                        
                           předběžné činnosti související s případy možných nesrovnalostí oznámených úřadu OLAF;
                        
                     
                           c)
                        
                        
                           řízení v případě whistleblowingu;
                        
                     
                           d)
                        
                        
                           interní audity;
                        
                     
                           e)
                        
                        
                           vyšetřování prováděná pověřencem pro ochranu osobních údajů v souladu s čl. 45 odst. 2 nařízení (EU) 2018/1725;
                        
                     
                           f)
                        
                        
                           vyšetřování (IT) bezpečnosti prováděná interně nebo se zapojením externích subjektů (např. skupiny CERT-EU).
                        
                     
            
               2.   V řádně odůvodněných případech a za podmínek stanovených v tomto rozhodnutí může správce omezit právo na důvěrnost elektronických komunikací, pokud je to nezbytné a přiměřené, v souvislosti s těmito operacemi zpracování:
               
                           a)
                        
                        
                           provádění správních šetření a disciplinárních řízení;
                        
                     
                           b)
                        
                        
                           předběžné činnosti související s případy možných nesrovnalostí oznámených úřadu OLAF;
                        
                     
                           c)
                        
                        
                           řízení v případě whistleblowingu;
                        
                     
                           d)
                        
                        
                           formální řízení v případech obtěžování;
                        
                     
                           e)
                        
                        
                           e) vyřizování interních a externích stížností;
                        
                     
                           f)
                        
                        
                           vyšetřování (IT) bezpečnosti prováděná interně nebo se zapojením externích subjektů (např. skupiny CERT-EU).
                        
                     
            
               3.   Pokud středisko Cedefop omezí práva na oznamování případů porušení zabezpečení osobních údajů subjektu údajů nebo na důvěrnost elektronických komunikací uvedená v článcích 35 a 36 nařízení (EU) 2018/1725, zaznamená a vloží do rejstříku důvody omezení v souladu s čl. 5 odst. 2 tohoto rozhodnutí. Použije se rovněž čl. 5 odst. 3 tohoto rozhodnutí.
            
         
         
            Článek 9
            Vstup v platnost
            Toto rozhodnutí vstupuje v platnost dvacátým dnem po vyhlášení v Úředním věstníku Evropské unie.
         
         
            Vyhotoveno dne 6. května 2020.
            
               
                  Za správní radu
               
               Barbara DORN
               
                  předsedkyně správní rady
               
            
         
         
            (1)  . Úř. věst. L 295, 21.11.2018, s. 39.
         
            (2)  . Úř. věst L 30, 31.1.2019, s. 90.
         
            (3)  . https://edps.europa.eu/sites/edp/files/publication/18-12-20_guidance_on_article_25_en.pdf.
         
            (4)  . Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. L 119, 4.5.2016, s. 1).
         
            (5)  . Směrnice Evropského parlamentu a Rady (EU) 2016/680 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, o volném pohybu těchto údajů a o zrušení rámcového rozhodnutí Rady 2008/977/SVV (Úř. věst. L 119, 4.5.2016, s. 89).