CELEX: 32020Q0116(01)
Language: hu
Date: 2019-06-28 00:00:00
Title: A Kábítószer és a Kábítószerfüggőség Európai Megfigyelőközpontja igazgatótanácsának határozata (2019. június 28.) az érintettek bizonyos személyes adatoknak az EMCDDA működésének keretében való kezelésével kapcsolatos jogainak korlátozására vonatkozó belső szabályokról

16.1.2020   
               
               
                  HU
               
               
                  Az Európai Unió Hivatalos Lapja
               
               
                  L 12/29
               
            
         A KÁBÍTÓSZER ÉS A KÁBÍTÓSZERFÜGGŐSÉG EURÓPAI MEGFIGYELŐKÖZPONTJA IGAZGATÓTANÁCSÁNAK HATÁROZATA
         (2019. június 28.)
         az érintettek bizonyos személyes adatoknak az EMCDDA működésének keretében való kezelésével kapcsolatos jogainak korlátozására vonatkozó belső szabályokról
         AZ EMCDDA IGAZGATÓTANÁCSA,
         tekintettel az Európai Unió működéséről szóló szerződésre,
         tekintettel a természetes személyeknek a személyes adatok uniós intézmények, szervek, hivatalok és ügynökségek általi kezelése tekintetében való védelméről és az ilyen adatok szabad áramlásáról, valamint a 45/2001/EK rendelet és az 1247/2002/EK határozat hatályon kívül helyezéséről szóló, 2018. október 23-i (EU) 2018/1725 európai parlamenti és tanácsi rendeletre (1) és különösen annak 25. cikkére,
         tekintettel a Kábítószer és a Kábítószer-függőség Európai Megfigyelőközpontjáról szóló, 2006. december 12-i 1920/2006/EK európai parlamenti és tanácsi rendeletre (2) és különösen annak 6. és 9. cikkére,
         tekintettel az európai adatvédelmi biztos (EDPS) 2019. május 29-i véleményére, valamint az európai adatvédelmi biztosnak az új rendelet 25. cikkével és a belső szabályokkal kapcsolatos útmutatására,
         mivel:
         
                     (1)
                  
                  
                     Az EMCDDA a tevékenységét a fent említett, az 1920/2006/EK tanácsi rendelettel összhangban végzi.
                  
               
                     (2)
                  
                  
                     Az (EU) 2018/1725 rendelet 25. cikkének (1) bekezdésével összhangban, az e rendelet 14–22., 35. és 36., valamint 4. cikkének alkalmazására vonatkozó korlátozásoknak – amennyiben a rendelkezései megfelelnek a 14–22. cikkben meghatározott jogoknak és kötelezettségeknek – az EMCDDA által elfogadásra kerülő belső szabályokon kell alapulniuk, amennyiben nem a Szerződések alapján elfogadott jogi aktusokon alapulnak.
                  
               
                     (3)
                  
                  
                     Ezek a belső szabályok – köztük a korlátozás szükségességének és arányosságának értékelésére vonatkozó rendelkezések – nem alkalmazhatók, ha valamely, a Szerződések alapján elfogadott jogi aktus előírja az érintett jogainak korlátozását.
                  
               
                     (4)
                  
                  
                     Amennyiben az EMCDDA a feladatait az érintett (EU) 2018/1725 rendelet szerinti jogaira figyelemmel látja el, meg kell vizsgálnia, hogy az említett rendeletben rögzített mentességek valamelyike nem alkalmazandó-e.
                  
               
                     (5)
                  
                  
                     Az EMCDDA adminisztratív működésének keretében igazgatási vizsgálatokat végezhet, fegyelmi eljárásokat folytathat le, az OLAF-nak bejelentett lehetséges szabálytalanságok eseteivel kapcsolatban előkészítő tevékenységeket végezhet, visszaélés bejelentésével kapcsolatos ügyekben vizsgálódhat, (hivatalos és nem hivatalos) zaklatási eljárásokat folytathat le, belső és külső panaszokat kezelhet, belső ellenőrzéseket végezhet, az adatvédelmi tisztviselő által az (EU) 2018/1725 rendelet 45. cikkének (2) bekezdésével összhangban végzett vizsgálatokat folytathat le, és belső (informatikai) biztonsági vizsgálatokat végezhet.
                  
               
                     (6)
                  
                  
                     Az EMCDDA személyes adatok számos kategóriáját kezeli, köztük tényszerű adatokat („objektív adatokat”, mint például a személyazonosító adatok, az elérhetőségi adatok, a szakmai adatok, a részletes igazgatási adatok, a meghatározott forrásokból származó adatok, az elektronikus kommunikáció adatai és a forgalmi adatok) és/vagy a véleményeken alapuló adatokat (az üggyel kapcsolatos „szubjektív” adatokat, mint például az indokolás, a viselkedési adatok, az értékelésre, a teljesítményre és a lebonyolításra vonatkozó adatok, valamint az eljárás vagy tevékenység tárgyára vonatkozó vagy azzal kapcsolatban előterjesztett adatok).
                  
               
                     (7)
                  
                  
                     Az EMCDDA, amelyet ügyvezető igazgatója képvisel, adatkezelőként jár el függetlenül attól, hogy az adatkezelői feladatkört áthárítja-e az EMCDDA-n belül annak érdekében, hogy az egyes konkrét személyesadat-kezelési műveletek vonatkozásában ellássa az operatív feladatokat.
                  
               
                     (8)
                  
                  
                     A személyes adatokat biztonságos elektronikus környezetben vagy papír alapon tárolják, ami megakadályozza az adatokhoz való jogosulatlan hozzáférést vagy az adatok illetéktelenek számára történő továbbítását. A kezelt személyes adatokat legfeljebb az adatkezelés céljából szükséges és helyénvaló ideig – az EMCDDA adatvédelmi értesítéseiben, adatvédelmi nyilatkozataiban vagy nyilvántartásaiban meghatározott ideig – őrzik meg.
                  
               
                     (9)
                  
                  
                     Ezeket a belső szabályokat az EMCDDA által az igazgatási vizsgálatok, fegyelmi eljárások lefolytatása, az OLAF-nak bejelentett lehetséges szabálytalanságok eseteivel kapcsolatos előkészítő tevékenységek végzése, visszaélés bejelentésével kapcsolatos ügyek, (hivatalos és nem hivatalos) zaklatási eljárások, belső és külső panaszok kezelése, belső ellenőrzések végzése, az adatvédelmi tisztviselő által az (EU) 2018/1725 rendelet 45. cikkének (2) bekezdésével összhangban végzett vizsgálatok és a Hatóságon belül kezelt vagy külső felek (pl. a CERT-EU) bevonásával végzett (informatikai) biztonsági vizsgálatok céljából végzett valamennyi adatkezelési műveletre alkalmazni kell.
                  
               
                     (10)
                  
                  
                     A belső szabályokat alkalmazni kell a fentebb említett eljárások megindítása előtt, ezen eljárások során és az ezen eljárások eredményeinek nyomon követése során végzett adatkezelési műveletekre. Az EMCDDA által a saját igazgatási vizsgálatain kívül a nemzeti hatóságoknak és nemzetközi szervezeteknek nyújtott segítség és együttműködés is ennek körébe tartozik.
                  
               
                     (11)
                  
                  
                     Azokban az esetekben, amikor ezek a belső szabályok alkalmazandók, az EMCDDA-nak meg kell indokolnia, hogy a korlátozások miért feltétlenül szükségesek és arányosak egy demokratikus társadalomban, és mennyiben tartják tiszteletben az alapvető jogok és szabadságok lényeges tartalmát.
                  
               
                     (12)
                  
                  
                     Ezeken a kereteken belül az EMCDDA köteles a lehető legnagyobb mértékben tiszteletben tartani a fenti eljárások során az érintettek alapvető jogait, különös tekintettel a tájékoztatáshoz, hozzáféréshez és helyesbítéshez, törléshez való jogra, az adatkezelés korlátozásához való jogra, az érintett adatvédelmi incidensről való tájékoztatásának jogára, illetve a tájékoztatás bizalmas kezelésével kapcsolatos, az (EU) 2018/1725 rendeletben foglalt jogokra.
                  
               
                     (13)
                  
                  
                     Az EMCDDA ugyanakkor kötelezhető arra, hogy különösen a saját vizsgálatainak, valamint más hatóságok vizsgálatainak és eljárásainak védelme, valamint a vizsgálataival vagy más eljárásaival összefüggésben más személyek jogainak védelme érdekében korlátozza az érintett tájékoztatását és más érintettek jogait.
                  
               
                     (14)
                  
                  
                     Ebből következően az EMCDDA a vizsgálat és más érintettek alapvető jogainak és szabadságainak védelme céljából korlátozhatja a tájékoztatást.
                  
               
                     (15)
                  
                  
                     Az EMCDDA-nak rendszeresen figyelemmel kell kísérnie, hogy a korlátozást indokló feltételek fennállnak-e, és ha már nem, akkor fel kell oldania a korlátozást.
                  
               
                     (16)
                  
                  
                     Az adatkezelőnek tájékoztatást kell adnia az adatvédelmi tisztviselő részére a halasztás időpontjában és a felülvizsgálatok során,
                  
               ELFOGADTA A KÖVETKEZŐ HATÁROZATOT:
         
            1. cikk
            Tárgy és hatály
            
               (1)   Ez a határozat azokra a feltételekre vonatkozó szabályokat állapítja meg, amelyekkel az EMCDDA a (2) bekezdésben meghatározott eljárások keretében korlátozhatja az (EU) 2018/1725 rendelet 14–21., 35. és 36. cikkében említett jogok, továbbá – a 25. cikket követve – a 4. cikk alkalmazását.
            
            
               (2)   Az EMCDDA adminisztratív működésének keretében ez a határozat az EMCDDA által személyes adatokon a következő célokból végzett adatkezelési műveletekre alkalmazandó: igazgatási vizsgálatok, fegyelmi eljárások lefolytatása, az OLAF-nak bejelentett lehetséges szabálytalanságok eseteivel kapcsolatos előkészítő tevékenységek végzése, visszaélés bejelentésével kapcsolatos ügyek, (hivatalos és nem hivatalos) zaklatási eljárások, belső és külső panaszok kezelése, belső ellenőrzések végzése, az adatvédelmi tisztviselő által az (EU) 2018/1725 rendelet 45. cikkének (2) bekezdésével összhangban végzett vizsgálatok és a Hatóságon belül kezelt vagy külső felek (pl. a CERT-EU) bevonásával végzett (informatikai) biztonsági vizsgálatok..
            
            
               (3)   Az érintett adatkategóriák: tényszerű adatok („objektív adatok”, mint a személyazonosító adatok, az elérhetőségi adatok, a szakmai adatok, a részletes igazgatási adatok, a meghatározott forrásokból származó adatok, az elektronikus kommunikáció adatai és a forgalmi adatok) és/vagy a véleményeken alapuló adatok (az üggyel kapcsolatos „szubjektív” adatok, mint például az indokolás, a viselkedési adatok, az értékelésre, a teljesítményre és a lebonyolításra vonatkozó adatok, valamint az eljárás vagy tevékenység tárgyára vonatkozó vagy azzal kapcsolatban előterjesztett adatok).
            
            
               (4)   Amennyiben az EMCDDA a feladatait az érintett (EU) 2018/1725 rendelet szerinti jogaira figyelemmel látja el, meg kell vizsgálnia, hogy az említett rendeletben rögzített mentességek valamelyike nem alkalmazandó-e.
            
            
               (5)   Az e határozatban meghatározott feltételek mellett a korlátozások a következő jogokra vonatkozhatnak: információszolgáltatás az érintettek részére, hozzáférési, helyesbítési, törlési jog, az adatkezelés korlátozásához való jog, az érintett tájékoztatása az adatvédelmi incidensről, illetve a tájékoztatás bizalmas kezelése.
            
         
         
            2. cikk
            Az adatkezelő meghatározása és garanciák
            
               (1)   Az adatvédelmi incidens, adatok kiszivárgása és a jogosulatlan közlés megakadályozására bevezetett garanciák a következők:
               
                           a)
                        
                        
                           A papíralapú iratokat biztonságos szekrényekben kell tárolni, és azokhoz csak az arra jogosult munkatársak férhetnek hozzá;
                        
                     
                           b)
                        
                        
                           Valamennyi elektronikus adatot biztonságos informatikai alkalmazáson kell tárolni az EMCDDA biztonsági előírásainak megfelelően, valamint egyedi elektronikus mappákban, amelyekhez kizárólag az erre felhatalmazott személyzet férhet hozzá. A megfelelő hozzáférési szinteket egyedileg kell meghatározni;
                        
                     
                           c)
                        
                        
                           Az adatbázisnak jelszóval védett, egyetlen egységes belépési eljárással működő rendszernek kell lennie, amely automatikusan kapcsolódik a felhasználó azonosítójához és jelszavához. A felhasználók felcserélése szigorúan tilos. Az elektronikus nyilvántartásokat biztonságosan kell kezelni, hogy megvédjék a bennük tárolt adatok bizalmasságát és titkosságát;
                        
                     
                           d)
                        
                        
                           Titoktartási kötelezettség terheli az adatokhoz hozzáférő valamennyi személyt.
                        
                     
            
               (2)   Az adatkezelési műveletek adatkezelője az EMCDDA, amelyet igazgatója képvisel, aki az adatkezelői feladatkört átruházhatja. Az érintetteket az EMCDDA weboldalán és/vagy intranetes felületén közzétett adatvédelmi értesítések vagy nyilvántartások útján tájékoztatni kell a meghatalmazott adatkezelő személyéről.
            
            
               (3)   Az 1. cikk (3) bekezdésében említett személyes adatok megőrzési ideje nem lehet hosszabb, mint amennyi az adatkezelés céljához mérten szükséges és megfelelő. Ez semmilyen körülmények között sem haladhatja meg az 5. cikk (1) bekezdésében említett adatvédelmi értesítésekben, adatvédelmi nyilatkozatokban vagy nyilvántartásokban meghatározott megőrzési időtartamot.
            
            
               (4)   Amikor az EMCDDA korlátozás alkalmazását mérlegeli, számba kell vennie az érintett jogaira és szabadságaira nézve fennálló kockázatokat, különösen a többi érintett jogaira és szabadságaira nézve fennálló kockázat, valamint azon kockázat szempontjából, hogy például a bizonyítékok megsemmisítésével az EMCDDA vizsgálatai vagy eljárásai hatástalanná válnak. Az érintett jogait és szabadságait érintő kockázatok elsősorban, de nem kizárólag, a jó hírnévvel, valamint a védelemhez és a meghallgatáshoz való joggal kapcsolatos kockázatokat foglalják magukban.
            
         
         
            3. cikk
            Korlátozások
            
               (1)   Az EMCDDA korlátozást kizárólag a következők biztosítása érdekében alkalmazhat:
               
                           a)
                        
                        
                           bűncselekmények megelőzése, nyomozása, felderítése és a vádeljárás lefolytatása, illetve büntetőjogi szankciók végrehajtása, beleértve a közbiztonságot fenyegető veszélyekkel szembeni védelmet és e veszélyek megelőzését;
                        
                     
                           b)
                        
                        
                           az Unió vagy valamely tagállam egyéb fontos, általános közérdekű célkitűzései, különösen az Unió közös kül- és biztonságpolitikai célkitűzései vagy az Unió vagy valamely tagállam fontos gazdasági vagy pénzügyi érdeke, beleértve a monetáris, a költségvetési és az adózási kérdéseket, a népegészségügyet és a szociális biztonságot;
                        
                     
                           c)
                        
                        
                           az uniós intézmények és szervek belső biztonsága, beleértve az elektronikus hírközlési hálózatokat is;
                        
                     
                           d)
                        
                        
                           a bírói függetlenség és a bírósági eljárások védelme;
                        
                     
                           e)
                        
                        
                           a szabályozott foglalkozások esetében az etikai vétségek megelőzése, kivizsgálása, felderítése és az ezekkel kapcsolatos eljárások lefolytatása;
                        
                     
                           f)
                        
                        
                           az a)–c) pontokban említett esetekben – akár alkalmanként – a közhatalmi feladatok ellátásához kapcsolódó ellenőrzési, vizsgálati vagy szabályozási tevékenység;
                        
                     
                           g)
                        
                        
                           az érintett védelme vagy mások jogainak és szabadságainak védelme;
                        
                     
            
               (2)   A fenti (1) bekezdésben ismertetett célok egyedi alkalmazásaként az EMCDDA az alábbi körülmények fennállása esetén alkalmazhat korlátozásokat a bizottsági szolgálatokkal vagy más uniós intézményekkel, szervekkel, ügynökségekkel és hivatalokkal, a tagállamok vagy harmadik országok illetékes hatóságaival vagy nemzetközi szervezetekkel kicserélt személyes adatok tekintetében:
               
                           a)
                        
                        
                           ha a szóban forgó jogok és kötelezettségek gyakorlását a bizottsági szolgálatok vagy más uniós intézmények, szervek, ügynökségek és hivatalok az (EU) 2018/1725 rendelet 25. cikkében említett egyéb jogi aktusok alapján, vagy ez utóbbi rendelet IX. fejezete vagy más uniós intézmények, szervek, ügynökségek és hivatalok alapító aktusai szerint korlátozhatják;
                        
                     
                           b)
                        
                        
                           ha a szóban forgó jogok és kötelezettségek gyakorlását a tagállamok illetékes hatóságai az (EU) 2016/679 európai parlamenti és tanácsi rendelet (3) 23. cikkében említett jogi aktusok, vagy az (EU) 2016/680 európai parlamenti és tanácsi irányelv (4) 13. cikkének (3) bekezdését, 15. cikkének (3) bekezdését vagy 16. cikkének (3) bekezdését átültető nemzeti intézkedések alapján korlátozhatják;
                        
                     
                           c)
                        
                        
                           ha a szóban forgó jogok és kötelezettségek gyakorlása veszélyeztethetné az EMCDDA – feladatainak végzése során – harmadik országokkal vagy nemzetközi szervezetekkel folytatott együttműködését.
                        
                     Mielőtt az első albekezdés a) és b) pontjában említett korlátozások alkalmazására sor kerül, az EMCDDA konzultál az érintett bizottsági szolgálatokkal, uniós intézményekkel, szervekkel, ügynökségekkel, hivatalokkal vagy a tagállamok illetékes hatóságaival, kivéve, ha egyértelmű az EMCDDA számára, hogy a korlátozás alkalmazásáról a nevezett pontokban említett valamelyik jogi aktus rendelkezik.
            
            
               (3)   Minden korlátozásnak szükségesnek és arányosnak kell lennie, figyelembe véve az érintettek jogaira és szabadságaira nézve fennálló kockázatokat, és tiszteletben kell tartania az alapvető jogok és szabadságok lényeges tartalmát egy demokratikus társadalomban.
            
            
               (4)   Ha a korlátozás alkalmazását mérlegelik, szükségességi és arányossági vizsgálatot végeznek a jelenlegi szabályok alapján. Elszámoltathatósági okokból a vizsgálatot – eseti alapon – belső értékelő feljegyzés útján dokumentálni kell.
            
            
               (5)   A korlátozásokat feloldják, amint az őket indokoló körülmények már nem állnak fenn. Különösen akkor, ha úgy ítélik meg, hogy a korlátozott jog gyakorlása már nem oltaná ki a megállapított korlátozás hatását, vagy nem érintené hátrányosan más érintettek jogait vagy szabadságait.
            
         
         
            4. cikk
            Az adatvédelmi tisztviselő által végzett felülvizsgálat
            
               (1)   Az EMCDDA haladéktalanul tájékoztatja adatvédelmi tisztviselőjét (DPO), amikor az adatkezelő e határozat szerint korlátozza az érintettek jogait, vagy kiterjeszti a korlátozást. Az adatkezelő hozzáférést biztosít az adatvédelmi tisztviselő számára a korlátozás szükségességének és arányosságának értékelését tartalmazó nyilvántartáshoz, és a nyilvántartásban rögzíti az adatvédelmi tisztviselő részvételét a különböző eljárásokban.
            
            
               (2)   Az adatvédelmi tisztviselő írásban kérheti az adatkezelőt, hogy vizsgálja felül a korlátozások alkalmazását. Az adatkezelő írásban tájékoztatja az adatvédelmi tisztviselőt a kért felülvizsgálat eredményéről.
            
            
               (3)   Az adatkezelő tájékoztatja az adatvédelmi tisztviselőt a korlátozás feloldásáról.
            
         
         
            5. cikk
            Információszolgáltatás az érintett részére
            
               (1)   Kellően indokolt esetekben, továbbá az e határozatban meghatározott feltételek mellett az adatkezelő a következő adatkezelési műveletekkel összefüggésben korlátozhatja a tájékoztatáshoz való jogot:
               
                           a)
                        
                        
                           igazgatási vizsgálatok és fegyelmi eljárások lefolytatása;
                        
                     
                           b)
                        
                        
                           az OLAF-nak bejelentett lehetséges szabálytalanságok eseteivel kapcsolatos előkészítő tevékenységek végzése;
                        
                     
                           c)
                        
                        
                           visszaélés bejelentésével kapcsolatos eljárások;
                        
                     
                           d)
                        
                        
                           zaklatási ügyekkel kapcsolatos (hivatalos és nem hivatalos) eljárások;
                        
                     
                           e)
                        
                        
                           belső és külső panaszok kezelése;
                        
                     
                           f)
                        
                        
                           belső ellenőrzések;
                        
                     
                           g)
                        
                        
                           az adatvédelmi tisztviselő által az (EU) 2018/1725 rendelet 45. cikkének (2) bekezdésével összhangban végzett vizsgálatok;
                        
                     
                           h)
                        
                        
                           a Hatóságon belül kezelt vagy külső felek (pl. a CERT-EU) bevonásával végzett (informatikai) biztonsági vizsgálatok.
                        
                     Az EMCDDA az (EU) 2018/1725 rendelet 31. cikkének értelmében vett adatvédelmi értesítésekben, adatvédelmi nyilatkozatokban vagy nyilvántartásokban, amelyeket a weboldalán és/vagy az intraneten tesz közzé, és amelyekben tájékoztatja az érintetteket a konkrét eljárásban rendelkezésükre álló jogokról, tájékoztatást ad a szóban forgó jogok esetleges korlátozásáról. A tájékoztatás kiterjed arra, hogy a korlátozás adott esetben mely jogokra vonatkozik, valamint a korlátozás okaira és lehetséges időtartamára.
            
            
               (2)   A (3) bekezdés rendelkezéseinek sérelme nélkül, az EMCDDA – amennyiben arányos – haladéktalanul írásban egyenként is tájékoztat minden olyan érintettet, akit megítélése szerint a konkrét adatkezelési művelet érint, a jelenlegi vagy jövőbeli korlátozásokkal kapcsolatos jogaikról.
            
            
               (3)   Amennyiben az EMCDDA teljes egészében vagy részben korlátozza az érintettek részére történő, a (2) bekezdésben említett információszolgáltatást, nyilvántartásban dokumentálnia kell a korlátozás okait, a jogalapot e határozat 3. cikkével összhangban, a korlátozás szükségességének és arányosságának értékelését is beleértve.
               A nyilvántartást és adott esetben a mögöttes ténybeli és jogi elemeket tartalmazó dokumentumokat regisztrálni kell. Kérésre ezeket az európai adatvédelmi biztos rendelkezésére kell bocsátani.
            
            
               (4)   A (3) bekezdésben említett korlátozás addig marad hatályban, amíg az alátámasztására szolgáló indokok fennállnak.
               Ha a korlátozás okai már nem állnak fenn, az EMCDDA tájékoztatja az érintettet a korlátozás alkalmazásának fő indokairól. Ezzel egyidejűleg az EMCDDA tájékoztatja az érintettet arról a lehetőségről, hogy bármikor panaszt nyújthat be az európai adatvédelmi biztoshoz, vagy bírósági jogorvoslati kérelmet terjeszthet elő az Európai Unió Bíróságán.
               Az EMCDDA az elfogadásától számított hathavonként, valamint a vonatkozó megkeresés, eljárás vagy vizsgálat lezárásakor felülvizsgálja a korlátozás alkalmazását. Ezt követően az adatkezelő hathavonként ellenőrzi a korlátozás fenntartásának szükségességét.
            
         
         
            6. cikk
            Az érintett hozzáférési joga
            
               (1)   Kellően indokolt esetekben, továbbá az e határozatban meghatározott feltételek mellett az adatkezelő a következő adatkezelési műveletekkel összefüggésben korlátozhatja a hozzáférési jogot, ha szükséges és helyénvaló:
               
                           a)
                        
                        
                           igazgatási vizsgálatok és fegyelmi eljárások lefolytatása;
                        
                     
                           b)
                        
                        
                           az OLAF-nak bejelentett lehetséges szabálytalanságok eseteivel kapcsolatos előkészítő tevékenységek végzése;
                        
                     
                           c)
                        
                        
                           visszaélés bejelentésével kapcsolatos eljárások;
                        
                     
                           d)
                        
                        
                           zaklatási ügyekkel kapcsolatos (hivatalos és nem hivatalos) eljárások;
                        
                     
                           e)
                        
                        
                           belső és külső panaszok kezelése;
                        
                     
                           f)
                        
                        
                           belső ellenőrzések;
                        
                     
                           g)
                        
                        
                           az adatvédelmi tisztviselő által az (EU) 2018/1725 rendelet 45. cikkének (2) bekezdésével összhangban végzett vizsgálatok;
                        
                     
                           h)
                        
                        
                           a Hatóságon belül kezelt vagy külső felek (pl. a CERT-EU) bevonásával végzett (informatikai) biztonsági vizsgálatok.
                        
                     Ha az érintett egy vagy több konkrét esettel vagy egy konkrét adatkezelési művelettel összefüggésben kezelt személyes adataihoz kér hozzáférést az (EU) 2018/1725 rendelet 17. cikkével összhangban, az EMCDDA a kérelem értékelését kizárólag a szóban forgó személyes adatokra korlátozza.
            
            
               (2)   Ha az EMCDDA teljes egészében vagy részben korlátozza az (EU) 2018/1725 rendelet 17. cikkében említett hozzáférési jogot, megteszi a következő lépéseket:
               
                           a)
                        
                        
                           a kérésre adott válaszában tájékoztatja az érintettet az alkalmazott korlátozásról és annak fő okairól, valamint arról a lehetőségről, hogy az érintett panaszt nyújthat be az európai adatvédelmi biztoshoz, vagy bírósági jogorvoslati kérelmet terjeszthet elő az Európai Unió Bíróságán;
                        
                     
                           b)
                        
                        
                           belső értékelő feljegyzésben dokumentálja a korlátozás okait, a korlátozás szükségességének, arányosságának értékelésével és időtartamával együtt.
                        
                     Az a) pontban említett tájékoztatást el lehet halasztani, el lehet hagyni vagy meg lehet tagadni, ha a tájékoztatás ellehetetlenítené az (EU) 2018/1725 rendelet 25. cikkének (8) bekezdése értelmében elrendelt korlátozás hatását.
               Az EMCDDA az elfogadásától számított hathavonként, valamint a vonatkozó vizsgálat lezárásakor felülvizsgálja a korlátozás alkalmazását. Ezt követően az adatkezelő hathavonként ellenőrzi a korlátozás fenntartásának szükségességét.
            
            
               (3)   A nyilvántartást és adott esetben a mögöttes ténybeli és jogi elemeket tartalmazó dokumentumokat regisztrálni kell. Kérésre ezeket az európai adatvédelmi biztos rendelkezésére kell bocsátani.
            
         
         
            7. cikk
            Helyesbítési, törlési jog és az adatkezelés korlátozásához való jog
            
               (1)   Kellően indokolt esetekben, továbbá az e határozatban meghatározott feltételek mellett az adatkezelő a következő adatkezelési műveletekkel összefüggésben korlátozhatja a helyesbítési, törlési és korlátozási jogot, ha szükséges és helyénvaló:
               
                           a)
                        
                        
                           igazgatási vizsgálatok és fegyelmi eljárások lefolytatása;
                        
                     
                           b)
                        
                        
                           az OLAF-nak bejelentett lehetséges szabálytalanságok eseteivel kapcsolatos előkészítő tevékenységek végzése;
                        
                     
                           c)
                        
                        
                           visszaélés bejelentésével kapcsolatos eljárások;
                        
                     
                           d)
                        
                        
                           zaklatási ügyekkel kapcsolatos (hivatalos és nem hivatalos) eljárások;
                        
                     
                           e)
                        
                        
                           belső és külső panaszok kezelése;
                        
                     
                           f)
                        
                        
                           belső ellenőrzések;
                        
                     
                           g)
                        
                        
                           az adatvédelmi tisztviselő által az (EU) 2018/1725 rendelet 45. cikkének (2) bekezdésével összhangban végzett vizsgálatok;
                        
                     
                           h)
                        
                        
                           a Hatóságon belül kezelt vagy külső felek (pl. a CERT-EU) bevonásával végzett (informatikai) biztonsági vizsgálatok.
                        
                     
            
               (2)   Ha az EMCDDA teljes egészében vagy részben korlátozza az (EU) 2018/1725 rendelet 18. cikkében, 19. cikke (1) bekezdésében, illetve 20. cikke (1) bekezdésében említett helyesbítési, törlési jogot, illetve az adatkezelés korlátozásához való jogot, meg kell tennie az e határozat 6. cikkének (2) bekezdésében meghatározott lépéseket, és a 6. cikk (3) bekezdése szerint dokumentálnia kell ezt a nyilvántartásban.
            
         
         
            8. cikk
            Az adatvédelmi incidens közlése az érintettel és az elektronikus hírközlés bizalmas jellege
            
               (1)   Kellően indokolt esetekben, továbbá az e határozatban meghatározott feltételek mellett az adatkezelő a következő adatkezelési műveletekkel összefüggésben korlátozhatja az adatvédelmi incidens közléséhez való jogot, ha szükséges és helyénvaló:
               
                           a)
                        
                        
                           igazgatási vizsgálatok és fegyelmi eljárások lefolytatása;
                        
                     
                           b)
                        
                        
                           az OLAF-nak bejelentett lehetséges szabálytalanságok eseteivel kapcsolatos előkészítő tevékenységek végzése;
                        
                     
                           c)
                        
                        
                           visszaélés bejelentésével kapcsolatos eljárások;
                        
                     
                           d)
                        
                        
                           zaklatási ügyekkel kapcsolatos (hivatalos és nem hivatalos) eljárások;
                        
                     
                           e)
                        
                        
                           belső és külső panaszok kezelése;
                        
                     
                           f)
                        
                        
                           belső ellenőrzések;
                        
                     
                           g)
                        
                        
                           az adatvédelmi tisztviselő által az (EU) 2018/1725 rendelet 45. cikkének (2) bekezdésével összhangban végzett vizsgálatok;
                        
                     
                           h)
                        
                        
                           a Hatóságon belül kezelt vagy külső felek (pl. a CERT-EU) bevonásával végzett (informatikai) biztonsági vizsgálatok.
                        
                     
            
               (2)   Kellően indokolt esetekben, továbbá az e határozatban meghatározott feltételek mellett az adatkezelő a következő adatkezelési műveletekkel összefüggésben korlátozhatja az elektronikus hírközlés bizalmas kezeléséhez való jogot, ha szükséges és helyénvaló:
               
                           a)
                        
                        
                           igazgatási vizsgálatok és fegyelmi eljárások lefolytatása;
                        
                     
                           b)
                        
                        
                           az OLAF-nak bejelentett lehetséges szabálytalanságok eseteivel kapcsolatos előkészítő tevékenységek végzése;
                        
                     
                           c)
                        
                        
                           visszaélés bejelentésével kapcsolatos eljárások;
                        
                     
                           d)
                        
                        
                           zaklatási ügyekkel kapcsolatos hivatalos eljárások;
                        
                     
                           e)
                        
                        
                           belső és külső panaszok kezelése;
                        
                     
                           f)
                        
                        
                           a Hatóságon belül kezelt vagy külső felek (pl. a CERT-EU) bevonásával végzett (informatikai) biztonsági vizsgálatok.
                        
                     
            
               (3)   Ha az EMCDDA korlátozza az érintett – az (EU) 2018/1725 rendelet 35. és 36. cikkében említett – adatvédelmi incidensről való tájékoztatását vagy az elektronikus hírközlés bizalmas jellegét, e határozat 5. cikkének (3) bekezdése szerint dokumentálja és nyilvántartásban rögzíti a korlátozás okait. E határozat 5. cikkének (4) bekezdése alkalmazandó.
            
         
         
            9. cikk
            Hatálybalépés
            E határozat az Európai Unió Hivatalos Lapjában való kihirdetését követő napon lép hatályba.
         
         
            Kelt Lisszabonban, 2019. június 28-án.
            
               
                  az igazgatótanács részéről
               
               
                  az elnök
               
               Laura D’ARRIGO
            
         
         
            (1)  HL L 295., 2018.11.21., 39. o.
         
         
            (2)  HL L 376., 2006.12.27., 1. o.
         
         
            (3)  Az Európai Parlament és a Tanács (EU) 2016/679 rendelete (2016. április 27.) a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK rendelet hatályon kívül helyezéséről (általános adatvédelmi rendelet)( 
               HL L 119., 2016.5.4., 1. o.
            ).
         
            (4)  Az Európai Parlament és a Tanács (EU) 2016/680 irányelve (2016. április 27) a személyes adatoknak az illetékes hatóságok által a bűncselekmények megelőzése, nyomozása, felderítése, a vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása céljából végzett kezelése tekintetében a természetes személyek védelméről és az ilyen adatok szabad áramlásáról, valamint a 2008/977/IB tanácsi kerethatározat hatályon kívül helyezéséről (
               HL L 119., 2016.5.4., 89. o.
            ).