CELEX: 32020Q0424(01)
Language: bg
Date: 2019-09-10 00:00:00
Title: Решение на управителния съвет на Агенцията за подкрепа на ОЕРЕС („Служба на ОЕРЕС“) от 10 септември 2019 година за установяване на вътрешни правила относно ограниченията на някои права на субектите на данни във връзка с обработването на лични данни в рамките на дейности, извършвани от Службата на ОЕРЕС

24.4.2020   
               
               
                  BG
               
               
                  Официален вестник на Европейския съюз
               
               
                  L 130/28
               
            
         РЕШЕНИЕ НА УПРАВИТЕЛНИЯ СЪВЕТ НА АГЕНЦИЯТА ЗА ПОДКРЕПА НА ОЕРЕС (СЛУЖБА НА ОЕРЕС)
         от 10 септември 2019 година
         за установяване на вътрешни правила относно ограниченията на някои права на субектите на данни във връзка с обработването на лични данни в рамките на дейности, извършвани от Службата на ОЕРЕС
         УПРАВИТЕЛНИЯТ СЪВЕТ,
         като взе предвид Регламент (ЕС) 2018/1971 на Европейския парламент и на Съвета от 11 декември 2018 г. за създаване на Орган на европейските регулатори в областта на електронните съобщения (ОЕРЕС) и на Агенция за подкрепа на ОЕРЕС (Служба на ОЕРЕС), за изменение на Регламент (ЕС) 2015/2120 и за отмяна на Регламент (ЕО) № 1211/2009 (1), и по-специално член 36, параграф 4 от него,
         Като взе предвид Регламент (ЕС) 2018/1725 на Европейския парламент и на Съвета от 23 октомври 2018 г. относно защитата на физическите лица във връзка с обработването на лични данни от институциите, органите, службите и агенциите на Съюза и относно свободното движение на такива данни и за отмяна на Регламент (ЕО) № 45/2001 и Решение № 1247/2002/ЕО (2) („Регламента“), и по-специално член 25 от него,
         Като се има предвид, че:
         
                     (1)
                  
                  
                     Службата на ОЕРЕС може, в контекста на своето функциониране, да провежда административни разследвания, предварителни дисциплинарни, дисциплинарни и изпълнителни производства, въз основа на приложение IX към Правилника за длъжностните лица на Европейския съюз и Условията за работа на другите служители на Европейския съюз, (3) и в съответствие с Решение MC/2012/3 на Управителния комитет на Службата на Органа на европейските регулатори в областта на електронните съобщения (Службата на ОЕРЕС), за определяне на общи разпоредби за прилагане относно провеждането на административни разследвания и дисциплинарни процедури, което предполага обработване на информация, включително на лични данни.
                  
               
                     (2)
                  
                  
                     Служителите на Службата на ОЕРЕС имат задължението да докладват за евентуални незаконни дейности, включително измами или корупция, които са в ущърб на интересите на Съюза или на поведение, свързано с изпълнението на служебните задължения, което може да представлява сериозно неспазване на задълженията на длъжностните лица на Съюза. Това е уредено с Решение № MC/2018/11 на Управителния комитет на Службата на Органа на европейските регулатори в областта на електронните съобщения (Службата на ОЕРЕС) за определяне на насоки относно подаването на сигнали за нередности до Службата на ОЕРЕС.
                  
               
                     (3)
                  
                  
                     Службата на ОЕРЕС е определила политика за предотвратяване и ефективно и ефикасно справяне с действителни или потенциални случаи на психически или сексуален тормоз на работното място, както е предвидено в Решение № MC/2016/15 на Управителния комитет на Службата на Органа на европейските регулатори в областта на електронните съобщения (Службата на ОЕРЕС) относно политиката за защита на личното достойнство и предотвратяване на психическия и сексуалния тормоз.
                  
               
                     (4)
                  
                  
                     В контекста на посочените по-горе дейности Службата на ОЕРЕС събира и обработва необходима информация и няколко категории лични данни, включително данни за самоличност на физически лица, данни за контакт, професионална длъжност и задачи; информация за личното и професионално поведение и представяне, както и финансови данни. Службата на ОЕРЕС действа като администратор на данни.
                  
               
                     (5)
                  
                  
                     За защита на личните данни и за предотвратяване на случаен или незаконен достъп до тях или техен трансфер, когато се съхраняват както във физическа, така и в електронна среда, са въведени подходящи предпазни мерки. След обработването данните се съхраняват в съответствие с приложимите правила за съхранение на Службата на ОЕРЕС, както са определени в протоколите за защита на данните въз основа на член 31 от Регламента. В края на периода на съхранение свързаната със случая информация, включително личните данни, се заличават, анонимизират или прехвърлят към историческите архиви.
                  
               
                     (6)
                  
                  
                     В този контекст Службата на ОЕРЕС е задължена да изпълни своето задължение да предоставя информация на субектите на данни във връзка с горепосочените дейности по тяхната обработка и да зачита правата на субектите на данни, както е посочено в Регламента.
                  
               
                     (7)
                  
                  
                     Възможно е да е необходимо правата на субектите на данни да се съгласуват съгласно Регламента с нуждите на горепосочените дейности, като същевременно се зачитат изцяло основните права и свободи на другите субекти на данни. За тази цел в член 25 от Регламента се предвижда, при строго определени условия, възможност за ограничаване на прилагането на членове 14 – 20, 35 и 36, както и на член 4, доколкото неговите разпоредби съответстват на правата и задълженията, предвидени в членове 14 – 20. В този случай е необходимо да се приемат вътрешни правила, съгласно които Службата на ОЕРЕС може да ограничава тези права в съответствие със същия член от Регламента.
                  
               
                     (8)
                  
                  
                     Такъв може да бъде по-специално случаят, когато на субекта на данните се предоставя информация относно обработването на лични данни по време на фазата на предварителна оценка в административно разследване или по време на самото разследване, преди евентуално прекратяване на делото или предварителен етап от разследването. При определени обстоятелства предоставянето на такава информация може сериозно да засегне способността на Службата на ОЕРЕС да проведе разследването по ефективен начин, винаги когато, например, съществува риск засегнатото лице да унищожи доказателства или да окаже въздействие върху потенциални свидетели, преди те да бъдат разпитани. Освен това може да се наложи Службата на ОЕРЕС да защитава своите права и свободи, както и правата и свободите на други засегнати лица.
                  
               
                     (9)
                  
                  
                     Може да е необходимо да се защити анонимността на свидетел или на лице, подаващо сигнал за нарушение, което е поискало да не бъде идентифицирано. В такъв случай Службата на ОЕРЕС може да реши да ограничи достъпа до данни за самоличността, изявления и други лични данни на лицата, подаващи сигнали за нередности, и на други засегнати лица, с цел да се защитят техните права и свободи.
                  
               
                     (10)
                  
                  
                     Може да бъде необходимо да се защити анонимността на служител, който се е свързал с доверените съветници на ОЕРЕС в контекста на процедура за установяване на тормоз. В такъв случай Службата на ОЕРЕС може да реши да ограничи достъпа до данни за самоличността, изявления и други лични данни на предполагаемата жертва, лицето, за което се предполага, че упражнява тормоз и другите засегнати лица, за да защити техните права и свободи.
                  
               
                     (11)
                  
                  
                     Службата на ОЕРЕС следва да прилага ограничения само когато те зачитат същността на основните права и свободи и представляват строго необходими и пропорционални мерки в едно демократично общество. Службата на ОЕРЕС следва да даде обосновка, която обяснява основанията за прилагането на тези ограничения.
                  
               
                     (12)
                  
                  
                     Въз основа на принципа на отчетност, Службата на ОЕРЕС следва да води отчет за прилагането на ограничения.
                  
               
                     (13)
                  
                  
                     Член 25, параграф 6 от Регламента задължава администратора на данни да информира субектите на данни за основните причини, на които се основава прилагането на ограничението, както и за правото им да подадат жалба до Европейския надзорен орган по защита на данните (ЕНОЗД).
                  
               
                     (14)
                  
                  
                     Съгласно член 25, параграф 8 от Регламента, Службата на ОЕРЕС може да отложи, да пропусне или да откаже предоставянето на информация относно причините за прилагането на ограничение спрямо субекта на данните, ако това по някакъв начин би обезсилило ефекта от ограничението. Службата на ОЕРЕС следва да прецени за всеки отделен случай дали съобщаването на ограничението би обезсилило неговото въздействие.
                  
               
                     (15)
                  
                  
                     Службата на ОЕРЕС следва да отмени ограничението веднага щом условията, които оправдават ограничението, престанат да бъдат приложими и да извършва редовна оценка на тези условия.
                  
               
                     (16)
                  
                  
                     За да се гарантира максимална защита на правата и свободите на субектите на данни и в съответствие с член 44, параграф 1 от Регламента, служителят по защита на данните (СЗД) следва да бъде своевременно уведомен за всички наложени ограничения и да провери съответствието им с настоящото решение.
                  
               
                     (17)
                  
                  
                     Прилагането на посочените по-горе ограничения не засяга възможното прилагане на разпоредбите на член 16, параграф 5 и член 17, параграф 4 от Регламента, отнасящи се съответно до правото на информация, когато данните не са получени от субекта на данните, както и правото на достъп на субекта на данните.
                  
               
                     (18)
                  
                  
                     На 27 май 2019 г. бяха проведени консултации с Европейския надзорен орган по защита на данните („ЕНОЗД“),
                  
               ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:
         
            Член 1
            Предмет и обхват
            С настоящото решение се определят правила относно условията, при които Службата на ОЕРЕС може да ограничи прилагането на членове 14 – 20, 35 и 36, както и член 4 от него, въз основа на член 25 от Регламента.
         
         
            Член 2
            Ограничения
            
               1.   В съответствие с член 25, параграф 1 от Регламента, Службата на ОЕРЕС може да ограничи прилагането на членове 14 – 20, 35 и 36, както и на член 4 от него, доколкото неговите разпоредби съответстват на правата и задълженията, предвидени в членове 14 – 20, при:
               
                           а)
                        
                        
                           провеждане на административни разследвания, предварителни дисциплинарни и дисциплинарни производства, въз основа на приложение IX към Правилника за длъжностните лица на Европейския съюз и Условията за работа на другите служители на Европейския съюз и в съответствие с Решение MC/2012/3 на Управителния комитет на Службата на Органа на европейските регулатори в областта на електронните съобщения (Службата на ОЕРЕС) за определяне на общи разпоредби за прилагане относно провеждането на административни разследвания и дисциплинарни процедури, което предполага обработване на информация, включително на лични данни. Съответните ограничения могат да се основават на член 25, параграф 1, буква в), ж) и з) от Регламента;
                        
                     
                           б)
                        
                        
                           гарантиране, че членовете на персонала на Службата на ОЕРЕС могат поверително да докладват факти, когато смятат, че са налице сериозни нередности в съответствие с Решение № MC/2018/11 на Управителния комитет на Службата на Органа на европейските регулатори в областта на електронните съобщения (Службата на ОЕРЕС) за определяне на насоки относно подаването на сигнали за нередности до Службата на ОЕРЕС. Съответните ограничения могат да се основават на член 25, параграф 1, буква з) от Регламента;
                        
                     
                           в)
                        
                        
                           гарантиране, че служителите на Службата на ОЕРЕС могат да докладват поверително на доверени съветници в контекста на процедура за установяване на тормоз в съответствие с Решение № MC/2016/15 на Управителния комитет на Службата на Органа на европейските регулатори в областта на електронните съобщения (Службата на ОЕРЕС) относно политиката за защита на личното достойнство и предотвратяване на психическия и сексуалния тормоз. Съответните ограничения могат да се основават на член 25, параграф 1, буква з) от Регламента;
                        
                     
            
               2.   Категориите данни включват данни за идентификация на физическо лице, данни за контакт, професионална длъжност и задачи, информация за личното и професионалното поведение и представяне, както и финансови данни.
            
            
               3.   Всяко ограничение трябва да зачита същността на основните права и свободи и да бъде необходимо и пропорционално в едно демократично общество.
            
            
               4.   Преди прилагането на ограниченията трябва да се извършва проверка на необходимостта и пропорционалността за всеки отделен случай. Ограниченията се ограничават до строго необходимото за постигане на поставените цели, като се вземат предвид рисковете за правата и свободите на субектите на данни.
            
            
               5.   За целите на отчетността Службата на ОЕРЕС трябва надлежно да документира причините за приложените ограничения, които са сред изброените в параграф 1, и резултатите от проверката за необходимост и пропорционалност. Тези записи са част от специален ad hoc регистър, който при поискване се предоставя на ЕНОЗД. Периодично трябва да се предоставя доклад за прилагането на член 25 от Регламента.
            
         
         
            Член 3
            Рискове за правата и свободите на субектите на данни
            Оценката на рисковете за правата и свободите на субектите на данни, чиито лични данни могат да бъдат обект на ограничения, както и техният срок на съхранение, са посочени в регистъра на съответните дейности по обработване в съответствие с член 31 от Регламента и ако е приложимо, в съответните оценки на въздействието върху защитата на данните въз основа на член 39 от Регламента.
         
         
            Член 4
            Срокове за съхранение и предпазни мерки
            Службата на ОЕРЕС прилага предпазни мерки за предотвратяване на злоупотреби или незаконен достъп или предаване на лични данни, които могат да бъдат обект на ограничения. Тези гаранции трябва да включват технически и организационни мерки и трябва да бъдат подробни, доколкото е необходимо, по отношение на вътрешните решения, процедури и правила за изпълнение на Службата на ОЕРЕС. Гаранциите включват:
            
                        а)
                     
                     
                        подходящо определение на длъжностите, отговорностите и процедурните стъпки;
                     
                  
                        б)
                     
                     
                        ако е приложимо, сигурна електронна среда, която предотвратява незаконен или случаен достъп или пренос на електронни данни до лица, които нямат разрешение за това;
                     
                  
                        в)
                     
                     
                        ако е приложимо, сигурно съхранение и обработка на документи на хартиен носител;
                     
                  
                        г)
                     
                     
                        надлежно наблюдение на ограниченията и периодично преразглеждане, което се извършва най-малко на всеки шест месеца. Преразглеждането трябва също така да се извърши, когато съществени елементи на случая се променят. Ограничението се отменя, когато обосноваващите го обстоятелства вече не са приложими.
                     
                  
         
            Член 5
            Информация и преглед от длъжностното лице по защита на данните
            
               1.   ДЛЗД на Службата на ОЕРЕС трябва да бъде своевременно информирано, когато правата на субекта на данните са ограничени в съответствие с настоящото решение, и да му бъде предоставен достъп до досието и всички документи, на които се основават фактическите и правните елементи.
            
            
               2.   ДЛЗД на Службата на ОЕРЕС може да поиска преразглеждане на прилагането на ограничението. Службата на ОЕРЕС трябва да уведоми ДЛЗД писмено относно резултата от искането за преразглеждане.
            
            
               3.   Участието на ДЛЗД на Службата на ОЕРЕС в процедурата по ограничаване, включително обмена на информация, се документира в подходяща форма.
            
         
         
            Член 6
            Информация, предоставяна на субектите на данни относно ограниченията на техните права
            
               1.   Службата на ОЕРЕС трябва да включи в уведомленията за защита на данните, публикувани на нейната интернет страница, обща информация за субектите на данни, свързана с потенциалните ограничения на правата на всички субекти на данни, описани в член 2, параграф 1 от настоящото решение. Информацията трябва да обхваща правата, които може да бъдат ограничени, причините и потенциалния срок на ограничението.
            
            
               2.   Освен това Службата на ОЕРЕС трябва да информира лично субектите на данни относно настоящи или бъдещи ограничения на техните права без необосновано забавяне и в писмена форма, както е уточнено допълнително в членове 7, 8 и 9 от настоящото решение.
            
         
         
            Член 7
            Право на информация, която се предоставя на субектите на данни и осведомяване за нарушения на сигурността на данните
            
               1.   Когато в контекста на дейностите, посочени в настоящото решение, Службата на ОЕРЕС ограничава изцяло или частично правата на субектите на данни, посочени в членове 14 – 16 и член 35 от Регламента, субектите на данните се уведомяват за основните причини, на които се основава прилагането на ограничението, и за правото им да подадат жалба до ЕНОЗД, както и за търсене на защита по съдебен ред пред Съда на Европейския съюз.
            
            
               2.   Службата на ОЕРЕС може да отложи, да пропусне или да откаже предоставянето на информация относно причините за ограничението, посочено в параграф 1, доколкото това би обезсилило ефекта от ограничението. Тази оценка се прави за всеки отделен случай.
            
         
         
            Член 8
            Право на коригиране, изтриване и ограничаване на обработването
            
               1.   Когато в контекста на дейностите, посочени в настоящото решение, Службата на ОЕРЕС ограничава изцяло или частично правото на достъп до лични данни, правото на коригиране, заличаване и ограничаване на обработването, както е посочено съответно в членове 17 – 20 от Регламента, в своя отговор на искането си тя информира субекта на данните за основните причини, на които се основава прилагането на ограничението, както и за възможността за подаване на жалба до ЕНОЗД или за търсене на защита по съдебен ред пред Съда на Европейския съюз.
            
            
               2.   Службата на ОЕРЕС може да отложи, да пропусне или да откаже предоставянето на информация относно причините за ограничението, посочено в параграф 1, ако това би обезсилило ефекта от ограничението. Тази оценка се извършва за всеки отделен случай.
            
         
         
            Член 9
            Поверителност на електронната комуникация
            
               1.   При извънредни обстоятелства и в съответствие с разпоредбите и обосновката на Директива № 2002/58/ЕО на Европейския парламент и на Съвета (4), Службата на ОЕРЕС може да ограничи правото на поверителност на електронните съобщения, посочено в член 36 от Регламента. В този случай Службата на ОЕРЕС посочва подробно обстоятелствата, основанията, съответните рискове и свързаните с тях гаранции в конкретни вътрешни правила.
            
            
               2.   Когато Службата на ОЕРЕС ограничава правото на поверителност на електронните съобщения, тя трябва да информира съответния субект на данните в отговор на негово искане, за основните причини, на които се основава прилагането на ограничението, както и за възможността за подаване на жалба до ЕНОЗД или за търсене на защита по съдебен ред пред Съда на Европейския съюз.
            
            
               3.   Службата на ОЕРЕС може да отложи, да пропусне или да откаже предоставянето на информация относно причините за ограничението, посочено в параграф 1 и 2, доколкото това би обезсилило ефекта от ограничението. Тази оценка се извършва за всеки отделен случай.
            
         
         
            Член 10
            Влизане в сила
            Настоящото решение влиза в сила в деня след публикуването му в Официален вестник на Европейския съюз.
            
         
         
            Съставено в Рига на 10 септември 2019 година.
            
               
                  За Агенцията за подкрепа на ОЕРЕС
               
               Jeremy GODFREY
               
                  Председател на управителния съвет
               
            
         
         
            (1)  ОВ L 321, 17.12.2018 г., стр. 1.
         
            (2)  ОВ L 295, 21.11.2018 г., стр. 39.
         
            (3)  Регламент (ЕИО, Евратом, ЕОВС) № 259/68 на Съвета от 29 февруари 1968 г. относно създаване на Правилник за длъжностните лица и условията за работа на другите служители на Европейските общности, и относно постановяване на специални мерки, временно приложими за длъжностни лица на Комисията (ОВ L 56, 4.3.1968 г., стр. 1).
         
            (4)  Директива 2002/58/ЕО на Европейския парламент и на Съвета от 12 юли 2002 г. относно обработката на лични данни и защита на правото на неприкосновеност на личния живот в сектора на електронните комуникации (Директива за правото на неприкосновеност на личния живот и електронни комуникации) (ОВ L 201, 31.7.2002 г., стр. 37).