CELEX: 32020Q1204(01)
Language: et
Date: 2020-05-06 00:00:00
Title: Euroopa Kutseõppe Arenduskeskuse (Cedefop) haldusnõukogu otsus, 6. mai 2020, millega võetakse vastu andmesubjektide teatavate õiguste piiramist käsitlevad sise-eeskirjad seoses isikuandmete töötlemisega Cedefopi tegevuse raames

4.12.2020   
               
               
                  ET
               
               
                  Euroopa Liidu Teataja
               
               
                  L 408/12
               
            
         EUROOPA KUTSEÕPPE ARENDUSKESKUSE (CEDEFOP) HALDUSNÕUKOGU OTSUS,
         6. mai 2020,
         millega võetakse vastu andmesubjektide teatavate õiguste piiramist käsitlevad sise-eeskirjad seoses isikuandmete töötlemisega Cedefopi tegevuse raames
         HALDUSNÕUKOGU,
         võttes arvesse Euroopa Liidu toimimise lepingut,
         võttes arvesse Euroopa Parlamendi ja nõukogu 23. oktoobri 2018. aasta määrust (EL) 2018/1725, mis käsitleb füüsiliste isikute kaitset isikuandmete töötlemisel liidu institutsioonides, organites ja asutustes ning isikuandmete vaba liikumist, ning millega tunnistatakse kehtetuks määrus (EÜ) nr 45/2001 ja otsus nr 1247/2002/EÜ, (1) eriti selle artiklit 25,
         võttes arvesse Euroopa Parlamendi ja nõukogu 16. jaanuari 2019. aasta määrust (EL) 2019/128, millega asutatakse Euroopa Kutseõppe Arenduskeskus (edaspidi „Cedefop“) ning tunnistatakse kehtetuks nõukogu määrus (EMÜ) nr 337/75, (2) eriti selle artikli 23 lõiget 4,
         võttes arvesse Euroopa Andmekaitseinspektori 12. detsembri 2019. aasta arvamust ja Euroopa Andmekaitseinspektori suuniseid uue määruse artikli 25 ja sise-eeskirjade kohta (3)
         
         ning arvestades järgmist:
         
                     (1)
                  
                  
                     Cedefop tegutseb kooskõlas määrusega (EL) 2019/128.
                  
               
                     (2)
                  
                  
                     Kooskõlas määruse (EL) 2018/1725 artikli 25 lõikega 1 peavad määruse artiklite 14–22, 35 ja 36 ning artikli 4 kohaldamise piirangud, kui selle sätted vastavad artiklites 14–22 sätestatud õigustele ja kohustustele, põhinema Cedefopi vastuvõetud sise-eeskirjadel, kui sellised piirangud ei põhine aluslepingute alusel vastu võetud õigusaktidel.
                  
               
                     (3)
                  
                  
                     Neid sise-eeskirju, sealhulgas piirangu vajalikkuse ja proportsionaalsuse hindamise sätteid, ei tohiks kohaldada, kui andmesubjekti õiguste piiramine põhineb aluslepingute alusel vastu võetud õigusaktil.
                  
               
                     (4)
                  
                  
                     Täites oma kohustusi seoses andmesubjekti õigustega vastavalt määrusele (EL) 2018/1725, kaalub Cedefop, kas mõni määruses sätestatud eranditest on kohaldatav.
                  
               
                     (5)
                  
                  
                     Cedefop võib oma haldustegevuse raames läbi viia haldusjuurdlusi, distsiplinaarmenetlusi, OLAFile teatatavate võimalike rikkumisjuhtumitega seotud eeltoiminguid, menetleda rikkumisest teatamise juhtumeid, rakendada ahistamisjuhtumite menetlusi (ametlikke ja mitteametlikke), menetleda asutusesiseseid ja -väliseid kaebusi, teha siseauditeid, viia läbi andmekaitseametniku uurimisi kooskõlas määruse (EL) 2018/1725 artikli 45 lõikega 2 ning teha ametisiseseid (IT-)turbekontrolle ja menetleda töötajate taotlusi oma terviseandmetega tutvumiseks.
                     Cedefop töötleb isikuandmete eri kategooriaid, sealhulgas nn kindlaid andmeid (objektiivsed andmed, näiteks identifitseerimisandmed, kontaktandmed, kutsetegevuse andmed, haldusandmed, konkreetsetest allikatest saadud andmed, elektroonilise side andmed ja liiklusandmed) ja/või nn pehmeid andmeid (juhtumiga seotud subjektiivsed andmed, näiteks õiguslikud põhjendused, käitumisteave, hindamised, andmed tegevuse ja käitumise kohta ning andmed, mis on seotud või ilmnenud seoses menetluse või toimingu reguleerimisesemega).
                  
               
                     (6)
                  
                  
                     Cedefop, keda esindab tegevdirektor, täidab vastutava töötleja kohuseid olenemata vastutava töötleja rolli delegeerimisest Cedefopis, et kajastada konkreetsete isikuandmete töötlustoimingutega seotud tegevuskohustusi.
                  
               
                     (7)
                  
                  
                     Isikuandmeid säilitatakse turvaliselt elektroonilises keskkonnas või paberil, mis takistab andmete kuritarvitamist või ebaseaduslikku juurdepääsu neile või andmete edastamise isikutele, kellel puudub teadmisvajadus. Terviseandmeid säilitab Cedefopi kasutatav väline teenuseosutaja. Töödeldud isikuandmeid ei säilitata kauem, kui on vaja ja asjakohane eesmärgil, milleks andmeid töödeldakse, ning isikuandmete kaitse teadetes või Cedefopi dokumentides määratud ajavahemiku jooksul.
                  
               
                     (8)
                  
                  
                     Sise-eeskirju peaks kohaldama kõigile andmetöötlustoimingutele, mida Cedefop teeb haldusjuurdlustes, distsiplinaarmenetlustes, OLAFile teatatavate võimalike rikkumisjuhtumitega seotud eeltoimingutes, rikkumisest teatamise menetlustes, ahistamisjuhtumite (ametlikes ja mitteametlikes) menetlustes, asutusesiseste ja -väliste kaebuste menetlustes, siseauditites, andmekaitseametniku uurimistes kooskõlas määruse (EL) 2018/1725 artikli 45 lõikega 2, (IT-)turbekontrollides, millega tegeldakse asutusesiseselt või -väliselt (nt CERT-EU), ning töötajate terviseandmetega tutvumise taotluste menetlemisel.
                  
               
                     (9)
                  
                  
                     Neid sise-eeskirjupeaks kohaldama andmetöötlustoimingute suhtes, mida tehakse enne eespool nimetatud menetluste algust, nende ajal ning menetlustulemuste järelmeetmete kontrollimisel. Samuti peaksid need hõlmama abi ja koostööd, mida Cedefop pakub liikmesriikide ametiasutustele ja rahvusvahelistele organisatsioonidele väljaspool oma haldusjuurdlusi.
                  
               
                     (10)
                  
                  
                     Sise-eeskirjade kohaldamise juhtudel peab Cedefop põhjendama, miks on piirangud demokraatlikus ühiskonnas proportsionaalsed ja rangelt vajalikud, ning järgima põhiõiguste ja -vabaduste põhiolemust.
                  
               
                     (11)
                  
                  
                     Selle raames on Cedefop kohustatud järgima nimetatud menetlustes nii palju kui võimalik andmesubjektide põhiõigusi, eelkõige õigust saada teavet, õigust tutvuda andmetega, õigust andmete parandamisele, kustutamisele, töötlemise piiramisele, andmesubjekti õigust isikuandmetega seotud rikkumisest teavitamisele ning elektroonilise side konfidentsiaalsusele, nagu on sätestatud määruses (EL) 2018/1725.
                  
               
                     (12)
                  
                  
                     Cedefop võib siiski olla kohustatud piirama andmesubjektile antavat teavet ja muid andmesubjekti õigusi, et kaitsta eelkõige oma uurimisi, muude ametiasutuste uurimisi ja menetlusi ning oma uurimiste või muude menetlustega seotud teiste isikute õigusi.
                  
               
                     (13)
                  
                  
                     Cedefop peaks regulaarselt kontrollima, et piirangu aluseks olevad tingimused kehtivad, ning piirangu tühistama, kui need enam ei kehti.
                  
               
                     (14)
                  
                  
                     Vastutav töötleja peaks teavitama andmekaitseametnikku kavatsusest kohaldada piirangut ja järgnevate läbivaatamiste ajal ning kaasama ta kogu menetlusse kuni piirangu tühistamiseni,
                  
               ON VASTU VÕTNUD JÄRGMISE OTSUSE:
         
            Artikkel 1
            Reguleerimisese ja kohaldamisala
            
               1.   Käesolevas otsuses sätestatakse eeskirjad tingimuste kohta, mille alusel Cedefop võib lõikes 2 nimetatud menetluste raames piirata määruse (EL) 2018/1725 artiklites 14–21, 35 ja 36 ning artiklis 4 sätestatud õiguste kohaldamist kooskõlas selle määruse artikliga 25.
            
            
               2.   Cedefopi haldustegevuse raames kohaldatakse käesolevat otsust isikuandmete töötlustoimingutele, mida Cedefop teeb järgmisel eesmärgil: haldusjuurdlused, distsiplinaarmenetlused, OLAFile teatatavate võimalike rikkumisjuhtumitega seotud eeltoimingud, rikkumisest teatamise juhtumid, ahistamisjuhtumite menetlused (ametlikud ja mitteametlikud), asutusesiseste ja -väliste kaebuste menetlemine, siseauditite tegemine, määruse (EL) 2018/1725 artikli 45 lõike 2 kohased andmekaitseametniku uurimised ning (IT-)turbekontrollid, millega tegeldakse asutusesiseselt või -väliselt (nt CERT-EU), ning töötajate terviseandmetega tutvumise taotluste menetlemine.
            
            
               3.   Asjaomaste andmete kategooriad on nn kindlad andmed (objektiivsed andmed, näiteks identifitseerimisandmed, kontaktandmed, kutsetegevuse andmed, haldusandmed, konkreetsetest allikatest saadud andmed, elektroonilise side ja andmeliikluse andmed) ja/või nn pehmed andmed (juhtumiga seotud subjektiivsed andmed, näiteks õiguslikud põhjendused, käitumisteave, hinnangud, ametialase tulemuslikkuse ja käitumise andmed ning andmed, mis on seotud või esitatud seoses menetluse või toimingu esemega).
            
            
               4.   Täites oma kohustusi seoses andmesubjekti õigustega vastavalt määrusele (EL) 2018/1725, kaalub Cedefop, kas mõni määruses sätestatud eranditest on kohaldatav.
            
            
               5.   Käesolevas otsuses sätestatud tingimuste alusel võidakse kohaldada piiranguid järgmiste õiguste suhtes: andmesubjekti õigus saada teavet, õigus tutvuda andmetega, õigus andmete parandamisele, kustutamisele, töötlemise piiramisele, andmesubjekti õigus isikuandmetega seotud rikkumisest teavitamisele ning elektroonilise side konfidentsiaalsusele.
            
         
         
            Artikkel 2
            Vastutava töötleja määratlus ja kaitsemeetmed
            
               1.   Cedefop kehtestab andmete kuritarvituste või ebaseadusliku juurdepääsu või edastamise vältimiseks järgmised kaitsemeetmed:
               
                           a)
                        
                        
                           paberdokumente säilitatakse turvakappides ning neile on juurdepääs ainult volitatud töötajatel;
                        
                     
                           b)
                        
                        
                           kõiki elektroonilisi andmeid säilitatakse turvalises IT-rakenduses kooskõlas Cedefopi turbestandarditega ning elektroonilistes erikaustades, millele on juurdepääs ainult volitatud töötajatel. Asjakohased juurdepääsutasemed määratakse individuaalselt;
                        
                     
                           c)
                        
                        
                           juurdepääs Cedefopi IT-keskkonnale toimub ühekordse sisselogimissüsteemi kaudu ning on automaatselt ühendatud kasutajatunnuse ja salasõnaga. E-dokumente hoitakse turvaliselt, et kaitsta neis sisalduvate andmete konfidentsiaalsust ja privaatsust;
                        
                     
                           d)
                        
                        
                           kõigil isikutel, kellel on juurdepääs andmetele, on konfidentsiaalsuskohustus;
                        
                     
                           e)
                        
                        
                           konfidentsiaalsust ja isikuandmete töötlemist käsitlevad lepingutingimused on siduvad terviseandmeid säilitavale välisele teenuseosutajale.
                        
                     
            
               2.   Andmetöötlustoimingute vastutav töötleja on Cedefop, keda esindab tegevdirektor, kes võib vastutava töötleja ülesande delegeerida. Andmesubjekte teavitatakse delegeeritud vastutavast töötlejast Cedefopi veebilehel ja sisevõrgus avaldatud isikuandmete kaitse teadete või dokumentide kaudu.
            
            
               3.   Käesoleva otsuse artikli 1 lõikes 3 nimetatud isikuandmete säilitamisperiood ei tohi olla pikem, kui on vaja ja asjakohane eesmärgil, milleks andmeid töödeldakse. Ühelgi juhul ei ületa säilitamisperiood käesoleva otsuse artikli 3 lõikes 3 nimetatud isikuandmete kaitse teadetes või dokumentides määratud perioodi.
            
            
               4.   Kui Cedefop kaalub piirangu kohaldamist, arvestatakse riski andmesubjekti õigustele ja vabadustele, eriti riski muude andmesubjektide õigustele ja vabadustele, ning Cedefopi juurdluste või menetluste tõhususe kahjustamise riski, eriti seoses asitõendite hävitamisega. Riskid andmesubjektide õigustele ja vabadustele on seotud peamiselt, ent mitte ainult, maine kahjustamise riskidega ning kaitse ja ärakuulamise õiguse kahjustamise riskidega.
            
         
         
            Artikkel 3
            Piirangud
            
               1.   Cedefop võib mis tahes piirangut kohaldada üksnes ühel või mitmel määruse (EL) 2018/1725 artikli 25 lõike 1 punktides a–i loetletud põhjusel. Käesoleva otsuse artikli 1 lõikes 2 osutatud isikuandmete töötlemise eesmärkide raames võivad piirangud eelkõige põhineda järgmistel alustel:
               
                           a)
                        
                        
                           haldusjuurdluste ja distsiplinaarmenetluste läbiviimisel võivad piirangud põhineda määruse (EL) 2018/1725 artikli 25 lõike 1 punktidel b, c, g ja h;
                        
                     
                           b)
                        
                        
                           OLAFile teatatavate võimalike rikkumisjuhtumitega seotud eeltoimingute korral võivad piirangud põhineda määruse (EL) 2018/1725 artikli 25 lõike 1 punktidel b, c, f, g ja h;
                        
                     
                           c)
                        
                        
                           rikkumisest teatamise menetlustes võivad piirangud põhineda määruse (EL) 2018/1725 artikli 25 lõike 1 punktidel b, c, f, g ja h;
                        
                     
                           d)
                        
                        
                           ahistamisjuhtumite (ametlikes ja mitteametlikes) menetlustes võivad piirangud põhineda määruse (EL) 2018/1725 artikli 25 lõike 1 punktidel b, f, h ja i;
                        
                     
                           e)
                        
                        
                           asutusesiseste ja -väliste kaebuste menetlemisel võivad piirangud põhineda määruse (EL) 2018/1725 artikli 25 lõike 1 punktidel c, g ja h;
                        
                     
                           f)
                        
                        
                           siseauditite korral võivad piirangud põhineda määruse (EL) 2018/1725 artikli 25 lõike 1 punktidel c, g ja h;
                        
                     
                           g)
                        
                        
                           andmekaitseametniku uurimistes, mis on kooskõlas määruse (EL) 2018/1725 artikli 45 lõikega 2, võivad piirangud põhineda selle määruse artikli 25 lõike 1 punktidel c, g ja h;
                        
                     
                           h)
                        
                        
                           (IT-)turbekontrollide korral, millega tegeldakse asutusesiseselt või -väliselt (nt CERT-EU), võivad piirangud põhineda määruse (EL) 2018/1725 artikli 25 lõike 1 punktidel c, d, g ja h;
                        
                     
                           i)
                        
                        
                           töötajate terviseandmetega tutvumise taotluste menetlemisel võivad piirangud põhineda määruse (EL) 2018/1725 artikli 25 lõike 1 punktil h.
                        
                     
            
               2.   Eespool lõikes 1 kirjeldatud eesmärkide erirakendusena võib Cedefop piirata käesoleva otsuse artikli 1 lõikes 5 osutatud õigusi järgmistel asjaoludel:
               
                           a)
                        
                        
                           kui mõnel muul liidu institutsioonil, organil või asutusel on õigus piirata nende õiguste järgimist määruse (EL) 2018/1725 artiklis 25 osutatud muude õigusaktide alusel või kooskõlas selle määruse IX peatükiga või nende asutamisaktidega ning kui liidu asjaomase institutsiooni, organi või asutuse seatud piirangu eesmärk satuks ohtu, kui Cedefop ei kohaldaks samade isikuandmete suhtes samaväärset piirangut;
                        
                     
                           b)
                        
                        
                           kui liikmesriigi pädeval asutusel on õigus piirata nende õiguste järgimist Euroopa Parlamendi ja nõukogu määruse (EL) 2016/679 (4) artiklis 23 osutatud õigusaktide alusel või selliste meetmete alusel, millega võetakse liikmesriigi õigusesse üle Euroopa Parlamendi ja nõukogu direktiivi (EL) 2016/680 (5) artikli 13 lõige 3, artikli 15 lõige 3 või artikli 16 lõige 3, ning kui asjaomase liikmesriigi pädeva asutuse seatud piirangu eesmärk satuks ohtu, kui Cedefop ei kohaldaks samade isikuandmete suhtes samaväärset piirangut;
                        
                     
                           c)
                        
                        
                           kui nende õiguste järgimine võiks kahjustada Cedefopi koostööd kolmandate riikide või rahvusvaheliste organisatsioonidega tema ülesannete täitmisel.
                        
                     Enne esimese lõigu punktides a ja b viidatud asjaoludel piirangute kohaldamist konsulteerib Cedefop liidu asjaomase institutsiooni, organi või asutusega või liikmesriigi pädeva asutusega, v.a juhul, kui Cedefopile on selge, et piirangu kohaldamine on ette nähtud mõne neis punktides nimetatud õigusaktiga.
            
            
               3.   Cedefop lisab määruse isikuandmete kaitse teadetesse või määruse (EL) 2018/1725 artikli 31 kohastesse registreerimiskannetesse, mis avaldatakse Cedefopi veebilehel ja sisevõrgus ning millega teavitatakse andmesubjekte nende õigustest asjaomase menetluse raames, nende õiguste võimaliku piiramise teabe. Teabes selgitatakse, mis õigusi võidakse piirata, piirangu põhjusi ja võimalikku kestust.
               Ilma et see piiraks artikli 5 lõike 2 sätete kohaldamist, teavitab Cedefop, kui see on proportsionaalne, põhjendamatu viivituseta ja kirjalikult individuaalselt kõiki andmesubjekte, keda peetakse konkreetse andmetöötlustoiminguga seotud asjaomasteks isikuteks, nende õigustest seoses praeguste või tulevaste piirangutega.
            
            
               4.   Kõik piirangud peavad olema vajalikud ja proportsionaalsed, võttes arvesse riski andmesubjektide õigustele ja vabadustele, ning järgima põhiõiguste ja -vabaduste põhiolemust demokraatlikus ühiskonnas.
            
            
               5.   Kui piirangu kohaldamist kaalutakse, tehakse käesolevate eeskirjade alusel vajalikkuse ja proportsionaalsuse kontroll. See dokumenteeritakse sisehindamisteate abil aruandluskohustuse eesmärkidel igal üksikjuhul eraldi.
            
            
               6.   Piirangud tühistatakse kohe, kui nende aluseks olnud tingimused enam ei kehti.
            
         
         
            Artikkel 4
            Läbivaatamine andmekaitseametniku poolt
            
               1.   Cedefopi andmekaitseametnikku teavitatakse põhjendamatu viivituseta, kui vastutav töötleja kavatseb piirata kooskõlas käesoleva otsusega andmesubjektide õiguste kohaldamist või pikendab piirangut. Vastutav töötleja annab andmekaitseametnikule juurdepääsu piirangu vajalikkuse ja proportsionaalsuse hinnangut sisaldavale registreerimiskandele ning märgib dokumendis andmekaitseametniku teavitamise kuupäeva. Andmekaitseametnik osaleb menetluses kogu selle kestuse vältel, kuni piirang on tühistatud.
            
            
               2.   Andmekaitseametnik võib esitada vastutavale töötlejale kirjaliku taotluse piirangute kohaldamise läbivaatamiseks. Vastutav töötleja teavitab andmekaitseametnikku kirjalikult taotletud läbivaatamise tulemustest.
            
            
               3.   Vastutav töötleja teavitab andmekaitseametnikku, kui piirang tühistatakse.
            
         
         
            Artikkel 5
            Andmesubjekti teabe saamise õiguse piiramine
            
               1.   Nõuetekohaselt põhjendatud juhtudel ja käesolevas otsuses ettenähtud tingimustel võib vastutav töötleja piirata andmesubjekti õigust saada teavet järgmiste andmetöötlustoimingute kontekstis:
               
                           a)
                        
                        
                           haldusjuurdluste ja distsiplinaarmenetluste läbiviimine;
                        
                     
                           b)
                        
                        
                           OLAFile teatatavate võimalike rikkumisjuhtumitega seotud eeltoimingud;
                        
                     
                           c)
                        
                        
                           rikkumisest teatamise menetlused;
                        
                     
                           d)
                        
                        
                           ahistamisjuhtumite menetlused (ametlikud ja mitteametlikud);
                        
                     
                           e)
                        
                        
                           asutusesiseste ja -väliste kaebuste menetlemine;
                        
                     
                           f)
                        
                        
                           siseauditid;
                        
                     
                           g)
                        
                        
                           andmekaitseametniku tehtavad uurimised kooskõlas määruse (EL) 2018/1725 artikli 45 lõikega 2;
                        
                     
                           h)
                        
                        
                           (IT-)turbekontrollid, millega tegeldakse asutusesiseselt või -väliselt (nt CERT-EU).
                        
                     
            
               2.   Kui Cedefop piirab täielikult või osaliselt määruse (EL) 2018/1725 artiklite 14–16 kohast andmesubjektide õigust saada teavet, dokumenteerib ta piirangu kehtestamise põhjused ja õigusliku(d) aluse(d) kooskõlas käesoleva otsuse artikliga 3, sh piirangu vajalikkuse ja proportsionaalsuse hinnangu.
               Registrikanne ja, kui asjakohane, dokumendid, mis sisaldavad asjakohaseid faktilisi ja õiguslikke
               elemente, registreeritakse. Nõudmisel tehakse need kättesaadavaks Euroopa Andmekaitseinspektorile.
            
            
               3.   Lõikes 2 nimetatud piirangut kohaldatakse seni, kuni kehtivad selle kohaldamise põhjused.
               Kui piirangu põhjused enam ei kehti, teatab Cedefop andmesubjektidele piirangu kohaldamise peamised põhjused. Samal ajal teavitab Cedefop andmesubjekti õigusest esitada millal tahes kaebus Euroopa Andmekaitseinspektorile või pöörduda õiguskaitse saamiseks Euroopa Liidu Kohtusse.
               Cedefop vaatab piirangu kohaldamise läbi iga kuue kuu tagant alates selle vastuvõtmisest ning asjaomase päringu, menetluse või juurdluse lõpetamisel. Pärast seda hindab vastutav töötleja iga kuue kuu tagant piirangu kohaldamise vajalikkust. Artikli 3 lõikes 5 osutatud vajalikkuse ja proportsionaalsuse kontroll viiakse läbi ka iga korrapärase läbivaatamise käigus pärast seda, kui on hinnatud, kas piirangu faktilised ja õiguslikud põhjused endiselt kehtivad.
            
         
         
            Artikkel 6
            Andmesubjekti juurdepääsuõiguse piiramine
            
               1.   Nõuetekohaselt põhjendatud juhtudel ja käesolevas otsuses ettenähtud tingimustel võib vastutav töötleja piirata andmesubjekti õigust tutvuda andmetega järgmiste andmetöötlustoimingute kontekstis, kui see on vajalik ja proportsionaalne:
               
                           a)
                        
                        
                           haldusjuurdluste ja distsiplinaarmenetluste läbiviimine;
                        
                     
                           b)
                        
                        
                           OLAFile teatatavate võimalike rikkumisjuhtumitega seotud eeltoimingud;
                        
                     
                           c)
                        
                        
                           rikkumisest teatamise menetlused;
                        
                     
                           d)
                        
                        
                           ahistamisjuhtumite menetlused (ametlikud ja mitteametlikud);
                        
                     
                           e)
                        
                        
                           asutusesiseste ja -väliste kaebuste menetlemine;
                        
                     
                           f)
                        
                        
                           siseauditid;
                        
                     
                           g)
                        
                        
                           andmekaitseametniku tehtavad uurimised kooskõlas määruse (EL) 2018/1725 artikli 45 lõikega 2;
                        
                     
                           h)
                        
                        
                           (IT-)turbekontrollid, millega tegeldakse asutusesiseselt või -väliselt (nt CERT-EU).
                        
                     
                           i)
                        
                        
                           töötajate terviseandmetega tutvumise taotluste menetlemine.
                        
                     Kui andmesubjektid taotlevad juurdepääsu oma isikuandmetele, mida töödeldakse seoses ühe või mitme konkreetse juhtumiga, või konkreetsele isikuandmete töötlemise toimingule kooskõlas määruse (EL) 2018/1725 artikliga 17, piirdub Cedefop taotluse hindamisel üksnes nende isikuandmetega.
            
            
               2.   Kui Cedefop piirab täielikult või osaliselt määruse (EL) 2018/1725 artiklis 17 sätestatud andmetega tutvumise õigust, teeb ta järgmist:
               
                           a)
                        
                        
                           teatab oma vastuses andmesubjekti taotlusele piirangu kehtestamisest, selle peamistest põhjustest ning võimalusest esitada kaebus Euroopa Andmekaitseinspektorile või pöörduda õiguskaitse saamiseks Euroopa Liidu Kohtusse;
                        
                     
                           b)
                        
                        
                           dokumenteerib sisehindamisteates piirangu põhjused, sealhulgas piirangu vajalikkuse ja proportsionaalsuse hinnangu ning piirangu kestuse.
                        
                     Töötajate terviseandmetega tutvumise õiguse piirangud puudutavad üksnes töötajate taotlusi vahetult tutvuda psühholoogiliste või psühhiaatriliste terviseandmetega, kui juhtumipõhisel hindamisel ilmneb, et kaudne juurdepääs on vajalik andmesubjekti kaitseks. Selliste andmetega on võimalik tutvuda asjaomase andmesubjekti määratud arsti vahendusel. Andmesubjekti valitud arstile antakse juurdepääs kogu teabele ja kaalutlusõigus otsustada, kuidas ja mis juurdepääsu andmesubjektile pakkuda.
               Kooskõlas määruse (EL) 2018/1725 artikli 25 lõikega 8 võib punktis a nimetatud teabe esitamist edasi lükata, selle esitamata jätta või selle esitamisest keelduda, kui see tühistaks piirangu mõju.
               Cedefop vaatab piirangu kohaldamise läbi iga kuue kuu tagant alates selle vastuvõtmisest ning asjaomase päringu, menetluse või juurdluse lõpetamisel. Pärast seda hindab vastutav töötleja iga kuue kuu tagant piirangu kohaldamise vajalikkust. Artikli 3 lõikes 5 osutatud vajalikkuse ja proportsionaalsuse kontroll viiakse läbi ka iga korrapärase läbivaatamise käigus pärast seda, kui on hinnatud, kas piirangu faktilised ja õiguslikud põhjused endiselt kehtivad.
            
            
               3.   Registrikanne ja, kui asjakohane, dokumendid, mis sisaldavad asjakohaseid faktilisi ja õiguslikke elemente, registreeritakse. Nõudmisel tehakse need kättesaadavaks Euroopa Andmekaitseinspektorile.
            
         
         
            Artikkel 7
            Andmesubjekti õiguste piiramine seoses õigusega andmete parandamisele, kustutamisele ja töötlemise piiramisele
            
               1.   Nõuetekohaselt põhjendatud juhtudel ja käesolevas otsuses ettenähtud tingimustel võib vastutav töötleja piirata andmesubjekti õigusi andmete parandamisele ja kustutamisele ning nende töötlemise piiramisele järgmiste andmetöötlustoimingute kontekstis, kui see on vajalik ja asjakohane:
               
                           a)
                        
                        
                           haldusjuurdluste ja distsiplinaarmenetluste läbiviimine;
                        
                     
                           b)
                        
                        
                           OLAFile teatatavate võimalike rikkumisjuhtumitega seotud eeltoimingud;
                        
                     
                           c)
                        
                        
                           rikkumisest teatamise menetlused;
                        
                     
                           d)
                        
                        
                           ahistamisjuhtumite menetlused (ametlikud ja mitteametlikud);
                        
                     
                           e)
                        
                        
                           asutusesiseste ja -väliste kaebuste menetlemine;
                        
                     
                           f)
                        
                        
                           siseauditid;
                        
                     
                           g)
                        
                        
                           andmekaitseametniku tehtavad uurimised kooskõlas määruse (EL) 2018/1725 artikli 45 lõikega 2;
                        
                     
                           h)
                        
                        
                           (IT-)turbekontrollid, millega tegeldakse asutusesiseselt või -väliselt (nt CERT-EU).
                        
                     
            
               2.   Kui Cedefop piirab osaliselt või täielikult andmesubjekti õigusi andmete parandamisele ja kustutamisele ning nende töötlemise piiramisele, millele on viidatud vastavalt määruse (EL) 2018/1725 artiklis 18, artikli 19 lõikes 1 ja artikli 20 lõikes 1, võtab ta käesoleva otsuse artikli 6 lõikes 2 sätestatud meetmed ja registreerib asjaomase registrikande kooskõlas artikli 6 lõikega 3.
            
         
         
            Artikkel 8
            Andmesubjekti õiguste piiramine seoses õigusega isikuandmetega seotud rikkumisest teavitamisele ning elektroonilise side konfidentsiaalsusele
            
               1.   Nõuetekohaselt põhjendatud juhtudel ja käesolevas otsuses ettenähtud tingimustel võib vastutav töötleja piirata andmesubjekti õigust saada teavitatud isikuandmetega seotud rikkumistest järgmiste andmetöötlustoimingute kontekstis, kui see on vajalik ja asjakohane:
               
                           a)
                        
                        
                           haldusjuurdluste ja distsiplinaarmenetluste läbiviimine;
                        
                     
                           b)
                        
                        
                           OLAFile teatatavate võimalike rikkumisjuhtumitega seotud eeltoimingud;
                        
                     
                           c)
                        
                        
                           rikkumisest teatamise menetlused;
                        
                     
                           d)
                        
                        
                           siseauditid;
                        
                     
                           e)
                        
                        
                           andmekaitseametniku tehtavad uurimised kooskõlas määruse (EL) 2018/1725 artikli 45 lõikega 2;
                        
                     
                           f)
                        
                        
                           (IT-)turbekontrollid, millega tegeldakse asutusesiseselt või -väliselt (nt CERT-EU).
                        
                     
            
               2.   Nõuetekohaselt põhjendatud juhtudel ja käesolevas otsuses ettenähtud tingimustel võib vastutav töötleja piirata elektroonilise side konfidentsiaalsuse õigust järgmiste andmetöötlustoimingute kontekstis, kui see on vajalik ja asjakohane:
               
                           a)
                        
                        
                           haldusjuurdluste ja distsiplinaarmenetluste läbiviimine;
                        
                     
                           b)
                        
                        
                           OLAFile teatatavate võimalike rikkumisjuhtumitega seotud eeltoimingud;
                        
                     
                           c)
                        
                        
                           rikkumisest teatamise menetlused;
                        
                     
                           d)
                        
                        
                           ahistamisjuhtumite menetlused (ametlikud ja mitteametlikud);
                        
                     
                           e)
                        
                        
                           e) asutusesiseste ja -väliste kaebuste menetlemine;
                        
                     
                           f)
                        
                        
                           (IT-)turbekontrollid, millega tegeldakse asutusesiseselt või -väliselt (nt CERT-EU).
                        
                     
            
               3.   Kui Cedefop piirab andmesubjekti õigust saada teavitatud isikuandmetega seotud rikkumistest või elektroonilise side konfidentsiaalsuse õigust, millele on viidatud vastavalt määruse (EL) 2018/1725 artiklites 35 ja 36, dokumenteerib ja registreerib ta piirangu põhjused kooskõlas käesoleva otsuse artikli 5 lõikega 2. Samuti kohaldatakse käesoleva otsuse artikli 5 lõiget 3.
            
         
         
            Artikkel 9
            Jõustumine
            Käesolev otsus jõustub kahekümnendal päeval pärast selle avaldamist Euroopa Liidu Teatajas.
         
         
            6. mai 2020
            
               
                  Haldusnõukogu nimel
               
               Barbara DORN
               
                  haldusnõukogu esimees
               
            
         
         
            (1)  ELT L 295, 21.11.2018, lk 39.
         
            (2)  ELT L 30, 31.1.2019, lk 90.
         
            (3)  https://edps.europa.eu/sites/edp/files/publication/18-12-20_guidance_on_article_25_en.pdf.
         
            (4)  Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määrus (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) (ELT L 119, 4.5.2016, lk 1).
         
            (5)  Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta direktiiv (EL) 2016/680, mis käsitleb füüsiliste isikute kaitset seoses pädevates asutustes isikuandmete töötlemisega süütegude tõkestamise, uurimise, avastamise ja nende eest vastutusele võtmise või kriminaalkaristuste täitmisele pööramise eesmärgil ning selliste andmete vaba liikumist ning millega tunnistatakse kehtetuks nõukogu raamotsus 2008/977/JSK (ELT L 119, 4.5.2016, lk 89).