CELEX: 32020Q0722(02)
Language: bg
Date: 2020-03-26 00:00:00
Title: Решение № 1/2020 на Управителния съвет на съвместното предприятие Shift2Rail от 27 март 2020 година за определяне на вътрешни правила относно ограниченията на определени права на субекти на данни във връзка с обработването на лични данни в рамките на функционирането на СП S2R

22.7.2020   
               
               
                  BG
               
               
                  Официален вестник на Европейския съюз
               
               
                  L 236/7
               
            
         РЕШЕНИЕ № 1/2020 НА УПРАВИТЕЛНИЯ СЪВЕТ НА СЪВМЕСТНОТО ПРЕДПРИЯТИЕ SHIFT2RAIL
         от 27 март 2020 година
         за определяне на вътрешни правила относно ограниченията на определени права на субекти на данни във връзка с обработването на лични данни в рамките на функционирането на СП S2R
         УПРАВИТЕЛНИЯТ СЪВЕТ НА СЪВМЕСТНОТО ПРЕДПРИЯТИЕ SHIFT2RAIL (наричано по-долу „СП S2R“)
         като взе предвид Договора за функционирането на Европейския съюз (1),
         като взе предвид Регламент (ЕС) 2018/1725 на Европейския парламент и на Съвета от 23 октомври 2018 г. относно защитата на физическите лица във връзка с обработването на лични данни от институциите, органите, службите и агенциите на Съюза и относно свободното движение на такива данни и за отмяна на Регламент (ЕО) № 45/2001 и Решение № 1247/2002/ЕО (2), и по-специално член 25 от него,
         като взе предвид Регламент (ЕС) № 642/2014 на Съвета от 16 юни 2014 г. за създаването на съвместно предприятие Shift2Rail (3), и по-специално член 8 от устава, приложен към въпросния регламент,
         като взе предвид насоките на Европейския надзорен орган по защита на данните относно член 25 от новия регламент и вътрешните правила,
         след като се консултира с ЕНОЗД на 12 ноември 2019 г. в съответствие с член 41, параграф 2 от Регламент (ЕС) 2018/1725,
         като взе предвид становището на Европейския надзорен орган по защита на данните („ЕНОЗД“) от 18 декември 2019 г.,
         след като се консултира с Комитета по персонала на СП S2R,
         като има предвид, че:
         
                     (1)
                  
                  
                     Само в правни актове, приети въз основа на Договорите, се предвижда ограничаване на правата на субекта на данни. Когато тези ограничения не могат да се основават на правни актове, приети въз основа на Договорите, в Регламент (ЕС) 2018/1725 се предвижда, че по въпроси, свързани с функционирането на СП S2R, могат да бъдат предвидени ограничения чрез вътрешни правила, включително разпоредби относно оценката на необходимостта и пропорционалността на дадено ограничение.
                  
               
                     (2)
                  
                  
                     В съответствие с член 25, параграф 1 от Регламент (ЕС) 2018/1725 ограниченията на прилагането на членове 14—22, 35 и 36, както и на член 4 от същия регламент, доколкото неговите разпоредби съответстват на правата и задълженията, предвидени в членове 14—22, следва да се основават на вътрешни правила, приети от СП S2R.
                  
               
                     (3)
                  
                  
                     В рамките на административното си функциониране СП S2R може да провежда административни проучвания, дисциплинарни производства, да извършва предварителни действия във връзка със случаи на потенциални нередности, докладвани на Европейската служба за борба с измамите (OLAF), да обработва сигнали за нередности, да провежда (официални и неофициални) процедури, свързани с тормоз, да обработва вътрешни и външни жалби, да извършва вътрешни одити, разследвания от страна на длъжностното лице по защита на данните в съответствие с член 45, параграф 2 от Регламент (ЕС) 2018/1725, както и вътрешни разследвания в областта на сигурността (на ИТ).
                  
               
                     (4)
                  
                  
                     СП S2R обработва няколко категории лични данни, например данни за идентификация, данни за контакт, професионални данни, административни данни, данни, получени от специфични източници, електронни съобщения и данни за трафик, както и данни, свързани със случая (напр. мотиви, данни относно поведението, оценки, данни за работната ефективност и действия, както и данни, свързани или предоставени във връзка с предмета на процедурата или дейността) (4).
                  
               
                     (5)
                  
                  
                     СП S2R, представлявано от изпълнителния директор, действа като администратор на данни.
                  
               
                     (6)
                  
                  
                     Личните данни се съхраняват в сигурна електронна среда или на хартия с оглед на предотвратяването на незаконния достъп до тях или предаването на данни на лица, които не е необходимо да се запознават с тях. Обработваните лични данни се съхраняват за срок, не по-дълъг от необходимия за целите, за които се обработват данните, за периода, посочен в информацията за защита на данните, декларациите за защита на личните данни или регистрите на СП S2R.
                  
               
                     (7)
                  
                  
                     Вътрешните правила следва да се прилагат за всички операции по обработване, извършвани от СП S2R за целите на административни проучвания, дисциплинарни производства, предварителни действия във връзка със случаи на потенциални нередности, докладвани на OLAF, процедури за подаване на сигнали за нередности, (официални и неофициални) процедури при случаи на тормоз, обработване на вътрешни и външни жалби, вътрешни одити, разследвания от страна на длъжностното лице по защита на данните в съответствие с член 45, параграф 2 от Регламент (ЕС) 2018/1725, разследвания в областта на сигурността (на ИТ), извършвани вътрешно или с външно участие (напр. CERT-EU).
                  
               
                     (8)
                  
                  
                     Те следва да се прилагат към операции по обработване, извършвани преди започване на горепосочените процедури, по време на тези процедури и по време на наблюдението на последващите действия във връзка с резултата от тях. Те следва да включват съдействие и сътрудничество, предоставяни от СП S2R на националните органи и международните организации извън рамките на административните разследвания на съвместното предприятие.
                  
               
                     (9)
                  
                  
                     В случаите, в които се прилагат тези вътрешни правила, СП S2R трябва да даде обосновка на причините, поради които ограниченията са строго необходими и пропорционални в демократично общество, както и да гарантира, че са съобразени с характера на основните права и свободи.
                  
               
                     (10)
                  
                  
                     В тази рамка СП S2R е задължено да зачита във възможно най-голяма степен основните права на субектите на данни при изпълнението на горепосочените процедури, и по-специално тези, които са свързани с правото на предоставяне на информация, достъп и коригиране, право на изтриване, ограничаване на обработването, право на съобщаване на субекта на данните за нарушение на сигурността на личните данни или на поверителност на съобщаването, заложени в Регламент (ЕС) 2018/1725.
                  
               
                     (11)
                  
                  
                     Същевременно СП S2R може да има задължението да ограничава информацията до правата на субекта на данни или на други субекти на данни, за да защити по-специално собствените си разследвания, разследванията и производствата на други публични органи, както и правата на други лица, свързани с неговите разследвания или други процедури.
                  
               
                     (12)
                  
                  
                     В случаите, когато СП S2R обмисля да наложи ограничение, рисковете за правата и свободите на субектите на данни се оценяват по-специално спрямо риска за правата и свободите на други субекти на данни и риска от анулиране на ефекта от разследванията или процедурите на СП S2R, например чрез унищожаване на доказателства. Рисковете за правата и свободите на субекта на данни засягат главно, но не се ограничават до рискове за репутацията и рискове за правото на защита и правото на изслушване.
                  
               
                     (13)
                  
                  
                     Следователно СП S2R може да ограничава информацията с цел да защити разследването и основните права и свободи на други субекти на данни.
                  
               
                     (14)
                  
                  
                     СП S2R следва периодично да наблюдава дали се прилагат условията, обосноваващи ограничаването, и да го премахва, когато те вече не се прилагат.
                  
               
                     (15)
                  
                  
                     Администраторът следва да информира длъжностното лице по защита на данните към момента на отлагане и по време на преразглеждането,
                  
               ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:
         
            Член 1
            Предмет и обхват
            
               1.   С настоящото решение се определят правила относно условията, при които СП S2R в рамките на своите процедури, посочени в параграф 2, може да ограничава прилагането на правата, заложени в членове 14—21, 35 и 36, както и член 4 от него, като се спазва член 25 от Регламент (ЕС) 2018/1725.
            
            
               2.   В рамките на административното функциониране на СП S2R настоящото решение се прилага за операциите по обработване на лични данни, извършвани от програмната служба за целите на административни проучвания, дисциплинарни производства, предварителни действия във връзка със случаи на потенциални нередности, докладвани на OLAF, обработване на сигнали за нередности, (официални и неофициални) процедури, свързани с тормоз, обработване на вътрешни и външни жалби, провеждане на вътрешни одити, разследвания от страна на длъжностното лице по защита на данните в съответствие с член 45, параграф 2 от Регламент (ЕС) 2018/1725, както и разследвания в областта на сигурността (на ИТ), извършвани вътрешно или с външно участие (напр. CERT-EU).
            
            
               3.   Категориите на въпросните данни включват данни за идентификация, данни за контакт, професионални данни, административни данни, данни, получени от специфични източници, електронни съобщения и данни за трафик, както и данни, свързани със случая, например мотиви, данни относно поведението, оценки, данни за работната ефективност и действия, както и данни, свързани или предоставени във връзка с предмета на процедурата или дейността.
            
            
               4.   Когато изпълнява задълженията си във връзка с правата на субект на данни съгласно Регламент (ЕС) 2018/1725, СП S2R преценява дали е приложимо някое от изключенията, предвидени в този регламент.
            
         
         
            Член 2
            Спецификации на администратора
            Администраторът на операциите по обработване е СП S2R, представлявано от изпълнителния директор.
         
         
            Член 3
            Спецификация на предпазните мерки
            
               1.   СП S2R въвежда следните предпазни мерки, насочени към предотвратяване на злоупотреби или незаконен достъп или предаване на лични данни:
               
                           а)
                        
                        
                           документите на хартиен носител се съхраняват в обезопасени шкафове и са достъпни само за упълномощени служители;
                        
                     
                           б)
                        
                        
                           всички електронни данни се съхраняват в защитено ИТ приложение в съответствие със стандартите за сигурност на СП S2R, както и в специфични електронни папки, достъпни само за упълномощени служители. Подходящите нива на достъп се предоставят на индивидуална основа;
                        
                     
                           в)
                        
                        
                           базата данни е защитена с парола в единна система за вписване и е автоматично свързана с потребителското име и паролата на потребителя, включително „псевдонимизация“ и/или „криптиране“, когато това е целесъобразно. Строго забранена е смяната на потребителите с други. Сигурността на електронните регистри се гарантира, за да се запази поверителността и неприкосновеността на съдържащите се в тях данни;
                        
                     
                           г)
                        
                        
                           всички лица с достъп до данните са обвързани със задължение за поверителност.
                        
                     
            
               2.   В съответствие с член 6, параграф 3 предпазните мерки, посочени в параграф 1, следва да бъдат предмет на периодичен преглед
            
            
               3.   Срокът на запазване на личните данни, посочен в член 1, параграф 3, е отбелязан в съответните съобщения за защитата на личните данни, декларациите за поверителност или регистрите, посочени в член 7, параграф 1. При всички случаи срокът не е по-дълъг от необходимото и е подходящ за целите, за които се обработват данните (5).
            
         
         
            Член 4
            Основания за ограничения
            
               1.   Всяко ограничение се прилага от СП S2R единствено с цел да се гарантират:
               
                           а)
                        
                        
                           националната сигурност, обществената сигурност или отбраната на държавите членки;
                        
                     
                           б)
                        
                        
                           предотвратяването, разследването, разкриването и наказателното преследване на престъпления или изпълнението на наказания, включително защитата срещу и предотвратяването на заплахи за обществената сигурност;
                        
                     
                           в)
                        
                        
                           други важни цели от общ обществен интерес на Съюза или на държава членка, по-специално целите на общата външна политика и политиката на сигурност на Съюза или важен икономически или финансов интерес на Съюза или на държава членка, включително парични, бюджетни и данъчни въпроси, общественото здраве и социалната сигурност;
                        
                     
                           г)
                        
                        
                           вътрешната сигурност на институциите и органите на Съюза, включително техните електронни съобщителни мрежи;
                        
                     
                           д)
                        
                        
                           предотвратяването, разследването, разкриването и наказателното преследване на нарушения на етичните кодекси при регулираните професии;
                        
                     
                           е)
                        
                        
                           функция по наблюдението, проверката или регламентирането, свързана, макар и епизодично, с упражняването на официални правомощия в случаите, посочени в букви а) до в);
                        
                     
                           ж)
                        
                        
                           защитата на субекта на данните или на правата и свободите на други лица;
                        
                     
                           з)
                        
                        
                           изпълнението по гражданскоправни претенции.
                        
                     
            
               2.   Като специфично приложение на целите, описани в параграф 1 по-горе, СП S2R може да прилага ограничения при следните обстоятелства:
               
                           а)
                        
                        
                           във връзка с лични данни, обменяни със служби на Комисията или други институции, органи, агенции и служби на Съюза;
                           
                                       —
                                    
                                    
                                       когато такава служба на Комисията, институция, орган или агенция на Съюза има право да ограничава упражняването на изброените права въз основа на други актове, предвидени в член 25 от Регламент (ЕС) 2018/1725, или в съответствие с глава IX от този Регламент или с учредителните актове на други институции, органи, агенции и служби на Съюза;
                                    
                                 
                                       —
                                    
                                    
                                       когато целта на подобно ограничение от тази служба на Комисията, институция, орган или агенция на Съюза би била застрашена, ако СП S2R не приложи еквивалентно ограничение по отношение на едни и същи лични данни.
                                    
                                 
                     
                           б)
                        
                        
                           във връзка с личните данни, обменяни с компетентните органи на държавите членки;
                           
                                       —
                                    
                                    
                                       когато такива компетентни органи на държави членки имат право да ограничават упражняването на изброените права въз основа на актове, посочени в член 23 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета (6), или съгласно националните мерки за транспониране на член 13, параграф 3, член 15, параграф 3 или член 16, параграф 3 от Директива (ЕС) 2016/680 на Европейския парламент и на Съвета (7);
                                    
                                 
                                       —
                                    
                                    
                                       когато целта на подобно ограничение от този компетентен орган би била застрашена, ако СП S2R не приложи еквивалентно ограничение по отношение на едни и същи лични данни.
                                    
                                 
                     
                           в)
                        
                        
                           във връзка с лични данни, обменяни с трети държави или международни организации, когато има ясни доказателства, че има вероятност упражняването на тези права и задължения да застраши сътрудничеството на СП S2R с трети държави или международни организации при изпълнението на неговите задачи.
                        
                     Преди да наложи ограниченията в обстоятелствата, посочени в букви а) и б) от първа алинея, СП S2R се консултира със съответните служби на Комисията, институции, органи, агенции, служби на Съюза или компетентните органи на държавите членки, освен ако за СП S2R не е ясно, че налагането на ограничение е предвидено в един от актовете, посочен в този букви.
            
         
         
            Член 5
            Ограничения и права на субектите на данни
            
               1.   В надлежно обосновани случаи и при условията, определени в настоящото решение, следните права могат да бъдат ограничени от администратора в контекста на операциите по обработване, изброени в член 1, параграф 2 и в параграф 2 по-долу, когато това е необходимо и пропорционално:
               
                           а)
                        
                        
                           правото на информация;
                        
                     
                           б)
                        
                        
                           правото на достъп;
                        
                     
                           в)
                        
                        
                           правото на коригиране, изтриване и ограничаване на обработването;
                        
                     
                           г)
                        
                        
                           правото на съобщаване на субекта на данните за нарушение на сигурността на личните данни;
                        
                     
                           д)
                        
                        
                           правото на поверителност на електронните съобщения;
                        
                     
            
               2.   В надлежно обосновани случаи и с цел защита на целите, посочени в член 4, параграф 1, администраторът може да наложи ограничения в контекста на следните операции по обработване, посочени в член 1, параграф 2:
               
                           а)
                        
                        
                           провеждане на административни проверки и дисциплинарни производства;
                        
                     
                           б)
                        
                        
                           предварителни дейности, свързани със случаи на потенциални нередности, докладвани на OLAF;
                        
                     
                           в)
                        
                        
                           процедури за подаване на сигнали за нередности;
                        
                     
                           г)
                        
                        
                           (формални и неформални) процедури, свързани със случаи на тормоз;
                        
                     
                           д)
                        
                        
                           обработване на вътрешни и външни жалби;
                        
                     
                           е)
                        
                        
                           вътрешни одити;
                        
                     
                           ж)
                        
                        
                           разследванията, извършени от длъжностното лице по защита на данните в съответствие с член 45, параграф 2 от Регламент (ЕС) 2018/1725;
                        
                     
                           з)
                        
                        
                           разследвания на сигурността (на ИТ), провеждани на вътрешно ниво или с участието на външни служители (напр. CERT-EU);
                        
                     
                           и)
                        
                        
                           в рамките на управлението на безвъзмездните средства или на процедурата за възлагане на обществена поръчка след крайната дата за представяне на покани за представяне на предложения или след подаване на оферти.
                        
                     
            
               3.   В контекста на процедурата за случаи на тормоз посочените в параграф 1 права могат да бъдат ограничени при същите условия, с изключение на правото на съобщаване на субекта на данните за нарушение на сигурността на личните данни, посочено в параграф 1, буква г).
            
            
               4.   В контекста на процедурата за случаи на тормоз посочените в параграф 1 права могат да бъдат ограничени при същите условия, с изключение на правото на коригиране, изтриване и ограничаване на обработването, посочено в параграф 1, буква в).
            
            
               5.   В надлежно обосновани случаи и при условията, определени в настоящото решение, правото на коригиране, изтриване и ограничаване може бъде ограничено от администратора, като се прилагат изключенията, предвидени в параграфи 3 и 4.
            
            
               6.   Ако СП S2R ограничава изцяло или частично прилагането на правата, посочени в параграфи 1, 3, 4 и 5, то предприема стъпките, предвидени в членове 6 и 7 от настоящото решение.
            
            
               7.   Когато субектите на данни поискат достъп до личните си данни, обработвани в контекста на един или повече конкретни случаи или за конкретна операция по обработване, в съответствие с член 17 от Регламент (ЕС) 2018/1725 СП S2R ограничава оценката си на искането единствено до тези лични данни.
            
         
         
            Член 6
            Необходимост и пропорционалност на ограниченията
            
               1.   Всяко ограничение, основаващо се на член 4, е необходимо и пропорционално, като се имат предвид рисковете за правата и свободите на субектите на данни, и е съобразено със същността на основните права и свободи в демократичното общество.
            
            
               2.   Ако се обмисля налагане на ограничение, въз основа на настоящите правила се извършва проверка на необходимостта и пропорционалността. Проверката се извършва и в рамката на периодичния преглед след оценка на това дали все още се прилагат фактическите и правните основания за ограничението. Това се документира чрез записка за вътрешна оценка за целите на отчетността за всеки отделен случай.
            
            
               3.   Ограниченията са временни. Те продължават да се прилагат, докато причините за тях продължават да са валидни. По-специално, когато се счита, че с упражняването на ограничено право вече не би се отменил ефектът на наложеното ограничение или то не би имало неблагоприятно въздействие върху правата или свободите на други субекти на данни.
               СП S2R преразглежда прилагането на ограничението на всеки шест месеца, считано от приемането му, и при приключване на съответната проверка, процедура или разследване. След това на всеки шест месеца администраторът осъществява наблюдение върху необходимостта от запазване на всяко едно ограничение.
            
            
               4.   Когато прилага изцяло или частично ограниченията, основаващи се на член 4 от настоящото решение, СП S2R записва причините за ограничението, правното основание в съответствие с параграф 1 по-горе, както и оценката на необходимостта и пропорционалността на ограничението.
               Този документ и, ако е приложимо, документите, съдържащи основните фактологични и правни елементи, се вписват в регистъра. При поискване те се предоставят на Европейския надзорен орган по защита на данните.
            
         
         
            Член 7
            Задължение за информиране
            
               1.   В съобщенията за защита на данните, декларациите за поверителност или регистрите по смисъла на член 31 от Регламент (ЕС) 2018/1725, публикувани на неговия уебсайт и/или в интранет, от който субектите на данни получават информация за своите права в рамките на дадена процедура, СП S2R включва информация, свързана с потенциалното ограничаване на тези права. Информацията обхваща правата, които може да бъдат ограничени, причините и потенциалния срок.
               Без да се засягат разпоредбите на член 6, параграф 4, СП S2R също така уведомява без ненужно забавяне и в писмена форма, ако е целесъобразно, индивидуално всички субекти на данни, считани за лица, заинтересовани от специфичната операция по обработване, за техните права във връзка с настоящи или бъдещи ограничения.
            
            
               2.   Когато ограничава изцяло или частично правата, изложени в член 5, СП S2R информира засегнатия субект на данни за наложеното ограничение и за основните причини за него, както и за възможността за подаване на жалба до Европейския надзорен орган по защита на данните или за търсенето на защита по съдебен ред пред Съда на Европейския съюз;
               Предоставянето на информацията, посочена в параграф 2, може да бъде отложено, пропуснато или отказано, ако предоставянето би премахнало ефекта от ограничението в съответствие с член 25, параграф 8 от Регламент (ЕС) 2018/1725.
            
         
         
            Член 8
            Преглед от длъжностното лице по защита на данните
            
               1.   СП S2R уведомява своевременно своето длъжностно лице по защита на данните („ДЛЗД“) на СП S2R всеки път, когато администраторът ограничава прилагането на правата на субектите на данни или разширява обхвата на ограничението съгласно настоящото решение. Администраторът предоставя на ДЛЗД достъп до регистъра, съдържащ оценката на необходимостта и пропорционалността на ограничението, и документира в регистъра датата, на която е уведомил ДЛЗД.
            
            
               2.   ДЛЗД може да изиска от администратора в писмен вид да преразгледа прилагането на ограниченията. Администраторът уведомява ДЛЗД относно резултата от искането за преразглеждане.
            
            
               3.   ДЛЗД участва в цялата процедура. Администраторът уведомява ДЛЗД, когато ограничението е отменено.
            
         
         
            Член 9
            Влизане в сила
            Настоящото решение влиза в сила на двадесетия ден след деня на публикуването му в Официален вестник на Европейския съюз.
            
         
         
            Съставено в Брюксел на 26 март 2020 година.
            
               
                  За управителния съвет на СП S2R
               
               Henrik HOLOLEI
               
                  Председател
               
            
         
         
            (1)  ОВ C 202, 7.6.2016 г., стр. 47.
         
            (2)  ОВ L 295, 21.11.2018 г., стр. 39.
         
            (3)  ОВ L 177, 17.6.2014 г., стр. 9.
         
            (4)  В случаи на съвместни администратори данните се обработват в съответствие със средствата и целите, установени в съответното споразумение между съвместните администратори, както е определено в член 28 от Регламент (ЕС) 2018/1725.
         
            (5)  Политиката на запазване на S2R се основава на запазването на преписки в Комисията, уредено с Общия списък за запазването на преписки — регулаторен документ (последна версия SEC(2019)900) под формата на таблица, в който се определят сроковете на съхраняване на различните видове преписки на Комисията
         
            (6)  Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) (OB L 119, 4.5.2016 г., стр. 1).
         
            (7)  Директива (ЕС) 2016/680 на Европейския парламент и на Съвета от 27 април 2016 г. относно защитата на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания и относно свободното движение на такива данни, и за отмяна на Рамково решение 2008/977/ПВР на Съвета (OB L 119, 4.5.2016 г., стр. 89).