CELEX: 32020Q1204(01)
Language: sl
Date: 2020-05-06 00:00:00
Title: Sklep upravnega odbora Evropskega centra za razvoj poklicnega usposabljanja (Cedefop) z dne 6. maja 2020 o sprejetju notranjih predpisov glede omejitev nekaterih pravic posameznikov, na katere se nanašajo osebni podatki, v zvezi z obdelavo osebnih podatkov v okviru delovanja Cedefopa

4.12.2020   
               
               
                  SL
               
               
                  Uradni list Evropske unije
               
               
                  L 408/12
               
            
         SKLEP UPRAVNEGA ODBORA EVROPSKEGA CENTRA ZA RAZVOJ POKLICNEGA USPOSABLJANJA (CEDEFOP)
         z dne 6. maja 2020
         o sprejetju notranjih predpisov glede omejitev nekaterih pravic posameznikov, na katere se nanašajo osebni podatki, v zvezi z obdelavo osebnih podatkov v okviru delovanja Cedefopa
         UPRAVNI ODBOR JE –
         ob upoštevanju Pogodbe o delovanju Evropske unije,
         ob upoštevanju Uredbe (EU) 2018/1725 Evropskega parlamenta in Sveta z dne 23. oktobra 2018 o varstvu posameznikov pri obdelavi osebnih podatkov v institucijah, organih, uradih in agencijah Unije in o prostem pretoku takih podatkov ter o razveljavitvi Uredbe (ES) št. 45/2001 in Sklepa št. 1247/2002/ES (1) ter zlasti člena 25 Uredbe,
         ob upoštevanju Uredbe (EU) 2019/128 Evropskega parlamenta in Sveta z dne 16. januarja 2019 o ustanovitvi Evropskega centra za razvoj poklicnega usposabljanja (Cedefop) in razveljavitvi Uredbe Sveta (EGS) št. 337/75 (2) ter zlasti člena 23(4) Uredbe,
         ob upoštevanju mnenja Evropskega nadzornika za varstvo podatkov (ENVP) z dne 12. decembra 2019 in smernic ENVP o členu 25 nove uredbe in notranjih predpisih (3),
         OB UPOŠTEVANJU NASLEDNJEGA:
         
                     (1)
                  
                  
                     Cedefop svoje dejavnosti izvaja v skladu z Uredbo (EU) 2019/128.
                  
               
                     (2)
                  
                  
                     V skladu s členom 25(1) Uredbe (EU) 2018/1725 bi morale omejitve uporabe členov 14 do 22, 35 in 36 ter člena 4 navedene uredbe, če se te določbe nanašajo na pravice in dolžnosti, ki so zajete v členih 14 do 22, temeljiti na notranjih predpisih, ki jih sprejme Cedefop, kadar ti ne temeljijo na pravnih aktih, sprejetih na podlagi Pogodb.
                  
               
                     (3)
                  
                  
                     Ti notranji predpisi, vključno z določbami o oceni potrebnosti in sorazmernosti omejitve, se ne bi smeli uporabljati, kadar pravni akt, sprejet na podlagi Pogodb, določa omejitev pravic posameznikov, na katere se nanašajo osebni podatki.
                  
               
                     (4)
                  
                  
                     Če Cedefop opravlja svoje naloge v zvezi s pravicami posameznika, na katerega se nanašajo osebni podatki, v skladu z Uredbo (EU) 2018/1725, prouči, ali velja katera od izjem iz navedene uredbe.
                  
               
                     (5)
                  
                  
                     Cedefop lahko v okviru svojega upravnega delovanja izvaja upravne poizvedbe, disciplinske postopke, predhodne dejavnosti, povezane s primeri morebitnih nepravilnosti, ki se prijavijo uradu OLAF, obdeluje primere prijavljanja nepravilnosti, izvaja (uradne in neuradne) postopke v zvezi z nadlegovanjem, obdeluje notranje in zunanje pritožbe, opravlja notranje revizije, izvaja preiskave po pooblaščeni osebi za varstvo podatkov v skladu s členom 45(2) Uredbe (EU) 2018/1725 in notranje preiskave v zvezi z (informacijskotehnološko) varnostjo ter obravnava zahteve uslužbencev za dostop do svojih zdravstvenih kartotek.
                     Cedefop obdeluje več kategorij osebnih podatkov, vključno z zanesljivimi podatki („objektivnimi“ podatki, kot so identifikacijski podatki, kontaktni podatki, strokovni podatki, upravni podatki, podatki, ki so bili prejeti iz posebnih virov, elektronski komunikacijski in prometni podatki) in/ali nezanesljivimi podatki („subjektivnimi“ podatki, povezanimi s primerom, kot so utemeljitev, vedenjski podatki, ocene, podatki o učinkovitosti in vodenju ter podatki, povezanimi s predmetom urejanja postopka ali dejavnosti).
                  
               
                     (6)
                  
                  
                     Cedefop, ki ga zastopa izvršni direktor, ima vlogo upravljavca podatkov, ne glede na nadaljnje prenose vloge upravljavca znotraj Cedefopa v skladu z operativnimi pristojnostmi za posebna dejanja obdelave osebnih podatkov.
                  
               
                     (7)
                  
                  
                     Osebni podatki so varno shranjeni v elektronskem okolju ali na papirju, kar preprečuje njihovo zlorabo ali nezakonit dostop do njih ali prenos podatkov osebam, ki nimajo potrebe po seznanitvi z njimi. Zdravstvene kartoteke hrani zunanji ponudnik storitev, ki ga uporablja Cedefop. Osebni podatki, ki se obdelujejo, se hranijo le toliko časa, kolikor je potrebno in primerno za namene, za katere se podatki obdelujejo, za obdobje, določeno v obvestilih o varstvu podatkov ali evidencah Cedefopa.
                  
               
                     (8)
                  
                  
                     Te notranje predpise bi bilo treba uporabljati za vse postopke obdelave, ki jih Cedefop izvaja pri opravljanju upravnih preiskav, disciplinskih postopkov, predhodnih dejavnosti v zvezi s primeri morebitnih nepravilnosti, ki se prijavijo uradu OLAF, postopkov za prijavljanje nepravilnosti, (uradnih in neuradnih) postopkov v primerih nadlegovanja, obdelovanja notranjih in zunanjih pritožb, notranjih revizij, preiskav, ki jih izvaja pooblaščena oseba za varstvo podatkov v skladu s členom 45(2) Uredbe (EU) 2018/1725, preiskav v zvezi z (informacijskotehnološko) varnostjo, ki se izvajajo notranje ali s sodelovanjem zunanjih strani (npr. CERT-EU), ter pri obravnavanju zahtev uslužbencev za dostop do svojih zdravstvenih kartotek.
                  
               
                     (9)
                  
                  
                     Te notranje predpise bi bilo treba uporabljati za postopke obdelave, izvedene pred začetkom postopkov, navedenih zgoraj, med temi postopki in med spremljanjem nadaljnjih ukrepov v zvezi z izidom teh postopkov. Vključevati bi morala tudi pomoč in sodelovanje, ki ju Cedefop zagotavlja nacionalnim organom in mednarodnim organizacijam zunaj svojih upravnih preiskav.
                  
               
                     (10)
                  
                  
                     Kadar se uporabljajo ti notranji predpisi, bi moral Cedefop utemeljiti, zakaj so omejitve nujno potrebne in sorazmerne v demokratični družbi, ter spoštovati bistvo temeljnih pravic in svoboščin.
                  
               
                     (11)
                  
                  
                     Cedefop mora v tem okviru v največji mogoči meri spoštovati temeljne pravice posameznikov, na katere se nanašajo osebni podatki, med zgoraj navedenimi postopki, zlasti tiste v zvezi s pravico do obveščenosti posameznika, na katerega se nanašajo osebni podatki, pravico do dostopa ter pravico do popravka, izbrisa in omejitve obdelave, pravico do obveščanja posameznika, na katerega se nanašajo osebni podatki, o kršitvi varnosti osebnih podatkov in do zaupnosti elektronskih sporočil, kakor je določeno v Uredbi (EU) 2018/1725.
                  
               
                     (12)
                  
                  
                     Vendar je lahko Cedefop dolžen omejiti pravico do obveščenosti posameznika, na katerega se nanašajo osebni podatki, in druge pravice posameznika, na katerega se nanašajo osebni podatki, da zaščiti zlasti lastne preiskave, preiskave in postopke drugih javnih organov ter pravice drugih oseb, ki so vključene v preiskave ali druge postopke.
                  
               
                     (13)
                  
                  
                     Cedefop bi moral redno spremljati, ali so še vedno izpolnjeni pogoji, ki upravičujejo omejitev, in odpraviti omejitev takoj, ko pogoji niso več izpolnjeni.
                  
               
                     (14)
                  
                  
                     Upravljavec bi moral pooblaščeno osebo za varstvo podatkov obvestiti v trenutku, ko je predvidena uporaba omejitve, in jo obveščati med poznejšimi pregledi ter jo vključevati med celotnim postopkom, dokler se omejitev ne odpravi –
                  
               SPREJEL NASLEDNJI SKLEP:
         
            Člen 1
            Predmet urejanja in področje uporabe
            
               1.   Ta sklep določa predpise v zvezi s pogoji, pod katerimi lahko Cedefop na podlagi člena 25 Uredbe (EU) 2018/1725 v okviru postopkov iz odstavka 2 omeji uporabo pravic iz členov 14 do 21, 35 in 36 ter člena 4 navedene uredbe.
            
            
               2.   V okviru upravnega delovanja Cedefopa se ta sklep uporablja za postopke obdelave osebnih podatkov, ki jih Cedefop izvaja za namene opravljanja upravnih preiskav in disciplinskih postopkov, predhodnih dejavnosti v zvezi s primeri morebitnih nepravilnosti, ki se prijavijo uradu OLAF, obdelovanja postopkov za prijavljanje nepravilnosti, izvajanja (uradnih in neuradnih) postopkov v primerih nadlegovanja, obdelovanja notranjih in zunanjih pritožb, izvajanja notranjih revizij, preiskav, ki jih izvaja pooblaščena oseba za varstvo podatkov v skladu s členom 45(2) Uredbe (EU) 2018/1725, in preiskav v zvezi z (informacijskotehnološko) varnostjo, ki se izvajajo notranje ali s sodelovanjem zunanjih strani (npr. CERT-EU), ter obravnavanja zahtev uslužbencev za dostop do svojih zdravstvenih kartotek.
            
            
               3.   Kategorije zadevnih podatkov so zanesljivi podatki („objektivni“ podatki, kot so identifikacijski podatki, kontaktni podatki, strokovni podatki, upravni podatki, podatki, ki so bili prejeti iz posebnih virov, elektronski komunikacijski in prometni podatki) in/ali nezanesljivi podatki („subjektivni“ podatki, povezani s primerom, kot so utemeljitev, vedenjski podatki, ocene, podatki, povezani z učinkovitostjo in vodenjem, ter podatki, povezani s predmetom urejanja postopka ali dejavnosti).
            
            
               4.   Če Cedefop opravlja svoje naloge v zvezi s pravicami posameznika, na katerega se nanašajo osebni podatki, v skladu z Uredbo (EU) 2018/1725, prouči, ali velja katera od izjem iz navedene uredbe.
            
            
               5.   Ob upoštevanju pogojev iz tega sklepa lahko omejitve veljajo za naslednje pravice: pravico do zagotavljanja informacij posamezniku, na katerega se nanašajo osebni podatki, pravico do dostopa, pravice do popravka, izbrisa in omejitve obdelave ter pravici do obveščanja posameznika, na katerega se nanašajo osebni podatki, o kršitvi varnosti osebnih podatkov in zaupnosti elektronskih sporočil.
            
         
         
            Člen 2
            Opredelitev upravljavca in zaščitnih ukrepov
            
               1.   Cedefop vzpostavi naslednje zaščitne ukrepe, da prepreči zlorabo ali nezakonit dostop ali prenos:
               
                           (a)
                        
                        
                           dokumenti v papirni obliki se hranijo v zavarovanih omaricah in so dostopni le pooblaščenemu osebju;
                        
                     
                           (b)
                        
                        
                           vsi elektronski podatki se hranijo v varni IT-aplikaciji v skladu z varnostnimi standardi Cedefopa in v posebnih elektronskih mapah, dostopnih samo pooblaščenemu osebju. Ustrezne ravni dostopa se odobrijo za vsak primer posebej;
                        
                     
                           (c)
                        
                        
                           Cedefopovo IT-okolje je dostopno prek sistema enotne prijave ter samodejno povezano z uporabniško identifikacijsko kodo in geslom. Elektronske evidence se hranijo varno, da se zaščitita zaupnost in zasebnost podatkov v njih;
                        
                     
                           (d)
                        
                        
                           vse osebe, ki imajo dostop do podatkov, zavezuje obveznost zaupnosti;
                        
                     
                           (e)
                        
                        
                           zunanjega ponudnika storitev, ki hrani zdravstvene kartoteke, zavezujejo pogodbene določbe glede zaupnosti in obdelave osebnih podatkov.
                        
                     
            
               2.   Upravljavec dejanj obdelave je Cedefop, tega pa zastopa izvršni direktor, ki lahko funkcijo upravljavca prenese. Posamezniki, na katere se nanašajo osebni podatki, so obveščene o pooblaščenem upravljavcu z obvestilom o varstvu podatkov ali evidencami, objavljenimi na spletnem mestu in/ali intranetu Cedefopa.
            
            
               3.   Obdobje hrambe osebnih podatkov iz člena 1(3) tega sklepa ni daljše, kot je potrebno in primerno za namene, za katere se podatki obdelujejo. V nobenem primeru ne presega obdobja hrambe, določenega v obvestilih o varstvu podatkov ali evidencah iz člena 3(3) tega sklepa.
            
            
               4.   Če Cedefop razmišlja o uporabi omejitve, se pretehta tveganje za pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, zlasti v primerjavi s tveganjem za pravice in svoboščine drugih posameznikov, na katere se nanašajo osebni podatki, in tveganjem za ogrozitev uspešnosti preiskav ali postopkov Cedefopa, na primer z uničenjem dokazov. Tveganja za pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, so povezana predvsem s tveganjem izgube ugleda ter tveganjem za pravico do obrambe in pravico do izjave, vendar nanje niso omejena.
            
         
         
            Člen 3
            Omejitve
            
               1.   Cedefop omejitev uporabi le na podlagi enega ali več razlogov iz točk (a) do (i) člena 25(1) Uredbe (EU) 2018/1725. Zlasti lahko omejitve v okviru namenov obdelave osebnih podatkov, navedenih v členu 1(2) tega sklepa, temeljijo na naslednjih razlogih:
               
                           (a)
                        
                        
                           pri izvedbi upravnih poizvedb in disciplinskega postopka lahko omejitve temeljijo na točkah (b), (c), (g) in (h) člena 25(1) Uredbe (EU) 2018/1725;
                        
                     
                           (b)
                        
                        
                           pri predhodnih dejavnostih v zvezi s primeri morebitnih nepravilnosti, ki se prijavijo uradu OLAF, lahko omejitve temeljijo na točkah (b), (c), (f), (g) in (h) člena 25(1) Uredbe (EU) 2018/1725;
                        
                     
                           (c)
                        
                        
                           pri postopkih za prijavljanje nepravilnosti lahko omejitve temeljijo na točkah (b), (c), (f), (g) in (h) člena 25(1) Uredbe (EU) 2018/1725;
                        
                     
                           (d)
                        
                        
                           pri (uradnih in neuradnih) postopkih v primerih nadlegovanja lahko omejitve temeljijo na točkah (b), (f), (h) in (i) člena 25(1) Uredbe (EU) 2018/1725;
                        
                     
                           (e)
                        
                        
                           pri obdelovanju notranjih in zunanjih pritožb lahko omejitve temeljijo na točkah (c), (g) in (h) člena 25(1) Uredbe (EU) 2018/1725;
                        
                     
                           (f)
                        
                        
                           pri notranjih revizijah lahko omejitve temeljijo na točkah (c), (g) in (h) člena 25(1) Uredbe (EU) 2018/1725;
                        
                     
                           (g)
                        
                        
                           pri preiskavah, ki jih izvaja pooblaščena oseba za varstvo podatkov v skladu s členom 45(2) Uredbe (EU) 2018/1725, lahko omejitve temeljijo na točkah (c), (g) in (h) člena 25(1) navedene uredbe;
                        
                     
                           (h)
                        
                        
                           pri preiskavah v zvezi z (informacijskotehnološko) varnostjo, ki se izvajajo notranje ali s sodelovanjem zunanjih strani (npr. CERT-EU), lahko omejitve temeljijo na točkah (c), (d), (g) in (h) člena 25(1) Uredbe (EU) 2018/1725;
                        
                     
                           (i)
                        
                        
                           pri obravnavanju zahtev uslužbencev za dostop do svojih zdravstvenih kartotek lahko omejitve temeljijo na točki (h) člena 25(1) Uredbe (EU) 2018/1725.
                        
                     
            
               2.   Cedefop lahko kot posebno uporabo namenov iz odstavka 1 uporablja omejitve v zvezi s pravicami iz člena 1(5) tega sklepa v naslednjih okoliščinah:
               
                           (a)
                        
                        
                           če je druga institucija, organ, agencija ali urad Unije upravičen do omejitve uresničevanja teh pravic na podlagi drugih aktov iz člena 25 Uredbe (EU) 2018/1725 ali v skladu s poglavjem IX navedene uredbe ali svojim ustanovitvenim aktom in bi bil namen take omejitve navedene druge institucije, organa, agencije ali urada Unije ogrožen, če Cedefop ne bi uporabil enakovredne omejitve glede istih osebnih podatkov;
                        
                     
                           (b)
                        
                        
                           če je pristojni organ države članice upravičen do omejitve uresničevanja teh pravic na podlagi aktov iz člena 23 Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta (4) ali v skladu z nacionalnimi ukrepi za prenos člena 13(3), člena 15(3) ali člena 16(3) Direktive (EU) 2016/680 Evropskega parlamenta in Sveta (5) ter bi bil namen take omejitve navedenega pristojnega organa države članice ogrožen, če Cedefop ne bi uporabil enakovredne omejitve glede istih osebnih podatkov;
                        
                     
                           (c)
                        
                        
                           če bi uresničevanje teh pravic ogrozilo sodelovanje Cedefopa s tretjimi državami ali mednarodnimi organizacijami pri izvajanju njegovih nalog.
                        
                     Pred uporabo omejitev v okoliščinah iz točk (a) in (b) prvega pododstavka se Cedefop posvetuje z ustrezno institucijo, organom, uradom ali agencijo Unije ali pristojnim organom države članice, razen če jasno ugotovi, da je uporaba omejitve določena z enim od aktov iz navedenih točk.
            
            
               3.   Cedefop v obvestila o varstvu podatkov ali evidence v smislu člena 31 Uredbe (EU) 2018/1725, ki so objavljeni na njegovem spletnem mestu in intranetu ter s katerimi posameznike, na katere se nanašajo osebni podatki, obvesti o njihovih pravicah v okviru določenega postopka, vključi informacije v zvezi z morebitno omejitvijo teh pravic. V informacijah se navedejo pravice, ki se lahko omejijo, razlogi in morebitno trajanje.
               Kadar je sorazmerno, Cedefop brez poseganja v določbe člena 5(2) o pravicah v zvezi s sedanjimi ali prihodnjimi omejitvami brez nepotrebnega odlašanja in v pisni obliki posamično obvesti tudi posameznike, na katere se nanašajo osebni podatki, ki se v specifičnem postopku obdelave obravnavajo kot osebe, ki jih ta postopek zadeva.
            
            
               4.   Vse omejitve morajo biti potrebne in sorazmerne, pri čemer se upoštevajo tveganja za pravice in svoboščine posameznikov, na katere se nanašajo osebni podatki, ter bistvo temeljnih pravic in svoboščin v demokratični družbi.
            
            
               5.   Če se prouči uporaba omejitve, se na podlagi teh predpisov opravi preskus potrebnosti in sorazmernosti. Dokumentira se z notranjo oceno za namene odgovornosti za vsak primer posebej.
            
            
               6.   Omejitve se odpravijo takoj, ko okoliščine, ki jih upravičujejo, ne veljajo več.
            
         
         
            Člen 4
            Pregled, ki ga izvede pooblaščena oseba za varstvo podatkov
            
               1.   Pooblaščena oseba Cedefopa za varstvo podatkov je brez nepotrebnega odlašanja obveščena vsakič, kadar upravljavec namerava omejiti uporabo pravic posameznikov, na katere se nanašajo osebni podatki, ali omejitev podaljša v skladu s tem sklepom. Upravljavec pooblaščeni osebi za varstvo podatkov zagotovi dostop do evidence, ki vsebuje oceno potrebnosti in sorazmernosti omejitve, ter v evidenci navede datum, ko je pooblaščeno osebo za varstvo podatkov o tem obvestil. Pooblaščena oseba za varstvo podatkov je vključena med celotnim postopkom, dokler se omejitev ne odpravi.
            
            
               2.   Pooblaščena oseba za varstvo podatkov lahko od upravljavca pisno zahteva pregled uporabe omejitev. Upravljavec pooblaščeno osebo za varstvo podatkov pisno obvesti o rezultatu zahtevanega pregleda.
            
            
               3.   Upravljavec pooblaščeno osebo za varstvo podatkov obvesti, ko se omejitev odpravi.
            
         
         
            Člen 5
            Omejitev pravice do obveščenosti posameznika, na katerega se nanašajo osebni podatki
            
               1.   V ustrezno utemeljenih primerih in pod pogoji, določenimi v tem sklepu, lahko upravljavec omeji pravico do obveščenosti posameznika, na katerega se nanašajo osebni podatki, v okviru naslednjih postopkov obdelave:
               
                           (a)
                        
                        
                           izvedba upravnih preiskav in disciplinskih postopkov;
                        
                     
                           (b)
                        
                        
                           predhodne dejavnosti, povezane s primeri morebitnih nepravilnosti, ki se prijavijo uradu OLAF;
                        
                     
                           (c)
                        
                        
                           postopki za prijavljanje nepravilnosti;
                        
                     
                           (d)
                        
                        
                           (uradni in neuradni) postopki za primere nadlegovanja;
                        
                     
                           (e)
                        
                        
                           obdelava notranjih in zunanjih pritožb;
                        
                     
                           (f)
                        
                        
                           notranje revizije;
                        
                     
                           (g)
                        
                        
                           preiskave, ki jih opravi pooblaščena oseba za varstvo podatkov v skladu s členom 45(2) Uredbe (EU) 2018/1725;
                        
                     
                           (h)
                        
                        
                           preiskave v zvezi z (informacijskotehnološko) varnostjo, ki se izvajajo notranje ali s sodelovanjem zunanjih strani (npr. CERT-EU).
                        
                     
            
               2.   Če Cedefop v celoti ali delno omeji pravico do obveščenosti posameznikov, na katere se nanašajo osebni podatki, iz členov 14 do 16 Uredbe (EU) 2018/1725, navede razloge za omejitev in pravno podlago v skladu s členom 3 tega sklepa, vključno z oceno potrebnosti in sorazmernosti omejitve.
               Evidenca in po potrebi dokumenti, ki vsebujejo temeljna dejstva in pravne
               elemente, se registrirajo. Na zahtevo se dajo na voljo Evropskemu nadzorniku za varstvo podatkov.
            
            
               3.   Omejitev iz odstavka 2 se uporablja, dokler obstajajo razlogi, ki jo upravičujejo.
               Kadar razlogi za omejitev ne obstajajo več, Cedefop posamezniku, na katerega se nanašajo osebni podatki, zagotovi informacije o glavnih razlogih, na katerih temelji uporaba omejitve. Hkrati obvesti posameznika, na katerega se nanašajo osebni podatki, o pravici do vložitve pritožbe pri Evropskem nadzorniku za varstvo podatkov kadar koli ali do uveljavljanja pravnega sredstva pri Sodišču Evropske unije (v nadaljnjem besedilu: Sodišče).
               Cedefop pregleda uporabo omejitve vsakih šest mesecev od njenega sprejetja in ob zaključku zadevne poizvedbe, postopka ali preiskave. Upravljavec podatkov nato vsakih šest mesecev oceni potrebo po ohranitvi omejitve. Preskus potrebnosti in sorazmernosti iz člena 3(5) se opravi v okviru posameznega rednega pregleda po oceni, ali dejanski in pravni razlogi za omejitev še veljajo.
            
         
         
            Člen 6
            Omejitev pravice posameznika, na katerega se nanašajo osebni podatki, do dostopa
            
               1.   V ustrezno utemeljenih primerih in pod pogoji, določenimi v tem sklepu, lahko upravljavec posamezniku, na katerega se nanašajo osebni podatki, omeji pravico do dostopa v okviru naslednjih postopkov obdelave, kadar je to potrebno in sorazmerno:
               
                           (a)
                        
                        
                           izvedba upravnih preiskav in disciplinskih postopkov;
                        
                     
                           (b)
                        
                        
                           predhodne dejavnosti, povezane s primeri morebitnih nepravilnosti, ki se prijavijo uradu OLAF;
                        
                     
                           (c)
                        
                        
                           postopki za prijavljanje nepravilnosti;
                        
                     
                           (d)
                        
                        
                           (uradni in neuradni) postopki za primere nadlegovanja;
                        
                     
                           (e)
                        
                        
                           obdelava notranjih in zunanjih pritožb;
                        
                     
                           (f)
                        
                        
                           notranje revizije;
                        
                     
                           (g)
                        
                        
                           preiskave, ki jih opravi pooblaščena oseba za varstvo podatkov v skladu s členom 45(2) Uredbe (EU) 2018/1725;
                        
                     
                           (h)
                        
                        
                           preiskave v zvezi z (informacijskotehnološko) varnostjo, ki se izvajajo notranje ali s sodelovanjem zunanjih strani (npr. CERT-EU);
                        
                     
                           (i)
                        
                        
                           obravnavanje zahtev uslužbencev za dostop do svojih zdravstvenih kartotek.
                        
                     Če posamezniki, na katere se nanašajo osebni podatki, zahtevajo dostop do svojih osebnih podatkov, ki se obdelujejo v okviru enega ali več posameznih primerov ali posameznega dejanja obdelave, Cedefop v skladu s členom 17 Uredbe (EU) 2018/1725 svojo oceno zahteve omeji le na take osebne podatke.
            
            
               2.   Če Cedefop v celoti ali delno omeji pravico do dostopa iz člena 17 Uredbe (EU) 2018/1725, sprejme naslednje ukrepe:
               
                           (a)
                        
                        
                           posameznika, na katerega se nanašajo osebni podatki, v svojem odgovoru na zahtevo obvesti o uporabljeni omejitvi in glavnih razlogih zanjo ter možnosti vložitve pritožbe pri Evropskem nadzorniku za varstvo podatkov ali uveljavljanja pravnega sredstva pri Sodišču;
                        
                     
                           (b)
                        
                        
                           v notranji oceni navede razloge za omejitev, vključno z oceno potrebnosti in sorazmernosti omejitve ter njenega trajanja.
                        
                     Omejitve, uvedene glede pravice dostopa uslužbencev do svojih zdravstvenih kartotek, zadevajo le zahteve za neposreden dostop uslužbencev do zdravstvenih podatkov psihološke ali psihiatrične narave, kadar ocena za vsak primer posebej pokaže, da je zaradi varstva posameznika, na katerega se nanašajo osebni podatki, potreben posreden dostop. Dostop do takih podatkov se zagotovi s posredovanjem zdravnika, ki ga imenuje zadevni posameznik, na katerega se nanašajo osebni podatki. Zdravniku, ki ga izbere posameznik, na katerega se nanašajo osebni podatki, se zagotovi dostop do vseh informacij in podeli diskrecijska pravica, da odloči, kako naj se posamezniku, na katerega se nanašajo osebni podatki, zagotovi dostop in kakšen dostop naj se mu zagotovi.
               Zagotavljanje informacij iz točke (a) se lahko preloži, opusti ali zavrne, če bi se s tem izničil učinek omejitve, naložene v skladu s členom 25(8) Uredbe (EU) 2018/1725.
               Cedefop pregleda uporabo omejitve vsakih šest mesecev od njenega sprejetja in ob zaključku zadevne poizvedbe, postopka ali preiskave. Upravljavec podatkov nato vsakih šest mesecev oceni potrebo po ohranitvi omejitve. Preskus potrebnosti in sorazmernosti iz člena 3(5) se opravi v okviru posameznega rednega pregleda po oceni, ali dejanski in pravni razlogi za omejitev še veljajo.
            
            
               3.   Evidenca in po potrebi dokumenti, ki vsebujejo temeljna dejstva in pravne elemente, se vpišejo v register. Na zahtevo se dajo na voljo Evropskemu nadzorniku za varstvo podatkov.
            
         
         
            Člen 7
            Omejitev pravic posameznika, na katerega se nanašajo osebni podatki, do popravka, izbrisa in omejitve obdelave
            
               1.   V ustrezno utemeljenih primerih in pod pogoji, določenimi v tem sklepu, lahko upravljavec posamezniku, na katerega se nanašajo osebni podatki, omeji pravice do popravka, izbrisa in omejitve obdelave v okviru naslednjih postopkov obdelave, kadar je to potrebno in ustrezno:
               
                           (a)
                        
                        
                           izvedba upravnih preiskav in disciplinskih postopkov;
                        
                     
                           (b)
                        
                        
                           predhodne dejavnosti, povezane s primeri morebitnih nepravilnosti, ki se prijavijo uradu OLAF;
                        
                     
                           (c)
                        
                        
                           postopki za prijavljanje nepravilnosti;
                        
                     
                           (d)
                        
                        
                           (uradni in neuradni) postopki za primere nadlegovanja;
                        
                     
                           (e)
                        
                        
                           obdelava notranjih in zunanjih pritožb;
                        
                     
                           (f)
                        
                        
                           notranje revizije;
                        
                     
                           (g)
                        
                        
                           preiskave, ki jih opravi pooblaščena oseba za varstvo podatkov v skladu s členom 45(2) Uredbe (EU) 2018/1725;
                        
                     
                           (h)
                        
                        
                           preiskave v zvezi z (informacijskotehnološko) varnostjo, ki se izvajajo notranje ali s sodelovanjem zunanjih strani (npr. CERT-EU).
                        
                     
            
               2.   Če Cedefop v celoti ali delno omeji uporabo pravic posameznika, na katerega se nanašajo osebni podatki, do popravka, izbrisa in omejitve obdelave iz člena 18, člena 19(1) oziroma člena 20(1) Uredbe (EU) 2018/1725, sprejme ukrepe iz člena 6(2) tega sklepa in registrira evidenco v skladu s členom 6(3) tega sklepa.
            
         
         
            Člen 8
            Omejitev pravic posameznika, na katerega se nanašajo osebni podatki, do obveščanja o kršitvi varnosti osebnih podatkov in do zaupnosti elektronskih sporočil
            
               1.   V ustrezno utemeljenih primerih in pod pogoji, določenimi v tem sklepu, lahko upravljavec omeji pravico posameznika, na katerega se nanašajo osebni podatki, do obveščanja o kršitvi varnosti osebnih podatkov v okviru naslednjih postopkov obdelave, kadar je to potrebno in ustrezno:
               
                           (a)
                        
                        
                           izvedba upravnih preiskav in disciplinskih postopkov;
                        
                     
                           (b)
                        
                        
                           predhodne dejavnosti, povezane s primeri morebitnih nepravilnosti, ki se prijavijo uradu OLAF;
                        
                     
                           (c)
                        
                        
                           postopki za prijavljanje nepravilnosti;
                        
                     
                           (d)
                        
                        
                           notranje revizije;
                        
                     
                           (e)
                        
                        
                           preiskave, ki jih opravi pooblaščena oseba za varstvo podatkov v skladu s členom 45(2) Uredbe (EU) 2018/1725;
                        
                     
                           (f)
                        
                        
                           preiskave v zvezi z (informacijskotehnološko) varnostjo, ki se izvajajo notranje ali s sodelovanjem zunanjih strani (npr. CERT-EU).
                        
                     
            
               2.   V ustrezno utemeljenih primerih in pod pogoji, določenimi v tem sklepu, lahko upravljavec omeji pravico do zaupnosti elektronskih sporočil v okviru naslednjih postopkov obdelave, kadar je to potrebno in ustrezno:
               
                           (a)
                        
                        
                           izvedba upravnih preiskav in disciplinskih postopkov;
                        
                     
                           (b)
                        
                        
                           predhodne dejavnosti, povezane s primeri morebitnih nepravilnosti, ki se prijavijo uradu OLAF;
                        
                     
                           (c)
                        
                        
                           postopki za prijavljanje nepravilnosti;
                        
                     
                           (d)
                        
                        
                           uradni postopki za primere nadlegovanja;
                        
                     
                           (e)
                        
                        
                           obdelava notranjih in zunanjih pritožb;
                        
                     
                           (f)
                        
                        
                           preiskave v zvezi z (informacijskotehnološko) varnostjo, ki se izvajajo notranje ali s sodelovanjem zunanjih strani (npr. CERT-EU).
                        
                     
            
               3.   Če Cedefop omeji pravico posameznika, na katerega se nanašajo osebni podatki, do obveščanja o kršitvi varnosti osebnih podatkov ali do zaupnosti elektronskih sporočil iz člena 35 oziroma 36 Uredbe (EU) 2018/1725, v skladu s členom 5(2) tega sklepa evidentira in registrira razloge za omejitev. Uporablja se tudi člen 5(3) tega sklepa.
            
         
         
            Člen 9
            Začetek veljavnosti
            Ta sklep začne veljati dvajseti dan po objavi v Uradnem listu Evropske unije.
         
         
            6. maja 2020
            
               
                  Za upravni odbor
               
               Barbara DORN
               
                  Predsednica upravnega odbora
               
            
         
         
            (1)  UL L 295, 21.11.2018, str. 39.
         
            (2)  UL L 30, 31.1.2019, str. 90.
         
            (3)  https://edps.europa.eu/sites/edp/files/publication/18-12-20_guidance_on_article_25_en.pdf.
         
            (4)  Uredba (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) (UL L 119, 4.5.2016, str. 1).
         
            (5)  Direktiva (EU) 2016/680 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov, ki jih pristojni organi obdelujejo za namene preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj ali izvrševanja kazenskih sankcij, in o prostem pretoku takih podatkov ter o razveljavitvi Okvirnega sklepa Sveta 2008/977/PNZ (UL L 119, 4.5.2016, str. 89).