CELEX: 32020Q1204(01)
Language: bg
Date: 2020-05-06 00:00:00
Title: Решение на управителния съвет на Европейския център за развитие на професионалното обучение (Cedefop) от 6 май 2020 година за приемане на вътрешни правила, свързани с ограничения на определени права на субекти на данни във връзка с обработването на лични данни в рамките на функционирането на Cedefop

4.12.2020   
               
               
                  BG
               
               
                  Официален вестник на Европейския съюз
               
               
                  L 408/12
               
            
         РЕШЕНИЕ НА УПРАВИТЕЛНИЯ СЪВЕТ НА ЕВРОПЕЙСКИЯ ЦЕНТЪР ЗА РАЗВИТИЕ НА ПРОФЕСИОНАЛНОТО ОБУЧЕНИЕ (CEDEFOP)
         от 6 май 2020 година
         за приемане на вътрешни правила, свързани с ограничения на определени права на субекти на данни във връзка с обработването на лични данни в рамките на функционирането на Cedefop
         УПРАВИТЕЛНИЯТ СЪВЕТ,
         като взе предвид Договора за функционирането на Европейския съюз,
         като взе предвид Регламент (ЕС) 2018/1725 на Европейския парламент и на Съвета от 23 октомври 2018 г. относно защитата на физическите лица във връзка с обработването на лични данни от институциите, органите, службите и агенциите на Съюза и относно свободното движение на такива данни и за отмяна на Регламент (ЕО) № 45/2001 и Решение № 1247/2002/ЕО (1), и по-специално член 25 от него,
         като взе предвид Регламент (ЕС) 2019/128 на Европейския парламент и на Съвета от 16 януари 2019 г. за създаване на Европейски център за развитие на професионалното обучение (Cedefop) и за отмяна на Регламент (ЕИО) № 337/75 на Съвета (2), и по-специално член 23, параграф 4 от него,
         като взе предвид становището на Европейския надзорен орган по защита на данните (ЕНОЗД) от 12 декември 2019 г. и Ръководството на ЕНОЗД относно член 25 от новия регламент и вътрешните правила (3),
         КАТО ИМА ПРЕДВИД, ЧЕ:
         
                     (1)
                  
                  
                     Cedefop осъществява своите дейности в съответствие с Регламент (ЕС) 2019/128.
                  
               
                     (2)
                  
                  
                     В съответствие с член 25, параграф 1 от Регламент (ЕС) 2018/1725 ограниченията на прилагането на членове 14—22, 35 и 36, както и на член 4 от същия регламент, доколкото неговите разпоредби съответстват на правата и задълженията, предвидени в членове 14—22, следва да се основават на вътрешни правила, приети от Cedefop, когато тези ограничения не се основават на правни актове, приети въз основа на Договорите.
                  
               
                     (3)
                  
                  
                     Тези вътрешни правила, включително разпоредбите относно оценката на необходимостта и пропорционалността на дадено ограничение, не следва да се прилагат, когато в правен акт, приет въз основа на Договорите, е предвидено ограничение на правата на субектите на данни.
                  
               
                     (4)
                  
                  
                     Когато изпълнява задълженията си във връзка с правата на субект на данни съгласно Регламент (ЕС) 2018/1725, Cedefop преценява дали е приложимо някое от изключенията, предвидени в този регламент.
                  
               
                     (5)
                  
                  
                     В рамките на административното си функциониране Cedefop може да извършва административни проверки, дисциплинарни производства, предварителни действия във връзка със случаи на потенциални нередности, докладвани на Европейската служба за борба с измамите (OLAF), да обработва сигнали за нередности, да изпълнява (формални и неформални) процедури, свързани с тормоз, вътрешни и външни жалби, да извършва вътрешни одити, разследвания от страна на длъжностното лице по защита на данните в съответствие с член 45, параграф 2 от Регламент (ЕС) 2018/1725 и вътрешни разследвания в областта на сигурността (на ИТ), както и да разглежда молби на членове на персонала за достъп до медицинските им картони.
                     Агенцията обработва няколко категории лични данни, включително потвърдени данни („обективни“ данни, например данни за идентификация, данни за контакт, данни за професионалната дейност, административна информация, данни, получени от специфични източници, електронни съобщения и данни за трафик) и/или непотвърдени данни („субективни“ данни, свързани със случая, например мотиви, данни относно поведението, оценки, данни за работната ефективност и действия, както и данни, свързани или предоставени във връзка с предмета на процедурата или дейността).
                  
               
                     (6)
                  
                  
                     Cedefop, представляван от своя изпълнителен директор, действа като администратор на данни независимо от делегирането на допълнителни функции на администратор в рамките на Cedefop, които отразяват оперативните отговорности за определени операции по обработване на лични данни.
                  
               
                     (7)
                  
                  
                     Личните данни се съхраняват в сигурна електронна среда или на хартиен носител с оглед на предотвратяване на злоупотребата или незаконния достъп до тях от лица, които не е необходимо да се запознават с тях, или предаването на данни на такива лица. Медицинските картони се съхраняват от външния доставчик на услуги, използван от Cedefop. Обработваните лични данни се съхраняват за срок, не по-дълъг от необходимия за целите, за които се обработват данните, за периода, посочен в информацията за защита на данните или регистрите на Cedefop.
                  
               
                     (8)
                  
                  
                     Настоящите вътрешни правила следва да се прилагат към всички операции по обработване, извършвани от Cedefop, при провеждането на административни проверки, дисциплинарни производства, предварителни действия, във връзка със случаи на потенциални нередности, докладвани на OLAF, процедури във връзка със сигнали за нередности, (формални и неформални) процедури, свързани с тормоз, обработване на вътрешни и външни жалби, вътрешни одити, разследванията, извършвани от длъжностното лице по защита на данните в съответствие с член 45, параграф 2 от Регламент (ЕС) 2018/1725, разследвания в областта на сигурността (на ИТ), провеждани вътрешно или с външно участие (напр. CERT-EU), както и при разглеждането на молби на членове на персонала за достъп до медицинските им картони.
                  
               
                     (9)
                  
                  
                     Настоящите вътрешни правила следва да се прилагат към операции по обработване, извършвани преди започване на горепосочените процедури, по време на тези процедури и по време на наблюдението на последващите действия във връзка с резултата от тях. Те следва да включват съдействие и сътрудничество, предоставяно от Cedefop на националните органи и международните организации извън рамките на административните разследвания на Центъра.
                  
               
                     (10)
                  
                  
                     В случаите, за които са приложими вътрешните правила, Cedefop следва да даде обосновка на причините, поради които ограниченията са строго необходими и пропорционални в демократично общество, както и да гарантира, че са съобразени с характера на основните права и свободи.
                  
               
                     (11)
                  
                  
                     В тази рамка Cedefop е задължен да зачита във възможно най-голяма степен основните права на субектите на данни при изпълнението на горепосочените процедури, и по-специално правата, които са свързани с правото на субекта на данни на предоставяне на информация, правото на субекта на данни на достъп, правата на субекта на данни на коригиране, изтриване и ограничаване на обработването, както и правата на информиране на субекта на данни за нарушение на сигурността на личните данни и на поверителност на електронните съобщения, заложени в Регламент (ЕС) 2018/1725.
                  
               
                     (12)
                  
                  
                     Същевременно Cedefop може да има задължението да ограничи правото на информация, която да бъде предоставена на субекта на данни, или други права на субекта на данни, за да защити по-специално собствените си разследвания, разследванията и производствата на други публични органи, както и правата на други лица, участващи в разследвания на Cedefop или други процедури.
                  
               
                     (13)
                  
                  
                     Cedefop следва периодично да наблюдава дали продължават да се прилагат условията, които обосновават ограничението, и да го отменя, когато те вече не са приложими.
                  
               
                     (14)
                  
                  
                     Администраторът следва да информира длъжностното лице по защита на данните в момента, когато е налице намерение за прилагане на ограничение, както и по време на последващи прегледи, и да го включи в цялата процедура, докато ограничението не бъде отменено,
                  
               ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:
         
            Член 1
            Предмет и приложно поле
            
               1.   С настоящото решение се установяват правила, свързани с условията, при които Cedefop може да ограничи прилагането на правата, залегнали в членове 14—21, 35 и 36, както и в член 4 от Регламент (ЕС) 2018/1725 в контекста на процедурите, установени в параграф 2 в съответствие с член 25 от същия регламент.
            
            
               2.   В рамките на административното функциониране на Cedefop настоящото решение се прилага за операции по обработване на лични данни от Cedefop за целите на: провеждане на административни проверки и дисциплинарни производства, предварителни действия във връзка със случаи на потенциални нередности, докладвани на OLAF, обработване на сигнали за нередности, (формални и неформални) процедури, свързани с тормоз, обработване на вътрешни и външни жалби, провеждане на вътрешни одити, разследванията, извършвани от длъжностното лице по защита на данните в съответствие с член 45, параграф 2 от Регламент (ЕС) 2018/1725, разследвания в областта на сигурността (на ИТ), провеждани вътрешно или с външно участие (напр. CERT-EU), както и разглеждане на молби на членове на персонала за достъп до медицинските им картони.
            
            
               3.   Категориите на въпросните данни са потвърдени данни („обективни“ данни, например данни за идентификация, данни за контакт, данни за професионалната дейност, административна информация, данни, получени от специфични източници, електронни съобщения и данни за трафик) и/или непотвърдени данни („субективни“ данни, свързани със случая, например мотиви, данни относно поведението, оценки, данни за работната ефективност и действия, както и данни, свързани или предоставени във връзка с предмет на процедурата или дейността).
            
            
               4.   Когато изпълнява задълженията си във връзка с правата на субект на данни съгласно Регламент (ЕС) 2018/1725, Cedefop преценява дали е приложимо някое от изключенията, предвидени в този регламент.
            
            
               5.   При спазване на условията, определени в настоящото решение, ограничения могат да се прилагат по отношение на следните права: правото на предоставяне на информация на субекта на данни, правото на субекта на данни на достъп, правата на субекта на данни на коригиране, изтриване и ограничаване на обработването на данни, както и правата на информиране на субекта на данни за нарушение на сигурността на личните данни и на поверителност на електронните съобщения.
            
         
         
            Член 2
            Спецификации на администратора и предпазни мерки
            
               1.   Cedefop въвежда следните предпазни мерки за предотвратяване на злоупотреба или незаконен достъп или прехвърляне:
               
                           а)
                        
                        
                           документите на хартиен носител се съхраняват в обезопасени шкафове и са достъпни само за упълномощени служители;
                        
                     
                           б)
                        
                        
                           всички данни в електронен формат се съхраняват в сигурно ИТ приложение в съответствие със стандартите за сигурност на Cedefop, както и в отделни електронни папки, достъпни само за упълномощените служители. Подходящите нива на достъп се предоставят индивидуално;
                        
                     
                           в)
                        
                        
                           ИТ средата на Cedefop е достъпна чрез система с единна идентификация и се свързва автоматично с потребителското име и паролата на потребителя. Електронните записи се съхраняват по надежден начин, за да се гарантира поверителността и неприкосновеността на съдържащите се в тях данни;
                        
                     
                           г)
                        
                        
                           всички лица с достъп до данните са обвързани със задължение за поверителност;
                        
                     
                           д)
                        
                        
                           външният доставчик на услуги, който съхранява медицинските картони, се обвързва с договорни клаузи относно поверителността и обработването на лични данни.
                        
                     
            
               2.   Администратор на операциите по обработване е Cedefop, представляван от своя изпълнителен директор, който може да делегира функцията на администратор. Субектите на данни се уведомяват за делегирания администратор чрез уведомления за защитата на личните данни или чрез регистри, публикувани на уебсайта и в интранет мрежата на Cedefop.
            
            
               3.   Срокът на съхранение на личните данни, посочен в член 1, параграф 3 на настоящото решение, не може да е по-дълъг от срока, който е необходим и подходящ за целите, за които се обработват данните. Във всички случаи той не е по-дълъг от срока на съхранение, посочен в уведомленията за защита на личните данни или регистрите, посочени в член 3, параграф 3 от настоящото решение.
            
            
               4.   В случаите, когато Cedefop обмисля да наложи ограничение, рисковете за правата и свободите на субектите на данни се оценяват по-специално спрямо риска за правата и свободите на други субекти на данни и риска от подкопаване на ефекта от разследванията или процедурите на Cedefop, по-специално в резултат на унищожаване на доказателства. Рисковете за правата и свободите на субекта на данни засягат главно, но не се ограничават до рискове за репутацията и рискове за правото на защита и правото на изслушване.
            
         
         
            Член 3
            Ограничения
            
               1.   Всяко ограничение се прилага от Cedefop само въз основа на едно или повече от основанията, посочени в член 25, параграф 1, букви а)—и) от Регламент (ЕС) 2018/1725. По-специално в контекста на целите на обработването на лични данни, посочени в член 1, параграф 2 от настоящото решение, ограниченията могат да имат следните основания:
               
                           а)
                        
                        
                           по отношение на провеждането на административни проверки и дисциплинарни производства ограниченията може да се основават на член 25, параграф 1, букви б), в), ж) и з) от Регламент (ЕС) 2018/1725;
                        
                     
                           б)
                        
                        
                           по отношение на предварителни действия във връзка със случаи на потенциални нередности, докладвани на OLAF, ограниченията може да се основават на член 25, параграф 1, букви б), в), е), ж) и з) от Регламент (ЕС) 2018/1725;
                        
                     
                           в)
                        
                        
                           по отношение на процедури във връзка със сигнали за нередности ограниченията може да се основават на член 25, параграф 1, букви б), в), е), ж) и з) от Регламент (ЕС) 2018/1725;
                        
                     
                           г)
                        
                        
                           по отношение на (формални и неформални) процедури, свързани със случаи на тормоз, ограниченията може да се основават на член 25, параграф 1, букви б), е), з) и и) от Регламент (ЕС) 2018/1725;
                        
                     
                           д)
                        
                        
                           по отношение на обработване на вътрешни и външни жалби ограниченията може да се основават на член 25, параграф 1, букви в), ж) и з) от Регламент (ЕС) 2018/1725;
                        
                     
                           е)
                        
                        
                           по отношение на вътрешни одити ограниченията може да се основават на член 25, параграф 1, букви в), ж) и з) от Регламент (ЕС) 2018/1725;
                        
                     
                           ж)
                        
                        
                           по отношение на разследванията, извършвани от длъжностното лице по защита на данните в съответствие с член 45, параграф 2 от Регламент (ЕС) 2018/1725, ограниченията може да се основават на член 25, параграф 1, букви в), ж) и з) от същия регламент;
                        
                     
                           з)
                        
                        
                           по отношение на разследвания в областта на сигурността (на ИТ), провеждани вътрешно или с външно участие (напр. CERT-EU), ограниченията може да се основават на член 25, параграф 1, букви в), г), ж) и з) от Регламент (ЕС) 2018/1725;
                        
                     
                           и)
                        
                        
                           при разглеждане на молби за достъп до собствения медицински картон ограниченията може да се основават на член 25, параграф 1, буква з) от Регламент (ЕС) 2018/1725.
                        
                     
            
               2.   Като специфично приложение на целите, описани в параграф 1 по-горе, Cedefop може да наложи ограничения върху правата, посочени в член 1, параграф 5 от настоящото решение, при следните обстоятелства:
               
                           а)
                        
                        
                           когато друга институция, орган, служба или агенция на Съюза има право да ограничи упражняването на тези права въз основа на други актове, предвидени в член 25 от Регламент (ЕС) 2018/1725, или в съответствие с глава IX от същия регламент, или с техните учредителни актове и целта на такова ограничение от тази друга институция, орган, служба или агенция на Съюза биха били застрашени, ако Cedefop не прилага еквивалентно ограничение по отношение на същите лични данни;
                        
                     
                           б)
                        
                        
                           когато компетентният орган на държава членка има право да ограничи упражняването на тези права въз основа на актовете, посочени в член 23 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета (4), или съгласно национални мерки за транспониране на член 13, параграф 3, член 15, параграф 3 или член 16, параграф 3 от Директива (ЕС) 2016/680 на Европейския парламент и на Съвета (5) и целта на такова ограничение от страна на компетентния орган на държава членка ще бъде застрашена, ако Cedefop не прилага еквивалентно ограничение по отношение на едни и същи лични данни;
                        
                     
                           в)
                        
                        
                           когато упражняването на тези права може да застраши сътрудничеството на Cedefop с трети държави или международни организации при изпълнението на неговите задачи.
                        
                     Преди да наложи ограниченията в обстоятелствата, посочени в букви а) и б) от първа алинея, Cedefop се консултира със съответната институция, орган, служба или агенция на Съюза или компетентния орган на държава членка, освен ако за Cedefop е ясно, че налагането на ограничение е предвидено в един от актовете, посочен в този букви.
            
            
               3.   В уведомленията за защита на данните или регистрите по смисъла на член 31 от Регламент (ЕС) 2018/1725, публикувани на уебсайта и в интранет мрежата на Cedefop, от които субектите на данни получават информация за своите права в рамките на дадена процедура, Cedefop включва информация, свързана с потенциалното ограничаване на тези права. В информацията се посочва кои права могат да бъдат ограничени, причините и евентуалната продължителност.
               Без да се засягат разпоредбите на член 5, параграф 2, Cedefop също така уведомява без ненужно забавяне и в писмена форма, ако е целесъобразно, индивидуално всички субекти на данни, считани за лица, заинтересовани от конкретната операция по обработване, за техните права във връзка с настоящи или бъдещи ограничения.
            
            
               4.   Всяко ограничение е необходимо и пропорционално, като се вземат предвид рисковете за правата и свободите на субектите на данни, и е съобразено със същността на основните права и свободи в демократичното общество.
            
            
               5.   Когато се преценява възможността за налагане на ограничение, се извършва оценка на необходимостта и пропорционалността въз основа на настоящите правила. Оценката се документира чрез записка за вътрешна оценка за целите на отчетността във всеки отделен случай.
            
            
               6.   Ограничението се отменя, когато обосноваващите го обстоятелства вече не се прилагат.
            
         
         
            Член 4
            Преглед от длъжностното лице по защита на данните
            
               1.   Длъжностното лице („ДЛЗД“) на Cedefop по защита на данните се уведомява без ненужно забавяне във всеки случай, когато администраторът възнамерява да ограничи прилагането на правата на субекти на данни или да удължи срока на такова ограничение в съответствие с настоящото решение. Администраторът предоставя на длъжностното лице по защита на данните достъп до регистъра, съдържащ оценката на необходимостта и пропорционалността на ограничението, и документира в регистъра датата, на която е уведомил ДЛЗД. Длъжностното лице по защита на данните участва в цялата процедура до отмяната на ограничението.
            
            
               2.   ДЛЗД може да изиска от администратора в писмен вид да преразгледа прилагането на ограниченията. Администраторът уведомява ДЛЗД в писмена форма относно резултата от искането за преразглеждане.
            
            
               3.   Администраторът уведомява ДЛЗД, когато ограничението е отменено.
            
         
         
            Член 5
            Ограничаване на правото на информация, която да бъде предоставена на субекта на данни
            
               1.   В надлежно обосновани случаи и в условията, предвидени в настоящото решение, администраторът може да ограничава правото на информация, която да бъде предоставена на субекта на данни, в контекста на следните операции по обработване:
               
                           а)
                        
                        
                           провеждане на административни проверки и дисциплинарни производства;
                        
                     
                           б)
                        
                        
                           предварителни действия във връзка със случаи на потенциални нередности, докладвани на OLAF;
                        
                     
                           в)
                        
                        
                           процедури във връзка със сигнали за нередности;
                        
                     
                           г)
                        
                        
                           (формални и неформални) процедури, свързани със случаи на тормоз;
                        
                     
                           д)
                        
                        
                           разглеждане на вътрешни и външни жалби;
                        
                     
                           е)
                        
                        
                           вътрешни одити;
                        
                     
                           ж)
                        
                        
                           разследвания, предприети от длъжностното лице по защита на данните в съответствие с член 45, параграф 2 от Регламент 2018/1725;
                        
                     
                           з)
                        
                        
                           разследвания в областта на сигурността (на ИТ), провеждани вътрешно или с външно участие (напр. CERT-EU).
                        
                     
            
               2.   Когато ограничава изцяло или частично правото на информация, която да бъде предоставена на субекта на данни, посочено в членове 14—16 от Регламент (ЕС) 2018/1725, Cedefop посочва причините за ограничението, правното основание(я) в съответствие с член 3 от настоящото решение, включително оценка на необходимостта и пропорционалността на ограничението.
               Този документ и, ако е приложимо, документите, съдържащи основните фактологични и правни елементи, се вписват в регистъра.
               При поискване те се предоставят на Европейския надзорен орган по защита на данните.
            
            
               3.   Ограничението, посочено в параграф 2, продължава да се прилага, докато причините за него продължават да са налице.
               Когато причините за ограничението вече не са приложими, Cedefop предоставя информация на субекта на данните за основните причини, на които се основава прилагането на ограничението. Същевременно Cedefop уведомява субекта на данните за правото да подаде жалба до Европейския надзорен орган по защита на данните по всяко време или да потърси защита по съдебен ред пред Съда на Европейския съюз („Съда“).
               Cedefop преразглежда прилагането на ограничението на всеки шест месеца, считано от приемането му, и при приключване на съответната проверка, процедура или разследване. След това на всеки шест месеца администраторът осъществява наблюдение върху необходимостта от запазване на всяко едно ограничение. Оценката на необходимостта и пропорционалността, посочена в член 3, параграф 5, се извършва и в рамките на всеки периодичен преглед, като следва оценката на валидността на фактическите и правните причини за ограничение.
            
         
         
            Член 6
            Ограничаване на правото на субекта на данни на достъп
            
               1.   В надлежно обосновани случаи и в условията, предвидени в настоящото решение, ако е необходимо и пропорционално, администраторът може да ограничава правото на достъп на субекта на данни в контекста на следните операции по обработване:
               
                           а)
                        
                        
                           провеждане на административни проверки и дисциплинарни производства;
                        
                     
                           б)
                        
                        
                           предварителни действия във връзка със случаи на потенциални нередности, докладвани на OLAF;
                        
                     
                           в)
                        
                        
                           процедури във връзка със сигнали за нередности;
                        
                     
                           г)
                        
                        
                           (формални и неформални) процедури, свързани със случаи на тормоз;
                        
                     
                           д)
                        
                        
                           разглеждане на вътрешни и външни жалби;
                        
                     
                           е)
                        
                        
                           вътрешни одити;
                        
                     
                           ж)
                        
                        
                           разследвания, предприети от длъжностното лице по защита на данните в съответствие с член 45, параграф 2 от Регламент 2018/1725;
                        
                     
                           з)
                        
                        
                           разследвания в областта на сигурността (на ИТ), провеждани вътрешно или с външно участие (напр. CERT-EU).
                        
                     
                           и)
                        
                        
                           разглеждане на молби на членовете на персонала за достъп до медицинските им картони.
                        
                     Когато субектите на данни поискат достъп до личните си данни, обработвани в контекста на един или повече конкретни случаи, или до конкретна операция по обработване, в съответствие с член 17 от Регламент (ЕС) 2018/1725 Cedefop ограничава оценката си на искането единствено до тези лични данни.
            
            
               2.   Когато ограничава изцяло или частично правото на достъп, посочено в член 17 от Регламент (ЕС) 2018/1725, Cedefop предприема следните стъпки:
               
                           а)
                        
                        
                           в отговор на съответното искане информира засегнатия субект на данни за наложеното ограничение и за основните причини за него, както и за възможността за подаване на жалба до Европейския надзорен орган по защита на данните или за търсене на защита по съдебен ред пред Съда;
                        
                     
                           б)
                        
                        
                           в записка за вътрешна оценка документира причините за ограничението, включително оценката на необходимостта и пропорционалността на ограничението и неговата продължителност.
                        
                     Наложените ограничения на правото на достъп на членовете на персонала до медицинските им картони се отнасят само до искания на членовете на персонала за пряк достъп до медицински данни от психологическо или психиатрично естество, когато оценка, направена за всеки отделен случай, показва, че е необходим непряк достъп за защита на субекта на данните. Достъп до такива данни се предоставя чрез лекар, избран от съответния субект на данните. Лекарят, избран от субекта на данни, получава достъп до цялата информация и оперативна самостоятелност да решава как и какъв достъп да предостави на субекта на данните.
               Предоставянето на информацията, посочена в буква а), може да бъде отложено, пропуснато или отказано, ако предоставянето би обезсмислило ефекта от ограничението в съответствие с член 25, параграф 8 от Регламент (ЕС) 2018/1725.
               Cedefop преразглежда прилагането на ограничението на всеки шест месеца, считано от приемането му, и при приключване на съответната проверка, процедура или разследване. След това на всеки шест месеца администраторът осъществява наблюдение върху необходимостта от запазване на всяко едно ограничение. Оценката на необходимостта и пропорционалността, посочена в член 3, параграф 5, се извършва и в рамките на всеки периодичен преглед, като следва оценката на валидността на фактическите и правните причини за ограничение.
            
            
               3.   Този документ и, ако е приложимо, документите, съдържащи основните фактологични и правни елементи, се вписват в регистъра. При поискване те се предоставят на Европейския надзорен орган по защита на данните.
            
         
         
            Член 7
            Ограничаване на правата на субекта на данни за коригиране, изтриване и ограничаване на обработването
            
               1.   В надлежно обосновани случаи и в условията, предвидени в настоящото решение, ако е необходимо и целесъобразно, администраторът може да ограничава правата на коригиране, изтриване и ограничаване на обработването в контекста на следните операции по обработване:
               
                           а)
                        
                        
                           провеждане на административни проверки и дисциплинарни производства;
                        
                     
                           б)
                        
                        
                           предварителни действия във връзка със случаи на потенциални нередности, докладвани на OLAF;
                        
                     
                           в)
                        
                        
                           процедури във връзка със сигнали за нередности;
                        
                     
                           г)
                        
                        
                           (формални и неформални) процедури, свързани със случаи на тормоз;
                        
                     
                           д)
                        
                        
                           разглеждане на вътрешни и външни жалби;
                        
                     
                           е)
                        
                        
                           вътрешни одити;
                        
                     
                           ж)
                        
                        
                           разследвания, предприети от длъжностното лице по защита на данните в съответствие с член 45, параграф 2 от Регламент 2018/1725;
                        
                     
                           з)
                        
                        
                           разследвания в областта на сигурността (на ИТ), провеждани вътрешно или с външно участие (напр. CERT-EU).
                        
                     
            
               2.   Когато ограничава изцяло или частично прилагането на правата на субекта на данни на коригиране, изтриване или ограничаване на обработването, посочено съответно в член 18, член 19, параграф 1 и член 20, параграф 1 от Регламент (ЕС) 2018/1725, Cedefop предприема необходимите стъпки, посочени в член 6, параграф 2 от настоящото решение, и вписва това в регистъра в съответствие с член 6, параграф 3 от него.
            
         
         
            Член 8
            Ограничаване на правата на съобщаване на субекта на данни за нарушение на сигурността на личните данни и поверителност на електронните съобщения
            
               1.   В надлежно обосновани случаи и в условията, предвидени в настоящото решение, ако е необходимо и целесъобразно, администраторът може да ограничава правото на съобщаване на субекта на данни за нарушение на сигурността на личните данни в контекста на следните операции по обработване:
               
                           а)
                        
                        
                           провеждане на административни проверки и дисциплинарни производства;
                        
                     
                           б)
                        
                        
                           предварителни действия във връзка със случаи на потенциални нередности, докладвани на OLAF;
                        
                     
                           в)
                        
                        
                           процедури във връзка със сигнали за нередности;
                        
                     
                           г)
                        
                        
                           вътрешни одити;
                        
                     
                           д)
                        
                        
                           разследвания, предприети от длъжностното лице по защита на данните в съответствие с член 45, параграф 2 от Регламент 2018/1725;
                        
                     
                           е)
                        
                        
                           разследвания в областта на сигурността (на ИТ), провеждани вътрешно или с външно участие (напр. CERT-EU).
                        
                     
            
               2.   В надлежно обосновани случаи и при условията, предвидени в настоящото решение, ако е необходимо и целесъобразно, администраторът може да ограничава правото на поверителност на електронните съобщения в контекста на следните операции по обработване:
               
                           а)
                        
                        
                           провеждане на административни проверки и дисциплинарни производства;
                        
                     
                           б)
                        
                        
                           предварителни действия във връзка със случаи на потенциални нередности, докладвани на OLAF;
                        
                     
                           в)
                        
                        
                           процедури във връзка със сигнали за нередности;
                        
                     
                           г)
                        
                        
                           формални процедури, свързани със случаи на тормоз;
                        
                     
                           д)
                        
                        
                           обработване на вътрешни и външни жалби;
                        
                     
                           е)
                        
                        
                           разследвания в областта на сигурността (на ИТ), провеждани вътрешно или с външно участие (напр. CERT-EU).
                        
                     
            
               3.   Когато ограничава правото на съобщаване за нарушение на сигурността на личните данни на субекта на данните или на поверителност на електронните съобщения, посочени съответно в членове 35 и 36 от Регламент (ЕС) 2018/1725, Cedefop посочва и вписва в регистъра причините за ограничението в съответствие с член 5, параграф 2 от настоящото решение. Прилага се също член 5, параграф 3 от настоящото решение.
            
         
         
            Член 9
            Влизане в сила
            Настоящото решение влиза в сила на двадесетия ден след датата на публикуването му в Официален вестник на Европейския съюз.
            
         
         
            Съставено на 6 май 2020 година.
            
               
                  За управителния съвет
               
               Barbara DORN
               
                  Председател на управителния съвет
               
            
         
         
            (1)  . ОВ L 295, 21.11.2018 г., стр. 39.
         
            (2)  . ОВ L 30, 31.1.2019 г., стр. 90.
         
            (3)  . https://edps.europa.eu/sites/edp/files/publication/18-12-20_guidance_on_article_25_en.pdf.
         
            (4)  . Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните) (ОВ L 119, 4.5.2016 г., стр. 1).
         
            (5)  . Директива (ЕС) 2016/680 на Европейския парламент и на Съвета от 27 април 2016 г. относно защитата на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания и относно свободното движение на такива данни, и за отмяна на Рамково решение 2008/977/ПВР на Съвета (ОВ L 119, 4.5.2016 г., стр. 89).